Working Draft · AI Era Execution Security LanguageThis article is part of the Havenlon Execution Security Language project. The terminology and definitions presented here describe the current working draft and may evolve as the discipline matures.AI 时代执行安全语言体系工作草案本系列旨在建立 AI 时代执行安全的共同语言。 本文中的术语与定义代表当前工作草案 将随着理论研究、工程实践和社区讨论持续修订。治理不是简单地给执行流程增加几个审批人。它真正处理的是谁可以提出动作谁可以表达同意谁可以修改规则谁可以改变成员谁可以恢复系统哪些角色必须共同参与任何单方最多能够产生什么影响当治理角色失陷时系统还剩下哪些独立约束。传统系统经常把治理压缩在一个 Owner、超级管理员或 SaaS 后台中。这个主体可能同时拥有创建和删除成员修改审批阈值调整 Policy重置身份恢复设备改变执行额度查看和删除日志发起并批准高风险动作。这种结构表面上有治理实际上只是把执行权集中到了一个更高权限角色中。Havenlon 所说的共同治理不是多个人在同一个页面上点同意。而是多个权力有限、信任相对独立的角色共同约束最终执行其中任何单方都不能独自完成灾难性动作。共同治理的价值不在于“多数人一定正确”而在于单一身份失陷不足以完成灾难单一角色的判断不能代表整个系统规则制定者不能直接绕过规则同意权不能自动继承执行权恢复权不能成为超级后门多方共同参与时仍然存在明确作用域、时效和证据。1. Governance治理一句话定义治理是决定系统中的角色、权力、规则、阈值、恢复方式和执行约束如何建立、变化与生效的过程。严格定义治理处理的不是某一个孤立动作而是哪些主体在什么条件下能够影响未来的执行结果。治理通常包括成员管理角色分配权限范围审批规则治理阈值Policy 上限执行器管理密钥槽位管理恢复机制设备替换紧急状态治理变更留证。治理的风险通常高于普通业务操作因为治理可以改变后续所有执行的权力结构。上位概念权力管理执行控制组织约束下位概念共同治理共享治理治理状态治理权治理约束治理变更治理恢复相关概念Governance IntentGovernance BoundaryGovernance CaptureSeparation of Governance and ExecutionOwner ≠ God容易混淆的概念治理不等于管理员配置普通审批用户管理界面多签多数投票Owner 的自由裁量权。治理必须限制治理者自身而不是只让治理者管理其他人。约束机制角色分离多方参与独立同意阈值延迟生效物理恢复治理证据治理与执行分离。结果目标建立一个可变化、可恢复但不能被单方即时重写的权力结构。在 Havenlon 中成员、Owner、阈值、Policy 上限、设备、执行器和恢复关系都属于治理状态不能被普通管理员配置直接替代。2. Joint Governance共同治理一句话定义共同治理是多个权力有限、信任相对独立的角色共同形成执行约束其中任何单方都不能独立完成灾难性动作的治理结构。严格定义共同治理至少应满足参与方拥有不同职责每一方权力有限参与方不完全处于同一控制域单方允许不构成充分条件必要角色缺失时不能执行同意必须绑定具体 Intent同意具有范围和有效期治理结果不能绕过本地执行边界治理变更本身也受到治理所有关键治理行为留下证据。共同治理并不要求所有动作都由多人处理。低风险、可逆、损失有限的动作可以采用较轻治理。高风险、不可逆或治理性动作需要更高阈值、更强角色分离和更多独立约束。上位概念Governance分布式约束下位概念多人共同治理多角色共同治理人机共同治理本地与远程共同治理物理与数字共同治理相关概念Shared GovernanceIndependent ConsentMulti-Party ConstraintGovernance ThresholdNo Unilateral Catastrophic Authority容易混淆的概念共同治理不等于所有人共享同一个管理员账户多个审批人处于同一后台控制下多个人使用同一设备确认简单多数票把同一种执行权复制给更多人。约束机制不同角色独立身份独立设备不同信任域阈值角色组合要求意图绑定执行前最终验证。