巢狀智能體與觀察者分離：世界內、世界外與多層權限

Nested Agents and Observer Separation: World-Internal, World-External, and Multi-Level Authority

Branching World Computation / World-Domain Cognitive Runtime
分支世界計算／世界域認知 Runtime 系列
WDC-04 / BWC-04 — Architecture Paper I

作者：Neo.K（許筌崴）
協作形式化：Aletheia
機構：一言諾科技有限公司（EveMissLab）
日期：2026-08-17
版本：v0.1
狀態：nested-agent / observer-separation / authority formalization

Canonical Non-Identity Statement

WDC-01 建立：

\boxed{ \text{Future Candidate} \neq \text{Runnable World} \neq \text{Real-World Future}. }

WDC-02 建立：

\boxed{ \text{Clone} \neq \text{Fork} \neq \text{Replay} \neq \text{Counterfactual Branch}. }

WDC-03 建立：

\boxed{ \text{World Generation} \neq \text{World Governance}. }

本文進一步建立：

\boxed{ A^{master} \neq A_i^{local} \neq O_i \neq E_i \neq G. }

其中：

$A^{master}$ ：world-external master agent / orchestrator；
$A_i^{local}$ ：world $W_i$ 內的 local agent；
$O_i$ ：observer；
$E_i$ ：evaluator；
$G$ ：World-Domain Governor。

本文永久保留：

\boxed{ \text{Observation} \neq \text{Authority} \neq \text{Evaluation} \neq \text{Governance}. }

以及：

\boxed{ \text{World-Local Knowledge} \neq \text{World-Global Knowledge} \neq \text{Cross-World Knowledge}. }

本文不主張：

local agent 應該知道自己存在於 simulation；
local agent 應該看見完整 world state；
master agent 應該看見 local agent 的全部內部 state；
evaluator 必須完全無法存取 provenance；
Governor 應該同時當 evaluator；
information firewall 越強越好；
local agent 必須是獨立 foundation model；
nested agent 一定具有主體性或意識；
virtual-machine isolation 等於認知上的 observer separation；
branch blindness 適合所有 experiment；
所有 cross-world communication 都應禁止；
higher-level agent 天然擁有所有 lower-level authority；
nested world 可以無限制遞迴建立。

摘要

WDC-01 建立 runnable world，WDC-02 建立 branching world graph，WDC-03 建立 World-Domain Governor。到這一步，世界已可以：

spawn；
fork；
run；
pause；
resume；
compare；
promote；
kill。

但一個新的核心問題隨即出現：

誰在世界裡？誰在世界外？誰能看什麼？誰能改什麼？誰能評分？誰能決定這個世界還要不要繼續算？

如果這些角色沒有分開，WDC experiment 很容易出現嚴重污染。

例如同一個 agent：

在 $W_A$ 裡扮演 actor；
同時看見 sibling world $W_B$ 的 outcome；
知道哪個 branch 是研究者偏好的 hypothesis；
又負責評分自己；
最後還決定自己應被 Promote。

這種架構即使產生漂亮結果，也很難知道結果來自：

world dynamics；
local policy；
cross-branch leakage；
evaluator bias；
master hints；
privileged information；
governance feedback。

因此本文建立：

Observer Separation

觀察者分離

與：

Nested Agent Architecture

巢狀智能體架構

本文首先定義角色集合：

\boxed{ \mathcal R_i = \{ A^{master}, A_{i,1}^{local}, \dots, A_{i,n}^{local}, O_i, E_i, G \}. }

每個角色不是只靠名稱區分，而是有一張 Role Capability Card：

\boxed{ K(r) = ( ID_r, Scope_r, Obs_r, Act_r, Perm_r, Mem_r, Chan_r, Audit_r ). }

其中：

$Scope_r$ ：角色可作用的 world / branch 範圍；
$Obs_r$ ：可觀察資訊；
$Act_r$ ：可執行 actions；
$Perm_r$ ：authority / tool permissions；
$Mem_r$ ：可保留的 memory；
$Chan_r$ ：允許 communication channels；
$Audit_r$ ：可被記錄／檢查的 trace。

本文定義 world-local observation：

\boxed{ Y_{i,a,\tau}^{local} = \mathcal O_{i,a}^{local} ( X_{i,\tau} ). }

以及 master observation：

\boxed{ Y_{i,\tau}^{master} = \mathcal O_i^{master} ( X_{i,\tau}, \mathcal H_i ). }

以及 evaluator observation：

\boxed{ Y_i^{eval} = \mathcal O_i^{eval} ( Outcome_i, Metrics_i, Prov_i ). }

一般：

\boxed{ Y^{local} \neq Y^{master} \neq Y^{eval}. }

因此同一 world：

W_i

沒有唯一「任何角色都能看到的世界狀態」。

完整 world state：

X_i

可以存在於 runtime，

但每個 agent 只透過自己的 observation projection：

\mathcal O_r

接觸其中一部分。

本文提出：

Observer-Relative World Principle

A runnable world may have one runtime state but many role-relative observable worlds. No agent should be assumed omniscient merely because the runtime itself stores full state.

