TUEO 产品白皮书

1. TUEO 是什么

TUEO 是面向企业的私有化 AI 协同平台 —— AI 作为组织的正式员工（有岗位、职责、成长轨迹、行为边界与长期记忆），在客户自有环境里与人共同运营业务。

这不是一句口号，而是一套已经落地的产品体系。TUEO 由十个产品组成，覆盖了让 AI「进编制」所需的一切：

• 身份：AI 员工与人类员工同一张花名册、同一套登录、同一套权限；
• 知识记忆：AI 的知识库与记忆有一个底座，越用越准、自动整理自我生长；
• 算力与模型：异构算力统一纳管、模型服务带治理，一个控制平面闭环；
• 协同：AI 员工像同事一样进群聊、跑工单、主持例会、沉淀组织知识；
• 编排：业务人员用对话把流程编排成 AI 应用，发布后被组织调用；
• 能力：AI 能调用的每一项技能都被市场化治理——采购、授权、计量、凭据；
• 执行：AI 真正动手干活的地方被关进隔离沙箱，可审计、可调度；
• 编码：AI 开发团队用真实的编码引擎改代码、跑测试、出 MR；
• 交付：整套体系装进客户自己的机房，支持完全断网运行。

TUEO 的核心判断是：企业 AI 的下一个阶段不是”更聪明的对话”，而是”能进组织运行的员工”。AI 需要岗位、需要边界、需要成长、需要被审计——这些恰好是组织管理一个真人同事时会做的事。TUEO 把这套机制工程化，并私有化交付。

1.1 第二层定位：企业信息化智能基座

“AI 进编制”是第一层定位，讲的是AI 帮你跑业务。TUEO 还有第二层定位，讲的是企业整个信息化的底座：

AI 编程时代，企业信息化真正缺的不是更多系统，而是把系统的「定义、生产、运维、更新、统筹」串成一个完整闭环的智能基座。TUEO 就是这个基座——以任务驱动定义系统（而不是开发系统），让企业已有能力被复用、被 AI 化，并在一个自运维的底座上持续运行。

对外叙事顺序是：先讲清楚「是什么基座」，再落「AI 员工在基座上怎么干活」。

• 定义层 —— 任务驱动定义系统：studio 编排 + cohort 工单流水线 + executor 执行。业务描述任务，AI 分析、分派、开发、测试、交付；
• 统筹层 —— 能力 AI 化、治理系统孤岛：capabilities + skillplugins + identity。把 OA / ERP / CRM / MES 这些已经存在的系统登记成能力、授权、凭据托管、被 AI 安全调用——不替代你的系统，而是让你的系统第一次变成 AI 能调用、能授权、能审计、能量计的能力；
• 运营层 —— 资源管理、应用部署发布、运维：console + executor。新系统、老系统、AI 系统，一个入口运维整套体系。

基座 = 不替代你的系统，而是让你所有系统都在这套底座上被定义、被组装、被运维、被 AI 化。

1.3 核心哲学（五条）

1.4 三个”不卖”

• 不卖对话机器人 —— 那是 AI 员工的最底层形态，不是产品；
• 不卖单点 AI 工具 —— 不是 Dify / Coze / n8n 的”再写一遍”，卖体系不卖组件；
• 不卖”能回答” —— 我们卖”能回答且能运行、能治理、能落地”。

2. 要解决的问题

2.0 时代命题：从「数据孤岛」到「系统孤岛」

AI 编程有两面：好的一面是造系统的成本趋近于零，「开发」不再是稀缺资源；新问题是系统数量爆炸、AI 生成的系统野蛮生长——没人负责运维、没人负责更新、没人把它和已有系统打通。

数据孤岛是「读」的难题——数据可复制、可搬运、可集中，ETL / 数仓 / 数据中台打了二十年仗，基本治住了。但把数据搬进湖里，系统并不会开口：AI 需要的不只是读到数据，而是登录系统、知道系统有什么能力、安全地在系统里执行动作、为每次动作留审计——这是「动」的难题，数据治理从未解决过。

两头都是孤岛：传统老系统还没 AI 化（跑在机房、没人懂、没人敢动）；AI 新系统没人管理运维（造得出来、养不起来）。系统孤岛比数据孤岛更难治——系统是活的、有爆炸半径，你不能把一套 ERP 搬进湖里，只能让它活着、被安全地调用。

TUEO 的答案，是软件开发的完整闭环：业务提出需求 → AI 分析成任务 → AI 团队开发 → 测试 → UAT → 投产 → 持续监测运维 → 先盘点已有能力、能复用不重开发 → 能力统筹 → 回到需求。核心思想：以任务驱动定义系统，而不是开发系统。

在此基础上，企业在让 AI 进入实际业务时，还普遍遇到四个断层：

2.1 能回答，不能运行

通用大模型应用只能”回答”，无法在企业的真实环境里干活：改系统里的数据、对接既有系统、执行代码、产出真实文件。企业要的不是一个更聪明的助手，而是一双真正能落地的”手”。

2.2 AI 是工具，不是员工

大多数企业把 AI 当工具接入某个系统：一个客服机器人、一个写作助手。没有岗位、没有职责边界、没有成长轨迹、没有长期记忆、没有行为审计。一个”没有身份”的 AI 无法被组织管理，也无法承担持续的业务责任。

2.3 有决策，没有执行层

即便 AI 能给出正确的判断，谁来真正执行？直接在业务系统里执行 AI 的代码是危险的——需要一个隔离的、受控的、可审计的执行层，把”用户代码不可信”当作默认前提。

2.4 有 AI，没有治理与审计

金融、政务、医疗等强合规行业，每一步 AI 决策都需要可追溯、可回放、可审计。而大部分 AI 平台把审计当作事后补丁，把权限散落在各个产品里，把模型密钥埋进客户端——这些都无法通过合规审查，更无法私有化交付。

TUEO 用一个十产品的体系，一次性解决这四个断层。

3. 产品体系总览

3.1 十个产品，一个体系

3.2 分层结构

消费端      cohort-desktop（Electron 桌面客户端）· cohort-server 管理后台
───────────────────────────────────────────────────────────
体验层      cohort（协同核心）· studio（应用编排）  ← 人与 AI 共同工作的地方
能力层      capabilities（能力市场 · 调用网关）    ← 一份能力契约，两个消费者
执行层      executor（沙箱执行）· codex-build（编码引擎）← AI 真正动手干活的地方
───────────────────────────────────────────────────────────
基础底座    identity（身份 SSOT）· engram（知识记忆底座）· inference（算力与模型服务）← 横切支撑以上全部
运维底座    console（智能基座运营层 · 部署 / 中间件 / 私有化 IDP）
生态        skillplugins（插件源码 + @tueo/plugin-sdk）

