基于加密绑定身份验证能力令牌协调分布式 AI 智能体的提案

自主交易型智能体遭提示注入时，上下文里的软约束挡不住凭证外泄，需要可强制、可去中心化扩展的授权。

• 场景：作者认为高能力语言模型使自主编排有吸引力，但提示注入会破坏上下文中的软性 guard rails；凭证外泄若不缓解，这类智能体将因失信而不可用。作者称智能体增多后，安全框架需要去中心化才能扩展。
• 不足：作者认为集中式身份管理难以随规模成立。Figure 1 对照 ACL 与能力视图；对可能短命的开放系统智能体，作者认为能力视图更易扩展并支持委托。
• 提案：令牌绑定智能体与签发者身份并写明范围；服务在行动前确认委托链只收窄范围。作者称，把该层放在语言模型上下文外的安全模块中，边界即可强制执行。做法采用 W3C DID、VC 和类似 OAuth 智能体授权草案的衰减委托，并用假日预订写出交换过程。撤销在后文作为设计取舍讨论。
• 威胁模型：
  • 目标：劫持用户发给智能体的令牌，向目标服务冒用；秘密外泄与约束修改被作者视为首要攻击面。须留在上下文外的是身份、签名和生成 VP 的密钥，且 LLM 不能靠猜测签名秘密造出有效令牌。
  • 假设：人与智能体无需中心签发即可出示对 DID 的控制；未被撤销的签名链即足够授权，短有效期用来缓解计时攻击。作者假设用户信任其所访问的核心服务。论文未写 white-box 或 black-box。
  • 途径：声称未控制的 DID、篡改令牌或 VP、提示注入，以及在合法提供方边界内改权限。令牌须防重放。经互联网使用的签发与撤销程序也构成攻击面。画像不能完全消除，作者认为短寿命令牌有助于抑制身份盗用。
  • 范围：作者称因实现差异，本提案一般不能覆盖针对这些密钥的全部攻击。

相关研究集中在授权草案、去中心化身份，以及命名、注册和厂商方案。论文未把它们做成实验基线，也未使用评测数据集。

标准草案中的授权

• Agent Authorization Profile：IETF 的 OAuth 2.0 草案 [5] 把授予智能体的能力做成签名 JWT，JSON 中含约束和可核验的授权轨迹，供服务确认真实性与权限。作者称该扩展与基于能力的安全模型一致。
• 撤销端点：RFC 7009 [19] 规定令牌撤销端点，并预期撤销会传到相关服务。作者在撤销一节沿用这一路线，同时给出不想把中心服务当作必要组件时的三种设计。
• 持久服务上的损害：引言称文献 [4] 讨论了用户把 Google Drive、Calendar 等持久服务交给智能体时，如何限制可能的损害。

DID、VC 与握手

• 身份与凭证：Garzon 等 [2] 讨论基于 W3C（含 DID）的长期身份和可验证凭证。[6] 与 [7] 提议用 DID 加 VC 做智能体身份。作者写到：DID 凭对域名或子域的可证明控制来识别智能体，公共目录按标识提供 DID 文档 [16]；VC 用 BBS+ 只出示所需子集，各次 VP 相互解绑以抑制画像。
• 握手草案：W3C CG 的 AI agent protocol [8] 仍是草案，规定智能体之间如何握手。作者称 [8] 在交换任务和能力之前使用 DID 文档。
• 域名证书：作者写 HTTPS 与已知签发方的证书可以确认智能体属于某域，多个智能体可用子域证书区分。Let's Encrypt [17] 使证书可以很便宜甚至免费，作者认为更中心的角色随之落到域名注册商。引言用 Mazzocca 等的综述 [3] 支持“智能体需要这类密码学机制”这一说法。

命名、注册与厂商

• Agent Name Service：[9]（概述见 [10]）提供可密码学校验的智能体命名，作者称之为类似 DNS 的服务，对象包括 AI 智能体和其他智能体。
• Agent Identity Registry：[11] 提出联邦式管理，把自主实体的身份锚定到硬件安全模块。
• 云厂商与 Digicert：作者称 AWS、Microsoft、Google [12][13][14] 各自提出了智能体身份与授权协议；Digicert 白皮书 [15] 概述结合 PKI、代码签名和 attestation 的信任架构。