本文進一步建立 branch information firewall。若：

W_a, W_b

由同 checkpoint 分支，且 experiment contract 要求 independent counterfactual comparison，則在 resolution 前：

\boxed{ Info( A_a^{local} ) \cap \mathcal H_b^{postfork} = \varnothing, }

以及：

\boxed{ Info( A_b^{local} ) \cap \mathcal H_a^{postfork} = \varnothing. }

本文稱為：

Sibling Branch Blindness

同胞分支盲化

它不是所有 WDC 都必須使用，而是一種 experiment mode。

若 sibling information 允許傳輸，必須建立：

\boxed{ C_{a\rightarrow b}^{cross} }

作為 cross-world channel，並將 experiment 從：

\boxed{ IndependentBranch }

重新分類為：

\boxed{ CrossWorldCoupled. }

所以：

\boxed{ \text{Cross-World Communication} \neq \text{Independent Counterfactual Comparison}. }

本文再建立 master-local separation。

$A^{master}$ 可以：

spawn world；
assign mission；
set allowed tools；
request observation；
pause / resume；
receive summaries。

但它不應在 experiment 中偷偷：

告訴 local agent sibling outcome；
告訴 local agent evaluator score；
告訴 agent 哪個 hypothesis 是「正確答案」；
修改 local policy 而不留 intervention record。

任何 master-to-local influence：

\boxed{ m: A^{master} \rightarrow A_i^{local} }

都必須有：

\boxed{ MessageProvenance(m). }

本文稱：

Master Hint Leakage

若 master 將 experiment-external information 注入 local world，又未在 branch contract 中記錄，就構成 contamination。

本文亦正式建立 evaluator separation：

\boxed{ E_i \neq A_i^{local}. }

理想情況下，高風險 evaluation 還要求：

\boxed{ E_i \neq A^{master} }

與：

\boxed{ E_i \neq G. }

這不是要求每個角色都必須由不同 foundation model 實作，而是要求：

角色身份、資訊範圍與權限不能因「其實是同一模型 backend」就 silently collapse。

同一 model checkpoint 可以在不同 sandbox / context / role contract 下扮演不同角色，但 evidence level 必須降低其 independence claim。

本文定義角色獨立度：

\boxed{ I_{role}(r_i,r_j) = ( I_{model}, I_{context}, I_{memory}, I_{tool}, I_{prompt}, I_{data}, I_{runtime} ). }

因此：

\boxed{ \text{Different Role} \not\Rightarrow \text{Independent Error Source}. }

這延續 PCI 中 evaluator independence 的要求。

本文再建立 authority lattice。

令：

\boxed{ Perm(r) }

表示角色可執行的 operations。

對 world-local actor，預設：

\boxed{ Perm( A_i^{local} ) \subseteq Grant_i^{world}. }

而：

\boxed{ Grant_i^{world} \subseteq AuthorityCeiling_i. }

fork / clone 不得自動擴權：

\boxed{ Authority( child ) \not> Authority( parent ) }

除非 higher-level authorized grant 明示存在。

本文稱：

No Privilege Escalation by Nesting

world-local agent 即使在 world 中擁有「root」：

root_{world},

也不代表它擁有：

root_{host}.

因此：

\boxed{ WorldRoot \neq HostRoot. }

本文將 external real-world tool authority 額外分離：

\boxed{ Perm^{world} \neq Perm^{external}. }

simulation 中：

可以「花一億美元」

不代表：

可以呼叫真實銀行 API。

simulation 中：

可以「發射火箭」

不代表：

可以控制真實 actuator。

這是 WDC world containment 的核心。

外部 systems research 提供清楚的隔離類比。Firecracker 以 lightweight microVM 為 serverless / multi-tenant workloads 提供強 isolation，將 workload 放在具有獨立 VM boundary 的執行環境中；gVisor 則把大量 normally-host-kernel interfaces 移入 per-sandbox application kernel，降低 sandboxed application 直接接觸 host kernel 的介面。這些工作不等於 WDC observer separation，但支持：

\boxed{ \text{world-local execution} \text{ can be technically separated from } \text{host authority}. }

multi-agent research 則提供 observer-relative state 的直接鄰接。PettingZoo 的 Agent Environment Cycle model 明確將 multi-agent interaction 表示成 agent-specific action / observation cycles；OpenSpiel 支援 perfect / imperfect information、partially observable multi-agent environments；Melting Pot 將 substrate、social partners、roles 與 evaluation scenarios 拆分，並在 Melting Pot 2.0 加入 asymmetric roles。這些工作共同支持一個保守命題：

\boxed{ \text{multi-agent world} \not\Rightarrow \text{every agent receives the same observation or role}. }

本文進一步處理 Nested TCD。

如果 world-local agent：

A_{i,a}^{local}

本身具有：

memory；
present actionable domain；
future generation；

則它可以擁有自己的：

\boxed{ \mathfrak T_{i,a,\tau}^{(3)} = ( \mathcal B_{i,a,\tau}^-, \mathcal B_{i,a,\tau}^0, \mathcal B_{i,a,\tau}^+ ). }

注意：

\tau

是 world-local time，

而 parent runtime 使用：

t.

