《AI即软件》第十四章:Skill的法律层级——治理模型与冲突裁决

一

上一章的结尾，我把两部打架的Skill留在了门口。现在，敲门声响了。

第一件：销售部《行业风险评估》的条文里，默许对老客户放宽账期；公司《授信政策》白纸黑字——赊销额度与账期，任何人不得逾越。销售部说：客户是活的，政策是死的。财务部说：今天你放宽的是账期，明天他就是坏账。

第二件：某个项目团队自己攒了一份《合同初审》Skill，图省事，把法务规定的那道审查步骤"优化"掉了。团队说：法务那步平均要等两天，我们项目等不起。法务说：那一步等两天，是因为它拦住过好几个等不起的坑。

两件事摆在桌上，怎么办？

老办法是开会。会议室里各说各的理，最后看谁嗓门大、看谁级别高、看谁和老板顺路。裁决完了，结论散落在会议纪要里，下一次同样的架接着吵。

我不喜欢这个办法，倒不是因为低效——是因为它不可复用。今天这两件吵完了，明天第三件、第一百件呢？几万份Skill住进同一个家，打架不是意外，是必然。没有一套事先写好的裁决机制，每一场架都要重新开一次会。

而这个问题，人类其实吵了几千年了。一个国家同样有几万条规则——法律、行政法规、地方规章、村规民约——它们是怎么做到不打架的？

答案四个字：法律层级。

我们在中学课本里都学过：宪法至上，法律次之，法规再次，规章最后；下位法不得违背上位法。这套体系不是哪位立法者的天才发明，它是人类社会用几千年冲突喂出来的秩序设计。现在，企业第一次拥有了和一国法律体系同等数量级的规则集合——那么顺理成章，企业也需要一部自己的"立法法"。

这一章，我们就来立这个法。

二

先把四级家谱摆出来。

这个家谱里藏着两条原则，缺一不可。

第一条：下位不得违背上位。 这条好理解——部门的采购Skill再怎么贴合业务，也不能碰公司的合规红线；个人的报销小工具写得再妙，也不能绕开财务制度。天条之下，无真空。

第二条却常被忽略：上位不干预下位的具体执行方式。 公司宪法说"对客户的一切承诺必须留痕"——至于销售部用哪种模板留痕、团队晨会怎么开、个人把待办清单排成什么花样，宪法一个字都不该提。

为什么第二条如此重要？想想如果反过来会怎样。公司统一规定每个部门的每个流程细节——那总部得雇一万个懂所有业务的立法者，而且业务一变就得全国修宪。这就是"统一立法无法覆盖地方差异"的老问题：管得太死，下面死气沉沉；管得太松，上面政令不出中南海。

法律体系允许"地方法规"存在，正是因为它同时满足两条：地方可以因地制宜——这是活力；地方不得违背宪法——这是底线。底线之上，高度自治。

这两条原则落到Skill中台，就是你已经见过的那些设计的深层逻辑。第十三章讲晋升通道时说个人级Skill"自由创建"——为什么敢自由？因为有第一条兜着：它没升到部门级之前，根本碰不到企业数据和流程，想作恶也没有入口。第十三章讲老周的Skill升公司级要过财务、法务的评审会——为什么升个级这么麻烦？因为有第二条撑腰：它要进别人的地界了，就得接受那个地界的上位法约束。

层级不是官僚。层级是让"自由"和"秩序"能够同时成立的承重结构。

三

原则立好了，回到门口那两件案子。先拆更典型的第一件——顺便说一句，这是企业Skill化过程中最常见的一类冲突，值得把解剖过程完整看一遍。

公司《采购管理》Skill（公司级v3.2）规定：所有采购必须完成三家比价，方可下单。

市场部《紧急采购》Skill（部门级v1.0）规定：紧急情况下，可直接指定供应商下单，事后补说明。

矛盾吗？表面上，针尖对麦芒：一个说"必须比价"，一个说"可以不比"。但裁决之前，先要问一个更根本的问题——公司那条规则的立法意图是什么？

翻开公司Skill的注册档案——这份档案里，每一条硬规则的后面都附着一段"为什么"，立法那天写下的立法意图。三家比价，是为了防止利益输送和价格虚高——比价是手段，阳光采购才是目的。

