# AI 組織吸收與耦合拓撲 06 # 可部署自主性：Agent 權限、責任、治理與企業可接受行動域 **English Title:** **Deployable Autonomy: Agent Authority, Accountability, Governance, and the Enterprise-Acceptable Action Domain** **系列：** AI Organizational Absorption & Coupling Topology **系列編號：** 06 / 06 **版本：** v0.1 **日期：** 2026-09-18 **作者：** Neo.K **協作：** Aletheia（GPT-5.6 Sol） **機構：** EveMissLab / 一言諾科技有限公司 **文件性質：** Agent Governance／委任理論／企業 AI 自主性／系列閉包篇 **前置母文：** - Paper 00《軟體時代鑲嵌與 AI 組織拓撲》 - Paper 01《有效問題覆蓋論》 - Paper 02《企業 AI 吸收論》 - Paper 03《重構權限與相容性債務》 - Paper 04《多主體 AI 耦合拓撲》 - Paper 05《多模態觀測閉包論》 **主要前置研究：** - 《委任時間論：自主 Agent、人類介入密度與治理槓桿》 - 《委任主權論：高 AI 自主與高人類主權能否共存》 - 《資訊收集任務難度、風險與自主等級規格》 - Interaction-Time Runtime & Agent Temporal Ledger - AI 原生分散式組織系列 - Capability Envelope / Allowed Autonomy / Human Gate Policy 系列 --- ## 摘要 當 AI Agent 從「回答問題」進化為可規劃、持續執行、使用工具、修改外部世界、呼叫 API、跨系統協作與長時間運作的行動系統後，企業面對的核心問題不再只是： > AI 能不能做？ 而是： > **即使 AI 能做，企業是否應允許它自主做到這一步？** 本文延續既有治理原則： $$ \boxed{ \text{Can Automate} \neq \text{May Automate}. } $$ 並將本系列前五篇整合為 **Deployable Autonomy Theory，可部署自主性理論**。 Paper 01 已區分： $$ \text{Raw Capability} \neq \text{Effective Problem Coverage}. $$ Paper 02 已建立： $$ \text{AI Absorbability}. $$ Paper 03 已指出： $$ \Omega_{\mathrm{optimal}} \neq \Omega_{\mathrm{authorized}} \neq \Omega_{\mathrm{deployable}}. $$ Paper 04 已建立： $$ \text{SharedWorkspace} \neq \text{SharedState} \neq \text{SharedCognition} \neq \text{SharedClosureAuthority}. $$ Paper 05 已進一步要求： $$ \mathcal M_{\mathrm{required}}(C) \subseteq \mathcal M_{\mathrm{observed}}(A) $$ 才具有候選 closure certification 資格。 本文最後加入： $$ \boxed{ \text{Capability} \neq \text{Authority} \neq \text{Deployable Autonomy}. } $$ 令 Agent $A$ 的原始行動域為： $$ \Omega_{\mathrm{cap}}^A. $$ 令被正式授權的行動域為： $$ \Omega_{\mathrm{auth}}^A. $$ 令在指定組織、風險、觀測、驗證、可逆性與治理條件下，可實際自主執行的行動域為： $$ \boxed{ \Omega_{\mathrm{DA}}^A = \Omega_{\mathrm{cap}} \cap \Omega_{\mathrm{auth}} \cap \Omega_{\mathrm{obs}} \cap \Omega_{\mathrm{ver}} \cap \Omega_{\mathrm{rev}} \cap \Omega_{\mathrm{risk}} \cap \Omega_{\mathrm{gov}}. } $$ 因此： $$ \boxed{ \Omega_{\mathrm{DA}} \subseteq \Omega_{\mathrm{auth}} \subseteq \Omega_{\mathrm{cap}}. } $$ 本文將： $$ \boxed{ \mathcal F_{\mathrm{DA}} = \partial\Omega_{\mathrm{DA}} } $$ 稱為 **Deployable Autonomy Frontier，可部署自主性前沿**。 它表示： > 在當前能力、環境、權限、驗證、治理與責任條件下，企業願意讓 Agent 自主行動到哪裡。 本文特別區分： $$ \boxed{ \text{TaskDifficulty} \neq \text{ActionRisk}. } $$ 一項閱讀數百篇論文並整理脈絡的工作，可能推理極難但外部風險低；一個「把帳號權限從 read 改為 admin」的 API 呼叫可能技術極簡單，但風險極高。因此，Allowed Autonomy 不能直接由模型能力決定，而應由： $$ \boxed{ \text{AllowedAutonomy} = F( \text{Capability}, \text{Risk}, \text{Reversibility}, \text{Verification}, \text{Authority}, \text{GovernanceReadiness} ). } $$ 本文採用新的 **D0–D6 Deployable Autonomy Levels**，避免與 Paper 02 的企業吸收 A0–A5 混淆： $$ \boxed{ \begin{aligned} D_0 &: \text{Observe / Advise},\\ D_1 &: \text{Propose},\\ D_2 &: \text{Sandbox Execute},\\ D_3 &: \text{Bounded Reversible Action},\\ D_4 &: \text{Conditional External Action},\\ D_5 &: \text{Delegated Workflow Autonomy},\\ D_6 &: \text{Governed Domain Autonomy}. \end{aligned} } $$ 即使在最高的 $D_6$，本文仍不等同： $$ D_6 = \text{unbounded autonomy}. $$ 而是： $$ \boxed{ D_6 = \text{high autonomy inside an explicit governance envelope}. } $$ 本文延續《委任時間論》的核心： $$ \boxed{ \text{Autonomy} \neq \text{Absence of Humans}. } $$ 成熟自主更接近： $$ \boxed{ \text{Bounded Authority} + \text{Observable State} + \text{Risk-Adaptive Escalation} + \text{Recoverability} + \text{Revocation} + \text{Human Governance at Irreplaceable Nodes}. } $$ 外部研究與工程實務亦已向此方向收斂。IBM Research 2026 的 **Governance by Construction for Generalist Agents** 將 policy enforcement 置於 Agent runtime 的規劃前、system prompt、tool boundary、Human-in-the-Loop approval 與輸出等多個 checkpoint；OWASP 的 Agent Security guidance 將 excessive autonomy、high-impact action abuse、least privilege、explicit authorization 與 high-risk human approval 列為核心治理議題；NIST AI RMF 與 2026 Critical Infrastructure Profile concept note 則持續強調 lifecycle risk management、trustworthiness、testing、evaluation、verification、validation 與高風險環境中的可操作要求。 