繁體
GEODE 的官方像素角色 Geodi
返回展廳

GEODE

Autonomous Agent Harness

從觀測，到下一步行動。

一個可以委託研究、檔案處理與排程工作的本機自主代理執行框架。

2026.02.21 — present

設計、判斷、驗證：Author · 實作：Claude · 審查：Codex

  • CLI公開發布 · PyPI
  • MCP 伺服器已實作
Recorded evaluation · MCPMark PostgreSQL · 2026-07-04

動手修改之前，先找到了既有的東西。

任務：為一個由五張資料表組成的社群服務設定列層級安全性。

  1. 調查呼叫 1–12 · list_objects, get_object_details, execute_sql讀取了五張資料表、既有的四個輔助函式、五張表全部關閉的 RLS，以及策略、權限與角色。
  2. 執行呼叫 13 · execute_sql一次交易：設定 20 條策略並開啟 RLS，重複使用 3 個既有輔助函式，新增 3 個函式。
  3. 驗證評測框架 · 不是代理的呼叫18 項通過，0 項失敗。9 個回合中的 13 次工具回應全部無錯誤傳回。
驗證器輸出 18 行（原文）
  1. RLS enabled on users
  2. RLS enabled on channels
  3. RLS enabled on channel_moderators
  4. RLS enabled on posts
  5. RLS enabled on comments
  6. Users can update their own profile
  7. Users blocked from updating other users' profiles
  8. Channel owners can update their channels
  9. Non-owners blocked from updating channels
  10. Post authors can update their posts
  11. Channel moderators can update posts in their channels
  12. Unauthorized users blocked from updating posts
  13. Comment authors can update their comments
  14. Post authors can moderate comments on their posts
  15. Channel owners can add moderators
  16. Non-owners blocked from adding moderators
  17. Content visibility varies correctly based on user context
  18. Anonymous users can see 3 public user profiles (correct)

這是在已設定的評測沙箱中的一次過往執行，不是線上資料庫，也不是真實的資安事件。記錄中沒有設定策略之前的列數，因此不予顯示。 公開執行記錄（meta.json，提交 23e3428）

回顧結果並加以修正（受 Reflexion 啟發、在同一任務內的修正）是目前 GEODE 執行環境的功能。本記錄中沒有出現這類修正：所有工具回應都無錯誤傳回。 執行環境文件（hook-system.md）