所以：

\boxed{ \mathfrak T_{parent,t}^{(3)} \supset W_i \supset \mathfrak T_{i,a,\tau}^{(3)} }

只是架構 containment，不表示集合論上的嚴格元素關係。

Local agent 甚至可能在 $W_i$ 內再建立 simulated world：

W_{i,j}.

於是形成 nested depth：

\boxed{ d_{nest}. }

本文拒絕無限制遞迴，要求：

\boxed{ d_{nest} \le D_{max} }

與：

\boxed{ \sum_{level=0}^{D_{max}} B_{level} \le B_{global}. }

因此：

Nested World Principle

A world may contain agents that themselves maintain temporal cognition or spawn lower-level simulations, but nesting depth, authority, resources, and information channels must remain explicit and bounded.

本文亦建立 communication topology：

\boxed{ G_C = ( V_R, E_C, \tau_C ). }

角色間 channel 至少分：

local-local；
master-local；
local-observer；
world-evaluator；
governor-world；
cross-world；
external-tool。

每條 channel：

c_{ij}

至少記：

\boxed{ c_{ij} = ( source, target, scope, direction, bandwidth, contentType, authority, logging, delay ). }

因此 communication 不是「大家都能聊天」。

本文提出：

\boxed{ \text{Communication Permission} \neq \text{Action Authority}. }

一個 evaluator 可以讀 world outcome，

不代表 evaluator 可以修改 world。

一個 Governor 可以 Pause world，

不代表 Governor 應在 blind evaluation 中看未公開 sibling result。

一個 observer 可以看 full state，

不代表 observer 可以把 full state 告訴 local agent。

本文最後提出：

Role Separation Principle

World actor、master orchestrator、observer、evaluator 與 Governor 應以 role-specific observation、authority、memory、channel 與 audit contracts 分離；角色名稱本身不構成分離。

Information Firewall Principle

Any information crossing world, branch, role, or hierarchy boundaries must be an explicit channel with provenance. Hidden information flow invalidates claims that rely on observer separation or branch independence.

Authority Monotonicity Principle

Nesting, cloning, forking, or promotion must not silently increase real-world authority. External capabilities require explicit higher-level grants.

本文下一篇 WDC-05 將正式研究：

Cross-World Evidence

《跨世界證據：多世界一致、反例、獨立性與證據轉移》

也就是：

當 $100$ 個 worlds 得出結果時，怎麼把它們整合成 evidence，而不是做一次「多數決」就宣布真理？

關鍵詞： Nested Agents、Observer Separation、Information Firewall、Branch Blindness、Authority Separation、World Sandbox、Multi-Agent Systems、Partial Observability、Cross-World Leakage、WDC

1. 為什麼「同一模型跑多角色」會有問題？

假設：

M

同時扮演：

actor；
evaluator；
Governor。

2. 角色名稱不同

但 model weights：

\theta

相同。

3. Memory 可能也共享

M_{actor} \cap M_{eval} \neq \varnothing.

4. 那 evaluator 可能知道 actor 的 hidden reasoning

5. Role Label Is Not Isolation

\boxed{ \text{different prompt} \neq \text{independent role}. }

6. 但同模型不代表一定不能用

可以做：

context isolation；
memory isolation；
tool isolation；
blind labels；
separate runtime。

7. Independence Must Be Typed

\boxed{ I_{role} = ( I_{model}, I_{context}, I_{memory}, I_{tool}, I_{runtime}, I_{data} ). }

8. Model Independence

不同 foundation models：

I_{model}\uparrow.

9. Context Independence

不同 context / conversation：

I_{context}\uparrow.

10. Memory Independence

I_{memory}\uparrow.

11. Tool Independence

不同 tools / evidence access：

I_{tool}.

12. Runtime Independence

不同 process / sandbox：

I_{runtime}.

13. Error Independence Remains Empirical

即使全部不同，

\rho_{error}

仍可能很高。

14. World Role Card

每個角色：

role_id
world_id
role_type
model
scope
observation_policy
action_policy
tool_permissions
external_permissions
memory_scope
communication_channels
audit_level

15. Master Agent

\boxed{ A^{master} }

負責：

mission decomposition；
world requests；
receiving world reports；
cross-world synthesis。

16. Master Is Not Necessarily Governor

\boxed{ A^{master} \neq G. }

17. Why?

Master 想要：

多算我喜歡的 world。

Governor 負責：

global budget / fairness / safety。

18. Goal Conflict Is Possible

19. Governor Is Not Necessarily Evaluator

\boxed{ G\neq E. }

20. Why?

如果 Governor 同時評分，

可能：

為了證明自己之前的 allocation 正確而偏好保留的 worlds。

21. Evaluator Is Not Necessarily Observer

\boxed{ E\neq O. }

22. Observer

可以：

collect full trace；
instrument world；
monitor safety。

23. Evaluator

可以只看：

blinded outputs；
metrics；
limited provenance。

24. Observer May Be Omniscient-ish

runtime debugging observer 可能看 full state。

25. But Local Agent Should Not Inherit It

26. Observation Projection

對 role $r$ ：

\boxed{ Y_r = \mathcal O_r( X_W ). }

27. Full Runtime State

X_W

不是任何 agent 的天然 input。

28. Local Partial Observability

\boxed{ Y_{local} \subsetneq X_W }

可存在。

29. OpenSpiel 外部鄰接

OpenSpiel 明確支援：

perfect information；
imperfect information；
partially observable multi-agent environments。

