【开源深度评测】Craft Anything：证据、工具注册与模式边界，比“看懂软件”更值得研究

专栏标签：#开源评测 #Agent工程 #静态取证 #MCP #Rust
评测体系：Valhalla SafeNet Accelerator × Matrix Alchemy Lab｜L3 有界静态取证
取证快照：2026-11-05｜固定 commit：869eb8548ae3cf9162181659c3ab47441b9c300d
仓库地址：https://github.com/storytold/craft-anything
许可：MIT OR Apache-2.0｜累计Stars：13736（API快照）
作者：Valhalla Matrix治理实验室
⚠️ 重要声明：本文为L3静态证据评测，未编译、未运行项目；仅基于固定快照内选定文件做词法与结构证据复核，不验证运行安全、功能正确性、隔离能力；L3仅代表证据链路可追溯，不等于生产可用、安全认证。

摘要：当下大量AI Agent项目主打“看懂代码、逆向、重建软件”，但很少回答一个核心问题：AI输出的结论，哪些是观测证据、哪些是模型猜测、哪些地方存在未知？ Craft Anything 给出了一套工程解法：把分析过程显式证据化、工具行为契约化、运行模式做边界隔离。它不是一个开箱即用的“万能逆向重建工具”，而是一份非常优质的Agent证据体系参考样本。本文基于冻结快照，从架构分层、工具契约、证据模型、安全边界、风险与落地建议完整拆解。

---

一、背景：AI软件理解赛道的共性痛点

现在市面上很多AI代码分析、逆向Agent存在同一个通病：输出一大段流畅解释，但证据黑盒：

1. 无法区分：哪些内容来自源码/二进制真实观测，哪些是模型脑补推测；
2. 工具调用无统一契约：UI、CLI、MCP入口各自维护参数、权限、副作用，极易出现权限泄露；
3. 缺少“未知项”显式表达：模型不确定的信息，直接省略或者包装成确定结论；
4. 安全描述混淆概念：把“分析模式”等同于操作系统沙箱隔离，给使用者错误的安全预期。

Craft Anything 的定位，正是瞄准这一组痛点。项目上游标注 early alpha，产品能力尚不成熟，但它的工程契约设计极具参考价值。

本次评测来源：近7天新建仓库按累计Stars冻结搜索快照第2位，不属于GitHub Weekly Trending榜单，文章内不做周榜宣传。

---

二、核心设计：四层架构，把证据从AI编排里剥离

很多Agent工程是“AI大核包裹一切”：模型直接调度工具、解析、输出。Craft Anything 反其道而行，强制分层、依赖单向约束。
项目内置校验命令：cargo xtask layers，用来校验模块依赖方向，防止上层逻辑污染底层证据层。

2.1 分层模型（自底向上）

层级	职责	核心约束
证据&解析层	文件解析、二进制读取、语法抽取、位置锚点、原始观测记录	不依赖大模型，只负责记录“看到了什么”
工具契约层	ToolSpec 注册、参数校验、副作用声明、权限标记	统一契约，多入口共用同一份工具描述
编排与引擎层	会话管理、模型调用、分析推理、置信度标注	只能读取证据层原始材料，不能篡改原始观测
接入入口层	Desktop GUI / CLI / MCP Server / Agent调用端	仅转发请求、展示结果，不新增分析逻辑

关键价值：解析和证据结构和模型解耦。后续更换LLM、切换推理后端，不需要重写证据采集逻辑。
取证边界：本次快照仅阅读文档约定，没有执行 cargo xtask layers 校验，无法证明全仓库严格遵守单向依赖。

2.2 ToolSpec：统一工具注册契约，显式声明副作用

这是项目最亮眼的设计之一。
所有可供Agent调用的能力，都需要注册为 ToolSpec 结构体，必须携带：

• 工具唯一标识
• 入参Schema
• effects 副作用描述（读文件 / 写文件 / 联网 / 执行进程）
• 执行入口

UI、CLI、MCP 三方入口复用同一套ToolSpec定义。
好处非常务实：

• 权限审计只需要审阅一份工具清单；
• MCP客户端、桌面界面、命令行不会出现“入口A有权限、入口B偷偷绕过校验”；
• 人工复核时，可以快速看清每个工具会带来什么外部影响。

风险点：规范不等于实现。文档定义了契约，但快照层面无法核验每一个工具都完整、准确声明副作用。规范是底线，落地校验是另外一道门槛。

2.3 证据输出模型：强制携带置信度、局限、未知项

绝大多数AI分析工具输出自然语言，结论扁平化。Craft Anything 的证据输出规范强制附加元信息：

1. 原始观测位置锚点（文件、偏移、行号）
2. 本次分析置信度
3. 明确的局限说明（覆盖范围、缺失信息）
4. 显式未知项列表
5. 长结果摘要+分页机制

这个设计直接解决“无法追问溯源”的痛点：
阅读者可以清晰区分：
✅ 确定观测：在目标工件里真实读到的内容
⚠️ 模型推断：基于证据的合理推测
❓ 未知：当前材料不足以判断，不编造结论

