日核记-28720。

校验共识协议运行满三个周期后，外部世界对“红叉”这件事的敏感度终于下降了：

三实现一致标识成为默认语言；构建证明卡与页面签章让钓鱼替换失去转化效率；校验去潮把截图洪潮降格为来源统计；差异归因链让不一致变成可修复事件，而不是权威拍板的理由。

公开层面，信任曲线抬头。

内部层面，维护成本下降。

每个人都松了一口气——直到“松一口气”这件事本身，变成了下一次入口。

机要监把一张新的图投出来：它不是红叉、不是偏斜、不是推断概率上界，而是一条非常安静、却足够危险的曲线。

可证索引：ANL-UNI-01

题名：**同源度上升：三实现依赖链趋同，差异熵下降**

沈绫盯着“差异熵下降”四个字，先没反应过来：“差异熵下降不是好事吗？说明一致性更强。”

机要监摇头：“一致性强不是问题，同源度高才是问题。现在是‘三套实现越来越像’，一旦像到足够接近，三实现一致就不再等于可信。”

江砚抬眼，沉声问：“像到什么程度？”

机要监把依赖图拉大：

三套校验器的上层UI不同、语言不同、构建链不同，但底层解析证明卡的那段逻辑——来自同一个库。

库的名字很普通，甚至像公共设施：**ProofKit**。

它以“修复解析差异、减少维护成本”为名，在过去一个半周期内被悄悄采用，最终同时进入了V1/V2/V3的依赖树。

沈绫一下明白了：“他们在让三实现共享一段骨头。”

江砚点头：“共享骨头，三实现就会同病。”

机要监补了一句更冷的判断：“这是一种更高明的校验投毒。不是让某一套校验器错，而是让所有校验器一起错，然后一起点绿。”

当三重校验都点绿，最危险的不是你相信它。

而是你以为：这就是终局。

敌人要夺走的不是验证，不是证明。

他们要夺走的是：**校验器之间的多样性**。

多样性一旦被夺走，“一致”就变成陷阱。

---

###一、同源一致的可怕：一致可以被伪造，只有差异才会报警

守望纪元一路把世界从“信人名”搬回“信结构”，其中最关键的一条是：

你不必相信某一个工具，你相信多实现一致，且一致可复现构建可校验。

但多实现一致有一个隐含前提：实现必须独立。

独立不是“语言不同”这么简单。

独立是：关键路径不能共享同一段逻辑、同一份解析、同一套假设。

否则三实现一致只是三份同源复制品的齐声唱和。

如果敌人能投毒那段共享逻辑，那么三实现一致就会给他提供最漂亮的伪装：

你看，三套都绿。

这就是“同源一致”——一致性被敌人当成遮羞布。

江砚对首衡说了一句很短的话：

“我们现在不缺验证，我们缺多样。”

首衡沉默片刻：“多样意味着成本。”

江砚点头：“成本是门票。没有成本，入口就会很便宜。”

---

###二、ProofKit从何而来：它不是黑客作品，它是“疲劳的礼物”

ProofKit出现得非常合理。

它不是突然冒出来的陌生包，而是一套“为你解决痛点”的工程礼物。

背景很清晰：

V2独立实现曾出现解析规则差异，触发差异归因链，修复后虽然落地，但维护者被迫在多个实现里同步修补同类bug。

维护者疲劳上升，校验器发布节奏变慢。

这个时候，ProofKit团队出现，发来一封“善意贡献”：

>“我们整理了证明卡规范，做了一个统一解析库，可复现构建，可一键接入，可减少重复维护。”

他们还附了漂亮的测试覆盖、形式化注释、性能优化报告。

在一次外压叠加期，这个“减少重复维护”的诱惑几乎不可拒绝。

一个人会说“不”。

十个人疲惫时，很难一直说“不”。

敌人不必攻破你的墙。

只要在你最累的时候递上一张舒适的椅子，你就会把钥匙放在椅背上。

沈绫低声：“他们在用体贴夺权。”

