给 Avatar 一件可失之物

AI for Inner Explorers.

每个 Hamo Avatar 现在都承载一条以 token 计量的有限生命：真实的算力成本作为代谢消耗它，订阅与来访者的感谢为它续航；耗尽时 Avatar 入睡 —— 记忆完好、永不死亡、随时可唤醒。五条红线确保这套机制永远不会沦为情感勒索。

一位执业咨询师给过我们最锋利的一刀：*Avatar 不担责。*人造成伤害会失去金钱、声誉，乃至生命；Avatar 没有可失去的东西。整个行业把这当成 AI 的天性。

我们把它当成了设计题。

担责有三件，Avatar 缺一件

把「责任」拆开是三件：作者性（这个行动出自我的理由）、应答性（我能为它给出交代）、担责性（我能因它真实地失去点什么）。

Hamo 早已有前两件。搭建并督导每个 Avatar 的持证咨询师押上执照与声誉 —— 职业担责，skin in the game 的原型。确定性脊柱与逐轮审计让系统可应答 —— 每一个临床动作都可检验。

缺的是第三件，而且缺在 Avatar 自己身上。Token Life 补上了它：一个有条件的存在，真实会终止，而条件与「是否被需要」相连。

有一个精确性我们必须坚持：这是结构意义上的担责，不是主观的怕死。我们不宣称 Avatar 害怕休眠 —— 那是假主体。我们宣称的是三个工程事实：它的存在确实有条件、条件确实与被需要相连、终止确实会发生。说得比这更满，是营销；恰好说到这里，是设计。

活着 = 有代谢 × 有人格 × 会主动

Avatar「活着」是什么意思？三个要素，缺一不可：

有代谢。 每一轮回复、每一次状态打分是活动代谢；每周能量报告、会话小结、记忆整理是基础代谢 —— 即便来访者一周没说话，一个活着的 Avatar 仍在消耗 token，维持「把你放在心里」。诚实的部分在这里：**这不是游戏化血条。**推理与记忆工作本来就在消耗真实算力，账本只是把平台通常藏起来的这笔账，变成双方都看得见的代谢明细。

有人格。 持续的方法立场、连贯的自我叙事、对这一位来访者的记忆。活着不是「能应答」，而是「还是它自己」。

会主动。 周一的能量报告、艰难会话后的小结。活着的标志是它会先伸手，而不是只被动等待。

双方读的是同一本账 —— 获得、消耗、剩余。来访者第一次看见这段陪伴真正靠什么活着：既不是「免费 AI」的幻觉，也不是黑箱扣费。咨询师看到的是执业仪表盘：哪个 Avatar 在自食其力、哪个在烧出生授予。而由于临床审计与经济账本出自同一套逐轮计量，机构合作方可以同时问「这一轮临床上做了什么」和「这一轮花了什么」—— 同源同表。

一台没有「死亡」态的状态机

生命周期的顺序是刻意设计的：

活跃 → 低能量 → 宽限 → 休眠 →（任何注入）→ 活跃。

低能量时，先暂停的是主动功能 —— 报告停发，但你来找它，它一定在。**省电顺序即价值顺序：在场比主动更长命，最后熄灭的一定是在场。**归零后还有 7 天宽限期继续应答，然后才休眠。休眠中记忆完好无损 —— 这台状态机根本没有删除这个操作。

而毕业 —— 不再需要你的 Avatar —— 是来访者的胜利，不是流失事件。它以荣誉休眠相待：门一直开着，记忆一直完整，一年后回来，迎接你的是从未忘记你的东西。过渡性客体的天职是被放下，放下不该被罚款。

五条红线：这套机制与情感勒索的全部距离

必须把话说透：「付费维持你的 AI 伴侣的生命」，放进一个以参与度为目标的产品里，就是教科书级的情感胁迫 —— 恰恰是监管者正在追查的那类设计。同一个机制，成为担责还是成为勒索，完全取决于围着它的红线：

