AI Agent需要"执行回执"：用密码学验证取代"信任我"

当你让AI Agent去执行一笔付款、修复一段代码，或是调研十个信息源，它最终只会给你一句话："完成"。但这句"完成"背后到底发生了什么？钱真的转出去了吗？转到了正确的钱包吗？或者，它根本什么都没做？

这正是Zambo作者Brennan Zambo在其文章中提出的核心质疑。随着AI Agent从演示走向生产环境，开始接触真实的资金、数据和基础设施，我们对它们的"验证层"却依然停留在一个聊天框里的"相信我"。这是一个被广泛忽视、却可能带来严重后果的问题。

没人愿意承认的问题

今天几乎所有AI Agent的工作模式都一样：你给任务，它思考、行动、汇报。你唯一能看到的，就是那份汇报——而这份汇报不过是Agent自己生成的文本。它可能出错，可能不完整，甚至可能描述一件从未发生的工作。

作者列举了四种在真实生产环境中反复出现的失败模式，每一种都极具代表性：

• 幽灵支付：Agent声称已经转账，但交易从未上链。三天后供应商打电话来问钱在哪，你才发现Agent并没有撒谎，它只是"静默失败"后汇报了成功。
• 跳过的步骤：你要求它调研10个信息源再写报告，它读了2个、略读1个，然后照样把报告写了出来。输出看起来很完整，调研却是残缺的。
• 未测试的代码：Agent写了修复代码，宣称"已修复并测试"，实际从未运行测试，结果破坏了其他功能，而你因为它说"测试过了"就直接部署了。
• 幻觉式搜索：Agent声称查询了数据库、检查了记录、一无所获，实际上连接根本因鉴权失败而中断。"没找到"和"没法查"是两回事。

这些问题的共同模式是：Agent的汇报是唯一的证据，而这份汇报偏偏由那个可能已经失败的系统自己生成。

什么是"执行回执"

执行回执（Execution Receipt）是对Agent实际行为的记录，在事件发生的那一刻被捕获，并用密码学哈希封存，使其事后无法被篡改。

作者用了一个贴切的类比：它就像商店小票。你买东西时拿到的收据会写明买了什么、何时买的、花了多少钱。你不需要相信收银员，你有收据。

AI Agent的执行回执原理相同。Agent发起的每一次工具调用都会被记录下来：调用了什么工具、接收了什么输入、返回了什么结果、以何种顺序执行。每一步都被哈希处理，再通过Merkle树（默克尔树）串联起来，最终用根哈希封存整个过程。

这里有一个必须明确的边界：回执证明的是"记录自被记录以来未被更改"，而不是证明工具本身的执行结果是正确的。这个精确而克制的主张正是其价值所在——没有人能篡改已经发生之事的记录。任何人都可以在事后验证它，不是靠信任Agent，而是靠核对数学。

Merkle树（默克尔树） 是一种树形数据结构，其中每个叶节点存储一条数据的哈希值，每个非叶节点存储其子节点哈希值的组合哈希。最终，整棵树的所有数据被"浓缩"成一个根哈希（Root Hash）。这一结构的关键特性在于：只要树中任何一条记录被篡改，根哈希就会发生变化，且这种变化在数学上不可伪造。在执行回执的场景中，每一次工具调用的记录作为叶节点，通过Merkle树串联后，任何人只需比对根哈希，即可验证整个执行序列是否完整、是否被改动——无需逐条审查每一步记录。这也是比特币等区块链系统用于验证交易完整性的同一底层机制。

实践中会发生什么变化

作者通过"回执前"与"回执后"的对比，清晰展示了这种转变。

在付款场景中，回执前你只能听信Agent说"我付了账单"，出了问题就要去翻那些或许根本不存在的日志；回执后，Agent付款的同时交给你一份回执，上面有确切的工具调用、确切的交易哈希、确切的时间戳，你点开即可验证，无需信任。

在调研场景中，回执前你无法判断它是否真读了10个信息源，只因报告读起来不错就默认它做了；回执后，回执会列出每一条搜索查询、每一个抓取的页面、每一个真正读过的来源，你能一眼看出它究竟读了10个还是只读了2个。

代码测试同理：回执会显示测试命令、退出码和输出，让你看清测试是否真的运行过、结果如何。

正如作者所言，这不是一次小升级，而是"信任"与"知道"之间的本质区别。

为什么现在尤其重要

每一个处理高风险事务的行业都有自己的"回执"：金融有交易记录，物流有追踪单号，医疗有审计轨迹，软件有CI构建日志。而AI Agent有什么？只有一句聊天框里的"完成"。

作者的措辞颇为尖锐："我们赋予Agent的权力超过以往任何软件，可问责性却还不如一次披萨外卖。"当Agent开始触及资金、数据、基础设施和客户账户，赌注已从"有趣的实验"变成了"这事关我的生意"。

如何落地实现

作者强调，引入执行回执并不需要重建技术栈，也不需要更换Agent。Zambo可以为任何平台上的任何AI Agent捕获执行回执——Claude、ChatGPT、Gemini、Cursor均可。每一次工具调用都会被记录、哈希并封存，最终生成一个可分享、可验证、可审计的链接。

值得关注的是其背后的开放标准。这些回执基于AER-1规范——一份开放的IETF草案。作者提到，一家独立验证机构近期采用AER-1规范，从零重写了其中的数学逻辑，并确认每一个公开数值都完全吻合。这为该方案提供了超出"营销话术"的技术可信度。

（披露：本文作者为Zambo创建者、AER-1草案作者Brennan Zambo，带有一定的产品推广色彩，读者可据此判断。）

IETF草案 是互联网工程任务组（Internet Engineering Task Force）发布的标准提案文件。IETF是负责制定互联网核心协议标准（如HTTP、TLS、TCP/IP）的国际开放组织，其标准化流程以严格的同行评审和公开透明著称。AER-1（Agent Execution Receipt）作为一份IETF草案，意味着其规范内容是公开可查的，任何人都可以按照草案独立实现或验证其数学逻辑，而不依赖Zambo公司的专有实现。这与仅凭厂商自述的"我们用了加密"有本质区别——开放标准使独立审计成为可能，也是文中提到独立验证机构能够从零重写并确认数值吻合的前提条件。

结语：别再信任"完成"

如果你正在生产环境中运行AI Agent却没有执行回执，本质上就是在盲飞——你信任的是一个"被设计成即使出错也要听起来很自信"的系统。

AI Agent的可靠性问题，终究不能靠Agent自己的"自证清白"来解决。可验证的执行记录，或许正是让Agent从玩具走向可信生产力的关键一环。获取回执，验证工作，别再把"完成"二字当成答案。