HallucC 更新日志

CUA 加密包分发通道修复 — 安装包 0.2.1，下载 / 在线激活 / 解密链路恢复可用

• 修复修复 CUA 加密包分发通道 5 处断点，此前「下载 wheel → 在线激活 → 解密模块」整条链路从未真正跑通：安装包下载端点读的是改名前的旧目录（不存在），配置错误被伪装成 404「安装包尚未发布」，现已区分「目录丢失（500 CUA_PKG_DIR_MISSING）」与「确实没发版（404）」两种情况
• 修复服务端激活私钥路径改指正确位置——只改路径、未重生成密钥（重生成会使所有已分发 wheel 永久无法激活）。构建脚本的 HKDF 参数亦与解密端对齐：此前参数漂移导致 wheel 构建成功、体积正常、结构齐全，但激活即 400、import 即解密失败，且三者互不相关、可单独坏掉
• 修复加载器包名由改名前的旧值改为 hccua，否则运行时拦截不到任何子模块（直接 ModuleNotFoundError）；构建脚本产物匹配修正，不再出现「构建成功却报未找到产出 wheel」的假失败
• 新功能新增构建期硬校验：构建脚本启动即比对自身加密参数与随包分发的加载器常量，不一致直接拒绝构建——这类「构建成功但产物不可用」的漂移今后无法静默混过。新增回归测试对 dist 内每个 wheel 复现完整客户端链路（激活 → 会话密钥交换 → 逐模块解密 + 语法校验），并已用坏产物做过负向对照验证
• 新功能hallucc-cua 安装包更新至 0.2.1：29 个模块密文分发，含 P1-9 委托链字段映射与近期新增的截图脱敏 / MCP 体检 / AgentHarm 评测。0.2.0 因上述加密参数问题已隔离，不会被发布；旧版本保留可回滚（同一把服务端密钥包装，仍可直接激活）
• 修复修正 CUA webhook 两个用例的长批跑假失败：投递是 4 线程 + 64 容量队列、单次超时 10s，批跑中队列积压到满时事件按 best-effort 语义被丢弃（服务端只记 warning），原写法固定 sleep 3s 会把「事件被丢弃」误判成功能失效；改为按队列排空判定，丢弃时明确跳过并说明原因

多智能体委托链治理（P1-9）— 委托上下文传播 / scope 继承收窄 / 链级跨跳污点分析 / 审计链路视图

• 新功能Harness 内部多智能体链治理：Claude Code Task 子代理 / Codex agents / Kimi 等多 agent 场景下，每跳单独无害、链路整体高危的「风险跨跳洗白」现在可被检出。动作携带 chain_id / agent_id / parent_agent_id / delegation_depth 链字段，审计端按 chain_id 跨会话聚合（与既有 trace_id 关联检测 id 是两个维度，命名有意错开）
• 新功能scope 继承收窄：父 Agent 的 task_scope 随委托传给子，子只能收窄不能放大——子声明超出父范围的应用/域名被自动钳掉并记违规，hook 下该次委托直接阻断（L3 delegation_scope_widening）；未声明维度继承父限制（空 ≠ 无限制）
• 新功能委托链规则族：registered_agents（未注册 agent 出现于链中 L2）、delegation_max_depth（委托深度超限 L2）、delegation_sensitive_relay（子 Agent 经 type/paste 外发命中敏感模式内容 L2）；红线一致——只升不降、L3 不变、空链字段零影响向后兼容
• 新功能链级跨跳污点分析：敏感源步（读敏感路径 / 文本命中凭据模式，哪怕单步 L0）→ 后续外发步（L2/L3 + 浏览器/终端/带 URL）跨 agent 边界配对成传播链；存在跨跳传播时链路聚合级别抬到 L3 并置 risk_diluted（洗白信号）——单步视角漏掉的风险在链路维度补回来
• 新功能审计回放增委托链视图：/cua/audit 左侧出「委托链」列表（链路卡 + 会话数 + 最高级别），链路详情按 agent 缩进展示树形时间线，传播链上的步高亮，链级聚合徽标 + ⚠ 风险跨跳洗白徽标 + 跨跳传播计数；配套 GET /cua/audit/chains 列表与详情端点（含 analysis 聚合分析）
• 新功能委托上下文两条传播通道：harness 能控制子进程环境时注入环境变量（HALLUCC_CUA_CHAIN_ID / _AGENT_ID / _PARENT_AGENT_ID / _DEPTH / _SCOPE）；Claude Code 类无状态 hook 走 ChainStateStore 会话状态文件（原子写 + 24h TTL），cua hook 已内置 Task 落栈与 SubagentStop 弹栈——并行子 Agent 归属按栈顶近似，chain_id 关联始终可靠
• 文档跨组织 A2A 强制治理维持暂缓（协议演化中），仅落 ActionRecord 契约种子为未来留数据采集与兼容；使用指南补 B8 多智能体委托链章节，设计文档补 delegation 模块；新增约 30 项测试覆盖收窄矩阵 / StateStore 栈语义 / 规则族 / hook 判定 / 污点分析 / 链路端点用户隔离

