客戶身份核驗（KYC）告訴你客戶是誰，企業身份核驗（KYB）告訴你公司是誰。代理識別（KYA，Know Your Agent）則回答一個更新、也更令人不安的問題：究竟是誰——或者說，是什麼——在做合規決策？隨著 AI 代理承擔 KYC 稽核、交易監控和可疑交易報告分類等職責，受監管機構需要建立一套框架，以與評估人類合規人員同等的嚴謹程度，審視這些 AI 智慧體的可信度。
為何代理識別（KYA）如此迫切
現代 AI 代理不僅僅是提供建議——它們會直接採取行動。一個交易監控 AI 代理每小時可能清除數千條低風險警報，將中風險案件路由給人工稽核，並將高風險案件上報，全程無需合規分析師介入任何一條記錄。這種速度正是其價值所在。但這也造成了一個結構性問責空缺：當監管機構在某筆可疑交易漏網後追問"是誰批准的"，"一個 AI 代理"並不是一個充分的答案。監管機構需要的是一個名字、一個版本號、一條決策軌跡，以及一位對此負責的具體人員。
雪上加霜的是，供應商市場的發展已超過治理能力。金融機構正在將第三方 AI 代理部署到實時合規工作流中——KYC 決策、反洗錢警報分類、客戶風險評分——卻對這些代理的訓練方式、遵循的指令，以及在邊緣情況下的行為缺乏足夠了解。一個處理受監管決策的黑箱代理，是合規層面的重大隱患。代理識別（KYA）框架正是用來填補這一治理缺口。
KYA 的四個核心組成部分
一、身份（Identity）
每一個在合規工作流中執行的 AI 代理，都必須擁有一個登記在冊的身份：底層使用的是哪個模型、當前生產環境部署的是哪個模型版本、哪套系統提示或指令集規範其行為，以及哪些訓練資料或微調過程塑造了其輸出。正如客戶身份核驗記錄客戶的出生日期和國籍，代理識別記錄的是 AI 代理的模型譜系。沒有這些資訊，當供應商更新後代理行為發生變化時，你將無從追溯原因。
二、許可權（Authority）
代理的許可權界定了其被允許執行的操作範圍。它能否自主清除警報，還是隻能提出建議？哪個風險評分閾值會觸發向人工的升級？它能否直接修改客戶風險評級，還是隻能標記供稽核？許可權應當經過正式界定、版本管理，並與人類員工授權矩陣保持同等週期的複審。哪怕是無意中授予代理超出預期範圍的許可權，也是一次控制失效。
三、可觀測性（Observability）
可觀測性是指事後能夠精確還原代理所見到的資訊，以及它做出某一決策的原因。這意味著需要結構化的決策日誌，記錄輸入特徵、模型輸出、置信度分數以及當時生效的策略版本。同時還意味著可回放性：能夠將歷史決策在更新後的模型上重新執行，以理解結果會有何變化。缺乏可觀測性，內部審計或監管檢查就會變成一場依賴殘缺記錄的事後重建——而這是任何合規團隊都不願面對的處境。
四、問責（Accountability）
合規工作流中的每一個 AI 代理，都必須有一位具名的人類責任人。該責任人負責批准代理的許可權範圍、按既定週期審查其表現，並在代理遇到超出其置信邊界的案件時充當升級物件。問責不能分散給一個團隊，也不能委託給供應商——控制文件上必須出現一位具體個人的名字。這並非官僚程序的堆砌，而是讓做出受監管決策的代理具備可辯護性的最低治理結構。
"我們發現最大的 AI 治理缺口不在於模型本身——而在於沒有人寫下這個代理能做什麼、不能做什麼，以及出了問題由誰來負責。"
——東南亞某二線銀行 AI 風險主管
如何評估供應商的 AI 代理
在將第三方 AI 代理部署至任何受監管工作流之前，合規與技術團隊應系統梳理以下問題。關於身份：供應商能否提供模型版本文件，並承諾在任何影響代理行為的更新前提前告知？關於許可權：代理的決策範圍是否在合同中有明確定義，且無需變更程式碼即可調整？關於可觀測性：代理能否生成機器可讀的決策日誌，供你方審計團隊獨立查詢？是否支援可回放？關於問責：供應商方面是否有具名負責人對代理行為承擔責任，若代理出現系統性錯誤，事件響應的服務承諾（SLA）是多少？
如果供應商無法清晰回答上述問題，這本身就是評估結論。一個事後無法被追溯審查的 AI 代理，不具備在合規關鍵職能中部署的資格。
對合規團隊的啟示
- 治理框架需要增設"AI 代理"類別。現有的大多數控制文件涵蓋人員、系統與流程三類。自主處理受監管決策的 AI 代理是第四類，需要在風險與控制自評估中得到明確處理。
- 供應商盡調必須延伸至代理設計層面。模型說明書審查、許可權範圍文件及可觀測性承諾，應與標準的安全審查和資料處理評估並列納入 AI 供應商准入流程。
- 人工監督不是可選項，而是架構要求。代理識別（KYA）並非反對在合規中使用 AI 代理，而是使其具備可辯護性的架構基礎。目標是在恰當的環節引入人工介入，不是在每個環節都介入。
WIDTH 的 AI 合規官正是圍繞 KYA 模型構建的：每一項代理操作均記錄決策溯源，許可權邊界可按機構需求配置且無需程式碼變更，每個代理例項在控制框架中均有具名責任人。對於正在評估 AI 供應商的合規團隊，上述 KYA 檢查清單是一個實用的起點——而 WIDTH 的設計正是為了透過這份清單。