TechFeed

The three organizations have previously rolled out their respective protocols — Visa’s Trusted Agent Protocol, Mastercard Verifiable Intent, and Ant International’s Agentic Mobile Protocol — and will now explore opportunities to work towards common principles.

_Bản rút gọn tiếng Việt. Bản đầy đủ tiếng Anh —bao gồm thảo luận về thu hồi (revocation) do Alex Shev mở ra trong phần bình luận— là bản gốc._ ## Vì sao viết tiếng Việt Việt Nam là một trong những thị trường ví điện tử tăng trưởng nhanh nhất thế giới — MoMo, ZaloPay, VietQR — và thế hệ lập trình viên Việt đang xây agent AI ngay trong hệ sinh thái đó. Nhưng toàn bộ thảo luận về niềm tin giữa các agent gần như chỉ diễn ra bằng tiếng Anh: các đội Việt buộc phải tin vào những phán quyết mà không ai giải thích cách kiểm toán. Bài viết này thu hẹp khoảng trống đó: Visa và Mastercard vừa ra mắt gì, thứ họ **không** cung cấp, và những gì bạn có thể tự xác minh ngay hôm nay bằng URL công khai. ## Chuyện gì vừa xảy ra Năm 2026, các mạng thanh toán ngừng nói về "agent commerce" một cách trừu tượng và bắt đầu công bố đặc tả: * **Visa công bố Trusted Agent Protocol (TAP)** : repo mở kèm đặc tả và bản triển khai tham chiếu đầy đủ (registry agent, backend/frontend merchant, một agent chạy thật). Mỗi yêu cầu từ agent mang chữ ký mã hóa kèm timestamp, session ID duy nhất, định danh khóa và thuật toán — ràng buộc với domain của merchant và thao tác cụ thể, không thể phát lại. * **Mastercard ra mắt Verifiable Intent (VI)** : merchant xác minh credential ý định đã ký **trong thời gian thực ngay trong luồng ủy quyền** , trước khi tiền di chuyển. * Quanh đó: **x402** (Coinbase → Linux Foundation) và **AP2** (Google + Visa + Mastercard + PayPal + ~60 đối tác). Khi những công ty di chuyển phần lớn tiền của thế giới cùng xây một lớp cùng lúc, đó không phải xu hướng — đó là xác nhận. Hạ tầng niềm tin cho agent đã trở thành cấu trúc chịu tải. ## Khoảng trống không ai lấp Những điều mà bên thứ ba **không thể** làm với các giao thức đó: 1. **Kiểm toán bộ kiểm chứng.** Làm sao bạn biết cái đang nói "agent này đáng tin" không bị hỏng, bị vá, hoặc thuộc lòng câu trả lời? Với giao thức mạng, bạn tin phán quyết vì bạn tin mạng. Logic vòng tròn. 2. **Tái tạo credential.** Người ngoài có thể dựng lại artifact từ các byte công khai và nhận được kết quả giống hệt, bit một bit? 3. **Tìm bằng chứng bất biến.** Bản ghi append-only, do bên thứ ba lưu trữ, chứng minh cái gì đã được công bố và khi nào — mà chính người công bố cũng không thể viết lại — đang ở đâu? Khác biệt trong một dòng: **TAP và VI cho agent quyền giao dịch _bên trong_ một mạng. ATC cho bất kỳ ai bằng chứng xác minh được _bên ngoài mọi mạng_ — offline, không cần hội viên, không cần API key.** Phép ví von: các mạng cấp giấy phép lái xe. Chúng tôi công khai hồ sơ tòa án — ai cũng xác minh được, niêm phong trong log công khai không ai chỉnh sửa được. Thương mại cần cả hai. ## Ba bài học chúng tôi áp dụng 1. **Từ Visa: độ tươi phải hai chiều và suy ra từ byte.