CNCF / Dapr 1.18引入密码学可证明执行性：谁启动了AI智能体工作流，不再只是一条日志记录

可观测性还不够——需要密码学证明

在使用AI智能体的分布式系统中存在一个根本性问题：日志和指标能告诉我们看起来发生了什么，但无法证明执行历史没有被事后篡改。对于金融机构、医疗系统和制药公司而言，这不是理论上的担忧——这是头等监管与安全问题。

CNCF项目Dapr（分布式应用运行时）发布了1.18版本，通过引入可验证执行（verifiable execution）概念——密码学可验证的执行性——直接解决了这一缺陷。这不仅是项目内的一项新特性；这是一项架构扩展，将密码学信任从”通信本身延伸至执行过程本身”，正如CNCF在公告中所描述的。

构建密码学信任的三个原语

新能力建立在三个分层原语之上，共同覆盖整个执行链：

1. 工作流历史签名（Workflow History Signing）

执行历史中的每条记录都获得密码学签名。这意味着任何后续修改——无论是有意还是无意——都是可检测的。组织不再需要相信审计日志未被篡改；他们可以通过数学方式验证。

2. 历史传播（History Propagation）

执行来源和事件链随请求一同流经分布式系统。当智能体A将工作委派给智能体B，智能体B进一步调用服务C时，链中的每个环节都携带密码学验证过的来源信息。下游服务可以基于经过验证的上下文做出决策——而非基于假设。

3. 工作流证明（Workflow Attestation）

第三个原语提供密码学可验证的执行上下文，供下游系统用于信任决策。智能体无需简单声明自己是谁、做了什么，而是可以出示可被独立验证的证明。

为何是现在，为何选择SPIFFE？

Dapr 1.18并非在真空中引入这些能力——而是直接在已有的基于SPIFFE的工作负载身份（SPIFFE-based workload identity）之上构建。SPIFFE（面向所有人的安全生产身份框架）是为分布式系统中的服务分配密码学身份的标准化框架。

公告对这两层之间关系的描述十分精辟：「SPIFFE回答的是’你是谁？‘可验证执行回答的是’你是怎么到这里的？’」 两层合在一起，覆盖了完整的安全图景：实体身份，以及该实体到达当前状态的可验证路径。

AI智能体面临的具体缺口

智能体AI系统面临一个传统分布式系统在同等程度上并不具备的特殊问题：智能体可以调用外部工具、将子任务委派给其他智能体，并在众多服务间协调工作——所有这些都是自主完成的，无需人工直接监督每一步操作。

在Dapr 1.18之前，这个委派链没有留下防篡改（tamper-evident）的痕迹。日志记录了行动，但审计跟踪并未在密码学上得到保障。对于合规证明是法定义务而非选项的监管环境而言，这是一个严重缺口。

受益最多的行业

公告明确列举了三个行业：

• 银行业： 对工作流链中交易审批的密码学证明
• 医疗索赔处理： 证明索赔已经过规定的审批步骤
• 制药生产： 验证整个执行链中流程的完整性

这些行业中，监管合规证明是法定义务，而非仅仅是内部最佳实践。可验证执行为其提供了符合监管机构所要求严格程度的基础设施工具。

对更广泛CNCF生态系统的意义

Dapr 1.18将自身定位为CNCF社区迈向”基础设施层面可信AI”（trustworthy AI at the infrastructure layer）更广泛倡议的一部分。与其仅在应用代码层面或通过外部审计来解决AI智能体安全问题，这一版本提供了内置于运行时基础设施本身的原语。

对于在CNCF栈上构建多智能体系统的工程师而言，Dapr 1.18为此前始终缺乏基础设施解决方案的问题提供了具体答案：如何证明——而不仅仅是声称——你的AI智能体做了它所说它做的事情。