Agent-System/.doc/audit/2026-09-15-multi-intent-hitl-plan-review.md

title, status, created, updated, severity

title	status	created	updated	severity
多意图与 HITL 方案复核	done	2026-09-15	2026-09-15	high

多意图与 HITL 方案复核

结论

提案方向合理，且可复用现有 IntentFrameV2、ActionRegistry、PendingExpectation、交互卡和可靠事件骨架。但初稿不能直接实施：它会让 LLM backend 进入 internal/intent、把跨模块执行继续堆入 coordinator，并以不足以抵御多实例竞态的 PlanID+StepID 代替状态机和动作幂等，存在解耦回退、越权和双执行风险。

已按审阅结果重写系统设计与任务总览。本次仅修改文档，没有实施业务代码。

已确认问题

P1：原 LLM 接线破坏 intent 纯模块边界

初稿要求在 internal/intent/segmenter.go 经既有 agent.Backend 分段；当前边界只允许 intent -> maturity。照此实施必然新增 intent 到 agent/coordinator 的依赖。

整改： 规则分段留在 intent；可选 LLM 仅作为 app/intentflow 外围 adapter，返回不可信分段建议，每段重新走确定性识别、安全扫描和 ActionRegistry。任何阶段都禁止 intent import agent、PG、storage 或 coordinator。

P1：计划持久化缺少权威状态机与并发协议

初稿两表只有宽泛 status/payload，PlanID+StepID 只是标识，不能防重复确认、确认/取消/过期竞态、两个 worker 同时执行，也不能处理业务成功而步骤 receipt 未落库的崩溃窗口。

整改： 增加 plan revision/digest、append-only decisions、expected revision、decision nonce、步骤 CAS、lease/fencing、动作级幂等 receipt 和恢复对账。PG 是唯一权威；UserProjectContext/消息只保存 plan 引用。

P1：确认未与当前授权绑定

持久化 user/role 或用户曾经确认都不能证明执行时仍有权。原稿没有要求恢复、读取和每步执行重新检查当前项目成员、duty、资源生命周期与版本。

整改： 确认只记录意愿；所有读取/决策验证 user/session/project 四元作用域；每步由动作 owner 按当前 principal 和 expected resource version 重新授权。失败 fail closed，不以系统身份代执行。

P1：执行器方案会让 coordinator 再次成为 service locator

初稿拟扩展 coordinator/action_planner.go 的分发表来执行写动作，会把 docgov/taskrun/workflow 等具体实现重新聚集到 coordinator，抵消已完成的 chatflow/stageflow/bizdev 解耦。

整改： 新增深模块 internal/app/intentflow 作为计划生命周期 owner，通过消费者拥有的窄端口调用动作属主；coordinator/chat 仅保留兼容入口，组合根唯一装配。

P1：事件与 SSE 被混为一条通道

现有 Track E 只处理注册的 PG 事件，不会自动把任意 delivery 变成 SSE。若只发 SSE，刷新丢失；若只写 outbox，浏览器不会自动得到状态。

整改： 计划状态同步落库；outbox 只发布版本化状态事实并驱动消息/read model 投影；SSE 是提交后的提示。刷新总是 GET PlanView。事件先登记 YAML、StaticContracts 和 payload allowlist。

P1：不确定分段会退回单意图执行

“置信下降/指代补全失败就合并回单意图”与“不确定必须澄清、未确认零副作用”矛盾，仍可能执行 TopIntent 并丢弃其余任务。

整改： 只有确定为完整单意图连动时才合并；低置信、指代失败或无法证明完整一律澄清，保留候选理解但不执行。

P1：数据复制与步骤传递缺少信任边界

初稿可能把原文、槽位、结果复制到 JSONB、日志、事件、SSE，再把查询摘要直接注入 task brief，扩大敏感数据面和提示注入路径。

整改： 计划保存消息引用/digest/allowlist display snapshot；事件和日志仅传 scope、状态与安全摘要引用；步骤间使用带 provenance/type/digest/sensitivity 的 ResultReference。结果只能进入隔离材料区，不能修改 action、target、tool 或 capability。

