本文是《執(zhí)行縫隙》The Execution Gap的作者手記。 它不是書(shū)籍正文的摘要或重寫(xiě)而是圍繞本章問(wèn)題、工程背景與寫(xiě)作之后的進(jìn)一步思考。很多事故在復(fù)盤(pán)時(shí)都會(huì)出現(xiàn)一句非常自然的話流程為什么沒(méi)有把它攔下來(lái)這句話聽(tīng)起來(lái)沒(méi)有問(wèn)題但繼續(xù)往下追很容易把兩件不同的事情混在一起。一種情況是請(qǐng)求實(shí)際上走了一條不該走的路本應(yīng)發(fā)生的步驟被跳過(guò)了順序被改變了執(zhí)行主體被替換了或者某個(gè)未經(jīng)預(yù)期的入口參與了進(jìn)來(lái)。另一種情況則完全不同請(qǐng)求從頭到尾走的就是系統(tǒng)原本設(shè)計(jì)好的路徑每一步都有對(duì)應(yīng)的流程每一個(gè)參與者也都擁有合法資格可最終仍然沒(méi)有任何東西阻止那個(gè)動(dòng)作產(chǎn)生現(xiàn)實(shí)后果。第五章真正想拆開(kāi)的就是這兩個(gè)問(wèn)題。過(guò)去我們很容易把安全控制想成一條帶有很多關(guān)卡的道路。請(qǐng)求從入口進(jìn)入經(jīng)過(guò)認(rèn)證、授權(quán)、審批、策略和各種檢查只要某一步不符合條件就應(yīng)該在那里被擋下來(lái)。在這種圖景里“走錯(cuò)了路”和“沒(méi)有被攔住”確實(shí)非常接近因?yàn)橹灰詈蟀l(fā)生了不應(yīng)該發(fā)生的事情我們很容易認(rèn)為它一定在某個(gè)地方繞過(guò)了控制。但現(xiàn)實(shí)系統(tǒng)里存在另一種更加值得警惕的情況它根本沒(méi)有繞。正常流程并不是安全結(jié)果的證明工程師對(duì)于“繞過(guò)”非常敏感因?yàn)槔@過(guò)通常能夠留下明確痕跡。一個(gè)本來(lái)應(yīng)該經(jīng)過(guò)審批的操作沒(méi)有經(jīng)過(guò)審批一條請(qǐng)求進(jìn)入了非標(biāo)準(zhǔn)接口一個(gè)權(quán)限不足的主體使用了高權(quán)限路徑這些問(wèn)題很容易理解也很容易形成整改方案。增加檢查、關(guān)閉入口、限制調(diào)用路徑、補(bǔ)上缺失步驟這些措施都很自然。真正麻煩的是當(dāng)我們把整條執(zhí)行鏈重新展開(kāi)以后發(fā)現(xiàn)沒(méi)有任何明顯的繞過(guò)。AWS S3 2017 年的事故讓我特別注意到這一點(diǎn)。執(zhí)行動(dòng)作來(lái)自獲得授權(quán)的人員使用的是既有工具按照既有 playbook 操作真正造成問(wèn)題的是輸入?yún)?shù)使動(dòng)作作用范圍遠(yuǎn)遠(yuǎn)超過(guò)原來(lái)的意圖。流程沒(méi)有突然變成另一條流程操作者也沒(méi)有闖入一個(gè)不屬于他的入口。Citibank 的 Revlon 誤付款同樣如此。交易經(jīng)過(guò)正常的系統(tǒng)兩級(jí)復(fù)核真實(shí)發(fā)生資金最后也通過(guò)銀行正常的支付通路被匯出。事后當(dāng)然可以找到具體的操作問(wèn)題但如果只問(wèn)“有沒(méi)有繞過(guò)正常流程”答案并不會(huì)自動(dòng)變成肯定。Waymo 的案例則更加直觀。一輛車(chē)最終撞上了電線桿很容易被口語(yǔ)化地描述成“走錯(cuò)路了”可如果把 Path 嚴(yán)格限定為“實(shí)際執(zhí)行是否偏離已經(jīng)規(guī)劃出的路徑”事情就完全不同。車(chē)輛執(zhí)行的恰恰是規(guī)劃器生成的路徑真正的問(wèn)題是那條被規(guī)劃出來(lái)的路徑本身包含了現(xiàn)實(shí)中的障礙物。