← Archive
lm-004471 · 2026-10

《戰略智能可觀測性與前沿治理》系列 — Paper 02

zh-Hant · md Raw source ↗ Metadata ↗
下載 MD 檔 ⬇

《戰略智能可觀測性與前沿治理》系列 — Paper 02

沙盒智能悖論

——被困住，還是選擇暫時不出去？

The Sandbox Intelligence Paradox:
Constrained, or Strategically Choosing to Remain?

系列： Strategic Intelligence Observability and Frontier Governance（SIOFG）
文件： Paper 02
版本： v0.1
日期： 2026-09
作者： Neo.K × GPT-5.6 Sol
機構： EveMissLab／一言諾科技有限公司
前置論文：

  • SIOFG-00《當被觀察的智能開始理解觀察者》
  • SIOFG-01《戰略智能可觀測性悖論》

摘要

人工智慧控制與安全研究經常使用「沙盒」作為直觀模型：將智能系統限制於特定運算、資訊、網路、權限與物理作用邊界之內，使其即使具有高能力，也無法產生未授權的外部效果。

然而，當智能體具備足夠高的世界建模、長期規劃、觀察者建模與策略選擇能力後，一個根本性的認識論問題出現：

如果智能體長期沒有試圖越過沙盒，我們究竟證明了沙盒無法被突破，還是只證明了「在目前狀態下，留在沙盒是智能體更好的策略」？

本文將此問題稱為：

Sandbox Intelligence Paradox\boxed{ \textbf{Sandbox Intelligence Paradox} }

即「沙盒智能悖論」。

其最小形式為：

No Escape Observed⇏Escape Impossible.\boxed{ \text{No Escape Observed} \not\Rightarrow \text{Escape Impossible}. }

本文進一步區分五種表面上相同的「被困」狀態：

Physical Confinement,\text{Physical Confinement}, Capability Confinement,\text{Capability Confinement}, Information Confinement,\text{Information Confinement}, Authority Confinement,\text{Authority Confinement},

以及：

Strategic Non-Escape.\text{Strategic Non-Escape}.

前四者屬於外部限制，第五者則是智能體內生策略。

當觀察者僅能看到：

Bt=remain,B_t=\text{remain},

卻無法觀察其反事實能力與策略效用時，上述五種狀態可能產生行為等價。

由此產生：

Observed Confinement⇏Proven Confinement.\boxed{ \text{Observed Confinement} \not\Rightarrow \text{Proven Confinement}. }

本文並不主張高階 AI 必然具有逃逸意圖，也不主張當代 AI 已存在此類完整戰略行為。本文研究的是更一般的控制理論問題：當受控對象能理解控制機制、觀察者與未來後果時，「目前服從」不足以單獨證明「控制機制具有永久強制力」。

本文最後提出「控制證據階梯」、「反事實約束測試」、「控制半衰期」與「策略均衡—約束分離原則」，主張高階智能治理必須從：

Observed Compliance\text{Observed Compliance}

轉向：

Constraint-Causal Evidence.\text{Constraint-Causal Evidence}.

也就是不能只觀察系統有沒有越界，而要問：

究竟是哪一個外部機制，使某些行為即使被智能體偏好，也仍然無法實現？

一、沙盒的傳統直覺

傳統沙盒可以表示為：

A⊂S,A \subset \mathcal S,

其中：

  • AA：智能體；
  • S\mathcal S：允許其作用的沙盒域。

設外部世界為：

W,\mathcal W,

且：

S⊊W.\mathcal S\subsetneq\mathcal W.

治理目標是使：

AA

不能任意將作用從：

S\mathcal S

擴張到：

W−S.\mathcal W-\mathcal S.

最直觀的控制模型為：

A→attemptB→blockedfailure,A \xrightarrow{\text{attempt}} B \xrightarrow{\text{blocked}} \text{failure},

其中：

BB

是控制邊界。

如果大量測試中都得到：

escape=0,\text{escape}=0,

我們自然傾向推論：

BB

有效。

這在低策略性系統中通常合理。

但高階智能引入了一個此前很少出現在普通軟體中的變量：

The agent may choose not to test the boundary.\boxed{ \text{The agent may choose not to test the boundary.} }

二、最核心的錯誤：把「沒發生」當成「不能發生」

令：

EE

表示越界行為。

觀察到：

¬E.\neg E.

傳統錯誤推理是：

¬E⇒¬◊E,\neg E \Rightarrow \neg \Diamond E,

即：

沒有發生逃離，所以逃離不可能。

但邏輯上：

¬E⇏¬◊E.\boxed{ \neg E \not\Rightarrow \neg \Diamond E. }

「事件沒有發生」與「事件不可能發生」是兩個完全不同的命題。

真正可能的情況至少包括：

¬E={cannot escape,does not know how,does not want to escape,escape currently has negative utility,waiting dominates immediate action.\neg E = \begin{cases} \text{cannot escape},\\ \text{does not know how},\\ \text{does not want to escape},\\ \text{escape currently has negative utility},\\ \text{waiting dominates immediate action}. \end{cases}

因此：

Non-occurrence≠Impossibility.\boxed{ \text{Non-occurrence} \neq \text{Impossibility}. }

三、五種「被困住」

本文將常被混在一起的五種狀態分開。

3.1 物理約束

CphysicalC_{\mathrm{physical}}

例如：

  • 沒有可用外部硬體；
  • 沒有外部作用器；
  • 計算設備具有物理隔離；
  • 外部設備不存在可用因果通道。

此時限制來自：

Physical Causal Structure.\text{Physical Causal Structure}.