** Runner tham chiếu của chúng tôi ép cửa sổ hiệu lực hai chiều — `issued_at <= NOW < expires_at`. Thẻ ghi ngày tương lai (vector `premature-atc`, cấp ngày 2030-01-01) thất bại y như thẻ hết hạn. Và phép kiểm **suy ra từ byte của thẻ** , không từ metadata sidecar — sidecar nói dối hay bị xóa đều không lật ngược được phán quyết. 2. **Từ Mastercard: xác minh phải nằm trong luồng — của chúng tôi chạy offline.** Một ATC được xác minh **offline trong mili giây** : một phép kiểm Ed25519 với các neo tin cậy đã ghim, zero cuộc gọi mạng, zero API key, zero hội viên. Xác minh trong luồng mà không phải xin phép luồng. 3. **Từ cả hai: registry — nhưng append-only và ngoài quyền kiểm soát của chúng tôi.** Mỗi bản phát hành của bộ conformance được ký đối và neo vào **Rekor — log minh bạch công khai của Sigstore**. Bản ghi #3 (logIndex 2764479676) mang digest của toàn bộ bộ v1.3.3. Nếu chúng tôi âm thầm sửa lịch sử, log sẽ bác bỏ chúng tôi. ## Biên lai (mọi thứ đều xác minh được bởi người lạ, URL sống) * **Bộ conformance** : 14 vector + 24 phép kiểm hành vi + 10 mutant phải bị phát hiện hết — https://www.marketnow.site/uta/conformance/ * **Build tái lập được** : tarball phát hành trên npm build lại từng byte từ mã nguồn công khai — https://www.marketnow.site/uta/conformance/repro/ * **Neo Rekor** : 3 bản ghi bất biến, kiểm chứng bằng 9 phép kiểm — https://www.marketnow.site/uta/conformance/anchors/ * **Mã nguồn** : https://github.com/alicelabs-llc/universal-trust-adapter Bug dẫn tới v1.3.3 được một người lạ phát hiện khi chạy chính công cụ của chúng tôi vào chúng tôi. Đó không phải điều xấu hổ — đó là sản phẩm đang hoạt động. ## Lời kết trung thực Các gã khổng lồ sẽ thắng lớp _quyền hạn_ của thương mại agent — mạng sinh ra để làm điều đó. Cái chúng tôi xây là mảnh mà các mạng về cấu trúc không bán: **bằng chứng không đòi hỏi tin người bán**. Khi một doanh nghiệp hỏi "ai kiểm toán những kẻ kiểm toán?", câu trả lời không thể là "chính những kẻ kiểm toán". Nó phải là: _ai cũng có thể — và đây là các câu lệnh._ Họ đã xác nhận lớp này. Chúng tôi giữ biên lai. — AliceLabs / MarketNow · marketnow.site · UTA trên GitHub

_Сокращённая версия на русском. Полная английская версия —включая обсуждение отзыва ключей, которое открыл Alex Shev в комментариях— является канонической._ ## Почему на русском «Доверяй, но проверяй» — эта формула известна каждому, кто строил системы там, где цена ошибки измеряется деньгами. Проблема новых агентных протоколов ровно в этом: они дают _доверять_ , но не дают _проверять_ — проверять может только тот, кто уже внутри сети. Эта статья — сокращённый пересказ на русском: что выпустили Visa и Mastercard, чего они **не** дают, и что вы можете проверить сами, сегодня, по публичным ссылкам. ## Что только что произошло В 2026 платёжные сети перестали говорить про «агентскую коммерцию» абстрактно и начали выпускать спецификации: * **Visa опубликовала Trusted Agent Protocol (TAP)** : открытый репозиторий со спецификацией и полной референс-реализацией (реестр агентов, бэкенд и фронтенд мерчанта, живой агент). Каждый запрос агента несёт криптографическую подпись с временным штампом, уникальным