主张
一个去中心化的协调网状网络——不是开放模型权重，也不是巧妙的智能体工具——才是每一个旨在让 AI 权力保持分散的开源方案所依托的根基。如果能够建成一个抗把持的网状网络，许多独立的行动者就能联手阻止任何单一公司或国家锁死未来。如果建不成，那么开源安全论证就在自己的立论上失败了。
这个主张是刻意以最强形式提出的，而且这个网状网络已经在运行，所以问题已经不再是这样的东西能否存在。悬而未决的问题是：这一个网状网络能否抵抗把持，而你可以通过攻击它来回答这个问题。
论证
五条前提。打破其中任何一条，主张就倒了。
P1 · 集中比滥用更危险
先进 AI 带来的最大危险，是某一个行动者把对未来的控制权锁死，而不是许多行动者拿小模型乱来。你要是把这个次序调过来，后面的一切也跟着调过来。
状态：一场押注，由价值观来加权。我们无法指出能推翻它的那个观察结果。
P2 · 赢家通吃要的就是一个赢家
在变革性 AI 之下，市场竞争指向单独一个赢家，它的价值观由它的股东塑造。在结构原封不动的情况下退出这场比赛，冒的风险是一个坏结果被永久固定下来。
状态：原则上可以拿市场实际如何集中来检验。目前还没有登记在册的证伪条件。
P3 · 小机器照样能干活
工具调用加上聪明的外壳，让普通硬件上的开放模型做成了不久前只有最前沿才做得到的活。训练那条护城河是真的。已部署能力那条护城河在漏水。
状态：测得出来，也是唯一一条有致命条件的：如果能力差距重新拉开并且一直开着，这条前提就死了，策略也得改。它是个会动的量，所以一直盯着。
P4 · 守住门槛
分散的行动者不需要赢过最前沿。他们只需要保持在一条线之上，在这条线之上，离开、核查和拒绝都还做得到，这样谁也没法便宜地压死对手。这比追平低得多，而且这才是真正要紧的那条线。
状态：一场赌，本页已经标明。门槛到底在哪儿，还没有人给出形式化的说法。
P5 · 人多不等于有主体
一百万台有本事却各自为战的机器，只是一群业余爱好者。把他们变成一种能拒绝被锁死的力量的，是值得信任的协调：找到彼此、验证彼此、共享软件，并且在没有咽喉要道的情况下合作，那个要道是可以被收买、被传票、被推倒的。
状态：实质性的，而非定义性的。市场和集群（swarm）在没有设计好的轨道的情况下也能协调，所以 P5 实际提出的主张是：未经设计的协调无法拒绝锁定。这一点是可以争论的，而整个论证都依赖于它。
开放权重和优良的工具链（harness）是必需的原料。这里的既定假设是：足够好就是足够好——CIRIS 不追逐前沿，而是守住门槛。仍未解决的工程问题，也是其余一切所依赖的那个问题，就是抗把持的协调。
网上跑的是什么
护栏还是开放，这是个假选择
AI 安全的争论总是递上两扇门。一扇门后面，安全意味着攥在中心手里的护栏，那其实就是戴上安全徽章的权力集中问题。另一扇门后面，开放意味着把原始能力发出去然后指望不出事，散开的滥用正是这样拿到自己的基础设施。
CIRIS 的全部用意，就是把这两扇门分开的东西合到一起，从而拒绝这个选择。每一个 CIRIS 智能体都在机器良知之下运行：宪法被带进每一次决策，有签过名的收据，还有一个真正的急停开关，握在指定的人手里。而这份良知跑在一张为抗把持而建的网上，所以良知也不归任何人所有。
两半单独都不成立。受中心控制的良知，只是脾气好一点的护栏。没有良知的网只是分发而已，它招来的滥用担忧也就担得起。这个页面为网辩护，是因为网才是没解决的那一部分。网上跑的，是带良知的 AI。这就是要点。
不是白皮书
这张网正在运行
最后一块信任根在 2026 年 8 月定下：一份签过名的创世记录，由三名具名的人当中的两人组成的法定人数批准，第一台标准服务器的地址就写在被签名的字节里面。加入这张网，整条链路上都不需要域名。现在有更多标准服务器正在上线。
