# 已知边界与接受风险

> 对外可读。口径：**本仓当前无可用发行形态**（见 [README.md](./README.md) 的发行口径）；本节如实列出「机制不能保证什么」与「已接受、需使用者知悉的风险」。每条尽量给可复核依据；无法复跑的标注原因。
> 版本锚：开发态 2026-10-16（收口执行 v5 批1–批7 后）。

## 一、机制边界（不是安全边界）

1. **治理面是概率性的，不是内核强制。** 纪律注入、收口要求、跳过提醒都以「模型可选择服从」为前提；宿主能硬保证的只有：危险命令的拦截判定、`discipline_gate` 的实测退出码与断言内联求值、`concludeTurn` 的会话状态标记、遥测落盘。
2. **判据仍可能被弱化（洞 A 已收窄、未归零）。** 已落地：`pinned`（会话外钉死）> `auto`（用户原文推导，模型不可改写）> `tool`（模型自填）。2026-10-16 修掉一支：**pinned 曾被 `assert=` 收口绕过**（assert-only 分支不评已登记断言＋回合早退跳过宿主复核）——现 assert-only 与 pass／unverified 路径均须复核已登记断言（含 pinned），不过即 `assertion-fail`。但**无锚任务**（无 pinned、推导不出）仍由模型自选判据——`discipline_gate` 用 `exempt` 可声明「诚实未验证」（记 `unverified`，不计完成）。
3. **自述链的终止律（本项目自测教训 T11）：** 一条自证链只在碰到**模型之外的物理真值**（退出码／文件存在性／git 对象／CI 记录／哈希／人工签名）时才终止；其余终止于「自述」的链只能靠抽查。本插件的定位是**把抽查点前移并留痕**，不是消除抽查。
4. **判级为「自报·仅观测」**：自报等级不驱动任何强制（不再裁剪工具面），只进遥测与低报观测（`level-divergence`）。即：等级写错**不会**被自动升级或降档。
5. **动作落地级判据 ≠ 目标级判定（2026-10-16 新增窄版默认判据）**：当一回合**没有**任何已登记断言时，宿主会从**亲见的工具副作用**派生断言（写类→`exists`、删除类→`not_exists`）并据此收口——它证明「动作确实落地」，**不证明「目标已达成」**。两类收口在遥测里**分列**（动作级 `effect-closeout`／目标级 `auto-closeout`），**复核指标时不可混计**。要目标级判定，仍需 `pinned`、用户原文派生断言，或 `discipline_gate` 携带锚定本任务目标的判据。关闭方式：`SHISANUO_EFFECT_ASSERT=0`。

## 二、已接受的工程风险（当前状态）

1. **发行形态（已实测通过；本地工作树有例外）。** 仓库（HEAD）`package.json` 自 `1d00ffd` 起声明 `dsh.bundle`；**干净克隆 → `npm install` → `npm run build` → `npm pack` → `dsh plugin add <tgz>` 实测通过**：无 "declares no dsh.bundle" 警告，且组合树中出现本插件层（`id: shisanxinuo-core`）。**例外**：本地工作树有一处**未提交**改动删除了 `dsh.bundle` ⇒ 就地 `npm pack` 会产出非 bundle 包（装载不挂层）。**尚无 tag/release**（未发行）。
2. **上游代际风险。** `dsh-outcome-loop`（beta.8）与绑定线 `0.2.0-rc.2` **代际不兼容**（boot 宿主侧崩溃，补 storage 前置仍崩）⇒ 已排除；上游工具披露 `dsh-tool-search` 与拦截引擎 `dsh-permission-rules` 绑定版本见 README，升级须回归。
3. **关键指标未达标（待决策）。** 基线：`gate-steer=77`、`auto-closeout=12`（占比 5%）。「收口去 AI 主动依赖」的目标（auto-closeout ≥80%／steer↓≥50%）需引入宿主默认判据，其口径（是否把「动作落地校验」作为默认）**未决**。
4. **未验证清单**（如实，仅一项）：①三问质询在真实熔断场景的端到端（探针注入已证通道；cap 触发的 `skip-notice` 未落到——headless 会话未走到 caps、GUI 触发尝试因输入未落框未成）。
   - **已转已验证**：`unverified` 诚实未验证路径（实战档实机）、预览线会话级全链（Windows 实机，主/预览双线同指纹＋`gate-conclude`）、`cached_tokens%`（宿主已回传 `usage.cacheReadTokens`，四臂真测见 layer3 结果档 §2b）、**全权档 D2**（GUI 实机：`/permission`→完全权限后，危险命令 `Remove-Item`（域=数据删除）落 `l3-detected decision=allow-full-access`，**无上游 ask／无假「用户拒绝」**，文件真删、回合正常收口）。
   - （已转已验证）**`unverified` 诚实未验证路径**：实战档实机跑通——模型以 `exempt` 声明 → `gate-tool status=unverified` ＋ `behavior gate=unverified`，回合如实收尾且**不被 steer**（不逼编命令）。
5. **模型抖动。** 免费档 `step-5-preview-free` 在富环境（工具被披露插件折叠）下常「发言即止」（出推理文本、零工具调用）。

## 三、隐私与数据

- 遥测默认只落**结构化摘要**：`cmd` 仅截断摘要（≤200 字符）、密钥形态写入前深脱敏；原始工具参数与执行结果不入账。
- 目录可用 `SHISANUO_LOG_DIR` 指向私密位置；`SHISANUO_LOG_DISABLE=1` 可整体关闭落盘（代价＝放弃审计底座）。
- 会话日志（含模型正文）留在本机 DSH home，**不入库、不分发**；入库证据仅为聚合结果（见 `docs/evidence/`）。

## 四、复现边界

- **任何人可重跑**：`npm test`（含公开文本机检与索引机检）、`node scripts/claims-check.mjs`、`node scripts/tally.mjs --report`。
- **需要宿主与模型配额**：真机拦截／审批／收口／界面走查——本库提供脚本与协议，不提供可复现的宿主环境。
- **不可复跑（如实标注）**：宿主内实验日志与四臂长任务原始会话（隐私与体积）。