Кратко

  • AER-1 редакции 09 доказывает, что все предъявленные записи образуют упорядоченную и внутренне согласованную цепочку. Сторона, способная удалить записи с края и заново вычислить связи, всё ещё может предъявить более короткую цепочку, которая пройдёт проверку.
  • Необязательное внешнее обязательство связывает идентификатор задания, дайджест последней записи, число записей и время публикации. Одного числа недостаточно для защиты финальной записи, а хороший якорь не доказывает действия, которых регистратор не видел.

Проверяющий подтверждает каждую внутреннюю связь. Нумерация начинается с единицы и идёт без пропусков. У всех шести записей один job_id. Каждый prev_digest совпадает с повторно вычисленным дайджестом предшественника. Только последняя запись содержит close:true; хэши канонических байтов также верны.

После этого важнее ещё одной проверки самой цепочки становится независимый свидетель её конца.

Без него невозможно отличить честную историю из шести шагов от истории из восьми, у которой удалили два последних шага и перестроили оставшиеся связи. Редакция 09 AER-1: A Portable Execution Receipt for AI Agent Tool Calls прямо называет это естественным пределом хэш-цепочки, а не недостатком SHA-256.

Документ опубликован 1 октября 2026 года как действующий индивидуальный Internet-Draft. Datatracker предупреждает: индивидуальная подача не одобрена IETF и не имеет официального положения в процессе стандартизации. В карточке нет потока RFC или целевого статуса RFC; сам текст обозначает Independent Submission и предполагаемый Informational. Срок истекает 1 апреля 2027 года. Это не RFC.

Что именно фиксирует дайджест

Хронология задания — непустой массив. В каждой записи есть предыдущий дайджест, номер, идентификаторы задания и квитанции, инструмент, класс происхождения, канонические байты, хэш результата и необязательный признак закрытия.

Проверяющий не доверяет сохранённым ссылкам. Он декодирует байты квитанции, сверяет их хэш, затем канонизирует JSON-объект из close, id, job_id, output_hash, prev_digest, provenance_class, seq и tool и вычисляет SHA-256. Первая запись ссылается на 64 нуля. Нумерация начинается с единицы и возрастает ровно на один. Все записи принадлежат одному заданию. Последняя обязана закрывать его, предыдущие не имеют права закрывать.

Версия конструкции входит в доказательство. В редакции 06 дайджест охватывал лишь декодированные канонические байты квитанции. Редакция 07 добавила метаданные положения и смысла; 08 и 09 сохранили эту схему. Историческая цепочка 06 не получает более сильные гарантии только потому, что современный проверяющий применил к ней новые ожидания.

В заявленных границах механизм полезен. Изменение инструмента, происхождения, идентификатора, результата, задания, последовательности или закрытия ломает следующую связь, если изменяющий не может перестроить весь зависимый суффикс. При том же условии выявляются вставка, удаление и перестановка.

Именно условие о невозможности перестроения определяет поверхность контроля.

Как получить корректную короткую историю

Из восьми записей удаляются седьмая и восьмая. Шестая объявляется закрывающей, её дайджест вычисляется заново. Больше нет седьмой записи, которая хранила бы прежний дайджест шестой. Новая цепочка из шести элементов выполняет все внутренние правила. Можно удалить и префикс, перенумеровать остаток с единицы и создать новый генезис.

Поэтому проект запрещает называть одну лишь проверку цепочки защитой от усечения. Нужен внешний объект: свидетель, опубликованная с отметкой времени голова, якорь или манифест процесса, связывающий ожидаемые шаги или количество.

Редакция 08 рекомендовала привязывать финальный дайджест. Редакция 09 описывает необязательный совместимый артефакт с job_id, final_entry_digest, entry_count и published_at. Он размещается вне цепочки. Включить его в финальную запись нельзя без логического круга: собственный итоговый дайджест записи возникает только после формирования её содержимого.

Проверяющий заново вычисляет финальный дайджест, считает элементы, сверяет задание и сравнивает значения с отдельно полученным обязательством. Совпадение показывает, что видимая цепочка достигает конца, который свидетель опубликовал в указанный момент.

Счётчик оставляет последнюю запись подвижной

Обязательство «восемь записей» обнаружит сокращение до шести. Оно не обязательно заметит замену восьмой записи при сохранении числа восемь.

Дайджест любой нефинальной записи ещё раз связан через prev_digest следующей. На последний дайджест внутри цепочки никто не ссылается. Последнюю запись можно заменить и пересчитать, не меняя количество. Счётчик остаётся верным; внешнее обязательство финального дайджеста обнаруживает подмену.

Поля дополняют друг друга. Количество ограничивает длину, дайджест — содержимое видимого конца, идентификатор не позволяет взять голову чужого задания, время отмечает момент публикации. Следует также хранить личность свидетеля, путь и время получения, результат проверки. Два изменяемых файла под одной властью не образуют две области доверия.

Якорь не расширяет поле наблюдения

Внешнее закрепление усиливает непрерывность, но не чувствительность регистратора. Верный хэш квитанции подтверждает записанные байты. Метка LOGGED BY AGENT остаётся сообщением агента; цепочка не делает её независимым наблюдением.

Она не покажет вызов, который обошёл регистратор, действие через побочный канал, незаписанное разрешение или внешний платёж, доставку и изменение конфигурации. Для заданий с серьёзными последствиями нужно заранее сохранить набор разрешённых или ожидаемых действий, затем сопоставить его с квитанциями и получить подтверждение у системы, которой принадлежит фактический результат.

Закрытие хронологии, свидетельство конца, полнота покрытия и внешний результат — разные выводы. Общая прослойка должна оставаться тонкой: формат, порядок и воспроизводимые обязательства. Полномочие объявлять полноту и последствия не должно незаметно переходить к формату.