diff --git a/AGENTS.md b/AGENTS.md
index d247d106..dd7fcc11 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -78,6 +78,11 @@ UniDesk 是一个以主 server 为统一入口的分布式工作平台；本文
 
 - P0: `hyueapi.com` / `.hyueapi.com` 是 Codex API 通道的直连域名，必须始终保留在 `NO_PROXY` / `no_proxy` 中；DeepSeek、Codex API 或其他 provider profile 切换、G14 proxy 注入、旧 D601 egress 迁移和 pod/env render 都不得把 hyueapi 流量改成走 HTTP/SOCKS proxy。
 
+## Critical HWLAB_API_KEY Discovery Rule
+
+- P0: `HWLAB_API_KEY` 已在 master server 固化，统一来源是 `/root/.config/hwlab-v02/master-server-admin-api-key.env`；处理 HWLAB CLI、Code Agent、HWPOD、trace/result、Web 等价 CLI 或 v0.2 验收前，必须先从该文件加载或确认 key，禁止先把问题定性为缺少 API key。
+- P0: 查询 key 时只能输出 `HWLAB_API_KEY=present/missing`、source path 或 redacted prefix；禁止在 stdout、issue、trace、日志、AGENTS 或 docs 中打印完整 key。G14/HWLAB runtime 中环境变量缺失不代表 master server 没有 key，应先通过该统一来源注入再继续排查。
+
 ## Critical AgentRun Worktree Rule
 
 - P0: `pikasTech/agentrun` 是新的共享 Agent 执行基础设施仓库，不是现有 Code Queue 的就地替换；`v0.1` source truth 是 G14 节点固定 source worktree `G14:/root/agentrun-v01`，固定使用 `v0.1` 分支和 `origin git@github.com:pikasTech/agentrun.git`。