KYA破局：智能体替人交易，责任如何追溯？

AI帮你下单、办事，如果它闯祸了该找谁？

当AI跳出对话框，开始自主调用工具、预订服务、下单支付、代用户完成复杂决策，智能体（Agent）正在从AI概念走向真实商业世界。但随之而来的风险也浮出水面：平台如何识别这个软件主体是谁？它代表谁的意志执行操作？是否拿到用户真实授权？一旦误操作造成损失，责任又该如何划分？

围绕这一系列行业拷问，KYA（Know Your Agent，了解你的智能体），成为AI产业治理的新命题。在近日蚂蚁集团KYA媒体沟通会、外滩大会系列采访中，来自信通院、蚂蚁集团的行业专家，从风险现实、技术探索、产业痛点、生态共建等多个维度，勾勒出智能体时代信任基础设施的建设路径。

失控的Agent：

一场真实事故折射产业底层漏洞

今年2月，Meta高管使用OpenClaw智能体连接个人邮箱，明确要求所有邮件删除、归档操作必须经过确认。但在长任务执行过程中，模型上下文发生压缩，用户设置的约束条件意外丢失，Agent直接批量删除邮件。即便用户多次下达停止指令也无效，最终只能手动关闭电脑才能终止风险操作。

在中国信通院泰尔终端实验室信息安全部副主任傅山看来，这件事表面是模型上下文约束丢失，本质暴露的是Agent缺少独立身份的根本性问题：“Agent在处理邮件的过程中其实是不确认目前的操作到底是用户本人的操作还是Agent的代理操作。同时也是因为缺少面向Agent独立对象的备份回滚和差异化风险的管控措施，导致了这样一个事件的发生。”

产业数据同样敲响警钟。据傅山披露，2025年应用嵌入AI Agent的比例不足5%，2026年该比例预计飙升至40%；安全威胁的演化速度远超防守方，针对Agent攻击最短攻克时间仅27秒，平均29分钟就可完成攻击，而人类安全团队处置响应仍然以小时为单位。大量Agentic AI项目预计会因为风控与安全保障投入不足被迫取消。

Agent正在从生成式AI，进化到具备自主决策、跨系统执行、调动资金的Agentic阶段，信任链条暴露出五大核心痛点：不清楚Agent是谁、不知道行为背后谁来负责、Agent没有清晰能力边界、运行过程缺少持续可信验证、敏感操作缺少完整审计链路。

“现有的很多解决方案还停留在头痛医头、脚痛医脚的阶段，没有形成长链条信任的底座和安全可靠的机制。”傅山指出。传统互联网时代面向自然人的KYC（了解你的客户），已经无法适配软件智能体这一类全新主体。KYC解决“识别人”，而KYA要解决“识别智能体”，它的核心是四个关键词：身份可识别、授权可验证、行为可监控、责任可追溯，覆盖事前、事中、事后全链条治理。

国家层面已经开始布局顶层指引。今年5月，国家网信办、国家发展改革委、工业和信息化部联合印发《智能体规范应用与创新发展实施意见》，明确提出要提供智能体数字身份管理，研究智能体身份标识、可信互联、合规支付、安全防护相关技术。放眼全球，美国NIST发布AI智能体标准倡议、新加坡IMDA出台智能体全生命周期策略，全球治理的重心已经从“模型是否安全”，转向“智能体身份、行为、责任归属”的命题。

从KYC到KYA：

给软件智能体办一张“数字身份证”

KYC是给自然人核验身份，而KYA面对的是一段可以被复制、迭代、随时更新技能与记忆的代码。

蚂蚁集团AI付安全负责人陈树鹏提出一个形象类比：“Agent可以类比为一类新兴人口。人出生由公安发放身份证；Agent由工程师部署生成，它可以被克隆移植，会不断安装技能、积累记忆，持续发生变化。”

但和人类不同，Agent没有天然法律主体身份，当它参与交易，必须绑定背后真实的责任方。陈树鹏表示，KYA不能只生成一串ID，需要同时回答四个关键问题：Agent部署运行在哪里、背后绑定的责任主体是谁、被授予了什么样的工作权限、它实际的历史行为表现如何。

