给agent装本地监控，等于让被审计者保管审计证据。本文用同一个Windows账户搭了agent/monitor/sink三个角色，跑6组实测：尾部截断后哈希链仍判"合法"、中段删除才断链、taskkill后本地日志停在10条 agent又写了5个文件、同账户清库两条链同时归零。唯一没被拆掉的是权限边界外的那本账：wevtutil cl`一律 rc=5 Access is denied。

Storytold开源的craft-anything（v0.4.0）实测：commands列出321个工具、17个toolset，与官方宣称精确一致。默认clean-room模式把"读目标内部"的工具全部硬拦截，triage notepad.exe第一次直接被拒；--deep后完整识别PE/MSVC Rich header/符号剥离，还主动声明启发式提示可被伪造。附国内网络部署三连坑（无Windo

篇14用 `_meta` 注入traceparent埋出调用链，本篇回答埋完用什么看、用什么评。能力分 trace、metrics、eval三层，横评三款工具：Langfuse trace与eval一体、OTel兼容、可自托管；Braintrust评测集与在线回归最强，偏开发循环；Phoenix基于OpenInference，工件级span可视化。另补SkyWalking、Jaeger传统 APM

篇13已在网关补齐多租户，本篇解决MCP Client→Server链路不可见问题：SkyWalking、OTel Java Agent识别不了`_meta`通道。手动向`_meta`注入 W3C traceparent传递链路，给出可运行代码，支持注入、续接 span、下游透传；Micrometer 埋点延迟、QPS、成功率、P95、错误分布，日志携带traceId与租户。附选型与Docker

系列第五篇。多Agent时代授权要跟着任务流转：主Agent派活给子Agent，子Agent再转授给孙Agent，这个委派链上有一个capability安全的经典性质叫attenuation（转授只能缩不能放）。把Mandate授权层加上委派机制（parent链+路径/工具/强度三维子集校验+级联收回），实测6个场景。对照组是关键：不校验子集关系的naive委派，越权直接成功。

上一篇造的不可变授权层，单元测试只能证明"对象改不了"，这篇把它挂进真实Agent循环跑运行时实测：5个攻击场景，每个都带无防护对照组。结果：裸Agent全部执行成功，带Mandate层全部被拦——而且四个场景倒在四个不同的拦截点上，不是同一个if的四个分支。LLM是模拟的这点文中主动交代：测的不是"LLM会不会被骗"（公开案例早验证过），是"被骗之后授权层兜不兜得住"。全部日志可复现。

前两篇确认了dsh-superagent的Mandate真不可变、5个主流框架（LangGraph/AutoGen/CrewAI/Assistants API/Semantic Kernel）全都没有不可变授权对象——那怎么在现有框架上自己造？这篇给出四层方案：框架拦截点（拦得住）、不可变Mandate（改不了）、版本化审批规则（降不了级）、stop-only人工通道（社工进不来），附一个百行级P

继dsh-superagent Mandate不可变授权审计后，对比LangGraph、AutoGen、CrewAI、OpenAI Assistants API、Semantic Kernel五大主流Agent框架，探究不可变授权是否为孤例：结论属实。五者均无不可变授权对象，权限属于运行时可变的进程配置，但多数支持上下文与权限解耦。主流走事件流审批范式，依靠中断人工决策；dsh-superagen

DeepSeek 推理框架 DeepInfer 上线 5 天收获 16250 星、HN 2051 分。但当前版本约束严苛，仅支持 V4.1-Flash 单模型，硬件限定 SM100 与昇腾 950，缺少 KV 缓存、PD 分离、负载均衡等生产能力，只开放内核，离线上落地尚远。它最大价值是 batch-invariant 推理与确定性采样，实现同输入逐比特输出一致，支撑 Agent 审计回放，有望推

DeepSeek 推理框架 DeepInfer 上线 5 天收获 16250 星、HN 2051 分。但当前版本约束严苛，仅支持 V4.1-Flash 单模型，硬件限定 SM100 与昇腾 950，缺少 KV 缓存、PD 分离、负载均衡等生产能力，只开放内核，离线上落地尚远。它最大价值是 batch-invariant 推理与确定性采样，实现同输入逐比特输出一致，支撑 Agent 审计回放，有望推