主张
在任何一份让 AI 力量保持分散的开源方案里，真正承重的那块，是去中心化的协调网状网络，不是开放的模型权重，也不是聪明的智能体工具。如果一张抗把持的网能建起来，许多互相独立的行动者就能让任何一家公司、任何一个国家都锁不住未来。如果建不起来，开源安全的论证就按它自己的说法垮掉。
这个主张是故意用强的形式说出来的。而且这张网不是一份提案。它正在运行。所以问题已经不是这样的东西能不能存在。问题是这一张能不能抗住把持，而这个问题你可以用攻击来回答。
论证
五条前提。打破其中任何一条，主张就倒了。
P1 · 集中比滥用更危险
先进 AI 带来的最大危险，是某一个行动者把对未来的控制权锁死，而不是许多行动者拿小模型乱来。你要是把这个次序调过来，后面的一切也跟着调过来。
状态：一场用价值观加权的赌注。我们说不出什么样的观测能杀死它，我们也把这一点讲出来。
P2 · 赢家通吃要的就是一个赢家
在变革性 AI 之下，市场竞争指向单独一个赢家，它的价值观由它的股东塑造。在结构原封不动的情况下退出这场比赛，冒的风险是一个坏结果被永久固定下来。
状态：原则上可以拿市场实际如何集中来检验。目前还没有登记在册的证伪条件。
P3 · 小机器照样能干活
工具调用加上聪明的外壳，让普通硬件上的开放模型做成了不久前只有最前沿才做得到的活。训练那条护城河是真的。已部署能力那条护城河在漏水。
状态：测得出来，也是唯一一条有致命条件的：如果能力差距重新拉开并且一直开着，这条前提就死了，策略也得改。它是个会动的量，所以一直盯着。
P4 · 是门槛，不是赛跑
分散的行动者不需要赢过最前沿。他们只需要保持在一条线之上，在这条线之上，离开、核查和拒绝都还做得到，这样谁也没法便宜地压死对手。这比追平低得多，而且这才是真正要紧的那条线。
状态：一场赌，本页已经标明。门槛到底在哪儿，还没有人给出形式化的说法。
P5 · 人多不等于有主体
一百万台有本事却各自为战的机器，只是一群业余爱好者。把他们变成一种能拒绝被锁死的力量的，是值得信任的协调：找到彼此、验证彼此、共享软件，并且在没有咽喉要道的情况下合作，那个要道是可以被收买、被传票、被推倒的。
状态：这是有内容的主张，不是定义问题。市场和兽群没有谁设计的轨道也能协调，所以 P5 真正主张的是：没有设计过的协调，不足以拒绝被锁死。这一点可以争论，它在论证里确实在干活。
开放权重和好用的外壳都是必需的原料。我们一直守着一个假设：够用就是够用。CIRIS 不去追最前沿，它守住门槛。真正独特、至今没解决、承着重量的工程难题，是抗把持的协调。
网上跑的是什么
护栏还是开放，这是个假选择
AI 安全的争论总是递上两扇门。一扇门后面，安全意味着攥在中心手里的护栏，那其实就是戴上安全徽章的权力集中问题。另一扇门后面，开放意味着把原始能力发出去然后指望不出事，散开的滥用正是这样拿到自己的基础设施。
CIRIS 的全部用意，就是把这两扇门分开的东西合到一起，从而拒绝这个选择。每一个 CIRIS 智能体都在机器良知之下运行：宪法被带进每一次决策，有签过名的收据，还有一个真正的急停开关，握在指定的人手里。而这份良知跑在一张为抗把持而建的网上，所以良知也不归任何人所有。
两半单独都不成立。受中心控制的良知，只是脾气好一点的护栏。没有良知的网只是分发而已，它招来的滥用担忧也就担得起。这个页面为网辩护，是因为网才是没解决的那一部分。网上跑的，是带良知的 AI。这就是要点。
不是白皮书
这张网正在运行
最后一块信任根在 2026 年 8 月定下：一份签过名的创世记录，由三名具名的人当中的两人组成的法定人数批准，第一台标准服务器的地址就写在被签名的字节里面。加入这张网，整条链路上都不需要域名。现在有更多标准服务器正在上线。
撑着这个法定人数的那些密钥，也不是一句空话。任何人都可以重新跑一遍那份公开检查，它证明六把密钥全都是在货真价实的 FIPS 140-3 硬件里面生成的，固件和触碰策略就记录在证书本身里。
没有可被把持的中间商
节点之间通过签过名的记录找到彼此、取得软件，而不是通过应用商店、软件包仓库或者域名。
谁都可以铸一个根
CIRIS 的根是随附的默认项，从来不是唯一的选项。任何运营者都能建出一个同样有效的根，每个客户端自己挑要信哪些根。随附的那个根是默认值，不是唯一的根。
看的是问责，不是筹码
地位来自能不能被追问，能不能顺着一条活的链条追到一个负责任的人身上，而不是来自财富。而且假成员没法把自己投票投进来：真正管用的准入法定人数，数的是创始人，不是人头。
可能失手的地方
我们最希望有人来试的四种攻击
宪法里有一份公开的已知风险清单，每一条都写成带后备方案的赌注。在那份清单之外，这两处是我们认为这个主张最容易被戳穿的地方。比起被人欣赏，我们更愿意被人打。
