Apenas 17 de 50 APIs pessoais de serviços russos estão abertas sem contrato empresarial

Imagine dizer a um agente: «Peça as compras, pague a internet e apague a luz». Nas notícias internacionais isso já parece quase rotineiro. E os serviços russos? Vika, autora de um estudo no Habr, decidiu não especular e verificou 424 empresas e produtos em 16 áreas.

Para empresas há API, para compradores ainda não

A principal conclusão: há bem mais conexões para empresas do que para tarefas pessoais. Dos 424 serviços, 232 tinham API, MCP ou A2A, num total de 312 conexões. Dessas, 233 destinam-se principalmente a empresas e apenas 50 a cenários pessoais. São 214 APIs, 97 MCP e um A2A. Entre os MCP, 34 são oficiais e 63 de terceiros.

Um exemplo típico: pela Ozon Seller API é possível gerenciar produtos, preços e remessas. Mas isso não serve ao agente de um comprador: ele não consegue finalizar um pedido na sua conta.

Uma ressalva importante: a amostra contém muitas soluções empresariais, por isso não é possível extrapolar as proporções para todo o mercado. A autora não testou o funcionamento das conexões; baseou-se na documentação e nas descrições dos autores dos conectores.

Há busca, quase não há compra

Entre as 59 conexões com cenários pessoais, o quadro é este: 53 oferecem busca, 8 criação ou confirmação de pedido e apenas 5 uma operação de pagamento. Dessas cinco, quatro são MCP de terceiros e uma é a API oficial do YuMoney.

O VkusVill dá ao agente uma ferramenta que encontra produtos e cria um link para o carrinho. A compra, de qualquer forma, deve ser concluída por uma pessoa. Na Lenta, a API mostra lojas, preços e disponibilidade, mas a finalização do pedido não está confirmada no conjunto publicado. A Delovye Linii (Business Lines) permite criar uma solicitação de transporte, mas o cancelamento ou a alteração podem ser recusados após análise.

Resultado físico (pedido, transporte, comando a um dispositivo) é declarado em 10 conexões pessoais de 9 serviços. Cinco delas são MCP de terceiros. Quatro usam APIs internas ou automação de navegador, por exemplo os MCP para Yandex Eda e Pyaterochka. É uma base frágil: declarações dos autores não equivalem a promessas do dono do serviço.

O acesso muitas vezes está fechado antes da primeira requisição

O acesso oficial autônomo, sem contrato corporativo nem plano pago, existe em 28 das 312 conexões, 17 delas pessoais. As outras 284 exigem condições adicionais ou o acesso não é claro. Em 191 é necessário acesso corporativo, conta de vendedor ou papel de parceiro; em 80 casos são necessárias aprovação ou configuração por um administrador.

O A2A apareceu uma única vez: no Albato Copilot, um agente externo pode criar e executar automações, mas o endereço e o token são fornecidos por um gerente.

Há também uma boa notícia: a hipótese de que «as APIs só leem» não se confirmou. 186 conexões alteram dados digitais e 34 permitem finalizar um pedido, transporte ou reserva, ou enviar um comando a um dispositivo. Essas ações simplesmente se concentram em ferramentas empresariais. Yandex Disk e Smart Home oferecem APIs oficiais pessoais, e o comando ao dispositivo funciona sem compra.

O que fazer se você é desenvolvedor ou product manager

Se você está criando um agente para consumidores, não conte com um caminho pronto de «busca, carrinho, pagamento». Por enquanto ele é montado com partes: busca oficial, link do carrinho e confirmação humana. Se você é dono de um serviço, a lacuna é óbvia: acesso pessoal via OAuth sem conta de vendedor.

Antes de conectar, a autora recomenda verificar cinco coisas:

• se é possível obter acesso pessoal sem contrato;
• se as permissões de leitura e alteração são separadas;
• se há confirmação da operação;
• se o pedido está protegido contra reenvio duplicado;
• se é possível verificar o resultado.

A autora publicou o registro completo com as fontes. Ele é útil como um mapa do que já dá para testar na prática e do que é melhor aguardar soluções oficiais.