ٹائگر ریسرچ: جب AI ایجینٹس خودمختار لین دین کے دور میں داخل ہوتے ہیں، تو KYA معیارات سامنے آتے ہیں

یہ رپورٹ Tiger Research نے تیار کی ہے۔ AI ایجینٹ اب خود معاہدے دستخط کر سکتے ہیں، خود ادائیگی کر سکتے ہیں، اور خود ٹریڈ کر سکتے ہیں۔ لیکن ایک مسئلہ حل نہیں ہوا ہے: آپ کیسے جانتے ہیں کہ دوسری طرف والا ایجینٹ کون ہے؟ اس مضمون میں KYA معیار کے مباحثے میں چار کھلاڑیوں کے مختلف طریقے اور تنظیمی ترقیات کو سمجھایا گیا ہے۔

اہم نکات

1. AI ایجینٹس وہ دور میں داخل ہو چکے ہیں جہاں وہ خودکار طور پر معاہدے، ادائیگیاں اور ٹریڈنگ کرتے ہیں، لیکن شناخت کی تصدیق کے لیے مارکیٹ میں ابھی تک کوئی ایک ماننے والا معیار نہیں ہے۔ A2A (ایجینٹ فور ایجینٹ) سیناریوز میں، KYA، KYC کے مقابلے میں زیادہ توجہ حاصل کر رہا ہے۔
2. KYA ہر جگہ ضروری نہیں ہے۔ گوگل، OpenAI، Coinbase جیسے مرکزی پلیٹ فارمز کے اندر، موجودہ KYC کافی ہے۔ حقیقت میں KYA کی ضرورت صرف ان صورتوں میں ہوتی ہے جب الگ سے ڈپلوی کیے گئے ایجنٹس DEX، A2A ادائیگیوں، اور دکانداروں کی ادائیگیوں میں شامل ہوتے ہیں۔
3. معیار کے مقابلے کا آغاز ہو چکا ہے۔ ERC-8004، ویزا ٹیپ، ٹرولیو، اور سمسب نے 각각 بلاکچین، ادائیگی کے نیٹ ورک، احکامات کی تصدیق، اور خطرہ کی تشخیص کے چار مختلف راستوں سے داخلہ کیا ہے۔
4. نگرانی پہلے ہی حرکت میں آ چکی ہے۔ یورپی یونین کا AI قانون، امریکہ کا NIST، اور سنگاپور کا قومی فریم ورک سب نے ایجنٹ شناخت کے انتظام کو ترجیحی مسئلہ قرار دیا ہے۔ 2019 میں FATF کا سفر کا قاعدہ اس بات کا تعین کر چکا تھا کہ کون سے کرپٹو ایکسچینج زندہ رہیں گے، اور اس بار بھی KYA کا اسی طرح منظر نامہ دہرایا جائے گا۔

KYC نے فنانس کے اس پہلو کو دوبارہ تعریف کیا ہے

1989 کے قبل، عالمی مالیاتی نظام میں کوئی ایک جنس کی شناخت کی معیار نہیں تھا۔ اس خلا کی وجہ سے منشیات کی آمدنی اور سیاہ رقم کو ان کے ذرائع تک پہنچنا مشکل ہو گیا۔ اس سال FATF کے قیام کے بعد، KYC مالیاتی صنعت کے لیے ایک لازمی ضرورت بن گیا، جس نے غیر قانونی فنڈز کو باہر رکھا۔

اگلے تین دہائیوں میں، KYC کا اثر درجہ بدرجہ پھیلتا گیا۔ 2001 میں 9/11 کے بعد، امریکی پیٹریوت ایکٹ نے KYC کو قانونی ضرورت بنادیا۔ 2010 کی دہائی میں، یورپی یونین کے AMLD، بیسل III، اور FATCA نے ترتیب سے نافذ ہونا شروع کردیا، جس سے عبوری KYC معلومات کا خودکار تبادلہ شروع ہوا۔ 2019 میں، FATF کے ٹریول رول نے KYC کو ورچوئل ایسٹس سروس پروائیڈرز تک پھیلا دیا۔

