你是谁？——数字身份六十年后的终极追问

1961年，费尔南多·科巴托为了解决共享计算机上每位研究人员的私有文件问题，引入了密码：一串秘密字符串，在提示符下输入，与存储的副本比对。这是对最简单问题的最简单回答：你是谁？

此后的六十年里，这个问题回响不绝。从大型机到小型机，从Kerberos KDC到LDAP目录，从Web服务器到浏览器，从SAML身份提供商到OAuth授权服务器，从指纹传感器到人脸识别摄像头——每一代技术都用更精妙的方式作答：哈希密钥、加密票据、签名断言、联合令牌、锁在芯片中的生物模板。答案越来越安全、便捷、数学上优雅，但问题从未改变。

机器提问，人类回答。整个身份基础设施都围绕这一交换构建，并假设它将永久成立。然而，如今情况发生了变化——不在机器，而在我们自身。

我们开始委托：用AI助手处理邮件，因为它高效；用AI安排日程，因为后勤繁琐；预订、研究、比价、客服——数字生活的长尾任务逐一交给代理。每一次委托都看似便利，每一次都用同样的逻辑辩护：更轻松，而人类总是选择阻力最小的路径。机器仍问“你是谁”，但回答的越来越不是本人，而是代理。

标准制定者和监管机构聚焦于代理本身：它是什么？如何凭证化？如何融入为人而建的基础设施？这些是合理的操作性问题，但并非首要问题。代理没有意图，没有道德意义上自主性——它们是镜子，极强大的镜子，反射我们投入其中的一切。问题在于：我们构建了什么？编码了什么？把哪个版本的自己送去以我们的名义行动？

这种重定向改变了关键所在。担忧的不是我们要面对新型实体挑战身份理解，而是我们不会反思自己，镜子将越来越大，反射出的只是基础设施六十年来默默构建的扁平化、凭证化的人类身份。

基础设施做的是以技术精妙回答“你是谁”，但那种精妙始终是简化的：你就是你的属性、你的验证声明、你的认证会话和角色分配之和。身份堆栈为处理身份而建，而非理解身份。在便利和摩擦减少的累积中，我们开始接受这种简化版本。档案成为人的替代，凭证成为自我的替代。

验证码（CAPTCHA）早就预见了这一点。自20世纪90年代末以来，每一次“你是人类吗？”的挑战都已承认基础设施无法区分。不是因为机器人多复杂，而是因为基础设施识别人类的信号，任何有耐心的模仿者都能模仿。基础设施从未衡量人性，它衡量的是对协议的遵从性。我们称之为身份，然后继续前行。

AI揭示的是，那个账户中一直缺失了多少内容。代理可以持有凭证、维护会话、执行构成数字身份的认证操作，并且可以持续大规模地进行。于是，交易另一端的系统开始为代理而非我们优化。为人浏览而设计的Web成为机器对机器交互的脚手架，实际工作在其上进行。为人赋予数字存在而建的基础设施，变为人类部署数字代理的管道。

这个故事里没有“他们”，只有我们自己，被反射回来。前方的分叉点并非人与机器的共存或冲突，而是一个更安静的选择，完全属于我们：我们可以接受基础设施已建成的一切，继续前进，让代理倍增、委托深化，将凭证化版本视为足够接近真实；或者，我们可以将此视为一个契机，在新基础设施锁定之前，停下来问问自己：我们真正认为身份是什么？

第二种回应需要任何标准过程都无法提供的东西：在外部架构确定之前，先完成内部工作。去问，不仅是如何凭证化代理，而是我们想委托什么，为什么委托，以及如何才能找回那些东西。注意到将身份简化为属性、会话和角色分配是基础设施的一个选择，而非它发现的真理。记住，“朋友”这个词在平台将其简化为计数和按钮之前有着更丰富的含义，而身份也有着比任何证书能约束的更丰富的含义。

一个乐观的解读是，委托为这种工作创造了空间：将数字杂务交给代理，归还了我们花费在其中的时间和注意力。这为重新连接数字世界一直拙劣替代的事物——物理世界、共享房间和餐饭的人、无需登录的人在人群中的体验——敞开了可能性。但那种回收并非自动发生。你归还人们的时间，他们可能用另一种分心填满它。问题不在于代理是否接手工作，而在于我们，手握曾被工作占据的时间，是否还记得用它做什么。

协议将被起草，标准将出现。做这些工作的人大多思考下一次部署和下一个合规截止日期，基础设施向来如此。更深的问题属于我们其余的人，而且并非新问题：它早在1961年密码回答“你是谁”并且人人都接受并继续前进时就被推迟了。此后每一步都在推迟。问题是身份实际上是什么——不是如何编码、委托或凭证化，而是在任何基础设施触碰之前它由什么构成。

我们被再次问及这个问题，比以往更迫切，通过一面已变得非常大的镜子。机器仍在问：你是谁？六十年以来，第一次，也许值得为此静坐沉思。