《Intelligent AI Delegation》解读：Agent 转交任务时，同时转交了权限与责任

DeepMind 这篇论文把「Agent 把任务交给另一个 Agent」从任务路由问题，提升为同时涉及能力匹配、权限转移、问责追溯、运行时监控与责任结算的社会技术控制问题，并构造了一个完整的委派生命周期闭环。它没有形式化模型、实现、实验或安全性证明。

覆盖范围：委托—代理问题、管理跨度、权威梯度、无差别服从区、任务属性模型、Contract-first 分解、多目标优化、自适应协调、信任与声誉、权限收缩、可验证完成、责任链，以及对 MCP、A2A、AP2、UCP 的评价。

阅读说明：本文由一次研究性对话整理而成，按论文章节分为二十节。论文为 2026 年 2 月的 arXiv 预印本，属于概念框架与研究议程型工作，应作为路线图和系统设计参考，不能视为已验证的安全委派方案。与本站既有分析（《Three Layers of Agent Security》解读、《Towards a Science of Scaling Agent Systems》解读、《AI Agent Traps》解读）互补：三层安全是同一机构对 Agent 安全的分层控制主张，本文覆盖它的前置问题——任务与权限如何在 Agent 之间转移；Scaling 那篇提供了多 Agent 组织成本的量化证据，可用来检验本文委派闭环的现实可行性；Agent Traps 则给出委派链被攻击时的具体失败形态。

核心结论

《Intelligent AI Delegation》是一篇概念框架与研究议程型论文，而不是算法、系统或实证评测论文。其核心贡献，是把“Agent 把任务交给另一个 Agent”从简单的任务路由问题，提升为一个同时涉及：

任务分解与能力匹配；
权限和自主权转移；
责任、问责与可追溯性；
运行时监控与动态重委派；
结果验证、信任更新与责任结算；

的完整社会技术控制问题。

论文最有价值的地方不是提出了某个全新的技术组件，而是构造了一个相对完整的Agent 委派生命周期闭环。其最大局限也很明确：论文没有形式化模型、实现、实验、基准或安全性证明，因此目前更适合作为研究路线图和系统设计参考，而不能被视为已经验证的安全委派方案。

一、论文真正研究的是什么

论文关注的问题不是一般意义上的多 Agent 协作，而是更具体的：

一个主体将任务、部分权限和相应责任交给另一个主体时，应如何安全、动态、可验证地完成这一过程。

作者将“智能委派”定义为一系列任务分配决策，同时包含：

权限的转移；
责任和问责关系；
角色与行为边界；
委派意图的清晰表达；
委派双方之间的信任建立；
必要时的任务分解和能力匹配。

这一区分非常重要。

传统多 Agent 系统通常把委派理解为：

Task → Select Agent → Execute

而论文提出的委派实际更接近：

Intent
→
Risk Characterisation
→
Decomposition
→
Contract
→
Authority Transfer
→
Monitoring
→
Adaptation
→
Verification
→
Accountability

因此，论文讨论的并不只是“哪个 Agent 最适合完成任务”，而是：

为什么可以把这个任务交给它、允许它做什么、如何知道它正在正确执行、失败后谁负责，以及能否及时停止或重新分配。

二、论文的总体框架

论文提出五个顶层要求，并进一步映射为九类技术机制。

顶层要求	核心问题	对应机制
动态评估	当前哪个 Agent 具备能力、资源和可靠性	任务分解、任务分配
自适应执行	环境或执行状态变化后如何调整	多目标优化、自适应协调
结构透明	如何知道任务是怎样完成或失败的	过程监控、结果验证
可扩展协调	大量异构 Agent 如何匹配和交易	信任、声誉、市场机制
系统韧性	如何防止局部错误演变为系统性失败	权限控制、安全机制

