主题
治理篇认知总图 · Agent 可观测 · 安全 · 资产 · 模拟验证
核心观点 + 逻辑框架（治理篇 · 第 13–16 章）
▍速览
一句话版（开场，约 20 秒）
Agent 怎么被治理？四个维度：可观测性看见行为、安全约束行为、资产台账盘点行为、模拟在上线前验证行为。四件套互补，不是替代；验证之后的判断与发布授权，归 Evaluation 与治理门禁。
一段话版（展开，约 90–120 秒）
Agent 进入生产后，治理要回答四件事。第一，可观测性——第 13 章。不是只看请求成功不成功，而是还原 Agent 实际执行了什么：Session 管关联范围，Trace 管一次活跃执行，Span 管具体操作；采集有三条通道——高代码应用埋点插桩、Coding 与通用 Agent 的 Hook+Daemon、以及 eBPF 无侵入运行时观测。其上还要做审计：用可复核的证据链回答谁在什么权限下做了什么，把原始事实→候选信号→已确认事件分层。第二，安全——第 14 章。防护是盾、管控是缰绳：全栈纵深（应用、模型、数据、身份、基础设施）加上行为管控（鉴权、意图识别、逐次调用校验、二次授权、数据出域阻断）；Agent 身份发"数字工牌"，动态凭证替代长期密钥，入站出站双向授权，Token Exchange 收敛权限。第三，发现与管理——第 15 章。Prompt、Skill、MCP Server、Agent、AgentSpec 五类能力资产各有建模和验证方法，共用版本、生命周期、评审 Pipeline 和权限；稳态 Agent 声明式解析出 Lock Manifest，动态 Agent 用 ARD 按意图发现、RAD 解析远程 Agent，最终由 Context Compiler 装配出可回放的 Context Manifest。第四，模拟——第 16 章。角色标准、失败代价、身份连续三样制度前提都缺位时，模拟是唯一当下就能做的验证：用可控环境换可验证行为，边界是授权与后果；Spec→Manifest→Run→Result 一条对象链，Harness 五项职责五项不做，交付证据材料而非质量结论，三道证据检查之后才轮到 Evaluation 判定和治理门禁授权。
- 一个命题：四件套互补——看见 · 约束 · 盘点 · 验证；判断与授权在门禁
- 两条主线：可观测=还原执行与证据链；安全=盾（纵深）+ 缰绳（管控）
- 五类资产：Prompt · Skill · MCP · Agent · AgentSpec 共用治理、各保留消费协议
- 两种获取：稳态声明式 Lock Manifest；动态 ARD 按意图 + RAD 远程发现
- 一条边界：模拟=授权与后果；证据三层分离，"不可判定"是诚实结论
一句话（收尾）
Agent 治理的本质，是把一个概率性的内核放进确定的系统装置里——可观测让错误可见，安全让错误不可越界，台账让能力可追溯，模拟让错误在上线前发生。
▍逻辑框架（记忆卡片）
① 篇命题：治理四件套
治理篇四个维度共同把 Agent 从"不可靠内核"放进"可靠系统"：可观测性（第 13 章）让运行可见，安全（第 14 章）让行为有边界，发现与管理（第 15 章）让资产有台账，模拟（第 16 章）让行为在上线前可验证。四者可组合、不是固定流水线，互补不是替代；验证之后的判定与发布授权，属于 Evaluation 与治理门禁。
生产 Trace 评估可不经过 Simulation · 确定性单元测试同样可不经过 Simulation · 治理门禁掌握发布授权
② 第 13 章 · 观测模型与执行语义
- Session 管多次交互的关联范围（可跨多 Trace、跨时间间隔）；Trace 管一次外部输入触发的活跃执行（跨请求等待结束、恢复时新建并关联）；Span 是基本执行单元（做了什么·花了多久·结果如何·由谁调用）
- 执行语义：ENTRY / AGENT / WORKFLOW / STEP / LLM / RETRIEVAL / MEMORY / TOOL / GUARDRAIL / COMPACTION / HITL / INTERRUPT——统一不同框架术语，支持跨应用查询聚合；"请求成功≠任务成功"
- 四类指标：请求量错误超时 / 端到端与步骤延迟（P50·P95·P99）/ Token 与成本（输入·输出·缓存）/ 任务效果与输出质量（规则·LLM-Judge·人工）
③ 第 13 章 · 采集三通道与审计
- 高代码应用：SDK 手动埋点（语义最强）→ 进程级自动插桩 → K8s 自动注入探针——三种可组合，进程内只保留一套 TracerProvider，避免重复插桩
- Coding 与通用 Agent：Hook/回调 + 独立 Daemon 增量读取，多来源按字段定权威、按调用 ID 配对，缺失明确标识不补零
- eBPF 无侵入：模型调用=网络请求/响应，工具调用=进程·文件·网络事件；还原 Agent 行为轨迹，但缺业务语义，须与应用埋点互证
