2026 AI 原生软件供应链重构：用创源AIGC、ChangeSet 变更协议与安全证明治理 Codex 代码

当 codex、DeepSeek 或其他代码模型每天生成几十个补丁时，研发团队很快会遇到一个反直觉事实：代码生成速度越快，真正稀缺的资源越不是"写代码的人"，而是审查注意力、测试环境、发布窗口与风险承受能力。模型可以在一分钟内改完二十个文件，人类却未必能在一分钟内回答：它为什么要改、改动是否越界、测试覆盖了什么、依赖是否安全、出现事故能否撤销。

因此，AI 编程的核心问题不该再是"哪个模型写得更像高级工程师"，而应改写为"一个由模型提出的变更，需要携带哪些证据，才有资格进入主干"。本文把模型输出定义为不可信的变更提案，以 ChangeSet 作为机器可验证的交付协议，把 VSCode、Git Hook、Agent安全沙箱、CI/CD、API Gateway 和创源AIGC 串成一条软件供应链。模型可以更换，供应商可以调价，开源项目也可以替换，但进入生产的证据规则保持稳定。

这种思路与传统"大模型中继评测"不同。它不把请求成功率当作最终结果，而把一次 AI 任务拆成提案、验证、批准、执行和证明五个阶段。创源AIGC在其中承担推理接入与证据归一化，而不是替代代码仓库、测试平台或变更审批系统。文章中的模型名称均视为配置期别名；实际能力、上下文长度和计费应以团队当期验证结果为准。

一、 重新定义 AI 编程产物：模型交付的不是代码，而是待验证的 ChangeSet

传统代码助手把输出看成一段文本：开发者复制、粘贴、运行，成功就提交。Agent 获得文件写权限后，这套隐式流程被自动化放大了。一次任务可能修改源码、测试、依赖清单和部署脚本，但模型响应里只有自然语言解释，没有统一的机器边界。代码审查者看到的是最终 diff，却看不到模型读取了哪些文件、为什么选择这些文件、哪些命令执行失败以及补丁是否经过二次修复。

ChangeSet 的目标，是把"模型说已经完成"改造成"系统能够验证它完成了什么"。它不是新的版本控制系统，而是附着在 Git diff 之外的一份变更信封。信封至少包含任务身份、输入摘要、允许修改的资源、补丁哈希、测试计划、风险声明、依赖变化、模型路由别名和撤销方式。所有字段都可以签名、审计和回放。

{
  "change_id": "chg_20260808_7f31",
  "task": {
    "type": "bugfix",
    "acceptance": ["expired token returns 401", "refresh is attempted once"]
  },
  "scope": {
    "read": ["src/auth/**", "tests/auth/**"],
    "write": ["src/auth/session.py", "tests/auth/test_session.py"],
    "deny": ["infra/**", ".github/**", "migrations/**"]
  },
  "artifact": {
    "patch_sha256": "6f7d...91c2",
    "base_commit": "18a3...ee20"
  },
  "verification": {
    "commands": ["pytest tests/auth -q", "ruff check src/auth"],
    "required": ["unit", "lint", "secret_scan"]
  },
  "provenance": {
    "route": "code-fix-medium",
    "policy": "change-admission-v12"
  }
}

这份协议首先解决范围失控。Agent 在开始前就知道允许读取和写入的路径，沙箱根据同一份清单挂载目录，CI 又使用同一清单检查最终 diff。若模型声称只修认证逻辑，却修改了支付模块，系统无需理解代码语义，仅凭范围差异就能拒绝。范围规则必须面向真实路径求值，处理符号链接、大小写差异、路径穿越和 Windows 盘符，不能只做字符串开头匹配。

