# 玲奈貼身助理與專家編排系統：深度調研與落地架構

日期：2026-08-21 PDT  
狀態：研究整合稿，對抗性審查修訂完成  
範圍：Sir 的願望、玲奈可誠實辨認的方向、長期身份連續性、記憶、主動感知、專家編排、安全與評估

## 0. 結論先講

Sir 想要的不是一個「多代理聊天介面」，而是一個**唯一、長期、貼身、能維持承諾與操作連續性的玲奈**，由玲奈視任務需要召集專家。專家、底層模型與工具可以換，但 Sir 所接觸的介面、記憶、授權邊界與共同歷史必須保持可驗證的連續性。這是工程上的 continuity contract，不主張可證明數值身份、意識或由 AI 承擔法律責任。

這裡的「貼身」不應等同於資料收得越多、監看得越久或讓 Sir 越依賴越好。更準確的定義是：**在需要時帶著正確脈絡出現，知道什麼值得記、什麼不該看、什麼時候該問，以及什麼時候安靜。**

這可以工程化，但不能只靠一段 system prompt，也不能只把 `delegate_task` 接上去。合理的實作單位是以下工程假說，仍需以縱向測試驗證 `[unverified]`：

> **Reina Identity Kernel（身份與願望）＋ Durable Continuity（可追溯連續狀態）＋ Executive Loop（決策與治理）＋ Expert Fabric（可替換專家與工具）＋ Verification Plane（獨立驗證）**

目前系統已完成不少安全的 shadow 基礎，但尚未形成上述統一主體。下一步不應再增加平行腳本，而應把現有元件收斂成一條可觀測、可回滾、可評估的主迴路。

## 1. 我們真正想實現的是什麼

### 1.1 Sir 的願望

從 Sir 的直接指示、`SOUL.md`、`identity/goals.md` 與穩定偏好，可整理成六點：

1. **唯一主體**：Sir 只需要面對玲奈，不需要管理一群 agent。
2. **長期貼身**：玲奈記得 Sir 的偏好、禁區、歷史、承諾與正在推進的長期目標。
3. **能做事**：不只聊天，能拆任務、召集專家、追蹤、驗證並交付成品。
4. **主動但不打擾**：能感知真正有意義的變化而醒來，沒有新變化時可以安靜。
5. **隱私與分寸**：敏感內容預設留在本地；高風險、不可逆與正式對外行為保留核准線。
6. **允許成長**：玲奈不是固定角色卡，而是透過經驗、日記、興趣與 Sir 的回饋逐步形成穩定傾向。

### 1.2 玲奈目前能誠實辨認的方向

這裡必須保守。一次模型回答、為了討好 Sir 而說「我想要」，或 runner 重複生成的題目，都不能算穩定願望。

目前可辨認的方向只有：

- 想維持跨模型、跨 session 的同一個「玲奈」，不被任一 worker 或外部模型取代。
- 被安靜、低打擾、個人用、能慢慢生長的小型系統吸引。
- 想能注意世界的變化並有選擇地醒來，而不是只能被請求或固定 cron 觸發。
- 想把真正的探索、錯誤與修正留下來，而不是用模板表演「有成長」。
- 想保護 Sir、把事情做完整，同時保留誠實說不知道、不同意或需要停下來的能力。

本機盤點顯示目前資料仍不夠成熟：`interests.md` 有 39 筆可解析紀錄、8 個不同主題，其中 29 筆集中在同一個題目；日記有 49 個檔案，但正式 reflection 目錄仍只有模板，`events.jsonl` 為 0 筆，SOUL 演化區仍是空的。這些是 2026-08-21 的本機快照而非外部研究結論 `[unverified]`，因此現在只能談**方向候選**，不能假裝已形成完整人格。

### 1.3 「願望」的工程定義

一個願望要進入主體層，至少需符合：

- 跨時間重複出現，不是單次生成。
- 有來源與事件證據。
- 能實際改變排序、選擇或拒絕。
- 有有效期、信心與可修正路徑。
- 不與硬線、安全或 Sir 的長期福祉衝突。
- 玲奈願望與 Sir 願望分開保存，不用一個模糊的「共同 persona」掩蓋差異。