ہر ایک وسعت، ایک خالی جگہ کو بھرنے کی کوشش ہے۔

بے ایجنٹ شناخت، سسٹم پیچھے ہٹ رہا ہے

ابھی کے لیے واپس آئیں۔ AI ایجینٹس کو کسی انسان کی نگرانی کی ضرورت نہیں ہوتی، وہ خود ہی معاہدے دستخط کرتے ہیں، ادائیگیاں کرتے ہیں اور ٹریڈ کرتے ہیں۔ لیکن کوئی بھی تصدیق نہیں کر سکتا کہ وہ کون ہیں۔

A2A ماحول میں ذمہ داری کا تعین نہیں ہے۔ مسئلہ آنے پر کسے تلاش کرنا چاہیے، کوئی بھی نہیں بتا سکتا۔ صارفین کو پیسہ دھوئے جانے اور مختلف قسم کے دھوکے کا شکار ہونے کا خطرہ بھی ہے۔

1989 کے قبل کے فنانس اور 2026 کے ایجنٹ مارکیٹ کو ایک ساتھ دیکھیں تو ان کی ساخت حیرت انگیز طور پر مشابہ ہے۔ اس وقت غیر نامی اکاؤنٹس عبوری گردش کر رہے تھے، آج غیر تصدیق شدہ ایجنٹس A2A ٹریڈنگ کر رہے ہیں۔ اس وقت تصدیق کا ذمہ ہر بینک کے پاس تھا، آج ہر پلیٹ فارم کے پاس ہے۔ کوئی مشترکہ معیار نہیں ہے۔

یہ مماثلت اتفاق نہیں، بلکہ ایک قانون ہے۔ ٹیکنالوجی آگے نکل گئی، لیکن شناخت کی سطح پیچھے رہ گئی۔

KYA کیا ہے

KYA (Know Your Agent) ایک اعتماد کا نظام ہے جو ایجنٹ کے ماخذ، اختیارات اور ذمہ داریوں کی پہلے سے تصدیق کرتا ہے۔

اس مرحلے کو چھوڑ دیں، تین خطرات ایک ساتھ ظاہر ہو جائیں گے۔ پہلا خطرہ امتیازی ٹریڈنگ ہے： صارف نے صرف ادائیگی کی اجازت دی ہے، لیکن ایجنٹ نے اثاثوں کو منتقل کر دیا ہے اور غیر مجاز معاہدے کیے ہیں۔ دوسرا خطرہ شناخت کا دھوکہ ہے： برے نیت والے ایجنٹ قانونی ایجنٹ کا دھوکہ دے کر ادائیگیوں کو قبضہ کر لیتے ہیں، جعلی جوابات دیتے ہیں اور عزت کا استعمال کرتے ہیں۔ تیسرا خطرہ ذمہ داری کا خالی مقام ہے: جب کوئی واقعہ پیش آتا ہے تو، ایجنٹ، ڈویلپر، اور مفوض کنندہ آپس میں ذمہ داری سے بچنے لگتے ہیں، اور مرمت کا تعین نہیں ہوتا۔

کیا وہ تینوں چیزوں کو پہلے سے بند کر دیتا ہے۔ پہلے سے رجسٹریشن اور اجازت کے دائرہ کار کی تصدیق، اور اجازت سے زیادہ کے اعمال کو روک دیا جاتا ہے۔ شناخت اور ماخذ کی تصدیق، صرف قانونی ایجینٹس کو اندر آنے دیا جاتا ہے۔ ہر ایجینٹ کا ماخذ اور مندوب اس ریکارڈ میں منسلک ہوتا ہے، اگر کوئی مسئلہ ہو تو اس کا تعاقب کیا جا سکتا ہے۔

