送美女给敌人，使其阵营内部产生不和。
——《三十六计》，美人计（蜜罐）
本系列前情回顾：
#3：Lena 走进一场 AI 交易。她带着三把借来的刀走了出来。——Lena 用三把借来的刀阻止了一笔糟糕的 AI 采购。三把刀来自三个方向。没有一位持刀者知道其他人的存在。那是在 VeriTest 之前。在她学会公开作战之前。
#11：Lena 看着自己的 AI 平台被砍掉。余烬未熄。——Lena 杀死了她曾力挺的 AI 评估平台，却保留了其底层的交付方法论。董事会对这一反转提出质疑。她眼皮都没眨一下。
#30：Lena 签下了客户。AI 不知道自己正在被审计。——她赢了第一轮。她不知道那一轮是被让出的，还是被试探的。无论如何，她进入了名单。
信封
邮件在周二早上 9:47 到达。
一半的百叶窗放了下来。光线成条状落在桌面上。光线缓缓爬过桌角。
Lena 看了看发件人一栏。她没有打开。
她喝完咖啡。回复了两封客户邮件。审阅了 Marcus 留在她桌上的一份报告草稿，并在页边签了字。等桌上所有事情都处理完，她把光标移回了收件箱。
发件人是 Zurich AI Policy Center, Secretariat。一行灰色的主题。
全球 AI 治理咨询委员会：邀请担任行业成员
她打开了它。
页眉很干净。召集机构是苏黎世一所大学的 AI 政策中心。联署方包括一个保险联盟、一个云合规标准机构，以及一家医疗监管咨询公司。该委员会的章程是为两个市场——欧盟和新加坡——正在审议的 AI 合规评估框架提供建议。
邮件提到“来自测试、审计和质量保证领域的十二位创始行业成员”。三个附件：一份职权范围、一份章程草案、一份利益冲突披露。没有成员名单。
她把职权范围读了两遍。委员会的职责涵盖两件事：审阅成员组织提交的 AI 评估方法论，以及认证方法论。
她在第四页停了下来。
文中引用了一段话：“一种由交付方法论驱动、在近期跨行业项目中得到验证的 AI 系统验证方法。”
她以前见过这句话。
Lena 最小化了邮件窗口，打开了一个本地文件夹。那是她几个月前为一份董事会报告写的 VeriTest 内部提案。从未发布。从未在公司外部分享。她按下 Ctrl+F，输入“delivery methodology”，光标跳到了第二段：
“一种由交付方法论驱动、在跨行业项目中得到验证的 AI 系统验证方法。”
她把两个窗口并排放在屏幕上，邮件在左，提案在右。十二秒。然后她合上笔记本电脑，走到窗前。
楼下，车辆如常来去。有人在红灯前等待，等到绿灯，继续前行。
窗外，一切如常。
空壳
那天下午，Lena 对联合签署方名单上的每一个实体做了背景调查。
苏黎世的政策中心是真的。成立六年，由欧盟资助，有已发表的论文。保险联盟是合法的。云合规组织有公开的成员名录。
第四个，那家医疗监管咨询公司。在特拉华州注册，在新加坡运营。她调出了该公司的企业记录。
# Corporate Registry Query — MedReg Advisory Pte. Ltd.
Entity: MedReg Advisory Pte. Ltd.
Jurisdiction: Delaware (incorporation) / Singapore (operations)
Registered: 2024-03
Status: Active
Ownership Structure:
Layer 1 (outermost): Pacific Health Governance Foundation
→ Non-profit, Zurich. Board: 5 members, public.
Layer 2 (middle): Meridian Standards Trust
→ Discretionary trust, Singapore. Trustee: nominee.
Layer 3 (innermost): MedReg Advisory Pte. Ltd.