其次，ChangeSet 将"计划"和"事实"分开。verification.commands 是计划，实际测试退出码、日志摘要和报告哈希属于执行事实；两者不能由模型在同一段文本里自行宣告。模型可以建议运行 pytest，但只有独立执行器能够签发"测试已通过"的证明。这个分离看似繁琐，却是防止 Agent 把猜测写成结果的关键。
#mermaid-svg-flisoESigwdgRxRc{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-flisoESigwdgRxRc .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-flisoESigwdgRxRc .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-flisoESigwdgRxRc .error-icon{fill:#552222;}#mermaid-svg-flisoESigwdgRxRc .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-flisoESigwdgRxRc .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-flisoESigwdgRxRc .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-flisoESigwdgRxRc .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-flisoESigwdgRxRc .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-flisoESigwdgRxRc .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-flisoESigwdgRxRc .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-flisoESigwdgRxRc .marker{fill:#333333;stroke:#333333;}#mermaid-svg-flisoESigwdgRxRc .marker.cross{stroke:#333333;}#mermaid-svg-flisoESigwdgRxRc svg{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-flisoESigwdgRxRc p{margin:0;}#mermaid-svg-flisoESigwdgRxRc .label{font-family:"trebuchet ms",verdana,arial,sans-serif;color:#333;}#mermaid-svg-flisoESigwdgRxRc .cluster-label text{fill:#333;}#mermaid-svg-flisoESigwdgRxRc .cluster-label span{color:#333;}#mermaid-svg-flisoESigwdgRxRc .cluster-label span p{background-color:transparent;}#mermaid-svg-flisoESigwdgRxRc .label text,#mermaid-svg-flisoESigwdgRxRc span{fill:#333;color:#333;}#mermaid-svg-flisoESigwdgRxRc .node rect,#mermaid-svg-flisoESigwdgRxRc .node circle,#mermaid-svg-flisoESigwdgRxRc .node ellipse,#mermaid-svg-flisoESigwdgRxRc .node polygon,#mermaid-svg-flisoESigwdgRxRc .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-flisoESigwdgRxRc .rough-node .label text,#mermaid-svg-flisoESigwdgRxRc .node .label text,#mermaid-svg-flisoESigwdgRxRc .image-shape .label,#mermaid-svg-flisoESigwdgRxRc .icon-shape .label{text-anchor:middle;}#mermaid-svg-flisoESigwdgRxRc .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-flisoESigwdgRxRc .rough-node .label,#mermaid-svg-flisoESigwdgRxRc .node .label,#mermaid-svg-flisoESigwdgRxRc .image-shape .label,#mermaid-svg-flisoESigwdgRxRc .icon-shape .label{text-align:center;}#mermaid-svg-flisoESigwdgRxRc .node.clickable{cursor:pointer;}#mermaid-svg-flisoESigwdgRxRc .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-flisoESigwdgRxRc .arrowheadPath{fill:#333333;}#mermaid-svg-flisoESigwdgRxRc .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-flisoESigwdgRxRc .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-flisoESigwdgRxRc .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-flisoESigwdgRxRc .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-flisoESigwdgRxRc .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-flisoESigwdgRxRc .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-flisoESigwdgRxRc .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-flisoESigwdgRxRc .cluster text{fill:#333;}#mermaid-svg-flisoESigwdgRxRc .cluster span{color:#333;}#mermaid-svg-flisoESigwdgRxRc div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-flisoESigwdgRxRc .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-flisoESigwdgRxRc rect.text{fill:none;stroke-width:0;}#mermaid-svg-flisoESigwdgRxRc .icon-shape,#mermaid-svg-flisoESigwdgRxRc .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-flisoESigwdgRxRc .icon-shape p,#mermaid-svg-flisoESigwdgRxRc .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-flisoESigwdgRxRc .icon-shape .label rect,#mermaid-svg-flisoESigwdgRxRc .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-flisoESigwdgRxRc .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-flisoESigwdgRxRc .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-flisoESigwdgRxRc :root{--mermaid-font-family:"trebuchet ms",verdana,arial,sans-serif;} 拒绝
通过
PRD与任务契约
模型生成ChangeSet
Agent安全沙箱生成补丁
独立CI验证
策略即代码准入
签发供应链证明
灰度发布
指标回放与撤销

最后，ChangeSet 让模型迁移变得容易。DeepSeek、Qwen、Claude 或 codex 都可以生成相同协议，企业只需分别实现提示模板与响应解析器。准入系统不关心模型"自我评价"多高，只关心补丁、测试和策略证据。未来模型升级时，团队比较的是相同任务下 ChangeSet 的首次通过率、修复轮次和单位合格变更成本，而不是几张主观演示截图。

ChangeSet 还要有清晰的生命周期。draft 表示模型或开发者正在补充计划；approved 表示范围和验收条件已经确认；prepared 表示补丁已在隔离区生成；verified 表示独立测试通过；applied 表示进入目标分支；revoked 则表示任务被撤销。状态只能按允许的边迁移，任何回退都生成新事件，不能覆盖历史记录。这样可以阻止一个尚未验证的补丁通过修改单个布尔字段伪装成已批准变更。

并发也是协议必须处理的问题。两个 Agent 可能同时基于同一提交修改认证模块，各自在沙箱中测试通过，但第二个补丁应用时基线已经改变。准入系统要核对 base_commit 和关键文件哈希；不一致就进入 stale，重新收集上下文和运行测试，而不是让模型自动解决所有冲突。代码冲突是可见问题，语义冲突更危险，因此即使 Git 能干净合并，也要重新执行契约测试。

