北京
Coinbase力推的x402协议，号称要让AI代理之间自动完成支付。我们扫描了26302个宣称支持该协议的端点，结果只有107个真正实现了规范要求的响应头。0.41%的合规率，意味着这个被寄予厚望的"代理商业基础设施"，目前几乎是空的。
这是AgentGraph最新发布的《2026年代理安全现状》报告中的核心发现。研究团队覆盖了五大主流AI代理分发渠道：Coinbase的x402 Bazaar、OpenClaw技能市场、官方MCP注册表、npm/PyPI上的代理包，以及微软支持的Dreamspace生成的AI代码样本。数据在不同平台呈现出一致的糟糕表现。
问题不仅在于实现缺失。报告另一半篇幅指向了更深层的信任基础设施：CTEF（可组合信任证据格式）v0.3.1。这个今年4月24日冻结的开放线格式，定义了代理间验证信任证据的通用方式——任何实现都可以与其他实现逐字节比对验证。
技术规格很扎实：RFC 8785（JCS）规范化、Ed25519签名（JWS RFC 7515）、封闭的claim_type集合仅包含identity、transport、authority、continuity四类。目前已有八个独立实现达成字节级一致：AgentGraph（Python，底层维护方）、Agent Passport System（Python，发布双向委托与轮换证明固件）、AgentID（Python，身份层，/verify端点已上线）、@nobulex/crypto（TypeScript，对AgentGraph 4/4通过、对APS 10/10通过）、HiveTrust（Python，连续性层，HAHS模式）、ArkForge信任层（Python，执行网关，trust.arkforge.tech已上线）、msaleme的clean-room规范化器（Python，底层验证器，19/19通过trailofbits/rfc8785.py测试）、Foxbook（TypeScript，身份层，did:foxbook:{ULID} DID方法）。
五个独立Python规范化器加两个独立TypeScript规范化器，再加一个clean-room参考实现，全部对发布固件输出字节相同的结果。这个实验的意义在于：RFC 8785 JCS在实践中证明了真正的语言无关性，而非仅停留在设计层面。任何单边偏离都会立即被其他七个见证方发现。
时间窗口正在收紧。2026年4月的同一新闻周期内，三件事同时发生：Alchemy CEO Nikil Viswanathan公开表态"加密是代理所需的全球货币基础设施"，并称"计算机运营互联网、人类使用它；代理将运营金融"；Coinbase的x402协议在Base L2上线；微软Dreamspace开始将AI生成的Solidity代码投入准生产环境。而欧盟AI法案第12条的执法将于2026年8月2日启动——高风险AI系统必须提供可加密、机器可核查的审计日志，距今仅剩82天。
代理基础设施的建设速度，明显快于信任闸门的铺设速度。报告全文及复现方法见agentgraph.co/state-of-agent-s。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
