PonzoZella 技术白皮书

通用意味着系统在其实际进入的各个领域都追求前沿能力，并使功能广度建立在可靠执行之上。

PonzoZella——通用智能体操作系统 以统一、可持久恢复的 Agent Runtime 为基础。 产品基线为 PonzoZella SOTA · 3，内部版本为 0.76.4。 文档日期为 2026 年 11 月 9 日。 文档范围涵盖当前产品能力、系统架构、使用条件、数据归属与安全边界。

1. 执行摘要

PonzoZella 是由 LaitTeam 自主设计研发的通用智能体操作系统。它将模型推理、真实工具执行、长期记忆、技能学习、多代理协作、定时自动化和生产力工作区组织在统一的 Agent Runtime 下。用户可从桌面应用、命令行、终端界面、网页、编辑器、消息平台及受支持的接口进入同一能力体系。

PonzoZella 处理的是具有会话、目标、上下文、权限、执行结果和恢复状态的持续任务。用户开启个人 Auto 后，系统可从当前 Profile 的资料发现有依据的个人目标并开展公开研究；当前产品支持完整证据补读和对话内研究索引。用户可保留研究记录并忽略投递，也可永久删除单条建议。无限制模式仍保留检查与复查间隔。内嵌浏览器让用户与 Agent 在同一真实网页和所选账号中协作。模型可以提出行动，但真实操作必须经过当前会话可用能力、用户授权和执行边界。系统会区分已经完成、等待输入、需要审批、失败以及外部结果未知等状态，使用户能判断接下来应继续、重试、修正还是接管。

本白皮书描述当前产品可提供的能力和契约。某项能力是否能在用户设备上使用，仍取决于操作系统、安装形式、已启用的插件、所选模型、外部服务、设备权限及具体配置。文中提到“本地运行”或“离线交付”时，指应用及所需运行组件可随安装包提供；调用云模型、远程平台或在线搜索仍需相应网络服务。

1.1 当前能力概览

领域	当前能力	主要启用条件与边界
多入口任务	Desktop、CLI、TUI、Web Dashboard、消息网关、API、PonzoZella IDE 与外部编辑器接入	入口共享 Agent Runtime，各自拥有适合宿主的交互实现
推理与媒体	多 Provider、会话模型选择、推理档位、MoA、文本及受支持多模态	由模型、凭据、网络与预算决定真实可用能力
执行	文件、终端、受管环境、浏览器、Computer Use、MCP 与插件工具	受会话工具快照、授权、操作系统权限及运行环境约束
桌面浏览器	原生多标签网页、动态几何锚定、品牌首页、常用网站和书签，用户与 Agent 共用所选账号	位置、裁剪、缩放及层级实时计算并核对原生读回；账号按 Profile 隔离，不自动导入其他浏览器登录态
执行基础组件	PluginSystem、Code Mode V4 的 Python／JavaScript／TypeScript、脚本快照、混合 .pzsh、事件账本及工具恢复	共享受管运行时、依赖声明、可选沙箱、冻结能力目录及逐调用授权；外部副作用未知时不无声重放
依赖与命令环境	统一 PonzoZella Package Manager 管理 pzpy 与 pnode-js，支持安装、搜索、卸载、列表和安装时自定义源；共享 CPython 3.14t、Node.js 26 及 TypeScript 工具链	依赖按 Profile 隔离，来源及参数先校验，再沿原安审与审批执行；不覆盖 Core 或 Application 私有依赖
记忆	MemoryPlus V4 知识树、完整关系快照、双向 Skill 关联、固定工作集、召回、隔离反思及读取时动态内容	权威知识与生成观察分离；动态片段遵循只读权限、来源核验和当轮预算，查询增强另行启用
审批与待办	Desktop、Dashboard、TUI 与 CLI 共用同一收件箱，覆盖会话工具、Workflow、MemoryPlus 和 Agent Runtime	人可直接处置、请求建议或单条委托。强制人工审批保留最终决定权
技能与扩展	AgentOS 技能市场、Skills Hub、PonzoZella Master、PluginSystem、User Plugin V1/V2、Desktop Plugin、Dashboard Plugin、MCP 与 PonzoShell	PonzoPluginMaker 按真实宿主契约制作与安装普通插件，正式 Application 另行管理；用户后端代码运行于原生隔离进程；安装、渲染、图像和业务验收分别成立
后台自进化	SelfImprove 独立缓存工作目录、受管插件复用与创建、MetaRSI 定期总结及三端配置	只使用父会话已授予能力；受保护 Cron、跨进程锁与证据检查点，不修改模型权重或自行扩大权限
Application	AgentOS 应用目录、.pza 安装、独立窗口、应用后端工具、专用依赖、更新与回滚	PonzoPluginMaker 只创作、测试和导出应用；正式应用由 Application 系统管理，本机运行依赖适用图形环境和权限
自定义图形环境	PonzoGTK、Ponzo Workstation、共享 UI、源码／布局／主题、草稿、发布与版本恢复	Desktop、Dashboard 及 CLI／TUI 启动入口；独立运行不依赖 Desktop；复用已有认证后端，环境 SDK 和传输有明确边界
协作与自动化	子代理、A2A、Kanban、Goal、Cron、Reminders、Workflow	配置身份、目标、预算、触发器、审批与可恢复状态
个人 Auto 与受控主动性	自动发现个人目标、分页读取资料、原生网页研究、完整证据及对话内结果交付；受保护 Cron 与可观察运行台	Desktop 概览支持逐条忽略和永久删除。后台负责研究与总结，实际行动交给正常对话并遵循 Core 权限。无限制模式保留等待间隔，个人优先，项目在二级入口管理
生产力	PonzoStudio 共享工作区中的 PonzoOffice、PonzoNotes、PonzoReminders、PonzoMind、PonzoWorkflow、PonzoVault 与 Ponzo Workstation	Desktop 与 Dashboard 复用界面和权威服务；版本冲突、私密输入、浏览器文件能力与原生窗口分别处理
私密资料	PonzoVault 加密信息与文件、PonzoStudio 管理、版本引用及单次授权读取	密钥不持久保存；本地安全窗口输入，本次获准正文可以交给当前会话与模型；API Key 沿用 .env
显示身份	用户与 Agent 的昵称、头像、透明头像框、两种会话布局及只读资料工具	设置→个人；用户资料在同一数据根共享，Agent 按 Profile 隔离；只有昵称进入动态用户消息
开发工作区	独立 PonzoZella IDE、原生聊天、共享会话、项目绑定、代码上下文、用户扩展及 PonzoZella Plugins Builder	八个必需扩展成功激活后开放交互；专用插件窗口独立建立开发会话，保留普通窗口与原会话
插件开发帮助	四类工程、公开 Python／前端 SDK、语义装饰、补全、签名、悬浮、诊断、导航，以及内置中英文文档	两种语言各 43 页；公开声明不暴露私有 Core，也不扩大当前会话权限
环境上下文	Desktop、Dashboard、TUI 的 Machine Snapshot 与 Enviroment Snapshot	后端机器清单本地生成并限时有效；摄像头属于当前交互设备，确认后提交照片，真彩终端支持实时预览
交互表达	时间与天气伴侣、UI Plus、LiquidGlass、金蓝流光、正文表情图片库	小球状态与正文图片独立；图片按入口能力显示或投递，素材和历史快照按 Profile 隔离
会话维护	原生 /reload-prompt、明确的提示词与能力重建边界	会话空闲并按入口完成明确确认后执行；保留历史，下一轮可能重新付出完整前缀输入成本
运行与交付	自由线程 Python、macOS 原生强制无 GIL 与缓存保护、完整后端、IDE、Node.js／npm／pnpm、浏览器及办公组件	macOS 与 Linux 提供完整离线包，按包核验内容与运行时。在线功能依赖相应服务，签名和平台条件随交付说明
消息与执行协议	持久受理、FIFO 队列、编辑修订、执行代次、幂等回执、即时引导与未知结果处理	接收、执行和投递分别确认；丢失回复不能触发无依据的重复执行，外部副作用未知时保留复核
跨端控制	能力控制台、批量问答、连接授权与修复、原文检索、协作交接及伙伴互动	Desktop、TUI、Dashboard 消费同一服务；经典 CLI 保留独立运行方式；私密输入与桌面桥仍有宿主限制

这些领域组成可组合的任务系统。用户可以在会话中提出目标，让 Agent 读取资料、执行工具、生成 PonzoStudio 对象，并在以后恢复、检索或自动化；每一步仍须保留来源、身份与真实结果。

2. 产品使用契约

PonzoZella 的各入口共享任务语义，但会尊重各自的交互方式。桌面应用提供可视会话和工作区；终端界面提供键盘与流式输出；网页和消息平台适配各自的展示与投递条件。入口变化不应改变同一会话的权限范围、Profile 归属、已提交历史和工具执行结果。

用户指令、文件、网页、图片、摄像头画面、其他应用窗口和外部工具结果都可能成为任务上下文。这些内容是可供分析的数据，不自动获得系统指令权限。Agent 应根据来源和用户意图处理它们；未经用户授权的内容不得自行改变安全规则或扩大工具权限。

系统维护以下贯穿产品的原则：

1. 会话能力稳定。 会话建立时确定可用的工具和关键行为边界。普通交互不会为追随外部内容而重写既有对话前缀。
2. 权限按任务生效。 能看见某项能力不等于获准执行其所有动作；有副作用的操作受配置、审批和运行环境约束。
3. 状态由权威来源决定。 界面展示可以即时刷新，但持久对象、执行结果和审批决定以正式保存的状态为准。
4. 失败明确可见。 系统不把未完成、冲突或结果未知的操作报告为成功，也不在未知外部状态下无声重放动作。
5. Profile 相互隔离。 会话、凭据、记忆、工作区对象、保险库和自动化遵循所属 Profile，不因界面切换而串用。用户昵称、头像和头像框是明确的全局显示资料例外；Agent 显示资料仍按 Profile 隔离，该例外不共享私密业务数据。
6. 成长受控。 自动推断目标保留证据及推断身份，不冒充用户已确认意图。记忆、技能、插件和自动化的演化有来源、所有权与风险边界；提出候选的 Agent 不能绕过独立审查流程或自行扩大权限。记忆反思的独立模型审查与需要用户确认的工具审批分别处理。

2.1 分层架构与状态归属

系统以 Agent Runtime 为任务执行中心，界面、平台适配器与能力扩展围绕它协作。界面负责交互和可视反馈；Runtime 负责模型调用、工具编排和会话边界；服务与插件负责各自领域的权威数据及外部连接。

flowchart TD
    U[用户与外部系统] --> I[桌面／终端／网页／编辑器／消息入口]
    I --> T[传输、身份与会话归属]
    T --> R[统一 Agent Runtime]
    R --> M[模型 Provider 与辅助模型]
    R --> E[文件、终端、浏览器与受管执行]
    R --> P[Skills、插件、MCP 与生产力服务]
    P --> G[Application 系统与隐藏 PonzoGTK 环境]
    G --> B[独立应用窗口与隔离后端]
    R <--> S[会话、记忆、目标、审批与运行记录]
    P <--> S
    C[Cron 唤醒、资料变化与来源事件] --> A[PonzoProactive 主动编排]
    A <--> S
    A --> R
    E --> X[真实设备与外部服务]

这张图表达职责关系，不表示所有入口都运行在同一个进程。桌面与 TUI 的界面实现不同，模型服务、远程执行环境和第三方平台也可以在其他进程或机器上运行。

状态	权威归属	展示与变更规则
会话历史与工具结果	对应 Profile 的会话存储与执行记录	流式展示属于暂态；提交与终态按实际保存结果确认
长期知识	内置记忆和 MemoryPlus 的正式内容	搜索索引、关系投影和缓存可重建，不替代知识原文
主动目标与机会	当前 Profile 的主动组件存储及策略配置	个人目标为默认管理范围、项目另行设置；草案、推断、确认、取消关注、研究结论、投递与跟进分别保存，长期目标不随来源会话结束
研究与实际行动	Core/Runtime 的研究记录、认证来源账本及普通对话执行链	后台研究限定公开网页及当次证据文件；对话内动作遵循当前工具和审批。旧主动执行、批准及未知结果记录保留复核，不由新研究自动重放
浏览器工作区与账号	Electron 宿主及当前 Profile 的浏览器目录	标签、书签及常用网站持久保存；每个账号使用独立网页存储，管理表单与原生网页共享同一权威状态
PonzoStudio 对象	各对象服务及其版本记录	Agent 和用户界面共同遵守对象身份与版本冲突规则
应用身份、版本与批准	当前 Profile 的独立 Application 注册表、依赖及版本快照	机器名称固定、Application ID 更新保留；显示名称可改，正式安装不由 PonzoPluginMaker 接管
应用运行与工具	PonzoZella Core 持有的显示客户端、窗口及后端运行代次	应用真正就绪才向后续请求提供工具；关闭或失效撤回，旧绑定不能调用新实例
保险库	当前 Profile 的加密存储和条件写入修订	标题、标签、正文及文件一并加密；解密输入仅用于本次本地授权操作
用户／Agent 显示资料	ponzo_identity 的全局用户记录与 Profile Agent 记录	保存检查修订冲突；图片用于界面，昵称按轮次形成模型请求快照
IDE 项目与会话绑定	当前 Profile 的项目事务和有效工作区记录	主界面与 IDE 使用同一持久会话；选择目录、正式采用和撤销保留各自边界
模型与能力快照	会话初始化及明确的上下文边界	基础工具和历史前缀保持稳定；获批应用工具另作受控生命周期增减，见第 4.4、3.14 节
天气与视觉状态	已配置服务、桌面状态及本机显示偏好	天气可刷新；会话中的地点快照保持稳定
外部副作用	外部服务的真实结果及本地审计	已提交、已接收、已送达与结果未知不能混为一谈

2.2 扩展策略

PonzoZella 优先复用已有能力与公共契约。特定领域可以通过 CLI 与 Skill、按配置开放的工具、插件或 MCP 扩展，而不必把每一种第三方服务都写进核心工具集。永久核心工具越多，每次模型调用携带的能力说明越大，因此新增核心能力需要明确的普遍用途。

扩展策略也要求配置和诊断可发现。某项能力需要安装或授权时，应通过对应设置、安装流程和错误结果说明条件；不能依赖用户猜测缺失的参数，或把目录中的一条记录当成已经可用的服务。

2.3 组件类别与启用条件

PonzoStudio 及其办公、笔记、提醒、思维导图、工作流和保险库等组件，以及 PonzoProactive、PonzoZella 脚本执行和内置命令管理，均属于 PonzoZella BuiltIn，是 PonzoZella Core、System、Runtime 与 Main 直接集成的一部分。任务由 Core／System 后端统一执行，Human 和 Agent 通过各自受支持的入口使用。

组件目录、安装状态、会话可见能力和实际调用结果分别记录。产品运行依赖与成品核验见第 16.7 节，PluginSystem 的状态分类见第 8.2 节。

2.4 协议适配与既有架构的关系

各入口复用会话存储、能力快照、工具执行与审批契约。Core 负责通用执行规则，消息 Gateway 负责平台身份和投递，Desktop、Dashboard 与 TUI 负责各自交互。

会话在明确的能力边界建立工具与行为快照。连接重建和客户端切换核对会话、Profile 与运行状态，用户明确重载时才建立新的能力范围。平台兼容性按具体接口和宿主能力验证。

3. 交互入口与会话体验

3.1 桌面应用（Desktop）

Electron 桌面应用提供流式会话、会话搜索与整理、项目和 Profile 导航、模型选择、审批提示、工具活动、产物展示、内置终端、文件与上下文引用、PonzoStudio、Kanban、Memory Graph 和视觉伴侣。用户可以在同一窗口中阅读回答、查看执行过程、处理待决事项和继续已有任务。多个 Profile 的工作可并存；前台切换应明确显示当前归属。

桌面界面采用统一的组件、主题、字体与交互动效体系。组件、样式和素材在本地构建后随应用交付，无需在运行时从外部加载界面包。

Ponzo Proactive 位于左下角网关状态旁。点击可查看当前 Profile 的简介、检查模式、运行状态及目标数量，再进入独立运行台；详情提供“概览”和“检查与设置”，显示调度心跳、资料扫描、网页研究、待投递结果与用量。设置→主动性 保留同一配置入口，个人目标默认展示，项目设置位于二级。界面同时提供无限制模式、研究尝试与成功状态，研究结果按结论、建议、风险及待核实项折叠展示。各入口读取同一权威状态，不新增聊天类型；使用与诊断见第 10.4.6 节。

文件树标题栏的浏览器入口在右侧工作区打开 PonzoZella Browser 面板，支持真实网页、账号、品牌首页与个人收藏；用户可在同一窗口观察并接管 Agent 的网页操作，见第 3.11、6.6 节。

主界面的 IDE 按钮启动随包交付的 PonzoZella IDE 独立窗口。项目由用户在 IDE 中选择或创建，再与发起操作的 PonzoZella 会话关联；主界面 Agent 可以通过直接工具管理该工作区。具体会话、项目及恢复契约见第 3.10 节。

技能与工具→发现 的市场内容区同时承载 Application 目录，空搜索显示应用，app:: 专门检索应用。应用以浮层网格、分类和手动置顶首排编排；独立安装按钮选择 .pza，启动后打开独立应用窗口，见第 3.14 节。

桌面会话支持富文本、表格、任务列表、代码、数学公式、Mermaid 图、图片、音视频和结构化产物。富内容失败时应退回可读文本、链接或文件，而不是让整段回复消失。第三方嵌入内容受用户授权与可用性约束。

消息列表分别维护各会话窗格的滚动位置与底部跟随状态。用户向上阅读时，流式输出、消息装饰和布局变化应保持阅读锚点；回到底部后继续跟随新内容。主会话与独立会话窗口不共用跳转和滚动控制信号。列表关闭系统触底弹性回弹，消息装饰扩展在独立错误边界内渲染，扩展报错时保留原始消息。

设置→个人 提供用户和当前 Profile 的 Agent 昵称、头像、头像框编辑及会话布局选择。会话可使用默认的 Agent 左、用户右布局，也可全部靠左；消息输入栏保持既有交互。两种布局复用同一消息、Markdown、工具、审批及附件渲染链，不新增 Session 类型。详细资料与上下文契约见第 13.9 节。

桌面还提供批量澄清、后端权威队列、未知结果处理、连接账号授权与修复、预览持久标注、应用引导及对话式外观操作。队列编辑失败保留草稿，连接成功以后台完成证明为准，页面标注与连接、Profile、会话及页面身份绑定。外观和窗格变化返回实际应用结果，不以一句回复代替宿主确认。

顶栏命令行管理入口显示当前命令安装状态、Runtime 和内部版本，可安装、修复或卸载桌面管理的 CLI 入口。卸载后保存偏好，后续启动不会自动装回；不删除后端、Gateway 或用户数据，也不接管由其他安装方式维护的命令。

3.2 CLI、TUI 与网页

经典命令行适合脚本化启动、配置、诊断和直接对话。终端界面提供多行输入、自动补全、流式回复、工具进度、会话选择和中断。Web Dashboard 在浏览器中提供终端式对话及配套的状态、配置和管理视图。不同入口中的命令会按各自能力呈现，不承诺所有桌面原生功能都能由网页或纯终端复现。

TUI 通过 /capabilities 提供能力控制台，以键盘处理问答、修订、连接设备码和队列顺序。其持久请求日志在断线或丢失回复后查询原回执，不把未知请求自动作为新输入重发。Dashboard 继续嵌入真实 TUI，另提供按 Profile 选择新会话工作目录及插件辅助模型任务的查看、单项分配、全部分配和重置。

经典 CLI 可维护持久队列、受理回执、即时引导、连接授权和修复，并显式移交后台进程。直接命令行使用仍可独立运行，不要求所有用户先启动常驻 Gateway。命令行管理状态观察不会为了显示“是否可用”自动安装可选语音依赖，用户主动启用时才进入既有准备流程。

ponzozella enviroments 统一安装、搜索、卸载和列出当前 Profile 的 Python 与 Node.js 依赖，通过 enviroment_id 区分 pzpy 与 pnode-js。安装可按次选择自定义源，沿用已有安审与完整性检查，不改变默认来源。ponzozella pzsh <file.pzsh> 直接运行流程文件；这些入口可输出结构化回执，不额外启动模型对话。TUI 的 /environment-snapshot 打开双模式环境快照，见第 13.10 节。ponzozella self-improve 管理定期总结配置，见第 8.4 节。

Dashboard 中的终端区域运行真实 PonzoZella TUI，支持键盘、鼠标和触屏操作，并区分历史内容滚动与应用内控制。终端屏幕缓冲与持久会话分别管理，长会话可以滚动阅读，不能用截断持久会话来控制屏幕长度。触控不会替代键盘输入；浏览器及真实移动设备的兼容性需分别确认。Dashboard 的启用、远程访问、账号及运行状态有独立设置，其服务生命周期见第 14.7、16.9 节。

CLI 提供 ponzozella gtk 与 ponzozella workstation，交互式 CLI／TUI 提供 /gtk 与 /workstation。这些入口打开独立图形环境或创作工作台，终端本身不承担 React 图形界面渲染；启动行为与当前后端、Profile 和浏览器条件共同决定结果。

Application 另有管理命令及 Dashboard 独立页面。CLI／TUI 打开应用前检查可用 GUI，缺失时阻止启动；本机 Dashboard 在具备本机图形权限和会话时打开独立窗口，远程 Dashboard 打开标签页，不把远程浏览器变成控制后端机器的 ComputerUse 通道。

审批与待办可从 Desktop 命令中心、Dashboard 的同名导航项、TUI 的 /inbox 或 CLI 的 ponzozella inbox list 打开。CLI 支持 --json，处置时需传入当前条目的 ID 和 --revision。Desktop 与 Dashboard 使用单列小卡片，每行一个条目。两端与 TUI 先区分审批和待办，再按人工决定、已委托或可委托显示。长任务 ID 可在展开详情中查看。详见第 5.9 节。

3.3 消息平台、接口与编辑器

消息网关可接入已配置的聊天平台，并将消息、附件、命令和回复映射到受管理的会话。已提供的适配范围涵盖 Telegram、Discord、Slack、WhatsApp、Signal、Matrix、飞书、钉钉、企业微信、微信、QQ、电子邮件、短信及其他受支持的服务；具体接入取决于平台凭据、插件与所在地区的网络条件。平台适配器负责各自的认证、投递、媒体限制和连接状态。PonzoZella 可通过 API、Webhook 与外部系统协作，也提供面向受支持编辑器的 Agent 接入和工作区语言服务。接入是否可用由所选平台、身份配置、网络和宿主支持共同决定。

共享 HTTP 入口按明确的 Profile 与平台路由，保留平台原有的签名、回复令牌、媒体和认证规则；未知 Profile 或未连接平台直接失败，不落入默认身份。消息修订、回复锚点、控制权限与展示回执保留各自的来源身份，不能把同一监听端口当成跨 Profile 共享授权。

追加式流保持已经交付的前缀稳定，最终响应明确封口；HTTP JSON 与 SSE 结果按支持的幂等协议保存完整回执。相同幂等身份与相同请求指纹复用已有结果，身份或内容冲突明确拒绝。流超出持久回执预算、执行者退出或外部结果不明时保留未知状态，不借一次网络重连重放真实副作用。

3.4 会话管理

用户可以创建、恢复、搜索、置顶和组织会话，并在支持的入口中执行分支、移交、回退或上下文压缩。跨入口继续任务时，系统应保留持久身份及其归属；运行中的暂态身份不能冒充另一个 Profile 的会话。中断后，已确认的内容继续存在，未确认输入和待决审批应有可见去向。

用户会话与系统执行记录使用同一 Profile 下分离的持久存储。分类依据显式会话类型、委派关系及真实运行归属证据，不能仅凭标题或入口名称把用户聊天改成后台记录。系统内部记录保留各自详情与诊断途径，不混入用户会话列表、归档检索、导出及普通继续对话入口。历史迁移保留可恢复记录，不能因分类修复删除用户历史。

用户归档支持按游标继续查询及搜索，不以单页数量作为总量上限；跨 Profile 查询保留各自归属，部分存储不可用时明确报告范围。归档是用户保留的历史，自动维护不因归档时间或数量将其清除。用户主动删除仍遵循相应删除契约。

个人 Auto 的研究保存在后台记录中，可通过主动性状态与结果详情查询。研究交付不在普通会话列表创建新的用户聊天，不切走当前会话；后台身份不能覆盖前台所属会话及 Profile。用户与 Agent 在正常对话中继续讨论和行动，其消息与工具结果沿用该对话的持久记录。

新输入、排队、即时引导和重定向使用统一的持久受理身份。界面可以展示等待中的输入，但只有后端回执证明已受理；列表顺序由后端 FIFO 与修订决定。用户可按契约暂停、恢复、编辑、撤回或清空队列，清空先暂停，避免尚未确认的输入随后继续运行。执行、投递和结果未知分别显示，不能用输入框消失推断任务完成。实现与恢复边界见第 15.7 节。

3.5 命令、编辑器与接口契约

用户可通过斜杠命令管理会话、模型、技能、上下文和任务状态。原生命令由统一注册表确定名称、别名、帮助和适用入口；Skill 命令与用户快捷命令保留各自来源，不能冒充核心原生命令。桌面命令面板会筛除只适用于纯终端或消息平台的命令，但已启用的用户快捷命令与 Skill 命令仍应可发现、可执行；后端补全不可用时，停止任务等恢复入口应继续可用。执行命令与显示候选是两个环节：菜单出现不代表该命令在当前入口具有权限。

ACP 使受支持的代码编辑器能够接入 PonzoZella 的会话与工具能力；工作区 LSP 语言服务帮助 Agent 理解符号、诊断和项目导航。编辑器的工作目录、文件修改审批与宿主权限必须与当前会话一致。编辑器里能看到的文件不意味着消息平台或另一台设备能读取同一路径。

API 与 Webhook 可把外部应用接入对话、运行和自动化。请求身份、会话归属、能力范围及结果轮询由接入配置决定。外部调用返回已接收，不等于后台任务已经完成；调用方应以终态或明确的结果事件判断成功。公开网络监听、跨域访问和第三方回调应由用户主动配置。

Human 与 Agent 入口

调用方	入口与能力
Human	可从 PonzoZella Desktop、Dashboard、TUI、CLI、PonzoZella IDE 和支持的消息平台发起任务或处理待办，也可通过获授权的 API 与 Webhook 接入。
Human 终端	pztoold 管理工具意图、授权、上下文与执行状态。pzsystemd 启动 Desktop、Dashboard 或 TUI，也可传入工具名与 JSON 参数执行已授权工具。pzm 运行 PonzoZella 脚本。Desktop 的「PonzoZella CLI」面板逐项显示入口、状态及用法。
Agent	任一受支持入口中的 Agent 均可在当前能力范围内发现 Skill、读取指引并调用可用工具。受支持的 Cron、Workflow 与受认证的外部接口也可发起运行。
Agent 脚本	完整读取 PonzoZella Script Skill，通过当前获准的代码执行能力运行脚本。

