AI 組織吸收與耦合拓撲 06

可部署自主性：Agent 權限、責任、治理與企業可接受行動域

English Title:
Deployable Autonomy: Agent Authority, Accountability, Governance, and the Enterprise-Acceptable Action Domain

系列： AI Organizational Absorption & Coupling Topology
系列編號： 06 / 06
版本： v0.1
日期： 2026-09-18
作者： Neo.K
協作： Aletheia（GPT-5.6 Sol）
機構： EveMissLab / 一言諾科技有限公司
文件性質： Agent Governance／委任理論／企業 AI 自主性／系列閉包篇

前置母文：

Paper 00《軟體時代鑲嵌與 AI 組織拓撲》
Paper 01《有效問題覆蓋論》
Paper 02《企業 AI 吸收論》
Paper 03《重構權限與相容性債務》
Paper 04《多主體 AI 耦合拓撲》
Paper 05《多模態觀測閉包論》

主要前置研究：

《委任時間論：自主 Agent、人類介入密度與治理槓桿》
《委任主權論：高 AI 自主與高人類主權能否共存》
《資訊收集任務難度、風險與自主等級規格》
Interaction-Time Runtime & Agent Temporal Ledger
AI 原生分散式組織系列
Capability Envelope / Allowed Autonomy / Human Gate Policy 系列

摘要

當 AI Agent 從「回答問題」進化為可規劃、持續執行、使用工具、修改外部世界、呼叫 API、跨系統協作與長時間運作的行動系統後，企業面對的核心問題不再只是：

AI 能不能做？

而是：

即使 AI 能做，企業是否應允許它自主做到這一步？

本文延續既有治理原則：

\boxed{ \text{Can Automate} \neq \text{May Automate}. }

並將本系列前五篇整合為 Deployable Autonomy Theory，可部署自主性理論。

Paper 01 已區分：

\text{Raw Capability} \neq \text{Effective Problem Coverage}.

Paper 02 已建立：

\text{AI Absorbability}.

Paper 03 已指出：

\Omega_{\mathrm{optimal}} \neq \Omega_{\mathrm{authorized}} \neq \Omega_{\mathrm{deployable}}.

Paper 04 已建立：

\text{SharedWorkspace} \neq \text{SharedState} \neq \text{SharedCognition} \neq \text{SharedClosureAuthority}.

Paper 05 已進一步要求：

\mathcal M_{\mathrm{required}}(C) \subseteq \mathcal M_{\mathrm{observed}}(A)

才具有候選 closure certification 資格。

本文最後加入：

\boxed{ \text{Capability} \neq \text{Authority} \neq \text{Deployable Autonomy}. }

令 Agent $A$ 的原始行動域為：

\Omega_{\mathrm{cap}}^A.

令被正式授權的行動域為：

\Omega_{\mathrm{auth}}^A.

令在指定組織、風險、觀測、驗證、可逆性與治理條件下，可實際自主執行的行動域為：

\boxed{ \Omega_{\mathrm{DA}}^A = \Omega_{\mathrm{cap}} \cap \Omega_{\mathrm{auth}} \cap \Omega_{\mathrm{obs}} \cap \Omega_{\mathrm{ver}} \cap \Omega_{\mathrm{rev}} \cap \Omega_{\mathrm{risk}} \cap \Omega_{\mathrm{gov}}. }

因此：

\boxed{ \Omega_{\mathrm{DA}} \subseteq \Omega_{\mathrm{auth}} \subseteq \Omega_{\mathrm{cap}}. }

本文將：

\boxed{ \mathcal F_{\mathrm{DA}} = \partial\Omega_{\mathrm{DA}} }

稱為 Deployable Autonomy Frontier，可部署自主性前沿。

它表示：

在當前能力、環境、權限、驗證、治理與責任條件下，企業願意讓 Agent 自主行動到哪裡。

本文特別區分：

\boxed{ \text{TaskDifficulty} \neq \text{ActionRisk}. }

一項閱讀數百篇論文並整理脈絡的工作，可能推理極難但外部風險低；一個「把帳號權限從 read 改為 admin」的 API 呼叫可能技術極簡單，但風險極高。因此，Allowed Autonomy 不能直接由模型能力決定，而應由：

\boxed{ \text{AllowedAutonomy} = F( \text{Capability}, \text{Risk}, \text{Reversibility}, \text{Verification}, \text{Authority}, \text{GovernanceReadiness} ). }

本文採用新的 D0–D6 Deployable Autonomy Levels，避免與 Paper 02 的企業吸收 A0–A5 混淆：

\boxed{ \begin{aligned} D_0 &: \text{Observe / Advise},\\ D_1 &: \text{Propose},\\ D_2 &: \text{Sandbox Execute},\\ D_3 &: \text{Bounded Reversible Action},\\ D_4 &: \text{Conditional External Action},\\ D_5 &: \text{Delegated Workflow Autonomy},\\ D_6 &: \text{Governed Domain Autonomy}. \end{aligned} }

即使在最高的 $D_6$ ，本文仍不等同：

D_6 = \text{unbounded autonomy}.

而是：

\boxed{ D_6 = \text{high autonomy inside an explicit governance envelope}. }

本文延續《委任時間論》的核心：

\boxed{ \text{Autonomy} \neq \text{Absence of Humans}. }

成熟自主更接近：

\boxed{ \text{Bounded Authority} + \text{Observable State} + \text{Risk-Adaptive Escalation} + \text{Recoverability} + \text{Revocation} + \text{Human Governance at Irreplaceable Nodes}. }

外部研究與工程實務亦已向此方向收斂。IBM Research 2026 的 Governance by Construction for Generalist Agents 將 policy enforcement 置於 Agent runtime 的規劃前、system prompt、tool boundary、Human-in-the-Loop approval 與輸出等多個 checkpoint；OWASP 的 Agent Security guidance 將 excessive autonomy、high-impact action abuse、least privilege、explicit authorization 與 high-risk human approval 列為核心治理議題；NIST AI RMF 與 2026 Critical Infrastructure Profile concept note 則持續強調 lifecycle risk management、trustworthiness、testing、evaluation、verification、validation 與高風險環境中的可操作要求。

本文的最終核心不是「多加人工批准」，而是：

\boxed{ \text{Human Oversight Density} \downarrow \quad\text{while}\quad \text{Governance Value per Intervention} \uparrow. }

也就是：讓低價值、可逆、可驗證的行動更自主；把有限的人類治理時間保留給權限變更、不可逆承諾、高 blast-radius 操作、價值衝突與責任判斷。

0. 系列最終問題

前五篇已經回答：

AI 能有效解多少問題？
組織能吸收多少 AI 能力？
AI 可以改多大範圍？
多人類、多 Agent 如何協作？
Agent 要看見什麼才能合法宣稱完成？

最後還剩：

Agent 即使能做、看得到、做對了，是否應該被允許自主把結果寫入真實世界？

這就是：

\boxed{ \text{Deployable Autonomy}. }

1. Capability ≠ Authority

Agent 能力：

C_A.