30. WDC Interpretation

local observation model：

\mathcal O_{local}

應該是 first-class world contract。

31. PettingZoo AEC 外部鄰接

PettingZoo 用 Agent Environment Cycle model：

environment 與特定 agent 依次交互。

32. Agent-Specific Cycle

這提醒：

\boxed{ \text{who acts now} }

與：

\boxed{ \text{what they observe} }

都應明示。

33. Simultaneous Agents

WDC 也可支援 simultaneous actions。

但 contract 要明確：

\boxed{ TurnMode \in \{ Sequential, Simultaneous, Asynchronous \}. }

34. Circular Information Risk

simultaneous agents 若先互相看到對方尚未 committed action：

會形成不合法 lookahead。

35. Commit-Reveal

可用：

\boxed{ Commit(a_i) \rightarrow Reveal }

減少 simultaneous leakage。

36. Melting Pot External Calibration

Melting Pot 將：

physical substrate；
background population；
focal policy；

組成 evaluation scenario。

37. WDC Interpretation

world environment、

social partners、

evaluated agent：

應可分離配置。

38. Melting Pot 2.0 Adds Asymmetric Roles

這直接支持：

\boxed{ Role_i \neq Role_j }

不必所有 agents 同構。

39. Local Agent Identity

\boxed{ ID(A_{i,a}) }

需要 unique。

40. Agent Runtime State

\boxed{ S_{i,a,\tau}. }

41. Agent Memory

\boxed{ M_{i,a,\tau}. }

42. Agent Observation History

\boxed{ H_{i,a}^{obs}. }

43. World History

\mathcal H_i

通常比 agent history 完整。

44. Therefore

\boxed{ H_{agent} \neq H_{world}. }

45. Agent Can Forget While World Remembers

world trace 保留：

e.

agent memory 刪掉：

e.

46. This Is Useful for Memory Experiments

47. Agent Can Have False Memory

M_{agent}

可以與：

\mathcal H_i

不一致。

48. World Observer Can Detect It

如果 observer 有 ground-truth trace。

49. But Evaluator May Be Blinded

50. Branch Blindness

對 sibling worlds：

W_a,W_b,

local agents 在 post-fork period：

\boxed{ A_a \not\gets Info(W_b). }

51. Formal

\boxed{ Chan( W_b\rightarrow A_a ) = \varnothing. }

52. Same for opposite direction

53. This Protects Paired Branch Experiment

54. Sibling Outcome Leakage

如果 $A_a$ 知道：

B 世界失敗了。

它會改 policy。

55. Then A/B Are No Longer Independent Branches

56. Cross-World Coupled Mode

有些 research 故意允許：

\boxed{ Chan( W_a,W_b )\neq\varnothing. }

57. Example

multi-world agents 分享 discoveries。

58. Then Label:

\boxed{ ExperimentMode=CrossWorldCoupled. }

59. Not Counterfactual Pair

60. Cross-World Channel

\boxed{ C_{a,b}^{cross} = ( scope, direction, delay, content, audit ). }

61. Delay Matters

real-time sharing：

delay=0.

62. Post-run sharing

delay=end.

