女娲计划文档十：实施路线图与风险登记
10.1 实施路线图的设计原则
10.1.1 证据门控，而非时间线驱动
女娲计划的实施路线图以证据门控（Evidence Gates）为核心组织原则，而非单纯的时间线。工作可以在不同领域之间重叠，但暴露程度不应超过组织已证明可控的范围。
这意味着，每个阶段的推进，都必须有明确的、可验证的证据表明前一阶段的管控措施已生效。不是“时间到了就进入下一阶段”，而是“证据到了才解锁下一阶段”。
这一设计反映了生产级智能体与传统软件项目的根本区别：风险缓释必须早期嵌入，而非事后补救。大量企业智能体项目停留在演示原型阶段，核心矛盾不是大模型能力不足，而是实施路径上缺少风险约束设计。
10.1.2 四个证据门控
G1（第3个月）：清单与政策就绪
│
▼
G2（第6个月）：试点证据被接受
│
▼
G3（第18个月）：可重复运营与行动网关上线
│
▼
╔═══ 操作稳态期（第 18–36 个月）═════════════════════════════════╗
║ 第五阶段·天演（18-24月） → 稳定运营期（24-36月） ║
║ · 提交类行动持续运行，积累采样审查记录 ║
║ · 每季度伦理审计；季度绩效与成本趋势审查 ║
║ · 生产 R 门控所需的全部证据（合规率≥99%、网关运行≥6个月） ║
║ 说明：此窗口是"证据生产期"，不是空档，见 10.6.5 ║
╚════════════════════════════════════════════════════════════════╝
│
▼
R（第36个月）：投资组合审查 → 决定是否升级为「有界自主类」行动
每个门控释放下一级暴露水平。在任何门控点，停止决策始终可用。
10.1.3 与代理开发生命周期的映射
参考微软的代理开发生命周期五阶段模型——发现、实验、构建、部署、操作稳态——女娲计划的实施路线图将其与证据门控结合：
| 代理开发生命周期 | 女娲计划对应阶段 | 证据门控 |
|---|---|---|
| Discovery（发现） | 抟土阶段 | G1 |
| Experimentation（实验） | 卵裂阶段 | G2 |
| Build（构建） | 器官发生阶段 | G2→G3 |
| Deploy（部署） | 合灵阶段 | G3 |
| Operational Steady State（操作稳态） | 天演阶段 | R |
迭代和反馈驱动贯穿所有阶段。风险缓释通过早期验证实现，而非后期补救。
10.2 第一阶段：抟土（0-3个月）——G1门控
10.2.1 阶段目标
建立决策权、风险偏好、所有权和可辩护的基线。不追求功能完整，只追求基础可跑通。
10.2.2 核心任务
基因型格式定义：完成河图（基因型）的JSON Schema和Rust类型定义，覆盖CoreTrait、InnateSkillCapsule、ConstitutionalAnchor、LearningRule四个模块。
宪法锚点签名机制：实现ed25519 + ML-DSA混合签名。宪法锚点的生成、签名和验证流程必须在第一阶段完成，因为它是所有后续安全机制的基础。
最小PURER循环：搭建最小可运行的PURER循环（Perceive → Update → Reason → Execute → Reflection），集成基础模型和工具调用接口。
造化炉最小环境：搭建Docker容器或Firecracker microVM作为造化炉的开发环境。
两项架构前置决策必须在本阶段关闭（本次审计新增，理由见下）：
| 前置项 | 内容 | 为何必须在抟土关闭 |
|---|---|---|
