IR-0010 ｜ CNB 私有阵地+双镜像灾备（交接包别名 IR-0008）

[randypanding]

IR-0010 ｜ CNB 私有阵地 + 双镜像灾备建设

编号注记：交接包原名 IR-0008，为避免与交接包文档编号混淆偏移为 IR-0010（IR-0008 本身空闲但保留）。任务书=交付件 5。
签发状态：owner 2026-09-06 交接指令= S-3 的委托执行形态；正式落签待 owner 回签。

六元组

• 意图：关闭 FR-03（唯一硬缺口）+ 落地三阵地结构（FR-01）：CNB 私有阵地承载答案层，CNB+Gitee 双镜像灾备，公开面扫描与恢复演练执法化；providers 信任分级（FR-08 修订）、T6 待核清单、E1 第二判定端点登记。
• 上下文：DGA-ADJUDICATION §2/§4/§9/§12/§13；选型证据 T-03/T-10；providers.yaml 现制；INV-04/DECISION-02；GM-1 对账模式。
• 能力：现场编码 agent；owner 前置项（T0 两项、O-2 age 私钥、O-3 Gitee token）本会话不可得——凡触碰 owner 凭据面的步骤全部挂起（HANDOVER 第一部分红线级前置）。
• 行动：卡 B1/B3/B8a（W1）→ B2/B4/B5（W2）→ B6/B7/B8b（W3）。
• 证据：CNB 实测报告、阵地 ADR、暴露审计+supersession 清单、条款画像 v2、E1 登记。
• 责任：S5（owner，randypanding）——具名。

预置停点（按任务书 §1 升级条款）

• B2 暴露审计预期非零命中（holdout 载荷本就公开）→ supersession 清单停在 S-8，迁移不执行；
• B3/O-2/O-3/T0 → 挂起待 owner；
• B1 CNB 探针以 workflow 代理执行（token 恒在 CI 面，agent 零接触）。

[randypanding]

IR-0010 阵地 · 执行与负测记录（run-2026w36-dga-handover）

B1 CNB 阵地探针（run 34021419417，CNB_TOKEN_XUEMEI，token 恒在 CI 面——INV-04 零接触）

1. GET /-/charge/quota → 403 {"errcode":7,"errmsg":"User has no permission."}（XUEMEI token 无配额读权——权限面缺口，登记）
2. 无 token GET stronghold → 401（未授权不可枚举 ✔ 对抗项）
3. 带 token GET stronghold → 404（token 认证有效；私有仓不存在，待创建）
4. 创建尝试 → 跳过（只读探测设计；do_create=true 待 S-7 签署后执行）

process note：探针 echo 原全量落 $GITHUB_STEP_SUMMARY，运行日志读不到实测码；#501 改 tee 双写后重跑取码。

负测记录（本地实跑）

• governance/tests/test-providers-schema.sh：rc=0——含负向执法「D-客户敏感 仅允许 kind=repo-private 声明」（宪法触发前全通道禁路由）。
• org secrets 在位核对（仅名称）：CNB_TOKEN_P11 / CNB_TOKEN_XUEMEI 注入面确认，agent 会话零明文。

B8a 条款扫描 v2（原文级，详见 archive runs/2026-W36.md）

• Kimi 开放平台：服务协议六.3 授予"输入输出用于模型服务优化"使用权（与五.3 客户数据条款边界未定义）→ D-内部 默认排除路由；隐私政策无"不训练"承诺、保留期未定数。
• GLM Coding Plan 团队套餐：二.2 明文「数据默认不用于模型训练」——当前唯一明文在用通道（z-ai）。
• DeepSeek 开放平台：训练/存储/保留期均无条款（无训练授权=相对优），输出归属用户可蒸馏。
• promptfoo：testing.yaml L-01 已声明、CI 实装引用=0 → 政策与实装断裂，登记新断裂候选。

[randypanding]

IR-0010 · S-7/S-8 执行 + 阵地建设记录（run-2026w36-dga-handover-2）

S-7 执行（ADR-0108 → accepted，archive#58）

• stronghold 建仓实测矩阵（token 恒在 CI 面，INV-04）：

  账号	quota	建仓 POST /Cloudbird-Software/-/repos
  XUEMEI	403（无 org 级权限）	403
  P11	200	201 ✔

• CNB 私有仓 Cloudbird-Software/stronghold 已建成（run 34027551317，P11）。CNB 建仓端点=POST /{slug}/-/repos（swagger dto.CreateRepoReq：name/description/visibility）——404 根因修复链 fix(probe): CNB 建仓端点修正 #503→fix(probe): 建仓端点最终修正 #506 登记在案。
• 账号权限面结论：stronghold 写权账号=P11（XUEMEI 需 owner 在 CNB 侧提权或保持窗口工位分工）。