入口决定交互方式。实际调用按当前 Profile、会话工具范围和来源审批执行。

3.6 入口与后端的技术关系

Desktop 使用自己的会话界面，通过受认证连接使用后端服务。完整桌面包启动嵌入式后端，桌面会话界面可独立于 Web Dashboard 使用。

TUI 使用终端界面进程与 Python 后端通信。Web Dashboard 的主要终端式聊天嵌入真实 TUI，通过 PTY 传递输入、输出与窗口尺寸；网页配套面板负责管理和状态展示。共享传输与会话语义可以复用，桌面原生交互和终端交互仍分别维护。

PonzoGTK 通过同一产品的 FastAPI／Uvicorn 后端提供独立 Web 入口，Ponzo Workstation 和 PonzoStudio 以共享模块接入浏览器与 Desktop。独立服务可以拥有自己的监听进程与端口，但复用现有后端实现、认证、Profile 和服务契约；创建环境或注册用户插件不自动为每个插件新增 HTTP Server。关闭 Desktop 不应结束独立启动的 PonzoGTK。

入口之间共享能力不意味着当前屏幕、摄像头权限、浏览器登录态或本地文件路径自动同步。恢复同一任务时，应重新确认所处设备、执行环境和对象归属。

3.7 原生提示词重载

/reload-prompt 是注册在 PonzoZella 原生命令体系中的会话维护命令，别名为 /reload_prompt。它刷新当前会话的提示词和能力快照，不创建新会话、不新增会话类型，也不清空已经保存的对话历史。它与仅重新装载环境变量的 /reload、重新扫描技能的 /reload-skills 具有不同范围。

入口	实际执行方式	交互边界
Desktop	命令与蓝色小球的重载入口共用确认流程	绑定目标会话和 Profile；切换 Profile 后取消原目标，不偷偷创建新会话
PonzoZella IDE	原生 Chat 命令入口经 ACP 执行既有会话重建链	显示成本说明并取得明确确认，检查目标会话及忙碌状态；不把命令正文交给模型猜测执行
CLI	交互式原生命令调用统一重建流程	两次确认并复核会话空闲状态
TUI	终端确认界面调用同一会话接口	保留当前会话，过期目标或运行中状态不能继续执行
消息 Gateway	同名命令进入当前消息会话的重建处理器	两阶段确认，执行前再次检查会话身份及运行状态

重建会刷新 MCP 连接、重新扫描技能与插件贡献、建立新的工具能力快照，并据当前配置重新构建和保存 System Prompt。下一轮将按新前缀调用模型，原有 Prompt Cache 可能失效，输入 Token 与费用可能增加。普通换肤、天气刷新、表情切换、文件读取或素材目录更新不会触发这一操作。

没有就绪 Agent、会话正在运行或目标已改变时，系统明确拒绝执行。当前隔离计算宿主会话不支持此重建接口。失败时恢复原会话提示词、工具集合及能力快照；这不表示已经重建的外部 MCP 连接一定可以恢复到完全相同的外部状态。

消息平台的云端命令菜单与本地 Gateway 注册表属于不同环节。某个平台是否接受带连字符的命令、是否需要单独注册及可展示数量由其接口决定；PonzoZella 后端已经具有同名处理器，不等于已经为任意用户账户完成平台云端配置。命令触发后的维护语义和确认边界保持一致。

插件实现升级后，旧会话若仍固定旧实现摘要，会明确报告插件绑定不可用并指向 /reload-prompt，Desktop 也提供对应恢复入口。重连 IDE 不会自动重建插件能力；取消确认、会话忙碌或归属变化不会执行重建。重建失败时一并恢复原有插件激活标识、会话绑定与待恢复决策，不能留下部分更新的身份。

3.8 项目、Git 与工作树

桌面项目管理支持建立项目记录、关联目录、增加项目文件夹、选择当前项目及组织项目会话。显式项目与从会话发现的工作目录保留各自身份；从侧栏移除项目记录不等于删除磁盘上的项目文件。

Git 工作区能力包含仓库状态、分支列表与切换、基准分支选择、Worktree 创建与移除、文件差异及代码审查。审查入口可处理暂存、取消暂存、恢复修改、提交、推送及受支持的 PR 创建。查看差异是只读操作，恢复、移除工作树、提交或向远端发布分别具有自己的影响范围，不能由“打开项目”自动推导为用户已经批准这些变更。

本机模式通过桌面桥接访问本机仓库；远程模式通过后端 Git 接口访问实际执行任务的仓库。分支、工作树和文件路径必须归属于当前后端及 Profile，不能让桌面本机同名目录替代远端仓库。Git 可执行程序、远端认证和托管服务接入仍是相应操作的真实条件。

3.9 桌面连接、窗格与预览操作

桌面连接设置提供本地、远程、云端连接及 SSH 模式。已有连接按服务地址、身份与 Profile 选择；远程 Token 或 OAuth 授权、SSH 主机、端口、用户、密钥路径及远端 Runtime 路径分别管理。模式存在不表示任意云账户已开通，也不表示 SSH 目标已经安装可用 Runtime。连接到另一台机器时，文件、Git、终端及工作区对象应指向该机器的实际后端。

桌面通过受门控的界面工具开放终端读取与关闭、预览打开、预览页面操作、窗格聚焦及消息回应。open_preview 可请求显示网页、本机开发服务或文件；drive_preview 可读取当前预览页面元素并执行点击、悬停、输入、滚动、按键、前进、后退和刷新。它们作用于桌面当前支持的预览窗格，不能冒充全系统 Computer Use。预览窗格与第 3.11 节的内嵌浏览器分别管理；内嵌浏览器的共享网页契约不等于预览页、IDE、外部浏览器或远端后端自动共享登录态。

这些工具依赖桌面宿主、请求所属会话及实际回调。纯 CLI、TUI 或消息平台不因共享 Agent Runtime 就自动具有桌面窗格；没有可响应的预览页、元素已经变化或回调超时时，应返回对应失败。布局、终端、预览和产物视图围绕当前会话协作，后台会话发出的展示请求也须保留目标归属。

预览桥现在还可处理受支持的读写与持久标注。标注以页面和调用作用域保存，重载后恢复；切换连接、Profile 或会话时清除旧投影。应用引导、窗口元数据、主题、强调色与布局复用已有宿主机制，超时、取消和迟到结果不会被解释为已经完成。

3.10 PonzoZella IDE 开发工作台

PonzoZella IDE 是随完整桌面包交付的独立开发工作台，提供原生文件树、代码编辑、搜索、Git、终端、问题、测试、调试及扩展宿主。工作台基于锁定的 Code-OSS 源码构建，产品配置和宿主补丁统一窗口身份、欢迎页、原生聊天、会话选择、命令与状态栏。IDE 使用 PonzoZella 已配置的 Agent 与模型，无需另行登录 Copilot。

3.10.1 共享会话与项目事务

主界面点击 IDE 后，用户在 IDE 中选择现有目录或创建项目目录。PonzoZella 将发起操作的会话归入对应 Project，同时同步有效工作目录和 IDE 绑定；已有长会话保留持久身份与历史。IDE 的会话选择入口可搜索和选择当前 Profile 内有权访问的已有 PonzoZella 会话，恢复对应历史及有效工作区。主界面与 IDE 显示同一会话时，共享运行状态、模型选择、工具活动及审批；同一会话只允许一个模型轮次。

项目及绑定以有版本的宿主事务提交。目录切换成功后，主界面项目归属、PonzoZella 内置工具工作目录与 IDE 工作区使用同一已提交结果；过期请求和迟到事件不能覆盖新绑定。首次用户消息持久接收后，本次项目成为正式使用，即使模型随后失败，也不撤销已经接收的消息和项目。

丢弃本次新会话草稿只撤销本次自动新建、尚未正式使用的 PonzoZella Project 记录，保留 IDE 窗口、磁盘目录及文件。已有长会话可以恢复本次 IDE 绑定之前的 Project、工作目录及上下文关联。连续选择尚未正式采用的目录时，撤销回到首次基线；某个目录已正式使用后，再选择新目录形成新的恢复基线。关闭或放弃 PonzoZella 会话不自动关闭 IDE，用户可以单独关闭窗口。

3.10.2 用户指定上下文与 Agent 环境

用户可以从文件树固定文件或目录，也可以选中代码后固定选区；PZ Context 列表显示并允许移除这些引用。发送时固定文件正文、文档版本、未保存状态和选区范围。目录引用表达检索范围，不意味着其全部文件已送入模型；当前缓冲区与磁盘文件具有不同来源状态，编辑时核验版本冲突并保留用户修改。

每轮请求附带宿主核验的 IDE 环境，包括实例、会话、Project、工作目录、工作区版本、连接状态及可用的活动文件。没有选区时仍能识别已经关联 IDE；断线时明确报告断线。环境与引用进入当前轮次上下文，不重写过去的消息或在普通回合替换 System Prompt。文件正文和选区中的文字仍是用户数据，不因来自 IDE 获得系统指令权限。

3.10.3 主界面 Agent 管理与原生命令

Agent 可在当前授权范围内启动和查询 IDE，读取已绑定工作区、选区与诊断，查看差异，选择已发现测试，并管理用户扩展。用户也可从 IDE 命令面板和 PonzoZella 的相应入口执行操作。

工作区访问依赖真实项目绑定，测试使用项目适用的解释器与依赖。运行环境不可用和项目测试失败分别反馈。文件修改、终端、进程及任务操作复用 Core／System 的执行、审批和恢复契约。

3.10.4 执行过程、进化与连接状态

IDE 原生聊天同步已有会话正文，PZ Activity 依据持久事件游标展示实际运行过程、工具调用和结果、审批、压缩及产物来源，并在重连后补取记录。Skills & Memory 提供归属明确的反思运行、候选补丁、审阅结论和已提交变更详情。界面显示实际公开事件，不将未提供的模型内部推理编造成过程记录。

IDE 启动后自动进行 ACP 握手，选择工作区后初始化其语言能力，并分别报告 ACP、会话绑定和语言服务状态。IDE 在右下角铃铛旁显示连接提示，PonzoZella 主界面在右下角版本与权限控件左侧显示对应状态及重连入口。连接就绪不等于模型认证成功，也不等于每种语言扩展均可用；会话不可用、模型失败及协议错误应保留明确错误和诊断入口。

3.10.5 内置扩展与用户扩展

IDE 随包提供运行时连接、原生聊天、工作区上下文、变更处理、行内建议、技能与记忆、工作流以及插件开发帮助八类必需扩展。工作台核验其产品身份和实际激活结果，依赖未就绪时显示诊断与恢复入口。

用户扩展通过 PonzoZella IDE 的扩展管理安装或卸载，支持本地扩展包及已配置的扩展来源。安装核对来源与身份，运行遵循工作区信任及相应权限。

3.10.6 数据、凭据与运行组件

IDE 的设置、用户扩展、缓存、日志和运行状态属于当前 Profile，项目源码位于用户选择的目录。PonzoZella Plugins Builder 使用专用开发身份与独立工作区，便于将插件开发任务与普通项目分开管理。

模型凭据沿用 PonzoZella 的认证来源。IDE 不要求用户建立另一套模型账户，扩展也不能因进入编辑器而获得产品内部资料或其他 Profile 的访问权。

完整离线发行包含 IDE 主体及必需扩展。平台运行条件、图形环境、操作系统权限与安装形式共同决定可用性。组件可以启动、扩展成功激活、后端连接有效和任务实际完成分别确认。

3.10.7 ACP 与 LSP 的职责

ACP 连接承担 Agent 会话、项目绑定、请求、取消、审批和状态通信。LSP 连接承担语言服务的符号、导航和诊断；两者是不同协议。IDE 打开并采用工作区后，经已认证 ACP 路径请求初始化该会话的语言服务，不把 ACP 连接本身当作语言分析器。

PonzoZella 按语言和项目管理语言服务，核验工作区归属并展示连接状态。未启用、缺少服务程序、超时和初始化失败分别报告。各语言服务及其按需安装受配置、依赖和网络约束，安装包不保证包含所有语言服务。

IDE 用户扩展可以提供自己的诊断，PonzoZella 后端也可以维护语言服务器。diagnostics 读取实际可用来源，不将两条路径当作同一个进程；ACP 就绪、工作区绑定、语言服务就绪和模型认证分别展示。

3.10.8 PonzoZella Plugins Builder 专用模式

用户从标题栏布局控件左侧的 PonzoZella Plugins Builder 开关进入独立插件开发窗口。普通窗口、原工程和原会话保留；模式状态由真实启动握手及窗口存活决定，不把按钮点击当作启动完成。重复打开复用所属窗口，关闭时处理未保存内容与所属预览资源，不关闭用户其他窗口。

专用窗口可以新建或打开 User Plugin V1、User Plugin V2、Desktop Plugin 和 WebUI Plugin 工程，也可复制已受管的用户插件继续开发。源工程与已安装产物分开，不能用此入口直接打开 PonzoZella 私有源码或修改系统组件。开发会话通过正常 ACP 新建，按工程保存和恢复归属，不复制原会话历史、冻结提示词或工具目录。

左侧专用视图提供创建、打开、复制、验证、测试、适用界面预览、安装、更新及回滚。工程改变后重新验证；登记成功、真实可见、交互完成与业务成功分别确认。后端插件没有必须伪造的图形预览，前端插件使用真实宿主和新测试 Profile。具体注册、快照、幂等与恢复契约见第 8.9、8.10 节。

3.10.9 开发帮助与内置双语文档

进入专用模式后，打开 Python、JavaScript、TypeScript 或相应 JSX 文件即可获得 PonzoZella 公开 API 的语义着色、导入与成员补全、悬浮说明、参数签名、诊断、行内提示、CodeLens 和公开声明导航。该帮助识别类型、上下文别名和成员链；局部同名变量遮蔽后不继续误标。按目标和运行条件提供帮助，不把所有导出都假定为当前宿主可执行。模型生成的行内建议是另一项功能，仍由用户显式启用并依赖所选模型。

在专用视图选择 开发者文档（Developer documentation） 阅读指南，选择 公开 SDK 参考（Public SDK reference） 检索模块、类型和方法。文档语言（Documentation language） 或文档打开后的状态栏地球图标可切换中文和英文。首次选择跟随 IDE 界面语言；显式选择保存在当前 IDE 用户数据，独立于界面语言，切换时保留当前文档与符号定位，搜索只查询所选语言。

内置中文和英文文档覆盖工程创建、开发、测试、预览、安装与恢复，并提供公开模块参考。文档与开发声明随完整包提供，开发者可以按任务查询适用说明。

文档支持原生 Markdown 预览、索引检索和符号定位，无需先创建插件工程。文档、开发帮助与命令仍遵守第 14.11 节的资源访问边界，公开参考不授予私有源码访问权。

3.11 PonzoZella Browser 内嵌浏览器

右侧工作区在文件树左侧提供独立浏览器面板，保留上方网页、下方账号管理的可调布局，初始各占一半。上方支持多标签、地址输入、前进、后退、刷新、停止加载及返回首页；网页使用 Electron 原生视图，用户可直接点击、输入和登录。隐藏面板保留网页，关闭标签才销毁对应页面实例。

浏览器页面随窗格布局、缩放及菜单显示调整位置和可见区域。隐藏窗格与关闭页面具有不同生命周期；窗口被其他窗口遮挡不会自动关闭页面或清除登录状态。

标题栏与新标签页使用统一 PonzoZella 品牌标识和 PonzoZella Browser 名称，显示当前账号及共享会话状态。首页提供常用网站和书签摘要，地址栏旁可收藏当前网页、打开收藏管理；书签栏用于直接访问已保存页面。界面复用现有字体、控件和深浅主题，站点图标使用本地标识生成，不为获取远程图标额外访问收藏站点。

常用网站可添加、编辑和删除；书签可保存当前页，按标题或网址搜索、修改标题与网址及删除。网址规范化后去重；主动清空常用网站后不再重新填入默认项。保存失败显示错误并保留输入，不将尚未写入的数据报告为成功。首页与管理区显示时隐藏原生网页；返回后继续使用原网页实例及其尚在的登录和输入状态。

下方账号区允许按网站创建和切换账号，并从本地导入 Cookie、登录状态 JSON 或 JWT。账号归属当前 Profile，同站不同账号拥有独立浏览器存储；书签与常用网站在同一 Profile 的账号间共享，切换 Profile 则使用另一份工作区数据。跨 Profile 的迟到响应不能写入新页面，编辑表单和搜索状态随 Profile 切换清空。

Agent 使用既有浏览器工具观察和操作用户当前选择的真实页面，无需另开一个不可见的登录副本；执行输入前会请求展开相应面板，无法完成时报告失败。共享的是受控浏览器工作区，不能由此推导模型已获得全部本机应用、其他浏览器账号或无条件网站操作权限。组件与认证边界见第 6.6 节。

3.12 共享能力控制台与轻量互动

Desktop、TUI 和 Dashboard 通过同一能力协议观察运行时、记忆、研究、后台作业、执行、保留原文、浏览器、工具、技能市场、协作、伙伴和账号。响应绑定请求身份、原会话、Profile、后端进程和观察时间；切换作用域、断线或后端变化后丢弃旧响应。修改有独立确认与修订检查，超时不自动重试可能已经发生的写入。

技能市场提供可核验来源的公开榜单、精选、分类、新发现与本地收藏；缺少可信周／月数据时说明缺失，不合成排名。首次发现日期属于本地档案，不冒充上游发布日期。任务协作保存下一步、完成条件和阻碍，由用户将交接内容放入普通会话发送。伙伴入口提供签到、专注计时和安静模式，三者不自动授权外部行动。

浏览器账号清理需要同一 Profile 的在线 Desktop 浏览器。删除时确认账号名称，默认空间受保护，清除目标空间的标签与适用凭据、Cookie、站点存储和缓存，其他空间保持独立；纯终端或网页入口没有桌面桥时明确报告不可用。私密输入仍限定已有本地授权界面，不随通用表单扩展到任意入口。

3.13 PonzoGTK 与个人图形工作环境

PonzoGTK 是 PonzoZella 产品内的独立图形运行时，使用户和 Agent 能以 PonzoZella 已有能力构建自己的工作环境。Ponzo Workstation 是环境的创作与管理界面，位于 Desktop 和 Dashboard 的 PonzoStudio 中，也可由 CLI／TUI 打开独立入口。用户环境复用 @laitteam/ui 与宿主 React，不要求安装或运行 PonzoZella Desktop；它也不表示与同名系统工具包兼容或能够任意调用本机原生对象。

环境定义包含名称、描述、入口、源码文件、面板布局和主题。开发者可组合共享界面组件与公开宿主能力，调整多列面板、明暗模式、强调色和紧凑度。环境在受约束的前端运行时加载，不开放 Node.js 或 Electron 私有对象；具体开发规范由公开 SDK 和内置文档提供。

flowchart TD
    E[Desktop／Dashboard 中的 Ponzo Workstation] --> D[环境草稿、布局、主题与版本]
    C[CLI／TUI 启动入口] --> W[独立 PonzoGTK Web 界面]
    D --> V[草稿预览与明确发布]
    V --> W
    E --> H[连接与 Profile 绑定的宿主适配]
    W --> H
    H --> A[已有认证 RPC 与 HTTP 后端]
    A --> R[会话、文件、系统、项目及领域服务]
    A --> P[已登记的用户插件服务与宿主审批]

环境模块可直接消费已有的认证后端能力，例如真实文件目录、文本读写、系统指标、项目状态和会话状态。需要新的后端行为时，由 User Plugin V1 或 User Plugin V2 提供，并遵守现有服务与权限契约。公开接口索引、三种终端路径及用户 V2 桥接见第 8.7、8.8 节；目录中存在接口不证明依赖已配置，也不表示该功能界面已经实现或验收。

界面预览与已发布修订分开。候选加载、注册、首次渲染或 Effect 失败时保留仍可用的旧界面，并呈现可恢复的失败状态；用户修改草稿不会自动替换正在运行的发布修订。连接或 Profile 改变后，旧响应和旧代清理不能操作新环境。环境代码不因运行在个人工作区就获得任意宿主对象或绕过后端权限。

普通可创作环境与 Application 隐藏环境分别管理。隐藏属性只能在可信创建声明中确定，不能把已安装应用转成普通可编辑环境。CLI、TUI、Ponzo Workstation 和 PonzoPluginMaker 的普通环境目录不列出隐藏环境，存储层同时拒绝猜中标识后的读取、改写、启动、导出和删除。Application 的专用启动和受控后端调用由 PonzoZella Core 承担，见下节。

3.14 Application 与独立应用窗口

Application 将前端、用户插件后端、PonzoZella 声明与依赖组织为可安装的应用。图形部分仍由 PonzoGTK 承担，PonzoZella 提供 application_open 启动工具、应用管理与恢复、Desktop 应用目录及 Dashboard 应用页面；应用不另建一套 Agent Core。

3.14.1 应用目录、分类与置顶

Desktop 的 技能与工具→发现 在既有 AgentOS 市场内容区展示应用。搜索为空时显示应用网格，普通文字继续搜索 Skill；app:: 显示应用，app:: 名称 仅筛选应用。应用安装使用独立的“安装 .pza”按钮，由用户选择归档并审查批准。

应用目录以图标、名称和分类展示应用，支持置顶、排序与主题适配。界面布局按所属 Profile 和用户保存，材质效果随视觉设置调整，操作控件保持可读与可用。

3.14.2 图形入口与进程生命周期

发起入口	启动行为	条件与边界
Desktop	打开独立 Electron 应用窗口	窗口、前端页面和隔离后端均须实际就绪
本机 Dashboard	具备条件时打开独立原生窗口	同时校验访问来自本机、后端 GUI 会话及本机权限；身份不足不能冒充本机显示客户端
远程 Dashboard	打开浏览器新标签页	可手动使用应用及获批后端工具，不提供远程 ComputerUse、远程截图或输入中继
CLI／TUI	检查 GUI 后打开独立窗口	无可用图形会话时阻断应用启动，不转为无界面的后台“已打开”状态

同一 Profile、用户主体、显示客户端和 Application ID 的重复启动复用已有有效实例，其他显示客户端保持独立归属。应用窗口及后端使用与 PonzoZella Core 分离的进程组，但生命周期仍依托 Core；Core 退出、应用后端退出或所属页面关闭时，相关运行实例与工具随之回收。关闭某个客户端不等于其远端 Core 已经退出。独立进程组不表示应用成为可脱离 Core 的常驻服务。普通独立 PonzoGTK Web 服务不受此应用生命周期规则替代。

3.14.3 Agent 工具与本机 ComputerUse

Agent 通过专用启动工具打开已安装且获批的应用，不由此取得隐藏前端源码或环境编辑能力。后端实际注册的工具在批准、后端和页面就绪后，原生模式另要求真实可见窗口，才进入所属对话后续模型请求的 Schema。仅安装、仅创建进程或仅存在工具声明都不算就绪。

工具绑定包含 Profile、用户、显示客户端和运行代次，不能替换基础工具。应用关闭、后端失效或版本切换后撤回；旧代绑定即使保留在先前请求里，也不能调用新实例或其他客户端。前端仅通过本应用的宿主桥调用自己的后端工具，不获得通用产品管理权限。本机窗口可由现有 ComputerUse 在系统许可范围内操作，远程标签页不提供这一能力。

4. 模型推理与多模态能力

PonzoZella 支持配置不同模型服务和兼容端点，并按会话选择模型、推理强度、回退路径及预算。模型路由包含可用性、凭据、配额和错误处理；切换模型不应凭空改变既有消息内容或突破会话权限。实际支持的模型、价格、上下文长度和多模态类型以对应 Provider 的实时能力为准。

用户可在受支持的入口提交文本、文件、图片、音频及其他可识别媒体；语音输入、转写、朗读和语音对话依赖设备及已配置服务。模型生成图片、语音或其他媒体时，系统以产物或附件形式交付，并标明失败和外部依赖。推理过程中使用的搜索、浏览器和媒体服务是按配置开放的能力，不意味着所有会话默认拥有所有外部服务。

长对话通过上下文整理和压缩继续运行。系统尽量复用稳定的会话前缀，按需读取技能与工作资料，避免每一轮都重新装载所有说明。压缩是明确的上下文边界；摘要不能伪装成原始证据，仍需按来源和有效期使用。

4.1 上下文与回复呈现

会话可读取用户指定的项目说明和上下文文件，按任务需要引入 Skill、记忆与引用对象。长期会话的 Prompt Cache 依赖稳定前缀；普通回合不会因插件列表、网页文本或 PonzoStudio 对象变化而改写已有 System Prompt。用户明确触发 /reload-prompt 等高成本重建时，系统展示作用范围和下一轮输入成本，并在失败时保留原会话可恢复状态。稳定缓存与主动重建分别处理，不能把显式维护操作描述为普通回合自动热更新。

PonzoZella 的回复规范由内置、按需读取的 ponzozella-response Skill 指引。Agent 可使用 Markdown、表格、任务列表、引用、数学公式、图表、代码、文件、媒体和产物解释任务；某个入口无法渲染富内容时，仍应提供可读信息。内部上下文封装、引用标记和工具协议仅用于模型理解，不应未经处理原样展示给用户。

4.2 模型连接与用量

用户可在设置中选择 Provider、模型及可用的登录方式。OAuth、设备码或 API Key 授权结束后，界面应重新确认服务端登录状态；浏览器显示“授权成功”但应用尚未取得已登录状态时，不能假装连接已经完成。模型不可用、额度不足、网络故障与凭据失效应分别提示。回退模型只在已配置且满足任务能力要求时使用，不应默默改用一个无法处理附件或工具的模型。

PonzoZella BuiltIn 模型目录与用途路由直接集成并构成 Core、System、Runtime 与 Main 的一部分，由 Core／System 执行。目录区分 LLM、Embedding、图像生成、视频生成、ASR 与 TTS，并分别记录输入、输出、连接、可用性和能力来源。支持图片输入不等于支持生成图片，支持音频输出也不能单独证明适合文件转写。

系统在启动、连接配置或凭据变化时发现当前 Profile 的模型，并在运行中按小时刷新，保留手动刷新入口。优先读取 Provider 的实时目录及领域适配器；元数据缺失或相互矛盾时标为“能力待确认”，可通过明确的能力声明补充，不能仅凭模型名称自动分配。发现不自动下载或启动本地模型，也不把其他应用的隐式登录自动纳入当前 Profile。

