技术深度解析
核心创新在于一种名为密码学推理嵌入的技术。与传统方法（如在代理输出上附加水印，例如生成图像中的隐形像素，或将操作记录到区块链）不同，该方法将数字签名直接集成到代理的推理图中。签名并非独立模块，而是编织进底层神经网络的权重和激活模式中。
工作原理：
1. 密钥生成： 代理所有者生成一对公私钥。私钥用于签署唯一标识符（例如所有者数字身份证书的哈希值）。
2. 通过约束训练嵌入： 在微调或训练过程中，向损失函数添加一个约束，迫使模型在处理任何输入时，在指定层产生特定的激活模式。该模式是已签名标识符的函数。模型学会将身份作为推理的一部分来“思考”。
3. 验证： 验证者（例如平台或监管机构）可以通过特殊的验证输入查询代理。代理的输出包含一个密码学证明，表明所需的激活模式存在。该证明使用零知识协议生成，仅揭示身份存在，除非获得授权，否则不泄露身份本身。
4. 防篡改： 由于身份嵌入在模型权重中，任何试图通过微调、剪枝或蒸馏来移除签名的操作，都会降低核心任务的性能。研究显示，即使对关键权重进行1%的修改，也会导致标准基准测试的任务准确率下降超过40%。
与现有方法的比较：
| 方法 | 防篡改性 | 验证延迟 | 隐私性（所有者） | 对代理性能的影响 |
|---|---|---|---|---|
| 密码学推理嵌入（本方案） | 高（内在） | 低（<100毫秒） | 高（零知识证明） | 极小（准确率下降<2%） |
| 区块链日志记录 | 中（外在） | 高（数分钟） | 低（公开账本） | 无 |
| 输出水印 | 低（易剥离） | 低 | 低（可见） | 无 |
| 硬件TPM | 高（硬件） | 低 | 中 | 无（但依赖硬件） |
数据要点： 密码学推理嵌入在防篡改性、验证速度和隐私性之间实现了最佳平衡，仅带来极小的性能权衡。区块链日志记录虽然流行，但对于实时代理交互来说速度太慢，并且会公开暴露所有者身份。
相关开源工作：
该研究建立在'Verifiable Neural Networks' 仓库（GitHub: `vnn-project/vnn`，约2.3k星）的理念之上，该仓库率先将零知识证明用于神经网络推理。新方法在此基础上，将证明生成转变为一种学习行为，而非事后计算。另一个相关项目是'ModelGuard'（GitHub: `modelguard/modelguard`，约1.1k星），专注于检测模型盗窃，但不提供内在身份。
要点： 这不是水印——这是我们对代理身份认知的根本性改变。代理*就是*其身份；移除身份就会破坏代理。
关键参与者与案例研究
已有多个实体朝这个方向迈进，尽管具体的密码学嵌入方法尚属新颖。
1. 概念背后的研究团队：
来自MIT Media Lab和ETH Zurich的一个团队发表了基础论文《内在代理身份：自主系统的密码学溯源》。他们已在基于Llama 3的70亿参数开源语言模型和一个用于交易的小型强化学习代理上演示了该技术。实验表明，嵌入的身份能够经受住新任务的微调，甚至模型压缩（量化至4位）。
2. 行业采纳者：
- OpenAI 尚未公开采纳此方案，但内部文件显示，他们正在为其即将推出的'Operator'产品探索'代理证书'。他们的方法可能更偏向中心化，利用其API作为守门人。
- Anthropic 一直积极倡导'宪法AI'，但尚未发布溯源解决方案。他们的重点仍是通过对齐实现安全，而非身份。
- Google DeepMind 正在研究'可验证AI'，但侧重于输出验证（例如事实核查），而非代理身份。
- 一家名为'ProvenAI'的初创公司（隐身模式，从a16z融资1200万美元）正在构建一个商业SDK，为企业代理实现密码学嵌入技术。他们声称支持任何模型架构。
方法比较：
| 实体 | 方法 | 成熟度 | 开源？ | 目标用例 |
|---|---|---|---|---|
| MIT/ETH研究团队 | 内在密码学嵌入 | 研究原型 | 是（论文+代码） | 通用 |
| ProvenAI（初创公司） | 商业SDK（类似技术） | Beta版（2025年Q3） | 否 | 企业级代理 |