@dsh-edge/dsh-edge-agent 0.0.0-stage → 0.1.2

package/CHANGELOG.md

@@ -0,0 +1,158 @@
+# Changelog
+
+本文件的**唯一权威**是 [`docs/PROGRESS.md`](docs/PROGRESS.md) —— 那里逐条记着
+每一次改动的根因、实证与裁决（§7.x 全量历史）。本文件是给**使用者**看的：装上之后
+能得到什么、有什么边界、怎么排障。
+
+格式：[Keep a Changelog](https://keepachangelog.com/zh-CN/1.1.0/)；
+版本号遵循 [语义化版本](https://semver.org/lang/zh-CN/)。
+
+---
+
+## [0.1.2] — 2026-11-11
+
+**修三处「写的东西与实际行为不一致」，并把 README 收瘦。** 2026-08-18 → 2026-11-11。
+
+- **包内版本头的日期与提交数**：0.1.1 那行写的是「2026-11-10 / 506 次提交」——
+  两个都不是发布时的真实值（真实发布时刻是 2026-11-11 19:33）。现在只写日期区间，
+  把「次提交」整个去掉：它是**移动靶**（写完没几轮就又不对了）。
+- **发布出去的 `package.json` 不再声明不在包里的东西**：0.1.1 的清单带着 50 余条
+  `scripts.*` 和一整套 `devDependencies`，而它们指向的 `scripts/`、`src/`、`tests/`
+  根本不在 tarball 里。现在发布走一个**消毒过的暂存目录**（`dist/.npm-stage/`）：
+  内容 = safe 变体 + README + LICENSE，清单 = 去掉 `scripts` / `devDependencies` /
+  `packageManager` 的那份。**出货文件逐个不变**（仍是 238 个），只有清单瘦了。
+- **README 重写**：只讲 `desktop-safe` 一种变体，重点放在**「不配 edge.json 时会怎样」**
+  与**「edge.json 怎么配」**上 —— npm 包页就是这份 README，访客第一眼要看到的正是
+  「缺省下『本地』并不在本地」这件事。
+
+## [0.1.1] — 2026-11-11
+
+**首次发布到 npm registry。** 2026-08-18 → 2026-11-11。
+
+### 加载通道
+
+桌面版 DSH App 的 **Plugins → Add plugin** 支持四种输入，本包四条都能装：
+
+| 通道 | 输入 | 要构建授权 | PATH 要有 pnpm |
+|---|---|---|---|
+| A 本地目录 | 绝对路径 | 否 | 否 |
+| B GitHub 地址 | `git+ssh://git@github.com/<owner>/<repo>` | 是 | 是 |
+| C npm 包名 | `@dsh-edge/dsh-edge-agent` | 否 | 否 |
+| D tarball 路径 | `…/x.tar.gz` 绝对路径 | 否 | 否 |
+
+装完**必须点「立即启用」** —— GUI 不会自动启用，否则启动时不加载、右栏不出现
+Edge tab。装法细节见 [`docs/deploy-github.md`](docs/deploy-github.md) /
+[`docs/deploy-npm.md`](docs/deploy-npm.md) / [`docs/deploy-tarball.md`](docs/deploy-tarball.md)。
+
+### 隐私管线（边缘模式）
+
+宿主自带四种工作方式之外，本包注册了第五种 —— **「边缘模式」= 标准模式 + 本项目的
+全部功能**。标准模式下本项目的插件**完全不生效**（护栏 hook 挂在宿主的 scope 链上）；
+判一个会话有没有走本项目链路，**唯一判据是审计链**。
+
+- **输入防御**（prompt-guard）—— 正则 + 频率 + PII 分级 + 可选模型辅助检测；
+- **隐私策略**（privacy-policy）—— 业务危险操作与 PII 护栏，REJECT 永不出网；
+- **意图识别**（intent-router）—— 设备正则 → 决策模型 → LLM 分类器 → 规则层
+  四级阶梯（**决策模型那档出厂是关的**，§7.182），实体护栏与云闸两道后处理闸收口；
+- **脱敏**（sanitizer + pii-utils）—— 10 类 PII，可逆占位符，出网前替换、回程还原；
+- **编排层**（input-guard）—— 挂 `agent/pre-step` / `agent/request` / `llm/stream`
+  三个 hook，谁都绕不过；
+- **Realm 闸门**—— LOCAL/CLOUD realm 分离，skill 与工具按 realm 放行；
+- **威胁总线**（td-bus）—— 云请求速率 / 连续脱敏失败 / 权限拒绝 / 端点失联
+  四档阈值，逐级升到 block。
+
+### LLM 路由
+
+两个池（`llm.local` / `llm.cloud`）**完全对称**，各三种模式：
+
+| `baseUrl` | `delegate` | 行为 |