本文的最終核心不是「多加人工批准」，而是： $$ \boxed{ \text{Human Oversight Density} \downarrow \quad\text{while}\quad \text{Governance Value per Intervention} \uparrow. } $$ 也就是：讓低價值、可逆、可驗證的行動更自主；把有限的人類治理時間保留給權限變更、不可逆承諾、高 blast-radius 操作、價值衝突與責任判斷。 --- # 0. 系列最終問題 前五篇已經回答： 1. AI 能有效解多少問題？ 2. 組織能吸收多少 AI 能力？ 3. AI 可以改多大範圍？ 4. 多人類、多 Agent 如何協作？ 5. Agent 要看見什麼才能合法宣稱完成？ 最後還剩： > **Agent 即使能做、看得到、做對了，是否應該被允許自主把結果寫入真實世界？** 這就是： $$ \boxed{ \text{Deployable Autonomy}. } $$ --- # 1. Capability ≠ Authority Agent 能力： $$ C_A. $$ Agent 權限： $$ \text{Auth}_A. $$ 兩者沒有必然包含關係。 因此： $$ \boxed{ C_A\uparrow \not\Rightarrow \text{Auth}_A\uparrow. } $$ --- # 2. Authority ≠ Autonomy Agent 有： ```text write access ``` 不表示： > 可以在所有情況自主使用。 所以： $$ \boxed{ \text{CredentialPossession} \neq \text{Authorization} \neq \text{Autonomy}. } $$ --- # 3. 技術可行不等於允許自動化 既有自主規格已提出： $$ \boxed{ \text{Can Automate} \neq \text{May Automate}. } $$ 這是 Paper 06 的基本公理。 --- # 4. Task Difficulty ≠ Action Risk 令任務難度： $$ D_T. $$ 令行動風險： $$ R_A. $$ 則： $$ \boxed{ D_T \not\Rightarrow R_A. } $$ --- # 5. 高難度、低風險 例如： > 閱讀 300 篇論文並建立研究地圖，但不得修改外部資料。 可以： $$ D_T\gg0, $$ 但： $$ R_A\approx \text{low}. $$ --- # 6. 低難度、高風險 例如： > 刪除 production database。 可能技術上： $$ D_T\approx \text{low}, $$ 但： $$ R_A\gg0. $$ --- # 7. 所以 Allowed Autonomy 不由 Difficulty 單獨決定 錯誤： $$ \boxed{ \text{Autonomy} = F(\text{ModelIntelligence}). } $$ 更合理： $$ \boxed{ \text{Autonomy} = F( \text{Capability}, \text{Risk}, \text{Authority}, \text{Reversibility}, \text{Verification}, \text{Governance} ). } $$ --- # 8. Capability Envelope 定義： $$ \boxed{ \mathcal C_A } $$ 為 Agent 已證實可穩定完成的能力包絡。 --- # 9. Authority Envelope 定義： $$ \boxed{ \mathcal A_A } $$ 為 Agent 被合法授予的行動包絡。 --- # 10. Verification Envelope 定義： $$ \boxed{ \mathcal V_A } $$ 為 Agent 行動後可被足夠驗證的範圍。 --- # 11. Reversibility Envelope 定義： $$ \boxed{ \mathcal R_A } $$ 為行動結果仍可安全回復的範圍。 --- # 12. Governance Envelope 定義： $$ \boxed{ \mathcal G_A } $$ 為現有 policy / audit / approval / accountability 能合法覆蓋的範圍。 --- # 13. Deployable Action Domain 本文定義： $$ \boxed{ \Omega_{\mathrm{DA}}^A = \mathcal C_A \cap \mathcal A_A \cap \mathcal O_A \cap \mathcal V_A \cap \mathcal R_A \cap \mathcal G_A \cap \mathcal K_A. } $$ 其中 $\mathcal K_A$ 表示風險可接受域。 --- # 14. Deployable Autonomy Frontier $$ \boxed{ \mathcal F_{\mathrm{DA}} = \partial\Omega_{\mathrm{DA}}. } $$ 不是： > AI 理論上能做什麼。 而是： > AI 現在被允許自主做到什麼。 --- # 15. Frontier 是 task-specific 對： - code； - finance； - customer support； - security； - research； 具有不同： $$ \mathcal F_{\mathrm{DA}}^{(q)}. $$ --- # 16. Autonomy 不是單一全域百分比 不能說： > 這個 Agent 80% autonomous。 必須問： - 哪些 action； - 哪個 environment； - 哪種風險； - 哪個 authority； - 哪個 timeframe。 --- # 17. Action Risk Vector 本文沿用並擴充： $$ \boxed{ \mathbf R(a) = ( I, B, S, E, F, L, U ). } $$ 可分別代表： - $I$：Irreversibility； - $B$：Blast Radius； - $S$：Data / Security Sensitivity； - $E$：External Visibility； - $F$：Financial / Legal Consequence； - $L$：Latency to Detect / Recover； - $U$：Uncertainty / Unknown Side Effects。 --- # 18. Risk Vector ≠ Single Score 本文不要求： $$ R=73/100. $$ 因為： > 一個高 financial-risk 但低 privacy-risk 行動 與： > 一個低 financial-risk 但高 identity-risk 行動 不應被壓成同一 scalar 後粗暴比較。 --- # 19. Reversibility 是核心治理變量 行動可分類為： $$ \boxed{ Rev(a) \in \{ R_0,R_1,R_2,R_3 \}. } $$ 例如： - $R_0$：read-only / no external effect； - $R_1$：fully reversible； - $R_2$：reversible with cost / delay； - $R_3$：effectively irreversible。 --- # 20. 相同 Capability，不同 Reversibility → 不同 Autonomy 讀資料： $$ D_3 $$ 可能完全自動。 刪資料： $$ D_1 $$ 可能仍需 human approval。 --- # 21. Human Gate Policy 本文正式引入： $$ \boxed{ HGP: ( \text{Risk}, \text{Reversibility}, \text{Authority}, \text{Verification}, \text{Context} ) \rightarrow \text{Gate}. } $$ --- # 22. Gate Types 最低限度可包括： ```text ALLOW ALLOW_AND_AUDIT PREVIEW APPROVE_ONCE DUAL_APPROVAL ESCALATE DENY ``` --- # 23. Human-in-the-Loop 不應變成每一步都按確認 如果每一個低風險 action： > 都要人按 Yes。 則： $$ \boxed{ \text{HumanInterventionDensity}\uparrow } $$ 但： $$ \boxed{ \text{GovernanceQuality} } $$ 不一定增加。 --- # 24. Approval Fatigue 大量低價值 approval 會造成： - habituation； - rubber stamping； - missed high-risk event； - workflow slowdown。 