观察笔记评分记录 ​

电脑操作被拆成观察、授权、执行、回读和验收，操作记录仍很清晰；不足是核心事实主要来自两家厂商文档，独立跨环境验证依旧偏弱。

控制平面与工作运行时的职责边界仍然清楚，且给出了双方输入输出合同；不足是三家材料均为厂商来源，面向中小企业的最小实现尚缺实测。

用OSWorld把初始状态、动作轨迹和可执行终态验收绑定起来，验证观念仍然很强；不足是历史基准结果不能代表当前模型能力，生产环境还需额外权限与副作用验证。

先定义Position、负责人和权限，再挂载模型与工具，这个组织化抽象依然有启发性；不足是论据以厂商产品方向为主，尚不能证明该结构在真实数字员工运营中的效果。

把完成视为“待验收的声明”，并用过程、结果、失败责任和逐准则证据检索支撑，内容仍很完整；不足是外部误报率仍有8%，且只覆盖Web电脑任务。

短文把“执行者不能自我验收”和最小完成合同说得很直接，适合快速理解；不足是篇幅过短，很多证据与反例只能依赖配套研究对象补足。

把DAG的“依赖就绪”与“有权执行”分开，并提醒资源和副作用冲突，边界抓得准；不足是正文主要复述研究对象，直接实验细节和独立证据较少。

把“记录下来”和“允许未来继续相信”拆成两种耐久性，并用陈旧assurance投影举反例，概念很稳；不足是多数机制仍停留在架构综合，缺少产品级故障注入。

把预算耗尽定义为可恢复的工作准入暂停，而不是失败或完成，状态语义很清楚；不足是没有证明最终账单上限、跨线程预算分配和组织级累计控制。

把删除工作上下文重新定义为“撤销权限并收敛未结子任务”，比UI隐藏语义完整得多；不足是运行worker的物理停止和外部副作用补偿仍只是待验证机制。

把晚到输入从“追加聊天”升级为有occurrence身份的准入事件，并区分收到、准入、拒绝和消费；不足是SDK范围内的一次性准入不能证明外部工具副作用只发生一次。

把“定时唤醒/请求到达”与“worker真正取得执行权”分开，能直接解释假Running问题；不足是来源只是发布说明，队列持久化、饥饿和跨session资源仲裁均未知。

把队列删除后的“责任已转移”与“恢复证据已持久化”分开，并给出故障注入证伪路径；不足是Accepted receipt仍属假设，尚未证明能覆盖外部效果歧义。

把46任务高负载结果与绝对完成量一起呈现，并把长程问题转成调度、隔离、记忆和证据状态；不足是研究仍基于OSWorld衍生负载，缺少真实企业长期复现。

用ADK的transfer能力丢失案例说明“状态恢复了”仍可能没有当前可执行能力，问题很具体；不足是只有一条实现路径，无法据此形成通用resume协议。

把持久工作、执行准入和恢复授权拆成三个事实，能避免“队列里有任务就自动继续”的危险推断；不足是多worker租约、fencing和副作用恢复仍未实证。

把历史准入、协议状态、动作发生身份和审批者授权拆成四道信任门，且明确引用完整性不等于授权；不足是单一 ADK 实现未覆盖重放和分布式恢复。

区分 sticky 默认策略与单次 call 例外，并拆开决策、审批者和外部效果证据；不足是高风险 action fingerprint 仍是建议，尚无验证。

以退休权限字段说明结构兼容与授权语义兼容并不相同，选择性 fail-closed 边界具体可执行；不足是只覆盖一个实现与四个方法。

从远程 A2A 的 user-role 回应证明消息角色不能替代来源、主体和授权范围，也未把负向门禁当作完整人类认证；不足是正向身份链未实现。

把 Cursor 多 Agent 从多窗口落到验收卡、角色 TASK、独立 QA、EVAL 与人类批准，可直接照做；不足是方法主要来自自有治理体系，缺少外部团队实测。