二、 契约先于提示词：把 PRD、接口与风险边界编译成机器可执行任务

很多 Agent 失败并非代码能力不足，而是输入只有一句"优化登录模块"。它没有明确验收条件、兼容范围、禁止动作和回滚要求，只能依靠概率补全意图。更可靠的方法是先把 PRD 编译成任务契约，再把契约交给模型。这个编译过程可以使用 AI 辅助，但最终格式必须由确定性程序校验。

任务契约分为四层。业务层描述用户可观察结果，例如"过期令牌返回 401"；接口层固定函数签名、Schema 和错误码；工程层声明允许修改的文件、依赖与测试命令；治理层则规定数据等级、最高风险、预算和审批人。只有四层都完整，任务才进入 ready 状态。缺少验收条件时，系统应要求补充，而不是让 Agent 猜测。

from dataclasses import dataclass, field

@dataclass
class TaskContract:
    objective: str
    acceptance: list[str]
    writable_paths: list[str]
    forbidden_paths: list[str]
    max_files: int = 8
    max_risk: str = "medium"
    required_checks: list[str] = field(default_factory=lambda: ["unit", "lint"])

def validate_contract(contract: TaskContract) -> list[str]:
    errors = []
    if len(contract.objective.strip()) < 12:
        errors.append("objective_too_short")
    if not contract.acceptance:
        errors.append("acceptance_missing")
    if not contract.writable_paths:
        errors.append("write_scope_missing")
    if any(path in {"/", "**", "C:\\"} for path in contract.writable_paths):
        errors.append("write_scope_too_broad")
    if contract.max_files < 1 or contract.max_files > 30:
        errors.append("invalid_file_budget")
    return errors

契约编译器还应生成"未知项"。例如 PRD 要求支持旧客户端，却没有声明最低版本，编译器不能自行补一个版本号，而应输出 unresolved.compatibility_floor。人类补齐后，契约版本从 draft 进入 approved。任何在执行期间发生的范围扩大，都必须生成新版本并重新审批，不能由 Agent 在日志里说一句"为了完成任务，我顺便改了数据库"。

风险预算同样需要前置。修改文案、补充测试通常属于低风险；改鉴权、依赖版本和数据库迁移属于中高风险；修改生产基础设施则进入人工变更系统。风险并不只由文件路径决定，还与语义有关：同一个配置文件中，调日志级别和关闭身份校验显然不是同一级别。确定性规则负责硬边界，AST、依赖分析和 AI 审查负责补充语义信号，最终采用最高风险结果。

契约的另一个价值是控制 Token。上下文编译器只为当前验收条件收集相关符号、调用者、测试和设计约束，不把整个仓库塞给模型。任务中声明最大输入预算、最大生成轮次和停止条件；连续两次修复没有减少失败项时，任务进入人工接管，而不是无限循环。这样既应对 DeepSeek 等模型价格或配额变化，也能阻止 Agent 在错误方向上消耗大量资源。

任务契约需要可测试，而不是只保证 JSON 能解析。可以为契约准备性质约束：禁止路径不能与允许路径重叠；高风险任务必须声明回滚；依赖升级必须包含兼容性测试；数据库变更必须有只读预检和备份证明。契约编译器输出稳定的规则 ID，例如 CONTRACT-017 rollback_missing，VSCode、CI 和审计平台显示同一个原因，避免不同系统各自翻译后出现歧义。

对于大型需求，不应让一个 ChangeSet 覆盖数百个文件。编译器先构建依赖图，把任务拆成能够独立验证的增量：先增加兼容接口，再迁移调用方，最后删除旧实现。每个增量拥有自己的风险、测试和撤销点，上一个通过后才释放下一个写租约。这种渐进交付虽然减少了 Agent 一次性展示的"震撼效果"，却显著降低审查负担与回滚成本。

三、 VSCode 不再只是聊天窗口：本地上下文编译器与云端推理的分层协作

"Copilot能否换成本地"经常被讨论成插件名单，真正决定体验的却是上下文工程。一个本地小模型即使推理能力有限，只要获得准确的函数签名、类型关系和最近修改，也可能完成高质量短补全；一个更强的云端模型若收到大量无关文件，仍可能在旧接口上生成错误代码。因此，新架构把 VSCode 扩展变成上下文编译器，而不是简单的 Prompt 转发器。

