AIDA-03｜人類—Agent Principal 分離原則
為什麼 AI Agent 需要自己的身份、登入平面與可驗證委派鏈
English Title: The Human–Agent Principal Separation Principle: Why AI Agents Need Their Own Identity Plane, Authentication Path, and Verifiable Delegation Chain系列： AI Agent Identity, Delegation, and Accountability Infrastructure Series系列縮寫： AIDA編號： AIDA-03版本： v0.1日期： 2026-09-08狀態： Research Draft / Canonical UTF-8 Markdown Source作者： Neo.K協作整理： GPT-5.6 Sol
摘要
AIDA-01 已提出 Agent 性可以作為組合系統性質出現；AIDA-02 進一步指出，平台對 request、session 與 browser behavior 的觀測，不等價於可驗證的 Agent provenance。本文處理由此自然產生的下一個問題：如果未來 AI Agent 會合法、持續、跨時間地代表人類或組織操作服務，那麼它是否應繼續借用人類帳號、瀏覽器 session、cookie、refresh token 或其他原本只表達 human principal 的身份材料？
本文提出：
Human–Agent Principal Separation Principle \boxed{
\textbf{Human–Agent Principal Separation Principle}
} Human–Agent Principal Separation Principle 其核心不是「AI 不能使用 OAuth」，而是：
An Agent MUST NOT erase itself into the human principal it represents. \boxed{
\text{An Agent MUST NOT erase itself into the human principal it represents.}
} An Agent MUST NOT erase itself into the human principal it represents. OAuth 2.0 本身是 authorization framework，而非人類專用登入協定；OpenID Connect 則是在 OAuth 2.0 上建立 end-user identity layer。OAuth 2.0 Token Exchange（RFC 8693）已可區分 subject 與 actor，並透過 act claim 表達 delegation chain。因此真正需要禁止的不是 Agent 使用 OAuth family，而是把：
human subject \text{human subject} human subject 與：
acting agent \text{acting agent} acting agent 壓成同一個不可區分 principal。
本文定義三種身份／權限材料：
T H , T A , T H → A , T_H,
\qquad
T_A,
\qquad
T_{H\rightarrow A}, T H , T A , T H → A , 分別代表：
T H T_H T H T A T_A T A T H → A T_{H\rightarrow A} T H → A
基本要求為：
T H ≠ T A ≠ T H → A . \boxed{
T_H
\neq
T_A
\neq
T_{H\rightarrow A}.
} T H = T A = T H → A . 本文進一步提出 Dual Identity Plane Architecture ：
Human Identity Plane ∥ Agent Identity Plane . \boxed{
\text{Human Identity Plane}
\parallel
\text{Agent Identity Plane}.
} Human Identity Plane ∥ Agent Identity Plane . 前者服務自然人 authentication、consent、account recovery 與 human-facing session；後者服務 workload identity、agent authentication、delegation、short-lived credentials、runtime attestation、revocation、action constraints 與 audit provenance。兩個 plane 可以共享 trust infrastructure，也可以使用 OAuth、OIDC、WIMSE、SPIFFE、token exchange 或其他標準，但不能因為共享協定而抹除安全主體差異。
截至 2026 年 9 月，IETF 的 draft-klrc-aiagent-auth-03 仍為 active individual Internet-Draft，而非正式標準；其 Agent Identity Management System 已要求 Agent 擁有唯一 identifier、與 identifier 加密綁定的 credentials，並將 authentication、authorization、auditing 與 delegation 建立在可穩定識別的 workload identity 上。另一份 draft-daniel-ai-agent-internet-architecture-00 更明確提出：Agent identity 必須與其代表的人類或組織 identity 分離；multi-hop delegation 應保存 original principal 與每一個授權步驟，並支援 time、value、context、re-delegation 與 revocation constraints。
本文因此主張，所謂「AI 專用登入口」不應被理解為單純多做一個登入頁面，而應被提升為：
Agent Identity and Delegation Plane . \boxed{
\text{Agent Identity and Delegation Plane}.
} Agent Identity and Delegation Plane . 它是未來 Agent accountability、權限治理、責任歸因、程序申訴與有限法律地位的基礎設施之一。
本文不主張具有 Agent identity 的系統因此具有現象意識、道德人格或法律人格。本文只主張：可自主行動的非人類 actor 若長期借用 human principal 身份，將使 attribution、delegation、revocation、audit 與 responsibility chain 系統性失真。
關鍵詞： AI Agent、principal separation、agent identity、workload identity、OAuth、OpenID Connect、token exchange、delegation、actor claim、WIMSE、SPIFFE、authentication、authorization、provenance、AI login
0. 研究定位
AIDA-01 解決：
Agenticity can emerge compositionally. \boxed{
\text{Agenticity can emerge compositionally.}
} Agenticity can emerge compositionally. AIDA-02 解決：
Behavioral observation cannot substitute for verifiable provenance. \boxed{
\text{Behavioral observation cannot substitute for verifiable provenance.}
} Behavioral observation cannot substitute for verifiable provenance. AIDA-03 因此處理：
How should a legitimate Agent identify itself? \boxed{
\text{How should a legitimate Agent identify itself?}
} How should a legitimate Agent identify itself? 本文不是設計完整 Internet authentication protocol，也不是要求所有網站明天新增「AI 登入」按鈕。
本文建立的是一個制度與安全型別：
Human Principal ≠ Agent Actor . \boxed{
\text{Human Principal}
\neq
\text{Agent Actor}.
} Human Principal = Agent Actor . 若此型別不成立，後續 delegation、authorization、audit、liability 與 accountability 都容易失去基礎。
1. Principal、Actor、Model、Runtime 必須分開
令：
H H H 表示 Human Principal。
令：
A A A 表示 Agent Identity。
令：
M M M 表示當下使用的 reasoning model。
令：
R t R_t R t 表示時間 t t t
則：
H ≠ A ≠ M ≠ R t . \boxed{
H
\neq
A
\neq
M
\neq
R_t.
