AI代理授权链的下一环由谁签名

Summary

Azat Davliatshin于11月2日发布独立报告，按两份个人互联网草案的文字编写验证器，并对AAT -01与Asor -02的授权链建模。
AAT -01要求父令牌所指向的持有人密钥签署子令牌。报告对Asor -02的读法是：验证器配置中接受的密钥即可签署下一环，父令牌持有人无需参与。
报告的模型显示，若攻击者掌握一把被接受的签名密钥，便可在诚实令牌下接出子令牌；末端的DPoP只能证明提交者握有末端密钥。这是模型里的密钥失陷情境，没有生产事故证据。

先看两份草案的共同部分。根令牌授予权限；后续令牌以哈希链接父令牌，缩小可用能力，受层数和有效期限制。最终提交请求的一方还要证明持有末端密钥。这些安排能回答“末端能做什么”，却不能自动回答“谁让末端加入”。

Niki Aimable Niyikiza的AAT -01把第二个答案交给父令牌持有人。其I1规则要求子令牌由父令牌中指定的密钥签名。Davliatshin据Asor -02文字实作的验证步骤则接受验证器本地配置中的签名密钥。父令牌中即使写了持有人，创建下一环也不必由那名持有人签字。

报告让这处差异承受一次有条件的压力测试：假定攻击者控制一把验证器认可的密钥，却没有诚实父令牌持有人的密钥。在Asor模型中，攻击者仍可签出下一环，并在新末端写入自己的密钥，再用DPoP证明自己握着它。DPoP验的是当下提交者，不会倒流到上一位持有人的同意。这不是对实际部署的入侵报道。

作者又把Asor模型改成“必须由父令牌持有人签名”。上述差异随即消失。这项改动是用来定位原因的反事实试验，并非Asor -02已写入的要求。问题也因此非常具体：后续委托权跟着令牌持有人走，还是跟着验证器认可的发行密钥名单走？

Asor -03在10月27日已发布，比这份报告早。它仍要求验证器按本地配置的密钥及算法核查各环签名，再另行核查末端持有证明。报告的正式模型比较针对 -02；对 -03 的判断必须以较新文本为据。下一份能改变判断的材料，是明文指定子令牌签署者的修订及相应的独立测试。