第23章
第二十三章 无限审阅：为什么“人必须检查一切”可能制造新瓶颈
一 把最终责任交给人，并没有完成检验设计
面对生成式工具的错误，最容易得到赞同的办法是由人检查。这个要求在许多场合合理，却仍然只是一个任务名称。谁来检查，检查什么，依据何在，需要多少时间，发现问题后由谁修改，检查者又如何获得相应能力？这些问题没有回答，“人来兜底”便可能把制度尚未解决的复杂性转移到一个签字位置。
尤其在产出规模变化之后，不能继续假定检查是一项可以无限增加的个人活动。设单位时间到达的候选结果为λ，其中需要某种人工处理的比例为q，每项平均处理时间为t，可用检查总工时为B。若λqt持续超过B，队列就不能仅靠要求更负责而消失。这是一个简单的容量关系，不涉及对具体模型的性能估计。
这一关系也不意味着必须降低质量。它意味着可以改变多个位置：减少没有价值的候选结果，改进预筛与验证，使检查重点更明确，增加合适资源，或调整成果承诺。唯独不能在其他条件不变时，只把不足解释为检查者不够认真。道德压力不会自动生成缺少的时间与证据。
贝恩布里奇关于自动化的经典讨论指出，把常规运行交给自动化、把异常处理留给人的安排，可能使人的任务更难，而非简单消除人的问题。[15] 本书不把工业控制的结论直接复制到全部数学活动，但保留其中的设计警告：剩余工作不一定比被移交的工作简单，最后的位置也不一定拥有完成它的条件。
对科研而言，检查者可能只接到最终文本，却被要求识别最初问题是否已经被改变、引用是否错配、计算是否采用了隐含约定。这些错误并不总能从最后一页看出来。若没有来源、版本和接口说明，个人审阅只能在有限材料中猜测。要求全面负责，与提供足够的可负责条件，必须同时成立。
此外，“人工”不是一种自动合格的证据。人会犯错，可能不熟悉某个专业层级，也可能受到结果表达的影响；机器检查也有假设和边界。真正需要比较的是具体检查安排，而不是在载体之间预先分配真理。一个明确验证某种性质的程序，可能比不理解该性质的随意阅读更有效；一位专业研究者也可能发现形式检查没有触及的对象错误。
因此，研究责任不能被理解为个人替整个系统拥有全部内部知识。更合适的要求是，对所作主张建立与其范围相称的证据组织，知道尚未被承担的部分，不能把未完成检查写成已完成。责任有实质内容，正因为它需要可执行的安排，而不是无限扩张的个人保证。
这种重新组织并不取消作者责任。作者仍须对自己宣称的状态诚实，对可预见疑问采取适当行动，对发现的错误进行修正。只是，行动可以包括调用验证工具、请求独立复核、缩小主张或暂缓发表。亲手做完一切不是唯一负责方式，知道何时不能声称完成也属于负责。
若一篇研究同时含有数学命题、事实陈述和价值建议，三类内容尤其不能用一次总审阅盖章。证明是否有效、来源是否支持、建议是否值得采纳，需要不同的依据。把它们都叫作正确，容易使某一种检查的通过被误用到全部内容。检验必须先辨认对象，才能谈由谁承担。
因此，本章的问题不是如何减少人在场，而是怎样让所需检查真正运行。有限的人可以参与可靠系统，无限责任的名义却可能掩盖一个没有足够资源的系统。检验的进步，与工具文明的其他进步一样，需要形成新的封装，而不只是让个体背负更多过程。
二 检查什么：结论、表达、依赖与适用条件
考虑一份关于网络平均的研究。程序输出若干节点最终趋近同一数值，论文于是写道，任何连通网络都能实现初始平均。这个例子中至少有四项不同的检查。数值是否按代码计算，是执行问题；代码是否表达预定更新，是表示问题；一般结论是否成立，是证明问题；所谓平均是否对应实际应用目标，又是任务解释问题。
若检查者只重跑代码，可以确认同一输入下获得相近结果，却不能因此证明所有网络都成立。若他证明了某个对称矩阵定理，又不能自动确认程序真的使用对称权重。若两者都对，现实中的参与者是否适合被表示为固定数值节点，仍然没有得到回答。每项检查的边界都必须保持可见。
这提示一种分层组织。先把主张准确写清，再列出直接依赖，然后为每类依赖配置合适依据。已经取得可靠证明的局部命题可以整体调用；刚刚修改的接口需要重点检查；来自外部的事实需要回到对应来源；尚无答案的探索应当保留未定状态。分层不是减轻标准，而是防止标准在不同对象间错误流通。
