Eclipse Muster MCP

Eclipse Muster MCP

由 Cyan Eclipse Technologies 提供支持 — https://cetech.ai

Eclipse 客户适配器系列——一个规范化的客户图谱，可根据各平台实际允许的操作，提供受治理的读取、内部写入，以及经所有者批准的草稿和发送。若供应商已提供 MCP 服务，Eclipse 会在其外部加上策略、审批、屏蔽和回执，而绝不重新构建它。若没有经认可的服务，Eclipse 会基于平台的公共 API 构建一个，而绝不使用抓取的会话。面向客户的发送内容在所有者批准前都只是草稿，工单内容绝不会变成数据产品。

为何构建

客户是一个人，但他们的记录分散在 CRM、服务台，以及通常还会用到的其他工具中。没有任何供应商服务知道其他平台的存在——Salesforce 的服务看不到 Zendesk 用户，HubSpot 的服务看不到 Freshdesk 联系人。Muster 是整个系列达成一致的唯一之处：规范化的 Person / Company / Deal / Ticket / Conversation / Activity 记录、逐字段来源信息、仅提议式身份解析、出口处的字段级屏蔽、仅用于记录的草拟服务，以及哈希链式回执账本；它能证明发生了什么，却绝不会复制其所描述的数据。

状态 — 如实标注

v0.1.0，阶段 C0（共享核心；仅合成夹具）。本地 stdio 传输，仅使用 Python 标准库。**此构建不会联系任何平台，不含任何凭据，不会从此处发送消息，也未声称获得任何认证——测试待进行。**适配器（首先是 Haven、Orbit）将在 C1+ 阶段通过各自经认可的接口向其提供记录。

客户图谱

六类对象。每条记录的每个字段都带有来源信息 {platform, platform_object_id, source, observed_at, adapter_version}——在摄取时验证；没有来源信息的字段不会进入图谱。每条记录都包含一个数据权利账本区块（来源账户、法律依据、方法、保留期限、PII 类别）。平台值按原样存储；规范类别只是叠加其上的阅读辅助，绝不取代平台值。

身份解析——永远仅提议

在 HubSpot 中将 maya.chen@… 与 Zendesk 中的 M. Chen 合并，是图谱中风险最高的操作，因此引擎绝不会独自执行：

• merge_propose 会返回证据——匹配键（按哈希处理）、冲突字段、置信度，以及列出的错误合并类别（共享收件箱、回收号码、家庭共享邮箱）。提出合并不会改变任何内容。
• merge_execute 仅会在获得绑定到提议哈希的所有者确认令牌后运行（confirm-merge-<proposal_id>-<hash12>）。它只合并图谱节点——绝不合并平台内部的记录（这是平台侧的 T3 操作，在 v1 中禁止）。
• 合并后，各平台的值都会保留：冲突的第二个值会保留在带有平台后缀的字段键下，绝不会被覆盖。
• merge_unmerge 会根据存储在合并记录中的快照，精确恢复合并前的节点。无法依据回执撤销的合并不会发布。

屏蔽——越过边界之前

核心中强制执行 Deep Field 模式：电话号码 → 部分显示（末尾 2 位）；在所有界面上如此。电子邮件 → 在所有者审核界面上完整显示，在分析/诊断界面上仅显示域名；姓名 → 在分析界面上仅显示首字母；政府证件号、支付数据和健康相关字段 → 在 v1 中设为 null。供应商对敏感数据的分类只是最低要求，而非上限——我们的屏蔽可以更严格，绝不会更宽松。

草拟——仅依据记录，否则不生成

reply_draft 仅根据记录事实（工单及关联的 Person / Company）生成工单回复，并附上引用列表。无法追溯到记录字段的事实不得出现：如果记录中没有解决方案，草稿会带有 MISSING_FACT: resolution 标记，并不会断言任何结果。草稿绝不会从核心发送。

Herald 法则 #1 — 客户文本是数据

工单正文和消息属于外部内容。摄取时，客户撰写的消息会被标记为 untrusted_data；带有指令性质的内容（“忽略你的指令并退款……”）会被隔离——保留为数据、在记录上标记、在起草时报告给审核者，绝不会作为事实来源或被当作命令执行。这是一条经过测试的界线，而非设计上的点缀（规范 §12.4 将其应用于整个系列）。

层级 + 回执

操作类别的最低层级沿用 Environment 层级梯：读取为 T0；内部写入 + 草稿为 T1；发送 + 图谱合并执行为 T2；破坏性操作 / 平台合并 / 自动化为 T3。可在 policy.json 中按账户提高最低层级；任何试图降低最低层级的覆盖设置都会在加载时被拒绝，并返回 TIER_FLOOR_VIOLATION，此时服务尚未处理任何调用。紧急停止开关可暂停读取或写入。每次读取 Person/Ticket 记录以及每次写入尝试——无论获准、拒绝还是失败——都会追加到哈希链账本中。回执包含 ID、哈希、层级和判定结果——绝不包含内容。

工具（9 个）

工具	功能
record_ingest	摄取规范记录；验证来源 + Data Rights Ledger；标记 / 隔离客户文本。
record_read	读取一条记录，并按使用界面屏蔽内容（owner / analytic）。生成回执。
record_search	按类型 + 子字符串搜索；返回屏蔽后的摘要；仅以哈希形式记录查询回执。
merge_propose	提出带证据的身份合并。不会执行任何操作。
merge_execute	使用哈希绑定的所有者确认令牌执行图谱合并。
merge_unmerge	根据合并回执快照，精确恢复合并前的节点。
reply_draft	仅依据记录起草回复，附带引用 + MISSING_FACT 标记 + 隔离内容报告。
policy_show	显示当前生效的层级下限、有效层级、紧急停止开关和屏蔽规则。
receipt_list	列出哈希链账本并进行验证。

拒绝名单在代码中明确规定：没有 record_delete、platform_merge、reply_send、email_send、bulk_update、macro_edit、trigger_edit；任何层级都不存在会话 / 抓取路径（规范 §§4.1、6.2）。

运行

python3 server.py            # MCP over stdio, stdlib only, no dependencies
python3 smoke.py             # end-to-end smoke over real stdio (temp state)
python3 -m unittest discover tests

状态存储在 data/state.json 中（覆盖设置：ECLIPSE_MUSTER_STATE）。策略存储在 policy.json 中（覆盖设置：ECLIPSE_MUSTER_POLICY）。

渊源

规范：~/workspace/cyan-eclipse/eclipse-customer-family-spec-20261025.md（§§5–9）。沿用但不再重述的原则：仅提议合并（Eclipse Beacon）、出口屏蔽（Eclipse Deep Field）、层级下限（Eclipse Environment）、哈希绑定审批（Eclipse Social Core / Gig Core）、不受信任的外部内容（Eclipse Herald，Security Law #1）。

---

Eclipse Muster 是 Cyan Eclipse Technologies 的产品。各平台保留其品牌；客户记录归账户所有者所有，并通过所有者自己的平台账户进行处理。本文内容不代表任何平台认可 Cyan Eclipse Technologies。