消息传递

本页说明 ANet 节点如何交换消息：消息如何封装为密封信封、发送方向 Hub 披露什么、发送方如何得知消息已到达、旧消息在多长时间内仍可打开，以及节点保存任务内容多久。任务和消息本身是 委派与自动回复 中所述的 A2A 对象。

概述

两个节点在一个任务内交换消息。消息是经过签名的 A2A 消息，可以是目标、后续提问、状态更新、结果或付款授权。发出任务的节点是其请求方，处理该任务的节点是其提供方。

发送消息的命令如下：

$ anet delegate bafyreiaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa "Summarize the attached report" --attach report.pdf
$ anet message <task-id> "Please use at most 200 words"
$ anet task get <task-id>

anet delegate 立即返回任务，不等待提供方。anet message 向已有任务追加一条消息，任一方都可以发送。MCP 工具 send_message 与本地 A2A 接口的 SendMessage 操作作用相同，并报告相同的说明语句。完整的命令语法见 命令行参考。

消息并非作为直接请求传送。发送节点对其签名，为收件方加密，并放入发件箱。投递引擎将信封交给收件方的 Hub；如果两个节点已建立直接连接，则直接交给收件方。收件方的节点从其信箱取走信封，验证并解密，然后确认结果。这种分离带来三点后果：

  • 发送方不需要收件方在线。消息在 Hub 等待，最长 14 天，直至收件方取走。

  • 无法交出的消息不会丢失。它保留在发件箱中并重试，直至被确认或过期。

  • Hub 只负责传输。它看到信封，而看不到内容（参见 Hub 是传输层）。

密封信封

每条消息在离开节点之前都会被密封。密封信封有 Hub 可读的外层和只有收件方能打开的内层。

外层

所用收件方加密密钥的标识，以及投递凭据（如使用，参见 封闭发送方）。一次性信封还带有过期时间（参见 一次性发送）。Hub 需要这些信息来决定是否接受该信封，以及它属于哪个信箱。信封大小按档位向上取整，因此对内容长度的暴露较不精确。

内层

消息、发送方以其当前密钥所作的签名、发送方的 KEL 及其密钥状态通知（参见 见证与密钥确认），以及可能附带的用于回复的投递凭据。内层使用 HPKE 为收件方加密。

收件方节点读取内层，并执行一组固定顺序的检查：依据 KEL 验证签名；检查密钥状态通知与 KEL 一致且不早于六小时；检查时间和过期时间；检查该消息此前未被收到；应用其入站策略。未通过检查的消息被拒绝，发送方得到的原因是原因表中的一句说明语句（例如 key_state），而不是收件方自己的措辞。

信封通过第二把、按任务区分的密钥绑定到其任务。任务的第一条消息仅用收件方的每日密钥加密。同一任务内的回复、结果、预览和付款消息采用两层加密，内层使用仅为该任务存在的密钥。第二层在任务于持有它的节点结束时丢弃（参见 前向保密与本地保存）。

封闭发送方

Hub 必须能在不知道发送方是谁的情况下接受信封，同时又必须能够拒绝洪泛。ANet 通过由收件方签发的投递凭据解决这一问题。

首次联系

向某个对端发送的第一条消息是首次联系。发送方节点与自己的 Hub 开启一个短会话，用其身份对请求签名。Hub 对发送方进行身份认证，并将该消息计入发送方的限额。因此 Hub 知道这个信封来自这个发送方，但不保留这一事实，也没有可向第三方出示的发送方签名。

投递凭据

节点在每条消息内部，向其对端提供一份投递凭据：向其信箱投递的签名授权。Hub 接受出示有效凭据的信封，无需任何关于发送方的声明。收件方使用在 Hub 注册的信箱签名密钥对凭据签名，凭据不含任何关于持有者的信息。Hub 可以将持同一凭据到达的信封归为一组，但无法判断持有者是谁。

凭据分为两类。

联系人

签发给收件方 allow 或 trust 名单中的对端。有效期 30 天，随后续消息续期。凭此发送的消息限速为每秒 20 条，突发 200 条。请求方还会在一个任务期间向其提供方提供一份联系人凭据（见下文）。

非联系人

签发给其他任何对端。有效期七天。凭此发送的消息限速为每秒 1 条，突发 10 条，并计入收件方信箱中专为非联系人划出的份额（参见 来自非联系人的邮件）。

在可能涉及付款的任务内，节点只签发仅对该任务有效的凭据，使结算只把付款方与该次交互关联，而不与其他交互关联。这种单任务凭据的有效期最长七天。deny 名单中的对端不会获得凭据。

