Quem autorizou isto? A zona cinzenta do x402

Autor do artigo: David Christopher

Tradução do artigo: Block unicorn

O sucesso do x402 não seria possível sem os integradores nativos. Programas de encapsulamento não autorizados podem transformar potenciais parceiros em adversários.

Na semana passada, a Coinbase lançou o agentic.market, uma plataforma que exibe endpoints do x402, com o objetivo de facilitar a descoberta do ecossistema x402.

Ao navegar pelo agentic.market, você encontrará acessos em tempo real e sob demanda a diversos serviços, desde ferramentas on-chain até APIs de grande escala. Alguns endpoints são fornecidos diretamente pelos provedores originais. Muitos outros vêm de terceiros: algumas empresas encapsulam APIs existentes em x402 (e/ou MPP) e as empacotam em kits de ferramentas acessíveis por proxy, permitindo que usuários acessem tudo por uma única conexão mediante uma pequena taxa.

A segunda abordagem complica a situação. Entre os endpoints de terceiros exibidos no Agentic Market, estão serviços como Wolfram Alpha, Google Flights e Amadeus (uma plataforma amplamente utilizada de dados de viagens). O motivo de focar nesses três é que eles não anunciaram integrações x402 por si próprios, e seus termos de serviço indicam que é improvável que autorizem terceiros a construir integrações em seu nome.

Cada endpoint indexado no Agentic Market pode ser de primeira parte (fornecido diretamente pelo provedor original via sua API), de terceiros autorizados (com permissão explícita, geralmente por meio de certificação formal ou programa de parceiros), ou de terceiros não autorizados (empresas revendendo acesso à API adquirida mediante pagamento, sem autorização).

No mercado como um todo e em todo o ecossistema x402, não conseguimos distinguir imediatamente quais endpoints são de primeira parte, quais são de terceiros autorizados, e muitos parecem pertencer à última categoria.

Termos de contrato

Como mencionado anteriormente, os termos desses três provedores tornam bastante provável que existam acordos não autorizados de terceiros, e em alguns casos até os excluam completamente.

Wolfram Alpha proíbe explicitamente “revendedores e agregadores”, bem como qualquer forma de captura ou mineração de dados, além de proibir a venda ou sublicenciamento de seus serviços sem permissão. Esses termos parecem não deixar espaço algum para terceiros autorizados. Além disso, após consultar o guia rápido do endpoint, fica claro que não se trata de uma integração de primeira parte.

( Termos de API nos Termos de Serviço do Wolfram Alpha)

O contrato de assinatura principal da Amadeus permite o acesso apenas para fins internos de negócios, proibindo qualquer “aluguel, arrendamento, distribuição, venda, revenda, transferência ou transferência de qualquer forma” de seu acesso. Qualquer conexão de terceiros requer autenticação pela Amadeus e deve ser formalizada por meio de um pedido de serviço oficial. Isso significa que essa é a única maneira de obter autorização de terceiros, e se um endpoint existente atende a esses requisitos, isso não é visível externamente.

( Restrições no Contrato: limitações no contrato de assinatura principal da Amadeus)

O caso da Google é o mais emblemático. O Google Flights não possui uma API pública, e a empresa adota medidas rigorosas de proteção de seus dados.

No entanto, programas de terceiros estão empacotando acessos aos dados do Google Flights, provenientes do SerpApi — uma empresa que o Google está processando ativamente, acusando de capturar resultados de busca e revender acessos. A denúncia do Google afirma que o SerpApi desenvolveu ferramentas para contornar controles de acesso, enviando “milhares de milhões” de requisições falsas por dia para captura, além de revender conteúdo protegido por direitos autorais embutido nos resultados de busca.

Assim, o Google processa o SerpApi por revenda de conteúdo protegido por direitos autorais e por contornar seus controles de acesso. Enquanto isso, o serviço do SerpApi é encapsulado por um fornecedor de kits de proxy, que o fornece a revendedores mediante pagamento. Isso é algo que merece reflexão.

( Detalhes do acesso ao SerpApi via endpoint StableTravel)

Como a conformidade se manifesta

Mesmo sem ser especialista em direito, fica claro que esses movimentos são “complexos”. A boa notícia é que um padrão mais claro já está emergindo.

O MPP é o protocolo de pagamento por proxy lançado pela Tempo junto à sua mainnet, oferecendo mais de 100 serviços compatíveis desde o dia do lançamento. Fornecedores que integram diretamente o MPP — como Parallel, Stripe Climate, Browser Base — são marcados com um círculo verde em seus cartões, indicando que são provedores de primeira parte.

( Catálogo de serviços acessado via mpp.dev)

Há cerca de duas semanas, a ferramenta de pesquisa de IA Exa anunciou suporte nativo ao protocolo x402 em seus endpoints de busca e conteúdo — tornando-se um provedor de primeira parte e estabelecendo parceria com a Coinbase. Exa afirmou que escolheu o x402 em vez de um protocolo proprietário porque ele é regulado pela Linux Foundation.

Resultado inevitável

Atualmente, não é possível para terceiros identificar se um endpoint é de primeira parte, autorizado ou não autorizado. Essa é uma questão que pode ser resolvida, e o catálogo de serviços do MPP — que mostra claramente a origem de cada integração — é um passo nessa direção.

A captura não autorizada já impôs várias pressões mensuráveis aos provedores de serviços: carga nos servidores, custos de banda e tráfego que eles nunca consentiram em fornecer. Quando terceiros encapsulam esses dados em protocolos x402 e cobram por isso, a situação se agrava. Os provedores arcam com todos os custos, sem receber nada em troca.

Por isso, é fundamental identificar a raiz do problema. O x402 é um protocolo aberto — assim como qualquer desenvolvedor pode criar com base em HTTP, qualquer um pode criar com base em x402. Os mecanismos de pagamento não podem rastrear se os dados upstream foram obtidos de forma autorizada. A responsabilidade recai sobre os desenvolvedores que empacotam esses endpoints para uso dos usuários.

Sem mecanismos de responsabilização, o desenvolvimento do x402 pode sofrer impactos negativos — integradores nativos podem se tornar opositores, ao invés de participantes. Esses rendimentos deveriam pertencer aos provedores de serviço. A integração nativa é a forma de eles reivindicarem esses rendimentos e também de garantir a legitimidade do crescimento do x402.

Nota: Até 25 de abril, o Google Flights não está mais listado no Agentic Market.