摘要

  • IETF 文档库于 2026 年 9 月 3 日公布《代理式 AI 系统治理审计记录》07 版。Datatracker 将其标为个人 Internet-Draft，明确说明它不获 IETF 背书，在标准流程中没有正式地位，也没有 RFC 流、负责的领域主管或电话会议日期。
  • GAR-06 把外部恢复签名写在 R-3 下，并把 R-3 称作证明完整性失效；它所规范引用的 MAD-03 却把 R-3 定义为“无响应”，分类也只到 R-7。
  • GAR-07 将外部签名和 KIA 再证明完成事件改到 R-8，同时把会话及子节点撤销记录从六类扩为八类。
  • 9 月 4 日的 MAD-04 新增 R-8，覆盖授权或凭据疑似或确认遭攻破的情况。它要求立即停机、人工重新授权并向后代代理级联撤销，同时要求先验证攻破信号，防止伪造告警变成停服工具。
  • 两份当前文本在语义上已经相接，GAR-07 的固定规范引用却仍指向 MAD-03。可重放的实现记录应把 GAR-07 与 MAD-04 的版本、哈希、信号验证和恢复测试绑在一起。

R-3 原本承载了错误的风险

GAR-06 有一个合理的安全原则：如果负责执行治理规则、签署审计记录的组件本身可能遭到攻破，它不能独自证明自己已经恢复。完成 KIA 再证明的记录，必须由外部验证服务签名。

问题出在分类。GAR-06 在这里使用 R-3，并将其解释为证明完整性失效。然而规范引用的 MAD-03 对 R-3 的定义是 Non-Response：代理会话没有在规定时间内响应撤销、人工升级或级联信号。MAD-03 只有 R-1 至 R-7，并没有专门描述凭据遭攻破的类别。

这不是只影响目录的编号差错。“无响应”与“凭据不可信”对应不同的损失分配。前者可能仍允许运营方发出继续执行的授权；后者质疑的是授权工具本身。如果接收方各自猜测 R-3 的含义，同一份合规记录会把恢复权交给不同的人。

GAR-07 把外部见证人移到 R-8

GAR-07 对相关位置作了连续修正。设计原则改称“R-8 事件的外部签名”；ALE_KIA_REATTESTATION_COMPLETED 只由 R-8 触发；会话撤销与子委派撤销中的类别范围，也从 R-1—R-6 扩到 R-1—R-8。关于“组件已遭攻破但仍能签名”的剩余风险说明，同样改为引用 R-8。

新的权力边界很清楚：被复核的组件仍可能留下普通记录，却不能成为证明自己恢复可信的唯一证人。再证明记录分别保存外部验证者身份及其 Ed25519 签名、旧证明、新证明、内核版本、策略哈希和证明中断时长。中断期间运行过的会话必须被列出，并在审计包中标注风险。

草案没有把一次外部签名夸大为全历史清白。它承认，较低合规等级下，一个已被控制却仍持有签名能力的组件，可能生成密码学上能通过验证的虚假记录。外部验证只保护恢复链上的一个关键动作，并不能倒推每个旧动作都真实。

MAD-04 定义攻破之后发生什么

次日发布的 MAD-04 补上 R-8。修订说明称，在把撤销分类与另一份授权生命周期事件配置相互映射时，作者发现后者已有 compromise 原因，前者却没有对应 R 代码。

R-8 包括授权或所用凭据因外部攻击而疑似或确认遭到破坏，例如密钥材料暴露、凭据被盗，或者 KIA 证明失败显示运行身份已与受证明状态不符。MAD-04 特意将它与 R-1 分开：R-1 是代理越过已授予权限里的宪制禁区，R-8 则是承载权限的凭据或授权本身不再可靠。

处置因此更严格。系统不能等到自然停点，必须立即终止会话；完成状态不能记为 CLEAN。任何继续执行都需要人类主体重新授权，旧凭据及其派生密钥不得再用。撤销会传到所有后代，因为它们的权限链都来自可疑根授权；相应的子代理组合记录和临时身份引用同时失效。