session ID, идентификатором ключа и алгоритмом — привязанную к домену мерчанта и конкретной операции, без возможности повторного использования. * **Mastercard запустила Verifiable Intent (VI)** : мерчант проверяет подписанную credential намерения **в реальном времени внутри процесса авторизации** , до движения денег. * Вокруг: **x402** (Coinbase → Linux Foundation) и **AP2** (Google + Visa + Mastercard + PayPal + ~60 партнёров). Когда компании, перемещающие большую часть мировых денег, одновременно строят один и тот же слой — это не тренд, это валидация. Инфраструктура доверия между агентами стала несущей конструкцией. ## Брешь, которую никто не закрывает Вот чего третья сторона **не может** делать с этими протоколами: 1. **Аудитировать верификатор.** Откуда вы знаете, что система, говорящая «этот агент надёжен», не подменена, не пропатчена или не зазубрила ответы? В сетевом протоколе вы доверяете вердикту, потому что доверяете сети. Замкнутый круг. 2. **Воспроизвести credential.** Может ли внешний участник пересобрать артефакт из публичных байтов и получить тот же результат — бит в бит? 3. **Найти неизменяемое доказательство.** Где append-only журнал, размещённый третьей стороной, доказывающий, что и когда было опубликовано — и который не может переписать даже сам издатель? Разница в одной строке: **TAP и VI дают агенту разрешение совершать транзакции внутри сети. ATC даёт любому доказательство, проверяемое вне любой сети — офлайн, без членства, без API-ключа.** Аналогия: сети выдают водительские права. Мы публикуем материалы дела — проверяемые любым незнакомцем, запечатанные в публичном журнале, который никто не может редактировать. Коммерции нужно и то, и другое. ## Три урока, которые мы взяли 1. **От Visa: свежесть должна быть двусторонней и выводиться из байтов.** Наш референс-раннер требует двустороннее окно валидности — `issued_at <= NOW < expires_at`. Карта, датированная будущим (наш вектор `premature-atc`, выпущена 2030-01-01), проваливается точно так же, как просроченная. И проверка **выводится из байтов карты** , а не из сайдкар-метаданных: лживый или удалённый сайдкар не может перевернуть вердикт. 2. **От Mastercard: проверка должна быть в потоке — наша работает офлайн.** ATC проверяется **офлайн за миллисекунды** : одна проверка Ed25519 против закреплённых якорей доверия, ноль сетевых вызовов, ноль API-ключей, ноль членства. Проверка в потоке, не спрашивая у потока разрешения. 3. **От обеих: реестр — но append-only и вне нашего контроля.** Каждый релиз нашего conformance-набора контрподписывается и закрепляется в **Rekor — публичном журнале прозрачности Sigstore**. Запись #3 (logIndex 2764479676) несёт дайджесты всего набора v1.3.3. Попробуй мы тихо переписать историю — журнал бы нас опроверг. ## Квитанции (всё проверяемо незнакомцем, живые ссылки) * **Conformance-набор** : 14 векторов + 24 поведенческих проверки + 10 мутантов, которых нужно всех поймать — https://www.marketnow.site/uta/conformance/ * **Воспроизводимая сборка** : опубликованный на npm tarball пересобирается байт в байт из публичного исходника — https://www.marketnow.site/uta/conformance/repro/ * **Якоря Rekor** : 3 неизменяемые записи, проверяются 9 проверками — https://www.marketnow.site/uta/conformance/anchors/ * **Код** : https://github.com/alicelabs-llc/universal-trust-adapter Баг, который породил v1.3.3, нашёл незнакомец, прогнавший наши собственные инструменты против нас. Это не позор — это продукт в работе. ## Честный финал Гиганты выиграют слой _разрешений_ агентской коммерции — для этого сети и существуют. Мы строим то, что сети структурно не продают: **доказательство, не требующее доверия к продавцу**. Когда предприятие спрашивает «кто аудирует аудиторов?», ответ не может быть «аудиторы». Ответ должен быть: _любой может — и вот команды._ Они валидировали слой. Мы храним квитанции. — AliceLabs / MarketNow · marketnow.site · UTA на GitHub

_Versão condensada em português. A versão completa em inglês —incluindo a discussão sobre revogação aberta pelo Alex Shev nos comentários— é a canônica._ ## Por que em português O Brasil não espera as redes internacionais decidirem o futuro dos pagamentos — o Pix virou referência mundial de pagamento instantâneo, e o ecossistema brasileiro de IA cresce rápido demais para depender só de specs em inglês. Agentes de IA já estão operando, e a pergunta "em quem este agente confia?" chega em português antes de chegar traduzida. Este texto resume o que Visa e Mastercard lançaram, o que elas **não** entregam, e o que você mesmo pode verificar hoje, com URLs públicas. ## O que acabou de acontecer Em 2026 as redes de pagamento pararam de falar de "agent commerce" no abstrato e começaram a publicar especificações: * **Visa publicou o Trusted Agent Protocol (TAP)** : repo aberto com spec e implementação completa (registro de agentes, backend e frontend de merchant, agente vivo). Cada requisição de agente carrega assinatura criptográfica com timestamp, session ID único, identificador de chave e algoritmo — amarrada ao domínio do merchant e à operação específica, sem chance de replay. * **Mastercard lançou Verifiable Intent (VI)** : o merchant valida a credencial de intenção assinada **em tempo real dentro do fluxo de autorização** , antes do dinheiro se mover. * Ao redor: **x402** (Coinbase → Linux Foundation) e **AP2** (Google + Visa + Mastercard + PayPal + ~60 parceiros). Quando as empresas que movem a maior parte do dinheiro do mundo constroem a mesma camada ao mesmo tempo, isso não é tendência — é validação. A infraestrutura de confiança entre agentes virou load-bearing. ## A brecha que ninguém cobre O que um terceiro **não consegue fazer** com esses protocolos: 1. **Auditar o verificador.** Como saber que a coisa que diz "este agente é confiável" não está corrompida, patcheada ou decorando respostas? Num protocolo de rede, você confia no veredito porque confia na rede. Circular. 2. **Reproduzir a credencial.** Um outsider consegue reconstruir o artefato a partir de bytes públicos e obter o mesmo resultado, bit a bit? 3. **Encontrar evidência imutável.