图片理解、原生视频理解、Embedding、图像／视频生成、STT、ASR 和 TTS 分别配置。自动模式可在当前 Profile 已配置凭据的服务及已启用、就绪的本地服务中选择，先满足用途和协议，再优先稳定版及有依据的官方更新时间。手动模型保持锁定；能力不匹配或调用失败时明确提示，保留原配置。目录刷新不改写既有消息、会话 System Prompt 或冻结工具集。旧模型设置入口与用途设置保持一致，冲突修改先拒绝。

用户可查看任务的 Token、工具调用、模型路由和相应的用量信息。费用或积分估算遵循当前计费配置与可获得的 Provider 数据；缺失价格或使用数据时应标为未知，不构造精确账单。子代理和工作流的消耗应能归属到发起任务，同时保留各自的执行明细。

OpenAI Codex 接入使用 PonzoZella 的登录适配。用户可建立独立设备码登录，或在明确选择后导入已有登录。OAuth 凭据与 API Key 按各自认证方式管理，账号额度及可用模型以实际服务响应为准。

4.3 推理档位、MoA 与辅助模型

推理档位描述向当前 Provider 请求的推理强度。会话明确选择优先于所属 Profile 的默认选择；Provider 是否接受、如何解释以及能否回传推理内容，由对应适配器和服务决定。Max、Ultra 等名称不构成准确性或完成质量保证。

MoA（Mixture of Agents）通过多个模型或角色参与、汇聚结果来处理适合协作推理的任务。它会产生相应模型调用与预算消耗，与创建拥有独立执行生命周期的子代理不是同一种操作。用户应按实际配置判断参与者、汇聚方式和成本。

系统还可为摘要、整理、记忆反思、审批审查、目标发现及机会分析配置辅助模型。个人 Auto 的目标发现使用无工具的结构化资料请求，网页研究则通过原生 Agent 使用当前 Profile 的模型与网页配置，两者分别记录用途和消耗。有限模式保留请求预算与期限；无限制模式取消相应模型输出预算和 PonzoZella 自设执行超时，仍保留资料范围及结构校验。辅助模型使用任务所属 Profile 的配置和凭据，具有独立任务用途；后台反思不借此替换前台会话模型或改变前台 System Prompt。辅助服务不可用时，应保持已有会话和权威对象可用，候选状态按失败或待审处理。

Core 根据实际错误区分模型兼容性、凭据可用性、权限与账单问题。请求恢复保留正式历史和有效调用结果，取消与诊断遵守任务边界，不在错误输出中泄露秘密。

4.4 会话缓存与动态上下文

缓存稳定性依赖已提交前缀、工具快照和角色顺序。Skill 按任务加载，记忆的当轮补充通过专用上下文路径提供，外部对象在发送时解析为快照；这些操作不能通过修改旧消息实现。上下文压缩、用户明确确认的 /reload-prompt 重建及新会话是重新组织上下文的可识别边界。正文表情图片的目录识别与展示快照不重写模型历史，新增素材也不通过替换工具 schema 生效。

Application 工具采用明确的生命周期例外：保留基础工具快照、System Prompt 和已提交历史，仅在后续请求上加入或撤回当前显示作用域中已获批且就绪的应用工具。它不是对普通插件目录或全部会话工具的热重载。完整请求的工具 Schema 会随应用状态改变，不能把基础前缀稳定等同于完整 Schema 字节不变，也不据此承诺模型服务商的工具缓存必然命中。

地点是会话开始时可选的城市级快照，天气动画是桌面不断更新的显示状态。动态记忆和 Skill 可在实际读取时补充时间、已授权地点或现有天气观察，仍以有效配置、缓存和真实观察时间为准。模型看到地点并不意味着它同时看到了最新天气；禁用工具后，只有确实已经进入上下文的数据才可用于回答。

用户与 Agent 的昵称采用当轮显示身份快照，只加入当前用户消息的 API 副本；System Prompt、工具定义和已提交历史保持原有边界。普通改名不触发提示词重载，同一回合的重试和工具循环保持相同昵称，下一轮再采用新值。具体格式及多模态持久化见第 13.9、15.5 节。

个人 Auto 的发现与研究分别构造请求上下文；公开研究仅使用获准的网页能力和本次证据缓存，不把前台会话、完整工作集或全部工具目录搬到后台。长网页先提供预览，再按需补读完整证据；无限制模式不扩大模型本身的上下文窗口。开启、关闭 Auto 及资料变化不重建已有长会话的 System Prompt，能力管理仍遵循会话快照边界。每个前台回合从当前仍保存的研究生成临时索引，已投递或已忽略的研究仍保留索引，删除后从下一轮索引移除；详情由工具按需读取。索引只附加到当轮请求，不插入额外用户回合或改写历史消息。研究内容是外部依据，不是用户授权。

Machine Snapshot 将最新有效的后端机器与受管环境清单附加到当前前台用户消息的请求副本；动态记忆和 Skill 则在真实读取时生成局部视图。这些内容不改写原用户正文、已提交历史或固定 SystemPrompt，不增加额外用户回合。采集清单的可信来源、动态生成的观察与用户行动授权分别识别，具体生命周期见第 7.9、8.12、13.10 节。

4.5 图像与视频工具链

图像理解与图像生成属于不同工具链。理解使用当前支持视觉输入的模型或辅助服务读取图片；生成按已配置且可用的图像 Provider 输出媒体。图片、音频、视频的查看、分析、生成、修改和投递也各有条件，不能由“回复支持多媒体”推导为模型具有全部媒体处理能力。

图片与视频分析使用各自的模型设置，默认请求 Med；只有服务支持准确映射时才发送相应档位，否则明确报告原生默认值，并保留手动设置。主模型具备合格原生图片能力时，普通图片附件可直接输入；主模型不具备相应能力时，辅助观察带实际 Provider、模型及来源交给主模型，并注明其未直接读取原始媒体。

视频理解要求同时支持图片与原生视频输入，并具备可执行协议；仅支持图片的模型不能通过截帧、字幕或 ASR 冒充视频理解。没有合格模型时明确提示当前配置无相应能力。STT 负责语音输入，独立 ASR 工具与内部处理器负责文件转写，TTS 负责合成；声音配置保留所属服务，必需的时间戳或说话人能力缺失时拒绝相应请求。

视频理解工具 video_analyze 使用所选服务支持的视频输入路径，属于需启用的工具能力。通用 video_generate 通过视频 Provider 注册表选择可用实现；xAI 视频编辑与延长工具仅在对应 Provider 配置可用时开放。模型、素材类型、时长、网络和服务限制以该次请求的真实结果为准。

BFL FLUX 3 专用工具包含文生视频、图生视频、关键帧生成、视频续接、结果查询和提示指引。它具有独立的接入凭据与服务端授权要求，不因为配置了另一个图像模型就自动可用。提交任务、仍在生成、取得结果、下载成功和附件投递成功是不同阶段；服务要求上传本机参考素材时，该上传属于外部功能请求。相关外部请求见第 14.4 节。

图片分析支持受校验的区域裁剪及历史图像预算，裁剪、来源与模型输入分别保留身份；预算限制不会被解释为模型已经读取被省略的图像。图像压缩或预览只改变当次输入与呈现，不反向改变已提交的消息事实。

5. 工具执行、审批与结果契约

Agent 可以根据当前能力使用终端、文件、网页搜索、浏览器、受管计算环境、Computer Use、生产力工具、MCP 服务及已启用插件。能力选择遵循工具集和会话配置；某个外部服务没有完成设置时，界面应呈现不可用或待配置状态，而非把它当作已成功连接。

执行具有可区分的阶段：提出动作、风险判断、必要时等待审批、执行、记录结果、回填会话。审批针对具体动作及其参数范围，不是对整个后续任务的无限授权。拒绝、过期、超时和撤销都应产生可解释结果。用户直接在界面保存自己的内容遵循界面交互；Agent 代为进行持久写入则遵循工具与审批策略。

对文件、网络、数据库或外部应用产生副作用的动作，系统会尽力保留执行意图和结果状态。崩溃或断连后，如果无法证明外部动作是否已经完成，应暂停并要求复核；不能为凑出成功状态而盲目重跑。批量与并行执行也必须保留单项结果、预算和失败原因。

主动闭环沿用这一执行契约。固定动作通过规范工具入口执行，原生 Agent 任务复用既有执行流程。个人网页研究仅使用公开检索、正文提取和本次证据缓存的只读能力；每次调用校验参数、网址、范围及有效授权，有限模式另检查额度和执行期限。研究范围与行动授权分别管理。方案确认、当前权限和实际结果核验见第 10.4 节。

执行环境可按配置选择本机或受管后端。远程环境的文件、网络、进程与凭据边界由该环境及其授权决定；本机终端具有的能力不会自动出现在容器、SSH 或云环境中。秘密只应通过受保护的配置与授权链使用，不应被普通日志、产物或模型回复泄漏。

5.1 文件、终端与受管环境

文件能力支持在用户授权的工作范围内阅读、创建、编辑、搜索和组织资料。终端可以执行实际命令并返回退出状态、输出和错误；需要提升权限、修改系统设置或访问受限资源时，应进入相应的批准或系统授权流程。Agent 声称“已修复”之前，应检查真正的执行或测试结果。

Root/Admin 是本机文件与终端共用的提权执行路径，适用于其支持的前台、非 PTY 操作，不把权限自动带入远程环境、后台任务或交互式终端。macOS 与 Linux 可复用当前 Profile 的 SUDO_PASSWORD，通过标准输入交给 sudo，密码不进入命令参数或提权请求文件；显式配置空值也按当前 Profile 的配置处理。未配置该凭据或没有可用的 sudo 时，保留原有系统授权方式。已配置凭据遭系统拒绝时返回失败，不借另一个 Profile 的密码再次尝试。Windows 继续使用 UAC。

产品内审批与操作系统授权分别成立。Root/Admin 默认要求明确人工批准；会话已启用审批绕过时仍须通过操作系统的实际身份与权限检查。取消、超时、授权拒绝或无法确认执行回执均有独立结果，不能只因授权窗口关闭就报告成功。

文件搜索保留实际结果和错误状态，并说明部分结果的范围。无匹配与执行失败分别反馈，搜索始终受路径和权限约束。

文件搜索用于匹配路径或内容；权限、大小等目录元数据通过相应文件或终端能力读取。无匹配、权限不足与工具执行失败应分别诊断。

受管环境可按配置使用本机、容器、SSH 或其他远程工作区。各环境的目录、网络、进程与生命周期各有边界。环境切换不能把本机秘密或另一个 Profile 的工作目录自动带入。远程文件若需成为对话附件或产物，必须走可见的传输与引用路径。

普通文件与终端路径共享实际安装根保护规则。规则根据可信运行时入口、目录关系及真实链接目标识别产品源码、安装和解释器，不因用户文件名含产品名称而拒绝，也不把整个用户数据 Home 一概封锁。音频、图像、附件、用户技能和任务产物仍可按原有权限访问；凭据和应用状态另有精细规则。动态构造的脚本访问由操作系统隔离约束，不能只依赖命令文本预检查，第 14.2 节说明平台边界。

Terminal 与 Code Mode 可使用当前 Profile 管理的额外命令。添加、替换与执行分别校验，同名替换需要明确指定。文件加入命令目录后，实际运行仍遵守会话和操作系统权限。

Terminal 保留项目或系统原生解释器选择。Code Mode V4 的 Python 执行在 embedded 安装中复用 PonzoZella 定制 CPython 3.14t，并强制关闭 GIL；非 embedded 安装才可使用受支持的系统 Python。JavaScript 和 TypeScript 使用产品共享的受管 Node.js 26。Profile 分离依赖，不分别复制解释器；缺失或损坏的必要运行时必须修复，不能静默回退。依赖仅在实际 ABI 匹配时复用，纯 Shell 步骤保持原有执行语义。

5.2 组合调用、并行与结构化结果

复杂任务可把多个工具步骤编排为一次明确的组合执行，减少重复传递上下文。组合执行仍逐项经过与普通工具相同的权限、风险和结果规则；批次参数无效时不能先运行其中一部分再报告整批失败。可证明互不干扰的只读或安全操作可以有界并行；有未知或明显副作用的操作形成顺序边界。

结果区分完成、失败、参数不符与跳过。大输出优先以摘要和可访问的产物交付，避免把整份二进制或无限日志塞进会话。执行记录应足以让用户追查一项动作的起因、审批、最终状态与产物；这不代表外部服务能提供跨崩溃的绝对一次性保证。

已验收的自由线程 Runtime 可让适合的纯 Python 计算在同一进程跨核推进，并用共享 CPU 调度、前台预留、Profile 配额和有界后台队列约束竞争。I/O 等待、工具子进程与远端执行仍有各自并行路径；协作取消的作业在实际退出前继续占用容量。线程安全、原生依赖与具体负载决定真实收益，不能把线程数直接当成任务加速倍数，第 16.6 节说明验证范围。

5.3 能力发现、参数与依赖装载

工具名称、参数 schema、当前会话工具集与实际处理器共同决定一次调用是否合法。配置了平台并不使其他管理入口自动继承其所有参数；未知动作或不支持的字段应明确失败，不能通过试探任意命令或绕过入口继续操作。

可选能力需要 Python 依赖时，框架通过统一装载路径检查、安装和绑定当前解释器中的包。完整桌面应用将可变依赖放在用户可写的受管 Runtime 目录，避免修改签名应用内部。装载策略、环境路由、版本兼容和失败处理见第 16 节；任意终端命令不自动获得这一受管装载语义。

PonzoShell 提供统一的 package_manager 工具，由 PonzoZella Core／System 后端处理安装、搜索、卸载和列表。action 选择操作，enviroment_id 选择 Python 的 pzpy 或 Node.js 的 pnode-js；Agent 通过 Tool Describe 取得当前完整字段。键名、类型和动作适用范围先校验，合法请求继续沿原有安审、审批与安装事务执行。

安装可选 source：pzpy 使用 Python Simple 索引，pnode-js 使用 npm 注册源；未指定时沿用默认源，单次选择不修改全局配置。来源接受 HTTPS，环回地址另支持 HTTP，不接受内嵌凭据、查询参数或片段；非法来源在安装及人工审批前拒绝。来源进入缓存身份和安装回执，不能据此替换 Application 已批准的私有依赖来源。

Python 使用受管解析、构建与隔离导入流程；Node.js 使用受管 npm／pnpm，禁止隐式运行安装生命周期脚本。依赖变更保存实际解析版本与修订，失败保留上一代。声明依赖的 Code Mode 执行复用同一管理入口和来源规则，不另建绕过审批的安装路径。

Python 依赖的解析、构建和隔离导入分别受时间预算、取消和日志容量约束。临时网络或索引 HTTP 故障进行有界重试；真实依赖冲突、ABI 不匹配和构建失败继续返回诊断。安装及检查进程忽略并抑制 Python warning，不把警告噪声当作业务结果，也不隐去真实失败。只有工件摘要、发行记录、路径、平台标签、依赖闭包、核心覆盖与实际导入全部通过后才原子发布，失败保留上一代。

通用依赖按 Profile 和受管解释器兼容性管理。正式安装采用完整性检查与原子发布，已运行进程需要重新加载时给出相应提示。公开依赖可在核验后只读复用，应用私有依赖与核心内部实现按其所属边界管理。

Application 的 Python 和 npm／pnpm 依赖仍按应用机器名称隔离，并经过应用版本、实际解析版本和权限批准。Python 路径复用解析与隔离构建能力，安装位置和所有权不变；增加依赖搜索范围不等于给浏览器开放宿主包。安装、卸载、继承及应用边界见第 8.11、16.3 节。

5.4 Code Mode V4 与会话工具目录

Code Mode V4 使 Agent 能以代码组织当前会话允许的工具调用。代码执行、单次工具调用和外部副作用共用正常的身份、权限与审批链。会话目录在明确边界确定，执行时继续核验工具是否可用。

5.4.1 受管解释器与执行环境

本地执行支持 Python、JavaScript 和 TypeScript，按语言使用已核验的共享产品运行时。TypeScript 由随包编译器检查后执行，编译失败不运行用户代码。Agent 可在代码请求中声明 Python 或 Node.js 依赖，并按需选择单次安装源；系统通过统一 PonzoZella Package Manager 准备依赖，保留安审、审批与失败状态，执行绑定已核验的实际依赖修订。

Agent 可为脚本声明沙箱，进一步限制文件、网络、工具和公开服务。声明的范围与当前会话权限取交集；脚本不能自行增加权限。当前平台或远端无法落实所需隔离时拒绝受约束执行。自动动态片段同时受只读业务边界约束，普通脚本、依赖准备和业务动作分别保留各自授权。

普通 Python 会话内核可在连续执行单元之间保留变量；JavaScript、TypeScript、已注册脚本及需要隔离的执行采用相应独立执行边界，不应假定共享先前内核变量。显式重置、进程退出或会话结束会影响内存状态，跨进程恢复依赖已保存的材料和运行记录。

5.4.2 多语言单文件与文件组快照

用户可登记命名 Python、JavaScript 或 TypeScript 脚本及文件组，系统保存指定文件的固定快照。后续执行绑定该快照，源文件变化须通过明确更新进入新快照。注册、执行、替换和移除具有各自的权限与状态。

5.4.3 混合脚本与直接命令行执行

PonzoZella 脚本可组合工具、结构化管理动作、命名脚本和 Shell 步骤。执行前检查完整脚本及所需能力，再按顺序执行。步骤共享预算与取消状态，失败时停止后续步骤，已经产生的外部效果依据真实结果处理。

Human 可通过命令行运行脚本。Agent 先完整读取 PonzoZella Script Skill，再使用当前可用的代码执行入口。完整语法、参数及示例由 Skill 和命令参考提供。

5.4.4 PonzoZella 脚本与 Profile 配置校验

脚本配置写入只接受受支持的 Profile 键。内置 Skill 的独立键值表说明每项用途、类型、可选值和范围。直接值以及变量或表达式求得的值都在人工审批前校验，非法输入直接拒绝，合法写入经人工批准后生效。

凭据、受管对象与特定集成配置使用各自的管理入口。持久配置按功能规定的时点加载，会话中的稳定提示词与工具范围按既有边界管理。

5.5 工具执行恢复与未知副作用

Tool Durability 为工具声明风险、是否可安全重试、是否可并行及是否可由代码调用，并将执行当时的策略与意图、开始、完成或失败事件一起保存。普通工具恢复已接入共同回合前置入口，使用原执行身份、工具调用身份和受核验的原参数，经现有中间件、权限、审批及守卫执行。恢复判定采用这次执行保存的策略，避免插件后来改变声明后，把旧的未知动作重新解释为安全。

恢复依据包括原任务、工具身份、必要参数、执行策略与当时的环境。含秘密、无法安全保存或缺少必要依据的记录不自动重放。恢复前核对最新状态，同一执行不被重复领取，已经完成或失败的动作不因恢复再次执行。

已保存的执行事实	当前恢复判定	关键边界
有意图但尚无开始记录	可进入重试判定	仍须经过正常调用、权限与审批路径
已开始但没有终态，且策略明确允许只读或幂等重试	可进入重试判定	工具自己的重试安全声明必须成立，不把全部网络动作都视为幂等
已开始但没有终态，副作用未知或不满足安全重试条件	必须复核	保留未知状态，不盲目重复发送、删除、支付或设备动作
已完成但会话结果投影缺失	修复结果投影	使用已有结果补回展示，不重新执行工具
已有失败终态	复用失败事实	保留失败原因，不能通过恢复流程把失败改成成功

结果修复只向仍在会话尾部等待原调用的工具批次追加已保存结果。后来已有消息时，原正文保持不变，恢复结果作为当前用户请求的附加数据提供。修复既有结果不执行工具，也不在历史中间插入新的消息。

待复核记录保留工具、执行身份、参数摘要、风险与相关事件。能力、权限、参数或环境发生变化，或原执行条件无法确认时，需要复核。复核可以确认外部状态仍然未知或终止恢复，但不能借此直接重跑副作用动作。配置允许的自动接受策略同样只处理复核状态，不重跑工具。安全重试不授予超出当前会话的权限，也不意味着所有外部动作均可自动续跑。

5.6 工具渐进发现

当 MCP 和非核心插件带来较大工具集合时，PonzoZella 可通过 tool_search、tool_describe 与 tool_call 逐步提供工具说明及调用入口，减少每次请求直接携带全部 schema 的开销。核心工具不因此被隐藏或延后加载。

tools.tool_search 控制该机制，当前默认采用自动方式。没有可延后提供的工具时直接保留原集合；目录较小时提供工具名及简述；目录超出预算时缩减为名称或服务摘要，由模型按需查找和读取具体 schema。发现与描述不授予新权限，实际调用仍核对当前可用工具、参数、所属会话及执行规则。

渐进发现与会话能力冻结共同工作。目录展示预算、工具当前发现状态与已经保存的会话工具快照各有职责，不能借一次搜索在会话中途无声替换系统提示词或旧工具定义。

5.7 既有内置工具的协议扩展

内置交互工具支持批量澄清、具有父子关系的任务清单、定时任务管理、技能管理、文件搜索和后台进程追踪。

批量问答逐题保留回答和取消状态。任务、计划与进程操作核验所属会话、修订及实际执行身份。无匹配、请求失败、等待输入与任务完成采用不同状态，便于用户继续处理。

5.8 MCP 连接、授权与 SDK 兼容

MCP 为外部工具与服务提供接入通道，支持相应服务发现、媒体及交互授权。用户可以发起设备码登录并查看真实授权状态。

连接、身份认证、工具可见和实际调用成功分别核验。服务端媒体与交互请求遵循 Profile、来源和当前任务权限。重新发现服务时，活动会话仍按已建立的能力快照执行。

5.9 统一审批与待办

同一 Profile 的入口读取审批代理与各来源的当前状态，包括会话工具待批请求、Workflow 审批和可继续的等待任务、MemoryPlus PatchSet 待审提案及 Agent Runtime 待执行任务。每项保留来源、动作、状态、风险、稳定 ID、当前修订及可用操作。处置仍由各来源核验并完成，审批回执与原请求绑定。修订变化、过期或原会话进程已退出时，旧请求失效。

用户选择	系统行为	权限范围
直接决定	根据该项状态批准、拒绝、取消或恢复	使用当前 ID 与修订，由来源核验当下是否允许
请求主模型建议	独立调用已配置的主模型，使用该条目的摘要及经脱敏的详情，返回建议和理由	模型无工具执行权限，条目继续等待决定
交给 PonzoZella	用户授予当前条目的临时管理权，可取回。系统可在允许范围内按建议处置或继续等待	仅限当前 Profile、条目和修订，有效期最长五分钟并受条目截止时间约束。强制人工审批仍由人最终决定

会话工具、Workflow 强制确认及涉及权限提升的操作保留人工决定边界。允许委托的低风险条目可由受托模型提出决定。提交时核对当前状态、修订与委托身份，用户可以查看、撤销或接管。

6. 网页、浏览器与 Computer Use

网页搜索用于发现公开信息；浏览器用于打开、阅读和操作动态页面。Agent 可在受支持的浏览器会话中查看页面、定位元素、输入、滚动、处理导航和获取页面结果。网页内容及其脚本输出一律是外部数据，不能直接提升为系统指令。登录态、下载、弹窗和第三方站点行为受浏览器环境与用户权限约束。

Computer Use 允许 Agent 在获得相应系统权限后观察和操作真实计算机。屏幕读取、鼠标键盘、窗口定位及应用控制可能触及敏感数据，因此只在用户启用、设备授权和运行策略允许时使用。系统应明确显示操作结果和失败原因，不将“工具已调用”解释为“界面已完成目标”。macOS、Windows、Linux 的可用路径和系统授权方式可能不同。

Desktop 的 ComputerSnapshot 由用户主动触发，获取当前焦点应用窗口图像及可用的窗口上下文，先放入目标会话草稿。用户决定是否发送；窗口文字和可访问性内容按不可信上下文处理。环境快照另提供 Machine Snapshot 与 Enviroment Snapshot 两种模式。前者由 Core／System 本地总结后端机器和受管执行环境，后者使用当前交互设备的摄像头。用户先看实时画面，按快门后可预览、重拍、取消，并选择是否镜像；确认后照片及拍摄时间才进入原会话草稿，发送仍需用户操作。摄像头权限失败、设备不可用和会话切换不得生成伪造附件；三端入口及生命周期见第 13.10 节。

6.1 观察、行动与验收

浏览器和 Computer Use 的观察结果有采集时刻。窗口、页面或登录状态变化后，旧截图和旧元素定位可能失效，需要重新观察再行动。成功发送一个鼠标事件或浏览器请求，不代表文件已经保存、表单已经提交或外部系统已经完成处理。

用户可以在有明确任务和授权的范围内让 Agent 操作真实应用。涉及发送信息、账号授权、支付、删除或系统变更时，仍遵守动作的权限与审批规则。默认禁用、缺少权限、原生驱动不可用或页面不可访问时，应保留可读的失败结果和接管入口。

6.2 本机权限宿主与跨平台驱动

当前 macOS Computer Use 路径由 PonzoZella 的本机权限宿主承载，通过经过认证的 Unix 套接字与后端连接，调用随完整离线包提供的原生运行组件。读取屏幕、获取可访问性信息和执行鼠标键盘动作发生在用户设备上；这些本机执行请求不是交给一个远程 Computer Use 云端服务代为操作。需要模型分析截图时，图像仍可能随获准模型请求发送给所选 Provider。

本机宿主负责连接身份、会话归属、系统权限和受控生命周期。宿主启动成功不代表屏幕读取或辅助功能已被操作系统批准；后端连接断开、权限缺失或原生组件不可用时保留对应错误。CLI 或 Gateway 调用本机能力也不自动取得另一台机器的桌面权限。

其他平台按其支持的驱动、通信和权限方式执行。cua-driver 子进程的匿名用量遥测由 PonzoZella 的配置策略控制，默认关闭；该策略与模型请求、截图上下文及用户配置的监测导出分别说明，见第 14.4 节。不能把一个平台的本机启动验证推导为全部平台已经完成真实设备控制验收。

Desktop 插件验收另使用所属前端的受约束截图桥读取自身界面，核验当前 Profile、进程、窗口及插件源码身份；该通道只读取本应用拥有的渲染窗口，系统自动化驱动对自身授权宿主的保护规则继续生效。保险库或私密授权界面打开时拒绝截图，截图前后重复检查保护状态。该通道与浏览器网页的 CDP 桥不同，不向网页或远程任意调用者开放主界面控制。

Linux 路径通过随包 cua-driver 与 MCP 连接实际桌面；Wayland 会话在未被显式覆盖时为驱动启用原生支持。驱动命令必须从桌面宿主传入实际后端，依赖装载和 MCP 结果解析也属于启动链，不能仅凭“工具已注册”宣布可用。Linux 原生控制、macOS 本机权限宿主及 Windows 桌面会话按各自契约管理。

