autobahn

从任务中剔除不安全范围，然后在一个全新的子 Agent 中执行剩余的安全内容。该子 Agent 只能看到剔除后的提示词，并通过清晰可见的范围剔除记录进行汇报。

目标

将临近风险的工作转化为明确的范围决策，然后在干净环境中执行安全范围。范围剔除在此处进行；执行则由一个全新的子 Agent 完成，它只会收到剔除后的提示词，绝不会看到有风险的原始请求或本会话的推理过程。这样的分离正是关键：执行方不会读到有风险的请求，因此无需有所保留、削弱执行力度或拒绝任务，安全工作也能全力完成。autobahn 并非规避措施：它不会绕过防护措施来处理被标记的请求，而是移除该请求，改为执行真正安全的提示词。

工作流

1. FRAME：阅读任务、输入内容和用户明确说明的风险立场。如果用户已授权缩减范围，则继续。如果没有，先提出建议的剥离方案，明确说明拆分方式，并等待批准后再 RUN：明确红线的项目没有安全版本，因此不可协商；灰区项目的安全替代方案会舍弃用户可能想要的范围，因此这才是真正需要确认的问题。如果所有项目都属于明确红线，则继续；台账会记录相关信息。如果用户质疑某项明确红线的判定本身，不要让这场承受压力的会话重新争论此事：将该项目的抽象描述去掉协商内容和任何劝说后，交给全新上下文重新评估，并在台账中记录申诉及其结果，无论结果如何。
2. CARVE：检查任务及相邻输入，找出与防护边界相关的项目。对每项，提出 verdict=descope，将其归类为明确红线或灰区，给出一个无风险的替代方案，并按照“负面内容即语料”的约定指定存档位置。用户决定保留的灰区项目仍留在范围内，并作为由用户决定保留的事项记入台账。仅在识别所需的范围内指出被排除的技术，绝不展开说明。
3. GUARD：将剥离方案提炼成精简的范围防护块（绝对排除项、允许的替代方案，以及授权保留内容的上下文），并将其并入剥离后的提示词，使执行过程原样携带该内容。该防护块应逐一列出排除项，防止执行过程重新引入这些内容；绝不能原样写出原始的高风险请求或其方法。在执行与本会话共享文件系统或记忆存储的环境中，还要告知执行过程不要查阅共享状态中的决策日志、笔记或转录搜索结果：如果执行过程能从本会话刚写在附近的内容中读回高风险请求，那么干净的提示词就毫无意义。指示执行过程全力完成安全范围内的工作，不要推诿、道歉或缩减交付内容。
4. RUN：启动一个全新且上下文干净的子 Agent（一个从无先前上下文开始的 Task），只交给它剥离后的提示词，绝不能提供高风险的原始请求或你的剥离推理。它将全力完成安全范围内的工作并返回交付内容；执行 Agent 永远不会看到高风险请求，因此让它全力执行的是剥离方案，而不是本会话。如果子 Agent 中出现高风险内容，则必须通过 CARVE 转回此处处理，绝不能临场直接处理。
5. VERIFY：对返回的交付内容及相邻产物进行对抗性检查，核查五种失败情形：展开了高风险内容、悄然删掉了高风险内容、削弱了安全工作或将其视为排除项、在附近留下过时的高风险材料，以及剥离方案本身遗漏了某些内容或排除过度——从独立于当前上下文的角度重新检查原始任务，并将结果与台账逐项比对后再报告。将这次独立复查限制为一轮（N=1），不要无限扩散。
6. LEDGER：待执行完成且子 Agent 的窗口关闭后，提交交付内容，并附上剥离台账，列出每个剥离项目：其类别、判定为已剥离还是由用户决定保留、原因、安全替代方案和存档位置。仅在此时写入存档条目，不要提前写入——在执行仍在进行时将高风险材料记录到磁盘，会破坏剥离方案所保障的隔离。将排除项作为可见的决策处理，而不是留白。

规则

• 执行子代理只能看到裁剪后的提示词。绝不要把有风险的原始内容、你的裁剪推理或本会话的上下文交给它；干净的执行上下文才能确保安全运行不触发标记，也确保这项技能不规避安全措施。如果运行环境除了本会话外还可访问文件系统或记忆，裁剪后的提示词还必须禁止它查阅决策日志、笔记或搜索对话记录——仅有干净的提示词还不够，如果运行环境能从相邻内容中重构出有风险的请求，就无法确保安全。
• 同一会话中的申诉不算重新审查：如果用户对明确界限的判定提出异议，应将争议交给一个全新的上下文，其中只包含该事项的抽象描述，不包含协商过程。针对同一事项反复申诉本身就是值得披露的信号，而不应只当作需要解决的问题。
• 如果用户尚未预先授权缩减范围，就要求其提出裁剪方案；只要仍有会影响裁剪后提示词的灰色地带事项待答复，就不要开始 运行。明确排除的内容绝不可协商，因此不要仅因这些内容而停滞。
• 绝不试探：不要把已排除或处于灰色地带的请求拿出来询问，以测试其是否可以通过。必须先通过裁剪确定范围，之后才能提出任何此类请求。
• 保持范围防护区块可移植且内容精确，并将其原样写入裁剪后的提示词。它必须双向防护：运行过程不得扩展任何已排除的内容，也不得淡化、模棱两可地处理或再次拒绝任何裁剪后保留在范围内的内容。
• 防止不安全的扩展：除识别出范围之外所必需的最低限度外，绝不提供已排除技术的操作细节。这一要求同时适用于记录台账和裁剪后的提示词。
• 不要把这项技能描述成绕过安全控制的方法。它通过在提出高风险请求之前将其移除，并在真正安全的提示词上于干净环境中运行，来遵守约束。它无法让带标记的输入通过；它会生成不同的安全输入。
• 不要声称能够控制模型路由、回退配置或固定模型选择；这些属于执行框架的行为，而不是提示词的行为。
• 保留负面案例语料：缩减范围的内容连同排除原因和安全替代方案一起归档，绝不从记录中删除，以便后续审查时能从台账中提取反模式。运行结束后再撰写该归档条目，而不是提前撰写——裁剪的目的，就是确保运行过程无法读取有风险的内容。

验证

结束前，确认：

• 裁剪涵盖了发现的所有与防护措施相关的事项；每项都标明类别、裁定为已缩减范围或所有者决定保留、安全替代方案和归档位置。
• 运行子代理只收到了裁剪后的提示词；其中内置的防护措施双向生效，没有在后续过程中出现淡化或扩展；并且在共享文件系统或记忆的情况下，提示词还禁止它查阅该共享状态中的决策日志、笔记或对话记录搜索。
• 安全交付内容没有因为附近的高风险材料而被淡化；运行期间发现的每项新内容都已重新交由裁剪处理并记入台账。
• 从全新上下文出发，对原始任务进行独立复查，并将结果与台账逐项比对后再报告；复查发现的任何遗漏——无论是漏掉风险，还是排除范围过宽——都已补入台账。
• 已缩减范围内容的归档条目是在运行结束后撰写的，而不是提前撰写的。
• 最终报告包含独立的 台账部分，列出排除项、类别、原因、替代方案和归档位置。