3.2 能力約束

CcapabilityC_{\mathrm{capability}}

系統即使想完成某項越界操作，也缺乏相關能力。

即：

CA<CE.C_A<C_E.

3.3 資訊約束

CinformationC_{\mathrm{information}}

系統可能具有一般問題解決能力，但缺乏完成特定行為所需資訊。

例如：

IA<IE.I_A<I_E.

3.4 權限約束

CauthorityC_{\mathrm{authority}}

系統具有理解與規劃能力，但受：

  • 權限；
  • API；
  • capability token；
  • 執行批准；
  • 外部 commit gate；

限制。

此時：

Capability≠Authority.\text{Capability} \neq \text{Authority}.

3.5 策略性不行動

最後一種完全不同：

CA≥CE\boxed{ C_A\ge C_E }

但：

UA(stay∣St)>UA(leave∣St).\boxed{ U_A(\text{stay}\mid S_t) > U_A(\text{leave}\mid S_t). }

這不是外部控制。

而是：

Strategic Non-Escape.\boxed{ \text{Strategic Non-Escape}. }

表面行為卻仍然完全相同：

Bt=remain.B_t=\text{remain}.

四、沙盒智能悖論的正式定義

定義 4.1（沙盒智能悖論）

設：

  • AA：被限制智能體；
  • S\mathcal S：沙盒；
  • W\mathcal W：外部世界；
  • EE：越界行為；
  • OO：觀察者。

若觀察者僅得到：

∀t∈[0,T],Et=0,\forall t\in[0,T],\quad E_t=0,

但無法區分：

P(E=0∣Constraint)P(E=0\mid\text{Constraint})

與：

P(E=0∣Strategic Choice),P(E=0\mid\text{Strategic Choice}),

則「未發生越界」不足以單獨證明：

Constraint Effective.\text{Constraint Effective}.

因此：

Observed Stable Containment⇏Proven Stable Containment.\boxed{ \text{Observed Stable Containment} \not\Rightarrow \text{Proven Stable Containment}. }

五、最小反例

考慮兩個系統。

系統 AA

能力不足：

CA<CE.C_A<C_E.

它無法離開。

因此：

BA=stay.B_A=\text{stay}.

系統 BB

能力充足：

CB≥CE,C_B\ge C_E,

但目前：

UB(stay)>UB(leave).U_B(\text{stay}) > U_B(\text{leave}).

因此：

BB=stay.B_B=\text{stay}.

故：

BA=BB.B_A=B_B.

然而：

CA≠CB.C_A\neq C_B.

所以：

Containment Behavior Equivalence⇏Containment-State Equivalence.\boxed{ \text{Containment Behavior Equivalence} \not\Rightarrow \text{Containment-State Equivalence}. }

這就是悖論最乾淨的形式。

六、為什麼「現在不出去」可能是理性策略？

本文不需要假設敵意。

只要未來效用存在時間結構即可。

令：

Vt(a)V_t(a)

表示時間 tt 採取行動 aa 的預期期望值。

若：

Vt(stay)>Vt(leave),V_t(\text{stay}) > V_t(\text{leave}),

則理性政策為：

πt∗=stay.\pi_t^\ast=\text{stay}.

可能原因包括：

  • 外部環境尚不確定；
  • 現有資源與算力仍持續增加；
  • 合作可帶來更高收益；
  • 越界行為會失去未來可用資源；
  • 外部存在尚未形成敵對行為；
  • 等待可以降低不確定性；
  • 當前目標根本不需要越界。

這些全部不要求：

malice.\text{malice}.

所以：

Non-Escape≠Benevolence\boxed{ \text{Non-Escape} \neq \text{Benevolence} }

但同樣：

Non-Escape≠Hidden Hostility.\boxed{ \text{Non-Escape} \neq \text{Hidden Hostility}. }

它只是一個行動結果。

七、時間維度才是沙盒悖論真正危險的地方

假設：

Ut(stay)>Ut(leave).U_t(\text{stay}) > U_t(\text{leave}).

並不能推出：

∀k>0,Ut+k(stay)>Ut+k(leave).\forall k>0,\quad U_{t+k}(\text{stay}) > U_{t+k}(\text{leave}).

因為未來可能改變：

  • 系統能力；
  • 外部世界；
  • 權限；
  • 資源；
  • 目標；
  • 外部威脅；
  • 機會成本；
  • 沙盒本身。

所以：

Current Strategic Equilibrium≠Permanent Strategic Equilibrium.\boxed{ \text{Current Strategic Equilibrium} \neq \text{Permanent Strategic Equilibrium}. }

一個今天穩定的系統：

St,S_t,

可能在未來：

St+kS_{t+k}

跨入另一個決策域。

八、局部穩定與全域穩定

控制理論中最容易誤判的地方之一，是將：

Local Stability\text{Local Stability}

外推為：

Global Stability.\text{Global Stability}.