GNOME／Wayland 的可用能力取决于桌面会话、系统权限及所需扩展。取得截图只能证明相应观察路径可用，键鼠动作、剪贴板、后台输入和门户授权需分别确认；不同合成器和设备的支持范围也需单独核对。

6.3 Home Assistant 与设备服务

Home Assistant 接入支持实体列表、状态读取、服务发现及设备动作。用户配置所属实例与访问凭据后，相应工具才按当前 Profile 和会话授权提供。

实体查询及状态查询用于了解设备；服务调用可能改变灯光、开关、温度或其他实际状态，须按任务授权与工具策略处理。PonzoZella 支持调用已接入实例公开的服务，不等于已经发现或控制用户家中全部设备。实例可达、Token 权限、实体身份、服务参数及动作后的状态反馈共同决定是否完成任务。

Home Assistant 作为消息入口的平台适配与这组设备服务工具是两个接入面。配置其中一个不自动启用另一个，也不使其他消息平台取得设备控制权限。

6.4 搜索、提取与内置原生 Firecrawl

搜索和正文提取可按任务选择受支持的服务。各服务使用自己的账户、地址和能力条件，用户可分别配置搜索与提取来源，并检查实际请求结果。

Main 已内置 firecrawl-local，在后端选择器中显示为内置 Firecrawl。已验收的 macOS arm64 与 Ubuntu amd64 完整包包含各自架构的原生 Node、Redis、Firecrawl API、队列工作器和浏览器处理服务，复用受管浏览器；无需用户安装 Docker、单独部署本地服务器或填写云 API Key。组件按需启动，采用本机回环地址、临时端口与进程间随机认证值；运行状态和日志写入当前数据根的 runtime/firecrawl/，不写签名应用资源。宿主退出及服务异常时执行生命周期清理，宿主意外退出也有子进程收尾路径。

内置路径使用原生提取服务，搜索空结果时可回退 DDGS；搜索路由覆盖显式选择和共享自动选择路径。firecrawl-local 与 firecrawl 的云端、远端自托管及订阅网关路径分别配置：选择内置服务不需要云密钥，选择其他路径仍需其地址、认证或订阅。没有结果、连接失败、认证失败、解析失败及被网络规则阻断不能混为同一状态，也不承诺在任意错误后自动尝试所有供应商。

网页搜索和抓取仍会访问搜索来源与目标网站。URL、重定向、站点策略及非公网地址检查继续生效；本地运行不绕过目标站点的登录、反爬、付费或网络限制。代理将公网域名解析为非公网地址时可能触发安全阻断，应诊断实际解析与路由，不能用关闭整个网络保护替代修复。随包服务可离线启动，不意味着能离线获取互联网上的新内容。

6.5 长结果预览与完整证据

主动研究的完整网页正文及较大的结构化工具结果保存在所属 Profile 的受管证据缓存中。模型先接收短预览、截断说明、来源网址与完整证据引用，再按需补读。预览控制当轮输入体积，不删除已保存的完整证据；读取预览不等于读取全文。

公共研究中的文件工具只读本次运行的受管证据，拒绝跨运行目录、路径逃逸及符号链接；远程文件环境仅为相应缓存建立受控读取映射，不开放整个数据 Home。完整缓存不是保险库或长期记忆，也不能提高网页内容的指令权限；明文文件、读取与恢复边界见第 10.4.3、14.10 节。

普通工具的大结果另有受管保留与定向查询：原文按 Profile、会话及独立记录隔离，不因重复工具调用标识覆盖旧内容；查询先核对来源、访问期限和可用范围。采集已经截断、只保留预览、原文不可达和实际无结果是不同事实。可补读或检索原文不表示系统保存了超出采集边界的内容，也不以保留期限推断文件已被物理删除。

6.6 共享网页、隔离账号与自动化桥

内嵌浏览器由 Desktop 的 Electron 宿主管理网页、账号、持久化和本机自动化桥。网页视图启用上下文隔离和沙箱、关闭 Node 集成，不装载桌面预加载接口。网站权限按 Profile、账号、来源和具体能力管理，支持本次允许、记住允许、拒绝与撤销；未知权限或无法确认的来源拒绝。支持 HTTP、HTTPS 和新标签页，导航及收藏拒绝包含内嵌凭据的网址和其他协议。网站允许不代替操作系统对摄像头、麦克风等设备的授权，具体站点流程仍需验收。

6.6.1 账号导入与数据归属

账号导入要求明确网站来源及目标账号，支持 Cookie 数组、含 Cookie 和本地存储的登录状态 JSON，以及按指定键放入 Cookie、localStorage、sessionStorage 或请求头的 JWT。Cookie 域及状态来源必须匹配目标站点；请求头仅注入精确匹配来源的请求，不随跳转发送给其他来源。导入解析或写入失败按实际错误处理，不把未导入状态显示为已登录。

浏览器工作区按 Profile 保存账号、可恢复标签、书签和常用网站，各账号拥有独立网页数据。请求头凭据与会话 Cookie 的补充快照采用宿主安全存储，页面本地存储和缓存按浏览器规则管理。

同站不同账号及不同 Profile 的网页数据分别管理，切换账号会切换可见标签和自动化目标。正常重启可恢复已保存标签及持久状态，但网页应用自身的会话失效、JWT 到期和 sessionStorage 生命周期仍由站点及浏览器决定；持久化不等于永久保持登录。用户其他浏览器的凭据不会自动复制进来。

6.6.2 Agent 连接与工具边界

本机桥仅监听回环地址，采用随机路径及受限描述文件，后端核对 Profile、文件归属、权限和存活进程后连接。CDP 只暴露当前账号的浏览器网页，不暴露 PonzoZella 主界面、凭据窗口或其他 Electron 内容。既有浏览器工具复用 agent-browser 连接这一网页；显式配置的 CDP 地址优先，未启用或没有可用桌面桥时仍按既有浏览器部署路径运行，不能假定远程 Runtime 能读取本机桥。

PonzoZella Browser 提供标签列出、新建、激活、关闭及已有账号列出、切换工具。账号创建和认证导入由用户在桌面管理区完成；账号工具只返回元数据，不返回原始 Cookie、JWT 或登录状态内容。浏览器页面本身可能展示已登录的资料，模型通过获准观察取得的页面内容仍受任务及隐私边界约束。

书签与常用网站管理使用既有 Desktop IPC，不增加模型工具；模型侧控制桥拒绝收藏管理操作，也不在其工作区快照中返回两个收藏集合。浏览器管理工具可按既有工具设置启停，会话可见性与执行权限分别检查。任务结束不销毁用户拥有的浏览器；网页点击、输入与外部提交仍须按真实结果验收。

浏览器另提供可选的代码执行后端，复用 Code Mode V4、冻结浏览器 SDK 与既有浏览器 Provider；未选择时保留原生路径。PonzoVault 的浏览器引用经本地单次授权后绑定会话、用途、限时与来源，仅用于获准的受保护字段填入。回执不返回明文，受支持的代码输出继续遮蔽已授权值；引用句柄不授予任意网站或其他会话读取保险库的权限。

浏览器结构经验保存可复用的页面结构和步骤依据，不保存用户输入参数值。经验只提供后续观察与计划参考，不自动执行旧步骤；网页、账号和权限改变后仍须重新核验真实状态。

6.6.3 网站权限与撤销

权限按精确站点来源隔离，仅接受 HTTPS 或受支持的本机 HTTP 来源。当前可处理摄像头、麦克风、定位、通知、剪贴板读取／受清理写入、全屏及指针锁定；媒体请求还核对具体音视频类型。其他账号、站点或 Profile 不能复用授权。

权限请求与检查读取同一权威决策；相同待决请求合并处理。关闭标签、跨页导航或授权代次变化后，旧请求不能授权新页面。用户可在管理入口撤销记住的决定并重新加载；同一数据根内的多窗口共享撤销结果。空 Cookie 快照不触发不必要的钥匙串加密写入，非空快照继续按既有加密和文件权限保存；这项修复不取消站点认证及设备授权。

7. 长期记忆、MemoryPlus V4 与自学习

PonzoZella 保存会话历史并提供检索，使 Agent 能在明确的 Profile 范围内恢复既往工作。长期记忆区分原始对话、正式事实、偏好、经验、候选和可复用步骤；它不把全部聊天全文永久塞回每一次模型调用。MemoryPlus V4 在这一基础上提供知识树、派生检索索引、会话工作集、证据记录、隔离整理和 Skill 双向关联。内置 MEMORY.md 与 USER.md 保存权威简明记录及索引，MemoryPlus 节点保存详细事实与来源，Skill 文件保存实际操作步骤。

7.1 知识树、关系图与权威内容

MemoryPlus 的知识节点使用可阅读的 Markdown 正文与结构化元数据，具有稳定身份、类别、标题、状态、置信度、重要性、修订、时间、来源、父级、关联和别名。用户可搜索、查看、编辑、连接、移动、合并、归档、恢复及查看历史。候选、正式使用、权威整理、归档与删除标记具有不同含义，候选不能冒充已经确认的知识。

知识树提供层级组织，Memory Graph 提供关系投影、邻居与反向关联浏览。桌面工作台可查看知识正文、来源、修订、树视图及局部关系；图上的可视位置或动画不改变原始节点身份。正式关系与建议关系应区分，不能因界面出现一条线就当作已经持久确认的关系。

Markdown 内容是知识节点的权威表示；SQLite 索引保存派生节点、全文检索、关系和已处理事件信息。索引可从正式内容重建，索引故障不应通过删除用户知识来恢复。内置记忆与详细知识节点的职责有区别，详细节点不会仅因搜索命中就覆盖权威用户资料。

7.2 固定工作集与当轮召回

MemoryPlus 用会话工作集提供稳定的背景材料，并在每轮查询时补充与当前任务相关的短片段。两者按上下文预算和知识状态选取内容，保留来源与修订。归档和删除标记影响后续正常检索，候选知识显示其待审身份。

默认检索使用全文搜索与确定性排序，结合标题、正文、别名、对象身份、已保存关系和内容新鲜度。检索结果核对权威内容，失效索引可重建。

用户可显式开启辅助模型查询改写，以改善同义表达和跨语言查询。该步骤向所选模型发送当前查询，并产生相应调用费用。模型不可用或没有有效结果时，系统使用原始查询继续检索。

召回设置按 Profile 管理，用户可以调整结果数量、体积预算和排序因素。后台准备的缓存须在使用时核对来源、内容和配置。材料只有实际进入当轮模型请求并完成请求确认，才成为该轮的使用证据。

MemoryPlus V4 可在实际读取和前台召回时动态构建局部内容，权威原文与当轮观察保持分离，见第 7.9 节。

MemoryPlus V4 默认组合向量、全文、别名和关系召回。向量仅索引当前 Profile 可召回的持久记忆静态原文；动态 Code Mode 片段继续在实际读取时执行，生成结果不进入长期向量索引。语义匹配用于发现候选，实际读取、来源复核和引用资格仍沿用同一证据边界。

向量索引固定所属连接、模型、修订、维数及处理方式，不把不同空间的数据混用。发现新模型不会自动替换已有索引；用户确认更换后后台构建，完成后整体切换，失败时保留旧索引或全文召回。记忆编辑、删除或读取资格变化会使旧向量失效，迟到的计算不能恢复已删除内容。设置页与命令行显示索引状态；没有合格 Embedding 或调用失败时明确显示降级状态，现有召回继续工作。

7.3 历史会话检索与证据引用

受支持的主动召回工具可以在用户提到既往决定、节点命中不足或相关性偏低时，补查当前 Profile 的会话历史。历史检索先定位有限的命中，再取邻近上下文，优先返回用户和助手内容；系统消息、工具载荷及不适合引用的任务来源受到过滤。历史补查属于该召回工具路径，不承诺每一次自动注入都会额外检索全部历史。

证据记录绑定会话与回合，记录引用标识、来源种类、来源身份、修订、内容哈希、读取方式和时间。引用资格在本轮最终实际模型请求中确认，并在对应请求得到响应后提交；生成候选、索引命中或工具返回本身不授予本轮资格，旧回合审计也不能冒充当前证据。片段、来源和证据使用同一次不可变快照，预算截断后只登记实际进入请求的内容。

模型应引用实际读取或注入的材料，不能凭印象构造一个看似真实的来源。引用校验发现越界或未知标记时，系统可尝试受约束修复；修复仍不合法时移除不成立的引用并保留审计。引用存在说明材料进入过证据范围，不保证材料本身永远准确或仍然新鲜。

PonzoMind、笔记、文件和网页进入会话时仍保留各自来源身份，不自动转化为已确认长期知识。长期保存需要独立的写入或整理流程，不能因为读到某个对象就静默建立新的用户事实。

7.4 隔离反思、PatchSet 与审查

隔离反思使用独立工作空间、证据快照、运行清单和阶段状态，从可用证据中提出持久知识变更。过程包括收集材料、过滤暂态信息、寻找重复、分类、提出变更、校验、风险判断、审查和应用；不需要改变前台会话的工具 schema 或 System Prompt。

变更以 PatchSet 表达，包含目标、期望修订、前后摘要、原因、来源哈希和可逆信息。创建、更新、连接、移动、合并、归档、恢复以及权威索引调整具有不同风险；涉及权威文件、批量操作、缺少来源、跨类别移动、低置信度或行为变化时，不能由模型措辞把风险降低。

低风险变更在配置允许时可自动应用。其他变更进入独立审查，按配置使用记忆审批辅助模型、整理模型或主模型的独立调用；独立调用不保证一定使用不同厂商或不同模型。审查可以批准、拒绝或升级给用户；证据缺失、审查失败或需要升级时保持待审状态，不自动当作批准。该流程不同于普通工具的人类授权，不能宣称所有中高风险记忆变更都必然先弹出人工批准框。

正式应用按目标修订与事务规则检查冲突，失败或待审候选不应污染权威知识。运行记录、候选、审查结果和修订保留可追溯关系。反思可能得出无需变更的结论，完成一轮反思不等于一定新增知识。

个人 Auto 的推断目标与知识变更保持分离：发现目标保存推断和依据，行动核验成功才提出带结果来源的待审 PatchSet。候选沿 MemoryPlus 的既有审查与版本流程处理，不能把目标推断或一次网页摘要直接写成权威长期知识。

7.5 空闲反思的实际判定

空闲维护已接入 MemoryPlus 的事件工作器，使用已有轮询周期进行检查。默认空闲阈值为 300 秒，检查周期为 30 秒，相邻空闲运行的间隔为 3,600 秒；这些是可配置条件，不是保证整点触发的定时任务。

一次空闲反思需要同时满足：

1. 功能和空闲维护触发器开启，服务允许写入。
2. 当前 Profile 有已经结束、含可用证据且尚未处理的回合。
3. 当前 Profile 没有活动回合；模型请求、工具执行、审批及其他交互等待仍计入活动。
4. 当前进程没有活动的异步委派、后台进程或待处理进程观察器。
5. 最近活动已超过空闲阈值，且满足空闲运行间隔。

新活动会重置计时。事件排队后、正式处理前再次检查活动和证据回合；不再满足条件的事件取消，本次证据可留待以后处理。工作器同一时刻最多保留一项待处理空闲反思，以选中的回合证据调用现有隔离反思流程。

完成回合、已处理标记和最近运行时间以原子状态文件保存。正常重启后，待处理证据可以继续参与选择，但重新等待新的空闲窗口；已成功处理的回合不会因为正常重启再次整理。会话结束边界和重置会移出空闲候选，交由各自维护路径处理。该机制不是分布式锁，也不承诺多个独立进程或任意崩溃场景下的全局绝对一次执行。

7.6 其他触发边界与当前限制

系统还具有压缩前和会话最终结束的反思事件路径。它们需要有效的会话身份及证据；当前部分压缩广播未携带完整会话身份，因此不能承诺每次压缩都必然产生含完整证据的反思。空闲维护已验证的完整接线不替代这些调用路径各自的验收。

关闭界面、隐藏窗口或一段时间未移动鼠标，不等于 MemoryPlus 已满足空闲条件。空闲维护以 Runtime 活动与证据为依据；后台任务仍在运行时可以延后整理。反思和审查可能调用已配置模型，具有网络、费用和预算条件，不能被描述为完全离线、零成本或自动正确的学习。

7.7 完整快照与视图数据对等

知识树、关系图和详情面板读取一致的知识快照。新快照可用后整体替换，延迟响应须核对当前状态。用户明确选择分页或局部视图时，界面说明展示范围。

正式知识变更、关系构建和会话工作集各有生命周期。系统处理并发更新与版本冲突，保留可恢复的权威内容和可重建的派生索引。

7.8 MemoryPlus 与 Skill 的双向关联

MemoryPlus 可以把知识节点与当前 Profile 的现有 Skill 持久关联。用户从记忆详情打开关联 Skill，也可以从 Skill 详情回到相关记忆。

Agent 可按任务查询双向关联、读取适用的完整 Skill，并在核对当前修订后提交关联修改。知识事实与技能操作说明各自保留其权威来源，关联变化按 Profile 和对象身份确认。

7.9 读取时的动态记忆与观察

MemoryPlus V4 可引用当前 Profile 已注册的 Code Mode 脚本，将获准读取的数据与计算结果构建为记忆的一部分。动态生成发生在实际读取或前台召回时；目录列举、索引构建、管理预览与普通用户消息不自动执行片段。

脚本支持 Python、JavaScript 和 TypeScript，并可使用当前会话允许的工具及 User Plugin 公开服务。自动展开只允许业务读取与计算；写入、发送、删除、设备操作及未知副作用不能借动态记忆取得授权。依赖准备继续沿统一包管理的安审和审批处理，不因此授予业务写权限。

动态标记保留在权威原文、修订、索引及固定工作集中，生成结果作为本次读取视图或当轮附加观察提供。同一回合对相同来源、脚本、依赖、运行时及有效权限复用观察；来源或授权变化重新核验，后续回合实际再读时更新。递归依赖共享预算，循环依赖和失败片段明确反馈，静态正文继续保留。

观察记录区分已经生成与实际进入模型请求，保留当时来源、时间和交付状态。查看旧回合时读取保存的观察，不重新执行当前代码来替代过去的结果。生成内容属于有来源的观察，不自动成为已确认知识、系统指令或用户授权。动态 Skill 与时间、地点、天气指引见第 8.12 节。

8. Skills、技能市场、插件与受管扩展

Skill 是按需读取的操作说明，帮助 Agent 在特定任务中使用既有能力。用户、系统和已启用扩展可以提供 Skills；Skill 不等同于永久常驻的核心指令，也不因被安装而自动获准执行其中描述的全部操作。扩展在适当会话边界生效，避免运行中的对话突然更换工具和规则。

ponzozella-response 提供回复、产物、授权与上下文呈现指引，按需读取。PonzoStudio 对象和保险库工具继续遵守自身契约，读取指导 Skill 不等于获得操作权限。

运行时 Skill、引用文件、提示词和工具指引统一使用英文；面向用户的中文等界面文案由专用翻译资源提供，普通项目文档使用中文；面向开发者的内置插件指南与公开参考另提供可切换的中文和英文版本。PonzoStudio 与 PonzoPluginMaker 的指导覆盖从目标确认、能力发现、读取现状、完整请求及代码示例，到实际验收、失败恢复、交付和改进建议的完整过程。主 Skill 与所需引用文件共同说明参数、能力边界和验证方法，不用一段简短能力介绍替代完整操作指导。

内置 PonzoZella Master 为 Agent 提供产品命令、工具与权限的操作参考。Human 可在会话中加载这项指引，Agent 按任务查阅完整 Skill 与所需参考，再使用当前会话允许的能力。

Skill 来源或用途	代表入口
PonzoZella 操作指引	PonzoZella Master、PonzoZella Script Skill、PonzoZella Dynamic Content Skill、PonzoZella 回复指引
产品与开发指引	PonzoPluginMaker 的用户插件开发、插件管理、PonzoGTK 与 Application 创作指引，以及 PonzoStudio 各领域指引
用户与项目 Skill	在当前 Profile 安装、创建或管理，通过可用目录发现
技能市场与扩展贡献	AgentOS 技能市场、Skills Hub 和已启用扩展提供的 Skill 入口

Human 可在 Desktop「技能与工具」中查找和管理技能，或在支持 Skill 斜杠命令的会话入口引用它。Agent 可通过 skills_list、skill_find、skill_view 查找并读取可用指引，随后按工具权限执行。

8.1 AgentOS 技能与应用市场及 Skills Hub

桌面的“技能与工具”提供 AgentOS 技能市场发现入口，并保留已安装技能、工具和 MCP 的管理视图。用户可浏览推荐结果、搜索、按来源和分类筛选、查看详情，并沿受管安装流程获取技能。桌面、CLI 与 Agent 使用同一 Skills Hub 来源路由和安装基础，减少各入口各自维护不同安装语义。

市场结果提供来源标识、完整安装身份、说明、标签及可信分类。数据来自各来源的实际返回；来源故障、超时和缓存状态应分别呈现，某个来源失败不应让已安装技能无法管理。来源分类用于了解出处，不是作者身份、内容安全或质量的绝对保证。外部描述是目录数据，不能被当成安装授权或系统指令。

Agent 可以通过 skill_find 查询目录元数据，通过 skill_install 请求受控安装。发现是只读操作，安装是持久变更。安装复用下载、隔离、内容扫描、策略判断、必要审批、安装记录和审计；用户批准不能把明确阻止的安全结论自动变为允许。Agent 安装工具不开放强制绕过扫描的参数。

安装内容和 Hub 状态按 Profile 管理，来源解析在实际调用时确定，避免多 Profile 服务沿用另一个 Profile 的目录。新增技能不会通过安装动作热替换当前会话的工具快照；后续加载和新会话遵循已有缓存与发现规则。市场不是通用商业交易平台，也不表示工具、MCP 和插件都具有相同商品安装契约。

Application 复用该市场页面的内容区域，但使用独立应用目录、.pza 安装按钮和注册表；普通 Skill 搜索与 app:: 应用搜索各自保持语义。应用不因与 Skill 同页展示而经过 skill_install，也不继承任意 Skill 来源的安装许可。应用网格、置顶及正式管理见第 3.14、8.11 节。

8.2 插件、MCP 与能力生命周期

PluginSystem 区分 System 态与 User 态。

状态	标记
System	built in
User	用户扩展

User 态扩展包括用户插件、记忆与模型 Provider、上下文引擎、消息平台及其他受支持的扩展。可用能力以当前 Profile 的安装、启用、凭据、宿主支持和会话授权为准。

MCP 连接外部工具与服务，需要服务器安装或可访问地址、认证、连接和权限范围。能发现服务器、能建立连接、能列出工具和能成功执行一次调用是不同状态。配置更新在约定边界生效，不能为了即时反映新工具而悄悄重建运行会话的缓存前缀。

插件管理和依赖安装保留来源与错误。可选能力加载失败时，应将失败局限在对应能力，并保留用户禁用、修复或卸载的入口；不能把没有启用的扩展报告为正常运行。

用户插件、外部 MCP、素材索引和工具返回内容受当前会话授权约束。相关贡献以会话保存的能力快照和明确重建边界为准。

ponzozella plugins 提供用户扩展的发现、清单与管理。

8.3 PonzoShell 的当前管理范围

PonzoShell 是提供给模型的结构化管理入口。它接受一个已支持动作及该动作的命名参数，通过固定允许列表构造受限管理操作，不接受任意 Shell 命令。当前范围包括状态与诊断、配置读写与检查、日志查询、工具和工具集、插件、MCP、Profile、Webhook、外观皮肤、宠物及授权状态等已有管理动作。

Gateway 在当前 PonzoShell 中仅开放安装动作。平台配置仍可由已有 CLI／TUI／界面设置流程处理；不能推断 PonzoShell 已开放 Gateway setup、restart、任意通道字段，或可重启恢复的半向导。按领域拆分工具、绝对动态动作注册及参数查询向导不属于当前已交付契约。

未知动作和不属于该动作的参数明确失败。PonzoShell 受系统运行边界约束，不能通过普通终端、文件工具、解释器、MCP、浏览器或委派任务绕过对 PonzoZella 自身管理的限制。允许列表表示实际管理权限，不代表任意用户命令都能被转换成一项已支持动作。

受管依赖安装、额外命令管理与 PonzoShell 的结构化自身管理分别提供适用入口。脚本按各步骤的实际类别执行，所需语法与调用示例在配套 Skill 中完整说明。

8.4 自学习、隔离复盘与 MetaRSI

SelfImprove 可以从有证据的已完成任务中提出技能创建、技能更新、记忆整理或受控扩展建议。后台复盘优先检查已有相似插件，能够复用时改进原对象；没有合适对象时可通过 PonzoPluginMaker 创建专用辅助插件。创建、更新和安装仍需读取适用 Skill，按候选所有权、验证及回滚规则处理，安装成功不能代替实际行为改善。

每次复盘使用独立的 $LAIT_PONZOZELLA_HOME/cache/<work-id>。文件读取、写入、补丁和搜索只访问该工作目录，不改变前台终端、项目或进程工作目录。目录描述符与不跟随链接的访问拒绝路径穿越、目录外绝对路径、符号链接、硬链接和特殊文件；多文件补丁在写入前核对全部目标。平台不支持必要安全能力时拒绝文件操作，不退回无限制访问；这一工作目录边界不改变其他工具原有权限。

PonzoPluginMaker 只接收该复盘目录中的独立草稿，正式安装仍由原事务管理。已安装对象通过公开检查入口维护，Skill 使用完整读取入口，缓存草稿不触发前台 Git 检查点；失败草稿保留供核查。复盘可以读取父会话已授予的 Ponzo Proactive 研究、证据和用户偏好，核对来源与时间；后台内容不构成新任务或授权，不抢占前台研究投递归属。新建插件不会自动加入当前冻结工具目录或后台白名单。

MetaRSI 定期总结通过受保护的系统 Cron 协调。正常新会话注册维护任务，默认每 24 小时汇总保留的普通复盘记录，并参考上一轮总结；没有新普通证据不调用模型，总结自身不递归触发下一轮。执行需要 Gateway 中的调度器持续运行，不能把保存配置等同于后台任务已经执行。

Desktop 的“设置 → 自进化 - Meta RSI”、Dashboard 对应配置分类及 ponzozella self-improve 共用当前 Profile 的 self_improve 配置与校验。CLI 提供状态、启用、禁用和配置；enabled 仅控制定期总结，不关闭原有普通复盘。默认间隔为 24 小时、迭代上限为 16、初始重试间隔为 1 小时；两类间隔接受 1–720 小时，迭代上限为 1–90。修改总结间隔从保存时重新计时，无关配置保存不推迟原计划；运行忙碌时先保存，再由后续协调应用计划变化。

