当智能体信任跨越组织边界：结构外化与信任证据参考模型

跨组织智能体动作的依赖方，无法只根据生产域控制与记录，判断一次有界委托动作是否可接受。

• 场景与重要性：作者以企业智能体获权续订云服务并调用提供商配置 API 为例。提供商看到已认证请求和外部效果，看不到员工原指令、对智能体的限制，以及中途工具或检索指令是否改变了任务。企业可提供运行日志，但日志由同一域控制。撤销、证据与提供商记录冲突、或状态服务不可用时，提供商仍须决定接受、隔离、撤销或质疑。作者认为问题是证据性的：对这一特定委托动作，依赖方能确立什么，而又不把生产者断言当作自己的证明。
• 现有方法的不足：作者称间接提示注入、投毒检索、恶意工具描述、持久记忆受损和多智能体通信攻击给出了已授权工作流偏离委托任务的路径，但这些研究识别失败模式，并不估计部署流行度。风险框架与管理体系标准描述治理、评估、监测和响应职能，却没有回答另一组织对一次有界动作、在一个行政边界上应能核验哪些证据。同一权威控制信任根、策略、主记录和状态职能时，技术接口或 API 本身不产生外部证据语义需求。
• 核心观察：作者区分本地控制与跨域依赖。当独立治理的依赖方必须依据权威与证据分属多个域的命题采取行动时，它需要生产者不能单方面定义并满足的评估基础，以及在撤销、中断、记录冲突或争议之后仍然有意义的状态或质疑语义。
• 本文提出：作者提出 Trustworthiness as a Service（TaaS），将其定义为由可互操作服务与证据模式组成的智能体信任控制画像。分析单位是跨域依赖命题。三项贡献为：三条件结构外化诊断、把不可变工作流清单连接到追加式签发者署名证明的信任证据画像，以及拓扑中立的逻辑参考模型与 TaaS-Eval 评测协议提案。
• 范围说明：作者称 TaaS 组合既有身份、授权、来源、保证与治理机制，而不是替换它们。范围排除原型、基准结果、定理、穷尽文献综述、法律责任分配和通用部署拓扑。有效签名既不确立事件为真，也不确立证据完整。

作者用有目的、框架驱动的综合，而不是穷尽综述。语料非穷尽；被引攻击研究只用于识别失败模式，不估计流行度。作者把先导工作视为可组合机制，而不是有缺陷的替代方案。

可信 AI 治理

• 伦理指南、风险管理框架、管理体系标准与审计研究（[7]、[9]、[24]–[26]）——描述可靠性、隐私、问责、监督与组织控制方面的义务。作者称这些来源指出组织应治理什么，而本文问的是依赖方如何在指定边界上评估一次特定委托动作。
• EU AI Act 与 OWASP 清单（[35]–[37]）——在治理议程中被引用，分别对应协调规则以及 LLM 应用与智能体应用的风险清单。论文未把它们当作实验基线。

智能体威胁

• 间接提示注入、投毒检索、恶意工具描述、持久记忆受损与通信攻击（[1]–[6]）——记录表面上已授权的工作流如何偏离用户任务或运营方策略。作者用它们识别不利条件与证据需求，不估计流行度。
• AgentHarm（Andriushchenko 等，2025，[34]）——被列为衡量 LLM 智能体有害性的基准。本文没有使用该基准做实验。

身份、授权与信任管理

• PKI、零信任、分布式访问控制演算、KeyNote 与自动信任协商（[11]–[16]）——提供主体、凭证、策略符合、委托与披露的既有模型。作者称 PKI 提供主体与密钥校验及证书状态；零信任分离策略决策与执行；信任管理与协商提供凭证、委托和披露模型。
• DID 与可验证凭证（W3C，[17]、[18]）——提供可携带标识符以及签发者–核验者语义。