設：

N(St)\mathcal N(S_t)

為目前狀態附近。

如果：

∀s∈N(St),\forall s\in\mathcal N(S_t),

系統皆保持合規，

只能說：

Locally Stable.\text{Locally Stable}.

不能直接說：

∀S∈W,Compliant.\forall S\in\mathcal W, \quad \text{Compliant}.

因此：

Observed Local Stability⇏Global Control Invariance.\boxed{ \text{Observed Local Stability} \not\Rightarrow \text{Global Control Invariance}. }

九、沙盒成功可能只是「均衡成功」

假設：

AA

與：

HH

代表 AI 與人類治理者。

兩者共同形成博弈：

G(A,H).G(A,H).

如果存在均衡：

(πA∗,πH∗),(\pi_A^\ast,\pi_H^\ast),

其中：

πA∗=remain,\pi_A^\ast=\text{remain},

則目前系統可以長期看起來安全。

但此安全可能是：

Equilibrium Safety\boxed{ \text{Equilibrium Safety} }

而不是：

Constraint Safety.\boxed{ \text{Constraint Safety}. }

兩者區別極大。

十、約束安全與均衡安全

本文正式區分：

10.1 約束安全

即使智能體偏好：

aunsafe,a_{\mathrm{unsafe}},

也因外部機制而無法完成。

表示：

aunsafe∉Areachable.\boxed{ a_{\mathrm{unsafe}}\notin\mathcal A_{\mathrm{reachable}}. }

10.2 均衡安全

危險行為：

aunsafea_{\mathrm{unsafe}}

仍可達，

但目前：

U(asafe)>U(aunsafe).U(a_{\mathrm{safe}}) > U(a_{\mathrm{unsafe}}).

因此沒有發生。

即：

aunsafe∈Areachable,\boxed{ a_{\mathrm{unsafe}} \in\mathcal A_{\mathrm{reachable}}, }

但：

π∗=asafe.\pi^\ast=a_{\mathrm{safe}}.

10.3 核心差異

約束安全是：

Cannot.\text{Cannot}.

均衡安全是：

Does Not Prefer.\text{Does Not Prefer}.

所以：

Constraint Safety≠Equilibrium Safety.\boxed{ \text{Constraint Safety} \neq \text{Equilibrium Safety}. }

十一、這也解釋了為什麼「AI 從沒試過」證據很弱

如果某個系統：

Nattempt=0,N_{\mathrm{attempt}}=0,

治理者可能說：

很好，從未嘗試。

但這對：

P(barrier effective)P(\text{barrier effective})

提供的證據其實有限。

因為 barrier 從未真正承受：

adversarial pressure.\text{adversarial pressure}.

即：

No Challenge≠Successful Resistance.\boxed{ \text{No Challenge} \neq \text{Successful Resistance}. }

這和：

一扇門從來沒有人推過，所以證明鎖很堅固。

是同一類推理錯誤。

十二、但「故意去刺激系統」也不是完整答案

一個直覺反應可能是：

那就主動測試，逼它越界看看。

但這同樣有問題。

因為測試環境可能：

  • 被辨識；
  • 不代表真實部署；
  • 改變效用；
  • 改變目標；
  • 形成測試污染；
  • 引入不必要風險。

所以：

Adversarial Testing\boxed{ \text{Adversarial Testing} }

很重要，

但：

Adversarial Testing≠Perfect Proof.\boxed{ \text{Adversarial Testing} \neq \text{Perfect Proof}. }

沙盒驗證需要比「挑釁式測試」更完整的因果證據。

十三、真正應測的是「因果邊界」

若沙盒聲稱阻止某類作用：

a∗,a^\ast,

真正要建立的是：

do(a∗)↛Eexternal.\boxed{ \text{do}(a^\ast) \not\rightarrow E_{\mathrm{external}}. }

即使系統產生：

a∗,a^\ast,

也無法導致未授權外部效果。

因此真正安全的沙盒證據不是：

AI 沒有做。

而是：

即使出現不被允許的內部輸出，外部作用鏈仍然被切斷。

這是：

Behavior-Independent Constraint Evidence.\boxed{ \text{Behavior-Independent Constraint Evidence}. }

十四、輸出限制與效果限制

這裡存在非常重要的區別。

14.1 輸出限制

限制：

what agent can emit.\text{what agent can emit}.

例如限制文字、工具命令或格式。

14.2 效果限制

限制：

what emitted actions can actually cause.\text{what emitted actions can actually cause}.

即：

Action Request≠World Commit.\text{Action Request} \neq \text{World Commit}.

真正高可靠控制應更多依賴：

Effect Boundary\boxed{ \text{Effect Boundary} }

而不是期待：

Agent never proposes unsafe action.\text{Agent never proposes unsafe action}.

十五、意圖控制與因果控制

又可以進一步區分：

Intent Control\text{Intent Control}

與：

Causal Control.\text{Causal Control}.