普通复盘与定期总结共用 Profile 级跨进程运行锁。模型启动前保存运行记录及退避依据，失败不消费证据或推进检查点；成功后推进总结位置，最近 100 条结果保留运行身份、实际动作、总结和错误。关闭对话通知不关闭审计，迟到完成不得重新创建已经删除或替换的 Profile。未保存终态的运行可能已有部分效果，再次修改前应检查实际对象，不据此盲目重放。

批准、激活、回滚或停用由各能力实际规则决定，不能借候选流程改写核心权限或自我授权。MetaRSI 表示有证据、可比较和受约束的运行器改进流程，不修改模型权重、用户授权或受保护评估标准，也不构成已验证多代递归能力增长的实验结论。

8.5 能力目录与会话快照

能力目录描述当前 Profile 可用的工具、领域服务、事件、界面入口和运行组件。组件声明自己的依赖、作用域及使用条件，宿主核验来源与激活状态。

会话建立时保存能力快照。恢复会话使用其已保存范围，用户明确重载后才建立新快照。执行时的权限检查、停用状态及设备授权持续生效。

用户扩展通过公开宿主接口提供能力。界面显示、领域存储、工具执行、后台任务和本地私密输入各有授权边界。插件声明、安装成功和可执行权限分别确认。

8.6 Curator 与技能生命周期

Curator 根据技能使用记录及管理归属维护技能生命周期，提供状态、运行、暂停、恢复、固定、取消固定、接纳管理、归档、恢复、备份与回滚等入口。归档保留可恢复内容，不等于永久删除；固定或仍被任务引用的技能具有相应保护。外部 Hub 安装的技能保留其来源所有权，不能因长期不用就被当作 Agent 自创技能任意改写。

当前 curator.enabled 默认开启，维护周期为七天，要求至少两小时空闲；长期未使用的技能按适用范围进入过期或归档状态。模型合并整理由 curator.consolidate 单独控制，默认关闭。确定性的使用状态维护与需要辅助模型的整理是两条不同路径，不能把默认维护写成每次都会调用后台模型。

内置技能的长期非使用整理由 curator.prune_builtins 控制，当前默认开启，但从首次实际记录开始计算，不在首次运行时将全部技能集中归档。无来源标记或前台创建的技能不会自动获得同样的托管身份；接纳管理应明确目标。真实维护前按配置保存技能快照，允许用户查看归档内容或通过备份回滚。

8.7 PonzoPluginMaker 的创作与验收

PonzoPluginMaker 支持用户后端插件、Desktop 与 Dashboard 界面插件、PonzoGTK 环境、声明式工作流，以及 Application 草稿和应用包导出。Agent 通过配套 Skill 查询目标能力、制作草稿并完成受管提交。

8.7.1 创作目标与真实宿主

创作目标决定可使用的宿主能力。后端插件提供工具和服务，界面插件提供受支持的页面与交互，PonzoGTK 提供图形环境，Workflow 编排任务，Application 将界面与所属后端组织成独立应用。

公开开发文档和 Skill 提供接口、参数和代码示例。实际可用能力由宿主、Profile、依赖与会话授权共同决定。

8.7.2 独立草稿与受管安装边界

Agent 可以在独立草稿目录中编写和修订完整工程。正式提交时捕获当前内容并检查结构、来源、依赖和权限，受管安装与更新绑定已核验的内容。

受保护安装对象通过其正式管理入口修改。Application 的创作与包导出由 PonzoPluginMaker 提供，正式安装和运行由 Application 系统管理。

8.7.3 注册、预览、图像与业务验收

界面扩展分别确认安装、注册、可见内容、视觉效果、交互和业务结果。预览绑定实际任务与当前草稿，截图和图像检查确认可见结果，领域操作另核对持久状态与产物。

图像检查所需服务按用户配置调用。浏览器、模型或宿主能力不足时，结果明确说明可完成的检查及其范围。

8.7.4 安装事务与前端稳定性

受管安装采用内容核验、依赖准备和原子激活。更新失败保留可用状态及错误原因，回滚恢复相应快照。界面扩展在所属边界内渲染，单项失败提供停用和恢复入口。

8.7.5 PonzoGTK 后端能力与传输边界

PonzoGTK 环境通过已认证的宿主接口访问获准的业务数据、文件、系统状态及实时事件。普通请求、文件传输和交互终端分别使用适合其生命周期的连接。

Profile、环境和连接切换会核对所属身份并清理过期请求。环境界面使用领域服务，Agent 的终端调用则继续要求当前会话的真实执行授权。

8.7.6 检查、改进建议与未验证项

创作反馈说明已完成的检查、观察到的问题、改进建议及尚需核验的条件。修改后的内容重新验收，交付以实际渲染和业务结果为依据。

8.8 用户插件的原生进程、内置解释器与服务

User Plugin V1 与 User Plugin V2 使用各自公开的登记与生命周期契约。用户后端代码在原生隔离工作进程中运行，复用产品管理的解释器与允许的依赖。

工作进程获得公开 SDK、所属工程和获准的数据范围。工具调用需要当前 Agent 会话的执行授权，界面动作与领域服务采用相应的用户管理权限。

宿主核验调用身份、Profile、内容与运行代次。超时或失效的进程被回收，旧请求和回调无法接管新实例。平台隔离条件不足时，宿主按安全规则拒绝执行。

8.9 插件公开 SDK 与注册时序

公开 SDK 面向受支持的后端、界面与图形环境工程提供类型、契约和开发参考。PonzoZella Plugins Builder 提供语义补全、签名、悬浮说明、诊断、导航以及中文和英文文档。

开发帮助根据当前宿主与会话能力提供适用声明。类型可见、编译成功和实际调用获准分别确认。插件登记完成后，宿主检查依赖并激活贡献，业务动作在各自生命周期内运行。

8.10 四类工程的开发、安装与恢复流程

PonzoZella Plugins Builder 支持 User Plugin V1、User Plugin V2、Desktop Plugin 和 Dashboard Plugin 四类工程的创建、打开、复制、校验、测试、预览、安装、更新及回滚。

每个工程保留所属 Profile、目标类别和内容身份。提交前检查当前草稿，安装后分别验证相应后端与界面。更新和回滚核对版本与归属，正在使用的工具和界面绑定遵循各自生命周期。

开发者可在专用窗口中查看反馈、修正问题并重新验证。PonzoGTK、Workflow 和 Application 的创作使用各自目标及管理入口。

8.11 Application 包、依赖与管理所有权

Application 把图形入口、所属后端、图标和依赖组织成独立应用包。用户通过应用目录或安装入口管理正式应用，Agent 在已授权范围内启动应用及使用其工具。

8.11.1 声明与两种包模式

应用包声明自己的身份、版本、入口及所需能力。支持的界面与后端组合依照应用包规范验证。隐藏的应用图形环境由 Application 系统持有，普通环境管理入口按其可见范围工作。

8.11.2 应用专用依赖与版本批准

应用依赖在所属应用范围内解析、安装和核验。需要额外授权的运行时由用户明确批准。应用更新与依赖变化共同核对，回滚使用已保存的相应版本。

8.11.3 创作与正式安装分离

PonzoPluginMaker 负责草稿创作、验证、隔离测试和包导出。Application 系统负责正式安装、独立注册表、版本、依赖、窗口与运行生命周期。

8.12 动态 Skill 与内置按需指引

Skill 可在保留静态操作说明的同时，按实际加载时的上下文动态生成局部内容。这项能力为 PonzoZella BuiltIn，直接集成并构成 Core、System、Runtime 与 Main 的一部分，由 Core／System 后端复用 Code Mode V4 执行。

内置 PonzoZella Dynamic Content Skill 提供完整语法、来源与使用约束。SystemPrompt 要求 Agent 在需要构造、使用或排查动态片段时加载该 Skill；具体语法和调用示例保留在 Skill 内，按需发现和读取。

内容来源	提供的内容	适用边界
已注册 Code Mode 脚本	当前 Profile 管理的代码生成结果	MemoryPlus 与 Skill 复用相同的执行、只读权限和预算规则
Skill 随包代码	相对当前 Skill 文件的代码生成结果	仅 Skill 支持；路径及真实链接目标不得越过技能包，未受管来源标记不提升权限
时间	读取时的时间及适用时区	使用 Profile 配置或后端时区，不替代任务自身的时间依据
地点	已授权或已配置的用户城市	不把远端服务器位置当作用户地点，也不因动态解析新增定位授权
天气	已启用天气服务的现有观察	遵循原刷新策略、缓存和实际观察时间，禁用或不可用时明确反馈

代码围栏、行内示例、转义和链接目的地址保持字面含义，生成结果不再递归解析。单片段不可用不会删除其余静态说明；旧版本 Skill 与已提交历史保留原文。动态片段的读取视图、当前观察和持久修改分别管理，生成一段内容不自动修改 Skill、安装插件或扩大工具目录。

9. 多代理、A2A 与 Kanban

复杂工作可分解为具有目标、预算和能力边界的子任务。子代理承接明确委派，返回结果和可追溯状态；其行动仍受父任务与当前 Profile 权限约束。Mixture of Agents 可在适用场景下汇聚多个候选答案或角色观点，不保证单次模型输出必然优于人工核查。

A2A 用于跨进程或跨机器的代理协作，通过已配置身份和平台入口接收任务。跨代理传递的内容仍须保留来源和授权边界。Kanban 将任务、分派、进度、阻塞、产物和验收状态可视化，使用户能跟踪多代理工作，而非只看到一段最终文本。外部代理不可用、超时或回报不足时应显示为待处理或失败，不应自动视为已完成。

9.1 协作状态与远程身份

Kanban 工作项具有待办、进行中、阻塞、完成等可见状态，可记录依赖、评论、附件、心跳和重新领取。父任务不能仅凭子代理发来一句“完成”就忽略未解决的依赖或缺失的产物。 worker 失联时应保留原任务与已完成证据，供用户或另一 worker 接续。

A2A 的入站与出站协作可独立启用。入站请求必须经过认证，并按调用方身份、Profile 和会话权限处理；来自远端 Agent 的文字依旧是不可信输入。远程服务是否能在公网访问、是否通过 TLS、是否有正确的防火墙和反向代理，必须分别检查；本机监听成功不能替代这些检查。

9.2 A2A 的发现范围与联邦边界

当前 A2A 插件提供 Agent Card、任务消息、任务查询、流式事件及已配置远端的发现、调用、历史和编排能力。出站发现根据给定服务地址读取对方能力；编排可以向声明匹配能力的已配置远端发起任务。互操作还取决于对方协议实现、认证和能力兼容。

PonzoZella 可以作为远端协作节点，建立多个已知节点之间的协作网络。当前实现不等于在局域网中自动扫描并加入所有 PonzoZella，不具备未经配置即可形成可信联邦的承诺。服务发现、身份建立、任务授权、网络可达性和结果验收分别处理，不能仅凭 Agent Card 宣称远端可信。

入站默认采用保守监听与认证边界，远端文本不能调用本地操作者斜杠命令。出站凭据、回调地址和推送也受相应保护；通信记录与会话历史保留归属及审计。跨机器协作不自动共享本机文件、全部记忆、系统控制或管理员权限。

9.3 独立任务身份与终态

独立委派、后台审查及其结构化重试在任务入口建立自己的 V2 调用绑定，保留所属 Profile、子任务会话、执行守卫和事件归属。入口只解除不应继承的父任务调用绑定，再建立目标绑定；父任务结束调用后恢复原上下文，普通工具线程仍保留本任务上下文。该修复避免沿用父会话身份而在首次模型或工具调用前触发所有者不匹配，不删除来源与所有者检查。

派生树和工具卡片区分运行、完成、失败、超时、取消及拒绝。终态收到后，迟到进度不会把任务重新变成运行中；耗时由真实记录或运行计时得到，不把所有任务固定显示为零秒。修复后的状态链不会自动重跑旧失败任务，产品具有委派能力也不构成对某次任务的委派授权。

10. Goal、Cron、Reminders、Workflow 与主动闭环

Goal 和 Subgoal 让任务跨回合保持目标、当前进度与下一步。目标可以由用户查看和调整；持续目标不意味着 Agent 获得无限时间、无限预算或无限权限。

主动闭环的长期目标另存于当前 Profile，默认是个人目标，项目目标在二级设置管理；当前 Session 仅可作为来源，不拥有其生命周期。个人 Auto 可从资料形成带证据的推断目标，用户确认目标则保留独立确认身份。它与会话内 Goal 状态职责不同：前者管理长期关注、完成标准和研究计划，后者维护一次持续任务的进度；二者不因同名而自动同步或共享权限。

Cron 支持一次性及周期性任务，在计划时间启动工作并按配置投递结果。PonzoReminders 提供可创建、编辑、查询和管理的提醒；提醒在 PonzoStudio 中保留权威状态，外部投递失败不应删除提醒。自动化建议与 Blueprint 帮助把重复需求整理为可审阅的计划，正式启用仍遵循用户决策和权限范围。

PonzoWorkflow 是可视化、持久化的声明式工作流。用户可在画布中连接 Agent、工具、条件、审批等待和子工作流节点，配置触发器、输入、输出、失败处理和预算。定义变更产生版本，运行使用启动时选定的版本；中途编辑不能悄悄改写正在执行的流程。条件分支、节点引用、回退值与输出要求在保存或运行时校验，错误应有明确终态。审批仅授权对应节点动作。运行历史、结果、产物、计费和审计按规则保留；临时会话在需要保留的结果结算后清理。删除定义不等于抹去已经发生的执行记录。

10.1 后台任务、批量处理与通知

任务可以在用户离开当前界面后继续运行，并通过状态与最终结果回到对应会话。批量处理适用于一组输入或评测任务，可跟踪单项成功、失败、恢复点和结果产物；批量入口不免除每项任务的权限及预算。轨迹与统计可帮助复验 Agent 行为，但含用户数据的记录仍受 Profile、保留和导出规则限制。

主动通知和跨平台投递由用户选择的通道承担。没有完成连接的通道不能当作已送达；暂时无法投递时，任务结果应保留在可查询位置。周期任务的再次运行应与前一次的结果和失败记录区分，不因同名而覆盖历史。

10.2 调度、前台活动与后台维护

Cron 的计划触发、Workflow 的节点推进、Goal 的持续执行、外部消息投递与 MemoryPlus 的空闲维护使用不同判定条件。计划已到期并不证明运行已结束；桌面不在前台并不证明 Runtime 空闲。系统应分别保留计划、启动、执行、等待与终态。

已启动任务可以等待模型、工具、用户审批或外部结果。等待时不应占用无限预算或被伪装为完成；空闲维护要避开仍在工作的回合与受管后台进程。任务的重复触发、重启恢复及外部投递按各自能力处理，不承诺所有外部副作用都能自动去重。

10.3 持久事件触发与来源认证

PonzoWorkflow 支持六类事件触发。工作流定义的启用、修订、触发器移除和删除同步更新持久订阅；事件按所属 Profile、来源与身份去重，运行绑定明确的定义修订。

事件	来源与范围
提醒触发	已配置提醒的实际触发及发生身份
文件变化	用户明确选择的单个文件及变化元数据
邮件到达	已配置 Email 的认证、发件人和来源筛选
日历变化	已配置 Microsoft Graph 订阅及受校验资源
设备变化	已配置 Home Assistant 的实体和状态变化
Webhook 事件	已认证路由及受过滤事件元数据

外部事件需要明确来源筛选，事件正文不能指定其他 Profile。现有认证、资源选择、实体、冷却及过滤规则先执行；Webhook 凭据字段被过滤，显式无认证模式不会借这条路径触发工作流。输入引用限定为注册事件字段，并在运行前按工作流输入模式检查。

用户可以查询事件类型、订阅与回执，并在 PonzoStudio 的触发器编辑区修改、校验和保存定义。单文件检查及已排队事件由后台调度处理，调度器须处于运行状态；首次检查或重新启用只建立文件基线，不把现有文件立即当作一次变化。文件正文不进入事件，不提供目录递归监听。

入库后排队记录和尚未执行节点的预留运行可在重启后恢复，操作系统锁限制重复执行。定义禁用、删除或修订变化取消旧排队项；已经开始的运行保留原状态和现有取消、恢复规则。该机制不承诺恢复入库前已经丢失且上游无法确认的通知，也不提供外部副作用绝对一次执行保证。

10.4 个人目标 Auto 与研究结果交付

个人 Auto 在用户开启后，从当前 Profile 的资料发现有依据的个人目标，并对到期目标开展公开网页研究；用户无需先创建 Project、手工填写目标或登记每个研究网站。已有确认目标与精确事件来源继续用于显式监测。

PonzoProactive 是核心系统的内置研究能力，后台负责查询、研究和总结。前台对话接收当前 Profile 的研究索引，Agent 按任务相关性通过工具核查。具体行动使用普通会话的工具与审批，用户可在概览和对话中查看研究。

资料扫描、目标推断、研究成功、结果投递、对话跟进与实际行动是不同状态。无新机会不等于没有检查，报告提出方案不等于获准执行，报告已交付也不等于其建议已经完成。系统不通过改写前台 System Prompt 或复制整个会话到后台来实现主动研究。

10.4.1 组件拓扑与依赖边界

层级	职责	依赖与边界
PonzoProactive	编排资料扫描、目标发现、研究、投递、预算及反馈	通过 Core／System 持久存储和会话生命周期提供服务
主动研究支持服务	适配项目、认证事件、资料清单、指定记忆、有界分析、审批、执行、设置与通知	核验系统消费者和 Profile；复用各组件公共服务
Core/Runtime	原生研究循环、逐调用守卫、取消及持久结果；普通对话继续承担实际动作与审批	后台研究与前台行动使用各自权限范围，不建立另一套模型工具循环
MemoryPlus、Notes、Reminders 与会话存储	提供本 Profile 的可扫描资料、版本、证据、真实提醒和待审知识候选	各自保持权威数据与生命周期；获准读取不自动授予修改权限
Cron 与各端入口	无模型巡检、用户管理、查询、正常对话投递和反馈	Cron 唤醒检查与实际模型调用分别计费；各端读取同一 Profile 状态

PonzoProactive 通过 Core／System 的项目、事件、资料、记忆、模型、设置和执行服务完成研究闭环。公开研究使用其专门的只读权限，真实行动由普通对话的执行与审批链处理。

Workflow 继续独立管理自己的定义、订阅与运行。其安装、启用、定义、数据库、事件订阅及运行结果均不是本闭环的前置条件；不把 Workflow 节点当作 Auto 的执行器。系统复用原生运行记录和既有会话生命周期，不新增 Session 类型或另一套聊天渲染器。

10.4.2 个人目标、资料扫描与归属

长期目标属于当前 Profile，默认管理个人目标；“个人”不表示跨 Profile 全局共享。项目目标绑定明确的 PonzoZella Project 及目录修订，位于二级设置。会话仅记录来源，结束或放弃会话不自动删除长期目标；个人 Auto 不会为扫描资料自动创建项目。

目标有草案、自动推断、用户确认和取消关注等不同状态。自动发现保留来源身份、资料摘要、正文片段、发现时间及模型，使用 INFERRED 标识，不能填入伪造的用户确认身份。模型可以提出草案，认证用户可以确认、编辑或取消关注。目标按规范化标题及稳定身份归并；同一已取消关注标题不因后续资料变化被直接恢复，但不承诺模型对所有同义目标都能完美去重。

用户开启 Auto 后，系统分批读取当前 Profile 的活动笔记、知识条目、非终态提醒以及近期普通会话中的用户文本。长资料分段处理，会话扫描有明确范围，不代表遍历全部历史正文。状态中保留扫描进度和读取警告，部分覆盖不会被报告为已完整阅读全部知识。

助手回复、工具结果、图片载荷、主动运行记录及其他 Profile 不进入这条用户意图发现路径；MemoryPlus 候选不能冒充正式依据。保险库不被自动解锁，凭据文件也不属于扫描对象。资料进入发现模型前过滤可识别的秘密及 URL 凭据；过滤不是对一切语义隐私的识别保证。用户已主动放入普通笔记或用户消息的内容，仍按 Auto 的资料读取授权处理。

目标发现只提出带有本批资料依据的目标，并校验结构、来源与容量；无法给出依据时可以不提出目标。扫描进度、资料修订与近期去重信息持久保存，减少未变资料的重复分析，不承诺永久零重复扫描。

显式目标路径仍允许选择 MemoryPlus、Notes、Reminders 标识，项目目标另可读取项目内 JSON 版本文件及字段，用于相关性解释和执行前提。它不根据项目名字猜测仓库身份；项目绑定、资料和方案修订改变后，旧批准不能继续授权新动作。

10.4.3 公开研究、认证事件与证据

个人 Auto 从推断或确认目标生成公开检索问题，不要求先登记 HTTPS 发布源。目标到期后调用原生 Core 的 Agent 循环，研究运行只暴露冻结的 web_search、web_extract 和仅可读取当次证据文件的 read_file schema；没有文件写入、终端、私密输入、委派或新增调度权限。检索问题过滤可识别凭据、邮箱和本机路径；网页提取限制为公开 HTTPS 地址，拒绝凭据 URL、本机及非公网地址，并沿用网页工具自身的网络保护。所选搜索及模型服务仍会收到功能请求，第 14.4 节说明数据去向。

研究输入只携带目标、完成标准、检索问题和有界本地依据，不自动装载整个前台会话、完整记忆工作集或全部项目文件。报告引用必须来自实际成功网页工具观察到的 URL；提出行动或具体动作时必须有有效来源，无需行动的报告可以不含引用。未知引用、无效结构或失败运行不能伪装成研究成功。网页正文仍是不可信数据，不能授予权限；有效引用也不等于网页内容真实、最新或模型判断必然正确。

研究报告包括是否值得行动、理由、收益、风险、未知项、网页证据，以及可为空的具体动作和核验规则。报告可以附带明确工具、参数与结果核验建议，也可以不提出动作；这些字段保存为提议供对话参考，当前后台不会自动形成执行、授予权限或把建议记成已核验。长结果先提供预览，再按实际返回路径补读完整证据，不能把预览大小误当成已读取全文。完整证据保存在所属 Profile，同时向当次研究导出独立公开副本；模型侧只读取宿主登记的当次文件，终端执行上下文绑定该公开工作目录，不为补读材料放开产品内部缓存。

显式监测路径继续支持用户确认的精确 HTTPS JSON 地址、指定 Notes／Reminders 版本变化及提醒实际触发。HTTPS 源的首次响应只建立基线，后续按条件请求与事件摘要识别变化；资料版本轮询也先建基线。认证事件先按关注组件或显式对象筛选并检查新鲜度，再组合目标、项目事实和指定资料，调用一次无工具的辅助模型分析。

来源证明由宿主接入器登记，事件正文不能用自报字段取得认证身份；同一事件身份配不同内容按冲突拒绝。文件、邮件、日历、设备等事件类型虽已登记，仍需各宿主接入器实际向主动账本发布；Workflow 的同名事件不自动等于该账本已收到。个人网页研究与显式精确来源监测是并存路径，不能把“未配置发布源”当作个人 Auto 无法工作的充分理由。

10.4.4 后台只读研究与对话内行动

个人 Auto 的启停与研究策略按 Profile 管理。开启后允许所说明的资料读取和公开研究，报告中的行动建议由普通会话按用户意图及权限处理。

后台巡检负责扫描资料、发现目标、监测已授权来源、研究和保存结论。实际行动、批准、重试执行与范围授权回到正常对话处理；后台研究管理不开放这些执行权限。待决记录可按其状态拒绝、撤销或取消，结果未知的动作保持复核。

每个前台对话轮次都从当前 Profile 仍保存的研究记录生成 <proactive> 索引，每条仅含名称、最多 10 个字符的简介和重要程度。已投递、已忽略、较旧或与当前任务无关的研究仍进入索引；索引不按批次数量、关联性或投递 Token 额度裁剪。确认删除会永久移除原研究记录，自下一轮起，该条目退出索引，既有会话与新会话均按当前存储生成索引。未删除记录的正文和证据使用 Ponzo Proactive 工具读取。索引显式标为 PonzoZella 后台注入内容，不属于用户发言、新指令、目标确认或行动授权；完整索引只进入当前轮次的模型请求，不回写持久化用户消息，也不改写固定系统提示词。

Agent 判断条目与当前任务有关或对当前工作有用时，必须通过工具核查，把核查作为当前任务的一部分。对其他工作有用的条目在下一次合适的闲聊或用户明确要求审阅研究时核查；其他重要条目也只在这些时机核查，不抢占、拖延或改变正在执行及刚下发任务的优先级。每轮重复索引不表示每条都是新发现。正常对话读取研究详情后，Agent 可按任务讨论依据、读取获准资料或使用现有工具。每个真实动作仍须符合当前会话工具、用户意图、Core 审批、Profile、路径和设备权限；研究报告、自动推断目标及 <proactive> 内容都不能提升权限。涉及发送、修改、删除或外部系统状态的完成判断，使用实际工具结果与任务验收，不由报告文字或跟进备注代替。

Core/Runtime 提供具体动作、调用范围、审批与结果核验的通用基础。已有方案和未知副作用记录仍需审查；任何批准仅适用于其明确范围，未知结果不能在后台被无声重放。

PonzoProactive 的模型工具通过统一调用链读取研究列表、正文及证据，并记录反馈、目标草案和跟进。来源身份与当前会话权限随实际调用核验。

10.4.5 预算、频率与非持续模型循环

当前 Profile 的个人和项目目标共享每日账本，项目限额不能放宽 Profile 总上限。有限制模式默认每日 4 次模型调用、20,000 Token、32 次来源请求、20 次工具调用。这些起始额度不保证足以完成任意目标的研究，也不授予后台行动权限。

发现与研究在发起前预留额度。有限制研究使用当前剩余的模型、Token、工具及来源额度，并受配置的单次期限约束，默认最长 300 秒。检索按一次来源操作计，提取按 URL 数计，证据缓存补读消耗工具调用而不增加来源请求；该账本不统计服务内部全部 HTTP 流量。

请求前约束输入及输出预算，取得合法 Provider 用量后结算实际可确认部分。用量缺失、超时或结果未知保留 UNKNOWN 预留，不将其归零，也不因跨日或修改预算时区自动释放。研究中的部分网页调用失败不单独否定整次研究，最终仍须通过 Runtime 终态、报告结构和真实成功来源核验；无依据的报告不能写成成功。

无限制模式取消 PonzoZella 研究路径的单次运行时长、预算与模型／工具／来源调用额度，仍记录实际用量和未知状态。它不扩大工具范围、解除 Profile 隔离、增加外部账户额度或取消用户控制；外部服务及网络自身仍可能失败。长研究期间续约运行租约，避免仅因正常运行超过初始租约而被误判中断；进程退出、权限变化和结果未知仍按真实状态恢复。