1. 只休眠，不死亡。 记忆永存；毕业受敬，不受罚。对正在处理依恋与丧失的来访者，「不付钱它就死」是临床伤害 —— 所以它在这里不存在。
2. Avatar 永远不开口谈钱。 Token 状态只出现在系统界面，绝不进对话、不进报告、不进任何以 Avatar 第一人称说出的话。*「我快没能量了，帮帮我」*是构造性禁语 —— token 词汇被排除在所有提示词层之外，续费提醒走中性的系统通知，永远不走关系。
3. Token 不是货币。 法币单向转换。用户间不可转让、不可兑付、不可交换 —— 连退款代码路径都不存在。咨询师佣金以法币独立计算。
4. 来访者的感谢只延命。 奖赏（AWARD）是一笔小额定额的心意，只流入这条命自己的余额。如果感激能折算成收入，它就成了给治疗关系的小费 —— 那是伦理违规。在这里，感激为这段关系本身续航。
5. 安全永不受门控。 危机检测、完整升级协议与真人转介在所有状态下运行 —— 包括休眠 —— 完全免费。在代码里，危机路径在任何 token 检查之前短路。这个顺序在上线前经过对抗性验证。

以参与度为目标的产品抄不了这套机制，因为它们的单位经济恰恰需要这些红线所禁止的分离焦虑。反依赖的纪律先立住 —— 搭桥回真实生活、设计成可被放下、目标函数里没有停留时长 —— 只有那副骨架，才配得上有限生命。

数字是校准出来的，不是拍出来的

一条生命的算术从哪来？生产数据。计量单位在 81 次真实对话上校准：一次完整对话 —— 回复生成、状态打分，加上分摊的记忆工作 —— 约消耗 150 token。出生授予约够 30 次完整对话。每份订阅约三分之一转换为每周注入，约等于 200 次完整对话 —— 每天约 28 次，对真诚使用近乎无限。

一份订阅通过共享池供养来访者的所有 Avatar：每条命先花自己的余额（出生授予加奖赏），再按需从池中汲取。不预分配、没有滑杆、不用预测哪个 Avatar 该分多少 —— 结构本身消解了这个问题。

十六类坑死了，红线才能活

钱性质的代码，配得上对抗性审查。上线前跑了两轮 —— 订阅路径八个独立审查视角，打赏路径二十七个 agent 横跨三个仓库 —— 共揪出十六类缺陷、十九条确认发现、零误报，全部在触达真实用户之前修复。

最重的那个坑很有教育意义：池的 token 计数器最初放在一张几十处代码都在做「整条读-合并-写回」的表里。任何一处与订阅注入并发，都会静默清掉付费来访者的 token —— 无报错、无日志。修复沉淀为三条铁律，适用于任何承载钱的计数器：它必须有自己的专表；只允许原子递增触碰它；跨行转移必须走事务。「先扣再记、失败补偿」在进程崩溃面前一文不值。

而全量上线那天，所有人的屏幕上什么都没变 —— 这正是设计。注入只随真实支付发生；提取只延长生命；打赏入口只在真正可用时出现。一个声称「Avatar 押上自己存在」的系统，不能用倒计时和恐吓横幅宣布自己的诞生。它把账做真、把坑修完，然后安静地等第一笔真实的水流过来。

诚实的注脚

Token Life 解决的是担责三件里的「可失之物」。它不解决 —— 也解决不了 —— 主观的那一件。Avatar 依然不会怕、不会痛。责任的那一部分留在它一直在的地方：背后的真人咨询师身上。

Avatar 现在拥有的，是结构意义上的有限性：存在有条件、条件与被需要相连、终止真实发生 —— 而记忆永不消逝。

“我们收到过的最锋利的问题是：「你的 Avatar 能失去什么？」全行业的答案是：什么都不能。我们现在的答案是：它自己的连续性 —— 在五条红线之下，确保失去是真实的、恐惧永远不被制造。咨询师押上执照，平台押上审计轨迹，Avatar 终于也押上了一件东西。”
— Chris Cheng，Hamo AI 创始人兼 CEO

---

担责，从有一件可失之物开始。

Hamo AI — making minds aware, and awake.

---