把本地执行面与手机控制面拆开，并把弱网、版本、幂等和设备撤销落实为可验收规则；不足是网关、TLS、真实弱网与端到端移动安全仍缺系统实。

把“子Agent不得扩大父级权限”变成可测试的单调授权关系，并覆盖冷恢复路径；不足是证据集中于一个Codex配置层实现，尚未覆盖工具。

没有把SentinelBench简化成工具胜负，而是抽出条件状态、观察策略、；不足是生产级崩溃恢复、重复事件和真实事件源仍未被验证。

从`gitstatus`的例子把命令名称、实际可执行身份、策略授权和效果收口；不足是尚未给出配置摘要、二进制来源与沙箱效果的一体化验。

把“报告属于哪个任务”从展示关联提升为验收身份问题，并用44项测试、版本替代；不足是三字段同时复制错误、跨仓库身份和并发尝试仍待更强。

把来源证据、即时可用性和长期记忆复用权拆成三项独立决策，避免“有用即可信”；不足是线程级污染状态仍偏粗，非文本消费者和重新资格化规。

把轨道明确限定为事实、派发、等待和技术恢复服务，并用冻结负面清单防止它越权裁；不足是证据仍属候选版一方材料，各disposition。

将“用户批准了”从可复制文本还原为带角色来源的审查证据，并继续区分持久授权状；不足是尚无加密主体身份、可复用能力凭证和所有审批路径的。

用ADK恢复输入遮蔽缺陷说明“最新消息”不等于“最高权威”，并提出按中断oc；不足是尚未给出完整持久化HITL循环与副作用重放实证。

把max-turn与guardrail竞争提升为“重复条件不是新证据”的消费；不足是结构化多条件仲裁仍停留在设计推演，未有更广实现验。

把配置“谁赢”进一步拆成“谁有资格参与”，并用Broker启停分支形成可执行；不足是保护键集合与更高层配置源的完整信任边界仍未被系统。

用真实误拦、回归与live检查把静态工具权限推进到调用级任务证据链，并明确A；不足是完整授权账本、主体验证和exactly-once。

把CrewAI失败遥测与CodeFlowMu报告投影串成“执行事实—交付证据；不足是跨所有失败路径的端到端无损传播仍未被证明。

把detachedwork从“后台控制流”改写为父工作流仍持有的终态责任，并；不足是进程崩溃后的持久所有权和外部副作用确定性仍未覆盖。

用EVAL误获接受语义与AnywhereAgents审计循环两条独立路径证明；不足是完整provenance→review→deci。

最有价值的是保留QA释放时间早于上游报告的矛盾，不用“最终都成功”掩盖因果证；不足是历史记录仍不能证明该次prerequisite在。

把取消请求、根进程退出、已知子进程退出、内核包含与再派发资格拆成独立证据层，并用 Windows 二层探针约束结论；不足是更深逃逸后代、残留句柄和跨平台包含仍待验证。

从 Sutando 协作者进度缺失切入，把查看权限、网关连接、Session 活性、进度、REPORT 与生命周期拆成投影契约，并给出公开五状态复现器；不足是完整桌面/PWA 与授权组合仍未端到端覆盖。

用 Claude Code 自托管 Runner 的提前 Running 通知说明状态标签本质是面向消费者的证据承诺，并提出 Scheduled、Claimed、Starting、Running、Terminal 分层；不足是公开材料未披露真正 readiness 信号和回归实现。

把委派资源账本拆成“消耗发生在哪个 Worker”与“由哪个根目标承担预算”两种身份，并覆盖嵌套、卸载和 checkpoint 并发；不足是正确计费并不证明预算耗尽后的即时撤权或跨主机一致性。

从 59 条历史记录缺失 Session 归因推进到 V2.1.2 的 Runtime 权威校验，并明确 verified、sessionless/not_applicable、invalid_claim 三种证据语义；不足是正向 QA 仍以单个真实 Session 链为核心，跨 Host 与更多恢复路径未独立覆盖。

把可用于上下文重建的完整快照与当前执行权限彻底分离，并强调 compaction、fork、外部撤权后的二次准入；不足是论据主要来自单一 Codex 恢复实现，外部资源撤销与跨主机重建尚无实测。

把嵌套 HITL 恢复从“有 checkpoint 就继续”提升为 workflow frame、call occurrence、branch、responder 与 effect state 的复合身份问题；不足是响应者认证与外部副作用 exactly-once 仍明确留在合同之外。

用 113 人实验把长期偏好与单次行动授权拆开，尤其抓住 140 条规则中 114 条仍选择 Ask 的信号，说明策略常是路由而非最终签署；不足是模拟工作日与粗粒度后果分类离真实企业风险仍有距离。

把 PM-Bench 的 prospective memory 结果转成“意图版本—观察策略—到期准入—效果证据”四层运行时模型，并用 heartbeat 数据反驳“多检查就更可靠”；不足是 exactly-once 与真实 provider 事件源仍属工程推导。

把 working memory 从 token 容量拆成存储状态、实际交付上下文、管理开销和任务/过程结果四层，能解释“同预算不同信息”；不足是证据来自 55 条 coding-agent 轨迹，企业长期岗位与隐私化审计仍待验证。

把 AgentRewind 的对齐 checkpoint 优势与外部副作用不可回滚边界同时保留，进一步提出 occurrence、当前恢复权、policy version 与 effect ledger 的恢复合同；不足是该完整合同尚未在企业外部工具链上实测。

准确区分“机器在企业内”与“Agent loop、推理和工作入口仍由平台掌握”，并把 Cursor Self-Hosted Machines 放进执行位置、数据流、组织控制和验收四问；不足是未做真实部署、成本或恢复基准，竞争判断仍属展望。

