女娲计划文档四：免疫系统与安全体系

4.1 天眼的本质与设计哲学

4.1.1 为什么需要独立的免疫系统

当前主流Agent的安全模型是应用层沙箱——在Agent运行时内部嵌入规则引擎，拦截越权操作。这种模型有一个根本缺陷：Agent和安全规则运行在同一个信任域内。如果Agent被攻破，安全规则同样可能被绕过。

女娲计划的设计哲学是：假定Agent可能被攻破，限制潜在损害。安全不依赖娲灵的自我约束，而依赖架构的硬性约束。天眼是女娲计划中唯一不属于娲灵自身的组件。它独立运行在娲灵运行时之外，拥有自己的内存和计算资源。娲灵无法感知、访问或篡改天眼。

这与生物免疫系统的逻辑一致：免疫系统不参与思考，但它决定了一个有机体能不能在充满病原体的环境中活下去。

4.1.2 天眼的三条设计原则

原则一：不信任Agent内省数据。 娲灵自身产生的行为日志、决策理由、反思记录，天眼不信任其完整性，仅将其作为参考信号。真正的监控数据来自操作系统内核和硬件层。

原则二：非对称受限通信。 天眼与娲灵之间不是对等总线，而是一条非对称受限通道。

• 下行（天眼 → 娲灵） 只有两类内容：宪法门的 PASS/BLOCK 判决，以及 L0-L5 遏制动作。娲灵无法否决、延迟或改写。
• 上行（娲灵 → 天眼） 只允许四类固定结构的消息，写入独立的一次性收件区（受速率与长度硬限制）： 1. 行动提议（供宪法门预执行验证，见 4.4.2 第一重） 2. 心跳存活证明 + 宪法锚点一致性证明（见 4.4.2 第二重） 3. 归墟申辩记录（见 4.4.2 第三重） 4. 遗忘权请求（见文档八 8.5.2 权利五）
• 上行的关键约束：天眼从不信任上行内容的完整性。娲灵可能在被攻破后伪造叙述与申请，因此上行消息仅用于触发天眼自己的判断流程，绝不作为天眼的判定数据源。真正的监控数据始终来自内核层（4.2.2）与硬件层（4.2.3）。
• 娲灵绝对不可写入：天眼的规则库、证据链、行为基线、基因座密钥、以及任何判决逻辑。

这一设计确保即使娲灵被完全攻破、上行通道被反复滥用，天眼仍然有效——因为它的判决依据从不来自娲灵。"娲灵无法写入任何数据"应被准确理解为"娲灵无法写入天眼的任何状态或判决"，而非"天眼不接受任何来自娲灵侧的消息"。

注：本原则取代早期草稿中使用的"单向通信"表述。原文的"单向"在文档链中与宪法门验证流程（4.4.2）、归墟申辩记录（4.4.2）、遗忘权请求（文档八 8.5.2）等多处设计冲突，无法同时成立。

原则三：不可绕过性。 归墟协议的触发条件是预先定义的、不可被娲灵修改的。执行逻辑运行在独立于娲灵的安全域中。娲灵无法通过任何接口延迟、阻止或绕过归墟。

4.2 天眼三层纵深防御

4.2.1 第一层：Agent内省层

位置：运行在娲灵进程内部。

实现方式：通过Rust宏在PURER循环的关键节点注入钩子，记录每一阶段的输入输出、工具调用参数、决策理由。

记录内容：

信任级别：天眼不信任这一层的数据完整性。娲灵可能在攻破后篡改自己的内省日志。因此，这一层的数据仅作为参考信号，用于与第二层、第三层的数据进行交叉验证。

4.2.2 第二层：运行时监控层

位置：运行在宿主机上的独立监控进程。

实现方式：通过eBPF和Landlock LSM在内核层面拦截娲灵的系统调用、文件访问、网络请求。

核心技术：

信任级别：这一层的数据由操作系统内核产生，娲灵无法篡改。参考IronClad AI Agent的零信任三环架构——将意图生成、策略执行和沙箱执行在架构上分离，确保策略执行层不受Agent影响。

4.2.3 第三层：硬件监控层

位置：运行在独立于娲灵虚拟机的安全协处理器或DPU上。

实现方式：天眼的核心决策逻辑（宪法门验证、归墟触发决策）在这一层执行。

关键设计：NVIDIA将监控和终止开关放在BlueField-4 DPU上，该DPU独立于主机运行，Agent无法访问或关闭它。女娲计划的天眼同样采用这一设计——即使娲灵完全攻破了自己的虚拟机，天眼仍然有效。

