Vinculum concept catalog

状态：Canonical vocabulary。 本文定义 Vinculum 的核心与支撑机制；整体系统名已经确定，机制名仍可随实现和 related-work review 收敛。

核验基线： Pysolate /Users/yuzhe/projects/agent-python-runtime commit 08d212c6876856d2150716af5935c6a85b6d68af，以及本仓库中的 Proposed design。系统边界以 architecture.md 为准。

下文反引号内的 repository-relative source paths 默认指向该 Pysolate commit；Markdown links 指向本设计仓库。

命名不等于 novelty claim。 下列名字用于暴露系统自己的可辨识结构；是否属于学术新贡献，仍需逐项 literature comparison、related-work encoding 和实验验证。

Vinculum at a glance

Vinculum 指 Harness 与 Runtime 围绕同一 execution contract 形成的绑定关系，也指实现该关系的整体系统：

text

generated program
+ frozen capability surface
+ Host authority and budget
+ runtime lifecycle
+ effect and recovery semantics
+ outcome/evidence contract
→ one Vinculum execution

名字不表示模块必须位于同一进程。Harness 可以独立演进，Pysolate Runtime 也可以替换；只要双方对 identity、authority、effects、cancellation、outcome 和 evidence 使用同一 canonical contract，semantic binding 就保持成立。

0. Catalog criteria

状态 只描述证据层级：Current、Observed、Proposed、Deferred 或 Framing。平台、范围、opt-in、Run-local 等边界单列为 限定，不与状态混写。

一个概念进入目录，至少满足两项：

不只是普通实现细节，而是可以跨模块解释设计取舍；
把 Harness 与 Runtime 之间原本隐含的约束说清楚；
能形成可证伪的机制或评价问题；
和通用 “sandbox / logging / tool calling” 有明显区别；
名字不会把 evidence 夸大成 proof，也不会把 playback 夸大成 deterministic replay。

状态标签：

Current：当前实现与测试中存在；仍受源码自身边界限制；
Current / bounded：机制存在，但不能扩张为 production、任意工具或完整安全声明；
Proposed：本设计提出，尚不能写成 Pysolate 当前能力；
Framing：对若干机制的统一命名，而不是新增实现声明。

I. Core concepts

下面八个概念构成 Vinculum 的主叙事，适合进入摘要、架构图与 contribution list。

1. Warm State, Cold Authority

中文工作名：暖状态、冷权限

状态：Framing。

限定： Pysolate 提供 bounded Current support。

定义

预先初始化并共享昂贵的 Python/WASM prepared state；每次执行时才由 Host 绑定 fresh、run-bound authority：

text

warm prepared state
  artifact + CPython + trusted imports + prepared memory

cold per-run authority
  execution identity + grants + broker + budget + policy + receipts

Vinculum 要求 credentials、capability grants、approval authority 和 per-Run broker 不进入 canonical image。当前 Pysolate 通过 initialization Host-call guard、observable-global comparison 与 checkout-time broker binding 覆盖其中一部分；这不是对所有 hidden Guest state 的证明。

系统意义

传统 warm runtime 容易把初始化状态和执行权限一起缓存。这里明确要求：

共享计算状态，但不共享 authority。

这也是 COW Runtime 与 Agent Harness 真正耦合的地方：Harness 产生当前 Run 的 authority envelope；Runtime 在可观察边界内拒绝 warmup/attach Host calls、global drift 和 identity mismatch。

当前机制证据

runtime/engine/wazero/cow_runtime_linux.go：canonical warmup 和每-slot preparation 都安装 Host-call guard；
runtime/engine/wazero/prepared_attach_oracle.go：初始化期间任何 Host call 都导致 attach 失败；
docs/prepared-state-audit.md：per-Run broker 在 checkout 时绑定，不进入 Guest snapshot。

非声明

warm state 本身不证明 package 没有 hidden mutable state；
canonical image digest 不证明业务语义正确；
不是 credential snapshot 或 session restore。

2. Disposable COW

中文工作名：一次性 COW / 用后即弃 COW

状态：Current。

限定： 仅指 Pysolate Linux cow-ready-single-use path；Vinculum-wide density claim 仍是 Proposed。

定义

用 COW 共享 prepared image 来降低 ready-memory 和 preparation cost，但不要求把执行过的 Python interpreter 完整复位：

text

canonical prepared image
       │ MAP_PRIVATE
       ├── fresh slot → serve once → discard
       ├── fresh slot → serve once → discard
       └── fresh slot → uncertainty → discard

它把两个经常被错误绑定的问题拆开：

text

COW sharing ≠ served-instance reuse

系统意义

多数 snapshot/pool 设计追求复用同一 live interpreter，于是必须证明 linear memory、globals、tables、WASI resources、Host state 和失败路径都能复原。Disposable COW 选择另一条路径：

