Tiger Research: Các tiêu chuẩn KYA cho tác nhân AI đang thu hút sự quan tâm amid nỗ lực quản lý

Báo cáo này được viết bởi Tiger Research. Các tác nhân AI hiện đã có thể tự ký hợp đồng, tự thanh toán và tự thực hiện giao dịch. Nhưng vẫn còn một vấn đề chưa được giải quyết: làm thế nào bạn biết được tác nhân đối diện thực sự là ai? Bài viết này tổng hợp chiến lược khác nhau của bốn bên trong cuộc tranh luận về tiêu chuẩn KYA, cùng với tiến độ hiện tại của các quy định.

Key Points

1. Các tác nhân AI đã bước vào thời đại tự động thực hiện hợp đồng, thanh toán và giao dịch, nhưng trên thị trường vẫn chưa có tiêu chuẩn thống nhất để xác thực danh tính. Trong các tình huống A2A (tác nhân đến tác nhân), KYA đang bắt đầu được quan tâm nhiều hơn KYC.
2. KYA không phải lúc nào cũng cần thiết. Trong các nền tảng tập trung như Google, OpenAI, Coinbase, KYC hiện tại đã đủ. KYA thực sự cần thiết khi các tác nhân độc lập kết nối với DEX, thanh toán A2A hoặc thanh toán cho thương gia.
3. Cuộc tranh giành tiêu chuẩn đã bắt đầu. ERC-8004, Visa TAP, Trulioo, Sumsub lần lượt tiếp cận từ bốn hướng khác nhau: trên chuỗi, mạng thanh toán, xác thực tuân thủ và phát hiện rủi ro, với các con đường hoàn toàn khác nhau.
4. Cơ quan quản lý đã hành động. Các đạo luật AI của Liên minh Châu Âu, NIST của Mỹ và khung cấp quốc gia của Singapore đều coi quản lý danh tính tác nhân là ưu tiên hàng đầu. Quy tắc du lịch của FATF năm 2019 đã quyết định những sàn giao dịch tiền mã hóa nào sống sót, và lần này KYA rất có thể sẽ lặp lại kịch bản tương tự.

KYC đã tái định hình một lớp của ngành tài chính

Trước năm 1989, hệ thống tài chính toàn cầu không có tiêu chuẩn nhận dạng thống nhất. Khoảng trống này khiến tiền độc hại và tiền bẩn rất khó truy ngược về nguồn gốc. Cho đến năm đó, khi FATF được thành lập, KYC mới trở thành yêu cầu bắt buộc trong ngành tài chính, ngăn chặn dòng tiền bất hợp pháp.

Trong ba thập kỷ sau đó, ảnh hưởng của KYC được mở rộng từng lớp. Sau sự kiện 9/11 năm 2001, các điều khoản chống tài trợ khủng bố được bổ sung, Đạo luật Patriot của Mỹ nâng KYC lên thành nghĩa vụ pháp lý. Trong những năm 2010, các quy định AMLD của EU, Basel III và FATCA lần lượt được thực thi, thông tin KYC xuyên biên giới bắt đầu được trao đổi tự động. Năm 2019, quy tắc du lịch của FATF đã mở rộng KYC đến các nhà cung cấp tài sản ảo.

Mỗi lần mở rộng đều là để lấp đầy một khoảng trống.

Không có danh tính đại lý, hệ thống đang lùi bước

Trở lại hiện tại. Các tác nhân AI không cần con người theo dõi, tự mình có thể ký hợp đồng, thanh toán và giao dịch. Nhưng không ai có thể xác minh nó là ai.

Trong môi trường A2A, trách nhiệm trở nên mơ hồ. Khi xảy ra sự cố, không ai có thể xác định rõ phải tìm ai. Người dùng cũng dễ dàng gặp phải các hành vi rửa tiền và nhiều hình thức lừa đảo tinh vi khác.

Khi so sánh hệ thống tài chính trước năm 1989 với thị trường tác nhân thông minh năm 2026, cấu trúc trông rất giống nhau. Lúc đó, các tài khoản ẩn danh di chuyển xuyên biên giới, còn ngày nay là các tác nhân chưa được xác minh giao dịch A2A. Trách nhiệm xác minh lúc đó nằm ở từng ngân hàng riêng lẻ, còn ngày nay nằm ở từng nền tảng riêng lẻ. Không có tiêu chuẩn chung nào cả.

