Tiger Research: Piawaian KYA Muncul Sebagai Agen AI Memasuki Era Transaksi Autonom

Laporan ini ditulis oleh Tiger Research. Agen AI kini mampu menandatangani kontrak, membuat pembayaran, dan melakukan transaksi sendiri. Namun, satu masalah belum terpecahkan: bagaimana anda tahu siapa sebenarnya agen di seberang anda? Artikel ini merangkum pendekatan berbeza keempat-empat pemain dalam perjuangan standard KYA, serta sejauh mana pengawasan telah maju.

Poin utama

1. Agen AI memasuki era di mana kontrak, pembayaran, dan transaksi dilaksanakan secara autonomi, tetapi belum ada piawaian seragam di pasaran untuk mengesahkan identiti. Dalam skenario A2A (agent-to-agent), KYA mulai mendapat perhatian lebih berbanding KYC.
2. KYA tidak diperlukan di mana-mana. Di dalam platform terpusat seperti Google, OpenAI, dan Coinbase, KYC yang sedia ada sudah mencukupi. KYA benar-benar diperlukan apabila agen yang dideploy secara bebas menghubungkan ke DEX, pembayaran A2A, dan pembayaran pedagang.
3. Pertandingan standard telah bermula. ERC-8004, Visa TAP, Trulioo, dan Sumsub masing-masing memasuki empat arah berbeza: pada rantai, rangkaian pembayaran, pengesahan kepatuhan, dan pengesanan risiko, dengan lintasan yang sama sekali berbeza.
4. Pengawasan telah bertindak. Undang-undang AI EU, NIST Amerika, dan kerangka kerja nasional Singapura semuanya menjadikan pengurusan identiti agen sebagai keutamaan. Peraturan Perjalanan FATF pada 2019 menentukan pertukaran kripto mana yang bertahan hidup, dan kemungkinan besar skrip yang sama akan berulang kali berlaku kali ini.

KYC telah membentuk semula lapisan perbankan itu

Sebelum tahun 1989, sistem keuangan global tidak memiliki piawaian identiti yang seragam. Kekosongan ini membuat dana dadah dan wang haram sukar dilacak ke sumber asalnya. Hingga tahun itu, FATF ditubuhkan, dan KYC menjadi keperluan wajib dalam industri perbankan, menghalang dana haram daripada masuk.

Selepas tiga dekad, kesan KYC meluas secara bertahap. Selepas 9/11 pada 2001, syarat pembiayaan teroris ditambahkan, dan Undang-Undang Patriot AS menjadikan KYC sebagai kewajipan undang-undang. Pada tahun 2010-an, AMLD EU, Basel III, dan FATCA beransur-ansur dilaksanakan, membolehkan pertukaran maklumat KYC silang sempadan secara automatik. Pada 2019, Peraturan Perjalanan FATF memperluaskan KYC kepada penyedia aset maya.

Setiap perluasan adalah untuk mengisi satu kekosongan.

Tiada identiti agen, sistem akan mundur

Kembali kepada masa kini. Agen AI tidak memerlukan pengawasan manusia, ia boleh menandatangani kontrak, membuat pembayaran, dan berdagang sendiri. Tetapi tiada siapa pun yang boleh mengesahkan siapa ia.

Dalam persekitaran A2A, tanggungjawab menjadi kabur. Siapa yang perlu dihubungi apabila berlaku masalah, tiada yang boleh pasti. Pengguna juga mudah terperangkap dalam pencucian wang dan pelbagai jenis penipuan.

Membandingkan sistem kewangan sebelum tahun 1989 dengan pasaran agen pintar pada tahun 2026, strukturnya sangat menakjubkan. Pada masa itu, akaun anonim mengalir lintas batas, kini agen yang tidak disahkan melakukan transaksi A2A. Pada masa itu, tanggungjawab pengesahan berada di tangan setiap bank, kini ia berada di tangan setiap platform. Tiada piawaian bersama.

