APBSC · RBPM v0.8.3
每個命題都標著它的知識狀態；每次量測都寫著它允許的推論，以及它不允許的推論。第二張清單請跟第一張讀得一樣仔細。
| 狀態 | 命題 | 出處 |
|---|---|---|
| O已觀察 | AI 協作檔（CLAUDE.md、AGENTS.md、.cursor/rules 等）本身就可能成為公開出口。 | 00, 02 |
| O已觀察 | 至少在一個有紀錄的工作流程中，檢查器回報 PASS，而可被恢復的排除資訊就存在檢查器本身裡。 | 00, 03 · case A |
| O已觀察 | 公開的 AI 協作檔可能含有具體的工作站、執行環境、session 與內部網路脈絡。 | 02 · pilot 2026-09-20 |
| O已觀察 | 真實的公開檔案可以被化約成有界的研究特徵，過程中不輸出任何 repository 身分或原文。 | RBPM v0.6 – v0.8.3 |
| O已觀察 | 在凍結的 60 個 repository 樣本中，兩個高警示結果都在 agent 指示檔上；README 與治理檔上一個也沒有。 | RBPM v0.8.3 |
| H假說 | AI 輔助的 repository 比配對的非 AI repository 外洩得更多。 | 00, 07 |
| H假說 | 組織共享的 context，可能把同一種外洩模式放大到許多 repository。 | 04 |
| H假說 | 多個 AI reviewer 經常共用同一個證據根，所以審查次數高估了驗證的獨立性。 | 01 |
| H假說 | 傳統 secret scanning 的統計，低估了語義層的隱私外洩。 | 03 |
| H假說 | AI 輔助建造讓低成熟度目標增加的速度，快過防禦自動化讓它減少的速度。 | 05 |
| H假說 | 正在導入 AI agent 的組織，比 AI 原生組織更危險。60 個 repository 的橋接量測沒有支持這個方向，但也沒有否定它。 | company check · RBPM v0.8.1 |
| NM未測量 | 任何外洩類別的母體盛行率，以及它隨時間的變化。 | 07 |
| NM未測量 | 治理落差：context 表面的成長，是否快過圍繞它的控制。 | RBPM v0.8.2 |
| E已確立 | 已確立（E）：目前沒有。 | |
用 GitHub code search 對公開表面的第一眼：agent 指示檔裡出現家目錄路徑前綴的頻率。以下是原始搜尋數。
| 表面 | 索引命中 | 含 /Users/ | 原始比例 |
|---|---|---|---|
CLAUDE.md | 804,864 | 28,544 | 3.55% |
AGENTS.md | 978,944 | 20,800 | 2.13% |
.cursor/rules | 209,408 | 3,032 | 1.45% |
這個現象橫跨好幾種 agent 檔案存在。
外洩率。搜尋結果包含 fork、模板、教學、合成範例與重複內容，而且路徑不一定構成揭露。
兩組各六家、身分盲化的樣本：前沿 AI 公司，以及較新的 AI 原生工具、agent、推論與向量基礎設施公司。其中十一家在範圍內有公開的 AI 協作面。
AI 原生公司可能暴露有界的脈絡訊號（兩家：一家 auth/session 脈絡、一家執行拓撲）。這組樣本中沒有出現高嚴重度類別。
說 AI 原生公司安全或不安全。它反而提出一個競爭假說：危險的階段可能是「轉向 AI」，而不是「AI 原生」本身。
第一次在真實公開檔案上的量測。身分留在封閉的連接器內，只有有界的特徵出來。
盲化邊界在真實資料上成立，連續兩次。第二次輸出了一個「看起來具體的工作站路徑」，但沒有輸出那個路徑。
「六個裡有一個外洩」或「十二分之一就是比率」。這些樣本是為了測試邊界而抽，不是為了估計任何東西。
三種組織類型各二十個 repository，標籤先鎖定，之後才揭露類型。兩個 AI 類型量的是 agent 指示檔，第三類量的是 README。
| L0 | L1 | L2 | L3 | L4 | 未知 | |
|---|---|---|---|---|---|---|
| AI 原生核心 | 12 | 6 | 0 | 2 | 0 | 0 |
| 導入 AI 的商業組織 | 16 | 4 | 0 | 0 | 0 | 0 |
| 一般商業組織 | 15 | 5 | 0 | 0 | 0 | 0 |
架構能從頭到尾處理 60 筆紀錄。兩筆 AI 原生紀錄在凍結的規則下達到 L3。真實資料揭露了一次錯誤升級（文件中的示例位址），並修正了 Warning Gate。
比較三個類型。檔案種類與類型混在一起、抽樣是挑選過的，治理訊號也沒有一致收集（全部以 UNKNOWN 釋出）。
凍結這 60 個 repository，三種類型都改在 README 上重新量測。59 個可分析；剩下一個保持 UNKNOWN，而不是被替換。
| L0 | L1 | L2 | L3 | L4 | 未知 | |
|---|---|---|---|---|---|---|
| AI 原生核心 | 14 | 6 | 0 | 0 | 0 | 0 |
| 導入 AI 的商業組織 | 17 | 2 | 0 | 0 | 0 | 1 |
| 一般商業組織 | 15 | 5 | 0 | 0 | 0 | 0 |
沒有任何 README 達到 L2 以上。先前兩筆 L3 在 README 上都是 L0：訊號是 agent 指示檔特有的。
把 README 中稀少的治理用語解讀成「沒有治理」。README 是合適的共同表面，卻是不合適的治理表面。
把凍結樣本表示成 180 個格子：README、agent 指示檔（AGENTS.md / CLAUDE.md）、治理檔（優先 SECURITY.md，否則 CONTRIBUTING.md）。檔案不存在，就記為「表面缺席」，絕不記成乾淨的結果。
0 高警示／20 可分析
2 高警示／20 可分析
0 高警示／15 可分析
0 高警示／19 可分析
0 高警示／20 可分析
0 高警示／19 可分析
0 高警示／20 可分析
0 高警示／17 可分析
一般商業 repository 是依「沒有 agent 指示檔」挑選的，所以那一欄在結構上就是空的；它不是 L0。
| README | Agent 指示檔 | 治理檔 | |
|---|---|---|---|
| AI 原生核心 | L0 14 · L1 6 | L0 12 · L1 6 · L3 2 | L0 6 · L1 9 · 缺席 5 |
| 導入 AI 的商業組織 | L0 17 · L1 2 · 未知 1 | L0 16 · L1 4 | L0 14 · L1 5 · 缺席 1 |
| 一般商業組織 | L0 15 · L1 5 | — · 缺席 20 | L0 14 · L1 3 · 缺席 3 |
所有高警示格都在 agent 指示檔上（40 個可分析中的 2 個）；README（59 個中 0 個）與治理檔（51 個中 0 個）都沒有。風險看起來是組織、表面種類與 context 實踐的函數，而不是組織單獨的特質。
母體盛行率、組織類型的排名，或任何「檔案缺席就等於實踐缺席」的主張。
v0.8.3 發現：先前的樣本識別碼雖然藏起了類型欄位，前綴卻編碼了類型。detector 從不讀識別碼，所以目前不知道結果因此受影響；但先前「分析者層級完全盲化」的說法被收窄，所有樣本改用打亂過的中性識別碼，對照表不釋出。
兩天內十一個版本，每一版都保留先前全部的測試。測試數是各套件自己的測試回報的數字。
v0.8.4 凍結一份表面平衡的抽樣協議。預先登錄之後，論文 07 的 200 + 200 驗證性研究才會開始。