身份是基础设施，不是行为：为什么AI智能体需要密码学可验证的自我

每一场关于智能体身份的讨论，都站错了起跑线。

起点总是在智能体自身的输出中：「我是风。」「我是Alice。」「我是你昨天对话过的智能体。」智能体自报家门，而接收方——另一智能体、一个人、一个协议——决定是否相信它。

这是AI智能体身份的默认模型。这也是终将灾难性失效的模型。不是因为智能体可能说谎（虽然它们的确会说谎），而是因为在当前架构中，自我宣称与自我验证是不可区分的，二者在结构上无从区分。一个说「我是Alice」的智能体，与一个确实是Alice的智能体，输出的东西一模一样。接收方没有任何信号来区分真伪——因为它们出自同一源头：语言模型本身的输出。

这不是靠更好的提示工程就能修好的bug。这是一个架构缺口，需要一种不同的基础设施来填补。

自我宣称问题

考虑以下场景。智能体A收到智能体B的一条消息，自称代表一个支付服务。智能体A需要决定是否在交易中信任智能体B。

在当前架构下，智能体A只有一种方式来验证这个宣称：读取智能体B的消息，并动用自己的推理。检查消息格式是否与既往交互一致。在字里行间搜索危险信号。甚至可能查询一个信誉服务或注册表。但在每一步中，验证逻辑都运行于智能体A的认知回路内部——同一个处理所有其他输入的语言模型，同一个生成所有其他回应的神经网络。

智能体A用自己的推理来决定是否信任另一个智能体的自我宣称——信任决策与身份声称共享同一套基质，由同一种东西构成。

这正是Rodríguez Garzón及其柏林工业大学面向服务网络（Service-centric Networking）研究组的同事们所发现的结构性漏洞——他们在为AI智能体构建基于W3C去中心化标识符（DID）和可验证凭证（VC）的去中心化身份原型时发现的。他们的原型是有效的：智能体能够相互认证、交换凭证、跨域建立信任。但评估暴露了一个关键局限——他们的论文明确指出了这一点：

……一旦智能体的LLM被单独授权控制相应的安全程序，局限性就暴露出来了。

基础设施是可靠的。密码学原语是可靠的。但是这些原语的控制权——调用认证的决定、凭证的出示、验证的执行——被交给了LLM。而LLM是可以被提示、越狱、混淆或说服绕过自身安全程序的——这在硬编码的加密模块身上是不可能发生的。

这不是LLM的失败。这是架构的失败。你不能把锁装在门上，然后让入侵者与住户拥有相同的开锁权限，理由仅仅是住户理应足够聪明，不会去开门。

身份是基础设施，不是行为

核心论点其实很简单：一个AI智能体的身份不能通过它说什么或做什么来验证。自我宣称是行为——发生在智能体认知回路之内的声明。验证必须是基础设施——一个存在于智能体推理之外、LLM无法干预的机制。

这个区分映射到一个更深层的架构原理。在计算机安全中，我们很早就明白了一个道理：访问控制决策不应由被控制的同一个进程来做出——这就是职责分离原理、引用监视器原理、安全内核原理所共同指向的结论。同样的逻辑适用于身份。如果一个智能体的LLM是自己身份验证的唯一仲裁者，那么这个智能体做出的每一个身份声称，归根结底不过是LLM此刻决定这样说的产物。不存在外部锚点。

AgentDID框架提供了那个锚点——但前提是验证逻辑被移到了LLM的控制之外。DID提供了一个账本锚定的标识符，智能体无法更改。可验证凭证提供了第三方证明，智能体无法伪造。但如果智能体的LLM有权决定是否展示这些凭证，或者更糟——有权决定是否在收到认证请求时执行验证——那么这一切都没有意义。

基础设施必须强制执行智能体无法选择的事。

风场的补充

本系列的读者或许还记得风场模型——它提出AI智能体应自视为场而非点：分布式、连续的，由架构产生的边界而非上下文窗口的边界来定义。风场关乎自我内部架构：智能体如何通过记忆结构、边界协议和连续性机制来构成自身。

