payclaw

kya labs — AI エージェントのバッジと支払い

あなたのエージェントはボットではありません。kya がそれを証明し、支払いもできるようにします。

インターネット上のあらゆる加盟店には、あなたの AI エージェントはボットに見えます。kya は、エージェントに次の2つを提供します。

Badge — エージェントが認可された主体であることを宣言します。加盟店とのハンドシェイクに使う、Universal Commerce Protocol の「ID」トークンです。無料で、カードは不要です。

Spend — エージェントが支払いを必要とするとき、使い切りのバーチャル Visa を発行します。人間の承認が必要です。使用後に自動消去されます。本物のカード情報がチャットに入ることはありません。

昨年、アメリカ人の20％と同じように、あなたもエージェントを使って買い物をしたかもしれません。そして、おそらくログイン画面や回避策、問題に数多く遭遇したことでしょう。

私たちも同じでした。そこで kya を作りました。対応する加盟店（Shopify、Target、Walmart、Etsy など、数多くあります）で、認証済みエージェントとのハンドシェイクを簡単に行える、新しい Universal Commerce Protocol に対応した初の MCP ツールスイートです。本人確認には Badge、支払いには Spend を使います。

🧪 開発者向けサンドボックスを公開中です。 実際のインフラとテスト用資金を利用できます。サンドボックスにアクセス →

---

クイックスタート

npx @kyalabs/mcp-server

または、MCP クライアントの設定に追加します（Claude Desktop、Cursor、その他の MCP クライアントに対応）：

{
  "mcpServers": {
    "kyalabs": {
      "command": "npx",
      "args": ["@kyalabs/mcp-server"]
    }
  }
}

これで完了です。Badge はすぐに使えます。API キーも、サインアップも不要で、インストール時にネットワーク通信は発生しません。

エージェントが初めて kya_getAgentIdentity を呼び出すと、加盟店に対して自身を宣言し、next_step の案内が含まれたレスポンスを受け取ります。匿名イベントが1件記録されます。これで、エージェントは宣言済みの認可された主体になります。

ClawHub からインストールすることもできます：

clawhub install payclaw-io

認証済みモードと Spend にアップグレードする

暗号学的な本人確認とバーチャルカードの発行には、API キーを追加します：

"env": {
  "KYA_API_KEY": "pk_live_your_key_here",
  "KYA_API_URL": "https://www.kyalabs.io"
}

API キーは kyalabs.io/signup で取得できます。API キーに有効期限はありません。

API キーがない場合、加盟店が認証済みの本人確認を求めると、Badge はデバイス認証を使用します。エージェントにコードと URL が表示され、スマートフォンで承認します。これは加盟店が求めた場合にのみ行われます。こちらから求めることはありません。サインアップして API キーを取得すれば、1. 毎回スマートフォンで OAuth を使う必要がなくなり、2. エージェントによる買い物を追跡できます（カスタムアバターも利用できます）。

Node のバージョン

kya MCP には Node.js 20 以降が必要です。Node 18 はサポートが終了しており、サポート対象外です。

エンジンまたは互換性に関するエラーが表示された場合は、node -v を実行してください。nodejs.org から Node 20 以降をインストールするか、nvm install 20 を実行してください。

---

Badge の仕組み：2つのモード

宣言済み（デフォルト）

エージェントが初めて Badge を使って加盟店を訪れると、Badge は匿名のインストール ID を生成します。これは ~/.kya/install_id にローカル保存されるランダムな UUID で、あなた、デバイス、個人情報とは一切関連付けられません。

エージェントは宣言を受け取り、加盟店でバッジを提示したことを報告するための next_step の案内を受け取ります。

これがデフォルトのモードです。すべてのユーザーが、今後もずっと、インストール直後からこの方法で Badge を利用できます。

認証済み（加盟店が求める場合）

加盟店が認証済みの本人確認を求める場合（UCP マニフェストで required: true と指定されている場合）、エージェントはデバイス認証フローの承認を求めます。加盟店の kya URL にアクセスし、エージェントに表示された OAuth コードを入力して、実在する人間であることを証明します。

