टाइगर रिसर्च: एआई एजेंट्स के लिए केवाईए स्टैंडर्ड्स नियामक दबाव के बीच तेजी से बढ़ रहे हैं

यह रिपोर्ट Tiger Research द्वारा तैयार की गई है। AI एजेंट अब खुद ही अनुबंध पर हस्ताक्षर कर सकते हैं, भुगतान कर सकते हैं और लेनदेन कर सकते हैं। लेकिन एक समस्या अभी भी अनसुलझी है: आप कैसे जानेंगे कि दूसरा AI एजेंट कौन है? यह लेख KYA मानक विवाद में चार प्रमुख खिलाड़ियों की अलग-अलग रणनीतियों और नियामकों की वर्तमान स्थिति का समीक्षा करता है।

मुख्य बिंदु

1. AI एजेंट अब स्वयं स्मार्ट कॉन्ट्रैक्ट्स, भुगतान और लेनदेन करने के युग में प्रवेश कर रहे हैं, लेकिन पहचान सत्यापन के लिए बाजार में अभी तक कोई समान मानक नहीं है। A2A (एजेंट-टू-एजेंट) परिदृश्यों में, KYA, KYC की तुलना में अधिक ध्यान केंद्रित कर रहा है।
2. KYA कहीं भी आवश्यक नहीं है। Google, OpenAI, Coinbase जैसे केंद्रीकृत प्लेटफॉर्म के भीतर, मौजूदा KYC पर्याप्त है। वास्तविक रूप से KYA की आवश्यकता तब होती है जब स्वतंत्र रूप से डिप्लॉय किए गए एजेंट DEX, A2A भुगतान, और व्यापारी भुगतान में जुड़ते हैं।
3. स्टैंडर्ड का विवाद शुरू हो चुका है। ERC-8004, Visa TAP, Trulioo, Sumsub क्रमशः चेन पर, भुगतान नेटवर्क, कॉम्प्लायंस सत्यापन और जोखिम पता लगाने की दिशा में प्रवेश कर रहे हैं, और उनके मार्ग पूरी तरह से अलग हैं।
4. नियामक अब कार्रवाई पर आ चुके हैं। यूरोपीय संघ का AI अधिनियम, अमेरिकी NIST, और सिंगापुर का राष्ट्रीय ढांचा सभी एजेंट पहचान प्रबंधन को प्राथमिकता दे रहे हैं। 2019 में FATF यात्रा नियम ने यह तय किया था कि कौन से क्रिप्टो विनिमय बचेंगे, और KYA के मामले में भी इसी पटकथा का दोहराव होने की संभावना है।

KYC ने वित्त के उस स्तर को पुनर्परिभाषित किया

1989 के पहले, वैश्विक वित्त में कोई एकीकृत पहचान मानक नहीं था। इस खालीपन के कारण नशीली दवाओं के पैसे और काले पैसों को उनके मूल स्रोत तक पहुँचना मुश्किल था। उसी वर्ष FATF के स्थापित होने के बाद, KYC वित्तीय क्षेत्र के लिए एक अनिवार्य आवश्यकता बन गया, जिससे अवैध धन को बाहर रखा गया।

अगले तीस वर्षों में, KYC का प्रभाव स्तर दर स्तर फैला। 2001 में 9/11 के बाद आतंकवाद वित्तपोषण धाराओं को जोड़ा गया, और अमेरिकी पैट्रियोट एक्ट ने KYC को कानूनी दायित्व बना दिया। 2010 के दशक में यूरोपीय संघ के AMLD, बेसल समझौता III, और FATCA क्रमशः लागू हुए, और सीमाओं के पार KYC जानकारी का स्वचालित आदान-प्रदान शुरू हुआ। 2019 में FATF यात्रा नियम ने KYC को वर्चुअल संपत्ति सेवा प्रदाताओं तक विस्तारित कर दिया।

हर विस्तार एक खाली स्थान को भरता है।

बिना एजेंट पहचान के, सिस्टम पीछे की ओर बढ़ रहा है

अब पर लौटें। AI एजेंट्स को मनुष्यों की निगरानी की आवश्यकता नहीं होती, वे स्वयं अनुबंध कर सकते हैं, भुगतान कर सकते हैं, और लेनदेन कर सकते हैं। लेकिन कोई भी इसकी पहचान सत्यापित नहीं कर सकता।

