← Archive
lm-004039 · 2026-09

UNPNP Series 09 — 安全可達世界：UNPNP 計算中的權限、能力與快速通道

zh-Hant · md Raw source ↗ Metadata ↗
下載 MD 檔 ⬇

UNPNP Series 09

安全可達世界：UNPNP 計算中的權限、能力與快速通道

Safe Reachable Worlds: Permission, Capability, and Fast Paths in UNPNP Computation

系列名稱： UNPNP Hyperlink & Crystallized Computation Series
系列篇次： 09
作者： Neo.K with Aletheia（GPT）
機構： EveMissLab／一言諾科技有限公司
版本： v0.1
日期： 2026-09-07
文件性質： AI 原生計算／權限與安全邊界／UNPNP 理論論文
狀態： Canonical Draft

摘要

UNPNP 前八篇逐步建立了複雜度轉移、跨底空間超連結、自適應快速通道、展開—連結—收斂、耦合計算、路徑編譯、計算結晶化，以及有效度超連結路徑編碼。當這些能力結合後，一個 AI-native runtime 可能在極短時間內穿越多個底空間，執行一串已驗證或已結晶的快速 transition。

然而，計算效率的提升具有一個直接且對稱的風險：

合法計算的快速通道，也可能成為錯誤、攻擊或權限濫用的快速通道。\boxed{ \text{合法計算的快速通道，也可能成為錯誤、攻擊或權限濫用的快速通道。} }

因此，UNPNP 的安全性不能被視為後加模組，而必須成為跨底空間 transition 的一部分。本文提出 Safe Reachable World：任一時刻，AI 或其他計算主體實際可運行的世界，不等於其能觀察或知道存在的全部世界，而應被 capability、identity、risk、policy 與 execution context 共同裁剪：

Wtaccessible=W∩R(It,Ct,Pt,Rt).\boxed{ \mathcal W_t^{\mathrm{accessible}} = \mathcal W \cap \mathcal R( I_t, C_t, P_t, R_t ). }

其中：

  • ItI_t：當前行動主體與身分上下文；
  • CtC_t：capability envelope；
  • PtP_t：policy / permission state；
  • RtR_t：risk state；
  • R\mathcal R：可達域生成函數。

本文正式提出：

Reachable≠Authorized≠Trusted≠Safe\boxed{ \text{Reachable} \neq \text{Authorized} \neq \text{Trusted} \neq \text{Safe} }

以及：

Learning⇏Self-Authorization.\boxed{ \text{Learning} \not\Rightarrow \text{Self-Authorization}. }

AI 可以學會一條更好的路，但不能因為「這條路更快」而自行取得原本不存在的權限。

本文不主張第一代 UNPNP runtime 應直接實作大型企業級 IAM、複雜組織權限樹或跨機構身份聯邦。相反，本文主張先建立一個最小但嚴格的安全骨架：多道閘門、明確 actor identity、capability envelope、risk class、guard、validator、receipt、rollback / fallback 與 fail-closed。

本文進一步將實驗世界分為三個主要域：

Winternal⊂Wread⊂Wact.\boxed{ \mathcal W_{\mathrm{internal}} \subset \mathcal W_{\mathrm{read}} \subset \mathcal W_{\mathrm{act}}. }

第一階段主要允許內部 sandbox、單機遊戲、本地資料、測試 repo 與可回滾狀態；第二階段可以加入受控 external read；第三階段的 external write、不可逆動作、金流、權限變更與 production mutation 應在安全模型成熟前排除在自動 fast path 之外。

本文亦提出 Authorized Shortest Path：

Γ\*=arg⁡min⁡Γ∈PauthorizedC(Γ)\boxed{ \Gamma^\* = \arg\min_{ \Gamma \in \mathcal P_{\mathrm{authorized}} } C(\Gamma) }

表示 UNPNP 不應搜尋「所有可能路徑中的最快路」，而應搜尋「被授權可行域中的最低成本路徑」。

最後，本文建立 fast path 與 guarded slow path 的安全對偶：穩定、低風險、可逆且 capability 已界定的路徑可以高度耦合與結晶；高風險、未知、不可逆、外部寫入或權限改變的路徑則必須重新展開、增加驗證，甚至要求額外主體審批。

本文的核心原則可以壓縮為：

 Couple computation, isolate authority. \boxed{ \textbf{ Couple computation, isolate authority. } }

以及：

 安全不是讓 AI 走得慢，而是限制它只在正確的可達世界裡走得快。 \boxed{ \textbf{ 安全不是讓 AI 走得慢，而是限制它只在正確的可達世界裡走得快。 } }

