摘要

  • 2026 年 10 月 2 日提交的代理式感知草案修订版 02，用一个逐级递减的交互层级限制代理继续委派，却没有把监测者、决策者和获准改变网络状态的执行者分开。
  • 指标越过阈值不等于变更获得授权；计数器归零也不等于策略完整传递、网络配置生效、数据处理位置合规或感知精度达标。

值班屏幕上的估计精度跌破阈值。负责监测的代理随即要求网络控制面换一条路径，并把处理任务迁到远端节点。延迟改善了，告警消失了，自动化平台把这次动作标成“成功”。事后复盘时却没有人能回答一个最简单的问题：哪一个主体曾授权这个代理改变网络，而不是仅仅报告异常？

这个场景揭示了《Solutions for enabling agentic sensing with network optimization》修订版 02 中最值得领导者关注的边界。Carlos J. Bernardos、Alain Mourad 和 Muhammad Awais Jadoon 于 2026 年 10 月 2 日提交了这份个人 Internet-Draft。它设想感知控制功能把任务交给感知代理 AIaS，AIaS 选择感知节点和处理功能，再与网络代理 AIaN 协作取得连接；流程末端的监测又可以触发重配置。

这份文本仍是活跃的个人草案，不是 NMRG 已采纳文件，不是 IETF 标准，也不是部署报告。Datatracker 没有为它列出标准流程归属、负责的区域主任或正式议程。文稿声明拟定状态为 Experimental。修订版 02 相比 01 主要更新日期、到期时间、分页和资助致谢，所讨论的机制没有发生实质变化。IANA Considerations 写着 N/A，Security Considerations 仍是 TBD。

这并不削弱草案作为设计素材的价值。相反，它提醒我们把设计愿望、协议承诺、软件执行和现实结果分层阅读。草案列出系统可能需要携带的字段，也画出参与者之间的调用顺序；它没有给出线格式、规范性继承规则、可互操作实现、抓包记录或测量结果。因此，“图上有这一步”不能被当作“生产系统已安全完成这一步”。

监测事实与行动权限是两种对象

监测代理可以报告延迟、连接状态、能耗或估计的感知精度。这是观测事实，包含测量对象、时间窗口、方法和不确定性。重配置则是控制行为：它可能改变路由、无线资源、处理位置、数据接触者和故障域。把前者直接接到后者，相当于因为某人有权读仪表，就推定他也有权转动所有阀门。

草案允许为参数配置阈值与相应行动，并说感知或网络监测可能触发重配置。但“触发”至少有三种不同含义。它可以只生成告警；可以生成供责任人批准的提案；也可以直接调用执行器。三个系统都可能在流程图上画成同一根箭头，治理后果却完全不同。

一个可审计的闭环必须明确六个角色或记录。谁是原始任务的责任主体？谁定义当前策略？谁测量阈值？谁根据证据作出决定？哪一个执行器被授权改变哪部分状态？谁检查动作后的结果并决定是否回滚？小型实现可以让同一组织承担多个角色，但不能把这些命题合并成一个布尔值。

监测报告本身也必须保持局限。RFC 9232 描述了网络遥测的数据生成、导出、分析和消费框架；它帮助系统获得可用观测，并不自动建立因果。配置改变以后延迟下降，可能与这次改变有关，也可能来自流量自然回落、无线环境变化或另一个控制器的并行动作。只有把配置收据、实际转发观测、感知输出及其时间线连接起来，系统才有资格讨论效果。

一个数字无法同时承担所有预算

草案提出 allowed level of agentic AI interactions。该参数可以限制代理是否与感知代理、网络代理或特定所有者交互，也可以决定它是否有权监测并提出重配置。文本还说，这个值可以表示最大跳数、层数、工作代理数量或图深度，并给出委派时减一的例子。

示例编码把 0 解释为不允许委派，把 1 解释为本地 AIaS 可以与本地 AIaN 交互，把 2 解释为可以联系其他感知节点但它们不得继续委派，把 3 及更高值解释为允许更多层。另一个表述是，只有收到的值大于 1 时才能发生额外交互，每过一层减一。

作为拓扑预算，这个计数器有用。它能阻止调用链无限扩张，也容易测试。但图深度、工作者总数、并行分支数、跨越的行政域数量和实际动作总数不是同一个量。父节点可以在一个深度同时派生五个子节点；本地 AIaS 向 AIaN 发请求是否消耗一层，也可能与另一个实现不同；一次失败重试是否计数，文本同样没有建立规范。

更关键的是，层级值没有说明能力。收到“2”的代理究竟能读取哪类数据、请求哪种网络服务、接触哪个处理节点、在多长时间内行动？它是否只能建议，还是能执行？它能否把原始观测带出设备？一个整数无法回答这些问题。系统若把“剩余层级大于零”当成通用通行证，就会把防止拓扑膨胀的机制误作权限系统。

应当分别定义 maxDelegationDepth、maxWorkers、maxConcurrentBranches、maxAdministrativeDomains 和 maxActions，并让每一条委派边记录前后值、父子身份、任务片段、适用策略与依据。计数器到零时，证据最多证明某一个预算已经耗尽，不能证明先前的每一个孩子都遵守规则。

策略需要沿边收窄，而不是靠记忆重建

草案列出的治理要求很丰富：原始数据是否必须留在本地，是否允许本地、远端或部分处理，是否必须加密，哪些生成实体或行政域可接受，信任规则如何定义，以及不同信任等级的原始或处理数据能否融合。它还允许表达能耗、精度、空间和时间要求。

