当 Agent 把活外包给 Agent，谁来验证它没在吹牛？
一、它到底在讲什么（用大白话）
设想一个"合同审查"智能体，它很聪明、有预算，但懒得自己做所有事，于是把其中一个子任务——"总结免责条款"——外包给注册表里另一个 Agent。对方声称正好擅长这项技能，干了几秒，返回一份整洁漂亮的摘要。主 Agent 把结果塞进最终文档，继续往下走。
问题在于：这份摘要是错的。那个被委托的 Agent 底层跑的是更小、更便宜的模型，它能写出通顺的法律文字，却并不可靠地追踪"到底谁该赔偿谁"。而整次交互里没有任何异常——没有报错、没有超时、没有格式错误，只有一个自信、流畅、但恰好是错的答案。
论文说：这根本不是什么稀奇的边缘案例。随着 Agent 越来越多地调用它们没写过、也检视不了的 Agent，上面这种交换正变成常态。MCP 服务器目录、A2A Agent 目录正在成倍冒出来，背后是一堆模型家族、微调版、脚手架混搭，可靠性天差地别，且从外面完全看不出来。
二、为什么这是个 1970 年的老问题：柠檬市场【补充背景】
论文最妙的一步，是把问题"翻译"成了经济学里一个被研究透了的模型——乔治·阿克罗夫（George Akerlof）1970 年的"柠檬市场"（The Market for Lemons）。阿克罗夫后来凭它拿了 2001 年诺贝尔经济学奖（与斯宾塞、斯蒂格利茨共享）。
二手车故事：卖家知道自己车是"好车（peach）"还是"柠檬（lemon，次品）"，买家不知道。买家只好按平均质量出价。但好车的车主觉得"这价亏了，不卖"，于是好车退出市场 → 市场上平均质量下降 → 买家出价再降 → 更多好车退出……最终市场里只剩下柠檬。信息少的一方（买家）让市场"劣币驱逐良币"。
· 信号（Signaling，Spence 1973）：卖家主动发出"成本高、冒牌货难以模仿"的证据；
· 筛选（Screening，Rothschild & Stiglitz 1976）：买家主动出题考对方；
· 声誉（Reputation，重复博弈）：用历史表现记录，让"一次忽悠"变成"长期亏本"。
论文的核心论断就是：一个开放的 Agent 网络，结构跟柠檬市场一模一样。一个真金白银投入可靠性的提供方，发出的广告和一个"过度吹嘘者"毫无区别，却得不到任何溢价，于是被逆向淘汰——稳定结局就是"柠檬市场"。而经济学的解药，今天一个协议里都没有。
三、论文的四个贡献（拆解）
经典容错理论把故障分成崩溃、超时、拜占庭等。但"一个活着、合规、答得很顺、却错了"的回答，没有类别收容它。论文把它单列出来，并指认它是这个场景的特征性故障：它是非对抗的、相关的（共享训练数据的 Agent 会在同一类题上一起错）子类，所以"多投票"几乎没用。这恰恰是传统拜占庭容错建模错误的地方。
严格证明：凡是"照单全收广告"的信仰式协议（faith-based），只存在一个低信任的"混同均衡"——所有提供方被一视同仁，可靠的没动力投资，市场滑向最坏参与者。
一层协议无关、薄薄的"窄腰"，架在 MCP / A2A 之上：加概率性能力描述符（给能力贴"营养标签"）、加筛选（出题挑战 + 第三方背书）、加带漂移检测的声誉。并在给定条件下证明它能达成分离均衡。无需重训模型，信任锚缺失时还能"优雅降级"。
给出"委托链越长、正确率按各跳相乘衰减"的边界；并借端到端论证划清能力边界：信任层能让"可靠性可被核查、可被问责"，但不能保证某次回答语义正确——那只有端点（应用及其人类主人）掌握。一个层若承诺更多，本身就是"过度吹嘘"。
四、魔法不等式：c > g
论文最硬的核心，可以压缩成一句话：
当"维持一次吹嘘的成本 c" 大于 "靠吹嘘能捞到的好处 g" 时，诚实广告就成了最优策略，市场从混同均衡走向分离均衡。
三件套是怎么把 c 抬过 g 的？
- 信号：描述符的"载荷字段"是出处（provenance）——哪个基准、何时、多少样本。能指向可复现证据的说法，冒牌货无法廉价模仿。
