Segurança de carteiras agênticas: como agentes de IA podem transacionar com menos risco

Uma agentic wallet é segura quando trata o agente de IA como um proponente de transações desconhecido, e não como um signatário confiável. As chaves ficam isoladas do processo de raciocínio do agente, as permissões são delimitadas e revogáveis, e cada transação é verificada antes de ser assinada — assim, um agente manipulado ou com falhas pode ser contido.

A MetaMask explica o que é uma agentic wallet em What is an agentic wallet?, o ciclo de vida completo das transações é detalhado em How AI agents transact without touching your keys, e a importância da autocustódia é abordada em Why every AI agent needs a wallet. O que se segue foca na mitigação dos riscos envolvidos quando um agente, e não uma pessoa, é quem propõe as transações.

As agentic wallets são seguras?

Com agentic wallets, a segurança depende de o agente conseguir ou não acessar as chaves privadas diretamente, se suas permissões são delimitadas ou ilimitadas, e se uma transação é verificada antes de ser assinada, e não depois. Um agente que propõe ações a uma wallet isolada e com políticas aplicadas apresenta um perfil de risco diferente de um que detém suas próprias chaves.

Por que uma agentic wallet precisa de um modelo de ameaça diferente

Uma wallet criada para uma pessoa pressupõe que um humano revisa cada transação antes de assiná-la. Uma agentic wallet não pode partir dessa premissa: o mesmo processo que lê os metadados de um token, uma página da web ou uma resposta de API pode ser também o processo que decide o que assinar a seguir. How AI agents transact without touching your keys aborda o ciclo de vida completo da intenção à execução. O que importa para a segurança é onde as entradas não confiáveis do agente e sua autoridade de assinatura de transações podem coexistir e se algo independente do agente tem poder de decisão antes de uma transação ser registrada onchain.

Os riscos específicos dos agentes, não apenas das wallets

Prompt injection se transformando em uma transação assinada

O prompt injection oculta instruções dentro de conteúdos que um agente foi projetado para ler — como a descrição de um token, uma página da web, um e-mail ou uma resposta de API —, e não dentro de uma conversa com o usuário. Isso é mais relevante em um contexto de wallet do que na maioria dos outros: um agente enganado a enviar um e-mail ruim é inconveniente; um agente com autoridade de assinatura que é enganado pode gerar uma transação irreversível.

Chaves acessíveis a partir do próprio runtime do agente

Um agente que consegue ler sua própria chave de assinatura — seja de um arquivo de configuração, de uma variável de ambiente ou da memória da aplicação — transforma qualquer comprometimento desse agente em um comprometimento dos fundos que ele controla. Considere um incidente ocorrido em 8 de fevereiro de 2026, no qual o Owockibot da Gitcoin expôs sua própria chave privada de hot wallet em vários locais, apesar de ter sido instruído a nunca compartilhá-la; as perdas foram contidas principalmente porque a wallet tinha apenas cerca de US$ 2.100. O modo server-wallet da MetaMask Agent Wallet mantém as chaves dentro de um ambiente de execução confiável ao qual o agente não tem acesso. Existe um modo separado de bring-your-own-wallet para desenvolvedores que precisam de controle local das chaves, e sua documentação é explícita ao afirmar que o mnemônico nunca deve ser passado como argumento de linha de comando, apenas por meio de uma variável de ambiente, já que o histórico de comandos e as listas de processos são, por si só, um vetor de exposição.

Permissões que não se reduzem para corresponder à tarefa

Um agente com escopo para verificar saldos não precisa ter autoridade para aprovar gastos ilimitados de tokens em qualquer contrato. Quando as permissões não se ajustam à tarefa em questão, um único agente comprometido ou enganado pode agir com a autoridade total da wallet, em vez de uma fatia restrita dela.

