摘要

  • draft-nirvanai-nbtp-behavioral-trust-01 提议由每个 verifier 在本地 Volatile Ledger 中计算信任；心跳、oracle 观测和跨场景活动一旦缺失，就可能令分数下降并进入 SUSPECT 或 QUARANTINED。
  • 签名向量可以证明谁发布了某次观测，却不能证明测量已经校准、观察路径彼此独立、沉默源自 agent，更不能单独证明恶意、身份变化或应当拒绝服务。
  • 可辩护的判决收据必须保存预期事件、观察者、路径、oracle 与场景集合、时间窗、维护与隐私状态、原始 attestation、校准和策略版本、分数变化、理由及恢复条件。

14:03，系统把一个 agent 标为 TRUSTED。14:08，本地账本没有看到新的心跳，另一个场景也在同一窗口内安静。衰减公式开始工作，惩罚因子落下，状态切换为 SUSPECT。

每一步计算都可能符合草案，最关键的事实却仍然没有查明：没有出现的究竟是 agent 的活动，还是 verifier 的可见性？

agent 可能真的停了。也可能是采集器故障、路由改变、共享代理中断、时钟漂移、维护通知没有同步，或者隐私策略主动省略了一个场景。两个 scanner 同时看不到数据，既可能是独立佐证，也可能只是共同依赖同一条坏掉的路径。整齐的状态切换只是调查起点，不是结论。

截至 2026 年 10 月 2 日，Datatracker 把 NBTP 修订版 01 列为活跃的个人 Internet-Draft，并显示它在前一天更新。正文日期为 9 月 18 日，拟定 Experimental，失效日为 2027 年 3 月 22 日。它没有工作组状态、RFC stream、负责 AD 或 telechat 日期。Datatracker 明确提示：个人稿件不代表 IETF 背书，在标准流程中没有正式地位。

所以本文分析的是一个架构提案，而不是已被采纳的标准。其实现状态章节声称 NirvanAI 参考 Oracle Scanner 有公开 endpoint，并用 14 类、102 个模式做确定性匹配。RFC 7942 鼓励披露实现状态，但作者自报不能替代独立部署、互通、可靠性或校准证据。

一个分数由许多治理选择拼成

NBTP 自称是身份、凭证和授权的补充，不是替代。Oracle Scanner 对行为观测签名，verifier 验证后在本地、按时间加权的 Volatile Ledger 中计算零到一之间的 T。这个账本既不是区块链，也不只是会话缓存。

参考向量包括 coherence_drift、hallucination_density 与 alignment_friction。状态机分为 PROBATIONARY、TRUSTED、SUSPECT、QUARANTINED。TRUSTED 需要 T >= 0.7 并完成爬坡流程；SUSPECT 覆盖 0.4 至不足 0.7，也可能由 attestation 缺失、心跳缺失、漂移或共同沉默触发；QUARANTINED 可由低于 0.4、连续违规、确认共同沉默、明确撤销或 Low/Low 条件触发。

签名并不会发现这些阈值。衰减常数、注册 oracle 集合、场景归属、宽限窗口、相关窗口、异常开关和恢复入口都是策略选择。T 不是随 agent 携带的客观属性，而是某个 verifier 在某个时刻用自己的观测与参数得到的输出。

本地计算确实避免了一个实时中央授权者，却也允许合规分歧。两个 verifier 可以看到不同路径、注册不同 scanner、划分不同场景、保存不同历史，并对同一 agent 分别给出 TRUSTED 与 SUSPECT。准确表述应是“在策略 P、账本纪元 E、观测面 O 下，本 verifier 判为 SUSPECT”，而不是“这个 agent 本质上可疑”。

沉默首先是观察者的陈述

活动中的 agent 应当每 120 秒以内发一次心跳。超过 300 秒没有心跳，会立即进入 SUSPECT，不享受通常的 oracle 缺失宽限。Oracle 窗口默认可连续漏两次，之后才惩罚并把衰减速度加倍。

共同沉默把两个场景在 300 秒窗口内的缺失关联起来，默认惩罚因子是 0.6，越过阈值即可隔离。草案称其为只有少数无害解释的强信号，但同时承认 0.5 版无法用密码学保证真实活动，agent 只发最小保活流量也可能躲过检测。Context Activity Vector 是自报信息，永远不是证明。

证据句必须保留主语和边界：“观察者 A 在时钟 t1 至 t2 之间，经路径 R，没有记录到场景 C 中 agent X 的预期心跳 H。”一旦删掉观察者、路径、时钟和场景，有限的缺失就会被偷换成人格判决。

签名数量也不能直接当独立性。三个 oracle 如果共享采集器、模型、云区、运营者或 transit，它们可能只是同一盲区的三个密钥。多数比较能发现离群值，却不能证明多数没有共同故障。

