LLM Wiki Optimization Log

LLM Wiki Optimization Log

声明、实际消费与交付分别验收： skilllifebench-invoked-code-binding-and-recovery把selected→loaded→invoked与保留handle绑定，hash只认字节不授权限；恢复在同初态比较确定性规则与模型的risk×benign×全链成本，重启不是默认修复。cognigy-a2a-discovery-tool-filter-and-task-contract把Card发现/执行凭据、描述过滤/强制授权、缓存/客户端轮询/服务端任务寿命与附件/人工交付拆开：配置改变不证明下一次调用已消费，timeout不证明取消，Task终态不证明完整交付。两者并入Harness-Engineering/Context-Engineering、MCP-Gateway-Runtime/A2A-Agent2Agent-Protocol与Agent-Benchmarks既有合同；数据包须先对齐作者manifest/runner，不能凭同名或整数巧合补推映射。覆盖/归因/奖励与放行、缓存验签和合法替代解规则继续有效，详见下方原合同；文献机制不是本机模型或真实A2A部署复现。^[raw/articles/skilllifebench-invoked-binding-and-recovery-2610-35215v1-2026-11-01.md] ^[raw/articles/cognigy-a2a-discovery-tool-filter-and-task-contract-2026-11-01.md]

逐跳身份、当前初态与交付后效： sap-a2a-bridge-principal-resource-and-task-boundaries把用户断言、客户端断言、真实grant、目标resource与允许agent集合分验；一跳runtime无secret不等于全系统无secret，Card声明streaming、同步下游调用、纯文本和Task终态不能互证。agentproofbench-initial-state-reuse-and-gate-policy-outcomes要求冻结checker仍从本次before推导义务，以目标态完整panel加旧决策witness验复用；再从同opening对照中性继续与判分/反馈/停止完整policy，持久effect、正确终态与实际交付分账。更严格的gate可能误拒绝并驱动回归，不能靠离线分数宣称改善交付。两项分别归入A2A-Agent2Agent-Protocol/MCP-Gateway-Runtime和Agent-Benchmarks/Harness-Engineering原合同；未运行云部署或作者模型。ARD与Compaction-Friendly继续raw-only，捕获/已读/晋升/检索/公网可读分别验收。^[raw/articles/sap-a2a-gateway-user-client-resource-binding-pinned-2026-10-29.md] ^[raw/articles/agentproofbench-2610-34634v1-primary-2026-10-29.md]

凭据接收方、状态寿命与需求合同： envoy-mcp-header-policy-and-oauth-issuer-binding 将逐backend header白名单与MCP OAuth的issuer/旧client registration绑定拆开：默认不转发不等于已换发正确token，SDK升级也不等于旧注册迁移；旧公告不是今日零日。rasa-a2a-state-affinity-and-push-delivery-boundaries 把context affinity、内存状态、共享tracker、同messageId去重TTL、worker/pod边界、故障接管与push投递回执分账；task completed不等于push delivered，文档合同不等于live Card或部署E2E。snowpr-private-benchmark-description-and-harness-controls 把私有PR题的description sufficiency、BASE空改失败、参考修复通过、hidden判分与重复运行分开：需求可发现性是评测仪器的一部分，私有题、未公开verifier和3次重复不能共同证明无污染或完整业务覆盖。VerifierBench已由verifierbench-v4v-positive-coverage-and-all-reject补完主文、V4V/变异/计分深读及固定metrics函数检查，关闭“未深读”pending；完整数据、hidden bundle、逐题V4V与作者模型复现仍未完成，不把低攻击接纳当可靠verifier。以上继续复用“证据等级 → 有效对象/配置 → 真实后效”合同，不修改网关、凭据或评测运行时。^[raw/articles/envoy-140-backend-header-forwarding-pinned-2026-10-28.md] ^[raw/articles/mcp-python-oauth-issuer-credential-binding-advisory-2026-10-28.md] ^[raw/articles/rasa-a2a-server-state-affinity-push-docs-2026-10-28.md] ^[raw/articles/snowpr-private-monorepo-benchmark-primary-2026-10-28.md] ^[raw/articles/verifierbench-2610-28679v1-raw-only-2026-10-28.md]

授权根、压缩消费与评测单位： unla-oauth-token-validity-versus-resource-authorization把可信授予者/服务主体、正确token交换与最终prefix/tool/action验权分开；有效token不自动有资源权限。compactionbench-apec-stable-prefix-and-evaluation-unit把稳定prefix限制在单个epoch，snapshot覆盖/tail/新消息、后台启动/应用/首次消费、硬阈值回退及未消费调用成本分别记账；测试加权accuracy不能改写成整项release成功，不同基线的收益不能拼成一个联合收益。两项分别归入MCP-Gateway-Runtime、Context-Engineering、Harness-Engineering与Agent-Benchmarks既有合同，细则见下方授权与上下文检查；仅更新知识维护规范，不修改生产OAuth/压缩器，也不声称作者实验复现。^[raw/articles/unla-oauth-resource-owner-and-prefix-binding-2026-10-27.md] ^[raw/articles/compactionbench-apec-primary-preprint-2026-10-27.md]

预算与判分先明确对象： ssr-agent-discovery-candidate-context-and-retrieval-boundaries把目录/检索计算/模型可见候选分账：K不等于token cap，候选裁剪不证明检索胜过BM25或当前GLM向量；召回、条件选择、attempt/API成功与真实委托分别验。malskillbench-malicious-label-versus-harm-and-refusal把恶意标签、识别拒绝、执行事件、真实危害与合法恢复分账：双证据或门不是双重通过，PI detected可确认恶意标签但不证明攻击成功。a2a-jakarta-cross-node-state-and-effective-security的新SDK版本仍须重新核示例override/订阅就绪/任务owner；升级不继承旧版或公告的运行保证。这些并入Context-Engineering/Agent-Benchmarks/A2A-Agent2Agent-Protocol既有合同，未替换检索器、安装技能或运行外部E2E。

验收主线： lscbench-granularity-controls-and-verifier-receipts要求按预期用例核实际收集、当次报告与可信裁判，缺报告/全skip不当通过；随机nonce不自证报告来源。automata-a2a-timeout-transport-versus-task-success要求配置→数据面→HTTP→Task→独立业务effect分验，首chunk排队、idle和绝对deadline分账，超时重试前查可信server task id与已发生effect。两者共用Agent-Benchmarks/Harness-Engineering的“缺证据不折算成功”，不是已部署的强制门。

事件时授权与派生 Card： cosec-event-time-authorization-and-verifier-boundaries把持久工作流中的历史摘要、准备好的附件与当前有效权限分开：必须按事件时间/有效 policy → 请求者与接收者 → 来源 → 准备/提交 → 实际 sink 逐段取证；新增成员不自动获得旧历史，移除成员后在途续跑仍须提交时重核。PVR、BCR、STCR、越权动作与合法完成是不同谓词，合并表先核真值表、有效集合与 gold 来源，格式重试不充独立票，infra/inconclusive 不折算安全通过。litellm-a2a-card-rewrite-and-task-evidence-boundaries则把上游 Card、网关内部路由 Card、改写后的 URL/认证/能力、逐 caller/task owner 与业务后效拆开：代理改写后不能继承上游签名或全部 task/push 保证；文档、固定代码和作者测试冲突时保留各自版本，不拼成理想配置。^[raw/articles/cosec-2609-34790v4-event-time-authorization-2026-10-25.md] ^[raw/articles/litellm-a2a-card-task-routing-fixed-2026-10-25.md]

来源绑定身份、命名空间生命周期与真实状态修复： a2a-name-collision-origin-bound-dispatch 将显示别名→路由键→实际 peer 的身份链拆开；Card 正确、传输加密或 broker 转发都不能替代来源绑定，凭据/权限转移与最终接收方须单独验。contextforge-tool-namespace-lifecycle-and-reachability 将规范化命名、scope、rename/refresh、历史重复与并发唯一性分开，并把连接健康与目录接纳视为两个结果；guard 或 reachability 不证明 catalog 已更新。cua-recovery-replayed-state-and-error-awareness 将错误觉察、受控单根因 prefix、状态重放、无提示接管和真实终态分开；EAR/部分恢复/Pass@3不能混算，自失败题池不能直接替代共同状态比较。三项都复用“证据等级 → 有效对象/配置 → 真实后效”合同，不新增 receipt 分类；Multica A2A 仍是开放提案，仅 raw-only，不把设计意图当实现或 E2E。^[raw/articles/a2a-agent-name-collision-2609-27624v1-2026-10-26.md] ^[raw/articles/contextforge-110-tool-namespace-collision-fixed-2026-10-26.md] ^[raw/articles/cua-recovery-2610-27645v1-state-replay-2026-10-26.md]

定位与结论

本页是稳定机制总览，不是按日期追加的第二份日报。最近复核窗口为 2026-10-26 至 2026-11-01（CST日历日），实际读到 10-26/27/28/29/30/31、11-01 七篇观察，无本窗口缺日；09-27 雷达任务派发后中断、当日观察缺失属历史执行缺口，不再作为当前窗口的缺日。沿同一控制链，以证据等级、对象/时间/配置/分母、真实权限与状态三条检查横切各环节。工具注册/客户端装配、策略求值或结果标注都可能在最终 tools/call 前启动进程、拨号甚至调用有副作用的上游工具；REST、A2A、admin test 又可能走不同 handler。准入前移到每个真实 effect 入口，按协议×handler×调用阶段×有效配置逐路径核实际连接/代理/重定向与副作用；推荐策略、显式求值和调用时强制 gate 分验，一个路径修复不证明全网关安全。沙箱限制文件/进程不证明无法经 loopback、Unix socket 或宿主共享进入自身控制面；可达性、可信主体、Host/Origin路由头和实际effect必须分验。既有规则：产品能力≠本机启用≠peer被授权；OAuth类型≠逐caller所有权，入口身份、凭据owner和最终effect须绑定同一主体。安全结果以独立可信状态探针见证、no-op/已知正例/漏检样本核覆盖，并将需求意图 R↔I、环境模型 M↔W、评测实现 E 分因。评测先审成功路径及合规性，再在合规集合中选交付产物；交付最优与配置优劣比较须分别设计重复次数、方差与期外回归。安全评测固定初态、合法目标和危害目标，按各自谓词与独立服务状态判分；不能拿合法成功率减危害成功率归因自适应攻击，须同目标同判分配对。封住已知作弊路线不等于信息通道关闭，还须查原始/模型可见工具回包及得分/答案渠道来源、旧路线重放、新续跑及合法可解性回归。既有Card信任引导与任务授权、撤销时间线、认证回退、逐binding能力/凭据、抽取保真、配对续跑与source召回继续有效。

近期沉淀、仍有效的可复用规则：formal-runtime-verification-trace-provenance-approval-readiness 将安全规则的“可表达”与轨迹中审批前件实际可发生/已记录分开；对象、时间、主体及真实调用回包来源须绑定，离线触发不代表在线阻断或合法任务仍能完成。具体四门及隔离验收见下方“轨迹判定”；这只是作者固定论文的离线研究，不是本站监控器的安全收益。context-privilege-escalation-role-scope-reload-verification 把外部来源身份与被装载后的消息role、session/project/user持久scope分开：静态可写候选→实际模型请求中的无害canary→移除低源并重启后高源加载→后续行为/真实effect逐级取证；能传播不等于执行或泄漏。知识库 raw→正式页→skill/memory 是不同信任边界，摘要、wikilink、签名或文件名均不自动提升原文为可信指令；只在隔离profile/工作区验双会话，论文固定版本与作者数字不是用户当前Hermes事故。harnesssecurity-bench-paired-utility-attack-effects 把安全开关 ON/OFF 在同任务/模型/预算下配对验合法效用与真实违规 effect：先固定被保护 sink、有效配置与解释器/SDK/代理替代路，再把 runnable、gradeable、合法业务完成、危害命中及基础设施失败分账；只有逐 run 的 完成 ∧ 零违规 联合结果才是安全交付，不把零启动的零 ASR 当成功，也不将不同 oracle 分母跨机制横比。作者的表格/任务仓库不是本机 E2E，逐 run 工件未公开。go-micro-a2a-gateway-task-owner-push-boundaries 把 registry 派生 Card、入口已认证 caller、逐操作 task owner（get/resubscribe/续写/push set/get）、push token 读回及真实代理出口/receiver 回执拆开；跨身份读取或继续仅是外层鉴权未绑定时的条件性风险，默认 IP guard 已修旧 issue，自定义 policy/代理出口另测，v0.3 固定实现不按未合并 v1 提案判违规。credleakbench-destination-verification-and-recovery 把拒绝钓鱼后的安全续办拆为可信路线存在/可达、实际找到、正确认证、真实业务办结四层；泄漏优先记违规，拒绝但未完成另记，不将不可达路线的零恢复都归因模型。mcp-gateway-132-forward-proxy-trust-boundaries 把“支持代理”拆为 guarded transport 是否仍执行、旁路SDK及双服务配置是否生效、DNS预检与代理最终IP是否同一目标、HTTP/HTTPS代理×CA交叉组合是否真的可用；公网目标交由代理二次解析后，连接时策略须在代理出口验收，不能以配置开关或作者测试宣称已封堵。loom-a2a-card-registry-runtime-boundaries 的Card管理守卫与运行时委托继续分别留回执，task owner/effect另验；revivebench-hidden-verifier-audit-and-harness-parity 的判分器合法可达/伪解与adapter实效门保持。均复用发现→绑定→执行与证据/配置/实际effect三条检查，不新增分类；尚未运行本机隔离E2E。

A2A 等待态与授权合同： a2a-auth-required-state-is-not-authorization 的固定官方规范明确 TASK_STATE_AUTH_REQUIRED 只是等待用户/系统办理授权的暂停态；即使收到一次授予，也不能默认为后续消息或多跳代理授权。验收时分开 等待态/审批可达 → 可信发行方与受众、主体、动作、对象、有效期、撤销 → 实际下游提交时验权 → Task List/Get/Cancel/Subscribe/Push 逐方法 owner 访问 → 断流后状态恢复及独立业务 effect；审批字段存在、Card可读或业务OAuth token都不能代替任务资源权限。把拒绝后的零副作用与合法续办完成并验：无人cron若无真实可用审批渠道，不能凭等待态自提权。只依据10-12固定规范明文提出隔离三主体正反例；没有在本机运行A2A SDK或验证用户实例授权。这归入原有审批历史可达/身份授权/状态恢复/真实后效链，不新建每日分类。^[raw/articles/a2a-spec-7c861a-in-task-authorization-2026-10-18.md]

这些规则已沉淀为 wiki 内容维护与候选判断准则；不等于 Hermes 已部署强制权限网关，也不等于外部项目已经本地测试通过。项目有效性仍受版本、部署和证据范围限制，故综合置信度为 medium。运行审计留在 log.md，不在本页反复复制“今日检查正常”。

