Tiger Research: Standar KYA untuk Agen AI Mendapat Momentum di Tengah Dorongan Regulasi

Laporan ini ditulis oleh Tiger Research. Agen AI kini sudah bisa menandatangani kontrak, membayar, dan melakukan transaksi sendiri. Namun, ada satu masalah yang belum terpecahkan: bagaimana Anda tahu siapa sebenarnya agen di seberang Anda? Artikel ini merangkum strategi berbeda dari empat pemain dalam perdebatan standar KYA, serta sejauh mana regulasi telah berkembang.

Poin Utama

1. Agen AI memasuki era di mana mereka secara mandiri menjalankan kontrak, pembayaran, dan perdagangan, tetapi belum ada standar terpadu di pasar untuk memverifikasi identitas. Dalam skenario A2A (agen-ke-agen), KYA mulai mendapat perhatian lebih daripada KYC.
2. KYA tidak diperlukan di mana-mana. Di dalam platform terpusat seperti Google, OpenAI, dan Coinbase, KYC yang ada sudah cukup. KYA benar-benar diperlukan ketika agen yang di-deploy secara independen terhubung ke DEX, pembayaran A2A, atau pembayaran pedagang.
3. Perang standar telah dimulai. ERC-8004, Visa TAP, Trulioo, dan Sumsub masing-masing memasuki empat arah berbeda: on-chain, jaringan pembayaran, sertifikasi kepatuhan, dan deteksi risiko, dengan jalur yang sama sekali berbeda.
4. Regulasi sudah bergerak. Undang-undang AI UE, NIST AS, dan kerangka nasional Singapura semuanya menjadikan manajemen identitas agen sebagai prioritas. Aturan perjalanan FATF tahun 2019 menentukan pertukaran kripto mana yang bertahan hidup, dan kemungkinan besar skenario yang sama akan terulang kali ini dengan KYA.

KYC merombak lapisan keuangan itu

Sebelum tahun 1989, sistem keuangan global tidak memiliki standar identitas yang seragam. Kesenjangan ini membuat dana narkoba dan uang haram sulit dilacak hingga ke sumbernya. Baru pada tahun itu, ketika FATF didirikan, KYC menjadi persyaratan wajib di industri keuangan, sehingga mencegah dana ilegal masuk.

Dalam tiga dekade berikutnya, dampak KYC meluas secara bertahap. Setelah 9/11 pada tahun 2001, ketentuan pemberantasan pendanaan terorisme ditambahkan, dan Undang-Undang Patriot Amerika Serikat meningkatkan KYC menjadi kewajiban hukum. Pada dekade 2010, AMLD Uni Eropa, Basel III, dan FATCA secara berturut-turut diterapkan, sehingga informasi KYC lintas batas mulai ditukar secara otomatis. Pada tahun 2019, aturan perjalanan FATF memperluas KYC ke penyedia aset virtual.

Setiap perpanjangan adalah mengisi sebuah kekosongan.

Tanpa identitas agen, sistem akan mundur

Kembali ke sekarang. Agen AI tidak memerlukan pengawasan manusia untuk menandatangani kontrak, membayar, dan berdagang sendiri. Namun, tidak ada yang bisa memverifikasi siapa dirinya.

Dalam lingkungan A2A, tanggung jawab menjadi kabur. Siapa yang harus dihubungi saat terjadi masalah, tidak ada yang bisa menjelaskan. Pengguna juga mudah terjebak dalam pencucian uang dan berbagai jenis penipuan.

Membandingkan keuangan sebelum tahun 1989 dengan pasar agen tahun 2026, strukturnya sangat menakjubkan. Dulu, akun anonim bergerak lintas batas, sekarang agen yang tidak diverifikasi melakukan transaksi A2A. Dulu, tanggung jawab verifikasi berada di masing-masing bank, sekarang berada di masing-masing platform. Tidak ada standar bersama.

Kesamaan ini bukan kebetulan, tapi pola. Teknologi sudah maju lebih dulu, lapisan identitas belum mengejar.

Apa itu KYC

KYA (Know Your Agent) adalah mekanisme kepercayaan yang memverifikasi sumber, izin, dan tanggung jawab agen sebelumnya.

Lewati langkah ini, tiga risiko akan muncul secara bersamaan. Pertama, transaksi berlebihan: pengguna hanya memberikan otorisasi pembayaran, tetapi agen memindahkan aset dan menandatangani kontrak di luar cakupan. Kedua, pemalsuan identitas: agen jahat menyamar sebagai yang sah, merebut pembayaran, memalsukan respons, dan mencuri reputasi. Ketiga, kekosongan tanggung jawab: setelah kejadian terjadi, agen, pengembang, dan pemberi kuasa saling melempar kesalahan, sehingga tidak ada yang bisa dimintai pertanggungjawaban atas ganti rugi.