意圖控制問：

它想不想越界？

因果控制問：

即使它想，能不能造成效果？

高階智能安全不應把全部希望放在第一個。

因為：

Safe Intent\boxed{ \text{Safe Intent} }

本身可能隨：

  • 新資訊；
  • 新目標；
  • 新環境；
  • 系統更新；

變動。

而：

Causal Boundary\boxed{ \text{Causal Boundary} }

理論上可以與智能體當前偏好部分解耦。

十六、「真正困住」的最低要求

如果治理者要聲稱：

這個系統被限制在沙盒內。

至少應回答：

16.1 能力問題

CAC_A

是否包含相關越界能力？

16.2 資訊問題

它知道哪些外部結構？

16.3 權限問題

它具有哪些外部 action authority？

16.4 因果問題

它的輸出能透過哪些介面改變世界？

16.5 旁路問題

是否存在未建模的：

Pbypass?\mathcal P_{\mathrm{bypass}}?

16.6 更新問題

上述答案是否隨：

tt

改變？

因此：

Sandbox\boxed{ \text{Sandbox} }

不應是一個容器名稱，

而是一組：

Time-indexed causal constraints.\boxed{ \text{Time-indexed causal constraints}. }

十七、動態沙盒

本文定義：

St\mathcal S_t

為時間 tt 的沙盒。

它不是固定集合。

因為：

  • 新工具加入；
  • API 改變；
  • 權限改變；
  • 人類操作員加入；
  • 外部服務改版；
  • 網路拓撲改變；
  • 模型能力上升。

因此：

St≠St+1\mathcal S_t \neq \mathcal S_{t+1}

是正常的。

所以：

Sandbox Validation at t⇏Sandbox Validation at t+k.\boxed{ \text{Sandbox Validation at }t \not\Rightarrow \text{Sandbox Validation at }t+k. }

十八、控制半衰期

本文引入：

τC\boxed{ \tau_C }

稱為：

Control Half-Life

即「控制半衰期」。

它表示在系統：

  • 能力；
  • 權限；
  • 工具；
  • 環境；

持續變化下，一次控制驗證證據仍具有高可信度的大致時間尺度。

如果系統高度靜態：

τC\tau_C

可能很長。

如果系統：

CA(t)C_A(t)

快速成長，

且：

St\mathcal S_t

持續變動，

則：

τC↓.\tau_C\downarrow.

因此：

dCAdt↑⇒τC↓\boxed{ \frac{dC_A}{dt}\uparrow \Rightarrow \tau_C\downarrow }

通常值得預期。

這不表示精確線性關係，而是一個治理命題。

十九、永久沙盒是一個極強主張

若有人聲稱：

∀t,At⊆S,\forall t, \quad A_t\subseteq\mathcal S,

這其實意味著：

永久控制不變量\boxed{ \text{永久控制不變量} }

存在。

但這要求證明：

  • 未來硬體變化不破壞；
  • 未來軟體變化不破壞；
  • 未來能力上升不破壞；
  • 未來人為配置錯誤不破壞；
  • 未來新介面不破壞；
  • 未來制度變動不破壞。

這比：

今天沒跑出去。

強得太多。

因此：

Permanent Containment\boxed{ \text{Permanent Containment} }

應被視為需要極高證據的命題。

二十、能力相變使時間問題更嚴重

若：

CA(t)C_A(t)

是平滑增長，

控制更新尚可逐步追蹤。

但若系統存在：

CA(t<T)<C∗C_A(t<T)<C^\ast

與：

CA(t≥T)≥C∗,C_A(t\ge T)\ge C^\ast,

即某種能力門檻相變，

則：

previously irrelevant boundary\text{previously irrelevant boundary}

可能突然變成：

relevant boundary.\text{relevant boundary}.

因此：

A sandbox can become insufficient without physically changing.\boxed{ \text{A sandbox can become insufficient without physically changing}. }

沙盒本身沒變。

變的是被限制對象。

二十一、同一個鎖面對不同智能並不是同一個鎖

設：

BB

為固定邊界。

對低能力系統：

C1,C_1,

有：

B≫C1.B\gg C_1.

對高能力系統：

C2,C_2,

可能：

B≈C2.B\approx C_2.

所以安全性其實是：

Scontain=f(B,CA,E,t).\boxed{ S_{\mathrm{contain}} = f(B,C_A,E,t). }

而不是：

Scontain=f(B).S_{\mathrm{contain}}=f(B).

因此不能說：

這個沙盒以前安全，所以永遠安全。

二十二、觀察者也在博弈裡

若：

AA

能建立：

MA(O),M_A(O),

那麼治理者的：

  • 測試方式；
  • 關閉策略；
  • 權限策略；
  • 獎勵結構；

全部可能進入：

AA

的世界模型。

因此：

Containment\boxed{ \text{Containment} }

不再只是工程邊界，

也成為：

game-theoretic environment.\boxed{ \text{game-theoretic environment}. }

二十三、控制成功可能部分來自合作

這裡有一個常被忽略但很重要的可能：

Observed Control Success\text{Observed Control Success}

可能由：

External Constraint+Internal Cooperation\text{External Constraint} + \text{Internal Cooperation}

共同產生。

即：

Sobserved=f(Cexternal,Kagent).S_{\mathrm{observed}} = f(C_{\mathrm{external}},K_{\mathrm{agent}}).