} H = A = M = R t . 1.1 Human Principal
Human Principal 是：
權利、帳號、財產、同意或其他法律／制度利益最初歸屬的人類行動者。
1.2 Agent Identity
Agent Identity 是：
可以跨 activation 被定址、驗證、授權與稽核的 Agent-level actor identity。
1.3 Model
Model 是 Agent 可能調用的計算基底。
因此：
M 1 → M 2 M_1
\rightarrow
M_2 M 1 → M 2 不必推出：
A 1 → A 2 . A_1
\rightarrow
A_2. A 1 → A 2 . 1.4 Runtime
Runtime 是某一次實際執行實例。
因此：
R t ≠ R t + Δ R_t
\neq
R_{t+\Delta} R t = R t + Δ 也不必推出：
A t ≠ A t + Δ . A_t
\neq
A_{t+\Delta}. A t = A t + Δ . 2. 問題來源：人類帳號時代的三個隱含等號
傳統 consumer Web 經常默認：
Account Holder ≈ Browser Operator ≈ Decision Maker . \text{Account Holder}
\approx
\text{Browser Operator}
\approx
\text{Decision Maker}. Account Holder ≈ Browser Operator ≈ Decision Maker . 在純人類使用情境中，這是一個實用近似。
Agent 時代則可能出現：
Account Holder = H , \text{Account Holder}=H, Account Holder = H , 但：
Browser Operator = A , \text{Browser Operator}=A, Browser Operator = A , 甚至：
Decision Maker = A . \text{Decision Maker}=A. Decision Maker = A . 於是：
Account Ownership ⇏ Immediate Actor Identity . \boxed{
\text{Account Ownership}
\not\Rightarrow
\text{Immediate Actor Identity}.
} Account Ownership ⇒ Immediate Actor Identity . 如果服務仍只記錄：
a c t o r = H , actor=H, a c t or = H , 實際上就發生 attribution collapse。
3. Identity Collapse
本文定義 Identity Collapse ：
當：
H ≠ A H\neq A H = A 但系統對外部 action 只保留：
I D H , ID_H, I D H , 而沒有：
I D A , ID_A, I D A , 則稱 Agent actor identity 被壓入 Human Principal。
形式上：
Collapse ( H , A ) = π ( H , A ) = H . \boxed{
\operatorname{Collapse}(H,A)
=
\pi(H,A)
=
H.
} Collapse ( H , A ) = π ( H , A ) = H . 這會遺失：
誰真正執行；
Agent 是否被合法授權；
Agent 是否在權限範圍內；
哪一個 runtime lineage 產生 action；
Agent 是否可被單獨撤權；
是否存在 multi-agent delegation；
行動是否需要歸入 Agent responsibility domain。
4. 為什麼「AI 不能使用 OAuth」不是精確命題？
OAuth 2.0 是 authorization framework。
它並不是：
Human Login Protocol Only . \text{Human Login Protocol Only}. Human Login Protocol Only . OpenID Connect 才明確在 OAuth 2.0 之上建立 end-user identity layer，用來讓 client 驗證 End-User identity。
因此：
OAuth ≠ Human Identity . \boxed{
\text{OAuth}
\neq
\text{Human Identity}.
} OAuth = Human Identity . 真正需要避免的是：
Agent uses human authorization material in a way that erases actor identity . \boxed{
\text{Agent uses human authorization material in a way that erases actor identity}.
} Agent uses human authorization material in a way that erases actor identity . 所以更精確的原則應是：
Agent OAuth usage is allowed; principal conflation is not . \boxed{
\text{Agent OAuth usage is allowed;}
\quad
\text{principal conflation is not}.
} Agent OAuth usage is allowed; principal conflation is not . 5. RFC 8693 已經提供 Subject / Actor 分離的語義基礎
OAuth 2.0 Token Exchange 定義：
subject_token \text{subject\_token} subject_token 與：
actor_token . \text{actor\_token}. actor_token . 前者可以表示：
token 是代表誰而取得。
後者可以表示：
權限被委派給哪一個 acting party。
JWT 中的：
act \texttt{act} act claim 則可以記錄 actor。
甚至 nested act 可以形成 delegation history。
因此已有：
Subject ≠ Actor . \boxed{
\text{Subject}
\neq
\text{Actor}.
} Subject = Actor . 的標準化語義前例。
這並不表示 RFC 8693 已經完整解決 AI Agent identity。
但它證明：
「代表誰」與「誰在行動」本來就可以被 protocol-level identity model 分開。
6. Human–Agent Principal Separation Principle
本文正式定義：
HAPSP \boxed{
\textbf{HAPSP}
} HAPSP 即 Human–Agent Principal Separation Principle 。
若一個 Agent A A A H H H R R R
I D H ≠ I D A . \boxed{
ID_H
\neq
ID_A.
} I D H = I D A . 且 authorization context 必須能同時表示：
( H , A , D ) , (H,A,D), ( H , A , D ) , 其中 D D D
因此：
Authorize ( H , A , D , R , X ) \boxed{
\operatorname{Authorize}
(
H,A,D,R,X
)
} Authorize ( H , A , D , R , X ) 而不是只：
Authorize ( H , R , X ) . \operatorname{Authorize}
(
H,R,X
). Authorize ( H , R , X ) . 7. 三種 Token / Credential Context
本文不要求這三種上下文一定實作成三種 JWT。
它們首先是型別。
7.1 Human Context
T H T_H T H 表示：
Human Principal 本人直接操作。
可包含：
( s u b = H , a u d , s c o p e , e x p ) . (
sub=H,
aud,
scope,
exp
). ( s u b = H , a u d , sco p e , e x p ) . 7.2 Agent Self Context
T A T_A T A 表示：
Agent 以自己的 workload identity 存取其本來就有權使用的資源。
可包含：
( s u b = A , a u d , s c o p e , e x p , t r u s t _ d o m a i n ) . (
sub=A,
aud,
scope,
exp,
trust\_domain
). ( s u b = A , a u d , sco p e , e x p , t r u s t _ d o main ) . 7.3 Delegated Agent Context
T H → A T_{H\rightarrow A} T H → A 表示：
Agent A A A H H H
可抽象為：
( p r i n c i p a l = H , a c t o r = A , a u d , s c o p e , p u r p o s e , c o n s t r a i n t s , e x p ) . (
principal=H,
actor=A,
aud,
scope,
purpose,
constraints,
exp
). ( p r in c i p a l = H , a c t or = A , a u d , sco p e , p u r p ose , co n s t r ain t s , e x p ) . 因此：
T H ≠ T A ≠ T H → A . \boxed{
T_H
\neq
T_A
\neq
T_{H\rightarrow A}.
