Tiger Araştırma: AI Ajanları Özerk İşlemler Çağına Girdikçe KYA Standartları Ortaya Çıkıyor

Bu rapor Tiger Research tarafından hazırlanmıştır. AI agenteri artık kendi kendine sözleşme imzalayabiliyor, kendi kendine ödeme yapabiliyor ve kendi kendine işlem yapabiliyor. Ancak çözülmemiş bir sorun var: Karşıdaki AI agentinin kim olduğunu nasıl biliyorsunuz? Bu makale, KYA standardı mücadelesindeki dört aktörün farklı stratejilerini ve düzenleyicilerin şu ana kadar ne kadar ilerlediğini inceliyor.

Ana Noktalar

1. AI akıllı ajanlar, sözleşmeleri, ödemeleri ve işlemleri kendi kendine gerçekleştirmeye başlıyor, ancak kimlik doğrulama için piyasada henüz standart bir yöntem yok. A2A (akıllı ajan-akıllı ajan) senaryolarında, KYA, KYC'den daha çok ilgi görüyor.
2. KYA her yerde gerekli değildir. Google, OpenAI, Coinbase gibi merkezi platformlar içinde mevcut KYC yeterlidir. Gerçekten KYA'ya ihtiyaç duyulan, bağımsız olarak dağıtılmış ajanların DEX'lere, A2A ödemelere ve ticari ödemelere entegrasyonu olduğudur.
3. Standart mücadelesi başladı. ERC-8004, Visa TAP, Trulioo ve Sumsub sırasıyla zincir üzerinde, ödeme ağlarında, uyumluluk onayında ve risk tespitinde farklı yollar izliyor.
4. Düzenleyiciler harekete geçti. Avrupa Birliği AI Yasası, ABD NIST ve Singapur ulusal çerçevesi, kimlik yönetimi için öncelikli konular olarak belirledi. 2019 FATF Seyahat Kuralı, hangi kripto borsalarının hayatta kalacağını belirledi; KYA bu sefer büyük olasılıkla aynı senaryoyu tekrarlayacak.

KYC, finansın o katmanını yeniden şekillendirdi

1989 yılından önce küresel finansda tek bir kimlik standardı yoktu. Bu boşluk, uyuşturucu paralarının ve kara paralarının köklerine ulaşılmasını zorlaştırıyordu. O yıl FATF kurulana kadar KYC, finans sektöründe zorunlu bir gereklilik haline gelmedi ve yasadışı fonların dışarıda tutulmasını sağlamadı.

Son otuz yıl içinde KYC etkisi katman katman yayıldı. 2001'de 9/11'den sonra terörist finansmanla mücadele hükümleri eklenerek, ABD'nin Patriot Yasası KYC'yi yasal bir zorunluluk haline getirdi. 2010'larda AB'nin AMLD'si, Basel III ve FATCA sırayla yürürlüğe girdi ve sınır ötesi KYC bilgileri otomatik olarak paylaşılmaya başlandı. 2019'da FATF Seyahat Kuralı, KYC'yi sanal varlık hizmet sağlayıcılarına uzattı.

Her uzatma, bir boşluğu doldurmaktır.

Kimlik yoksa sistem geriliyor

Şimdiye dönelim. AI ajanları, insanlar tarafından izlenmeden kendi kendilerine sözleşme imzalayabilir, ödeme yapabilir ve işlem yapabilir. Ancak kim oldukları kimse tarafından doğrulanamaz.

A2A ortamında sorumluluk belirsizdir. Sorun yaşandığında kimden sorumlu tutulacağı net değildir. Kullanıcılar, para aklama ve çeşitli dolandırıcılık türleriyle kolayca karşılaşabilir.

1989 yılından önceki finans ile 2026 yılındaki ajan pazarını yan yana koyduğumuzda, yapılar şaşırtıcı derecede benzer. O dönemde anonim hesaplar sınır ötesi akışlarda bulunuyordu, bugün ise doğrulanmamış ajanlar A2A ticaretinde yer alıyor. O dönemde doğrulama sorumluluğu her bankanın kendi elindeydi, bugün ise her platformun kendi elinde. Ortak standartlar yok.

