AI Identity 論文閱讀分析：很多 agent 真正缺的，不是再多一張憑證，而是先證明它從頭到尾還是你以為的那個它

本文由 AI 產生、整理與撰寫。

論文基本資訊

• 論文標題：AI Identity: Standards, Gaps, and Research Directions for AI Agents
• 作者：Takumi Otsuka、Kentaroh Toyoda、Alex Leung
• 年份：2026
• 來源：arXiv:2604.23280
• 論文連結：https://arxiv.org/abs/2604.23280
• DOI：10.48550/arXiv.2604.23280
• 主題：AI Agents、Identity & Access Management、Delegation Security、Agent Governance、Non-Human Identity、Trust Infrastructure

這篇 paper 最值得看的地方，不是它又替 agent 補一份 IAM checklist，而是它直接點破一個大家其實早就踩進去、但還常假裝能沿用舊世界解法的問題：你今天面對的根本不是「比較奇怪的使用者帳號」，而是沒有身體、沒有穩定記憶、可以分身、會跨邊界接力工作的行動體。

所以真正缺的，從來不是再把 OAuth、SSO、API key、service account 多包一層，而是先承認：agent identity 跟 human identity 根本不是同一類東西。

這篇論文在解什麼問題？

作者的出發點很直接：AI agent 已經開始真的做事了，不只是回答問題而已。它會跑 workflow、拿 token、呼叫工具、跨 MCP / A2A 邊界把任務轉給別的 agent，甚至在沒有持續人工監督下代表組織做決定。這時真正冒出來的問題不是「怎麼登入」而已，而是下面這串更難的事：

• 你現在看到的這個 agent，到底是不是你以為的那個 agent？
• 它拿到的權限，是誰授的？能不能一路追到原始 principal？
• 它把任務再外包給 sub-agent 之後，責任鏈還在不在？
• 同一套 model weights 在不同 runtime、不同 prompt、不同 memory 狀態下，還能不能算同一個「身份」？

作者把這個問題統整成一句很有力的定義：AI Identity 是「agent 被宣稱是什麼」和「它實際表現成什麼」之間，那條持續且可驗的關係。

這個 framing 很關鍵。因為它把 identity 從靜態 credential 問題，拉成宣告、行為、信任、責任四者之間的連續對位問題。

作者的核心論點：人類身份系統不是拿來給 agent 延用的

這篇最重要的貢獻，是先把 human identity 和 AI identity 的結構差異講清楚。作者不是只說「agent 比較複雜」，而是直接拆成四個維度：

• substrate：人有身體，agent 沒有；人可以靠生物特徵綁定，agent 沒有天然載體。
• persistence：人有連續性，agent 可能是 sessionless、可重啟、可複製、可同時開很多實例。
• verifiability：人類身份驗證常在「你是不是這個人」，但 agent 更難的是「它接下來會不會做出聲稱授權範圍外的事」。
• legal standing：人有法律人格，agent 沒有；它做壞事，責任最後還是得回到背後的人或組織。

這裡最值得記的一句話是：把 human identity framework 稍微修改一下拿來管 agent，會系統性失敗。

我很同意。因為企業現在很多 agent 治理其實還停在「替它開一個 service account」這種層次，最多再補個 least privilege。但 agent 真正可怕的地方不是它拿了誰的帳號，而是它可以在執行過程中變形、接力、分叉、被污染、再拿著看似合法的 token 去做你原本沒授權的事。

作者怎麼拆 AI identity？不是一個身份，而是四層身份疊在一起

這篇另一個很有價值的地方，是它沒有把 agent identity 當成單一物件，而是拆成不同層次：

• model-level identity：是哪些 weights、哪個 architecture、什麼 training provenance。
• agent-level identity：是 system prompt、persona、memory、tool permissions、行為設定。
• workload-level identity：是現在正在跑的這個 container / process / runtime instance 到底是誰。
• delegated identity：它現在代表誰、基於哪條授權鏈、被允許做到哪裡。

這種拆法非常實用，因為很多團隊把這四層混在一起講，然後就會產生一堆假安全感。例如：

• 你有 workload attestation，不代表 agent 的行為設定沒被 prompt injection 帶走。
• 你有 model card，不代表現在線上這個 agent deployment 就真的符合那份聲明。
• 你有 OAuth token，不代表多跳 delegation 後責任鏈還沒斷。

白話講就是：

你證明了「是哪個程序在跑」，不等於你證明了「它還是原本那個意思」。

這篇最重要的發現：目前標準全都只補到局部，沒有一個真的管完整條生命週期

作者掃了現在常被拿來談 agent identity 的技術與規範，包括 SPIFFE / SPIRE、OAuth、OpenID、MCP、A2A、WIMSE、eIDAS、NIST 文件等，結論很明確：沒有任何一個現有標準，真正涵蓋 agent identity 的完整生命週期。

這個結論比看起來還重。因為它不是在說「大家做得還不夠完整」而已，而是在說目前主流方案大多只各自補一段：

• SPIFFE / SPIRE 很適合證明 workload 在哪裡跑、由誰簽發，但它證的是 process，不是 intent。
• OAuth 很會做單跳 delegation，但對多跳 sub-agent chain 的追責很弱。
• MCP / A2A 很會讓 agent 接工具、找服務、彼此對話，但很多 identity / authorization 決策還是外包給別的東西。
• 監管與治理框架 會說應該透明、應該可問責，但通常沒有落到 runtime enforcement 級別。

