认证不等于授权——当智能体与智能体对话时，授权应该如何运作？

电子邮件有时能告诉你谁发送了消息。但它从未告诉你，他们是否有权询问他们所问的内容。一个经过验证的真实公司仍然没有固有权利要求付款、宣布紧急情况、请求你的数据或代表你触发某个操作。认证不等于授权。我们之所以能够混用这两者，是因为人类会阅读每条消息并补充缺失的判断。一旦两端都是智能体，这种判断就无法扩展了。一个系统将结构化的意图平铺为散文；另一个系统阅读散文并试图重建其最初的意图。当每个用户面对数千个自动发件人时，那个默默执行授权的人类步骤就跟不上了。我反复得出的方向是：不再将消息视为基本单位，而是在任何操作执行之前，让声明本身变得可审查——意图、身份、权限基础、关系、请求的操作、范围、证据——结构化的，而不是埋藏在散文中。接收方决定什么被准入；发送方可以请求优先级，但不拥有它。系统仅提供建议（生成一个根据接收方偏好加权的推荐），而人类仍然是决定什么可以到达他们以及什么可以执行动作的最终权威。有两件事我不确定，希望这个社区能解答：一个基于（发送者、意图、关系）的信任判断是否与垃圾邮件过滤有本质区别，还是仅仅是一个增加了额外名词的垃圾邮件过滤器？一旦信任可以赢得，它也可以被伪造——账户相互担保以显得合法。当每个有动机去操纵它的人都试图这样做时，你如何保持一个共享的信誉信号诚实？披露：我在这方面正在构建（从电子邮件开始），所以我倾向于认为这个问题真实存在。我关心的是模型是否成立，而不是产品。它在哪一点上会失效？