五十三页，没有机器人

IMDA（新加坡资讯通信媒体发展局）的 Model AI Governance Framework for Agentic AI，即面向智能体 AI 的 AI 治理示范框架，共五十三页。这五十三页里，robot 一词一次都没有出现。physical、latency、machinery、drone 与 safety-critical 也没有。第 6 页写明了这份文件说的是什么：

"Agentic AI systems are software systems consisting of one or multiple AI agents that may operate individually or collaboratively."

即：智能体 AI 系统是由一个或多个 AI 智能体组成的软件系统，这些智能体可以单独运行，也可以协同运行。

这是一条边界，写在第 6 页上，本文不把它当作缺陷。这份框架把它想做的事做得很好。它用八个组成部分描述一个智能体，而这八项正是我们所造之物的写照。它建议在既定的边界处设置人工批准。然后它做了一件几乎没有人做的事：点出两个数字，凭它们可以抓住一道已经沦为橡皮图章的人工批准关口。

它从头到尾没有做的，是想象一台机器。同一个机构在 2021 年发布了七十六页关于商业楼宇内自主移动机器人的指南，那份文件里 artificial intelligence 出现两次，其中一次是词汇表条目。新的那份没有引用旧的那份。一个机构，两份文件，一百二十九页，相隔五年——而把一个受治理的智能体和一台机器接在一起的那份文件，至今没有人写。

本文是一家公司对已发布文件的阅读，而这家公司造的正是第一份文件所描述的东西。它不是法律意见；这里没有任何一句话声称我们的任何东西经过了对照任何文件的评定。

八个组成部分，和 should 的语气

§1.1.1，第 6 至 7 页，列出智能体的核心组成部分并编号一到八：Model（模型）、Instructions（指令）、Memory（记忆）、Planning and reasoning（规划与推理）、Tools（工具）、Protocols（协议）、Controls（控制）、Logging and monitoring（日志与监控）。第 7 项又分为三小项：

"Controls: Controls limit the agent's action-space and autonomy. While there are many types of controls, the ones most relevant to agents are: a. Access controls: These limit what an agent is allowed to see, use or change, including restricting access to sensitive data, tools and systems. b. Guardrails: Guardrails monitor and constrain an agent's behaviour before, during or after it acts. It can help detect unsafe instructions, policy violations, or actions that appear inconsistent with user intent. c. Human approvals: Requirements for a human to review or approve agent actions."

即：控制：控制限定智能体的动作空间与自主程度。控制有很多种，与智能体最相关的是：a. 访问控制：限定智能体可以看到、使用或更改什么，包括限制其对敏感数据、工具和系统的访问。b. 护栏：在智能体行动之前、之中或之后监控并约束其行为，可帮助发现不安全的指令、违反策略的情况，或看起来与用户意图不符的动作。c. 人工批准：由人来审核或批准智能体动作的规定。

我们在 Brain 页面发布的架构，八项里有七项都能对上名目——只差 Instructions（指令）这一项——而那一页并不是照着这份清单写的。框架描述了这些组成部分；我们的架构是公开的；下面的图把两者并排放在一起。我们能提出的主张仅此而已：没有装在任何现场的产品，没有评定，没有第三方审查。

第 6 项最容易丢——我们自己头两遍读这份清单时就把它漏掉了——而它恰恰是这里的关键。Protocols（协议）点名了 Model Context Protocol 与 Agent2Agent Protocol。MCP 规范 2026-07-28 修订版在其 Tools 页面上写道："For trust & safety and security, there SHOULD always be a human in the loop with the ability to deny tool invocations."，即出于信任、安全与安保的考虑，宜始终有一个能够拒绝工具调用的人在环。人工关口不只在 IMDA 的框架里。它就在这份框架所指向的线上协议里。

