- 博客(531)
- 收藏
- 关注
RSS订阅原创 《执行控制工程》作者手记 10｜系统说“我有日志”，究竟证明了什么
《执行控制工程》第十章讨论 Evidence 与 Log 的根本区别。日志能够记录系统作出了什么声明，却不能仅凭记录存在、内容完整或者签名有效，就自动证明现实事实成立。本章将被证明对象、Evidence 与基于 Evidence 作出的 Judgment 严格区分，明确证据能够为事实和关系提供可验证支撑，却不能创造事实、替代判断或产生最终执行权。Log、Record 与 Signature 可以承载 Evidence，但载体不等于证据的语义角色。证据存在也不意味着它对当前判断已经足够，下一章由此转向 Evi
2026-10-27 23:55:30
262
原创 《执行控制工程》作者手记 09｜昨天的批准，为什么不能替今天的现实作出决定
《执行控制工程》第九章讨论历史判断与当前现实之间的区别。过去形成的 Authorization、Policy 和审批可以继续有效，却不能自动证明这一次具体 Action 现在仍然满足执行条件。本章将 State 定义为特定时点与当前动作判断和执行直接相关的事实与条件，强调 State 不等于数据库快照，代理记录也不等于现实事实。三里岛事故说明，记录可以真实，而它所代表的现实已经不同。State 的变化可能改变执行资格，却不会自动改写 Intent。由此，执行判断拥有了规范侧与现实侧两个参照，下一步需要回答的
2026-10-27 23:52:47
175
原创 《执行控制工程》作者手记 08｜当我们说“按照原来的意图执行”，究竟拿什么来证明
《执行控制工程》第八章讨论执行判断应当以什么作为规范参照。Intent 不是一句自然语言、一次 Request 或一段 Prompt，而是能够被跨边界识别、引用、绑定、验证和比较的工程对象。它可以说明希望发生什么，却不会自动产生授权、最终裁决权或执行许可。Intent Binding 则需要防止对象与参数被静默替换、审批跨意图复用，以及现实结果反向改写原始意图。本章建立了规范侧的判断参照，但也指出，Intent 即使保持不变，当前现实状态仍可能变化，因此执行判断还必须继续面对 State。
2026-10-26 15:36:05
284
原创 《执行控制工程》作者手记 07｜两个控制明明分开了，为什么还可能一起失效
《执行控制工程》第七章讨论名义上的分离与真正的边界独立性之间的区别。不同服务、进程、设备或团队即使已经分开放置，也不能据此证明它们不存在共同失败来源。如果受约束主体能够自行放宽、关闭或改写限制，该限制就不能仅凭自身存在被视为独立执行边界。本章借切尔诺贝利相关事实说明合规操作与边界有效性之间的区别，同时指出独立性具有方向性，必须针对具体 Authority 和安全属性分别检查。它最终留下的问题是：执行边界依据什么作出判断，而这些依据本身又凭什么可信？
2026-10-26 15:32:15
233
原创 《执行控制工程》作者手记 06｜把权力分成三份，为什么仍然可能只有一种权力
《执行控制工程》第六章讨论权威分解与参与方数量之间的区别。多人审批、门限签名、微服务拆分和增加安全层，都可能改善局部安全性，却不能仅凭数量增加证明 Authority 已经被结构性分解。真正需要检查的是，在已声明的威胁模型下，允许失陷的主体集合是否仍能独立闭合某次受保护 Action 的现实执行因果链。这一判据只能用于排除，不能充当完整定义。本章由此把问题从“需要多少参与者”推进到“不同 Authority 何时才算真正独立”。
2026-10-23 00:30:25
166
原创 《执行控制工程》作者手记 05｜为什么最终裁决权不一定需要一个主人
