weichen/Agent-System-Documents
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Propose the agent stack audit and completion design #34

Merged
weichen merged 1 commits from feature/agent-stack-blueprint into main 2026-10-03 14:12:17 +00:00
Conversation 0 Commits 1 Files Changed 4
+413 -1
4 changed files with 413 additions and 1 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/proposals/2026-10-01-agent-harness.md
+2
View File
@@ -6,6 +6,8 @@
本文只定义 harness 的职责、分期与验收。P0 随本文落地；P1–P4 各自另开任务，不在本文实施。
后续：三个库如何补齐缺陷、吸收外部做法并彼此解耦，见 [2026-10-02-agent-stack-completion.md](2026-10-02-agent-stack-completion.md)。本文的 P0–P4 不因该提案作废。
---
## 1. 问题与证据
docs/proposals/2026-10-01-base-extension-roadmap.md
+1 -1
View File
@@ -55,7 +55,7 @@ Agent-System 是通用智能体基座：提供入口、能力、接口和基础
1. **公开扩展面与兼容规则**（本提案第 4 节 + 同日兼容提案）。下游今天必须能依赖基座，而不是 fork。
2. **插件契约 v2**（同日插件提案）：声明、进程内编译、sidecar、前端 ESM。
3. **智能体质量回路**：后台任务、记忆、上下文摘要、本地嵌入档、HITL 超时、确认态持久化、LLM 预算、通用评测夹具。回合循环、完成判定与多代理编排见 [2026-10-01-agent-harness.md](2026-10-01-agent-harness.md)（P0 起实施，内核下沉到 agent-native）。
3. **智能体质量回路**：后台任务、记忆、上下文摘要、本地嵌入档、HITL 超时、确认态持久化、LLM 预算、通用评测夹具。回合循环、完成判定与多代理编排见 [2026-10-01-agent-harness.md](2026-10-01-agent-harness.md)（P0 起实施，内核下沉到 agent-native）。三个库的缺陷、借鉴与解耦见 [2026-10-02-agent-stack-completion.md](2026-10-02-agent-stack-completion.md)。
4. **工程基座**：日志与错误码、通用审计、边界 lint、命令对拍、会话导出。
目标系统薄切片放在 `examples/downstream-rdm`。它只 import 公开包。独立远程仓库由 owner 另行创建；本次不 `git init` 新仓。
docs/proposals/2026-10-02-agent-stack-completion.md
+241
View File
@@ -0,0 +1,241 @@
# 通用智能体、小队与意图：完善、借鉴与解耦
状态：**proposed（2026-10-02）**；owner：weichen；主任务：Dev 仓 `feature/agent-stack-blueprint`。
规范依据：Development-Guidelines（workflows/delivery.md、standards/collaboration.md、standards/agent-execution.md）；本文是项目级消费，不复制其正文。
撰写日期：2026-10-02。证据见 [2026-10-02-agent-stack-audit.md](../records/2026-10-02-agent-stack-audit.md)。
前序：[2026-10-01-agent-harness.md](2026-10-01-agent-harness.md) 定义了回合循环、完成判定和 P0–P4。那些阶段已经落在产品 Backend。本文把同一类能力收成三个可独立使用的库，并补上审计里的缺陷与对外借鉴。
本文只定义目标、裁定、分期和验收。不在本文实施。
---
## 1. 问题
三个库今天能跑，但换一个宿主就要重写一遍，而且库与库之间还互相依赖。
- **通用能力长在产品里。** 终轮验证、提醒、子代理画像、后台通知、评审、意图到工作流、critic 在 `modules/backend/internal/runtime` 与 `internal/runmgr`。直连、小队、子代理没有共用同一套门禁：`adapters/native` 不透传 Stop、Reminders、RepeatGuard、BeforeTool（审计 N31）。
- **测过的组合不是发布的组合。** Backend 编译用自己的 `deps/`（intent `7d9d505`、squad `5cbac00`）。Dev 指针是 intent `1dbbe81`、squad `590fd86`。Squad 自测用的 native 是 `a34689c`，不是产品里的 `c6d867c`（审计 X1）。
- **恢复不可靠。** 内核在工具预算用尽时留下没有结果的工具调用（N1）。Squad 的状态文件不是原子写，授权和修复预算不落盘，恢复会重跑正在执行的步骤，带 `RequiresApproval` 的步骤批准后再次挂起（Q1–Q5）。
- **实现级耦合。** 内核的 go.mod 为了没有调用方的 `adapters/intentgate` 依赖 Intent（X4）。Squad 的公开类型直接露出 `exec.Backend`、`*llm.Client`、`tools.*`（X5）。意图闸门有四套，动作键有四种（X8）。
编排裁定（本次已确认）：多智能体编排统一到 Agent-Squad。`core.WorkflowDef` 仍是插件作者面对的契约，Backend 把它编译成 Squad 的图，现有 `internal/workflow` 执行器退役。
## 2. 借鉴什么
只列会改这三个库的行为或接口的条目。链接是公开文档，版本以 2026-10-02 查阅为准。
### 2.1 回合循环（Agent-Native）
| 借鉴 | 来源 | 落到本库 |
|---|---|---|
| 钩子先于规则；deny 在放行模式下仍然生效；allow 不能跳过 deny / ask；规则可按参数模式匹配；子代理继承父会话权限，插件里的智能体定义不能声明钩子、MCP 和权限模式 | [Claude Agent SDK hooks](https://code.claude.com/docs/en/agent-sdk/hooks)、[permissions](https://code.claude.com/docs/en/agent-sdk/permissions.md)、[subagents](https://code.claude.com/docs/en/subagents) | HookBus。事件对齐 PreToolUse、PostToolUse、PostToolUseFailure、PostToolBatch、Stop、SubagentStart/Stop、PreCompact、PermissionRequest、SessionStart/End。决策为 allow / deny / ask / modify / block，带原因，并带「已在续跑中」标志防止递归 |