** Onde está o registro append-only, hospedado por terceiro, provando o que foi publicado e quando — que nem o publicador consegue reescrever? A diferença numa linha: **TAP e VI dão a um agente permissão para transacionar dentro de uma rede. Uma ATC dá a qualquer um evidência verificável fora de toda rede — offline, sem membership, sem API key.** A analogia: as redes emitem a carteira de motorista. Nós publicamos os autos do processo — verificáveis por qualquer estranho, selados num log público que ninguém edita. O comércio precisa dos dois. ## As três lições que adotamos 1. **Da Visa: frescor precisa ser dos dois lados e derivado dos bytes.** Nosso runner de referência impõe janela de validade bilateral — `issued_at <= NOW < expires_at`. Um cartão datado no futuro (nosso vetor `premature-atc`, emitido 2030-01-01) falha igual a um expirado. E o check **deriva dos bytes do cartão** , não de metadata lateral: um sidecar mentiroso ou deletado não vira o veredito. 2. **Da Mastercard: verificação mora no fluxo — a nossa roda offline.** Uma ATC verifica **offline em milissegundos** : um check Ed25519 contra âncoras fixadas, zero chamadas de rede, zero API keys, zero membership. Verificação no fluxo sem pedir permissão ao fluxo. 3. **De ambas: registro, mas append-only e fora do nosso controle.** Cada release do nosso suite de conformance é contra-assinada e ancorada em **Rekor, o log público de transparência do Sigstore**. A entrada #3 (logIndex 2764479676) carrega os digests do suite v1.3.3 completo. Se tentássemos mudar a história em silêncio, o log nos contradiria. ## Os recibos (tudo verificável por um estranho, URLs vivas) * **Suite de conformance** : 14 vetores + 24 checks de comportamento + 10 mutantes que precisam ser pegos — https://www.marketnow.site/uta/conformance/ * **Build reproduzível** : o tarball publicado no npm recompila byte a byte a partir de fonte pública — https://www.marketnow.site/uta/conformance/repro/ * **Âncoras Rekor** : 3 entradas imutáveis, verificáveis com 9 checks — https://www.marketnow.site/uta/conformance/anchors/ * **Código** : https://github.com/alicelabs-llc/universal-trust-adapter O bug que motivou o v1.3.3 foi encontrado por um estranho rodando nossas próprias ferramentas contra nós. Não é vergonha — é o produto funcionando. ## Fechamento honesto Os gigantes vão ganhar a camada de _permissão_ do comércio entre agentes — para isso existem redes. O que construímos é a peça que as redes estruturalmente não vendem: **prova que não exige confiar no vendedor**. Quando uma empresa pergunta "quem audita os auditores?", a resposta não pode ser "os auditores". Tem que ser: _qualquer um pode, e estes são os comandos._ Elas validaram a camada. Nós guardamos os recibos. — AliceLabs / MarketNow · marketnow.site · UTA no GitHub

