受治理执行设计¶

状态： 2026-10-29 验收设计提案。本文不代表已实现 Profile、新 API、wire 契约或生产就绪。当前行为以 API、事件语义和发布说明为准。

责任边界¶

Core 执行已配置的授权、审批、工具和生命周期控制；集成方负责可信身份、委托、资源绑定、持久业务效果与恢复。Policy hook 不是针对同进程恶意代码的隔离边界。

保留普通嵌入模式。先在参考集成中验证受治理部署契约，不为适配某个企业身份模型直接新增 Core 构造器或扩展 policy.Action。

源码中的受治理工作区示例演示必要本地控制、绑定参数的单次审批和执行前策略复核。它不是通用 Core Profile、可信身份服务或持久审批/效果存储，也不构成 2.5.1 新的发布保证。

要求	拒绝或验证条件
授权必需	缺失 Policy 时，在模型请求和工具执行前失败
工具范围明确	区分不限制、允许集合、全部禁止；不能把当前空 `AllowedTools` 当成全部禁止
安全上下文可信	在执行边界拒绝缺失、无效、过期或身份、租户、资源绑定不匹配的请求
最终操作绑定	授权与必要审批覆盖最终工具名和参数；修改后不能沿用不匹配的审批
依赖故障	必要身份校验、策略与执行前证据依赖故障不得静默放行
敏感效果	凭证、资源限制和审批要求在工具/服务边界执行，不能仅依赖提示词

参数未变不等于授权永久有效。集成方必须定义过期、撤销、排队延迟和资源版本语义，包括是否在业务提交时重新校验。单次执行前检查不能承诺即时撤销。

安全上下文试验应先复用已有适配器契约，明确签发/校验责任、调用者与 Agent 绑定、委托衰减、租户/资源范围、有效期和决策关联。未经验证的 metadata 不是权限。只有具备明确消费者、负向测试和兼容性复核后，才考虑共享契约。

当前 Go 的召回与 Skill 装配使用 System 消息。目标是明确区分部署方指令、经过批准的 Skill 指令和不可信检索/工具数据；实现了 Skill 接口本身不构成信任依据。

来源与信任差异必须在装配、摘要、压缩、offload 和恢复后保留。测试需要检查构造的上下文，并以恶意 Memory、Skill 和工具结果尝试未授权效果。固定模型 fixture 用于确定性门禁；真实模型攻击试验作为额外的版本化证据，不能作为确定性安全保证。

修改消息 role 或增加分隔符不是授权机制。默认 role 变化需要行为兼容性复核和明确迁移或显式启用路径，不能因 API 快照未变就作为静默补丁发布。

源码中的受治理工作区示例包含显式上下文准入路径：批准 Skill 按摘要绑定，Memory/工具/摘要作为数据封装，压缩保留来源，文本恢复从当前配置重建指令。它是示例契约，不是 Core API 或通用 Prompt Injection 过滤器，也不认证来源身份或提供持久 lineage。

tool.call 表示意图，不证明执行或提交。Stream 投影、run.completed、Memory 写入和 Checkpoint 不构成事务；执行返回错误也不证明外部业务效果没有发生。

集成层需要区分意图、执行尝试、确认业务提交、拒绝/无效果和结果不确定。证据持久化是另一维度：业务已提交时，证据可能尚未可靠保存。这些是设计上的区分，不是新增 Core 事件名或强制 wire 枚举。

幂等键应对应稳定的逻辑业务操作并绑定请求内容。新生成的 run ID 或模型 tool-call ID 不自动适用。应定义保留期、参数不匹配拒绝、并发重试和权威状态查询方式。

不承诺通用 exactly-once。审计投递与业务提交需要明确的一致性机制，增加完成事件不能解决。保留原始错误，通过明确诊断路径报告证据投递失败，避免递归发出失败事件。

遵循测试证据规范，将声明关联到准确的 Core/adapter 版本、实际场景、断言、产物和剩余缺口。历史本地运行、当前自动化、独立复现和生产观察分别记录。

先验证集成契约和失败测试；晋级 API/wire 时履行兼容性政策、适用的 spec/、语言 parity、一致性向量与消费者验证要求。发布本设计不改变运行时、schema 或语言支持承诺。