對抗性完整

摘要

《對抗性完整》是 Execution Engineering Trilogy 的第三卷，從《執行控制工程》停下的地方繼續。如果現實執行不能安全地只依賴意圖、授權、審批與策略，系統就需要一條能在動作生效之前仍然約束現實的執行邊界；更難的問題是，當負責判斷、約束與執行的主體、組件和控制平面本身也可能失效或失陷時，會發生什麼。本書給出的答案不是去造一個什麼都不信任的系統，而是追問：當系統原本依賴的某個東西已經不能再被依賴時，什麼仍然必須成立——本書把這個問題稱為「對抗性完整」。「對抗」並不以先識別出攻擊者為前提：失陷首先是一種狀態，可靠性可能因錯誤、狀態變化、共享依賴、恢復行為或其他失效而喪失，而不只源於惡意。由此展開的不是一份安全檢查清單，而是一組具體的結構關係：為什麼名義上的多道控制可能共用同一個控制根或同一條更新路徑，因而一起失效；為什麼某一次動作實際被查驗的約束集合，可能不同於這次動作真正需要的約束集合，而所有必要約束其實都還在；同一個受保護結果為什麼能經由另一條路徑達成；定義邊界的規則本身為什麼會在事件時刻成為被改寫的對象；為什麼每一項單獨都不夠的能力，組合起來就夠了；為什麼上游成立的判斷到了下游未必仍然成立；以及為什麼記錄可以完整且未被篡改，而當前決定所需的「證據—事實」關係已經不再成立。全書以現實失敗案例作為壓力測試，並遵循一條明確規則：案例不是證明，沒有支持也不等於已被否證。本書把這條規則同樣用在自己身上：它追蹤八個候選結構，其中五項在明確邊界內保留，兩項明確未凍結，一項因現實支撐不足而降層，並據此指出目前不能聲稱的結論。它區分「任務沒有完成」與「安全邊界失效」，主張停下來不自動等於失敗、收縮也不自動等於安全，最後聲明自身適用範圍的外邊界——威脅模型、信任根、全面共謀、目標本身正確性與現實不可逆性——這些前提被聲明，但不在本書中被解決；本書也不聲稱能保證所有攻擊都被阻止，或在全部合法制約層全面共謀時仍然安全。

關於本書

作為 Execution Engineering Trilogy 的第三卷，本書處理的是：當執行控制的組成部分本身也可能失陷時，什麼仍然必須成立。它從工程實踐與經過核驗的現實失敗中形成結構，區分「失陷」與「已被歸因的攻擊」，拒絕把結論寫成一份安全檢查清單，並在最後聲明自身主張的適用邊界，而不是繼續向外延伸。

核心主題

• 作為失陷之後仍然必須成立的條件：對抗性完整
• 跨名義多層的共享失效來源、控制根與更新路徑
• 必要約束路徑繞過，以及通往同一受保護結果的其他路徑
• 規則與實現改寫、能力組合，以及下游再驗證問題
• 證據—事實關係失效、證據狀態，以及被聲明出來的外邊界