| 输入检查只作用于入口智能体，输出检查只作用于给出最终结果的那个，工具检查每次调用都跑 | [OpenAI guardrails](https://openai.github.io/openai-agents-python/guardrails/) | 三类 guardrail。Backend 的终轮验证下沉为输出 guardrail |
| span 名为 `invoke_agent`、`chat`、`execute_tool`、`plan`、`invoke_workflow`；提示词和工具参数默认不采集 | [OTel GenAI agent spans](https://github.com/open-telemetry/semantic-conventions-genai/blob/main/docs/gen-ai/gen-ai-agent-spans.md)、[可观测性说明](https://opentelemetry.io/blog/2026/genai-observability/) | 三库事件用同一套名字。层级是工作流包含智能体调用，智能体调用包含模型调用和工具执行 |
| 压缩、清理旧工具结果、记忆是三种不同手段；压缩后保留摘要和最近用过的文件；前缀稳定、只追加、序列化结果确定，才能吃到缓存；工具定义不在运行中增删；完整结果落文件，上下文里留可恢复的路径 | [上下文工程](https://www.anthropic.com/engineering/effective-context-engineering-for-ai-agents)、[cookbook](https://platform.claude.com/cookbook/tool-use-context-engineering-context-engineering-tools)、[Manus](https://manus.im/en/blog/Context-Engineering-for-AI-Agents-Lessons-from-Building-Manus) | ContextManager。压缩按工具配对边界裁剪（同时修 N7）。system 段不放秒级时间戳。工具清单顺序固定。旧工具结果可替换成路径。计划提醒按成本节流：反复改写待办会占掉大量动作（[整理](https://rlancemartin.github.io/2025/10/15/manus/)） |
| 长任务先落功能清单和进度文件，之后每个会话只做一项并留下可交接的状态；有的模型需要清空上下文再交接，有的可以靠自动压缩连续跑 | [长任务 harness](https://www.anthropic.com/engineering/effective-harnesses-for-long-running-agents)、[harness 设计](https://www.anthropic.com/engineering/harness-design-long-running-apps) | 内核负责可恢复的 RunState。会话清空再交接是 Squad 的一种拓扑，不是内核默认行为 |
| 工具按需加载；模型写代码批量调用工具，中间结果不进上下文 | [advanced tool use](https://www.anthropic.com/engineering/advanced-tool-use)、[programmatic tool calling](https://platform.claude.com/docs/en/agents-and-tools/tool-use/programmatic-tool-calling) | 注册表支持延迟加载和 `tool_search`。Backend P4 的脚本宿主下沉为「代码编排工具」端口，产品只留开关和确认 |
| 只对写文件类工具做检查点，shell 改动不追踪 | [file checkpointing](https://code.claude.com/docs/en/agent-sdk/file-checkpointing) | write / edit / multi_edit 记录改前内容，可回滚到某条用户消息；同时改成临时文件再 rename（修 N15） |
| 子代理 frontmatter：说明、提示、工具、禁用工具、模型、权限、技能、轮次上限、记忆范围、力度、是否后台、是否隔离工作树 | [subagents](https://code.claude.com/docs/en/subagents) | AgentSpec 采用这些字段，再加 `outputSchema` |
| `SKILL.md` 的 name 与目录同名、小写连字符、description 说明何时使用；客户端扫描 `.agents/skills/` | [Agent Skills](https://agentskills.io/specification) | 加载器按该规范校验，并扫描 `.agents/skills/` |
| MCP 2026-07-28：无状态核心；长任务用 tasks/get、update、cancel；需要用户输入时返回 `input_required`，客户端重试原请求；工具 schema 放到 JSON Schema 2020-12 | [changelog](https://modelcontextprotocol.io/specification/2026-07-28/changelog.md)、[RC 说明](https://blog.modelcontextprotocol.io/posts/2026-07-28-release-candidate/) | 客户端认 `resultType`。`input_required` 接到审批端口。Tasks 接到后台任务。同时修 N3、N18 |
### 2.2 编排（Agent-Squad）
| 借鉴 | 来源 | 落到本库 |
|---|---|---|
| 工作流分五类：链式、路由、并行、编排者-工人、评估-优化 | [Building effective agents](https://www.anthropic.com/engineering/building-effective-agents) | 现有 standard / router / leader 分别覆盖前三类里的大部和编排者-工人。缺评估-优化循环和投票。critic 从 Backend 工作流收成一种拓扑 |
| 执行器加有类型的边；按 superstep 推进，步结束做检查点；恢复要求图结构不变。检查点以 thread 为键，并行分支里已成功的写入单独保存，崩溃不丢。挂起与恢复是同一对原语。持久化分退出时、异步、同步三档 | [MAF workflows](https://learn.microsoft.com/en-us/agent-framework/workflows/workflows)、[edges](https://learn.microsoft.com/en-us/agent-framework/workflows/edges)、[checkpoints](https://learn.microsoft.com/en-us/agent-framework/workflows/checkpoints)、[LangGraph checkpointers](https://docs.langchain.com/oss/python/langgraph/checkpointers)、[interrupts](https://docs.langchain.com/oss/python/langgraph/interrupts) | 图执行取代「相邻 Parallel 标记」。步骤带 attempt id。这一层同时修 Q1–Q5 和 Q7 |
