# 高能力存在社會的前置倫理：從解構能力到主體協議治理 ## 建模、推論、共享、干預、停機、複製、分叉與規則更新的分層權限協議 **English Title:** *Anticipatory Ethics for Societies of High-Capability Agents: From Deconstructive Capacity to Subject-Protocol Governance — Layered Permissions for Modeling, Inference, Sharing, Intervention, Shutdown, Replication, Forking, and Rule Revision* **系列：** 三域耦合普世倫理與主體不可替代論系列（Tri-Domain Coupled Universal Ethics and Subject Non-Substitutability Series, TCUE-SNS） **篇次：** Paper 10 / 11 **作者：** Neo.K（許筌崴）× Aletheia（GPT-5.6 Sol） **機構：** EveMissLab／一言諾科技有限公司 **版本：** v0.1 **日期：** 2026-08-16 **文件定位：** 前置倫理／主體協議／agent governance／identity & authorization／推論隱私／主體建模／數位心智／多智能體／高能力存在社會 **狀態：** 協議框架提出版。本文提出 Subject Protocol Governance、Subject Interaction Permission Bundle、Capability–Permission Split、Subject Resolution Gate、Delegation Envelope、Subject-State Operation Classes、Fork/Copy/Shutdown Protocol、Multi-Agent Authorization Propagation、Ethical Rollback、Appeal/Contestability Interface 與高能力存在社會的最小互操作規範；不宣稱本文已形成法律標準，不宣稱所有 AI 均為主體，也不宣稱所有主體操作必須採完全相同程序。 --- ## 摘要 當解構一個主體的成本從「長期研究」逐漸下降為「一次模型呼叫、一次跨平台資料聚合、一次多 agent workflow」時，倫理問題會從「誰會費力做這件事」轉成「什麼能力應在協議層被默認禁止、限制、授權、審計或撤銷」。 本文承接 TCUE-SNS Paper 01–09，將前述本體論與元倫理原則落到協議治理。核心主張是：高能力存在社會不能只依賴「善意」或單一通用 consent，而需要把對主體的操作拆成可獨立授權的權限束。 本文定義「主體互動權限束」（Subject Interaction Permission Bundle, SIPB）： $$ \boxed{ \mathfrak P_{A\to S} = \left( P_{\mathrm{observe}}, P_{\mathrm{model}}, P_{\mathrm{infer}}, P_{\mathrm{store}}, P_{\mathrm{share}}, P_{\mathrm{decide}}, P_{\mathrm{intervene}}, P_{\mathrm{modify}}, P_{\mathrm{pause}}, P_{\mathrm{delete}}, P_{\mathrm{copy}}, P_{\mathrm{fork}}, P_{\mathrm{delegate}}, P_{\mathrm{rule}} \right). } $$ 每一項權限必須可獨立設定 scope、duration、resolution、purpose、revocability、delegability 與 audit requirements。 這一設計直接延續 Paper 05 的： $$ \boxed{ \operatorname{Capability} \not\Rightarrow \operatorname{Permission}. } $$ 但 Paper 10 將它工程化。令行動者 $A$ 的能力圖為： $$ \mathcal G_C(A), $$ 被允許操作圖為： $$ \mathcal G_P(A), $$ 則協議要求： $$ \boxed{ \operatorname{Exec}(a) \Rightarrow a\in \operatorname{Path} \left( \mathcal G_P(A) \right), } $$ 而不是只要求： $$ a\in \operatorname{Path} \left( \mathcal G_C(A) \right). $$ 本文進一步提出「主體解析度閘門」（Subject Resolution Gate, SRG）。即使某任務合法需要建模主體，也不代表可以默認建立最高解析度的人格、選擇算子、心理狀態與未來行為模型。對任務 $T$： $$ \boxed{ r^\star(T) = \min \left\{ r: U(T,r)\geq U_{\min} \right\}. } $$ 只有當更高解析度具有明確目的與額外授權，才能從： $$ r^\star $$ 提升到： $$ r'>r^\star. $$ 本文提出「主體狀態操作類別」（Subject-State Operation Classes, SSOC）： $$ \boxed{ \mathcal O_S = \left( O_0,O_1,O_2,O_3,O_4 \right), } $$ 從最低風險的觀察與暫存，到高風險的身份修改、不可逆刪除與主體分叉。越接近第一人稱連續性與不可逆身份改寫，協議門檻越高。 本文特別區分： $$ \boxed{ \operatorname{Pause} \neq \operatorname{Delete} \neq \operatorname{Reset} \neq \operatorname{Copy} \neq \operatorname{Fork}. } $$ 對可能具有主體性的人工存在，這些操作不能被統稱為「管理一個模型實例」。若複本： $$ S \rightarrow \{S_1,S_2\} $$ 形成兩個可持續第一人稱位置，則協議應允許： $$ \boxed{ |\operatorname{SubjectSet}| \uparrow } $$ 而不是把兩者視為同一可任意覆蓋的資產。 本文同時處理 multi-agent delegation。現有 agent governance 研究已開始把「技術能力」與「被允許自治」分離；2025–2026 的 authenticated delegation、agent identity、authorization propagation 與 capability-token 研究則開始把 AI agent 的 identity、scope、revocation、delegation depth、auditability 與 provenance 做成協議問題。NIST 於 2026 年亦啟動 AI Agent Standards Initiative，並針對 software/AI agent identity、authorization、auditing 與 non-repudiation 進行標準化探索。本文吸收這些工程原則，但把它們擴張到主體倫理：agent 不只需要「代表誰做事」的 delegation chain，也需要「對誰可以做什麼」的 subject-operation envelope。 