Agent banking

التحويل من خلال الوكيل الرقمي

مرّر للاستكشاف · أو استخدم الأسهم

01سياق عن الفكرة

مع انتقال الذكاء الاصطناعي من "مساعد" إلى "وكيل قادر على التنفيذ"، تصبح القدرة على تنفيذ المعاملات المالية بما يشمل تحويل الأموال جزءًا أساسيًا من تجربة المستخدم.

مساعدوكيل قادر على التنفيذ

تحويل الأموال

1النسخة 1

الحل المقترح

بدون عوائق ترخيص، الذكاء الاصطناعي ينفذ كامل

Proposed solution

النسخة 1

الحل المقترح

بدون عوائق ترخيص، الذكاء الاصطناعي ينفذ كاملProposed solution

المواقع اللي شفناها وابرز الممارسات العالمية والمحلية

البحث

3.1

الممارسات العالمية

Global practices

وكلاء ينفذون المدفوعات

Payman

وكلاء ينفذون المدفوعات والتحويلات على أنظمة البنك نفسه، والبنك يحدد الضوابط

“We deploy AI agents that handle money.”

Slash

الوكيل يصدر البطاقات ويحدد سقف الصرف وينفذ التحويلات عبر MCP، مع موافقة بشرية قبل التنفيذ

“Cards, Payments & Spend Controls”

Crossmint

أرصدة نقدية وعملات مستقرة للوكيل، يدفع منها ضمن سقف تحدده الشركة

“The payments platform built for AI agents”

Skyfire

محفظة للوكيل تحفظ البطاقات وتسجل تفويض المستخدم، ليشتري نيابة عنه

“Access. Identity. Checkout.”

Ramp

وكلاء يتولون المهام المالية على مدار الساعة

“Agents for every workflow, working 24/7.”

بروتوكولات مفتوحة

Agentic Commerce ProtocolStripe · OpenAI · Meta

معيار مفتوح لكيف يكمل الوكيل الشراء نيابة عن المشتري

Universal Commerce ProtocolGoogle

معيار مفتوح يحوّل محادثات الذكاء الاصطناعي إلى شراء مباشر

3.2

تجربة مشابهة في قطاع التقنية المالية في السعودية

ابيان المالية

MCP

نماذج AI

هيئة سوق المال

البنك المركزي

MCP - ابيان المالية و يتكامل مباشرة مع نماذج AI والسبب انه قدر يسويها انه يتبع هيئة سوق المال مو البنك المركزي

mcp_to_trading.pdfabyan.s3.amazonaws.com

3.3

المرحلة الثانية من المصرفية المفتوحة

Phase 2 · Payment Initiation (PIS)

Lean · 18 مايو 2025 · مصدر ثانوي

ملخص تنفيذي

ساما أعلنت خدمات إنشاء المدفوعات (PIS) في المرحلة الثانية من المصرفية المفتوحة، بعد قرابة سنتين من خدمات معلومات الحساب (AIS). الخدمة مبنية على سريع، والتاجر يستقبل الدفع مباشرة من حساب العميل البنكي، بدل البطاقات وسداد والتحويل اليدوي.

المرحلة 2مبنية على سريعبعد سنتين من AIS

كيف تعمل في السعودية

1العميليدفع من داخل تطبيق التاجر

2موافقة واحدةيربط حسابه البنكي مرة وحدة

3مزود المصرفية المفتوحةمثل لين: ينشئ الدفع من حساب العميل

4البنوكمن حساب العميل إلى حساب التاجر

5سريعتحويل لحظي على البنية القائمة

الفوائد

أسرعدفع لحظي عبر سريع، والأموال تصل التاجر فورًا تقريبًا

أقل تكلفةبدون شبكات البطاقات وبوابات الدفع ومصدري البطاقات كوسطاء

أكثر أمانًامصادقة البنك تقلل الاحتيال وتكاليف استرداد المدفوعات

تجربة أفضلالدفع داخل التطبيق بدل بوابات طرف ثالث

حالات الاستخدام

بديل البطاقة المحفوظةمشوار أوبر أو كريم بمصادقة واحدة

تحويل تلقائي بين الحسابات3,000 ريال شهريًا للاستثمار عند نزول الراتب

التحصيلأقساط تابي وتمارا، وتقليل التعثر

الاشتراكاتالنادي الرياضي أو شاهد بربط واحد

الفواتيرالكهرباء والماء والاتصالات بضغطة

تجربة البرازيل (PIX)133مليون مستخدمقرابة 62% من السكان40%من التسوق الإلكترونيتقدير بحلول 2026