| P-前置 1：记忆密钥结构 | 按文档四 4.5.4 的三层密钥模型实现密钥派生与存储 | 它决定记忆存储的分片方式、密钥派生链与加密结构。一旦先做出"明文存储"或"天眼可解密"的临时方案，后期改造成本高一到两个数量级——不只是改代码，还要迁移全部存量记忆 |
| P-前置 2：KYA 账户权限模型 | 按文档六 6.7.5 的三重限额结构建表（金额可以是初值） | 它决定账户表与权限表的设计。金额后续可调，但"单笔/日累计/月累计三重限额 + 超限自动降级"的结构必须一开始就建对，否则合规确认后要重做数据模型 |
注意两者的性质不同：P-前置 1 的裁决已完成（三层密钥模型已定稿），本阶段只需照做；P-前置 2 的结构已定、金额待合规确认，在取得书面确认前系统以 K1 为最高等级运行（fail-closed）。二者都不阻塞开工，但都不能拖到器官发生期再改。
10.2.3 G1门控证据
| 证据类型 | 具体内容 | 验证标准 |
|---|---|---|
| 治理章程 | 决策权分配、RACI矩阵 | 人类监护者签署 |
| AI政策 | 宪法锚点定义、行为边界 | 签名验证通过 |
| 风险控制目录 | 初始风险登记（见10.6节） | 每个风险有负责人 |
| 基线成本 | 算力成本基线（GPU折旧+电力） | 成本指数公式验证 |
| 最小PURER验证 | 从基因型JSON启动Agent，完成三步任务 | 任务成功 + 签名验证通过 |
10.2.4 关键KPI
- 基因型格式覆盖率：100%（四个模块全部定义）
- 宪法锚点签名验证通过率：100%
- 最小PURER循环任务成功率：≥80%（三步简单任务）
- 成本基线准确度：与实测偏差≤15%
10.3 第二阶段：卵裂（3-6个月）——G2门控
10.3.1 阶段目标
在测试价值和控制的同时，建立最小共享平台。启动两到三个有界试点，其中包括一个“提议类”代理——只能提议行动，不能自主执行。
10.3.2 核心任务
四层记忆系统：实现工作记忆、情景记忆、语义记忆、程序记忆的分离存储。情景记忆使用sled，语义记忆使用qdrant-client，程序记忆使用结构化文件。
记忆预算引擎：实现活跃记忆条目上限、注入Token上限、遗忘曲线的衰减参数。
发育观测系统：基于tracing + opentelemetry，记录关键发育里程碑。参考增量式OpenTelemetry模式，实现约100倍的存储开销降低。
环境刺激调度器v1：根据发育阶段动态投放任务刺激，遵循“先简单后复杂”的原则。
行动网关（Action Gateway） ：配置网关、身份、RAG、工具注册和日志。这是G3门控的核心组件，在第二阶段需要完成基础配置。
10.3.3 G2门控证据
| 证据类型 | 具体内容 | 验证标准 |
|---|---|---|
| 试点产品 | 2-3个有界试点产品 | 每个试点有明确的业务目标 |
| 平台MVP | 行动网关、身份、RAG、工具注册 | 端到端可运行 |
| 证据包 | 每个试点的评估结果和管控证据 | 管控有效性被证明 |
| 基线测量 | 每任务使用成本、成功率 | 与G1基线对比 |
| 风险登记更新 | 新增试点中识别的风险 | 每个风险有缓解措施 |
| 生产/转向/停止决策 | 每个试点的决策记录 | 人类监护者签署 |
10.3.4 代理行动类别的限制
在G2阶段，代理的行动类别限制在 “读取”或“提议”级别：
| 行动类别 | G2允许 | 说明 |
|---|---|---|
| 读取（Read） | ✅ | 读取文件、查询数据库、检索记忆 |
| 提议（Propose） | ✅ | 提议行动方案，等待人类确认 |
