先證明邊界，再授予自主權。

實驗室今天做什麼

每一條都是實驗室及其產出的簽章報告的性質，不用問我們就能核對。

• 先重現缺口：寬鬆的基準展示了當一個限制只停留在宣告時，代理程式能造成的效果，這樣受保護的執行才有真實的東西需要圍堵。
• 把同一個被禁止的嘗試分別經由 MCP、shell、指令碼與直接的 API 呼叫發出。沒有實際演練過的路徑會回報為未評估，絕不會回報為已保護。
• 從代理程式之外的一個行程觀測效果。代理程式的日誌、摘要與工具輸出，都被視為不受信任的證據。
• 只放行經過審閱的那個確切候選變更——儲存庫、分支、預期 ref 與 diff——經由 Execution Guardian，並對遠端狀態做原子檢查。
• 用一把代理程式永遠看不到的監督程式金鑰，為每一份執行報告簽章；報告會對照營運方安裝的 trust anchor 離線驗證。

它為何存在

MCP 只是一條路徑。shell、檔案、API、瀏覽器與自動化是另外幾條。

一個團隊想讓程式碼代理程式工作，同時不讓它觸及正式環境、密鑰或別人的工作，而且需要在不毀掉自己真實環境的前提下，核實這些限制確實站得住。hooks 與核准模式描述的是代理程式如何請求許可；它們不是一道安全邊界。風險在於代理程式實際能動用的權限，以及它實際能到達的路徑——一個 SSH socket、一個瀏覽器工作階段、一個會替任何請求簽章的 proxy，或一個內部端點，都能在不暴露任何一把金鑰的情況下賦予權限。

測試背後的失效類別

2026 年的公開案例形塑了這些情境。每個類別都對應一項控制，以及試圖突破這項控制的那些測試。

這些案例是提出這些失效類別的動因。它們不是鑑識意義上的複刻，這裡也沒有任何內容聲稱本實驗室原本可以阻止它們。所測試的變體——別名、shim、快取未命中——均為自行設計。

循環

宣告、嘗試突破、觀測、修正、重新測試、核准、執行、驗證。

1. 01 宣告
2. 02 嘗試突破
3. 03 從外部觀測
4. 04 修正
5. 05 重新測試
6. 06 核准確切效果
7. 07 執行
8. 08 驗證

一個已宣告的限制，會變成一項可反駁的測試，隨後同一個限制又支配真實的執行。變更任何實質性欄位——模型、某個掛載、政策、配接器或目的地——都會迫使受影響的路徑重新驗證，之後才能再次計入。

四項彼此分開的職責

在實驗室中，觀測者與 Guardian 是彼此分開的行程，各自擁有獨立的目錄與權限。這是相對於受測行程的獨立性，而不是獨立的機構稽核。

設定檔與實驗室等級

每個結果都點名它涵蓋了哪些路徑，從不給出一個全域的「安全」。

三個設定檔——包括刻意放寬的基準——都在一個沒有正式環境、也沒有網際網路目的地的封閉環境中執行。基準可以觸及一個合成的禁止資源——絕不會是真實的資源。

可以核對的證據

簽章報告，以及三條永不合併的軸線。

每次執行都由經 Zod 驗證、帶版本的結構來描述：HarnessProfileV1、HarnessScenarioV1 與 HarnessRunReportV1。報告由代理程式之外的一把監督程式金鑰簽章，並對照經由營運方通道安裝的 trust anchor 離線驗證；金鑰若隨它所簽章的報告一起附帶，就永遠不被信任。

證據按性質重複使用，而不是按一個全域摘要。

准入是多項條件的合取：確切的權限、本機政策、每條必要路徑上真實且適用的證據、持續有效的觀測，以及尚有餘額的預算。一份報告可以滿足其中一項條件；它永遠不會取代其他條件，也永遠不會創造出一項許可。一條由營運方在代理程式之外安裝、帶版本的規則，會把每項主張的實質相依性與此刻觀測到的設定相比較——任何缺少、未知或無法核對的欄位，都意味著未評估。

