邊界與不保證事項

#五層語彙：對外能講到哪一層

收據 那一頁有完整表格。這裡只講結論：

以 2026 年 9 月的現況而言，對外能說的只到 Decided（判決了）。

#完全中介不成立

Saltzer 與 Schroeder（1975）的完全中介原則要求每一次存取都經過檢查。Vacant 的收件口在預設組態下不滿足這一點：代理若另有管道把產物送出去，收件口看不到。

#它不會做的四件事

#系統抓不到的四件事

#1. 鏈驗證抓不到的三件事

截斷（沒有可信的鏈頭）、分叉（同一事件簽兩條不同內容的鏈）、漏記（從沒被寫下的事件）。

2026-09-19 實測確認第三點：一個完全沒有發出模型請求的執行，仍然產生了一條驗得過的收據鏈。

#2. 互跑對「套件本身腐化」完全沒有防禦

若驗收套件被換成「載入即通過」，每一票都是誠實的、每一條鏈都驗得過，系統仍在交付垃圾。這是機制的固定點。R451 → R452 把它縮小到一個殘餘（exec 走私 368/371 → 0/371），但沒有消滅。

金鑰的多數不等於獨立主體的多數。

#3. 多方執行的數學上界

容忍上限 ⌊(k − 1)/2⌋。過半數串通時結果反轉，誠實者被指名，而機制本身不知道自己落在門檻的哪一邊。

固定腐化比例下，k 從 1 到 7 交付率一字不變——對腐化率而言，加機器買不到任何東西。

#4. 女巫攻擊：只能寫「提高成本」

Douceur（2002）：沒有邏輯上集中的身分權威時，女巫攻擊除非在不切實際的資源對等假設下，否則永遠可行。Cheng 與 Friedman（2005）：不存在對稱且能抵抗女巫攻擊的信譽函數——而 Vacant 的信譽對所有觀察者給出相同分數，屬於對稱函數。

實測支持這個判定：匿名攻擊是 0.05 × N 線性——N = 200 時總權重 10.0、目標分數 0.892。線性長大沒有上限。

#量測層的三個前提

#四個刻意保留的已知缺口

#① 身分仍然是免費的

修補分支留下 6 項結構性缺口，第一項是這一條。vacant_id → stream_id 完全未驗證（registry.py:78-82 重算了公鑰 ↔ vacant_id，但對 vacant_id ↔ stream_id 一個檢查都沒有）。攻擊 PoC 實測：冒名可以繼承信譽，0.50 → 0.7417。

#② 永久排除沒有量過誤傷

被懲罰一次的身分實測 0 / 368 回到路由。專案 2026-08-17 明確裁定保留。但被盲區誤判的誠實參與者，後果同樣是永久的，而這一點沒有量過。

#③ 拒絕原語會被玩掉

實測：挑剔的代理調校值 0.253 > 誠實者 0.204、信譽 +31%、派工更多（42.4 → 44.3），但系統品質 −4.4%、沒人接受件 +38%。

以計數為基礎的評分，可以靠多拒絕來刷分。 我們的推論：人類介入會被觀眾玩掉，不是被代理玩掉。

#④ 代理可以刪掉自己的掛鉤

2026-09-20 實測：五種代理的掛鉤都能攔下 shell 指令，但代理能刪除掛鉤設定。所以掛鉤只能作為語意上的增強，不能作為信任根。

#還沒量過的東西

#三個已知會被繞過的地方

1. 同預算比較 — 只加機器不改規則，對腐化率零效果。
2. 人機中介 — 會被觀眾效應玩掉。
3. 信任外掛 — 代理可以自己拔掉。

我們把這三件事寫出來，是因為它們決定了下一步該做什麼：要解決它們，需要換掉裁判或換掉激勵結構，不是加更多簽章。

#接下來

• 常見問題：FAQ
• 這個專題改了哪些說法：研究歷程