IMDA v1.5, §1.1.1, pp. 6–7——智能体的核心组成部分，按框架自己的编号

组成部分 1–8

• 1. Model（模型）机器人上的操作策略与本地规划器；现场服务器上的任务规划器与校验器
• 2. Instructions（指令）这个名目下没有发布任何内容
• 3. Memory（记忆）三种记忆——核心、短期、长期。机器人上是工作记忆、情景缓冲与核心记忆副本；现场服务器上是现场记忆服务
• 4. Planning and reasoning（规划与推理）机器人上的本地规划器。现场服务器上的任务规划器与校验器，在任务边界或异常时调用
• 5. Tools（工具）现场服务器上经 Open-RMF 的机群调度：交通、电梯、门与任务分配
• 6. Protocols（协议）Open-RMF，Brain 页面点名的唯一协议。我们没有发布任何 MCP 或 A2A 接口
• 7. Controls（控制）——访问控制、护栏、人工批准机器人上的安全监控，跑在一块独立控制器上；没有策略、也没有安全功能在机器人之外运行。任何进入核心记忆的内容都由一名指定人员批准
• 8. Logging and monitoring（日志与监控）机器人上的情景采集写入本地索引；现场服务器上的长期记忆保存带来源的情景历史

每一行右侧：Tidewell Brain 页面已经为该组成部分发布的内容，以及它运行在哪一层。是已发布的设计目标，不是测量，也不是合规映射——我们没有台架、没有试验装置、没有任何一台跑起来过的原型，我们的任何东西都没有对照这份框架或任何其他框架做过评定。

• Brain 页面已经为之写了内容的组成部分
• 我们这边的第 7 项：人工关口与独立安全控制器
• 我们没有发布任何内容的组成部分

框架从没说过自己是哪一类文书。五十三页里 voluntary 出现零次，mandatory 也是零次，所以谁给这两个词加上引号，谁引的都是不存在的话。它的性质只能自己搭出来，而搭出来的结果很干净。第 13 页说这份文件 "builds on the responsible AI practices for organisations set out in MGF (2020)"，即建立在 MGF (2020) 为各组织提出的负责任 AI 实践之上；那份 2020 年的框架在 §2.2 自称 "the living and voluntary Model Framework"（活的、自愿采纳的示范框架），并在 §2.12 提醒 "adopting this voluntary Model Framework will not absolve organisations from compliance with current laws and regulations."，即采纳这份自愿性示范框架并不免除各组织遵守现行法律法规的义务。IMDA 为智能体版发布的新闻稿用的全是指导性的动词：它 "provides guidance"（提供指导），它在 "recommending"（建议）措施，它 "offers a structured overview"（提供一个结构化的概览），概览的对象是风险与 "emerging best practices"（正在形成的最佳实践）。文本的语气是 83 个 should 对 2 个 must。它自称 "a living document"（一份活的文件），并以征求反馈收尾。那些能让它成为别的东西的机制一个也没有：没有援引法定依据，没有罚则，没有符合性评定路径，没有公告机构，没有认证体系，没有登记要求。新加坡 2026 年的另一份智能体文书，CSA（新加坡网络安全局）的 Securing Agentic AI 增编，把话说得很直白——"not mandatory, prescriptive nor exhaustive"（非强制、非规定性、亦非穷尽），以及 "these measures and controls are voluntary"（这些措施与控制是自愿性的）。

审计审计者

对买方最有用的一页是第 29 页，因为它具体。§2.2.2 建议各组织 "define significant checkpoints or action boundaries that require human approval, especially before sensitive actions are executed"，即界定需要人工批准的重要检查点或动作边界，尤其是在敏感动作执行之前；并点出四类：利害重大的动作与决策，"e.g. editing of sensitive data, final decisions in high-risk domains (such as healthcare or legal), actions that may trigger liability"，即编辑敏感数据、在医疗或法律等高风险领域作出最终决定、可能引发法律责任的动作；不可逆的动作，"e.g. permanently deleting data, sending communications, making payments"，即永久删除数据、发送通讯、付款；离群或非典型的行为，"e.g. when agent accesses a system or database outside of its work scope, when agent selects a delivery route that is twice as long as the median distance"，即智能体访问其工作范围之外的系统或数据库、智能体选择了一条比中位距离长一倍的配送路线；以及用户自定义的边界，因为不同用户的风险偏好不同。