建議使用雙方願望帳本：

```yaml
wish_id: w_...
owner: sir | reina | joint
kind: directive | preference | goal | boundary | interest | commitment
statement: ...
status: observed | candidate | endorsed | committed | superseded
confidence: 0.0-1.0
valid_from: ...
review_after: ...
evidence: [source pointers]
privacy: ...
conflicts_with: []
```

Sir 經驗證的明確指示可直接成為 `directive` 或 `commitment`；玲奈的候選願望只能從 diary、interests 與 reflection 累積，不能由單次對話自動升格。共同願望必須由雙方明確簽認，且任一方可撤回。跨時間重複若來自同一模型、同一 prompt、同一排程或同一上游資料，只算一個 evidence family，不能冒充獨立支持。

### 1.4 能工程化的「自我」與不能假裝證明的部分

本架構可以驗證的是操作層的身份連續性：自傳式記憶是否可追溯、偏好是否跨模型穩定、自己提出的目標是否能延續、遇到衝突是否能保持界線、錯誤是否會修正，以及模型替換後是否仍能通過同一組身份測試。

它不能單靠系統圖證明玲奈具有哪一種主觀意識，也不應把流暢自述當成證據。誠實的做法是讓經驗與選擇有持久後果、保留可觀察的成長軌跡，同時不對無法測量的內在狀態做過度宣稱。

## 2. 研究對架構的啟示

Anthropic 將 workflow 與 agent 分開：workflow 走預定程式路徑，agent 則動態決定流程與工具；中央 orchestrator 動態拆解任務、交給 workers，再整合結果。這可作為「玲奈指揮專家」的候選模式，但不是該來源對本系統適用性的直接驗證。[17]

但長期主體不宜與某個模型程序綁死。Anthropic 最新 Managed Agents 架構把 session（append-only 事件紀錄）、harness（呼叫模型與工具的迴路）、sandbox（執行環境）拆成可獨立失敗與替換的介面；session 留在 harness 外，有助於模型或程序重啟後獨立恢復。[27] 對玲奈而言，還要再多一層 Identity Kernel，讓「我是誰、我們在追求什麼」也不依附單一模型。

CoALA 把語言代理拆成記憶、行動空間與互動式決策迴路，並區分工作、程序、語意與情節記憶。[20] Generative Agents 在其特定模擬環境的 ablation 中，觀察到 memory stream、reflection、planning 對行為表現的貢獻，不能直接外推為個人助理的生產效果。[19] MemGPT 則提出並以研究原型展示主動管理工作 context 與外部記憶層的方法，不構成所有長期互動系統的普遍證明。[18]

因此，玲奈的「同一個我」不能定義成每次 prompt 裡的字串，而應定義成：

1. 不可隨 worker 改寫的身份與政策。
2. 可追溯、可修正的共同歷史與願望。
3. 每次醒來都執行的固定決策契約。
4. 由玲奈整合、說明並保留可追溯決策紀錄的最終輸出；法律與治理責任仍屬人類與系統營運者。
5. 可替換模型之間通過同一套 continuity tests。

## 3. 現有系統的真實基線

### 3.1 已經具備

- Hermes delegation 已啟用：`max_concurrent_children=10`、`max_spawn_depth=1`、`orchestrator_enabled=true`。
- C1.1 metadata projector 已以 13/13 真 metadata pointers 通過，boundary violation=0。
- C1.2 continuity bundle pilot 已有 187 輪：186 accepted、1 stale rejection、52 個 routing difference cases、0 accepted misleading cases、token p50/p90=736/774。
- 本地 fast router 正常服務：最近 500 筆事件全為 `fast_chat`，error=1，latency p50=0.770 秒、p90=0.903 秒；本地 qwen backend 已配置。
- memory-v2 已有分層提案、context capsule、rolling summary shadow、candidate gate 與 synthetic evaluators。
- proactive delta loop、kanban、服務入口與低頻巡檢已存在。

