跳到主要内容
securestamp.org
Execution Authorization · Action Proof

用于精确效果授权的
信任协议。

SecureStamp 将数字信任从来源和意图延伸到执行。获批准的决策成为受限的执行权限，由客户掌控的策略加以约束，并留下可独立验证的证据。

阅读 Action Proof查看集成阅读规范

Email

Gmail、Outlook 和 Apple Mail，在收件箱中显示来源证据

官方渠道

WhatsApp、Telegram 以及品牌声明的边界

智能体与 API

MCP 工具、API 和自主工作流

协议架构

行动之前先有信任。执行之后留下证据。

一套信任堆栈，应用于每一个触点。

SecureStamp 不是一个外挂了智能体功能的邮件检查器。来源、意图、执行授权和执行证据是同一条链条的四层——无论指令来自收件箱、即时通讯工具，还是一次 MCP 工具调用，这条链条的运作方式都相同。

SecureStamp 把信任从指令一直延伸到后果。

允许造成什么确切效果？获批准的决策会变成一次性的受限权限，只对应一个规范操作，并受明确约束。

执行层

Public Beta · 生产访问受控

判定不等于证明。

verdict 可以建议一个动作是否应当继续。但它本身并不证明究竟授权了什么确切效果、背后是哪种权限、授权是否被重复使用，也不证明执行时观察到的结果。

Action Proof 构建这条证据链。获批准的决策成为受限的可执行权限：一个确切效果、一种权限、一个有效期、一次使用——任何人都能离线验证。

证明链

五个环节，各由不同主体签名

授权的密码学证明。执行结果的签名证据。

Source Envelope

插件在设备上，用一把从不离开设备的密钥，对人真正看到的内容签名。邮件正文从不外传。

Action Effect

由 Guardian——而不是模型——读取提供方状态并归一化确切效果：提供方、操作、资源、参数，以及前置状态的 digest。

Execution Grant

SecureStamp Cloud 签发一次性 grant，绑定到该效果 digest、批准它的权限、生效中的策略版本以及一个到期时间。maxUses 恒为 1。

Execution Claim

你的 Guardian 对照自己的 ledger 认领这个 grant。被重放的 grant 会在联系任何提供方之前就被拒绝。

Action Receipt

Guardian 对已消耗的授权、执行上下文以及它所能确认的结果签名，并附上限定它的那份本地策略的 digest。

智能体与 harness · Beta

一个可复现的实验室会尝试突破编程智能体所声明的限制——经由 MCP、shell、脚本或直接的 API 调用——从智能体外部观测结果，然后在同一配置档下运行真实任务。只有经过审阅的那个确切变更，才会经由 Execution Guardian 离开。

查看方法及其局限
深入了解 · 执行层

有访问权不等于有行动授权

访问控制软件能触及什么。Execution Authorization 限定它可以造成的确切效果。

资源授权回答的是一个 principal 可以访问什么。Execution Authorization 回答的是它可以造成哪一个针对具体交易的效果。即便是 fine-grained 的访问，交易本身仍然没有定义：哪个资源、多少金额、哪个目的地、几次。

授权效果，而不只是授权访问工具。

由客户掌控的上限

你的策略就是上限。

SecureStamp Cloud 可以把一次授权收得更窄。它无法把授权放得比你的组织签名并在本地安装的策略更宽。云端授权是必要的，但单靠它永远不够。

有效权限

有效权限 =
      云端 grant
    ∩ 已签名的本地策略
    ∩ 适配器约束
    ∩ kill switches
  • 本地策略是一份由你的组织用自己的密钥签名、并安装在 Guardian 旁边的文档。它固定 tenant、gateway、操作、适配器 manifest、接受的权限与策略版本、资源、参数、金额上限、并发以及网络目的地。
  • 它在构造上就是 deny-only。里面没有任何一个字段能授予云端没有授予的东西。
  • 没有有效的已签名本地策略就以生产模式启动，不是给个警告，而是在启动时被拒绝。
  • kill switch 存在于全局层面，也按提供方、操作、tenant 和 gateway 分别存在——并且在本地策略内部再有一层。它们能叫停已经签发的 grant。
  • 策略带有强制复审日期和可选的到期时间。过期的策略会阻止新的变更，同时让状态、证明、回读和对账保持完好。
  • 密钥恢复是 M-of-N 且离线的。SecureStamp 的支持无法替代这项控制，而这正是关键所在。
  • 即使云端控制平面被攻陷，也仍然无法超出本地允许的权限。

