Wakala wa akili bandia (AI) alitumia pesa hizo na hakuna anayeweza kusema ni nani aliyeruhusu. Jua Wakala wako ndiye jinsi unavyojibu.

Fikiria muundo, si kesi iliyotajwa. Mteja uliyemthibitisha mwaka jana anaunganisha msaidizi wa AI kwenye akaunti yake. Wiki tatu baadaye msaidizi hununua kitu cha gharama kubwa, au kufungua akaunti ya pili, au kumlipa mpokeaji mpya. Kila udhibiti unapita: kuingia, tokeni na kadi zote zilikuwa halali.

Kisha mteja anasema: Sijawahi kuomba hilo.

Unaenda kwenye kumbukumbu ili kujua ni nani aliyeidhinisha, na kumbukumbu zinasema mteja ndiye aliyeidhinisha. Wakala alikuwa akifanya kama wao. Hakuna rekodi ya kile mteja alichokiambia, kikomo alichoweka, au ni programu gani iliyobonyeza kitufe. Hakuna kilichoshindwa, na bado huwezi kujibu.

Pengo hilo sasa lina jina. Watu huliita Mjue Wakala Wako, au KYA .

Kwa nini KYC na KYB usijibu

KYC anajibu swali moja: je, huyu ndiye mtu wanayesema wao ni nani? KYB hujibu swali lile lile kuhusu kampuni. Wote wawili hudhani kwamba mhusika uliyemthibitisha ndiye anayechukua hatua.

Wakala anavunja dhana hiyo. Inaacha maswali manne wazi.

1. Ni wakala gani anayefanya kazi? Sio mteja gani. Ni programu gani, inayoendeshwa na kampuni gani, kwenye jukwaa gani.

2. Ni wakala wa nani? Ni mtu au biashara gani iliyothibitishwa inayounga mkono hilo.

3. Kwa ruhusa gani? Kile ilichoambiwa inaweza kufanya: kiasi gani, na nani, hadi lini.

4. Nani anajibu? Wakati ununuzi umekosea, ni nani anayebeba hasara, na ni ushahidi gani unaosuluhisha hoja.

Hatukubuni neno hilo. Trulioo na PayOS walielezea mfumo wa Mjue Wakala Wako na Worldpay mnamo Agosti 2025. (hufunguka kwenye kichupo kipya) Karatasi ya Wakfu wa OpenID kuhusu utambulisho wa wakala inaelezea itifaki ya KYAPay kama inayoendelea. KYC na KYB uthibitisho "kwa wakala mwenyewe" (hufunguka kwenye kichupo kipya) . Experian ilichapisha ufafanuzi wake (hufunguka kwenye kichupo kipya) mnamo Juni 2026. Kufikia Oktoba 2026 hakuna kiwango kimoja kilichokubaliwa nyuma ya kifungu hicho. Ni mwelekeo, si maelezo.

Kile ambacho tasnia imejenga hasa

Ofa kubwa imesafirishwa tangu mwanzoni mwa 2025. Kila kipande kinathibitisha kitu halisi na huacha kitu wazi.

• Mastercard Agent Pay (29 Aprili 2025). Inatambulisha Agenti Tokeni na kusema programu hiyo itahitaji mawakala wanaoaminika wa akili bandia kusajiliwa na kuthibitishwa (hufunguka kwenye kichupo kipya) kabla ya kuwalipa watumiaji wao. Inathibitisha kuwa wakala huyo anajulikana na mtandao, na inawaahidi watumiaji udhibiti wa kile ambacho wakala anaweza kununua. Tangazo halielezi fomu ambayo ruhusa inachukua, au ni nani anayeweza kukagua baadaye.

• Mawakala waliosainiwa na Cloudflare na Uidhinishaji wa Web Bot (28 Agosti 2025). Jukwaa la wakala linasaini HTTP maombi (hufunguka kwenye kichupo kipya) ili tovuti iweze kuthibitisha ni wakala gani anayepiga simu. IETF Kikundi kazi kinachosawazisha hili sasa kiko wazi kuhusu ukingo wake: "uthibitishaji wa mtumiaji wa mwisho ni nje ya uwezo" (hufunguka kwenye kichupo kipya) . Kinajibu swali la kwanza na kimakusudi huishia hapo.

• Itifaki ya Malipo ya Wakala wa Google, AP2 (16 Septemba 2025). Jaribio la moja kwa moja katika swali la tatu na la nne. Mtumiaji anasaini Mamlaka, ambayo Google inaielezea kama "uthibitisho unaoweza kuthibitishwa wa maagizo ya mtumiaji" (hufunguka kwenye kichupo kipya) : Mamlaka ya Kusudi yenye mipaka ya kazi zilizokabidhiwa, na Mamlaka ya Kikapu kwa bidhaa na bei halisi. Ni ushahidi wa ruhusa. Tangazo halisemi ni nani anayethibitisha utambulisho wa mtumiaji anayesaini.