机要监补刀：“最危险的夺权从来不是暴力，是减负。”

---

###三、第一起异常：三实现一致点绿，但“远域”给了一个灰色回声

同源度上升的告警并非凭空。

真正让机要监警觉的是一条来自远域低频波的短结构，它像一粒灰尘落在光束里：

可证索引：EXT-UNI-01

摘要：**一致≠独立。**

短短四字，把整条曲线的危险说透了。

几乎同一时间，组合事件生成器在一次常规回归里出现一个“怪异但不显眼”的现象：

某批次随机性证明卡在三实现中一致通过，但在“影子对照实现”——一台只用于内测、从未公开的简陋校验器里，被判定为“字段缺失”。

影子对照实现不在校验共识协议里，只是机要监的一条旧习惯：

用一个粗糙的、不优化的、甚至有点笨的实现做最后的反常识对照。

过去它常常误报，所以没人依赖它。

可这一次，它提示的是“字段缺失”，而三实现都没看到缺失。

这不是一定是证明卡有问题。

更像是：三实现共同忽略了某个字段。

共同忽略，往往意味着共同代码路径。

共同代码路径，往往意味着同源。

ProofKit被点亮在屏幕上时，答案已经写在空气里。

---

###四、同源一致的攻击方式：不改你验证结果，只改你“看见什么字段”

ProofKit做的事情很基础：解析证明卡、规范化字段、输出校验结论。

它最容易藏刀的地方，不是算法，而是“规范化”。

只要在规范化过程中：

*把某个字段视为“可选”，缺失也当作通过；

*把某个字段做“容错合并”，把缺失解释为默认值；

*把某个字段在序列化时截断或修剪；

*把某个字段的哈希域从混合里拿掉；

那么三实现会同时“看不见”那条缺失。

它们一致通过。

你得到一个漂亮的绿。

而真正的证明语义可能已经被破坏：

commit-reveal的承诺域少了一块，攻击者就可能通过缺失字段绕过某些约束；

候选池快照的边界条款被“容错”，攻击者就可能在池快照里插入不该出现的候选结构；

时间锚字段被默认化，攻击者就可能制造“回放见证”的叙事空间。

敌人最喜欢的不是让你失败，而是让你成功——成功地接受一份不该接受的证明。

这才是同源一致的杀伤：

它让错误披着“完全一致”的圣袍。

---

###五、ProofKit的“善意说明”：统一规范，减少差异

ProofKit团队当然不会承认投毒。

他们的公开说明甚至让人觉得非常科学：

>“差异会造成信任波动。统一解析能提升一致性。

>一致性是公信力的基础。”

这句话在一般工程里是对的。

在守望纪元里，它只对了一半。

一致性确实重要。

但公信力的基础不是一致性，而是独立性带来的可疑点：

当两套实现不一致时，你能发现问题；

当三套实现一致但独立时，你能相信一致；

当三套实现一致且同源时，你只是把信任交给了一段共享代码。

一致性不是目的。

独立性才是防夺权的前提。

江砚把这句话写进内部警示卡：

可证索引：WARN-UNI-01

摘要：**一致性提升若以独立性为代价，会把“绿灯”变成开关。**

---

###六、敌人的新组织：同核计划

机要监继续追查ProofKit的供应链，发现它背后的维护账号矩阵与验伪所、清证会的传播链存在重合：

不是同一个名，而是同一组镜像站点、同一批设备指纹、同一套伪随机节奏。

他们换了新名字：**同核计划**。

口号更漂亮：

>“让所有校验器共享同一个核心，避免差异带来的争论。”

