Marico's space
最近把市面上的 Agent 间通信协议撸了一遍，踩了不少坑，最后用一套十维评分表把八个主流协议全部过了一遍。这篇把核心发现说清楚——尤其是第三维度的那个空白格，真的让人意外。
现有的协议对比全是叙事文风：协议A强调发现机制，协议B有更丰富的任务模型，都很有前途，还需更多工作。确实有几篇综述写得不错，但没有一篇让你能直接核验对比结果。
所以我干脆做了一套评分表。十个维度，每个维度分成几个等级，每个等级锚定的是规范文档里能找到的具体属性，而不是对质量的评判。然后我读完了十三份规范文档，给其中八份打了全部分数。八十个格子，每个都记录了规范里对应的那句话。
锚定等级的意义在于：分数不再是个人意见。你觉得 A2A 在授权维度应该拿到比1级更高的分数，那不是在否定我的品味，而是声称某个具体条款存在——咱俩可以一起去翻文档。
第三维度问的是授权如何传播。Agent A 请 Agent B 代表主体 P 做某事。B 能证明 P 授权了这件事吗？
等级从0到3。一级是 OAuth 作用域或 Token 转发：A 把自己的 Token 交给 B。二级是有签名的能力声明，明确包含作用域、受众和时间边界，绑定两个具名方。三级是链式结构，每一跳的授权都可以被没有亲眼见证授权过程的 Agent 独立验证。
三级是空的。不是稀疏，是彻底空白。
八个协议参与了评分。授权维度的最高等级没有任何选手。
四个协议在一级，四个在二级。没有一个协议规定了第三方可验证的委托链。每家都把机制留给了"周边身份架构"，这在规范层面就是"别人的问题"的体面说法。
商业支付协议倒是能达到三级——这个细节值得仔细说。它们的意图、授权和回执信封之所以能达到这个级别，是因为支付授权除了这样做根本没别的办法。所以这个领域确实有可用的例子，只是它只负责搬运钱。
我去找了反例，因为一个普遍性结论值得认真尝试推翻。最佳候选是 ACNBP。它在十二个威胁类别中覆盖了十个，而 A2A 和 MCP 各只覆盖了一个。它有 Capability Binding 仪式，这是我在所有文档里读到的最严格单跳原语。即便如此，它仍然只绑定两个参与方。主要作者确认这是设计意图——这种回答反而让结论更有力。
单跳的严谨不等于可传播的授权。这是两个不同的属性，评分表必须把它们分开，才能看清没有任何协议具备第二个属性。
因为部署不会等规范。它们今天就需要委托能工作，所以只能转发 Token，安全研究领域已经量化了这样做的代价。
AgentLeak 基准测试是让我重新审视这个问题的数字。Agent 间消息泄露个人可识别内容的比例是 68.8%。输出通道——那个每个人都会审计的通道——泄露率是 27.2%。只审计输出的做法会漏掉大约 41.7% 的违规。
所以这个缺口是规范层面的疏漏，却在部署层面产生了可量化的代价。这比"授权还需要更多工作"更可操作。这是下个标准化周期议程里应该排在首位的条目。
我原本以为评分强度会和采用率至少松散相关。结果是反着走的。
得分最高的两协议——ACNBP 24分和 LOKA 23分——部署量最小。A2A 14分和 MCP 10分这样部署量最大的，反而分数平平。A2A 和 MCP 各只在十二个威胁类别中规范性地覆盖了一个。
预测采用率的是制度地位：基金会背书、厂商支持、生态系统加持。规范层面的技术严谨性几乎什么都预测不了。
我把这个作为发现来报告，不是抱怨，因为它对从业者有实际影响。最高影响力的技术贡献是能被处于合适位置的机构采纳的那个。这是在说应该参与 AAIF 和 W3C 的工作轨道，而不是在旁边单干。我自己的做法也是这样。
这个领域里讨论最多的竞争其实不是竞争。MCP 是工具绑定协议，A2A 是对等消息协议，它们在分类学上处于不同层级。在生产环境里它们是组合关系，不是替代关系。
评分表最明确推荐的堆叠没有在任何地方部署过：ANP 的身份层在 A2A 的任务层之下。ANP 在 DID 和可验证凭证上领跑身份维度，A2A 在任务维度领先。没有一个被测协议把已部署的任务模型和去中心化身份模型结合在一起。
推荐特别针对身份层。ANP 的 DID 机制不依赖其技术栈的其他部分。但它的描述和发现协议是另一回事——它们与 A2A 的 AgentCard 功能重叠，与其说是堆叠在下面，不如说是竞争关系。
这个区别只有在各维度分开打分之后才显现出来。给每个协议一个笼统的总体评价会把这些细节藏起来。
每个分数都是单一评分者的解读。我们没有跨评分者一致性统计数据，在摘要里说清楚了，而不是把这点藏到局限性段落里。
我们提供的是可审计性。分数存在 YAML 文件里，每个格子都有证据字符串和引用。所有表格和图表都是从那个文件生成的，所以表格不可能和背后的数据脱节。你可以不同意某个格子，然后精确指出你不同意的点。
十三份协议中有五份只做了调研但没有打分。它们是商业结算类，其中六个维度根本没有参照物。结算信封没有任务模型，也没有多模态内容处理。给其中一份打分的理由会移动我们自己的平均分，而这只是范围问题而非实质问题。UCP 是个有意思的案例：它可以给出一个站得住脚的分数，但我们还是没打。
规范文档的更新速度也快过审查周期。所以调研在第一页声明了 2026-Q1 截止日期，所有结论都精确标注了版本号和 commit ID。这种精确不是迂腐。我读过的一份协议发了两个 release tag，声称同一个版本号，却相差数千行。
我针对缺口提出了三个扩展提案：一个工作区命名方案、一个上下文选择信封、一个出口认证信封。预期是三个独立提案。
结果它们是一条环路的三个支撑腿。没有规范工作区名称的护栏信封不得不自己发明一套重复的命名标准。没有边界概念的选择信封没有可关联的策略依据。缺少前两者的命名方案有范围但没有执行手段。
这正是调研最清晰论据：为什么评分维度不能独立处理。身份、授权、安全在跨越组织边界的任何部署里就是戴着三顶帽子的同一个问题。
三个都是下个修订周期的规范草图，不是经过验证的标准——我们宁可这么标注，也不想过度承诺。