PCM：用于可验证多智能体通信的携带证明消息协议
PCM: A Proof-Carrying Message Protocol for Verifiable Multi-Agent Communication
论文速读
据论文全文整理（AI 生成），以原文为准
论文提出 PCM（Proof-Carrying Messages）协议，让智能体间消息的每条声明附带发送方无法篡改的密码学证据，在 926 条真实消息基准上仅接受 1.4% 的谎言，而普通 A2A 接受全部 712 条。
- 多智能体系统中，接收方只能凭发送方一面之词相信“测试通过了”“某人批准了退款”这类声明；A2A、MCP 等只认证信道，而发送方恰是可疑方，被 prompt 注入的 agent 可借多跳传播伪造事实与权限。
- 提出 Proof-Carrying Messages（PCM）：agent 的工具调用经其无法控制的 attesting signer 记录进只追加 Merkle log，消息携带带 inclusion proof 的日志记录，接收方离线核验并给出 proven/unproven/failed 三值；权限以人批准的 grant chain 传递且只能收窄。
- 在 926 条真实运行消息（含 16 类共 712 条谎言）上，PCM 接受 10 条谎言（1.4%），全为 stale evidence；plain A2A 接受全部 712 条，六个已部署协议模型接受 504–712 条；两个独立 verifier 对全部 926 条判定一致，验证约 1 ms。
- PCM 不能让被攻陷的 agent 变诚实，signer 是可信计算基础；声明只说明某事曾发生，不说明现在仍成立，故 stale evidence 无法排除；也无法证明缺失、不提供机密性，且 0.1 无撤销机制。
论文提出 PCM（Proof-Carrying Messages）协议，让智能体间消息的每条声明附带发送方无法篡改的密码学证据，在 926 条真实消息基准上仅接受 1.4% 的谎言，而普通 A2A 接受全部 712 条。工具调用由智能体无法控制的证明签名者记录进仅可追加的 Merkle 日志，接收方离线核验并给出 proven、unproven、failed 三值结论，仅凭智能体自述的声明永远不会被判为 proven；权限以根植于人类审批记录、只能收窄的授权链传递，智能体不持有签名密钥。基准 PCM-Lies 含 16 类共 712 条谎言，六个已部署协议（A2A 1.0、AP2、SCITT 等）的规格模型接受其中 504–712 条，PCM 接受的 10 条全部为过期证据（事件确曾发生但随后被撤销）；两个独立实现的验证器对全部 926 条消息结论一致，单条验证约 1 毫秒。
推荐理由论文为多智能体通信设计了让每条声明附带可验证证据的协议，基准显示已部署协议模型接受七成以上谎言而 PCM 仅接受 1.4%。