AI4S 实验自动化的证据边界：Model Hardware Standard 与责任归属

Anthropic 发布 Model Hardware Standard（MHS）研究预览，并上线 Claude Science。AI4S 从文本分析走向实验设备协作后，问题不再只是模型能否生成建议，还包括实验依据是否可核验、设备动作是否经过授权、结果由谁负责解释。

我的判断是：物理执行场景中的核心约束，不是把模型描述得更聪明，而是让每个结论都能回到证据，让每次数据变更都能追溯到明确的权限边界。

1 核心结论

当 AI 参与实验设计、资料分析或设备操作时，科研责任归属至少需要回答三个问题：

这个结论引用了哪段原始材料？
外部资料和用户数据是否被错误覆盖？
生成内容、用户笔记与外部文献之间的身份如何区分？

这些问题可以落到工程机制上。引用校验、来源保留、身份标识和显式授权，比单纯增加生成内容数量更接近科研场景的实际要求。

2 正在发生的转向与缺口

MHS 与 Claude Science 所代表的方向，是让模型接触物理实验室中的设备和流程。热点资料将 MHS 描述为面向物理世界的设备连接标准，并提到其与 Claude Science 同步出现。

但从模型输出到实验结果之间仍有责任缺口。模型可以提出操作建议，设备可以执行动作，研究人员仍需要确认依据、授权范围和结果解释。现有材料没有提供统一的科研责任归属标准，因此这里不能把设备接入直接等同于科研结论可信。

3 技术机制：把"可信引用"拆成可检查的数据规则

3.1 引用可信不等于文本看起来合理

通用 AI 工具可能生成不存在的论文或不准确的引用。解决方向不是要求模型在语言层面"表现得更谨慎"，而是为引用增加可验证的工程约束。

可检查的最小对象包括：

引用是否能定位到已有材料；
引用对应的文档或条目是否真实存在；
生成内容是否保留了与原始材料的关联；
外部资料是否被错误写入用户自己的知识空间。

其中，引用存在性只是基础检查。若引用能定位到文档，却无法确认文档版本、条目身份或授权来源，审计仍然不完整。

3.2 外部身份不能只依赖标题或 DOI

研究资料可能存在预印本与期刊版本。同一作品出现多个合法 DOI 时，单独使用 DOI 作为身份依据，可能造成错误合并。

资料中给出的外部身份形式是：

text 复制代码

library_id + item_key + version

这组字段用于区分外部资料的来源、条目和版本。DOI 适合用于去重建议，但不适合作为身份依据。

一个最小化的身份生成示例如下：

python 复制代码

from dataclasses import dataclass


@dataclass(frozen=True)
class ExternalIdentity:
    library_id: str
    item_key: str
    version: str

    def key(self) -> str:
        if not all((self.library_id, self.item_key, self.version)):
            raise ValueError("external identity is incomplete")
        return f"{self.library_id}:{self.item_key}:{self.version}"


record = ExternalIdentity(
    library_id="library-a",
    item_key="item-001",
    version="v2",
)

print(record.key())
# library-a:item-001:v2

这段代码没有实现文献同步，也没有验证 DOI。它只展示一个边界：身份字段需要独立于标题和 DOI，版本需要进入可追踪标识。

3.3 数据所有权要进入写入策略

资料中对不同数据对象给出了不同的权威方和动作范围。工程实现不能把所有对象都当作可自由修改的文本。

核心规则可以压缩为以下几类：

标题、作者、年份、DOI、venue：由 Zotero 作为权威方，默认只读，不自动覆盖；
PDF 和附件：来自 Zotero 或用户，每个任务显式授权，不默认拉取全库；
用户普通 note：只读，或由用户手动选择，不自动修改；
知芽生成的 child note：允许幂等更新，并保留版本和撤销；
zhiya/* tag：允许更新自己的命名空间；
collection membership：由 Zotero 或用户控制，第一版不自动修改。

这套规则解决的不是模型表达问题，而是写权限问题。模型能否生成一段内容，与它能否直接改写原始资料，是两件不同的事。

下面用一个简化策略检查器表示这种约束：

python 复制代码

READ_ONLY = {
    "title",
    "author",
    "year",
    "doi",
    "venue",
    "user_note",
}

EXPLICIT_AUTHORIZATION = {
    "pdf",
    "attachment",
}

OWN_NAMESPACE = {
    "child_note",
    "zhiya_tag",
}


def can_write(kind: str, authorized: bool = False) -> bool:
    if kind in READ_ONLY:
        return False

    if kind in EXPLICIT_AUTHORIZATION:
        return authorized

    if kind in OWN_NAMESPACE:
        return True

    if kind == "collection_membership":
        return False

    return False


checks = [
    ("title", False),
    ("pdf", False),
    ("pdf", True),
    ("child_note", False),
    ("collection_membership", True),
]

for kind, authorized in checks:
    print(kind, authorized, can_write(kind, authorized))