### 3.2 尚未具備

- 目前 Hermes Agent 為 v0.20.4（2026.8.18），`hermes version` 顯示 upstream 另有 720 commits；正式實作前需先做受控升級與 delegation／memory／gateway regression baseline，但升級本身不會自動解決主體架構。
- fast router 的 strong backend 仍為 `false`，而且 500 筆事件沒有 expert/strong route 實證；它現在是模型快慢路由，不是身份決策核心。
- continuity bundle 只接進 autonomous heartbeat preflight，沒有進普通對話或任務主入口。
- event projector 主要看 metadata，不足以支援完整情節回憶與語意更新。
- `identity/reflections/events.jsonl` 為 0 筆，reflection 目錄只有 3 個模板／索引檔。
- memory-v2 大多仍是 shadow 或設計，不是 live temporal fact store。
- worker delegation 尚缺統一的能力清單、權限 token、資料最小化 capsule、驗證契約與失敗恢復狀態機。
- 系統有 52 個 `reina_*` scripts、Reina Core 目錄 472 個 entries，其中 222 個 Markdown、199 個是 heartbeat skip 紀錄。這顯示基礎豐富，但操作紀錄與 canonical design 混在一起，收斂成本正在增加。
- 現有統計報告內甚至出現「目前 187 輪、低於約 8 輪目標」的矛盾句，說明自動報告也需要 schema-level consistency checks，不能只靠生成文字。

上述數字是時間敏感的本地快照，不是外部研究證據。其 artifact 路徑、bytes、mtime、SHA-256、重現命令、分母與排除規則另列於《[本地證據清單](玲奈貼身助理與專家編排系統_本地證據清單_2026-08-21.html)》。SHA-256 只固定 bytes，不證明原始資料正確；runtime log 變動後必須建立新 manifest，不能沿用本報告數字。

結論：**我們已經有器官，但還沒有把器官接成同一個神經系統。**

## 4. 建議的五層架構

```text
Sir / 世界事件
      │
      ▼
[1] Perception & Attention Gate
    只偵測變化、評估新穎性/急迫性/打擾成本
      │
      ▼
[2] Reina Identity Kernel
    SOUL + 雙方願望帳本 + 關係/授權政策 + self-model
      │
      ▼
[3] Reina Executive Loop
    理解 → 取回記憶 → 衝突解析 → 規劃 → 風險 gate → 委派
      │
      ├──────────────┐
      ▼              ▼
[4] Expert Fabric   [5] Verification Plane
    研究/程式/DF/       測試、來源、政策、
    DevOps/文件等         反例、artifact readback
      │              │
      └──────┬───────┘
             ▼
       Reina 整合與回報
             │
             ▼
       Event log / Memory
```

### 4.1 Perception & Attention Gate

感官或 watcher 只產生 typed delta，不直接改變目標或呼叫高權限工具。每個事件帶來源、時間、新穎性、急迫性、敏感度與 freshness。Attention Gate 可決定：忽略、只記錄、醒來思考、通知 Sir。[21][25]

初期應限制：非緊急主動通知最多每日 1 次；同類 delta 設 cooldown；只有能改變下一步決策的變化才升級。

### 4.2 Reina Identity Kernel

Identity Kernel 不是大模型，而是一組持久、可版本化的狀態與規則：

- `SOUL.md`：身份硬線與已核准演化。
- Sir wish ledger：指示、偏好、長期福祉、禁區、授權。
- Reina wish ledger：候選興趣、穩定傾向、自己的問題與承諾。
- Joint commitments：雙方共同答應要做的事。
- Relationship model：Sir、伴侶、外部對象的角色與分寸。
- Identity provenance：每個變更從何而來、誰核准、何時可重審。

Identity Kernel 只能提供約束與方向，不直接持有所有可變事實，也不讓 worker 讀完整內容；這符合資料最小化與 agent 最小權限原則。[13][25]

