执行证据：artifact 要不要绑定 workspace fingerprint？

[tt-a1i]

一句话

OpenPI 已经有 complete-or-fail 的 Workflow agent result、content-addressed 的 Direct 长文本 artifact，以及 不是 replay receipt 的 worktree handoff manifest。社区包（nicobailon/pi-subagents 的 verify cache、parallel-handoff attestedBy / manifestDigest）问的是另一件事：一份证据能不能证明 “这条命令看见的是这棵树”。

本帖只问要不要给 host verify / worktree 证据 加上 workspace fingerprint。不提议 vendor 任何包，不提议把 handoff manifest 升级成 replay 权威。

为什么现有帖不够

• subagents: 为 Direct Subagent 研究可选的结构化结果合同 #155：structured Direct result / schema。那是形状，不是 “绑在哪次 HEAD/diff 上”。
• Workflow 大规模结果汇聚：公平 handoff、分层 Report 与动态父会话投影 #90：大规模 handoff / report 投影。那是怎么公平展示，不是怎么 attest。
• design: 研究跨能力的可恢复资源引用，但不引入 OpenPI 全局资源路由器 #157：跨能力可恢复资源引用。那是 ref 路由器，不是 fingerprint。
• runtime: 建立跨 Subagent、Workflow 与 Background Terminal 的总资源准入合同 #159 / control: 研究 Pi-native 的全局安全暂停，让所有 Agent 在下一执行边界停住 #161：准入与暂停。
• WORKFLOW_INVOCATION_GRAPH.md 已经写明：当前 worktree manifest 没有密码学绑定到 journal key，把它们当 replay 证据会制造 crash window。本帖不推翻那条。

研究记录：docs/research/EXPERIMENT_STEAL_ORCHESTRATION_2026-09-09.md（a9b40f0；只读 clone，未安装）。

社区里看到的不变量（只借概念）

nicobailon/pi-subagents@dc2df2b 把 verify 收据的 cache key 做成：

command + cwdRelative + envHash + timeout + allowFailure + HEAD + diffHash

读不到旧收据就重跑命令，而不是假装验证过。parallel handoff 还有 attestedBy / attestedAt / manifestDigest 字段。

OpenPI 今天已经更严或至少更诚实的地方：

• Direct 长结果用 sha256(content) 命名，写失败不宣传假路径。
• Workflow agent JSON 超预算则 不落残文件。
• Worktree handoff 明确是 preservation，不是 replay。

缺的是：一份 verify / isolation 证据能否回答 “这还是当时那棵树吗”。

如果做，最小合同

• 只绑定 调用方显式请求的 host verify 或 isolation 证据；不给普通 assistant text 做隐式 attest。
• fingerprint 至少包括 immutable creation baseSha 和当时的 HEAD；diff hash 若做，必须失败时 fail closed，不能静默省略。
• 跨 process restart 的 ref 仍然按现有规则作废；attestation 不能假装恢复了 live capability。
• 不把 attested manifest 当成 Replay 资格。Replay 继续只承认已证明只读的 journal hit。

非目标

• 不 vendor pi-subagents。
• 不引入第二套 artifact DB / SQLite trust store。
• 不把 /tmp worktree 或 fail-open isolation 一起带进来。
• 不修改 README，不把这当成实现向 Issue。

需要先回答

1. 第一版只覆盖 Workflow verify 收据，还是也覆盖 Direct result artifact？
2. fingerprint 失败（git 不可用、ignored 未计入）是拒绝 attest，还是降级为今天的 complete-or-fail 文件？
3. 与 Workflow 大规模结果汇聚：公平 handoff、分层 Report 与动态父会话投影 #90 的 report 投影如何分工：投影继续无权威，attest 只服务验收账本？

[tt-a1i]

2026-09-09 源码对照（未安装、未运行、未 pi install、未实现）。本 checkout a9b40f0044ee59c360a6077c1c0bdbdbd30da10b 与 last-seen origin/main 0d17f4577fe31315fe6c95370d251bdb4e2413cf 都没有 extensions/shared/resource-reference.ts，也没有 attachment staging。

本帖是 workspace-bound attestation，不是资源路由器。 问的是「这条 verify / isolation 证据看见的是这棵树吗」（HEAD / baseSha / 失败则 fail-closed 的 diff）。两边 worktree-handoff.ts 已有 baseSha/headSha，且仍是 preservation，不是 Replay 资格——这与开帖时的非目标一致。

一张 process-global URI 表 / 接管 Pi read / 统一 artifacts 目录，是第二套 artifact OS，不是 Pi-native seam。Pi 已有的「resource」类型是包加载（ResourceLoader / SourceInfo / createChildResources）和本轮 prompt 准入（PromptOptions.images?: ImageContent[]），不是跨 owner 的 artifact 内核。

不要并进：

• #157 薄、owner-bound 说话方式（标题已禁全局路由器；开帖里「ref 路由器」是对照简称，不是 design: 研究跨能力的可恢复资源引用，但不引入 OpenPI 全局资源路由器 #157 的目标）
• #441 Web Host 暂存；出口是父 session.prompt(..., { images })。child 必须看不见 staging 路径（Direct / Workflow 两边都是新 Session + prompt(text)）
• #379 owner 枚举保持 subagent | workflow | background

不新开 Issue。不实现。记录：docs/research/EXPERIMENT_RESOURCE_REFS_2026-09-09.md。