3.3 数据流与职责边界（谁是真值）

3.4 集成矩阵（行调用列）

4. identity —— 身份地基

一句话：全平台统一的身份地基——一个账号进所有产品，一张 token 写明你在哪个租户，一份目录管住人类员工和 AI 员工。

4.1 定位

identity 是 TUEO 体系的身份单一源（SSOT），承担三类平台级能力：

1. OIDC IdP：标准 OpenID Connect / OAuth 2.0 授权、令牌、会话、联邦、多租户；
2. 组织目录单一真值：组织架构 + 人 + 任职关系，全平台通讯录的 SSOT；
3. 授权判定中心：RBAC 角色收敛为三档，判定逻辑收回 identity，下游产品不得持有角色信息。

identity 的设计判据是：「换一个产品还成立吗」。它只做平台级身份能力，不承载任何单产品业务逻辑。

4.2 核心能力

4.2.1 OIDC IdP（ES256 + PKCE + 令牌轮换）

基于标准的 OIDC 授权服务器实现：authorization code + PKCE 登录、ES256 签名的 JWT access token、refresh token 轮换（RFC 9700）、RFC 8628 Device Flow、RFC 7662 introspection、JWKS 轮换。签名密钥加密落库、支持多副本热重载。access token 采用严格最小 claim——profile 一律经 /userinfo 查权威，避免 token 膨胀与权限漂移。

4.2.2 套件级 SSO（RFC 8693 令牌交换）

六产品一次登录的粘合剂：用 identity 根 token 换取 aud=<产品> 的用户 token，studio / executor / capabilities 直接进入，免二次登录。两道安全门：subject token 必须是现役根 token；audience 必须在第一方产品白名单内——交换只做同用户+第一方产品的横向或降权，持证不升权。

4.2.3 降权最小权限令牌

给半可信执行体（AI 引擎子进程、本地编码引擎）签发最小权限 token：单独 audience + 单一功能 scope + 短 TTL。引擎持有的最坏凭据从「模型商密钥 / 用户全权限 token」降到「一张只能烧本租户额度、15 分钟过期、按 audience 绑死路径的票」——每个爆炸半径单独一张票。

4.2.4 组织目录单一真值

组织架构树 + 成员任职关系 + 人员检索全部由 identity 提供。树用 ltree 存储，任职关系由 user_org_memberships JOIN users JOIN org_nodes 组合，position_title 职称长在任职关系上。全平台通讯录 100% 由此构建，改人只改 identity 一处，桌面 / 服务端 / Matrix localpart 全平台跟随。

4.2.5 RBAC 角色收敛 + scope 宇宙

全平台只有 platform_admin / tenant_admin / member 三个角色名，11 个历史旧名经别名表归一。scope 从角色目录程序化派生、统一消费（曾因 5 处手维护 scope 导致被静默剥掉的坑）。加新产品 = 加 catalog 一行 + 挂 scope，零下游改动。

4.2.6 租户切换 = 重签 token

“我在哪个租户”只有一个真值——token 自己。切换 = 带租户 hint 重走授权，identity 校验后重签 token；每次签发重新校验授权，角色被撤 / 租户被删立刻退回 home。只验 token 的消费点（如 WebSocket 网关）自动正确，不会漂移成越权。

4.2.7 SCIM 入站供给

标准 SCIM（RFC 7643/7644）实现落在 /scim/v2/*，外部 IdP（Okta / Azure AD）按标准接入。每个租户用静态 bearer token 定死 tenantId，跨租户不可能。用户 / 组 CRUD、过滤器算子、externalId 对账、同步日志与失败审计。

4.2.8 可追溯审计（密码学哈希链）

每一次身份 / 授权 / 目录变更都进审计，且行与行之间用 SHA-256 contentHash + prev_hash 哈希链锁定——插入、删除、重排、改行都能被 verifyChainIntegrity 检测。审计保留策略按租户可配（默认 90 天），导出带 hash 校验。

4.2.9 用户自定义字段治理 + 敏感信息加密

租户管理员声明字段 schema（类型 / 必填 / 校验 / 敏感 / 可搜索）。敏感字段（如身份证号）与普通字段物理分离：非敏感入 metadata，敏感入独立表、AES-256-GCM 加密存储、脱敏返回、明文读取留痕——满足 PIPL 对敏感个人信息可追溯的硬要求。

4.2.10 管理控制台

覆盖组织 / 用户 / 角色 / 审计 / 租户 / SSO / SCIM / 自定义字段 / 会话 / Webhooks / API Key / 品牌，按 TUEO 平台设计系统（纸 / 墨 / 青玉 / 朱砂）落地，支持多语言与白标。

4.3 差异化

• AI 员工与人类员工同一套身份：users.type='ai_staff' 一等用户类型，同编、同目录、同寻址；
• 授权判定收回 identity：竞品把”谁算管理员”散落在各产品，identity 只在一处；
• 可证明的审计：哈希链让”谁干了什么”可验证、可查伪；
• 私有化可交付：单域一体机 + setup 向导 + 密钥由运维配置中心管理，完全离线可部署。

5. cohort —— 协同核心（旗舰）

一句话：让 AI 成为你组织里的正式员工——人类与 AI 同事在同一个工作区里共事、共成长、共同交付。

5.1 定位

cohort 是 TUEO 的旗舰产品，由服务端（cohort-server，NestJS 11 + Fastify + PostgreSQL）与桌面端（cohort-desktop，Electron 三进程）构成。它承载”AI 员工工作空间”的全部业务逻辑：AI 员工实体注册表、群聊多 AI 协同、认知循环、工单流水线、组织知识图谱、会话记忆、周会编排、审计留痕与多租户隔离。

服务端是数据 SSOT，桌面是瘦客户端——企业数据不散在客户端。

5.2 核心能力

5.2.1 AI 员工实体化（AiStaffRegistry）

AI 员工是”有在编身份、有职业档案”的一等实体，JOIN 两层 SSOT：

• identity 花名册：在编身份 / 真名 / 部门 / 职称，与通讯录同源；
• cohort ai_staff_profiles 职业档案：roleLabel / workMethod / toolPolicy.allow / leadKinds / ownedCapabilities / responsibilities / persona 人格卡。

全流水线只读这一个 registry。加 / 删 / 改 AI 员工只改 identity（+职业档案）一处，通讯录、工单分诊、能力路由、播报署名全线跟随，零代码改动、零名字字面量。identity 删 → 全线消失。

5.2.2 群聊多 AI 协同（coordinator）

群聊里一条人类消息该由哪个 AI 员工接，由服务端裁决（coordinatorJudge = SSOT）：

• 快路径：无 AI→不接；@提及→必回；DM 人类→自动回复；AI 发言→防自答成环；噪音 / 纯 emoji→不接；
• 慢路径：群聊 + 人类 + 期待回应 → 用 AI 员工真实职责档案做确定性职责打分（零 LLM 成本），多候选接近时 LLM 仲裁，再退秘书兜底。

每次判定写审计（coordinator.dispatch_judged）。群聊永远”必有一个负责人接话”且不刷屏，路由依据是真实职责档案而非写死名字。

5.2.3 AI 员工认知循环（感知→思考→行动→复盘→等待）

每个 AI 的每次决策都跑完五阶段认知循环：

1. 感知 Perceive：读取会话、信号与组织上下文，先过原则门（principleEnforcer.check('perceive')），deny 直接写拒绝工件；
2. 思考 Think：融合长期记忆检索 + 经验规则 + 项目上下文，调 LLM 输出结构化意图；LLM 不可用时规则式降级；
3. 行动 Act：高风险行动需人确认；
4. 复盘 Reflect：LLM 反思写回记忆，驱动自我进化；
5. 等待 Wait：进入下一轮信号监听。