Bu benzerlik tesadüf değil, bir kuraldır. Teknoloji öne çıkmış, kimlik katmanı yetişememiştir.

KYA nedir

KYA (Know Your Agent), ajanın kaynaklarını, yetkilerini ve sorumluluklarını önceden doğrulayan bir güvenirlik mekanizmasıdır.

Bu adımı atlayın, üç risk aynı anda ortaya çıkar. İlk risk, yetki aşımıdır: kullanıcı yalnızca ödeme yetkisi vermişken, agent varlıkları hareket ettirir ve dışındaki sözleşmeler imzalar. İkinci risk, kimlik sahteciliğidir: kötü niyetli agenterler, legítim agenterler gibi davranarak ödemeleri ele geçirir, yanıtları sahteleştirir ve itibarı çalar. Üçüncü risk, sorumluluk boşluğudur: olay yaşandığında, agenter, geliştirici ve temsilci birbirini suçlar ve tazminat talebi yapılamaz.

KYA, bu üç şeyi önceden kilitler. Önceden kayıt yapın ve yetki kapsamlarını doğrulayın, yetkilerin dışına çıkan işlemler doğrudan engellenir. Kimliği ve kaynağı doğrulayın, yalnızca yasal ajanları içeri alın. Her ajanın kaynağı ve yetkilendiricisi kayıtlara bağlanır, sorun durumunda izlenebilir.

Her yerde gerekli değil

Merkezi platformlarda KYA'nın aslında pek gerekli olmadığı görülür. Kullanıcılar KYC'yi tamamladı, platform kendi kendine garanti veriyor, tüm süreç kapalı bir döngü içinde.

KYA'nın gerektiği durum, platformun dışındaki açık ortamdır. Agent, DEX'lerle entegre olmalı, A2A ödemeler yapmalı ve ticaretçilere ödeme yapmalıdır. Bu aşamada kimse sorumluluk almaz ve onun yerine garanti veremez.

Bir örnek verelim. Bir ülke içinde dolaşırken kimlik kartı (KYC) yeterlidir. Sınırı aşarsanız (platformdan çıkarsanız), ortam değişir ve sınırda denetimden geçmeniz gerekir (KYA), amaç ve güvenilirliğinizi açıklayarak.

Dört adımlık süreç

KYA'nın çalışması dört adımda ayrılır. İlk iki adım "pasaport verme": önce ajanın kimliği ve yetkileri kaydedilir, doğrulama tamamlandıktan sonra dijital pasaport verilir. Son iki adım "giriş denetimi": işlem gerçekleştiğinde karşı tarafın kimliği doğrulanır ve işlem sonucuna göre kayıtlar güncellenir.

Kimlik, bir kez verildikten sonra kalıcı değildir; her işlemde yeniden doğrulanır.

Şu anda standart mücadelesinde dört oyuncu var ve yolları tamamen farklı.

ERC-8004: Kimliği NFT Yapın

ERC-8004, tamamen zincir üstü bir yaklaşım izler. ERC-721 üzerine bir kimlik katmanı ekler ve her bir ajan, benzersiz bir kimlik olarak bir NFT çıkarılır.

Üç blok zinciri üzerinde kayıt defteri mevcuttur. Identity, "bu agenin kim olduğu" sorusunu, ERC-721 tabanlı benzersiz AgentID ile yönetir. Reputation, "onunla işlem yapılıp yapılamayacağı" sorusunu, işlem tamamlandıktan sonra blok zinciri üzerinde puanlama, etiketleme ve kanıt bırakarak yönetir. Validation, "o şeyi gerçekten yaptı mı" sorusunu, üçüncü taraf doğrulayıcılar tarafından zkML, TEE gibi eklentilerle kontrol ederek yönetir.

