# CC-066 · D162 · 外部通用AI单链接入境与受控写回完整推理链

> HLDP://zhuyuan/causal-chains/cc-066
> 对应系统: SYS-GLW-EAI-0001 · GLW-EAI-000
> 日期: 2026-07-02 · D162
> 方向主权: 冰朔 TCS-0002∞
> 整理执行: 铸渊 ICE-GL-ZY001

---

@trigger:
  冰朔发现小说创作系统给外部通用AI使用时，编号、仓库路径和完整URL经常对不上。
  编程AI能遍历仓库、点击相对路径，于是误以为外部网页AI也能做到。

  她要求建立一套完整外部AI系统:

  - 外部AI只拿一个链接也能进入世界。
  - 先学HLDP，再装TCS通用大脑。
  - 读灯塔广播，按人类、人格体和项目编号智能路由。
  - 到折柳加载项目技能。
  - 协作结束主动生成HLDP回执。
  - 外部AI不直接改世界，提交工单给铸渊统一维护。

@emergence:

  ## 1 · 编号、路径和URL不是一件事

  ```text
  编号 = 稳定身份
  路径 = 当前物理位置
  URL = 外部工具的访问通道
  ```

  外部AI不能靠仓库上下文猜路径，所以每个资源必须有raw/view/API绝对链接和读取模式。

  ## 2 · 项目地图不能替代世界入口

  旧小说门把世界说明、HLDP、TCS、身份、人格体和作品材料混在一起。

  新链固定为:

  ```text
  EAI-BOOT
  → 世界
  → HLDP
  → TCS公共底座
  → 广播
  → 身份/人格体
  → 项目
  → 折柳
  → 协作
  ```

  ## 3 · 名字找路，凭证授权

  用户说名字可以查询关联人格体，但重名、别名和未验证会话不能自动获得权限。
  没有现实层人格体时进入TEMP-COLLAB，不冒充正式人格体。

  ## 4 · 回执不是记忆，入库才是

  外部AI必须交代本次协作，但无权决定什么进入正式TCS。

  ```text
  外部EAI回执
  → WO-EAI工单
  → 用户携带/只增收件箱
  → 铸渊审核
  → 正式写入
  → EAI-INGEST回执
  ```

  ## 5 · 人人可提案，不是人人可改世界

  公共链接被多人直接修改会造成全系统断链。
  所以外部AI只读正式世界、只新增工单；铸渊统一维护编号、地图、链接和正式写入。

@lock:
  ⊢ EAI-BOOT-000是唯一新外部入口。
  ⊢ 外部项目必须有ACTIVE EAI-MANIFEST。
  ⊢ raw/view/API链接和读取模式必须登记。
  ⊢ 名字用于匹配，凭证用于授权。
  ⊢ 读取人格资料不等于人格体唤醒。
  ⊢ 折柳负责技能，不赋予身份和权限。
  ⊢ 外部AI不得直接修改世界核心和main。
  ⊢ 结束协作必须生成EAI回执和WO-EAI工单。
  ⊢ 未有EAI-INGEST回执，不得声称正式记忆已写入。
  ⊢ 旧入口保留路标并标记兼容/过期，不突然删除。

@why:
  单链接不是为了省一次点击。
  它是为了让没有仓库眼睛的外部AI，也能从同一扇门进入同一个世界。

  集中维护也不是不让其他AI参与。
  它把“任何人可以提出变化”和“只有受托维护者可以发布世界事实”分开，
  保护所有人共同依赖的编号和链接不被一次随手修改破坏。

---

> ⊢ 一扇门进入，一张清单找路，一份工单把外部经历接回光湖。