[Governance Audit v2] PM 模拟 30 次复测：置信度 5.0/10，结构问题仍存

[randypanding]

摘要

基于 #362 的修复，重新派出 30 个强模型 PM agent 进行模拟运行复测。

指标	v1	v2	变化
平均置信度	4.8/10	5.0/10	+0.2
可执行（≥8）	9%	10%	+1%
严重困惑（3-4）	38%	37%	-1%

结论：PLAYBOOK.md 的创建解决了部分入口断裂，但深层结构性问题未改善。

---

已修复项 ✅

问题	状态
docs/pm/PLAYBOOK.md 404	✅ 已创建，内容完整
Spec 位置规则不明	✅ §2 明确：产品仓 specs/<IR-NNNN>/，治理仓 .github/specs/IR-XXXX/
g060 引导悖论	✅ §2 明确：首次创建同样走 g060 裁决路径
C1 runbook 缺失	✅ §9 有完整 C1 变更流程
NAVIGATION.md 缺失	✅ 已创建入口路由表

---

仍存问题（按频次排序）

🔴 高频阻断（≥5 次）

#	问题	频次	说明
1	治理文件路径不一致	8	GOVERNANCE/REPOS 在 governance/，transitions 在 .github/governance/，PM 首次定位必撞 404
2	drift-check PM 无法运行	7	需要 org admin PAT，但 PM 无此凭据；PLAYBOOK 说「跑不了不是你的问题」但未给替代路径
3	contract gate ADR 检查指向错误位置	6	contract_check.py 查 agent-registry/decisions，但 ADR 已迁 archive/adr/——这是 live bug
4	PM vs App persona 边界仍模糊	5	多 agent 问「我能改 .github/workflows/ 吗？」
5	make gates-pr 在 CI-Workflows 不存在	5	PLAYBOOK §9 引用但目标仓无此目标

🟡 中频问题（3-4 次）

#	问题	频次
6	C2 流程 underspecified（谁 review？是否需要 adversary？）	4
7	auto-fix max_attempts=3 可能过低	3
8	holdout canary drill 无单页 runbook	3
9	CNB ledger 一词多义	3
10	QW_Arena1 文档语言(Python)与实际仓库(TypeScript)不符	3
11	PR 模板 C1 vs C3 分类歧义	3
12	org-gate 修改后无法在合并前测试	3

🟢 新发现问题

问题	严重级
contract_check.py 的 ADR_DIR_API 指向已退役的 agent-registry，导致 ADR-0085~0087 无法通过 contract gate	🔴 高
双 repo PR 排序（archive ADR 必须先于 .github PR 合并）无文档	🟡 中
ADR 预接受状态（proposed/accepted）未定义	🟡 中
INDEX.yaml 的 content_sha256 计算时机未文档化	🟢 低
holdout golden-type entry 无示例	🟡 中
cnb-bridge accounts.yaml 无 tier 字段（任务说 tier=light 但 schema 不支持）	🟡 中
talk repo 404（CNB 执行面不可达）	🟡 中
butler-ledger 当前 401 故障	🟡 中
「retire ADR」操作未定义	🟢 低
languages.yaml 无 Rust gate rules（RS-*）	🟡 中

---

关键发现：contract gate 是 live bug

CI-Workflows/scripts/contract/contract_check.py 的 ADR 存在性检查：

ADR_DIR_API = "repos/Cloudbird-Software/agent-registry/contents/decisions"

但 ADR 家园已迁移至 archive/adr/（ADR-0085 单仓化）。

后果：引用 ADR-0085/0086/0087 的 PR 无法通过 contract gate。这三个 ADR 在 agent-registry 中不存在。

---

对比 v1 的改进建议完成情况

v1 建议	状态
创建 PLAYBOOK.md	✅ 完成
明确 spec 位置	✅ 完成
说明 g060 初始创建	✅ 完成
drift-check 降级模式	❌ 未完成
PM persona 边界	❌ 未完成
card vs 治理变更	✅ 完成（§9 明确不需要 card）
verifier-app 权限矛盾	❌ 未完成
CI-Workflows Makefile	❌ 未完成

---

建议修复优先级

P0（立即）

• 修复 contract_check.py 的 ADR_DIR_API 指向 archive/adr/
• 统一治理文件路径（全部移至 governance/ 或全部移至 .github/governance/）
• 为 PM 提供 drift-check 只读替代方案（或明确声明 PM 不运行 drift-check）