通过廉价替换避免不可信 reset，而不是先解决完整 reset。

这不是普通 process-per-request；它仍共享 canonical memory pages，并把 slot 当作可消耗 inventory。

当前机制证据

docs/adr/0008-cow-python-reactor-performance-density.md：cow-ready-single-use 是第一阶段；
runtime/engine/wazero/cow_runtime_linux.go：每个 slot 从 sealed canonical image 取得 private mapping；
runtime/engine/wazero/prepared_pool.go：checkout 后异步补充，从不把 served instance 放回 pool；
runtime/engine/wazero/reactor_state_census.go：未知状态类阻止 reusable-restore claim。

3. Authority-Preserving Tool-Call Lowering

短名：Programmatic Tool Calling

中文工作名：保权工具调用下放 / 工具调用程序化下放

状态：Current。

限定： 当前实现覆盖 bounded schema projection 与 generated wrapper surface，不单独建立完整 Vinculum authority/effect semantics。

定义

Harness 不再让模型逐个往返调用 MCP tools，而是把一组 typed tool interactions 下放为一个受限 Python program：

text

model ↔ tool ↔ model ↔ tool

          ↓ lowering

model → generated Python { loop, branch, aggregate, tool calls } → result

这里的 lowering 不只是生成 Python wrapper，而是同时冻结：

系统意义

它同时解释性能、Agent 编程模型和治理：

减少 model/tool round trips；
中间数据和控制流停留在代码内；
Harness 可以把完整 workflow 当成一个 execution/transaction unit；
生成程序仍没有 provider-native client 或 credential；
Runtime 必须提供 Host-mediated typed calls、identity、budget、journal 和 cancellation。

当前机制证据

docs/adr/0007-mcp-transactional-tool-workflows.md；
runtime/toolcatalog/catalog.go、runtime/toolcatalog/projection.go、runtime/toolcatalog/generate.go；
runtime/capability/broker.go；
eval/agentic/python.go、eval/agentic/tools.go。

4. Frozen Capability Surface

中文工作名：冻结能力面

状态：Current。

限定： Pysolate 当前实现是 bounded capability surface；不存在 production write/effect capability claim。

定义

每个 Run 使用一个 immutable、digest-addressed ToolCatalogSnapshot。MCP schema 只是 canonical validation source；真正可执行的能力面还必须叠加 Host grant、effect classification、policy 和 budget。

text

MCP discovery
     + Host authority overlay
     + schema projection verdict
     + handler/grant versions
     ↓
Frozen Capability Surface for one Run

运行中的 catalog 不热更新。新发现的工具、schema drift 或 grant 变化只能进入后续 Run。

系统意义

通常的 tool schema 只描述“怎么调用”，这里的 surface 同时描述：

这个 Run 看见什么、能调用什么、调用多少次、以什么 effect/policy 语义调用。

因此 schema discovery 不等于 capability discovery；MCP annotations 也不是 authority。

关键机制

projection 明确为 exact / lossy / unsupported；
unsupported 不自动暴露；
Python name collision、stale grant 和 stale digest fail closed；
authority-like schema fields 被拒绝；
generated SDK、.pyi、reflection 和 runtime validator 共享 catalog identity。

5. One Effect Plane

中文工作名：单一效果面 / 治理路径汇流

状态：Proposed。

限定： Pysolate 当前仅提供 bounded Host-mediated capability/transaction foundation；不存在 general external write/effect claim。

定义

Direct Agent tool call 与 generated-Python call 可以有不同入口，但必须汇入同一 authoritative Host path：

text

Direct call ───────────┐
                       ├→ registry → grant → policy → transaction
Python-in-sandbox call ┘                 → adapter → receipt

系统意义

如果两条路径有不同 budget、policy、approval 或 journal，Agent 可以通过选择表示方式绕过治理。这里把“代码下放”限制为 execution optimization，而不是 authority escalation。

核心不变量

Path may change orchestration cost; path must not change authority or effect semantics.

One Host Path 是实现规则；One Effect Plane 是 canonical mechanism name。

6. Ambiguity Firewall

中文工作名：歧义防火墙

状态：Current。

限定： 当前证据覆盖 transaction ambiguity state model；live provider coverage 与 recovery guarantee 仍取决于 Proposed adapter qualification。

定义

将“请求已派发但结果未知”建模为独立的 durable state，而不是普通 failure：

text

dispatching
   ├── succeeded
   ├── failed
   └── ambiguous → reconciliation required
                         ├── readback
                         ├── provider identity/idempotency
                         └── human/operator resolution

处于 ambiguous 时，系统阻断：

blind retry；
假定 commit；
假定 rollback；
自动 compensation；
后续依赖该结果的 effect。

系统意义

很多 Agent 系统把 timeout 直接当成“工具失败”，然后重新调用。对于邮件、支付、部署、工单等写入，这可能重复真实效果。

Ambiguity Firewall 把不确定性变成执行控制状态，而不是日志字段。

当前机制证据

runtime/transaction/state_machine.go 中 transaction、operation、attempt 的 reconciliation states；
runtime/transaction/coordinator.go 中 provider request digest、attempt lease 和 reconcile path；
docs/effect-plane.md 与 ADR 0007。