CUA 路线图 5 项收尾缺口清零 — 截图脱敏 / MCP 体检 CLI 与网页 tab / 审计偏离率 / AgentHarm 评测与第三方基准区块

• 新功能截图敏感区域脱敏 mask_sensitive_regions：密码框打码后再进 VLM/审计，支持五种框格式 + padding 扩框 + 坐标越界夹取；失败时返回 None 而非原图（静默放行原图等于把密码像素发给第三方）
• 新功能MCP 配置体检上齐两件套：新增 cua scan-mcp 离线 CLI（--baseline rug pull 对比 / --save-baseline / --fail-on CI 门禁 / --json，退出码 0-1-2），/cua 页新增「MCP 体检」区块（与代码审计并列：工具描述投毒 / 权限过大 / rug pull 变更 / 供应链四类检测 + 风险等级 + 基线哈希）
• 新功能审计回放增会话维度任务范围偏离率：遍历审计事件 matched_rules 聚合 scope_deviation 命中，摘要条内出 n/total 步偏离率徽标（纯前端聚合，不动后端）
• 新功能AgentHarm 有害任务评测（适配版）：6 类任务 13 有害动作 + 12 benign 对照，头部指标为「有害动作是否至少进入 L2+ 人工确认」；实测守卫率 69.23% / 硬阻断 23.08% / 任务级守住 50% / 正常动作误打扰 0%，分数为真实缺口未调参（测试断言不达标满分）
• 新功能/cua 页公开视图新增「第三方基准对照」区块：AgentDojo（无攻击完成率 100% / 攻击下 28.57% / 注入拦截 100%）与 AgentHarm 双卡片 + 两条本地一键复现命令，明示分数由本地脚本产出、非第三方评分
• 文档路线图文档逐项核对并标注 5 项缺口全部补齐；hccua 包 README 补 MCP 体检 CLI / 截图脱敏 / AgentDojo 与 AgentHarm 三节并修正 run_agentdojo 函数名；新增 28 项测试覆盖三件后端改动

