A guerra dos protocolos de agentes acabou. O mapa que sobrou mente por simetria.

Daqui a onze dias, a 28 de julho, sai a versão final da maior revisão de sempre do MCP, o protocolo que liga modelos de AI a ferramentas e dados. É um bom pretexto para arrumar uma história que se fechou quase sem ninguém dar por ela: a chamada "guerra dos protocolos de agentes" acabou. E acabou da forma menos dramática possível: por doação. Entre dezembro de 2025 e abril de 2026, os quatro protocolos principais foram todos entregues a corpos neutros. O MCP à Linux Foundation em dezembro. O x402 idem, em abril. O AP2 à FIDO Alliance, também em abril. O A2A já lá estava desde 2025 e chegou à versão 1.0 em abril de 2026.

Sobrou um diagrama que aparece em todas as apresentações: cinco camadas empilhadas, cada protocolo na sua, tudo arrumado. O diagrama é verdadeiro. E mente por simetria: desenha as camadas do mesmo tamanho, quando na prática quase todo o peso real está numa só.

O mapa, sem jargão

Cinco nomes, cada um a resolver um pedaço do mesmo problema: como é que um agente de software age no mundo em nome de alguém.

O MCP (Model Context Protocol, Anthropic, novembro de 2024) liga um modelo às ferramentas e aos dados: é a tomada normalizada entre a AI e os sistemas. O A2A (Agent2Agent, Google, 2025) trata da conversa entre agentes: como dois agentes de empresas diferentes se descobrem e trocam tarefas. O ACP (OpenAI e Stripe) trata do checkout quando um agente compra. O AP2 (Google, agora FIDO) trata da autorização: mandatos assinados que provam que um humano concreto autorizou uma compra concreta, dentro de limites concretos. E o x402 (Coinbase) trata da liquidação máquina-a-máquina, reativando um código HTTP esquecido desde os anos 90, o 402, "Payment Required".

O melhor paralelo é o contentor de carga. O valor do contentor nunca esteve na caixa de metal; esteve em toda a gente concordar com a mesma caixa, o que transformou cada porto e cada navio em peças permutáveis. Estes protocolos fazem o mesmo à integração: em vez de cada modelo precisar de uma ligação à medida com cada sistema (o velho problema N×M), cada lado implementa o standard uma vez. Uma compra pode atravessar quatro deles sem rivalidade nenhuma: o agente lê o catálogo por MCP, monta o carrinho, prova a autorização com AP2, liquida por x402 ou cartão.

As camadas não pesam o mesmo

"Empilham em vez de competir" tornou-se o consenso de 2026, e é verdade. Mas o consenso omite o dado mais útil para quem decide onde gastar atenção: a distribuição do peso.

Os números falam alto. Quando foi doado, em dezembro, o MCP contava 97 milhões de downloads mensais de SDK e mais de 10 000 servidores públicos ativos, com suporte nativo em praticamente tudo o que interessa: ChatGPT, Claude, Gemini, Copilot, Cursor, VS Code. Os trackers comunitários dão-lhe à volta de 87 000 estrelas no GitHub, contra vinte e poucos mil do A2A e poucos milhares dos protocolos de comércio (números indicativos, de tracker, mas a ordem de grandeza é o que importa). O A2A tem adoção empresarial real, sobretudo via Microsoft, Google e AWS. As camadas de pagamento correm cargas pequenas: o x402 acumulava cerca de 50 milhões de dólares (uns 45 milhões de euros) de volume em abril. O MCP não é uma camada entre cinco; é o poço gravítico à volta do qual as outras orbitam.

Há uma razão estrutural para isto. Ligar um modelo a ferramentas é o problema que toda a gente tem, hoje, do programador solitário à seguradora. Agentes a negociar com agentes, e a pagar uns aos outros, é o problema que algumas empresas têm, às vezes, ainda quase sempre em piloto. As camadas de cima esperam pelo futuro; a de baixo já está em produção em todo o lado.

O que este mapa não diz

Três avisos que separam o mapa da propaganda.

"Apoiado por 150 organizações" não é adoção. É um espectro que vai do logótipo no site à produção real, e a métrica que interessa, retenção em produção, quase ninguém publica. Vale para todos os protocolos da stack, incluindo os que uso e defendo.

A segurança não está resolvida, e não é a autorização que a resolve. A injeção de prompts continua no topo dos riscos OWASP para aplicações com modelos de linguagem, e o tool poisoning (instruções maliciosas escondidas nas descrições ou nas respostas das ferramentas) explora um buraco estrutural do MCP: as descrições são revistas uma vez, na ligação, mas o que as ferramentas devolvem entra no contexto do modelo sem verificação equivalente. A revisão de 28 de julho endurece a autorização, alinhando-a com OAuth, e ainda bem. Mas autorizar não é confiar: o consenso que se está a formar é que a governação tem de viver no runtime, fora do alcance do prompt. Escrevi sobre essa regra, aplicada em ponto pequeno, quando dei as chaves deste blog a um agente.

Estabilizar por governação também custa. A revisão de 28 de julho remove as sessões e o handshake de inicialização do núcleo do protocolo, 20 meses depois de ele nascer. É saúde arquitetural, e é caro para quem construiu em cima. A resposta institucional, uma janela mínima de 12 meses entre depreciação e remoção, é exatamente o tipo de aborrecimento que distingue infraestrutura de moda.

Das trincheiras

Uso esta stack todos os dias, na camada onde ela pesa: MCP, conectores e skills em produção, no trabalho de consultoria e nos produtos próprios. E é aí que se sentem as arestas que o explicador genérico não menciona. O custo de contexto é real: a própria Anthropic documentou configurações em que as definições de ferramentas consumiam entre 55 000 e 134 000 tokens antes da primeira pergunta. Foi esse custo que alimentou a narrativa "skills matam o MCP" no outono passado. A leitura certa é outra: skills são conhecimento processual (como fazer), MCP é conectividade (a que é que chegas), e as duas camadas compõem-se. Quem usa as duas diariamente sente onde cada uma dói, e são dores diferentes.

O outro lado da trincheira é este próprio site. Está aberto a todos os rastreadores de AI por decisão, tem uma API de conteúdo e um servidor MCP por onde um agente já escreveu uma peça inteira em rascunho, com regras que contei aqui. Para um site destes, a stack toda resume-se por agora a uma pergunta: quando um agente chegar a representar alguém, o que lá está é legível? É a mesma conclusão a que cheguei pelo ângulo do comércio na peça sobre comércio agéntico: antes de vender através de um agente, é preciso ser legível para um agente.

A escada do implementador

A pergunta certa não é "que protocolos adoto?", é "em que degrau estou?". A escada, de baixo para cima: primeiro, conteúdo e dados legíveis por máquina (isto toca toda a gente, hoje). Segundo, expor os teus sistemas por MCP, começando por leitura e escritas reversíveis (toca quem já opera software; é barato e o retorno é imediato). Terceiro, coordenação entre agentes via A2A (toca empresas com processos multi-equipa, em piloto). Quarto, pagamentos agênticos (não toca quase ninguém pequeno, ainda; ver o que aconteceu à montra do checkout por AI).

A aposta calma é esta: a camada de fundo acabou de estabilizar, com governação neutra, política de depreciação e a maior revisão da sua história fechada. É infraestrutura, no sentido aborrecido e durável da palavra. Os degraus de cima ainda vão mudar de forma. Não é preciso subir a escada toda; é preciso saber em que degrau está o teu negócio, e esse, quase de certeza, é dos de baixo.

mcp #agentes #protocolos #ia