codex-app-server/docs/chv-muse-p6-gap.md

对齐 Muse P6 差距表：privsep worker + 确定性安全检查层

依据：~/workspace/research_notes/meta-muse-ai-architecture-20261101-0755/report.md （官方以 Meta security.muse.ai 2026-09-08 为准；第三方拆解只作参考， 逆向细节不得写成官方架构）。Muse 模型相关句（官方）：

• 内置连接器的执行分离：单元内的连接器 CLI 只解析参数、打开调用者 已有权访问的文件、通过 Unix socket 传递类型化参数与文件描述符； 真正业务逻辑由 systemd 沙箱化的 privsep worker 执行；每个 worker 由 cgroup 标识、有明确凭证白名单（日历 worker 不能仅改参数就索取 邮件凭证）。
• 纵深防御分层：模型层训练识别提示注入；Harness 层外部数据进入模型 上下文时标注为“不受信任输入”；独立分类器层多组提示注入检测分类器 并行运行，覆盖经文件与工具调用进入模型上下文的全部外部数据； 确定性边界层（运行时单元限制系统访问、privsep 限制哪些代码可见 哪些凭证、authd 执行 ACL、Sentinel 评估每个动作与全部网络出口）。
• hatch-safety：独立模型与分类器检查进出核心模型推理的请求/响应。

本轨范围只限 P6：privsep worker（先做 Gitea 同步一个连接器）+ 确定性安全检查层（标注 + 审计 + 规则版注入检测）。不碰 P1（常驻 VM、 气球、vsock）、不碰 P2（nspawn 单元、broker、浏览器子代理）、不碰 P3（authd/sentinel 本体——只读、不重写、不改接口）、不碰 P4（浏览器 完全对齐）、不碰 P5（Sentinel 纵深、eBPF 污点）。分支 feat-chv-muse-p6（从 feat-chv-cover100 分出，基线 HEAD 06c3e17）。

