2026-07-22 第二十三阶段安全、治理与生产证据链深审记录
阶段结论
本阶段把安全、治理、评测、发布门与运行监控收敛为一条可复核的生产证据链：风险/控制要求不能被模型输出、hash、Trace ID 或“已通过”布尔值替代；离线评测、发布批准、Canary 窗口和回归候选各自有版本、完整摘要、责任人和独立的来源/授权边界。
覆盖 AI 安全、AI 治理、评测体系、LLMOps 与 运行监控。
本阶段不证明什么
离线 JSON、固定 fixture、SHA-256、单机测试和静态网站构建不能证明真实模型/工具执行、制品来源、供应商合规、身份授权、签名批准、生产遥测完整性、用户真值、业务因果效果或法律合规已经成立。它们只证明当前教学合同、负向路径、交接字段和公开发布边界可重复检查。
多 Agent 分工与主 Agent 复核
- 安全与治理专项 Agent 逐页核验 AI Act 时间线、NIST/MCP 安全边界、身份/最小权限/供应链、红队/事件响应、可追溯性和上线变更；治理项目补齐数据/供应商所有者与版本字段。
- 评测专项 Agent 复核 MLflow 自动评测、OpenTelemetry GenAI 语义约定、RFC 8785 边界和离线评测证据链；主 Agent 将无效 UTF-8 和超大数值的异常出口收敛为 CLI 契约错误。
- LLMOps/监控专项 Agent 收敛供应商漂移的保守动作、观察窗口/业务事件时龄、整数分子分母和回归候选边界。
- 两个独立只读审阅分别复核安全/治理与跨课程摘要协议；后者发现并推动修复线上观察 bundle schema/profile 未进入决策摘要、评测转义 surrogate 过晚拒绝、格式标签未被 golden vector 锁定等问题。
开始时工作树已包含本阶段范围内的未提交修改；本阶段未回退或重归属既有工作，只在上下文核验后补充、收敛和验证实际发现的问题。
关键改动
安全与治理：控制、批准与证据不再互相冒充
- AI 安全课程把身份、最小权限、供应链、红队、监控与事件响应串成可审计控制链：hash 只能在受控发布门实际比对时发现不一致，不能证明授权或来源；MCP token 也不等于用户意图、对象授权或审批。
- AI 治理课程修正 EU AI Act 的已生效/未来适用时间边界，并明确 AI Omnibus 仍须按独立程序状态复核；NIST AI RMF 1.0 的修订状态、透明/文档、上线审批与变更管理不再混写成静态事实。
- 治理项目新增数据/供应商 owner、版本和审批证据；安全与治理项目均扩展了负向契约测试，避免“字段存在”被误读为控制已经落实。
评测、发布与监控：版本化本地 profile，而非伪造通用 canonical JSON
- 离线分层评测项目 现在在读取阶段拒绝原始无效 UTF-8 与 JSON 转义的孤立 surrogate，并将无法表示为有限
float的超大数值统一为契约错误；完整摘要、格式标签与固定 golden vector 均有回归。 - 三个项目显式共享
python-json-sorted-utf8-v1这一仅限本地 Python 教学实现的字节 profile。它将位置参数作为外层数组，以排序键、紧凑分隔符、allow_nan=False的 JSON 结果 UTF-8 编码后计算 SHA-256；它不是 RFC 8785 JCS、跨语言 canonical JSON、签名或来源证明。 - LLMOps eval artifact 使用
artifact_digest_format，在线观察 bundle 使用evidence_digest_format；bundle 的schema_version与格式字段现在一并进入每个线上Decision.evidence_sha256，升级时不会再留下未绑定的解释语义。未知格式、格式标签漂移与 schema/profile 变化都有测试。 - 运行监控接收
candidate_gate_evidence_digest_format，并在Decision和人工分诊 handoff 中分别记录运行摘要的格式；fixture 仍明确是独立教学样例，不能假装已与 LLMOps 真实制品端到端互通。 - 新增/重写 从离线证据到线上回归闭环 的字段映射表和 Mermaid 证据链，明确“监控发现”只能生成待人工分诊候选，不能自动写回冻结评测集。
生产反馈：证据不足时停止自动扩大
- 供应商漂移在 fallback 绑定不全或 candidate 当前窗口证据不足时一律进入