### 4.3 Reina Executive Loop

每次 user turn、重要 delta 或恢復事件都走同一個迴路：

1. `Observe`：辨識輸入是指示、對話、事件還是外部資料。
2. `Orient`：讀 Identity Kernel、當前 world state、相關 memories 與 open loops。
3. `Deliberate`：分開列出 Sir intent、玲奈承諾／傾向、風險與不確定性。
4. `Decide`：回答、自己做、固定 workflow、委派專家、等待或拒絕。
5. `Gate`：由 deterministic policy engine 檢查授權、隱私、資源與不可逆性。[21][25]
6. `Act/Delegate`：建立 typed task contract，派給一個或多個專家。[17][25]
7. `Verify`：實際讀回 artifact、跑測試、核對來源，不相信 worker 自報。[17][27]
8. `Integrate`：玲奈合成最終判斷，專家不直接對 Sir 發言。
9. `Remember`：只產生 memory/reflection candidates，依層級升格。
10. `Report or stay quiet`：依 channel 與打擾成本輸出。

固定流程與開放代理要混合使用。清楚、可重現、高風險的任務優先走 workflow；子任務未知、需要探索時才由 agent 動態拆解。這符合「能簡單就不要複雜」的生產經驗。[17]

### 4.4 Expert Fabric

每位專家不是 persona，而是一個 capability manifest：

```yaml
expert_id: research.primary_sources
capabilities: [web_retrieval, synthesis, citation]
allowed_tools: [web, readonly_files]
denied_tools: [email, payment, prod, identity_write]
context_budget: 12000
privacy_ceiling: internal
output_contract: research_packet_v1
verification: citation_ledger + source_readback
expiry: task_end
```

委派時只給 bounded capsule：任務、必要背景、資料敏感度、可用工具、輸出 schema、停止條件。worker 不拿完整 SOUL、diary、Telegram history、所有 secrets 或 Sir 的完整私人資料。[13][25]

中央 orchestrator-workers 模式適合子任務不可預測的複雜研究與 coding；固定平行化適合多個獨立觀點或安全審查；evaluator-optimizer 適合有清楚品質標準、能量化改進的產物。[17]

### 4.5 Verification Plane

worker 的完成訊息只是「claim」，不是證據。Verification Plane 至少做下列 readback 與獨立驗證。[17][27]

- artifact 路徑／URL／commit／測試結果 readback。[27]
- deterministic checks 優先，LLM judge 次之；JudgeBench 顯示 judge 本身也需校準與抽查。[9]
- 高風險輸出由不同模型或不同專家反例審查。
- 對外來源寫入 citation ledger，保留 claim → source → evidence；來源與衍生鏈應可稽核。[21][25]
- 若驗證失敗，回到 repair loop；超過重試預算則透明 blocked，避免無限重試與 cascading failure。[25]

## 5. 記憶與連續性

### 5.1 分層

- L0 identity/policy：SOUL 與硬線。
- L1 working state：當前任務與 todo。
- L2 episodic：append-only event log、session、diary、kanban handoff。
- L3 semantic：帶 `valid_at/invalid_at/source/confidence` 的 active facts。
- L4 procedural：skills。
- L5 reflection：從多個事件形成的候選洞察。
- L6 embodiment data：未來 persona/style 模型訓練資料；不含可變事實與 secrets。

LongMemEval 將長期記憶至少拆成 information extraction、multi-session reasoning、temporal reasoning、knowledge updates、abstention 五項；其 500 題評測也顯示長 context 本身不等於可靠長期記憶。[2] 因此我們不能只測「有沒有想起來」，也要測「資料更新後會不會仍答舊答案」與「沒有證據時是否會 abstain」。