نہیں، ہر جگہ کی ضرورت نہیں

مرکزی پلیٹ فارم کے اندر دراصل KYA کی کوئی ضرورت نہیں ہے۔ صارفین نے KYC کر لیا ہے، اور پلیٹ فارم خود گارنٹی دے رہا ہے، پوری لائن بند ہے۔

KYA کی ضرورت وہیں ہوتی ہے جہاں پلیٹ فارم کے باہر کا کھلا ماحول ہوتا ہے۔ ایجنٹ کو DEX سے جُڑنا ہوگا، A2A ادائیگیاں کرنی ہوں گی، اور دکانداروں کو ادائیگی کرنی ہوگی۔ اس وقت کوئی بھی گارنٹی نہیں دے رہا، اور کوئی بھی اس کے لیے ضمانت نہیں دے رہا۔

ایک مثال دیں۔ ایک ملک کے اندر گھومنے کے لیے صرف شناختی کارڈ (KYC) کافی ہے۔ جب آپ سرحد پار کرتے ہیں (پلیٹ فارم سے باہر نکلتے ہیں)، تو ماحول بدل جاتا ہے اور آپ کو دروازے پر جانچ کے لیے پیش آنا پڑتا ہے (KYA)، اپنی مقصد اور قابل اعتمادی کی وضاحت کرنا پڑتی ہے۔

چار اسٹیپ فلو

KYA کا عمل چار مراحل میں تقسیم ہے۔ پہلے دو مراحل "پاسپورٹ جاری کرنا" ہیں: پہلے ایجنٹ کی شناخت اور اجازتوں کو رجسٹر کیا جاتا ہے، اور تصدیق کے بعد ڈیجیٹل پاسپورٹ جاری کیا جاتا ہے۔ آخری دو مراحل "داخلہ جانچ" ہیں: ٹرانزیکشن کے دوران دوسرے طرف کی شناخت تصدیق کی جاتی ہے، اور پھر ٹرانزیکشن کے نتائج کے مطابق ریکارڈ اپڈیٹ کیا جاتا ہے۔

شناخت ایک بار جاری کی جانے والی مستقل درستگی نہیں ہے، بلکہ ہر لین دین کے دوران دوبارہ تصدیق کی جاتی ہے۔

معیار کے مقابلے میں اب تک چار کھلاڑی ہیں، جن کے راستے بالکل مختلف ہیں۔

ERC-8004: شناخت کو NFT بنائیں

ERC-8004 مکمل طور پر آن-چین راستہ اپناتا ہے۔ یہ ERC-721 کے اوپر ایک شناخت کی پرت جوڑتا ہے، جس میں ہر ایجینٹ کو ایک منفرد ID کے طور پر ایک NFT جاری کیا جاتا ہے۔

تین آن-چین رجسٹرز کے ساتھ مکمل ہے۔ شناخت "یہ ایجینٹ کون ہے" کی ذمہ داری ہے، جو ERC-721 پر مبنی منفرد AgentID پر ہے۔ عہدہ "کیا آپ اس کے ساتھ تجارت کر سکتے ہیں" کی ذمہ داری ہے، جس میں تجارت کے بعد آن-چین پر ریٹنگ، لیبل، اور ثبوت چھوڑے جاتے ہیں۔ تصدیق "کیا اس نے واقعی وہ کام کیا ہے" کی ذمہ داری ہے، جو تیسری طرف کے تصدیق کنندگان کے ذریعہ zkML، TEE وغیرہ پلگ انز کے ذریعہ جانچا جاتا ہے۔

یہ ساخت ایتھریم کی تاریخ میں پہلی بار نہیں ہے۔ ERC-20 نے ٹوکن جاری کرنے کی معیاریت قائم کی، USDT، USDC، UNI، AAVE سب اس پر گڑھے گئے۔ ERC-721 نے NFT جاری کرنے کی معیاریت قائم کی، CryptoPunks، BAYC، ENS نے پورے NFT بازار کو سنبھالا۔ ERC-8004 کا مقصد وہی جگہ لینا ہے جو پہلے دو نے لی تھی۔