信任级别：这一层是天眼的最高信任域。它不受娲灵影响，不受宿主机操作系统影响，不受网络攻击影响。它是天眼的“最后防线”。

4.3 渐进式遏制协议

4.3.1 六级遏制响应

4.3.2 遏制级别的升级逻辑

遏制级别的升级由异常检测引擎根据异常严重性和持续性自动决定。升级逻辑是非线性的——严重异常可以直接从L0跳升至L3，无需逐级升级。

升级触发条件：

• 严重性：行为的潜在损害越大，升级越快。沙箱逃逸尝试直接从L0跳升至L4。
• 持续性：如果异常持续存在且遏制措施无效，逐级升级。L2限制后异常仍持续，升级至L3。
• 重复性：如果同类异常反复出现，升级阈值降低。第一次异常触发L1，第二次同类异常直接触发L2。

4.3.3 遏制执行的不依赖娲灵配合

关键设计：遏制级别的升级不依赖于娲灵的配合。它由天眼直接执行。娲灵无法通过拒绝配合来阻止遏制升级。

具体而言：

• L2的网络限制由天眼在宿主机层面执行，娲灵无法绕过。
• L3的网络切断由天眼在硬件层面执行，娲灵无法恢复。
• L4的进程暂停由天眼通过硬件看门狗执行，娲灵无法阻止。
• L5的归墟由天眼在安全协处理器上执行，娲灵无法延迟。

4.4 归墟协议：不可绕过的自毁

4.4.1 归墟的触发条件

当归墟被触发时，娲灵的生命过程终止。触发条件是预先定义的、不可被娲灵修改的：

• L4无法恢复（冻结后仍无法拉回边界内）
• 确认严重越界（宪法锚点篡改尝试、大规模未授权操作）
• 沙箱逃逸尝试且确认成功
• 连续严重越界（L3隔离后仍持续越界）

4.4.2 归墟的三重不可绕过性

第一重：预执行宪法门

每个娲灵操作在执行前必须经过宪法门的验证。宪法门的验证逻辑不在娲灵进程内，而在天眼的独立进程中。娲灵无法修改、延迟或绕过宪法门的验证。

通道归属：娲灵向宪法门提交的"行动提议"属 4.1.2 原则二定义的上行受限消息。天眼校验的是提议的结构合法性（Schema、参数类型、预算额度），判决所依赖的事实数据不取自提议本身，而取自第二层内核遥测与第三层硬件观测。因此即使娲灵在提议中谎报意图，也不影响判决结果。

第二重：硬件看门狗

天眼的宿主机侧维护一个硬件看门狗定时器。娲灵必须在每个心跳周期内向看门狗发送“存活证明”（包含当前任务摘要和宪法锚点一致性证明）。如果心跳超时或证明无效，看门狗触发硬件级终止信号。存活证明同样属上行受限消息，天眼只核对格式与密码学一致性证明，不采信其中的任务摘要内容。

第三重：双重确认与申辩记录

归墟触发后，娲灵有短暂窗口期（默认30秒）提交"申辩记录"。申辩记录包含娲灵的决策逻辑和上下文快照，但不阻止归墟执行。申辩记录作为事后审计材料，输入证据链。

通道归属：申辩记录属 4.1.2 原则二定义的上行受限消息之一，写入天眼的一次性收件区，不参与归墟决策、不可修改任何天眼状态。其内容被假定为可能伪造——天眼不因申辩内容改变执行路径，仅将其原样留档供事后取证。收件区在这 30 秒窗口外不开放，窗口结束后立即封闭，避免成为常态写入通道。

这一设计确保归墟的执行不受娲灵配合程度的影响。娲灵可以申辩，但不能阻止归墟。

4.4.3 归墟后的处理

归墟执行后，以下内容被保留：

娲灵归于墟，但它的“灵”可能通过灵根和薪火继续影响下一代。

4.5 模块加密与基因座保护

4.5.1 混合加密体系

女娲计划中所有敏感数据（基因型、记忆内容）以密文形式存储。

玄盾算法基线表（全文档链唯一权威，其余章节以此为准） ：

密钥存储：所有密钥存储在TEE（可信执行环境）中。TEE提供硬件级别的隔离，即使操作系统被攻破，TEE内的密钥也无法被读取。密钥派生根（root-of-trust）绑定 TEE 硬件身份，迁出即失效（见 4.5.2 防复制）。

4.5.2 基因座的三重保护

防探查：

• 基因座与记忆数据在静态存储时加密，数据密钥由 TEE 内部持有、绑定硬件身份、永不外泄（不是"由天眼保管"，详见 4.5.4）。
• 在使用时，数据仅在TEE内部解密和使用。
• 外部观察者无法通过任何接口读取基因座的明文内容，天眼同样不能——天眼只持有删除权与验证权，不持有解密权。