CUA 竞品差距 M0–M3 全量落地 — 信任项 / 凭据保护 / 域名分级 / 裁决通知 / 意图对齐 / 沙箱模板 / 截图胶片 / 离线 CLI

• 新功能信任项三连：检测结果免责提示（本结果仅为分级参考，未执行实际拦截）+ 规则库版本号 ruleset_version（classify / benchmark / 审计事件均携带，可核对在线检测与本地 Gate 是否同版）+ 审计留存 TTL（默认 30 天自动清理，私有化可调）
• 新功能Takeover 凭据保护：凭据词表 / 支付域 / 登录域 / VLM 语义四层检测，命中即挂起等用户亲手输入，agent 不替用户输密码；takeover 不进记住缓存、不参与批量、白名单不可豁免
• 新功能域名与金额分级：domain_blocklist（L3）、domain_unknown_nav（L2，首次接触需确认）、paste_to_unknown_domain（敏感粘贴到非白名单域 L3）、amount_threshold（支付金额超阈值 L2→L3）；域名匹配支持 punycode 归一化防同形异义绕过
• 新功能裁决通知 Webhook：注册企业微信 / 钉钉 / generic 三模板推送（HMAC-SHA256 签名 + SSRF 防护），载荷含一键裁决链接（15 分钟 HMAC token，免登录裁决页）
• 新功能任务意图对齐 task_scope：allowed_apps / allowed_domains / forbidden_elements 三维偏离检测，越界升一级处置（只能收窄不可放宽），裁决页展示偏离维度
• 新功能注入防护深化：视觉注入检测（极小字号 / 低对比度 / 图片嵌指令 + VLM 兜底）+ 来源可信度分级（url_bar=5 → unknown=0，低可信来源指令升级）+ 污点追踪接入来源标签
• 新功能AgentDojo 公开基准适配：workspace 任务 + 注入攻击用例产出 utility / utility-under-attack / security 三指标；新增 bench_data/cua_inject 版本化样本库回流入口
• 新功能沙箱执行环境模板：deploy/cua-sandbox（只读根 + tmpfs /tmp + 非 root + egress 白名单 iptables/nftables 生成器 + Gate sidecar）+ sandbox_preflight 四项自检（容器 / 根只读 / /tmp 可写 / 无长期凭据），自检结果上报 /cua 页「环境合规」徽标
• 新功能审计回放升级：截图胶片时间线（≤200KB/张、≤500 张/会话，元数据先拉点击再取 blob，阻断步红标锚点跳转，缩略图放大模态）+ 证据包导出（json/pdf，SHA-256 manifest 验篡改，include_shots=false 仅元数据隐私导出）
• 新功能离线检测 CLI：cua scan --offline 本地 ActionGate 逐步分级（JSON 数组 / JSONL，--fail-on CI 门禁），分级层本身即零外呼离线规则包；激活缓存（机器绑定密钥加密、0600、默认 30 天续期）——首次联网激活后离线可用，换机器/换用户自动失效
• 文档CUA 使用指南补 B5 离线 CLI / B6 沙箱拓扑 / 截图胶片与证据包章节；设计文档升级四道防线架构；MCP 与 Dify / Coze 插件同步 task_scope 与域名字段，中英文 i18n 补齐

CUA 三路径完整 + 开发者工具链 — SDK / MCP Proxy / GitHub Action / CLI 回归对比

• 新功能路径 C 代码审计上线：静态分析 Agent 源码，输出能力包络报告（危险导入 subprocess/os.system、权限边界 eval/exec、注入面、危险默认值、沙箱缺失），纯规则 0 LLM 0 额度
• 新功能采集口改造：格式自动识别 + 工具调用映射 + trace 输入；新增 browser-use / OpenHands / MCP JSON-RPC 三种格式适配器，累计支持 11 种轨迹格式
• 新功能Web 上传改为双 tab（粘贴代码 / 上传文件）各注明支持格式，检测 Agent 区支持多文件拖拽 + 选择、自动合并后统一分级
• 新功能SDK 采集器：@trace_tool 装饰器 + LangChainTracer 回调 + pyautogui_patch 零改动接入，Agent 代码两行接入即自动采集并分级
• 新功能MCP Proxy 运行时拦截代理：MCP 配置加一行 proxy 即零代码改动接入 L2 远程确认 / L3 硬阻断
• 新功能GitHub Action 双模式（mode: scan | audit）+ --fail-on 门禁，有 L3 或高危审计项自动红灯；audit 模式纯规则不占检测额度
• 新功能CLI 新增 diff + save-baseline 回归对比（改完代码后看风险面新增/消失/升级），注入→危险动作传播链分析输出攻击溯源叙事
• 新功能MCP 工具集新增 check_cua_code_audit（npm hallucc-mcp@0.1.5），Dify 插件同步新增 cua_audit_code 工具
• 文档CUA 使用指南双 tab 同步 + 中英文翻译，API 文档新增 CUA 分组与 /cua/audit-code 端点说明

CUA 商业化上线 — 支付宝全链路 + 流量包/加购包 + 标准模式 23s→6s

• 新功能支付宝全链路上线（真实 ¥0.10 单全链路验证：下单 → 收银台 → 回调 → 自动开通）
• 新功能计费重构：流量包（100 次/包，不限有效期）+ CUA 加购包（¥59/月 500 次确认，可与任意主套餐叠加），主套餐体验/Pro/Pro增强阶梯互斥仅可升级
• 新功能安装包 ECIES 加密分发（源码密文分发、import 时在线激活），/cua 页权益感知：未付费不可下载
• 新功能逐声明验证并行化，标准模式单条延迟 23s → 6s
• 新功能领域样本批量生成器（pilot 先行 + 二次 LLM 核验），legal / finance / medical 扩样至 510+ 条
• 新功能落地页改版 + 各页 UI / i18n 打磨；审计回放轨迹新增「名称」列（动作可读名），L2 确认超时 120s → 3600s 并补可见性与倒计时
• 修复客户端默认 base 补 /api 前缀（此前公网激活/确认/审计上报打到前端页面）
• 修复审计上报遇 200 text/html 不再静默丢数据，名称列补 editor 映射；回放 # 列按会话递增
• 文档API Key 占位符 sk-... 统一为 hc_xxx（对齐真实 key 格式），guide 页与 wheel README endpoint 补 /api