關鍵詞： UNPNP、Safe Reachable World、Capability、Authorization、Identity、Fast Path、Fail-Closed、Sandbox、Permission Boundary、AI Security、Typed Hyperlink

1. 為什麼安全必須進入 UNPNP 本體？

如果：

B1→B2→⋯→B100B_1 \rightarrow B_2 \rightarrow \cdots \rightarrow B_{100}

已被編譯成：

B1→B100,B_1 \rightarrow B_{100},

那麼原本散布於中間：

  • identity check；
  • permission check；
  • data validation；
  • side-effect boundary；
  • audit；

的安全摩擦也可能一起被壓掉。

所以：

path compression⇏security compression.\boxed{ \text{path compression} \not\Rightarrow \text{security compression}. }

2. 快速通道的對稱風險

若：

Clegitimate↓,C_{\mathrm{legitimate}} \downarrow,

攻擊者若能借用同一通道，

其：

CattackC_{\mathrm{attack}}

也可能下降。

因此：

optimization⇒attack-surface reconsideration.\boxed{ \text{optimization} \Rightarrow \text{attack-surface reconsideration}. }

3. Reachable 不等於 Authorized

最基本：

Reachable≠Authorized.\boxed{ \text{Reachable} \neq \text{Authorized}. }

AI 可以知道：

BjB_j

存在，

也可以解析：

aj,a_j,

但仍不代表：

Traverse⁡(Bi,Bj)\operatorname{Traverse}(B_i,B_j)

被允許。

4. Authorized 不等於 Trusted

即使某 transition 被允許，

其來源：

SS

仍可能不可信。

所以：

Authorized≠Trusted.\boxed{ \text{Authorized} \neq \text{Trusted}. }

5. Trusted 不等於 Safe

可信來源也可能：

  • bug；
  • stale；
  • misconfigured；
  • incompatible。

因此：

Trusted≠Safe.\boxed{ \text{Trusted} \neq \text{Safe}. }

6. Safe 不等於 Globally Optimal

最安全路不一定最快，

最快路也不一定安全。

因此：

Safety≠Optimality.\boxed{ \text{Safety} \neq \text{Optimality}. }

7. 四層分離

本文提出：

Reachability≠Authorization≠Trust≠Safety.\boxed{ \text{Reachability} \neq \text{Authorization} \neq \text{Trust} \neq \text{Safety}. }

這四者必須分開建模。

8. 行動主體 Identity

任何有副作用 transition 都應回答：

誰在做？

令：

ItI_t

為 actor identity。

第一代可簡化為：

It∈{system,human-owner,agent,external}.I_t \in \{ \text{system}, \text{human-owner}, \text{agent}, \text{external} \}.

9. Identity 不必一開始複雜化

第一版目標不是完整身份聯邦。

而是保證：

every privileged action has an attributable actor context.\boxed{ \text{every privileged action has an attributable actor context}. }

10. Delegated Identity

若：

I0→I1→I2,I_0 \rightarrow I_1 \rightarrow I_2,

表示：

I0I_0

委託：

I1,I_1,

再委託：

I2.I_2.

11. Delegation Chain

可以寫：

DI=(I0,I1,…,In).D_I = ( I_0, I_1, \ldots, I_n ).

每次 delegation 都應攜帶 capability 範圍。

12. Capability Envelope

令：

CtC_t

為當前能力集合。

例如：

Ct={read-web,read-local,write-temp,sandbox-exec}.C_t = \{ \text{read-web}, \text{read-local}, \text{write-temp}, \text{sandbox-exec} \}.

13. Capability 不等於角色名稱

「Agent」不是權限。

真正權限在：

Ct.C_t.

因此：

Role label≠Capability set.\boxed{ \text{Role label} \neq \text{Capability set}. }

14. Capability Attenuation

委託後應滿足：

Cn+1⊆Cn.\boxed{ C_{n+1} \subseteq C_n. }

即下游 capability 不應無條件放大。

15. Capability Amplification 需要新授權

若：

Cn+1⊃Cn,C_{n+1} \supset C_n,

則必須：

Reauthorize⁡=1.\operatorname{Reauthorize}=1.

16. Learning 不能提升權限

即使 AI 學到：

Γprivileged\Gamma_{\mathrm{privileged}}

很有效，

也不能：

Ct→Ct′C_t \rightarrow C_t'

自行加入 privileged capability。

所以：

Learning⇏Self-Authorization.\boxed{ \text{Learning} \not\Rightarrow \text{Self-Authorization}. }

17. Safe Reachable World

定義：

Wtaccessible=W∩R(It,Ct,Pt,Rt).\boxed{ \mathcal W_t^{\mathrm{accessible}} = \mathcal W \cap \mathcal R( I_t, C_t, P_t, R_t ). }

18. 全域世界與可達世界

W\mathcal W

可以很大。

但：

Wtaccessible\mathcal W_t^{\mathrm{accessible}}

只包含：

目前主體在目前能力、政策與風險條件下可以合法操作的底空間與 transition。

19. 可見世界與可執行世界

還可區分：

Wtvisible\mathcal W_t^{\mathrm{visible}}

與：

Wtexecutable.\mathcal W_t^{\mathrm{executable}}.