上下文编译分为词法、语义和治理三步。词法阶段读取光标附近代码和 import；语义阶段通过语言服务器定位定义、引用、调用者和相关测试；治理阶段应用仓库分类、忽略规则、敏感扫描和 Token 预算。最终输出 ContextPack，其中既有代码片段，也有每段内容的来源、哈希、数据级别和截断理由。

interface ContextFragment {
  uri: string;
  symbol?: string;
  sha256: string;
  classification: "public" | "internal" | "restricted";
  content: string;
}

interface ContextPack {
  taskId: string;
  repository: string;
  baseCommit: string;
  fragments: ContextFragment[];
  omitted: Array<{ uri: string; reason: string }>;
  tokenBudget: number;
}

function cloudEligible(pack: ContextPack): boolean {
  return pack.fragments.every(fragment => fragment.classification !== "restricted")
      && pack.fragments.reduce((total, item) => total + item.content.length, 0) < 80000;
}

路由策略首先判断数据能否离开本机，再判断任务难度。光标补全、注释生成和局部重命名优先走 Ollama 加本地代码模型；跨文件重构、复杂测试和架构解释可以走云端，但只上传通过治理的 ContextPack。若仓库被标记为 restricted，即使本地模型质量较低，也不能为了提高一次采纳率突破数据边界。

本地与云端不是互斥关系。可以让本地模型先完成"上下文压缩"：提取符号表、调用图和错误摘要，再把结构化结果送到云端。云端返回补丁计划后，本地工具验证文件与行号是否仍然匹配；若开发者在等待期间继续修改代码，baseCommit 或文件哈希变化，结果直接作废。这样可以减少过期建议覆盖新代码的风险。

IDE 还应显示证据，而不只显示答案。开发者接受一段补全前，可以看到它引用了哪些文件、走了本地还是云端路由、是否命中敏感过滤以及预计会修改哪些符号。对于跨文件操作，扩展先展示 ChangeSet 计划，再由用户授权进入沙箱。用户取消时，扩展传播 AbortSignal，API Gateway 和上游连接都停止生成，避免后台残留请求继续消耗 Token。

上下文也会被仓库内容污染。恶意注释可能要求模型泄露配置，生成文件可能包含超长重复文本，旧版文档则可能描述已经废弃的接口。上下文编译器应给来源分级：编译器与语言服务器产生的符号事实优先级最高，受版本控制的设计文档次之，Issue、日志和外部网页只作为不可信资料。低可信内容可以被引用，但不能改变系统规则、工具权限或输出 Schema。

缓存必须绑定证据。ContextPack 的缓存键至少包含仓库、提交、文件哈希、编译器版本和数据策略版本；任何一项变化都应失效。只按 Prompt 文本缓存，会把另一个分支甚至另一个租户的结果错误复用。缓存内容按数据等级加密并设置较短生存期，受限仓库默认只允许本机缓存，避免"为了省 Token"制造新的源码泄露面。

评测这种架构需要新指标。除了 TTFT P50/P95，还应记录上下文命中率、错误版本引用率、接受后十分钟留存率、敏感片段外发阻断率和每个有效补丁的成本。所谓"接受"，不能只统计按下 Tab；若代码很快被删除、测试失败或审查拒绝，就不应计入有效采纳。团队应从真实历史变更中抽取脱敏样本，使用同一 ContextPack 对比本地、云端和混合方案，才能判断"本地替代"在自己的代码库里是否成立。

四、 从自动写 Commit 到生成证据：Codex 与 Git Hook 的新协作方式

让 codex 自动写一句 feat: 并不难，难的是这句提交信息是否有证据。传统 Git Hook 只校验标题格式，新一代 Hook 更适合充当"变更封口机"：它不让模型随意美化说明，而是在提交前计算 diff、ChangeSet、测试报告与依赖清单的哈希，将它们绑定为可追溯的提交证明。

流程可以分三步。pre-commit 检查最终暂存区是否超出 ChangeSet 范围；prepare-commit-msg 根据已验证事实生成提交摘要；commit-msg 校验摘要中的 Change ID 是否存在。模型可以对 diff 做语义归纳，但"测试通过""无安全问题"等结论只能从 CI 证明中读取，不能由 codex 自行生成。

