Vinculum

Appearance

Vinculum references and claim boundaries ​

Checked: 2026-08-04。此列表是 Vinculum 的初始证据地图，不是完整 literature review。每条都记录来源支持什么、不能支持什么；只有完成 representative coverage 后，gap hypothesis 才能升级为 novelty claim。System claims 见 architecture.md，开放研究问题见 research-gaps-and-risks.md。

1. Deterministic record/replay ​

O'Callahan et al., “Deterministic Record-and-Replay,” ACM Queue / CACM ​

  • URL: https://queue.acm.org/detail.cfm?id=3688088
  • 类型：systems practice / research overview。
  • 支持：record/replay 的核心是记录执行从外界接收的 nondeterministic inputs，再在 replay 中注入；也讨论 record/replay 对 lightweight auditing 的用途。
  • 不支持：不能据此声称捕获 OS/process nondeterminism 就足以重放 LLM、mutable provider、human approval 或真实副作用。

QEMU, “Record/replay” ​

  • URL: https://www.qemu.org/docs/master/system/replay.html
  • 类型：官方系统文档。
  • 支持：设备输入、network packets、serial/audio input 和 hardware clocks 都属于需要记录的 nondeterministic data。
  • 不支持：QEMU replay 不定义 Agent-level semantic equivalence、tool policy 或 provider reconciliation。

Temporal, “Workflow Definition / Replay / Versioning” ​

2. Provenance and reproducible artifacts ​

SLSA v1.2, Build Provenance / FAQ ​

  • URLs:
  • 类型：industry specification。
  • 支持：provenance 应描述 build subject、builder、external/internal parameters 等；verified reproducible 需要独立 build platforms 交叉验证，而不是一次 build 自述。
  • 不支持：build provenance/reproducibility 不证明运行时 policy、执行语义、Agent outcome 或外部效果。

Reproducible Builds, “Documentation” ​

  • URL: https://reproducible-builds.org/docs/
  • 类型：community technical documentation。
  • 支持：timestamps、build path、locale、timezone、filesystem ordering 等都可能造成 artifact nondeterminism，需要逐来源规范化或固定。
  • 不支持：byte-identical build 不证明 source、compiler 或最终程序语义可信。

3. Isolation, density and attestation ​

Agache et al., “Firecracker: Lightweight Virtualization for Serverless Applications,” NSDI 2020 ​

  • URL: https://www.usenix.org/conference/nsdi20/presentation/agache
  • 类型：peer-reviewed systems paper。
  • 支持：serverless multi-tenant workload 需要共同优化 isolation、startup、memory overhead 和 host density；microVM 是一种经过实证的设计点。
  • 不支持：microVM/COW 的隔离与性能结果不能直接迁移为 Pysolate、WASI 或 Agent workload 的安全/密度证据。

IETF RFC 9334, “Remote ATtestation procedureS (RATS) Architecture” ​

  • URL: https://www.rfc-editor.org/rfc/rfc9334.html
  • 类型：IETF informational architecture。
  • 支持：区分 Attester、Verifier、Relying Party、Evidence、Endorsements、Reference Values 和 Appraisal Policy；attestation claim 的意义依赖 verifier policy 与信任关系。
  • 不支持：attestation result 不证明应用语义、业务结果、外部 effect 完成或 Agent 意图正确。

4. External effects, provenance and idempotency ​

Stripe, “Idempotent requests” ​

  • URL: https://docs.stripe.com/api/idempotent_requests
  • 类型：官方 provider API 文档。
  • 支持：client-generated idempotency key 让 server 识别同一请求的 retry，是 provider-aware effect adapter 的具体机制。
  • 不支持：一个 provider 的 idempotency 不构成 distributed transaction、永久 dedup 或跨系统 exactly-once。

