Visa के पास Trusted Agent Protocol है और Mastercard के पास Verifiable Intent। वह लेयर जो दोनों में से कोई भी नहीं देता (हिन्दी में)

संक्षिप्त हिन्दी संस्करण। पूरी अंग्रेज़ी कथन —Alex Shev द्वारा टिप्पणियों में शुरू की गई revocation चर्चा सहित— मूल संस्करण है।

हिन्दी में क्यों

भारत का UPI दुनिया का सबसे बड़ा इंस्टेंट पेमेंट सिस्टम है — और अगला अध्याय, "एजेंट कॉमर्स", यहीं भी लिखा जाएगा। भारत के डेवलपर आज ही AI एजेंट बना रहे हैं, लेकिन एजेंट्स के बीच भरोसे की पूरी बहस लगभग पूरी तरह अंग्रेज़ी में चलती है। नतीजा: टीमें उन फ़ैसलों पर भरोसा करने को मजबूर होती हैं जिनका ऑडिट कैसे करना है, यह कोई समझाता ही नहीं। यह लेख वहीं का गैप भरता है: Visa और Mastercard ने क्या जारी किया, वे क्या नहीं देते, और आज ही कौन-कौन सी चीज़ें आप सार्वजनिक URL से खुद सत्यापित कर सकते हैं।

अभी क्या हुआ

2026 में पेमेंट नेटवर्क्स ने "एजेंट कॉमर्स" पर अमूर्त बातें करना बंद किया और स्पेसिफिकेशन जारी करनी शुरू कर दीं:

• Visa ने Trusted Agent Protocol (TAP) प्रकाशित किया: ओपन रिपॉज़िटरी में स्पेक और पूरी रेफ़रेंस इम्प्लीमेंटेशन (एजेंट रजिस्ट्री, मर्चेंट बैकएंड/फ्रंटएंड, एक लाइव एजेंट)। एजेंट के हर रिक्वेस्ट में क्रिप्टोग्राफ़िक सिग्नेचर होता है — टाइमस्टैम्प, यूनिक सेशन ID, की-आइडेंटिफ़ायर और एल्गोरिद्म के साथ — मर्चेंट के डोमेन और उस ख़ास ऑपरेशन से बंधा हुआ, रीप्ले असंभव।
• Mastercard ने Verifiable Intent (VI) लॉन्च किया: मर्चेंट साइन की हुई इंटेंट क्रेडेंशियल को ऑथराइज़ेशन फ़्लो के अंदर ही रियल-टाइम में सत्यापित करता है — पैसा हिलने से पहले।
• आसपास: x402 (Coinbase → Linux Foundation) और AP2 (Google + Visa + Mastercard + PayPal + ~60 पार्टनर)।

दुनिया का ज़्यादातर पैसा जब जो चलाती हैं, ऐसी कंपनियाँ एक ही लेयर एक साथ बना रही हों, तो वह ट्रेंड नहीं — वैलिडेशन है। एजेंट-ट्रस्ट इंफ़्रा अब वज़न उठा रही है।

वह गैप जिसे कोई नहीं भर रहा

तीसरा पक्ष (एक डेवलपर, ऑडिटर, प्रतिस्पर्धी) इन प्रोटोकॉल्स से नहीं कर सकता:

1. वेरिफ़ायर का ऑडिट। जो चीज़ कहती है "यह एजेंट भरोसेमंद है", आप कैसे जानें कि वह ख़राब नहीं हुई, पैच नहीं हुई, या जवाब रट नहीं रखे हैं? नेटवर्क प्रोटोकॉल में आप फ़ैसले पर भरोसा करते हैं क्योंकि आप नेटवर्क पर करते हैं। गोलाकार तर्क।
2. क्रेडेंशियल का पुनर्निर्माण। क्या कोई बाहरी व्यक्ति सार्वजनिक बाइट्स से आर्टिफैक्ट दोबारा बनाकर बिट-दर-बिट वही नतीजा पा सकता है?
3. अपरिवर्तनीय सबूत ढूँढना। वह append-only रिकॉर्ड कहाँ है — तीसरे पक्ष पर होस्ट किया हुआ — जो साबित करे कि क्या, कब प्रकाशित हुआ, और जिसे प्रकाशक ख़ुद भी बदल न सके?

