审计日志真能防篡改吗？三个漏洞作者自己承认了

打开任何一个"AI 智能体治理"页面，你大概率会看到"防篡改审计日志"这个词。作者说，把这当成一个信号：一台由人管理的机器上，任何只追加的文件都不是防篡改的，声称能做到的厂商，要么没认真想过，要么赌你不会追问。

于是这篇东西做了件不讨巧的事——把话说准。日志到底能证明什么，哪三个地方它老实承认做不到，以及哪些已经交付、哪些还在写。全部跑在 Apache 核心上，可以自己验证。

它到底是什么，能证明什么

账本是一个只追加、哈希链式的文件：每个事件都携带前一个事件精确字节的 SHA-256，记录因此串成一条链。运行 agenthof audit verify 会沿着链走一遍，输出类似 head: 4d655340…（13 个事件） 的结果。

这给出一个真实且强力的保证：对已提交事件的任何编辑、删除或重排，都会打断链条并让校验失败。改动一个事件的一个字节、从中间删掉一行、交换两条记录的顺序，哈希从那个点开始就对不上。对于诚实的错误（写入损坏、迁移搞砸）和偷懒的篡改，这个保证是真的，而且免费。

这叫"可发现篡改"（tamper-evident），不叫"防篡改"（tamper-proof）。两者的差别，就是整篇文章要讲的事。

诚实的局限一：截断后重造

链条保护的是已提交的事件。但如果攻击者控制整个文件，他们可以删掉尾部——最后 N 个事件——然后从一个干净的点重新计算出一条完全有效的链。文件内部没有任何东西会暴露这件事：一条更短的有效链，看起来和一次只是做得更少的运行一模一样。

这个问题在本地赢不了。唯一的防御是把 head 记录在机器之外，然后做比对。已经交付的有两条路，强度并不相同：

• 单次运行的收据：你自己保存打印出来的 head，之后用 agenthof audit verify --expect-head sha256: 校验。真实有效，但独立程度取决于你把 head 放在哪。
• 控制（治理）账本，即记录谁改了配置、谁禁用了智能体、什么时候：这一条有自动的外部锚定。agenthof audit anchor 把当前 head 钉进你指定的透明日志（例如 Sigstore 的公共日志），audit verify control 再拿每个已记录的锚点去核对链条。这样一来，整根重写就能被一个你控制不了的第三方发现，而不只是你自己。另有 audit seal 把账本轮转成密封段，这个功能最近才交付。

所以截断问题的诚实记分是：治理账本已解决（独立锚定，今天可用）；单次运行收据走的是手动 --expect-head 路径，给单次收据也加上自动锚定是预留的，还没建。作者宁愿把这话说出来，也不愿让人误以为运行收据已经锚定到透明日志——目前还没有。

诚实的局限二：完整性，一个缺失的事件

这一条更微妙。校验通过只能证明链条没断，不能证明链条是完整的。如果一个动作发生了，但它的事件从未被写入——一次瞬时写入失败，或者某条代码路径忘了记录——链条依然完美通过校验。存在的事件确实没被动过，你只是看不出少了一个。

而且，密码学修不了这个。你无法用密码学证明一条从未被创建的记录存在；被丢掉的事件不会留下缺失的签名，因为签名本该签在那个被丢掉的事件上。签名给的是完整性，不是完备性。完备性是一个记账问题，不是密码学问题。

现状是：今天序号能抓住被丢掉的尾部，隔离机制要求受治理的动作必须经过一扇记录门——但检测"门事件被悄悄丢掉"还在设计阶段，没有交付。思路是记账而非密码学：让网关在入口处统计它处理了多少次调用，再核对账本里是不是有那么多条，少一条就让校验失败。作者说他在建这个，因为缺口是真实的。文章里说某个局限被关掉时，那一定是因为他跑过了——而这一条还没关。

诚实的局限三：记录器是你自己的

账本由运营方自己的网关写入。所以"没人篡改"最终仍要依赖你信任自己的网关。在受监管的场景里，第一个问题是谁来核查，以及核查错了代价是什么。诚实的答案不是"相信我的网关"，而是把证据放到不属于你的地方——这正是透明日志锚定为治理账本做的事：佐证方是智能体和运营方都控制不了的一方。独立性来自记录被锚定在哪里，而不是来自网关保持中立——因为它并不中立，声称它中立，和声称"防篡改"是同一种动作。

为什么"可发现"而不是"可证明"是特性

这些条目里没有一条写着"防篡改"，这正是重点。一个你能自己运行、并且把局限写明白的保证，比一个营销形容词更值钱。你不必信任作者：agenthof audit verify、audit verify control 和 --expect-head 都在仓库里，那些诚实的局限写在文档里，不是脚注里。

这是 Agenthof，Apache-2.0 许可。项目还早，作者说他会把边界指得清清楚楚，包括那条他还在建的。如果你也对"防篡改"这个词皱眉，仓库就在那里，校验可以自己跑。