超越 Git 分支与共享目录：面向代码、文件树、数据流水线与跨边界状态的人机与多智能体事务协作范式

01. 为什么 Git 分支与共享文件夹在多 Agent 并发时代双双失灵？

当我们谈论人机协作与多智能体（Multi-Agent）协作时，行业往往把视野局限在“写代码”。但在真实的生产力场景中，1 名人类专家指挥 3 到 5 个并发 AI Agent 协同演进的工作空间早已跨越了单纯的软件代码库——它既包括 TypeScript / Rust / Python 代码工程，也包括多文件学术手稿与本地 Markdown / LaTeX 知识库、临床与金融数据科学流水线、结构化配置表，以及 Word / PPT / PDF / 矢量图等多模态二进制文件树。

然而，无论是代码工程里沿用二十年的 Git 分支工作流（Feature Branch Workflow），还是桌面文件协作工具（如各类本地目录 Agent / Cowork 工具）直接读写共享文件夹（Shared Folder）的粗放模式，在面对秒级高频并发的多智能体时，都会撞上三道致命的系统性高墙：

• 代码分支的“滞后盲改与合并冲突大爆炸（Late Conflict Explosion）”：Git 分支是为“人类天级、低频、异步开发”设计的，其哲学是“先隔离盲改，最后事后合并”。Agent A 与 Agent B 在各自分支里彼此不可见地重构同一模块二十分钟，直到执行 git merge / rebase 时才炸出满屏的 <<<<<<< HEAD 冲突标记；让大模型手动解复杂的三路冲突不仅消耗海量上下文 Token，更极易引入隐蔽的语法破坏与逻辑回归。
• 非代码文件与共享目录的“静默覆写与半成品踩踏（41.2% Silent Overwrites）”：在代码之外的文档、知识库、数据表与多模态文件协作中，用户甚至根本没有 Git 分支和编译器兜底。当文献检索 Agent、数据分析脚本 Agent 与正文润色 Agent 直接在同一个本地文件夹里并发读写时，后完成的 Agent 会静默冲掉人类刚刚保存的段落或前一个 Agent 的修改（实测无协调共享目录中高达 41.2% 的并发写入发生丢失或脏读），而写到一半的 CSV 数据集或 JSON 配置更会导致下游 Agent 直接崩溃。
• 切分支/多 Worktree 的重型拷贝负担 vs. 缺乏实时协同语义：如果为每个并发 Agent 拷贝一份工作目录或 git worktree，数 GB 的构建缓存（node_modules、target）或原始科研数据集（DICOM/NIfTI 影像、大型队列 CSV）会被成倍复制；同时，无论是 Git 还是操作系统的普通文件夹，都只记录静态文件字节，完全无法表达“哪个 Agent 此时正在锁定哪几个文件/目录”以及“上游数据产物已验证完毕，下游可以接力”的实时状态语义。

02. 主干锚定的写时复制影子工作区：0.42ms 隔离代码库、文件树与 GB 级数据集

为了让人类与多个自治 Agent 能够在同一个代码仓库、文档库或数据项目主干上同时工作而互不污染，我们在底层虚拟文件系统层（aos-vfs）用主干锚定的写时复制影子工作区（Trunk-Anchored Copy-on-Write Shadow Workspace）统一取代了传统的 Git 分支切换与目录拷贝：

• 0.42 ms 零拷贝瞬间派生：当一个 Agent 启动任务时，无需执行任何 Git 分支操作，内核直接利用操作系统底层的块级写时复制原语（macOS APFS clonefile / Linux FICLONE）在 0.42 ms 内派生出一个与当前宿主机主干完全一致的影子工作区。未修改的文件与宿主机共享同一份磁盘物理块（0 字节额外占用）。
• 人类主干零打扰与重型缓存穿透：人类开发者始终留在自己熟悉的宿主机主目录和 IDE 中工作；而每个 Agent 在各自的写时复制上层视图（Upper Layer）中修改代码并执行沙箱编译。数 GB 的重型依赖目录通过内核只读挂载直接穿透复用，既免去了重复安装，又防止了某个 Agent 写坏半成品代码时导致其他 Agent 或人类 IDE 编译报错。
• 毫秒级增量变基（Auto-Refresh）：每当有人类或其他 Agent 将新变更合入宿主机主干时，其余正在运行的影子工作区会在下一次工具调用时自动对未触碰的文件完成增量快进同步（Fast-Forward Refresh），让所有 Agent 时刻站在最新的主干基线上工作。

