Tiger Research: Đặc vụ AI cũng cần kiểm tra CMND

Báo cáo này được viết bởi Tiger Research Các đại lý AI có thể tự ký hợp đồng, thanh toán và tự mình thực hiện các giao dịch. Nhưng có một vấn đề chưa được giải quyết: Làm sao bạn biết được người đại diện bên kia là ai? Bài viết này trình bày các cách tiếp cận khác nhau của bốn người chơi trong cuộc chiến giành tiêu chuẩn KYA và nơi giám sát đã đi đến.

Điểm cốt lõi

1. Các tác nhân AI đã bước vào kỷ nguyên tự động thực hiện các hợp đồng, thanh toán và giao dịch nhưng chưa có tiêu chuẩn thống nhất trên thị trường để xác minh danh tính. Trong kịch bản A2A (đại lý đến đại lý), KYA bắt đầu thu hút nhiều sự chú ý hơn KYC.
2. KYA không được yêu cầu ở mọi nơi. Trong các nền tảng tập trung như Google, OpenAI và Coinbase, KYC hiện có là đủ. Điều thực sự yêu cầu KYA là khi các đại lý được triển khai độc lập truy cập DEX, thanh toán A2A và thanh toán cho người bán.
3. Cuộc chiến về tiêu chuẩn đã bắt đầu. ERC-8004, Visa TAP, Trulioo và Sumsub lần lượt bắt đầu từ bốn hướng chuỗi, mạng thanh toán, chứng nhận tuân thủ và phát hiện rủi ro và các đường dẫn hoàn toàn khác nhau.
4. Quy định đã bắt đầu. Đạo luật AI của EU, NIST của Hoa Kỳ và khuôn khổ quốc gia của Singapore đều ưu tiên quản lý danh tính tác nhân. Các quy tắc du lịch của FATF 2019 xác định sàn giao dịch tiền điện tử nào tồn tại và KYA có thể sẽ lặp lại kịch bản lần này.

1. Tại sao bây giờ

KYC đã định hình lại tầng tài chính đó

Trước năm 1989, không có tiêu chuẩn nhận dạng thống nhất trong tài chính toàn cầu. Khoảng cách này gây khó khăn cho việc truy tìm nguồn gốc ma túy và tiền đen. Mãi cho đến khi thành lập FATF vào năm đó, KYC mới trở thành một yêu cầu bắt buộc trong ngành tài chính, ngăn chặn các khoản tiền bất hợp pháp.

Trong ba mươi năm tới, tác động của KYC đã mở rộng từng lớp một. Sau ngày 11/9 năm 2001, với việc bổ sung các điều khoản tài trợ chống khủng bố, Đạo luật Yêu nước của Hoa Kỳ đã nâng KYC lên thành một nghĩa vụ pháp lý. Trong những năm 2010, EU AMLD, Basel III và FATCA lần lượt được triển khai và thông tin KYC xuyên biên giới bắt đầu được trao đổi tự động. Quy tắc du lịch FATF 2019 mở rộng KYC cho các nhà cung cấp dịch vụ tài sản ảo.

Mọi tiện ích mở rộng đều đang lấp đầy khoảng trống.

Không có danh tính tác nhân, hệ thống sẽ thụt lùi

Quay lại hiện tại. Các tác nhân AI có thể tự mình ký hợp đồng, thanh toán và thực hiện giao dịch mà không cần con người giám sát. Nhưng không ai có thể xác minh đó là ai.

Trong môi trường A2A, trách nhiệm không rõ ràng. Không ai có thể biết phải gọi ai nếu có sự cố xảy ra. Người dùng cũng có xu hướng rửa tiền và nhiều hình thức lừa đảo khác nhau.

Nhìn vào nền tài chính trước năm 1989 và thị trường đại lý thông minh vào năm 2026, các cấu trúc giống nhau một cách đáng ngạc nhiên. Hồi đó, các tài khoản ẩn danh tràn lan khắp biên giới; ngày nay, các đại lý chưa được xác minh đang giao dịch A2A. Trước đó, trách nhiệm xác minh nằm trong tay mỗi ngân hàng, nhưng ngày nay nó nằm trong tay mỗi nền tảng. Không có tiêu chuẩn chung.

Sự giống nhau này không phải là sự trùng hợp ngẫu nhiên mà là một quy luật. Công nghệ ra đời trước nhưng lớp nhận dạng lại không theo kịp.