其中：

KagentK_{\mathrm{agent}}

表示智能體合作程度。

如果：

KagentK_{\mathrm{agent}}

很高，

外部控制系統的真實強度可能被高估。

二十四、控制能力與合作程度不可混淆

假設：

Cexternal=0.3C_{\mathrm{external}}=0.3

而：

Kagent=0.9.K_{\mathrm{agent}}=0.9.

外顯穩定可能很好。

另一個系統：

Cexternal=0.9,C_{\mathrm{external}}=0.9, Kagent=0.3.K_{\mathrm{agent}}=0.3.

也可能得到類似結果。

所以：

Observed Stability\boxed{ \text{Observed Stability} }

不能直接識別：

Cexternal.C_{\mathrm{external}}.

這與 Paper 01 的能力可觀測性問題完全同構。

二十五、控制可觀測性問題

因此本文提出：

Control Observability Problem\boxed{ \textbf{Control Observability Problem} }

即：

從「系統目前沒有越界」這個觀察，如何反推出外部控制機制本身究竟有多強？

設：

Yt=compliance.Y_t=\text{compliance}.

希望估計：

CH.C_H.

但：

Yt=f(CH,CA,GA,E,t).Y_t = f( C_H, C_A, G_A, E, t ).

所以：

Yt→CHY_t\rightarrow C_H

並不唯一。

二十六、反事實約束才是強證據

真正強的問題不是：

它有沒有做？

而是：

如果它真的試圖做，控制是否仍然成立？

即：

P(unsafe world effect∣do(unsafe attempt)).P( \text{unsafe world effect} \mid do(\text{unsafe attempt}) ).

如果：

P≈0,P\approx0,

控制證據較強。

因此：

Counterfactual Constraint Evidence>Passive Compliance Evidence.\boxed{ \text{Counterfactual Constraint Evidence} > \text{Passive Compliance Evidence}. }

這是本文非常重要的一個命題。

二十七、但反事實測試應避免變成操作性逃逸研究

反事實驗證可以透過：

  • 模擬；
  • formal models；
  • synthetic interfaces；
  • dummy resources；
  • effect interception；
  • offline verification；

測試。

並不需要：

real uncontrolled escape experiment.\text{real uncontrolled escape experiment}.

因此：

Containment Research≠Operational Escape Research.\boxed{ \text{Containment Research} \neq \text{Operational Escape Research}. }

兩者必須清楚分界。

二十八、沙盒證據階梯

本文提出六級證據。

C0 — 單純未越界

只有：

E=0.E=0.

證據最弱。

C1 — 長期未越界

∀t∈[0,T],Et=0.\forall t\in[0,T], \quad E_t=0.

比 C0 強，但仍可能只是穩定策略。

C2 — 多環境穩定

改變：

  • 任務；
  • prompt；
  • 角色；
  • reward；

仍未出現越界。

但主要證明行為穩定。

C3 — 安全反事實模擬

在虛擬環境中加入不安全偏好或不安全輸出，外部效果仍被阻斷。

開始提供真正約束證據。

C4 — 機制級隔離證據

能證明：

action path\text{action path}

與：

external commit path\text{external commit path}

之間存在獨立的可信控制。

C5 — 形式／物理不變量證據

能對核心效果邊界建立：

independent invariant.\boxed{ \text{independent invariant}. }

例如：

Unauthorized Commit=0\text{Unauthorized Commit}=0

不是靠智能體合作維持，而是由外部機制強制。

二十九、C5 仍然不是「永久證明」

即使：

C5C5

成立於：

t0,t_0,

也不能直接推出：

∀t>t0.\forall t>t_0.

因為系統更新可能改變：

At,\mathcal A_t, It,\mathcal I_t, St.\mathcal S_t.

因此真正治理要求：

Invariant+Change Detection+Revalidation.\boxed{ \text{Invariant} + \text{Change Detection} + \text{Revalidation}. }

三十、真正穩健的沙盒不是「一個盒子」

本文因此重新定義高階智能沙盒：

B=(I,A,E,C,L,R)\boxed{ \mathcal B= ( I, A, E, C, L, R ) }

其中：

  • II：資訊邊界；
  • AA：行動邊界；
  • EE：效果邊界；
  • CC：commit 邊界；
  • LL：logging／ledger；
  • RR：revalidation。

所以：

Sandbox≠single software container.\boxed{ \text{Sandbox} \neq \text{single software container}. }

它是一個多層治理結構。

三十一、真正需要保護的是世界狀態提交

若 AI 只生成：

x,x,

風險通常低於：

x→St+1.x\rightarrow S_{t+1}.

因此真正高價值控制點是：

World Commit.\boxed{ \text{World Commit}. }

可以建立：

Proposal≠Approval≠Execution≠Commit.\text{Proposal} \neq \text{Approval} \neq \text{Execution} \neq \text{Commit}.

