作为操作系统的共同家园

出发点是一个激进却富有成效的隐喻：当今的世界秩序——连同其全部政治、经济与法律的肌理——是一套仍在运行、却已老化的操作系统。姑且称之为"Windows 11"。它并非毫无意义：它能启动，其上运行着数十亿进程，它熬过了许多个版本。但它的 bug 早已为人所知——不是假想的，而是那些在数十年间浮现、并以人命为代价的 bug。

本文件之问：倘若给予一支完整的开发团队和一张白纸，下一个版本——"Windows 12"——会是什么样子？不是一个完美的（世上没有），而是在当下处境中所能达到的最正确、最完备的一个。

操作系统的隐喻是当真的，而非装饰。一套操作系统有真实的工程解剖学：内核与特权环、权限模型、进程隔离、资源调度器、更新机制、错误处理、身份验证。这些轴线中的每一条，都以惊人的精度映射到一个社会的结构之上——而在映射破裂之处，它破裂得极具启发。到最后（第 IX 部分），我们也考察这一隐喻本身的核心缺陷：操作系统有一个所有者，而人类不应有任何所有者。之所以选用操作系统的语言，正是因为这份精确——它是解释此类结构最切近、最清晰的途径。而"Windows 12"是一枚分析的透镜，而非口号：在模型本身中，国家并不消失，而是成为一个薄层（第 III 部分），因此这里说的是把整个技术栈作为研究对象加以重构，与国家互补，而非号召废除它们。

那些专门的技术术语（kernel、user space、capability、zero-knowledge、sandbox、nullifier 等等）被有意留作不加注解：为每一个加注都会使文本膨胀，而其含义很容易查到。此处要紧的不是精确的 IT 定义，而是一个术语在结构中所扮演的角色。

本文件的编排如下：先是对旧系统的诊断（I），接着交代其中必须存续之物（II），然后是新系统的结构（III）以及人在其中的位置（IV）。此后是三个负荷最重的模块，逐一剖开（V—VII），它们之间的冲突（VIII），建筑师的陷阱（IX），逼至断裂的压力测试（X），与真实而鲜活的种种尝试的清算（XI），以及最后，工作的开放地平线（XII）。

关于世界秩序未来的任何谈论，其首要错误都是把国家当作一个非有即无的整块。国家不是一个实体，而是一束功能，因战争、税收与工业之故落入了同一双手：

1. 合法暴力的垄断——谁有权施加强制。
2. 对领土的管辖——对一块物理空间的权力。
3. 公共物品的供给——道路、网络、防务、法院、基础设施。
4. 归属与身份——谁算作"我们中的一员"，一个人被划归给谁。
5. 再分配——对弱者的照护，对不幸的保险。
6. 法律与争端解决——规则与仲裁。
7. 对外代表——在国际舞台上朝外的一个声音。

没有任何自然律要求这七项功能同处一只盒子。是历史把它们焊在了一起。而今天它们正在我们眼前脱焊：身份漏向网络，货币漏向协议，争端漏向私人仲裁，公共物品漏向跨国结构。把国家理解为一束可拆卸的功能而非一个原子，是此后一切的基础。

在设计任何新东西之前，必须诚实地确定何者不可抛弃。关于未来的浪漫版本——国家干脆消融于自愿共同体之中——撞碎在若干硬邦邦的事实上。

物理空间具有竞争性

一条河、一张电网、一座港口、一公顷土地，都无法被"分叉"，人也无法同时置身两个管辖权之下。只要人还有身体、还占据空间，就总有人治理那空间、并裁断围绕它的冲突。这是领土权力不可剔除的内核：物质滋生对排他性使用的竞争。

物理安全——那个无法退出的极端情形

一场大流行、一次入侵、一场天灾。此处需要一种无法一键退出的结构，因为它必须把那些宁愿逃离者留在共同的代价之中。退出的自由对抗暴政时无比壮丽，对抗大流行时却是致命的：病毒并不在乎一个人属于哪个自愿共同体。