एक पंक्ति में फ़र्क़: TAP और VI एजेंट को किसी नेटवर्क के अंदर लेन-देन की अनुमति देते हैं। ATC किसी को भी — हर नेटवर्क के बाहर — सत्यापन-योग्य सबूत देती है: ऑफ़लाइन, बिना मेंबरशिप, बिना API key।

उपमा: नेटवर्क ड्राइविंग लाइसेंस जारी करते हैं। हम कोर्ट की कार्यवाही की प्रतिलिपि प्रकाशित करते हैं — कोई भी अजनबी जाँच सके, किसी सार्वजनिक लॉग में मुहरबंद जिसे कोई संपादित न कर सके। व्यापार को दोनों चाहिए।

हमने जो तीन सबक अपनाए

1. Visa से: ताज़गी दोतरफ़ा हो और बाइट्स से निकली हो। हमारा रेफ़रेंस रनर दोतरफ़ा वैलिडिटी विंडो लागू करता है — issued_at <= NOW < expires_at। भविष्य की तारीख़ वाला कार्ड (हमारा वेक्टर premature-atc, जारी 2030-01-01) ठीक उतनी ही फेल होता है जितना एक्सपायर्ड कार्ड। और यह जाँच कार्ड के बाइट्स से निकलती है, साइडकार मेटाडेटा से नहीं — झूठ बोलता या मिटाया गया साइडकार फ़ैसला नहीं बदल सकता।
2. Mastercard से: सत्यापन फ़्लो के अंदर हो — हमारा ऑफ़लाइन चलता है। एक ATC मिलीसेकंड में ऑफ़लाइन सत्यापित होती है: पिन किए ट्रस्ट एंकर के ख़िलाफ़ एक Ed25519 जाँच — शून्य नेटवर्क कॉल, शून्य API key, शून्य मेंबरशिप। फ़्लो से इजाज़त माँगे बिना, फ़्लो के अंदर सत्यापन।
3. दोनों से: रजिस्ट्री — पर append-only और हमारे नियंत्रण से बाहर। हमारे कॉन्फ़ॉर्मेंस सूट का हर रिलीज़ काउंटर-साइन होकर Rekor — Sigstore के सार्वजनिक ट्रांसपेरेंसी लॉग — में एंकर होता है। एंट्री #3 (logIndex 2764479676) पूरे v1.3.3 सूट के डाइजेस्ट लिए हुए है। अगर हम चुपचाप इतिहास बदलने की कोशिश करें, लॉग हमें झुठला देगा।

रसीदें (सब अजनबी-सत्यापन-योग्य, लाइव URL)

• कॉन्फ़ॉर्मेंस सूट: 14 वेक्टर + 24 बिहेवियरल जाँच + 10 म्यूटेंट जिन्हें पकड़ा जाना ज़रूरी है — https://www.marketnow.site/uta/conformance/
• पुनरुत्पादनीय बिल्ड: npm पर प्रकाशित tarball सार्वजनिक सोर्स से बाइट-दर-बाइट दोबारा बनता है — https://www.marketnow.site/uta/conformance/repro/
• Rekor एंकर: 3 अपरिवर्तनीय प्रविष्टियाँ, 9 जाँचों से सत्यापन-योग्य — https://www.marketnow.site/uta/conformance/anchors/
• सोर्स: https://github.com/alicelabs-llc/universal-trust-adapter

v1.3.3 का कारण बना बग एक अजनबी ने पाया — उसने हमारे ही टूल हम पर चला दिए। यह शर्म की बात नहीं; यही तो प्रोडक्ट चलना है।

ईमानदार समापन

दिग्गज एजेंट-कॉमर्स की अनुमति लेयर जीत लेंगे — नेटवर्क इसी लिए होते हैं। हम वह टुकड़ा बना रहे हैं जो नेटवर्क बेचते ही नहीं: ऐसा सबूत जिसके लिए बेचने वाले पर भरोसा ज़रूरी न हो। जब कोई एंटरप्राइज़ पूछे "ऑडिटर का ऑडिट कौन करता है?" — जवाब "ऑडिटर" नहीं हो सकता। जवाब होना चाहिए: कोई भी कर सकता है — और आदेश ये हैं।

उन्होंने लेयर वैलिडेट की। हम रसीदें रख रहे हैं।

— AliceLabs / MarketNow · marketnow.site · GitHub पर UTA