Human Gate 人类闸门

要解决的问题 #

今天的“人在回路”要么是无休止的弹窗，要么什么都没有。Anthropic 披露，Claude Code 用户批准了 93%–97% 的权限提示；在它的受控实验里，人只拦住了 13.6% 被植入的危险命令，会话越长越差。这是厂商为推广自动模式做的研究，测的是识别被植入的提示，不是生产事故率，但方向很清楚。

同一份数据里还有另一个数字：用户对“计划”的拒绝率是 39%，对单个权限请求只有 3%。人会认真判断的，是计划和合并，不是每一次工具调用。

工作方式 #

• 只在少数地方出现： 合并进受保护树、受保护树中的删除、对外共享或发布、出口、租约扩权、标签降级。分支上的写入不需要审批。
• 粒度是计划或合并。 评审一个 PR，而不是五十个弹窗。
• Gate Card 由 NAS 渲染： 真实的差异、读清单摘要、租约、会话污点，绝不使用智能体的自述。选项：批准、收窄后批准、拒绝；超时默认拒绝。
• 批准绑定动作摘要： 绑定差异哈希与租约，不能重放。
• 交付： 推送、聊天、邮件或 CLI；可以委派；passkey 作为可选的强认证。
• 只升不降。 可选的风险分类器（包括 LLM）只能把动作升级到闸门，永远不能批准。模型只能收紧，不能放宽。
• 疲劳度量： 批准率与批准耗时；批准率异常高时，提示合并闸门或收紧策略。

从小处开始 #

• 受保护 main 加 PR 审阅（任何 Git 平台都行），再加一条推送通知。
• 或者一个 CLI：nas gate approve <gate_id>。
• 先把 Gate Card 做成“真实的差异”，别急着做花哨的界面。

接口草图 #

仅作示意。字段名在规范 v0.3 之前可能调整。

{
  "gate_id": "gt_2Mx4",
  "run": "run_91ab",
  "action": {
    "op": "merge",
    "from": "cleo/run_91ab",
    "into": "main",
    "files_changed": 4,
    "diff_sha256": "7d2a..."
  },
  "why": "Release notes are ready for review",
  "risk": {
    "session_taint": ["external"],
    "sources": ["web:example.com/changelog"],
    "destructive": false,
    "egress": false
  },
  "options": ["approve", "approve_narrowed", "deny"],
  "default": "deny",
  "expires_at": "2026-11-12T12:00:00Z"
}

规范的要求 #

• Gate Card 必须展示由 NAS 计算出的真实差异，而不是智能体对它的描述。
• 批准必须绑定动作摘要与租约，不得可重放。
• 超时的默认结果必须是拒绝。
• 分类器或 LLM 不得授予批准；可以把动作升级到闸门。
• 合并进受保护树、受保护树中的删除、对外共享、出口、租约扩权、标签降级，必须经过闸门。
• NAS 应当报告批准率与批准耗时。

借鉴与区别 #

下面这些都是现成的做法。真正新的部分： 把审批锚定在存储层的合并上，并由 NAS（而不是智能体）渲染内容。审批与 PR 本身都是现成的。

• How we built Claude Code auto mode
• Anthropic: approval data behind auto mode
• CaMeL
• WebAuthn
• OpenID CIBA

坦诚的局限 #

• 人仍然可能批准错误的动作；成批的审阅也会疲劳。
• 通知渠道可能被钓鱼。
• 审批无法阻止它批准范围之外的事，那是租约的工作。

开放问题 #

• 批量与分级审阅的最佳界面是什么？
• 自动合并的门槛如何度量与调整？

常见问题 #

相关概念 #

• Capability Lease (能力租约) 发给一次运行的、有期限与预算的窄域授权；子租约只能更窄。
• Trust Labels (信任标签) 来源与敏感度两个小标签，加上会话污点，强制执行 Rule of Two。
• Agent Branch (智能体分支) 每次运行在写时复制的分支里工作，经审阅的合并才进入主线。