情境 11 兩種角色 · 資安審查
AI 不自己動手
資安說「AI 不能自己改設定」，你要拿得出流程，光給承諾沒有用
3道 · 寫入同意缺一不可的門
審查會議
信任的是流程
AI 助理預設關閉，關著就沒有模型請求，也沒有 AI 導覽和按鈕
- 模型能不能自己送出變更
- 我按下允許之後，效果持續多久
- 模型看得到哪些方法
- 出了事，查得到是誰、什麼時候、透過哪個入口
畫面
三件事一起才算同意
少一件就不會送出，而且每一道門都寫在程式裡
每回合的意圖
AllowMutation 記在該回合的紀錄，只有已驗證的呼叫者設得動，聊天文字和上一回合都打不開
人的預覽與確認
目標 Ref、裝置世代、四個 revision、digest 和前檢證據一起凍結，operation.confirm 是 human-only
唯一送出者
只有 Operation dispatcher 能寫，worker 用作業系統檔案鎖和 lease 排隊，四個世代逐一比對
模型看不到的那一群
87 個 human-only 方法不是工具，不進 tools.json、不進 MCP，executor 直接拒絕
步驟
你會做到
01
把 AI 留著關
預設關閉，關著時所有核心工作還是做得完，包括手動寫入
02
只在這一回合允許
Allow changes 只綁定當次傳送的意圖，模型文字設不動它
03
讀預覽再按
預覽會凍結目標和 digest，預設 5 分鐘，registry 或世代一改就要重新預覽
04
稽核可驗證
只附加、用 hash 鏈，每批 5,000 筆、7 天一次完整驗證，抓得到單筆改寫或刪除
05
誠實寫出界線
防不了 Controller 的 DSM 管理員重寫整條鏈，所以我們寫「可偵測竄改」，不寫「不可竄改」
帶走什麼
AI 可以幫你想、幫你查、幫你起草，但不會替你按下確認