信任模型

​

基本原则

1. 外部 Skill / Adapter 默认不可信。
2. Trust 不是单个字段，而是 source、level、signatures、policyRefs、sandbox、review 的组合。
3. declared side effects（sideEffects.declared）是声明，不等于验证。
4. observedSideEffects 是审计材料，不等于预防机制。
5. Policy 声明 allow / deny / requireApproval；实现依据这些规则决定是否继续、拒绝或创建 Checkpoint。
6. Checkpoint 是人工信任边界。
7. Sandbox 是执行边界。
8. Preflight 的可用性检查不等于来源可信，也不等于获得行为授权。

​

Trust 的组成

apiVersion: huoban.dev/v1alpha1
kind: Trust
metadata:
  name: local-reviewed-grill-me
spec:
  subjectRef:
    kind: Adapter
    name: grill-me-skill-md
  source:
    type: local
    path: examples/fixtures/grill-me/SKILL.md
  level: reviewed
  review:
    reviewer: core-maintainer
    reviewedAt: "2026-06-23T12:00:00Z"
    conclusion: approved-for-local-use
  sandbox:
    required: true
    network: deny
  policyRefs:
    - name: safe-defaults

​

与 Requirement 和 Preflight 的边界

​

Side Effects

​

declared side effects

sideEffects:
  declared:
    - readFile
    - writeFile
    - executeCommand

​

observedSideEffects

status:
  observedSideEffects:
    - type: writeFile
      target: docs/profile-model.mdx
      stage: update-docs
      time: "2026-06-23T12:00:00Z"

conditions:
  - type: UndeclaredSideEffectObserved
    status: "True"
    reason: RuntimeObservedUnexpectedWrite
    message: "Adapter wrote a file not declared in sideEffects."

​

标准副作用词表

• readFile
• writeFile
• deleteFile
• executeCommand
• modifyGitIndex
• modifyGitHistory
• networkAccess
• sendMessage
• publishRemote
• spendMoney
• accessSecret
• installDependency
• changePermission

​

Policy

apiVersion: huoban.dev/v1alpha1
kind: Policy
metadata:
  name: standard-human-checkpoint-policy
spec:
  rules:
    - effect: requireApproval
      when:
        sideEffects:
          - writeFile
          - executeCommand
    - effect: deny
      when:
        sideEffects:
          - modifyGitHistory
          - accessSecret

​

Checkpoint

• Policy 要求审批。
• Adapter 未被信任。
• 副作用无法判断或未声明。
• Eval 失败。
• Profile 合并冲突。
• Run 即将发布远程内容。

• approve
• requestChanges
• reject

​

Sandbox

• 文件系统隔离。
• 网络隔离。
• 环境变量过滤。
• Secret 访问限制。
• Git 写入限制。
• 外部命令限制。

​

默认信任规则

• 本地用户手写对象：reviewed，但仍受 Policy 约束。
• 外部 SKILL.md 导入：unknown level，除非有 review。
• 外部 registry 来源：unknown level，除非有签名和 review。
• 副作用无法判断或未声明：由 Policy.spec.defaults.unknownSideEffect 处理，推荐 require approval。
• 涉及 secret、remote publish、money、git history：默认 require approval 或 deny。

​

不做什么

• hosted trust graph
• package signing
• provenance verification
• SBOM-like metadata
• public registry trust scoring