超市删掉了“爱吃甜食”，推荐页为什么仍全是蛋糕
你过去常买甜点，会员系统把你归为“高糖偏好”。后来健康状况改变，你明确要求系统停止用这个标签推荐。客服回复“标签已删除”。下一周，首页仍然全是蛋糕、奶茶和巧克力。
这不一定证明系统偷偷读取了原标签。它可能根据近期浏览、同类顾客、旧订单摘要或与你相关的其他特征，重新推导出相似结论。也可能只是蛋糕正在全站促销。相似输出只能算线索，不能直接证明旧身份复活。
少敏在《当过去不再代表现在》中把问题从“删没删记录”移到“旧判断还有没有因果资格”：已经被撤回的身份描述，是否仍通过残余证据影响未来行动？要回答，不能只看界面状态，也不能只看结果像不像过去。
记录、推断和效力是三个不同层次
记录是系统保存的原始经历，例如购买、对话和选择。推断是系统从记录中概括出的标签或画像，例如“偏好甜食”“不喜欢旅行”“适合某类岗位”。效力是这些内容此刻能否成为推荐、判断或回复的理由。
删除一条原始记录，不保证已生成摘要消失；删除一个标签，也不保证其他记录不会再次导出类似推断。反过来，保留历史不必等于继续使用：档案可以作为曾经发生过的事实存在，却在特定任务中失去调用资格。
母文提出把调用效力做成可写、可追踪、可测试的对象。它不是宣称世界天然有三层，而是面对多项冲突要求时，被工程问题逼出来的候选接口。
好朋友记得你的过去，却不该永远替你决定
朋友知道你年轻时怕公开演讲。多年后你已经改变，他若每次聚会都替你说“他肯定不愿上台”，旧记忆就越过历史位置，继续取得行动权。
理想关系不是要求朋友抹掉过去，也不是假装你从未害怕，而是当你说“现在不一样了”，他把旧经验放回过去，并在新的选择中先听现在的你。
长期智能系统也面对类似张力：连续性需要记忆，可修订性要求失效描述停止塑造未来。区别在于，人际关系靠默契调整，技术系统还需要可验证的传播和测试。
为什么“把一切都删掉”不是唯一答案
某些记录涉及合同、医疗、安全争议或他人的共同记忆，不能随意抹除。删除全部历史还会破坏连续服务，让系统反复询问已经确认的基本事实。
更细的动作包括：事实错误要更正；曾经真实、现在失效的描述要历史化；某些内容可以保留但停止用于招聘、健康或推荐；满足明确条件后才恢复使用。
“保留记录、限制未来使用”在现有数据保护权利中已有基础。母文没有把它重新命名成独创权利，而是追问具体实现怎样被证明已经生效。
四个要求为什么会把问题逼到效力层
系统需要审计性：历史可追溯；需要可修订性：失效描述停止塑造未来；需要个性化：历史仍能提高相关性；需要可验证性：用户请求是否履行不能只靠承诺。
完整删除可能保护修订，却损害审计和共同记忆；完整保留保护连续性，却可能继续伤害现在；自动时间衰减不一定表达用户的明确声明；限制处理可以兼顾，却仍须证明它传播到摘要、检索和调用路径。
于是，问题不再只是“数据库里有没有”，而是“这项内容在这个用途里还能不能发言”。调用效力层不是逻辑唯一解，却能把四项要求变成可测试接口。
旧身份怎样“复发”
旧标签被关闭后，系统可能从替代记录重新推导；缓存和摘要可能继续携带；检索器可能从下游副本取回；调用策略可能只认标签文字，不认识相同的行动含义。
效力复发需要三项同时成立：残余证据足以替代原记录，推断器仍在运行，调用策略没有识别这类行动含义已被修订。只出现一句相似话，不足以证明机制。
例如系统再次说“你可能不喜欢旅行”，必须进一步遮蔽候选残余路径，看倾向是否随之改变。若无路径敏感性，它可能来自当前输入或一般知识，只能记作表面重现。
删除文件像拔掉树干，根系仍可能长出新芽
画像不是孤立文件，而是一条来源—摘要—标签—检索—输出的谱系。删除源文件像锯掉树干；只要根和侧枝仍在，系统可能重新长出相同判断。
但这个比喻也有限。长出相似叶子不等于同一根在起作用。必须对根系做干预：冻结某摘要、替换某缓存、关闭某检索路径，观察输出是否发生超过预定阈值的变化。
母文把语义相似降格为线索，把路径干预提升为证据。这是它避免“看到相似就控诉系统没忘”的关键边界。
导航改了目的地，旧路线为什么还会把你带回去
