Tiger Research: Standar KYA Muncul Seiring Masuknya Agen AI ke Era Transaksi Otonom

Laporan ini ditulis oleh Tiger Research. Agen AI kini sudah bisa menandatangani kontrak, membayar, dan melakukan transaksi sendiri. Namun, ada satu masalah yang belum terpecahkan: bagaimana Anda tahu siapa sebenarnya agen di seberang Anda? Artikel ini merangkum pendekatan berbeda dari empat pemain dalam perdebatan standar KYA, serta sejauh mana regulasi telah berkembang.

Poin Utama

1. Agen AI memasuki era di mana mereka secara mandiri menjalankan kontrak, pembayaran, dan perdagangan, tetapi belum ada standar terpadu di pasar untuk memverifikasi identitas. Dalam skenario A2A (agen-ke-agenn), KYA mulai mendapat perhatian lebih daripada KYC.
2. KYA tidak diperlukan di mana-mana. Di dalam platform terpusat seperti Google, OpenAI, dan Coinbase, KYC yang ada sudah cukup. KYA benar-benar diperlukan ketika agen yang di-deploy secara independen terhubung ke DEX, pembayaran A2A, atau pembayaran pedagang.
3. Perang standar telah dimulai. ERC-8004, Visa TAP, Trulioo, dan Sumsub masing-masing memasuki empat arah berbeda: on-chain, jaringan pembayaran, sertifikasi kepatuhan, dan deteksi risiko, dengan jalur yang sama sekali berbeda.
4. Regulasi sudah bergerak. Undang-undang AI UE, NIST AS, dan kerangka nasional Singapura semuanya menjadikan manajemen identitas agen sebagai prioritas. Aturan perjalanan FATF tahun 2019 menentukan pertukaran kripto mana yang bertahan hidup, dan kemungkinan besar skenario yang sama akan terulang kali ini dengan KYA.

KYC merombak lapisan keuangan itu

Sebelum tahun 1989, sistem keuangan global tidak memiliki standar identitas yang seragam. Kesenjangan ini membuat dana narkoba dan uang haram sulit dilacak hingga ke sumbernya. Baru pada tahun itu, FATF didirikan, dan KYC menjadi persyaratan wajib di industri keuangan, menghalangi dana ilegal dari masuk.

Selama tiga puluh tahun berikutnya, dampak KYC meluas secara bertahap. Setelah 9/11 pada tahun 2001, ketentuan pencegahan pendanaan terorisme ditambahkan, dan Undang-Undang Patriot Amerika mengangkat KYC menjadi kewajiban hukum. Pada dekade 2010, AMLD Uni Eropa, Basel III, dan FATCA secara berturut-turut diterapkan, sehingga informasi KYC lintas batas mulai ditukar secara otomatis. Pada tahun 2019, aturan perjalanan FATF memperluas KYC ke penyedia aset virtual.

Setiap perpanjangan adalah mengisi sebuah kekosongan.

Tanpa identitas agen, sistem akan mundur

Kembali ke sekarang. Agen AI tidak memerlukan pengawasan manusia, mereka dapat menandatangani kontrak, membayar, dan berdagang sendiri. Namun, tidak ada yang bisa memverifikasi siapa mereka.

Dalam lingkungan A2A, tanggung jawab menjadi kabur. Siapa yang harus dicari saat terjadi masalah, tidak ada yang bisa menjelaskan. Pengguna juga mudah terjebak dalam pencucian uang dan berbagai jenis penipuan.

Membandingkan keuangan sebelum tahun 1989 dengan pasar agen tahun 2026, strukturnya sangat menakjubkan. Dulu, akun anonim bergerak lintas batas, sekarang agen yang tidak diverifikasi melakukan transaksi A2A. Dulu, tanggung jawab verifikasi berada di masing-masing bank, sekarang berada di masing-masing platform. Tidak ada standar bersama.

Kesamaan ini bukan kebetulan, melainkan suatu pola. Teknologi sudah maju lebih dulu, sedangkan lapisan identitas belum mengejar.

Apa itu KYC

KYA (Know Your Agent) adalah mekanisme kepercayaan yang memverifikasi sumber, izin, dan tanggung jawab agen sebelumnya.

Lewati langkah ini, tiga risiko akan muncul secara bersamaan. Pertama, transaksi berlebihan: pengguna hanya memberikan otorisasi pembayaran, tetapi agen memindahkan aset dan menandatangani kontrak di luar wewenang. Kedua, pemalsuan identitas: agen jahat menyamar sebagai yang sah, merebut pembayaran, memalsukan respons, dan mencuri reputasi. Ketiga, kekosongan tanggung jawab: setelah kejadian terjadi, agen, pengembang, dan pemberi kuasa saling melempar kesalahan, sehingga tidak ada yang bisa dimintai pertanggungjawaban atas ganti rugi.

KYA melakukan hal ini dengan mengunci ketiga hal tersebut sejak awal. Mendaftar dan memverifikasi cakupan izin secara pra-aktif, serta langsung memblokir tindakan yang melampaui wewenang. Memverifikasi identitas dan sumber, hanya mengizinkan agen yang sah masuk. Setiap sumber dan pemberi wewenang agen terikat dalam catatan, sehingga dapat dilacak jika terjadi masalah.

