Segurança de API para AI Agents: rate limits e auth

AI agents da OpenAI, Anthropic e centenas de startups já estão chamando APIs em produção. Não é um cenário futuro. Está nos logs de tráfego agora.

Toda API construída nos últimos cinco anos foi projetada para um humano do outro lado: um usuário, uma sessão, requisições chegando na velocidade em que alguém digita ou toca a tela. AI agents não funcionam assim. Um único agent pode abrir 50 conexões paralelas, chamar o mesmo endpoint 200 vezes em 10 segundos e rotacionar IPs entre as chamadas. Na maioria das vezes, está fazendo isso de forma completamente legítima, recuperando dados para um usuário real em nome de uma integração real.

O problema é que a maioria das APIs não tem como distinguir uma integração de AI bem-comportada de um ataque de scraper. O tráfego parece igual. O rate limit enxerga o mesmo padrão. As regras do WAF foram escritas para SQL injection e XSS, não para um agent chamando um endpoint de busca 300 vezes por minuto.

Logs de tráfego de três APIs em produção, uma plataforma SaaS pública, uma API de dados fintech e um produto de ferramentas para desenvolvedores, mostram que o tráfego de agents tem um padrão distinto tanto do tráfego humano quanto de ataques de bots. O mesmo vale para as falhas que causa e para as correções.

Resumo: Rate limits por IP são invisíveis para agents que usam rotação de IP. Fluxos OAuth com redirect humano excluem agents completamente. APIs que retornam 200 com erros no body causam retry loops. Dashboards padrão não mostram nada disso. Todos os cinco problemas têm correção em um a dois sprints, sem reconstruir a API.

---

Como o tráfego de AI agents aparece em termos de HTTP

A diferença entre tráfego humano e tráfego de agent não é sutil. Ela aparece no padrão de requisições antes de qualquer outra coisa.

Um humano usando um produto SaaS faz login uma vez, faz algumas chamadas de API durante uma sessão e para. O padrão de requisições parece uma curva de sino: rampa lenta enquanto navega, um pico durante o uso ativo, depois nada. Um usuário humano ativo gera cerca de 10 a 30 requisições por minuto.

Um AI agent recebe uma tarefa, “resuma os últimos 30 dias de atividade do cliente”, e se expande imediatamente. Chama o endpoint de auth, obtém um token e dispara requisições paralelas para cada endpoint de que precisa. Tudo ao mesmo tempo. 50 requisições no primeiro segundo. Depois termina. Depois faz tudo de novo quando a próxima tarefa chega.

Um bot tradicional parece diferente dos dois. Mais lento, mais distribuído, visando endpoints específicos repetidamente, procurando vulnerabilidades ou fazendo scraping de conteúdo. Um flood lento, não um pico. As regras do WAF foram feitas para esse padrão, e funcionam contra ele.

Tipo de tráfego	Padrão	Requisições por minuto	Cobertura WAF
Usuário humano	Curva de sino: rampa, pico, parada	10 a 30	Sim
Ataque de bot	Flood lento, endpoint específico	Variável, sustentado	Sim
AI agent	Pico: burst paralelo, depois parada	50 a 200 em segundos	Não

Três fontes de tráfego diferentes. Três padrões diferentes. Um modelo de defesa construído para exatamente um deles.

---

Quatro coisas que quebram quando agents batem em uma API projetada para humanos

Rate limits. Quase todo rate limit é por IP por minuto, calibrado para o que um usuário humano parece. Um AI agent espalhado por 20 IPs envia 3 requisições por IP por minuto, bem abaixo de qualquer limite razoável, enquanto faz 60 requisições por minuto no total. O rate limiter não vê nada de errado. O agent passa. O rate limit adicionou latência e nada mais.

Rate limiting por conta ou API key, e não por IP, resolve isso. Uma conta tem um orçamento de requisições por janela de tempo, independente de quantos IPs usa.

Auth flows. A maioria dos fluxos OAuth pressupõe um humano no meio: redirect para uma página de login, inserir credenciais, aprovar um scope. Agents não conseguem clicar num browser. Precisam de machine-to-machine auth: client credentials, API keys, service accounts. Se a única opção de auth exige um redirect humano, o agent não consegue autenticar, ou armazena credenciais em cache de maneiras que o dono da API não projetou e não consegue revogar. O fluxo de client credentials do OAuth 2.0 resolve: o agent troca um client ID e um secret por um bearer token de curta duração, sem nenhum redirect humano.

