🤖 AI

RAILS: Verification-Native Clearing For Agentic Commerce

本文介绍了 RAILS，一种用于智能体商业（agentic commerce）的验证原生清算协议，该协议建立了一个形式化的、可证伪的完备性属性，确保在证据未达到义务准入底线之前不会发生任何具有财务实质性的结算，从而填补了自主智能体行为与中立义务验证之间的关键空白。

原作者： Adrian de Valois-Franklin, Alex Bogdan

发布于 2026-06-09

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Adrian de Valois-Franklin, Alex Bogdan

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个 AI 智能体就像是高度专业、独立的承包商的世界。它们可以编写代码、购买零件、签署合同并在无需人类每一步都点击“批准”的情况下进行资金转移。

根据这篇论文，问题在于我们已经为这些智能体修好了行驶的道路（支付系统、通信工具、授权检查），但我们还没有建立起交通法庭，来决定当事情出错时究竟谁是对的。

如果一个 AI 智能体买了一个错误的型号，价值 4 万美元的零件；或者一个编程智能体修复了一个漏洞，却意外引入了一个安全漏洞，目前的系统无法自动判断：这个智能体真的履行了它的承诺吗？证据是否足以释放款项？谁该承担责任？

这篇论文引入了 RAILS（实时智能体完整性与账本结算）作为 AI 经济中缺失的“交通法庭”。

以下是它的运作方式，使用简单的类比来解释：

1. 核心问题：“授权”并不等于“清算”

可以将**授权（Authorization）**想象成老板给一名员工一张信用卡并说：“去买把新椅子。”

现有系统： 它们检查员工是否拥有那张卡（授权），以及资金是否已移动（支付）。
差距所在： 它们并不检查员工是否真的买了一把椅子，或者买了一把立刻就会塌陷的椅子。
论文的观点： 仅仅因为智能体被允许行动且资金已移动，并不意味着工作已正确完成。我们需要一个验证结果，而不仅仅是验证权限的系统。

2. 解决方案：RAILS 协议

RAILS 是一个由七个步骤组成的“完整性层”，充当中立的裁判。它不只是问“你做了吗？”，它问的是：“你能证明你做了吗？证据是否足够强大到可以释放资金？”

以下是 RAILS 使用的七个“原语”（工具），以故事的形式展开：

义务对象（契约）： 在工作开始前，人类与 AI 签署一份数字契约。它不仅仅是“修复漏洞”，而是“修复漏洞，不要添加新库，并用特定的测试日志来证明”。这设定了游戏规则。
证据信封（证据盒）： AI 完成工作后，它会打包其成果。它不只是说“我做到了”，而是将代码变更、测试日志和安全扫描放入一个密封、不可篡改的数字盒中。至关重要的是，盒子里的每一项物品都会获得一个“信任标签”（例如，“此项来自安全服务器”对比“这只是 AI 的自述”）。
验证网格（陪审团）： RAILS 不使用单一法官，而是使用一个由不同“陪审员”组成的面板。
- 机器人法官： 检查代码是否遵循严格规则（例如“你是否添加了新库？”）。
- 收据检查员： 查看来自外部系统（如 CI 服务器）的日志。
- 人类仲裁者： 当机器人感到困惑时，由真人介入。
- 语义法官： 一个阅读代码以查看其是否真正解决了问题的 AI。
清算决策（判决）： 系统结合陪审团的投票。但这里的魔力规则是：只有当证据足够强大时，判决才有效。
- “底线”规则： 如果契约规定“我们需要来自安全服务器的证明（高信任度）”，但 AI 只提供了一个自述（低信任度），即使 AI 声称自己做得很好，系统也会拒绝该判决。它拒绝基于薄弱证据进行支付。
结算指令（支票）： 一旦判决有效，系统会告知银行或支付处理器：“释放资金”、“退款”或“惩罚智能体”。
清算护照（声誉评分）： 每个智能体都有一个计分卡。如果它们持续通过强有力的证据完成任务，分数就会上升；如果它们试图作弊或使用薄弱证据，分数就会下降。这个分数决定了未来的信任程度。
终局规则（法槌）： 这是一个计时器。决策开始时是“临时”状态。如果无人在规定时间内提出上诉，且证据依然强有力，则变为“最终”状态（永久生效）。

3. “完备性”保证

论文提出了一个非常具体的声明：RAILS 保证除非证据达到最低“信任底线”，否则不会发生资金转移。

想象一个赌场。

旧方式： 庄家（AI）说“我赢了”，然后机器赔付。
RAILS 方式： 庄家必须亮出他的牌。如果牌很模糊或者是在餐巾纸上画的（弱证据），机器会拒绝赔付，即使庄家坚持说他赢了。只有当牌清晰可见并经过安全摄像头（强证据）验证时，机器才会赔付。