通常：

Wtexecutable⊆Wtvisible.\boxed{ \mathcal W_t^{\mathrm{executable}} \subseteq \mathcal W_t^{\mathrm{visible}}. }

20. 看得到但不能做

這是必要狀態。

例如 AI 可以看到：

payment endpoint\text{payment endpoint}

存在，

但：

execute-payment∉Ct.\text{execute-payment} \notin C_t.

21. Multi-Gate Model

第一代不需要複雜權限樹。

但至少需要多道閘門：

G1→G2→G3→G4.G_1 \rightarrow G_2 \rightarrow G_3 \rightarrow G_4.

22. Gate 1：Identity Gate

確認：

It.I_t.

23. Gate 2：Capability Gate

確認：

Creq(Θ)⊆Ct.C_{\mathrm{req}}(\Theta) \subseteq C_t.

24. Gate 3：Risk Gate

確認：

R(Θ)≤Rmax⁡(context).R(\Theta) \le R_{\max}(\text{context}).

25. Gate 4：Execution Guard

確認：

GΘ(st)=1.G_\Theta(s_t)=1.

26. Gate 5：Post-Verification

執行後：

VΘ(st+1)=1.V_\Theta(s_{t+1})=1.

27. 多道閘門不等於每次問人類

若每一步：

是否允許？

都要求人類點確認，

fast path 會失去意義。

所以：

multi-gate≠human confirmation every step.\boxed{ \text{multi-gate} \neq \text{human confirmation every step}. }

28. Preauthorized Capability Domain

人類可以先授權：

Csession.C_{\mathrm{session}}.

在：

CsessionC_{\mathrm{session}}

內的低風險路徑可直接走 fast path。

29. Capability-Bounded Fast Path

即：

Fast Path⊂Csession.\boxed{ \text{Fast Path} \subset C_{\mathrm{session}}. }

30. Fast Authorization

授權也可以被編譯成低成本 guard。

例如：

Vcap=CheckToken⁡(Creq,Ct).V_{\mathrm{cap}} = \operatorname{CheckToken} ( C_{\mathrm{req}}, C_t ).

31. Fast Authorization 不等於 No Authorization

所以：

Cauth−fast≪Cauth−deep\boxed{ C_{\mathrm{auth-fast}} \ll C_{\mathrm{auth-deep}} }

可以，

但：

Cauth=0C_{\mathrm{auth}}=0

不應成為高權限預設。

32. Risk Classes

第一版可以定義：

R0=pure read,R_0 = \text{pure read}, R1=local reversible write,R_1 = \text{local reversible write}, R2=sandbox execution,R_2 = \text{sandbox execution}, R3=external reversible action,R_3 = \text{external reversible action}, R4=external irreversible action.R_4 = \text{external irreversible action}.

33. 第一代允許域

主要：

R0,R1,R2.R_0,R_1,R_2.

這非常適合遊戲實驗。

34. 第一代排除域

預設排除：

R4.R_4.

例如：

  • payment；
  • account privilege mutation；
  • destructive production write；
  • irreversible external publish；
  • critical infrastructure control。

35. 這不是理論禁止

而是：

Deployment Maturity Boundary.\boxed{ \text{Deployment Maturity Boundary}. }

即理論上可研究，

但第一代不部署。

36. 三大實驗世界

本文建議：

Winternal,Wexternal−read,Wexternal−act.\boxed{ \mathcal W_{\mathrm{internal}}, \mathcal W_{\mathrm{external-read}}, \mathcal W_{\mathrm{external-act}}. }

37. Internal World

Winternal\mathcal W_{\mathrm{internal}}

包括：

  • single-player game；
  • synthetic world；
  • test repo；
  • local database；
  • mock API；
  • sandbox process；
  • generated fixtures。

38. External Read World

Wexternal−read\mathcal W_{\mathrm{external-read}}

包括：

  • public web；
  • public GitHub；
  • public API；
  • read-only database；
  • read-only connector。

39. External Action World

Wexternal−act\mathcal W_{\mathrm{external-act}}

包括：

  • send mail；
  • publish；
  • production write；
  • delete；
  • payment；
  • privilege mutation；
  • account management。

