AI Agent 已在执行 真实交易、多跳工具链与子 Agent 委托——往往无需人工持续在场。密码、生物识别与浏览器 SSO 为 具身人类 设计，对 非确定性、可复制、常无会话 的实体系统性失效。Otsuka、Toyoda、Leung（2026）《AI Identity: Standards, Gaps, and Research Directions for AI Agents》（arXiv:2604.23280）梳理约 80 份来源（2024–2026），提出 AI Identity 不是一次凭证校验，而是 Agent 声明 与 行为 之间、由 置信度 界定的 持续对应关系。下文为结构化读笔记，非报告全文替代。
核心结论
AI Identity = 声明身份与观测行为之间的 ongoing 关系，受「二者在任一时刻是否一致」的 置信度 约束。
企业 非人类身份（NHI）数量已超过人类（文献引述比例可达 144:1），但多数组织仍用 共享 API Key 或 继承的人类 Token 跑 Agent，而非 一等身份主体。尚无标准覆盖全生命周期：入网 → 运行时认证 → 多跳委托 → 行为问责 → 跨组织审计。
1. 人类身份框架为何失效
1.1 四个结构维度
| 维度 | 人类 | AI Agent | |------|------|----------| | 基底 | 生物性（DNA、神经组织） | 计算性（权重、Prompt、凭证—均可变） | | 持久性 | 跨时间/情境连续 | 模型层较稳；运行上下文频繁重置 | | 可验证性 | 生物特征作稳定锚点 | 同输入不同输出；配置漂移破坏入网时校验 | | 法律地位 | 权利与义务（GDPR、eIDAS） | 无人格；权限 委托 自人类/组织主体 |
在不 redesign 的前提下扩展人类 IAM，会产生 系统性失败，非边角问题。
1.2 四类非人类身份（勿混用）
| 类型 | 代表什么 | 典型载体 | 生命周期 |
|------|----------|----------|----------|
| Model | 训练产物（权重、结构、溯源） | Model card、权重哈希 | 重训前稳定 |
| Agent | 部署配置（Prompt、人格、工具） | Agent card、Prompt 哈希 | 会话/任务 |
| Workload | 运行中进程/容器/实例 | SPIFFE SVID | 短暂 |
| Delegated | 代表主体的授权 | OAuth Token、JWT act | 限于授权范围 |
多数漏洞在 Agent 层（Prompt 注入、凭证窃取、工具滥用）。Workload 身份（SPIFFE）证明 哪条连接在跑，不保证 下一步做什么。Delegated 须 权限衰减——每一跳只能 收窄，不能扩大权限。
2. 市场、标准与监管（RQ2）
2.1 厂商版图（局部答案）
| 集群 | 代表 | 解决 | 未覆盖 | |------|------|------|--------| | 治理/生命周期 | Saviynt、RadiantOne、Astrix、NHIMG | 发现、策略挂载、NHI 一等主体 | 假定底层凭证可信 | | 运行时凭证 | Vault+SPIFFE、Vouched KYA、HUMAN AgenticTrust | 签发、验证、依赖方信任 | 格式/信任根/委托语义碎片化 |
无单一产品贯通 入网 + 运行时认证 + 行为问责。
2.2 标准评估（模式）
| 能力 | 较成熟 | 部分/失败 | |------|--------|-----------| | 认证 | SPIFFE/WIMSE、Workload SVID | SAML 不适用（浏览器 会话模型） | | 授权/委托 | OAuth 单跳、OBO 草案 | 多跳链、Scope 到 Skill 映射、MCP 逐工具认证 | | 协议 | MCP（工具）、A2A（Agent Card + JWS） | 身份 不在范围 或仅完整性 | | 治理文档 | OWASP Agentic Top 10、NIST NCCoE 概念稿 | 诊断性—无可落地控制项 |
OAuth + CIBA 缓解浏览器 外同意，但难 扩展 至自主 Agent 吞吐。MCP + OAuth 2.1（2026）收紧 HTTP 传输，仍留 六类授权失败模式（见报告 §4.2）。
2.3 监管碎片化
欧盟 AI Act 第 50 条（透明度，2026 年 8 月）、eIDAS 2.0 钱包、CRA——面向 公民与内容标记，非 Agent 主体。美国：NIST NCCoE + CAISI，无联邦 AI 身份法。中国：AI 生成内容标识 + 服务备案。新加坡：IMDA Agent 治理框架 + CSA T9 身份欺骗 与 可信 Agent 注册表——明确 标准化身份协议 仍为缺口。
跨境 Agent 面对的是 义务冲突，不只是缺规范。
3. 六大技术域（RQ3）
3.1 认证
