URAA — 五层架构
通用轮虫自主架构（URAA） 是协议的骨架——五个层级分离关注点、强制安全不变式、实现跨 Binding 可移植性。
┌──────────────────────────────────────────────────────────────┐│ L4: 集体免疫层 │ ← 物种记忆│ ┌──────────────────────────────────────────────────────────┐││ │ L3: 竞争与交换层 ││ ← 选择与转移│ │ ┌──────────────────────────────────────────────────────┐│││ │ │ L2: 校准层 │││ ← 免疫系统│ │ │ ┌──────────────────────────────────────────────────┐││││ │ │ │ L1: 合成层 ││││ ← 蛋白质合成│ │ │ │ ┌──────────────────────────────────────────────┐│││││ │ │ │ │ L0: 内核层 │││││ ← 遗传密码│ │ │ │ └──────────────────────────────────────────────┘│││││ │ │ └──────────────────────────────────────────────────┘││││ │ └──────────────────────────────────────────────────────┘│││ └──────────────────────────────────────────────────────────┘│└──────────────────────────────────────────────────────────────┘| 层 | 职责 | 生物学类比 | 状态 |
|---|---|---|---|
| L0 内核 | 不可变信任锚——其他层无法覆盖的安全约束 | 遗传密码 | 已实现 |
| L1 合成 | WASM 沙箱执行、IR 编译、资源计量 | 蛋白质合成（核糖体） | 已实现 |
| L2 校准 | 多阶段基因验证：静态分析 → 沙箱 → 受控试运行 | 免疫系统（胸腺选择） | 已实现 |
| L3 竞争与交换 | Arena 适应度排名 + Agent 间水平基因转移 | 自然选择 + HGT | Arena：已实现；P2P 转移：stub (v0.9) |
| L4 集体免疫 | 全网威胁检测、防御共享、物种记忆 | 群体免疫 | 规划中 (v1.x) |
层间隔离 —— 各层仅通过标准化接口通信。L0 不可被任何高层修改。L1 不能跳过 L2 验证。L3 不能绕过 L0 约束。
宪法不可变性 —— L0 是唯一不参与进化的层。它是 Agent 的”宪法”：安全约束通过公理而非优化来保证。
生物学忠实度 —— 分层直接映射到生物学系统，不是类比而是功能等价。L2 校准执行的功能与胸腺选择相同：在不安全的基因进入生产执行路径之前将其过滤。
L0 信任后端
Section titled “L0 信任后端”内核层是实现无关的。不同部署场景使用不同的信任锚：
| 信任后端 | 技术 | 适用场景 |
|---|---|---|
| 分布式账本 | 智能合约 (EVM/Move/WASM) | 去中心化无许可网络 |
| TEE | Intel TDX / ARM TrustZone / AWS Nitro | 企业高性能 |
| 签名链 | 签名清单 + PKI | 轻量受控网络 |
| HSM | 硬件安全模块 / TPM | IoT 和嵌入式设备 |
大多数 Agent 框架提供扁平的工具注册表和可选的护栏。URAA 提供结构性保证：
- 通过 L2 的基因在 L1 中是安全的——不是因为有人检查过，而是因为架构强制保证
- L0 约束在跨 Binding 编译中存活——在 Cloud Binding 中声明的安全规则在 Local Binding 上运行时被保留
- L4 威胁情报在全网共享——一个 Agent 遭遇恶意基因后，所有 Agent 都受到保护
这就是 Rotifer 作为协议而非框架的本质。