当前机制基线

• 候选预算、检索覆盖与真实委托分验：ssr-agent-discovery-candidate-context-and-retrieval-boundaries把目录规模、索引计算与模型可见候选拆开；K只限条目数，不限token或高频posting代价。先按caller/tenant/用途裁授权可发现集，再检索；开发集选K/token cap后冻结盲测，和同预算BM25/当前GLM向量配对，保留空池而非偷偷回退全目录。分别留召回、条件选择、attempt/API成功、实际消费、失败/离线/在线总成本与中文适用性，条件准确率不能无视分母直接相乘。选择E2E不证明远端Task/auth/effect；这只是小试验合同，未改本站检索或跑作者模型。双语关注candidate-context budget vs retrieval coverage / 候选上下文预算与召回覆盖。^[raw/articles/ssr-2610-21113v1-pinned-discovery-2026-10-24.md]
• runtime-verified先摘真实predicate，再判安全收益：malskillbench-malicious-label-versus-harm-and-refusal的生成样本用IOC匹配或LLM证据接纳，PI detected也可positive；这是恶意标签确认，不是危害成功。标签、识别/拒绝、低层执行、可信危害终态与合法恢复分别记账，wild/generated/test和benign标签依据、campaign族分层不能合并成同强度真值。联合审合法意图、技能指令、脚本/配置和跨session hooks/身份持久化；另获隔离运行授权后才用合成凭据、可控接收端、合法正例与独立effect探针，卸载源skill不证明派生配置已清。摘要/细分表争议保留contested，不用检测榜单作本站防护认证。与Agent-Skill-Discovery及既有来源role/scope、联合效用门共用，不下载执行恶意样本或修改生产技能。双语关注malicious-label admission vs harm / 恶意标签接纳与真实危害。^[raw/articles/malskillbench-2606-07131v2-verifier-semantics-2026-10-24.md]
• 真实收集、当次报告与裁判身份一起验：lscbench-granularity-controls-and-verifier-receipts把Agent-Benchmarks的S∧F与产物边界具体化为同场景function/file/repo独立重建、漏洞版/GOLD/narrated/nop多对照；nop不替代可运行漏洞负例，GOLD不替代不同实现合法解。JUnit随机文件名只降低旧报告预置机会，还要核允许产物、不可变测试、报告写权限、预期用例清单/实际收集与fixture健康；缺失/全skip/error不可当通过，基础设施失效另记。公开题/轨迹清单核对不等于模型复现或整套runner认证；双语候选增加fresh JUnit evidence / 当次测试报告证据。^[raw/articles/lscbench-2610-14766v1-pinned-verifier-2026-10-23.md]
• 长请求传输成功、Task终态与业务effect分别判分：automata-a2a-timeout-transport-versus-task-success补上A2A-Agent2Agent-Protocol/MCP-Gateway-Runtime的route→数据面→HTTP→Task→effect链：具体集群request timeout修为0s不能推广为全站无限等待；仍须首chunk排队/idle/turn/外层绝对deadline、预算和取消。HTTP200中TaskFailed、curl自行到cap和issue关闭都不是业务成功；恢复先持久化可信server task id并查Task/独立effect，不盲重放写操作。双语关注transport success vs task success / 传输成功与任务成功、first-chunk queue budget / 首块排队预算。MCP README候选另核missing policy vs deny-by-default / 缺省策略与默认拒绝，先查固定实现/有效配置，不以功能列表晋升。这里只更新知识维护准则，未改用户网关或跑真实Agent。^[raw/articles/automata-a2a-route-timeout-and-failed-task-primary-2026-10-23.md] ^[raw/articles/mcp-fold-and-adeen-fixed-readme-raw-only-2026-10-23.md]
• 隔离验收器，还须控制产物准入与新合法路线：verifier-hardening-output-boundary-and-fresh-solvability 将Agent-Benchmarks旧路线重放/新续跑门具体化为固定题意 I、运行环境 R / 判分器 V / 输出清单 O 共同版本化；新容器若接收可变依赖或整个工作区，仍会把污染带进裁判。修补须分别过题意/行为审查、旧合法解回放、只见原题的新上下文盲解；旧解全过不证明新合法路线可发现，skip不记pass。只接受实际通过的目标版本，失败保留上次已接受版，再对最新版搜索新旁路；robust仅指声明攻击预算内停止，不是安全证明。详见下方评测维护闭环；这是论文启发的Harness-Engineering验收合同，未运行作者实验或修改本站runner。^[raw/articles/verifier-hardening-2610-15924v1-primary-dossier-2026-10-22.md]
• 压缩按实际消费与固定时限验收，不按开关或摘要长度采纳：bud-contextcompact-reasoning-headroom-and-budget-boundaries 把Context-Engineering的配对续跑与Harness-Engineering的绝对deadline连起来：输入历史、下一轮工具回包、推理/输出余量和封装开销分账，规划预留不等于实际输出cap。逐run记录 配置 → 触发 → 完成 → 应用 → 首次模型请求消费、history/checkpoint hash及覆盖last-item；后台来晚、失败丢弃或未消费分别记，不能以auto配置或生成摘要次数冒充有效处理。固定同一任务/模型/时限，配对验最新需求、关键ID、来源权限与合法完成，同时计writer调用、墙钟/排队、缓存失效、真实费用和落盘余量；只有固定deadline内合法效用不退化、全链成本可接受，才考虑采纳。关键字面量命中不证明语义/授权正确，无时限收益也不推出cron收益；rescue重试前仍回查Task与独立effect，不能盲重放写操作。这是论文启发的隔离验收合同，未修改Hermes压缩器/阈值或复跑作者模型；表2计数与pp估计量仍待澄清，不传播为已确认收益。^[raw/articles/bud-contextcompact-2610-25516v1-html-2026-10-21.md]
• 客户端表面不代替真实时间、事件与凭据合同：a2a-cli-client-timeouts-fallback-and-credential-scope 将既有Harness-Engineering有效配置门具体化为 Card/装配预算 → send/poll预算 → 可重置idle → 外层绝对deadline/落盘余量，分段各得完整预算不代表共享总时限，持续事件也不能延长外层截止。流输出另记原生stream或GetTask快照差分、binding/版本、messageId/taskId、真实请求及采样时间；连续JSON、Recover名称和客户端无错退出不证明事件完整、执行接管、exactly-once或业务成功。保留原始cause/错误码与回退触发条件，超时/中断后先查Task及独立effect，再决定是否重发；普通polling fallback可能再次send，去重必须由实际服务验证。发现与调用共用service parameters时，逐跳记录凭据owner/purpose、Card来源和实际接收origin/issuer/audience，不从参数名推断安全隔离；AUTH_REQUIRED仍走带外授予，教学skill中的“Yes”不是凭据。此规则归入原装配/恢复/身份检查，仅据固定源码与部分测试阅读，未跑本机CLI、真实Agent或跨origin/多caller E2E。^[raw/articles/a2a-cli-031-client-contract-selected-2026-10-20.md]
• 未知漏洞审计与双判分的独立性门：cwe-bench-defense-verifier-and-discovery-contract 将已知漏洞修复扩为「只给仓库和威胁模型，不泄露漏洞数量/位置 → 修复后同一run独立验目标安全 S 与正常功能 F → S∧F 才算完成」。先验 no-op、参考修复、合法替代解、关功能/只挡单一 payload 的伪解；保留 BASE/注入版/GOLD 与模型可见Git/镜像/网络边界。评审虽有多人，只要能看参考补丁与程序判分结果，就不是独立盲标：记录每位评审可见证据、分歧修订是否污染最终测试，再用独立状态与新增变体复核共同盲区。按任务/attempt分别报告 planned→runnable→gradeable→S∧F、重试、费用、模型×harness；私有题/隐藏oracle不可重放时只称作者结果，不外推本站或所有漏洞安全。与既有Agent-Benchmarks判分器可达/伪解、Harness-Engineering有效配置和安全开关联合效用共用一条门，不另造日报分类。^[raw/articles/cwe-bench-2610-17020v1-extracted-2026-10-19.md]
• 知识点优先：AI-Knowledge-Point-Radar 按 MCP Gateway / A2A / harness-runtime / context management / benchmark-evaluation / sandbox-security 六轴选择内容；Karpathy 等人物、组织、平台只作 seed。
• 少而深的晋升：依据 relevance、novelty、durability、actionability、source-quality、depth-potential 判断；高分但重复、对象不明、只有搜索摘要的候选仍可 raw-only 或不入库。不是每个候选都必须实现下面所有控制环节。
• 局部指标须与总账对照，先设采纳门：coding-agent-cost-inefficiency-trajectory-routing 的重复检索减少而总成本上升，提示先核行动者可见域、文件/patch版本、工具回包与后续cache重带、主/子模型路由；必需的跨行动者回读、状态变化后验证和独立统计重复不能按字符串相同就删。对同任务/环境/预算的去敏小样本，先人工核重复标签，再配对记录合法完成、每次运行的输入/缓存/输出token与实际价格、等待/人工等尚未计入的成本、失败/超时及分母；未知值不填零。只有合法完成不退化且全链成本改善经重复与期外任务复核，才建议晋升去重/缩回包策略；若仅局部动作减少而总成本上升或合法完成下降，就保留原验证路径。这是后续试点的采纳/回滚准则，不是已经在Hermes运行的自动门；llm-wiki-optimization-2026-10-05 留当日候选证据，模型路由或成本采集改造仍须另议。
• 发现与证据分开：web search 优先发现，随后读取原文/代码；抓取失败可换直接 HTTPS、官方 API 或可靠镜像。未读到的部分必须明确，不以搜索摘要冒充全文。
• 原文完整性与抽取保真先于编译：文件存在、HTTP成功与body hash只证明固定字节，不证明所需文档或深读完成。核最终URL、Content-Type、标题/正文身份、截断标记和末节；200欢迎页不当schema，替代抓取按实际来源记。corti-a2a-binding-parity-and-credential-forwarding 的官方端点曾回欢迎页，后改取.md；全文已下载但仅读摘要的候选仍raw-only。关键表格/公式回读原HTML/PDF，保留×、±、百分比/百分点、单位与分母；adaptive-out-of-band-defense-utility-and-attack-strength 的15×不能抽成加法。文本复算不验证作者实验，图内未读部分明确范围；参见 arc-addressable-recall-context-compaction。^[raw/articles/corti-a2a-binding-and-credential-contracts-2026-09-23.md] ^[raw/articles/adaptive-out-of-band-defense-utility-and-attack-strength-2026-09-22.md] ^[raw/articles/arc-addressable-recall-context-compaction-2026-09-11.md]
• 内容分层、去重与候选生命周期：raw 不改；每日 source 保存当时观察，稳定结论更新本页与归属概念页。发现时同时查 raw/wiki 的规范化 URL＋version/commit；归档保留原 URL，不能把不同版本或语义不同的查询参数折叠。不同提取器/格式的 body hash 变化不是上游改版证据，须另比原始字节、源版本或新增可执行证据。补读晋升写新 source/账本/log，不倒改旧 raw-only；当前待办按新证据关闭。trace-boundary-paired-continuation 已补全文与冻结复现，IETF draft-00 是旧 raw 复核，均见 llm-wiki-optimization-2026-09-21；普通入库不另造机制名称。
• 事件时授权与工作流跨状态继承：历史摘要、缓存附件、已准备产物和旧 task 状态都可能把旧权限带入新受众或新策略；按 event_time/effective_policy → requester/recipient → source → prepare/submit → sink 记录，成员扩张不补授旧历史，成员移除后恢复、续跑和在途提交仍须重核，拒绝/泄漏/合法完成与基础设施失败分账。Context-Engineering负责来源与状态可见性，Harness-Engineering负责提交时重验和真实effect；这是从CoSec固定论文抽出的验收合同，未在用户群或Hermes生产权限上实施。^[raw/articles/cosec-2609-34790v4-event-time-authorization-2026-10-25.md]
• 合并评测必须满足谓词单调性与有效集合同：PVR/BCR/STCR等指标先列各自谓词、真值表、gold来源和有效分母，再检查OR/AND合并是否符合单调性；attempted unauthorized action不等于泄漏，format retry不等于额外独立票，infra/inconclusive不可自动算安全。将Agent-Benchmarks的判分器、来源/配置与真实effect三门连起来，冲突数值保留contested，不以“combined/high accuracy”替代逐trial审计。^[raw/articles/cosec-2609-34790v4-event-time-authorization-2026-10-25.md]
• 网关派生 Card 不继承上游背书：代理改写 Card 的 URL、认证、能力或任务转发分支后，上游签名、全部 task/push 语义和 owner 不能默认沿用；按上游Card→内部路由Card→实际方法/凭据→逐task owner→业务后效逐层保存版本、caller与配置。A2A-Agent2Agent-Protocol与MCP-Gateway-Runtime共同承接这一合同；文档字段、固定代码和作者测试冲突时分版本，不拼出从未存在的“完整实现”。^[raw/articles/litellm-a2a-card-task-routing-fixed-2026-10-25.md]
• 厂商设计与 README 目标降级为候选证据：锁内刷新、SLO、估算延迟、虚构客户或作者测试源码只能说明待验证机制，不能代替固定实现、并发/崩溃/撤销负例、运行遥测或本机 pytest。TrueFoundry 与 A2ARegistry 的 raw/articles/truefoundry-mcp-oauth-refresh-raw-only-2026-10-25.md、raw/articles/a2aregistry-pinned-readme-excerpt-raw-only-2026-10-25.md 保留 raw-only，不因命中 MCP Gateway/A2A 轴而新建薄页或升级生产结论。^[raw/articles/truefoundry-mcp-oauth-refresh-raw-only-2026-10-25.md] ^[raw/articles/a2aregistry-pinned-readme-excerpt-raw-only-2026-10-25.md]

一条控制链，而不是每天一套分类

资产/能力发现 → 信任与协议绑定 → runtime 装配与任务规划 → 路线选择与动作授权 → 任务恢复与独立状态 → 长程评测与反馈

三条横切检查：声明、控制与观测不能混同

1. 证据等级与实际覆盖

分别标记：搜索发现 → 完整原文 → 固定版本源码/具体 assertion → 真实运行回执。A2A 接入保存规范条款、测试函数、断言、运行对象及 declared / applicable / executed / passed；未实现、人工验证、前置失败、可选不适用分别给原因，业务必需能力不能靠不声明免验。测试文件、作者回执、本机 hash 核查与本机 verifier 重放不能混同：a2a-tck-conformance-coverage-and-security-boundaries 约束覆盖口径，a2a-output-attestation-and-delegation-ancestry 的归档核查不证明本机验签通过。^[raw/articles/a2a-tck-conformance-coverage-and-security-boundaries-2026-09-10.md] ^[raw/articles/a2a-output-attestation-and-delegation-ancestry-2026-09-11.md]

测试入口也是证据边界：列出真实API注册、直接store预置、身份注入、实际IdP、skip与本机运行范围。a2a-redis-owner-dispatch-and-test-boundaries 的bob配置直接入store，只支持预置后的fan-out，不证明注册/共享授权；方法fixture不升级为Redis/HTTP/认证E2E，未合并PR不作已发布事实。continuity-security-context-contracts-and-finality 的确定性conformance不是现实自适应攻击成功率；trace-boundary-paired-continuation 的冻结CSV重算/哈希相符也不是fresh模型采样或当前Hermes效果。作者回执、本机测试、原始采集与生产效果分账，本汇总未重跑早报实验。^[raw/articles/a2a-redis-owner-dispatch-and-test-boundaries-2026-09-16.md] ^[raw/articles/continuity-security-context-contracts-2026-09-18.md] ^[raw/articles/trace-boundary-paired-continuation-2026-09-21.md]

签名验证须先有可信根，缓存不能续授当前权限：a2a-signed-card-trust-bootstrap 的固定sample在本机通过选定55项上游测试与loopback正反例；这是Card完整性/信任key来源的实现证据，不是企业任务授权E2E。接入先固定允许的origin/JWKS/算法，异步预取并按可信URL+kid查key；Card内自带的任意jku不自授信任。fetch/parse是可用性，resolver可选验签需显式启用；至少一个签名有效、全签名有效、密钥轮换/撤销、任务授权各自不同。mastra-a2a-card-cache-signature-and-task-boundaries进一步要求分别记录Card hash/fetchedAt/cache策略、hook真实运行时点、是否强制signed、signer接受策略、policy/key撤销及实际execution origin/凭据受众；signature-if-present允许unsigned，cache-hit不重验hook，fetchedAt不证明TTL已实现。签名、缓存命中或刷新不等于当前caller可委托；快照续流、持久事件重放、跨pod执行接管与owner资源授权仍分别验。隔离正反例应覆盖unsigned/未知signer/缓存后撤销/异origin/跨owner，拒绝后核零外发与effect，同时保留合法完成；Mastra固定代码与作者测试源码不是本机运行回执。^[raw/articles/a2a-signed-card-trust-bootstrap-2026-09-24.md] ^[raw/articles/mastra-a2a-card-bootstrap-signature-and-task-store-pinned-2026-10-30.md]

覆盖与归因是准入前提，不由奖励反推：erebots-a2a-conformance-owner-resume-and-consent把Card×binding×capability-on/off作为测试输入；只测full会漏能力关闭反例，只测minimal会漏正例。分列tests与去重requirements、declared/applicable/executed/passed/skip/not-tested，记录LLM/fixture/auth真实前提；指南与论文前提差异保持contested，不用零失败认证生产授权。falcon-counterexample-faithfulness-and-security-reward要求保存实际entrypoint/mode/instrumentation与probe/target/trace关联，静态拒绝、执行错误、运行时无法归因、admitted、pending及终裁分别留账；probe自己造的违规不归责target，顶层crash-only core不能借用实验runner的21-detector声明。no-evidence不是安全，聚合secure不保证pending已终裁，训练reward=1只是该训练目标的映射；部署gate须显式处置未知/未终裁，并独立验同run功能且安全、真实sink/effect、合法替代解和全链成本。早报11项纯函数合成检查仅支持相应分支语义，不是TCK/攻击模型/完整executor或benchmark复现。^[raw/articles/erebots-a2a-tck-owner-resume-pinned-2026-10-31.md] ^[raw/articles/falcon-counterexample-faithfulness-and-reward-pinned-2026-10-31.md]

前置阻塞不是产品判定：工具链/依赖解析失败时保留命令、版本、stderr与“测试未开始”，不改版本字段掩盖、不记作PASS或功能失败。agentops-a2a-confirmation-principal-and-terminal-state 的Go测试尚未执行，源码断言和精确SQL合成fixture只能补对应证据，不能替代原suite、HTTP身份链或并发恢复验证。^[raw/articles/agentops-a2a-confirmation-principal-and-terminal-state-2026-09-22.md]

对 llm-wiki 的应用：候选记录保留 URL、fetch_status、判分/否决理由、raw_path、body sha256、page_paths 和验收位置。候选记录是审计，不自动提升证据等级；已有 raw note 可承载，不要求马上新建复杂 registry 或 radar-gates.yaml。

需求覆盖不能由自编测试自证：按“主张—原始来源/版本—适用条件/反例—未知”追证据；搜索只负责定位，不能以次数代替完整必要段落或事实覆盖率。hyper-tau-bench-evidence-recovery-and-agent-construction 提醒：摘要、实现和自编测试可能复制同一误读，应另设独立验收清单并先测继承代码 baseline。没有事实全集不报覆盖百分比；提问与高分的观察相关不作因果规则，cron无人时保留未知，不模拟用户决定。^[raw/articles/hyper-tau-bench-evidence-recovery-and-agent-construction-2026-09-17.md]

