人类社会一直在努力回答一个问题：谁值得信任？

我们通过长期关系判断一个人，通过信用记录判断一家企业，通过资历判断一名专家，通过认证判断一个账户，通过权限判断一个系统中的主体。这种思维方式非常自然，因为在绝大多数时间里，信任都不是针对某一个瞬间建立的，而是针对一个持续存在的主体建立的。我们相信一个医生，不只是相信他今天开的这一张处方；我们相信一个员工，也不仅仅意味着相信他刚刚点击的那一个按钮；我们相信一家银行，更不是每完成一笔转账，都重新判断一次这家银行是否值得相信。

信任一旦形成，就会产生持续性。它像一种社会压缩算法：我们没有精力重新审查每一个动作，于是通过判断“谁在做”，来推断“这件事是否可靠”。

这套机制支撑了人类社会几千年。但自主系统开始让它出现裂缝。

一

今天绝大多数数字系统，本质上仍然继承着人类社会的这种信任结构。登录系统首先确认你是谁，权限系统继续确认你能做什么。认证、授权、访问控制、身份管理，背后都有一个共同逻辑：只要确认了一个主体的身份，并赋予了合适的权限，那么在权限范围内发生的行为，大体可以被接受。

这是一种非常重要的工程抽象。否则，每一次数据库查询、每一次 API 调用、每一次文件修改都要重新进行完整判断，系统几乎无法运行。所以我们发明了账户、角色、权限、Token、Session 和 Credential——它们本质上都在做同一件事情：把复杂的、持续发生的行为判断，压缩成对一个主体的判断。主体可信，凭据有效，权限存在，行动便获得了一种默认的合法性。

在过去，这通常是合理的。因为真正做决定的仍然是人，软件只是工具。人类拥有相对稳定的目的，也能够理解环境，并在行动之前承担最后一次判断。但 Agent 的出现改变了其中最重要的那个前提：软件开始自己决定下一步做什么。

二

自主系统最大的变化，并不只是软件变聪明了，而是行动开始从人类的直接判断中脱离出来。

过去，一个财务人员转账，需要自己打开页面、输入信息、核对账户、确认金额、点击按钮。今天，一个 Agent 可以读取邮件、调用接口、分析上下文、生成付款指令，并在数秒内连续完成几十个步骤。表面上看，这只是自动化程度提高了；但从信任结构上看，变化要深得多。过去，主体与行动之间的距离很短；而今天，主体与行动之间出现了一个能够自行推理、规划和执行的中间层。

你信任的可能仍然是那个员工，你赋予权限的也仍然是那个员工的账户，但真正决定“下一步做什么”的，可能已经不是这个人。于是一个过去看起来非常自然的推理开始失效：

这个主体可信，所以它发出的行为也可信。

Agent 可以拥有正确的身份，使用合法的凭据，调用被允许的工具，运行在正常的系统内部，最后却完成一件完全不应该发生的事情。这不是传统意义上的“陌生人闯进系统”。更棘手的情况恰恰相反：

一切身份都可能是真的。
三

这迫使我们重新思考一个很少被明确提出的问题：信任究竟应该附着在哪里？

我们过去习惯认为，信任是一种属于主体的属性——某个人值得信任，某家公司值得信任，某个账户、某台设备、某个软件值得信任。这种表达如此常见，以至于我们很少意识到其中隐藏着一个假设：一旦主体被认为可信，它的可信度就可以向未来的行为传播。

但严格来说，一个主体真正能够被验证的，只是过去。我们知道一个员工过去十年没有发生违规行为，知道某个模型过去一万次任务表现正常，知道某套系统此前运行稳定。这些信息能够提高我们对未来的预期，却永远无法自动证明下一次行动一定正确。

在人与人之间，我们不得不接受这种不确定性，因为社会无法为每一次行为建立独立证明，于是只能依赖声誉、关系、制度、信用和责任。但软件世界不同，它本来就是一个可以精确描述条件的世界。因此，一个值得讨论的新问题出现了：也许自主系统真正需要的，不是越来越精确地判断“这个主体是否可信”，而是越来越精确地判断“这一次行动是否可信”。只相差几个字，背后却是完全不同的系统哲学。

四

这种差别首先体现在时间尺度上。主体信任具有天然的连续性，行动信任却应该是离散的。

一个人拥有管理员身份，可以持续数年，但一次删除数据库的行为，只存在几秒钟。一家企业拥有付款权限，可以持续运营几十年，但某一笔向陌生账户汇出一千万美元的付款，只发生一次。一个 Agent 可以长期拥有调用财务系统的资格，但在某一个具体时刻，它准备调用哪个接口、修改哪个参数、把钱转到哪里，是一个完全独立的问题。