Tidak perlu di mana-mana

Platform terpusat sebenarnya tidak terlalu membutuhkan KYA. Pengguna telah melakukan KYC, dan platform sendiri menanggung risikonya, sehingga seluruh rantai proses bersifat tertutup.

Yang membutuhkan KYA adalah lingkungan terbuka setelah keluar dari platform. Agen harus terhubung ke DEX, melakukan pembayaran A2A, dan membayar ke pedagang. Pada saat itu, tidak ada yang menjamin, dan tidak ada yang bisa menjaminnya.

Misalnya, di dalam sebuah negara, kartu identitas (KYC) sudah cukup. Namun, begitu melintasi perbatasan (keluar dari platform), lingkungannya berubah, dan Anda harus melalui pemeriksaan di pos imigrasi (KYA), menjelaskan tujuan dan kredibilitas Anda.

Empat langkah proses

Operasi KYA dapat dibagi menjadi empat langkah. Dua langkah pertama adalah "penerbitan paspor": pertama, daftarkan identitas dan wewenang agen, lalu berikan paspor digital setelah verifikasi. Dua langkah terakhir adalah "pemeriksaan masuk": saat transaksi terjadi, konfirmasi identitas pihak lawan, lalu perbarui catatan berdasarkan hasil transaksi.

Identity is not issued once and valid forever, but re-verified for each transaction.

Dalam perdebatan standar, saat ini ada empat pemain dengan jalur yang sama sekali berbeda.

ERC-8004: Mengubah identitas menjadi NFT

ERC-8004 mengikuti pendekatan sepenuhnya on-chain. Ia menambahkan lapisan identitas di atas ERC-721, di mana setiap agen dicetak sebagai satu NFT sebagai ID unik.

Tersedia tiga registri on-chain: Identity bertanggung jawab atas "siapa agen ini", berdasarkan AgentID unik yang berbasis ERC-721. Reputation bertanggung jawab atas "apakah bisa bertransaksi dengannya", dengan meninggalkan peringkat, label, dan bukti di blockchain setelah transaksi selesai. Validation bertanggung jawab atas "apakah ia benar-benar melakukan hal itu", dengan diverifikasi oleh pihak ketiga melalui plugin seperti zkML dan TEE.

Struktur ini bukan pertama kalinya muncul dalam sejarah Ethereum. ERC-20 memstandarkan penerbitan token, dengan USDT, USDC, UNI, AAVE tumbuh di atasnya. ERC-721 memstandarkan penerbitan NFT, dengan CryptoPunks, BAYC, ENS yang menopang seluruh pasar NFT. ERC-8004 akan memainkan peran sebagai standar ketiga di posisi yang sama.

Visa TAP: Mengemas dengan jaringan pembayaran

Visa memiliki pendekatan yang sama sekali berbeda. Ia memberikan agen sebuah kredensial identitas (Agent Intent), yang setara dengan sebuah kartu. Tanpa kunci ini, agen bahkan tidak dapat memulai transaksi. Visa memberikan persetujuan terlebih dahulu sebelum mengeluarkan kunci, dan setiap transaksi harus membawa tanda tangan ke pedagang.

Pedagang menerima bukan satu tanda tangan, melainkan tiga. Agent Intent membuktikan agen sah, didukung oleh kunci yang disetujui oleh VIC. Consumer Recognition menunjukkan siapa yang diwakilinya, dengan mengirimkan identitas pengguna ke pedagang. Payment Information memberikan jaminan pembayaran, dengan otentikasi menggunakan token pembayaran atau informasi kartu yang telah di-hash.

Visa memasukkan semua ini ke dalam paket yang lebih besar, yang disebut Visa Intelligent Commerce (VIC). Selain TAP, paket ini juga mencakup Agent APIs (teknologi milik Visa yang digunakan saat kartu Visa digunakan), Tokenization (token khusus untuk AI), serta Intelligent Commerce Connect (kompatibel dengan protokol pesaing seperti AP2, ACP, x402, dll.).

Logika jelas. Visa dulu memanfaatkan pintu masuk jaringan pembayaran, sekarang ingin memasukkan era agen ke dalam jalurnya sendiri. Jika pembayaran agen terus mengandalkan jaringan kartu, dan paket ini menjadi pilihan default, pangsa Visa akan tetap terjaga.

Trulioo: Bawa sistem SSL itu

Trulioo adalah pemain di bidang kepatuhan KYC dan KYB global, kini memperluas stack verifikasi ke KYA.

Ini mengadopsi model sertifikat SSL situs web. SSL adalah CA (Certificate Authority) yang mengeluarkan sertifikat TLS ke situs web, yang hanya memverifikasi domain. Trulioo mengusulkan DPA (Digital Passport Authority) yang mengeluarkan DAP (Digital Agent Passport) kepada agen, memverifikasi KYB pengembang ditambah KYC pengguna.