Agent 權限：

\text{Auth}_A.

兩者沒有必然包含關係。

因此：

\boxed{ C_A\uparrow \not\Rightarrow \text{Auth}_A\uparrow. }

2. Authority ≠ Autonomy

Agent 有：

write access

不表示：

可以在所有情況自主使用。

所以：

\boxed{ \text{CredentialPossession} \neq \text{Authorization} \neq \text{Autonomy}. }

3. 技術可行不等於允許自動化

既有自主規格已提出：

\boxed{ \text{Can Automate} \neq \text{May Automate}. }

這是 Paper 06 的基本公理。

4. Task Difficulty ≠ Action Risk

令任務難度：

D_T.

令行動風險：

R_A.

則：

\boxed{ D_T \not\Rightarrow R_A. }

5. 高難度、低風險

例如：

閱讀 300 篇論文並建立研究地圖，但不得修改外部資料。

可以：

D_T\gg0,

但：

R_A\approx \text{low}.

6. 低難度、高風險

例如：

刪除 production database。

可能技術上：

D_T\approx \text{low},

但：

R_A\gg0.

7. 所以 Allowed Autonomy 不由 Difficulty 單獨決定

錯誤：

\boxed{ \text{Autonomy} = F(\text{ModelIntelligence}). }

更合理：

\boxed{ \text{Autonomy} = F( \text{Capability}, \text{Risk}, \text{Authority}, \text{Reversibility}, \text{Verification}, \text{Governance} ). }

8. Capability Envelope

定義：

\boxed{ \mathcal C_A }

為 Agent 已證實可穩定完成的能力包絡。

9. Authority Envelope

定義：

\boxed{ \mathcal A_A }

為 Agent 被合法授予的行動包絡。

10. Verification Envelope

定義：

\boxed{ \mathcal V_A }

為 Agent 行動後可被足夠驗證的範圍。

11. Reversibility Envelope

定義：

\boxed{ \mathcal R_A }

為行動結果仍可安全回復的範圍。

12. Governance Envelope

定義：

\boxed{ \mathcal G_A }

為現有 policy / audit / approval / accountability 能合法覆蓋的範圍。

13. Deployable Action Domain

本文定義：

\boxed{ \Omega_{\mathrm{DA}}^A = \mathcal C_A \cap \mathcal A_A \cap \mathcal O_A \cap \mathcal V_A \cap \mathcal R_A \cap \mathcal G_A \cap \mathcal K_A. }

其中 $\mathcal K_A$ 表示風險可接受域。

14. Deployable Autonomy Frontier

\boxed{ \mathcal F_{\mathrm{DA}} = \partial\Omega_{\mathrm{DA}}. }

不是：

AI 理論上能做什麼。

而是：

AI 現在被允許自主做到什麼。

15. Frontier 是 task-specific

對：

code；
finance；
customer support；
security；
research；

具有不同：

\mathcal F_{\mathrm{DA}}^{(q)}.

16. Autonomy 不是單一全域百分比

不能說：

這個 Agent 80% autonomous。

必須問：

哪些 action；
哪個 environment；
哪種風險；
哪個 authority；
哪個 timeframe。

17. Action Risk Vector

本文沿用並擴充：

\boxed{ \mathbf R(a) = ( I, B, S, E, F, L, U ). }

可分別代表：

$I$ ：Irreversibility；
$B$ ：Blast Radius；
$S$ ：Data / Security Sensitivity；
$E$ ：External Visibility；
$F$ ：Financial / Legal Consequence；
$L$ ：Latency to Detect / Recover；
$U$ ：Uncertainty / Unknown Side Effects。

18. Risk Vector ≠ Single Score

本文不要求：

R=73/100.

因為：

一個高 financial-risk 但低 privacy-risk 行動

與：

一個低 financial-risk 但高 identity-risk 行動

不應被壓成同一 scalar 後粗暴比較。

19. Reversibility 是核心治理變量

行動可分類為：

\boxed{ Rev(a) \in \{ R_0,R_1,R_2,R_3 \}. }

例如：

$R_0$ ：read-only / no external effect；
$R_1$ ：fully reversible；
$R_2$ ：reversible with cost / delay；
$R_3$ ：effectively irreversible。

20. 相同 Capability，不同 Reversibility → 不同 Autonomy

讀資料：

D_3

可能完全自動。

刪資料：

D_1

可能仍需 human approval。

21. Human Gate Policy

本文正式引入：

\boxed{ HGP: ( \text{Risk}, \text{Reversibility}, \text{Authority}, \text{Verification}, \text{Context} ) \rightarrow \text{Gate}. }

22. Gate Types

最低限度可包括：

ALLOW
ALLOW_AND_AUDIT
PREVIEW
APPROVE_ONCE
DUAL_APPROVAL
ESCALATE
DENY

23. Human-in-the-Loop 不應變成每一步都按確認

如果每一個低風險 action：

都要人按 Yes。

則：

\boxed{ \text{HumanInterventionDensity}\uparrow }

但：

\boxed{ \text{GovernanceQuality} }

不一定增加。

24. Approval Fatigue

大量低價值 approval 會造成：

habituation；
rubber stamping；
missed high-risk event；
workflow slowdown。

因此：

\boxed{ \text{More Human Clicks} \neq \text{More Human Governance}. }

25. 委任時間論的既有核心

先前《委任時間論》已提出：

\boxed{ \text{Autonomy} \neq \text{Absence of Humans}. }

成熟自治是：

\boxed{ \text{Bounded Authority} + \text{Observable State} + \text{Risk-Adaptive Escalation} + \text{Recoverability} + \text{Revocation} + \text{Human Governance at Irreplaceable Nodes}. }

