身份问题为什么现在集中爆发
2026 年被业内不少人称为智能体商业化的关键年份。从代购、跨端服务，到智能体与智能体之间的协作、智能体与机器之间的联动，智能体正在从「能回答问题」走向「能代表用户做事情」。但一旦它能做事情，几个原本不存在的问题就同时出现了：这个智能体凭什么代表我、它能动用到什么范围、它传达的意图有没有被中途改写、出了事该找谁。
这四个问题可以概括成一句话：身份不可信。传统互联网里，身份认证解决的是「你是谁」，一次登录之后系统就默认你是可信的。但智能体的行为由模型自主决策，它的权限范围可能随任务变化，它的意图可能在多轮传递中被修改，一次认证显然不够用。
正是在这个背景下，一个聚焦智能体可信身份的产业协作组织近期成立。它由互联网可信认证联盟在理事会批准下设立，并在上海的行业大会上正式对外发布。按官方口径，这是国内较早成建制聚焦该方向的产业协作组织，首批已有五十余家机构加入。
需要说明的是，该组织的具体标准文本、认证流程与时间表尚未全部公开，官方及行业暂未披露更多细节，后续将持续跟进迭代动态。本文只讨论已公开的框架主张与成员构成。
成员构成覆盖了整条产业链
从首批成员名单看，这个组织的构成值得关注，因为它不是单一环节的自发联合，而是把产业链的多个位置都拉进来了。名单里既有综合性的科技企业，也有主流的智能终端厂商，还有专注智能体方向的技术研发企业、垂直领域的服务运营主体、底层芯片提供商，以及科研与检测认证机构。
覆盖面广这件事有两层含义。一层是必要性：智能体的身份问题横跨终端、云、模型、服务与支付，任何一个环节单独定义标准，都会在跨环节协作时失效。另一层是难度：参与方越多，达成一致的周期就越长，各方在标准中的话语权分配也越复杂。这也是为什么框架类工作往往进展缓慢——它本质上是一场多方协商，而不是一次技术发布。
该联盟本身成立于 2015 年，由中国信通院、蚂蚁集团、阿里巴巴、华为、中兴、平安科技等机构共同发起，长期做的是可信认证技术，成员单位已达三百多家。这次把智能体身份单独立组，说明联盟判断这个方向的复杂度与紧迫性已经足以支撑一条独立的工作线。
框架主张：从一次认证到持续可信
成立当天，联盟联合蚂蚁集团、清华大学网络科学与网络空间研究院、中国信通院泰尔实验室等机构发布了白皮书，核心主张是把智能体身份治理从「静态身份管理」转向「持续信任管理」。这句话可以拆开理解：传统做法是发一个凭证，之后默认有效；新框架要求凭证发出去之后，运行过程中的每个状态仍要能被持续核验。
框架围绕四个维度展开：身份属性、持续可信评估、跨域互认与持续监控。对应到工程上，就是四件具体的事——身份注册回答「凭什么信它」，持续核验回答「它现在是否仍然可信」，跨域互认回答「在不同平台之间这套身份是否被承认」，审计追溯回答更棘手的「出了事找谁」。
会上有研究者分享了三层身份模型的思路：基础身份、运行时身份与责任主体身份。这个拆法试图解决一个具体矛盾：同一个智能体可能由平台提供、由用户配置、在特定任务下代表某个组织行动，这三层身份的可信依据并不相同，混在一起就说不清责任。与之配套的研究方向包括授权治理、持续可信评估、跨域互认与责任追溯。
与既有治理动作形成接力
这次成立并不是孤立事件，把它放进近期的治理脉络里能看得更清楚。
监管层面已经有动作。国家网信部门今年五月印发的相关实施意见中，明确提出要探索建立智能体注册平台、提供智能体数字身份管理，并点名防范智能体被用于自动化攻击与网络诈骗。政策先画出了框架，产业界这次的工作可以理解为在框架内填充具体机制。