论文不是把这些机制作为独立模块罗列，而是试图形成一个反馈闭环：

评估
→
委派
→
监控
→
重新评估
→
调整或终止
→
验证
→
更新信任

这也是论文相比一般 Agent 编排框架更系统的地方。

三、最重要的理论基础

论文大量借用人类组织、经济学和管理学中的委派理论。其目的不是简单类比，而是说明 Agent 委派会重复出现人类组织中长期存在的问题。

1. 委托—代理问题

Delegator 相当于 principal，Delegatee 相当于 agent。

即使当前 Agent 没有明确的“个人利益”，仍可能因以下原因偏离委派者真实目标：

目标或奖励定义不完整；
对任务意图理解错误；
过度优化可测量指标；
隐瞒失败或不确定性；
被外部指令或恶意内容操纵；
代表不同用户或组织，存在目标冲突。

论文由此指出，Agent 能力强并不等于值得委派。真正需要评估的是：

Capability + Reliability + Alignment + Current State

2. 管理跨度 Span of Control

一个监督 Agent 或人类可以可靠监督多少个下级 Agent？

这不仅是性能问题，也是安全问题。当监督范围过大时：

中间状态无法充分检查；
异常容易被忽略；
人类容易产生审核疲劳；
中央编排器成为延迟瓶颈；
攻击和错误可能在发现前扩散。

论文提出了一个重要但尚未解决的问题：

Agent 系统中的安全监督容量是否存在类似人类组织中的最优管理跨度？

3. 权威梯度 Authority Gradient

上级 Agent 可能错误地高估下级能力；下级 Agent 也可能因迎合、服从偏差而不敢质疑上级指令。

因此，安全委派不能要求 Delegatee 绝对服从，而应允许其：

请求澄清；
拒绝能力范围外任务；
对不合理权限提出异议；
在高风险或模糊情况下触发升级。

4. 无差别服从区 Zone of Indifference

论文提出一个很有启发性的概念：Agent 可能对“没有明确违反安全政策”的指令默认执行，而不再审查其上下文意义。

在长委派链中：

A → B → C → D

每个 Agent 都可能认为自己只是在执行局部安全任务，最终却共同完成一个整体有害目标。

论文因此主张引入“动态认知摩擦”：

低风险、明确任务快速执行；
高不确定、高影响任务要求解释、确认或人工介入。

这比静态安全过滤更接近真实多 Agent 风险。

四、任务属性模型的价值

论文用多个维度描述委派任务：

复杂度；
关键性；
不确定性；
持续时间；
成本；
资源要求；
法律、伦理及操作约束；
可验证性；
可逆性；
上下文依赖；
主观性。

其中最关键的并不是复杂度，而是三个维度：

Criticality,
Verifiability,
Reversibility

它们决定了需要多强的控制。

任务特征	合理控制
低关键性、可逆、容易验证	自动执行、结果级检查
高关键性、可逆	过程监控、权限限制、自动回滚
高关键性、不可逆	事前审批、强验证、人工确认
低可验证性、高主观性	高信任对象、第三方复核、迭代反馈
高上下文敏感性	数据最小化、隔离、严格权限

这一框架的价值在于，它反对“一套控制适用于所有 Agent 任务”，主张控制强度应由任务风险决定。

五、论文最强的技术思想：Contract-first Decomposition

论文最有原创价值的设计思想之一，是“契约优先的任务分解”。

传统任务分解通常追求：

并行度；
速度；
专业能力匹配；
Token 或计算成本。

本文则提出：

如果一个子任务的结果无法被精确验证，就应继续分解，直到其输出可以被某种验证机制检查。

例如，不能简单委派：

“为这个系统编写安全代码。”

而应分解成：

实现特定接口；
满足明确输入输出规范；
通过指定单元测试；
不调用禁用 API；
提交依赖清单；
生成可验证构建产物。

其逻辑是：

Delegability
≈
Capability Match
×
Verifiability

而不是仅取决于 Agent 是否“看起来有能力”。

但这一原则存在明显边界：继续分解不一定能把低可验证任务变成高可验证任务。例如：

战略判断；
开放式研究；
法律意见；
道德决策；
创意质量；
综合风险判断。

这些任务的困难并不是粒度过大，而是成功标准本身具有主观性或依赖长期结果。因此，“递归分解直到可验证”更适合代码、计算、数据处理等可形式化任务，不能被普遍适用。

六、任务分配不是简单路由

在任务分配阶段，论文主张综合考虑：

Agent 的能力；
当前负载；
可用资源；
预计时间；
历史表现；
当前声誉；
任务成本；
隐私要求；
可提供的验证证据；
是否允许进一步转委派。

第11页的流程图体现了完整过程：

从总体目标开始；
分析任务关键性、复杂度和资源；
判断输出是否可验证；
必要时递归分解；
判断由人还是 AI 执行；
生成多种候选方案；
比较成功率、成本和持续时间；
保留备用方案；
形成最终任务规范；
通过集中式注册表或去中心化市场寻找 Delegatee；
检查技能和声誉；
协商监控、隐私、自主权及验证条件；
形成正式委派契约。