Sự tương đồng này không phải là ngẫu nhiên, mà là quy luật. Công nghệ đã đi trước, còn lớp danh tính chưa theo kịp.

KYA là gì

KYA (Know Your Agent) là một cơ chế tin cậy, xác minh rõ nguồn gốc, quyền hạn và trách nhiệm của tác nhân trước tiên.

Bỏ qua bước này, ba rủi ro sẽ đồng thời xuất hiện. Thứ nhất là giao dịch vượt quyền: người dùng chỉ cấp quyền thanh toán, nhưng tác nhân lại di chuyển tài sản và ký hợp đồng ngoài phạm vi được ủy quyền. Thứ hai là giả mạo danh tính: tác nhân độc hại giả danh hợp pháp, chiếm đoạt thanh toán, tạo phản hồi giả và đánh cắp danh tiếng. Thứ ba là khoảng trống trách nhiệm: sau khi sự cố xảy ra, tác nhân, nhà phát triển và bên ủy quyền đổ lỗi cho nhau, khiến việc bồi thường không thể truy cứu.

KYA làm chính xác ba việc này bằng cách khóa chúng từ trước. Đăng ký và xác minh phạm vi quyền hạn trước, ngăn chặn ngay các hành động vượt quyền. Xác minh danh tính và nguồn gốc, chỉ cho phép các tác nhân hợp lệ vào. Mỗi tác nhân đều được liên kết với nguồn gốc và bên ủy quyền trong hồ sơ, giúp truy vết được khi xảy ra sự cố.

Không phải nơi nào cũng cần

Các nền tảng tập trung thực tế không cần nhiều đến KYA. Người dùng đã thực hiện KYC, nền tảng tự đảm bảo, toàn bộ quy trình là khép kín.

Những người cần KYA là những người ở môi trường mở sau khi rời khỏi nền tảng. Các tác nhân phải kết nối với DEX, thực hiện thanh toán A2A và thanh toán cho các merchant. Lúc này, không ai đảm bảo hay bảo lãnh cho nó.

Hãy ví dụ như vậy. Khi di chuyển trong một quốc gia, giấy tờ tùy thân (KYC) là đủ. Nhưng một khi vượt qua biên giới (ra khỏi nền tảng), môi trường thay đổi, bạn phải qua kiểm tra tại cửa khẩu (KYA), giải thích rõ mục đích và độ tin cậy của mình.

Quy trình bốn bước

Hoạt động của KYA có thể chia thành bốn bước. Hai bước đầu là "cấp hộ chiếu": đăng ký danh tính và quyền hạn của tác nhân, sau khi xác minh sẽ cấp hộ chiếu kỹ thuật số. Hai bước sau là "kiểm tra nhập cảnh": xác minh danh tính đối phương khi giao dịch xảy ra, sau đó cập nhật hồ sơ dựa trên kết quả giao dịch.

Identity is not issued once and valid forever; it is re-verified for each transaction.

Trong cuộc tranh luận về tiêu chuẩn, hiện có bốn người chơi với các con đường hoàn toàn khác nhau.

ERC-8004: Biến danh tính thành NFT

ERC-8004 theo hướng thuần trên chuỗi. Nó thêm một lớp danh tính lên ERC-721, với mỗi tác nhân được đúc một NFT làm ID duy nhất.

Có ba bảng đăng ký trên chuỗi đi kèm. Identity phụ trách "agent này là ai", dựa trên AgentID duy nhất dựa trên ERC-721. Reputation phụ trách "có nên giao dịch với nó không", sau khi giao dịch hoàn tất sẽ để lại đánh giá, nhãn và bằng chứng trên chuỗi. Validation phụ trách "nó có thực sự thực hiện việc đó không", được các bên xác minh bên thứ ba kiểm tra thông qua các plugin như zkML, TEE.

Đây không phải là lần đầu tiên cấu trúc này xuất hiện trong lịch sử Ethereum. ERC-20 đã chuẩn hóa việc phát hành token, với USDT, USDC, UNI, AAVE đều phát triển trên nền tảng này. ERC-721 chuẩn hóa việc phát hành NFT, với CryptoPunks, BAYC, ENS làm nền tảng cho toàn bộ thị trường NFT. ERC-8004 sẽ đóng vai trò là tiêu chuẩn thứ ba ở vị trí tương tự.

