九月十三号晚上刷到这篇，arXiv:2609.14592，Kantarcioglu 的 vision paper，之前在亚特兰大那场 ACM AI Summit 26 上讲过一轮。标题里有个词：Accountable。
我第一反应不是"这方向不错"，是——这不就是值班表上那点破事，终于有人给它起了个正经名字。
论文的核心主张，我认：问责是部署层面的属性，不是模型自身的属性。
现实就是这么长的。模型的准确率可以漂漂亮亮挂在 dashboard 上，公平性每季度过一遍，可解释性那套能攒出一份给合规看的报告——然后它照样在某个没人预料到的角落把事办砸。
补一刀：模型不给你打电话。部署会。
"部署"这词论文用得准。它不是个时间点，是个持续状态。上线那个下午不算部署，部署是之后每一天它跟环境互相改造：业务方开始依赖它，运维把它的阈值调宽过一次，某人写了个绕过它的脚本，有天这脚本变成了流程的一部分。
问责得挂在这一层。挂在模型上，体检的是鱼，出事的是水。
我手里有个监控配置，看一眼就知道裂缝在哪。
alert: model_latency_p99 > 800
alert: error_rate > 1%
# 漂移？
# 漂移不是告警，漂移是季度报表上的一个圈
上线前那套模型中心的评估——准确率、鲁棒性、公平性、可解释性——本质是在一池静水里测鱼游得好不好。论文说得客气，叫"当 AI 系统处在不断变化的社会技术环境中时，仅靠这些属性并不充分"。翻译过来：水池会漏，鱼在换水，你手上那套指标是上个月测的。
分布偏移、制度约束、人的反馈回路、多个 agent 互相作用——论文把这些归进"情境"那一栏。在我这儿它们不叫情境，叫事故。
四个支柱我扫了一遍。前两个——依赖情境的失效模式、隐私保护型的问责测量——留给会算的人。
我盯着的是后两个：面向代理式 AI 的系统级风险分析，和把技术失效转化成运营与制度风险。
先说 agent 那条。现在把 agent 往生产环境塞的团队不少了，论文专门列了"多个 AI 代理之间的交互"，谁打算让 agent 碰生产配置，把这句话打印出来贴显示器边上。
agent 的危险不在于它犯错。人会犯错，这我接受。它的危险是它不会说"我不知道"。你不给任务它不拒绝，你给它一个它干不了的活，它也给你一个干得很像样的结果。这是我见过最贵的一种毛病。
第四个支柱，把技术失效转化成运营和制度风险——说白了就是翻译。
把技术语言翻成钱和责任的语言。这活儿我在值班室里干过太多次：一张图、三个数、两句话，让会议室那帮人明白刚才那两个小时烧掉的是什么。
论文想把它工程化，是好事。可翻译真做起来，立马变成政治问题。这次失效算谁的？运维说阈值是业务拍的，业务说模型给的概率本来就是概率。模型背后站着那个季度要交付的人。三句话，会开完，结论"下次注意"。
我本来想写"归因是政治问题，不是技术问题"。写到这儿得退半步——不全是。
技术上确实缺东西。跨组件的失败归因，日志散在三四个系统里，时间线对不齐，人那个环节的操作压根没留痕。想让"在技术组件与人类组件之间归因失败"变成可执行的动作，第一步是让人也留下痕迹。而一线一直不太愿意干这个——留了痕，以后就有人能指着这条痕问你。
你看，又绕回政治。行，那就是政治问题。
我见过一份事故报告的措辞修改：
- 操作员看到告警后未做二次确认，直接采纳了模型建议的变更
+ 在高度自动化的处置流程中，人机协同环节存在优化空间
第一行是人话，第二行是能拿去过会的。改完，责任从流程里蒸发了，下次照旧。
所以这件事上我特别警惕让 AI 帮我"润色"复盘。它的训练目标是让文字别刺人，而复盘需要的那点刺，正好是被它磨掉的那块。
论文说要建立"可测量、持续、可执行"的问责机制。三个词，最要命的是"可测量"。
可测量意味着阈值。阈值意味着有人得定一个数，说超过它就不接受。这数谁定？定完了真出事，是定数的人背，还是值班的人背？
我见过的 SLO 基本都这么来的：先拍一个，被烧两回，往上调一点，再烧再调。调到最后它变成一个大家默契地不去看的东西。error budget 花光了也没人真停发版——deadline 在那儿摆着。
说点正经的。我挺希望这套东西能成。
四个支柱也好，给安全关键场景铺一套基础原则、数学工具和系统架构也好，真做出来了，也许以后凌晨三点的电话能少一点——至少不用我一个人凭直觉判断"这个告警要不要紧"。
在那之前，值班表上那个名字还得是人。是人，就还得背锅。
所以我会做一件很小的事：以后写 runbook，多写一行——这条阈值是哪次事故拍出来的。写进去，下一个接手的人至少知道它不是天上掉下来的。