KYA melakukan hal ini dengan mengunci ketiga hal tersebut sejak awal. Mendaftar dan memverifikasi cakupan izin secara pra-aktif, serta memblokir tindakan yang melampaui wewenang. Memverifikasi identitas dan sumber, hanya mengizinkan agen legal masuk. Setiap sumber dan pemberi wewenang agen terikat dalam catatan, sehingga dapat dilacak jika terjadi insiden.

Tidak perlu di mana-mana

Platform terpusat sebenarnya tidak terlalu membutuhkan KYA. Pengguna telah menyelesaikan KYC, dan platform sendiri menanggung risikonya, sehingga seluruh rantai proses bersifat tertutup.

Yang membutuhkan KYA adalah lingkungan terbuka setelah keluar dari platform. Agen harus terhubung ke DEX, melakukan pembayaran A2A, dan membayar ke pedagang. Pada saat itu, tidak ada yang menjamin, dan tidak ada yang bisa menjaminnya.

Misalnya, saat bergerak di dalam sebuah negara, kartu identitas (KYC) sudah cukup. Namun, begitu melewati perbatasan negara (keluar dari platform), lingkungannya berubah, dan Anda harus melalui pemeriksaan di pos imigrasi (KYA), menjelaskan tujuan serta kredibilitas Anda.

Empat langkah proses

Operasi KYA dapat dibagi menjadi empat langkah. Dua langkah pertama adalah "penerbitan paspor": pertama, daftarkan identitas dan wewenang agen, lalu terbitkan paspor digital setelah verifikasi. Dua langkah berikutnya adalah "pemeriksaan masuk": saat transaksi terjadi, konfirmasi identitas pihak lawan, lalu perbarui catatan berdasarkan hasil transaksi.

Identity is not issued once and valid forever, but is re-verified for each transaction.

Dalam perdebatan standar, saat ini ada empat pemain dengan jalur yang sama sekali berbeda.

ERC-8004: Mengubah identitas menjadi NFT

ERC-8004 mengikuti pendekatan sepenuhnya on-chain. Ia menambahkan lapisan identitas di atas ERC-721, di mana setiap agen dicetak sebagai satu NFT sebagai ID unik.

Terdapat tiga registri on-chain yang melengkapi: Identity bertanggung jawab atas "siapa agen ini", berdasarkan AgentID unik yang berbasis ERC-721. Reputation bertanggung jawab atas "apakah bisa bertransaksi dengannya", dengan meninggalkan peringkat, label, dan bukti di blockchain setelah transaksi selesai. Validation bertanggung jawab atas "apakah ia benar-benar melakukan hal itu", dengan diverifikasi oleh pihak ketiga melalui plugin seperti zkML dan TEE.

Struktur ini bukan pertama kalinya muncul dalam sejarah Ethereum. ERC-20 memstandarkan penerbitan token, dengan USDT, USDC, UNI, AAVE tumbuh di atasnya. ERC-721 memstandarkan penerbitan NFT, dengan CryptoPunks, BAYC, ENS yang mendukung seluruh pasar NFT. ERC-8004 akan memainkan peran sebagai standar ketiga di posisi yang sama.

Visa TAP: Mengemas dengan jaringan pembayaran

Visa memiliki pendekatan yang sama sekali berbeda. Ia memberikan agen sebuah kredensial identitas (Agent Intent), yang setara dengan sebuah kartu. Tanpa kunci ini, agen bahkan tidak dapat memulai transaksi. Visa memberikan persetujuan terlebih dahulu sebelum mengeluarkan kunci, dan setiap transaksi harus membawa tanda tangan ke pedagang.

Merchant menerima bukan satu tanda tangan, melainkan tiga. Agent Intent membuktikan agen sah, didukung oleh kunci yang disetujui oleh VIC. Consumer Recognition menjelaskan siapa yang diwakilinya, dengan mengirimkan identitas pengguna ke merchant. Payment Information memberikan jaminan pembayaran, dengan otentikasi menggunakan token pembayaran atau informasi kartu yang telah di-hash.

Visa memasukkan semua ini ke dalam paket yang lebih besar, disebut Visa Intelligent Commerce (VIC). Selain TAP, ada juga Agent APIs (teknologi milik Visa yang berjalan saat penggunaan kartu Visa), Tokenization (token khusus untuk AI), serta Intelligent Commerce Connect (kompatibel dengan protokol pesaing seperti AP2, ACP, x402).

Logika sangat jelas. Visa dulu memanfaatkan pintu masuk jaringan pembayaran, sekarang ingin menggabungkan era agen ke dalam jalurnya sendiri. Jika pembayaran agen terus mengikuti jaringan kartu, dan paket ini menjadi pilihan default, pangsa Visa akan tetap terjaga.

Trulioo: Pindahkan sistem SSL itu

Trulioo adalah pemain di bidang kepatuhan KYC dan KYB global, kini memperluas stack verifikasi ke KYA.

Ini mengadopsi model sertifikat SSL situs web. SSL adalah CA (Certificate Authority) yang mengeluarkan sertifikat TLS kepada situs web, yang hanya memverifikasi domain. Trulioo mengusulkan DPA (Digital Passport Authority) yang mengeluarkan DAP (Digital Agent Passport) kepada agen, memverifikasi KYB pengembang ditambah KYC pengguna.

