定义
自主代理是指通过决定并执行一系列操作来实现目标的软件，而无需人工逐步确认。现代代理会使用语言模型进行规划、调用工具、读取结果并调整。通常由个人或组织设定目标和边界，代理负责中间的执行工作。
在 actor intelligence 中，自主代理对应 Agent 类别: 该交互来自自动化，而不是来自逐个操作进行指挥的人。有关这些类别的比较，请参见 Human, AI-assisted or agent: a practical taxonomy for application traffic。
代理与其他自动化方式的比较
- 脚本和爬虫 按固定指令运行。它们可预测，范围也较窄。
- 自主代理 会自适应。它们会读取应用返回的内容，并决定下一步做什么，这意味着它们可能会触达应用中原本并未为自动化设计的部分。
- AI 辅助的人 会把 AI 当作助手，但仍保留控制权。参见 AI-assisted interaction。
为什么自主代理对应用所有者很重要
代理越来越多地代表真实客户执行操作: 比较产品、收集文档、提交工单、同步数据以及调用 API。许多此类交互都很有价值。默认阻止这些交互的应用可能会失去合法使用；而将它们完全当作人类对待的应用，可能会让行为模式非常不同的参与者接触到敏感操作。
对于任何代理交互，都值得思考这些问题:
- 这是什么代理? 是否有可验证的身份，例如 HTTP message signature (RFC 9421)，还是只有自我描述?
- 它可以做什么? 身份不等于权限。这是一个 authorization 问题。
- 它背后是谁? 个人可能已经将 delegated authority 授予该代理，或者该代理可能代表某个组织行动。身份的证据并不能证明委托关系。
- 这项操作的影响是什么? 查看公开目录和更改账户设置，理应适用不同的控制措施。
如何识别自主代理
识别会结合不同强度的证据。来自已发布运营方的可验证签名是强证据。声明式的客户端名称有用，但也可能被仿冒。行为和协议模式可以支持推断。当这些都不足以判断时，正确答案应是 Unknown，而不是猜测。
如何更好地服务代理
预期会有代理流量的应用通常会:
- 为常见的只读操作提供结构化 API 或机器可读响应。
- 对自动化调用方应用适合的路由级速率限制。
- 对高影响操作要求更强的凭证或明确的用户批准（参见 designing app-level policies for humans and AI agents）。
- 保持面向人的页面快速响应，并且不使用专门针对自动化的挑战机制。
常见误解
“代理就是 bot，而 bot 都是坏的。” 很多代理其实是客户使用的工具。目标是提供正确的体验，而不是条件反射式地阻止。
“已验证的代理可以执行其账户能做的任何事情。” 验证识别的是客户端，不授予操作权限。
Proof of Actor 如何处理代理
Proof of Actor 会将代理交互归类为 Agent，并标注明确的依据（verified、declared 或 inferred），这样你的策略就可以将已签名的运营方与自我声明的运营方区别对待。由你决定每个 route 允许什么。请参见 APIs 和 MCP servers 的使用场景，或 apply for early access。
来源
- RFC 9421: HTTP Message Signatures: 自动化客户端的可验证身份
- IETF Web Bot Auth working group: 关于 bot 和代理认证的标准工作