正文智能体正式优化架构

卡只负责定位原文，writer 不读取卡语义。Gate A 尚未 real-run；Gate B 通过前只实现离线评测闭环。

两个方向不能混用

正文智能体 → 细纲智能体 → 大纲+设定智能体。自底向上隔离变量。

大纲+设定 → 细纲 → 正文智能体。自顶向下提供创作输入。

1. 已确认细纲硬事件、可调节拍、伏笔、钩子和新设定声明。

2. 检索规划与卡索引按 asOf 重建当前态，带出历史来源指针。

3. 连续四章 + 原文回读事实证据与表现证据分开装配，生成确定性 manifest。

4. 无工具 Writer只接收 WriterContext；可按预算请求补证。

5. Detector 硬门核细纲、事实、证据、时间线和输出合同，最多返修两轮。

6. Shadow 与用户三决策第二阶段才实现。通过 accept_preflight 后 confirm，不属于 Gate A/B 前置范围。

补证环

Writer 可返回结构化 evidenceRequests；最多 3 次，累计新增上下文不超过检索预算 30%。

返修环

Detector 只阻断可验证硬错误；Writer 最多自动返修 2 轮，仍失败则交用户。

创作自由边界

硬事件、结果和伏笔不可改；场景可拆并调序，可创造环境、动作、过渡和对白；新增 Canonical 事实必须申报。

正式设定、Canonical 卡、状态台账、已确认正文和细纲声明的新事实，负责“写得对”。没有可靠事实来源的硬结论必须阻断。

历史原文场景，负责人物声音、动作习惯、能力表现、段落节奏和章末钩子，回答“怎么写得像”。

A/C 核心比较 + B 负对照A=通用原文检索；C=卡索引后回读原文；同字符预算。B=card-only，仅诊断。全评测集统一分配顺序并平衡位置。

隔离 WriterA/C 只看到统一事实约束和选中原文，看不到卡、检索策略或轨迹。完整上下文只允许原文与派生 hash 不同。

统一 Detector严格真实报告逐项计算高严重度与硬约束覆盖率，禁止常量。

Oracle 盲评五维评分之外，逐 assertionId/constraintId 输出 pass/fail/unknown verdict；绑定 candidate hash 与受控证据，unknown 或 ID 不全即失败。

唯一 GateInputBuilder只比较 detector/judge 同类同 ID verdict，禁止用分数推 verdict；只从 manifest、receipts 和严格报告生成 gate-input.json。

Gate A / Gate B系统/schema/hash/泄漏/judge 异常先判 failed；只有预注册集合自身不足才是 insufficient。B 不进 Gate B 阈值，按新角色比例分层报告。

可信编排器唯一持有授权、臂映射、顺序表、oracle 和预算。直连固定 Claude CLI 是离线例外，不写 New-API 共享账本，也不是产品运行时方案。

隔离模型进程绝对 CLI 路径 + sha256 + 2.1.211 + 完整 model ID；stdin-only、fresh process、无工具/会话/hooks/plugins/MCP。

隔离 Semantic Detector 进程候选与硬约束 → 严格语义报告。报告绑定 candidate hash，指标由逐项结果计算。

sandbox-exec 边界cwd/HOME/TMPDIR 位于隔离目录；目录外文件读写拒绝，仅允许模型调用所需网络，环境字段白名单。

vault lease → /private/tmp用户/创始人批准；先写非敏感 lease，再写 0700/0600 raw。恢复扫描 lease 清孤儿，防 symlink/path escape。

gate-report → passed receiptwriter_gate.py 是唯一签发者；同一文件 CAS journal 中先落报告，只有 passed 才签 receipt，细纲入口验完整 hash 链。

任一异常失败关闭timeout、nonzero、schema、budget、model mismatch、invalid judge、unstable judge 都使样本 ok=false，禁止换模或跳臂。

print、bare、完整 model ID、effort、预算、deadline、JSON schema、无工具/会话，空 MCP 固定为 {"mcpServers":{}}。temperature/topP/seed 不作支持声明。

exit=0、is_error=false、正常 terminal reason、完整 model 匹配、usage 可核账且 structured_output 合法才成功；result 不作业务 fallback。仍需一次成功探测。

第一阶段实现 receipt 签发器与细纲入口守卫；第二阶段才用已验签 receipt 启动细纲 real-run。拒绝自算 JSON，dry-run 豁免。