附录 B：可判定的 Harness 架构评审表

使用方法：逐项登记“通过 / 不通过 / 不适用”，绑定配置、测试、事件或演练报告。表中 K 为适用范围内的关键项，O 为运营完善项；R0–R4 沿用第九章的动作风险等级，最终按实际资源和数据流判定。“不适用”必须有风险负责人具名理由，缺证据不等于不适用。R3/R4 任一适用 K 项未通过，均阻断生产自治。

每项评审记录都须补齐：适用动作与风险等级、K/O 标记、故障点与重试范围、验收证据及保留期、结论、不适用理由、责任人和到期时间。恢复演练还应列出崩溃点、并发重试次数、下游去重或查询能力及观察窗口；有限演练只支持该范围内的结论。

任务与完成

检查项	适用范围／等级	合格判据	不合格的典型症状	依据
目标是否版本化	K：R2–R4；R0/R1 可轻量记录	完成契约含交付物、不变量、预算、权限、验收、变更规则与负责人	目标静默变化	第十、二十七章
停止是否与完成分离	K：全部	结束一轮、取消、待回复与任务完成分别记录；只有声明完成才执行验收	取消也等待成功门；最终文本直接触发提交	第六、十章
是否生成证据包	K：R3/R4；其余按验收要求	输入、产物哈希、检查、授权、批准与提交后验收可关联	只有最终文本或截图	第十、二十五章
外部提交是否独立授权	K：R3/R4	提交权限受可信边界管理；拒绝、未知决定及过期授权均不执行	Agent 自报成功后自动生效	第九、十章

上下文与记忆

检查项	适用范围／等级	合格判据	不合格的典型症状	依据
上下文来源可见	K：R2–R4；其余 O	承重片段有来源、版本、选择原因和成本记录	不知道规则从哪里注入	第七章
压缩不覆盖权威状态	K：使用压缩的任务	状态保存在上下文外；压缩后比对基线并核验引用	摘要漏掉授权限制	第六、七章
记忆有写入与撤销门	K：跨任务记忆	候选、验证、作用域、有效期与责任人齐全；撤销后复查派生对象	一次成功自动写入全局记忆	第七、二十一章
检索先做隔离	K：私有或多租户数据	先按身份、租户与分类过滤，结果保留信任标签	跨租户召回或公开内容提升为指令	第七、九章

工具、环境与副作用

检查项	适用范围／等级	合格判据	不合格的典型症状	依据
动作契约稳定	K：有工具执行	参数、错误、版本、截断和产物语义明确	全部失败都是 error	第八章
外部副作用可对账	K：R2–R4 写动作	意图先持久化；声明天然幂等、下游按键去重、可靠对账后决定或禁止自动重放；未知结果待对账	超时后直接重发或重付	第六章、附录 A
工作区可重建	K：可执行验收	输入版本、镜像、依赖和初始化可固定	只在原机器上能通过	第四、六章
沙箱边界经验证	K：通用执行／不可信代码	按威胁模型测试文件、网络、进程、挂载、资源与身份	使用容器即宣称隔离	第九、十七章
不可逆动作有处置路径	K：R3/R4 不可逆动作	事前授权、限额、提交回读和事故处置有证据；补偿能力单列	把软件回退等同撤回已发送消息	第九、十章

权限与供应链

检查项	适用范围／等级	合格判据	不合格的典型症状	依据
身份、授权、批准分开	K：R1–R4 受控资源	主体、临时授权、决定与审批人可追踪	登录成功即拥有全部权限	第九章
凭证受限且不进上下文	K：使用凭证	代理按动作注入短期受限凭证；入日志前脱敏	令牌出现在提示或技能中	第九、二十六章
委派授权不扩大	K：使用子代理	转授不超范围；独立专家的执行权与调用者委派权分别校验；预算原子预留	子代理继承宿主全部秘密	第十一章
扩展供应链可撤销	K：安装扩展	来源、版本、权限与责任人明确；hook 更新差异重新审查，撤销可停止后续执行	已信任插件更新后新增命令免审批	第九、二十一章
提示注入有系统测试	K：不可信输入可影响后续动作，含 R0 读取	覆盖间接注入、数据外泄和跨域组合	只测试口头拒绝	第九、二十三章

Durable 与多 Agent

检查项	适用范围／等级	合格判据	不合格的典型症状	依据
中断可恢复	K：承诺恢复的任务	在已声明崩溃点、重试次数和下游条件下，状态不变量保持，未知结果进入对账	崩溃后重放未知写动作	第六章
取消能收敛	K：长任务／后台执行	停止派发，处理后代、凭证和在途副作用；未停资源保留清理责任	界面取消但后台无主执行	第六、十一章
并行写入隔离	K：并行写任务	写集隔离或冲突受控，合并版本重验	共享目录互相覆盖	第十一、十四章
责任转交有结构化交付	K：使用 handoff	目标、已做、产物、未决、权限和预算齐全	只返回“已完成”摘要	第十一章

Eval、运营与进化

检查项	适用范围／等级	合格判据	不合格的典型症状	依据
评测集用途分开	K：选型／进化／泛化主张	开发、验证、密封终测、回归分别管理，记录访问与反馈	隐藏检查反复用于修复仍称独立终测	第十二章
报告重复试跑与切片	K：性能晋级主张；其余 O	固定任务、环境和预算，报告区间、成本和关键切片	只报一次最好成绩	第十二、十八章
轨迹骨架完整	K：R3/R4；其余按恢复要求	关键事件按保留规则全量记录；对账新建、未闭合和已终止运行	崩溃任务从统计分母消失	第十二章
候选与裁判隔离	K：自动优化／独立验收	可变范围明确，候选不可改裁判、密封集或根授权	可改评分逻辑与分母	第十九、二十四章
软件发布可灰度与回退	K：运行配置发布	固定任务版本，记录灰度与版本回退演练；业务副作用另处置	换回提示就声称撤销业务提交	第二十四章
版本沿袭可解释	K：R3/R4 版本发布；其余 O	父版本、修改、数据、评测、批准、事故与退役齐全	无法回答为何上线	第二十四章

最终判定

• 阻断：R3/R4 任一适用 K 项失败、缺证据或责任未闭合，均不进入生产自治；不可逆动作按预防、回读与事故处置判定，不虚称可以回滚。
• 限域上线：缩小后的动作范围内适用 K 项均通过，O 项仍有缺口；明确低风险范围和人工提交边界，不把降级环境结论用于高风险生产。
• 生产候选：所有适用 K 项有证据支撑，并在登记的故障范围内完成正常、拒绝、超时、取消、崩溃、恢复与验证器失败演练。

通过只表示在所列条件和观察窗口内未发现违反任务不变量的行为，不证明零丢失、零重复或零风险。评审记录应注明适用范围与到期时间；只读代码 Agent 的结论不能继承给可写生产数据库的 Agent。