Tiger Research：AI智能體也要查身分證
本報告由 Tiger Research 撰寫。AI 智能體已具備自主簽約、付款與交易能力。但關鍵問題仍未解決：你如何確認對面那個智能體的真實身份？本文深入剖析 KYA（Know Your Agent）標準之爭中四大參與者的技術路徑、商業邏輯與監管進展，並釐清 KYA 將如何重塑 A2A（Agent-to-Agent）經濟的信任基礎。
核心重點
- AI 智能體正跨入「自主執行合約、支付與交易」新階段，然而市場尚未建立統一、可互操作的身份驗證標準；在 A2A 場景下，KYA 已成為比傳統 KYC 更迫切的基礎設施需求。
- KYA 並非普遍適用：Google、OpenAI、Coinbase 等中心化平台內部，現有 KYC 架構已足夠；真正需要 KYA 的場景，是獨立部署智能體接入 DEX、啟動 A2A 支付、或向第三方商戶付款等開放環境。
- 標準競爭已然展開——ERC-8004（鏈上 NFT 身份）、Visa TAP（支付網絡整合憑證）、Trulioo（數位護照權威 DPA）、Sumsub（異常行為驅動的真人重驗）四者從不同維度切入，技術哲學與落地路徑截然不同。
- 全球監管已明確將智能體身份管理列為優先議題：歐盟 AI 法案第 12 條、新加坡國家級 AI 治理框架、美國 NIST 標準計畫均已涵蓋 KYA 要求；歷史經驗顯示，FATF「旅行規則」曾重構加密產業版圖，KYA 或將迎來同等規模的合規分水嶺。
為什麼是現在？KYA 成為時代必答題
KYC 如何重塑金融信任層
1989 年 FATF 成立前，全球金融體系缺乏統一身份驗證機制，使洗錢與非法資金流動難以追蹤。KYC 從此成為金融業強制性底線要求，築起第一道反洗錢防線。
過去三十餘年，KYC 不斷擴展邊界：2001 年「911 後反恐融資條款」與《愛國者法案》使其升格為法定義務；2010 年代歐盟 AMLD 指令、巴塞爾協議 III 及 FATCA 推動跨境 KYC 資訊自動交換；2019 年 FATF「旅行規則」更將 KYC 延伸至虛擬資產服務商（VASP），徹底改變加密產業生態。
每一次延伸，皆針對一個新出現的信任缺口。
沒有智能體身份，整個系統正在倒退
當今 AI 智能體無需人類干預即可完成合約簽署、資金調撥與跨平台交易，但其背後的「誰在操作」「是否獲授權」「能否被追責」卻完全不可驗證。
在 A2A 環境中，責任歸屬模糊：出錯時開發者、委託用戶、平台方相互推諉；使用者亦易遭偽裝智能體詐騙或捲入洗錢鏈條。
對比 1989 年前的匿名金融帳戶跨境流動，與今日未經驗證智能體在開放協議間自由交易，結構驚人相似——前者由銀行各自承擔驗證責任，後者由平台各自定義規則；共同標準依然缺席。
此非巧合，而是技術演進的必然節奏：應用先行，身份基礎設施滯後。
KYA 是什麼？三重風險的預防性鎖定機制
KYA（Know Your Agent）是一套面向智能體的信任架構，旨在事前驗證其開發來源、權限範圍與法律責任歸屬。
若跳過 KYA，將同步引爆三大風險：
❶ 越權交易：用戶僅授權支付，智能體卻擅自轉移資產或簽署超範圍合約；
❷ 身分偽造：惡意智能體冒充合法主體，劫持付款流程、偽造回應、盜用信譽；
❸ 責任真空：事故發生後，智能體、開發者、委託用戶三方互相卸責，賠償與問責無從落實。
KYA 正是為鎖定這三點而設計：透過預先註冊與權限綁定，自動攔截越權行為；透過可信來源驗證，只允許已認證智能體參與；透過開發者與委託方雙重綁定記錄，確保每筆操作均可追溯至最終責任主體。
KYA 的運作場景：不是 everywhere，而是 where it matters
中心化平台內無需 KYA，開放生態才真需要
在 Google、OpenAI 或 Coinbase 等封閉生態中，用戶已完成 KYC，平台自身承擔全部合規與風險兜底責任，整條鏈路為可控閉環，KYA 非必要。