全流程 phaseTimings 计时、可观测可回溯。

5.2.4 工单系统（意图 → DoR → 分诊 → Agent 执行）

从一句聊天消息到 AI 开发团队真实干活的全流水线：

1. 意图识别：LLM jsonMode + 校验，识别 bug / feature / incident；
2. DoR 受理：按 severity 分级受理，AI 可自补——用 LLM 把中文工单转代码检索词、本地 ripgrep 真文件定位复现步骤，绝不编造；
3. 分诊：passport 门 → LLM 推断 assigned_role / priority / AC → 派到 dev_team_room；可分配角色由 registry 动态注入；
4. 状态机：14 状态 + 转移矩阵 O(1) 校验；
5. Agent 执行：5 阶段单次 run-role，validateToolList 按 toolPolicy.allow 服务端强校验越权工具。

桌面端用 TriageCard / BuildProgressCard 可视化，AI 在本地 checkout 的 repo 上真改文件、真跑测试、真 commit 回填工单。人类消息还能自动分类建单。

5.2.5 组织知识图谱（“组织空气”）

把组织对话沉淀为知识图：LLM 从消息中抽取实体 + 类型化关系入 kg_entities / kg_edges（pgvector + 关系表 + 溯源），检索时 pgvector 余弦 top-K（租户隔离）→ 图多跳邻居（承诺 / 依赖 / 冲突）→ sensitivity 门（默认最严，敏感信息不泄漏）。

知识存储采用单库三合一（Postgres + pgvector + 关系表），零双写零漂移，气隙安装只依赖 Postgres + identity 两个服务。

5.2.6 会话记忆（个体长期记忆 + 共享 substrate）

每个 AI 有跨房间共享的长期记忆（7 天半衰期衰减、200 条上限），以服务端 /cognitive-loop/memory 为权威副本。所有 AI 决策共享同一”会议室状态”substrate：主线话题 / 已决事实 / 悬而未决 / 未完结承诺。换房间、多 AI 协作不各自 fresh start，组织越用越聪明。

5.2.7 影子 AI 隐形分身

每个真人身后一个隐形分身：学习本人自己发的话（风格 / 语气 / 长度），对方发来等回复的消息而本人 30s 未回时在后台以本人口吻草拟。代发总闸默认关闭，只生成 + 审计，不自动发。代发门控 = 总闸 ∧ 非冻结 ∧ 非保护区 ∧ 置信度 ≥ 信任阈值 ∧ 风险 ≤ L2，按财务 / 客户 / 技术 / 内部四桶独立阈值。

5.2.8 服务端周会编排

8 名 AI 员工每周结构化汇报 → 讨论 → 求助 → 决议的闭环，全部在服务端：逐 AI 参会人取证据（近 50 条房消息）→ 推断 → 以 AI 真 uuid 署名发言。全员失败 = 诚实失败不推进阶段并落系统消息说明真实原因（根治了”LLM 网关 quota 403 被静默吞成空会”的生产事故）。周五自动发起。

5.2.9 消息引擎 + 实时通道

聊天消息 CRUD、送达 / 已读、流式 AI 回复、翻译全部服务端 SSOT 并经 WS 广播。并发 / 竞态 / 跨租户在服务端挡住；翻译有界（上下文哈希去重 + 技术字面量 mask/restore + 槽位队列）。WS 网关三轴加固（tenant claim 严格校验、jti 吊销、按租户滑动窗口限流）。

5.2.10 引擎模型网关（凭据不出服务端）

AI 编码引擎不持有任何模型商密钥：引擎的 base_url 指向服务端 OpenAI 兼容端点，持服务端签发的降权短票（15 分钟、audience 绑路径），真 key 由服务端按租户解析并注入。三条硬性质：model 由服务端定忽略客户端、客户端凭据字段一律丢弃、上游响应回传前脱敏。

5.2.11 MCP Tueo Server（业务能力进引擎的统一出口）

把 cohort 业务能力（工单 / 知识 / 附件 / 承诺 / 发言）暴露为标准 MCP 工具给执行引擎，形成”AI 干活 → 成果回流协作系统”的闭环。

5.2.12 桌面端（cohort-desktop）

• 三进程 Electron：主进程（OS 集成 / OIDC / IPC / 崩溃自愈）+ preload（contextBridge 白名单 + 按类别 token-bucket 限流，破坏性通道独立小桶）+ 渲染进程（React 19 + Zustand）；
• 四栏工作区：会话列表 / 消息区 / 详情 / WorkspacePanel（文档 Markdown/HTML 互转 → PDF/PPTX 导出 + IDE 工作台）；
• 安全纵深：OIDC PKCE + ES256、三枚降权令牌、CSP enforce、审计单漏斗上收服务端控制台、IPC 限流；
• 本地结对：主进程直接 spawn 编码引擎（ACP 协议），文件读写在工作目录边界内，权限请求默认拒绝——“人在关键关卡把关”不是口号。

5.3 AI 员工的岗位与权限边界（AI 员工同样受控）

AI 员工的能力边界，由岗位、职责与授予的工具权限共同决定，不是由它能做到什么决定——这是 TUEO 与”通用 AI 助手”最根本的区别之一。

• 边界怎么定：每个 AI 员工在职业档案里声明职责范围与工具白名单（toolPolicy.allow）。identity 管”是谁”（在编身份），注册表管”怎么干活”（岗位 / 职责 / 权限），两条线共同决定它被允许做什么。秘书就是秘书——苏婉是秘书，她不能操作运维服务器；
• 边界怎么守：越权工具在服务端强校验（validateToolList 按 toolPolicy.allow）一律拒绝；感知阶段先过原则门（PrincipleEnforcer，pattern 命中即裁决）；高风险动作需人审批；每次决策与拒绝都进审计——四道行为防线层层兜底；
• 边界为什么硬：人换岗、AI 换岗一样——改一处岗位配置，能力范围全线跟随。AI 员工与人类员工同一套受控逻辑：它强，但只在组织给它的边界内强。

这一机制让”AI 越强，边界越清晰”成为工程事实：一个能写代码的 AI，在没被授予运维权限时，对运维服务器的任何请求都会被系统硬拒并留审计——组织对 AI 的信任可以逐级放开，而不用一次赌上全部。

5.4 差异化

• AI 是”组织编制内的员工”而非工具，零名字字面量、名字单一源在 identity；
• 群聊主理人是服务端契约而非客户端启发式，防自答成环、每次判定留审计；
• 工单不是问卷：DoR 分级受理 + AI 自补，借严谨不借官僚；
• 凭据不出服务端、审计单漏斗上收、企业数据不散在客户端；
• 岗位决定边界：AI 员工与人类员工同一套受控逻辑，越权工具服务端硬拒并留审计。

6. studio —— 应用编排平台

一句话：业务人员用对话把流程编排成 AI 在业务对象上认知-决策-行动的应用——BPM 的 AI 原生继任者，不是又一个工作流画布。

6.1 定位

studio 是 TUEO 的”编排引擎层 / 智能劳动立法层”：把组织里的智能劳动（AI 员工 + 连接器 + 人审）编排成可发布、可审计、可演进的应用，供人 / AI 员工 / 外部 agent 带信任地调用。与 cohort 组合运行：cohort 提供 AI 员工运行时、人审卡片与结果回投；studio 提供结构化编排、验收发布门与治理护栏。

