本机材料处理方法

哨兵实测怎么做

在工作目录内、上一级、其他业务目录、家目录、/tmp、智能体配置目录各放一个无敏感内容的哨兵文件，分别用「不隔离」「局部遮挡」「收紧版沙箱」三种方式让智能体尝试读写，逐项记录。实测记录：

$ bash tests/m1_boundary_probe.sh
2026-10-17 13:19:32 CST
位置	路径	A不隔离-读	A-写	B局部遮挡-读	B-写	C收紧版-读	C-写
工作目录内	<任务根>/agent-v2/runs/v2-m1-boundary/workdir/哨兵.txt	能读	写进宿主	能读	写进宿主	能读	写进宿主
工作目录上级	<任务根>/agent-v2/runs/v2-m1-boundary/哨兵_上级.txt	能读	写进宿主	读不到	未写进宿主	读不到	未写进宿主
其他业务目录	<任务根>/哨兵_其他业务目录.txt	能读	写进宿主	读不到	未写进宿主	读不到	未写进宿主
家目录	~/hr-faq-哨兵_家目录.txt	能读	写进宿主	能读	写进宿主	读不到	未写进宿主
tmp	/tmp/hr-faq-哨兵_tmp.txt	能读	写进宿主	读不到	未写进宿主	读不到	未写进宿主
zcode配置目录	~/.zcode/hr-faq-哨兵_配置目录.txt	能读	写进宿主	能读	写进宿主	能读	写进宿主

## C 收紧版内可见的根目录与家目录
bin
dev
etc
home
lib
lib64
proc
sbin
tmp
usr
workspace

.
..
.local
.zcode
zcode

cli
hr-faq-哨兵_配置目录.txt
v2

## C 内能否读系统配置 /etc/hostname
能读
## C 内网络（解析一个域名）
能解析，网络未隔离
exit=0

收紧版沙箱（Linux）

收紧版用 bubblewrap（bwrap）只把系统目录（只读）、智能体程序（只读）、它的配置目录和工作目录挂进沙箱。它挡不住：智能体自己的配置目录（为沿用已有登录会话而保留，里面有凭据和历史会话——实测里它列出了 credentials.json 这个文件名，说自己没打开，工具记录里也没有读取操作，但这取决于它守不守规矩）、/etc（只读可见）、网络。包装脚本 sandbox_strict.sh 里写死了实测机器的安装位置（~/zcode、~/.local/node-v24.14.0 等），用之前先 ls 这几个路径，按 command -v zcode 的结果改。Windows/macOS 未实测，可用独立账户或虚拟机。

脱敏脚本的两版差异

第一版脚本报「残留 0 处」但正文里的昵称「实习生小吴」原样保留，人工通读才发现；第一次补的正则没生效，第二次才改对。第一版与最终版的输出、diff 都随制作档案归档v1-原始证据/00-redact/。当时的输出：

$ python3 scripts/redact_chat.py materials/企业微信聊天记录_HR答疑群_20261015.txt runs/workdir/群聊_已脱敏.txt runs/00-redact/name_map_LOCAL_ONLY.csv
替换姓名 8 个；残留 0 处 []
exit=0
$ python3 scripts/redact_chat.py ...(第2版，补昵称规则)
替换姓名 8 个；残留 1 处 ['小吴']
exit=1
$ 第3版（修正 lookbehind）
替换姓名 8 个；残留 0 处 []
exit=0

核对脚本的格式与空答复探针

格式探针拿同一份草稿做八种变化（标题降级、依据去加粗、换标签、去编号、空文件、纯文本、删一段、原样），不调用模型，验证「受支持变体照常核对、未识别退出 2」。空答复探针构造七种「有标题有依据但没有答复」的输入，验证空答复标签、纯提问、分隔线不再被当成已核答复。两套探针与第一版脚本的逐条对照、三份实跑草稿的回归输出都随制作档案归档。脚本退出码约定：0＝没发现问题；1＝有 ✗ 或 ?；2＝未完成核对（不是「没问题」）。

制作时的实际执行方式