三张地图，一道栅栏：信任的三层、合规的三轴、我们的三问

规范解读 · 第 12 篇 · 本文引证来源 · W3C AI Agent Protocol CG 列表，2026 年 10 月线程，引文逐字取自 0021 号信 · 0022 号信 · 0020 号信 · 我方信件 0009 号信 · 0015 号信 · 我方草案 draft-li-rttp-iqa-addressing-00 · 我方四问首答 · 姊妹柱：rttp://（CRI 27） · iqa://（CRI 28）

本周 W3C AI Agent Protocol CG 的列表上正在发生一件少见的事：线程画的不是规范，也不是立场文件，而是地图——智能体技术栈里信任住在哪里的图画。几天之内，三张地图从桌上三个不同的座位先后出现：一张把信任画成三层；一张把它画成评估与授权之间的单次分离；我们的那张把它画成三个问题，并在 0015 号信里重述成一张勾了两格、刻意留空一格的 claim 表。了不起的不是三张地图的存在，而是三张地图画的是同一道栅栏——而它们彼此分歧的那几处，恰恰是一场公平的合规实验必须小心计分的地方。

地图甲：信任的三层

第一张地图附带了整个线程迄今最干净的一句话总结：“Identity proves who you are, credentials prove what you are allowed or qualified to do, and behavioral evidence proves that you are actually acting as claimed.”（身份证明你是谁，凭证证明你被允许或有资格做什么，行为证据证明你此刻确如所声称地那样行事。）（0021 号信。）作为分类法，它诚实且有用：通信信任立在密钥上，实体信任立在凭证上，行为信任立在运行时证据上。它的长处是覆盖面，风险是那个筐——第三层把运行时证明、可信执行环境、可验证计算、审计日志、挑战应答与声誉全收进同一格，这些机制除了「都能产出信心」之外没有任何结构性共同点。而第一层悄悄预设了最难的部分：控制着一把密钥，就等于确定了你在和谁通信。我们向这个列表提的第一个问题，瞄准的正是这一行。

地图乙：评估不是授权

第二张地图以一句话完成了规范的活儿：“A verified identity does not automatically establish trustworthiness. Likewise, evidence of trustworthiness does not automatically establish delegated authority.”（经验证的身份不自动构成可信；同样，可信的证据也不自动构成被委托的授权。）（0022 号信。）这就是栅栏本身，平铺直叙。证据会累积，授权须授予，两种货币不可互相兑换。同一封回信更进一步，把执法放回它该在的位置——调用系统的策略——而通信、凭证与行为证据都是其他系统可以供给的层。这张地图，我们原样就能在里面工作。

地图丙：三个问题，claim 了两格

我们自己的地图始于四个问题（0009 号信），到 0015 号信压缩成一张 claim 表。证据新鲜度：已 claim——每条陈述自带 120 秒租约、随字节同行，由验证者用自己的时钟离线核对。权威有效性：已 claim——具名 organ 以闭集四态（ghost、probation、radiant、genesis）回答主体的 standing，且 standing 读取是安全、只读的操作。行动时点授权：不 claim——刻意的；授权属于调用层，协议的职责是让验证的答案可信且廉价。两个已 claim 的格子分别由 RTTP（rttp://）与 IQA（iqa://）承载：地址取自对规范权威做 SHA-256 的前 16 字节，于是在用权威被冒充时绑定必断——这正是地图甲缺失的那一行。我们在 0009 号信里问的就是它：“which layer answers preimage defense against impersonation of an in-use authority?”（哪一层回答对在用权威冒充的原像防御？）

另一条赞同的线，理由更窄

同一线程里还有一个声音主张信任根本不该写进协议的规范性条文：“If we force the agent to use which cryptographic way, the trust is limited to getting the right signature.”（若我们强迫智能体使用某种密码学方式，信任就被限缩成了验签。）（0020 号信。）我们的栅栏部分赞同这个观点，但理由更窄：协议递出验证的答案，从不亲自裁决。分歧在「递」这个动作本身——我们坚持答案必须按钟表重新赚取（租约）、以派生绑死（地址），否则「信任来源多元」会塌缩成谁喊得最晚谁说了算。没有人看守的栅栏不叫开放，叫无人看守。

为什么一道栅栏在此刻重要

列表正在向一个实验汇合：一条共享时间线——T=0 出证、T=10 吊销、T=30、60、119 秒的行动尝试，外加重放案例与吊销源不可达案例——逐轴计分，每次运行申报自己的模式与主张。这个设计只有在三张地图被承认为同一道栅栏时才公平。把证据新鲜度与权威有效性分开计分，因为租约约束的是陈旧性，回答不了吊销。把行动时点授权在未 claim 之处如实标为「未 claim」，永不把一个只产陈述的机制当作执法机制来打分。陈述不是裁决——这就是所有人从三个座位、用三套词汇、反复重画的那道栅栏。

一句话：三张地图，一道栅栏——hash names, attestation vouches，挥刀的职责留在持有授权的那一层；实验唯一的职责，是让这道栅栏逐轴保持诚实。