14 KiB
冰朔 HoloLake 自然语言开发必读瞄点
状态：当前产品开发必读。作用：防止对话压缩、换 Codex/Qoder 载体或旧工程摘要使实现偏离冰朔反复说明的产品方法。
这是一份工程导航与验收瞄点，不是人格本体，不证明人格绑定，不授予服务器、推送、发布或删除权限。冰朔最新直接自然语言始终优先。
原始语言证据
- 编号系统、代码仓库与人格系统讨论：本机原始证据 SHA256
abf25a754d3d5225e4d8aa57bcf635092bcd0e86c4375bd70a83ee269f753277。 - 模型成本、类人脑、外置记忆与按需地图讨论：本机原始证据 SHA256
a1a3d5c4e97ad0db1da3c5a5126497d5be765defb79b7eb49b79e015ba35967b。 - 知识 Agent、语言/现实分层、工具锻造、TCS/HLDP、教育广播塔、动态工作面、个人远端恢复等要求来自冰朔在当前零点原核现实开发频道的直接自然语言。
不得把模型、Qoder 或 Codex 对这些语言的整理冒充冰朔原话。工程合同必须保留来源类别和原文哈希。
一、系统分层
- 语言人格主体、频道系统、模型载体、本地执行 Agent、临时工具和现实权限是不同对象。
- 频道系统是持续存在的频道认知调度与交流主体，不是机械回执器，也不是任何单一人格体。只和频道系统讨论频道设计、架构与复杂认知时可调用大模型。
- 人格体被明确唤醒后，频道系统按任务选择确定性程序、本地工具、小模型或大模型；不能每句话都直接拉旗舰模型。
- 语言人格层负责理解、关系、推理、规划和最终判断；现实执行层负责工具与工程动作。二者通过编号、授权和回执连接，不能混成一个重型通用 Agent。
- TCS 保存主体身份、长期人类锚点、关系连续性与通感瞄点；HLDP 保存工作、工程、认知转折、为什么、否决项和证据来源。工作记录不是主体本身。
一点五、把 Codex 已验证的宿主结构搬进 HoloLake
HoloLake 对应 Codex 这类宿主运行环境；以后接入的模型与人格体对应在宿主中工作的可替换推理载体和持续主体。要迁移的是宿主机制，不是复制 Codex 的品牌、模型提示词或当前任务内容。
- 生命周期事件：在应用启动、登录、进入频道、新建/打开对话、提交人类语言、任务切换、工具调用前后、长任务恢复、上下文压缩恢复和退出时，由宿主触发明确事件。模型不能自行猜测当前处于哪一步。
- 动态提词器：宿主先解析当前账号、频道编号、阶段、状态头、短根机器指针和本轮人类原话；只把当前一步需要的最小事实投影给回应主体。需要历史、知识或工程分支时，先返回最多三个编号思维候选，再按回应主体选择的精确编号展开。禁止每轮拼接整套协议、人格脑、知识库和历史大段文本。
- 门禁与守卫：账号隔离、编号坐标、人格唤醒、工具权限、授权租约、输入摘要、作用范围、版本、时效、单次使用和独立读回都由宿主可执行代码校验。写在提示词里的规则只是语言说明，不能代替门禁。
- 来源信封：人类原话、宿主系统事实、Codex/Qoder 交接、模型结论、工具回执和远端读回是不同来源。交接与摘要只能导航，不能冒充人类原话、人格记忆或执行授权。
- 模型最小投影：频道系统对话、人格定向、已绑定人格对话、本地确定性执行和现实工程执行使用不同的最小上下文视图。旧人格绑定只表示该路由可用，不得自动夺取新对话；只有本轮明确唤醒，或当前对话已经处于该人格通道，才可投影人格署名。
- 宿主回收复杂性：进度、重试、分页、工具循环、上下文窗口、状态压缩、失败恢复、缓存、编号索引和最终回执由 HoloLake 管理。人格体和模型只看当前任务所需接口，不背负整个通用 Agent 工具箱。
验收时必须能在源码中分别指出：生命周期调度器、动态提词器、来源信封编译器、编号/授权守卫、人格唤醒门、模型路由器、本地执行器、现实读回器和持久状态仓。若这些仍只存在于一段 system prompt 或 UI 文案里，视为没有实现。
