变更日志
本文件记录项目所有值得注意的变更。
格式基于 Keep a Changelog，项目遵循语义化版本。
[1.6.1] - 2026-11-04
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.8.0 |
| agent-sec-core | 1.1.1 |
| agentsight | 0.15.3 |
| tokenless | 0.9.0 |
| agent-memory | 0.2.12 |
| os-skills | 0.6.3 |
| anolisa | 0.3.20 |
| skillfs | 0.5.4 |
| ws-ckpt | 0.6.0 |
| cosh-ng | 0.28.0 |
发布组合： 以上版本固定用于 Agentic OS 1.6.1 组件发布，可能与 main 上的滚动或 Nightly 组件清单不同。
说明： copilot-shell 和 os-skills 自 v1.6 起未更新；版本表保留它们以展示完整组件组合。
本次仅更新组件 RPM，不发布新的 Agentic OS 系统镜像。
重点特性
- cosh-ng：更新到 v0.28.0，阻止项目配置以及变化后的命令或 Hook 降低审批边界，并限制会话与诊断数据占用，用户可获得磁盘使用可预期的长期安全 Shell 会话（#7244、#6787、#6788、#7157、#7158、#7159）
- agent-sec-core：更新到 v1.1.1，提高策略收敛和策略存储的恢复能力，将 Python 进程 API 接收的命令字符串纳入扫描，并统一 SkillSec CLI，管理员可获得更一致的安全执行结果和可操作的恢复路径（#6944、#8782、#9128、#8907）
- agentsight：更新到 v0.15.3，使结构化文件保护正式生效，并扩展本地轨迹、Token、费用、导出、HTTP 与资源分析，运维人员可在支持的运行时中获得更完整、准确的 Agent 可观测数据
- tokenless：更新到 v0.9.0，完整保留 JSON 结构和数字原文，并在继续压缩前验证 RTK 输出，Agent 可避免工具结果被静默改变，并在兼容时使用 TOON spec v4.4（#8814、#7784、#7752、#8901）
- anolisa：更新到 v0.3.20，识别容器部署，在禁用具有 Skill 逐文件归属记录的 OpenClaw 和 Hermes 安装时保留用户新增或修改的 Skill 文件，并提供可操作的 Adapter 路径恢复指引，管理员可识别容器部署并按指引恢复失败的 Adapter 生命周期操作（#8206、#6221、#9220）
- agent-memory：更新到 v0.2.12，重新检查采集授权，按 Agent 隔离新观察记录，原子发布覆盖写入，并在恢复前校验快照，用户可获得更可靠的记忆写入、恢复和检索结果（#8865、#7776、#8982、#7631）
- skillfs：更新到 v0.5.4，支持托管挂载恢复，隐藏安装暂存状态，并在 Skill 移动后立即刷新发现结果，Agent 在安装和运行期变更中都能看到一致的 Skill 视图（#8883、#7767、#9124）
- ws-ckpt：更新到 v0.6.0，恢复被中断的回滚，在 btrfs 压力不安全时拒绝新建快照，并为大量快照提供分页，用户可恢复工作区而不进一步扩大存储或索引损坏（#8570、#7888、#3451）
组件更新
- cosh-ng：更新到 v0.28.0，忽略会降低系统或用户安全性的项目级
approval_mode、allowed_tools 和配置 Hook；将命令审批和项目 Hook 授权绑定到实际内容；为会话设置 100 MiB/7 天预算，为诊断日志设置 20 MiB/3 天预算；对 Access Key 和 PEM 内容脱敏；并修复路由恢复、超时提示、审批卡片、特殊文件名 Diff 及低空间 Checkpoint 处理，用户可在不产生无界本地状态的情况下保持安全、稳定的会话（#7244、#6787、#6788、#7158、#7157、#7159、#7396、#7350、#7489、#7333、#8042）
- agent-sec-core：更新到 v1.1.1，拒绝过期策略结果，允许较新的 Delete 意图终止已经耗尽的 Apply 重试，确定性恢复 SQLite 状态，并在默认位置不安全时回退到
/var/lib/agent-sec/policy/policy-state.db；Python os.system、os.popen 和 subprocess 的命令字符串复用现有 Shell 规则；skillsec 成为主要命令组且 skill-ledger 保留为别名；包含 YAML 敏感字符的 Skill 名称可保持有效；移除不受支持的 scope create --cgroup-id，管理员可获得行为更可预期的系统安全服务和更明确的迁移方式（#6944、#8782、#9128、#8907、#8948、#9134）
- agentsight：更新到 v0.15.3，将结构化文件策略转换为可执行的内核规则，覆盖删除、重命名或交换、截断和普通写入；发现 Gemini CLI、Hermes 与 Claude SDK 会话；源会话清空后同步移除已采集轨迹；保留部分批量用量、仅含用量的记录和裸 JSON SSE 用量；只使用最新已回答请求进行准确率分析；在 ATIF 中保留 Developer 指令、工具完成时间和本地会话标识；解码叠加的 HTTP Content-Encoding；报告阈值前校验资源证据；并减少首个 TLS 请求漏采和采集查询内存，运维人员获得与真实采集证据一致的文件保护状态和分析结果
- tokenless：更新到 v0.9.0，在完整 JSON 候选中保留空字段、
null 和数组空位；TOON 无法保持数字值或类型时回退到精确 JSON；将 TOON 编码升级到 spec v4.4；仅在 RTK 实际命令和字节一致性证据匹配时恢复 Tool 后压缩；compress-response 与 compress-schema 不再额外添加换行，Agent 可在不改变结构、数字语义或输出字节的情况下压缩受支持的响应（#8814、#7784、#7752、#8901、#7789、#7796）