作者的定位是：既然不能指望集中管理身份在规模上可行，就把 W3C DID、VC 和类似上述 OAuth 草案的能力令牌合在一起，委托严格衰减，并由语言模型上下文之外的模块执行。

代表人类的智能体不在语言模型上下文中持有密钥，而凭能力令牌（capability token）访问服务：令牌绑定身份，委托只收窄范围，校验发生在上下文外的钱包和接受方。

身份、令牌与委托链

• 身份：公私钥对可由信任方签名，以见证它与智能体的关联。作者指出，向服务出示这一关联、又不必呼叫信任方，并不简单。银行等终端要预先按公钥登记用户；若改由智能体服务商记账再收费，用户更难约束失控行为。DID 文档是 JSON，目录上的信任会部分转到持有对应私钥的一方。域名加 HTTPS 证书也可表明智能体属于该域。智能体需要安全 URI 端点，以便做质询应答。
• 令牌：作者把 capability 定义为不可伪造地指明服务，并限定可用功能。令牌是签名 JSON，含智能体身份、签名者（用户或上游智能体）、目标资源和约束，例如用途、预算、读写、再委托和到期。访问时出示 bearer token；服务独立校验，并可要求对随机串签名，以确认持有者控制令牌中的身份。能力也可门控本地目录和工具，但工具须走具备能力意识的系统设施。
• 链与衰减：用户向特定智能体签发限时、带配额、可再委托的许可，身份与公共目录对照。下游令牌必须挂在自己的授权上。服务检查每一步只衰减、不放大。脚注写明衰减是否成立取决于领域。作者称，若签发层和凭证放在安全模块中（可以有硬件支持），私钥不进入任何上下文，模块只经接口返回加密并签名的结果，则经上下文外泄密钥在构造上不可能。

钱包与三层校验

• Table 1：用户到智能体是主能力令牌，授权协调者代表用户。智能体到智能体是委托令牌，表内写为 ECDSA 签名的 JWT，用于限制在声明权限内并防止权限提升。智能体到服务是 W3C VP，表内写 did:jwk 与 ECDSA，用于认证且不暴露原始凭证，并由钱包策略阻止提示注入造成的外泄。
• 后文的密码套件：Figure 4 的签发密钥是 BLS12-381 上的 BBS+。钱包持有签名 VC，在 LLM 上下文外执行策略；验证方发质询、核验签名并消费 nonce。Figure 6 至 9 的出示是 BBS+ 零知识证明。实现建议写采用 BBS-2023，而不是基于 ECDSA 的证明，以使 VP 不可链接。论文没有说明 Table 1 为何写成 ECDSA。
• 隔离：作者认为长寿命令牌加大外泄风险，因为由注入触发的攻击取决于实现，不能一般地排除。钱包去掉智能体读取原始签名凭证并自行制作 VP 的能力，以独立进程和类型化进程间通信运行。各种拒绝返回相同信息，以免变成预言机。作者建议用钱包持有的秘密做 HMAC，而不是文中点名的 SHA-256。作者称这仍不能完全消除风险。
• 出示检查：按验证方派生 pairwise DID；身份与支付各用一把，且彼此不同。派生前检查声明属于允许集合、域名属于允许的验证方、质询存在。nonce 通过后进入已消费集合。Figure 9 中身份证明披露 memberOf 与 role，支付证明披露 ceiling 与 currency，另有字段被标为不进入证明。