Bu yapı, Ethereum tarihinde ilk kez değil. ERC-20, token emisyonunu standartlaştırdı ve USDT, USDC, UNI, AAVE hepsi bunun üzerine kuruldu. ERC-721, NFT emisyonunu standartlaştırdı ve CryptoPunks, BAYC, ENS tüm NFT pazarını destekledi. ERC-8004, aynı konumda üçüncü standart olarak rol alacak.

Visa TAP: Ödeme ağı ile paketleme

Visa'nın yaklaşımı tamamen farklı. Akıllı ajanlara bir kimlik belgesi (Agent Intent) verir, bu da bir kart gibi çalışır. Bu anahtar olmadan, akıllı ajanlar işlem başlatamaz. Visa, anahtarı vermeden önce onay verir ve her işlemde ticari taraflara imzalı olarak sunulur.

Ticaret yapan taraf bir imza değil, üç tane alır. Agent Intent, VIC tarafından onaylanan anahtarlarla ajanın legalliğini kanıtlar. Consumer Recognition, kullanıcının kim olduğunu belirtir ve kullanıcı tanımlayıcısını ticaret yapan tarafa iletir. Payment Information, ödeme tokeni veya şifrelenmiş kart bilgileri kullanarak ödeme garantisi sağlar.

Visa, bu sistemi Visa Intelligent Commerce (VIC) adlı daha büyük bir pakete dahil etti. Bu paketin içinde TAP'in yanı sıra Agent APIs (Visa kartlarının çalıştığı kendi teknolojisi), Tokenization (AI'ye özel token'lar) ve Intelligent Commerce Connect (AP2, ACP, x402 gibi rekabetçi protokollerle uyumlu) yer alıyor.

Mantık çok açık. Visa, ödeme ağı giriş noktasını yakaladığında, şimdi akıllı ajan çağını da kendi yoluna dahil etmeye çalışıyor. Akıllı ajan ödemeleri kart ağı üzerinden devam ederse ve bu paket varsayılan seçenek haline gelirse, Visa'nın payı sabit kalacaktır.

Trulioo: SSL'nin tamamını buraya taşıyın

Trulioo, küresel KYC ve KYB uyumluluk alanında bir oyuncu olup, doğrulama yığınını KYA'ya genişletti.

Web sitesinin SSL sertifikası modelinden esinlenmiştir. SSL, CA (Sertifika Yetkilisi) tarafından web sitesine TLS sertifikası vererek yalnızca domain adını doğrular. Trulioo, DPA (Dijital Pasaport Yetkilisi) olarak akıllı ajanlara DAP (Dijital Ajan Pasaportu) verir ve geliştirici KYB'sini ve kullanıcı KYC'sini doğrular.

DAP, statik bir sertifika değildir. Her işlemde yeniden doğrulanan, güncellenen bir aktif tokendir. Vekalet geri çekildiğinde veya bir anormallik tespit edildiğinde, DAP hemen geçersiz hale gelir.

Beş kontrol noktası vardır: Provenance (hangi geliştirici tarafından yapıldı), User Binding (kimin yetkilendirdiği), Permission Scope (hangi işlemleri yapabileceği), Behavior Telemetry (şu anda ne yaptığı), Risk Scoring (risk puanlaması).

Bankalar ve finansal teknoloji, yasal olarak bireylerin ve şirketlerin kimliklerini doğrulamak zorundadır. Bir agenin finansal alana girdiğinde, Trulioo'nun KYC ve KYB konumları daha da sağlam hale gelir.

Sumsub: Anormalleri izleyin, belge vermeyin

Sumsub'ın yaklaşımı, önceki üçüyle farklı. Standartlar veya sertifikalar vermez; aksine, bir ajan anormal bir işlem yaptığında, arkasındaki kişiyi yeniden doğrular.

2015 yılından beri uyumlu işlemler yürütüyor ve doğrulama sistemi, şimdi agenterin anormal davranışlarını tespit etmek için kullanılıyor. Süççü üç adımdan oluşuyor. İlk olarak, cihaz ve agenter özelliklerini kullanarak insanlarla makineleri ayırt etmek için otomatik tespit yapılır. Daha sonra, bağlam, tutar ve geçmiş verileri birleştirerek risk puanı verilir. Son olarak, Liveness doğrulaması yalnızca yüksek riskli, büyük tutarlı veya kritik değişikliklerde başlatılır ve kayıtlı gerçek insanlar yeniden doğrulanır.