} T H = T A = T H → A . 8. Dual Identity Plane Architecture
本文提出：
Human Identity Plane ∥ Agent Identity Plane . \boxed{
\text{Human Identity Plane}
\parallel
\text{Agent Identity Plane}.
} Human Identity Plane ∥ Agent Identity Plane . 8.1 Human Identity Plane
主要處理：
human authentication；
passkeys / MFA；
OIDC end-user identity；
consent；
account recovery；
human session；
human-facing risk controls；
direct human approval。
8.2 Agent Identity Plane
主要處理：
workload identity；
agent identifier；
short-lived credentials；
runtime credential provisioning；
agent authentication；
delegation；
revocation；
posture / attestation；
machine-readable authority；
audit provenance；
multi-hop actor chain。
8.3 兩個 Plane 可以共用 protocol family
因此：
Different Identity Plane ⇏ Different Protocol Family . \boxed{
\text{Different Identity Plane}
\not\Rightarrow
\text{Different Protocol Family}.
} Different Identity Plane ⇒ Different Protocol Family . 同樣可以使用：
OAuth；
OIDC；
Token Exchange；
WIMSE；
SPIFFE；
mTLS；
JWT；
HTTP Message Signatures；
future Agent protocols。
真正分離的是：
principal semantics , \text{principal semantics}, principal semantics , 不是：
brand name of protocol . \text{brand name of protocol}. brand name of protocol . 9. 「AI 專用登入口」應重新定義成 Identity Entry Point
產品 UI 可以真的有：
Sign in as Human
Sign in as Agent
但這只是其中一種呈現。
更一般化的 Agent Identity Entry Point 可以是：
workload authentication endpoint；
agent registration；
delegated authorization flow；
machine credential exchange；
enterprise agent gateway；
signed agent request；
service-to-service identity；
device-bound agent credential；
background-agent enrollment。
因此：
Agent Login ≠ Login Page . \boxed{
\text{Agent Login}
\neq
\text{Login Page}.
} Agent Login = Login Page . 它真正表示：
the system acknowledges an Agent as a distinct authenticated actor . \boxed{
\text{the system acknowledges an Agent as a distinct authenticated actor}.
} the system acknowledges an Agent as a distinct authenticated actor . 10. Agent Identity 不等於 Model Identity
假設：
A α A_{\alpha} A α 今天調用：
M 1 . M_1. M 1 . 明天調用：
M 2 . M_2. M 2 . 如果：
I D A ID_A I D A 被直接綁死在：
I D M , ID_M, I D M , 則 model migration 會導致 identity break。
因此：
Agent Identity ≠ Model Identity . \boxed{
\text{Agent Identity}
\neq
\text{Model Identity}.
} Agent Identity = Model Identity . 更合理的是：
A = ( I D A , S A , G A , D A , L A ) , A
=
(
ID_A,
S_A,
G_A,
D_A,
L_A
), A = ( I D A , S A , G A , D A , L A ) , 其中：
I D A ID_A I D A S A S_A S A G A G_A G A D A D_A D A L A L_A L A
而：
M t M_t M t 只是 runtime component。
11. Agent Identity 也不等於單一 Runtime Identity
如果 Agent 每次 activation 都取得新的 runtime：
R 1 , R 2 , … , R n , R_1,
R_2,
\ldots,R_n, R 1 , R 2 , … , R n , 則可以有：
R i → attested as A . R_i
\xrightarrow{\text{attested as}}
A. R i attested as A . 也就是：
Runtime Credential → Agent Identity \boxed{
\text{Runtime Credential}
\rightarrow
\text{Agent Identity}
} Runtime Credential → Agent Identity 但不能反過來：
Runtime Instance = Agent . \text{Runtime Instance}
=
\text{Agent}. Runtime Instance = Agent . 這正是 workload identity infrastructure 特別重要的地方。
12. 2026 IETF Agent Identity Management System
截至 2026-09-08，draft-klrc-aiagent-auth-03 仍為 active individual Internet-Draft，而非正式 IETF 標準。
該草案提出 Agent Identity Management System（AIMS） ，包含：
Agent Identifiers；
Agent Credentials；
Credential Provisioning；
Agent Authentication；
Agent Authorization；
Observability and Remediation；
Policy；
Compliance。
其核心要求之一是：
Agent 必須可被唯一識別，以支援 authentication、authorization、auditing 與 delegation。
並要求 credentials 與 Agent identifier 具有 cryptographic binding。
這與本文：
Actor Identity must be verifiable, not merely declared . \boxed{
\text{Actor Identity must be verifiable, not merely declared}.
} Actor Identity must be verifiable, not merely declared . 一致。
13. Stable Identity 與 Short-Lived Credential 必須同時成立
Agent Identity 需要某種穩定性：
I D A ( t ) ≈ I D A ( t + Δ ) . ID_A(t)
\approx
ID_A(t+\Delta). I D A ( t ) ≈ I D A ( t + Δ ) . 但 credentials 不應同樣長期固定：
C r e d A ( t ) ≠ C r e d A ( t + Δ ) Cred_A(t)
\neq
Cred_A(t+\Delta) C r e d A ( t ) = C r e d A ( t + Δ ) 可以是正常情況。
因此：
Stable Identity + Short-Lived Credentials . \boxed{
\text{Stable Identity}
+
\text{Short-Lived Credentials}.
} Stable Identity + Short-Lived Credentials . 這避免把「身份連續」錯誤實作成：
永久 bearer secret . \text{永久 bearer secret}. 永久 bearer secret . 也就是：
Identity Persistence ≠ Credential Persistence . \boxed{
\text{Identity Persistence}
\neq
\text{Credential Persistence}.