撑着这个法定人数的那些密钥，也不是一句空话。任何人都可以重新跑一遍那份公开检查，它证明六把密钥全都是在货真价实的 FIPS 140-3 硬件里面生成的，固件和触碰策略就记录在证书本身里。
没有可被把持的中间商
节点之间通过签过名的记录找到彼此、取得软件，而不是通过应用商店、软件包仓库或者域名。
谁都可以铸一个根
CIRIS 的根是随附的默认项，从来不是唯一的选项。任何运营者都能建出一个同样有效的根，每个客户端自己挑要信哪些根。随附的那个根是默认值，不是唯一的根。
看的是问责，不是筹码
地位来自能不能被追问，能不能顺着一条活的链条追到一个负责任的人身上，而不是来自财富。而且假成员没法把自己投票投进来：真正管用的准入法定人数，数的是创始人，不是人头。
可能失手的地方
我们最希望有人来试的四种攻击
宪法里有一份公开的已知风险清单，每一条都写成带后备方案的赌注。在那份清单之外，这两处是我们认为这个主张最容易被戳穿的地方。比起被人欣赏，我们更愿意被人打。
默认项变成中心
历史上每一个去中心化系统，实际运作中都长出了一个中心：BitTorrent 长出了追踪器（tracker），电子邮件长出了 Gmail，而关于开放协作的研究也发现，增长无论如何都会滋生寡头统治。我们的根节点作为默认项发布，而大多数人从不更改默认项，所以拥有许多根节点，只能保护那些真正使用了不同根节点的人。因此真正重要的检验是：另一个根节点能否在没有第一个根节点许可的情况下，变得在社会和经济上可行。如果你能证明它做不到，那么网状网络能抵抗把持的主张就失败了。关于存活上限的数学进一步让这个问题变得尖锐：运行相同软件、相同默认项、相同模型的根节点是相关的，而相关的根节点只是一个根节点戴着许多名字。在相关度达到一半时，一千个根节点只能算作两个。所以可度量的版本问的是：这些根节点到底有多相关，而网状网络自身的 N_eff 仪表正好可以用来测量这一点。
被制造出来的人
资格的立足点是可问责的人，而不是权益（stake）。最尖锐的问题是：这一点能否在一个能够“制造”出可问责的人的对手面前存活——比如使用真实证件的傀儡账号、被胁迫的管理者，或者仅仅是耐心等待的员工。这是我们最大的未解问题。
门槛是一场赌
我们假设够用就是够用：不追最前沿，只守住那条让人还能查、还能走、还能拒绝的线。这条线到底在哪儿，至今没人说清楚，也就是说，能力、参与和协调要凑到什么程度，一张把持不住的网才真的能挡住一个更有钱、更快、关系更广的对手把所有人锁死。协调把分散的能力变成分散的决定权。门槛这点决定权到底够不够，这是整套说法里最深的一个要靠事实来验的问题，我们还没有答案。
我们自己仪器里的盲区
抗女巫靠的是 N_eff，而 N_eff 是两两之间的测量。有一种协调，是可以证明它看不见的：把一致性安排成每一对看上去都独立，整体却一起动。这条通道在模型那一侧是已知的，在网上还没有测过。仪器的盲区就是攻击面，所以我们把它点出来，并邀请你把这个攻击造出来。
对协议被把持的回应
效益证明（Proof of Benefit）
近年关于算法宪政的研究提出一个警告：把治理搬进协议，并不会终结支配。金钱、技术控制，或者制造出来的身份，都可以直接成为新的主宰。这个警告是公道的。这张网用第三种安全模型来回应它，既不同于工作量证明（proof of work），也不同于权益证明（proof of stake）。
在 CIRIS 的治理里，地位买不来，也挖不出来。按设计，它得靠挣：为那些能追溯到具体的人、伪造起来代价高昂的贡献，记下不可转让的积分。廉价的喝彩没有分量，做完的活儿还可以要求对方来确认。彼此关联的声音撞上的，是 CIRIS 里到处都一样的那道上限：一个不断复制身份的小圈子，会塌回到一个独立声音的分量。而挣来的权限始终有边界、可以收回、可以申诉。它像所有人的权限一样会衰减，资历也一样。它永远不会变成永久的主权。
