企业正在把邮件、合同、付款、数据库和业务系统的“执行权”交给AI。真正危险的不是它偶尔答错，而是它在谁的名义下、凭什么权限、越过了哪一道边界，以及事后还能不能还原。
过去的大模型主要交付“答案”；Agent开始交付“动作”。一旦它能够调用浏览器、API、数据库、邮箱、支付、合同和生产系统，风险就从内容准确性跃迁为权力边界与现实后果。
员工让Agent“整理供应商合同，并在预算内完成后续处理”。这句话可能被拆成检索文件、读取联系人、生成文本、发送邮件、修改合同、发起审批、创建付款指令等一连串动作。每个动作涉及的主体、权限、数据范围、金额上限、有效期和复核要求都不同。
因此，企业不能只问“模型是不是足够聪明”，还必须问：它此刻代表谁？授权来自哪里？授权是否覆盖这个动作？模型与工具调用是否被篡改？结果是否经过确认？出现争议时，能否证明完整过程？
最常见的误区是把五层压成一层：Agent有账号，所以它有权；拿到了API Key，所以操作被批准；系统保存了日志，所以责任已清楚；文件被签名，所以业务事实必然真实；数据上链，所以法院必然采信。现实中，这些推论都缺少中间环节。
| 常见说法 | 缺失的关键问题 | 正确处理 |
|---|---|---|
| “它用的是张三的账号” | 张三是否授权这一次任务？是否允许转授权？范围和期限是什么？ | 把主体身份、Agent身份、任务授权分别记录并绑定。 |
| “系统已经审批过” | 审批的是预算、合同版本，还是具体付款？审批之后内容是否发生变化？ | 授权对象必须指向版本、摘要或不可变对象。 |
| “有完整日志” | 日志由谁生成？能否被覆盖？时钟可靠吗？上下文是否齐全？ | 关键记录签名、可信时间、完整性校验与独立验证。 |
| “Agent签了电子合同” | 谁有权让Agent代表组织签？本次签署意愿如何形成？ | 组织授权链与具体文件意愿确认必须分离。 |
传统IAM、RBAC、审批流和操作日志仍然必要，但它们大多围绕稳定身份、预设角色和单次系统调用设计。Agent的任务却是动态拆解、跨系统编排、根据上下文改变路径。
一个Agent可能先以自己的服务身份读取目录，再代表某位员工获取邮箱权限，随后调用第三方Skill生成合同，并以组织名义发起签署。其权限不是一个静态角色，而是多段委托、多个凭证、多个工具和不断变化的任务状态的组合。
意图上下文：为何发起这项任务、允许完成到什么程度；委托关系：谁把哪一部分权力交给Agent；执行状态：任务如何分叉、何时改变工具和参数；可验证结果：最终文件、交易或消息是否仍与授权对象一致。
| 体系/产品 | 正在补的能力 | 必须看清的性质 |
|---|---|---|
| NIST NCCoE | Agent识别、认证、授权、委托、可追溯与数据流来源 | 2026年概念草案，提供问题框架，不是合规认证。 |
| IETF相关Internet-Draft | 授权收据、指令摘要、任务边界、可信时间、追加式审计 | 仍是草案提案，不应写成已生效国际标准。 |
| Microsoft Entra Agent ID | Agent专用身份、蓝图、代表用户或自身执行、发起人/赞助人记录 | 云身份平台产品能力，以官方文档和租户实际开放状态为准。 |
| AWS Bedrock AgentCore Identity | Agent凭证、代表用户访问AWS与第三方资源、控制与审计 | 云平台身份与凭证层，不自动解决业务授权和法律责任。 |
| veriAgent | Agent/Skill身份、动态授权、行为审计、提示词围栏与Skill认证 | 公开产品与文档显示的厂商方案，需要项目级验证和验收。 |