04

التراخيص المطلوبة

فكرتنا شركة مدفوعات، وهذي التراخيص اللي نحتاجها من ساما

«يُحظر على أي شخص تشغيل نظم مدفوعات أو تقديم خدمات المدفوعات في المملكة؛ دون الحصول على ترخيص من البنك المركزي.»

نظام المدفوعات م4

ترخيص 1إنشاء المدفوعاتوحده أو مع معلومات الحساب

التعريف في اللائحة«خدمة إنشاء أمر خدمات المدفوعات (سواء من خلال القنوات الإلكترونية أو غيرها) بناءً على طلب مستخدم خدمات المدفوعات والمرتبط بحساب المدفوعات الخاص به لدى مقدم خدمات حساب المدفوعات وبحسب التفويض الصادر عنه.»م1 · النشاط م6(9)

رأس المال المدفوع1,000,000ريالم44(1)(هـ)

رسوم إصدار الترخيص20,000ريالم23(1)(هـ)

اللائحة التنفيذية لنظام المدفوعات وخدماتها

ترخيص 2معلومات حساب المدفوعاتعرض بيانات حساب العميل

التعريف في اللائحة«خدمة تقديم معلومات مجمعة –بشكلها الأصلي أو بعد معالجتها- عن حساب أو أكثر من حسابات المدفوعات الخاصة بمستخدم خدمات المدفوعات لدى مقدم أو أكثر من مقدمي خدمات حساب المدفوعات»م1 · النشاط م6(10)

رأس المال المدفوع500,000ريالم44(1)(و)

رسوم إصدار الترخيص20,000ريالم23(1)(و)

اللائحة التنفيذية لنظام المدفوعات وخدماتها

ترخيص 3شركة مدفوعات صغيرةشركة مساهمة أو مساهمة مبسطة أو ذات مسؤولية محدودةم14(2)

التعريف في اللائحة«الشركة المرخص لها بتقديم خدمة واحدة أو أكثر من خدمات المدفوعات ذات الصلة، باستثناء خدمات إصدار النقود الإلكترونية.»م1 · شركة المدفوعات

رأس المال المدفوع1,000,000ريالم44(1)(أ)

رسوم إصدار الترخيص20,000ريالم23(1)(أ)

اللائحة التنفيذية لنظام المدفوعات وخدماتها

05

الاعتبارات

1خاصة بفكرتنااعتبار مميز1 / 18

تقديم الوكيل عبر ChatGPT أو Gemini يواجه عائقين

مثالالعميل يكتب في ChatGPT «حوّل 5000 لأختي»، والطلب يمر عبر منصة طرف ثالث ما نملكها.

«عدم استخدام تطبيقات المحادثة الفورية كال (WhatsApp) وما يماثله من تطبيقات في التواصل مع العملاء»

تعميم 000046025849

العائقان

الأول: المنصة قد تُعامل كتطبيق طرف ثالث في التواصل مع العملاء، مثل واتسابتعميم 000046025849
الثاني: يلزم اتفاقيات بيننا وبين OpenAI وGoogle، وهي غير مضمونة، والتعاقد على مهام جوهرية يحتاج «عدم ممانعة البنك المركزي»اللائحة م27(2)

خاصة بفكرتنا

الاعتبارات العامة

المصادقة والاحتيال

غسل الأموال

الأمن السيبراني

07الاعتبارات

انعكاسها على البنية التحتية

الحل المقترح خطوة بخطوة، وفي كل خطوة الشروط التقنية من ساما

SAMA's technical conditions on our infrastructure

الاعتبارات

انعكاسها على البنية التحتية

الحل المقترح خطوة بخطوة، وفي كل خطوة الشروط التقنية من ساماSAMA's technical conditions on our infrastructure

6.1

البنية التحتية للتقنية المالية

(المملكة العربية السعودية)

01لغات برمجة الواجهة الخلفية

Pythonتتصدر في مجالات التحليلات والتقييم الائتماني (Credit Scoring).