因此，未来的信任可能需要拥有三个新的特征。

更小

它不再笼统覆盖一个主体，而只覆盖一个动作。不是“这个 Agent 可以使用付款系统”，而是“这个 Agent 此刻可以执行这一笔付款”。

更短

信任不再天然延续。当前状态成立，不代表十分钟之后仍然成立；今天有效的授权，也不必然意味着明天有效。信任开始拥有明显的时间边界。

更具体

信任不能只描述能不能做，而需要描述：对谁做，做什么，在什么状态下做，参数是什么，证据是什么，边界在哪里。这是一种从抽象信任向具体信任的迁移。

五

这件事情其实与现代社会更广泛的变化有关。

工业时代喜欢大型、稳定、长期存在的结构：长期雇佣，长期合同，固定岗位，永久权限，稳定组织。而数字时代正在逐渐把很多连续关系拆成更细颗粒度的事件——计算从服务器变成请求，软件从安装包变成 API，金融从账户变成交易，工作从岗位变成任务，基础设施从固定机器变成按需资源。

Agent 也许正在把信任带入同样的过程。过去，信任属于身份；未来，信任可能属于一次被证明的事件。某种意义上，这是信任本身的“事件化”。

六

这种变化还有一个更深的后果。当信任从主体转向行动以后，“谁拥有权限”就不再是系统最重要的问题，因为权限只能说明理论上谁能够做什么，它并不能回答此刻这件事情应不应该发生。

两者之间存在一个长期被自动化系统掩盖的距离。一个人拥有删除文件的权限，不意味着每一次删除都合理；一个模型拥有调用 API 的能力，不意味着每一次调用都正确；一家机构拥有转账能力，不意味着每一笔转账都应该被执行。

权限讨论的是可能性，行动判断讨论的是正当性。

过去，正当性的最后判断往往被交给人，所以系统只需要管理权限。但当机器开始拥有越来越大的自主行动能力时，这个逻辑就不再完整。于是软件安全可能会逐渐从“谁能够做什么”，继续向下走到“这一次具体行动，在当前条件下，是否应该被允许发生”。这不是权限管理的加强版，而是判断对象发生了变化。

七

沿着这个方向，“Zero Trust”这个已经非常流行的概念，也可以继续往下推一步。

Zero Trust 经常被理解为：永远不要默认相信主体，要持续验证身份、设备、环境和访问请求。但自主系统可能提出一个更激进的问题——即使主体已经被充分验证，我们为什么要默认相信它接下来准备执行的行为？

一个 Agent 可以是真的，它的身份是真的，Token 是真的，调用链是真的，网络连接是真的，所有身份层面的证明都没有问题，但行动仍然可能是错的。

这意味着未来某些高风险系统可能需要一种更彻底的信任模型。不是“Never trust, always verify identity”，而是：

Never trust the action until the action itself is justified.

不是永远不相信某个人，而是永远不要因为相信一个主体，就自动相信它准备做的下一件事。

八

这其实也更接近现实世界中的责任逻辑。

法院不会因为一个人平时是好人，就自动认定某一次行为正确；审计不会因为一家公司的管理层值得信任，就跳过某一笔交易；航空系统不会因为飞行员经验丰富，就删除所有飞行限制；核电站更不会因为操作员经过认证，就允许任何操作立即执行。

越高风险的领域，越早意识到一件事：

身份信任永远不足以替代行动约束。

过去，这种原则只存在于少数高度敏感的行业。而 Agent 可能把它带进普通软件世界——因为普通软件第一次开始拥有接近“操作员”的自主行为能力。

九

真正有意思的是，这并不是一种对 AI 的不信任。恰恰相反，只有当我们准备让机器承担越来越重要的工作时，才会开始认真设计这种结构。

我们不会为一个只能回答问题的聊天机器人设计复杂的行动边界。只有当它真的能够付款、部署代码、修改数据库、控制设备、签署交易、操作业务流程时，“这一次行动是否值得信任”才会成为一个现实问题。

所以一个成熟的自主系统社会，未必会建立在“更相信 AI”或者“更不相信 AI”之上。它可能建立在一个更克制的原则上：尽量减少系统必须长期相信任何主体的程度。

这是一种非常不同的安全观。它不要求找到一个永远不会犯错的人，也不要求训练出一个永远不会犯错的模型，因为这两个目标可能都不现实。它真正追求的是：

即使主体可能犯错，也不让错误自动获得执行权。
十

人类社会过去几千年的信任体系，大量建立在一句话上：因为我相信你，所以我允许你做很多事情。自主系统可能迫使数字世界换成另一句话：我不需要永远相信你，我只需要判断这一次事情是否应该发生。

这看起来似乎更加冷漠，实际上可能更加理性。因为真正稳定的制度，从来不应该建立在某个人永远正确之上。好的制度之所以存在，恰恰是因为它提前承认：人会犯错，组织会犯错，软件会犯错，机器也会犯错。

当行动越来越快、越来越自主、越来越规模化之后，我们可能终于需要把这个古老的制度智慧重新写进软件：

信任不应该无限传播。它应该有范围，有时间，有对象，有条件，也有终点。

未来最重要的安全能力之一，也许不是更准确地回答“谁值得信任”，而是能够在每一个关键时刻回答：这件事，现在，是否值得发生？

当这个问题成为系统设计的中心时，信任就不再是一张长期通行证。它会变成一种短暂、具体、需要不断重新成立的东西——而这可能正是自主时代真正需要的信任形式。