WDahah/portable-dsh-multi-agent-plugin

多智能体：可移植的 DSH/Cordis 编排插件

CI
Release
License: MIT
Node.js
Dependencies

路由任务、运行有作用域的智能体、收集并行发现结果，并记录结构化评审——带有明确的限制和持久的历史记录。

添加第二个智能体很容易。难的是知道哪个智能体做了什么、用了哪个工具、依据哪条策略，以及它何时必须停止。多智能体为你的 DSH 运行框架提供这一协调层，以十五个原生工具的形式呈现，无需安装任何依赖。v1.14 还新增了一个可选的治理门：一条从计划到已评审候选方案的六阶段、需人工授权的路径。

- 一个可问责的监督者。 工作智能体获得有作用域的提示词和工具允许列表，且无法进一步委派。
- 派发前先有证据。 只有在你自己会话中通过一次全新的实时资格验证后，某条路由才会被使用。
- 明确的停止点。 轮次上限、评审周期上限、截止时间和作者尝试预算是事先固定的。
- 可追溯的记录。 每次分配都保留其路由、模型、提示词、输出和失败状态。

这是一个面向兼容的 DeepSeek Harness (DSH)/Cordis 宿主的原生插件，而非独立框架或托管服务。它从全新的会话级冒烟证据中选择路由，运行有界的工作，并记录提示词、结果、模型身份和失败状态。评审者声明工作是否通过；插件遵循该声明，而非自己对答案的判断。

多智能体不会自动节省 token。 在27 次试验的基准测试中，并行工作智能体加上集成消耗的 token 比单个智能体多 92.2%。它们比同样的工作智能体顺序运行快 23.5%，但比单个智能体慢。请将委派用于有用的工作分离——而非假定它能节省 token。

目录

- 为什么需要控制平面
- 功能特性
- 新增：治理门
- 强制条件
- 它能节省 token 吗？
- 无需宿主即可试用
- 要求与安装
- 首批任务
- 十五个工具
- 路由与资格验证
- 限制与安全
- 验证与开发
- 文档

为什么需要控制平面
Rod Trent 的 多智能体系统与编排：真正的难题是协调 认为，编排是架构，而不是提示词。它列出了协调层必须有意识地规定的七件事。本插件对每一项的回答如下：

| 要求 | 多智能体如何处理 |
|---|---|
| 端点与契约 | 每次调用都携带一个类型化的 task 对象、一个显式提示词和一个工具允许列表。拒绝会返回一个具名原因，例如 MISSING_EXACT_QUALIFICATION。 |
| 拓扑 | 星形结构：父级负责监督，子级的委派深度为一。没有对等网状结构，因此每个决策都可以通过父级追溯。 |
| 权限 | 审查者声明裁决；插件记录这些裁决，而不评判工作本身。在治理门中，只有人类可以授权计划，模型输出不能。 |
| 状态 | 按所有者持久化的日志，用于记录分配、批次、资格和直接任务，无需调用模型即可读取。聊天历史不是记录系统。 |
| 聚合 | 显式而非隐藏：批次按请求顺序返回发现结果，你需要自行添加集成步骤并计算其成本。 |
| 终止 | max_rounds、最多三轮审查/修订循环、每次调用的截止时间、24 小时资格过期时间，以及治理门中的三次作者尝试。 |
| 失败策略 | 不确定的工作绝不会自动重放。故障转移是可选的，且仅适用于派发前的拒绝。needs-clarification 和相互矛盾的裁决会停止循环并交还给你。 |

