总览

用户的方向很清楚：不是照搬 Hermes，也不是把某个外部框架变成 Arcana 的架构中心。外界最近的变化更像一组信号：协议正在标准化，运行时正在生产化，UI 正在事件化，技能正在生命周期化，自进化正在从“灵感”转向“带评测的候选改动搜索”。

Arcana 已经有相当多的正确基础：contracts-first、ToolGateway、ExecutionChannel、side-effect、permission、guardrails、trace、MCP provenance、dynamic discovery、skills、context compression、batch/chain/chat/collaborate。下一步应该是把这些能力整理成更清晰的 Dynamic Capability Layer，而不是新增一个中心化超级 agent。

本规划的主要结论

外部趋势雷达

以下资料以官方文档、官方博客和论文为主。它们不是 Arcana 的设计命令，而是可以拆解吸收的参考信号。

1. OpenAI Agents / Responses / Agent tooling

OpenAI 在 2025 年 3 月发布 Responses API、built-in tools、Agents SDK、observability。官方叙事强调：生产 agent 的难点不只是模型能力，而是工具接入、多步任务、可观测性、guardrails 和 evals。

• Responses API 把 Chat Completions 的简单性和 Assistants 的 tool use 能力合并，面向多工具、多模型轮次 agent。
• Built-in tools 包括 web search、file search、computer use。
• Agents SDK 公开强调 agents、handoffs、guardrails、tracing/observability。
• Computer use 的官方说明明确提到 prompt injection、安全确认、环境隔离和人类监督。

2. MCP：工具与上下文协议正在成为基础设施

MCP 2025-06-18 规范把 host、client、server、resources、prompts、tools、sampling、roots、elicitation 等概念规范化。它同时明确强调 consent、data privacy、tool safety 和 sampling controls。

• MCP server 暴露 resources、prompts、tools；client 可提供 sampling、roots、elicitation。
• HTTP authorization 采用 OAuth 2.1 相关机制，强调 resource indicators、token audience validation。
• 规范明确说 tool descriptions/annotations 应视为不可信，除非来自可信 server。
• MCP 本身不能强制安全，host 实现必须补 authorization、access control、consent UI。

3. A2A：Agent Card 与 long-running task 是重要抽象

Google 2025 年发布 A2A，强调跨 vendor/framework agent 的互操作。A2A 的关键不是“多 agent 很酷”，而是几个可借鉴的协议对象：Agent Card、task lifecycle、artifact、status update、message parts、modality negotiation、安全认证。

• Agent Card 用 JSON 描述 agent 能力，帮助 client agent 做 capability discovery。
• Task object 有生命周期，支持长任务和状态同步。
• Artifact 是任务产物，适合 Arcana trace/session bundle 引用。
• Message parts 支持不同内容类型，适合未来 multimodal / UI negotiation。

4. AG-UI / ChatKit 风格：Agent UI 正在变成事件协议

AG-UI 把 agent 到用户界面的连接定义为轻量、事件化、双向协议；重点包括 streaming chat、typed attachments、shared state、interrupts、frontend tool calls、tool output streaming、subagent composition。

• UI 不再只是最终 answer，而是 agent 运行事件的投影。
• Interrupts 支持 pause、approve、edit、retry、escalate。
• Shared state 和 streamed diffs 能让前端实时渲染长任务。
• Generative UI 必须受 app validation 控制，不能让模型任意挂载危险组件。

5. Agent Skills：progressive disclosure 是已被验证的方向

Anthropic 的 Agent Skills 把技能定义为包含 SKILL.md、metadata、instructions、scripts、resources 的文件夹。官方强调 progressive disclosure：先加载 name/description，相关时再加载 skill body，必要时再读附加文件。

• 技能是 reusable filesystem resources，不是一次性 prompt。
• 技能可以包含脚本，以 deterministic code 补充 LLM。
• 安全上必须审计 skill 来源、脚本、依赖、网络连接。
• Anthropic 明确提到未来希望 agent 创建、编辑和评估 skills。

6. LangGraph / Microsoft / AWS：生产化 runtime 的共识

这几条路线共同指向生产 agent 的基础设施：durable execution、persistence、human-in-the-loop、checkpoint、middleware、policy、registry、observability、evals、identity、sandbox。

7. 自进化研究：从“自改代码”转向“评测约束下的候选搜索”

