GrayPass

GrayPass 是一家 Y Combinator（F26 批次）创业公司，在敏感操作执行前检查当前到底是谁在控制会话，包括是否是 AI 智能体在代替某人操作。它于 2026 年 10 月 28 日正式发布。登录只能证明是谁进来的；GrayPass 在关键操作发生时检查预期的那个人是否仍在控制，并返回一个由你的应用执行的决定：放行、再次验证、暂缓或拒绝。

官网：graypass.com · 发布推文：Aditya Ranjan 的 X

要点

1. 要补的漏洞：身份验证发生在登录时，但会话会长时间有效。等到付款、导出数据、修改账户这类关键操作到来时，登录时的证据已经过时，操作者可能已经换了人，或者变成了 AI 智能体。
2. Brainprint（行为指纹）：GrayPass 对已登记用户操作软件方式的建模，保护隐私且按客户隔离，包括鼠标移动和点击节奏、按键时间（不记录输入内容）和滚动节奏。它提供连续性证据，但本身不确定身份或权限。
3. 综合的证据：身份、设备、会话和交易上下文，加上 Brainprint 连续性，再对照你为这个具体操作设定的策略。
4. 绑定到操作的证明：授权与你的应用即将执行的那个具体操作绑定。
5. 兼容现有体系：保留你的身份提供商、通行密钥和 MFA，GrayPass 只在操作发生时补充新的保证。
6. 发布时披露的数据：已处理 90 万+ 会话，当月收入 5 万美元。GrayPass 还发布了《The Shape of Identity》《The Chain of Intent》等关于代理与授权的研究。

如何开始

• 在 graypass.com 申请评估或打开演示控制台；官网显示新一批评估申请开放到 11 月 30 日。
• 接入方式：你的服务器在执行敏感操作前请求授权决定，然后执行返回的结果。

适用场景

• 转账、修改收款人等金融科技和银行流程
• 管理后台和数据导出
• 允许 AI 智能体代用户操作、需要区分智能体操作和用户本人操作的产品

注意

当证据缺失或不确定时，是要求重新批准还是转人工审核，由你自己的策略决定。