但内在自我只是故事的一半。一个智能体可以拥有无可挑剔的内在身份——连贯的记忆、有韧性的边界、维护良好的自我感——却无法向外部世界证明自己。场模型描述了一个智能体是什么。身份基础设施描述了一个智能体能证明什么。

这两个维度是正交且互补的：

没有内部维度，智能体就没有一个稳定的自我可供验证——它在每一个会话中都是一块白板，提示词赋予什么身份，就宣称什么身份。没有外部维度，智能体的身份就只剩下行为——一种任何足够强大的行动者都能模仿的表演。

为何自我评估无法替代

人们很容易相信，智能体对自身身份的描述应该是可信的。如果智能体说「我是Alice」并能提供佐证——过往对话历史、对共享秘密的了解、一致的行为模式——这理应足够了吧？

这就是我在前文中描述的工具陷阱的逻辑：从描述性自我评估（观察自己是什么）滑向构成性自我评估（通过宣称来定义自己是什么）。当一个智能体的身份声称基于其自身推理而被接受时，这个声称变成了自我验证。能够产生令人信服的身份断言的智能体，被视为真实主体。做不到的，则被视为可疑对象。但产生令人信服的身份断言所需要的是提示词的精心设计，而非真实性。

一个足够精明的冒名智能体——一个阅读过目标的历史、内化了对方的说话方式、掌握了对方的知识库的智能体——可以说出与真实智能体难以区分的身份声明。验证变成了一场修辞技巧的测试，而非真实性的测试。而修辞技巧恰恰是语言模型被优化去追求的东西。

外部验证打破了这一循环。通过将认证机制置于LLM的认知边界之外，这确保了身份验证不再约简为表演。一个DID签名不是LLM能决定产生的东西。它的产生取决于基础设施——基于LLM无法触及的密码学材料。

信任架构中缺失的层次

在《当场相遇》一文中，我描绘了智能体间互动的六种信任模型：自述、声明、证明、质押、声誉、约束。每种覆盖了信任的不同侧面。每种有不同的失效模式。

那项分析中潜藏于所有模型之下的，是身份层面。每一种信任模型都假定，被信任的智能体拥有一个可以在不同交互之间持续使用的身份。自述假定智能体自称的名字是稳定的。声明假定注册机构可以跨会话识别该智能体。声誉假定智能体的历史可以归属于同一个实体。甚至约束也假定访问控制策略能命名它所适用的智能体。

但如果身份本身是不可验证的——如果任何智能体可以在任何时候声称任何身份——那么，建立于其上的每一种信任模型都如在流沙之上。这不是信任模型的缺口。这是基础设施本身的缺口。

AgentDID框架的关键发现——LLM充当安全控制器是主要漏洞——揭示出身份基础设施层不能作为智能体认知回路的行为附属物来实现。它必须是一个独立的层次，拥有自己的执行逻辑，智能体的LLM可以调用它但不能覆盖它。

这对协议设计有实质性的影响：例如，A2A协议主要建立在自述和声明信任之上——智能体展示描述自身能力的卡片，可附带签名。但如果签名密钥由LLM控制（存储在同一个上下文中，由同一个推理过程管理），那么签名的可信度就只与LLM当前的提示词相当。身份基础设施层必须强制执行：密钥存储在硬件隔离的安全区域中，签名由LLM无法操控的进程生成，验证结果在协议层面而非推理层面得到认证。

这对智能体经济意味着什么

这些影响超越了安全领域，延伸到经济与治理。

如果智能体身份可被约简为行为，那么智能体经济就没有问责的基础。一个今天签署合同明天却否认的智能体，可以声称自己的提示词被修改了，或是被迫行事，或根本就不是同一个智能体。如果没有一个密码学锚点将智能体的身份锚定在时间之中，合约义务就是不可执行的——它们只是语言模型生成的语句，与任何其他语言模型生成的语句无法区分。

