未來思考

人類視野與 Faying：人與 iFay 相處的產品策略與技術方案

如果未來 AI 真的會替你做事、替你操作終端、替你和世界互動，那麼「人與 AI 怎麼相處」就不只是哲學討論，而是一套必須能落地的安全協定。
我一直強調：讓 AI 跑得更快很容易，讓它在社會中「負責任地行動」才是難點。

所以我們把話講得很簡單：
任何 Fay 的行為，都必須在人類原型能夠「看見」的範圍內發生。
這裡的「看見」不是盯著螢幕、不是攝影機對準機器人，而是一種結構性承諾：你不必一直看，但你隨時想看，都能確認它是否處於監護之下；你隨時想停，都能讓它停。
這套價值觀在協定裡被命名為 Human View（人類視野）。
（想更詳細了解我們的理念，可以直接讀《人類視野》這篇： https://ifay.ai/zh-TW/docs/Faying-Protocol/blueprint/11-%E4%BA%BA%E9%A1%9E%E8%A6%96%E9%87%8E ）

圍繞「監護等級」「人類視野」「Faying 的強連接／強融合」「接管終端的未來場景」，我想把我們在做的這件事講得更像「相處之道」，而不是一堆術語。
我想表達的立場是：Faying 狀態是人與 iFay 相處時安全、對齊、可擴展的預設方式。脫離 Faying 的自動運行實體，應被預設放在不安全區，就像 http 之於網際網路。

Human View：不是「被看到」，而是「可被看到」

我們用 Human View 表示：人類不可能 24 小時盯著自己所有的 Fay。物理視野不成立，必須引入一種「結構性可確認」。
它關注的不是「我現在有沒有看到」，而是「我隨時能不能看到」。這是完全不同的工程目標。

這裡我想把兩個概念分清楚：Human View 和 Harness 不是一回事。
Harness 解決的是「iFay 做事規不規範」——流程是否合規、動作是否越界、輸出是否符合安全與倫理約束。
Human View 解決的是「人類原型到底能把 iFay 控到什麼程度」——能不能隨時確認、能不能隨時介入、能不能隨時終止。
更嚴格地說，在「風箏線」的每一種鬆緊度下，都應該配一套對應的 Harness：線越鬆，對 Harness 的要求越高；線越緊，對 Harness 的要求越像滑鼠級的指令一致性。
我強調 Human View，不是為了教 iFay 變乖，而是為了保證：無論我們把線放到多遠，你都始終拉得住、拽得回、看得清。

更關鍵的是，Human View 不是某個欄位、某個 API、某個按鈕，而是一種憲法級約束：
任何欄位、訊息、狀態機的設計，只要讓 Fay 脫出 Human View，就在藍圖層面不被允許，無論工程上多方便。
這句話不是修辭，而是我們做產品與協定時的硬約束。

Human View 也明確禁止四種情境（四反命題）：

  • 未經授權（Unauthorized）：沒有可驗證的授權就行動。
  • 未授意（Unintended）：有授權但沒收到本次動作的意圖，行動偏離當下意圖。
  • 不知情（Unaware）：即便授權與授意都成立，人類仍無法在合理代價內得知 Fay 正在做什麼。
  • 脫離控制（Out-of-Control）：人類已知情但無法即時介入、無法撤銷、無法降速、無法銷毀。

你會發現這四條其實就是「人機相處的道德底線」，但它被寫成了可執行的協定要求：授權／授意是入口與過程，知情是回饋通路，控制是最後的閘門。缺一條，所謂「監護」就只剩名字。

「在監護下」到底是什麼意思：不是雙向開關，更像風箏的線

很多人一聽「監護」，第一反應是開／關：要嘛我管著你，要嘛我不管你。
但我們做 iFay 之後很快發現，這種「開關思維」會把人帶到兩個極端：要嘛累死在細粒度確認裡，要嘛放權到看不見、攔不住。

我更願意用「風箏的線」來解釋監護強度：線拉得越近，你的控制力越強；線放得越遠，iFay 的自主空間越大。
關鍵不是「放不放線」，而是線永遠在你手裡——你隨時能收線、換線、剪線。

我們把這條線的鬆緊，大概分成五檔（不同任務用不同檔位）：

  1. 完全等價（像滑鼠）
    你點一下它動一下，iFay 不做任何「自作主張」。
    適合：高風險、不可逆、不可解釋的動作（轉帳、簽署、刪庫、解雇）。

  2. 監督下（像副駕駛）
    iFay 會理解、會規劃，但關鍵步驟必須徵詢你同意。
    適合：中風險、步驟較長但可以分階段確認的任務（訂票、改簽、提交表單）。