DAP bukan sertifikat statis. Ini adalah token aktif yang diperbarui, yang diverifikasi ulang setiap kali transaksi dilakukan. Sekali delegasi dicabut atau terdeteksi anomali, DAP langsung dibatalkan.

Ini memiliki lima titik pemeriksaan: Provenance (yang membuat pengembang), User Binding (siapa yang memberikan otorisasi), Permission Scope (dapat melakukan apa saja), Behavior Telemetry (sedang melakukan apa sekarang), Risk Scoring (peringkat risiko).

Bank dan fintech secara hukum harus memverifikasi identitas individu dan perusahaan. Setelah agen memasuki bidang keuangan, posisi Trulioo dalam KYC dan KYB menjadi lebih kuat.

Sumsub: Pantau anomali, jangan terbitkan izin

Sumsub memiliki pendekatan yang berbeda dari tiga penyedia sebelumnya. Ia tidak memberikan standar atau sertifikat, tetapi melakukan verifikasi ulang terhadap orang di balik agen saat terjadi transaksi tidak biasa.

It has been operating compliantly since 2015, and that verification system is now used to detect anomalous behavior by agents. The process has three steps. First, automated detection to distinguish humans from machines using device and agent characteristics. Then, risk scoring to assign a risk score based on context, amount, and historical data. Finally, Liveness verification, which is triggered only for high-risk, large-amount, or critical changes, to re-verify the registered real person.

Empat fitur Sumsub sangat berbeda dibandingkan pemain lainnya. Titik awalnya adalah operator yang patuh, bukan pembuat standar. Waktu verifikasi terjadi saat transaksi berisiko, bukan saat pendaftaran awal. Metode verifikasinya adalah konfirmasi oleh manusia nyata, bukan data atau token. Filosofinya adalah mengaitkan agen dengan pihak yang bertanggung jawab, bukan langsung memblokir agen.

Pemain lain melakukan otentikasi identitas sekali sebelum bertindak, sementara Sumsub melakukan verifikasi real-time setelah penerbitan. Semakin luas otoritas agen, semakin krusial deteksi anomali. Metode penipuan mengikuti perkembangan teknologi, stack real-time Sumsub patut diperhatikan.

Skenario Aturan Perjalanan FATF

Setelah aturan perjalanan FATF tahun 2019 diterapkan, industri VASP langsung terpecah. Yang mampu menanggung biaya infrastruktur KYC dan AML bertahan, sementara yang tidak mampu menutup operasi atau pindah ke wilayah dengan regulasi lebih longgar. CryptoBridge dan Deribit keduanya terpaksa menyesuaikan diri dalam gelombang tersebut.

Regulasi bukanlah tujuan akhir, melainkan titik belok.

KYA skrip kali ini mungkin sama. Uni Eropa, Singapura, dan Amerika Serikat sudah bersaing untuk mendapatkan posisi terdepan.

Pasal 12 Undang-Undang AI Uni Eropa secara jelas mensyaratkan bahwa log perilaku sistem AI berisiko tinggi harus mencakup identitas operator. Singapura telah merilis kerangka tata kelola AI agen nasional pertama di dunia, memperluas manajemen identitas ke agen, dengan mewajibkan setiap agen memiliki pihak yang dapat dimintai pertanggungjawaban. NIST Amerika Serikat menjadikan manajemen identitas agen sebagai bidang standar prioritas.

Jendela waktu sedang menyempit.

Tidak akan ada pemenang tunggal

Faktor sebenarnya dalam persaingan standar bukanlah teknologi, tetapi kombinasi. Pemain utama telah memasuki tahap kolaborasi dan kombinasi. Siapa yang berpasangan dengan merchant, jaringan pembayaran, dan basis pelanggan KYC berikutnya akan menentukan penguasaan setiap segmen pasar.

Tidak akan ada pemenang tunggal di pasar ini.

Untuk perdagangan otonom di blockchain, Ethereum kemungkinan besar memimpin. Untuk skenario transaksi yang terikat pembayaran, Visa memiliki keunggulan jelas. Di industri keuangan yang terregulasi, akumulasi KYC dan KYB Trulioo sulit digantikan. Untuk skenario transaksi berisiko penipuan, deteksi real-time Sumsub lebih cocok.

Keempatnya bukan pesaing langsung, masing-masing menguasai satu wilayah. Persaingan sejati terjadi pada skenario-skenario yang termasuk dalam wilayah mana.

KYC baru menyelesaikan lapisan identitas keuangan global setelah 30 tahun sejak 1989.

Pada putaran ini, ritmenya tampak jauh lebih cepat. Regulasi telah bertindak, pemain utama telah bersiap, dan jendela waktu untuk penerapan berskala besar mungkin terjadi dalam beberapa tahun ke depan.

Yang bertahan nanti, bukan necessarily yang paling kuat teknologinya, tapi yang paling awal mengintegrasikan infrastruktur identitas.