v0.55.1

v0.55.1 发布记录

状态：已发布（2026-10-30，PyPI + GitHub Release）
成熟度：Experimental
分发形态：Python-only（wheel + sdist）

1. 发布范围

v0.55.0 之后的补丁版，收纳已合入 main 的治理内核与修复，不含架构重构：

1. 治理内核接线（#466）：GovernedPipeline 默认装配破坏性操作门、预算熔断器与 kill switch；入口闸（身份/委托链/入向消毒）与模型闸默认关闭，通过构造参数或 MAREF_ENTRY_GATE / MAREF_MODEL_GATE 显式启用。
2. 审计外部锚定（#466）：AuditAnchor 与 scripts/verify_audit_anchor.py，支持批次 Merkle 锚点、Ed25519 签名与离线校验。
3. 审计记录落盘 layer 字段并修复链尾回退（#494）。
4. 移除无测量依据的「97% 自动化率」表述（#493）。
5. 深水区登记表移出公开仓，模板路径占位符化（#495）。
6. PyPI 元数据：新增 [project.urls] 6 条项目链接。

明确排除：Tauri 桌面产物、容器镜像发布、依赖大版本升级（含 Rust zip 4.x → 9.x）。

兼容性影响（相对 v0.55.0）

• 破坏性操作门：命中破坏性模式时升级 HITL 或 DENY。
• 预算熔断：默认 MAREF_BUDGET_MAX_PER_AGENT=1000、MAREF_BUDGET_MAX_PER_TASK=200、MAREF_BUDGET_MAX_BURN_RATE=100。
• kill switch：仅在显式 engage() 后阻断对应作用域。
• 回滚：注入禁用的 gate 实例并恢复预算阈值即可回到 v0.55.0 行为。

2. 发布前证据

项	证据
代码基线	main@e91b387e0558a58f3fbe32c76b71bd7e9e66926e
MAREF CI	run 41069499649，success，2026-10-30T14:10:22Z
Security Scan	run 41069499758，success（2 条新 CVE 按 .trivyignore 附带理由登记后通过）
Dependency Audit	run 41069499419，success
CodeQL	run 41069499650，success
Formal Verification	run 41073894055，success，2026-10-30T14:41:46Z
D1 Pre-Flight	e91b387e G1–G4 全部通过（G2：6 项必需 checks 成功；G3：Security Scan run 41069499758 成功）
Release workflow	run 41073894340，success：release-preflight / test-gate / release-check / publish-python 全绿，publish-tauri skipped
PyPI	wheel 2026-10-30T14:52:42Z、sdist 2026-10-30T14:52:45Z
GitHub Release	v0.55.1，2026-10-30T14:53:06Z

3. 产物清单

• maref-0.55.1-py3-none-any.whl
• maref-0.55.1.tar.gz
• GitHub Release：https://github.com/maref-org/maref/releases/tag/v0.55.1
• PyPI 页面 6 条 project_urls 已生效（Homepage / Repository / Documentation / Issues / Changelog / Security Whitepaper）

4. 已知问题

1. Rust zip 4.6.1（gui/src-tauri/Cargo.lock）存在 CRITICAL CVE-2026-115905 / HIGH CVE-2026-115909；仅位于桌面依赖链，不进入 PyPI/Docker 运行时。修复版本为 zip ≥ 9.0.5（跨大版本），待 Tauri 生态整体升级，已登记 .trivyignore 并附失效条件。
2. brotli 1.2.0 受 mitmproxy 12.3.0 硬 pin（GHSA-9v8h-qqgm-4m35 / CVE-2026-111497）；Dockerfile/Dockerfile.sidecar 在安装后强制 brotli>=1.2.1，镜像内实际为 1.2.1。
3. scripts/sync_version.py 于本版本补齐 pyproject.toml、src/maref/__init__.py、uv.lock、STATE.yaml 四个版本位点；此前需手工同步，是本次发布的主要返工来源。

5. 发版检查表（版本位点）

文件	字段	sync_version 覆盖
pyproject.toml	project.version	是（--version 写入源版本）
src/maref/__init__.py	__version__	是
CHANGELOG.md	头部版本	是（新增段）
Dockerfile	org.opencontainers.image.version	是
gui/package.json	version	是
src/maref/observability/otel_middleware.py	tracer / resource 版本	是
src/sidecar/mcp_bridge.py	serverInfo.version	是
uv.lock	maref 条目 version	是（uv lock --check 校验）
STATE.yaml	project.current_release	是（声称完整性门禁 C1）
tests/sidecar/test_mcp_bridge.py	sidecar 版本断言	动态读取 maref.__version__，无需改