Visa TAP: Gói thông qua mạng thanh toán

Visa có cách tiếp cận hoàn toàn khác biệt. Nó cấp cho tác nhân một giấy chứng nhận danh tính (Agent Intent), tương đương một chiếc thẻ. Không có chìa khóa này, tác nhân thậm chí không thể khởi tạo giao dịch. Visa sẽ phê duyệt trước rồi mới cấp chìa khóa, và mỗi giao dịch đều phải đi kèm chữ ký gửi cho thương gia.

Thương gia nhận được không phải một chữ ký, mà là ba chữ ký. Agent Intent chứng minh tính hợp lệ của tác nhân, được xác thực bởi khóa được VIC phê duyệt. Consumer Recognition cho biết nó đang làm việc cho ai, truyền mã định danh người dùng đến thương gia. Payment Information cung cấp bảo đảm thanh toán, xác thực thông qua token thanh toán hoặc thông tin thẻ đã được băm.

Visa đã đưa这套东西 vào một gói lớn hơn gọi là Visa Intelligent Commerce (VIC). Ngoài TAP, gói này còn bao gồm Agent APIs (công nghệ riêng của Visa dùng khi thanh toán bằng thẻ Visa), Tokenization (token dành riêng cho AI), và Intelligent Commerce Connect (tương thích với các giao thức cạnh tranh như AP2, ACP, x402).

Logic is clear. Visa seized the entry point of the payment network back then, and now wants to bundle the agent era into its own track. If agent payments continue to follow the card network, and this bundle becomes the default option, Visa’s share will be secured.

Trulioo: Áp dụng hệ thống SSL đó vào

Trulioo là một người chơi trên thị trường tuân thủ KYC, KYB toàn cầu, hiện đã mở rộng stack xác minh sang KYA.

Nó lấy cảm hứng từ mô hình chứng chỉ SSL của trang web. SSL là CA (Certificate Authority) cấp chứng chỉ TLS cho trang web, chỉ xác minh tên miền. Trulioo đề xuất DPA (Digital Passport Authority) sẽ cấp DAP (Digital Agent Passport) cho các tác nhân, xác minh KYB của nhà phát triển cộng với KYC của người dùng.

DAP không phải là một chứng chỉ tĩnh. Đó là một token sống sẽ được làm mới, được xác thực lại cho mỗi giao dịch. Ngay khi ủy quyền bị hủy hoặc phát hiện bất thường, DAP sẽ bị vô hiệu hóa lập tức.

Nó có năm điểm kiểm tra: Provenance (ai là nhà phát triển), User Binding (ai đã cấp quyền), Permission Scope (có thể thực hiện những hành động nào), Behavior Telemetry (hiện đang làm gì), Risk Scoring (đánh giá rủi ro).

Các ngân hàng và công nghệ tài chính bắt buộc phải xác minh danh tính cá nhân và doanh nghiệp theo quy định pháp lý. Khi các tác nhân bước vào lĩnh vực tài chính, vị trí của Trulioo trong KYC và KYB trở nên vững chắc hơn.

Sumsub: Theo dõi hành vi bất thường, không cấp giấy chứng nhận

Sumsub có cách tiếp cận khác với ba nhà cung cấp trước đó. Nó không phát tiêu chuẩn hay chứng chỉ, mà thay vào đó, khi có hành vi giao dịch bất thường từ tác nhân, nó sẽ xác minh lại người đứng sau.

Nó đã hoạt động hợp pháp từ năm 2015, hệ thống xác minh đó hiện được sử dụng để phát hiện hành vi bất thường của tác nhân. Quy trình gồm ba bước. Đầu tiên là phát hiện tự động, phân biệt người và máy thông qua đặc điểm thiết bị và tác nhân. Tiếp theo là đánh giá rủi ro, đưa ra điểm rủi ro dựa trên bối cảnh, số tiền và dữ liệu lịch sử. Cuối cùng là xác minh Liveness, chỉ được kích hoạt khi có rủi ro cao, số tiền lớn hoặc thay đổi quan trọng, nhằm xác minh lại người thật đã đăng ký.

