作者：UWAY Innovation 亞太合規主管。本文提供方案層面的營運指引，不構成法律意見。

「認識你的代理」（KYA）已由市場以兩套互相衝突的定義出售。ERC-8004、NIST 與歐盟《人工智能法案》都為機器建立身份；唯一明確要求記錄自然人的條文，記錄的卻只是核實結果的人。

市場已經開始出售「認識你的代理」（Know Your Agent，KYA）。Skyfire 提出的問題是：「哪一個代理、代表誰、此刻獲授權做甚麼？」這句話是目前這類產品最接近「真人」的一步，但它只存在於一家供應商的代幣設計之中。沒有監管機構把這個欄位界定為法律紀錄。

上一篇文章問的是，當代理發起的付款出錯時，責任由誰承擔。那已是下游問題。問責的起點，是一份能夠指名真人的檔案。現時幾乎所有在建方案，回答的都是另一個問題：機器是甚麼，以及它獲准做甚麼。

「認識你的代理」已經成為產品

市場上有兩個陣營在使用這個詞。企業與支付陣營（Skyfire、AsterPay、Sumsub、Trulioo）把它理解為代理身份，以及委託授權和交易層權限。加密資產陣營則把它理解為模型完整性的密碼學證明，通常使用 zkML 或 TEE 證明。兩個陣營都認為 KYA 重要，但定義互相衝突，也沒有任何監管機構支持其中一套。

AsterPay 自己的網站說：「KYA 尚未成為單一成文法律。」Skyfire 也說：「KYA 本身並非普遍監管要求。」供應商主動削弱自己的銷售說法，反而值得認真看待。這個名詞已被市場佔用，但兩個陣營都未解決它背後的問題。

標準回答的是另一個問題

三份看似代表進展的文件，細讀規格後卻指向另一個方向。

ERC-8004 於 2026 年 1 月在以太坊主網上線，設有身份、聲譽及驗證三個註冊表（當時只有首兩項運作）。它的身份是一枚由擁有人控制的 ERC-721 代幣。按項目自己的說法：「轉移代幣，也就轉移所有權。」標題中的「無需信任」（Trustless）採用的是技術含義：你不需要知道交易對手是誰。項目自行公布的測試網數據是三個月內 10,000 多個代理及 20,000 多項回饋（ERC-8004）。

NIST NCCoE 概念文件《加快採用軟件及人工智能代理身份與授權》涵蓋識別、授權、存取委託及記錄。文件建議調整使用 OAuth 2.0、OpenID Connect、SPIFFE/SPIRE 和零信任架構（NIST 概念文件）。這是企業存取控制的語言，用來為工作負載與服務命名。

真正出現轉折的是歐盟《人工智能法案》的記錄條文。第 12(3)(d) 條要求「識別參與核實結果的自然人，即第 14(5) 條所指的人員」（歐盟《人工智能法案》第 12 條）。條文唯一具名的自然人，是檢查輸出結果的人；委託代理行事的主體仍在紀錄之外。同一缺口也見於亞太地區的 AML 個人責任。

電子商務：代理成了貨架

OpenAI 的 Instant Checkout 於 2025 年 9 月與 Etsy 一同推出，並稱超過一百萬名 Shopify 商戶將會加入。到 2026 年 2 月，實際上線的商店約有 30 間；Shopify 向 Forrester 確認了這個數字。2026 年 3 月，OpenAI 撤回聊天內結帳，轉向產品探索。Walmart 向一家業界通訊披露的數據在 2026 年 3 月被報道：聊天內完成率約為跳轉至 walmart.com 的三分之一，但新客比例是搜尋渠道的兩倍。據 agentmarketcap.ai 報道，Amazon 於 2026 年初就一個購物機械人起訴 Perplexity，聯邦法官其後禁止該機械人在 Amazon 購物。

Adobe 於 2026 年 4 月的基準研究發現，66% 的美國零售產品頁面可供機器讀取。比較工作早已在爬取層發生；服務條款決定誰能進入購物車。代理背後的人並不參與這項決定。

旅遊：GDS 成了 AI 層

Sabre 於 2025 年 9 月開放其 MCP 伺服器。到 2026 年 9 月 21 日，Sabre 自己的統計顯示，接近 80 家旅遊企業已在 ChatGPT 與 Claude 內進行試點或正式營運，包括 Virgin Australia、Flight Centre 及 Internova。Travelport 於 2026 年 3 月重新定位為「支撐 AI 驅動旅遊商務的情報層」。Amadeus 對 756 家旅行社所做的 2026 年報告發現，43% 使用 GDS 的程度高於 2024 年。

2026 年 Skift Global Forum 以「當 AI 代理負責預訂，誰擁有旅客關係」揭幕。相關報道指出，業界沒有法律答案。庫存所有權已經確定，旅客關係卻仍未確定，也沒有任何紀錄指名預訂代理背後的人。

金融：牌照劃定邊界

香港《第 656 章》穩定幣制度自 2026 年 4 月起收到 36 宗申請，最終只發出兩個牌照；香港金管局並表示總數「仍會非常有限」。美國《GENIUS 法案》（Public Law 119-27）將於 2027 年 1 月 18 日，或聯邦最終實施規則生效後 120 日生效，以較早者為準；截至 2026 年 10 月，相關規則仍處於建議階段。2026 年 6 月 22 日的美國聯合 CIP 建議，明確把任何「並非直接從獲准支付穩定幣發行人取得穩定幣，或直接向該發行人贖回穩定幣」的人排除在「客戶」定義之外。

AP2 v0.2 以代理密鑰簽署封閉式授權；x402 則以「毋須帳戶或個人資料」作為起點。如果發行、贖回時序及資本要求都集中於同一持牌實體，代理可以觸及甚麼便受到該牌照邊界限制。每個亞太監管機構如何劃定這條界線才是團隊真正需要的地圖。

三個行業共有的結構

每一層目前都已有一套可運作的機器身份說法。在商務場景，代理佔據的是別人應用程式內的貨架位置；旅遊代理透過 GDS 取得預訂管道；支付代理則持有授權書上的密鑰。這裏有代幣，那裏有工作負載身份；付款依靠已簽署的授權運作。

沒有人真正交付的，是從機器連回具名自然人的責任鏈。歐盟記錄規則指向核實結果的人；服務條款指向簽署商戶協議的人；牌照則只指名持牌實體。商戶、收單機構與監管機構以各自的語言反覆提出同一問題，但仍沒有一份檔案能夠回答。系列的下一步，是從持牌資格走向可驗證證據。