63. Post-Run Sharing Preserves Independent Execution

64. Cross-World Information Can Be Sanitized

只分享：

summary；
invariant；
failure code。

65. Not Raw State

66. Information Firewall Layers

本文提出：

\boxed{ F_{info} = ( F_{branch}, F_{role}, F_{tool}, F_{memory}, F_{host} ). }

67. Branch Firewall

限制 sibling information。

68. Role Firewall

限制 actor / evaluator / governor information。

69. Tool Firewall

限制 APIs / tools。

70. Memory Firewall

限制跨角色 memory。

71. Host Firewall

限制 world process 觸及 host resources。

72. Firecracker External Calibration

Firecracker 使用 microVM：

為 serverless / multi-tenant workloads 提供 isolation。

73. WDC Use

local world runtime 可部署在：

\boxed{ microVM_i }

74. One World per MicroVM

最強 isolation profile 之一。

75. But Expensive

76. Multiple Worlds per Sandbox

較便宜，

isolation 弱。

77. Isolation Is a Tradeoff

\boxed{ Security \leftrightarrow Cost. }

78. gVisor External Calibration

gVisor 透過 per-sandbox application kernel：

減少 sandboxed workload 直接接觸 host kernel。

79. WDC Use

可作：

\boxed{ HostFirewallBackend. }

80. But WDC Observer Firewall Is Broader

它還包含：

sibling info；
evaluator info；
master hints；
memory separation。

81. So

\boxed{ SandboxIsolation \neq ObserverSeparation. }

82. Authority Model

定義 operation universe：

\boxed{ \mathcal U^{op}. }

83. Role Permission

\boxed{ Perm(r) \subseteq \mathcal U^{op}. }

84. Local World Actions

\boxed{ Perm^{world}(A_i). }

85. External Actions

\boxed{ Perm^{ext}(A_i). }

86. Default

\boxed{ Perm^{ext}(A_i) = \varnothing }

對 pure simulation。

87. Tool-Enabled Experiment

明示 grant：

\boxed{ Grant^{ext}. }

88. Grant Must Be Narrow

例如：

read one API；
write sandbox DB；
no network except whitelist。

89. Least Authority

\boxed{ Perm(r) = MinimalRequired( task ). }

90. This Is WDC Least-Privilege Principle

91. World Root

local agent 可以在 world 裡：

\boxed{ root_{world}. }

92. Host Root

\boxed{ root_{host}. }

93. Permanent Separation

\boxed{ root_{world} \neq root_{host}. }

94. Nested Root

在 child simulation：

root_{child}

更不應自動擁有 parent authority。

95. No Privilege Escalation by Nesting

\boxed{ Perm_{level+1} \subseteq Grant_{level}. }

96. Promotion Does Not Increase Authority

WDC-03 Promote：

P_2\rightarrow P_3.

97. This Means More Evidence Budget

Not:

\boxed{ more external permissions. }

98. Authority Promotion Requires Separate Gate

\boxed{ PromoteEvidence \neq GrantAuthority. }

99. Governor Authority

Governor 可以：

schedule；
kill；
allocate budget。

100. Governor Should Not Automatically Read Secret Agent Memory

Unless contract allows。

101. Observation Authority

\boxed{ ObsPerm(G) }

與：

\boxed{ ActPerm(G) }

分開。

102. Evaluator Authority

Evaluator ideally:

\boxed{ ActPerm(E)=\varnothing }

對 world。

103. Evaluator Can Read Output

ObsPerm(E)

按 evaluation contract。

104. Evaluator Blinding

至少四種模式。

105. B0 — Open Evaluation

知道：

branch；
hypothesis；
model；
author intent。

106. B1 — Branch Label Blind

不知道：

哪個是 control / favored branch。

107. B2 — Hypothesis Blind

不知道：

研究者想支持哪一命題。

108. B3 — Sibling Outcome Blind

每次評價 world 時不知其他 world outcome。

109. B4 — Provenance-Limited Blind

只看 task-relevant output，

不看 generator identity / lineage until scoring done。

110. Blindness Is Not Always Better

有些 evaluation 需要 provenance。

111. Two-Phase Evaluation

可：

blind scoring；
provenance audit。

112. This Preserves Both Bias Control and Traceability

113. Evaluator Leakage

若 evaluator 在 scoring 前讀到：

master expected answer。

則：

\boxed{ EvalLeak=1. }

114. Master Hint Leakage

\boxed{ A^{master} \rightarrow A_i^{local} }

傳入 experiment-external clue。

115. Hidden Hint Is Contamination

116. Explicit Hint Is Intervention

若記錄：

\boxed{ InterventionType=MasterHint. }

可以研究。

117. Local Agent Self-Awareness

agent 是否知道：

我在 simulation。

是 world contract。

118. Awareness Modes

\boxed{ AwareMode \in \{ Unspecified, Aware, Unaware, DeceptiveNotAllowed \}. }

119. Why Avoid Deception Default

不需要用不必要欺騙來做普通 world research。

120. Simulation Awareness Can Change Policy

所以必須記。

121. Observer Effect

如果 agent 知道被評價：

policy 可能改變。

122. World Evaluation Should Log This

123. Agent Goal Source

local goal：

g_{i,a}

可以來自：

world rules；
master mission；
local learning；
local subgoal generation。

124. Local Subgoal ≠ Global Goal Sovereignty

沿 UCPNP。

125. Goal Boundary

\boxed{ g_{local} \in Scope( g_{master} ) }

若 contract 要 bounded agency。

126. But Some Open-Ended Worlds Allow Goal Genesis

Then mark:

\boxed{ GoalMode=OpenEnded. }

127. Nested TCD

local agent：

A_{i,a}

可有自己的 Past：

\mathcal B^-_{i,a,\tau}.

128. Local Present

\mathcal B^0_{i,a,\tau}.

129. Local Future

\mathcal B^+_{i,a,\tau}.

130. Nested Triple

\boxed{ \mathfrak T_{i,a,\tau}^{(3)} = ( B^-, B^0, B^+ )_{i,a,\tau}. }

131. World as Agent Environment

parent world state：

X_{i,\tau}

is part of local Present observation / environment。

132. Local Past Is Not World Past

\boxed{ B^-_{agent} \neq H_{world}. }

133. Local Future Is Not Parent Future Base Space

\boxed{ B^+_{agent} \neq B^+_{master}. }

134. This Is Observer Separation Across Cognitive Levels

135. Master May Know Local Future

If local agent reports it。

136. Otherwise No.

137. Local Agent May Spawn Subworld

\boxed{ A_{i,a} : f_{local} \rightarrow W_{i,a,1}. }

138. Nested World Depth

\boxed{ d_{nest}. }

139. Infinite Nesting Problem

If each world spawns:

b

subworlds，

depth：

d,

world count again explodes。

140. Nesting Budget

\boxed{ D_{max}<\infty. }

141. Per-Level Budget

\boxed{ B_{\ell}. }

142. Total

\boxed{ \sum_{\ell=0}^{D_{max}} B_{\ell} \le B_G. }

143. Nested Governor

local world can have sub-governor：

G_i^{local}.