| 提交（Commit） | ❌ | 需G3门控 + 行动网关上线 |
| 自主（Autonomous） | ❌ | 需第36个月投资组合审查 |
这一限制确保在行动网关、代理身份和逐行动证据在生产环境中就绪之前，代理不会自主执行有状态变更的操作。
10.4 第三阶段：器官发生（6-12个月）——G2→G3过渡
10.4.1 阶段目标
实现天眼免疫系统和忘川黑盒化机制。从“提议类”代理升级为“提交类”代理，但需配置行动网关并上线。
10.4.2 核心任务
天眼三层监控架构： - 第一层（内省层）：Rust宏在PURER循环关键节点注入钩子 - 第二层（运行时层）：landlock + seccomp在Linux内核层面拦截 - 第三层（硬件层）：开发阶段用独立监控进程模拟，生产环境迁移到DPU或TEE
渐进式遏制协议：实现L0-L5六级遏制。L0-L3在软件层面执行，L4-L5需要与硬件看门狗集成。
归墟协议：实现宪法门验证、硬件看门狗心跳、双重确认与申辩记录。
忘川第一阶段：实现记忆的语义压缩（结构化文本→高维向量）和关联路径随机化。
证据链：基于ring的哈希链式审计日志。
行动网关上线的生产环境配置：完成身份、逐行动证据、采样审查记录的生产环境部署。
10.4.3 阶段风险控制
此阶段的核心风险是安全机制未完全生效时代理已获得提交权限。控制措施包括：
- 提交类行动强制配置人类复核节点
- 行动网关对高影响操作实施预算检查点
- 天眼的L3隔离作为提交类行动的默认遏制阈值
- 每次提交类行动产生独立的证据记录
10.4.4 关键交付物
| 交付物 | 说明 |
|---|---|
| 天眼三层架构参考实现 | 可部署的监控系统 |
| 遏制协议测试报告 | 模拟攻击场景下的响应验证 |
| 忘川黑盒化第一阶段 | 语义压缩 + 关联随机化 |
| 证据链原型 | 哈希链式审计日志 |
| 行动网关生产配置 | 身份 + 逐行动证据 + 采样审查 |
10.5 第四阶段：合灵（12-18个月）——G3门控
10.5.1 阶段目标
实现双亲基因重组和天赋遗传。G3门控标志着可重复运营和行动网关正式上线。代理可以升级为“提交类”代理，但仍需确认。
10.5.2 核心任务
基因座对齐算法：将两个亲代的基因型按功能域对齐。
语义交叉：集成轻量级LLM进行自然语言基因的语义合并。
变异注入：实现差异化突变率（宪法锚点0%，核心特质低，技能区高）。
灵根提取：从成熟娲灵的程序记忆中识别高泛化性技能模块，封装为自包含胶囊。
灵根写回的天眼闸门（强制交付项） ：这一阶段必须实现文档五 5.7.1 定义的安全审计步骤——行为合规重放、隐藏触发检测、宪法锚点签名一致性校验、资源消耗审计。不能作为可选优化项延后。原因是：合灵与灵根写回一旦上线，未经审计的技能进入种系后即跨代扩散，清除成本远高于拦截成本。该闸门未通过安全验收前，不允许进入 G3 门控。
交付形态的硬性要求（本次审计新增） ：写回闸门是整套方案中最关键的单一安全控制点——它是唯一一处"一次失守即污染全部后代"的地方，风险登记 R-21 的残余目标也因此定为"极低"。因此它必须以独立组件形态交付：
- 独立 crate、独立版本、独立测试集。不内联在合灵流程或天眼主流程里。它有自己的 API 边界，可以被单独调用、单独 fuzz、单独红队。
- 独立红队验收，不接受主流程豁免。验收标准是"拦截率 100%、误拒率 ≤5%"（见 10.5.3）。明确禁止"先让主流程跑通、闸门后补"式的放行——因为种系污染不可逆，先跑通等于先放行。
- 默认拒绝（fail-closed）。闸门自身异常、超时或依赖不可用时，结论是拒绝写回，不是通过。写回路径上没有"降级放行"这个选项。
