摘要

  • draft-smith-opsawg-ai-network-governance-01 明确指出，向 AI 服务传达约束不能替代独立的程序化强制执行；每次动作都应指向执行器实际采用的策略与状态。
  • 建议符合目录、管理接口返回成功、回滚请求已经发出，分别只是建议、接收和补偿事实，都不能单独证明授权正确或服务恢复。

提示词里写着：“不得修改受保护接口。”

模型遵守了。这是最容易演示的安全。

真正困难的情况，是模型提出一项看似允许的操作：动作存在于目录，参数落在范围内，目标也没有被标为受保护。此时应问的不是模型有没有读懂提示词，而是执行器用了哪一版动作目录、哪一版运营者许可清单、哪个速率窗口、哪个降级状态，以及人工撤销自主权的事件是否已经生效。

draft-smith-opsawg-ai-network-governance-01 于 2026 年 9 月 27 日发布。它是仍然有效的个人 Internet-Draft，不是 RFC，不代表 IETF 背书，也没有正式标准地位或 RFC stream。文档页显示其 intended RFC status 为空，文本抬头写的是 Informational。合理的读法，是把它当作一份结构严谨的架构提案，而非已经验证的生产规范。

草案只覆盖同时满足四个条件的系统：软件运行在网络设备上或能直接进入管理平面；它调用外部 AI 服务分析异常并提出修复；它能在无需逐项人工批准的情况下修改配置或运行状态；它使用 NETCONF、RESTCONF、gNMI 等管理接口。只给建议、仍由人执行的系统不在范围内。

架构把外部 AI 与本地自主代理分开。外部服务接收结构化上下文并返回建议，本地代理负责采集、检测、护栏判断与设备操作。AI 服务不得直接接触设备。这个分离很重要，却也意味着真正的高权限主体是本地代理：它把概率性的建议变成了网络事实。

草案设置了两类约束对象。Action Registry 是开发者预先实现的固定动作目录，记录参数、风险和可逆性；Operator Allow List 则是某次部署允许自主执行的子集。目录之外的建议必须丢弃，AI 不能动态发明新动作；即使模型给出很高置信度，越界参数仍要拒绝。

草案还要求在每次发给 AI 的上下文中概述允许与禁止的动作、受保护目标、速率限制和风险上限。这样做能减少注定被护栏拒绝的建议，也让模型解释为何应升级给人工。

但第 16 节随即给出核心限定：传达约束不替代程序化执行。无论告诉了 AI 什么，本地代理都必须在执行前独立检查每一项建议。第 17 节又把防线拆到提示层、响应解析层、安全护栏层和设备执行层，并指出任何单层都不够。

这句话防止“写好提示词”冒充访问控制，也产生一项证据义务。如果提示词中的策略投影与执行器中的策略是两个层次，事故复盘就必须同时知道两者，并能证明究竟哪一份规则控制了设备操作。

只保存提示词哈希还不够。提示词面向外部服务，可能隐去敏感规则、压缩目标匹配条件，或只描述查询时刻的剩余额度。只保存“护栏通过”也不够，因为没有说明是哪些输入让判断成立。

最低限度的单次动作回执，应绑定人工批准的策略快照、动作目录与许可/阻止清单版本、目标保护规则、参数边界、风险上限、速率计数、降级状态、撤销状态、模型建议、解析结果、护栏裁决、执行点复核、认证后的设备操作、变更前快照、设备回复、最新遥测、回滚或升级结论。没有这些连接，组织只能证明规则曾经存在，无法证明这次动作受它约束。

草案给出的速率限制说明了历史状态的重要性。例如默认每小时最多 5 次修复、提议最大值为 20；每个目标 24 小时默认 3 次、最大 5 次；另有不可逆动作、AI 查询、冷却和重试限制。这些数字是个人草案的建议，不是经过跨网络验证的安全常数。冻结证据中没有它们适用于所有设备和故障域的实证基础。

更关键的是，“本小时第 5 次动作”本身是一项历史事实。它依赖完整事件、可信时钟、窗口定义与故障切换连续性。冷却、重试、撤销和降级等级同样如此。

第 17.3 节建议在可能时让治理检查保持无状态，并从持久审计轨迹推导输入，避免重启清零计数器。这是合理方向，但没有消除状态，只是把状态权威搬到了日志及其投影。事件完整性、顺序、保留期、时钟、策略激活与副本收敛于是都成为安全属性。

草案列出的 fail-safe 例子也支持这一判断：无法查询速率数据，就当额度已经用尽；目标匹配出错，就当目标受保护；动作目录不可用，就当动作未注册。未知状态必须关闭权限，而不是默认为放行。

通过护栏之后，还有第二条证据边界：设备结果。草案要求动作前捕获足以恢复的状态，动作后重新采集最新遥测并再次检测；情况没有改善或恶化时，应自动回滚并交给人工。缓存或被去重机制压掉的观测不能证明恢复。

不过，配置快照不是时间机器。它恢复不了已经丢失的数据包、已经断开的会话、已经耗尽的队列或远端邻居的计时状态。回滚是在持续变化的系统里执行的又一次前向操作，仍需独立的设备回复、回读与服务验证。

“单一目标”也不等于“单一影响”。一条接口、一个度量值或一个协议实例，可能属于共享故障域。语法上的局部修改，能够经由路由收敛和流量迁移产生远端后果。

草案对提示注入的处理同样值得保留。设备日志、接口描述等字符串可能被攻击者利用来影响外部 AI。转义与清理有帮助；真正的架构防线，是 AI 没有直接设备权限，且所有输出都必须穿过独立护栏。因此测试不能止于截图证明模型拒绝恶意句子，而要覆盖解析器、目录、目标匹配、参数、历史计数、执行与故障切换路径。

草案把审计轨迹称为主要问责机制，并建议完整性保护与外部留存。单次策略回执就应进入这里。启动时记录完整生效配置很有价值，但无法解释经过多次 reload 后某项动作到底用了什么。

致谢称这些概念来自在生产网络部署 AI 自主运维系统的经验。这是作者陈述，不是独立部署研究，没有披露样本、事故率或验证结果。建议阈值与控制仍应在本地成为可检验的假设。

Heng Lu 的最小初始规范原则给出了更硬的共同层：AI 不能扩大动作词汇；策略状态未知时关闭；代理不能重写自身规则；每次设备变更必须标明实际授权来源。现实层区分又提醒我们，“允许”只是策略层的符号，不是接口、邻接、队列和用户服务的实际状态。运行代码优先最终要求的是回读与服务结果。

来源