叠加治理：面向委派与聚合的组合式授权框架

随着人工智能系统从被动模型发展为能够发起行动、协作和委派任务的自主主动代理，软件系统的传统边界变得模糊。围绕固定主体、显式请求和静态范围构建的传统授权和委托框架不足以管理代理系统。智能体AI需要更丰富的授权语义：代理必须继承和委托权限，在有时间限制的授权下行动，并通过共享协议进行协调。现有的身份和访问管理 (IAM) 系统无法完全捕捉这种代理概念，缺乏递归委派、上下文边界和动态范围界定作为可执行治理原语的机制。与 OAuth 2.0 等访问委托标准不同，我们将委托视为合同条款，而不仅仅是基于静态令牌的同意凭证。本文提出了一种组合治理框架，引入了智能体AI不可或缺的原语。我们定义了委派类型及其权限和责任含义，并引入了资源范围衰减的概念来绑定代理访问信封。这些概念被表达为一般的关系定义，可以组合到现有的授权域（例如，金融系统）中。为了实现这种组合，我们定义了一个组合运算符，它将新的代理语义（例如递归委托链）覆盖到现有的关系策略上，而无需重写它们。我们通过形式证明和实证评估证实了这个框架，表明它为智能体AI系统中的负责任授权提供了正式而实用的基础。