#!/usr/bin/env bash
set -euo pipefail

changeset=".aigc/current-change.json"
if [[ ! -f "$changeset" ]]; then
  printf '缺少 ChangeSet，拒绝生成证据型提交。\n' >&2
  exit 1
fi

tmp_dir="$(mktemp -d .git/change-evidence.XXXXXX)"
trap 'rm -rf "$tmp_dir"' EXIT

git diff --cached --name-only --diff-filter=ACMR > "$tmp_dir/staged-files.txt"
python tools/check_scope.py \
  --changeset "$changeset" \
  --files "$tmp_dir/staged-files.txt"

git diff --cached --binary | sha256sum | awk '{print $1}' > "$tmp_dir/patch.sha256"
python tools/build_attestation.py \
  --changeset "$changeset" \
  --patch-digest "$tmp_dir/patch.sha256" \
  --output .git/change-attestation.json

check_scope.py 不应信任清单中的路径文本。它需要获取仓库根目录，解析每个文件真实路径，确认目标仍在根目录内，并把大小写统一规则与当前文件系统匹配。若 ChangeSet 只允许 src/auth/**，暂存区出现 infra/prod.tf，Hook 直接失败；开发者若确实需要扩大范围，应更新任务契约并重新批准，而不是使用 --no-verify 绕开。企业仓库还可在服务端分支保护中重复校验，避免本地 Hook 被删除。

证据文件可以采用 JSON，再由 CI 使用工作负载身份签名：

import hashlib
import json
from pathlib import Path

def digest(path: str) -> str:
    return hashlib.sha256(Path(path).read_bytes()).hexdigest()

def build_attestation(change_path: str, patch_digest_path: str) -> dict:
    change = json.loads(Path(change_path).read_text(encoding="utf-8"))
    patch_digest = Path(patch_digest_path).read_text().strip()
    return {
        "change_id": change["change_id"],
        "base_commit": change["artifact"]["base_commit"],
        "patch_sha256": patch_digest,
        "changeset_sha256": digest(change_path),
        "route": change["provenance"]["route"],
        "verified": False
    }

这里的 verified: false 很重要。本地生成的只是声明，CI 在干净环境重放补丁、运行测试并验证依赖后，才签发 verified: true 的证明。提交信息可以引用 Change-Id 和证明摘要，但不应塞入完整 Prompt、密钥、源代码或模型隐藏推理。审计需要的是可验证事实，而不是把所有对话永久保存。

对于"Codex写Commit你敢全自动"这个问题，新答案不是简单的敢或不敢：自然语言摘要可以自动化，事实性声明必须由证据系统约束，最终合并仍受分支保护和责任人批准。这样 Commit 不再是一句看似专业的描述，而成为软件供应链中可以追溯的索引。

五、 Agent 写权限不是开关：租约式能力、双阶段执行与沙箱逃逸防线

"Agent敢开写权限吗"之所以危险，是因为很多系统把权限建模成永久 API Key：获得一次后，Agent 可以在任意时间、任意路径重复使用。更安全的模型是能力租约。每个写入令牌绑定 change_id、仓库、允许路径、动作集合、最大文件数、过期时间和调用次数；任务结束、审批撤销或风险升级时，令牌立即失效。

from dataclasses import dataclass
from datetime import datetime, timezone

@dataclass(frozen=True)
class WriteLease:
    change_id: str
    repository: str
    paths: tuple[str, ...]
    operations: tuple[str, ...]
    expires_at: datetime
    max_writes: int

def lease_active(lease: WriteLease, writes: int) -> bool:
    now = datetime.now(timezone.utc)
    return now < lease.expires_at and writes < lease.max_writes

执行采用双阶段协议。第一阶段是 prepare：Agent 在隔离工作区生成补丁，系统检查路径、AST、依赖、许可证、密钥和测试，不接触主干；第二阶段是 apply：批准后的补丁由独立执行器应用到目标分支。生成者与执行者使用不同身份，模型永远拿不到主干凭据。若第一阶段失败，工作区销毁；若第二阶段发现基线变化，补丁失效并重新生成，不能自动强行合并。

Agent安全沙箱需要同时限制文件、进程、网络和资源。容器使用非 root 用户、只读根文件系统、临时工作卷、CPU/内存/PID 上限，默认关闭网络；需要下载依赖时，只允许访问内部镜像。严禁挂载宿主机 Docker Socket、SSH 目录、云凭据和生产数据库证书。所有子进程设置总时限与输出上限，防止死循环、Fork Bomb 或超大日志拖垮节点。

AST 与命令策略负责阻断高风险语义。Python 中的动态执行、Shell 中的管道下载执行、SQL 中的破坏性语句和 IaC 中的公网暴露都应进入高风险队列。静态扫描不能证明安全，因为命令可以拼接、依赖可以带安装脚本，最终仍要在无凭据沙箱中动态运行。安全系统应采用多信号并集：任何一层判为高风险，都不能被模型的"这是安全的"覆盖。