本文直接繼承。

26. Human Intervention Density

定義：

\boxed{ \rho_H = \frac{ N_{\mathrm{human\ interventions}} }{ N_{\mathrm{agent\ state\ transitions}}+\epsilon }. }

只是候選操作指標。

27. 目標不是 $\rho_H\rightarrow0$

完全不介入：

\rho_H=0

不是成熟治理的充分條件。

28. Governance Leverage

沿用委任時間論：

\boxed{ \Lambda_D = \frac{ V_{\mathrm{effective\ delegated\ work}} }{ T_H^{gov}+\epsilon }. }

目標是提高：

每單位不可替代人類治理時間能可靠委任多少有效工作。

29. High-Value Human Nodes

人類應更集中在：

irreversible external commitment；
authority escalation；
high-risk exception；
value conflict；
responsibility assignment；
unknown side effects。

30. Low-Value Human Nodes

應逐步自動化：

repetitive read；
deterministic formatting；
low-risk retry；
reversible local edit；
known validation loop。

31. D0–D6 Deployable Autonomy Levels

本篇不用 A0–A5，避免和 Paper 02 的 Absorption Ladder 衝突。

D0｜Observe / Advise

Agent：

read；
analyze；
recommend。

不能造成外部 state mutation。

D1｜Propose

Agent 可建立：

draft；
patch proposal；
action plan。

但：

\boxed{ \text{NoWorldCommit}. }

D2｜Sandbox Execute

Agent 可在：

branch；
sandbox；
simulation；
test environment；

執行。

但不能直接寫入 production world。

D3｜Bounded Reversible Action

Agent 可在明確 envelope 內執行：

low blast radius；
reversible；
auditable；

的 action。

D4｜Conditional External Action

Agent 可對真實外部系統採取 action，

但對特定 risk class：

preview；
approval；
threshold gate；

必須介入。

D5｜Delegated Workflow Autonomy

Agent 可自主完成：

\boxed{ \text{multi-step workflow} }

只在 exception / high-risk checkpoint 升級人工。

D6｜Governed Domain Autonomy

在已明確治理的 domain：

identity；
policy；
observation；
authority；
verification；
rollback；
audit；

均閉合時，Agent 可長時間自主操作。

但：

\boxed{ D_6 \neq \text{Unbounded Autonomy}. }

32. D6 仍需要 Revocation

任何 deployable autonomy 應存在：

\boxed{ Revoke(A,scope). }

33. Revocation 不能只是關模型

還可能包括：

token revoke；
tool disable；
permission downgrade；
workflow freeze；
state rollback。

34. Authority Cannot Self-Escalate

本文提出硬原則：

\boxed{ A \not\vdash \Delta \text{Auth}_A>0. }

即：

Agent 不應僅憑自己的判斷增加自己原本沒有的權限。

35. Meta-Authority

權限提升必須來自：

\boxed{ \text{MetaAuthority} }

例如：

authorized human；
policy engine；
multi-party approval；
predefined role transition。

36. Credential Possession ≠ Authority

即使 Agent 拿到：

API key；
shell；
admin token；

也不代表：

所有可執行 action 都被正式授權。

所以：

\boxed{ CanCall(tool) \neq MayUse(tool,action). }

37. Least Privilege

Agent 工具權限應滿足：

\boxed{ \text{Auth}_A \approx MinimumAuthority(Task). }

而不是：

給 admin 比較方便。

38. OWASP 的對應

OWASP Agent Security guidance 將：

excessive autonomy；
high-impact action abuse；
decision / approval manipulation；
cascading failures；

列為主要 agentic risk。

並建議：

least privilege；
per-tool scoping；
explicit authorization；
human approval for sensitive operations。

這與本文 authority envelope 一致。

39. High-Impact Action

本文定義：

\boxed{ HIA(a) }

若 action 涉及：

irreversible deletion；
financial transfer；
permission change；
external public commitment；
security configuration；
sensitive data disclosure；

應進入更嚴格 Gate。

40. Simple Action Can Be High-Impact

再次強調：

\boxed{ Complexity(a) \not\Rightarrow Risk(a). }

API 呼叫可能只有一行，

但 impact 非常高。

41. World-Commit Gate

沿用 ITR / ATL：

\text{Intent} \rightarrow \text{Plan} \rightarrow \text{Run} \rightarrow \text{Validation} \rightarrow \text{Completion} \rightarrow \text{Commit}.

其中：

\boxed{ \text{Completion} \neq \text{WorldCommit}. }

42. Candidate ≠ Commit

Agent 可以在 sandbox 中：

Candidate=SUCCESS.

但：

\boxed{ \text{CommitPermission} }

仍需獨立判定。

43. World Commit

定義：

\boxed{ Commit_W: S_W(t) \rightarrow S_W(t+1). }

即真正改變 parent-world / enterprise state。

44. Commit Gate Inputs

至少考慮：

verified result；
authority；
risk；
rollback；
environment；
owner；
freshness。

45. Governance by Construction

IBM Research 2026 的 generalist-agent governance 實作將政策嵌入：

planning 前的 Intent Guard；
Playbook；
Tool Guide；
Human-in-the-Loop Tool Approval；
Output Formatter。

這種架構的重要意義是：

\boxed{ \text{Governance} }

不是事後 audit 附件，

而是 execution path 的組成部分。

46. Policy-as-Code

企業 Agent 可以把：

\boxed{ \text{Policy} }

變成 runtime 可執行結構。

例如：

action: change_iam_role
risk: high
require:
  - explicit_user_scope
  - dual_approval
  - audit_log
  - rollback_plan

