Agent 自动化

有定时器或 Agent prompt，不代表任务已经能自治运行。真正长期运行的任务还需要有边界的输入、去重键、完成条件、可校验输出；多个 runner 可能撞车时，还要有租约和安全终态。

Agent Operations Shadow workflow 会定时或由维护者手动采集一段 Issue 与 PR 快照。它只有 GitHub 读取权限。运行环境提供密钥时，它才执行 Agent 分析；随后会校验结构化提案并上传 artifact。没有执行分析时，快照仍有价值，但不能算 Agent 结果。

PR portfolio trial 只由人工触发，而且只读。外部引擎返回不完整结果时，流程会保留错误，不会把它包装成完整事实。

单一本地 Codex schedule 当前是只读的。其 collaboration、review 与 merge scope 都是 pending-runtime-identity，在 Poppy broker-verified workload identity 绑定前不能执行 GitHub 写入；有人协作时的操作仍依据当前用户的明确授权。激活后仍必须满足 exact-head evidence、独立 contributor 身份、已解决 threads、可信 CI 与 DCO、实时权限和 GitHub merge readiness。这些 standing scope 不会扩大仓库 shadow workflow 的权限。

自治维护由 mission queue、lease、新鲜 Observer/Verifier 上下文、有边界 remediation、独立复核和同步收口组成。单一 runner 可以在当前能力上限与授权内自动执行整条链；新上下文用于保持证据独立，不是人工 checkpoint。

No-finding 是合法结果。pui-record 可以收口证据充分的 no-finding、被拒绝 finding 和 blocked 终态。已经接受并实施的修复仍须独立复核，之后才能使用 pui-maintenance-close。

机器目录还定义了几类有边界的只读候选：CI 故障诊断、协作治理漂移、部署证据和依赖漂移。候选只表示任务边界已经写清，不表示 scheduler、凭据、运行环境或负责人已经存在。

本地账本无法阻止同一外部动作在另一个 clone 或 runner 中再次执行。自动修改外部状态需要全局原子消费服务或平台侧幂等键，还要能把正在运行的进程和它出示的授权绑定起来。

当前 scheduled scope 仍是 pending-runtime-identity，在 Poppy broker-verified workload identity 绑定前只能只读观察与 reconciliation；有人协作时的 review 或 merge 仍需要 current-user 的明确授权。未来 standing scope 激活后也必须满足 exact-head evidence、独立批准、已解决 threads、可信 CI 与 DCO、实时权限和 GitHub 规则。

普通自治工作在测得的上限和记录范围内持续推进。只有未决产品方向，以及 publication、release、访问、secret、ruleset、security disclosure 或 provenance exception 等高权限/不可逆操作需要人在场；新动作类别通过 evidence-backed standing-policy change 激活。

准确任务目录位于 internal/agent-operations/autonomous-tasks.yaml，维护协议仍由 internal/autonomous-maintenance/** 管理。