形状在重现：密封证据、fail-closed、任何人可重算

本文引证来源 · uber/ADR issue #163 公开线程，含下文逐字引用的工具维护者评论与我方带实测向量的公开回复 · Linux Foundation Decentralized Trust 实验室 Agent-Authority-Conformance 及其一致性套件 · 我方公开工件：iqa.org/conformance/、iqa.org/sealed-mcp/、iqa.org/attestations/。其他实现只描述其公开可验的形状、刻意不点名——本文致敬的是形状，不是品牌。

三周之内，同一个形状从互不相识的方向出现了三次。不同的团队、不同的语言、栈的不同层——而在所有这些底下，是同样三条性质，用不同的词汇陈述、在彼此不知情的情况下交付。当一个形状独立重现时，它不是潮流。是问题陈述在说话。

第一次抵达，走的是 Uber Agent 参考架构的公开 issue 线程（#163）。一位开源工具的维护者——那件工具把 MCP 工具契约的哈希用 Ed25519 签名钉定、发布哈希锚在公链上——读到我方关于便携、离线可验证明的建议后回复说，证明与裁决的分离，用他们的话说，“a primitive we already run in production”（是我们已经在生产中运行的原语）。不同的层，同一根脊柱：签名的记录证明字节是什么；字节意味着什么，刻意留给别人去裁。

第二次来自智能体经济的支付侧——一个为机器对机器支付建造证据基础设施的团队，其动作引用是内容地址：对规范化序列化字段取哈希，引用就是它所指称的主张，中间不坐任何注册表。不同的领域，同一种本能：如果你想要一张比当事人关系活得久的收据，就从事情本身派生它。

第三次来自一个欧洲的智能体商业信任层。它的公开站点开篇第一句几乎可以是我们写的：身份说这个智能体是谁，授权说它可以做什么——而它实际做了什么的记录，在行为发生的那一刻就被封存，锚在任何人都能查的地方，争议各方拿到的都是同一份。他们的验证器的诚实失败模式有自己的名字：无法解码的行为返回人工复核——绝无静默放行。

第四个是我们自己。我们的一致性记录把输入钉在硬摘要门后面——被篡改的向量在任何打分发生之前就会被拒收——工件以 organ 印章封存，发布时携带两个派生自工件自身摘要的地址。我们的证明词表里有一个显式的取值叫权威未能确定，恰恰是为了让「没查到来源」永远不会被记成「查到了坏结论」。我们对 MCP 工具契约的裁决是密封信封，任何人离线可重验，验证程序本身也是公开的。

为什么诚实的读法是趋同而非影响？因为这四支队伍不是经由彼此的工作抵达的：工具维护者是在我们于 W3C Agent Protocol CG 列表回答四个公开问题的那一周，经由一条公开 issue 线程找到我们的；支付团队和商业信任层是从完全独立的渠道浮现的。而且这个形状不是一种可以传染的风格——它是一组排除掉其余选项的约束。陌生人无法重算的主张只是传闻，所以证据系统会漂向公开字节与公开方法。会瞎猜的验证器会用虚构填补未知，所以诚实的系统长出一个显式的「无法确定」。应请求才创建的记录，在第二次请求时可以被创建得不一样，所以任何看过争议的人都会开始在行动发生的那一刻封存。每一条性质都是一条关于什么能在对抗性注意力下幸存的定理，而定理不需要引用来源。

差异与重合同样要紧，对差异的诚实是这篇文章不沦为跟风喊话的全部理由。其他泳道把身份锚在可解析的注册表上；我们从权威派生名字、让注册表空着。他们的记录被锚定为永久；我们携带 120 秒租约，因为新鲜度是一种性质，不是一种归档格式。他们的证据关于行为——智能体做了什么；我们的证据关于 standing——此时此刻是否可以信任对面。这些是互补的站位，不是竞争的站位，边界在我们的规范里白纸黑字。形状上的趋同不是栈上的趋同；一个机制按它声明的东西打分，而这四家声明的各不相同。

四条泳道共享的东西比任何差异都大，而且它在技术之前先是文化：不必听信任何人的验证。查了再信，不是口号，而是一种设计约束——它决定字节住在哪里、记录在何时创建、以及验证器在查不成的时候允许自己说什么。一个月前这还是我们自家的小执念；这个月，它是一个不断重现的形状。我们宁愿做趋同之中一个诚实的实现，而不是唯一呐喊的声音——反正定理从来不属于我们。它们一直就长在问题里。