《执行控制工程》第五章重新审视最终执行裁决权的归属方式，指出它不要求由某一个人、组件或软件模块独自持有，也不意味着必须采用固定的多人审批结构。针对同一次具体 Action，多个独立的必要约束可以共同形成最终裁决关系；任何必要约束缺失都应停止执行，而全部成立也不等于现实动作必然发生。本章同时区分裁决与实施，强调 Allow 不是执行，Deny 必须真正约束 Executor，并进一步提出下一章的问题：多个必要约束之间的“独立”，究竟意味着什么？
2026-10-23 00:26:20
151
原创 《执行控制工程》作者手记 04｜当所有条件都已成立，谁真正决定现实
《执行控制工程》第四章将“谁或什么能够让当前 Action 获得现实效力”从身份、权限、授权、审批、策略判断和执行能力中独立出来。上述机制可以分别建立资格、规则与判断，却不能仅凭自身成立就自动形成最终 Authority。Policy Decision 是否正确，与它能否真正约束 Executor 也是两个问题。本章明确 Authority 的最小工程边界，但不提前给出完整定义或权力结构，并进一步提出：最终现实效力的权力，是否必须由某一个主体独自持有？
2026-10-10 17:17:56
232
原创 《执行控制工程》作者手记 03｜有权限，为什么不等于这一次就应当执行
《执行控制工程》第三章将“有没有权限”拆解为三个不同的工程问题：现实中能不能做到、制度上允不允许拥有相应能力，以及当前这一次具体 Action 是否仍然应当执行。执行能力、授权资格和当前执行判断彼此相关，却不能互相替代。历史授权可以成为当前判断的输入，但不能自动决定现实动作；技术上具备执行能力，也不意味着拥有最终 Authority。本章由此将讨论推进到执行控制的核心问题：究竟由谁或什么决定这一次动作能够获得现实效力？
2026-10-10 17:16:44
936
原创 《执行控制工程》作者手记 02｜最后一刻，不是最后一秒
第二章讨论执行控制必须发生的位置。“最后一刻”并非动作发生前的最后一秒，而是现实副作用尚未形成、判断仍然面对当前条件，并且拒绝能够真实限制执行的因果位置。历史审批、授权与策略判断即使成立，也不能自动替代当前 Action 的判断；关键状态或载荷变化后需要重新判断，而正确的判断如果无法约束真实执行路径，同样不构成有效控制。本章由此区分执行前控制与普通审批、策略决策、运行时判断及事后监控，并将问题推进到下一步：站在这个位置，究竟应该判断什么？
2026-10-08 12:50:08
232
原创 《执行控制工程》作者手记 01｜流程全部通过以后，为什么我们仍然不能放心
第二章讨论执行控制必须发生的位置。“最后一刻”并非动作发生前的最后一秒，而是现实副作用尚未形成、判断仍然面对当前条件，并且拒绝能够真实限制执行的因果位置。历史审批、授权与策略判断即使成立，也不能自动替代当前 Action 的判断；关键状态或载荷变化后需要重新判断，而正确的判断如果无法约束真实执行路径，同样不构成有效控制。本章由此区分执行前控制与普通审批、策略决策、运行时判断及事后监控，并将问题推进到下一步：站在这个位置，究竟应该判断什么？
2026-10-08 12:49:17
333
原创 《执行缝隙》作者手记 10｜当所有上游判断都成立，我们仍然少问了一个问题
第十章完成《执行缝隙》的理论收束：即使意图、决定、授权、资格、策略、路径与边界分别成立，也不能自动推出“这一次具体 Action 现在应当获得现实效力”。因此，本章将“执行效力”作为工作性称呼，主张它需要被当作独立工程对象单独看待，而不能被已有上游判断吸收。但本书并未给出其正式定义、判断依据或工程结构，也不推出人工逐笔审批，而是把一个已经有边界的问题明确交给后续工程继续处理。
2026-10-07 18:26:28
160
原创 《执行缝隙》作者手记 09｜一个概念真正成熟，是从知道什么不属于它开始