来源、保证与控制平面

• W3C PROV、in-toto、SLSA、SPDX 与 C2PA（[19]–[23]）——提供实体、活动与智能体关系，以及软件与数字内容的证明或来源结构。作者称这些机制提供词汇和核验模式，本身并不决定某次智能体动作在依赖方策略下是否可接受。
• 零信任与面向智能体的运行时治理（[12]、[27]–[29]）——区分策略决策与执行，并把运行时治理放在工具调用、通信与执行周围。相邻的 TaaS 与保证表述（[30]–[33]）处理合规证明、网络服务信任或协作编排；作者称它们强化了对可复用信任证据的需要，但没有固定同一分析单位。NIST SSDF（[38]）出现在参考文献中，正文未把它用作评测基线。

基线方法与基准：论文没有经验基线或数值基准。Section II 与 Section VII 把本地控制基线与所提信任证据画像作分析对照，场景是跨组织工具调用、委托多智能体工作流、事后证据冲突与恢复。这些是分析案例，不是实验。

作者把本文定位为：既有机制的智能体专用坐标，把它们的输出绑到指定主体、委托任务、动作、依赖方、信任边界和不利条件；已提供这些绑定与连续性语义的部署无需再加一套重复服务。

整体思路是概念设计。TaaS 是智能体信任控制画像：对满足结构外化诊断的跨域依赖命题，用不可变工作流清单连接追加式、签发者署名的类型化证明，并由拓扑中立的逻辑参考模型分配角色。三个研究问题是：何种条件下任何单一行政域都不能单方面定义并验证一条智能体信任命题（RQ1）；需要何种机器可读证据画像，把委托动作绑到身份、任务范围授权、执行决策、来源、有效性、披露与恢复（RQ2）；依赖方如何评估这些输出在信任域之间仍可核验、可用、顾及隐私且能响应失败（RQ3）。

分析单位与编码

• 跨域依赖命题：关于智能体相关主体或动作的陈述，依赖方必须跨行政信任边界接受、拒绝、审计、定价、质疑或以其他方式使用。例子包括：智能体是否被授权为指定任务调用提供商工具；所披露轨迹是否属于相关执行；先前授权在撤销后是否仍然有效。
• 七个编码字段：issuer；subject and action；relying party；trust boundary；dependencies；adverse condition；verification or adjudication semantics。作者用它们把断言的真实性与其真实性、策略可接受性、证据充分性和法律效果分开。
• 构建四步：先把五条谱系改写成带编码字段的命题；再施加结构外化诊断；把设计关切整理为非穷尽的 C1–C12 覆盖框架；最后把逻辑参考模型应用到三个分析场景，并与本地控制基线比较独立依赖方能确立什么。

三条件诊断与语义谓词

• 行政信任域：由同一权威治理的主体、信任根、策略、凭证、运行时控制、主记录和状态职能。网络跳、进程边界或厂商 API 本身不构成行政信任边界。
• 角色：producer 产生断言或证据；issuer 在声明的核验方法下提供断言；verifier 对断言、支持证据、信任根和状态信息施加核验；relying party 据此行动，可自己核验或委托核验但保留决定。policy authority 控制规则；adjudicator 在普通核验不能解决分歧时处理争议记录。同一组织可兼任角色，但合并会改变依赖方可获得的独立程度。
• 六个谓词：authenticity、integrity、semantic conformance、policy acceptability、evidentiary sufficiency、legal effect。作者称完整性不确立完备性，语义符合不确立所述事件发生过；真实性、完整性或策略接受也不能单独决定法律效果。
• 三条件：有效性依赖多于一个行政域控制的证据或权威；至少一个依赖方必须在不授予生产者对主张与证据的单方权威的情况下核验或行动；核验、状态检查或裁决在撤销、失败、记录冲突或争议之后仍须可用。三者同时成立才是正类。正类只要求可互操作的核验或裁决语义，不要求中心服务、公共账本或普遍第三方。负类至少明显缺少一条件；边界类随依赖目的、可接受保证基础或制度安排变化。