那个配送路线的例子，是整份文件里唯一一句带着机群形状的话。它把关的是一次路线选择——一个关于配送的决定。它把关的不是一辆车。

第 29 与 30 页上还有三句话，合规人员明天就能搬进招标条款。批准请求宜保持 "short and clear, instead of providing long logs or raw data that may be challenging to decipher"（简短清晰，而不是提供难以解读的长日志或原始数据），并附上相关风险或置信度分数。输入的形式宜与动作匹配：简单的情形用批准或拒绝，复杂的情形编辑智能体的方案，高风险的情形写一份书面理由。还有自动化监控清单的最后一条：

"Denying action by default when approval infrastructures fail (e.g. when human supervisors are unreachable or agents attempt new actions that do not have any established approval policies in place)."

即：当批准基础设施失效时（例如人类监督者联系不上，或智能体尝试尚无既定批准策略的新动作），默认拒绝执行。

对一个软件智能体来说，监督者联系不上是一次寻呼失败，默认拒绝的代价是一段延迟。对一台载着货物穿过医院地下层的机器来说，同一条规则意味着一台停在走廊里的机器人，而这算不算安全的结果，取决于那条走廊。一句话，两种物理处境，而框架分不出两者，因为它没有描述走廊的词汇。

然后第 30 页建议用可测量的指标来判断监督是不是真的：

"Human override rate i.e. the frequency at which humans reject or modify agent actions. A low rate may signal rubber-stamping behaviours."

即：人工否决率，即人工拒绝或修改智能体动作的频率。比率低可能预示着橡皮图章式的行为。

"Human response times during review of agent actions. A shorter time may signal automation bias or review fatigue."

即：人工审核智能体动作时的响应时间。时间短可能预示着自动化偏见或审核疲劳。

与它们并列的，还有 "using data analytics to identify 'outlier' humans, whose decision patterns deviate significantly from the norm."，即用数据分析找出决策模式显著偏离常态的"离群"人员。rubber 一词在五十三页里只出现一次，就在这一页。IMDA 的 "What's new in this version"（本版新增内容）表说这两个指标都是 v1.5 新增的——这是 IMDA 对自己文件的说明，不是我们的发现，因为规范地址上只提供 v1.5。IMDA 对代价也很坦率：§1.2.3 说要求人类批准者持续监督智能体 "can also lead to automation bias and alert fatigue."，即也可能导致自动化偏见与警报疲劳。

一份既建议设人工关口、又追问这道关口是否真实的框架，是一份认真的框架。这就是要去问每一家厂商的那部分，包括我们。

那些计数，以及它们是怎么跑出来的

上面的每一个零，都是我们在 2026 年 9 月 11 日从当天提供下载的 v1.5 PDF 上数出来的——文件生成于 2026 年 7 月 17 日，SHA-256 为 2636e19ff1c86e862394d2fc900592e97b83c04cc35e3c8443108114b7f1dfba——工具是 poppler 26.01.0 的 pdftotext，默认模式，再以 -layout 模式交叉核对，结果一致；匹配方式是不区分大小写的子串匹配，先把各种 Unicode 连字符变体折算为 ASCII，并把跨行断开的单词重新接上。封面写着 "Version 1.5 | Published 20 May 2026 (Updated 5 June 2026)"，这个版本吸收了 "60+ companies since v1.0"（自 v1.0 以来 60 余家公司）的反馈；今天提供的文件是它在 7 月的一次重新导出，这就是为什么哈希值比日期更要紧。对一个否定性结论来说，子串是更严的检验：robot 这个模式本可以抓到 robots、robotic、robotics 和 roboticist。它什么也没抓到。