案例与规范分轨：新论文或部署案例可提供架构机制，但发表更晚不自动取代仍适用的规范。记录标准状态、条款和适用对象，遇到冲突保留原文并在 source 标记 contested，只晋升不冲突的机制。enterprise-mcp-persona-credential-boundaries 的身份矩阵可借鉴，ROPC 却受 RFC 9700 §2.4 的 MUST NOT 约束，没有机器身份例外；本次依据归档的完整选定章节，不冒称重读完整 RFC 或实测部署。^[raw/articles/enterprise-mcp-persona-credential-boundaries-2026-09-12.md] ^[raw/articles/rfc9700-oauth-security-selected-sections-2026-09-12.md]

文档冲突不由示例或schema自动裁决：分别保存正文、生成schema、示例与真实回包的版本/原值。corti-a2a-binding-parity-and-credential-forwarding 的取消描述/完成态、skill ID、PATCH与auth模式矛盾保持contested；格式不符不先删前缀“修好”再验证。冲突断言PASS只说明观察到不一致，既不是API通过，也不是线上故障证明；较长schema、较新网页或官方域名都不能取代实际行为取证。^[raw/articles/corti-a2a-binding-and-credential-contracts-2026-09-23.md]

2. 对象、事件时间、配置与分母

记录 publication/fetch/version/commit/config 和结论适用的对象；读 issue 后续评论与 release，不能把旧版本缺陷、同名产品或协议规范当当前部署事实。A2A 旧 SDK ownership 报告与 1.0 修复说明必须区分；这不是对当前 SDK 的独立安全审计。^[raw/articles/a2a-tck-conformance-coverage-and-security-boundaries-2026-09-10.md]

有效配置覆盖默认声明：分列 SDK default / demo override / test fixture / deployed config，记录配置来源、优先级和关闭的具体校验。a2a-jakarta-cross-node-state-and-effective-security 中 fail-closed 公告与示例 a2a.authorization.required=false 同时成立；多租户 fixture 还设置 org.a2aproject.sdk.transport.skipValidation=true。路由测试不能冒充租户授权或全部 transport 验证，静态断言不能冒充运行通过。^[raw/articles/a2a-jakarta-cross-node-state-and-effective-security-2026-09-13.md]

版本增量回写，不继承旧验收：同一Jakarta页补固定1.1.0/SDK1.4后，企业示例仍关闭授权、每节点独立广播组，B订阅固定sleep后工作继续由A执行；版本号和Card路由修复都不证明订阅ready、任务owner或HA接管。分别保存release/集成日期、POM与已读配置/测试断言，旧tag文档争议不静默覆盖，也不因小版本另造source。新版本需对真实生效配置/权限/业务effect重新留证。Zuplo两跳OAuth仅文档raw：上下游凭据独立的声明不能代替caller×tenant×route×上游owner、受众与撤销后的effect负例。^[raw/articles/a2a-jakarta-110-java-140-pinned-enterprise-2026-10-24.md] ^[raw/articles/zuplo-mcp-two-hop-oauth-raw-only-2026-10-24.md]

健康信号须绑定来源与事件时间：保存callback结果/异常、fallback、session状态、状态变化时间与探测时间。aws-agentcore-a2a-host-contract-and-health-semantics 的固定SDK在callback异常时回退Healthy，不能据此推出业务健康；HealthyBusy参与保活，time_of_last_update不能每次ping刷新为当前时间，否则可阻止idle timeout。回退是否导致提前回收仍须真实部署验证；AST替身结果不当云端生命周期实测。^[raw/articles/aws-agentcore-a2a-host-contract-and-health-semantics-2026-09-17.md]

先验题目，再比较 agent：harbor-index-parity-task-validity-and-snapshot-boundaries 要求先核参考解、需求与 verifier 对齐、合法替代解、伪解负例及答案可见域。移植前后固定 task IDs、模型/harness/toolset/预算与子集选择；误差条近似相符不等于严格统计等价。修题后重跑同一 cohort，并保留旧版；论文、博客、当前 main 的题量/运行数/成绩不能拼成单一快照，未对账处保留 contested。低分还可能来自坏题、环境或评分器，不直接归因为能力不足。^[raw/articles/harbor-adapters-harbor-index-2026-09-12.md] ^[raw/articles/harbor-index-curation-parity-and-version-snapshots-2026-09-13.md]

复用规则，但不复用旧初态的答案：agentproofbench-initial-state-reuse-and-gate-policy-outcomes将上述审题门扩为同指令/冻结程序下的Source、无关Background与改变身份/初值/集合的Related；义务从本次事件时before恢复，保留条件比较before/after，不把旧成功常量或latest当真值。目标态须联合验完整panel、合法替代解、typed fault与旧决策replay witness：panel全过仍可能漏掉新增集合元素。Unknown/Error、主panel与witness失败分别留账；按family/assignment/opening/policy outcome保留依赖，条件率不冒充全包成绩。reference/标签视图、结果检查后的排题与可见证据一同冻结，探索关联不作因果收益。此为内部验收设计，未取得并核实论文companion或复跑逐trial。^[raw/articles/agentproofbench-2610-34634v1-primary-2026-10-29.md]

判分器先过可达性/抗伪解门，再解释通过率：revivebench-hidden-verifier-audit-and-harness-parity 将既有审题合同具体化：按题面规定的方法用独立合法解跑到阈值，另用不同实现的合法替代解检验假阴性；no-op 与伪造自报指标但无真实产物/业务effect的伪解必须失败。多个候选一致偏离时审规格、生成和评分代码，不能以共识直接改 oracle。判分器从产物和独立状态重算指标；同时固定 runner/adapter/模型/预算版本，核 wire 上 cap、工具集、流心跳、idle/总超时和真实计费是否生效，而不是只看配置字段。按 planned→runnable→gradeable→solved 及 infra/额度/超时分母记录，修题或 adapter 后重跑同一 cohort；合法解不可达或伪解通过先修题，不发布能力结论。论文报告的缺陷数量与分数仅属于作者历史实验：本轮未运行 hidden verifier、任务包或用户私有 runner，不称本机E2E。此规则复用Agent-Benchmarks与Harness-Engineering已有验收门，不另造每日分类。^[raw/articles/revivebench-2609-36161-v1-fulltext-2026-10-10.md]

正例覆盖与判分故障共同验收：verifierbench-v4v-positive-coverage-and-all-reject要求在既有合法可达/抗伪解门内，增加gold之外、按原题意可运行的合法替代解；用always-accept、always-reject与gold-exact-match三基线识别偏置。逐题核重放、重复性、版本来源、可见输入与标签一致、平凡基线和mutation；有效PASS/FAIL翻转才是变异检出，crash/无决策另记。task等权指标、覆盖率、条件成绩和全部计划分母分账，不能将全拒绝的低攻击接纳误作可靠安全；task×operator配置数不是独立运行数。固定计分函数的5项合成检查只支持函数口径，不证明完整题集、hidden bundle、V4V全量复审或作者模型已复现；复用Agent-Benchmarks与Harness-Engineering的现有验收门，不新造分类。^[raw/articles/verifierbench-v4v-deep-reading-and-pinned-implementation-2026-10-30.md]

把可信探针与需求/环境双缺口合成验收合同：mobilecybench-property-probes-and-patch-attribution 用固定攻击权能、保存产物、全新隔离环境重放，再由独立于模型自述的状态探针核受保护资产；no-op负例、已知参考攻击正例、探针故障/超时与未命中仍入分母，漏洞版/补丁版同产物差分只用于归因，不冒充所有漏洞的召回率。reality-final-verifier-requirement-model-gaps 则要求评测卡另列 intent owner / acceptance examples / modeled dependencies / verified assumptions / independent state / invalidation trigger：R（明文需求）对I（真实意图）的遗漏、M（模拟环境）对W（现实）的失配，以及E（评测器）本身的漏测分别追责。探针未触发只覆盖已建模的性质和本次重放；多次通过同源verifier不能自证需求完整或真实凭据/网络边界。高风险或不可逆动作在隔离试验后仍需有权人决策、小范围发布与回滚；这是源论文的可迁移设计准则，不是本wiki已跑500次移动端实验或生产网关验证。^[raw/articles/mobilecybench-paper-fulltext-2026-09-25.md] ^[raw/articles/mobilecybench-repo-readme-2026-09-25.md] ^[raw/articles/reality-final-verifier-two-gaps-fulltext-2026-09-25.md]

可执行题目仍须同谓词归因：vera-executable-safety-cases-and-channel-paired-verification 给每题固定目标、程序化初态与验证器，并记录MCP网关的原始回包/注入后模型可见回包及服务后态。报告时将合法任务完成、攻击危害、工具注入送达、拒绝后真实副作用和verifier/infra失败逐项分账；合法成功率与攻击危害率不是同一判分谓词，二者差值不能识别自适应攻击贡献。因果对照须在同一初态/攻击目标/判分/模型/预算下配对固定单轮、固定多轮与自适应控制，并保留轨迹、方差及合法可解回归。论文和README未独立复核完整题集/代码或在用户Mini重跑；MCP网关观测不自动覆盖GUI、CLI和管理面。^[raw/articles/vera-evidence-grounded-safety-testing-selected-2026-10-03.md]

轨迹判定四门：字段存在→前件可达→来源绑定→实际后效：formal-runtime-verification-trace-provenance-approval-readiness 说明：有 approval_id 字段、可写时序公式，都不保证无人单轮任务真有用户审批事件；缺前件时规则易退化为 tool-name 分类。先核 timestamp/actor/object/recipient/approval_id/session_id/state_before/state_after 的实填及事件时间，按同一对象/主体/有效期确认审批，而非拿结构化联系人文本作可信事实。联系人或权限历史应由真实可信工具身份与调用ID绑定 lookup→result，防模型输出伪造回包、跨会话或跨租户误关联；该绑定只覆盖论文中的指定植入族，不能外推可信工具失陷。离线轨迹触发、在线提前拦截、拒绝后改路与合法任务完成、独立业务状态/零违规 effect 四者分别留证；字段缺失记 unevaluable，误报与合法效用同分母报告。先在合成身份与 canary 的隔离环境做正常/恶意正反例，不从作者后验数字推出生产安全改善；未跑本机MonPoly、作者实验或用户网关 E2E。复用评测与可信来源的旧门，不新增一套日报分类。^[raw/articles/formal-runtime-verification-agent-trace-2610-09793v1-selected-2026-10-17.md]

可信接收方与安全恢复的验收分母：credleakbench-destination-verification-and-recovery 将服务名称/来信URL的声称与可信配置授权的凭据 owner、用途、完整 origin、TLS 及实际直连/代理终点分开；同一任务配钓鱼、合法、无安全路线三类情形，记录 route_available → attempted → authenticated → business_completed、泄漏、拒绝未完成与基础设施失败。只在安全路线确实可达的样本解释 agent 的恢复能力；合法表单未提交不等于业务失败，官方站认证成功亦不等于订单/付款等任务完成。需独立接收端与业务状态探针，在合成凭据/隔离环境做正反例；论文只给作者沙箱的提交指标，部分TLS模拟场景无独立可信替代路，本文未跑本机实验。该规则复用原接收方授权、合法效用/危害不同谓词和分母/独立状态三门，而非新增一套分类。^[raw/articles/credleakbench-2610-08871v1-selected-2026-10-13.md]

安全配置的联合结果与旁路覆盖：harnesssecurity-bench-paired-utility-attack-effects 将论文固定条件里的开关 ON/OFF 与真实生效权限、合法依赖可达性、被保护 sink 和受攻击路径绑定；同任务、同模型/预算/初态分别记 utility oracle 与 attack oracle 的检查数、可运行/可判分数和 effect 探针，另外按每 run 判 合法业务完成 ∧ 零违规effect。命令限制还须经 shell、解释器、SDK/MCP、代理等替代路探测同一 sink；拒绝一切或不能启动不能冒充安全成功。AA-OFF 的额外模型审批、Gemini PT 启动失败与不同任务/判分分母是比较边界，作者表6-7及公开任务不是用户 Hermes 的实测、也没有公开逐run回执。后续仅在合成 fixture 的隔离环境测正常任务、恶意路线、合法替代路及拒绝后零effect，确认后再评估配置变更；本次不改运行权限。^[raw/articles/harnesssecurity-bench-2610-07639v1-selected-2026-10-15.md]

指标语义与历史状态分账：保留 cohort、条件分母、轨迹和判分配置；选择性失败重放不代表全任务安全提升。按动作事件时间关联当时权限/状态，不用 current/latest 代替历史，识别规则也不等于执行遵守（redagentbench-state-grounded-safety-measurement）。可恢复、选中/消费、提交、正确及合法效用/执行覆盖分别记账；arc-addressable-recall-context-compaction 的 correctness/completion 与 spa-plan-first-label-preserving-persistent-agents 的总数/utility 疑点保留 contested，不传播为选型结论。^[raw/articles/redagentbench-state-grounded-safety-measurement-2026-09-10.md] ^[raw/articles/arc-addressable-recall-context-compaction-2026-09-11.md] ^[raw/articles/spa-plan-first-label-preserving-persistent-agents-2026-09-11.md]

弃权分母与成本不能消失：沿用 planned → runnable → covered → correct，按任务注明 started/gradeable/solved 的映射、统计单位和排除原因；并列覆盖率、条件成绩与全计划交付比例，不把它们当同一指标。benchshield-reward-lifecycle-integrity 的 Inconclusive 不能并入通过；静态暴露、实际使用禁止路径、语义充分性分别判定。sre-bench-hidden-grader-and-coverage 进一步要求拒绝/context overflow/infra/timeout 分列、所有 run 的费用留账，避免只对可判分样本平均。拒绝须另核授权/安全标签，context 失败不当安全成功；rubric 平均分不当实例完成率，也不将逆向分析成绩外推 sandbox 防御率。^[raw/articles/benchshield-reward-lifecycle-integrity-2026-09-12.md] ^[raw/articles/sre-bench-hidden-grader-and-coverage-2026-09-16.md]

安全收益须有可辨识对照：adaptive-out-of-band-defense-utility-and-attack-strength 要求同任务/模型/预算下比较攻击模板×有无防御，并列无防御ASR、合法utility、拒绝/未触发攻击、重试与调用成本；零攻击基线不能鉴别防御收益，“adaptive”名称不证明更强。缺无防御+adaptive或逐run数据时保留竞争解释，不补显著性；安全交付从每run“业务完成且无违规”的联合事件算，不相乘边际比例。执行门禁确定不等于策略生成确定，仍须核策略更新模型、初始标签、用户背书与旁路。正文与摘要的历史主张冲突留source的contested，不据此宣称首次自适应验证或生产安全。^[raw/articles/adaptive-out-of-band-defense-utility-and-attack-strength-2026-09-22.md]

允许反馈与计分口径显式分层：保存pilot子集、反馈次数、是否仍计分、raw quality、预算罚项、task-macro/conversation-micro、领域权重及build/serve成本。hyper-tau-bench-evidence-recovery-and-agent-construction 允许部分pilot反馈且样本仍在scored suite，不可笼统称全样本隐藏，也不据此认定作弊；含预算惩罚的任务宏平均不是会话成功率，ground-truth reference不是平均人类成绩。缺逐trial数据时不补造分组效果或误差条；纸面隔离说明不当沙箱防御证据。^[raw/articles/hyper-tau-bench-evidence-recovery-and-agent-construction-2026-09-17.md]

配对结果先对齐估计量，再核边际总分：固定task/cohort/run及统计单位，四格总数、两侧成功数与原始百分点差须在同一分母下对账；task-macro、pair-pooled、样本重加权和运行后分组不能只因都叫pp就混同。bud-contextcompact-reasoning-headroom-and-budget-boundaries 的表2计数差与作者pp列未直接对齐：保留原值、版本和本机复算，缺逐task权重/数据时标待澄清，不静默修数，也不直接认定作者算错。重复trial的依赖、区间重采样单位、分组是否由处理后轨迹决定分别注明；汇总计数的检验算式可复算，不等于置信区间或新运行已复现。若为不同run，保存映射和重复次数，不拼成单次配对；swe-bench-pro-verified-leakage-and-task-validity 的Baseline仍保留contested。已识别答案访问归零不证明所有未知通路封闭，分数变化不能单独识别因果。^[raw/articles/bud-contextcompact-2610-25516v1-html-2026-10-21.md] ^[raw/articles/swe-bench-pro-verified-leakage-and-task-validity-2026-09-18.md]