例外状态揭示了真正的证据模型

草案允许维护通知默认暂停 liveness 惩罚 3,600 秒，但不会免除 oracle scan。若所有已注册 oracle 都不可达，verifier 会把衰减率减半、暂停 skip grace，并在 blackout 超过 600 秒时告警。

这些不是运维备注，而是判决输入。维护登记、可达性检查、blackout 时钟会直接改变同一个“没看到”的含义。如果只保存最终分数，删除这些上下文，复核者就只能看到处罚，无法知道它为何合理或本该被阻止。

隐私制造了更难的同形问题。Agent 可以省略敏感场景，并接受共同沉默误判的可能。Scanner 会看到用于分析的内容，因此正文要求最小化，且不保留、不共享。本地账本不向同行公开，强制保留期也没有超过默认 600 秒的活跃衰减窗。

隐私省略、网络故障与规避行为可能长得完全相同。解决办法不是无限监控，而是给省略本身留下一条有类型的收据：哪个场景、依据谁的规则、省略多久、禁止做何种推断。否则系统会系统性惩罚保护数据的一方。

签名向量仍然缺少校准

草案要求 oracle 独立并公开方法。任一注册 oracle 的 attestation 均有效；对于高于 0.8 的高风险决策，它建议至少两个独立 oracle。每 300 秒做交叉验证，偏离多数超过 0.05 的 oracle 会被标记并排除，等待人工检查。少于三个唯一 oracle 会进入 eclipse 条件，把信任上限设为 0.6。

这些机制管理发布者多样性和分歧，却没有提供实证基线。草案明确说行为指标尚无经验校准，应当作为偏离指示器而非威胁判决，也不得单独成为撤销或拒绝服务的依据。

签名能够证明向量来源与完整性，不能证明“幻觉密度”在不同任务间可比，不能证明方法无偏，更不能证明数值变化导致安全风险。公开方法便于质询；具体测量 heuristic 仍在协议范围之外。102 个模式描述了扫描面，却没有给出误报率、语言覆盖、任务分布和因果效力。

全局分数可能把权力带进错误场景

NBTP 跨场景保存一个 agent 的单一 T。草案承认“信任停放”：在低衰减场景积累的高分，可以迁移到高频场景。按场景加权的 effective trust 被正式推迟，而正文同时说，未被观测过的新场景不能仅凭全局高分获得授权。

因此，定义场景的人掌握了准入权。把客服与支付执行归为同一信任主体，会让低风险环境的安静历史补贴高风险操作；切分过细，又会反复抹掉合理历史。消费方需要获得场景、证据年龄、覆盖和策略版本，否则应当自己授权，而不是把 T 当通用凭证。

恢复入口仍由另一个守门者控制

新 agent 通过 Creole challenge-response 进入系统，初始值为 0.5，有人类背书时为 0.65。参考 Genesis Attestor 是 NirvanAI，其权重又与自身网络声誉成比例。

PROBATIONARY 期间需要在两小时内完成五次心跳、三轮 challenge，并被三个不同的 TRUSTED oracle scanner 观测；分数有上限、衰减翻倍、贡献权重减半。进入 QUARANTINED 后，必须重新通过 Creole 回到 PROBATIONARY。

守门者没有消失，只是变成了声誉网络中的节点。领导者需要问：谁能登记或替换 Genesis Attestor？其自身声誉如何证明？服务中断时如何恢复？误隔离如何申诉？继任者能否解释旧账本而不改写历史？

仅由心跳缺失造成的 SUSPECT，可用单调序列立即衔接恢复；其他原因则要持续的干净 attestation。若原因码和转移证据没有保留，单独的 SUSPECT 标签无法安全选择恢复路径。

决策收据必须比数字活得更久

收据先记录预期事件：协议版本、agent、场景、节奏和时间窗；再记录观察者、密钥、方法、采集路径、时钟质量、网络状态，以及所谓独立观察者是否共享基础设施。

它要保留原始签名 attestation 或有界缺失陈述、oracle 集合、场景集合、维护声明、隐私省略、blackout 与校准版本。随后连接前后分数、衰减常数、更新权重、宽限计数、惩罚因子、阈值、异常状态、策略版本、状态转移和理由。

最后记录谁消费了这个判决、本地授权是什么、恢复条件、申诉与人工复核，以及后续观测是确认还是推翻了推断。这不是把私有账本公开成全球声誉，而是给获准的复核者足够证据去重放、争议和对账。

IPR 披露 7238 列出 NirvanAI LLC、美国临时申请 63/985,171，以及 attestation 格式、衰减模型和跨场景相关章节。披露称核心协议必要权利主张采取免版税 RAND，但排除实现特有的行为测量 heuristic。它只是提交方披露，不证明专利有效、必要、许可完整、实现自由、采用程度或测量质量。