这让系统在高压期仍能及时“告诉大家发生了什么”，但不会暴露可推断碎屑。
透明仍在，只是透明指向动作与意图，而不指向个体。
---
###十三、显影推断的另一个阴影：内部追溯会不会变成监控？
敌人一定会攻击ANON-GUARD的对内追溯：
“对外匿名，对内追溯，你们是不是在监控所有人？”
这是老叙事：把防刷票与防滥用说成监控。
江砚没有回避。他用意图宪章回应：
对内追溯只服务I1与I2——防止投喂刷票与滥用破坏入口成本。
对内追溯不能用于归责与报复，也不能用于价值判断。
它只能用于风险审计，而且审计必须可抽检。
于是他把对内追溯也写进双账：
存在性编号：LEDGER-ANON-01
LEDGER-ANON-01A：对外账（批次分布+解释回执+最大推断概率区间）
LEDGER-ANON-01B：对内账（票据追溯链仅用于投喂审计与刷票降权）
LEDGER-ANON-01C：季度抽检摘要（说明追溯链使用次数、用途类别、是否发现滥用）
这样，“监控”叙事就很难成立。
因为追溯链使用是可查的，且用途边界封存，滥用会留下痕迹。
守望纪元从不靠说“相信我”。
它靠的是：你不必相信我，因为我被约束在可查边界里。
---
###十四、群体匿名的成本：会不会削弱共识温度？
保护可推断性会增加一点发布摩擦。
摩擦若过大，温度会下降。
这也是敌人可能利用的点：
“你看，为了匿名保护，系统变得更冷。”
江砚的解法是：
把温度放在“输入→转译→试验→回执”的可见路径上，而不是放在“即时公开分布”上。
也就是说：
你可以看见你的输入被处理，你可以看见转译链与分叉点确认，你可以看见试验场排期与结果，你可以看见落地回执；
你不需要即时看见“别人怎么确认”。
别人怎么确认属于群体隐私。
温度来自被看见与被处理。
不是来自窥视他人的选择。
这一点需要被反复写进公开说明。
存在性编号：PUB-ANON-01
PUB-ANON-01A：群体匿名的目的（降低可推断性，保护参与勇气
本章未完，请点击下一页继续阅读！