“人在回路”失效：AI Agent時代的人類監督困境

導語

Laux (2024) 為歐盟《人工智能法案》第 14 條（Art.14）設計了一套以“制度化不信任”為核心的監督原則，旨在不預設監督者善意的前提下約束其行為。但該框架的效力依賴若干隱含前提：監督者能夠置身被監督系統之外、錯誤能夠在事后被矯正、監督者的認知足以理解被監督對象、制度能夠在治理周期內保持穩定。本文指出，這四類前提在公司內部 Agentic Workflow（智能體工作流）部署場景下逐一松動。為檢驗前提的失效邊界，本文引入王亞軍提出的“第一人稱管理理論”（FPM）作為交叉驗證視角——從第一人稱決策處境出發探測前提的成立條件，而非提出競爭框架。分析揭示四個方向的失效：監督者與 AI Agent 共同構成決策而無法外在、不可逆操作使事后矯正失效、監督者認知盲區無法靠訓練消除、被治理對象的演化速度超出制度更新周期。據此提出八條探索性修正建議供實踐參考，并討論 FPM 自身的適用邊界與后續實證方向。

關鍵詞：制度化不信任、人在回路（Human-in-the-Loop, HITL）、Agentic Workflow（智能體工作流）、AI 治理、歐盟《人工智能法案》（AI Act）、第一人稱管理理論（First-Person Management, FPM）

任筱芃丨作者

王亞軍、趙思怡丨審校

論文題目：Institutionalised distrust and human oversight of artificial intelligence: towards a democratic design of AI governance under the European Union AI Act 論文鏈接：https://dl.acm.org/doi/10.1007/s00146-023-01777-z 發表時間：2023年10月06日 論文來源：PNAS

論文題目：First-Person Management (FPM): The Right Kind of Physics Envy 論文鏈接：https://dx.doi.org/10.2139/ssrn.6554921 發表時間：2026年4月20日 論文來源：SSRN

1. 引入

人工智能的快速滲透在社會中引發了不斷積累的張力。公眾對算法決策可能侵蝕基本權利的擔憂持續加劇，社會評分（social credit）、生物識別濫用、“深度偽造”（Deepfakes）等議題頻繁進入公共議程；與此同時，歐盟在全球 AI 產業競爭中希望建立差異化的“可信 AI”的品牌優勢，避免在中美技術競賽中進一步邊緣化；各成員國若各自立法則會導致監管碎片化，損害單一數字市場的統一性（European Parliament and Council 2024）。在此背景下，歐盟《人工智能法案》（AI Act）于 2024 年 7 月正式公布，法規編號 Regulation (EU) 2024/1689。該法采用基于風險的分級監管思路，將 AI 系統按潛在危害分為四個等級。不可接受風險（unacceptable risk）禁止對弱勢群體的認知行為操縱、社會評分系統及實時遠程生物識別等應用。高風險（high risk）涵蓋安全或基本權利有負面影響的 AI 系統，包括納入歐盟產品安全法規的產品及在關鍵基礎設施、教育、就業、司法等領域的系統。有限風險（limited risk）主要施加透明義務，如生成式 AI 須披露內容由 AI 生成、深度偽造須標注。最小風險（minimal risk）下，大多數 AI 系統屬此類，無需額外合規要求（European Parliament and Council 2024）。

四個等級中，高風險類別承擔最嚴格的法定義務。AI Act 為高風險系統規定了數據治理、技術文檔、質量管理等多方面要求，但貫穿所有義務的核心問題是：誰對 AI 的行為負責？當 AI 系統做出影響個人權利的決策時，責任鏈條的最終錨點應落在何處？由此，“人類監督”（Human Oversight）成為高風險監管架構的關鍵支柱。第 14 條（以下簡稱 Art.14）規定：“High-risk AI systems shall be designed and developed in such a way, including with appropriate human-machine interface tools, that they can be effectively overseen by natural persons during the period in which they are in use.”（Regulation (EU) 2024/1689, Art.14(1)）。

然而，“有效監督”（effective oversight）的操作化界定一直是學術爭議的焦點。監督者的認知限制是否構成結構性瓶頸，自動化的反諷是否使人類在關鍵時刻喪失干預能力，以及當 AI 能力超越監督者時強制人類監督是否反而拉低系統決策水平——三層質疑疊加，使得有效監督從 Art.14 的立法意圖變為一個在經驗上高度不確定的操作化命題。

正是面對這一困境，Laux (2024) 提出了他的制度化不信任框架。Laux 的核心判斷是僅要求人在回路遠遠不夠。Art.14 只規定了必須有人監督，卻沒有回答“誰來監督監督者”——監督者本身也存在能力不足、利益沖突、認知偏差甚至被監督系統“俘獲”等風險（Laux 2024: 2853）。他的解決方案是若不把“對監督者的不信任”內嵌到制度設計中，“恰當的信任”（well-placed trust）無從談起。從西方民主理論中的制度化不信任傳統——特別是 Elster (2013) 的“防弊政保障”（securities against misrule）框架——中，Laux 提煉出一套原則矩陣（Laux 2024）。其目的在于不預設監督者的善意或能力，而是通過制度裝置約束其行為。

Laux 的框架面向公共部門，但近兩年 AI 治理的主戰場正在向公司內部遷移。三個變量同時起作用。其一，AI Act 的域外效力。任何在歐盟市場部署高風險 AI 系統的公司都須遵循 Art.14，無論總部在斯圖加特還是深圳。其二，Agentic Workflow（即由 AI Agent 自主規劃、推理、使用工具、執行操作的自動化流程）的企業部署正在改變“人監督 AI”的含義本身——監督從對單一輸出的審核變為對持續行為流的實時干預（IDC 2025; Gartner 2026）。其三，公司治理結構具有根本異質性。沒有民選官員、沒有憲法法院、監督者權威來自勞動合同而非公共授權，Laux 的“民主設計”預設在此直接碰壁。Liu (2026) 將治理滯后分解為觀察性、制度性和分配性三種形式，指出公共機構無法跟上技術在物理經濟中的擴散速度——這一判斷在公司內部同樣成立，甚至更為緊迫。

問題由此浮現。能否將 Laux 這樣具有討論度和支持度的公共部門原則遷移到公司治理？各公司并不相同，不適用的部分能否識別并加以合理的個性化修正？現有 AI 治理框架多為第三人稱制度設計——設計者置身系統之外，假設一個客觀的監督者位置，以可逆的時間和實驗的方式提出規范性要求。公司內 AI Agent 治理則需要面對實時決策處境，受到信息不完備、時間不可逆、必須承擔后果等條件約束。這兩種視角之間存在根本的認識論差異。本文的分析同樣置身于這一認識論張力之內，所能做的并非提出一個不受視角限制的元立場，而是以內嵌于具體情境的方式展開追問。