Kesamaan ini bukan kebetulan, tetapi suatu pola. Teknologi telah melangkah lebih awal, sementara lapisan identiti belum menyusul.

Apa itu KYC

KYA (Know Your Agent) adalah mekanisme kepercayaan yang memverifikasi sumber, wewenang, dan tanggung jawab agen terlebih dahulu.

Lewati langkah ini, tiga risiko akan muncul serentak. Pertama ialah perdagangan tanpa kuasa: pengguna hanya memberi kuasa untuk pembayaran, tetapi agen menggerakkan aset dan menandatangani kontrak di luar lingkup. Kedua ialah pemalsuan identiti: agen jahat menyamar sebagai yang sah, merampas pembayaran, memalsukan respons, dan mencuri reputasi. Ketiga ialah kekosongan tanggungjawab: selepas kejadian berlaku, agen, pembangun, dan pemberi kuasa saling menyalahkan, sehingga tiada siapa yang boleh dituntut ganti rugi.

KYA melakukan tiga perkara ini dengan mengunci terlebih dahulu. Mendaftar dan mengesahkan lingkup keizinan secara awal, dan menghalang tindakan yang melampaui keizinan. Mengesahkan identiti dan sumber, hanya membenarkan agen yang sah masuk. Setiap sumber dan pemberi kuasa agen dikaitkan dalam rekod, membolehkan pelacakan jika berlaku insiden.

Tidak perlulah di mana-mana

Platform terpusat sebenarnya tidak memerlukan KYA. Pengguna telah menyelesaikan KYC, dan platform itu sendiri menanggung risikonya, seluruh rantai proses adalah tertutup.

Yang memerlukan KYA ialah persekitaran terbuka setelah keluar dari platform. Agen perlu menyambung dengan DEX, melakukan pembayaran A2A, dan membayar kepada pedagang. Pada masa ini, tiada pihak yang menjamin atau memberi jaminan untuknya.

Sebagai contoh, di dalam sebuah negara, kad pengenalan (KYC) sudah mencukupi. Namun, sekali melintasi sempadan negara (keluar dari platform), persekitaran berubah, dan anda perlu melalui pemeriksaan di pos masuk (KYA), di mana anda perlu menjelaskan tujuan dan kredibilitas anda.

Empat langkah proses

Operasi KYA boleh dibahagikan kepada empat langkah. Dua langkah pertama adalah "pengeluaran pasport": mendaftarkan identiti dan kebenaran agen, kemudian mengeluarkan pasport digital setelah berjaya disahkan. Dua langkah seterusnya adalah "semakan masuk": mengesahkan identiti pihak lawan semasa transaksi berlaku, kemudian memperbaharui rekod berdasarkan keputusan transaksi.

Identiti bukan dikeluarkan sekali dan berkuasa selamanya, tetapi disemak semula untuk setiap transaksi.

Dalam pertandingan standard, terdapat empat pemain dengan laluan yang berbeza.

ERC-8004: Menjadikan identiti sebagai NFT

ERC-8004 mengikuti pendekatan sepenuhnya di atas rantai. Ia menambahkan lapisan identiti di atas ERC-721, di mana setiap agen dicetak sebagai satu NFT sebagai ID unik.

Tiga pendaftaran atas rantai disediakan. Identity bertanggung jawab atas "siapakah agen ini", berdasarkan AgentID unik yang berdasarkan ERC-721. Reputation bertanggung jawab atas "bolehkah berdagang dengannya", dengan meninggalkan penilaian, label, dan bukti di rantai selepas transaksi selesai. Validation bertanggung jawab atas "adakah ia benar-benar melakukan perkara itu", dengan pengesah pihak ketiga memeriksa melalui plugin seperti zkML dan TEE.

Struktur ini bukan pertama kalinya berlaku dalam sejarah Ethereum. ERC-20 memstandardkan penerbitan token, dengan USDT, USDC, UNI, AAVE tumbuh di atasnya. ERC-721 memstandardkan penerbitan NFT, dengan CryptoPunks, BAYC, ENS menopang seluruh pasaran NFT. ERC-8004 akan memainkan peranan sebagai standard ketiga yang sama.