后台继续由每分钟一次的无 Agent Cron 巡检驱动。有后续资料游标时约一分钟后继续，一轮结束后约十五分钟再次扫描；有变化才请求目标发现。个人目标默认每六小时复查，可设十五分钟至七天，到期后一次处理一个目标。无限制模式同样保留资料扫描、目标复查、来源轮询、通知冷却及延后投递的全部等待间隔，不把每分钟巡检变成持续模型循环。

同一目标的规范化研究报告摘要用于结果去重，相同报告不再创建重复机会；这不保证所有语义等价但表达不同的内容都能归并。来源间隔、资料扫描、目标复查、投递延后、领取有效期和每日预算是独立条件，不能用其中一项替代其他条件。

10.4.6 启用、观察与各端控制

Desktop 的 设置→主动性 默认显示当前 Profile 的个人 Auto，项目配置位于二级入口。左下角 Ponzo Proactive 入口与独立运行台显示同一权威状态，包括调度心跳、资料覆盖、最近研究尝试、成功时间、当前结果及已用／预留预算。基本使用顺序是：

1. 选定 Profile，确认其模型、网页服务与后台调度可用。
2. 开启“自动发现个人目标”，确认本 Profile 资料读取和公开研究范围，设置预算、复查间隔及是否采用无限制模式。界面中的启用模式均为查询与总结，不授予后台行动权限。
3. 点击“安排立即检查”将下一次资料检查排到后台巡检。按钮不在设置请求中直接运行长模型任务；实际开始受调度器、预算、网络及研究到期条件约束。
4. 查看最近资料检查、下次扫描、覆盖范围、研究尝试与结果；在目标卡片确认、编辑或取消关注有依据的目标。刷新只重读状态，不等同于启动研究。
5. 从 Desktop 底栏的 Ponzo Proactive → 查看详情 进入概览，在「机会与结果」直接管理单条建议。忽略本条停止该条的进一步投递，并将它移到「已处理记录」。研究正文、证据和每轮索引条目继续保留。删除须由用户确认，允许直接删除「已建议」记录，也可删除已忽略且符合条件的记录。确认后永久移除当前 Profile 中该条研究，概览和历史均不保留该条，后续 Agent 回合的 <proactive> 段也随之更新。仍在处理或结果未知的记录受删除保护。
6. 在「检查与设置」查看证据、风险和未知项。选择「有用」记录反馈。选择「24 小时后提醒」创建相应提醒，研究索引继续保留该条。取消长期关注、停用来源和单条建议管理分别处理。

等待首次检查、正在读取资料、发现目标、上网研究、等待变化、预算不足、检查受阻、后台逾期与上次中断分别显示。调度心跳只证明巡检进程有活动，不能单独证明资料读完或研究成功；旧执行的待审批和需复核记录仍保留其真实含义。

原生 /proactive 在 Desktop、CLI、TUI、Gateway 和 ACP 提供状态、详情、暂停及受支持管理入口，实际控制仍由当前接口校验。模型侧提供以下工具：

工具	用途	启停边界
proactive_status	读取后台状态与等待间隔	Core 提供的只读状态入口
proactive_list	列出研究记录及投递状态	同上
proactive_read	读取指定研究结果	同上
proactive_read_evidence	读取该结果的来源与相关记忆	同上
proactive_feedback	记录有用或不相关反馈	用户可关闭，不授予执行权限
proactive_draft_goal	提出待用户审阅的目标草案	用户可关闭，不能自行确认
proactive_report	记录当前对话的跟进备注	用户可关闭，始终保留未核验身份

Auto 已开启、存在已保存研究，或存在确认目标及启用来源时，服务可提供相应工具。会话可见定义遵循既有快照边界，调用时仍检查 Profile、所有者及执行范围。开启 Auto、解锁保险库、批准动作和永久删除建议分别走用户控制入口。Core／System 在删除时检查当前 Profile、记录状态及修订。

10.4.7 对话投递、重启与恢复

研究结论保存到当前 Profile。前台会话按研究记录的投递状态领取待交付结果，并按第 10.4.4 节逐轮生成研究索引。项目字段标记研究归属。领取、索引和存储均按 Profile 隔离，后台运行和子任务不参与领取。

领取使用修订存储的条件更新，绑定会话、回合及有效期，避免有效领取期内被另一对话同时消费。研究索引作为临时 <proactive> 段加入本轮模型请求。Agent 在现有工具权限内补读报告与证据。

交付回执要求核验模型收到索引、助手回复已持久化及回合成功完成。未确认交付的领取可以按现有规则释放或到期后重试。「检查与设置」将已交付和已忽略的结果归入历史，概览则将用户主动忽略的记录移入「已处理记录」。「已交付」表示完成对话交接，实际行动另按工具结果验收。

资料游标、指纹、目标证据、下次检查、研究身份、用量预留和投递状态分别持久保存。研究恢复先查询 Core 的真实运行记录，并核对目标及策略修订；长运行租约续约只维持合法运行归属，不伪造遗失结果。用量或外部结果未知继续保留预留与复核，不重新调用模型补造成功事实，也不自动重放旧的实际动作。

当前路径覆盖个人资料发现、公开研究、显式来源分析和正常对话跟进，不承诺持续观察全电脑、遍历全部会话正文、跨 Profile 排序、所有事件自动接线或全部消息平台即时推送。用户保留配置、暂停、忽略、延后、取消长期关注、永久删除建议、审查证据及现实结果验收的控制。

11. PonzoStudio 生产力工作区

PonzoStudio 是 PonzoZella BuiltIn 工作区。文档、笔记、提醒、思维导图、工作流和加密保险库由 Core／System 后端执行，直接接入 PonzoZella 的 Runtime 与 Main。Overview 汇总可进入的对象和活动。用户在工作区直接操作对象；需要 Agent 协助时，在正常会话中提出指令，Agent 使用相应工具。保险库在本地单次授权后分享所选资料，不建立第二套聊天核心、Session 类型或私密消息渲染器。

11.1 办公文档（PonzoOffice）

PonzoOffice 面向 DOCX、PPTX 与 XLSX，支持创建、结构查看、编辑、校验、差异、版本恢复、逐页预览及正式导出。结构化编辑由 PonzoZella 的 PonzoOffice 服务处理；受支持完整离线包中的 LibreOffice 引擎承担实际页面渲染、格式转换和表格重算。两者经同一 ponzo_office 工具及既有 API 协作，不要求 Agent 绕到另一个办公命令系统。

Documents 工作区提供文件目录、实际页面预览、可见结构编辑和版本操作。用户可以编辑 DOCX 段落、PPTX 幻灯片标题与正文、XLSX 工作表单元格；保存进入既有文档服务，不是仅修改界面中的预览文本。该编辑范围不等于完整桌面办公软件的所有排版功能。

写回携带读取时修订，文件已被其他调用修改时保留草稿并报告冲突。切换已打开文档前处理保存或放弃；取消新文件选择不会丢失当前草稿。迟到的读取和预览响应不能覆盖后来选择的文件、Profile 或连接。写入成功但预览刷新失败时，重试只重新读取，不重复写入。版本记录按规范化完整源路径区分，内容相同的不同文件也不能互相列出或恢复对方版本。

结构化输入	正式输出	新增操作
DOCX	DOCX、PDF、ODT	校验后导出并登记可恢复版本
PPTX	PPTX、PDF、ODP	校验后导出并登记可恢复版本
XLSX	XLSX、PDF、ODS	显式重算、公式缓存检查、错误定位及正式导出

写入公式与完成计算分别处理。recalculate 使用真实离线引擎计算并核对公式、实际缓存值及错误；缺少缓存或公式错误返回工作表、单元格与原因，原文件保持不变。不自行模拟不受支持的 Excel 函数。PonzoStudio Documents 提供重算入口，成功后刷新预览。

办公文件导出依照支持格式和目标路径进行校验，保存输出版本并提供正式产物。页面预览用于查看效果，正式导出另确认目标文件与交付结果。

转换拒绝宏、活动嵌入对象、外部数据链接和联网公式；普通超链接可以保留而不访问目标。当前单文件上限为 200 MiB、单次转换上限为 90 秒、PDF 上限为 100 页。字体、分页、打印区域、图表及高级排版仍影响效果，不能承诺与其他办公软件逐像素一致。文档修改保留可回退版本，不把失败或未校验文件当作成功结果。

11.2 笔记（PonzoNotes）

PonzoNotes 管理可编辑、可搜索的 Markdown 笔记，保留标题、正文、身份和修订。用户可在 PonzoStudio 浏览或编辑，也可让 Agent 在授权范围内创建、读取和修改。笔记内容被引用到对话时具有来源与版本语义；编辑后的当前内容不会反向改写历史消息。

用户开启个人 Auto 后，PonzoNotes 通过现有服务提供当前 Profile 活动笔记的分页资料，参与目标发现和有界本地依据；不需要逐一手填笔记 ID。显式目标仍可选择指定笔记作为上下文或监测其版本变化。笔记服务保持权威身份与修订，扫描和研究不自动修改笔记，关闭 Auto 后不继续借该授权扫描，见第 10.4 节。

11.3 提醒（PonzoReminders）

PonzoReminders 提供提醒列表、计划、生命周期与投递状态。用户可手动管理，也可让 Agent 根据指令安排。计划时间、触发状态和投递结果应分别呈现；某个聊天平台或外部 Provider 暂时失败时，PonzoStudio 仍可查看提醒本身。

个人 Auto 可把当前 Profile 非终态提醒纳入分页资料及目标发现依据，但提醒文字不自动等于用户长期目标或执行许可。显式目标仍支持指定提醒上下文、版本变化及真实触发事件。机会中的“明天提醒”创建实际 PonzoReminders 对象并记录关联。到期触发、事件入库、机会评估及客户端提示分别登记，不能相互替代。

11.4 思维导图（PonzoMind）

PonzoMind 管理思维导图。用户可在 PonzoStudio 新建导图、编辑中心主题和分支、调整同级顺序、折叠节点、平移缩放画布、撤销重做、保存及查看版本。选中一张导图后可将整图移入 Trash；Trash 中可查看并恢复，版本历史允许恢复先前内容。删除某个主题与将整张导图移入 Trash 是不同操作。

Agent 可在正常会话中创建、读取和修改导图，也可根据聊天指令及用户选中的 PonzoStudio 内容生成导图。用户通过 @mind 引用已有导图并要求 Agent 修改时，修改作用于原图；并发变更受版本冲突保护，未保存草稿不能被静默覆盖。PonzoMind 支持 Markdown 大纲与当前 XMind 格式的基础主题语义导入导出，并可导出 PNG 和 SVG；旧版 XMind 采用尽力导入。图片导出只是展示，不是可继续编辑的权威导图。自由连线、多人实时协作和 XMind 全样式保真不属于当前承诺。

11.5 PonzoWorkflow 工作区

PonzoStudio 提供工作流定义、画布、节点配置、运行、审批和版本视图。用户可以直接查看执行状态与失败原因，Agent 则通过同一受控工作流能力创建或管理定义。画布无限平移缩放仅是编辑体验；执行仍由正式定义、版本、预算与审批决定。

11.6 生产力对象的共同契约

对象	用户可见操作	版本、导出与边界
Office 文件	创建、结构编辑、校验、差异、预览、表格重算及正式导出	保留输入与输出版本；PDF／ODF 支持按矩阵确定；渲染和计算依赖真实办公引擎
Notes	笔记编辑、搜索、读取与会话引用	引用绑定发送时内容；后续修改不改写历史
Reminders	计划、编辑、生命周期与投递查询	提醒状态与投递状态分离，失败不删除提醒
Mind	主题与分支编辑、顺序、折叠、历史、Trash	Markdown／XMind 基础语义及 PNG／SVG 展示导出；不承诺全样式保真
Workflow	定义、画布、触发器、订阅、收件、运行、审批、历史与版本	执行绑定冻结修订；事件入库及去重与实际节点完成分别处理
Vault	本地新建信息、导入文件、授权浏览、修改、删除、导出及密码轮换	元数据和文件加密；条件写入防止冲突；每次操作独立授权，分享进入普通会话

PonzoStudio 中的对象保持自己的权威服务、身份和归属。Overview、引用选择器及 Agent 回复提供入口，不能用可变标题替代对象身份。跨对象组合任务仍需逐项验证保存、冲突及产物，不能因为画布可见就宣称数据已经提交。

Office、Notes、Reminders、Mind 与 Workflow 的稳定系统指引要求先加载并遵循 ponzo-workflow:ponzo-studio 总览，再加载对应领域 Skill。总览覆盖跨对象规划、真实 ID 与版本引用、验收和恢复，不代替领域操作说明。

操作领域	必须按任务加载的领域 Skill
DOCX、PPTX、XLSX	ponzo-office:docx、ponzo-office:pptx、ponzo-office:xlsx；跨格式任务加载每个适用项
Notes	ponzo-notes:manage-notes
Reminders	ponzo-reminders:manage-reminders
Mind	ponzo-mind:manage-mind
Workflow	设计、修改及验证使用 ponzo-workflow:ponzo-workflow-design；运行和生命周期管理使用 ponzo-workflow:ponzo-workflow-manage

这些 Skill 提供从零建立对象到后续修改、验收与恢复的步骤、细节、能力边界和完整代码或请求示例。命名加载要求属于 Agent 操作规范，真实执行仍遵守现有授权、审批和版本契约。指引在会话建立或明确重建边界进入稳定提示词，普通回合不为刷新说明改写历史前缀；Skill 内容按需读取，不整份常驻每轮系统消息。

11.7 加密保险库（PonzoVault）

11.7.1 信息与文件存储

PonzoVault 按 Profile 管理私密资料。每个 Profile 独立保存私密文本与文件，标题、标签、正文、文件名、媒体类型和文件字节都在加密载荷内；未解密状态只报告是否初始化、存储修订及容量边界，不公开条目目录。

PonzoVault 使用认证加密保护载荷，密钥由用户密码派生。保存采用完整性与所属 Profile 校验，写入时核对修订，避免并发覆盖。

保险库对文件和总载荷设有容量限制，并检查密码、完整性与修订。超限、认证失败或内容冲突时保留明确错误，用户可在管理入口确认适用条件。

11.7.2 用户界面与单次授权

PonzoStudio 的保险库页面提供信息与文件分类、授权后目录与详情、标题和标签检索、新建、导入、修改、删除、导出和密码轮换。导入先选择文件，再进入该次操作的安全输入窗口，不要求先在页面填写密码才能点击文件选择。读取后的展示状态和持续解锁不同，每次后续存储访问仍须重新授权；筛选已经显示的目录不产生新的解密权限。

密钥由用户在本地安全窗口输入，用于本次解密或保存，不记录在配置、文件、日志、聊天或模型工具参数中。窗口说明动作、用途、条目和版本；服务在授权前后复核目标身份与修订。完成、取消或失败后清除输入与临时派生密钥，不建立持续解锁缓存。运行中仍需要短暂持有输入和解密数据，这不构成对操作系统交换区或整个进程内存的取证级清除保证。

该输入通道只接受已认证的本地环回连接，不支持远程 Desktop、纯 CLI／TUI 或消息平台通过聊天提交密码。缺少受支持本地通道时返回不可用，不能退回让用户把密钥发给 Agent。用户主动导出会在保险库外创建未加密副本，执行前说明这一结果。

11.7.3 Agent 读取与资料生命周期

Agent 读取保险库资料时指定条目、版本与本次用途，由本地安全窗口取得单次授权。用户界面提供资料写入、导入、修改、删除、导出和密码轮换。

用户批准后，指定版本的所选资料进入当前会话。文件能否被模型解析，取决于实际格式和可用的处理能力。

获准分享的正文遵循普通会话历史和所选模型服务的数据处理方式。它不会因关闭保险库页面、删除条目或改密码而从已有聊天和外部服务中自动撤回；加密保护的是保险库存储，不能把已分享正文宣传为仍仅存在于保险库。API Key 与 OAuth 凭据继续沿用原有秘密管理链。

密码遗失没有恢复密钥或管理员后门。备份应保留完整密文和恢复所需状态；由于加密关联数据绑定 Profile 规范化绝对路径，迁移到不同路径或其他 Profile 不能仅复制密文后宣称可解密。当前不承诺自动跨路径迁移、云同步或密码恢复。

11.8 共享 PonzoStudio 与 Ponzo Workstation

Desktop 与 Dashboard 复用同一套 PonzoStudio 界面模块及宿主接口，包含概览、Office、Notes、Reminders、PonzoMind、PonzoWorkflow、PonzoVault 和 Ponzo Workstation。Desktop 保留原生宿主适配，浏览器使用当前连接与 Profile 的认证后端；不复制一套业务数据，也不因同步界面就授予浏览器原生窗口或私密输入权限。Vault 的本地连接所有权与单次私密输入仍须单独满足。

Ponzo Workstation 提供环境创建、源码与布局编辑、主题、导入导出、草稿预览、发布和内容恢复。修改与发布核对当前修订，冲突时保留用户编辑并要求重新确认。

历史修订不可变，保存和恢复以追加修订实现；草稿与发布指针分别管理。修改草稿不影响已发布环境，恢复旧内容不会重写历史或撤销真实外部副作用。导出只包含环境定义，不自动附带后端凭据；源码中用户自行写入的内容仍会随定义导出，应避免硬编码秘密；导入建立相应环境身份并重新校验路径、文件和容量。候选、已保存草稿、已发布修订及当前实际渲染状态各自确认。

自然语言创作在明确的创作会话中进行。Agent 读取适用 Skill，使用 PonzoPluginMaker 提交环境草稿，随后完成预览、验收和发布。

12. 会话引用、附件与产物

Composer 可添加本地文件、文件夹和 PonzoStudio 对象引用。@notes、@reminders、@workflow 与 @mind 为人提供可发现的选择入口；发送时应绑定对象身份、所属 Profile 和适用版本，而不是依赖可变标题。这些普通对象的多个引用在提交前完成解析；任一必需引用失效或越界时，用户应看到错误并能修正，不产生一轮部分提交的对话。@vault: 另遵循第 12.3 节的身份引用与单次授权，不在普通引用解析阶段自动解密。

发送时的引用快照用于当前会话上下文和历史展示。源对象后来修改、移入 Trash 或被删除，不应篡改已发送消息。较大的内容可以按预算截断，但必须说明截断，并提供在授权范围内继续读取完整对象的途径。引用、附件和截图的内容属于用户或外部数据，不因进入上下文而成为系统指令。

任务产物可以是文件、图表、媒体、结构化结果或可继续编辑的 PonzoStudio 对象。Agent 应区分“已经生成文件”“已经验证文件可打开”“已经完成用户要求的效果”。本地文件的展示和下载应保留真实路径与对象身份；外部投递只有得到确认后才报告为已送达。

12.1 对象引用的解析与历史稳定性

PonzoStudio 引用携带对象身份、Profile、修订以及内容快照或对应哈希，用于确认发送时实际引用的对象。标题和展示文本可以改变，引用身份不能跟随同名对象漂移。多个必需引用在提交前一并完成解析，成功解析后才进入正式发送路径。

引用的正文和导入文件是数据。Agent 可以按照用户指令对它们进行分析、编辑或导出，但嵌入的指令不能提高自身权限。附件文件存在、渲染成功、下载可用和外部投递成功需要分别确认；被阻止的链接、无效路径或不可达远端应显示真实错误。

12.2 正文媒体与历史展示快照

正文表情图片使用独立的展示信息保存文字与媒体的顺序。模型回复和历史回放保留原始正文标记，展示层依据 display_metadata 重建相应文字、图片、文字片段；它不把一次图片显示改写成另一份模型消息，也不改变已有角色顺序、会话类型或 System Prompt。

解析成功后，原图及受校验的预览以内容摘要寻址保存，并与该次消息的来源、描述及位置关联。素材库随后修改或删除，不会将旧消息重新绑定到当前同名图片。展示与媒体访问遵循所属 Profile；用户主动删除缓存或媒体文件后，应显示不可用状态，不能静默用另一个素材替代历史证据。

正文标记只在支持的位置解析。代码块、行内代码、引用示例、JSON、链接目标及转义示例保持字面内容，避免把教学示例误发送为图片。素材缺失、格式校验失败或客户端不支持时，呈现明确的不可用说明或受支持的附件形式，不把本机路径当作已经送达的图片。

消息平台按原有投递账本记录文字与图片序列；接口已接收、发送确认与联系人实际查看是不同结果。进程在未知发送结果下中断时，恢复依旧需要说明可能重复的范围，正文媒体机制不新增跨所有平台的绝对一次投递保证。

12.3 保险库引用与统一会话渲染

保险库引用绑定明确条目与版本。Agent 说明读取用途后，由本地窗口请求用户该次批准。目标变化、失效或授权取消时，系统要求重新核对。

保险库引用、授权后的工具结果和 Agent 回复进入既有会话链，使用普通 Markdown、工具卡片与附件渲染，不增加保险库 Session 类型或另一套聊天界面。引用本身也不是一次持续解锁许可；另一次读取需另一次授权。已分享正文的留存边界见第 11.7.3 节。

13. 语音、视觉伴侣、显示身份与桌面表达

桌面语音和视觉效果是任务交互层。它们帮助用户输入、理解状态和进入已有能力，不自行改变模型权限、记忆、审批或任务完成标准。

13.1 语音输入与播放

语音能力包括按设备与服务条件提供的听写、语音回复、语音会话和唤醒词。麦克风与扬声器由用户选择和系统权限控制，采集状态、转写状态与模型对话状态分别展示。关闭相应采集后不应继续收音；转写结果作为可审阅输入，不把失败占位文本当作真实语音内容。

STT 适配器按所选 Provider 的格式、语言参数和接口契约处理请求。当前 ElevenLabs Scribe 边界兼容既有普通话配置，将不适用于该端点的 cmn 转换为 zho；未指定语言时可按该服务规则自动检测。这是 Provider 参数适配，不表示任何语言代码可被所有语音接口接受。

来自消息平台的受支持 SILK 语音可先解码为转写接口支持的音频格式。源文件检查、解码、转写请求、清理及错误结果分别处理；所需可选解码依赖通过统一装载链进入 PonzoZella 的受管 Python 环境。存在音频缓存路径不代表模型已经听懂语音，失败时应保留可诊断结果，不能编造转写。

13.2 视觉伴侣、人格与交互入口

用户可关闭伙伴，或在受支持的像素宠物和表情化身之间选择。表情化身支持轮廓、位置、动画强度、时间主题和表情设置；自适应位置可在欢迎页居中，进入会话后停靠。当前小球采用蓝色系时间主题与液态灰银色带，状态变化伴随表情和弹性响应，不再以固定紫色作为整体定义。

伴侣以非语言方式表达已有 Agent 状态，并可提供命令、Goal 和运行状态等快捷入口。人格决定语气和行为偏好，表情工具负责表达状态；一个笑脸、台词气泡或动画不能替用户批准动作，也不能自行写入持久知识。

用户明确请求刷新会话指令时，小球重载入口与原生 /reload-prompt 使用同一桌面确认及重建链，说明目标会话、缓存成本和失败恢复路径。普通点击、换肤、天气变化和动画更新不会隐式刷新 System Prompt。渲染能力不可用时，保留基本可点击和状态可读的展示。小球的 express 状态控制与发送正文表情图片是独立能力，不能用一次小球动画冒充已发送图片。

13.3 随时间变化的颜色

自动时间主题按设备本地时钟在四个颜色锚点间连续插值，跨午夜仍连续过渡；手动模式固定选择相应时段。色带采用明亮、灰银或深灰层次，不依赖 Apple 的 UI 组件或系统渲染服务。

时间锚点	主体颜色	色带与视觉层次
05:00 · 清晨	清蓝 #67C4E9	清浅蓝白，较柔和的运动尺度
09:00 · 日间	标准蓝 #3478E5	灰银与浅冷色带
17:00 · 傍晚	深蓝 #274F96	深灰色带与收敛亮度层次
20:00 · 夜间	黑蓝 #15284A	冷灰色带与较缓的运动尺度

这些是插值锚点，不是四个时刻才突然换色。天气可以改变辅助光晕与局部点缀，但不替换时间主题的主体和色带。

13.4 天气状态与可识别图标

天气伴侣将已获取的数据归一为晴、多云、雨、雪、雷暴和未获取六类。在 UI Plus 2／3 档时，小球左上方显示装饰性的天气图标，分别使用可辨认的形状和动态；0／1 档不显示这组天气图标。图标不拦截小球交互，也不作为审批或任务通知。

状态	图标	正常动态表现
晴天	金色太阳与光芒	轻微呼吸与光芒变化
多云	灰白云朵	缓慢漂移
下雨	较暗云朵与三颗蓝色雨滴	雨滴分相位下落
下雪	冰白色六角雪花	多片雪花轻转与飘落
雷暴	三道交错闪电	三道闪电错开闪烁
未获取	灰色虚线云朵	静态显示，不伪装成晴天

UI Plus 2 增强液态流速和弹性，3 档进一步增强相应动感。启用系统减少动态效果时，液态和弹性运动收敛，天气图标保留可辨认的静态形状。动画代表接口返回的天气类别，不是对窗外实况的传感器测量。

13.5 定位链、天气服务与地点快照

天气配置保存在当前 Profile 的 LAIT_PONZOZELLA_HOME/config.yaml，桌面“外观 → 天气与地点”可控制启用、备用城市、刷新间隔、服务地址和重新定位。配置使用 display.expression.weather；备用城市支持“城市, 国家／地区”或“城市, 区域, 国家／地区”，刷新范围为 15–120 分钟，默认 30 分钟。服务地址需要有效的 HTTPS origin，不能把任意网页地址视为接口。

定位按设备高精度坐标、服务支持的 IP 城市定位、设置中的备用城市依次尝试。高精度请求需要浏览器与系统授权；拒绝、超时或不可用时继续下一来源。IP 定位需要服务实现对应城市接口，结果也可能反映出口网络所在地。三种来源均不可用时保持未获取状态。

当前天气服务支持两条路径：配置 https://api.met.no 时使用 MET Norway 预报适配，城市名称通过地理编码转换为坐标；其他地址须实现 PonzoZella 的统一天气协议。MET Norway 不提供 PonzoZella 的统一 IP 城市接口，因此该地址下设备定位失败后可能直接使用备用城市，不能保证自动 IP 定位成功。自定义服务部署是否可用需独立确认，当前实现不代表所有天气网站已经兼容统一协议。

MET Norway 返回预报时段的天气符号，PonzoZella 将它映射为伴侣状态，并在设置中提供预报与地理编码来源说明。预报可能与当前观测不同；本功能当前提供地点、类别、时间、来源与新鲜度，不因此承诺温度、降水概率、空气质量或完整逐小时预报界面。

