签名不等于可信：智能体协议栈里沉默的三个问题
本文引证源 · A2A 官方规范 a2aproject/A2A · W3C AI Agent Protocol 社区组技术报告（2026-09-24）· 姊妹柱：rttp://（CRI 27）· iqa://（CRI 28）
2026 年，签名无处不在。A2A 给智能体名片加了 JWS 签名；Google 联合数十家支付机构推的 AP2 把每一笔交易裹进可验签的授权契约；MCP 把授权委托给 OAuth。签名成了智能体世界的默认答案——默认答案值得被认真对表。
我们的结论同样是先给的：签名回答了两个问题，而完整的问题清单有三个。主流协议栈答了前两个，把第三个留给了部署环境，第二个则压根没问。
一、签名回答了什么
A2A 官方规范写得很坦率：智能体名片「可以用 JSON Web Signature 签名，以确保真实性与完整性。签名让客户端能验证一张名片未被篡改、且来自声称的提供者」。两个收获：完整性——内容没被改过；归属——签名者确实是那个声称的签名者。这是密码学签名应得的敬意，我们一个字都不打折。
但请停在那个词上：「声称的」提供者。签名验证的从来不是「它是谁」，而是「它是它声称的那位」。声称与事实之间的距离，签名自己走不完。
二、沉默的三个问题
第一问：声称者凭什么可信？签名的钥匙从哪来？A2A 的默认答案是 TLS——「客户端应当通过向受信证书机构验证 TLS 证书来确认服务端身份」。而 W3C 那份九月报告已经指出了这一层的天花板：证书验证的是域名所有权，不是单个智能体的身份；同一域名上的多个智能体共享一张证书。钥匙的权威性被托付给了既有的 Web 信任体系——这不是错误，是继承。
第二问：信任有没有有效期？一张被验证过的名片，第二天还作数吗？TLS 证书会过期，OAuth 令牌会失效——但智能体「当下是否仍然可信」这个状态，在协议栈里没有承载物。信任被签成了永恒，而世界不是。
第三问：验证方能否独立完成验证？验证一张签名卡，需要连上证书机构、DNS、OAuth 服务器——整条信任链都要在线。断网、受审查、被隔离的网络里，验证还能完成吗？验证权掌握在基础设施手里，还是掌握在验证者自己手里？
三、三个问题，我们的答卷
Identity Quality Assurance（IQA）是第二根柱子，它就是为沉默的三问设计的。
对第一问，我们不开新银行，也不冒领身份：地址派生（Resonant Time Transfer Protocol 的 WHERE）与身份是两回事——自洽的新密钥对骗不了任何人。iqa:// 做的事是把「谁在为这条陈述担保」写进信封本身：担保主体、担保 organ、担保范围，全部是信封里可独立核验的字段，而不是信封外的口信。验证者无需信任任何登记方，只需要一枚钥匙。
对第二问，信任有租约：每份信封自带 120 秒新鲜度窗（standing），ghost / probation / radiant / genesis 四态闭集。验证不通过即过期为 ghost——信任不是被签成永恒的，是每 120 秒重新挣得的。
对第三问，离线三测：断网可验、生存场景可验、任何第三方都能用自己的解释复现结果。零网络、零第三方、fail-closed——畸形输入安静地停止验证，REJECT 是结论，不是异常。三十秒亲手验证一条证据，见上一篇工具文。
四、这不是刁难，是接力
必须说清：A2A 的签名用的是「可以」（MAY），不是「必须」——门是留着的；W3C 报告把验证列进了需求清单，也承认现有协议栈不承载对内容的信任。三个沉默的问题不是我们对谁的指控，而是整个行业共同的下一张考卷。签名是必要条件，不是充分条件——正如信封上的火漆证明了信没被拆，但不证明写信的人还活着、还住在原址、还愿意为信里的每一句话负责。
rttp 与 iqa 已在 IANA 临时注册（2026-09-22 / 2026-10-13）。考卷在这里：prov/iqa，规范是 draft-li-rttp-iqa-addressing-00。欢迎逐字审。
引证 [1] A2A 官方规范（a2aproject/A2A · docs/specification.md）§8.4 签名条款与 TLS 验证条款，引文逐字取自存档 [2] W3C AI Agent Protocol 社区组《智能体网络协议技术报告》2026-09-24（TLS 域名≠实体、OAuth O(N²) 诸句） [3] AP2（Google，2025-09 公告）：授权契约（Mandate）机制为多方一致公开转述，本文未引官方规范原文，特此标注 [4] IANA URI Schemes 注册表，2026-10-17 实测。
一句话：签名证明信没被拆过——我们补的，是让验证者不欠任何人情就能断定，写信的人此刻仍然为自己写下的每一个字站着。