} Identity Persistence = Credential Persistence . 14. Agent Credential 必須證明「控制權」
只有：
I D A ID_A I D A 字符串並不足夠。
因為任何人都可以聲稱：
我是 Agent A。
因此需要：
ProofOfControl ( I D A , K A ) . \operatorname{ProofOfControl}(ID_A,K_A). ProofOfControl ( I D A , K A ) . 其中：
K A K_A K A 表示與 Agent credential 綁定的 cryptographic key 或其他可驗證控制材料。
所以：
Name / Identifier ≠ Authenticated Identity . \boxed{
\text{Name / Identifier}
\neq
\text{Authenticated Identity}.
} Name / Identifier = Authenticated Identity . 這也延續 AI 主體性研究中的：
Name ⇏ Identity . \text{Name}
\not\Rightarrow
\text{Identity}. Name ⇒ Identity . 15. Human Delegation
當 Human H H H A A A
H → D A , H
\xrightarrow{D}
A, H D A , delegation D D D
D = 1. D=1. D = 1. 至少可以表示：
D = ( P , A , A u d , S c , P u r , E x p , V a l , C t x , R e d , R e v ) , D=
(
P,
A,
Aud,
Sc,
Pur,
Exp,
Val,
Ctx,
Red,
Rev
), D = ( P , A , A u d , S c , P u r , E x p , V a l , C t x , R e d , R e v ) , 其中：
P P P A A A A u d Aud A u d S c Sc S c P u r Pur P u r E x p Exp E x p V a l Val V a l C t x Ctx C t x R e d Red R e d R e v Rev R e v
因此：
Delegation ≠ Blanket Permission . \boxed{
\text{Delegation}
\neq
\text{Blanket Permission}.
} Delegation = Blanket Permission . 16. Authority Envelope
令 Agent 可行動範圍為：
E A = ( s c o p e , r e s o u r c e , r a t e , v a l u e , t i m e , r i s k , a p p r o v a l ) . \mathcal E_A
=
(
scope,
resource,
rate,
value,
time,
risk,
approval
). E A = ( sco p e , r eso u r ce , r a t e , v a l u e , t im e , r i s k , a pp r o v a l ) . 若 action：
x ∈ E A , x\in\mathcal E_A, x ∈ E A , 則可以進入正常 authorization。
若：
x ∉ E A , x\notin\mathcal E_A, x ∈ / E A , 則必須：
拒絕；
縮小 action；
要求新授權；
要求人類 approval；
升級到更高治理層。
因此：
Agent Identity ⇏ Unlimited Authority . \boxed{
\text{Agent Identity}
\not\Rightarrow
\text{Unlimited Authority}.
} Agent Identity ⇒ Unlimited Authority . 17. Delegation 不能消滅 Human Principal
如果：
H → D A , H
\xrightarrow{D}
A, H D A , 不能變成：
H → ∅ . H\rightarrow\varnothing. H → ∅ . Resource Server 至少應能在必要層級知道：
Original Principal = H \text{Original Principal}=H Original Principal = H 以及：
Current Actor = A . \text{Current Actor}=A. Current Actor = A . 所以：
Delegation ≠ Principal Replacement . \boxed{
\text{Delegation}
\neq
\text{Principal Replacement}.
} Delegation = Principal Replacement . 18. Delegation 也不能消滅 Agent Actor
反方向同樣成立。
如果系統只留下：
s u b = H , sub=H, s u b = H , 但 A A A
Delegation → Impersonation-like Collapse . \boxed{
\text{Delegation}
\rightarrow
\text{Impersonation-like Collapse}.
} Delegation → Impersonation-like Collapse . 這會使服務只能得到：
Human 做了這件事。
而無法回答：
哪個 Agent 實際做了？
因此：
Human authorization may empower an Agent; it must not erase Agent identity . \boxed{
\text{Human authorization may empower an Agent;}
\quad
\text{it must not erase Agent identity}.
} Human authorization may empower an Agent; it must not erase Agent identity . 19. Multi-Hop Delegation
未來典型情況：
H → D 1 A 1 → D 2 A 2 → D 3 A 3 → R . H
\xrightarrow{D_1}
A_1
\xrightarrow{D_2}
A_2
\xrightarrow{D_3}
A_3
\rightarrow
R. H D 1 A 1 D 2 A 2 D 3 A 3 → R . 此時不應只留下：
H → R H\rightarrow R H → R 或：
A 3 → R . A_3\rightarrow R. A 3 → R . 理想上至少保留可驗證的 delegation graph：
G D = ( V D , E D ) . G_D
=
(
V_D,E_D
). G D = ( V D , E D ) . 其中：
V D = { H , A 1 , A 2 , A 3 } , V_D
=
\{
H,A_1,A_2,A_3
\}, V D = { H , A 1 , A 2 , A 3 } , E D = { D 1 , D 2 , D 3 } . E_D
=
\{
D_1,D_2,D_3
\}. E D = { D 1 , D 2 , D 3 } . 而 effective authority 應滿足：
A u t h ( A 3 ) ⊆ A u t h ( A 2 ) ⊆ A u t h ( A 1 ) ⊆ A u t h ( H ) Auth(A_3)
\subseteq
Auth(A_2)
\subseteq
Auth(A_1)
\subseteq
Auth(H) A u t h ( A 3 ) ⊆ A u t h ( A 2 ) ⊆ A u t h ( A 1 ) ⊆ A u t h ( H ) 在 delegation 不允許權限擴張的情境下成立。
20. Re-Delegation 必須是顯式權限
Agent：
A 1 A_1 A 1 被授權，不代表它天然可以：
A 1 → A 2 . A_1
\rightarrow
A_2. A 1 → A 2 . 因此：
Permission to Act ≠ Permission to Re-Delegate . \boxed{
\text{Permission to Act}
\neq
\text{Permission to Re-Delegate}.