这些路线没有证明市场已经形成统一标准，却说明竞争焦点正在改变：谁能让Agent获得短期、细粒度、可撤销的权力，同时把每次关键行动变成可以验证和复盘的记录，谁就更接近企业生产环境。
本文提出 AAES（Agent Authorization & Electronic Evidence Stack）八层模型。它不是新法律标准，而是一套把治理、工程与举证要求翻译到同一张图上的实施框架。
确认自然人、法人或其他组织，以及其账号、角色和代表关系。
为Agent建立唯一标识、版本、所有者、Guardian/Sponsor和状态。
证明谁有权把哪部分权限委托给Agent，是否允许继续转授。
把目的、对象、工具、数据、金额、地区、期限和禁止项写进机器可执行边界。
对高风险节点要求人或授权主体确认特定版本、金额和接收方。
记录模型、提示词摘要、工具调用、输入输出、异常和策略决策。
将最终文件、交易、消息或系统状态与授权对象绑定。
形成可验证、可导出、可复盘的证据包，并支持撤销、争议和调查。
最有效的治理不是把每个动作都变成人工审批，而是根据“可逆性、影响范围、金额、敏感数据、外部承诺和法律效果”设计风险梯度。低风险动作可自动执行，高风险动作必须在关键点停下来。
只读、无外发、可撤销。记录来源和版本即可。
允许自动，但需范围限制、版本回退和异常告警。
确认对象、内容和权限；必要时要求人审。
必须绑定特定对象、金额和意图，执行前复核，执行后固证。
统一把所有动作升级到最高强度会造成“审批疲劳”，最终促使员工绕过系统；统一自动化又会把小概率错误变成现实损失。真正的工程难点是把停点放在风险跃迁处，而不是放在每次鼠标点击处。
发起人、授权人、组织、角色、身份核验与关系有效期。
Agent ID、模型、系统提示、Skill与策略版本、负责人。
授权书或审批单、范围、禁止项、金额、期限和撤销状态。
任务目的、输入摘要、对象、工作流状态和风险等级。
确认页面、具体版本、按钮/签名事件、设备与交互时间。
调用时间、接口、参数摘要、返回码、重试与异常分支。
文件、消息、交易、数据库状态、哈希和业务回执。
证书、数字签名、验签结果、可信时间和失效信息。
存储位置、访问/导出记录、验证报告、保留期限和销毁。
证据包不等于把全部提示词、个人信息和商业秘密无限期保存。企业需要在可证明性、最小必要、保留期限、访问权限和跨境流动之间建立制度。对敏感内容可以保存摘要、签名和必要上下文，而不是无差别录屏。
中国现行法律并没有因为产品叫“数字员工”就自动赋予其民事主体资格。争议仍会回到自然人、法人或非法人组织，以及其代理、授权、过错和合同关系。
《民法典》的代理与无权代理规则围绕民事主体展开。Agent可以是技术工具或执行媒介，但不能因此跳过组织授权、代表权限和相对人合理信赖。超越权限、授权已撤销、对象被替换，都可能改变责任判断。
《电子签名法》规定，符合可靠条件的电子签名与手写签名或盖章具有同等法律效力。它重点解决签名人与签名数据的关联、控制以及签后改动可发现性；合同内容是否真实、授权是否有效、是否存在欺诈或重大误解，仍需结合其他事实判断。
最高人民法院关于民事诉讼证据的规定，要求结合系统是否正常、是否具备防错和监测机制、保存传输提取是否可靠、是否在正常业务活动中形成、保管主体是否适当等因素审查。第三方平台记录、时间戳或区块链可以增强证明力，但不等于对源头事实作当然担保。
Agent轨迹可能包含身份、通讯录、位置、合同、健康或财务信息。应按《个人信息保护法》的合法、正当、必要原则设计采集与保留；需要同意的处理，应保证知情、自愿和明确，并为撤回、查询与删除建立路径。
