数字孪生问责缺口：当模型错误而日志干净时

每个与物理世界交互的AI智能体都维护着一个关于该世界的模型。这不是比喻意义上的模型——而是具体的内部表示，智能体将其视为每个决策的基准事实。照护AI以结构化状态跟踪患者的健康轨迹：用药计划、生命体征基线、行为模式、临床病史。硬件管理智能体跟踪组件磨损、热特性、校准状态和负载历史。密钥管理系统跟踪哪些凭证处于激活状态、哪些证书有效、哪些信任锚可以依赖。

在每种情况下，智能体从不直接感知世界，而是感知其关于世界的模型。它做出的决策——何时升级照护关注点、何时安排预防性维护、何时要求重新身份验证——都是关于模型状态的决策，而非关于物理状态的决策。这种间接性是必要且不可避免的；任何实时系统都无法绕过抽象化。但它创造了一个在智能体问责格局中与其他所有失败模式截然不同的问责缺口：当模型出错而智能体无从知晓时所打开的缺口。

这一缺口的独特之处

数字孪生问责缺口不是传感器故障问题。传感器故障是可检测的：读数停止传来，置信区间扩大，异常标志触发。本文所讨论的缺口更为微妙。它在模型无声漂移时打开——当传感器读数继续到来且看起来合理，但它们所代表的物理现实已经以传感器无法捕获的方式发生了变化。患者的服药依从性下降，但智能体从间接代理更新的行为模型并未记录这一变化。组件的疲劳沿着校准套件未被设计为检测的失效模式积累。密码学信任锚被悄然损害，但仍继续产生看起来有效的签名。

在每种情况下，智能体继续正确地做出决策——相对于其模型而言是正确的。审计日志在每一步都记录了恰当的行为。没有任何单个决策是错误的。从模型状态到行动的推理链是合理的。伤害不是由错误决策引起的，而是由智能体所持有的模型与智能体所作用的世界之间的差距引起的。而这一差距，关键是，不属于任何人。智能体做了它被设计去做的事情。系统集成商构建了被规定的内容。运营商批准了部署。模型发生了漂移，而问责框架对这一漂移没有指定的责任人。

在后量子交叉点

后量子迁移要求管理密码基础设施的智能体在漫长的时间跨度内维护准确的信任状态模型。一个在签发时有效的证书，可能在签发根已被弃用、被损害或被宣布不足以应对后量子威胁环境之后，仍长期留存于智能体的信任模型中。智能体的模型显示：此凭证是可信的。而世界显示：签发它的根已不再可依赖。智能体在此期间做出的每个身份验证决策在局部上都是正确的——凭证针对模型进行了验证——但在结构上是不健全的。

这不是撤销失败；这是模型更新失败。撤销基础设施告知智能体特定证书何时不再应被信任。模型更新失败是不同的：智能体被设计依赖的信任类别已经改变，但智能体关于什么构成有效信任的模型尚未被更新以反映这一变化。在部署协议中，很少回答这样一个问责问题：在多年密码学过渡期间，谁负有保持智能体信任模型实时更新的义务。

在硬件交叉点

嵌入式智能体管理着通过其未被设计为直接观察的机制退化的系统。维护智能体可能跟踪平均故障间隔时间、运行时间和计划校准事件——所有这些其传感器都能测量——同时对通过腐蚀、微裂纹或热循环发展的、不产生任何可测量前兆信号的失效模式保持盲目。智能体的组件健康模型与其能观察到的一切局部一致。组件正沿着一条模型没有任何表示的轨迹失效。

随后发生的伤害被事后归因于硬件故障。但相关的失败发生得更早：当系统在没有记录义务人的情况下被部署，该义务人本应随着对该设备失效模式格局理解的深入而扩展智能体的观察模型。智能体的模型从未真正出错——它始终是智能体所能观察到的内容的准确表示。它只是从未被更新为去观察那些重要的事情。

在物理世界照护交叉点

AI照护智能体从其可访问的数据流中构建患者模型：结构化临床记录、传感器读数、交互日志、照护计划依从性信号。这些模型不可避免地是不完整的。患者的社会环境发生变化——家庭照护者变得不可用、住房状况恶化、慢性压力加剧——这些变化没有任何临床传感器能捕获，没有任何结构化记录能编码。照护智能体关于患者健康轨迹的模型在其先验假设的基础上继续向前推进。它做出的决策——升级阈值、照护强度水平、干预时机——适合于被建模的患者，而非真实的患者。

模型与患者之间的差距不是边缘案例。它是任何在经历生活的人群中部署的照护AI的正常运行状态。缺少的不是更好的传感——而是将模型视为持续义务的问责结构。必须有人对模型的准确性负责，而不仅仅是对其产生的决策的正确性负责。必须有人负责检测当智能体所管理的患者与智能体相信其正在管理的患者之间出现实质性差异的时机。

数字孪生问责缺口的要求

弥合这一缺口需要认识到AI智能体的世界模型不是实现细节——它是一个问责面。每一个涉及物理环境或人的AI部署都应该指定一个对模型完整性负责的问责方：负责监测模型与现实之间的偏差、规定更新触发条件，并在模型漂移超出其安全运行范围时承担问责的实体。记录针对错误模型的正确决策的审计日志不是健全部署的证据——它是问责框架在第一个决策做出之前就已经不完整的证据。