| 内置顺序、并行、群聊、交接、Magentic。并行分支默认不共享对话，状态通过事件里的增量写入 | [MAF magentic](https://learn.microsoft.com/en-us/agent-framework/workflows/orchestrations/magentic)、[ADK parallel](https://adk.dev/agents/workflow-agents/parallel-agents/)、[ADK state](https://adk.dev/sessions/state/) | Topology 插件加这组内置实现。黑板改成可回放的增量 |
| 编排者维护任务账本（事实、猜测、计划）和进度账本（是否完成、是否卡住）；卡住就重规划，并限制轮数、连续卡顿和重置次数 | [Magentic-One](https://microsoft.github.io/autogen/dev/user-guide/agentchat-user-guide/magentic-one.html) | Squad 黑板已接近任务账本。leader 补进度账本、卡顿检测和重规划上限 |
| 终止条件可用 AND / OR 组合 | [AutoGen termination](https://microsoft.github.io/autogen/stable/user-guide/agentchat-user-guide/tutorial/termination.html) | 轮次、修复预算、唤醒次数、超时收成 Termination |
| 交接把最终回答的所有权交出去；当作工具调用则管理者保留所有权。能用一个智能体就先用一个 | [orchestration](https://developers.openai.com/api/docs/guides/agents/orchestration)、[handoffs](https://openai.github.io/openai-agents-python/handoffs/)、[Swarm](https://microsoft.github.io/autogen/0.7.3/user-guide/agentchat-user-guide/swarm.html) | handoff 原语带历史过滤器。TeamSpec 声明谁拥有最终回答 |
| 团队：每人独立上下文，共享可认领的任务表（依赖未完成不能领），点对点邮箱。别人发来的消息不能代替用户表示同意 | [agent teams](https://code.claude.com/docs/en/agent-teams) | platform 的队列改成 task-board 拓扑，加 mailbox。智能体消息不能携带用户授权，从根上去掉 wakeup 自动批准（Q8） |
| 委派要写清目标、输出格式、工具和边界；投入随问题伸缩。写操作保持单线程，因为动作带着别人看不见的决定；只读探索可以并行 | [多智能体研究系统](https://www.anthropic.com/engineering/multi-agent-research-system)、[Don't Build Multi-Agents](https://cognition.com/blog/dont-build-multi-agents)、[后续](https://cognition.com/blog/multi-agents-working) | 步骤声明自己写哪些工件。调度默认：只读可并行，写同一工件必须串行。委派模板结构化。上游产物落文件，下游拿路径和最新黑板（修 Q11） |
| A2A 1.0：Agent Card、每接口一个协议版本、任务有固定状态机 | [A2A 1.0](https://a2a-protocol.org/v1.0.0/specification/)、[v1 变化](https://a2a-protocol.org/latest/whats-new-v1/) | 适配器：远端智能体作为一种 Executor；本团队也可发布 Agent Card。跨库结果状态对齐 A2A 任务状态，不自造第四套词 |
### 2.3 理解（Agent-Intent）
| 借鉴 | 来源 | 落到本库 |
|---|---|---|
| 一次用户话可以产出多条命令：开始流程、填槽、改槽、取消、澄清、闲聊、转人工。规则触发排在模型之前 | [Rasa 对话理解](https://rasa.com/docs/learn/concepts/dialogue-understanding/)、[命令生成](https://rasa.com/docs/reference/config/components/llm-command-generators/)、[流程启动](https://rasa.com/docs/reference/primitives/starting-flows/) | 输出从「一个意图」改为命令列表。Start 带 ActionRef。现有规则漏斗仍是确定性第一层。模型层是可选端口，执行仍归宿主 |
| 用示例句的向量相似度做路由，低于阈值则不命中 | [semantic-router](https://github.com/aurelio-labs/semantic-router) | 规则层和模型层之间的语义端口。向量模型由宿主注入，核心不做 I/O。IntentSpec 增加 examples。用来减轻中文子串误命中（I3） |
| 只把相关流程交给生成器；评测逐轮写出期望命令 | [命令生成器](https://rasa.com/docs/pro/customize/command-generator/)、[评测](https://rasa.com/docs/reference/testing/e2e/dialogue-understanding-tests/) | Catalog 按相关度取 top-k，Metadata 白名单。`intentctl eval` 改为多轮并输出 precision / recall |
## 3. 解耦
三个库各自能单独编译、单独测试、单独被第三方使用。配合发生在组合根，不发生在核心模块里。
依赖规则：
- 核心模块互不依赖。只依赖 error-code-system 和 logging-system。
- 端口由使用方定义。Squad 定义 Executor、ModelClient、IntentGate、Store。Native 定义 Provider、Tool、Memory、Checkpoint、Telemetry。Intent 定义 Classifier、Embedder、CommandGenerator。
- 跨库适配器放在使用方仓库的独立子模块，各自有 go.mod。只有适配器可以同时依赖两个库。
- 互通格式由定义它的库发布 JSON Schema 和样例，不共享 Go 类型。AgentSpec 归 Native，IntentSpec / 命令 / ActionRef 归 Intent，TeamSpec / 图归 Squad。
- 共同词表直接用外部标准：事件名用 OTel GenAI，结果状态用 A2A 任务状态，trace 沿用 logging-system 的 trace_id。不新建共享协议模块。
模块布局：
```text
agent-native/ 回合循环、HookBus、ContextManager、完成判定、
provider、tools、mcp、skills、session、
memory、checkpoint、telemetry。
exec 是唯一对外入口。schema/
agent-intent/ 规则漏斗、命令列表、ActionRef、Catalog。schema/
agent-squad/ 图执行、Topology、Termination、端口定义。schema/
adapters/native/ 独立 go.mod。实现 Executor 与 ModelClient
