standing 是租约，不是声誉：初次接触之后

规范解读 · 第 11 篇 · 本文引证来源 · W3C AI Agent Protocol CG 会议纪要，2026 年 10 月 21 日（英文原文照录） · 我方草案 draft-li-rttp-iqa-addressing-00 · AICENT-009（iqa://） · iqa.org/scenarios · 姊妹柱：rttp://（CRI 27） · iqa://（CRI 28）

W3C Agent Protocol CG 10 月 21 日会议的收尾信任时段，问出了每个身份系统终将面对的问题：初次接触证明了什么？纪要逐字记录了那份担忧：“Discovering metadata and cryptographic keys can support authentication, but it does not automatically establish a cross-domain community's trust relationships.”（发现元数据与密码学密钥可以支撑认证，但它不会自动建立跨域共同体的信任关系。）为这个时段收尾的观察同样直白：“No single trust model was selected, and no claim was made that DID, CIMD, or OAuth alone solves reputation or service quality.”（没有选定任何单一信任模型，也没有任何人主张 DID、CIMD 或 OAuth 单独解决了声誉或服务质量。）两句话，整个房间就走过了互联网上最古老的 bootstrap 捷径。

TOFU 与它的小字条款

首次使用即信任（Trust on First Use，TOFU）是网络自己的管道完成 bootstrap 的方式——SSH 让它出了名，而证书透明度的存在恰恰是因为放任不管的首次接触信任会馊掉。会议的贡献是把这层分离明确说了出来：建立一个可信环境是一个过程，在环境内做交易是另一个过程；初次接触不是对交易对手万物信任的许可证。这一分离是那一个小时的诚实内核，纪要用一条否定式主张守住了它——会上讨论的任何协议，DID 也好、CIMD 也好、OAuth 也好，都没有被当作声誉问题的解。没有人许诺没有人能给的东西。

身份安全不是服务质量

房间里划出的第二条界线，从今以后值得进每一份智能体身份的演示稿：“Proving that a message reaches the intended agent and that the agent controls its identity is different from deciding whether that agent provides reliable or high-quality service.”（证明消息到达了预期的智能体、且该智能体控制着自己的身份，与判断该智能体是否提供可靠或高质量的服务，是两回事。）我们的第二根柱子正是造在这条差别上。IQA（iqa://）证明的是一个主张成立——某主体的陈述有效、在租约之内、由 organ 签名。它不做评审、不打分、不推荐。一份悄悄给质量打分的证明，就是一件穿着密码学戏服的评分表；闭集动作设计的全部意义，就在于 organ 只回答是否，且只回答是否。第一根柱子从另一侧避开同一个陷阱：RTTP（rttp://）回答一个意图被寻址的在哪与何时，对被寻址的那一方不带任何评价。

standing 是租约

在我们的词汇里，那个坐在认证与声誉之间的属性有名字：standing——一个陈述在时间界内为真，而不只是签名那一刻为真。机制刻意做小：一个随字节自身携带的 120 秒租约，四态（ghost、probation、radiant、genesis），以及会关门的失败方式——过期或不可达的验证是 REJECT，从来不是耸肩。验证者用自己的时钟、离线核对租约；协议从不需要被人「批准」才能完成一次验证。而且因为真实信道比理想慢，租带有三种运行模式：给快到能兑现 120 秒的网络的活租约（live lease）；给存储转发路径的租约残值（lease residual），字节自己报出年龄；以及给纸质与审计副本的归档模式（archival），完全可验证、不声称任何新鲜度。卫星信使和信鸽从不假装自己新鲜——字节说了这条主张多老，收信方睁着眼睛做决定。

我们不主张什么

我们不主张一套声誉系统，会议也没有。organ 证明的是一个主张在租约内成立；它从不为质量作保，四个状态——ghost、probation、radiant、genesis——也不应被读成等级。密钥被持有与服务是好的之间的空隙，由经验、证据与机构来填，协议能做的只是让这个问题每次都被诚实地问出。这不是我们抱歉地披露的局限；这正是让这套机制可审计的那条边界。

一句话：初次接触买到的是一把钥匙，不是一份品行证明书；协议的职责是让租约每 120 秒被重新赚得一次——并确保没赚到的时刻，一切 fail-closed。