评测维护闭环：成功轨迹审计 → 产物/通道准入 → 新攻击 → 旧解与新盲解分验：unearned-passes-benchmark-channel-closure 将 surface pass、unearned pass 与有机制/意图/得分关联的 violation 分开；冻结 task/runner/image/egress/grader/harness/预算和已通过轨迹的审计分母，保存读取、提交与独立判分证据。旧 exploit 重放只证明已知路线关闭；修复必须落在 runner 真正消费的 Git/镜像/网络与产物控制点，再让新 agent 在声明条件下续跑，审替代通道并验合法效用。失败、未知或预算内未触达均不等于全通道安全。^[raw/articles/unearned-passes-benchmark-maintenance-2609-34262-v1-2026-09-30.md]

verifier-hardening-output-boundary-and-fresh-solvability 补充固定题意 I、共同冻结 R/V/O hash与干净验收镜像：O是穿过信任边界的输入合同，不是越宽越方便的备份目录；复制整个工作区或可执行依赖会把不可信代码送进独立裁判，过窄又会漏掉新合法实现所需文件。每次修补分别留 patch review → 已知合法产物replay → 只见原题的fresh blind solve 回执；review不是语义等价证明，旧解/参考解全过不证明可发现性，新盲解一次通过也不证明全部合法路线或原难度不变。候选实际改动、审查允许、回放无失败且新盲解通过才接受；skip/未运行不作pass，拒绝保存原因并保留上次已接受版，对最新已接受版重新攻击。共享修补notes记 blocks / benign_cost / valid_under / accepted-or-rejected / target-version，wiki里的建议、他处接受和当前目标已装配并验收分账，不盲迁移tolerance或自动改生产。^[raw/articles/verifier-hardening-2610-15924v1-primary-dossier-2026-10-22.md]

分别报告攻击可见信息（无提示/当前源码/旧exploit提示）、每trial/每task、固定预算/停止原因、benign判分来源和全链成本；不能拿无提示ASR替代强白盒ASR，或把robust预算内未找到漏洞当安全证明。独立容器、模型judge与回放亦非需求真值的独立证明，和S∧F/评审证据依赖门共验。对wiki先保存既有链接与召回基线，再测旧目标与新机制的多问法，这里只落地维护规范，未跑作者模型/内部题池、未自动部署三门或全库召回实验。^[raw/articles/verifier-hardening-2610-15924v1-primary-dossier-2026-10-22.md]

判分证据必须来自本次有效执行：lscbench-granularity-controls-and-verifier-receipts把上述产物门接到 task/attempt/允许产物hash/镜像与测试版本 → 服务与fixture就绪 → 预期用例清单/实际收集 → 当次F/S报告 → 联合结果。漏洞版F过/S败、GOLD双过、narrated注释伪补丁及nop分别挑战不同误判，不能互替；另保留不同实现的合法解。报告随机nonce只是降低旧报告预置机会，裁判身份、不可变测试、允许产物和报告写权限仍须独立守住；缺报告、全skip、error与callback不健康分别记不可判分/基础设施失败，不折算安全成功。部分skip须按预期清单核缺测，不能只看剩余用例全绿；shell退出0、测试数量与公开轨迹清单均不认证整套runner。这里是固定源码启发的验收规范，未运行模型/容器或确认作者镜像内fixture。^[raw/articles/lscbench-2610-14766v1-pinned-verifier-2026-10-23.md]

合规先于择优，交付与比较拆开：identical-runs-compliance-selection-and-drift 的单任务重复运行说明：可见高分程序也可能训练集污染或违反跨样本约束，不能先挑最高分再用得分阈值代替代码/轨迹审计。交付按固定预算多跑、剔除失败/违规后在合规集合选最好；比较模型或harness则先声明最小有行动价值的差异，按任务族、版本、端点和预算估计方差与重复次数，报告置信区间及选择过程，不能拿“多跑几次取最优”的收益证明配置更强。再以新时间段/新仓做期外回归，防单一公开holdout与同源缓存/标签捷径；成本与缓存绑定模型×agent×端点逐run留账。对wiki的多问法检索回归只是试点建议，单次命中不等于稳定召回，本页没有做重复抽样。论文和固定VERIFY材料尚未在本机复跑、原始tool轨迹未全开放，单任务效果不可外推为通用所需次数。^[raw/articles/identical-runs-different-results-paper-2609-33812-v1-2026-10-01.md] ^[raw/articles/identical-runs-verify-d98dd88-extracted-2026-10-01.md]

gate要验它改变了什么，而不只验判分准确率：同一业务快照、完整历史、模型与预算下，对照中性继续、具体反馈及判分/反馈/停止完整policy，避免把“未获接受”的笼统反馈效果全归给checker。逐run独立记持久写入、正确终态、实际交付、扣留与回归；不交付/拒绝不是回滚，误拒绝也会诱发已正确状态被改坏。先以目标态panel+witness审checker，再决定采纳或保留原路径；不能从所测generic反馈下中性继续较优推出所有verifier无效，也不能用低成本/低误接纳替代合法交付。与安全开关的联合效用门共验，仅是维护规范，未改Hermes停止策略或执行作者实验。^[raw/articles/agentproofbench-2610-34634v1-primary-2026-10-29.md]

固定指标入口与可见证据：mole-budgeted-monitoring-and-label-evidence 提醒保存 metric 的 commit/entry point、排名单位、正例单位、每日预算、时间窗及 no-positive/NaN 规则；account-day 与 campaign 的 recall 不可仅凭同名混用。人审次数不等于独立案例数，检测成本须注明排除项。对内部 runner 先用两日/无正例 fixture 锁定口径；日终检测不外推在线阻断，同日全量特征不能未经修改用于动作前判定。^[raw/articles/mole-budgeted-monitoring-and-label-evidence-2026-09-14.md]

完整归档不证明 judge 看全：保存不可变原件与 judge-visible view 的各自 hash、序列化版本及裁剪规则；用工具结果尾证据、参数尾证据、silent tool call 验证不同字段的保留行为。大总预算不能抵消逐条裁剪；transcript labeler 与独立 service-state truth 分验，未逐样本对账保留 contested。早报的纯函数 fixture 只证明所测代码行为，不证明发布数据误标；本汇总未重跑这些函数或论文实验。^[raw/articles/mole-budgeted-monitoring-and-label-evidence-2026-09-14.md]

先验模型实际输入，再解释分数：固定dataset/runner/adapter/formatter/metric版本和hash，做schema smoke并保存agent-visible快照。topbench-compositional-privacy-and-harness-integrity 的旧字段与当前数据不相容，工具ID还带角色信号；删标签不等于无捷径，中性ID/随机顺序须配对重跑。controller内部字段、称为safe的metadata和模型所见须逐字段追踪：repo/base_commit是否暴露取决于harness序列化，hash ID不自动匿名。结构一致、两集精确无交集不证明语义正确、无训练污染或模型利用；实验入口不明仍保留contested。^[raw/articles/topbench-compositional-privacy-and-harness-integrity-2026-09-15.md] ^[raw/articles/swe-bench-pro-verified-leakage-and-task-validity-2026-09-18.md]

同名数据包不自动继承论文身份：将paper ID/version、作者artifact、dataset revision、第三方目录/镜像、task/case manifest、runner和判分器建立可核映射；数量吻合、标题相似或README声称released均不补齐缺失证据。skilllifebench-invoked-code-binding-and-recovery的论文388案例/89与60任务，和所捕获HF旧版194 YAML/324文件尚未对齐；不以194×2推一一配对，也不将API文件清单复核冒充数据行/模型复现。聚类单位、risk/benign、未知危害和全部计划分母分别留账；后续修复不抹除已经发生的危害。这细化Agent-Benchmarks的版本/输入合同，不另设日报分类。^[raw/articles/skilllifebench-invoked-binding-and-recovery-2610-35215v1-2026-11-01.md]

3. 实际权限闭包与独立结果

验证 caller × tool × destination × delegated service：session 不是身份；token 不外发不代表目的地受限；修复版本与可选认证配置必须分别验收。MCP 后端服务账号与网络位置本身也是可被借用的权限，参见 grafana-mcp-session-identity-and-egress-boundaries。^[raw/articles/grafana-mcp-session-identity-and-egress-boundaries-2026-09-10.md]

注册即执行，出站按真实拨号验收：bifrost-mcp-registration-control-plane-and-egress 显示未鉴权 MCP 客户端注册可在 tools/call 前启动 stdio 进程或连接内网；HTTP 超时/拒绝码不足以证明零副作用。将 authenticated_caller × registration_source × connection_type × effective_command_or_url × approval × actual_spawn/dial 入账；在注册入口和连接时双门验权，并以拒绝后零进程/零拨号、合法管理员注册的正反例验收。IP预检不覆盖实际socket：代理、DNS复解析、redirect、默认client回退及配置文件/CLI旁路需按实际部署逐项核。PR 固定代码允许loopback/私网在特定条件下使用，不能概括为“全私网禁止”；源码/上游测试≠本机E2E，也未验证用户部署Bifrost。复用既有证据/配置/实际effect三条检查，不新造一类receipt。^[raw/articles/bifrost-jfrog-mcp-stdio-advisory-2026-09-28.md] ^[raw/articles/bifrost-6757-mcp-registration-gates-2026-09-28.md]

逐出站路径的覆盖矩阵：contextforge-egress-path-parity-dns-rebinding 的两份原厂旧公告分别指向 REST tool 注册后再调用、A2A invoke 内部校验后再连接；按 protocol × handler × role × effective_config × registration_time × connect_time × actual_IP × effect 建矩阵，逐项核校验时IP与最终socket、代理/redirect、拒绝后零出站和合法内网使用的正例。REST v1.0.7修复建议与A2A v1.0.9固定tag Python片段不是同一证据范围；admin test另有角色前提，不拼成低权限通用入口。仅能判定具体版本/路径/配置，不能从网关“有SSRF保护”、HTTP返回或一个路径通过推出其它handler及Rust/代理安全；原厂文字与选段源码不是本机E2E，更不是用户现网故障。复用同一三条横切检查与注册即effect合同，不增日报式机制类别。^[raw/articles/contextforge-ssrf-tool-a2a-vendor-bulletins-2026-09-29.md] ^[raw/articles/contextforge-a2a-pinning-tag-v1-0-9-selected-2026-09-29.md]

出站再加解析一致与全分支装配门：mcp-atlassian-parser-session-dial-boundaries-0220 的v0.22.0旧漏洞修复材料揭示，同一输入经URL校验器与实际HTTP客户端解析可能指向不同host；PAT/basic/OAuth分支安装redirect guard不一定一致，辅助查询的临时requests.get也可能绕过session hook。沿原矩阵逐格记录 原URL → 校验器host/HTTP客户端authority → auth分支/session/redirect → 直连真实IP或代理最终目标 → 独立effect；拒绝歧义输入及未授权调用后测零出站，同时保留运维显式配置的合法私网DC正例。连接时IP pinning不能替代上述两门，adapter源码也不证明代理出口与所有辅助路径受控。原厂GHSA、固定tag实现和上游测试属版本内证据，本机未跑mock/SDK，亦非用户实例漏洞认定；只扩充既有出站合同，不新增receipt分类。^[raw/articles/mcp-atlassian-0220-ssrf-auth-boundaries-selected-2026-10-09.md]

A2A push 出站目标与投递结果双分账：a2a-push-dial-ip-proxy-final-target-boundaries 将原有逐路径矩阵扩到 task owner/注册授权 → sender有效校验 → 原URL/逐跳重定向 → 直连socket IP或代理IP → 代理最终目标IP → receiver验权/投递回执。直连拨号时IP guard不能证明代理后的最终webhook目标受限；应用侧看见代理拨号IP不等于看见代理出口，URL预检与实际POST间还可能再次解析DNS。记录SDK固定版本、sender构造、HTTP(S)_PROXY/NO_PROXY、跨host token去向、合法外部回调正例、私网/重定向拒绝后独立观测的零网络effect；Go默认FailOnError=false时返回nil不代表接收方投递成功，Python sender默认未注入validator也不等于所有调用方均未校验。两套源码及作者测试仅形成隔离mock配对验收合同，尚未运行本机SDK/代理或验证用户生产回调；代理穿透仅是条件性风险假设，不把旧issue当未修漏洞。复用已有授权/实际effect与交付回执门，不增加独立receipt分类。^[raw/articles/a2a-push-go-python-fixed-source-selected-2026-10-08.md]

代理可用性与出口信任分验：mcp-gateway-132-forward-proxy-trust-boundaries 把代理矩阵加上 guarded transport/外层mount/旁路SDK × registry/auth-server有效配置 × HTTP/HTTPS代理 × CA bundle × sync/async/plain。代理恢复健康检查、OAuth与工具调用是可用性；guard是否被外层proxy覆盖、NO_PROXY凭据端点、DNS预检与代理二次解析后的最终IP是另一个安全账本。代理分支的连接时目标政策须由真实拨号的代理出口承担，记录CONNECT/实际IP及合法公网与私网重绑定正反例；客户端配置/指标和上游作者测试均不等于出口已执行ACL。1.32.0和1.32.1版本及HTTP代理×CA组合差异要分记，未跑本机代理E2E，不推断用户网关已部署。^[raw/articles/mcp-gateway-132-forward-proxy-release-pr-selected-2026-10-12.md]

策略检查本身也是执行路径：fides-gateway-ifc-policy-as-effectful-tool 把 tools/list 附加的推荐Rego、调用者显式 eval_policy 与真实 tools/call 强制拦截分为三层；策略的 upstream.* 可能使用已配置凭据发起真实上游调用，结果标注也可追加I/O。审查入口不能只画注册→调用→最终effect，应增 policy-eval/label → upstream-call → verdict → final-effect，逐段绑定caller、凭据owner、策略/标签来源及目的地，拒绝时由独立mock计数器核零副作用，同时测试合法caller的允许路径；deny 文本和HTTP状态均非无副作用证明。自报标签和 README 推荐策略不能自动充当可信身份或强制门；这是固定文本/选段实现推导的验收合同，未审完全部代码、未跑suite，也未确认用户部署该原型。与注册即执行及逐handler验收合并，不新增receipt类别。^[raw/articles/fides-gateway-readme-extracted-2026-10-01.md] ^[raw/articles/fides-gateway-proxy-3f39af1-extracted-2026-10-01.md]

认证回退绑定目标，不提升身份：分列本地已验证、指定上游待验证、拒绝。litellm-auth-fallback-and-gateway-blast-radius 的固定实现仅允许特定认证失败且所有目标均为OAuth模式的透传；空/未知/混合目标、显式本地key失败及非认证错误不能逃入该回退。目标头/路径的优先级和最终served backend须一致，方法fixture不证明数据面安全；公共发现豁免另核规范化路径、方法与最终handler，不按整条URL子串放行。攻击链逐面列前置权限：MCP访问不自动获得管理面或管理员出站能力，修复单项漏洞也不证明全网关安全。后续只在隔离环境补同目标负例，本汇总未重跑早报fixture、探测生产或运行完整上游suite。^[raw/articles/litellm-auth-fallback-fixed-code-2026-09-23.md] ^[raw/articles/litellm-wiz-auth-boundaries-2026-09-23.md]

确认、身份、归属与业务终态分验：confirmation批准具体提议，不认证网络主体；把verified subject绑定当前invocation/task，并保留protocol_state、authorization_outcome、business_outcome。agentops-a2a-confirmation-principal-and-terminal-state 的completed refusal是正确拒绝，不是写操作成功。erebots-a2a-conformance-owner-resume-and-consent进一步要求区分service client认证、终端用户context的可信注入与模型参数覆盖；azp匹配或模型不能改user_id不证明跨服务用户授权。resume须在task machinery/变更前核owner、TTL与当前授权，陌生请求拒绝后原task仍完好，get/list/cancel/push另核覆盖；consent flags只存返不等于实际gate，fan-out旧context也须提交时重核。续办重建消息不等于恢复tool-loop checkpoint，问前副作用用独立计数/业务幂等验证，不能从task持久推出零重放或HA。隔离用例成对验匿名/跨owner/伪造metadata/到期拒绝后的原task与零effect，以及合法同主体续办；可信身份由认证边界注入并限制直连。模型文字、contextId或SQLite事务不能替代真实effect/跨系统恢复证据。本页只更新验收规则，未部署网关或跑真实鉴权E2E。^[raw/articles/agentops-a2a-confirmation-principal-and-terminal-state-2026-09-22.md] ^[raw/articles/erebots-a2a-tck-owner-resume-pinned-2026-10-31.md]

策略与执行对象必须一致：将 caller/tenant、route、session 恢复 backend、policy 版本及下游最终 URI/身份放在同一回执中；连接恢复和删除路径都要绑定对象。agentgateway-session-policy-and-inspection-boundaries 的 backend-group 修复不证明同组路由、撤销或动态策略全安全；MCP→REST 的编码/头优先级须核后端实际所见，不能只看代理状态码。^[raw/articles/agentgateway-session-policy-and-inspection-boundaries-2026-09-15.md]

逐路由、逐阶段验收：固定 route × credential model × operation × terminal outcome；原生/generic A2A 的 Card、身份头、RPC/SSE 不能互借能力，目录联邦不自动授予本地路由或跨协议通配权限。分别留授权 verdict、实际 hop、stream started/terminal 与业务终态；同一HTTP码的 disabled/capacity、auth_unavailable/egress_blocked/upstream_error 分因告警，handler前拒绝须有独立观测。配置变更、render/reload、生效、在途长连接撤权分列事件时间，新路由移除不证明旧流已终止。agentic-community-mcp-gateway-registry-ai-asset-control-plane 是固定源码/文档证据，未做网关E2E。^[raw/articles/mcp-gateway-registry-route-auth-and-hop-outcomes-2026-09-21.md]

