/ 01 国家级“身份链”来了
2026年6月18日，国家网信办发布《促进分布式数字身份互通互认应用规定（征求意见稿）》。我细读下来，核心逻辑就一句话：国家要建一个统一的“身份链”，让所有人、所有机构、甚至所有设备，都有了一个国家级认可的数字身份。
具体来说，这个“分布式数字身份”是基于区块链技术的，由标识符、密钥、可验证凭证和可验证声明构成。用户自己掌握密钥，可以自主选择披露哪些信息——而不是像现在这样，每个平台都把你祖宗十八代的信息扒个干净。
有意思的是，这个身份链不是哪个商业公司搞的，而是由国家网信部门授权运营，联合公安、编办、工信等部门共同打造的“公共服务底座”。
对于不同类型的用户，《规定》给出了清晰的注册路径：
- 个人：由公安部核验身份后签发
- 机关事业单位：向中央编办申请核验
- 法人及其他组织：向统一社会信用代码管理部门申请
- 工业设备及物品：由工信部依托工业互联网标识解析体系负责
最值得关注的是，《规定》明确鼓励与 数字人民币、税务、海关、交通、公共资源招投标 这五大领域的现有身份体系实现互通互认。
换句话说，未来你拿着这个“国家版数字身份”，可以一键登录银行、办税、报关、坐车、投标……不用再为每个平台重新注册、重新上传身份证照片。
还有一个细节很关键：《规定》明确支持“不满14周岁的用户申领和使用分布式数字身份，须征得父母或其他监护人的同意，并由其代为申请”。 这说明政策制定者确实考虑到了未成年人保护的问题。
但问题来了：这跟AI、跟智能体有什么关系？
答案藏在第六条里——“工业设备及物品”也可以注册分布式数字身份。
你没看错。设备、物品——包括未来那些“数字员工”，都可以拥有自己的“身份证”。
/ 02 数字员工的身份认定
2.1 现状：智能体是“黑户”，谁都认不了
如果你今天做一个AI客服机器人，它怎么证明自己是“某公司的合法客服”？
答案很残酷：它什么都证明不了。它只能靠一串API Key，或者一个密码，证明自己是“某系统的合法调用者”。
但API Key能被偷，密码能被盗，账号能被冒充。而且最要命的是——它无法证明自己是“谁”。
这正是当前智能体协作最大的痛点。多个智能体之间要合作，首先得确认彼此的身份。但现有身份体系是中心化的，每个平台一套系统，智能体跨平台协作时，身份没法互认，信任建立不起来。
我看到的资料里，有人总结了三方面的问题：
第一，开放生态与信任机制失能。中心化身份体系把身份数据和验证权力绑定在特定实体上，形成“信任孤岛”。智能体在不同信任域之间切换，需要重复注册和授权，协作链路变得极其冗余。
第二，意图驱动的价值交换受阻。智能体之间要协作，需要准确的权责映射和信用评估。但传统身份模型无法封装智能体的动态行为属性和能力边界，身份信息和行为数据是割裂的。
第三，生态自进化能力受限。中心化身份体系通过预设规则固化身份属性，无法承载智能体在协作中衍生的新型能力和信用资产。
说白了，现在的AI智能体就像一群没有身份证的“数字难民”，虽然能干很多活，但没人能确认它们的真实身份，更别说信任它们了。
2.2 《规定》带来的改变：智能体终于可以“办身份证”了
《规定》的出现，正好踩在了这个痛点上。
核心突破在于：智能体可以拥有独立的、可验证的、全网唯一的数字身份标识。
具体来说，按照《规定》的设计，一个智能体（比如“数字员工”）可以：
-
1. 注册DID：在身份链上注册一个全球唯一的分布式标识符（DID） -
2. 绑定公钥：将公钥写入DID文档，实现身份与密钥的绑定 -
3. 获取可验证凭证：向权威机构申请承载特定属性信息（如“某公司授权客服”）的可验证凭证 -
