DOS Kernel - trust substrate for agent fleets (stdio via PyPI)

DOS — 调度操作系统

揭穿那些谎称已交付成果的 AI Agent。

📊 查看它在真实代码仓库中的运行效果： 排行榜 为 15 个热门的 AI 构建代码仓库（roborev、open-interpreter、crewAI、autogen、……）评分： Agent 写了多少、哪些 Agent 写的，以及每次提交的声明是否有对应的差异作为依据。 为你的代码仓库评分：dos commit-audit --sweep --workspace . BASE..HEAD。

一段录屏，讲清 DOS 的核心：Agent 声称交付了两项功能，git 只为其中一项作证。 dos verify 根据提交给出答复，谎言以退出码 1 告终，而针对该退出码设置的门禁会拒绝虚假的“完成”声明。每一行都是实际 CLI 的原样输出—— scripts/build_caught_lie_cast.py 会在输出发生变化时重新录制。

让一支 Agent 队伍在同一个代码仓库中运行。左侧的循环看起来只是进展；右侧的循环则可以由你掌控。 唯一的区别在于，DOS 会从真实世界——这里是 git——读取判定结果，而绝不采信 Agent 的说法。

AI Agent 会告诉你它已经完成。DOS 不会轻信，而是检查真实世界——离你最近的真实世界证据就是 git 历史。 Agent 声称已经交付登录端点；它真的交付了吗？运行一条命令 dos verify，它会根据工作留下的产物作答，而不是根据 Agent 输入的内容：有提交支持该声明 → SHIPPED，退出码为 0；没有任何内容合入 → NOT_SHIPPED，退出码为 1。Agent 的说法完全不在考虑之列。（Git 只是 DOS 读取的第一项证据；文件树、时钟、CI 状态、测试环境自身的状态也都是证据——凡是 Agent 未编写的内容皆可。）

dos verify AUTH AUTH1   # → SHIPPED      AUTH AUTH1 e62f74d   (exit 0)
dos verify AUTH AUTH2   # → NOT_SHIPPED  AUTH AUTH2           (exit 1)

这是最精简的版本。它也能扩展：让十几个 Agent 同时处理一个仓库——在 CI 中、在一组机器上，争抢同一批文件——DOS 也会告诉你哪些 Agent 互相干扰、哪个在原地打转，以及哪个“已完成”的声明是真的。每个答案都来自实际产物（git、文件树、时钟），而不是叙述。它无需任何配置就能在普通的 git 仓库中运行；你告诉它的信息越多，它就越智能，而你唯一需要安装的就是一个小型 Python 包。

设置 — 在你的仓库中使用 DOS

DOS 是一个 Python 包，你需要将它安装到 Agent 工作的现有 git 仓库中。除非你打算开发 DOS 本身，否则不需要克隆或分叉 DOS 源码。

cd path/to/your-repo
pip install dos-kernel
dos init --hooks auto   # detects the agent runtime(s) already in this repo
dos doctor              # shows exactly what this workspace is using

从此以后，除非工作确实已经落地，否则你的 Agent 不能告诉你**“已完成”**；两个 Agent 也不能悄无声息地覆盖彼此的文件；运行停滞时会收到标记，而不是悄悄原地打转。dos init 会打印它写入的配置和钩子条目；移除这些自动生成的条目即可撤销设置。如果未检测到运行时，它会明确说明并列出可选方案——绝不会自行猜测。

_{v0.30.0 · 5,600+ 项测试 · CI：Linux 上的 Python 3.11–3.13 + Windows 3.13 冒烟测试 · 唯一的运行时依赖是 PyYAML · MIT。}

🧭 接下来阅读：缘由与证据（通俗易懂的介绍、20 行 bash 的方案、已验证的内容）， 将它接入你的技术栈（MCP · 钩子 · 安装）， 系统调用 + CLI 参考，或者，**如果你是 AI Agent 并正在阅读本文，**请看 AGENTS.md——用三行命令完成构建/测试/检查。完整导航见下方的路由索引。

