让AI辅助结论可被独立质疑：PAC-2026可证伪发布协议解析

AI辅助结论的"权威幻觉"从何而来

当一份由AI辅助生成的结论摆在读者面前时，它往往显得无可辩驳。但这种权威感可能建立在一个被忽视的裂缝上：证据、分析、人工授权、呈现形式与更正历史，很可能指向完全不同的状态。换句话说，读者看到的"最终结论"，其背后的各个环节可能并非同步、也未必彼此对应。

这篇发表于arXiv的研究（arXiv:2609.17631）正是针对这一问题。作者指出，现有的溯源（provenance）、证明（attestation）与透明度（transparency）机制虽然能够暴露历史记录，却无法单独界定"发布"这一关键动作本身应当满足的状态转移条件。一个结论"从草稿变为正式发布"这个瞬间，缺乏严格的可验证规范。

溯源（Provenance） 是指记录数据或结论从产生到传播的完整来源链条，回答"这份内容从哪里来、经历了哪些变换"。证明（Attestation） 则是对某一声明或状态的可验证背书，通常由可信第三方或密码学手段提供。透明度（Transparency） 泛指对系统行为、决策过程的公开可见性。三者共同构成当前AI可信度讨论的主流工具框架。然而这些机制的共同局限在于：它们描述的是"曾经发生了什么"，却没有规定"什么条件下才允许发布"。一份拥有完整溯源记录的结论，依然可能在授权不完整或呈现失真的情况下被对外发布，而现有机制对此无从干预。这正是本文试图填补的制度性空白。

Publication Authority：一次性、不可转移的发布能力

研究的核心概念是Publication Authority（发布权限）。它被定义为一种精确状态绑定（exact-state）、不可转移（non-transferable）、单次使用（single-use）的发布能力。

这三个限定词值得拆解：

• 精确状态绑定：发布权限只对应某一确切的证据与验证状态，任何状态偏移都会导致权限失效。
• 不可转移：一个环节获得的授权不能被挪用到另一个环节，防止"张冠李戴"式的权威嫁接。
• 单次使用：一次完整的合格记录，只能推导出一次原子性的发布转移，用完即止。

这套逻辑的意义在于，它把"发布"从一个模糊的、可被事后包装的动作，变成了一个必须由完整证据链现场推导出的、可审计的离散事件。

PAC-2026 与六项义务

作者将上述概念实例化为 PAC-2026（Publication-Accountability Calculus，发布问责演算），这是一个机器可读的 AIJIM 协议候选方案。论文重点评估了它的第四次有界语义冻结（SF-4），这是一份为"可替换绑定"设计的固定配置规范。

SF-4 由六项义务共同约束发布过程，分别覆盖：

1. 证据（evidence）
2. 运行过程与产物（runs and artifacts）
3. 测量披露（measurement disclosure）
4. 授权（authorization）
5. 表面对应关系（surface correspondence）
6. 生命周期连续性（lifecycle continuity）

每一项义务都会产出三种结果之一：一个目标绑定的证据（witness）、一个局部反例（localized counterexample），或一个局部不可验证性（localized unverifiability）。关键设计在于——任何一项都无法弥补另一项的缺失。只有全新的、完整的、全部通过的记录，才能推导出被那一次原子发布所消耗的许可（permit）。

这种"不可相互补偿"的机制，避免了实践中常见的妥协：用充分的证据掩盖授权缺陷，或用漂亮的呈现掩盖测量披露不足。

AIJIM（AI Joint Interoperability and Integrity Mechanism，AI联合互操作与完整性机制） 是一个用于规范AI系统间协作行为与问责流程的协议框架候选体系，PAC-2026 即以其候选方案的形式提交。语义冻结（Semantic Freeze，SF） 是该框架中的版本控制概念，指在某一时刻将协议的语义范围、绑定规则和义务配置锁定为固定规范，防止在实施过程中被任意扩展或重解释。SF-4 是第四次此类冻结，专为"可替换绑定"场景设计——即在发布主体、证据来源或呈现形式可能被替换的情境下，仍能保持协议语义的确定性。这种设计理念借鉴了形式化方法中"有界验证"的传统：通过限定语义边界，换取可机器检查的精确性，代价是放弃对边界外情形的一般化主张。