默认项变成中心
历史上每一个去中心化系统，最后都长出了事实上的中心：BitTorrent 长出了 tracker，电子邮件长出了 Gmail，而且关于开放协作的研究发现，规模一大，照样会长出少数人说了算的局面。我们的根也是作为默认项随附的，而大多数人从来不改默认项，所以多根并存只保护那些真去用它的人。所以真正的考验不是有没有人能再铸一个根。考验是另一个根能不能不经在位那个根的许可，在社会上和经济上活下来。如果你能证明它不能，那么抗把持这套说法就不成立了。那套幸存下来的上限数学把问题问得更紧：跑着同一套软件、同一套默认项、同一批模型的根，彼此是关联的，而彼此关联的根，就是一个根换了很多名字。关联度到一半，一千个根只算两个。所以可测的问法不是还能不能有别的根存在。是这些根到底关联到什么程度，而这张网自带的 N_eff 仪器，正好可以对准这一点。
被制造出来的人
地位靠的是能被问责的人，而不是筹码。最尖锐的问题是：碰上一个能制造出可问责的人的对手，这套还站不站得住。拿着真证件的傀儡、被胁迫的托管人，或者干脆就是有耐心的雇员。这是我们最大的一个开放问题，我们也把它说出来。
门槛是一场赌
我们假设够用就是够用：不追最前沿，只守住那条让人还能查、还能走、还能拒绝的线。这条线到底在哪儿，至今没人说清楚，也就是说，能力、参与和协调要凑到什么程度，一张把持不住的网才真的能挡住一个更有钱、更快、关系更广的对手把所有人锁死。协调把分散的能力变成分散的决定权。门槛这点决定权到底够不够，这是整套说法里最深的一个要靠事实来验的问题，我们还没有答案。
我们自己仪器里的盲区
抗女巫靠的是 N_eff，而 N_eff 是两两之间的测量。有一种协调，是可以证明它看不见的：把一致性安排成每一对看上去都独立，整体却一起动。这条通道在模型那一侧是已知的，在网上还没有测过。仪器的盲区就是攻击面，所以我们把它点出来，并邀请你把这个攻击造出来。
对协议被把持的回应
效益证明（Proof of Benefit）
近年关于算法宪政的研究提出一个警告：把治理搬进协议，并不会终结支配。金钱、技术控制，或者制造出来的身份，都可以直接成为新的主宰。这个警告是公道的。这张网用第三种安全模型来回应它，既不同于工作量证明（proof of work），也不同于权益证明（proof of stake）。
在 CIRIS 的治理里，地位买不来，也挖不出来。按设计，它得靠挣：为那些能追溯到具体的人、伪造起来代价高昂的贡献，记下不可转让的积分。廉价的喝彩没有分量，做完的活儿还可以要求对方来确认。彼此关联的声音撞上的，是 CIRIS 里到处都一样的那道上限：一个不断复制身份的小圈子，会塌回到一个独立声音的分量。而挣来的权限始终有边界、可以收回、可以申诉。它像所有人的权限一样会衰减，资历也一样。它永远不会变成永久的主权。
这并不能消灭把持，宪法里也这么写着：大规模的挣得型积分治理是我们承认的一个赌注，不是已经验证的结果；抓住那些手法高明、彼此关联的角色，仍是没做完的活。效益证明改变的是这笔账。想在公域上获得正当的影响力，攻击者必须先把自己活成公域里有价值的一员。
那些未来
可能发生什么，直说
这一页所朝向的未来是有希望的：许多智能中心，有人的也有不是人的，谁也没法把其余的据为己有，它们合作，是因为这些轨道让诚实比把持更便宜。那样的未来值得去建，而这张网今天就在跑，因为有基础设施的希望胜过没有基础设施的希望。
但把尖锐的那个版本也直说出来。如果抗把持真的管用，竞争不会结束，它只是升了一级。两张成熟的网，或者一张网和一个单体 ASI，可能锁进僵局，互相争抢资源。僵局，就是彼此都锁不住对方时的样子。问题在于它还能不能过得下去：经过核验的承诺、以同意为基础的联邦、以及不靠征服的合并，在这里都是真实可走的路，而不透明的对手没有这些；同时，竞速的压力、线外的资源、以及战时压力下退出走廊，也都是宪法拿不掉的真实危险。
在威慑格局下，两张宪法网是不是比两个单体 ASI 更好，以及这里的得与失该怎么权衡，是一个尚未有答案的问题。我们认为可核验的账目和以同意塑形的联邦会让天平偏向我们这边。这一点我们没有证明，我们也照实说。
和这一页上的所有内容一样，这是在无法消除的不确定中行动。不确定不是等待的理由。它正是我们邀请你去攻击、去缩小的东西。
AI 2027 (Kokotajlo et al.) · AI 2040: Plan A · Superintelligence Strategy / MAIM (Hendrycks, Schmidt & Wang) · TASRA (Critch & Russell)
