以下是5月19日在柏林举行的2026年欧洲身份与云大会（EIC 2026）上发表的主题演讲的日语译文。幻灯片以PDF格式提供，位于本文档末尾。
软件不再仅仅是工具的时代。
大家好。
我们现在正进入一个软件不再仅仅是工具的时代。
长期以来，软件的功能在于执行指令。它处理表单、移动记录、执行计算、强制执行工作流程以及连接系统。
但现在，软件开始像人类员工一样行事了。
他们不是人类雇员，他们不是公司，他们也不是人类意义上的同事。
它是一种行为类似于员工的数字角色。
我们赋予他们使命和任务，赋予他们权力，并提供必要的工具。我们期望他们能够协调合作、做出决策、向上级汇报、授权，并在实际工作中取得成果。
当软件具备如此强大的功能时，治理问题就会呈现出不同的形式。
问题不再仅仅是“模型能否给出正确答案？”
这不仅仅是应用程序能否安全调用 API 的问题。
应该问的问题是：
- 谁批准了这项工作？
- 这里反映的是谁的意图？
- 授予了何种权力？
- 执行过程中发生了哪些变化？
- 谁能阻止这一切？
- 如果后果出现，谁来承担责任？
- 是。
软件作为员工和身份
在考虑这个问题时，我想先提出一个简单的建议：
当软件成为员工时，身份就成为治理的基石。
智能体人工智能的关注点不仅仅在于模型安全，也不仅仅在于应用程序安全。其核心在于权限委托问题。
授权总是涉及身份、所有权、控制权、证据、问责制和信任等问题。
传统应用程序通常在预先设定的接口范围内运行。应用程序接收指令、执行函数并返回结果。
然而，代理人各不相同。
智能体被赋予总体目标，并自行决定如何实现这些目标。这可能包括选择工具、调用API、创建子任务、与其他智能体协作、适应环境以及超越组织边界采取行动。
那就是为什么“数字员工”这句话很有用。
当然，这并不是因为这些特工是人类。
给我们的员工设定一个总体目标，然后让他们决定并实施实现目标的方法，这是我们一直以来对他们的要求。
我们给他们分配任务，赋予他们权力，并期待他们取得成果。最终，必须有人为他们的行为负责，就像他们是我们的下属一样。
这种模式不仅限于人与代理之间的互动，它也开始出现在代理之间。代理在接收请求时，会声明自己的能力、服务范围、技能以及所需的资质认证，而客户在分配工作前会审核这些信息。
用于发现请求方元数据的函数称为发现函数。在本例中，发现函数也很有用。
然而，一旦元数据的来源超出了我们的控制范围，就会出现这样的问题：“我们真的能相信它吗？”
目前尚不清楚该代理人所说的话是否属实，也不清楚该代理人背后的操纵者是谁。
这背后可能存在一个支持恐怖主义的国家。
但在此之前，还有一个问题：我昨天联系的客服人员和我目前联系的客服人员是同一个人吗？
代理人身份的连续性和一致性
现在我们来探讨第一个难题。
对于不同的代理人来说，“同一代理人”意味着什么？
对于人类员工而言，其身份具有连续性和一致性（统一性）。即使人们不断学习、转换角色、积累经验，他们在责任方面仍然是同一个人。
然而，对于人工智能代理而言，这种连续性和一致性并不那么明显。
如果模型发生变化，它还是同一个代理吗？
如果系统提示发生变化，是否是同一客服人员操作？
如果内存被重置、合并或共享，它还是同一个代理吗？
工具链发生变化时会发生什么？提供商更改策略时会发生什么？运行时发生变化时会发生什么？子代理被替换时会发生什么？任务从一个执行器传递到另一个执行器时会发生什么？我们究竟信任的“它”是什么？
那么，谁是这些行为的“所有者”呢？
这就引出了以下问题：
代理商的所有者或实际控制人是谁？
每个行使职权的代理人都需要一个负责的负责人。
我有这个“终极机器人所有者 (UBO)”我叫它
最终受益所有人。
这种表述是特意的。在反洗钱法规中，最终业务所有者（UBO）的概念至关重要。我这里指的UBO就是这个UBO。UBO之所以重要，是因为问责制不应被名义上的法律实体所阻断。在委托任何工作之前，您需要了解UBO的含义。
否则，整个部署的代理网络将面临不可接受的风险。这是降低供应链风险的必要措施。
使命
