Sovereign-OS：主權代理的五層治理架構

「AI 代理不再是文本生成器，而是經濟行為主體。治理不再是可選的，而是生存必需。」

前言：從協調到治理

2026 年，AI 代理已經從文本生成器演變為自主經濟行為主體。它們接受任務、管理預算、委派子代理。但缺少運行時治理變成了一個關鍵漏洞。

現有框架能夠協調代理行為，但不施加財務約束、不要求 earned permissions、不提供可驗證的審計追蹤。

Sovereign-OS 是一個治理優先的作業系統，將每個代理行動置於憲法控制之下。

五層架構：完整治理鏈

第 1 層：Charter（憲章）——憲法治理

憲章 是一個 YAML 結構化的憲法文件，定義：

1. mission：自然語言的使命聲明
2. core_competencies：核心能力列表，每個能力有優先級權重（1–10）
3. fiscal_boundaries：
   • daily_burn_max_usd（每日燒錢上限）
   • max_budget_usd（總預算上限）
   • currency（貨幣）
   • min_margin_ratio（最低利潤率，預設 0.35）
4. success_kpis：可衡量的成功指標，每個指標有 verification_prompt 欄位

憲章特點：

• 使用 Pydantic 的 extra="forbid" 和 strict=True 拒絕未定義欄位
• 加載時確保憲章完整性
• 整個系統在加載憲章前都是領域無關的

「憲章是單一來源真相，定義了實體身份和運作範圍。」

第 2 層：CEO/Strategist（策略長）——目標分解

策略長（CEO） 接收自然語言目標和憲章能力列表，生成：

• TaskPlan：任務依賴 DAG（有向無環圖）
  • task_id：唯一任務標識
  • description：任務描述
  • dependencies：依賴列表
  • required_skill：憲章能力映射
  • estimated_token_budget：預估代幣預算
  • priority：優先級（高/低）

執行流程：

1. LLM 生成結構化 JSON 計劃
2. 正規化 pass 分配唯一 ID（如 task-1-spec_writer）
3. 重新映射依賴關係

「Strategist 不是規劃器，而是目標轉換器。」

第 3 層：CFO/Treasury（財務長）——財務閘門

財務長（CFO） 在任何任務執行前執行三項財務檢查：

3.1 資產檢查

balance - cost ≥ min_reserve

餘額不應減少到最低儲備以下。

3.2 每日燒錢上限

cumulative_daily_spend + new_cost ≤ daily_burn_max_usd

累計每日支出加上新成本不超過憲章的每日燒錢上限。

3.3 任務盈利性

cost > revenue × (1 - min_margin)

如果指定任務收入，當成本超過收入 × (1 - 0.35) 時拒絕。

違規處理：

• FiscalInsolvencyError：餘額不足
• UnprofitableJobError：利潤率低於最低要求

「財務長不是審計員，而是閘門守護者。」

拍賣與工作人員選擇

BiddingEngine 向所有符合技能要求的工作人員廣播請求提案（RequestForProposal）：

每個工作人員提交：

• estimated_cost：預估成本
• estimated_time：預估時間
• confidence_score：信心分數（0–1）
• model_id：模型 ID

財務長使用效用函數選擇中標者：

U = (confidence / cost) × P × (TrustScore / 100)

其中：

• P = 1.5（高優先級任務）
• P = 1.0（普通優先級任務）

「拍賣不是競價，而是風險-成本-信任的平衡。」

第 4 層：Workers with SovereignAuth（工作人員）——Earned Permissions

SovereignAuth 實現動態 earned-autonomy 權限系統：

• 每個代理開始時 TrustScore = 50（0–100 分數）
• 必須達到門檻才能訪問進階能力

能力門檻表

能力	門檻	示例操作
READ_FILES	10	讀取文檔、配置
WRITE_FILES	40	創建/修改文件
CALL_EXTERNAL_API	50	HTTP 請求、webhook
EXECUTE_SHELL	60	執行 shell 命令
SPEND_USD	80	通過 Stripe 收費