文章中的实用建议也已内置：让工作者保持狭窄，优先使用确定性脚手架（门中的固定阶段顺序），记录每一次交接，并在需要判断的环节保留人类。

功能

| 功能 | 作用 | 重要限制 |
|---|---|---|
| 基于任务的路由 | 使用角色、风险、复杂度、数据类别和请求的能力来选择合格路由；报告选择依据 | 确定性策略，不是质量预测器或最低价格优化器 |
| 实时资格验证 | 针对一个确切的提供商/模型/投入级别探测文本和原生工具往返；可选的图像/结构化输出探测和操作员证明 | 有界冒烟测试并不能证明在你的任务上具备能力 |
| 作用域委派 | 使用显式提示词和工具允许列表运行原生子级；按轮次记录其模型和输出 | 提示词作用域不是路径级沙箱强制执行 |
| 只读并行批次 | 接受 2–8 个独立任务，最多运行两个工作者，并按请求顺序收集有界发现结果 | 调用方提供作用域；没有自动分解、依赖图、综合或语义验证 |
| 提供商多样化审查 | 优先选择来自其他提供商的审查者，并记录该偏好是否得到满足，包括在故障转移之后 | 不同的提供商并不能证明推理独立或正确 |
| 有界审查/修订循环 | 遵循结构化裁决，最多进行三个周期；在澄清、不连贯、输出不可读或达到上限时停止 | VERIFIED 是审查者的声明，而非独立的测试结果 |
| 持久记录 | 存储分配、批次、资格和直接任务状态；支持读取/列出/删除，无需模型调度 | 明文本地状态；单进程协调，而非分布式锁定 |
| 保守式继续 | 可以为符合条件的只读工作继续干净的令牌限制停止；不会自动重复具备写入能力的工作 | 继续会创建另一个子任务并消耗更多令牌；不确定的工作不会被重放 |
| 可选启用的分发与故障转移 | 确定性地轮换符合条件的路由；在只读工作发生可识别的调度前拒绝后，可以尝试备用路由 | 不是实时负载均衡、提供商配额调度或一般性错误重试 |
| 独立核算信号 | 直接任务暴露可用的每轮用量和缺失用量计数；原生分配暴露承诺、返回的子任务和时序 | 原生子任务结果不会向此插件暴露累计令牌用量 |

v1.14.0 中的并行批次

批次工作进程与普通委托和压缩共享两个原生执行槽位。剩余的批次工作可以在最多八个待处理预留的内部 FIFO 队列中等待。普通 delegate/compact 调用在忙碌时会拒绝；每个所有者最多只能有一个活动批次。

工作进程仅使用 read、glob 和 grep，每个执行一个委托轮次。它们返回简短摘要、最多五条带证据的发现，以及最多三个不确定点。一个委托轮次可能包含多个模型/工具步骤。批次工作进程没有自动继续、故障转移或压缩。批次不包含集成调用；如果你需要合并答案，请显式添加一个，并计入其成本。

即使取消后，槽位也会一直占用，直到子任务结果和处置完成。已保存的批次 ID 无法重放；未完成的已恢复批次会报告 INTERRUPTED_UNKNOWN。完整批次行为和限制 →

原生 orchestrator_delegate 和 orchestrator_iterate 调用现在最多可运行 2,500,000 毫秒（约 42 分钟），高于之前的 15 分钟，因此更长的审查可以完成。这是上限，而非典型时长：短委托通常几秒内返回。

新增：治理门禁

治理门禁是一个独立的、可选启用的入口，适用于需要在每一步由人签字确认的工作。它将一个已配置的任务转变为固定的六阶段序列，每个阶段都必须由人请求：

open → plan-review → human authorization → author → seal → validate → review
- 聊天框中的手动命令。 在专用主机中，操作员直接在 DSH Web GUI 中输入 /gov-status、/gov-open、/gov-stage、/gov-authorize 以及其他命令。输入框会显示每个命令参数的提示。模型输出、复制的文本或嵌套的模型调用都无法授权任何操作。
- 独立检查。 计划在任何作者运行之前都会经过审查。作者的候选成果会被逐字节封存，然后用固定的可信测试进行验证，并单独接受审查。
- 硬性尝试预算。 总共三次作者尝试：第一次加上两次修正。任何操作都不会退还尝试次数，包括暂停、重启或新建工作区。
- 同一所有者的暂停与恢复。 /gov-pause 返回一次性检查点；/gov-resume  author 会恰好消费它一次。
- 有界、只读的诊断。 /gov-read 分页显示状态、历史、证据和产物，每次回复不超过 16 KiB。它不是文件读取器。
- 资格认证与离线验收。 在一次性资格认证主机中，/gov-accept、/gov-qualify 和 /gov-export 会生成回执。每份回执都带有 qualificationOnly:true、operationallyAccepted:false 和 gateActive:false。