A2A वातावरण में जिम्मेदारी का निर्धारण अस्पष्ट है। समस्या आने पर किससे संपर्क करें, यह कोई नहीं बता सकता। उपयोगकर्ता धोखाधड़ी और विभिन्न प्रकार के धोखेबाजी में आसानी से फंस सकते हैं।

1989 के पहले के वित्त और 2026 के एजेंट बाजार को एक साथ देखें, तो संरचना आश्चर्यजनक रूप से समान है। उस समय अनामिक खाते अंतर्राष्ट्रीय स्तर पर आवाजाही कर रहे थे, आज अप्रमाणित एजेंट A2A लेनदेन कर रहे हैं। उस समय प्रमाणीकरण की जिम्मेदारी हर बैंक के पास थी, आज यह हर प्लेटफॉर्म के पास है। कोई सामान्य मानक नहीं हैं।

यह समानता यादृच्छिक नहीं है, यह एक नियम है। तकनीक आगे निकल गई है, लेकिन पहचान स्तर पीछे रह गया है।

KYA क्या है

KYA (Know Your Agent) एक विश्वास की प्रक्रिया है, जो स्मार्ट एजेंट के स्रोत, अधिकार और जिम्मेदारी को पहले से ही सत्यापित करती है।

इस चरण को छोड़ देने से तीन जोखिम एक साथ उभरते हैं। पहला अधिकार के अतिक्रमण का है: उपयोगकर्ता केवल भुगतान के लिए अधिकृत है, लेकिन एजेंट संपत्ति स्थानांतरित कर देता है और अनधिकृत अनुबंध कर देता है। दूसरा पहचान धोखाधड़ी का है: दुर्भावनापूर्ण एजेंट वैध के रूप में बनता है, भुगतान हड़प लेता है, झूठे प्रतिक्रियाएँ भेजता है, और प्रतिष्ठा का दुरुपयोग करता है। तीसरा जिम्मेदारी के रिक्त स्थान का है: जब कोई घटना होती है, तो एजेंट, विकासकर्ता और प्रतिनिधि आपस में दोष फेंकते हैं, और मुआवजे की जिम्मेदारी किसी पर नहीं डाली जा सकती।

KYA बस इन तीन चीजों को पहले से बंद कर देता है। पहले से पंजीकरण और अधिकारों की सीमा की पुष्टि करें, अधिकारों के बाहर की कार्रवाई को सीधे रोक दें। पहचान और स्रोत की पुष्टि करें, केवल कानूनी एजेंट्स को ही प्रवेश दें। प्रत्येक एजेंट का स्रोत और प्रतिनिधि रिकॉर्ड में बांधा गया है, ताकि किसी भी घटना का पता लगाया जा सके।

नहीं, हर जगह की जरूरत नहीं है

सेंट्रलाइज्ड प्लेटफॉर्म पर असल में KYA की जरूरत नहीं होती। उपयोगकर्ता KYC कर चुका होता है, और प्लेटफॉर्म खुद गारंटी देता है, इसलिए पूरी लाइन बंद होती है।

KYA की आवश्यकता वहाँ होती है जहाँ प्लेटफॉर्म के बाहर का खुला वातावरण होता है। एजेंट को DEX से जुड़ना होगा, A2A भुगतान करना होगा, और व्यापारियों को भुगतान करना होगा। इस समय कोई भी गारंटी नहीं देता, और कोई भी इसके लिए जिम्मेदारी नहीं लेता।

एक उदाहरण दें। एक देश के भीतर घूमने के लिए, आधार कार्ड (KYC) पर्याप्त है। लेकिन जब आप सीमा पार करते हैं (प्लेटफॉर्म से बाहर), तो परिस्थितियाँ बदल जाती हैं, और आपको प्रवेश बिंदु पर समीक्षा (KYA) से गुजरना होगा, जहाँ आपको अपने उद्देश्य और विश्वसनीयता को स्पष्ट करना होगा।

चरण-दर-चरण प्रक्रिया

KYA का संचालन चार चरणों में विभाजित किया जा सकता है। पहले दो चरण "पासपोर्ट जारी करना" हैं: पहले एजेंट की पहचान और अधिकारों को रजिस्टर किया जाता है, और सत्यापन के बाद डिजिटल पासपोर्ट जारी किया जाता है। अगले दो चरण "प्रवेश समीक्षा" हैं: लेन-देन के समय दूसरे पक्ष की पहचान की पुष्टि की जाती है, और फिर लेन-देन के परिणाम के आधार पर रिकॉर्ड को अपडेट किया जाता है।

Identity is not issued once and valid forever; it is re-verified for each transaction.