Java & Goتتصدران في الأنظمة الأساسية مثل المدفوعات، العمليات المصرفية، ومعالجة المعاملات المالية.

02قواعد البيانات

تتصدر PostgreSQL و Redis هذا المجال.

03أطر عمل الواجهة الخلفية

FastAPI و Spring Boot.

04أطر عمل الواجهات الأمامية والجوال(Frontend & Mobile Frameworks)

Next.js لتطبيقات الويب، و Flutter لتطوير تطبيقات الجوال.

6.1

اختبار التوافق مع المصرفية المفتوحة

KSA Open Banking · FAPI 1 Advanced · Relying Party test

1إعداد الخطة2مسار الطلب3المفاتيح4الحالات الخاطئة5الاعتماد

العميل

Relying Party · OAuth client

النظام اللي يتصل بخادم البنك، وهو محل الاختبار

المطلوب منه

يتبع المسار الصحيح مع الخادم
يتحقق من كل رد يستلمه
يرفض الردود الخاطئة ويسجلها

محل الاختبار

منصة اختبار التوافق

OpenID Conformance Suite

تحاكي خادم OIDC، وترسل ردودًا خاطئة متعمدة من النوع اللي يستغله المهاجمون

SAMA Model Bank

نقاط الخادم المحاكى

/.well-known/openid-configuration
/token
/par
/authorize
/open-banking/v1.1/account-requests
/open-banking/v1.1/accounts

خطة الاختبارFAPI1-Advanced-Final: Relying Party (client test)Test a Relying Party / OAuth2 client

1ملف المصرفية المفتوحة السعوديةFAPI Profileopenbanking_ksa

2استخدام PAR إلزاميRequest Object Methodpushed

3الملف ما يستخدم JARMFAPI Response Modeplain_response

4id_token إلزامي كتوقيع منفصلFAPI Client Typeoidc

5الاختبار يُشغَّل مرتين، مرة لكل طريقةClient Authentication Typemtls · private_key_jwt

اسم
الاعتمادKSA-OB Adv. RP w/ MTLS, PARKSA-OB Adv. RP w/ Private Key, PAR

العميلRelying Party

متصفح المستخدمUser agent

خادم التفويضAuthorization serverمحاكاة

واجهة الحساباتAccounts APIمحاكاة

GET /.well-known/openid-configuration

POST /token · client_credentials

POST …/account-requests · Bearer

POST /par · request = JWT (PS256)

GET /authorize · client_id · request_uri

redirect_uri#code&id_token&state

POST /token · authorization_code

GET …/accounts · Bearer

mTLS

المسار الصحيح في ملف السعوديةمن كود منصة الاختبار · الخادم والواجهة تحاكيهم المنصة

1الاكتشاف، ولازم issuer يطابق الرابط← issuer · endpoints · mtls_endpoint_aliases

2توكن للعميل نفسه قبل موافقة المستخدم← access_token

3إنشاء موافقة الوصول للحسابات← ConsentId

4طلب التفويض موقّع ومرسل مسبقًا، و scope فيه accounts:ConsentId← request_uri

5تحويل المستخدم للخادم بالمرجع فقط

6الرد code id_token في الـ fragment، والعميل يتحقق منهPS256 · iss · aud · exp · nonce · c_hash · s_hash

