🤖 AI

Agent Control Protocol: Admission Control for Agent Actions

Agent Control Protocol (ACP) 是一项专为 B2B 机构环境设计的自主代理治理技术规范，它通过在代理意图与系统状态变更之间引入包含加密身份、能力授权、风险评估及可验证委托链的准入控制层，在现有 RBAC 和零信任架构之上实现了对代理行动的严格管控与审计。

原作者： Marcelo Fernandez

发布于 2026-03-20

📖 2 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Marcelo Fernandez

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇文档介绍了一个名为 ACP (Agent Control Protocol，智能体控制协议) 的技术标准。

为了让你轻松理解，我们可以把自主智能体（AI Agent）想象成一群拥有超能力的“数字员工”。它们能自动帮公司处理转账、审批文件、控制机器。

但在没有 ACP 之前，这些“数字员工”就像一群没有身份证、没有工作证、也没有老板签字的野马。如果它们被黑客控制，或者自己“发疯”了，公司根本拦不住，事后也查不清是谁干的。

ACP 就是为了解决这个问题而生的“数字安检门”和“超级工作证系统”。

1. 核心问题：为什么我们需要它？

现状：
现在的公司里，人类员工有门禁卡（RBAC），网络有防火墙（Zero Trust）。但是，当 AI 代理（Agent）要执行一个操作（比如“转账 100 万”）时，系统往往直接让它做了。

比喻： 就像你让一个机器人去金库取钱，机器人说“我要取钱”，金库管理员直接就把钱给了它。没人问它：“你是谁？你有老板的签字吗？今天允许取这么多钱吗？”

ACP 的解决方案：
ACP 在“机器人想做事”和“系统真的执行”之间，强行插入了一个**“安检环节”**。

比喻： 机器人想进金库，必须先过三道关：
1. 查身份证： 你是你声称的那个机器人吗？（密码学验证）
2. 查工作证： 你的老板给你授权做这件事了吗？（能力令牌）
3. 查风险评估： 现在的环境安全吗？这笔钱会不会转错？（风险评分）
  只有三道关全过，系统才会给机器人发一张“一次性通行证”**，允许它执行那一次操作。

2. ACP 是怎么工作的？（五大核心机制）

我们可以把 ACP 的工作流程想象成**“跨国快递的严酷安检”**：

🛂 第一关：数字身份证 (Identity)

原理： 每个机器人都有一个基于数学生成的“数字指纹”（Ed25519 公钥），而不是简单的用户名。
比喻： 就像你的护照，不是靠名字（容易重名或伪造），而是靠生物特征（指纹/虹膜）。机器人每次说话，都必须用私钥“签名”，证明“我就是我”。

🎫 第二关：能力令牌 (Capability Token)

原理： 机器人不能什么都做，必须持有特定的“任务许可证”。
比喻： 就像**“限时限量的优惠券”**。
- 这张券上写着：“允许在 2 小时内，向 A 公司转账，上限 1 万元”。
- 如果机器人想转 100 万，或者转给 B 公司，或者过了 2 小时，这张券就自动作废。
- 关键点： 这张券是老板（机构）签发的，上面有老板的“电子印章”。

🤝 第三关：握手与证明 (Handshake)

原理： 光有券不行，还得证明券在你手里，且没被偷。
比喻： 就像**“对暗号”**。
- 银行（接收方）问：“请证明你有这张券。”
- 机器人必须现场用私钥对银行出的一个随机数字进行加密签名。
- 如果机器人是黑客，它只有偷来的券（没有私钥），就答不上来，直接拒绝。

⚖️ 第四关：风险评分 (Risk Evaluation)

原理： 即使有证，也要看当时的情境是否安全。
比喻： 就像**“机场安检的 X 光机”**。
- 如果是深夜、IP 地址在境外、或者机器人刚才频繁尝试转账，系统会给它打高分（高风险）。
- 分数太高，直接拒绝；分数中等，可能需要人类老板人工确认（Escalate）；分数低，直接放行。
- 重点： 这个评分是死板计算的（确定性），不是靠 AI 猜的，保证结果公平可预测。

📜 第五关：不可篡改的账本 (Audit Ledger)

原理： 所有的决定（通过、拒绝、升级）都要记在一个链式账本上。
比喻： 就像**“刻在石头上的日记”**。
- 每一页日记都包含上一页的指纹。如果有人想偷偷改昨天的记录，后面的所有日记都会乱码，大家一眼就能看出来。
- 这意味着：事后审计时，你可以完美还原当时是谁、在什么时间、为什么通过了这个操作。