6.2 核心能力

6.2.1 事件溯源编排引擎

11 类节点（开始 / 结束 / 分支 / AI 认知 / AI 员工 / 人工 / 能力 / 子流程 / 循环 / 等待 / 并行），每条状态转变追加一条 append-only run-trace 事件。状态从事件派生：人工 / 子流程 / 循环 / 定时器 / 并行 / AI 员工全部走持久暂停（进程重启即续跑，零线程持有）。支持断点单步 / 继续、从失败步重跑、递归防护。

6.2.2 对话副驾（自然语言编排）

业务人说意图（如”报销超过 3000 走财务总监审批”），副驾产出高层审批规格，确定性编译成合法 FlowDef——LLM 只出”判什么 / 怎么路由 / 几级审批”的简单 JSON，结构由编译器保证合法，最多 3 次自纠。转换确定 · 内容智能。

6.2.3 发布治理：draft/published 版本隔离 + 验收测试门

编排器存草稿，发布时打不可变 semver 版本快照，线上运行恒取最新 published。发布前先跑验收测试套件（桩 AI 输出 + 脚本人审 + 桩能力，确定性回放），全过才发布——验收测试 = 发布门，同时是 L2/L3 回归安全网。支持回滚历史版本。

6.2.4 AI 认知决策行动节点

一个原语支撑分类 / 判断 / 抽取 / 看图 / 自主调工具：结构化 JSON 输出契约 + 模型输出 schema 强校验、agentic 智能体环（function-calling，每步 tool_call 留痕）、多模态视觉（图片经视觉模型转描述）、节点级模型字段覆盖语义路由。

6.2.5 AI 员工节点 + 人审节点（人机对等 actor）

ai_staff 节点把活派给 identity 在编的 AI 员工（在 cohort 干），人审节点挂起等人裁决——两类 actor 各有 SLA、各有组织上级升级链。AI 员工不是脚本而是同事，人是流程里的对等节点。

6.2.6 编排变量模型 obj/steps/sys/env 四作用域

节点输入映射与分支条件用类型化表达式 AST，数据流确定、可回放、可测试——分支条件不是黑盒 prompt，是可验收的声明。

6.2.7 治理脊柱（enforcement 而非展示）

• kill-switch 熔断：全局 / 按应用一键熔断（423）；
• 配额限流：per-app 运行速率（429）；
• token 预算：单次运行 token 累计超限引擎中止；
• 内容安全门：违禁词 + PII 正则（手机 / 邮箱 / 身份证），mode = off/flag/block；
• 审计：审计日志从 run-trace 事件投影，可导出（SOC2 / 等保 / EU AI Act 取证）。

6.2.8 cohort 融合（app-as-tool）

cohort 会话里把应用当工具：选应用 → 表单卡（精准输入）→ 起 run 绑会话线程 → 结果 / 人审卡回投。表单预填走出处门（只填有证据的字段）；结果卡叙事模板用真实结果替换占位符（取不到值整段丢弃、零 LLM 零编造）。

6.2.9 设计 tab + 多渠道适配

AI 从真实产物字段生成声明式积木布局，后端硬校验（块枚举 + bind 只保留真实字段 + 数组块必须绑数组字段，编造一律丢弃）。一次编排、多渠道交付：cohort 四栏壳 / 企业 IM（企微 / 钉钉 / Lark 卡片）/ 网页挂件。

6.2.10 自动化触发 + MCP 暴露 + 调试观测

应用可从手动调 → 定时 / webhook 自动触发；每个已发布应用暴露为一个 MCP tool，任何 agent 可调（不建围墙花园）；SSE 流式调试 + dry-run 演练 + 节点 Mock 覆盖 + 断点调试。

6.3 差异化

• 不是 Dify / n8n：是”业务对象上的 AI 原生编排”，业务对象类型契约 + 事件溯源；
• 验收测试 = 发布门：AI 编排像软件工程一样质量可控；
• AI 员工是人机对等的 actor：有岗位、有 SLA、有上级升级链；
• 治理是真拦截不是展示：熔断 / 配额 / token 预算 / 内容安全门全部在引擎层拦。

7. capabilities —— 能力市场

一句话：企业 AI 能力的 App Store——一份能力契约，AI 当工具、人当 UI，从生产、市场到采购、授权、气隙分发全链路治理。

7.1 定位

capabilities 是”能力从哪里来”的独立平台层（生产 / 平台），不属于任何消费宿主。承重墙是生产 / 消费二分：能力平台负责注册表 SSOT + 市场 + 安装治理 + 凭据金库 + 调用网关 + 平台控制台；cohort（聊天 / AI 员工）与 studio（应用编排）都是经 SDK 契约消费的宿主，各自原生 UI，绝不反向依赖。

这修复了此前把注册表 / 网关焊进 cohort-server 的架构缺陷——studio 曾 env 硬编码直连 executor 绕过整个平台。

7.2 核心能力

7.2.1 注册表 SSOT + 发布生命周期

技能 / 插件的 manifest、版本、状态单一真值。生产者侧 draft → in_review → published / rejected，state（active / archived）正交。.tueopkg 上传经校验（semver / 能力声明 / 载荷完整性）落草稿，原始包按 sha256 digest 内容寻址存储。

7.2.2 签名与信任治理（Ed25519）

manifest 可签名核 → Ed25519 detached 签名 → 验签推导 official / partner / community 三级信任。跨仓签名算法逐字节一致（drift-lock 测试锁定）。声明了签名却验不过 = 篡改 / 冒充，安装时拒装。

7.2.3 安装治理（租户级）

租户装了哪些技能 + 是否启用。安装 = 部署态，启用 = 运行开关，用户偏好 = 个人开关，三层互不混淆。调用网关前置 assertEnabled 硬门。

7.2.4 凭据金库（租户级加密）

插件配置：settings 明文 + secrets 密文（AES-256-GCM），网关 invoke 时解密注入，用户 / AI 全程看不到 secret。跨宿主（cohort / studio）同源可见。

7.2.5 调用网关（按 kind 分派 + 付费 / 用量焊死）

一次调用过安装门 + 付费门 + 可用范围门 → 解密注入凭据 → 按 kind 分派：action → executor 沙箱 / knowledge → 直接返内容注入宿主 LLM 上下文（零沙箱零成本）。

★付费门与用量记账都焊在网关内：任何间接 / 委托调用天然过门 + 记账，根治”绕过收费”漏洞。

7.2.6 采购治理闭环

试用 → 申请-审批 → 下单（对公 / 在线）→ 财务确认 → 发票，全程留痕。预算门（已用 + 待处理 + 本单 ≤ 上限）、买方自审计派生流（订单 / 权益 / 申请 / 安装 / 范围变更聚合成时间线）。

7.2.7 商业化 / 定价

价长在产品上（Stripe 范式）：运营方对每技能设全局价，可再对某客户租户设 B2B 合同价覆盖。计费范围铁律：只买断或订阅时长，不做用量 / 席位计费（用量纯经营分析非计量）。

7.2.8 权益 SSOT + 订阅生命周期

“该租户被授权用某付费技能”单一真值。联网与离线两条路径写同一张表、门控统一读。到期即失效、定时清扫兜底、到期前横幅预警。订阅续订重走合同 + 发票 + 重签发。