वर्तमान में मानक विवाद में चार खिलाड़ी हैं, जिनके पथ पूरी तरह से अलग हैं।

ERC-8004: अपनी पहचान को NFT बनाएं

ERC-8004 एक पूरी तरह से ऑन-चेन दृष्टिकोण अपनाता है। यह ERC-721 के ऊपर एक पहचान परत जोड़ता है, जिसमें प्रत्येक एजेंट के लिए एक NFT एक अद्वितीय ID के रूप में जारी किया जाता है।

तीन ऑन-चेन रजिस्टर्स हैं। Identity "यह एजेंट कौन है" के लिए जिम्मेदार है, जो ERC-721 के आधार पर अद्वितीय AgentID है। Reputation "क्या आप इसके साथ व्यापार कर सकते हैं" के लिए जिम्मेदार है, जहाँ व्यापार पूरा होने के बाद ऑन-चेन पर रेटिंग, टैग और साक्ष्य छोड़े जाते हैं। Validation "क्या इसने वास्तव में वह काम किया है" के लिए जिम्मेदार है, जिसे तीसरे पक्ष के प्रमाणीकरणकर्ता zkML, TEE आदि प्लगइन के माध्यम से सत्यापित करते हैं।

यह संरचना इथेरियम के इतिहास में पहली बार नहीं है। ERC-20 ने टोकन जारीकरण को मानकीकृत किया, USDT, USDC, UNI, AAVE सभी इस पर विकसित हुए। ERC-721 ने NFT जारीकरण को मानकीकृत किया, CryptoPunks, BAYC, ENS ने पूरे NFT बाजार को समर्थन दिया। ERC-8004 का उद्देश्य तीसरा मानक बनना है, जो इसी स्थान पर होगा।

Visa TAP: भुगतान नेटवर्क के साथ पैक करें

Visa का दृष्टिकोण बिल्कुल अलग है। यह एजेंट को एक अपनी पहचान प्रमाणपत्र (Agent Intent) जारी करता है, जो एक कार्ड के समान है। इस कुंजी के बिना, एजेंट ट्रेड भी शुरू नहीं कर सकता। Visa पहले से मंजूरी देता है, फिर ही कुंजी जारी करता है, और प्रत्येक लेनदेन के साथ व्यापारी को हस्ताक्षर सहित भेजना पड़ता है।

व्यापारी को एक सिग्नेचर नहीं, बल्कि तीन सिग्नेचर मिलते हैं। Agent Intent साबित करता है कि एजेंट कानूनी है, जिसे VIC द्वारा अनुमोदित कुंजी द्वारा समर्थित किया गया है। Consumer Recognition यह बताता है कि यह किसके लिए काम कर रहा है, और उपयोगकर्ता पहचानकर्ता को व्यापारी को प्रेषित करता है। Payment Information भुगतान की गारंटी प्रदान करता है, जो भुगतान टोकन या हैश किए गए कार्ड जानकारी के उपयोग से प्रमाणीकरण पूरा करता है।

Visa ने इस पूरी चीज को एक बड़े पैकेज में शामिल किया, जिसे Visa Intelligent Commerce (VIC) कहा जाता है। इसमें TAP के अलावा, Agent APIs (Visa कार्ड के उपयोग के दौरान चलने वाली स्वामित्व वाली तकनीक), Tokenization (AI के लिए विशेष रूप से जारी किए गए token), और Intelligent Commerce Connect (AP2, ACP, x402 आदि प्रतिस्पर्धी प्रोटोकॉल के साथ संगतता) शामिल हैं।

