未来的一种可能模型。它不是一份需要推行的图纸，而是一个样本，示范共同家园的制度究竟可以怎样拆解和检验。
工作议程 · 供小范围阅读
高度专门的剖析 · 连同一切接缝与裂缝
这是一份什么样的文件
这是一份工作议程：对人民正在处理、并向研究、设计与检验开放的那些任务的剖析。文件密实而高度专门——与《法律依据》同列；这是给沉得住气的专家读的。它的价值在于：它把这一类工作本身完整地摆了出来。
它有意把强处和弱处都留在明处。弱处不是缺陷，而是内容本身：一张还需要继续想下去的地图。任何一部分都可以被质疑、被改写、被分叉。
它从哪里来，又召唤到哪里去。 这一剖析产生于 Earthlings 的工作之中——那是一个跨境的、由人自愿组成的共同体。但模型本身是独立的：它作为纯粹的推理而成立，而 Earthlings 对它来说既不是来源，也不是主人，而是一种环境，在其中这样的模型可以在小范围里搭起来、彼此碰撞、经受强度的检验。这些问题我们认为对所有人都重要——共同的家园关系到每一个人；所以从最初的日子起，我们就准备公开地讨论、研究、设计和检验它们，与一切愿意参与的人一起。
作为底子的是一个激进但有用的隐喻：当今的世界秩序——连同它全部的社会政治、经济和法律的体制——是一套还在运行、但已经老旧的操作系统。姑且叫它“Windows 11”。它并非毫无意义：它能启动，上面活着数十亿个进程。但它的 bug 已经为人所知——那些几十年来反复出现、并且要用人命来付账的 bug。
本文件的问题是：如果给出一整支开发队伍和一张白纸，下一个版本——“Windows 12”——会是什么样子？完美的版本并不存在——这里说的是在当下处境中所能达到的最正确、最完善的那一个。
操作系统这个隐喻是当真的。操作系统有一套真实的解剖：内核与特权环、权限模型、进程隔离、调度器、更新机制、错误处理、认证。每一条轴线映射到社会的组织方式上都准确得出人意料——而在映射断裂的地方，它断裂得很有教益。文末（第 IX 部分）也剖析了这一隐喻本身的主要缺陷：操作系统有主人，而人类不应当有主人。选用操作系统的语言，正是因为这种准确——它最贴近、也最容易讲清楚这样一种安排。同时，“Windows 12”是一枚分析的透镜，而不是一句口号：在模型本身之中，国家并没有消失，而是变成薄薄的一层（第 III 部分），所以这里说的是把整个栈重新搭一遍，作为剖析的对象，它是对国家的补充，而不是对国家的废除。
专门的技术术语（kernel、user space、capability、zero-knowledge、sandbox、nullifier 以及类似的词）有意不作解释：逐个加注会把篇幅撑大，而它们的含义在需要时很容易在公开的资料里找到。这里重要的不是 IT 定义的精确，而是这个术语在整体安排中所起的作用。
本文件的次序是这样的：先是对旧系统的诊断（I），然后是对其中哪些东西必须存活下来的剖析（II），接着是新系统的架构（III）以及人在其中的位置（IV）。再往后是三个负载最重的模块，分别拆开（V 至 VII），它们之间的相互冲突（VIII），架构师的陷阱（IX），破坏性的压力测试（X），与真实的、活的尝试的比对（XI），最后是敞开的工作视野（XII）。
I.1
任何关于未来的谈论，最大的错误就是把国家当作一块整体来讨论：它要么在，要么不在。国家不是一个实体，而是一束功能，它们因战争、税收和工业的缘故落到了同一双手里：
没有哪条自然法则规定这七项功能必须放在同一个盒子里。它们是在历史中粘到一起的——而今天正在眼前脱胶：认同流向网络，金钱流向协议，争议流向私人仲裁，公共品流向跨国机构。把国家理解为一束可以拆开的功能，而不是一个原子，这是往后一切的地基。