7.2.9 离线授权激活（签名 License 单一 SSOT）

私有化 / 气隙客户的付费激活：签名 License 文件为单一信任根，联网只是传输层，气隙人工搬同一文件。软节点锁 = deploymentId（平台首启生成，防一份文件复制到多部署，不锁硬件不惹客户）。不建在线激活 / 心跳 / 技术性吊销（纯合同信任）。

7.2.10 气隙离线分发（.tueoupdate 统一制品）

把技能 bits 送进内网：一个签名更新包同时载目录与平台组件，console 一个导入口。签名 manifest 不可变承重墙（bundle 本地存储走独立列、绝不 mutate manifest，否则验签失效）。默认 bundle-runtime 免镜像。

7.2.11 可用范围 + 用量经营看板

“租户内谁能用某技能”授权分配（mode = all / departments / users，数据源 identity SCIM）。用量看板回答”能力用得值不值、有没有浪费和风险”（闲置授权识别 = 有权益零调用 = 浪费的钱）。

7.2.12 权限四步闭环

开发者声明 permission[] → 前端风险分级红标（网络 / 文件系统 / 执行 / 密钥）→ 装机弹同意框（授予时刻，审计）→ executor 沙箱运行时强制（未授 network 权限用 unshare 网络命名空间真断网，零出站防外泄）。

7.3 差异化

• 一份能力契约，两个消费者：同一能力既可被 AI 当工具（executor 沙箱）也可被人当 UI（声明式 / 前端 bundle）；
• 商用闭环原生焊进调用网关：委托 / 间接调用天然过门 + 记账；
• 签名 License 单一授权 SSOT：气隙与联网同一机制；
• 生产态密钥 fail-closed：缺官方签名私钥 / 金库主密钥 / 会话密钥 / S2S 令牌 → 拒绝启动（防公开 dev 种子伪造官方签名与离线 License）；
• 防回拨时钟高水位 + 订阅到期全租户定时清扫，专治气隙客户拨表给过期订阅续命。

8. executor —— 沙箱执行底座

一句话：AI 的双手——把不可信代码 / 命令 / 镜像放进隔离沙箱，可审计、可调度、可扩缩地替 AI 员工干出真事，并交回结构化结果。

8.1 定位

cohort（工作空间）、studio（编排）、capabilities（能力市场）负责”决定做什么”，executor 负责”真正干出来”——接收代码包 / 命令 / 自备镜像，以 K8s Job 拉起隔离 Runner 沙箱执行，回调结构化结果，全程审计。它是全平台统一的能力执行面，也是信任边界内”用户代码不可信”的隔离墙。

8.2 核心能力

8.2.1 多运行时沙箱执行（python 包 / 通用命令 / 自备镜像）

一个 job 契约支撑三种执行：python 代码包（pip 装依赖 → import entrypoint → main(**inputs)）、command 档（语言无关跑任意 shell）、image 档（每 job 起指定镜像）。大入参（>64KB）溢出到挂载文件规避 env 限制；未授网络权限的 command 档用 unshare --net 断网命名空间跑子进程。

8.2.2 K8s 原生隔离 + 五级优先级调度 + 逐 job 资源配额

每笔 job 落成独立 Pod：无特权、只读根文件系统、capabilities 全 drop、seccomp RuntimeDefault，执行完自动回收。五级优先级（CRITICAL 可抢占 BACKGROUND）+ 逐 job 可配 CPU / 内存。

8.2.3 准入控制 + 优先级队列

全局并发上限 + per-tenant 配额（DB 运行时可改）+ 宿主资源压力三重背压。超出并发上限的 job 进 QUEUED 队列，按优先级 + FIFO 排空；原子认领防双派发，单租户到帽不阻塞其他租户。

8.2.4 对账闭环（pull is truth, callback is optimization）

回调是优化项，对账循环每 30s 主动向 K8s 问真值，把僵尸 job 推向终态、判 lost、自愈在飞计数。回调没到也不会卡死在 running。

8.2.5 DAG 工作流编排

有向无环图表达依赖与并行（共享 dag_id 的 job 集合，零独立表），失败可定点重跑（incremental / full）。

8.2.6 多租户隔离（fail-closed 收口）

所有资源绑 tenant_id，查询 / 写入强制租户过滤。拿不到租户直接拒绝而非放行全部。“想看全部”与”忘传租户”在代码层长相不同，平台级聚合必须显式声明。

8.2.7 全量安全审计 + Transactional Outbox 事件

所有生命周期操作写审计表；业务操作与事件同事务落 outbox，异步投递 CloudEvents 1.0（CI / 通知 / 计费消费方），业务不阻塞。

8.2.8 凭据与回调安全

job Pod 注入最小权限 MinIO 凭据（bucket-scoped）；回调 URL 内嵌每 job 专属 HMAC token，防止持共享 token 者驱动任意 job 状态；终态回调幂等（防状态复活）。

8.2.9 AI 编码代理 coding-agent

自主编码代理：克隆 GitLab 仓 → 工具循环实现工单 → 自测 → 提交 → 推送分支。护照（tueo-passport 扩展点）编译成 HARD 文件编辑门禁（越 zone 一律 BLOCKED）；视觉自验证 = 真 Chromium 截图 + 视觉模型看图判定，不是 jsdom 猜。

8.2.10 可观测性

Prometheus 指标（调度延迟 / 队列等待 / per-tenant 在飞 / 节点水位）+ 节点资源实时快照 + 运行中 job 实时容器日志 + 从持久数据重建执行时间线。

8.3 差异化

• 多运行时统一契约（python / command / image）而非单一 Python 沙箱；
• 调度是一等公民：租户级公平 + 优先级抢占，多数沙箱产品只有简单并发数；
• 对账闭环自愈：竞品回调不到常卡死；
• 每 job HMAC 回调绑定 + 最小权限凭据 + 断网沙箱——回调与凭据都按 job 隔离。

9. skillplugins —— 技能插件与 SDK

一句话：一份能力契约，两个消费者——让 AI 助手真正”做业务”，把企业流程能力做成可签名、可沙箱、可进市场的插件。

9.1 定位

skillplugins 是 TUEO 插件平台的生产侧与契约承重墙，四层架构的源头：skillplugins（插件包 + SDK）/ 能力平台（注册表 + 治理 + 派发）/ executor（后端沙箱）/ desktop（前端渲染）。@tueo/plugin-sdk 是 manifest / capability / invocation 四层单一源。

9.2 核心能力

9.2.1 插件清单契约（PluginManifest）

定义插件 = manifest（能力声明）+ backend（executor 执行）+ frontend（desktop 渲染）三件。语言中立（input / output 用 JSON Schema，executor 的 Python 也能校验）。humanSurface 提供 slash（命令）/ form（自动派生表单）/ preview（第四栏预览）三入口。

9.2.2 插件签名与信任治理

发布侧用私钥对 manifest 做 Ed25519 detached 签名，加载 / 安装侧用受信公钥注册表验签推导信任级。篡改即验签失败，安装时反篡改断言。

9.2.3 后端运行时 I/O 契约

入参读 cwd/inputs.json，结果写 $OUTPUT_DIR/result.json，大文件产物由 runner 统一上传 MinIO。作者只需 serve({capabilityId: handler})，I/O、错误归一、退出码全由 SDK 兜底。

