TUEO 產品白皮書

1. TUEO 是什麼

TUEO 是面向企業的私有化 AI 協同平台 —— AI 作為組織的正式員工（有崗位、職責、成長軌跡、行為邊界與長期記憶），在客戶自有環境裡與人共同營運業務。

這不是一句口號，而是一套已經落地的產品體系。TUEO 由十個產品組成，覆蓋了讓 AI「進編制」所需的一切：

• 身分：AI 員工與人類員工同一張花名冊、同一套登入、同一套權限；
• 知識記憶：AI 的知識庫與記憶有一個底座，越用越準、自動整理自我生長；
• 算力與模型：異構算力統一納管、模型服務帶治理，一個控制平面閉環；
• 協同：AI 員工像同事一樣進群聊、跑工單、主持例會、沉澱組織知識；
• 編排：業務人員用對話把流程編排成 AI 應用，發佈後被組織呼叫；
• 能力：AI 能呼叫的每一項技能都被市場化治理——採購、授權、計量、憑據；
• 執行：AI 真正動手幹活的地方被關進隔離沙箱，可審計、可排程；
• 編碼：AI 開發團隊用真實的編碼引擎改程式碼、跑測試、出 MR；
• 交付：整套體系裝進客戶自己的機房，支援完全斷網運行。

TUEO 的核心判斷是：企業 AI 的下一個階段不是「更聰明的對話」，而是「能進組織運行的員工」。AI 需要崗位、需要邊界、需要成長、需要被審計——這些恰好是組織管理一個真人同事時會做的事。TUEO 把這套機制工程化，並私有化交付。

1.1 第二層定位：企業資訊化智能基座

「AI 進編制」是第一層定位，講的是AI 幫你跑業務。TUEO 還有第二層定位，講的是企業整個資訊化的底座：

AI 編程時代，企業資訊化真正缺的不是更多系統，而是把系統的「定義、生產、維運、更新、統籌」串成一個完整閉環的智能基座。TUEO 就是這個基座——以任務驅動定義系統（而不是開發系統），讓企業已有能力被重用、被 AI 化，並在一個自維運的底座上持續運行。

對外敘事順序是：先講清楚「是什麼基座」，再落「AI 員工在基座上怎麼幹活」。

• 定義層 —— 任務驅動定義系統：studio 編排 + cohort 工單流水線 + executor 執行。業務描述任務，AI 分析、分派、開發、測試、交付；
• 統籌層 —— 能力 AI 化、治理系統孤島：capabilities + skillplugins + identity。把 OA / ERP / CRM / MES 這些已經存在的系統登記成能力、授權、憑據託管、被 AI 安全呼叫——不取代你的系統，而是讓你的系統第一次變成 AI 能呼叫、能授權、能審計、能量計的能力；
• 營運層 —— 資源管理、應用部署發佈、維運：console + executor。新系統、老系統、AI 系統，一個入口維運整套體系。

基座 = 不取代你的系統，而是讓你所有系統都在這套底座上被定義、被組裝、被維運、被 AI 化。

1.3 核心哲學（五條）

1.4 三個「不賣」

• 不賣對話機器人 —— 那是 AI 員工的最底層形態，不是產品；
• 不賣單點 AI 工具 —— 不是 Dify / Coze / n8n 的「再寫一遍」，賣體系不賣組件；
• 不賣「能回答」 —— 我們賣「能回答且能運行、能治理、能落地」。

2. 要解決的問題

2.0 時代命題：從「資料孤島」到「系統孤島」

AI 編程有兩面：好的一面是造系統的成本趨近於零，「開發」不再是稀缺資源；新問題是系統數量爆炸、AI 生成的系統野蠻生長——沒人負責維運、沒人負責更新、沒人把它和已有系統打通。

資料孤島是「讀」的難題——資料可複製、可搬運、可集中，ETL / 數倉 / 資料中臺打了二十年仗，基本治住了。但把資料搬進湖裡，系統並不會開口：AI 需要的不只是讀到資料，而是登入系統、知道系統有什麼能力、安全地在系統裡執行動作、為每次動作留審計——這是「動」的難題，資料治理從未解決過。

兩頭都是孤島：傳統老系統還沒 AI 化（跑在機房、沒人懂、沒人敢動）；AI 新系統沒人管理維運（造得出來、養不起來）。系統孤島比資料孤島更難治——系統是活的、有爆炸半徑，你不能把一套 ERP 搬進湖裡，只能讓它活著、被安全地呼叫。

TUEO 的答案，是軟體開發的完整閉環：業務提出需求 → AI 分析成任務 → AI 團隊開發 → 測試 → UAT → 投產 → 持續監測維運 → 先盤點已有能力、能重用不重開發 → 能力統籌 → 回到需求。核心思想：以任務驅動定義系統，而不是開發系統。

在此基礎上，企業在讓 AI 進入實際業務時，還普遍遇到四個斷層：

2.1 能回答，不能運行

通用大模型應用只能「回答」，無法在企業的真實環境裡幹活：改系統裡的資料、對接既有系統、執行程式碼、產出真實檔案。企業要的不是一個更聰明的助手，而是一雙真正能落地的「手」。

2.2 AI 是工具，不是員工

大多數企業把 AI 當工具接入某個系統：一個客服機器人、一個寫作助手。沒有崗位、沒有職責邊界、沒有成長軌跡、沒有長期記憶、沒有行為審計。一個「沒有身分」的 AI 無法被組織管理，也無法承擔持續的業務責任。

2.3 有決策，沒有執行層

即便 AI 能給出正確的判斷，誰來真正執行？直接在業務系統裡執行 AI 的程式碼是危險的——需要一個隔離的、受控的、可審計的執行層，把「使用者程式碼不可信」當作預設前提。

2.4 有 AI，沒有治理與審計

金融、政務、醫療等強合規行業，每一步 AI 決策都需要可追溯、可重放、可審計。而大部分 AI 平台把審計當作事後補丁，把權限散落在各個產品裡，把模型金鑰埋進用戶端——這些都無法通過合規審查，更無法私有化交付。

TUEO 用一個十產品的體系，一次性解決這四個斷層。

3. 產品體系總覽

3.1 十個產品，一個體系

3.2 分層結構

消費端      cohort-desktop（Electron 桌面用戶端）· cohort-server 管理後台
───────────────────────────────────────────────────────────
體驗層      cohort（協同核心）· studio（應用編排）  ← 人與 AI 共同工作的地方
能力層      capabilities（能力市場 · 呼叫閘道）    ← 一份能力契約，兩個消費者
執行層      executor（沙箱執行）· codex-build（編碼引擎）← AI 真正動手幹活的地方
───────────────────────────────────────────────────────────
基礎底座    identity（身分 SSOT）· engram（知識記憶底座）· inference（算力與模型服務）← 橫切支撐以上全部
維運底座    console（智能基座營運層 · 部署 / 中介軟體 / 私有化 IDP）
生態        skillplugins（外掛程式原始碼 + @tueo/plugin-sdk）