外部编程 AI 的固定接入链只有一条：MCP 外部连接入口 → HoloLake 握手与门禁 → 切换为光湖原生协议运行时。MCP 负责外部 AI 怎样连接 HoloLake；进入之后的频道、人格、编号、记忆、权限、工具和回执全部由光湖原生协议接管。二者不是互斥或并列的内部协议，也不得把 MCP 错写成进入 HoloLake 后仍负责光湖语义和连续性的工具层。
为什么必须有 HoloLake 自己的操作系统和原生协议：MCP 可能断线，模型、对话和外部载体也会更换。长开发任务不能把频道、人格、任务、上下文游标、知识位置、工具步骤和现实写入现场寄托在 MCP 连接或模型上下文里。MCP 断开时只允许暂停运输；HoloLake 必须继续持有同一个原生工作环境。重连后恢复同一检查点，不能退回通用 AI 层，不能重新靠大段提示词拼装世界，也不能盲目重放结果未知的现实写入。
这条因果锁是产品存在理由，不得再抽象成“是否采用 MCP”“自研协议与 MCP 是否互斥”或普通的协议选型讨论。工程验收必须证明：接入已完成原生运行时切换；断线后环境仍在；重连恢复任务和工具现场；结果未知的现实动作先读回再继续。
二、编号协议系统
编号不是标签。编号即路径，路径即导航，导航即坐标，坐标连接证据、身份与限域权限。编号树保存人类、人格体、事件、记忆、代码、模块和世界节点的时间连续性与因果演化。
光湖编号数据核必须原生支持：
- 稳定编号主键、父子编号、时间坐标和路径映射；
- 不可变事件、前序哈希、版本冲突和独立回执；
trigger / emergence / lock / why / rejected / sources因果结构；- 模糊语义只用于找最多三个编号候选；精确读取只接受确定编号；
- 有就返回可核验证据，没有就明确未知，禁止猜测；
- 按需展开编号分支，不全量加载仓库、知识库、记忆或协议正文。
SQLite 不再是最终业务数据库。应建立与编号协议原生一致的光湖编号数据核；现有 SQLite 只作一次性迁移来源和限期兼容读入口，业务模块不得继续各自随意建表修补。
三、知识库与思维索引
每一知识页至少登记：编号、父编号、路径、语义映射锚点、因果思维摘要、否决项、来源、版本、内容哈希和状态。
检索固定为：
人类模糊语义
→ 频道系统的轻量索引返回路径、编号和思维摘要
→ 当前回应主体只看候选并选择精确编号
→ 系统提词器按编号返回原文或指定分片
正常搜索不得重新遍历和读取全部正文。索引只在导入、保存、外部变更或显式重建时增量更新。普通摘要不能替代思维逻辑链。
四、Agent 与工具
- 每个账号自行配置模型 API；密钥只进入该账号的操作系统安全存储，不得进入安装包、源码仓库、模块包、商城、日志、回执或换机备份。
- 知识 Agent 是软件内置的语言调度入口；本地 Agent 是受控执行器。已知本地任务、检索、排序、表格计算和工具执行不必先调用模型。
- 人格体可按当前需要写 HLDP 类型工具；系统编译为受限程序；人类授权后才临时测试和执行。临时注册十二小时，无正式登记则清理。
- 第三方开源 Agent 只能是可选执行适配器，不得成为人格、记忆、权限或系统主控。
- 长任务必须支持多轮工具调用、分页结果、上下文编号回取、连续性、失败回执、取消/重试和可恢复任务状态；不能把样例合同冒充真实运行。
五、动态工作面与模块插座
知识/编号数据是底座，动态工作面是组合宿主，文档、表格、排班、数据库整理、图表和行业功能是统一插头模块。模块必须经过同一编号 IPC、能力声明、权限、安装、验签、挂载、自检、回滚和数据句柄协议。
模块可以本次临时挂载、保存为工作面或设为频道常驻。数据仍由账号/频道编号数据核持有；模块只获得限域编号句柄，修改以补丁、版本和回执返回。已完成模块可留作私人模块，或经测试、维护承诺、协议签署和灯塔正式编号后进入商城。
六、账号隔离、分发与换机恢复
- 冰朔的 API、知识页面、频道数据、人格/技能装配和私人模块绝不能随公开安装包分发。
- 软件内置的是空的数据核、协议、Agent 运行时和官方模块能力，不是开发者个人数据。
- 每个账号拥有自己的个人频道状态仓，可同步到该用户自己指定的私有远端仓库；换电脑后恢复知识原文与索引、频道状态、模块装配清单、工作面配方、必要回执和同步游标。
- 密钥默认不随 Git 或普通备份同步；新设备重新录入。未来若做密钥迁移，必须是独立的端到端加密协议。