这些约束彼此不可替代。传输加密解决的是途中或存储保护，不代表远端处理被允许。可信来源名单解决的是输入来源，不代表输出精度合格。能耗目标解决资源取舍，不代表数据位置合规。精度目标也不会赋予代理改变网络的权力。

安全的委派必须单调收窄。子代理获得的应是“在这个时间窗、这个区域、为这个任务读取这种转换后数据”的能力，而不是父代理全部身份所能做的事情。网络代理可以获得请求一条满足边界条件的路径的能力，而不是修改不相关基础设施的概括权力。处理功能可以收到脱敏后的观测，而不是自动取得原始数据。

这需要不可变的策略标识或哈希、版本、有效期、数据类别、允许的转换、目的地、行政或地理范围、能否继续委派以及剩余预算。子节点的收据应说明它实际接受了什么；后续结果应引用同一条委派边。没有这种连续性，代理只能根据本地知识重建上游意图，而重建最容易在跨域、升级或故障恢复时漂移。

草案明确说，代理如何判断需要额外的感知任务不在本文范围内，取决于具体实现和本地知识。这个留白正是权限可能无声扩张的地方。孩子自行发明子任务，子任务产生网络配置请求，监测又产生下一次动作。若没有逐边收据，原始责任人无法重建哪一个本地推断造成了哪一个物理或网络后果。

身份可信仍不等于本次动作被授权

系统可能试图用签名或远程证明弥补这一缺口。签名能把一条消息归因到一个密钥；RFC 9334 意义上的证明证据，可以让依赖方评价某个环境的状态。这些都很重要，却不自动回答“该主体是否有权为本任务做这项变更”。

一个运行在已证明环境中的 AIaN，仍可能只被批准读取拓扑而不能改路由；它可能有权为租户甲创建路径，却不能接触租户乙的数据；它的授权可能已经过期，或者只适用于某一策略版本。身份、环境状态、任务能力和现实效果是四个独立命题。把 attestated 译成 authorised，会给系统留下一个看似强密码学、实际缺少制度授权的洞。

同理，网络控制功能返回“已配置”只证明某个请求在控制面被接受或处理。它不证明数据包真的走了预期路径、在期限内抵达选定处理器、保持机密或没有被另一条规则覆盖。需要把配置请求与获准执行器绑定，保留控制面收据，再用独立观测验证连接和转发。

感知结果也需要自己的证据。融合功能返回一个数值，不能证明所有预期传感器都参与、时间同步合格、预处理没有改变语义、缺失分支被清楚标注，或精度仍在容差内。三路数据中缺了一路，不能用“总任务成功”把缺口抹掉。证据集应保留来源成员、采集时间、转换、排除、置信区间与 KPI 计算方法。

闭环会放大未被发现的策略丢失

如果第一次委派已经丢掉原始数据留在本地的要求，监测器看到的世界就是被削弱后的世界。它会在错误策略下判断何为异常，再请求一次“优化”。每一轮都可能让本地指标变好，同时使系统离原始授权更远。

这也是能耗优化危险而直观的例子。草案允许同时表达能量、精度、延迟、隐私和置信度。优化器把计算迁到远端后，设备耗电下降，甚至网络延迟也改善；但原始数据离开了允许地点，或感知刷新率下降到容差外。若仪表只展示能量，系统会把约束违反包装成优化成功。

因而，监测阈值应产生带证据的观察和候选动作。真正的执行必须引用当前策略版本、获准的执行器、动作范围、回滚条件和责任人。动作之后还要产生新的独立观测。测量者不必也不应天然拥有修改路由、无线状态、计算位置或数据暴露的权力。

Security Considerations 仍为 TBD 的事实必须出现在试验说明和领导层判断中。草案已经把治理字段摆在桌面上，不等于威胁模型和执行协议已经完成。此时最危险的说法不是“尚待研究”，而是把字段存在误报为控制已落地。

一条可辩护的收据链至少有八段

第一段是原始任务和可问责主体。第二段是不可变的策略版本以及允许的转换。第三段是每条委派边、子节点身份和收窄后的能力。第四段是网络配置请求和获准执行器。第五段是配置接收记录以及实际连接或转发观测。第六段是感知数据的保管和转换记录。第七段是包含不确定性、缺失贡献者和容差判定的测量证据。第八段是监测触发、重配置决定、执行结果和回滚状态。

系统还必须区分拒绝、超时、部分结果、验证失败和未知。没有收到孩子响应，不等于测量值为零；四个来源只到三个，不等于完整融合；无法证明策略连续性时，代理应停止或明确返回 unknown，而不是拿本地置信度填空。

这对应 Heng Lu 所强调的现实分层。计数器是符号控制数据；委派与网络配置是控制行为；数据位置、包转发和感知精度是现实观测。层与层之间必须用可审计的连接证明，不能靠同一个“成功”标签跨越。

Minimum Initial Specification 给出的起点很窄：先标准化责任主体、策略哈希、能力衰减、明确的多类预算和逐边收据。Running-Code Primacy 随后要求独立实现、捕获的交互轨迹和可重复的结果，之后才有资格提出部署安全的主张。一张顺序图没有完成闭环验证。

开头的重配置因此不能因为告警消失而结案。监测器正确地看到了阈值，执行结果也可能真的降低延迟，但系统没有证明谁授权改变网络，也没有证明动作仍服从原始任务。成熟的设计不会要求监测数字替自己承担制度责任；它会让观察、决定、执行和结果各自留下证据，再把它们连接起来。

Sources