P1（1-2 周）

• 明确 PM persona 与 App 硬规则的边界
• 在 CI-Workflows 添加 make gates-pr 目标
• 文档化双 repo PR 排序规则
• 定义 ADR 预接受状态值

P2（1-2 月）

• 补充 Rust gate rules（RS-*）
• 创建 holdout canary drill 单页 runbook
• 统一 CNB ledger 术语
• 修复 QW_Arena1 文档与实际仓库语言不一致

---

详细 30 次 run 报告

完整报告（含每次的具体困惑点、假设、置信度评分）已存档于本次审计会话。

[randypanding]

项 3（contract gate live bug）已修

CI-Workflows PR #113：contract_check.py 的 ADR_DIR_API 由 agent-registry/decisions（已退役停维）改指 archive/contents/adr（ADR-0085 家园单仓化后的唯一真源，88 条全量在位）。实测新路径可解析 ADR-0085~0089。

注意：CI-Workflows main 当前另有两项红（adversary-selftest T1 模型断言过期 + gitleaks 检出 1 处疑似泄漏——均源于今晨直推的判定模型切换批次，见 #344 回填记录），与本修复无关，待 owner 处置。

[randypanding]

第二批收口（2026-08-25 PM 会话）

高频阻断项（5 项全清）

#	问题	频次	落点
1	治理文件路径不一致	8	✅ #371：.github/governance/transitions.yaml 为晨间直推批次（89fe330）导入的陈旧孤儿（pre-ADR-0085 形态、零引用），已删除——governance/ 单一真源
2	drift-check PM 无法运行	7	✅ #371：PLAYBOOK §9.3 + NAVIGATION §2 补只读替代（gh run list --workflow governance-drift.yml，零凭据，含 failure 语义解读）
3	contract gate ADR 指向错误	6	✅ CIW#113（前批）：ADR_DIR_API → archive/contents/adr
4	PM vs App persona 边界	5	✅ #371：PLAYBOOK §0 persona 边界块（任何路径可提 PR；恒不在手=合并权/凭据面/判定语义）
5	make gates-pr CIW 不存在	5	✅ CIW#115：Makefile card-test/gates-pr（与治理仓同款诚实薄封装，本地实测全绿）

P1 进展

• ✅ 双 repo PR 排序规则文档化（fix(governance): #366 P0/P1 收口——孤儿 transitions 清除 + PM 入口三补 + drift 分通道补全（ADR-0085/0055/0021） #371 §9.2：archive ADR 先合，反序=窗口期幽灵 ADR）
• ⬜ ADR 预接受状态值定义、C2 流程细化——未动

顺手收口的 live 故障（非 #366 清单，验证时发现）

1. CIW main 两红清零（CIW#115 同 PR）：
   • adversary-selftest T1/T5 硬编码模型名在 ADR-0088 判定模型切换后过期（kimi-for-coding / sensenova 两代实证）——改为从 pipeline/models.yaml 动态派生（断言语义本就是"与 registry 一致"），此后合法切换不再破测试
   • gitleaks 对 llm-connectivity.yml L60 的 secret 名字引用误报——.gitleaksignore 指纹登记（含一次注释自引爆的返工教训：ignore 文件注释里不能含触发字面量）
   • 合并后 CIW main CI 全绿（此前红 30+ 小时）
2. governance-drift 分通道不完整（fix(governance): #366 P0/P1 收口——孤儿 transitions 清除 + PM 入口三补 + drift 分通道补全（ADR-0085/0055/0021） #371）：infra 通道只分了 TITLE——BODY 仍"发现以下漂移…apply.sh"，指纹=sha256(空) 与历史互撞后静默跳过。已修：独立指纹（infra: 前缀）+ 独立 BODY（指向凭据轮换，明确勿跑 apply.sh）

⚠️ 仍待 owner 处置（P0，非 agent 可达）

org secret GOVERNANCE_TOKEN 失效（08-24 05:32 起 Bad credentials，30+ 小时）——每小时 governance-drift / auto-fix-limit / butler-reconcile / cost-check 全部失明（exit 2 分通道，不误报漂移）。已在 #344 登记。修复=轮换 org secret（组织 Settings → Secrets and variables → Actions）。#371 修好的分通道将在轮换后的下一次故障正确报告（独立指纹+独立处置指引）。

P2 未动（留待分卡）

Rust gate rules（RS-*）、holdout canary drill runbook、CNB ledger 术语统一、QW_Arena1 文档语言勘误、talk repo 404、cnb-bridge tier 字段、INDEX content_sha256 时机文档化、retire ADR 操作定义——建议 owner 在 digest 时逐条处置（转卡/否决）。