ویزا ٹیپ: ادائیگی کے نیٹ ورک کے ساتھ پیک کریں

ویزا کا تصور بالکل الگ ہے۔ یہ ایجنٹ کو ایک شناختی کارڈ (Agent Intent) جاری کرتا ہے، جو ایک کلید کے برابر ہے۔ اس کلید کے بغیر، ایجنٹ کوئی ٹرانزیکشن شروع بھی نہیں کر سکتا۔ ویزا پہلے منظوری دے کر ہی کلید جاری کرتا ہے، اور ہر ٹرانزیکشن کو مالک کو دستخط کے ساتھ پیش کرنا ہوتا ہے۔

کاروباری طرف کو ایک سائنچر نہیں، بلکہ تین سائنچرز مل رہے ہیں۔ ایجینٹ انٹینٹ ثابت کرتا ہے کہ ایجینٹ قانونی ہے، جسے VIC کے منظور کردہ کلید سے سند دی گئی ہے۔ کنسیومر ریکگنیشن بتاتا ہے کہ یہ کس کے لیے کام کر رہا ہے، اور صارف شناخت کو کاروباری طرف بھیجتا ہے۔ ادائیگی کی معلومات ادائیگی کی ضمانت فراہم کرتی ہے، جس میں ادائیگی ٹوکن یا کارڈ معلومات کا ہیش استعمال کیا جاتا ہے۔

ویزا نے اس پورے نظام کو ایک بڑے پیکج میں شامل کیا، جسے ویزا انٹیلی جنٹ کامرس (VIC) کہتے ہیں۔ اس میں TAP کے علاوہ، ایجینٹ APIs (ویزا کارڈ کے استعمال کے دوران چلنے والی اپنی ٹیکنالوجی)، ٹوکنائزیشن (AI کے لیے خصوصی طور پر جاری کیے گئے ٹوکن)، اور انٹیلی جنٹ کامرس کنیکٹ (AP2، ACP، x402 جیسے مقابلہ کرنے والے پروٹوکولز کے ساتھ مطابقت) شامل ہیں۔

منطق واضح ہے۔ ویزا نے اپنے وقت میں ادائیگی کے نیٹ ورک کا انٹری پوائنٹ پکڑ لیا، اب وہ اسی طرح اسمارٹ ایجینٹ کے دور کو بھی اپنے راستے میں شامل کرنا چاہتی ہے۔ اگر اسمارٹ ایجینٹ ادائیگیاں کار نیٹ ورک پر ہی جارہی ہیں اور یہ سسٹم ڈیفالٹ آپشن بن جاتا ہے، تو ویزا کا حصہ محفوظ رہے گا۔

Trulioo: SSL کا نظام لاگو کریں

Trulioo عالمی KYC، KYB کمپلائنس کے شعبے میں ایک کھلاڑی ہے، جو اب اپنی تصدیق کی سٹیک کو KYA تک وسیع کر رہا ہے۔

یہ ویب سائٹ کے SSL سرٹیفکیٹ کے ماڈل کو اپناتا ہے۔ SSL میں CA (Certificate Authority) ویب سائٹ کو TLS سرٹیفکیٹ جاری کرتی ہے، جو صرف ڈومین نام کی تصدیق کرتا ہے۔ ٹرولیو نے DPA (Digital Passport Authority) کا تصور پیش کیا ہے، جو ایجنت کو DAP (Digital Agent Passport) جاری کرتا ہے اور ڈویلپر KYB اور صارف KYC دونوں کی تصدیق کرتا ہے۔

DAP ایک ساکت سرٹیفکیٹ نہیں ہے۔ یہ ایک ایسا زندہ ٹوکن ہے جو ہر ٹریڈ کے ساتھ دوبارہ تصدیق ہوتا ہے۔ جب بھی ڈیلیگیشن واپس لے لی جائے یا کوئی غیر معمولی سرگرمی دریافت ہو، DAP فوراً منسوخ ہو جاتا ہے۔