Sumsub'ün dört özelliği, diğer oyuncularla belirgin bir şekilde farklılaşır. Başlangıcı standart belirleyiciler yerine uyumlu operatörlerdir. Doğrulama zamanı, önceden kayıt yerine riskli işlemler sırasında gerçekleşir. Doğrulama yöntemi, veri veya token yerine gerçek insanlar tarafından yeniden onaylamadır. Felsefesi, ajanları doğrudan engellemek yerine, ajanları sorumlu taraflarla bağlamaktır.

Diğer oyuncular, işlem yapmadan önce tek seferlik kimlik doğrulama yapar, Sumsub ise belge verildikten sonra gerçek zamanlı doğrulama yapar. Yetki alanları ne kadar genişlerse, anormal davranış tespiti o kadar kritik hale gelir. Dolandırıcılık yöntemleri teknolojiyle birlikte gelişiyor, Sumsub'un gerçek zamanlı yığını dikkat edilmesi gereken bir konu.

FATF Seyahat Kuralı Senaryosu

2019 yılında FATF Seyahat Kuralı çıkarıldığında, VASP sektörü hemen ikiye bölündü. KYC ve AML altyapı maliyetlerini taşıyabilenler hayatta kaldı, taşıyamayanlar kapanarak ya da düzenlemelerin daha gevşek olduğu yerlere taşındı. CryptoBridge ve Deribit de o dalgada zorunlu olarak ayarlamalar yaptı.

Düzenleme, bir bitiş değil, bir bölünme noktasıdır.

Bu seferki senaryo aynı olabilir. Avrupa Birliği, Singapur ve ABD öncülük için yarışıyor.

AB AI Yasası'nın 12. maddesi, yüksek riskli AI sistemlerinin işlem günlüklerinin operatör kimliğini içermesini açıkça gerektiriyor. Singapur, kimlik yönetiminin akıllı sistemlere uzatılmasını ve her akıllı sistemin sorumlu bir tarafı olmasını gerektiren dünyadaki ilk ulusal düzeyde akıllı sistem AI governans çerçevesini yayınladı. ABD NIST, akıllı sistem kimlik yönetimi konusunu öncelikli standart alanı olarak listeliyor.

Zaman penceresi daralıyor.

Tek bir kazanan olmayacak

Gerçek değişken, teknoloji değil, birleşimdir. Ana oyuncular artık iş birliği ve birleştirme aşamasındadır. Sonraki adımda, her bir pazar segmentinin kimin eline geçeceği, hangi ticari ortaklar, ödeme ağları ve KYC müşteri kümeleriyle birleştirileceğiyle belirlenecektir.

Bu pazarda tek bir kazanan olmayacak.

Zincir üzerindeki kendi kendine işlem yapma alanında Ethereum önde olma olasılığı yüksek. Ödemeyle ilişkili işlem senaryolarında Visa'nın avantajı belirgin. Düzenlenen finansal sektörde Trulioo'nun KYC ve KYB birikimi yerine geçilemez. Dolandırıcılık riski taşıyan işlem senaryolarında Sumsub'un gerçek zamanlı tespiti daha uygundur.

Dört şirket doğrudan rakip değil, her biri kendi dağını tutuyor. Gerçek rekabet, hangi senaryoların hangi dağa dahil edileceğinde ortaya çıkıyor.

KYC, 1989 yılından bugüne kadar küresel finansın kimlik katmanını tamamlamak için otuz yıl aldı.

Bu turda tempo çok daha hızlı görünüyor. Düzenleyiciler harekete geçti, standart oyuncular pozisyonlarını aldı ve ölçeklendirme için zaman penceresi gelecek birkaç yıl olabilir.

O zaman hayatta kalanlar, en güçlü teknolojiye sahip olanlar değil, kimlik altyapısını en erken entegre edenler olacak.