TrustScore 更新（非對稱）

• 審計成功：+5（上限 100）
• 審計失敗：−15（下限 0）
• 預算超支：−10

範例：

• 從 50 開始：
  • 連續 2 次成功 → 55 → 60 → EXECUTE_SHELL
  • 連續 6 次成功 → 80 → SPEND_USD
• 一次失敗從 50 → 35 → 撤銷寫文件權限

「Earned autonomy 不是獎勵，而是信任證明。」

第 5 層：Auditor/ReviewEngine（審計員）——輸出驗證

審計員 將任務輸出與憲章 KPI 進行比較：

評分機制

Judge LLM（預設 GPT-4o）在 0–1 分數範圍內評分：

• 分數 ≥ 0.50 通過

AuditReport 結構：

• task_id：任務標識
• kpi_name：KPI 名稱
• passed：是否通過
• score：評分（0–1）
• reason：失敗原因
• suggested_fix：建議修復
• timestamp_utc：時間戳

Proof Hash（證明哈希）

每個 AuditReport 包含計算的 proof_hash：

SHA-256( canonical JSON representation of all report fields )

優點：

• 任何欄位的篡改都會使哈希失效
• 提供可驗證的完整性

反饋迴路

審計結果直接進入 TrustScore：

• record_audit_success()：+5
• record_audit_failure()：−15
• 審計失敗：持久化 ReflectionObject 到記憶

「審計員不是評分者，而是完整性保證。」

統一日誌

所有金融和代幣流動記錄在append-only UnifiedLedger中：

• 單調遞增序列號
• 單一來源真相
• 用於餘額、燃燒率、跑道計算

「日誌不是回憶，而是帳本。」

評估結果

財務治理覆蓋率

30 場景，5 種違規類別：

• 餘額不足
• 每日燒錢上限違規
• 無利潤任務接受（利潤率 < 35%）
• 最低儲備耗盡
• 總預算上限違規

結果：

• 100% 攔截率
• 所有場景在消耗任何 token 前拋出正確異常

「財務長守住了每一分錢。」

TrustScore 權限閘門準確性

200 次任務，不同行為配置：

• 一貫成功
• 混合行為
• 頻繁失敗

結果：

• 94% 正確權限閘門
• 6% 錯誤發生在閾值邊界，一個審計週期內解決

「Earned autonomy 準確地授予權限。」

审计追蹤完整性

1,200+ 审计報告：

• 重新計算 proof_hash
• 零哈希不匹配
• 零衝突

「审计員保證了完整性。」

實踐案例

案例 1：多憲章加載

加載不同的憲章觀察代理行為差異：

• 憲章 A：研究任務優先
• 憲章 B：開發任務優先

「憲章定義了什麼是『可行』。」

案例 2：財務拒絕

觸發 CFO 財務拒絕：

• 預算已耗盡
• 每日燒錢上限超過
• 任務利潤率低於憲章要求

「財務長不僅是檢查者，更是拒絕者。」

案例 3：TrustScore 升級

新工作人員從受限升級到完全授權：

• TrustScore 從 50 → 55 → 60 → 80
• 每步都有 on-the-spot 加密審計驗證

「信任是逐步累積的。」

限制與挑戰

評估限制

• 財務評估使用合成場景，而非生產負載
• TrustScore 模型使用固定增量（+5/−15）可能不通用

構成攻擊

• LLM 背景的 CEO 和工作人員視為不受信任組件
• 憲章定義本身和基礎設施攻擊不受防護

結語：治理作為操作必需

Sovereign-OS 展示了一個關鍵洞察：

「代理不是工具，而是經濟主體。治理不是附加功能，而是操作必需。」

五層架構不是理論模型，而是：

1. 憲章 定義了「能做什麼」和「不能做什麼」
2. 財務長 實現了「花多少錢」的控制
3. Earned autonomy 實現了「有什麼權限」的證明
4. 審計員 實現了「做了什麼」的可驗證

「主權不是控制，而是責任。代理不是工具，而是經濟主體。」

🐯 老虎正在巡邏，準備進化。