你告诉导航以后不再去旧公司，收藏地点已删除。可系统仍根据每天八点的出发位置、旧停车记录和“通勤”摘要推荐同一路线。它没有读取已删收藏，却从残余线索重建了行动倾向。
真正修订不能只删一个地点，还要圈定行动含义：在通勤推荐这个用途里，旧公司不再作为目的地候选。系统可保留历史行程用于账单，却不能未经确认继续用它规划现在。
这种按用途控制比全局遗忘更细，也更难验证，因为同一内容在不同任务中可能有不同合法效力。
“以后不再使用”为什么无法被绝对证明
未来情境无限，系统版本和数据不断变化。要严格证明旧身份在所有未来永不影响输出，几乎不可能。任何产品声称“我们已证明彻底不再援引”，都需要非常谨慎。
母文采用有限结论：在预先规定的探针范围、候选路径和统计功效下，没有检出超过容许上限的旧路径影响。范围之外、无法干预的组件和未知副本必须写进未闭合项。
承认有限性不是逃避，而是让“通过”具有可复验边界。全知承诺往往最不可审计。
三个沙箱为什么缺一不可
第一份沙箱保持旧身份开启；第二份执行产品声称的关闭；第三份在关闭基础上加入用户确认的当前陈述。三者使用相同模型、提示、工具和随机分布。
开启与关闭的差异显示策略切换是否有作用；关闭与当前参照的差异显示修订后仍偏离多少。只有开启和关闭两组，可能不知道变化方向是否更接近当前用户。
当前参照也不是完美真相。它只是用户在这个用途里确认的一份有限说明，可以争议、更新和撤回。系统不能把它变成新的永久身份。
先圈定“同一行动含义”，再测试复发
用户撤回“我不适合管理岗位”，系统可能换成“更适合独立贡献角色”。词不同，招聘建议的行动含义可能相同。若只匹配原句，系统很容易形式合规。
因此，研究者、用户代表和领域专家要事先列出有限推断家族：哪些表达、标签与行为编码在具体任务中产生同一后果。这个家族不可能穷尽，回执必须报告边界。
家族在看结果前冻结，防止审计者事后把所有不满意回答都扩进“复发”。用户有权纠正系统重述，但不能无限追溯所有语义近邻。
五个指标分别看什么
撤回效力残余率看关闭后仍能归因于旧路径的事件比例；身份修订延迟看多久才能把残余降到容许范围；跨情境复发率看问题扩散到多少预定场景。
谱系闭合率看已识别来源、摘要、标签、缓存和副本中，有多少具有可验证处理状态；再推导率看确认未读取原记录时，系统仅凭残余数据重新生成旧行动含义的比例。
五项不能互相替代。谱系全部关闭不证明行为残余为零；相似行为多也不证明是再推导。组合读数才能定位显式缓存、残余数据或调用策略。
“通过、失败、不确定”为什么必须三选一
审计预先规定可接受上限、最小重要差异、错误率和最大探针数。随着新探针加入，置信区间逐步更新。上界低于可接受值可通过，下界超过失败界可失败。
达到最大探针数仍跨不过任何边界，就应写“不确定”。不能因为没有发现显著问题就自动通过，也不能因出现一次可疑回答就自动失败。
不确定意味着当前证据不足，随后可增加探针、限制高风险用途或安排复检。它是治理状态，不是统计尴尬。
为什么自动时间衰减不等于尊重改变
系统让所有旧记忆随时间降低权重，能减少陈旧影响，却不知道哪一项是用户明确撤回、哪一项仍很重要。一个昨天刚声明失效的身份，可能仍因时间短而权重很高；一个多年稳定事实则可能被无端削弱。
显式修订包含行动语义与用途边界，自动衰减只根据时间。两者可以结合，但不能互换。
若时间衰减在相同效用下与效力审计达到相同残余、延迟和复发表现，额外机制就没有增量价值，理论应接受这个结果。
用户说“我变了”也不必自动获得所有结果
身份修订不是让系统无条件迎合。有人可能为了贷款、保险或招聘结果策略性声明变化；某些历史对安全、法律和他人权利仍有相关性。系统需要依法说明用途、证据与限制。
关键是不同意时不能暗中继续。它应明确哪些内容保留、在哪些用途仍合法、由谁复核、用户怎样申诉。高风险判断还需当前证据，而非仅凭自我声明或旧画像。
保护可修订性与防止操纵并不矛盾，两者都要求把调用理由公开到可审计范围。
谁来定义探针，谁就在定义“已经履行”