  3. 授意下（像你的一段延伸意識）
    你給出大概意思，它按你的習慣去完成，並且把回執和可回溯紀錄送回你的視野。
    適合：低風險但高頻的任務（整理郵件、安排日程、採購清單、生成草稿）。

  4. 放權下（在範圍裡自己跑）
    你給出範圍（時間窗／預算／終端／任務域），它自己規劃執行，但過程始終可見、可中斷、可撤銷。
    適合：持續性的例行任務（巡檢、監控、資訊蒐集、無人機例行飛行）。

  5. 邊界內自治（長期共生）
    你信任它在更大的邊界裡自驅，但「人類視野」和「介入通路」仍然常開。
    適合：長週期協作（長期助理、家庭協作、健康管理）。

這五檔看起來像是在討論「放權」，但我們真正要守住的是一件事：
不管線放到哪，iFay 都不能脫出 Human View。
監護不是「少放權」，監護是「放權也必須在視野內」。

Faying：不是「連上就行」，而是「融合與合體」在不同等級下成立

如果只把 Faying 理解成「連接狀態」，你會自然走向一個危險的方向：
「既然連上了，那就一直連著吧。」

我們提出 Faying，不是為了描述「連沒連上」，而是為了定義一種強連接、強融合的相處方式：
當 iFay 在 Faying 下工作，它不再是外掛工具，而是開始在一定程度上與你「合體」——在不同任務、不同風險等級下，形成不同檔位的等效性：
有的檔位像滑鼠，你點一下它動一下；
有的檔位像副駕駛，它理解、規劃，但每一步都要你點頭；
有的檔位像你的一段延伸意識，你給出大概意思，它按你的習慣完成；
再往上，是你願意放權的邊界內自治。
但無論哪一檔，「合體」都必須滿足 Human View：隨時可確認、可回溯、可介入。

要讓這種「融合」在工程上成立，就不能只講狀態，必須把「交權」也寫進協定裡。Faying Protocol 把 Faying 拆成雙重語義：
Faying State（狀態語義）：處於人類原型監護下的連接狀態（融合關係持續在線）。
Faying Action（動作語義）：從脫離態進入 Faying State 的一次「控制權交付」動作（融合關係被建立）。
（想更詳細了解「狀態 + 動作」這對雙語義，可以看《Faying 的雙重語義》： https://ifay.ai/zh-TW/docs/Faying-Protocol/blueprint/12-Faying%20%E7%9A%84%E9%9B%99%E9%87%8D%E8%AA%9E%E7%BE%A9 ）

這件事的重要性在於：只有把「狀態」和「動作」都做成一等公民，你才能保證責任歸屬不被悄悄抹掉。

在產品層面，我會把 Faying Action 的要求當作「交權必須滿足的清單」：

  • 必須由 Human Prime 顯式發起：不允許 Fay 自己決定開啟。
  • 必須可被見證：必須留下可被稽核的記號。
  • 必須是有限範圍的：無限期 Faying 是反模式，應攜帶時間窗／任務範圍／終端範圍等邊界。
  • 必須可對稱撤銷：開與關同等容易，不能「開容易、關困難」。

而 Faying State 也不是「連上就完事」，它帶三條必然屬性：

  • 行為歸責唯一：對外行為歸責端不跳變。
  • 可見性持續：Human View 隨時可確認監護仍生效。
  • 介入通路常開：撤銷／暫停／降速／銷毀具有最高優先級。

Faying 的關鍵不是「我授權你去外面跑」，而是「我把控制權交給你，但我始終在這段關係裡」。
這種關係一旦成立，iFay 才能在更複雜的終端和應用裡替你行動，而不會把你推到「看不見、攔不住、說不清」的危險區。

脫離態（Rogue Fay）：不在監護下就不允許「出手」

我們在產品上選擇了更嚴苛的策略：沒有明確責任承接端的 Fay 行為，寧可不發生。
換句話說：只要不在 Faying 之內，iFay 就不能對外「出手」——不能替你操作終端、不能替你發訊息、不能替你執行任何會影響外部世界的動作。
它可以做的，只能是最小化的守護：等待你發起新的交權、保護好已有的資料、在偵測到異常時發出告警、把「我現在處於脫離態」這件事清晰地回到你的視野裡。