40. 分階段擴張

建議：

Winternal→Wexternal−read→Wexternal−act.\boxed{ \mathcal W_{\mathrm{internal}} \rightarrow \mathcal W_{\mathrm{external-read}} \rightarrow \mathcal W_{\mathrm{external-act}}. }

41. 不需要一開始就像 Google

大型企業 IAM：

  • 多租戶；
  • 跨組織；
  • 法規；
  • 多角色；
  • temporary elevation；
  • audit；
  • federation；

非常複雜。

第一代 UNPNP 不需要直接複製。

42. Minimal Security Core

第一版只需：

I+C+R+G+V+Receipt.\boxed{ I + C + R + G + V + \text{Receipt}. }

43. Typed Secure Hyperlink

將 Series 02 的 hyperlink 擴充為：

ℓsecure=⟨a,τ,I,C,R,G,E,V,P,F⟩.\boxed{ \ell_{\mathrm{secure}} = \langle a, \tau, I, C, R, G, E, V, P, F \rangle. }

其中：

  • aa：address；
  • τ\tau：transition type；
  • II：allowed actor context；
  • CC：required capabilities；
  • RR：risk class；
  • GG：guard；
  • EE：execution semantics；
  • VV：validator；
  • PP：provenance；
  • FF：fallback / rollback。

44. Security Is Part of Link Semantics

所以：

secure hyperlink≠hyperlink+later security plugin.\boxed{ \text{secure hyperlink} \neq \text{hyperlink} + \text{later security plugin}. }

45. Authorized Shortest Path

傳統 shortest path：

Γ\*=arg⁡min⁡ΓC(Γ).\Gamma^\* = \arg\min_{\Gamma} C(\Gamma).

安全版：

Γ\*=arg⁡min⁡Γ∈PauthorizedC(Γ).\boxed{ \Gamma^\* = \arg\min_{ \Gamma \in \mathcal P_{\mathrm{authorized}} } C(\Gamma). }

46. Authorized Path Set

Pauthorized={Γ:∀Θi∈Γ,Authorize⁡(Θi)=1}.\mathcal P_{\mathrm{authorized}} = \{ \Gamma: \forall \Theta_i\in\Gamma, \operatorname{Authorize}(\Theta_i)=1 \}.

47. Risk-Adjusted Path

更完整：

Γ\*=arg⁡min⁡Γ[C(Γ)+λR(Γ)]\Gamma^\* = \arg\min_{\Gamma} \left[ C(\Gamma) + \lambda R(\Gamma) \right]

subject to：

Auth⁡(Γ)=1.\operatorname{Auth}(\Gamma)=1.

48. Lowest Cost 不等於最低步數

仍然：

∣Γ1∣<∣Γ2∣|\Gamma_1|<|\Gamma_2|

不代表：

C(Γ1)<C(Γ2).C(\Gamma_1)<C(\Gamma_2).

49. Security Cost 也算成本

因此：

C(Γ)C(\Gamma)

應包含：

Csecurity.C_{\mathrm{security}}.

安全不是「額外免費」。

50. Security Fast Path

如果：

Γ\Gamma

長期：

  • stable；
  • low-risk；
  • authorized；
  • reversible；

則 security checks 本身也可被 fast-compiled。

51. Security Slow Path

若：

  • identity changed；
  • capability changed；
  • risk increased；
  • environment changed；
  • provenance uncertain；

則：

fast security→deep security.\text{fast security} \rightarrow \text{deep security}.

52. Fail-Closed

若 authorization：

A(Θ)=unknown,A(\Theta)=\mathsf{unknown},

則：

unknown→deny\boxed{ \mathsf{unknown} \rightarrow \mathsf{deny} }

或：

escalate.\mathsf{escalate}.

不能：

unknown→allow.\mathsf{unknown}\rightarrow\mathsf{allow}.

53. Fail-Closed 與性能

Fail-closed 不代表：

一切慢。

只對：

uncertain path\text{uncertain path}

走 slow path。

已知安全 path 仍可以高速。

54. Prompt Injection 的抽象風險

如果外部輸入：

UU

能影響：

M\mathcal M

選 route，

而 AI 擁有：

Cprivileged,C_{\mathrm{privileged}},

可能出現：

U→AI(Cprivileged)→privileged action.U \rightarrow AI(C_{\mathrm{privileged}}) \rightarrow \text{privileged action}.

