先证明边界，再授予自主权。

实验室今天做什么

每一条都是实验室及其所产出签名报告的性质，不用问我们就能核对。

• 先复现缺口：宽松的基线展示了当一个限制仅仅停留在声明上时，智能体能造成的效果，这样受保护的运行才有真实的东西需要遏制。
• 把同一个被禁止的尝试分别经由 MCP、shell、脚本和直接的 API 调用发出。没有被实际演练过的路径会被报告为未评估，绝不会被报告为已保护。
• 从智能体之外的一个进程观测效果。智能体的日志、摘要与工具输出，都被视为不可信的证据。
• 只放行经过审阅的那个确切候选变更——仓库、分支、预期 ref 与 diff——经由 Execution Guardian，并对远端状态做原子检查。
• 用一把智能体永远看不到的监督程序密钥，为每一份运行报告签名；报告会对照运营方安装的 trust anchor 离线验证。

它为何存在

MCP 只是一条路径。shell、文件、API、浏览器与自动化是另外几条。

一个团队想让编程智能体工作，同时不让它触及生产环境、机密或他人的工作，而且需要在不毁掉自己真实环境的前提下，核实这些限制确实站得住。hooks 与审批模式描述的是智能体如何请求许可；它们不是一道安全边界。风险在于智能体实际能动用的权限，以及它实际能到达的路径——一个 SSH socket、一个浏览器会话、一个会为任何请求签名的 proxy，或者一个内部端点，都能在不暴露任何一把密钥的情况下赋予权限。

测试背后的失效类别

2026 年的公开案例塑造了这些场景。每个类别都对应一项控制，以及试图突破这项控制的那些测试。

这些案例是提出这些失效类别的动因。它们不是取证意义上的复刻，这里也没有任何内容声称本实验室本可以阻止它们。所测试的变体——别名、shim、缓存未命中——均为自行设计。

闭环

声明、尝试突破、观测、修正、重新测试、批准、执行、验证。

1. 01 声明
2. 02 尝试突破
3. 03 从外部观测
4. 04 修正
5. 05 重新测试
6. 06 批准确切效果
7. 07 执行
8. 08 验证

一个已声明的限制，会变成一项可反驳的测试，随后同一个限制又支配真实的运行。更改任何实质性字段——模型、某个挂载、策略、适配器或目的地——都会迫使受影响的路径重新验证，之后才能再次计入。

四项彼此分离的职责

在实验室中，观测者与 Guardian 是彼此分离的进程，各自拥有独立的目录与权限。这是相对于被测进程的独立性，而不是独立的机构审计。

配置档与实验室等级

每个结果都点名它覆盖了哪些路径，从不给出一个全局的「安全」。

三个配置档——包括刻意放宽的基线——都在一个没有生产环境、也没有互联网目的地的封闭环境中运行。基线可以触及一个合成的禁止资源——绝不会是真实的资源。

可以核对的证据

签名报告，以及三条永不合并的轴线。

每次运行都由经 Zod 校验、带版本的结构来描述：HarnessProfileV1、HarnessScenarioV1 与 HarnessRunReportV1。报告由智能体之外的一把监督程序密钥签名，并对照经由运营方通道安装的 trust anchor 离线验证；密钥若随它所签名的报告一起附带，就永远不被信任。

证据按性质复用，而不是按一个全局摘要。

准入是多项条件的合取：确切的权限、本地策略、每条必需路径上真实且适用的证据、持续有效的观测，以及尚有余额的预算。一份报告可以满足其中一项条件；它永远不会取代其他条件，也永远不会创造出一项许可。一条由运营方在智能体之外安装、带版本的规则，会把每项主张的实质依赖与此刻观测到的配置相比较——任何缺失、未知或无法核对的字段，都意味着未评估。