大规模模型验证：11万状态与故障敏感性

为了检验这套协议，研究采用了身份向量、对抗性案例、有限模型和历史实现等多种方法。

数据规模颇具说服力：十个模型共探索了 110,764 个安全可达状态；而在 76 个不安全配置中，全部产生了预期的违规结果或观察者反模型（observer countermodel）。这说明协议不仅在安全状态下自洽，更能在错误配置下准确地暴露故障——这正是可证伪性的体现。

一个具体而有力的例子是：一个通过了自身对应性检查的"读者表面"（reader surface），若被接受的记录并不包含该表面，它依然无法授权发布。SF-4 明确区分了"证据视界"（evidence horizon）与"验证时间"（verification time），并会拒绝一个真实但因果上无效的授权。也就是说，即便某个授权本身是真的，只要它在因果链上站不住脚，协议也不会放行。

研究采用的验证方法中，有限模型检查（finite model checking） 是一种形式化验证技术：将系统的所有可能状态枚举为有限状态空间，再通过自动化工具穷举检验某一属性（如"协议是否在任何路径下都不会允许缺失义务的发布"）是否在全部可达状态下成立。观察者反模型（observer countermodel） 是其输出之一：当某个属性无法被证明时，模型检查器会构造一个具体的反例执行路径，作为"此属性在某配置下确实不成立"的证据。76个不安全配置均产生了反模型，意味着协议的故障检测是完备的——它不会对错误配置保持沉默，而是主动给出可审查的违规实例，这是可证伪性要求在工程层面的直接体现。

历史复现与内部一致性

研究还通过历史实现来检验协议的可构造性。一条历史前驱路径复现了 17 个冻结的"授权—后继"结果；随后一次内部的、实例盲测（instance-blind）的已知案例类测试，匹配了全部 183 项评分预期；在同一宿主上执行的软件包，也复现了其 240 项归档观察结果。

这些结果共同支撑了四个结论：内部一致性、有界安全性、故障敏感性，以及有限的可构造性。

边界：这项研究没有声称什么

论文难得地明确划出了自己的边界。作者强调，上述结果并不支持以下几点：

• 事实真理性（factual truth）——协议保证的是流程的合规，而非结论内容本身正确
• 一般化的精化（general refinement）
• 盲互操作性（blind interoperability）
• 现场实效（field efficacy）
• 标准地位（standards status）

这种自我克制反而增强了工作的可信度。PAC-2026 解决的不是"AI说的对不对"，而是"这个发布动作是否可以被独立地、可证伪地质疑"。它把权威从一种难以撼动的姿态，转化为一份可以逐条检验、逐条推翻的记录。

盲互操作性（Blind Interoperability） 指两个系统在不了解彼此内部实现细节的前提下仍能正确协作。论文明确放弃这一主张，意味着 PAC-2026 并不保证任意两个声称兼容该协议的系统在实际对接时必然行为一致——互操作性需要额外的、超出本协议范围的对齐工作。现场实效（Field Efficacy） 则是指协议在真实部署环境（而非受控实验室条件）中能否持续有效运行的问题。这两项边界的划定反映了形式化方法的普遍局限：实验室中的完备性证明并不自动等价于现实世界的鲁棒性，从规范到落地之间存在必须正视的工程与制度鸿沟。

结语：从透明到可问责

在AI辅助内容日益泛滥的当下，透明度已成为共识，但透明本身并不等于可问责。这项研究提供的思路是：为"发布"这一动作建立严格的、机器可读的状态转移规范，让每一次发布都必须由完整证据链现场授权，且任何环节都不可被掩盖或替代。

对于关注AI可信度、内容溯源与学术诚信的从业者而言，PAC-2026 代表了一种从"暴露历史"走向"约束发布"的范式演进——它让AI辅助的结论第一次真正变得可以被独立挑战。