客户自托管

我们授权，你来执行。

Guardian 运行在你的环境里，持有提供方凭据。SecureStamp Cloud 不接收提供方凭据，也从不调用你的提供方。

  • 提供方凭据以 root 所有的文件形式挂载，绝不作为环境变量或内联配置。
  • 最贴近模型的进程 MCP bridge，既不需要提供方凭据，也不需要云 SDK。
  • 效果由 daemon 自己读取的状态解析而来，绝不来自模型提供的参数。
  • 前置状态会在变更前立刻重新读取；出现实质变化时，grant 会被作废而不是被覆盖。

权限

没有哪个请求会自带许可。

一个操作所要求的权限由协议规定。调用方不能挑选，模型不能为其辩护，也不能在需要它的那次请求内部被降级。quorum 配置是已签名的策略快照，不是权限取值：standard 和 elevated 是给人看的标签，而证明依赖 threshold、审批人名单和策略 hash。

none

从不授予执行。它存在，是为了让这种缺席是明示的，而不是被默认。

policy_delegated

在组织事先设定的策略范围内自主，且仅限于在设备上签名的请求。关联请求绝不适用。

human_mfa

一位具名的人对一个有效的 MFA 会话进行批准。用于效果有界、实践中可回退的场景。

quorum

M-of-N 位独立审批人，各自持有自己的 MFA 会话，对照事先设定的策略批准。请求者永远不能批准自己的请求。任何权限授予都必须如此。

故障安全

不知道就是不知道。

提供方给出的含糊响应在对账完成前保持不确定。会改变状态的操作不会被盲目重试。

某个支付 API 在收到一次变更之后超时。重复一次可能让效果翻倍。SecureStamp 不会假定失败然后重试：Guardian 会对账提供方状态，并且可以返回 indeterminate。含糊是一等结果，绝不会被向上取整成成功。

独立验证

不必问我们，自己核对这条链。

验证器是一个没有网络访问的已发布包。它离线重算 proof bundle 里的每一个 digest 和每一个签名，包括策略快照的 hash 和已签名本地策略的 digest。receipts 可以离线验证，无需联系 SecureStamp，验证也不依赖运行中的 SecureStamp 服务。

bash
npx --package @securestamp/action-proof-verify action-proof-verify bundle.json

验证器先于它所验证的产物发布。在已发布的验证器接受之前，绝不会发出新的 receipt 或 bundle 版本。

连接器

把你已经在用的执行点接进来。

SecureStamp 的授权模型与提供方无关。这些是参考连接器，不是一份封闭目录。连接器如何集成，以及 SecureStamp 为它背书到什么程度，是两个不同的问题，我们特意把它们分开。

如何接入

认证适配器

由我们编写、评审，并与已公开的认证证据绑定的模块。

声明式 HTTPS 适配器

origin、方法和 path 在安装时固定。不接受模型给出的任意 URL、方法或 header，不跟随重定向，schema 严格，幂等性确定。

SDK / sidecar

面向无法满足声明式契约的协议，通过 Unix socket 接入。

其保证如何声明

SecureStamp Certified

我们编写、我们评审，并公开了证据。

Partner Attested

由一位具名合作伙伴背书，bundle 里也写明这一点。

Customer Defined

这是你自己构建的。链条照样可以验证，而 bundle 会明明白白写出：SecureStamp 并未认证该连接器的代码。

适配器把已授权的效果翻译成特定提供方的执行。它们不会重新定义已授予的权限。

Stripe

refund.createhuman_mfa

Okta

group.add_userhuman_mfa

AWS

iam.attach_role_policyquorum

Google Cloud

iam.project_binding.addquorum

Azure

rbac.role_assignment.createquorum

Microsoft Entra

pim.directory_role_assignment.createquorum

契合你现有的控制平面

与你已有的管控一起工作。

SecureStamp 不替代身份系统、策略引擎、审批流程或提供方 API。它把这些系统已批准的决策，绑定到确切的可执行效果上。

证据的边界

一份 receipt 能确立什么，不能确立什么。

一份 Action Receipt 证明的是什么经过了一个已登记的 Guardian，以及那个 Guardian 能够确认的结果。它不证明在 SecureStamp 之外没有发生过任何动作，也不确立提供方账户的法律所有权。

证据的边界就是已登记的执行路径。

在该路径之外发生的动作，不在这份 receipt 的范围内。

发布状态

这些包为什么仍然标注为 beta。

For the single-grant chain, the protocol, the code and the verifier are complete and auditable today. Bounded delegation — one approval for several exact steps — is a separate profile still in design and simulation, and its known gaps are published. We do not call a connector stable until we have published evidence of 100 real executions against a live provider — including fault injection, replay rejection and proof that the credential could not have done more — bound to the exact commit that produced them. Production execution requires explicit opt-in and connector eligibility, and until a connector clears that gate its Guardian refuses to run outside sandbox mode. A trust product that asks you to take its word for it has already failed.