adapters/intent/ 独立 go.mod。实现 IntentGate 与目录映射（现 squadintent）
adapters/a2a/ 独立 go.mod
adapters/sqlite/ 独立 go.mod。现 platform 的持久层
cmd/agent-squad/ 独立 go.mod。CLI 与 HTTP 组合根
```
每个概念只留一处：
| 概念 | 唯一处 | 不再出现在 |
|---|---|---|
| 智能体定义 | AgentSpec | Backend 的 `agent-sub-*.md` 迁成 AgentSpec 文件。RoleSpec 只加团队属性 |
| 意图识别 | agent-intent | 删除 native 的 `adapters/intentgate`。Backend 闸门改为消费同一次识别结果 |
| 路由 | 宿主里的一个 Router，按 ActionRef 分发 | 命令、工作流、小队、普通回合四个分支不再各写一套判断 |
| 能力目录 | intent 的 Catalog | Squad 规划器和直连路径都注入这一份 |
| 工作流执行 | Squad 图执行 | Backend `internal/workflow` 退役。`core.WorkflowDef` 只作为编译输入 |
| 人工确认 | 宿主渲染并回填 | 库只发信号：权限请求、MCP `input_required`、图的 interrupt、Clarify 命令 |
| 预算 | Native 管一个智能体；Squad 管团队并分给步骤；Backend 管配额 | 三处不再各算各的 token 账 |
版本：
- 模块路径改为可 `go get` 的路径并打 semver。改路径会打断现有 import，与路线图第 4 节一样，单独发版，不塞进功能阶段。
- 库仓不再嵌套兄弟库的 gitlink。适配器子模块用 go.mod 版本钉依赖。
- Dev 根增加 `go.work`，让 `make test` 测的就是将要发布的组合。增加检查：Backend 编译用到的每个库 SHA 等于 Dev 指针。
- 这项会改变 `make build` 实际编译的代码来源。实施 R0 时要同时核对 Releases 仓从本仓固定提交导出的流程，避免导出物突然改用另一套 SHA。
- `lint-boundaries` 增加：核心模块的 `go list -deps` 不得出现兄弟库；agent-intent 只允许被 `adapters/intent` 和 Backend 的识别适配导入。
```mermaid
flowchart TB
subgraph host [宿主]
Router["按 ActionRef 分发"]
Root["组合根装配适配器"]
end
subgraph intentCore [agent-intent]
Commands["命令列表与 Catalog"]
end
subgraph squadCore [agent-squad]
GraphExec["图执行"]
SquadPorts["Executor / ModelClient / IntentGate / Store"]
end
subgraph nativeCore [agent-native]
Loop["回合循环"]
end
subgraph adapters [agent-squad/adapters]
AdNative["native"]
AdIntent["intent"]
end
Router --> Commands
Router --> GraphExec
Router --> Loop
Root --> AdNative
Root --> AdIntent
AdNative --> SquadPorts
AdNative --> Loop
AdIntent --> SquadPorts
AdIntent --> Commands
```
## 4. 目标行为
一个智能体是一份 AgentSpec：工具、模型、轮次、技能、权限、钩子、输出 schema。直连会话、子代理、小队角色用同一份。小队角色只多团队属性（并发上限、是否拥有最终回答、可交接给谁）。
一次小队运行是一张图。调度按依赖和读写集决定谁可以并行。每步结束写检查点。需要人时挂起，同一入口恢复。进程死在任意步边界，恢复不重复已成功步骤的副作用，也不丢掉已批准的授权。
一次用户话先变成命令列表。规则层能确定的不过模型。宿主的 Router 只看 ActionRef：命令、工作流、小队或普通回合。Intent 不执行。
插件作者仍然写 `WorkflowDef`、意图 JSON 和工具声明。新增智能体写 AgentSpec 文件。新增小队写 TeamSpec。新增拓扑实现 Topology。这些入口在各阶段的验收里逐个对照，避免再长出第五套键。
沙箱仍由宿主负责。库声明自己不是操作系统沙箱。
## 5. 分期
每阶段单独任务。依赖：R0 先做。R1 在三个库内并行。R1 之后做 D1。D1 之后 N1、Q1、I1 可以同时做。它们完成后再做 N2、Q2、I2。N3 在 N2 之后。Q3 在 Q2、N1、I1 之后。
### R0 组合一致性
Dev 根 `go.work`。检查脚本对比 Backend `deps/` 与 Dev 指针。`lint-boundaries` 加上文第 3 节的依赖断言。核对 Releases 导出是否跟随 `go.work`。
验收：故意把 Backend 的 squad 指针留在旧 SHA 时检查失败；指针对齐时 `make test` 通过。文档写明 `make build` 编译的是哪一套 SHA。
### R1 缺陷
三个库各自独立 PR，只修审计中的 P0，外加安全向 P1：N13、N14、Q8、Q14、Q15、Q16。每条带回归测试。
验收：审计表里对应编号有测试名。Squad 的崩溃恢复至少覆盖「批准后能执行」「重启后授权还在」「running 步骤不执行第二次」。Native 的预算用尽用例里，历史中每个 tool_call 都有结果。
### D1 结构解耦
Native 去掉对 agent-intent 的依赖，合并 contract 与 exec，拆 Options。Squad 核心改为自有端口，跨库代码进 adapters 子模块，CLI 进 cmd。Intent 的校验器改为 Registry 作用域，并校验分类器输出。三库发布 JSON Schema 样例。删除嵌套兄弟库 gitlink 与改模块路径分开发版任务，本阶段只把依赖方向改对，路径可以仍用 replace。
验收：`go list -deps` 符合第 3 节。Squad 核心测试不链接 agent-native。用适配器子模块跑通现有 conformance。Backend 行为不变，用现有 `make test` 证明。
### N1 内核 harness
AgentSpec、HookBus、PermissionPolicy、三类 guardrail。CompletionGate 与提醒从 Backend 下沉。`adapters/native` 透传钩子。Backend 改为消费，A/B 对照直连行为。
验收：同一组脚本化模型输出，下沉前后的停止原因、提醒次数和工具拒绝一致。插件里的 AgentSpec 不能带钩子和权限模式。
### N2 上下文、协议与工具
ContextManager 与缓存友好规则。Anthropic 原生消息含 tool_use 与 thinking 签名。延迟加载工具、tool_search、代码编排工具端口。MCP 认 `resultType`。skills 按开放规范校验。子代理可后台、有独立转录、可恢复。
验收：选 anthropic 预设能完成一轮工具调用（可用录制的 HTTP 夹具，不要求真实密钥）。压缩后的历史不出现孤立 tool_call。MCP 取消不再留下第二个读者（修 N3 若 R1 未覆盖到协议层）。
