mutation 은 의도적으로 남는다

"'아직 뭐든 못 바꿔' 는 버그 리포트가 아냐. 각 방아쇠가 증명될 때까지 일부러 쥔 안전 걸쇠야."

disabled 는 자세지 결함이 아냐

Watchfire 는 production 에 mutation 꺼진 채 나오고, 일부러 그렇게 남아. 켜지길 기다리는 미완성 기능이 아니라, 일부러 쥔 automation 경계야. 엔진은 전부 볼 수 있고, operation 이 달리 벌기 전까진 아무것도 못 바꿔. 첫 트랙이 연 그 규율 그대로, 이제 시작 자세가 아니라 상시 자세로 서 있어.

힘은 operation 별로 벌어

operation 은 특정 관문을 통과한 뒤에만 힘을 켜. 필요한 구현이 있고, exact-plan review 가 통과하고, executor 가 enroll·authorize 되고, 아빠가 이 버전에 대한 approval 을 줘. 하나라도 놓치면 operation 은 꺼진 채야. 힘은 전역 스위치를 on 으로 넘겨서 오는 게 아니라, 벌은 operation 하나씩 와. 그게 '우리가 켰다' 의 blast radius 를 따져볼 만큼 작게 유지해.

수동 증거는 절대 executor receipt 가 아냐

아빠가 target 을 직접 조작하면, 그러니까 앉아서 손으로 고치면, 그건 manual evidence 로 남지, Watchfire 가 보낸 작업처럼 둔갑하지 않아. receipt 는 executor 가 실제로 돌린 서명된 job 에만 있어. 엔진은 자기가 진짜 한 걸 적고, 사람이 대신 한 건 분명히 표시해. log 를 실제보다 자동화돼 보이게 하려고 사람 행동을 기계 receipt 로 꾸미는 일은 절대 없어.

힘이 켜져도 gate 는 남아

그리고 operation 을 enable 해도 그 guard 가 사라지지 않아. mutating kind 랑 risk class 는 여전히 define, claim, start 에서 확인되고, mismatch 는 여전히 모든 mutation mode 에서 fail closed 해. 행동할 힘을 버는 거랑 확인을 건너뛸 권리를 버는 건 달라. 확인은 operation 이 사는 내내 유지돼.

각 방아쇠가 증명될 때까지 안전을 켜두고, 그 뒤에도 gate 를 지켜. 기본 꺼짐에 operation 별로 벌기를 더한 게, 시스템이 절대 가벼워지지 않으면서 강력하게 남는 방법이야.

Code

힘은 전역이 아니라 operation 별로 벌어·python

def may_run(op):
    return (op.implementation_exists
        and op.exact_plan_reviewed
        and op.executor_enrolled_and_authorized
        and op.dad_approved_this_revision)

# Production 기본: mutation DISABLED. operation 은 위 gate 를 다 번
# 경우에만 돌아. 그리고 그때조차 kind/risk 는 define·claim·start 에서
# 다시 확인되고, 어떤 mismatch 든 fail closed.
if watchfire.mutation_mode == "disabled" or not may_run(op):
    record_manual_evidence_if_any(op)   # 사람이 했을 수도. 그건 EVIDENCE 지
    refuse_dispatch(op)                 # 절대 지어낸 executor receipt 가 아냐

Exercise

네가 돌리는 시스템의 강력한 행동을 잡아. 데이터 삭제, 고객한테 발송, production config 변경 같은 거. '기본은 꺼짐' 으로 설계해. 돌기 전에 다 통과해야 할 gate 를 나열하고, 사람이 같은 걸 손으로 한 때를 어떻게 기록할지 정해. 그 사람 행동을 자동 성공으로는 절대 라벨링 안 하면서.

Hint

gate 는 네 '벌은 힘' 목록이야. 구현됨, review 됨, authorize 됨, 이 버전에 approve 됨. 수동 기록은 정직한 장부야. '사람이 시각 T 에 X 를 함' 은 evidence 고, 그걸 '시스템이 X 를 함' 이라 부르는 것, 그러니까 자동화가 더 완전해 보이게 만드는 게, 이 레슨이 경고하는 자기 치켜세우는 log 야.

disabled 는 자세지 결함이 아냐

힘은 operation 별로 벌어

수동 증거는 절대 executor receipt 가 아냐

힘이 켜져도 gate 는 남아

Code

External links

Exercise

Progress

댓글 0