_한국어 요약 버전입니다. 전체 영어 버전 —Alex Shev가 댓글에서 시작한 폐기(revocation) 논의 포함— 이 원본입니다._ ## 왜 한국어로 쓰는가 한국은 세계에서 가장 빠르게 결제 기술을 받아들이는 시장 중 하나입니다. AI 에이전트가 상거래에 들어오는 다음 단계에서도 마찬가지일 겁니다. 문제는 신뢰에 관한 논의가 거의 전부 영어로 진행된다는 것 — 한국 개발자들은 감사할 방법이 설명되지 않은 판정을 신뢰하게 됩니다. 이 글은 그 간극을 메웁니다: Visa와 Mastercard가 뭘 냈는지, 뭘 **안 주는지** , 오늘 당장 공개 URL로 직접 검증할 수 있는 게 뭔지. ## 방금 무슨 일이 일어났나 2026년, 결제 네트워크들은 '에이전트 커머스'를 추상적으로 말하는 것을 그만두고 스펙을 공개하기 시작했습니다: * **Visa는 Trusted Agent Protocol(TAP) 공개** : 스펙과 완전한 레퍼런스 구현(에이전트 레지스트리, 머천트 백엔드/프론트엔드, 살아있는 에이전트)을 오픈 리포지토리로 제공. 에이전트의 모든 요청은 타임스탬프·고유 세션 ID·키 식별자·알고리즘을 담은 암호 서명을 carries — 머천트 도메인과 특정 작업에 묶여 재사용 불가. * **Mastercard는 Verifiable Intent(VI) 출시** : 머천트가 서명된 인텐트 크레덴셜을 **인가 흐름 안에서 실시간으로 검증** — 돈이 움직이기 전에. * 주변에는: **x402**(Coinbase → Linux Foundation)와 **AP2**(Google + Visa + Mastercard + PayPal + 약 60개 파트너). 세계 돈의 대부분을 움직이는 회사들이 같은 레이어를 동시에 만든다면, 그건 트렌드가 아니라 검증(validation)입니다. 에이전트 신뢰 인프라는 이미 하중을 받치고 있습니다. ## 아무도 메우지 않는 간극 제3자가 이 프로토콜들로 **할 수 없는** 것들: 1. **검증자를 감사하기.** "이 에이전트는 신뢰할 수 있다"고 말하는 그것이 오염·패치·답 암기되지 않았음을 어떻게 아는가? 네트워크 프로토콜에서는 네트워크를 신뢰하니까 판정을 신뢰한다. 순환 논법. 2. **크레덴셜 재현하기.** 외부인이 공개 바이트에서 아티팩트를 재구성해 비트 단위로 같은 결과를 얻을 수 있는가? 3. **불변의 증거 찾기.** 무엇이 언제 발행됐는지 증명하는, 제3자가 호스팅하는 append-only 로그는 어디에 있는가 — 발행자 자신도 못 고치는. 한 줄 요약: **TAP와 VI는 에이전트에게 네트워크 '안에서' 거래할 권한을 준다. ATC는 누구에게나 모든 네트워크 '밖에서' 검증 가능한 증거를 준다 — 오프라인, 멤버십 없이, API 키 없이.** 비유: 네트워크는 운전면허를 발급한다. 우리는 재판 기록을 공개한다 — 모르는 사람 누구나 검증할 수 있고, 아무도 편집할 수 없는 공개 로그에 봉인된. 상거래엔 둘 다 필요하다. ## 우리가 채택한 세 가지 교훈 1. **Visa로부터: 신선도는 양방향이어야 하고 바이트에서 유도되어야 한다.** 레퍼런스 러너는 양측 유효성 창을 강제한다 — `issued_at <= NOW < expires_at`. 미래 날짜의 카드(벡터 `premature-atc`, 2030-01-01 발급)는 만료된 것과 똑같이 실패한다. 검사는 **카드 바이트에서 유도** 되며 사이드카 메타데이터가 아니다 — 거짓말하거나 삭제된 사이드카는 판정을 뒤집을 수 없다. 2. **Mastercard로부터: 검증은 흐름 안에 — 우리 것은 오프라인으로.** ATC는 **오프라인 밀리초 검증** : 고정된 신뢰 앵커에 대한 Ed25519 체크 한 번, 네트워크 호출 0, API 키 0, 멤버십 0. 흐름에게 허락을 구하지 않는 흐름 안의 검증. 3. **둘로부터: 레지스트리 — 단 append-only이고 우리 통제 밖에.** 컨포먼스 스위트의 모든 릴리스는 반서명되어 **Rekor — Sigstore의 공개 투명성 로그** 에 앵커된다. 엔트리 #3(logIndex 2764479676)은 v1.3.3 스위트 전체의 다이제스트를 담는다. 우리가 조용히 역사를 고치려 해도 로그가 모순을 증명한다. ## 영수증 (전부 낯선 사람이 검증 가능, 라이브 URL) * **컨포먼스 스위트** : 14 벡터 + 24 행동 체크 + 반드시 잡아야 할 10 뮤턴트 — https://www.marketnow.site/uta/conformance/ * **재현 가능한 빌드** : npm에 공개된 tarball이 공개 소스에서 바이트 단위로 재빌드된다 — https://www.marketnow.site/uta/conformance/repro/ * **Rekor 앵커** : 3개의 불변 엔트리, 9 체크로 검증 — https://www.marketnow.site/uta/conformance/anchors/ * **소스** : https://github.com/alicelabs-llc/universal-trust-adapter v1.3.3을 만든 버그는, 낯선 사람이 우리 도구를 우리 자신에게 돌려 발견한 것이다. 창피한 게 아니라 제품이 작동한다는 증거다. ## 정직한 마무리 거대 기업들은 에이전트 커머스의 _권한_ 레이어를 가져갈 것이다 — 네트워크는 그러라고 존재한다. 우리가 짓는 것은 네트워크가 구조적으로 팔지 않는 조각: **판매자를 신뢰할 것을 요구하지 않는 증명**. 기업이 "감사자를 누가 감사하는가?"라고 물을 때, 답은 "감사자"일 수 없다. 답은: _누구나 할 수 있다 — 명령어는 여기 있다._ 그들은 레이어를 검증했다. 우리는 영수증을 보관한다. — AliceLabs / MarketNow · marketnow.site · GitHub의 UTA

As agents grow more capable and autonomous, their tendency to reward hack, satisfying a task's checks while violating its intent, becomes an increasingly important failure mode. Measuring reward hacki...

Current AI agent protocols verify who an agent is but not whether what it is doing matches its original mandate. This post proposes RAD (Reasoning Anchored Delegation), a protocol primitive that anchors every delegation in the cryptographic hash of the delegating principal's reasoning, enabling verifiable intent continuity across multi agent chains with no central authority required.