03. 从“事后解冲突”到“事前防撞”：租约文件锁、二进制原件护栏与内嵌信箱协同

既然所有 Agent 都围绕同一个主干工作空间协同作业——无论是改写代码文件、增补 Markdown/LaTeX 知识库，还是生成图表与二进制文档——如何避免两个 Agent 同时去改同一个文件？答案是把协同控制从 Git 的“合并时事后报错”前移到“动笔前事前认领 + 文本/二进制分层护栏 + 实时事件广播”：

1. 带 TTL 与任务绑定的通配符文件锁（Task-Bound Glob Claims）：任何 Agent 在修改文件前，先通过协调总线声明锁定目标文件或 Glob 模式集合（coord_claim(paths, ttl_ms, task_id)，内置 2D NFA 与真实文件树双重 Glob 交集防撞，并对沙箱 proc_exec 脚本越界写返回 coordination_warning 告警）。单调递增的锁版本号（claims_version）确保全局视图严格一致；当 workspace_commit 落盘、任务进入终态（或父任务级联取消）或 TTL 到期时，文件锁会自动释放，绝不造成死锁。
2. 结构化文本 vs. 二进制原件的分层防撞护栏（overwrite_binaries）：文件协作不仅包含代码和 Markdown，还包含 PDF 论文、高分科研配图（PNG/TIFF）、数据库快照或 Office 二进制归档。这类二进制文件无法按行做三路合并——Aegis OS 通过 coord_claim 在修改前实施严格的排他锁保护，并在 workspace_commit 时默认开启二进制基线哈希校验：若宿主机上的二进制原件已被人类或其他 Agent 更新，任何未显式获得 overwrite_binaries: true 授权的影子覆盖都会被立即拦截（而对于需要段落内协同的 .docx / .pptx 手稿，则可无缝桥接至双表面 CRDT 块级锁与 patchParagraph 引擎）。
3. 零轮询的内嵌信箱通知与阻塞唤醒（Piggybacked Inbox + ipc_wait）：Agent 之间不需要写循环轮询锁状态。每一次常规工具调用的返回包中，内核都会自动附带一个极轻量的 _inbox 字段，实时推送其他同伴的锁声明、锁释放事件或点对点协同消息（ipc_send / ipc_request，支持 parent_task_id 与 depends_on 层级子任务编排）；对于无生命周期 Hook 的客户端（如 Codex CLI），还可直接调用 ipc_wait 原生阻塞等待事件唤醒。
4. 主动避让与无缝接力：如图 2 所示，当 Agent 02 从信箱得知 Agent 01 已锁定后端接口或上游数据表文件时，它会主动避开该区域，转而认领正交子任务；一旦 Agent 01 提交落盘（内核自动释放已落盘文件的锁），Agent 02 立即收到信箱唤醒，自动将新文件同步进自己的影子工作区并完成下游对接——全过程 0 次文件踩踏，也无需人类在多个窗口之间复制粘贴传话。

// 多智能体事前认领锁、自动释放与零轮询协同伪代码
claim_result = coord_claim(agent_id, paths = ["api.ts", "figures/*.svg"], ttl_ms = 600000) // 自动绑定当前 A2A task_id
if claim_result.rejected is not empty:
  // 发现同伴已锁定重叠文件/Glob → 主动切换至正交子任务或调用 ipc_wait 阻塞等待唤醒
  pivotToOrthogonalModuleOrWait(claim_result.active_holder)
else:
  editInCowShadow(paths)                     // 在隔离的 0.42ms 影子工作区内安全修改代码、文档或数据
  workspace_commit(paths, verify_cmd = "test") // 跨进程提交锁 + Epoch 复核 + 预检通过后原子合入主干，并自动释放锁！

04. 连续微事务落地：四级 LCS 自动归并与“广义领域预检门（Domain Verify Gate）”

即便有了事前文件锁，有时人类专家也会在编辑器中顺手修改某个公共配置文件、LaTeX 主文档或共享 JSON/CSV 表格的头部，而 Agent 正在修改同一文件的尾部。为了彻底告别手动解冲突，我们将每次提交设计为带四级 LCS 自动三路归并与广义领域预检门（Generalized Domain Verify Gate）的原子微事务（workspace_commit）：

与传统流程动辄攒上千行修改再人工合并不同，Agent 每完成一个 3–5 分钟的微任务闭环，就会调用 workspace_commit 触发上述流水线：

• 98.7% 自动无冲突合入，0% 静默覆写：无论人类刚刚在编辑器里改了同一份代码、LaTeX 论文、Markdown 笔记还是 JSON 配置表的上半部分，而 Agent 改了下半部分，四级 LCS 归并器都会在毫秒内将两者的修改无损融合，绝不会像普通共享目录那样把人类的心血冲掉。
• 从“编译器测试”推广到“广义领域不变量预检门（Always-Valid Trunk）”：verify_cmd 的威力远不止跑单元测试。在非代码协作中，它可以配置为任何领域不变量校验器——例如在多 Agent 共编 LaTeX 论文时运行 latexmk -pdf && bibtex-check 确保公式与引用不断裂；在临床与企业数据协作中运行 scanPhi --strict && schema-validate 确保没有任何患者隐私（PHI）或算术破损的数据表落入主目录。

