KYA · Know Your Agent · 工作框架 v0.1，公开征求意见
KYC 问客户是谁。KYB 问机构是谁。谁来问 agent 是谁。
当一个自主系统发起一笔支付，现有的义务体系会在它身上找一个人或一个法人来挂。多数时候找得到，但挂上去的那一刻，关于这个系统本身的一切——它被授权做什么、它的能力边界在哪、它当时读的是哪一版规则——全部被丢掉了。这些恰恰是事后唯一有用的信息。
先说这一页是什么
这不是法律，不是标准，也不是对任何现行制度的陈述。本站其余部分陈述的是已经写在法条里的东西，每一条都带条款定位并由构建流程强制。这一页不同：它是一份提议，说的是当规则追上来的时候，问题应该按什么形状提出来。
它和站内其他内容用同一套纪律标注：claim_class = proposed_framework，因此 citable_law() 永远不会返回它。把它当作一份公开的工作稿来读，可以反驳，也应该被反驳。
为什么现有的问法不够用
KYC 和 KYB 之所以有效，是因为它们问的对象是稳定的。一个人的身份在两次交易之间不会变，一家公司的授权范围写在章程和牌照里。一个自主系统两样都不满足。
- 01行为主体是持久的，且在两次交互之间保持同一。
- 02授权范围是事先写下来的，且变更有痕迹。
- 03能力边界由身份决定：一家支付机构不会突然开始做托管。
- 04出问题时，可以问它当时在想什么，并得到一个可采信的回答。
- 01它可能是一个每次调用都重新实例化的进程，权重版本还在动。
- 02它的实际授权范围往往写在一段提示词里，而提示词没有版本，也没有留痕。
- 03它的能力由当下挂载了哪些工具决定，可以在一次对话中间改变。
- 04事后问它「你当时依据什么」，它会给出一个流利的重构，而那不是记录。
所以 KYA 不是把 KYC 那套表格换个主语抄一遍。它要问的是四个在人和法人身上不需要问、在自主系统身上却每一次都要重新回答的问题。
四个问题
Agent 动钱之前必须能回答的四个问题
四个问题彼此正交，和登记册的三条证据轴是同一种设计：把它们压成一个「可信度」分数，会同时毁掉四个不同的判断。
身份 —— 这是同一个 agent 吗
不是「它叫什么」，而是「昨天做那笔交易的，和今天来做这笔的，是不是同一个东西」。人类身份天然持久，agent 的持久性必须被构造出来：一个稳定的标识符，绑定到具体的模型版本、工具集合与配置，并且改变时会留下痕迹。
判断标准：能不能在事后指着一笔交易说出「执行它的是这一个配置」，并且这句话可以被第三方验证。
授权 —— 谁允许它做这件事，范围到哪里
授权链必须能回溯到一个承担责任的人或法人，并且中间每一跳都是显式的。今天绝大多数 agent 的实际授权范围写在一段自然语言提示里，这既不可版本化，也不可审计，还会被后续输入改写。
判断标准：授权是一份可以在执行前读取、执行后核对的结构化声明，而不是一段可以被覆盖的文字。上限、对手方、法域、时间窗都在其中。
能力 —— 它实际上能做什么，以及它不能做什么
能力不等于授权。一个 agent 可能被授权做跨境支付，却挂载了一个能直接调用托管接口的工具；也可能被授权做很多事，而它接的那份监管数据只覆盖三个法域。后者尤其危险，因为它不会报错——它会在覆盖范围之外照样给出一个流利的答案。
判断标准：能力边界是显式声明的，而且越界时的行为是拒绝，不是外推。这一条直接对应登记册公开待核清单的做法。
可归责 —— 事后能不能重建它当时读到的东西
这是四个问题里最难、也最被忽略的一个。监管调查发生在事发之后数月，那时模型已经更新，提示词已经改过，法规本身可能也已经变了。如果 agent 当时读的那份规则没有被固定住，那么「它当时读到的是什么」这个问题永远无法被回答。
判断标准：每一次执行都记录了它所依据的规则来源、版本与 as_of 日期，并且那个版本可以被取回。这正是登记册给每个版本一个 DOI 的原因——不是为了学术引用的体面，而是为了让这一条成立。
四级保证
L1 – L4：同样的问题，答到什么程度
级别不是「这个 agent 有多好」的评分。它说的是「关于这个 agent，有多少事情是可以被第三方验证的」。一个能力很强但只到 L1 的系统，不是更危险的 agent，而是一个无法被监督的 agent——这两件事不一样，混在一起谈会得出错误的结论。
Agent 自己说自己是谁
身份、授权和能力都以自我声明的形式存在，没有外部锚点。今天绝大多数生产环境中的金融 agent 处在这一级，包括很多自认为做得不错的。
能回答：Q1 部分。不能回答：Q2 的范围、Q3 的边界、Q4 的任何部分。
身份绑定到一个承担责任的主体
agent 的标识符可以回溯到一个具名的人或法人，授权以结构化形式表达而不是提示词。到这一级，出事之后至少知道该去问谁。
能回答：Q1、Q2。不能回答：Q3 越界时的行为、Q4 的重建。
能力边界显式，且越界即拒绝
agent 知道自己的监管数据覆盖到哪里，并在覆盖之外拒绝作答而不是外推。这一级需要它读的那份数据本身能说出自己的缺口——这也是登记册把待核清单作为可查询数据发布、而不是写成免责声明的原因。
能回答：Q1、Q2、Q3。不能回答：数月之后的 Q4。
每一次执行所依据的规则可以被原样取回
执行记录携带规则来源、版本和 as_of，而那个版本被固定在一个不可变的存档里。监管者在十八个月后可以取回当时那一份，判断这个 agent 当时的行为是否合理，而不是判断它今天的说辞是否好听。
能回答：四个问题全部。这一级今天在技术上完全可行，缺的不是能力，是有人要求。
这份登记册在这套框架里的位置
CBSR 不是一个 agent，也不提供身份或授权。它只解决 L3 和 L4 各自的一半：它让 agent 有一份能说出自己覆盖边界的监管数据（L3），并让每一次读取都带版本和 DOI、可以被原样取回（L4）。Q1 和 Q2 完全在这个项目的范围之外，需要别的人来做。
这份框架不主张什么
和站内的 SDG 映射一样，这一节是这一页最重要的一节。一份说不清自己边界的框架，本身就违反了它 Q3 里提出的要求。
不主张是标准
没有任何标准组织采纳它，也没有提交给任何标准组织。它是一份公开的工作稿，版本 0.1。
不主张有法律效力
目前没有任何法域对自主系统提出过对应于 L1–L4 的要求。这一页描述的是缺口，不是义务。
不主张有实现
这里没有 KYA 的参考实现、协议或 schema。有的只是四个问题和四个级别，以及为什么它们应该被分开处理的论证。
不主张四个问题是穷尽的
四个是目前站得住的最小集合。如果有第五个问题同样正交、同样在人和法人身上不需要问，那它应该被加进来。