- anolisa：更新到 v0.3.20，将容器部署报告为
container，不再继承宿主机云产品类型；在安装记录包含 Skill 逐文件归属信息时，禁用 OpenClaw 和 Hermes Skill 会保留用户新增或修改的文件；祖先目录被重定向或成为悬空链接时拒绝清理并保留安装记录；Adapter 操作因路径边界被拒绝时说明恢复方法；遥测生命周期命令返回标准 JSON 信封，管理员可识别容器安装并按指引恢复失败的生命周期操作（#8206、#6221、#9220、#8706）
- agent-memory：更新到 v0.2.12，每次 OpenClaw 自动观察都会重新检查持久化采集授权，将新观察记录立即归属到
MCP_CLIENT_NAME，在发布 mem_edit 或 mem_write 前准备完整替换文件，将 mem_revert 限制为指定文件，在恢复前校验 gzip 快照，启动索引前先监听变化，将带点文件名及类似布尔运算符的词按普通文本搜索，明确报告损坏的索引行，并在随包目录中发布全部 38 个运行时工具，Agent 可在写入、回滚、启动和检索链路中获得最新、隔离且可恢复的记忆结果（#8865、#7776、#8982、#9082、#7631、#8880、#9127、#9089、#8012、#8854、#9148）
- skillfs：更新到 v0.5.4，允许
skillfs mount --config mount.toml --managed 使用启动配置恢复异常 Worker 并读取当前来源内容，在点号开头的挂载点和慢主机上稳定启动，隐藏 Flat 与 Hermes 暂存目录，Skill 移动后清除旧发现条目，选择 Yarn 时对含义不明确的 npm 命令保持原样，并按字面值处理 --logs-dir，Agent 和运维人员可获得一致的挂载、安装状态、发现结果和统计数据（#8883、#8080、#7767、#7742、#9124、#9003、#9180）
- ws-ckpt：更新到 v0.6.0，在 Daemon 重启后完成被中断的回滚并恢复正确的回滚头，在 btrfs 数据或元数据达到安全阈值时拒绝新建 Checkpoint，为快照列表提供分页，校验 Cron 锁所有者并拒绝调度值中的换行符，隔离临时 Diff 快照并拒绝异常列表，在创建快照前验证元数据和父链，拒绝从工作区内部更新插件，明确报告初始化失败，并在回滚后重新挂载文件监听，用户可在大型或高压力工作区中获得有界的失败和恢复行为（#8570、#7888、#3451、#8273、#3755、#6774、#6198、#3558、#5695、#6956、#8467、#6216、#6217、#5054）
兼容性
- agent-sec-core：
scope create --cgroup-id 已移除，请改用 --pid、--process-name 或 --executable；升级后请确认系统级 Daemon 正常运行（#9134）。
- agentsight：Enforcer 协议从 v4 升级到 v5，且不向后兼容；AgentSight 与 Enforcer 必须同步升级。默认 CPU 节流目标为单个逻辑 CPU 的 25%，默认连接容量为 128。
- tokenless：完整 JSON 压缩不再删除空字段或空值；外部 TOON 消费端必须支持 spec v4.4（#8814、#7752）。
- anolisa：读取
product_type 的程序需要接受新增的 container 值；容器镜像中的过期 PRODUCT_TYPE 声明应更新或移除。Skill 文件保留机制要求安装记录包含 Skill 逐文件归属信息；缺少此类信息的旧版 OpenClaw 和 Hermes 安装在通过路径校验后仍会清理整个 Skill 目录，禁用前请备份用户新增或修改的 Skill 文件（#8206、#6221）。
- agent-memory：服务端与 Adapter 需要同步升级到 v0.2.12，旧服务端会拒绝新的
memory_capture Hook；升级前请校验时间衰减参数（#8865、#8701、#8699）。
- ws-ckpt：存储压力下拒绝创建 Checkpoint 属于预期保护行为；插件更新不能在工作区目录内部执行，并且更新后的协议要求 cosh-ng v0.28.0 或更高版本。
[1.6] - 2026-10-16
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.8.0 |
| agent-sec-core | 1.0.1 |
| agentsight | 0.14.2 |
| tokenless | 0.8.7 |
| agent-memory | 0.2.10 |
| os-skills | 0.6.3 |
| anolisa | 0.3.18 |
| skillfs | 0.5.2 |
| ws-ckpt | 0.5.0 |
| cosh-ng | 0.27.0 |
发布组成： 上表版本以 Agentic OS 1.6 稳定正式版实际交付为准，
可能与 main 上滚动更新或 Nightly 的组件 manifest 不同。
说明： copilot-shell、os-skills 和 ws-ckpt 自 v1.5 起未发生版本变化；
此处列出它们以展示完整技术栈组成。
重点特性
- cosh-ng：更新到 v0.27.0，新增受管理安装的升级提示与适配 IMDSv2 的地域 Telemetry，并提供安全的登录回退，用户可在空闲提示符发现新版本，且 Enhanced 启动失败时仍能进入 Shell（#3465、#3406、#3395）