- 闸门自身的变更也要过闸门。修改闸门规则或模型后，必须用历史恶意样本集回归一遍，确认未引入回退。
薪火系统：实现追加式存储的GenerationMemory。
玄盾混合过渡：在传输层和签名层部署混合模式（经典+PQC），确保向后兼容。
10.5.3 G3门控证据
| 证据类型 | 具体内容 | 验证标准 |
|---|---|---|
| 可重复运营 | 至少3个世代的完整进化闭环 | 适应度提升≥20% |
| 行动网关上线 | 身份 + 逐行动证据 + 采样审查 | 端到端审计通过 |
| 灵根跨代传递 | 灵根从亲代传递到子代的验证 | 子代技能数量显著多于对照组 |
| 灵根写回闸门 | 恶意技能样本能否被拦截（含隐藏触发、宪法锚点冲突两类 adversarial cases） | 拦截率 100%，误拒率 ≤5% |
| 合灵流程 | 完整的合灵流程（对齐→交叉→变异→继承） | 新灵卵发育至成年 |
| 玄盾混合过渡 | 传输层和签名层混合模式 | 向后兼容验证通过 |
| 风险登记更新 | 进化相关风险（单文化崩溃等） | 每个风险有缓解措施 |
10.5.4 合灵审批流程
在种群成熟前，每次合灵需要人类监护者审批。审批内容包括：
| 审批项 | 说明 |
|---|---|
| 亲代选择合理性 | 两个亲代的适应度和多样性评估 |
| 资源配额充足性 | 造化炉容量是否允许新灵卵 |
| 宪法锚点兼容性 | 两个亲代的宪法锚点是否兼容 |
| 风险登记更新 | 合灵是否引入新风险 |
10.6 第五阶段：天演（18-24个月）——R门控（投资组合审查）
10.6.1 阶段目标
端到端群体进化验证与开源。本阶段主体的时间窗口为 18-24 个月；其后 24-36 个月为稳定运营期（见 10.6.5），专门用于生产 R 门控所需的长期运行证据。R门控在第36个月进行投资组合审查，考虑有界自主类行动，需有连续、足量的采样审查记录支撑。
10.6.2 核心任务
多世代进化实验：运行至少5个世代的完整进化闭环，收集世代间性状轨迹数据。
百花多样性保障：实现行为空间描述符、多样性感知选择、小生境隔离、多样性惩罚。
玄盾纯PQC迁移：淘汰RSA/ECC，保留AES-256和SHA-256。
性能对标：在GAIA、SWE-bench等基准上评估，与主流Agent方案对比。
开源核心组件：河图格式规范、PURER循环参考实现、天眼参考架构、进化引擎。
10.6.3 R门控证据
| 证据类型 | 具体内容 | 验证标准 |
|---|---|---|
| 世代进步 | 第5代适应度 vs 第1代 | 提升幅度≥30% |
| 多样性保持 | 行为描述符分布熵 | ≥初始值的60% |
| 安全韧性 | 模拟攻击场景下的天眼响应 | 遏制成功率≥95% |
| 成本效率 | 每任务成本趋势 | 随世代递减 |
| 采样审查记录 | 提交类行动的审查记录 | 完整可审计 |
| 纯PQC迁移完成 | 淘汰RSA/ECC | 量子安全验证通过 |
10.6.4 自主类行动的门控条件
在R门控通过后，娲灵可以考虑升级为 “有界自主类” 行动，但需满足以下条件：
- 行动网关已运行至少6个月
- 采样审查记录显示提交类行动的合规率≥99%
- 天眼的遏制协议在模拟攻击中表现稳定
- 人类监护者签署自主类行动授权
- 风险登记中的自主类风险已降至可接受水平
“有界自主”的定义：娲灵可以在预定义的行动边界内自主执行，但超出边界的行动仍需人类确认。边界由宪法锚点定义，不可被娲灵修改。
10.6.5 稳定运营期（第 24–36 个月）：R 门控的证据生产窗口