47. Policy ≠ Prompt

治理規則不應只存在 system prompt。

因為 prompt：

可被誤解；
可被 injection 影響；
不等於 downstream permission。

所以：

\boxed{ \text{Policy Enforcement} \neq \text{Prompt Instruction Alone}. }

48. Tool Boundary Enforcement

高價值控制點之一是：

\boxed{ \text{Tool Call Boundary}. }

因為真正 world effect 通常在：

API；
database；
browser；
shell；
SaaS tool；

發生。

49. Action Capability Token

本文提出候選概念：

\boxed{ ACT = \text{Action Capability Token}. }

它不是普通 API credential。

應綁定：

actor；
task；
action type；
resource；
scope；
expiry；
risk class；
approval receipt。

50. Approval Must Bind to Action

錯誤：

「我批准你今天操作 finance。」

更安全：

\boxed{ \text{Approval} \rightarrow \text{SpecificActionDigest}. }

51. Approval Replay

批准 token 不應被重複拿去：

做別的 transaction。

所以：

\boxed{ \text{ApprovalID} + \text{ActionHash} + \text{Expiry}. }

52. Human Approval ≠ Universal Override

人也會犯錯。

因此高風險 action 可要求：

policy；
validation；
dual approval；
limit；

共同成立。

53. Dual Approval

對極高風險：

\boxed{ Approve_1 \land Approve_2 }

才允許 commit。

54. Agent Consensus ≠ Authority

如果 10 個 Agent 都同意：

應該刪資料。

也不能推出：

\boxed{ \text{DeleteAllowed}. }

所以：

\boxed{ \text{Consensus} \neq \text{Authorization}. }

55. Multi-Agent Majority Cannot Manufacture Permission

Paper 04 的多主體協作必須服從：

\boxed{ \text{AuthorityGraph}. }

不能用 Agent 多數決跳過 authority owner。

56. Observation Closure ≠ Action Permission

Paper 05 已保證：

Agent 有足夠 evidence。

但：

\boxed{ Certify(C) \neq Authorize(Action). }

這是最後一個重要分離。

57. Verify ≠ Approve

例如：

AI 確定 invoice 金額正確。

不表示：

AI 有權付款。

所以：

\boxed{ \text{KnowledgeAuthority} \neq \text{ActionAuthority}. }

58. Risk-Adaptive Escalation

人類介入應依：

\boxed{ \text{RiskChange} }

動態觸發。

而不是固定：

每 10 步問一次。

59. Escalation Triggers

例如：

confidence drop；
unknown side effect；
scope expansion；
tool change；
authority boundary；
irreversible action；
repeated failure；
cross-agent disagreement。

60. Escalation Is Not Failure

Agent 主動升級：

我需要人類決定。

不應算作 agent failure。

而可能是：

\boxed{ \text{Correct Governance Behavior}. }

61. Good Agent Knows When Not to Act

因此：

\boxed{ \text{Capability} }

也包含：

正確停止與升級。

62. NIST AI RMF 對應

NIST AI RMF / GAI Profile 強調：

Govern；
Map；
Measure；
Manage；

以及 lifecycle risk management、testing、evaluation、verification、validation。

本文將其對 Agent autonomy 的對接理解為：

\boxed{ \text{Autonomy} \subset \text{RiskManagedLifecycle}. }

63. Critical Infrastructure

NIST 2026 Critical Infrastructure Profile concept note 進一步指向：

高風險基礎設施需要可操作、可溝通的 trustworthiness requirements。

因此同一 Agent：

\mathcal F_{\mathrm{DA}}^{consumer}

與：

\mathcal F_{\mathrm{DA}}^{critical}

可以完全不同。

64. Sector-Specific Autonomy

所以：

\boxed{ \text{DeployableAutonomy} }

不能只由通用 Agent benchmark 決定。

65. Reversibility-Weighted Autonomy

可以提出候選：

\boxed{ AutonomyBudget(a) \propto \frac{ \text{Verification} \cdot \text{Recoverability} }{ \text{Risk} + \text{Irreversibility} +\epsilon }. }

只作方向性結構。

66. Autonomy Budget

令：

\boxed{ B_A }

為某 task / timeframe 中 Agent 可消耗的自主風險預算。

67. Budget Can Be Dynamic

低風險成功 history：

B_A\uparrow

高風險 anomaly：

B_A\downarrow.

但不應由 Agent 單方面自行擴張。

68. Trust ≠ Permission

長期表現很好：

Trust\uparrow

不表示：

\boxed{ \text{UnlimitedAuthority}. }

69. Trust Is Scope-Specific

Agent 在：

code formatting

非常可靠，

不表示在：

finance transfer

可直接沿用。

70. Domain-Bounded Trust

定義：

\boxed{ Trust(A,D,Q). }

而不是全域：

Trust(A).

71. Deployable Autonomy Profile

企業應保留：

\boxed{ \mathbf D_A = ( D_{\mathrm{code}}, D_{\mathrm{ops}}, D_{\mathrm{finance}}, D_{\mathrm{data}}, D_{\mathrm{security}}, \ldots ). }

72. D0–D6 是 domain local

同一 Agent：

code formatting = D5
production deploy = D3
IAM changes = D1
financial transfer = D0

完全合理。

73. Autonomous Workflow ≠ Autonomous Organization

一個 workflow 高自主，

不能推出：

\boxed{ \text{Organization Is Autonomous}. }

74. Organizational Sovereignty

沿用委任主權論：

高 AI 自主可以和：

\boxed{ \text{Retained Human / Organizational Sovereignty} }

共同存在。

75. High Autonomy + Distributed Governance

不必建立：

一個中央超級 AI 一直監視所有 AI。

可以：

\boxed{ \text{High Autonomy} + \text{Distributed Governance} + \text{Retained Sovereignty}. }

76. Distributed Governance Components

可以分散在：

authority structure；
shared state；
validators；
policy；
checkpoints；
quorum；
audit；
revocation；
world-commit gate。

77. Governance ≠ Continuous Central Supervision

因此：

\boxed{ \text{Governance} \neq \text{ContinuousCentralSupervision}. }

78. Human-on-the-Bridge

高 autonomy 的重點是：

人不用每步操作，

但能在：

anomaly；
exception；
commitment；

發生時快速進入。

79. Re-entry Latency

定義：

\boxed{ L_H = \text{human re-entry latency}. }

80. Autonomy 越高，Re-entry 要求可能越嚴

因為 Agent state changes 更快：

v_A\uparrow.