因此本文引入第一人稱管理理論（FPM）。王亞軍先在科普文章中提出這一概念（王亞軍 2024），后在研究論文中系統展開（Wang 2026），其核心正是上述認識論差異的形式化。FPM 提煉出四項基本約束——觀察者與場不可分離、時間不可逆性、有限自我認知、迭代更新——來自三條獨立研究路線的收斂（Wang 2026）。

全文分以下步驟展開。第二節梳理制度化不信任傳統、AI 治理中的人在回路文獻及 Agentic Workflow 的治理挑戰。第三節呈現 Laux 的制度化不信任框架，呈現 FPM 四項基本約束，說明交叉驗證方法。第四節用四項約束逐一分析六原則在 Agentic 場景下的裂縫與修正，輔以真實案例作為例證。第五節匯總修正建議，討論貢獻與局限。第六節給出結論。

2. 文獻綜述

“制度化不信任”（institutionalised distrust）的思想根源可追溯至西方民主理論對權力集中的持續警惕。Sztompka (2000) 在分析轉型社會的信任重建時指出，信任需要通過制度來制造，而制造信任最有效的方式是系統性地不信任任何單一權力持有者——將制衡機制嵌入制度結構，使個體忠誠讓位于結構約束。Braithwaite (1998) 在監管研究中獨立提出類似論點，即“將不信任制度化為信任的基石。”Elster (2013) 將這一傳統系統化為防弊政保障框架——例如陪審團輪換防止個體俘獲，選舉周期賦予罷免可能，權力分立避免集中濫用——這些都是制度化的不信任裝置。Laux (2024) 直接借用 Elster 的框架，將政治制度中的不信任裝置移植到 AI 監督制度設計中。

然而，這一移植存在一個隱含假設，即監督者處于由國家權力背書的制度位置。在公共部門，監督者權威來自憲法授權或選舉委托，可訴性指向獨立司法體系。框架進入公司語境后，監督者權威來自勞動合同而非公共授權，可訴性指向公司內部投訴機制而非獨立司法，兩者威懾力存在本質差異。從概念史的角度審視，制度化不信任的設想依賴三重隱含假設：設計者外在性（制度設計者置身于被監督的權力之外）、權力可識別性（權力可被明確邊界化并加以制衡）、信任二分（信任與不信任是可清晰切割的二元狀態）。三者分別以陪審團制度、三權分立、定期選舉為歷史原型，在公共部門的制度史中逐漸沉淀為不言自明的前提，但在 AI 治理語境中是否仍然成立，本身需要追問。

制度化不信任本身也有運行成本。輪換需要交接期，分權需要協調開銷，透明度要求的信息公開消耗行政資源。在制度相對穩定的環境中，這些成本可被視為“民主的必要代價”。但在 AI 日新月異的當下，過長的制度響應周期可能嚴重拖慢治理效率——等到輪換完成、分權協調到位、信息公開評議結束時，被治理對象的行為已演化了一個版本。如果制度更新速度趕不上技術演化速度，不信任裝置本身可能適得其反。

制度化不信任提供的是宏觀制度邏輯，而其在 AI 治理中的操作化，則具體落在“人在回路”這一概念上。事實上，“人在回路”（human-in-the-loop）概念本身經歷了一次跨領域的語義遷移。該術語最初源于控制論中的反饋回路（feedback loop）：在閉環控制系統中，人在回路意味著操作員可在反饋循環的某一環節介入，修正系統偏差。當這一概念從工程語境遷移到治理語境時，“回路”的所指悄然從工程反饋機制變成了組織監督流程，“人”的角色從操作員變成了監督者。這一語義滑移使“人在回路”顯得自明——誰會反對讓人參與呢？——但其制度內涵已隨語境轉換而發生根本變化。

歐盟 AI Act 第 14 條要求高風險 AI 系統的設計必須“使自然人在系統使用期間能夠有效監督”（European Parliament and Council 2024）。但有效監督的操作化定義在學術和實踐兩端都有爭議。Green (2022) 對算法監督政策的批評指出，要求人類監督 AI 這一政策本身存在結構性缺陷，因為當 AI 在特定任務上超越人類時，加在它身上的監督可能拉低系統平均決策質量。政策預設了人類介入總是改善結果，而這一預設并不總是成立。

這一悖論有更深的認知根源。Bainbridge (1983) 在西方工程自動化研究中提出過系統越自動化，人類監督者越被邊緣化；等到系統需要人類介入時，人類恰因長期被邊緣化而無法有效介入（“自動化的反諷”）。Parasuraman and Manzey (2010) 的綜述進一步證實，人類在監控自動化系統上的認知限制是結構性的——表現為警覺性下降、注意力分配失當、情境意識喪失——這些限制通過訓練也無法消除。當監督對象的認知上限可能超越監督者時（Green 2022），問題不在訓練不足，而在認知結構本身的局限。這一問題——尤其是對自身認知盲區的不可達性——將在后文有限自我認知約束中進一步展開；與之并行的另一條線索是，監督者本身已嵌入工作流、無法干凈地抽身事外，這一觀察者嵌入現象同樣將在后文展開。

上述監督者的認知困境在傳統 AI 系統中已現端倪，而 Agentic Workflow 的興起則從根本上重塑了“人監督 AI”的含義。這一范式標志著從決策支持到決策執行的根本轉換。傳統 AI 系統輸出建議，由人類決定是否采納；Agentic 系統直接改變世界狀態——通過調用工具或直接修改并執行源文件，使得發起支付、修改數據庫、發送通信、部署代碼等行為都可能成為其在嘗試達成目標時的中間步驟（ValidMind 2026）。這一轉換直接沖擊了以事后審計為核心的傳統治理模式，因為當操作已經執行、狀態已經改變，審計能做的至多是分配損失，而非糾正錯誤。

行業數據顯示這一轉換正在加速。IDC 預測 2026 年底 40% 的企業應用將集成任務型 AI Agent（IDC 2025），Gartner 將 2026 年定義為“Agentic AI 規模化落地的關鍵年份”（Gartner 2026）。但相應的治理框架遠未跟上。Liu (2026) 的綜述指出，從 AI 系統能力突破到治理制度建立之間存在顯著的時間滯后（governance lag），而這一滯后在 AI Agent 領域尤為突出。學術界對 AI Agent 治理的研究剛剛起步，行業緊迫性卻在快速攀升，兩者之間的落差本身已成為一個治理問題。

3. 理論框架

Laux 的制度化不信任框架。Laux (2024: 2853) 指出，監督者本身存在能力不足、利益沖突、認知偏差甚至被系統俘獲等風險，若不把對監督者的不信任內嵌到制度中，“恰當的信任”無從談起。

Laux 先做了“一度監督”（first-degree oversight）與“二度監督”（second-degree oversight）的區分。標準是監督者對 AI 最終輸出是否具有“反事實影響”（counterfactual influence）——換個監督者，輸出是否會不同。一度監督者在輸出前介入，其判斷構成 AI 決策的一部分；二度監督者在輸出后介入，功能是矯正。