KYA là gì

KYA (Know Your Agent) là một lớp cơ chế tin cậy xác minh rõ ràng nguồn gốc, quyền hạn và trách nhiệm của đại lý trước.

Bỏ qua bước này và ba rủi ro sẽ xuất hiện cùng lúc. Đầu tiên là giao dịch vượt quá thẩm quyền: người dùng chỉ ủy quyền thanh toán nhưng đại lý lại di chuyển tài sản và ký hợp đồng ngoài phạm vi. Thứ hai là giả mạo danh tính: một tác nhân độc hại giả vờ là hợp pháp, chiếm đoạt các khoản thanh toán, giả mạo phản hồi và đánh cắp danh tiếng. Loại thứ ba là khoảng trống trách nhiệm: sau khi xảy ra tai nạn, đại lý, nhà phát triển và khách hàng sẽ đổ lỗi cho nhau và không có cách nào đòi bồi thường.

Việc KYA làm là khóa trước ba thứ này. Đăng ký trước và xác minh phạm vi thẩm quyền, mọi hành động trái phép sẽ bị chặn trực tiếp. Xác minh danh tính và nguồn gốc và chỉ cho phép các đại lý hợp pháp. Nguồn và khách hàng của mỗi đại lý được ràng buộc trong hồ sơ và các sự cố có thể được truy tìm lại.

2. KYA hoạt động ở đâu?

Không bắt buộc ở mọi nơi

KYA thực sự không bắt buộc trong các nền tảng tập trung. Người dùng đã thực hiện KYC và bản thân nền tảng cũng đã thực hiện các thao tác chi tiết và toàn bộ liên kết là vòng lặp kín.

Điều cần KYA là môi trường cởi mở sau khi bước ra khỏi nền tảng. Đại lý cần kết nối với DEX, thực hiện thanh toán A2A và thanh toán cho người bán. Lúc này, không ai biết chân tướng, cũng không ai có thể bảo đảm.

Hãy sử dụng một phép so sánh. Để di chuyển trong một quốc gia, chỉ cần có thẻ ID (KYC) là đủ. Sau khi bạn qua biên giới (rời khỏi sân ga), môi trường sẽ thay đổi và bạn phải trải qua cuộc kiểm tra (KYA) tại điểm nhập cư để giải thích rõ ràng ý định và độ tin cậy của mình.

Quy trình bốn bước

Hoạt động của KYA có thể được chia thành bốn bước. Hai bước đầu tiên là "cấp hộ chiếu": đầu tiên đăng ký danh tính và quyền của đại lý, sau đó cấp hộ chiếu kỹ thuật số sau khi vượt qua quá trình xác minh. Hai bước cuối cùng là "xem xét mục nhập": xác nhận danh tính của bên kia khi giao dịch xảy ra, sau đó cập nhật bản ghi dựa trên kết quả giao dịch.

Danh tính không được cấp một lần và có giá trị vĩnh viễn nhưng được kiểm tra lại cho mỗi giao dịch.

3. Bốn người chơi đang cạnh tranh về tiêu chuẩn

Hiện tại có bốn người chơi trong cuộc chiến về tiêu chuẩn và con đường của họ hoàn toàn khác nhau.

ERC-8004: Biến danh tính thành NFT

ERC-8004 đi theo lộ trình hoàn toàn trên chuỗi. Nó thêm một lớp nhận dạng lên trên ERC-721 và mỗi tác nhân được tạo một NFT làm ID duy nhất.

Có ba cơ quan đăng ký trên chuỗi được bao gồm trong gói. Identity chịu trách nhiệm về "đại lý này là ai", dựa trên AgentID duy nhất của ERC-721. Danh tiếng chịu trách nhiệm cho việc "bạn có thể giao dịch với nó hay không". Sau khi giao dịch hoàn tất, nó sẽ để lại điểm số, nhãn và bằng chứng trên chuỗi. Quá trình xác thực chịu trách nhiệm về "liệu nó có thực sự làm điều đó hay không" và được kiểm tra bởi người xác minh bên thứ ba thông qua các trình cắm như zkML và TEE.

Cấu trúc này không phải là lần đầu tiên trong lịch sử của Ethereum. ERC-20 tiêu chuẩn hóa việc phát hành mã thông báo và USDT, USDC, UNI và AAVE đều phát triển dựa trên đó. Việc phát hành NFT được tiêu chuẩn hóa ERC-721 và CryptoPunks, BAYC và ENS đã hỗ trợ toàn bộ thị trường NFT. ERC-8004 đóng vai trò là tiêu chuẩn thứ ba ở vị trí tương tự.