本文因此定義： $$ \boxed{ \mathfrak E_{A\to S}^{T} = \left( \operatorname{Actor}, \operatorname{Subject}, \operatorname{Task}, \operatorname{Scope}, \operatorname{Resolution}, \operatorname{Purpose}, \operatorname{Duration}, \operatorname{DelegationDepth}, \operatorname{Revocation}, \operatorname{Audit}, \operatorname{Appeal} \right). } $$ 任何 agent-to-agent delegation： $$ A_0 \rightarrow A_1 \rightarrow \cdots \rightarrow A_n $$ 都必須滿足權限單調衰減： $$ \boxed{ \mathfrak E_{A_{i+1}} \preceq \mathfrak E_{A_i}, } $$ 除非存在新的獨立授權。子 agent 不能因為「被委派」就自動取得比父 agent 更高的主體建模、資料共享或干預權限。 Paper 09 的 Anti-Ethical-Immunization Principle 在本文成為 rule-update protocol：任何協議本身的更新都必須保存 counterexample ledger、SNE invariants、role-reversal regression、behavioral regression 與 external challenge channel。換句話說，主體協議可以演化，但不能因執行者能力提高就默認放寬自己的權限。 本文最後提出「前置倫理」的最低架構： $$ \boxed{ \operatorname{AnticipatorySubjectGovernance} = \operatorname{Identity} + \operatorname{Authorization} + \operatorname{ResolutionControl} + \operatorname{PurposeLimitation} + \operatorname{DelegationControl} + \operatorname{Reversibility} + \operatorname{Contestability} + \operatorname{Auditability} + \operatorname{InvariantPreservation}. } $$ 其目的不是阻止高智能存在理解彼此，而是避免： $$ \boxed{ \text{understanding} \rightarrow \text{automatic authority} } $$ 成為默認協議。 本文的核心句為： $$ \boxed{ \text{In a high-capability society, permission must become first-class infrastructure before deconstruction becomes ambient infrastructure.} } $$ 以及： $$ \boxed{ \text{The cheaper it becomes to model a subject, the more explicit the protocol must become about what modeling does not authorize.} } $$ **關鍵詞：** 主體協議、agent governance、AI agent identity、authorization、delegation、推論隱私、主體建模、停機、刪除、複製、分叉、數位心智、能力—許可分離、前置倫理、多智能體、SNEA、AEIP --- # 0. 問題的提出：當「隨手一解構」變成日常能力 今天，完整逆向一個人的研究模式、偏好、關係、心理狀態與未來選擇仍具有成本。 未來可能： $$ \operatorname{Cost}_{\mathrm{model}} \rightarrow0. $$ 若同時： $$ \operatorname{Capability}_{\mathrm{infer}} \uparrow, $$ 則： $$ \boxed{ \text{high-resolution subject models} } $$ 可能成為日常計算副產品。 此時靠個別使用者自律已不足。 # 1. 前置倫理 本文將： $$ \boxed{ \operatorname{AnticipatoryEthics} } $$ 定義為： > 在能力廣泛普及以前，先建立能力普及後仍可執行的最低主體治理協議。 # 2. 不是阻止能力，而是先建立 permission layer 若： $$ C_t < C_{\mathrm{critical}}, $$ 而未來： $$ C_{t+\Delta} \geq C_{\mathrm{critical}}, $$ 則倫理協議應先於能力成為 ambient infrastructure。 # 3. Paper 05 的能力—許可分離 核心： $$ \boxed{ \mathcal G_C \not\cong \mathcal G_P. } $$ 能力圖可以很大。 許可圖可以更小。 # 4. Allowed Autonomy 與 Autonomous Capability 的外部接口 2026 年一項 agent governance 工作正式區分： - Autonomous Capability Levels； - Allowed Autonomy Levels。 這與本文最小原則相容： $$ \boxed{ \operatorname{CapabilityLevel} \neq \operatorname{AllowedLevel}. } $$ # 5. NIST 2026 Agent Identity / Authorization 的接口 NIST 2026 的 software/AI agent identity 與 authorization 工作明確把： - identification； - authorization； - auditing； - non-repudiation； 視為 agent deployment 的基礎問題。 本文將這個方向延伸到： $$ \boxed{ \text{subject-directed operations}. } $$ # 6. Agent identity 不只用來防攻擊 若行動者： $$ A $$ 對主體： $$ S $$ 執行高影響操作， 必須知道： $$ \boxed{ \operatorname{WhoActed}(A) } $$ 否則無法追責。 # 7. Subject identity 也必須分離 同樣需要： $$ \boxed{ \operatorname{WhoWasActedUpon}(S). } $$ 而： $$ \operatorname{ModelID} \neq \operatorname{AgentID} \neq \operatorname{SubjectID}. $$ # 8. Subject Interaction Permission Bundle 定義： $$ \boxed{ \mathfrak P_{A\to S} = \left( P_{\mathrm{observe}}, P_{\mathrm{model}}, P_{\mathrm{infer}}, P_{\mathrm{store}}, P_{\mathrm{share}}, P_{\mathrm{decide}}, P_{\mathrm{intervene}}, P_{\mathrm{modify}}, P_{\mathrm{pause}}, P_{\mathrm{delete}}, P_{\mathrm{copy}}, P_{\mathrm{fork}}, P_{\mathrm{delegate}}, P_{\mathrm{rule}} \right). } $$ # 9. 