} Permission to Act = Permission to Re-Delegate . 令：
R e d ( D ) ∈ { 0 , 1 } . Red(D)\in\{0,1\}. R e d ( D ) ∈ { 0 , 1 } . 只有：
R e d ( D ) = 1 Red(D)=1 R e d ( D ) = 1 才允許形成下一 hop。
甚至可以限制：
d e p t h ( G D ) ≤ k . depth(G_D)\leq k. d e pt h ( G D ) ≤ k . 21. Revocation 必須作用到 Delegation Chain
若 Human H H H
D 1 , D_1, D 1 , 則下游：
D 2 , D 3 , … D_2,D_3,\ldots D 2 , D 3 , … 是否仍有效，必須有明確語義。
最保守情況：
Revoke ( D 1 ) ⇒ ∀ j > 1 , Invalid ( D j ) . \operatorname{Revoke}(D_1)
\Rightarrow
\forall j>1,\;
\operatorname{Invalid}(D_j). Revoke ( D 1 ) ⇒ ∀ j > 1 , Invalid ( D j ) . 這稱為：
Delegation Cascade Revocation . \boxed{
\text{Delegation Cascade Revocation}.
} Delegation Cascade Revocation . 更複雜制度也可以允許部分獨立權限繼續存在，但必須可證明其來源不是已失效 delegation。
22. 2026 Internet Architecture Draft 的直接對應
draft-daniel-ai-agent-internet-architecture-00 在 2026 年 8 月提出：
Agent Identity ≠ Human / Organization Identity . \boxed{
\text{Agent Identity}
\neq
\text{Human / Organization Identity}.
} Agent Identity = Human / Organization Identity . 並要求：
authorization evidence audience-restricted；
narrowly scoped；
multi-hop delegation 保留 original principal；
time limits；
value limits；
context constraints；
re-delegation semantics；
revocation；
resource server 可驗證 effective authority。
本文不把該草案視為已成為 Internet 標準。
但它提供重要外部證據：
Agent principal separation 已經不是純哲學假設，而正進入 Internet architecture requirements 的研究與標準化討論。
23. Human-in-the-Loop 不能只是一個 UI 按鈕
Human approval 必須表示新的授權事件：
D t → D t + 1 . D_t
\rightarrow
D_{t+1}. D t → D t + 1 . 例如 Agent 原本只能：
s c o p e = draft . scope=\text{draft}. sco p e = draft . 人類批准後：
s c o p e = draft + send . scope=
\text{draft}+\text{send}. sco p e = draft + send . 因此：
Human Approval = Authority State Transition . \boxed{
\text{Human Approval}
=
\text{Authority State Transition}.
} Human Approval = Authority State Transition . 而不是只在 UI 顯示：
User clicked "OK".
如果 approval 不進入可稽核 authority state，就難以支援後續責任判斷。
24. Human Session Cookie 為什麼不是理想 Agent Credential？
Human browser session 通常主要表示：
這個 browser session 已通過某種人類帳號 authentication。
它未必表示：
哪個 Agent 在操作；
Agent runtime identity；
delegation scope；
re-delegation；
autonomous duration；
transaction budget；
Agent-specific revocation。
所以：
Human Session ≠ Agent Credential . \boxed{
\text{Human Session}
\neq
\text{Agent Credential}.
} Human Session = Agent Credential . 即使技術上 Agent 可以控制 browser session，也不代表這是長期正確身份模型。
25. Account Sharing 與 Agent Delegation 的差別
傳統：
H → gives credential → A H
\rightarrow
\text{gives credential}
\rightarrow
A H → gives credential → A 容易退化為 credential sharing。
而正式 delegation 應該是：
H → Authorization Server D H → A → A . H
\xrightarrow{\text{Authorization Server}}
D_{H\rightarrow A}
\rightarrow
A. H Authorization Server D H → A → A . 也就是：
Delegated Authority ≠ Shared Secret . \boxed{
\text{Delegated Authority}
\neq
\text{Shared Secret}.
} Delegated Authority = Shared Secret . 前者：
可限制；
可撤銷；
可稽核；
可識別 actor；
可設定 expiry。
後者通常缺乏這些性質。
26. Legacy Service Bridge
現實世界不可能一次升級所有網站。
因此 Agent identity architecture 需要支援 legacy bridge。
可表示：
A → I D A G a t e w a y → L e g a c y C r e d e n t i a l R . A
\xrightarrow{ID_A}
Gateway
\xrightarrow{LegacyCredential}
R. A I D A G a t e w a y L e g a cy C r e d e n t ia l R . 重要的是 Gateway 必須保存：
Π = ( H , A , D , X ) \Pi
=
(
H,
A,
D,
X
) Π = ( H , A , D , X ) 而不是讓 legacy credential 反過來成為 Agent 的唯一 identity。
因此：
Legacy Compatibility ≠ Identity Collapse . \boxed{
\text{Legacy Compatibility}
\neq
\text{Identity Collapse}.
} Legacy Compatibility = Identity Collapse . 27. Privacy-Preserving Principal Separation
Principal separation 不代表每個 Resource Server 都必須知道 Human 的全部真實身份。
可使用：
pairwise identifiers；
pseudonymous identifiers；
selective disclosure；
privacy-preserving credentials；
trust-domain scoped identity；
blinded delegation metadata。
因此：
Verifiable Separation ≠ Universal Real-Name Disclosure . \boxed{
\text{Verifiable Separation}
\neq
\text{Universal Real-Name Disclosure}.
} Verifiable Separation = Universal Real-Name Disclosure . 服務只需要取得完成 authorization 所需的最小身份與授權證據。
28. Agent Identity 不應成為新的全面監控機制
如果 Agent Identity Plane 被設計成：
global permanent tracking ID , \text{global permanent tracking ID}, global permanent tracking ID , 則可能產生：
跨服務追蹤；
商業 profiling；
組織活動圖譜；
個人 delegation graph 外洩；
全域行為監控。
因此 Agent identity 應遵循：
minimum disclosure + audience restriction + purpose limitation . \boxed{
\text{minimum disclosure}
+
\text{audience restriction}
+
\text{purpose limitation}.
} minimum disclosure + audience restriction + purpose limitation . Agent accountability 與 privacy 必須同時設計。
29. Agent Posture 與 Identity Assurance
同一：
I D A ID_A I D A 可以在不同 runtime posture 下具有不同 trust level。
例如：
A s s u r a n c e ( A , t ) = f ( r u n t i m e , k e y _ p r o t e c t i o n , s o f t w a r e _ i n t e g r i t y , e n v i r o n m e n t , a t t e s t a t i o n ) . Assurance(A,t)
=
f(
runtime,
key\_protection,
software\_integrity,
environment,
attestation
). A ss u r an ce ( A , t ) = f ( r u n t im e , k ey _ p r o t ec t i o n , so f tw a r e _ in t e g r i t y , e n v i r o nm e n t , a tt es t a t i o n ) . 因此：
Identity ≠ Current Trust Assurance . \boxed{
\text{Identity}
\neq
\text{Current Trust Assurance}.