P1：灰度开关顺序错误

现有 MULTI_INTENT_ENABLED 默认 true；初稿到最后一阶段才新增 tier，会让中间合入的行为缺少默认关闭门。

整改： U1 先建立默认 legacy 的新 tier；U2 只 shadow；auto_read 先维持两个查询的当前上限；确认和每个动作 adapter 分档开放。回滚必须继续支持已有计划读取/取消/收口。

重要产品修订

• 无活动写计划时单意图生成行为保持不变；多意图 generate 的确认/tier/adapter 能力由 intentflow BatchActionPolicy 管理，静态风险仍引用 ActionRegistry；
• 计划卡默认显示一句摘要和主动作，详细风险/步骤折叠展开，降低认知负担；
• 自然语言“确认”只有在当前会话恰有一个活动可见计划时才绑定；多计划或混入新任务时澄清；
• 聚合澄清不承诺一次自由文本必然填满所有槽位；只接受可唯一映射值，槽位依赖/冲突继续追问；
• 部分确认默认是分批批准，未选项保留待确认；只有显式排除才取消，部分完成提供重试/继续/关闭；
• 单意图生成兼容承诺只适用于当前没有活动写计划；有活动计划时统一冲突视图，避免双任务；
• 多意图价值必须用采用率、确认放弃率和拆单回退率证明；价值不足时停止写动作扩面，但保留“不静默丢任务”的安全改进。
• 批量确认、tier 和 adapter 策略归 intentflow 的 BatchActionPolicy；ActionRegistry 只保留动作身份与静态风险，避免编排政策回灌 L1；
• 计划卡折叠态仍显示目标、最高风险、不可撤销副作用和非原子语义；技术元数据才可折叠；

并发与权限检查表

• 同 turn 同 digest 返回原计划；同 turn 异 digest 冲突；
• decision 带 expected revision、nonce 与 digest；
• plan/step CAS 与单调 fencing；
• fencing 和幂等占位必须进入动作属主事务，只锁计划行不足以阻止旧 worker 副作用；
• confirm/cancel/expiry/edit 只有一个胜者；
• 部分确认必须依赖闭包；
• 双标签、双实例、worker 接管最多一次副作用；
• 跨 user/project/session 不可读、不可确认且不泄露存在性；
• 确认后成员/职责/资源状态变化仍会拒绝执行；
• SSE 重复、乱序、缺失由 GET reconcile；
• CSRF/Origin 沿用服务端认证策略，nonce 不冒充 CSRF。
• active-plan discovery 是刷新必需入口，不能依赖消息投影中恰好保存 plan_id。

范围与任务修订

原 T1–T5 被重拆为核心 U1–U8、可选实验 U9 和属主扩面 U10–U12：契约门禁、纯规则 shadow、持久计划、事件投影、决策/授权、Web、只读执行、task generate 首版、LLM adapter、mutate/docgov/workflow-run 分项扩面。每个单元有独立依赖、文件范围、测试、停走门与真实 mutex。总览不长期占用 intent；每个 action 仍需独立 short-term。

评审覆盖

• 本地视角：coherence、feasibility、security、scope、product、design、adversarial；
• 独立 cross-model：Claude Opus 5/high 的 security、product、adversarial 与 whole-document sweep；
• cross-model 审的是初稿，其关于 LLM 输入、plan ACL、结果传递、幂等、产品价值和确认负担的有效意见已纳入修订；其余由当前代码与边界事实校正。

关联整改

• System design: 2026-09-15-multi-intent-hitl-plan.md
• Short-term: 2026-09-15-multi-intent-hitl.md

证据

• internal/intent/plan_builder.go：首连接词、两段、写意图返回 nil；
• internal/coordinator/action_planner.go：pending confirm 仅文字提示；
• internal/intent/registry.go：task.run/adhoc 为 medium 且当前不全局 RequiresConfirm；
• internal/intent/flags.go：MULTI_INTENT_ENABLED 默认 true；
• .doc/system-design/module-boundaries.yaml：intent 只依赖 maturity，Track E/table owners 已登记；
• internal/events/registry.go：事件须静态注册；
• internal/app/uow/uow.go：不透明 TxScope；
• web/src/App.tsx：现有 card action 含前端本地业务状态路径。

开放问题

无阻塞性架构问题。各放量阈值必须在 U2 shadow 基线形成后预注册；这属于实施期量化，不授权跳过停走门。