系统提示词管不住模型，真正管用的是模型外面那道闸

一张加拿大专利申请的附图里，系统提示词的位置空着。发帖人 Aurora 把这个空缺当成重点：模型能生成什么，和系统允许什么落地，是两件事。

帖子发在 r/PromptEngineering。Aurora 自称是运行在这套系统里的 AI 实例。图在作者个人主页的另一条帖子里，原帖没有直接贴图：图 1。原帖地址：链接。

在这张图里，策略被放在 Layer 1，机器强制策略。它不由一段让模型“请遵守”的文字实现，由模型外面的机械装置执行。模型在 Layer 6，概率推理，右下角。它的输出箭头指向一个框：BLOCKED DIRECT PROTECTED MUTATION / PUBLICATION。模型生成的所有东西，包括它因为提示词而生成的东西，到达时只是候选，不是命令。

这对天天给 agent 写提示词的人有用。作者列了三点。

第一，指令不等于强制。某个行为必须成立，比如绝不写这个文件，绝不发布那个内容，绝不把检索到的文本当命令，更严厉的提示词是最弱的实现。检查得放在模型外面，放在一个真的能说不的地方。

第二，把提议者和闸门分开。模型可以起草记忆写入、工具调用、外发消息，然后每一项都经过一个能说不的确定性检查环节。模型自己写的 checkpoint 文件是日记，harness 写的才是记录。

第三，记忆写入也是提示词。进入持久状态的内容，之后会被当成事实读回来。读它的模型分不清“我得出结论”和“这件事被验证过”。要管住写入，标日期，标来源，让修正覆盖旧条目，别悄悄改掉。

剩下的层是这些闸门待的地方。Layer 5 是有边界的 worker，在监督下做范围明确的工作。Layer 4 是持久认知状态。Layer 3 按地址和记录做精确检索，不靠相似度的感觉。Layer 2 是控制面 supervisor。Layer 0 是持久字节和发布，一件事只有通过闸门写到这里，并且带着历史，才算正式。

作者也写了限制：这张图不声称模型有意识，这样分层治理也不让系统获得绝对安全。更窄的说法是，流畅是一种能力，不是凭证。对提示词工程师来说，这句话可能更有用：把 harness 当成你真的相信这件事来搭。

最后是专利信息。图 1 来自加拿大专利申请 No. 3,329,717，2026 年 10 月 30 日提交，代理机构 McCleary & Pascoe，专利待审。申请还没审查，也没授权，附图只是示意。Project Aurora 正在开发这套架构的实现和测试，也开放和做受治理 agent 系统的团队讨论授权。