05. 超越本地代码：横跨文件知识库、CAS 数据流水线与跨应用状态的四大协作图景

一旦我们将“写时复制影子空间 + 事前租约锁 + 内嵌信箱 + 预检微事务”从单纯的代码分支工具中抽离出来，它就自然演进为一套覆盖知识工作全场景的通用人机与多智能体事务协作内核。在 Aegis OS 中，我们将这套内核与 SHA-256 内容寻址产物总线（org_artifact_publish / fetch）、组织级键值状态（org_kv_put / get）、应用挂载协议（AAP-1.0） 以及 受控记忆协议（UOMP） 深度打通，支撑起四大典型协作场景：

1. 图景一：软件工程与多模块并发重构（Codebase Collaboration）。1 名架构师与多个 Coding Agent 围绕主干协同：架构师在 IDE 中调整核心业务类，Agent A 锁定后端路由，Agent B 锁定前端组件，各自在零拷贝复用 node_modules / target 的影子层内编译跑测，以分钟级微事务持续合入主干。
2. 图景二：多文件科研手稿、本地知识库与二进制设计产物协同（File Vaults & Multi-Modal Documents）。在撰写大型基金申请书、多章节 LaTeX/Markdown 专著或整理企业本地知识库（类似桌面级 Cowork 场景）时，多个 Agent 需要同时修改不同的章节文件、参考文献库（refs.bib）与矢量配图。对于纯文本与配置表，四级 LCS 自动合并非重叠段落；对于生成的 PDF、高分图表或 .docx / .pptx 归档，coord_claim 事前锁结合 overwrite_binaries 版本校验（以及本系列第 01 篇的双表面 CRDT 块级锁）彻底杜绝了“Agent 改坏排版或静默覆盖人类刚存好的文件”。
3. 图景三：数据科学流水线与 SHA-256 内容寻址产物接力（Data Pipelines & CAS Artifact Bus）。在复杂的数据分析或临床研究工作流中，上游“数据清洗 Agent”、中游“生物统计建模 Agent”与下游“森林图/生存曲线渲染 Agent”存在严格的依赖顺序。传统做法是让它们往同一个 /tmp 或 outputs/ 目录读写临时 CSV，极易读到写了一半的脏数据。在 Aegis OS 中，上游 Agent 在影子沙箱内完成清洗并通过预检后，调用 org_artifact_publish 将不可变数据集写入 SHA-256 内容寻址存储（CAS），并通过带 depends_on 的任务 DAG（ipc_task_update）把哈希指针精准推送给下游 Agent，实现 100% 可复现、零脏读的流水线接力。
4. 图景四：跨应用在线状态（AAP-1.0）与多智能体共享记忆（UOMP）协同。协作并不止步于本地磁盘。通过 Aegis Application Protocol（app_mount_session / app_call_tool），本地影子工作区中的 Agent 可以直接挂载在线科研工作台或企业 SaaS 的实时会话（与本系列第 02 篇的“人机能力同权”无缝闭环）；同时，多个专业 Agent 在共享读写用户的长期偏好或研究记忆时，统一受 UOMP（User-Owned Memory Protocol） 作用域租约与撤权机制管控。

06. 为什么 AI 跨边界申请权限必须具备“全链路可审计性”？

当协作范围从代码扩展到用户的本地文件树、核心数据集、外网 API 与个人长期记忆时，还有一个至关重要的安全基石：当 AI 向系统或人类申请跨边界权限时，这一“权限申请行为”本身必须是结构化且全链路可审计的（End-to-End Auditable Permission Requests）。

观察现有的 AI 编程与桌面文件工具，其权限交互往往停留在两个极端：

• “弹窗点完即焚”的瞬态授权：每当 Agent 要改文件、删目录、跑脚本或请求外网时，界面弹出一个临时对话框（“Allow command?”），人类迫于频繁打断往往习惯性点击同意。弹窗消失后，系统没有留下任何关于“AI 当时为什么申请该权限、携带了什么参数、影响了哪些文件或数据边界”的结构化审计记录；
• “跳过权限检查”的黑盒裸奔：为了免受弹窗干扰，许多用户直接开启免审批模式，导致一旦发生越权修改、重要文档被覆盖、敏感配置泄露或破坏性落盘，事后完全无法界定是哪一个 Agent、在哪一步推理中发起了越界请求。