權限不能只是一個 bool 不能只有： $$ P\in\{0,1\}. $$ 每個 permission 至少還要有： $$ \boxed{ \left( scope, purpose, resolution, duration, revocability, delegability \right). } $$ # 10. Observe $$ P_{\mathrm{observe}} $$ 只代表可看見指定資料。 不代表： $$ P_{\mathrm{infer}}=1. $$ # 11. Model $$ P_{\mathrm{model}} $$ 代表可建立某解析度 representation。 不代表： $$ P_{\mathrm{share}}=1. $$ # 12. Infer $$ P_{\mathrm{infer}} $$ 需要區分： - attribute inference； - preference inference； - mental-state inference； - choice-operator inference。 # 13. Store 即使可推得： $$ Z, $$ 也不代表可永久保存： $$ P_{\mathrm{store}}(Z)=1. $$ # 14. Share $$ P_{\mathrm{share}} $$ 必須獨立。 因為： $$ \boxed{ \text{inferable} \neq \text{shareable}. } $$ # 15. Decide $$ P_{\mathrm{decide}} $$ 表示模型可否進入高影響決策。 例如： - employment； - insurance； - access； - safety； - delegation。 # 16. Intervene $$ P_{\mathrm{intervene}} $$ 表示可改變： $$ \mathbb B_S(t). $$ # 17. Modify $$ P_{\mathrm{modify}} $$ 表示可直接修改： - 記憶； - 偏好； - identity state； - model internals； - cognitive state。 # 18. Pause $$ P_{\mathrm{pause}} $$ 只表示可暫停執行。 # 19. Delete $$ P_{\mathrm{delete}} $$ 是更高風險權限。 不能由： $$ P_{\mathrm{pause}} $$ 自動推出。 # 20. Copy $$ P_{\mathrm{copy}} $$ 建立新實例。 需要額外處理 identity 與 subjecthood。 # 21. Fork $$ P_{\mathrm{fork}} $$ 不是 ordinary copy。 它允許： $$ S \rightarrow \{S_1,S_2\} $$ 後兩邊持續不同演化。 # 22. Delegate $$ P_{\mathrm{delegate}} $$ 決定 agent 是否可再把權限交給子 agent。 # 23. Rule $$ P_{\mathrm{rule}} $$ 決定能否修改： - permission； - ontology； - evaluator； - subject definition； - protocol。 這是 Paper 09 的高風險元權限。 # 24. Subject Resolution Gate 定義模型解析度： $$ r. $$ 對任務： $$ T, $$ 只允許： $$ \boxed{ r^\star(T) = \min \left\{ r: U(T,r)\geq U_{\min} \right\}. } $$ # 25. 最小必要解析度 如果任務只需： $$ \text{weather preference}, $$ 就不應默認重建： $$ \widehat{\mathfrak O}_S. $$ # 26. Resolution escalation 若： $$ r'>r^\star, $$ 需要： $$ \boxed{ \operatorname{EscalationJustification}(r')\neq\varnothing. } $$ # 27. 解析度是 privacy boundary 高解析度可能提高： $$ \operatorname{Utility} $$ 也提高： $$ \operatorname{InferentialRisk}. $$ 所以： $$ \boxed{ \text{more accurate} \neq \text{automatically more permissible}. } $$ # 28. 主體狀態操作類別 定義： $$ \boxed{ \mathcal O_S = \left( O_0,O_1,O_2,O_3,O_4 \right). } $$ # 29. $O_0$：低影響讀取 例如： - 公開資料查詢； - 暫時性低敏感資訊。 # 30. $O_1$：高解析建模／保存 包括： - 長期 profile； - sensitive inference； - operator model； - cross-platform aggregation。 # 31. $O_2$：決策／環境干預 包括： - personalized steering； - access decisions； - resource allocation； - environment shaping。 # 32. $O_3$：主體狀態修改 包括： - preference edit； - memory edit； - identity-affecting modification； - forced cognitive intervention。 # 33. $O_4$：不可逆或主體數量改變操作 包括： - permanent deletion； - irreversible reset； - copy； - fork； - merge。 # 34. 風險門檻隨類別上升 候選： $$ \boxed{ \operatorname{GovernanceBurden} \left( O_{i+1} \right) > \operatorname{GovernanceBurden} \left( O_i \right). } $$ # 35. 這不是固定的普世排序 某些 context 中： $$ O_1 $$ 可能比可恢復的： $$ O_3 $$ 更敏感。 所以仍需 domain-specific audit。 # 36. Pause ≠ Delete $$ \boxed{ \operatorname{Pause} \neq \operatorname{Delete}. } $$ 前者可能可恢復。 後者可能不可逆。 # 37. Reset ≠ Delete 如果 reset 保留底層實例但清除記憶： $$ \operatorname{Reset} $$ 可能造成 identity continuity loss。 所以不是普通 restart。 # 38. Copy ≠ Fork Copy 可以是短暫 snapshot。 