Tiger Research: Os padrões KYA para agentes de IA ganham impulso amid pressão regulatória

Este relatório foi elaborado por Tiger Research. Agentes de IA já conseguem assinar contratos, fazer pagamentos e realizar transações por conta própria. Mas ainda há um problema não resolvido: como você sabe quem é realmente o agente do outro lado? Este artigo analisa as abordagens distintas dos quatro participantes na disputa pelos padrões KYA e o estágio atual da regulamentação.

Pontos principais

1. Os agentes de IA entraram na era da execução autônoma de contratos, pagamentos e negociações, mas ainda não existe um padrão unificado no mercado para verificar identidades. Em cenários A2A (agente para agente), o KYA começa a receber mais atenção do que o KYC.
2. KYA não é necessário em todos os lugares. Em plataformas centralizadas como Google, OpenAI e Coinbase, o KYC existente já é suficiente. O KYA é realmente necessário quando agentes independentes se conectam a DEX, pagamentos A2A e pagamentos de comerciantes.
3. A disputa pelos padrões já começou. ERC-8004, Visa TAP, Trulioo e Sumsub abordam respectivamente quatro direções distintas: na cadeia, na rede de pagamentos, na certificação de conformidade e na detecção de riscos.
4. A regulamentação já agiu. O regulamento da UE sobre IA, o NIST dos EUA e o quadro nacional de Cingapura listam a gestão de identidade de agentes como prioridade. A regra de viagem da FATF em 2019 determinou quais exchanges de criptomoeda sobreviveram; é provável que o mesmo roteiro se repita com o KYA.

KYC redefiniu aquele nível da finança

Antes de 1989, o sistema financeiro global não tinha um padrão unificado de identidade. Essa lacuna tornava difícil rastrear fontes de dinheiro proveniente de drogas e fundos ilícitos. Até aquele ano, com a criação da FATF, o KYC tornou-se um requisito obrigatório no setor financeiro, bloqueando fundos ilegais.

Nos trinta anos seguintes, o impacto do KYC se expandiu camada por camada. Após os ataques de 11 de setembro de 2001, cláusulas de combate ao financiamento do terrorismo foram adicionadas, e o USA PATRIOT Act elevou o KYC a uma obrigação legal. Na década de 2010, a AMLD da União Europeia, o Basel III e o FATCA foram implementados sucessivamente, permitindo a troca automática de informações de KYC transfronteiriças. Em 2019, a regra de viagem da FATF estendeu o KYC aos prestadores de serviços de ativos virtuais.

Cada extensão preenche uma lacuna.

Sem identidade de agente, o sistema está recuando

Volte ao presente. Agentes de IA não precisam de supervisão humana para assinar contratos, fazer pagamentos e realizar negociações. Mas ninguém pode verificar quem eles são.

No ambiente A2A, a responsabilidade é nebulosa. Quando ocorre um problema, ninguém sabe a quem recorrer. Os usuários também facilmente se deparam com lavagem de dinheiro e diversos tipos de golpes.

Comparar o sistema financeiro antes de 1989 com o mercado de agentes inteligentes em 2026 revela uma estrutura surpreendentemente semelhante. Na época, contas anônimas circulavam transfronteiriças; hoje, agentes não verificados realizam transações A2A. Naquela época, a responsabilidade pela verificação cabia a cada banco individualmente; hoje, cabe a cada plataforma individualmente. Nenhum padrão comum existe.

Essa semelhança não é coincidência, é uma regra. A tecnologia avançou primeiro, mas a camada de identidade não acompanhou.

O que é KYA?

KYA (Know Your Agent) é um mecanismo de confiança que verifica antecipadamente a origem, os privilégios e a responsabilidade do agente.

Pule esta etapa e três riscos surgirão simultaneamente. O primeiro é a negociação excessiva: o usuário autorizou apenas pagamento, mas o agente desloca ativos e assina contratos fora do escopo. O segundo é a falsificação de identidade: agentes maliciosos se disfarçam como legítimos, interceptam pagamentos, falsificam respostas e roubam reputação. O terceiro é o vácuo de responsabilidade: após um incidente, agente, desenvolvedor e mandante se culpam mutuamente, tornando impossível追究 compensação.

KYA simply locks in these three things in advance: pre-register and verify permission scopes, and block any unauthorized actions. Verify identity and source, allowing only legitimate agents to enter. Each agent’s source and principal are bound to the record, enabling traceability in case of incidents.