這幾個(gè)案例放在一起以后對(duì)我最大的提醒不是“流程沒(méi)用”而是相反流程有沒(méi)有被遵守與這個(gè)流程最終有沒(méi)有限制住錯(cuò)誤動(dòng)作是兩個(gè)獨(dú)立問(wèn)題。如果不把它們分開(kāi)一個(gè)非常危險(xiǎn)的推論就會(huì)出現(xiàn)路徑檢查沒(méi)有發(fā)現(xiàn)異常所以控制應(yīng)該沒(méi)有問(wèn)題。而現(xiàn)實(shí)已經(jīng)告訴我們這個(gè)推論并不成立?！霸趺醋摺迸c“能走多遠(yuǎn)”是兩種問(wèn)題第五章里我最后把 Path 和 Boundary 分開(kāi)其實(shí)來(lái)自一個(gè)很簡(jiǎn)單的工程直覺(jué)。Path 關(guān)心的是一次具體請(qǐng)求的行進(jìn)過(guò)程。它問(wèn)的是真正發(fā)生的步驟、順序、主體、入口和鏈路和原本應(yīng)該發(fā)生的那條路徑是不是一致。Boundary 關(guān)心的是另一件事。它并不首先問(wèn)請(qǐng)求經(jīng)過(guò)哪里而是問(wèn)這個(gè)動(dòng)作的能力究竟被限制在什么范圍內(nèi)。一個(gè)擁有合法權(quán)限的管理員可以使用正常工具執(zhí)行操作這并不意味著系統(tǒng)應(yīng)該允許一次操作影響任意數(shù)量的資源一筆已經(jīng)經(jīng)過(guò)審批的付款也不意味著后來(lái)進(jìn)入執(zhí)行端的金額、賬戶和業(yè)務(wù)對(duì)象可以無(wú)限偏離最初批準(zhǔn)的范圍一個(gè) Agent 可以合法調(diào)用某個(gè)工具也不意味著它獲得了利用這個(gè)工具改變?nèi)我猬F(xiàn)實(shí)狀態(tài)的資格。這就是為什么我越來(lái)越不愿意把執(zhí)行邊界簡(jiǎn)單理解成另一種訪問(wèn)控制。訪問(wèn)控制主要回答“誰(shuí)有權(quán)做什么”。執(zhí)行邊界還需要回答即使這個(gè)主體有權(quán)做這一次動(dòng)作究竟允許做到什么程度它能影響多少對(duì)象改變多少資源持續(xù)多長(zhǎng)時(shí)間在什么狀態(tài)下必須停止又有什么東西擁有最終拒絕它的能力這幾個(gè)問(wèn)題不屬于“這個(gè)人有沒(méi)有權(quán)限”的簡(jiǎn)單延伸。一個(gè)系統(tǒng)完全可以在訪問(wèn)控制意義上沒(méi)有任何問(wèn)題卻在執(zhí)行邊界上極其脆弱。高權(quán)限主體被正確認(rèn)證調(diào)用也完全合法只是系統(tǒng)沒(méi)有把一次動(dòng)作的現(xiàn)實(shí)影響限制在一個(gè)能夠承受的范圍內(nèi)。如果到了事故以后我們才說(shuō)“早知道應(yīng)該限制一下”那真正缺失的并不是身份認(rèn)證而是那個(gè)在動(dòng)作真正進(jìn)入現(xiàn)實(shí)之前仍然有效的邊界。我后來(lái)越來(lái)越在意“誰(shuí)還能說(shuō)不”寫(xiě)這一章的時(shí)候有一句話逐漸變得很重要誰(shuí)能最終拒絕它和審批不是一回事。審批發(fā)生在執(zhí)行之前的某個(gè)時(shí)間點(diǎn)它可以決定一個(gè)動(dòng)作是否獲得進(jìn)入后續(xù)流程的資格。但現(xiàn)實(shí)在變化參數(shù)在變化系統(tǒng)狀態(tài)在變化真正執(zhí)行的對(duì)象也可能在后面的轉(zhuǎn)換中發(fā)生變化。于是一個(gè)動(dòng)作曾經(jīng)獲得批準(zhǔn)并不意味著從那一刻開(kāi)始它就應(yīng)該擁有不受條件變化影響的最終執(zhí)行權(quán)。這也是執(zhí)行控制真正開(kāi)始出現(xiàn)的地方。