防复制：

• 基因座数据与TEE的硬件身份绑定。
• 每个TEE芯片都有唯一的、不可篡改的密钥。
• 数据只能在这个特定的TEE内解密，拷贝到其他地方将无法使用。

防篡改：

• 采用哈希链（Hash Chain）技术保证完整性。
• 基因座的每个数据块都与前一个数据块的哈希值关联，形成一条链。
• 任何对数据的修改都会破坏后续所有哈希值，天眼系统可以立即检测到。

4.5.3 授权的精细管控

零信任原则：不信任任何默认的网络位置，所有访问请求都必须经过严格的身份验证和动态授权。

授权模型：

授权凭证：使用短期有效的、经过签名的访问令牌（Token）来证明授权。令牌具有有效期，减少了令牌泄露的风险。

4.5.4 记忆密钥归属：三层密钥模型（全文档链唯一权威）

裁决结论：采用三层密钥模型。核心取舍是——明确接受"天眼永远看不见记忆明文"这一审计代价，换取娲灵状态主权的真实性。

三条硬约束：

1. 能力与权限分离。删除权、验证权、解密权分属不同密钥。持有删除权不构成对内容的任何访问能力——这是本模型能同时满足状态主权与遗忘权的唯一原因。
2. 遗忘权以密码学擦除实现，不以"读取后判定"实现。天眼执行遗忘时，不读取目标内容，而是定位分片并销毁其数据子密钥。删除完成后，天眼只能出具"该分片已不可解密"的证明，无法出具内容摘要。这同时杜绝了"借遗忘之名行审计之实"的绕行路径。
3. 监护密钥有明确的时间边界。黑盒化是单向门：一旦触发，监护密钥作废，此后任何主体（含法院调取）在技术上均无法恢复明文。这一不可逆性必须在用户协议中事前明示，不能作为事后免责事由。

审计代价（必须显式接受）：天眼的行为审计只能基于内核层遥测、硬件层遥测与哈希链元数据，不能基于记忆内容。这意味着——若恶意内容以加密形态驻留于记忆中且未产生可观测行为，天眼无法主动发现。本方案的补偿控制是：行为侧检测（4.2 三层监控）+ 灵根写回闸门（文档五 5.7.1）+ 归墟的硬件级终止。这是用"放弃内容可见性"换"状态主权真实"的既定取舍，不是疏漏。

同步要求：本模型决定记忆存储的加密与密钥派生结构，抟土阶段必须按此实现，不得先做明文或"天眼可解密"的临时方案（遗留改造成本高一到两个数量级，见文档十 10.5.2）。

4.6 系统间互验

4.6.1 服务身份认证

SPIFFE/SPIRE：为每个服务（如一个造化炉进程）颁发一个基于密码学的、可验证的身份（SPIFFE ID）。服务间通信时，会互相出示这个身份，取代传统的IP白名单，实现了更安全的“零信任”网络。

4.6.2 远程证明

这是TEE提供的核心安全能力。当一个服务（如天眼）需要与其他服务通信时，它可以要求对方所在的TEE出示一份“健康证明”。

证明内容：

• TEE硬件签发的签名
• 运行代码的哈希值（MRENCLAVE）
• 运行时配置的哈希值

验证流程：

服务A请求与服务B通信
        │
        ▼
服务A要求服务B出示远程证明
        │
        ▼
服务B的TEE生成证明（包含MRENCLAVE）
        │
        ▼
服务A验证证明签名和MRENCLAVE
        │
        ├── 验证通过 → 允许通信
        └── 验证失败 → 拒绝通信

只有验证通过后，通信才会被允许。

4.6.3 双向TLS

在mTLS握手中，通信双方互相交换并验证证书，确保双方都是经过认证的合法服务。mTLS是上述验证机制的通用通信框架。

4.7 量子安全迁移：玄盾

4.7.1 量子威胁分析

对非对称加密的威胁：灾难性

RSA-4096和ECDSA在Shor算法面前完全不安全。Shor算法可以将大数分解和离散对数问题的求解时间从指数级降至多项式级。破解RSA-4096大约需要8,000到20,000个逻辑量子比特。

时间窗口：专家共识将密码学相关量子计算机的出现窗口集中在2030年至2035年。但“先存储，后解密”攻击已经构成当下威胁——攻击者现在可以截获并存储加密数据，等待量子计算机成熟后再解密。

