对抗性完整：从「被动防御」到「博弈论本体论」

人类几乎所有关于安全的早期想象，都建立在一种朴素直觉之上：世界原本应该是平静的，危险只是偶尔闯进来的异常。于是我们修建城墙、给房门加锁、给制度增加审批、给企业增加审计、给计算机安装防火墙。每当新的危险出现，我们本能的第一反应，都是再增加一道防线。这种思路并没有错，它构成了人类文明相当长一段时间里最重要的安全方......

本文来自微信公众号： HavenlonLabs ，作者：Havenlon Labs，原文标题：《对抗性完整：从「被动防御」到「博弈论本体论」》

人类几乎所有关于安全的早期想象，都建立在一种朴素直觉之上：世界原本应该是平静的，危险只是偶尔闯进来的异常。于是我们修建城墙、给房门加锁、给制度增加审批、给企业增加审计、给计算机安装防火墙。每当新的危险出现，我们本能的第一反应，都是再增加一道防线。

这种思路并没有错，它构成了人类文明相当长一段时间里最重要的安全方法论。但如果把视野拉远一点，一个更麻烦的问题就会浮现出来：如果对抗本来就不是异常呢？如果欺骗、冲突、自利、误判、背叛、信息不完整和利益分歧，并不是偶然侵入系统的噪声，而恰恰是现实世界的组成部分，那么我们对安全的理解，也许从一开始就缺了一层。

真正需要回答的问题，就不再只是"怎样把危险挡在外面"，而是"当危险永远不可能彻底消失时，一个系统凭什么还能继续成立"。这正是"对抗性完整"背后真正值得讨论的哲学问题。它讨论的不是如何修一堵更高的墙，而是为什么有些系统能在持续冲突中长期存在，而另一些系统只要一个参与者出错就迅速坍塌。从这个意义上说，对抗性完整并不是一种更强的被动防御，它意味着安全思维从"防御论"进入了一种更接近博弈论本体论的世界。

一、被动防御的隐含假设：世界原本是正常的

所有防御体系背后，都藏着一个很少被说出口的假设：存在一个可以被定义为"正常"的世界。在这个世界里，人按照规则行动，组织按照流程运行，机器按照程序执行，交易双方履行承诺；而攻击者、骗子、叛徒、故障和误判属于异常。防御的任务，因此被理解为识别异常、隔离异常，然后让系统回到正常状态。

这套语言天然带有空间意味：内部与外部、墙内与墙外、可信与不可信、合法用户与攻击者。它非常符合直觉——一座城市之所以安全，是因为敌人没有攻进来；一家公司的财务之所以安全，是因为没有人挪用资金。

问题在于，现实世界很少真正按照这种二分结构运行。很多最严重的失败从来不是敌人翻墙而入，而是发生在墙内。公司治理的崩塌往往不是因为突然出现了陌生攻击者，而是因为某个本来就拥有合法权力的人滥用了权力；金融危机也不一定来自犯罪，它可能来自每一个参与者都在做对自己局部最有利的选择；制度失效更少是因为坏人太多，更多是因为整个系统要求太多参与者必须同时保持理性、克制、善意与准确。哪怕对一个普通人而言，日常的博弈对象也不是敌人，而是自己的冲动、认知偏差和对未来的无知。

这意味着一个更冷峻的事实：**风险并不只存在于系统之外，它存在于系统的组成部分之中。**于是"把危险挡在外面"开始显得不够用，因为有些危险从来没有进来过，它本来就在里面。而一旦承认这一点，问题的重心就从"谁有能力行动"转向了另一个更根本的追问：谁有资格定义这些行动的边界。

二、文明真正的进步，不是终于找到了好人

回头看现代制度的发展史，会发现人类其实很早就在被迫回答这个问题。

古代治理很大程度上依赖人的品质：期待明君，期待贤臣，期待廉洁的官员和忠诚的将军。一个制度能否运行，取决于坐在关键位置上的人是不是好人。这是一种极其自然的逻辑——如果掌权者足够聪明、善良、克制，许多复杂制度确实没有存在的必要。问题只是，没有任何文明能够保证每一代掌权者都同时具备这些品质。

