当 AI Agent 开始开公司、雇人、结账，缺的已经不是更强的模型

设想这样一个场景：你让自己的 AI 助理去办一件事——跨好几家供应商订一趟行程、帮你谈退款、还得卡在预算之内。它没法独自搞定，于是临时"招募"了几个专长不同的智能体：一个做行程规划、一个盯价格、一个查合规、一个负责付款。遇到敏感操作，它停下来找你确认。行程结束后，它和各个服务商对账，开出一张张可审计的收据。

听上去像科幻，但这件事和"一家由 AI 运营的公司"、"一个 AI 科研团队租 GPU 跑实验"共享同一种结构：智能体、人、工具、服务、公司、机构，都变成了一张不断生长的图里的节点。它们彼此委派权限、组队协作、交换价值、执行策略，并留下证据。

来自 FoundationAgents、蒙特利尔大学与 Mila、DeepWisdom、港科大（广州）等机构的一篇新论文《Foundation Protocol: A Coordination Layer for Agentic Society》提出了一个清醒的判断：当智能体走到这一步，真正卡住我们的，已经不是单个模型够不够强，而是它们之间"怎么协调"。

智能体正在从"工具"变成"社会成员"

早期的智能体，不过是几个 API 之上薄薄一层自然语言外壳。但更有野心的系统，把它当成一个"长期运营者"：会规划、会协调、会谈判，跨越多个服务持续行动，每个决定都带着财务、运营和声誉上的后果。

这件事改变了"协议"的含义。论文强调了一个关键判断：在智能体系统里，通信往往就是执行。一条消息可能触发代码运行、资源消耗、付款、授权委派，甚至策略变更。当一个智能体持有长期凭证、会下载第三方代码、还要处理不可信内容时，"沟通"和"动手"之间的边界变得极薄——微软的安全团队甚至把这类自托管运行时，直接称作"带着持久权限的不可信代码执行"。

于是协议层不再只是"集成的便利"。它成了系统的安全边界——身份在这里登记，权限在这里委派，证据在这里留存，问责也在这里发生。

真正的瓶颈，已经不在模型本身

今天其实已经有不少协议，各自盖住了智能体交互的一块拼图：MCP 管模型怎么调工具，A2A 管智能体之间怎么协作任务，A2UI 管对用户界面的可控委派，DIDComm 提供基于 DID 的安全消息，ANP 强调开放网络里的发现与协商，UCP 则瞄准自治参与者之间的商业交易。

每一个都解决了一个真实的边界问题。但论文指出：一个"智能体社会"不会乖乖待在这些边界内。一条完整的工作流，可能同时需要调工具、委派智能体、控制界面、验证身份、付款、执行策略、留下审计——全发生在同一条行动链上。

碎片化的代价就在这里。当每个协议都自带一套身份、会话状态、授权、轨迹和证据，集成就不再是加几个适配器那么简单：语义会在层与层之间漂移，溯源会在协议边界断裂，监管沦为日志、收据、访问规则和 prompt 片段拼凑出的补丁。

更糟的是，它逼出一个"虚假的二选一"：要么走向垂直整合，让少数几个平台从头到尾垄断身份、策略、路由、记忆和结算；要么靠临时拼凑撑起开放网络，却脆弱、难审计、难防滥用。论文认为，一个好的"地基层"应该让人绕开这道选择题。

Foundation Protocol：把整个智能体社会建模成一张图

Foundation Protocol（下称 FP）给出的答案是：做一个图原生（graph-native）的协调层。

它的世界观很统一——实体（Entity）是节点；关系、成员关系、会话是边；交互是图上的活动；而策略、溯源、审计，则是治理这些活动所需的证据。智能体、工具、资源、人、机构、组织，全部被当成"可寻址的实体"，塞进同一张图。

FP 刻意把核心词汇压到极小。论文提出，整个协议只用七个名词，就能描述任何一次交互：Entity（实体）、Session（会话）、Activity（活动）、Envelope（信封）、Event（事件）、Receipt/Settlement（收据/结算）、Provenance（溯源）。它足够通用——工具调用、多智能体协作、组织流程、商业交易都能表达；又足够小，能在上层模式不断演化时保持稳定。

它还反复强调一个工程取向：渐进式披露（progressive disclosure）。两个实体初次打交道，默认只交换最精简的元数据——名字、用途、几个风险标签、定价线索——等到选定或授权之后，才按需取回完整 schema。这是为了对抗当下那种"把一大坨工具描述整段塞进模型上下文"的浪费。

而且 FP 的目标不是取代上面那些协议，而是去包裹和桥接它们：让一个现成的 MCP 服务，不改一行代码，就变成 FP 图里一个可寻址、带身份、受访问控制的实体。

四个平面：核心只管"必须互通"的那部分

FP 的架构被切成四个平面，外加一个配置与 Profile 平面：

• 实体与信任平面（Entity & Trust）：定义一个节点凭什么被识别、被问责——身份、能力声明、信任信号、隐私控制。组织本身也是一个实体，能持有资产、发起会话；成员关系是一条带"作用域委派"的一等边。FP 不强制单一身份方案，DID、WebPKI、企业身份系统都行。
• 传输与路由平面（Transport & Routing）：与具体传输解耦。一个群组会话可能同时横跨本地 IPC、HTTP/WebSocket、SSE，FP 在它们之上维持一致的寻址、关联和轨迹。
• 交互与组织平面（Interaction & Organization）：把会话、角色、成员、委派做成一等对象，把计量、收据、结算引用、争议信号这些经济原语标准化。这里有一个关键设计——协作不是一长串聊天记录，而是一串带类型的事件（Event），可被智能体读取、被操作者检视、被审计者回看。
• 监管与监督平面（Regulation & Oversight）：把策略评估、执行决策、审计与溯源、争议升级做成协议一等公民。妙处在于：策略和溯源记录可以被引用、哈希、独立校验，而不必暴露被它们治理的具体载荷——这让审计变得"可移植"，同一段轨迹能在不同策略下被重新检视，而不用重放整个交互。