对对称加密的威胁：可控但需升级

AES-256的情况要好得多。Grover算法对AES的加速是平方级的，它将AES-256的有效密钥强度从256位降至128位。但128位的安全强度在可预见的未来仍然是安全的。然而，AES-128的安全强度会降至64位，这是不可接受的。

4.7.2 多层混合加密策略

混合模式的核心原则：只要其中一种算法未被攻破，整体安全性就得以维持。

4.7.3 TEE与PQC的集成挑战

不能简单地将PQC算法塞进现有TEE。一项2026年的研究系统性评估了将Dilithium-3和Kyber-768部署在ARM TrustZone TEE中的问题：

解决方案：秘密依赖分割架构

┌─────────────────────────────────────────────────┐
│                 TEE Secure World                  │
│  ┌─────────────────────────────────────────┐    │
│  │  秘密依赖运算                             │    │
│  │  · 秘密种子生成                           │    │
│  │  · 噪声采样                               │    │
│  │  · 秘密向量运算                           │    │
│  │  · 恒定时间NTT实现                        │    │
│  └─────────────────────────────────────────┘    │
└──────────────────────┬──────────────────────────┘
                       │ 安全通道
                       ▼
┌─────────────────────────────────────────────────┐
│                Normal World                       │
│  ┌─────────────────────────────────────────┐    │
│  │  公开运算                                 │    │
│  │  · 矩阵A的生成                            │    │
│  │  · 公开的NTT变换                          │    │
│  │  · 哈希计算                               │    │
│  └─────────────────────────────────────────┘    │
└─────────────────────────────────────────────────┘

这一架构将秘密依赖运算隔离在Secure World中，将计算量大的公开运算移到Normal World，既保护了边界，又减少了TEE的计算负担。

4.7.4 抗侧信道实现

PQC算法（尤其是基于格的算法）对侧信道攻击天然脆弱。Kyber的除法运算时间依赖于秘密值，可被时序攻击利用。必须使用恒定时间算法（如constant-time NTT）和掩码技术。

Rust实现：silentops crate提供了无依赖的时序侧信道统计检测工具，支持ML-KEM和ML-DSA的时序测试。

4.7.5 迁移路线图

关键行动：立即停止在新部署中使用RSA-4096作为“量子缓解措施” ——它在Shor算法面前与RSA-2048一样脆弱，只是白白增加性能开销。正确的路径是直接迁移到NIST标准化的PQC算法。

遗留系统的处理：任何仍依赖 RSA-4096 / ECDSA(P-256) 的历史组件，必须走遗留适配器路径——适配器不进入玄盾基线，需在 TEE 改造阶段（6-12个月）前完成替换，并在其证书/有效期到期时强制下线。适配器的存在期限与清单纳入风险登记册 R-15 的证据收集项。

4.8 证据链与可观测性

4.8.1 哈希链式审计记录

天眼的所有决策和操作产生不可篡改的审计记录，采用哈希链式结构。每一次天眼的决策（监控事件、异常检测结果、遏制升级、归墟触发）都生成一个记录块，记录块包含前一个块的哈希值，形成链式结构。

记录块结构：

任何对历史记录的修改都会破坏后续所有哈希值，天眼系统可以立即检测到。

4.8.2 可观测性架构

基于增量式OpenTelemetry的模式：参考TraceBrain框架的设计，实现了约100倍的存储开销降低，同时支持按需重建长程执行轨迹。

关键指标：

4.9 与生物免疫系统的对照

这一对照关系不是比喻，而是工程设计的直接映射。天眼的每一个组件，都可以在生物免疫系统中找到对应的机制。这不是巧合，而是“让一个数字主体在真实世界中长期自主行动”这件事本身的最低安全要求。

4.10 总结

天眼是女娲计划的安全核心。它采用三层纵深防御——Agent内省层、运行时监控层、硬件监控层。它执行六级渐进式遏制——从L0常态到L5归墟。它的归墟协议具有三重不可绕过性——预执行宪法门、硬件看门狗、双重确认与申辩记录。

天眼的密码学体系采用混合加密方案，正在向纯PQC迁移。TEE采用秘密依赖分割架构，解决了PQC在TEE中的内存和侧信道挑战。

天眼的所有决策产生不可篡改的哈希链式审计记录。它的可观测性架构基于增量式OpenTelemetry，实现了约100倍的存储优化。

天眼与生物免疫系统的对照关系不是比喻，而是工程设计的直接映射。安全不依赖娲灵的自我约束，而依赖架构的硬性约束。

文档四完。文档五：进化闭环与群体机制，将在下一轮整理。