Working Draft · AI Era Execution Security LanguageThis article is part of the Havenlon Execution Security Language project. The terminology and definitions presented here describe the current working draft and may evolve as the discipline matures.AI 时代执行安全语言体系工作草案本系列旨在建立 AI 时代执行安全的共同语言。 本文中的术语与定义代表当前工作草案 将随着理论研究、工程实践和社区讨论持续修订。22. Fail-Secure安全失败一句话定义安全失败是系统发生异常时仍保持关键安全边界不因故障自动获得更宽松执行权的失败方式。严格定义Fail-Secure 的重点不是系统必须完全停止而是异常不会导致绕过审批放宽 Policy关闭证据使用备用通用密钥自动切换到更高权限接受无法验证的状态允许未知执行请求。系统可以继续提供低风险功能但高风险执行必须保持约束。上位概念安全失效最小伤害失败下位概念安全拒绝安全降级安全隔离安全等待Safe Mode相关概念Fail-ClosedControlled DegradationAdversarial FailureBounded FailureDeny by Default容易混淆的概念Fail-Secure 不等于所有故障都关闭全部系统。如果低风险、可逆功能可以安全继续系统可以受控运行。它要求的是故障不能扩大高风险执行能力。约束机制默认拒绝未知状态高风险功能单独关闭低风险功能保留状态不一致选择更严格结果恢复需要明确验证异常全过程留证。结果目标让攻击者无法通过制造故障迫使系统放宽执行边界。在 Havenlon 中网络断开、Policy 冲突、证据背压或本地状态异常时高风险动作不得自动转入无约束执行。23. Fail-Closed闭锁失败一句话定义闭锁失败是系统发生异常时将相关操作路径关闭并拒绝继续执行的失败方式。严格定义Fail-Closed 是 Fail-Secure 的一种具体实现。它通常适用于不可逆执行高价值资产操作治理变更密钥使用大规模数据导出物理设备高风险控制。闭锁失败意味着缺少必要输入时拒绝无法验证身份时拒绝状态不一致时拒绝证据链断裂时拒绝Policy 无法确定时拒绝恢复完成前保持锁定。上位概念Fail-Secure最小伤害失败下位概念请求闭锁执行器闭锁治理闭锁Policy 闭锁设备闭锁相关概念Deny by DefaultSafe ModeSafe InterruptionControlled DegradationFail-Open容易混淆的概念Fail-Closed 不代表所有场景都应简单停机。对某些物理系统突然关闭可能比继续受控运行更危险。因此闭锁失败必须结合具体场景的安全状态定义。约束机制明确闭锁条件硬件拒绝状态状态机恢复验证物理确认关闭后仍保留证据和诊断能力。结果目标确保无法证明安全时不让不可逆执行继续发生。在 Havenlon 中高风险签名、治理修改和执行载荷验证失败时应进入拒绝或 Safe Mode而不是尝试猜测正确状态。24. Controlled Degradation受控降级一句话定义受控降级是系统在部分功能或依赖异常时主动减少能力、范围或额度以较低风险继续运行。严格定义受控降级不是绕过安全检查的“备用模式”。真正的受控降级必须满足执行能力更少允许对象更少单次额度更低自动化程度更低需要更多人工确认可逆动作优先证据要求不降低恢复条件明确。错误的降级模式常见于云端断联后允许全部本地执行Policy 不可用时使用默认允许硬件异常时切换软件密钥审批系统不可用时允许管理员绕过。这些不属于受控降级而属于安全边界坍塌。上位概念Fail-Secure系统韧性下位概念额度降级功能降级自动化降级对象范围降级治理模式降级相关概念Safe ModeAdversarial SurvivabilityFail-ClosedLeast Harmful FailureBusiness Continuity约束机制预定义降级状态功能白名单低额度人工确认禁止使用通用备用权限状态恢复后显式退出降级行为留证。结果目标在业务连续性和执行安全之间保持可控平衡。在 Havenlon 中SaaS 断联或部分状态不可用时设备可以保留有限本地能力但不能因此取消本地治理、额度和执行边界。25. Safe Interruption安全中断一句话定义安全中断是在执行链发现异常时以不产生额外危险、不留下不确定状态的方式停止当前动作。严格定义中断并不天然安全。一次错误中断可能导致一半状态已提交资产已经扣除但未确认权限修改部分生效设备停留在危险状态重试时发生重复执行证据链缺失后续系统误判动作未发生。安全中断要求系统明确哪些步骤已发生哪些步骤尚未发生当前状态是否可回滚是否允许重试如何防止重复执行如何保存中断证据是否需要人工恢复。上位概念安全失败执行控制下位概念提交前中断执行中中断广播前中断治理变更中断设备控制中断相关概念Atomic CommitTwo-Phase CommitReplay ProtectionEvidence ContinuityRecovery Window约束机制明确提交点幂等性防重放中间状态记录回滚机制设备签名中断证据恢复前重新验证。结果目标让“停止执行”不会产生比继续执行更危险的半完成状态。在 Havenlon 中Propose、Confirm 和 Device-signed Commit 等阶段需要明确区分。未完成最终提交的请求不能被当作已经执行也不能被无条件重试。