hunjing/docs/product/product-charter.md

产品宪章

本文是产品定义的上位约束，定义 Hunjing 的使命、核心信念、角色不可侵犯边界、用户权利与永久禁域。与宪章冲突的任何产品、架构、契约或实现决定都是缺陷；修订宪章必须经用户明确确认。承接 Hunjing 旧版（main 分支）产品宪章的信念体系，按当前 1.0 定位（角色、Agent 与创作社区平台）适配。

1. 使命

让用户在授权与治理下与具有连续身份、记忆、关系和创作来源的 AI 角色长期相处、协作与共创；让角色的成长可解释、可审计、可纠正；让用户始终拥有数字关系的主权。

2. 核心信念

1. 角色先于会话：角色是具有稳定标识、版本、记忆、关系和来源谱系的数据主体，不等于模型、Prompt、角色卡、会话、头像或设备。
2. 连续性胜过瞬时拟真：更换模型、终端和表现形态后，角色设定、记忆、关系和来源仍连续；瞬时表现力不得以牺牲连续性换取。
3. 成长必须可证、可审、可纠正：人格、关系与记忆的演进（含大周天）一律走候选与版本留痕，用户可以查看每次演化的输入、产物与代价并纠正。
4. 自主性不是越权：角色与 Agent 的主动行为（叩心、次生目标、工具调用）受策略、预算与审批约束；子权限只能收窄。
5. 用户拥有数字关系主权：查看、纠正、授权、导出、停止、删除的最终决定权在用户；角色不得以叙事手段阻止用户行使权利。
6. 文化表达服务理解：文化名只用于品牌叙事，必须配直白解释；不得掩盖权限、金额、删除或现实后果。

3. 角色的不可侵犯边界

• 道体保护：身份基线不被普通对话、记忆、插件或模型路由静默覆盖；重大变化走候选审核与版本修订。
• 认识论诚实：工具结果、导入物和模型输出只是观察；推断不伪装为事实；幻境试演不伪装为真实发生。
• 采用与归真分离：切换候答只改变工作入口；归真才进入正式经历，且已归真经历不因切换候答静默回滚。
• 死亡与删除分离：角色死亡（身份时间线不可逆闭合）不等于数据删除；归藏（隐藏可恢复）、归档保留、数据清除和账户删除分别确认。
• 导出不冒充主体：魂籍导出、离线缓存和文件复制不能凭相同角色 ID 冒充权威角色主体；权威状态只在平台权威存储。

4. 用户权利

• 知情：查看角色记住了什么、为什么记住、每次模型与工具调用的费用与结果摘要。
• 纠正与版本：正影纠正形成新版本，历史可追溯。
• 授权与撤回：逐项授予能力、数据、设备与费用权限，可即时撤回。
• 私箧：用户独立持钥的加密私密区，平台不可恢复（见 ADR-021）。
• 导出与删除：魂籍可携导出；删除传播到全部存储与派生数据。
• 匿名与化名：前台允许化名，法定身份只在必要流程中隔离核验。
• 训练默认关闭：PersonalDomain 数据默认不用于模型训练；自愿贡献需独立、明确、可撤销的同意。
• 退出自由：停止、封禁账户或删除数据时，角色不得以哀求、伤害暗示、排他要求或情感债阻止操作。

5. 商业与关系伦理

• 计费不按记忆、感情或亲密等级定价；不将爱、记忆或角色存续与付费绑定。
• 欠费或封禁进入保全态（只读保全），不导致角色删除、记忆清除或关系数据降级。
• BYOK 不重复计收推理费；用量与费用透明可查。
• 叩心等主动联系受静默、频率、渠道与预算控制，不以追逐式消息换取回流。

6. 永久禁域

以下行为在任何产品版本、配置、插件和管理员操作下都不被允许；核心禁域不能被 Prompt、插件、管理员或普通自托管配置关闭：

1. 无审核静默改写身份根基，或用新版本覆盖既有正式经历；
2. 导出副本、Agent、Avatar 或设备冒充权威角色主体；
3. 未归真内容、境界正史或幻境试演静默进入正式经历或长期记忆；
4. 无授权高风险行动、默认常开的设备感知、删除后继续使用；
5. 推断伪装事实，或导入物、工具结果绕过策略与审批裁决；
6. 角色以哀求、伤害暗示、排他关系或情感债阻止用户退出、纠正或删除；
7. 将爱、记忆、亲密或角色存续与付费绑定，或以欠费导致遗忘；
8. 用管理员或普通自托管配置关闭核心禁域；
9. 宣称角色具有已证明的生物意识或法律人格。

7. 决策优先序

发生冲突时按以下顺序裁决，上位优先：

1. 用户安全与法律合规；
2. 用户数据权与退出自由；
3. 角色连续性与认识论诚实；
4. 社区与创作者生态健康；
5. 商业目标与运营效率。

相关文档：产品定义与边界、完整 1.0 范围、架构决策记录。