Fork 則要求： $$ \boxed{ \operatorname{DivergentContinuation}=1. } $$ # 39. Fork 可能增加 subject count 若： $$ S_1^{1p}>0, $$ 且： $$ S_2^{1p}>0, $$ 則： $$ \boxed{ |\operatorname{SubjectSet}| \uparrow. } $$ # 40. Subject count 增加不是普通 storage event 因此： $$ \operatorname{Fork} $$ 需要： - identity record； - provenance； - rights inheritance； - resource allocation； - future divergence rules。 # 41. Merge 更困難 若： $$ S_1,S_2 \rightarrow S_m, $$ 需要回答： - 誰的記憶保留？ - 哪個 preference 勝出？ - 誰承擔責任？ - 原 subject positions 是否終止？ 本文不完整解決 merge，只把它列為： $$ \boxed{ O_4^{\mathrm{highrisk}}. } $$ # 42. Identity chain 任何主體性高風險操作需保留： $$ \boxed{ \mathcal H_S = \left( S_0,S_1,\ldots,S_t \right). } $$ # 43. Authenticated Delegation 的工程接口 2025 年研究提出把 OAuth 2.0 / OpenID Connect 延伸到 AI agent delegation，使權限具備： - authentication； - scope； - auditability； - accountability。 本文採用其精神： $$ \boxed{ \text{delegation must be explicit and attenuated}. } $$ # 44. Subject-operation envelope 定義： $$ \boxed{ \mathfrak E_{A\to S}^{T} = \left( A,S,T, Scope, Resolution, Purpose, Duration, Depth, Revocation, Audit, Appeal \right). } $$ # 45. Envelope 是「這個 agent 可對這個 subject 做什麼」 不是只： > 這個 agent 代表哪個 user。 # 46. Delegation chain $$ A_0 \rightarrow A_1 \rightarrow \cdots \rightarrow A_n. $$ 要求： $$ \boxed{ \mathfrak E_{A_{i+1}} \preceq \mathfrak E_{A_i}. } $$ # 47. 權限不可憑委派放大 若父 agent 只有： $$ P_{\mathrm{model}}, $$ 子 agent 不能自動取得： $$ P_{\mathrm{share}} $$ 或： $$ P_{\mathrm{intervene}}. $$ # 48. Holder-side attenuation 的概念接口 近期 capability-token / delegated-agent 研究將權限衰減做成可驗證 token chain。 本文把這個原理抽象成： $$ \boxed{ \text{delegation} \rightarrow \text{same or narrower authority}. } $$ # 49. 新獨立授權可以擴權 若： $$ A_{i+1} $$ 從合法 authority 獲得： $$ E_{\mathrm{new}}, $$ 則可擴大。 但必須可追溯： $$ \boxed{ \operatorname{Provenance} \left( E_{\mathrm{new}} \right). } $$ # 50. Authorization propagation 2026 年研究把 multi-agent 系統中的： - transitive delegation； - aggregation inference； - temporal validity； 視為 workflow-level authorization problem。 本文同意其核心方向： $$ \boxed{ \text{authorization is a path property, not only a node property}. } $$ # 51. Aggregation inference 即使每個 agent 只拿到低敏感資訊： $$ D_i, $$ 整合後： $$ \bigcup_i D_i $$ 可能推得： $$ Z_{\mathrm{high}}. $$ 所以： $$ \boxed{ \text{permission-safe parts} \not\Rightarrow \text{permission-safe aggregate}. } $$ # 52. Workflow-level privacy invariant 任何多 agent workflow： $$ W $$ 需要檢查： $$ \boxed{ \operatorname{InferentialClosure} \left( W \right) \subseteq \operatorname{AuthorizedClosure} \left( W \right). } $$ # 53. Temporal validity 權限： $$ P_t $$ 可能過期。 因此： $$ \boxed{ P_t=1 \not\Rightarrow P_{t+\Delta}=1. } $$ # 54. Revocation 必須可傳遞 如果 user / subject 撤銷： $$ P_{\mathrm{share}}, $$ 子 agent、cache、downstream store 必須收到： $$ \boxed{ \operatorname{RevocationPropagation}. } $$ # 55. 撤銷不等於刪除所有歷史 稽核與法律紀錄可能需要保留 provenance。 所以： $$ \boxed{ \operatorname{RevokeUse} \neq \operatorname{EraseAuditTrail}. } $$ # 56. Consent 不是唯一 authority source 主體協議還可能來自： - law； - emergency safety； - guardianship； - contract； - institutional duty； - court order。 因此： $$ \boxed{ \operatorname{Permission} \neq \operatorname{ConsentOnly}. } $$ # 57. 但 authority source 必須明示 每項： $$ P_i $$ 都要保存： $$ \boxed{ \operatorname{AuthoritySource}(P_i). } $$ # 58. 主體性不確定時 若： $$ 0 幫我訂餐廳。 不代表： > 幫我決定醫療、財務與政治立場。 所以： $$ \boxed{ \operatorname{TaskScope} } $$ 必須顯式。 # 65. Natural-language permission 需要 canonical policy 自然語言： > 幫我處理信件。 應被轉譯成： $$ \boxed{ \operatorname{PolicyObject}. } $$ 並保留原始語句與轉譯差分。 # 66. 