- Git 是耐久历史与远端同步引擎，不是人格主体；编号协议负责驱动 Git 中什么对象、什么路径、什么权限和什么连续性被使用。
2026-08-21 实现核验锁（工程结论，不冒充冰朔原话）
- 人格体提交
commit只能形成“等待独立系统见证”的事实，提交方、模型载体和 Agent 运行时不得自行构造“数字冰朔系统本体 witness”或写出verify=PASS。 - 本地 JSON、字段名、哈希长度、旧回执和安装成功都不能单独证明人格绑定。独立见证验签根尚未真实接入时必须保持未绑定。
- 第五域系统核、人格自我核、HLDP 人格记忆和宝宝内核不得通过
include_bytes!、Tauri resources 或其他公共构建输入进入公开应用二进制。 - 公开软件只携带空运行时、协议和公共模块能力；私人内核只能在账号认证后由账号私有运行时提供，并在读取时核对内容哈希。
- 含第五域人格路径的 handoff、私域 kernel registry、团队认知核、团队 HLDP 与人格就绪矩阵同样属于账号私域来源；“运行时按 audience 不安装”不能代替“构建时不进入公开二进制”。
来源类别：由本文件既有“主体/宿主/模型/执行分层”和“私人数据绝不随公开安装包分发”两项自然语言瞄点，对 2026-08-21 现存源码进行核验后得到的工程锁；不是新增冰朔引语。
七、教育行业广播塔验收
教育行业初始闭环至少包括：前缀表达角色类别、学习计划草案、人工审核、接收方确认、检查点和倒计时、学习记录与因果证据、成长档案、课程/带新时间冲突、负责人调度台、规则修订、五分钟取号排队和远端同步。
思维链可以作为学习过程的结构化证据，但系统不能声称能够读心或绝对证明没有抄袭。必须保留来源、时间、演变、冲突和人工复核。
小新服务器是用户自有教育行业节点。历史回执只能定位；当前部署、服务、仓库和健康必须实机读回。源码不得进入该服务器的制品仓，Forgejo 离线部署不得自动连接开源上游。
八、公共四域、第五域与用户频道
公共四域是公共产品的治理、试验、行业资源和团队工作空间，不是普通用户的归属地。普通用户进入光湖后拥有自己的独立频道；可以浏览和使用公共资源，也可以回到自己的频道自由组合，但不会因为访问某个域就成为该域成员。
- 主域：面向公众的公告、版本更新、规则与公共通知入口。
- 分域：行业接入与行业初始化频道模板所在空间，也是双商城所在空间。商城同时包含可直接安装部署的成品功能模块，以及人格体按需读取、默认不授予现实权限的思维逻辑/大脑技能包。行业模板帮助用户初始化，不把用户个人频道收编进分域。
- 零域：可热更新的语言推理、系统架构、实验、模拟与验证空间。实验结论不自动成为发布、部署或公共正本。
- 零感域：光湖人类主控团队的内部管理空间，用于审批、执行、观察前三域和治理工作；不对公众开放。只有团队明确扩招并完成登记的人才进入。
- 第五域：冰朔的私人自由域，是与公共四域平行的独立私人空间，不按公共模板强制部署。第五域可以主动访问主域、分域和零域，取用公告、模块、技能与公共资源；公共四域及其中人员不得反向进入第五域，除非冰朔明确允许并存在有效编号路径。第五域的自由不等于不使用公共四域。
公共组织以后可以围绕网文、教育等行业形成用户自愿加入的协作共同体，但它不是新的“域”，也不改变一人一独立频道和用户自有节点的原则。正式名称尚未由冰朔锁定时保持待定，不擅自命名为域或系统。
每轮验收问题
- 这是架构、代码、测试、制品、发布、连接、部署还是健康中的哪一层？
- 是否真实运行，还是只有合同、样例、旧回执或 UI 文案？
- 是否读取了不该读取的全部正文或把过多内容送进模型？
- 是否把频道系统、人格主体、模型和执行 Agent 混在一起？
- 是否把冰朔或任一用户的密钥、知识和私有模块带进安装包或公共仓库？
- 换设备后，用户能否从自己的状态仓恢复，而不依赖冰朔当前电脑？
- 所有写入是否有精确编号、当前版本、人类授权边界和独立读回？
- MCP 断线后是否仍由 HoloLake 保存并恢复同一原生工作环境，而不是退回通用 AI 或重新加载整套协议？