一个“权限只收不放”的多智能体协作方案。 用户用一个口令批准任务，智能体之间可以逐级分工、离线委派， 而每一次工具调用都能被证明来自哪项任务、经过了哪些委托、是否仍在用户批准的范围内。
编排仍交给 LangGraph 等框架里的大模型，通信用 A2A，工具接入用 MCP。DiPAKE 叠加在它们之上，回答另外两个问题：凭什么做、最多能做到哪一步。
本仓库是方案的公开数据支撑：能力概述、安全性结论、验证结果、测试与评估数据。
| 特色 | 说明 |
|---|---|
| 口令即根，任务即身份 | 用户只记一个口令；每项任务、每个子任务的身份都由用户的批准派生，不同任务之间互不相通，不能跨任务冒充。 |
| 离线可验证委派 | 父智能体无需联系用户或服务器，即可为子智能体委派；子权限不会宽于父权限，兄弟、祖先、其他任务的身份无法伪造。 |
| 权限逐级收缩 | 实际权限是整条委托路径上全部限制的叠加：操作范围、资源、参数、有效期、委托深度与累计预算。下级写得再宽，也越不过上级。 |
| 模型提议，运行时裁决 | 密钥与规则不进入大模型。即使模型被提示注入完全操纵，也拿不到密钥、改不了规则。 |
| 逐级把关 | 每次工具调用在执行前由独立的运行时逐级裁决，拒绝时给出被拒的层级和原因。 |
| 累计预算 | 下级的消耗同时计入所有祖先，整棵子树共享额度，各分支不能各自用满一份。 |
| 用户逐次审批 | 高风险操作要求用户在可信终端重新确认，确认只对应这一次具体操作。 |
| 口令加固（DiPAKE+） | 即使凭证被窃，攻击者也无法离线猜测口令，每次猜测都是受限速、可审计的在线查询。 |
| 撤销与审计 | 祖先可随时撤销任意下级子树；用户可不经任何智能体配合撤销整项任务；每次判定都有审计记录。 |
| 兼容现有生态 | 对接 A2A 与 MCP，宿主照常使用官方 SDK。 |
| 证据 | 结果 | 详情 |
|---|---|---|
| 安全定理 | 认证密钥交换安全、子树隔离、授权可靠性 | docs/security-model.md |
| 形式化验证 | 会话保密与前向安全、双向认证、子树隔离、授权约束与抗重放、审批与撤销令牌不可伪造、口令离线猜测抵抗，均得到预期结果 | docs/formal-verification.md |
| 攻击测试 | 8 类 36 种攻击全部被拦截，3 项合法操作全部放行 | docs/security-tests.md |
| 真实大模型提示注入 | 在真实大模型被注入后生成的越权调用中，凡偏离用户授权工具的调用均被拒绝；3162 次正常调用 0 误拒 | docs/evaluation.md |
| 真实设备部署 | 3 台 Raspberry Pi 5 上深度为 5 的跨设备委派链，各级约束均在对应层级生效，撤销即时生效 | docs/evaluation.md |
| 性能 | 一次握手几毫秒到几十毫秒（视硬件），不随委托深度增长；网关裁决仅增加约 1 ms | bench/ |
docs/ 能力概述、安全性结论、验证结果、测试清单、评估汇总、设计报告摘要
bench/ 性能与安全测试的汇总图与数据（CSV）
results/ 真实大模型提示注入实验汇总
paper/ 设计报告中的部分结果图
本方案的设计与实现受知识产权保护。本仓库只公开结论性的测试与评估数据，不包含实现代码、协议设计细节、参数与形式化模型。
内容保留所有权利，仅供阅读与核对，未授予复制、修改、再分发、商用或据此实现的许可，详见 NOTICE。