Skip to content

v1.5.7 — 🔍 审计覆盖面扩展：SMB 场景与 28 条规则

Choose a tag to compare

View all tags
@KongFangXun KongFangXun released this 08 Oct 07:31
· 734 commits to main since this release
v1.5.7
a947d23

🔍 审计覆盖面扩展——从代码仓库扩到没有代码仓库的企业（SMB 数据处理/报表生成三判据：勾稽、溯源、口径），顺手把审计的「输入面」补全：决策日志升为正式输入源（E7）、提示注入防护（E6）、数据产物落点（E5）三规则上线，规则总数 25 → 28。同版完成浏览器底座退役（v2.0 承接窗口关闭的兑现）与能力面治理地基（哪些能力值得退役、退役怎么拔）。

TL;DR (EN): Audit coverage expands beyond code repos — SMB data-processing & report scenarios (reconciliation / traceability / metric-consistency) bring audit to enterprises without repositories; three new rules (E5 data-product placement, E6 prompt-injection defense, E7 decision-quality signals) lift the rule count 25 → 28. The browser runtime retires (honoring the closed v2.0 window), and capability-governance foundations land (SkillOps five-dimension health + usage telemetry with status/duration, pluggable-contract manifests). MCP tools 104 (unchanged) · 6006 tests · MIT.

⚡ Install / Upgrade

# 新装（五形态任选：FDE 插件 / Skill / MCP / CLI / GitHub Action）
curl -fsSL https://raw.githubusercontent.com/KongFangXun/sofagent/refs/tags/v1.5.7/install.sh | bash

# 已装用户升级到本版
npx @sofagent/audit@v1.5.7 --doctor

# GitHub Action（PR 自动审计）
uses: KongFangXun/sofagent@v1.5.7

🔨 核心变更

🔍 SMB 场景审计（没有代码仓库的企业也要被审计）

  • E5 数据产物落点规则：数据处理 / 报表生成两类场景，三判据（数值勾稽 · 来源可溯 · 口径一致）× 三形态（CSV 表头 / 裸数据 / JSON kv）全覆盖（S474）
  • 新决策类型 DATA_PRODUCT（17 → 18 值），数据产物决策进 decision-log 可问责链

🛡️ 审计输入面三规则（25 → 28 条）

  • E6 提示注入防护（OWASP ASI03 对位：隐藏载荷 / 零宽字符 / 系统提示伪造 / 多轮操控四类）
  • E7 决策质量信号（FALLBACK_DEGRADE 频次 ≥5 WARN，decision 通道）；决策日志升为审计输入源正式一路（18 类逐类消费声明）
  • 规则总数 25 → 28（17 默认 + 11 扩展，opt-in）；OWASP ASI 覆盖 5/10 → 登记

🧹 浏览器底座退役（v2.0 承接窗口关闭的兑现）

  • browser-tools.ts 四件套删除（BrowserSession 类 + 三类型 + 两函数 + 四 playwright 包装）；三件图像能力（analyzeScreenshot / readImageMeta / degradeImageToText）迁 image-meta.ts 保留（dsh-vision 视觉降级本体，非四件套）
  • @public 4 符号吊销 + S313 断言反转（底座已删除 × MCP 面无回潮 × 图像迁移在位）；UI 层审计可行性报告结论「不实做」（v2.0.0 §七 B 表兑现）

📊 能力面治理与可拔契约（哪些能力值得退役、退役怎么拔）

  • 技能健康度 SkillOps 五维（使用 / 最近 / 测试 / 引用 / 新鲜）+ 归档回滚闭环 + 技术债台账；工具使用率遥测补 status（成功/失败）与 durationMs（耗时）——「千次皆败」与「千次皆成」不再同形
  • 可拔契约清单 capabilities.json（18 单元 + 12 shim 台账）+ SOFAGENT_* 功能门控 95 实测分流（G23 / P72）+ 关档硬线（负例五发全 exit 2 具名）

📄 评估三件与文档治理

  • 国标 Agent 审计对位（5 标准跟踪 + 10 差距两态结论，不虚标）；ACS YAML 策略引擎兼容性评估结论不采纳（六维对照 + 分叉风险量化）；VALIDATION/WIKI/SKILL 三文档叙事归位
  • driver 测试漂移债清偿（加载崩溃 5 周修复，129/129）；release-gate 假收敛双根因修复（F 链双门槛 + 机器豁免）

🔒 BugFix（上版遗留）

  • 修复批 58 项（P0×3 + P1×31 + P2×24，fresh-eyes 四轮独立审查合并）全部施工完毕
  • S410 场景排序归一 / 分母口径澄清（9 功能模块 + 3 元章节）/ 章二豁免粒度子节级声明

✅ 质量验证

检查项 结果
npm test 6006 tests 全绿（workspace 口径 5842 / 13 包）✅（@发版时点）
acceptance-test 483/483 passed · SKIP: 0 · EXIT: 0 ✅（@发版时点）
shellcheck 零 error ✅
check-version 139/139 全绿 ✅（@发版时点）
回归检查 84 维度 ✅（@发版时点）
release-gate verdict=PASS ✅
fresh-eyes 16 视角审查 + findings bugfix 批闭环 ✅

⚠️ 破坏性变更

升级必读——三条，其中第一、三条带迁移动作。

  • 浏览器实现底座删除（@sofagent/orchestrator SDK 面）：BrowserSession / BrowserDriver / BrowserAuditSink / BrowserSessionFactory / ruleSetRequiresBrowser / createBrowserSessionForRules / 四个 playwright_* 包装——迁移：多模态截图分析改用 image-meta.ts 三件（analyzeScreenshot / readImageMeta / degradeImageToText，导出面不变）；其余消费面为零接线（实测 check-unwired-exports 零命中）
  • 审计规则数 25 → 28（17 默认 + 11 扩展，扩展层 opt-in 不默认生效）；决策类型 17 → 18 值（DATA_PRODUCT）——schema 消费方按新枚举对齐
  • git hook 行为变更——commit-msg / pre-commit / post-commit 三支模板本版有改动（引擎入口改为写入安装时刻的绝对路径）。hook 是拷贝而非软链，装过 hook 的仓库不会随升级自动更新 —— 迁移：升级后重装 sofagent-audit --install-hook（每个装过 hook 的仓库逐个重装）
  • MCP 工具数 104 → 104（无新增；浏览器退役的 MCP 注销已于此前完成）

🔗 深入了解

想看什么 链接
全部变更明细 CHANGELOG
审计规则与安全模型 SECURITY
上手指南 HANDBOOK
有问题 / 晒场景 Discussions

📖 详细开发日志

Assets 2
Loading