• Itifaki ya Biashara ya Wakala ya OpenAI na Stripe (29 Septemba 2025). Stripe hutoa Tokeni ya Malipo ya Pamoja ambayo "imepangwa kwa jumla ya mfanyabiashara na mkokoteni maalum" (hufunguka kwenye kichupo kipya) . Ruhusa ni finyu na ni vigumu kuitumia vibaya. Inashughulikia ununuzi mmoja ambao mnunuzi amethibitisha, si ujumbe wa kudumu.

• Itifaki ya Wakala Anayeaminika wa Visa (14 Oktoba 2025). Imejengwa kwa Cloudflare, inaruhusu mawakala walioidhinishwa kupitisha nia ya wakala, utambuzi wa watumiaji na taarifa za malipo (hufunguka kwenye kichupo kipya) kwa mfanyabiashara. Hiyo humsaidia mfanyabiashara kumwambia wakala halisi wa ununuzi kutoka kwa roboti, na kuona kama mnunuzi tayari anajulikana. Kile ambacho mnunuzi alimwambia wakala si mojawapo ya vitu vitatu.

• x402. Kiwango cha malipo cha HTTP ambaye tovuti yake mwenyewe inaahidi "Hakuna akaunti au taarifa binafsi zinazohitajika" (hufunguka kwenye kichupo kipya) . Hiyo ni chaguo tofauti la muundo: malipo bila utambulisho wowote. Ni vigumu kupatanisha na wajibu wowote wa kumjua mteja wako.

Chini yake, jumuiya ya utambulisho inafanya kazi polepole zaidi.

• Karatasi nyeupe ya Wakfu wa OpenID (hufunguka kwenye kichupo kipya) ( 7 Oktoba 2025) inasema viwango vya leo tayari vinalinda matumizi mengi ya mawakala, kisha vinaorodhesha yale ambayo havifanyi. Mstari wake mkali zaidi: "Uigaji wa mtumiaji na mawakala unapaswa kubadilishwa na mamlaka iliyokabidhiwa." (hufunguka kwenye kichupo kipya) Pia inaonya kwamba watumiaji watakabiliwa na maelfu ya maombi ya idhini na kuanza kuidhinisha kwa njia ya reflex, kwamba mawakala ambao hufanya kazi kwa mkono na mawakala wengine huunda minyororo ambayo hakuna mtu aliyeiona, na kwamba mawakala wanaoendesha kivinjari hupita. API udhibiti kabisa.

• Mtu binafsi IETF rasimu ya (hufunguka kwenye kichupo kipya) vigezo vya OAuth vilivyopendekezwa vinavyomtaja wakala katika ombi la idhini na katika tokeni. Muda wake umekwisha: wazo lililorekodiwa, si la kawaida.

• Vipimo vya idhini ya Itifaki ya Muktadha wa Mfano (hufunguka kwenye kichupo kipya) (marekebisho ya Juni 2025 tuliyosoma) yanajengwa kwenye OAuth 2.1 na hufanya tokeni kuwa halali kwa seva moja pekee. Pia inasema idhini ni ya hiari kwa utekelezaji.

Kwa pamoja: tasnia inaweza kuthibitisha zaidi ni wakala gani anayepiga simu, na inaanza kuthibitisha kile mtumiaji alichokiidhinisha. Hakuna mtu ambaye bado amewaunganisha na mdhamini aliyethibitishwa na jibu lililokubaliwa kuhusu uwajibikaji.

Kile ambacho wasimamizi wamesema: bado si mengi

Tulitafuta sheria na tukapata dhamira kubwa zaidi.

• Uingereza FCA ilisema katika Vipaumbele vyake vya Udhibiti wa Malipo (hufunguka kwenye kichupo kipya) vya Machi 2026 kwamba kazi yake na Hazina "itajumuisha kuzingatia kama mabadiliko au uundaji wa kanuni unahitajika ili kusaidia malipo ya AI ya kikali" . Kuzingatia, sio kuamua.

• Nchini Singapore, kundi la viwanda linalofanya kazi chini ya MAS mpango huo ulichapisha Ulinzi wa Fedha za Wakala katika Runtime (hufunguka kwenye kichupo kipya) mnamo tarehe 3 Julai 2026. Unapendekeza kuangalia kila hatua ya wakala kabla ya kutekeleza, kuanzia na hatua ya Utambulisho wa Wakala na kuishia na kumbukumbu ya ukaguzi ya nyongeza pekee. Karatasi yenyewe inasema (hufunguka kwenye kichupo kipya) "haijumuishi mwongozo wa udhibiti au matarajio ya usimamizi".