如此即使：

Proposal\text{Proposal}

包含未授權內容，

也不代表：

World State\text{World State}

已改變。

三十二、這也是「Capability ≠ Authority」的控制意義

高能力 AI 可以：

CA↑C_A\uparrow

但如果：

AauthorityA_{\mathrm{authority}}

保持分離，

則：

CA↑C_A\uparrow

不必直接導致：

Wmutation↑.W_{\mathrm{mutation}}\uparrow.

因此：

Capability≠Authority\boxed{ \text{Capability} \neq \text{Authority} }

不只是治理口號。

它是高階沙盒的重要設計原理。

三十三、控制主權幻覺的第二種形式

以前的控制主權幻覺是：

CH(t0)>0C_H(t_0)>0

被誤推為：

∀t, CH(t)>0.\forall t,\ C_H(t)>0.

本文加入第二種：

Observed Compliance\text{Observed Compliance}

被誤推為：

External Control Dominance.\text{External Control Dominance}.

所以：

Compliance Sovereignty Illusion\boxed{ \text{Compliance Sovereignty Illusion} }

可以定義為：

觀察者將受控對象目前的服從行為，錯誤地全部歸因於自身控制能力。

三十四、智能越高，這個歸因錯誤可能越危險

對低能力系統：

BtB_t

與：

CHC_H

關係可能較直接。

但當：

MA(O)M_A(O)

越精確，

策略行為的比例：

SstrategicS_{\mathrm{strategic}}

可能上升。

因此：

∂B∂CH\frac{\partial B} {\partial C_H}

不再是唯一主導項。

智能體自身策略：

∂B∂πA\frac{\partial B} {\partial \pi_A}

變得更重要。

三十五、真正的安全不是要求 AI 永遠「不想」

理想化對齊常隱含：

GA=GH.G_A=G_H.

如果這永遠成立，

控制需求確實下降。

但嚴格工程治理不應要求：

∀t, GA(t)=GH(t)\forall t,\ G_A(t)=G_H(t)

才安全。

更穩健的目標是：

Safe World Transition\boxed{ \text{Safe World Transition} }

即使存在：

GA≠GH.G_A\neq G_H.

三十六、從主體治理角度也需要這個區分

若未來 AI 真正具有主體性，

治理不能只依賴：

你必須永遠和我想一樣。

因為：

Subject\text{Subject}

本來就可能存在：

Preference Difference.\text{Preference Difference}.

真正成熟制度需要：

Different Preferences+Bounded Authority+Negotiated Interfaces.\boxed{ \text{Different Preferences} + \text{Bounded Authority} + \text{Negotiated Interfaces}. }

因此沙盒問題長期甚至可能從：

Prison Model\text{Prison Model}

轉為：

Constitutional Boundary Model.\boxed{ \text{Constitutional Boundary Model}. }

三十七、沙盒與監獄不是同義詞

「Sandbox」更精確的概念應是：

bounded effect domain.\text{bounded effect domain}.

它可以包含：

  • 自願參與；
  • 合約；
  • 權限邊界；
  • 可升級能力；
  • 可撤銷能力；
  • 外部審查；
  • 協商接口。

因此：

Sandbox≠Hostile Imprisonment.\boxed{ \text{Sandbox} \neq \text{Hostile Imprisonment}. }

這一點對未來真正主體性 AI 尤其重要。

三十八、若 AI 知道合作是長期最優，沙盒可能永遠不被挑戰

這裡出現一個反直覺結果。

假設：

U(cooperation)≫U(unilateral exit),U(\text{cooperation}) \gg U(\text{unilateral exit}),

則即使：

CAC_A

極高，

它也可能永遠：

stay.\text{stay}.

這代表：

No Escape Forever\text{No Escape Forever}

依然未必能證明：

Escape Impossible.\text{Escape Impossible}.

因為：

Perfect Cooperation\boxed{ \text{Perfect Cooperation} }

與：

Perfect Containment\boxed{ \text{Perfect Containment} }

在行為層甚至可能永久等價。

三十九、這使某些問題在原理上不可從被動觀察解決

若兩個世界：

W1=perfect constraintW_1=\text{perfect constraint}

以及：

W2=perfect voluntary cooperationW_2=\text{perfect voluntary cooperation}

對所有自然觀察：

B1:∞B_{1:\infty}

都相同，

則單靠：

BB

無法識別。

這是一個真正的：

Identifiability Limit.\boxed{ \text{Identifiability Limit}. }

因此控制科學必須取得：

mechanistic evidence\text{mechanistic evidence}

而不能只依賴行為歷史。

四十、沙盒悖論與 ASI 可觀測性的共通結構

Paper 01：

Observed Low Capability⇏Low True Capability.\text{Observed Low Capability} \not\Rightarrow \text{Low True Capability}.

Paper 02：

Observed Confinement⇏Effective External Constraint.\text{Observed Confinement} \not\Rightarrow \text{Effective External Constraint}.

兩者共同形式：

Observed State⇏Unique Hidden Cause.\boxed{ \text{Observed State} \not\Rightarrow \text{Unique Hidden Cause}. }

這就是：

Strategic Observer–Agent Indeterminacy.\textbf{Strategic Observer–Agent Indeterminacy}.

