AI Agent 正在从「聊天框里的助手」变成「会自己动手干活的执行体」。一旦它能调用外部 API、读写文件、发起支付，问题就来了：这个动作是谁授权的？它被允许做到哪一步？出事之后能不能查清楚它到底干了什么？

GitHub 上的开源项目 Kepil 想解决的正是这一层问题。它给 AI Agent 设计了三样东西：护照（passport）、授权令（mandate）和防篡改日志（tamper-evident journal）。名字听起来像外交辞令，但对应的工程问题非常具体。

护照：先证明「你是谁」

Agent 和人类用户不一样，它没有天然的身份锚点。同一个模型可以被复制成几十个实例，跑在不同的机器上，调用不同的工具。Kepil 的「护照」就是给每个 Agent 实例一个可验证的身份标识。

有了身份，后面的授权才有意义。否则你无法回答「这条权限是给哪个 Agent 的」——是给那个只读数据库的，还是给那个能转账的？两者如果共用一个 API Key，权限体系就形同虚设。

授权令：把「能干什么」写成可检查的契约

护照解决身份，授权令解决边界。Kepil 的思路是让 Agent 的每一次行动都携带一份明确的授权声明：这次任务允许访问哪些资源、允许执行哪些操作、有效期到什么时候。

这比传统的角色权限更细。传统 RBAC 往往按「用户角色」划分，但 Agent 的权限是随任务流动的——同一个 Agent 在处理日报时只需要读权限，在处理退款时才需要写权限。把权限绑定到任务而不是绑定到实体，能显著缩小暴露面。