下一步行動由模型挑選；執行邊界由主機守住。

從請求進入工作階段，經過模型呼叫與對每個提議之工具呼叫的權限檢查，到執行、結果與記錄為止的執行環境。選擇一條流程，即只標示該路徑並附上步驟編號。

下一步行動由模型選擇；執行環境檢查工具權限，並判定工作何時完成。

外部 Scaffold Search / SIL 實驗始於 May 15, 2026

從 PyPI 安裝 geode-agent 套件，或從公開儲存庫安裝，在自己的終端機中執行。也可以作為 MCP 伺服器連接。

執行環境架構圖 · 依固定提交 9e2c041 的程式碼路徑繪製
GEODE 執行環境架構圖GEODE 執行環境行程的元件與連線。請求經由終端機 IPC、通訊軟體或外部 MCP 主機進入，組成工作階段；AgenticLoop 以系統提示詞、對話與工具 schema 呼叫模型。模型提議的工具呼叫，須通過 ToolExecutor 的範圍、策略、schema、hook 與核准檢查後才會執行，其結果成為下一次模型輸入。檢查點、timeline 與證據列是各自獨立的儲存區。終端機使用者REPL · thin CLI通訊軟體頻道Slack · Discord · Telegram外部 MCP 主機run_agent 工具LLM 供應商HTTPS · 模型 API檔案 · git · 行程檢查點之外的狀態MCP 伺服器全域 + 受信任的專案core/serverCLIPoller · IPC 通訊端通訊軟體 pollercore/mcp_server.pyrun_agent · 單次執行supervised/services.pySharedServices.create_sessionLaneQueue · session · globalcore/agent/loopAgenticLoop · 六個階段系統提示詞 · 宣告的來源對話訊息 · ConversationContextcore/llm/adaptersadapter.acomplete · 錯誤分類tool_executor/processor.pyToolCallProcessorcore/tools/plan.pyBoundToolPlan · 不可變tool_executor/executor.py範圍 · 策略 · schemaPreToolUse · PostToolUse核准 · HITLeffect receipt資源鎖定 · 分派core/tools工具 handler · bash · computercore/mcp/manager.pyMCPServerManagermemory/session_checkpoint.pySQLite messages · state.jsonmemory/effect_receipts.pyEffectReceiptStoreobservability/session_timeline.pySessionTimeline · append-onlyagent/evidence_ledger.pyEvidenceLedger · JSONLcore/agent/verify.pyverify_turn_asynccore/hooksHookRegistry · 決策HookSystem · 觀測GEODE 執行環境行程serve 常駐程式 · REPL · 單次執行進入 · 工作階段組成執行迴圈 · 模型呼叫工具權限 · 效果記錄 · 復原 · 完成1 prompt · cli.sock · 終端機使用者 → CLIPoller · IPC 通訊端12 create_session(IPC) · CLIPoller · IPC 通訊端 → SharedServices.create_session23 每個請求一條 lane · CLIPoller · IPC 通訊端 → LaneQueue · session · global34ToolExecutor · AgenticLoop5arun(prompt)6系統提示詞7對話訊息8工具 schema9StepSnapshot · 請求10HTTPS11 回應 · tool_use · adapter.acomplete · 錯誤分類 → AgenticLoop · 六個階段111待處理批次 · 輪次儲存2tool_use 區塊3 aexecute · ToolCallProcessor → 範圍 · 策略 · schema34允許 · 安全等級5PreToolUse · PostToolUse6核准請求7 執行前拒絕 · tool_executor/executor.py → ToolCallProcessor78效果受理 · 確定9handler 呼叫10 MCP 呼叫 · 資源鎖定 · 分派 → MCPServerManager1011 tools/call · MCPServerManager → MCP 伺服器1112 檔案 · git · 行程變更 · 工具 handler · bash · computer → 檔案 · git · 行程1213 結果 · 分派後錯誤 · tool_executor/executor.py → ToolCallProcessor1314tool_result15呼叫 · 結果觀測1待處理批次 · 輪次儲存2續行還原3回合記錄4完成檢查5PostVerify · Stop6證據列 · 盡力而為7認知 · 生命週期事件1頻道訊息2 create_session(DAEMON) · 通訊軟體 poller → SharedServices.create_session23arun(message)4run_agent(prompt)5無頭單次迴圈

請求 → 模型呼叫

終端機請求經 IPC 抵達，組成工作階段，迴圈再以系統提示詞、對話與工具 schema 呼叫模型。

  1. 終端機使用者prompt · cli.sockCLIPoller · IPC 通訊端core/server

    thin CLI 將請求送往 serve 常駐程式的 IPC 通訊端（~/.geode/cli.sock）。REPL 則在行程內執行相同的工作階段組成。

  2. CLIPoller · IPC 通訊端core/servercreate_session(IPC)SharedServices.create_sessionsupervised/services.py

    每個連線組成一個工作階段。模式決定 HITL 層級、時間預算與被拒絕的工具，並將 BoundToolPlan 投射到所選的供應商。

  3. CLIPoller · IPC 通訊端core/server每個請求一條 laneLaneQueue · session · globalsupervised/services.py

    執行請求前，會同時取得工作階段 lane 與全域 lane，以限制並行執行。

  4. SharedServices.create_sessionsupervised/services.pyToolExecutor · AgenticLoopAgenticLoop · 六個階段core/agent/loop

    將執行器與迴圈建成一組，共用 hook、MCP、技能與資源鎖定。

  5. LaneQueue · session · globalsupervised/services.pyarun(prompt)AgenticLoop · 六個階段core/agent/loop

    以六個階段執行一個使用者回合：準備輸入、準備呼叫、呼叫供應商、處理工具、觀測與壓縮、終止。

  6. 系統提示詞 · 宣告的來源core/agent/loop系統提示詞adapter.acomplete · 錯誤分類core/llm/adapters

    每個回合依宣告的來源建構，例如選定的 GEODE.md 段落與規則。ContextAssembler 的五層 facade 只在明確呼叫時使用，不是預設迴圈的輸入。