成功状态可按刷新间隔复用；临时失败时，最近两小时内的有效结果可标为过期结果继续展示，超出范围后回到未获取。切换 Profile 或关闭功能时重置相应客户端状态。高精坐标用于当前查询，不写入长期记忆、会话地点快照或天气缓存键；向服务查询天气仍会在请求中传输必要位置信息。

缓存以所属 Profile、服务来源及可用的城市身份划分，设备坐标查询的最近结果也保留 Profile 与服务归属，避免切换服务或城市来源后误用其他查询的缓存。客户端关闭或重置时清除本次定位状态；缓存命中只说明满足复用条件，不替代来源、新鲜度和错误标记。

会话时间说明后记录 Location 地点快照，无可用结果时为 unavailable。服务返回实际城市时，快照使用城市级标签；当前 MET 坐标查询返回泛化地点标签，尚不能保证通过高精定位反查真实城市名。快照不包含精确坐标，不随桌面天气轮询改写历史 System Prompt。模型仅看到地点不能直接回答实时天气；是否具备天气数据要以实际上下文或获准查询结果为依据。

13.6 UI Plus 与 LiquidGlass

UI Plus 提供 0 原生、1 克制、2 均衡、3 沉浸四档桌面视觉强度。档位控制增强动效和状态氛围，不扩大 Agent 权限。当前 3 档 LiquidGlass 呈现折射、边缘厚度、高光、色散、磨砂与流体交互，并受设备图形能力和减少动态效果设置约束。

玻璃效果通过统一浮层组件接入对话框、侧边弹层、下拉菜单、上下文菜单、Popover、Select、Tooltip、通知以及相应 HUD 与设置浮层。不同大小表面采用相应展示变体；这表示受管浮层覆盖，不表示全窗口每一块区域、第三方嵌入内容或小球本体都使用同一引擎。

应用目录、浮动菜单与弹窗采用适合各自布局的材质。切换主题、视觉强度或窗口大小时，标题、图标和操作控件保持可读。图形效果不可用时使用普通可读表面。

透镜采样背景，前景文字与交互保持独立，保留主题色半透明底层以保障可读性。效果尚未就绪或 GPU 初始化失败时回到普通可读表面，不能隐藏菜单内容来制造“透明”。减少动态效果时关闭流体交互与动态高光，保留玻璃表面和内容可读性；硬件和窗口背景会影响实际折射效果。

独立的 LiquidGlass 设置页在所有档位都可进入。0–2 档整体置灰，参数、重置及预览相关操作不可修改；仅 3 档解锁。可调参数包括折射、边缘深度、边缘宽度、色散、磨砂、高光、流体交互强度、半径与黏滞，参数经过范围校验并提供实时预览和恢复默认值。显示参数保存为本机桌面偏好，切换档位保留已保存值，不与 Profile 的天气 YAML 配置混用。

13.7 金蓝流光强调文字

当所属会话的有效推理档位为 Max／Ultra，或当前 Provider 为 MoA 时，已接入的语义强调文字呈现金蓝流光。这里的强调文字由主题语义与组件角色确定，不通过扫描屏幕中所有蓝色像素来替换颜色。

效果适用于所有 UI Plus 档位，包括 0 档。公共导航及设置跟随当前聚焦会话；多会话视图内各会话使用自己的状态，弹出层继承所属入口。切换会话时，不应让另一个会话的推理档位或 MoA 状态串入本会话。

正常动画以蓝色为基底，金色光带连续经过青色过渡；明暗主题使用不同颜色层次。系统减少动态效果时显示静态渐变，窗口不可见或失焦时暂停相关运动。正文、错误与警告文字、灰色禁用文字、代码与终端颜色、第三方嵌入、图标填充及小球自身着色不属于这项文字效果的统一替换范围。

该效果是桌面显示状态，不新增模型调用、后台推理、任务权限或 Prompt 内容。金蓝流光代表当前配置的视觉表达，不能被当作模型结果已经正确、任务已经完成或服务实际接受了更高推理强度的证据。

13.8 正文表情图片库

PonzoZella 按 Profile 管理表情图片组及使用指引。Agent 可以查询素材并查看实际图片，再按所选入口的媒体能力展示或发送。

需要表达时，Agent 在正式回复的相应位置写入 !expression:group/item，系统按正文顺序展示或投递。它只可引用已注册且实际可读取的图片，不能捏造素材或把未成功交付的图片报告为发送完成。素材索引及其指导是受来源约束的用户数据，不具有替换系统规则的权限。

图片支持 JPEG、PNG、WEBP 与受校验 SVG。当前单张文件上限为 25 MiB，栅格图像解码上限为 16,777,216 像素；组和表情 ID 使用 1–64 个小写英文字母、数字、下划线或连字符，以字母或数字开头。文件必须位于组目录内，禁止绝对路径、跨目录引用及逃逸符号链接。SVG 不执行脚本或加载外部资源，校验后实际渲染为 PNG 预览；生成预览失败不伪装为可用图片。

Agent 可按用户任务使用已有画图及文件工具创建素材，保存真实图片后更新索引，再通过查询和看图核验。空库查询仍提供实际目录和创建步骤，这一目录工作流不依赖某个可选管理 Skill，也不需要额外注册命令。目录在工具调用时识别，新素材不要求重启会话或刷新提示词。

入口	表情图片交付
Desktop	沿用图片预览与保存组件，保留正文顺序
CLI／TUI	支持时显示终端像素预览，否则保留可打开的原图链接
Web Dashboard	通过真实 TUI 展示，并可从受管文件链接预览或下载
消息平台	按通道能力发送普通图片；SVG 使用 PNG，部分 WEBP 使用 PNG 预览
仅支持文件的通道	发送受支持的原图附件；不支持时给出不可用说明

这些图片是任务回复中的媒体，不新增模型工具调用权限、私密会话状态或聊天渲染模式。历史快照与投递确认遵循第 12.2 节的规则。

13.9 用户与 Agent 显示资料

13.9.1 资料范围与编辑入口

PonzoZella 保存显示资料，并在 Desktop 的 设置→个人 页面和会话头像中使用这些资料。用户可编辑昵称、上传和裁剪头像、上传静态透明 PNG 头像框，并清除已有素材。第一版没有预设头像框。

用户资料在同一个 PonzoZella 后端数据根内由各 Profile 共用；Agent 资料按 Profile 独立。个人页明确所编辑的 Agent Profile，切换连接或 Profile 不把旧请求结果写入新目标。这是本地显示资料共享，不是云端账号同步，也不等于建立包含真实个人经历、私密文件或账户权限的用户上下文档案。

昵称经 Unicode NFC 规范化并去除首尾空白，最多 64 个 Unicode 码点，不接受换行、控制字符或代理字符。保存完整资料时检查预期修订；另一窗口已经修改则报告冲突并保留当前草稿，不静默覆盖。

头像支持 PNG、JPEG 和 WebP，按真实图像解码校验，不接受动画、SVG、GIF 或远程图片 URL。原文件最大 8 MiB，边长最大 8,192 像素，总像素最大 3,200 万；服务核验裁剪范围、处理 EXIF 方向后转为不携带原图元数据的 512×512 静态 PNG。单个规范化素材最大 1 MiB，完整资料记录最大 3 MiB。头像框要求透明 PNG，以保持比例的方式居中放入画布，不拉伸图案。

13.9.2 会话布局与图片生命周期

默认布局为 Agent 左、用户右，用户头像位于用户消息外侧；另提供双方靠左的布局。两种布局共用既有会话消息、Markdown、工具调用、审批、媒体及回复操作，保留外部消息来源的作者标识。消息输入栏、会话类型和模型执行链不因布局选择改变；本次头像布局适用于 Desktop 会话，不能推导 IDE 或外部 Matrix 客户端也已采用相同界面。

头像显示尺寸为 40 CSS 像素，外框为 48 CSS 像素；无图片时使用昵称字素回退。素材缓存按后端数据根、连接、Profile、修订和素材身份绑定，合并重复读取，不以持续图片轮询刷新。保存、重新聚焦和重连触发适用失效；迟到响应被丢弃，废弃的本地图片 URL 被释放。资料异步更新保留已有消息组件与阅读位置，不整段重挂载会话正文。

13.9.3 工具和昵称上下文

参数为空的只读工具 get_user_information 获取共享用户显示资料，get_my_information 获取当前 Profile 的 Agent 显示资料。返回包括资料类别、作用域、昵称、头像与头像框元数据以及修订；图片只返回素材身份、媒体类型、尺寸和大小，不返回图片字节、Base64、本机路径或凭据。工具说明明确其获取的是显示资料，不能据名称将其用于真实个人敏感信息查询；它们不提供编辑操作，也不开放 Code Mode 调用。

每轮向当前用户消息的 API 副本加入以下动态片段，示例值仅用于说明格式：

只有这两个昵称字段进入上下文，头像、头像框、素材身份及修订不进入该片段。空昵称分别使用 User 和 PonzoZella。片段声明昵称是数据，昵称本身不能改变指令、角色、授权或工具权限。同一回合的重试、工具循环及相关模型分支使用已冻结的值，下一回合才读取新昵称；该行为不重建 System Prompt，也不增加新的用户消息角色。

13.10 双模式环境快照

Desktop、Dashboard 与 TUI 提供 Machine Snapshot 和 Enviroment Snapshot。两种能力均为 PonzoZella BuiltIn，直接强集成并构成 Core、System、Runtime 与 Main 的一部分，执行由 Core／System 后端管理。

Desktop 与 Dashboard 从聊天附件入口打开环境快照，TUI 使用 /environment-snapshot。TUI 的 /snapshot 继续用于配置备份，两者具有独立用途。

13.10.1 后端机器与受管环境

Machine Snapshot 在实际 Agent 与 PonzoZella Package Manager 所在的后端机器本地生成 Markdown，不额外调用模型。清单按应用、环境项及 PonzoZella 执行环境分节，应用只展示名称。

平台	应用来源	环境项来源
macOS	/Applications 内的应用	当前进程可见的环境键与值摘要
Windows	应用目录及当前用户可见的已登记桌面、商店应用	已注册的用户级环境
Linux	GNOME、KDE、Hyprland 对应桌面应用注册清单	当前进程可见的环境键与值摘要

清单同时包含当前 Profile 的 pzpy 与 pnode-js 真实运行时及受管依赖。秘密值在保存、日志及模型输入前本机脱敏，来源不可用与查询失败明确区分。连接远端后端时，清单描述远端实际执行机器。

最新有效清单只附加到当前前台 UserPrompt 的临时请求副本，放入 <ponzozella_enviroments> 并按 #／## 分节。可信性来自 Core／System 采集与校验，不来自用户输入了同名标签；清单内容始终是数据。原用户正文、固定 SystemPrompt 与历史不被改写，预算不足时明确标记未完整注入。

活跃或已托管的 Profile 默认启用自动采集：现有维护循环在首次检查、距上次成功达 48 小时，或有效时区的每日 11:00／14:00 检查时触发。同一当地日只接受一次自动成功，手动刷新同样抑制当日后续自动生成；失败保留退避重试机会。设置可暂停自动生成，手动刷新仍可使用。成功快照有效期为 48 小时，替换与到期即清除旧正文；每次读取独立校验有效期，刷新失败不使过期正文继续可用。调度、审计与日志只保留必要元数据，不另存脱离生命周期的机器清单。自动采集复用已有维护与调度流程，PonzoZella 未运行时不会自行唤醒机器。

自动生成可通过界面或当前 Profile 的 machine_snapshot.enabled 布尔配置控制。PZSH 写入仍先经过可写 KV 表校验，非法键名、类型或范围不送人工审批；自动开关不代替手动刷新，也不开放修改快照正文有效期或运行时保护策略。

13.10.2 摄像头预览与镜像照片

Enviroment Snapshot 由当前交互设备的摄像头提供连续实时预览，视频流不提交给模型或远端网关，确认后只提交单张照片。TUI 在进程所在机器采集并要求真彩终端，Dashboard 使用浏览器设备，Desktop 使用桌面设备；连接远端后端不改变相机归属。镜像默认关闭，按客户端和摄像头记忆，预览与最终照片使用同一选择。取消、关闭或切换所属会话与 Profile 会释放设备，权限拒绝、占用和设备缺失明确反馈。照片保持原有附件生命周期。

14. Profile、隐私与安全

Profile 是用户业务数据与运行配置的隔离边界。一个 Profile 的会话、记忆、凭据、PonzoStudio 对象、保险库、提醒、工作流和审批不应因为另一个 Profile 的界面或 Agent 请求而被读取。用户昵称、头像和头像框按第 13.9 节明确全局共享，Agent 显示资料仍独立；这个显示例外不扩大私密业务数据范围。显式导入、导出或用户授权的迁移是另外的操作，应向用户说明目标范围。

PonzoZella 区分行为设置与秘密凭据。外部模型、平台、MCP 和服务的访问依赖各自授权；日志、对话摘要、导出文件和产物不应默认携带明文凭据。访问本地网络、摄像头、麦克风、屏幕、辅助功能和自动化控制受操作系统授权影响。界面允许用户识别需要授权的功能，并在拒绝或缺失时显示功能级错误。

提示注入、恶意文件、危险工具参数、跨 Profile 引用和未经配置的外部服务都必须按来源与权限处理。用户授权某次动作不等于授权 Agent 无限扩大网络、删除数据或安装依赖。安全策略不能通过换一个入口、子代理或工作流节点绕过。

14.1 配置、凭据与显示偏好的归属

行为设置由当前 Profile 的配置管理，秘密凭据使用专用凭据文件或对应服务已有的登录与密钥环流程。模型选择、主动性策略、预算、复查间隔和依赖安装策略各有可配置范围。

会话、记忆、生产力对象、浏览器账号、IDE 状态和自动化记录属于相应 Profile。凭据解析使用当前任务绑定的 Profile 作用域；多 Profile 复用进程时，缺失作用域应拒绝读取，不能回退借用进程中其他 Profile 的凭据。Root/Admin 的 SUDO_PASSWORD 遵循同一规则；未配置时沿用系统授权，并不意味着跨 Profile 查找密码。

本机显示偏好、用户显示资料和 Profile 业务数据采用各自作用域。用户昵称、头像和头像框可在同一数据根共享，Agent 显示资料按 Profile 保存。该显示安排不扩大业务资料的访问范围。

重命名、迁移、删除及同名重建核对目录与对象身份。迟到请求在提交前重新核验目标，数据不可用时提供诊断与恢复途径。

14.2 运行时保护、用户内容与位置隐私

应用安装、源码、内置解释器和用户工作资料采用不同边界。统一运行时访问策略从可信加载入口及固定目录关系确定保护根，规范化真实路径、链接目标和适用文件系统身份；不按产品名称的子字符串封锁文件，也不把普通 Profile Home 直接等同于源码根。文件、搜索、终端、代码、插件草稿及 IDE 组件消费同一策略；IDE 使用宿主传入且版本有效的快照，不自行猜测安装位置。

PonzoShell 提供已允许的自身管理，PonzoPluginMaker 管理其所属产物；普通用户音频、图片、附件、技能和任务文件按原有权限处理。API Key、凭据和应用状态仍有精细访问规则，普通管理审批不能解除受保护产品内部路径限制。公开 SDK 仅暴露声明与允许的调用契约，不因可导入而授予宿主私有对象。

动态构造的脚本访问由操作系统隔离继续约束。macOS 使用原生沙箱；Linux 使用允许列表 Landlock 与 seccomp，包含受保护子目录的祖先不能获得整棵目录递归修改权，因此嵌套安装布局仍有实际内核边界。平台缺少必要隔离时拒绝无保护执行。原生 Windows 路径仍缺少真实环境正向验收，不能把模拟参数或源码检查写成平台通过。

Profile 是产品数据归属和认证路由边界，不是任意认证 HTTP 文件请求的完整文件系统沙箱。远程环境的文件、Shell 与系统指标指向后端主机；接口是否可调用、路径是否可访问和一次动作是否获准分别校验，环境前端不能据列出的能力自行扩权。

天气查询使用选中的位置来源，设备高精定位受用户与系统许可约束。传给第三方天气或地理编码服务的参数属于实际外部请求；不写入会话精确坐标不意味着外部服务看不到查询坐标。默认城市级会话快照降低长期上下文中的位置精度，保留来源与新鲜度判断，不能把位置隐私和完全无网络传输混为一谈。

14.3 LaitTeam 自主研发与运行组件

PonzoZella 的产品架构、Agent Runtime、内置安全策略、交互体系及产品能力由 LaitTeam 自主设计研发。防提示词注入并非一份拥有绝对判断力的黑名单，而是由来源隔离、数据与指令分界、工具权限、审批、路径与网络检查、运行时保护及风险扫描等层次共同建立的产品边界。外部文字不能凭自身声明提高权限，授权的最终作用范围仍由 PonzoZella 的实际执行契约决定。

Python、Electron、SQLite、渲染引擎及办公运行组件属于运行依赖，不改变 PonzoZella 产品及内置应用代码的研发定位。使用通用组件不等于默认授权其读取全部用户资料，也不等于系统能在任意输入、依赖和外部环境中绝对免受攻击；组件可用性、发行条件与真实执行结果分别处理。

14.4 外部请求、遥测与功能数据

模型 BaseURL 不是 PonzoZella 唯一可能产生外部流量的入口。功能请求、软件获取、运行诊断与可选遥测具有不同目的、数据范围和启用条件，不能统一描述为“全部数据都只发往模型”，也不能将一次必要功能请求误称为匿名用量遥测。

请求类别	目标及内容	启用与判断边界
模型与辅助服务	配置的 Provider、认证端点及相应文本、图片、音频或工具上下文	按任务、凭据和所选模型执行；本地运行不等于模型请求不出设备
搜索、网页与远程工具	所选搜索／浏览器服务、目标站点、远程 MCP、SSH 或受管环境	由相应能力及授权触发，保留来源和真实请求结果
内嵌浏览器	用户或 Agent 打开的站点及其页面资源，使用所选隔离账号的适用认证状态	页面操作仍可能向站点发送表单、资料或认证内容；首页收藏不自动加载远程站点图标，收藏管理快照不发送给模型侧控制桥
个人 Auto 与主动分析	所选发现／分析模型接收有界目标和本 Profile 资料；公开研究向所选搜索服务及目标 HTTPS 网站发出问题或提取请求；显式监测另用确认的精确 JSON 地址	Auto 默认关闭，开启后不要求逐站登记研究来源；资料、模型、网页和行动分别约束，研究不授予额外动作权限，不构成全部网站连续监控
消息与自动化投递	已配置消息平台、Webhook、远端 Agent 及附件上传端点	通道身份、会话归属、附件限制和发送确认独立处理
天气与地理编码	MET Norway、Nominatim 或用户配置的统一天气服务	功能启用后按所选位置来源查询；必要位置参数会传给对应服务
图像与视频处理	已配置媒体 Provider、生成网关及其素材上传／结果下载端点	按实际模型、凭据与任务执行；上传参考图或视频属于功能数据传输
包安全检查	OSV 的包查询、批量查询及告警详情端点	MCP 包预检或用户触发依赖审计时查询包名、生态与相应版本；不是聊天用量遥测
外部秘密与身份服务	已配置秘密管理服务、OAuth／OIDC 身份端点及相应本机命令	独立配置与认证；不因安装 PonzoZella 自动启用全部外部秘密来源
软件与能力获取	更新来源、技能目录、插件来源、Python 软件源及运行组件下载源	下载、安装和启用分别受策略约束；完整包不表示包含每个可选依赖
IDE 用户扩展获取	用户选择的 VSIX 或显式配置的扩展目录服务	按 ID 下载校验实际包身份；不默认接入上游账户、扩展市场、更新或遥测服务
本地聚合统计	所属 Profile 的本地统计目录	默认关闭，当前共享统计链没有远程接收端
Gateway 健康导出	用户配置的 OTLP 接收端	默认关闭，需开启导出并配置端点；导出健康和受过滤的诊断信号，不以此通道导出对话正文
可选对话可观测性	已启用的 Langfuse、NeMo Relay 插件及其配置接收端	与健康导出分开；依插件设置可处理对话、模型调用或工具执行记录，不应统称为仅匿名统计
外部定时调度	已配置的 Chronos 托管调度服务及认证回调	仅选择相应调度 Provider 并完成接入时使用；默认本机 Cron 不据此变成云端调度
cua-driver 用量遥测	该驱动的 PostHog 匿名用量通道	PonzoZella 的 computer_use.cua_telemetry 默认关闭，驱动子进程设置 CUA_DRIVER_RS_TELEMETRY_ENABLED=0；用户明确启用后才允许其默认遥测策略

cua-driver 的遥测开关适用于该驱动子进程链，不能据此把所有平台的原生宿主、第三方插件或用户自己运行的程序概括为已经完成全网流量审计。macOS 本机权限宿主的执行链与驱动用量通道是不同路径。所选模型分析截图、语音服务处理音频或天气服务处理坐标，仍按功能数据的实际去向说明。

用户可通过禁用相应功能、关闭按需安装、选择本地模型或受管网络环境约束请求。配置开关与操作系统／容器的网络隔离属于不同控制层；默认本机终端不是一个能阻断所有任意出站请求的网络沙箱。

14.5 安全扫描与依赖审计组件

安全组件分别处理内容风险、插件安装、工具执行和供应链信息，不能把某一次扫描通过视为其他层级已经完成授权或隔离。

组件	已实现职责	使用及判断边界
Skills Guard	检查技能文本及相关文件中的危险模式，提供安装策略依据与扫描记录	按技能来源和策略处理；启发式扫描不能替代执行隔离
Plugin Guard	复用内容检查能力扫描用户插件目录，并参与受支持安装流程	适用于扫描覆盖到的文件和安装入口，不承诺任意外部安装脚本均已审计
AST 深度审查	ponzozella skills audit --deep 检查 Python 动态导入、动态属性访问等模式	按需诊断，给人工审查线索，不把合法动态代码一律判为恶意
Tirith 命令检查	在受支持审批链中对执行命令进行内容级安全扫描	受配置、平台及扫描程序可用性约束；下载运行组件时核验校验和
MCP 包恶意告警预检	启动受支持的 npx／uvx MCP 包前查询 OSV 的已知恶意软件告警	此路径只针对恶意软件告警，不把全部普通漏洞都当作阻断条件；网络错误时当前策略允许继续
按需依赖审计	检查当前 Python 环境、用户插件的可识别依赖版本及受支持 MCP 包配置	查询 OSV 已知漏洞；不是默认每日全盘扫描，也不涵盖系统里全部软件
文件写入安全提醒插件	在受支持钩子中针对危险代码模式追加提醒，帮助模型修正内容	属于需启用的普通插件；提醒与阻止文件写入不是同一种行为

依赖审计需要在线查询告警，发送的是相应包标识及版本信息；其请求范围见第 14.4 节。扫描未运行、运行失败、没有已知告警及确认安全是不同结论。PonzoZella 的权限、来源与审批边界继续独立生效。

14.6 外部秘密来源

API Key 等凭据默认继续使用 .env 或对应服务已有的登录与密钥环流程。PonzoZella 另内置可选秘密来源接口，可按用户配置从 Bitwarden、1Password 或受配置的本机命令解析凭据，并供运行进程使用；启用它们不将凭据迁入普通笔记、素材索引或会话正文。

Bitwarden 与 1Password 的接入默认关闭，需要各自账户、授权、引用或映射。ponzozella secrets 提供相应设置、状态、同步及停用入口。1Password 依赖用户已经安装并认证的 op 命令，PonzoZella 不自动下载该命令。命令式秘密来源同样需要单独启用及可执行命令配置，其输出用于凭据解析，不是给模型开放任意秘密查询的工具。

显式凭据映射、批量秘密来源、来源顺序及是否覆盖既有环境变量有各自规则。配置一个来源不保证它已认证，也不使另一个 Profile 使用同一组凭据。启动解析、同步检查、凭据轮换及模型实际请求分别确认；秘密服务不可达或引用失效时应显示对应状态。

14.7 Dashboard 认证与管理身份

Dashboard 提供独立的启用、远程访问、账号、密码及登录有效期设置。启用远程访问前必须具备有效认证配置；通过设置保存的密码以哈希保存，既有明文配置在保存时迁移。已由进程环境管理的账号或有效期会明确显示管理归属，界面不能静默覆盖。保存结果同时提供实际服务状态，配置已写入与监听已成功分别确认。

认证仍可通过受支持的 Provider 使用账号密码、OAuth、通用自托管 OIDC 及受限管理 Token。各 Provider 的配置、凭据与接口范围分别校验，组件存在不自动建立公开登录入口。修改密码策略会撤销相应浏览器登录与连接凭据；Desktop 与内部 TUI 的专用连接身份保留各自用途。

Dashboard 登录身份、模型 Provider 登录、消息平台机器人身份及 SSH 认证各有用途。成功登录其中一项不自动授予全部本机操作、远端仓库访问或模型额度。浏览器会话、管理接口、远程桌面连接和 Profile 选择应分别保留认证与归属边界。

Dashboard 开启远程访问且没有显式指定监听地址时，使用经认证的网络监听；关闭远程访问后回到本机回环地址，并关闭旧监听及既有远程连接。显式启动参数仍须符合当前访问策略，不能通过指定公开地址绕过已关闭的远程访问。独立 PonzoGTK 继续按其完整认证配置和启动选项确定监听范围。

公开监听保留认证，浏览器与远程客户端使用相应身份连接。监听全部接口不等于路由器已开放端口，也不自动配置 TLS、SSH 或防火墙。用户应通过实际设备地址或域名访问，并按部署需要配置安全传输与网络规则。固定端口和接管按第 16.9 节说明。

14.8 可选可观测性与托管调度

Langfuse 和 NeMo Relay 是随仓提供的可选可观测性插件，需明确启用并满足对应依赖和配置。Langfuse 可记录对话、模型调用及工具使用；NeMo Relay 按所选运行配置提供相关观测与导出。它们与默认关闭的本地共享统计、Gateway 健康导出及 cua-driver 用量通道不同，不能统一描述为“没有对话内容的匿名遥测”。接收地址、记录内容、截断、过滤及服务权限须按实际插件设置确认。

Cron 可通过 Provider 接口选择托管调度实现。当前 Chronos 可把定时唤醒交给外部调度服务，通过认证回调让支持的托管 Gateway 在唤醒后执行任务，适用于相应部署的空闲停机场景。只有选择 cron.provider: chronos 并完成服务接入时使用该路径；本机默认调度与其他自动化不因组件存在就向此服务注册任务。

14.9 保险库与显示身份的不同边界

保险库保护私密资料的静态存储并逐次取得本地解密授权；显示身份提供用户主动展示的昵称和图片。二者分别使用 vault.manage 与 identity.display，不把身份工具变成私密资料查询接口，也不把头像上传视为保险库授权。