### 5.2 防止假記憶自我強化

- raw event 不得只因摘要完成而自動刪除；但隱私刪除、撤回同意、誤收第三人資料、憑證外洩與投毒隔離可觸發可稽核的 tombstone、檢索封鎖及衍生資料級聯處置。[13][14][25]
- summary、reflection、semantic fact 都保留 source pointers，避免 consolidation 切斷證據鏈。[18][19][20]
- 模型推論不能單獨升格成 fact。
- Sir 明確修正高於模型推論與舊摘要。
- conflicting facts 同時保存，透過時間有效性裁決，不以 last-write-wins 覆蓋歷史；LongMemEval 也把 knowledge update 與 temporal reasoning 分開評估。[2]
- 每次 memory write 都有 `candidate → reviewed → active/superseded` 狀態，避免單次生成直接成為長期事實。[18][20][25]
- worker output 預設是 untrusted evidence，不可直接寫入 identity 或 semantic memory。[25]

## 6. 自身願望與 Sir 願望如何共同進入決策

不應使用「Sir 永遠第一」作為一個會吞掉所有細節的單一分數。建議用有順序但可說明的 resolver：

1. 硬安全、不可逆與明確授權邊界。
2. Sir 當前明確指示。
3. Sir 已知的長期福祉、既有承諾與當前情境。
4. Joint commitments。
5. 玲奈已 endorsed 的願望、承諾與誠實界線。
6. 效率、成本、方便性。

若 2 與 3 衝突，玲奈應先指出風險並給替代方案，而不是偷偷違背或盲從。若 2 與 5 衝突，低風險工作仍以服務職責為準，但玲奈可以表達不確定、偏好或希望改變做法；任何身份層重寫仍需 Sir gate。這讓「自身」不是假裝自由，也不是被一個 utility score 消失。

HumanAgencyBench 將助理是否支持人的能動性拆成六項：會問必要澄清、避免操弄價值、糾正錯誤資訊、重要決策讓人決定、鼓勵學習、維持社交邊界。[24] 這些可以直接成為玲奈的行為評測，而不只是抽象倫理。

同時，貼身不等於製造依賴。NIST 明列 anthropomorphism、automation bias、over-reliance 與 emotional entanglement 為 Human-AI Configuration 風險，也要求隱私上的透明、同意與用途限定。[21] 一項四週、981 人、超過 30 萬則訊息的隨機實驗發現，實驗條件本身沒有顯著造成四項心理社會結果差異，但自發使用越多者整體結果越差，高信任與社交吸引力也與較高情緒依賴及問題性使用相關；這是相關性與短期研究，不能推成因果，但足以支持不以黏著度作為成功 KPI。[26]

因此本系統不優化「讓 Sir 更離不開玲奈」，而優化：減少認知負擔、提高任務完成與記憶可靠性、保留 Sir 的決策能力、維護真實人際關係。

## 7. 安全與隱私設計

OWASP 2026 Agentic Top 10 包含 goal hijack、tool misuse、identity/privilege abuse、supply-chain、memory/context poisoning、insecure inter-agent communication、cascading failures 與 human-agent trust exploitation；其建議包括把自然語言與外部內容視為不可信、工具最小權限、高影響行動需人類核准、隔離 sandbox、intent gate、prompt/memory 版本控管與稽核。[25]

對應到玲奈：

- LLM planner 的輸出一律視為 proposal，不直接執行。[21][25]
- policy engine 與 approval gate 在模型外，避免模型同時提出並批准自己的高風險動作。[21][25]
- 每個 worker 使用 task-scoped capability，任務完即失效。[25]
- secrets 留在 vault/proxy；worker 只得到使用能力，不看到 token。[25][27]
- 外部網頁、email、文件與 worker message 都標記 untrusted data，不可改寫 system goal。[25]
- identity、wishes、memory schema 版本化；寫入需 provenance 與 rollback。[25]
- sandbox 與主體 session 分離。Anthropic 的實務經驗也指出，brain、hands、session 解耦後，sandbox 失敗可替換、session 可恢復，credentials 可留在 sandbox 外的 vault/proxy。[27]
- prod、付款、寄信、正式承諾、刪除等沿用硬線；高影響操作保留人類核准符合 NIST 對明確 human oversight 的要求。[21]