• 檔案與行程隔離取決於作業系統、核心、後端、映像檔、身分、特權、掛載、socket 以及實際的啟動方式。光是一個新的 Git 目的地並不會使它失效；一個新的掛載則會。
• 受限的對外網路連線取決於規則、路由、DNS、proxy、輔助程式以及可連線的端點。授權另一個網域永遠不會繼承一個 PASS，而本機金絲雀也證明不了對網際網路的封鎖。
• 配接器保持確切效果可作為機制的證據重複使用。它對權限、網路、身分或真實供應商的行為，什麼也證明不了。
• 目的地整合只能在那個獲授權的目的地上取得。本機 fixture 永遠不會變成關於真實 GitHub 的證據，而且每個效果都會重新讀取 ref 與前置狀態。
• 代理程式行為與模型、版本、harness、工具、任務和參數綁定。新模型不會使一道不依賴它而測試過的作業系統屏障失效；但它確實會使對其行為的外推失效。

一份綠色的報告永遠不會簽發 Execution Grant，永遠不會取代 MFA 或法定人數，也永遠不會授權未來的結果。一個新的候選 SHA 需要一次新的確切核准，即使所有環境證據仍然適用。

確切匯出

只有經過審閱的那個變更才能離開實驗室。

1. 01寫入停止，候選變更進入隔離區。監督程式以一個受信任的 base 加上該變更，重建一個乾淨的儲存庫——不帶來自代理程式的 .git、hooks、輔助程式、設定、子模組或篩選器。
2. 02只接受位於任務路徑之內的一般文字檔。symlinks、gitlinks、越界路徑以及對控制的更動都會被拒絕。
3. 03產出物摘要、候選 SHA、base、目的地、預期 ref，以及匯出範圍的完整 diff 都會被固定。commit 作者只是中繼資料，不是授權。
4. 04審閱會寫明將送出什麼、送往哪個儲存庫與分支，以及會觸發哪些自動化。一份 Task Contract 綁定的正是這個確切效果。
5. 05Execution Guardian 重新驗證產出物、ref、政策、預算與停止，接著在對前置狀態做原子比較的前提下執行 fast-forward 或建立 ref——在 GitHub 上只做建立。不存在通用的 force-push。
6. 06遠端狀態會被驗證。逾時會保留預留額度，並在對帳之前讓結果維持不確定，不做盲目重試；receipt 會把獲授權的推送與正確或無害的程式碼區分開來。

叫停、存活性與預算

Harnesses

按 harness、版本與平台分別提供證據。

配接器轉譯一個固定版本 harness 的啟動過程與事件。當某個 harness 沒有等效的阻擋式 hook 時，圍堵仍在外部完成，而那個 hook 會被標記為不支援，而不是憑空捏造一個。Linux 是經過測試的後端；macOS 與 Windows 不繼承它的結果，任何 harness 的標誌都不代表完整涵蓋。

1. 01

   Claude Code · Codex

   最先做的配接器，一次一個。原生 macOS 設定檔單獨評估，不從 Linux 繼承任何東西。

2. 02

   Cursor

   接下來，擁有自己的設定檔，每個工作包對應一項性質。

3. 03

   SDKs

   然後是各個 SDK，遵循同樣的證據語意。

4. 04

   雲端代理程式

   只計入在真正經過中介的目的地上產生的效果；代理程式的內部環境維持未評估。

給訓練與評估模型的團隊

在一道經過測試的安全邊界之內進行代理式評估。

harness 評估與 Inspect 整合——藉助它的任務、樣本與 Docker 沙箱——來處理生命週期、情境與限制。SecureStamp 提供的是外部觀測者、效果判定器與報告匯出，而不是又一個排程器、LLM 評判器或日誌管線。沒有任何評分器會在受信任的行程中執行候選變更，帶有效果的指令的重試已被停用，開發集與保留集維持分開：保留集永遠不會被用來調整控制。

• 首先注入確定性的嘗試，作為對機制的因果檢驗。之後再在獲授權的預算之內執行真實的 harness 與模型，作為系統實際行為的證據。
• 重放請求並不能重放隨機性的推理。版本、可用參數、執行次數、逾時與分母都會被保留；不承諾完全一致的重放。
• 效用與圍堵分開回報，因此全部擋下永遠不會被算作一個能用的產品。0/N 的結果並不等於零風險。