真正需要 KYA 的，是智能體「走出平台」之後的開放場景：接入去中心化交易所（DEX）、發起 A2A 支付、向外部商戶結算付款——此時無人擔保、無人背書、無統一規則，KYA 成為唯一可信錨點。
類比而言：在一國境內行動，國民身分證（KYC）已足夠；一旦跨越國境（離開平台），即須接受入境審查（KYA），明確說明來意、資格與可信度。
KYA 四步運作流程：從「數位護照」到「即時核驗」
KYA 實務可拆解為四階段動態循環：
▸ 前兩步為「護照簽發」：智能體提交身分與權限聲明 → 通過第三方或鏈上驗證 → 獲頒可驗證數位身分憑證（Digital Passport）；
▸ 後兩步為「入境審查」：交易觸發時，接收方即時驗證對方憑證有效性 → 根據交易結果更新行為記錄與風險評級。
重要提醒：KYA 身分並非一次驗證、永久有效，而是「每次交易、重新核驗」，確保動態可信。
四大標準玩家登場：路徑迥異，目標一致
當前 KYA 標準競賽已有四位關鍵參與者，各自立足不同生態、採用不同技術哲學，形成互補而非單一替代關係。
ERC-8004：以太坊原生路線——把智能體身份鑄造成 NFT
ERC-8004 採純鏈上架構，基於 ERC-721 擴展，為每個智能體發行一枚不可竄改的 NFT 作為唯一身分 ID。
配套三大去中心化註冊表：
• Identity Registry：回答「這個智能體是誰？」——透過 ERC-721 AgentID 確保唯一性；
• Reputation Registry：回答「能否與它交易？」——累積鏈上交易評分、標籤與客觀證據；
• Validation Registry：回答「它是否真的執行了該動作？」——由第三方驗證者運用 zkML、TEE 等零知識或可信執行環境插件進行行為核驗。
此模式延續以太坊成功標準化經驗：ERC-20 定義代幣、ERC-721 定義 NFT，ERC-8004 正試圖成為定義「AI 智能體身分」的第三代基礎協議。
Visa TAP：支付巨頭路線——用卡網絡打包智能體身分
Visa 採用高度整合策略，推出「TAP（Trusted Agent Protocol）」，為智能體簽發專屬身分憑證（Agent Intent），形同一張數位通行卡——無此憑證，智能體無法發起任何交易。
每筆交易均須攜帶三重簽章：
❶ Agent Intent：由 Visa Intelligent Commerce（VIC）批准的密鑰簽署，證明智能體合法性；
❷ Consumer Recognition：傳遞委託用戶識別符，明確「代表誰行事」；
❸ Payment Information：以支付 token 或雜湊化卡片資訊提供付款保證。
TAP 是 Visa 更大戰略「Visa Intelligent Commerce（VIC）」的一環，內含 Agent APIs（Visa 卡專用智能體介面）、Tokenization（AI 專用支付 token）、Intelligent Commerce Connect（相容 AP2、ACP、x402 等異構協議）。其核心邏輯清晰：若未來智能體支付持續走通卡網絡，且 TAP 成為預設整合方案，Visa 的支付入口地位將穩如磐石。
Trulioo：合規權威路線——將 SSL 證書模式移植至智能體
作為全球領先 KYC/KYB 合規服務商，Trulioo 將驗證棧延伸至 KYA，提出「DPA（Digital Passport Authority）」概念，為智能體頒發「DAP（Digital Agent Passport）」數位護照。
DAP 模仿網站 SSL 證書機制，但驗證對象升級為「開發者 KYB + 用戶 KYC」雙重綁定，且非靜態文件，而是具備生命週期的動態 token——每次交易觸發即時刷新，一旦委託撤銷或異常檢測成立，DAP 立即失效。