卡 B2 迁移批次一 ✔（stronghold-seed，run 34028609491）

• holdout 十条全量档案（HO-0001~0010）+索引快照 → stronghold:answers/；迁移台账 genesis（EX-SEED，hash 链同 fractures/LEDGER 公式）→ stronghold:ledger/stronghold.jsonl；
• 回读校验 VERIFY OK（sha256 逐字节一致，remote entries=10）；
• 批次二（GitHub 侧字段级剥离+sealed 指针改写+unseal 管线重定向+verifier-app 对齐）已登记另行执行——牵动 holdout-unseal 现役管线，需独立批次+回归门禁。

S-8 闭环：暴露审计零命中→supersession 清单自动豁免，登记证明=runs/2026-W36.md §B2（十条设计内+git 历史零 removed）。

B5 备份阵地变更执行（Gitee→gitcode.com，owner 指令）

• GITCODE_TOKEN 入 org+repo secret（CI 面，INV-04）；
• gitcode-mirror-sync.yml：每日 UTC 21:00 镜像 REPOS.yaml status:active 全仓 → gitcode.com/feasylol/（运行时拉清单；通道经本地往返实测：建仓/推送/回读/删除全绿）；
• 首次全量镜像 run 34027120362 进行中（结论待追加）。

O-2 完成：age 密钥对由 agent 代生成（owner 明示授权）——本地 BIP-173 自检+CI 真 age 互操作双验 PASS（run 34026797827：age-keygen -y 派生公钥==登记公钥逐字节一致+加解密往返 PASS）。公钥 age10ea9tw6wccjnz7ym0ujw32a05yxx932sn5v3tfj3z98yrr024v5qge837v 登记于 ADR-0109 回签附录；私钥 owner 持有（路径 owner 知悉），org/repo secret BACKUP_AGE_KEY 供 CI 消费。

[randypanding]

B5 首次全量镜像结论（run 34028909845 · success）

• ALL-MIRRORED 18：REPOS.yaml status:active 全部仓镜像至 gitcode.com/feasylol/，gitcode API 逐仓对账 200。
• 过程订正：首跑（34027120362）并非卡死——大仓 mirror clone 耗时+stdout 全缓冲静默导致误判（已 cancel）；加固（python3 -u / GIT_TERMINAL_PROMPT=0 / timeout 150min）后重跑一次通过。
• 稳态：每日 UTC 21:00 cron 增量同步；对账引擎扩展与恢复演练=卡 B6/B7（下一批次）。
• 说明：IR008 卡 B4（CNB 侧公开镜像组 <repo>-mirror）不在本次范围，随 B6/B7 批次执行（stronghold 私有路已由批次一闭环，公开镜像路与 gitcode 路互为独立失效域）。

[randypanding]

IR-0010 · 卡 B2 批次二+B4+B6 执行记录（run-2026w36-autonomous-batch）

卡 B2 批次二全链闭环（owner 指令自治批次执行）：

1. 阵地侧（stronghold-migrate run 34036277486）：7 条答案字段（HO-0001/0002/0003/0006/0007/0009/0010 的 then/golden/golden_output/trajectory_expectation/acceptance+verdict_method）入 stronghold:answers/field-level/，台账 migration-b2 seq 2..8 续链，回读 VERIFY OK / MIGRATED 7。canary×2 与 eval-quad 设计公开不迁移。
2. GitHub 侧（holdout#12 MERGED）：7 条目重封为 answer_ref 指针（sealed_sha256→新密封值，引用纪律不变）；本地预检+远端终验各 7/7 过；sealed_by 注记 owner 授权链（S-7/S-8+ADR-0109 回签附录）。
3. 引用面（Shorts_Director#142 MERGED）：spec HO-0009@ae146873 / HO-0010@7b79ecdc（suite 前缀断言不受影响）。
4. 公开面扫描+负控（answer-leak-scan run 34037672885）：SCAN-CLEAN 10 + NEG-CONTROL PASS（fixture 注入必红，检测器失明=exit 2）；周 cron 周期化。

卡 B4 CNB 公开镜像组（run 34038355104）：ALL-MIRRORED 18（Cloudbird-Software/<repo>-mirror public）。平台规则实测入档：CNB 服务端 hook 禁推 refs/pull/*（镜像保真=branches+tags，头注申报）；.github-mirror 命名非法→github-mirror。

卡 B6 对账引擎（run 34038828924）：三头对账（GitHub/gitcode/CNB HEAD）green=18 red=0；stronghold 台账链重算 CHAIN-OK；answer_ref↔stronghold 字节哈希 MATCH×7。首跑 6 RED=预告时序红（镜像滞后），刷新重跑即 18 绿——fail-closed 语义实证。稳态 cron 链：21:00/23:00/23:30 UTC。

verifier-app 写权对齐（B2 任务 4）：CNB 侧 token 作用域已按账号隔离（P11=阵地写权，accounts.yaml scope 字段登记）；GitHub App 挂载面不变（DECISION-02 §18 断言在位）。剩余 B7 恢复演练与 REPOS.yaml 命名映射登记=下批（见 runs/2026-W36.md 待办）。