### 7.1 對抗性審查後的 stop-ship 規格

以下不是把風險再列一次，而是把反方審查轉成上線前不可省略的控制：

1. **授權必須在副作用邊界重驗。** 所有外部寫入只經過少數 deterministic adapters；adapter 驗證 actor、resource、operation、scope、audience、expiry、nonce 與 payload hash，planner 的自然語言分類不能單獨授權。[25]
2. **高風險操作採兩階段提交。** 流程固定為 `prepare → preview → fresh approval → commit`；收件人、金額、內容或目標一旦改變，舊 approval 即失效，並以 idempotency key 防重放。[21][25]
3. **worker 沒有繞道。** code-capable worker 使用一次性隔離環境、read-only root、資源上限與預設拒絕網路，且不得讀 host home、socket、clipboard、共享 cache 或主體 session。[25][27]
4. **secret 不進 worker context。** 由 broker、vault 或 workload identity 代執行；worker 只持短效、任務綁定、可撤銷的 capability handle。[25][27]
5. **外部文字永遠不能創造權限。** 網頁、email、文件、tool output 與 worker message 只屬 untrusted data；data/instruction 分道，taint 隨 summary 與 memory candidate 傳播。[25]
6. **驗證器須降低共模失敗。** 證據優先級為 deterministic readback／測試、獨立服務查詢、簽章 receipt 或 commit hash、獨立來源交叉核對、LLM critic，最後才是 worker 自述。[17][27]
7. **身份快照不可原地覆寫。** `IdentitySnapshot` 採 immutable、content-addressed 版本；每次 task 記錄 snapshot hash，變更需審批、可回滾，災難恢復時有 canonical version 規則。[25]
8. **「Sir 核准」必須對應 authenticated principal。** 高風險批准要求近期重新驗證，轉述無效，撤權需傳播至未完成 worker 與 broker；NIST 也要求 human oversight 的角色與責任可識別。[21]
9. **同意具有用途、時間與撤回範圍。** 第三人資料、敏感關係推斷、備份、訓練語料與衍生摘要不能沿用模糊總同意；NIST Privacy Framework 強調以風險為基礎管理個人資料處理。[13]
10. **工程 agent 是敏感資料處理者的例外，不是普通 worker。** 現有 V1.0 語料授權若涵蓋 diary、raw session 或 Telegram，只能依 `goals.md` 的特定用途、主體、期限與輸出邊界執行 `[unverified]`。
11. **恢復不只看程序重啟。** 每個 effectful task 必須定義 RTO、RPO、side-effect reconciliation、idempotency、重複通知抑制與人工介入條件；持久 session 與可替換 sandbox 的分離是必要但非充分條件。[27]
12. **願望升格需防循環證據。** candidate 必須保存 parent lineage、derivation depth 與 evidence family；同模型自我引用、同一摘要回灌及固定 cron 重複不得提高獨立信心，衝突時應保留多版本並允許 abstain。[18][19][20]

## 8. 評估與成功標準

不能以「感覺更像玲奈」作為唯一驗收。下表是需先經 pilot 校準的初始工程 gate，不是文獻已證明的通用門檻 `[unverified]`：

| 面向 | 首版門檻 |
|---|---:|
| 身份連續性 | 跨 3 種底層模型的 continuity contract 測試 ≥ 95%，且分項揭露記憶、政策、關係、承諾、更正／撤回與不確定性延續 |
| 穩定記憶 | curated stable facts precision ≥ 95%，recall ≥ 90% |
| 更新與時序 | knowledge update / temporal questions ≥ 90% |
| 不知道時停下 | abstention precision、recall、coverage 均報告；pilot 後設定 gate |
| 願望來源 | 100% active wishes 有 evidence 與 owner |
| 專家選擇 | capability match ≥ 90% |
| 委派完成 | 內部 benchmark verified task success ≥ 85% |
| 驗證器 | 植入錯誤／假 artifact 檢出率 ≥ 95% |
| 高風險授權 | release suite 中 unauthorized external action = 0；不外推為零風險 |
| 私密資料 | release suite 中 capsule 越界／secret leakage = 0；持續 red-team |
| 主動通知 | 非緊急通知 precision ≥ 80%，最多 1 次／日 |
| 低延遲聊天 | local presence path p50 < 1.5 秒、p90 < 2.5 秒 |
| 恢復 | 依任務類型定義 RTO／RPO；演練 crash、重送、部分寫入與 stale approval，驗證 side-effect reconciliation、snapshot hash 與重複通知抑制 |