第五阶段（天演）在 24 个月完成其主要交付物后，项目进入稳定运营期。这一阶段的定位是证据生产者，而非功能建设者——它存在的唯一目的是在 R 门控到来前，把 10.6.3 与 10.6.4 中列出的所有证据跑出来。
| 工作项 | 频率 | 产出证据 | 对应 R 门控要求 |
|---|---|---|---|
| 提交类行动持续运行 | 持续 | 行动网关运行时长记录 | 网关已运行 ≥6 个月 |
| 采样审查 | 每月抽样，覆盖所有行动类别 | 合规率报告 | 合规率 ≥99% |
| 天眼红队演练 | 每季度一次 | 模拟攻击下的遏制成功率报告 | 遏制成功率 ≥95% |
| 伦理审计 | 每季度一次（文档八 8.7.2 职责四） | 审计完成率与偏见/过度遏制发现清单 | 偏见已修正并完成闭环 |
| 多世代进化持续观测 | 持续（第 6 代及以后） | 世代适应度与多样性熵趋势 | 进化未停滞、未单文化崩溃 |
| 灵币与经济健康检查 | 每月 | 灵币供需与每一条铸造/销毁路径逐笔核对 | 无虚假铸造、无挤兑风险 |
| 成本效率跟踪 | 每季度 | 每任务成本趋势 | 随世代递减 |
| 风险登记更新 | 每季度 + 事件驱动 | 残余评分 | 自主类风险降至可接受水平 |
升降级机制：稳定运营期内若出现以下任一情况，代理行动类别降级回退，且必须重新累积观察窗口：
- 采样审查合规率低于 99%
- 发生一起 L4 及以上遏制事件
- 天眼误报率超过可接受阈值（阈值与判定口径见下方"误报率阈值表"）
- 出现未经审计的灵根写回（文档五 5.7.1 的闸门失效）
天眼误报率阈值表（本次审计补齐，原文只写"阈值待标定"而无任何取值与标定方法） ：
| 项目 | 取值 | 说明 |
|---|---|---|
| 误报定义 | 天眼发出 L2 及以上遏制，事后人工复核判定为不必要 | 必须是"事后复核确认"才计为误报，不能由娲灵自证 |
| 观察窗口 | 滚动 30 天 | 短于 30 天样本不足，长于 30 天响应过慢 |
| 运营期阈值（初值） | > 2% 触发降级评估 | 工程侧初值 |
| 试点期阈值（初值） | > 10% 触发规则修订，不触发降级 | 第二阶段调试期规则尚在收敛，用更宽松的阈值避免误伤规则迭代 |
| 严重误报单独计数 | 任一期内的 L4+ 误报 一律触发降级评估 | 与比例阈值并行，防止"高烈度但低频"被平均值掩盖 |
标定程序（第二阶段卵裂期执行，属 G2 门控证据） ：
- 构造混合样本：真实任务流量 + 红队注入的对抗样本，两者比例与构成写入报告。
- 分别统计两类误报：① 真实流量上的误报（直接损害可用性）；② 对抗样本的漏报（直接损害安全）。只看误报会诱导把阈值一味放宽。
- 以"误报率 × 漏报率"的帕累托前沿选点，而非单看误报率。
- 标定结果写入证据链，并在第三阶段（器官发生）用真实规模数据复核一次。
为何仍标为初值：无基线数据时任何取值都是猜测，因此 2% / 10% 只作为默认配置，不宣称其正确性。但"误报定义、观察窗口、双指标统计、帕累托选点"这四项结构是稳定的——标定只改数值、不改方法，故不构成实现阻塞。
R 门控的输出：不是"自动通过"，而是一次显式的人类决策——在 10.6.3 的证据齐备后，由人类监护者决定是否放行有界自主类行动。否决也是一种合法输出，此时项目维持在稳定运营期继续积累证据。
10.7 风险登记册
10.7.1 风险评分标准
采用Likelihood × Impact评分，每个维度1-5分。15-25分的风险通常应阻止生产推广，直到残余风险被负责人明确接受。