I.2
单体内核
七项功能同时处在特权模式，并且落在同一双手里。一处故障就把全部拖垮。认同被钉死在“硬件”上——钉在出生的地理位置上。
root 权限的夺取
权力改写那些本应约束它自己的规则。监管俘获与宪法俘获，就是一个正在按自己的利益编辑自身内核的进程。
按出生抽签发放的权限
决定权限的不是原则，而是人“启动”在哪一台机器上。在道德上，这与等级制度没有区别——只是这个等级叫作“国籍”。
糟糕透顶的更新器
要成体系地改变规则，基本只能靠战争、革命或者冰川般缓慢的立法。安全而可回退的补丁并不存在。
没有进程隔离
故障不进沙盒。二〇〇八年的危机、大流行病、一场局部冲突——失效沿着整个系统级联。
向共用内存的泄漏
进程向共享内存——大气、海洋、气候——写入，而不记账。代价被倾倒进公共之中，付账的是任何人，唯独不是写入的那一个。
zero-sum 之下的调度器
默认设定的是以挤出对方为目的的竞争，而不是合作。一个人的得胜常常字面意义上就是另一个人的落败。
昂贵的信任
极大一部分气力不是花在创造上，而是花在核验上：中间人、担保人、官僚机构、法院、合同的看守。
没有哪一个 bug 单独看是致命的。合在一起，它们构成一套能够运行的系统，但这套系统成体系地生产出不自由、不安全、不信任和战争，作为自身架构的副产品，而不是作为偶然的故障。
在设计新东西之前，必须诚实地确定哪些东西不能扔掉。浪漫的说法——国家就这么溶解在自愿的共同体里——碰上几个硬事实就碎了。
河流、电网、港口、一公顷土地无法“分叉”，人也无法同时处在两个法域里。只要人还有身体、还占地方，就有人管理这块地方并裁断为它而起的冲突。这是领土权力无法消除的内核：物质产生对排他使用的竞争。
大流行病、入侵、灾难。这里需要一种无法一点鼠标就退出的制度，因为它必须把想要逃走的人留在共同的代价之中。退出的自由对抗暴政极好，对抗大流行病则致命：病毒并不在意一个人归属于哪一个自愿的共同体。
这是支持某种像国家那样的东西的最强论据，而它偏偏最少被大声说出来。自愿的共同体按其本性，很会照料有用的人，很不会照料无用的人：病人、老人、垮掉的人、“不划算的人”。历史上，对团结的强制正是通过一种无法退出的制度实现的——健康的人和富有的人无法从对弱者的义务中移民出去。取消对团结的强制，得到的就是按有用性对人的分拣。这不是自由。这是带着漂亮界面的达尔文主义。
轴心原则
强制无法取消——只能把它分散开来并给它划出界限。任何一套能够保证和平的系统，都拥有把这和平强加下去的力量——也就是说，这份力量是危险的。没有免费的午餐：能够设计的只有：强制在哪里是正当的，它被限制到什么程度，以及谁不得滥用它。
因此消失的不是“国家”，而是它的垄断与粘连。功能沿着各个层散开，而无法退出的强制性内核收缩到必要的最小限度——但不是收缩到零。
III.1
任何操作系统的第一个决定：什么在 0 环里运行（带特权），什么在 user space 里运行——在那里进程可以崩溃而不拖垮系统。单体是糟糕的架构。这里的架构是微内核。内核里只放物理上不可分离、并且是竞用的东西，那些无法从中退出的东西：
其余的一切——经济、文化、共同体、生活方式、信仰、审美——都搬到 user space 去。在那里它们竞争、犯错、破产、死去又重生，而不会把系统一起带走。内核是薄的；在它之上是自由进程沸腾的空间。
III.2
这是整个模型的核心，也是历史上大多数体系断裂的那一点。