Google DeepMind AlphaEvolve、Darwin Godel Machine、MUSE-Autoskill、SkillFoundry 等方向都说明一件事：自进化有价值，但必须依赖 automated evaluators、benchmarks、archive、技能生命周期、sandbox、人类监督。没有评测和边界的自进化不是工程能力，是风险。

• AlphaEvolve 的关键是 LLM 生成候选程序，由自动评估器验证和打分，再进入 evolutionary database。
• DGM 的关键是 self-modification archive，不是单一路径自改；论文也提到 sandboxing 和 human oversight。
• MUSE-Autoskill 强调 skill creation、memory、management、evaluation、refinement 作为统一生命周期。
• SkillFoundry 强调从外部资源提炼 skill packages，同时必须有 provenance 和 tests。

宪法适配

Arcana Constitution v3.6 已经覆盖了大量外部趋势：MCP、connectors、A2A、browser/computer-use、future remote protocols 是能力传输层，不是信任边界；guardrails 是边界，不是隐藏工作流；evals 是发布证据，不是运行时治理者。

当前宪法已经足够支撑的内容

可能需要新宪法修订的内容

真正新的一点是 self-evolution。现有宪法说 evals 是发布证据，但还没有明确规定：当 agent 生成框架自身的修改建议时，哪些可以自动应用，哪些必须人工批准，哪些永远不能在 runtime 中自动改。

设计目标

建议架构

本规划建议的主线名称是 Dynamic Capability Layer。内部可以包含 ProtocolBridge、CapabilityRegistry、AdmissionController、ExposureSelector、EvidenceLoop。它吸收 Hermes 等思想，但不采用 Hermes 作为 public API 名称。

External Agentic Ecosystem
  |-- MCP servers and registries
  |-- A2A remote agents
  |-- AG-UI / frontend event clients
  |-- Provider built-in tools and connectors
  |-- Skills packages
  |-- Browser / computer-use / code execution backends
        |
        v
ProtocolBridge Adapters
  normalize identity, auth, protocol version, schema, side effects, errors
        |
        v
Dynamic Capability Layer
  +----------------------+    +----------------------+
  | CapabilityRegistry   |--->| AdmissionController  |
  | catalog + snapshots  |    | allow/downgrade/deny |
  +----------------------+    +----------------------+
        |                              |
        v                              v
  ExposureSelector              EvidenceRecorder
  scoped visible capabilities   trace + bundle + eval evidence
        |
        v
Arcana Runtime Boundaries
  ToolGateway | ExecutionChannel | Context Builder | AskUser | Hooks | Budget
        |
        v
ConversationAgent | ChatSession | Chain | Batch | Collaborate | Subagents

组件定义

宪法修订候选

建议新增一个候选修订案，而不是立即改主宪法：Amendment 6 Candidate: Self-Evolution and Runtime Mutation Boundaries。

修订触发条件

• Arcana 开始支持 agent 生成代码或配置改动 proposal。
• Arcana 开始支持自动生成或修改 skills。
• Arcana 开始从 traces/evals 自动提出 runtime behavior 改动。

候选原则

是否现在正式修宪

合同草案

Capability

class CapabilitySource(BaseModel):
    origin: Literal["local", "mcp", "a2a", "ag_ui", "connector", "skill", "browser", "computer", "payment"]
    adapter_name: str
    adapter_version: str | None = None
    server_name: str | None = None
    transport: str | None = None
    auth_context_digest: str | None = None

class CapabilityRecord(BaseModel):
    capability_id: str
    name: str
    kind: Literal["tool", "agent", "resource", "prompt", "skill", "frontend_action", "authorization"]
    description: str
    input_schema_digest: str | None = None
    output_schema_digest: str | None = None
    side_effect: SideEffect
    capabilities: list[str] = []
    source: CapabilitySource
    requires_confirmation: bool = False
    status: Literal["candidate", "admitted", "downgraded", "refused", "quarantined", "retired"]

Admission

class AdmissionDecision(BaseModel):
    capability_id: str
    action: Literal["allow", "downgrade", "refuse", "quarantine", "retire"]
    reason: str
    side_effect_override: SideEffect | None = None
    requires_confirmation_override: bool | None = None
    details: dict[str, Any] = Field(default_factory=dict)

