WebMCP: dar ferramentas a agentes na Web exige menos adivinhação e mais autoridade explícita

O sinal e os factos que mudam a decisão

A OpenAI abriu em 25 de agosto um desafio de dez dias em torno do WebMCP, descrito pela própria empresa como um standard aberto experimental que permite a um site expor ferramentas estruturadas a agentes. A página indica testes no browser integrado do ChatGPT ou no Chrome através de flag experimental ou origin trial; isso confirma experimentação, não maturidade de produção nem consenso normativo.

A página oficial chama WebMCP experimental e o W3C regista discussão de draft; nenhum dos dois elementos autoriza apresentá-lo como Recommendation W3C ou API estável. Ferramentas expostas pelo site não eliminam autenticação nem autorização: a identidade do agente, do utilizador e da sessão deve chegar à decisão do servidor.

OWASP identifica funcionalidade, permissões e autonomia excessivas como dimensões separadas; reduzir qualquer uma limita o impacto de instruções erradas ou manipuladas. Uma interface estruturada reduz cliques adivinhados, mas pode tornar uma ação perigosa mais fácil de descobrir e repetir; descrição ambígua, autorização herdada ou confirmação genérica pode converter navegação em execução massiva.

Decisão, limites e condição de bloqueio

Pilote apenas tarefas reversíveis e estreitas. Cada ferramenta deve declarar input, efeito, identidade, dados lidos, dados alterados, pré-condições, confirmação humana, idempotency key, limite de taxa, erro e recibo verificável.

Uma interface estruturada reduz cliques adivinhados, mas pode tornar uma ação perigosa mais fácil de descobrir e repetir; descrição ambígua, autorização herdada ou confirmação genérica pode converter navegação em execução massiva.

Execução e prova de conclusão

A execução deve começar por escolher uma tarefa de baixo impacto e escrever contrato, política de acesso, confirmação, rollback e telemetria antes da ferramenta. Depois, testar input adversarial, prompt injection no conteúdo, repetição, corrida, mudança de sessão, objeto inexistente e resposta parcial. O fecho exige manter a ui humana e o fallback acessível, ativar por allowlist e medir erro, abandono, ação indevida e reversão.

O piloto passa quando uma pessoa entende exatamente o efeito antes de confirmar, o servidor recusa autoridade insuficiente, retries não duplicam efeitos e o log liga intenção, identidade, argumentos, decisão e resultado.

• escolher uma tarefa de baixo impacto e escrever contrato, política de acesso, confirmação, rollback e telemetria antes da ferramenta.
• testar input adversarial, prompt injection no conteúdo, repetição, corrida, mudança de sessão, objeto inexistente e resposta parcial.
• manter a UI humana e o fallback acessível, ativar por allowlist e medir erro, abandono, ação indevida e reversão.
• O piloto passa quando uma pessoa entende exatamente o efeito antes de confirmar, o servidor recusa autoridade insuficiente, retries não duplicam efeitos e o log liga intenção, identidade, argumentos, decisão e resultado.