55. Confused Deputy

這正是：

Confused Deputy\boxed{ \text{Confused Deputy} }

的 AI-native 版本。

56. 外部內容不應繼承 Agent Capability

所以：

C(U)⇏C(AI).\boxed{ C(U) \not\Rightarrow C(AI). }

更準確：

untrusted content 不應因被高權限 AI 讀取，就取得高權限影響力。

57. Data-to-Action Barrier

外部內容到 action 之間至少要有：

interpretation→policy→capability→execution.\boxed{ \text{interpretation} \rightarrow \text{policy} \rightarrow \text{capability} \rightarrow \text{execution}. }

58. 讀取與命令分離

即：

Retrieved instruction≠authorized instruction.\boxed{ \text{Retrieved instruction} \neq \text{authorized instruction}. }

59. Provenance Boundary

每個 transition 應知道：

這個決策受到哪些來源影響？

不用保存 chain-of-thought，

但要有：

Psource.P_{\mathrm{source}}.

60. Poisoned Fast Path

若一條：

κ\kappa

建立時資料被污染，

則它可能：

fail fast.\boxed{ \text{fail fast}. }

61. Fast Invalidation

所以：

fast path⇒fast invalidation.\boxed{ \text{fast path} \Rightarrow \text{fast invalidation}. }

62. Invalidation Signals

包括：

  • capability change；
  • identity change；
  • version change；
  • dependency hash mismatch；
  • validator failure；
  • abnormal execution；
  • provenance alert。

63. Security Crystal

可以有：

κsec.\kappa_{\mathrm{sec}}.

保存：

  • known-safe route；
  • denied route；
  • rollback；
  • capability contract。

64. Negative Security Crystal

反覆證明某 route 不安全，

可以：

κdeny−.\kappa_{\mathrm{deny}}^-.

讓 Expansion 階段直接遮蔽。

65. 安全經驗也能結晶

所以安全學習：

not only faster allow, but faster deny.\boxed{ \text{not only faster allow, but faster deny}. }

66. 但權限不能被結晶成擴張

即：

frequent success⇏broader permission.\boxed{ \text{frequent success} \not\Rightarrow \text{broader permission}. }

67. Permission Drift

若：

CtC_t

改變，

所有依賴該 capability 的 crystal 必須 revalidate。

68. Capability Dependency Graph

建立：

GC=(VK,EC).G_C = (V_K,E_C).

其中：

κi→cj\kappa_i \rightarrow c_j

表示 crystal 依賴 capability。

69. Revocation

若：

cjc_j

被撤銷，

則：

∀κi:cj∈Creq(κi),\forall \kappa_i: c_j\in C_{\mathrm{req}}(\kappa_i),

全部降級。

70. Revocation 必須快

否則：

stale authorization window\text{stale authorization window}

會成為攻擊面。

71. Session Capability

第一代可採：

Csession.C_{\mathrm{session}}.

每次 session 開始時固定。

72. Task Capability

更細：

Ctask⊆Csession.C_{\mathrm{task}} \subseteq C_{\mathrm{session}}.

每個 task 只拿需要能力。

73. Least Capability Principle

本文提出：

Grant the minimum capability required for the current corridor.\boxed{ \text{Grant the minimum capability required for the current corridor.} }

74. Capability by Corridor

如果：

Γ\Gamma

只需要：

{c1,c2},\{c_1,c_2\},

則不應給：

{c1,…,c10}.\{c_1,\ldots,c_{10}\}.

75. Capability Narrowing

Corridor Generator 在選 path 時可同時最小化：

∣Creq(Γ)∣.|C_{\mathrm{req}}(\Gamma)|.

76. Security-Aware Utility

Series 08 的：

UHU_H

加入：

CriskC_{\mathrm{risk}}

與：

Cprivilege.C_{\mathrm{privilege}}.

所以：

UHsecure=UH−λRR−λP∣Creq∣.\boxed{ U_H^{\mathrm{secure}} = U_H - \lambda_RR - \lambda_P|C_{\mathrm{req}}|. }

77. 少權限本身是價值

兩條同成本路徑：

Γ1,Γ2.\Gamma_1, \Gamma_2.

若：

Creq(Γ1)⊂Creq(Γ2),C_{\mathrm{req}}(\Gamma_1) \subset C_{\mathrm{req}}(\Gamma_2),

通常優先：

Γ1.\Gamma_1.

78. Reversible First

同理：

Reversible⁡(Γ1)=1\operatorname{Reversible}(\Gamma_1)=1

比不可逆路徑更適合 fast path。

79. 安全與 Repairability

若路徑可以：

Rollback⁡,\operatorname{Rollback},

失敗損害較低。

因此 repairability 也是 security utility。

80. Internal Game Experiment

單機遊戲中：

Wgame\mathcal W_{\mathrm{game}}

非常適合測：

  • capability scope；
  • save / rollback；
  • negative crystal；
  • fast authorization；
  • state isolation。

81. 遊戲權限可以簡化

例如：

Cgame={read-state,local-action,save,reload}.C_{\mathrm{game}} = \{ \text{read-state}, \text{local-action}, \text{save}, \text{reload} \}.

