讨论的重点是一份由 OpenID Foundation 于 2025 年发布的白皮书，主题是 AI 智能体的认证、授权与身份管理。白皮书回顾了 OAuth、OpenID Connect 和 MCP 等现有方案，同时指出自主系统在多个方面仍存在不足，包括权限范围控制、委托与权限衰减、撤销、审计追踪、跨提供商信任、工作负载身份，以及对重大操作的人工审批。 讨论中提到了多项 emerging proposals：Auth0/Okta XAA、OAuth 身份断言、Proof 的 x401、IETF 的授权衰减工作、Tenuo 的 capability“授权凭证”、去中心化标识符（DID）和可验证凭证（VC）、AWID，以及 KYA 的 MCP 扩展。 其中一个核心争议是：智能体是否真的需要拥有独立身份。多位评论者认为，智能体应当使用由个人或组织明确委托的身份和权限，从而保留清晰的责任归属。另一些人则认为，将智能体表示为 IAM 主体有助于安全管理和审计。 讨论还指出，术语混淆长期存在：认证用于确认身份，而授权用于决定可以执行哪些操作；HTTP 401 和 403 也经常被混为一谈。总体而言，标准格局仍然分散，尚未出现占主导地位的方案。