对无法作出贡献者的照护

这是支持某种类似国家之物的最有力论据，也是最少被大声说出的一条。自愿共同体天性上善于照护有用者，拙于照护无用者：病人、老人、残破者、"无利可图者"。历史被强制走向团结，靠的正是一种无法退出的结构——健康而富有者无法从中移民出去、以逃避对弱者的义务。取消走向团结的强制，你得到的便是按有用性对人加以分拣。那不是自由。那是配了良好界面的达尔文主义。

任何操作系统的第一个工程决定：什么运行在 0 环（特权，拥有完全访问权），什么运行在 user space——在那里一个进程可以崩溃而不拖垮系统。单体是糟糕的结构。这里的结构被搭建为微内核。进入内核的，只有那些物理上不可分割且具竞争性、无法退出之物：

• 对物理安全与物理空间的保护；
• 行星级的生命维持系统——气候、海洋、大气、轨道、频谱、水；
• 对超级技术的治理，在那里错误的代价是整个物种（人工智能、生物工程）；
• 以及首要的，对权限模型本身的维护——那个保证：没有人成为 root。

其余一切——经济、文化、共同体、生活方式、信仰、审美——都被移入 user space。在那里它竞争、犯错、破产、死亡、再生，而不把系统一同带走。内核是薄的；其上，是一片翻涌的自由进程的空间。

整个模型的核心，也是大多数历史性系统崩坏之处。

在操作系统中，主权者是用户。进程为服务用户而存在；当一个进程妨碍用户或挂起时，它被终止——这是例行操作，而非悲剧。几乎每一种社会秩序最深的 bug，都在于它颠倒了这一关系：人成了服务于"系统"的进程——服务于经济、民族、国家、政党、"伟大事业"。人被调度去执行系统的任务，而非相反。

现代计算机安全最好的想法，是在最小特权原则下把权利作为能力（capabilities）。整套政治都建立在它之上。

• 没有任何行动者获得超过特定任务所需的权限。
• 任何权限都可撤销、有时限、可审计。没有永久的、无条件的、可继承的权力授予。
• 人权不是一纸抽象的宣言，而是具体的、不可让渡的 capability-token，无法被管辖权剥夺、被交易掉，或被以有用性为条件。

联邦制、多中心、沙箱。共同体、经济与生活方式都是被隔离的进程。一个倒下——其余照常存活。于是退出权就是终止一个进程、或离开它的权利。这是对暴政最强有力的制衡：一种可以一走了之的权力，被迫变得可以忍受，否则它便无人可用。但这有代价（见第 VIII 部分）：彻底的可退出性导致按相似性分拣、导致跨越差异的团结的丧失，并引出"谁来托住那些被所有人离弃者"之问。退出权在 user space 中是绝对的，在内核中是不可能的——否则第 II 部分本身便告坍塌。

组装为一个整体，这一结构给出的不是"没有国家"，而是多层级。其组织原则是辅助性（subsidiarity）：一项决定在能够承担它的最低层级上作出，唯有不得不时才上升。

这样的划分，比迄今设想出的任何方案都更好地调和了自由与安全：它不出于习惯而集中，也不出于教条而分散，而是把每一项任务放到它真正得到解决的地方。

模型以三束来回答那个直接之问——人在其中成为什么。

权利（capability-token，不可让渡，由内核担保）

功能

人同时是用户（在自己的领域内的主权者），并且，集体地，是内核权威的唯一来源。内核之合法，恰恰以其代表用户而被执行为限。不存在"凌驾于诸人之上的民族"，不存在作为一个独立更高实体的"凌驾于公民之上的国家"——只有诸人，其合成的意志才是唯一的 root。更确切地说：作为一个被占据的位置的 root 根本不存在（第 IX 部分）；只存在一个分布式的、无人据为己有的权威来源。

义务（那无法退出之层的代价——没有它，整座建构便是乌托邦）

• 不要污损共享内存。不要把自己的代价倾倒进生物圈、倾倒进他人的生活。把外部性内部化，既非税收也非道德——而是对 memory corruption 的禁止：没有人可以把毁灭写入一段众人共享的内存。
• 支撑对共同之物的维持。向那无法退出的内核层（安全、公共之物、对弱者的保护）作出贡献——正因为无法从中移民出去以逃避义务。这是唯一合法的、走向贡献的强制。
• 维护系统。参与即 maintenance。无人维护的操作系统会退化。公民身份既是一次 login，也是对系统的一班值守：一份最低限度的注意力与劳作，缺了它，共同之物便会生锈。

