技术摘要：连续性证明（Proof-of-Continuity）：分布式系统与 AI Agent 中的权威传播时间模型

1. 问题陈述

本文指出，当前的授权模型——特别是**持有证明（Proof-of-Possession, PoP）**和基于能力的系统（capability-based systems）——在应用于离散的多跳执行链（例如分布式服务、AI Agent 的工具调用）时存在根本性的局限性。

在 PoP 模型中，权威源于对人工制品（令牌、凭证、能力）的持有。虽然这些模型能有效约束“谁”可以出示人工制品，但它们无法保证在后续步骤中行使的权威是请求起源处建立的权威上下文的因果延续（causal continuation）。

这种差距导致了分布式环境下的**混淆代理人（Confused Deputy）**问题。代理人（执行者）可能持有多种权威来源（环境特权、委托令牌、持有型凭证）。如果代理人处理一个请求，并根据该请求的参数，行使了它自身持有但并不属于该请求起源权威上下文的特权，则会发生安全违规。代理人之所以被“混淆”，是因为它执行了一个由用户触发的操作，而该用户本身并不具备触发该操作的权威，尽管代理人独立拥有该特权。

论文认为，基于持有的模型是谱系不变（lineage-invariant）的：它们将事件 $(o, r)$（对资源 $r$ 执行操作 $o$）视为仅基于特权的持有情况而有效，忽略了产生该事件的时间谱系（temporal lineage） $\ell$。因此，它们无法区分一个有效的连续过程与一个仅仅因为恰好拥有相同特权而进行的未经授权的执行。

2. 方法论与模型定义

作者引入了**谱系身份连续性（Provenance Identity Continuity, PIC）模型和连续性证明（Proof-of-Continuity, PoC）**规范，以解决这一时间性差距。

核心形式化

• 执行链（Execution Chain）： 执行被建模为一系列因果步骤的链 $\pi = \langle (s_0, C_0), (s_1, C_1), \dots, (s_n, C_n) \rangle$，其中 $s_i$ 是一个步骤，$C_i$ 是在该步骤中携带的权威上下文（特权集合 $O \times R$ 的子集）。
• 关系证明（Proof of Relationship, PoR）： 一个单跳因果原语。$PoR(s_i, s_{i+1})$ 断言步骤 $s_{i+1}$ 是同一谱系内 $s_i$ 的有效因果延续。
• 单调权威限制（Monotonic Authority Restriction）： 有效的转换要求下一步的权威上下文必须是当前步骤的子集：$C_{i+1} \subseteq C_i$。权威只能被削减（限制），而不能扩张。
• 连续性证明（Proof of Continuity, PoC）： 定义为整个链条中 PoR 和单调限制的传递组合。当且仅当每一处相邻转换都有效时，$PoC(\pi)$ 成立。

理论框架

论文利用投影论证，形式化地区分了持有（Possession）与连续性（Continuity）：

• 基于持有的策略被定义为对谱系具有不变性的函数：$A(o, r, \ell) = \bar{A}(o, r)$。它们将事件空间 $E = O \times R \times L$ 投影到 $O \times R$，从而丢弃了谱系坐标 $L$。
• 定理 3： 谱系不变策略无法区分不同的发生情况。两个具有相同特权但具有不同谱系的事件（一个是授权的延续，另一个是混淆代理人执行的）会收到相同的授权判定。
• 定理 5（权衡）： 系统无法同时满足以下三点：
  1. 谱系不变的授权。
  2. 支持权威混合委托（执行者持有独立的权威来源）。
  3. 混淆代理人安全性。
     为了在需要权威混合的系统中确保安全性，模型必须放弃谱系不变性，使授权变为谱系敏感（lineage-sensitive）。

3. 主要贡献

1. 连续性证明（PoC）： 一种最小化的权威传播规范，其中权威不再被定义为实体的静态属性，而是作为执行链的时间属性而存在。权威仅作为起始上下文的非扩张性延续而存在。
2. 将混淆代理人重新定义为谱系不匹配： 论文将混淆代理人问题不仅重新定义为设计与权威的分离（能力模型的空间视角），而且重新定义为在遗忘时间的投影下，不同谱系之间的碰撞。
3. 不可能结果：
   • 定理 3： 证明了谱系不变的持有无法区分有效的延续与混淆代理人的执行。
   • 定理 6： 证明在 PIC 模型下，混淆代理人条件不可能被视为有效行为。如果某个特权不在起始上下文 $C_0$ 中，它就不可能出现在任何有效的 PoC 链中的后续上下文 $C_n$ 中。
4. 原语区分： 明确了以下角色的职责：
   • 持有证明（Proof-of-Possession）： 证明对人工制品的控制。
   • 关系证明（Proof-of-Relationship）： 证明相邻步骤之间的因果联系。
   • 连续性证明（Proof-of-Continuity）： 证明跨越整个谱系的权威传播且不发生扩张。

4. 结果与安全保证

主要结果是 PIC 模型的安全性。在连续性证明（PoC）下：

• 起源约束权威（Origin-Bounded Authority）： 在第 $n$ 跳执行的任何特权必须在起始权威上下文 $C_0$ 中存在。
• 不可逆削减（Irreversible Attenuation）： 如果在某一跳 $j$ 丢弃了某个特权（即未包含在 $C_j$ 中），则该特权将永久丢失，且不会在后续任何跳 $k > j$ 中重新出现。
• 消除混淆代理人： 该模型从结构上防止了混淆代理人条件的发生。即使执行者拥有其他特权，如果该特权未在请求的起始上下文中获得授权，执行者就无法执行由该请求触发的动作。

论文表明，这种安全性是通过放弃谱系不变性来实现的。授权决策必须读取谱系坐标（通过 PoR 证据），以确定一个动作是否为导致该动作的请求的有效延续。

5. 意义与范畴

论文将连续性证明定位为一种建模优化，而非对现有机制（如 OIDC、钱包或持有型令牌）的替代。

• 互补性： 身份验证机制对于建立起源仍然至关重要。PoC 解决的是在建立起源之后，权威如何进行传播。
• 对 AI Agent 的相关性： 论文特别强调，该模型对于经常持有多种权威来源（服务凭证、用户令牌、工具作用域）并执行工具调用链的 AI Agent 至关重要。PoC 确保了 Agent 不会使用工具执行一个动作（例如删除文件），如果用户的原始意图（例如总结文档）并未授权该动作，即使 Agent 独立拥有删除特权也是如此。
• 时间性 vs 空间性： 论文认为，虽然能力模型解决了设计的空间问题，但除非将能力视为持有的制品，否则它们往往无法解决多跳传播的时间问题（这会退化为持有模式）。PoC 通过将权威视为一种连续的、非扩张的流，将能力的“按构造实现（by-construction）”保证扩展到了多跳谱系中。

论文最后指出，混淆代理人并非一个需要修补的运行时漏洞，而是在有效的 PIC 执行中一种结构上的不可能。该模型将责任从运行时的警觉转向了一种纪律，即权威严格由其因果历史来定义。