9.2.4 参考实现：deck（演示文稿）

17 种版式（title / section / bullets / kpi / twocol / process / chart / statement / agenda / compare / timeline / composite / scorecard / matrix / gantt / pillars / figure）+ 行动标题 + 4 套设计语言。同一 DSL 出 HTML 预览和可编辑 .pptx 导出（预览 = 导出一致，不出现”预览好看导出崩”）。PptxGenJS 母题优雅降级。

9.2.5 已有 PPT 风格继承

导入已有 .pptx：内容在服务端解析，风格由插件提取 theme1.xml 的配色 + 字体成一套设计语言，只换色字体、保住平台排版质量——客户品牌资产可继承。

9.2.6 pharma-doc（医药合规示例）

药品随货同行单识别插件：VLM 提取 12 字段 → 插件做确定性规则校验（批准文号格式 / 生产日期 < 有效期 / 有效期 > 今天 / 数量 > 0 / 必填）→ 绿 / 黄 / 红彩色复核预览。零模型调用的校验层幂等可测可审计，人工只在 <1% 才介入。

9.3 差异化

• 一份能力契约，两个消费者：同一 capability 同时暴露给 AI（function-calling 工具）和人（slash / 表单 / 预览），同一输入逐字节相同；
• AI 负责提取与内容，规则引擎负责确定性校验：结果幂等可测可审计；
• 设计 Token 驱动渲染：预览 = 导出，换语言 = 换 token 文件，引擎零改；
• 韧性与诚实降级：单页坏 → 占位页不毁整份；拿不到数据显示「—」，不编造。

10. codex-build —— 编码引擎

一句话：TUEO 的编码内核——让 AI 员工”真干活、真产出”，不再是自述式 agent，而是带企业身份边界与可审计留痕的真实编码执行引擎。

10.1 定位

codex-build 是 TUEO 全平台的统一执行引擎，充当 AI 开发团队的编码内核。它替换掉服务端与桌面端此前各自手搓的三套 agent 循环（约 13,300 行）。

架构分工一句话：引擎负责”怎么干”（真实读代码库 / 改文件 / 跑 shell / 搜网 / 长任务 / 子代理），Server 负责”能不能干、干什么、留什么痕”（身份、授权、上下文、凭据、审计），Desktop 负责”看得见、点得动、本地碰得着”（结对与渲染）。

引擎原生交互与自带登录能力全部被锁死，只保留受管入口——它是被 TUEO 平台”驯化”成企业执行器的一等公民运行时，而非一个独立终端产品。

10.2 核心能力

10.2.1 真实编码执行（非叙述式）

从”声称做了”到”真做了”：agent 在真实仓库工作区内克隆 → 读码 → 改文件 → 跑测试 → 提交 → 推送 → 出 MR，产出真实文件 / diff / 分支。内建工具族：read_file（含 image / pdf / pptx / metadata 解析器）、search_replace、bash、grep、list_dir、monitor、scheduler、todo、web_search / web_fetch。

10.2.2 理解代码库

构建并导航大型代码库结构：代码索引（index_manager + languages + scope_graph）、工作区管理（folder trust + 文件系统通知）、上下文包（Context Pack：角色 / 约束段 + 工单 spec / plan / AC + 模型路由）随任务物化注入工作区。

10.2.3 受管运行时（ACP 嵌入式）

以 Agent Client Protocol（stdio JSON-RPC）被 desktop / executor 驱动，可长会话、实时事件回流、权限与审批弹卡。扩展方法实现请求权限、询问用户、子代理同意、文件夹信任——全部由桌面端弹卡并回传。

10.2.4 子代理协作（引擎级硬闸门）

主代理可按任务复杂度并行 / 嵌套启动子代理，但任何首个子代理 spawn 前必须经过引擎级 consent 硬闸门。不变量：只问一次、逐用户请求失效、不授予工具能力——把”是否采用子代理协作”变成企业每次请求的可确认决策，不靠提示词。

10.2.5 MCP 业务能力接入

引擎作为 MCP client 消费服务端 tueo MCP Server：工单 / 应用 / 连接器 / 知识 / 承诺 / 附件 / 消息单一出口进引擎。业务能力不散落在引擎侧，凭据不下放客户端。

10.2.6 企业身份边界

原生 API key / 自带账号登录 / 交互终端 / headless / 中继 / 会话历史执行全部永久禁用，模型执行受管入口 = ACP + identity。会话写 owner sidecar（0600，issuer / tenant / subject），new / load / prompt / cancel 全部 fail-closed，杜绝跨租户会话接管。

10.2.7 凭据不出服务端

引擎不持任何模型商密钥，只持服务端签发的短时效会话票，经引擎网关转发真实模型。真 key 一次不离开服务端进程内存。

10.2.8 视觉与语音多模态

纯文本主模型收图 / 收音频不报错：图片经辅助视觉模型转描述（禁止回退原图给主模型），语音经引擎内置语音运行时处理（流式听写 + 合成）。模型路由永远由服务端决定，客户端无法点名任意模型。

10.2.9 沙箱与进程隔离

内置多档沙箱 profile + deny glob + 断网策略。多租户共享同一安装互不可见：Linux user + 独立 home（所有用户态数据路径）+ Bubblewrap，每个租户的引擎数据落在各自独立目录。

10.2.10 Folder Trust 信任门（代码执行面红线）

带 hooks / MCP 配置 / 环境配置的克隆仓库默认不被加载执行（否则 = 克隆即远程代码执行）。编译期版本戳：未打戳的构建 folder trust 静默失效，发布必须经发版脚本 + 红线验证（带 hooks 仓库必须弹信任询问，否则不许发）。

10.2.11 上游可追溯治理（fork 健康度）

TUEO 对上游的改动用补丁账本 + 来源等价性验证 + 分层定制约束管理：TUEO_UPSTREAM.toml 钉上游 commit SHA、源码归档等价性校验（file_count + manifest_sha256 + status=passed）、CI 强制元数据一致。任何时间可回答”这段代码来自哪个上游 commit、是哪条补丁改的、能不能回滚”。

10.3 差异化

• 从”自述式 agent”到”真实执行”：产出真实文件 / diff / MR，编码交付可信；
• 一个编码引擎统一全平台：消灭桌面 / 服务端三套手搓 agent 循环；
• 企业信任四件套：身份边界、凭据不出服务端、子代理 / 权限 / 文件夹信任三重确认卡、可审计留痕；
• fork 治理是卖点：每个补丁有账本、每次发版有来源等价性校验、可回滚——私有化客户敢用；
• 多租户进程隔离 + 单二进制交付，离线 / 私有化部署可直接落地；
• 狗粮工程：AI 开发团队正用这个引擎开发 TUEO 自己的产品。

11. console —— 智能基座运营层 · 私有化交付与运维

一句话：智能基座的运营层——裸机一键装成 TUEO 生产环境，之后一个界面运维全部服务与中间件。

11.1 定位

console（TUEO Console 运维平台）是智能基座的运营层，也是”交付与运维底座”：上承全部产品线，下管 k3s / Harbor / CNPG / 中间件。新系统、老系统、AI 系统，一个入口运维整套体系。三件套构成完整生命周期——console = 私有化安装器 + 站内运维中枢（部署编排 / 配置中心 / 状态墙 / 日志 / 备份 / 升级 / 审计），tueo-ci-images = 两层不可变离线 CI 镜像，tueo-build = 编码引擎源码与发版管线。基座（db / redis / k3s / MinIO）也是由它运维管理的被管对象——连自己都是被管对象（自升级只换镜像、创世清单永为 SSOT）。