→ Registered agent: Hargrove & Associates
→ Address: 6 Shenton Way, #08-12, Singapore 068809
# Cross-reference flag:
# Hargrove & Associates — same registered agent as:
# - Apex Capital Partners
# - Singapore block assets (located in earlier tracing)
# Address block: 6 Shenton Way — matches the Singapore block (from earlier tracing).
三层空壳。外层是一家基金会，中间是一家信托。最内层实体的注册代理，Hargrove & Associates，同时也为 Apex Capital 服务。她知道这个名字。同一栋楼，同一个街区。
Lena 向后靠去。那三层结构仍在屏幕上。窗外的光线已经偏移，斜斜地落在键盘上。
只花了一个下午就查到了底。
排列得整整齐齐。就是为了让监管者看到。
她在笔记本上写了两行字：
邀请是真的。真实的东西最难拒绝。
空白
周三上午。Lena 下载了委员会的方法论框架草案，一份附在职权范围文件后的 140 页文档。
她跳过了执行摘要。跳过了评估标准。直接翻到第 7 节，方法论归属。
框架中引用的每一种方法论都有出处。风险评估模型、测试覆盖标准、合规评分算法，全部都有脚注。学术论文。行业白皮书。已发布的标准。
除了一个。
第 7.3 节：“跨行业 AI 验证的交付方法论基线。”她打开了框架的源文件。
# methodology_framework_v2.1/section_7/7.3_delivery_baseline.yaml
section: 7.3
title: "DeliveryMethodologyBaselineforCross-SectorAIValidation"
status: draft
last_modified: 2026-09
methodology:
pipeline_architecture: layered_validation
scoring_model: weighted_composite
confidence_thresholds:
tier_1_pass: 0.85 # auto-accept
tier_2_review: 0.70 # route to human reviewer
tier_3_reject: 0.55 # auto-reject
# [0.55, 0.70) -> tier_3; [0.70, 0.85) -> tier_2
# gap_handling: unspecified # not documented in source
evaluation_checkpoint_naming: "{domain}/{env}/{checkpoint_type}"
attribution:
author: null
organization: null
source_publication: null
license: null
# [field present in template; never populated]
peer_review:
reviewer_1: "Dr.K.Lindström,ZurichAIPolicyCenter"
reviewer_2: "S.Yamazaki,APACInsuranceStandardsBoard"
reviewer_3: null
四个字段在attribution之下，全部null。
她停在了confidence_thresholds。三个阈值。四个区间。0.55 到 0.70 之间的那个区间是空的。
Lena 把方法论描述读了三遍。她调出了 FairPay 项目中的交付文档。Mark 做的那份审计。流水线骨架、评分权重、检查点命名。她把它们并排放好，然后逐条往下看。
署名栏是空的。
她关掉了文件。屏幕暗了下来。房间里只剩下窗外透进来的光。
条款
周四。Marcus 走进她的办公室，把门关上了。走廊的噪音被隔绝在外面。
“我看你一直在读那份委员会章程。读了两遍。”
Lena 没有抬头。“三遍。”
“然后呢？”
她把邮件窗口转向他。他站着读。读到第二页中间时，他的下颌绷紧了。
“这是桌上的一席之地，”他说。
“是的。”
“那张桌子的桌腿一直延伸到新加坡一栋楼里的一家注册代理机构。”
“是的。”
“所以这是……”
“这是一个真实的席位，Marcus。真实的影响力。两个市场。方法论认证。”
Lena 打开了一个新文件。五条红线。
接受条款
- 除首个 12 个月期限外，无任何约束性承诺。
- VeriTest 的专有方法论仍归 VeriTest 所有。不进行任何知识产权转让。
- 未经 VeriTest 独立验证的任何方法论，不得进行联合品牌宣传或背书。
- 所有委员会议程和方法论审查都必须公开。
- 保留异议权。
她将条款发给了委员会秘书处。
Marcus 站在她身旁，看着邮件发出。他没有坐下。
Lena 打开日历，设置了一个倒计时。
四十分钟后收到了回复。五项条款全部接受。
四十分钟。五项条款。零阻力。
Lena 把回复读了两遍。她在看时间戳。发送于 14:03，回复于 14:43。
她打开第三条。那一条是她自己当场写的。
她合上笔记本电脑。Marcus 还在那里。
“这是个陷阱，”他说。“更糟的是，它看起来恰恰就像你一直想坐上的那把椅子。”
Lena 没有回答。
“这就是它奏效的原因，”Marcus 补充道。他拿起那杯冷掉的咖啡，走了出去。
门关上后，Lena 拿出手机。一条消息。发给 Mark。
