AI智能体的Maker-Checker双人复核控制机制

当AI智能体开始自己决定删除生产数据、转账、部署代码时，一个关键问题浮出水面：谁来批准它的行动？Maker-Checker（四眼原则）给出了结构性答案——提出行动的人和批准行动的人，必须是两个不同的主体。

Maker-Checker是什么：从金融控制到AI护栏

四眼原则并不新鲜。金融行业用了几十年：超过阈值的付款、电汇、记账凭证，需要两双眼睛审查才能通过。同样的思路也出现在高风险场景中的“双人规则”里——没有哪个个体能单独完成关键操作。两者都是职责分离的具体形式：把敏感操作拆开，让发起和授权成为不同人承担的不同职责。

这套控制之所以有效，是因为它不依赖任何一个人保持细心、诚实或清醒。它假设错误和恶意都可能存在，通过结构设计让单点失败不足以造成伤害。当AI智能体参与其中时，这种假设恰恰是你最需要的。

在LoopRails的术语体系中，Maker-Checker是一个具名模式，是Authorized护栏在最高风险行动上采取的具体形态：谁提出，谁就不能批准。

职责分离（Separation of Duties, SoD） 是内部控制与信息安全领域的核心原则，指将一项敏感任务拆分为多个步骤，由不同主体分别承担，使任何单一个体都无法独立完成整个关键流程。它最早源于会计与审计实践，用于防止舞弊和错误：例如记账与审核、发起与授权、执行与对账通常由不同岗位负责。在信息安全中，SoD 进一步演化为访问控制策略，确保高权限操作需要多人协作，例如密钥托管、代码签名、生产环境变更。其背后的假设与四眼原则一致：不依赖个体品德或细心，而是通过结构约束使单点失败或恶意行为无法造成完整破坏。对 AI 智能体而言，SoD 意味着将“提议”“批准”“执行”等角色从模型自身剥离，交由独立主体承担，从而把不可控的自主行为转化为可审计、可拦截的协作流程。

为什么“提出者≠批准者”对AI智能体格外重要

对人类员工来说，职责分离防范的是错误和欺诈。对AI智能体来说，它防范的东西更多。智能体没有切身利益、没有对后果的恐惧，而且有一个有据可查的倾向——自信地犯错。一个既能提议又能执行自身行动的智能体，是一个拥有超人速度的单点故障。

核心问题很简单：人类能否现实地在时间窗口内抓住这个错误？当智能体既决定又行动时，对于快速、不可逆的操作，答案是不能。根本没有窗口。Maker-Checker制造了这个窗口——它强制智能体停在“这是我想做的事”这一步，把决定交给独立的检查者，然后行动才能成为现实。

这也是检查者必须独立于提出者的原因。如果同一个模型、同样的上下文、同样的提示词既产生行动又审查行动，你增加的不是一双眼睛，而是一面镜子。独立性意味着不同的身份、最好有不同的推理方式，以及在最高风险场景中有权限的人类参与回路。

哪些智能体行动需要Maker-Checker

你不会对所有事情都上四眼。那只会训练人们不读就点“批准”。Maker-Checker是给风险等级最高的行动准备的。

用LoopRails评分器按可逆性、影响范围和利害程度给每个行动打分：

• G0到G1：低风险、可逆、影响范围小。让智能体自己跑，不需要检查者。
• G2：有意义但可恢复。通常用护栏、日志和事后审查来处理，而不是阻塞式的二次批准。
• G3：不可逆、大影响范围或高利害。这是推荐使用Maker-Checker的等级。

需要独立检查者的G3具体例子：删除生产数据、超过价值阈值的资金转移、部署到生产环境、代表组织发送外部通讯、修改访问控制或凭证、签署或提交任何具有法律约束力的东西。

价值阈值让这件事变得可操作。你不需要人类批准2美元的退款，但你需要人类批准2万美元的电汇。为每种行动类型设置明确的阈值，让控制恰好在“出错的成本超过第二双眼睛的成本”时触发。

价值阈值（Value Threshold） 是风险分级控制中的常见机制，指为某类操作设定一个数量或金额界限，只有超过该界限时才触发额外审批。它的作用是把有限的人类注意力集中在真正会造成重大损失的交易上，避免对所有低价值操作都进行审查，导致审批疲劳和橡皮图章。在金融领域，阈值通常与监管要求、内部风控政策挂钩，例如超过一定金额的电汇必须双人复核。在 AI 智能体场景中，阈值可以按行动类型分别设定：资金转移按金额、数据删除按记录条数或敏感级别、部署按影响的服务范围。阈值并非固定不变，应随业务风险偏好、历史事件和监管变化定期调整。合理的阈值让 Maker-Checker 只在“出错成本超过第二双眼睛成本”时启动，从而在安全与效率之间取得平衡。