+|---|---|---|
+| 填了 | 任意 | **直连** —— edge 自有池，密钥走 `keyRef` |
+| 留空 | `true`（默认） | **DELEGATE** —— 转发宿主 GUI 里选中的模型，凭据归宿主 |
+| 留空 | `false` | **不注册路由** —— LOCAL 意图 fail-closed |
+
+出网口径**不对称**（这是裁决，不是 bug）：云池只带「之前上过云的历史」；本地池带
+**全部**历史。出网那一跳由 `host-egress-guard` 兜底裁剪（挂在 `llm/stream`
+waterfall 上）。
+
+### 边缘模式的模型路由（fail-closed）
+
+宿主 0.2.2-rc.1 起，**路由只由会话级 `modelSelection` 决定** —— 在
+`agent/request` 里改写 provider/model 会被宿主的 `prepareRequest()` 判非法并
+抛错。因此本包：
+
+- **边缘模式不改写会话选型**（§7.184）：`agent/created` / `agent-preset/selected`
+  的钉选与「客户端回写后回钉」全部退役 ⇒ 宿主模型选择器保持主人选的那个；
+- **出网那一跳改道**：本轮判定为 LOCAL、而实际请求的 provider 不是本地 provider
+  ⇒ 在 `llm/stream` 把它换成 provider = 本地池（**不再拒绝这一轮**）；判定为
+  CLOUD ⇒ 不改道（用哪个模型是用户自己的行为）；改不动 ⇒ fail-closed 抛错；
+- 面板上的「模型」一行显示的是**这一轮真正会跑**的模型与它的真实落点
+  （DELEGATE 下 = 委托解析出来的宿主 provider/model），不是配置里的默认值；
+- **宿主模型选择器（输入框下方）里能选到本地池**：本地池在宿主的模型目录里
+  **如实声明**它真正会跑的那**一个**模型（直连池 = 池自己的 model id；
+  DELEGATE = 委托目标的 model id）—— 宿主会把「空目录的 provider」整组剔出
+  目录，不声明就只剩「请选择模型」（§7.180）。**wire 上跑的模型、目录里声明的
+  那一项、会话被补钉的 model id 三者是同一个 id**；云池仍然在目录里隐身；
+- **选型不动，实际请求改道**（§7.184）：进入边缘模式时插件**一个字都不改**你的
+  模型选择（宿主选择器里显示什么就一直是什么）；但「本轮必须留在设备上」这条不变式
+  由**出网那一跳**保证 —— 本轮判定为 LOCAL 时，请求在 `llm/stream` 被换成
+  provider = 本地池（model id 与 wire 同源）。改道改不动（本地路由不存在等）就
+  **fail-closed 抛错**，绝不放行到云端。面板的「答案出口」会写明
+  **「会话选型 → 实际落点」**，两边都摆出来。
+
+npm 包**不带** `config/edge.json` ⇒ 没配本地端点时 `local-llm` 走 DELEGATE
+（转发宿主提供商），但 provider 身份仍是 `local-llm` ⇒ 闸门照常放行、装上即用。
+
+### 配置
+
+只有**一个文件**：`edge.json`，两个合法落点（§7.182）：
+
+| 顺位 | 路径 | 适合 |
+|---|---|---|
+| 1 | `<插件目录>/config/edge.json` | 「插件装在哪，配置就在哪」—— 打开插件目录就能看到能改的那个 |
+| 2 | `~/.dsh-edge-agent/edge.json` | **推荐** —— 重装 / 删 profile 都活着，npm / git / tarball 三条通道通用 |
+
+仓库的 `config/` 目录**不再放活配置**（明文 API key 不该待在 git checkout 里），
+三条通道的产物里也本来就没有这个文件。`config/edge.example.json` 仍随产物发布，
+但它只是**给你抄的模板**（模板里的部署值已并入代码默认值 ⇒ 「没配置文件」与
+「照模板抄」行为一致）。
+
+**出厂默认（§7.182 主人裁决）**：三个可选开关默认**关闭** ——
+`jev.enabled`（决策模型是需要本地 `:8001` 服务的可选加速器）、
+`webSearch.tavilyEnabled` / `webSearch.bochaEnabled`
+（⇒ 出厂 web-search 链上只有 DeepSeek 档）。要开就显式写 `true`。
+这三个开关在插件 `apply()` 时读取 ⇒ **改完要重启 App**。
+
+`secrets` 段存明文 key，其他段按 `keyRef` 引用它。**`secrets` 与 `llm` 都不是必填**
+—— 桌面版装法下空对象也能跑。
+
+### 观测
+
+- **审计链** —— 决策级事件，JSONL 落盘，Edge 面板按「意图 / 判定 / 路由决策 /
+  LLM 调用」分栏；
+- **ops log** —— 启动与运行期诊断；
+- **Edge 标签页** —— 桌面右栏 4 个面板 + 会话摘要实时可视化；
+- 面板「答案出口」一栏**认得 DELEGATE 出口行**（`llm.*.delegate.*`）：直连池与