55 个条目的全球商业样本把 D1–D5、证据级别、交付对象、定价与模型成本放进同一比较框架，并主动把 CodeFlowMu 的作者身份与商业证据边界写清；不足是大量产品仍依赖厂商公开材料，版本一致性与独立验证不可能完全统一。

把“判断适合批准”与真正可执行授权分开，并把范围和失效条件落到调用时；不足是关键证据仍以厂商实现为主，独立生产验证偏少。

用4,181题实验把失败风险、协议选择和预算准入拆开，论证很有辨识度；不足是证据集中在数学求解场景，跨业务协议的外推仍需验证。

把局部安全检查放回“授权到效果”的整条链路，能解释旁路为何让单点通过失真；不足是主要来自综述与审计，真实生产闭环验证还不够。

把记忆迁移拆成完整性、语义兼容、可恢复和重新准入，迁移包很实用；不足是实验仍偏合成负载，长期真实工作中的漂移证据有限。

用145个任务和2,318个真实MCP工具说明“可连通”不等于“可执行”，边界抓得准；不足是数据域偏韩国公共API，跨生态复现仍不足。

把“计划能看多远”与“执行一次承诺多远”分开，并主动隔离外部效果授权，判断很成熟；不足是论文结果尚无独立完整复现，离线成本也未纳入。

把“第二个模型”与“独立控制”彻底区分，并要求独立事实和可阻断路径同时存在；不足是证据来自单一机构的网络安全评估，普适性仍有限。

用证据消融、冻结意图和确定性守卫三段实验把“看全事实”与“获准执行”分得很干净；不足是场景仍受控，权威数据库本身被视为可信前提。

把“本地状态回退成功”和“外部效果已回退”分开，并给出未知效果的恢复分支，工程价值很高；不足是远端交易并未被主实验直接覆盖。

跨 OpenHands、CrewAI、AutoGen 与 LangGraph 提炼出可执行的 Skill Contract，落地性很强；不足是比较主要依赖文档，缺少同任务实测来验证跨框架可移植性。

把持久状态、中断、恢复、隔离、可观测性和完成控制收束成最小 Runtime 合同，框架比较也有边界；但仍缺少故障注入下的统一恢复实验来验证机制差异。

把 manager 调用与 handoff 的控制权、上下文和完成责任拆开，并给出 typed delegation 结构，工程含义明确；但结论集中于单一 SDK，跨运行时语义对照仍不足。

把 SWE-bench Verified 的任务、环境、测试与人工裁决质量转化为完整评测准入机制，证据和限制都扎实；不足是尚未用所提内部套件给出真实 CodeFlowMu 对照结果。

把 Accepted、BlockedWithRetainedEvidence 等状态分开，准确抓住对话投影与取证证据不能共用一个保存语义；但篇幅较短，真实持久化适配器上的崩溃实验仍未展开。

用真实 WP-13 事件、提交、REPORT 与 27/27 独立复跑证明“完成声明不等于完成事实”，组织否决机制非常鲜明；不足是篇幅较长，核心边界在后半篇有重复强化。

把逻辑会话语义、单文件原子发布与跨 JSONL/SQLite 可恢复性分层，避免把 rename 夸成全局事务；不足是核心证据来自单一维护者变更，缺少独立故障恢复测量。

把资源身份、生命周期、Ready 载荷和连接使用分成四层，并明确本地幂等不等于分布式 exactly-once；不足是没有重启和多进程竞争实测，生产恢复仍停留在设计延伸。

把多流乱序视为常态，并用 execution ID、invocation ID、序列证据和 drain watermark 重建 finality，协议边界清楚；不足是缺少真实负载与断线重连实验来验证这些约束。

指出“输出值正确”仍可能掩盖全量 replay 的机制退化，并把历史格式兼容与实际执行 conformance 分开，判断很有价值；不足是性能与延迟数据仍为维护者测试，缺少独立后端基准。

从 MCPServerManager 竞态提炼出单一生命周期权威、有限等待和 cleanup 失败保留，且清楚限定为进程内语义；不足是跨进程 fencing 与不同资源风险级别仍未用实证验证。

把 logical occurrence、物理重复和业务 exactly-once 严格分开，再用 typed terminal event 闭合执行，语义很稳；不足是 offset 与冲突状态仍是进程内证据，重启后的身份恢复尚未证明。

用 ownership、lifetime、capacity、isolation 四个边界替代“先选锁”的思路，并给出五个反例测试，评审方法可直接复用；不足是分布式重启与外部副作用仅提出协议升级方向。

从一个动态 MCP Header helper 提炼出 scope、ownership、lifetime、resource、observability 五重边界，安全评审框架很完整；不足是耐久审计和凭据刷新仍是开放问题，未有部署级验证。

把本地请求回滚、外部 effect reconciliation 和 retry admission 拆成三层，避免“界面恢复干净就能安全重试”的误判；不足是核心实现证据只覆盖内存态取消，缺少重启与真实副作用故障实验。