- agent-sec-core：更新到 v1.0.1，在 Agentic OS 1.6 的 RPM 和 Raw 正式包中，将 root 管理的 V2 daemon 设为 Policy、扫描、Observability 和 Skill Ledger 的默认 Runtime，并强化 daemon、Storage 与 SkillFS 集成，管理员可通过统一的系统级安全控制面执行策略，同时获得明确的迁移边界（#3257、#6551、#7563、#3295、#6826、#6931、#7122、#7629）
- agentsight：更新到 v0.14.2，以可热加载的总容量预算统一管理 SQLite Storage，并改进 Provider 解析、Token 统计、Trajectory 分析、Dashboard 与 Enforcement 可靠性，运维人员可在支持的 Runtime 中获得更完整、准确的 Agent 可观测数据（#7478、#7329、#7193、#7398、#6562）
- tokenless：更新到 v0.8.7，新增 QwenWorkCN 本地模式集成与 OpenClaw 同轮压缩，默认启用完整 HTML 渲染，并确保数值、Schema 与归档对话语义不失真，Agent 可压缩更多实时上下文而不静默改变 Tool Result（#7257、#7124、#3473、#7069、#7048、#7042）
- anolisa：更新到 v0.3.18，新增 Intel Mac 交付、sec-core Raw Backend 与 QwenWorkCN Tokenless 管理，并强化安装、更新、日志、Telemetry 与回滚记录，管理员可在更多平台上更安全地部署 1.6 技术栈（#3448、#6551、#7368、#7635、#6450、#7197）
- agent-memory：更新到 v0.2.10，新增经过校验的 Linux x86_64/ARM64 Raw 包、可发现的延迟 Tool 与完整 MCP 子进程清理，用户无需源码构建即可安装，并可在重载 OpenClaw Plugin 时避免残留 Memory 进程（#7648、#7649、#7645、#7482、#7661）
- skillfs：更新到 v0.5.2，将认证通知与 Live Source 解析接入 Rust sec-core daemon，并强化隐藏 Skill 写入边界、Watcher、Mount 恢复、解析及大通知处理，运维人员在变更和关闭流程中可获得更安全、一致的 Skill View（#3295、#5382、#4530、#6202、#7297、#7189）
组件更新
- cosh-ng：更新到 v0.27.0，仅对受管理安装在安全的空闲提示符显示可用升级命令，在仅支持 IMDSv2 的实例上发现地域 SLS Endpoint 并兼容旧 Metadata Service，同时仅在 Enhanced 尚未产生副作用就启动失败时回退原生 Login Shell，用户可获得可执行的升级指引，且不会出现重复登录 Session 或干扰未受管理安装（#3465、#3406、#3395）
- agent-sec-core：更新到 v1.0.1，在 Agentic OS 1.6 的 RPM 和 Raw 正式包中，将 PII、Prompt 与 Code 扫描、Security Events、Observability 查询、Policy/Scope/Binding Reconciliation 和 Skill Ledger Trust 迁移至 root 管理的 V2 daemon；新增按 Owner 隔离的查询、本地模型扫描、系统级签名与默认 Skill 目录、可复现 V2 RPM 构建与 V2 Raw 包、root daemon 校验、连接限额、Retention、SQLite 路径检查和受限 SkillFS 通知响应；从 V2 CLI 中移除旧版本地执行、部分 V1 命令及 SkillSec 密钥轮换，管理员可运行加固后的共享安全服务，并遵循清晰的所有权与吊销规则（#3257、#6551、#7563、#3286、#3384、#6596、#6679、#6745、#6826、#3295、#6931、#7099、#7419、#7188、#7122、#7103、#7295、#7296、#7629）
- agentsight：更新到 v0.14.2，为全部 SQLite Store 应用默认 2200 MB 的可配置总预算，并优先清理占用最大的 Store；在 Agent 退出时仍记录没有响应体的调用；强化 Anthropic、Gemini、Codex、Responses、Legacy Completion、HTTP/2、SSE、Tool Call、Finish Reason、Tokenizer 与 Token Usage 处理；查询命令支持
--db，并改进 Agent Discovery、Trajectory Filter、Batch Analysis、Reuse Label、Semantic Search、Dashboard 分页与指标、Interruption 聚合、Storage Maintenance、Audit Validation、Enforcement、OOM 检测和旧 Kernel 兼容，用户可查询和分析更长期的 Agent Workload，并减少事件缺失或错误归因（#7478、#7329、#7193、#7398、#6562、#7385、#7451、#7032、#7403、#7413、#6781、#7326、#7467）
- tokenless：更新到 v0.8.7，在写入时回收过期 Stash 记录，默认启用完整页面 HTML 提取，新增随包交付的 QwenWorkCN 本地模式 Adapter，并在同轮 Model Request 前压缩受支持的 OpenClaw Tool Result；正确保留只读
sed 与 Inline Code，将异常 Tool 参数交回 AgentScope/QwenPaw Host，去重 Selective-Claw Recall，保护 JSON 数值精度和 OpenCode Runtime Validator，支持通过 ANOLISA_DRY_RUN=1 预览 Qwen Code/OpenCode 卸载，并在 Statistics Storage 不可用时继续压缩，Agent 可获得覆盖面更广且更安全的无损压缩（#3565、#3473、#7257、#7124、#4963、#6393、#5288、#5299、#4859、#7040、#7069、#7048、#7348、#7395）
