AI Identity: Standards, Gaps, and Research Directions for AI Agents

技术总结报告：AI Agent 身份识别体系的研究分析

1. 问题定义 (The Problem)

随着 AI Agent 从研究演示转向实际的生产基础设施，它们开始在没有人类持续监督的情况下，跨越组织边界执行交易、工作流和子 Agent 链。这引发了一个核心的治理危机：现有的身份基础设施（如密码、生物识别、SSO）是为人类设计的，无法应对“无实体、无持久记忆、无法律地位”的非人类实体。

报告指出，当前的治理框架正面临三重失效：

• 组织层面： 非人类身份（NHI）数量已远超人类（比例达 144:1），但大多数企业仍在使用共享 API 密钥或继承人类凭证，导致身份边界模糊。
• 监管层面： 法律框架滞后，缺乏针对自主 Agent 行为责任归属（Liability）的明确界定。
• 技术层面： Agent 具有非确定性（相同输入产生不同输出）、可克隆性（权重可无限复制）和无会话性（缺乏持久记忆锚点），导致传统的“身份验证”无法保证其“行为一致性”。

2. 研究方法 (Methodology)

研究团队采用了结构化的分析方法，涵盖了从理论框架到市场现状的全面评估：

• 维度对比分析： 从基质（Substrate）、持久性（Persistence）、可验证性（Verifiability）和法律地位（Legal Standing）四个维度对比人类与 AI 身份。
• 文献与标准综述： 调研了约 80 个来源，包括学术文献、国际标准组织（IETF, W3C, NIST, OpenID Foundation）的草案、监管文件（欧盟 AI 法案、美国 NIST 框架等）以及行业白皮书。
• 差距分析 (Gap Analysis)： 对现有的技术方案（身份验证、授权、凭证、溯源、治理、审计）进行评估，识别出当前技术无法解决的结构性缺陷。

3. 核心贡献 (Key Contributions)

报告的主要贡献可以概括为以下三个方面：

1. 建立了 AI 身份的结构化分类模型： 将非人类身份细分为模型级（权重/架构）、Agent 级（配置/提示词/工具权限）、工作负载级（运行时进程/容器）和委托级（基于人类授权的权限）四个层次。
2. 对现有标准进行了系统性评估： 指出目前没有任何单一标准能覆盖 Agent 身份的全生命周期。例如，OAuth 2.0 无法处理多级委托，SAML 无法适应非浏览器环境，而 MCP（模型上下文协议）在授权细粒度上存在缺陷。
3. 识别了五大结构性技术差距： 提出了当前工程努力无法单纯通过“增加代码量”解决的深层问题（详见下文“结果”部分）。

4. 研究结果与发现 (Results & Findings)

A. 五大关键技术差距 (Five Critical Gaps)

报告认为，当前的身份问题是结构性的，而非单纯的工程实现问题：

1. 语义意图验证差距 (Semantic Intent Gap)： 现有的加密技术只能证明“代码是正确的”或“权限是合法的”，但无法证明 Agent 的“意图”是真实的。例如，Prompt 注入可以劫持 Agent，使其在持有合法凭证的情况下执行恶意意图。
2. 递归委托问责差距 (Recursive Delegation Gap)： 在 Agent A 委托给 B，B 再委托给 C 的多级链条中，缺乏一种能将最终行为追溯到原始人类主体的、具备加密证明的协议。
3. Agent 身份完整性差距 (Agent Identity Integrity Gap)： 难以防止 Agent 的“克隆攻击”（Sybil Attack）和“傀儡化攻击”（Puppeteering），即如何证明当前运行的实例是唯一的且未被篡改。
4. 治理透明度与执行悖论 (Governance Opacity Paradox)： 严格的身份限制会导致“影子 Agent”问题（用户转向不受监管的渠道），且企业在感知控制力与实际监控覆盖率之间存在巨大鸿沟。
5. 运营可持续性差距 (Operational Sustainability Gap)： 在大规模 Agent 交互中，频繁使用零知识证明（ZKP）或硬件可信执行环境（TEE）进行验证，会带来巨大的计算开销和环境成本。

B. 提出的统一理论框架

报告提出，AI 身份不应被视为一种“二元凭证”（是或否），而应被定义为一种**“连续的关系” (Continuous Relationship)**，由三层组成：

• 声明层 (Declaration Layer)： Agent 声称自己是谁（凭证、模型哈希、权限范围）。
• 观察层 (Observation Layer)： 系统实际观察到 Agent 做了什么（行为轨迹、工具调用）。
• 置信层 (Confidence Layer)： 通过计算声明与观察之间的一致性，生成一个动态的“置信度评分”。

5. 研究意义 (Significance)

本报告为 AI Agent 时代的身份治理提供了路线图：

• 对工业界： 为评估和部署 Agent 身份基础设施提供了结构化标准，提醒开发者关注多级委托和语义安全。
• 对标准组织： 精确指出了现有协议（如 OAuth, SPIFFE）在 Agent 场景下的失效点，指明了下一代协议的研发方向。
• 对学术界： 将 AI 身份问题从单纯的“安全工程”提升到了“形式化验证”与“社会技术治理”相结合的科学研究高度，提出了诸如“语义意图验证”等硬核研究课题。

---

结论： 报告强调，要实现安全的自主 Agent 生态，必须从“验证身份”转向“验证意图与行为的一致性”，并建立一套能够处理非确定性、多级委托和大规模计算成本的新型身份范式。