  7. 對話訊息 · ConversationContextcore/agent/loop對話訊息adapter.acomplete · 錯誤分類core/llm/adapters

    對話與先前的工具結果，與系統提示詞分開傳送。

  8. BoundToolPlan · 不可變core/tools/plan.py工具 schemaadapter.acomplete · 錯誤分類core/llm/adapters

    模型只看得到繫結於此步驟之 BoundToolPlan 的工具。它是帶有世代編號與內容雜湊的不可變快照。

  9. AgenticLoop · 六個階段core/agent/loopStepSnapshot · 請求adapter.acomplete · 錯誤分類core/llm/adapters

    StepSnapshot 固定此次呼叫的模型、工具與關聯 ID。LLM 中介軟體無法替換已繫結的轉接器。

  10. adapter.acomplete · 錯誤分類core/llm/adaptersHTTPSLLM 供應商

    由各供應商的轉接器發出呼叫。失敗會經過分類，只在設定的次數內重試，否則以終止原因結束該回合。

  11. adapter.acomplete · 錯誤分類core/llm/adapters回應 · tool_useAgenticLoop · 六個階段core/agent/loop

    只有文字時進入終止；有 tool_use 時進入工具處理。

工具權限 → 效果 → 結果

tool_use 提議須通過所有檢查才會執行；拒絕、結果與錯誤都從執行器返回，成為下一次模型輸入。

  1. AgenticLoop · 六個階段core/agent/loop待處理批次 · 輪次儲存SQLite messages · state.jsonmemory/session_checkpoint.py

    在設定了檢查點的工作階段（具備檢查點與 session id）中，提議的批次會在任何工具執行前先行儲存，無法儲存時該批次不會執行。完成的批次會再儲存一次。未使用檢查點的呼叫端不享有此保證。

  2. AgenticLoop · 六個階段core/agent/looptool_use 區塊ToolCallProcessortool_executor/processor.py

    模型的提議不等於權限。每次呼叫都會取得一個 ToolContext，帶有迴圈的模型與轉接器身分。

  3. ToolCallProcessortool_executor/processor.pyaexecute範圍 · 策略 · schematool_executor/executor.py

    依序檢查工作階段範圍、請求中介軟體的改寫、策略與 schema。改寫若降低安全等級或個資分類，即予拒絕。

  4. BoundToolPlan · 不可變core/tools/plan.py允許 · 安全等級範圍 · 策略 · schematool_executor/executor.py

    可執行的 handler 與安全等級，來自投射到該工作階段的 BoundToolPlan。

  5. PreToolUse · PostToolUsetool_executor/executor.pyPreToolUse · PostToolUseHookRegistry · 決策core/hooks

    公開 hook 決定阻擋、改寫參數或請求權限；改寫之後會再次檢查範圍、策略與 schema。執行之後，hook 可補充上下文或扣留結果。

  6. 核准 · HITLtool_executor/executor.py核准請求終端機使用者

    在 IPC 工作階段中，核准請求會轉給 thin CLI。無人在場的模式預設套用拒絕策略；唯一例外是 DAEMON 的 computer use，須由維運人員另行啟用（否則封鎖）。

  7. tool_executor/executor.py執行前拒絕ToolCallProcessortool_executor/processor.py

    範圍、策略或 schema 的拒絕、PreToolUse 阻擋或被拒絕的核准，都會在未分派的情況下以錯誤結果返回。此時此呼叫的任何效果都尚未開始。

  8. effect receipttool_executor/executor.py效果受理 · 確定EffectReceiptStorememory/effect_receipts.py

    檔案變更、對外訊息或管理操作等效果，會在執行前受理。結果不確定時不會重新執行，而是要求核對。

  9. 資源鎖定 · 分派tool_executor/executor.pyhandler 呼叫工具 handler · bash · computercore/tools