所以：

\boxed{ L_H }

若太高，人類接管時世界已經跑很遠。

81. Stop Distance

本文提出：

\boxed{ D_{stop} = \text{state distance accumulated after stop condition until actual halt}. }

82. 高風險 Agent 需要低 Stop Distance

因此：

\boxed{ \text{Risk}\uparrow \Rightarrow D_{stop}^{max}\downarrow. }

83. Recoverability

如果 Agent 能：

checkpoint；
rollback；
replay；

則 autonomy 可以提高。

因此：

\boxed{ \text{Recoverability}\uparrow \Rightarrow \mathcal F_{\mathrm{DA}} \text{ can expand}. }

不代表必然擴張。

84. Auditability

每個重要 action 應能回答：

who；
what；
when；
why / policy reason；
tool；
authority；
result；
rollback。

85. Execution Trace ≠ Chain-of-Thought

沿用 ITR / ATL：

系統不必保存模型私有推理文字。

只需保存：

\boxed{ \text{Auditable Control / Action Trace}. }

86. Minimal Audit Event

actor:
agent_id:
task_id:
action:
resource:
authority:
policy:
approval:
input_ref:
output_ref:
timestamp:
verification:
risk:
rollback:
commit_receipt:

87. World Commit Receipt

真正改變外部世界後：

\boxed{ \text{Receipt}_W }

應成為可審計證據。

88. Completion Without Receipt

如果：

Agent 說寄信了。

但沒有：

\text{Receipt}_W,

只能標：

\boxed{ \text{Unverified External Commit}. }

89. Responsibility Graph

本文區分：

\boxed{ \text{ProvenanceGraph} \neq \text{ResponsibilityGraph}. }

90. Provenance 回答「誰做了什麼」

Responsibility 回答：

誰有義務承擔、審查、補救？

91. AI 目前通常不是最終組織責任主體

在多數現行企業架構中：

organization；
human role；
legal entity；

承擔現實責任。

所以 Agent autonomy 越高：

\boxed{ \text{ResponsibilityDesign} }

越不能缺席。

92. Accountability Gap

若：

\text{ActionAuthority} > \text{ResponsibilityCapacity},

形成：

\boxed{ \text{Accountability Gap}. }

93. Authority–Responsibility Balance

成熟系統應避免：

\boxed{ \text{Auth}_A \gg \text{AccountabilitySystem}. }

94. Blast Radius × Accountability

高：

B_{\mathrm{change}}

需要更強：

\boxed{ \text{Governance} + \text{Ownership} + \text{Recovery}. }

95. Dynamic Autonomy

自主等級不應永久固定。

可以：

\boxed{ D_t \rightarrow D_{t+1} }

依：

task；
history；
environment；
incident；
verification；

升降。

96. Downgrade Principle

當出現：

observation loss；
stale state；
repeated error；
unknown effect；
policy conflict；

應：

\boxed{ D_{t+1}<D_t. }

97. Upgrade Principle

提高 autonomy 需要外部證據：

stable history；
better verification；
stronger rollback；
narrower domain；
explicit approval。

98. Autonomy Upgrade Cannot Be Self-Certified

因此：

\boxed{ \text{AgentSuccessHistory} }

可以作輸入，

但：

\boxed{ \text{Agent} }

不能單方面把自己從 D3 升到 D5。

99. Autonomy Is an Organizational Decision

\boxed{ D = D( \text{Agent}, \text{Task}, \text{Organization}, \text{Risk}, \text{Policy}, \text{Time} ). }

100. Deployable Capability 與既有能力邊界研究

先前能力邊界研究已提出：

\boxed{ \mathcal C_i^{D} = \{ T: Q_i\ge\theta_Q, C_i\le\theta_C, L_i\le\theta_L, V_i\ge\theta_V, R_i\le\theta_R \}. }

本文把它進一步加入：

\boxed{ \text{Authority} + \text{Governance} + \text{Responsibility}. }

101. Deployable Autonomy Is Multi-Constraint Frontier

因此：

\boxed{ \mathcal F_{\mathrm{DA}} }

比單一 accuracy threshold 更符合 production。

102. Hard Gates

某些 domain 可以有：

\boxed{ \text{Risk}>\tau_R \Rightarrow \text{HumanApproval}. }

即使模型 confidence：

0.999.

103. Confidence ≠ Permission

所以：

\boxed{ \text{ModelConfidence} \neq \text{ActionAuthorization}. }

104. Unknown Risk Must Not Default to Allow

若：

R=\text{Unknown},

高 impact action 應：

\boxed{ \text{Escalate} }

而不是：

\text{Allow}.

105. Fail-Safe Autonomy

對不確定治理狀態：

\boxed{ \text{Reduce Action Surface}. }

106. Read-Only Fast Lane

低風險：

search；
summarize；
classify；
read；

可以設：

\boxed{ \text{Autonomy Fast Lane}. }

107. High-Impact Slow Lane

高 impact：

permission；
money；
deletion；
external commitment；

進：

\boxed{ \text{Governed Slow Lane}. }

108. Autonomy Should Follow Risk, Not Prestige

不能因為：

這是最新最強模型。

就給更高 authority。

109. Stronger AI Can Require More Governance

因為：

\text{Capability}\uparrow

會增加：

\text{ActionSurface}\uparrow.