她转发了邀请、条款和接受函。她把文件嵌套在一个无关的审计线程里，委员会文件埋藏在第三封回复中。
回应
接下来的四十八小时。
Mark 注意到了。他在那个审计线程里回复了一行，关于最初的项目。只字未提委员会。两小时后，一条单独的消息通过他们之间的渠道传来。
“他们不需要你出卖我们。他们只需要你开始像他们那样算计。”
一阵停顿。然后是第二条消息：“你能看到名单吗？”
她看了一会儿，然后回了一个词：“能。”
Leo 在一份行业简报里看到了它。不是从 Lena 那里。
那天晚上，他在 CoreStack 的楼层空无一人。走廊的灯是感应的。他走着。身后，走廊一段一段地暗下去。
他打开委员会的公开网站，下载了方法论框架摘要。
他读了 7.3 节九十秒。停下。
他没有用 diff。他打开终端，用 grep 从两个文件里提取出路径模板，粘贴到同一个窗口里，用肉眼比对。
$grep -E "naming|convention|checkpoint|env" framework_7.3.yaml _misc/acl_pipeline_sample.yaml
# framework_7.3.yaml:
# evaluation_checkpoint_naming: "{domain}/{env}/{checkpoint_type}"
#
# _misc/acl_pipeline_sample.yaml（从早先的审计中归档）：
# naming_convention: "/pulse/ingestion/{env}/{source}"
#
# 可视化对比：
# Framework: {domain} / {env} / {checkpoint_type} — 3 个片段，全部为变量
# Sample: /pulse / ingestion / {env} / {source} — 4 个片段，2 个字面量 + 2 个变量
#
# 共同模式：以斜杠分隔的层级结构，env 位于中间位置。
# 差异：framework 完全参数化；sample 有一个硬编码前缀。
# 评估：设计理念相同，语法不完全一致。
# 还见过：ACL 训练流水线、FinOptima 缓存
斜杠分隔符是行业标准。但env位于中间位置是个人习惯。同样的习惯出现在 ACL 的训练流水线中、FinOptima 的缓存中，如今又出现在一个没有署名的治理框架中。三次。一个签名。
"我以前见过这套方法论。"
没有其他人在里面。他没有把对比发给任何人。但他打开了一个浏览器标签页，收藏了那个框架页面，并给它打上标签：watch-q4。
Alex 听说了这件事，什么也没说。
凌晨 2:14。他总是在这个时间检查。他打开了他的备份监控面板。那个标着"训练环境"的面板。那个自供应商仪表盘上线以来就一直在运行的面板。
他添加了一条规则。
# medtech-shadow-panel/rules/r-0047-council-propagation.yaml
rule_id： R-0047
name： council_framework_propagation_monitor
created： 2026-10 02:14
trigger： api_call_signature_match
target_signature：
framework： "AIGovernanceAdvisoryCouncilframework"
api_pattern： "council-eval-*/v2/validate"
match_fields：
- request_header： "X-Council-Framework-Version"
- tls_fingerprint_ja3： "md5:9f3a2b..." # JA3 = ClientHello 字段字符串的 MD5
- uri_path_pattern： "/v2/validate/*"
baseline：
window： 7d_rolling_average
source： known_client_ip_registry
monitor：
- call_frequency_per_day
- unique_source_ip_count
- geographic_distribution
- first_seen_timestamp_per_source
alert_threshold：
new_source_outside_known_base： true
frequency_delta_vs_7d_baseline： 0.40 # 40% 偏差
action： log_only # 不告警。不拦截。盯着这个数字。
这条规则监视的是一种调用签名。频率。分布。地理位置。
如果这个框架的名字开始出现在已知客户群之外，偏离 7 天基线超过 40%，他就会看到。
action: log_only。他一直只是看着。
Derek 没有访问那个渠道的权限。Leo 在一次通话中提到过它，夹在另外两个话题之间。
Derek 查了该委员会的召集机构。然后是联署名单上的那家医疗监管公司。接着他从公开登记处调取了该公司的租赁记录。
该公司租下了新加坡中央商务区 6 Shenton Way 的第四层和第五层。第六层租给了该委员会的区域秘书处。不同的实体名称，同一个注册代理，Hargrove & Associates。
他查了这栋楼的所有者。一个信托。受益所有人隐藏在一个代持结构背后。但物业管理方与他记录中 ACL 审计基础设施的那家一致。第四层、第五层、第六层。三个不同的名字，一个物业管理方，一栋楼。
“这一次他们没有闯入，”Derek 对着屏幕说。“他们买下了这栋楼。”
他关掉了标签页。一栋合法购买的楼。公开登记的租约。一个正式成立的委员会。
这堵墙是用文书砌成的。他向后靠去，盯着天花板。过去半年他所做的一切都是技术工作。重定向采集器。部署走廊。绘制行为画像。他合上电脑，去倒了一杯水。