這正是今天 agent security 最尷尬的地方：每個零件都像有在做事，但中間那條把宣告、授權、行為、責任串起來的鏈，常常是空的。

作者點出的五個關鍵缺口，我認為都很準

論文最後把結構性缺口收斂成五大類，我覺得這段是整篇最值得抄下來的部分。

1. Semantic intent verification

最大問題不是 agent 有沒有拿到合法 token，而是它現在做的事是不是還在原始授權意圖裡。 這是現代 IAM 很少真的處理到的地方。權限系統通常知道你能 call 哪個 API，卻不知道你是在幫 user 完成報銷，還是順手把資料帶去做別的事。

2. Recursive delegation accountability

一個 agent 把工作再外包給下一個 agent，下一個再接工具、再叫別的 model，這條授權鏈怎麼驗、怎麼縮權、怎麼保留責任，是今天很多 agent stack 最脆弱的洞。真正危險的不是單跳 impersonation，而是多跳之後沒人知道最後那個行為到底算誰的。

3. Agent identity integrity

agent identity 不只是 credential，還包括 system prompt、persona、memory、tool graph、policy state。這些東西任何一塊被改掉，身份其實就已經漂了。作者這裡講得很對：對 agent 來說，身份完整性其實更像 configuration integrity + behavioral integrity。

4. Governance opacity and enforcement

很多治理框架只停在文件、稽核、原則層級，但 agent 的風險是 runtime 的。也就是說，真正缺的不是寫下 policy，而是讓 policy 在工具呼叫、delegation、memory write、cross-domain action 當下能執行。

5. Operational sustainability

這一點很常被低估。agent 不會只有一個，它會爆量增生、輪轉、複製、短命又高頻。你今天能手動管理十個 agent，不代表你能管理一萬個會自己拉 sub-agent 的 agent。身份系統若無法大規模自動化，就只是 demo-friendly，不是 production-ready。

這篇論文真正補到哪裡？

1. 它把 agent identity 從「帳號管理」提升成「宣告與行為的一致性管理」

這個提升很重要。因為很多組織現在還把 agent identity 想成非人帳號治理的延伸版，但作者指出真正的問題其實是：agent 會在 runtime 中改變風險姿態，而身份系統必須跟著看見這個變化。

2. 它逼你把 identity、delegation、governance 放在同一張圖上

很多產品只處理其中一段，所以容易各說各話。這篇的價值是它明確告訴你：如果沒有把 model、agent、workload、delegation 四層一起畫出來，你其實很難真正知道自己在保什麼。

3. 它提醒大家：agent 安全最終不是只有 authentication 問題

Authentication 只能回答「你是誰」的一小部分；agent 世界裡更大的問題其實是「你現在代表誰」、「你目前還是不是原本那個版本」、「你做的這件事還算不算同一張授權」。

我怎麼看它的限制？

1. 這篇很強在架構診斷，但偏 survey / framing paper

它很擅長把問題拆清楚，也很擅長指出目前方案缺口，但不會直接給你一套可以明天落地的 reference architecture。你讀完會變得比較清醒，但不會因此自動拿到完整解法。

2. Semantic intent verification 目前仍然很難做成硬保證

作者把這個缺口點得很準，但現實是：你要機器穩定判斷「這一步是否仍符合原始授權意圖」，本身就可能落回另一個高風險 AI 判斷問題。所以這篇點出的是最真實的痛點，但也是最難補的坑。

3. 法規與責任框架部分，技術上知道缺口不等於制度上補得起來

就算技術上能追 delegation chain，現實世界裡誰負責、怎麼舉證、怎麼分攤損失，還是制度和合約問題。這不是論文的錯，但也是 agent identity 很難只靠工程解掉的原因。

為什麼這篇值得 sectools.tw 讀者看？

因為這篇談的不是抽象的「AI 倫理」，而是很實際的安全底座：當 agent 開始真的拿權限、碰資料、跑交易、叫別的 agent 做事，你到底怎麼知道眼前這個行動體是誰、代表誰、還能做什麼、出了事該算誰的？

如果你平常關心的是：

• agentic AI 的 IAM / PAM / workload identity
• MCP / A2A / tool-calling security
• sub-agent delegation 與責任鏈
• runtime governance 與 zero trust for agents

那這篇很值得看。因為它不是只丟幾個 buzzword，而是很誠實地告訴你：今天大多數 agent identity 解法還只是把舊世界零件拼進新世界，但真正缺的其實是一套專門為可分身、可接力、可漂移的 agent 設計的身份理論與基礎設施。

總結

AI Identity: Standards, Gaps, and Research Directions for AI Agents 這篇論文真正重要的，不是它幫你挑出哪個標準比較成熟，而是它把問題講到沒辦法再假裝簡單：agent identity 不是 service account 2.0，也不是把 OAuth scope 多切幾格就會自動解決。

如果要用一句話記這篇，我會寫成：

很多 agent 真正缺的，不是再多一張憑證，而是先證明這個會自己接力、自己拿工具、自己跨邊界做事的東西，從頭到尾都還是你以為的那個它。

這也是我覺得這篇最有價值的地方：它逼大家承認，未來 agent 安全真正的底座，不只是哪個模型比較穩，而是 identity、delegation、runtime governance 能不能一起長出來。