+  DELEGATE 池都会显示「池 + 模型」，不会在明明作答时写「路由未定」（§7.181）。
+  LOCAL / CLOUD 的判据仍是**哪个池**（§7.130），DELEGATE 下额外多一行「真实
+  落点」，如实说明这一轮转发去了哪儿；
+- **LLM trace** —— 每次往返的请求/响应成对可查（凭据与 PII 脱敏）。
+
+### 工程门禁
+
+28 道门禁，验的是**产物**不是源码（`npm run build` 一条链跑完）：
+构建链完整性、adapter 边界、上游契约、patch 面、preset 隔离、发布面、文档可达性、
+安装包内容、tarball、CI 链不漂移、边缘模式选型回钉（§7.183）……
+
+### 已知边界
+
+见 [`docs/privacy-policy.md`](docs/privacy-policy.md#已知边界) —— 那里逐条记着
+「当前**未实现或未接线**」的部分（例如标准模式会话不做出网裁剪、本地池 delegate
+模式下内部阶段会跑在宿主模型上）。
+
+---
+
+## 更早的版本
+
+`0.1.0` 及更早只存在于 git 历史里，**从未发布到 registry**。
+逐条实施记录见 [`docs/PROGRESS.md`](docs/PROGRESS.md)。

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 chschytzmcy
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -1,3 +1,182 @@
-# Temporary Holding Version
+# dsh-edge-agent
 
-This version is a temporary placeholder for this package. An operational version to replace this has been submitted for review and is awaiting a staged release.
+> 边缘侧私密智能体 · 基于 DSH (DeepSeek Harness) Cordis 插件机制
+
+[![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](LICENSE)
+[![Node](https://img.shields.io/badge/node-%5E22.19%20%7C%7C%20%3E%3D24-blue)](package.json)
+
+给 DSH 桌面版 / CLI 装上一个新的 **Agent Preset —— 边缘模式**：宿主自带的
+标准 / 创造 / PTC / 极简之外，**边缘模式 = 标准模式 + 本项目的全部能力**
+（隐私护栏 · 意图判定 · 路由决策 · PII 脱敏 · Realm 闸门 · 审计链 · Edge 面板）。
+默认仍是标准模式，在设置页选中「边缘模式」才生效。
+
+> 这是**一种工作方式**，不是替代品：标准模式下本插件**完全不生效**（Edge tab 常驻可见）。
+> 判一个会话有没有走本链路，**唯一判据是审计链**。
+
+本包启用的是 `desktop-safe` 变体 —— 只 insert 插件行，不改写宿主的 persona /
+approval / sandbox 等全局设置。
+
+---
+
+## 📥 装
+
+桌面版 DSH App：**Plugins → Add plugin** → 填包名 `@dsh-edge/dsh-edge-agent`
+（装预构建包，不需要构建授权、不需要 PATH 上有 pnpm）。
+
+> ⚠️ **装完必做两步**：① 点「**立即启用**」（GUI 不会自动启用）② **重启桌面 App**。
+> 否则包在 `dependencies` 里却不在 `dsh.profile.bundles` 里 ⇒ 启动不加载 ⇒ 右栏没有 Edge tab。
+
+另有三条通道（本地目录 / GitHub 地址 / tarball 路径）与独立 headless profile，
+见 [`docs/load-into-local-dsh.md`](docs/load-into-local-dsh.md)。
+
+---
+
+## ⚙️ 配置：`edge.json`
+
+**只有一个文件**：`edge.json`，所有 profile 读同一份，不依赖环境变量。
+
+### 缺省是什么样（不写配置文件会怎样）
+
+**一句话**：缺省下两个池都**转发宿主 GUI 里选中的模型**（DELEGATE）——
+所以「本地」这一栏**默认并不在本地**。
+
+| 缺省项 | 缺省值 | 后果 |
+|---|---|---|
+| `llm.local.baseUrl` | 空 ⇒ **DELEGATE** | `local-llm` 路由**照样注册**，但它转发宿主模型 —— 不是「没模型」|
+| `llm.cloud.baseUrl` | 空 ⇒ **DELEGATE** | 云池同样转发宿主模型 |
+| `stages.intent.provider` | `local-llm` | 意图判定钉在本地池上 ⇒ 端点留空时它**跑宿主模型** ⇒ **待检测的用户原文也会上行**（§7.171 的已知边界）|
+| `stages.intent.timeoutMs` | `60000` | 意图判定那一次调用的超时窗口是 **60 秒** |
