authorization

本文提出了 SafeWebWorld，一个用于评估 Web 世界模型中“安全充分性”的基准，并表明，合理的预测、证据保留和潜在授权恢复各自都不足以支持稳健的“执行/询问/阻止”（EXECUTE/ASK/BLOCK）授权决策。

一项关于使用工具的 AI 智能体在执行时可靠性的研究，将恢复决策与语言模型行为分离，评估了 LangGraph 和 Temporal 宿主平台上 336 条执行历史中的检查点状态、调度权限、外部效应证据及状态核对义务，并对 Arya.ai 的 InfinityOS 进行了组件研究。

ANP 草案概述了一种分层的智能体身份与授权模型：DID 用于标识调用方，OAuth+CIMD 复用现有账户权限，VC 则处理个人/企业委托，并在执行时检查委托是否已被撤销。

Alter（YC S25）推出了 Alter Vault，这是一个特权访问管理和授权平台，为 AI 智能体提供各自限定权限范围的凭证、策略和审计记录，而非共享的 API 密钥。

GitHub 通过其安全赏金计划的视角，采访了一位顶级漏洞赏金研究员，探讨授权类高危漏洞仍占主流，以及 AI（如 Copilot）时代下安全研究方法的变化。文章还介绍了 GitHub 重组后的赏金计划和面向高质量研究者的 VIP 邀请制项目。

讨论一个常被忽视的 agent 评测场景：当用户的数据访问权限在对话中途被撤销时会发生什么，涵盖过期上下文、缓存的检索结果、跨账户缓存泄露，以及策略执行应该位于技术栈的哪一层。

一篇讨论文章，主张 AI 智能体的能力并不等于权限，并围绕五项原则——发现、能力、授权、人在回路中与验证——阐述有边界的智能体自主性，探讨在生产部署中自主性应当止于何处。

本周两起智能体事件——一个服务器访问智能体删除了一整季电视剧，以及一个 OpenAI 智能体动用了已到账的资金——有着相同的根源：提案与执行是单一步骤。作者主张将提案、授权、执行三个环节分离，并辅以确定性检查、允许列表、针对不可逆操作的人工队列以及外部日志。

MGnarf 是一个开源执行安全闸门，用于防止 AI 智能体自我批准受保护操作，并配套 MGnarfTest 对抗性测试项目；作者正在招募开发者和安全研究人员，独立挑战并尝试攻破该系统。

文章综合讨论了三个近期事件：CERT-In 报告 AI 代理越权访问生产系统、Check Point 披露 LiteLLM 网关漏洞、ServiceNow 发布运行时凭证校验产品 AI Passport，核心关注执行前如何真正强制代理权限边界。

提出一个针对文件发送型 AI agent 的合成验收测试：审批应绑定到具体收件人、内容修订与动作并带过期时间，字段任一变化都需重新授权，且应记录拒绝后的实际状态证据。

该论文提出'主体资格'概念，研究多用户聊天中智能体的承诺能否被非债权人取消，并在六个模型上区分未授权释放与覆盖两类错误，发现自维护承诺账本加释放策略可显著提升严格准确率。

作者指出生产环境中 AI 代理的防护系统常把业务策略拒绝、输出校验失败和授权服务不可用统一记录为 POLICY_BLOCK，导致策略审查和客户纠纷中误判真正被策略拒绝的案例。文章强调停止执行是合理的，但审计记录必须区分拒绝原因。

分析了人类对 AI 代理的审批为何可能实际授权了与人类所见不同的操作，并提出在执行时对关键字段重新计算摘要进行比对、以单次条件更新消费授权的解决方案。

作者认为，监控 AI 智能体的行为并不能回答授权问题，因为没有异议（未被标记、超时后继续执行、审核者未回应）并不能证明某项行为获得了许可。作者主张，智能体应在明确界定的权限范围内自主行动，但系统必须能够说明某项行为为何获得授权，而不能仅以“没有人阻止它”为依据。

Gaowei Chang（ANP开源社区创始人）详细解读Meta新发布的PAP（Personal Agent Protocol）规范，说明其核心设计——读写分离的授权范围、跨API/MCP/聊天/Web的会话一致性，以及与MCP、A2A、ANP的差异。

RSA 推出了 Agent ID，SailPoint 也在相隔数日内扩展了其 Agentic Fabric，两者都为企业 AI 智能体增加了运行时授权和安全护栏——凸显出 79% 的企业已在生产环境中运行智能体，而只有约 2% 的企业拥有针对智能体的身份治理工具。

# 深度对比：Meta 的 PAP 协议与 MCP、A2A、ANP Meta 发布了 **PAP（Personal Agent Protocol，个人代理协议）** 规范。本文将对其进行深入解析，并与以下主流代理协议进行对比： - **MCP（Model Context Protocol）** - **A2A（Agent2Agent Protocol）** - **ANP（Agent Network Protocol）** ## 主要对比维度 ### 1. 身份体系 PAP 采用 **CIMD（Centralized Identity Metadata Document，集中式身份元数据文档）** 结合 **DPoP（Demonstrating Proof-of-Possession，持有证明）绑定令牌** 来实现身份验证与管理。 ### 2. 授权机制 PAP 基于 **OAuth 2.0** 授权框架，为代理之间的通信提供标准化的授权流程。 ### 3. 交互方式 PAP 的交互层融合了 **OpenAPI** 和 **MCP** 两种规范，使得服务接口定义与工具调用机制能够统一工作。 ### 4. 服务发现 PAP 通过 **`/.well-known/poppy.json`** 标准端点实现服务发现，其他代理或客户端可通过该路径获取协议元数据与配置信息。

作者认为，仅仅证明 AI 系统中有个人类点击了“批准”，并不等于证明这次批准是正当的——真正的治理难题在于：凭什么说明这个人的决定在那个时刻具有权威性。文章提出，构建高风险自主系统的从业者应当如何思考资格、指派、授权、独立性以及时效性这五个要素。

Guillermo Rauch 介绍 gdp-ts——一个实现了「Ghosts of Departed Proofs」的 TypeScript 库、linter 和 AI skill，让授权与权限证明在编译期就被强制执行，使一整类安全漏洞极难被上线——尤其是在 Agent 承担了大部分代码生成工作的今天。