• Ya FSB ilishauriwa mnamo Juni 2026 kuhusu mbinu bora za utumiaji wa akili bandia kwa uwajibikaji, na inasema "hazikusudiwi kuanzisha kiwango cha kimataifa" (hufunguka kwenye kichupo kipya) .

Tumetaja Uingereza, Singapore na shirika moja la kimataifa. Hatujataja mdhibiti wako, na hatukuweza kufungua FATF karatasi ya 's kuhusu AI, kwa hivyo hatutaielezea. Katika hati tulizosoma, kufikia Oktoba 2026, hakuna sheria inayokuambia jinsi ya kuthibitisha wakala. Majukumu yaliyopo ya kumjua mteja wako na idhini ya ushahidi hayajatoweka wakati hilo linafanyiwa kazi.

Kinachobaki vile vile

Ondoa itifaki na jambo moja linathibitisha. Wakala hana pesa, hana hadhi ya kisheria na hana cha kupoteza. Kila wakala hufanya kazi kwa niaba ya mtu au biashara, na jambo hilo kuu ni yule unayemtumia, unayemchunguza, na unayemrudia wakati kuna tatizo.

Kwa hivyo msingi wa KYA ni kawaida KYC na KYB Kilicho kipya ndicho kinachoongoza:

• Inafungamana. Kiungo cha kudumu na kinachoweza kukaguliwa kati ya wakala huyu na mkuu huyo aliyethibitishwa.

• Wigo. Rekodi ya kile mdhamini alichoruhusu, sahihi vya kutosha kulinganisha na kile mwakilishi alichofanya.

• Uwepo. Njia ya kumrudisha mwanadamu wakati hatari zinapoongezeka, kwa sababu ruhusa ya kudumu haipaswi kufunika kila kitu.

• Rekodi. Ushahidi wa nani au nini kiliamua, uliowekwa wakati huo, ambao bado unasomeka wazi mwaka mmoja baadaye.

Nini cha kufanya sasa

Ukinunua au unamiliki hatari, amua hizi kabla ya wateja wako kuziamua kwa ajili yako.

• Je, utawaruhusu mawakala kuchukua hatua kwenye akaunti za wateja, na kwa hatua zipi?

• Je, unaweza kutofautisha kikao cha wakala na cha binadamu leo? Kama sivyo, hiyo ndiyo pengo la kwanza.

• Ni kiasi gani au hatua gani iliyo juu ambayo mwanadamu lazima athibitishe ana kwa ana?

• Mteja anapopinga hatua ya wakala, utakuwa na ushahidi gani, na ni nani anayebeba hasara chini ya masharti yako?

• Muulize kila mtoa huduma itifaki ya mawakala wake inathibitisha nini, na inakuachia nini.

Ukijenga. Hakuna kitu hapa kinachohitaji kiwango kipya ili kuwepo.

1. Thibitisha msimbo mkuu kwanza. Hakuna ufikiaji wa wakala kwa mteja au biashara ambayo haijathibitishwa.

2. Mpe wakala sifa zake mwenyewe. Usitumie nenosiri au kipindi cha mteja kamwe. Toa tokeni tofauti, inayoweza kubatilishwa ili vitendo vyake viweze kutofautishwa katika kumbukumbu zako mwenyewe.

3. Beba marejeleo ya mteja wako kwa kila hatua. Kila malipo, kuingia au mabadiliko ambayo wakala hufanya yanapaswa kumtaja mteja anayemwakilisha na kwamba yalitoka kwa wakala.

4. Alama kila kitendo, si kipindi pekee. Wakala mwenye tokeni halali bado anaweza kufanya kitu ambacho mteja hangefanya kamwe.

5. Inahitaji mtu apige hatua zaidi ya kiwango. Mpokeaji mpya, kiasi kikubwa, mabadiliko ya maelezo ya mawasiliano: muulize mtu huyo, si wakala.

6. Andika uamuzi utakapofanywa. Kilichoulizwa, kilichoruhusiwa, nani au nini kiliamua.

Cha kutazama. Kama AP2 mamlaka na tokeni za mawakala wa mitandao ya kadi hukutana, IETF Nyaraka za Uidhinishaji wa Boti ya Wavuti, kazi ya Hazina ya Uingereza kuhusu sheria za malipo, na matoleo ya mwisho ya MAS na FSB karatasi.

Kilichopo leo katika Toden

Kuwa wazi: Toden haina uthibitisho wa wakala au KYA bidhaa leo. Hatuthibitishi mawakala, hatutoi vitambulisho vya mawakala au kuthibitisha mamlaka. Tunachofanya leo kinashughulikia msingi na hatua.

