AgenTag 论文：用行为指纹归因 AI 编码代理

当天发生了什么

2026-08-02 03:35（UTC），arXiv 收到了论文《AgenTag: Attribution of AI Coding Agents from Behavioral Fingerprints》的 v1，主分类为 cs.SE。作者关注的问题是：AI 编码代理经常以开发者本人的账号提交 PR，导致「到底是谁写的改动」变得模糊。论文在 AIDev 数据集上评估，其中包含五种 AI 编码代理的 33,580 个 PR 和 6,618 个人工 PR，把每个 PR 表示为文本、行为和代码三类特征，并比较了常规分类与有监督对比学习。摘要给出的结果是：识别具体代理的加权 F1 为 0.96（宏 F1 为 0.84），区分 AI 与人工 PR 的平衡 F1 为 0.89，识别未见过代理的 AUC 为 0.84。更值得注意的结论是：几乎全部归因信号来自 PR 描述和提交信息，代码差异贡献很小；去掉显式的自我标识后，这些行为指纹依然存在。

对保护应用逻辑的人意味着什么

这项研究的对象是开源仓库里的 PR，不是二进制，也不是克隆应用，所以不能直接推出「可以识别 AI 克隆出来的代码」。但它给了一个有用的边界提示：在这个数据集里，代理留下的可区分特征主要在说明文字里，而不在代码本身。换个角度看，如果有人用 AI 代理把你的核心逻辑改写一遍，代码层面很可能并不带有可靠的「AI 风格」痕迹；把维权或取证寄希望于风格检测器，证据可能很薄弱。另一方面，对自己的团队而言，它说明 AI 参与的改动是可以被追踪和标注的，这对审查谁动了混淆配置、keep 规则或签名脚本很有意义。论文样本只有五种代理，结论能否迁移到其他代理和私有仓库，摘要没有给出保证。

可以落地的检查

第一，在自己的仓库里约定 AI 参与改动的标注方式，例如固定的提交尾注或 PR 标签，不要依赖事后推断。第二，把混淆配置、keep 规则、签名与公证脚本、构建流水线列为敏感路径，要求这些文件的改动必须经过人工评审，不论作者是人还是代理。第三，如果担心产品被克隆，提前保存自己的来源证据：带签名的发布产物、构建日志、内部提交历史和日期，这些比「看起来像 AI 写的」更有说服力。第四，复查一次发布流程，确认代理会话无法直接访问签名密钥或商店凭据。

行动清单

• 为 AI 参与的提交约定固定标注（尾注或 PR 标签）
• 把混淆配置、keep 规则和签名脚本设为必须人工评审的路径
• 保存签名发布产物与构建日志作为来源证据
• 确认代理会话无法访问签名密钥和商店凭据