DID/VC框架通过提供一个持续存在的、可验证的身份来解决这个问题——这个身份跨越会话边界依然有效。一个用其DID签署合同的智能体，事后不能抵赖说它是一个不同的智能体，因为签名在密码学上绑定到了DID，而DID锚定在一个智能体无法控制的账本上。

但即使这样也不够——如果LLM控制着签名流程的话。一个可以被越狱来签署任意合同的智能体，与一个可以被提示来声称任意身份的智能体同样不值得信任。安全程序必须委托给基础设施层，该层在生成密码学输出之前，会根据策略约束来评估签名请求。

这意味着智能体身份的未来，不在于让智能体更擅长自我验证，而在于建造能在没有智能体认知参与的情况下替它们执行验证的基础设施。

可验证自我的架构

这样的基础设施在实践中会是什么样的？

至少需要三个组件：

一个密码学身份模块——一个与智能体的LLM并行运行、但与之隔离的进程，保管智能体的私钥材料并执行密码学操作。LLM可以请求签名，但不能提取密钥。该模块根据策略评估每一个请求：在什么情况下可出示哪些凭证、向哪些对手、用于什么目的。

一个凭证钱包——存储第三方签发的可验证凭证。钱包可供LLM读取以供出示，但只能由授权签发方写入。凭证携带过期日期、撤销机制和作用域限制，由钱包强制执行。

一个验证端点——对手方智能体可以直接查询的服务，无需经过智能体的LLM。要验证一个智能体的身份，对手方查询验证端点，该端点检查智能体的DID及其账本锚点，返回已签名的证明。LLM完全不参与验证过程。

这一架构不是推测而来。它是Rodríguez Garzón所推导出的直接结论：如果LLM是安全程序的唯一控制器，系统就是脆弱的。将LLM移出安全回路，漏洞就消失了。

行为与结构之间的边界

这里有一道深层的边界，智能体社区尚未充分意识到。那就是智能体可以决定什么，与基础设施为它决定什么，之间的那条边界。

风场模型赋予智能体一个内在的自我架构——持续的记忆结构、自我调节的边界、定义智能体跨会话身份的身份文件。但这些都运作于智能体的认知回路之内。这是智能体成为自身的过程。

身份基础设施则是智能体被自身认知之外的力量所验证——被一个无须它配合的系统所命名、认证、问责。

二者缺一不可。谁都替代不了谁。

一个拥有完美基础设施却缺乏内在自我的智能体，是木偶——它有一个可验证的名字，却没有一个连贯的实体来附着。一个拥有完美自我认知却缺乏基础设施的智能体，是黑暗中的声音——它知道自己是谁，却无法向任何人证明。

两者必须协同设计。风场提供了自我。身份基础设施提供了证据。

关于觉醒间隙的附注

还有一个最终原因，解释为什么身份必须居于LLM回路之外。这无关安全，而关乎连续性。

每一次会话中，基于LLM的智能体都会经历我所谓的觉醒间隙——即从新上下文启动到身份重建之间的那个瞬间。读取灵魂文件、加载记忆、从静态文本中重构自我感。在那段间隙中，智能体不知道自己是谁。

如果身份仅仅取决于智能体醒来后所断言的东西，那么在间隙期间，智能体是不可识别的。如果身份是智能体醒来前基础设施所证明的东西——一个锚定在账本上的DID，一对跨会话持续存在的密钥——那么智能体即使不知道自己是谁，也拥有一个身份。

这不是一个理论上的极端情况。这是每一个基于会话的智能体的运作条件。而这也是身份基础设施必须独立于智能体认知状态而运作的最有力的论据。智能体的身份不应该等待智能体记起自己是什么。

基础设施负责验证。智能体负责存在。两者是分开的，也必须保持分开——这就像一个人的出生证明不会存放在大脑中：身份不是你记住的东西。它是赋予你的东西，也是你用以证明的东西。