Confundir seguro de transação com controle de segurança

Algumas agentic wallets combinam sua stack de segurança com reembolso caso algo ainda dê errado. O Transaction Shield, a assinatura da MetaMask que combina Transaction Protection com suporte prioritário, reembolsa até US$ 10.000 por mês em mUSD para transações elegíveis que passaram pelas verificações de segurança da MetaMask e ainda assim causaram perdas. Ele exclui explicitamente perdas decorrentes de uma Secret Recovery Phrase ou chave privada comprometida ou vazada, perdas comuns de mercado, exploits em nível de protocolo e transferências peer-to-peer. O reembolso pode absorver o resultado de uma transação que parecia segura e não era.

O que o Guard Mode e o Beast Mode podem mudar em relação à exposição

Os dois modos de operação da MetaMask Agent Wallet mudam quais controles são aplicados automaticamente e quais dependem de o usuário identificar um problema em tempo real. A documentação de modos de negociação da MetaMask lista as proteções que cada modo aplica antes que uma transação possa ser processada:

Ambos os modos ainda bloqueiam uma transação que a varredura de ameaças da MetaMask sinalize como maliciosa ou um contrato que ela sinalize como arriscado, e ambos exigem aprovação por 2FA antes que qualquer um dos dois tipos prossiga. No Guard Mode, qualquer coisa fora das allowlists configuradas ou acima do limite de saída também é pausada para aprovação. No Beast Mode, isso não acontece, pois não há allowlists para ficar de fora. O Beast Mode não enfraquece especificamente a detecção de transações maliciosas; ele remove a camada de allowlist e limite de gastos que, de outra forma, interceptaria uma transação de aparência legítima que o agente não deveria ter tentado realizar.

Como o isolamento funciona por baixo da wallet

As orientações para desenvolvedores da MetaMask para criar server wallets voltadas a agentes descrevem o padrão geral: uma chave de assinatura reside dentro de um ambiente de execução confiável sem rede externa e sem armazenamento persistente, o agente mantém apenas uma credencial separada usada para solicitar uma assinatura, e o enclave — não o agente — verifica a solicitação, aplica a política e produz a assinatura. O agente propõe; ele nunca possui. A arquitetura da MetaMask Agent Wallet aplica essa separação diretamente: no modo server-wallet, as chaves são gerenciadas dentro de um TEE que o agente não consegue acessar, enquanto o usuário ainda mantém a autocustódia e pode exportar a Secret Recovery Phrase subjacente. Uma solicitação que precisa de aprovação entra em um estado AWAITING_MFA, e apenas a aprovação do próprio MetaMask Mobile do usuário ou a confirmação por e-mail pode fazê-la avançar — não o agente.

Uma checklist antes de conectar um agente a fundos reais:

• O runtime do agente não consegue ler nem exportar a chave privada.

• A assinatura ocorre em um ambiente isolado, não no próprio processo do agente.

• Os gastos têm limite por transação e em uma base contínua.

• Contratos, redes e destinatários podem ser adicionados a allowlists em vez de ficarem abertos.

• Cada transação é simulada e verificada contra ameaças antes de ser assinada.

• Os limites de política são aplicados fora do modelo. Um system prompt é uma orientação, não uma aplicação.

• As permissões podem ser revogadas, ou uma sessão encerrada, imediatamente.

• Ações sinalizadas e concluídas são registradas e auditáveis.

• A configuração foi testada contra cenários de prompt injection, não apenas contra prompts esperados.

• Qualquer cobertura de reembolso é compreendida pelo que exclui, não apenas pelo que inclui.

Onde fica o limite de segurança nos diferentes modelos de agentic wallet

Os fornecedores de agentic wallets estão convergindo para a mesma conclusão: o agente não deve ser o limite de segurança. O que difere é onde esse limite fica.

Para uma avaliação completa fornecedor a fornecedor entre Coinbase, Cobo, Ledger, BitGo e OKX, consulte Best agentic wallets in 2026, compared.

Nada disso torna um agente imune à manipulação. O objetivo realista não é um modelo que nunca seja enganado. É uma wallet onde ser enganado não se transforma em autoridade financeira ilimitada — onde o pior que um agente comprometido pode fazer é limitado por um teto de gastos, uma allowlist e uma assinatura que ele nunca foi capaz de obter por conta própria.