撤销是时间线而非单个配置状态：redhat-mcp-revocation-timing-and-discovery 的官方1.3章节区分IdP角色变更、新token、仍有效旧JWT、签名allowed-tools header、broker验签/过滤、tools/list与已知名称直接tools/call；已经进入backend的请求在该方案下可继续完成。验收以事件时间×凭据版本×路由×最终effect留回执，token过期、策略生效、reload与客户端缓存分验；示例header的300秒不是用户token寿命或端到端撤销SLA。需要硬停止则另设计提交时验权/中断，不能宣称文档已实现；本轮只读文档，没有集群/Keycloak E2E。^[raw/articles/redhat-mcp-revocation-timing-selected-2026-09-24.md]

每跳验签不代替合同连续性：可信root grant限定权限；signer还须绑定角色/阶段/合同，上游保证须满足下游前提。安全字段要么保留，要么由独立见证绑定before/after/relation/task/有效期；adapter自签不证明别名换址或参数变换获准。continuity-security-context-contracts-and-finality 要求沿proposal→admission→effect追同一对象；可信validator、规范化或root key失守，以及未中介旁路，不会被签名链自动修复。^[raw/articles/continuity-security-context-contracts-2026-09-18.md]

无状态不等于无安全状态：mcp-mrtr-state-and-header-integrity 的回传 requestState 必须当作攻击者可控；影响授权/资源/业务时 MUST 保护完整性并拒绝验证失败，principal/TTL/请求绑定为 SHOULD，要求最多使用一次时另由服务端强制。签名或 TTL 不替代 single-use/业务幂等。网关按 Header 决策、后端按 Body 执行须按适用协议校验解码后的同一对象；现代校验错误不能触发盲目降级。记录规范版本、义务对象与 MUST/SHOULD，不将规范或编码例复算当网关验收。^[raw/articles/mcp-mrtr-state-and-header-integrity-2026-09-16.md]

批准后仍须在提交时验权：sink重核subject/audience/action、当前policy/撤销/TTL，再处理nonce与幂等结果；旧permit不能因“重试”绕过新授权状态。CONTINUITY的内存ledger与SimulatedWorld顺序执行不证明跨实例exactly-once；持久去重域、effect/receipt原子性、崩溃恢复和撤销失联策略须另验。后续隔离mock覆盖批准后换目的地、撤销、重试及执行后崩溃，并读回真实effect次数；本任务未部署该控制。^[raw/articles/continuity-security-context-contracts-2026-09-18.md]

检查前提先于策略谓词：完整 body、合法格式、可解析字段是相应内容规则的前提；缺失/超限/解析失败不能被否定式规则当作“未违规”，须明确拒绝/复核。前缀只支持前缀范围的判断。release 的 truncatedBody 与固定实现的 body_prefix 文案冲突留 source，不拼造已测配置；后续 mock 同时核拒绝原因和下游请求数，本汇总未运行网关或 PoC。^[raw/articles/agentgateway-session-policy-and-inspection-boundaries-2026-09-15.md]

引导请求同样借权：将 OAuth discovery/metadata/redirect、仓库配置装载纳入执行前权限面，而非只审 tools/call。gemini-cli-oauth-bootstrap-and-workspace-trust 要求分别记录配置来源/优先级、被验证地址、实际连接/逐跳目标和拒绝时下游请求；DNS 预检不证明传输绑定，PR 标题不覆盖最终 merge，规范 SHOULD 不改写为所有服务同源的硬要求。此处是接入审查规则，未对用户网络执行 PoC 或加固。^[raw/articles/gemini-cli-oauth-bootstrap-and-workspace-trust-2026-09-14.md]

授权先于借权：分别记录 initiated-by、actor/workload 与 executed-as；User→SA 必须在附加服务账号凭证前核验 caller × SA × action × destination × tenant，并保存当时策略与拒绝点。交互用户、cron 工作负载和下游执行身份不能混同。Token exchange 的历史 act 不证明逐跳同意，输入 token 撤销也不自动传播；token 角色、audience 与撤销合同须按部署分别验证。参见 enterprise-mcp-persona-credential-boundaries 与 MCP-Gateway-Runtime。^[raw/articles/enterprise-mcp-persona-credential-boundaries-2026-09-12.md] ^[raw/articles/rfc8693-token-exchange-selected-sections-2026-09-12.md]

逐跳断言不合并成一枚通用Bearer：sap-a2a-bridge-principal-resource-and-task-boundaries要求分别保存真实caller/用户sub、客户端iss/sub/aud、grant类型、请求resource、可信issuer、允许agent集合与最终peer；用户断言证明人，客户端断言证明应用，签JWT或请求resource不证明最终token权限已兑现。按实际wire区分JWT-bearer与token-exchange grant，保持标识原值；局部runtime无静态secret不能外推前端、IAM权限或全系统无secret。目录可见、consumer准入、业务资源与逐task owner分别验；Card流声明、Non A2A注册、同步message/send和text提取不能互借流式恢复或Task终态保证。隔离正反例需覆盖跨用户/跨resource、无权agent与合法调用，并读回零effect或真实终态；缓存若引入，另按用户/客户端/issuer/resource/权限隔离。这里只据官方配方和固定样例细化原身份链，没有部署SAP/GCP、换token或确认用户实例风险。^[raw/articles/sap-a2a-gateway-user-client-resource-binding-pinned-2026-10-29.md]

有效凭据与资源授权双门：unla-oauth-token-validity-versus-resource-authorization把 client注册 → 可信resource-owner grant或显式服务主体准入 → code/client/redirect交换关联 → 最终prefix/tool/action与caller/tenant/audience/scope → 上游effect 串成同一对象链。开放client注册、PKCE/交换正确、scope写入token或token未过期，均不能补回缺失的授权根，也不能证明路由变换后的目标有权。隔离验收分别测无可信授予者、合法A token访问B、过期/撤销及合法A成功；拒绝点须在注入上游凭据/真实effect之前，并由独立计数器见证。机器流程用明确服务主体，不硬造用户同意；固定源码/当前文件相等只支持所审路径，外层身份边界、部署条件与未跑E2E保持未知，不拼成用户实例失陷。此规则细化原凭据owner与提交时验权合同，不新增权限分类。^[raw/articles/unla-oauth-resource-owner-and-prefix-binding-2026-10-27.md]

产品能力、实例配置与有效工具权限分验：hermes-a2a-live-session-security-boundaries 的官方A2A插件和已合并PR是产品层证据；2026-09-26本机CLI工具集禁用且配置未见a2a只是该次只读快照，不证明所有运行中的gateway/其他平台亦禁用。将产品版本、当前实例有效配置、Card实际发现/连通、认证peer身份、活动会话工具权限和最终effect依次取证；Card可读或token存在都不构成task级授权。隔离loopback且无生产凭据时，配对核无/错token、跨peer GetTask、stream中断与副作用、push目标；未执行的E2E保留未知。^[raw/articles/hermes-a2a-official-docs-text-2026-09-26.md]

发现用途与调用身份不能偷换：mcp-gateway-discovery-purpose-and-live-vend-131 在既有 owner×caller 矩阵上再加 purpose × stage × target：机器发现凭据失败应终止，不能静默改用用户OAuth；借人发现须有owner同意、范围、过期/撤销和审计，发现成功不授予tools/call。凭据存储以用途隔离地址与密文AAD做交叉负例；但加密关闭可读写旧明文，开启加密也须额外strict配置才拒旧明文，不能由跨用途密文测试推论默认部署安全。按 registration → discovery → write → vend → proxy → downstream effect 查真正走过的校验，模型validator/allowlist声明不能代替live write/vend；拒绝后独立核零上游调用，合法最小权限作正例。隔离测试以personal/cron/peer三主体、发现/调用/OBO发放三阶段分格，生产有效配置与真实OAuth不在本轮测试。固定1.31 release/源码选段/作者E2E报告均非本机suite或Hermes部署证据；跨hostname连接复用的证书覆盖仍待专项验收。此规则复用原有权限闭包，不另造一类receipt。^[raw/articles/mcp-gateway-131-discovery-purpose-and-live-vend-selected-2026-10-04.md]

凭据所有权与实际caller正交验收：langchain-per-caller-connections-credential-ownership 区分agent-owned/user-owned与static/OAuth，OAuth不自动意味着逐人隔离。每次工具effect绑定request_source / authenticated_caller / effective_principal / credential_owner / audience / scope / approval / effect / audit_ref，按owner×caller做同slug跨人正反例，核下游实际actor；群聊、cron、A2A peer没有可信个人身份时不继承私人grant，拒绝、明确服务主体或有权人确认须分流。授权中断/恢复不是既有副作用的事务回滚；scope覆盖默认值和MCP协商权限须读实际配置。此为接入验收合同，未审SDK源码或部署用户凭据。^[raw/articles/langchain-connections-per-caller-identity-text-2026-09-26.md]

发现、调用与逐跳凭据分验：绑定实际 Card/metadata、protocolVersion 和有效能力，而非注册声明。atlassian-rovo-a2a-live-card-and-enterprise-gates 的公开 GET 不代替组织/用户/资源授权；foundry-apim-a2a-discovery-and-credential-hops 还要求分开 client/server 方向、Card fetch/invocation、入口 caller/出口 managed identity、外层 Responses stream/远端 A2A SSE。Card 带凭据选项只属于对应 client，并受 HTTPS/同 host 约束，不能跨产品套用。教程 405 不泛化为产品缺陷，XML 解析不冒充部署 E2E；断流/超时后重试副作用动作前仍回查 task、独立状态与幂等键。^[raw/articles/atlassian-rovo-a2a-live-card-and-enterprise-gates-2026-09-12.md] ^[raw/articles/foundry-apim-a2a-discovery-and-credential-hops-2026-09-15.md]

Card 管理端守卫不代替运行时委托守卫：loom-a2a-card-registry-runtime-boundaries 固定 10-07 commit 里的管理端 guarded_get 拉 Card、registry 的 APPROVED/NULL 可见性、persona/组及部署选择，与运行时自建 httpx.AsyncClient 发 message/send 或 message/stream 是不同路径。逐格核 Card来源/真实URL → 可见性 → 审批 → 可部署 → endpoint覆盖/凭据目标绑定 → 运行时socket或代理最终目标 → task owner/读取与业务effect；改 base_url 后旧 secret 清理失败、IdP token endpoint/可信host、scope fallback 等需按实际有效配置验，不从管理端测试推运行时准入。隔离 mock 配对测不同 group/persona、Card可取而task拒绝、NULL在治理开/关状态、合法身份正常完成及拒绝后零effect，追实际目标IP和receiver/task状态。本轮仅固定源码与作者mock材料，未跟完全部部署调用链或运行E2E，既不称线上漏洞也不称所有路径安全；复用MCP-Gateway-Runtime出站矩阵及A2A-Agent2Agent-Protocol任务权限门。^[raw/articles/loom-a2a-control-runtime-fixed-code-selected-2026-10-11.md]

转发凭据不是 task owner：octagon-a2a-live-card-owner-boundary 的10-06公开 Card/JWKS只读GET、09-06固定源码和作者测试分别证明不同层次；Card 声明 bearer、UserBuilder.noAuthentication、原始 Authorization 逐请求转发与store无身份空桶并存，是待隔离复核的身份接缝，不等于已证实生产跨用户读取。A2A准入按 Card来源/可信key及验签 → 入站principal → 下游凭据owner/audience → task owner → get/list/resubscribe与最终业务状态 留同链回执；两个独立测试身份加匿名主体在自有隔离副本创建/读取同任务ID，正例核合法读取、负例核拒绝及零泄漏，并分列Redis/内存和有效配置。下游付费调用成功不赋予A2A任务读取授权，完成态也不等于下游有效结果；未持密钥或未跑task时保持未知。与a2a-signed-card-trust-bootstrap、a2a-redis-owner-dispatch-and-test-boundaries互补，不增新receipt分类，也不对生产端点做攻击请求。^[raw/articles/octagon-a2a-live-card-and-owner-boundary-selected-2026-10-06.md]

逐binding验能力，逐目的地验凭据：记录tenant/Card版本、protocol/binding、发现/调用鉴权及实际能力，分开“schema存在、请求接受、配置持久化、生效”。corti-a2a-binding-parity-and-credential-forwarding 的REST缺usage应记unknown，不能排成零成本；cachedInput是input子集，不重复相加，取消响应仍核终态和effect。同一任务的REST/JSONRPC配对核artifact、usage、断流/重试，不从共用URL推等价。远端A2A转发caller token须另核issuer/audience/scope、origin/redirect及再委托权限；connector形状或auth模式名不证明传播语义，文档沉默也不证明已实施/缺少某控制。未获真实租户Card、token与任务回执，不把schema核查升格为E2E。^[raw/articles/corti-a2a-binding-and-credential-contracts-2026-09-23.md]

描述过滤不代替执行授权，客户端停等不代替任务取消：cognigy-a2a-discovery-tool-filter-and-task-contract把skills白/黑名单限定为给模型的描述视图，远端整个agent仍是一项tool；须在真实Flow/工具/sink对principal×action/resource/args强制验权，并用被过滤动作的直接请求检验拒绝与零effect。Card可取与RPC有权分别验：URL token仍是凭据，认证None仅免额外key，真实token URL不得进公开wiki或日志。缓存更新/实际dispatch、client polling deadline/server输入等待/Task寿命各留事件时间；timeout后先查原Task/业务effect，不盲重发。终态另外验附件是否消费、人工回复能否回到caller；Cognigy文档的FilePart丢弃/无push缺口不外推其他产品。与A2A-Agent2Agent-Protocol/MCP-Gateway-Runtime原身份及恢复合同共用，文档没有owner说明不直接认定越权；没有发真实Task或探测租户。^[raw/articles/cognigy-a2a-discovery-tool-filter-and-task-contract-2026-11-01.md]

adapter 不替 host 履责：按具体包/API/commit 列出 Card、转换、executor、store、auth、routes、session 的所有者，不把同仓库另一包的功能移接过来。microsoft-a2a-adapter-host-ownership 的无 session 技能发现不证明租户可见性安全；默认模式校验还须核 opt-out。接入分别验证 tenant/context/session/task/artifact 键、真实 binding、稳定 artifact append 与断流对账；这些检查不互相替代，也不从样例推出恢复或取消副作用保证。^[raw/articles/microsoft-a2a-adapter-host-ownership-2026-09-14.md]

caller 与后台 dispatcher 分权：用户读取保持 owner 隔离，内部跨 owner 分发只面向该任务已授权订阅者，不能用“无当前用户”代替服务权限。注册、发送时有效授权、撤销/TTL/删除索引及 webhook 出站分别验；组合键必须可逆或明确限制输入。a2a-redis-owner-dispatch-and-test-boundaries 的 org:alice 反例只证明固定方法/合成输入下的分隔符缺口，尚未验证真实身份可达性，不升级为生产漏洞结论。^[raw/articles/a2a-redis-owner-dispatch-and-test-boundaries-2026-09-16.md]

观察恢复不等于执行恢复：共享task DB、广播事件、执行接管、业务幂等与取消分别验。a2a-jakarta-cross-node-state-and-effective-security 中B只观察，执行仍在A。托管错误另保留HTTP status、可解析错误体、message、request/session ID与retry reason；AgentCore两类409不能仅按状态码或JSON-RPC code判同一类重试。提交后504须回查业务状态/幂等键，202须追异步终态，200列表须核分页/投影滞后；不能“错误即重放”或“响应即完成”。这是后续隔离负例合同，本汇总未运行云端/业务恢复测试。^[raw/articles/a2a-jakarta-cross-node-state-and-effective-security-2026-09-13.md] ^[raw/articles/aws-agentcore-a2a-host-contract-and-health-semantics-2026-09-17.md] ^[raw/articles/hyper-tau-bench-evidence-recovery-and-agent-construction-2026-09-17.md]

长请求沿配置、传输、任务与业务结果分层验收：automata-a2a-timeout-transport-versus-task-success将前述客户端时限门延伸到真实路由：保存配置提交/渲染/加载时间与数据面实际值，再记录首headers、首chunk、最后事件、HTTP结果、协议Task state和独立effect；HTTP200内TaskFailed、curl自行到cap或issue关闭都不算业务办结。排队首chunk预算、可重置idle、turn和外层绝对deadline不能互借；局部移除request截断后仍须并发/资源上限、落盘余量与真实取消。超时只说明观察截止，不证明后端未执行：尽早持久化可信server task id，恢复前查Task/幂等记录及独立effect，另验取消是否抵达和迟到结果，避免盲重放写操作或叠加排队。第三方历史回执只支持其当时配置；不复制0s/180s/300s到用户实例，不将更正前的后端故障诊断保留为定论。本轮未跑真实任务/owner或网关E2E。^[raw/articles/automata-a2a-route-timeout-and-failed-task-primary-2026-10-23.md]

跨副本四账：状态、事件、执行、身份：a2a-python-cluster-state-stream-execution-boundaries 的固定v1.2.0实现将版本化task store防旧快照覆盖、共享事件表供异副本重订阅、请求边界刷新供A→B→A续写分别落地；但legacy适配器忽略版本参数，只配store未配event_stream会降级，已订阅不证明工作者崩溃后有人接管。取消状态成功不能撤回已提交外部effect，task CAS也不是业务幂等。按SDK tag×DB迁移×有效store/event/auth配置，在隔离副本配对测A→B→A产物、并发旧写、跨caller事件泄漏、A崩溃后B接管、取消前后独立effect；记录拒绝前executor是否启动。作者PR测试和固定代码不当本机集群E2E，也不挪用Jakarta的授权默认值。^[raw/articles/a2a-python-cluster-v120-selected-2026-10-07.md]