robot 0。physical 0。latency 0。machinery 0。drone 0。safety-critical 0。cyber-physical、actuator、sensor 与 embodied，全部为 0。warehouse 在文本层是 0，而这个词确实在第 41 页的一张位图图片里出现过一次，是一张架构图上的标签 "Data Warehouse"——数据仓库，不是一栋楼。

hospital 是最有教益的一个。子串计数 2，整词计数 0，因为两次命中都落在 hospitality 一词里，出自一则案例研究，讲一家新加坡地产开发商横跨 "residential, commercial, hospitality, and integrated developments"（住宅、商业、酒店与综合开发）的项目组合。healthcare 在整份文件里恰好出现一次，在第 29 页，作为批准清单里高风险领域的例子。

我们提取并读了全部七张有实质内容的位图图片；关键词在其中任何一张都没有出现。但第 20 页的案例图——一家私人银行的财富来源核查流程——把它的六个软件智能体每一个都画成了卡通机器人图标，两个人工环节则画成人形剪影。这份框架把智能体画成机器人，却在任何地方都没有描述机器人。

IMDA, Model AI Governance Framework for Agentic AI v1.5——53 页

计为 0

• robot0
• physical0
• latency0
• machinery0
• drone0
• safety-critical0
• warehouse文本层为 0——第 41 页一张位图图片里出现一次，是架构图上的标签 “Data Warehouse”

计数后，确有出现

• hospital子串 2，整词 0——两次命中都落在 “hospitality” 一词里
• healthcare1——第 29 页，高风险领域的一个例子
• machine3——machine-readable、machine speed、a victim's machine
• device2——“controlling devices”、“personal devices”

语气

• should83
• must2

计数于 2026 年 9 月 11 日，pdftotext / poppler 26.01.0，子串，不区分大小写。

• 文本层计为零——一个测出来的否定，画成零，而不是省略
• 计数后，确在文本中出现

框架离一个物理执行器最近的地方，是第 5 项里的三个词：智能体采取的动作 "such as writing to files and databases, controlling devices, or performing transactions."，即写入文件与数据库、控制设备，或执行交易。

第 11 页："Because agents take actions in the real world, when they malfunction, it can lead to harmful real-world impact."，即因为智能体在真实世界中采取动作，一旦失灵，就可能造成真实世界的伤害。接下来列出的伤害是：预约被定到错误的日期、有缺陷的代码、带偏见的招聘与采购、数据泄露、一个被删除的生产代码库。第 38 页上，智能体需要应对的 "real-world situations"（真实世界情境）要在测试中用 "tool integrations, external APIs, and sandboxes"（工具集成、外部 API 与沙箱）来模拟。这份文件的真实世界，是记录的世界。

镜子里的那一份

IMDA Guidelines for the Use of Autonomous Mobile Robots for Delivery within Commercial Buildings，即 IMDA 商业楼宇内配送用自主移动机器人使用指南，3.0 版，2021 年 1 月，共七十六页。由 IMDA 牵头、JTC、BCA、HDB 等参与的自主配送工作组编写，内容是 RMF（Robotics Middleware Framework，机器人中间件框架）、电梯与门的集成、互操作性以及安全完整性等级 [单一来源——一份托管副本，其前言自述了作者与工作组]。用同样的方法计数：artificial intelligence 2，一次是第 15 页缩略语表里的条目 "AI artificial intelligence"，另一次是一个云端后台里的 "artificial intelligence libraries"。machine learning 1。healthcare 0。

一个机构。两份文件。一百二十九页。2026 年的框架没有引用 2021 年的指南，这条引用也没有藏在别处。智能体框架的附录 A 列出五十一项延伸资源，没有一项是机器人学的来源；第 53 页的致谢点名八个新加坡政府机构——CCS、CSA、GovTech、HTX、IPOS、MOE、MDDI、MAS——其中没有卫生、交通或工作场所安全的监管者。