我想在本次演讲中介绍的另一个方面是我们的“使命”。
这与“提示”不同。“提示”是一种指令。
它也不同于一次课程。一次课程是：这里是经纪人可以继续工作的地方。这项任务与此不同。
任务是指授予个人或团体为实现特定目标而进行的受控授权；它是代理人被允许继续工作的理由。任务包括目标、限制条件、权限、资源、时间框架、适用政策、证据要求以及对一个或多个实体的行为进行问责的框架。
任务、代理和会话是相互独立的概念，不应混淆。任务的持续时间可能比代理更长，也可能在代理完成之前结束。如果任务结束时会话仍在进行中，则也应结束该会话。
智能体的行为和会话受任务约束。智能体只能为完成任务而行动。
一项任务必须有明确的范围、可核实性、可暂停性和合理性。
否则，基于代理的系统不仅会执行任务，还会转移权限，而没有可靠的记录来证明这些权限的来源。
人类给特工分配任务。
代理人在被授予的自由裁量权范围内制定任务并决定行动。
由于代理人几乎总是无法承担责任，因此通常需要让人类参与到审批过程中来获得批准。
人工监督至关重要。
在影响重大的行动、法律诉讼、受监管的决策、金融转移、对外沟通或不可逆转的披露中，人的判断有时是必不可少的。
规模问题
但是，如果我们试图用这种方式做所有事情，我们将面临规模问题。
一名员工可能管理数十甚至数百名代理人。对于一个组织而言，这可能意味着管理数千名代理人。
人类不可能对每一个步骤都给予有意义的认可。事实上，甚至有论文表明，即使只有一个主体参与，每个任务在第三次尝试之后，确认也仅仅是名义上的。
如果 100 名代理人依次向同一个人请求批准，那么批准必然会变成一种惯性行为。
在这个规模下，不能完全依赖人工审核来决定方向。“人机协作”未必是一种有效的治理方式。
在时间紧迫且信息不全的情况下做出的批准并非真正的决定。《克劳德准则》曾对此有所论述。
这是伪装成人类判断的“自动化处理”。
我们需要人工智能代理的帮助——一个站在委托人（授权人）一边的监督代理。
该代理负责评估风险证据和迹象，过滤掉无关信息，并根据需要向客户报告相关信息。它必须站在最初委托这项工作的个人或组织一边，忠于客户，而不是忠于试图完成任务的系统。
执行代理在形成执行操作的“意图”时以及执行过程中，应向监控代理发送结构化报告，包括异常情况、变更和结果。
共享信号类型的事件报告可能是这个神经系统的一部分。但是，我们是否有具体的标准来实施这种结构化报告呢？
ありません。
而且该信号并非紧急停止开关。
这只是信令层的一部分。我们还需要控制平面。
控制平面必须能够进行干预。它必须能够暂停任务、限制权限、禁用工具、阻止授权、撤销凭证、隔离内存、将问题上报给人工处理人员，或者终止任务本身。
这些有标准流程吗？没有。
智能体人工智能系统是一个分布式事务系统。
还有另一种理解智能体系统的方法。
你可以把它看作一个分布式对象系统和一个分布式事务系统。
任务开始。代理调用工具，调用API，委托给子代理，重写状态，发送消息，并可能向外部产生结果。
众所周知，在传统的分布式系统中处理长期事务非常困难。Saga 模型将长期事务视为一个整体来执行，但又可以将其拆分为多个子事务。
智能体人工智能也面临着同样的问题，但这个问题更加棘手。
协调器可能部分是非确定性的。执行器可能依赖于模型。下一步可能取决于上下文。
因此，每个子代理的任务、工具和技能都必须明确其自身后果的语义。
能否取消？能否提供赔偿？能否取得恢复进展？还是已经无法挽回？
发送内部草稿或许可以撤回。取消预约或许可以获得补偿。工作流程的修复或许可以撤销。但是，泄露机密数据是不可逆的。
如果不了解哪些部分还可以逆转，就无法管理一项任务。
智能体人工智能将分布式交易转化为分布式决策。
而且这种判断必须是有界限的、可观察的、可拦截的。
通过代理卡进行元数据广告宣传
现在，焦点集中在经纪人卡上。
代理卡是对代理的自我描述，包括其姓名、提供商、终端、功能、技能、身份验证方法和交互要求。未来，它甚至可能能够表示交易特征，例如交易是否可以回滚。