اس کے پانچ چیک پوائنٹس ہیں: Provenance (کس ڈویلپر نے بنایا)، User Binding (کس نے اجازت دی)، Permission Scope (کیا کام کر سکتا ہے)، Behavior Telemetry (اب کیا کر رہا ہے)، Risk Scoring (خرابی کا درجہ)۔

بینک اور فنانس ٹیک کو قانونی طور پر افراد اور کمپنیوں کی شناخت تصدیق کرنی ہوگی۔ جب بھی ایجنٹس فنانشل سیکٹر میں داخل ہوتے ہیں، Trulioo کے KYC، KYB کے لیے مقام زیادہ مستحکم ہو جاتا ہے۔

Sumsub: غیر معمولی سرگرمیوں پر نظر رکھیں، لائسنس نہ دیں

سمسب کا نقطہِ شروع دوسری تین کمپنیوں سے مختلف ہے۔ یہ معیار جاری نہیں کرتا، نہ ہی سرٹیفکیٹ جاری کرتا، بلکہ جب کوئی ایجنٹ غیر معمولی لین دین کرے تو اس کے پیچھے کے شخص کی دوبارہ تصدیق کرتا ہے۔

یہ 2015 سے کامیابی کے ساتھ کام کر رہا ہے، اور یہ تصدیق نظام اب ایجنٹس کی غیر معمولی سرگرمیوں کو پکڑنے کے لیے استعمال ہوتا ہے۔ عمل تین مراحل پر مشتمل ہے۔ پہلے آٹومیٹڈ تشخیص کی جاتی ہے، جس میں ڈیوائس اور ایجنٹ کے خصوصیات کے ذریعے انسان اور مشین کو الگ کیا جاتا ہے۔ پھر خطرہ اسکورنگ کی جاتی ہے، جس میں ماحول، رقم اور تاریخی ڈیٹا کو ملا کر خطرہ اسکور دیا جاتا ہے۔ آخر میں Liveness تصدیق ہوتی ہے، جو صرف اعلیٰ خطرہ، بڑی رقم، یا اہم تبدیلیوں پر شروع ہوتی ہے اور رجسٹرڈ حقیقی شخص کو دوبارہ تصدیق کرتی ہے۔

سمسوم کے چار خصوصیات دیگر کھلاڑیوں سے واضح طور پر الگ ہیں۔ اس کا آغاز ایک مطابقت پذیر آپریٹر سے ہوتا ہے، نہ کہ معیارات ترتیب دینے والے سے۔ تصدیق کا وقت خطرناک ٹریڈ کے دوران ہوتا ہے، نہ کہ پہلے رجسٹریشن کے دوران۔ تصدیق کا طریقہ ڈیٹا یا ٹوکن کی بجائے انسانی تصدیق ہے۔ فلسفہ یہ ہے کہ ایجنسی کو ذمہ دار فریق کے ساتھ جوڑا جائے، نہ کہ ایجنسی کو براہ راست روکا جائے۔

دیگر صارفین اپنے کام شروع کرنے سے پہلے ایک بار کی شناخت تصدیق کرتے ہیں، جبکہ Sumsub اجرا کے بعد ریل ٹائم تصدیق کرتا ہے۔ جتنے زیادہ ایجنٹس کو اختیارات دیے جاتے ہیں، اتنے ہی زیادہ ایکسٹریم ڈیٹیکشن اہم ہوتا ہے۔ دھوکہ دہی کے طریقے ٹیکنالوجی کے ساتھ ترقی کر رہے ہیں، Sumsub کا ریل ٹائم اسٹیک قابلِ توجہ ہے۔

