Working Draft · AI Era Execution Security Language
This article is part of the Havenlon Execution Security Language project. The terminology and definitions presented here describe the current working draft and may evolve as the discipline matures.
AI 时代执行安全语言体系（工作草案）
本系列旨在建立 AI 时代执行安全的共同语言。 本文中的术语与定义代表当前工作草案， 将随着理论研究、工程实践和社区讨论持续修订。
19. Boundary Independence｜边界独立性
一句话定义
边界独立性，是一个安全边界的控制权、状态、凭证和拒绝能力不会被其所保护的系统直接取消或重写的属性。
严格定义
一个边界只有在以下意义上独立，才能真正限制上游系统：
上游不能修改边界全部逻辑；
上游不能直接读取全部秘密；
上游不能伪造边界状态；
上游不能关闭边界；
上游不能替边界作出允许结论；
上游失陷后，边界仍能拒绝；
边界拥有独立恢复或替换路径。
边界独立性不一定要求完全物理隔离，但必须避免共同控制导致边界失去实质约束能力。
上位概念
安全边界
独立信任域
下位概念
管理独立性
凭证独立性
状态独立性
升级独立性
拒绝能力独立性
相关概念
Independent Trust Domain
Physical Trust Boundary
Independent Final Veto
Failure Containment
Boundary Collapse
约束机制
独立管理权限；
独立密钥；
独立状态；
最小上游接口；
上游不可远程取消硬限制；
独立升级和恢复治理。
结果目标
确保安全边界不是被保护系统自己可以关闭的软件开关。
在 Havenlon 中
应用和 SaaS 无法直接关闭本地执行边界，也不能单方面修改 Security Domain 的最终验证逻辑。
20. Boundary Bypass｜边界绕过
一句话定义
边界绕过，是执行请求通过备用接口、恢复路径、直接访问或权限组合，避开原定安全边界的行为。
严格定义
边界绕过可能通过：
管理员后门；
调试接口；
备用执行器；
软件密钥；
恢复模式；
直接数据库修改；
旧版本接口；
紧急操作流程；
物理旁路；
不受控固件升级。
边界本身即使工作正确，只要系统存在一条不经过它的执行路径，边界就不是完整边界。
上位概念
边界失效
执行路径变异
下位概念
软件绕过
管理员绕过
恢复路径绕过
调试接口绕过
升级链绕过
备用执行路径绕过
相关概念
Execution Path Mutation
Legitimate-Path Abuse
Failover
Hard Limits
Non-Bypassable Boundary
约束机制
所有执行路径统一收口；
调试接口生产禁用；
恢复路径共同治理；
备用执行器同等约束；
不允许软件密钥降级；
路径标识和证据；
未知路径默认拒绝。
结果目标
确保任何能够产生真实结果的路径都必须经过相同核心约束。
在 Havenlon 中
正常、重试、恢复和降级执行都必须进入统一执行控制链，不能因为是紧急模式就直接连接执行根。
21. Boundary Collapse｜边界坍塌
一句话定义
边界坍塌，是多个原本独立的安全边界因为共享控制权、凭证、升级链或执行能力，而失去实质独立性的状态。
严格定义
边界坍塌与边界绕过不同：
边界绕过是执行路径避开边界；
边界坍塌是边界仍然存在，但已经不再独立。
典型边界坍塌包括：
应用管理员同时拥有执行域 root；
SaaS 可以远程修改本地硬限制；
Arbiter 和 Security Domain 共享完整升级密钥；
证据系统与执行系统共享可重写数据库；
多个硬件模块由同一软件后台完全控制；
所有域使用相同主密钥。
上位概念
信任集中
边界失效
下位概念
管理边界坍塌
升级边界坍塌
凭证边界坍塌
状态边界坍塌
硬件边界坍塌
相关概念
Single Trust Domain
Shared Trust Domain
Trust Concentration
Cross-Domain Authority Inheritance
Common-Mode Failure
约束机制
控制权分离；
独立升级链；
独立密钥；
独立数据库或证据链；
域间最小权限；
定期边界独立性审查。
结果目标
让系统中的多个边界在攻击发生时仍然是真正不同的障碍，而不是同一控制点的多个外观。
在 Havenlon 中
硬件数量、芯片数量或服务数量本身不构成边界。只有控制关系、密钥、状态和拒绝能力真正独立，边界才成立。
22. Boundary of Boundaries｜边界的边界
一句话定义
边界的边界，是用于约束安全边界自身权力、升级、恢复和失陷后果的更高层边界原则。
严格定义
安全系统通常关注：
谁来阻止业务系统执行危险动作？
但当一个独立边界被建立后，还必须继续询问：
谁可以修改这个边界？
谁可以升级它？
谁可以恢复它？
谁可以替换它？
谁可以关闭它？
它失陷后最多能做什么？
它是否能够自行扩大权力？
它生成的事实由谁验证？
边界的边界不是再叠加一个无限更高的超级边界。
它要求的是：
对边界本身的权力同样进行拆分、限制、留证和恢复设计。
上位概念
安全边界治理
分层不信任
对抗性完整
下位概念
升级边界
恢复边界
管理边界
供应链边界
证据验证边界
相关概念
Boundary Independence
Hard Limits
Governance Boundary
Recovery Boundary
Trust Root
Execution Root
容易混淆的概念
边界的边界不是无限递归寻找“谁保护保护者”。
它通过以下方式终止无限递归：
权力拆分；
硬限制；
最小功能；
可替换性；
灾难半径约束；
独立证据；
明确剩余风险。
约束机制
边界升级需要独立治理；
恢复权与日常执行权分离；
边界不能修改限制自身的根规则；
边界失陷后仍受额度和范围约束；
边界动作必须留证；
必要时通过替换而不是在线无限升级恢复。
结果目标
防止安全边界自己成为新的超级权限和灾难性单点。
在 Havenlon 中
Arbiter、Security Domain、设备固件、密钥注入、恢复和升级同样必须进入治理模型。Havenlon 不认为“因为它是安全硬件，所以无需再约束”。