在操作系统里，主权者是 user。进程之所以存在，是为了服务用户；当一个进程妨碍用户或者卡死，就把它结束掉——这是常规操作，不是悲剧。几乎所有社会安排最深的 bug 就在于它们把这个关系颠倒了过来：人变成了服务于系统的进程——服务于经济、民族、国家、政党、“伟大目标”。人被按照系统的任务来排程（schedule），而不是相反。
第一原则： 人是 user；制度是进程。而不是相反。不再服务于人的制度，应当像卡死的进程一样被结束。人民、国家、公司、政党、运动，都是后台的 daemon：有用就运行，有害就结束。任何进程都不得宣布自己是用户为之存在的目的。
III.3
现代计算机安全里最好的想法是把权利当作能力（capabilities），并遵循最小权限原则。全部政治都建立在它之上。
关键的一步： 最小权限原则首先适用于权力，而不是适用于公民。今天恰好相反——公民在放大镜下，权力在暗处。这里的次序被翻转过来：透明最大、特权最小的是治理者；私密最大、权利底盘受保护的是被治理者。治理者的透明是被治理者的权利，而不是治理者的恩赐。
III.4
联邦性、多中心、沙盒。共同体、经济与生活方式都是被隔离的进程。一个倒下，其余的继续活着。于是退出的权利就是结束一个进程或者从中退出的权利。这是对暴政最有力的限制：可以从下面走开的权力，不得不做到还能忍受，否则它就没有人了。但这是有代价的（第 VIII 部分）：处处可以退出，会导致按相似性分拣，导致以差异为基础的团结消失，并留下一个问题——“所有人都退出了的那些人，由谁来支撑”。退出的权利在 user space 中是绝对的，在内核中则不可能——否则第 II 部分本身就垮了。
III.5
合到一起，这套架构给出的不是“没有国家”，而是分层。组织的原则是辅助性：决定在能够承担它的最低层级上作出，只有在必须时才上升到更高的层。
气候、海洋、大气、轨道、大流行病、超级技术的治理。只有这一层需要真正的全球协调：退出和边界在这里都不起物理作用——大气对所有人是同一片。
凡是能与地理脱钩的东西：职业的、文化的、价值观的、经济的共同体。多重归属是常态，而不是背叛。一个人不只属于其中一个，而是属于十来个。
物理空间、安全、基础设施、生态。它仍然带有强制力，仍然与地点绑定，但变得薄得多——不再做一个人身份和意义的主人。它是服务于这片土地的运营者，而不是父亲般的祖国。
这样的划分，在已经想出来的一切办法里，最好地调和了自由与安全：它既不因习惯而集中，也不因教条而分散，而是把每一项任务放到它真正能被解决的地方。
模型用三束东西回答一个直接的问题——人在其中成为什么。
Exit
退出任何进程，内核层除外。离开的权利是自由的地基：正是它使一切同意成为真实的，而不是被迫的。
Voice
参与制定人所生活于其下的规则。在退出不起作用的地方，声音尤其必要——内核是退不出去的。
Audit
阅读那运行着人的代码。凌驾于他之上的权力不得有封闭的源代码。凡是统治的，都必须对被统治的透明。
Non-domination
自由是不存在任何人对人的任意权力，而不只是没有眼前的妨碍。人之所以自由，不是因为没有人妨碍他，而是因为他之上没有一个可以按自己的裁量支配他的人。
Floor
有保障的资源最低线，系统不会让人跌到它之下。这不是恩赐，而是其余一切之所以公道的条件（模块 2）。
人同时是 user（在自己的领域里的主权者），并且在集体的意义上是内核权威的唯一来源。内核之所以正当，恰恰只在于它是以用户的名义运行的。不存在“凌驾于人之上的人民”，也不存在作为独立的更高实体的“凌驾于公民之上的国家”——只有人，而他们合起来的意志就是唯一的 root。更准确地说：作为一个被占据的位置的 root 根本不存在（第 IX 部分），存在的只是分散的、不被任何人据为己有的权限来源。