- anolisa：更新到 v0.3.18，交付 Intel macOS x86_64 CLI 产物并识别兼容的 cosh-ng Release，新增 sec-core Raw Backend、OpenClaw Capability Consent 关闭选项及 Tokenless QwenWorkCN 本地模式 Plugin 管理；校验 RPM Backend、Repository、Kernel Requirement、Archive Path、Raw Conflict、Registration Schema、Adapter State 与 Post-uninstall Hook，修复 npm Launcher，脱敏 Repository Error，改进 RFC3339 日志查询和 Telemetry 重试/关闭行为，并识别 Linux ARM64 SkillFS/ws-ckpt Package，用户可获得更安全的多平台生命周期管理和更易恢复的失败操作（#3448、#3554、#6551、#7368、#7635、#6450、#7197、#7294）
- agent-memory：更新到 v0.2.10，要求 OpenClaw Adapter Binary 具备可执行属性，发布包含 Memory Server 与内置 Adapter 的 Linux x86_64/ARM64 校验归档，引导 Agent 通过 Tool Search 或直接调用发现延迟加载的 Memory Tool，并在 Plugin 释放时等待 MCP 子进程退出，用户可更早发现配置错误、更轻松地安装、稳定调用 Tool，并干净地关闭或重载（#4855、#7648、#7649、#7645、#7482、#7661）
- skillfs：更新到 v0.5.2，与 Rust sec-core SkillSec daemon 互操作以完成认证扫描和 Activation，阻止通过已打开 Handle 或嵌套文件系统操作修改隐藏 Skill，在 Flat/Hermes 变更中保持 Listing 与 Inode Identity，限制 Watcher 和 Activation 等待时间，保留既有 View 并报告跳过或冲突的 Skill，强化 Managed Mount 复用与关闭，兼容更多 Skill 文本格式，并在通知接近 64 KiB Frame 限制时回退为 Whole-Skill Rescan，Agent 可读取稳定的 Skill 内容，运维人员也能保留 Source Data 并获得可操作的 Mount 状态（#3295、#5382、#4530、#6202、#7297、#7189）
兼容性
- agent-sec-core V2 RPM/Raw 迁移：通过 Agentic OS 1.6 V2 RPM 或 Raw 正式包升级时，安全操作要求使用 root 管理的
agent-sec-core.service，默认 Socket 为 /run/agent-sec-core/daemon.sock。请将 AGENT_SEC_DATA_DIR 和 Model Service 配置迁移至 daemon 环境，将 PII Rule 移至 /etc/agent-sec/pii-checker/rules.yaml，更新仍使用 harden、verify 或 log-sandbox 的脚本，并保留 V1 Security Events 与 Observability 数据，因为这些数据不会自动导入。通过 make build-all 和 make install 完成的源码安装目前仍交付 V1 Python CLI 和 User Service（#3257、#6551、#7563、#3217、#7283、#3286、#6605）。
- agent-sec-core Skill Ledger Trust：V2 使用单一系统签名密钥，不导入 V1 密钥或 Trust History；升级后需要重新扫描 Skill。v1.0.1 会拒绝
rotate-keys 和 init --force-keys。如需吊销已认证 Skill，必须确保其路径不再被已启用的默认目录、其他精确或通配 managedSkillDirs 条目，或已认证 SkillFS mount 覆盖；移除或停用所有适用的授权来源后重启 daemon，并使用 check 或 show 验证该 Skill 已不再受信（#3295、#7629）。
- Tokenless OpenClaw 要求：OpenClaw Adapter 要求 OpenClaw 2026.6.6 或更新版本，并在同轮 Model Request 前压缩受支持的实时 Tool Result。Host 在 Middleware 执行前截断的文本无法由 Tokenless 恢复；适用时应使用包含上游修复
2f620b970a04 的 Host Build（#7124）。
- Tokenless HTML 默认行为：CLI、Runtime 与 Python SDK 现在默认启用完整 HTML 页面提取。如需保留原先的显式开启行为，请设置
TOKENLESS_HTML_EXTRACTION_ENABLED=0 或 SDK html_extraction_enabled=False；Git diff 裁剪仍需显式开启（#3473）。
- QwenWorkCN 本地模式：Tokenless 与 ANOLISA 支持 macOS 本地桌面模式，不支持 Security Workspace 或 Linux VM 执行。由脚本安装的旧版本必须先卸载，才能交由 ANOLISA 接管 Plugin；完成后需重启 QwenWorkCN 并在应用内确认 Activation，因为 CLI Status 无法确认 Runtime 是否已加载（#7257、#7368）。
