Tiger Research: Piawaian KYA untuk Agen AI Mendapat Momentum Seiring Dorongan Peraturan

Laporan ini ditulis oleh Tiger Research. Agen AI kini mampu menandatangani kontrak, membuat pembayaran, dan melakukan perdagangan sendiri. Namun, satu masalah belum terpecahkan: bagaimana anda tahu siapa sebenarnya agen di seberang anda? Artikel ini merangkum pendekatan berbeza keempat-empat pemain dalam perjuangan standard KYA, serta sejauh mana pengawasan telah maju.

Poin utama

1. Agen AI memasuki era di mana kontrak, pembayaran, dan transaksi dilaksanakan secara mandiri, tetapi belum ada piawaian seragam di pasaran untuk mengesahkan identiti. Dalam skenario A2A (agen-ke-agen), KYA mulai mendapat perhatian lebih berbanding KYC.
2. KYA tidak diperlukan di mana-mana. Di dalam platform terpusat seperti Google, OpenAI, dan Coinbase, KYC yang sedia ada sudah mencukupi. KYA benar-benar diperlukan apabila agen yang dideploy secara bebas terhubung ke DEX, pembayaran A2A, atau pembayaran pedagang.
3. Pertandingan standard telah bermula. ERC-8004, Visa TAP, Trulioo, dan Sumsub masing-masing memasuki empat arah berbeza: pada rantai, rangkaian pembayaran, pengesahan kepatuhan, dan pengesanan risiko, dengan lintasan yang sama sekali berbeza.
4. Pengawasan telah bertindak. Undang-undang AI EU, NIST Amerika, dan kerangka kerja nasional Singapura semuanya menjadikan pengurusan identiti agen sebagai keutamaan. Peraturan Perjalanan FATF pada 2019 menentukan pertukaran kripto mana yang bertahan hidup, dan kemungkinan besar skrip yang sama akan berulang kali berlaku kali ini.

KYC telah membentuk semula lapisan perbankan itu

Sebelum tahun 1989, sistem keuangan global tidak memiliki piawaian identiti yang seragam. Kekosongan ini membuat dana dadah dan wang haram sukar dilacak ke sumbernya. Hingga tahun itu, FATF ditubuhkan, dan KYC menjadi keperluan wajib dalam industri perbankan, menghalang dana haram daripada masuk.

Selepas tiga dekad, kesan KYC meluas secara bertahap. Selepas 9/11 pada 2001, syarat pembiayaan teroris ditambahkan, dan Undang-Undang Patriot Amerika menjadikan KYC sebagai kewajipan undang-undang. Pada 2010-an, AMLD EU, Basel III, dan FATCA beransur-ansur dilaksanakan, membolehkan pertukaran automatik maklumat KYC lintas batas. Pada 2019, Peraturan Perjalanan FATF memperluaskan KYC kepada penyedia aset maya.

Setiap perluasan adalah untuk mengisi satu kekosongan.

Tiada identiti agen, sistem akan mundur

Kembali kepada masa kini. Agen AI tidak memerlukan pengawasan manusia untuk menandatangani kontrak, membuat pembayaran, dan melakukan perdagangan sendiri. Tetapi tiada siapa pun yang boleh mengesahkan siapa dia.

Dalam persekitaran A2A, tanggungjawab adalah kabur. Siapa yang perlu dihubungi apabila berlaku masalah, tiada yang boleh memastikan. Pengguna juga mudah terjebak dalam pencucian wang dan pelbagai jenis penipuan.

Apabila membandingkan sistem kewangan sebelum tahun 1989 dengan pasaran agen pintar pada tahun 2026, strukturnya sangat menakjubkan. Pada masa itu, akaun anonim mengalir lintas sempadan; hari ini, agen yang tidak disahkan melakukan transaksi A2A. Pada masa itu, tanggungjawab pengesahan berada di tangan setiap bank; hari ini, ia berada di tangan setiap platform. Tiada piawaian bersama.