AWS Prescriptive Guidance, “Transactional outbox pattern” ​

W3C PROV-O ​

  • URL: https://www.w3.org/TR/prov-o/
  • 类型：W3C Recommendation。
  • 支持：用 Entity、Activity、Agent 及 typed relations 表达 provenance，为 execution/evidence graph 提供可互操作概念基础。
  • 不支持：provenance relation 的存在不证明 event 完整、因果关系真实或 producer 可信。

5. Reproducible and realistic Agent environments ​

Zhou et al., “WebArena: A Realistic Web Environment for Building Autonomous Agents,” ICLR 2024 ​

Le Sellier de Chezelles et al., “The BrowserGym Ecosystem for Web Agent Research” ​

  • URL: https://arxiv.org/abs/2412.05467
  • 类型：research ecosystem paper / preprint record。
  • 支持：统一 action/observation space、benchmark/harness 与 reproducibility tooling 对可靠比较重要；商业模型和动态环境会使复现实验困难。
  • 不支持：统一 browser harness 不自动建立 external-effect truth、UI authoritative state 或 exact replay。

Yao et al., “τ-bench: A Benchmark for Tool-Agent-User Interaction in Real-World Domains” ​

  • URL: https://arxiv.org/abs/2406.12045
  • 类型：Agent tool-use benchmark paper。
  • 支持：dynamic user/tool interaction 与 domain policy compliance 是真实工具 Agent 的重要评价维度；仅看单次静态调用不足。
  • 不支持：模拟环境分数不等于生产 provider 的副作用安全或恢复保证。

τ²-Bench, “Evaluating Conversational Agents in a Dual-Control Environment” ​

  • URL: https://arxiv.org/abs/2506.07982
  • 类型：Agent evaluation preprint。
  • 支持：当 user 和 agent 都可通过 tools 修改 shared dynamic environment 时，coordination、communication 与 hidden state 会成为独立错误源。
  • 不支持：benchmark simulator 不能证明未知外部系统可被完整建模。

Xie et al., “OSWorld: Benchmarking Multimodal Agents for Open-Ended Tasks in Real Computer Environments,” NeurIPS 2024 ​

6. 本地实现资料 ​

以下资料用于核验 Pysolate 当前边界，不作为一般学术结论：

  • /Users/yuzhe/projects/agent-python-runtime/README.md
  • /Users/yuzhe/projects/agent-python-runtime/docs/architecture.md
  • /Users/yuzhe/projects/agent-python-runtime/docs/threat-model.md
  • /Users/yuzhe/projects/agent-python-runtime/docs/agent-trace-plugin.md
  • /Users/yuzhe/projects/agent-python-runtime/docs/effect-plane.md
  • /Users/yuzhe/projects/agent-python-runtime/docs/reproducibility.md
  • /Users/yuzhe/projects/agent-python-runtime/docs/session-lifecycle-contract.md
  • /Users/yuzhe/projects/agent-python-runtime/docs/adr/0007-mcp-transactional-tool-workflows.md
  • /Users/yuzhe/projects/agent-python-runtime/docs/adr/0008-cow-python-reactor-performance-density.md
  • /Users/yuzhe/projects/agent-python-runtime/docs/reports/scheduler-experiment-results.md

7. 下一轮 literature review 的编码表 ​

对每篇论文/系统统一记录：

FieldQuestion
execution model运行什么、由谁控制？
threat model防谁、不防谁？
authority modelcapability/credential/policy 在哪里？
artifact identity如何绑定 source/build/runtime？
nondeterminism捕获哪些输入，遗漏哪些？
effect semanticsread/write/rollback/compensation/ambiguous 如何处理？
evidence保存什么，谁生产，谁验证？
replay levelR0–R4 中哪一级？
environment drift如何 version/quarantine/requalify？
evaluationworkload、oracle、failure injection 与成本是什么？
limitations作者明确限制与我们推导的限制分别是什么？

只有完成 representative coverage 后，才能把“gap hypothesis”升级为 novelty claim。

Vinculum is a proposed architecture. Current claims are scoped to pinned Pysolate evidence.

Vinculum