Bốn đặc điểm của Sumsub tạo sự khác biệt rõ rệt so với các đối thủ khác. Điểm xuất phát của nó là các nhà vận hành tuân thủ, chứ không phải các tổ chức thiết lập tiêu chuẩn. Thời điểm xác minh là khi giao dịch rủi ro xảy ra, chứ không phải trước khi đăng ký. Phương pháp xác minh là xác nhận lại bởi con người thật, chứ không phải thông qua dữ liệu hoặc token. Triết lý là gắn kết tác nhân với bên chịu trách nhiệm, thay vì chặn trực tiếp tác nhân.

Các người chơi khác thực hiện xác minh danh tính một lần trước khi thực hiện hành động, trong khi Sumsub thực hiện xác minh theo thời gian thực sau khi cấp giấy tờ. Khi quyền hạn của tác nhân mở rộng hơn, việc phát hiện bất thường càng trở nên quan trọng. Các thủ đoạn lừa đảo đang được nâng cấp theo công nghệ, nên hệ thống xác minh theo thời gian thực của Sumsub đáng để quan tâm.

Kịch bản quy tắc du lịch của FATF

Khi quy định Travel Rule của FATF được ban hành năm 2019, ngành VASP lập tức chia rẽ. Những đơn vị có thể gánh chịu chi phí cơ sở hạ tầng KYC, AML đã sống sót, còn những đơn vị không chịu nổi đã đóng cửa hoặc chuyển đến các khu vực có quy định lỏng lẻo hơn. CryptoBridge và Deribit đều buộc phải điều chỉnh trong đợt đó.

Sự giám sát không phải là điểm kết thúc, mà là ranh giới phân chia.

Lần này kịch bản của KYA có thể giống nhau. Liên minh Châu Âu, Singapore và Hoa Kỳ đã tranh giành vị trí dẫn đầu.

Điều 12 của Luật AI của Liên minh Châu Âu yêu cầu rõ ràng rằng nhật ký hành vi của các hệ thống AI rủi ro cao phải bao gồm danh tính của người vận hành. Singapore đã ban hành khung quản trị AI tác nhân cấp quốc gia đầu tiên trên thế giới, mở rộng quản lý danh tính sang các tác nhân và yêu cầu mỗi tác nhân đều có bên chịu trách nhiệm có thể truy xuất. NIST của Mỹ coi quản lý danh tính tác nhân là lĩnh vực tiêu chuẩn ưu tiên.

Khung thời gian đang thu hẹp.

Sẽ không có người chiến thắng duy nhất

Yếu tố thực sự trong cuộc tranh giành tiêu chuẩn không phải là công nghệ, mà là sự kết hợp. Các bên tham gia chính đã bước vào giai đoạn hợp tác và kết hợp. Ai sẽ kết nối với những thương gia nào, mạng thanh toán nào, và nhóm khách hàng KYC nào tiếp theo sẽ quyết định sự phân chia của từng thị trường con.

Thị trường này sẽ không có người chiến thắng duy nhất.

Trên chuỗi, Ethereum có khả năng dẫn đầu trong giao dịch tự chủ. Trong các kịch bản giao dịch gắn với thanh toán, Visa có lợi thế rõ rệt. Trong ngành tài chính được quản lý, nền tảng KYC, KYB của Trulioo khó thay thế. Đối với các kịch bản giao dịch có rủi ro gian lận, việc phát hiện thời gian thực của Sumsub phù hợp hơn.

Bốn công ty không phải là đối thủ trực tiếp, mỗi bên chiếm một vùng đất riêng. Sự cạnh tranh thực sự diễn ra ở việc những cảnh nào sẽ được đưa vào vùng đất nào.

KYC từ năm 1989 đến nay, đã mất ba mươi năm mới hoàn thiện lớp danh tính của hệ thống tài chính toàn cầu.

Trong đợt này, nhịp độ dường như nhanh hơn nhiều. Các cơ quan quản lý đã hành động, các người chơi tiêu chuẩn đã bố trí xong, và cửa sổ thời gian để triển khai quy mô lớn có thể nằm trong vài năm tới.

Khi đó, những người sống sót không nhất thiết là người có công nghệ mạnh nhất, mà là người sớm nhất tích hợp cơ sở hạ tầng danh tính.