所以：

\boxed{ \text{Stronger Agent} }

甚至可能需要更精細 governance。

110. Capability–Governance Coevolution

理想：

\boxed{ v_{\mathrm{Governance}} \approx v_{\mathrm{Capability}}. }

若：

v_{\mathrm{Capability}} \gg v_{\mathrm{Governance}},

Paper 02 的：

\mathfrak F_{\mathrm{AI}}

會增加。

111. Autonomy Debt

本文提出：

\boxed{ D_{\mathrm{autonomy}} }

表示：

Agent autonomy 增加，但 authority、verification、revocation、audit、responsibility 沒同步增加所累積的治理債務。

112. Dynamic Autonomy Debt

候選形式：

\boxed{ D_{A,t+1} = \rho D_{A,t} + \alpha U_t + \beta B_t + \gamma G_t^{gap} + \eta R_t^{unknown} - \delta Gov_t. }

其中：

$U_t$ ：uncontrolled autonomy；
$B_t$ ：blast radius；
$G_t^{gap}$ ：governance gap；
$R_t^{unknown}$ ：unknown risk；
$Gov_t$ ：治理修復。

113. High Throughput Can Hide Autonomy Debt

Agent 每天完成：

1000

個 action，

看似成功。

但如果：

no audit；
unclear owner；
no rollback；

只是：

\boxed{ \text{High Throughput} + \text{High Hidden Governance Debt}. }

114. Productivity ≠ Governed Productivity

因此：

\boxed{ \text{Productivity} \neq \text{Governed Productivity}. }

115. Verified World-Commit Density

沿用時間經濟學思路，可以關心：

\boxed{ \rho_{\mathrm{commit}} = \frac{ \text{Verified Valuable World Commits} }{ \text{Time / Governance Cost} }. }

比單純：

Agent actions per hour

更有價值。

116. Human Historical Leverage

若一個人只需每天：

20 分鐘治理，

Agent 能可靠完成大量工作，

人類的歷史作用力會增加。

這就是委任槓桿。

117. 人類退出低價值操作環

目標不是：

人類退出世界。

而是：

\boxed{ \rho_H^{low-value}\downarrow. }

118. 人類留在不可替代節點

同時：

\boxed{ EOD^{high-value}\uparrow }

即高價值治理介入精度提高。

119. Autonomy + Sovereignty

因此高 autonomy 與高 organizational sovereignty 可以共存：

\boxed{ \text{High Autonomy} + \text{Retained Governance Authority}. }

120. 系列全閉包

Paper 00：

\text{Epoch / Organizational Topology}.

Paper 01：

\text{Effective Problem Coverage}.

Paper 02：

\text{AI Absorbability}.

Paper 03：

\text{Authorized Reconstruction}.

Paper 04：

\text{Multi-Actor Coupling}.

Paper 05：

\text{Observation Closure}.

Paper 06：

\text{Deployable Autonomy}.

121. 系列母鏈

因此：

\boxed{ \begin{aligned} \text{RawCapability} &\rightarrow \text{EffectiveCoverage}\\ &\rightarrow \text{OrganizationalAbsorption}\\ &\rightarrow \text{AuthorizedChange}\\ &\rightarrow \text{MultiActorCoordination}\\ &\rightarrow \text{ObservationClosure}\\ &\rightarrow \text{DeployableAutonomy}. \end{aligned} }

122. 系列總公式

以結構形式表示：

\boxed{ V_{\mathrm{realized}} = f( C_{\mathrm{AI}}, EPC, \mathcal A_{\mathrm{AI}}, -C_{\mathrm{coupling}}, O_{\mathrm{sufficient}}, \mathcal F_{\mathrm{DA}} ). }

不是已校準統計公式，而是 dependencies map。

123. 為什麼 AI 還沒「全面取代」

系列現在給出一個比：

AI 還不夠強。

更完整的答案。

因為：

\boxed{ C_{\mathrm{AI}} }

只是第一層。

還有：

\boxed{ EPC, \text{Absorbability}, \text{Compatibility}, \text{Coupling}, \text{Observation}, \text{Governance}. }

124. 人類弱不代表可解問題少

同樣：

\boxed{ C_H<C_{\mathrm{AI}} }

不自動推出：

\boxed{ EPC_H<EPC_{\mathrm{AI}}. }

因為人類仍高度嵌入：

authority；
context；
responsibility；
physical world；
social world。

125. 但這個差不是永久的

如果未來 Agent 獲得：

persistent observation；
canonical shared state；
delegated authority；
better verification；
mature governance runtime；

則：

\boxed{ \Omega_{\mathrm{DA}} }

會擴大。

126. 真正的替代曲線

所以工作替代速度更像：

\boxed{ \text{Substitution} = f( \text{CapabilityGrowth}, \text{CoverageConversion}, \text{Absorbability}, \text{AutonomyFrontier} ). }

127. AI-Native Organization 的最終定義

本系列最後可將 AI-Native Organization 定義為：

持續重構自身資料、工作流、權限、驗證、協作與治理，使更多 AI 原始能力可以在可審計、可回復、可承責的條件下轉換為有效問題覆蓋與可部署自主性的組織。

128. AI-Native ≠ AI Everywhere

不是：

所有工作都交給 AI。

而是：

\boxed{ \text{Appropriate Autonomy at Appropriate Boundaries}. }

129. 可反駁假說 H1

控制模型能力後：

explicit risk-adaptive autonomy policy 應降低 high-impact incident rate，而比「所有 action 都同一 approval policy」具有更好的 throughput / governance tradeoff。

130. 可反駁假說 H2

在低風險、可逆、可驗證 task 中：

減少 human intervention density 不應顯著降低 closure quality，反而可提高 delegation leverage。

131. 可反駁假說 H3

在高 blast-radius task 中：

explicit tool-boundary authorization + approval binding 應比 prompt-only governance 更可靠。

132. 可反駁假說 H4

Deployable Autonomy Frontier 應隨：

verification；
rollback；
observation；
audit；

能力增加而擴張。

133. 可反駁假說 H5

如果 Agent action throughput 上升快於 governance capacity：

D_{\mathrm{autonomy}}

應增加，並最終表現在：

incident；
rollback；
audit backlog；
ownership ambiguity。

134. 可反駁假說 H6

動態 autonomy downgrade 應比固定 autonomy level 更能處理：

stale observation；
context loss；
changing environment；
repeated errors。

135. 最小工程資料模型

agent_id:
domain:
deployable_autonomy_level:
capability_envelope:
authority_envelope:
observation_envelope:
verification_envelope:
reversibility_class:
risk_vector:
allowed_tools:
resource_scope:
approval_policy:
escalation_policy:
revocation:
rollback:
audit:
responsible_owner:
world_commit_policy:

136. Human Gate Policy Example

action: publish_external_statement
risk:
  external_visibility: high
  financial: low
  reversibility: medium
policy:
  preview: true
  approval: required
  dual_approval: false
  audit: required
  autonomous_commit: false

137. Autonomy Runtime

未來工程化可建立：

\boxed{ \text{Deployable Autonomy Runtime}. }

位置：

\text{Intent} \rightarrow \text{Plan} \rightarrow \text{Policy} \rightarrow \text{Action} \rightarrow \text{Verify} \rightarrow \text{Commit}.

