Resumo

  • O rascunho de Agent Authorization Center mantém as associações do usuário com agentes e uma lista de serviços para acesso autônomo. Serviço listado recebe aprovação automática; serviço proibido é recusado; os demais voltam para a confirmação do usuário.
  • O token deve carregar identificadores de conta, agente e centro, mas identificar se a decisão foi automática ou humana é opcional. A seção de segurança do texto ainda diz TBD.

Uma decisão antiga pode atender ao pedido novo sem chamar quem decidiu. Esse é o funcionamento pretendido pelo Agent Authorization Center, uma proposta para agentes instalados no aparelho pessoal do usuário. Poupar interrupções faz sentido. O ponto de poder é a lista que transforma uma autorização configurada antes em respostas automáticas depois.

O AAC proposto guarda a identidade do usuário, a ligação com grupos e agentes individuais e a política personalizada de acesso. O agente procura o serviço com os identificadores do usuário e do centro. O serviço indica o caminho de autorização. Com usuário, agente e serviço identificados, o AAC decide: lista autônoma, aprovação sem pessoa no circuito daquela operação; lista proibida, recusa; nenhuma das duas, pedido de confirmação humana.

Depois vem um código de autorização no molde OAuth. O serviço troca o código por um token, valida esse token e atende conforme os direitos do usuário. O texto recomenda incluir no token a conta, o agente e o AAC. A marca que separa aprovação automática da humana pode ser incluída, mas não é exigida. Um receptor consegue aceitar uma credencial válida e continuar sem saber qual das duas filas produziu a permissão.

A distinção importa quando a tarefa deixa de ser simples. O rascunho não define limites por ação para um serviço autorizado, versão da lista, prazo da entrada ou sequência de retirada. Ele mantém os direitos do usuário como limite no serviço, mas a presença do nome de uma plataforma na lista não especifica qual compra, divulgação ou alteração de conta o agente pode realizar. A fronteira entre autorização do centro e decisão local do serviço precisa de um dono.

A seção Security Considerations continua apenas TBD. O RFC 9700 reúne práticas de segurança OAuth e o RFC 7636 protege o fluxo de código com PKCE. A proposta precisa explicar como agente, centro e receptor usam essas proteções; não apresenta ensaio de implantação.

O Datatracker registra o documento como rascunho individual Informational, I-D Exists. Um teste útil incluiria um serviço na lista autônoma, autorizaria uma tarefa específica, alteraria a entrada e inspecionaria o próximo token no serviço. A assinatura do token pode continuar correta; a pergunta é qual decisão concreta ela consegue provar.