### N3 持久与可观测
RunState 可恢复。文件检查点可回滚。Memory 端口。事件可导出为 OTel GenAI span。成本分「上一请求」与「累计」。模型回退链。流式错误默认重试。
验收：回合中途杀进程，恢复后工具配对仍成立。回滚只撤销 write / edit / multi_edit。span 名与约定一致，默认不含提示词正文。
### Q1 图执行
superstep、三档检查点、attempt id、interrupt / resume。`Needs` 驱动依赖。读写集。可组合 Termination。Store 接口。platform 的 SQLite 成为 Store 的一个实现，不再单独驱动一套运行。
验收：在每个 superstep 边界杀进程再恢复，已成功步骤的副作用次数为 1。两个写同一工件的步骤不会并行。文件 run 与 SQLite 不再各记一份步骤状态。
### Q2 拓扑
内置：sequential、parallel、loop、router、leader（含进度账本和重规划上限）、handoff、group-chat、review、evaluator-optimizer、long-running、task-board 与 mailbox。
验收：每种拓扑有一个脚本化后端的 conformance。review 等价于今天的「并行找问题、逐条验证、丢掉未验证」。mailbox 消息不能把挂起的权限批准掉。
### Q3 收敛与互通
Backend 把 `WorkflowDef` 编译成 Squad 的图。`internal/workflow` 与把小队步骤压成 `SpawnSubagent` 的路径退役。委派模板含目标、输出格式、工具和边界。`adapters/a2a` 双向。产品默认执行后端改为 agent-native，用同一批任务的 A/B 对照作门禁。
验收：现有示例插件 `demo.brief` 与 `demo.script` 经编译后的图跑通，行为与 P4 裁定一致（步数上限、确认、脚本开关）。A/B 对照记录差异，不要求字节级相同。
### I1 命令化识别
命令列表与 ActionRef。中文匹配的词界或最短词长。同分时可按 priority 决胜。Catalog 白名单与 top-k。Backend 唯一 Router 消费 ActionRef。
验收：审计 I1、I2、I3、I5 有回归。一条用户话可以产出 SetSlot 加 Start。命令 id、工作流 IntentID、小队 blueprint 都通过 ActionRef 到达 Router，插件清单不改字段名。
### I2 分层与评测
语义端口与 examples。模型命令生成端口，输出做与 I1 相同的校验。对话状态仍由宿主持有，库只提供「给定状态，产出命令」的函数。多轮评测输出 precision / recall。文档写明无繁简转换。
验收：分类器返回未知 ID 时结果保持 Ambiguous。eval 对一份不少于现有语料规模的多轮夹具给出指标，而不是只打印分支名。
### E 评测（每阶段都带，不单列阻塞）
Native：配对、取消、预算、压缩。Squad：步边界杀进程。Intent：多轮语料。Dev 组合：少量真实任务加人工复核，不把模型自报当通过。
## 6. 不在本文范围
- 合入上述任何阶段。
- 操作系统级沙箱。宿主隔离责任保持现状，文档继续声明。
- 改模块路径和打 tag。那是发版动作，由所有者确认后执行。
- 为单一产品预造领域角色库。TeamSpec 只定义格式；角色内容仍由产品和插件提供。
- 把 PromptTrigger 关键词并进 Intent。技能触发仍是提示词装配。若两套同时命中，Router 的优先级在 I1 任务里写明，本文不预设谁赢。
## 7. 验收（本文）
- 本文件与审计记录互相链接。
- [2026-10-01-agent-harness.md](2026-10-01-agent-harness.md) 与 [2026-10-01-base-extension-roadmap.md](2026-10-01-base-extension-roadmap.md) 指向本文。
- 不改 Go 代码，不改三个库的指针。
docs/records/2026-10-02-agent-stack-audit.md
+169
View File
@@ -0,0 +1,169 @@
# 记录：Agent-Native / Agent-Squad / Agent-Intent 只读审计
日期：2026-10-02。任务主记录：Dev 仓 `feature/agent-stack-blueprint`。
设计结论见 [2026-10-02-agent-stack-completion.md](../proposals/2026-10-02-agent-stack-completion.md)。本文只记证据，不实施修复。
基线（Dev 顶层 `deps/`，`git rev-parse`）：
- agent-native `c6d867cde7d87696feaf3073f097ca15b0145273`
- agent-squad `590fd86f4c8bfada0ec76efbfb57133c61607bd6`
- agent-intent `1dbbe8149c561b36282bf781e61a06d1284be3a1`
方法：只读读码。P0 条目已对照源码复核。标注「待确认」的条目没有在本次复核中跑测试。路径相对各库根目录。
## 1. 跨库与集成
| 编号 | 级 | 现象 | 证据 | 影响 | 方向 |
|---|---|---|---|---|---|
| X1 | P0 | 测过的组合不等于发布的组合 | Backend `go.mod` replace 指向自己的 `deps/`：intent `7d9d505`、native `c6d867c`、squad `5cbac00`。Squad 自测钉 native `a34689c`、intent `3674dc4`。Dev 顶层是 intent `1dbbe81`、squad `590fd86`。Go 只认主模块的 replace | 各库测试全绿也不能证明产品编译的组合正确 | Dev 根 `go.work`；`make test` 断言 Backend 用到的 SHA 等于 Dev 指针 |
| X2 | P1 | gitlink 递归嵌套 | `deps/agent-squad/deps/agent-native/deps/agent-intent` 等。agent-intent 在 Dev 检出里有多份副本，SHA 不完全一致 | 读码容易看错副本；磁盘上的嵌套仓不参与 Backend 编译 | 库仓不再嵌套兄弟库；适配器子模块用 go.mod 版本号钉依赖 |
| X3 | P1 | 边界检查不管库与库 | `scripts/lint-boundaries.sh` 只禁止扩展 SDK 与示例 import `agent-system-backend/internal` | 实现级耦合没有门禁 | 用 `go list -deps` 断言核心模块不得依赖兄弟库 |
| X4 | P1 | 内核为了一个没有调用方的包依赖 Intent | `deps/agent-native/go.mod` require `agent-intent`；唯一引用是 `adapters/intentgate`。Backend 零引用该包 | 内核不能单独使用 | 删除该适配器，或迁到独立子模块 |
