Processo de Verificação KYA Passo a Passo

Como funciona uma verificação KYA moderna: da identificação do agente à monitorização contínua. Guia técnico para empresas.

As fases de uma verificação KYA moderna

Verificar a identidade de um agente de IA é diferente de verificar a de uma pessoa. Não há um cartão de cidadão para digitalizar nem um rosto para comparar. O KYA baseia-se em credenciais criptográficas, cadeias de delegação e análise comportamental.

Passo 1: Registo do agente

O agente apresenta-se à plataforma com as suas credenciais de identidade. Este registo pode ser iniciado pelo desenvolvedor ou pelo utilizador (mandante).

O que é verificado:

Identificador único: Um ID criptográfico (chaves públicas ou DIDs) que identifica o agente de forma inequívoca.
Metadados do agente: Nome, versão, modelo base, capacidades declaradas e propósito.
Assinatura do desenvolvedor: Certificado digital que garante que o agente não foi modificado.
Vinculação com o mandante: Credencial que prova que uma pessoa ou empresa verificada por KYC autorizou o agente.

Tecnologias envolvidas: PKI, DIDs (Decentralized Identifiers), Verifiable Credentials.

Passo 2: Verificação da cadeia de confiança

O sistema verifica a integridade de toda a cadeia:

Desenvolvedor → Agente: A assinatura digital é válida? O certificado está vigente?
Mandante → Agente: O token de delegação é autêntico? Foi emitido pelo mandante verificado?
Mandante → KYC: O mandante foi verificado por um processo KYC válido?

Se algum elo da cadeia falhar, o agente é rejeitado.

Passo 3: Verificação de permissões e âmbito

Âmbito de operações: Que ações pode realizar? (consultar, comprar, transferir, assinar, eliminar)
Limites quantitativos: Montante máximo por operação, número de operações por hora/dia.
Restrições geográficas: De que jurisdições pode operar?
Restrições temporais: Janela de atividade, expiração das permissões.

Tecnologias envolvidas: OAuth 2.0 com extensões para agentes, motores de políticas (OPA, Cedar), JWT com claims de âmbito.

Passo 4: Avaliação de risco inicial

Um perfil de risco é gerado com base em:

Reputação do desenvolvedor: Fornecedor conhecido? Incidentes anteriores?
Historial do agente: Agente novo ou com historial de operações bem-sucedidas?
Perfil do mandante: Historial limpo? PEP?
Contexto do pedido: A operação é coerente com o âmbito declarado?

Nível de risco	Resultado
Baixo	Acesso imediato com monitorização padrão
Médio	Acesso com limites reduzidos e monitorização reforçada
Alto	Acesso negado ou verificação adicional necessária

Passo 5: Emissão de token de sessão

Se o agente superar todas as verificações, recebe um token de sessão:

Token assinado: Contém a identidade, âmbito, limites e data de expiração.
Tempo de vida limitado: Os tokens expiram (15 minutos a 24 horas) e devem ser renovados.
Revogável: A plataforma pode invalidar o token a qualquer momento.

Passo 6: Monitorização contínua

Análise comportamental

Padrões de utilização: O agente opera dentro do seu padrão habitual?
Coerência com o âmbito: As operações solicitadas estão dentro das suas permissões?
Anomalias temporais: Opera em horários incomuns para o seu mandante?

Rate limiting inteligente

Limites contextuais por tipo de operação, montante acumulado e velocidade de escalada.

Deteção de comprometimento

Monitorização de mudanças bruscas de comportamento, pedidos fora do âmbito, tentativas de escalada de privilégios e operações de localizações incomuns.

Passo 7: Revogação e resposta a incidentes

Revogação do token: O agente perde acesso imediato.
Notificação ao mandante: Alerta com detalhes do incidente.
Bloqueio temporário: Quarentena até confirmação do mandante.
Geração do expediente: Documentação de todas as ações para investigação.

Passo 8: Geração do expediente de compliance

Cada verificação gera um expediente digital incluindo: identidade verificada, resultado da cadeia de confiança, âmbito autorizado, log de operações, alertas e timestamps. Armazenado cifrado para auditorias regulamentares.

Tempos reais de verificação

Fase	Tempo
Registo e apresentação de credenciais	50-100 ms
Verificação da cadeia de confiança	100-200 ms
Verificação de âmbito e permissões	10-50 ms
Avaliação de risco	50-100 ms
Emissão de token	10-20 ms
Total verificação inicial	200-500 ms
Verificação por pedido (com token)	1-5 ms

Integração na sua plataforma

SDK de verificação: Bibliotecas para Python, Node.js, Java, Go.
Plugin API Gateway: Plugins para Kong, Envoy ou AWS API Gateway.
Middleware: Componentes que se inserem no seu stack existente.
Webhook de eventos: Notificações em tempo real.

Perguntas frequentes

Cada agente precisa de verificação em cada pedido?

Não. A verificação completa faz-se uma vez. Depois, o token de sessão é validado em milissegundos.

Como se diferencia um agente legítimo de um bot malicioso?

Pela cadeia de confiança. Um agente legítimo apresenta credenciais assinadas por um desenvolvedor reconhecido e um token de delegação de um mandante verificado.

O KYA funciona com agentes de qualquer fornecedor?

Sim, desde que o agente suporte os standards abertos de identidade (DIDs, Verifiable Credentials, OAuth 2.0).

Quer ver o processo KYA em ação? Solicite uma demo na Joinble e veja como a identidade de um agente de IA é verificada em menos de 500 milissegundos.