Show HN: Clay Seal Identity – 代理需要问责制

Clay Seal Identity 是一个专注于 AI 代理身份和问责制的开源项目，旨在解决代理在操作真实系统时的身份验证问题。该项目为每个代理运行提供短期、可验证的凭证，而不是借用长期的人类或服务 API 密钥。其核心目标是让接收服务能够明确回答：这个代理是谁？谁启动了它？凭证何时过期？调用者是否持有令牌绑定的工作负载密钥？

该项目是 Clay Seal 的第一层（L1），后续的 L2 和 L3 层（目前处于私有预览阶段）将分别添加运行时能力作用域和执行收据，以提供比单纯身份更强的执行保障。L1 本身专注于身份证明和凭证的有效性，但并非完整的运行时沙箱。对于需要撤销敏感的操作，建议使用在线验证或服务器端能力授权。

技术实现上，Clay Seal Identity 支持 SPIFFE JWT-SVID 和 X.509-SVID 凭证，用于广泛的联合兼容性和 mTLS 支持。同时，它使用 Ed25519 工作负载密钥进行发送方约束和离线持有证明。凭证包含持有证明确认声明，即使令牌被盗也无法单独使用。此外，项目还提供作用域化的租户 API 密钥（包括发行者、验证者、读取者、撤销者、管理员角色），以及 Biscuit 原语用于本地 Clay Seal 能力事实。

项目包含一个以 Python SDK 为中心的实现，核心库为 clayseal.identity，并提供一个可选的 FastAPI 身份服务用于集中式发行和验证。SDK 支持开发模式下的快速原型设计，生产环境则需使用平台颁发的证明文档（如 GCP 实例身份令牌、Kubernetes 服务账户令牌或 AWS EC2 实例身份文档）。存储方面，默认使用 SQLite 进行开发，生产环境支持 PostgreSQL，并通过 Alembic 进行迁移管理。

集成方面，Clay Seal Identity 提供了针对 MCP 服务器的原生支持，通过 @clayseal/verify JavaScript 验证器用于 Node 环境，以及 Hermes Agent 的技能集成。项目文档详细说明了 FastAPI、MCP、LangChain 等框架的集成方式，并提供了零配置的演示示例，帮助开发者快速上手。

需要注意的是，该项目当前版本（0.6.0 发布于 2026 年 7 月 10 日）仅提供身份层，已知的安全边界已在文档中记录。对于涉及敏感数据的集成，建议在整合前阅读隐私文档。开源社区正在积极寻求贡献，特别是在实际集成和负面测试方面。