7مصادقة العميل بـ mTLS أو private_key_jwt← access_token

8قراءة الحسابات بالتوكن← accounts

مفتاح الخادمserver.jwks

يلزم توفير الجزء العام والخاص، ويوقّع به id_token

"kty":RSA"kid":kid1"use":sig"alg":PS256"e":AQAB"n":ketrsUc91E7e…"d":UtsHqoEWZaBm…"p":6crxeIhn6kq2…"q":n8eycFjY2h4E…"dp":FWosciD0e8Z6…"dq":foVMB-hitrzk…"qi":K8FqxY7unqIc…

discoveryUrl · إعداد private_key_jwt

https://auth1.lab.openbanking.sa/.well-known/openid-configuration

clientمفتاح توقيع فقط

sig1·PS256·sig

scopeaccounts openid
redirect_uri…/test/a/ksa-ob/callback

client2مفتاح توقيع ومفتاح تشفير

sig1·PS256·sigenc1·RSA-OAEP·enc

id_token_encrypted_response_algRSA-OAEP
id_token_encrypted_response_encA256GCM

request objectطلب التفويض عبر PARsig1 · PS256

client_assertionمصادقة العميل في تشغيلة private_key_jwtsig1

TLS client certificateقناة mTLS في التشغيلتينcertificate

id_token (JWS)توقيع الخادم على الهويةkid1 · PS256

id_token (JWE)تشفير الهوية لـ client2enc1 · RSA-OAEP · A256GCM

التشغيلة 1 · MTLSشهادة العميل في اتصال TLS هي اللي تثبت هويته

التشغيلة 2 · private_key_jwtالعميل يوقّع client_assertion بمفتاحه، والإعداد يضيف mtls و mtls2 و discoveryUrl

7يقبلها العميل

المسار الصحيح
بدون mtls_endpoint_aliases
id_token مشفر (client2)
aud مصفوفة بقيمة واحدة
رد /token بدون scope و expires_in
id_token بدون at_hash
refresh_token مرتين

18يرفضها العميلالمنصة تعدّل الرد، والعميل لازم يكتشف

JWE · alg: RSA-OAEPJWE

"alg": "PS256"Header

"iss"Payload

"aud"

"exp"

"iat"

"nonce"

"c_hash"

"s_hash"

signatureSignature

discovery · issuerDiscovery

تشفير بـ RSA1_5

alg: noneRS256 بدل PS256

قيمة خاطئةمفقود

قيمة خاطئةمفقودعميل إضافي غير موثوق

منتهي قبل أكثر من 5 دقائقمفقود

قبل أسبوع

لا يطابق الطلبمفقود

لا يطابق code

لا يطابق stateمفقود

توقيع غير صالح

لا يطابق رابط الاكتشاف

بعد أي id_token غير صالح يوقف العميل ويعرض الخطأ، وأي استدعاء بعده لـ /token يُفشل الاختبار

01

تشغيل الخطة

25 اختبارًا في كل تشغيلة، والخطة تُشغَّل مرتين

1 · mtls2 · private_key_jwt

02

سجلات العميل

ملف مستقل لكل حالة خطأ، يوضح أن العميل اكتشف الخطأ وأبلغ عنه بأقرب وصف

invalid-nonceinvalid-chashinvalid-signature

03

الإرسال لـ OpenID

سجلات المنصة مع سجلات العميل، ونتائج النسخة المحلية من المنصة ما تُقبل للاعتماد

certification.openid.net

04

الاعتماد

شهادة لكل طريقة مصادقة، باسم الملف و PAR

KSA-OB Adv. RP w/ MTLS, PARKSA-OB Adv. RP w/ Private Key, PAR

8 فبراير 2023إطلاق اختبارات KSA للعملاء (RP) في OpenID

SAMA Model Bankauth1.lab.openbanking.sa/.well-known/openid-configuration

المصادر

6.2

الأمن السيبراني

(في التقنية المالية)

الجهاز والتطبيق

Trusted Deviceتسجيل الأجهزة الموثوقة لإدارة الوصولCFFR 4.1.6

Root / Jailbreak · VPNحظر الأجهزة المكسورة الحماية وخدمات VPNCFFR 4.1.5

App Shieldingتشويش الكود، تشفير الصندوق الأبيض، مكافحة التلاعبCRFR 3.2.8

Session Timeoutالجلسة غير النشطة لا تتجاوز 5 دقائقCRFR 3.2.15

Lockoutحجب الوصول بعد ثلاث محاولات خاطئةCRFR 3.1.5

حافة الشبكة

WAFجدار حماية تطبيقات الويب للتطبيقات الموجهة للعملاءITGF 3.3.6

DDoS Protectionالحماية من هجمات حجب الخدمة، واختبار التنقية مرتين في السنةCSF 3.3.8