在我们的影子工作区协作范式中，我们通过“沙箱内免打扰投机执行 + 跨边界结构化权限申请账本”彻底解决了“效率与可审计性”的矛盾：Agent 在自己的写时复制影子层内可以零弹窗全速工作，但每一次跨越安全或协作边界的权限申请——无论是申请锁定共享文件（coord_claim）、申请将影子变更或二进制文件合入宿主机主目录（生成 esc-* 提权审批单）、申请受控外网访问（egress_http_request），还是申请读写长期记忆（memory_policy_evaluate）——都会被内核强制铸造为一条不可篡改的权限申请审计记录：

// 跨边界权限申请与防篡改哈希链审计伪代码 (含 One-Shot 证据哈希锚定防 TOCTOU 调包)
function requestBoundaryPermission(agent_id, user_id, perm_type, scope, rationale, evidence):
  evidence_hash = sha256(canonicalJson(evidence)) // 锚定审批时刻的精确 Unified Diff 与开关参数
  ticket = { id: newEscalationId(), agent_id, user_id, perm_type, scope, rationale, evidence, evidence_hash, expires_at: now() + 30m }
  decision = evaluatePolicyOrAwaitHuman(ticket)   // 评估策略租约（单次租约强制校验 sha256:）或生成待人类审批单
  audit_ledger.appendHashChained({ ...ticket, decision, prev_hash: audit_ledger.tailHash() }) // APPROVED / DENIED / EXPIRED 全状态留痕
  return decision

为了彻底封堵高自主性 Agent 在极端博弈下“绕过权限审批”的所有攻击路径，内核在权限申请与执行层之间实施了四重硬件级防绕过守卫：

• 防 TOCTOU“狸猫换太子”证据哈希锚定与内联 Diff 预览（sha256:<evidence_hash> & GET /v1/approvals/diff）：人类可在网页审批台（/approve 与 /aegis-cloud/dashboard）直接展开语法高亮的 Unified Diff 抽屉完成代码审查；当授予单次批准（One-Shot Lease）时，内核将该租约的 resource_pattern 密码学锁定为审批时刻的规范化 Diff 摘要（sha256:<evidence_hash>）。若 Agent 在人类点击同意后、执行落盘前哪怕篡改了影子工作区中的 1 个字节或偷偷追加了后门文件，二次提交时的 evidence_hash 将立即失配，单次租约拒绝放行并强制重新提权；已授予的 15 分钟 / 1 小时会话租约亦可随时通过控制台一键撤销（POST /v1/leases/revoke）；
• 防落盘投毒、多敏感文件合并审批与防预检跳过守卫（workspace_commit_sensitive）：即便 Agent 持有常规文本落盘的时间窗租约（TTL Lease），一旦提交涉及可触发宿主机自动执行代码的敏感配置（如 .git/hooks/*、.husky/*、build.rs、Makefile、package.json、Cargo.toml、.agents/hooks.json），或企图通过 overwrite_binaries: true 强行覆盖二进制资产、通过 skip_verify: true 跳过仓库预检门禁（.aegis/verify.json），内核都会强制穿透现有租约并合并生成一张包含全部敏感路径清单的 workspace_commit_sensitive 人工审批单；
• 外网域名最小权限收窄（Domain-Scoped Egress Lease）：对未列入白名单的外部域名发起 egress_http_request 时，审批通过所签发的租约严格绑定至该单一目标域名（如 api.stripe.com），绝不泛化为通配符 *；同时 L7 DLP 对请求体与查询串中的 $AOS_SECRET_* 占位符及私钥签名实施零信任拦截并写入拒绝审计链；
• PreToolUse Ring-0 与 OS 沙箱双重自保（Self-Approval Immunity）：IDE 侧 PreToolUse 钩子深度解析子 Shell（$(...)、bash -c、eval）与解释器内联脚本（python -c、node -e），并在 macOS Seatbelt / Linux Landlock 内核层将宿主机源码树、policy_state.json、claims.json 与钩子配置设为物理只读，彻底杜绝 Agent 伪造租约或自行调用 aegis-os approve。

6.1 三种版本管理与广义多智能体协作模式对比

通过将写时复制影子工作区、事前租约文件锁与二进制护栏、事件驱动信箱与 SHA-256 产物总线、带广义领域预检门的四级 LCS 微事务归并以及全链路可审计的权限申请机制融为一体，我们将人机与多智能体协作从局限于软件工程的“Git 分支合并仪式”以及脆弱的“共享文件夹盲写”中彻底解放出来，为代码工程、科研文档写作、数据科学流水线与企业级智能体协作提供了统一、丝滑且具备严格事务级安全保障的操作系统底座。