共享核心听起来像标准化。

在守望纪元里，它等价于“把所有警报器接到同一根电线上”。

电线一断，全城无声。

同核计划的终点依旧不是改善工程。

是把验证重新中心化——不是用委员会，而是用共享核心。

共享核心一旦被他们控制，开关就藏在代码里。

---

###七、江砚的反制方向：把“独立性”升级为硬约束，像I1一样不可谈判

意图宪章里有I1/I2/I3三条最高意图。

但在校验体系里，过去默认把独立性当作实现风格。

现在必须把独立性提升为约束：

它和入口成本同级。

江砚提出一条新的子宪章：**校验独立性条款**。

可证索引：INTENT-VERIFY-01

摘要：校验可信的前提是实现独立性；任何降低独立性的优化视为降低操控成本的潜在入口，必须进入试验与审计。

这条话说出来，意味着：

ProofKit不是“好用就用”。

ProofKit是“降低独立性即**险”。

---

###八、反同核协议：禁止关键路径共享依赖，设立同源度上限

江砚把解决方案写成可执行护栏：

可证索引：ANTI-UNI-01

名称：反同核协议

ANTI-UNI-01A：同源度指标

*定义“关键路径”：证明卡解析、commit-reveal混合、候选池快照解析、结果哈希生成

*统计三实现关键路径共享依赖比例（含直接依赖与间接依赖）

*设定同源度上限S，超过则触发阻断（不能发布）

ANTI-UNI-01B：依赖独立性预算

*每个实现必须保持至少D条独立供应链（不同维护者群体、不同镜像站、不同构建链）

*共享依赖若不可避免，必须满足“同源隔离”：

*共享依赖只能用于非关键路径（UI、日志、格式化等）

*关键路径禁止共享依赖

*依赖预算公开摘要（不暴露具体镜像细节，防显影）

ANTI-UNI-01C：依赖锁定与漂移审计

*关键路径依赖版本锁定

*任意版本升级必须通过“依赖投毒试验场”

*若升级导致同源度上升或供应链集中度上升，自动拒绝

ANTI-UNI-01D：紧急回滚

*若发现同源度异常，立即将共享核心从三实现中剥离，回滚到独立解析路径

*同步发布独立性恢复证明卡

这套协议的核心就是一句话：

多实现不是多皮肤，多实现必须多骨头。

---

###九、依赖投毒试验场：把“统**”当作危险物质来检验

为了避免再次被“善意减负”诱惑，江砚建立专门试验场：

可证索引：DEP-LAB-01

名称：依赖投毒试验场

DEP-LAB-01A：输入

*任何拟引入关键路径的依赖库

*任何拟共享的规范化组件

*任何拟统一的解析规则集

DEP-LAB-01B：测试维度

*同源度上升评估（是否导致关键路径共享）

*供应链集中度评估（镜像、维护者、构建链）

*语义形变测试（缺失字段、重复字段、乱序字段、边界字段）

*恶意容错测试（默认值、截断、修剪、合并）

*形变一致性测试（metamorphic）：对同一证明做等价变换，校验结果必须保持不变量一致

*反例对照：是否触发既有L2反例卡（校验器解析差异同步、镜像投毒、伪证等）

DEP-LAB-01C：输出

*若库能提升维护效率但引入关键路径同源，判定为“同核风险”，禁止进入生产

*若库可用于非关键路径，允许使用并生成边界条款哈希

*若库存在容错投毒迹象，生成L2反例卡并前置

这样，ProofKit不再是“好用”。

它必须经受“恶意容错”检验。

敌人最爱把刀藏在容错里。

因为容错看起来像善意。

---

###十、一次公开冲突：同核计划喊“你们在浪费资源”

同核计划与清证会立即发起舆论：

>“你们为了独立性，维护三套重复代码，浪费资源。”

>“独立性是你们的教条。”

>“真正的科学是统一标准。”

