OpenAI, Meta, Google e Instinct vendem seus agentes autônomos com uma promessa simples: você pede, eles compram, reservam e resolvem. As demonstrações deixam de fora uma dependência. Para fechar um carrinho ou emitir uma passagem, o agente precisa operar dentro de sites feitos para pessoas, e os donos desses sites nunca concordaram em atender software. Nas últimas semanas, usuários do Muse (Meta), do Grok (xAI), do Dots (OpenAI) e do agente da Instinct relataram tarefas interrompidas na Amazon, na Delta, em bancos americanos e em outros sites grandes. A Amazon, por sua vez, já disputa na Justiça com a Perplexity (abre em nova aba) desde o ano passado por esse mesmo tipo de uso.
A leitura mais comum trata isso como atrito de adoção, algo que modelos melhores e algum tempo resolvem. Discordo. Os bloqueios mostram que o acesso a um site virou um ativo quando quem chega é um programa agindo por alguém, e ativos se negociam. A web dos agentes não será aberta por padrão. Ela vai funcionar à base de permissões, licenças e acordos bilaterais, e quem constrói agentes ou mantém sites precisa planejar em cima disso.
Três motivos sob a mesma palavra
"Bloquear agentes" descreve decisões com lógicas distintas. Até agora, estes são os casos documentados:
| Empresa | O que fez | Justificativa pública |
|---|---|---|
| Amazon | Exigiu o fim das compras pelo Comet, da Perplexity, e processou a empresa. Diz que o "acesso contínuo" do Muse viola suas políticas. Há relatos de Grok, Dots e Instinct barrados | Terceiros devem operar de forma transparente e respeitar a decisão do site |
| Yelp | Só aceita agentes inscritos no seu programa pago de licenciamento de dados | Acesso condicionado a pagamento |
| Delta Air Lines | Impede agentes de comprar passagens em nome de usuários | Não detalhada |
| JPMorgan Chase e Charles Schwab | Confirmaram bloqueio de agentes no acesso a contas | Segurança |
| Cars.com e Amtrak | Usuários relatam que os agentes deixaram de funcionar | Nenhum anúncio formal |
Os motivos se resumem a três. O primeiro é segurança, no caso dos bancos. O segundo é dinheiro: explícito no Yelp, implícito na Amazon. O terceiro é custo de infraestrutura, o argumento da Cloudflare (abre em nova aba) e de fóruns independentes que relatam tráfego de crawlers elevando custos sem trazer visitantes. Só a segurança independe do modelo de negócios de quem bloqueia. É nesse ponto que o debate se confunde, e a confusão favorece quem bloqueia, porque qualquer restrição comercial pode ser apresentada como zelo pelo cliente.
O que a Amazon está protegendo
Em declaração de novembro de 2025, a Amazon disse ter pedido repetidas vezes que a Perplexity parasse de comprar em sua loja pelo navegador Comet. Também acusou a ferramenta de não se identificar adequadamente como automatizada. A Perplexity respondeu que a varejista evita agentes porque eles reduzem o número de pessoas diante dos anúncios, e que a Amazon "não acredita no seu direito de contratar mão de obra, de ter um assistente ou um funcionário agindo em seu nome". Um juiz chegou a mandar suspender o recurso. Em agosto, um tribunal de apelações derrubou a ordem, e a Amazon apresentou uma petição emendada. O caso segue aberto.
A acusação da Perplexity é interessada, mas descreve algo real. A loja da Amazon é onde a intenção de compra vira inventário publicitário: busca, resultados patrocinados, recomendações. Um agente que vai direto ao produto, compara e finaliza a compra pula essa camada. A perda maior, porém, não está no anúncio. Se a intenção de compra passa a ser formada dentro do agente, a loja vira o back-end que entrega pelo menor preço. Para quem já controla a demanda, aceitar agentes significa virar fornecedor de quem controla o agente. Elon Musk reagiu ao bloqueio sugerindo que talvez devesse criar um concorrente da Amazon, e com isso confirmou o ponto sem querer: a alternativa a pedir permissão é ser dono da loja.
O teste dessa leitura é ver quem aceita os agentes. A Meta não brigou com a Amazon. Fechou acordos para o Muse comprar no Walmart, na Gap, na Sephora e na Best Buy, e a Shopify (abre em nova aba) abriu sua rede de lojas a agentes. São empresas que precisam de demanda venha de onde vier, e não as que já a concentram. No início de outubro, a Meta argumentou que recusar um agente pessoal é recusar o cliente por trás dele. O argumento convence quem precisa de clientes. Para quem já os tem, o cliente por trás do agente é justamente o que está em disputa.
A pilha técnica do bloqueio
Para quem desenvolve, "o site bloqueia agentes" pode significar quatro coisas bem diferentes.
robots.txt é declaração, não barreira. O protocolo depende de obediência voluntária e foi pensado para coleta de conteúdo, não para um agente que conduz uma compra numa sessão aberta pelo usuário. Ele separa robôs de treino (GPTBot, ClaudeBot, Google-Extended, CCBot) dos de busca (OAI-SearchBot, PerplexityBot, Claude-SearchBot) e serve como termômetro público da postura de cada site.
