Tekoälyagenttisi tarvitsee nyt henkilötodistuksen

Agentin henkilöllisyys syntyy silmän skannauksesta

Kuvittele, että lähetät tekoälyagentin varaamaan ravintolaillan puolestasi. Agentti selaa tarjontaa, vertailee hintoja ja tekee varauksen. Mistä ravintola tietää, ettei kyseessä ole botti, joka hamstraa pöytiä jälleenmyyntiin?

Sam Altmanin perustama World, aiemmin Worldcoin, julkaisi vastauksen viime viikolla. Yhtiön uusi AgentKit-työkalu antaa tekoälyagenteille kryptografisen todisteen siitä, että niiden takana on todellinen ihminen. Työkalu kytkeytyy Coinbasen ja Cloudflaren kehittämään x402-maksuprotokollaan, joka mahdollistaa mikromaksut vakaavaluutoilla suoraan verkossa.

Kyse ei ole pelkästä teknisestä kuriositeettista. Kun tekoälyagentit alkavat hoitaa yhä suuremman osan verkkokaupoista, ravintoloiden pöytävarauksista ja lentolippujen ostamisesta, bottiliikenteen erottaminen oikeista asiakkaista muuttuu kriittiseksi. AgentKit yrittää ratkaista tämän ongelman henkilöllisyyden tasolla.

Nollatietotodiste kertoo kuka, paljastamatta ketä

AgentKitin toimintaperiaate on suoraviivainen, vaikka tekniikka sen alla onkin monimutkaista. Käyttäjä todentaa henkilöllisyytensä World ID:llä, joka perustuu Orb-laitteen tekemään iiristunnistukseen. Laite skannaa silmän iiriksen ja muuntaa sen salatuksi numerosarjaksi, joka tallennetaan käyttäjän omalle laitteelle. Tämän jälkeen käyttäjä voi valtuuttaa yhden tai useamman tekoälyagentin toimimaan puolestaan.

Kun agentti asioi verkkopalvelussa, se esittää kryptografisen todisteen, niin sanotun nollatietotodisteen. Todiste kertoo palvelulle vain yhden asian: tämän agentin takana on uniikki, todellinen ihminen. Se ei paljasta kuka ihminen on, vaan ainoastaan sen, ettei kyseessä ole botti tai toinen tili samalta henkilöltä.

Yksi ihminen voi valtuuttaa useita agentteja, mutta palvelut voivat tunnistaa, että ne kaikki palautuvat samaan henkilöön. Tämä estää niin sanotut Sybil-hyökkäykset, joissa yksi toimija esiintyy tuhansina eri käyttäjinä. World:n mukaan järjestelmässä on lähes 18 miljoonaa todennettua käyttäjää yli 160 maassa.

Maksaminen ilman lompakon avaamista

AgentKit ei ole pelkkä henkilöllisyystyökalu. Se kytkeytyy Coinbasen ja Cloudflaren kehittämään x402-protokollaan, joka hyödyntää HTTP-standardin vanhaa mutta harvoin käytettyä tilakoodia 402 – 'Payment Required'. Protokolla tekee tästä uinuvasta standardista käytännön työkalun agenttien väliseen kaupankäyntiin.

Käytännössä se toimii näin: agentti pyytää pääsyä verkkopalveluun, palvelu vastaa 402-tilakoodilla ja ilmoittaa hinnan, ja agentti maksaa vakaavaluutalla. Koko prosessi kestää noin kaksi sekuntia. Lohkoketjutekniikka pyörii taustalla, mutta käyttäjän ei tarvitse ymmärtää kryptovaluutoista mitään – maksu hoituu automaattisesti agentin kautta.

Suomalaisille yrityksille yhdistelmä avaa kiinnostavan näkymän. Verkkokauppa voisi palvella asiakkaan agenttia, joka vertailee hintoja ja tekee tilauksen automaattisesti, kunhan kauppa voi todentaa, ettei ostaja ole botti. Ravintola voisi vastaanottaa agentin tekemän pöytävarauksen ja luottaa siihen, että takana on oikea asiakas eikä pöytiä hamstraava botti.

Kuka maksaa, kun agentti tilaa väärän lennon?

Teknologia on olemassa, mutta oikeudellinen kehys ei ole pysynyt perässä. Oxfordin yliopiston oikeustieteellinen tiedekunta julkaisi helmikuussa analyysin otsakkeella 'Kun tekoäly ostaa väärän asian' ja päätyi toteamaan, ettei nykyinen maksulainsäädäntö vastaa agenttitalouden tarpeita. Kuka antoi suostumuksen – ihminen vai kone? Entä jos agentti tulkitsi ohjeensa väärin?

Toistaiseksi vastuun kantaa pääsääntöisesti agentin käyttöönottaja. EU:n tekoälylain korkean riskin järjestelmiä koskevat säännökset astuvat voimaan elokuussa 2026, ja ne asettavat velvoitteita nimenomaan tekoälyjärjestelmien käyttöönottajille. Suomalaiselle yritykselle tämä tarkoittaa, että jos yritys ottaa käyttöön ostoagentin ja se tekee virheen, yritys on ensisijaisesti vastuussa.

AgentKit ratkaisee henkilöllisyysongelman, mutta vastuukysymys jää auki. Kryptografinen todiste siitä, että agentin takana on ihminen, ei vielä kerro kuka vastaa agentin tekemistä virheistä – käyttäjä, agenttialustan kehittäjä vai palvelu, joka hyväksyi tilauksen. EU:n uudistettu tuotevastuudirektiivi laajentaa ankaran vastuun koskemaan myös ohjelmistoja ja tekoälyjärjestelmiä, mutta sen soveltaminen agenttitalouteen on vielä tulkinnanvaraista.

Henkilöllisyyden todentaminen on vasta ensimmäinen askel kohti toimivaa agenttitaloutta. Seuraava haaste on rakentaa järjestelmät, jotka määrittelevät mitä agentti saa tehdä – eivät pelkästään kuka sen omistaa. AgentKit näyttää suunnan, mutta agenttitalouden pelisäännöt ovat vielä kirjoittamatta. Ja niiden kirjoittamiseen tarvitaan enemmän kuin yksi yhtiö Piilaaksosta.