TLSتشفير اتصالات التطبيق والخادم ببروتوكولات آمنةCRFR 3.2.4

Segmentation · Firewallsتجزئة الشبكات وجدران حماية بين أجزائهاCRFR 3.2.3

الهوية والمصادقة

Nafath · Biometricالتسجيل عبر النفاذ الوطني الموحد بالسمات الحيوية، مع OTPCFFR 4.1.13

MFAمصادقة متعددة العوامل للمستفيد الجديد وفوق الحدCFFR 4.1.8

Push Approvalالموافقة بإشعار على جهاز موثوق، والرسالة النصية وحدها لا تكفيCFFR 4.1.9

IAMصلاحيات الوصول وفق مبدأ الحاجةCRFR 3.2.1

الربط مع البنوك

Session Identityالتواصل الآمن والتعريف بالهوية عند كل اتصالاللائحة م97(8)

Credentialsبيانات الأمان الشخصية للعميل لا يصل لها أي طرف آخراللائحة م97(4)

Bank Accessالبنك يمكّن الوصول للحسابات بشرط تفويض العميلاللائحة م96(1)

Secure Channelالبنك يتواصل معنا وفق تعليمات الأمن السيبرانياللائحة م96(2)

التطبيق والذكاء الاصطناعي

Adversarial Attacksالحماية من الهجمات (مثل سرقة النماذج، والمدخلات الضارة، وتسميم البيانات)CRFR 3.1.4

Fraud Detectionالكشف عن الاحتيال ومنعه في الوقت الفعلي، على مدار الساعة طوال أيام الأسبوعCFFR 4.1.1 · 4.1.2

Sanctions Screeningفحص آلي لكل تحويل صادر قبل تنفيذهTFS 3.6

Change Managementاختبار واعتماد أي تغيير قبل الإنتاجCRFR 3.2.2

Patchingاختبار التحديثات الأمنية وتثبيتها في وقتهاCRFR 3.2.7

البيانات

Encryption · Keysمعيار للتشفير وإدارة دورة حياة المفاتيحCSF 3.3.9

Backupsنسخ احتياطية مشفرة، خارج الموقع الأساسيCRFR 3.3.2

Recordsسجلات الموافقات 10 سنوات بدون تعديل أو حذفاللائحة م38

Cloud in KSAمن حيث المبدأ الخدمات السحابية داخل المملكة فقط، وخارجها بعدم ممانعة البنك المركزيCSF 3.4.3

المراقبة والاختبار

SIEMدمج التطبيقات والبنى التحتية مع إدارة السجلات والأحداث الأمنيةCRFR 3.2.12

Logsسجلات المراقبة الأمنية تُحفظ سنة على الأقلCRFR 3.2.11

EDRحماية لحظية للأجهزة الطرفية قائمة على السلوكCRFR 3.2.10

VA · Pen Testتقييم الثغرات دوريًا، واختبار الاختراق مرتين في السنةCRFR 3.2.5 · 3.2.6

Incident Reportingإبلاغ البنك المركزي فورًا عن الحوادث المتوسطة فأعلىCRFR 3.2.16

1الجهاز والتطبيقDevice & App

2حافة الشبكةEdge

3الهوية والمصادقةIdentity

4الربط مع البنوكOpen Banking API

5التطبيق والذكاء الاصطناعيApp & AI

6البياناتData

7المراقبة والاختبارMonitor & Test

مسار طلب التحويل من جوال العميل إلى البنك، وكل مستوى بتقنياته

أول نقطة: جوال العميل والتطبيق نفسه

CRFR المتطلبات الأساسية للمرونة السيبرانيةCFFR دليل المتطلبات الأساسية لمكافحة الاحتيال

كل طلب يدخل من الإنترنت يمر من هنا

CRFR المتطلبات الأساسية للمرونة السيبرانيةCSF الدليل التنظيمي لأمن المعلوماتITGF الدليل التنظيمي لحوكمة تقنية المعلومات (القطاع المصرفي)