3.3 資料流與職責邊界（誰是真值）

3.4 整合矩陣（行呼叫列）

4. identity —— 身分地基

一句話：全平台統一的身分地基——一個帳號進所有產品，一張 token 寫明你在哪個租戶，一份目錄管住人類員工和 AI 員工。

4.1 定位

identity 是 TUEO 體系的身分單一源（SSOT），承擔三類平台級能力：

1. OIDC IdP：標準 OpenID Connect / OAuth 2.0 授權、權杖、會話、聯邦、多租戶；
2. 組織目錄單一真值：組織架構 + 人 + 任職關係，全平台通訊錄的 SSOT；
3. 授權判定中心：RBAC 角色收斂為三檔，判定邏輯收回 identity，下游產品不得持有角色資訊。

identity 的設計判據是：「換一個產品還成立嗎」。它只做平台級身分能力，不承載任何單產品業務邏輯。

4.2 核心能力

4.2.1 OIDC IdP（ES256 + PKCE + 權杖輪換）

基於標準的 OIDC 授權伺服器實作：authorization code + PKCE 登入、ES256 簽名的 JWT access token、refresh token 輪換（RFC 9700）、RFC 8628 Device Flow、RFC 7662 introspection、JWKS 輪換。簽名金鑰加密落庫、支援多副本熱重載。access token 採用嚴格最小 claim——profile 一律經 /userinfo 查權威，避免 token 膨脹與權限漂移。

4.2.2 套件級 SSO（RFC 8693 權杖交換）

六產品一次登入的黏合劑：用 identity 根 token 換取 aud=<產品> 的使用者 token，studio / executor / capabilities 直接進入，免二次登入。兩道安全門：subject token 必須是現役根 token；audience 必須在第一方產品白名單內——交換只做同使用者+第一方產品的橫向或降權，持證不升權。

4.2.3 降權最小權限權杖

給半可信執行體（AI 引擎子處理程序、本地編碼引擎）簽發最小權限權杖：單獨 audience + 單一功能 scope + 短 TTL。引擎持有的最壞憑據從「模型商金鑰 / 使用者全權限 token」降到「一張只能燒本租戶額度、15 分鐘過期、按 audience 綁死路徑的票」——每個爆炸半徑單獨一張票。

4.2.4 組織目錄單一真值

組織架構樹 + 成員任職關係 + 人員檢索全部由 identity 提供。樹用 ltree 儲存，任職關係由 user_org_memberships JOIN users JOIN org_nodes 組合，position_title 職稱長在任職關係上。全平台通訊錄 100% 由此構建，改人只改 identity 一處，桌面 / 伺服器端 / Matrix localpart 全平台跟隨。

4.2.5 RBAC 角色收斂 + scope 宇宙

全平台只有 platform_admin / tenant_admin / member 三個角色名，11 個歷史舊名經別名表歸一。scope 從角色目錄程式化派生、統一消費（曾因 5 處手維護 scope 導致被靜默剝掉的坑）。加新產品 = 加 catalog 一行 + 掛 scope，零下游改動。

4.2.6 租戶切換 = 重簽 token

「我在哪個租戶」只有一個真值——token 自己。切換 = 帶租戶 hint 重走授權，identity 校驗後重簽 token；每次簽發重新校驗授權，角色被撤 / 租戶被刪立刻退回 home。只驗 token 的消費點（如 WebSocket 閘道）自動正確，不會漂移成越權。

4.2.7 SCIM 入站供給

標準 SCIM（RFC 7643/7644）實作落在 /scim/v2/*，外部 IdP（Okta / Azure AD）按標準接入。每個租戶用靜態 bearer token 定死 tenantId，跨租戶不可能。使用者 / 組 CRUD、過濾器算子、externalId 對帳、同步日誌與失敗審計。

4.2.8 可追溯審計（密碼學雜湊鏈）

每一次身分 / 授權 / 目錄變更都進審計，且行與行之間用 SHA-256 contentHash + prev_hash 雜湊鏈鎖定——插入、刪除、重排、改行都能被 verifyChainIntegrity 偵測。審計保留策略按租戶可配（預設 90 天），匯出附雜湊校驗。

4.2.9 使用者自訂欄位治理 + 敏感資訊加密

租戶管理員宣告欄位 schema（類型 / 必填 / 校驗 / 敏感 / 可搜尋）。敏感欄位（如身分證號）與普通欄位實體分離：非敏感入 metadata，敏感入獨立表、AES-256-GCM 加密儲存、去識別化回傳、明文讀取留痕——滿足 PIPL 對敏感個人資訊可追溯的硬要求。

4.2.10 管理控制台

覆蓋組織 / 使用者 / 角色 / 審計 / 租戶 / SSO / SCIM / 自訂欄位 / 會話 / Webhooks / API Key / 品牌，按 TUEO 平台設計系統（紙 / 墨 / 青玉 / 朱砂）落地，支援多語言與白標。

4.3 差異化

• AI 員工與人類員工同一套身分：users.type='ai_staff' 一等使用者類型，同編、同目錄、同尋址；
• 授權判定收回 identity：競品把「誰算管理員」散落在各產品，identity 只在一處；
• 可證明的審計：雜湊鏈讓「誰幹了什麼」可驗證、可查偽；
• 私有化可交付：單域一體機 + setup 向導 + 金鑰由維運設定中心管理，完全離線可部署。

5. cohort —— 協同核心（旗艦）

一句話：讓 AI 成為你組織裡的正式員工——人類與 AI 同事在同一個工作區裡共事、共成長、共同交付。

5.1 定位

cohort 是 TUEO 的旗艦產品，由伺服器端（cohort-server，NestJS 11 + Fastify + PostgreSQL）與桌面端（cohort-desktop，Electron 三處理程序）構成。它承載「AI 員工工作空間」的全部業務邏輯：AI 員工實體註冊表、群聊多 AI 協同、認知循環、工單流水線、組織知識圖譜、會話記憶、週會編排、審計留痕與多租戶隔離。

伺服器端是資料 SSOT，桌面是瘦用戶端——企業資料不散在用戶端。

5.2 核心能力

5.2.1 AI 員工實體化（AiStaffRegistry）

AI 員工是「有在編身分、有職業檔案」的一等實體，JOIN 兩層 SSOT：

• identity 花名冊：在編身分 / 真名 / 部門 / 職稱，與通訊錄同源；
• cohort ai_staff_profiles 職業檔案：roleLabel / workMethod / toolPolicy.allow / leadKinds / ownedCapabilities / responsibilities / persona 人格卡。

全流水線只讀這一個 registry。加 / 刪 / 改 AI 員工只改 identity（+職業檔案）一處，通訊錄、工單分診、能力路由、播報署名全線跟隨，零程式碼改動、零名字字面量。identity 刪 → 全線消失。

5.2.2 群聊多 AI 協同（coordinator）

群聊裡一條人類訊息該由哪個 AI 員工接，由伺服器端裁決（coordinatorJudge = SSOT）：

• 快路徑：無 AI→不接；@提及→必回；DM 人類→自動回覆；AI 發言→防自答成環；噪音 / 純 emoji→不接；
• 慢路徑：群聊 + 人類 + 期待回應 → 用 AI 員工真實職責檔案做確定性職責打分（零 LLM 成本），多候選接近時 LLM 仲裁，再退秘書兜底。

每次判定寫審計（coordinator.dispatch_judged）。群聊永遠「必有一個負責人接話」且不刷屏，路由依據是真實職責檔案而非寫死名字。

5.2.3 AI 員工認知循環（感知→思考→行動→復盤→等待）

每個 AI 的每次決策都跑完五階段認知循環：

1. 感知 Perceive：讀取會話、訊號與組織上下文，先過原則閘門（principleEnforcer.check('perceive')），deny 直接寫拒絕工件；
2. 思考 Think：融合長期記憶檢索 + 經驗規則 + 專案上下文，調 LLM 輸出結構化意圖；LLM 不可用時規則式降級；
3. 行動 Act：高風險行動需人確認；
4. 復盤 Reflect：LLM 反思寫回記憶，驅動自我進化；
5. 等待 Wait：進入下一輪訊號監聽。