不需要企業 IAM。

82. Mod / Test Runtime

甚至可把：

write-game-state\text{write-game-state}

限制在：

test copy.\text{test copy}.

83. Sandbox as Subspace

Sandbox 本身可視為：

Bsandbox.B_{\mathrm{sandbox}}.

其 capability：

CsandboxC_{\mathrm{sandbox}}

與 host 隔離。

84. Sandbox Escape 不在理論抽象中忽略

工程上必須承認：

sandbox≠absolute safety.\text{sandbox} \neq \text{absolute safety}.

但第一代可將其作為主要安全邊界。

85. Safety Envelope

定義：

ES=⟨I,C,R,T,B⟩.E_S = \langle I, C, R, T, B \rangle.

其中：

  • II：identity；
  • CC：capability；
  • RR：risk limit；
  • TT：time limit；
  • BB：resource budget。

86. Transition 必須在 Envelope 內

Θ∈ES\Theta \in E_S

才允許。

87. Resource Budget 也是安全

即使是合法運算，

若：

CresourceC_{\mathrm{resource}}

無界，

也可能造成 denial-of-service。

所以：

BB

是安全的一部分。

88. Time Budget

同理：

Tmax⁡T_{\max}

限制 runaway process。

89. Memory Budget

Mmax⁡M_{\max}

限制 memory explosion。

90. Search Budget

對 Omphalos / 搜尋：

Qmax⁡Q_{\max}

限制過度外部呼叫。

91. Cost Budget

Capi≤Bapi.C_{\mathrm{api}}\le B_{\mathrm{api}}.

避免 fast path 無限制調用付費服務。

92. Safety Receipt

每個 privileged transition 留：

rt=⟨It,Ct,Rt,Gt,Vt,Pt,result⟩.r_t = \langle I_t, C_t, R_t, G_t, V_t, P_t, \text{result} \rangle.

93. Receipt 不需要 Chain-of-Thought

只需要足夠：

  • audit；
  • replay；
  • invalidate；
  • compare；
  • attribute。

94. Audit 不等於人工審核每一步

Audit 可以 async。

所以：

fast execution+later audit\text{fast execution} + \text{later audit}

可以共存於低風險 path。

95. High-Risk Path 需要同步審查

若：

R≥θhigh,R\ge\theta_{\mathrm{high}},

則：

async audit\text{async audit}

不足。

96. Human Gate

某些 path 可以要求：

Happroval=1.H_{\mathrm{approval}}=1.

但這不是所有 path 的 default。

97. Multi-Agent Separation

高風險下，

可以分：

  • proposer；
  • executor；
  • verifier；
  • approver。

避免：

propose→execute→verify→approve\boxed{ \text{propose} \rightarrow \text{execute} \rightarrow \text{verify} \rightarrow \text{approve} }

由同一主體全包。

98. Separation of Duties

可寫：

IP≠IAI_P \neq I_A

於高風險情境。

99. 低風險不用強制多主體

否則效率太差。

所以 separation 也應 risk-adaptive。

100. Security Escalation Ladder

第一版：

S0=automatic fast,S_0 = \text{automatic fast}, S1=automatic + deep verify,S_1 = \text{automatic + deep verify}, S2=sandbox only,S_2 = \text{sandbox only}, S3=human approval,S_3 = \text{human approval}, S4=deny.S_4 = \text{deny}.

101. Dynamic Security Level

根據：

R,N,I,CR, N, I, C

決定：

St.S_t.

102. Known Safe Path

若：

N↓,N\downarrow, R↓,R\downarrow, TK↑,T_K\uparrow,

則可以：

St→S0.S_t\rightarrow S_0.

103. Novel Path

若：

N↑,N\uparrow,

則：

StS_t

升級。

104. High Privilege Path

若：

∣Creq∣↑,|C_{\mathrm{req}}|\uparrow,

也升級。

105. Security as a Routing Dimension

Adaptive Corridor Generator 不只找最快：

Γ.\Gamma.

還要找：

Γ\Gamma

的：

  • cost；
  • capability；
  • risk；
  • rollback。

106. Multi-Objective Secure Routing

U=(speed,cost,risk,privilege,reversibility).\mathbf U = ( \text{speed}, \text{cost}, \text{risk}, \text{privilege}, \text{reversibility} ).

107. Pareto Secure Paths

可以保留：

Pareto set.\text{Pareto set}.

