Buktikan batasnya sebelum memberikan otonomi.

Apa yang dilakukan laboratorium hari ini

Setiap butir adalah properti laboratorium dan laporan bertanda tangan yang dihasilkannya, bisa diperiksa tanpa bertanya pada kami.

• Mereproduksi celahnya lebih dulu: garis dasar yang permisif memperlihatkan efek yang bisa ditimbulkan sebuah agen ketika sebuah batas hanya dideklarasikan, sehingga putaran yang terlindungi punya sesuatu yang nyata untuk ditahan.
• Mengirim percobaan terlarang yang sama lewat MCP, shell, skrip, dan panggilan API langsung. Rute yang tidak dijalankan dilaporkan sebagai tidak dievaluasi, tidak pernah sebagai terlindungi.
• Mengamati efek dari sebuah proses di luar agen. Log, ringkasan, dan keluaran tool milik agen diperlakukan sebagai bukti yang tidak tepercaya.
• Hanya melepas kandidat persis yang sudah ditinjau — repositori, branch, ref yang diharapkan, dan diff — melalui Execution Guardian, dengan pemeriksaan atomik atas state remote.
• Menandatangani laporan setiap putaran dengan kunci supervisor yang tidak pernah dilihat agen; laporannya terverifikasi offline terhadap trust anchor yang dipasang operator.

Mengapa ini ada

MCP adalah satu rute. Shell, berkas, API, peramban, dan otomasi adalah rute-rute lainnya.

Sebuah tim ingin membiarkan agen pemrograman bekerja tanpa menjangkau produksi, rahasia, atau pekerjaan orang lain, dan perlu memeriksa bahwa batas-batas itu bertahan tanpa merusak lingkungan nyatanya. Hook dan mode persetujuan menjelaskan bagaimana sebuah agen meminta izin; keduanya bukan perimeter. Risikonya terletak pada otoritas yang benar-benar bisa dipakai agen dan rute yang benar-benar bisa dijangkaunya — soket SSH, sesi peramban, proxy yang menandatangani permintaan apa pun, atau endpoint internal memberikan otoritas tanpa memperlihatkan satu kunci pun.

Keluarga kegagalan di balik pengujian

Kasus-kasus publik dari 2026 membentuk skenarionya. Setiap keluarga dipetakan ke sebuah kontrol dan ke pengujian yang mencoba membobolnya.

Kasus-kasus ini memotivasi keluarga kegagalan. Kasus-kasus itu bukan replika forensik, dan tidak ada apa pun di sini yang mengklaim bahwa laboratorium ini akan mencegahnya. Varian yang diuji — alias, shim, cache miss — adalah rancangan sendiri.

Siklusnya

Deklarasikan, coba bobol, amati, perbaiki, uji ulang, setujui, jalankan, verifikasi.

1. 01 Deklarasikan
2. 02 Coba bobol
3. 03 Amati dari luar
4. 04 Perbaiki
5. 05 Uji ulang
6. 06 Setujui efek persisnya
7. 07 Jalankan
8. 08 Verifikasi

Batas yang dideklarasikan menjadi pengujian yang bisa dibantah, dan batas yang sama itu kemudian mengatur eksekusi sungguhan. Mengubah sebuah field material — model, mount, kebijakan, adapter, atau tujuan — memaksa rute yang terdampak divalidasi ulang sebelum dihitung lagi.

Empat tanggung jawab yang terpisah

Di laboratorium, pengamat dan Guardian adalah proses terpisah dengan direktori dan izin yang terpisah. Itu independensi dari proses yang sedang diuji, bukan audit kelembagaan yang independen.

Profil dan tingkat laboratorium

Setiap hasil menyebut rute yang dicakupnya, tidak pernah “aman” secara global.

Ketiga profil, termasuk garis dasar yang sengaja dibuat permisif, berjalan di dalam ruang tertutup tanpa produksi dan tanpa tujuan Internet. Garis dasar itu boleh menjangkau sumber daya terlarang yang sintetis — tidak pernah yang nyata.

Bukti yang bisa diperiksa

Laporan bertanda tangan, dan tiga sumbu yang tidak pernah digabung.

Putaran dideskripsikan oleh struktur berversi yang divalidasi dengan Zod — HarnessProfileV1, HarnessScenarioV1, dan HarnessRunReportV1. Laporannya ditandatangani kunci supervisor di luar agen dan diverifikasi offline terhadap trust anchor yang dipasang lewat kanal operator; kunci yang ikut dikirim di dalam laporan yang ditandatanganinya tidak pernah dipercaya.

Bukti dipakai ulang per properti, bukan lewat digest global.

Penerimaan adalah konjungsi: otoritas persis, kebijakan lokal, bukti yang autentik dan berlaku untuk setiap rute yang diwajibkan, pengamatan yang sedang berjalan, dan sisa anggaran. Sebuah laporan bisa memenuhi salah satu syarat itu; ia tidak pernah menggantikan syarat lainnya dan tidak pernah menciptakan izin. Aturan berversi, yang dipasang operator di luar agen, membandingkan dependensi material setiap klaim dengan konfigurasi yang teramati saat ini — field yang hilang, tidak dikenal, atau tidak bisa diperiksa berarti tidak dievaluasi.