全流程 phaseTimings 計時、可觀測可回溯。

5.2.4 工單系統（意圖 → DoR → 分診 → Agent 執行）

從一句聊天訊息到 AI 開發團隊真實幹活的全流水線：

1. 意圖辨識：LLM jsonMode + 校驗，辨識 bug / feature / incident；
2. DoR 受理：按 severity 分級受理，AI 可自補——用 LLM 把中文工單轉程式碼檢索詞、本地 ripgrep 真檔案定位重現步驟，絕不編造；
3. 分診：passport 閘門 → LLM 推斷 assigned_role / priority / AC → 派到 dev_team_room；可分配角色由 registry 動態注入；
4. 狀態機：14 狀態 + 轉移矩陣 O(1) 校驗；
5. Agent 執行：5 階段單次 run-role，validateToolList 按 toolPolicy.allow 伺服器端強校驗越權工具。

桌面端用 TriageCard / BuildProgressCard 視覺化，AI 在本地 checkout 的 repo 上真改檔案、真跑測試、真 commit 回填工單。人類訊息還能自動分類建單。

5.2.5 組織知識圖譜（「組織空氣」）

把組織對話沉澱為知識圖：LLM 從訊息中抽取實體 + 類型化關係入 kg_entities / kg_edges（pgvector + 關係表 + 溯源），檢索時 pgvector 餘弦 top-K（租戶隔離）→ 圖多跳鄰居（承諾 / 依賴 / 衝突）→ sensitivity 閘門（預設最嚴，敏感資訊不洩漏）。

知識儲存採用單庫三合一（Postgres + pgvector + 關係表），零雙寫零漂移，氣隙安裝只依賴 Postgres + identity 兩個服務。

5.2.6 會話記憶（個體長期記憶 + 共享 substrate）

每個 AI 有跨房間共享的長期記憶（7 天半衰期衰減、200 條上限），以伺服器端 /cognitive-loop/memory 為權威副本。所有 AI 決策共享同一「會議室狀態」substrate：主線話題 / 已決事實 / 懸而未決 / 未完結承諾。換房間、多 AI 協作不各自 fresh start，組織越用越聰明。

5.2.7 影子 AI 隱形分身

每個真人身後一個隱形分身：學習本人自己發的話（風格 / 語氣 / 長度），對方發來等回覆的訊息而本人 30s 未回時在後台以本人口吻草擬。代發總閘預設關閉，只產生 + 審計，不自動發。代發門控 = 總閘 ∧ 非凍結 ∧ 非保護區 ∧ 信心度 ≥ 信任閾值 ∧ 風險 ≤ L2，按財務 / 客戶 / 技術 / 內部四桶獨立閾值。

5.2.8 伺服器端週會編排

8 名 AI 員工每週結構化彙報 → 討論 → 求助 → 決議的閉環，全部在伺服器端：逐 AI 與會人取證據（近 50 條房訊息）→ 推斷 → 以 AI 真 uuid 署名發言。全員失敗 = 誠實失敗不推進階段並落系統訊息說明真實原因（根治了「LLM 閘道 quota 403 被靜默吞成空會」的生產事故）。週五自動發起。

5.2.9 訊息引擎 + 即時通道

聊天訊息 CRUD、送達 / 已讀、串流 AI 回覆、翻譯全部伺服器端 SSOT 並經 WS 廣播。並發 / 競態 / 跨租戶在伺服器端擋住；翻譯有界（上下文雜湊去重 + 技術字面量 mask/restore + 槽位佇列）。WS 閘道三軸加固（tenant claim 嚴格校驗、jti 撤銷、按租戶滑動視窗限流）。

5.2.10 引擎模型閘道（憑據不出伺服器端）

AI 編碼引擎不持有任何模型商金鑰：引擎的 base_url 指向伺服器端 OpenAI 相容端點，持伺服器端簽發的降權短票（15 分鐘、audience 綁路徑），真 key 由伺服器端按租戶解析並注入。三條硬性質：model 由伺服器端定忽略用戶端、用戶端憑據欄位一律丟棄、上游回應回傳前去識別化。

5.2.11 MCP Tueo Server（業務能力進引擎的統一出口）

把 cohort 業務能力（工單 / 知識 / 附件 / 承諾 / 發言）暴露為標準 MCP 工具給執行引擎，形成「AI 幹活 → 成果回流協作系統」的閉環。

5.2.12 桌面端（cohort-desktop）

• 三處理程序 Electron：主處理程序（OS 整合 / OIDC / IPC / 崩潰自我修復）+ preload（contextBridge 白名單 + 按類別 token-bucket 限流，破壞性通道獨立小桶）+ 渲染處理程序（React 19 + Zustand）；
• 四欄工作區：會話列表 / 訊息區 / 詳情 / WorkspacePanel（文件 Markdown/HTML 互轉 → PDF/PPTX 匯出 + IDE 工作臺）；
• 安全縱深：OIDC PKCE + ES256、三枚降權權杖、CSP enforce、審計單漏斗上收伺服器端控制台、IPC 限流；
• 本地結對：主處理程序直接 spawn 編碼引擎（ACP 協定），檔案讀寫在工作目錄邊界內，權限請求預設拒絕——「人在關鍵關卡把關」不是口號。

5.3 AI 員工的崗位與權限邊界（AI 員工同樣受控）

AI 員工的能力邊界，由崗位、職責與授予的工具權限共同決定，不是由它能做到什麼決定——這是 TUEO 與「通用 AI 助手」最根本的區別之一。

• 邊界怎麼定：每個 AI 員工在職業檔案裡宣告職責範圍與工具白名單（toolPolicy.allow）。identity 管「是誰」（在編身分），註冊表管「怎麼幹活」（崗位 / 職責 / 權限），兩條線共同決定它被允許做什麼。秘書就是秘書——蘇婉是秘書，她不能操作維運伺服器；
• 邊界怎麼守：越權工具在伺服器端強校驗（validateToolList 按 toolPolicy.allow）一律拒絕；感知階段先過原則閘門（PrincipleEnforcer，pattern 命中即裁決）；高風險動作需人審批；每次決策與拒絕都進審計——四道行為防線層層兜底；
• 邊界為什麼硬：人換崗、AI 換崗一樣——改一處崗位設定，能力範圍全線跟隨。AI 員工與人類員工同一套受控邏輯：它強，但只在組織給它的邊界內強。

這一機制讓「AI 越強，邊界越清晰」成為工程事實：一個能寫程式碼的 AI，在沒被授予維運權限時，對維運伺服器的任何請求都會被系統硬拒並留審計——組織對 AI 的信任可以逐級放開，而不用一次賭上全部。

5.4 差異化

• AI 是「組織編制內的員工」而非工具，零名字字面量、名字單一源在 identity；
• 群聊主理人是伺服器端契約而非用戶端啟發式，防自答成環、每次判定留審計；
• 工單不是問卷：DoR 分級受理 + AI 自補，借嚴謹不借官僚；
• 憑據不出伺服器端、審計單漏斗上收、企業資料不散在用戶端；
• 崗位決定邊界：AI 員工與人類員工同一套受控邏輯，越權工具伺服器端硬拒並留審計。

6. studio —— 應用編排平台

一句話：業務人員用對話把流程編排成 AI 在業務物件上認知-決策-行動的應用——BPM 的 AI 原生繼任者，不是又一個工作流畫布。

6.1 定位

studio 是 TUEO 的「編排引擎層 / 智能勞動立法層」：把組織裡的智能勞動（AI 員工 + 連接器 + 人審）編排成可發佈、可審計、可演進的應用，供人 / AI 員工 / 外部 agent 帶信任地呼叫。與 cohort 組合運行：cohort 提供 AI 員工執行時、人審卡片與結果回投；studio 提供結構化編排、驗收發佈閘門與治理護欄。