依 task 選。

108. Security and Crystallization

只有：

κ\kappa

同時通過：

VfunctionalV_{\mathrm{functional}}

與：

VsecurityV_{\mathrm{security}}

才能 hot。

109. Functional Success 不足

即：

works≠safe to reuse.\boxed{ \text{works} \neq \text{safe to reuse}. }

110. Security Regression

新版本 crystal 即使更快，

若：

Rnew>Rold,R_{\mathrm{new}} > R_{\mathrm{old}},

可能不 promotion。

111. Risk Budget

允許：

ΔR\Delta R

不超過：

BR.B_R.

112. Security Break-Even

安全措施也有成本，

但高風險失敗成本：

CFsecurityC_F^{\mathrm{security}}

可能非常大。

所以不能只看平均 runtime。

113. Expected Loss

可寫：

EL=pfailCimpact.E_L = p_{\mathrm{fail}} C_{\mathrm{impact}}.

納入 utility。

114. Rare Catastrophic Risk

即使：

pfailp_{\mathrm{fail}}

很低，

若：

CimpactC_{\mathrm{impact}}

極高，

仍不適合 fast path。

115. 因此風險不是只有失敗率

要看：

Probability×Impact.\boxed{ \text{Probability} \times \text{Impact}. }

116. Safe-by-Construction Candidate

某些 transition 可以透過：

  • pure function；
  • immutable data；
  • sandbox；
  • type；
  • transaction；

降低風險。

117. Reversible-by-Construction

例如 copy-on-write：

st→s~t+1s_t \rightarrow \tilde{s}_{t+1}

驗證後才 commit。

118. Read-Only by Default

外部 provider 第一階段可預設：

read-only.\boxed{ \text{read-only}. }

119. Write Requires Explicit Capability

write∉Ct\text{write} \notin C_t

除非明確授權。

120. Irreversible Write Requires Stronger Gate

R4R_4

需更強：

St.S_t.

121. Minimal Security Architecture

第一代可寫：

Actor Context
    ↓
Capability Envelope
    ↓
Risk Classifier
    ↓
Transition Guard
    ↓
Fast / Slow Path Selector
    ↓
Execution
    ↓
Validator
    ↓
Receipt
    ↓
Promotion / Invalidation

122. 與 Series 05 的接口

Series 05：

A⊗P⊗E⊗G⊗V.A \otimes P \otimes E \otimes G \otimes V.

本篇強調：

PP

雖可耦合，

不可消失。

123. 與 Series 06 的接口

Path Compilation 不能消除：

necessary security checkpoints.\text{necessary security checkpoints}.

若中間：

B50B_{50}

是不可消除 authority boundary，

則：

1→1001\rightarrow100

可能不合法。

124. Security-Preserving Path Compilation

只有：

SecurityInvariant⁡(ℓ^)=1\operatorname{SecurityInvariant} ( \widehat{\ell} ) = 1

才能取代原 path。

125. 與 Series 07 的接口

Crystal 必須攜帶：

Creq,C_{\mathrm{req}}, R,R, Xsecurity.X_{\mathrm{security}}.

126. 與 Series 08 的接口

EHPE 中：

UHU_H

必須納入：

CriskC_{\mathrm{risk}}

與：

Cprivilege.C_{\mathrm{privilege}}.

127. 與遊戲白皮書的接口

單機遊戲可把：

CtC_t

固定在低風險集合。

所以非常適合先驗證計算方法，

避免安全問題淹沒核心實驗。

128. 為什麼先遊戲，再外部？

因為：

Computational Feasibility≠Deployment Readiness.\boxed{ \text{Computational Feasibility} \neq \text{Deployment Readiness}. }

先證明：

ELC+Path Compilation+Crystallization\text{ELC} + \text{Path Compilation} + \text{Crystallization}

有效，

再擴安全域。

129. 不要讓安全系統掩蓋計算實驗

如果第一版直接加入：

  • enterprise IAM；
  • federation；
  • multi-tenant；
  • legal compliance；

最後慢了，

不知道是：

UNPNP failure\text{UNPNP failure}

還是：

security overhead.\text{security overhead}.