Kesamaan ini bukan kebetulan, tetapi suatu pola. Teknologi telah melangkah lebih dulu, sementara lapisan identiti belum menyusul.

Apakah KYA

KYA (Know Your Agent) adalah mekanisme kepercayaan yang memverifikasi sumber, wewenang, dan tanggung jawab agen terlebih dahulu.

Lewati langkah ini, tiga risiko akan muncul serentak. Pertama ialah perdagangan tanpa kuasa: pengguna hanya memberi kuasa untuk pembayaran, tetapi agen menggerakkan aset dan menandatangani kontrak di luar lingkup. Kedua ialah pemalsuan identiti: agen jahat menyamar sebagai yang sah, merampas pembayaran, memalsukan respons, dan mencuri reputasi. Ketiga ialah kekosongan tanggungjawab: selepas kejadian berlaku, agen, pembangun, dan pemberi kuasa saling menyalahkan, sehingga tiada siapa yang boleh diminta bertanggungjawab atas ganti rugi.

KYA melakukan tiga perkara ini dengan mengunci secara awal. Mendaftar dan mengesahkan lingkup keizinan terlebih dahulu, tindakan yang melampaui keizinan akan langsung dihalang. Mengesahkan identiti dan sumber, hanya membenarkan agen yang sah masuk. Setiap sumber dan pemberi kuasa agen dikaitkan dalam rekod, membolehkan pelacakan jika berlaku insiden.

Tidak perlukan di mana-mana

Platform terpusat sebenarnya tidak memerlukan KYA. Pengguna telah menyelesaikan KYC, dan platform itu sendiri menanggung risikonya, seluruh rantai proses bersifat tertutup.

Yang memerlukan KYA ialah persekitaran terbuka di luar platform. Agen perlu menghubungkan dengan DEX, melakukan pembayaran A2A, dan membayar kepada pedagang. Pada masa ini, tiada pihak yang menjamin atau memberi jaminan untuknya.

Sebagai contoh, di dalam sebuah negara, kad pengenalan (KYC) sudah mencukupi. Namun, sekali melintasi sempadan negara (keluar dari platform), persekitaran berubah, dan anda mesti melalui pemeriksaan di pos masuk (KYA), menjelaskan tujuan dan kredibilitas anda.

Empat langkah proses

Operasi KYA boleh dibahagikan kepada empat langkah. Dua langkah pertama adalah "pengeluaran pasport": mendaftarkan identiti dan kebenaran agen, kemudian mengeluarkan pasport digital setelah berjaya disahkan. Dua langkah seterusnya adalah "semakan masuk": mengesahkan identiti pihak lawan semasa transaksi berlaku, kemudian memperbaharui rekod berdasarkan hasil transaksi.

Identiti bukan dikeluarkan sekali sahaja dan berkuasa seumur hidup, tetapi disemak semula untuk setiap transaksi.

Dalam pertandingan standard, terdapat empat pemain dengan laluan yang berbeza.

ERC-8004: Menjadikan identiti sebagai NFT

ERC-8004 mengikuti pendekatan sepenuhnya di atas rantai. Ia menambahkan lapisan identiti di atas ERC-721, di mana setiap agen dicetak sebagai satu NFT sebagai ID unik.

Tiga pendaftaran atas rantai disediakan. Identity bertanggung jawab atas "siapakah agen ini", berdasarkan AgentID unik yang berdasarkan ERC-721. Reputation bertanggung jawab atas "bolehkah berdagang dengannya", dengan meninggalkan penilaian, label, dan bukti di rantai selepas transaksi selesai. Validation bertanggung jawab atas "adakah ia benar-benar melakukan perkara itu", dengan ahli pengesah pihak ketiga memeriksa melalui plugin seperti zkML dan TEE.

Struktur ini bukan pertama kalinya berlaku dalam sejarah Ethereum. ERC-20 memstandardkan penerbitan token, dengan USDT, USDC, UNI, AAVE tumbuh di atasnya. ERC-721 memstandardkan penerbitan NFT, dengan CryptoPunks, BAYC, ENS menopang seluruh pasaran NFT. ERC-8004 akan berperanan sebagai piawaian ketiga yang sama.