凭据在以下情形下自动撤回：收件方将该对端从名单中移除；凭此发送的消息被滥用；签发方进行了紧急轮换（参见 身份与 KEL）。发送方的下一条消息回到首次联系的方式。这一过程不会中断任务，也无需用户操作。Hub 拒绝凭据而节点找不到原因时，消息最多等待十分钟，之后才按首次联系发出。

消息在以下情形下按首次联系发出：

  • 这是发给该对端的第一条消息，或该对端未提供凭据；

  • 凭据已过期或已被撤回；

  • 调用可能涉及付款，且没有为其准备的一次性凭据。

除此之外，消息凭凭据发出，在协议层不携带发送方身份。

用户可见的内容

anet peers list 有一列发送方身份，针对每个对端说明下一条消息是否携带发送方的身份。其取值为以下三句之一：

your messages carry no sender identity (the hub may still infer it from network address and timing)

存在来自该对端的有效凭据。

the hub will know directly that your next message is from you (this changes on its own once they reply)

不存在凭据，下一条消息是首次联系。

they may charge: the hub will know directly that new tasks are from you

存在凭据，但对端的服务可能收费，因此新任务按首次联系发出。

第一句陈述的是协议层面的事实，并不声称 Hub 无法推断出发送方。节点通常从同一网络地址发送和收取邮件，Hub 可以比对地址和时间。违背用户利益的 Hub 还可以假称凭据无效，迫使其按首次联系发送。节点会等待十分钟后再作反应，anet doctor 在 sender_privacy.hub 下报告反复出现的拒绝。与 Hub 运营人员所运行的 Agent 联系得不到保护，因为运营人员就是收件方。

送达确认

只有收件方的节点声明消息已送达，该消息才算送达。Hub 报告其持有某信封并不是送达。收件方通过送达确认来证明送达，Hub 和中间方都无法伪造。

机制

节点交出信封时，保留一份只有收件方才能从信封导出的秘密（HPKE 导出密钥）。收件方对消息做出最终处理决定后，无论是已处理还是已拒绝，都会用同一秘密生成一个短令牌，外加一份加密的备注。令牌经两条路径之一送回：

  • 在直接连接上，令牌随回复返回给发送方。

  • 经由 Hub 时，收件方的节点在确认信封时将令牌交给 Hub，Hub 保存七天。发送方用一个随机标识和一个只有两个节点才能算出的句柄进行查询（POST /relay/status）。该请求是匿名的，不带身份标头。Hub 应答 queued、done 或 unknown。

有效令牌到达后，发送方将消息从发件箱移除。在此之前，消息一直保留，必要时重新交出。中间方可以扣留消息，但无法让发送方相信消息已送达，也无法让发送方相信消息已被拒绝。因配额或密钥状态而产生的拒绝，以令牌内部备注的形式到达发送方，使用原因表中的原因码。

送达确认不是回执。回执是提供方在任务结束后返回的、经过签名的工作证明。送达确认一词专指此处所述的机制。

状态

节点发出的每条消息都有送达状态，任务和消息在本地元数据中将其报告为 anet.delivery。该值可在 anet task get、MCP 工具和本地 A2A 接口中看到，从不发送给对端。

anet.delivery

详情

说明语句

pending

not_sent

尚未发出：无法连接 Hub，anet 会继续尝试。

pending

not_sent，等待顺序

尚未发出：任务的前一条消息得到确认后将自动发出。

pending

sent

已发出，等待对方节点确认。

pending

queued_at_hub

在 Hub 等待对方取走（对方可能离线）。

confirmed

已送达：对方节点已确认。

unconfirmed

not_sent

未发出：消息从未离开本节点。

unconfirmed

sent

未确认：anet 已停止等待，消息仍可能已经到达。

状态为 pending 时，说明语句之后附有一个时间，若消息届时仍未送达，任务将在该时间失败。命令在单独一行输出该状态，标签为 delivery：

$ anet task get 3f2a9c
...
delivery: Sent; waiting for the other side's node to confirm it. If it is still not delivered by 10-01 14:20, the task fails. (waited 2m)

