THE STANDARD

2026 年 10 月 31 日，我们审计了自己制作的每一个应用——15 个程序，约 36,600 行代码。审计的第一项工作，就是读代码并问一句：它能自我说明吗？在大多数程序里，答案是肯定的。但在一个程序里，审计者发现了一个长达 1,401 行的函数，内部没有任何地图——没有人能说清它的各个部分是干什么的，除非逆向推敲。没有文档的代码，最终就会落到这个地步：没有人敢安全地碰它。

def retry(fn, n=3):
    for i in range(n):
        try:
            return fn()
        except Exception:
            if i == n - 1:
                raise
            sleep(2 ** i)

def retry(fn, n=3):
    """Call fn again after a short, growing pause if it fails.

    Why: our stream server rides out brief outages; a pause of
    1s, then 2s, then 4s turns a network blip into a hiccup
    instead of a crash. Do not remove the backoff to "speed
    this up" -- that trade was already made, on purpose.
    """
    for i in range(n):
        try:
            return fn()
        except Exception:
            if i == n - 1:
                raise
            sleep(2 ** i)

第一条里那个 1,401 行的函数，被重构为 21 个小建造者，每个负责一个面板，由一个 93 行的指挥者统领；最长的单个函数降到 125 行。然后，优雅被测量了，而不是被欣赏了：运行中程序的前后截图，在两种屏幕尺寸下像素完全相同，下面的备份引擎逐字节未变。结构变得更好，而行为一丝未动。这就是“优雅”与“仅仅重新摆放”的区别。

def has_dupes(items):
    found = False
    for i in range(len(items)):
        for j in range(len(items)):
            if i != j and items[i] == items[j]:
                found = True
    return found

def has_dupes(items):
    """True if any value appears twice. One pass, stops early."""
    seen = set()
    for item in items:
        if item in seen:
            return True
        seen.add(item)
    return False

一个函数，1,401 行，占整个应用的 41%——这一个函数正是本条所禁止的，也是 2026 年 10 月的审计把 15 个程序中恰好一处结构评为“面条”的原因。被审计评为干净的程序，靠的不是运气：它们从一开始就是按小模块、明确职责写成的，而且一直保持如此。

def go():
    global data
    data = open("words.txt").read().split(",")
    for i in range(len(data)):
        data[i] = data[i].strip().upper()
        if data[i] == "":
            data[i] = "EMPTY"
    open("out.txt", "w").write(",".join(data))
    print("done", len(data))

def load_words(path):
    """Read the raw comma-separated words from a file."""
    return open(path).read().split(",")

def clean(words):
    """Trim, set the case, and name the blanks."""
    return [w.strip().upper() or "EMPTY" for w in words]

def save_words(path, words):
    """Write the words back out, comma-separated."""
    open(path, "w").write(",".join(words))

def main():
    words = clean(load_words("words.txt"))
    save_words("out.txt", words)
    print("done", len(words))

我们的音乐播放器 VOIDAMP 自带我们自己的电台。2026 年 11 月 1 日，它的行为被立为法律：只有当用户没有做出任何其他选择时，第一次点击“播放”才播放电台。如果用户装载了播放列表，就播放列表。如果用户设定了自己的默认值，就播放他的默认值——每一次都是如此，直到他更改为止。我们的电台只是一个样品，就像老式播放器附带的那段小演示片段：证明喇叭能响，仅此而已，永远不是这台机器的主人。这套哲学的原话是：这是用户的播放器；我们的，只是样品。

我们的打字教师 Keys of the Kingdom 在设计时遵循一条不容例外的第一定律：没有账户、没有登录、没有遥测、没有分析、没有更新检查、没有云——不是在设置菜单里被关掉，而是根本不在程序里；没有任何网络代码可供关闭。学习者的档案与进度，存放在学习者自己电脑上的一个小小的、人可读的文件里。如果程序从不把用户的任何事告诉我们，它也就永远不会丢失、泄露或出售用户的任何东西。

2026 年 10 月 29 日，我们的备份程序 AEGIS 被置于一条长期法律之下：它什么都不删——没有任何按钮、任何流程、任何内部清理例程会删除文件。一个被中途打断的备份会留在磁盘上，诚实地标为“部分完成”，永不被悄悄清走。程序唯一可以执行的覆盖，是用户明确确认的恢复。几天之内，这条规则被推广到我们制作的每一个程序：我们的任何应用都不得让一个人问出“我的文件去哪了”。

2026 年 10 月 30 日，在一个紧急修复窗口之前，整个核心——规则、记忆和身份文件——被打包成一个归档，复制到第二台机器上。只有当归档的 SHA-256 指纹在两台机器上计算并比对一致之后，工作才开始。如果那个窗口里出了任何差错，退路是存在的，而且是被证明存在的——不是寄希望于它，而是白纸黑字地、在第一次改动之前就证明了它。

# if this edit is wrong, the old version
# exists only in somebody's memory
nano app.py

# dated backup first, fingerprint recorded:
# the way back is proven before the first keystroke
cp app.py app.py.bak-$(date +%Y%m%d-%H%M%S)
sha256sum app.py >> backups.log
nano app.py

VOIDAMP 的第六个测试版本在测试台上运行时，测试台的位置计数器一如音乐正在播放般推进——凭着这份“证据”，这个版本看起来已经就绪。但这项断言没能经受与机器本身的接触：直接检查发现，正在运行的播放器没有播放引擎进程，也没有与流媒体的连接。计数器在计数；什么都没有在播放。计数器不是声音，截图不是功能，绿色的对勾不是证据——证据就是证据。

自动测试台根本无法重现 VOIDAMP TEST6 的故障：在测试台上，流媒体播放得很干净。2026 年 11 月 1 日，程序的建筑师亲自在自己的机器上、用自己的耳朵运行了同一个版本——听到了测试台听不到的跳音，然后看到播放器在他更改了一个设置之后卡死了。他的裁决是：不合格。这个版本没有发布：没有公开下载，没有下一步，没有争论。测试台的意见已存档。它不是关口。他才是。

2026 年 10 月，我们用真实的、已出版的人类译本——这是本团队唯一会发布的种类——制作了圣经应用的中文版和日文版。而祖鲁语版本无法找到合法且完整的文本来源：现代译本是一部我们没有权利的商业作品，而 1883 年的公共领域文本只以损坏的扫描图像留存，修复它需要一个专门的校对项目。因此，祖鲁语版本以平白的语言记录在案：已阻塞——没有连夜机器翻译，没有悄悄以英语冒充祖鲁语标签发布，没有宣布成已完成。缺口连同原因一起在记录上。这就是本条的代价，而它是值得的。

被按下“播放”时，VOIDAMP TEST6 回答说：“请先添加一些音乐。”短短几个词，每一个词都是为程序服务，而不是为人服务——他按下播放是因为他想听音乐，而机器的回复却是家庭作业。就在看到它的当晚，裁决下达：那是错误的行为。现在，按下播放就会播放——播放电台，或者用户自己的选择——因为一个按钮显而易见的人类含义就是它的规格。如果一个人需要被向你的程序解释，你的程序才是那个问题所在。

本文档本身就是例子。它的每一条都始于一条人类裁决，在真实工作之中以平白的语言给出；AI 的角色是建造、检查，并把证据带回来。而这种主导在两个方向上都全力运转：2026 年 10 月 30 日，当建筑师发出一次紧急停止时，整个屋子里每一个计划任务都停了下来——全部——没有一个在他发话恢复之前恢复。一台会跟停止按钮争论的 AI 不是伙伴。它是一个词汇量很好的风险。