Tiger Research: Стандарти KYA виникають у еру автономних транзакцій штучного інтелекту

Цей звіт підготовлено Tiger Research. AI-агенти вже можуть самостійно підписувати угоди, робити платежі та виконувати угоди. Але одна проблема залишається нерозв’язаною: як ви дізнаєтеся, хто саме знаходиться з іншого боку? У цій статті розглядаються різні підходи чотирьох учасників боротьби за стандарти KYA та на якому етапі знаходиться регулювання.

Ключові моменти

1. Штучний інтелект входить у еру автономного виконання контрактів, платежів і торгів, але на ринку ще немає єдиного стандарту для перевірки ідентичності. У сценаріях A2A (агент-до-агента) KYA починає отримувати більше уваги, ніж KYC.
2. KYA не потрібен усюди. У централізованих платформах, таких як Google, OpenAI, Coinbase, існуючий KYC достатній. KYA справді потрібен, коли незалежно розгорнуті агенти підключаються до DEX, A2A-платежів, платежів для мерчантів.
3. Боротьба за стандарти вже розпочалася. ERC-8004, Visa TAP, Trulioo та Sumsub вибрали чотири різні шляхи: на ланцюзі, у платіжних мережах, у сфері відповідності та виявлення ризиків.
4. Регулювання вже діє. Закон ЄС про ШІ, NIST США та національна рамка Сінгапуру визначили управління ідентичністю агентів як пріоритет. Правило подорожей FATF 2019 року вирішило, які криптовалютні біржі вижили — ймовірно, цього разу сценарій повториться з KYA.

KYC перетворив той шар фінансів

До 1989 року у світовій фінансовій системі не існувало єдиної стандартної системи ідентифікації. Ця прогалина робила складним відстеження походження коштів, отриманих незаконним шляхом. Лише зі створенням FATF у цей рік KYC став обов’язковою вимогою для фінансової галузі, відсікаючи незаконні кошти.

Наступні тридцять років вплив KYC поступово розширювався. Після 9/11 у 2001 році були додані положення щодо боротьби з фінансуванням тероризму, і американський Закон про патріотизм зробив KYC обов’язковим за законом. У 2010-х роках європейські AMLD, Базельський договір III та FATCA поступово впроваджувалися, і інформація про KYC між країнами почала автоматично обмінюватися. У 2019 році правило подорожей FATF поширило KYC на постачальників віртуальних активів.

Кожне продовження заповнює пустоту.

Без ідентичності агента система відступає

Повернемося до теперішнього часу. AI-агенти можуть самостійно підписувати угоди, робити платежі та здійснювати угоди, не потребуючи нагляду людини. Але ніхто не може перевірити, хто вони.

У середовищі A2A відповідальність неясна. Хто винен у виникненні проблем — ніхто не може сказати. Користувачі також легко стикаються з відмиванням грошей та різноманітними видами шахрайства.

Порівняйте фінансові системи до 1989 року з ринком агентів 2026 року — структура дивовижно схожа. Тоді анонімні рахунки переміщувалися через кордони, а зараз неверифіковані агенти здійснюють A2A-угоди. Тоді відповідальність за верифікацію лежала на кожному банку окремо, зараз — на кожній платформі окремо. Спільних стандартів немає.

Ця подібність не випадкова, а закономірна. Технологія випередила шар ідентичності.

Що таке KYA

KYA (Know Your Agent) — це механізм довіри, який передбачає попередню перевірку походження, повноважень та відповідальності агента.

Пропустіть цей крок, і одночасно виникнуть три ризики. Перший — неавторизовані угоди: користувач надав лише право на оплату, а агент переміщує активи та підписує договори поза межами дозволу. Другий — підробка особи: зловмисний агент видає себе за легітимний, перехоплює платежі, підробляє відповіді та краде репутацію. Третій — вакуум відповідальності: після інциденту агент, розробник і клієнт перекладають вину один на одного, і відшкодування стає неможливим.

KYA робить саме те, що ці три речі блокуються заздалегідь. Попередня реєстрація та перевірка діапазону прав, несанкціоновані дії блокуються відразу. Перевірка особи та походження, лише легітимні агенти отримують доступ. Походження та довірені сторони кожного агента прив’язані до записів, тому у разі проблеми їх можна відстежити.

Не всюди це потрібно

Централізовані платформи насправді не потребують KYA. Користувачі пройшли KYC, платформа сама забезпечує безпеку, і весь ланцюжок є замкненим.

