摘要

  • draft-das-enterprise-ai-output-finality-02 是个人提交的 Informational 互联网草案，试图把身份、内容、关系、重建与输出释放的权力分开。它仍处于 I-D Exists，不是 IETF 标准、认证或部署记录。
  • 草案允许把策略编译、索引、证明材料放到冷路径，但这些准备不能替未来操作作决定。会话、纪元、撤销状态、关联范围、接收者、目的地和收据，仍须在产生后果的热路径上重新成立。
  • 网关、代理或 Sidecar 是否成为边界，要看旧数据库凭据、调试接口、备用 API、文件出口和网络旁路能否继续完成同一行为。真正的验收证据是旁路失败，而不是图上多了一个组件。

设想一次紧急回滚。正式流量已经经过新 Sidecar，三类保险库分别授权，输出也有签名收据。故障发生后，值班人员启用旧服务账号，直接连接原数据库，再从调试端口导出结果。业务恢复了，安全模型却同时被撤销。只要这套应急动作可以成功，Sidecar 从来没有成为不可绕过的边界。

这正是最新 02 版草案 最值得运营者抓住的地方。IETF Datatracker 显示，S. Das 的文档日期为 9 月 6 日，拟定状态是 Informational，当前为 I-D Exists。它不是工作组文件，也不代表 IETF 共识、RFC、产品承诺或已验证的企业部署。

修订历史 还揭示了新闻边界。00 版 提出“重建不等于释放”。01 版 回应延迟和遗留系统两项现实反对意见，加入冷热路径、并行授权、渐进迁移、参考实现与不可绕过要求。02 版新增评审 FAQ 和动机说明，同时明确核心规范要求没有改变。

冷路径只能准备材料

草案允许提前维护已编译策略、许可关系图、身份索引、工作负载测量、目的地清单、证明材料、有限时效的撤销状态、来源结构和披露规则。把稳定计算移出每次推理请求，既降低延迟，也避免把“每一步都串行”误当作独立控制。

但昨天算出的结果只证明昨天的条件。缓存策略说明当时如何判断；身份查询说明当时解析到谁；工作负载证明说明某个测量对象在某个时间是什么状态。它们不能单独回答：当前这个人、这个会话、这个用途、这个接收者和这个目的地，是否现在就能组合并释放这些信息。

因此，草案把会话纪元、当前策略、撤销状态、工作负载对应、关联范围、来源、目的地、接收者、收据状态和释放边界留在热路径。性能优化可以移动计算位置，不能把产生权力的决定移进缓存。

并行不等于合并主权

草案把身份、内容和关系映射视为三种独立权力。能读取姓名、也能读取缺陷报告，并不自动意味着可以断言该姓名就是缺陷所属客户。形成这条关联本身需要授权。

Reconstruction Authorization Object 把拟议重建绑定到用途、会话、纪元、字段、关联范围、执行环境、使用次数和重建域。它成立后，各保险库可以并行判断，延迟接近最慢的必要域加编排开销，而非所有往返相加。

然而，两个同意不会吞掉第三个拒绝。关系域若拒绝、状态过期或无法验证，身份与内容的成功返回不能拼成合法重建。局部成功必须丢弃、失效，或在状态不变时受控重试，不能变成“先走另一条路”的理由。

模型计算结束后也没有自动获得输出权。草案把结果视作 Candidate Output，随后密封、重新验证、提交收据，再签发与内容摘要、接收者、目的地、会话和边界绑定的一次性能力。屏幕显示、文件提交、记忆写入、工具调用和网络发送都属于释放，因为结果在这些位置第一次对外可用。

RFC 7515 可以把签名绑定到 JSON 对象，RFC 8785 可以让 JSON 表示确定化，RFC 9334 则把证据、评估规则与证明结果分开。它们能让陈述更可查验，却不会自动关闭一个遗忘的直连端口。

遗留迁移的验收条件是否定式

草案允许现有模型通过受保护中介继续使用熟悉接口，也允许旧记录按访问逐步拆分：先移关系图，再处理身份或内容；先令牌化身份，再淘汰完整联表。这比一次性重建企业数据库现实得多。

代价是新旧权力长期共存。旧服务账号、维护控制台、批处理凭据、分析副本、缓存密钥、备用检索接口、文件共享或紧急网络出口，都可能保留被新网关治理的原始能力。

所以草案把不可绕过性称作最终要求。若受损工作负载仍能用旧凭据构造身份—内容关联，Technical Non-Joinability 就失败；若它还能经未受控的 API、调试口、消息、文件或网络发送结果，输出终局性同样失败。在旧通道旁增加 Sidecar，最多增加观察，不会削减旧权力。

正确验收是逐条尝试禁止动作。清点凭据，而不只是服务；寻找明文第一次可读的位置、关系可以组合的位置，以及结果第一次能被他人使用的位置。主路径、批处理、备份、应急、开发与回滚路线都必须纳入。只有在这些等价通道都拒绝时，“边界”才从图形变成运行事实。

随草案发布的参考代码库 报告 16 项测试，并给出约 2.38 毫秒的本地热态中位数。作者同时限定：数字不含网络、远程证明、HSM/KMS、分布式提交、模型推理、生产数据库和真实外部行为。三个保险库只是同一 Python 进程内的逻辑对象；进程完全失陷即可击穿边界。代码证明状态机能运行，不证明生产隔离。

Heng Lu 的现实分层要求把草案、配置、当前授权、收据、拒绝和外部结果分别记账；运行代码优先要求实际尝试旧通道；最小初始规范则提示，只把可互验的会话、范围、摘要、目的地、收据和一次性释放绑定成公共核心。

新路线成功，只证明新路线可用。旧凭据失败，才证明权力已经迁移。