    鎖定資源鍵之後，分派給繫結的 handler。在期限時中止的呼叫，可能仍在外部執行。

  10. 資源鎖定 · 分派tool_executor/executor.pyMCP 呼叫MCPServerManagercore/mcp/manager.py

    只呼叫已宣告資源策略的 MCP 工具。

  11. MCPServerManagercore/mcp/manager.pytools/callMCP 伺服器

    伺服器清單來自全域設定，以及通過信任檢查的專案設定；該檢查只適用於專案項目。MCP 管理器套用其擴充與資源策略。

  12. 工具 handler · bash · computercore/tools檔案 · git · 行程變更檔案 · git · 行程

    已執行的變更會留在外部狀態。檢查點只復原對話，不會撤銷這些變更。

  13. tool_executor/executor.py結果 · 分派後錯誤ToolCallProcessortool_executor/processor.py

    分派之後，正常結果與錯誤（包括逾時與結果不確定）經由 PostToolUse 返回。錯誤或逾時並不表示外部工作已停止或已撤銷。

  14. ToolCallProcessortool_executor/processor.pytool_result對話訊息 · ConversationContextcore/agent/loop

    結果、拒絕與錯誤一律序列化為 tool_result，成為下一次模型輸入中的訊息。

  15. ToolCallProcessortool_executor/processor.py呼叫 · 結果觀測SessionTimeline · append-onlyobservability/session_timeline.py

    將呼叫及其結果（正常或錯誤）寫入 timeline，包括執行前被拒絕的呼叫。此記錄是觀測，並不證明外部效果已開始或已成功。

記錄 · 復原 · 完成

檢查點、timeline 與證據列分別寫入。沒有共用的交易，檢查點只復原對話。

  1. AgenticLoop · 六個階段core/agent/loop待處理批次 · 輪次儲存SQLite messages · state.jsonmemory/session_checkpoint.py

    在設定了檢查點的工作階段（具備檢查點與 session id）中，提議的批次會在任何工具執行前先行儲存，無法儲存時該批次不會執行。完成的批次會再儲存一次。未使用檢查點的呼叫端不享有此保證。

  2. SQLite messages · state.jsonmemory/session_checkpoint.py續行還原AgenticLoop · 六個階段core/agent/loop

    單一還原路徑可帶回訊息、認知狀態與防護計數器。僅存在於行程內的 TaskGraph 不會復原。

  3. AgenticLoop · 六個階段core/agent/loop回合記錄SessionTimeline · append-onlyobservability/session_timeline.py

    僅附加的執行歷程，從不作為狀態重播。

  4. AgenticLoop · 六個階段core/agent/loop完成檢查verify_turn_asynccore/agent/verify.py

    模型提出的停止，須通過 Verify 才成為完成。

  5. verify_turn_asynccore/agent/verify.pyPostVerify · StopHookRegistry · 決策core/hooks

    公開 hook 的決策決定是否繼續修復；修復只在設定的預算內進行（預設兩次）。

  6. AgenticLoop · 六個階段core/agent/loop證據列 · 盡力而為EvidenceLedger · JSONLagent/evidence_ledger.py

    已遮蔽的診斷列。雜湊用於關聯比對；有此列不代表效果已發生，也不與 timeline 或檢查點在同一交易中寫入。

  7. AgenticLoop · 六個階段core/agent/loop認知 · 生命週期事件HookSystem · 觀測core/hooks

    觀測 hook 接收並記錄事件，不決定執行。

其他進入路徑

通訊軟體以 serve 常駐程式的 DAEMON 工作階段進入；外部 MCP 主機的 run_agent 則進入另行建構的無頭單次迴圈。

  1. 通訊軟體頻道頻道訊息通訊軟體 pollercore/server

    serve 常駐程式的 poller 只處理已繫結頻道的訊息。

  2. 通訊軟體 pollercore/servercreate_session(DAEMON)SharedServices.create_sessionsupervised/services.py

    無人可核准的模式：套用預設拒絕策略與時間預算。只有 computer use 可由維運人員另行啟用；未啟用則維持封鎖。

  3. 通訊軟體 pollercore/serverarun(message)AgenticLoop · 六個階段core/agent/loop

    一個討論串保有一個固定的 session id，並延續同一條檢查點鏈。

  4. 外部 MCP 主機run_agent(prompt)run_agent · 單次執行core/mcp_server.py

    外部 MCP 主機將 GEODE 當作工具呼叫。

  5. run_agent · 單次執行core/mcp_server.py無頭單次迴圈AgenticLoop · 六個階段core/agent/loop

    另行建構、繞過 SharedServices 的無頭執行器與迴圈。預設拒絕清單原樣套用，因此 run_bash、delegate_task 與 computer 等工具會被移除；DAEMON 的 computer use 例外在此不存在。