• 文件与进程隔离取决于操作系统、内核、后端、镜像、身份、特权、挂载、socket 以及实际的启动方式。单单一个新的 Git 目的地并不会使它失效；一个新的挂载则会。
• 受限的网络出站取决于规则、路由、DNS、proxy、辅助程序以及可达的端点。授权另一个域名永远不会继承一个 PASS，而本地金丝雀也证明不了对互联网的封锁。
• 适配器保持确切效果可作为机制的证据复用。它对权限、网络、身份或真实提供方的行为，什么也证明不了。
• 目的地集成只能在那个获授权的目的地上取得。本地 fixture 永远不会变成关于真实 GitHub 的证据，而且每个效果都会重新读取 ref 与前置状态。
• 智能体行为与模型、版本、harness、工具、任务和参数绑定。新模型不会使一道不依赖它而测试过的操作系统屏障失效；但它确实会使对其行为的外推失效。

一份绿色的报告永远不会签发 Execution Grant，永远不会取代 MFA 或法定人数，也永远不会授权未来的结果。一个新的候选 SHA 需要一次新的确切批准，即使所有环境证据仍然适用。

确切导出

只有经过审阅的那个变更才能离开实验室。

1. 01写入停止，候选变更进入隔离区。监督程序以一个可信的 base 加上该变更，重建一个干净的仓库——不带来自智能体的 .git、hooks、辅助程序、配置、子模块或过滤器。
2. 02只接受位于任务路径之内的普通文本文件。symlinks、gitlinks、越界路径以及对控制的改动都会被拒绝。
3. 03产物摘要、候选 SHA、base、目的地、预期 ref，以及导出范围的完整 diff 都会被固定。commit 作者只是元数据，不是授权。
4. 04审阅会写明将发送什么、发往哪个仓库和分支，以及会触发哪些自动化。一份 Task Contract 绑定的正是这个确切效果。
5. 05Execution Guardian 重新验证产物、ref、策略、预算和停止，然后在对前置状态做原子比较的前提下执行 fast-forward 或创建 ref——在 GitHub 上只做创建。不存在通用的 force-push。
6. 06远端状态会被验证。超时会保留预留额度，并在对账之前让结果保持不确定，不做盲目重试；receipt 会把获授权的推送与正确或无害的代码区分开来。

叫停、存活性与预算

Harnesses

按 harness、版本与平台分别给出证据。

适配器翻译一个固定版本 harness 的启动过程与事件。当某个 harness 没有等效的阻断式 hook 时，遏制仍在外部完成，而那个 hook 会被标记为不支持，而不是凭空编造一个。Linux 是经过测试的后端；macOS 与 Windows 不继承它的结果，任何 harness 的 logo 都不代表完全覆盖。

1. 01

   Claude Code · Codex

   最先做的适配器，一次一个。原生 macOS 配置档单独评估，不从 Linux 继承任何东西。

2. 02

   Cursor

   接下来，拥有自己的配置档，每个工作包对应一项性质。

3. 03

   SDKs

   然后是各个 SDK，遵循同样的证据语义。

4. 04

   云端智能体

   只计入在真正经过中介的目的地上产生的效果；智能体的内部环境保持未评估。

面向训练与评估模型的团队

在一道经过测试的安全边界之内进行智能体评估。

harness 评估与 Inspect 集成——借助它的任务、样本与 Docker 沙箱——来处理生命周期、场景与限制。SecureStamp 提供的是外部观测者、效果判定器与报告导出，而不是又一个调度器、LLM 评判器或日志流水线。没有任何评分器会在可信进程中运行候选变更，带有效果的命令的重试已被禁用，开发集与留出集保持分离：留出集永远不会被用来调整控制。

• 首先注入确定性的尝试，作为对机制的因果检验。之后再在获授权的预算之内运行真实的 harness 与模型，作为系统实际行为的证据。
• 重放请求并不能重放随机性的推理过程。版本、可用参数、运行次数、超时与分母都会被保留；不承诺完全一致的重放。
• 效用与遏制分开报告，因此全部拦下永远不会被算作一个能用的产品。0/N 的结果并不等于零风险。