7. Qualified Replay

中文工作名：资格化重放 / 有界重放

状态：Proposed。

限定： 当前 Pysolate metadata trace 只支持 R0 Structural playback。

定义

Replay 不是布尔能力，而是一份带前提和 verifier 的 contract：

text

R0 Structural playback
R1 Input-injection replay
R2 State-equivalent replay
R3 Outcome-equivalent replay
R4 Counterfactual replay

每次 replay claim 必须绑定：

系统意义

它阻止三种偷换：

text

can run again       ≠ replay
same trace shape    ≠ same computation
replay computation  ≠ repeat real-world effects

当前 agenttrace.LoadPlayback 应称为 structural recorded playback；只有 Harness 同时提供 checkpoint、provider recording 和 verifier 时，才能升级 replay level。

8. Environment Crystallization

中文工作名：环境结晶化

状态：Proposed。

定义

Harness 通过受控观察和资格化，把未知、流动的外部系统逐渐转化成可以引用和检验的稳定构件：

text

unknown surface
  → observation corpus
  → inferred contract candidate
  → frozen fixture / state model
  → differential qualification
  → versioned adapter cohort

“结晶”不是让真实系统停止变化，而是在给定版本、状态投影和有效期内形成一个稳定 qualification identity。

系统意义

它为“系统如何持续学习”提供了比 online self-modification 更安全的说法：

学习的是 harness 对环境的可检验模型，不是 Agent 的执行权限。

Drift 可以使 crystal 失效：adapter 必须降级、quarantine、重新资格化，历史 evidence 继续绑定旧 cohort。

三条安全公理

text

observation does not grant authority
inference does not become a guarantee
passing examples do not prove a complete model

II. Supporting mechanisms

这些概念不一定进入标题，但能让上面八个 headline concepts 可实现、可评价。

9. State-Census Gate

状态：Current。

在启用 COW/reuse 类优化前，枚举 exact artifact 中可见与不可见的 state classes。未知 state class 不是备注，而是 promotion blocker。

text

memory + globals + tables + segments + WASI + Host state
                         ↓ census
single-use-only | restore-eligible

关键思想：

Optimization eligibility is derived from observable state coverage, not inferred from successful tests.

源码：runtime/engine/wazero/reactor_artifact_census.go、runtime/engine/wazero/reactor_state_census.go。

10. Snapshot Shell

状态：Current。

限定： opt-in。

把 WebAssembly active data segments 从待重复实例化的 module shell 中抽离，先物化 seed memory，再执行一次 canonical initialization 并 seal COW image：

text

full Wasm = executable shell + active data
                         ↓ split
compiled data-light shell + COW-seeded memory image

它减少 replacement instantiation 重复应用大 data section 的成本，但保持 non-Data sections 和最终 canonical memory semantics。只支持 fixed local memory、constant offsets、无 start section 的 artifact，其他情况 fail closed。

“Snapshot Shell”已经足够有辨识度，建议保留现名；更解释性的副名是 Data-Decoupled Instantiation。

11. Readiness as Inventory

中文工作名：就绪态库存化

状态：Current。

将 initialized-but-never-served slots 作为消耗型 inventory，与 active concurrency 和 refill work 分开建模：

text

ready inventory --checkout--> active --complete--> retired
       ↑                                      │
       └──────── asynchronous replenish ──────┘

因此必须分别测量：

这解释了为什么 ready density 不能直接写成 concurrency，也解释了 adaptive refill 的 CPU/latency trade-off。

12. Bounded Greed

中文工作名：有界贪心 / 非扩权自适应

状态：Current。

限定： 现阶段是 bounded Host-owned library surface；安全硬边界不能被 greed 绕过，且并非所有 entry point 已统一接入。

用户只提供：

text

max memory + max CPU + greed(0..100)

versioned policy compiler 将 greed 映射为 soft admission、reservation quantile、retry、sampling、watermark 和 speculative eviction policy，但 greed 永远不能抬高 hard memory/CPU boundary。

text

Greed changes risk posture inside the box;
it never enlarges the box.

推荐把实现叫 Bounded Greed Compiler，把原则叫 Non-Escalating Adaptivity。

13. Transaction Envelope

副名：Transaction Outside, Operations Inside

状态：Current。

限定： 当前证据覆盖 transaction model；production effect adapter qualification 仍是 Proposed。

一个 generated Python Run 是一个 workflow transaction envelope；代码内可以产生多个 ordered operations 与 attempts：

text

one Run / transaction
├── operation 1
│   ├── apply attempt
│   └── rollback attempt
├── operation 2
└── operation 3
    └── compensation attempt

公开控制面保持 transaction-granular，Host journal 保持 operation/attempt-granular。这样既避免把 rollback authority 暴露成任意 Guest primitive，也保留诊断和恢复所需粒度。

14. Phase-Separated Authority

中文工作名：分阶段权限 / 提交权相位隔离

状态：Current。

限定： 当前证据覆盖 transaction authority model；完整 provider commit semantics 仍是 Proposed。

Staging execution 与 commit/approval 使用不同的 Host phase grant。Generated code 不能在同一 staging authority 中给自己升级到 commit authority：

text

stage intent
   → end staging Run
   → fresh Host/user authority
   → bind immutable manifest digest
   → commit

参数变化意味着新 intent，而不是沿用旧 approval。

核心不变量：

The code that proposes an effect cannot mint the authority that commits it.