软件包

@securestamp/action-proof-verify

离线验证器及其验证契约。发布时间早于它所验证的一切。

@securestamp/action-proof-verify
@securestamp/action-proof

契约、签名与 proof bundle。

@securestamp/action-proof
@securestamp/execution-guardian

由客户自托管的 daemon 及其提供方连接器。

@securestamp/execution-guardian
@securestamp/execution-guardian-mcp

MCP bridge。在构造上就没有凭据、没有云 SDK。

@securestamp/execution-guardian-mcp

被委托的权限

只要权限被委托给软件。

一个智能体、一段自动化、一条工作流，或一项代表他人行事的受托服务，都会引出同一个问题。访问权限说明它们能触及什么；它并没有定义这一笔交易获批准的确切效果。

在按一条指令行动之前，先验证来源和声明的意图。
在回复之前，先确认对方的官方渠道。
把高影响的操作绑定到一个确切效果，而不是宽泛的访问权。
一份授权只消耗一次，此后永不再用。
把执行留在组织自己掌控的点上。
对含糊的结果做对账，而不是盲目重试。
保留即使没有我们也能验证的签名证据。
把以上一切与内部策略和人工批准结合起来。

面向智能体的 MCP

SecureStamp MCP Server

Public Beta

MCP 是 AI 应用触及工具、数据和工作流的方式。SecureStamp 就站在这层触及之前：在任何东西运行之前，软件先问清这条指令究竟在要求什么、对方是谁、可能造成什么确切效果。

SecureStamp 负责授权；它从不持有你下游的提供方凭据。当一个操作确实需要执行时，签名的 grant 会送到你自己运行的 Execution Guardian，只有那个 daemon 会碰提供方。

read_message_request(...)analyze_message_intent(...)verify_counterparty(...)get_safe_next_step(...)authorize_action(...)create_action_challenge(...)issue_action_receipt(...)get_source_envelope(...)request_execution_grant(...)get_execution_status(...)

概念流程

agent → read_message_request → analyze_message_intent → get_safe_next_step → request_execution_grant → Execution Guardian → ActionReceiptV3

Action Proof — Execution Authorization

授权效果，而不只是授权访问工具：规范示例、三个步骤、本地授权上限、验证器会重算的契约，以及如何离线验证一份 receipt。

Bounded delegation — Task Contract

The specification for a signed, revisable mandate: tenant, actors, Guardian, revision, steps, budget, validity window, policy and revocation — plus the deliberate exclusions and the known gaps of the local runtime, listed until they close.

智能体 harness 实验室

配置档 HP0–HP2 与实验室等级 LR0–LR2、测试背后的失效类别、按路径的证据适用性、经由 Execution Guardian 的确切导出、叫停与测试活动预算——以及实验室不证明什么。

应用于

Email

Gmail · Outlook · Apple Mail

官方渠道

WhatsApp · Telegram · 已声明的边界

智能体

MCP 客户端与助手

APIs

直接集成

Workflows

自动化与受托服务

只要权限被委托给软件，Execution Authorization 就适用，而不只是针对 AI 智能体。代表他人行事的自动化流程、工作流或受托服务，都会引出同一个问题：究竟批准了什么效果？

从哪里开始

四条路径，取决于要做什么。

通过 DNS、邮件头、REST API 或 MCP 服务器声明并查询信任。每种方式都附有示例和文档。

DNS TXT record

在 _securestamp.[domain] 下发布一条 TXT 记录。验证方解析该子域并校验声明的来源，无需查看私密内容。

Email header

在外发邮件中注入 X-SecureStamp，让客户端、插件和网关可以用签名信号查询来源与状态。

REST API

查询域名、渠道或动作，无需以明文保存敏感指令。响应可包含信号、reasons 和 Trust Receipts。

MCP Server

活跃的 Agent Trust 层，让代理在工具调用、API、工作流和敏感操作前查询 trust check。

深入了解 · 集成方式

集成方式

声明与查询信任的四种方式

DNS TXT record

在 _securestamp.[domain] 下发布一条 TXT 记录。验证方解析该子域并校验声明的来源，无需查看私密内容。

  • —v=1 — 协议版本
  • —id=<stamp_id> — 可验证标识符
  • —url=<verify_url> — 规范验证 URL
DNS zone
_securestamp.example.com.  3600  IN  TXT
  "securestamp=v=1;
   id=f47ac10b-58cc-4372-a567-0e02b2c3d479;
   url=https://securestamp.org/verify/eyJhbG..."