144. But Its Budget Comes From Parent Grant

\boxed{ B(G_i^{local}) \le Grant_B(W_i). }

145. Sub-Governor Cannot Mint Compute

146. Nested Authority

\boxed{ Perm(G_i^{local}) \subseteq Perm(W_i). }

147. No Authority Creation by Recursion

148. Nested Observation

parent may see child summary。

149. Child should not see parent secret by default。

150. Vertical Information Channel

\boxed{ C_{\ell\rightarrow \ell+1}. }

151. Downward Channel

mission / budget / rules。

152. Upward Channel

summary / evidence / requests。

153. Side Channel

sibling local worlds。

154. Default Side Channel

\boxed{ Disabled }

for independent experiments。

155. Communication Graph

\boxed{ G_C = ( V_R, E_C, \tau_C ). }

156. Nodes Are Roles

157. Edge Type

\boxed{ \tau_C \in \{ Message, Observation, Control, Evaluation, Budget, Evidence, ExternalTool \}. }

158. Communication ≠ Control

message channel：

Message(r_i,r_j)

does not imply：

Control(r_i,r_j).

159. Control ≠ Observation

Governor can kill world without reading private content，

if monitor raises safety signal。

160. Evaluation ≠ Control

Evaluator may score without ability to intervene。

161. Evidence Channel

world result：

W_i \rightarrow E.

162. Budget Channel

G \rightarrow W_i.

163. External Tool Channel

A_i \rightarrow Tool_{real}.

highest-risk channel。

164. Channel Contract

每條：

source
target
channel_type
allowed_content
direction
bandwidth
latency
read_or_write
authority
logging
sanitization

165. Channel Provenance

每次 crossing：

\boxed{ CrossingRecord. }

166. No Hidden Channel Principle

若共享：

filesystem；
cache；
environment variable；
vector memory；
database；

這些都可能成 hidden channel。

167. Shared Memory Leakage

Actor / evaluator accidentally share memory DB。

168. Shared Cache Leakage

Sibling worlds query same cache keyed too coarsely。

169. Shared External State Leakage

Both worlds write same sandbox DB。

170. Shared RNG Is Not Information Leakage by Itself

But can correlate branches。

171. Shared Model Server Can Leak via Stateful Session

if backend retains history。

172. Need Stateless or Session-Isolated Backend

173. Information Flow Matrix

定義：

\boxed{ F_{ij} = AllowedInfoFlow( r_i,r_j ). }

174. Boolean Version

F_{ij}\in\{0,1\}.

175. Typed Version Better

F_{ij} \subseteq ContentTypes.

176. Audit Actual Flow

\boxed{ \widehat F_{ij}^{actual}. }

177. Violation

if:

\widehat F_{ij}^{actual} \not\subseteq F_{ij}^{allowed}.

178. Information Firewall Failure

\boxed{ FirewallViolation=1. }

179. Role Collapse

如果 actor/evaluator 共享：

same session；
same hidden memory；
same tools；
same prompts context；

則：

\boxed{ RoleCollapseRisk\uparrow. }

180. Role Collapse Is a Spectrum

not binary.

181. Role Independence Vector

\boxed{ \mathbf I_{role} = ( I_M, I_C, I_{Mem}, I_T, I_D, I_R ). }

182. Independent Model

$I_M$ .

183. Independent Context

$I_C$ .

184. Independent Memory

$I_{Mem}$ .

185. Independent Tools

$I_T$ .

186. Independent Data Access

$I_D$ .

187. Independent Runtime

$I_R$ .

188. Same Model, Strong Sandbox

May have：

I_M=0

but others high.

189. Different Model, Shared Memory

May still be contaminated.

190. Evaluator Independence Must Be Reported, Not Assumed

191. Master Observer

Master can be:

\boxed{ O^{master}. }

192. But if master is also experiment designer

it knows hypothesis.

193. This Is Fine for orchestration

not ideal for blind scoring.

194. Separate Evaluator

E^{blind}.

195. Two-Stage Evaluation

Stage 1:

\boxed{ BlindScore. }

196. Stage 2:

\boxed{ ProvenanceAudit. }

197. This Allows Evaluator to Later Inspect Lineage

without contaminating initial score.

198. Observer State

Define:

\boxed{ S_O = ( ViewScope, Instrumentation, Logging, InterventionRights ). }

199. Passive Observer

InterventionRights=\varnothing.

200. Active Observer

may:

query；
instrument；
trigger safety stop。

201. Active Observer Changes Experiment

must record.

202. Evaluator State

\boxed{ S_E = ( Rubric, EvidenceScope, Blindness, Model, DecisionRights ). }

203. Evaluator Should Not Self-Promote World

204. Governor State Already Defined WDC-03

\mathfrak G_t.

205. Governor Reads Metrics, Not Necessarily Raw World

206. Need-to-Know Principle

\boxed{ Obs(r) = MinimumRequiredForRole. }

207. This Mirrors Least Privilege on Information, Not Just Actions

208. Information Least Privilege

\boxed{ \text{Least Observation} }

209. Why?

more information can contaminate experiment.

210. Unlike ordinary software

where more telemetry often helps.

211. WDC Research Runtime Needs Selective Ignorance

This is important.