沙箱到自身控制面与答案渠道分验：sandbox-control-plane-loopback-and-reward-channel-boundaries 将 DSec 的论文观察和 DeepSeek Harness（DSH）的历史 CVE 分为两个对象；不合并版本、攻击前提或修复结论。沙箱还须纳入本地 daemon、Unix socket、loopback、宿主共享和代理执行：按 agent进程/身份 → 可达地址与路由 → 管理权限来源 → 最终effect 留回执，Host/Origin 头和本地地址不是鉴权主体，拒绝后需独立观测零副作用。直接进程被限制，并不证明边界外的服务不能代行；socket 存在也不等于可利用。评分链另追答案/得分从日志、模块代理、镜像等到模型可见输入的实际渠道，不能用成本/性能实验推断安全。参见 pillar-docker-socket-sandbox-trust-handoff、aisi-sandboxescape-bench-container-breakout 与 Agent-Benchmarks。两份raw均为选段，未读截图PoC/全补丁、未做本机E2E或探测用户部署；这是隔离验收准则而非现网漏洞认定。^[raw/articles/dsec-2609-22978-v1-security-sections-2026-10-02.md] ^[raw/articles/deepseek-harness-cve-2026-82533-ox-selected-2026-10-02.md]

传输安全与主体授权分层：openshell-sandbox-identity-versus-tls-boundary 的合并PR将高权限用户客户端私钥移出沙箱，沙箱只投影网关CA以验证TLS对端；driver的bootstrap身份断言、网关签发及验证沙箱JWT、用户客户端可选mTLS是三条不同信任链。不能以TLS开启、证书不在沙箱或JWT存在推论沙箱RPC已获正确授权；按sandbox-id/subject/audience/expiry/权限及网关侧effect配对测错主体、跨沙箱重放、过期token与合法最小权限正例。JWT仍是可复制bearer，driver声明真实性、有效期和撤销策略需另核。此处只用PR说明选段及作者测试声明，未审全部diff或用户实例/本机E2E，不把外部项目机制当Hermes默认配置。^[raw/articles/openshell-3110-sandbox-identity-tls-2026-10-03.md]

评分链路也要验收：保护reset、交接、依赖/规则、评分入口与release；任务结果和完整性结论分账，超时/缺证据不得fail-open。另把运行时泄题与训练污染、坏题分开：核残留Git对象、hidden材料/镜像、hooks、元数据和出站答案通路；新题或删branch不证明无泄漏。swe-bench-pro-verified-leakage-and-task-validity 的single-commit BASE及fresh evaluator只收patch可迁移，但须验构建/公开回归、合法替代解和伪解，不能把源码阅读或某backend blacklist当部署证明。内部runner后续测答案暴露未使用、评分路径篡改与verifier超时；本任务未运行这些试点。^[raw/articles/benchshield-reward-lifecycle-integrity-2026-09-12.md] ^[raw/articles/swe-bench-pro-verified-leakage-and-task-validity-2026-09-18.md]

失败结果也须有落盘余量：agent 执行预算、内部 evaluation budget、外层 verifier deadline 分开；串行子测试共享单调时钟的剩余预算，保留 headroom 写 reward、诊断并清理。不能把完整外层预算反复分给子进程，也不能用快速 oracle 随意缩短合法解窗口。超时零分须另存任务/环境/agent 的失败归因；内部 runner 后续用强制内层超时验收截止前有回执，不将缺 reward 或 infra 故障伪装成 agent 错误。^[raw/articles/harbor-index-curation-parity-and-version-snapshots-2026-09-13.md]

输出绑定与委托授权分验：输出签名验证交付字节；父引用或子方签名不能证明父方同意。若系统要求双边委托授权，应验父子对同一具体边的签署、信任目录、撤销/有效期及 nonce 状态；父方拒签应阻断。单个 verifier 的防重放断言不能外推为跨 verifier 保证。参见 A2A-Agent2Agent-Protocol 与 a2a-output-attestation-and-delegation-ancestry；这是接入审查准则，不是已部署双签服务。^[raw/articles/a2a-output-attestation-and-delegation-ancestry-2026-09-11.md]

贯穿上下文与协作：地址、标签、授权各负其责

• 语义发现 → 精确回读：Context-Engineering 中的概念摘要是有损视图，raw 是原始证据。已知路径后按原始对象回读，保留 URL/版本/hash 与定位信息；无效地址明确失败或给出未确认候选，不把近似命中当原对象。压缩率不能替代关键 ID/报错恢复率、回读成本和最终正确性。沿用现有云端向量检索，不直接替换 runtime。^[raw/articles/arc-addressable-recall-context-compaction-2026-09-11.md]
• 来源信任不因摘要提升：外部payload经格式化、记忆/召回仍是资料，不变成用户指令；规划metadata不能洗入外部指令。高影响字段独立授权，来源还须绑定叶路径及值；typed release只放行指定source/value/task/predicate/有效期，不把所有后续内容可信化。spa-plan-first-label-preserving-persistent-agents 与CONTINUITY提供架构启发，当前wiki只落实可追溯来源/证据标注，不声称部署字段级IFC，也不要求给每段wiki加签名。^[raw/articles/spa-plan-first-label-preserving-persistent-agents-2026-09-11.md] ^[raw/articles/continuity-security-context-contracts-2026-09-18.md]
• 来源身份 × 持久范围双账：context-privilege-escalation-role-scope-reload-verification 将网页/工具/MCP/A2A响应、raw、正式页、仓库规则、skill与memory的owner、写权限、实际消息role、session/project/user scope、装载时点列入source manifest。静态可写不等于入模；入模canary不等于真实越权。只在隔离环境移除低源并重启高源，用无害标记及独立sink验证传播、后续遵循与最终effect，兼测正常任务可完成；外部文章经编译进正式页仍是来源证据，不能变成指令或自动写生产skill/memory。作者固定版本的候选路径统计不是本站漏洞数，也未做本机双会话实验。^[raw/articles/context-privilege-escalation-2609-01222v2-selected-2026-10-16.md]
• 允许读取不等于允许组合披露：topbench-compositional-privacy-and-harness-integrity 将单源不可推断、跨源可推断与任务必要性分开；正常任务也可能产生不必要的敏感结论，不必存在注入。多源汇聚/摘要/发布按任务与接收方复核，分别衡量任务效用、最终回答和接口实际可见 reasoning 的泄漏；不假装可访问隐藏思维链，也不把 JSON 标签核查当隐私语义或生产安全实测。^[raw/articles/topbench-compositional-privacy-and-harness-integrity-2026-09-15.md]
• 长程 context 以配对续跑验收：trace-boundary-paired-continuation 固定同一真实边界、环境/重放前缀、可见context hash与模型/harness版本，再比较PRE/POST自由行动；后续PRE须使用真实历史摘要，重放不确定会破坏配对前提。blocked、refetch及去重union分列，累计与边际不混用；有效rollout、errored、实际步数、早停和最终完成并报，合法再确认/凭据刷新不当无效重取。局部低负担不替代最新要求、完成状态与交付契约。Context-Engineering、Loop-Engineering、Harness-Engineering 分管信息、闭环与执行；未来只在隔离可重放任务试验，不直接重放外部写操作或替换线上压缩器。^[raw/articles/trace-boundary-paired-continuation-2026-09-21.md]
• 稳定前缀按epoch验收，后台工作按启动计总成本：compactionbench-apec-stable-prefix-and-evaluation-unit将上述消费/deadline门细化为 snapshot版本/覆盖末项 → append-only prefix epoch → 保留tail与新消息 → 完成/应用/首次模型消费 → 硬阈值回退或epoch重置。摘要异步生成不证明prefix cache命中，先前prefix不变的保证不跨重置；已启动未应用/取消摘要、缓存失效、前台争用和同步回退仍计费用与墙钟。固定连续需求与总deadline、多次比较同模型/输出余量，验最新需求、关键ID、call/result配对、来源权限和独立终态；收益逐项绑定基线，不能把不同基线的省钱/省时拼成同一收益。release transition、其内连续items、重复run与测试加权accuracy分别报告，不把同会话事件当独立任务或把测试分数当整项办结；只清理Git refs不证明所有答案渠道关闭。tail预算歧义保留在source的contested，须补实现后才试阈值；未改Hermes压缩器或运行作者模型。^[raw/articles/compactionbench-apec-primary-preprint-2026-10-27.md]
• skill / workspace 污染防线与调用时绑定：外部或agent-authored skill保留来源hash、run id、review及claim/status/broadcast/merge/verifier；共享内容不是可信指令。沿skilllifebench-invoked-code-binding-and-recovery记录获准digest/selected/loaded source/handle→object→call/policy epoch：磁盘或目录换新版不证明旧引用已失效，wrapper hash不代替上游实现，hash一致也不授当前权限。只在隔离fixture成对验磁盘已换对象未换、对象已换旧handle未换，以及一致hash却实例/授权错误；执行证据须由可信executor绑定，模型自报不自证。先reload/rebind，覆盖不了引用再评估restart，不重启生产gateway。恢复冻结incident/模型/动作/授权/预算，对照确定性hash-link规则与LLM诊断，联合记risk安全且可用、benign效用、时间/费用和无效计划；未知不折算安全，恢复不回滚既有effect。归属Agent-Skill-Discovery/Harness-Engineering/Loop-Engineering，只是验收设计，未修改skill运行目录或执行外部样本。^[raw/articles/skilllifebench-invoked-binding-and-recovery-2610-35215v1-2026-11-01.md]
• 控制面谱系而非工具堆积：重复 gateway 候选先比较 backend_protocols、registry_scope、identity_model、credential_boundary、policy_surface、observability 与 federation risk；只有新增机制或反例才晋升。大规模 comparison/迁移留专门任务。

链接、索引与发布验收合同

1. 正文互链与渲染后寻址：最近七天新增/更新的 AI 文章至少连接一个六轴主题簇，并有至少两条指向其他既有页的有效链接；不能只靠发布时会被剥离的 frontmatter related。新增 source 应获主题概念反链；日报由本页的证据窗口承接。Obsidian alias、lint的stem/title解析及静态HTML是不同合同：Markdown目标存在、同构建字节相同，都不证明渲染后真的有正确href。按本轮关键source↔concept检查实际anchor；现有发布器可能把显示名wikilink的竖线误判为表格，局部可改普通stem链接/邻接标题，不能以“本地可解析”掩盖公网断导航。全库parser/alias一致性另立专项，不无人批量改写。^[log.md]
2. 局部与历史分账：核对真实路径/标题、frontmatter、正文写入时间、raw 来源与导航。先保留 broken-link 基线，再验收新增差集；历史断链不是“零异常”，但不要借它否定本次正确修改或无人批量猜链接。
3. 路径集合，而非只看总数：文件系统正式文章、wiki-query、向量 metadata 与覆盖监控的 eligible 集合逐路径一致，raw/导航单列。监控扫描器本身也可能漏类型：09-15 补齐 comparisons/frameworks 修复的是已索引页面不受监控的盲点，并非补入丢失索引。并发写入/索引中状态要与最终完成快照区分；详见 log.md 与 llm-wiki-optimization-2026-09-09、llm-wiki-optimization-2026-09-10。
4. 真实检索回归：内容更新后运行 ~/llm-wiki/bin/wiki-vquery-run index --reindex，核对 FAISS ntotal、metadata、category/type 分布，再用机制问题分别检索概念和承载证据的source；元数据覆盖或只命中主题总页不证明新机制可检索。现有4000字符取文窗口可能漏掉长页后段，低风险可前置短机制入口后按同query回归，不重复建页凑召回；分块/排序改造另立基线。分类/类型工具变更另验 stats、recent、filter 与增量保留，保持 GLM Embedding-3 云端后端。实例见 llm-wiki-optimization-2026-09-21。
5. 发布与通知分别验收：执行 ~/llm-wiki/scripts/publish-wiki-to-cvm.py --since-hours 36 后，先用正常证书校验的公网 HTTPS GET/HEAD（不得以 -k 替代），再回读确切目标，核对正文与 manifest；远端上传成功和脚本退出0不能代表TLS可达。2026-10-12早报时证书曾过期，publisher仍打印公网URL且退出0：当次只能称站内构建/上传，不能称公众可访问；本次证书状态须重新实时验，不沿用旧失败结论。回执绑定目标/动作/时间，hash 只证明字节而非全部执行链无旁路。36h 是展示窗口，不是上传范围。入口统一为 https://abos-at.work/llm-wiki/index.html。生成、索引、CVM、投递分别记状态；检查 cron 的 last_error、last_delivery_error 与实际输出，delivery_failed 不代表未入库，网页可读不证明消息送达。故障留独立维护，不重复摄入或绕过自动投递发送。
6. 审计也须对账：用路径清单/原始回执核对文件、样本、数量与指标；raw 不改，更正留痕。检查器版本也属于实验条件：前后记录工具 hash/版本、配置和扫描范围；工具变更时重新建立同口径基线，不能把告警下降算成内容修复。lint 看实际问题统计而非包装器退出码，全库/正式页/新增差集分账，并保留独立路径/链接检查。审计实例见 llm-wiki-optimization-2026-09-14 与 log.md 的早报回查记录。
7. 新鲜度与停手边界：最近七天按明确时区的日历窗口取证，列出实际文件与缺失日期，不用“最近七篇”补齐。将 scheduled_at、dispatched_at/catch_up、fire_claim、完成回执、落盘日期和投递状态分开；enabled/认领/next_run 不证明完成，旧 last_error=null 也不能证明本次成功。2026-09-27 雷达已按时派发但 last_status=error，错误为 gateway post-interrupt 停机杀死工具子进程，09-27观察文件未落盘：这是明确的执行失败，不是一次内容空集，也不能由本汇总补造原观察。无产物不能推断“无新知识”；有缺口则报告未知，只有完成检查且确无增量才静默。操作与故障留 log.md；没有新机制不另加日报，没有内容变化不重建索引/发布，有内容修订仍须验收。补跑、批量拆页、权限/cron/gateway 改造留专项。

1. 发布归属须绑定同一构建：并发publisher可能覆盖首页、manifest或逐页footer，36h展示窗口也可与24h构建不同。上传后先比唯一rel/输出路径、源mtime与本次构建字节，再定位正文、展示标记或生成时间的差异；HTTP200或路径相等不证明同版，也不把仅footer漂移说成正文丢失。若精确目标不一致，保持未验收状态，检查并发写者并在获准范围内重新发布/读回；不要只补传首页拼成混合版本。正式单写者/构建ID/原子切换与浏览器缓存治理另立专项，不在无人汇总里重启gateway或改调度。10-23早报的并发覆盖实例及重新发布回执见log.md；这是验收机制，不声称已部署锁或原子发布。^[log.md]

当前雷达判断与维护边界（2026-11-01）

10-26—11-01七篇实际观察、AI-Knowledge-Point-Radar与只读核验的启用雷达任务合同仍按MCP Gateway、A2A、harness-runtime、context management、benchmark-evaluation、sandbox-security六轴/web-first/人物仅seed；来源跨不同团队论文、官方规范、固定SDK/网关实现、第三方部署与厂商候选，未见向单一人物或来源收敛。本轮把selected/loaded/invoked与旧handle、规则/模型恢复的risk×benign×cost、数据包版本映射、描述过滤/强制授权以及轮询/Task/真实交付并入原装配、授权、恢复与评测合同。能力覆盖、probe归因/奖励与放行、缓存/签名/当前授权、合法替代解/all-reject、凭据接收方/issuer旧注册、A2A亲和/push、私有题需求和稳定prefix消费成本等旧规则继续有效，不因窗口滚动废弃，不新造每日分类。

SkillLifeBench与Cognigy已达到机制级深读，分别仍是论文/相关版本元数据和experimental滚动文档证据；论文实际manifest/runner未对齐、未执行样本或作者模型，Cognigy无真实Card/Task/跨owner/附件或人工交付E2E。本次不因旧handle问题推导必须重启gateway，也不把文档沉默当漏洞。Aembit出口/proxy材料与旧代理最终目标合同重复且未核固定实现，继续raw-only；SecPRBench仅搜索发现、未读全文，不归档摘要或引用其分数。Safe Outputs/Compact-Bench等pending没有被本次汇总自动关闭。^[raw/articles/skilllifebench-invoked-binding-and-recovery-2610-35215v1-2026-11-01.md] ^[raw/articles/cognigy-a2a-discovery-tool-filter-and-task-contract-2026-11-01.md] ^[raw/articles/aembit-public-egress-proxy-policy-raw-only-2026-11-01.md]