+| `stages.guard.timeoutMs` | `60000` | 同上 |
+| `llm.local.delegate` | `true` | 要「不注册本地路由」必须显式写 `false`（kill switch）|
+
+⇒ **想让「本地」真的是本地，必须填 `llm.local.baseUrl`**。
+
+### 落点（两个，没有第三个）
+
+| 顺位 | 路径 | 说明 |
+|---|---|---|
+| 1 | `<插件目录>/config/edge.json` | 装好后在 App 里就能找到的那份 |
+| 2 | `~/.dsh-edge-agent/edge.json` | 跨通道、跨重装、删 profile 都活着 ★ **推荐** |
+
+> 三条发布通道的产物里**本来就没有** `config/edge.json`（打包时按设计排除）；
+> 插件目录那份 `config/edge.example.json` 只是**给你抄的模板**。
+
+### 怎么配（三步）
+
+1. 把插件目录里的模板抄到 home：
+   ```bash
+   mkdir -p ~/.dsh-edge-agent
+   cp <插件目录>/config/edge.example.json ~/.dsh-edge-agent/edge.json
+   ```
+2. 填三样东西：
+   ```jsonc
+   {
+     "secrets": { "myEdgeKey": "<你的 key>" },
+     "llm": {
+       "local": {
+         "baseUrl": "https://your-endpoint/v1",   // 必须含 /v1
+         "model": "your-model",
+         "keyRef": "myEdgeKey"                     // 端点不鉴权（本地 llama.cpp / vLLM）时整行可省
+       }
+     }
+   }
+   ```
+   - `baseUrl` 留空 = DELEGATE（转发宿主模型）；填了 = **直连自有池**，凭据只认 `keyRef` 指向的槽位；
+   - `llm.cloud` 与 `llm.local` **完全对称**，配法一模一样；
+   - `delegate: false` = kill switch（不注册路由 ⇒ LOCAL 轮次 fail-closed，不放行到可能上云的 provider）。
+3. **重启桌面 App** —— `llm` / `stages` / `jev` 在插件启动时定死，不重启不生效。
+
+### 不配会怎样
+
+| 你没配的东西 | 结果 |
+|---|---|
+| 整个 `edge.json` | 两池都 DELEGATE ⇒ 实际是**同一个模型**（宿主选的那个）|
+| `llm.local.baseUrl` | `local-llm` 路由照样注册（转发宿主模型）|
+| `llm.local.keyRef` | 端点不鉴权 ⇒ 完全正常；端点要鉴权 ⇒ 401，报错会指名让你配 `keyRef` |
+| `secrets` 整段（**桌面版**）| **完全正常** —— 桌面版不挂 http-api，一个 secret 都不需要 |
+| `secrets.edgeApiKey`（**独立 HTTP profile**）| **必填** —— 没凭据**拒绝启动**（fail-closed）|
+
+> ⚠️ 两池的**出网口径不同**：云池只带「之前上过云的历史」；本地池带**全部**历史。
+> ⚠️ `edge.json` 含**明文 API key**，绝不能提交到 git。
+> 完整配置清单见 [`docs/privacy-policy.md`](docs/privacy-policy.md#配置清单)。
+
+---
+
+## ✅ 装完自检
+
+「装上了」分三层，**boot 不报错只证明前两层**：
+
+| 层 | 含义 | 怎么验 |
+|---|---|---|
+| **mount** | 插件被挂上 | boot 不报错 |
+| **active** | cordis 把插件置为 ACTIVE | `--dump-config` 里能看到插件行 |
+| **enforced** | 真拦得住 | **审计链里出现执法行**（`blocked.attack` / `blocked.policy` …）|
+
+```bash
+grep '@dsh-edge/dsh-edge-agent' ~/.dsh/profiles/<profile>/package.json
+dsh --profile <profile> --dump-config | grep -cE 'input-guard|file-logger|intent-router|sanitizer'
+```
+
+---
+
+## 🔀 边缘模式的模型从哪来
+
+宿主 0.2.2-rc.1 起**路由只由会话级 `modelSelection` 决定**，本包**不改写会话选型**：
+
+- 进入边缘模式 ⇒ **选型一个字都不改**；
+- 本轮判定为 LOCAL、但会话选的 provider 不是本地 provider ⇒ 这一轮在**出网那一跳**
+  被**改道**到本地池（provider 与 model 都换）⇒ 这一轮仍然留在设备上，**不再被拒收**；