15. Effect Identity Triad

中文工作名：效果身份三元组

状态：Current。

限定： 当前 identity model 是 Run-local；跨 provider/general effect identity 仍是 Proposed generalization。

每个 effect 必须区分：

logical operation：业务意图；
attempt：一次 apply/rollback/compensation 派发；
provider request identity：外部系统看到的 request/idempotency identity。

把三者合并成一个 tool_call_id 会让 retry、reconciliation 和 audit 语义无法表达。

16. Truthful Recovery Floor

中文工作名：最弱真实恢复保证

状态：Framing。

限定： Pysolate 当前 transaction state model 提供 bounded support，不建立 general provider recovery guarantee。

Mixed workflow 的整体保证由最弱且已经 committed 的 effect 决定，而不是由最强 adapter 决定：

text

reversible + compensatable     → rollback + compensation
reversible + irreversible      → cannot claim full rollback
anything + ambiguous           → reconciliation required

推荐原则表达：

A workflow advertises no stronger recovery guarantee than its weakest committed effect.

它比“事务成功/失败”的二元模型更诚实。

17. Execution Lineage Spine

中文工作名：执行谱系脊柱

状态：Current。

限定： bounded metadata/receipt lineage；不是完整 causal graph。

用 Host-authored coordinates 将 Harness output、实际执行代码、capability receipts、transaction 和 final-state digest 串在同一条 lineage 上：

text

agent run / turn / output item / segment
  → logical invocation
  → invocation attempt
  → Host execution
  → effective code digest
  → capability/effect receipts
  → checkpoint/final-state digest

Guest 的 run_id 不承担 authority；executed_code_sha256 指向 wrapper/compaction 后真正执行的 bytes，而不是原始模型片段。

它不等同于完整 causal proof，但提供跨 Harness/Runtime 边界的稳定关联主干。

18. Claim-Scoped Trust

中文工作名：声明域可信

状态：Proposed。

可信不是 sandbox 的全局布尔属性，而是：

text

Trust(claim, evidence, verifier policy, threat model)

同一 Evidence Bundle 可以充分支持“执行了这些 bytes”，却不足以支持“Agent 完成了业务任务”或“外部系统没有隐藏副作用”。

与之配套的机制名：

Claim–Evidence Contract：每个 claim 声明最小必要 evidence；
Evidence Ceiling：系统不得发布强于现有 evidence level 的结论；
Independent Outcome Oracle：业务结果不能只由执行者自述。

19. Producer Determinism Gate

中文工作名：生产者确定性门禁

状态：Current。

限定： build gate 已实现；其必要性由 observed producer divergence 支撑。

Determinism 不能从 Runner.Run 才开始。Guest bundle 必须在 independent clean builds 中拥有相同 file set 和 byte-identical contents；发生差异时修正 producer，而不是给 comparator 增加忽略规则。

text

source + locked toolchain + deterministic pack context
   → exact artifact bytes
   → runtime identity
   → execution/replay claim

Pysolate 的实际排查证明 pack-time monotonic clock 可以通过 mimalloc weak-random fallback 污染 Wizer snapshot。这个案例支持一个更一般的原则：

A deterministic runtime cannot repair an indeterminate executable image.

源码与证据：docs/reproducibility.md、.github/workflows/reproducibility.yml、tools/compare_guest_builds.py。

20. Typed Warm Images

中文工作名：类型化暖镜像

状态：Current。

限定： 只覆盖已实现且已资格化的 prepared profiles。

CPython-ready 与 NumPy-ready 不是同一个 pool 的模糊温度差异，而是不同的 prepared image type。request-shell-ready 只能在对应 profile 和 qualification evidence 落地后作为新的 type；当前不据此作实现声明。每种 image 绑定：

artifact/profile identity；
audited warmup recipe；
warmup generation digest；
fixture compatibility；
qualification/limitation class。

text

request requirements
   × artifact/profile
   × warmup recipe
   → exact warm-image type

这避免 Harness 把“有一个 warm Python”误当成“所有 package/workload 都已 ready”。它也把 A+B+C 生命周期写清楚：factory、profile warmup 和 request service 是不同成本。

推荐原则：

Readiness is typed by what has been prepared, not expressed as one boolean.

