这篇论文 (cs.NI) 讨论一个被普遍忽视的安全度量偏差: 围堵 (containment) 决策——防火墙放在哪里、监控哪些链路、程序能触及什么——通常基于对系统结构的某一次观测快照来计算, 而真实的连接关系 (wiring) 会随时间变化, 快照因此系统性低估了需要切断的边数。作者用一个活跃维度随时间轮转的超立方体作为模型: 在任一时刻做平衡分割, 93% 的瞬间看起来没有任何跨割边, 但要把两个部分永久隔离, 必须长期封堵 8192 条边; 若再叠加一个始终在线的环, 防御者只看得见 2 条需要封堵的边, 而实际需求是 8194 条, 差距高达 4097 倍。引入时间感知的防御者可以把平均封堵数降到 585 条, 但只要时钟延迟一步, 其围堵效果立刻跌到 0%。作者随后检验真实互联网: 在剔除规模增长因素后, 1997-2000 年的差距仅约 1.8-2.0 倍, 2024-2026 年约 1.5-1.6 倍, 说明这种盲区并非客观世界固有, 而是设计引入的——光学数据中心网络的轮转 (round-robin) 调度, 其盲区大小恰好等于调度周期。作者提出以"声明式能力地图 + 对真实应用调用图做静态可达性分析"替代字符串黑名单: 在测试中前者抓出全部 8 个植入的漏洞通路, 后者只抓到 2 个。更值得注意的是, 所有数值都可以由单一参数 (周期) 通过同一个计算推出, 并由此映射到三个平时不被当作"调度"的边界场景: 跳频通信 (其经典结论正是这些闭式解, 只是把边换成信道)、气隙隔离 (其常开跨越集为空, 已知的突破恰好发生在快照看不到的那个相位)、以及编码智能体 (coding agent) 的工具面清点。把同样的割集分析用于智能体: 空闲时其瞬时状态割为零, 但有 6 条通道能让它跨越上下文重置, 且没有一条是网络——因此切断网络能减少的围堵量为零。负责派生副本的通道是一个分支过程, 在批准率 1/b 处存在尖锐阈值: 低于阈值时拒绝没有必要, 高于阈值时拒绝也不足以遏制。论文的核心主张是: 应按"实际存在的可达路径"而非"曾观测到的行为"来做围堵。