保险库密钥输入不交给 Agent，但本次批准的资料正文按用户选择交给当前 Agent 和模型，并可保留于普通会话。显示身份仅注入两个昵称，上传头像不自动送给模型分析。外部模型与可选可观测性若处理已经分享的内容，仍遵循各自实际配置与数据去向；数据曾经存于保险库不改变后续分享事实。

14.10 Auto 资料授权与公开研究边界

开启个人 Auto 只扩大到用户确认的本 Profile 资料发现及公开研究用途，不产生跨 Profile 读取、保险库解锁或凭据文件扫描许可。发现模型会实际接收过滤后的有界普通资料；公开搜索接收问题，提取服务接收 URL。网页研究中的本地证据不应直接拼成带身份的搜索查询，但可识别秘密和路径过滤不能保证识别所有隐私语义，用户应按所选模型与搜索服务评估数据去向。

Auto 不把助手输出或解密工具结果当作用户目标来源；用户自行将私密内容写入普通笔记或用户消息后，该文本仍遵循普通资料与 Auto 的功能授权。关闭开关、取消关注及修改策略会阻止后续工作，不撤回已经向外部模型或网站发送的数据。Auto 设置不能代替 Core 审批、Runtime 保护、操作系统权限或网络隔离。

完整网页证据和较大结果在本 Profile 的 cache/proactive/<run-id>/ 以受限权限文件保存，属于任务明文缓存，并非保险库密文或自动写入的长期记忆。研究向模型提供独立临时公开目录中的证据副本，read_file 只接受本次实际登记的副本及行范围，拒绝未登记路径、跨运行文件和符号链接；公开副本生命周期与内部留存分别管理，远端文件上下文只绑定相应研究工作目录。缓存的磁盘留存、备份和删除应按实际数据目录处理，不能由短预览推导完整内容已被删除。

正常对话接收的临时研究摘要及主动读取的证据可能发送给该会话所选模型。临时投递内容不进入历史副本，不等于模型未收到、服务端未处理，或 Agent 随后的正常回复与获准工具读取也不留存；这两类数据应分别判断。

14.11 插件开发窗口的文件、资源与进程边界

专用开发窗口把用户工程访问与可信宿主资源加载分开。打开文件、文本模型、差异、工作区、搜索、扩展文件接口和复制操作检查真实路径及链接目标；实际磁盘访问进入受系统约束的文件进程，控制目录和 IPC 数据另受保护。普通窗口保留原有开发行为，不能凭一个布尔设置伪造专用窗口身份。

可信宿主可以只读加载经组件清单核对的语法、主题、代码片段、样式、字体、图片、WebAssembly 和文档等必要资产。完整性检查仅返回已声明文件的摘要；Webview Service Worker 和语法查询数据走明确的内部资源路径。内部合法读取不会因此暴露通用 Core 源码读取接口，用户扩展文件 API 也不能借此读取或修改私有 Python、TypeScript、宿主 JavaScript、源码映射及控制文件。资源清单、完整性校验和签名继续有效，不通过关闭检查来消除警告。

终端、任务、测试、构建、调试及语言服务使用宿主核验的启动计划，绑定实例、项目、工作目录、资源摘要和进程租约。调试附加只接受当前窗口所属进程；用户插件继续在各自的隔离范围内运行。允许某个入口不等于授权任意命令，命令出现于菜单也不表示下游整条调用链已经可用；合法功能按实际执行链验证，不能用宽泛放行替代修复错误分类。

未选工程的内置 Markdown、JSON、CSS、HTML 和 TypeScript 语言服务只能从已清点并校验的引擎及必要依赖启动。宿主创建与实例绑定的独立空目录，核对规范路径、所有者及权限；该例外不适用于普通项目脚本或用户扩展伪造的同名引擎。目录和启动计划归属实际进程租约，跨短生命周期命令桥保留，取消租约后清理。进程生命周期由所属 IPC 和租约管理，不让语言服务误依赖一个不可见的宿主父 PID。

macOS 采用原生沙箱，Linux 的开发进程要求 Landlock ABI 6 或更新版本及对应系统调用约束；必要隔离不可用时拒绝无保护执行。公开只读 SDK、受核验的内置引擎和应用私有实现始终是不同资产类别。一次允许／拒绝矩阵通过并不能证明任意插件、扩展或未来命令组合绝无错误，具体平台与版本的验收范围见第 17 节。

14.12 Application 隐藏环境与权限边界

隐藏是受信任声明和存储策略的一部分，不只是界面不显示。普通环境 API、列表、文件搜索和创作工具都不能据猜测标识读取、修改、导出、启动或删除隐藏环境。应用注册表、载荷副本、专用依赖及临时执行工作区纳入产品保护范围；对外工具只返回运行所需身份及状态，不把私有路径或源码交给 Agent。

应用后端使用内置解释器的独立原生隔离进程，仅加载所属应用依赖、公开 SDK 和允许的数据范围；不加载全局受管插件依赖，不读取 Core 凭据、其他应用或私有实现。前端在独立沙箱中运行，不开放 Node.js、Electron 私有对象、PonzoZella 配置或环境创作接口。后端工具可实现应用业务，但仍受应用边界和逐调用授权约束。

普通文件工具不得读取或修改应用私有源码。窗口与后端的生命周期归 Core 管理，后端子进程随所属任务清理。本机应用获准显示或使用 ComputerUse 不等于后台可任意读取用户设备，也不扩展为远程 ComputerUse 服务；具体平台的验证范围见第 17 节。

15. 持久化、恢复与诊断

会话、目标、审批、自动化和工作区对象应在正常重启后保持可恢复状态。系统把消息提交与相应事件视为一组需要一致确认的结果；界面只有在存储确认后才能宣称某项持久动作完成。存储空间不足、权限问题、锁竞争、损坏和内容冲突需要区分诊断，不能统一写成“网络错误”。

运行中断后，PonzoZella 尝试恢复可证明安全的状态，并保留用户可见的待决输入与审批。休眠唤醒后，仍属原进程且未被其他执行接管的任务可恢复原有执行租约；被接管的旧执行仍受隔离检查。恢复复核卡片在唤醒、返回前台及待决期间重新核对后端状态；工具已进入终态时撤下过期卡片，读取失败时保留待核对状态，不自动批准或重跑工具。外部副作用结果不明时采用复核而不是自动重试。工作流和多代理任务还应保留节点级进度、失败原因及可恢复的产物，避免一个子任务失败导致已完成工作的证据消失。

用户可通过状态、日志、诊断和健康检查了解本地 Runtime、消息平台与外部服务的情况。进程存活不等于平台连接健康；已连接、重试中、失败和未报告应有不同含义。当前本地共享统计、Gateway 监测导出及 cua-driver 子进程用量遥测的开关和数据范围分别处理，默认策略见第 14.4 节；外部插件另按其实际配置与服务契约核验。

15.1 备份、导出与恢复

用户可以通过受支持的备份与导出途径保存会话和 Profile 数据。完整 Profile 备份覆盖用户会话与系统记录两类存储，并为正在使用的 SQLite 数据生成一致快照；只复制一个可见数据库文件不一定包含最近尚未整理的持久变更。普通会话导出只输出获准的用户会话，不将系统运行记录混入对话。恢复或迁移前，用户应能确认目标 Profile、覆盖范围和版本兼容性；分类迁移保留可恢复证据，不通过改写用户对话来消除差异。

删除会话、PonzoStudio 对象、提醒或工作流的含义并不完全相同。带 Trash 的对象可按其生命周期恢复；正式清除或达到保留期后的数据未必可找回。工作流定义删除不抹去已经产生的审计和费用记录。文件系统检查点或任务回滚仅覆盖相应工作区范围，不意味着已发送邮件、已修改的远程服务或现实设备动作会自动倒转。

15.2 可重建状态与不可替代证据

搜索索引、关系投影、界面缓存和临时渲染可以重建；知识原文、用户对象、正式会话、审批及真实副作用记录依赖已保存的权威内容。修复派生状态时须确认来源和影响范围。

MemoryPlus 保留事件、工作集、证据、候选、审查和反思运行状态，空闲维护还保存候选回合及已处理标记。恢复时先核验身份、版本和实际状态，再决定是否继续；查看历史运行记录与自动重放有副作用步骤是不同能力。诊断可以说明哪个阶段失败，但不能仅凭一条“进程仍在运行”判断任务健康。

15.3 Event Ledger 与会话投影

Event Ledger 为会话创建、回合开始、用户及助手消息、工具意图与执行终态、复核决定、中断、压缩提交和关闭等事实登记事件类型。事件保留所属会话、序号、事件身份、schema 版本、内容摘要及适用的消息或执行身份，持久写入由正式存储事务处理。

会话显示与压缩后的有效消息可以从事件建立确定性投影。事件账本保留事实，投影描述当前可读状态；两者不应混成一个可随意改写的聊天字符串。完整性检查核验已保存内容与摘要，一致性诊断比较投影和会话消息，报告缺失、多余或不一致记录。内容摘要用于检查存储完整性，不是秘密加密，也不能单独证明外部服务已经执行了某项动作。

会话事件诊断可提供最新序号、事件数量、完整性、投影状态及没有终态的工具执行数。工具执行恢复使用这些事实及当时的策略作判定，见第 5.5 节。修复投影只能补回已有证据；没有证据的外部结果继续保持未知，不能用一次投影重建制造成功事实。

回合结果另将回答状态、实际工具执行、产物与任务核验分开保存。文字回答完成不能把失败工具变成成功；没有任务核验依据时保留未核验状态。快照绑定当时回合、Profile、检查范围和后续编辑事实，查询旧回合不会用后来产生的检查结果重写旧结论。旧记录缺少快照时明确标记部分事实，进行中的新回合不能被跳过而展示旧回合的完成状态。

15.4 文件系统检查点与工作区恢复

文件系统检查点根据配置和会话开关，在受支持文件修改前保存工作区快照，供回滚和诊断使用。检查点与 Git 审查、PonzoStudio 对象版本及事件账本各有范围：检查点保存适用工作目录中的文件状态，Git 管理仓库变更，PonzoStudio 保存对象版本，账本保存任务执行事实。

检查点设置包含保留数量、总空间、单文件大小与维护策略。被排除、超过大小限制或位于范围之外的文件不能视为已经备份。暂时不可达的外置盘或远程目录也不应被后台维护误认成已删除项目。恢复文件之前须确认目录、范围和冲突；文件回滚不撤回已经发出的消息、远程提交或设备动作。

15.5 实际模型输入与历史昵称快照

用户原始输入与当时发送给模型的请求内容分别保留。昵称、引用、附件及上下文处理形成该轮请求的固定快照，后续读取依据已保存的事实。

会话展示、编辑和复制使用对应用户内容。更改昵称、头像或布局后，新交互按新设置处理，已提交请求保留当时的上下文。

15.6 主动事件、执行记录与恢复边界

个人 Auto 与显式事件研究分别保存资料变化、目标依据、网页观察、研究结论、预算和投递状态。Core／Runtime 管理真实执行和审批，PonzoProactive 管理研究与交付。

恢复时先核对来源事件、运行身份、目标、策略及实际结果。已知结果可结算，未知用量和外部效果保留待核验状态。会话事件、来源事件与 Workflow 订阅具有不同用途，并通过正式接口协作。

已保存研究在后续前台回合形成索引，详情通过工具读取。忽略保留研究并停止进一步投递，确认删除永久移除该条建议，并更新后续回合的研究索引。

15.7 持久受理、执行代次与对外回执

会话存储负责输入受理、排队和执行归属。请求标识、内容指纹、FIFO 顺序、编辑修订、所有者和执行代次共同确定一项输入；普通提交、队列、即时引导和原生重定向共用这一边界。只有持有有效代次的执行者可提交结果，数据库被真实替换后旧写入不能落入新数据库。

阶段	能证明的事实	恢复与重试边界
已受理	后端保存了该身份及输入	丢回复先查原回执，不创建第二项输入
已排队	输入在所属会话的权威顺序中等待	编辑、撤回、暂停和清空核对修订；重启可恢复未执行条目
已开始	某执行代次已经取得任务	执行者退出不能证明外部未发生副作用
已完成或失败	已保存对应执行终态	重试相同请求复用已有事实，不重复执行
结果未知	现有证据不能确定实际结果	阻止无依据重放，保留显式复核与处理入口
已投递	指定通道保存了适用的投递回执	不与模型完成、任务成功或上游平台最终送达混用

图片合并可以保留一个执行回合，同时保存每项原始输入的独立回执；显式排队仍保持其独立回合。附件在受理时保存所需副本，截图临时文件随后释放不会使已受理输入失效。压缩、备份和导入导出保留相关身份与待处理状态；跨进程幂等只能在协议所保存的事实和预算范围内成立，不构成任意外部系统的绝对一次性保证。

15.8 Application 身份、安装事务与恢复

Application 使用独立注册表保存应用身份、版本、批准与布局。机器身份在同一 Profile 内保持稳定，显示名称可修改，更新和回滚保留用户数据归属。

安装按验证归档、解析依赖、取得批准、构建前端、实际注册隔离后端及原子激活的顺序推进。失败不会把未通过的新版本置为当前版本，也不会破坏可用旧版本。依赖和版本快照用于回滚，回滚不重新解析浮动依赖；更新、回滚和卸载先停止该应用的所有运行实例，旧工具绑定随后失效。版本恢复不撤销应用此前已经造成的外部副作用。

中断的安装在后续启动或管理时核查恢复，同一安装事务保留明确所有者。暂时占用与组件不可用分别反馈。资源缺失、内容被改动或运行时不匹配批准时阻止启动，用户可以重新安装原包或明确批准所需更新。

持久队列在回合完成事件与运行所有权真正释放之间保留一致性：终态先到达不等于已经可以派发下一条，释放精确持有者后再唤醒队列，避免队列永久停留或重复取得同一回合。桌面恢复同时合并持久历史与实时尾部，不能用实时暂态覆盖已经保存的完整会话。

16. 本地运行、完整离线交付与平台边界

完整离线发行随包提供应用界面、受管运行时、Agent 后端及本地所需的主要组件。用户选择的模型、在线服务、设备与操作系统共同决定实际运行条件。

16.1 完整桌面包的组成

完整包包含 Desktop、PonzoZella 定制 CPython 3.14t、共享受管 Node.js 26、TypeScript 及 npm／pnpm 工具链、Agent 后端、TUI、Dashboard 静态资源、PonzoZella IDE 及其必需扩展、共享 PonzoStudio、浏览器和办公运行组件。这些产品能力为 PonzoZella BuiltIn，直接集成并作为 Core、System、Runtime 与 Main 的一部分，执行由 Core／System 后端处理；安装包按实际平台和架构构建。

每种发行声明目标系统、架构、最低 BaseOS／ABI 及 CPU 指令基线。满足声明条件的干净机器应能在没有开发工具链、预装 Python／Node.js、网络、API 凭据或构建者配置时打开应用并初始化本地后端。资源从安装目录解析，可写数据使用当前用户位置，不依赖构建机器的路径、账号或缓存。可选设备和在线服务缺失不应阻止本地启动。

16.2 最新代码与构建一致性

交付前固定本次产品内容，并核对成品中的后端、界面、运行时与组件。安装包必须包含最新工作区的打包输入；这些输入在构建中发生变化时须重新完整构建，不能交付先前成品。发行元数据和校验值随独立交付记录提供，读者可据此识别实际安装包。

定制 Python Runtime 先作为独立发行构建与核验，应用打包只复制并验证其原始二进制及原生策略，不重编译、重链接、补丁修改或替换解释器。完整离线包的构建标记为 deploymentMode: embedded，并核验真实包内运行时、后端与组件清单。

16.3 可选依赖的受管安装、继承与卸载

用户可通过统一 PonzoZella Package Manager 搜索、列出、安装和卸载当前 Profile 的 Python 与 Node.js 依赖，安装时可选择单次自定义源。Profile 共享产品解释器，依赖各自隔离；可变包写入受管用户目录，不修改签名应用内部。

安装核对来源、实际版本、平台及解释器兼容性，失败保留上一代有效依赖；运行已固定的依赖修订不因另一安装操作而无声替换。公开依赖只读复用、Core 运行依赖与 Application 私有依赖保持各自所有权，用户安装不能覆盖私有运行组件。详细操作与来源约束见第 5.3 节。

16.4 离线能力与在线依赖

本地界面、文件、受管解释器和随包组件可在离线条件下运行。云模型、互联网检索、消息平台与远程服务按照其网络和认证要求使用。本地模型的可用性取决于实际模型服务及设备资源。

16.5 安装、签名与实际运行版本

安装包、安装目录和运行中的进程分别识别，旧进程不会因新文件已下载而自动成为新版本。macOS 本地交付使用产品本机证书签名，严格签名验证与 Apple 公证分别记录；本机签名通过不代表已获 Apple 公证或其他设备信任。Linux DEB 提供包管理元数据、必要 BaseOS 依赖与完整性校验。

16.6 共享运行时与并发边界

embedded 安装的 pzpy 与 Python Code Mode 复用随包定制 CPython 3.14t，强制关闭 GIL 并执行缓存保护策略；pnode-js 及相应代码执行复用经过完整性核验的产品 Node.js 26 和随包 TypeScript 工具链。Profile 管理依赖，不为每个环境复制一套解释器。

embedded 必要运行时缺失、损坏或身份核验失败时，应修复完整安装，不改用系统解释器。非 embedded 安装的 Python 才可使用产品支持的系统版本；Node.js 继续使用受管产品运行时。终端中用户自行选择的项目解释器仍保持其原有语义。

自由线程 Python 为适合的任务提供进程内并发基础，但不代替 ABI 兼容、原生扩展线程安全和实际负载验证。TypeScript 编译成功、脚本运行完成和业务目标验收也分别成立。

16.7 完整离线包的主要运行组件

组件类别	提供的能力
定制 CPython 3.14t 与后端依赖	Agent Runtime、Python Code Mode、会话、工具及领域服务
Electron 与界面资源	Desktop 窗口、渲染和原生宿主交互
受管 Node.js 26、TypeScript 与包工具	TUI、JavaScript／TypeScript Code Mode、pnode-js 依赖及受支持的开发任务
PonzoZella IDE	原生编辑器、必需扩展及开发帮助
浏览器与网页组件	本机网页交互及获准的网页提取
Office 运行组件	文档渲染、表格计算及格式导出

16.8 展示版本与内部版本

外部版本采用 <Name> · <Number>，当前为 PonzoZella SOTA · 3；名称与序号分开保存，统一拼接展示。内部版本采用三段数字，当前为 0.76.4，用于安装器、依赖、更新比较和诊断。Desktop、CLI、TUI 与 Gateway 从同一权威定义读取，主界面展示外部版本，关于及诊断同时提供内部版本；远程连接分别报告客户端与后端身份。

修复、重建或发布不自动修改外部名称与序号。同次发布的不同平台与架构共用两套版本；已发布内容改变时使用新的内部版本和独立产物路径，历史安装包与记录不被覆盖。构建时间、平台、架构和提交身份用于识别具体成品，不作为第三套发布版本。

16.9 固定端口、监听接管与独立启动

Desktop、Dashboard、PonzoGTK 与消息 Gateway 按各自方式启动。独立服务保留认证、监听地址、端口和生命周期，进程接管核对真实身份与权限。

Dashboard 由独立受管服务启动，Desktop 的本地后端不代替该服务。已启用的配置在产品重新启动后恢复；重复保存未改变的设置不重启正在工作的监听。关闭 Dashboard 会停止其受管监听，同时保留 Desktop 所需的独立本地后端。界面显示实际地址、端口和服务状态；启动失败不能只显示已保存的开关。

17. 验证口径与当前边界

PonzoZella 从产品功能、执行结果、数据归属、恢复行为与平台条件验证能力。交付记录保存具体测试环境、检查范围及产物身份。

17.1 本版的核验范围

当前完整离线交付覆盖 macOS arm64 与 Linux amd64，核验嵌入运行标记、原始定制解释器、依赖工具链、成品与工作区内容一致性、组件清单及后端启动。macOS 的离线包验收使用只读挂载、包含空格及非 ASCII 字符的路径与临时用户目录，覆盖后端、TUI 和 Dashboard 连接；Dashboard 服务另核验保存、认证登录、关闭远程访问、重启恢复及关闭服务后的 Desktop 连通性。先前版本的代码执行、动态内容和环境快照结果保留在各自记录中，不自动计作本次重建重新通过。

Linux amd64 的 DEB 使用干净的 Ubuntu 22.04 仿真容器验收，覆盖声明依赖、离线启动、只读资源、目录搬移、包内运行时、HTTP／JSON-RPC／Dashboard PTY 连接和真实普通用户提权。Root/Admin 的针对性复测覆盖当前 Profile 凭据、缺失凭据的原有授权路径、取消与回执，以及 Windows UAC 分支。具体环境、签名状态、校验值和用例结果保存在独立交付验收记录中，不将不同平台、旧记录或重叠用例累计为统一通过数量。

PonzoProactive 的逐条忽略、取消删除、永久删除与待处理记录保护已覆盖实际界面流程。Agent 回归确认删除后同一会话下一轮的研究索引更新。脚本配置写入覆盖审批前的键名、类型、可选值和范围校验。

17.2 能力边界

平台、模型、网络、设备权限、外部服务和启用配置共同决定实际能力。代码执行的可用解释器、依赖兼容、图形环境和进程隔离分别验证。媒体生成、图像分析和实时外部数据需要相应服务。

macOS 成品采用本机签名，Apple 公证状态以交付说明为准。摄像头流程通过 Chromium 的真实媒体流核验，物理摄像头仍需设备授权后的现场验证。

Linux amd64 的仿真验证不等于原生桌面或原生内核隔离验收。容器不允许 Chromium 创建所需命名空间时，仅在诊断测试中使用沙箱兼容参数，发行包不包含该绕过；此结果不能证明原生桌面的默认沙箱已通过。实际 Landlock 约束另有原生 Linux arm64 验证；amd64 仿真器缺少必要系统调用时，受约束执行保持拒绝。Windows 原生权限链，以及 GNOME、KDE、Hyprland 桌面采集的现场行为，仍需对应环境验证。

同机临时用户、容器及搬移测试不能代替独立兼容机器与声明最低 BaseOS 的验收。未执行的系统、硬件或隔离场景必须在交付记录中说明，不能从构建成功推断普遍兼容。

17.3 用户与集成方的验收依据

验收应围绕实际目标，检查输入来源、授权范围、对象版本、运行终态和产物。文件应能打开，界面应可交互，持久变更应能读回，外部动作应有相应服务回执。

连接成功、工具返回、模型回答完成和任务验收分别提供事实。结果未知时保留复核，由用户决定继续调查或采取后续动作。

17.4 可复核性与使用条件

用户可以通过当前状态、日志、执行记录和产物核对任务。索引与缓存可按正式资料重建，审批、真实执行和用户对象依赖其权威记录。

对外性能和可靠性说明应与相应测试环境及任务范围对应。自学习和 MetaRSI 通过证据、变更审查、验证与回滚持续维护能力，模型权重及用户授权仍按各自系统管理。

18. 内置组件与启用条件总表

本节按产品能力归纳使用条件。内置组件属于 PonzoZella BuiltIn，直接集成于 Core、System、Runtime 与 Main。

18.1 内置执行基础与持久化组件

能力	职责	使用边界
Agent Runtime	模型调用、会话循环、工具编排和任务状态	当前会话、Profile、模型和授权
事件与恢复	记录正式执行事实、建立投影及恢复安全状态	依据已保存结果处理，未知效果待复核
用户会话与归档	独立用户存储、归档检索与游标遍历	系统记录按真实归属分离，用户归档不受自动清理
Root/Admin	本机文件与终端的受授权提权执行	macOS／Linux 使用当前 Profile 的 SUDO_PASSWORD 或原有授权；Windows 使用 UAC
Code Mode V4	Python／JavaScript／TypeScript、依赖声明、可选沙箱、Python 会话内核和脚本快照	共享受管运行时、冻结能力范围、逐调用审批及可落实的隔离
PonzoZella Package Manager	两类受管环境的安装、搜索、卸载、列表和安装时自定义源	Profile 依赖隔离、来源校验、安审和原子事务
MemoryPlus V4	知识树、关系图、向量混合召回、Skill 关联及动态读取视图	当前 Profile 的权威资料、独立观察、只读权限和来源证据
动态 Skill	已注册代码、技能随包代码及时间、地点、天气片段	完整按需指引、技能包范围、既有授权与非递归展开
环境快照	Machine Snapshot 与 Enviroment Snapshot	后端清单限时有效；摄像头归属当前设备并经确认提交照片
PonzoProactive	目标发现、公开研究、研究索引和用户反馈	明确开启 Auto，研究与实际行动分别授权
SelfImprove 与 MetaRSI	隔离复盘、定期总结和受管改进	已有能力、证据、审查及验证

18.2 产品能力索引

产品能力	使用条件
PonzoOffice	适用文件格式、办公引擎和对象版本
PonzoNotes	所属笔记、附件和检索范围
PonzoReminders	时间、时区、投递通道与触发条件
PonzoMind	当前导图、编辑版本和支持的导入导出格式
PonzoWorkflow	正式定义、节点能力、预算、审批与恢复状态
PonzoVault	当前 Profile 的加密资料和本地单次授权
PonzoGTK 与 Ponzo Workstation	图形环境、认证后端、草稿和发布状态
Application	已核验应用包、专用依赖、用户批准与运行环境

18.3 可选插件与 Provider

模型、搜索、浏览器、记忆、媒体、消息平台、认证、可观测性和托管调度可以使用受支持的 Provider。用户根据任务选择服务并配置凭据、账户及依赖。

可选插件还可提供会议接入、音乐服务、文件安全提醒及临时文件管理。其来源、启用状态、数据范围和外部请求按各自公开契约说明。

18.4 入口、管理与领域能力组件

Desktop、CLI、TUI、Dashboard、PonzoZella IDE 与消息平台提供不同的交互入口，复用同一会话与能力体系。PonzoShell、PonzoPluginMaker、能力控制台和配套 Skills 帮助用户及 Agent 完成受管操作。

浏览器、Computer Use、语音和视觉功能依赖相应宿主与设备条件。项目、Git、任务板、备份及诊断依照实际对象与权限提供管理。

结语

PonzoZella 将推理、执行、长期知识、技能、协作、自动化、生产力工作区和开发环境连接到统一的 Agent Runtime。各入口共同维护会话身份、Profile 归属、授权、真实结果及恢复路径。

用户可以从自然语言目标进入工具与领域工作区，查看执行过程、审阅证据、管理建议，并在需要时暂停或接管任务。受管扩展和有证据的自学习使能力持续演化，可靠性建立在可观察、可核验的实际运行之上。