APBSC 00 · 統合框架
AI Agent 公開邊界與安全閉包：統合框架
把 AI 輔助交付拆成五個資訊狀態，並指出：從「存下來」到「公開出去」這一步，目前沒有自動成立的閉包。
2026-09-21 · v0.1 · 內部研究草稿 v0.1 · 全文尚未公開
AI may observe ≠ AI may persist ≠ AI may publish
論證
能生成、能通過測試、能通過 scanner、能完成 code review、能成功 push，是五個不同的命題；其中沒有一個等於「交付物符合它的安全與隱私邊界」。框架把一則資訊走過的鏈條命名出來：已觀察、已授權、已持久化、已公開、可外部取得，並把每一個箭頭都當成一個獨立的權限。
兩項證據撐起這個框架。一是匿名案例 A：一個已經有隱私規範與自動檢查器的交付流程，檢查器本身仍存著可被恢復的私人資訊，而同一個檢查器回報 PASS。二是 2026-09-20 一次探索性的公開 GitHub pilot，在 agent 指示檔中看到了工作站路徑、執行環境配置、session 與內部網路脈絡。論文把兩者都只當作「現象存在」的證據，不多也不少。
它也替整個系列定下詞彙：綠燈謬誤、公開邊界、檢查器也是交付內容、表示變換不等於資訊移除、重複審查不等於獨立驗證，以及 O、H、E 三種知識狀態。
關鍵概念
- 交付是否正確，看的是它留下的世界狀態，而不是程式是否正確。
- Hash 證明的是「這些位元組就是你雜湊過的那些」，不說明它們揭露了什麼。
- 私有 repository 不是保險箱；現行版本清乾淨，不代表歷史也乾淨。
- 安全閉包不是更多檢查，而是證據真的覆蓋到想要的後置條件。
它承載的命題
- O已觀察
AI 協作檔（
00, 02CLAUDE.md、AGENTS.md、.cursor/rules等）本身就可能成為公開出口。 - O已觀察
至少在一個有紀錄的工作流程中，檢查器回報 PASS，而可被恢復的排除資訊就存在檢查器本身裡。
00, 03 · case A - O已觀察
公開的 AI 協作檔可能含有具體的工作站、執行環境、session 與內部網路脈絡。
02 · pilot 2026-09-20 - H假說
AI 輔助的 repository 比配對的非 AI repository 外洩得更多。
00, 07 - H假說
組織共享的 context，可能把同一種外洩模式放大到許多 repository。
04 - H假說
多個 AI reviewer 經常共用同一個證據根，所以審查次數高估了驗證的獨立性。
01 - H假說
傳統 secret scanning 的統計，低估了語義層的隱私外洩。
03 - H假說
AI 輔助建造讓低成熟度目標增加的速度，快過防禦自動化讓它減少的速度。
05
它不主張的
- AI coding 不安全。
- 任何族群的任何盛行率數字。
- 供應商或工具的排名。