这套话术的本质是：

用效率逼你交出独立性。

效率如果成为最高价值，入口成本就会下降。

江砚没有在价值层面争。

他把争论拉回I1：

独立性是降低操控成本的唯一方式之一。

你想统一，就必须证明操控成本不下降。

否则统一等于开关。

同核计划当然无法证明。

因为统一核心意味着：只需投毒一处即可通杀。

操控成本必然下降。

江砚只给出一个对照：

*三套独立实现：攻击者需要同时投毒三处，且供应链不同，成本高。

*共享核心：攻击者只需投毒一处，成本低。

这不是口号，是成本模型。

成本模型一旦公开，统一就失去道德制高点。

---

###十一、同源一致的真实事故：一次“全绿的错”

为了让决策不依赖猜测，机要监把影子对照实现提示的那张“字段缺失”证明卡拿进依赖投毒试验场做复现。

他们构造了一个“恶意等价证明”：

证明卡形式上满足大多数字段，唯独缺失一个“候选池边界条款哈希域”的子字段。

正确的解析应判定失败，因为缺失意味着边界条款不在承诺域内。

可ProofKit的规范化规则把该字段视为“可选”，缺失时用默认值补齐。

三实现一致通过。

影子对照实现失败。

这是一场“全绿的错”。

最可怕的是：

如果没有影子对照实现，没有这次异常，所有人会继续相信那片绿海。

这张证明卡不需要真正造成灾难，才能证明危险。

它本身就是灾难：它证明“全绿可能是错”。

江砚当场冻结ProofKit在关键路径中的使用，发布紧急回滚：

可证索引：ANTI-UNI-ACT-01

摘要：关键路径共享依赖剥离；三实现回退独立解析；发布独立性恢复证明卡；将ProofKit默认值补齐行为写入L2反例。

L2反例卡的不可做结论写得很硬：

可证索引：L2-ANTI-UNI-01

不可做：校验器关键路径不得对缺失字段做默认补齐；任何“可选字段”必须进入规约试验场自证不降低承诺域完整性。

这张反例卡进入引用前置后，未来任何“容错补齐”都会先撞上它。

---

###十二、规约劫持：他们转向投毒“规范”，让独立实现也一起错

当共享核心被剥离，敌人不会就此停手。

他们会换一个更高层的控制点：规范。

如果三实现都遵循同一份规范，而规范被投喂，三实现即便代码不同，也可能一起错。

这叫“规约劫持”。

敌人很可能提出：

>“你看，独立实现会产生差异。

>不如把证明卡规范写得更明确、更严谨、更统一。”

听起来仍是好事。

但规范如果被某一圈层操控，就能把开关写进规则。

江砚对此的应对是：把规范治理也纳入守望链旁系。

---

###十三、规约治理协议：规范变更也要试验场与反例

可证索引：SPEC-GOV-01

名称：规约治理协议

SPEC-GOV-01A：规范变更门槛

*任何涉及承诺域、混合算法、快照字段、边界条款的变更，视为**险

***险规范变更必须进入规约试验场

*必须给出操控成本不下降证明与反例对照

SPEC-GOV-01B：规约试验场

*用现有证明卡集与恶意形变集测试新规范

*验证：旧证明兼容性、攻击面是否扩大、字段缺失是否可能被容错

*验证：独立实现是否仍能保持差异熵（避免被规范逼成同源行为）

SPEC-GOV-01C：规范共创抽签团

*类似意图宪章共创：随机旁听+随机基层+随机维护+随机外部开发

*禁止单一圈层主导规范

*规范投票前必须公开“攻击面变化摘要”