“就算底层模型更换、技能持续升级，Agent的身份标识本身应当保持不变。就像人学习新的知识，但是个体本身不会改变，它的办事能力会变化，但是它还是它。”陈树鹏强调。

基于这套思路，蚂蚁集团已经完成KYA相关Demo数月线上运行，设计了中心化身份+DID去中心化身份两套映射，并且将映射关系存储于联盟链，实现跨企业、跨平台的身份互认。9月11日，蚂蚁集团在2026 Inclusion·外滩大会上发布面向智能体商业活动的信任基础设施APASS。基于KYA理念，APASS通过智能体可信身份产品和智能体风控服务，建立身份与行为两条信任链，提供身份注册、持续核验、意图安全和可信存证等能力。目前，APASS已接入超100万个智能体，覆盖442家智能体服务供给方；50余家机构参与生态共建。

区别于KYC，Agent是动态运行的软件，授权也会随任务发生变化，静态认证不再够用。傅山提到，APP时代是静态可信，只需要校验安装与初始状态；但Agent是动态运行的软件，授权也会随任务发生变化。在既有身份验证与风控基础上，智能体还需要增加对运行环境、任务意图和授权变化的持续校验。

尤其在AI支付场景中，用户不再亲手点击下单，而是用自然语言下达指令：“帮我买下午出发、800元以内去往北京的火车票”，Agent自主完成查询、比价、下单、支付全流程。这个链路新增了一层软件代理节点，平台需要确认“来发起交易的Agent是谁、获得了用户哪些授权”。

这里就引出KYA体系下另一大核心难题：意图安全防护。传统支付指令是结构化参数，金额、对象清晰固定；Agent接收的却是模糊的自然语言，任务拆解过程中会生成多条子任务，极易发生意图偏离。

陈树鹏拆解了全链路风险节点：用户下发Prompt指令存在被篡改风险；Agent理解用户意图会产生幻觉；调用外部Skills、访问网页时遭遇间接提示词注入、第三方组件投毒；最后交易结果与原始用户诉求发生偏离。其中，不安全第三方技能组件、外部网页带来的间接提示词注入，是行业公认最难防御的两类风险。

针对意图防护，蚂蚁集团构建三层防护：理解用户原始意图，抵御提示词注入、供应链污染；运行时持续校验，防止Agent执行中遗忘初始任务；最后资金风控兜底，对照授权范围、用户历史行为校验交易合理性。在此基础之上，产品设置L1/L2/L3三级授权分级：L1笔笔确认，每一笔支付都需要用户确认；L2小额场景自动执行；L3开放更完整任务自动化权限，把安全与体验的选择权交还用户。

“安全性是底线，在此之上才是用户的安全感。安全性是系统必须保障的，安全感来自用户对自动化程度的自主选择。”陈树鹏表示，依托这套全链路防护，支付宝提出“你敢支付我就敢赔”的承诺，相关保障主要针对符合保障条件的盗用资金损失；对于授权范围内的商品选择偏差、商户履约等问题，则需结合交易证据区分责任，具体以相关保障规则为准。支付宝此前披露，AI支付交易已达3亿笔。

端到端安全闭环：

终端-智能体-风控协同筑牢AI新经济底座

“能力决定AI能做什么，可信决定社会敢把什么交给AI。”蚂蚁大安全CTO陈亮一语点破产业现实，安全不是AI规模化落地之后的补课，而是规模化之前必须修好的基础课。

Agent时代安全已经不再是单一环节的防护，而是完整端到端链路：从手机、AI眼镜、耳机等泛终端入口，到Agent身份、权限、运行环境，再到交易风控、事后审计与责任追溯。移动互联网时代积累的风控能力大部分可以复用，但变量在于，用户和业务之间新增了智能体这一层代理，用户经常处于“不在场委托”状态，授权边界远比传统代扣协议宽泛。