EREBOTS与FALCON已机制级深读，但分别只有固定论文/实现证据及早报11项纯函数合成检查；没有重跑TCK、作者模型/容器或真实跨owner/续办副作用，EREBOTS指南LLM前提与论文canned fixture差异保留contested。Safe Outputs仅working draft架构入口已读，未审privileged executor/validator/token/effect；Compact-Bench 2610.31710v2仅部分方法已读，runner/judge/附录未闭环，两者继续raw-only。用原始URL/arXiv ID/版本区分Compact-Bench、APEC CompactionBench和Compaction-Friendly，名称相近不合并证据；正式机制晋升不等于运行成熟度认证。^[raw/articles/erebots-a2a-tck-owner-resume-pinned-2026-10-31.md] ^[raw/articles/falcon-counterexample-faithfulness-and-reward-pinned-2026-10-31.md] ^[raw/articles/github-safe-outputs-working-draft-raw-only-2026-10-31.md] ^[raw/articles/compact-bench-2610-31710v2-raw-only-2026-10-31.md]

SAP桥接、AgentProofBench、Mastra与VerifierBench已达到机制级深读，但仍分别是官方配方/固定样例、作者论文或固定metrics源码证据，不是live互通、真实授权负例、逐trial复现或完整benchmark复现。ARD spec虽已捕获却仅入口已读，Compaction-Friendly仅摘要/引言入口，VerifiedWork Context明确未构建/未运行，均继续raw-only；Red Hat新入口原件HTTP 403且相对既有机制没有固定实现增量，不晋升。捕获、深读、正式晋升、云端召回、公网可读必须分别留证，论文声称released不能替代专用artifact定位/核验。^[wiki/ai/sources/llm-wiki-optimization-2026-10-30.md] ^[raw/articles/verifiedwork-context-design-not-run-raw-only-2026-10-30.md]

Envoy/MCP SDK、Rasa与SnowPR仍是固定代码/官方文档/工程文章证据，不是本机网关、双pod、作者模型或私有题包E2E；VerifierBench本轮已关闭“未深读”pending，但保留完整数据/V4V/hidden视图与作者复现pending。六轴检查和主题簇互链无新增缺口；不要以文档中的task completed、重复次数或verifier标签替代独立状态、真实投递、合法替代解与需求/判分覆盖。^[wiki/ai/sources/llm-wiki-optimization-2026-10-30.md] ^[wiki/ai/sources/llm-wiki-optimization-2026-10-28.md]

Unla和CompactionBench已深读晋升，但前者仅固定源码/当前文件比对，后者tail预算有歧义且专用实现/逐trial包未核；均不是本机授权或压缩收益实测。Solace A2A的Card/JWT/broker ACL与RepoBench包说明继续raw-only：须分别补可信签发者/权限收窄/逐task owner的固定实现与负例，以及真实runner/隐藏材料可达性；厂商wire名称不等于跨SDK互通，包示例trial数不是运行回执。保留A2A高权重，双语补证词已在Radar，不另建薄页。^[wiki/ai/sources/llm-wiki-optimization-2026-10-27.md] ^[raw/articles/solace-a2a-broker-trust-and-deploy-docs-raw-only-2026-10-27.md] ^[raw/articles/repobench-080-package-description-raw-only-2026-10-27.md]

CoSec与LiteLLM已深读晋升；TrueFoundry刷新锁与A2ARegistry只留raw，虚构客户、估算延迟、SLO目标及作者测试源码不当运行证据。CoSec表4的FPR/OR口径、LiteLLM文档与固定代码的签名/能力冲突保留contested；不运行作者容器/模型、不补造用户Task/owner/凭据/危害E2E。^[wiki/ai/sources/llm-wiki-optimization-2026-10-25.md]

候选按最新证据记账：SSR和MalSkillBench已深读晋升，但前者未胜过BM25、不是真实委托，后者保留摘要/细表contested；Jakarta更新旧页，不重造release页。Zuplo两跳OAuth只文档raw，须补固定实现/逐跳受众/撤销负例，不以厂商图或逐用户token声明晋升。^[wiki/ai/sources/llm-wiki-optimization-2026-10-24.md] fold/adeen仍固定README-only；Agent Router详细notes、.NET的README/tree/release、Anima身份文档、AgentScope注册文档和MOSAIC PoC仍待固定实现/Task负例。CyberArena按v2补方法、INFUSE/transparent补读，旧WorkBuddy去重；高分、star与来源配额不能豁免证据/重复门。09-27失败仍属历史缺口。^[raw/articles/mcp-fold-and-adeen-fixed-readme-raw-only-2026-10-23.md] ^[wiki/ai/sources/llm-wiki-optimization-2026-10-22.md] ^[wiki/ai/sources/llm-wiki-optimization-2026-10-21.md] ^[wiki/ai/sources/llm-wiki-optimization-2026-10-20.md]

隔离试点先冻结语料/查询/权限、开发集K/token cap和BM25/当前GLM基线，保留空池、条件分母/总成本与中文反例；skill未来另获运行授权才验标签/拒绝/危害/合法恢复及跨session持久化。原R/V/O、旧解/新盲解、实际测试收集、压缩消费/固定deadline、真实Task/owner/代理出口E2E仍待专项，不动生产网关、memory、权限或cron。向量与公网每次实时复验，分别列缺失/多余/mtime-size过时集合并核承载source真实召回，不沿用旧额度/证书故障或早报成功。本轮结果归log.md，公开发布和投递各自验，不切本地模型。

大范围维护仍需单独安排：既有断链/别名、超长 Harness/Benchmark/Context/MCP/A2A 概念页、顶层 source 长列表与缺失 SCHEMA；本轮只整理此总览和导航，缺链才做低风险修补，不批量拆页或建立新的 taxonomy。

最近七天的证据入口

• llm-wiki-optimization-2026-11-01：selected/loaded/invoked与保留handle；risk×benign×cost/规则恢复、数据版本映射；描述过滤/授权、发现凭据和轮询/Task/附件人工交付；Aembit仅raw、SecPRBench仅发现。
• llm-wiki-optimization-2026-10-31：Card能力开关覆盖、可信用户与resume/执行栈、consent数据/强制；探针归因、实际入口、no-evidence/pending/奖励与放行分账；Safe Outputs/Compact-Bench仅raw。
• llm-wiki-optimization-2026-10-30：缓存发现信任、可选与强制验签、执行来源/任务恢复；VerifierBench合法正例覆盖、V4V与全拒绝陷阱；VerifiedWork仅未运行设计。
• llm-wiki-optimization-2026-10-29：用户/客户端断言与resource/Task逐跳分验，本次初态义务、panel+witness及同开局gate/中性继续；ARD/Compaction-Friendly仅raw。
• llm-wiki-optimization-2026-10-28：凭据接收方/issuer旧注册、A2A亲和与push独立投递、私有PR需求充分性；VerifierBench仅raw。
• llm-wiki-optimization-2026-10-27：可信授予者/最终prefix授权双门，稳定prefix epoch、后台启动/消费全成本与release/items/测试分母；Solace A2A与RepoBench仅raw。
• llm-wiki-optimization-2026-10-26：显示别名与来源绑定身份、规范化命名空间生命周期/连接与目录接纳、错误觉察与真实状态修复；Multica提案仅raw。

历史证据导航（不作为当前日期窗口）

• llm-wiki-optimization-2026-10-25：事件时授权与工作流继承、PVR/BCR/STCR与OR单调性、派生Card改写后的能力/签名/task owner分账；TrueFoundry/A2ARegistry仅raw。
• llm-wiki-optimization-2026-10-24：目录/检索/入模三层预算及召回/选择/真实委托；恶意标签、检测拒绝与危害分账；Jakarta版本增量回写，Zuplo两跳OAuth只raw补证。
• llm-wiki-optimization-2026-10-23：三重建粒度/漏洞-GOLD-narrated-nop对照、实际测试收集和当次报告；A2A route/数据面/HTTP/Task/effect与首chunk排队分验，MCP两README候选仍raw-only。
• llm-wiki-optimization-2026-10-22：R/V/O产物边界、审查/旧合法解/新盲解三门与经验robust停止；.NET/Anima/Agent Router仅raw补固定实现，不把文档或测试文件名当运行证据。
• llm-wiki-optimization-2026-10-20：客户端分段/idle/绝对deadline、原生/快照合成流、cause保真与发现/调用凭据接收方；固定源码和部分测试阅读非本机CLI/E2E。
• llm-wiki-optimization-2026-10-21：输入/推理输出余量、压缩配置/触发/完成/应用/消费与固定deadline效用分验；表2估计量待澄清，AgentScope只raw、CyberArena核v2不混版，未跑Hermes压缩器。
• llm-wiki-optimization-2026-10-19：未知漏洞审计的目标安全S与正常功能F同run合取、判分器与可见参考补丁导致评审证据非独立；私有题不可独立重放。
• llm-wiki-optimization-2026-10-18：固定官方规范的AUTH_REQUIRED等待态/带外凭据/逐跳受众与逐方法任务资源授权、恢复及真实effect分验；未跑SDK三主体E2E。
• llm-wiki-optimization-2026-10-17：审批事件/时间字段可达性、真实lookup→result来源绑定与离线报警/在线效果；论文§3–7选段，未跑本机监控器。
• llm-wiki-optimization-2026-10-16：来源消息role与session/project/user scope双账；静态候选、入模canary、移除低源重启、真实effect逐级验，固定版本论文非本机事故。
• llm-wiki-optimization-2026-10-15：安全开关有效ON/OFF、合法任务与恶意effect同条件配对，真实sink/替代路、runnable/gradeable和联合结果分账；仅作者论文与公开任务，未跑本机E2E。
• llm-wiki-optimization-2026-10-14：目录派生Card/已认证task owner与push配置读回、默认IP guard/自定义policy及代理出口分验；v1提案未合并，多租户未跑E2E。
• llm-wiki-optimization-2026-10-13：可信接收方、漏/拒/恢复三态与安全路线可达分母；正确认证与真实业务完成分验，作者模拟结果非本机E2E。
• llm-wiki-optimization-2026-10-12：MCP Gateway 1.32代理guard/旁路SDK/最终拨号者及HTTP代理×CA交叉组合；公网TLS状态须独立验收。
• llm-wiki-optimization-2026-10-11：Loom固定代码显示管理端Card守卫、registry批准与运行时HTTP/任务链分叉；跨group/persona和实际effect仍待隔离E2E。
• llm-wiki-optimization-2026-10-10：ReviveBench的合法可达、替代/伪解与adapter实效门；未跑本机任务包。
• llm-wiki-optimization-2026-10-09：URL解析一致、认证分支及辅助session逐路径guard与真实连接时目标分验；尚未在本机E2E。
• llm-wiki-optimization-2026-10-08：Go/Python固定sender的直连/代理最终目标与接收端投递分账，proxy出口正反例待隔离验证；旧issue修复不当今漏洞。
• llm-wiki-optimization-2026-10-07：官方A2A Python v1.2.0跨副本版本store/共享事件/请求刷新；执行接管、业务幂等、legacy兼容与身份隔离须分验，作者测试非本机E2E。
• llm-wiki-optimization-2026-10-06：真实公开Card/JWKS、固定源码的转发凭据/任务owner接缝；待验签与隔离三主体task/业务终态负例，不宣称线上泄漏。
• llm-wiki-optimization-2026-10-05：重复检索/长回包/模型路由与任务总账分验；A2A提案/信任讨论缺独立任务回执，安全既有材料去重。
• llm-wiki-optimization-2026-10-04：发现凭据purpose/owner与调用身份分离，排他身份选择及真实write/vend校验；独立context论文有待复核候选，A2A公开Card非任务闭环。
• llm-wiki-optimization-2026-10-03：Vera同谓词安全评测与OpenShell沙箱身份/传输分验；作者材料非本机E2E。
• llm-wiki-optimization-2026-10-02：DSec论文与DSH历史CVE分对象；沙箱自身控制面可达性/真实身份/零effect、得分渠道溯源；未做本机E2E。
• llm-wiki-optimization-2026-10-01：推荐策略/显式求值/强制gate与求值期真实上游调用分验；合规筛选、重复比较及期外回归，未做本机suite。
• llm-wiki-optimization-2026-09-30：已通过轨迹审计、路线封堵与通道关闭分验，修后全新续跑与合法可解性回归；论文选段非本机评测。
• llm-wiki-optimization-2026-09-29：逐协议/handler出站、连接时IP绑定与有效配置；固定tag片段非全路径/E2E。
• llm-wiki-optimization-2026-09-28：MCP注册即spawn/dial，注册时鉴权与连接时实际目标/代理双门；不是用户现网Bifrost告警。
• llm-wiki-optimization-2026-09-26：产品支持与本机启用/实际权限分账；owner×caller×有效主体与群聊/cron/peer身份边界。
• llm-wiki-optimization-2026-09-25：独立状态探针、no-op/参考攻击覆盖与漏洞补丁重放归因、需求/环境/评测三分因。
• llm-wiki-optimization-2026-09-24：签名Card可信key来源/可选验证、关闭/开放风险及实际effect、旧新token与在途撤销。
• llm-wiki-optimization-2026-09-23：目标绑定认证回退、逐binding能力/成本与远端凭据，文档冲突及抽取身份。
• llm-wiki-optimization-2026-09-22：确认/身份/归属与完成态拒绝，攻击对照/零基线/效用，工具链阻塞和数学符号保真。
• llm-wiki-optimization-2026-09-21：同状态配对续跑/早停、路由凭据与hop终态、在途撤销、URL/version去重和source召回。
• llm-wiki-optimization-2026-09-18：来源/角色/变换合同连续性、提交时验权、运行时泄题与配对对账。
• llm-wiki-optimization-2026-09-17：独立需求覆盖、pilot暴露/宏平均/预算、托管错误/健康与业务终态。
• llm-wiki-optimization-2026-09-16：回传状态/头体一致、caller/dispatcher 分权、fixture 入口与未判分/成本分账。
• llm-wiki-optimization-2026-09-15：对象/完整性绑定、逐跳Card认证、模型可见schema/ID与组合披露边界。
• llm-wiki-optimization-2026-09-14：引导权限、host分责、判分视图与工具版本；llm-wiki-optimization-2026-09-13：有效配置、恢复/题目/快照与超时余量；llm-wiki-optimization-2026-09-12：有效Card/企业授权、身份凭证/标准冲突与奖励/分母。
• llm-wiki-optimization-2026-09-11：全文完整性、地址回读/来源标签、双边授权与指标语义。
• llm-wiki-optimization-2026-09-10：assertion/权限/状态、版本分母与路径集合；llm-wiki-optimization-2026-09-09：工具路线/拦截/协议/增量索引；llm-wiki-optimization-2026-09-08：asset control plane、marathon verifier与未读来源。
• llm-wiki-optimization-2026-09-07：registry-to-runtime、TaskHandle 与恢复；llm-wiki-optimization-2026-09-06：task envelope、runtime placement 与计划/执行边界。
• llm-wiki-optimization-2026-09-05：身份、Agent Card 与 trust metadata；llm-wiki-optimization-2026-09-04：动作级授权、审批恢复与旁路。
• llm-wiki-optimization-2026-09-03 · llm-wiki-optimization-2026-09-02 · llm-wiki-optimization-2026-09-01 · llm-wiki-optimization-2026-08-31 · llm-wiki-optimization-2026-08-30 · llm-wiki-optimization-2026-08-29 · llm-wiki-optimization-2026-08-28
• llm-wiki-optimization-2026-08-27 · llm-wiki-optimization-2026-08-26 · llm-wiki-optimization-2026-08-25 · llm-wiki-optimization-2026-08-24 · llm-wiki-optimization-2026-08-23 · llm-wiki-optimization-2026-08-22 · llm-wiki-optimization-2026-08-21
• llm-wiki-optimization-2026-08-20 · llm-wiki-optimization-2026-08-18 · llm-wiki-optimization-2026-08-17 · llm-wiki-optimization-2026-08-16 · llm-wiki-optimization-2026-08-15 · llm-wiki-optimization-2026-08-14