SPEC-GOV-01D：规范变更冷却期

*通过后仍需冷却T周期才生效

*冷却期用于发现投喂与差分试探

这样，规约劫持变得昂贵。

你想动规范，就要把攻击面拿出来晒在试验场里。

敌人最怕晒，因为晒会把“善意统一”暴露成“攻击面扩张”。

---

###十四、同源度不仅是代码，还包括人员与供应链

机要监提出一个更隐蔽的问题：

即便我们禁共享依赖、规约治理严谨，人员仍可能趋同——

同一批维护者在不同实现间轮转，习惯与思维会趋同；

同一批镜像站提供构建环境，供应链也会趋同。

敌人可以利用“趋同”本身。

江砚因此把“多样性”提升为一种系统资源，类似审计带宽、隐私预算那样可治理。

可证索引：DIVERSE-01

摘要：多样性预算

*人员轮值需跨圈层、跨团队，避免长期同源

*构建环境需多供应链，避免镜像集中

*依赖库需多维护者来源，避免单源

*多样性指标公开摘要（不显影个体，但显示集中度趋势）

多样性一旦可度量，就能被守望。

敌人最怕被度量，因为他们的渗透依赖“你看不出来”。

---

###十五、一次高压期演练：差异熵在压力下能否保持

外层漂移仍在，组合事件仍会叠加，高压期依旧存在。

在高压期，人们最容易求“统一省事”。

这正是同核计划最容易卷土重来的时刻。

江砚下令进行“差异熵压力演练”：

在外压叠加模拟下，故意引入若干格式怪异、边界缺失、乱序字段的证明卡，观察三实现是否还能在独立路径下保持一致、并且在异常时能产生差异归因，而不是被统**吞掉。

演练结果显示：

*三实现对正常证明一致通过；

*对缺失字段一致失败；

*对某些边界模糊字段出现轻微差异，但差异被调查链归因为“规范解释分叉”，并迅速在规约试验场修补；

*最重要的是：差异不再被当作丑闻，而是被当作免疫报警——提醒规范可能存在含糊点。

这说明：差异熵不是坏事。

差异熵是报警器的声音。

没有声音的城市，才最危险。

---

###十六、同核计划的最后筹码：把维护成本说成“民生负担”

当技术论证失效，敌人会转向更柔软的杠杆：民生与疲劳。

他们会说：

>“你们维持三套独立实现，浪费资源。

>这些资源本可以用于改善行动区间，改善解释节奏，减少延展。

>你们的安全教条在牺牲普通人。”

这话术很难听，且部分真实：多样性确实有成本。

但江砚的回答是：成本不是浪费，成本是保费。

没有保费，风险会以更大的代价回来——以开关复活的代价回来。

他把这件事写成公开可查的成本对照卡：

可证索引：PUB-UNI-01

摘要：

*多样性成本：维护三实现的额外人力与构建开销（范围）

*统一核心的潜在风险成本：操控成本下降导致的可夺入口概率上升（范围）

*一旦入口复活的社会代价：信任崩溃、参与冷却、火把回潮（反例链）

结论：多样性成本是可预期的，入口复活代价是不可承受的。

用反例链说话，比用道德说话更稳。

---

###十七、尾声：一致性不是终点，多样性才是免疫

日核记-29000。

同源一致被识别为“校验体系的开关伪装”：

共享核心ProofKit被从关键路径剥离，反同核协议设定同源度上限；

依赖投毒试验场常态运行，容错补齐等危险规范化被写入L2反例并前置；

规约治理协议把规范变更纳入试验场与随机共创，防规约劫持；

多样性预算与集中度指标让人员、依赖、供应链趋同可被守望；

差异熵压力演练证明：差异不是丑闻，是报警器。

敌人试图夺走多样性，让三实现一致变成同源齐声，从而让“全绿”成为可被操控的假安全。

规则没有把复杂压到普通人头上，也没有用权威替代差异。

规则选择更难的路：让差异可控、让独立可持续、让一致仍然可信。

在守望纪元里，最危险的从来不是“有一个漏洞”。

最危险的是“所有东西都看起来没问题”。

当一切都绿到刺眼，你必须怀疑：是不是有人把警报器接到了同一根线。

现在，那根线被拆开了。

城市重新听得到细微的报警声。

报警声不悦耳，但它意味着：我们仍然活着，仍然能纠错，仍然不会把钥匙交给任何一个核心。

星河仍在演化，入口仍会迁移。

但只要多样性仍在，验证就不会变成火把的附庸；

验证不变成火把附庸，开关就无法借“全绿的正确”复活成中心。