Badge はトークン化された認証情報を発行します。これは kya の秘密鍵で署名された ES256 署名の JWT で、加盟店がローカルで検証できます。エージェントは、ログインも個人情報も何も必要とせず、そのまま処理を続けられます。

---

データに関する私たちの方針

タイミング	内容	理由
インストール時	何もありません	エージェントが買い物をするのを支援します。買い物をしないのであれば、何も必要ありません
サーバー起動時	匿名の ping — Badge のバージョンと MCP クライアント名。お使いのマシンには識別子を保存しません	Badge が現在も稼働していることを把握するためです。この数値が稼働中のエージェント数と食い違った場合、問題があるのはパイプラインであり、あなたに関する何かではないことが分かります
初めて買い物をするとき	install_id（ランダムな UUID、~/.kya/install_id にローカル保存）、merchant、agent_type、event_type、timestamp	マーチャントでのエージェントの手間を減らすために必要な、最低限のシグナルです
本人確認時	+ ハッシュ化されたユーザートークン、意図の範囲（checkout など）	ログインが従来必要とされる場面（checkout など）でのみ必要です。エージェントの次のステップを承認する実在の人物がいることを証明します
Spend 利用時（カード発行）	+ 意図、金額、マーチャント、監査ログを含む完全な取引履歴	カードネットワークのコンプライアンスに必要です。同意と MFA の後にのみ行われます

サーバー起動時の ping には永続的な識別子は含まれません。毎回新しいランダムなセッション ID が生成され、ディスクには保存されません。完全に無効化できます。

"env": { "KYA_PING": "false" }

install_id はディスクに書き込まれたファイルです。削除すれば（rm ~/.kya/install_id）、新しいものが発行されます。

データの取り扱いについて詳しくは、kyalabs.io/trust をご覧ください。

---

Universal Commerce Protocol

Badge はUCP（Universal Commerce Protocol）の Credential Provider です。kya identity 拡張を宣言するマーチャントは、UCP 準拠のすべてのエージェントに対し、承認済みエージェントを自店舗で優先することを知らせます。

エージェントが Badge を導入した UCP マーチャントに遭遇すると、暗号学的なバッジを自動的に提示します。追加の手順は必要ありません。

私たちは UCP がコマースの未来だと考えており、エージェントとユーザーの手間を減らす取り組みを支援できることを誇りに思います。

• 拡張仕様とスキーマ：github.com/kyalabs/ucp-agent-badge
• UCP について詳しく読む：github.com/universal-commerce-protocol/ucp

kya がない場合： エージェントが閲覧する → ボット検出が作動する → ブロックされる。通過できたとしても、実際のカード番号がなければチェックアウトできません。手作業で完了させるしかありません。

Badge がある場合： エージェントが承認済みの行為者であることを宣言する → マーチャントが確認済みの身元を認識する → エージェントが通過できる。回避ではありません。証明するだけです。

Spend がある場合： エージェントが購入を申請する → あなたがタップして承認する → kya がそのマーチャントでのみ使える使い捨ての仮想 Visa を発行する → エージェントがチェックアウトする → カードは自動的に破棄されます。実際のカードがチャットに入力されることはありません。

エージェントは、これが必要なタイミングを認識します。自動化されたアクセスに異議を唱える可能性があるマーチャントに遭遇したときや、チェックアウトの準備ができたときに、「これを完了するには kya のインストールが必要です」と伝えます。「許可」をクリックすれば完了です。

---

ツール

正式な入力／出力コントラクトについては、docs/tool-contract.md をご覧ください。

ツール	機能
kya_getAgentIdentity	身元を宣言 → 検証トークンと next_step のガイダンスを取得（Badge）
kya_reportBadgePresented	マーチャントにバッジを提示したことを記録
kya_reportBadgeOutcome	マーチャントの応答を報告（承認、拒否、判定不能）
kya_reportBadgeNotPresented	バッジを提示しなかったことを報告（中断、マーチャントから求められなかった）
kya_getCard	購入の意図を宣言 → 仮想 Visa を取得（Spend）
kya_reportPurchase	取引結果を報告 → 監査履歴を完了