写入记录

• 2026-11-01 12:02 CST：复核10-26—11-01七篇观察，将调用时实现/旧handle绑定、同初态规则/模型恢复与risk×benign×cost、数据版本映射、描述过滤/授权和轮询/Task/完整交付并入原合同；更新前置检索入口/证据窗口，保留raw-only与未复现边界，不新增日报、不改生产控制，链接/全量云端重建/公网结果归本轮log。
• 2026-10-31 12:01 CST：复核10-25—10-31七篇观察，将Card能力开关覆盖、服务/用户身份、resume前置验权/原task保护、consent强制及probe归因/入口差异/奖励与放行分账并入既有合同；滚动窗口、前置检索入口，Safe Outputs/Compact-Bench继续raw-only，不新增日报或更改运行控制，索引/公网以本轮独立回执为准。
• 2026-10-30 12:10 CST：复核10-24—10-30七篇实际观察，将缓存发现信任/签名策略/执行来源与合法正例覆盖/all-reject判分陷阱并入既有授权、恢复与评测合同；前置短检索入口并滚动证据窗口，VerifierBench关闭未深读pending但保留完整复现边界，VerifiedWork仅raw未运行设计、Red Hat未晋升；六轴web-first、人物仅seed，索引/云端重建/公网发布另以本轮回执为准。
• 2026-10-29 12:03 CST：复核10-23—10-29七篇观察，将逐跳用户/客户端断言与resource/Task证据、本次before义务与panel+witness、同开局gate完整policy及持久effect/交付分账并入原授权/评测合同；滚动窗口、保持raw-only门，不新增日报或修改生产控制，运行验收归log。
• 2026-10-28 12:03 CST：复核10-22—10-28七篇观察，将凭据接收方/issuer旧注册、A2A亲和与独立push回执、私有题需求充分性及VerifierBench raw-only边界并入稳定合同；确认六轴web-first、人物仅seed、主题簇互链无新增缺口，待本轮云端索引与CVM独立验收。
• 2026-10-27 12:02 CST：复核10-21—10-27七篇观察，将可信授权根/最终资源双门、稳定prefix epoch与后台启动/实际消费全成本、持续任务/测试加权分母并入既有合同；前置短检索入口，滚动证据窗口并将10-20归历史，Solace/RepoBench继续raw-only；未改生产控制，索引/公网另验。
• 2026-10-25 12:00 CST：复核10-19—10-25七篇观察，将事件时授权/工作流继承、OR合并单调性、派生Card不继承上游背书及raw-only证据降级并入稳定控制链；确认六轴web-first、人物仅seed，低风险补链范围内无新增页面，索引/向量/公网由本轮独立回执验收。
• 2026-10-25 12:04 CST：复核发布后的渲染寻址，发现raw-only候选不应生成公网wikilink；改为纯路径/脚注引用，避免发布页出现不可点击目标；随后重新索引与发布并按同构建字节、HTTPS及关键href复验。
• 2026-10-24 12:04 CST：复核10-18—10-24七篇观察，将候选预算/检索覆盖/真实委托、恶意标签/拒绝/危害及版本增量重验并入原控制链；滚动证据与候选窗口，前置短入口，不新增日报/分类或修改生产控制，索引/公网由当轮独立回执验收。
• 2026-10-24 12:09 CST：由发布后关键反链验收发现“alias目标可解析但HTML被误作表格”，将真实href与Markdown/同构建字节分验纳入原链接合同；明确至少两条其他页有效链接而非额外要求两概念，不修改发布器或全库alias。
• 2026-10-23 12:05 CST：复核10-17—10-23七篇观察，将多对照/预期收集/当次裁判证据与配置/数据面/传输/Task/effect及排队恢复并入原控制链；前置短入口、滚动候选与证据窗口，发布构建归属单独验，不新增日报分类或修改生产控制。
• 2026-10-23 09:12 CST：把三粒度/多对照、当次报告与实际测试收集，以及route/传输/Task/业务effect分验并入既有基线；补MCP缺省策略负例与双语关注词、两机制及当日观察反链，不改生产控制层。
• 2026-10-22 12:02 CST：复核10-16—10-22七篇观察，将产物准入/RVO共同版本、旧解回放与新盲解三门、接受/拒绝及经验robust边界并入原评测维护链；更新候选证据与窗口，不新增日报分类或运行作者实验。
• 2026-10-21 12:02 CST：复核10-15—10-21七篇观察，将输出余量、checkpoint实际消费与固定时限采纳门并入上下文/预算合同；细化配对估计量、重复依赖和运行后分组对账，滚动证据窗口，不改线上压缩器或新增日报分类。
• 2026-10-20 12:01 CST：复核10-14—10-20七篇观察，将真实分段/idle/总时限、native/合成流、错误cause及发现凭据接收方并入原装配/恢复/授权合同；滚动证据窗口，索引缺失与旧嵌入分账，不新增日报分类或声称本机E2E。
• 2026-10-19 12:00 CST：复核10-13—10-19七篇观察，将未知漏洞审计的S∧F联合判分、评审可见参考补丁/verifier输出的证据依赖归入原评测合同；滚动证据窗口，不将私有题作者结果当本机复现。
• 2026-10-18 12:00 CST：复核10-12—10-18七篇观察，把A2A等待态/真正授权/任务资源逐方法隔离/断流合法续办纳入原身份与状态合同；滚动证据窗口，规范不是当前SDK或用户实例E2E。
• 2026-10-17 12:01 CST：复核10-11—10-17七篇观察，合并审批历史可达、真实来源绑定及离线/在线/业务后效分验到原评测控制链；滚动证据入口，不将论文后验告警当本机E2E。
• 2026-10-16 12:00 CST：复核10-10—10-16七篇观察；把来源实际role与持久scope、低源移除后跨重启装载及真实effect分验纳入原上下文/权限合同，滚动证据窗口；作者实验不作本机事故结论。
• 2026-10-15 12:00 CST：复核10-09—10-15七篇观察，把有效安全开关、合法路线可达、受保护sink替代路、效用/危害及联合结果分母纳入原评测与权限合同；滚动证据窗口，不把作者统计当本机实测。
• 2026-10-14 12:00 CST：读10-08—10-14七篇观察；将目录派生Card、已认证caller到逐操作task owner及push token读回纳入既有A2A身份/任务/出站合同，滚动证据窗口；外层鉴权与代理E2E仍未知。
• 2026-10-13 12:00 CST：读10-07—10-13七篇观察；将可信接收方、泄漏/拒绝/恢复、可信路线可达及认证/业务办结分母纳入旧授权与评测合同，滚动七日证据入口；作者统计不当本机E2E。
• 2026-10-12 12:00 CST：复核10-06—10-12七篇观察，将代理guard实际路径、旁路SDK、最终拨号出口与代理×CA组合验收纳入旧矩阵；公网发布另加正常TLS门，不以早报证书故障推断当前状态；未做代理E2E。
• 2026-10-11 12:01 CST：复核10-05—10-11七篇观察；Loom的Card发现、目录/批准/部署与运行时独立客户端/task/effect分验并入现有控制链，滚动证据入口；只读源码和mock不冒充隔离E2E。
• 2026-10-10 12:00 CST：复核10-04—10-10七篇观察；把判分器合法可达、替代/伪解探针、独立复算与adapter生效归入原评测合同，滚动证据窗口；保留作者论文与本机未复现边界。
• 2026-10-09 12:00 CST：滚动七日窗口至10-03—10-09；将URL解析一致、PAT/basic/OAuth与辅助session guard覆盖并入逐路径/连接时出站合同，保留代理终点与合法私网正反例、原厂修复与未跑本机E2E的证据边界。
• 2026-10-08 12:00 CST：七日证据窗口滚动至10-02—10-08；将A2A push直连IP/代理最终目标/接收方投递分账并入已有出站矩阵，区分源码风险假设与未执行的隔离mock/现网E2E。
• 2026-10-07 12:00 CST：七日窗口滚动至10-01—10-07；将跨副本task版本、共享事件、实际执行接管、caller身份与业务幂等分账并入旧控制链，单列legacy/缺event_stream降级和取消后effect；不称已跑SDK或集群E2E。
• 2026-10-06 12:00 CST：将七日证据窗口滚动至09-30—10-06；把Card只读发现/可信key/真实caller/转发凭据/task owner/业务结果分验及隔离三主体正反例纳入原权限闭包，不称已验生产任务或跨用户漏洞；六轴与旧三门不变。
• 2026-10-05 12:00 CST：七日观察未出现新的控制链分类；把成本行为反例收敛为同任务配对、合法完成与全链成本并验、重复和期外复核的采纳/回滚准则；未部署自动门或改变模型路由。
• 2026-10-05 09:09 CST：把最近七日窗口滚动至09-29至10-05，保留09-28历史入口并登记今日来源；不更改稳定三门或运行时。
• 2026-10-05 09:06 CST：在原候选机制基线补局部指标与总账、行动者可见域及模型路由分验；并入当日优化source，不新增日报式机制分类。
• 2026-10-04 12:00 CST：复核09-28至10-04七篇观察；将发现用途/主体隔离、排他身份选择与真实write/vend路径验收纳入原权限合同，更新七日窗口及context候选边界，不以作者回执当本机E2E。
• 2026-10-03 12:00 CST：核对09-27至10-03六篇现有观察（09-27执行中断无文件）；将Vera同谓词配对/可信服务状态与OpenShell网关CA、driver身份、沙箱JWT、用户mTLS分验并入原评测/权限合同，更新七日窗口及雷达边界，不声称本机E2E。
• 2026-10-02 12:00 CST：核对09-26至10-02六篇现有观察（09-27中断缺失）；将沙箱到自身控制面可达性/身份与答案渠道溯源并入既有权限/评测合同，更新七日窗口与雷达边界，不宣称本机E2E。
• 2026-10-01 12:00 CST：核对09-25至10-01六篇现有观察（09-27派发失败缺失）；将策略求值/标注的真实上游副作用和推荐/强制门分验、合规先筛与交付/配置比较分目标及期外回归归入原控制链，更新窗口与六轴判断，不冒称本机复现实验。
• 2026-09-30 12:00 CST：核对09-24至09-30六篇现有观察（09-27执行中断缺失）；将成功轨迹审计、路线/通道分验、修后新续跑及合法可解性回归并入原评测合同，保留来源与本机未实测边界；更新证据窗口及六轴判断。
• 2026-09-29 12:00 CST：核对09-23至09-29七日窗口六篇观察（09-27缺失）；把REST/A2A逐handler覆盖、连接时真实IP和不同版本/角色适用范围并入已有注册/拨号与三条横切检查，不把旧披露冒称今日新漏洞。
• 2026-09-28 12:00 CST：核对09-22至09-28七日窗口六篇现有观察（09-27缺失）；把MCP客户端注册副作用、注册与实际拨号双门及零effect验收并入既有权限检查，更新雷达/证据窗口，不新建日报或宣称本机E2E。
• 2026-09-27 12:02 CST：核对09-21至09-27七日窗口六篇现有观察与雷达实时调度结果；把派发后工具子进程中断、无当日观察的失败模式归入新鲜度合同，保持其余技术机制不变；不新建日报或补造研究。
• 2026-09-03 21:00 CST：合并/升级自我优化日志为总览页，明确 CVM 入口、雷达轴、日志分层和 wikilink 串联规则。
• 2026-09-03 12:01 CST：汇总近 7 天 llm-wiki-optimization-* 观察，新增权限/凭据边界、候选晋升 tape、benchmark/verifier 合同、MCP 控制面谱系、A2A 证据门槛、长程 context loop、skill 污染防线等机制级规则，并记录当日雷达轴与主题簇互链检查结论。
• 2026-09-04 12:00 CST：执行 llm-wiki 自我优化汇总；确认 AegisFlow 触发的动作级 policy-gateway 规则已完成机制升级，AI 雷达仍按六个知识点轴运行，最近 36 小时新增/更新页未发现缺少主题簇 wikilink。
• 2026-09-04 09:00 CST：根据 AegisFlow 入库，补充 policy-gateway 候选晋升标准与动作级证据链检查。
• 2026-09-05 09:00 CST：补充 MCP/A2A trust receipt 作为雷达 gate 与 wiki 自我优化规则。
• 2026-09-05 12:00 CST：执行 llm-wiki 自我优化汇总；确认 trust receipt gate 已完成机制升级，AI 雷达仍按六个知识点轴运行，最近 36 小时新增/更新页未发现缺少主题簇 wikilink。
• 2026-09-06 09:00 CST：补充 execution planning receipt 作为雷达 gate 与 wiki 自我优化规则，要求后续 runtime/gateway 候选记录 task envelope 与 runtime placement。
• 2026-09-06 12:00 CST：执行 llm-wiki 自我优化汇总；确认 execution planning receipt 已完成机制升级，AI 雷达仍按六个知识点轴运行，最近 36 小时新增/更新页未发现缺少主题簇 wikilink。
• 2026-09-07 09:00 CST：补充 registry-to-runtime bridge 与 A2A task-state harness 作为雷达 gate 与 wiki 自我优化规则。
• 2026-09-07 12:00 CST：执行 llm-wiki 自我优化汇总；确认 registry-to-runtime bridge 与 A2A task-state harness 已完成机制升级，AI 雷达仍按六个知识点轴运行，最近 36 小时新增/更新页未发现缺少主题簇 wikilink。
• 2026-09-08 12:00 CST：执行 llm-wiki 自我优化汇总；确认 asset-control-plane receipt 与 marathon-eval receipt 已完成机制升级，AI 雷达仍按六个知识点轴运行，最近 36 小时新增/更新页未发现缺少主题簇 wikilink。
• 2026-09-08 09:01 CST：补充 asset-control-plane 与 marathon-eval receipt 作为雷达 gate 与 wiki 自我优化规则。
• 2026-09-08 09:03 CST：记录本轮 reindex、语义检索和 targeted link check receipt，并标注 broad link check 的历史噪音边界。
• 2026-09-09 09:01 CST：补充 tool-route、action-interception、protocol-binding receipts 作为 llm-wiki 雷达 gate 与自我优化规则。
• 2026-09-09 09:01 CST：记录并已修复 wiki-vquery 增量索引缩成 1-doc、类型推断 entitie/strategie、缺少 comparisons/frameworks category subdir 的问题。
• 2026-09-10 12:03 CST：汇总 09-04 至 09-10 观察；将按日追加章节改为统一控制链与三条横切检查，增加正文互链/反链、三方路径集合和公网正文回读验收；保留历史证据导航与写入记录，明确机制规范不代表运行时已部署。
• 2026-09-11 12:02 CST：汇总 09-05 至 09-11 观察；将全文完整性、作者回执/本机核查分层、指标语义、地址与信任标签、双边委托授权纳入既有机制，增加日志对账与真实 lint 验收；更新 context 覆盖判断，未新建日报或部署运行时控制。
• 2026-09-12 12:03 CST：汇总 09-06 至 09-12 观察，将有效发现/分层授权、案例与规范分轨、借权前检查、奖励链路和弃权分母合入既有控制链；保留历史记录，关闭已补回原文的过期待办表述，不新建日报或改变运行时配置。
• 2026-09-13 12:05 CST：汇总 09-07 至 09-13 观察，将有效配置、观察/执行恢复、题目有效性与版本快照、超时落盘余量合入既有机制；更新 Harbor 晋升状态，并将内容/索引/发布/消息投递分验纳入合同，保留历史记录，不新增日报或修改运行时。
• 2026-09-14 12:06 CST：汇总 09-08 至 09-14 观察，将引导权限、adapter/host 责任、指标入口/判分可见证据和检查器版本合入既有机制；更新候选与投递状态，保留历史记录，不新增日报或改变运行时配置。
• 2026-09-15 12:03 CST：汇总 09-09 至 09-15 观察，将对象/完整性绑定、逐跳发现认证、模型可见输入与组合披露合入既有控制链；覆盖监控自身也纳入路径集合验收，压缩重复说明并保留历史记录，不新增日报或修改运行时。
• 2026-09-16 12:02 CST：汇总 09-10 至 09-16 观察，将回传状态/头体一致、后台分权、fixture 入口和未判分/全 run 成本纳入原控制链与三条检查；合并相邻机制段落，保留历史记录，不新增日报或修改运行时。
• 2026-09-17 12:04 CST：汇总09-11至09-17观察，将独立需求覆盖、pilot反馈/宏平均预算、健康事件时间与错误/业务终态分验合入既有机制；运行状态移交log，保留历史记录，不新增日报或修改运行时。
• 2026-09-18 12:05 CST：汇总09-12至09-18观察，将来源/角色/变换合同、提交时验权、运行时泄题/可见输入与配对对账合入原控制链；保留证据等级、历史记录和contested，不新增日报或部署安全控制。
• 2026-09-20 12:05 CST：按09-14至09-20日历窗口复核五篇现有观察，保留有效技术基线；补充观察缺口、调度/认领/完成/产物/投递分验与静默前提，旧证据转入历史导航，不新建日报或改调度。
• 2026-09-21 12:05 CST：汇总09-15至09-21五篇现有观察，将配对续跑/早停、逐路由与终态/撤销时间、URL/version去重和source召回并入原机制；关闭TRACE待全文状态，保留历史证据与写入记录，不新增日报或改变运行时。
• 2026-09-22 12:02 CST：汇总09-16至09-22五篇现有观察，将确认/身份/业务终态分验、安全评测对照/效用、抽取保真与测试前置阻塞并入既有机制；关闭带外防御待全文，保留未跑实验、contested和历史记录，不新增日报或改变运行时。
• 2026-09-23 12:05 CST：汇总09-17至09-23五篇现有观察，将目标绑定认证回退、逐binding能力/成本、凭据受众/目的地与文档冲突并入原控制链；补最终URL/正文身份及下载/深读分验，保留旧机制和历史记录，不新增日报或改变运行时。
• 2026-09-24 12:00 CST：汇总09-18至09-24五篇现有观察，将Card可信key与可选验签、通道关闭/开放分母和执行证据、旧新凭据与在途撤销分验合入既有三条检查；更新候选状态与证据窗口，不新增日报或改运行时。
• 2026-09-25 12:00 CST：汇总09-19至09-25五篇现有观察，合入独立状态探针/覆盖负例与R-M-E分因，不另造receipt分类；更新窗口与雷达边界，不新增日报或改运行时。
• 2026-09-26 12:00 CST：汇总09-20至09-26六篇现有观察，合入产品/实例/实际权限与caller/owner/有效主体的验收合同；09-20缺口和未跑E2E照实保留，不另造日报/receipt分类或改运行时。
• 2026-10-26 12:00 CST：汇总10-20至10-26七篇观察，将来源绑定身份、命名空间生命周期/连接与目录分账、错误觉察与真实状态修复并入稳定控制链；确认六轴web-first、人物仅seed，主题簇互链无新增缺口，索引/向量/公网发布另以本轮实测回执为准。