于是现代制度经历了一次极其重要的转向。它不再首先追问"怎样才能永远选出一个好人"，而开始追问："如果有一天上来的是一个普通人，甚至是一个坏人，制度还能不能工作？"权力分立、预算监督、审计、司法程序、董事会与独立董事、双重签字、财务控制，这些看似毫不相关的安排共享同一个朴素思想：不要把整个系统的安全，建立在某一个人的品德之上。

这是一场深刻的转变，社会由此从"寻找可信主体"走向"设计可信结构"。成熟的公司不会因为CEO诚实就取消财务审批，不会因为CFO十年无过就取消审计，银行也不会因为某个客户从未违约就永久关闭风控。这些制度并不认为所有人都是坏人，恰恰相反，它们只是接受了一件更成熟的事实：好人也会犯错，聪明人也会误判，忠诚的人也会遭遇利益诱惑，善意的人同样可能在错误信息下做出灾难性决定。

真正优秀的制度从不试图证明人性邪恶，它只是拒绝把"人永远正确"当作系统运行的前提。

也正因如此，现代文明最重要的进步之一，也许并不是我们终于培养出了更多完美的人，而是我们逐渐学会了如何与不完美的人一起生活。信任仍然珍贵，但它被放回了人与人的关系之中，而不再被当成制度的替代品。

三、从"风险"到"博弈"，世界的性质发生了变化

一旦不再依赖主体的完美，系统面对的世界本身也随之改变。"风险"和"博弈"听起来接近，实际上代表两种完全不同的世界观。风险意味着某个事件可能发生；博弈意味着系统里的参与者会根据彼此的行为不断调整自己的行为。

暴雨是风险，竞争对手不是；服务器宕机是风险，而董事会成员、员工、客户、监管机构与市场中的对手，构成的是持续变化的关系。风险可以用概率估计，博弈却会因为你的策略本身而改变：你修改规则，对方会适应；你增加审核，对方会寻找新的路径；你公布政策，参与者会重新计算收益；你收紧限制，有人退出，也有人开始寻找套利空间。

系统面对的因此不再是一个静态的危险集合，而是一个会观察你、适应你、利用你、误解你，甚至与你共同演化的世界。这也解释了为什么许多制度起初非常有效，后来却逐渐失灵——并不是规则变了，而是规则改变了参与者的行为，参与者的新行为又改变了规则的效果。

接受博弈是系统的一部分，"安全"的含义就会被彻底改写。它不再意味着让所有危险消失，而意味着无论参与者如何行动，系统都尽量不把局部错误放大成整体灾难。前者追求纯净，后者追求韧性；前者试图消灭冲突，后者承认冲突并为冲突留出结构；前者相信系统在无人攻击时是稳定的，后者则要求即使攻击、误判与利益冲突长期存在，系统仍然保持成立。

四、"完整"是一种比"安全"更深的概念

这也是为什么，需要重新理解"完整"这两个字。人们谈到安全，想到的通常是"没有出事"；但一个真正成熟的系统并不认为事故不会发生，恰恰相反，它非常清楚事故一定会发生。

桥梁的完整性不意味着永远没有风，飞机的可靠性不意味着零部件永不失效，金融体系的稳定不意味着市场永不恐慌，民主制度的完整也不意味着所有人意见一致。完整真正意味着的，是系统能够承受内部张力：它允许错误出现，却不会因为一个错误立即解体；允许参与者意见相左，却不会因为分歧而失去共同规则；允许某些节点失效，却不会让整个网络失效；允许某个人不可信，却不会因此让全部权力失去约束。

"对抗性完整"这个词的价值就在这里。它并不描述一种"没有对抗的完整状态"，而是提出了一个更困难的问题：

如果对抗始终存在，完整还能不能存在？

如果答案是肯定的，那么完整性就不再来自参与者之间的绝对信任，而来自结构本身。这意味着信任可以从一种人格属性，转变为一种结构属性。我们不再需要证明"这个人值得完全信任"，只需要证明即使他犯错，他能造成的后果仍然受结构限制；也不再需要证明"所有参与者最终一定会达成一致"，只需要保证在无法达成一致时，系统拥有明确的退出、拒绝、仲裁与失败路径。这样的系统没有幻想，也正因如此，它比建立在幻想之上的系统更稳定。