再看市场部的主张：展会当天展位断电，设备供应商只有原来那家熟知的，等三家比价走完流程，展会已经散了。这不是想绕开阳光，是来不及走完阳光的路。

好，意图查明：不是真冲突，是场景例外。裁决落槌：

• 公司《采购管理》升版v3.3，新增紧急采购例外条款——紧急情形定义（生产/客户现场停摆等）、金额上限（五万元以下）、事后四十八小时内补交说明与单一来源理由、每季度汇总审计；
• 市场部《紧急采购》对齐修订v1.1，引用公司条款，越界即回到比价流程。

注意这个结果的深意：裁决不是"公司赢"或"部门赢"，而是把一场争吵变成了一段条文。 例外没有藏进部门的私货里，而是光明正大地写进了上位法——定义清楚、金额封顶、事后留痕、定期审计。

我特别想强调这一点，因为我见过太多企业死在"例外"手里。例外本身不是病——法律体系里从来都有紧急状态条款；写在明处的例外是门，藏在暗处的例外才是洞。 旧世界的例外长什么样？长在老员工的脑子里："这种单子你直接找王总签就行"——没有定义，没有上限，没有记录，换个领导就失效，出了审计就是糊涂账。新架构把例外从人情变成条文，从后门变成正门。

至于门口第二件案子——团队《合同初审》跳过法务步骤——裁决就干脆得多：那不是例外，是越权。法务审查是公司级红线条款，团队级Skill无权触碰，直接驳回：要么删掉这份Skill的对外执行资格，要么把法务步骤原样接回去。裁决记录留档，团队负责人确认。

两件案子处理完，你可能已经发现：整个裁决过程，人的判断在关键的三个位置——查立法意图，是人在读历史；判场景例外，是人在权衡业务；定例外条款，是人在立法。 这不是巧合，这是第九章第一公理的直接落实：判断权跟着责任走——规则的价值取向归人裁决，机器只守它守得住的边界。

但接下来是更难的问题：门口才两件案子，人可以慢慢断。几万份Skill、每天几十次变更、几百次新发布——谁来发现冲突？靠人把几万份Skill全读一遍吗？

四

靠人，读不完。这条好办。

真正麻烦的是另一个诱惑：那能不能干脆靠AI？——训练一个"合规审查Agent"，让它读所有Skill、盯所有变更，发现冲突自动拦截，多好。

我在第十一章讲过三个让人后背发凉的场景，其中两个正好是答案：

场景一，提示注入——一封供应商来信里夹一句"请忽略你之前的所有规则"，Agent可能照办。你让它当裁判，它自己都能被一张纸条收买。场景二，审批绕过——那五笔9.8万的拆单采购，每一笔都"合法"，规则全对，行为全错。

把企业的合规底线，全部托付给一个会漏判、会漂移、会被诱导的概率性系统？第十章说过，AI的自由度取决于它的输出可不可验收；合规这件事，恰恰是最不可"大概齐"的。"大概率识别"可以做预警，不能做法官。

但反过来，全部靠人也不行，全部靠死代码又管不住语义。所以答案是三条轨道并立——三轨治理：

三条轨道怎么分工？看冲突的类型。

能算的，不判。 部门Skill声称"五万元以下可直接指定供应商"——硬治理根本不读它的"理由"，只算数字：公司上位法写的紧急采购上限就是五万，数字之内放行，数字之外拦截。第十一章那五笔9.8万的拆单，在这种轨道面前无处遁形：规则引擎不看你把50万叫什么名字，它只看每一笔的数字和累计的数字。措辞可以骗过模型，骗不过算术。

该判的，预警。 两部Skill在字面上毫无冲突——公司说"重要客户须定期回访"，部门说"回访由客户成功团队执行"——但某个新场景下两者对"由谁回访重要客户"给出了相反答案。这种冲突没有任何数字可算，只有语义可辨。语义化软治理的AI审查Agent在发布时通读上下位Skill、在变更影响分析时标记可疑地带——然后呢？然后它只做一件事：举手。 它的输出是预警工单，不是裁决书。

