确定性回退：模型失联时仍然出得了判定的安全层

2026-10-20 — agent 安全现在有不少跑在模型上：给动作标风险的是分类模型，拦可疑建议的是审查模型，解释策略的是助手模型。它们共享同一个演示里永远不展示的故障模式：模型不回答了。超时。429。网络失败。输出畸形。幻觉信号。一条自信满满的错误建议。问题不是会不会发生，而是发生的那一秒，你的安全层做什么。

我们拒绝的两种默认

失败的方式有两种，且正好相反。“没有模型 → 全部放行”：护栏恰好在与 agent 行为异常相相关的那类故障里静默消失，你从账单或事故里得到消息，晚了。“没有模型 → 全部阻断”：安全变成一个故障发生器，团队一周内把它关掉，你用同样的方式得到消息，也晚了。20131 写在案的设计合同把这两种都点了名排除。回退的目标是确定性本地安全：没有云、没有模型、也不需要道歉时，机器仍然出得了的判定。

这里的“确定性”具体指什么

• 求值器是对一个带版本的本地规则文件跑普通代码——同一输入，逐字节一致的判定，每次如此。为决定任何事，进程不会发出任何请求。
• 判定是分级的，不是非黑即白：每个动作按风险、敏感度、影响、可逆性评估，降级状态可以收紧要紧的、放行无聊的。
• 快路径保持快：进程内评估不增加网络往返，这正是“把这个动作按住等判定”可行的前提。
• 今天据实相告的范围：Phase 0 出 would_block 与 allow 两种判定并记录在案。阻断属于后续阶段、有它自己的公告；回退机制现在就存在，是为了那个阶段永远不必依赖别人家的 API 在线。

它在一个平常的日子里长什么样

供应商故障把抽象变具体：中断期间，agent 会更用力地重试（这同时是一笔花费——见<a href="/zh-cn/blog/ai-agent-cost-overruns-hard-limits/">成本失控解剖图</a>），而模型把关的审查器要么堵住整个工作区，要么给它根本没看到的流量盖“通过”。本地确定性层是那第三个无聊选项：文件系统与进程层的判断，不会因为网络变了而变。本地可见什么、不宣称什么，写在<a href="/zh-cn/security/">安全模型</a>页与<a href="/zh-cn/docs/">文档</a>里；它插进的那条管道在<a href="/zh-cn/how-it-works/">工作原理</a>。

为什么这些要写在一篇讲 agent 的博客上

因为 agent 软件里真正有意思的风险是组合：来自别人仓库的 skill（<a href="/zh-cn/blog/agent-skill-supply-chain-risk/">供应链可见性</a>）指挥着一棵进程树（<a href="/zh-cn/blog/what-is-agent-observability/">可观测性</a>），花的还是你的额度（<a href="/zh-cn/blog/agent-actions-audit-trail/">审计轨迹</a>）——而这条链上的每个模型都能同时 429。不掉线的那一层，是无处可调用也照常出判定的那一层。如果你希望阻断的到来不附带云依赖，去<a href="/zh-cn/early-access/">抢先体验名单</a>说一声：“回退必须是本地的”会在那里先被计数、再被建造。