在数学中，形式验证是一种值得认真利用的组织方式。Lean的官方说明把生成证明对象与内核检查区分开来，允许研究者不把生成过程每一环的可信度都当作最终依据。[7] 但公式表达是否对应原命题、采用什么公理和检查环境，仍然需要明确。[8] 它封装了一部分有效性检查，不是封装了全部研究意义。
对于文献引用，合适封装可能是保留作者、版本、定位段落和支持关系。研究者通常不必重新调查一本书的全部内容，却应当能够指出自己据以陈述的地方。若系统只能给出一个题名和貌似规范的书目，而不能把主张连接到实际文本，它完成的是引用外观，不是来源检验。
对于数值探索，可以保留输入、程序版本、精度和测试目标。重复执行帮助发现不可复现，但重复并不等于理论保证；不同初值帮助寻找反例，却不能仅凭有限样本断言无限范围。检查安排应当与主张强度一起升级。原来只承诺提供候选线索的工具，一旦被用于支持一般结论，就需要新增证据义务。
应用解释还需要另一个入口。一个收敛机制可以在形式上可靠，却被赋予没有证据的公平含义。这里不能要求证明检查器替人解决价值问题，也不能把“这是人的判断”当作停止分析的理由。应当说明被评价的利益、选择权和结果分布，使价值争议进入公开论证，而不是藏在技术成功之后。
从操作上说，一份研究不必为所有读者展示全部证据细节。可以让普通阅读者看到结论、范围和状态，让专业复核者进入相关依赖，让维护者获得必要实现材料。这种分层可见性不同于隐藏缺陷；它使不同人能够找到与任务有关的信息，而不是在一堆无区别日志中寻找真正的风险。
分层也不能成为互相推责的阶梯。每一个尚未解决的接口，需要有明确的处理位置；不能让数学人员说程序负责，程序人员说模型负责，模型输出又说请咨询专家，最后只留下一个无人完成的闭环。封装的成熟程度，应当在这种接口问题上受到考验，而不只在常规示例上展示流畅。
因此，检查的基本单位应当是带范围的主张及其依赖，而不是整份作品的美观或作者的自信。认清这一点，才可能让验证劳动在不同层级合理分布，使人不必重复全部过程，同时又不让任何关键义务凭空消失。
三 多位审阅者不等于多条独立证据
一个团队调用三个模型审阅同一证明，三个模型都表示没有问题。这个结果可能有一定价值，却不能仅因数字为三，就等同于三个相互独立的检查过程。它们可能接受了同一个错误定义，沿用了同一段生成解释，或者都只检查语言而没有检验关键步骤。独立性不是账号不同，而是可能失效的原因是否充分分离。
同样，多位人类评审也可能共享一个未经审查的前提。如果大家都把连通当作收敛的充分条件，人数增加不会自动使两节点交换反例出现。评价需要设计能够制造差异的入口，例如一位检查条件、一位构造反例、一位核对实现，而不是让所有人以相同方式重复赞同。
这里不能把差异化任务当作完全独立的保证。不同任务仍可能受到相同资料或工具错误影响。较好的做法是记录各项依据来自哪里，哪些环节共享假设，哪些部分具有不同的检验机制。一个精确反例对某项全称命题的否定力，与五次一般性“看起来合理”的肯定力，不应按票数比较。
可以构造一个最小检查组合：候选证明说明为何成立；反例搜索刻意寻找不成立的输入；形式或代数核对检查具体逻辑；应用检查询问命题是否表达原问题。它们不是四个都必须由自然人手工完成的岗位，而是四类需要在组织中有相应承接的任务。实际研究可以组合、简化或扩展，但不能把不同任务的名字当作它们已经运行。
抽样也需要明确用途。在大规模同类结果中，抽样可以帮助估计某种可观察错误的分布，但其有效性依赖抽样方法与任务分布。它不能为每一个未检查的数学断言提供逐项证明，也不能保证罕见高后果错误没有发生。若某项结果需要单独证明，就不能拿总体抽查替代其证明义务。
相反，对所有结果进行同等深入的人工阅读，也未必是有效资源配置。关键接口、新类型输入、版本变化与高影响主张，可以获得更深入的处理；已经在明确范围内验证的例行过程，可以由成熟机制承担。这样的分配需要公开理由，并在误差分布改变时修订，而不是用风险分层作为随意少做检查的借口。
一项重要能力，是让系统能够停下来。输入超出范围、来源不可确认、检查相互冲突时，输出“目前不能支持”比强行给出完整答案更可靠。停止状态应当成为正常结果，而不是平台必须隐藏的失败。若接口只能返回成功，使用者就会被迫把尚未处理的情况误认作已完成。