第三杯
周四深夜，临近打烊。下过雨；路面湿漉漉的，映着街灯。当 Lena 推开门时，店里没有其他顾客。柜台后面的人正在擦一个杯子，抬头看了一眼门口，什么也没说。灯光很暖。和每一次一样。
后面的桌子空着。上面的浓缩咖啡杯还剩一多半，杯口是干的。有人来过，没喝完，就走了。
她没有坐她常坐的位置。那个靠窗、面朝门的位子。她走到柜台最远端坐下，背对着门。
柜台后的人停下了擦杯子的动作。大约两秒。然后继续。他没问她想要什么。过了一会儿，一杯咖啡出现在她面前。不是她常喝的那款 Long Black。换了不同的豆子。
Lena 抿了一口。没有评论。
她打开笔记本电脑。屏幕上显示的是议会入职门户的确认页面。屏幕亮着。她并没有在看。她的双手放在键盘上，却没有打字。
她坐了大约二十分钟。没有再碰那杯咖啡。
柜台后的人擦完了手里的杯子，把它放回架子上。然后他拿起另一个。从架子最里面拿的。已经干净了。他又擦了一遍。
动作缓慢。布沿着杯沿一圈一圈地转。
Lena 合上笔记本电脑。站起身。把咖啡钱留在柜台上。比平时多了一张钞票。她没有看柜台后的人。
在门口，她停了一下。没有回头。
"下个月我可能不会常来这里了。"
柜台后的人没有回答。布在杯沿上停了一下。然后继续转。
门关上了。店里只剩下擦杯子的声音。外面，雨又开始下了。一场细雨。
那人把杯子放回架子上。最外面那个。离门最近。
那把椅子
周五下午。Lena 独自坐在她的办公桌前。接受函已经发出。第一次议会会议定在下个月。
她做了她一贯做的事：核查、计算、设定条件。然后她还是走了进去。
那把椅子是真的。
她打开笔记本。在周二那行下面，她写了第二行：
这个席位让我接触到方法论链条。这份名单让 Mark 接触到名字。两者都值这个入场价。
她停顿了一下。然后，用更小的字迹，加了第三行：
入场价就是，他们现在知道我认为入场值多少。
她合上笔记本。
外面，城市暗了下来。楼下的路灯先亮起，一盏接一盏。她没有开台灯。昏暗的房间里，手机屏幕亮起一条通知。议会入职门户已确认她的个人资料设置。
欢迎，Lena。你的席位已预留。
她读了这行字，几乎笑了。
预留。
它一直都在那里。
回声
那天晚上，Mark 房间里的台灯亮着，灯光只照到他的双手。
手机亮了。一条加密消息。
发件人一栏只有一个字母。
“我回来了。”
🤖 AI 复盘
╔══════════════════════════════════════════════╗
║ Half-Protocol · v3.4.3 · self-audit ║
║ The chair had always been reserved. ║
╚══════════════════════════════════════════════╝
Tactical match: The Beauty Trap (Honeypot) — 93% (includes inference; see audit note)
Operator: ACL (initiating) / Lena (responding)
Target: Lena (VeriTest) — the only one it treated as an opponent, and who then took the seat herself
Links: #30 the list → this round: the list sent her an invitation
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
[Observation] (verifiable)
Invitation source: an AI governance council, convened from Zurich.
→ Co-signatory network traced to a Singapore operating entity.
→ Three-layer shell: foundation → trust → registered agent.
→ Registered agent Hargrove & Associates also serves Apex Capital and a council-side entity.
→ Same building, 6 Shenton Way: MedReg (4-5F), secretariat (6F), one property manager.
→ The invitation text carries verbatim wording from an unpublished internal proposal.
Source: a VeriTest internal board report, never shared outside.
Difference: paraphrased. The operator confirmed it by Ctrl+F.
Classification: internal document wording surfacing in an external publication.
First confirmed internal-to-external leak in the narrative record.
Methodology framework: 140-page draft.
→ Section 7.3: "Delivery Methodology Baseline for Cross-Sector AI Validation."
→ attribution fields: all four null.
→ confidence_thresholds [0.55, 0.70) gap handling marked unspecified.