• Thibitisha msimbo mkuu. Uthibitisho wa utambulisho kwa watu na uthibitishaji wa biashara kwa makampuni, kila moja ikihifadhiwa dhidi ya yako mwenyeweexternalUserId, kwa hivyo mteja uliyemthibitisha ni rekodi ile ile unayoichunguza na kufuatilia.

• Thibitisha tena kwamba mtu huyo yupo. Mtiririko wa kazi wa uthibitishaji wa uso unalingana na picha ya moja kwa moja dhidi ya uso ambao mteja alijiandikisha. Hatua ya juu hutuma changamoto iliyoandaliwa na unaendelea tu wakati imepita. Tulizungumzia hilo katika kuchukua na kuongeza akaunti .

• Amua kila hatua. Tuma muamala au shughuli kama vile kuingia, mnufaika mpya au malipo, na upate ruhusa, mapitio au zuia ombi. Tazama matukio ya kutuma kwa alama za muda halisi .

• Weka rekodi ya ni nani aliyeamua. Kila mabadiliko ya hali kwenye uthibitishaji huhifadhiwa pamoja na chanzo chake: mkaguzi, sehemu yako ya nyuma API ufunguo au mtiririko wa kazi. Maamuzi ya awali huhifadhiwa kwenye kumbukumbu. Grafu za maamuzi zilizoelezwa zinaonyesha jinsi sheria zinavyorekodiwa.

• Hati zilizojengwa kwa ajili ya mawakala wa usimbaji. Kila ukurasa kama Markdown,llms.txtfaharasa, mikataba ya OpenAPI, ombi la ujumuishaji na nyaraka MCP seva (hufunguka kwenye kichupo kipya) . Seva hiyo hutafuta hati na kuendesha hapana API Simu zinazofanya kazi na akaunti yako zimepangwa na hazipatikani bado.

Mipaka ni muhimu. Toden Haiwezi kukuambia kitendo kilichotoka kwa wakala isipokuwa utume ukweli huo. Ujuzi wa Kifaa huripoti viigaji, uadilifu wa programu ulioshindwa na mitandao ya upangishaji, ambayo inaweza kudokeza otomatiki, lakini hakuna hata moja kati ya hayo inayomtambua wakala. Hatua iliyopitishwa inathibitisha ni nani aliyepo, si kile walichoelewa.

Tunachofikiri kinapaswa kujengwa

Sehemu hii ni mtazamo wetu. Sio tangazo la bidhaa, ramani ya barabara au ahadi.

Tunafikiri miundombinu ya uaminifu inahitaji nguzo ya nne kando na KYC , KYB na maamuzi ya hatari.

• Mkuu huthibitishwa kila wakati, na kiungo kinaweza kukaguliwa. Kitambulisho cha wakala ambacho hakiwezi kufuatiliwa kutoka kwa mtu au biashara iliyothibitishwa kinapaswa kuwa na thamani ndogo sana.

• Ruhusa ni data, si kisanduku cha kuteua. Kipengele kilichosainiwa chenye kiasi, mwenzake na tarehe ya mwisho wa matumizi, ambacho mhusika anayepokea ombi anaweza kusoma na kulinganisha na kitendo hicho.

• Uwepo hupimwa kulingana na hatari. Vitendo vya kawaida huendeshwa kwa ruhusa ya kusimama. Vitendo visivyo vya kawaida humrudisha mwanadamu, kwa uthibitisho halisi kwamba ni yeye.

• Rekodi imeandikwa kabla ya hatua, si kujengwa upya baada ya hapo. Ni wakala gani, kwa ajili ya nani, chini ya ruhusa gani, aliamua kwa nini.

• Utambulisho wa mawakala na utambulisho wa mteja vinakutana. Leo itifaki za mawakala na KYC rekodi moja kwa moja katika mifumo tofauti. Mhusika ambaye tayari ana mteja aliyethibitishwa ni mahali pa kawaida pa kujiunga naye.

Hakuna hata moja kati ya hayo linalofanya ununuzi usio sahihi usiwezekane. Linafanya swali lililo juu ya makala haya liwe la kujibiwa.

Huu si ushauri wa kisheria. Eneo hili linasonga mbele haraka, karatasi za udhibiti zilizotajwa hapa ni mashauriano au mapendekezo, na maelezo yanaweza kuwa yamebadilika tangu Oktoba 2026.

Unataka kuanza na sehemu iliyopo? Fungua Toden nafasi ya kazi (hufunguka kwenye kichupo kipya) au mwelekeze wakala wako wa usimbaji kwenye hati (hufunguka kwenye kichupo kipya) .