摘要

  • 2026 年 10 月 2 日发布的 draft-skyfire-oauth-aml-methods-01 说明：aml 声明中某个值的出现，表示对应反洗钱方法的使用“成功”。首批拟议值覆盖 OFAC 合规、制裁、观察名单、政治公众人物与负面媒体筛查。
  • 这里的成功只能安全地理解为方法已运行，不能理解为客户已通过审查。该声明没有命中结论、名单版本、证据坐标、司法辖区、人工复核或最终处置。

合规自动化最危险的时刻，往往不是机器失败，而是机器诚实地完成了一个过窄的任务，接收方却把完成状态读成了业务许可。

这正是《Anti-Money Laundering Methods Values》修订版 01 暴露出的治理边界。草案提出一个名为 aml 的 JWT 数组，数组元素是区分大小写的字符串。初始词汇只有五项：ofac、sanc、watch、pep 和 adv。它们分别指向 OFAC 合规、制裁、观察名单、政治公众人物以及负面媒体等方法类别。

这种词汇并非没有价值。跨系统交换声明时，下游不必再从供应商私有字段中猜测上游究竟运行了哪类检查。审计日志可以按方法检索，接收系统可以验证某项必要流程是否被调用，多个发行方也能使用相同的标签讨论能力覆盖。

问题出在“成功”二字的语义跃迁。对工程系统而言，成功通常意味着方法没有报错并返回了结果；对开户、付款或风险团队而言，成功容易被理解为“没有问题，可以继续”。草案描述的是前一种状态，却没有提供后一种结论所需的处置模型。

以 sanc 为例。该值没有说明筛查的是哪个国家或多边机制的制裁制度，也没有标明名单发布者、计划、法律依据、名单版本和抓取时间。它没有留下被查询主体的证件、别名、音译、受益所有人和交易对手，也没有说明匹配阈值、候选命中、误报分析、未决歧义或复核人员。更重要的是，它没有表达允许、限制、升级、调查、报告或拒绝。

这并不证明草案设计错误。它证明的是：方法词汇表不是合规个案档案。风险来自接收者把前者当成后者，并让一个小字段承受它从未携带的证明责任。

官方材料把这条边界写得很清楚。美国财政部海外资产控制办公室的《合规承诺框架》把有效制裁合规计划拆成五个组成部分：管理层承诺、风险评估、内部控制、测试与审计、培训。其内部控制还涉及识别、拦截、升级、报告与记录保存。附录列举的违规根因，包括筛查软件问题、名单更新不及时、缺少识别信息、拼写或音译差异、尽调不足以及升级机制薄弱。

因此，一个筛查器完全可以按配置成功执行，同时仍然使用昨天的名单；一个名字可能因为缺少音译而没有产生候选；同一候选也可能被不同阈值压下或放大。即使方法运行没有技术故障，法律与经营判断依然可能错误。

时间维度同样不能省略。OFAC 常见问题 65 提醒保险机构考虑在保单签发、续期、修改、索赔提交、赔付，以及制裁计划或名单更新等多个节点进行筛查，并指出名单经常变化。开户当天真实的“筛查成功”，不能回答数月后付款时名单上有什么，也不能证明期间是否发生了风险变化。

客户尽调本身也是持续关系，而不是一次开关。FinCEN 对客户尽职调查规则的概括包含四个核心义务：识别并验证客户；对适用的法人客户识别并验证受益所有人；理解关系性质与目的并形成风险画像；持续监控可疑交易，并按风险维护或更新客户资料。其综合问答进一步强调，更新应由事件和风险触发，而非机械地在统一周期重置。

司法辖区也不能从通用代码中推出。欧盟委员会对制裁体系的说明区分了欧盟层面的措施采纳与公布，以及成员国负责的调查、实施、执法和处罚；委员会则承担监测与指导。sanc 无法说明哪项法律、许可、例外、主管机关或本地执法实践支配了具体决定。

草案拟议的 IANA 机制解决的是另一类问题。修订版 01 请求登记 aml JWT 声明，并建立 AML 方法值注册表；新增值需要专家审查、三周邮件列表评议，并考虑是否重复、是否具有普遍适用性、是否实际使用以及描述是否清晰。这些规则可以改善词汇质量，但不会认证筛查供应商、验证数据完整性、批准匹配阈值，也不会把方法名变成法律结论。

当前有效注册状态必须与草案文本分开看。在本次资料冻结时，IANA JWT Claims 注册表中没有 aml，也不存在已启用的 Anti-Money Laundering Methods 注册表。个人互联网草案中的表格只是拟议初始内容。Datatracker 记录没有 stream、intended standards level 或 standards level；OAuth 工作组讨论渠道也不能自动等同于工作组采纳或 IETF 共识。

JWT 的签名不会补足这些缺口。正确验证签名，可以确认哪个发行方作出了声明，以及字段是否在传输后被篡改；它不能生成发行方未写入的名单、主体解析输入、候选命中、人工复核和法律理由。密码学完整性保护的是声明原文，不会扩大声明的信息量。

接收机构应另行保存一份可复核的筛查回执。至少记录令牌与词汇版本、发行方、主体和交易绑定、方法值、供应商与策略版本、司法辖区和法律依据、名单或数据集版本与取得时间、识别符与别名、阈值与候选、证据引用、复核与升级、误报处置、风险等级、例外、持续监测期限、后续更正或撤销，以及最终本地行动。

这份字段清单是 BTW 的编辑性治理建议，不是草案或监管机关逐字规定的格式。它的目的，是防止“方法可以互认”滑向“放行结论可以外包”。当名单更新、误报申诉、受益所有人变化、供应商替换，或监管者追问为何继续提供服务时，机构仍能重建自己的决策链。

Heng Lu 的“最低初始规范”给出了合适的制度姿态：只标准化足够协调的最小词汇，把有后果的判断留在本地。“运行代码优先”要求机构查清真正运行了哪些名单、规则、标识符和复核路径；“现实层”则要求注册表术语、发行方声明、候选命中、复核处置、法律结论和应用动作不能被压成同一个绿色状态。

aml 可以让系统彼此理解采用了哪类方法，却不能替系统承担责任。让方法成功只表示方法运行成功；把放行、限制与报告保留为独立命题，并为每个命题配置证据和责任人。

来源