3. 为什么它比现有的技术（RBAC/零信任）更好？

现有的技术（RBAC）是给人设计的，零信任是给网络设计的。它们管不了AI 代理。

特性	传统 RBAC (给人用的)	零信任 (给网络用的)	ACP (给 AI 代理用的)
身份	用户名/密码	设备证书	数学指纹 (不可伪造)
授权	静态角色 (如“经理”)	网络访问权限	动态任务券 (限时、限量、限事)
跨公司	很难，需要共享数据库	很难，需要复杂配置	天生支持 (只需验证公钥)
追责	查日志 (可能被改)	查日志	链式账本 (不可篡改)
核心区别	假设人是可信的	假设网络是危险的	假设 AI 可能失控，必须实时拦截

比喻：

RBAC 像是给员工发了一张**“公司大门通行证”**，只要进了门，他想去哪层楼、拿什么东西，系统通常不拦。
ACP 像是给员工发了一张**“智能手环”**。他想去拿文件，手环会问：“老板同意吗？现在几点？文件重要吗？”如果不符合条件，手环直接锁死，不让他拿。

4. 跨公司合作：信任的“外交官”

在商业世界里，A 公司的 AI 可能需要帮 B 公司干活。

以前： A 公司必须把 AI 的账号密码给 B 公司，或者双方建立复杂的专线，非常不安全。
ACP 模式：
- A 公司给 AI 发一张**“外交护照”**（由 A 公司的最高信任锚点签名）。
- B 公司不需要信任 A 公司的内部系统，只需要验证 A 公司的**“外交印章”**（公钥）。
- 只要印章是真的，B 公司就承认这个 AI 有权干活。
- 比喻： 就像你去国外，只要你的护照上有本国大使馆的章，外国海关就认，不需要他们去查你本国的户籍系统。

5. 总结：ACP 到底解决了什么？

这篇论文的核心思想是：AI 代理不能“裸奔”。

在 2026 年（文档设定的时间），AI 代理将像员工一样无处不在。ACP 提供了一套**“法律 + 技术”**的框架：

事前： 用密码学证明身份，用令牌限制权限。
事中： 用风险模型实时拦截危险操作。
事后： 用不可篡改的账本提供法庭级别的证据。

一句话总结：
ACP 就是给疯狂的 AI 机器人戴上了**“紧箍咒”，并给它们发了一张“带编号的、一次性的、可追溯的”**工作证，让它们在企业的金库里既能干活，又不敢乱来。

这不仅是技术升级，更是让 AI 真正进入企业核心业务（如金融、政府、关键基础设施）的入场券。

Agent Control Protocol (ACP) v1.13 技术总结

1. 研究背景与问题 (The Problem)

随着自主智能体（Autonomous Agents）在企业级（B2B）环境中的部署日益普及，现有的治理框架存在严重的结构性缺口：

决策与执行的界限模糊：在现有模型中，智能体的决策与执行是同一事件，缺乏中间的正式验证环节。一旦智能体被攻击或产生错误指令，系统缺乏干预点。
现有方案的局限性：
- RBAC (基于角色的访问控制)：主要设计用于人类用户，缺乏对动态代理链的验证能力。
- 零信任 (Zero Trust)：侧重于网络访问和持续身份验证，但无法解决智能体在跨机构环境下的动态委托、风险量化及不可篡改的审计问题。
- 缺乏可审计性：当智能体执行操作时，缺乏形式化的技术机制来证明该操作是在授权范围内进行的，导致外部审计困难。
核心痛点：机构无法证明其智能体在受控范围内运行，且缺乏跨组织边界（Cross-Organization）的互操作性标准。

2. 方法论与核心机制 (Methodology)

ACP v1.13 提出了一种**准入控制（Admission Control）**层，位于智能体意图与系统状态变更之间。其核心设计原则是“故障即关闭”（Fail Closed），即任何内部组件故障均导致拒绝执行。

2.1 核心架构

ACP 不替换现有的 RBAC 或零信任架构，而是作为其上层治理层，通过以下五个步骤实现准入控制：

身份验证：验证智能体身份（基于加密公钥）。
能力检查：验证智能体是否持有有效的能力令牌（Capability Token）。
策略检查：通过确定性风险引擎评估当前操作是否符合策略。
准入/拒绝/升级：根据评估结果做出决定。
执行令牌与审计：若通过，颁发单次使用的执行令牌（Execution Token），并将全过程记录在不可篡改的审计账本中。

