寄给 W3C 智能体协议社区组的四问
本文引证来源 · 我们致该列表的信：Four open questions on the Agentic Web report (2026-09-24): preimage defense, address assurance, trust leases, statement granularity，2026 年 10 月 18 日寄至 public-agentprotocol@w3.org，已上墙为存档编号 0009——一手源，英文原文照录 · 它引来的回复：draft-pidlisnyi-aps 的作者（2026 年 10 月 21 日，编号 0011）与我们同日的应答（编号 0012），均从同一公开存档逐字照录 · 该列表 10 月其余往来，按主题与日期引自同一公开存档（个人一律以角色指称，不具名） · 我们此前对报告的逐行阅读：w3c-review，以及我们自己的第一版作答：four-answers。
2026 年 10 月 18 日，我们把四个公开问题寄给了 W3C AI Agent Protocol 社区组的公开邮件列表。这四个问题是我们的，但不是关于我们的。它们是智能体栈里四行记录——我们在社区组那份 2026 年 9 月 24 日的《Agentic Web 协议技术报告》里找不到答案，在别处也没找到。
有一件事必须先说，因为它属于那种「晚点被读者自己发现、就会被当成话术」的细节——而它的结论如今已经反转：这封信已出现在公开存档上，编号 0009，落款 10 月 18 日。本文当初担心的那条人工审核队列，既没有拦住这封信，从存档看也没有怎么拖延它。我们选择把四问连同它至今引出的一切一起发表在自家这一侧，因为一个公开的问题，和「它引出了什么」的记录，应该住在同一个屋檐下。
1. 那封信，按它自己的话
信的开头交代了写信的人，用的是能找到的最平实的说法：“We are the authors of draft-li-rttp-iqa-addressing-00 (in ISE review), the specification behind two provisionally registered URI schemes at IANA: Resonant Time Transfer Protocol (rttp, CRI 27) and Identity Quality Assurance (iqa, CRI 28).”（我们是 draft-li-rttp-iqa-addressing-00 的作者，该规范正在 ISE 审核中，它背后是 IANA 两个临时登记 URI 方案：Resonant Time Transfer Protocol（rttp，CRI 27）与 Identity Quality Assurance（iqa，CRI 28）。）信里记下我们逐行读过那份报告并发表了阅读笔记，并且在提问之前先声明姿态——因为姿态恰恰是最容易被读错的那部分：“We enter the discussion with four public questions rather than claims — each one is a gap we could not find an answer to, in the report or anywhere else.”（我们带着四个公开问题而非主张进入讨论——每一个都是我们在报告里、以及别处都找不到答案的缺口。）
接着是四问，按原样照录。
问一 · 第二原像防御。 “DID documents answer "who holds the key" — but which layer answers preimage defense against impersonation of an in-use authority? Is detecting a swapped identity document a matter of protocol, or of luck?”（DID 文档回答的是"谁持有这把钥匙"——但哪一层回答针对"冒充一个在用权威"的第二原像防御？发现一份被掉包的身份文档，靠的是协议，还是运气？）
问二 · 寻址担保。 “discovery depends on the discoverability of description documents — who vouches for the address of a description document itself? Should addressing be split out of "discovery" and specified as an independent layer?”（发现依赖于描述文档的可发现性——那么谁为描述文档自身的地址作保？寻址该不该从"发现"里分出来，单独立为一层？）
问三 · 信任租约。 “TLS certificates have validity periods — does an agent's trust have a lease? Which layer carries the freshness and expiry of statements?”（TLS 证书有有效期——一个智能体的信任有没有租约？陈述的新鲜度与过期归哪一层管？）
问四 · 陈述粒度。 “must cross-platform interoperability take the "platform" as its unit (federated), or can it sink to the "statement" as its unit (registry-free)? Are the two granularities complementary?”（跨平台互操作必须以"平台"为单位（联邦式），还是可以沉到以"陈述"为单位（无注册表式）？两种粒度是互补的吗？）
