功能查漏与增强路线图
版本：0.1。日期：2026-10-20。状态：补编设计稿；当前实施状态见 阅读导航。
本路线图排列基础闭环之后的扩展依赖，不构成一次性开发授权。根目录 AGENTS.md 的身份、授权、任务和安全要求持续适用；任何后续能力开放时都要完成对应的安全门禁。
功能范围与依赖
| 批次 | 能力 | 前置条件 | 对外开放条件 |
|---|---|---|---|
| 首个闭环 | 身份、设备、授权、任务、审计、browser.open_url |
M0–M4 | 真实 MySQL 与 Windows 验收；生产使用另完成 R 门禁 |
| A | 个人模型配置、BYOK、只读聊天 | 基础身份与数据隔离；密钥存储；服务商及出站策略 | 本人配置隔离、秘密不回传、预算、撤销、渲染安全通过 |
| B | 聊天生成单步任务、执行确认、结果关联 | A 与首个任务闭环 | 模型输出严格校验；任务重新授权；重复消息不重复执行 |
| C | 多步骤工作流、审批 | 单步任务可靠；每步权限与预算 | 不可变计划和审批摘要；中途撤销、部分成功、取消和未知结果测试通过 |
| D | 声明式 Skill、登记的远程 MCP 工具 | C 的审核及策略机制；固定版本与严格工具 Schema | 来源验证、包导入防护、工具默认禁用、变更重新审核和紧急禁用有效 |
| E | 已登记应用启动与授权截图 | Windows 交互会话模型、独立能力授权、产物隔离 | 不绕过锁屏、UAC 和会话隔离；截图访问与清理验证 |
| F | 命名 Shell 配置、登记 stdio MCP、可执行 Skill | 明确风险分级、审批、固定可执行内容和资源限制 | 精确配置 ID 与类型参数；普通权限；撤销、输出限额、审计和回滚通过 |
| G | Agent 自动更新、多实例、高可用与容量扩展 | 首版真实使用数据和运维条件 | 可信发布链、灰度暂停回滚；跨实例连接与分发协调；恢复与容量实测 |
批次是依赖建议，不是排期或已完成清单。没有明确需求时不预建执行器、凭据表或对外接口。模型问答可以独立开放，但问答角色不能因此获得设备执行权。
首版后仍需明确的产品选择
- 浏览器连续会话：首版任务结束即关闭上下文。若增加
browser.page_title、连续浏览或登录态，应先定义上下文所有者、设备绑定、有效期、授权撤销和清理协议，不能隐式复用上一个用户的上下文。 - 审批与责任分离：确定哪些动作需要审批、谁可审批、是否禁止自批和审批有效期。批准内容必须包含设备、能力、规范化参数及版本摘要；内容变化重新审批。
- 管理员排障正文访问：首版只提供运维摘要。将来若允许读取私人任务输出或聊天，应建立单独授权、原因、范围、时效和审计，不能把管理角色直接当同意。
- 服务器侧工具任务：当前任务契约要求
device_id。不针对设备的 MCP 工具需要另行版本化契约及执行目标模型，不用虚假设备 ID 绕过。 - 文件与截图：为上传、下载、路径、文件类型、大小、存储和恶意内容检查建立专门约束；不把服务器文件路径直接交给 Agent 任意读写。
- 业务补偿：工作流部分成功后不能把数据库回滚当设备动作回滚。补偿动作也必须独立授权、必要时审批，并可能产生新的失败或未知结果。
这些选择与 参数基线 中 Q07–Q08 配套，在启用对应能力前确定。
禁用边界
未实现或未启用的能力必须在 API 能力登记、任务 Schema、模型工具清单、MCP 工具映射及 Agent 执行器注册处一致关闭。前端隐藏按钮只是界面表现，不能作为禁用证据。
| 入口 | 默认行为 | 需要保留的证据 |
|---|---|---|
| 未开放的任务类型 | 拒绝创建，不进入分发 | 稳定错误码与拒绝审计 |
| 模型返回未授权工具 | 计划校验失败，不调用工具 | 脱敏模型结果摘要与拒绝原因 |
| 可执行 Skill 或 stdio MCP 未登记 | 不启动进程 | 配置及绕过请求的拒绝记录 |
| 预算、Schema、来源或审批缺失 | 拒绝启用或执行 | 具体缺失项，不使用无限额默认值 |
| 旧版本工具更新或 Schema 变化 | 禁用新版本，重新审核 | 版本/哈希差异和审批记录 |
| 扩展被紧急禁用 | 阻止新的逻辑执行，处理已开始任务 | 撤销版本、取消请求和最终状态 |
持续检查
每个后续批次上线前重新执行受影响的基础权限与任务测试，特别是跨用户、重复消息、取消、结果未知和断线重连。新增功能不能使原有设备凭据、日志和协议暴露秘密，也不能增加未登记的网络出口。
日志、任务、聊天和产物分别采用 P09 的保留策略；量级变化时先评估存储与查询，再决定归档或队列设施。多实例之前必须解决 D01 的限制，不能仅增加 API worker 数量。