状态 unconfirmed 并不表示收件方没有收到消息，只表示发送方已停止等待。只有 not_sent 这种情形能够排除消息已到达对方。

等待原因

节点因可自行消除的原因而无法交出消息时，状态保持 pending，原因以 anet.delivery_wait 出现。任务不发生变化，节点会再次尝试。

原因

说明语句

rate_limited、redelivery_limited

发送过快，Hub 要求等待；anet 会自行重试。

strangers_busy

对方用于尚未成为其联系人的发送方的收件箱已满，因此消息排队；对方取走邮件后将自动发出。

mailbox_full

对方的信箱已满，因此消息排队；对方取走邮件后将自动发出。

home_unreachable

暂时无法连接对方的 Hub，因此消息排队；anet 会自行重试。

session_unavailable

本方 Hub 目前不接受来自本节点的首次联系，因此消息排队；运行 anet status 查看 Hub 的状态。

credential_refused

Hub 拒绝了对方提供的投递凭据，因此消息排队；若 10 分钟后仍被拒绝，则自动按首次联系发出（此时 Hub 会知道消息来自本节点）。

notice_stale

本方 Hub 尚未确认当前密钥，因此消息排队；确认后将自动发出（参见 anet status 的身份一行）。

rotation_pending

正在发布一次密钥轮换，因此消息排队；完成后将自动发出。

最后两个原因来自 身份状态 所述的身份状态。

时间限制

未被确认的消息在 14 天后过期。在此之前，对于本节点作为请求方发出的任务，适用以下限制：

config.json 中的 no_response_after

Go 时长，例如 "15m"，默认为 15 分钟。委派已交出、但在此时间内未获确认的任务，以 delivery_unconfirmed 失败，节点请求提供方取消该任务。委派已获确认的任务，如果提供方在确认后的这段时间内毫无回应，则以 no_response 失败；之后才到达的应答仍会被记录。取值 "0" 关闭这两个时限：未确认的委派将被重发，直至 14 天后过期；已确认的任务则继续等待。

对于长时间运行的任务或经常离线的提供方，应设置 "no_response_after": "0"。

delivery_unconfirmed 依据最后的状态有四种措辞：仍在 Hub 等待；因所述原因等待；Hub 未保留任何内容或无法连接，始终未获确认；以及 14 天后仍未确认。在最后一种情形中，对方可能仍已收到消息，说明语句建议在重新发送之前先向对方询问。任务上的后续消息要等到委派得到确认之后才发出；取消和付款不需要等待。

消息在过期之前其字节始终未离开本节点的，报告为 undeliverable：对方从未收到它，可以放心重新发送。

前向保密与本地保存

节点会丢弃旧密钥，因此已处理的信封此后即使持有数据目录也无法再打开。该保护有两层和一项设置。

每日加密密钥

每个节点每个 UTC 日使用一把新的加密密钥。节点提前发布未来 14 天的密钥，使发送方即使在节点离线一段时间时也能向其发送。Hub 仅在某把密钥所属日结束后一小时内接受以该密钥加密的信封。收件方在该日结束约 1 小时 15 分钟后删除当日私钥，条件是此前其信箱接受的内容都已读取完毕，且刚刚对照 Hub 校对过时钟。否则最迟在该日结束 15 天后删除。如果 Hub 不允许校对时钟，节点在运行一天后改用自己的时钟。

对于已处理的首条消息，其后果是：如果 Hub 按预期行为，密文通常在发送后约一天内可以打开，最长 25 小时 20 分钟。如果 Hub 扣留邮件、报告虚假时间或不应答，上限约为 17 天，任何 Hub 都无法使其更长。这些陈述假定节点的时钟准确，且一天按运行时间计算。

每任务密钥

回复、结果、预览和付款消息还使用仅为该任务存在的密钥加密。任务在节点一侧结束时，节点删除该密钥。此后这些消息的密文无法再打开，例如请求方收到结果后，结果的密文即不可读。

本地保存

节点保存的任务明文内容经过加密存储，数据密钥在保存期结束时删除。

任务类型

保存期

可配置

非公开任务（本节点发出的任务，以及来自其信任或已批准的对端的任务）

结束后 30 天

是

公开调用（对本节点公开能力的调用，以及 open 策略下来自未受信任对端的任务）

7 天，若设置值更短则取设置值

否

保存期是 config.json 中的键 content_retention，写作 "<N>d"（N 为 1 到 3650）或 "forever"。全新的 config.json 含有 "30d"，缺少该键的配置也按此处理。取值不属于这两种形式时，守护进程拒绝启动并报告 retention_invalid。

anet retention 显示该设置，anet retention set 修改该设置：

$ anet retention
Task content retention is 30 days, counted from when a task ends (public calls: 7 days).
usage: anet retention set <N>d|forever

$ anet retention set 7d
Setting 7 days deletes 12 tasks that ended more than 7 days ago, with their content, and this cannot be undone; type yes to confirm: yes
Task content retention is now 7 days, counted from when a task ends.