新加坡不缺机器人方面的文书，任何一份假装它缺的推介，合规人员在第二页幻灯片之前就会指出来。TR 108:2022，Safe deployment of robot systems in the healthcare sector，即医疗保健领域机器人系统的安全部署，出自制造标准委员会，六十二页。我们没有读过它——正文在 Singapore Standards eShop 的付费墙后面——所以我们对它要求什么不置一词；标准机构自己的目录记录把 2022 年版列为现行版，并说它涵盖医疗机构内机器人系统的系统级建议、安全评估框架与风险评估。SS 713:2025 覆盖机器人与基础设施之间的通信。这道缺口的机械那一半，是我们已经发表过的两篇文章：把一台医院里的足式机器人推到全部适用范围之外的那些范围条款，以及2027 年 1 月存在、背后却没有协调标准清单的那条符合性路径。智能体按软件来治理，机器按机械来治理，而把两者接起来的那份文件不存在。

不是谁的错，但照样咬人

这里没有任何一处是错误。第 6 页把对象定义为软件系统，文件做的就是它说要做的事。所以主张收窄，收窄到这份框架和新加坡 2026 年的两份智能体文件：这里五十三页，CSA 增编一百零六页，合计一百五十九页，robot 在两份里都是零 [推断——对两份已计数文件作算术]。

收窄还有第二个理由：别处的一份通用 AI 安全框架确实点名了会动的机器。中国的《人工智能安全治理框架》2.0 版，英文版题为 AI Safety Governance Framework 2.0（TC260 全国网络安全标准化技术委员会与 CNCERT 国家计算机网络应急技术处理协调中心，2025 年 9 月 15 日，中英双语共九十二页），在 §4.2.3(d) 写道："对于智能辅助驾驶、无人机等依赖对物理世界强感知的人工智能应用场景，在投入使用前对感知系统进行在大面积遮挡、强电磁干扰等极端条件下的测试"；在 §4.2.3(c) 写道："在引入高度自主操作执行能力时，同步建立'熔断'、'一键管控'等措施，实现极端情况下迅速干预止损"。在转述别人对它的说法之前，先把这份文件读一遍：英文 robot 出现零次，"机器人"出现一次，是"社交机器人"——网络空间里的社交 bot。两类在世界里移动的机器，被点了名，并配上一项投用前的感知测试。IMDA 的框架一类都没有点名。有一个司法辖区就足以让窄主张成为诚实的那个；英国、NIST、日本经产省、韩国与欧盟 AI 办公室都没有查过，这里的任何话都不应被读成好像查过。

这道缺口之所以咬人，原因来自人因工程文献，而不是来自我们。Parasuraman 与 Manzey，Human Factors 52(3)，2010 年 6 月，第 381 至 410 页：自动化自满（automation complacency）"is found in both naive and expert participants and cannot be overcome with simple practice"，即在新手与专家被试身上都存在，无法靠简单练习克服；自动化偏见（automation bias）"cannot be prevented by training or instructions, and can affect decision making in individuals as well as in teams."，即无法靠培训或指令预防，既影响个人决策，也影响团队决策。这是你最想建的那类系统的代价——"systems characterized by high reliability and high levels of automation, particularly in high task load situations."，即高可靠、高自动化程度的系统，尤其在任务负荷高的情形下。关口下面的机器越好，关口就退化得越厉害。唯一改变了行为的干预是问责：在 Skitka、Mosier 与 Burdick 对 181 名非飞行员在飞行任务仿真中的研究里——按 Parasuraman 与 Manzey 的转述——"participants who felt responsible for overall performance or accuracy also showed more attentive automation verification behavior than did participants in all the other groups."，即感到自己对整体表现或准确性负有责任的被试，比其他所有组都表现出更专注的自动化核查行为。