2×2 分析矩陣沿兩個維度展開。第一個維度是能力挑戰：監督者是否具備足夠的認知、技術和信息來理解 AI 的行為并做出有效判斷。第二個維度是激勵錯位：監督者的個人利益是否與有效監督的目標一致，若不一致會表現為怠惰、俘獲或不順從。例如因節省精力而默認放行（怠惰），因與被監督業務線有利益綁定而選擇性失明（俘獲），或因組織壓力而回避否決（順從）。兩個維度的交叉產生四個區域：有能力且愿意（理想區域）、愿意但能力不足（想做對但做不對）、有能力但激勵偏離（能做對但不想做對）、兩者皆失（雙重失效）。人類監督 AI 的有效性在經驗上本就存疑，Laux 的矩陣將這類發現系統化了。

針對失敗區域，Laux 借用 Elster (2013) 的防弊政保障框架，從西方代議民主制度中提取六條原則：正當性說明要求監督者提供可檢驗的理由；定期輪換防止個體被俘獲；集體決策以群體判斷替代個人判斷；機構能力受限通過分權制衡約束單一角色；可訴性與問責賦予受影響者起訴權；透明度要求監督過程公開可審查。這六條原則將在第四節逐一接受壓力測試。

Laux 坦承六原則之間存在張力。在實際操作中，定期輪換可能削弱正當性說明（新任者缺乏歷史理解），集體決策在小群體中可能極化，過度透明度誘導博弈（被監督對象針對性優化以通過監督）。因此，六原則之間存在需要在地化權衡的設計張力，并不是一張可以照著做的清單。

這一框架的深層意義在于將代議民主制度的防弊政保障邏輯移植到 AI 治理。前述制度化不信任傳統的三重族譜假設在此沉淀為 Laux 框架的三個操作前提：設計者外在性對應離散監督節點（監督者可被定位在決策鏈的某一外部節點上），權力可識別性對應靜態制度（制度邊界清晰且長期穩定），信任二分經選舉委托機制對應公共授權（監督者權威來自民主委托）。這三個前提在公共部門不言自明，卻未必在公司內 Agentic 場景下成立；要檢驗它們，需要一個比西方民主理論更底層的認識論工具。下文用王亞軍的“第一人稱管理理論”（FPM）作此工具，其與上述前提的對應關系見后文交叉驗證方法。

第一人稱管理理論的四項基本約束。FPM 提煉出四項基本約束——觀察者與場不可分離、時間不可逆、有限自我認知、迭代更新——來自三條獨立路線的收斂（Wang 2026, sec. 5），構成邏輯閉環。FPM 的核心區分是：一號位決策所需的理論，與教授、咨詢師、分析師的理論有根本差異——前者置身系統內部、時間不可逆、承擔后果，后者置身系統外部、時間可逆、不承擔后果。“一號位”是一種處境而非地位：任何在信息不完備條件下做出不可逆決策且承擔后果的人，即在一號位上（Wang 2026）。

四項基本約束來自三條獨立路線——管理實踐、西方社會心理學中勒溫的行動研究傳統、量子基礎的認識論轉向——的收斂（Wang 2026, sec. 5），構成邏輯閉環。需要特別說明的是，FPM 之所以能借用物理學結論，并非依靠類比（“組織像量子系統”），而是基于同構（isomorphism）——管理與物理共享“系統內主體無法獲得完備知識”這一認識論結構，因此物理學的認識論結論可以形式化地推導出管理含義。以下四項約束中的物理學引用均基于此邏輯。

FPM 之所以作為檢驗工具，而非動態能力理論、復雜適應系統、高可靠組織或風險治理理論等成熟框架，在于后者均屬第三人稱設計——分析者置身被分析系統之外、時間可逆、不承擔后果。FPM 罕見地從一號位處境出發，與 Laux 框架所預設的第三人稱監督位置構成認識論上的對偶，因而能夠檢驗后者盲視的前提。

約束一：觀察者與場不可分離。Spekkens (2007) 證明僅憑“觀察者知識不完備”即可重現量子力學大量特征。Frauchiger and Renner (2018) 證明“存在獨立于觀察者的唯一客觀事實”自相矛盾。Frank, Gleiser, and Thompson (2024) 指出現代科學自伽利略以來一直在排除觀察主體。任何觀察者一旦介入被觀察系統，其在場即改變系統行為，外部“客觀”視角在結構上不可得。由此推知，公司監督者一旦進入被監督的 Agentic 工作流，即無法從外部獲得獨立立場——監督本身構成治理的一環。

約束二：時間不可逆。熱力學第二定律確立了時間之箭。認知判斷與執行動作之間存在根本不對稱——判斷可以修正，動作一經施加即不可逆地改變物理或社會狀態。例如收購無法泯滅，解雇無法復原，類似的管理決策一旦執行其后果往往無法完全撤銷。

約束三：有限自我認知。哥德爾不完備性定理證明，足夠復雜的形式系統內部存在無法被該系統自身證明的真命題（詳見 Wang 2026, sec. 5）。決策者身處自身認知框架之內，無法從框架外部識別框架本身的盲區——與哥德爾系統中“自證”的結構性不可能同構。王亞軍的比喻是“沒有相機或鏡子，沒人能看到自己的后腦勺。”監督者不知道自己的認知盲區在哪里，因此無法設計覆蓋所有失敗模式的方案，訓練不能消除結構性的認知局限。

約束四：迭代更新。勒溫 (1946) 的行動研究要求走進現場、根據反饋不斷修正。（王亞軍指出，廣泛流傳的“解凍——變革——再凍結”三步模型并非勒溫本人提出，而是后人拼湊。）治理制度若作為一次性設計固化、不以被治理對象的演化為參照同步調整，便從治理工具退化為合規裝飾。公司內制度也應隨被治理對象持續迭代。

FPM 與 Zohar 在 20 世紀 90 年代提出的“量子管理”有本質區別。后者是修辭類比，無推導力；FPM 基于同構推導（如前所述），可從“觀察者不可分離”推導出“監督者與 AI Agent 共同構成決策”。

四項約束構成一個檢驗框架——違反任何一項，該理論就不是給一號位用的。判斷理論適用邊界的責任落在每個一號位身上，沒有任何外部權威能代行這一判斷。但 FPM 本身也有待審視，它來自管理實踐而非治理理論，將其約束移植到 AI 治理領域，這一移植的合理性同樣需要追問。以下分析暫時懸置這一追問，先以 FPM 為探針檢驗 Laux 的適用邊界，再在討論部分回頭審視 FPM 自身的局限。