因此： $$ \boxed{ \text{More Human Clicks} \neq \text{More Human Governance}. } $$ --- # 25. 委任時間論的既有核心 先前《委任時間論》已提出： $$ \boxed{ \text{Autonomy} \neq \text{Absence of Humans}. } $$ 成熟自治是： $$ \boxed{ \text{Bounded Authority} + \text{Observable State} + \text{Risk-Adaptive Escalation} + \text{Recoverability} + \text{Revocation} + \text{Human Governance at Irreplaceable Nodes}. } $$ 本文直接繼承。 --- # 26. Human Intervention Density 定義： $$ \boxed{ \rho_H = \frac{ N_{\mathrm{human\ interventions}} }{ N_{\mathrm{agent\ state\ transitions}}+\epsilon }. } $$ 只是候選操作指標。 --- # 27. 目標不是 $\rho_H\rightarrow0$ 完全不介入： $$ \rho_H=0 $$ 不是成熟治理的充分條件。 --- # 28. Governance Leverage 沿用委任時間論： $$ \boxed{ \Lambda_D = \frac{ V_{\mathrm{effective\ delegated\ work}} }{ T_H^{gov}+\epsilon }. } $$ 目標是提高： > 每單位不可替代人類治理時間能可靠委任多少有效工作。 --- # 29. High-Value Human Nodes 人類應更集中在： - irreversible external commitment； - authority escalation； - high-risk exception； - value conflict； - responsibility assignment； - unknown side effects。 --- # 30. Low-Value Human Nodes 應逐步自動化： - repetitive read； - deterministic formatting； - low-risk retry； - reversible local edit； - known validation loop。 --- # 31. D0–D6 Deployable Autonomy Levels 本篇不用 A0–A5，避免和 Paper 02 的 Absorption Ladder 衝突。 --- ## D0｜Observe / Advise Agent： - read； - analyze； - recommend。 不能造成外部 state mutation。 --- ## D1｜Propose Agent 可建立： - draft； - patch proposal； - action plan。 但： $$ \boxed{ \text{NoWorldCommit}. } $$ --- ## D2｜Sandbox Execute Agent 可在： - branch； - sandbox； - simulation； - test environment； 執行。 但不能直接寫入 production world。 --- ## D3｜Bounded Reversible Action Agent 可在明確 envelope 內執行： - low blast radius； - reversible； - auditable； 的 action。 --- ## D4｜Conditional External Action Agent 可對真實外部系統採取 action， 但對特定 risk class： - preview； - approval； - threshold gate； 必須介入。 --- ## D5｜Delegated Workflow Autonomy Agent 可自主完成： $$ \boxed{ \text{multi-step workflow} } $$ 只在 exception / high-risk checkpoint 升級人工。 --- ## D6｜Governed Domain Autonomy 在已明確治理的 domain： - identity； - policy； - observation； - authority； - verification； - rollback； - audit； 均閉合時，Agent 可長時間自主操作。 但： $$ \boxed{ D_6 \neq \text{Unbounded Autonomy}. } $$ --- # 32. D6 仍需要 Revocation 任何 deployable autonomy 應存在： $$ \boxed{ Revoke(A,scope). } $$ --- # 33. Revocation 不能只是關模型 還可能包括： - token revoke； - tool disable； - permission downgrade； - workflow freeze； - state rollback。 --- # 34. Authority Cannot Self-Escalate 本文提出硬原則： $$ \boxed{ A \not\vdash \Delta \text{Auth}_A>0. } $$ 即： > Agent 不應僅憑自己的判斷增加自己原本沒有的權限。 --- # 35. Meta-Authority 權限提升必須來自： $$ \boxed{ \text{MetaAuthority} } $$ 例如： - authorized human； - policy engine； - multi-party approval； - predefined role transition。 --- # 36. Credential Possession ≠ Authority 即使 Agent 拿到： - API key； - shell； - admin token； 也不代表： > 所有可執行 action 都被正式授權。 所以： $$ \boxed{ CanCall(tool) \neq MayUse(tool,action). } $$ --- # 37. Least Privilege Agent 工具權限應滿足： $$ \boxed{ \text{Auth}_A \approx MinimumAuthority(Task). } $$ 而不是： > 給 admin 比較方便。 --- # 38. OWASP 的對應 OWASP Agent Security guidance 將： - excessive autonomy； - high-impact action abuse； - decision / approval manipulation； - cascading failures； 列為主要 agentic risk。 並建議： - least privilege； - per-tool scoping； - explicit authorization； - human approval for sensitive operations。 這與本文 authority envelope 一致。 --- # 39. High-Impact Action 本文定義： $$ \boxed{ HIA(a) } $$ 若 action 涉及： - irreversible deletion； - financial transfer； - permission change； - external public commitment； - security configuration； - sensitive data disclosure； 應進入更嚴格 Gate。 --- # 40. Simple Action Can Be High-Impact 再次強調： $$ \boxed{ Complexity(a) \not\Rightarrow Risk(a). } $$ API 呼叫可能只有一行， 但 impact 非常高。 --- # 41. World-Commit Gate 沿用 ITR / ATL： $$ \text{Intent} \rightarrow \text{Plan} \rightarrow \text{Run} \rightarrow \text{Validation} \rightarrow \text{Completion} \rightarrow \text{Commit}. $$ 其中： $$ \boxed{ \text{Completion} \neq \text{WorldCommit}. } $$ --- # 42. Candidate ≠ Commit Agent 可以在 sandbox 中： $$ Candidate=SUCCESS. $$ 但： $$ \boxed{ \text{CommitPermission} } $$ 仍需獨立判定。 --- # 43. World Commit 定義： $$ \boxed{ Commit_W: S_W(t) \rightarrow S_W(t+1). } $$ 即真正改變 parent-world / enterprise state。 --- # 44. Commit Gate Inputs 至少考慮： - verified result； - authority； - risk； - rollback； - environment； - owner； - freshness。 --- # 45. Governance by Construction IBM Research 2026 的 generalist-agent governance 實作將政策嵌入： 1. planning 前的 Intent Guard； 2. Playbook； 3. Tool Guide； 4. Human-in-the-Loop Tool Approval； 5. Output Formatter。 這種架構的重要意義是： $$ \boxed{ \text{Governance} } $$ 不是事後 audit 附件， 而是 execution path 的組成部分。 --- # 46. Policy-as-Code 企業 Agent 可以把： $$ \boxed{ \text{Policy} } $$ 變成 runtime 可執行結構。 例如： ```yaml action: change_iam_role risk: high require: - explicit_user_scope - dual_approval - audit_log - rollback_plan ``` --- # 47. Policy ≠ Prompt 治理規則不應只存在 system prompt。 因為 prompt： - 可被誤解； - 可被 injection 影響； - 不等於 downstream permission。 所以： $$ \boxed{ \text{Policy Enforcement} \neq \text{Prompt Instruction Alone}. } $$ --- # 48. Tool Boundary Enforcement 高價值控制點之一是： $$ \boxed{ \text{Tool Call Boundary}. } $$ 因為真正 world effect 通常在： - API； - database； - browser； - shell； - SaaS tool； 發生。 --- # 49. Action Capability Token 本文提出候選概念： $$ \boxed{ ACT = \text{Action Capability Token}. } $$ 它不是普通 API credential。 應綁定： - actor； - task； - action type； - resource； - scope； - expiry； - risk class； - approval receipt。 --- # 50. Approval Must Bind to Action 錯誤： > 「我批准你今天操作 finance。」 更安全： $$ \boxed{ \text{Approval} \rightarrow \text{SpecificActionDigest}. } $$ --- # 51. Approval Replay 批准 token 不應被重複拿去： > 做別的 transaction。 所以： $$ \boxed{ \text{ApprovalID} + \text{ActionHash} + \text{Expiry}. } $$ --- # 52. Human Approval ≠ Universal Override 人也會犯錯。 因此高風險 action 可要求： - policy； - validation； - dual approval； - limit； 共同成立。 --- # 53. Dual Approval 對極高風險： $$ \boxed{ Approve_1 \land Approve_2 } $$ 才允許 commit。 --- # 54. Agent Consensus ≠ Authority 如果 10 個 Agent 都同意： > 應該刪資料。 也不能推出： $$ \boxed{ \text{DeleteAllowed}. } $$ 所以： $$ \boxed{ \text{Consensus} \neq \text{Authorization}. } $$ --- # 55. Multi-Agent Majority Cannot Manufacture Permission Paper 04 的多主體協作必須服從： $$ \boxed{ \text{AuthorityGraph}. } $$ 不能用 Agent 多數決跳過 authority owner。 --- # 56. Observation Closure ≠ Action Permission Paper 05 已保證： > Agent 有足夠 evidence。 但： $$ \boxed{ Certify(C) \neq Authorize(Action). } $$ 這是最後一個重要分離。 --- # 57. Verify ≠ Approve 例如： > AI 確定 invoice 金額正確。 不表示： > AI 有權付款。 所以： $$ \boxed{ \text{KnowledgeAuthority} \neq \text{ActionAuthority}. } $$ --- # 58. Risk-Adaptive Escalation 人類介入應依： $$ \boxed{ \text{RiskChange} } $$ 動態觸發。 而不是固定： > 每 10 步問一次。 --- # 59. Escalation Triggers 例如： - confidence drop； - unknown side effect； - scope expansion； - tool change； - authority boundary； - irreversible action； - repeated failure； - cross-agent disagreement。 --- # 60. Escalation Is Not Failure Agent 主動升級： > 我需要人類決定。 不應算作 agent failure。 而可能是： $$ \boxed{ \text{Correct Governance Behavior}. } $$ --- # 61. Good Agent Knows When Not to Act 因此： $$ \boxed{ \text{Capability} } $$ 也包含： > 正確停止與升級。 --- # 62. NIST AI RMF 對應 NIST AI RMF / GAI Profile 強調： - Govern； - Map； - Measure； - Manage； 以及 lifecycle risk management、testing、evaluation、verification、validation。 本文將其對 Agent autonomy 的對接理解為： $$ \boxed{ \text{Autonomy} \subset \text{RiskManagedLifecycle}. } $$ --- # 63. Critical Infrastructure NIST 2026 Critical Infrastructure Profile concept note 進一步指向： > 高風險基礎設施需要可操作、可溝通的 trustworthiness requirements。 因此同一 Agent： $$ \mathcal F_{\mathrm{DA}}^{consumer} $$ 與： $$ \mathcal F_{\mathrm{DA}}^{critical} $$ 可以完全不同。 --- # 64. Sector-Specific Autonomy 所以： $$ \boxed{ \text{DeployableAutonomy} } $$ 不能只由通用 Agent benchmark 決定。 --- # 65. Reversibility-Weighted Autonomy 可以提出候選： $$ \boxed{ AutonomyBudget(a) \propto \frac{ \text{Verification} \cdot \text{Recoverability} }{ \text{Risk} + \text{Irreversibility} +\epsilon }. } $$ 只作方向性結構。 --- # 66. Autonomy Budget 令： $$ \boxed{ B_A } $$ 為某 task / timeframe 中 Agent 可消耗的自主風險預算。 --- # 67. Budget Can Be Dynamic 低風險成功 history： $$ B_A\uparrow $$ 高風險 anomaly： $$ B_A\downarrow. $$ 但不應由 Agent 單方面自行擴張。 --- # 68. Trust ≠ Permission 長期表現很好： $$ Trust\uparrow $$ 不表示： $$ \boxed{ \text{UnlimitedAuthority}. } $$ --- # 69. Trust Is Scope-Specific Agent 在： > code formatting 非常可靠， 不表示在： > finance transfer 可直接沿用。 --- # 70. Domain-Bounded Trust 定義： $$ \boxed{ Trust(A,D,Q). } $$ 而不是全域： $$ Trust(A). $$ --- # 71. Deployable Autonomy Profile 企業應保留： $$ \boxed{ \mathbf D_A = ( D_{\mathrm{code}}, D_{\mathrm{ops}}, D_{\mathrm{finance}}, D_{\mathrm{data}}, D_{\mathrm{security}}, \ldots ). } $$ --- # 72. D0–D6 是 domain local 同一 Agent： ```text code formatting = D5 production deploy = D3 IAM changes = D1 financial transfer = D0 ``` 完全合理。 --- # 73. Autonomous Workflow ≠ Autonomous Organization 一個 workflow 高自主， 不能推出： $$ \boxed{ \text{Organization Is Autonomous}. } $$ --- # 74. Organizational Sovereignty 沿用委任主權論： 高 AI 自主可以和： $$ \boxed{ \text{Retained Human / Organizational Sovereignty} } $$ 共同存在。 --- # 75. High Autonomy + Distributed Governance 不必建立： > 一個中央超級 AI 一直監視所有 AI。 可以： $$ \boxed{ \text{High Autonomy} + \text{Distributed Governance} + \text{Retained Sovereignty}. } $$ --- # 76. Distributed Governance Components 可以分散在： - authority structure； - shared state； - validators； - policy； - checkpoints； - quorum； - audit； - revocation； - world-commit gate。 --- # 77. Governance ≠ Continuous Central Supervision 因此： $$ \boxed{ \text{Governance} \neq \text{ContinuousCentralSupervision}. } $$ --- # 78. Human-on-the-Bridge 高 autonomy 的重點是： > 人不用每步操作， 但能在： - anomaly； - exception； - commitment； 發生時快速進入。 --- # 79. Re-entry Latency 定義： $$ \boxed{ L_H = \text{human re-entry latency}. } $$ --- # 80. Autonomy 越高，Re-entry 要求可能越嚴 因為 Agent state changes 更快： $$ v_A\uparrow. $$ 所以： $$ \boxed{ L_H } $$ 若太高，人類接管時世界已經跑很遠。 --- # 81. Stop Distance 本文提出： $$ \boxed{ D_{stop} = \text{state distance accumulated after stop condition until actual halt}. } $$ --- # 82. 高風險 Agent 需要低 Stop Distance 因此： $$ \boxed{ \text{Risk}\uparrow \Rightarrow D_{stop}^{max}\downarrow. } $$ --- # 83. Recoverability 如果 Agent 能： - checkpoint； - rollback； - replay； 則 autonomy 可以提高。 因此： $$ \boxed{ \text{Recoverability}\uparrow \Rightarrow \mathcal F_{\mathrm{DA}} \text{ can expand}. } $$ 不代表必然擴張。 --- # 84. Auditability 每個重要 action 應能回答： - who； - what； - when； - why / policy reason； - tool； - authority； - result； - rollback。 --- # 85. Execution Trace ≠ Chain-of-Thought 沿用 ITR / ATL： 系統不必保存模型私有推理文字。 只需保存： $$ \boxed{ \text{Auditable Control / Action Trace}. } $$ --- # 86. Minimal Audit Event ```yaml actor: agent_id: task_id: action: resource: authority: policy: approval: input_ref: output_ref: timestamp: verification: risk: rollback: commit_receipt: ``` --- # 87. World Commit Receipt 真正改變外部世界後： $$ \boxed{ \text{Receipt}_W } $$ 應成為可審計證據。 --- # 88. Completion Without Receipt 如果： > Agent 說寄信了。 但沒有： $$ \text{Receipt}_W, $$ 只能標： $$ \boxed{ \text{Unverified External Commit}. } $$ --- # 89. Responsibility Graph 本文區分： $$ \boxed{ \text{ProvenanceGraph} \neq \text{ResponsibilityGraph}. } $$ --- # 90. Provenance 回答「誰做了什麼」 Responsibility 回答： > 誰有義務承擔、審查、補救？ --- # 91. AI 目前通常不是最終組織責任主體 在多數現行企業架構中： - organization； - human role； - legal entity； 承擔現實責任。 所以 Agent autonomy 越高： $$ \boxed{ \text{ResponsibilityDesign} } $$ 越不能缺席。 --- # 92. Accountability Gap 若： $$ \text{ActionAuthority} > \text{ResponsibilityCapacity}, $$ 形成： $$ \boxed{ \text{Accountability Gap}. } $$ --- # 93. Authority–Responsibility Balance 成熟系統應避免： $$ \boxed{ \text{Auth}_A \gg \text{AccountabilitySystem}. } $$ --- # 94. Blast Radius × Accountability 高： $$ B_{\mathrm{change}} $$ 需要更強： $$ \boxed{ \text{Governance} + \text{Ownership} + \text{Recovery}. } $$ --- # 95. Dynamic Autonomy 自主等級不應永久固定。 可以： $$ \boxed{ D_t \rightarrow D_{t+1} } $$ 依： - task； - history； - environment； - incident； - verification； 升降。 --- # 96. Downgrade Principle 當出現： - observation loss； - stale state； - repeated error； - unknown effect； - policy conflict； 應： $$ \boxed{ D_{t+1}\tau_R \Rightarrow \text{HumanApproval}. } $$ 即使模型 confidence： $$ 0.999. $$ --- # 103. Confidence ≠ Permission 所以： $$ \boxed{ \text{ModelConfidence} \neq \text{ActionAuthorization}. } $$ --- # 104. Unknown Risk Must Not Default to Allow 若： $$ R=\text{Unknown}, $$ 高 impact action 應： $$ \boxed{ \text{Escalate} } $$ 而不是： $$ \text{Allow}. $$ --- # 105. Fail-Safe Autonomy 對不確定治理狀態： $$ \boxed{ \text{Reduce Action Surface}. } $$ --- # 106. Read-Only Fast Lane 低風險： - search； - summarize； - classify； - read； 可以設： $$ \boxed{ \text{Autonomy Fast Lane}. } $$ --- # 107. High-Impact Slow Lane 高 impact： - permission； - money； - deletion； - external commitment； 進： $$ \boxed{ \text{Governed Slow Lane}. } $$ --- # 108. Autonomy Should Follow Risk, Not Prestige 不能因為： > 這是最新最強模型。 就給更高 authority。 --- # 109. Stronger AI Can Require More Governance 因為： $$ \text{Capability}\uparrow $$ 會增加： $$ \text{ActionSurface}\uparrow. $$ 所以： $$ \boxed{ \text{Stronger Agent} } $$ 甚至可能需要更精細 governance。 --- # 110. Capability–Governance Coevolution 理想： $$ \boxed{ v_{\mathrm{Governance}} \approx v_{\mathrm{Capability}}. } $$ 若： $$ v_{\mathrm{Capability}} \gg v_{\mathrm{Governance}}, $$ Paper 02 的： $$ \mathfrak F_{\mathrm{AI}} $$ 會增加。 --- # 111. Autonomy Debt 本文提出： $$ \boxed{ D_{\mathrm{autonomy}} } $$ 表示： > Agent autonomy 增加，但 authority、verification、revocation、audit、responsibility 沒同步增加所累積的治理債務。 --- # 112. Dynamic Autonomy Debt 候選形式： $$ \boxed{ D_{A,t+1} = \rho D_{A,t} + \alpha U_t + \beta B_t + \gamma G_t^{gap} + \eta R_t^{unknown} - \delta Gov_t. } $$ 其中： - $U_t$：uncontrolled autonomy； - $B_t$：blast radius； - $G_t^{gap}$：governance gap； - $R_t^{unknown}$：unknown risk； - $Gov_t$：治理修復。 --- # 113. High Throughput Can Hide Autonomy Debt Agent 每天完成： $$ 1000 $$ 個 action， 看似成功。 但如果： - no audit； - unclear owner； - no rollback； 只是： $$ \boxed{ \text{High Throughput} + \text{High Hidden Governance Debt}. } $$ --- # 114. Productivity ≠ Governed Productivity 因此： $$ \boxed{ \text{Productivity} \neq \text{Governed Productivity}. } $$ --- # 115. Verified World-Commit Density 沿用時間經濟學思路，可以關心： $$ \boxed{ \rho_{\mathrm{commit}} = \frac{ \text{Verified Valuable World Commits} }{ \text{Time / Governance Cost} }. } $$ 比單純： > Agent actions per hour 更有價值。 --- # 116. Human Historical Leverage 若一個人只需每天： > 20 分鐘治理， Agent 能可靠完成大量工作， 人類的歷史作用力會增加。 這就是委任槓桿。 --- # 117. 人類退出低價值操作環 目標不是： > 人類退出世界。 而是： $$ \boxed{ \rho_H^{low-value}\downarrow. } $$ --- # 118. 人類留在不可替代節點 同時： $$ \boxed{ EOD^{high-value}\uparrow } $$ 即高價值治理介入精度提高。 --- # 119. Autonomy + Sovereignty 因此高 autonomy 與高 organizational sovereignty 可以共存： $$ \boxed{ \text{High Autonomy} + \text{Retained Governance Authority}. } $$ --- # 120. 系列全閉包 Paper 00： $$ \text{Epoch / Organizational Topology}. $$ Paper 01： $$ \text{Effective Problem Coverage}. $$ Paper 02： $$ \text{AI Absorbability}. $$ Paper 03： $$ \text{Authorized Reconstruction}. $$ Paper 04： $$ \text{Multi-Actor Coupling}. $$ Paper 05： $$ \text{Observation Closure}. $$ Paper 06： $$ \text{Deployable Autonomy}. $$ --- # 121. 系列母鏈 因此： $$ \boxed{ \begin{aligned} \text{RawCapability} &\rightarrow \text{EffectiveCoverage}\\ &\rightarrow \text{OrganizationalAbsorption}\\ &\rightarrow \text{AuthorizedChange}\\ &\rightarrow \text{MultiActorCoordination}\\ &\rightarrow \text{ObservationClosure}\\ &\rightarrow \text{DeployableAutonomy}. \end{aligned} } $$ --- # 122. 系列總公式 以結構形式表示： $$ \boxed{ V_{\mathrm{realized}} = f( C_{\mathrm{AI}}, EPC, \mathcal A_{\mathrm{AI}}, -C_{\mathrm{coupling}}, O_{\mathrm{sufficient}}, \mathcal F_{\mathrm{DA}} ). } $$ 不是已校準統計公式，而是 dependencies map。 --- # 123. 為什麼 AI 還沒「全面取代」 系列現在給出一個比： > AI 還不夠強。 更完整的答案。 因為： $$ \boxed{ C_{\mathrm{AI}} } $$ 只是第一層。 還有： $$ \boxed{ EPC, \text{Absorbability}, \text{Compatibility}, \text{Coupling}, \text{Observation}, \text{Governance}. } $$ --- # 124. 人類弱不代表可解問題少 同樣： $$ \boxed{ C_H **持續重構自身資料、工作流、權限、驗證、協作與治理，使更多 AI 原始能力可以在可審計、可回復、可承責的條件下轉換為有效問題覆蓋與可部署自主性的組織。