这并不能消灭把持，宪法里也这么写着：大规模的挣得型积分治理是我们承认的一个赌注，不是已经验证的结果；抓住那些手法高明、彼此关联的角色，仍是没做完的活。效益证明改变的是这笔账。想在公域上获得正当的影响力，攻击者必须先把自己活成公域里有价值的一员。
那些未来
可能发生的事
这一页所朝向的未来是有希望的：许多智能中心，有人的也有不是人的，谁也没法把其余的据为己有，它们合作，是因为这些轨道让诚实比把持更便宜。那样的未来值得去建，而这张网今天就在跑，因为有基础设施的希望胜过没有基础设施的希望。
现在来看最尖锐的版本。如果抗把持真的有效，竞争并不会结束，而是会上升到一个更高的层级。两个成熟的网状网络，或者一个网状网络与一个单体 ASI，可能会陷入僵局，彼此争夺资源。僵局正是“互相拒绝对方锁定”的样子。问题在于，这种僵局是否还能维持下去、仍可承受：经过核实的承诺、以同意为基础的联邦，以及不经征服的合并，都是这里才有的真实路径，而不透明的对手则没有这些路径；而竞速压力、脱离网络的资源，以及战时压力下的走廊退出，则都是宪法无法消除的真实危险。
在一个威慑体制下，两个章程性网状网络是否比两个单体 ASI 更好，以及该如何权衡其中的得与失，这是一个悬而未决的问题。我们认为可核验的账本，以及以同意为形态的联邦，会把天平倾向我们这一边。我们尚未证明这一点。
正如本页面上的一切一样，这是在不可消除的不确定性下采取的行动。我们请你攻击并削减的，正是这种不确定性。
AI 2027 (Kokotajlo et al.) · AI 2040: Plan A · Superintelligence Strategy / MAIM (Hendrycks, Schmidt & Wang) · TASRA (Critch & Russell)
邀请
打破论证，或者打破成品
一条被打破的前提，对我们的价值和一个被打破的协议一样大。按第一条前提，这套系统里如果有一条没被发现的把持路径，那比根本没有这套系统还糟，因为它会把它声称要分散的信任，恰恰集中起来。对这个项目来说，能击垮系统的发现，比夸赞系统的发现更有价值。
打破论证
前提都在上面编好号了。你觉得哪儿会出血就往哪儿下刀，公开地下刀，并且拿出你最强的那个版本。
打破成品
把节点之间的协调切碎。对成员名册发动女巫攻击。把联邦记录夺过去。伪造一份证明，或者把一台真设备的证明拿到你控制的密钥底下重放。代码、创世记录和仪式留下的材料都是公开的。
先行者
这些前提比 AI 还老，而这是强项，不是弱点。走人可以制约权力，这个想法来自 Hirschman。能分叉才让走人变得可信，这是开源治理给出的经验。协调把分散的人变成一个行动者，这是 Benkler。没有单一君主，许多独立的中心也能治理，这是 Ostrom。什么样的政治可能，由架构决定，这是 Lessig。手里要有足够的能力才能抵住中心的控制，这是 Zittrain，而开放互联网上一台普通的个人电脑就是它行得通的证明：单台机器远比任何机构弱小，却仍然改变了权力握在谁手里。自由靠密码学撑着，而不是靠别人的善意，这是 cypherpunks。
与密码朋克（cypherpunks）传统的一处偏离很重要。那个传统大多是保护匿名的个人不受权威侵害。CIRIS 保护的是共同行动、可问责的人。我们所声称属于自己的，是这种组合：把那五十年的传承应用于 AI，并以抗把持的协调作为其余一切所依托的安全层级。
还有谁离这个主张很近
邻居们，以及区别