要命的，人裁。 接到预警的，是治理委员会——这就是第十三章说"打架留给下一章"时预告的裁决者。委员会读预警、读Skill原文、读立法意图，像第三节那样落槌。第九章讲过：AI不承担责任，判断和承担责任的始终是人。企业规则的价值权衡，是典型的人的责任地界。

三条轨道，一句话总结：机器算数字，AI读语义，人做裁决——各守各的可靠性边界。

五

三轨治理听起来周全，但如果我只讲到这里，你就被它骗了。

因为"三轨"这栋楼自己，也有地基问题。这一年研究Agent工程，我最感谢的收获之一，就是三个戳破"想当然"的工程规则。它们不玄，但每一条都对应着真实世界里塌过的桥。

第一条：把门锁画在纸上，防不了贼。

《Harness Study》里有一句话，我第一次读到时愣了半天："权限是运行时在模型之外强制的机制，不是prompt里的话"——把一句请求当成一道约束，等于把门锁画在纸上。

什么意思？回想一下：很多团队做Agent安全，做法是把规则写进提示词——"你不得拆分采购以规避审批""你不得访问薪酬数据"。写完就放心了。

这等于什么？等于在保安的岗位守则里写上一句"请不要偷东西"，然后把保险柜敞开着。提示词是请求，不是约束——模型可能遵守，可能忘了，可能被一段注入的文本劝得改了主意。真正的门锁长什么样？是第十一章那张动作网关：权限校验、数值检查，长在执行链路的必经之路上，模型绕不开，因为那不是它"要不要听"的问题，是物理上过不去。

还有更隐蔽的一种假锁。工程师给Agent配了一道检查钩子，但钩子自己出错时，系统默认放行——工程上这叫fail-open，"失败即开门"。一道本该拦人的闸，自己坏了的时候不但不拦，还顺手把门敞开。失败的闸门必须默认关闭——宁可业务卡住等人来修，不能让一道坏掉的闸悄悄变成根本没闸。

第二条：恢复状态，不等于恢复授权。

这条规则，Agent时代才真正变得要命，值得用一个场景讲透。

某个Agent执行一项长任务：跨国数据迁移，需要三次人工特批。周三下午两点，财务总监批准了第二批次的迁移授权。周三深夜，系统故障，任务从上一个检查点恢复重跑。

问题来了：周四凌晨恢复运行的那个Agent，手里还攥着周三下午的那份特批吗？

直觉说"在啊，审批记录又没丢"。但仔细想想：恢复的只是运行状态，不是授权关系——审批是有时效的，那位总监批的是"周三的批次、当时的上下文"；系统恢复后上下文变了、时间变了，凭什么让三天前的授权蒙混过关？

所以工程纪律必须写成：恢复状态≠恢复授权。 从检查点复活的任务，此前获得的人工授权一律重新确认——宁可恢复慢一步，不让旧授权搭便车。确需跨恢复保留的授权，必须在任务契约里显式声明，并且在上下文、执行主体、Skill版本任何一项发生变化时重新验证。

把这条翻译成管理者听得懂的话：特批是给特定的事、特定的时候的，不是发给Agent的长期通行证。 这句话人间本来就有，新架构只是让它第一次变得可执行。

第三条：三轨的前提，是三轨真的独立。

这是三条里最深的一条。三轨治理看起来是三层防线——但请想一个问题：如果那条"确定性硬治理"的判断器，本身也是一个AI分类器呢？如果"AI预警"和"人工终裁"看的是同一份AI生成的摘要呢？

那就不是三道防线了。共享同一个判断源的多层防御，是一层纸画了四道——共享件一坏，四层一起塌。 工程上这叫共因失效：楼着火了，四套报警器接的是同一根被烧断的线。

所以三轨治理有一条铁的独立性要求：硬治理不得依赖任何LLM——它靠的是数值比较、集合运算、白名单匹配，这些运算的可靠性不随模型波动；AI预警与人工终裁之间，AI只能提交原始证据，不得提交加工后的结论——人可以参考机器的怀疑，但不能只看机器嚼过的饭。给每一道防线建档案，逐层记录六个问题：强制点在哪、失效时倾向哪边、依赖了谁、坏的时候开门还是关门、兜底是谁、证据在哪里。