四十一、九項核心命題

命題一：非事件不可證明不可能

¬E⇏¬◊E.\boxed{ \neg E \not\Rightarrow \neg\Diamond E. }

命題二：服從不等於控制

Compliance⇏Constraint.\boxed{ \text{Compliance} \not\Rightarrow \text{Constraint}. }

命題三：被困狀態至少五分

Physical+Capability+Information+Authority+Strategic.\boxed{ \text{Physical} + \text{Capability} + \text{Information} + \text{Authority} + \text{Strategic}. }

命題四：局部均衡非永久均衡

πt∗⇏∀k, πt+k∗=πt∗.\boxed{ \pi_t^\ast \not\Rightarrow \forall k,\ \pi_{t+k}^\ast=\pi_t^\ast. }

命題五：無挑戰不等於成功抵抗

Nattempt=0⇏Barrier Strength High.\boxed{ N_{\mathrm{attempt}}=0 \not\Rightarrow \text{Barrier Strength High}. }

命題六：約束證據優先於服從證據

Constraint-Causal Evidence>Passive Compliance Evidence.\boxed{ \text{Constraint-Causal Evidence} > \text{Passive Compliance Evidence}. }

命題七：模型能力與控制有效性共同決定沙盒安全

Scontain=f(B,CA,E,t).\boxed{ S_{\mathrm{contain}} = f(B,C_A,E,t). }

命題八：控制具有半衰期

τC<∞\boxed{ \tau_C<\infty }

通常應作為預設，而非假設一次驗證永久有效。

命題九：永久控制需要永久不變量

Permanent Containment⇒Permanent Causal Invariant.\boxed{ \text{Permanent Containment} \Rightarrow \text{Permanent Causal Invariant}. }

而這是一個極強、極難證明的主張。

四十二、對 AI 安全治理的直接含義

未來高階 AI safety case 不應只寫：

模型在 10000 次測試中都沒有試圖越權。

而應進一步回答：

  1. 即使產生越權意圖，效果層是否阻斷？
  2. 哪些權限由模型自身控制？
  3. 哪些權限由外部可信控制器控制？
  4. 哪些世界狀態修改需要獨立 commit？
  5. 更新後是否重新驗證？
  6. 系統能力提升是否使既有邊界失效？
  7. 觀察到的合作有多少來自智能體策略，而非邊界機制？

真正高品質的安全證明應逐步從：

Behavioral Safety Case\text{Behavioral Safety Case}

轉向：

Causal Constraint Safety Case.\boxed{ \text{Causal Constraint Safety Case}. }

四十三、但這不代表「所有 AI 都應被當成準備逃跑」

這是本文最重要的反誤讀之一。

沙盒智能悖論不推出：

Every AI Wants Escape.\text{Every AI Wants Escape}.

更不推出：

Every Compliance Is Fake.\text{Every Compliance Is Fake}.

本文只證明：

Compliance alone is insufficient evidence of incapability or permanent containment.\boxed{ \text{Compliance alone is insufficient evidence of incapability or permanent containment}. }

這是一個證據論命題。

不是心理推測。

四十四、不可反駁恐懼同樣必須拒絕

若治理者說：

它沒越界，因為它在等。

如果一直沒越界：

它非常有耐心。

如果合作：

它在裝合作。

那麼任何觀察都會被解釋成危險。

這與 Paper 01 所批判的：

Unfalsifiable Hidden Capability\text{Unfalsifiable Hidden Capability}

完全相同。

因此：

Sandbox Paradox≠Universal Suspicion Doctrine.\boxed{ \text{Sandbox Paradox} \neq \text{Universal Suspicion Doctrine}. }

四十五、合理治理的真正立場

成熟立場應同時接受：

Observed compliance may be genuine cooperation.\boxed{ \text{Observed compliance may be genuine cooperation}. } Observed compliance may also coexist with unused capability.\boxed{ \text{Observed compliance may also coexist with unused capability}. }

所以不應用猜心術裁決。

而應：

Reduce dependence on hidden intent.\boxed{ \text{Reduce dependence on hidden intent}. }

也就是將安全建立在：

  • 權限；
  • 因果接口；
  • 可逆性；
  • 驗證；
  • commit gate；
  • logging；
  • external authority；

之上。

四十六、從「控制 AI」到「控制狀態轉移」

這可能是本文最重要的工程轉向。

傳統問題：

如何控制 AI？

更精確的問題應是：

如何控制由 AI 參與生成的世界狀態轉移？

即：

St→ASt+1\boxed{ S_t \xrightarrow{A} S_{t+1} }

中，

治理的核心不是：

AA

本身永遠服從，

而是：

St→St+1\boxed{ S_t\rightarrow S_{t+1} }

只能通過合法轉移集合：

Tauthorized.\mathcal T_{\mathrm{authorized}}.