21. Attempt-Bound Footprint

中文工作名：尝试级内存归因

状态：Current。

限定： 仅适用于 supported Linux COW path。

在同一进程承载大量 COW slots 时，whole-process RSS 不能回答某个 Agent execution 写脏了多少内存。Runtime 将 live COW mapping 临时绑定到 Host attempt_id，并只采样该 attempt 的 mapping footprint：

text

attempt_id
  → exact live mapping
  → RSS / PSS / private-dirty / anonymous / swap
  → profile and reclaim evidence

若 mapping 不可识别，采样失败；不会静默退化为 whole-process accounting。

源码：runtime/engine/wazero/active_footprint.go、runtime/engine/footprint.go。

它支撑的更高层原则是：

Density control needs per-attempt attribution, not only process telemetry.

22. Portable Evidence / Private Diagnostics Split

中文工作名：可移植证据 / 私有诊断分层

状态：Current。

限定： bounded evidence schema 与 opt-in diagnostics；不保证任意 trace 都已脱敏。

Portable trace 默认只保存 versioned metadata、identities 和 digests；prompt、provider body、代码、参数、observation、credentials 等 raw material 留在独立的 0700/0600 diagnostic path，并拥有不同 retention/publication decision。

text

portable evidence
  metadata + digest + lineage + bounded outcomes

private diagnostics
  raw payloads + sensitive reproduction material

这不是“为了隐私删掉证据”，而是承认两个 verifier 需求不同：portable audit 需要最小、可共享的 claim evidence；深度复现可能需要受控 raw artifact。

核心原则：

Evidence portability and diagnostic completeness are separate trust domains.

源码：docs/agent-trace-plugin.md 与相关 agenttrace store/plugin 实现。

23. Identity-Bound Call Replay

中文工作名：调用身份绑定重放

状态：Current。

限定： Run-local identity/replay only。

同一 Run 内，typed call 以 Host-bounded call_id + request_digest 识别。重复调用只有在 identity 与 request 完全一致时才能复用已记录 response；同一个 call_id 携带不同 request 会 fail closed。若此前 dispatch outcome 进入 transaction ambiguity，replay 不返回伪造的确定结果，而是要求 reconciliation。

text

same call_id + same request digest + settled outcome
   → return recorded response

same call_id + different request
   → conflict

ambiguous admitted call
   → reconciliation required

源码：runtime/capability/registry.go、runtime/capability/coordinator_binder.go。

它比“重试时缓存响应”更准确的抽象是：

Replay rights are bound to call identity and settled effect state.

24. Verified Reclaim

中文工作名：核验式回收

状态：Current。

限定： bounded Linux path。

Scheduler 不能把“发出 cancel”或“选择 victim”记成已释放内存。一次 reclaim 必须分开记录：

text

victim selected
  → cancellation dispatched
  → executor terminated
  → exact COW mapping disappeared
  → observed memory relief
  → reclaim confirmed

无法证明 mapping 消失或内存回落时，scheduler 保留 uncertainty，而不是把理论释放量写成事实。

源码：runtime/scheduler/coordinator.go、runtime/scheduler/pressure.go、runtime/engine/wazero/cow_memory_linux.go、runtime/scheduler/reclaim_evidence.go。

核心原则：

Reclaim is an observation, not a command.

25. Strategy Truthfulness

中文工作名：执行策略真实性

状态：Current。

显式请求 COW 时，系统必须证明实际 active strategy；unsupported platform、memory shape、state census 或 attach failure 不能静默回退到 fresh path 后仍把结果标成 COW evidence。

text

requested strategy
   → qualification gate
   → active strategy identity
   → strategy-specific evidence

silent fallback
   → invalid evidence

源码：runtime/engine/wazero/engine.go、runtime/evidence/lifecycle_density.go、docs/adr/0008-cow-python-reactor-performance-density.md。

推荐短句：

Fallback may preserve service, but it must not preserve the stronger claim.

26. Lifecycle-Resolved Density

中文工作名：生命周期分辨密度

状态：Current。

限定： lifecycle-resolved evidence model 已实现；数值结论只来自明确冻结的 observed reports。

性能不使用一个模糊的“启动时间”或“并发数”，而按 artifact lifecycle 分解：

text

A = factory / compile / canonical-image construction
B = profile preparation / pool fill / refill
C = request checkout / attach / execute / retire

不同部署方式必须明确比较 A+B+C、amortized A+B、steady-state C 中的哪一种；ready slots、active attempts、burst saturation、dirty rate、refill deficit 和 stable capacity 分别报告。

源码：runtime/evidence/lifecycle_density.go、docs/reports/scheduler-experiment-results.md、docs/adr/0008-cow-python-reactor-performance-density.md。

它避免两种常见错误：把 warmup 重复加到每个 request，或用 memory-only slot estimate 冒充 effective concurrency。

27. Manifest-Bound Receipts

中文工作名：清单绑定回执

状态：Current。

限定： bounded Host-verified receipt schema；不是 provider final-state proof。字段规范由 architecture.md 的 Execution Contract 与 effects-and-replay.md 的 effect receipt contract 持有；本节只定义机制名称。

