数据空间的连接器负责判断是否允许转移，而不检查转移内容本身，这在面向合同应用时是可接受的，但对能够组合工具调用并生成子代理的 LLM 代理则不适用。现有研究多关注代理生成治理文档的质量，却没有明确谁有权授权这些文档的使用，这一环节介于治理文献和代理文献之间，却不属于任何一方。
已发布的策略实际上是数据空间决策点执行的治理事件；如果一个代理既是策略的主体又是策略的作者，它就会写下约束自己的规范。我们将此称为著作权风险，并提出原则：代理只能是治理层面的主体，绝不能成为作者。其向发布的授权渠道在设计上被封闭，而其影响渠道——起草供人类批准的文档——应视为执行问题。
在一套冻结的代理草稿语料上进行实验，未经批准直接发布会导致 80 条授权决策被逆转，其中大多数仅因字段敏感度分类的改变而未修改任何策略文本。读取策略差异的分类器无法捕捉这些草稿，这在逻辑上是必然的。若将分类视为著作权，则所有此类草稿都会进入审查流程；为此我们在注册表中设计并建模了所需的分类机制，虽尚未在原型中实现。
在执行边界的测试表明：在 105/105 的案例中，受保护字段在提示声明的义务下会被模型接收；而当 ODRL 义务被编译为调用时的工具约束时，模型接收为 0/105。但如果值不局限于命名字段，编译后的条件会在 7/7 的案例中泄露该值。中心化的批准池无法满足导致该问题的参与者规模。
点评：本文揭示了将代理视为治理主体而非作者的必要性，并通过实验展示了未授权发布的潜在危害。作者提出的分类‑审查机制为未来实现安全的代理治理提供了可行路径。