Agenthof

Agenthof 是一个用 Apache-2.0 许可的开源治理平面，其核心主张是 Agent 永远是不可信的，但每次请求都必须穿过一道门（door），由门来授权、注入凭据、写账本。

Agenthof 把系统拆成两个完全独立的程序：agenthof 是治理引擎，负责 apply、run、audit、investigate，从不嵌入 Agent，也不决定 Agent 怎么思考；Agent 是一个独立程序（仓库里是一个小型 LangChain Agent），agenthof 通过 socket 调用它，并用模型门、工具门、执行门、派生门驱动它。

Agent 运行时没有网络，没有自己的密钥，无法直接调用后端系统，只能向门请求；当需要操作按用户隔离的系统时，网关执行 RFC 8693 Token 交换，把发起人的已验证 Token 换成作用于上游的 Token，然后以发起人的身份调用系统，密钥从不进入 Agent 进程。

运行结束后，agenthof audit <run> 按顺序打印该次运行的账本，即回执，包含运行 ID、发起人、状态、账本完整性验证结果以及各事件（如 model、exec、tool、spawn 等）的记录。

Agenthof 的展示中，一个真实模型拿到 Agent 的实际能力作为工具，逐轮自行决定调用什么，当 Agent 越界时，拦住它的是门，不是脚本；模型驱动不需要新增门类型。

Agentic 循环指模型在每轮根据当前上下文自行决定下一步动作，控制流由模型产生，路径不可预知；Agenthof 通过约束每次调用的门来治理，而非约束模型的思路。

Agenthof 的展示不证明隔离：隔离舱是测试替身启动的主机进程，本次运行中没有任何东西证明 Agent 无法自行访问提供商；项目为此保留了独立的基于 Podman 的证明，包括真正的 rootless 容器、--network none、检查无出口。

Agenthof 不承诺结果：真实模型会变化，运行可能跳过某道门、调用两次、走另一条路；承诺更窄也更可测：无论模型做了什么，都受治理并记录在账本上。

Agent 自己的摘要不是证据，因为它是不可信的 Agent 写的；证据是门事件，由 Agenthof 和运行时第一手写成。如果两者冲突，账本说了算。账本是防篡改可检测，而非不可篡改。

Agenthof 的引擎、Agent、展示、密闭 CI 运行和诚实局限页都在 Apache-2.0 仓库里。