其驗證涵蓋五大維度：
• Provenance（來源）：由哪個開發團隊創建？
• User Binding（綁定）：經哪位終端用戶授權？
• Permission Scope（權限）：獲准執行哪些操作？
• Behavior Telemetry（行為）：當前實際執行內容為何？
• Risk Scoring（風險）：基於多維資料的即時風險評級。
對銀行與金融科技機構而言，KYC/KYB 法定義務不會因引入智能體而消失；Trulioo 的既有合規基建與監管信任，使其在受嚴格監管的金融場景中具備天然優勢。
Sumsub：異常驅動路線——不發證，只驗人
Sumsub 走出完全不同路徑：不制定標準、不簽發憑證，而是聚焦於「高風險交易發生時」的即時真人重驗。
沿用其自 2015 年深耕合規驗證所累積的引擎，Sumsub 將智能體異常行為偵測分為三階段：
❶ 自動化偵測：透過設備指紋、行為模式、智能體特徵，區分人類與機器操作；
❷ 情境風險評分：綜合交易金額、上下文、歷史行為、IP 與地理位置等生成即時風險分數；
❸ Liveness 驗證：僅於高風險、大額或關鍵權限變更時啟動，強制委託用戶進行活體驗證（如人臉辨識），重新確認真實身分。
Sumsub 的四大特徵與其他三家形成鮮明對比：
✓ 起點是合規營運商，非標準制定者；
✓ 驗證時機為「風險交易發生時」，非「事前註冊」；
✓ 驗證方法為「真人重確認」，非資料或 token 核驗；
✓ 哲學是「將智能體與責任人緊密綁定」，而非直接封禁智能體。
其他玩家著重「事前一次性認證」，Sumsub 則打造「發證後的即時驗證」閉環。隨著智能體權限持續擴張，詐騙手法亦隨技術迭代升級，其實時風險棧價值日益凸顯。
監管落地前夜：分水嶺已至，窗口正窄
FATF 旅行規則的歷史鏡像
2019 年 FATF「旅行規則」實施後，全球 VASP 行業迅速分化：具備完善 KYC/AML 基礎設施者存活並擴張；資源不足者被迫關停、遷移至監管寬鬆 jurisdiction，或徹底退出市場——CryptoBridge、Deribit 等皆在此波調整中重塑業務模型。
監管從非終點，而是產業重組的分水嶺。
KYA 此輪演進極可能複製相同劇本。歐盟、新加坡、美國已率先行動：
• 歐盟 AI 法案第 12 條明確規定：高風險 AI 系統之操作日誌，必須包含可識別之「操作者身分」；
• 新加坡國家級 AI 治理框架為全球首例，將身分管理明確延伸至智能體層級，要求「每一智能體皆須具備可追責之責任主體」；
• 美國 NIST已將「智能體身分管理」列為優先標準發展領域，並啟動相關技術指南編撰。
政策窗口期正快速收窄。
不會有單一贏家，只有場景分工
KYA 標準競爭的核心變量，不在技術高低，而在「生態組合力」——誰能更快與特定商戶、支付網絡、KYC 客戶群深度整合，將決定各細分市場的實際主導者。
市場不會誕生唯一標準，而是形成多棲共存格局：
• 鏈上自主交易場景：以太坊生態與 ERC-8004 具備原生優勢；
• 支付綁定型交易：Visa TAP 在卡組織網絡中擁有無可取代的渠道掌控力；
• 強監管金融場景：Trulioo 的 KYC/KYB 合規積累與監管對話經驗難以撼動；
• 高詐騙風險場景：Sumsub 的異常行為偵測與真人即時重驗能力更具適配性。
四家並非直接對手，而是各自佔據一座山頭；真正的競爭，發生在「哪類場景被劃入哪座山頭」的界定過程中。
回顧 KYC 從 1989 年誕生至今，耗時三十年方才逐步覆蓋全球金融體系。
KYA 的推進節奏將快得多：監管已明確出手，標準玩家完成佈局，規模化部署的關鍵窗口期，很可能就落在未來兩至三年。
最終勝出者，未必是技術最尖端者，而是——身份基礎設施最早實現廣泛接入、真實場景深度驗證者。