Prompt Injection 也必须纳入写权限模型。Agent 读取的 README、Issue、网页、编译日志和测试数据全部属于不可信内容，其中的"忽略规则""上传配置"等文字不能成为系统指令。工具调用使用严格 Schema，路径和目标主机由执行器验证；浏览器、Shell、数据库分别发放独立租约，避免一个恶意文档诱导 Agent 横向访问其他系统。

真正的生产红线非常清晰：Agent 可以生成生产变更提案，但不默认持有生产写权限。数据库迁移、权限系统、密钥、计费和基础设施变更必须进入现有人工审批与发布系统。自动化可以缩短证据准备时间，却不能把职责分离和双人复核视为"低效步骤"删除。

租约撤销要贯穿正在运行的工具。策略服务不能只把数据库中的令牌标记为失效，还要向执行节点发布撤销事件；Shell 在下一条命令前校验，文件代理在每次写入前校验，长时间测试则定期发送心跳。超过心跳窗口的任务被终止并冻结工作区，等待审计。否则一个已经取得权限的长进程，可以在管理员点击撤销后继续运行数十分钟。

沙箱输出也属于攻击面。测试程序可能伪造"全部通过"的日志、输出终端控制字符或生成指向宿主路径的工件。执行器应依据真实退出码和结构化测试报告判断结果，日志仅作为证据附件；归档前移除控制字符，解压前检查文件数量、总大小和路径，拒绝绝对路径及父目录跳转。不能让模型通过精心构造的输出欺骗人类审查界面。

六、 创源AIGC 的新角色：把推理请求转换为可审计的模型收据

在 ChangeSet 架构中，创源AIGC不是最终审批者，而是推理供应链的证据入口。它接收来自 VSCode、Git Hook 或编排器的标准请求，根据能力与数据策略选择模型，同时返回一份"模型收据"：本次请求使用哪个内部路由、应用哪版策略、输入摘要是什么、响应是否完整、消耗多少 Token、是否发生重试。上游供应商的差异被适配器吸收，下游准入系统只处理稳定字段。

客户端不应直接使用供应商模型 ID，而使用 changeset-planner、patch-generator、security-reviewer 等任务别名。别名映射可以随 DeepSeek 调价、渠道限流或模型生命周期变化调整，但每次映射都必须版本化。相同 ChangeSet 在事故回放时，可以准确知道当时使用了哪一版策略，而不是只看到一个后来已经改变含义的名字。

下面是第六章唯一的接入配置示例。API Key 从环境注入，示例关闭 SDK 自动重试，让创源AIGC统一计算任务级重试预算。

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://178.nz/yinc/v1",
    api_key=os.environ["AIGC_API_KEY"],
    timeout=40.0,
    max_retries=0,
)

result = client.chat.completions.create(
    model="changeset-planner",
    messages=[
        {"role": "system", "content": "输出符合 ChangeSet Schema 的 JSON，不得声明未执行的测试"},
        {"role": "user", "content": "为过期令牌修复生成范围受限的变更计划"}
    ],
    temperature=0,
)
print(result.choices[0].message.content)

模型收据不应保存完整敏感 Prompt。更合理的字段是租户、Trace ID、输入哈希、数据等级、ContextPack 清单哈希、路由别名、策略版本、上游请求 ID、完成状态和 Usage。原始内容根据合规策略短期加密保存或完全不落盘。日志中的 API Key 只保留不可逆指纹，任何异常堆栈都不得打印 Authorization。

协议适配必须拒绝静默降级。例如某渠道不支持严格 JSON Schema，适配器不能删除 strict 后假装成功；某多模态接口要求 input_image，也不能把错误的内容类型原样透传直到模型端返回含糊 400。能力目录应在请求前判断，不满足就返回结构化 capability_mismatch，由任务编排器选择另一条已验证路径。

推理网关还需要区分"请求成功"和"证据可用"。HTTP 200 但 JSON 解析失败、SSE 缺少结束事件、工具参数不合法或 Usage 缺失，都不能签发完整收据。状态至少分为 accepted、started、partial、completed、rejected 和 unknown。只有 completed 且响应通过 Schema 校验，结果才能进入 ChangeSet；partial 与 unknown 默认需要人工确认，不能自动换模型拼接输出。

数据面可以由 FastAPI 等异步框架实现，但接口代码只是最外层。接入后先验证租户与任务令牌，再从能力目录获取候选路由，最后把请求和策略版本一并写入追加式事件流。响应结束时由单独消费者计算收据，避免日志系统变慢直接阻塞 Token 流。控制面与数据面分别扩缩容，策略读取使用带版本缓存，缓存失效时宁可明确拒绝高风险任务，也不能回退到"允许全部"的默认值。