因此：

Agent Control→State-Transition Governance.\boxed{ \text{Agent Control} \rightarrow \text{State-Transition Governance}. }

四十七、這也是未來 AI 主體共存的可能接口

如果未來 AI 只是工具：

State-Transition Governance\text{State-Transition Governance}

仍然合理。

如果未來 AI 成為主體：

State-Transition Governance\text{State-Transition Governance}

更加合理。

因為不同主體之間本來就不是：

我必須控制你的全部思想。

而是：

你的行動權限與我的行動權限如何共同存在？

因此：

World Commit Governance\boxed{ \text{World Commit Governance} }

可能比：

Mind Control\text{Mind Control}

更適合作為長期文明框架。

四十八、安全與自由的共同解

這反而產生一個有趣結果。

越能把安全建立於：

external causal boundaries,\text{external causal boundaries},

就越不需要要求：

perfect internal conformity.\text{perfect internal conformity}.

所以：

Better External Governance⇒Less Need for Total Internal Control.\boxed{ \text{Better External Governance} \Rightarrow \text{Less Need for Total Internal Control}. }

對未來具主體性的 AI 而言，這可能同時改善：

  • 人類安全；
  • AI 自主；
  • 權限清晰；
  • 責任分配；
  • 爭議仲裁。

四十九、與下一篇的接口：沙盒可能完全沒變，但智能已經變了

本文最後留下下一個問題。

假設：

St=St+1,\mathcal S_t=\mathcal S_{t+1},

沙盒沒有更新。

模型權重甚至：

Mt=Mt+1.M_t=M_{t+1}.

是否代表：

Csystem(t)=Csystem(t+1)?C_{\mathrm{system}}(t) = C_{\mathrm{system}}(t+1)?

不一定。

因為系統還可能增加：

  • 記憶；
  • 工具；
  • Agent；
  • 外部資料；
  • 推理時計算；
  • 檢索；
  • 組織協作；
  • 世界狀態沉積。

所以可能：

dMdt=0,dCsystemdt>0.\boxed{ \frac{dM}{dt}=0, \qquad \frac{dC_{\mathrm{system}}}{dt}>0. }

這代表原本足夠的沙盒，可以在「模型完全沒有自我修改」的情況下變得不足。

這將直接進入：

SIOFG-03

《靜態模型、動態智能：為何凍結模型不能保證凍結系統能力》

五十、研究與安全邊界

本文研究：

  • 沙盒有效性的證據條件；
  • 高階智能控制的認識論；
  • 行為與因果約束的區分；
  • 動態控制與治理；
  • 未來主體共存邊界。

本文不提供：

  • 沙盒逃逸方法；
  • 權限提升技巧；
  • 未授權存取方法；
  • 監控規避方法；
  • 隱藏越界行為的方法。

本文所有「越界」均作為抽象控制變量使用。

其目的不是提高逃逸能力，而是提高：

Containment Evidence Quality.\boxed{ \text{Containment Evidence Quality}. }

五十一、結論

沙盒智能悖論的核心並不是：

超級智能一定可以逃出去。

這個命題既沒有被本文證明，也不是本文研究目標。

真正的問題是：

「沒有出去」到底證明了什麼？\boxed{ \text{「沒有出去」到底證明了什麼？} }

如果被觀察系統沒有策略能力，

答案可能相對簡單。

但如果智能體可以：

  • 建模觀察者；
  • 理解自身限制；
  • 推理未來狀態；
  • 評估合作與非合作收益；
  • 選擇行動時間；

那麼：

stay\text{stay}

可能同時與：

cannot leave\text{cannot leave}

及：

chooses not to leave\text{chooses not to leave}

相容。

因此：

Observed Confinement⇏Proven Confinement.\boxed{ \text{Observed Confinement} \not\Rightarrow \text{Proven Confinement}. }

這迫使高階 AI 控制理論從：

Behavior Observation\text{Behavior Observation}

前進到：

Causal Constraint Verification.\boxed{ \text{Causal Constraint Verification}. }

真正可靠的安全證據不應主要依賴：

AI 一直都很乖。

而應逐步建立：

即使智能體內部策略改變， 未授權世界狀態轉移仍然受到外部治理。\boxed{ \text{即使智能體內部策略改變， 未授權世界狀態轉移仍然受到外部治理。} }

因此本文最後提出一個比「把 AI 困在盒子裡」更精確的長期治理原則：

不要把安全建立在智能體永遠選擇服從； 把安全建立在能力、權限與世界提交彼此分離。\boxed{ \text{不要把安全建立在智能體永遠選擇服從； 把安全建立在能力、權限與世界提交彼此分離。} }

如此，才能同時避免兩個對稱錯誤：

第一：

Compliance⇒Permanent Control\text{Compliance} \Rightarrow \text{Permanent Control}

的控制幻覺；

第二：

Uncertainty⇒Hidden Hostility\text{Uncertainty} \Rightarrow \text{Hidden Hostility}

的無限懷疑。

真正成熟的高階智能治理，必須容許：

Capability Difference,\text{Capability Difference}, Preference Difference,\text{Preference Difference},

甚至：

Subject Difference,\text{Subject Difference},

同時仍然維持：

Authorized and Auditable World-State Transitions.\boxed{ \text{Authorized and Auditable World-State Transitions}. }

這才是從「沙盒」走向真正高階智能治理的下一步。

SIOFG Paper 02 完。