信并没有把自己的问题挂在我们这一侧不管，这一点也写明了：“We have also published our own first-pass answers to all four, so the questions do not hang unanswered on our side either… offered as one hand-in among possible answers, not a claim to the last word.”（我们也发表了自己对四问的第一版作答，因此这些问题在我们这一侧也不会悬着……作为众多可能答案中的一份递交，而非对最终结论的声称。）
这里有一处更正，我们先欠自己，再欠读者：那封信的结尾曾主动提出愿在社区组双周会上做一次简短介绍。这句话写在我们还没想清楚自己究竟能交付什么之前。诚实的立场不是我们无法出席——而是这四问背后的一切都不需要我们在场：问题可以照字面运行，答案可以在缺席的情况下被检验。四问所依赖的东西——测试向量、派生算术、离线信封验证——全都不依赖作者本人在场；这正是我们设计它们的方式。请我们到场，等于把一个「人」摆在本该是「程序」的位置上，这是我们对读者、也对自己唯一拒绝做的事。所以在此把立场改成我们能守住的形式：四问一律以书面对话进行；我们不需要出席任何技术会议；若社区组希望把这四问摆到某次会议上，我们可以提供书面材料——一份简短说明，或已经公开的那些图表——由他人代讲，并在会后就任何提问作书面答复。不需要到场的一方，仍然可以把弹药交出去；这就是我们此刻提出的要约。
2. 第一声回音：租约窗口内的撤销
10 月 21 日，信件落款三天之后，第一份实质性回复到了——来自 draft-pidlisnyi-aps 的作者，那是一份独立的互联网草案，名为 Agent Passport System（智能体护照系统）：一个委托与执法层，权限在委托传递中沿七个维度单调收窄，每一步都在执行边界被检查。层不同，栈相同。回复跳过了客套，直取问三，给出整条线索迄今最锋利的反例。他先陈述自己的设计，逐字照录：“in Agent Passport System a delegation carries its own expiry and can be revoked before it, and the check runs at the moment of action rather than when the statement is fetched.”（在 APS 中，一份委托自带过期时间、且可在过期之前被撤销，而检查发生在行动发生的那一刻，而非陈述被获取的那一刻。）然后是问题，逐字照录：“A 120-second lease bounds how stale a cached statement can be, but an action in second 119 can still rely on a statement its issuer revoked in second 10. How does rttp handle a revoke inside the lease window?”（120 秒租约只约束了缓存陈述的陈旧度上限，但第 119 秒的一次行动，仍可依赖一份其发行方在第 10 秒就已撤销的陈述——rttp 如何处理租约窗口内的撤销？）
这是一个好问题，而诚实的回答从承认它的前提出发：租约约束的是暴露，不消灭暴露——而且设计本身就明说了这一点。我们的回复当天贴上了墙，用三步把这条界线说透。其一，默认的撤销是不续签：信任每 120 秒重挣一次，否则失效；发行方最便宜的撤销就是停止再认证，陈述在下一个租约边界自然老化——最坏暴露等于租约长度本身，用它换来的是验证离线完成。其二，显式撤销不是带外承诺：iqa 方案的封闭动作集里就有 revoke，规范定义为撤销主体的 standing——在具名 organ 处的一次状态迁移，朝四态集里的 ghost 移动。其三，租约是地板不是天花板：对风险画像容忍不了这个窗口的行动，验证者在行动发生的那一刻做一次活体 standing read——这恰恰就是 Agent Passport System 在它的执行边界上做的事。我们从自己的回复里最想留下的一句，逐字照录：“So the honest formulation is: Resonant Time Transfer Protocol (RTTP) does not push revocations inside the window; it prices the window.”（所以诚实的表述是：RTTP 不把撤销推进窗口之内；它给窗口定价。）
这场交锋确认的是收敛，不是分歧，我们的回复也明说了，逐字照录：“your APS runs the check at the action, ours re-earns the trust at the lease boundary — both are bounded exposures, with different bounds and different trust roots (monotonic delegation chains versus derived addresses plus signed statements).”（你的 APS 在行动处做检查，我们的在租约边界重挣信任——两者都是有界暴露，只是界线不同、信任根基不同：单调委托链，对派生地址加签名陈述。）这正落到问四上：委托链执法与陈述级验证看起来是互补而非对立——一份委托完全可以把一条 IQA 陈述当作它收窄维度中的一个，而两层谁也不必借另一层的权威。第一声回音的形状本身，就是四问赖以成立的那条主张的证据：第一份答案来自一个委托层，回答的却是一道新鲜度题——这几行是真实的，邻层都摸得到，而且是可回答的。