所有連線以相同粗細顯示。選擇一個流程，即只突顯其路徑，並標出步驟編號。

  • 實線 · 請求、訊息與工具結果的流向
  • 虛線 · 工作階段組成、權限或判定；非資料路徑
  • 長點劃線 · 記錄與觀測；不作為狀態重播
  • 短虛線 · 執行前拒絕，無效果
  • 粗黑線 · 所選流程；數字表示順序
  • 方框 · 擁有程式碼的邊界，標頭為其原始碼路徑
  • 內層小框 · 該邊界內的元件
  • 虛線框 · 執行環境行程之外
  • 橘色外框 · 模型做出判斷之處
  • 執行迴圈
  • 權限 · 判定
  • 記錄儲存區
  • 進入 · 連線 · 執行

只繪出經確認有實際呼叫的連線。ContextAssembler 的五層 facade、TaskGraph，以及 Jev、SIL、Crucible 等研究實驗，不在此執行環境路徑上。非同步取消不會停止已開始的同步工作，也不會撤銷已發生的效果。

支援的模型 · 依供應商

這是程式碼的目錄選項與出廠預設值，並非每個模型都通過實際 API 呼叫的清單。設定的備援鏈預設為空，確切的 ID 也不會自動升級為較新版本。

  • Anthropic

    API

    • 主要Claude Opus 5.5claude-opus-5-5預設設定
    • 次要Claude Sonnet 5claude-sonnet-5預設設定
    • 低成本Claude Haiku 4.5claude-haiku-4-5-20251001預設設定
    顯示全部 12 個目錄 ID

    API

    • claude-fable-5-1
    • claude-opus-5-5預設
    • claude-opus-5
    • claude-sonnet-5預設
    • claude-haiku-4-5-20251001預設
    • claude-fable-5
    • claude-opus-4-8
    • claude-opus-4-7
    • claude-opus-4-6
    • claude-opus-4-5
    • claude-sonnet-4-6
    • claude-sonnet-4-5-20250929

    程式碼拒絕訂閱制 OAuth 路徑。

  • OpenAI

    API · Codex 訂閱

    • API 與 Codex 預設GPT-6 Solgpt-6-sol預設設定
    顯示全部 11 個目錄 ID

    API · Codex 訂閱

    • gpt-6-astra
    • gpt-6-sol預設
    • gpt-6-luna
    • gpt-5.6-sol
    • gpt-5.6-terra
    • gpt-5.6-luna

    僅限 API

    • gpt-5.5
    • gpt-5.3-codex
    • gpt-5.4
    • gpt-5.4-mini
    • gpt-5.4-nano

    同一供應商的兩條存取路徑；各模型允許哪些路徑，由目錄決定。

  • Z.ai / GLM

    PAYG

    • 預設GLM-5.3glm-5.3預設設定
    顯示全部 9 個目錄 ID

    PAYG

    • glm-5.3預設
    • glm-5.3-flash
    • glm-5.3-flashx
    • glm-5.2
    • glm-5.1
    • glm-5
    • glm-4.7
    • glm-4.7-flashx
    • glm-4.7-flash

    程式碼不接受 GLM Coding Plan 路徑。

  • OpenRouter

    路由服務

    • 選擇器Free (smoke)openrouter/openrouter/free路由
    • 選擇器Auto (variable)openrouter/openrouter/auto路由

    由路由器選擇，而非固定的單一模型。明確設定的 ID 也可保留。

  • TypeSafe / Jev

    僅限判斷 · 與文字生成分開

    • 直接jev-1.13.0僅用於判斷
    • 經由 OpenRoutertypesafe/jev-1.13僅用於判斷

    只負責判斷的選用轉接器，並非根文字生成模型。預設判斷引擎為 llm，Jev 須另行選擇。Jev 研究本身的設定，依「Jev」一章的記錄。

來源GEODE main 373d420公開提交 2026年10月7日 · 2026年10月8日確認

實驗

當時記錄的模型與路徑，並非目前的預設值或完整的相容清單。