Passkeys e checkout com agentes: Vladyslav Kolodistyi fala sobre a autenticação de pagamentos

O texto de Vladyslav Kolodistyi no Finextra parte de uma pergunta incômoda para quem trabalha com payments: quando um agente de IA compra café sozinho, quem autenticou a compra? A tese dele é que a autenticação sai do momento do pagamento e vai para o momento da delegação. O cliente aprova regras (qual agente, quais comerciantes, até que valor, até que data) e o agente opera dentro delas. Vale separar: o que existe aqui é a argumentação de um autor, não um produto ou projeto com repositório próprio.

Para assinar esse mandato, ele defende passkeys liberadas por biometria. O dispositivo assina, e emissor, rede e comerciante conseguem verificar a assinatura. Kolodistyi cita o FIDO Alliance Passkey Index, com 93% de sucesso de login com passkeys contra 63% de outros métodos, e diz que Visa e Mastercard anunciaram programas de pagamentos iniciados por agentes combinando tokens de rede e passkeys. Os princípios de desenho: mandatos estreitos, assinatura com passkey, resumo legível, nova autenticação ao exceder o limite e um lugar único para revogar. Ele compara com pagamentos recorrentes, em que a primeira autenticação cobre cobranças futuras, e deixa a responsabilidade em aberto: reguladores e esquemas ainda precisam definir quem paga quando o agente erra.

O tema já vinha aparecendo na cobertura do CEVIU. Em 1 de maio de 2026, o CEVIU noticiou "Stripe Lança Link Wallet com Delegação de Gastos para Agentes de IA", com agentes pedindo credenciais em nome do usuário por fluxo de aprovação OAuth. Em 25 de junho de 2026, veio "Mastercard e PrivatBank concluem o primeiro pagamento na Ucrânia feito por um agente de IA". E em 28 de setembro de 2026, "Cleverbridge Lidera Pagamento Agentic com Passkey e Revolut na França", sobre o primeiro pagamento agentic francês autenticado por passkey em checkout real. O texto de Kolodistyi, de 22 de outubro de 2026, não anuncia entrega nova: oferece o argumento conceitual para o que esses casos já testam, a passkey como assinatura do mandato.

Para quem opera pagamentos, a leitura é que o desenho do mandato vira o ponto central de risco e conformidade. Se a autenticação forte ocorre na delegação, emissores, adquirentes e comerciantes precisarão tratar dados de agente e de mandato como parte da transação. A questão da responsabilidade, ainda sem resposta regulatória segundo o autor, é a que mais pesa em disputas e chargebacks.