من هو العميل، وهل هو اللي طلب التحويل

CRFR المتطلبات الأساسية للمرونة السيبرانيةCFFR دليل المتطلبات الأساسية لمكافحة الاحتيال

كيف يتصل نظامنا بالبنك في كل طلب

اللائحة اللائحة التنفيذية لنظام المدفوعات وخدماتها

الوكيل نفسه والخدمات اللي تفحص الطلب

CRFR المتطلبات الأساسية للمرونة السيبرانيةCFFR دليل المتطلبات الأساسية لمكافحة الاحتيالTFS قواعد تطبيق العقوبات المالية المستهدفة

اللي نحفظه عن العميل والتحويل

CRFR المتطلبات الأساسية للمرونة السيبرانيةCSF الدليل التنظيمي لأمن المعلوماتاللائحة اللائحة التنفيذية لنظام المدفوعات وخدماتها

يغطي كل المستويات اللي فوق

CRFR المتطلبات الأساسية للمرونة السيبرانية

07

العملاء المحتملين

كل البنوك بالسعودية

على الأقل0بنك

بما يشملDS360

DS360

08

أبرز الأسئلة

نرسلها إلىالمصرفية المفتوحة[email protected]البيئة التجريبية[email protected]الترخيص[email protected]

1المصرفية المفتوحةوش البيانات «اللازمة» اللي نطلبها من العميل؟«بحسب ما تقتضيه طبيعة الخدمة المقدمة وما يحدده البنك المركزي.»اللائحة م97(7)

2المصرفية المفتوحةإرسال طلب العميل لنموذج لغوي، يعتبر تقديم معلومات لطرف ثالث؟«إلا إلى المدفوع له، وبتفويض صريح من مستخدم خدمات المدفوعات.»اللائحة م97(6)

3الترخيصمزود النموذج اللغوي يعتبر مهمة جوهرية تحتاج عدم ممانعة؟«عند رغبته في إبرام عقد مع شخص آخر؛ للقيام بمهام جوهرية»اللائحة م27

4المصرفية المفتوحةأمر يصيغه الوكيل من كلام العميل، يعتبر طلب العميل؟«بناءً على طلب مستخدم خدمات المدفوعات والمرتبط بحساب المدفوعات الخاص به»اللائحة م1

5المصرفية المفتوحةنقدر ناخذ تفويض مسبق بحدود بدل الموافقة كل مرة؟«موافقة من قبل الدافع المصادق على عملية المدفوعات»اللائحة م1 · التفويض

6المصرفية المفتوحةلو الوكيل فهم غلط وحوّل لشخص ثاني، مين يتحمل؟«يكون مقدم خدمات المدفوعات مسؤولاً عن عمليات المدفوعات غير المصرح بها»اللائحة م87 · م86

7المصرفية المفتوحةنقدر نقدم الوكيل داخل ChatGPT أو Gemini؟«وما يماثله من تطبيقات في التواصل مع العملاء»تعميم 000046025849

8المصرفية المفتوحةالبنوك بتعامل تحويلاتنا كنشاط روبوت؟«آليات الوقاية الروبوتية قبل تعليمات الدفع»دليل مكافحة الاحتيال للبنوك

9المصرفية المفتوحةمتى تفعّل البنوك إنشاء المدفوعات؟ وكم بنك؟«جاهزية البنوك لتفعيل خدمات إنشاء المدفوعات»ساما · 17 سبتمبر 2026

10البيئة التجريبيةنتقدم للبيئة التجريبية أو للترخيص مباشرة؟«بعد نجاح فترة التجربة ضمن البيئة التجريبية التشريعية للبنك المركزي»ساما · 26 مارس 2026

11الترخيصأي ترخيص بالضبط: إنشاء مدفوعات مستقل أو شركة مدفوعات؟«عشرون ألف ريال للحصول على ترخيص خدمات إنشاء المدفوعات.»اللائحة م23

12المصرفية المفتوحةالتحقق وفحص العقوبات والغرض من التحويل: علينا أو على البنك؟«فحص جميع المعاملات الصادرة قبل تنفيذها»TFS 3.6 · CFFR 4.1.9 · غسل الأموال 10/2

09