Visa TAP: Menggabungkan rangkaian pembayaran

Visa mempunyai pendekatan yang sama sekali berbeza. Ia mengeluarkan satu kredensial identiti (Agent Intent) kepada agen, seolah-olah satu kad. Tanpa kunci ini, agen tidak boleh memulakan sebarang transaksi. Visa akan mengesahkan terlebih dahulu sebelum mengeluarkan kunci, dan setiap transaksi mesti disertai tanda tangan kepada pedagang.

Pedagang menerima tiga tanda tangan, bukan satu. Agent Intent membuktikan keabsahan agen, disokong oleh kunci yang diluluskan oleh VIC. Consumer Recognition menunjukkan siapa yang diwakilinya, dengan menghantar pengenal pengguna kepada pedagang. Payment Information memberikan jaminan pembayaran, dengan mengesahkan menggunakan token pembayaran atau maklumat kad yang telah di-hash.

Visa memasukkan seluruh perkara ini ke dalam satu pakej yang lebih besar, dipanggil Visa Intelligent Commerce (VIC). Selain TAP, ia juga termasuk Agent APIs (teknologi sendiri Visa yang digunakan semasa penggunaan kad Visa), Tokenization (token khas untuk AI), serta Intelligent Commerce Connect (kompatibel dengan protokol pesaing seperti AP2, ACP, x402).

Logikanya jelas. Visa dahulu menangkap pintu masuk rangkaian pembayaran, dan sekarang ingin memasukkan era agen pintar ke dalam landasan mereka sendiri. Jika pembayaran agen pintar terus mengikuti rangkaian kad, dan paket ini menjadi pilihan lalai, bahagian Visa akan kekal stabil.

Trulioo: Bawa sistem SSL itu ke sini

Trulioo adalah pemain di pasaran KYC dan KYB global, kini memperluas stak pengesahan ke KYA.

Ia mengambil inspirasi daripada model sijil SSL laman web. SSL ialah CA (Certificate Authority) yang mengeluarkan sijil TLS kepada laman web, yang hanya mengesahkan domain. DPA (Digital Passport Authority) yang dicadangkan oleh Trulioo pula mengeluarkan DAP (Digital Agent Passport) kepada agen, yang mengesahkan KYB pembangun ditambah KYC pengguna.

DAP bukan sijil statik. Ia adalah token aktif yang diperbaharui, yang disahkan semula untuk setiap transaksi. Sekiranya perwakilan ditarik balik atau keanehan dikesan, DAP akan dibatalkan segera.

Ia mempunyai lima checkpoint: Provenance (yang mana pembangun membuatnya), User Binding (siapa yang memberikan kebenaran), Permission Scope (boleh melakukan apa sahaja), Behavior Telemetry (sedang melakukan apa sekarang), Risk Scoring (penilaian risiko).

Bank dan fintech secara undang-undang mesti mengesahkan identiti individu dan syarikat. Apabila agen memasuki bidang kewangan, kedudukan Trulioo dalam KYC dan KYB menjadi lebih kukuh.

Sumsub: Pantau aktiviti mencurigakan, jangan keluarkan sijil

Sumsub mempunyai pendekatan yang berbeza berbanding tiga yang pertama. Ia tidak mengeluarkan piawaian atau sijil, tetapi mengesemulaikan pengesahan individu di belakang agen apabila transaksi yang tidak biasa berlaku.

Ia telah menjalankan perniagaan yang dipatuhi sejak 2015, dan sistem pengesahan itu kini digunakan untuk mengesan tingkah laku tidak biasa agen. Proses ini terbahagi kepada tiga langkah. Pertama, pengesanan automatik, yang membezakan manusia dan mesin melalui ciri peranti dan agen. Kedua, penilaian risiko, yang memberi skor risiko berdasarkan konteks, jumlah, dan data sejarah. Ketiga, pengesahan Liveness, yang hanya dipicu apabila terdapat risiko tinggi, jumlah besar, atau perubahan penting, untuk mengesahkan semula individu sebenar yang didaftarkan.