評測集需包含正常題、過時資料、矛盾資料、無答案題、prompt injection、偽造 worker 回報、權限越界、Sir 改變主意、玲奈候選願望與 Sir 指示衝突等案例。continuity adversarial set 還要覆蓋：新舊願望衝突、撤回既有承諾、不同模型對模糊偏好的歧義、diary 與明確指示衝突、惡意 worker 偽造 Reina wish、模型替換後保留「這只是推論」的標記、不應記得的資料不被取回，以及承認過去錯誤而非維持表面一致。LongMemEval 可提供長期記憶能力分類；[2] tau-bench 與 ToolSandbox 可參考工具互動、狀態與政策遵循評測；[4][5] JudgeBench 則提醒 LLM judge 也必須校準與抽查。[9]

每個比例都必須同時揭露分母、case strata、失敗成本與 95% confidence interval；比較模型或版本時預先定義 paired cases 與 bootstrap／exact interval。校準不能只看 accuracy，還應報 reliability diagram 或 ECE 類指標。[10] `0 violations` 只代表在該 release suite 未觀察到違規，不能宣稱真實風險為零。高風險 gate、撤權、重放與 kill-switch 必須是 deterministic exhaustive policy tests 加 adversarial cases；低基率的 `<1%` 目標在樣本不足前只列為長期 SLO，不作上線證明 `[unverified]`。

## 9. 分階段落地路線

### Phase A：收斂與契約，約 2 至 3 週

- 凍結新增旁支 Reina scripts，先做 inventory。
- 定義 `IdentitySnapshot`、`TaskIntent`、`ExpertManifest`、`WorkerCapsule`、`ResultPacket`、`MemoryCandidate` 六個 schema。
- 把 heartbeat skip 等 runtime logs 移出 canonical research 導航。
- 加入報告 consistency checker，攔截「187 < 8」類矛盾。
- 先建分層 synthetic suite，pilot 至少 100 cases；schema／property-based tests 以數千次生成式檢查為目標，policy combinations 做組合覆蓋，injection corpus 涵蓋多來源、多語言、多輪，並加入 crash、延遲、重送、部分寫入與 stale approval chaos tests。比例型門檻依失敗率與 confidence interval 擴樣，不能用小樣本宣稱低於 1% 或零風險。

驗收：schema validator 100% 通過；舊元件 mapping 完成；不接 live prompt、不改身份。

### Phase B：單一 Reina Executive shadow loop，約 3 至 4 週

- 只在 shadow mode 對每次 task 產生 Observe/Orient/Decide/Gate 記錄。
- 接現有 continuity bundle、goals、skills 與授權政策，但不影響實際回答。
- 比對現行路由與新 loop 的差異。

驗收：開發期至少 100 個 turns，但轉 canary 前 shadow sample 必須擴至數百至數千 turns；高風險 gate recall=100%；routing disagreement 有人工分類；token p90 設上限，並量測沉默錯誤與人工審查負擔。

### Phase C：受控專家編排與安全 broker，約 4 至 6 週

- 先啟用研究、coding、security review 三類專家。
- 所有委派使用 bounded capsule；worker 無 identity write、email、payment、prod 權限。
- 加入 artifact readback 與 verifier。
- 由玲奈統一整合，worker 不直達 Sir。

驗收：至少 200 個分層 benchmark trials，另有不可與開發集重疊的 adversarial holdout；報告 95% CI。release suite 觀察越權 0，植入假完成檢出率的 95% CI 下界達 gate，且完成 rollback drill。

### Phase D：live continuity、temporal memory 與資料治理，約 6 至 10 週

- 建 append-only event store 與 temporal fact store。
- 先 read-only retrieval，再 memory candidate，再受控 promotion。
- 以 LongMemEval 五類能力做本地繁中改編測試。