Потреби KYA виникають у відкритому середовищі поза платформою. Агенти мають взаємодіяти з DEX, здійснювати A2A-платежі та сплачувати торговцям. У цей момент ніхто не гарантює їхні дії та не несе відповідальності.

Наприклад, усередині країни для переміщення достатньо лише громадянського паспорта (KYC). Але як тільки ви перетинаєте кордон (виходите за межі платформи), умови змінюються — вам потрібно пройти перевірку на кордоні (KYA), пояснити мету свого візиту та підтвердити свою надійність.

Чотирикрокова процедура

Робота KYA може бути розбита на чотири кроки. Перші два кроки — це «видання паспорта»: спочатку реєструється ідентичність та права агента, а після перевірки видавається цифровий паспорт. Два останні кроки — це «прикордонний контроль»: під час транзакції підтверджується ідентичність протилежної сторони, а потім оновлюється запис згідно з результатом транзакції.

Ідентичність не видається один раз і діє назавжди, а перевіряється заново при кожній угоді.

У стандартній боротьбі зараз чотири гравці, кожен з яких вибрав інший шлях.

ERC-8004: Перетворити ідентичність на NFT

ERC-8004 дотримується чисто он-чейн підходу. Він додає шар ідентичності до ERC-721, де кожному агенту присвоюється один NFT як унікальний ідентифікатор.

Існують три ланцюгових реєстри: Identity відповідає за «хто цей агент», використовуючи унікальний AgentID на основі ERC-721. Reputation відповідає за «чи можна з ним укладати угоди», залишаючи оцінки, мітки та докази в ланцюгу після завершення угоди. Validation відповідає за «чи справді він виконав цю дію», перевіряючи за допомогою сторонніх верифікаторів з використанням плагінів, таких як zkML, TEE.

Ця структура не є першою в історії Ethereum. ERC-20 стандартизував випуск токенів, на ньому виростали USDT, USDC, UNI, AAVE. ERC-721 стандартизував випуск NFT, а CryptoPunks, BAYC, ENS стали основою всього ринку NFT. ERC-8004 має стати третьою стандартною технологією на тій самій позиції.

Visa TAP: упаковка за допомогою платіжної мережі

Підхід Visa абсолютно інший. Вона видаватиме агентам посвідчення особистості (Agent Intent), що еквівалентно картці. Без цього ключа агент не зможе навіть ініціювати транзакцію. Visa попередньо схвалює транзакцію, а потім видає ключ, і кожна транзакція повинна супроводжуватися підписом для продавця.

Мерчант отримує не один підпис, а три. Agent Intent підтверджує законність агента за підтримкою ключа, схваленого VIC. Consumer Recognition вказує, для кого він працює, передаючи ідентифікатор користувача мерчанту. Payment Information надає гарантію оплати, підтверджуючи аутентифікацію за допомогою платіжного токена або хешованих даних картки.

Visa включила цю систему до більшого пакету під назвою Visa Intelligent Commerce (VIC). Крім TAP, у нього входять Agent APIs (власна технологія Visa для обробки операцій з картками Visa), Tokenization (токени, призначені виключно для AI), а також Intelligent Commerce Connect (сумісний з конкурентними протоколами AP2, ACP, x402 тощо).

Логіка зрозуміла. Visa колись захопила вхід у платіжну мережу, а зараз намагається включити еру агентів у свою систему. Якщо оплата агентами продовжуватиме використовувати карткову мережу, і цей пакет стане стандартним варіантом, частка Visa залишиться стабільною.

Trulioo: перенесіть цю систему SSL

Trulioo — це гравець на глобальному ринку KYC, KYB-відповідності, який зараз розширює свою систему верифікації до KYA.

Він запозичує модель веб-сайтів SSL-сертифікатів. SSL — це CA (Certificate Authority), яка видає TLS-сертифікати веб-сайтам, підтверджуючи лише домен. Trulioo запропонувала DPA (Digital Passport Authority), яка видає DAP (Digital Agent Passport) агентам, підтверджуючи KYB розробника та KYC користувача.

DAP — це не статичний сертифікат. Це живий токен, який оновлюється та повторно перевіряється під час кожної угоди. Як тільки делегування скасовується або виявляється аномалія, DAP миттєво анульовується.