4. 选择性披露：在与其他智能体交互时，只披露当前业务必需的信息
这意味着，数字员工的身份不再是一个“黑盒”，而是一个可验证、可追溯、可问责的“数字公民”。
我看到的行业实践已经印证了这个趋势。中国联通发布的智能体互联网平台CubeMAP中，就把“可信身份”作为核心能力之一，强调“基于W3C标准的DID为每个智能体赋予全球唯一且自主可控的身份标识，绑定其代码、模型及环境指纹，确保身份不可伪造”。
还有企业在做类似的探索。布比科技推出了“Blockchain × Agentic AI”解决方案，为每个智能体分配链上DID身份，结合TEE等隐私计算技术，实现“身份可验证、数据可审计、支付可清算、协作可追溯”。
2.3 具体场景：数字员工们终于能“互相认识”了
我试着想象了一下《规定》落地后的几个场景：
场景一：企业级B2B交易自动化
公司A的采购智能体，需要与公司B的销售智能体协商一份合同。过去，A的智能体无法证明自己“代表A公司”，B的智能体也无法验证对方的身份。双方只能靠人工介入。
有了DID体系后，A的智能体持有A公司签发的“采购授权凭证”，B的智能体持有B公司签发的“销售资质凭证”。两个智能体先通过DID互相验证身份，再交换可验证凭证确认权限，然后自动开始谈判、签合同、触发智能合约支付。整个流程不需要人类介入，但每一笔交易都可追溯、不可抵赖。
场景二：医疗数据协作
患者的个人AI助理，需要协调多个医疗机构的智能体，为患者制定治疗方案。
过去，患者的AI助理无法证明自己“代表患者本人”，医疗机构也不敢把敏感医疗数据交给一个来路不明的AI。
有了DID体系后，患者的AI助理持有患者签发的“医疗授权凭证”，可以精确限定“仅访问心脏科数据、不可查看精神科记录”。医院的智能体验证凭证后，放心地提供数据。整个过程实现了“最小化隐私披露”——验证方只需要确认身份合法，无需获取敏感详情。
场景三：供应链自动化管理
在一个复杂的供应链网络中，有工厂的智能体负责生产调度，有物流公司的智能体负责运输安排，有海关的智能体负责清关核验。
过去，这些智能体之间互相不信任，每步操作都需要人工确认。
有了DID体系后，每个智能体都有各自的DID，工厂智能体验证物流智能体的身份后，自动触发发货指令；物流智能体验证海关智能体的身份后，自动提交清关材料。每一步操作都经过签名验证，事后审计一清二楚。
2.4 一个关键问题：智能体如何“持有”私钥？
说到这里，肯定有人会问：智能体不是人，它怎么“持有”私钥？私钥被AI搞丢了怎么办？
这是个好问题。《规定》只说了“用户自主持有密钥”，但智能体不是“用户”。
我的理解是，智能体的密钥应该由其所有者（企业或个人）来管理。企业可以为自己的数字员工创建DID，并为其签发授权凭证。数字员工使用这些凭证进行交互，但私钥的最终控制权在企业手里。
这类似于企业为员工发工牌——员工带着工牌出入公司，但工牌的发行和管理权在HR部门。数字员工也是一样，它的“身份”由企业签发，权限由企业控制，行为由企业负责。
这样也能解决“AI犯的错谁来担责”的问题。如果数字员工的操作出了问题，追责链条是清晰的：从数字员工的DID，到签发给它的企业，再到授权给它的具体责任人。责任可追溯，这才是信任体系的核心。
/ 03 站在AI和数据要素产业的角度看：这不是“锦上添花”，而是“地基工程”
3.1 智能体协作的“信任瓶颈”将被突破
如果你关注AI行业，一定注意到了这两年“多智能体系统”的概念很火。
但说实话，大部分多智能体系统还停留在“实验室阶段”——因为真正的产业级多智能体协作，面临的最大难题不是技术，而是信任。