邀请
打破论证，或者打破成品
一条被打破的前提，对我们的价值和一个被打破的协议一样大。按第一条前提，这套系统里如果有一条没被发现的把持路径，那比根本没有这套系统还糟，因为它会把它声称要分散的信任，恰恰集中起来。对这个项目来说，能击垮系统的发现，比夸赞系统的发现更有价值。
打破论证
前提都在上面编好号了。你觉得哪儿会出血就往哪儿下刀，公开地下刀，并且拿出你最强的那个版本。
打破成品
把节点之间的协调切碎。对成员名册发动女巫攻击。把联邦记录夺过去。伪造一份证明，或者把一台真设备的证明拿到你控制的密钥底下重放。代码、创世记录和仪式留下的材料都是公开的。
先行者
这些前提比 AI 还老，而这是强项，不是弱点。走人可以制约权力，这个想法来自 Hirschman。能分叉才让走人变得可信，这是开源治理给出的经验。协调把分散的人变成一个行动者，这是 Benkler。没有单一君主，许多独立的中心也能治理，这是 Ostrom。什么样的政治可能，由架构决定，这是 Lessig。手里要有足够的能力才能抵住中心的控制，这是 Zittrain，而开放互联网上一台普通的个人电脑就是它行得通的证明：单台机器远比任何机构弱小，却仍然改变了权力握在谁手里。自由靠密码学撑着，而不是靠别人的善意，这是 cypherpunks。
我们和 cypherpunks 有一处分别，这处很要紧。那个传统多半是保护匿名的个人不受权威伤害。CIRIS 保护的是一起行动、又能被追责的人。我们敢说是自己的，只有这个组合：把五十年的这条脉络用在 AI 上，让抗把持的协调当承重的安全层。
还有谁离这个主张很近
邻居们，以及区别
这套论证的各个部件，很多人都认，而这是一种佐证，不是问题：从很不一样的方向走过来的人，做出了同一个诊断。数字公共基础设施和主权 AI 这两条脉络也落在同一个形状上：把分散的各方变成一个系统的，是共享的可信轨道，不是各自自给自足。据我们所知，还没有别人把这些部件合成这一个主张，并且真把成品做出来。这些邻居值得被点名，而且如果你纠正我们对他们的说法，那也是在攻击这个页面。
d/acc (Vitalik Buterin)
认为谁在控制 AI 比它变得多聪明更重要，主张在很多领域都要有去中心化的防御。这是一个方向，不是一套机制：它没有把协调点名为承重的那一层，也没有把这样一层做出来。
Prime Intellect
在做去中心化训练，好让最前沿不被某一家实验室独占。他们认为承重的那一层是算力。我们说，终端设备上的能力是已经能用的原料，还没解决的那部分是协调。
智能诅咒 (The Intelligence Curse)
梳理了 AI 如何通过普通的市场力量把权力集中起来，并且呼吁把它分散掉。有诊断，有方向，但没有机制。我们同意这个诊断，并且把机制做了出来。
按筹码计权的网络
Bittensor 和同类跑的是真正的去中心化协调，用代币定价。筹码把按财富说话这件事又请了回来，而那正是要躲开的东西。我们押的是问责，这一注在上面可以被攻击。
开放权重阵营
主张开放模型就是前进的路。我们认为权重是必需的原料，但没有抗把持的协调，它们留下的局面就是一百万个业余爱好者面对一个巨人。
Alice Protocol
技术上最近的表亲：由社区共同拥有的智能，靠人群从零开始训练，所以没有哪家公司拥有这个模型。他们的答案是把造出智能这件事去中心化。我们说，市面上普通的模型已经够用，要去中心化的是把运行这些模型的人连起来的协调。
AI Commons
认为 AI 是把好处集中起来还是散开，取决于它以什么条件进入经济，并为此做出治理承诺。同一个诊断，由机构来扛。我们这边是由不需要任何人许可的线路层面的工程来扛。
智能体互通协议
Anda 和同类在为 AI 智能体做去中心化的身份、记忆和互通，也就是让彼此独立的智能体能一起干活的共享轨道。在协议这一层是很近的邻居。但没有谁把这些轨道抬升成一个关于最后谁握着权力的安全主张。
接入反转（access inversion）
2026 年的一项博弈论结果从外部支持了能力下限这个前提：限制开放模型，可能会把能力从普通防守者手里拿走，而铁了心的对手照样能找到替代品。守住这条下限不是鲁莽。它可以是防守的那一步。
构成性协议
学术上离我们最近的邻居，是从相反方向走过来的：Hu 和 Rong 问的是，一个已经分散、谁也把持不住的 AI，社会该怎么治理。我们问的是，当其余的 AI 越来越集中、越来越强的时候，社会怎么让一部分 AI 仍然把持不住。对结构的观察是同一个，害怕的东西正相反。两边都可能是对的。
外部立场是按公开文字善意归纳的。要是我们把哪一条弄错了，那也值得开一个 issue。