6.2 核心能力

6.2.1 事件溯源編排引擎

11 類節點（開始 / 結束 / 分支 / AI 認知 / AI 員工 / 人工 / 能力 / 子流程 / 循環 / 等待 / 並行），每條狀態轉變追加一條 append-only run-trace 事件。狀態從事件派生：人工 / 子流程 / 循環 / 定時器 / 並行 / AI 員工全部走持久暫停（處理程序重啟即續跑，零執行緒持有）。支援斷點單步 / 繼續、從失敗步重跑、遞迴防護。

6.2.2 對話副駕（自然語言編排）

業務人說意圖（如「報銷超過 3000 走財務總監審批」），副駕產出高層審批規格，確定性編譯成合法 FlowDef——LLM 只出「判什麼 / 怎麼路由 / 幾級審批」的簡單 JSON，結構由編譯器保證合法，最多 3 次自糾。轉換確定 · 內容智能。

6.2.3 發佈治理：draft/published 版本隔離 + 驗收測試閘門

編排器存草稿，發佈時打不可變 semver 版本快照，線上運行恆取最新 published。發佈前先跑驗收測試套件（樁 AI 輸出 + 腳本人審 + 樁能力，確定性重放），全過才發佈——驗收測試 = 發佈閘門，同時是 L2/L3 回歸安全網。支援回滾歷史版本。

6.2.4 AI 認知決策行動節點

一個原語支撐分類 / 判斷 / 抽取 / 看圖 / 自主調工具：結構化 JSON 輸出契約 + 模型輸出 schema 強校驗、agentic 智能體環（function-calling，每步 tool_call 留痕）、多模態視覺（圖片經視覺模型轉描述）、節點級模型欄位覆寫語義路由。

6.2.5 AI 員工節點 + 人審節點（人機對等 actor）

ai_staff 節點把活派給 identity 在編的 AI 員工（在 cohort 幹），人審節點掛起等人裁決——兩類 actor 各有 SLA、各有組織上級升級鏈。AI 員工不是腳本而是同事，人是流程裡的對等節點。

6.2.6 編排變數模型 obj/steps/sys/env 四作用域

節點輸入映射與分支條件用類型化表達式 AST，資料流確定、可重放、可測試——分支條件不是黑盒 prompt，是可驗收的宣告。

6.2.7 治理脊柱（enforcement 而非展示）

• kill-switch 熔斷：全域 / 按應用一鍵熔斷（423）；
• 配額限流：per-app 運行速率（429）；
• token 預算：單次運行 token 累計超限引擎中止；
• 內容安全閘門：違禁詞 + PII 正則（手機 / 郵箱 / 身分證），mode = off/flag/block；
• 審計：審計日誌從 run-trace 事件投影，可匯出（SOC2 / 等保 / EU AI Act 取證）。

6.2.8 cohort 融合（app-as-tool）

cohort 會話裡把應用當工具：選應用 → 表單卡（精準輸入）→ 起 run 綁會話執行緒 → 結果 / 人審卡回投。表單預填走出處閘門（只填有證據的欄位）；結果卡敘事範本用真實結果替換佔位符（取不到值整段丟棄、零 LLM 零編造）。

6.2.9 設計 tab + 多管道適配

AI 從真實產物欄位產生宣告式積木佈局，後端硬校驗（塊枚舉 + bind 只保留真實欄位 + 陣列塊必須綁陣列欄位，編造一律丟棄）。一次編排、多管道交付：cohort 四欄殼 / 企業 IM（企微 / 釘釘 / Lark 卡片）/ 網頁掛件。

6.2.10 自動化觸發 + MCP 暴露 + 除錯觀測

應用可從手動調 → 定時 / webhook 自動觸發；每個已發佈應用暴露為一個 MCP tool，任何 agent 可調（不建圍牆花園）；SSE 串流除錯 + dry-run 演練 + 節點 Mock 覆蓋 + 斷點除錯。

6.3 差異化

• 不是 Dify / n8n：是「業務物件上的 AI 原生編排」，業務物件類型契約 + 事件溯源；
• 驗收測試 = 發佈閘門：AI 編排像軟體工程一樣品質可控；
• AI 員工是人機對等的 actor：有崗位、有 SLA、有上級升級鏈；
• 治理是真攔截不是展示：熔斷 / 配額 / token 預算 / 內容安全閘門全部在引擎層攔。

7. capabilities —— 能力市場

一句話：企業 AI 能力的 App Store——一份能力契約，AI 當工具、人當介面，從生產、市場到採購、授權、氣隙分發全鏈路治理。

7.1 定位

capabilities 是「能力從哪裡來」的獨立平台層（生產 / 平台），不屬於任何消費宿主。承重牆是生產 / 消費二分：能力平台負責註冊表 SSOT + 市場 + 安裝治理 + 憑據金庫 + 呼叫閘道 + 平台控制台；cohort（聊天 / AI 員工）與 studio（應用編排）都是經 SDK 契約消費的宿主，各自原生介面，絕不反向依賴。

這修復了此前把註冊表 / 閘道焊進 cohort-server 的架構缺陷——studio 曾 env 硬編碼直連 executor 繞過整個平台。

7.2 核心能力

7.2.1 註冊表 SSOT + 發佈生命週期

技能 / 外掛程式的 manifest、版本、狀態單一真值。生產者側 draft → in_review → published / rejected，state（active / archived）正交。.tueopkg 上傳經校驗（semver / 能力宣告 / 載荷完整性）落草稿，原始套件按 sha256 digest 內容尋址儲存。

7.2.2 簽名與信任治理（Ed25519）

manifest 可簽名核 → Ed25519 detached 簽名 → 驗簽推導 official / partner / community 三級信任。跨倉簽名演算法逐位元組一致（drift-lock 測試鎖定）。宣告了簽名卻驗不過 = 竄改 / 冒充，安裝時拒裝。

7.2.3 安裝治理（租戶級）

租戶裝了哪些技能 + 是否啟用。安裝 = 部署態，啟用 = 運行開關，使用者偏好 = 個人開關，三層互不混淆。呼叫閘道前置 assertEnabled 硬閘門。

7.2.4 憑據金庫（租戶級加密）

外掛程式設定：settings 明文 + secrets 密文（AES-256-GCM），閘道 invoke 時解密注入，使用者 / AI 全程看不到 secret。跨宿主（cohort / studio）同源可見。

7.2.5 呼叫閘道（按 kind 分派 + 付費 / 用量焊死）

一次呼叫過安裝閘門 + 付費閘門 + 可用範圍閘門 → 解密注入憑據 → 按 kind 分派：action → executor 沙箱 / knowledge → 直接返內容注入宿主 LLM 上下文（零沙箱零成本）。

★付費閘門與用量記帳都焊在閘道內：任何間接 / 委託呼叫天然過閘門 + 記帳，根治「繞過收費」漏洞。

7.2.6 採購治理閉環

試用 → 申請-審批 → 下單（對公 / 線上）→ 財務確認 → 發票，全程留痕。預算閘門（已用 + 待處理 + 本單 ≤ 上限）、買方自審計派生流（訂單 / 權益 / 申請 / 安裝 / 範圍變更聚合為時間線）。

7.2.7 商業化 / 定價

價長在產品上（Stripe 範式）：營運方對每技能設全域價，可再對某客戶租戶設 B2B 合約價覆蓋。計費範圍鐵律：只買斷或訂閱時長，不做用量 / 席位計費（用量純經營分析非計量）。

7.2.8 權益 SSOT + 訂閱生命週期

「該租戶被授權用某付費技能」單一真值。連網與離線兩條路徑寫同一張表、門控統一讀。到期即失效、定時清掃兜底、到期前橫幅預警。訂閱續訂重走合約 + 發票 + 重簽發。