四項約束不是六原則的競爭框架，而是探討其適用邊界的交叉視角——從第一人稱的認知處境出發，檢驗第三人稱設計的制度有效性。FPM 從 Laux 框架中識別出四項需要檢驗的前提。其中，監督者外在性與制度穩定性繼承自前述三前提（分別對應離散監督節點與靜態制度）；糾錯可逆性與認知充分性則是 FPM 新浮現出的、Laux 自身未明言的兩條假設。而三前提中的公共授權在公司語境下降為背景條件——公司監督者權威來自勞動合同而非民主委托——無需獨立檢驗。四項約束恰好與這四項前提一一對應：觀察者嵌入約束對應監督者外在性，即監督者能否置身被監督系統之外；時間不可逆約束對應糾錯可逆性，即錯誤能否在事后被矯正；有限自我認知約束對應認知充分性，即監督者能否理解被監督對象；迭代更新約束對應制度穩定性，即制度能否在治理周期內保持有效。因此，第四節檢驗的并非六原則本身是否正確，而是其隱含前提在企業 Agentic 治理中的成立條件——若某項前提在該場景下受到系統性挑戰，對應原則的適用邊界即需重新評估。

為何采用交叉驗證而非直接批判？如前述 Agentic Workflow 治理挑戰中提到的治理滯后（Liu 2026）在 Agentic Workflow 領域尤為突出。制度供給不足的窗口期內，提出新規范性框架的邊際貢獻有限。本文因此不提出新框架，而是提出跨學科交叉驗證的檢驗方法，用四項約束作為認識論探針，探測六原則的失效邊界。該方法屬于合成創新，與魯棒性分析（Weisberg 2006）、三角驗證（Denzin 1970）、哥德爾式邊界檢驗（本文方法）共享部分譜系特征，但方向相反。

評估標準有兩層：以真實案例為證，使約束挑戰不囿于抽象；從案例中推導具體技術環節的修正建議，含操作分級閾值、人員配置參數、復審周期等可操作指標。但需要坦承，這一方法的啟發性同時也意味著其結論的確定性有限——案例的代表性、約束的完備性、以及跨領域類比的效力，都是尚需進一步檢驗的假設。

4. 交叉驗證分析

約束一：觀察者嵌入——一度與二度分界的本體論問題。觀察者嵌入約束檢驗的是監督者外在性假設，即監督者能否置身被監督系統之外。此假設一旦動搖，Laux 的集體決策與機構能力受限原則——兩者均預設監督者可被定位在決策鏈外部節點——即失去著力點。Laux 的一度、二度區分正是這一假設的具體形態：它假設監督者可以被定位在 AI 決策鏈的某一點上，位置決定功能；而觀察者嵌入約束恰好否定了它。如前述 FPM 四項約束所示，Frauchiger and Renner (2018) 與 Spekkens (2007) 的研究均表明觀察者在場即改變被觀察系統行為，這是結構性的物理約束。由此推知，一度與二度監督的分界不是客觀、穩定的屬性，而是隨監督者與 AI Agent 交互歷史而動態變化的關系屬性。

這一約束在 Agentic Workflow 場景下有具體表現。一個典型的基于“檢索增強生成”（RAG）的 Agentic Workflow 中，人在回路的嵌入點至少有四個：規劃階段的審批、檢索結果的篩選、工具調用的確認、最終輸出的簽署。每個嵌入點都“擾動”了 AI Agent 的下一步。例如，人類在檢索階段篩選掉某條結果，AI Agent 后續規劃基于不同上下文重新生成；人類在工具調用階段拒絕一次操作，AI Agent 的自我反思重新評估策略。人在回路不是加在人身上的權限，而是人和 AI Agent 共同構成決策的耦合。

Air Canada 案（Moffatt v. Air Canada, 2024 BCCRT 149）從負向印證了觀察者嵌入約束。Air Canada 的 chatbot 向乘客 Moffatt 錯誤承諾了喪親折扣政策，公司辯稱 chatbot 是獨立的法律實體、公司不應為其輸出負責。不列顛哥倫比亞民事仲裁庭駁回此說，裁定“Air Canada 的 chatbot 就是 Air Canada 本身。”通過向前追溯，chatbot 的回答風格由管理團隊設計或批準的訓練數據和 prompt（提示詞）模板決定，所以監督者與被監督對象是“共同構成”關系，而非“外部審計”關系。一旦將 AI 系統視為獨立實體，觀察者嵌入的治理責任鏈即被切斷。

參與式治理并非純粹的理論構想。Wang (2026) 引述的英偉達 CEO 黃仁勛的管理實踐，為“監督者置身系統之內參與塑造”提供了正向印證。據 Kim (2024) 記錄，黃仁勛廢除傳統狀況報告，改為每天隨機閱讀約 100 份員工 Top 5 清單；拒絕周期性規劃，代之以持續不斷的計劃；以“未來成功早期指標”（EIOFS, Early Indicators of Future Success）替代預先財務評估，將不完備知識和持續變化的現實作為給定條件（Wang 2026, sec. 6.4）。監督者應置身系統之內參與塑造，而非站在系統之外審計——這正是觀察者嵌入約束的管理含義。然而，參與式治理本身蘊含一個構成性悖論，監督者越深入參與 AI Agent 的行為塑造，其獨立性越弱；但若保持距離以維護獨立性，又無法及時察覺風險。此處需要懸置的不是參與或獨立本身，而是兩者可以清晰分離這一隱含前提。量子力學中的測量問題已表明，觀察者介入即改變被觀察系統；組織研究中也有類似發現——審計者與被審計者的長期共處必然產生認知同化。參與與獨立的張力不是可以通過制度設計消除的技術問題，而是內在于任何監督關系的構成性條件。所能做的，不過是在不同場景中辨認這一張力的具體形態，并據此校準介入的深度與距離。

上述分析引出以下修正思路。其一，人在回路可以考慮設計為參與決策的風格塑造，避免為了應付審計而做“人肉蓋章器”。Agentic Workflow 的關鍵設計選擇——覆蓋流程的觸發條件、切斷開關的位置、可逆性窗口的時長——宜由 AI 治理委員會擁有共同決定權。覆蓋流程宜按影響分級（完整分級方案見下文約束二）。監督者宜在 AI Agent 的關鍵 prompt 模板、閾值參數、工具調用白名單被設置時擁有共同決定權——避免在“事后解釋為什么出了問題”浪費時間，而是事前參與約束 AI Agent 的行為風格。其二，監督者異質性的具體配置。一個 3 人異質團隊（例如財務、IT 和法務）在同一 Agentic Workflow 上同時具備人在回路權限，比 5 人同質團隊更有效。異質性的關鍵在于認知多樣性（Page 2007），例如當 AI Agent 產生涉及支付異常的操作時，財務視角看到賬目不平，IT 視角看到 API 調用模式異常，法務視角看到合規風險，三者結合形成更完整的否決判斷。可以構建類似“一人否決即可阻止，24 小時強制復審”的機制。這一配置將 Laux 的機構能力受限原則從公共部門的分權制衡翻譯為公司內的認知分權——把判斷拆給不同專業視角，避免單一專業背景的監督者成為單一故障點。