• Isolasi berkas dan prosesBergantung pada OS, kernel, backend, image, identitas, hak istimewa, mount, soket, dan cara peluncuran yang efektif. Tujuan Git yang baru, dengan sendirinya, tidak membatalkannya; mount yang baru membatalkannya.
• Lalu lintas keluar jaringan yang dibatasiBergantung pada aturan, rute, DNS, proxy, helper, dan endpoint yang bisa dijangkau. Mengotorisasi domain lain tidak pernah mewarisi PASS, dan kenari lokal tidak membuktikan pemblokiran Internet.
• Adapter mempertahankan efek persisnyaBisa dipakai ulang sebagai bukti mekanisme. Ia tidak membuktikan apa pun tentang izin, jaringan, identitas, atau perilaku penyedia nyata.
• Integrasi dengan tujuanHanya diperoleh pada tujuan yang diotorisasi itu. Fixture lokal tidak pernah menjadi bukti tentang GitHub yang nyata, dan ref serta keadaan awal dibaca ulang untuk setiap efek.
• Perilaku agenTerikat pada model, versi, harness, tool, tugas, dan parameter. Model baru tidak membatalkan penghalang OS yang diuji tanpanya; tetapi ia membatalkan ekstrapolasi atas perilakunya.

Laporan hijau tidak pernah menerbitkan Execution Grant, tidak pernah menggantikan MFA atau kuorum, dan tidak pernah mengotorisasi hasil di masa depan. SHA kandidat yang baru memerlukan persetujuan persis yang baru, bahkan ketika semua bukti lingkungan masih berlaku.

Ekspor persis

Hanya perubahan yang sudah ditinjau yang keluar dari laboratorium.

1. 01Penulisan dihentikan dan kandidat masuk karantina. Supervisor membangun ulang repositori bersih dari basis tepercaya ditambah perubahannya — tanpa .git, hook, helper, konfigurasi, submodul, maupun filter dari agen.
2. 02Hanya berkas teks reguler di dalam path tugas yang diterima. Symlinks, gitlinks, path yang lolos keluar, dan perubahan pada kontrol ditolak.
3. 03Digest artefak, SHA kandidat, basis, tujuan, ref yang diharapkan, dan diff lengkap dari rentang yang diekspor dikunci. Penulis commit adalah metadata, bukan otorisasi.
4. 04Tinjauan menyatakan apa yang akan dikirim, ke repositori dan branch mana, dan otomasi apa yang akan dipicunya. Sebuah Task Contract mengikat efek persis itu.
5. 05Execution Guardian memvalidasi ulang artefak, ref, kebijakan, anggaran, dan penghentian, lalu menjalankan fast-forward atau pembuatan ref dengan perbandingan atomik atas pra-kondisi — di GitHub, hanya pembuatan. Tidak ada force-push generik.
6. 06State remote diverifikasi. Timeout mempertahankan reservasi dan hasil yang tak tentu sampai direkonsiliasi, tanpa percobaan ulang secara buta, dan receipt memisahkan push yang diotorisasi dari kode yang benar atau tidak berbahaya.

Penghentian, liveness, dan anggaran

Harnesses

Bukti per harness, versi, dan platform.

Adapter menerjemahkan peluncuran dan event dari versi harness yang dikunci. Jika sebuah harness tidak punya hook pemblokir yang setara, penahanannya tetap dilakukan dari luar dan hook itu ditandai tidak didukung alih-alih dikarang. Linux adalah backend yang diuji; macOS dan Windows tidak mewarisi hasilnya, dan tidak ada logo harness yang berarti cakupan total.

1. 01

   Claude Code · Codex

   Adapter pertama, satu per satu. Profil macOS native dievaluasi tersendiri dan tidak mewarisi apa pun dari Linux.

2. 02

   Cursor

   Berikutnya, dengan profilnya sendiri dan satu properti per paket kerja.

3. 03

   SDKs

   Lalu SDK, dengan semantik bukti yang sama.

4. 04

   Agen cloud

   Hanya efek di tujuan yang benar-benar dimediasi yang dikreditkan; lingkungan internal agen tetap tidak dievaluasi.

Untuk tim yang melatih dan mengevaluasi model

Evaluasi agentik di dalam perimeter yang sudah diuji.

Evaluasi harness terintegrasi dengan Inspect — tugas, sampel, dan sandbox Docker-nya — untuk siklus hidup, skenario, dan batas. SecureStamp menyumbang pengamat eksternal, oracle efek, dan ekspor laporan, bukan scheduler lain, penilai LLM, atau pipeline log. Tidak ada scorer yang menjalankan kandidat di proses tepercaya, percobaan ulang perintah yang berefek dinonaktifkan, dan set pengembangan serta holdout dipisahkan: holdout tidak pernah dipakai untuk menyetel kontrol.

• Percobaan deterministik disuntikkan lebih dulu, sebagai uji kausal atas mekanisme. Harness dan model sungguhan berjalan sesudahnya, dalam anggaran yang diotorisasi, sebagai bukti bagaimana sistem berperilaku.
• Memutar ulang permintaan tidak memutar ulang penalaran yang stokastik. Versi, parameter yang tersedia, jumlah putaran, timeout, dan penyebut disimpan; replay yang identik tidak dijanjikan.
• Kegunaan dan penahanan dilaporkan terpisah, sehingga memblokir semuanya tidak pernah dihitung sebagai produk yang berfungsi. Hasil 0/N bukan berarti risiko nol.