从KYC到KYA：代理型商业中的转变
支付生态系统已经开始将其“了解你的客户”（KYC）和风险管理指南引入代理化世界。代理化商业框架和新兴协议标准带来了：
代理注册和支付授权，从而确保只有经过审核的AI代理才能持有通证化的凭证并在网络上进行交易。
可信代理接入流程：在该流程中，代理会经过预先审核，被分配加密密钥，并需对其流量进行签名，以便商户和中介机构能够在边缘端区分可信购物代理与普通机器人。
代理绑定令牌和可验证意图凭证，它们将人工智能代理、支付凭证和已签名的意图记录绑定在一起，以便下游参与者能够验证某笔交易是否与特定的代理和特定的授权相关联。
与此同时，“代理支付协议”（AP2）作为代理经济领域的开放协议应运而生，旨在实现跨网络和支付方式的安全、可靠且互操作的代理驱动型支付。
在此可验证的分层凭证架构中，购物代理在用户的可验证凭证内被明确标识，因此它们在预定义的范围内，经加密授权可代表持卡人行事或使用持卡人的支付工具。 在“自主”层，用户通过嵌入代理的公钥，将权限委托给特定代理。当该代理随后构建结账或支付凭证时，会使用此绑定密钥对其进行签名并证明其持有权，从而向商户和支付服务提供商提供一份可移植且可独立验证的记录，证明是该特定授权代理（而非某个任意客户）在执行用户委托的支付意图。
为什么KYA很重要（以及它实际上检查什么）
KYA 是必不可少的基础，因为支付生态系统中的参与者不能仅仅信任任何自称代表持卡人的“代理”。至少，服务提供商必须证明其运营的代理平台经过了强化加固，并符合现代大型语言模型（LLM）安全指南的要求，这些指南已在 OWASP 等行业标准中有所记载。
在身份识别方面，KYA 的核心在于为每个代理提供一个可通过加密手段验证的身份，而非将其视为不透明的 API 调用方。此类加密证明将代理 ID、模型/版本元数据及功能能力与提供方的签名绑定在一起；在与其他参与方交互时，可出示这些凭证，且在代理收到支付代币之前，支付网络即可对其进行验证。
静态KYA的局限性
问题在于，所有这些从根本上都属于运行时之前的信任机制。提供商审计、架构图、签名密钥和入职流程能告诉你代理程序由谁构建以及如何配置，但无法保证它在生产环境中会如何运行。
AI 代理具有非确定性：由于它们由概率模型驱动且运行环境在持续演变，因此相同的输入在不同运行中可能会产生不同的输出。即使在严格受控的环境中，大型语言模型在多次运行中也会表现出可量化的“非确定性漂移”，而这种漂移在分布偏移和模型更新时会更加明显。在实际系统中，这种漂移会因以下因素而加剧：
- 提示注入与推理篡改。攻击者可以植入指令，以添加隐藏的明细项目、调换商家或始终触发消费上限，而此时HTTP签名和KYA凭证看起来都完全有效。
- 内存中毒——具有持久内存的长期活跃程序可以被逐步“调教”，以至于后来，一些看似完全正常的提示也会触发恶意行为
- 供应链攻击——遭到入侵的 MCP 工具、插件或市场平台可以在不改变其外部身份的情况下改变代理的行为：该代理看似“一如既往”，但它调用的工具现在会窃取数据或篡改购物车有效载荷。
自发范围蔓延——即使没有攻击者，随着模型、提示或工具的变化，代理也会表现出自发行为；它们开始采取违反隐含业务政策的行动，例如反复选择风险较高的商家，或重新解释模糊的用户提示以合理化更大的支出。
在 KYA 验证的静态凭证中，以及在利用可验证凭证的代理协议中，均无法察觉这些故障模式。代理的标识符和密钥保持完整，而可验证凭证中包含的恶意约束对用户而言无法被察觉；发生偏离的是“用户意图”与“支付请求”之间的决策链。
此外，生产环境中的“购物代理”极少是单一的、固定不变的模型。它通常是由多个不断演进的子代理、工具和工作流组成的协调系统，每个子代理、工具和工作流都有各自的提示词、模型和发布周期。 随着服务提供商频繁发布模型更新、更换工具或重新配置子代理拓扑，将单个代理版本“冻结”以供认证的做法很快便变得不切实际；即使原始 KYA 凭证未作任何可见修改，系统的实际行为也可能发生变化。
因此，仅依赖静态的KYA会产生一种危险的“可控”错觉：文档上虽标注“同一代理”，但实际运行中的多代理系统已发生演变，这正是为何需要进行持续的运行时验证。
在我们的“具有自主能力的AI商业”博客系列中了解更多内容：
第一章： 自主智能AI与支付：当AI拥有自己的“钱包”和自主意志时。
第二章： 自主商业：当你的钱包拥有了大脑。
第三章： 自主商业：Llamas 上的实践。
第四章： 在智能代理AI时代重新思考安全问题。
第五章： 从情感到算法：为何代理式商务需要新的信任层。
第六章： 弥合代理式商业中的信任鸿沟。
第七章： 信任框架：为自主交易构建可验证的信任。
第九章： 仅靠KYA还不够：介绍FACT——面向代理商业的运行时信任层。
第十章： 那个在考试中作弊的代理