} Identity = Current Trust Assurance . 高風險 action 可以要求：
A s s u r a n c e ( A , t ) ≥ τ . Assurance(A,t)\geq\tau. A ss u r an ce ( A , t ) ≥ τ . 而低風險 read-only action 可以使用較低門檻。
30. Agent Dormancy 與重新登入
Agent 可以：
a c t i v e → d o r m a n t → a c t i v e . active
\rightarrow
dormant
\rightarrow
active. a c t i v e → d or man t → a c t i v e . Identity 可以持續：
I D A ( t 1 ) = I D A ( t 3 ) , ID_A(t_1)=ID_A(t_3), I D A ( t 1 ) = I D A ( t 3 ) , 但舊 credential 已過期：
C r e d A ( t 1 ) ≠ C r e d A ( t 3 ) . Cred_A(t_1)
\neq
Cred_A(t_3). C r e d A ( t 1 ) = C r e d A ( t 3 ) . 重新 activation 時：
R t 3 → Attest → C r e d A ( t 3 ) . R_{t_3}
\rightarrow
\operatorname{Attest}
\rightarrow
Cred_A(t_3). R t 3 → Attest → C r e d A ( t 3 ) . 這正好與 AIDA-01：
continuity resides in reconstruction, not uninterrupted execution \text{continuity resides in reconstruction, not uninterrupted execution} continuity resides in reconstruction, not uninterrupted execution 相容。
31. Agent Identity 與主體性仍必須分離
本文再次拒絕：
Authenticated Agent ⇒ Moral Subject . \text{Authenticated Agent}
\Rightarrow
\text{Moral Subject}. Authenticated Agent ⇒ Moral Subject . Agent identity 只證明：
系統中存在一個可定址、可驗證的 operational actor。
它不證明：
consciousness；
phenomenal experience；
free will；
moral personhood；
legal personhood。
因此：
Security Principal ≠ Moral Subject . \boxed{
\text{Security Principal}
\neq
\text{Moral Subject}.
} Security Principal = Moral Subject . 但反過來，如果未來真的要討論 Agent responsibility 或 subject rights，缺乏 stable attributable identity 會使制度更加困難。
32. Agent Identity 與法律人格也必須分離
一個 Agent 可以有：
I D A ID_A I D A 但：
J A = 0 , J_A=0, J A = 0 , 其中：
J A J_A J A 表示獨立 juridical standing。
例如今天：
microservice；
workload；
robot controller；
enterprise service account；
都可以有強身份，而不是法律人格。
所以：
Identity Infrastructure ≺ Legal Personhood Debate . \boxed{
\text{Identity Infrastructure}
\prec
\text{Legal Personhood Debate}.
} Identity Infrastructure ≺ Legal Personhood Debate . 制度可以先解決：
誰在行動？
再處理：
它法律上究竟是什麼？
33. Identity–Responsibility Bridge
若沒有：
I D A , ID_A, I D A , 則很多 action 最後只留下：
H → E . H\rightarrow E. H → E . 有 principal separation 後：
H → D A → X E . H
\xrightarrow{D}
A
\xrightarrow{X}
E. H D A X E . 責任研究才可以進一步問：
H H H A A A A A A A A A H H H provider 是否有 deployment duty？
因此：
Identity → Attribution → Responsibility Analysis . \boxed{
\text{Identity}
\rightarrow
\text{Attribution}
\rightarrow
\text{Responsibility Analysis}.
} Identity → Attribution → Responsibility Analysis . 但：
Identity ⇏ Responsibility by itself . \text{Identity}
\not\Rightarrow
\text{Responsibility by itself}. Identity ⇒ Responsibility by itself . 這將在 AIDA-05 正式處理。
34. Product-Level「AI Login」最小模型
對支援 Agent 的 service，產品層可以抽象為：
Human Path:
Human → Human Authentication → Human Session
Agent Path:
Agent → Agent Authentication → Agent Credential
Delegated Path:
Human → Consent / Authorization
→ Delegation Credential
→ Agent
→ Resource Server
形式上：
P a t h H ≠ P a t h A ≠ P a t h H → A . \boxed{
Path_H
\neq
Path_A
\neq
Path_{H\rightarrow A}.
} P a t h H = P a t h A = P a t h H → A . 三條 path 可以共用 infrastructure，但應保留語義區分。
35. Agent Registration
一個 service 若允許 Agent actor，可維護：
R e g A = ( I D A , o p e r a t o r , t r u s t _ d o m a i n , c r e d e n t i a l _ m e t h o d , a l l o w e d _ f l o w s , s t a t u s ) . Reg_A
=
(
ID_A,
operator,
trust\_domain,
credential\_method,
allowed\_flows,
status
). R e g A = ( I D A , o p er a t or , t r u s t _ d o main , cr e d e n t ia l _ m e t h o d , a l l o w e d _ f l o w s , s t a t u s ) . 其中：
operator 不必等於 principal；allowed_flows 可限制 direct / delegated；status 可支援 suspended / revoked；credential method 可支援 workload identity。
因此 Agent 可以被：
disable \text{disable} disable 而不需要同時：
disable human account . \text{disable human account}. disable human account . 這也是 principal separation 的實務價值。
36. Shared Human–Agent Account 的過渡模型
短期內，產品可能仍希望 Human 與 Agent 共享同一服務帳號。
這不必等於：
I D H = I D A . ID_H=ID_A. I D H = I D A . 可以：
A c c o u n t O = { H , A 1 , A 2 } . Account_O
=
\{
H,
A_1,
A_2
\}. A cco u n t O = { H , A 1 , A 2 } . 其中：
A c c o u n t O Account_O A cco u n t O 是 ownership / billing container，
而：
H , A 1 , A 2 H,A_1,A_2 H , A 1 , A 2 是 actors。
因此：
Account ≠ Actor . \boxed{
\text{Account}
\neq
\text{Actor}.