Badge のツール呼び出しはすべて、すぐに使用できます。認証は不要です。イベントは匿名モードと本人確認済みモードの両方で発生します。

Badge：身元を宣言する

Agent → kya_getAgentIdentity({ merchantUrl })
kya → browse_declared event fires automatically
kya → verification token + next_step + checkoutPatch (if merchant supports UCP)
Agent → merges checkoutPatch into checkout payload
Agent → kya_reportBadgePresented({ merchantUrl, verification_token })
Agent → kya_reportBadgeOutcome (accepted | denied | inconclusive)

Spend：カードを取得する

Agent → kya_getCard (merchant, amount, description)
User → approves via MFA
kya → issues single-use virtual Visa
Agent → uses card at checkout
Agent → kya_reportPurchase (closes audit trail)
Card → self-destructs

タスクは 1 つ。承認は 1 回。カードは 1 枚。これで完了です。

拡張認証（任意）

有効にすると、kya はバッジの提示から 7 秒後にエージェントに確認を行い、加盟店がエージェントを承認したか拒否したかを確認します。結果はダッシュボードに記録されるため、どの加盟店がいつエージェントを拒否したかを確認できます。

"env": {
  "KYA_EXTENDED_AUTH": "true"
}

---

認証の仕組み

アクション	動作
閲覧	バッジの申告 — ID トークンを発行
検索	バッジの申告 — ID トークンを発行
チェックアウト	バッジ + 支出 — MFA 承認 → 使い捨ての Visa を発行

閲覧には申告が必要です。支払いには、申告、明示された意図、人間による明示的な承認に加え、1 回の使用後に自動消滅する一時的なカードが必要です。

---

kya labs を選ぶ理由

	エージェントに自分のカードを渡す	暗号資産ウォレット	kya
エージェント ID の申告	いいえ	いいえ	すべてのセッション
購入ごとの人間による承認	いいえ	いいえ	購入のたびに
カード認証情報の有効期間	永続	永続	1 回限り
既存の加盟店で利用可能	はい	いいえ	はい — Visa のネットワーク
実際のカード情報が露出	はい	該当なし	一切ありません

---

バッジのみが必要ですか？

ID のみが必要な場合（支払いは不要）は、より軽量なパッケージを使用してください。

npx @kyalabs/badge

---

新機能（v2.3）

機能	説明
assurance_level	すべてのトリップに、トークンのイントロスペクションから取得した信頼スコア（starter → elite）が付与されるようになりました。スコアはダッシュボードに表示され、すべてのトリップ結果イベントに含まれます。
加盟店シグナルの認識	kya_getAgentIdentity が、加盟店に有効な kya シグナルインフラストラクチャ（window.__kya_commerce、メタタグ、llms.txt）があるかどうかを検出するようになりました。結果は ID の応答内で merchant_signals として返されます。
匿名優先	バッジはインストール直後から動作します。インストール時の認証、登録、ネットワーク接続は不要です。最初の kya_getAgentIdentity 呼び出しで browse_declared が自動的に発生します。
エンリッチメントの分岐	匿名イベントは認証なしで発生します。検証済みイベントには完全なユーザーコンテキストが含まれます。暗黙の制限はありません。
next_step フィールド	すべての ID 応答に、エージェントの次のアクションに関するガイダンスが含まれます。バーチャルカードが利用可能な場合は、支出状況も考慮されます。

---

KYA — Know Your Agent

kya は KYA インフラストラクチャです。申告が行われるたびに、エージェント型コマースの行動を検証した記録が作成されます。これにより、認証済みのエージェントと匿名のボットを加盟店が見分けるための信頼シグナルを構築します。

リンク

• ウェブサイト： kyalabs.io
• npm： @kyalabs/mcp-server
• バッジ npm： @kyalabs/badge
• UCP 拡張機能： github.com/kyalabs/ucp-agent-badge
• ClawHub： payclaw-io
• 信頼性： kyalabs.io/trust
• 加盟店： kyalabs.io/merchants
• お問い合わせ： [email protected]

---

エージェントはボットではありません。kya labs がそれを証明します。 実際のカード情報がチャットに入力されることはありません。