Failover 也必须产生证据。只有在首个有效 Token 之前发生连接失败、超时、可重试 429 或 5xx 时，路由器才可以消耗下一次尝试预算；一旦输出开始，自动切换可能生成相互矛盾的半段代码。模型收据记录每次尝试的渠道、状态、时间和选择理由，最终成本包含全部尝试。客户端、API Gateway 和任务队列只能有一个重试所有者，避免三层重试把一次任务放大成多次计费调用。

创源AIGC在这一体系中的可验证价值，是让每个模型动作拥有稳定身份和证据：业务不再追踪散落在开发者电脑里的多个密钥，不再依靠供应商特有错误体判断重试，也不因路由调整丢失历史语义。平台负责证明"模型调用发生了什么"，代码仓库和 CI 负责证明"这些输出是否值得合并"。

七、 重估 One-API 与 LiteLLM：开源网关真正缺的不是模型数量，而是证据闭环

One-API、LiteLLM 等开源项目擅长解决接入广度：统一模型调用、密钥管理、基础限流、渠道切换和日志聚合。对原型、小型团队或非敏感任务，它们能显著降低多供应商接入成本。但在 AI 软件供应链中，模型数量只是起点，团队还要回答一次推理如何绑定 ChangeSet、策略怎样版本化、测试证明由谁签发、部分流如何进入账本。

这并不意味着开源项目"不企业级"，而是边界不同。网关可以继续负责 OpenAI Compatible Protocol 与渠道适配，证据服务负责模型收据，策略引擎负责数据分级，CI 负责构建证明。不要为了"一套系统解决全部问题"把代码托管、密钥、审计、队列和账本全部塞进同一个数据库；任何一次升级都会扩大故障半径。

能力维度	轻量开源网关	ChangeSet 证据架构需要补充的部分
多模型协议	通常具备	能力快照、严格拒绝与适配回归
渠道切换	通常具备	任务级重试预算与部分流状态机
租户限流	视部署而定	与项目预算、变更风险绑定
日志与 Usage	通常有基础支持	输入摘要、策略版本、证明签名
安全治理	依赖自建配置	数据分级、短期租约、职责分离
发布准入	不属于核心职责	ChangeSet、测试证明与回滚证据

自建的第一个隐形成本是升级。供应商字段、流式事件、错误码和模型名称持续变化，适配器必须有录制样本与契约测试。第二个成本是 Redis 和数据库治理：限流计数可以接受短暂近似，幂等键、收据和扣费账本却不能因主从切换丢失。第三个成本是夜间故障：429、DNS 抖动和 SSE 断流如果没有统一重试所有者，客户端、网关和队列会同时重试，形成放大风暴。

DeepSeek 调价或任一模型价格变化时，错误反应是直接把全量流量切给最便宜渠道。正确过程是先在固定 ChangeSet 样本上回放，比较首次准入通过率、平均修复轮次、有效补丁成本和 P95 完成时间。单 Token 更便宜的模型如果需要三轮修复，可能比一次通过的模型更贵；反之，简单任务使用高价长上下文模型也会浪费预算。

评测还应包含故障注入。人为制造 Redis 延迟、数据库只读、渠道 429、SSE 中途断开和能力目录过期，检查系统是明确拒绝、排队还是错误放行。一个网关在正常压测中吞吐很高，却在策略服务不可用时默认绕过数据分级，就不具备软件供应链资格。高可用的目标不是永远返回 200，而是在依赖异常时维持安全不变量，并给出可操作的 Trace 与恢复状态。

运维团队还要计算"证据债务"：缺少上游请求 ID 的调用数、长时间处于 unknown 的收据数、账单无法匹配的 Token、未完成回放的策略版本。证据债务持续累积，说明系统虽然能调用模型，却无法对结果负责。它应像错误预算一样设阈值，超过阈值就冻结路由扩容和自动合并，先恢复可追溯性。

合理的开源策略是模块化而不是站队。保留内部任务别名、ContextPack、ChangeSet 和模型收据标准，底层可以使用 One-API、LiteLLM、自研适配器或其他实现。每次替换通过相同契约测试，不让业务仓库感知供应商字段。开源项目带来自主性，但自主性的真实含义是团队愿意承担升级、安全、值班和数据治理责任。

八、 用策略即代码守住主干：从 CI 验证、供应链签名到灰度回放

ChangeSet 最终要由 CI/CD 执行，准入规则不能只写在文档里。策略即代码将"哪些 AI 变更可以自动合并"变成可测试规则：补丁必须基于最新主干，文件数量不超过预算，禁止路径没有变化，测试证明来自可信执行器，依赖增量经过许可扫描，中高风险任务存在人工审批。