如何为智能体实现Maker-Checker

把意图搞对是一半的工作，实现方式是大多数Maker-Checker控制悄悄失败的地方。

身份分离。 提出者和检查者必须是不同的、经过认证的主体。智能体以自己的身份行动，有权限提议但不能提交G3级行动。批准由独立的人类或系统身份授予。如果智能体持有最终完成行动的凭证，你只是在名义上做了分离。

服务端绑定的批准，不可伪造、不可重放。 批准必须在行动实际执行的地方强制执行，而不是在智能体自己的推理中或客户端UI里。一个能说服自己相信已获批准的智能体，或者能把过期批准令牌重用于新行动的智能体，已经击败了这套控制。把每个批准绑定到特定行动、特定载荷、单次使用。将其绑定到签名的服务端记录，使其不能被重放用于不同请求。

展示真实diff，不是摘要。 检查者必须批准实际将要发生的事情，而不是智能体对将要发生事情的描述。如果智能体既执行行动又为审批者撰写行动摘要，智能体就控制了对话的两端。展示字面的diff：要删除的确切数据行、确切的收款人和金额、要更改的确切文件。如果第二双眼睛只看到提出者自己的营销文案，那么这双眼睛的全部价值就蒸发了。

重放攻击（Replay Attack） 是指攻击者截获并重复使用一个合法的认证凭证或批准令牌，以执行未经授权的操作。在传统的 Maker-Checker 流程中，如果批准令牌没有绑定到具体行动、载荷和单次使用，智能体或第三方就可以把一次批准复制到另一个请求上，从而绕过检查者。防止重放的关键设计包括：每个批准令牌包含唯一随机数（nonce）、绑定到特定行动 ID 和载荷哈希、设置短有效期、并在服务端记录已使用状态。对于 AI 智能体，服务端绑定的批准尤其重要，因为智能体可能通过提示注入、上下文操纵或自身推理错误来伪造“已批准”状态。只有把批准逻辑放在实际执行行动的服务端，并确保令牌不可伪造、不可重用，才能让四眼原则真正生效，而不是变成智能体自我授权的形式。

失败模式：当四只眼睛什么都看不见

Maker-Checker很容易被实现得很糟糕。以下是它退化为单人橡皮图章的方式。

双方都在橡皮图章。 自动化偏见意味着一个孤独的审批者倾向于批准。当提出者是一个流畅、快速、通常正确的AI时，检查者的默认状态会漂向“看起来没问题，批准”。随着时间推移，人类变成了点击器。职责分离只有在检查者拥有真正的权威、意识、能力和问责——四个A——并且不只是点击“是”的时候才有帮助。

检查者缺乏真正的权威：道德皱缩区。 如果人类技术上可以拒绝，但考核标准是吞吐量，没有时间真正审查，或者阻止部署时会被指责、抓住问题时却从不被表扬，那你就建造了一个道德皱缩区。人类吸收了系统并未真正让他们做出的决定的问责。这比没有检查者更糟，因为它把智能体的行动通过一个无法有意义拒绝的人洗白了。没有真正权威的检查者是一块责任盾牌，不是一套控制。

AI检查AI的合谋。 用第二个AI作为检查者很诱人，有时对较低等级也合适，但在G3级别很脆弱。两个来自相似训练的模型、给定相似的上下文，倾向于犯相关错误、错过同样的东西。它们也可能被同一个精心构造的输入联合操纵。AI检查AI给你的是同一个失败模式的两个实例，不是独立性。对于不可逆行动，检查者应该是有权威的人类，或者至少是一个有不同输入和假设的真正独立系统。

这些都不是假设。对AI编程智能体的研究发现，计划审批步骤减少了攻击，但人类干预成功率仍然只有9%到26%。换句话说，即使把人放进了回路，他们抓住坏行动的概率也只有一小部分。这就是Maker-Checker必须通过真正的权威和真实的diff来克服的差距，而不是通过一个批准按钮的存在。

核心要点

• Maker-Checker（四眼原则）用于AI智能体意味着智能体提出行动，独立的另一方在行动生效前批准。提出者≠批准者是全部要点。
• 它源自四眼原则、双人规则和职责分离。它有效是因为不依赖任何单一主体保持细心。
• 应用于G3级行动：不可逆、大影响范围或高利害，加上资金的价值阈值。G0到G1跳过，G2用更轻的控制。
• 用身份分离、服务端绑定的单次使用批准、向检查者展示真实diff来实现。
• 警惕失败模式：自动化偏见驱动的互相橡皮图章、没有真正权威的检查者（道德皱缩区）、看起来独立实则合谋的AI检查AI。
• 检查者需要四个A：权威、意识、能力、问责。没有它们，四只眼睛什么都看不见。