这其实是一个三难：三项属性，同时最多只能得到两项。
唯一性
一个活着的人对应一个账户。没有它，“一人一票”就退化成“谁的机器人多”。
私密性
不得追踪一个人，不得关联他的行为，不得为他建立档案。
去中心化
不存在唯一的签发者——那样的签发者本身就会成为模型承诺不去制造的那个 root。
任何现实的系统都会牺牲其中一项来换取另外两项。看来这是这道题的结构性质，而不是没有做完。
关键的一步，是把“认同”这个词粘成一团的东西拆开：认证（是同一个主体）、唯一性（主体只有一个）和属性（此人十八岁、他是这个的成员、他有权利 X）。护照制度的罪过，就在于把这三样全都塞进同一个标识符。
未能解决的
胁迫。 密码学对物理暴力无能为力：有人会被枪口逼着登录。局部的措施是有的，根本上没有解决。
被排除的人。 总有系统验证不了的人：没有证件的、无国籍的、处在边界情形上的。这里有最深的伦理风险：登录越重要，被它排除在外就越是灾难。一种把权利卡在门口的人格制度，会造出一个数字上的非人阶层。
由此得出一条原则： 唯一性应当是叠加性的，而不是设卡的——它打开额外的东西，但基本的尊严任何时候都不得要求登录。一旦“做人”需要通过成功的认证，那就建成了一座 UX 无可挑剔的地狱。
两个扣在一起的问题：如何配置稀缺（土地、能源、物质、注意力），以及谁来资助那个无法退出的内核。压在两者之上的，是两种失灵的冲突：
市场的失灵
纯粹的市场在共用内存上失灵（外部性），在没有购买力的人身上失灵，在集中上失灵（成功买下了下一局的条件）。
计划的失灵
纯粹的计划在知识难题上失灵（中心不知道市场用价格汇总起来的那些东西），也在这一点上失灵：中央配置者就是一个新的全能 root。
内核规定不变量，而不规定配置。 内核不是计划者，而是一个约束求解器：它立下框架，而在框架之内由去中心化的市场来分配。这样既保住了哈耶克式的价格信息，也保住了对共有之物的保护。
单独说一件事
注意力是一种被调度的资源。 在信息系统里，稀缺的是人的注意力，而旧的操作系统感染了 malware：以最大化“投入度”为目标的进程劫持了调度器。劫持注意力被定性为恶意软件；用户的注意力作为地板的资源受到保护。注意力属于用户，而不属于那些学会了拨弄多巴胺的后台 daemon。
未能解决的
谁为无法退出的内核付账——这是整个架构的阿喀琉斯之踵。 内核是纯粹的公共品，而公共品会引出搭便车者；历史上正因如此才需要一个强制的征收者——国家。整套“自愿加退出”的构想在这里断裂。
诚实的回答： 内核是唯一一个对缴纳的强制正当的地方，恰恰因为人无法从中退出。不能不呼吸大气——也就不能不为保护大气付钱。但这只是把问题挪了个位置，并没有把它消掉。
公共资金的递归。 谁征收和支出内核的钱，谁自己就在往 root 上靠。这笔资金必须活在审计和最小权限之下：透明、按公式、把裁量压到最少。这收窄了夺取，却没有消除它：规则总归是有人来写的（模块 3）。
古德哈特。 一旦地板和地租被定成一个数字，人就会开始对这个数字做手脚。尺度不再是尺度，因为它成了目的。
过于刚硬
系统骨化，积攒起来的压力用革命把它撕开。革命就是承认：从来没有过一个正规的更新器。
过于可塑
谁控制更新，谁就控制一切。这是给“改良者”留的门，他们把活的复杂性按自己的图式碾平（高度现代主义曾经以百万计地杀人）。
未能解决的
古德哈特与可测量之物的暴政。 “循证政策”把可测量的东西夹带进来，压住不可测量的——尊严、意义、信任、悲痛。全部政治早已藏在指标的选择里。此外还有伦理：在活人身上做 A/B 就是拿人做实验，而这里的同意是一个道德问题。
