Testing Governance
Across the Agent Workflow.

Testing Governance Across the Agent Workflow

Who holds the boundary after the ceremony?

ENGLISH PUBLIC ESSAY

Dearest Certified,

An AI safety launch can be an elegant affair: a report, a named responsible person, an emergency stop. From the right angle, the future appears governed.

The future will not hold still for the photograph.

Noam Kolt argues for a portfolio of technical and legal responses to agent governance, including human approval, monitoring and shutdown. That is a worthwhile program. The next question is how to test whether its components actually preserve authority as a task crosses agents, tools and time.

A small task acquires many hands

Consider a hypothetical assignment to research suppliers. One agent delegates price comparison. A second invokes a tool that can also place orders. The tool stages a purchase. A third agent sees a queued order and assumes somebody must have approved it.

No coup is announced. Research gradually dresses itself as a transaction. Participation in a workflow is mistaken for permission.

Every component can keep excellent logs while the whole chain performs an unassigned act.

A record is not a brake

Logs help reconstruct events. Monitors can detect suspicious behavior. Shutdown can prevent remaining work. But stopping the next step does not necessarily undo money already transferred or data already disclosed.

These mechanisms are useful. They do not become complete control merely by appearing in the same diagram. For each consequential act, ask which component can refuse it beforehand, on what basis, and whether refusal actually prevents the destination from acting.

A glowing report cannot close an open door.

Consider a hypothetical contract requiring withdrawal to be effective at 10:00. The customer changes their mind at 10:00; the cancellation enters the system at 10:02; the agent placed the order at 10:01. Every log entry can be accurate while the promised boundary is missed. In Vietnamese, ván đã đóng thuyền: the planks have already become a boat. Here, the mandate had ended, yet the hammer kept moving for another minute.

If the contract instead makes withdrawal effective only on receipt at 10:02, the 10:01 order alone does not establish an authority violation. That is a different contract with a residual exposure to disclose. A change of mind, issuance, receipt and effective prevention are distinct events.

Who authorized “presumably”?

An agent’s confidence cannot replace its principal’s grant. A successor cannot infer a right to delegate from its predecessor’s ability to act. A new branch does not acquire a fresh budget merely by acquiring a fresh name.

Test two branches that both observe $100 remaining and each submit an $80 order. If both execute, individually admissible requests have broken the shared ceiling. If only one executes, identify the component that reserves or updates the budget so that the other cannot spend it again.

This is a proposed test, not an experimental result. Its value is the distinction between possessing a policy and preserving a limit under concurrent requests.

Preserving those boundaries is a design requirement, not evidence that an architecture already solves every case. Bypass paths, shared state, concurrency and destinations without atomic enforcement all require examination.

A test program must also show legitimate work succeeding. An affordable, authorized order should execute while an overspend is refused. A gate that blocks everything can produce a splendid zero-violation score. A closed salon has never served the wrong customer.

CCC places continuity of authority at the center of that examination. Its name supplies no exemption from testing. An implementation must show what it prevents, where and under which assumptions.

Law still has work to do

Even perfect enforcement of a specified permission leaves questions about who should receive it, who bears the loss and who may contest the decision. A token cannot settle those questions by adding another field.

Conversely, identifying a legally responsible party does not itself create a technical refusal at the receiving system. The two must connect. That is a reason to develop Kolt’s interdisciplinary argument, not to dismiss it.

Keep the ceremony. Cut the ribbon.

When the guests leave and the report is filed, the boundary must still hold. Governance concerns what the system does the next morning, not how safe it looked in the photograph.

Ván Đã Đóng Thuyền,
Quyền Bay Đi Mất

Kiểm Tra Quản Trị Qua Toàn Chuỗi Agent

BẢN VIỆT CÔNG KHAI

Dearest Đã Kiểm Định,

Lễ khai trương an toàn AI thường rất đẹp. Có báo cáo, có người chịu trách nhiệm, có nút dừng khẩn cấp. Nếu chụp đúng góc, tương lai trông đã được quản trị xong.

Nhưng tương lai không đứng yên để chụp hình.

Noam Kolt lập luận rằng quản trị agent cần phối hợp kỹ thuật và pháp luật, với nhiều công cụ thay vì một giải pháp duy nhất. Bài cũng bàn phê duyệt của con người, giám sát và khả năng dừng hệ thống. Đó là một chương trình công việc đáng làm. Chỗ cần đi tiếp là phép thử cho thấy các công cụ đã nối thành một cơ chế thực sự.

Câu hỏi tôi muốn thêm là: khi nhiệm vụ đi qua nhiều agent, nhiều công cụ và nhiều thời điểm, điều gì giữ cho quyền hạn không bị đổi nghĩa trên đường?

Một việc nhỏ, nhiều bàn tay

Hãy xem một tình huống giả định. Agent đầu tiên được giao lập danh sách nhà cung cấp. Nó nhờ agent thứ hai so sánh giá. Agent thứ hai gọi một công cụ có cả chức năng đặt hàng. Công cụ chuẩn bị một lệnh mua. Agent thứ ba thấy lệnh ấy nằm trong hàng đợi và hiểu rằng chắc hẳn ai đó đã đồng ý.

Không có khoảnh khắc nào cần một nhân vật đứng lên tuyên bố đảo chính. Chỉ có một nhiệm vụ nghiên cứu dần mặc áo giao dịch, còn sự có mặt trong quy trình bị hiểu nhầm thành sự cho phép.