- 审计：主体与授权→意图→执行事实→结果与证据的最小证据链；原始事实追加写、检测结论派生记；候选信号→上下文研判→已确认事件分层，"关键证据缺失≠安全"
④ 第 14 章 · 安全：防护是盾、管控是缰绳
- 盾（纵深防御）：应用安全（外部输入污染·参数注入·SSRF·工具描述操纵·拒绝钱包 DoW）→ 模型安全（提示注入·越狱·幻觉·Prompt 爬虫，AI 护栏九维）→ 数据安全（收集/传输/存储/访问/处理/删除全生命周期+分类分级脱敏去毒加密）→ 身份安全 → 基础设施安全（态势管理·计算加固·网络隔离）
- 缰绳（行为管控）：身份鉴权 → 意图识别 → 逐次调用校验 → 高危操作二次授权 → 数据出域阻断；默认拒绝的出站策略，统一出站关口经网关收敛
- Agent 身份：统一"数字工牌" + 动态凭证（Token Vault·短期令牌·运行时注入）替代长期密钥；入站授权（客户端→Agent）与出站授权（Agent→下游）双向模型；Token Exchange 权限收敛，Agent 权限不超过用户权限；全链路审计可追溯"谁通过哪个 Agent 拿了什么凭证"
⑤ 第 15 章 · 五类能力资产
- Prompt：结构化模板（指令层/变量 Schema/输出要求/运行依赖/验证材料）；变更分文字修订·接口变化·行为变化；评测关联版本与模型；标签发布（stable/canary）与回滚
- Skill：完整能力包（SKILL.md+manifest+scripts+templates+references+tests）；完整包摘要不可覆盖；外部 Skill 走来源核实→完整性校验→静态检查→隔离验证→人工评审→内部发布
- MCP Server：能力定义与运行端点分开演进；Schema 变更=新版本；发现≠授权≠健康
- Agent / AgentSpec：AgentCard 版本化调用描述（A2A）；AgentSpec 管"如何组装分发"；RAD 五操作 Search/Discover/Watch/Register/Deregister，协议无关、底层仍走 A2A
⑥ 第 15 章 · 稳态解析与动态发现
- 稳态 Agent：AgentSpec 声明引用 → Resolver 按名称/标签解析 → 精确版本+摘要 Lock Manifest → 加载/连接（构建期/部署期/启动期三种绑定）；任务边界内版本保持稳定
- 动态 Agent：任务事实形成 Capability Requirement → ARD 按意图跨类型发现（Prompt·Skill·MCP·Agent）→ 治理过滤与版本解析 → 需要远程调用时按需 RAD
- Context Compiler：发现摘要与执行内容分离；按指令层级·信任边界·Token 预算装配；外部内容默认为数据不自动获得高优先级；输出 Context Manifest 支持回放与归因
- 权威 Registry 保存事实，Document/Chunk/向量是可重建派生数据；相关性只决定排序，治理规则决定候选资格
⑦ 第 16 章 · 模拟：用可控环境换可验证行为
- 前提：角色外部标准、失败自然代价、身份连续性三样制度前提 Agent 都缺；补齐以年计——模拟不依赖它们，是唯一立刻可做的验证
- 边界是授权与后果，不是实现方式：不触达未授权生产账户/数据/网络、不产生不可控真实副作用——即使连接隔离真实后端仍在仿真中
- 三种模式：全替身（回归·可复现性最高）/ 混合（端到端集成）/ 隔离真实依赖（服务栈验证·保真度最高）；结论不可跨模式混用
- SUT 不进仿真：考察的内容不能换（推理/工具选择），设定的条件必须换（用户行为/环境故障）
⑧ 第 16 章 · 数据契约与 Harness 边界
- 对象链：Scenario Spec → Manifest（不可变·启动锁定）→ Run（Task→Session→Event）→ Run Result（Records·Artifacts→Observations→Evidence→Completeness）；triggers 是计划、Event 是事实，两者不共享名字
- Run 四状态独立：执行状态 / 仿真有效性 / 证据完整性 / 任务质量——不压成一个"成功/失败"
- Harness 五项职责（解析场景·编排 Run·替身隔离·记录关联·环境清理）；五项不做（任务生命周期·鉴权权限·遥测采集·质量评分·发布决策）——正反一体，防止膨胀为总控制器
- 证据三道检查：记录完整性 → 运行有效性 → 证据充分性；证据不足输出"不可判定"；交付证据材料而非质量结论，发布授权在治理门禁
▍逻辑全景图（治理四件套：看见 · 约束 · 盘点 · 验证）
可观测性还原执行、安全划定边界、资产台账盘点能力、模拟在上线前验证行为——四件套互补，判定与发布授权在门禁
- 13 可观测性
- 14 安全
- 15 资产
- 16 模拟
示意 · 按治理篇第 13–16 章正文重构：四件套 + 各章核心机制 + 门禁边界