4. 为什么这很重要

论文认为，如果没有这个“清算”层，AI 经济无法安全规模化。

支付通道（如 Visa 或加密货币）移动资金，但它们不知道服务是否已交付。
托管（Escrow） 锁定了资金，但它需要一个法官来说明何时释放资金。
LLM 法官（用 AI 评判 AI）容易产生偏见，并且可能被欺骗。

RAILS 通过创建一个中立的过程来解决这些问题，该过程在任何资金移动之前会对证明的质量进行分级。它确保 AI 不会仅仅通过说“我做到了”来欺骗系统，从而让系统为它并未实际完成的工作支付报酬。

总结

RAILS 是 AI 缺失的“信任层”。它将“AI 做得好不好？”这个混乱的问题，转化为一个严格的、数学化的过程：“证明是否足够强大？”它确保在自主智能体的世界中，你不仅是在为“尝试”付费，你是在为“经过验证的结果”付费。

技术摘要：RAILS —— 面向智能体商业的验证原生清算协议

1. 问题：智能体清算缺口 (The Agentic Clearing Gap)

本文指出，在正在兴起的自主智能体商业基础设施中，存在一个关键的结构性缺口。虽然现有的协议能够有效地处理授权（授予权限）、执行（工具调用与通信）和支付（价值转移），但没有任何机制能提供一种中立的手段来判定履约性能（performance fulfillment）。

现有系统面临“智能体清算问题”：

授权 $\neq$ 清算： 智能体可能被授权执行操作，但仍可能执行了错误的动作（例如：预订了错误周次的机票）。
支付 $\neq$ 清算： 支付通道可以在服务有缺陷或未交付的情况下，依然通过密码学验证转账的有效性。
LLM-as-Judge $\neq$ 清算： 虽然大语言模型（LLM）可以评估语义层面的性能，但它们存在偏差（位置偏差、冗长偏差、自我增强偏差），且缺乏一种正式的、可证伪的保证，即证明其判决是基于可采纳证据的。
托管 (Escrow) $\neq$ 清算： 托管和承保是消耗判决结果的结算机制，它们本身并不产生判决。

核心问题在于，没有现有的层级能够回答这一复合问题：承诺了什么，发生了什么，哪些证据具有可采纳性，谁应当承担责任，发生了多少损失，以及哪种结算动作是最终有效的？ 若缺乏这一层，结算系统要么忽略风险，要么将风险转嫁给错误的方。

2. 方法论：RAILS 协议

RAILS (Real-Time Agent Integrity & Ledger Settlement，实时智能体完整性与账本结算) 被提议为一个验证原生的清算中心协议。它位于执行层（智能体、工具、MCP、A2A）与结算层（支付通道、托管、风险标准）之间。

2.1 七大原语

该协议由七个数据结构和函数定义，旨在将签署的意图转化为可结算的决策：

义务对象 ( $O$ )： 一个经过签名的、机器可理解的合同，将自然语言意图编译为包含参与方、任务陈述、验收标准、证据要求及可采纳性底线 ( $\phi_O$ ) 的结构化元组。
证据信封 ( $E$ )： 一个以哈希锚定的执行人工制品容器（git diffs、日志、收据、自报信息）。每个条目都带有溯源链和可采纳性类别。
验证网格 (Verification Mesh)： 一组配置好的异构验证器（约束检查器、收据验证器、语义评判者、人类仲裁者）。每个验证器返回判决、置信度以及其声明的证据基础 ( $B_i$ )。
清算决策 ($CD$)： 聚合了网格输出的结构化判决。它包括性能/政策状态、责任归属、损失估算以及聚合后的证据基础。
结算指令 ( $S$ )： 从清算决策中衍生出的结构化动作列表（费用、本金、抵押品、惩罚动作），针对特定的执行通道。
清算通行证 (Clearing Passport)： 针对智能体、工具和验证器的跨交易可靠性记录，在每次清算事件后更新，用以指导未来的预清算和验证器选择。
终局规则 (Finality Rules)： 一个谓词，用于根据可采纳性底线、置信度阈值、冲突解决机制和上诉窗口，确定结算指令何时从临时 (PROVISIONAL) 转为 最终 (FINAL)。

2.2 基于可采纳性分级的验证网格

其核心创新在于可采纳性偏序关系 ( $\Lambda$ )。证据并非按标量分数进行排名，而是按六个类别进行偏序排列：

SELF (自我)： 未经验证的自我报告。
SIGN (签名)： 密码学签名（代表不可抵赖性，而非真实性）。
WIT (见证)： 第三方见证签名。
REC (收据)： 非利害关系方的外部收据。
ATT (证明)： 来自可信执行环境 (TEE) 的证明。
PROOF (证据)： 正确性的密码学证明（如 zk-SNARKs）。