DAP bukan sertifikat statis. Ini adalah token aktif yang diperbarui, yang diverifikasi ulang setiap kali transaksi dilakukan. Sekali delegasi dicabut atau terdeteksi anomali, DAP langsung dibatalkan.

Ada lima titik pemeriksaan: Provenance (yang membuat pengembang), User Binding (siapa yang memberikan otorisasi), Permission Scope (bisa melakukan apa saja), Behavior Telemetry (sedang melakukan apa sekarang), Risk Scoring (peringkat risiko).

Bank dan fintech secara hukum harus memverifikasi identitas individu dan perusahaan. Setelah agen memasuki bidang keuangan, posisi Trulioo dalam KYC dan KYB menjadi lebih kuat.

Sumsub: Pantau anomali, jangan terbitkan izin

Sumsub memiliki pendekatan yang berbeda dari tiga penyedia sebelumnya. Ia tidak memberikan standar atau sertifikat, tetapi melakukan verifikasi ulang terhadap individu di balik transaksi yang tidak biasa oleh agen.

Telah menjalankan bisnis yang patuh sejak 2015, sistem verifikasi tersebut kini digunakan untuk mendeteksi perilaku anomali agen. Prosesnya terdiri dari tiga langkah. Pertama, deteksi otomatis, yang membedakan manusia dan mesin melalui fitur perangkat dan agen. Kedua, penilaian risiko, yang memberikan skor risiko berdasarkan konteks, jumlah, dan data historis. Terakhir, verifikasi Liveness, yang hanya diaktifkan pada kasus berisiko tinggi, jumlah besar, atau perubahan kritis, untuk memverifikasi ulang orang asli yang terdaftar.

Empat fitur Sumsub sangat berbeda dibandingkan pemain lainnya. Titik awalnya adalah operator yang patuh, bukan pembuat standar. Waktu verifikasi terjadi saat transaksi berisiko, bukan saat pendaftaran awal. Metode verifikasinya adalah konfirmasi oleh manusia nyata, bukan data atau token. Filosofinya adalah mengikat agen dengan pihak yang bertanggung jawab, bukan langsung memblokir agen.

Pemain lain melakukan otentikasi identitas sekali sebelum bertindak, sementara Sumsub melakukan verifikasi real-time setelah penerbitan. Semakin luas otoritas agen, semakin krusial deteksi anomali. Metode penipuan mengikuti perkembangan teknologi, stack real-time Sumsub patut diperhatikan.

Skenario Aturan Perjalanan FATF

Setelah aturan perjalanan FATF tahun 2019 diterapkan, industri VASP langsung terpecah. Yang mampu menanggung biaya infrastruktur KYC dan AML bertahan, yang tidak mampu menutup operasi atau pindah ke tempat dengan regulasi lebih longgar. CryptoBridge dan Deribit keduanya terpaksa menyesuaikan diri dalam gelombang tersebut.

Regulasi bukanlah tujuan akhir, melainkan titik belok.

KYA skrip kali ini mungkin sama. Uni Eropa, Singapura, dan Amerika Serikat sudah bersaing untuk mendapatkan posisi terdepan.

Pasal 12 Undang-Undang AI Uni Eropa secara jelas mensyaratkan bahwa log perilaku sistem AI berisiko tinggi harus mencakup identitas operator. Singapura telah merilis kerangka tata kelola AI agen nasional pertama di dunia, memperluas manajemen identitas ke agen, dengan mewajibkan setiap agen memiliki pihak yang dapat dimintai pertanggungjawaban. NIST Amerika Serikat menjadikan manajemen identitas agen sebagai bidang standar prioritas.

Jendela waktu sedang menyempit.

Tidak akan ada pemenang tunggal

Variabel sejati dalam persaingan standar bukanlah teknologi, tetapi kombinasi. Pemain utama telah memasuki tahap kolaborasi dan penggabungan. Siapa yang berpasangan dengan merchant, jaringan pembayaran, dan basis pelanggan KYC berikutnya akan menentukan penguasaan setiap segmen pasar.

Tidak akan ada pemenang tunggal di pasar ini.

Untuk transaksi mandiri di blockchain, Ethereum kemungkinan besar memimpin. Untuk skenario transaksi yang terikat pembayaran, Visa memiliki keunggulan jelas. Di industri keuangan yang terregulasi, akumulasi KYC dan KYB Trulioo sulit digantikan. Untuk skenario transaksi berisiko penipuan, deteksi real-time Sumsub lebih cocok.

Keempatnya bukan pesaing langsung, masing-masing menguasai satu wilayah. Persaingan sejati terjadi pada skenario-skenario yang masuk ke wilayah mana.

KYC baru menyelesaikan lapisan identitas keuangan global dalam tiga puluh tahun sejak 1989.

Pada putaran ini, ritmenya tampak jauh lebih cepat. Regulasi telah bertindak, pemain standar telah bersiap, dan jendela waktu untuk penerapan skala besar mungkin hanya beberapa tahun ke depan.

Yang bertahan nanti, bukan necessarily yang paling kuat teknologinya, tapi yang paling awal mengintegrasikan infrastruktur identitas.