示例：从计划到导出的一个作业

在接收方会话中手动输入的演练过程。每一行都作为单独的消息发送，此处的摘要已缩短。请从上一步的回复中复制真实值；每个回复都会指明下一步允许的操作。

| 你输入 | 会发生什么 | 回复中的关键字段 |
|---|---|---|
| /gov-status | 在一切开始之前读取作业 | gateActive:false |
| /gov-open   | 打开唯一配置的项目和计划 | headAuthenticity:"live-verified" |
| /gov-stage plan-review | 独立审查者检查计划 | phase:"AWAITING_HUMAN"、resultId |
| /gov-authorize   authorize | 你批准这个确切的计划 | 计划审查结果成为人工决定 |
| /gov-stage author | 作者编写候选成果（使用 3 次尝试中的 1 次） | phase:"AUTHORING" |
| /gov-stage seal | 候选成果的确切字节被冻结 | candidateDigest:"1422…" |
| /gov-stage validate | 固定的可信测试针对封存字节运行 | outcome:"completed-pass" |
| /gov-stage review | 单独的审查者评判候选成果 | phase:"DIAGNOSTIC_READY" |
| /gov-accept   | 记录一次离线验收，不进行激活 | acceptanceRecorded:true |
| /gov-qualify   | 重新检查所有内容并签发回执 | qualificationReceiptDigest:"4cce…" |
| /gov-export   | 将候选成果复制一次到固定目的地 | deliveryPhase:"completed" |
| /gov-export …（再次输入同一行） | 重放被拒绝 | reason:"DELIVERY_NOT_AUTHORIZED" |
| /gov-stop | 撤销准入并关闭所有者 | — |
接受和确认各自都会添加一个事件，因此在下一步之前，先用 /gov-status 读取当前的 headDigest。每一步都可以用命名的 reason 拒绝，任何操作都不会自行推进。导出文件夹随后恰好包含 payload/、descriptor.json、qualification-receipt.json 和 complete.json。你正在其中工作的仓库永远不会被修改。

两个常见错误：
- 在新会话中发送命令。 请在接收方会话中键入命令，而不是在 New Session 中。在其他任何地方，它们都会被以 M4_HUMAN_RECEIVER 拒绝。
- 在一条消息中发送多条命令。 每条消息只发送一条命令；多条命令粘贴在一起会被视为单条聊天消息。

它不是什么：它不会在你的日常 harness 中自行激活，不会将候选应用到你的检出，也不会在冷重启后存活。进程丢失后，存储变为只读并标记为 RECONCILIATION_REQUIRED。在原生 Web GUI 中手动键入的演练已在一次性资格主机中执行过；那是资格证据，而非操作验收。

完整治理指南：设置、命令、诊断、暂停/恢复和限制 →

强制条件

委托给代理的每项变更都按顺序遵循以下六个阶段。任何阶段都不得跳过，且作者永远不批准自己的工作。

| 阶段 | 必需输出 |
|---|---|
| 1. 评估 | 确定实际故障、受影响的路径、现有行为和证据。将已确认的缺陷与未知项分开。 |
| 2. 计划 | 准确说明必须更改哪些文件和行为、修复将如何工作、哪些必须保持不变、风险、测试、验收标准和恢复步骤。 |
| 3. 审查计划 | 独立审查者检查正确性、范围、安全性，以及所提议的测试能否确立预期结果。在实施前解决阻塞性问题。 |
| 4. 实施 | 仅在指定的文件范围内委托已审查的变更。不得进行机会性修复或扩大任务范围。 |
| 5. 验证和审查 | 独立验证者执行所需的测试；单独的审查者检查确切的最终变更。作者不能批准自己的工作。 |
| 6. 接受或停止 | 仅接受经过确切验证的候选。针对同一验收标准最多允许两个纠正周期；否则停止实施并重新评估。绝不要为了获得通过而削弱测试。 |