138. 與 ITR / ATL 的整合

ITR / ATL 已可保存：

authority；
event；
validation；
checkpoint；
world commit；
provenance。

所以：

\boxed{ \text{DA Runtime} \leftrightarrow \text{ITR/ATL}. }

139. 與 Paper 04 / 05 的整合

Paper 04：

\boxed{ \text{Who may coordinate / commit?} }

Paper 05：

\boxed{ \text{Who has enough evidence to verify?} }

Paper 06：

\boxed{ \text{Who may cause the world state to change?} }

140. 與 SEDB / UIR 的接口

如果未來進入更完整 runtime：

SEDB 可保存 authority / governance semantic state；
UIR 可 resolve executable capability / representation；
DA Runtime 決定 operation 是否可被提交；
ITR / ATL 保存 causal audit。

因此：

\boxed{ \text{SEDB} + \text{UIR} + \text{DA} + \text{ITR/ATL} }

可形成更完整的 AI-native execution substrate。

但這只是 future integration interface，本系列不再擴寫。

141. Claim Boundary

$K$ ｜已有支持

已有內外部資料支持：

capability 與 allowed autonomy 應分離；
least privilege、high-risk human approval、tool-boundary controls 是 agent security / governance 的重要方法；
enterprise generalist-agent deployment 可把治理嵌入 runtime 多 checkpoint；
AI risk management 應是 lifecycle process，而非單一 output check；
high-stakes / critical infrastructure 需要更明確 trustworthiness requirements；
auditable execution、recovery、human oversight 對 enterprise Agent 很重要。

$E$ ｜本文新推導

本文提出：

Deployable Action Domain；
Deployable Autonomy Frontier；
D0–D6 Deployable Autonomy Levels；
Action Risk Vector；
Authority / Verification / Reversibility / Governance Envelopes；
Authority Non-Escalation Principle；
Action Capability Token；
World-Commit Gate；
Autonomy Budget；
Stop Distance；
Accountability Gap；
Autonomy Debt；
Governed Productivity。

$S$ ｜需要 simulation / benchmark

autonomy policy ablation；
approval fatigue；
dynamic downgrade；
stop distance；
rollback / recovery effects；
policy-as-code effectiveness。

$X$ ｜需要企業 field study

human intervention density；
governance leverage；
incident rate；
delegated workflow autonomy；
autonomy debt；
responsibility graph。

$F$ ｜工程化

Deployable Autonomy Runtime；
Human Gate Policy Engine；
Action Capability Token；
World Commit Gate；
Authority Registry；
Risk / Reversibility Classifier；
Autonomy Ledger。

142. 系列閉包聲明

至本文：

\boxed{ \text{AI Organizational Absorption \& Coupling Topology} }

理論系列 00–06 正式閉包。

後續不再以新增 Paper 07、08、09 的方式延伸。

新的問題應優先轉成：

Runtime；
Protocol；
Skill；
Benchmark；
MVP；
Enterprise Study；
Dataset；
Audit Tool。

因此：

\boxed{ \text{Theory Closure} \rightarrow \text{Engineering and Validation}. }

143. 最終結論

到了 2026 年，前沿 AI 的真正矛盾逐漸不再是：

「它到底夠不夠聰明？」

而是：

我們能讓多少智能真正進入世界？

一個 Agent 可以：

會寫 code；
會操作電腦；
會協作；
會用工具；
會規劃；
會驗證。

但這些能力必須逐層轉換為：

\boxed{ \text{Effective Coverage} }

再被組織：

\boxed{ \text{Absorb} }

再穿過：

\boxed{ \text{Compatibility and Reconstruction Constraints} }

再和其他：

\boxed{ \text{Humans and Agents} }

協調，

再取得足夠：

\boxed{ \text{Observation Closure} }

最後才到：

\boxed{ \text{Deployable Autonomy}. }

所以：

\boxed{ \text{Agent Capability} \neq \text{Agent Integrability} \neq \text{Deployable Autonomy}. }

一個最強的 Agent，若：

看不到；
沒權限；
不相容；
無法協調；
無法驗證；
無法回滾；
無人承責；

它仍不能穩定成為企業核心行動者。

反過來，一個不是最強的 Agent，如果存在於：

清晰資料；
明確工具；
良好 shared state；
bounded authority；
verification；
rollback；
governance；

之中，可能產生更高的現實價值。

因此，未來真正重要的競爭問題之一將不是：

誰有最強 AI？

而是：

誰能建立最大的、仍然可觀測、可驗證、可撤銷、可承責的 AI 行動域？

也就是：

\boxed{ \Omega_{\mathrm{DA}}. }

成熟企業 AI 自主不是：

把人拿掉。

而是：

\boxed{ \text{Low-Value Human Intervention}\downarrow }

同時：

\boxed{ \text{High-Value Human Governance}\uparrow. }

讓 Agent 在真正適合它的地方高速自主，

而在人類不可替代的：

價值；
權限；
責任；
風險；
不可逆世界提交；

節點上，仍然保留足夠強的治理能力。

這就是本系列對「為什麼 AI 已經很強，卻還沒有全面取代人類工程與企業工作」的最終回答：

\boxed{ \text{Raw Intelligence Is Only the Beginning.} }

真正的世界需要：

\boxed{ \text{Capability} \rightarrow \text{Coverage} \rightarrow \text{Absorption} \rightarrow \text{Coupling} \rightarrow \text{Observation} \rightarrow \text{Governed Action}. }

參考文獻與研究錨點

內部前置研究

[INT-01] Neo.K. 《AI 組織吸收與耦合拓撲 00：軟體時代鑲嵌與 AI 組織拓撲》v0.2. EveMissLab, 2026.