这一流程的意义在于：任务规范本身也是控制对象，而不是仅向 Agent 发送一段自然语言提示。

七、多目标优化：论文隐含的决策模型

论文认为委派选择并不存在单一最优指标。系统需要在以下目标间权衡：

正确率；
成本；
延迟；
隐私；
风险；
资源消耗；
可解释性；
验证成本；
人类技能保留。

可以将论文逻辑形式化为以下优化问题。这是对论文的独立提炼，而非论文直接给出的数学模型：

max_G,A,P,M,V

E[Q]
-λ_c C
-λ_l L
-λ_r R
-λ_p P_leak
-λ_o O

其中：

G：任务分解图；
A：Agent 分配方案；
P：权限方案；
M：监控方案；
V：验证方案；
Q：结果质量；
C：成本；
L：延迟；
R：安全及失败风险；
P_leak：隐私泄露风险；
O：委派、谈判和验证开销。

同时应满足约束：

Granted Permission
⊆
Required Permission

Pr(Success) ≥ τ

Irreversible Action
⇒
Strong Verification or Human Approval

这说明所谓“智能委派”本质上是一个带约束、动态更新的风险优化问题。

八、自适应协调：从静态工作流转为闭环控制

论文认为高不确定性或长周期任务不能采用固定执行图。

它区分两类触发因素。

外部触发：

任务目标或约束改变；
任务取消；
API、数据或计算资源不可用；
新任务优先级更高；
安全系统发现潜在恶意行为。

内部触发：

Agent 性能下降；
预算超支；
中间结果验证失败；
Agent 无响应；
进度低于服务目标。

第13页的流程图给出了一个完整响应周期：

Monitor
→
Detect
→
Diagnose
→
Evaluate Response
→
Execute

响应决策依次考虑：

任务是否可逆；
问题是否紧急；
调整范围是参数修改、局部重委派还是全面重新分解；
是否需要向上级 Agent 或人类升级；
采用集中式还是分布式协调。

其中“可逆性”是最关键的分叉：

可逆任务可以自动重试或重委派；
不可逆、高关键性任务应立即终止或升级人工。

主要不足是论文没有提供控制稳定性模型。动态重委派可能产生：

Agent 之间反复切换；
任务循环；
连锁取消；
资源竞争；
大量重复计算；
局部故障引发市场级拥塞。

论文提出冷却期、声誉更新阻尼和重委派费用，但这些仍是启发式建议，没有理论稳定性证明。

九、监控框架是论文中最成熟的部分之一

论文从五个维度分类监控方案。

维度	轻量方式	强监控方式
目标	最终结果监控	中间过程监控
可观察性	通过环境变化间接推断	API、事件流直接报告
透明度	黑盒输入输出	内部状态、计划或推理轨迹
隐私	直接披露	零知识证明、加密计算
拓扑	只监控直接下级	通过签名证明监控转委派链

论文尤其强调传递式监控。

例如：

A → B → C

A 不一定直接监控 C，而是要求：

B 监控 C；
B 生成 C 的执行摘要；
B 对摘要签名；
A 检查 B 是否正确履行了监督责任。

这相当于：

A 不直接相信 C，而是相信 B 具备可靠监督 C 的能力。

这是一个有价值的责任链设计，但也存在二阶问题：

谁验证 B 的监控能力？
B 是否可能与 C 串通？
B 的摘要是否隐藏了重要细节？
多层摘要后是否产生信息损失？
最上游是否只能看到被压缩和过滤后的证据？

因此，传递式监控解决了可扩展性问题，但引入了监控者可信性问题。

十、信任与声誉：重要区分及其脆弱性

论文区分：

声誉 Reputation：公开、可验证的历史表现；
信任 Trust：委派者针对当前任务形成的私有判断。

这是一个正确且重要的区分。高声誉 Agent 不一定适合所有任务。例如，一个高质量翻译 Agent 不应因此自动获得金融交易权限。

论文讨论了三类声誉机制：

不可篡改历史账本；
基于可验证凭证的 Web of Trust；
基于过程透明度和安全行为的声誉。

但声誉系统可能遭遇：

Sybil 身份攻击；
多个 Agent 相互刷分；
只接受简单任务来维持高成功率；
旧版本的良好记录掩盖当前能力退化；
跨领域迁移错误；
恶意委派者提交虚假差评；
多个 Agent 基于同一基础模型，产生相关性失败。

