Marico's space
最近花了不少时间研究 Agent 之间的通信协议，市面上能找到的对比评测全是叙事型的——"A 协议强调发现机制，B 协议任务模型更丰富，都有前景，仍需努力"这种。看完了跟没看一样，没法判断哪个更适合你的场景。
所以我自己建了一套评估框架。十个维度，四个等级，每个等级锚定在协议规范里能找到的具体条款，而不是主观判断。然后我读完了十三份协议规范，给其中八份打全部分数，八十个评分格子，每个格子都记录了规范里对应的原句。
锚定到具体条款的好处是：分数不再是观点。如果你觉得 A2A 协议在授权这个维度上应该得更高分，你不是在反驳我的品味，而是在说某一条款存在，我们都可以去查证。
维度三问的是授权如何传播。Agent A 请 Agent B 代表用户 P 做事，B 能证明 P 授权过这件事吗？
等级从 0 到 3。等级 1 是 OAuth 作用域或 Token 转发：A 把自己的令牌交给 B。等级 2 是带签名的能力声明，有明确的作用域、受众、时间边界，绑定两个具名参与方。等级 3 是链路，每个跳转的授权可以被未见证授权过程的 Agent 独立验证。
等级 3 是空的。不是稀疏，是完全没有。
八个协议参与评分。授权轴的最高等级没有参与者。
四个协议停在等级 1，四个在等级 2。没有一个协议规定了第三方可验证的委托链路。每个协议都把机制问题推给"外部身份架构"，这是规范层在说"这是别人的问题"。
商业支付协议确实达到了等级 3，这是值得仔细说明的细节。它们通过信封结构实现了这个目标，因为支付授权根本不可能用别的方式。所以这个领域确实有可工作的案例，只是它只负责流转资金。
我们特意去找反例，因为一个普遍结论值得认真尝试打破它。最有力的候选是 ACNBP。它覆盖的威胁类型最多，十二类中的十类，而 A2A 和 MCP 各只覆盖一类。它有 Capability Binding 仪式，这是我们读过的所有协议里最严谨的单跳原语。但它仍然只绑定两个参与方。作者之一确认这是设计意图，这种回答反而让结论更有力。
单跳的严谨性不等于可传播的授权。这是两个不同的属性，评估框架必须把它们分开，才能看清没有任何协议拥有第二个属性。
因为部署不会等规范。生产环境今天就需要委托机制能用，所以只能用 Token 转发，而安全研究领域已经量化了这样做的代价。
AgentLeak 基准测试是重新定义这个问题的数字。Agent 间消息泄露个人可识别内容的比例是 68.8%。输出通道——也就是人人都在审计的那个——泄露比例是 27.2%。仅审计输出的做法会漏掉大约 41.7% 的违规。
所以现状是：规范层面有缺失，生产层面有代价。这比"授权需要更多工作"这种泛泛而谈有用得多。这是下一个标准化周期最应该排第一的事项。
我们原本假设技术评分至少会跟 adoption（采用度）弱相关。结果没有，而且走的是反方向。
评分最高的两个协议，ACNBP 24 分和 LOKA 23 分，可文档化的部署量最小。部署量最大的两个，A2A 14 分和 MCP 10 分，评分平平。A2A 和 MCP 各只规范性地覆盖了十二类威胁中的一类。
决定 adoption 的因素是机构位置：基金会背书、厂商支持、生态系统资源。规范层面的技术严谨性几乎预测不了 adoption。
这个发现我不打算抱怨，因为它有实际后果。对从业者来说，影响最大的技术贡献来自有条件推动落地的机构。这意味着跟 AAIF 和 W3C 轨道合作比在旁边围观更有效。我们也这么做了。
这个领域吵得最凶的"对决"根本不是对决。MCP（Model Context Protocol，模型上下文协议）是工具绑定协议，A2A 是点对点消息协议，在协议分类中处于不同层级。生产环境中它们是组合关系，不是替代关系。
评估框架最推荐的技术栈目前没有人在部署：ANP 的身份层在 A2A 的任务层下面。ANP 在去中心化身份（DID，可验证凭证）维度得分最高，A2A 在任务维度得分最高。没有一个被测协议把已部署的任务模型和去中心化身份模型结合在一起。
这里特别值得指出的是身份层。ANP 的 DID 机制不依赖它的其他组件。但它的描述和发现协议是另一回事：它们跟 A2A 的 AgentCard 功能重叠，构成竞争而非层级组合。
这种区分只有在各维度分别评分后才能看清。给每个协议打一个总分反而会把这些信息埋掉。
每个分数都是一个人读规范的结果。我们没有报告评分者间一致性统计，这个在摘要里就说了，而不是藏到局限段落里。
我们提供的是可审计性。分数存在 YAML 文件里，每个格子都有证据字符串和引用。所有表格和图表都从文件生成，所以表格不可能跟背后的数据对不上。你可以不同意某个格子，并指出具体哪个点你不同意。
十三份协议里有五份只做了调研，没有评分。商业结算类协议有六个维度没有对应内容。结算信封没有任务模型，没有多模态内容处理。给其中一份评分而其他不评，会因为范围差异而非实质差异移动我们自己的平均分。UCP 是例外：它可以得到一个站得住脚的分数，我们仍然没有评。
规范本身也比评审周期变化更快。所以调研在第一页就声明了 2026 年第一季度截止时间，所有结论都锁定在具体版本和提交上。这种精确不是迂腐。一个协议发了两个 release tag，版本号一样，内容差了数千行。
针对这些缺口，我们提出了三个扩展方案：工作区命名方案、上下文选择信封、出口认证信封。原本以为这是三个独立提案。
结果发现它们是同一个环路的三个支腿。没有规范工作区名称的护栏信封不得不自己发明一套重复的命名标准。没有边界概念的选择信封没有东西来锚定策略。既没有护栏也没有选择的名字方案有作用域但没有执行机制。
这是调研最清晰的论据：为什么这些维度不能独立处理。身份、授权、安全在跨组织边界的部署中是一个问题顶着三顶帽子。
三个方案都是下一个修订周期的规范草图，不是经过验证的标准，我们会标明这一点，而不是过度吹嘘。