摘要

  • AIP 的验证分两步：先确认响应者掌握随响应提交的公钥，再用验证方的登记记录或解析出的 DID 文档，确认该公钥确实绑定于 agentDid。
  • 第 03 版把供应商范围的 did:web 与生态范围的 did:opena2a 交给不同的解析权力面；智能体自报的类型、目的或能力既不是授权，也不是结果证据。

设想值班人员看到一条漂亮的审计记录：随机数从未出现过，时间戳尚在五分钟窗口内，签名也能被同一响应中的公钥正确验证。四项检查均显示绿色。

真正重要的一项却应该是红色：验证方从未把这把公钥登记给挑战里点名的智能体。

这里没有伪造签名。数学检验忠实地证明了某个响应者持有对应私钥。缺少的是归属证明——这把钥匙凭什么代表这个 agentDid？这正是 OpenA2A Agent Identity Protocol (AIP) 第 03 版最值得管理层理解的边界。

该版本于 2026 年 10 月 2 日作为活跃的个人 Internet-Draft 发布，2027 年 4 月 3 日到期。它不是 RFC，不是 IETF 工作组成果，也不代表 IETF 共识或生产部署。正文提出 Standards Track 的预期，但那是作者申报的目标，并非已经取得的地位。

被签名的内容，比响应对象更窄

验证方先发出挑战，其中包含 32 字节随机挑战、所声称的 agentDid、16 字节 nonce、issuedAt、expiresAt 与 issuerDid。时间采用 RFC 3339 的 UTC 表达，有效期为五分钟。

智能体签署的实际字符串是：

<challenge>|<agentDid>|<nonce>|<issuedAt>|<expiresAt>

响应对象另外携带 publicKey、keyId、signedAt 与 algorithm。这四个字段不在上述签名输入中。它们可以帮助验证方找到验证材料，却不能凭自身成为可信材料。若系统的规则是“用对方自己送来的公钥验过，就承认对方自称的身份”，任何能生成密钥对的人都能完成这个闭环。

因此，第一步的准确表述只能是：此签名在所提交公钥下有效。它不能在日志、仪表盘或事故报告中悄悄升级为：所声称的智能体已经通过身份验证。

同一条响应，需要两个证据来源

AIP 的验证顺序刻意保留了这一区分。规则一用响应中的公钥验证签名，证明私钥持有。规则二再把该公钥与验证方登记记录或 DID 文档中绑定给 agentDid 的公钥比较。草案明确要求，不能单独信任嵌入响应的 publicKey。

其余控制也各有边界。时间窗口限制旧响应，nonce 的一次性使用阻止重放，受信任的 issuerDid 集合限制谁能发起可接受的挑战。它们都无法替代规则二。一条来自未绑定密钥的最新、未重放响应，仍然来自未绑定密钥。

运维上，这意味着签名服务和身份解析服务必须留下不同状态。前者可能完全正常，后者却已超时、缓存过旧或被错误更新；也可能 DID 文档正确，而签名本身不成立。若只保存一个 verified=true，故障发生后就无法知道系统究竟批准了哪一层事实。

名字空间其实在分配控制权

第 03 版的主要变化是 DID 方法的范围划分。供应商范围的身份使用 did:web，DID 文档由供应商通过 Web 解析路径提供。于是域名控制、TLS 终止、发布权限、缓存与恢复程序都成为身份基础设施的一部分。

did:opena2a 则保留给生态范围的身份，身份供应商不负责提供其 DID 文档。早期的 did:aip:aim_ 形式被列为弃用别名。验证逻辑应把标识符视作不透明值，交给适用的解析器，而不是看见熟悉前缀便自行推导信任。

这不是一次无害的字符串整理。供应商范围的身份把可用性和变更权集中到供应商控制面；生态范围的身份需要另一套解析、治理、争议处理与恢复机制。若系统在两者之间静默回退，就等于让一个权力域替另一个权力域发言。

草案还记录：截至 2026 年 9 月 8 日，其参考实现的解析器只响应被弃用的别名形式。这只是草案中的实现说明，不足以证明任何当前生产状态，却揭示了真实迁移风险：规范所声明的身份范围，可能与运行代码实际能解析的范围不同。审计必须记录当时由哪个方法、哪个解析器、哪份文档完成绑定。

描述性字段不能长成权限

智能体可以声明 type，也可以提供可选的 declaredPurpose。草案的限制很清楚：类型只是信息，不得用于安全决策；声明目的可作为身份或证明语境，但缺失目的不能成为拒绝理由，目的本身也不得作为授权输入。

“采购智能体”“研究助理”“只用于核验发票”听起来像政策，其实仍是自述。只有独立证明并进入明确授权流程后，它们才可能影响决定。信任分数同理，其输入应当可独立核验，而不是由被评分者自己填写。

即使密钥确实绑定给目标智能体，也只解决了身份问题。它是否有权在此时动用预算、修改网络、代表组织承诺，仍需另一项授权。授权不等于执行，执行也不等于银行、注册局、网络或交付系统已经达到预期外部状态。

可靠的证据链应分别保存挑战签发、签名核验、绑定密钥解析、签发方信任、授权决定、执行记录与外部结果。每张凭据只回答一个问题。