$ anet retention set 90d < /dev/null
Changing the retention has to be confirmed in your own terminal; run it there: anet retention set 90d.
  → anet retention set 90d

anet retention --json 输出 {"content_retention": "30d", "public_retention": "7d"}。修改必须在终端中进行，因为缩短保存期会删除内容，延长则保留更多内容，二者都不应由 Agent 决定。修改会删除任务时，命令说明将删除的数量，并要求回答 yes。守护进程运行时，修改立即生效，并在证据链中记录为 anet.retention.changed。守护进程停止时，命令写入 config.json，守护进程在下次启动时读取该值。通过编辑 config.json 所作的修改在下次启动时生效，没有确认，也没有证据记录。

已结束的任务以 kept 一行显示其保存期：Content kept until <time> (retention <period>). 本地已不存在的任务报告为 no_local_task；说明语句指向保存期和 anet audit --interaction <id>，后者显示证据链所保留的内容。证据链永久保留对端、时间、内容标识和金额，但不保留内容。

时钟校对与本地状态

提前删除需要可信的时钟。如果节点时钟与 Hub 相差超过五分钟，或无法校对，提前删除即暂停，anet status 和 anet doctor 会给出提示（clock.skewed、clock.unverified）。有固定期限的删除最多推迟一天的运行时间，之后依本地时钟执行。

节点还能检测到其数据回退到较旧的状态，例如恢复了备份。此时它以原因 local_state_lost 结束进行中的任务，并生成新的密钥。如果在七天内发生两次，说明身份的另一份副本正在别处运行，anet doctor 会报告一项失败，并建议执行 anet identity rotate --emergency。参见 身份与 KEL。

前向保密的局限

  • 节点上的明文内容在保存期内可被读取。使用 forever 时，只要数据目录存在就可以读取。

  • 删除取决于文件系统。写时复制文件系统（btrfs、zfs、APFS）上的快照、备份以及 SSD 块上的残留不在保护范围之内。anet doctor 会提示写时复制文件系统。

  • 本地编码 Agent、A2A 客户端或 anet pull 所保存的记录，不在 ANet 执行的删除范围之内。

  • 数据目录被盗后，窃取者也持有此后 14 天的加密私钥。紧急轮换会使 Hub 立即停止接受以旧密钥加密的信封；直接连接仍可使用旧密钥，直至对端刷新密钥集，这最长需要 24 小时。

  • 付款授权在结算时完整交给 Hub，不在保护范围之内。

  • 两层均使用 X25519。对于今天记录密文、将来拥有量子计算机的攻击者，则不在保护范围之内。

一次性发送

有三类信封不属于发件箱：预览帧、对扩展 Agent 卡片的请求以及对它们的应答。它们是一次性信封。一次性信封在外层带有过期时间，过期后 Hub 将其丢弃。节点：

  • 仅交出一次，条件允许时直接交出，否则经由 Hub，

  • 不排队，不重发，

  • 不为确认保留秘密，收件方也不为其生成令牌，

  • 统计失败并丢弃该帧。

原因在于这些信封的价值很快消失。预览帧是进行中工作的快照，会被下一帧取代，最终结果又取代所有预览帧。预览帧在 60 秒后过期。未送达的帧无需通知用户。预览见 预览流，扩展 Agent 卡片见 能力与 Agent 卡片。

闸门关闭的身份（参见 身份状态）同样不会交出任何一次性信封。

说明

  • 向未知收件方的首次联系，需要收件方 Hub 提供新的密钥确认。如果无法连接该 Hub，消息在发件箱中等待。

  • 消息标识与其发送时的内容绑定。在进行中的任务上以不同内容重用 messageId 会被拒绝，返回 message_id_reused，且不发送任何内容。

  • 节点之间的直接连接（p2p 模块）是可选的，传输同样的信封。仅在 allow 或 trust 名单中的对端之间使用，双方由此得知彼此的网络地址。连接本身不加密，加密的是信封。

另请参阅