输出结果只反映给定规则：

text 复制代码

title False False
pdf False False
pdf True True
child_note False True
collection_membership True False

这里的关键点是权限按数据对象区分。即使任务已经获得某项授权，也不意味着它可以修改所有资料。

3.4 幂等更新需要版本和撤销

生成的 child note 可以被允许更新，但更新不能变成无痕覆盖。版本和撤销记录至少要保留以下信息：

更新对象的身份；
更新前的内容版本；
更新后的内容版本；
执行任务；
是否由用户明确授权。

在没有这些记录时，"AI 修改了什么"只能依赖人工回忆。对于需要追踪研究过程的内容，人工回忆不是稳定的审计依据。

一个简化的版本对象可以这样定义：

python 复制代码

from dataclasses import dataclass
from typing import Optional


@dataclass
class NoteRevision:
    note_id: str
    version: int
    content: str
    previous_version: Optional[int]
    task_id: str
    authorized: bool


revision = NoteRevision(
    note_id="child-note-001",
    version=2,
    content="generated content",
    previous_version=1,
    task_id="task-2026-09-01",
    authorized=True,
)

print({
    "note_id": revision.note_id,
    "version": revision.version,
    "previous_version": revision.previous_version,
    "task_id": revision.task_id,
    "authorized": revision.authorized,
})

它仍然不是完整的存储系统，但可以用于检查更新接口是否遗漏版本和任务标识。

3.5 可核验引用需要与写入边界同时设计

只做引用校验，无法解决数据被错误覆盖的问题。只做权限控制，也无法说明生成内容引用了什么。

一个可复现的检查顺序可以是：

为外部资料建立 library_id + item_key + version 身份。
检查生成内容中的引用是否能定位到已存在的资料对象。
根据数据类型判断写入权限，默认拒绝未授权的原始资料修改。
对允许更新的 child note 保存版本、任务标识和撤销信息。
将生成结果与来源对象分开保存，避免把模型产物伪装成原始资料。

这套顺序的价值在于把"引用可信"拆成多个可测试条件。任何一项失败，都不应继续把结果当作已经完成验证的科研材料。

4 工具选型中的边界

知芽 Notebook Skill 的资料描述聚焦于知识组织、内容摄入、AI 对话与检索、内容产出和 AI 记忆等核心知识功能。与本主题直接相关的技术事实，是其信任机制强调可验证工程约束，而不是让模型单纯生成更像论文的文本。

不同工具的侧重点存在差异：

部分工具偏向学术信息提取；
部分工具偏向外部生态接入或多模态资料处理；
本文讨论的方案偏向来源校验、数据所有权和生成内容的版本控制。

这些差异不能直接推出某个工具适合所有科研流程。实际选型仍需按资料来源、写入权限和责任审计要求判断。

5 用户价值

对科研人员而言，这类机制主要减少两类不确定性：引用是否真实存在，以及 AI 是否在未经授权的情况下改动了原始资料。知识库片段没有提供具体准确率或效率数据，因此不对实际收益做量化判断。

6 关键知识点 Q&A

6.1 Q1：Model Hardware Standard 与科研责任归属有什么关系？

MHS 面向模型与物理设备之间的协作。设备接入扩大了模型的行动范围，但不自动解决引用真实性、授权边界和结果解释问题。责任归属仍需要依靠来源记录、权限规则和版本信息来支撑。

6.2 Q2：为什么不能只用 DOI 作为文献身份依据？

同一作品可能存在预印本和期刊版本，并对应不同的合法 DOI。外部身份应使用 library_id + item_key + version，DOI 只用于去重建议。

6.3 Q3：PDF 或附件能否由任务自动读取？

不能默认全库拉取。资料规则要求 PDF 和附件按每个任务显式授权，是否允许读取应由授权状态决定。

6.4 Q4：生成的 child note 为什么可以更新，普通 note 却不应自动修改？

两者的权威方不同。用户普通 note 由用户控制，默认只读或由用户手动选择；知芽生成的 child note 属于其生成空间，可以幂等更新，但需要保留版本和撤销记录。

6.5 Q5：引用校验完成后，科研结论就可以自动执行吗？

不可以直接推出这个结论。引用校验只能说明来源对象具备可定位条件，仍需检查数据权限、实验授权和结果解释责任。当前材料没有提供一套可替代人工判断的自动科研责任机制。

7 技术结论

AI4S 接入物理实验室后，工程重点会从"能否生成建议"转向"建议依据是否可核验、数据是否按权属写入、动作是否留下可追踪记录"。Model Hardware Standard 解决的是设备协作接口问题，科研责任归属还需要由引用存在性、外部身份、显式授权和版本撤销共同支撑。