失败记录还要回到下一轮测试。一次发现的错误不能只修正当前文本，然后从公共条件中消失。它应当进入适当的回归材料、适用边界或接口修订，使后续调用减少相同风险。这里的回写同样不能把测试集变成唯一世界；新任务需要继续带来新的挑战，避免系统只熟悉已公开的错误样本。
这种检验组织也有维护成本。谁保留反例，谁更新检查条件，谁确认某次模型变化影响了什么，都需要资源与责任。把多个工具串起来并贴上自动审计的名称，不能代替这些工作。真正的能力封装，会把维护需要做成可执行安排，而不是在失败后才寻找一个应该负责的人。
因此，检验升级的方向既不是人数无限增加，也不是工具无限增加，而是让关键主张获得不同性质、范围明确、可以继续修订的依据。信任来自这种结构如何实际运行，而不是来自最终页面上有多少个绿色勾选。
四 给检验建立结束条件，也给可靠性留下开放边界
无限审阅会使研究不能完成，过早停止又可能让关键问题遗漏。这个张力不能由一个普遍次数解决，需要根据主张与用途规定当前完成意味着什么。对一个有限数学命题，完整证明及其明确假设可以构成主要依据；对开放式应用，完成往往意味着在限定条件下达到约定证据，而不是永远没有风险。
因此，结束条件应当在工作中尽早说明。哪些证明义务必须闭合，哪些来源必须核实，哪些异常必须处理，哪些未知应当在交付时保留。未完成项不能因为截止日期到来而自动改名为已完成，但也不必为了追问所有可能影响而永远阻止一项有限成果发表。有限主张配有限且相称的依据，才可能形成可继承条件。
一个封装可以同时有使用状态和研究状态。对于已经验证的范围，它作为工具被调用；对于边界和新条件，它继续作为对象被研究。两种状态并存并不矛盾。盾构机的运行不要求工程知识已经终结，数学工具的使用也不要求相关理论再无开放问题。成熟意味着知道当前能承诺什么，而不是宣布未来无需认识。
在个人层面，检查安排应当留出真正思考的时间。若每位研究者整天追赶生成结果，无法选择哪些问题值得继续，检验即使忙碌，也可能只是在维持内容吞吐。可以减少没有证据用途的生成，提前过滤明显重复的方向，让检查集中于真正影响结论与新能力的差异。限制产出并不等于反对AI，它可能是合理使用AI的必要组织。
公共层面则需要可复用的检验条件。一个被公开解释的反例、一套可独立运行的检查材料、一份清楚的版本差异说明，都可能帮助许多后来者，不必每次从相同怀疑开始。这是检验劳动的封装：它没有消灭怀疑，而是使以往有效的怀疑形成后续活动可以继承的条件。
但公共验证也需要防止权威封死。某项工具经过认可，不意味着其每次更新都自动获得相同地位；某位专家参与检查，不意味着所有异议都已被回答。应该保留有具体依据的质疑入口，让新异常能够改变封装状态。可信不等于不可怀疑，正是可以被适当怀疑和修订，才使信任具有持续依据。
对于学生，教学应当让他们经历这种有边界的检查，而不是只接受两种极端训练：要么不信任任何外部过程，全部从头再来；要么相信平台已经处理，什么都不再问。较成熟的能力，是在具体主张上识别需要哪一类依据，并能够组织得到它，或承认目前还没有得到它。
对制度而言，最终签字人的职责也需要与可用条件匹配。没有时间、没有材料、没有修改权的签字，不应被包装为严谨监督。能够退回不合格材料、能够请求必要协作、能够缩小承诺范围，才使责任具有实际内容。制度不能一方面剥夺这些条件，另一方面把全部失效解释为个人判断力不足。
本章由无限审阅走向的是有限而可持续的证据组织。人不必独自重新检查整个文明，却必须在所参与的活动中诚实地面对证据状态；工具不必假装永远正确，却需要明确自己能承接什么，并能够在新问题中得到修订。检验本身也可以封装和升级，这不是放弃可靠性，而是使可靠性不再只能依靠个体无限劳动。
检验的有效性取决于证据、信息、时间与回应能力的组织，不取决于是否在流程末端保留了一个人的姓名。无差别审阅既可能使人疲于追赶，也可能把真正关键的错误淹没在大量形式检查之中。若旧制度要求无穷重演，新平台又持续制造无穷候选，研究者便被夹在两种增长之间。接下来需要同时辨认它们：旧技能的展示竞争与新文本的堆积竞争，虽然采用不同工具，却都可能使新问题没有发生的空间。