真正的两难

这是一个三难：三种属性，其中至多两种可以同时达成。

任何真实系统都以牺牲其一来换取其二。这极有可能是问题的结构性属性，而非工程上的欠缺。

已经尝试过什么，又如何破裂

• 一个中心化的生物特征登记库。唯一性被漂亮地解决。但这恰恰就是 root：一个单一的排除点（关掉那条记录，一个人便成了公民意义上的死人）、一个单一的监视点、不可避免的 function creep。
• Web-of-trust（担保）。去中心、隐私。但抗 Sybil 性在规模上减弱，并复制了社会图谱的不平等：人脉广者被核验；孤立者仍旧什么都不是。
• 凭生物特征的 proof-of-personhood。规模上的唯一性被解决。但是：一个行星规模的生物特征蜜罐；对硬件的信任；对强制的脆弱；不可逆（虹膜无法重发）；而这一切背后，是一家公司。一套能运作的全球生物特征去重，本身就是现成的监视基础设施。
• 裹在 selective disclosure 里的国家证件。它改善隐私，却仍把签发国留作信任之根，并继承了公民身份的抽签。

最不坏的选项

关键的一着，是把"身份"一词焊成一团的东西拆开：身份验证（跨会话是同一主体）、唯一性（只有一个主体）与属性（年满 18 / 是这个的成员 / 持有权利 X）。护照系统的首要罪行，正是把这三者统统穿过同一个标识符。

• 唯一性的核验者，绝不可成为活动的观察者。在"谁是唯一的"与"一个人做了什么"之间，立着一堵密码学的墙：zero-knowledge proof 与 nullifier。发行方给出证明便遗忘；无人持有档案；证明留在那个人身上。
• 用多元发行方取代垄断。许多个相互独立者；k 选 n 即足够。没有谁是 root，没有谁是单一的排除点。
• 用可撤销性取代把原始生物特征当作钥匙。主钥匙是一份可重发的 credential。生物特征恰恰在重发这一环失败，因此不能作为根。
• 按上下文分设 nullifier。证明"在这次选举中"的唯一性，而不把它与"在那个论坛上"的唯一性相关联。

真正的两难

两个耦合之问：如何分配稀缺（土地、能源、物质、注意力），以及谁为那无法退出的内核融资。两者之上悬着两种失灵的冲突：

最不坏的选项

1. 一道受保护的底线。一个有保障的最低限度，人不跌破它：食物、能源、对算力与信息的获取、基本的健康。其正当性不是怜悯，而是自由：唯有在有处可去、可以从一桩坏交易中一走了之时，才能自由地议价。底线给人起身离开的力量；它使其上的市场变得公平。
2. 公共之物被计量并被付费。具竞争性的公共之物（大气的吸纳容量、轨道、频谱、水、注意力）既非免费亦非私有——获取被定价并被配给。从耗竭共享基质而来的收入，为底线与内核融资。这是对公共之物的租（承亨利·乔治之精神），而非对生产的税：付费不是为你所创造之物，而是为你从众人处所取走之物。
3. 对集中设一道上限——一项安全特性，而非嫉妒。资源的极端集中等于权力的集中，等于一个未来的 root，而无根性正在模型的诸公理之中。限制积累即是反俘获。其正当性比道德的更强：不是"财富不公正"，而是"超级财富是对管理员权限的一次未经授权的夺取"。