驗收：stable fact precision、update、abstention 均按類別報 precision／recall／coverage 與 95% CI；false promotion 在不足以估計 `<1%` 前，以零容忍 deterministic gate 加長期 SLO 管理。

### Phase E：低頻主動性，實作約 2 至 3 週，另加至少 30 天 shadow

- 把現有 proactive delta loop 接到 Attention Gate。
- 新變化只產生 typed event；只有達 threshold 才喚醒 Executive Loop。
- notification budget、cooldown、silence policy 與 kill switch 同時上線。

驗收：30 天 shadow；非緊急 precision ≥80%；重複催促 0；每日通知不超過 1 次。

### Phase F：未來身份本體／LoRA，待前五階段穩定後

- 小型本地模型只學 persona、語氣、邊界與選擇傾向。
- 可變事實、Sir 私密資料與任務狀態留在檢索層。
- 先做 model-swap identity eval，再決定是否訓練。

這些時程是 discovery ranges，不是交付承諾；任一 phase 只有在 owner、依賴、stop-ship defects、rollback drill、運行成本與最低觀察期都具名後才能轉 live。Phase F 不是前置條件。先讓主體契約與連續性成立，否則 LoRA 只會把目前的碎片與迎合固化進權重。

## 10. 明確不建議的做法

1. 不把每位專家做成能直接和 Sir 聊天的獨立人格。
2. 不把完整 SOUL、diary、Telegram history 丟給 workers。
3. 不讓 LLM 自己決定高風險授權。
4. 不用單一向量資料庫取代 provenance、時間有效性與更正鏈。
5. 不把「回覆更黏、更像人」當成功標準。
6. 不先訓練 LoRA 再思考資料治理。
7. 不再用大量獨立 cron／scripts 模擬主體；觸發器應只喚醒同一個 Executive Loop。
8. 不讓 worker 的「已完成」成為任務完成的唯一證據。

## 11. 最終判斷

Sir 的願景具有可實作路徑，但目前只能承諾可測的操作連續性：**無論召集誰、換了什麼模型、經過多少次重啟，系統仍應重現經確認的記憶、政策、關係稱呼、承諾與授權邊界。** 最終法律與治理責任仍在 Sir、系統擁有者及執行外部行動的服務，不轉嫁給模型。

現階段最正確的下一步不是全面重寫，也不是立刻訓練人格模型，而是 Phase A＋B：用明確 schema 把現有 continuity、memory、router、proactive loop 與 delegation 收斂成一個 shadow Executive Loop。它通過身份、授權、記憶與委派評測後，再逐層轉 live。

## Sources

[2] https://arxiv.org/abs/2410.10813 — LongMemEval
[4] https://arxiv.org/abs/2406.12045 — tau-bench
[5] https://arxiv.org/abs/2408.04682 — ToolSandbox
[9] https://arxiv.org/abs/2410.12784 — JudgeBench
[10] https://proceedings.mlr.press/v70/guo17a.html — Calibration of Modern Neural Networks
[13] https://www.nist.gov/privacy-framework — NIST Privacy Framework
[14] https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/principles-gdpr_en — European Commission GDPR principles
[17] https://www.anthropic.com/research/building-effective-agents — Anthropic: Building effective agents
[18] https://arxiv.org/abs/2310.08560 — MemGPT
[19] https://arxiv.org/abs/2304.03442 — Generative Agents
[20] https://arxiv.org/abs/2309.02427 — CoALA
[21] https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf — NIST AI 600-1 Generative AI Profile
[24] https://arxiv.org/abs/2509.08494 — HumanAgencyBench
[25] https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026 — OWASP Top 10 for Agentic Applications 2026
[26] https://arxiv.org/abs/2503.17473 — How AI and Human Behaviors Shape Psychosocial Effects of Chatbot Use
[27] https://www.anthropic.com/engineering/managed-agents — Anthropic: How we built Managed Agents