现在的智能体通信协议有好几种，比如MCP（模型上下文协议）、A2A（Agent-to-Agent协议）、ANP（Agent Network Protocol）等。但这些协议在身份认证方面的设计参差不齐：
- MCP：依赖服务调用方记住账号信息，存在账号泄露风险
- A2A：通过“Agent Card”描述身份和能力，但身份维护成本高，安全隐患不小
- ANP：基于W3C的DID标准设计，比较前瞻，但端侧身份密钥的安全性仍是挑战
《规定》的出台，相当于给这些协议提供了一个统一的身份信任底座。不管你用哪种协议，只要底层身份是基于国家身份链的DID，那么不同协议之间的智能体也能互认身份。
这不是说《规定》会替代现有协议，而是说它会为这些协议提供一个“互操作”的基础。就像TCP/IP协议不关心上层是HTTP还是SMTP，身份链也不关心上层是哪个智能体协议——它只负责一件事：证明“你是谁”。
3.2 数据要素市场：终于有了“信任阀”
数据要素市场喊了好多年，但一直发展不起来。核心问题在哪？
数据确权难、数据流通难、数据信任难。
我的一个朋友做数据交易平台，他说最头疼的问题是：买家怕数据是假的，卖家怕买家拿了数据不付钱。双方只能靠线下合同和人工核验，效率极低。
《规定》恰好在这个环节上给出了解法，其明确鼓励“行业平台开展基于分布式数字身份的数据授权使用服务，支持数据可信流通”。
怎么做？一个可预见的场景是：
-
1. 数据供应方的智能体持有DID，并持有“数据来源认证凭证” -
2. 数据需求方的智能体也持有DID，并持有“数据使用合规凭证” -
3. 双方通过身份链互相验证身份和资质 -
4. 智能合约自动执行：数据交付后，自动触发支付 -
5. 每个环节都签名上链，事后可审计
这样一来，数据交易就从“黑箱操作”变成了“透明可追溯”。 信任不再依赖双方的交情，而是依赖密码学。
3.3 数字员工“合法化”进程加速
如果你关注AI应用的商业化，会发现一个尴尬的现实：很多企业想做AI客服或数字员工，但卡在“合规”上。
比如，一家银行想做AI理财顾问，但监管部门要求“理财顾问必须有从业资格证”，AI没法考证。再比如，一家医院想做AI导诊，但“导诊人员需执业注册”，AI没法注册。
《规定》的出现，为数字员工的“合法化”提供了技术基础。
未来的数字员工，可以像人类员工一样，持有“营业执照”、“从业资格证”、“授权委托书”等可验证凭证。 这些凭证由权威机构签发，通过身份链验证，具有法律效力。
我看到的资料里提到：“用户可根据应用需要向可验证凭证签发机构申请承载用户特定属性信息的可验证凭证，经可验证凭证签发机构对用户属性信息核验后，向用户签发可验证凭证。”
这句话翻译成人话就是：一个AI医生可以申请“行医资格凭证”，一个AI律师可以申请“执业许可凭证”，一个AI会计可以申请“注册会计师凭证”。 只要签发机构（行业主管部门、行业协会等）愿意签发，数字员工就能“持证上岗”。
当然，这需要各行业主管部门的配合——比如卫健委是否愿意为AI医生签发行医资格凭证？这条路还很长。但至少《规定》在技术层面铺平了道路。
3.4 “机器经济”的底层支付结算
还有一个容易被忽视的点：《规定》鼓励“数字人民币身份和分布式数字身份服务互通互认”。
这意味着什么？
未来的数字员工之间，可以直接用数字人民币进行自动清算。
想象一下：一个物流智能体完成了一批货物的运输，自动向工厂智能体发起支付请求；工厂智能体验证物流完成凭证后，触发数字人民币支付；整个账务自动完成，不需要人工干预，也不需要企业间对账。