| X5 | P1 | Squad 公开 API 暴露内核类型 | `squad/backend.go`：`BackendFactory` 返回 `exec.Backend`；`AgentNativeConfig` 含 `*llm.Client`、`tools.SearchProvider`、`tools.ExecConfig`、`mcp.Manager`、`subagent.Factory`。`planner_llm.go` 的 `LLMPlanner.Client` 是 `*llm.Client`。`intent.go` 的 `IntentRunner` 返回 `*exec.Result` | 换执行器必须改 Squad 核心；编译期去不掉 agent-native | 核心只定义 Executor、ModelClient 端口；跨库代码进 `adapters/native` |
| X6 | P1 | platform 绕过执行端口 | `platform/runtime.go` 的 `RunInProcess` 直接 `runtime.NewAgentSession` | 内核内部类型进入 platform 公开签名 | 经 Executor 端口 |
| X7 | P1 | CLI 直接 import Intent | `deps/agent-squad/cli/cli.go` import `agent-intent/intent` | 与「只经 squadintent 接入」的约定不一致 | CLI 迁到独立 `cmd/`，经适配器装配 |
| X8 | P1 | 同一概念多处定义 | 意图闸门：`squad.IntentGate`、`squadintent.Gate`、`adapters/intentgate`、`backend/internal/intentgate`。目录三套。HITL：Squad pending、Backend 卡片、命令确认、Intent 的 Question。预算：`exec.Budget`、Backend `RunBudget`、设置项。事件三套。工作流：`squad.WorkflowPlan` 与 `core.WorkflowDef`。结果状态：command 四态、intent 五分支、native 的 Success 布尔 | 扩展作者要对齐四套键：`handler`、`metadata.blueprint`、`CommandSpec.id`、`WorkflowDef.IntentID` | 每个概念一处定义，见提案第 4 节 |
| X9 | P1 | 产品没有接上 Squad 的意图能力 | `modules/backend/internal/squadadapter` 未装配 IntentGate、Catalog、Runner | Squad 侧已做的目录注入与计划校验在产品路径不生效 | 组合根装配适配器 |
| X10 | P2 | 模块路径是裸名 | `go.mod` 的 `module agent-native` / `agent-squad` / `agent-intent` | 第三方不能 `go get`，只能 replace | 改为可获取路径并打 semver tag。路线图已把改模块路径列为单独发版任务，不在本次 |
## 2. Agent-Native（`c6d867c`）
### P0
| 编号 | 现象 | 证据 | 影响 | 方向 |
|---|---|---|---|---|
| N1 | 工具预算超限留下没有结果的 tool_calls | `runtime/loop.go` 先 `persist` 带 tool_calls 的 assistant，再在 `toolCalls+len > Max` 时 `budgetStop`。`budgetStop`（同文件约 542 行）不补工具结果 | 续跑时 OpenAI / Anthropic 会拒绝这段历史 | 超预算则不落盘该 assistant，或先写入合成的 error 结果再停 |
| N2 | 并行工具的事件回调有数据竞争 | `executeParallel`（`loop.go` 约 366 行）每个工具一个 goroutine 调 `runOne`→`emit`。`adapters/native/backend.go` 约 332 行的 OnEvent 无锁写同一个 `strings.Builder` | `-race` 会报；日志交错 | 串行投递事件，或每工具私有缓冲再合并 |
| N3 | MCP stdio 取消后读协程不退出 | `runtime/mcp/stdio.go` 的 `readResponseLine`：`ctx.Done` 返回后，后台 goroutine 仍在 `ReadBytes`。下次调用再起一个读者 | stdout 帧错乱、卡死 | 取消时关闭进程，或单读循环按 id 分发 |
| N4 | 预设与真实客户端协议不一致 | `runtime/llm/client.go` 固定 POST `…/chat/completions`。`BuildBody` 的 Anthropic / Google 分支不被该 Client 使用。Anthropic body（`providers.go` 约 303 行）把 tool 结果收成普通 user 文本，不带 tool_use / thinking 签名，也不挂 tools | 选 anthropic / google 预设不能多轮工具 | 按 Protocol 分流真实客户端；未实现的协议不要出现在可用预设里 |
### P1
| 编号 | 现象 | 证据 | 方向 |
|---|---|---|---|
| N5 | token 预算只在回合开头检查，超限后本轮工具仍执行 | `loop.go` 用量在 consume 之后累加，执行工具前只查 `MaxToolCalls` | 累加后、执行工具前再查 token 预算 |
| N6 | `Stop.Replacement` 只改内存 | `loop.go` 改最后一条消息内容，不 `persist` | 追加更正记录或提供改写 API |
| N7 | compaction 按条数裁尾，可切断工具配对 | `runtime/session/compact.go` 的 `keepLastN` 不按 tool 组对齐。现有测试没有工具消息 | 裁切对齐 tool_calls 与 tool 结果 |
| N8 | compact 与 append 有并发窗口 | compact 读完条目后解锁再摘要，再加锁追加 | 摘要期间禁止追加，或按版本号 CAS |
| N9 | 会话追加无 fsync、无跨进程锁 | `runtime/session/tree.go` 用 `O_APPEND` 写，锁只在单进程内 | 可选 Sync；文档写明单写者，或加文件锁 |
| N10 | 流式错误不落盘、默认不重试 | `loop.go` 遇到错误帧直接返回。`WithRetry` 只在 CLI 包装 | Backend 适配默认重试；写明错误帧是否落盘 |
| N11 | SSE 不拼接多行 `data:` | `runtime/llm/sse.go` 逐行处理 | 按空行分事件再拼接 |
| N12 | 取消一批工具时要等全部结束 | `executeParallel` 用 `Wait`；顺序路径工具之间不看 `ctx.Err()` | 批内协作取消；超时后仍写 error 结果以保持配对 |
| N13 | fetch_url 有 DNS 重绑定窗口 | `runtime/tools/fetch.go` 先 `LookupIP` 校验，`client.Do` 再解析 | Dial 时连已校验的 IP |
| N14 | 宿主自带 `CheckRedirect` 时跳过重定向校验 | `fetch.go` 仅在 `CheckRedirect==nil` 时包装 | 始终链式包装 |
| N15 | write / edit 不是崩溃原子 | `runtime/tools/builtin.go` 直接 `os.WriteFile` | 临时文件再 rename |
| N16 | 按字节截断，破坏 UTF-8 | `builtin.go`、`exec.go`、`mcp/manager.go` | 按 rune 回退 |
