Agent-System/.doc/ops/short-term/2026-09-15-multi-intent-hitl.md

title, status, created, updated, owner, branch, worktree, mutex

title	status	created	updated	owner	branch	worktree	mutex
多意图持久计划与 HITL（核心 U1–U8，扩面 U9–U12）	in_progress	2026-09-15	2026-09-22	Cursor	-	-	-

多意图持久计划与 HITL（核心 U1–U8，扩面 U9–U12）

W1-D 对账（2026-09-22）：伪完成降级。U1–U8 步骤与独立单元报告已落地，但本总览 11 条验收标准全部未勾（含真实 PI E2E），且 U9–U12 步骤未完成 → done 改为 in_progress。FEATURE-MATRIX「多意图持久计划」行保持 partial。

目标

不回退现有模块解耦、单意图行为和权限边界，交付可持久、可恢复、可并发裁决的 2–4 步计划；所有批量生成/写入/控制确认前零副作用，执行前逐动作重新授权。

权威文档

• 详细设计与计划
• 复核审计
• 模块边界 SSOT

强制约束

• internal/intent 继续只依赖 maturity；新生命周期归 internal/app/intentflow；
• 确认不是授权；每步由动作 owner 按当前主体、状态和版本重新鉴权；
• PG plan state 权威，卡片/SSE 仅投影；
• 每步一个业务事务，不做跨模块长事务；
• 中间结果不进 FAV；
• 新行为从 legacy/shadow 开始，回滚不丢已有计划。

波次

波次	单元	交付	依赖	主 mutex	go/no-go
W0	U1	模块/API/状态/事件契约	无	intent,events	arch/event/table owner 全绿
W1	U2	纯规则提案 shadow	U1	intent	不改路由，安全错误为 0
W2	U3	intentflow + PG/CAS/lease	U1,U2	intent-plan	两 worker 无双 owner/执行
W2	U4	outbox + 投影	U3	events	projection diff=0
W3	U5	decision API + 授权端口	U3	intent-plan,server/authz	权限负例全绿
W3	U6	Web 卡片/刷新/a11y	U4,U5	web	双标签/reload 无假成功
W4	U7	低风险只读执行	U4-U6	intent-plan,chat	legacy 无回归
W4	U8	task generate adapter	U7	taskrun,intent-plan	首版 real PI 闭环
W5	U9	可选 LLM adapter 实验	U2,U7	intent-plan,pi-agent	不阻塞首版；达阈值才启用
W5+	U10	low mutate 逐 action 扩面	U8	实际 owner	单 action 签署
W5+	U11	docgov 逐 action 扩面	U8	docgov,intent-plan	单 action 签署
W5+	U12	workflow/run-control 分项扩面	U8	workflow/taskrun	分项签署

本文件仅是总览，不长期占用一个 mutex。实施时每个 U-ID 新建独立 short-term、分支和认领；U10–U12 还必须按 action 拆分。核心首版为 U1–U8，U9 与后续 owner 扩面不阻塞首版关闭。

步骤

1. U1 冻结边界、状态机、批量策略、错误码、事件和默认 legacy tier（独立任务；报告）；
2. U2 characterization-first 建 golden/hard-negative 与 shadow 基线（独立任务；报告）；
3. U3 建 intentflow owner、PG schema、CAS/lease/fencing/retention（独立任务；报告）；
4. U4 接 Track E outbox/dispatcher，只投影状态事实（独立任务；报告）；
5. U5 建统一 decision command 与动作 owner 授权端口（独立任务；报告）；
6. U6 取消计划动作的前端本地成功路径，以 PlanView 恢复（独立任务；报告）；
7. U7 只开放独立低风险查询（独立任务；报告）；
8. U8 只接 task generate，完成首版闭环（真实 PI 环境缺失记 stop-gate）（独立任务；报告）；
9. U9 作为独立可选实验接语义分段；
10. U10–U12 分别按 mutate/docgov/workflow/run-control owner 扩面。

验收标准

• 含写/生成/控制时，确认前相关表、任务、文档和工作流零变化；
• 两标签确认/取消只产生一个决策和至多一次动作；
• 服务/worker 重启后 PG 恢复，成功步骤不重跑；
• 确认后权限或资源版本变化时 fail closed；
• 跨用户/项目/会话读取和决策被隐藏；
• 按钮与自然语言确认得到同一服务端 receipt；
• intent 边界、单一写者、UoW、事件静态契约和组合根无回退；
• 无活动计划时单意图生成保持；有活动计划时不创建第二任务；多意图生成需确认；
• 部分确认可稍后处理未选项，只有显式排除才取消；部分完成可重试、继续或关闭；
• 双标签/刷新/重开/SSE 重连真实页面通过；
• 适用的真实 PI E2E 通过，stub 不冒充验收。

非目标

• 4 步、并行 DAG、多活动写计划自动合并；

• 跨步骤 ACID/自动补偿；
• coordinator/chat 全量重构；
• FAV 启用或中间产物归档；
• 改变单意图生成策略。

交付纪律

• 每单元记录精确边界影响、适用测试、go/no-go、回滚、branch/commit/merge/push 状态；
• 每单元独立 test report、CURRENT 认领/集成槽和 FEATURE-MATRIX 回链；
• 安全、越权、双执行或刷新差异任一出现，停止当前 tier；dispatcher 故障只停投影；LLM 故障进入澄清。

相关链接

• Checklist: U1；U2；U3；U8
• Handoff: 每个 U-ID 独立建立
• Test report: U1；U2；U3；U4；U5；U6；U7；U8

证据 / 备注

• 当前 plan_builder.go 最多两段且写意图返回 nil；action_planner.go 的确认仍是文字提示。
• 当前 module-boundaries.yaml 中 intent 仅依赖 maturity；Track E live，FAV off。
• U1 已冻结 intentflow 契约、事件与 BatchActionPolicy，默认 MULTI_INTENT_PLAN_TIER=legacy。
• U2 已落地规则分段与 shadow PlanProposal；生产 TopIntent / IntentPlan 不变；反事实 false_auto_execute=0。
• U8 已落地 confirm 落盘与 task.run adapter；默认 legacy 不落盘。U9–U12 不阻塞核心首版。共享环境 schema 45 待晋升窗口。