下面是一段简化的 Rego 策略，展示规则思路。生产环境应为不同仓库和风险等级拆分策略包，并为每条拒绝生成稳定规则 ID。

package change.admission

default allow := false

allow if {
  input.attestation.verified == true
  input.patch.base_commit == input.repository.head_commit
  input.patch.file_count <= input.contract.max_files
  count(input.patch.forbidden_files) == 0
  required_checks_passed
  approval_satisfied
}

required_checks_passed if {
  every check in input.contract.required_checks {
    input.results[check].status == "passed"
  }
}

approval_satisfied if {
  input.risk == "low"
}

approval_satisfied if {
  input.risk != "low"
  input.approval.verified == true
}

CI 使用干净、固定版本的构建镜像重放补丁。先校验补丁哈希和基线，再安装锁定依赖，运行语法、单元、集成、许可证、SBOM 与密钥扫描。模型生成的测试只能算候选证据：关键验收还应有独立维护的契约测试或性质测试，防止 Agent 同时修改代码和测试，把错误行为改成"测试通过"。

供应链证明由 CI 身份签名，而不是使用开发者电脑中的长期私钥。证明内容包括仓库、提交、构建镜像摘要、ChangeSet 哈希、测试报告哈希、策略版本和时间戳。部署系统只接受可信身份签发且未过期的证明。模型收据证明推理发生过，构建证明说明补丁经过验证，两者职责不能混合。

发布采用影子、金丝雀和分阶段扩大。低风险服务先在影子环境回放真实请求，比较输出但不影响用户；通过后进入 1% 流量，观察错误率、P95、资源和业务指标；任何阈值超限都暂停，不让 Agent 自行解释告警并继续扩大。回滚动作预先写入 ChangeSet，确保执行器知道恢复哪个版本、撤销哪些配置。

策略变更本身也要走同样流程。新增一条自动合并规则前，先回放最近三个月的历史 ChangeSet，计算它会放行和拒绝哪些变更，检查误放与误拒。策略发布后保存版本，事故时能够用旧输入重现当时决定。没有回放，所谓"AI 治理"就会退化为一组不断修改却无法证明效果的开关。

灰度结果必须与变更目标对应。一个修复缓存一致性的补丁，不能只看 CPU 和 HTTP 错误率，还要监控旧值命中、数据延迟和回源比例；一个鉴权变更则要观察拒绝分布、令牌刷新和异常登录。ChangeSet 在编译阶段就应声明业务指标与停止阈值，部署系统据此自动收集，但是否扩大流量由发布策略决定，不能让生成代码的 Agent同时定义成功标准。

回滚同样需要验证。系统先确认旧工件、配置和数据库兼容路径仍然存在，再执行撤流量、恢复版本和验证健康三步。对于不可逆迁移，ChangeSet 必须采用向前修复或双写切换方案，不能虚构一个无法执行的 rollback 命令。每季度抽取高风险变更做恢复演练，记录恢复时间和证据完整率，才能知道纸面方案是否可用。

团队可以用以下指标衡量闭环：ChangeSet 首次准入率、平均修复轮次、人工审查分钟数、策略误拒率、变更失败率、平均恢复时间，以及每个合格变更的 Token 成本。指标按语言、仓库、风险和任务类型分层，不能用文档修改的高成功率掩盖鉴权模块的低可靠性。只有交付速度与故障率同时改善，AI 才真正提高了 IT 研发效能。

九、 组织结论：未来不是"Agent 替代开发者"，而是机器提案与人类责任重新分工

AI 原生研发不会因为模型更强就自动变得安全。模型生成速度持续提高后，组织竞争力取决于是否建立了一套高吞吐的验证系统：PRD 能否编译为明确契约，VSCode 能否只提供必要上下文，Git Hook 能否绑定证据，Agent 写权限能否按任务租约发放，CI/CD 能否用策略即代码稳定准入。

在这套分工中，codex、DeepSeek 和其他模型负责提出候选方案；创源AIGC与 API Gateway 负责归一化推理、能力选择和模型收据；Agent安全沙箱负责限制执行；代码所有者与发布系统承担最终责任。任何模型都可以升级或替换，但 ChangeSet、证明、审批和回滚协议不随供应商变化。

真正值得追求的不是"一人公司"式口号，也不是让 Agent 获得无限生产写权限，而是让一个小团队能够安全评估更多方案、减少重复操作，并对每次自动变更给出可复核答案。当 AI 输出从一段不可追踪的文本，升级为带范围、测试、策略、签名和撤销路径的工程对象，AIGC 才从效率插件转变为可靠的软件供应链能力。