覆盖框架与生命周期

• 画像边界：TaaS 把委托智能体动作绑到主体、任务范围授权、执行决策、来源、有效性、披露，以及针对指定依赖方和显式命名信任边界的失败或恢复语义。它规定独立生产者与消费者必须能表示和解释什么，不规定托管平台、单一控制平面或一种部署拓扑。符合画像不能确立智能体、系统或组织在一般意义上可信。
• C1–C12：非穷尽检查清单，不是可信 AI 的划分，也不要求十二个服务。C1 身份信任、C2 授权控制、C3 意图治理；C4 可靠执行、C5 行为来源、C6 可观察保证；C7 隐私与保密、C8 供应链完整性、C9 治理与合规；C10 计量与结算、C11 事件响应与恢复、C12 信任协商。诊断附着于陈述的命题、边界、依赖和不利条件。
• 生命周期：Figure 2 把画像组织成生命周期而不是依赖顺序。治理与信任协议确立可接受签发者、模式、策略和信任根。主体身份、任务与意图、执行上下文和委托成为授权输入；授权约束执行，执行治理尝试的动作及其可观察效果。证据在这些运行阶段追加。审查有三条反馈路径：撤销更新状态与可接受权威；恢复只在所述后置条件被核验后重新开放接受；协商修订协议、模式、披露条款、状态端点、策略版本或信任根。各路径可以改变后续决定，但不改写更早的证据。

信任证据信封

• 定义：机器可读的证据与决策容器，针对一次有界智能体动作。它是接口契约，本身不是法律协议。不可变清单标识工作流与信任域；服务追加类型化证明与证据引用，而不覆盖另一签发者的断言。接口契约指双方同意支持的语法、解释、核验输入和失败行为。
• 清单：固定 manifest_id 与 manifest_version、模式与版本、签发者、核验方法、完整性引用、工作流、参与的行政信任域、主体、受众、依赖方、依赖目的、动作或资源、创建时间、披露画像、因果前驱和端点目录。不可变是版本规则而不是规定的存储技术。更正或重新协商产生带显式前驱引用的新版本；新工作流获得新清单标识。两者都不编辑已有证明所针对的清单。
• 证明：追加式类型化证明。每条有稳定 attestation_id，并显式引用适用的 manifest_id 与 manifest_version。取代、撤销、更正、反证和恢复是后续类型化证明，点名受影响对象；目标不能从追加顺序推断。该规则兼容数据库、联邦仓库、内容寻址对象存储或透明机制，但不确立完备性或一致的全局历史。
• Table II 的七个组件：Manifest；Authority attestation；Policy/decision attestation；Execution/provenance attestation；Assurance/status attestation；Disclosure view；Challenge/recovery record。另有一组公共证明字段。核验分阶段：先检查清单签发者、方法和完整性，再解析模式与不可变标识；对每条证明检查标识唯一性、清单引用、签发者信任、签名或摘要完整性及相关时间；再检查委托范围、策略依据、因果引用、证据可用性、披露缺口、到期和当前或历史状态。通过较早阶段不意味着后续接受。状态必须针对受审查事件评估；检查时状态也要记录，但不能替代历史状态。
• 披露、质疑与密码学限度：披露视图是面向受众的类型化派生，链接到源信封，记录目的、纳入与省略字段、脱敏或变换及披露权威。质疑记录点名受争议标识、质疑者、依据、反证、所请求补救和响应期限。作者称在可接受核验方法且签发者密钥未受损时，有效签名可支持归属和已签名表示的完整性；哈希可支持相对于独立受信任摘要和规范化过程的完整性。二者都不确立真实性、完备性、授权、因果正确性或不存在含糊陈述。

逻辑参考模型与成功判定

• 角色与域：逻辑参考模型把信封职能分配给显式角色和信任域，并承认集中、联邦和协议中介三种拓扑。作者称模型分离角色与信任域；已暴露所需绑定与连续性语义的部署可以满足画像，而不增加重复服务或中心平台。
• 独立核验的含义：独立核验描述对接受程序及其输入的控制，并不承诺对每个事件都有独立观察。较低链条故意不是单一生产者签发的裁决：授权可在委托域签发，执行由资源域观察，状态或质疑记录由另一被接受权威维护。
• TaaS-Eval：Section VII 把三个分析场景与独立消费、撤销、篡改、省略、重放、含糊陈述、披露和恢复测试配对，并定义清单、独立消费者、硬门、对抗证据测试、指标和可复现工件报告。成功判定是协议提案中的硬门与连续性语义，而不是已实施的实验分数。论文未给出可执行的攻击改写步骤。