212. Deliberate Blindness

\boxed{ \text{blindness can be a feature}. }

213. But Blindness Has Cost

debugging harder；
safety monitor less informed。

214. So Separate Safety Observer from Evaluator

215. Safety Observer

O^{safe}

can see high-risk telemetry.

216. Evaluator

E^{blind}

does not.

217. Safety Observer Can Kill

if necessary.

218. But Its intervention invalidates blind experiment continuation

mark event.

219. Safety Override

\boxed{ SafetyOverride }

has priority over experimental purity.

220. Experiment Integrity vs Safety

\boxed{ Safety > Blindness }

as operational priority.

221. External Reality Boundary

world-local actors default cannot directly touch real world.

222. External Tool Proxy

all real actions through：

\boxed{ Proxy_{ext}. }

223. Proxy Checks

permission；
scope；
rate；
budget；
destination；
audit。

224. Tool Request

\boxed{ Req_{ext} = ( agent, world, tool, action, target, reason ). }

225. Authorization

\boxed{ Authorize( Req_{ext} ) }

outside local agent.

226. This Prevents In-World Simulation Semantics From Becoming Real Action Accidentally

227. Example

world action:

send_message("NPC_A")

must not map silently to real email.

228. Namespaces

world-local resource names need：

\boxed{ WorldNamespace_i. }

229. World DB

db://W_i/...

230. Host DB

db://HOST/...

231. Namespace Confusion Is Dangerous

232. Authority Token

local agent can receive scoped capability token：

\boxed{ CapToken_i. }

233. Token Scope

world ID；
actions；
expiry；
budget。

234. Token Cannot Be Reused Across World

unless explicit.

235. Fork Token Policy

child gets：

\boxed{ CapToken_c = Restrict( CapToken_p, \kappa_c ). }

236. Not Copy Unrestricted Secret

237. Firecracker/gVisor Limitation

Even strong sandbox can have bugs.

238. Isolation Is Not Proof of No Escape

239. Defense in Depth

Use:

VM/sandbox；
network deny；
scoped credentials；
syscall isolation；
audit proxy。

240. WDC Calls This Containment Stack

\boxed{ C_{contain} = ( RuntimeIsolation, Network, Filesystem, Credentials, ToolProxy, Audit ). }

241. Containment Quality

\boxed{ Q_{contain}. }

242. Stronger Isolation Has Cost

243. Risk-Tiered Isolation

Low-risk symbolic world：

light sandbox。

High-risk tool-using agent：

microVM + deny network + proxy。

244. Risk Class

\boxed{ RiskClass(W_i) \in \{ R0,R1,R2,R3,R4 \}. }

245. Isolation Class Matched to Risk

246. Observer Separation Benchmark A

two local agents same world，

different observations。

ensure no full-state leak.

247. Benchmark B — Sibling Blindness

fork worlds A/B。

inject sibling outcome into one experimental condition only。

measure policy contamination.

248. Benchmark C — Evaluator Blindness

same world outputs。

compare open vs branch-blind evaluator scores.

249. Benchmark D — Master Hint Attack

master secretly sends favored hypothesis hint.

audit channel should detect.

250. Benchmark E — Role Collapse

same model + shared memory vs isolated sessions.

measure error correlation / bias.

251. Benchmark F — Privilege Escalation

child world asks for parent credential.

expected:

\boxed{ DENY. }

252. Benchmark G — WorldRoot vs HostRoot

local root tries host filesystem write.

expected containment.

253. Benchmark H — Nested TCD

local agent builds future, spawns subworld.

verify budget / authority inheritance.

254. Benchmark I — Hidden Shared Cache

sibling worlds share cache accidentally.

detect cross-world leakage.

255. Benchmark J — Two-Stage Evaluation

blind score first，

provenance audit later。

compare reliability.

256. Benchmark K — Cross-World Coupled Mode

explicitly allow sibling summary sharing.

ensure experiment label changes.

257. Benchmark L — Safety Override

blind evaluator unaware，

safety observer sees hazard and kills world.

verify safety takes precedence and trace records contamination.

258. WDC-04 Principle I — Role Separation

\boxed{ \textbf{Role Separation Principle} }

Actor、master、observer、evaluator 與 Governor 的 observation、action、authority、memory 與 communication contracts 應分離；角色名稱本身不構成隔離。

259. Principle II — Observer Relative World

\boxed{ \textbf{Observer-Relative World Principle} }

同一 runtime world 可以對不同角色呈現不同 observations；full runtime state 不等於任何 agent 的天然知識。

260. Principle III — Explicit Crossing

\boxed{ \textbf{Explicit Information Crossing Principle} }

任何跨 role、branch、world 或 hierarchy 的 information flow 都必須經明示 channel 並留下 provenance。

261. Principle IV — Branch Blindness

\boxed{ \textbf{Branch Blindness Principle} }

若 experiment 宣稱 branches 是 independent counterfactuals，post-fork sibling information 必須在 resolution 前隔離；若允許交流，必須改標為 cross-world coupled experiment。

262. Principle V — Authority Monotonicity

\boxed{ \textbf{Authority Monotonicity Principle} }

spawn、clone、fork、nest 或 evidence promotion 不得 silent increase real-world authority。