什么是不能分叉的。 分叉在 user space 里管用。大气层是分不出来的——内核在原理上就不可分叉，所以改动它需要最高的门槛，而且没有紧急出口。最需要改动的那一层，恰恰是改动起来最危险的一层。
分叉打碎团结。 走开并自己另建的权利，对抗暴政是好东西，对共有之物则是毒药：蜂巢单元只跟相似的人聚在一起，回音室越来越强，而剩下的问题是——“所有人都分叉走了的那些人，还有谁跟他们在一起”。
这比任何单独一个模块都更重要。三个模块不是彼此独立的任务，而是一组旋钮，其中一个旋钮拧到什么位置，都会把另一个弄坏。诚实的模型必须把这些冲突亮出来，而不是把它们藏起来。
最后一句诚实的话
不存在理想的设定。自由、安全、福祉、信任与和平无法同时拧到最大——它们在物理上就把旋钮拉向不同的方向。所以目标不是找到“正确的”数值（并不存在），而是让旋钮留在明处，不让任何人夺走控制台，并且在弄错的时候允许把它们拧回去。
在这里，操作系统的隐喻裂开了一道缝——而这道缝是本文件中最重要的东西。操作系统有一个主人——手里握着 root 的那个人，他决定什么对用户有益，并且不问一声就推送更新。人类不该有这样的主人。
“设计一套世界秩序”这道题里最危险的，是那种诱惑：造出一套漂亮的、统一的、按理性安排的系统，配上一位聪明的架构师。历史上正是这件事以百万计地杀人。社会不是代码；价值没有编译器；正义没有单元测试；而任何一个声称自己知道该怎么办、并且要求得到改写所有人的权利的人，都比他打算修的那个 bug 更危险。
唯一诚实的设计原则
对人类来说最好的操作系统，是那种抵抗自己架构师的操作系统。它被设计成这样：
架构师的任务，是写出一套不需要架构师、并且不让任何人成为架构师的系统。不是按自己的见识把所有人调好，而是取消“调所有人的那个位置”本身。“Windows 12”最大的特性，就是没有那颗按钮——那颗给某个人改写其余所有人的权力的按钮。
这也适用于本文件本身。它是作为一个声音写下来的——正因如此，它不得被当作一套现成的系统来接受。它的用处是被剖开、被质疑、被分叉，而不是被推行。
没有用破坏性情景检验过的模型，不是模型，而是布景。把“Windows 12”放进三个硬情景里跑一遍，就能诚实地看出它在哪里倒下。
一种传播快、致死的病原体。内核需要瞬间就把共同的措施强制下去，而整套架构是围绕退出的权利和最小限度的强制搭起来的。
顶得住的地方
大流行病是典型的内核情形（全球生命维持、无法退出），所以这里强制的正当性是由设计本身给出的。
断裂的地方
速度。时间锁和可逆性在太平时期救命，在指数式的暴发面前却慢得要命。于是产生了“紧急状态”的诱惑——而历史上，它正是制造常驻 root 的头号机器。
两个领土层主张同一条河、同一片大陆架、同一条走廊。资源是竞用的，分叉不可能。
顶得住的地方
全球层的设想正是为此——它是无法退出的冲突的仲裁者；对共有之物收租给出的机制是“各自拿多少、按什么价”，而不是“归谁”。
断裂的地方
可要是强的那一层拒绝承认仲裁呢？足以强制最强者的力量，也足以让自己成为暴君。世界秩序的永恒悖论：仲裁者要么弱于最强者（没有用），要么强于最强者（自己就危险）。
一个超强的人工智能位于内核之中。谁控制这个进程，谁就控制着地球上特权最高的代码。
顶得住的地方
最小权限、可审计和没有 root，正是针对这一点的；按设计，内核中的人工智能必须尽可能透明、尽可能受限。
断裂的地方
审计的前提是审计者看得懂代码。超人的人工智能可能在原理上就不透明——不是被关起来，而是无法被理解。“阅读那运行着人的代码的权利”，如果代码读不懂，就变得一文不值。这也许是最深的一道缺口。