🔤 本页其余部分会用到的五个词。 计划是一个有名称的目标 （AUTH）；阶段是其中一个可交付的步骤（AUTH1）；工作区是一个 Agent 可以修改的文件树切片；裁决器是 DOS 中读取证据和规则的部分；标记是已交付阶段留在提交主题中的标记（AUTH1: …）——裁决器会搜索这个标记。 这就是全部术语。

通俗易懂的介绍

编码 Agent 完成工作后，会告诉你进展如何。通常它说的是真的；有时却会由一个什么都没交付的 Agent 兴高采烈地宣布*“所有工作都已完成！”。只有一个 Agent 时，你可以重新阅读它的输出来发现问题——这是一笔你已经在付出的真实成本。让二十个 Agent 同时工作时，这笔成本就再也付不起了：没人能读完所有内容，每个 Agent 都给自己的作业打分，而未经检查的问题则悄悄堆积起来，直到代码库勉强能用，却没人敢安全地修改它。DOS 是一个从不读叙述的裁判——它读取实际发生的事情（提交、文件、时钟），并给出不受任何叙述影响的判定。它大约只需一个下午即可接入，只有一个运行时依赖，而且只管自己的职责：它会告诉你发生了什么*，绝不会判断代码好不好——质量仍由你的测试和评审把关。（通俗易懂的完整介绍。）

有数据验证，而非空口断言

这里的每个数字都根据 Agent 无法伪造的事实评分（测试环境的数据库状态、git 历史记录）。一个 DOS 门控在两种模型的 258 项任务中识破了 15 次“我已完成”谎报，且零误报；同一裁判在一条共享记录上阻止了 8 次静默冲突中的 6 次；在恰当时机终止注定失败的运行，节省了 约 11% 的集群算力，且在 1,634 次成功运行中没有误杀一次；奖励集准入标签将验收精确率从 60% 提升至 100%，清除了自评式采集器会保留的有害数据。方法论、两个关键时刻的数字，以及预测与押注之间的诚实度梯度，都见于 已验证的内容与仍属押注的内容。

文档其余内容在哪里

本页保留了核心亮点、演示，以及它要解决的问题。更深入的内容都放在专门页面中——找到你正在寻找的问题，然后跳转：

可选演示 — 60 秒上手

有终端吗？这会在临时仓库中运行整个流程——一条命令即可搭建环境、创建真实提交、验证并清理：

pip install dos-kernel      # PyYAML is the only runtime dep
dos quickstart              # → SHIPPED AUTH AUTH1 … then NOT_SHIPPED AUTH AUTH2

一个 SHIPPED，一个 NOT_SHIPPED：前者是 git 能够佐证的声明，后者则是没有任何成果落地的声明。这种对比就是产品的价值所在。演示最后会引导你前往现有的 Agent 运行环境——Claude Code / Cursor 标签页（dos init --hooks）、MCP 主机、CI 步骤或一组机器——让你的下一步只需一行命令，而不必翻文档。（添加 --keep ./demo 可保留仓库并进一步查看。不想安装也没关系？运行 uvx --from dos-kernel dos quickstart，即可临时运行相同的演示，不会留下任何文件。）手动操作的话，五行命令即可完成，详见 docs/QUICKSTART.md。

_{两个同样自信的声明，各有一个判定——git 能够佐证的那个为 SHIPPED，没有任何成果落地的那个为 NOT_SHIPPED。所有文本均为 examples/demo/verify_demo.sh 的原样输出。在本地逐步体验点击演示版（这是一个 HTML 文件——克隆仓库后在浏览器中打开；GitHub 显示的是源代码，而不是运行中的页面）。}