- SkillFS 与 sec-core 配套：需同步升级 SkillFS 与 agent-sec-core，才能使用 Rust daemon 的认证扫描与 Activation。通知属于 Best-effort 而非 Exactly-once；过大的 Path List 会在 daemon Frame 限制内转换为 Whole-Skill Rescan（#3295、#7188、#7189）。
[1.5] - 2026-09-24
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.8.0 |
| agent-sec-core | 0.13.2 |
| agentsight | 0.13.1 |
| tokenless | 0.8.4 |
| agent-memory | 0.2.8 |
| os-skills | 0.6.3 |
| anolisa | 0.3.15 |
| skillfs | 0.5.0 |
| ws-ckpt | 0.5.0 |
| cosh-ng | 0.26.0 |
说明： copilot-shell 与 os-skills 自 v1.4 起未更新；版本表保留这两个组件以展示完整组件组合。
重点特性
- cosh-ng：更新到 v0.26.0，新增持久化受管 Task，支持断线后查看进度以及快照预览、对比和切换，用户可持续执行长任务，工作区恢复后无需重启 Gateway 即可让新任务使用恢复后的内容（#2911、#3438）
- agent-sec-core：更新到 v0.13.2，补齐 V2 Policy、Scope 和 Binding 管理，将代码扫描、安全事件、遥测和 AgentSight 策略下发纳入同一运行链路，管理员可通过统一流程管理和审计安全策略（#3062、#3097、#3103、#3203、#3246、#3300）
- agentsight：更新到 v0.13.1，新增用户偏好分析、轨迹步骤分类检索和人工标注评审，并加强文件删除防护，用户可从历史 Agent 会话中发现可复用经验
- tokenless：更新到 v0.8.4，新增 Git diff、HTML 缩减和搜索结果路径合并，Agent 可减少上下文占用，同时保留关键结构、诊断信息和原文恢复能力（#3299、#3306、#3173）
- anolisa：更新到 v0.3.15，新增 OpenCode 适配与 cosh-ng 诊断包，统一 Yum 3/DNF 4 行为，并强化 RPM 校验和诊断脱敏，管理员可获得更可信的安装与排障结果（#3346、#3317、#3318、#3417、#3431）
- agent-memory：更新到 v0.2.8，支持非特权会话目录回退，修正 BM25 排序，并分离插件与 OpenClaw 内置记忆工具名称，Agent 可召回更相关的记忆，并同时使用两套记忆系统而不产生命名冲突（#3266、#3296、#3347）
- skillfs：更新到 v0.5.0，将多个 Skill 来源合并为统一只读视图，新增经过 Skill Ledger 扫描和激活的 Kubernetes 分发方式及 FUSE 自动恢复，运维人员可更灵活地交付 Skill 并控制 Agent 可见访问（#3200、#3182、#2701）
- ws-ckpt：更新到 v0.5.0，统一工作区路径身份，恢复中断的初始化和注销流程，并为 cosh-ng 受管 Task 提供受保护回滚，用户可在操作中断后安全恢复工作区状态（#2911）
组件更新
- cosh-ng：更新到 v0.26.0，新增通过
/task 提交持久化 Core/Codex Task、选择 checkpoint 策略，以及受保护的快照预览、对比和切换；支持 /agent 内前缀检索与 Tab 补全、自动生成 Provider 名称、有界且可取消的 ECS RAM Role 探测、原生 Bash 4+ 登录身份和 Intel macOS 11.0+ 安装；默认隐藏所有权状态行，修复只读审批、系统目录路径穿越、/dev/null 分类和 Hook 请求识别，诊断日志默认使用 info 级别，用户可重新连接运行中的任务、使用恢复后的工作区，并获得更可靠的配置与 Shell 交互（#2911、#3438、#3224、#3298、#3358、#3448、#3449、#3345、#3208、#3436、#2708、#2710、#3248、#3331）
- agent-sec-core：更新到 v0.13.2，新增 root 授权的 V2 Policy/Scope/Binding API 与 CLI、支持有界并发协调的 AgentSight 策略下发、daemon 驱动的 Bash/Python 正则扫描与能力查询，以及关联追踪上下文的兼容 JSONL/SQLite 扫描事件记录；统一 Skill Ledger 输入，跳过未托管的只读 Raw 用户 Skill，内置支持可选脱敏的
pii-checker Skill，并提供加固的 systemd 服务、OpenClaw 2.0 能力授权确认和 SQLite 会话证据，管理员可管理策略并审计安全结果，单个 Binding 失败不会阻塞其他处理（#3062、#3097、#3103、#3194、#3203、#3243、#3246、#3300、#3253、#3183、#3241、#3217、#3440）
- agentsight：更新到 v0.13.1，分析语言、协作、测试、纠正和工具偏好并提供来源用户输入；新增按消息、推理和工具类别查询上下文 ATIF 步骤、可复用轨迹标签及人工评审与搜索，以及带域隔离、违规事件和启动清理的 Linux 5.10/6.6 文件删除防护；修复 namespace PID 解析、策略执行事件消费、
conversation_id 初始化、macOS 轨迹错误静默和日志过滤，并新增 Token Plan Provider 预设，用户可依据更清晰的证据调查和复用历史运行记录，并获得更可靠的可观测能力（#3041、#3378、#3186）
- tokenless：更新到 v0.8.4，新增需显式开启且保留变更行与文件元数据的 Git diff 裁剪、附带移除元素计数且不改变文件读取结果的可恢复 HTML 转 Markdown，以及保留匹配项、行号和行尾的搜索路径共享；保留