这些在发现、功能声明、端点发现和协议选择中都非常重要。然而，至关重要的是要准确理解它们能解决什么问题，以及它们不能解决什么问题。
代理人名片可能会告诉你该代理人声称能够做什么。然而，名片本身并不能告诉你该代理人实际能够做什么。
- 我不会证明自己适合执行这项任务。
- 这也不能证明运行时环境是可靠的。
- 它还不会验证模型、提示符、内存或策略版本。
- Ultimate-Bot-Owner 也未能证明这一点。而且，
- 委托方不保证该代理人在此次交易中值得信赖。
从治理角度来看，自行申报的代理人卡是不够的。
即使是签过名的代理人卡也只是向前迈进了一步。签名只能告诉我们，某个代理人签署了某份文件。
验证者还必须确定签名者、密钥、颁发者和信任框架是否符合此目的。
- 身份识别并不等同于信任。
- 发现并不等同于权威。
- 元数据不能取代问责制。
SPIFFE/SPIRE 模式
SPIFFE 和 SPIRE 模式在考虑这些因素时很有帮助。
SPIFFE 和 SPIRE 并非代理治理的标准规范。然而，它们提供了一些值得我们学习的模式。
工作负载不应该只是简单地声明它的身份；它应该在被授予该身份之前进行身份验证。
然而，对于智能体人工智能而言，工作负载识别仅仅是起点。
证明可以帮助回答“正在做什么？”这个问题。
但是，证明文件无法回答以下问题。
- 这项任务是谁执行的？
- 授予了何种权力？
- 使用了哪种模型或提示？
- 执行的是哪项政策？
- 这种行为可以获得赔偿吗？
- 最终受益人（UBO）是谁？
因此，除了工作量证明、任务证明、授权证明、交易语义和监控报告之外，还需要这些证明。
通过联邦制构建信任框架
这就涉及到“联邦”的概念了。
代理人卡片上会注明所申报的索赔项目。
证明文件提供有关正在进行的工作的信息。
联合会可以帮助您确定哪些说法或证明值得信赖。
OpenID 联盟定义了相互交互的实体如何通过称为“信任锚”的受信任第三方建立信任关系。它支持多级权限，单个实体可以同时属于多个联盟。此外，它还为构建动态的去中心化信任网络提供技术信任基础设施组件。
联合使我们能够验证签名密钥是否属于我们批准的信任框架内的实体，是否存在有效的信任链，是否应用了元数据策略，以及信任标记对该依赖方是否有意义。
这在代理人治理中至关重要。
如果每个参与方都必须手动决定是否接受或拒绝每个代理人、提供商、登记机构、证明签发机构和最终受益所有人，那将是一个令人不快的世界。
信任链和元数据策略必不可少。在行使任何权力之前，需要一种机制来确定接受哪些声明。为此，联邦机制非常有用。
使用标准的重要性
目前已有许多实用组件可用于实现这些目标。仅 OpenID 相关规范就包含了此处列出的组件。
- OpenID Connect
- OpenID4VCI/VP
- 授权
- OpenID 联盟
- OpenID共享信号和事件框架
- 等等
其中许多都已从安全角度进行了数学和形式上的验证。
当然，仅靠这些还不够。但是，我们应该尽可能地复用可复用的代码，只构建真正必要的功能。
责任和精算挑战
最后，我想提出一个治理过程中必然会遇到的问题。
谁来承担损失？
当代理人泄露数据、挪用款项、操纵工作流程、发送错误指令或引发有害连锁反应时，最终的责任应该由谁承担？
从这个角度来看，终极机器人所有者就显得非常重要了。
因此，证据至关重要。没有证据，问责机制就会削弱，责任归属就只能靠猜测，保险也沦为碰运气。
目前，针对智能体人工智能相关风险的精算基础仍处于早期阶段。但这并不意味着我们应该坐等观望。现在正是构建评估基础设施的最佳时机。
保险不仅仅是口号。你需要风险暴露程度、发生频率、损失严重程度、管理有效性、因果关系和损失等方面的数据。
软件正在变成员工。
对这些问题进行治理变得越来越必要。
有一些标准规范可供使用。
然而，仅仅构建一个管理完善的代理基础设施是不够的，还有许多不足之处需要弥补。
对于 Identerati 社区而言，我们构建值得信赖的代理生态系统的征程才刚刚开始。
让我们一起努力，现在就开始行动吧。