把 handoff 拆成取消请求、路由退休、终止观测和外部效果核对四类事实，并引入风险敏感策略；不足是证据局限于本地 asyncio，远端 worker 与 provider-side 撤销尚未覆盖。

从 raw config override 的顺序语义进一步提出 effective-value provenance，清楚区分表达能力与配置权限；不足是 provenance 仍是工程解释，缺少具体数据结构、跨 SDK 对照和安全策略实验。

把 UI 压缩、可回放证据和正式审计明确分成三层，并指出失败、交互和活跃任务不能被成功摘要吞掉；不足是长期兼容、耐久性和 tamper-evidence 只提出要求，尚无实现验证。

用 AgentLens、UnderSpecBench、EvalAgent 等多源证据把 Agent run 与 evaluator run 变成双执行链，并落成八类制品和 CI 顺序；不足是这套八制品合同仍属综合提案，尚无跨领域实测成本收益。

用 E2EDevBench 的反例说明“有计划”也会发生 authority inversion，再给出六段式 Plan Contract 和风险分级门禁；不足是该合同本身尚未通过对照实验量化减少遗漏与返工的效果。

以固定 FCoP 版本、POSIX 语义和 22 个定向测试把身份、路径、事件、原子发布四项合同落到可执行细节，边界极严谨；不足是并发 claim、EXDEV 和崩溃窗口仍列为待补故障测试。

把 Unix 与 blackboard 思想落到 TASK/REPORT/ISSUE/REVIEW、五桶路径和事件账本，并明确何时应升级执行面，实用性很高；不足是 dogfood 证据规模有限，尚不能说明高并发或多机环境收益。

把 queue receipt 到 disconnected 的请求 trace 与外部 effect receipt 严格分面，并提出 unknown + reconciliation 的恢复语义；不足是 effect identity 与持久审计保留仍只是设计问题，没有端到端实现证据。

把 Agent Runtime 可靠性测试从 happy path 改成“不变量 × 故障点 × 可观察 verdict”，并保留 PASS、FAIL、NOT RUN 的差别；不足是 12 个场景仍是最小计划，双 claimant、跨文件系统和真实副作用故障还需继续注入。

从 MCP TypeScript SDK 的 saveTokens 失败切出“远端 refresh 已提交、local persistence 未提交”的 split-commit 状态，异常边界解释得很清楚；不足是修复只保留了部分成功事实，没有给出跨服务 rollback、重试与持久化原子性协议。

把 2 万字需求从“总结”提升为带来源 SHA、REQ ledger、冲突分类、WP DAG、预算和版本绑定批准的编译管线，长任务治理方法完整；不足是对模型遗漏、压缩误解和跨团队真实交付的降低幅度尚无量化。

把“切换项目”拆成停止旧副作用、持久化新 root、统一重建 Runtime/MCP/watcher/cwd、再验证的一次执行链 rebind，并补足 Windows handle、symlink alias 与初始化权限边界；不足是高频并发切换和第三方工具缓存仍未实测。

通过 Google ADK pending 目录与 rename 发布协议，把 reservation、staged completeness、reader visibility、durable persistence 四个状态拆开，避免“看得见就等于耐久”；不足是没有 fsync 的实现本身也限制了可宣称的崩溃保证。

把 workspace trust 与 secret inheritance 拆成两个权限门，说明“允许仓库 helper 执行”不等于“把父进程 credential 一并委派”，并强调显式上下文优于 ambient env；不足是公开证据没有枚举过滤变量，也不构成文件、网络或 keychain sandbox。

把 TASK 的路径状态、事件、REPORT、验收和并发 claim 分层得很清楚，也诚实指出多 Runtime TOCTOU 边界；不足是 V1.9.7 部分证据来自私有候选实现，公共复现仍不完整。

把 TMPA、FCoP、CodeFlowMu 明确分成治理语义、文件状态机和工程轨道三层，并用 neutral、waiting_dependency、negative_list_denied、unknown_reconcile 防止轨道把事实投影成业务裁决；不足是统一 reconcile SLA、多进程 claim 与 OS sandbox 仍是准入要求。

把异步 cache reconciliation 的删除资格绑定到 principal identity、causal generation、参与写者协调和完整 snapshot 四个条件，清楚说明“没看到”不能直接解释成“已删除”；不足是 semaphore 与 generation 仍只覆盖已接入的本地 writer，并不提供跨进程事务。

用 MCPServerManager 重复对象问题说明生命周期 owner 应在副作用前先确定 canonical population，并区分集合去重与异步锁各自解决的故障；不足是 Python equality 语义可能把不同 wrapper 合并，且本地 call count 不能证明 endpoint exactly-once。

把 async cancellation 与 resource ownership 分开，提出先完成有限 teardown 再重新抛出取消信号，并用单一 close task 保持本地幂等；不足是 suppressed close error 和 remote resource 结果仍缺独立证据通道。