真正的两难

最不坏的选项

• 把政策当作实验。分阶段推行而非"一次到位"；在一个自愿的小范围内做 A/B；对照事先声明的指标加以度量；唯有奏效才扩大。
• 偏向可逆性。偏好那些可以回滚的更改。不可逆者，门槛要高得多。日落条款：规则会到期，必须重新确认。默认是废止而非累积；一个死去的制度悄然到期，而不靠惯性拖延。
• 把分叉当作泄压阀。在更新中输了？不要开战——在开放的规则上分离出去。这是把多元主义施于时间。
• 把更改规则的权力与从规则中获利的权力分开。写下一条修正案的人，不得靠它取食。更改要在一层对自己未来位置的部分无知之幕下辩论。
• 谁看守更新器。更新机制本身就是代码，而能更改它的人，才是真正的 root。因此那条元规则是最难更改之物：只经由持续的、在时间上被拉长的超级多数。时间锁：更改内核，需要跨越若干个周期而持有的支持。星期二的一个多数，动不了内核。

这比任何单个模块都更要紧。三个模块不是相互独立的任务，而是一排旋钮，其中一个的每一处设定都会坏了另一个。一个诚实的模型有义务把这些冲突展示出来，而非把它们藏起。

在此处操作系统的隐喻裂开了，而这道裂缝是本文件中最要紧之物。一套操作系统有一个所有者——那个握有 root、替用户决定何为好、不经询问便推送更新的人。人类绝不可有这样一个所有者。

"设计一套新世界秩序"这一任务中最危险之处，是那种诱惑：由一位睿智的建筑师，装配出一套美丽、统一、按理性安排的系统。历史上正是这种东西杀人百万。社会不是代码；价值没有编译器；正义没有单元测试；而任何一个宣称自己知道事情该当如何、并要求改写所有人的权利的人，都比他起手去修的那个 bug 更危险。

这也适用于本文件本身。它以单一的一个声音写成——而正因如此，它不能被当作一套已完成的系统。它的用途，是被剖开、被质疑、被分叉，而非被安装。

一个不曾被断裂场景检验过的模型，不是模型，而是布景。让"Windows 12"跑过三个严苛场景，会诚实地显出它在何处倒下。

场景 1。一场大流行

一种迅疾而致命的病原体。内核需要对一项共同措施的即时强制，而整套结构却围绕退出权与最小强制而建。

场景 2。为一项物理资源而战

两个领土层级争夺同一条河 / 大陆架 / 走廊。资源具竞争性，分叉不可能。

场景 3。被一个 AI 夺取

一个超强的 AI 端坐于内核之中。谁控制那个进程，谁便控制这颗行星上特权最高的代码。

这里没有什么是全然崭新的。几乎每一个元素，都已有人在现实生活中尝试过——而几乎每一次尝试都在某处破裂。一个诚实的模型有义务了解自己的先行者，不把旧物冒充为前所未有。新意若有，也只在配置之中。每一次鲜活的尝试，都是一个模块的压力测试，已替我们跑过一遍。

模型的价值不在于它的答案，而在于它使之具体而可检验的那些问题的质量。前面各部分的薄弱之处，正是议程本身。向共同研究、设计与检验开放的诸条具体路线：

1. 没有老大哥的 Sybil。核验一个人的唯一性，而既不建一个中央监视登记库，也不建一道排除之门。至今，一个无解的三难。
2. 叠加性的人格身份，而非前置条件。使得缺少一次 login 绝不会剥去一个人的基本尊严。这是对首要风险——数字非人之阶层——的防护。
3. 为无法退出的内核融资而不造出一个新的暴君—征收者。对公共之物的租是一个假说；由谁来征收、而不把金库变成一个新的 root，仍然开放。
4. 内核的速度对抗对俘获的防护。在灾难中给内核以迅捷，而不造出一台紧急状态的机器。
5. 一个强于最强者、却又非暴君的仲裁者。答案或许不在力量，而在一种构造：破坏秩序对所有人同时不利——但这须被搭建并检验。
6. 对不可理解者的可审计性。在内核中一个超强 AI 的代码无法被人类心智理解时，仍保有人对它的控制。这或许是最重要的一条。
7. 底线与退出并存。把一走了之的权利与公共之物的坚固调和起来，使分歧的自由不至于杀死团结。
8. 没有古德哈特的指标。度量政策的成败，而不压碎不可度量者，也不引发一场绕过阈值的竞赛。