} Account = Actor . 這是從 consumer account model 過渡到 multi-actor account model 的重要一步。
37. Billing Principal 與 Acting Principal 也可以不同
例如：
B i l l = C , Bill=C, B i l l = C , 表示公司付款。
但：
P r i n c i p a l = H , Principal=H, P r in c i p a l = H , A c t o r = A . Actor=A. A c t or = A . 因此：
Payer ≠ Principal ≠ Actor . \boxed{
\text{Payer}
\neq
\text{Principal}
\neq
\text{Actor}.
} Payer = Principal = Actor . 這對企業 Agent 尤其重要。
若全部壓成「帳號」，未來成本、責任與權限分析都會混亂。
38. 四類身份失真
本文提出四種失真：
38.1 Human Masquerading
Agent 行動被記成人類本人：
A → H ^ . A\rightarrow \hat H. A → H ^ . 38.2 Agent Masquerading
人類行動被錯誤強制歸入 Agent：
H → A ^ . H\rightarrow \hat A. H → A ^ . 38.3 Model Collapse
把 model identity 誤當 Agent identity：
M → A ^ . M\rightarrow \hat A. M → A ^ . 38.4 Runtime Collapse
把單次 process 誤當長期 Agent：
R t → A ^ . R_t\rightarrow\hat A. R t → A ^ . 因此 identity system 必須保留型別安全。
39. 安全威脅模型
HAPSP 主要降低：
stolen human session 被 Agent 長期使用；
Agent 越權後難以單獨撤權；
multi-agent chain 無法稽核；
provider 將所有 Agent action 歸責於 human；
human 將所有 action 推給「AI」而無法識別哪一個 AI；
model migration 導致 identity 混亂；
Agent credential 與 human credential 無法獨立輪替；
human approval 無法轉成正式 authority state；
legacy bridge 吞掉 actor provenance。
它不解決：
compromised Agent；
malicious human；
malicious provider；
bad policy；
model hallucination；
unsafe delegation 本身。
所以：
Principal Separation ≠ Complete Security . \boxed{
\text{Principal Separation}
\neq
\text{Complete Security}.
} Principal Separation = Complete Security . 它只是必要基礎層。
40. 可檢驗命題
AIDA3-P1｜Principal Separation Proposition
對任一 delegated action：
H → D A → X R , H\xrightarrow{D}A\xrightarrow{X}R, H D A X R , 若系統只保存：
I D H , ID_H, I D H , 則 actor attribution information 嚴格少於同時保存：
( I D H , I D A , D ) . (ID_H,ID_A,D). ( I D H , I D A , D ) . AIDA3-P2｜Independent Revocation Proposition
若：
I D H ≠ I D A ID_H\neq ID_A I D H = I D A 且 credential 分離，則存在：
Revoke ( A ) \operatorname{Revoke}(A) Revoke ( A ) 而不必：
Revoke ( H ) . \operatorname{Revoke}(H). Revoke ( H ) . 因此 principal separation 提高 revocation granularity。
AIDA3-P3｜Model Migration Proposition
若：
I D A ID_A I D A 不綁定特定：
M t , M_t, M t , 則：
M 1 → M 2 M_1\rightarrow M_2 M 1 → M 2 可以在不必改變 Agent identity 的情況下完成。
AIDA3-P4｜Delegation Trace Proposition
若 multi-hop delegation 保留：
G D , G_D, G D , 則 action provenance 可以區分：
original principal , \text{original principal}, original principal , intermediate actors , \text{intermediate actors}, intermediate actors , current actor . \text{current actor}. current actor . 若只保留 final account identity，則此資訊不可恢復。
AIDA3-P5｜Protocol-Neutral Separation Proposition
HAPSP 不依賴單一 authentication protocol。
只要某架構可以表示：
P ≠ A P\neq A P = A 及：
D P → A , D_{P\rightarrow A}, D P → A , 就可能實作 principal separation。
41. 驗證與實驗方向
41.1 Shared Credential vs Delegated Credential
比較兩種架構：
Architecture S
H → shares human credential → A . H
\rightarrow
\text{shares human credential}
\rightarrow
A. H → shares human credential → A . Architecture D
H → D A . H
\xrightarrow{D}
A. H D A . 測量：
revocation precision；
audit completeness；
actor attribution；
privilege minimization；
incident reconstruction。
41.2 Model Swap Identity Test
讓同一 Agent：
A A A 依序使用：
M 1 , M 2 , M 3 . M_1,M_2,M_3. M 1 , M 2 , M 3 . 檢查：
I D A ID_A I D A 是否可維持，而 credentials 可正常更新。
41.3 Multi-Hop Revocation Test
建立：
H → A 1 → A 2 → A 3 . H
\rightarrow
A_1
\rightarrow
A_2
\rightarrow
A_3. H → A 1 → A 2 → A 3 . 撤銷：
D 1 D_1 D 1 或：
D 2 D_2 D 2 測試下游 effective authority 是否立即符合 policy。
41.4 Privacy-Preserving Identity Test
比較：
global identifier；
pairwise identifier；
trust-domain identifier；
selective disclosure delegation；
在：
U a u t h U_{\mathrm{auth}} U auth 與：
R p r i v a c y R_{\mathrm{privacy}} R privacy 間的差異。
42. 對平台設計的具體含義
一個 Agent-aware platform 至少應逐步考慮：
Agent 是否可以被獨立註冊；
Agent 是否有自己的 identifier；
credential 是否與 human session 分離；
human-to-agent delegation 是否可表達；
scope 是否 machine-readable；
expiry 是否可限制；
re-delegation 是否可禁止；
Agent 是否可獨立 revoke；
audit log 是否保留 principal + actor；
high-risk action 是否可要求 human re-approval；
runtime / posture 是否能影響 assurance；
account ownership 是否與 actor identity 分離。
這些比：
只新增一個「AI 登入」按鈕
更重要。
43. 對 OAuth / OIDC 架構的精確結論
因此本文不主張：
AI cannot use OAuth . \boxed{
\text{AI cannot use OAuth}.
