Dlaczego agenci AI potrzebują nowego rodzaju zaufania
Kiedy kupujesz coś online, to człowiek klika „kup”. System płatności zakłada, że osoba podająca dane karty faktycznie autoryzowała transakcję. To założenie zaczyna się załamywać. Visa Intelligent Commerce, Mastercard Agent Pay, Google Agent Payments Protocol (AP2) oraz współpraca Stripe z ChatGPT już istnieją. Każde z tych rozwiązań pozwala agentowi AI dokończyć zakup bez potwierdzania każdego kroku przez człowieka.
Gdy decyzję podejmuje agent, a nie człowiek, zwykły ślad dokumentacyjny zanika. Trzy pytania pozostają bez odpowiedzi.
Pytanie | Co to oznacza |
|---|---|
Kto wysłał agenta | Czy agent naprawdę reprezentuje firmę, za którą się podaje, czy został sfałszowany |
Co agentowi wolno robić | Czy agent może wydać 50 euro czy 50 000, kupić artykuły biurowe czy zamówić nowy serwer |
Jak długo trwa to uprawnienie | Czy autoryzacja obowiązuje na jeden zakup, czy pozostaje aktywna bez ograniczeń czasowych, co stanowi ryzyko bezpieczeństwa, jeśli agent zostanie przejęty |
Bez odpowiedzi na te pytania sieć płatnicza widzi jedynie, że płatność nadeszła. Nie ma sposobu na potwierdzenie, że agent był faktycznie upoważniony do jej wysłania.
Co już istnieje, a co wciąż jest propozycją
GLEIF (Global Legal Entity Identifier Foundation) opublikowało dokument dyskusyjny (PDF) 13 sierpnia 2026 roku. Tytuł to „Agentic AI in Payments: Establishing Interoperable Trust and Control”. Ważny jest jeden szczegół: to dokument dyskusyjny, a nie ukończony standard. GLEIF samo wymienia kilka otwartych kwestii. Należą do nich to, kto powinien wydawać mandat agenta, oraz kto powinien zarządzać limitami, takimi jak górne granice wydatków, gdy zostaną wprowadzone.
Główną ideą dokumentu jest Agent Mandate Credential (AMC). Jest to kryptograficzny dowód łączący agenta z danymi weryfikowalnego LEI (vLEI) jego organizacji. Określa on również zakres i termin wygaśnięcia uprawnień agenta. GLEIF jasno zaznacza, że celem nie jest stworzenie całkowicie nowego systemu identyfikacji dla agentów. Plan polega na ponownym wykorzystaniu tożsamości organizacyjnej, którą firmy już posiadają.
Dokument wymienia cztery protokoły płatności, z którymi ten model zaufania ma współpracować. Są to Visa Intelligent Commerce, Mastercard Agent Pay, Google AP2 oraz integracja Stripe i ChatGPT Instant Checkout.
Dlaczego zwykły kod LEI wciąż jest niezbędnym fundamentem
Model AMC opiera się całkowicie na danych LEI organizacji. Wpis LEI firmy może wygasnąć, zawierać nieaktualny adres lub utracić status aktywny. Gdy to się dzieje, każda warstwa autoryzacji zbudowana na nim stoi na słabym fundamencie. Jako Registration Agent (RA) widzimy ten wzorzec codziennie. Firmy zapominają odnowić kod LEI na czas albo pozostawiają swój wpis bez zmian po zmianie właściciela. Dziś jest to głównie kwestia zgodności z przepisami. Modele autoryzacji agentów wkrótce będą opierać się na tych samych danych LEI. Gdy to się stanie, dokładność tego wpisu stanie się częścią samego łańcucha zaufania. To nie będzie już tylko formalność, którą regulatorzy proszą firmy odhaczyć.
Wydanie certyfikatu vLEI zależy od infrastruktury wymaganej przez GLEIF, zwanej Key Event Receipt Infrastructure (KERI). KERI zapewnia każdej autoryzacji i rotacji kluczy odporną na manipulacje, możliwą do zweryfikowania historię. Budowa i utrzymanie infrastruktury KERI jest kosztowna i technicznie wymagająca. To właśnie ona sprawia, że model zaufania vLEI w ogóle funkcjonuje. Dla nas oznacza to przyłączenie się do tej ścieżki, gdy ekosystem vLEI i zapotrzebowanie na niego dojrzeją, a nie wcześniej. Obecnie nasz wkład pozostaje prosty: utrzymywanie Twojego istniejącego wpisu LEI dokładnym i aktywnym. Ten wpis jest fundamentem, na którym w przyszłości zostanie zbudowane wszystko inne, w tym vLEI.
Jeśli dane LEI Twojej firmy lub status rejestracji wymagają sprawdzenia, zajmij się tym już teraz. Warto to zrobić, zanim takie rozwiązania zaczną być szerzej stosowane. Ta sama logika dotyczyła już Agent Name Service dla agentów AI, powiązanego standardu, który opisaliśmy wcześniej.
Co to oznacza dla Twojej firmy już teraz
Na razie nic z tego nie jest obowiązkowe. Żaden regulator ani sieć płatnicza nie uczyniły modelu AMC wymogiem. Samo GLEIF stwierdza, że architektura wciąż jest otwarta. Kod LEI, który pozostaje dokładny i aktualny, to niedroga polisa na przyszłość. Dotyczy to niezależnie od tego, czy właśnie ten model okaże się tym, który zwycięży.
Jeśli Twoja firma nie ma jeszcze kodu LEI, możemy pomóc Ci go zarejestrować. Jeśli już go masz, możemy go sprawdzić i odnowić, zanim wygaśnie.
Najczęściej zadawane pytania
Czy moja firma potrzebuje kodu LEI dla agentów AI już teraz? Nie. To wciąż nie jest obowiązkowe. Standardowy kod LEI to po prostu fundament, na którym najprawdopodobniej będą opierać się przyszłe modele autoryzacji agentów.
Czy LEI System będzie wydawać vLEI? Planujemy przyłączyć się do tej ścieżki, gdy ekosystem vLEI i zapotrzebowanie na niego dojrzeją. Wymagana infrastruktura KERI jest kosztowna i technicznie wymagająca. Obecnie śledzimy jej rozwój, a nie samodzielnie wydajemy certyfikaty vLEI.
Czy Agent Mandate Credential jest już stosowany? Nie. To propozycja z dokumentu dyskusyjnego GLEIF opublikowanego w sierpniu 2026 roku, a nie ukończony standard czy wymóg.