你今天就能用的
- Authorization of one exact effect through the MCP service, in public beta: one operation, one authority, one expiry, one use.
- Signed evidence of what was authorized and what the Guardian could establish, verifiable offline with no account.
- Six provider operations, each at an authority the protocol fixes and a caller cannot lower. None is called stable until we publish evidence of 100 real executions against a live provider.
一份 mandate 固定了什么
五个问题，在智能体动手之前就已回答。
一份你读不懂的委派，就是一份你撤不掉的委派。合约把它变成一份产物：五条轴线，全部明示，一并签名。
什么可以被改变
每一步点名一个规范操作，以及与之绑定的确切参数。不是一种能力，不是一个作用域，也不是一类动作——而是一个效果，由摘要来标识。
针对哪些资源
每个步骤都带着自己的资源清单。为某个账户、某个角色或某个客户批准的步骤，不会顺延到另一个，而 Guardian 会在联系提供方之前先拒掉这种不匹配。
持续多长时间
合约有签发时间与过期时间。之后就不再发出新的步骤——没有宽限窗口，也不能从任务内部续期。
需要哪些审批、对着哪份预算
Authority is set per operation by the protocol, not chosen by the caller. The budget is specified as durable and atomic per tenant, task, revision and step: committed means consumed plus anything reserved and still uncertain.
结果如何被核对
适配器回读提供方，以确立究竟发生了什么。超时会被对账，绝不盲目重试，含混的结果会保持为不确定，不会被向上取整成成功。
它怎么跑
复核
由人来读这份 mandate：步骤、资源、时间窗、审批与预算。只要它还是草稿，就什么都不会跑。
批准
批准会固定一个修订。改动任何一步都会产生一个需要复核的新修订——已批准的合约从不就地修改。
在其中运行
智能体提出步骤。每一步仍然产生自己那份一次性的 Execution Grant 和自己那份 Action Receipt。合约之外的一切都会被拒。
边界，直说
一份 mandate 不做什么。
它从不降低 authority 门槛
Approving a mandate does not turn a step that needs MFA or quorum into one that does not. Authority is set per operation by the protocol; a longer task does not buy a cheaper approval. Moving money and changing privileges stay outside delegation altogether. The local runtime does not enforce this on its own yet — it is listed among the known gaps in the specification.
不存在再委派
一份 mandate、一个 Guardian、一份预算。合约之内的智能体无法把其中一部分交给另一个智能体，任务也无法立起第二个执行点。
它读到的东西无法把它撑大
文档、工具输出、网页内容与记忆都是输入，绝不是 authority。出现在智能体所读内容里的一条指令只是数据：无论它怎么自称，都不会扩展这份合约。
一份签了名的 mandate 仍可能是有害的
授权并不证明真实、无害或正确。合约限定的是 authority；它并不确立「批准它是个好主意」。
这是给谁的
承担风险的人，几乎从来不是批准这项任务的人。
当一个智能体发出一笔退款、改动某人的权限或修改基础设施时，后果落在一位客户、一位同事，或者一个从未在场的第三方身上。一份 mandate 之所以值得，是因为他们也能读懂它：什么可以被改变、针对哪些资源、持续多久，以及出了岔子会怎样。只有供应方能查验的边界，是保护供应方的边界。
SecureStamp 读的是一个动作在要求什么。它不评判提出要求的人对不对，不裁定哪些内容为真，使用它也不需要任何职业资质。限定软件可以造成什么，不等于限定任何人可以说什么。
预算
A security budget is not billing. It is specified as durable and atomic per tenant, task, revision and step — not a counter in memory and not one per agent. Committed means consumed plus anything reserved whose outcome is still pending or uncertain, so the same grant can never reserve twice; if storage or revocation is unavailable, no new effects are sent. Two parts of this are not in the local runtime yet — a reused task revision can open its own budget, and revocation is optional — and both are listed as known gaps in the specification.
状态
一个任务永远恰好处在其中之一，而账本记录的正是这种转移。
- draft
- approved
- running
- paused
- completed
- revoked
- expired
本地读取器做什么、不做什么
本地读取器解释一个请求在要什么。它不做授权；在这个配置档下，一条孤立的发现、一次弃权或一次部分读取，都不会阻断、不会吊销，也不会对一个已经批准且在合约之内的效果强加额外审批。它基于规则、作用于有限量的文本，所以截断与未评估会被显示出来而不是藏起来。没有发现从来不等于许可——合约之外的效果一律被拒，无论读取器有没有看见什么。
证据的边界
一份 Action Receipt 证明的是：什么经过了一个已登记的 Guardian，以及那个 Guardian 能够确立的结果。它不证明这条路径之外没有发生过任何动作，也不确立提供方账户的法律所有权。担保之外的威胁会被点名而不是暗示：宿主的管理员、被攻陷的 Guardian 或签名者、在已登记路径之外采取的行动、未被观测的侧信道，以及这份 mandate 本就允许的损害。
状态
This page describes a design. The contract schema exists and a local runtime runs its limits in simulation, with known gaps published in the specification. Execution of a delegated mandate against a real provider has not been evaluated, and until it is, this profile is labelled simulated. We do not extrapolate a result from a mock or from a different connector, and approval fixtures are not real MFA or quorum.
已经可用
Single-effect authorization — one exact effect, one authority, one expiry, one use — is available today through the MCP service, in public beta. Running it against a real provider needs an eligible connector; until a connector clears its release gate, its Guardian runs in sandbox mode.
查看面向智能体的 Execution Authorization