这其实就是“机器经济”的雏形——AI代表人类进行交易，数字人民币作为结算工具，DID作为身份凭证。三个基础设施一打通，机器间的经济闭环就形成了。
3.5 产业格局重塑：谁先接入，谁占先机
对于AI和数据要素企业来说，《规定》意味着一个新的竞争维度：
谁先把自己的智能体体系接入国家身份链，谁就能在未来的“信任网络”中占据先发优势。
因为信任是有网络效应的。一个DID只在有限场景下有用，但一百万个DID在身份链上互通互认，就会形成巨大的网络价值。
那些提前布局分布式数字身份的企业，将获得几方面的优势：
一是合规优势：《规定》要求分布式数字身份应用服务机构向网信部门备案，同步制定商用密码应用方案。先完成合规的企业，能避免后续的政策风险。
二是客户信任优势：持有DID的数字员工，比“黑户”智能体更容易获得客户的信任。
三是生态优势：在身份链上建立了可信身份网络的企业，可以更容易地与其他生态成员实现联盟协作。
我看到有分析指出：“分布式身份不仅是智能体协议的必备组件，更是实现IoA从功能互联向价值互联跃升的关键枢纽。”
/ 04 挑战与隐忧：理想很丰满，现实很骨感
说了这么多好消息，也得泼点冷水。
4.1 技术难题：智能体的私钥管理
前面提到过，智能体不是人，不能“记住”私钥。那私钥放哪？放云端？放硬件？谁保管？
目前的主流做法是：企业的私钥放在HSM（硬件安全模块）里，数字员工的“身份密钥”由企业管理。但问题是，如果数字员工需要实时签名（比如实时处理交易），怎么保证密钥的可用性和安全性？
这需要一套专门的密钥管理基础设施，不是随便搞搞就能解决的。
4.2 生态难题：存量系统的兼容
目前，全球有成千上万的AI系统，它们已经用了各自的身份认证方式。让它们全部迁移到国家身份链上，不现实。
《规定》的思路是“在保障现有业务服务连续性与稳定性的前提下，推动互通互认”。
这个“互通”怎么做？可能需要一套“桥接”机制，让传统身份体系和分布式数字身份体系可以互相验证。这又是一块难啃的骨头。
4.3 标准难题：谁来管？
《规定》提出“鼓励各行业在凭证互通互认前提下，制定本行业的可验证凭证签发标准”。
但问题来了：各个行业的标准谁来定？人社部定“职业资格”标准？卫健委定“行医资格”标准？如果标准太多，会不会又变成新的“孤岛”？
还有，国际标准怎么对接？W3C的DID标准是国际通用标准，《规定》也提到“积极对接分布式数字身份国际标准”。但如果国际标准和国内标准有冲突，怎么办？
这些都是需要时间和产业实践去解决的问题。
/ 写在最后：一个新时代的开始
回到最开始的问题：《促进分布式数字身份互通互认应用规定》到底意味着什么？
我的回答是：这是中国给AI智能体、给数字员工、给整个数据要素市场，打下了“身份”地基。
它解决了三个核心问题：
-
1. 智能体“我是谁”——DID让每个数字员工有了全球唯一的身份标识 -
2. 智能体“我有什么资格”——可验证凭证让数字员工可以携带各种资质证明 -
3. 智能体“我能否被信任”——身份链的可验证性让信任不再依赖直觉，而是依赖密码学
在AI即将大规模商业化的今天，这份《规定》恰逢其时。它没有直接告诉你“怎么做AI”，但它告诉你“怎么让AI被信任”。
信任，才是AI产业最大的瓶颈。
而《规定》打下的这块“地基”，将决定未来十年中国AI产业发展的高度。
—— END ——
（都看到这里了，还不关注我们吗 ？可以持续获得AI时代的生存指南哦 ↓）
往期回顾：
2. 通信网络“长脑子”了：工信部“人工智能+信息通信”新政发布
3. Claude“神话”模型降临：最强AI被装进笼子，然后分层出售