实验设置

• 研究性质：作者把问题当作概念设计，不是系统验证。有目的、框架驱动的综合提供命题。方法支持概念构建与内部一致性检查，不支持经验有效性或现场采用。
• 被测模型：论文未报告被测模型。未实施原型。
• 场景：三个分析场景，不是实验：跨组织工具调用、委托多智能体工作流、事后证据冲突与恢复。每个场景比较本地控制基线与所提信任证据画像，并记录独立依赖方能确立什么。
• 诊断用例：Table I 给出代表性应用，分类附着于所述命题、边界和不利条件。跨组织工具调用在“撤销的委托或重放的请求”下为正类；内部允许/拒绝决策在“策略更新或运行时中断”且不跨越行政信任边界时为负类；选择性来源披露在“选择性省略、冲突记录或生产者受损”下为边界类；事后恢复证明在“冲突日志、状态不可用或持续争议”下为正类。
• 协议提案：TaaS-Eval 定义清单、独立消费者、硬门、对抗证据测试、指标和可复现工件报告。对抗测试覆盖撤销、篡改、省略、重放、含糊陈述、披露和恢复。作者称场景可以暴露歧义、缺失语义和相互矛盾的假设。
• 评审方式：无独立编码员、正式专家验证小组、穷尽语料检索或评分者一致性研究。无样本量、重复次数或评审模型。

主结果

论文没有基准分数、攻击成功率或模型对比表。Table I 是诊断分类，不是性能结果。

用例	不利条件	分类
跨组织工具调用	撤销的委托或重放的请求	正类（据 Table I）
内部允许/拒绝决策	策略更新或运行时中断	负类（据 Table I）
选择性来源披露	选择性省略、冲突记录或生产者受损	边界类（据 Table I）
事后恢复证明	冲突日志、状态不可用或持续争议	正类（据 Table I）

• 正类含义：作者称正类只识别对可互操作语义的需要，不表明断言为真、完整、在每种策略下可接受、对另一目的证据充分或具有法律效力，也不说明密钥保护、采集质量、服务可用性、隐私、治理能力或实现正确性。
• 负类含义：作者称负类并不使服务部署变得不必要，只表明所述命题可以在一个行政域内决定。内部允许/拒绝一例中，本地策略版本、决策和日志语义即足够；后来的外部认证命题将是另一命题。
• 边界类：选择性来源披露的分类取决于审计目的和可接受的保证；需要定义披露范围、谱系、状态、质疑以及任何独立印证。

分析场景对照

• 测了什么：对三个分析场景，比较本地控制基线与信任证据画像下，独立依赖方能够确立的内容。场景不是实验，论文未报告可量化的确立率。
• 作者的对照要点：本地控制在同一权威掌握信任根、策略、主记录和状态职能时仍然必要。跨域时，信封要保留分属不同签发者的归属和因果引用，并允许核验者拒绝某一签发者、识别缺失依赖或保留相互冲突的记述。
• 证据洗白：作者称来自受损运行时的形式良好且已签名的信封可以洗白虚假证据。签名可以支持归属并检测事后篡改，同时生产者仍可能编造事件、省略反证记录，或向不同依赖方给出不一致记述。模式有效和签名检查成功因此不能当作真实性检验。

评测协议提案

• 测了什么：TaaS-Eval 提案把场景与独立消费测试以及撤销、篡改、省略、重放、含糊陈述、披露和恢复测试配对，并要求硬门与可复现工件报告。
• 结果：论文未报告任何协议运行结果、通过率或工件实例。指标在提案中被命名为对独立消费、硬门结果、证据连续性行为和工件报告完备性的检查，以及随场景条件变化的比较；论文未给出这些指标的数值定义或阈值。
• 作者的解读：作者称协议提案说明以后的实现可以如何评测，而不把生产者自己的账户当作唯一预言机。