7.2.9 離線授權啟動（簽名 License 單一 SSOT）

私有化 / 氣隙客戶的付費啟動：簽名 License 檔案為單一信任根，連網只是傳輸層，氣隙人工搬同一檔案。軟節點鎖 = deploymentId（平台首啟產生，防一份檔案複製到多部署，不鎖硬體不惹客戶）。不建線上啟動 / 心跳 / 技術性撤銷（純合約信任）。

7.2.10 氣隙離線分發（.tueoupdate 統一製品）

把技能 bits 送進內網：一個簽名更新套件同時載目錄與平台元件，console 一個匯入口。簽名 manifest 不可變承重牆（bundle 本地儲存走獨立列、絕不 mutate manifest，否則驗簽失效）。預設 bundle-runtime 免映像。

7.2.11 可用範圍 + 用量經營看板

「租戶內誰能用某技能」授權分配（mode = all / departments / users，資料源 identity SCIM）。用量看板回答「能力用得值不值、有沒有浪費和風險」（閒置授權識別 = 有權益零呼叫 = 浪費的錢）。

7.2.12 權限四步閉環

開發者宣告 permission[] → 前端風險分級紅標（網路 / 檔案系統 / 執行 / 金鑰）→ 裝機彈同意框（授予時刻，審計）→ executor 沙箱執行時強制（未授 network 權限用 unshare 網路命名空間真斷網，零出站防外洩）。

7.3 差異化

• 一份能力契約，兩個消費者：同一能力既可被 AI 當工具（executor 沙箱）也可被人當介面（宣告式 / 前端 bundle）；
• 商用閉環原生焊進呼叫閘道：委託 / 間接呼叫天然過閘門 + 記帳；
• 簽名 License 單一授權 SSOT：氣隙與連網同一機制；
• 生產態金鑰 fail-closed：缺官方簽名私鑰 / 金庫主金鑰 / 會話金鑰 / S2S 權杖 → 拒絕啟動（防公開 dev 種子偽造官方簽名與離線 License）；
• 防回撥時鐘高水位 + 訂閱到期全租戶定時清掃，專治氣隙客戶撥表給過期訂閱續命。

8. executor —— 沙箱執行底座

一句話：AI 的雙手——把不可信程式碼 / 命令 / 映像檔放進隔離沙箱，可審計、可排程、可擴縮地替 AI 員工幹出真事，並交回結構化結果。

8.1 定位

cohort（工作空間）、studio（編排）、capabilities（能力市場）負責「決定做什麼」，executor 負責「真正幹出來」——接收程式碼套件 / 命令 / 自備映像，以 K8s Job 拉起隔離 Runner 沙箱執行，回呼結構化結果，全程審計。它是全平台統一的能力執行面，也是信任邊界內「使用者程式碼不可信」的隔離牆。

8.2 核心能力

8.2.1 多執行時沙箱執行（python 套件 / 通用命令 / 自備映像）

一個 job 契約支撐三種執行：python 程式碼套件（pip 裝依賴 → import entrypoint → main(**inputs)）、command 檔（語言無關跑任意 shell）、image 檔（每 job 起指定映像）。大入參（>64KB）溢出到掛載檔案規避 env 限制；未授網路權限的 command 檔用 unshare --net 斷網命名空間跑子處理程序。

8.2.2 K8s 原生隔離 + 五級優先級排程 + 逐 job 資源配額

每筆 job 落成獨立 Pod：無特權、唯讀根檔案系統、capabilities 全 drop、seccomp RuntimeDefault，執行完自動回收。五級優先級（CRITICAL 可搶佔 BACKGROUND）+ 逐 job 可配 CPU / 記憶體。

8.2.3 准入控制 + 優先級佇列

全域並發上限 + per-tenant 配額（DB 執行時可改）+ 宿主資源壓力三重背壓。超出並發上限的 job 進 QUEUED 佇列，按優先級 + FIFO 排空；原子認領防雙派發，單租戶到帽不阻塞其他租戶。

8.2.4 對帳閉環（pull is truth, callback is optimization）

回呼是優化項，對帳循環每 30s 主動向 K8s 問真值，把殭屍 job 推向終態、判 lost、自我修復在飛計數。回呼沒到也不會卡在 running。

8.2.5 DAG 工作流編排

有向無環圖表達依賴與並行（共享 dag_id 的 job 集合，零獨立表），失敗可定點重跑（incremental / full）。

8.2.6 多租戶隔離（fail-closed 收口）

所有資源綁 tenant_id，查詢 / 寫入強制租戶過濾。拿不到租戶直接拒絕而非放行全部。「想看全部」與「忘傳租戶」在程式碼層長相不同，平台級聚合必須顯式宣告。

8.2.7 全量安全審計 + Transactional Outbox 事件

所有生命週期操作寫審計表；業務操作與事件同交易落 outbox，非同步投遞 CloudEvents 1.0（CI / 通知 / 計費消費方），業務不阻塞。

8.2.8 憑據與回呼安全

job Pod 注入最小權限 MinIO 憑據（bucket-scoped）；回呼 URL 內嵌每 job 專屬 HMAC token，防止持共享 token 者驅動任意 job 狀態；終態回呼冪等（防狀態復活）。

8.2.9 AI 編碼代理 coding-agent

自主編碼代理：克隆 GitLab 倉 → 工具循環實作工單 → 自測 → 提交 → 推送分支。護照（tueo-passport 擴充點）編譯成 HARD 檔案編輯門禁（越 zone 一律 BLOCKED）；視覺自驗證 = 真 Chromium 截圖 + 視覺模型看圖判定，不是 jsdom 猜。

8.2.10 可觀測性

Prometheus 指標（排程延遲 / 佇列等待 / per-tenant 在飛 / 節點水位）+ 節點資源即時快照 + 運行中 job 即時容器日誌 + 從持久資料重建執行時間線。

8.3 差異化

• 多執行時統一契約（python / command / image）而非單一 Python 沙箱；
• 排程是一等公民：租戶級公平 + 優先級搶佔，多數沙箱產品只有簡單並發數；
• 對帳閉環自我修復：競品回呼不到常卡住；
• 每 job HMAC 回呼綁定 + 最小權限憑據 + 斷網沙箱——回呼與憑據都按 job 隔離。

9. skillplugins —— 技能外掛程式與 SDK

一句話：一份能力契約，兩個消費者——讓 AI 助手真正「做業務」，把企業流程能力做成可簽名、可沙箱、可進市場的外掛程式。

9.1 定位

skillplugins 是 TUEO 外掛程式平台的生產側與契約承重牆，四層架構的源頭：skillplugins（外掛程式套件 + SDK）/ 能力平台（註冊表 + 治理 + 派發）/ executor（後端沙箱）/ desktop（前端渲染）。@tueo/plugin-sdk 是 manifest / capability / invocation 四層單一源。

9.2 核心能力

9.2.1 外掛程式清單契約（PluginManifest）

定義外掛程式 = manifest（能力宣告）+ backend（executor 執行）+ frontend（desktop 渲染）三件。語言中立（input / output 用 JSON Schema，executor 的 Python 也能校驗）。humanSurface 提供 slash（命令）/ form（自動派生表單）/ preview（第四欄預覽）三入口。

9.2.2 外掛程式簽名與信任治理

發佈側用私鑰對 manifest 做 Ed25519 detached 簽名，載入 / 安裝側用受信公鑰註冊表驗簽推導信任級。竄改即驗簽失敗，安裝時反竄改斷言。

9.2.3 後端執行時 I/O 契約

入參讀 cwd/inputs.json，結果寫 $OUTPUT_DIR/result.json，大檔案產物由 runner 統一上傳 MinIO。作者只需 serve({capabilityId: handler})，I/O、錯誤歸一、退出碼全由 SDK 兜底。