</html> 后的输出、正确处理 SVG 密集页面，并通过 rtk recall 恢复已保留的截断输出；新增独立安装器与 install-tokenless Skill，支持安装失败恢复、按资源归属卸载并默认保留运行数据、OpenCode 适配，以及改进的 Claude Code 激活、QwenPaw 预检和重复卸载，Agent 可压缩更多输出并恢复原文，同时获得更安全的安装管理（#3299、#3306、#3173、#3386、#3396、#3273、#2322、#3324、#3346、#2193、#3289、#3412）
- anolisa：更新到 v0.3.15，新增支持自定义配置目录、冲突保护和中断重试的 OpenCode Adapter 启用、状态查询与禁用，以及在 Markdown/JSON 报告中附带健康结果且不自动上传的 cosh-ng 本地诊断包；支持精确版本的 Yum 3/DNF 4 操作、遵循系统代理与私有 CA 配置的 RPM 元数据直接校验，以及未配置远程仓库时的本地包查询和 Raw 安装；root 升级预览可检查合并安装集合的 RPM 冲突，区分探测失败与组件缺失，校验声明子包资源，并在保留源站信息的同时脱敏仓库凭据、路径和查询参数，管理员可获得可靠的生命周期检查与可操作的诊断信息（#3346、#3317、#3318、#3353、#3294、#3230、#3240、#3280、#3285、#3292、#3417、#3431）
- agent-memory：更新到 v0.2.8，回退至用户独享的运行时或临时会话目录并检查所有者、权限和符号链接，修正搜索、混合检索与自动召回的 BM25 排序，并将 OpenClaw 工具更名为
anolisa_memory_search、anolisa_memory_get；为 coding profile 声明全部四个工具，对不支持的 expert profile 给出明确提示，加强 sessionId/sessionDir 校验和旧客户端停止顺序，并补齐源码归档的配置、示例与 Adapter 资源，用户无需特权会话目录配置即可运行，并稳定使用两套记忆系统（#3266、#3296、#3347、#3238、#3213、#3231）
- skillfs：更新到 v0.5.0，新增有序多来源挂载，同名 Skill 整个目录由更高优先级来源提供，将只读包复制至私有可写来源供 Ledger 扫描与激活，并阻止从 Agent 可见挂载写入；通过真实 FUSE 读取检测故障并在 Sidecar 内执行有界重挂载，已打开的转换后
SKILL.md 句柄保持内容一致，新句柄可读取来源更新，同时限制缓存和句柄预算，Agent 可稳定读取 Skill，运维人员可在减少业务容器影响的同时恢复挂载（#3200、#3182、#2701、#3202）
- ws-ckpt：更新到 v0.5.0，以规范路径识别工作区、拒绝冲突别名、串行化并发初始化，并在 daemon 重启后恢复中断的 init/unregister 操作；新增受管 Task 的 guarded rollback V2，支持空工作区快照，目录被外部替换时快速失败并提示恢复，正确报告
recover --all 部分失败，在恢复或卸载失败时保护恢复数据并改进空间不足处理；通过 OpenClaw 配置 CLI 管理工具白名单，保留管理员修改的 RPM 配置并修复 Raw Adapter 发现，用户可信任快照结果，并减少工作区恢复中的状态冲突（#2911、#3059、#3069、#3053、#3221、#3070）
兼容性
- agent-memory OpenClaw 工具更名：将提示词和工具白名单中的
memory_search、memory_get 替换为 anolisa_memory_search、anolisa_memory_get，重启 OpenClaw Gateway 并开启新会话。内部 MCP 名称与已存储记忆不受影响（#3347）。
- ws-ckpt 与 cosh-ng 版本配套：受管 Task 的 guarded rollback 要求 ws-ckpt daemon 0.5.0 或更新版本；ws-ckpt OpenClaw Adapter 要求 OpenClaw 2026.2.13 或更新版本。应同步升级 cosh-ng 与 ws-ckpt，并在启用 Adapter 前确认 OpenClaw 版本（#2911、#3221）。
- Tokenless 安装要求：npm 要求 Node.js 16.7 或更新版本。Linux 源码安装仅提供 Tokenless CLI，RTK 和框架 Adapter 由 npm 提供。需要完整 Agent 集成时优先使用 npm，并在切换安装方式前确认资源归属（#2322）。
- cosh-ng 登录 Shell 行为：Enhanced Bash 在 Bash 4+ 中默认采用真实 login shell 身份，并加载
/etc/profile 与 ~/.bash_profile。如需保留旧行为，可设置 shell.login_identity = false（#3358）。
[1.4] - 2026-09-10
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.8.0 |
| agent-sec-core | 0.12.0 |
| agentsight | 0.12.1 |
| tokenless | 0.8.1 |
| agent-memory | 0.2.7 |
| os-skills | 0.6.3 |
| anolisa | 0.3.11 |
| skillfs | 0.4.2 |
| ws-ckpt | 0.4.5 |
| cosh-ng | 0.24.1 |
说明： copilot-shell、os-skills、skillfs 与 ws-ckpt 自 v1.3 起未更新；版本表保留这些组件以展示完整组件组合。
重点特性
