越是能真執行的 AI，越需要硬邊界與可恢復。
一個 job 契約通吃三種活法：python 程式碼包、任意 shell 命令、自備容器映像。大入參溢流到檔案，AI 應用零適配接入。
每筆 job 獨立 Pod：無特權、唯讀根檔案系統、capabilities 全 drop、seccomp 預設。用戶程式碼按不可信對待。
五級優先級 + CRITICAL 可搶佔 + 全域 / 租戶並發配額 + 宿主水位三重背壓。關鍵任務不排隊，單部門佔不滿全域容量。
回呼是優化、對帳是兜底：每 30s 主動向 K8s 問真值，runner 掛了、Pod 被驅逐，任務也能推向終態，不卡死。
有向無環圖表達依賴與並行，失敗可定點重跑（增量 / 全量），上游失敗快速取消下游——複雜流水線可表達、可排障。
job Pod 注入最小權限 MinIO 憑據；回呼 URL 內嵌每 job 專屬 HMAC token——即使某個 job 被攻破，也限定在 bucket 內、無法越權改寫其他 job。
所有資源綁租戶，拿不到租戶直接拒絕而非放行全部；沙箱屬主 = job 租戶，異租戶一律 404——越權不會靜默發生。
所有生命週期操作留審計；業務操作與事件同事務落 outbox，非同步投遞 CloudEvents 給 CI / 通知 / 計費，業務不阻塞。
克隆 → 改碼 → 自測 → 推送，護照門禁鎖死編輯區；視覺自驗證 = 真瀏覽器截圖 + 視覺模型看圖判定，不是 jsdom 猜。
執行層是四道防線真正落地、強制生效的地方。
破壞性指令辨識並強制審批，不免審通過。
能執行什麼，取決於 AI 的成長等級。
K8s + unshare，副作用關在受控邊界內。
每一次執行留痕，事後可複盤、可追責。