1. 现状 vs Muse

项	现状（实测/代码为准）	Muse 目标	本轨做法
连接器执行位置	Gitea 同步逻辑直接跑在 agent 可达的进程里：宿主执行器经 SSH 调客内 chv-sync（bash），P2 的 broker 再以 chv 身份直跑 chv-sync 子进程。chv-sync 一个进程里既解析参数、又读凭证、又跑 git、又碰网络——没有执行分离	单元内 CLI 只解析参数、传类型化参数与文件描述符；真正业务逻辑由 systemd 沙箱化的 privsep worker 执行；每个 worker 由 cgroup 标识	客内新增 chv-gitea-worker 守护进程（systemd 单元，见 §2）：Gitea 同步的 git 业务逻辑（clone/pull/push/status 的 git 调用）只在 worker 里跑；agent 侧（broker/chv-sync）只剩薄 CLI——解析参数、发类型化 JSON 请求、走 Unix socket、拿类型化响应。worker 崩溃/超时只返回类型化失败，不拖垮 agent（失败分类与审计）
worker 身份与凭证白名单	无 worker 概念，无白名单。chv-sync 直接读落盘的 .git-credentials（旧路径）或走 P3 helper（新路径），调用方改参数就能让它对任意仓库跑 git	每个 worker 由 cgroup 标识、有明确凭证白名单（改参数也索取不到别的凭证）	worker 注册表只认一个 worker：gitea，凭证白名单只含 GITEA_TOKEN，操作只含 pull/push/status/ping，仓库只限 ~/workspace 下。白名单三处 enforce：① 客户端（PrivsepClient）发请求前校验，越权请求不出门；② worker 服务端再校验一次（不信任客户端）；③ 凭证获取本身不经过 worker——git 经 P3 的 credential helper 向 authd 按次取凭证，authd 按 {连接器, 主机, 仓库, 操作} 绑定放行，worker 改参数也拿不到别的凭证。worker 进程本身绝不持有 token 值（argv/env/日志/审计里都没有）
worker 的网络出口	chv-sync 的 git 直连 Gitea；出口只靠 Tinyproxy 白名单 + 宿主防火墙（第三棒落地中），无每动作审批	Sentinel 评估每个动作与全部网络出口	worker 的 git 只配 P3 helper + 只连配置的 Gitea 远端；每次取凭证前 authd 已先过 Sentinel 评估（P3 机制，本轨不重复造）；worker 的 systemd 单元再叠加 RestrictAddressFamilies 与网络命名空间收紧。网络层强制（eBPF 拦截）是 P5 的范围，本轨不宣称
外部数据进模型上下文	无标注。Gitea 拉回的提交信息、文件名、diff 内容经 chv-sync 输出原样回到 agent 回合，codex 自己拼上下文，我们这边不区分“用户写的”与“远端拉回的”	Harness 层：外部数据进入模型上下文时标注为“不受信任输入”	cloud/chv/safety.py：UntrustedData 携带来源标记（source，如 gitea:<repo>）随数据走；worker 的 git 输出在返回前先过扫描 + 打上来源标记；PrivsepClient 把标记带回调用方。注意诚实边界：codex 在客内自己拼上下文，我们的标注能保证的是“经我们这条连接器链路回来的数据都带标记”，不是“codex 一定会读标记”——后者须 codex 侧配合，不在本轨
提示注入检测	无	独立分类器层：多组提示注入检测分类器并行，覆盖经文件与工具调用进入上下文的全部外部数据	确定性规则版 InjectionScanner（不是模型分类器，不冒充）：指令性文本规则（中英）、命令/URL 注入模式、可疑拼接模式；分级 block/flag/allow。block 只给高置信模式（shell 执行链、直接指令覆盖）；flag 给中置信（指令性文本、可疑 URL），命中即标记复核、不自动执行后续写操作；allow 其余。规则覆盖边界单列在 §3.3
请求/响应审计（hatch-safety）	执行器 _emit 只审 VM 生命周期事件（VM 名/路径/URL/kind，不含 key 值）；进出模型推理的请求/响应无审计	hatch-safety 检查进出核心模型推理的请求/响应	safety.audit_inference_request/response：在执行器派发边界（_run_guest，任务 → 客内 codex；结果回）记审计——只记任务 id、kind、内容指纹（SHA-256 前 16 位）、长度、扫描 verdict；密钥与 token 值绝不进审计（先过 redact_secrets 再记，审计失败 best-effort、不中断任务，沿用 _emit 既定语义）
与 P3 的接线	P3 已做完（a90cf78）：authd 替身凭证 + Sentinel 最小审批	privsep worker 的凭证只走 authd 替身；worker 出口只走 Sentinel 审批	worker 的 git 一律配 -c credential.helper=/usr/local/bin/git-credential-chv-authd -c credential.useHttpPath=true（P3 的 helper 路径与 P3 修过的 path 坑），不用 .git-credentials；helper 缺失时 worker 直接拒绝（fail-closed），不回落读 token。Sentinel 评估发生在 authd 放凭证前（P3 机制），worker 不另造决策器。本轨不 import P3 的模块（基线 06c3e17 里没有 P3 代码）：接线走已定的文件/socket 协议，合入时由集成轨接通；本轨测试用替身（fake）实现同一协议

