事件经过
2026年8月25日，OPAQUE将TRACE（一个用于AI代理和机密工作负载的硬件认证运行时和合规证据的开放规范）贡献给Linux Foundation，Linux Foundation将提供供应商中立治理，而安全AI联盟（CoSAI）将主持技术工作流。TRACE由AMD、Intel、Microsoft、OPAQUE和Technology Innovation Institute（TII）协同开发。TRACE没有从零开始创建新框架，而是将六个现有标准（RATS/RFC 9334、EAT/RFC 9711、SLSA、SCITT、SPIFFE、EAR）组合成一个通用证据层，该层将运行时环境、执行的软件、应用的策略、数据分类和工具使用绑定到一个可移植的、密码学可验证的工件中，使用硬件级机密计算（例如AMD SEV）。参考实现在2026年6月在机密计算峰会首次推出后的10周内记录了约135,000次PyPI下载，该规范、文档和参考代码在GitHub（agentrust-io/trace-spec）上公开可用。
影响分析
这直接针对2026年7月OpenAI/Hugging Face事件突出的治理缺口：文档化的策略和沙箱配置不能证明实际执行了哪些控制或代理在执行期间做了什么。TRACE为企业、云提供商和监管机构提供了独立可验证的、防篡改的AI代理运行时记录——可在云和机密计算环境中移植。由于现在由Linux Foundation供应商中立治理，并由CoSAI推动技术工作流，它具有可信的广泛多供应商采用路径（AMD、Intel、Microsoft、TII、OPAQUE已参与），将其定位为代理型AI运行时证明和合规证据的事实上的互操作性标准。
建议行动
部署代理型AI或机密计算工作负载的安全和平台团队应评估TRACE的参考实现和证据模式，跟踪其在CoSAI/Linux Foundation治理下的演进，并考虑为高风险代理部署试点基于TRACE的证明（特别是那些处理敏感数据或需要面向监管机构的合规证据的部署）。