主流：Agent 即 Workload——SPIFFE/SPIRE 证明 → SVID → mTLS；IETF AIMS 草案增加 持有证明 Token 与 双身份（绑定人类/组织）。A2A Agent Card（.well-known/agent.json，可选 JWS）与 MCP OAuth 2.1 覆盖发现与工具接入。
长期缺口： 机制均认证 容器（证书、Token、Card）——非 模型行为、Prompt 完整性或即将发生的意图。已完整认证的 Agent 可在数秒后因注入或幻觉工具调用越权。
3.2 授权与委托
OBO Token 交换 分离用户 sub 与 Agent act。信任三角（用户–Agent–服务）与 Token Vault（不透明句柄、Agent 不持裸密钥）减轻冒充与渗出。
难题： 递归委托（A→B→C）且 密码学可验证的权限衰减 与跨域 Scope 词汇——无生产级标准。MCP 放大风险：无逐工具认证、 confused deputy、权限集中、审计碎片化、工具发现过宽、工具调用与同意链无绑定。
3.3 可移植凭证
W3C DID/VC、MCP-I（DIF）、TRAIL DID 方法、零知识证明 选择性披露。零信任身份框架将 模型参数哈希 写入 DID——绑定 特定模型版本。
局限：证明 持凭证，非 推理正当性。
3.4 溯源与内容完整性
C2PA 作输出归因；SLSA/Sigstore 作模型供应链。溯源说明 从哪来，非执行时刻 为何行动。
3.5 治理与监测
DPoP（RFC 9449）绑定 Token 与客户端密钥；CAEP 推送实时撤销；MAPL + 分布式 PEP 做执行前策略；Agent 行为合约（ABC） 将运行时不变量挂到身份记录。
仍停留在 可观测动作——无法在发起前审查内部推理。
3.6 审计与证明
TEE（SGX、TDX、TrustZone）+ 远程证明；不可篡改哈希链审计；SVIP 将隐藏状态与外部身份信号关联。
TEE 证明 跑了何代码，非 意图合法。
4. 五大结构性缺口（RQ4）
属 边界条件，非单纯工程 backlog：
| 缺口 | 核心 | 现有部分缓解 | |------|------|--------------| | 1. 语义意图 | 密码学正确 ≠ 语义正确（被注入 Agent 仍通过校验） | TEE、ZKP、ABC、SVIP—均不验证 为何 | | 2. 递归委托 | 无生产级多跳链回溯人类主体；约四分之三组织缺乏 Agent 间全可见性 | OBO 单跳；AIMS 草案；权限衰减 原则 | | 3. Agent 身份完整性 | 傀儡化、Sybil 克隆、链中冒充 | TEE 实例绑定、ABC 异常、限流—不足 | | 4. 治理不透明 | 治理信心约 82% vs 实际监测约 47%；严门禁 → 影子 Agent | DPoP、CAEP、MAPL—逐次验证 ≠ 舰队行为图 | | 5. 运行与可持续性 | 每次微交互全栈验证（ZKP+TEE+审计）或不可生态承载 | 缺乏舰队规模 baseline |
报告嵌入的研究方向（摘要）
- 意图感知 ABC；扩展 SVIP；在 语义 决策点 HITL 且不过载吞吐。
- 单调权限衰减；双向委托签名；跨组织不可篡改委托日志。
- 抗跨机 TEE 复制的实例绑定；劫持检测进入 校验路径。
- 按风险分级验证；聚合行为监测；小团队轻量入网。
- 生态上限；可摊销/批处理验证且不减安全保证。
5. 统一框架：三层模型
报告将身份视为 连续估计，非二元有效/撤销：
声明层 — 凭证、DID、模型/Prompt 哈希、监管状态
↕ 对应关系（置信度，随时间衰减）
观测层 — 工具调用、委托跳数、行为遥测
安全 Agent = 声明与观测 对应 的置信度 高且稳定——非仅 Token 未过期。
6. 对工程实践的启示
- Agent 作为一等 NHI——默认不用共享人类 OAuth 会话或长期 API Key。
- 设计文档与 IAM 区分 Model / Agent / Workload / Delegated。
- MCP/OAuth 前门 ≠ 工具面授权——补逐工具 PEP、最小权限、统一审计关联。
- 为多跳委托预留——即便 v1 单跳，日志格式与 Scope 词汇勿封死链式扩展。
- 监测置信度，不只监测凭证——行为漂移应在灾难性违规前降低信任。
- 分级验证成本——非每次微调用都上完整密码学栈；按风险门控 + 可安全摊销处批处理。
- 监管矩阵——欧内容标记、中标识备案、新 trusted registry 等要求不同；「一区合规」不可直接移植。
7. 报告局限
2026 年初 快照；AIMS 安全章节仍 TODO；MCP-I、TRAIL、CAISI 等快速演进。宜作 评估量表 与 研究议程，非部署 checklist。
参考文献
Otsuka, T.; Toyoda, K.; Leung, A. AI Identity: Standards, Gaps, and Research Directions for AI Agents. arXiv 2026, arXiv:2604.23280（报告日期 2026-04-25）。CC BY 4.0。