Error handling. Agents não leem mensagens de erro. Fazem parse de status codes. Se uma API retorna 200 com um erro dentro do body, o que APIs mais antigas comumente fazem, o agent trata como sucesso e continua chamando. A API retorna erros, o agent fica em loop, e cada requisição nesse loop consome quota e gera custo sem nenhum valor. Retornar os códigos 4xx ou 5xx corretos e adicionar um header Retry-After às respostas de rate limit dá aos agents bem-comportados um sinal claro para parar.

Observabilidade. Métricas padrão de API rastreiam requisições por endpoint, taxas de erro e latência. Isso é suficiente para tráfego humano. Para tráfego de agent, as perguntas relevantes são: qual agent é esse, qual tarefa está executando e o padrão de requisição é normal para essa integração? Nada disso aparece em métricas padrão. Sem isso, tráfego incomum de agent parece idêntico a um ataque de scraper, o que significa que os times bloqueiam ambos ou nenhum.

---

O problema de identidade: saber o que está chamando sua API

A parte mais difícil de lidar com tráfego de agent é identidade. Como uma API sabe que algo é um AI agent? A resposta honesta: de forma imperfeita, com múltiplos sinais.

Alguns agents enviam um header User-Agent que os identifica. O crawler da OpenAI usa GPTBot. O agent da Anthropic usa ClaudeBot. Mas qualquer desenvolvedor pode definir o User-Agent como quiser. Um scraper pode se chamar de GPTBot. Um agent real pode remover completamente seu User-Agent. User-Agent não é uma fronteira de segurança.

Um sinal mais confiável é o behavioral fingerprinting. AI agents têm um padrão de chamada consistente: requisições paralelas, travessia estruturada de endpoints, comportamento de retry previsível e ausência de dados de fingerprint de browser, sem movimentos de mouse, sem render timing, sem eventos de scroll. O Bot Manager da Azion classifica o tráfego usando esses sinais comportamentais junto com machine learning, pontuação de requisições, reputação de rede e device fingerprinting. Não é perfeito, mas é muito mais confiável do que fazer match de User-Agent.

O terceiro sinal é a própria integração. Uma API key registrada por uma empresa conhecida fazendo requisições com padrão de agent é identificável. Construir políticas explícitas para agents conhecidos, com rate limits mais altos, fluxos de auth dedicados e observabilidade por escopo, resolve o caso legítimo. Agents desconhecidos recebem fricção até se identificarem. Bots maliciosos são bloqueados.

Categoria de agent	Identificação	Política
Agent conhecido (key registrada)	API key + padrão comportamental	Limites maiores, M2M auth, observabilidade dedicada
Agent desconhecido (sem registro)	Padrão comportamental apenas	Resposta com fricção até identificação
Bot malicioso	Comportamental + sinais de reputação	Bloqueio

---

Cinco correções que cobrem tráfego de agent sem reconstruir a API {#agent-api-fixes}

Todas as cinco são implementáveis em um a dois sprints. Nenhuma exige reconstruir a API do zero.

Behavioral rate limiting. Mude os rate limits de por-IP para por-conta ou por-API-key, com um orçamento de requisições por janela de tempo. Uma conta tem 1.000 requisições por minuto independente de quantos IPs usa. Isso fecha o bypass de rotação de IP e dá aos agents legítimos um contrato previsível e documentado.

Machine-to-machine auth. Adicione um fluxo de client credentials do OAuth 2.0. Os agents recebem um client ID e um secret, trocam por um bearer token com curta expiração e fazem chamadas de API com esse token. Sem redirect humano. O token é revogável. Pode ter scope por integração. A maioria dos frameworks de agent já suporta esse fluxo nativamente.

Status codes HTTP corretos. Audite a API em busca de respostas 200 com erros no body. Mude para os códigos 4xx ou 5xx adequados. Adicione um header Retry-After às respostas de rate limit. Isso sozinho pode reduzir significativamente a carga de origem relacionada a agents, cortando os retry loops antes que se compoundem.

Observabilidade orientada a agents. Adicione dois campos a cada log de API: tipo de cliente (humano, agent conhecido, agent desconhecido) e um request context ID que agrupa todas as requisições de uma única tarefa de agent. Com esses campos, é possível ver o que um agent está tentando fazer, quanto tempo leva e se o comportamento está dentro do esperado para essa integração. O Real-Time Events da Azion expõe isso na borda da rede antes das requisições chegarem à origem.

Uma camada de classificação. Entre a internet e a API, uma camada que classifica a intenção do tráfego em tempo real muda o que é possível fazer. O Bot Manager da Azion usa sinais comportamentais, Reputation Intelligence e machine learning para classificar cada requisição como humano, bot legítimo, bot malicioso ou em avaliação. Agents legítimos conhecidos recebem uma regra de allow com limites maiores. Agents desconhecidos recebem uma resposta com fricção que integrações legítimas conseguem tratar e bots abusivos não.