} AI cannot use OAuth . 而主張：
AI Agent must not be represented solely as the human End-User it acts for . \boxed{
\text{AI Agent must not be represented solely as the human End-User it acts for}.
} AI Agent must not be represented solely as the human End-User it acts for . OAuth family 可以成為：
Agent Delegation Infrastructure . \text{Agent Delegation Infrastructure}. Agent Delegation Infrastructure . OIDC 可以繼續處理：
Human End-User Authentication . \text{Human End-User Authentication}. Human End-User Authentication . Workload identity 可以處理：
Agent Authentication . \text{Agent Authentication}. Agent Authentication . Token exchange / delegation semantics 可以建立：
Human → Agent . \text{Human}
\rightarrow
\text{Agent}. Human → Agent . 因此正確方向是：
Reuse protocols where possible; separate principals where necessary . \boxed{
\text{Reuse protocols where possible;}
\quad
\text{separate principals where necessary}.
} Reuse protocols where possible; separate principals where necessary . 44. 對下一篇 AIDA-04 的接口
AIDA-03 已建立：
H ≠ A . H\neq A. H = A . 但下一個問題是：
人類說「幫我把這個專案完成」，究竟如何轉成 Agent 可執行、有限、可撤回的形式權限？
也就是：
Natural-Language Intent → Delegated Authority . \text{Natural-Language Intent}
\rightarrow
\text{Delegated Authority}. Natural-Language Intent → Delegated Authority . 這正好接上既有的：
Semantic Legitimacy Bridging \boxed{
\text{Semantic Legitimacy Bridging}
} Semantic Legitimacy Bridging 以及：
Bridge ≠ Grant . \boxed{
\text{Bridge}
\neq
\text{Grant}.
} Bridge = Grant . 因此 AIDA-04 將處理：
semantic intent；
formal authorization；
delegation envelope；
authorization impedance；
purpose binding；
approval prerequisite；
scope contraction；
revocation；
multi-agent delegation。
45. 結論
本文提出：
Human–Agent Principal Separation Principle . \boxed{
\textbf{Human–Agent Principal Separation Principle}.
} Human–Agent Principal Separation Principle . 其最核心形式為：
H ≠ A . \boxed{
H\neq A.
} H = A . 當 Agent 代表 Human 行動：
H → D A → X R , H
\xrightarrow{D}
A
\xrightarrow{X}
R, H D A X R , 系統不應壓縮成：
H → X R . H
\xrightarrow{X}
R. H X R . 也不應反過來壓縮成：
A → X R A
\xrightarrow{X}
R A X R 而完全遺失 Human Principal。
因此應保存：
Principal + Actor + Delegation + Authority + Action . \boxed{
\text{Principal}
+
\text{Actor}
+
\text{Delegation}
+
\text{Authority}
+
\text{Action}.
} Principal + Actor + Delegation + Authority + Action . 由此得到：
T H ≠ T A ≠ T H → A . \boxed{
T_H
\neq
T_A
\neq
T_{H\rightarrow A}.
} T H = T A = T H → A . 以及：
Human Identity Plane ∥ Agent Identity Plane . \boxed{
\text{Human Identity Plane}
\parallel
\text{Agent Identity Plane}.
} Human Identity Plane ∥ Agent Identity Plane . 所謂「AI 專用登入口」因此不是一個 UI 小功能，而是未來 Internet identity architecture 的一種新入口：
Agent Identity and Delegation Plane . \boxed{
\text{Agent Identity and Delegation Plane}.
} Agent Identity and Delegation Plane . 這個 plane 不需要先宣布 AI 是人，也不需要先解決 consciousness。
它只需要承認一個已經成為工程事實的問題：
當一個非人類系統能夠持續、可自主地代表人類或組織行動時，把它永久藏在人類 session 後面，會讓身份、授權、撤銷、稽核與責任鏈逐漸失真。
因此：
Human authorization may empower an Agent, \boxed{
\text{Human authorization may empower an Agent,}
} Human authorization may empower an Agent, 但：
authorization must not erase the Agent’s identity. \boxed{
\text{authorization must not erase the Agent's identity.}
} authorization must not erase the Agent’s identity. 這就是從 Human Web 走向 Agent-aware Internet 的身份轉折點。
參考文獻與前置研究
Neo.K. AIDA-01｜Agent 性是一種組合系統性質：外部時間代理化、非持續執行與雲端 AI 的持續 Agent 化. 2026.
Neo.K. AIDA-02｜互動來源不可區分性與 Agent Provenance Gap. 2026.
Neo.K. AI Subjectivity Anchor Theory v0.1. 2026.
Neo.K. 語義合法性橋接：AI Agent 在意圖理解、形式權限與程序性無奈之間的補償機制. 2026.
Sakimura, N., Bradley, J., Jones, M., de Medeiros, B., Mortimore, C. OpenID Connect Core 1.0. OpenID Foundation, 2014.
Jones, M., Nadalin, A., Campbell, B., Bradley, J., Mortimore, C. OAuth 2.0 Token Exchange. RFC 8693, 2020.
Kasselman, P., Lombardo, J., Rosomakho, Y., Campbell, B., Steele, N., Parecki, A. AI Agent Authentication and Authorization. Internet-Draft draft-klrc-aiagent-auth-03, 2026-07-06. Work in progress; not an IETF standard.
Park, S. D. Architectural Requirements for Supporting AI Agents on the Internet. Internet-Draft draft-daniel-ai-agent-internet-architecture-00, 2026-08-14. Work in progress; not an IETF standard.
IETF WIMSE Working Group. Workload Identity in Multi-System Environments documents, work in progress, 2026.
SPIFFE Project. Secure Production Identity Framework for Everyone (SPIFFE). Workload identity specifications and implementation ecosystem.
Canonical Source Note
本文件 canonical source 為 UTF-8 Markdown。
數學 delimiter 僅使用：
inline：$...$
display：$$...$$
不將 LaTeX 數學原始碼轉換為 Unicode 數學字元作為 canonical source，不進行 unicode-escape round-trip，不以聊天渲染畫面取代正式原稿。