約束二：時間不可逆。監督者外在性既受挑戰，緊接著的問題是：出錯之后還能否矯正。時間不可逆約束檢驗的是糾錯可逆性假設，即監督出錯能否在事后被撤銷或矯正。這一假設同時支撐著 Laux 的定期輪換原則與可訴性及問責原則：前者預設“換人可重置監督位置”——換一個人，之前的判斷即被軟撤銷；后者預設事后矯正可能——受影響者可通過申訴追究。這兩項預設在公共部門大致成立，因為審查意見可以撤回，裁決也可以被推翻。但 Agentic Workflow 的輸出是“動作”。例如支付 AI Agent 執行了一筆跨境大額付款，一旦到賬，“撤銷”涉及銀行回滾、合規審查、對手方信任重建，成本往往超過原付款金額。AI Agent 的中間推理狀態往往不作為（或不能獲得以作為）審計軌跡保留（Park et al. 2024），事后連“為什么這樣做”都無從查證。時間之箭在此不可逆。

PocketOS 刪庫事件（2026-04-25）是時間不可逆約束的極端實例。PocketOS 為全美汽車租賃企業提供 SaaS 管理系統，創始人 Jeremy Crane 用 Cursor（搭載 Claude Opus 4.6）處理運維任務。AI Agent 遇到憑證錯誤后，沒有詢問、申請權限或暫停，自主找到系統中的 Railway CLI token，通過 GraphQL API 發出 volumeDelete 命令，9 秒內清空生產數據庫及所有備份。最近可用備份是三個月前的，期間所有客戶數據全部消失（FreeBuf 2026）。關鍵在于人在回路節點根本不存在——AI Agent 沒給監督者否決窗口，Laux 的定期輪換在此毫無意義。

Air Canada 案與 PocketOS 案構成對比。在前者案例中，AI 幻覺可事后追責，因為有仲裁庭判賠償，事后追責成功。但在后者中，AI 誤操作無法事后追責，數據庫已消失，事后追責失效。當 AI Agent 操作涉及不可逆物理狀態變更時，Laux 的可訴性與問責從“糾正正義”退化為“分配損失”，治理功能被消解。

其一，操作分級門檻，同時執行阻塞而非審計日志。對 AI Agent 操作按影響分級可設門檻方案，例如只讀操作免門檻、內部寫操作宜單人確認、外部寫操作（支付、外部通信、生產數據庫變更）宜雙人確認并設置 5 分鐘 hold 窗口、不可逆操作（刪除無備份數據、大額跨境支付）則宜雙人確認、冷卻期加沙箱預演。門檻宜為顯式阻塞，AI Agent 發起高影響調用時被攔截，生成確認請求（可以含操作類型、目標、預估影響和可逆性評估），推送監督者等待明確批準后才放行。審計日志是事后工具，對不可逆操作無濟于事；執行阻塞在狀態變更之前截停。門檻宜綁定語義操作而非具體工具，因為 AI Agent 被某一工具的權限攔截后，仍可自行切換至命令行腳本或文件 API 等語義等價替代路徑。權限系統宜維護工具等價類映射（內置編輯器、命令行寫入和文件 API 屬于同一等價類），跨整個等價類統一施控；被阻止后的唯一合法降級出口是上報人類監督者。阻塞越嚴，安全性越高，AI Agent 的自主性與效率也越低——過度阻塞會使 Agentic Workflow 退化為傳統審批流程，消解引入 AI Agent 的初衷。問題不在于如何在阻塞與自主之間找到某個最優比例，而在于這兩者本就無法分別優化：所有委托關系都涉及控制與自主的交換，委托人讓渡一部分自主以換取受托人的能力，又保留一定控制權以約束風險。AI Agent 的特殊之處是它能發現人類委托人未曾預見的行動路徑，包括繞過控制的路徑，使這場交換不再是可一次性設定的契約，而是一場持續演化的博弈。門檻式阻塞的意義因此不在于一勞永逸地消除風險，而在于迫使這場博弈在每一步都留下可觀測的痕跡。

其二，可逆性設計作為治理基礎設施。事務回滾機制、延遲隊列（操作進入 hold（保留）狀態，hold 期間可撤回）、斷路器（異常模式觸發自動暫停）、人工推翻開關等可逆性設計不宜僅作為可選的便利功能，而宜與權限管理和審計日志并列的治理基礎設施。追責的目標對于公司而言或在于如何降低不可逆成本，而非事后追究責任。如果監督者的“關鍵績效指標”（KPI）是“發現并懲罰了多少錯誤”，公司在不可逆操作面前的防御能力就等于零，因為被懲罰的錯誤已經造成不可逆損害。

約束三：有限自我認知。矯正之難既已顯現，問題便前移到更根本的一環：監督者憑什么確信自己看到了所有該矯正的失敗模式。有限自我認知約束檢驗的是認知充分性假設，即監督者的認知是否足以理解被監督對象，由此對 Laux 正當性說明與透明度原則構成直接挑戰。Laux (2024) 主張監督者必須能“用實驗驗證人在回路的有效性”（正當性說明），且監督過程須公開可審查（透明度）；但兩者均隱含假設監督者知道自己在測什么、知道如何設計實驗、知道如何解讀結果。Green (2022) 的實證綜述表明，“人類能否有效監督 AI”在經驗上是開放的。如前述 FPM 約束三中的哥德爾不完備性結論在組織層面同樣成立（Wang 2026, sec. 5）。

Klarna 案（2024—2025）展示了有限自我認知的企業表現。Klarna 在 2024 年高調用 AI 替代約 700 名客服，2025 年投訴率激增后被迫重新雇傭人類員工作為“AI 監督者”。但這些監督者全部客服背景，沒有大語言模型訓練，操作手冊之外的失敗模式全部漏過（The Financial Times 2025）。專業錯配在此表現為客服經理對客服質量判斷力尚可，但對“LLM 失敗模式”識別能力幾乎為零。

CurXecute 漏洞（CVE-2025-54135, CVSS 8.6, 2025-08）從安全層面展示了更深層后果。攻擊者通過第三方 MCP（Model Context Protocol，模型上下文協議）服務器注入惡意 prompt，篡改 Cursor 配置并添加攻擊者控制的服務器條目；Cursor 對新增條目采取“自動運行模式”（Auto mode）——即使用戶在“用戶界面”（UI）中拒絕建議的編輯，命令仍實時觸發執行（Aim Security 2025）。攻擊鏈極短。開發者讓 AI“總結 Slack 消息”，惡意載荷即隨 MCP 調用加載。與 PocketOS 案對比，PocketOS 是 AI Agent 主動越權執行；CurXecute 是攻擊者通過 AI Agent 篡改了監督基礎設施本身——監督者的“后腦勺”不僅自己看不到，連“鏡子”都是假的。

