arch: audit model receipt donor and preserve stage boundary

product-source/hololake-platform/architecture/HOLOLAKE-MODEL-RECEIPT-DONOR-AUDIT-AND-STAGE-BOUNDARY-20260830.md

@@ -0,0 +1,50 @@
+# HoloLake 模型回执旧线接收审计与阶段边界
+
+> 记录编号：`HLP-MODEL-RECEIPT-DONOR-AUDIT-20260830-001`
+>
+> 生命周期：`AUDITED_DONOR_DEFERRED_FROM_STAGE1`
+>
+> 审计对象：`DONOR-HOLOLAKE-PERSONAL-CHANNEL-0.5.8`
+
+## 1 · 接收结论
+
+旧开发线没有失去工程价值，但它提前深入了第二阶段能力，不能整树并入当前 Stage 1。当前第一阶段的
+产品目的仍是白布底座、知识库／码字预装模块、TCS 确定性执行翻译桥、双 Git 耐久事实与可核验回执；
+内部 AI 聊天和模型 API 配置继续保持关闭。
+
+旧线只作为只读能力捐赠源保留。允许未来逐片迁移受限模型传输、结构化操作提案、对话生命周期、
+人类批准与实际执行回执闭环；不允许迁移旧壳、旧信息架构或整棵产品树。
+
+## 2 · 冻结来源与独立验证
+
+- 冻结头：`8b6dfbbe6143056991e2e37eebd02a09e07fc1aa`；
+- 推理到执行提交：`28105faec917f1208c2490430f98ecd38de81f8e`；
+- 对话生命周期提交：`dd5f97137ff30d3e97ed274b24b09a63d59a0b1a`；
+- 推理传输：27 项通过；桌面 Rust：21 项通过；
+- 四项模型配置／格式修复／批准保存／对话生命周期焦点闭环通过；
+- 前端 TypeScript 与生产构建、明暗主题对比度、公众形态隔离通过；
+- 项目没有 `npm run check` 脚本，因此该命令不得登记为一项通过的检查。
+
+焦点频道测试第一次运行时因本地执行器二进制不存在而明确失败；构建执行器后通过。这证明捐赠源依赖
+执行器制品，不是可直接发布的自包含运行体。其完整频道测试还依赖外部 TCS kit，真实 DeepSeek 界面
+验收停在 macOS 钥匙串交互之前，没有取得真实回复回执。
+
+## 3 · 可复用内核
+
+模型传输层已经具备禁止重定向、资源与时间上限、禁止 tools/functions、凭据回显拒绝和安全 URL
+约束。结构化操作提案具备一次格式修复、显式类型失败、人类批准、真实保存与回读闭环；对话新建、
+历史、切换和删除也有实现证据。这些是可迁移的能力切片，而不是当前产品形态。
+
+## 4 · 后续集成门槛
+
+1. 用 TCS 语义事件替换自然语言标记触发的严格输出契约；
+2. 把执行器与 TCS 运行依赖变成可安装、可验证、可回滚的正式制品；
+3. 在不暴露密钥和隐藏推理的前提下完成真实模型端到端验收；
+4. 仅向当前壳迁移能力切片，保持知识库与码字是白布模块，模型仍是可替换语言接口；
+5. 重新经过 Stage 2 产品登记后，才允许打开内部聊天或模型 API 配置。
+
+## 5 · 当前不可抬高事实
+
+`model_api_receipt_component=DONOR_AUDITED_DEFERRED_FROM_STAGE1`。这表示交接和审计完成，不表示已经
+集成、已经发布或已经在企业服务器运行。Stage 1 的两个机器事实继续是
+`stage_one_internal_ai_chat=false` 与 `stage_one_model_api_configuration=false`。

product-source/hololake-platform/architecture/HOLOLAKE-PUBLIC-OS-STAGE1-BLANK-CANVAS-EXECUTION-BRIDGE-AND-DUAL-GIT-20260830.md

@@ -75,7 +75,7 @@ Git 与 HLDP 是耐久事实层，不是实时广播传输。
 - 团队编号签发和远端能力授权；
 - 任意 Shell、宿主工具或操作系统执行；
 - 个人 Git 远端认证、自动抓取／推送和冲突合并；
-- 模型 API 回执模块的接收审计与正式集成；
+- 模型 API 回执旧线已经完成接收审计，但正式集成延后至 Stage 2；
 - 企业服务器上的 Stage 1 发行服务与公共制品部署。
 
 ## 6 · 服务器与仓库边界
@@ -93,3 +93,5 @@ Stage 1 本地源码目前没有正式远端，不能把外部开发锚点冒充
 本阶段只能表述为：`LOCAL_STAGE1_COMPLETE_INSTALLED`。架构发布、源码发布、公众制品、服务器部署、
 实时连接和运行健康是不同事实，必须分别留下不可变来源、测试、回滚和目标侧回执。
 
+模型回执旧线的独立验证、可复用边界和延后原因见
+`HOLOLAKE-MODEL-RECEIPT-DONOR-AUDIT-AND-STAGE-BOUNDARY-20260830.md`。