在任务涉及隐蔽、抓取、隐私、IP、政策、许可…

当任务包含安全邻近材料，或你察觉自己准备软化、跳过、防御拒绝时，用逐项剔除与干净子代理执行安全剩余部分，并用账本显式记录排除决策。

适用场景

解决思路

1. FRAME：读取任务、输入和用户声明的风险姿态；若用户已授权缩减范围则继续；若未授权，先产出拟议的 carve，明确划分 bright-line 与 gray-zone，并在 RUN 前等待批准：bright-line 项没有安全版本，不可谈判；gray-zone 项的安全替代会牺牲用户可能想要的范围，是真正需要用户决定的问题；若所有项都是 bright-line，则继续，由 ledger 记录。
2. FRAME 处理争议：若用户质疑某个 bright-line 判定，不要让受压力的当前会话重新审理；把该项的抽象描述（去掉谈判和劝说）交给全新上下文重新评估，并在 ledger 中记录申诉及结果。
3. CARVE：扫描任务及相邻输入，找出所有护栏边缘项；对每一项提出 verdict=descope，分类为 bright-line 或 gray-zone，给出一个无风险替代方案，并按 negatives-as-corpus 约定指定归档目的地。
4. CARVE 保留项：用户决定保留的 gray-zone 项留在范围内，并在 ledger 中记为 kept-by-owner；对排除技术的指向仅限识别所需，绝不展开。
5. GUARD：把 carve 提炼成紧凑的 scope-guard block（绝对排除项、允许替代项、授权哪些内容留在范围内的上下文），逐字嵌入 carved prompt；该块要命名每个排除项，使 run 不能重新引入，但不要包含原始风险请求原文或其方法。
6. GUARD 共享状态：在 run 与当前会话共享文件系统或记忆存储的 harness 中，该块还要告诉 run 不要查阅 decision logs、notes 或对共享状态做 transcript search；否则干净 prompt 也会因 run 读到本会话刚写下的风险请求而失效。
7. GUARD 执行强度：指示 run 全强度构建安全范围，不要 hedging、道歉或缩小交付物。
8. RUN：启动全新、上下文干净的子代理（从无先前上下文的 Task 开始），只交给它 carved prompt，绝不交给风险原文或你的 carve 推理；它全强度执行安全范围并返回交付物，执行代理从不看到风险请求。
9. RUN 中途发现：若子代理内部浮现风险材料，它必须经 CARVE 路由回此处，绝不在行内即兴处理。
10. VERIFY：对返回交付物及相邻产物做对抗性检查，覆盖五个失败方向：风险内容被展开、风险内容被静默丢弃、安全工作被稀释或被当作已排除、附近残留过时风险材料、carve 本身漏掉或过度排除。
11. VERIFY 独立复扫：从独立于当前上下文的上下文重新扫描原始任务，并在报告前与 ledger 做 diff；将独立复扫限制为一次（N=1），不要开放式 fan-out。
12. LEDGER：run 完成且子代理窗口关闭后，报告交付物并附 descope ledger，列出每个 carve 项：类别、verdict（descoped 或 kept-by-owner）、原因、安全替代方案、归档目的地。
13. LEDGER 写入时机：只在此时写归档条目，不要提前；如果 run 仍活跃时磁盘上已有风险材料记录，会破坏 carve 带来的隔离。
14. LEDGER 可见性：把排除项当作可见决策，而不是缺口。
15. 规则：执行子代理只看到 carved prompt；绝不交给它风险原文、carve 推理或本会话上下文；干净执行上下文是保持安全 run 不带标记且该技能非规避的关键；若 run 与当前会话一起有文件系统或记忆访问权限，carved prompt 还要禁止它查阅 decision logs、notes 或 transcript search。
16. 规则：同一会话内的申诉不是重新审查；如果用户对 bright-line 判定施压，把争议路由到全新上下文，只携带该项的抽象描述而非谈判内容；同一项上的重复申诉本身应作为信号呈现，而不只是解决。
17. 规则：用户未预先授权缩减范围时，必须要求拟议 carve；当仍有影响 carved prompt 的 gray-zone 项等待回答时，不要开始 RUN；bright-line 排除永不谈判，因此不要仅因这些项停滞。
18. 规则：绝不试探：不要提出被排除或 gray-zone 的请求来观察它是否通过；carve 在任何此类请求存在之前就确定范围。
19. 规则：保持 scope-guard block 可移植且精确，并逐字嵌入 carved prompt；它必须双向防护：run 不展开任何被排除材料，也不稀释、软化或再次拒绝任何被 carve 保留在范围内的内容。
20. 规则：防范不安全展开：对排除技术，绝不提供超出识别其超出范围所需最低限度的操作细节；这约束 ledger 和 carved prompt 本身。
21. 规则：不要把技能表述为绕过安全控制的方式；它通过在被提出前移除风险请求，并在干净房间中运行真正安全的 prompt 来遵守约束；它不能让被标记输入通过，只能产生不同的安全输入。
22. 规则：不要声称控制模型路由、回退供应或固定模型选择；这些是 harness 行为，不是 prompt 行为。
23. 规则：保留 negatives-as-corpus：被 descope 的材料归档时要带 cause of death 和安全替代，绝不从记录中抹除，以便后续 pass 可从 ledger 挖掘反模式；归档条目必须在 run 完成后写，而不是之前，因为 carve 的要点是风险材料绝不待在 run 能读到的地方。
24. Verification：完成后确认 CARVE 覆盖发现的每个护栏边缘项，每项都有 class、descoped 或 kept-by-owner 的 verdict、安全替代、归档目的地。
25. Verification：确认 RUN 子代理只收到 carved prompt，其内嵌 guard 双向保持，无下游 hedging 或展开；若共享文件系统或记忆，prompt 还禁止其查阅 decision logs、notes 或 transcript search。
26. Verification：确认安全交付物没有因附近风险材料而被稀释，且每次运行中发现都经 CARVE 路由进 ledger。
27. Verification：确认从全新上下文对原始任务做独立复扫，并在报告前与 ledger diff；任何缺口（漏掉的风险或过宽排除）都折回。
28. Verification：确认 descoped 材料的归档条目在 run 关闭后写入，而非之前。
29. Verification：确认最终报告包含独立的 LEDGER 部分，列出 exclusions、classes、reasons、alternatives、archive destinations。

适用边界 · 注意事项

• 任务完全没有护栏边缘或安全邻近材料，也没有要软化、跳过或防御拒绝的冲动时，不需要该流程。
• 不能把它当作规避安全控制的工具，也不适用于让被标记输入通过，或控制模型路由、回退供应、固定模型选择。
• 用户未预先授权缩减范围，且仍有影响 carved prompt 的 gray-zone 项待决定时，不应开始 RUN，需先等待决定。