假日预订中的阶段

• 分工：用户委托协调者 Atlas，再由它委托 Skyway（航班）、Haven（酒店）、Gourmand（餐厅）和 Roadster（本地交通）。作者希望子智能体看不到与己无关的行程。用户提交行程参数和 USD 5000 预算，令牌由用户私钥签名。
• 两段权限：Skyway 只获得冻结机票的权限和 USD 1500。各智能体先占位，Atlas 汇总后再请用户批准付款。用户可退回修改，此时 Atlas 撤销并按新约束重发。同意后撤销全部冻结令牌，改发金额更精确的花费令牌。撤销给 Atlas 的能力被写成紧急停止：服务沿链看到上游已撤销，或发现某步没有衰减，都可以拒绝。
• 消息阶段：Figure 5 中钱包在浏览器后台生成 BBS+ 密钥，发出 EmployeeCredential 与 PaymentAuthCredential；主能力含 can_delegate，TTL 为 2 小时。智能体只能指示钱包去和对方通信，不能与钱包交换数据，钱包由用户直接控制。Figure 6、7 里钱包向航班和酒店验证方出示；酒店使用新的 pairwise 密钥，作者称因此与航班会话不可链接。酒店示例还包括向验证方出示公务出行及报销主体，通信发生在钱包与验证方之间。Figure 8 在用户确认后撤销 search+hold，发出 short TTL 的 book-only 令牌，再执行预订。
• 审计与发现：作者称令牌的创建、交换和撤销形成可密码学校验的审计轨迹；多个智能体使轨迹分成多条线性时间线程，而不是用户亲自操作时的单一严格顺序。付款本身仍由支付提供方实现，该流程核验的是触发付款之前的决定。作者写明智能体发现不在本提案范围内。

撤销的设计取舍

• 在线与离线：作者称，若接收方纯离线验证令牌的全部内容，撤销很难甚至不可能；任何中介都会增加延迟。作者认为网络已经普遍可用，因此验证端点带来的延迟在多数情况下可以接受，以换取能尽快撤销。
• 三种备选：一是令牌全部短寿命（作者举例 5 分钟），超时后刷新，因撤销而刷新失败则视为无效，这要求交易能较快完成。二是每个令牌引用父令牌，服务走完整条链，从而可在任意子树撤销，延迟随委托深度变化。三是在已知端点发布密码学累加器，能力中携带见证和纪元；令牌被移出累加器则校验失败。作者称第三种密码学更复杂，但也有一些有用性质。

实验设置

• 性质：全文是提案加走查，没有对照实验。论文未列出被测语言模型、基准或数据集规模、基线系统、数值指标、评审模型、样本量或重复次数。
• 示例角色：Table 3 为 User、Wallet Module、Atlas、Skyway、Haven、ServiceVerifier。叙述里还有 Gourmand 与 Roadster，后续阶段图没有展开它们。
• 材料：Figure 3 是委托链，Figure 4 是架构，Figure 5 至 8 是初始化、航班、酒店和许可升级，Figure 9 是单次服务的凭证出示。Table 1 是三层安全，Table 2 是钱包残余风险。Figure 2 只有标题“智能体服务内部结构”，正文没有逐项解释图中模块。
• 作者给出的通过条件：签名链未被撤销、每步委托只衰减、出示通过钱包策略和签名校验时，服务才执行。论文没有把该条件做成自动评测。

主结果

论文没有测量结果。下表只收录示例和设计讨论里写明的设定。

项目	论文中的写法	出处
用户总预算	USD 5000	示例步骤 1
机票冻结预算	USD 1500	示例步骤 2
主能力	can_delegate，TTL 2 h	Figure 5
短寿命刷新	5 分钟（作者举例）	撤销备选 1
最终预订令牌	short TTL，论文未给数字	Figure 8
酒店出示	新的 pairwise DID，与航班会话不同	Figure 7

• 两段授权：作者用先占位、经用户同意再升级为付款来安排用户留在回路中；用户要求改方案时，撤销并重发令牌。
• 紧急停止：作者称服务沿授权链看到上游已撤销就可以拒绝；委托有一步没有衰减时也可以拒绝。
• 出示与审计：作者称酒店与航班的出示相互解绑；审计轨迹按多个智能体分成多条线性时间线程。最终付款仍要支付提供方另行实现。

残余风险清单

• Table 2 的标注：这不是测量。六行的 Effort 依次为 Low、Medium、Medium、High、Medium、N/A，对应聚合披露、VP 经过 LLM 上下文、LLM 取得质询、界面篡改策略、签名 VP 前不做凭证状态检查、独特声明组合使人按内容再识别。
• 作者给出的缓解方向：限速并要求每次出示得到用户同意；钱包把 VP 直接交给验证方，智能体只收到通过或失败；质询走带外通道；策略变更要带外第二因素；签名前检查 W3C Bitstring Status List。最后一项作者称不是密码学问题，而靠最小必要披露和声明集合的多样性分析。
• 作者的判断：作者称钱包不能完全消除风险；若实现处理表中的残余模式，会有相当帮助。表中 Effort 最高的是界面篡改策略。