最简单的实际用法：在 CI 步骤或调度循环中，将信任 Agent“已完成”的那一行替换为 dos verify PLAN PHASE，然后根据退出码分支（0 表示已交付 / 1 表示未交付）。无需解析、无需计划、无需配置——CI 集成操作指南会带你完整走一遍。要在与你的仓库结构相似的仓库中运行，请从10 分钟为仓库接入工具开始。

当提交涌入的速度超过任何人阅读的速度时，可将同一个见证工具指向审查队列。剩余项审查会将 commit-audit 的逐提交判定归纳为三个类别——CLEARED（差异佐证了声明，因此无需再花多少精力追问“它是否按声明完成了工作”）、RESIDUAL（git 无法佐证的声明——需要人工全程审查），以及其余未声明的部分。在本仓库最近 200 个提交中，171 个可核查声明里有 170 个通过了核查：这就是你可以跳过的重复审查，依据是 git，而不是模型的置信度分数。（CLEARED 表示更改的形态符合声明——不代表代码正确；所有提交仍需进行正确性审查。该类别只会要求投入更多注意力，不会减少审查。）

更进一步——将判定接入你自己的技术栈：接入指南。

一支 Agent 团队出了什么问题

同时运行一大群 Agent，却没人监督，情况就会变成这样： 每个工作者都汇报自己成功了，而你只能相信这些汇报，因为还能依据什么呢？未经核查的问题悄悄堆积——这里撒个谎，那里有两个 Agent 改坏同一个文件，再加上一点范围蔓延，还有一个工作者原地打转——最后代码库勉强能用，却没人敢安全地修改它。

问题在于，你启动了这些 Agent，然后让它们自己给自己的作业打分。DOS 补上了缺失的信号——依据真实情况给出判定——从而闭合了循环。下面是同一支 Agent 团队在两种机制下的表现：

flowchart LR
  subgraph OPEN["NO REFEREE — you believe the narration"]
    direction TB
    A1["agent: 'done!'"] --> B1[["believed"]]
    A2["agent: 'done!'"] --> B1
    A3["agent: 'done!'"] --> B1
    B1 --> C1["silent corruption piles up<br/>(lies · collisions · spin)"]
    C1 --> D1["'sorta works' — can't be changed"]
  end
  subgraph CLOSED["DOS ADJUDICATES — you steer on a verdict"]
    direction TB
    A4["agent: 'done!'"] --> V{{"dos verify<br/>reads git"}}
    V -->|in git ancestry| S["SHIPPED (exit 0)"]
    V -->|found nowhere| N["NOT_SHIPPED (exit 1)"]
    S --> L["land it"]
    N --> R["re-dispatch / flag — caught"]
    R -.verdict steers the loop.-> A4
  end

以下列出 Agent 团队实际会出现的问题，每项旁边都是悄悄揭穿工作者说法的真实情况，以及 DOS 给出的判定：

第一行是最常见的情况。典型迹象是，一个几乎什么也没做的工作者乐呵呵地发来一句话：“所有工作均已完成！”。DOS 从不读取这句话；它读取真实情况，因此只要没有产物佐证，这种说法就会立刻站不住脚（详见 docs/108）。这也让它易于采用：verify 不需要计划、注册表或配置，退出代码就是判定结果——任何 shell 或 CI 步骤都能据此分支处理，无需解析任何文本。

_{更想看它运行起来？ 这两种循环也可以作为独立动画逐帧播放——克隆代码库，然后在浏览器中打开 docs/assets/loop_visual.html。（这是一个 HTML 文件，所以 GitHub 显示的是源代码，而不是运行结果——请在本地打开。）}

租约范围——目前仅限单个文件系统。 验证部分（verify、 commit-audit、liveness）可以在不同机器间自由运行，因为它读取 git 历史记录。准入部分（arbitrate、通道租约）仅支持本地文件系统： WAL 位于一块磁盘上，不同机器上的工作者没有共享的序列化点。在一台机器上或同一个共享文件系统中运行所有工作者的 Agent 团队，均可得到完整支持；跨多台主机的 Agent 团队应将 dos arbitrate 视为建议（而非硬性互斥锁），直到远程租约驱动程序发布。设计说明见 docs/366。