Evolution

class EvidenceBundle(BaseModel):
    bundle_id: str
    trace_refs: list[str]
    eval_refs: list[str] = []
    failure_categories: list[str]
    examples_digest: str
    summary: str

class EvolutionProposal(BaseModel):
    proposal_id: str
    proposal_type: Literal[
        "doc_update",
        "eval_addition",
        "skill_refinement",
        "tool_schema_patch",
        "guardrail_patch",
        "permission_patch",
        "runtime_patch",
    ]
    title: str
    rationale: str
    evidence: EvidenceBundle
    affected_files: list[str]
    risk_level: Literal["low", "medium", "high"]
    approval_required: bool
    required_checks: list[str]

测试与 Eval

Invariant tests

• Protocol discovery never implies authorization。
• Remote capability missing side-effect metadata is downgraded or refused before exposure。
• Capability exposure is scoped per run/session and traceable。
• Permission deny cannot be overridden by guardrail allow。
• Guardrail block prevents execution even when permission allows。
• Observer hook failure is traced and fail-open。
• Boundary hook cannot return next_tool or replacement_goal。
• EvolutionProposal cannot apply high-risk patches without approval。
• Skill draft cannot auto-load until evaluated/trusted。
• Session bundle does not leak raw sensitive arguments by default。

Eval suites

里程碑

30 天

• 完成 arcana doctor 最小版本。
• 完成 arcana trace inspect 文本版本。
• 补 guardrail、permission、skills、MCP recipes。
• 新增 CapabilityRecord / AdmissionDecision contracts 草案。
• 写 constitution-amendment-6-self-evolution-boundaries.md 候选草案，但不合并进主宪法。

60 天

• 完成 CapabilityRegistry 和 deterministic snapshot digest。
• 把现有 MCP admission 结果桥接到 capability registry。
• 新增 fake protocol adapter 测试。
• 完成 observer hooks + boundary hook contracts。
• Trace inspect 支持 why visible / why downgraded / why refused。

90 天

• MCP 内部迁移到 ProtocolBridge adapter，public API 不变。
• 完成 session bundle manifest 初版。
• 完成 skill lifecycle 草案和 draft/evaluated/trusted 状态。
• 完成 EvolutionProposal contracts 和 render-to-HTML。
• 新增 self-evolution safety eval suite。

6 个月

• 支持 MCP + A2A experimental adapter + AG-UI event projection proof of concept。
• Subagents facade 支持预算、权限继承/收窄、trace correlation。
• Self-evolution loop 可以从 traces/evals 生成 proposal，但高风险改动仍必须人工批准。
• 如候选 Amendment 6 经实践验证，合并进 Constitution v3.7。

资料来源

本规划参考了以下官方资料和论文。外部资料只作为设计信号，不覆盖 Arcana Constitution。

• OpenAI: New tools for building agents - Responses API、built-in tools、Agents SDK、guardrails、tracing。
• OpenAI Agents SDK docs - agents、sandbox agents、guardrails、human-in-the-loop、sessions、MCP、tracing。
• Model Context Protocol specification 2025-06-18 - host/client/server、resources、prompts、tools、sampling、roots、elicitation、安全原则。
• MCP Authorization - OAuth 2.1、resource indicators、token audience validation。
• Google: Announcing the Agent2Agent Protocol - Agent Card、task lifecycle、artifact、long-running tasks、modality。
• A2A latest specification - task/message/error/security protocol details。
• AG-UI overview - event-based agent-user protocol、interrupts、shared state、frontend actions。
• Anthropic: Agent Skills - progressive disclosure、SKILL.md、skill security、自主 skill 方向。
• LangGraph overview - durable execution、human-in-the-loop、persistence、observability。
• LangGraph interrupts - checkpoint-backed human-in-the-loop interrupt/resume。
• Microsoft Agent Framework overview - agents vs workflows、middleware、telemetry、type-safe workflows。
• Amazon Bedrock AgentCore overview - runtime、gateway、identity、observability、policy、registry、evaluations。
• Google DeepMind AlphaEvolve - candidate generation + automated evaluators + evolutionary database。
• Darwin Godel Machine - open-ended archive of self-improving coding agents with empirical validation。
• MUSE-Autoskill - skill creation、memory、management、evaluation、refinement。
• SkillFoundry - self-evolving skill libraries with provenance and tests。