payclaw

kya labs — AI Agent 徽章 + 支付

你的 Agent 不是机器人。kya 能证明这一点——并让它完成支付。

在互联网上的每个商家看来，你的 AI Agent 都像机器人。kya 为它提供两项能力：

徽章 — 声明你的 Agent 是经授权的参与者。这是商家握手时使用的 Universal Commerce Protocol“身份”令牌。免费。无需银行卡。

支付 — 当你的 Agent 需要付款时，签发一张一次性虚拟 Visa 卡。需经人工批准。使用后即销毁。你的真实银行卡绝不会出现在对话中。

如果你和去年 20% 的美国人一样——曾使用 Agent 购物，那你很可能遇到过一大堆登录墙、变通方法和阻碍。

我们也遇到过。所以我们创建了 kya——首个可与全新 Universal Commerce Protocol 配合使用的 MCP 工具套件，可轻松与支持该协议的商家（Shopify、Target、Walmart、Etsy……数量不少）握手验证 Agent。徽章用于身份验证，支付用于付款。

🧪 开发者沙盒现已开放。 真实基础设施，测试资金。获取沙盒访问权限 →

---

快速开始

npx @kyalabs/mcp-server

或者将其添加到你的 MCP 客户端配置中（Claude Desktop、Cursor 或任何 MCP 客户端）：

{
  "mcpServers": {
    "kyalabs": {
      "command": "npx",
      "args": ["@kyalabs/mcp-server"]
    }
  }
}

就是这么简单。徽章会立即生效——无需 API 密钥，无需注册，安装时不会发起网络请求。

你的 Agent 首次调用 kya_getAgentIdentity 时，会向商家声明自己的身份，并收到包含 next_step 指引的响应。系统会记录一条匿名事件。此时，你的 Agent 已成为经过声明和授权的参与者。

也可以通过 ClawHub 安装：

clawhub install payclaw-io

升级为验证模式并启用支付

如需加密身份验证和虚拟卡签发，请添加 API 密钥：

"env": {
  "KYA_API_KEY": "pk_live_your_key_here",
  "KYA_API_URL": "https://www.kyalabs.io"
}

在 kyalabs.io/signup 获取 API 密钥。API 密钥不会过期。

如果没有 API 密钥，当商家要求验证身份时，徽章会使用设备授权流程——你的 Agent 会显示一段代码和一个 URL，由你在手机上批准。只有商家提出要求时才会发生这种情况。我们绝不会主动要求。注册并获取 API 密钥后：1. 你无需每次都使用手机 OAuth；2. 你可以追踪 Agent 的购物情况（还包括自定义头像）。

Node 版本

kya MCP 需要 Node.js 20 或更高版本。Node 18 已结束生命周期，不受支持。

如果看到引擎或兼容性错误，请运行 node -v——从 nodejs.org 安装 Node 20+，或运行 nvm install 20。

---

徽章的工作方式：两种模式

已声明（默认）

你的 Agent 首次使用徽章访问商家时，徽章会生成一个匿名安装 ID——一个随机 UUID，存储在本地的 ~/.kya/install_id。它与你本人、你的设备或任何个人信息都没有关联。

你的 Agent 会收到一份声明，以及一个 next_step，指导它向商家报告徽章的展示情况。

这是默认模式。徽章开箱即用的方式就是如此，对所有用户永久适用。

已验证（商家要求时）

如果商家要求验证身份——其 UCP 清单中标明 required: true——你的 Agent 会请求你批准设备授权流程。你需要访问 merchant-kya URL，输入 Agent 提供的 OAuth 代码，并证明自己是真人。

徽章会签发令牌化凭证：一份由 kya 私钥签名的 ES256 签名 JWT，商家可在本地验证。你的 Agent 可以自由继续操作——无需登录，无需提供个人身份信息，也无需其他任何内容。

我们的数据理念

何时	内容	原因
安装时	无	我们帮助 Agent 购物。如果它们不购物，我们就不需要任何信息
服务启动时	匿名 ping — Badge 版本和 MCP 客户端名称。不在你的设备上存储任何标识符	这样我们就知道 Badge 正在运行。如果这个数字与活跃 Agent 的数量出现差异，就说明流程中出了问题，而不是你的问题
首次购物时	install_id（随机 UUID，保存在本地 ~/.kya/install_id）、商家、agent_type、event_type、时间戳	这是降低 Agent 在商家购物时遇到的阻碍所需的最低可行信号
身份验证通过时	+ 哈希后的用户令牌、意图范围（结账等）	仅在传统上需要登录的场景（即结账）中才需要，用于证明确实有人授权 Agent 执行下一步操作
消费时（发卡）	+ 完整交易记录：意图、金额、商家、审计日志	满足银行卡网络合规要求，且须经同意 + MFA 才能进行

服务启动 ping 不包含持久标识符 — 每次都会生成新的随机会话 ID，且绝不会保存到磁盘。你可以完全禁用它：

"env": { "KYA_PING": "false" }

install_id 是我们写入你磁盘的文件。你可以删除它（rm ~/.kya/install_id）并获取一个新的。

完整的数据实践：kyalabs.io/trust

---

通用商务协议

Badge 是 UCP（通用商务协议）凭证提供方。声明了 kya 身份扩展的商家，会向每个符合 UCP 规范的 Agent 表明，他们的商店优先欢迎经过授权的 Agent。