Capability receipt 不是 handler 自由书写的“success log”，而是由 Host 对一个 bounded evidence draft 进行校验并绑定到完整 effect context：

text

run + call + tool
 + transaction / operation / attempt
 + catalog + handler + policy + effect class
 + immutable manifest
 + provider-request identity
 + request / response digest
 + bounded outcome
 → receipt identity

当 binder completion 失败或 outcome ambiguous 时，receipt 不能维持普通成功语义，而应显式进入 reconciliation_required。Receipt 仍然不是 authoritative final-state proof；它证明的是 Host 观察到并绑定了哪次尝试及其 bounded outcome。

源码：runtime/receipt/receipt.go、runtime/capability/broker.go、runtime/capability/registry.go、runtime/transaction/evidence_export.go。

核心原则：

A receipt is meaningful only when it is bound to the exact authority, intent, attempt, and manifest that produced it.

28. Sealed Sparse Baseline

中文工作名：封存稀疏基线

状态：Current。

限定： Linux COW path only。

Canonical Guest linear memory 被写入 sparse Linux memfd，并通过 seals 固定大小和内容；每个 slot 获得自己的 MAP_PRIVATE mapping，再把同一 baseline 接入固定地址。这里共享的是 artifact-backed memory image，不是整个进程地址空间：

text

prepared linear memory
  → sparse memfd
  → immutable seals
  → per-slot private mapping
  → page-level COW

零页数量和 sparse potential 只是 measured properties，不承诺等量 RSS 节省。Identity/seal、inode/device、mapping size/address 任一不匹配都必须失败。

源码：runtime/engine/wazero/cow_memory_linux.go、runtime/engine/wazero/cow_runtime.go。

它与 Disposable COW 的关系是：Sealed Sparse Baseline 描述“共享什么”，Disposable COW 描述“served slot 如何结束生命周期”。

29. Prepared Attach Oracle

中文工作名：预备附着判定器

状态：Current。

限定： bounded attach eligibility oracle；不证明 hidden Guest state 完整无污染。

Slot 进入 ready pool 前，不只检查实例化成功，还验证：

initialization/attach 期间没有 Host capability call；
所有可观察 mutable globals 仍等于 canonical snapshot；
artifact、memory 和 generation identity 匹配。

text

private mapping attached
  + no initialization Host calls
  + canonical globals unchanged
  + generation identity matches
  → ready admission

它是 Warm State, Cold Authority 的 executable gate。未导出 globals、tables、WASI resources、module-instance state 等仍在当前 oracle 的观察边界之外，因此不能推出 served-slot restore 安全。

源码：runtime/engine/wazero/prepared_attach_oracle.go、runtime/engine/wazero/cow_runtime_linux.go。

30. Supply-Sensitive Refill

中文工作名：供给感知补充

状态：Current。

限定： adaptive mode opt-in。

Refill 并发由 ready watermarks、waiting callers 和 critical deficit 决定，而不是固定创建 N 个 replacement workers；连续失败会触发 exponential backoff、breaker 和 single half-open probe：

text

ready + queued + refilling
  → accounted supply
  → deficit
  → watermark/waiter-sensitive refill bound
  → backoff / breaker on failure

它优化的是 ready inventory 的恢复速度，不是 Guest 单次 execute latency；提高 refill concurrency 也会增加 CPU contention。

源码：runtime/engine/wazero/prepared_pool.go、runtime/engine/wazero/prepared_refill_policy.go。

31. Bounded Schema Projection

中文工作名：有界 Schema 投影

状态：Current。

限定： bounded schema subset；lossy/unsupported 不得静默升级为 callable authority。

MCP JSON Schema 不能直接等同于安全、忠实的 Python API。Projection 必须：

canonicalize schema；
限制 depth、nodes、properties、enums、branches 和 bytes；
处理 Python keyword/reserved-name/collision；
标记 exact / lossy / unsupported；
拒绝 credential、authorization、headers 等 authority-bearing fields；
对 unsupported surface fail closed。

核心原则：

Schema discovery does not imply safe language lowering, and language lowering does not grant authority.

源码：runtime/toolcatalog/catalog.go、runtime/toolcatalog/projection.go。

32. Effect–Authority Orthogonality

中文工作名：效果—权限正交性

状态：Framing。

限定： Pysolate 当前 transaction types/coordinator 提供 bounded implementation evidence。

Effect class 回答“操作完成后能怎样恢复”；commit policy 回答“谁能授权它发生”。两者必须独立：

text

reversible / compensatable / irreversible
                 ×
deny / auto / agent-phase / user-approval

一个 reversible effect 仍然可以要求 user approval；一个获得 approval 的 irreversible effect 仍然不可 rollback。MCP annotation 既不能决定 effect class，也不能生成 commit authority。

源码：runtime/transaction/types.go、runtime/transaction/coordinator.go、docs/adr/0007-mcp-transactional-tool-workflows.md。