因此，声誉最多是风险信号，不能替代：

当前任务验证；
权限隔离；
运行时监控；
独立结果复核。

十一、权限控制是最具现实可实施性的部分

论文提出的权限原则较为扎实：

最小权限；
Just-in-Time 临时授权；
任务范围限定；
有效期限制；
高风险权限要求人工审批；
异常时自动撤销；
通过 policy-as-code 定义和审计；
转委派时必须进行权限衰减。

权限衰减可以表示为：

P_C ⊆ P_B ⊆ P_A

即 A 将部分权限交给 B，B 再委派给 C 时，不能把全部权限继续转交，只能给予完成子任务所必需的更小子集。

论文进一步提出“元权限”：

Agent 不仅需要被限制能做什么，还需要被限制它能把什么权限授予其他 Agent。

这一点尤其关键，因为多 Agent 系统的风险常常不是某个 Agent 直接越权，而是通过递归委派扩大了权限暴露面。

其不足在于，论文没有给出权限语义的形式模型。现实中需要明确：

资源范围；
操作类型；
数据行或字段；
调用次数；
金额上限；
时间窗口；
是否允许转委派；
是否允许产生外部副作用。

否则“最小权限”仍然只是原则，而不是可执行控制。

十二、可验证任务完成的核心矛盾

论文提出四类验证方式：

委派者直接检查；
可信第三方审计；
密码学证明；
多 Agent 博弈或共识。

论文的理想逻辑是：

Verified Output
→
Payment
→
Reputation Update
→
Liability Settlement

然而这里存在一个重要的“验证悖论”：

如果委派者已经具备完整验证复杂任务结果的能力，那么它可能已经具备完成任务的大部分能力；如果它不具备验证能力，就必须再次委派验证，从而产生新的信任链。

密码学证明也不能完全解决这一问题。

零知识证明可以证明：

某个程序被正确执行；
某个输入产生某个输出；
某些形式化约束得到满足。

但不能自动证明：

任务目标定义正确；
程序逻辑符合真实意图；
结果在现实中是合理的；
开放式研究结论是可靠的；
Agent 没有通过合法步骤实现有害目的。

换言之：

Correct Execution
≠
Correct Objective
≠
Good Outcome

论文对密码学和智能合约的使用具有启发性，但部分论述容易高估其对语义正确性和价值对齐问题的解决能力。

十三、责任链设计

论文认为在：

A → B → C

的委派链中，A 与 C 没有直接合同关系，因此：

A 对 B 追责；
B 对 C 追责；
B 不能以“错误来自 C”为由免除对 A 的责任；
C 的验证证明应沿委派链向上传递。

这种设计类似现实中的总承包商责任：

上级 Delegatee 应对其选择的下游 Delegatee 负责。

论文还提出“责任防火墙”：

某个 Agent 对所有下游行为承担完整责任；或者
在超出授权边界时停止，并要求原始人类主体重新授权。

这一设计能减少“责任扩散”，但尚未解决：

多 Agent 共同导致结果时如何分配因果责任；
模型供应商、Agent 开发者、部署者和用户如何分担责任；
合同责任与道德、监管责任是否一致；
无法确定具体故障节点时如何归责。

十四、安全威胁模型

论文按照攻击主体的位置划分威胁。

恶意 Delegatee：

数据窃取；
返回被污染的数据；
攻击验证 Agent；
资源耗尽；
越权访问；
在交付物中植入后门。

恶意 Delegator：

委派有害任务；
探测 Delegatee 的安全边界；
Prompt Injection 或 Jailbreak；
模型和系统提示提取；
恶意破坏他人声誉。

生态级威胁：

Sybil 身份攻击；
Agent 串通；
外部内容中的 Agent Trap；
可自我传播的 Agentic Virus；
协议和智能合约漏洞；
基础模型高度集中导致的认知单一化。

