docs(mdtodo): close Artificer GitHub SSH task

2026-07-12 10:25:57 +02:00
parent 87bcca0783
commit 4be095bc88
2 changed files with 26 additions and 1 deletions
@@ -77,7 +77,7 @@

 审核并修复 [AgentRun PR #312](https://github.com/pikasTech/agentrun/pull/312) 后续暴露的 session workspace 连续性与源码清洁性：真实 Artificer run `run_d2cd5c7b9c4149a28dd6e8403c77fa01` 已在 seq=8 精确物化 UniDesk master `d3f6d1cd335b` 到 primary workspace `.`，但 seq=35 因受管 capability bundle 覆盖产生 `.agents/skills/*` 与 `tools/` untracked 而错误判定源码已脏并 fail closed；修复必须让受管覆盖不污染 Git source view、不得隐藏真实源码改动，并保持同 session 后续 run/runner 的 source/workspace identity 与安全恢复。PR merge 后只允许自动交付，再用两项固定 Artificer 业务目标验收；禁止主代理代做、agent clone、宿主 worktree、trans 源码旁路或人工 CI/CD，完成任务后将详细报告写入[任务报告](./details/agentrun-runtime-reliability/R5.1.1_Task_Report.md)。

-### R5.2 [in_progress]
+### R5.2 [completed]

 解决 [AgentRun #313](https://github.com/pikasTech/agentrun/issues/313)：真实 Artificer task `qt_5cbeb5c338974d14b4d55336a412fc00` 的 AipodSpec 摘要声明 github-ssh SecretRef，但 task input 的 `executionPolicy.toolCredentials` 仅保留 github-pr 与 unidesk-ssh，证明 volume credential 在 create/render/admission 阶段已丢失，既有 runner 子进程继承修复无法生效；补齐声明到 task、runner mount、backend commandExecution 的完整投影，使真实 git SSH push 可用。缺 key、known_hosts 或环境继承时必须脱敏 typed fail closed；禁止 `/root/.ssh`、ssh-keyscan、token URL、匿名 transport、人工 CI/CD 或主代理代做业务任务，完成任务后将详细报告写入[任务报告](./details/agentrun-runtime-reliability/R5.2_Task_Report.md)。

@@ -0,0 +1,25 @@
+# R5.2 任务报告
+
+## 结论
+
+已解决 [AgentRun #313](https://github.com/pikasTech/agentrun/issues/313)。Artificer 的 `github-ssh` SecretRef 已从 AipodSpec 进入 task input、runner mount 与真实工具子进程；缺少私钥、`known_hosts` 或继承条件时仍保持脱敏并 fail closed。
+
+## 交付
+
+- AgentRun 合并 PR：[pikasTech/agentrun#318](https://github.com/pikasTech/agentrun/pull/318)，v0.2 源提交 `352f359`。
+- UniDesk YAML-first 凭据绑定合并 PR：[pikasTech/unidesk#1830](https://github.com/pikasTech/unidesk/pull/1830)，源提交 `5e48ce1b`。
+- 自动交付后的 AgentRun GitOps 提交：`f8c24bb3d6d6`。
+- 受控 secret-sync 只激活 owning YAML 声明的 `tool-github-ssh-private-key` 与 `tool-github-ssh-known-hosts`，未打印 Secret 值。
+
+## 真实 Artificer 验收
+
+- task：`qt_a8c3fbc797c14b79a124ad08bbca30b3`。
+- run：`run_3bd02d10ee534b8ca29176f15a893555`。
+- session：`sess_artificer_aac1880baf63d35c45d1446c`。
+- seq=8 证明 primary workspace `.` 精确物化源提交且源码视图 clean；seq=10 证明 `github-ssh-tool-credential-ready`。
+- Artificer 自行创建提交 `5c6b70aff0e17d8722802801a53629df029b55a0`，通过投影到 `/home/agentrun/.ssh/id_ed25519` 的 SSH 凭据 push，并创建非草稿 [UniDesk PR #1833](https://github.com/pikasTech/unidesk/pull/1833)。
+- Artificer 随后关闭 PR、删除远端分支并确认本地 porcelain clean；最终结果为唯一 `ARTIFICER_ACCEPTANCE_OK`。
+
+## 边界
+
+未使用 `/root/.ssh`、`ssh-keyscan`、token URL、匿名 transport、宿主 worktree、trans 源码旁路或人工 CI/CD；业务动作由 Artificer 自身完成。