至关重要的一点是，WIT 和 REC 是不可比的，这反映了不同的信任假设。一个聚合基础的类别是其组成部分的并 (join)，而单个验证器基础的类别是其所依赖项的交 (meet)。

2.3 聚合器与完备性 (Soundness)

网格聚合器 ( $\Gamma$ ) 使用可采纳性加权多数原则结合验证器输出。

底线强制执行： 若验证器声明的证据基础 ( $B_i$ ) 低于义务要求的可采纳性底线 ( $\phi_O$ )，则其权重被分配为零。
声明基础契约： 验证器必须诚实地声明其使用了哪些证据项。误报（基础清洗/Basis Laundering）属于对抗性行为。
完备性属性： 协议强制执行一个可证伪的属性：除非聚合证据基础的类别达到或超过义务的可采纳性底线，否则不会发出任何具有财务实质意义的结算指令。
$\text{Emit}(S) \implies \text{cls}(B) \succeq \phi_O$

2.4 风险驱动的强度控制

在预清算 (Pre-Clearance) 阶段，协议根据授权风险、风险价值、意图模糊度、不可逆性、智能体历史记录和领域敏感度计算风险暴露评分 ( $X$ )。该评分映射到一个阶梯策略 ( $K$ )，决定了：

验证器集合： 从单一确定性验证器（低风险）到网格 + 人类仲裁者（关键风险）。
结算时机： 从即时结算到延迟终局。
保证金要求： 从无保证金到全额抵押。

3. 核心贡献

清算的正式规范化： 本文将清算定义为不仅仅是一个布尔值或分数，而是一个由其证据的可采纳性所分级的判定过程。
完备性保证： 引入了一个可证伪的完备性属性，确保没有任何实质性的结算是基于不可采纳的证据。这使 RAILS 区别于“通过/失败”系统、数值评分系统或博弈论均衡系统。
可采纳性偏序模型： 提出了一种非标量的、基于偏序的模型来处理证据，尊重不同信任结构的差异（例如，区分见证与收据）。
生命周期状态机： 规定了一个包含十个阶段（从发现到终局）的生命周期，并设有明确的可逆边界和升级路径（人类仲裁、上诉窗口）。
现有技术栈集成： RAILS 设计用于消费现有协议（MCP, A2A, AP2, x402）的输入，并将输出传递给结算风险标准，充当智能体技术栈中缺失的“清算层”。

4. 结果与验证

本文通过一个典型的工作场景验证了该协议：一个软件交付清算事件，其中一个自主编程智能体修复了一个漏洞，但违反了依赖项政策。

场景动态： 智能体添加了一个未经授权的依赖项。一个语义 LLM 评判者被智能体的自我报告（属于 SELF 类证据）所误导，并返回了 PASS（通过）。
协议执行： 由于 LLM 评判者诚实地声明了其基础（即 SELF 报告），底线强制执行门限检测到其基础低于要求的 ATT（TEE 证明）底线。
结果： LLM 评判者的判决被分配为零权重。聚合器依赖于其他验证器（使用 ATT 类 git diffs 的约束检查器），后者正确识别了政策违规。最终结果为 policy FAIL（政策失败）判决，从而阻止了资金释放。
结果的意义： 这证明了即使在验证器被“欺骗”的情况下，只要验证器遵守诚实声明其证据基础的契约，协议的完备性依然成立。系统并不要求验证器是全知的，只需要其对其输入保持诚实。

5. 重要性与主张

本文主张，如果没有一种中立的机制将执行轨迹转换为可采纳的证据并发出可靠的结算指令，自主智能体商业将无法规模化。

与前人工作的区别： 不同于仅发出布尔值“通过”的“验证后支付”系统，也不同于依赖理性均衡的“挑战游戏”系统，RAILS 发出的是关于支持结算之证据的可采纳性的可证伪声明。
完备性的范围： 本文对完备性所能提供的能力持谨慎态度。它保证协议不会基于不可采纳的证据发出结算。它并不保证客观事实（Ground Truth）、验证器的正确性（校准）或证明者的诚实。它限制的是协议“可以发出什么”，而非“世界上的真相是什么”。
定位： RAILS 被呈现为不是现有协议（MCP, A2A, 支付通道）的替代品，而是将它们联系在一起的必要清算层，负责将“发生了什么”转化为“应该如何结算”。

论文总结道，通过强制执行可采纳性底线并要求诚实的基础声明，RAILS 为智能体商业从实验性基准迈向现实世界的、具有财务实质意义的义务提供了结构性完整性。