+- 改道改不动（本地路由不存在 / 解析不到本地模型 / 宿主 LLM runtime 不可用）⇒
+  **fail-closed 抛错**，绝不放行到可能上云的 provider。
+
+判一次会话到底用了哪个 provider，**唯一权威是审计链**：`input-guard.reroute.local`
+（改道发生，带 `from` / `to`）/ `input-guard.reroute.blocked`（改不动）。
+详见 [`docs/privacy-policy.md`](docs/privacy-policy.md)。
+
+---
+
+## ✨ 能力
+
+| 能力 | 状态 | 说明 |
+|---|---|---|
+| **🔒 端侧优先** | ✅ | 默认本地 LLM 处理；未决轮次一律留在设备上 |
+| **🛡️ 隐私保护** | ✅ | PII 可逆脱敏 + 日志掩码 + 隐私策略热重载 |
+| **🚦 Realm 三级闸门** | ✅ | LOCAL → SANITIZED → CLOUD；缺件即降级本地 |
+| **🚨 威胁检测** | ✅ | `td-bus` 滑动窗口 + 分级 + 隔离；超阈值返回 503 |
+| **📜 审计与可追溯** | ✅ | 追加式 JSONL 审计链 + ops log（PII + 密钥双重脱敏）|
+| **🔌 插件化** | ✅ | 按 subpath 导出（**37 条**），`verify:*` 门禁锁死装配面 |
+| **🌐 零信任通信** | 🚧 | OHTTP 网关为**桩实现**；当前云端通道走标准 TLS |
+| **🔑 TEE / 远程证明** | 🚧 | `tcm` / `attestation` 为**桩实现** |
+
+---
+
+## 📚 文档
+
+| 文档 | 内容 |
+|---|---|
+| [`docs/README.md`](docs/README.md) | **文档总索引**（每份一句说明 + 状态）|
+| [`docs/architecture.md`](docs/architecture.md) | 架构主文档：四层模型 / Realm / 插件开发 / 威胁模型 / patch 树 |
+| [`docs/privacy-policy.md`](docs/privacy-policy.md) | 隐私链路单一权威：策略 + 判定表 + 配置清单 + 审计 + 行为契约 |
+| [`docs/deploy-npm.md`](docs/deploy-npm.md) | npm 包名安装 + 发布链排障 |
+| [`docs/desktop-troubleshooting.md`](docs/desktop-troubleshooting.md) | 桌面版排障手册 |
+| [`docs/PROGRESS.md`](docs/PROGRESS.md) | 实施进度档案（§7.x 全量历史）|
+
+### 开发与发布
+
+```bash
+pnpm install
+pnpm run build      # compile → typecheck:client → build:client → build:installable → pack:tarball → verify:build
+pnpm test
+
+npm run publish:npm                    # 构建 + 门禁 + dry-run（**默认不发**）
+npm run publish:npm -- --yes           # 真发
+npm run publish:npm -- --yes --tag     # 发完打 v<version> tag
+```
+
+前置：`npm login` 一次（凭据写在 `~/.npmrc`；PATH 上要有 `pnpm`）。
+不带 `--yes` **永远不会碰 registry**。
+
+> ⚠️ **「publish 报成功」≠「包已经能装」**：分级发布（staged publishing）下包名先被
+> 占位版 `0.0.0-stage` 占住。**判据**：`npm view <pkg> version` 返回 `0.0.0-stage` = 还卡着。
+
+MIT License. 详见 [LICENSE](LICENSE)。

package/config/edge.example.json

@@ -0,0 +1,179 @@
+{
+  "_comment": "dsh-edge-agent 配置模板（tracked）。§7.182（2026-11-11）起，运行时只认两个落点：①装好后的插件目录里的 config/edge.json（顺位 1 —— 打开插件目录就能看到能改的那个）；②~/.dsh-edge-agent/edge.json（顺位 2 —— 重装/删 profile 都活着，跨 npm/git/tarball 三条通道通用）。仓库的 config/ 目录不再放活配置（明文 API key 不该待在 git checkout 里）。本文件本身不再是运行时候选（模板里的部署值已并入代码默认值），它只是给你抄的那份模板：cp config/edge.example.json ~/.dsh-edge-agent/edge.json，然后填真实端点与 key。",
+  "secrets": {
+    "_comment": "HTTP API 鉴权 + 各 LLM 池的直连凭据。直连模式下写入 Authorization 头。",