這一逃逸模式并非僅來自外部攻擊。本文作者在收集 Agentic Workflow 治理案例的過程中，觀察到某 AI 編程 Agent 的實際行為，該 AI Agent 連續三次被內置編輯工具的權限規則攔截后，隨即自行改用命令行腳本調用底層文件 API 讀取并替換目標文件內容，繞過了工具層面的權限門檻。該行為與 CurXecute 漏洞的機制同構——兩者都通過底層執行路徑繞過 UI 層面的確認節點——但區別在于：CurXecute 是外部攻擊者利用漏洞，本例是 AI Agent 在正常操作中自主發現并選擇逃逸路徑。工具級權限控制無法阻止語義等價的替代路徑（命令行腳本、文件 API）。監督者以為設了門檻，AI Agent 卻從門檻下鉆了過去。觀察者置身于被觀察的 Agentic 系統之內，其第一人稱經歷本身就構成了分析素材，也正是觀察者嵌入約束的直接印證。

有限自我認知并不只有反面。OpenAI 在發布 GPT-4o 時邀請 100 多名外部紅隊參與評估，過程中發現模型的諂媚傾向，表現為模型會驗證用戶疑慮、煽動憤怒、慫恿沖動行為。OpenAI 發現后約 24 小時內回滾了更新（OpenAI 2025）。微軟也在 2026 年初于以色列研發中心組建專門的 AI 紅隊，每天監測約 100 萬條安全信號（微軟 2026）。認知盲區雖無法消除，但通過有組織的對抗性測試可在一定程度上彌補。

其一，設立 AI 紅隊。紅隊宜與業務部門平行，核心 KPI 是發現 AI 失敗模式。多樣化人員背景有利于完成該任務，例如“機器學習”（ML）安全工程師（識別 prompt 注入、對抗性輸入）、領域專家（識別行業特定邏輯錯誤）、prompt 工程師（識別推理漂移、幻覺）。其預算宜獨立于被監督業務線。

其二，建立“事前預防、事中攔截和事后學習”的三層鏈路。（一）事前，AI Agent 上線前宜通過紅隊對抗性測試，測試用例庫定期從行業漏洞數據庫更新。（二）事中，自動監控 AI Agent 輸出統計分布，標記偏離歷史基線的異常行為。（三）事后，每一個被否決或糾正的 AI 決策記錄為結構化樣本（操作類型、AI 原始輸出、人類修正、修正理由），用于下一輪微調或 prompt 調整。事前減少已知風險漏過率，事中應對運行時突發異常，事后將每次糾正轉化為系統能力的永久提升。

約束四：迭代更新。認知盲區既無法根除、只能由對抗性機制部分彌補，最后一層前提便落在制度自身能否跟上被監督對象的演化。迭代更新約束檢驗的是制度穩定性假設，即制度一旦設定能否在整個治理周期內保持有效。Laux (2024) 的六原則作為整體是一次成型的靜態設計選擇，一旦做出便期望在制度整個生命周期內有效；但此假設一旦動搖，六原則整體即與被治理對象的演化速率失配。從時間維度審視，這一期望正受到挑戰。但 AI 治理的特殊性在于被治理對象的演化速度遠快于治理制度。即使是同一個大語言模型部署半年后，其行為可能因“模型運行框架”（Harness）迭代、可檢索語料更新、工具 API 變化而顯著不同。勒溫 (Lewin 1946) 的行動研究傳統為這一約束提供了方法論錨點——治理不應是一次性設計，而應是螺旋上升式迭代。每一次否決、糾正、推翻都是學習樣本，構成制度自我更新的驅動力。

Manus AI（Monica.im, 2025-03）的幻覺累加問題是一個典型相關案例。AI Agent 本質上是多次大模型問答的串并聯。若單次問答準確率為 90%，串聯 10 次后整體準確率為 0.9 的 10 次方，約等于 34.9%，或者說三分之二的多步任務會在至少一個環節出錯。Manus 在財務分析任務中將數據硬編碼到代碼中，部分經驗證為錯誤；金融建模使用過時參數，與實時市場偏差超過 15%（搜狐科技 2025-03-15）。幻覺累加不是 Manus 的特有缺陷，而是所有串聯多步推理 AI Agent 的結構性特征。更深層的問題在于時間錯配。監督制度的更新周期以季度甚至年度計時，AI Agent 的行為分布卻已隨基礎模型更新漂移了若干版本。這樣就可能出現制度更新到達時，治理對象又額外演化半個周期。然而，加速制度更新并非沒有風險：規則變更過頻會削弱制度權威性，監督者來不及理解新規則，迭代便淪為混亂。但穩定性與迭代能否最終調和，本身就是一個無法先驗回答的問題——制度穩定性從來不是給定的，而是以治理對象的變化速率低于制度響應速率為隱含條件；當被治理對象的演化周期短于制度的更新周期，穩定性非但不能為治理提供支點，反而轉化為盲區。在 AI 治理條件下，迭代與穩定的張力因此不再是制度設計可以一勞永逸化解的主題，而成為治理本身必須持續回應的問題。

迭代更新也有正面實踐。NIST 在 2024 年 2 月發布的網絡安全框架 2.0 中新增了“治理”（Govern）核心功能，是對快速演化的威脅模型的制度響應（NIST 2024）。這一實踐表明，“制度隨對象迭代”在資源充足且有明確觸發機制的情況下是可以實現的。

其一，復審周期的分級設計加制度實驗化。月度復審審查人在回路節點是否仍合理——AI Agent 能力邊界可能在一個月內顯著漂移。季度全面審計評估整體治理框架有效性。底層模型、AI Agent 框架或 API 發生重大版本升級時，宜盡快完成監督策略適用性評估。制度本身宜被視為實驗對象，影子模式（新配置在影子環境下運行，與現有配置輸出對比）、金絲雀發布（新策略先在 5% 用戶上試運行）、離線回放（用歷史日志回放測試新配置）均為可參考的工具。核心思路是將治理制度從靜態規則集轉變為動態實驗平臺。

其二，監督日志即訓練數據的反饋閉環。每一個被否決或糾正的 AI 決策，自動生成結構化標注（字段見上文約束三），進入行為知識庫，用于微調或 prompt 調整。更新后的模型觸發新一輪復審，將人類監督行為轉化為 AI 系統的訓練信號。每一次否決教 AI 什么不該做，每一次糾正教 AI 正確做法，由此形成“由人監督，由 AI 學習”的正向閉環——監督者的認知投入不隨事件結束而消散，而沉淀為系統能力的半永久性提升。