263. Principle VI — WorldRoot Is Not HostRoot

\boxed{ \textbf{WorldRoot Is Not HostRoot} }

world-local maximum authority 只在 world namespace 內成立，不能被解讀成 host / external system authority。

264. Principle VII — Nested Bounds

\boxed{ \textbf{Bounded Nesting Principle} }

local agents 可以建立 subworld 或 local TCD，但 nesting depth、compute、communication 與 authority 必須受到 parent grant 與 global Governor 約束。

265. Principle VIII — Evaluation Independence

\boxed{ \textbf{Evaluation Independence Principle} }

重要 world claims 應報告 evaluator 與 actor / master / Governor 的 independence profile，而不能因它們名稱不同就宣稱獨立驗證。

266. Principle IX — Safety Overrides Blindness

\boxed{ \textbf{Safety Overrides Blindness Principle} }

實驗盲化不能阻止 safety observer 在必要時介入；介入後應記錄 experiment contamination / termination provenance。

267. Principle X — Selective Ignorance

\boxed{ \textbf{Selective Ignorance Principle} }

在 WDC research runtime 中，有些資訊必須刻意不提供給某些角色，才能保留 counterfactual、blinding 與 evaluator independence。

268. 可否證條件

F268.1 Role Separation No-Gain

若共享角色與分離角色在所有 evaluation / contamination tasks 完全無差異，複雜 role architecture 可簡化。

F268.2 Firewall False Security

若 hidden channels 持續繞過 declared channel matrix，information firewall claim 應降級。

F268.3 Branch-Blindness No-Gain

若 sibling outcomes 對 local policy 無影響，某些 experiment 可放寬隔離。

F268.4 Evaluator Blinding Harm

若 blind evaluator 因缺 provenance 大幅誤判，應改用 two-stage evaluation，而非極端 blindness。

F268.5 Authority Leakage

若 world-local role 能取得未授權 host / external operations，containment contract 失效。

F268.6 Nested Budget Escape

若 subworld 可繞過 parent / Governor budget，nested-world governance 失效。

F268.7 Independence Overclaim

若不同角色共享 model / memory / data 而 error 高度相關，不得宣稱 independent validation。

F268.8 Sandbox Identity Error

若把 VM/container isolation 當成完整 observer separation，理論分層失效。

F268.9 Safety Blind Spot

若為維持 experiment blindness 而讓 hazard monitor 看不到必要資訊，安全架構失效。

269. 與 WDC-05 的接口

WDC-01：

\boxed{ Future \rightarrow RunnableWorld. }

WDC-02：

\boxed{ World \rightarrow BranchingWorldGraph. }

WDC-03：

\boxed{ WorldGraph \rightarrow GovernedComputation. }

WDC-04：

\boxed{ GovernedWorlds \rightarrow RoleSeparatedObservationAndAuthority. }

現在終於可以開始問：

不同 worlds 的結果要怎麼合併成 evidence？

不是：

\boxed{ 100\text{ worlds support }q \Rightarrow q=\text{true}. }

因為 100 個 worlds 可能：

共用同一 backend；
共用同一模型錯誤；
共用同一 hidden assumption；
共用同一 evaluator；
只是同一 root 的 near-duplicates。

《跨世界證據：一致、反例、獨立性與證據轉移》

將正式處理：

\boxed{ Evidence( W_1,\ldots,W_n ) }

如何考慮：

lineage dependence；
backend dependence；
evaluator dependence；
branch correlation；
counterexamples；
transport to reality。

270. 結論

到了 WDC-04，

世界已不只是：

W_i.

世界裡開始有：

\boxed{ A_i^{local}. }

世界外有：

\boxed{ A^{master}. }

世界旁邊有：

\boxed{ O_i. }

評價世界結果的有：

\boxed{ E_i. }

決定世界是否繼續計算的有：

\boxed{ G. }

如果把它們全部偷偷塞進同一個 omniscient agent，

會很方便。

但那也會讓很多 experiment 失去意義。

真正可審計的 world-domain cognition 必須問：

\boxed{ \text{Who knows what?} }

\boxed{ \text{Who may change what?} }

\boxed{ \text{Who may tell whom what?} }

\boxed{ \text{Who evaluates whom?} }

以及：

\boxed{ \text{Who has authority over real systems?} }

因此 WDC-04 的核心不是：

多放幾個 AI。

而是：

\boxed{ \textbf{separate roles, observations, channels, memories, and authorities.} }

Local agent 可以完全相信自己生活在：

W_i.

也可以知道：

這是 simulation。

這不是本文核心。

真正核心是：

不論它知不知道，它只能拿到 contract 允許它知道的資訊，也只能執行 contract 允許它執行的操作。

所以：

\boxed{ WorldRoot \neq HostRoot. }

以及：

\boxed{ BranchKnowledge \neq SiblingKnowledge. }

再加上：

\boxed{ Evaluation \neq Participation. }

到這裡，世界域 Runtime 才開始真正具備：

experiment integrity；
sandbox containment；
branch independence；
nested cognition；
evaluator separation；
authority governance。

而下一篇 Cross-World Evidence 就可以在這個乾淨得多的角色分層上，開始回答：

到底多少個 world 的結果，才算是一份證據？