[INT-02] Neo.K. 《AI 組織吸收與耦合拓撲 01：有效問題覆蓋論》v0.1. EveMissLab, 2026.

[INT-03] Neo.K. 《AI 組織吸收與耦合拓撲 02：企業 AI 吸收論》v0.1. EveMissLab, 2026.

[INT-04] Neo.K. 《AI 組織吸收與耦合拓撲 03：重構權限與相容性債務》v0.1. EveMissLab, 2026.

[INT-05] Neo.K. 《AI 組織吸收與耦合拓撲 04：多主體 AI 耦合拓撲》v0.1. EveMissLab, 2026.

[INT-06] Neo.K. 《AI 組織吸收與耦合拓撲 05：多模態觀測閉包論》v0.1. EveMissLab, 2026.

[INT-07] Neo.K. 《委任時間論：自主 Agent、人類介入密度與治理槓桿》v0.1. EveMissLab, 2026.

[INT-08] Neo.K. 《委任主權論：高 AI 自主與高人類主權能否共存》v0.1. EveMissLab, 2026.

[INT-09] Neo.K. 《資訊收集任務難度、風險與自主等級規格》v0.1.0. EveMissLab, 2026.

[INT-10] Neo.K. 《Interaction-Time Runtime & Agent Temporal Ledger》v0.1. EveMissLab, 2026.

外部研究與治理框架

[R1] Shlomov, S., Shoham, I., Oved, A., et al. Governance by Construction for Generalist Agents. ACM CAIS 2026 / IBM Research, 2026.

[R2] NIST. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1). 2024, updated 2026.

[R3] NIST. Concept Note: AI RMF Profile on Trustworthy AI in Critical Infrastructure. 2026.

[R4] OWASP. AI Agent Security Cheat Sheet. Current guidance accessed 2026.

[R5] OWASP GenAI Security Project. LLM06:2025 Excessive Agency.

[R6] OWASP. Agentic AI / Excessive Agency and High-Impact Action Controls. 2026 guidance.

[R7] Bousetouane, F. Human-on-the-Bridge: Scalable Evaluation for AI Agents. arXiv:2606.16871, 2026.

[R8] Wang, P., Li, Y., & Tian, Y. Reframing LLM Agent Security as an Agent-Human Interaction Problem. arXiv:2605.24309, 2026.

[R9] Dhanorkar, S., Passi, S., & Vorvoreanu, M. Human Oversight of Agentic Systems in Practice. arXiv:2606.05391, 2026.

[R10] Wang, Y., Zhu, C., Feng, T., Lu, L. X., & Jia, B. Agentic AI and Human-in-the-Loop Interventions: Field Experimental Evidence from Alibaba's Customer Service Operations. arXiv:2605.14830, 2026.

[R11] Dai, C., Yan, Z., Lei, C., Li, Q., & Zhang, L. Safe Remediation as Risk-Constrained Intervention Decision in Microservice Systems. arXiv:2607.20005, 2026.

AI Organizational Absorption & Coupling Topology — Paper 06 v0.1
Series Theoretical Closure
EveMissLab — Boundless Knowledge. One Promise Forward.

可部署自主性：Agent 權限、責任、治理與企業可接受行動域

AI 組織吸收與耦合拓撲 06

可部署自主性：Agent 權限、責任、治理與企業可接受行動域

摘要

0. 系列最終問題

1. Capability ≠ Authority

2. Authority ≠ Autonomy

3. 技術可行不等於允許自動化

4. Task Difficulty ≠ Action Risk

5. 高難度、低風險

6. 低難度、高風險

7. 所以 Allowed Autonomy 不由 Difficulty 單獨決定

8. Capability Envelope

9. Authority Envelope

10. Verification Envelope

11. Reversibility Envelope

12. Governance Envelope

13. Deployable Action Domain

14. Deployable Autonomy Frontier

15. Frontier 是 task-specific

16. Autonomy 不是單一全域百分比

17. Action Risk Vector

18. Risk Vector ≠ Single Score

19. Reversibility 是核心治理變量

20. 相同 Capability，不同 Reversibility → 不同 Autonomy

21. Human Gate Policy

22. Gate Types

23. Human-in-the-Loop 不應變成每一步都按確認

24. Approval Fatigue

25. 委任時間論的既有核心

26. Human Intervention Density

27. 目標不是 ρH→0\rho_H\rightarrow0ρH​→0

28. Governance Leverage

29. High-Value Human Nodes

30. Low-Value Human Nodes

31. D0–D6 Deployable Autonomy Levels

D0｜Observe / Advise

D1｜Propose

D2｜Sandbox Execute

D3｜Bounded Reversible Action

D4｜Conditional External Action

D5｜Delegated Workflow Autonomy

D6｜Governed Domain Autonomy

32. D6 仍需要 Revocation

33. Revocation 不能只是關模型

34. Authority Cannot Self-Escalate

35. Meta-Authority

36. Credential Possession ≠ Authority

37. Least Privilege

38. OWASP 的對應

39. High-Impact Action

40. Simple Action Can Be High-Impact

41. World-Commit Gate

42. Candidate ≠ Commit

43. World Commit

44. Commit Gate Inputs

45. Governance by Construction

46. Policy-as-Code

47. Policy ≠ Prompt

48. Tool Boundary Enforcement

49. Action Capability Token

50. Approval Must Bind to Action

51. Approval Replay

52. Human Approval ≠ Universal Override

53. Dual Approval

54. Agent Consensus ≠ Authority

55. Multi-Agent Majority Cannot Manufacture Permission

56. Observation Closure ≠ Action Permission

57. Verify ≠ Approve

58. Risk-Adaptive Escalation

59. Escalation Triggers

60. Escalation Is Not Failure

61. Good Agent Knows When Not to Act

62. NIST AI RMF 對應

63. Critical Infrastructure

64. Sector-Specific Autonomy

65. Reversibility-Weighted Autonomy

66. Autonomy Budget

67. Budget Can Be Dynamic

68. Trust ≠ Permission

27. 目標不是 $\rho_H\rightarrow0$