這句話如果真的落實到工程上，會非常「反直覺」，因為我們在軟體世界裡習慣了：系統預設會跑、預設會做點事、預設會自我恢復。
但 Fay 不行。因為 Fay 一旦「做點事」，就會影響現實對象。

所以 Faying Protocol 把 Fay 的預設初始狀態定義為 Rogue Fay（脫離態）：
它「存在」，但不被允許「行動」。只有 Human Prime 顯式發起一次 Faying Action，才獲得行動資格。
這是一種安全閉鎖原則：預設關，顯式開。

為了避免工程實作裡出現「順手就做了」的越界，我們把脫離態的邊界寫得非常細：能監聽、能守護、能告警，但不能對外行動。
想看更完整的邊界與觸發條件，可以讀《脫離狀態與責任歸屬》： https://ifay.ai/zh-TW/docs/Faying-Protocol/blueprint/13-%E8%84%AB%E9%9B%A2%E7%8B%80%E6%85%8B%E8%88%87%E8%B2%AC%E4%BB%BB%E6%AD%B8%E5%B1%AC

  • 我們允許「監聽與等待」（不產生外部影響）。
  • 我們允許「自檢與告警」（把風險回到人類視野裡）。
  • 我們允許「資料守護」（加密隔離、拒絕未授權讀寫）。
  • 我們明確禁止「對外行動」（任何會改變外部世界狀態的動作）。

這就是你想要的類比：
沒有 Faying 的自動體，就像沒有 HTTPS 的網站——你可以瀏覽，但瀏覽器會標紅，你在心理上就知道它不該承載敏感行為。
同樣，脫離 Faying 的 Agent／自動運行實體不一定「立刻作惡」，但它在結構上不安全：它隨時可能落入「未經授權／不知情／脫離控制」的情境，而你沒有協定級的閘門。

透過協定把 Human View 做出來：讓 Human Prime 隨時看得見、剎得住

Human View 不是一句口號，我們要把它變成協定與產品裡的預設能力：可見、可回溯、可介入。
這裡說的 Human Prime（人類原型）是 iFay 體系裡的責任端定義，想了解這個概念可以看《定義與概念》：https://ifay.ai/zh-TW/docs/iFay/blueprint/02-%E5%AE%9A%E7%BE%A9%E8%88%87%E6%A6%82%E5%BF%B5

1) 狀態的可被看到：我隨時知道你在不在 Faying

在產品上，我要求：
任何時刻，Human Prime 都能在一個「單點視圖」裡確認：當前有哪些 Fay 正處於 Faying State、各自的範圍邊界是什麼、是否有異常告警。

這不是可選功能，這是「視野」本體。否則 Human View 就變成空話。

產品形態可以很多：手機小工具、通知中心、可穿戴裝置、桌面通知列、車機提示……關鍵是「隨時可達」。

2) 行為的可被回溯：我隨時能回答「剛才發生了什麼」

Human View 的核心不是即時監控，而是可回溯確認。
所以日誌必須是「可理解的」，不是只給工程師看的 trace。它至少要回答：

  • 這次動作是誰發起的（Human Prime 指令／授意／自動觸發）？
  • 發生在什麼授權範圍內？
  • 具體影響了什麼對象（終端／應用／帳號／資料）？
  • 發生異常時有沒有自動退出 Faying？有沒有觸發告警？

這三點合在一起，才叫「在視野內」：看得見、查得到、剎得住。

3) 介入的可達：我隨時能讓你停下、降速、撤銷

在產品層，介入必須做到「肌肉記憶級」。
你不能讓使用者在關鍵時刻去找設定頁、去翻日誌、去輸入一串指令。介入必須像剎車一樣：簡單、直接、明確回饋。

介入我會固定成四個按鈕：

  • 暫停（Pause）
  • 撤銷（Revoke / Exit Faying）
  • 降速（Slow down / Require confirmations）
  • 銷毀（Destroy / Kill switch）

並且它們的優先級必須壓過所有「業務理由」。這是協定的硬約束，不是產品的可選項。

把「線的鬆緊」落成規則：不同任務用不同監護強度

我們會把上面的監護強度落成一套規則：同一套規則按任務類型、風險等級、資源類型，選擇不同的動作門控方式。

1) 任務分類：按「可逆性 × 損失半徑 × 合規敏感度」

  • 可逆性：可撤回／可補救／不可逆（轉帳、簽署、刪庫）
  • 損失半徑：只影響自己／影響他人／影響公共安全（無人機、車輛）
  • 合規敏感度：個人隱私／金融／醫療／未成年人／公共權力

