AI 智能体的问责层。
已发布Web Bot Auth 证明是哪把密钥签署了请求。AIDR 证明是哪个组织为这把密钥负责，并能在几分钟内让它在所有地方失效。
- 签名
- RFC 9421
- 智能体密钥
- Ed25519
- 开放规范
- AIAF 草案 0.1
- 凭证有效期
- 最长 15 分钟
您在请求的哪一端？
我运营网站
在您自己的服务器上用五行代码免费验证 AI 智能体。无需账户，不按用量收费。
npm install @evoliv/aidr-verifier
app.use(aidr({
issuer: 'https://api.evolivcore.com',
publicOrigin: 'https://shop.example' }));
我运营智能体
为每个智能体提供与您已验证组织绑定的加密身份：网站和银行可以核验，您可以随时吊销。
pip install aidr-agent
agent = Agent.load_or_enroll(
"checkout-01",
audiences=["https://shop.example"])
为什么不只用 Web Bot Auth？
请使用它。AIDR 与 Web Bot Auth 协同工作，并补上企业所需的问责能力。
| 仅 Web Bot Auth | 加上 AIDR | |
|---|---|---|
| 签名请求 | RFC 9421 | RFC 9421，同一格式 |
| 谁为密钥负责 | 托管密钥目录的一方 | 域名经过证明的已验证组织 |
| 吊销 | 删除密钥；何时失效取决于验证方的缓存 | 签名列表：约两分钟内在所有地方被拒绝 |
| 审计记录 | 未定义 | 防篡改账本，公开发布树头 |
| 在哪里验证 | Cloudflare 边缘，或您自行集成的库 | 任何服务器：Node.js、Python、Go、Workers、Kong、API Gateway、WordPress |
| 隐私 | 验证方获取运营方的密钥目录 | 验证方离线工作；注册中心从不看到任何请求 |
共享密钥无法说明是哪个智能体在访问。
静态 API 密钥
- 任何持有副本的人都是这个智能体。
- 难以轮换，因此一用就是多年。
- 无法说明谁该负责。
密码学身份
- 在智能体的设备上生成。
- 只注册公钥。
- 在控制台中一键撤销。
注册中心从不在请求路径上。
注册中心
事先担保：15 分钟有效的凭证，以及公开的密钥和撤销信息。
您的智能体及其网关
网关为每个请求签名。智能体从不持有密钥。
您的服务器
离线验证请求。
签署一个请求，再试着修改它。
真实的密码学，在您的浏览器中运行。
此演示需要脚本，以及在 Web Crypto 中支持 Ed25519 的浏览器。
密钥和签名都是真实的。不会向任何地方发送任何内容。
为安全审查而构建。
绑定设备的密钥
保存在操作系统的凭据存储中。
流式网关
内存占用恒定，不限制请求大小。
约两分钟完成撤销
在受通行密钥保护的控制台中操作，并记入您的审计日志。
您的网站，您的规则。
了解谁在访问
每个经过验证的请求都会说明智能体及为其负责的组织。
为每项操作设定门槛
读取可能要求不高。结账可能需要经过验证的法律实体。由您选择。
拒绝并举报
拒绝未达门槛的请求。举报滥用后，被撤销的智能体约两分钟内会被所有进行验证的网站拒绝。
免费、开源、离线运行。我们从不接触您的流量。
您的智能体继续使用普通 HTTP。
本地网关为每个请求签名。无需 SDK，无需修改代码。
$ curl http://127.0.0.1:8765/v1/orders \
-H "X-Evoliv-Gateway-Token: $EVOLIV_TOKEN" \
-H "Evoliv-Target: https://shop.example"
→ signed as agent-01 (RFC 9421) · Agent-Credential attached
HTTP/1.1 200 OK