一个“权限只收不放”的多智能体协作方案。 用户用一个口令批准任务，智能体之间可以逐级分工、离线委派， 而每一次工具调用都能被证明来自哪项任务、经过了哪些委托、是否仍在用户批准的范围内。
DiPAKE 不重写任务规划：编排仍交给 LangGraph 等框架里的大模型，智能体之间的通信用 A2A，工具接入用 MCP。 DiPAKE 叠加在它们之上，回答另外两个问题：凭什么做、最多能做到哪一步。
本仓库是方案的公开支撑材料：方案框架、安全性论证、形式化验证结果、测试与评估数据。
| 特色 | 说明 |
|---|---|
| 口令即根，任务即身份 | 用户只记一个口令，系统不保存任何长期根密钥。每项任务、每个子任务的身份都由口令派生，并绑定任务标识、委托路径与各层策略；同一个智能体在不同任务中的身份互不相通，不能跨任务冒充。 |
| 离线可验证委派 | 父智能体无需联系用户、服务器或网关，就能在本地为子智能体派生凭证。子凭证在身份、策略、委托深度三方面都不宽于父凭证；兄弟、祖先、其他任务的身份无法伪造。 |
| 权限逐级收缩 | 实际权限是整条委托路径上全部策略的合取，包括操作范围、资源、参数、有效期、委托深度和累计预算。下级写得再宽，也越不过上级的限制。 |
| 身份绑定的口令认证握手 | 外层口令认证证明“同属一个口令域”，内层分层身份密钥交换证明“持有哪条委托路径”，并且前向安全。握手 5 条消息、881 字节，长度不随委托深度变化；口令不匹配时域外观察者看不出握手是否成功，也看不到委托结构。 |
| 模型提议，运行时裁决 | 凭证保管在独立的边车进程里，大模型和宿主应用只拿到句柄。即使模型被提示注入完全操纵，也拿不到密钥、改不了规则。 |
| 执行网关逐级裁决 | 以 MCP 反向代理的形式部署在工具前面。每次工具调用依次检查 8 项：会话完整性、路径一致、结构与深度、各级策略、请求绑定与防重放、撤销、逐次审批、累计预算；拒绝时返回被拒的层级和原因。 |
| 累计预算原子预留 | 下级的消耗同时计入所有祖先。例如 20 MiB 的上传额度由整棵子树共享，各分支不能各自用满一份。 |
| 可验证的用户逐次审批 | 高风险操作要求用户在可信客户端重新输入口令确认，审批令牌绑定委托路径、具体请求和一次性挑战。 |
| 口令加固（DiPAKE+） | 凭证即使被窃，每次猜口令也必须向审批服务器查询一次，而审批服务器按域限速并记录日志，且看不到口令。 |
| 撤销与审计 | 祖先可以随时撤销任意下级子树；用户可以不经任何智能体配合撤销整项任务。 |
| 兼容现有生态 | 遵循 A2A 扩展机制与 MCP 的 Streamable HTTP，宿主照常使用官方 SDK。 |
| 证据 | 结果 | 详情 |
|---|---|---|
| 安全定理（随机预言机模型） | 认证密钥交换安全、子树隔离、授权可靠性 | docs/security-model.md |
| ProVerif 形式化验证（无界会话、敌手持有被腐化子树凭证） | 会话密钥保密与前向安全、双向认证、子树隔离、授权约束与抗重放、逐次审批与撤销令牌不可伪造、口令离线猜测抵抗，均得到预期结果 | docs/formal-verification.md |
| 攻击测试 | 8 类 36 种攻击全部被拦截，3 项合法操作全部放行 | docs/security-tests.md |
| 真实大模型提示注入（InjecAgent，1054 用例 × 3 次运行） | 在真实大模型被注入后生成的越权调用中，凡偏离用户授权工具的调用均被网关拒绝；3162 次正常调用 0 误拒 | docs/evaluation.md |
| 真实设备部署（3 × Raspberry Pi 5，深度 5 跨设备链；机器狗末端执行） | 各级约束均在对应层级生效，撤销即时生效 | docs/evaluation.md |
| 性能 | 一次握手约 4–29 ms（视硬件），881 字节且不随深度增长；离线派生约 1 ms；网关裁决增加约 1 ms | bench/ |
docs/
architecture.md 系统架构：四个平面、委派树、一次受控的工具调用、演示
security-model.md 安全目标、敌手模型、假设、主要定理（陈述）与证明思路
formal-verification.md ProVerif 建模方法、查询、结果与解读
security-tests.md 39 个安全测试用例清单与结果
evaluation.md 攻击测试、提示注入、真实设备部署与性能汇总
paper.md 设计报告的摘要与目录
figures/ 架构图与演示截图
bench/
figures/ 15 张测试结果图
data/ 三种硬件（Xeon、M3 Pro、Raspberry Pi 5）上的原始测量数据（CSV）
README.md 图与数据文件说明
results/injecagent/ InjecAgent 实验的汇总报告与方法说明
paper/figures/ 设计报告第 6 章的结果图
以下材料体量较大或涉及实现细节，不在本仓库中，可按需提供：
- 系统的实现代码（密码核心、执行网关、凭证边车、可信客户端等）；
- 协议的线上格式、消息编码、参数与测试向量；
- ProVerif 模型源文件，以及定理的完整归约（只公开陈述与证明思路）；
- 设计报告全文；
- 真实设备部署的原始日志、抓包与现场照片。
需要核对完整材料的评审或合作方，请联系作者。
本仓库内容保留所有权利（All rights reserved），仅供阅读与核对，未授予任何复制、修改、再分发或商用的许可。详见 NOTICE。