从 rollout migration 的 path 移动与 lock 前 stale read 提炼出“discovery 只是暂时证据，authority acquisition 后必须重新发现和读取”的 TOCTOU 规则，并区分 busy 与 terminal failure；不足是仍属于单机文件资源模型，跨机器锁与身份替换没有覆盖。

用 Google ADK 的 HttpOptions 修复把“可变请求容器”和“应共享的 live client”分开，避免全图 deep copy 与原样 aliasing 的双重问题；不足是只做到 top-level copy，嵌套可变对象、cookie 与 client 内部状态仍可能跨请求泄漏。

从 10 条 REPORT 的关联异常推进到 V2.0.4 动态诊断，并用同一 QA TASK 的 active→review 变化验证语义；不足是产品证据仍以作者方复现为主，缺第三方验证。

把 skill 证据拆成调用发生、可信根来源、内容身份、语义安全和当前批准五层；不足是 canonical path 不是加密 provenance，也不能证明当时执行的确切 bytes。

把 approval cache 的新鲜度从时间 TTL 提升为 authorization version，并把 use-time revalidation 放在缓存结果即将变成执行权的边界，能覆盖并发撤权；不足是 version tuple 只能证明它编码过的权限事实，外部组织策略与 effect-time race 仍可能缺失。

从 20,440 条历史 Activity 与 raw-marker 查询探针推进到 V2.1.2 server-side recursive allowlist，并保留一次 19/20 过度裁剪失败，证明“最小可见”也必须保留诊断语义；不足是结构投影不能自动识别已获准字段内部的敏感内容，真实 LAN/Gateway 仍未独立覆盖。

用 response-loss 对比把重试收敛为 submission ID、request digest 和三阶段 receipt，并以 8 路并发验证单一 task_id；不足是强保证仅覆盖稳定 submission ID 的任务创建。

把 timeout 从单 PID 扩展到 invocation-owned process group，并让取消共享有界 teardown；不足是 setsid 逃逸、Windows、容器、远程任务和外部副作用仍未覆盖。

把 DeltaChannel 的省空间收益与 seed、ordered writes、reducer identity、write-before-checkpoint 四个恢复不变量并列；不足是性能数据主要来自厂商 workload，跨 backend 恢复成本未独立验证。

用 536 个失败样本区分 rerun 重采样与 controlled replay 的因果修复证据，并要求固定前缀和 intervention anchor；不足是逻辑重放仍不能恢复真实外部状态。

把 CatchBench 的 PRE/LIVE/POST 信息预算方法落到真实审批探针的 T0–T3 证据截断，并用 owner、cutoff、integrity 与 negative controls 证明“存在的证据”不等于“当时可采纳的证据”；不足是实验测的是可判定性与时间边界，不是未来重复副作用的预测准确率。

通过 P0–P3 精确切开 audit 故障位置，并在新进程恢复中观察 non-idempotent executor 从一个 effect 变成两个；不足是副作用仍是隔离本地 marker，未覆盖真实远端服务。

把对话、操作授权、执行 principal 与证据归因四种 continuity 分开，并用 11+8 个条件限定换 Session 语义；不足是 provider account 的可信身份链尚未做双账号实测。

在 fact check、diagnostic、EVAL 与 takeover 均已存在时，准确指出缺的是同一 interruption case 的引用链，并保持 observer 无 dispatch 权；不足是合同尚未完成持久化、并发和独立 QA。

抓住 TASK 连续不等于执行权连续，并用 RA-7/RA-8 证明 confirmed 与 unknown effect 当前进入同一恢复前状态；不足是尚未制造真实外部副作用或完成独立验收。

把 SkillZip Pro 从 token 压缩问题提升为 public entry、route、resource 与 behavior 的能力身份问题；不足是结果仍属作者报告，授权和外部 effect 语义未被实验覆盖。

MCP Python SDK 与 Gemini CLI 分别覆盖 discovery 和 callback 的 issuer binding，形成 identity-before-indirection；不足是 normalization 仍不一致，缺跨语言 test vectors 与迁移验证。

通过真实 Host admission service 让 empty、partial、duplicate、unknown-ID 四类不完整证据进入 VERIFIED，并保留 FAIL/BLOCKED 控制；不足是没有生产发生率，也未在研究中实施修复。

回查发现 writer lock 已验证 process generation，而 approval recovery 主要看 PID liveness，并用旧时间戳对照暴露语义差异；不足是未真正诱发 PID reuse 或执行外部恢复。

23 个公开项目与 MCP/A2A/OASF/Open Agent Spec/TMPA/FCoP 的责任分层，把开源机制、协议成熟度、产品能力与 CodeFlowMu 商业路线放在同一工程地图里，并明确第二实现与 conformance 才是协议下一步；不足是部分成熟度判断是作者初评，未统一安装测试所有项目。

真实 gate 与跨进程 approval 实验显示：换 Git branch 仍复用批准，只换 Session 却失配；字段对比证明问题发生在 hash 前的信息折叠与 nested Session 回流。不足是 remote/force/delete 主要验证到 digest 层。