五、真正危险的系统，是必须要求每个人都做对

把这个标准反过来看，就能看清一类真正危险的系统长什么样。

设想两种制度。第一种非常简单：一个人做出决定，系统就执行。当这个人信息充分、理性且善意时，它极其高效，绝大多数时候甚至比复杂制度运行得更好。它只有一个缺点——这个人不能犯错。第二种显得笨重：一个决定需要多个条件同时成立，权力被拆开，部分参与者可以否决，异常情况下系统宁愿停下也不默认继续。它损失了一些效率，却换来另一种能力：任何一个人的错误，都不必然成为系统的错误。

哪一种更先进？如果只观察顺利运行的日子，第一种往往更漂亮；第二种的价值，只有在糟糕的那一天才会显现。文明真正困难的地方正在于此——我们习惯用平时的效率评价结构，却常常要等到灾难发生之后，才意识到结构原本的意义。

因此，一个系统最危险的地方，往往不是它有多少漏洞，而是它需要多少前提同时成立：操作者保持理性、管理者没有私心、信息完整、软件无错、网络正常、上游判断正确、下游执行准确、所有参与者都没有误解。每一个前提单独看都很合理，但当它们被串在一起，脆弱性就形成了——只有所有人都做对，它才成立。

监督机制本身也逃不过这条规律。为一个可能出错的人设置监督者，只是把"必须永远正确"的要求转移给了监督者；如果监督者的判断同样无人约束，被延长的只是同一条依赖链条。"谁来监督监督者"之所以是个古老难题，正是因为它无法靠再加一层权威解决，只能靠让每一层权力都受限于结构来化解。对抗性完整所追求的，恰恰相反于"所有人都做对"：

即使有人做错，系统仍然可能做对。

六、最成熟的制度，从来不要求消灭人性

一旦目标从"让人正确"转向"让错误无法被放大"，制度对人性的态度也会随之改变。

历史上很多失败的制度有一个共同特征：它们试图创造一种理想的人——更无私、更理性、更忠诚、更服从公共利益。而成熟制度走上了另一条路。市场经济并不要求商人失去逐利欲望，它试图通过竞争、契约和规则，让逐利在一定条件下产生社会价值；现代公司制度并不假设股东、管理层与员工的利益天然一致，正因为承认这些利益会冲突，才会有激励、监督与治理；法律也不要求人类失去犯罪冲动，它只是改变犯罪的成本与后果。

低成熟度的系统试图改造参与者，高成熟度的系统开始设计参与者之间的关系。

换句话说，成熟结构不要求人性消失，而是把人性纳入设计。贪婪可以存在，恐惧可以存在，误判可以存在，竞争、不信任乃至恶意都可以存在，但系统必须回答一个问题：这些力量进入结构以后，最终会被放大成什么？

这正是博弈论最深刻的意义之一。它并不是教人如何战胜别人，而是改变了我们对系统的理解——一个系统的结果，并不等于所有参与者意图的总和。结构会塑造结果，规则会改变行为，权力配置会改变激励，失败方式会改变决策。因此真正高级的治理，不再只是分辨谁是好人、谁是坏人，而是管理另一件事：任何人处在任何位置上时，他究竟能让什么事情发生。

七、AI Agent只是把这个古老问题重新暴露了出来

今天，一个新的主体正在快速进入生产、金融、软件、运营和组织决策：AI Agent。它会产生幻觉，会误解命令，会受到提示词注入的影响，可能调用错误的工具，也可能在错误的时间执行一个本身正确的动作，甚至拿着完全合法的权限做出完全错误的事。

许多讨论把它当作一个全新的问题，并由此产生一种冲动：我们能不能训练出一个足够安全、足够聪明、足够可靠的Agent？这个问题当然重要，但它也可能让我们重新掉进一个古老的陷阱——寻找完美主体。过去我们期待永远英明的君主，后来期待永远忠诚的管理员，今天开始期待永远对齐的模型。历史反复说明，这类期待本身就是脆弱的：只要系统的成立依赖于"主体必须永远正确"，剩下的就不是会不会失败的问题，而只是什么时候失败。

AI Agent带来的真正挑战，也许并不是机器第一次变得不可靠，而是它迫使我们重新面对一个存在了数千年的事实：任何拥有行动能力的主体，都不应该被假设为完美。人如此，组织如此，软件如此，AI也不例外。