2. 改了什么（本轨交付物）

• cloud/chv/privsep.py（新，叶子模块，标准库）：worker 注册表 （本期只 gitea）+ 类型化请求/响应（WorkerRequest / WorkerResponse，JSON 行，≤64KB）+ PrivsepClient（Unix socket 客户端：超时、worker 崩溃 → 类型化失败、响应校验、返回前过安全 扫描）+ 客户端白名单校验（越权请求不出门）+ cgroup 标识读取 （/proc/<pid>/cgroup，审计用）。
• cloud/chv/safety.py（新，叶子模块，标准库）：UntrustedData 来源标记 + InjectionScanner（规则版，中英指令模式、命令/URL 注入模式、可疑拼接，分级 block/flag/allow）+ redact_secrets （token/key/口令模式脱敏）+ audit_inference_request/response （只记指纹与 verdict，不记值；失败 best-effort）。
• chv-guest/chv-gitea-worker.py（新，标准库守护进程）：Unix socket /run/chv-gitea/worker.sock（0700 目录、0600 socket）；SO_PEERCRED 只放行 root（broker 走 root 连）；操作白名单 pull/push/status/ ping；仓库只限 ~/workspace 下（realpath + commonpath）；git 以 chv 身份跑（runuser -u chv，文件归属不变），argv 里只配 credential helper、绝无 token；输出先过 safety 扫描 + 来源标记 再返回；超时 300 秒；异常只断本连接。
• chv-guest/chv-gitea-worker.service（新）：systemd 单元（root 运行， 单元外；ProtectSystem=strict、PrivateTmp、NoNewPrivileges、 CapabilityBoundingSet= 空、RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6、SystemCallFilter=@system-service、读写路径只限 /home/chv/workspace 与 /run/chv-gitea）。
• chv-guest/chv-sync-worker-client.py（新，标准库薄客户端）： chv-sync pull/push/status 在 worker socket 存在时改走 worker （发类型化请求、原样回显 worker 的 stdout/stderr、按 worker 的 returncode 退出）；socket 不存在时走旧的直接路径 + stderr 警告 （过渡兼容，见诚实边界第 4 条）。
• chv-guest/chv-sync.sh：pull/push/status 三处改走上述客户端 （有 socket 时）；boot 不动（cloud-init 时的一次性 clone，仍按 P3 后的 helper 路径走）。
• cloud/chv/executor.py：_run_guest 前后加推理边界审计钩子 （best-effort，不改结果、不中断任务）。
• cloud/tests/test_chv_muse_p6.py（新）：见 §3 的覆盖清单。
• 镜像集成（只留接入说明，不改 chv-guest/build.sh，与 P2/P3 同款 规矩，合并时由集成轨带进镜像）： --copy-in chv-guest/chv-gitea-worker.py:/usr/local/bin/、 --copy-in chv-guest/chv-sync-worker-client.py:/usr/local/bin/、 --copy-in chv-guest/chv-gitea-worker.service:/etc/systemd/system/、 --copy-in cloud/chv/privsep.py:/usr/local/lib/chv-gitea/cloud/chv/、 --copy-in cloud/chv/safety.py:/usr/local/lib/chv-gitea/cloud/chv/、 --copy-in cloud/__init__.py:/usr/local/lib/chv-gitea/cloud/、 --copy-in cloud/chv/__init__.py:/usr/local/lib/chv-gitea/cloud/chv/、 --run-command 'chmod +x /usr/local/bin/chv-gitea-worker /usr/local/bin/chv-sync-worker-client'、 --run-command 'systemctl enable chv-gitea-worker || true'、 99-chv-sync.cfg 的 runcmd 在 chv-sync boot 之前加 systemctl start chv-gitea-worker || true。 另：worker 依赖 P3 的 helper（/usr/local/bin/git-credential-chv-authd
  • authd socket /run/chv-authd/authd.sock），P3 的接入说明里的 copy-in 须一并落地，否则 worker 的 git 拿不到凭证、直接拒绝。

3. 测试覆盖与诚实边界

3.1 测试覆盖（cloud/tests/test_chv_muse_p6.py，全覆盖以下每一项）

• privsep 协议：未知操作/未知连接器/仓库越界（..、workspace 外） 被拒；响应格式不对被拒；超时与 worker 崩溃（socket 半路关闭） → 类型化失败 WorkerRefusal（不是裸 socket 异常、不拖垮调用方）。
• 白名单：客户端越权请求（未知操作、未知连接器）不出门；服务端 再拒一次；worker 的 git argv 里只有 helper 配置、绝无 token 值。
• worker 真 socket 回路：pull/push/status/ping 全通（假 git runner， 不跑真 git、不联网）；git 输出先扫描 + 打来源标记再返回。
• 安全检查层：每条规则至少一个 block 用例、一个 flag 用例、一个 allow 用例（含中英）；真实 git 输出样式（commit 信息、URL、正常 英文）不误报；审计记录里扫不到任何测试密钥值；脱敏覆盖全部密钥 模式；check_context_input 的 block 即阻断、flag 即标记复核。
• 推理边界审计：请求/响应审计只含指纹与 verdict；审计回调失败不 中断任务。