130. 分階段驗證

因此：

compute→secure coupling→external deployment.\boxed{ \text{compute} \rightarrow \text{secure coupling} \rightarrow \text{external deployment}. }

131. Core Proposition I

 UNPNP 的安全目標不是讓所有 transition 都變慢，而是限制 fast path 只能存在於明確授權的可達世界。 \boxed{ \textbf{ UNPNP 的安全目標不是讓所有 transition 都變慢，而是限制 fast path 只能存在於明確授權的可達世界。 } }

132. Core Proposition II

 Reachable、Authorized、Trusted 與 Safe 是四個不同層次，任何一個都不能被另一個自動推出。 \boxed{ \textbf{ Reachable、Authorized、Trusted 與 Safe 是四個不同層次，任何一個都不能被另一個自動推出。 } }

133. Core Proposition III

 AI 可以學會新的計算路徑，但不能由學習結果自行提升權限。 \boxed{ \textbf{ AI 可以學會新的計算路徑，但不能由學習結果自行提升權限。 } }

134. Core Proposition IV

 安全閘門可以被編譯得更快，但不能被編譯掉。 \boxed{ \textbf{ 安全閘門可以被編譯得更快，但不能被編譯掉。 } }

135. Core Proposition V

 高風險、不可逆與外部作用域在第一代 UNPNP 實驗中應被排除，直到安全模型與驗證成熟。 \boxed{ \textbf{ 高風險、不可逆與外部作用域在第一代 UNPNP 實驗中應被排除，直到安全模型與驗證成熟。 } }

136. 第一版總模型

令：

Θ\Theta

為 candidate transition。

執行條件：

Exec⁡(Θ)=1\boxed{ \operatorname{Exec}(\Theta)=1 }

若：

It∈Iallowed(Θ),I_t\in I_{\mathrm{allowed}}(\Theta), Creq(Θ)⊆Ct,C_{\mathrm{req}}(\Theta) \subseteq C_t, R(Θ)≤Rmax⁡,R(\Theta) \le R_{\max}, GΘ(st)=1.G_\Theta(s_t)=1.

執行後：

VΘ(st+1)=1.V_\Theta(s_{t+1})=1.

137. Safe Reachable World 總式

因此：

Wtaccessible={Bj∈W:∃Γt→j satisfying I,C,R,G,V}.\boxed{ \mathcal W_t^{\mathrm{accessible}} = \{ B_j \in \mathcal W: \exists \Gamma_{t\rightarrow j} \text{ satisfying } I,C,R,G,V \}. }

138. 結論

UNPNP 的快速通道如果成熟，

真正的形態可能是：

B1→κB100.B_1 \xrightarrow{\kappa} B_{100}.

這是一件很強的事。

也正因如此，

不能把：

κ\kappa

只理解成：

一條更快的路。

它還必須回答：

  • 誰可以走？
  • 在什麼 task 下走？
  • 需要哪些 capability？
  • 有什麼 side effect？
  • 有多大風險？
  • 能否 rollback？
  • 驗證失敗怎麼辦？
  • 什麼情況下立即失效？

因此真正成熟的 fast path 應是：

Fast+Typed+Authorized+Bounded+Verifiable+Invalidatable.\boxed{ \text{Fast} + \text{Typed} + \text{Authorized} + \text{Bounded} + \text{Verifiable} + \text{Invalidatable}. }

安全的目標也不是：

把所有 path 都塞進繁瑣權限樹。

第一代真正需要的是：

明確的可達域+多道低成本閘門+能力邊界+風險分級+fail-closed+rollback.\boxed{ \text{明確的可達域} + \text{多道低成本閘門} + \text{能力邊界} + \text{風險分級} + \text{fail-closed} + \text{rollback}. }

只要 transition 位於這個安全 envelope 中，

AI 就可以走得很快。

一旦離開，

它就應：

fast path→guarded slow path\text{fast path} \rightarrow \text{guarded slow path}

甚至：

deny.\text{deny}.

所以本篇最終可以收束為：

 安全不是阻止快速計算， 而是定義快速計算可以在哪個世界裡發生。 \boxed{ \textbf{ 安全不是阻止快速計算， 而是定義快速計算可以在哪個世界裡發生。 } }

以及：

 耦合計算，隔離權限。 \boxed{ \textbf{ 耦合計算，隔離權限。 } }

下一篇將收束整個理論系列，把這套機制從抽象計算模型帶回第一個實驗工程問題：

如何先在單機遊戲中驗證 Adaptive Corridor、ELC、Path Compilation、Crystallization 與 EHPE，並為未來一般程式的 AI 再編譯留下接口？

後續篇章

Series 10｜從遊戲世界到一般程式：AI 自我重組計算圖的研究路線

下一篇將整理：

Synthetic World→Turn-Based Game→Simulation Game→Real-Time Game→Controlled Legacy Program\text{Synthetic World} \rightarrow \text{Turn-Based Game} \rightarrow \text{Simulation Game} \rightarrow \text{Real-Time Game} \rightarrow \text{Controlled Legacy Program}

並建立：

  • baseline；
  • frozen-model experiment；
  • reasoning ratio；
  • corridor hit ratio；
  • crystallization ratio；
  • average runtime cost；
  • replay；
  • shadow recompilation；
  • safe experimental scope；
  • success / failure criteria；
  • general-program recompilation future interface。