当日志掌握在转售方手中时，如何证明某条日志出自哪个智能体

这是什么？

TRACE 是一种面向 LLM 智能体动作日志的溯源水印，由新南威尔士大学、格里菲斯大学与 CSIRO 旗下 Data61 的团队于 2026 年 7 月 9 日发布于 arXiv。随着智能体越来越多地通过中间商触达用户，它所针对的治理问题也日益紧迫：当某个智能体行为在事故后引发争议时，归因依赖于轨迹日志——即工具调用、观测结果与已执行动作的记录。棘手之处在于谁持有这份日志。一个获授权转售开发者智能体、将其改挂自有品牌，或悄悄替换为更廉价模型的转售方，恰恰也是为计费而存储并修改该日志的一方。任何直接从该日志读取的水印，都可能被受审计的这一方抹去。据作者所述，TRACE 是首个被设计为能在对手对证据本身拥有完整读写权限的情况下依然存活的智能体水印。

工作原理

核心思想是：任何采用单一密钥方式的单一水印，总会败于转售方两种洗白手法之一，因此 TRACE 在同一条轨迹上承载两路互补信号。想要缩减并净化日志的转售方会删除步骤，这会使任何由位置派生的密钥失去同步。想要改挂品牌的转售方会改写观测并重命名工具，这会改变任何由内容派生的密钥。没有任何单一密钥能同时抵御两者。

TRACE 叠加了两个通道。选择通道调制智能体在环境可行选项中选择哪个动作，采用一个以先前内容为密钥的无失真采样器；作者证明所得动作分布与未加水印的智能体完全相同，且由于密钥取自局部内容，一次删除只损坏相邻的一个密钥，检测会在下一个决策处重新同步。计数通道调制每个决策组包含多少条记录，仅以日志的结构骨架为密钥——这是改写无法触及的量，因而该通道对任意强度的改写或重命名都保持不变。论文表明，可检测信号需以决策熵为代价（每个决策至少支付其熵的一半，确定性决策则不支付），而同时抹除两个通道会迫使转售方改动骨架并破坏其获酬交付的一部分轨迹。我们仅在概念层面描述该机制；形式化证明与检测器统计量见论文原文。

为何重要

溯源是问责的第一步，而智能体正越来越多地采取行动而非仅仅生成文本——开工单、发消息、执行代码、开展事件响应。当其中某个动作造成损害时，运营方必须证明其智能体执行了哪些已记录动作、未执行哪些；审计合作方流量的平台也必须判定某条轨迹是否真的出自其所声称的智能体。要求提供智能体标识符与活动日志的治理提案，其前提正是这些日志能够被归因。TRACE 处理的是现有智能体水印所遗留的情形：不是扰动日志的外部攻击者，而是合法持有并编辑日志的中间方。日志签名可证明你本已信任的日志的完整性，但转售方转发改挂品牌的轨迹时只需丢弃上游签名即可；而当持有记录者本身就是对手时，行为水印仍然能够发声。

防御

对于构建或采购智能体的团队而言，其启示是架构性的，而非某个单一控制项。

• 将轨迹日志而非 token 流视为归因单元。 结构化的动作日志会丢弃文本水印所依附的采样 token；智能体的溯源必须存在于决策与动作序列之中。
• 将日志持有方纳入你的威胁模型。 如果转售方、网关或下游集成方能为你的智能体计费，它就能编辑证据。一个合作方能悄然抹除的归因方案，在合同纠纷中提供不了任何保障。
• 叠加多种溯源信号，不要只依赖其一。 行为水印与经认证的日志、远程证明及可信执行环境并列。签名日志证明你所控制日志的防篡改性；无失真的行为水印则新增一路可在不可信持有者删除与改写下存活的信号。
• 在任务成功率与水印之间做权衡。 由于信号需要熵，低熵、分支决策稀少的智能体承载的信号很少；在假定某方案能对短轨迹可靠归因之前，请先在你自己的工作负载上测量可检测性。
• 将归因预期写入转售协议。 当智能体被转售或白标时，明确谁可以编辑日志、必须保留哪些溯源信息，以及如何核实模型替换方面的声明。

状态

项目	值
类型	防御性研究——面向智能体轨迹的溯源水印
威胁模型	对日志拥有完整读写权限的转售方（改挂品牌、模型替换）
方法	两个通道：以内容为密钥的无失真选择水印 + 以位置为密钥的计数水印
评测基准	ToolBench 与 ALFWorld
报告结果	与未加水印的成功率持平；长轨迹上选择通道检测值接近 z≈100；在 70% 步骤删除下仍可检测；计数通道在 LLM 改写下保持不变
发布	2026 年 7 月 9 日（arXiv:2607.08400）
状态	学术预印本；并非产品或漏洞

关键日期：2026 年 7 月 9 日——TRACE 预印本（arXiv:2607.08400）发布。它建立在 2026 年智能体行为水印的一条研究线上（Agent Guide、AgentMark、AgentWM、ActHook），以及智能体轨迹水印的相关工作（arXiv:2602.18700）之上。作者单位与结果均以预印本所述为准。