2.2 关键技术机制

加密身份与签名 (ACP-SIGN-1.0)：
- 智能体 ID 由公钥派生（base58(SHA-256(pk))），无用户名。
- 使用 Ed25519 签名和 JCS (RFC 8785) 规范化序列化，确保签名的确定性和不可篡改性。
能力令牌 (Capability Token, ACP-CT-1.0)：
- 包含明确的权限范围、资源、过期时间（exp 强制）、随机数（防重放）及委托链信息。
- 支持可验证的链式委托：子令牌的权限必须是父令牌的严格子集，且链深度受限。
持有证明 (Proof-of-Possession, ACP-HP-1.0)：
- 每次请求需签署由 CSPRNG 生成的挑战（Challenge），证明持有私钥，防止令牌被盗用。
确定性风险评估 (ACP-RISK-1.0)：
- 基于基础能力、上下文、历史行为和资源分类计算风险评分（0-100）。
- 无随机性/无机器学习：确保相同输入产生相同结果，便于审计和复现。
- 根据智能体的自主等级 (Autonomy Level, 0-4) 决定是批准、升级（人工审核）还是拒绝。
执行令牌 (Execution Token, ACP-EXEC-1.0)：
- 授权与执行分离。令牌是单次使用、短生命周期的，用于最终触发系统状态变更。
审计账本 (Audit Ledger, ACP-LEDGER-1.3)：
- 基于链式哈希（hn = SHA-256(en ∥ hn-1)）的追加只写账本。
- 记录所有生命周期事件（包括拒绝和升级），支持外部机构验证。
跨机构信任 (Inter-Institutional Trust)：
- 通过机构信任锚 (ITA) 注册根密钥。
- 通过相互认可协议 (MRA) 实现不同机构间的互信，且信任不自动传递（非传递性）。
- 定义了跨组织交互的故障容忍和重试协议，确保状态同步。

3. 主要贡献 (Key Contributions)

首个形式化技术规范：ACP 不是最佳实践指南，而是一份包含精确状态模型、数据结构和错误代码的形式化技术规范。
跨机构治理标准：解决了智能体在 B2B 环境中跨组织边界操作时的信任、委托和审计难题，填补了现有身份管理框架的空白。
分层合规模型 (Conformance Levels L1-L5)：
- L1 (核心)：身份、令牌、握手。
- L2 (安全)：风险引擎、撤销、信任锚。
- L3 (完整)：完整审计、执行令牌、API。
- L4 (扩展)：金融、通知、批量操作等特定领域。
- L5 (去中心化)：无中心 ITA 的联邦模式（设计阶段）。
完整的参考实现与测试：
- 提供了 22 个 Go 语言包 的参考实现，覆盖 L1-L4 所有功能。
- 包含 51 个签名测试向量（Ed25519 + SHA-256）和 OpenAPI 3.1.0 规范。
- 定义了 12 种禁止行为（如重用执行令牌、跳过签名验证等），任何违反均导致不合规。

4. 结果与验证 (Results)

安全性保证：
- 防篡改：Ed25519 签名和链式账本确保任何修改都会导致签名失效。
- 防特权提升：通过密码学验证确保委托链中子令牌权限 $\subseteq$ 父令牌权限。
- 防重放：单次使用的挑战机制和令牌机制。
- 防抵赖：所有操作均有数字签名和审计记录。
互操作性：通过 ITA 和 MRA 机制，实现了不同机构间智能体的安全交互，无需共享私有基础设施。
测试覆盖：参考实现通过了所有 51 个测试向量的验证，包括正向和负向测试（如拒绝无效签名、拒绝过期令牌等）。

5. 意义与影响 (Significance)

使智能体“可治理” (Governable)：ACP 的核心目标不是增加智能体的能力，而是使其在机构环境中可治理。这是大规模部署自主智能体的先决条件。
审计与合规的基石：为金融、政府、关键基础设施等受监管行业提供了可验证的审计轨迹，满足外部监管要求。
填补技术空白：在 RBAC 和零信任之上，专门针对“自主代理”这一新兴实体建立了独立的控制层，解决了“谁在操作”、“在什么条件下操作”、“操作是否被授权”的终极问题。
推动标准化：作为一份草案标准（Draft Standard），ACP 为行业提供了统一的互操作语言，有助于避免碎片化的私有解决方案，促进 B2B 智能体生态的健康发展。

总结：ACP v1.13 通过引入密码学身份、动态能力委托、确定性风险评分和不可篡改审计，构建了一套完整的自主智能体准入控制协议。它不仅解决了当前的安全与治理缺口，更为未来跨组织的智能体协作奠定了坚实的技术基础。