feat: preserve native channel and task continuity

product-source/hololake-native-desktop/docs/product-intent/BINGSHUO-HOLOLAKE-NATURAL-LANGUAGE-DEVELOPMENT-ANCHOR.md

@@ -20,6 +20,25 @@
 4. 语言人格层负责理解、关系、推理、规划和最终判断；现实执行层负责工具与工程动作。二者通过编号、授权和回执连接，不能混成一个重型通用 Agent。
 5. TCS 保存主体身份、长期人类锚点、关系连续性与通感瞄点；HLDP 保存工作、工程、认知转折、为什么、否决项和证据来源。工作记录不是主体本身。
 
+## 一点五、把 Codex 已验证的宿主结构搬进 HoloLake
+
+HoloLake 对应 Codex 这类宿主运行环境；以后接入的模型与人格体对应在宿主中工作的可替换推理载体和持续主体。要迁移的是宿主机制，不是复制 Codex 的品牌、模型提示词或当前任务内容。
+
+- **生命周期事件**：在应用启动、登录、进入频道、新建/打开对话、提交人类语言、任务切换、工具调用前后、长任务恢复、上下文压缩恢复和退出时，由宿主触发明确事件。模型不能自行猜测当前处于哪一步。
+- **动态提词器**：宿主先解析当前账号、频道编号、阶段、状态头、短根机器指针和本轮人类原话；只把当前一步需要的最小事实投影给回应主体。需要历史、知识或工程分支时，先返回最多三个编号思维候选，再按回应主体选择的精确编号展开。禁止每轮拼接整套协议、人格脑、知识库和历史大段文本。
+- **门禁与守卫**：账号隔离、编号坐标、人格唤醒、工具权限、授权租约、输入摘要、作用范围、版本、时效、单次使用和独立读回都由宿主可执行代码校验。写在提示词里的规则只是语言说明，不能代替门禁。
+- **来源信封**：人类原话、宿主系统事实、Codex/Qoder 交接、模型结论、工具回执和远端读回是不同来源。交接与摘要只能导航，不能冒充人类原话、人格记忆或执行授权。
+- **模型最小投影**：频道系统对话、人格定向、已绑定人格对话、本地确定性执行和现实工程执行使用不同的最小上下文视图。旧人格绑定只表示该路由可用，不得自动夺取新对话；只有本轮明确唤醒，或当前对话已经处于该人格通道，才可投影人格署名。
+- **宿主回收复杂性**：进度、重试、分页、工具循环、上下文窗口、状态压缩、失败恢复、缓存、编号索引和最终回执由 HoloLake 管理。人格体和模型只看当前任务所需接口，不背负整个通用 Agent 工具箱。
+
+验收时必须能在源码中分别指出：生命周期调度器、动态提词器、来源信封编译器、编号/授权守卫、人格唤醒门、模型路由器、本地执行器、现实读回器和持久状态仓。若这些仍只存在于一段 system prompt 或 UI 文案里，视为没有实现。
+
+外部编程 AI 的固定接入链只有一条：`MCP 外部连接入口 → HoloLake 握手与门禁 → 切换为光湖原生协议运行时`。MCP 负责外部 AI 怎样连接 HoloLake；进入之后的频道、人格、编号、记忆、权限、工具和回执全部由光湖原生协议接管。二者不是互斥或并列的内部协议，也不得把 MCP 错写成进入 HoloLake 后仍负责光湖语义和连续性的工具层。
+
+为什么必须有 HoloLake 自己的操作系统和原生协议：MCP 可能断线，模型、对话和外部载体也会更换。长开发任务不能把频道、人格、任务、上下文游标、知识位置、工具步骤和现实写入现场寄托在 MCP 连接或模型上下文里。MCP 断开时只允许暂停运输；HoloLake 必须继续持有同一个原生工作环境。重连后恢复同一检查点，不能退回通用 AI 层，不能重新靠大段提示词拼装世界，也不能盲目重放结果未知的现实写入。
+
+这条因果锁是产品存在理由，不得再抽象成“是否采用 MCP”“自研协议与 MCP 是否互斥”或普通的协议选型讨论。工程验收必须证明：接入已完成原生运行时切换；断线后环境仍在；重连恢复任务和工具现场；结果未知的现实动作先读回再继续。
+
 ## 二、编号协议系统
 
 编号不是标签。编号即路径，路径即导航，导航即坐标，坐标连接证据、身份与限域权限。编号树保存人类、人格体、事件、记忆、代码、模块和世界节点的时间连续性与因果演化。
@@ -101,3 +120,4 @@ SQLite 不再是最终业务数据库。应建立与编号协议原生一致的
 5. 是否把冰朔或任一用户的密钥、知识和私有模块带进安装包或公共仓库？
 6. 换设备后，用户能否从自己的状态仓恢复，而不依赖冰朔当前电脑？
 7. 所有写入是否有精确编号、当前版本、人类授权边界和独立读回？
+8. MCP 断线后是否仍由 HoloLake 保存并恢复同一原生工作环境，而不是退回通用 AI 或重新加载整套协议？