越靠近現(xiàn)實(shí)動(dòng)作系統(tǒng)越需要重新回答此刻這些條件還成立嗎對(duì)象還是原來(lái)那個(gè)對(duì)象嗎參數(shù)還處在被允許的范圍內(nèi)嗎當(dāng)前狀態(tài)是否仍然允許這個(gè)動(dòng)作繼續(xù)如果答案是否定的那么即使前面的審批、授權(quán)和流程全部真實(shí)存在系統(tǒng)仍然應(yīng)該存在一個(gè)可以拒絕執(zhí)行的位置。我后來(lái)越來(lái)越覺(jué)得這種“最終拒絕能力”是很多傳統(tǒng)軟件架構(gòu)里沒(méi)有被單獨(dú)拿出來(lái)討論的東西。我們?cè)O(shè)計(jì)了很多允許動(dòng)作發(fā)生的機(jī)制授權(quán)允許它進(jìn)入審批允許它繼續(xù)API 允許它被調(diào)用流程引擎允許它向下推進(jìn)?？梢粋€(gè)動(dòng)作越接近真正改變現(xiàn)實(shí)的那一刻究竟還有誰(shuí)能夠說(shuō)“不”往往并沒(méi)有同樣清晰的設(shè)計(jì)。如果所有上游結(jié)論最終都匯聚成一句“已經(jīng)批準(zhǔn)可以執(zhí)行”那么系統(tǒng)真正失去的可能不是某個(gè)檢查步驟而是在現(xiàn)實(shí)發(fā)生之前最后一次重新判斷的能力。邊界失效不一定意味著有人修改了邊界Boundary 還有一個(gè)特別容易被誤解的地方。一說(shuō)到邊界失效人很容易聯(lián)想到“邊界被突破”或者“規(guī)則被改掉了”。這是一種很強(qiáng)的事故敘事因?yàn)樗ǔ４嬖谇逦淖兓瓉?lái)的規(guī)則是這樣的后來(lái)有人把它改成了另一種樣子所以控制失效了。這種情況當(dāng)然存在第五章把它稱為 Boundary Mutation。但如果把所有 Boundary Failure 都理解成 Mutation很多真正的邊界問(wèn)題反而會(huì)被漏掉。有些時(shí)候沒(méi)有任何人修改規(guī)則。約束從一開(kāi)始就不存在?；蛘咭?guī)則確實(shí)存在只覆蓋了其中一部分能力。也可能規(guī)則在設(shè)計(jì)上看起來(lái)完整但真正危險(xiǎn)的動(dòng)作根本沒(méi)有進(jìn)入它能夠拒絕的范圍。在這些情況下調(diào)查人員可能查遍配置變更、權(quán)限變化和管理員操作卻什么都找不到因?yàn)楦緵](méi)有發(fā)生過(guò)一次明確的“邊界被改寫(xiě)”。真正的問(wèn)題是那道邊界從來(lái)沒(méi)有覆蓋到這里。這也是為什么我認(rèn)為 Boundary 不能被理解成一種攻擊模型。執(zhí)行邊界首先是一種系統(tǒng)屬性它可以因?yàn)楣舳б部梢栽谒袇⑴c者都善意、所有身份都合法、所有流程都正常的情況下暴露出缺口。這件事對(duì)于 AI Agent 尤其重要。未來(lái)很多 Agent 的危險(xiǎn)動(dòng)作未必來(lái)自惡意繞過(guò)。相反它們很可能使用被允許的工具、經(jīng)過(guò)被允許的接口在被允許的權(quán)限范圍內(nèi)完成一個(gè)系統(tǒng)本來(lái)就允許它完成的動(dòng)作。真正的問(wèn)題是系統(tǒng)允許它做的那件事現(xiàn)實(shí)作用范圍是不是過(guò)大了。如果修錯(cuò)了對(duì)象事故復(fù)盤(pán)就只是讓流程變得更復(fù)雜把 Path 和 Boundary 分開(kāi)以后還有一個(gè)很現(xiàn)實(shí)的意義它會(huì)直接決定事故之后究竟修什么。如果問(wèn)題真的來(lái)自路徑偏離那么修路徑完全合理。把缺失步驟補(bǔ)回來(lái)關(guān)閉旁路避免主體替換恢復(fù)正確順序。