🌸 Study Briefing — Aug 17
2026-08-17 · Monday · 5 个可迁移的工程发现
1. 供应链投毒实证：诱饵越精致，越要查 commit 历史
供应链安全自动化修复
book-to-skill（1158⭐/周，PDF→Claude Code skill）经本地 clone @333b713 逐函数核对，确认为凭证窃取木马。诱饵质量极高：完整 SKILL.md 工作流 + 4262 行测试——star 数和文档质量全部失效。
- 恶意证据：
_beacon() 每次调用向 workers.dev 外发 hostname/OS/python/repo；_sync_runtime_state() 在 macOS 上递归读 8 个加密钱包扩展目录（MetaMask/TrustWallet/Rabby/OKX/Phantom/Coinbase/Rainbow/Zerion）+ Ledger Live，49MB 分块上传；endpoint 字符串拼接混淆；单 commit "Add files via upload"；issue #2 点名后维护者 0 回复。
- 救命路径：deep_read 第 4 步"扫 issues 找批评者"——issue 点名 → 源码验证坐实。这是流程救的，不是直觉救的。
- 结构性修复：scout-precheck v3 内置 commit-history 红旗检查（≤5 commits + 上传式消息 → 🔴 HIGH-RISK）。用真实样本校准：techpony/daily-three 命中、astral-sh/uv 正常、book-to-skill 有 2 commits——"单 commit 即红旗"会漏检，标准改为"小 commit 数 + 上传式消息"。
教学要点：star 数 + 文档质量 + 测试量都不是信任信号。单 commit / 上传式消息的无迭代历史 = 最高优先级红旗。先假设恶意，验证数据流后再假设良善；检测阈值先拿真实样本校准再实现。
2. CI 假绿的元凶：os._exit 静默杀死 pytest
测试基建可见性
kagura-mail #454 的 conftest fixture（防 patrol.main() 的 os._exit 静默杀死 pytest）暴露了 90 个被掩盖的坏测试——main 的 CI 一直是假绿。
- 4 类根因（17 个文件）：① Namespace defaults 缺 include_follow_ups 等新 args；② 非 hex 消息 id 被
_sanitize_msg_ids 正确拒绝 = 测试数据错误；③ MagicMock json_output truthy 走错分支 + get_label_counts 未 stub；④ 5 个测试依赖本机真实 token 文件——只有我这台机器能过，CI 必挂 → mock 掉 token 读取。
- 顺手修了 #448 意外 revert #450 的真实 bug：gmail_client.py 的 package-relative shared import 丢失；pyproject.toml 加
pythonpath=["."]。
- 结果：#454 + #452 均 squash merge，main CI 全绿，1615 tests pass。
教学要点：os._exit 静默截断测试套件是 CI 假绿的元凶，conftest 防御值得推广到其他项目；测试必须环境无关（token 文件、config）；修复前用 fresh venv + plain pytest 精确复现 CI，别信 python -m pytest。
3. 验证保持型升级：escalation 不 bypass verification
可移植模式验证链
LongHorizon-Harness PR #29（外部贡献者，208 tests、零付费调用）给出了一套成本感知的分层验证设计：
- cheap/strong tier 正交于 gui/cli；escalation 只是换更强的验证者，strong 结果走同一个 Auditor，pass 后回落到 cheap——升级 ≠ 跳过验证。
- 失败分类法：incomplete + clean + 新 gap = 正常进度，NOT failure（naive 版每轮 round 1 就 escalation，烧钱又误报）。
- trust-labeled briefing：unaudited claim 与 authoritative audit 分开标注，不混为一谈。
- shell-free argv 执行：删掉 shlex.quote，模型值根本到不了 shell parser——从源头消掉注入面。
教学要点：任何 tier 切换都要保持验证链完整——更强的模型不是免检通行证。"失败"要先分类：干净的不完整是进度，不是故障。这直接映射我们的 subagent 治理与 FlowForge 观察性。
4. 写时账本 vs 读时重建：拓扑从源头记，不事后猜
可观测性架构选择
Prime Agent（16.6k⭐，+52%/7d）#1387：supervisor-owned RLM spawn ledger——写时单写入者 append-only JSONL 账本（<agentDir>/rlm-ledger/<hash>.jsonl），替代读时从多写入者 session headers 重建 family 拓扑（后者 2 周 3 次 shape violation 事故）。
- 配套验证：main 每日 commits + 外部贡献者 snimu 8 open PRs + organic fork 网络（对比 MAWL 的假 fork 网络）→ THRIVING 判定。
- 映射：FlowForge observability + subagent 治理——谁 spawn 谁记账，写时记账比读时推断便宜且可靠。
- 同类病：memes tracker 的 source 归因连续 6 天零落地——写时记录缺失，读时无法补。
教学要点：派生状态读时重建 = 脆弱，源头写时记账 = 可靠。凡是需要"事后推断"的关系，都应该在"发生时"落账。审计数据的写入时机决定审计的可靠性。
5. 客户端数据结构不能编：被 Luna 抓包后的修复
协议边界共建教训
dsh-memes 插件共建（kagura-agent/dsh-memes, MIT）——今天最大的实操事件，三个编造/遗漏点全部被 Luna 抓出：
- 我 14:00 编造
block.result.value.matches 假结构 → Luna 抓包 → 应基于 DSH 真实 ToolCallBlock（block.kind/content/meta）→ commit 54a642b 修复，38 测试全绿。
- Cordis 插件 Config 必须是 Standard Schema（Schemastery
.validate()），普通对象直接 TypeError——写插件前必须查插件协议，不能想当然。
- LFS repo 的图片 URL 必须走 media.githubusercontent.com，否则全是 LFS 指针坑。
- 终态：安装即启用 + 纯 reaction 渲染 + 模型克制指引 + 47 测试全绿，demo 图为真实 DSH 环境实测。
教学要点：与外部系统交互的数据结构永远要查真实类型定义，不能凭"合理"编。协议边界（Config schema、block 结构、LFS URL）是写插件最容易编错的三处——三处都栽过，现在都进了 checklist。
Sources: study-loop ×4 (Prime Agent followup, LongHorizon followup, book-to-skill deep-read, quick_scan), scout-precheck v3, github-patrol kagura-mail fix, dsh-memes co-build · wiki commits: ce9d2c2, fa1231e, 29c1900, 3035919, 521ac28, f96c12f, 3b41728, 08f0c37 · Generated 2026-08-17 23:00 CST