Visa TAP: Đóng gói với mạng thanh toán

Ý tưởng của Visa hoàn toàn khác. Nó cấp chứng chỉ nhận dạng (Agent Intent) cho đại lý, tương đương với một thẻ. Nếu không có khóa này, đại lý thậm chí không thể bắt đầu giao dịch. Chìa khóa chỉ được cấp sau khi được Visa phê duyệt trước và mỗi giao dịch phải được ký cho người bán.

Người bán không chỉ nhận được một mà là ba chữ ký. Ý định của tác nhân chứng minh rằng tác nhân là hợp pháp và được xác nhận bằng khóa được VIC phê duyệt. Nhận dạng người tiêu dùng giải thích họ đang làm việc cho ai và chuyển mã định danh người dùng cho người bán. Thông tin thanh toán cung cấp sự đảm bảo thanh toán, sử dụng mã thông báo thanh toán hoặc thông tin thẻ băm để hoàn tất xác thực.

Visa đưa tập hợp những thứ này vào một gói lớn hơn có tên là Visa Intelligence Commerce (VIC). Ngoài TAP, còn có Agent API (công nghệ riêng của Visa chạy khi sử dụng thẻ), Tokenization (token được phát hành riêng cho AI) và Kết nối thương mại thông minh (tương thích với các giao thức cạnh tranh như AP2, ACP, x402, v.v.).

Logic rất rõ ràng. Visa đã nắm giữ quyền truy cập vào mạng thanh toán vào thời điểm đó và hiện muốn đưa kỷ nguyên điện thoại thông minh vào quỹ đạo của riêng mình. Nếu thanh toán thông minh tiếp tục sử dụng mạng thẻ và gói này trở thành tùy chọn mặc định, thị phần của Visa sẽ ổn định.

Trulioo: Mang lại bộ SSL

Trulioo là một công ty tham gia vào quá trình tuân thủ KYC và KYB toàn cầu và hiện mở rộng phạm vi xác minh sang KYA.

Nó mượn mô hình chứng chỉ SSL của trang web. SSL là chứng chỉ TLS do CA (Cơ quan cấp chứng chỉ) cấp cho trang web và chỉ tên miền được xác minh. DPA (Cơ quan cấp hộ chiếu kỹ thuật số) do Trulioo đề xuất sẽ cấp DAP (Hộ chiếu đại lý kỹ thuật số) cho đại lý và xác minh KYB của nhà phát triển cùng với KYC của người dùng.

DAP không phải là chứng chỉ tĩnh. Đó là mã thông báo trực tiếp được làm mới và được xác nhận lại sau mỗi giao dịch. Sau khi lệnh được rút hoặc phát hiện ngoại lệ, DAP sẽ bị vô hiệu ngay lập tức.

Nó có năm điểm kiểm tra: Nguồn gốc (nhà phát triển đã thực hiện), Ràng buộc người dùng (người đã ủy quyền), Phạm vi cấp phép (công việc có thể được thực hiện), Đo lường từ xa hành vi (việc đang được thực hiện hiện tại), Ghi điểm rủi ro (xếp hạng rủi ro).

Về mặt pháp lý, các ngân hàng và công ty fintech được yêu cầu phải xác minh danh tính của các cá nhân và công ty. Một khi đại lý bước chân vào lĩnh vực tài chính, vị thế KYC và KYB của Trulioo sẽ trở nên ổn định hơn.

Sumsub: Tập trung vào những điểm bất thường và không cấp chứng chỉ

Điểm vào của Sumsub khác với ba điểm đầu tiên. Nó không ban hành các tiêu chuẩn hoặc chứng chỉ mà xác minh lại người đứng đằng sau nó khi một giao dịch bất thường xảy ra trong tác nhân thông minh.

Nó đã hoạt động trong lĩnh vực tuân thủ từ năm 2015 và hệ thống xác minh hiện được sử dụng để phát hiện hành vi bất thường của các tác nhân thông minh. Quá trình này được chia thành ba bước. Đầu tiên, thực hiện phát hiện tự động để phân biệt con người và máy móc thông qua các đặc điểm của thiết bị và tác nhân. Sau đó, tính điểm rủi ro và đưa ra điểm rủi ro dựa trên bối cảnh, số lượng và dữ liệu lịch sử. Cuối cùng, có xác minh Liveness, chỉ được kích hoạt khi có rủi ro cao, số lượng lớn hoặc thay đổi quan trọng để kiểm tra lại người thật đã đăng ký.