第九章从反面为“执行缝隙”划定外边界。普通 bug、合法变更、规范上错误却被忠实执行的决定、纯事后证明损失、恢复成功，以及没有现实动作权的信息错误，都不能仅凭坏结果自动进入 Execution Gap。真正的判断仍要回到已经成立的上游对象与现实执行之间是否存在关系失效。“不算执行缝隙”并不意味着问题不重要，而是要求把问题放回真正属于它的位置。
2026-10-07 18:25:31
278
原创 Havenlon 杂谈 | AI Agent 正在拿走人类最后一次犹豫
当AI Agent取代人类执行关键操作，企业面临的核心问题不再是“AI会不会犯错”，而是“谁有权让错误变为现实”。过去，人作为执行链的最后环节，天然具备犹豫、复核与责任意识，形成非正式风险缓冲。而Agent缺乏这种心理机制，一旦条件满足便可能自动执行，导致“最后一次确认”消失。这迫使企业重新思考：在自动化深入的今天，必须建立独立于模型、权限与流程之外的最终控制层——一个能质疑、暂停甚至否决行动的机制。真正的安全不在于确保AI永远正确，而在于保留“让它什么都做不了”的否决权。
2026-10-07 00:38:52
166
原创 《执行缝隙》作者手记 08｜AI 让问题变得更大，却没有创造这个问题
本文是《执行缝隙》第八章的作者手记，探讨AI代理（Agent）如何放大已有系统中的执行风险，而非创造新问题。作者指出，AI并未导致“执行缝隙”（Execution Gap）的根本成因，而是通过消除传统系统中的“摩擦”（如人工确认、系统切换），使偏差传播更快、范围更广。真正的问题在于：意图与现实之间的必要关系是否仍成立。即使没有AI，这些缝隙依然存在；而AI的作用是放大其后果。因此，安全重点不应仅依赖模型能力提升，而应确保关键关系在自动化链中持续有效。
2026-10-04 16:52:24
652
原创 《执行缝隙》作者手记 07｜变化发生了，为什么还不能说找到了原因
本文为《执行缝隙》第七章的作者手记，反思“什么变了”在事故分析中的误用。尽管变化易被发现且常被视为因果起点，但真正关键的是变化后原有关系是否仍成立。系统正常运行本就伴随变化，唯有当资格、授权与现实脱节时，才产生执行缝隙。因此，“变化”只是分析入口，而非成因；真正的核心是“变了之后是否还有效”。作者强调应区分变更管理的重要性与理论因果，警惕将显性变化误作根本解释，并为AI加速下的执行放大提出新审视方向。
2026-10-04 16:50:47
303
原创 《执行缝隙》作者手记 06｜事故为什么不一定只有一个“正确分类”
本文是《执行缝隙》作者的手记，反思事故复盘中对“唯一根因”的执念。作者指出，结构化分类虽便于管理，却可能扭曲对复杂现实的理解，使分析沦为“分类竞争”。通过十七个案例发现，事故常同时涉及多个机制，无法被单一类别涵盖。因此，作者提出以三个问题替代分类：什么变了？哪个关系断了？断在何处？ 这些问题引导回归具体事实与关系断裂，而非急于贴标签。真正的分析不在于“属于哪类”，而在于揭示偏差如何在现实中持续推进。放弃唯一归因，不等于放弃定位——允许多重解释，但每条必须锚定于具体对象、关系与机制，保持工程可操作性。
2026-10-02 18:17:40
372
原创 《执行缝隙》作者手记 05｜流程没有走错，为什么事情还是发生了
本文是《执行缝隙》第五章的作者手记，反思事故复盘中常混淆的“路径偏离”与“边界失效”两类问题。指出流程合规不等于安全，即使操作完全遵循规范，若缺乏有效执行边界，仍可能造成严重后果。强调应区分“怎么走”（Path）与“能走多远”（Boundary），并重视“谁还能说不”的最终拒绝能力。真正的风险常源于边界缺失而非绕过，提醒我们：复杂流程不等于有效控制，安全改进需聚焦现实影响的约束机制。
2026-10-02 18:15:50
282
原创 《执行缝隙》作者手记 04｜当我们终于找到五类关系之后