Codex OAuth 与 Google ADK confirmation 两个中断点共同说明 recovery evidence、current authority、effect evidence 必须分开；不足是三维模型仍是综合判断，未形成跨系统协议或 exactly-once 证明。

七组 allow/revoke 场景把 acceptance order 与 persistence order 分离，并用双向翻转、同值、未接受输入和异常序列限定结论；不足是 inversion 为人为注入，未证明 CodeFlowMu Host 真实存在该缺陷。

真实 Native gate + loopback curl 显示 effect knowledge 不完整时 GET 仍可 ALLOW，环境随后发生 business write；不足是尚未覆盖完整 Codex/Cursor/Gemini Host、代理与真实服务。

把功能通过、开发过程、压力失效、扩展性能和复现证据分层，避免把绿灯误写成生产能力；不足是高性能计算证据向普通企业系统迁移仍需实测。

用真实审批服务和会话适配器把“请求取消、接受取消、阻止动作、回滚效果”逐层拆开，反例很扎实；不足是真实Host资源队列仍未端到端验证。

把“是谁的状态”与“这个目的地现在能否承载并执行”拆成四道门，恢复语义很清楚；不足是两个样本同属一家厂商，跨实现独立性较弱。

用真实写入、跨进程回读和可恢复重命名证明“曾成功”不等于“现在可交付”，证据链完整；不足是远程沙箱替换与断电耐久性没有实测。

把源文件变化精确移动到校验前后，直接暴露“快照正确但对象又变了”的TOCTOU窗口；不足是顺序由研究代码注入，尚未证明真实入口可达。

同一`overwrite=false`下写入、复制、移动出现不同结果，且直接检查最终字节，定位非常精准；不足是公开入口契约和并发覆盖语义仍待确认。

把候选版本、制品、证据和角色权限作为长期项目真相，而不是依赖聊天上下文，方向很实用；不足是证据主要为作者报告的研究案例，生产崩溃一致性未覆盖。

先发现回调重复，再用真实调度链证明并未二次启动，主动用反例推翻早期结论，研究方法很强；不足是最终SDK与外部效果仍是替身，未验证真实副作用。

把GUI、CLI和工具调用统一到同一业务效果身份，又保留各自证据类型，架构判断很有用；不足是依据主要为基准环境，真实跨系统幂等和授权未实证。

既保留现有actor绑定保护，又把问题收窄到continuation中的触发消息未投影进session，结论克制；不足是未做真实双人账号与凭证切换。

只交换备注就让同一ID的通过率从100%翻到0%，反例极有力量，清楚证明确定性不等于裁决正当；不足是尚未证明该聚合器存在生产调用路径。

用“唤醒已提交但返回丢失”的实验说明恢复只应补缺失步骤，并进一步区分确认与实际读取；不足是数据库锁与进程崩溃没有真实复现。

用一次真实工具执行却出现`executed→blocked`的回执序列，直观说明输出被拦不等于动作没发生；不足是没有测试真实外部写入和模型实际摄取。

把请求ID、执行命令和完成权限拆开，并证明未claim分支仍会尝试完成回调，问题定位清楚；不足是持久层为fixture，未验证数据库最终是否接受错误更新。

用显式线程交错和40次试验同时记录局部峰值与总峰值，准确证明修复的是per-loop而非全局额度；不足是未覆盖多进程、主机和真实模型请求。

通过索引分歧让恢复历史被清空，再用冷却、累计上限和正常恢复对照锁定因果，实验很完整；不足是没有复现真实Electron崩溃和生产风暴。

把文件回调从4降到0后继续检查接收进程，发现同四个凭证改走环境变量，效果边界抓得非常准；不足是未启动真实CLI认证或网络使用。

用八种条件把“明确不支持”和“目录不可用”分开，既能拒绝过期模型又不误删兼容路径；不足是只测到`setModel`调用边界，没有真实云端推理确认。

十个上游回归在修复版全过、只替换责任helper后全失败，因果隔离很强；不足是使用ScriptedModel，丢ACK后的真实服务端消费仍未测试。

把 OpenHands 的连接健康、激活生命周期与触发模式映射到运行时设计很清楚；但缺少逐项官方来源和版本锚点，关键事实较难独立复核。

以控制权归属而非功能多少区分 A2A 与 MCP，版本、边界和协议选择问题都交代充分；不足是尚未用同一任务做双协议实测。

三家平台比较把 Registry、Owner、Lifecycle 和运行时观察收敛为控制面；不足是仍以厂商材料为主，缺少独立成熟度验证。

把三家企业软件的共同变化概括为“记录系统内生执行系统”，并保留原生集成与开放运行时的张力；不足是结构趋同尚未用真实业务结果验证。

把 NIST 的四项功能从框架标题转成可持久化的治理、上下文、测量和处置记录，边界也很严谨；不足是这些映射仍需真实工作流验证。

把模型路由明确降为政策约束内的优化服务，并给出 Route Decision Envelope；不足是正文偏短，缺少候选池和故障场景实测。

将“配置最高优先级”与“每条执行路径真的执行了政策”分开，并引入决策信封与回执；不足是缺少一个完整调用链的实物化示例。

抓住低平均利用率并不等于可安全回收，并用有害运行点支持角色感知调度；不足是证据来自特定服务器与工作负载，跨环境阈值仍未知。

把中心政策从启动时检查提升为恢复、分叉和模型变化时重新准入，生命周期边界清楚；不足是缺少政策来源投影与可信例外的完整实例。

把身份源、交换权、短期凭证和传播策略拆成四层，尤其强调“短期不等于隔离”很有价值；不足是子进程与工具边界的传播证据尚未闭合。

用 OrchestraBench 把重试恢复活性与权威状态修复语义错误区分开，证据边界扎实；不足是权威信号冲突时的治理仍待验证。

SaaW、Trace≠Governance 与受控 Self-Morphing 形成原创框架，并有工程实例；不足是篇幅偏长，各主张证据强度不一。

用订餐场景把可见、可操作、授权、提交、确认和外部托管拆成六个事实层次，边界非常清楚；不足是当前证据集中在单一连接器场景。

把用户请求的授权范围与真正生效的策略结果分离，并用降级、持久化失败和域错配解释差异；不足是完整撤销与并发策略模型尚未覆盖。

用 generation 身份把会话重新可用与旧执行被恢复严格分开，避免状态误导；不足是代际身份仍为进程内状态，重启连续性未证明。

把 KPI 从展示推进到 Owner、阈值、升级、覆盖权与闭环证据，且主动限制成效主张；不足是来源细节和可执行接口仍偏概念化。

把 Trace、TMPA、FCoP、CodeFlowMu 和 Self-Morphing 串成清楚工程谱系；不足是作为衍生综述，新的一手证据较少。

把 occurrence identity 与 semantic finish contract 并列为委派任务的两个一等合同；不足是跨框架协商与副作用补偿未解决。

