OAuth 不够用：给 agent 发 Bearer Token 分不清人和机器

brminnick · reddit · 2026-10-17

Reddit 帖子指出一个被低估的问题：直接给 AI agent 发 Bearer Token 并不可靠——从服务端看，无法区分操作者是「人」还是「agent」，也无法可靠审计是哪个 agent 在执行动作。配图用冰山比喻：水面之上是 client application、authorization、expiration 这些常规议题，水面之下还有 delegation、revocation、provenance、proofs、responsible party 等更深层的身份与问责难题。随着 agent 大规模代替人调用 API，现有 OAuth 体系在可归因性和最小授权上都需要重新设计。