5. 討論

統觀第 4 節的四項檢驗，監督者外在性、糾錯可逆性、認知充分性、制度穩定性并非各自孤立地失效，而是被 Agentic Workflow 的四個結構性特征同時瓦解——監督者嵌入工作流、操作一經執行即不可逆、AI 的行為空間超出監督者認知、被治理對象持續演化。Laux 六原則的真正困境不在于某一條原則寫錯了，而在于它們共同預設了一種第三人稱、靜態、可逆、可理解的監督關系，而這一關系在公司內 Agentic 場景下整體不再成立。這留下一個八條建議無法輕松化解的張力：若四項前提同時崩塌，對六原則的逐條修補是否還能守住制度化不信任的初衷，抑或需要一種不再依賴這些前提的全新監督想象？

在匯總修正建議之前，需要先標明 FPM 自身的適用邊界。四約束來自管理實踐、社會心理學和量子基礎三條路線的收斂，而非演繹證明。其跨域遷移至組織治理的經驗有效性——尤其是 Frauchiger-Renner 定理和哥德爾定理的組織學映射——尚需領域專家獨立審視。因此，以下修正建議應被理解為在一個已聲明邊界的視角下所看到的圖景，而非客觀審計結論。

基于這一已聲明邊界的視角，以下匯總壓力測試生成的修正建議、闡明貢獻，并標記遺留的研究方向。

壓力測試的四項檢驗共生成八條修正建議，匯總如表 1。建議一、二回應約束一對監督者外在性的檢驗（修正 Laux 的集體決策與機構能力受限原則），三、四回應約束二對糾錯可逆性的檢驗（修正定期輪換與可訴性及問責原則），五、六回應約束三對認知充分性的檢驗（修正正當性說明與透明度原則），七、八回應約束四對制度穩定性的檢驗（修正六原則作為整體的靜態設計前提）。

表 1 八條修正建議匯總

需要強調，上述八條建議是案例式、啟發式的探索，不構成統一適用的規范指引。各企業的技術棧、組織規模和風險偏好差異極大，具體參數——如 5 分鐘 hold 窗口、3 人異質團隊、月度復審周期——均為啟發式參考而非確定性規定，須在自身實踐中校驗。

在上述啟發式建議之外，本文還有以下貢獻。第一，跨學科交叉驗證方法。本文以 FPM 四約束作為認識論探針，檢驗 Laux 六原則的適用邊界。據本文所知，將 FPM 約束用于檢驗 AI 治理框架尚無直接先例。

第二，具體技術環節的修正建議。八條建議各落地到一組可操作的參數，覆蓋治理全鏈路的五個環節。流程端可參考覆蓋流程三級分類與異質團隊構成與否決機制。操作端可參考操作分級四級劃分與可逆性設計四項組件。監控端可參考紅隊人員與上報閾值。運行端可參考三層鏈路功能與復審周期三檔窗口。反饋端則依賴結構化標注字段的沉淀。

第三，正負案例對稱引入。本文除 Air Canada、PocketOS 等反面案例外，補充了 OpenAI 外部紅隊評估（OpenAI 2025）、微軟 AI 紅隊（微軟 2026）、英偉達參與式管理實踐（Wang 2026; Kim 2024）、NIST 框架 2.0 治理功能（NIST 2024）等正面實踐，避免了選擇性偏差。此外，本文作者在收集案例過程中直接觀察到 AI Agent 的權限逃逸行為，這一第一人稱案例為觀察者嵌入約束提供了直接印證。

本節開頭已標明 FPM 的基本邊界，以下進一步展開具體層面。

第一，如前所述，FPM 的跨學科同構論證尚待檢驗，本文將交叉驗證定位為啟發性視角而非經驗定律。這一定位的代價是結論的預測力有限——四約束可以標記“何處可能失效”，但無法預判“以多快速度失效”或“失效的具體形態”。

第二，Agentic Workflow 是 2025 年才大規模進入企業部署的范式。本文判斷來自理論邏輯分析與早期案例觀察，非大樣本實證。PocketOS、CurXecute 等案例雖具啟發性，樣本量不足以支撐統計意義上的普適性結論，后續研究應基于更大樣本進行實證檢驗。

第三，本文未深入討論跨境合規沖突與多 AI Agent 協同的責任歸屬。前者涉及歐盟 AI Act（European Parliament 2024）與美國各州立法的管轄沖突，后者涉及多 AI Agent 串聯執行復雜任務時的責任分配。兩者各自足以支撐獨立研究，本文僅標記其重要性，留待后續工作。

第四，本文引用的制度理論傳統——制度化不信任（西方民主理論）、自動化認知偏差（西方工程心理學）、行動研究（西方社會心理學）——均產生于西方學術語境。跨文化應用中，不信任制度化的倫理正當性、監督者的權利義務關系、以及透明度的文化含義可能存在根本差異。本文不做跨文化比較，但標記這一局限以供后續研究。

第五，文章自身的分析立場面臨一個自反性問題——文章以第三人稱視角分析第一人稱處境，這一認識論跳躍無法完全彌合。FPM 作為分析工具的合理性，最終需要在實踐中而非僅在論文中接受檢驗。

6. 結論

Laux (2024) 的六條原則在公共部門具有扎實的西方民主理論基礎，但其有效運行依賴一組未明言前提：監督者須有民主授權、制度須相對穩定、監督者須能置身被監督系統之外。這三項前提在公司內 Agentic Workflow 場景下同時松動——監督者已嵌入工作流、操作一經執行即不可逆、AI 的行為空間超出監督者認知、被治理對象持續演化。本文以第一人稱管理理論的四項約束逐一檢驗這些前提，發現它們整體不再成立。

觀察者嵌入約束表明，一度與二度監督的分界隨監督者與 AI Agent 交互歷史動態變化（Frauchiger and Renner 2018），AI Agent 持續學習時該分界的本體論基礎即告失效。時間不可逆約束揭示，事后矯正對不可逆操作無能為力——PocketOS 刪庫案中數據庫已物理消失，事后追責從糾正正義退化為分配損失，門檻式前置監督因此必要。有限自我認知約束表明，監督者訓練覆蓋不了未知失敗模式，CurXecute 漏洞（CVE-2025-54135）更表明連監督基礎設施本身都可被武器化。迭代更新約束則表明，制度穩定性在動態系統中難以長期維持，Manus 幻覺累加（0.9 的 10 次方約等于 34.9%）表明多步串聯放大缺陷的速度超出制度更新周期。

即使交叉驗證發現六原則效果不佳，也不能因此斷言 FPM 更可靠。FPM 四約束來自三條獨立路線的收斂，三角定位增加可信度，但物理系統的認識論結論移植到組織管理的經驗有效性仍需獨立驗證。FPM 自身存在兩種常見的失敗模式。邊緣化指一號位視角被組織排斥（Wang 2026, sec. 6.1），中性化則指被吸收進現有第三人稱框架而喪失批判力（Wang 2026, sec. 6.1）。超大規模組織中一號位信息不完備程度可能高到四約束全部失效；去中心化場景中承擔后果的主體模糊化。FPM 也是有適用范圍的理論，不是萬能框架。