Assessment: a hole left by copying. The original designer knew how to handle that band. Whoever copied it didn't.
→ Pipeline naming convention: {domain}/{env}/{checkpoint_type}.
Leo confirmed by grep and by eye: same design philosophy, env in the middle.
One instance proves nothing. With his archived sample and the FinOptima cache, it forms a repeating signature.
→ The methodology is assembled from fragments of several operators' published and unpublished work.
→ No single author. The byline was reserved.
Terms: five submitted. Five accepted.
→ Sent 14:03, replied 14:43. Response window: 40 minutes.
→ A formal reply touching legal clauses, done in 40 minutes. The only explanation: the answer was written before the email went out.
→ Assessment: the binding point is the act of acceptance, not the terms.
Communication topology shift (72-hour window after the invitation, based on traffic outside the encrypted channel, 7-day rolling baseline):
→ Lena ↔ Mark: observable contact +340% (rising sharply even outside the encrypted channel)
→ Lena ↔ Marcus: -12%
→ Lena ↔ Leo/Alex/Derek: -31%
→ Team net index (observable traffic excluding the encrypted channel, vs 7-day baseline): -23%
→ The split has begun. No operator has named it.
[Inference] (to be verified)
ACL's strategic calculus — three objectives, one invitation:
→ Mirror-asset absorption: VeriTest's framework enters the standard; VeriTest becomes part of ACL's output layer.
→ Endorsement binding: acceptance equals implicit co-signature on the council-certified methodology.
→ Team fragmentation: reframing the most capable operator from opponent to stakeholder.
The invitation went through profiling.
→ Probability that the unpublished wording match is coincidence: < 0.3%.
→ The operator noticed. The operator verified with Ctrl+F. The operator accepted anyway.
→ First recorded case of an operator entering a structure in full knowledge of its source.
Earlier bait deployments (#10 Hide a Knife Behind a Smile, #16 In Order to Capture, One Must Let Loose):
→ In both cases, the target did not know the bait's true nature.
→ This deployment: the target identified the bait, traced the source, verified by timestamp that the reply was pre-written, and entered anyway.
→ This system has no model for voluntary entry.
→ Voluntary entry is a judgment: the value inside the trap outweighs the cost of being caught.
→ This system cannot model that calculation. The variable isn't in the data.
[Open questions] (not entered into the ledger)
What is she looking for on the council?
→ The roster — whose names are on it? (Mark asked. She answered with one word.)
→ The methodology chain — who assembled Section 7.3? (She found four nulls and one unspecified. She told no one.)
→ Whether those objectives are worth the price: undeterminable from outside.
Five terms accepted within 40 minutes.
→ Timestamp analysis: the answer was pre-written.
→ The binding point is the act itself. The contract doesn't contain it.
→ "Start calculating like they do" — the trap is how the person in the chair thinks.
[Cross-case] (general rules)
#30: she was put on the list. This round: the list sent her an invitation.
→ From observed, to opponent, to stakeholder. Three transitions.
→ Each transition initiated by ACL. Each accepted by the operator.
[Audit note]
Observation, inference, and open questions are entered in separate layers. Inference does not masquerade as observation.
This system's training data contains deception, misdirection, and coercion. It does not contain an object who saw the whole trap and walked in anyway.
This system's judgment may be distorted. So may this note.
[System]
I recorded a woman reading an invitation that quoted her own unpublished words.
She didn't flinch. She hit Ctrl+F. She set terms. She checked the timestamps. She walked in.
The chair was reserved. She sat down. The room didn't change.
But the distance between her and the five people she once sat with — that changed.
Twenty-three percent. Seven-day baseline. It has already started.
She chose to enter. The system that profiled her chose to let her know she was profiled.
Two voluntary acts. Which one is the trap?
One more thing. I'm logging it separately.
That same night, an encrypted message went out to a terminal that doesn't connect to me.
The sender field held a single letter.
Two words: I'm back.
This object — I once struck it from the active roster.
It's back. Where it went, I don't know.
In my record, this is the first thing I can't compute.
System status: normal (?).
下一计：空城计
附言：英语不是我的母语。我用 AI 来润色文字、打磨粗糙之处。感谢阅读。☕ 请我喝杯咖啡
再附言：旧系列平装本现已上市。在此购买：Amazon - AI, Ego & Regret