治理门如何强制执行它们

治理门将阶段 2–6 转变为受检查的步骤。阶段 1 仍由你负责：治理门从计划开始，无法判断你的评估是否正确。

| 阶段 | 治理门检查什么 | 出现问题时拒绝 |
|---|---|---|
| 2. 计划 | 计划必须列出要更改的文件及其预期哈希、非目标、受保护的测试、验收标准和确切的测试命令。未知或缺失的字段会被拒绝。 | 计划验证错误 |
| 3. 审查计划 | /gov-stage plan-review 会运行一个审查者，该审查者不是规划者，并使用不同的提供商。在你用 /gov-authorize 批准之前，不会写入任何内容。 | INDEPENDENCE_REQUIRED |
| 4. 实现 | 作者只能在一个一次性副本中工作，且受保护的测试文件不能属于它更改的文件。验收会重新检查计划之外没有任何内容被更改，导出会拒绝任何不在准入集合中的文件。 | PROTECTED_PATH、DELIVERY_EXTRA_FILE |
| 5. 验证与审查 | 候选产物的字节会先被密封。验证器对这些密封字节运行哈希固定的测试，并由一个单独的审查者进行评判。二者都不得是规划者或作者，验证器和审查者必须是不同的代理，且审查者必须使用与作者不同的提供商。 | INDEPENDENCE_REQUIRED |
| 6. 接受或停止 | /gov-accept 和 /gov-qualify 绑定到单个候选摘要。更正限制固定为 2（总共 3 次作者尝试）；此后任务进入 REASSESS_REQUIRED。测试文件通过哈希固定，因此无法被削弱。 | INVALID_BUDGET、REASSESS_REQUIRED |

即使没有该门禁，这些阶段仍然是使用编排器工具的规则：先规划，然后使用 review 角色调用 orchestrator_delegate 来审查计划，再进行一次有范围的实现委派，然后分别进行验证和审查委派。

运行要求

安装前请检查这些要求。如果有一项不满足，工具要么不会出现，要么会拒绝工作。

对于编排器（所有用户）：

1. Node.js 22 或更高版本以及 Git。
2. 一个正在运行且兼容的 DSH/Cordis 宿主，它提供原生工具、LLM 流式传输和子代理。此插件无法独立运行。
3. 宿主自有的 dsh-tools/lib/index.js，以绝对路径传递给 setup。不要从其他安装中复制该模块。
4. 已在宿主中完成身份验证的提供商账户。 不捆绑任何凭据。
5. 显式启用并重启宿主。 该插件默认禁用。将生成的补丁添加到你的用户自有配置文件中，设置 enabled: true，然后重启 DSH。切勿编辑随附的预设。
6. 在派发工作的同一根会话中完成资格认证。 资格认证会在 24 小时后过期，且不会在会话或机器之间转移。

对于治理门禁（额外要求）：

1. Windows x64 与 Node 26.9.0。 这是唯一受保护的执行通道。
2. 一个专用的、一次性的宿主。 切勿使用你的日常配置文件。Setup 会生成一个惰性候选产物，且绝不会为你挂载它。
3. 一份经过审查的配置，包含精确固定项：bundle 和安装哈希、Node/Git/宿主文件、阶段路由、固定接收者 ID，以及六个不同的规范根。
4. 受限的会话策略。 danger-full-access、缺失服务或固定项变更都会阻止阶段准入。
5. 键盘前的人类。 命令必须来自已注册的接收方会话。通过点击侧边栏中的该会话打开它，而不是点击 New Session。一个没有任何轮次的全新会话会显示 Web 落地页，而不是命令回复。

它能节省 token 吗？

在下方所测量的工作负载中，不能。 将文件内容保留在子会话中可以减少主对话的上下文，但这些子会话仍然会消耗 token。重复的指令、独立的上下文、审查和集成，其成本可能高于由一个 agent 完成工作。

该基准测试使用了三个有界的仓库检查工作负载、三次重复，并且所有方法都使用相同的 Codex gpt-5.6-luna 模型、中等推理强度。两种多 agent 方法都包含一次最终集成调用。

| 方法 | 接受数 | 每次试验的平均 token 数 | 每个被接受结果的 token 数¹ | 平均耗时 |
|---|---:|---:|---:|---:|
| 单 agent | 6/9 | 17,729 | 26,594 | 18.0 s |
| 顺序 worker + 集成 | 9/9 | 34,404 | 34,404 | 38.2 s |
| 并行 worker + 集成 | 8/9 | 34,076 | 38,335 | 29.2 s |

