可信计算 Coding Agent

问题：为什么不是「Claude Code + 一个 skill」

coding agent 会自主执行文件修改、命令执行、数据导出等高风险操作。要在硬件层面保证这些操作可信、可审计，靠 prompt 或 skill 是做不到的：

• skill 跑在 harness 进程里、在不可信执行环境（REE）中执行，改变不了「工具在哪执行」。
• skill 产不出硬件可验证的密码学审计证据。
• 授权决策必须在模型 / prompt 够不到的上下文之外，而 skill 本质是 prompt 层的东西。

而闭源 harness（如 Claude Code）不暴露 tool-call 生命周期的控制点，因此必须从零自研 harness，才能把 TEE 校验插进工具调用的每一个环节。

核心设计

① 自研 Agent 运行时

• 不依赖闭源 harness，自研 State-Session-Memory 三层上下文管理 + 显式控制循环（State 加载 → Context 组装 → 执行器调用 → Hook 校验 → State 更新 → 路径决策）。
• 可扩展 Hook 生命周期，实现阶段流转、失败重试与 Run 生命周期管理；Hook 机制同时作为插入 TEE 校验的挂载点。

② 多智能体协作

• 设计 Planner / Researcher / Coder / Verifier 四类 Agent 角色，构建「任务拆解 → 调研分析 → 代码生成 → 验证反馈 → 失败回灌」的闭环工作流。

③ TEE 可信 tool-call 平面（护城河）

• 将每次工具调用抽象为 subject / action / object / context / effect 五元组。
• 实现 Tool Call → REE 请求 → TEE（TDX）授权决策 → REE 受约束执行 → 密码学审计证据生成的可信链路。
• 授权决策与审计证据由 TEE 侧承载，覆盖高风险文件修改、命令执行、跨边界数据导出。

④ 检索增强与沙箱

• 构建多源 RAG（代码库 few-shot / 文档库历史经验 / MCP Web Search）。
• 基于 Docker 构建 QEMU 镜像，为 Coder / Verifier 提供独立 Workspace，保障环境一致性与执行安全。