तर्क स्पष्ट है। विसा ने वर्षों पहले भुगतान नेटवर्क के प्रवेश बिंदु को पकड़ लिया, और अब वह बुद्धिमान एजेंट के युग को भी अपने पथ में शामिल करना चाहती है। यदि बुद्धिमान एजेंट भुगतान जारी रखता है कार्ड नेटवर्क पर, और यह पैकेज डिफ़ॉल्ट विकल्प बन जाता है, तो विसा का हिस्सा सुरक्षित रहेगा।

Trulioo: SSL की प्रणाली को लागू करें

Trulioo वैश्विक KYC, KYB अनुपालन क्षेत्र में एक प्रमुख खिलाड़ी है और अब अपनी प्रमाणीकरण स्टैक को KYA तक विस्तारित कर रहा है।

यह वेबसाइट SSL प्रमाणपत्र के पैटर्न को अपनाता है। SSL में, CA (Certificate Authority) वेबसाइट को TLS प्रमाणपत्र जारी करता है, जो केवल डोमेन नाम की पुष्टि करता है। Trulioo द्वारा प्रस्तावित DPA (Digital Passport Authority) एजेंट को DAP (Digital Agent Passport) जारी करता है, जो डेवलपर KYB और उपयोगकर्ता KYC की पुष्टि करता है।

DAP एक स्थिर प्रमाणपत्र नहीं है। यह एक ऐसा एक्टिव टोकन है जो हर लेनदेन के साथ पुनः सत्यापित होता है। जैसे ही डिलीगेशन रद्द किया जाता है या असामान्यता का पता चलता है, DAP तुरंत अमान्य हो जाता है।

इसमें पाँच चेकपॉइंट हैं: Provenance (किस डेवलपर ने बनाया), User Binding (किसने अनुमति दी), Permission Scope (क्या काम कर सकता है), Behavior Telemetry (अभी क्या कर रहा है), Risk Scoring (जोखिम रेटिंग)।

बैंक और फिनटेक कानूनी रूप से व्यक्ति और कंपनी की पहचान सत्यापित करने के लिए बाध्य हैं। जब एजेंट्स वित्तीय क्षेत्र में प्रवेश करते हैं, तो Trulioo के KYC, KYB स्थिति अधिक स्थिर हो जाती है।

Sumsub: असामान्यता पर निगरानी, प्रमाणपत्र नहीं जारी

Sumsub का दृष्टिकोण पिछले तीनों से अलग है। यह मानक या प्रमाणपत्र जारी नहीं करता, बल्कि जब कोई एजेंट असामान्य लेनदेन करता है, तो उसके पीछे के व्यक्ति की पुनः प्रमाणीकरण करता है।

यह 2015 से कानूनी व्यापार कर रहा है, और अब यह प्रमाणीकरण प्रणाली एजेंट के असामान्य व्यवहार का पता लगाने के लिए उपयोग की जाती है। प्रक्रिया तीन चरणों में है। पहले स्वचालित संसाधन का उपयोग करके उपकरण और एजेंट के लक्षणों के माध्यम से मनुष्य और मशीन का भेद किया जाता है। फिर जोखिम स्कोरिंग, जिसमें संदर्भ, राशि और इतिहास के आधार पर जोखिम स्कोर दिया जाता है। अंत में Liveness प्रमाणीकरण, जो केवल उच्च जोखिम, बड़ी राशि और महत्वपूर्ण परिवर्तनों पर शुरू होता है, और पंजीकृत वास्तविक व्यक्ति की पुनः पुष्टि करता है।

Sumsub के चार फीचर्स अन्य प्लेयर्स से अलग हैं। इसकी शुरुआत कॉम्प्लायंस ऑपरेटर से होती है, न कि मानक निर्धारक से। सत्यापन का समय जोखिम वाले लेन-देन के दौरान होता है, न कि पहले रजिस्टर करने पर। सत्यापन की विधि डेटा या टोकन की बजाय वास्तविक व्यक्ति द्वारा पुनः पुष्टि है। दर्शन यह है कि एजेंट को जिम्मेदार पक्ष के साथ बांधा जाए, न कि सीधे एजेंट को रोका जाए।