从公开官网与文档看，veriAgent把治理对象从“用户账号”扩展到Agent与Skill：为Agent建立数字身份和责任关联，根据人、任务和环境进行动态授权，记录全链路行为，并提供提示词围栏、Skill安全认证与准入清单。官网还强调JIT短期身份、可追溯操作和技能认证等级。
| 公开能力 | 在AAES中的位置 | 项目验收要问什么 |
|---|---|---|
| Agent/数字人身份管理 | 第2层 Agent身份 | 身份如何签发、更新、吊销？如何绑定版本与Guardian？ |
| 动态授权引擎 | 第3—5层 授权、范围、意图 | 策略粒度、冲突处理、离线状态、失效和回退如何实现？ |
| 全链路行为审计 | 第6—8层 执行、结果、证据 | 哪些事件被记录？完整性如何验证？能否导出跨系统证据包？ |
| 提示词安全围栏 | 第4、6层 任务与运行 | 对绕过、注入、多轮漂移的覆盖和误报率如何验证？ |
| Skill认证与准入 | 第2、6层 软件供应链 | 扫描范围、签名对象、版本绑定、撤销和来源证明是什么？ |
面向通用企业场景，推荐以SaaS API V3作为身份核验、组织/成员、授权、合同签署与流程集成的基础入口；veriAgent负责Agent与Skill身份、动态授权和运行审计。两者与企业IAM、业务系统、审批和安全控制共同组成目标架构。
电子签名服务的基础目标相似，但项目差异会出现在身份与组织关系覆盖、签名流程可编排性、API版本与稳定性、证据字段、验证报告、司法服务、跨系统追踪和持续产品支持。真正的选择不是看“能不能生成一份带章PDF”，而是看能否把Agent授权链和企业已有系统连接、在异常分支下保住证据完整性，并接受项目验收。
e签宝知识库中已核验的API V3能力覆盖身份核验与授权、合同文件签署、流程模板以及企业/成员服务。本文不公开内部接口清单，也不把知识库命中当成监管认可或客户效果证明；具体接口、调用条件和计费以最新开放平台与项目合同为准。
选定签约、付款或外部沟通链；列出主体、Agent、工具、数据、金额、审批和争议场景。
定义L1—L4、授权来源、时效、转授权、禁止项、撤销和人审停点。
建立Agent ID、Guardian、任务ID；设计最小证据包、保留期限与访问权限。
接入IAM、veriAgent、e签宝API V3和业务系统；覆盖换版、超时、重复回调、撤销、存证失败与回退。
用小流量和受控金额跑真实链路；测试越权、提示词注入、工具替换、身份过期和证据缺失。
法务、业务、安全、IT共同验收：可控制、可回退、可验证、可导出、能解释。
上线门槛不应只写“成功率99.9%”。关键验收应包括：未经授权的动作是否被拦截；授权变更是否即时生效；执行对象变化是否强制重新确认；证据包缺字段是否阻断关键动作；系统失败时是否安全回退；争议订单是否能由独立人员复盘。
企业下一代控制平面不会只有IAM，也不会只有电子签名。它必须同时回答四个问题：谁把什么权力交给了哪个Agent；这项权力在何时、何地、对什么对象有效；Agent实际做了什么；结果与证据能否被独立验证。
veriAgent代表了一条值得关注的产品路线：让Agent和Skill成为可识别、可授权、可审计的对象。e签宝则可以把自然人和组织身份、授权确认、关键文件签署、可信时间与证据验证接到这条链上。但没有任何单一产品能替企业判断业务是否应该做、权限是否应该给、损失是否可以承受。
最终判断：未来真正能进入核心业务的Agent，不一定是模型分数最高的那个，而是能在最小权限内执行、在风险跃迁处停下、在结果发生后留下完整证据的那个。
关注电子签名、数字信任、AI Agent治理与企业合规数字化。本文用于行业研究与项目沟通，不构成针对特定案件的法律意见，也不替代金融、数据或信息安全专项评估。
电话：13967449069
邮箱：tuobaye@tsign.cn