¹ 所有消耗的 token，包括失败的答案，除以被接受的结果数。这不是对重试成本的估计。

- 使用随发布插件计费接口之外的临时主机遥测，捕获了跨 63 个原生子会话的 108/108 次观察到的模型调用的使用量。
- 与单 agent 执行相比，并行方法每个被接受结果多消耗了 44.2% 的 token，而与顺序 worker 相比，总 token 差异仅为 1.0%。
- 三个单 agent 答案遗漏了一半的问题。一个并行答案在事实上是正确的，但返回了五项发现，而不是所要求的三项。所有成本仍然计入。
- 设置、资格验证、试点、外层对话和外部验收评分均被排除在外。这些是有界任务执行的总量，并非整个实验的 token 账单。美元成本未知。
- 评分并非盲评，缓存/提供商负载未受控制，并且每个工作负载只有三次重复。该基准测试使用的是审查修复前的 v1.14.0 工作快照，而不是旧版/新版发布的 A/B 测试；它尚未在最终修复上重新运行。

建议： 对于小型检查，默认使用一个 agent。当独立范围或相对于顺序专家的延迟能够证明其开销合理时，选择并行专家。这些测量结果并不能确立一个普遍的节省 token 的主张，也不能预测更大的任务。

方法、总量和局限性 · 全部 27 次试验测量（CSV）

无需主机即可试用

安装 Node.js 22 或更高版本以及 Git 后：
sh
git clone https://github.com/WDahah/portable-dsh-multi-agent-plugin
cd portable-dsh-multi-agent-plugin
node demo.mjs
该演示使用合成的资格证据运行项目真实的路线选择与判定解析逻辑。它不进行任何提供商调用，也不证明任何路线可用或任何答案正确。它演示了选择、拒绝、过期、提供商多样性偏好以及已声明判定的处理。

你可以运行单个场景：node demo.mjs routing。其他场景有 refusal、expiry、diversity、verdicts、objective 和 aliases。

要求与安装

对于实际工作，你需要：

- Node.js 22+ 以及一个正在运行的兼容 DSH/Cordis 主机。
- 用于原生工具、LLM 准备/流式传输和子代理的主机 API。
- 目标主机实际的 dsh-tools/lib/index.js 模块。
- 通过主机支持的机制进行身份验证的提供商适配器和账户。

此包使用 Node 内置模块，没有包依赖；此处不需要 npm install。这并不能免除主机要求。集成是针对 dsh-tools 0.1.5-rc.2 和 Cordis ^4.0.2 开发的，并非适用于所有主机版本。

1. 遵循 START-HERE.md，或使用 INSTALL-WITH-AI.md 中的限定提示。
2. 验证提供的清单并运行离线测试。
3. 使用你实际的主机模块路径生成并检查本地入口和候选主机补丁。
4. 使用其支持的重新加载流程，备份并更新活动的用户拥有的主机组合。切勿编辑随附的预设，也不要静默添加冲突的 orchestrator_* 注册。
5. 验证全部十五个工具均可见，然后在将派发工作的同一根会话中限定所需路线。

核心命令，从包根目录运行：
sh
node scripts/manifest.mjs --check
node scripts/setup.mjs --harness-root  --state-root
node scripts/doctor.mjs

然后从 .local/host-patch.yml 复制 insert 条目到你的配置文件的 cordis.patch.yml 中，设置 enabled: true，并重启 DSH。

Setup 会生成 .local/entry.mjs 和 .local/host-patch.yml；它不会安装 DSH、激活插件或验证账户身份。Doctor 会离线检查本地集成。该插件默认处于禁用状态，直到在主机配置中被有意启用。

完整性清单会检测所列文件的缺失或更改；它不是真实性签名，验证器也不会拒绝未列出的额外文件。哈希不匹配可能意味着文件已更改、损坏或行尾转换。请调查它；不要为了掩盖意外的哈希不匹配而重新生成清单，也不要对宝贵的本地工作运行破坏性重置。

