# `/intern9/huhongkai` 全盘二次审计与 0.2.1 修订记录

审计时间：2026-08-19（Asia/Shanghai）

## 一、结论先行

二次全盘扫描确认：已发布的 0.2.0 不是逐字节全盘备份，也确实存在少量“按代码与说明范围本应收入、但此前漏掉”的文件。遗漏集中在项目规则、安全配置、数据字典文本和小型实验结果，并非核心训练源码丢失。

本次据此制作 0.2.1：补入真实遗漏；继续排除真实数据、模型、缓存、第三方安装树、认证信息、会话历史和超大原始实验运行数据。

## 二、全盘基线

`/intern9/huhongkai` 含超过 38 万个普通文件。主要体积来源如下：

| 顶层位置 | 逻辑体积 | 文件数 | 判定 |
|---|---:|---:|---|
| `hs300_factor_lab` | 约 1.9 TB | 125,356 | 代码/文档已归档；真实数据与运行产物排除 |
| `hs300_preprocess` | 约 24 GB | 68 | 源码已归档；HDF5/模型排除；字典与样例在 0.2.1 补入 |
| `miniconda3` | 约 15 GB | 137,371 | 第三方环境，可重装 |
| `.local` | 约 8.2 GB | 38,083 | 第三方用户级安装树 |
| `.cache` | 约 6.4 GB | 2,516 | 缓存 |
| `.vscode-server` | 约 5.5 GB | 28,394 | 编辑器服务器安装树 |
| `.cursor-server` | 约 2.2 GB | 27,894 | 编辑器服务器安装树 |
| `.cursor` | 约 1.7 GB | 519 | 日志/数据库为主；个人规则单独归档 |
| `.npm` / `.nvm` | 约 1.4 GB | 5,247 | 包缓存与 Node 安装树 |
| `.codex` | 约 388 MB | 143 | 会话数据库/终端快照为主；安全规则配置单独归档 |
| `.claude` | 约 29 MB | 429 | 会话、文件历史、认证配置为主；安全技能源码单独归档 |

## 三、`hs300_factor_lab` 精确覆盖

### 0.2.0 已完整覆盖

- 个人 Python：552/552；另 5 个 Python 文件属于 KaTeX `node_modules`；
- Shell：159/159；
- 正式 Markdown：246/246；
- PNG 128/128、HTML 9/9、SVG 240/240、PPTX 11/11；
- PDF 10/11：仅排除第三方 SSRN 论文原文；
- DOCX 1/2：仅排除个人简历；
- 所有当前正式 `.py/.sh/.md` 与 0.2.0 快照按内容校验，无代码内容漂移。

### 二次审计发现并在 0.2.1 补入

1. `src/.cursor/rules/` 下 3 份项目级规则；
2. `.vscode/settings.json`、`.claude/settings.local.json`、`src/models/.claude/settings.local.json`；
3. `queue_16_6.json.bak_20260630_150243`；
4. `src/shared_memory_data_files/**/x_list.txt`、`y_list.txt` 共 52 份；
5. `feature_screen` 等目录中约 11 MB 的小型实验 JSON；
6. 动态 `live_status.json` 与四份 dispatch 状态在构建前刷新为现场版本。

`cuda/rwkv7_clampw.cu.bak` 与正式 `.cu` 的 SHA-256 完全一致，属于重复副本，不作为语义遗漏。

### 仍有意排除

| 类别 | 数量/体积 | 原因 |
|---|---:|---|
| memmap | 13,998 个，约 800 GiB | 真实/派生训练数据 |
| NPY | 32,048 个，约 681 GiB | 真实/派生训练数据 |
| JSONL | 2,392 个，约 180 GiB | 逐批调试与训练流 |
| CSV | 8,672 个，约 142 GiB | 预测、交付和中间结果 |
| checkpoint `.pt` | 14,705 个，约 47.6 GiB | 模型权重 |
| 剩余 reports JSON | 15,479 个，约 1.31 GiB | 原始运行证据，超过主包与 PyPI 单文件容量 |
| 其中 `shm_models` JSON | 9,722 个，约 1.20 GiB | 完整训练历史/逐实验结果 |
| 其中 top1024 JSON | 2,024 个，约 103.8 MiB | 逐轮特征筛选原始结果 |
| 剩余 TXT | 206 个，约 100 MiB | 主要是 LGBM 大型文本转储 |

上述大文件不是“消失”，仍在原盘；只是没有进入 PyPI 代码/文档快照。若要求灾备，需要对象存储或分卷归档，不能把 PyPI 当作 1.9 TB 网盘。

## 四、`hs300_preprocess` 精确覆盖

0.2.0 已覆盖全部个人 Python、IPYNB、YAML 和 README。0.2.1 进一步补入：

- `factor_index.json`、`factor_index_full.json`；
- `days_manifest.json`；
- 全部因子名和因子前缀统计 TXT；
- 一小组脱离原始 HDF5 的 CSV 结构预览；
- 已有的小型 metrics/training summary。

继续排除约 24 GB HDF5、模型权重和 NPZ 参数文件。

## 五、隐藏目录与根目录角落

### 0.2.1 新增的安全内容

- `.codex/rules/default.rules`；
- 不含凭据的 `.codex/config.toml`；
- `.cursorignore` 与 Cursor 用户设置；
- `.condarc`、`.npmrc`、`.zshrc`、`.bash_profile`；
- 删除认证值后的 `bashrc.sanitized`；
- `.claude/skills` 中的 SKILL 与 Python 辅助脚本（不含 vendor JS 与 pycache）；
- 发布审计和安全上传说明。

### 必须排除的敏感内容

- `.ssh`；
- `.bash_history`、`.python_history`、`.viminfo`；
- `.codex/auth.json`、`.config/cursor/auth.json`；
- `.codex/.claude/.cursor` 的会话、聊天、终端、粘贴与文件历史；
- `.bashrc` 和 `.claude/settings.json` 原件：现场确认含认证 Token；
- 已在聊天中暴露过的旧 PyPI Token。

认证值没有进入任何构建快照。由于原盘中的 Anthropic 认证值已在本次检查过程中被发现，应在服务端轮换。

### 第三方或无意义内容

- Conda/NVM/VS Code/Cursor 安装树和缓存；
- KaTeX `node_modules`；
- Miniconda 安装包；
- 根目录 `testfile`：100 MiB 稀疏全零测试文件；
- `accelerate_ddp_demo_model.pt`：小型演示权重，按“模型权重不公开”原则排除；
- 临时目录中的第三方包审查副本、SSRN 文本和 Torch 临时模块。

## 六、边界与时间一致性

PyPI 包是一个时间点的快照，不可能与持续运行的 autoresearch 状态永久逐字节一致。`live_status.json` 和 dispatch 文件会被调度器继续改写；它们的变化不代表源码遗漏。

0.2.1 的目标定义是：完整覆盖当前可公开的个人源码、研究说明、规则、数据结构描述、小型实验摘要和安全配置；不声称覆盖真实数据、模型权重、完整运行历史或敏感凭据。

