Sovereign Agent Mesh: Google apresenta rede P2P para conectar agentes de inteligência artificial
Um novo projeto de código aberto chamado Sovereign Agent Mesh, abreviado como SAM, propõe uma alternativa para conectar agentes de inteligência artificial distribuídos em diferentes ambientes sem expor APIs internas à internet. Publicado sob a licença Apache-2.0, o sistema foi descrito como uma camada de rede ponto a ponto com configuração zero e modelo de confiança zero, voltada especificamente para o compartilhamento de ferramentas entre agentes por meio do Model Context Protocol, conhecido como MCP, um padrão que padroniza a forma como agentes acessam ferramentas externas.
O ponto de partida do projeto é um problema prático. Os agentes de inteligência artificial deixaram de rodar apenas em servidores em nuvem e agora operam em data centers locais, laptops, dispositivos Raspberry Pi e até smartphones Android. Permitir que esses agentes compartilhem ferramentas geralmente exige expor scripts internos, endpoints de modelos de linguagem ou APIs privadas na internet pública. O SAM tenta resolver essa questão criando uma rede sobreposta privada, semelhante a uma VPN, mas restrita à comunicação entre agentes.
A arquitetura do sistema se divide em três componentes principais. O primeiro é o sam-control-plane, responsável pelo registro de identidades, emissão de tokens e distribuição de políticas. O segundo é o sam-router, que funciona como pontos de inicialização da rede usando a biblioteca libp2p, uma tecnologia de redes descentralizadas, e sobreposições de roteamento baseadas no protocolo GossipSub, usado para propagação eficiente de mensagens. O terceiro é o sam-node, o cliente ponto a ponto que oferece transporte na malha, conectividade auto-recuperável e uma interface HTTP local para o Model Context Protocol, operando por padrão na porta 8080, enquanto a comunicação libp2p utiliza as portas 5001 no protocolo UDP e 5002 no TCP.
Um dos aspectos mais destacados do projeto é o sistema de identidade. O plano de controle recebe um token JWT do padrão OIDC, protocolo usado para autenticação federada, e converte suas declarações em fatos Datalog, um formato lógico usado para descrever permissões, que são então lacrados em um token Biscuit, um formato de token criptográfico que carrega regras de autorização. O identificador do usuário se transforma em um fato de usuário, cada grupo vira um fato de grupo e o identificador do par na rede é vinculado como identificador do cliente. Como consequência, os nós conseguem autorizar requisições localmente, sem precisar consultar o plano de controle a cada chamada.
A política de acesso opera em modo de negação padrão, o que significa que nenhum serviço é acessível sem permissão explícita. Até mesmo o catálogo de descoberta, chamado system://sam.catalog, precisa de uma concessão expressa. Os serviços são identificados por uma convenção do tipo tipo://nome, com suporte a curingas, como mcp://* ou mcp://build-runner.*. Cada requisição passa por um pipeline de duas etapas. A primeira verifica conexões contra caches de bloqueio e revogação. A segunda executa exatamente duas passagens do autorizador Biscuit, cobrindo o token do próprio nó e o token do chamador, com uma verificação adicional que bloqueia tentativas de repetição ao exigir que o identificador do par da conexão corresponda ao token apresentado.
Do lado dos agentes, o nó expõe ferramentas padrão do Model Context Protocol para descoberta e chamada remota de serviços, incluindo discover_remote_services, find_remote_tools e call_remote_tool. A documentação fornece guias de integração para agentes como Gemini, Claude Code, Claude Desktop, Google Antigravity e OpenClaw. Um recurso adicional, o sam-node skill install, gera um arquivo SKILL.md que permite ao próprio agente colocar o nó em operação, embora o login de inscrição permaneça sob responsabilidade de um humano.
O projeto também inclui um componente voltado para a segurança de saída de rede, chamado sam-box, acompanhado do nano-init, um processo que roda como PID 1 no ambiente isolado do agente e configura variáveis de proxy. Para ferramentas que ignoram essas variáveis, o sistema utiliza um mecanismo chamado LD_PRELOAD, que injeta uma biblioteca antes da execução para interceptar a chamada de sistema connect nas portas 80 e 443. O tráfego chega ao sam-box por meio de um socket de domínio Unix, o gateway verifica o token Biscuit, injeta a credencial real armazenada em arquivo e reescreve a requisição como HTTPS. Assim, o agente dentro do ambiente isolado nunca possui a chave de acesso.
Para quem pretende utilizar o SAM em ambiente de produção, o repositório deixa claro que a malha pública disponível em bananas.sam-mesh.dev ainda é uma testnet em fase beta. O caminho recomendado é o chamado modo DIY, no qual a própria organização hospeda seu plano de controle para ter domínio completo sobre dados e políticas. O projeto é distribuído em binários Go, script de instalação, imagens Docker, um chart Helm para Kubernetes e traz suporte para Android e iOS, além de um guia de produção para Kubernetes.
O repositório no GitHub traz um aviso explícito de que o SAM não é um produto oficialmente suportado pelo Google. Ainda assim, o projeto se posiciona como uma solução para organizações de médio e grande porte que executam agentes em múltiplos limites de rede, especialmente em setores regulados como serviços financeiros, saúde, setor público, defesa e frotas industriais ou de robótica, onde expor ferramentas internas à internet não é uma opção viável.