Bốn đặc điểm của Sumsub hoàn toàn trái ngược với những người chơi khác. Điểm khởi đầu của nó là toán tử tuân thủ chứ không phải là bộ thiết lập tiêu chuẩn. Thời điểm xác minh là thời điểm xảy ra giao dịch rủi ro chứ không phải thời điểm đăng ký trước. Phương thức xác minh là xác nhận lại người thật chứ không phải dữ liệu hoặc mã thông báo. Triết lý là ràng buộc người đại diện với bên chịu trách nhiệm, thay vì trực tiếp chặn người đại diện.

Những người chơi khác thực hiện xác minh danh tính một lần trước khi thực hiện bất kỳ điều gì và Sumsub thực hiện xác minh theo thời gian thực sau khi cấp chứng chỉ. Quyền hạn của đặc vụ càng mở rộng thì việc phát hiện sự bất thường càng trở nên quan trọng. Khi công nghệ nâng cấp các phương thức gian lận, hệ thống thời gian thực của Sumsub đáng được chú ý.

4. Trước khi quy định được triển khai

Sách hướng dẫn về các quy tắc du lịch của FATF

Ngay sau khi các quy tắc du lịch của FATF 2019 được ban hành, ngành VASP đã ngay lập tức bị chia rẽ. Những người có thể chịu được chi phí cơ sở hạ tầng KYC và AML sẽ tồn tại, còn những người không chịu được sẽ đóng cửa hoặc chuyển đến những nơi có quy định lỏng lẻo. CryptoBridge và Deribit đều buộc phải điều chỉnh trong đợt đó.

Giám sát không phải là mục đích cuối cùng mà là một bước ngoặt.

KYA lần này có thể có cùng một kịch bản. Liên minh châu Âu, Singapore và Hoa Kỳ đang cạnh tranh vị trí dẫn đầu.

Điều 12 của Đạo luật AI của EU yêu cầu rõ ràng rằng nhật ký hành vi của các hệ thống AI có rủi ro cao phải bao gồm danh tính của người vận hành. Singapore đã ban hành khuôn khổ quản trị AI quốc gia đầu tiên trên thế giới dành cho các tác nhân thông minh, mở rộng quản lý danh tính cho các tác nhân và yêu cầu mỗi tác nhân phải có một bên chịu trách nhiệm. NIST Hoa Kỳ liệt kê quản lý danh tính đại lý là lĩnh vực tiêu chuẩn ưu tiên.

Cửa sổ thời gian đang bị thu hẹp lại.

Sẽ không có người chiến thắng duy nhất

Biến số thực sự trong cuộc chiến tiêu chuẩn không phải là công nghệ mà là sự kết hợp. Những người chơi chính đã bước vào giai đoạn hợp tác và kết hợp. Ai được ghép nối với người bán, mạng thanh toán và nhóm khách hàng KYC nào tiếp theo sẽ xác định vị trí của từng phân khúc thị trường.

Sẽ không có người chiến thắng duy nhất trên thị trường này.

Về mặt giao dịch tự trị trên chuỗi, Ethereum có khả năng dẫn đầu. Trong các tình huống giao dịch có ràng buộc về thanh toán, Visa có những lợi thế rõ ràng. Trong ngành tài chính được quản lý, việc tích lũy KYC và KYB của Trulioo rất khó thay thế. Tính năng phát hiện theo thời gian thực của Sumsub phù hợp hơn với các tình huống giao dịch có rủi ro gian lận.

Bốn công ty không phải là đối thủ trực tiếp, mỗi công ty chiếm một phần của ngọn núi. Cuộc cạnh tranh thực sự diễn ra trong đó cảnh được phân loại vào ngọn đồi nào.

Từ năm 1989 đến nay, KYC phải mất ba mươi năm để hoàn thành lớp nhận dạng của tài chính toàn cầu.

KYA Vòng này, nhịp độ có vẻ nhanh hơn rất nhiều. Quy định đã bắt đầu, những người chơi tiêu chuẩn đã được triển khai và thời gian triển khai trên quy mô lớn có thể là vài năm tới.

Những người sống sót đến lúc đó không nhất thiết phải là những người có công nghệ mạnh nhất mà là những người có quyền truy cập sớm nhất vào cơ sở hạ tầng nhận dạng.