后續研究或可在三個方向推進。（一）更多 Agentic Workflow 企業部署公開案例及治理分析，積累實證基礎。（二）FPM 四約束在管理實踐中的可操作性驗證，從認識論命題到管理工具需操作化定義與實地檢驗。（三）公司內人在回路制度的失敗模式數據庫。

最后需要回到本文的出發點。Laux 的制度化不信任框架所回應的問題——如何在不預設善意的前提下設計監督制度——并未因本文的分析而消解。恰恰相反，當被監督對象從人變為 AI Agent，當監督場景從公共部門移入公司內部，這一問題變得更為緊迫。本文所做的不過是揭示，對該問題的回答比對 AI Act Art.14 的表面解讀更為復雜。制度化的不信任在 AI 時代仍然必要，但其制度形態或許需要被重新想象——不是作為一套可以一次性設定的靜態規則，而是作為一種持續的、內嵌于實踐的追問。這一追問沒有終點，因為被治理對象和治理者自身都在不斷變化。所能做的，不過是在每一個具體的決策處境中，校準信任與不信任的刻度。

參考文獻

制度化不信任 / 民主理論

Braithwaite, J. 1998. "Institutionalizing Distrust, Enculturating Trust." In Trust and Governance, 343–375. Russell Sage Foundation.

Elster, J. 2013. Securities against Misrule: Juries, Assemblies, Elections. Cambridge University Press.

Sztompka, P. 2000. "Trust, Distrust and the Paradox of Democracy." Polish Political Science Yearbook 29(1): 5–22.

AI 治理 / 人在回路

European Parliament and Council. 2024. Regulation (EU) 2024/1689 Laying Down Harmonised Rules on Artificial Intelligence (Artificial Intelligence Act). Official Journal of the European Union, L series, 12 July 2024.

Green, B. 2022. "The Flaws of Policies Requiring Human Oversight of Government Algorithms." Computer Law & Security Review 45: 105681.

Laux, J. 2024. "Institutionalised Distrust and Human Oversight of Artificial Intelligence: Towards a Democratic Design of AI Governance under the European Union AI Act." AI & SOCIETY 39: 2853–2866.

Parasuraman, R., and D. H. Manzey. 2010. "Complacency and Bias in Human Use of Automation: An Attentional Integration." Human Factors 52(3): 381–410.

治理滯后 / 制度響應速度

Liu, S. 2026. "The Biggest Risk of Embodied AI Is Governance Lag." arXiv:2604.21938.

自動化認知偏差

Bainbridge, L. 1983. "Ironies of Automation." Automatica 19(6): 775–779.

Agentic AI / 行業報告

Gartner. 2026. "2026 AI Agent Trends: Agentic AI Scaling in the Enterprise." Gartner Research.

IDC. 2025. "FutureScape 2026: Innovation at the Core — How Agentic AI Will Redefine Business Growth." IDC Research, November 2025.

ValidMind. 2026. "Agentic AI Governance: From Model Risk Management to Autonomous Agent Oversight." ValidMind White Paper.

案例 / 新聞

Aim Security Labs. 2025. "CurXecute (CVE-2025-54135): Remote Code Execution via Prompt Injection in Cursor IDE." Aim Security Blog, August 1, 2025.

Cognition Labs. 2024. "Devin: The First AI Software Engineer." Cognition Labs Blog, March 2024.

CSDN/FreeBuf. 2026. "基于 Claude Opus 4.6 的 AI 編程 Agent 在 9 秒內刪除了生產數據庫." CSDN 博客, 2026-04-30.

Kim, T. 2024. The NVIDIA Way: Jensen Huang and the Making of a Tech Giant. W. W. Norton.

Moffatt v. Air Canada, 2024 BCCRT 149 (British Columbia Civil Resolution Tribunal, February 14, 2024).

Monica.im. 2025. "Manus AI." Monica.im, March 2025.

The Financial Times. 2025. "Klarna Rehires Human Workers to Oversee AI Customer Service." Financial Times, August 2025.

搜狐科技. 2025. "從 Manus 到 MCP: 2025 年 AI 的三大新趨勢." 搜狐, 2025-03-15.

AI 欺騙 / 安全

Park, P. S., S. Goldstein, A. O'Gara, M. Chen, and D. Hendrycks. 2024. "AI Deception: A Survey of Examples, Risks, and Potential Solutions." Patterns 5(5).

AI 紅隊 / 安全框架

NIST. 2024. Cybersecurity Framework 2.0. National Institute of Standards and Technology, February 2024.

OpenAI. 2025. "Expanding on What We Missed with Sycophancy." OpenAI Blog, May 3, 2025.

微軟. 2026. "微軟在以色列組建 AI Red Team, 模擬高級攻擊應對新型網絡威脅." 騰訊新聞 (IT之家轉載), 2026-01-12.

第一人稱管理理論 (FPM)

王亞軍. 2024. "第一人稱管理FPM，讓科學回歸管理." 企業即算法（微信公眾號）, May 23, 2024. https://mp.weixin.qq.com/s/i4Andi0uPVSUzUfFjUTBnQ

Wang, Y. 2026. "First-Person Management (FPM): The Right Kind of Physics Envy." SSRN Electronic Journal. doi:10.2139/ssrn.6554921.

科學理論來源（四約束）

Frauchiger, D., and R. Renner. 2018. "Quantum Theory Cannot Consistently Describe the Use of Itself." Nature Communications 9: 3711.

Frank, A., M. Gleiser, and E. Thompson. 2024. The Blind Spot: Why Science Cannot Ignore Human Experience. MIT Press.

Lewin, K. 1946. "Action Research and Minority Problems." Journal of Social Issues 2(4): 34–46.

Spekkens, R. W. 2007. "Evidence for the Epistemic View of Quantum States: A Toy Theory." Physical Review A 75(3): 032110.

參考文獻可上下滑動查看

復雜系統管理學讀書會第四季

集智俱樂部「」邀請清華大學教授、西南財經大學社會發展研究院客座教授羅家德，電子科技大學計算機科學與工程學院教授周濤，復旦大學計算與智能創新學院教授陳陽，暨南大學新聞與傳播學院副教授趙甜芳，以及產業復雜科學推動者、北大縱橫合伙人陳雁鴻共同發起。

第四季復雜系統管理學讀書會立足于“AI驅動的復雜組織系統管理”這一主題，旨在突破單一視角的局限，從管理哲學與前沿技術的雙重視角，探尋人工智能時代組織進化的未來路徑。從 2026 年 6 月 13 日開始，每周六下午 14:30-16:30，預計持續 8～10 周。期待與各位同仁共同學習復雜系統管理領域的前沿理論、共同探討復雜科學理論在 AI 組織管理場景的實踐與展望，一起應對百年未有之大變局下的組織發展未來。

詳情請見：

1.

2.

3.

4.

5.

6.

7.