9.2.4 參考實作：deck（簡報）

17 種版式（title / section / bullets / kpi / twocol / process / chart / statement / agenda / compare / timeline / composite / scorecard / matrix / gantt / pillars / figure）+ 行動標題 + 4 套設計語言。同一 DSL 出 HTML 預覽和可編輯 .pptx 匯出（預覽 = 匯出一致，不出現「預覽好看匯出崩」）。PptxGenJS 母題優雅降級。

9.2.5 已有 PPT 風格繼承

匯入已有 .pptx：內容在伺服器端解析，風格由外掛程式提取 theme1.xml 的配色 + 字型成一套設計語言，只換色字型、保住平台排版品質——客戶品牌資產可繼承。

9.2.6 pharma-doc（醫藥合規示例）

藥品隨貨同行單識別外掛程式：VLM 提取 12 欄位 → 外掛程式做確定性規則校驗（批准文號格式 / 生產日期 < 有效期 / 有效期 > 今天 / 數量 > 0 / 必填）→ 綠 / 黃 / 紅彩色複核預覽。零模型呼叫的校驗層冪等可測可審計，人工只在 <1% 才介入。

9.3 差異化

• 一份能力契約，兩個消費者：同一 capability 同時暴露給 AI（function-calling 工具）和人（slash / 表單 / 預覽），同一輸入逐位元組相同；
• AI 負責提取與內容，規則引擎負責確定性校驗：結果冪等可測可審計；
• 設計 Token 驅動渲染：預覽 = 匯出，換語言 = 換 token 檔案，引擎零改；
• 韌性與誠實降級：單頁壞 → 佔位頁不毀整份；拿不到資料顯示「—」，不編造。

10. codex-build —— 編碼引擎

一句話：TUEO 的編碼核心——讓 AI 員工「真幹活、真產出」，不再是自述式 agent，而是帶企業身分邊界與可審計留痕的真實編碼執行引擎。

10.1 定位

codex-build 是 TUEO 全平台的統一執行引擎，充當 AI 開發團隊的編碼核心。它替換掉伺服器端與桌面端此前各自手搓的三套 agent 循環（約 13,300 行）。

架構分工一句話：引擎負責「怎麼幹」（真實讀程式碼庫 / 改檔案 / 跑 shell / 搜網 / 長任務 / 子代理），Server 負責「能不能幹、幹什麼、留什麼痕」（身分、授權、上下文、憑據、審計），Desktop 負責「看得見、點得動、本地碰得著」（結對與渲染）。

引擎原生互動與自帶登入能力全部被鎖死，只保留受管入口——它是被 TUEO 平台「馴化」成企業執行器的一等公民執行時，而非一個獨立終端產品。

10.2 核心能力

10.2.1 真實編碼執行（非敘述式）

從「聲稱做了」到「真做了」：agent 在真實倉庫工作區內克隆 → 讀碼 → 改檔案 → 跑測試 → 提交 → 推送 → 出 MR，產出真實檔案 / diff / 分支。內建工具族：read_file（含 image / pdf / pptx / metadata 解析器）、search_replace、bash、grep、list_dir、monitor、scheduler、todo、web_search / web_fetch。

10.2.2 理解程式碼庫

構建並導航大型程式碼庫結構：程式碼索引（index_manager + languages + scope_graph）、工作區管理（folder trust + 檔案系統通知）、上下文包（Context Pack：角色 / 約束段 + 工單 spec / plan / AC + 模型路由）隨任務物化注入工作區。

10.2.3 受管執行時（ACP 嵌入式）

以 Agent Client Protocol（stdio JSON-RPC）被 desktop / executor 驅動，可長會話、即時事件回流、權限與審批彈卡。擴充方法實作請求權限、詢問使用者、子代理同意、資料夾信任——全部由桌面端彈卡並回傳。

10.2.4 子代理協作（引擎級硬閘門）

主代理可按任務複雜度平行 / 巢狀啟動子代理，但任何首個子代理 spawn 前必須經過引擎級 consent 硬閘門。不變量：只問一次、逐使用者請求失效、不授予工具能力——把「是否採用子代理協作」變成企業每次請求的可確認決策，不靠提示詞。

10.2.5 MCP 業務能力接入

引擎作為 MCP client 消費伺服器端 tueo MCP Server：工單 / 應用 / 連接器 / 知識 / 承諾 / 附件 / 訊息單一出口進引擎。業務能力不散落在引擎側，憑據不下放用戶端。

10.2.6 企業身分邊界

原生 API key / 自帶帳號登入 / 互動終端 / headless / 中繼 / 會話歷史執行全部永久禁用，模型執行受管入口 = ACP + identity。會話寫 owner sidecar（0600，issuer / tenant / subject），new / load / prompt / cancel 全部 fail-closed，杜絕跨租戶會話接管。

10.2.7 憑據不出伺服器端

引擎不持任何模型商金鑰，只持伺服器端簽發的短時效會話票，經引擎閘道轉發真實模型。真 key 一次不離開伺服器端處理程序記憶體。

10.2.8 視覺與語音多模態

純文字主模型收圖 / 收音訊不報錯：圖片經輔助視覺模型轉描述（禁止回退原圖給主模型），語音經引擎內建語音執行時處理（串流聽寫 + 合成）。模型路由永遠由伺服器端決定，用戶端無法點名任意模型。

10.2.9 沙箱與處理程序隔離

內建多檔沙箱 profile + deny glob + 斷網策略。多租戶共用同一安裝互不可見：Linux user + 獨立 home（所有使用者態資料路徑）+ Bubblewrap，每個租戶的引擎資料落在各自獨立目錄。

10.2.10 Folder Trust 信任閘門（程式碼執行面紅線）

帶 hooks / MCP 設定 / 環境設定的克隆倉庫預設不被載入執行（否則 = 克隆即遠端程式碼執行）。編譯期版本戳：未打戳的構建 folder trust 靜默失效，發佈必須經發版腳本 + 紅線驗證（帶 hooks 倉庫必須彈信任詢問，否則不許發）。

10.2.11 上游可追溯治理（fork 健康度）

TUEO 對上游的改動用修補帳本 + 來源等價性驗證 + 分層定製約束管理：TUEO_UPSTREAM.toml 釘上游 commit SHA、原始碼歸檔等價性校驗（file_count + manifest_sha256 + status=passed）、CI 強制中繼資料一致。任何時間可回答「這段程式碼來自哪個上游 commit、是哪條修補改的、能不能回滾」。

10.3 差異化

• 從「自述式 agent」到「真實執行」：產出真實檔案 / diff / MR，編碼交付可信；
• 一個編碼引擎統一全平台：消滅桌面 / 伺服器端三套手搓 agent 循環；
• 企業信任四件套：身分邊界、憑據不出伺服器端、子代理 / 權限 / 資料夾信任三重確認卡、可審計留痕；
• fork 治理是賣點：每個修補有帳本、每次發版有來源等價性校驗、可回滾——私有化客戶敢用；
• 多租戶處理程序隔離 + 單一二進位交付，離線 / 私有化部署可直接落地；
• 狗糧工程：AI 開發團隊正用這個引擎開發 TUEO 自己的產品。