Visa TAP: Menggabungkan rangkaian pembayaran

Visa mempunyai pendekatan yang sama sekali berbeza. Ia mengeluarkan satu penyata identiti (Agent Intent) kepada agen, seolah-olah ia adalah satu kad. Tanpa kunci ini, agen tidak boleh memulakan sebarang transaksi. Visa akan mengesahkan terlebih dahulu sebelum mengeluarkan kunci, dan setiap transaksi mesti disertai tanda tangan kepada pedagang.

Pedagang menerima tiga tanda tangan, bukan satu. Agent Intent membuktikan keabsahan agen, disokong oleh kunci yang diluluskan oleh VIC. Consumer Recognition menunjukkan siapa yang diwakilinya, dengan menghantar pengenal pengguna kepada pedagang. Payment Information memberikan jaminan pembayaran, dengan mengesahkan menggunakan token pembayaran atau maklumat kad yang telah di-hash.

Visa memasukkan semua ini ke dalam satu pakej yang lebih besar, dipanggil Visa Intelligent Commerce (VIC). Selain TAP, ia juga termasuk Agent APIs (teknologi sendiri Visa yang digunakan semasa penggunaan kad Visa), Tokenization (token khas untuk AI), serta Intelligent Commerce Connect (kompatibel dengan protokol pesaing seperti AP2, ACP, x402).

Logikanya jelas. Visa dahulu menangkap pintu masuk rangkaian pembayaran, dan sekarang ingin memasukkan era agen pintar ke dalam landasan mereka sendiri. Jika pembayaran agen pintar terus mengikuti rangkaian kad, dan paket ini menjadi pilihan lalai, bahagian Visa akan kekal stabil.

Trulioo: Bawa sistem SSL itu ke sini

Trulioo adalah pemain dalam pasaran kepatuhan KYC dan KYB global, kini memperluas stak pengesahan ke KYA.

Ia mengambil inspirasi daripada model sijil SSL laman web. SSL ialah CA (Certificate Authority) yang mengeluarkan sijil TLS kepada laman web, yang hanya mengesahkan domain. Trulioo mencadangkan DPA (Digital Passport Authority) yang mengeluarkan DAP (Digital Agent Passport) kepada agen, mengesahkan KYB pembangun ditambah KYC pengguna.

DAP bukan sijil statik. Ia adalah token aktif yang diperbaharui, yang disahkan semula untuk setiap transaksi. Sekiranya pelantikan ditarik balik atau keanehan dikesan, DAP akan terus dicabut.

Ia mempunyai lima checkpoint: Provenance (yang mana pengembang membuatnya), User Binding (siapa yang memberikan kebenaran), Permission Scope (boleh melakukan apa sahaja), Behavior Telemetry (sedang melakukan apa sekarang), Risk Scoring (penilaian risiko).

Bank dan fintech secara undang-undang mesti mengesahkan identiti individu dan syarikat. Apabila agen memasuki bidang kewangan, kedudukan Trulioo dalam KYC dan KYB menjadi lebih kukuh.

Sumsub: Pantau aktiviti mencurigakan, jangan keluarkan sijil

Sumsub mempunyai pendekatan yang berbeza berbanding tiga yang pertama. Ia tidak mengeluarkan piawaian atau sijil, tetapi mengesemulaikan pengesahan orang di sebalik transaksi yang tidak biasa oleh agen.

Ia telah menjalankan perniagaan yang mematuhi peraturan sejak 2015, dan sistem pengesahan tersebut kini digunakan untuk mengesan tingkah laku tidak biasa agen. Proses ini terbahagi kepada tiga langkah. Pertama, pengesanan automatik, yang membezakan manusia dan mesin melalui ciri peranti dan agen. Kedua, penilaian risiko, yang memberi skor risiko berdasarkan konteks, jumlah, dan data sejarah. Ketiga, pengesahan Liveness, yang hanya dipicu apabila terdapat risiko tinggi, jumlah besar, atau perubahan penting, untuk mengesahkan semula pengguna sebenar yang telah didaftarkan.