这也意味着AI治理的重心需要移动。评估模型的能力与倾向当然必要，但一个模型内部状态的可靠程度，永远无法被完全证明；真正能被观察、被约束、也必须被约束的，是它把判断转化为现实动作的那一段路径——调用了什么工具、动用了什么权限、改变了哪些不可逆的现实状态。治理的对象因此从"模型说了什么"，逐渐转向"系统允许它做成什么"。

八、对抗性完整，不是更加悲观，而是更加诚实

很多人第一次听到"对抗性完整"，会觉得这是一种悲观的世界观：它假设人会犯错，假设系统会失陷，假设参与者会冲突，甚至假设那些被赋予权力的人也可能成为风险的一部分。

但值得追问的是，这究竟是悲观，还是诚实？桥梁设计考虑强风，不代表工程师悲观；飞机为发动机失效准备冗余，不代表航空业不信任发动机；公司建立审计制度，也不意味着它认为员工都会犯罪。承认失败可能发生，恰恰是人类开始认真对待现实的标志。

脆弱的系统依赖希望——希望每个人都善良，希望每个判断都正确，希望每次通信都可靠，希望每个模型都理解准确，希望关键节点永远在线。成熟的系统则把希望从架构中删除：它允许希望存在于人性之中，却拒绝让系统的运行依赖希望。

世界不需要先变得完美，我们才能设计出可靠的系统。

九、从安全哲学到基础设施哲学

把这套判断推到基础设施层面，问题就变得非常具体。设想一种为现实世界中的自动化行动提供底座的基础设施：当一个真实动作需要经过多个主体、多个系统和多次判断才能发生时，我们为什么要假设其中某一个节点拥有最终正确性？

一旦放弃这个假设，很多东西会自然改变。权力需要被拆开，判断与执行需要被区分——提出一个动作和真正让它在现实中生效，本就不应该是同一件事。不同主体之间需要保留否决能力，尤其需要保留一种最终拒绝的能力：无论上游的判断多么自信、多么合乎逻辑，执行环节仍然可以说不，并且这种拒绝不需要先证明上游错了。证据也不能只是事后日志，而必须成为结构的一部分，让每一个动作在发生的同时就留下可被追溯与追责的形态。失败更不能默认继续，系统需要有能力安全地停下来。

这时候，技术只是哲学的结果，而不是相反。不是先决定做一套产品，再寻找理论来解释它，而是先接受一个关于现实世界的判断——没有任何主体值得被赋予绝对正确性的假设——然后让架构、协议、硬件、治理方式与产品，一层一层从这个判断中生长出来。信任由此完成迁移：从可信的人，走向可信的结构。

这也是基础设施真正有意思的地方。它从来不只是代码、服务器和设备，它首先是一套关于世界如何运行的假设：如何理解信任，如何理解失败，如何理解权力，如何理解人的局限，以及系统面对异常时究竟应该做什么。技术，只是这些答案最后凝固下来的形状。

结语：真正成熟的系统，在对抗中仍然成立

也许有一天，我们会重新理解"安全"这个词。安全并不意味着没有坏人，不意味着没有错误，不意味着没有冲突，甚至不意味着没有失败。真正的安全首先是一种结构上的从容：即使这些事情都发生了，系统依然知道自己应该怎样继续存在。

这就是从被动防御走向博弈论本体论最重要的变化。我们不再把对抗视为一个需要被彻底消灭的异常事件，而把它理解为现实世界长期存在的基本条件；安全的目标也不再是制造一个纯净世界，而是创造一种能够容纳不纯净世界的结构。

这或许正是文明成熟最重要的标志之一。我们不再寻找不会犯错的人，不再期待永远正确的机器，不再幻想没有利益冲突的组织，也不再试图建立一个没有对抗的世界。我们只是逐渐学会了一件更困难、也更现实的事：如何让一个由不完美主体组成的世界，仍然可靠地运行。

也因此，最终需要被治理的，从来不是某一个具体的人，也不是某一个具体的模型。

需要被治理的，是那种不受约束地把判断直接变成现实的权力。

对抗性完整从来不是对世界更悲观，它只是对世界更诚实。而真正成熟的系统，也从来不建立在"所有人都会做对"的希望之上——它建立在这样一种能力之上：即使有人做错，世界仍然能够继续成立。