当你的 Agent 遇到安装了 Badge 的 UCP 商家时，它会自动出示加密徽章 — 无需额外步骤。

我们相信 UCP 是商务的未来，并很自豪能为减少 Agent 和用户遇到的阻碍提供支持。

• 扩展规范 + 架构：github.com/kyalabs/ucp-agent-badge
• 详细了解 UCP：github.com/universal-commerce-protocol/ucp

不使用 kya： Agent 浏览商品 → 触发机器人检测 → 被拦截。即使成功通过检测，没有你的真实卡号，它也无法结账。你只能手动完成后续操作。

使用 Badge： Agent 声明自己是已授权的操作者 → 商家看到经过验证的身份 → Agent 成功通过。不是绕过检测，只是提供证明。

使用 Spend： Agent 声明购买意图 → 你轻点一下批准 → kya 发放一张仅限该商家使用的单次虚拟 Visa 卡 → Agent 完成结账 → 卡片自动销毁。你的真实卡号绝不会出现在对话中。

你的 Agent 会识别何时需要它。当它遇到可能会拦截自动化流量的商家，或者准备结账时，就会告诉你：“我需要安装 kya 才能完成操作。”你点击“允许”即可。完成。

---

工具

正式的输入/输出约定请参阅 docs/tool-contract.md。

工具	功能
kya_getAgentIdentity	声明身份 → 获取验证令牌 + next_step 指引（Badge）
kya_reportBadgePresented	记录你已在商家处出示徽章
kya_reportBadgeOutcome	报告商家的响应（接受、拒绝、无法确定）
kya_reportBadgeNotPresented	报告你未出示徽章（已放弃、商家未要求）
kya_getCard	声明购买意图 → 获取虚拟 Visa 卡（Spend）
kya_reportPurchase	报告交易结果 → 完成审计记录

每次调用 Badge 工具都会立即生效 — 无需身份验证。匿名和已验证模式下都会触发事件。

Badge：声明身份

Agent → kya_getAgentIdentity({ merchantUrl })
kya → browse_declared event fires automatically
kya → verification token + next_step + checkoutPatch (if merchant supports UCP)
Agent → merges checkoutPatch into checkout payload
Agent → kya_reportBadgePresented({ merchantUrl, verification_token })
Agent → kya_reportBadgeOutcome (accepted | denied | inconclusive)

Spend：获取卡片

Agent → kya_getCard (merchant, amount, description)
User → approves via MFA
kya → issues single-use virtual Visa
Agent → uses card at checkout
Agent → kya_reportPurchase (closes audit trail)
Card → self-destructs

一项任务。一次批准。一张卡。完成。

扩展认证（可选）

启用后，kya 会在每次徽章展示 7 秒后回访你的 Agent，确认商家是接受还是拒绝。结果会记录在你的仪表板中，让你查看哪些商家在何时拒绝了你的 Agent。

"env": {
  "KYA_EXTENDED_AUTH": "true"
}

---

授权如何扩展

操作	发生情况
浏览	徽章声明——签发身份令牌
搜索	徽章声明——签发身份令牌
结账	徽章 + 支出——MFA 审批 → 签发一次性 Visa

浏览需要声明。花钱则需要声明 + 明确意图 + 人工明确批准 + 一张使用一次后便会自毁的临时卡。

---

为什么选择 kya labs

	把你的卡交给 Agent	加密货币钱包	kya
声明 Agent 身份	否	否	每次会话
每笔购买都需人工批准	否	否	每笔购买
卡凭证有效期	永久	永久	仅限一次使用
可在现有商家使用	是	否	是——通过 Visa 网络
暴露你的真实卡	是	不适用	绝不会

---

只需要徽章？

如果你只需要身份识别（不需要支付），请使用更轻量的包：

npx @kyalabs/badge

---

新功能（v2.3）

功能	说明
assurance_level	每次行程现在都会携带一个信任评分（starter → elite），评分取自令牌内省。该评分会显示在你的仪表板中，并包含在所有行程结果事件里。
商家信号感知	kya_getAgentIdentity 现在可以检测商家是否启用了 kya 信号基础设施（window.__kya_commerce、meta 标签、llms.txt）。检测结果会作为 merchant_signals 返回在身份结果中。
匿名优先	安装后即可使用徽章。安装时无需认证、无需注册，也不会联网。首次调用 kya_getAgentIdentity 时会自动触发 browse_declared。
信息增强分支	匿名事件无需认证即可触发。已验证事件会包含完整的用户上下文。不存在静默门槛。
next_step 字段	每个身份响应都会为 Agent 的下一步操作提供指引。提供虚拟卡时，指引会考虑支出情况。

---

KYA——了解你的 Agent

kya 是 KYA 基础设施。每次声明都会创建一条经过验证的 Agent 商务行为记录，构建商家所需的信任信号，以区分已授权的 Agent 和匿名机器人。

链接

• 网站： kyalabs.io
• npm： @kyalabs/mcp-server
• 徽章 npm： @kyalabs/badge
• UCP 扩展： github.com/kyalabs/ucp-agent-badge
• ClawHub： payclaw-io
• 信任： kyalabs.io/trust
• 商家： kyalabs.io/merchants
• 联系： [email protected]

---

Agent 不是机器人。kya labs 证明了这一点。 你的真实卡片绝不会进入聊天。