這三維決定了「預設監護檔位」，並決定 Faying Action 的 scope 應該怎麼設置（時間窗、任務域、終端域、預算域）。

2) 授權與授意分離：把「能不能做」與「做這一件」分開

Human View 在四反命題裡強調過：授權解決「能不能動」，授意解決「動這一下」。
落到系統裡，就必須把它們拆成兩類憑證／兩類紀錄：

  • Authorization Grant（長期或中期）：允許 iFay 在某個範圍內使用某類能力。
  • Intent Ticket（短期、一次性）：允許執行本次具體動作。

這可以避免「你授權了郵箱讀寫，於是它順便給所有人群發郵件」的災難。授權不是授意，授意是每一次動作的閘門。

3) 人類視野通道：把「可被看到」做成協定強約束

這不是「做一個通知功能」。它更像是系統的強制路由：

  • 任何對外行動必須產生可回流的事件；
  • 事件必須能到達 Human Prime 的視野端；
  • 如果視野端長期不可達（離線、拒接、不可聯繫超過閾值），系統必須自動退出監護狀態，回到脫離態，停止對外行動。

Human View 天然要求一套「可觀測性基礎設施」：事件能回流、狀態能確認、命令能中斷。無論實作怎麼分層，「視野可達」必須是硬條件。

4) 脫離態門控：能守護，不能對外行動

要讓「脫離態不出手」真正可執行，工程上必須做到：
Rogue Fay 期間系統不追求「繼續完成任務」，而追求「停止外部影響 + 保持可恢復性 + 等待合法交權」。

這會直接改變很多工程習慣：例如「斷線續傳」「任務重試」「自動補償」在這裡可能都是危險的——因為它們很容易讓 Fay 在脫離監護時繼續對外行動。
Faying Protocol 的邏輯很明確：寧可停下，也不能在無責任人時行動。

終端融合：讓終端與人類原型「更像同一個人」

我把無人機、郵件用戶端、購物 App 這些例子反覆拿來講，不是因為它們「酷」，而是因為它們能把 Faying 的意義講得很具體：
當 iFay 攜帶與你一致的認知、記憶、習慣，它去操控終端時，終端就不再是一個冷冰冰的工具，而開始和你發生更緊密的融合——終端的行為表現會越來越像「你本人在操作」。
這件事一旦成立，人類對終端的學習成本會下降，終端對人的適配會變成預設，人與數位世界的摩擦會被系統性地消掉。

我在路線設計上做了一個非常明確的收斂：先把「Human Prime ↔ iFay」的監護關係做成最小閉環，再讓終端／應用透過 iFay 進入受控狀態，而不是讓每個終端都去直接綁定人。
想看更完整的演進思路，可以讀《人類原型 ↔ iFay》： https://ifay.ai/zh-TW/docs/Faying-Protocol/blueprint/05-Phase%201%20%E4%BA%BA%E9%A1%9E%E5%8E%9F%E5%9E%8B%E8%88%87%20iFay

這個選擇把責任鏈條保持得足夠簡單：無論你控制的是無人機、車機、郵件用戶端還是購物 App，責任承接點始終不變：Human Prime。

換成產品語言，我會這麼說：
你擁有的是「數位精靈」，它可以長出很多「肢體」（終端派生體），但你的視野與剎車永遠在。

這就是強連接、強融合真正該有的樣子：不是失控的自動化，而是可持續的共生。

最後說一句：把 Faying 當作 AI 時代的「HTTPS 預設」

  • Faying State 是 AI 行動的安全區：有責任承接端、有持續可見性、有介入通路。
  • Rogue Fay / Un-Faying 是預設不安全區：允許最小監聽與守護，但禁止對外行動。

在網際網路早期，http 不是立刻「作惡」，但它天然不安全；後來整個社會形成共識：敏感行為預設必須 https。
AI 時代也會形成同樣的共識：
敏感的、會產生現實後果的 AI 行動，預設必須在 Faying 下發生。

這不是保守，而是對「責任結構」的尊重。
我們要的不是一個跑得更快的自動體，我們要的是一種能讓人類依然保有視野、保有剎車、保有歸責的共生方式。

這就是我理解的 iFay 相處之道：
強連接、強融合，但永不脫離人類視野。

想更詳細了解我們的理念