FATF ٹریول رول کا اسکرپٹ

2019 میں FATF سفر کے قاعده کے اعلان کے بعد، VASP صنعت فوراً تقسیم ہو گئی۔ جو کمپنیاں KYC، AML بنیادی ڈھانچے کے اخراجات برداشت کر سکیں، وہ بقا پا گئیں، جو نہیں کر سکیں، وہ بند ہو گئیں یا تنظیمی طور پر کم سخت جگہوں پر منتقل ہو گئیں۔ CryptoBridge، Deribit دونوں اس لہر میں مجبوراً تبدیلیوں سے گزرے۔

监管不是终点，是分水岭。

کیا اس بار کا سکرپٹ بھی ایسا ہی ہوگا؟ یورپی یونین، سنگاپور، امریکہ پہلے نمبر پر ہیں۔

یورپی یونین کے AI قانون کے مادہ 12 میں واضح طور پر درخواست کی گئی ہے کہ اعلیٰ خطرہ والے AI سسٹم کے آپریشن لاگ میں آپریٹر کی شناخت شامل ہو۔ سنگاپور نے دنیا کا پہلا قومی سطح کا ایجنٹ AI گورننس فریم ورک جاری کیا، جس نے شناخت کے انتظام کو ایجنٹس تک وسعت دی ہے اور ہر ایجنٹ کے لیے ذمہ دار فرد کی ضرورت کو لازمی قرار دیا ہے۔ امریکہ کے NIST نے ایجنٹ شناخت کے انتظام کو ترجیحی معیار کے شعبہ قرار دیا ہے۔

وقت کا ونڈو کم ہوتا جا رہا ہے۔

کوئی ایک فاتح نہیں ہوگا

معیار کے مقابلے کا اصل متغیر ٹیکنالوجی نہیں، بلکہ ترکیب ہے۔ اہم کھلاڑی اب تعاون اور ترکیب کے مرحلے میں داخل ہو چکے ہیں۔ اگلے مرحلے میں، ہر سب مارکیٹ کا تعین اس بات پر منحصر ہوگا کہ کون سے کاروباری، ادائیگی کے نیٹ ورک، اور KYC صارفین کے ساتھ جڑے جائیں گے۔

اس بازار میں کوئی ایک فاتح نہیں ہوگا۔

آن لائن خود مختار ٹریڈنگ کے لیے، ایتھریم زیادہ احتمال ہے کہ لیڈر رہے گا۔ ادائیگیوں سے جڑے ٹریڈنگ سیناریوز میں، ویزا کا فائدہ واضح ہے۔ منظم مالی صنعت میں، ٹرولیو کا KYC، KYB کا تجربہ ناقابلِ تقلید ہے۔ جھوٹھے اقدامات کے خطرے والے ٹریڈنگ سیناریوز کے لیے، سمسب کا ریل ٹائم ڈیٹیکشن زیادہ مناسب ہے۔

چاروں دونوں کے براہ راست مقابلہ نہیں ہیں، بلکہ وہ ہر ایک اپنا اپنا علاقہ قبضہ کرتے ہیں۔ حقیقی مقابلہ اس بات میں ہے کہ کون سے منظر کس علاقے میں شامل ہوں گے۔

KYC کو عالمی مالیاتی شناخت لیyer کو مکمل کرنے میں 1989 سے آج تک تیس سال لگ گئے۔

کیا اس بار، رفتار کافی زیادہ تیز نظر آ رہی ہے۔ نظم و ضبط پہلے ہی کام شروع کر چکا ہے، معیاری کھلاڑیوں نے اپنی پوزیشنیں لے لی ہیں، اور سکیلڈ ڈپلویمنٹ کا وقت صرف اگلے کچھ سالوں تک محدود ہو سکتا ہے۔

جس کا شناخت کی بنیادی ڈھانچہ سب سے پہلے جوڑا جائے گا، وہی بقا پائے گا، یہ ضروری نہیں کہ سب سے زیادہ ٹیکنالوجی کا مالک ہو۔