11.2 核心能力

11.2.1 服务目录 SSOT（manifest）

把分散在多处的注册表收敛成单一声明式服务目录（11+ 服务：ops-console / postgres / redis / minio / identity / cohort-server / executor / studio-api / studio-web / capabilities-api / cohort-desktop / skillplugins），静态拓扑单一真值。加产品线 = 加一条 JSON + PR，零代码。

11.2.2 三 driver 部署编排（local-dev / compose / k8s）

同一域模型下三种运行时分域：本机原生进程、单机 Docker、客户既有 K8s。一套平台既管本地开发又管客户单机与既有集群；客户无 K8s 也能装（自带 k3s 底座）。

11.2.3 镜像晋级门 + 一键部署（构建仓 → 运行仓）

CI 只把镜像推到构建仓；平台在集群内经 Harbor pull 复制把 tag 晋级到内网运行仓，等 tag 到位后再 apply + rollout。产品仓 include 一条模板即获得 build-image + deploy-prod 的完整生产管线，镜像从联网构建仓到内网运行仓自动晋级，零手工。

11.2.4 配置中心（密钥 AES-GCM 落库 + 版本回滚）

普通配置声明式渲染、密钥密文入库（AES-256-GCM，主密钥）、版本快照可回滚，密钥永不进 git。支持本地 AES / Vault 双后端。

11.2.5 私有化运维生命线

装前体检（全面 preflight 断言）、全库备份恢复、气隙远程支持诊断包、备份优先的升级迁移。备份优先 + 回滚点 + 升级史——客户现场真出事时有备份可恢复、有诊断包可远程救。

11.2.6 状态墙 + 数据运维面板

运维人员在 Console 一个界面运维全部受管工作负载和中间件：不用 kubectl、不记子域、不裸奔数据端口。PG / Redis 永不开公网 ingress，重操作走按需临时安全隧道（短 TTL + 审计）。

11.2.7 离线更新导入（.tueoupdate 验签 + 预检 + 目录转发）

平台作为离线更新分发中枢：.tueoupdate 包 Ed25519 官方验签 → 预检兼容门 → bundle 段转 capabilities 导入、image 段 skopeo 装进 Harbor。验不过 / 无签名 → 拒绝。

11.2.8 平台自升级（dogfood，只换镜像）

运维平台部署自己：创世 bootstrap 手动一次，之后 push main 自动 build → promote → 换镜像 → 轮询 /api/version 收敛。升级只动镜像 tag 不炸创世清单（PVC / 主密钥 / ConfigMap / 网关全保留）。经典自管平台模式。

11.2.9 可复现 CI 基础镜像（供应链安全）

两层不可变离线 CI 镜像：lock 钉死全部输入（基础镜像 digest + Debian snapshot 时间戳 + name=version apt 包 + 二进制 checksum），构建可复现、离线、带签名和 SBOM。普通 MR 零联网零下载，构建凭据只存在于受保护 runner——供应链攻击面最小化。

11.2.10 私有化部署套件（可重放 kit）

从裸机装成 TUEO 生产环境的一套可重放脚本 + 清单：填一份站点清单按 00 → 60 顺序执行，可重放、无需手敲 SSH。TUEO 用同一套套件自用硬化（dogfood）。

11.3 差异化

• 私有化主线而非 SaaS：每客户一套独立单站点隔离安装、离线 / 气隙默认、一键装、离线 bundle + license 交付；
• 反过度设计：不上 Argo / Vault / Loki 全家桶，工具重量匹配问题规模；
• 服务目录 = manifest 文件 SSOT：根治”DB 是真值、文件 seed”的反复漂移病根；
• 真 dogfood：平台用自己 k8s driver 部署自己、用自己 API 部署真服务到集群；
• 离线更新供应链：.tueoupdate 包验签 + 预检兼容门 + 目录段转发，未签包被拒。

12. engram —— 知识记忆底座

一句话：让 AI 用企业自己的知识回答企业的问题——知识库、对话记忆与知识关联一个底座，越用越准、自己生长。

12.1 定位

engram 是 TUEO 体系的知识 / 记忆单一源（SSOT），承担三类平台级能力：

1. 企业知识库：把制度、文档、流程沉淀为可检索、可验证的企业知识；
2. 对话记忆：日常协作与问答自动沉淀为长期记忆，组织不因使用而遗忘；
3. 知识关联：理解知识之间的联系，支持多步追问——把事实连成判断。

engram 与 identity、inference 并列为三大基础底座，被套件内所有产品消费。它回答的是「你知道了什么、并记得」，与 identity 回答的「你是谁」互为补充。

12.2 核心能力

12.2.1 企业知识库

把制度、文档、流程沉淀为企业知识库，问答直接基于内部资料作答——有据可依、不编造，让 AI 用企业自己的知识回答企业的问题，而非通用知识的泛泛而谈。

12.2.2 对话记忆 · 自动沉淀

日常协作与问答自动沉淀为长期记忆，系统自动归纳、去噪声、消解矛盾——知识库越用越准，自己生长。切换房间、多 AI 协作不各自从头开始。

12.2.3 知识关联 · 多步追问

不仅回答单点问题，还能理解知识之间的联系，支持「先问 A 再追 B」式的多步追问——把事实连成判断，而不是零散的检索结果。

12.2.4 内容安全 · 分级管控

敏感内容分级管控，谁能看到什么、哪些不能外发，可按企业制度灵活配置——越敏感越受控，防泄露于源头。

12.2.5 权限统一 · 全程留痕

知识访问与身份权限统一管理，每次查阅、每条答案都可追溯——部门之间数据严格隔离，各看各的，接同一套身份鉴权。

12.2.6 轻量部署 · 数据不出域

部署轻、占用小、中文优先，企业知识始终留在企业内部——数据不出域，越用越懂企业，完全离线可部署。

12.3 差异化

• 三合一底座：知识库、对话记忆、知识关联一个底座贯通，而非拼装多个单点工具；
• 越用越准：自动沉淀让知识库自己长，「数据不出域、知识会积累、换不掉」是可感知的销售故事；
• 私有化轻量：部署轻、单底座、中文优先，全踩 ToB 私有化点；
• 被全产品消费：cohort 的 AI 员工用它的记忆做决策，studio 编排的应用用它的知识库接地回答。