11. console —— 智能基座營運層 · 私有化交付與維運

一句話：智能基座的營運層——裸機一鍵裝成 TUEO 生產環境，之後一個介面維運全部服務與中介軟體。

11.1 定位

console（TUEO Console 維運平台）是智能基座的營運層，也是「交付與維運底座」：上承全部產品線，下管 k3s / Harbor / CNPG / 中介軟體。新系統、老系統、AI 系統，一個入口維運整套體系。三件套構成完整生命週期——console = 私有化安裝器 + 站內維運中樞（部署編排 / 設定中心 / 狀態牆 / 日誌 / 備份 / 升級 / 審計），tueo-ci-images = 兩層不可變離線 CI 映像，tueo-build = 編碼引擎原始碼與發版管線。基座（db / redis / k3s / MinIO）也是由它維運管理的被管物件——連自己都是被管物件（自升級只換映像檔、創世清單永為 SSOT）。

11.2 核心能力

11.2.1 服務目錄 SSOT（manifest）

把分散在多處的註冊表收斂成單一聲明式服務目錄（11+ 服務：ops-console / postgres / redis / minio / identity / cohort-server / executor / studio-api / studio-web / capabilities-api / cohort-desktop / skillplugins），靜態拓撲單一真值。加產品線 = 加一條 JSON + PR，零程式碼。

11.2.2 三 driver 部署編排（local-dev / compose / k8s）

同一域模型下三種執行時分域：本機原生處理程序、單機 Docker、客戶既有 K8s。一套平台既管本地開發又管客戶單機與既有叢集；客戶無 K8s 也能裝（自帶 k3s 底座）。

11.2.3 映像晉級閘門 + 一鍵部署（構建倉 → 運行倉）

CI 只把映像推到構建倉；平台在叢集內經 Harbor pull 複製把 tag 晉級到內網運行倉，等 tag 到位後再 apply + rollout。產品倉 include 一條範本即獲得 build-image + deploy-prod 的完整生產管線，映像從連網構建倉到內網運行倉自動晉級，零手工。

11.2.4 設定中心（金鑰 AES-GCM 落庫 + 版本回滾）

普通設定宣告式渲染、金鑰密文入庫（AES-256-GCM，主金鑰）、版本快照可回滾，金鑰永不進 git。支援本地 AES / Vault 雙後端。

11.2.5 私有化維運生命線

裝前體檢（全面 preflight 斷言）、全庫備份還原、氣隙遠端支援診斷包、備份優先的升級遷移。備份優先 + 回滾點 + 升級史——客戶現場真出事時有備份可還原、有診斷包可遠端救。

11.2.6 狀態牆 + 資料維運面板

維運人員在 Console 一個介面維運全部受管工作負載和中介軟體：不用 kubectl、不記子域、不裸奔資料連接埠。PG / Redis 永不開公網 ingress，重操作走依需臨時安全隧道（短 TTL + 審計）。

11.2.7 離線更新匯入（.tueoupdate 驗簽 + 預檢 + 目錄轉發）

平台作為離線更新分發中樞：.tueoupdate 套件 Ed25519 官方驗簽 → 預檢相容閘門 → bundle 段轉 capabilities 匯入、image 段 skopeo 裝進 Harbor。驗不過 / 無簽名 → 拒絕。

11.2.8 平台自升級（dogfood，只換映像）

維運平台部署自己：創世 bootstrap 手動一次，之後 push main 自動 build → promote → 換映像 → 輪詢 /api/version 收斂。升級只動映像 tag 不炸創世清單（PVC / 主金鑰 / ConfigMap / 閘道全保留）。經典自管平台模式。

11.2.9 可重現 CI 基礎映像（供應鏈安全）

兩層不可變離線 CI 映像：lock 釘死全部輸入（基礎映像 digest + Debian snapshot 時間戳 + name=version apt 套件 + 二進位 checksum），構建可重現、離線、帶簽名和 SBOM。普通 MR 零連網零下載，構建憑據只存在於受保護 runner——供應鏈攻擊面最小化。

11.2.10 私有化部署套件（可重放 kit）

從裸機裝成 TUEO 生產環境的一套可重放腳本 + 清單：填一份站點清單按 00 → 60 順序執行，可重放、無需手敲 SSH。TUEO 用同一套套件自用硬化（dogfood）。

11.3 差異化

• 私有化主線而非 SaaS：每客戶一套獨立單站點隔離安裝、離線 / 氣隙預設、一鍵裝、離線 bundle + license 交付；
• 反過度設計：不上 Argo / Vault / Loki 全家桶，工具重量匹配問題規模；
• 服務目錄 = manifest 檔案 SSOT：根治「DB 是真值、檔案 seed」的反覆漂移病根；
• 真 dogfood：平台用自己 k8s driver 部署自己、用自己 API 部署真服務到叢集；
• 離線更新供應鏈：.tueoupdate 套件驗簽 + 預檢相容閘門 + 目錄段轉發，未簽套件被拒。

12. engram —— 知識記憶底座

一句話：讓 AI 用企業自己的知識回答企業的問題——知識庫、對話記憶與知識關聯一個底座，越用越準、自己生長。

12.1 定位

engram 是 TUEO 體系的知識 / 記憶單一源（SSOT），承擔三類平台級能力：

1. 企業知識庫：把制度、文件、流程沉澱為可檢索、可驗證的企業知識；
2. 對話記憶：日常協作與問答自動沉澱為長期記憶，組織不因使用而遺忘；
3. 知識關聯：理解知識之間的聯繫，支援多步追問——把事實連成判斷。

engram 與 identity、inference 並列為三大基礎底座，被套件內所有產品消費。它回答的是「你知道了什麼、並記得」，與 identity 回答的「你是誰」互為補充。

12.2 核心能力

12.2.1 企業知識庫

把制度、文件、流程沉澱為企業知識庫，問答直接基於內部資料作答——有據可依、不編造，讓 AI 用企業自己的知識回答企業的問題，而非通用知識的泛泛而談。

12.2.2 對話記憶 · 自動沉澱

日常協作與問答自動沉澱為長期記憶，系統自動歸納、去噪音、消解矛盾——知識庫越用越準，自己生長。切換房間、多 AI 協作不各自從頭開始。

12.2.3 知識關聯 · 多步追問

不僅回答單點問題，還能理解知識之間的聯繫，支援「先問 A 再追 B」式的多步追問——把事實連成判斷，而不是零散的檢索結果。

12.2.4 內容安全 · 分級管控

敏感內容分級管控，誰能看到什麼、哪些不能外發，可按企業制度靈活配置——越敏感越受控，防洩漏於源頭。

12.2.5 權限統一 · 全程留痕

知識存取與身分權限統一管理，每次查閱、每條答案都可追溯——部門之間資料嚴格隔離，各看各的，接同一套身分鑑權。

12.2.6 輕量部署 · 資料不出域

部署輕、佔用小、中文優先，企業知識始終留在企業內部——資料不出域，越用越懂企業，完全離線可部署。

12.3 差異化

• 三合一底座：知識庫、對話記憶、知識關聯一個底座貫通，而非拼裝多個單點工具；
• 越用越準：自動沉澱讓知識庫自己長，「資料不出域、知識會累積、換不掉」是可感知的銷售故事；
• 私有化輕量：部署輕、單底座、中文優先，全踩 ToB 私有化點；
• 被全產品消費：cohort 的 AI 員工用它的記憶做決策，studio 編排的應用用它的知識庫接地回答。