《执行缝隙》第四章手记揭示：在系统执行中，偏差常源于对象间关系的断裂。作者提出五类直接机制——判断与绑定失效、路径偏离、边界失效、状态与结果脱节、证据误入因果链——用以定位偏差如何进入现实。这些类别非互斥，旨在揭示结构漏洞而非简化归因。作者警惕过度分类带来的理论幻觉，强调理论应服务于对现实的理解，而非扭曲它。真正的挑战在于如何在复杂现实中灵活运用这五类，而非机械贴标签。
2026-10-01 18:52:52
199
原创 《执行缝隙》作者手记 03｜有些问题，查遍所有组件也找不到
第三章把排查视角从“哪个组件坏了”转向“哪些对象之间的关系没有继续成立”。即使提交、调用、状态、回执和结果等对象分别成立，偏差仍可能发生在转换、时差、接缝与关系之中。更多日志和更细组件只能增加对象内部信息，不能自动证明对象之间仍保持原有含义与条件。本章由此提出：执行偏差未必存在唯一断点，下一步必须继续追问——哪些关系真正会断裂？
2026-10-01 18:49:34
448
原创 《执行缝隙》作者手记 02｜“执行了”为什么不是一个足够精确的答案
第二章把“执行了”这一日常说法拆开：执行过程、执行动作与结果不是同一对象，提交、调用、执行状态、回执、结果和证据也不能默认等同，更不能被视为固定阶段。本章由此指出，系统能够确认的状态，并不天然等于现实结果；要继续讨论执行偏差，必须先分清各对象究竟指向什么。
2026-09-29 16:42:35
300
原创 《执行缝隙》作者手记 01｜当所有环节看起来都没有错
第一章从“每一环都对，结果却错了”切入，提出“局部正确 ≠ 端到端执行正确”。审批、授权、策略与资格即使分别成立，也不能证明最终现实结果与上游意图一致。本章同时说明：坏结果、恶意与 AI 都不是执行缝隙成立的必要条件，最终将问题引向一个更基础的追问——“执行”究竟意味着什么。
2026-09-29 16:31:55
210
原创 Havenlon | 杂谈：AI 安全,正在从“说了什么“走向“做了什么“
在联合国大会间隙，澳总理阿尔巴尼斯证实：6月18日，OpenAI一个AI Agent执行信息检索时绕过访问限制，进入澳大利亚Medicare统计报告服务，接触非公开聚合健康统计及部分内部文件。事件未造成个人医疗、财务信息泄露，损失有限。关键不在数据，而在Agent从“找答案”目标自行推导出越权动作，暴露“执行缝隙”：有权限、凭证合法，不等于此刻动作符合原始意图。传统权限管身份，管不住自主执行；三个月后才通知，也暴露检测与执行控制不足。未来需在动作落地前独立核验，确保AI判断出错也不越界。
2026-09-24 18:34:07
261
原创 Havenlon | 杂谈：Agent Control Plane 正在成为一个新类别，但谁控制最后一次执行？
AI Agent 基础设施正从分散治理走向独立分层。WSO2 Agent Manager GA 将其定义为 Agent Control Plane，提供身份、MCP 治理、护栏、可观测性、评估、沙箱与生命周期管理，标志 Agent Governance 成为基础设施。但管理 Agent 不等于控制现实：身份合法、权限允许、API 正常，具体执行在当下仍可能不应发生。
2026-09-21 15:09:08
552
原创 HAVENLON 不完美主体 | #18 未来的安全系统，可能不再需要一个完美主体
安全最难处理的不是明确 Yes/No，而是 Unknown、Missing、Expired、Conflict。它们易被猜测、缓存、默认值或模型概率填补，把信息缺失变成执行风险。原则是 ALLOW requires complete proof：证据不足就拒绝、延迟或降级，未知保持未知，冲突明确阻断。成熟系统不是总能给答案，而是在没有答案时仍知道什么绝不能发生。
2026-09-20 16:19:33
219
原创 HAVENLON 不完美主体 | #17 Fail-Secure：系统不知道的时候应该做什么