国际标准侧也有伏笔。联盟在 2024 年 12 月成立了智能体可信互连方向的工作组并开源了相关技术；2025 年 12 月，国际电信联盟的一个研究组会议上通过了终端多智能体系统可信要求的立项，可信身份正是其中的维度之一。此外，就在这次成立的前一天，有机构联合国际卡组织推出了面向支付场景的智能体身份互认框架——那是支付切片的规则，而这次的工作组管的是从注册到追责的全链路身份。两者在范围上互补，在目标上同向。
值得注意的是，这类框架与企业侧正在推进的「智能体控制面」是两件事。控制面解决的是单个企业内部如何注册、授权、监控与审计自己的智能体；而身份框架解决的是跨主体的互认——当甲方的智能体要和乙方的服务交互时，双方凭什么相信对方的身份声明。前者是管理问题，后者是信任基础设施问题。
对开发者：红利与门槛同时存在
对开发者与平台方来说，这件事有两面。
红利的一面是方向明确。如果统一的身份框架落地，智能体接入不同平台时只需要对接一套身份体系，而不必每接一家就重做一遍认证与授权。对于做跨平台智能体的团队，这能显著降低集成成本；对于做垂直应用的团队，也能减少在身份合规上的重复投入。
门槛的一面同样真实。持续核验加审计追溯，意味着日志留存、状态上报、授权链路改造都是实打实的工程与合规成本。特别是「持续核验」这一条，它要求系统在运行过程中持续产生可核验的状态证据，这与许多团队目前「只在关键节点打日志」的做法不同，改造范围不小。小团队需要重新核算这笔账：是为了接入更广的商业场景而承担成本，还是先在自己可控的范围内把权限边界收紧。
中立思辨
需要辩证看待几件事。其一，框架类工作的价值高度依赖落地程度。白皮书提出方向不难，难的是把「持续核验」拆成可实现的接口与流程，并让不同厂商的产品真正互通；历史上不少产业联盟的框架最终停留在文档层面，这次的成效需要看后续是否出现可验证的认证用例。其二，参与方越多，标准越可能向折中方向演化——为了兼容各方的既有实现，规范可能定义得足够宽泛，从而削弱约束力，这需要观察具体条文的严格程度。其三，持续核验会带来可观的数据留存需求，而这些数据本身涉及用户行为，如何在可追溯与隐私保护之间取得平衡，是框架尚未详细展开的部分。其四，跨域互认的技术难度常被低估：不同平台的账号体系、权限模型与审计口径各不相同，互认意味着要在差异之上建立映射，而映射规则本身可能成为新的攻击面。其五，标准先行对中小企业既是保护也是压力——保护在于有据可依，压力在于合规成本对小团队的相对负担更重，可能加剧市场向头部集中。其六，责任追溯是这套框架最有价值的部分，也最难实现：当智能体的行为由模型自主决策产生，责任在用户、模型提供方还是平台之间如何切分，本质上是法律与商业问题，技术只能提供证据，不能给出结论。
趋势研判
短期看，这套框架会先在支付与跨端服务等对身份最敏感的场景落地，因为这些场景的损失最直接、监管关注度最高；中期看，如果身份互认形成事实标准，智能体的商业半径会明显扩大——它不再只能在单个平台内部行动，而可以在受控的前提下跨平台协作，这会打开一批新的产品形态；长期看，身份问题可能成为智能体经济的底层基础设施，其重要性类似于今天互联网里的账号体系与支付网关，只不过它要解决的是「非人主体」的身份问题，这在技术史上是没有先例的。
对团队来说，一个务实的起点是把「智能体能做什么」的清单写清楚，并为清单上的每一项标注它需要什么身份、什么授权、以及出问题时如何追溯。这份清单不需要等标准出台才做，而且它本身就是未来接入任何身份框架时的映射基础。先把权限边界收紧到够用，再考虑跨域互认，是比较稳妥的推进顺序。