摘要

  • AER-1 第 09 版可以证明眼前每个执行回执属于同一条有序、自洽的链；但能删除首尾记录并重建链接的一方，仍能提交一条较短却通过全部内部校验的链。
  • 草案定义的可选外部承诺同时绑定任务标识、末项摘要、条目数量与发布时间。仅承诺数量保护不了最后一项；即使锚点完整，也只能证明被记录时间线的端点，不能证明每个真实动作都进入了记录边界。

审计员面前是一条六步记录。序号从一开始，逐项递增；六项使用同一个任务标识。每个 prev_digest 都与审计员重新计算的前一项摘要一致。只有第六项标记 close:true，回执的规范字节也都匹配各自的输出承诺。

链没有错。

然而在重建之前，它可能有八项。

这不是 SHA-256 的破坏，也不是逻辑悖论，而是 AER-1: A Portable Execution Receipt for AI Agent Tool Calls 第 09 版主动写明的信任边界。只要提交者能从开头或末尾删掉项目，再为剩余记录重新计算完整链接，一条更短的链仍可满足内部规则。链内验证回答“收到的这些记录是否彼此一致”，并不回答“收到的记录是否就是原始全貌”。

这份文本于 2026 年 10 月 1 日成为一份活跃的个人 Internet-Draft。Datatracker 明确提醒：任何人都可提交个人草案，它不代表 IETF 背书，也不在 IETF 标准流程中拥有正式地位。Datatracker 没有列出 RFC 流或预期 RFC 状态；文档自身写的是独立提交、拟定 Informational。它将在 2027 年 4 月 1 日到期，不是 RFC。实现者的公开主张不能被抬升为机构采纳。

链真正绑定了什么

AER-1 的任务时间线是一个非空数组。每项包括前项摘要、序号、任务标识、回执标识、工具名、来源类别、规范回执字节、输出哈希，以及可选的关闭标志。验证者先解码回执字节并核对哈希，再把 close、id、job_id、output_hash、prev_digest、provenance_class、seq 和 tool 按规范 JSON 形式排列，计算 SHA-256。

创世项以前项为 64 个零。序号从一开始，必须每次加一；所有项目属于同一任务；最后一项必须关闭，之前任何一项都不能提前关闭。验证者重算每个摘要，不能只相信文件里已经存好的链接。

版本也是证据的一部分。第 06 版的条目摘要只覆盖解码后的规范回执字节。第 07 版才把位置、任务、工具、来源和关闭状态等元数据纳入承诺，第 08、09 版沿用这一结构。因此，历史上的第 06 版链不能被静默套用新语义；今天的验证软件不能倒推创造当时不存在的保证。

在这个边界内，链很有用。若有人修改工具名、来源类别、回执标识、输出承诺、任务标识、序号或关闭状态，却不能重建后续链条，下一个链接就会断裂。插入、删除、换序和改名也会暴露——前提仍然是对方无法重新生成所有依赖链接。

真正的控制面就在这个前提里。

一条更短、仍然合格的历史

从八项任务中删去第七和第八项，把第六项改为关闭，再重算第六项摘要。因为已经没有第七项用 prev_digest 保存第六项旧摘要，新的六项链可以完全合规。若删去前缀，也可以把剩余事件重新编号，从新的 64 个零链接开始。

草案把它称为哈希链的诚实限制，并要求不得把单独的链校验描述成“防截短”。要抵抗这种重建，需要链外承诺：独立见证者、带时间戳的链头、外部锚点，或者预先绑定预期步骤与数量的工作流清单。

第 08 版已建议外部承诺应绑定末项摘要。第 09 版进一步定义了一个可选、可互操作的工件，包含 job_id、final_entry_digest、entry_count 与 published_at。它必须在链外发布。若把它塞进最后一项，就产生循环：最后一项只有完成后才有自己的最终摘要，不可能先把这个摘要写进自身。

验证者重新计算可见末项摘要、统计数量、核对任务标识，并与独立获取的承诺逐项比较。相符可以证明：眼前的链抵达了某个见证者在相应时间公开看见的端点。

只数数量，锁不住最后一句

“应有八项”的承诺能发现八项被砍成六项，却未必能发现第八项被另一项替换。

除末项外，每项摘要都会出现在下一项的 prev_digest 中，因此还有后继记录为它背书。最后一项没有后继。提交者可以重写最后一项、重新计算它的摘要，同时保持总数为八。只看数量，前后都是八；承诺末项摘要，替换才会显形。

四个字段各有职责：数量约束长度，末项摘要约束可见终点内容，任务标识防止挪用其他任务的链头，发布时间说明见证者何时公开承诺。运营方还应保存见证者身份、获取路径、获取时间与校验结果。若链与承诺都由同一主体在同一可变存储中控制，文件虽有两个，权力边界仍只有一个。

锚点不会扩大传感器

外部锚定增强的是连续性，不是观察范围。回执哈希通过，只能证明规范字节与承诺相符。标记为 LOGGED BY AGENT 的项目仍是智能体自报；进入哈希链并不会把它升级为独立观测。

同样，链无法发现从未经过记录器的调用、旁路动作、未被捕获的授权，也无法替支付系统、配送系统或配置系统证明外部结果。对于高后果任务，需要在执行前冻结获批或预期动作集合，执行后把可见回执与之对账，再向真正拥有结果的系统索取结果证据。

“时间线关闭”“端点被见证”“动作覆盖完整”“外部结果发生”是四个不同结论。共同层可以保持轻薄：统一格式、顺序与可复核承诺；谁有权宣告完整、授权与后果，必须留在明确且可问责的制度层。