越是能真执行的 AI，越需要硬边界与可恢复。
一个 job 契约通吃三种活法：python 代码包、任意 shell 命令、自备容器镜像。大入参溢出到文件，AI 应用零适配接入。
每笔 job 独立 Pod：无特权、只读根文件系统、Capabilities 全 drop、seccomp 默认。用户代码按不可信对待。
五级优先级 + CRITICAL 可抢占 + 全局 / 租户并发配额 + 宿主水位三重背压。关键任务不排队，单部门占不满全局容量。
回调是优化、对账是兜底：每 30s 主动向 K8s 问真值，runner 崩了、Pod 被驱逐，任务也能推向终态，不卡死。
有向无环图表达依赖与并行，失败可定点重跑（增量 / 全量），上游失败快速取消下游——复杂流水线可表达、可排障。
job Pod 注入最小权限 MinIO 凭据；回调 URL 内嵌每 job 专属 HMAC token——即使某个 job 被攻破，也限定在 bucket 内、无法越权改写其他 job。
所有资源绑租户，拿不到租户直接拒绝而非放行全部；沙箱属主 = job 租户，异租户一律 404——越权不会静默发生。/p>
所有生命周期操作留审计；业务操作与事件同事务落 outbox，异步投递 CloudEvents 给 CI / 通知 / 计费，业务不阻塞。
克隆 → 改码 → 自测 → 推送，护照门禁锁死编辑区；视觉自验证 = 真浏览器截图 + 视觉模型看图判定，不是 jsdom 猜。/p>
执行层是四道防线真正落地、强制生效的地方。
破坏性命令识别并强制审批，不免审通过。
能执行什么，取决于 AI 的成长等级。
K8s + unshare，副作用关在受控边界内。
每一次执行留痕，事后可复盘、可追责。