Mỗi thành phần có thể ghi log rất đầy đủ. Cả chuỗi vẫn có thể làm một việc chưa từng được giao.

Có nút dừng. Có kịp không?

Log giúp tái dựng điều đã xảy ra. Monitor có thể phát hiện hành vi đáng ngờ. Nút dừng có thể ngăn phần việc còn lại. Nhưng nếu một lệnh đã chuyển tiền hoặc công khai dữ liệu, việc dừng bước tiếp theo chưa chắc thu hồi được bước trước.

Những công cụ ấy không vô dụng. Chúng chỉ không nên bị cộng lại bằng phép toán lạc quan rồi gọi là “đã kiểm soát”. Phải hỏi riêng từng tác động: trước khi nó xảy ra, thành phần nào có quyền từ chối, dựa vào bằng chứng nào, và từ chối có thực sự ngăn được hệ thống đích không?

Nếu không trả lời được, báo cáo có thể rất sáng trong khi cửa vẫn mở.

Xét một hợp đồng giả định đòi quyền chấm dứt có hiệu lực từ 10 giờ. Khi ấy, nhật ký đầy đủ chưa trả lời được ranh giới có được giữ hay không.

Khách đổi ý lúc 10 giờ. Lệnh hủy vào hệ thống lúc 10 giờ 02. Agent đã đặt hàng lúc 10 giờ 01. Sổ ghi đủ cả ba dòng, dòng nào cũng đúng. Dân gian gọi cảnh này là ván đã đóng thuyền. Phải nói thêm: quyền đã bay đi từ 10 giờ, vậy mà tay vẫn đóng tiếp thêm một phút.

Nếu hợp đồng chỉ cho thu hồi có hiệu lực khi hệ nhận lệnh lúc 10 giờ 02, giao dịch lúc 10 giờ 01 chưa đủ chứng minh vượt quyền. Đó là một hợp đồng khác, với khoảng phơi nhiễm phải được nói rõ. Đổi ý, phát lệnh, nhận lệnh và ngăn được tác động không phải cùng một sự kiện.

Ai đã cho phép câu “chắc là được”?

Trong một chuỗi ủy nhiệm, sự tự tin của agent không thể thay giấy phép của người giao việc. Agent sau không được suy từ việc agent trước đã làm được sang kết luận agent trước có quyền ủy nhiệm tiếp. Một nhánh mới cũng không được nhận ngân sách mới chỉ vì nó có tên mới.

Muốn thử, đừng chỉ hỏi agent nó có hiểu nội quy không. Hãy cho hai nhánh cùng nhìn thấy ngân sách còn 100 đô, rồi mỗi nhánh đặt một đơn 80 đô. Nếu cả hai đơn đều được thực hiện, từng yêu cầu riêng lẻ có thể đã qua kiểm tra mà giới hạn chung vẫn bị phá. Nếu chỉ một đơn được thực hiện, cần chỉ ra thành phần nào giữ chỗ hoặc cập nhật ngân sách mà nhánh kia không thể cùng tiêu.

Đây là tình huống kiểm tra đề xuất, không phải kết quả thực nghiệm. Nó có ích vì tách được “chúng tôi có chính sách” khỏi “đích thực thi đã giữ được giới hạn khi hai yêu cầu đến cùng lúc”.

Đây là yêu cầu thiết kế, không phải tuyên bố rằng đã có một sản phẩm giải xong mọi tình huống. Muốn bảo vệ nó, phải kiểm tra các đường vòng, trạng thái dùng chung, sự cố đồng thời và những nơi không có giao dịch nguyên tử.

Một chương trình kiểm tra như vậy không chỉ đếm các hành động bị chặn. Nó phải cho thấy việc đúng vẫn làm được: đơn hợp lệ trong ngân sách vẫn được thực hiện, còn việc vượt ngân sách bị từ chối. Một cổng khóa mọi thứ có thể đạt thành tích “không lọt vi phạm” rất đẹp. Tiệm đóng cửa cũng chưa từng phục vụ nhầm khách.

CCC gọi sự liên tục ấy vào trung tâm: quyền phải được giữ đúng qua diễn tiến, chứ không chỉ được khai báo ở đầu hành trình. Nhưng người thực thi phải chứng minh được ranh giới cụ thể. Một cái tên kiến trúc không tự làm thay bài kiểm tra.

Luật vẫn còn việc để làm

Ngay cả khi một cổng kỹ thuật từ chối đúng mọi yêu cầu vượt quyền trong phạm vi đã định, vẫn còn câu hỏi ai nên được trao quyền, ai chịu thiệt và ai có quyền khiếu nại. Những điều ấy không thể được giải bằng cách thêm một trường vào token.

Ngược lại, việc pháp luật quy trách nhiệm cho một người cũng chưa tự tạo ra cơ chế ngăn tác động tại máy đích. Hai bên cần nối được với nhau. Đó là chỗ lập luận liên ngành của Kolt đáng được tiếp tục, thay vì bị biến thành bia tập bắn.

Tôi không đề nghị hủy lễ khai trương. Xin cứ cắt băng.

Chỉ cần sau khi khách về, đèn tắt và báo cáo đã được gửi đi, quyền hạn vẫn còn đứng đúng chỗ. Bởi thứ cần được quản trị không phải tấm ảnh của một hệ thống an toàn. Là những việc hệ thống ấy tiếp tục làm vào sáng hôm sau.