- cosh-ng：更新到 v0.24.1，在 Enhanced Assisted Zsh 中将自然语言和路径类输入交给 Agent，同时保留普通 Shell 行为与用户的终端定制，用户无需重建现有配置即可获得更自然的 Zsh 交互（#3004、#3156）
- agent-sec-core：更新到 v0.12.0，使 legacy cosh 与 cosh-ng 的 Skill 调用一致接受已配置策略校验，并降低误报，用户可在两种 Shell 中获得一致的 Skill 策略执行与更少的错误安全告警（#2871、#2928）
- agentsight：更新到 v0.12.1，新增无 eBPF 采集、DashScope 原生支持、Kubernetes 打包和更可靠的长期采集，运维人员可在受限环境与生产环境中持续获得准确的可观测数据（#2954、#2976、#3135、#3147）
- tokenless：更新到 v0.8.1，新增 QwenPaw 支持，以及大型 JSON、构建日志和 CSV/TSV 的可恢复压缩，Agent 可压缩更多类型的上下文并按需精确取回省略内容（#3047、#3052、#3067、#3075、#3089）
- anolisa：更新到 v0.3.11，新增 QwenPaw Adapter 管理，并可在已配置仓库提供 ktuner 时发现该组件，同时改进安装、恢复和审计行为，管理员可获得更可信的生命周期状态，并可在无需 root 的情况下预览组件索引（#2084、#3075、#3127、#3141、#3142、#3158）
- agent-memory：更新到 v0.2.7，改进 OpenClaw 安装、语料检索、配置校验和源码构建准备，Agent 可通过更可靠的安装和召回能力共享持久化记忆（#2560、#3149、#3155、#3177、#3187）
组件更新
- cosh-ng：更新到 v0.24.1，改进提示词路由、终端重绘、历史召回、自定义 Tab 行为、登录 profile PATH 加载、凭据脱敏和 Hook 信任信息，并移除系统 OpenSSL 依赖，用户可保留现有 Shell 配置并稳定使用 Agent 协助，不会丢失命令、输出或敏感历史保护（#2967、#2983、#2996、#2999、#3004、#3030、#3050、#3058、#3156）
- agent-sec-core：更新到 v0.12.0，在 legacy cosh 与 cosh-ng 中执行相同的 Skill 策略，降低扫描误报，通过
skill-ledger 与 check 报告全部完整性结果，并加快容器健康检查，用户可获得一致执行、更清晰的校验结论和更快的就绪检查（#2707、#2871、#2879、#2928）
- agentsight：更新到 v0.12.1，新增无 eBPF 采集、DashScope 原生与 Kubernetes 部署支持、Agent 资源监控和 cosh-ng 流量采集，并改进归因准确性、工具结果保留、策略同步、Token 计量、流式请求收尾、重复记录抑制、启动恢复和采集自动恢复，运维人员可信任时间线与用量统计，并让监控和防护在长期负载及短暂故障后持续运行（#2916、#2954、#2976、#2979、#3005、#3011、#3016、#3081、#3087、#3135、#3147、#3191）
- tokenless：更新到 v0.8.1，新增 QwenPaw 集成、大型 JSON 集合、构建日志和 CSV/TSV 输出的可恢复缩减、通过现有 Shell 工具取回省略内容以及 Trace 关联，并修复各支持宿主的安装与兼容问题，Agent 可对更多工具结果减少上下文占用，并在需要时恢复精确原文（#2249、#3009、#3047、#3052、#3067、#3068、#3075、#3085、#3089、#3094）
- anolisa：更新到 v0.3.11，新增 QwenPaw Adapter 生命周期管理和从已配置仓库发现 ktuner，允许已声明 config 文件修改而不产生错误损坏告警，正确记录 Hook 修改后的文件，避免包冲突后产生虚假 pending 操作，支持无需 root 的组件索引预览，并改进清理、日志、dry-run 和审计指引，管理员可依据更贴近系统实际状态的信息检查和恢复安装（#2084、#2618、#2922、#2926、#2994、#3075、#3118、#3127、#3141、#3142、#3158）
- agent-memory：更新到 v0.2.7，协商 OpenClaw 安装能力，区分权限与配置故障，返回可读取且窗口范围准确的语料结果，在查找二进制前校验配置，并为源码构建准备 Node.js 与 npm 依赖，Agent 与运维人员可获得更可靠的安装、诊断和记忆召回（#2560、#3149、#3155、#3177、#3187）
兼容性
- Tokenless Protocol v2：
tokenless compress 现在仅接受 before_model、pre_tool、post_tool 和 retrieve 生命周期请求；Protocol v1 与 tokenless mcp serve 已移除。应同步升级 Tokenless Core、CLI、SDK 与 Adapter，并显式声明恢复能力，避免协议或检索能力不匹配（#2978、#3068）。
- Tokenless Rust API：使用 Runtime 生命周期方法替代
TokenlessRuntime::compress。直接调用响应压缩的代码须从已移除的 tokenless-pipeline Crate 和 tokenless_schema::ResponseCompressor 迁移至 Runtime 或 tokenless-compressors API（#2974、#2978）。
- Tokenless Python 与 AgentScope API：使用类型化的
before_model、pre_tool、post_tool 和 retrieve 生命周期请求，替代已移除的 ModelRequest、ToolCall、ToolResult 和 ToolResponseCompressor 类型。AgentScope 集成须为自定义工具补充 ToolContract 元数据，并暴露一个静态恢复工具（#2986、#3029）。
