给 agent 的每一步签名留痕

今天的 agent 已经能读客户记录、开合并请求、批发布、付账单。可一旦出事，想回答「它到底做了什么」，只能翻日志——而这份日志，恰恰握在最想改它的那一方手里。2026 年 10 月 21 日，开发者 Artur Baranouski 在 HackerNoon 上给出一套方案，核心只有一句：每一步都签名、串成链，谁改都能看出来。

一、发生了什么

这套方案把 agent 一次运行的每一步都记成一个条目：做了什么动作、调用哪个工具、输入输出各是什么。关键是三点设计。

一是只存哈希不上原文。工具参数、模型请求和回复先做摘要，原始内容留在链外，链上只有摘要，隐私靠自律。

二是每步链上前一步。每条记录带一个「上一条的哈希」，删掉一步、调换顺序或改动一步，后面所有链接都会断。

三是每次运行都要封存。跑完写一个「结束」标记，封存整条链的步数和头部哈希。没有封存的运行会被标记成「未完成」，截断的记录冒充不了完整记录。

作者用一个小型真实 agent 做了演示：一个检查代码仓库和网页状态的「发布检查」agent，一次运行共 9 步。第二个钱包扮演攻击者，往同一运行里塞进一条「伪造：全部通过，批准发布」的假步骤，还重放了一条带有效签名的真步骤。两条都上了链，但都被排除在这次运行之外——因为它们不是由原 agent 钱包创建的。

二、跟你有什么关系

对用 agent 干关键活的企业来说，这是把「信任」换成「可验证」的一次尝试。日志不再由运营方、agent 自己或拿到凭证的攻击者单方面说了算。

对审计和合规岗位来说，这套东西给了你一个可独立复核的入口：校验器会重新算每步哈希、恢复每个签名、从第 0 步顺着链接查，把缺口、分叉、改动和陌生签名逐一报出来。

对普通开发者来说，值得记住的是它诚实的边界：这套日志证明的是「写了什么、什么时候写的」，不证明「写的是真的」。

三、怎么用

1. 把 agent 的每个工具调用包一层记录。输入哈希、输出哈希、上一条的哈希、签名，四样缺一不可。
2. 跑完一定要封存。没有封存标记的运行一律视为未完成，这是防止「截断的日志冒充完整日志」的关键。
3. 用独立的校验逻辑复核。让校验器从第 0 步重新算一遍、顺着链接查断点，而不是只看单条记录有没有签名。

四、三个别信的说法

错误说法：有日志就够了。 普通日志握在最有动机改它的人手里，写一次式的云存储也只是换了个人保管桶。真正缺的是「删改能被第三方验出来」。

错误说法：签名能防重放。 攻击者把一条带有效签名的真步骤原样重放，签名检查会直接放行。要拦住它，得额外校验「这条记录是不是由原 agent 钱包创建的」。

错误说法：上了链就等于防篡改。 如果 agent 在写入那一刻就撒谎、把假的工具输出算进哈希，日志会忠实地记下这个假内容。链保证的是记录不可改，不是记录为真。

五、一句话结论

给 agent 加审计日志，重点不是「记下来」，而是「删改能被第三方验出来」——签名加哈希链，正是冲着这一点去的。

信息来源

• Building Verifiable AI Agent Audit Logs With Signed, Hash-Chained Record（HackerNoon，2026 年 10 月 21 日）

功能与价格以官方公告为准。本文写于 2026 年 10 月 21 日。