Marico's space
最近把主流的 Agent 间通信协议摸了一遍，顺手做了个评分表，踩了几个之前没预料到的坑。这篇把结论说清楚，不废话。
现在主流的协议横向对比全是叙事性的——A 协议强调发现机制，B 协议任务模型更丰富，都有前景，还需要更多工作。确实有几篇综述写得不错，但没有一篇能让读者自己去验证结论。
所以我们干脆做了张评分表。十个维度，ordinal 分级，每个级别的定义锚定在协议规范里能查到的属性，而不是主观的质量判断。然后读了十三份规范，对其中八份逐一打分。八十个格子，每个都记录了支撑这个分数的原文。
锚定定义的好处是分数不再是观点。如果你觉得 A2A 的授权维度应该拿到比 1 级更高的分，你不是在质疑我们的品味，而是在声称某条具体条款存在，我们可以一起去看。
维度三问的是授权如何传递。Agent A 请 Agent B 代表委托方 P 做事。B 能证明 P 授权过这件事吗？
分四级。1 级是 OAuth scopes 或令牌转发：A 把自己的令牌交给 B。2 级是带明确范围、受众、时间边界的签名能力声明，绑定两个具名参与方。3 级是一条链，每个跳点的授权都可以由未见证授权过程的 Agent 独立验证。
3 级是空的。不是稀疏，是空。
八份协议参评。授权维度的最高等级无人占据。
四份停在 1 级，四份到了 2 级。没有一份规定了第三方可验证的委托链。全部把机制留给了"周边身份架构"，这是规范层面对"别人的问题"的官方说辞。
商务协议确实达到了 3 级——这也是值得仔细说的细节。它们的意图、授权和收据信封在架构层面天然具备这个属性，因为支付授权从来不可能用别的方式实现。所以这个领域其实有对等消息层缺少的那个东西的活例子。只是它待在只跑钱的那个层。
我们找过反例，因为通用结论值得诚实地尝试推翻它。最有力的候选是 ACNBP。它在集合里威胁覆盖最广，十二类中的十类有覆盖，对比 A2A 和 MCP 各只有一类。它有个 Capability Binding 仪式，是我们读到过的单跳最严谨的原语。但它仍然只绑定两个参与方。主要作者确认这是设计预期——这种回答反而让结论更有力。
单跳的严谨不等于可传递的授权。这是两个不同的属性，评分表必须把它们拆开才能看出没有协议具备后者。
因为部署不会等规范。它们今天就需要委托链能工作，所以转发令牌，而安全文献已经测量过这个做法的代价。
AgentLeak 基准测试是重新定义这个问题的那组数字。Agent 间消息在 68.8% 的情况下泄漏个人可识别内容。输出通道，也就是人人都在审计的那个，泄漏率 27.2%。仅审计输出的做法会漏掉大约 41.7% 的违规。
所以这个缺口是规范层的疏漏，但代价在部署层已经测量出来了。这比"授权需要更多工作"更可操作。这应该是下一个标准化周期议程的第一条。
原本以为评分强度至少会粗略地跟踪生态采纳度。没有。它走向相反。
得分最高的两份协议，ACNBP 的 24 分和 LOKA 的 23 分，是我们能找到的部署范围最小的两份。部署范围最大的两份，A2A 的 14 分和 MCP 的 10 分，评分平平。A2A 和 MCP 各只在十二类威胁中规范性地覆盖了一类。
真正预测采纳度的是机构位置。基金会托管、厂商背书、生态支持。规范层的技术严谨性几乎预测不了什么。
把这个作为结论而不是抱怨来报告，是因为它对做这件事的人有实际影响。对机构有能力采纳的那个技术贡献，影响力最大。所以应该在 AAIF 和 W3C 轨道内工作，而不是在旁边工作。我们采纳了自己的建议。
这个领域吵得最凶的对立其实不是对立。MCP 是工具绑定协议，A2A 是对等消息协议，它们在分类体系里占不同层级。在生产环境里它们是组合关系，不是替代关系。
评分表最明确推荐的那套技术栈现在没有人部署：ANP 的身份层垫在 A2A 的任务层下面。ANP 在 DID 和可验证凭证维度得分最高。A2A 在任务维度得分最高。没有一份参评协议把已部署的任务模型和去中心化身份模型组合起来。
推荐的具体是身份层。ANP 的 DID 机制不依赖它技术栈的其他部分。描述和发现协议是另一回事：它们与 A2A 的 AgentCard 重叠，竞争关系而非堆叠关系。
这个区别只有在各维度分别打分之后才看得见。给每份协议打一个总体分会把它们藏起来。
每个分数都是一个评分者对规范的理解。我们没有报告评分者间一致性数据，在摘要里说清楚了，而不是埋在局限段落里。
我们提供的是可审计性。分数存在一个 YAML 文件里，每个格子都有证据字符串和引用。每个表格和图表都是从那个文件生成的，所以表格不会跟背后的数据走散。你可以不同意某个格子，并指出你不同意的具体内容。
十三份协议中有五份只做了调研，没有打分。是商务结算类的，其中六个维度没有对应项。结算信封没有任务模型，也没有多模态内容处理。给其中一份打分而其他保持未打分，会因为范围原因而不是实质原因移动我们自己的平均分。UCP 是个有意思的例外：它能给出站得住脚的分数，但我们仍然没有打分。
规范演进也比评审周期快。调研在第 1 页声明了 2026-Q1 截止日期，所有结论都绑定了具体版本和 commit。这不是迂腐，是必要的精确。我们读过的一份规范发了两个 release tag，声称同一版本号，实际相差数千行。
针对缺口我们提出了三个扩展方案：工作区命名方案、上下文选择信封、出口认证信封。本来以为是三个独立提案。
结果发现它们是同一个环的三条腿。没有规范工作区名称的护栏信封，必须自己发明一套重复的命名标准。没有边界概念的选择信封，没有东西可以作为策略的键。没有前两者的命名方案，有范围但没有执行。
这也是调研最清晰地对评分维度独立性提出的论据。在跨组织边界的部署里，身份、授权、安全是一个问题套了三顶帽子。
三个都是下一轮修订周期的规范草图，不是经过验证的标准。我们宁可标清楚，也不想过度承诺。