HUMAN_REVIEW，而非用观察布尔值自动FALLBACK。 - 监控项目以显式
window_end分开业务事件时龄与 Collector 导出时龄；Collector 新鲜并不证明业务流当前，事件陈旧可升级为PAGE。 - 在线质量/安全比例由可校验整数分子/分母推导；零分母是未知，不能以零或成功替代。非
OK窗口只输出不含原文、等待人工分诊的候选。
跨课程术语与证据边界
| 术语 | 本阶段稳定含义 | 不可错误替代 |
|---|---|---|
evidence_sha256 | 已声明算法、版本、输入字节下的变更检测引用 | 签名、来源证明、审批、授权或真实执行 receipt |
python-json-sorted-utf8-v1 | 三个离线项目共享的受限 Python 教学字节 profile | RFC 8785 JCS 或任何跨语言 canonical JSON |
artifact_digest_format | eval artifact 声明的摘要字节 profile | artifact 本体已被加载、重算或可信存储 |
candidate_gate_evidence_digest_format | 监控侧接收的发布门摘要格式声明 | 上游发布门事实或真实 release provenance |
monitor_evidence_digest_format | 人工分诊候选中运行窗口摘要的格式声明 | 线上结果可信、已批准写入回归集 |
HUMAN_REVIEW | 自动化证据不足时冻结扩大并交由责任人复核 | 自动 fallback、自动批准或无人值守恢复 |
来源、原创与第三方材料边界
本阶段新增中文说明、Mermaid 图、字段映射、教学代码和测试均为原创；仅概括一手规范/官方资料的事实与工程边界，未复制无明确再分发许可的正文。主要核验来源：
- NIST AI RMF Core、NIST AI 600-1 Generative AI Profile、NIST SP 800-61 Rev. 3 与 European Commission AI Act framework；
- MCP Authorization、MCP Security Best Practices、RFC 8785 JCS；
- OpenAI Evaluation best practices、MLflow automatic evaluation、OpenTelemetry Semantic Conventions、OpenTelemetry GenAI conventions 与 Google SRE SLO guidance。
验证证据
| 检查 | 结果 |
|---|---|
| AI 安全项目 | 80 项测试，normal、-O、warnings-as-errors、-O + warnings-as-errors 全通过 |
| AI 治理项目 | 73 项测试，同四种模式全通过 |
| 离线评测项目 | 43 项测试，同四种模式全通过 |
| LLMOps 发布门项目 | 74 项测试，同四种模式全通过 |
| 离线监控项目 | 45 项测试，同四种模式全通过 |
| 统一项目回归 | 315 项/模式，四种模式共 1,260 次测试执行全通过 |
| 静态检查 | 10 个 scoped Python 文件内存 compile()、相关 JSON/Markdown 语义与 scoped git diff --check 通过 |
| 网站测试 | .website 中 npm test：48/48 通过；npm run build 成功 |
| 发布验证 | 925 个公开页面、231 个资源；0 个本地断链、禁止文件、敏感泄漏或 KaTeX 错误 |
后续队列
- 将离线 eval/artifact、发布门、Canary 与运行窗口接入同一受控制品库或 API，实际重算摘要、验证来源/签名/批准，并对跨语言实现做明确规范的互操作测试。
- 在隔离环境接入真实模型、工具、Collector 和评测后端前，设计脱敏、费用上限、最小权限、样本许可、回滚和人工升级路径；不要把教学 fixture 直接接入生产。
- 按下一阶段优先级深审 RAG 主线、MCP/Tool Calling、Agent Skills、框架实践与 MLOps，并继续在 Obsidian 桌面端抽查长表、Mermaid 与 callout 的阅读体验。
本记录只覆盖第二十三阶段，不表示长期 /goal 已完成。