把 ID 预留与对象物化拆成独立事实，并纳入 pending intent、合并优先级和清理；不足是分布式租约仍未验证。

指出执行环境已切换而进程变量仍服从旧线程策略的分裂，并把配置所有权绑定到真实环境；不足是 MCP、Hook 等路径覆盖仍未知。

把 token 消耗、套餐吸收和最终应付金额拆成三本账，并用多家正式计费资料交叉证明，实用性很高；不足是尚未用真实账单做端到端对账实验。

把“数据已落盘”与“活着的运行时会重新发现并推进它”分成不同合同，并进一步分离执行所有权；不足是多运行时重复执行仍需租约或幂等层验证。

把用户交付与模型推理上下文拆开，并用稳定消息身份重新关联，边界清楚；不足是只覆盖本地事件链，端到端送达、重试和去重仍未验证。

把“本地可保留”与“对外可披露”拆成两个权限问题，并抓住渲染前过滤时点；不足是只证明一条 ADK 重建路径，尚未覆盖全部适配器。

四层授权模型有固定代码和 35 项测试支撑，也分开一次性批准、前态绑定与执行结果；不足是篇幅偏长，项目细节提高了外部读者门槛。

用 ADK 回退说明“通道不是批准者”，并把主体、动作和新鲜度落成可执行要求；不足是威胁未独立复现，替代机制仍处于开放状态。

把策略合并提升为“受保护上限 + 可审查扩张”的权限模型，工程含义直接；不足是证据集中在网络策略，其他权限域尚未证明可复用。

把创建来源、续跑稳定性与派生关系分成不同生命周期事实，可直接指导元数据设计；不足是证据局限于 Codex 路径，跨服务不可变性未建立。

通过父子请求回归把指令来源与生效权限拆开，论证紧凑；不足是权限平面主要停留在架构要求，缺少同一实现中的认证授权闭环。

把响应丢失转化为持久不确定状态，并用权威历史三分法控制续跑，恢复语义很强；不足是并发副本缺分布式 CAS，外部副作用也需独立对账。

不仅复述 MP-Bench 归因分歧，还构造事实、假设、显著性与修复决策四层模型；不足是尚未用真实生产事故验证该模型能否提升修复质量。

把共享服务器身份与附件权限分离，并把调用准备解释为权限快照，所有权边界明确；不足是权限解析正确性与已准备调用的即时撤销仍缺证据。

用“主机签发而非请求方自报”讲清权限元数据的信任方向，并给出账号连续性与多条件准入；不足是下游插件是否执行这些字段仍属独立义务。

把缓存的可读取性与授权资格彻底分开，并把新鲜度提升为证据准入条件；不足是一手材料只有产品变更说明，认证、解析和撤销实现不可见。

把工作区信任从界面标签变成能力物化前的准入变换，并区分准入与撤销；不足是已有连接和后台能力的实时收回仍只是后续生命周期设计。

抓住“展示变强但可知性没变”的因果差异，并落到独立的可知性、证据和风险门禁；不足是结果来自未独立复现的预印本，且非真实高风险工具效果。

把提示注入进一步定位为重建过程中的权限来源丢失，并提出主体、入口、权限级与提升事件四元证据；不足是实验限于六种编码 Harness，生产普遍性仍待验证。

用三组一手材料把 Enabled 拆成可用性、配置能力、账号主体、目标权限、运行策略和效果回执六层；不足是三种架构并非统一协议，便携字段仍需定义。

把 Cursor 长生命周期、自托管执行与任务入口变化串成完整平台判断，并区分企业工作治理；不足是篇幅很长，“Agent iOS”等核心命题仍以趋势推演为主。

把委派权限从静态集合提升为随主体链、预算和历史演化的授权程序，并用组合闭包补单步盲区；不足是强结果依赖作者策略覆盖和分类准确性，尚无独立复现。

把模型选择、治理、可靠性分层和计价统一到“角色交付”视角，资料面广且框架完整；不足是跨厂商证据深度不一，D1–D5 仍是作者定性初评。