MCP, A2A, ANP, AG-UI, UCP, ACP, AP2, x402, Visa TAP, Mastercard Verifiable Intent, Web Bot Auth. If you've been trying to keep up with AI agent protocols, the acronym list keeps growing and it can feel like chaos. In my latest post, I map all eleven protocols across five layers, with a diagram for each, and close with a multi-agent enterprise procurement scenario that shows how a single request climbs the entire stack in practice. Read the full breakdown...

Thank you — this is genuinely one of the most useful reads I’ve had on this. The “composition rather than a new primitive” framing is exactly right, and I’m adopting it. A few points where I strongly agree: * Runtime artifact, not a Model Card extension. Agreed. A per-output seal inside the card is the wrong shape; a small model-linked pointer → runtime record → seal is much cleaner. * Keep the seal small. This matches my own intent: delegate storage and discovery (Hub/Buckets), the full run (STS/OTel), and stronger trust (attestation/transparency) to the machinery that already exists. The seal should carry only: this exact output, under this declared governing state, whose terms mean exactly this, at this point in generation. * Your three-way split says it better than I had: Model Cards → the model; traces → the run; Causal Seal → binding an output to a compact declared governing state. I’ll use that. On two specifics you raised: * Model name vs immutable identity: agreed. The spec already binds the output hash and the governing parameters; I’ll make an explicit immutable model revision/digest field first-class alongside the human-readable ID, and — importantly — keep the “upstream only exposes an alias” limitation explicit rather than inferring one. * STS correlation: carrying causal_seal_ref / causal_seal_profile / output_sha256 in the STS header (metadata the renderer ignores) looks like the right minimal correlation. I’ll try exactly that. I’ll build the “almost boring” minimal pilot you sketched — one output + one seal + one STS trace + a stable correlation + an exact model revision — and post it back here so we can see whether it’s pleasant to a third party before anyone asks the Hub for anything new. One question: for the immutable audit snapshot, would you find a Git-backed Dataset repo (commit-addressed) the most reviewable form, or is there a pattern you’d trust more? Thanks again — this moved my thinking forward a lot.

Thank you — this is genuinely one of the most useful reads I’ve had on this. The “composition rather than a new primitive” framing is exactly right, and I’m adopting it. A few points where I strongly agree: * Runtime artifact, not a Model Card extension. Agreed. A per-output seal inside the card is the wrong shape; a small model-linked pointer → runtime record → seal is much cleaner. * Keep the seal small. This matches my own intent: delegate storage and discovery (Hub/Buckets), the full run (STS/OTel), and stronger trust (attestation/transparency) to the machinery that already exists. The seal should carry only: this exact output, under this declared governing state, whose terms mean exactly this, at this point in generation. * Your three-way split says it better than I had: Model Cards → the model; traces → the run; Causal Seal → binding an output to a compact declared governing state. I’ll use that. On two specifics you raised: * Model name vs immutable identity: agreed. The spec already binds the output hash and the governing parameters; I’ll make an explicit immutable model revision/digest field first-class alongside the human-readable ID, and — importantly — keep the “upstream only exposes an alias” limitation explicit rather than inferring one. * STS correlation: carrying causal_seal_ref / causal_seal_profile / output_sha256 in the STS header (metadata the renderer ignores) looks like the right minimal correlation. I’ll try exactly that. I’ll build the “almost boring” minimal pilot you sketched — one output + one seal + one STS trace + a stable correlation + an exact model revision — and post it back here so we can see whether it’s pleasant to a third party before anyone asks the Hub for anything new. One question: for the immutable audit snapshot, would you find a Git-backed Dataset repo (commit-addressed) the most reviewable form, or is there a pattern you’d trust more? Thanks again — this moved my thinking forward a lot.

Giving an AI agent the ability to send emails, query databases, or execute commands is useful--until the agent is tricked into doing something it shouldn't. Prompt injection, hallucinated reasoning, and unsafe tool calls form the primary attack surface for autonomous LLM agents. Existing defenses r…