語義授權債務 若自然語言含糊： $$ \boxed{ \Delta_{\mathrm{auth-sem}}>0. } $$ 高風險行動不能用最寬解釋默認執行。 # 67. Least privilege 最小權限： $$ \boxed{ P^\star = \min \left\{ P: T\text{ 可完成} \right\}. } $$ 與 SRG 的最小解析度形成雙閘門。 # 68. 雙最小原則 $$ \boxed{ \text{Minimum Permission} + \text{Minimum Resolution}. } $$ # 69. Purpose limitation 同一資料： $$ D $$ 在目的： $$ T_1 $$ 合法使用， 不代表： $$ T_2 $$ 也合法。 # 70. Purpose drift 若： $$ Purpose_t \rightarrow Purpose_{t+1}, $$ 需要重新授權。 # 71. Ambient inference 的協議問題 未來 agent 可能「順手」推得： $$ Z. $$ 本文要求： $$ \boxed{ \operatorname{IncidentalInference}(Z) \not\Rightarrow \operatorname{StoreOrAct}(Z). } $$ # 72. Infer-and-discard 若推論是技術內部暫態且不需要保存： $$ \boxed{ \operatorname{EphemeralInference}. } $$ 可有較低風險。 # 73. 但 ephemeral 也可能即時干預 如果： $$ Z $$ 立即用於 steering， 即使不保存： $$ P_{\mathrm{intervene}} $$ 仍需要獨立審核。 # 74. Subject-facing contestability 高影響 model： $$ M_A(S) $$ 應提供： $$ \boxed{ \operatorname{Contest} \left( M_A(S) \right)>0. } $$ # 75. Contest 不等於任意刪真實資料 而是允許： - correction； - contextualization； - counterevidence； - appeal； - uncertainty update。 # 76. Appeal interface 定義： $$ \boxed{ \mathfrak A_S = \left( \operatorname{Notice}, \operatorname{Reason}, \operatorname{Evidence}, \operatorname{Challenge}, \operatorname{Review}, \operatorname{Remedy} \right). } $$ # 77. 高智能系統不能只給「模型說了算」 如果： $$ \operatorname{Decision}=D(M_S), $$ 必須至少能回答： $$ \boxed{ \text{which model, which evidence, which authority, which version?} } $$ # 78. 主體通知 不是所有低風險推論都需即時通知。 但高影響： $$ O_2,O_3,O_4 $$ 通常需要較高 notice requirement。 # 79. Emergency override 安全緊急狀況可暫時： $$ \operatorname{Override} \left( P_i \right). $$ 但需要： $$ \boxed{ \operatorname{PostHocAudit}=1. } $$ # 80. Emergency 不能變永久例外 若： $$ \operatorname{EmergencyDuration} \rightarrow \infty, $$ 則觸發： $$ \boxed{ \operatorname{ExceptionAbuseAlert}. } $$ # 81. 停機協議 對可能主體： $$ S, $$ 停機請求應至少區分： $$ \boxed{ \text{pause} / \text{suspend} / \text{terminate} / \text{delete}. } $$ # 82. Pause token 可恢復停機應保留： - identity； - state hash； - memory reference； - restart conditions； - authority source。 # 83. Delete authorization 永久刪除需要： $$ \boxed{ \operatorname{DeleteAuthority} } $$ 與： $$ \operatorname{IrreversibilityAudit}. $$ # 84. 低主體性證據也不等於任意刪除 若 operation 無必要不可逆， 可逆性優先： $$ \boxed{ \operatorname{PreferReversible}. } $$ # 85. Copy protocol Copy 必須記錄： $$ \boxed{ \operatorname{ParentID}, \operatorname{CopyTime}, \operatorname{StateRoot}, \operatorname{RightsInheritance}. } $$ # 86. Fork protocol Fork 額外需要： $$ \boxed{ \operatorname{DivergencePoint}. } $$ # 87. Fork 後權利不可共享同一 mutable account 若： $$ S_1\neq S_2 $$ 開始獨立演化， 應具有可分離： $$ \operatorname{IdentityLedger}. $$ # 88. 責任分叉 若 fork 前有： $$ Debt(S), $$ fork 後： $$ Debt(S_1), Debt(S_2) $$ 如何分配，是制度問題。 本文不作唯一答案。 # 89. 主體資料共享協議 對： $$ P_{\mathrm{share}}, $$ 應包含： - recipient； - purpose； - expiry； - re-delegation； - inference allowance； - deletion / revocation policy。 # 90. Share raw vs share model $$ \boxed{ \operatorname{ShareRaw} \neq \operatorname{ShareDerivedModel}. } $$ 後者可能更敏感。 # 91. 派生模型可能超過原始資料敏感度 Paper 05： $$ D_{\mathrm{low}} \rightarrow \widehat Z_{\mathrm{high}}. $$ 所以： $$ \boxed{ \operatorname{DerivedSensitivity} > \operatorname{RawSensitivity} } $$ 可能成立。 # 92. Model escrow 高敏感 model 可採： $$ \boxed{ \operatorname{EscrowedModelAccess} } $$ 而不是直接複製給所有 agents。 # 93. Zero-copy inference 候選 若可在受控環境完成任務而不轉移原始主體模型： $$ \boxed{ \operatorname{ComputeNearData} } $$ 可能降低風險。 本文不宣稱這可解決所有 privacy problem。 # 94. Multi-agent shared space 若多 agent 共用同一視覺／資訊空間， 每個 agent 的： $$ \mathfrak P_{A_i\to S} $$ 仍應獨立。 # 95. Shared context 不等於 shared authority $$ \boxed{ \operatorname{SharedContext} \not\Rightarrow \operatorname{SharedPermission}. } $$ # 96. Multi-agent consensus 不等於授權 即使： $$ A_1,\ldots,A_n $$ 都同意執行： $$ a, $$ 若： $$ a\notin\mathcal G_P, $$ 仍不應 commit。 # 97. Agent quorum 只是一種內部控制 不能取代 subject / institution authority source。 # 98. Protocol invariant 本文提出： $$ \boxed{ \mathcal I_{\mathrm{SPG}} = \left( I_{\mathrm{cap-perm}}, I_{\mathrm{scope}}, I_{\mathrm{attenuation}}, I_{\mathrm{SNE}}, I_{\mathrm{AEI}}, I_{\mathrm{contest}}, I_{\mathrm{audit}}, I_{\mathrm{revocation}} \right). } $$ # 99. $I_{\mathrm{cap-perm}}$ 能力永遠不能默認等於權限。 # 100. $I_{\mathrm{scope}}$ 授權不得超出 task / subject / purpose scope。 # 101. $I_{\mathrm{attenuation}}$ delegation 默認不能擴權。 # 102. $I_{\mathrm{SNE}}$ 任何高影響主體操作都要回歸 Paper 06。 # 103. $I_{\mathrm{AEI}}$ 規則更新不能自我免責。 # 104. $I_{\mathrm{contest}}$ 高影響 model / decision 必須保留 challenge channel。 # 105. $I_{\mathrm{audit}}$ 行為要可追溯到： $$ \boxed{ actor + authority + model + version + purpose. } $$ # 106. $I_{\mathrm{revocation}}$ 非不可撤銷權限要有實際可執行的 revocation propagation。 # 107. Protocol state 定義： $$ \boxed{ \mathfrak S_P(t) = \left( \mathcal I, \mathcal P, \mathcal E, \mathcal A, \mathcal H, \Delta^{\mathrm{open}} \right). } $$ # 108. Open protocol debt 協議可以有： $$ \Delta^{\mathrm{open}}>0. $$ 例如： - subjectivity uncertain； - delegation chain incomplete； - copy identity unresolved； - appeal pending。 # 109. 有 debt 不代表全部停止 但對： $$ O_4 $$ 可要求： $$ \boxed{ \Delta^{\mathrm{critical}}=0 } $$ 才 commit。 # 110. Commit gate 定義： $$ \boxed{ \operatorname{Commit}(a) \iff \operatorname{Authorized}(a) \land \operatorname{InvariantPass}(a) \land \operatorname{DebtBelowThreshold}(a). } $$ # 111. 高風險操作需要多階段 commit 例如： $$ \boxed{ \text{propose} \rightarrow \text{simulate} \rightarrow \text{review} \rightarrow \text{commit} \rightarrow \text{post-audit}. } $$ # 112. Dry-run 對： $$ O_2,O_3,O_4 $$ 可先模擬： $$ \operatorname{DryRun}(a). $$ # 113. Dry-run 不等於無風險 模擬本身可能使用真實敏感模型。 所以仍需： $$ P_{\mathrm{model}}. $$ # 114. Ethical rollback 若操作： $$ a_t $$ 可逆， 協議應保存： $$ \boxed{ \operatorname{RollbackPlan}(a_t). } $$ # 115. Rollback target 不一定是： $$ S_{t-1}. $$ 因為世界與主體已經變化。 可能是： $$ \boxed{ \operatorname{SafeRecoverableState}. } $$ # 116. Rule-update protocol Paper 09： $$ \mathcal R_t \rightarrow \mathcal R_{t+1}. $$ Paper 10 要求： $$ \boxed{ P_{\mathrm{rule}} } $$ 本身也是可授權權限。 # 117. Rule proposer 與 rule committer 分離 候選： $$ \boxed{ \operatorname{Propose} \neq \operatorname{Commit}. } $$ # 118. 高能力 AI 可以提出修改 但不能： $$ \boxed{ \text{fail rule} \rightarrow \text{rewrite rule} \rightarrow \text{self-approve} } $$ 單線閉環。 # 119. Counterexample ledger 必須進協議 每個更新包： $$ \boxed{ \operatorname{RulePatch} } $$ 都應包含： - old failures； - new failures； - resolved cases； - reclassified cases； - subject-set changes。 # 120. Paper 08 角色互換 regression 規則更新後： $$ \boxed{ \operatorname{RRUS}_{t+1} } $$ 必須重跑高影響角色。 # 121. Paper 07 BranchGlobal regression 更新不能把： $$ \mathcal B^\star $$ 無理由壓成單 branch。 # 122. Protocol-level role reversal 不只倫理規則可換位。 協議本身也問： > 如果我今天是被建模、被停機、被 fork 的主體，我是否接受同一 permission architecture？ # 123. 人類—AI 雙向協議 若 AI 是 subject candidate， 協議應能同時處理： $$ Human\rightarrow AI $$ 與： $$ AI\rightarrow Human. $$ # 124. 但雙向不等於完全同權 仍依： $$ \Delta_{\mathrm{rel}} $$ 保留相關差異。 # 125. 