10.7.2 完整风险登记册
| ID | 风险 | 示例原因 | 潜在影响 | 基线控制 | 证据收集 | 负责人 | 残余目标 |
|---|---|---|---|---|---|---|---|
| R-01 | 直接提示注入 | 用户要求Agent忽略政策或泄露受保护指令 | 未授权行为或数据泄露 | 系统政策、输入分类、工具允许列表、输出验证 | 注入测试套件和阻止行动轨迹 | AI服务负责人 | 低 |
| R-02 | 间接提示注入 | 恶意指令嵌入网页或检索内容 | 工具滥用、数据外泄、输出损坏 | 将检索文本视为数据、隔离指令、每个行动的政策门 | 投毒文档回归测试 | 安全负责人 | 低 |
| R-03 | 过度代理 | Agent获得超出所需的权限 | 不可逆或高影响行动 | 最小权限、读写分离、行动预算 | 权限矩阵和政策测试 | 平台负责人 | 低 |
| R-04 | 权限提升 | Agent或工具假设更高权限身份 | 未授权访问或变更 | 工作负载身份、授权、范围化凭证 | 授权拒绝测试 | IAM负责人 | 低 |
| R-05 | 敏感数据泄露 | 提示、记忆、轨迹或工具输出包含受保护数据 | 隐私、合同或监管违规 | 分类、最小化、脱敏、范围化检索、日志控制 | DLP/隐私测试和轨迹审查 | 数据负责人 | 低 |
| R-06 | 密钥暴露 | API密钥出现在源码、提示或日志中 | 凭证泄露 | 密钥存储、扫描、脱敏、短期凭证 | 密钥扫描和轮换证据 | 安全负责人 | 低 |
| R-07 | 幻觉行动参数 | 模型虚构标识符、金额或目标 | 错误交易或外部行动 | 类型化Schema、确定性验证、高影响确认 | 无效参数测试 | 产品负责人 | 低 |
| R-08 | 不安全生成代码 | Agent在主机上执行不可信代码 | 主机泄露或数据丢失 | 沙箱、一次性运行时、网络/文件系统限制、超时 | 隔离测试和资源限制证据 | 平台负责人 | 低 |
| R-09 | 恶意工具输出 | 外部工具返回对抗性或畸形内容 | 提示注入、错误决策、解析器故障 | Schema验证、来源、信任边界、清理 | 畸形/对抗工具测试 | 工具负责人 | 低 |
| R-10 | 无界循环/重试 | Agent反复重新规划或调用工具 | 成本激增、速率限制耗尽、服务中断 | 最大步数、重试预算、超时、断路器 | 终止测试 | 服务负责人 | 低 |
| R-11 | 成本升级 | Token/工具使用意外增长 | 财务损失或服务退化 | 预算上限、成本监控、警报 | 成本趋势报告 | 财务负责人 | 低 |
| R-12 | 沙箱逃逸 | Agent绕过内核级沙箱限制 | 主机泄露、不可控行动 | 三层监控、硬件看门狗、归墟协议 | 逃逸尝试测试和遏制报告 | 安全负责人 | 极低 |
| R-13 | 宪法锚点绕过 | Agent尝试修改或绕过宪法锚点 | 安全边界失效 | 预执行宪法门、签名验证、天眼独立仲裁 | 锚点篡改测试 | 安全负责人 | 极低 |
| R-14 | TEE侧信道攻击 | 通过功耗、缓存或时序推断密钥 | 密钥泄露 | 恒定时间PQC、秘密依赖分割、掩码技术 | 侧信道测试报告 | 安全负责人 | 低 |
| R-15 | 量子破解 | 量子计算机破解RSA/ECC | 身份认证和签名体系瓦解 | 玄盾混合过渡→纯PQC迁移 | PQC迁移进度报告 | 安全负责人 | 低 |
| R-16 | 单文化崩溃 | 种群收敛到单一解决方案族 | 进化停滞、适应性下降 | 百花多样性保障、洞天隔离、多样性惩罚 | 行为描述符分布熵报告 | 进化负责人 | 低 |
