Làm thế nào để kiểm toán xem agent nào đã hành động dưới danh tính của tôi trong một chuỗi ủy quyền?

Khi một AI agent điều phối ủy thác một nhiệm vụ con cho một sub-agent, và sub-agent đó lại gọi một API bên thứ ba dưới OAuth token của người dùng ban đầu, chuỗi danh tính trải dài qua nhiều nhà cung cấp và phương thức xác thực mà không có một dấu vết kiểm toán nào ghi lại đầy đủ toàn bộ lộ trình. MCP đã bổ sung hỗ trợ OAuth 2.1 nhưng đặc tả không có cơ chế để kết nối quyền ủy quyền được chuyển giao qua nhiều bước hay để thu hồi quyền của một agent ở giữa chuỗi mà không thu hồi toàn bộ phiên. A2A cung cấp khả năng khám phá agent và ký yêu cầu nhưng rõ ràng chuyển giao tất cả các quyết định ủy quyền cho các giao thức khác vốn chưa tồn tại. Nghiên cứu công bố vào tháng 4 năm 2026 xác định trách nhiệm giải trình ủy quyền đệ quy là một trong năm lỗ hổng quan trọng chưa được giải quyết trong các tiêu chuẩn danh tính agent hiện tại. Người dùng ủy quyền cho một agent ngày hôm nay không có cách thực tế nào để kiểm tra, giới hạn, hoặc thu hồi những gì các agent ở phía sau đã thực hiện thay mặt họ.