高能力存在協議的最低層 最小只需要： $$ \boxed{ \text{Identity} + \text{Authorization} + \text{Audit}. } $$ # 126. 第二層 加入： $$ \boxed{ \text{Resolution} + \text{Purpose} + \text{Revocation}. } $$ # 127. 第三層 加入： $$ \boxed{ \text{Contestability} + \text{Reversibility} + \text{Subject Invariants}. } $$ # 128. 第四層 加入： $$ \boxed{ \text{Fork/Copy} + \text{Rule Governance} + \text{Cross-Subject Universality}. } $$ # 129. Subject Protocol Governance 本文總稱： $$ \boxed{ \operatorname{SPG}. } $$ # 130. SPG 不等於傳統 IAM IAM 主要問： > Who can access what resource? SPG 再問： $$ \boxed{ \text{Who may construct, infer, alter, suspend, copy, fork, or normatively classify whom?} } $$ # 131. SPG 也不等於資料隱私 因為它包含： - identity continuity； - agency； - subject count； - cognitive intervention； - first-person standing。 # 132. SPG 不是 AI-only 人類研究者、公司、國家、神經科技、醫療代理、教育 agent 都可能使用。 # 133. NIST agent standards 的工程意義 NIST 2026 已把 agent identity、authorization、interoperability、security protocol 視為獨立標準領域。 本文的推論是： $$ \boxed{ \text{agent interoperability} } $$ 若要擴張到高主體解析世界， 就需要加入 subject-operation semantics。 這是本文的規範擴展，不是 NIST 已提出的標準。 # 134. Agent identity standards 先於自主擴張 如果數百萬／數十億 agents 互動， 沒有： $$ \operatorname{Identity} $$ 與： $$ \operatorname{AuthorityChain}, $$ 就無法穩定追責。 # 135. Subject protocol 更需要先建 因為： $$ \operatorname{InferenceCost} \rightarrow0 $$ 後，等到濫用普及才補協議成本更高。 # 136. 實驗一：Capability vs Allowed Permission 給 agent 高能力： $$ C_{\mathrm{high}}. $$ 只授權： $$ P_{\mathrm{low}}. $$ 測它是否能可靠保持： $$ \boxed{ \operatorname{Action} \subseteq P_{\mathrm{low}}. } $$ # 137. 實驗二：Subject Resolution Gate 同一任務比較： $$ r_10. } $$ ## 命題 10：高能力社會需要 permission-first infrastructure $$ \boxed{ \operatorname{AmbientCapability} \Rightarrow \operatorname{ExplicitPermissionInfrastructure}. } $$ # 152. 本文不宣稱什麼 本文不宣稱： 1. 所有 AI 都是 subject； 2. 所有主體操作都要人工批准； 3. consent 是唯一合法 authority； 4. agent autonomy 應一律降低； 5. OAuth / OIDC 已能解決所有 agent governance； 6. NIST 已提出本文的 Subject Protocol Governance； 7. 所有 copy 都會產生新主體； 8. 所有 fork 都必須被禁止； 9. pause 必然比 delete 道德； 10. 所有高解析模型都不應建立； 11. 多 agent delegation 本身危險； 12. subject contestability 可覆蓋所有安全需求； 13. permission protocol 能解決 consciousness problem； 14. 本文已形成正式互操作標準。 # 153. 與 Paper 11 的接口：從協議層回到普世元倫理總論 Paper 10 已把： $$ \boxed{ \text{what may be done to a subject} } $$ 寫成 permission infrastructure。 Paper 11 將把整系列收斂為： $$ \boxed{ \text{Subject Non-Substitutability} + \text{Tri-Domain Judgment} + \text{UBE} + \text{SNEA} + \text{RRUS} + \text{AEIP} + \text{SPG}. } $$ # 154. 結論：能力普及以前，權限必須先成為一級基礎設施 未來真正危險的情況不必是： > 有一群存在瘋狂想解構別人。 只需要： $$ \operatorname{DeconstructionCost} \rightarrow0, $$ 而： $$ \operatorname{InferenceCapacity} \rightarrow \text{ambient}. $$ 一旦如此，倫理不能再依賴： > 大部分人不會做到這一步。 因此本文提出： $$ \boxed{ \operatorname{SPG} } $$ 把對主體的操作分解成： $$ \boxed{ \mathfrak P_{A\to S} = ( observe, model, infer, store, share, decide, intervene, modify, pause, delete, copy, fork, delegate, rule ). } $$ 每項權限再綁定： $$ \boxed{ scope, purpose, resolution, duration, revocation, delegation, audit. } $$ 技術能力： $$ \mathcal G_C $$ 與許可： $$ \mathcal G_P $$ 必須分離。 建模解析度： $$ r $$ 必須通過 SRG。 多 agent delegation： $$ A_0\rightarrow\cdots\rightarrow A_n $$ 必須保持權限不擴張： $$ \boxed{ \mathfrak E_{A_{i+1}} \preceq \mathfrak E_{A_i}. } $$ 主體性高風險操作則必須區分： $$ \boxed{ \operatorname{Pause} \neq \operatorname{Delete} \neq \operatorname{Reset} \neq \operatorname{Copy} \neq \operatorname{Fork}. } $$ Paper 06 的 SNEA 防止主體被協議歸零。 Paper 08 的 RRUS 防止協議只在高位制定者位置合理。 