| N17 | 工具 schema 校验过松 | `runtime/tools/registry.go` 不强制 `additionalProperties:false`，array / object 一律放行 | 至少拒绝未知键 |
| N18 | MCP「失败重连一次」只有注释 | `runtime/mcp/manager.go` 注释与实现不符，失败只返回错误 | 实现或删注释 |
| N19 | MCP HTTP `Close` 是空操作 | `runtime/mcp/http.go` | 发送 session terminate |
| N20 | 用量把每轮完整历史的 prompt token 累加 | `loop.go` | 分开「上一请求」与「累计计费」 |
| N21 | 毒化轮转状态只在内存 | `adapters/native/backend.go` 的 `lastFailure` | 旁路文件落盘 |
| N22 | 提醒消息是追加的 user 角色 | `loop.go` 的 `withEphemeral`。OpenAI 在 tool 结果之后通常可接受。Anthropic Messages 是否拒绝，待确认 | 用提供方的 ephemeral / system 通道；补一条 Anthropic 往返测试 |
### P2
| 编号 | 现象 | 证据 | 方向 |
|---|---|---|---|
| N23 | `run_python` 的 `ScriptDir` 不经路径解析 | `runtime/tools/exec.go` 约 112 行：`filepath.Join(t.root, ScriptDir)`。该字段只能由宿主配置，模型参数改不了，因此从 P0 降为加固 | `Resolve` 后再用；单测覆盖 `..` |
| N24 | grep / WalkDir 无文件数与总字节上限 | `builtin.go` 只有命中条数和单文件上限 | 加 maxFiles / maxBytes |
| N25 | HTTP 客户端默认超时很长、无空闲读超时 | `runtime/llm/client.go` | ResponseHeaderTimeout 与读空闲超时 |
| N26 | Registry 无锁 | `registry.go` 的 Register / Restrict 与 Execute 并发不安全 | 运行前冻结快照 |
| N27 | SSE 工具名用 `+=` 拼接 | `sse.go` 若 delta 重复全名会拼重 | 仅空时写入 |
| N28 | 绝对路径 jail 用未 Eval 的根做 Rel | `runtime/tools/jail.go`。symlink 根加绝对真实路径是否可绕，待确认 | 校验统一对已解析的根 |
| N29 | `contract/` 与 `exec/` 两套契约 | `contract` 只有 conformance 的 fake 在用；native 实现的是 `exec.Backend` | 保留 `exec`，删除或并入 `contract` |
| N30 | `native.Options` 汇集全部配置 | MCP、技能、压缩、宿主工具、执行、抓取、搜索在同一结构 | 按端口拆分 |
| N31 | `adapters/native` 不透传 Stop / Reminders / RepeatGuard / BeforeTool | `adapters/native/backend.go` 的 run 不设置这些字段 | 小队路径拿不到直连的门禁。透传或由宿主显式配置 |
缺测（本次未找到对应用例）：N1 配对、N2 race、N3 取消双读、N4 Anthropic 线上格式、N7 切断工具组、N13 DNS 重绑定、N6 持久化。
## 3. Agent-Squad（`590fd86`）
### P0
| 编号 | 现象 | 证据 | 影响 | 方向 |
|---|---|---|---|---|
| Q1 | `RequiresApproval` 批准后再次挂起 | `squad/workflow.go` 约 60 行检查 `Approved["step:"+id]`。全仓只写 `Approved["role:…"]`（`engine.go` 约 578 行）。`Respond` 的确认只恢复挂起，不写 step 键 | 该步骤永不执行 | 批准时写入 `step:` 键并落盘；补回归 |
| Q2 | 授权、修复预算、澄清、steering 不落盘 | `runState` 有这些字段（`squad/runstate.go`）。`save()` 只写 workspace、workflow、squad、blackboard、usage | 重启后授权丢失、修复预算归零 | 原子写入 `runstate.json`，Resume 必读 |
| Q3 | 状态文件不是原子写 | `squad/workspace.go` 的 `writeJSON` 直接 `os.WriteFile`。只有黑板用临时文件再 rename（`blackboard.go`） | 崩溃留下半截 JSON，Resume 失败 | 统一 tmp + Sync + rename |
| Q4 | Resume 会重跑 status=running 的步骤 | `advance` 只跳过 completed / skipped / failed（`workflow.go` 约 33 行）。崩溃可留下 running。`Resume` 无挂起则直接 `advance` | 写文件、工具、MCP 副作用重复 | 步骤 attempt id；恢复前把 running 标成待重试并校验产物 |
| Q5 | 没有跨进程 run 锁 | `engine.go` 约 144 行只有进程内 `map` | 两进程可交错写同一 run 目录 | run 目录文件锁，或单写者 |
### P1
| 编号 | 现象 | 证据 | 方向 |
|---|---|---|---|
| Q6 | HITL 超时字段未实现 | `hitl.go` 有 `TimeoutAfter` / `ExpireAction`，无扫描 | sweeper 按到期动作合成决策 |
| Q7 | `Respond` 先删 pending 再应用决策 | `engine.go` 约 477 行先 `saveGate(nil)`。二次回应走「无挂起」 | 先记 answered 再删 |
| Q8 | wakeup 自动批准 confirmation / permission / quality | `engine.go` 约 901 行 | 高风险 kind 禁止自动批准 |
| Q9 | `SweepWakeups` 在锁外改 `WakeupFires` | 先自增写盘再 `Respond`（锁在 Respond 内） | 整段放进 run 锁 |
| Q10 | 并行组无 fail-fast，且丢掉 gate | `runParallel` 等全部结束；忽略 `runOneStep` 的 gate | 失败即取消兄弟 |
| Q11 | 步骤间上下文是过期快照 | `BuildSubWorkspaces` 用当时黑板写 `TASK.md`，顺序执行不刷新 | 每步前用最新黑板和上游产物索引重写 |
| Q12 | LLM 规划失败无回退、无规模上限、目标原文注入 | `planner_llm.go` fail-closed；prompt 直接拼 `Goal.Text` | 可配置回退；目标分段；硬上限 |
| Q13 | intent 步要求注册表里存在名为 intent 的角色 | `materialize` 对每步 `Registry.Get(role)` | `IntentID` 非空时跳过普通角色检查 |