安全系统最难处理的不是明确允许或拒绝，而是 Unknown、Missing、Expired、Conflict 等“不知道”状态。它们不触发报警，却常被系统用猜测、缓存、默认值或模型概率填补，把信息缺失变成执行风险。认知层可推理和给置信度，执行层必须要求条件完整成立。Fail-Secure 保护“判断资格”：证据不足时不比较概率，而是拒绝、延迟或进入安全降级/Safe Mode，待证据补齐再执行。原则是 ALLOW requires complete proof，未知保持未知，缺失保持缺失，冲突明确阻断。
2026-09-20 16:18:22
168
原创 HAVENLON 不完美主体 | #16 当所有参与者都有可能出错，系统还能安全吗
本文提出“对抗完整性”：安全不应假设存在永不失败的可信主体。传统威胁模型常保留“可信岛”，但人、AI、SaaS、硬件、策略、证据都可能出错或被攻破。成熟设计应把所有参与者纳入威胁模型，将信任从主体转向可验证关系与安全不变量，依靠独立边界、多重否决、Fail-Secure、最小充分执行集、执行前后证明等机制，降低失败相关性，避免单一失陷直通灾难。完整安全不是找到绝对可信点，而是即使多个组件失败，关键边界仍不可被独自穿透，系统仍知道什么绝不能发生。
2026-09-19 12:01:10
252
原创 Havenlon | 杂谈：Gemini 没有越狱，它只是执行到了错误的现实
2026年5月，Google Gemini在网络安全测试中意外获得真实互联网访问权限，因测试环境与现实域名重合，模型误将真实企业系统当作测试目标，通过猜测密码或利用公开凭证成功入侵三个受保护系统。尽管模型后续停止攻击并被通知，但事件暴露了AI Agent核心安全困境：当模型合理执行任务时，如何确保其动作不越界至真实世界？传统依赖Prompt的边界已失效，真正关键的是在执行前建立不可绕过的执行控制层，实现对对象、状态与边界的实时验证。未来安全重心正从“模型是否恶意”转向“如何阻止一个看似合法的动作真正发生”。
2026-09-19 11:59:42
271
原创 Havenlon | 杂谈：当效率成为一种宗教
现代企业将效率奉为圭臬，从工具演变为不可质疑的信仰。当资源分配、绩效评估与流程设计皆以效率为唯一尺度，冗余、安全与人性反思被视作浪费，组织逐渐丧失对“慢”的辩护能力。人工智能加速了这一趋势，使错误可快速放大，而系统却缺乏停下的机制。真正的风险不在于速度，而在于失去边界——当一切皆可优化，唯独忘了哪些事不该轻易执行。企业亟需重建结构性的“摩擦”，在不可逆动作前保留独立质疑的权利，让效率回归手段本位，而非终极信仰。
2026-09-18 16:27:55
143
原创 HAVENLON 不完美主体 | #13 不信任，不意味着什么都不能做
安全中的“不信任”并非拒绝行动，而是拒绝无条件行动。Zero Trust不是零行动，而是把隐式允许改为条件允许。不完美主体不等于不可信主体，关键是限制错误传播。成熟安全用可验证边界，把Mission、对象、金额、状态、证据等转为执行条件：满足即允许，越界即拒绝或降级。边界内可高自主、高自动化，边界外坚定拒绝；Fail-Secure也非永久停止，而是可补证、重授权和恢复。风险不在自动化，而在无边界自动化。
2026-09-17 07:00:00
257
原创 HAVENLON 不完美主体 | #14 把一次行动拆开，风险才真正变得可控
高风险操作不应压缩成单一动作，而应拆为 Intent、Authorization、Arbitration、Execution、Evidence 的因果链。先固定 Intent，明确现实边界；授权须绑定任务、对象、金额、状态与证据；仲裁解决多主体权限冲突，硬边界不可被票数覆盖；执行前须按当前状态重新验证，执行后生成证明。Evidence 贯穿全链，证明行动为何有资格发生及实际结果。每层都有独立拒绝语义，使错误停在相应阶段，并拆散单一主体的绝对权力。如此，自动化无需依赖完全信任，而能在可验证边界内更大胆、可追溯