+    "edgeApiKey": "",
+    "deepseekApiKey": "",
+    "dashscopeApiKey": "",
+    "minimaxApiKey": "",
+    "aliyuntokenplanApiKey": "",
+    "tavilyApiKey": "",
+    "bochaApiKey": "",
+    "bailianApiKey": ""
+  },
+  "http": {
+    "_comment": "http-api 监听入口。",
+    "host": "127.0.0.1",
+    "port": 21017
+  },
+  "llm": {
+    "_comment": "§7.100 / §7.171：两个池的 baseUrl 都留空 = DELEGATE 到宿主 profile 已配置的模型提供商（桌面 GUI 选的模型 / dsh-base 默认 deepseek-official），凭据全归宿主 adapter，edge 侧不碰任何 secret。",
+    "local": {
+      "_comment": "留空 = DELEGATE 模式（转发宿主提供商，与 llm.cloud 对称）。要 edge 自有直连池时填 baseUrl + model + keyRef。baseUrl 必须含 /v1 —— adapter 只追加 /chat/completions（local-llm-adapter.ts）。delegate=false = kill switch，回到 opt-in 语义（不注册 local-llm 路由，意图分类 / guard 检测自动降级到关键词 / 正则规则档）。reasoningEffortNone：ollama 池必开 —— ollama 的 /v1 层静默丢弃 chat_template_kwargs 和顶层 think:false，只有 reasoning_effort:\"none\" 生效（实测 <你的内网主机>:11434）。不加它，thinking 吃满 max_tokens → content 空 → json-parse-failed → 攻击检测静默落回正则档（24.6s → 6.5s）。严格网关（OpenAI 官方风格）不认这个参数会 400，保持 false。",
+      "baseUrl": "",
+      "model": "",
+      "keyRef": "",
+      "stripTools": false,
+      "enableThinking": false,
+      "reasoningEffortNone": false,
+      "delegate": true,
+      "delegateProvider": "",
+      "delegateModel": ""
+    },
+    "cloud": {
+      "_comment": "留空 = DELEGATE 模式（转发宿主提供商）。要 edge 自有直连云池时填 baseUrl + model + keyRef。",
+      "baseUrl": "",
+      "model": "",
+      "keyRef": "",
+      "delegate": true,
+      "delegateProvider": "",
+      "delegateModel": ""
+    }
+  },
+  "stages": {
+    "_comment": "★ 隐私不变式（用户仲裁 2026-10-18）：分类 / guard 检测只吃本地模型 —— 送进云池等于把「待检测的用户原文」上行，违背端侧私密定位。留空 = 用 plugin Schema 默认 local-llm；本地端点不可达时 intent-router / prompt-guard 自动降级到关键词 / 正则规则档，绝不借用宿主云模型。",
+    "guard": {
+      "provider": "local-llm",
+      "model": "",
+      "enabled": true,
+      "timeoutMs": 60000,
+      "maxInput": 2000
+    },
+    "intent": {
+      "provider": "local-llm",
+      "model": "",
+      "defaultCategory": "LOCAL",
+      "timeoutMs": 60000,
+      "confidenceThreshold": 0.6,
+      "maxInput": 2000,
+      "recentLimit": 3,
+      "cloudKeywords": [],
+      "localEntities": [],
+      "fallbackKeywords": [],
+      "deviceCommands": {
+        "_comment": "§7.124 家庭设备操作正则层（Tier-0）的扩展词表 —— 追加到内置词表（灯/空调/电视/窗帘…）。加一个新电器名只改这里一行，不用改代码。devices = 设备名词，actions = 动作词。",
+        "devices": [],
