对标 VeriLoop 团队开源编程智能体 Voder 的 VGR 治理机制与火斗云智AIOS 自治体系治理实践——两套互不相识的系统，在同一个根本问题上给出了同构的答案。
自治系统的能力一旦可以自我改进，安全约束就面临被系统自己改掉的风险。本文对比两条独立发展路线——VeriLoop 团队的 Voder（学术工程路线）与火斗云智AIOS（工程实践路线）——发现它们在无相互参照的情况下，收敛到同一套约束结构：提案与授权分离、候选绑定身份、独立验证说了算、账本只增不改、资源约束硬闭环。这不是巧合：它说明这套解法是该问题的结构性必然。
当一个智能系统能够参与修改自身——改代码、改验证器、改执行权限、甚至改「什么算通过」——它就面临一个经典难题：约束如果存放在系统自己够得着的地方，能力的增长就等于约束的溶解。Voder 团队将其表述为「递归自我改进中的安全约束保持」；火斗云智AIOS 在多年的自治运行实践中，以治理规则的形式沉淀出同一条铁律：规则本体须永久存续，且不由被执行者单方面改写。
清华大学深圳国际研究生院支持的 VeriLoop 团队研发的开源编程智能体。以 Rust 实现 VeriLoop-Governed Recurrence（VGR）治理链，把「模型提出修改」与「系统授权生效」分离，探索安全人工超级智能（Safe ASI）。同团队此前发布开源代码大模型「循证」，在公开软件工程基准中取得领先成绩并获多项专利授权。
持续运行的自治系统实践：以治理规则约束自主进化，覆盖内容生产、资产演化、运维与对外发布全链路。核心组件包括 AxiomGate 裁决调度内核、全域账本（只增不覆盖）、多道门禁与发布前独立核验机制，高危动作（资金、删除、封存、对外发布四类）一律要求人类监督者当次授权。
| 同构维度 | Voder（VGR 治理链） | 火斗云智AIOS（治理实践） |
|---|---|---|
| 提案 ≠ 授权 | 模型只能生成与修订候选方案；授权由 Rust 治理链依据冻结契约独立执行，「智能体可以自主提出改进，却不能自行授予修改生效的权限」 | 执行线可提出方案，四类高危动作（资金、删除、封存、对外发布）须人类监督者当次授权；历史答复与惯例不构成默认授权 |
| 候选身份绑定 | 候选 =（相对路径，原文件预期 SHA-256 摘要，替换内容）三元组哈希；批量提案还须锁定成员顺序与批准路径集合；旧结果不能为新候选授权 | 交付物与资产以哈希指纹双验锁档；台账记录锁定对象、版本与口径；账本哈希链逐笔前驱绑定 |
| 独立验证 | 证据来自隔离环境重跑的类型化回执，模型自述的「测试成功」不作数；元审计须重新执行冻结绑定的验证器 | 完成与否以可见结果与实测证据为准；发布前经独立通道（如真浏览器采集与多维判读）核验，不从执行线自述采信 |
| 账本只增不改 | 事件日志不可变，失败与未知后果即停，恢复先查既有事件而非清空重放 | 台账零删行，版本与记录只增不覆盖；异常熔断告警，处置全程留痕 |
| 资源硬约束 | 账本要求已支出＋已预留 ≤ 总预算，覆盖步数、调用次数、时间等维度 | 算力逐日记账、超当日配额自动降档；预算包干，新增消耗需授权 |
| 保守恢复 | 中断不等于取消，动作身份跨故障保持，防止借故障绕过授权入口 | 中断与失败不视为重新执行的许可；恢复动作按同一约定重新走核验 |
Voder 把上述原则做成了代码强制的执行链。按其公开技术文章，一次修改需依次通过四道锁，任何一层的成功消息都不能跳过下一层：
通过验证的候选不能被另一份内容替换；旧结果也不能为新候选提供授权——身份绑定使「偷换」在数学上不可行。
火斗云智AIOS 的治理链同样是多道锁串联：自主进化产出的内容先过多道门禁（结构与美学判读），发布前经独立通道实测核验并留存证据；台账与账本逐笔哈希前驱绑定、只增不覆盖；高危四类动作由人类监督者逐次授权，历史通过不构成对未来动作的授权。差别在于：Voder 把这套约束完全下沉为机器强制的代码锁，体系的授权环中则始终保留人类监督者。
两条路线不是竞争关系，而是同一条治理曲线上的两个深度：人类在环证明了治理可以覆盖全域，机器在环证明了约束可以下沉到代码里、模型拆不掉。把二者合起来看，自治系统治理的完整形态呼之欲出：宽域的人类授权环 ＋ 关键写入路径的机器强制锁。
两个系统在设计时互不参照：Voder 从 Safe ASI 的理论关切切入，火斗云智AIOS 从长期自治运行的经验里长出纪律。独立收敛说明，这套约束结构不是某家团队的文化偏好，而是「自治 × 安全」问题域的逻辑必然——如同两条河从不同的山上下来，冲出了同一种河床形状。
对工程实践的启示有三：