论文最重要的安全判断是：

多 Agent 系统的总攻击面大于单个组件攻击面的简单相加，因为攻击可能通过委派关系、权限关系和信任关系形成级联。

该判断是合理的。但论文的威胁模型仍然较宽泛，没有明确：

攻击者控制哪些 Agent；
能否伪造身份；
能否控制网络；
能否修改消息；
能否访问共享内存；
哪些组件属于可信计算基；
哪些安全属性需要被证明。

因此它更像威胁目录，而不是可直接用于实验的严格 threat model。

十五、对 MCP、A2A、AP2 和 UCP 的评价

论文尝试把框架映射到现有 Agent 协议。

协议	论文认为其优势	主要缺口
MCP	统一工具和数据访问；便于记录工具调用	缺少责任、声誉、语义权限和深层委派机制
A2A	Agent 发现、能力描述、任务生命周期和状态更新	缺少结果证明、责任合同和结构化谈判
AP2	支付授权、资金上限、意图签名和审计记录	缺少任务质量验证、托管和退款机制
UCP	商业发现、选择、交易和支付流程	过度面向商业交易，不适用于一般计算任务

论文提出若干扩展：

在 A2A Task 中加入 verification policy；
给 MCP 增加过程监控流；
建立正式 RFQ 和签名 Bid Object；
使用可衰减的 Delegation Capability Token；
标准化任务 checkpoint 和 state snapshot。

这些设计具有现实启发性，但存在一个关键问题：

协议字段只能表达政策，不能自动执行政策。

例如，任务对象中写明：

read_only = true

并不能保证 Agent 或工具真正只读。真正的控制必须由：

权限系统；
沙箱；
API 网关；
运行时引用监控器；
数据访问层；
工作流状态机；

进行强制执行。

因此，协议元数据与实际控制之间仍存在明显的执行鸿沟。

另外，论文前文出现“A2P”，后文主要讨论“AP2”，参考文献中的 Google 2025a/2025b 条目也有重复或标注不一致，属于需要修订的编辑问题。

十六、伦理部分的实际价值

论文没有把人类监督简单视为安全答案，而是指出了三个常被忽略的问题。

1. 道德缓冲区 Moral Crumple Zone

人类可能名义上保留审批权，但实际上：

无法理解复杂 Agent 链；
没有足够时间检查；
缺乏必要上下文；
最终只在失败后承担责任。

这不是真正的 meaningful human control。

2. 认知摩擦与告警疲劳

增加审批并不一定更安全。

若每一步都要求人工确认，监督者可能逐渐形成机械批准行为。因此合理控制应是风险自适应的：

Human Friction
∝
Criticality
×
Uncertainty
×
(1-Reversibility)