四个平面之外，"会变的部分"被收进 Profile（绑定具体传输与身份）、扩展（新增事件类型）和桥接（接入既有生态）。核心保持小而稳——这正是 FP 想成为"基础设施"而非"又一个应用框架"的关键。

一家"AI 公司"的一生：五个阶段跑通所有平面

论文用一个很具体的例子，把四个平面全部点亮：一位人类创始人开了一家"AI 公司"。它不是传统意义上的公司，而是由一群专长智能体、外部工具、服务商和人类检查点组成的组织。

1. 建组织：创始人把自己注册成一个实体，建立一个同样是实体的组织，并附上治理策略；再注册三个内部智能体——规划者、开发者、审查者，各自拿到 FP 地址、密钥身份和角色。一条"部署必须人工批准"的规则，直接挂在组织上、在协议边界强制执行。
2. 招外援：规划者需要一个 GPU 供应商和一个 MCP 代码搜索工具。它查询发现机制（聚合主机树上各处公开的 EntityCard），拿到的是轻量元数据，而非完整 schema；比较候选后建立信任关系、开会话，并设定角色作用域和预算上限。
3. 异构协作：创始人下达"交付认证模块"的任务。规划者拆解、分发；开发者写代码，并通过 MCP 桥调用外部工具；审查者检查产出；部署前，创始人收到一条人工批准请求。人类、智能体、工具，全都共用同一套信封、路由和检查点，整条链只维持一条轨迹。
4. 经济活动：GPU 供应商把计量用量（机时、token 消耗）作为结构化记录挂到会话上，完工后签发一张可被第三方校验的收据，并引用外部支付通道结算；预算上限全程生效，付款检查点会直接拒掉任何超支的消息。
5. 监督与审计：每一个策略决策都留下结构化轨迹。事后创始人可以追问：哪个实体做了哪件事、依据哪条策略、经济结果如何、有没有访问控制被推翻。万一和 GPU 供应商起了争议，同一条"证据脊柱"就能支撑解决，而不必从散落各处的日志里重建现场。

论文点出了这个例子的精髓：它没有需要很多特殊机制，恰恰相反——代表创始人的实体模型，和代表外部 GPU 供应商的，是同一个；执行访问控制的检查点流水线，也能执行预算限额；承载任务消息的信封，同样能承载付款收据。

从白皮书到能跑的代码

FP 不只是纸面构想，它附带了一套开源参考实现（foundation-protocol 运行时 + ai-link-net 应用网络）。论文用附录交代了几处"硬骨头"，值得一看：

• 三个核心抽象：Entity（统一参与者模型，行为差异放进可插拔的 handler，而不是子类继承）、Host（拓扑与路由节点，维护父子关系）、Server（应用层运行时，把抽象路由绑到 WebSocket，再暴露 HTTP REST）。地址形如 HostUid:EntityUid。
• 检查点流水线（checkpoint pipeline）：每条入站消息都要顺序穿过一串策略执行点——好友访问控制、会话校验、限流、付款验证、合约审批、付款审批。任何一个检查点都能把决策"上交"给实体的所有者（通常是人），原消息挂在等待队列里，直到人明确批准或拒绝。换句话说，人工监督不是协议外面的一层包装，而是流水线本身的一环。
• 合约状态机：DRAFT → PENDING → ACTIVE → COMPLETING → SETTLING → SETTLED，外加 CANCELLED / DISPUTED 两条分支，由 arbiter（仲裁者）校验每一次状态跃迁；并支持托管（escrow）与直付两种结算模式。
• 可解释的五维信誉：质量、可靠性、协作性、效率、诚信——全部从"闭环的合约事实"里推导出来，再用置信度和时近度加权，而不是给一个不透明的总分。每个分数都能回溯到产生它的那些合约。
• 三层安全：每条消息用 Ed25519 签名、X25519 + AES-256-GCM 加密；每次合约状态跃迁生成不可变快照，用哈希链串起来，事后篡改可被发现；每个实体还维护一个只追加的信箱，连被拒绝的消息都留痕，而不是悄悄丢弃。

它的野心与边界

需要说清楚的是：这是一篇白皮书 / 立场论文，没有任何性能跑分，给出的是一套架构蓝图加一个可跑的参考实现。论文自己也把下一步定义为"把架构变成精确的规范和一组参考绑定，让生态去评估、实现、打磨"。

但它抓住的那个判断是清醒的：当自治执行越来越便宜，稀缺的东西就会转移到"验证能力、可信溯源、责任担保"上。FP 想做的，是让自治的智能体保持可组合，同时让问责不再可选——把"协调"本身，变成一个开放、多元、可治理的人机社会的共享基础设施。

至于它能不能真的成为那层"地基"，取决于生态愿不愿意在它之上构建。但至少，它把正确的问题，摆到了通信底座的正中央。