可验证代理身份

Google 官方博客强调了可验证的代理身份和运行时逐调用策略执行的必要性。

可验证代理身份（Verifiable Agent Identity）指的是代理在与下游服务交互时，能够以密码学可验证的方式证明自身身份及其被授予的权限范围，而非仅依赖静态凭证（如服务账户密钥）。

可验证身份通常绑定短时令牌、工作负载证明（如 SPIFFE/SPIRE 的 SVID）或硬件根信任，使每次调用都能被追溯和约束。