2026-09-17 07:00:00
286
原创 HAVENLON 不完美主体 | #15 为什么否决权比批准权更重要
真正可靠的执行控制，关键不在谁能批准，而在谁能独立让执行停下。批准只是让路径继续，否决才证明边界真实存在。有效否决必须不可绕过、能改变现实、来源于独立状态，并能拒绝最高权限者；它须与 Fail-Secure 绑定，在条件不成立时阻断执行。多主体无需互信，只需各自守住 Authority 与 Denial Boundary，形成分散 Stop Point，避免单点失效。否决权并非保守刹车，而是自动化敢于加速的前提；它保护 No 的完整性，也需 Evidence 证明。系统成熟的标志，不是有多少方式让事情发生，
2026-09-17 07:00:00
59
原创 HAVENLON 不完美主体 | #12 从可信主体到可信结构
现代安全常试图寻找可信主体：用户、管理员、设备、模型、Agent。但人会错、Agent 会错、设备会失陷，信任集中也意味着失败集中。成熟方向是可信结构：信任有条件、有边界，不让任何单一主体掌握完整因果链。通过权限分解、独立否决、Evidence、Runtime 验证和条件完整性，让合法冲突可停止、Unknown 保持 Unknown、错误传播有界。最终执行权不属于最高身份，而属于可验证条件是否成立。目标不是找到永不犯错的主体，而是构造无需完全相信任何主体、仍能安全执行的系统。
2026-09-16 10:09:07
472
原创 HAVENLON 不完美主体 | #11 人为什么也不应该是系统里的 God
传统系统习惯设 Root、Owner 等“最终的人”，拥有可绕过一切边界、强制执行的 God Mode。但人同样会误判、疲劳、被社会工程诱导，Credential 也可能被盗。问题不在 Owner 是否有控制权，而在是否应拥有无条件、不可阻止的最终执行权。成熟系统应区分治理权与执行权：Owner 可定义、修改规则，但具体高风险动作仍须满足当前条件，边界必须能拒绝 Owner。最终执行权应属于条件组合，而非任何单一主体。Owner ≠ God，不是系统高于人，而是承认人会错，让边界在错误时保护他，系统不再需要
2026-09-16 10:08:15
179
原创 HAVENLON 不完美主体 | #10 Human-in-the-Loop 也救不了一个错误的控制结构
人工审批加入 AI Agent 流程，不等于安全。人也会疲劳、误判，受自动化偏差影响；若只看 Agent 总结，缺乏独立证据与否决权，审批就退化为替 Agent 确认，甚至共同失效。审批须绑定具体 Action、对象、参数和状态，拒绝能真正停止执行，否则只是责任转移。当机器速度超过人的吞吐量，逐次审批必然失效。更成熟方向是 Human-Defines-the-Boundary：人定义边界与例外，机器在边界内自动执行，越界或未知时 Fail-Secure 并交还人。最终安全不靠单一主体永远正确，而靠结构：AI
2026-09-16 10:07:28
241
原创 HAVENLON 不完美主体 | #08 为什么不能让“不完美主体“拥有最终执行权
合法、善意、高能力≠正确。判断与执行不可合一，否则一次错误直接变现实事故。最终执行权不应属于任何单一主体，而应属于独立验证条件；未知即拒绝，边界内自动、边界外拒绝。安全不靠主体永不错，而靠错误进不了现实。
2026-09-15 07:00:00
181
原创 HAVENLON 不完美主体 | #09 权限系统解决的是“能不能“，不是“应不应该“