为此蚂蚁集团形成三套能力协同体系：终端安全、智能体安全、业务风控安全。

终端层面，GPASS升级为“灵影”，GOS同步升级为“灵影AOS”，将可信执行、数据保护下沉到操作系统底层，保障Agent拥有安全可控运行环境，让安全成为系统原生能力，而不是上线之后的附加补丁。

跨企业、跨设备多Agent协作场景，推出ASL智能体安全可信互联协议。ASL不去替代A2A这类负责Agent发现交互的协议，而是补上可信连接层，聚焦身份可信、意图可信、数据可信，解决不同智能体业务往来时互相核验、授权传递的难题。该协议已经从标准倡议走向产品化落地，在1688电商采购、支付宝内部智能体协作场景验证运行。

风控侧则补充两大新能力：面向眼镜、手表等泛终端打造原生身份核验；交易前后持续比对用户原始意图、Agent理解内容、最终业务行为，还原多级委托链路，不止判断单笔交易金额风险，更校验“这笔操作是不是用户真正想要的”。

与此同时，在2026外滩大会上，《智能体身份鉴别与授权技术框架》《智能体运行时安全技术要求》两项产业团体标准也同步启动。前者规范智能体独立身份核发、绑定、授权管理；后者聚焦沙箱隔离、运行时护栏、意图动态管控，为企业部署智能体提供可落地参考框架。

行业共同的难题：

标准化、权责划分、中小企业普惠

Agent数量会远超人类，完全照搬户籍管理模式成本极高；如果办公、写稿、审稿全部交给 Agent，人只做签字背书，一旦出错责任如何界定？KYA全链路推进过程中最大难点是什么？

傅山表示，Agent尚处于产业元年，今天提前布局可信身份，就是为了规避未来生态大规模碎片化。智能体身份体系不是简单复刻人类户籍，而是面向软件主体设计的治理底座，目标不是限制Agent能力，而是把安全底线筑牢，释放Agent更高的能力上限。

陈树鹏总结KYA生态落地难点：一方面，产业对于“到底什么 Agent”认知尚未统一，不同厂商对Agent对象定义各不相同，需要联合监管、行业专家打磨统一标准化认知；另一方面，Agent自主行动链路复杂，A2A协作场景下意图偏移风险遍布整条链路，单家企业无法完成全部防护，必须生态协同。

傅山补充道，KYA生态落地难点也包括普通用户感知层面，发生事故后权责划分模糊，老百姓不知道出问题该找谁维权。

对于缺少专门安全团队的广大中小企业、个人开发者，蚂蚁集团提出普惠思路：降低安全能力接入门槛，把身份、意图安全能力封装，适配云上、端侧各类Agent形态，让中小开发者不需要自建全套安全体系。

攻防的天平也在发生变化。AI既可以被黑灰产用于加速漏洞挖掘、伪造攻击；同样防守方也可以用AI提升风险识别、自动化处置效率。“整个攻防是动态博弈，防守能力必须跟着风险同步升级。”陈亮表示。

展望：

智能体商业，信任先行

智能体商业的雏形已经显现：C端用户委托Agent抢低价商品、周期性采购生活用品；B端场景中，采购、办公、供应链调度的Agent协作正在落地。但整体产业仍然处于早期。

“智能体商业，是人授权、Agent执行的商业活动。真正走向规模化，需要能力、安全、商业模式和生态协作共同成熟。”陈亮说道。

KYA不是某一家企业的产品，它是一套全行业共建的治理机制，追求“Agent有身份、有授权、有边界、有记录”。它回答的终极命题，是人类究竟可以把多大范围的现实事务交给AI软件。算力与大模型赋予Agent行动的“手脚”，而以KYA为代表的信任基础设施，决定社会敢不敢真正把真实世界的任务托付给智能体。

傅山在分享的结尾呼吁：“KYA它不只是一个单点的验证，而是贯穿整个身份、授权、行为和责任的全链条的治理机制。我们希望借助平台，联合技术和产业界，一起共建安全、可信、开放、协同的Agent产业生态。”

采写：胡媛

编辑：胡媛

指导：辛文