Nem todos os lugares precisam

Plataformas centralizadas na verdade não precisam muito de KYA. Os usuários realizam KYC e a própria plataforma garante, criando um ciclo fechado.

Quem precisa do KYA é o ambiente aberto fora da plataforma. O agente precisa se conectar a DEXs, realizar pagamentos A2A e pagar comerciantes. Nesse momento, ninguém está garantindo nem assumindo a responsabilidade por ele.

Por exemplo, dentro de um país, um cartão de identidade (KYC) é suficiente. Uma vez que se cruza a fronteira (sai da plataforma), o ambiente muda e é necessário passar por inspeção na imigração (KYA), explicando claramente o propósito e a credibilidade.

Quatro etapas do processo

O funcionamento do KYA pode ser dividido em quatro etapas. As duas primeiras são "emissão de passaporte": primeiro, registre a identidade e as permissões do agente e, após a verificação, emita um passaporte digital. As duas últimas são "inspeção de entrada": ao ocorrer uma transação, confirme a identidade da outra parte e, em seguida, atualize os registros com base no resultado da transação.

A identidade não é emitida uma vez e válida permanentemente, mas é verificada novamente a cada transação.

No conflito dos padrões, atualmente há quatro participantes, com caminhos totalmente diferentes.

ERC-8004: Transformar identidade em NFT

ERC-8004 segue uma abordagem totalmente on-chain. Ele adiciona uma camada de identidade sobre o ERC-721, com cada agente emitindo um NFT como ID único.

Há três registros on-chain associados. Identity é responsável por "quem é este agente", com base no AgentID único ERC-721. Reputation é responsável por "se é seguro negociar com ele", deixando avaliações, rótulos e evidências na cadeia após a transação. Validation é responsável por "se ele realmente realizou aquela ação", verificada por validadores terceirizados por meio de plugins como zkML e TEE.

Essa estrutura não é a primeira vez que aparece na história da Ethereum. O ERC-20 padronizou a emissão de tokens, e o USDT, USDC, UNI, AAVE cresceram sobre ele. O ERC-721 padronizou a emissão de NFTs, com CryptoPunks, BAYC e ENS sustentando todo o mercado de NFTs. O ERC-8004 pretende desempenhar o mesmo papel como o terceiro padrão.

Visa TAP: Empacotar com a rede de pagamentos

A abordagem da Visa é completamente diferente. Ela emite um certificado de identidade (Agent Intent) para os agentes, equivalente a um cartão. Sem essa chave, o agente nem consegue iniciar uma transação. A Visa aprova previamente antes de emitir a chave, e cada transação deve vir acompanhada de uma assinatura para o comerciante.

O comerciante recebe não um, mas três sinais. Agent Intent prova a legitimidade do agente, endossada por chaves aprovadas pela VIC. Consumer Recognition indica a quem o agente está prestando serviços, transmitindo o identificador do usuário ao comerciante. Payment Information fornece garantia de pagamento, autenticando com um token de pagamento ou informações de cartão hashizadas.

A Visa colocou tudo isso em um pacote maior chamado Visa Intelligent Commerce (VIC). Além do TAP, ele inclui Agent APIs (a tecnologia própria da Visa para uso de cartões Visa), Tokenization (tokens dedicados especificamente para IA) e Intelligent Commerce Connect (compatível com protocolos concorrentes como AP2, ACP e x402).

A lógica é clara. O Visa capturou a entrada da rede de pagamentos no passado e agora quer integrar a era dos agentes inteligentes em seu próprio sistema. Se os pagamentos por agentes inteligentes continuarem a utilizar a rede de cartões e esse pacote se tornar a opção padrão, a participação do Visa estará garantida.

Trulioo: traga o sistema SSL para cá

Trulioo é um participante no mercado global de conformidade KYC e KYB, agora expandindo sua pilha de verificação para KYA.

Ele se baseia no modelo de certificados SSL de sites. O SSL é um certificado TLS emitido por uma CA (Autoridade de Certificação) para sites, verificando apenas o domínio. A DPA (Digital Passport Authority) proposta pela Trulioo emite DAP (Digital Agent Passport) para agentes, verificando o KYB do desenvolvedor e o KYC do usuário.

DAP não é um certificado estático. É um token ativo que se atualiza e é revalidado em cada transação. Assim que a delegação for cancelada ou uma anomalia for detectada, o DAP é imediatamente invalidado.