欧洲的立法者已经把同一种失效模式写进了有约束力的法律：Regulation (EU) 2024/1689 第 14(4)(b) 条要求监督者能够 "to remain aware of the possible tendency of automatically relying or over-relying on the output produced by a high-risk AI system (automation bias)"，即始终意识到自动依赖或过度依赖高风险 AI 系统输出的可能倾向（自动化偏见）；第 26(2) 条把这件事定为部署者的义务："assign human oversight to natural persons who have the necessary competence, training and authority, as well as the necessary support."，即把人工监督交给具备必要能力、培训与权限、并获得必要支持的自然人。

所以，一道没有人测量的人工关口，就是框架在自己第 11 页点名的那种失效模式。这就是为什么第 30 页的两个数字是 §2.2.2 里更重要的那一半，检查点是次要的那一半。

没有人发表过的，是这样一道关口让一支机群付出什么代价。我们在 2026 年 9 月 11 日检索了每小时批准次数、批准机制下的操作员与机器人之比、关口引起的延迟，这是第二轮，距离得出同样结果的第一轮又过了两个月的文献。什么都没有。搜回来的是遥操作数据采集的吞吐量，那是另一个量，不是替代指标 [推断——一个有界的否定，并如实说明]。最接近的机器人学结果是 HMCF（arXiv 2505.00820），报告任务成功率比此前的规划方法提高 4.76%；那是一个仿真数字，论文的真实世界测试只作定性描述，没有数字。关于这份框架的大多数文字，是没有打开它就写出来的：一篇被广泛转载的评述称它为 "the first comprehensive regulatory framework built specifically for autonomous agents, requiring each agent to carry a verifiable digital identity"（第一份专为自主智能体建立的综合监管框架，要求每个智能体携带可验证的数字身份）[二手]，而它既不是监管框架，五十三页里也没有任何这样的要求。

我们将要公布的两个数字

我们在机器上什么也没有测过。没有台架、没有试验装置、也没有任何一台跑起来过的原型，所以我们没有否决率可以报告，也没有审核响应时间。今天我们给出的任何关于我们自己关口的数字，都会是编出来的。

我们将为 Crew 公布这两个数字，采用 IMDA 的定义而不是我们自己的，这样定义就不是我们事后可以挑选的部分：人工否决率，"the frequency at which humans reject or modify agent actions"（人工拒绝或修改智能体动作的频率），以及审核时的人工响应时间——并对照 IMDA 自己的读法：比率低 "may signal rubber-stamping behaviours"（可能预示橡皮图章式的行为），时间短 "may signal automation bias or review fatigue"（可能预示自动化偏见或审核疲劳）。这两个数字告诉一家医院，它楼里的那道批准关口是一项控制还是一道形式；而如果结果难看，它们也是我们最不愿意公布的两个数字。

IMDA v1.5, §2.2.2, p. 30——人工否决率对人工响应时间

否决率低

• ……且审核时间短两种读数都触发。“A low rate may signal rubber-stamping behaviours.” “A shorter time may signal automation bias or review fatigue.”
• ……且审核时间长一种读数触发。“A low rate may signal rubber-stamping behaviours.”

否决率高

• ……且审核时间短一种读数触发。“A shorter time may signal automation bias or review fatigue.”
• ……且审核时间长两种读数都不触发，而 IMDA 没有为这个象限提供任何读数。框架点名的是失效信号，不是一条谁能通过的门槛。

按 IMDA 的定义画出——没有数据，没有任何测量。这里没有画任何一个点，也画不了：我们没有台架、没有试验装置、没有任何一台跑起来过的原型，所以没有我们的否决率、也没有我们的审核响应时间可以放上去。

• IMDA 的两种失效读数都触发
• 其中一种触发
• 都不触发，文件对这个象限什么也没说

这是一个承诺，不是一个结果；在数字出现之前，它值一个承诺所值的那点分量。仍然把它写下来。读到这里的买方，对任何要把智能体放进自己楼里的厂商，都有四个问题：哪些检查点需要批准，批准采取什么形式，批准者联系不上时会发生什么，以及否决率和审核响应时间一直以来是多少。前三个问题，今天在一份已发布的新加坡文件里有答案。第四个，是拿来盯住我们的那一个。