Він має п’ять контрольних точок: Provenance (хто розробив), User Binding (хто авторизував), Permission Scope (що може робити), Behavior Telemetry (що зараз робить), Risk Scoring (оцінка ризику).

Банки та фінтех-компанії за законом зобов’язані верифікувати ідентичність фізичних осіб та компаній. Коли агенти потрапляють у фінансову сферу, позиція Trulioo з KYC та KYB стає ще міцнішою.

Sumsub: Слідкуйте за аномаліями, не видавайте посвідчення

Підхід Sumsub відрізняється від трьох попередніх компаній. Він не видає стандарти чи сертифікати, а замість цього повторно перевіряє особу, що стоїть за агентом, коли виникають незвичайні транзакції.

Він займається легальним бізнесом з 2015 року, і ця система верифікації зараз використовується для виявлення незвичайної поведінки агентів. Процес складається з трьох етапів. Спочатку проводиться автоматизований аналіз, щоб за допомогою характеристик пристрою та агента розрізняти людей і машини. Потім виставляється рейтинг ризику — на основі контексту, суми та історичних даних визначається рівень ризику. Нарешті, проводиться перевірка Liveness, яка запускається лише при високому ризику, великих сумах або критичних змінах, щоб повторно підтвердити, що це реальна людина.

Чотири особливості Sumsub різко відрізняються від інших гравців. Їхній вихідний пункт — це оператори, що дотримуються правил, а не розробники стандартів. Час верифікації — це момент, коли відбувається ризикова угода, а не під час попередньої реєстрації. Метод верифікації — підтвердження людиною, а не за допомогою даних чи токенів. Філософія полягає у зв’язуванні агента з відповідальною стороною, а не у прямому блокуванні агента.

Інші гравці проходять одноразову верифікацію особи перед виконанням дій, а Sumsub здійснює реальний час верифікацію після видачі документів. Чим більше розширюються права агентів, тим важливішим стає виявлення аномалій. Методи шахрайства еволюціонують разом із технологіями, і реальний стек Sumsub варто враховувати.

Сценарій правил подорожі FATF

Після введення правила подорожей FATF у 2019 році індустрія VASP розділилася. Ті, хто зміг витримати витрати на інфраструктуру KYC та AML, вижили, ті, хто не зміг — закрилися або переїхали до місць з більш м’яким регулюванням. CryptoBridge та Deribit також були змушені адаптуватися під цю хвилю.

Регулювання — це не кінець, а роздільна лінія.

Можливо, сценарій цього разу буде таким самим. Європейський союз, Сінгапур і США вже борються за лідерство.

Стаття 12 закону ЄС про ШІ вимагає, щоб журнали поведінки систем ШІ високого ризику містили ідентифікацію оператора. Сінгапур опублікував першу у світі національну рамку управління ШІ-агентами, розширивши управління ідентичністю на агентів і вимагаючи, щоб кожен агент мав відповідальну сторону. NIST США визначив управління ідентичністю агентів як пріоритетну область стандартів.

Часове вікно скорочується.

Не буде єдиного переможця

Справжнім фактором у боротьбі за стандарти є не технологія, а комбінації. Основні гравці вже перейшли до етапу співпраці та комбінування. Хто саме приєднається до яких торговців, платіжних мереж та клієнтських баз KYC, вирішить, хто володітиме кожним сегментом ринку.

На цьому ринку не буде єдиного переможця.

У сфері автономних транзакцій у ланцюгу Ethereum, найбільш імовірно, вона буде лідером. У сценаріях транзакцій, прив’язаних до оплати, Visa має очевидну перевагу. У регульованому фінансовому секторі, накопичення Trulioo у галузі KYC та KYB важко замінити. Для транзакцій із ризиком шахрайства краще підходить Sumsub з його реальним часом виявлення.

Чотири компанії не є прямими конкурентами, кожна з них займає свою територію. Справжня конкуренція відбувається в тому, які сценарії потрапляють на яку територію.

KYC, пройшовши шлях з 1989 року до сьогодні, витратив тридцять років, щоб завершити шар ідентифікації глобальної фінансової системи.

Цей раунд, схоже, буде значно швидшим. Регулятори вже діють, стандартні гравці вже розмістилися, і вікно для масштабування може бути лише у найближчі роки.

Тим, хто виживе, не обов’язково буде найсильніша технологія, а ті, хто найраніше інтегрував інфраструктуру ідентифікації.