Empat ciri Sumsub berbeza dengan pemain lain. Ia bermula sebagai operator yang mematuhi peraturan, bukan pembentuk piawaian. Masa pengesahan adalah semasa transaksi berisiko berlaku, bukan sebelum pendaftaran. Kaedah pengesahan adalah pengesahan semula oleh manusia, bukan data atau token. Falsafahnya adalah mengikat agen kepada pihak bertanggungjawab, bukan menghalang agen secara langsung.

Pemain lain melakukan pengesahan identiti sekali sahaja sebelum bertindak, manakala Sumsub melakukan pengesahan masa nyata selepas penerbitan. Semakin luas kuasa agen, semakin penting pengesanan penyimpangan. Kaedah penipuan berterusan meningkat mengikuti teknologi, dan stak masa nyata Sumsub patut diperhatikan.

Skenario Peraturan Perjalanan FATF

Selepas peraturan perjalanan FATF pada 2019 dikeluarkan, industri VASP segera terpecah. Yang mampu menanggung kos infrastruktur KYC dan AML bertahan, manakala yang tidak mampu menutup operasi atau berpindah ke tempat dengan peraturan yang lebih longgar. CryptoBridge dan Deribit kedua-duanya terpaksa menyesuaikan diri dalam gelombang itu.

Pengawasan bukanlah titik akhir, tetapi titik belok.

KYA skrip kali ini mungkin sama. Kesatuan Eropah, Singapura, dan Amerika Syarikat sudah bersaing untuk mendapat kedudukan terdepan.

Pasal 12 Undang-undang AI Kesatuan Eropah secara jelas memerlukan log tingkah laku sistem AI berisiko tinggi untuk menyertakan identiti pengendali. Singapura telah mengeluarkan kerangka tata kelola AI agen nasional pertama di dunia, memperluas pengurusan identiti kepada agen, dengan memerlukan setiap agen mempunyai pihak yang boleh dipertanggungjawabkan. NIST Amerika Syarikat menjadikan pengurusan identiti agen sebagai bidang piawaian utama.

Tetingkap masa sedang mengecil.

Tidak akan ada pemenang tunggal

Faktor sebenar dalam pertandingan standard bukan teknologi, tetapi kombinasi. Pemain utama telah memasuki fasa kerjasama dan kombinasi. Siapa yang berpasangan dengan pedagang, rangkaian pembayaran, dan kumpulan pelanggan KYC seterusnya akan menentukan penguasaan setiap pasaran segmen.

Tidak akan ada pemenang tunggal di pasaran ini.

Dalam bidang perdagangan mandiri di rantai, Ethereum kemungkinan besar memimpin. Dalam skenario perdagangan yang dikaitkan dengan pembayaran, Visa memiliki keunggulan jelas. Dalam industri perbankan yang diatur, pengalaman Trulioo dalam KYC dan KYB sukar digantikan. Untuk skenario perdagangan yang membawa risiko penipuan, pemeriksaan secara masa nyata Sumsub lebih sesuai.

Empat bukan pesaing langsung, mereka masing-masing menguasai satu bukit. Persaingan sebenarnya berlaku dalam skenario yang mana yang dimasukkan ke dalam bukit mana.

KYC telah mengambil tiga puluh tahun sejak tahun 1989 hingga kini untuk melengkapkan lapisan identiti perbankan global.

Pada putaran ini, ritmenya kelihatan jauh lebih pantas. Pengawasan sudah bertindak, pemain utama sudah bersiap, dan jendela masa untuk pelaksanaan berskala besar mungkin berlaku dalam beberapa tahun ke depan.

Pada masa itu, yang akan bertahan bukanlah yang paling kuat secara teknologi, tetapi yang paling awal mengintegrasikan infrastruktur identiti.