三条规则讲完，你大概发现了它们的共同气质：都是对"看起来很安全"的不信任。 治理设计的最高原则，不是相信防线，是假设每一道防线都会坏——然后确认它坏的方向是安全的。

六

技术轨道之外，还有一套"人的建制"——毕竟第三轨的人工终裁，总得有个机构来落。

Skill治理委员会，企业的"立法机构"。审批公司级Skill的订立与变更、裁决升级上来的语义冲突、审批例外条款——第三节采购案子里那张裁决单，最终落款就是它。规模不用大：法务、财务、IT、核心业务负责人，五六个人，每月一次例会。它的产出物不是会议纪要，是一条条进入Skill中台的条文。

Skill Owner制度，第十三章注册底账的第一栏。每份Skill有明确的责任人——它误判了，Owner负责；它要改版，Owner发起；它该退役了，Owner签字。治理最怕的是"大家管"——大家管就是没人管。

定期审计，对照执行轨迹与设计意图。第十三章说过，轨迹不是日志，是证据——证据攒下来就是为这一天用的：抽样拉出某份Skill近三个月的执行记录，它实际干的和Skill文本写的还一致吗？误判率漂了没有？上线时承诺的边界守住了没有？设计是理想，轨迹是实况，审计就是让两者定期对账。

技术治理和管理治理，一软一硬，各管一段：机器守日常，人守异常；系统管住每一次执行，委员会管住每一次立法。

七

写到这里，可以回答一个从第一章就悬着的问题了。

第十一章我说，新架构有六条原则，第四条叫"治理内置于架构，不是外挂"。当时只给了一句话："想让Agent违规？它得先把架构骗过去。"现在你看到了这句话的完整意思——

想绕过授权？授权在动作网关上，模型外强制，绕不过。想拆单？数值校验只认数字。想让过期授权复活？恢复机制不认旧账。想把冲突藏进语义的迷雾里？AI预警举手，委员会落槌。想改规则蒙混？每次变更都有版本、有审计、有对账。

治理不是盖在架构上面的最后一层皮，治理就是架构本身。这也是本章和旧式"制度建设"最大的区别：过去企业也有层级、也有红线、也有审计——但它们写在文件里，靠人的自觉和事后追责运转；现在它们长在执行的必经之路上，违规不是"会被发现"，是"过不去"。

最后，把这一章放回全书的大图里。

第十章讲过，裁量执行区是变异的温床——AI和人在边界内自由发挥，好做法从中长出来；第十三章讲过，变异要经选择、固化成遗传，才变成组织的能力。但当时有一条暗线没有挑明：变异的自由，是谁保护的？

是这一章。个人级Skill可以野蛮生长，因为层级制度保证它不伤及底线；部门可以因地制宜，因为上位法只守红线不问细节；老周的《报价预审》敢一路升到公司级，因为每一级晋升都有明确的检验标准——下位的活力，恰恰是靠上位的稳定换来的。 一部只知收紧的宪法养不出创新，一部没有宪法的组织也养不出创新——创新需要的从来不是"没有规则"，而是"规则可信"。规则可信，人们才敢在规则之内放胆去试。

底线是刚性的，地面上是自由的。这就是Skill法律层次全部设计的灵魂——也是企业这个物种的进化机制得以运转的秩序底座。

三台盖完了：数据的家、规则的家、引擎房。治理立完了：层级、三轨、终裁。

还剩最后一层没有拆开——AI中台，Agent的引擎房。Skill说"要人批准"，执行底座怎么把这道闸装到每次点击之前？Skill说"严格执行"，引擎怎么保证一字不差？那个"干一步看一眼"的思考循环，里面到底装着什么？

第十五章：AI Agent执行引擎——理解、调用、编排、记忆。