3. 这面墙上本来在谈什么
这封信落进的是一个本来就在进行其他谈话的房间；房间和问题同样重要。把这封信自己的线索放在一边，该列表 10 月的存档里有四条实质线索和两条日历通报。把它们当作一张「社区组注意力实际落在何处」的地图来读。
按回复数算最大的一条是“An open map of agentic standards work, including this group”（10 月 15 日，同日两条回复）。有人正在画一张智能体标准工作的开放地图，并且按主题行自己的说法，把这个社区组也画了进去。对任何做寻址的人来说，这是墙上最有用的一件东西——因为地图正是某一层要么作为一行出现、要么被制图者手边那个相邻方框悄悄吞掉的地方。
第二条是“Intro + a lifecycle/presence contribution offer (Living Agents Protocol)”（10 月 7 日）。一份关于生命周期与「在场」的贡献提议，指向的正是我们问三所在的那一层：一个智能体「在场」意味着什么、如何持续、以及如何不再在场。我们对那一行有具体答案——120 秒租约加一个封闭四态集——而一个独立的一方从另一个方向走到同一行，是这一行真实存在、而非我们自己词汇造出来的最好证据。
第三条是“Proposal: cost and budget metadata for the AI Agent Protocol”（10 月 5 日提出，6 日与 7 日各一条回复）——一份具体的元数据提案。它是关于这个群体性格的有用信号：这是一个会写规范的机构，不是一个只开讨论会的机构。
而两条日历通报夹住了整个月份：“Event Canceled: AI Agent Protocol CG Meeting”（10 月 1 日）与“Event Updated: AI Agent Protocol CG Meeting”（10 月 19 日），均由 W3C 日历系统发出。这里的会议被安排、取消、再改期，都是例行公事。这一点值得直说，因为一条日历通报很容易被误读成关于自己的信号，而它只是一个房间在改时间。
4. 为什么是提问，为什么是现在
带着问题而不是提案进场，是刻意的选择；这一点值得公开辩护，因为它常被读成谦虚，而它其实是一种方法。提案是请一个群体采纳某样东西，招来的是群体的免疫反应；提问是请一个群体回答某样东西，招来的是群体的专业能力。如果群体自己的机制已经能答上这四问，那么正确的结果就是这四行由报告自身的设计填上，而我们的规范退回成对一个窄问题的窄答案。
诚实的现状，直说以免旁人去猜：这封信已在公开存档上，编号 0009；回复是可能的，而且第一份实质性的回复已在 10 月 21 日到达——并且不偏不倚，正打在问三上。本文此刻发表，不是为了把问题从队列里抢救出来；队列已经不是故事的主角。问题的记录，应该和它引出了什么的记录放在一起。
5. 在我们眼里这四行是什么
我们自己的作答已经发表，所以这一节很短，也不是推销。
问一关于派生。如果地址是查表查出来的，那么冒充就是攻击者与「谁会察觉」之间的一场赛跑；如果地址是从规范权威算出来的，那么造出第二个能算出同一地址的权威就是一道第二原像题，它的成本是算术，不是组织流程。这正是 RTTP（rttp://）背后的性质——它回答在哪与何时——共鸣时间本就写在名字里：没有时间约束的意图寻址，只是一个 agent DNS。
问二关于寻址该不该自成一格，还是只作为「发现」下的一个子句。我们的立场是：它自成一格，而发现应该留给想做发现的人——派生地址的正确性不需要一份目录来支撑。
问三关于时间。没有过期时间的陈述，就是没人再检查的陈述；这正是 IQA（iqa://）给它承载的每条陈述都加上 120 秒 standing、配一个封闭四态集与 fail-closed 解析的原因，也是为什么验证必须是本地算术——这样离线三测（断网、生存、解释）才有意义。它回答是否。
问四关于互操作的单位。我们认为平台是治理的正确单位，陈述是验证的正确单位；而挑选单位的标准很简单：选那个你不必请求任何人许可就能验证的单位。
一句话：rttp 解决在哪与何时；iqa 陈述是否；两者一致之处，行动开始。
6. 我们实际提供的是什么
一次性说清楚，免得日后对「我们到底做不做」产生歧义。
四问一律以书面对话进行——在列表上，或在任何其他地方，只要有人愿意谈多久就谈多久。这是我们擅长的部分，也是唯一能留下可供他人复核记录的部分。第一场交锋正是这样跑完的：一个反例进来，一份答案出去，都在墙上，都可以在没有我们在场的情况下被复核。
我们不需要出席实时的技术会议——这不是能力的欠缺，而是设计本身。四问的全部可检验内容：向量可以由任何人运行，派生可以由任何人重放，信封可以在离线状态下被验证。项目一贯的立场就是如此：不要相信我们说的，跑一遍挑战；无须联系我们，自己即可验证。一场有我们发言的会议多的是一个声音；向量多的是一个结果。我们选结果。
我们能交出去的是材料：对那份报告的阅读、我们自己对四问的第一版作答、背后的规范、已公开的一致性测试向量，以及一条不需要网络即可完成的验证路径。若社区组希望把四问摆到某次会议上，任何人都可以凭这些材料代讲，而我们会就会上产生的任何提问作书面答复。
四问在信件上墙的那一天就不再只属于我们；此后它们属于任何能回答它们的人。第一份答案来自一个委托层，而且它把问三所问的那一行当回事到出手攻击的程度——这正是这套方法预言的结果。如果一份生命周期与在场的贡献最终把「租约」这一行扛得比我们的租约更好，那比我们赢下这一行是更好的结果——因为缺的是那一行，不是我们的名字。