结果目标让任何一个身份、设备或治理角色失陷后都不能直接控制最终执行。在 Havenlon 中Owner、Member、Approver、Arbiter、Executor 和物理恢复角色承担不同职责。共同治理的结果仍需经过本地仲裁和执行边界。3. Shared Governance共享治理一句话定义共享治理是治理责任、治理状态和治理参与权由多个主体共同持有而不是集中在单一 Owner 或管理员手中的结构。严格定义共享治理强调治理信息不属于某一个人治理权不完全属于单一管理员重要变更需要多个治理主体参与治理责任可以持续存在于组织中某个成员离开后治理结构仍可恢复系统不会因单一 Owner 不可用而永久失控。共享治理可以存在于一个组织内部也可以跨组织、跨设备或跨地域建立。上位概念Governance权力共享下位概念组织共享治理多设备共享治理多地域共享治理多机构共享治理共享恢复治理相关概念Joint GovernanceGovernance StateGovernance AuthorityMemberGovernance Recovery与共同治理的区别共享治理回答治理权和治理责任由谁共同持有共同治理回答多个治理角色如何共同约束一次执行或治理变更一个系统可以名义上共享治理但如果某个超级管理员仍可覆盖所有人就不具备真正的共同治理。约束机制多成员治理状态明确角色权力分配成员替换治理连续性无单一永久控制者独立证据。结果目标避免治理能力因单一 Owner 缺失、失陷或作恶而整体失控。在 Havenlon 中治理状态由本地设备、治理成员和协同系统共同维护但最终治理事实不能只由 SaaS 单方面定义。4. Governance State治理状态一句话定义治理状态是当前系统中成员、角色、阈值、权限范围、Policy 上限、恢复关系和设备关系的有效集合。严格定义治理状态至少可能包含当前 Owner当前成员角色分配审批阈值治理法定数量成员有效状态Policy 上限执行器列表密钥槽位关系设备身份恢复角色治理版本生效时间待生效治理变更。治理状态不是一个简单成员表。它决定当前谁可以参与什么以及需要满足哪些组合条件。上位概念Governance系统状态下位概念成员状态Owner 状态角色状态阈值状态设备治理状态恢复状态相关概念Governance ChangeGovernance IntentState-Bound JudgmentGovernance BoundaryGovernance Capture风险来源状态不同步SaaS 与本地状态不一致成员撤销未生效旧状态重放阈值被静默修改管理员直接改数据库治理版本回滚。约束机制状态版本Governance Hash生效时间防回滚本地持久状态多方签名变更证据链。结果目标让每次执行都明确依据哪一个治理状态作出判断。在 Havenlon 中治理状态必须由本地设备维护并与 SaaS 协同状态核对不能仅依赖云端数据库中的当前成员列表。5. Governance Authority治理权一句话定义治理权是参与建立、修改、批准或恢复系统权力结构的权力。严格定义治理权可能包括提出治理变更批准成员变化调整阈值修改 Policy 上限增加执行器替换设备启动恢复撤销身份确认新治理状态。治理权通常比普通审批权影响更深因为治理权能够改变其他角色未来拥有什么权力。上位概念权力Governance下位概念治理提议权治理审批权成员管理权恢复治理权阈值修改权相关概念Execution RightGovernance IntentGovernance ConstraintOwnerMember权力边界治理权不应自动包含日常执行实施权绕过 Policy 的权力删除治理证据的权力即时继承新规则下全部执行权关闭物理边界的权力。约束机制角色分离治理阈值作用域延迟生效物理确认治理与执行分离变更留证。结果目标让治理角色能够维护系统但不能成为新的超级执行主体。在 Havenlon 中Owner 和 Member 可以参与治理但其治理权不能自动覆盖 Arbiter、Security Domain 和本地硬限制。6. Governance Intent治理意图一句话定义治理意图是希望改变系统成员、角色、阈值、Policy、设备、执行器或恢复关系的结构化意图。严格定义治理意图必须明确谁提出变更修改什么治理对象当前状态是什么目标状态是什么影响哪些角色何时生效是否需要冷静期哪些既有权限将被增加或撤销变更后的灾难半径是否扩大。