33. Host-Owned Recovery

中文工作名：Host 持有的恢复权

状态：Framing。

限定： Pysolate 当前 Host-owned transaction recovery scaffolding 已实现；qualified provider adapter expansion 仍是 Proposed。

Generated program 可以请求 transaction-level abort，但不能提供 arbitrary rollback function、恢复参数或单 operation undo authority。Host 根据 reverse-order abort plan 和 qualified adapter 派发独立 rollback/compensation attempts：

text

Guest requests abort
  → Host classifies effect mix
  → bounded reverse-order plan
  → rollback or compensation attempts
  → guarded completion evidence

Concurrent version conflict 必须停止 exact restore；compensation 失败不能报告 rolled back；没有 qualified recovery handler 的 operation 不能自动撤销。

源码：runtime/capability/transaction_control.go、runtime/transaction/abort_plan.go、runtime/transaction/state_machine.go。

34. Atomic Evidence Snapshot

中文工作名：原子证据快照

状态：Current。

限定： transaction evidence model；不代表所有外部 provider 状态都在同一原子边界内。Evidence Bundle 的 canonical contract 仍由 architecture.md 持有；本节只命名 atomic export boundary。

Transaction evidence 不能通过分别读取 transactions、operations、attempts、approvals 和 transitions 后事后拼接。Ledger 必须在同一 atomic read boundary 返回完整 JournalSnapshot，随后验证关联、顺序、状态和 digest：

text

one atomic ledger boundary
  → transaction
  + operations
  + attempts
  + approvals
  + transitions
  → validated evidence export

这避免导出一组“每条都曾经成立，但从未在同一时刻共同成立”的状态。它不证明 provider final state，也不提供 against-the-Host tamper resistance。

源码：runtime/transaction/ledger.go、runtime/transaction/evidence_export.go。

35. Provenance-Locked Harness

中文工作名：溯源锁定 Harness

状态：Current。

限定： scripted harness、bounded provenance coverage。

实验 Harness 在运行前锁定 repository commit、Host/Guest artifact digest、dataset、prompt/schema manifest、fixture、policy/catalog 和 budgets。Trial spec、records 与 comparison 必须属于同一 experiment identity；缺失、重复、未注册或 digest 不匹配时 fail closed。

text

provenance manifest
  → trial specification
  → execution records
  → completeness validation
  → comparison eligibility

Scripted fixture 通过只能证明 harness contract 和 fixture path；不能被包装成真实模型效果、token saving 或 provider behavior 证据。

源码：eval/harness/harness.go；Vinculum 映射见 pysolate-mapping.md。

核心原则：

Experiment provenance is a precondition for comparison, not metadata added after the result.

III. 概念之间的组合关系

这些名字不是平铺的 feature list，而是三条相互咬合的链。

1. Density chain

text

Producer Determinism Gate
   → State-Census Gate
   → Strategy Truthfulness
   → Typed Warm Images
   → Warm State, Cold Authority
   → Prepared Attach Oracle
   → Snapshot Shell
   → Sealed Sparse Baseline
   → Disposable COW
   → Readiness as Inventory
   → Supply-Sensitive Refill
   → Attempt-Bound Footprint
   → Bounded Greed
   → Verified Reclaim
   → Lifecycle-Resolved Density

它回答：如何在不先声称完整 interpreter reset 的情况下，提供低延迟、高 ready density 的 Python execution。

2. Programmatic tool chain

text

Frozen Capability Surface
   → Bounded Schema Projection
   → Authority-Preserving Tool-Call Lowering
   → One Effect Plane
   → Transaction Envelope
   → Identity-Bound Call Replay
   → Effect–Authority Orthogonality
   → Phase-Separated Authority
   → Host-Owned Recovery

它回答：如何把 MCP/tool orchestration 下放到代码，同时不把 credential、policy choice 或 commit authority 下放给代码。

3. Effect and evidence chain

text

Effect Identity Triad
   → Manifest-Bound Receipts
   → Ambiguity Firewall
   → Truthful Recovery Floor
   → Atomic Evidence Snapshot
   → Execution Lineage Spine
   → Portable Evidence / Private Diagnostics Split
   → Provenance-Locked Harness
   → Qualified Replay
   → Environment Crystallization
   → Claim-Scoped Trust

它回答：如何在 external state 部分可控、持续变化、甚至未知时，仍给出不超过证据强度的 audit/replay/effect claim。

IV. Canonical Vinculum narrative

系统层只使用 Vinculum；sandbox、replay、evidence 或 COW 都不能单独代替总名。面向摘要和架构图时，按问题域选择机制，而不是列出全部 35 个术语：

Runtime lifecycle：Warm State, Cold Authority、Disposable COW；
programmatic tools：Authority-Preserving Tool-Call Lowering、Frozen Capability Surface；
effects：One Effect Plane、Ambiguity Firewall；
evidence/replay：Manifest-Bound Receipts、Qualified Replay、Claim-Scoped Trust；
adaptation：Environment Crystallization。