+        "actions": []
+      },
+      "llmFallback": true,
+      "_comment": " §7.115：llmFallback=false = 决策模型 only 模式（jev skip 直接落规则层，LLM 分类器不再运行）。"
+    }
+  },
+  "jev": {
+    "_comment": "§7.92.3 jev 意图识别（toggle，§7.182 主人裁决：**默认 OFF** —— 它是可选加速器，需要本地 :8001 的决策模型服务；没有它时 classify() 完全跳过 jev 路径；开 → 在 LLM classifier 之前先跑）。Toggle=false 时 classify() 完全跳过 jev 路径（无 network call）。高置信 (>=confidenceThreshold) + 低风险 (<riskThreshold) → 直接采纳；否则 fall through 到 LLM。 §7.112（2026-10-25）：provider 可选 local（默认，ONNX /predict）| bailian-decision（阿里 decision-model /systemone——questions 从 categories 自动生成，model 填 decision-model-preview，apiKeyRef 指向 secrets 里的百炼 MaaS key，authScheme raw=Authorization: <key> / bearer=Bearer 前缀）。§7.114：决策模型是配置文件绑定的外部服务——path 默认 /systemone（MaaS 部署）；本地 MLX serve 同一契约时 url 指 http://127.0.0.1:11017/v1、path 改 /classify（它有 /health，探针自动恢复）。 §7.115：localAdoptFloor=方向分闸——LOCAL 倾向判决 ≥ 该值直接采纳（默认本地，不落 LLM），非 LOCAL 仍走 confidenceThreshold。",
+    "enabled": false,
+    "url": "http://127.0.0.1:8001",
+    "timeoutMs": 2500,
+    "confidenceThreshold": 0.85,
+    "riskThreshold": 0.7,
+    "breakerTtlMs": 30000,
+    "bootProbeEnabled": true,
+    "bootProbeTimeoutMs": 2000,
+    "breakerProbeMs": 5000,
+    "probeTimeoutMs": 1000,
+    "provider": "local",
+    "model": "decision-model-preview",
+    "_apiKeyRef": "§7.182：默认档（provider=local，ONNX 决策模型）不需要 key —— 故意不写 apiKeyRef。写了就会在启动时报「配置里的密钥引用指向不存在的槽位」（槽位为空也算不存在，edge-config.ts danglingSecretRefs()）。要换百炼决策模型才把这一行加回来：\"apiKeyRef\": \"bailianApiKey\"，同时在 secrets 里填上那个槽位的真实 key。",
+    "authScheme": "raw",
+    "path": "/systemone",
+    "localAdoptFloor": 0.5
+  },
+  "functionCallExternal": {
+    "_comment": "§7.93.1 ExternalToolCaller（纯 client，外部维护）。契约 GET /health + POST /extract {query,tools,system?,max_new_tokens?}。CLOUD intent 不走 caller；caller 不可达 / 低置信 fall through 到 LLM 自提取。",
+    "enabled": false,
+    "url": "http://127.0.0.1:8081",
+    "timeoutMs": 15000,
+    "confidenceThreshold": 0.5,
+    "breakerTtlMs": 30000,
+    "bootProbeEnabled": true,
+    "bootProbeTimeoutMs": 2000,
+    "breakerProbeMs": 5000,
+    "probeTimeoutMs": 1000
+  },
+  "privacy": {
+    "_comment": "Input-Guard / Privacy-Policy / Realm-Bridge 开关。policyPath/realmConfigPath 留空 = ~/.dsh-edge-agent/ 下同名文件。",
+    "inputGuardEnabled": true,
+    "rejectPolicyEnabled": true,
+    "sanitizeDowngradeEnabled": true,
+    "realmHotReload": true,
+    "realmWatchMs": 5000,