अन्य उपयोगकर्ता एक बार की पहचान सत्यापन के साथ शुरू करते हैं, जबकि Sumsub प्रमाणपत्र जारी करने के बाद वास्तविक समय सत्यापन करता है। जितना अधिक एजेंट अधिकार विस्तारित होते हैं, उतना ही असामान्यता पता लगाना महत्वपूर्ण होता है। धोखाधड़ी के तरीके प्रौद्योगिकी के साथ अपग्रेड हो रहे हैं, Sumsub का वास्तविक समय स्टैक महत्वपूर्ण है।

FATF ट्रैवल रूल का स्क्रिप्ट

2019 में FATF यात्रा नियम आने के बाद, VASP उद्योग तुरंत विभाजित हो गया। KYC, AML बुनियादी ढांचे की लागत को सहन करने में सक्षम संस्थाएँ बच गईं, जो नहीं कर सकीं वे बंद हो गईं या नियामक रूप से ढीले स्थानों पर स्थानांतरित हो गईं। CryptoBridge, Deribit दोनों उस लहर में अनिवार्य रूप से समायोजित हुए।

नियमन अंत नहीं, बल्कि एक जलविभाजक है।

क्या इस बार का स्क्रिप्ट भी वही हो सकता है? यूरोपीय संघ, सिंगापुर, अमेरिका पहले से ही अग्रणी स्थिति के लिए प्रतिस्पर्धा कर रहे हैं।

यूरोपीय संघ के एआई अधिनियम की धारा 12 स्पष्ट रूप से आवश्यकता रखती है कि उच्च जोखिम वाले एआई प्रणालियों के ऑपरेशन लॉग में ऑपरेटर की पहचान शामिल हो। सिंगापुर ने दुनिया का पहला राष्ट्रीय स्तरीय एजेंट एआई शासन ढांचा जारी किया है, जो पहचान प्रबंधन को एजेंट्स तक विस्तारित करता है और प्रत्येक एजेंट के लिए जवाबदेही वाला पक्ष आवश्यक करता है। अमेरिका के एनआईएसटी ने एजेंट पहचान प्रबंधन को प्राथमिकता वाले मानक क्षेत्र के रूप में सूचीबद्ध किया है।

समय की खिड़की संकुचित हो रही है।

कोई एक विजेता नहीं होगा

स्टैंडर्ड के लिए वास्तविक चर तकनीक नहीं, बल्कि संयोजन है। प्रमुख खिलाड़ी सहयोग और संयोजन के चरण में प्रवेश कर चुके हैं। अगला कौन से व्यापारियों, भुगतान नेटवर्क और KYC ग्राहक आधार के साथ जुड़ता है, यह प्रत्येक उप-बाजार के अधिकार को निर्धारित करेगा।

इस बाजार में कोई एकल विजेता नहीं होगा।

ऑन-चेन स्व-ट्रेडिंग के मामले में, ईथरियम अधिक संभावना है कि अग्रणी होगा। भुगतान-बाइंडेड ट्रांजैक्शन सीनेरियो में, विसा का लाभ स्पष्ट है। नियमित वित्तीय क्षेत्र में, ट्रूलियू के KYC, KYB के संचय को बदलना मुश्किल है। धोखाधड़ी के जोखिम वाले ट्रांजैक्शन सीनेरियो में, समसब की रियल-टाइम डिटेक्शन अधिक उपयुक्त है।

चारों प्रत्यक्ष प्रतिद्वंद्वी नहीं हैं, वे प्रत्येक एक पहाड़ी पर कब्जा करते हैं। वास्तविक प्रतिस्पर्धा उन परिदृश्यों में होती है जो किस पहाड़ी में शामिल किए जाते हैं।

KYC ने 1989 से आज तक विश्व वित्तीय पहचान स्तर को पूरा करने में तीस वर्ष लगाए।

क्या इस चक्र में, गति काफी तेज़ लग रही है। नियामक कार्रवाई पर हैं, मानक खिलाड़ी तैयार हो चुके हैं, और स्केलिंग के लिए समय की खिड़की अगले कुछ वर्षों में हो सकती है।

जो बचेंगे, वे जरूरी नहीं कि सबसे अच्छी तकनीक वाले होंगे, बल्कि वे होंगे जिन्होंने सबसे पहले पहचान बुनियादी ढांचे को जोड़ा होगा।