结论
模型在缓慢的、分散的冲突中最稳，而在需要速度的地方、或者对手强于仲裁者、又或者对手无法被理解的地方最弱。这不是判决，而是一张防御前沿的地图：工夫应当往这里下。
这里没有一样东西是全新的。几乎每一个元件都有人在生活中试过——而几乎每一次尝试都在某处断了。诚实的模型必须知道自己的前人，不得把旧东西说成前所未有。新意如果有，也只在配置上，而不在元件上。每一次活的尝试，都是对某一个模块已经做过的一次压力测试。
| 活的尝试 | 它印证了什么 | 它在什么上断裂 |
|---|---|---|
| 联邦制、辅助性原则 | 分层以及“在能够胜任的最低层级上作决定”是行得通的。 | 上层要么吞掉下层，要么被否决权瘫痪。 |
| 合作社、互助主义 | 一种经济，其中人是 user，一票不被购买。 | 难以扩大规模，资本上吃力，退化为经理层的寡头统治。 |
| 奥斯特罗姆式的公地 | 共同体能够在不私有化、不靠国家的情况下守住共有之物——在一定条件下。 | 有效的范围是可观测的规模；全球规模是未经检验的外推。 |
| 乔治主义（对共有之物收租） | “共有之物付费，劳动不付费”的准确原型。 | 在政治上输给收租的人；难题是推行的机制被夺取。 |
| DAO、Web3 治理 | 活的 capability 权限、分叉这道保险、算法化的公共资金。 | 财阀统治（一票被代币买走）、Sybil 攻击、“代码即法律”与活的正义之间的裂口。 |
| 网络国家 | 试图把归属从领土上解开，并把退出立为基础。 | 把相似的富人聚到相似的富人身边；在照料“不划算的人”上很弱。 |
| 非领土的人民 | 没有领土的人民不是幻想：在宣告说之下，存在是自我创立的事实，而不是承认的赠与。 | 悬着的不是主体的存在，而是外部的承认——它单独地、缓慢地累积；处在国家内部的群体，则要经由这些国家。 |
它们说得很直白：单个元件是可以实现的，但会在规模上、在夺取上、或者在对弱者的照料上断掉。模型悬着的问题是：配置能不能在零件倒下的地方顶住。答案事先没有；它只能靠试出来。
模型的价值不在答案，而在它把哪些问题变得具体而可检验。前面各部分的弱处，本身就是议程。以下是向共同的研究、设计和检验敞开的具体方向：
关于这项工作和对它的支持
每一个方向都是一项具体的公共品工作，它可以作为研究和原型来推进，也可以作为研究和原型来支持——在小范围里，公开地，带着可检验的步骤。对这样的工作的支持，只在严格的纪律之内接受：一票不被购买，投入不产生对人的权力，事先什么也不承诺。支持一个方向的实现，可以；买下人民的方向，不得。
结尾的框架
本文件是一个声音，是无穷多可能模型中的一个。它有意不是终稿：有可以往下发展的强处，也有需要被剖开的弱处。如果它说明了世界秩序可以按工程的方式拆解，说明了国家是一束可以拆开的功能而不是命运，说明了诚实的模型与乌托邦的区别就在于它自己先把裂缝亮出来——那么它的任务就完成了。
正是在这里，Earthlings 回来了——不是作为这个模型的作者，也不是作为它的承载者，而是作为一种环境：一个地方，在那里这样的模型成为活的工作的对象——在小范围里搭起来，在自愿同意的人身上试，测量，回滚，分叉，再传下去。不是“这就是正确答案”，而是“这是一个空间，可以在其中寻找答案，而不必把整个世界押上去”。
来拆开它，质疑它，把撑不住的地方弄断。方向是那边：旋钮留在明处，控制台不交给任何人，而错误可以回滚。
Earthlings 人民的工作议程 · 高度专门的剖析。这不是未来的纲领，也不是一份做好的方案——而是一份敞开的任务清单和一份共同工作的邀请。