快速停机也可能被利用。伪造一个“凭据遭攻破”的信号，就可能把整个委派树变成拒绝服务目标。MAD-04 因而要求在提交 R-8 撤销前，以信号机构自身的密钥独立验证信号真实性与完整性。COMPROMISE_REVOCATION 记录要保存检测来源，在存在时还要指向具体证明或安全信号。

最新别名和固定引用给出两个答案

今天打开 GAR 的 Datatracker 页面与 MAD 页面，看到的是 07 与 04 两个当前版本。R-8 从原因、级联到外部签名都能连起来。

但 GAR-07 的规范参考文献仍明确写着 draft-sato-soos-mad-03。那是一份可固定获取的历史文件，不含 R-8，并把 R-3 定义为无响应。一个解析“文档族最新版本”的工具会跳到 MAD-04；一个严格重放参考文献的工具会停在 MAD-03。两者没有读取同一套规则。

发布日期相差一天，可能只是正常的编辑先后，但公开资料无法证明原因，也不应代作者解释。可以确定的是：活链接适合帮助读者找到最新稿，不适合单独承担审计证据。历史系统说“支持 GAR 和 MAD”时，如果没有具体版本，这句话会随网页更新而改变意义。

用一张联结凭证固定控制面

最小凭证不需要新的审批机构，只需要把分散字段连起来：GAR 版本和 SHA-256、MAD 版本和 SHA-256、原始原因、R 代码、验证触发信号所用密钥、撤销根节点及后代范围、部分完成状态、人类决定、外部验证者和最终恢复事件。

验证要从失败路径开始。真实的 R-3 无响应事件不得进入 R-8 再证明分支；经验证的 R-8 必须立刻停掉权限树；伪造的 R-8 必须在不撤权的情况下被拒绝。用被审查组件自己的签名、用受影响密钥的派生物，或者在部分状态尚未处置时尝试恢复，都应得到不同且可解释的失败记录。

未来若 GAR-08 更新引用，新的凭证应追加到旧记录后，而非覆盖它。这样才能回答一个事后经常被忽略的问题：系统作出决定的那一天，运行代码究竟依据哪一份规则？

这里借用恒鲁的运行代码优先作为分析尺度，不把它当成这些草案已部署的证据。发布文档不等于产生运行事实。最小初始规范的意义也正在此：共同层不必很厚，但必须精确到独立执行者能够本地验证出同一个状态转移。

先把权威标签写对

两份 Datatracker 页面都给出同一限制：它们是个人 Internet-Draft，任何人都可以提交；IETF 没有背书，它们在标准流程中没有正式地位。草案页眉写有拟进入 Standards Track 的意向，但意向不是当前流程状态。

本次核查没有找到实现、互操作测试、生产采用、监管接受或真实攻破事件。文件可能继续更新、被替代，也可能过期。

所以新闻不是“IETF 已经制定 AI 代理治理标准”，更不是某个已部署系统发生故障。真正可验证的新事实是：两份公开工作文件修正了谁能在攻破后关停和证明恢复的映射；而修正仍留下一条版本证据缝隙。治理记录若只保存签名，不保存赋予签名意义的文本，也无法证明权力来自哪里。

来源

  1. IETF 文档库：GAR-07 公布通知
  2. IETF Datatracker：Governance Audit Record
  3. GAR-07 原文
  4. GAR-06 原文
  5. GAR-06 至 GAR-07 官方对照
  6. IETF Datatracker：Multi-Agent Delegation
  7. MAD-04 原文
  8. MAD-03 原文
  9. MAD-03 至 MAD-04 官方对照
  10. 恒鲁：Running-Code Primacy
  11. 恒鲁：最小初始规范
  12. 恒鲁：现实而非倡议