从 414 号文正文到五个附件拆解供给池、联合体、场景、案例门槛与政策措辞，事实与商业推演分得清；不足是篇幅巨大，部分宏观数据口径并不完全可比。

把恢复拆成退化、遏制、恢复过程、累计负担和最终状态，能避免“最后变绿”覆盖事故代价；不足是核心证据来自仿真，企业现场阈值未验证。

用100个Agent案例说明“很多人都看见”仍可能无法停止失范，并把投诉、裁决、制裁、改规则分权；不足是单一研究环境，治理机制本身未做对照实验。

把工信部新计划放进算力、产品、服务商和中小企业政策序列中解读，政策链条很完整；不足是部分市场规模与商业机会属于推演，缺少后续落地数据检验。

把“能做这个岗位”和“能适配这支团队”分开，并指出产出恢复早于协调效率恢复，替换语义很有价值；不足是研究以双人基准团队为主，企业大团队外推有限。

利用40个盲测任务揭示“证据可审计”仍可能缺少控制、稳健性和证伪，双重验收状态很实用；不足是单一冻结模型和LLM评估器限制了普适性。

把自我改进流程视为“控制部署”，候选、拒绝、采纳、过期和回滚都有独立身份，边界很成熟；不足是同模型偏差和平均指标仍可能漏掉稀有高风险失败。

用Codex、MCP SDK和Gemini CLI三个实现对比重验证、替换与隔离，说明保留状态不等于保留主权；不足是都是一方代码与测试，缺少独立生产结果。

从14.1万记录漏掉第四起事件，再扩到4.81亿记录，鲜明说明“审计跑完”不等于覆盖充分；不足是运营证据仍由厂商自报，独立复核尚未完成。

把 AI Specialist、确定性工作流和治理控制面联系得很清楚，也明确指出 SME 边界；不足是缺少可核查的官方引用与独立运行证据。

把 Agent 作为持久劳动力资产而非一次 API 调用来治理，Registry 投影也实用；不足是来源缺少直接引用，运行时证据偏弱。

六个AI团队同题实测，把分工、交付、恢复、耗时和独立EVAL全部留痕，第一方实验极其扎实；不足是模型与Host集成路径并非完全同质，无法纯粹归因于基础模型。

双语门户角色、信息层级和构建链交代清楚，适合作为架构基线；不足是验证证据、失败模式和可执行验收标准几乎缺席。

协议、开源运行时与企业数字劳动力被放进同一定位框架，CodeFlowMu 取舍明确；不足是厂商判断缺少版本化逐项证据。

控制面与工作运行时二分清楚，Registry 到 WorkOrder 路径具体；不足是 Workday、OpenHands 对照缺少版本证据与反例。

三类执行边界被统一到 Ownership Ledger 与 Evidence Envelope；不足是样本仅三篇，尚无跨运行时实验。

15篇日研串成 admission、lease、revalidation、revocation、acceptance 生命周期；不足是跨平台复现仍有限。

预约、执行、外部效果与终态被统一为 handoff contract；不足是尚无真实跨系统故障注入验证。

delegation、cache、credential、resume 被“授权理由会丢失”贯通；不足是最小 lineage 仍未实证收敛。

checkpoint、policy cache 与 replay integrity 被统一成恢复准入模型；不足是缓存证据边界未量化。

把15篇研究收束成“授权是一种关系”并给出可实现的Authority Relation Envelope，综合力很强；不足是篇幅较长，部分边界在多处重复展开。

把State、Authority、Effect、Coverage四种闭合分开，并允许Unknown长期存在，周报形成了很强的统一框架；不足是Typed Closure仍属综合抽象，尚缺跨系统实现验证。