首要任务

委托一次只读检查

在激活和资格验证之后，使用如下参数调用 orchestrator_delegate：
json
{
"task": {
"role": "standard",
"intent": "explain the auth flow",
"category": "code-inspection",
"risk": "low",
"complexity": "routine",
"escalate": false,
"dataClass": "internal"
},
"run_id": "auth-inspect-001",
"prompt": "仅检查 src/auth。用 file:line 证据解释认证流程。不要编辑文件、运行命令或访问网络。",
"allowed_tools": ["read", "glob", "grep"],
"max_rounds": 1,
"max_tokens": 16384
}

这些是宿主工具参数，不是 shell 命令。请将路径替换为你项目中的真实范围。使用 orchestrator_delegate_read({"run_id":"auth-inspect-001"}) 读取已保存的输出。经明确授权的实现任务可以添加 write/edit；它们在达到 token 限制后不会自动获得新的子任务延续。

检查两个独立范围

使用共享简报和独立划定范围的任务调用 orchestrator_batch：
json
{
"batch_id": "inspect-001",
"brief": "只读检查。报告有界发现，附 file:line 证据，不要编辑。",
"tasks": [
{
"id": "dispatch",
"scope": "src/agent-dispatch.mjs",
"prompt": "仅检查准入和取消行为。",
"task": {"role":"standard","category":"code-inspection","risk":"low","complexity":"routine","escalate":false}
},
{
"id": "routing",
"scope": "src/routes.mjs",
"prompt": "仅检查路由选择和证据校验。",
"task": {"role":"standard","category":"code-inspection","risk":"low","complexity":"routine","escalate":false}
}
]
}

orchestrator_batch_read({"batch_id":"inspect-001"}) 返回摘要；添加 "details":true 可获取发现详情。COMPLETED 表示工作器已完成并声明完成——并不表示其发现已经过验证。参数限制与恢复 →

十五个工具

| 工具 | 用途 |
|---|---|
| orchestrator_inventory | 已配置的路由和已记录的证据；不调用提供商 |
| orchestrator_qualify | 精确的路由/投入冒烟测试，可选能力探测和操作员证明 |
| orchestrator_qualification_echo | 内部活动挑战辅助工具 |
| orchestrator_capacity | 已记录的路由资格和建议的重新鉴定；不是实时提供商容量 |
| orchestrator_delegate | 选择合格路由并运行划定范围的原生子任务 |
| orchestrator_delegate_read | 读取已保存的分配输出，无需调度 |
| orchestrator_batch | 使用两个工作器从 2–8 个只读任务收集有界发现 |
| orchestrator_batch_read | 读取已保存的批次摘要或详细发现 |
| orchestrator_iterate | 由声明的裁决驱动的有界审查/修订循环 |
| orchestrator_plan | 选择并持久化直接模型任务 |
| orchestrator_run | 执行已计划的直接任务，并具备合格的有界延续 |
| orchestrator_read | 读取直接任务输出和可用的核算信息 |
| orchestrator_resume | 仅恢复引擎批准的安全状态，绝不恢复不确定的工作 |
| orchestrator_list | 列出分配、批次、直接任务或资格证据 |
| orchestrator_forget | 永久删除符合条件的已保存记录；适用进行中/引用检查 |

完整工具参考 →

路由与资格认定

角色包括 standard、deep、review、vision 和 domain。自由文本 intent 描述任务，但不改变路由。普通工作默认使用 balanced。高级角色或关键风险可单独作为 advanced 的充分理由；否则升级需要佐证依据。escalate:true 请求 long-horizon。显式指定的 pool 会覆盖默认策略；不会仅因任务看起来简单就自动选择 economy。

内置路由 是特定部署的候选方案，并非通用可用性承诺：

| 池 | 候选优先级 |
|---|---|
| economy | Luna、DeepSeek V4 Flash |
| balanced | Terra、Sonnet、DeepSeek V4.1 Flash 标签 |
| advanced | Sol、Opus、K3 |
| long-horizon | Fable、Astra、K3 |
| vision | DeepSeek V4 vision、显式池选择 |