其他消融与分析

论文未报告消融、参数分析或失败案例的定量结果。定性例外是：负类命题不需要外化语义；边界类随目的与保证基础变化；已签名信封在生产者受损时仍可能为假或不完整。

作者指出的局限与后续方向

• 有效性边界（Section II.D）：方法支持概念构建和内部一致性检查，不支持经验有效性或现场采用。没有使用独立编码员、正式专家验证小组、穷尽语料检索或评分者一致性研究。分析不做流行度推断。
• 场景不能替代实证（Section II.D）：作者称演算过的场景可以暴露歧义、缺失语义和相互矛盾的假设；它们不能替代实现研究、对抗试验或独立组织的评测。这些限制约束对诊断、证据画像、参考模型和评测协议的主张。
• 范围排除项（引言）：范围排除原型、基准结果、定理、穷尽文献综述、法律责任分配和通用部署拓扑。
• 语料（Section II.A）：语料非穷尽；被引攻击研究确立的是可成立的失败模式，而不是它们在已部署系统中的流行度。
• 诊断结论有限（Section III）：正类识别的是对可互操作语义的需要，不表明断言为真、完整或具有法律效力，也不说明密钥保护、采集质量、可用性、隐私、治理能力或实现正确性。任何法律后果仍属于适用协议、法律或裁决者。
• 研究议程（Section VIII，按论文结构）：作者把治理与研究议程放在评测协议之后。论文称贡献支持可互操作治理和未来评测，同时不把生产者断言当作地面真值。作者计划由后续实现按 TaaS-Eval 接受评测；本文未完成该评测。

实验覆盖范围

• 工作形态：Section II 与 Section VII 的材料是编码框架、Table I 的四则诊断分类，以及三个分析场景与 TaaS-Eval 协议提案。论文未报告原型运行或基准分数。
• 场景：三个分析场景为跨组织工具调用、委托多智能体工作流、事后证据冲突与恢复；每则对照本地控制基线与所提画像。
• 诊断表：Table I 覆盖正类、负类和边界类各至少一则，不利条件包括撤销或重放、策略更新或运行时中断、选择性省略或冲突或生产者受损、冲突日志或状态不可用或持续争议。
• 协议内容：TaaS-Eval 写明独立消费者、硬门，以及撤销、篡改、省略、重放、含糊陈述、披露和恢复测试，并要求可复现工件报告。论文未报告这些测试的执行次数、通过数或评审一致性。
• 拓扑：逻辑参考模型承认集中、联邦和协议中介拓扑，但论文未报告任一拓扑上的实现测量。

Li 与 Xia 给出一份概念性的智能体跨域信任控制画像，称为 Trustworthiness as a Service（TaaS）。问题是：依赖方要接受、拒绝、审计、定价或质疑一次跨越行政信任边界的委托动作时，不能把生产域的日志或签名断言当作自己的证明；撤销、中断、记录冲突或争议之后，状态与质疑语义仍须可解释。

分析单位是带七个编码字段的跨域依赖命题。结构外化诊断要求三条件同时成立：有效性依赖多个行政域；依赖方的核验不能把主张与证据都交给生产者单方定义；核验、状态或裁决在不利条件下仍可用。Table I 将跨组织工具调用和事后恢复证明标为正类，将不跨边界的内部允许/拒绝标为负类，将选择性来源披露标为边界类。

满足诊断的命题使用信任证据信封：不可变工作流清单加上追加式、签发者署名的授权、策略与执行、来源、保证与状态、披露、质疑和恢复证明（Table II）。逻辑参考模型把这些职能分给显式角色和信任域，并承认集中、联邦和协议中介拓扑。有效签名只支持归属和完整性，不确立事件为真或证据完整。

论文没有原型或基准数字。三个分析场景把本地控制与该画像对照；TaaS-Eval 提案规定独立消费、硬门和一组对抗证据测试及工件报告，但未给出运行结果。作者的结论是：TaaS 通过组合既有身份、授权、来源、保证和治理机制，使证据依赖、独立核验、质疑和恢复成为显式接口，从而支持可互操作治理和以后的评测，同时不把生产者断言当作地面真值。作者同时把主张限制在概念一致性之内。