---

Tráfego de agent como canal de distribuição

A maioria dos times enquadra o tráfego de AI agent como um problema de segurança. O outro enquadramento, o que importa para a estratégia de produto, é distribuição.

Se uma API tem machine-to-machine auth limpo e retorna respostas bem estruturadas, AI agents podem usá-la para construir coisas que o dono da API não construiu. A API vira um componente em uma aplicação de IA de outra empresa. As empresas que vão definir os próximos cinco anos de software são aquelas cujas APIs os agents conseguem de fato chamar.

Sem plano para tráfego de agent, um de dois resultados acontece: a API cai por uso legítimo em escala, ou o time bloqueia tudo e perde as integrações que deveriam impulsionar o crescimento. Nenhuma das duas é boa.

Os times que estão à frente nessa questão fizeram três mudanças: behavioral rate limiting, client credentials auth e uma camada de classificação na frente da API. Um sprint. A janela para fazer isso antes de virar urgência está fechando.

---

AI agents já estão em produção, já estão chamando APIs, já estão batendo em premissas que nunca foram testadas em velocidade de máquina. As cinco correções acima não são item de roadmap futuro. São uma resposta a tráfego que já está ali.

Fale com um especialista da Azion para ver como Bot Managere Real-Time Events lidam com classificação e observabilidade de AI agents na borda da rede.

---

Perguntas frequentes

Como o tráfego de AI agent é diferente do tráfego de bot? Ataques de bot geralmente usam um flood lento e sustentado visando endpoints específicos repetidamente, procurando vulnerabilidades ou fazendo scraping de conteúdo. AI agents geram um padrão de pico: 50 a 200 requisições paralelas em poucos segundos, depois silêncio, depois outro pico quando a próxima tarefa chega. Regras de WAF e a maioria das configurações de rate limiting foram feitas para padrões de ataque de bot e não são eficazes contra tráfego com estilo de agent. Os dois tipos de tráfego são distintos em comportamento, intenção e nas defesas que funcionam contra eles.

Por que o rate limiting por IP falha contra AI agents? A infraestrutura de AI agents geralmente distribui o tráfego por múltiplos IPs. Um agent com um orçamento de 60 requisições por minuto pode enviar 3 requisições de cada um de 20 IPs, ficando abaixo de qualquer limite por IP enquanto consome o orçamento completo em paralelo. Rate limiting por conta ou API key, onde uma conta tem um único orçamento de requisições independente de quantos IPs usa, fecha esse bypass.

O que é OAuth machine-to-machine e por que AI agents precisam disso? O fluxo de client credentials do OAuth 2.0 permite que um serviço se autentique diretamente em uma API usando um client ID e um secret, sem nenhum redirect humano ou interação de browser. AI agents não conseguem completar fluxos OAuth com redirect humano porque não têm um browser para clicar. O auth de client credentials dá aos agents um token revogável e com escopo que podem obter programaticamente, o que também é mais fácil de auditar e revogar do que credenciais em cache.

O que o behavioral fingerprinting detecta que o match de User-Agent não detecta? Strings de User-Agent são auto-declaradas e trivialmente falsificadas. O behavioral fingerprinting analisa padrões reais de requisição: paralelismo, sequência de travessia de endpoints, comportamento de retry e ausência de sinais de browser como movimentos de mouse, render timing e eventos de scroll. Um agent que se declara como um crawler legítimo via User-Agent ainda exibe padrões comportamentais específicos de agent que o fingerprinting detecta. É mais confiável, embora não seja infalível.

O que é um header Retry-After e por que importa para AI agents? O header HTTP Retry-After diz ao chamador quanto tempo esperar antes de fazer outra requisição. Quando uma API retorna uma resposta 429 Too Many Requests sem Retry-After, um agent mal configurado pode tentar novamente imediatamente, criando carga crescente na origem. Um agent bem-comportado que recebe Retry-After vai aguardar a duração especificada. Adicionar esse header às respostas de rate limit é uma das correções de menor esforço com maior impacto na redução de retry loops de agents.

Qual é o argumento de negócio para tornar APIs compatíveis com agents? APIs projetadas para tráfego de agent se tornam canais de distribuição. AI agents construindo aplicações sobre uma API bem estruturada e autenticada via M2M estendem o alcance da API para casos de uso que o time original nunca construiu. Stripe e Twilio se tornaram infraestrutura fundamental em parte porque suas APIs eram fáceis de chamar programaticamente. Times que projetam para tráfego de agent agora estão posicionando suas APIs como componentes na camada de aplicações de IA que está sendo construída em toda a indústria. Times que bloqueiam ou ignoram o tráfego de agent estão se excluindo dessa camada.