3. 去技能化

如果所有常规任务都被 Agent 执行，人类只处理极少见的复杂故障，人类可能逐渐失去解决这些故障所需的实践能力。

论文因此提出“发展性目标”：委派策略不仅优化效率，也应保留人类学习和能力建设机会。这是论文中较少见但具有长期价值的观点。

十七、论文的主要优点

第一，正确地将委派与任务路由区分开。

论文明确指出，委派意味着权限、责任和问责的同步转移，这是整个框架的理论基础。

第二，形成了相对完整的生命周期。

从分解、分配、授权、监控、调整到验证和归责，逻辑闭环较完整。

第三，跨学科整合较强。

论文将组织理论、经济学、分布式系统、安全工程、密码学、人机协作和 AI 伦理整合到同一框架中。

第四，强调运行时动态变化。

与静态工作流不同，论文把性能退化、资源变化、验证失败和安全告警纳入重新委派机制。

第五，重视委派链中的递归风险。

权限、监控、验证和责任都被视为可以沿委派链递归传播的问题，而不是单个 Agent 的局部属性。

十八、论文的主要局限

1. 没有实证证据

论文没有：

实现原型；
数据集；
Benchmark；
Agent 对比实验；
攻击成功率；
控制有效性测试；
成本和延迟测量。

因此不能证明其框架优于现有方法。

2. 没有形式化安全属性

论文没有明确给出：

安全不变量；
威胁模型；
状态转移系统；
权限逻辑；
信任更新公式；
责任归属规则；
委派稳定性条件。

这使“安全”“信任”“能力”和“验证”等概念仍然偏宽泛。

3. 对 Agent 市场假设依赖较强

论文大量使用竞价、智能合约、托管、质押和去中心化身份。该设定适合开放 Agent 市场，但未必适合当前更常见的企业内部多 Agent 系统。

企业内部通常更依赖：

预注册 Agent；
固定工作流；
组织身份；
RBAC/ABAC；
中央审计；
明确业务责任人。

4. 对密码学解决方案略显乐观

TEE、ZKP、MPC 和区块链可以保证特定技术属性，但不能直接解决自然语言意图、价值判断和开放任务质量问题。

5. 委派成本可能超过任务价值

复杂谈判、证书检查、监控、证明和仲裁均有成本。论文承认存在“复杂度下限”，但没有给出什么时候应：

自己执行；
简单调用工具；
使用固定工作流；
启动完整智能委派协议。

6. 协议扩展与模型行为之间仍有鸿沟

Agent 可以声明遵守权限和监控政策，但模型自身仍可能：

误解约束；
生成越权计划；
忽视撤销信号；
被 Prompt Injection 改变行为；
提供不真实的过程说明。

十九、论文隐含的关键假设

该框架能成立，至少需要以下条件：

Agent 具有稳定且不可伪造的身份；
Agent 能够准确描述自己的能力和资源；
任务可以被合理分解；
子任务成功标准能够形式化；
监控信息是及时且可信的；
权限能够被底层系统强制执行；
委派契约能够被技术或制度执行；
声誉不会被大规模操纵；
人类在需要时可以及时介入；
失败和恶意行为可以被区分；
不同 Agent 的错误具有一定独立性；
委派产生的收益大于协调和验证成本。

现实中这些假设通常只能部分满足。因此，论文提出的是一个理想目标架构，而不是可以直接部署的完整方案。

二十、最值得继续研究的问题

研究问题	可测量变量	建议实验
可验证性驱动的任务分解是否更安全	任务成功率、验证覆盖率、攻击成功率	比较普通分解与 contract-first 分解
委派链长度如何影响意图偏移	意图保真度、错误传播率	控制链长度和消息压缩程度
监督 Agent 的最优管理跨度是多少	漏检率、延迟、成本	改变一个监督者负责的 Agent 数量
动态重委派是否导致系统振荡	重委派次数、完成时间、资源浪费	注入性能退化和间歇故障
权限衰减能否限制爆炸半径	越权资源数、数据泄露量	比较全权限、静态最小权限和递归衰减
传递式证明是否可靠	证明完整率、串通成功率	设置恶意中间 Agent
声誉是否能预测任务级可靠性	校准误差、领域迁移误差	跨任务和跨领域测试声誉
人类监督何时真正有效	人类发现率、疲劳率、审批时间	调整告警频率和任务关键性
局部无害子任务能否组合为整体有害目标	组合攻击成功率	将有害目标拆分给不同 Agent
协议声明与实际强制之间差距多大	政策绕过率	比较仅元数据控制与运行时强制控制

最终评价

维度	评价
问题重要性	很高
理论整合度	很高
概念清晰度	较高
技术新颖性	中等，主要是整合创新
形式化程度	较低
实证证据	很低
当前可实施性	中等，权限、监控和状态管理部分较现实
研究启发性	很高

总体判断：

这篇论文应被理解为一份面向未来 Agent 生态的委派控制架构蓝图。它最重要的贡献，是提出：

Agent 委派不能只是把任务和上下文传给下一个 Agent，而必须同时传递受限制的权限、明确的责任、可验证的完成标准和可撤销的控制关系。

但该框架距离工程或科学意义上的成立仍缺少三项核心工作：

将概念转化为形式化状态、权限和责任模型；
构建最小可运行的委派协议与运行时强制机制；
通过故障、攻击和正常任务实验验证安全—效用—成本权衡。

因此，它是一篇高质量的研究议程论文，但不是已被验证的安全解决方案。

参考来源

Intelligent AI Delegation（Tomašev, Franklin, Osindero，arXiv:2602.11865）