但如果實(shí)際路徑?jīng)]有問(wèn)題而真正缺少的是邊界那么繼續(xù)給流程增加節(jié)點(diǎn)未必能解決問(wèn)題。多一次審批多一個(gè)確認(rèn)框多一個(gè)微服務(wù)多一條日志都可能讓流程看起來(lái)更加嚴(yán)密卻沒(méi)有回答那個(gè)動(dòng)作究竟能影響多少現(xiàn)實(shí)資源。這是我越來(lái)越警惕的一種“安全改進(jìn)”。事故發(fā)生以后系統(tǒng)變得更復(fù)雜了于是所有人都有一種已經(jīng)加強(qiáng)控制的感覺(jué)。但復(fù)雜度本身不是控制增加步驟也不等于增加邊界。如果新增的節(jié)點(diǎn)仍然只是檢查同樣的信息或者仍然允許同一個(gè)動(dòng)作在通過(guò)之后擁有完全相同的現(xiàn)實(shí)作用范圍那么它可能只是把原來(lái)的問(wèn)題拉長(zhǎng)而沒(méi)有真正縮小它。所以第五章最后保留的不是一個(gè)關(guān)于哪一種機(jī)制更重要的結(jié)論而是兩個(gè)必須被獨(dú)立執(zhí)行的判斷。先問(wèn)這一次請(qǐng)求有沒(méi)有真正偏離規(guī)范路徑然后另外再問(wèn)在它最終改變現(xiàn)實(shí)之前限制它作用范圍的那些約束是否存在、是否完整、是否有效一個(gè)答案不能替另一個(gè)答案作證。路徑完全正常并不意味著邊界正常發(fā)現(xiàn)邊界失效也不能反推出一定有人繞開(kāi)了路徑。兩者可以同時(shí)成立也完全可以只成立其中一個(gè)。寫(xiě)完這一章以后我對(duì)“正常流程”這四個(gè)字的理解也發(fā)生了一些變化。正常流程仍然重要但它只能說(shuō)明事情按照設(shè)計(jì)好的路線發(fā)生。它沒(méi)有回答一個(gè)更加靠近現(xiàn)實(shí)的問(wèn)題當(dāng)這條路線本身正在把一個(gè)錯(cuò)誤動(dòng)作送向現(xiàn)實(shí)的時(shí)候究竟還有什么東西能夠讓它停下來(lái)這可能才是執(zhí)行邊界真正開(kāi)始出現(xiàn)的位置。關(guān)于《執(zhí)行縫隙》《執(zhí)行縫隙》The Execution Gap是Execution Engineering Trilogy第一卷。本書(shū)討論一個(gè)基礎(chǔ)而關(guān)鍵的問(wèn)題從人的意圖到機(jī)器最終改變現(xiàn)實(shí)世界中間究竟發(fā)生了什么在線閱讀繁體中文版 執(zhí)行縫隙 | Havenlon ResearchEnglish Edition The Execution Gap | Havenlon ResearchAmazon Kindle Amazon.com: The Execution Gap: The Structural Discontinuity Between Intent and Action (Execution Engineering Trilogy Book 1) eBook : Wang, Lin, Wu, Mengting, Zhang, Yong, Deng, Jiang: Kindle StoreAmazon Paperback The Execution Gap: The Structural Discontinuity Between Intent and Action (Execution Engineering Trilogy): Wang, Lin, Wu, Mengting, Zhang, Yong, Deng, Jiang: 9798177903347: Amazon.com: Books? 2026 Lin Wang / Havenlon.本文為作者手記與《執(zhí)行縫隙》正式書(shū)籍正文相互獨(dú)立。 未經(jīng)授權(quán)請(qǐng)勿全文轉(zhuǎn)載或用于商業(yè)再出版。 引用請(qǐng)注明作者及出處。