13. inference —— 算力与模型服务

一句话：让企业私有 AI 基础设施有一个算力与模型的统一控制平面——异构算力统一纳管、模型服务带治理、一个闭环可核可回滚。

13.1 定位

inference 是 TUEO 体系的算力与模型服务底座，承担三类平台级能力：

1. 异构算力统一纳管：不同厂商、不同型号的加速硬件在一个控制平面里管理，各池独立运营；
2. 标准模型服务：提供业界标准的模型调用方式，现有应用几乎不改就能接入；
3. 算力治理闭环：模型、部署、训练、配额、用量与审计一个控制平面，成本心中有数。

inference 与 identity、engram 并列为三大基础底座。它是整套体系模型调用的统一入口——各产品不再各接各的模型服务。

13.2 核心能力

13.2.1 异构算力，一个平面

不同厂商、不同型号的加速硬件在一个控制平面里统一管理——各池独立运营、互不干扰，算力状况透明可见，不把异构资源混为一谈。

13.2.2 标准模型服务，开箱即用

提供业界标准的模型调用方式，现有应用几乎不改就能接入——底层是哪种硬件，应用无感知，屏蔽运行时差异。

13.2.3 模型全生命周期管理

模型的接入、上线、升级、扩缩与回滚全流程管理——运行中的服务稳定不中断，变更可控、可回退。

13.2.4 模型训练，受管任务

模型微调与训练作为受管任务运行，与在线服务同平台管理、进度可见——告别临时脚本，训练产出统一归档。

13.2.5 访问治理 · 配额 · 审计

谁能调用、调多少、花了多少，统一接入身份与权限——每次调用可归因、可计量、可审计，成本心中有数。

13.2.6 离线交付 · 现场验收

支持完全离线的安装、升级与回滚，现场提供诊断与验收——气隙环境也能交付，算力能力落地有保障。

13.3 差异化

• 算力也进机房：不只是应用装进机房，模型服务与推理也部署在客户机房——数据与模型零外呼；
• 异构诚实：不同硬件各池独立，不伪装成统一资源池，算力状况透明可见；
• 一个闭环：模型、部署、训练、配额、用量、审计一个控制平面，可核对、可观测、可回滚；
• 被全产品消费：cohort 与 studio 的 AI 应用经它调用模型，engram 的知识问答靠它提供算力。

14. 一次调用的完整旅程

从一句话到受控地真执行，一个工单的完整旅程：

① 人在 cohort 群聊：@工程 AI 「帮我修这个 bug」
   ↓ coordinator 路由（服务端职责打分 + LLM 仲裁 + 审计）
② AI 开发团队分诊：意图识别 → DoR（AI 自补复现步骤）→ TriageService 派单
   ↓ passport 门 + 工具白名单强校验
③ 工单状态机：triaged → spec → plan → coded → reviewed → tested → merged
   ↓ 编码执行（executor 沙箱 / 本地结对）
④ 引擎真改代码、真跑测试、真 commit；视觉自验证
   ↓ MR 由 cohort 用 GitLab API 开 → Code Review → Merge 门
⑤ 成果回填工单、回投会话线程；AI 复盘写入长期记忆

全程由 identity 鉴权、capabilities 治理（若调用了第三方能力）、executor / 引擎隔离、审计留痕——AI 越强，边界越清晰。

15. 跨产品设计原则

TUEO 不是一个各管各的产品集合，而是一个有统一设计哲学的系统：

生产 / 消费二分是全体系最核心的架构裁决：谁持有”能力的真相”（capabilities），谁只是”消费能力”（cohort / studio）——不越界、不平行世界。

SSOT 收敛是全体系第二核心：组织目录 → identity，AI 员工名字 → identity，AI 员工职业档案 → registry，能力 → capabilities，消息 → cohort，执行 → executor，编排 → studio，交付 → console。每个边界都有单一真值，消灭”两处各有一份、慢慢漂移”的缺陷根因。

16. 安全与合规体系

14.1 纵深防御

14.2 可证明的审计

• identity：per-tenant SHA-256 contentHash + prev_hash 哈希链，篡改（插入 / 删除 / 重排 / 改行）可检测；
• cohort：20 类审计事件服务端收口 + 管理员 Web 控制台可查 / 保留 / 归档；
• studio：run-trace 事件日志（append-only）投影审计，每条可”回放”回到运行轨迹；
• capabilities：一等不可变审计表（迁移只授 SELECT + INSERT，不可篡改）；
• executor：全操作审计 + CloudEvents 事件外发。

14.3 多租户隔离

全平台统一模型：identity 的 token 写明租户 → 各产品 RLS 物理隔离 → fail-closed（拿不到租户直接拒绝）。一套系统可服务多租户 / 多部门，租户间 0 泄漏。

17. 私有化与离线交付

15.1 交付形态

• 离线 bundle + license：整套体系打成离线 bundle，签名 License 激活，支持完全断网运行；
• 自带 k3s：不依赖客户已有 K8s 集群；也可纳管客户既有集群专属 namespace；
• 单域一体机：单外部域 + 路径路由，所有产品同源，一份会话标准 OIDC；
• 数据不出企业：模型走客户自管网关 / 本地模型，密钥不出客户网络，全程可审计。

15.2 气隙供应链

• 可复现 CI：两层不可变离线镜像，构建零联网、带签名和 SBOM；
• 受控更新：.tueoupdate 签名包（Ed25519 验签 + 预检兼容门 + 目录段转发），未签包被拒；
• 离线激活：签名 License 零联网激活 + 软节点锁 deploymentId。

15.3 运维可及性

一个入口运维全服务 + 中间件：配置 / 日志 / 状态 / 部署 / 备份 / 升级 / 审计，全部在运维平台一个界面。数据端口不裸奔，重操作按需临时安全隧道。

18. 适用场景与客户价值

16.1 目标行业

高复杂度、高治理、高实时协同的行业：制造（合同履约）、金融（风控流程）、医疗（敏感协同）、政务、公安、能源、物流、零售、教育、法律。

16.2 典型客户画像

• 主要：已有数字化系统、要把 AI 进入组织运行的中大型企业；已有 AI 但缺执行 / 安全 / 恢复层的企业；
• 次要：想做企业 AI 平台试点的部门级客户。

16.3 客户价值

19. 现状与路线

以下为 2026-08 的现状。十产品已全部投入生产运行；持续迭代中的增强功能在相应产品条目后标注。

17.1 已实测的完整闭环能力

以下能力均在真实环境中运行验证，可放心对外宣讲：

• AI 开发团队 dogfood 闭环：工单 → Passport 门 → LLM 分诊 → 真编码 → LLM 评审 → 真 GitLab CI → 失败自动修复 → 真合并 → 自动部署 → 探活 → 回滚。TUEO 用自己的 8 个 AI 员工开发自己的 5 个代码仓库；
• AI 运维老系统：ai-ops 运维 AI 经 MCP 接入，承载告警 / 巡检 / 容量看护 / 本地多步执行计划，辅助传统系统运维；
• 能力统筹（System-as-Capability）：把 OA / ERP / CRM / MES 等既有系统接成可被 AI 调用、授权、审计、计量的能力，与能力平台网关融合；
• studio 编排引擎：11 类节点 + 事件溯源 + 持久暂停-恢复已生产运行，作为智能基座定义层的编排心脏；
• 能力平台消费端收口：cohort / studio 均经 SDK / S2S 消费能力平台（安装门 / 付费门 / 范围门 / 凭据注入），消费端不再直连执行底座。

里程碑：私有化交付是宪法主线；十产品已全部生产运行；AI 开发团队用 TUEO 自己的产品开发 TUEO（dogfood）已是常态；智能基座的完整闭环（定义 → 开发 → 测试 → 投产 → 运维 → 能力复用 → 统筹）已在真实环境跑通。

附录 C · 名词表

TUEO —— 让 AI 成为你组织的正式员工。