你可以将它用到什么程度

它可以在完全没有配置的普通 git init 项目中运行，并且你提供的信息越多，它就越智能。你不必采用某个框架或选择一个等级；从浅处开始，随着深入探索，它会持续带来回报——始终使用同一个内核：

• 零配置。 将 dos verify PLAN PHASE 指向一个普通的 git 仓库——无需计划、注册表或 dos.toml。它只根据提交历史作答 （via grep-subject / via none）。完整内容见 QUICKSTART，以及上文提到的第一天即可在 CI 中获益的做法。
• 告诉它你的项目结构。 dos init 会写入 dos.toml（将泳道、路径、 ship 语法作为数据）；添加计划文档后，dos plan 会将每个阶段的 声明与判定器的结论并列呈现。这里有一个计划文件的具体示例（可直接复制，并且能通过内置读取器往返解析），以及四个完整的示例工作区。
• 教它识别你自己的类型。 声明自己的阻止原因、门禁判定、输出渲染器、准入谓词、由模型驱动的判定器、自定义计划方言，或完整的宿主驱动——全部作为工作区策略实现，无需分叉。请参阅**docs/HACKING.md**（七个扩展方向）和可直接复制的 examples/dos_ext/。

如何接入

配置的深度决定了这条路径能走多远。另一个维度是你如何调用裁判——选择与你现有工作方式相符的接入方式，而不是重构你的技术栈。下表中的每一行都能访问同一套内核判定，从最简单的方式开始：

这些入口是价值链的上游——也就是谁来调用裁判。相同的裁决结果也会流向下游，交给据此采取行动的系统：每次裁决都会写入裁决日志，dos export 会将其导出到你的可观测性技术栈（Datadog / Honeycomb / Grafana — docs/266）；dos notify 会将需要人工处理的事项推送到 Slack；dos reward 会限定微调可使用的训练数据；dos attest 则会生成一份经过签名的回执，供无法访问循环的质疑者核验 （docs/246）。一个内核、一套裁决词汇，从 Agent 的工具调用一直贯通到你的仪表板。

再上一个层级——每天运行它：管理一组服务。

来自同一团队

DOS 是 Anthony Chaudhary 提供的三个开源工具之一，旨在让你能够真正信任 AI Agent——分别作用于三个不同阶段：

• fak — Agent 内核 — DOS 读取 Agent 已经做过的事（事后从 Git 和其他 Agent 无法伪造的见证中读取）；fak 则在 Agent 行动时管理 Agent 获准执行的操作。这是一个独立的静态 Go 二进制文件，位于你的令牌引擎之前，并在边界处裁决每次工具调用——能力门控、工具结果隔离、审计跟踪——它是 DOS 循环外裁判的内联门控。go install github.com/anthony-chaudhary/fak/cmd/fak@latest · 文档。
• Diffgram — 面向人工监督 AI 数据（标注、工作流、目录）的 AI 数据存储。DOS 和 fak 监督 Agent，而 Diffgram 监督它们学习和产出的 数据。

引用

这里的理念已写成一篇论文——《验证是你所需的一切——但不在你以为的地方》——探讨 Agent 集群的循环外裁判。已构建的 PDF 位于 paper/releases/；arXiv 预印本正在准备中。在 arXiv ID 发布之前，请引用此代码库：

@misc{dos_kernel,
  title        = {Verification Is All You Need --- But Not Where You Think},
  author       = {Chaudhary, Anthony},
  howpublished = {\url{https://github.com/anthony-chaudhary/dos-kernel}},
  note         = {DOS --- the Dispatch Operating System; arXiv preprint in preparation},
  year         = {2026}
}

许可证

MIT — 详见 LICENSE。