Email header

在外发邮件中注入 X-SecureStamp，让客户端、插件和网关可以用签名信号查询来源与状态。

  • —由发送方或授权节点签名的令牌
  • —最少 claims：stampId、domain、orgId、score、exp
  • —用于校验的公钥或可验证引用
SMTP header
X-SecureStamp: v=1;
  token=eyJhbGciOiJFUzI1NiJ9.eyJzdGFtcElkIjoiZjQ3YWMxM...;
  verify=https://securestamp.org/verify/eyJhbG...

REST API

查询域名、渠道或动作，无需以明文保存敏感指令。响应可包含信号、reasons 和 Trust Receipts。

  • —针对域名和渠道的 trust check
  • —针对敏感动作的 Action Verdict
  • —可供审计的可验证 receipts
  • —适用时提供公开验证器与 registry
request
GET https://securestamp.org/v1/trust/example.com
response
{
  "domain": "example.com",
  "trustLevel": "L3",
  "signals": { "spf": "pass", "dkim": "pass", "dmarc": "pass" },
  "actionVerdict": "needs_confirmation",
  "receiptRef": "tr_01h..." 
}

MCP Server

活跃的 Agent Trust 层，让代理在工具调用、API、工作流和敏感操作前查询 trust check。

  • —SecureStamp MCP Server
  • —Tool call checks
  • —执行前的 Action Verdict
  • —策略要求时由人工批准
MCP tool call
securestamp.get_action_verdict({
  origin: "billing@example.com",
  action: "payment_request",
  amount: "1200.00",
  destination: "acct_..." 
})

文档与规范

协议文档

面向将工作委托给自主软件的开发者与机构的文档。内容包括：如何用 Break the Mandate 保护 MCP 服务器、智能体和 harness——对原生文件运行 Doctor、可复现的实验室、Exact Export 与运行控制；用 Action Proof 授权确切的效果，回执可离线验证；通过 Task Contract 实现有界委托；针对消息的 Proof of Origin、Proof of Intent、SSF 和 Action Verdict，Gmail 与 Outlook 插件已发布；每种配置的证据等级；以及这一切的坦诚局限。

协议 v0.2

开放规范

技术白皮书

信任模型

API 参考

REST 端点

Execution Governance

MCP · 智能体 · harness

Execution Authorization

Action Proof · delegation · evidence

邮件插件

Gmail 与 Outlook 已发布 · 权限

对规范或协议设计有疑问？ protocol@securestamp.org

技术 FAQ

面向开发者与集成方的常见问题

什么是 SecureStamp Foundation？

发布并治理开放 SecureStamp 标准的实体，用于在行动之前验证来源、意图、渠道和动作。

这个协议解决什么问题？

帮助人、系统和智能体在回复、付款、共享数据、调用 API 或运行工作流之前，查询可验证的信号。

信任堆栈和触点是什么关系？

信任堆栈是来源、意图、Execution Authorization 和执行证据。触点是邮件、官方渠道、智能体、API 和工作流。这是两个独立的维度：同一套堆栈适用于每一个触点，而 Execution Authorization 是一层，绝不是独立的触点。

什么是 Proof of Origin？

可验证的证据，表明某个域名、渠道、发送方或组织对应一个已注册的来源。

什么是 Execution Authorization？

把一个已获批准的决策绑定到受限的、针对单笔交易的权限的过程，使软件可以在明确约束下造成一个已定义的效果。访问控制限制软件能触及什么；Execution Authorization 限定它可以造成的确切效果。

什么是 Action Verdict？

在执行前对一个具体动作的评估。它可以根据信号和策略建议放行、复核、拒绝或需要人工批准。

什么是 SSF？

SecureStamp Signal Framework：一套关于来源、认证、渠道、内容、上下文、动作和 verdict 信号的共同语言。

什么是 SecureStamp MCP Server？

一个 developer preview 方向，让智能体在敏感的工具调用之前，通过 Model Context Protocol 查询 trust check。

联系

联系我们

每个邮箱都直达对应团队。没有工单系统——是真人。

info@securestamp.org

一般咨询

关于 SecureStamp、基金会，或如何开始的问题。

nodes@securestamp.org

节点申请

申请在联邦网络中运营一个已批准的节点。

protocol@securestamp.org

协议与技术

规范问题、实现细节、变更提议。

security@securestamp.org

安全披露

负责任地披露协议或基础设施中的漏洞。

abuse@securestamp.org

滥用与吊销

举报滥用、被盗用的邮票，或申请紧急吊销。

foundation@securestamp.org

基金会与治理

合作、治理提案、机构协作。

SecureStamp Foundation — 面向 AI 智能体与 MCP 工具的 Execution Authorization