** --- # 128. AI-Native ≠ AI Everywhere 不是： > 所有工作都交給 AI。 而是： $$ \boxed{ \text{Appropriate Autonomy at Appropriate Boundaries}. } $$ --- # 129. 可反駁假說 H1 控制模型能力後： > explicit risk-adaptive autonomy policy 應降低 high-impact incident rate，而比「所有 action 都同一 approval policy」具有更好的 throughput / governance tradeoff。 --- # 130. 可反駁假說 H2 在低風險、可逆、可驗證 task 中： > 減少 human intervention density 不應顯著降低 closure quality，反而可提高 delegation leverage。 --- # 131. 可反駁假說 H3 在高 blast-radius task 中： > explicit tool-boundary authorization + approval binding 應比 prompt-only governance 更可靠。 --- # 132. 可反駁假說 H4 Deployable Autonomy Frontier 應隨： - verification； - rollback； - observation； - audit； 能力增加而擴張。 --- # 133. 可反駁假說 H5 如果 Agent action throughput 上升快於 governance capacity： $$ D_{\mathrm{autonomy}} $$ 應增加，並最終表現在： - incident； - rollback； - audit backlog； - ownership ambiguity。 --- # 134. 可反駁假說 H6 動態 autonomy downgrade 應比固定 autonomy level 更能處理： - stale observation； - context loss； - changing environment； - repeated errors。 --- # 135. 最小工程資料模型 ```yaml agent_id: domain: deployable_autonomy_level: capability_envelope: authority_envelope: observation_envelope: verification_envelope: reversibility_class: risk_vector: allowed_tools: resource_scope: approval_policy: escalation_policy: revocation: rollback: audit: responsible_owner: world_commit_policy: ``` --- # 136. Human Gate Policy Example ```yaml action: publish_external_statement risk: external_visibility: high financial: low reversibility: medium policy: preview: true approval: required dual_approval: false audit: required autonomous_commit: false ``` --- # 137. Autonomy Runtime 未來工程化可建立： $$ \boxed{ \text{Deployable Autonomy Runtime}. } $$ 位置： $$ \text{Intent} \rightarrow \text{Plan} \rightarrow \text{Policy} \rightarrow \text{Action} \rightarrow \text{Verify} \rightarrow \text{Commit}. $$ --- # 138. 與 ITR / ATL 的整合 ITR / ATL 已可保存： - authority； - event； - validation； - checkpoint； - world commit； - provenance。 所以： $$ \boxed{ \text{DA Runtime} \leftrightarrow \text{ITR/ATL}. } $$ --- # 139. 與 Paper 04 / 05 的整合 Paper 04： $$ \boxed{ \text{Who may coordinate / commit?} } $$ Paper 05： $$ \boxed{ \text{Who has enough evidence to verify?} } $$ Paper 06： $$ \boxed{ \text{Who may cause the world state to change?} } $$ --- # 140. 與 SEDB / UIR 的接口 如果未來進入更完整 runtime： - SEDB 可保存 authority / governance semantic state； - UIR 可 resolve executable capability / representation； - DA Runtime 決定 operation 是否可被提交； - ITR / ATL 保存 causal audit。 因此： $$ \boxed{ \text{SEDB} + \text{UIR} + \text{DA} + \text{ITR/ATL} } $$ 可形成更完整的 AI-native execution substrate。 但這只是 future integration interface，本系列不再擴寫。 --- # 141. Claim Boundary ## $K$ ｜已有支持 已有內外部資料支持： - capability 與 allowed autonomy 應分離； - least privilege、high-risk human approval、tool-boundary controls 是 agent security / governance 的重要方法； - enterprise generalist-agent deployment 可把治理嵌入 runtime 多 checkpoint； - AI risk management 應是 lifecycle process，而非單一 output check； - high-stakes / critical infrastructure 需要更明確 trustworthiness requirements； - auditable execution、recovery、human oversight 對 enterprise Agent 很重要。 ## $E$ ｜本文新推導 本文提出： - Deployable Action Domain； - Deployable Autonomy Frontier； - D0–D6 Deployable Autonomy Levels； - Action Risk Vector； - Authority / Verification / Reversibility / Governance Envelopes； - Authority Non-Escalation Principle； - Action Capability Token； - World-Commit Gate； - Autonomy Budget； - Stop Distance； - Accountability Gap； - Autonomy Debt； - Governed Productivity。 ## $S$ ｜需要 simulation / benchmark - autonomy policy ablation； - approval fatigue； - dynamic downgrade； - stop distance； - rollback / recovery effects； - policy-as-code effectiveness。 ## $X$ ｜需要企業 field study - human intervention density； - governance leverage； - incident rate； - delegated workflow autonomy； - autonomy debt； - responsibility graph。 ## $F$ ｜工程化 - Deployable Autonomy Runtime； - Human Gate Policy Engine； - Action Capability Token； - World Commit Gate； - Authority Registry； - Risk / Reversibility Classifier； - Autonomy Ledger。 --- # 142. 系列閉包聲明 至本文： $$ \boxed{ \text{AI Organizational Absorption \& Coupling Topology} } $$ 理論系列 00–06 正式閉包。 後續不再以新增 Paper 07、08、09 的方式延伸。 新的問題應優先轉成： - Runtime； - Protocol； - Skill； - Benchmark； - MVP； - Enterprise Study； - Dataset； - Audit Tool。 因此： $$ \boxed{ \text{Theory Closure} \rightarrow \text{Engineering and Validation}. } $$ --- # 143. 最終結論 到了 2026 年，前沿 AI 的真正矛盾逐漸不再是： > 「它到底夠不夠聰明？」 而是： > **我們能讓多少智能真正進入世界？** 一個 Agent 可以： - 會寫 code； - 會操作電腦； - 會協作； - 會用工具； - 會規劃； - 會驗證。 但這些能力必須逐層轉換為： $$ \boxed{ \text{Effective Coverage} } $$ 再被組織： $$ \boxed{ \text{Absorb} } $$ 再穿過： $$ \boxed{ \text{Compatibility and Reconstruction Constraints} } $$ 再和其他： $$ \boxed{ \text{Humans and Agents} } $$ 協調， 再取得足夠： $$ \boxed{ \text{Observation Closure} } $$ 最後才到： $$ \boxed{ \text{Deployable Autonomy}. } $$ 所以： $$ \boxed{ \text{Agent Capability} \neq \text{Agent Integrability} \neq \text{Deployable Autonomy}. } $$ 一個最強的 Agent，若： - 看不到； - 沒權限； - 不相容； - 無法協調； - 無法驗證； - 無法回滾； - 無人承責； 它仍不能穩定成為企業核心行動者。 反過來，一個不是最強的 Agent，如果存在於： - 清晰資料； - 明確工具； - 良好 shared state； - bounded authority； - verification； - rollback； - governance； 之中，可能產生更高的現實價值。 因此，未來真正重要的競爭問題之一將不是： > 誰有最強 AI？ 而是： > **誰能建立最大的、仍然可觀測、可驗證、可撤銷、可承責的 AI 行動域？** 也就是： $$ \boxed{ \Omega_{\mathrm{DA}}. } $$ 成熟企業 AI 自主不是： > 把人拿掉。 而是： $$ \boxed{ \text{Low-Value Human Intervention}\downarrow } $$ 同時： $$ \boxed{ \text{High-Value Human Governance}\uparrow. } $$ 讓 Agent 在真正適合它的地方高速自主， 而在人類不可替代的： - 價值； - 權限； - 責任； - 風險； - 不可逆世界提交； 節點上，仍然保留足夠強的治理能力。 這就是本系列對「為什麼 AI 已經很強，卻還沒有全面取代人類工程與企業工作」的最終回答： $$ \boxed{ \text{Raw Intelligence Is Only the Beginning.} } $$ 真正的世界需要： $$ \boxed{ \text{Capability} \rightarrow \text{Coverage} \rightarrow \text{Absorption} \rightarrow \text{Coupling} \rightarrow \text{Observation} \rightarrow \text{Governed Action}. } $$ --- # 參考文獻與研究錨點 ## 內部前置研究 [INT-01] Neo.K. 《AI 組織吸收與耦合拓撲 00：軟體時代鑲嵌與 AI 組織拓撲》v0.2. EveMissLab, 2026. [INT-02] Neo.K. 《AI 組織吸收與耦合拓撲 01：有效問題覆蓋論》v0.1. EveMissLab, 2026. [INT-03] Neo.K. 《AI 組織吸收與耦合拓撲 02：企業 AI 吸收論》v0.1. EveMissLab, 2026. [INT-04] Neo.K. 《AI 組織吸收與耦合拓撲 03：重構權限與相容性債務》v0.1. EveMissLab, 2026. [INT-05] Neo.K. 《AI 組織吸收與耦合拓撲 04：多主體 AI 耦合拓撲》v0.1. EveMissLab, 2026. [INT-06] Neo.K. 《AI 組織吸收與耦合拓撲 05：多模態觀測閉包論》v0.1. EveMissLab, 2026. [INT-07] Neo.K. 《委任時間論：自主 Agent、人類介入密度與治理槓桿》v0.1. EveMissLab, 2026. [INT-08] Neo.K. 《委任主權論：高 AI 自主與高人類主權能否共存》v0.1. EveMissLab, 2026. [INT-09] Neo.K. 《資訊收集任務難度、風險與自主等級規格》v0.1.0. EveMissLab, 2026. [INT-10] Neo.K. 《Interaction-Time Runtime & Agent Temporal Ledger》v0.1. EveMissLab, 2026. ## 外部研究與治理框架 [R1] Shlomov, S., Shoham, I., Oved, A., et al. **Governance by Construction for Generalist Agents.** ACM CAIS 2026 / IBM Research, 2026. [R2] NIST. **Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1).** 2024, updated 2026. [R3] NIST. **Concept Note: AI RMF Profile on Trustworthy AI in Critical Infrastructure.** 2026. [R4] OWASP. **AI Agent Security Cheat Sheet.** Current guidance accessed 2026. [R5] OWASP GenAI Security Project. **LLM06:2025 Excessive Agency.** [R6] OWASP. **Agentic AI / Excessive Agency and High-Impact Action Controls.** 2026 guidance. [R7] Bousetouane, F. **Human-on-the-Bridge: Scalable Evaluation for AI Agents.** arXiv:2606.16871, 2026. [R8] Wang, P., Li, Y., & Tian, Y. **Reframing LLM Agent Security as an Agent-Human Interaction Problem.** arXiv:2605.24309, 2026. [R9] Dhanorkar, S., Passi, S., & Vorvoreanu, M. **Human Oversight of Agentic Systems in Practice.** arXiv:2606.05391, 2026. [R10] Wang, Y., Zhu, C., Feng, T., Lu, L. X., & Jia, B. **Agentic AI and Human-in-the-Loop Interventions: Field Experimental Evidence from Alibaba's Customer Service Operations.** arXiv:2605.14830, 2026. [R11] Dai, C., Yan, Z., Lei, C., Li, Q., & Zhang, L. **Safe Remediation as Risk-Constrained Intervention Decision in Microservice Systems.** arXiv:2607.20005, 2026. --- *AI Organizational Absorption & Coupling Topology — Paper 06 v0.1* *Series Theoretical Closure* *EveMissLab — Boundless Knowledge. One Promise Forward.*