Amazon Cognito adiciona troca de tokens OAuth 2.0 para agentes de IA e servidores MCP

A Amazon Web Services lançou a troca de tokens OAuth 2.0 no Amazon Cognito em 12 de novembro de 2026, implementando a RFC 8693 para que um serviço ou agente de IA possa trocar o token de um usuário por um token mais restrito, limitado a uma API específica, segundo o anúncio da Amazon Web Services.

O que a AWS mudou

• O Amazon Cognito agora suporta a troca de tokens OAuth 2.0 conforme a RFC 8693, anunciada em 12 de novembro de 2026.
• Um serviço ou agente de IA pode trocar o token de um usuário por um token limitado a uma API específica.
• Os tokens trocados são de audiência única e não incluem um token de atualização (refresh token).
• Os tokens trocados trazem uma declaração act que identifica o intermediário que realizou a troca.
• A AWS cita servidores MCP como um exemplo de ator que pode usar esse fluxo de troca de tokens.
• O recurso funciona pelo endpoint padrão de tokens OAuth ou pela nova API GetDerivedToken, nos planos Cognito Essentials e Plus em todas as regiões do Cognito.

O que isso significa para quem constrói com IA

A atualização dá aos desenvolvedores que constroem agentes de IA e integrações de Model Context Protocol uma forma padrão de restringir as credenciais passadas às ferramentas, respondendo a uma lacuna de segurança comum em agentes de IA: o acesso com tokens excessivamente amplos. Ao trocar um token amplo por um de audiência única, vinculado a uma API específica e marcado com uma declaração act que mostra qual intermediário realizou a troca, as equipes podem limitar o que um agente ou servidor MCP pode fazer com uma credencial e auditar quem a solicitou.

Disponibilidade

O fluxo de troca de tokens está disponível pelo endpoint padrão de tokens OAuth do Amazon Cognito ou pela nova API GetDerivedToken, nos planos Essentials e Plus do Cognito em todas as regiões do Cognito.

Fontes

• Amazon Cognito launches OAuth 2.0 token exchange (Amazon Web Services, 12 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.