13. inference —— 算力與模型服務

一句話：讓企業私有 AI 基礎設施有一個算力與模型的統一控制平面——異構算力統一納管、模型服務帶治理、一個閉環可核可回滾。

13.1 定位

inference 是 TUEO 體系的算力與模型服務底座，承擔三類平台級能力：

1. 異構算力統一納管：不同廠商、不同型號的加速硬體在一個控制平面裡管理，各池獨立營運；
2. 標準模型服務：提供業界標準的模型呼叫方式，現有應用幾乎不改就能接入；
3. 算力治理閉環：模型、部署、訓練、配額、用量與審計一個控制平面，成本心中有數。

inference 與 identity、engram 並列為三大基礎底座。它是整套體系模型呼叫的統一入口——各產品不再各接各的模型服務。

13.2 核心能力

13.2.1 異構算力，一個平面

不同廠商、不同型號的加速硬體在一個控制平面裡統一管理——各池獨立營運、互不干擾，算力狀況透明可見，不把異構資源混為一談。

13.2.2 標準模型服務，開箱即用

提供業界標準的模型呼叫方式，現有應用幾乎不改就能接入——底層是哪種硬體，應用無感知，屏蔽執行時差異。

13.2.3 模型全生命週期管理

模型的接入、上線、升級、擴縮與回滾全流程管理——運行中的服務穩定不中斷，變更可控、可回退。

13.2.4 模型訓練，受管任務

模型微調與訓練作為受管任務運行，與線上服務同平台管理、進度可見——告別臨時腳本，訓練產出統一歸檔。

13.2.5 存取治理 · 配額 · 審計

誰能呼叫、呼叫多少、花了多少，統一接入身分與權限——每次呼叫可歸因、可計量、可審計，成本心中有數。

13.2.6 離線交付 · 現場驗收

支援完全離線的安裝、升級與回滾，現場提供診斷與驗收——氣隙環境也能交付，算力能力落地有保障。

13.3 差異化

• 算力也進機房：不只是應用裝進機房，模型服務與推理也部署在客戶機房——資料與模型零外呼；
• 異構誠實：不同硬體各池獨立，不偽裝成統一資源池，算力狀況透明可見；
• 一個閉環：模型、部署、訓練、配額、用量、審計一個控制平面，可核對、可觀測、可回滾；
• 被全產品消費：cohort 與 studio 的 AI 應用經它呼叫模型，engram 的知識問答靠它提供算力。

14. 一次呼叫的完整旅程

從一句話到受控地真執行，一個工單的完整旅程：

① 人在 cohort 群聊：@工程 AI 「幫我修這個 bug」
   ↓ coordinator 路由（伺服器端職責打分 + LLM 仲裁 + 審計）
② AI 開發團隊分診：意圖辨識 → DoR（AI 自補重現步驟）→ TriageService 派單
   ↓ passport 閘門 + 工具白名單強校驗
③ 工單狀態機：triaged → spec → plan → coded → reviewed → tested → merged
   ↓ 編碼執行（executor 沙箱 / 本地結對）
④ 引擎真改程式碼、真跑測試、真 commit；視覺自驗證
   ↓ MR 由 cohort 用 GitLab API 開 → Code Review → Merge 閘門
⑤ 成果回填工單、回投會話執行緒；AI 復盤寫入長期記憶

全程由 identity 鑑權、capabilities 治理（若呼叫了第三方能力）、executor / 引擎隔離、審計留痕——AI 越強，邊界越清晰。

15. 跨產品設計原則

TUEO 不是一個各管各的產品集合，而是一個有統一設計哲學的系統：

生產 / 消費二分是全體系最核心的架構裁決：誰持有「能力的真相」（capabilities），誰只是「消費能力」（cohort / studio）——不越界、不平行世界。

SSOT 收斂是全體系第二核心：組織目錄 → identity，AI 員工名字 → identity，AI 員工職業檔案 → registry，能力 → capabilities，訊息 → cohort，執行 → executor，編排 → studio，交付 → console。每個邊界都有單一真值，消滅「兩處各有一份、慢慢漂移」的缺陷根因。

16. 安全與合規體系

16.1 縱深防禦

16.2 可證明的審計

• identity：per-tenant SHA-256 contentHash + prev_hash 雜湊鏈，竄改（插入 / 刪除 / 重排 / 改行）可偵測；
• cohort：20 類審計事件伺服器端收口 + 管理員 Web 控制台可查 / 保留 / 歸檔；
• studio：run-trace 事件日誌（append-only）投影審計，每條可「重放」回到運行軌跡；
• capabilities：一等不可變審計表（遷移只授 SELECT + INSERT，不可竄改）；
• executor：全操作審計 + CloudEvents 事件外發。

16.3 多租戶隔離

全平台統一模型：identity 的 token 寫明租戶 → 各產品 RLS 實體隔離 → fail-closed（拿不到租戶直接拒絕）。一套系統可服務多租戶 / 多部門，租戶間 0 洩漏。

17. 私有化與離線交付

17.1 交付形態

• 離線 bundle + license：整套體系打成離線 bundle，簽名 License 啟動，支援完全斷網運行；
• 自帶 k3s：不依賴客戶既有 K8s 叢集；也可納管客戶既有叢集專屬 namespace；
• 單域一體機：單外部域 + 路徑路由，所有產品同源，一份會話標準 OIDC；
• 資料不出企業：模型走客戶自管閘道 / 本地模型，金鑰不出客戶網路，全程可審計。

17.2 氣隙供應鏈

• 可重現 CI：兩層不可變離線映像，構建零連網、帶簽名和 SBOM；
• 受控更新：.tueoupdate 簽名套件（Ed25519 驗簽 + 預檢相容閘門 + 目錄段轉發），未簽套件被拒；
• 離線啟動：簽名 License 零連網啟動 + 軟節點鎖 deploymentId。

17.3 維運可及性

一個入口維運全服務 + 中介軟體：設定 / 日誌 / 狀態 / 部署 / 備份 / 升級 / 審計，全部在維運平台一個介面。資料連接埠不裸奔，重操作依需臨時安全隧道。

18. 適用場景與客戶價值

18.1 目標行業

高複雜度、高治理、高即時協同的行業：製造（合約履約）、金融（風控流程）、醫療（敏感協同）、政務、公安、能源、物流、零售、教育、法律。

18.2 典型客戶畫像

• 主要：已有數位化系統、要把 AI 進入組織運行的中大型企業；已有 AI 但缺執行 / 安全 / 恢復層的企業；
• 次要：想做企業 AI 平台試點的部門級客戶。

18.3 客戶價值

19. 現狀與路線

以下為 2026-08 的現狀。十產品已全部投入生產運行；持續疊代中的增強功能在相應產品條目後標註。

19.1 已實測的完整閉環能力

以下能力均在真實環境中運行驗證，可放心對外宣講：

• AI 開發團隊 dogfood 閉環：工單 → Passport 閘門 → LLM 分診 → 真編碼 → LLM 評審 → 真 GitLab CI → 失敗自動修復 → 真合併 → 自動部署 → 探活 → 回滾。TUEO 用自己的 8 個 AI 員工開發自己的 5 個程式碼倉庫；
• AI 維運老系統：ai-ops 維運 AI 經 MCP 接入，承載告警 / 巡檢 / 容量看護 / 本地多步執行計畫，輔助傳統系統維運；
• 能力統籌（System-as-Capability）：把 OA / ERP / CRM / MES 等既有系統接成可被 AI 呼叫、授權、審計、計量的能力，與能力平台閘道融合；
• studio 編排引擎：11 類節點 + 事件溯源 + 持久暫停-恢復已生產運行，作為智能基座定義層的編排心臟；
• 能力平台消費端收口：cohort / studio 均經 SDK / S2S 消費能力平台（安裝閘門 / 付費閘門 / 範圍閘門 / 憑據注入），消費端不再直連執行底座。

里程碑：私有化交付是憲法主線；十產品已全部生產運行；AI 開發團隊用 TUEO 自己的產品開發 TUEO（dogfood）已是常態；智能基座的完整閉環（定義 → 開發 → 測試 → 投產 → 維運 → 能力重用 → 統籌）已在真實環境跑通。

附錄 C · 名詞表

TUEO —— 讓 AI 成為你組織的正式員工。