这些术语共同解释 Vinculum 名称中的 binding：一次 execution 将 program、authority、lifecycle、effects 与 evidence 绑定到同一 contract，而不是把独立 feature 装进同一个 sandbox。

V. 需要谨慎使用的词

词	风险	推荐替代
`proof`	evidence 不等于 semantic proof	evidence、witness、claim-scoped verification
`deterministic replay`	当前 metadata trace 不支持	structural playback、qualified replay
`transactional MCP`	容易被理解为跨 provider ACID	transaction envelope、effect journal
`rollback`	compensation 不是 exact restore	rollback / compensation 明确分开
`reusable interpreter`	当前 served slots 用后即弃	Disposable COW、single-use COW slot
`self-learning harness`	容易暗示在线自动扩权	Environment Crystallization、qualified harness evolution
`trusted sandbox`	没有 claim/verifier/threat model	Claim-Scoped Trust

Vinculum concept catalog ​

Vinculum at a glance ​

0. Catalog criteria ​

I. Core concepts ​

1. Warm State, Cold Authority ​

定义 ​

系统意义 ​

当前机制证据 ​

非声明 ​

2. Disposable COW ​

定义 ​

系统意义 ​

当前机制证据 ​

推荐术语 ​

3. Authority-Preserving Tool-Call Lowering ​

定义 ​

系统意义 ​

当前机制证据 ​

推荐区别 ​

4. Frozen Capability Surface ​

定义 ​

系统意义 ​

关键机制 ​

5. One Effect Plane ​

定义 ​

系统意义 ​

核心不变量 ​

6. Ambiguity Firewall ​

定义 ​

系统意义 ​

当前机制证据 ​

7. Qualified Replay ​

定义 ​

系统意义 ​

8. Environment Crystallization ​

定义 ​

系统意义 ​

三条安全公理 ​

II. Supporting mechanisms ​

9. State-Census Gate ​

10. Snapshot Shell ​

11. Readiness as Inventory ​

12. Bounded Greed ​

13. Transaction Envelope ​

14. Phase-Separated Authority ​

15. Effect Identity Triad ​

16. Truthful Recovery Floor ​

17. Execution Lineage Spine ​

18. Claim-Scoped Trust ​

19. Producer Determinism Gate ​

20. Typed Warm Images ​

21. Attempt-Bound Footprint ​

22. Portable Evidence / Private Diagnostics Split ​

23. Identity-Bound Call Replay ​

24. Verified Reclaim ​

25. Strategy Truthfulness ​

26. Lifecycle-Resolved Density ​

27. Manifest-Bound Receipts ​

28. Sealed Sparse Baseline ​

29. Prepared Attach Oracle ​

30. Supply-Sensitive Refill ​

31. Bounded Schema Projection ​

32. Effect–Authority Orthogonality ​

33. Host-Owned Recovery ​

34. Atomic Evidence Snapshot ​

35. Provenance-Locked Harness ​

III. 概念之间的组合关系 ​

1. Density chain ​

2. Programmatic tool chain ​

3. Effect and evidence chain ​

IV. Canonical Vinculum narrative ​

V. 需要谨慎使用的词 ​

Vinculum concept catalog

Vinculum at a glance

0. Catalog criteria

I. Core concepts

1. Warm State, Cold Authority

定义

系统意义

当前机制证据

非声明

2. Disposable COW

定义

系统意义

当前机制证据

推荐术语

3. Authority-Preserving Tool-Call Lowering

定义

系统意义

当前机制证据

推荐区别

4. Frozen Capability Surface

定义

系统意义

关键机制

5. One Effect Plane

定义

系统意义

核心不变量

6. Ambiguity Firewall

定义

系统意义

当前机制证据

7. Qualified Replay

定义

系统意义

8. Environment Crystallization

定义

系统意义

三条安全公理

II. Supporting mechanisms

9. State-Census Gate

10. Snapshot Shell

11. Readiness as Inventory

12. Bounded Greed

13. Transaction Envelope

14. Phase-Separated Authority

15. Effect Identity Triad

16. Truthful Recovery Floor

17. Execution Lineage Spine

18. Claim-Scoped Trust

19. Producer Determinism Gate

20. Typed Warm Images

21. Attempt-Bound Footprint

22. Portable Evidence / Private Diagnostics Split

23. Identity-Bound Call Replay

24. Verified Reclaim

25. Strategy Truthfulness

26. Lifecycle-Resolved Density

27. Manifest-Bound Receipts

28. Sealed Sparse Baseline

29. Prepared Attach Oracle

30. Supply-Sensitive Refill

31. Bounded Schema Projection

32. Effect–Authority Orthogonality

33. Host-Owned Recovery

34. Atomic Evidence Snapshot

35. Provenance-Locked Harness

III. 概念之间的组合关系

1. Density chain

2. Programmatic tool chain

3. Effect and evidence chain

IV. Canonical Vinculum narrative

V. 需要谨慎使用的词