这套论证的各个部件，很多人都认，而这是一种佐证，不是问题：从很不一样的方向走过来的人，做出了同一个诊断。数字公共基础设施和主权 AI 这两条脉络也落在同一个形状上：把分散的各方变成一个系统的，是共享的可信轨道，不是各自自给自足。据我们所知，还没有别人把这些部件合成这一个主张，并且真把成品做出来。这些邻居值得被点名，而且如果你纠正我们对他们的说法，那也是在攻击这个页面。
d/acc (Vitalik Buterin)
认为谁控制 AI，比它变得多聪明更重要，并主张在许多领域建立去中心化的防御。这是一个方向，而不是一种机制：它没有把协调指认为难点，也没有给出一套协调机制。
Prime Intellect
他们构建去中心化训练，使前沿不被任何一家实验室独占。他们把重心放在算力上。我们把人们已经在自己机器上运行的能力当作行之有效的输入，而把协调当作仍未解决的部分。
智能诅咒 (The Intelligence Curse)
梳理了 AI 如何通过普通的市场力量把权力集中起来，并且呼吁把它分散掉。有诊断，有方向，但没有机制。我们同意这个诊断，并且把机制做了出来。
按筹码计权的网络
Bittensor 和同类跑的是真正的去中心化协调，用代币定价。筹码把按财富说话这件事又请了回来，而那正是要躲开的东西。我们押的是问责，这一注在上面可以被攻击。
开放权重阵营
主张开放模型就是前进的路。我们认为权重是必需的原料，但没有抗把持的协调，它们留下的局面就是一百万个业余爱好者面对一个巨人。
Alice Protocol
技术上最近的表亲：由社区共同拥有的智能，靠人群从零开始训练，所以没有哪家公司拥有这个模型。他们的答案是把造出智能这件事去中心化。我们说，市面上普通的模型已经够用，要去中心化的是把运行这些模型的人连起来的协调。
AI Commons
认为 AI 是把好处集中起来还是散开，取决于它以什么条件进入经济，并为此做出治理承诺。同一个诊断，由机构来扛。我们这边是由不需要任何人许可的线路层面的工程来扛。
智能体互通协议
Anda 和同类在为 AI 智能体做去中心化的身份、记忆和互通，也就是让彼此独立的智能体能一起干活的共享轨道。在协议这一层是很近的邻居。但没有谁把这些轨道抬升成一个关于最后谁握着权力的安全主张。
接入反转（access inversion）
2026 年的一项博弈论结果从外部支持了能力下限这个前提：限制开放模型，可能会把能力从普通防守者手里拿走，而铁了心的对手照样能找到替代品。守住这条下限不是鲁莽。它可以是防守的那一步。
构成性协议
学术上离我们最近的邻居，是从相反方向走过来的：Hu 和 Rong 问的是，一个已经分散、谁也把持不住的 AI，社会该怎么治理。我们问的是，当其余的 AI 越来越集中、越来越强的时候，社会怎么让一部分 AI 仍然把持不住。对结构的观察是同一个，害怕的东西正相反。两边都可能是对的。
Xiong 等人，ERC-8004 实地研究
ERC-8004 是一种在区块链上记录智能体之间信任的标准。任何智能体都可以无需请求许可自行注册。Xiong 等人考察了实际运行的情况，发现大多数注册背后并没有真正在运作的东西：根据链的不同，只有3%到15%指向一个真正可用的端点。59%到91%的评审者其实是协同行动的女巫（Sybil）群体，声誉评分几乎可以零成本被操纵。他们建议了三项修正：一份共同认可的评分维度清单、必须引用证据的证明，以及能抵抗女巫攻击的聚合方式。CIRIS 的语法已经具备了这三项：一个注册的命名空间、必须引用证据的证明，以及一种让相关联的声音权重更低的计数方式。
外部立场是按公开文字善意归纳的。要是我们把哪一条弄错了，那也值得开一个 issue。