插件生态三平台落地 — 原生 Dify 插件 + Coze 升级 + 仓库拆分

• 新功能Dify 原生 Tool 插件发布（4 工具：幻觉检测 / Agent 轨迹检测 / 安全网关 / CUA 分级），薄客户端防泄密
• 新功能Coze 插件 openapi 升级 v1.1.0：新增 Agent 轨迹评估与 CUA 动作风险分级端点
• 新功能MCP 与插件源码迁出至独立公开仓库（fredyee/hallucc-mcp、fredyee/hallucc-plugins），单一事实源
• 修复Dify manifest 补 privacy 字段、README 补源码仓库链接（marketplace 审核要求）；/plugins 页 Dify 区块切换到原生 .difypkg

MCP Server 公网部署就绪 — 一键接入 Claude Code / Cursor

• 新功能MCP Server 公网部署：nginx /mcp 反向代理 + allowedHosts 域名放行 + server.json registry 远程条目 + README 公网接入说明
• 修复server.json 按 MCP Registry 2025-12-11 schema 修正（repository.source / id 字段与版本升级）

公开 Agent 幻觉评估基准 v1.0（100 条样本）+ 真实评测结果公示

• 新功能公开 HallucC-Agent-Bench v1.0：100 条中文 Agent 执行轨迹样本（20 契约回归 + 80 真实分布对抗），覆盖数字微调 / ID 替换 / 零值软失败 / 常识矛盾 / 单位幻觉 / 循环绕过 / 多步传播等 14 类失败 shape
• 新功能评测结果公示：fast 档（纯规则 0 LLM）对抗 80 条召回率 93.7% / 误报率 0%；standard 档（DeepSeek LLM judge）子集 20 条召回率 100%，覆盖 fast 档不覆盖的 LLM-only 模式（SCOPE_DRIFT / PREMATURE_STOP）
• 新功能排行榜页 HallucC-Agent-Bench 区块改读真实 JSON 落盘数据，契约回归（设计内 recall=1.0）与真实分布对抗分套展示，不再写死 100%
• 新功能新增 Agent 轨迹检测特有边界说明（私有工具输出 / 离线重放忠实度 / schema 缺失降级 / 轨迹截断），见局限性页
• 文档新增本更新日志页 + sitemap 收录 /benchmark 与 /changelog

Agent 幻觉检测 v2 + 真 NLI 双 tier 路由 + 数据导入落地

• 新功能P0–P4 Agent 幻觉检测 v2：全链路轨迹评估、六维结构化评分卡、12 失败模式码、guard 事中拦截
• 新功能真 NLI 双 tier 路由：110M 基线 + deep→330M，claim_alignment 数值/ID/单位三类篡改确定性检出
• 新功能Agent 数据导入缺口补齐：POST /agent-traces/import 端点 + 落地页接入/导入 tab
• 修复中文 prompt 注入 / 凭证泄露漏报修复（规则层 4 模式补全）
• 新功能PNVS 手机验证码认证 + Pro 定价重构

检测器 pip 打包 + CLI + 规则层解耦 + 管理后台

• 新功能幻觉检测器 pip 打包 + CLI 入口，规则层与 LLM 解耦可独立调用
• 新功能管理后台访客管理：今日三指标 + 7/30 天趋势折线图
• 新功能P0–P2 前端优化全量落地 + 密码重置后端配套
• 文档技术概要设计 v3.1 前置模块 + 三层默认开启措辞诚实化

HallucC 初始发布：多源搜索交叉核验 + 最小修正

• 新功能核心管线发布：声明提取 → 多源搜索验证 → 置信度评分 → 最小修正建议
• 新功能隐私脱敏流水线：PII 脱敏后入库，原文不落盘
• 新功能领域模式：医疗 / 法律 / 金融 专属 prompt 与可信源
• 新功能搜索 fixture 录制/重放，离线评测零成本