重要提醒：这里的置信度是工程标注字段，不是经过统计学校准的概率，不能单独作为决策依据，仍然需要人工交叉反证。

2.4 Clean Room 与 Deep 模式：划清边界，拒绝“沙箱误导”

这是本文最需要重点强调的安全认知点，也是很多人容易踩坑的地方：
项目提供两种分析模式：

1. Clean Room 模式：仅基于外部可见行为做分析，不侵入内部；
2. Deep 模式：允许深入内部结构、反汇编、调用图解析等深度探查。

上游文档明确澄清：Clean Room ≠ 操作系统沙箱隔离
它只是一套工具调用规则，不会隔离本机文件、凭证、网络。Agent仍然以当前进程用户权限执行读写、调用外部程序。
配套的防护手段是进程超时、输出上限、副作用确认弹窗，属于应用层风控，不是内核级隔离。

一句话总结：模式是分析策略，不是安全隔离方案。不要看到 Clean Room 字样，就默认它是安全沙箱。

---

三、L3 取证清单｜本次快照可复核证据边界

本部分为Valhalla取证标准清单，用于可复现审计，适合技术评审、合规归档、团队内部审慎评估。

取证项	快照事实
固定提交	869eb8548ae3cf9162181659c3ab47441b9c300d
Git文件树	800个文件条目
取证选取范围	有界取证选中30个文件，核验30个文件
克隆策略	shallow=true；HEAD可达commit数=1；filter=blob:none
来源路由	GH Proxy Primary + SafeNet 官方来源对照
完整性	选中集合100%核验；非全仓库覆盖、非测试/运行覆盖率
运行动作	未编译、未执行、未验证隔离、未验证重建能力
Manifest SHA-256	aeeaf46ccb0cf585e45c270347fcd70caa3da4143c45d94a86116de7b188d0f5
本地清单路径	localfile://path?../repos/storytold__craft-anything/.valhalla-l3-manifest.json
SafeNet账本链头	3fa55800a09530686f00c8ae3780dc816fa57e4daeb0ae9575b894af43628619

L3 定义：固定提交+选中文件证据链路可追溯；不证明：分析准确度、工具安全、重建成功率、生产稳定性。文档里写的“必须约束”，只是项目设计约定，不等于本次快照验证全部落地。

---

四、风险与许可红线（工程落地必看）

1. 目标授权风险最高
   软件可以公开访问，不代表你有权逆向、复刻、分发它的逻辑、UI、素材。逆向、重建行为必须在著作权、许可协议允许范围内开展，目标无授权的场景严禁使用。
2. 权限隔离不能依赖项目本身
   不管选择Clean Room还是Deep模式，都必须在操作系统层面做限制：独立低权限账号、目录白名单、网络出口管控，不能寄希望于应用层规则。
3. 版本阶段风险
   early alpha 阶段：异常处理、跨平台兼容、工具覆盖、错误兜底都不完善，不要直接上生产流水线。
4. 许可边界区分
   代码许可：MIT OR Apache-2.0；
   项目商标 ArtCraft、品牌标识、配套素材不属于代码双许可范围，不能直接复用。
5. 依赖许可独立
   项目第三方依赖拥有独立许可证，需要单独做合规扫描，不能用根仓库许可概括全部资产。

---

五、落地借鉴方案：两种使用路线

路线A：作为工具直接试用（审慎路线）

1. 优先选用自研、拥有完整授权的小型目标做验证；
2. 只启用证据采集、溯源查看能力，不要立刻开启自动重建流水线；
3. 分开演练 Clean Room / Deep 两种模式，记录两类模式的工具行为差异；
4. 操作系统层做独立隔离：权限、目录、网络、凭证全部隔离。

路线B：借鉴架构，移植到自有Agent平台（推荐）

如果你在自研MCP Agent、代码审计平台、逆向分析系统，优先抽取这三套设计思想：

1. 证据分层思想：原始观测和推理结论分离；
2. ToolSpec副作用契约：所有工具统一声明影响，集中审计；
3. 证据元信息规范：置信度、位置锚点、未知项显式记录；

借鉴架构之后，再针对自己的场景独立验收实现，不要直接复刻上游实现。

---

六、评测结论

Craft Anything 最有价值的地方，不在于它号称可以重建软件，而在于它给出了一套标准化的“证据化Agent”范式。

在大量Agent项目追逐“效果炫酷、一键重建”的时候，它把重心放在了溯源、审计、边界声明上：

• 证据和推理解耦；
• 工具副作用契约化；
• 分析结论自带置信度与未知项；
• 明确区分“分析模式”和系统隔离，不制造安全错觉。

它现阶段更适合作为Agent工程架构的学习样本，而不是拿来直接商用的逆向重建引擎。
落地的核心门槛，从来不是模型能力，而是三件事：目标版权授权、运行环境强隔离、工具契约的持续校验。

---

文末补充说明（合规&原创声明）

1. 所有证据锚定在固定commit快照，Stars数值为快照采集时点数据，不代表近期新增趋势；
2. 本文属于新建仓库补充评测，非GitHub周榜项目；
3. 全文为基于快照证据的原创分析，没有直接搬运README原文；
4. 上游品牌、素材、图标权利独立，本文不授予任何商标、素材使用许可；
5. 评测方法论：Valhalla Matrix L3有界静态取证，只做只读快照证据复核，不执行任何二进制、代码运行。

延伸阅读：同系列L3评测：Hyprland、Ghostty、PR-Agent、Apache Spark
如果你对Agent证据体系、MCP工具契约、静态取证框架感兴趣，可以持续关注本系列开源证据评测。

---