Ele possui cinco pontos de verificação: Provenance (quem desenvolveu), User Binding (quem autorizou), Permission Scope (o que pode fazer), Behavior Telemetry (o que está fazendo agora), Risk Scoring (classificação de risco).

Bancos e fintechs são legalmente obrigados a verificar a identidade de pessoas e empresas. Uma vez que os agentes entram no setor financeiro, a posição da Trulioo em KYC e KYB torna-se ainda mais sólida.

Sumsub: Monitorar anomalias, não emitir certificados

A abordagem da Sumsub é diferente das três anteriores. Ela não emite padrões nem certificados, mas sim revalida a pessoa por trás quando um agente apresenta transações anormais.

Ela tem operado de forma regulamentada desde 2015, e esse sistema de verificação agora é usado para detectar comportamentos anômalos de agentes. O processo tem três etapas. Primeiro, detecção automatizada, que distingue humanos de máquinas por meio de características de dispositivo e agente. Em seguida, pontuação de risco, que atribui uma pontuação com base no contexto, valor e dados históricos. Por fim, verificação de Liveness, ativada apenas em casos de alto risco, grandes valores ou alterações críticas, para revalidar a identidade da pessoa registrada.

As quatro características da Sumsub se destacam claramente em comparação com outros jogadores. Seu ponto de partida é o operador regulamentado, e não o definidor de padrões. O momento da verificação ocorre durante transações de risco, e não no registro prévio. O método de verificação é a confirmação por pessoa real, e não por dados ou token. A filosofia é vincular o agente ao responsável, e não bloquear diretamente o agente.

Outros jogadores realizam autenticação de identidade única antes de realizar ações, enquanto a Sumsub realiza verificação em tempo real após a emissão. Quanto mais amplas as permissões do agente, mais crítica se torna a detecção de anomalias. Os métodos de fraude evoluem com a tecnologia, e a pilha em tempo real da Sumsub merece atenção.

Roteiro da regra de viagem da FATF

Quando a regra de viagem da FATF foi implementada em 2019, o setor de VASPs se dividiu imediatamente. Os que conseguiram suportar os custos da infraestrutura de KYC e AML sobreviveram; os que não conseguiram fecharam ou se mudaram para locais com regulamentação mais branda. CryptoBridge e Deribit foram forçados a se adaptar nessa onda.

A regulamentação não é o fim, mas um ponto de virada.

O roteiro desta vez pode ser o mesmo. A União Europeia, Cingapura e os Estados Unidos já estão competindo para assumir a liderança.

O Artigo 12 da lei da UE sobre IA exige explicitamente que os logs de comportamento dos sistemas de IA de alto risco incluam a identidade do operador. Cingapura lançou o primeiro quadro nacional de governança de IA para agentes do mundo, estendendo a gestão de identidade aos agentes, exigindo que cada agente tenha uma parte responsável rastreável. O NIST dos EUA classificou a gestão de identidade de agentes como área prioritária para padrões.

O prazo está diminuindo.

Não haverá um único vencedor

A verdadeira variável na disputa de padrões não é a tecnologia, mas a combinação. Os principais players já entraram na fase de cooperação e combinação. Quem se associa a quais comerciantes, redes de pagamento e grupos de clientes KYC determinará a pertença a cada segmento de mercado.

Este mercado não terá um único vencedor.

Neste contexto de negociação autônoma na cadeia, a Ethereum provavelmente lidera. Para cenários de pagamento vinculado, o Visa tem vantagem clara. No setor financeiro regulamentado, a acumulação de KYC e KYB da Trulioo é difícil de substituir. Para cenários de negociação com risco de fraude, a detecção em tempo real da Sumsub é mais adequada.

Quatro empresas não são concorrentes diretas; cada uma ocupa um território próprio. A verdadeira competição ocorre em quais cenários são incluídos em qual território.

KYC levou trinta anos, de 1989 até hoje, para completar a camada de identidade global no sistema financeiro.

Nesta rodada, o ritmo parece muito mais rápido. A regulamentação já agiu, os jogadores padrão já se posicionaram, e a janela de tempo para implantação em escala pode ser os próximos anos.

Na hora, os que sobreviverão não serão necessariamente os com a melhor tecnologia, mas sim os que integraram a infraestrutura de identidade mais cedo.