LESSON 7.6 · 工程 · 110 分钟
生产边界：权限、安全与人机协同
生产边界：权限、安全与人机协同：理解least privilege、approval、sandbox、audit，完成“为高风险工具做威胁模型”。属于「从模型到智能系统」学习阶段。
学完你应该能够
- 能不用术语堆砌，解释「生产边界：权限、安全与人机协同」解决了什么问题。
- 能围绕 least privilege、approval、sandbox 画出变量与因果关系。
- 能完成「为高风险工具做威胁模型」，并用证据而不是感觉判断结果。
核心概念
least privilege
least privilege必须映射为可观察状态、权限边界和可回放轨迹，才能被测试与审计。 先给它一个可操作的定义，并指出它解决的具体问题。
approval
approval把计算、参数或序列分给多设备，同时引入通信成本。选择策略时要比较消息大小、链路带宽、同步频率和流水线空泡，而不是只看 GPU 数量。
sandbox
sandbox必须映射为可观察状态、权限边界和可回放轨迹，才能被测试与审计。 写出至少一个不变量、shape 约束或成立条件。
audit
audit必须映射为可观察状态、权限边界和可回放轨迹，才能被测试与审计。 用反例说明忽略它时系统会怎样失败。
实践任务
为高风险工具做威胁模型
- 预测：在运行代码前，写下你预期的输出、趋势或失败位置。
- 构建：定义约束与成功指标，只保留回答核心问题所需的最小组件。
- 验证：使用轨迹回放、schema 校验、权限测试与回归任务集；保存参数、随机种子与原始结果。
- 迁移：换一个工具、失败模式或权限边界后仍保持可控，说明原结论是否仍成立。