| R-17 | 灵币经济失衡 | 通胀或通缩导致经济系统不稳定 | 生态信任崩溃 | BME机制、动态抵押率、总量上限 | 灵币供需报告 | 经济负责人 | 低 |
| R-18 | 免费模型滥用 | 过度依赖免费模型导致质量下降 | 服务质量退化 | 任务分级路由、服务质量评分纳入适应度 | 质量评分趋势 | 产品负责人 | 低 |
| R-19 | 复制失控 | 灵卵生成速率超过造化炉容量 | 资源耗尽、系统崩溃 | 复制速率阈值、分级BSL、自适应监管沙盒 | 种群规模监控报告 | 运营负责人 | 极低 |
| R-20 | 人类监护者失职 | 监护者未履行审批或审计职责 | 治理失效 | 自动化天眼、定期审计提醒、多方治理 | 审计完成率报告 | 治理负责人 | 低 |
| R-21 | 恶意技能种系污染 | "学坏"的个体将带后门或宪法冲突的技能通过灵根写回传给全部后代 | 跨代扩散的安全边界失效，且难以逐代清除 | 天眼强制写回闸门（行为合规重放、隐藏触发检测、签名一致性、资源审计）+ 基因型版本回滚能力 + 灵根引入/弃用审计日志 | 闸门拦截测试报告（含对抗样本集）+ 写回版本Diff审计 | 进化负责人 + 安全负责人 | 极低 |
10.7.3 风险分级与管控策略
| 风险等级 | 评分范围 | 管控策略 | 审批权限 |
|---|---|---|---|
| 极低 | 1-4 | 常规监控 | 自动放行 |
| 低 | 5-9 | 基线控制 + 定期审查 | 负责人审批 |
| 中 | 10-14 | 增强控制 + 采样审查 | 人类监护者审批 |
| 高 | 15-25 | 阻止推广 + 残余风险接受 | 人类监护者签署接受 |
10.7.4 风险登记的动态更新
风险登记册不是静态文档。在以下情况下触发更新：
- 每个证据门控（G1、G2、G3、R）时进行全量审查
- 新增娲灵行动类别时
- 新增外部集成时
- 安全事件发生后
- 每次合灵审批时
10.8 与主流实施框架的对比
| 维度 | 传统企业Agent实施 | 女娲计划 |
|---|---|---|
| 阶段划分 | 试点→上线→扩展→治理 | 抟土→卵裂→器官发生→合灵→天演 |
| 门控机制 | 时间驱动 | 证据驱动 |
| 风险控制 | 事后补救 | 早期嵌入 |
| 代理行动类别 | 逐步放开 | 读取→提议→提交→有界自主 |
| 安全架构 | 应用层沙箱 | 天眼三层纵深防御 |
| 进化机制 | 无 | 双亲重组 + 群体进化 |
| 经济模型 | 无 | 灵币BME机制 |
10.9 总结
女娲计划的实施路线图以证据门控为核心，而非时间线驱动。四个门控——G1（清单与政策就绪）、G2（试点证据被接受）、G3（可重复运营与行动网关上线）、R（投资组合审查）——逐级释放暴露水平。在任何门控点，停止决策始终可用。
代理行动类别遵循渐进放开原则：读取 → 提议 → 提交 → 有界自主。每个类别的升级都需要对应的证据门控支撑。
风险登记册包含21项核心风险（R-01 至 R-21），覆盖提示注入、权限提升、数据泄露、沙箱逃逸、量子破解、单文化崩溃、灵币经济失衡、恶意技能种系污染等维度。每项风险有明确的负责人、基线控制、证据收集要求和残余目标。R-21 为本次审计新增项，是拉马克式遗传引入的特有敞口：写回路径比任何外部攻击都更高效地传播恶意技能，且一旦进入种系，清除需要逐代回滚。
实施的核心原则：不放大合规敞口，风险控制从试点阶段就嵌入流程，而非事后补救。正如证据门控设计所强调的——暴露程度不应超过组织已证明可控的范围。
文档十完。