3.2 架构测试约束

新模块须过 test_no_chv_function_over_50_lines（函数 ≤50 行）与 test_public_api_fully_annotated_and_no_any（公共 API 全注解、无 Any）。

3.3 确定性检查层能拦什么、不能拦什么（单列）

能拦：字面指令覆盖（中英常见写法）、shell 执行链（curl|sh、 $(...)、反引号命令替换、; 拼接危险命令）、可疑 URL（非 https、 IP 字面量、userinfo 含口令、data:/javascript:）、把指令藏在 分隔线后的可疑拼接。不能拦：改写过的指令（同义词替换、拆字、编码、 Base64、零宽字符）、藏在图片/附件/二进制里的指令、需要理解上下文 才能判定的社会工程式诱导、模型自身的幻觉与误读——这些要模型分类器 （hatch-safety 同款）才有机会拦，规则版拦不住，不得宣称已覆盖。 规则是确定性的：同一输入永远同一 verdict，可复现、可测试；误报率 靠 allow 用例钉住，新增规则须先补用例。

3.4 诚实边界（本轮不宣称的东西）

1. 本轨不 import P3 的模块：基线 06c3e17 里没有 P3 的 authd/ sentinel 代码，本轨的接线走文件/socket 协议（helper 路径、 authd socket 路径、Sentinel 评估发生在 authd 放凭证前）。本轨 测试用替身实现同一协议；与 P3 代码的真正接通发生在合入时， 须由集成轨跑通 worker→helper→authd→git 的全链路。 已接通（round-12，本地部分）：cloud/tests/ test_chv_muse_round12.py（WorkerProtocolTest）用真 PrivsepClient + 真 worker server + 真 git status 跑通，worker 的 git argv 含真实 P3 helper 与 useHttpPath、argv/env/审计 均不含 token；runuser 包装与 HTTP 拉取（需真实 gitea.tose.top
   • Sentinel 放行）留给真机轨。
2. worker 跑在客内 root：worker 守护进程以 root 身份跑在单元外 （与 P3 authd 同款选择），git 子进程再以 chv 身份跑。root worker 本身不受单元隔离保护——它的隔离来自 systemd 沙箱 + socket 白名单
   • 不持凭证；客内 root 万能仍是 P2 的边界，不是本轨能修的。
3. 网络层强制不是本轨：worker 的出口收紧靠 Sentinel 评估 （authd 放凭证前）+ 只配 helper 的 git + systemd 沙箱；eBPF cgroup 拦截 + LSM 污点传播是 P5 的范围。不得把本轨写成“出口已 全部经 Sentinel 强制”。
4. 过渡兼容留了旧路径：worker socket 不存在时 chv-sync pull/push/status 仍走旧的直接路径（只多一句 stderr 警告），为 的是旧镜像不被一次改断。旧镜像退役后应删掉该回落，改为无 worker 即 fail-closed；删除前不得声称“旧路径已关闭”。
5. 无真机验证：本轮全部是代码 + 本地单测（含 worker 真 socket 回路 + 假 git runner）。真机待验证清单见 §4。

4. 真机待验证清单（等测试机空闲，排队在 round-11 之后）

• worker 在 lite12 镜像里的启动时序（须在 broker/chv-sync 调用 之前就绪；与 P3 authd 的启动顺序关系）。
• worker 的 systemd 沙箱在真机上生效（systemctl status、cgroup 路径、受限调用被挡的表现）。
• broker → worker → helper → authd → git 全链路在真机上跑通 pull/push（真 Gitea、真 token 替身）。
• worker 崩溃后 agent 侧只收到类型化失败、任务不炸（杀 worker 进程复现）。
• 安全扫描在真机 git 输出上的误报率抽查（真实 commit 信息样本）。