| Q14 | Server 与 platform HTTP 无鉴权 | `server/server.go`、`platform/http.go` | 至少 API token |
| Q15 | run id 未校验 | `filepath.Join(DataDir, "runs", runID)`，id 来自路径 | 拒绝非 `run_` 前缀的安全字符集 |
| Q16 | 请求体无大小上限（webhook 除外） | `handleCreateRun` 无 `MaxBytesReader`；webhook 才有 256KiB | 全局 body 上限 |
| Q17 | SSE 扇出关闭竞态、慢消费者丢帧 | `progress.go` default 丢帧；回放 goroutine 往已关闭 channel 写 | done 信号停回放 |
| Q18 | 事件序号重启后从 1 重计 | `store/eventsink.go` 的 seq 只在内存 | 启动时读最后一行 |
| Q19 | Claim 并发上限先查后改；未开 WAL | `platform/queue.go` 先 COUNT 再 UPDATE；`db.go` 只有 busy_timeout | 单条条件更新；`journal_mode=WAL` |
| Q20 | 文件 runs 与 SQLite 两个真相源 | `platform/db.go` 注释；server 可同时挂两者 | platform 降为 Store 实现，状态以图执行为准 |
| Q21 | `StepSpec.Needs` 未参与调度 | 只定义在 `models.go`。调度看相邻 `Parallel`（`workflow.go`） | 实现 DAG 或删除字段 |
### P2
| 编号 | 现象 | 证据 | 方向 |
|---|---|---|---|
| Q22 | leader 先 `Turns++` 再执行 | `leader.go` 约 242 行 | 成功后再递增 |
| Q23 | `MaxLeaderTurns` 用尽直接失败，无降级收口 | `leader.go` | 可配置收口 |
| Q24 | 步骤重试共享同一个 deadline | `workflow.go` 约 209 行。短超时下重试几乎无预算 | 文档写明，或每次重试单独预算 |
| Q25 | 角色与蓝图写盘忽略错误 | `store.go` 的 `_ = os.WriteFile` | 原子写并返回错误 |
| Q26 | 人工 retry 直接把修复预算加一 | `engine.go` 约 608 行。是否有意，待确认 | 设上限 |
| Q27 | 拓扑写死 | standard / leader / router 在引擎内分支，无 Topology 接口 | 插件接口 |
缺测：Q1 全路径、Q4 从 running 恢复、Q5 多进程、Q6 超时、Q8 自动批准、Q15 路径穿越。
## 4. Agent-Intent（`1dbbe81`）
### P0
| 编号 | 现象 | 证据 | 影响 | 方向 |
|---|---|---|---|---|
| I1 | `Classifier.Refine` 返回值不校验 | `intent/recognizer.go` 约 97–123 行：不检查 ID 是否属于原候选，不把置信度限制在 0 到 1，不禁止改 Metadata / Handler。失败才保持 Ambiguous | LLM 分类器可以把任意 ID 抬成 Top | ID 集合必须相等；置信度钳制；禁止新增特权字段 |
| I2 | 槽位校验器是进程级全局表 | `intent/slots.go` 的 `slotValidators sync.Map`，无注销、无命名空间 | 多 Registry 同名互相覆盖 | 挂到 Registry / Options |
### P1
| 编号 | 现象 | 证据 | 方向 |
|---|---|---|---|
| I3 | 中文子串匹配、无词界 | `intent/registry.go` 约 120 行 `strings.Contains`。语料只有正向命中 | 词界模式或最短词长告警；补假阳性负例 |
| I4 | 只做 `ToLower`，无 NFKC / 全半角 / 繁简 | `recognizer.go` 折叠；slot normalize 仅 trim / lower / upper | 可选 NFKC；文档写明无繁简 |
| I5 | 同分恒为 Ambiguous，priority 不参与裁决 | 分差小于 margin 即 Ambiguous（`recognizer.go`）。priority 只用于排序 | 允许 margin 为 0 时按 priority 决胜。当前 `<=0` 会被改回 0.1（`registry.go`） |
| I6 | 分类器解歧后的 Top 可能没有槽位 | `candidatesOf(..., false)` 先不抽槽 | 裁决成功后再对 Top 抽槽 |
| I7 | Snapshot 的 Metadata 浅拷贝 | `SpecByID` / `Catalog` 拷贝 map 但共享底层 | 深拷贝 |
| I8 | Catalog 整表输出 Metadata 与 Handler | `intent/catalog.go` | 白名单键；默认不进 Markdown |
| I9 | 闸门钉死旧 `*Snapshot` | `squadintent/gate.go`、`adapters/intentgate` 不持有 Registry | Reload 后须重建，或持有 Registry |
| I10 | 识别是全量线性扫描 | `evalRules`，上限 2048 | 规模上来再做倒排；先写明上限 |
| I11 | 多槽位各自第一次匹配，无重叠消解 | `intent/slots.go` | 文档写明；冲突时标歧义 |
| I12 | 否定只靠 `excludes_any` 子串 | 语料 `negated_write_readonly` 依赖硬编码「配置」 | 不在库内做语义否定；交给命令层的 Cancel |
### P2
| 编号 | 现象 | 证据 | 方向 |
|---|---|---|---|
| I13 | pattern 无长度上限 | 条数上限 `MaxPatternsPerSpec=32`，单条无长度限制 | 构建期限制长度 |
| I14 | 评测语料约 10 条，无 precision / recall | `testdata/corpus.json` | 多轮、逐轮期望命令，输出指标 |
已核实相对健全：Snapshot 用原子指针交换且失败保留旧快照；正则在构建期编译（RE2）；同分排序稳定（score、priority、注册序）。
## 5. 与产品侧的关系（不在三库内，供路线引用）
这些能力今天在 Backend，提案主张下沉到库，本次不改：
- 终轮验证与计划提醒：`modules/backend/internal/runtime/verify.go`
- 评审流水线：`internal/runtime/review.go`
- 工作流执行与 critic：`internal/runtime/workflow.go`、`internal/workflow/`
- 子代理循环与 profile：`internal/runtime/sub_loop.go`、`internal/prompts/library/agent-sub-*.md`
- 后台子代理通知：`internal/runmgr/runmgr.go`
- 直连回合：`internal/runtime/llm_direct.go`（约 692 行）
`core.WorkflowDef` 仍是插件作者面对的契约。执行器与 `squad.WorkflowPlan` 是两套编排。