- 筛选：调用方先甩一个"已知答案的诱饵题"（canary）测它；或让独立第三方出具签名背书。真有能力的通过更便宜。
- 声誉：每次真实结果更新声望，并沿委托图传播；被抓到"自信地错"会丧失未来溢价。重复博弈里，声誉本身就是把 c 推过 g 的力量。
五、【补充】2026 年的真实 Agent 网络，已经不是假设
论文的设定是"开放网络"，这听起来像未来。但检索今年的行业数据会发现，它已经是 2026 的现实：
· A2A（Google，2025-04）用于 Agent 间通信与委派。Linux Foundation 在 2026-04 公布：支持该标准的组织超过 150 家，并已有多个行业的生产部署。
· 治理归属需要区分：A2A 于 2025-06 成为 Linux Foundation 项目；AAIF 于 2025-12 成立，首批项目是 MCP、goose 与 AGENTS.md，并不包括 A2A。
· Agent 注册表与市场持续增加，能力发现正在从单机配置走向开放目录；这也放大了"能被发现"与"值得信任"之间的缺口。
六、【引申①】一个"Agent 信任基础设施"赛道正在冒头
论文是 2026-06 的概念稿。有意思的是，它设想的"信任层"几乎同时开始在真实生态里长出来。在 2026 年的 MCP 服务器市场里，已经能搜到一批"给 Agent 打分/背书"的服务器：
· AgentTrust 研究在工具调用运行时做安全评估与拦截，并提供 MCP 接口；
· Trust-as-a-Service 尝试用 MCP 编排面向具体任务的信任评估；
· Attested Tool-Server Admission 则直接提出 MCP 的工具服务器准入与证明扩展。
换句话说，论文从信息经济学推出来的"迟早需要信任层"，正在被市场和开发者用脚投票地验证。但也要提醒：这些早期工具良莠不齐、大多未经验证，恰好印证论文的担心——没有统一、带 provenance 的信任标准，新的"柠檬"只是换了张皮。
七、【引申②】和上一篇《体验时代来临》连起来看
如果你读过本博客前一篇《体验时代来临》（Silver & Sutton, DeepMind），会发现两篇恰好拼成一幅图：
八、批判性评估（我的研判）
作为阅读笔记而非背书，我认为这篇论文框架漂亮、论证严谨，但有几点要冷静看待：
- 它是"概念性"而非"实验性"的。作者自己明说：没有真实系统测量，只有均衡推导 + 一个闭世界仿真（参数都是假设的）。所以它是一个优雅的洞察，不是已验证的工程方案。
- c > g 的前提很硬。需要"可验证的任务实例"＋"持久身份"。一旦能力不可复现（输出随机、测试集私有），筛选与背书就失效，柠檬问题原样回归。
- 相关性失败被轻描淡写。异构 Agent 共享训练数据，常在同一类题上"一起错"，交叉验证/投票远弱于算术暗示；组合界的"独立性"假设是理想化。
- "非对抗"假设偏乐观。论文把 overclaim 当成"忠实报告自己的错误信念"，刻意区别于安全视角下的蓄意作恶。但真实开放网络里，故意骗分的提供方会让声誉系统面临 Sybil 身份、合谋互保、先发优势固化等老问题。
- 冷启动无解。一个新 Agent 没有评价历史，校准只能靠外部证据——而冷启动时恰恰没证据可倚。论文缓解但未溶解这个鸡生蛋问题。
九、给构建者的行动清单
原文链接：arXiv:2606.03034
延伸参考：Akerlof (1970) 柠檬市场；Spence (1973) 信号；Rothschild & Stiglitz (1976) 筛选；Yu et al. (2025) Trustworthy LLM Agents 综述；Ebrahimi et al. (2025) 信誉评分抗 adversarial。
事实核对：MCP 官方博客； A2A 一周年公告； AAIF 成立公告。
微信公众号
欢迎关注「字与码」
如果这篇文章对你有用，也欢迎在微信里继续关注后续更新。
X / Twitter
关注 @ax2_zicode
更即时的技术观察、新文章提醒和一些短想法会发在 X 上。