Empat ciri Sumsub berbeza dengan pemain lain. Ia bermula sebagai operator pematuhan, bukan pembentuk piawaian. Masa pengesahan adalah semasa transaksi berisiko berlaku, bukan sebelum pendaftaran. Kaedah pengesahan adalah pengesahan semula oleh manusia nyata, bukan data atau token. Falsafahnya adalah mengikat agen kepada pihak bertanggungjawab, bukan menghalang agen secara langsung.

Pemain lain melakukan pengesahan identiti sekali sahaja sebelum bertindak, manakala Sumsub melakukan pengesahan secara masa nyata selepas penerbitan. Semakin luas kuasa agen, semakin penting pengesanan penyimpangan. Kaedah penipuan berterusan meningkat mengikut teknologi, dan stak masa nyata Sumsub patut diperhatikan.

Skenario Peraturan Perjalanan FATF

Selepas peraturan perjalanan FATF tahun 2019 dikeluarkan, industri VASP segera terpecah. Yang mampu menanggung kos infrastruktur KYC dan AML bertahan, sementara yang tidak mampu menutup operasi atau berpindah ke tempat dengan peraturan yang lebih longgar. CryptoBridge dan Deribit kedua-duanya terpaksa menyesuaikan diri dalam gelombang itu.

Pengawasan bukanlah titik akhir, tetapi titik belok.

KYA skrip kali ini mungkin sama. Kesatuan Eropah, Singapura, dan Amerika Syarikat sudah bersaing untuk mendapat kedudukan terdepan.

Pasal 12 Undang-undang AI Kesatuan Eropah secara jelas memerlukan log tingkah laku sistem AI berisiko tinggi untuk menyertakan identiti pengendali. Singapura telah mengeluarkan kerangka tata kelola AI agen nasional pertama di dunia, memperluas pengurusan identiti kepada agen, dengan memerlukan setiap agen mempunyai pihak yang boleh dipertanggungjawabkan. NIST Amerika Syarikat telah menjadikan pengurusan identiti agen sebagai bidang piawaian utama.

Tetingkap masa sedang mengecil.

Tidak akan ada pemenang tunggal

Faktor sebenar dalam perjuangan standard bukan teknologi, tetapi kombinasi. Pemain utama telah memasuki fasa kerjasama dan kombinasi. Siapa yang berpasangan dengan pedagang, rangkaian pembayaran, dan komuniti KYC tertentu seterusnya akan menentukan penguasaan setiap pasaran segmen.

Tidak akan ada pemenang tunggal di pasaran ini.

Dalam bidang perdagangan autonomus di rantai, Ethereum kemungkinan besar memimpin. Dalam skenario perdagangan yang dikaitkan dengan pembayaran, Visa memiliki keunggulan yang jelas. Dalam industri perbankan yang diatur, pengalaman Trulioo dalam KYC dan KYB sukar digantikan. Untuk skenario perdagangan yang membawa risiko penipuan, pemeriksaan secara masa nyata Sumsub lebih sesuai.

Empat bukan pesaing langsung, mereka masing-masing menguasai satu bukit. Persaingan sebenarnya berlaku dalam skenario-skenario yang dimasukkan ke dalam bukit mana.

KYC telah mengambil tiga puluh tahun sejak 1989 hingga kini untuk melengkapkan lapisan identiti perbankan global.

Pada putaran ini, ritmenya kelihatan jauh lebih pantas. Pengawasan sudah bertindak, pemain utama sudah bersiap, dan jendela masa untuk pelaksanaan berskala besar mungkin berlaku dalam beberapa tahun ke depan.

Pada masa itu, yang akan bertahan bukanlah yang paling kuat secara teknikal, tetapi yang paling awal mengintegrasikan infrastruktur identiti.