治理意图必须与普通业务执行意图区分因为治理动作可能改变未来所有执行的边界。上位概念IntentGovernance下位概念成员变更意图Owner 恢复意图阈值修改意图Policy 变更意图设备替换意图执行器变更意图相关概念Governance ChangeGovernance StateGovernance Mutation ControlGovernance BoundaryIntentHash权力边界提出治理意图的主体不能自行决定该意图生效。约束机制单独 Intent 类型治理对象绑定新旧状态绑定多方审批物理确认延迟生效独立证据。结果目标让治理变化像高风险执行一样可验证、可约束和可追溯。在 Havenlon 中Owner、成员、阈值、设备和恢复关系的变化必须形成 Governance Intent并进入独立治理链。7. Governance Constraint治理约束一句话定义治理约束是限制哪些治理主体必须参与、哪些组合有效以及治理结果何时可以生效的规则。严格定义治理约束可能包括最少参与人数必须包含特定角色提议者不能自我批准Owner 不能单独删除全部成员新成员存在冷静期降低阈值需要更高阈值批准恢复需要物理确认治理变更不能立即用于高风险执行某些根约束不可在线放宽。治理约束的核心是治理不能只约束普通成员也必须约束拥有治理权的人。上位概念GovernancePolicy权力约束下位概念人数约束角色约束时间约束物理约束变更范围约束恢复约束相关概念Governance QuorumGovernance ThresholdIndependent ConsentGovernance Mutation ControlNo Unilateral Catastrophic Authority约束机制角色组合阈值冷静期不可自我审批新旧状态双重验证本地硬上限物理恢复。结果目标阻止治理者利用治理权即时解除限制自身的规则。在 Havenlon 中关键治理动作必须满足明确的角色、数量、时间和物理条件而不是只依赖 SaaS 中的一个管理员按钮。8. Governance Quorum治理法定数量一句话定义治理法定数量是一次治理判断被视为有效之前必须实际参与的最低治理主体数量。严格定义Quorum 回答的是至少有多少合格治理主体必须参与治理过程才有资格继续它不等同于最终同意阈值。例如系统共有 5 名治理成员要求至少 4 人参与构成 Quorum其中至少 3 人同意达到 Threshold。如果只有 3 人在线即使 3 人全部同意也可能因为未达到 Quorum 而不能形成有效治理结果。上位概念Governance Constraint共同治理下位概念成员法定数量角色法定数量设备法定数量恢复法定数量相关概念Governance ThresholdParticipation RequirementJoint GovernanceIndependent ConsentAvailability Risk容易混淆的概念Quorum 不是“多少票通过”。它定义的是治理过程的最低有效参与范围。约束机制参与身份验证成员状态角色要求独立设备有效期防重复参与。结果目标防止少数可用成员在其他治理主体完全缺席时重写系统。在 Havenlon 中高风险治理动作可以同时要求最低参与人数和最低同意数量避免把二者混为一个简单计数。9. Governance Threshold治理阈值一句话定义治理阈值是治理结果生效所需的最低有效同意数量或权重组合。严格定义Threshold 回答的是在已经满足有效参与条件后需要多少独立同意才能通过治理阈值可以采用固定人数权重特定角色组合多类别角色本地与远程混合人员与设备联合条件。安全阈值不能只看数字。三个都由同一管理员控制的账户不能等价于三个独立治理主体。上位概念Governance ConstraintJoint Governance下位概念人数阈值权重阈值角色组合阈值混合设备阈值高风险治理阈值相关概念Governance QuorumIndependent ConsentMulti-Party ConstraintShared GovernanceCollusion Limit约束机制独立身份独立设备角色差异同意内容绑定时间限制防重复计数防代理滥用。结果目标让关键治理变更需要多个真实、独立的治理意志共同形成。在 Havenlon 中不同风险等级的治理动作可以采用不同阈值高风险变更还需要物理确认和延迟生效。