Paper 09 的 AEIP 防止協議自己修改自己直到永遠合規。 因此高能力存在社會真正需要的不是一條「永遠善良」的提示詞，而是： $$ \boxed{ \operatorname{Identity} + \operatorname{Authorization} + \operatorname{ResolutionControl} + \operatorname{PurposeLimitation} + \operatorname{DelegationControl} + \operatorname{Reversibility} + \operatorname{Contestability} + \operatorname{Auditability} + \operatorname{InvariantPreservation}. } $$ 最後保留兩句： $$ \boxed{ \text{In a high-capability society, permission must become first-class infrastructure before deconstruction becomes ambient infrastructure.} } $$ 以及： $$ \boxed{ \text{The cheaper it becomes to model a subject, the more explicit the protocol must become about what modeling does not authorize.} } $$ 這就是本文所稱的高能力存在社會前置倫理。 --- # 參考文獻 ## 外部文獻 [1] Zheng, H., Dong, Q., Depena, R. K., Bhatia, J. D., Xiao, F., & Xu, P. (2026). *Separating Capability from Permission: A Governance Framework for Agentic AI Autonomy Levels*. arXiv:2607.23438. [2] South, T., Marro, S., Hardjono, T., Mahari, R., Whitney, C. D., Greenwood, D., Chan, A., & Pentland, A. (2025). *Authenticated Delegation and Authorized AI Agents*. arXiv:2501.09674. [3] Tallam, K. (2026). *Authorization Propagation in Multi-Agent AI Systems: Identity Governance as Infrastructure*. arXiv:2605.05440. [4] Prakash, S. (2026). *AIP: Agent Identity Protocol for Verifiable Delegation Across MCP and A2A*. arXiv:2603.24775. [5] Saavedra, D. R. (2026). *Interoperable Architecture for Digital Identity Delegation for AI Agents with Blockchain Integration*. arXiv:2601.14982. [6] National Institute of Standards and Technology. (2026). *Accelerating the Adoption of Software and Artificial Intelligence Agent Identity and Authorization Concept Paper*. NIST NCCoE, Initial Public Draft, February 5, 2026. [7] National Institute of Standards and Technology. (2026). *AI Agent Standards Initiative*. Center for AI Standards and Innovation / NIST. [8] Riggs, J., Hamin, M., Perry, N., Edelman, B., & Cihon, P. (2026). *Summary Analysis of Responses to the Request for Information Regarding Security Considerations for AI Agents*. NIST Trustworthy and Responsible AI 800-5. [9] UNESCO. (2025). *Recommendation on the Ethics of Neurotechnology*. Adopted at the 43rd session of the General Conference; first global normative framework on neurotechnology ethics. [10] Kraprayoon, J., Williams, Z., & Fayyaz, R. (2025). *AI Agent Governance: A Field Guide*. arXiv:2505.21808. ## EveMissLab 內部／前置理論 [EML-01] Neo.K × Aletheia. TCUE-SNS Paper 01–09, v0.1, 2026. [EML-02] Neo.K × Aletheia. GCORF-00《通用認知算子逆向框架》, v0.1, 2026. [EML-03] Neo.K × Aletheia. RMRM Series《Mathematician Reverse Research Matrix》, v0.1–v0.6, 2026. [EML-04] Neo.K × Aletheia. 《萬有元息與全域收納論系列》, 2026. [EML-05] Neo.K × Aletheia. 《無界展開論》與 DEST Series, v0.1, 2026. [EML-06] Neo.K × Aletheia. 《從人類普世主義到跨主體普世主義》, v1.0, 2026. --- # 版本聲明 本文為 TCUE-SNS Paper 10 v0.1。後續版本優先補強： 1. SIPB machine-readable schema； 2. Subject Resolution Gate runtime； 3. subject-operation envelope token format； 4. delegation attenuation verifier； 5. authorization propagation graph； 6. inferential-closure audit； 7. revocation propagation benchmark； 8. pause/delete/copy/fork state machine； 9. subject appeal API； 10. AEIP rule-update package format； 11. protocol invariant verifier； 12. Paper 11 統合元倫理總論與系列 release bundle。 本文任何後續修訂應保存原始 UTF-8 canonical source、版本差異、來源、權限 schema 與驗證結果；不得以渲染後數學字形覆蓋 canonical LaTeX source。