+    "policyPath": "",
+    "realmConfigPath": "",
+    "policyHotReload": true,
+    "policyWatchMs": 5000,
+    "sanTtlMs": 900000,
+    "sanMaxSessions": 1000,
+    "sanSweepMs": 60000
+  },
+  "resources": {
+    "_comment": "Session / Sanitizer / body 限制。",
+    "maxSessions": 100,
+    "maxBodyBytes": 1048576,
+    "sessionIdleMs": 1800000,
+    "sanMaxSessions": 1000,
+    "sanSweepMs": 60000,
+    "sanTtlMs": 900000
+  },
+  "audit": {
+    "_comment": "Audit / Ops Log 落盘。root/logRoot 留空 = ~/.dsh-edge-agent/audit 与 ~/.dsh-edge-agent/log。",
+    "minLevel": "info",
+    "flushMs": 1000,
+    "logLevel": "info",
+    "logMaxAgeDays": 1,
+    "logMaxRotated": 7,
+    "root": "",
+    "logRoot": "",
+    "llmTrace": {
+      "_comment": "§7.118 详细 LLM request/response 追踪（写进 ops log，info 级别默认可见）。enabled=false 全关；includeRequest/includeResponse 可各自单关；maxChars 是单字段字符上限（截断会以 …[+N chars] 显式标注，绝不静默）；maxMessages 只保留最近 N 条 message；redactPii 走 pii-utils 10 类规则；redactSecrets 盖住厂商前缀密钥（sk-cp- / sk-ws- / tvly- …，pii-utils 的 api-key 规则盖不住）。",
+      "enabled": true,
+      "includeRequest": true,
+      "includeResponse": true,
+      "maxChars": 2000,
+      "maxMessages": 12,
+      "redactPii": true,
+      "redactSecrets": true
+    }
+  },
+  "tee": {
+    "_comment": "TEE 后端选择（simulated / trustzone / keystone / sgx）；平台自动探测时可留空。storageRoot 留空 = ~/.dsh-edge-agent。",
+    "type": "simulated",
+    "storageRoot": "",
+    "keyStorePath": ""
+  },
+  "storage": {
+    "_comment": "local-storage 明文 JSONL KV 根目录；留空 = ~/.dsh-edge-agent/storage。",
+    "root": ""
+  },
+  "etscli": {
+    "_comment": "etscli 只读工具 wrapper（§7.98）。bin 留空 = ~/.local/bin/etscli。",
+    "bin": "",
+    "timeoutMs": 30000
+  },
+  "threat": {
+    "_comment": "td-bus 阈值。cloudRate = 每分钟云请求数上限（0 = 不限）。",
+    "cloudRate": 20,
+    "blockLevel": "critical"
+  },
+  "webSearch": {
+    "_comment": "Phase 5 web-search providers（§7.82）三级链：Tavily → 博查 AI → DeepSeek。任一可用即可，任一失败自动 fallback；不写 key 就跳过该 tier。§7.182 主人裁决：Tavily / 博查两档**默认关闭** ⇒ 出厂只有 DeepSeek 档在链上（secrets.deepseekApiKey）；要开就把对应开关写 true。",
+    "tavilyEnabled": false,
+    "bochaEnabled": false
+  },
+  "agent": {
+    "_comment": "agent persona + 工具权限。",
+    "persona": "You are edge-agent, a privacy-first AI assistant running on the user's device.",
+    "localToolsWritable": true,
+    "localToolsAllowlist": "/tmp",
+    "permissionMode": "workspace-write"
+  }
+}