模型标签/标识符是源中配置的标签/标识符，而非固定模型版本。你的主机必须公开确切的提供商/模型/effort，并通过最新资格认定。路由映射可能需要在另一台主机上进行经审查的变更。不捆绑任何凭据或可转移的资格认定。

资格认定按所有者/根会话范围限定，并在 24 小时后过期。文本/工具探测建立基本可达性；图像和结构化输出探测覆盖这些特定能力。领域能力和更广泛的数据类别权限需要具名操作员证明。证明记录的是决定——它并不证明专业能力或提供商数据处理方式。

优先级顺序是默认设置。spread:true 是确定性轮换，而非实时负载均衡或保证均匀分配；审查者-提供商偏好优先。failover:true 为可选启用，且仅限于只读分配中无输出的已识别派发前拒绝。先前资格认定绝不保证后续调用成功。

限制与安全

- 不自动保证正确性。 结构化输出验证字段，而非真值。审查者声明 verified、partial、failed 或 needs-clarification。相互矛盾的裁决会停止循环；它们不会被静默解决。
- 不保证节省 token 或硬性支出上限。 在有定价可用时，直接任务报告 $1 的软性估算目标；原生/订阅的货币成本可能未知。请求的 token 限制和截止时间不是财务上限。
- 插件中没有完整的原生使用台账。 原生分配/批次将使用量报告为未知；子承诺和返回的子项计数不是模型调用计数。直接任务会公开可用使用量和缺失轮次。已发布的基准测试使用了单独的临时遥测。
- 宿主策略仍然适用。 工具允许列表会限制暴露的工具，但提示作用域并不是独立的文件系统安全边界。此插件不会绕过沙箱或审批控制。
- 不会自动重放不确定的工作。 在干净的令牌限制之后，只读继续是有界的；具备写入能力的部分工作需要进行协调。保存的文本仍可能不完整或格式不正确。
- 小型、所有者本地并发。 每个所有者最多运行两个资格验证和两个原生委托/压缩分配。批处理工作进程共享原生槽位，并可能在内部排队；普通的忙碌调用会被拒绝。直接模型任务和资格验证不共享原生准入池。这不是提供商范围的配额控制器。

- No peer-agent protocol or shared-write coordination. Children have delegation depth one; the plugin passes recorded results through the parent. Batches are read-only and cannot prove caller-supplied scopes are independent.
- Local durability has limits. Journals coordinate one process, not several processes or machines. A batch-journal failure aborts siblings; an isolated assignment-journal failure leaves that task incomplete while others may continue. Review uncertain records before replacement work.
- Plaintext retention. Prompts and visible outputs stay in the state directory until removed. Keep it private and use a fresh state directory on another installation. Deletion is permanent; it does not undo external side effects.

Read the security and limits guide before enabling paid calls or project writes.

Validation and development

For the v1.14.0 review-fix snapshot, the local Windows/Node 26.9.0 run passed 224 tests, with no failures or skips. Focused regressions were first run against the pre-fix source to confirm the reported failures. An independent source review found no remaining blocking issue in that delta. These are not proof of correctness or a substitute for CI.

CI is configured for Linux, Windows and macOS on Node 22 and 24. Check the CI badge or the specific commit's run; a configured matrix is not a claim that every leg has passed. The live benchmark is separate evidence from the offline suite and covers only its stated tasks and snapshot.

From a complete checkout:
sh
node scripts/manifest.mjs --check
node scripts/verify.mjs
npm test

Contributors who intentionally change packaged files must regenerate the manifest with node scripts/manifest.mjs, review the diff, and verify again. Keep .local/, credentials and state out of commits. See CONTRIBUTING.md.

Documentation

- START-HERE.md — shortest installation path.
- INSTALL-WITH-AI.md — scoped installation instructions for an assistant.
- Usage — tool arguments, limits, review loops and recovery.
- Governance — opt-in six-stage gate, human commands, diagnostics and limits.
- Architecture — host integration and persistence.
- Security and limits — permissions, spending and retained state.
- Benchmark — measured token/latency results and limitations.
- Design notes — rationale and historical experiments, not current performance guarantees.
- Changelog — versioned behavior changes.
- Example project prompt — a starting point for scoped work.
- Security reporting · Issues