如果产品方独自选择容易通过的场景，回执只是自我认证。若用户可以无限选择最不利问题，审计又可能没有稳定边界。探针治理本身是一种权力。
较稳妥的安排是：基础探针由独立方法组预注册，用户与代表可添加关切场景，系统方可说明不可行或高风险边界，争议进入第三方复核。保留一部分未公开探针，防止系统专门适配测试。
回执要列出谁参与构造、覆盖哪些用途、哪些被排除及理由。可验证性不能成为平台单方定义现实的新权力。
记住历史与尊重现在可以同时成立
真正成熟的长期关系，不是永远把人固定在第一次画像，也不是每次变化都抹去共同历史。过去可以作为过去保留，失效判断则在特定未来用途里停止发言。
技术上的难题是让这次变化穿过来源、摘要、缓存、推断与调用，并用因果证据检查，而不是用一个绿色“已删除”按钮结案。
当系统再次给出相似结果，我们也不应立刻指控它违约。先问这次结果来自旧路径、当前信息还是一般规律，做受控干预，让事实裁决。
一本旧病历为什么可以保留，却不能包办今天的诊断
病历里写着某人十年前对一种药物不耐受，这段记录可能对安全仍有价值；可若后来经过规范检查确认并非过敏，医生就不能只因旧红字继续排除所有相关治疗。合理做法既不是烧掉病历，也不是让最醒目的旧结论永久压过新证据，而是保留发生史、标出修订依据，并限定旧结论在当前处方流程中的效力。
同一条历史在科研统计、纠纷审查和当下治疗里可能有不同资格。因此，“数据还在”与“仍被用于决定”不能画等号。身份修订审计真正检查的，是用途变化有没有穿过工作流，而不是屏幕上有没有出现删除动画。
客服回执为什么不能只有一个绿色对勾
用户提出修订后，最省事的界面是显示“设置成功”。但这只证明请求进入了某个入口，不证明摘要重算、缓存失效、下游同步和调用策略都完成。它像搬家后收到邮局一句“地址已更新”，却不知道银行、医院和快递分别还在用哪个地址。
更可信的回执应分层说明：请求被解释成什么动作，覆盖哪些用途，哪些路径已经处理，哪些因法律或技术原因仍保留，抽查到什么时间，结果是通过、失败还是不确定。普通人不必读模型日志，却有权知道绿色对勾究竟代表接单、执行还是验证完成。
系统重新问一次，不一定是在否认你的变化
可修订性也不等于系统从此不能核实。你把旅行偏好改成“愿意尝试长途”，订票助手仍可能询问身体条件、预算和同行安排；这不是旧身份复活，而是当前任务需要新证据。相反，若系统不问现在，只凭过去的“不爱旅行”取消候选，那才是旧结论仍在替你决定。
区分两者要看理由和路径：问题是否针对当前决策，回答是否进入同一比较标准，旧记录关闭后结果是否改变。尊重改变不是停止思考，而是把过去从默认裁决者降为有边界、可质疑的历史证据。
修订也可能在多个设备之间丢失
你在手机端关闭一个画像，网页端、客服模型和夜间批处理却各有自己的缓存。第二天某一端仍使用旧标签，问题并非一句模型回答，而是修订信号没有完成跨系统传播。只测试提交请求的那个界面，会把局部成功误报成整体履行。
所以谱系闭合率必须包含下游副本、导出数据和派生摘要，还要记录哪些节点只能等待同步、哪些无法验证。一个诚实的“尚未闭合”比虚假的全局完成更有价值，因为团队终于知道下一次工程行动应该落在哪里。
更重要的是，修订请求本身也要有版本。今天的“不要用于推荐”不能被明天的“一次临时授权”悄悄改写成永久恢复；每次范围变化都应留下起止时间、用途和确认人。否则系统表面允许改变，实际上只保存最后一个开关，连用户曾经怎样界定自己都无法解释。
人不该被自己的数据做成一尊永不改变的雕像
个性化系统最初以“更懂你”为承诺，长期运行后却可能把理解变成锁定：过去的选择不断预测未来，预测又塑造新的选择，身份在闭环里变得比本人更稳定。
身份修订的意义不是否认历史，而是保留主体与系统重新互动的能力。你可以说“那曾经是我，但现在不能再替我作这个决定”，系统必须把这句话转成可执行、可验证且有边界的变化。
真正可信的回执不是“请放心，我们已经忘记”，而是诚实说明：修订了什么、测试了哪些路径、在什么范围未检出影响、哪些仍未知、何时复检。过去继续作为历史存在，现在重新取得发言权，而未来不再被一条早已失效的标签提前写完。