No Brasil, um levantamento da Varrida (abre em nova aba) leu em 17 de outubro o robots.txt de 75 sites grandes. Do total, 61 não bloqueiam nenhum robô de IA e 11 barram ao menos um robô de busca, sempre incluindo o PerplexityBot. O amazon.com.br bloqueia os sete robôs monitorados, o que é coerente com a linha da empresa nos EUA. O Mercado Livre barra o PerplexityBot e os robôs de treino da OpenAI e da Anthropic. A Americanas libera os de busca e barra GPTBot, Google-Extended e CCBot. Nenhum banco lido bloqueia robô algum, mas isso não diz nada sobre um agente tentando entrar numa conta, porque essa questão se resolve no login e no antifraude. O dado mais revelador é outro: 28 sites não deixaram nem que o próprio robots.txt fosse lido por acesso automatizado. Nesses casos, a decisão é tomada antes de qualquer arquivo ser consultado.
Na borda da rede, o padrão virou a política. A Cloudflare lançou em 2025 o bloqueio de crawlers de IA com um clique. Depois passou a barrar crawlers que indexam para busca e coletam para treino ao mesmo tempo. Segundo o Xataka, desde 15 de setembro a empresa bloqueia por padrão agentes e crawlers de treino em sites novos e contas gratuitas, nas páginas com anúncios. Com isso, uma parte da web passa a recusar agentes sem que o dono do site tenha decidido nada.
O antifraude é o bloqueio que ninguém anuncia. Há relatos de contas do Google suspensas por atividade suspeita depois de interações com o Muse e de compras que não fecham no Walmart, apesar da parceria oficial. Sessões novas, ritmo de máquina e uma cadeia de ações que termina no pagamento formam exatamente o perfil que esses sistemas foram calibrados para barrar.
Contrato e tribunal completam a pilha. São os termos de uso e o processo, no caso da Amazon, e o licenciamento, no caso do Yelp. Essa camada define o preço de atravessar as outras três.
O melhor argumento contra
A objeção mais forte é que tudo isso é, antes de mais nada, segurança. JPMorgan e Schwab não têm prateleira patrocinada a proteger e bloqueiam mesmo assim. Para um modelo antifraude, um agente com as credenciais de uma conta se parece com uma conta sequestrada. Também não há resposta clara sobre quem responde quando a ferramenta erra. Na infraestrutura, a ofensiva da Cloudflare responde a um volume de bots de IA que pressiona servidores, lota caixas de entrada e pode tornar ainda mais difícil competir com robôs por ingressos e reservas. A capacidade que reserva uma mesa para você também reserva cem para um cambista.
Concedo que, em bancos e companhias aéreas, a segurança basta como explicação. Mas ela reforça a tese em vez de enfraquecê-la. A saída para o problema de segurança é identificação e responsabilização: agentes que declaram quem são, em nome de quem agem e com quais limites. Foi exatamente o que a Amazon cobrou ao exigir que terceiros operem "de forma transparente". Um agente identificável também pode ser cobrado, e o Yelp já deu esse passo. Segurança e negócio levam à mesma arquitetura, que é o acesso mediante permissão.
A defesa dos agentes diz que o usuário autorizou e que o software é uma extensão dele. Esse argumento ganhou força com a decisão de agosto. Uma vitória judicial, porém, garante no máximo o direito de tentar. Ela não faz o antifraude aprovar o pagamento.
O que muda na prática
Para quem constrói agentes:
- Automação de navegador em sites que não consentiram é demonstração, não produto. A cobertura depende de terceiros e muda sem aviso, como mostram Cars.com e Amtrak.
- A falha se concentra no último passo: login, checkout, pagamento. Projete nesse ponto uma devolução explícita ao usuário. Sem isso, a conveniência desaparece justamente na tarefa prometida.
- Identifique o agente. A acusação de que o Comet não se apresentava como automatizado deu à Amazon o argumento da transparência.
- Poder de negociação vai pesar mais que qualidade de modelo. A Meta assina com Walmart e Best Buy, mas uma startup dificilmente consegue o mesmo. Chris Canal, CEO da avaliadora de segurança EquiStamp, disse ao The Verge que os bloqueios afetam "absolutamente" o valor percebido de OpenAI e Anthropic, porque sobram menos coisas úteis para os agentes fazerem.
Para quem opera sites:
- Decida de propósito. Segundo a Varrida, o problema mais frequente é o robots.txt copiado de modelo ou gerado por plugin ou CDN, que barra os robôs de busca junto com os de treino. Para uma loja que quer ser recomendada, isso a tira das respostas com link daquela IA.
- Se o site roda no plano gratuito da Cloudflare, verifique o que o novo padrão está recusando.
- Separe três políticas: coleta de conteúdo, transações feitas por agentes e sessões autenticadas. Juntar tudo num único "bloquear IA" é como um site acaba recusando o cliente que queria ter.
Para quem constrói agentes, a pergunta relevante mudou. O modelo já consegue clicar no botão de compra. O que falta saber é quem, do outro lado, aceitou que esse clique valha.