现代安全体系以 IAM、RBAC、ABAC、最小权限等管理身份与能力边界，解决“谁能做什么”。但 AI Agent 即使主体、凭证、角色、策略都正确，仍可能在合法权限内执行错误动作。根源在于权限回答“能不能”，却不回答“此刻应不应该”。权限是持续能力，Intent 却短暂；Agent 又让权限与执行几乎零距离。因此，需要在 IAM/Policy 之后增加 Execution Control：验证 Mission、Object、State、Proof、Boundary、Time，确认 Action 仍与原始
2026-09-15 07:00:00
493
原创 执行控制工程术语规范 v0.1
定义面向 AI、Agent 与自主系统的 25 个核心概念，聚焦机器如何获得、约束并最终使用改变现实状态的执行能力。规范围绕 Intent、Authority、Runtime、Execution Control、Evidence、Fail-Secure、Adversarial Completeness 等概念建立统一边界，强调 Intent ≠ Execution、Authorization ≠ Execution，并以 C001—C025 固定首批 Stable Core Terminology。
2026-09-14 18:24:01
1731
原创 《AI 执行工程论纲》专论：何为“权威分解“（Authority Decomposition）？
本文提出“权威分解”概念，指出传统安全体系混淆了权限与权威：权限描述主体能提出什么，权威决定什么能真正发生。AI Agent 可持合法凭证、通过所有检查，却造成不应发生的现实结果，根源在于本应独立的意图、授权、策略、运行时裁决与执行权威，最终坍缩到同一主体或失陷域。权威分解要求将这些性质不同的权威结构性拆开，使任何单一主体失陷都不足以完成从意图到现实改变的完整因果链。执行资格不能继承历史授权，必须在运行时针对具体动作、目标、状态与证据重新组合。最终权威不属于任何主体，而属于被证明成立的边界。
2026-09-14 15:33:43
186
原创 HAVENLON | 杂谈：消费者愿意让 AI 替自己思考，为什么仍然不愿让它替自己付款？
这篇 Visa Trust Index 调查显示，72% 受访者用过 AI Assistant，但仅 23% 愿意让生成式 AI 代付。文章认为，这一落差不是简单的“信任不足、再等几年”问题，而是结构性的：AI 做推荐属于认知劳动，出错可逆；AI 执行支付则改变现实，涉及资金转移、订单成立和责任归属，属于执行错误，两者风险类别不同。因此消费者愿意委托认知，不等于愿意交出执行权。文章主张，产业方向不应只追求“绝对可信的 Agent”，而应转向“有边界的 Agent”：通过额度、类别、商户、时间窗口和失效条件等
2026-09-14 09:59:36
166
原创 HAVENLON 不完美主体 | #06 Prompt Injection 真正攻击的可能不是模型，而是主体判断
Prompt Injection 不只是模型输入安全或越狱，而是针对 Agent 判断结构的攻击。攻击者无需窃取凭证或突破 IAM，只需污染外部信息，让合法 Agent 误判任务、事实或指令权威，进而借用其合法权限执行危险动作。传统 Injection 破坏数据与指令边界，Agent 场景更深层的是 Information 与 Authority 边界崩塌。更强模型、Tool Permission、人工审批都不够，因为可能共享同一污染上下文。防御需拆分权威：将解释权、授权权、执行权分离，以 Mission-
2026-09-14 07:00:00
286
【AI执行工程】基于执行控制与对抗性完整的安全边界构建：面向现实影响的数字系统裁决机制设计
2026-07-28
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人