撤销设计

• 没有测量：论文未报告延迟、可用性和实现比较。作者称纯离线验证时撤销很难甚至不可能。作者认为多一次验证端点访问所增加的延迟，在多数情况下可以接受。
• 三种备选的作者表述：短寿命要求交易较快完成；沿父链校验时，延迟取决于委托树深度；累加器的密码学更复杂，但作者称它也有有用性质。
• 和走查的关系：紧急停止，以及从冻结换成预订，都依赖下游能看到撤销。论文未报告这一可见性如何实现。

其他消融与分析

• 论文没有消融或参数扫描，也未报告定量的失败案例。
• 脚注写明衰减是否成立是领域相关的，正文未给通用判定算法。
• 能力令牌一节作者称：私钥不进入上下文、模块只返回加密并签名的结果时，经上下文外泄在构造上不可能。钱包一节作者称：注入触发的攻击不能一般排除，钱包也不能完全消除风险。论文没有把这两句放在一起解释。
• 作者要求服务方内部人员不能访问“已带授权令牌的动作”上的防护；论文未给出做法。
• 威胁模型还要求签发方事后不能否认；论文未报告相应机制的测试。
• 作者写明智能体发现不在提案范围内，并指出发现过程可能被注入恶意智能体，除另有类似证书签发方的信任源外，发现服务能做的很少。

作者指出的局限与后续方向

• 论文未专门讨论局限。 结论没有局限清单，也没有后续工作计划。结论只把只衰减的身份校验令牌称为可扩展做法，并称 W3C DID、VC 与 OAuth 智能体授权草案处于可供采用的标准路径上，BBS-2023 可按任务披露部分凭证。

实验覆盖范围

• 具体材料是假日预订走查：Atlas 协调，Skyway、Haven、Gourmand、Roadster 分担事项；Figure 5 至 9 与 Table 3 展开的是 User、Wallet Module、Atlas、Skyway、Haven 和 ServiceVerifier。
• 防护分成 Table 1 的三层；Table 2 列出六项残余风险及作者标注的 Effort。论文未报告这些风险的测量。
• 撤销一节讨论 RFC 7009 端点，以及短寿命令牌、父链和密码学累加器三种备选。论文未报告延迟或实现比较。
• 作者写明智能体发现不在本提案范围内，并写明衰减约束是否成立是领域相关的。
• 论文未报告被测语言模型、提示注入试验、查询次数、重复次数，以及评审与人工判断的一致性。

代表人类行动的分布式智能体，需要一种不把密钥放进语言模型上下文的授权方式。引言引用 2025 MIT AI Agent Index，称能力增长快于治理。作者要挡住提示注入之后的凭证外泄，并认为智能体变多以后，集中管理身份难以扩展。

• 机制：能力令牌绑定智能体和签发者，委托只许范围变窄，由服务检查整条链。密钥和可选择性披露的出示放在浏览器中的钱包，位于上下文之外。智能体只能指示钱包与对方通信。
• 分层：Table 1 分成用户到协调者、协调者到子智能体、智能体到外部服务。表中后两层写成 ECDSA；走查图和钱包建议则使用 BBS+ 或 BBS-2023，并用一次性质询和 pairwise DID。
• 走查而非测量：场景是巴黎假期。用户预算写作 USD 5000，机票冻结预算写作 USD 1500，Figure 5 的主能力 TTL 为 2 小时。先占位，用户同意后再换 short TTL 的预订令牌。作者把撤销给协调者的能力称为紧急停止。
• 作者的结论：只随委托衰减、并经身份校验的令牌，是管理临时触发的智能体访问资源的可扩展做法。作者称 DID、VC 与 OAuth 智能体授权草案把这些技术放在可供采用的标准路径上，BBS-2023 用于按任务分享部分凭证。作者认为，这类架构必须约束智能体代表用户所能做的事。