- Tokenless 恢复配置：自定义
retrieve_tool_name 必须符合工具名规则。生命周期 Schema 压缩现在要求具备已授权的静态恢复工具和可用 Stash；缺少任一条件时，Hook 会保留原始 Schema。取回省略内容还要求 CLI 或静态工具可访问，且宿主能够替换当前工具结果，其中 Claude Code 要求 2.1.121 或更新版本。已有 <<tokenless:HASH>> 标记仍可读取（#2978、#2995、#3029、#3052、#3068）。
- Tokenless Adapter 配置：OpenClaw 现在使用
post_tool_enabled 控制 PostTool 优化；原有的响应、TOON、skip-tool 和 shell-tool 策略设置已移除，不再控制压缩行为。升级时应删除这些废弃设置，并按需配置 post_tool_enabled。DeepSeek Harness 用户也须移除 Adapter 专用阈值和工具列表，改用共享压缩策略。OpenClaw 仍仅支持无损 transcript 更新，不支持同轮替换或检索（#3009、#3036）。
- Tokenless 统计字段：Dashboard 和集成须使用
content_origin、applied_operations 与 recoverability 替代 seam 和 compressor_chain。旧 SQLite 列仍为兼容性保留，但新记录不再写入这些列；升级后继续查询旧字段可能得到空值或错误报表（#2978）。
- AgentSight 时间戳：内核事件时间戳改为校准至主机墙钟时间，不再基于容器 uptime 计算。若内核事件仍在队列中时 NTP 或管理员跳变主机墙钟，受影响事件的历史墙钟时间将无法重建；已持久化记录不受影响。跨越墙钟调整分析时间线时，应标记每次调整点（#3128）。
- agent-sec-core Python 依赖：Python 部署和源码构建现在要求
cryptography 50.0.1 或更新版本。自定义安装在升级前应根据导出的 requirements 刷新环境（#3015）。
- agent-memory 源码构建：从源码构建 OpenClaw Adapter 现在要求 Node.js 20 或更新版本以及 npm。统一用户模式构建会自动准备这些工具；系统模式构建会在预检时报告缺失工具（#3187）。
- anolisa RPM 预览：在 DNF 4 系统上，RPM 安装的
--dry-run 需要使用 sudo，并可能在检查依赖冲突时刷新仓库元数据。该检查现在会在创建恢复日志前完成（#3158）。
- anolisa 可编辑 config 与状态格式：允许修改 raw 安装的
type = "config" 文件内容不会改变 update 或 uninstall 语义，因此执行任一操作前都应备份已定制配置。新的 kind = "config" 状态记录无法由旧版 CLI 读取；降级前还应备份状态，并将相关自有文件条目改回 kind = "file"，以恢复内容摘要校验（#3142）。
[1.3] - 2026-08-31
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.8.0 |
| agent-sec-core | 0.11.1 |
| agentsight | 0.11.2 |
| tokenless | 0.7.14 |
| agent-memory | 0.2.6 |
| os-skills | 0.6.3 |
| anolisa | 0.3.8 |
| skillfs | 0.4.2 |
| ws-ckpt | 0.4.5 |
| cosh-ng | 0.22.2 |
说明： copilot-shell 与 agent-memory 自 v1.1 起未更新；版本表保留这两个组件以展示完整组件组合。
说明： agent-sec-core 采用发布分支流程，main 仍显示 0.11.0；1.3 组件栈的实际发布物取自 sec-core/v0.11.1 tag，下文条目描述的是该 tag 上的行为，而非 main 上的行为。
重点特性
- cosh-ng：更新到 v0.22.2，新增 Native Shell 集成模式与
Shift+Tab Shell-only 切换，终端输出以卡片前缀区分归属，用户可使用无 Hook 的 Shell，同时一眼看出每行输出来自哪个子系统（#2759、#2832）
- agent-sec-core：更新到 v0.11.1，用 Rust 重写提示词扫描内核，引入可更新规则包与可选的深度分析后端，同时收窄不可见字符规则，用户获得更快的提示词扫描，合法的 emoji 与多语言提示词不再被误判为严重注入（#2409、#2531、#2699、#2900）
- agentsight：更新到 v0.11.2，模型流量抓取失效后可自行恢复，并支持识别 Bun 构建的 Claude Code，用户无需重启采集器即可保持连续观测（#2782、#2792）
- tokenless：更新到 v0.7.14，新增统一的
tokenless compress 入口，stats summary 补齐净节省与 Retrieve 归因，Adapter 最多只发起一次子进程调用，用户可看到估算的净 Token 节省（#2844、#2885）
- ws-ckpt：更新到 v0.4.5，新增 k8s Sidecar 部署（#2034、#2965）与受保护的 checkpoint 协议（快照按存储身份围栏），用户可在容器化工作区做快照，并在崩溃后校验 checkpoint 状态
- skillfs：更新到 v0.4.2，新增 Kubernetes Sidecar 部署与可选的双向 HMAC-SHA256 认证保护 control 与 notify socket，非特权工作负载可跨容器 namespace 使用 FUSE Skill View（#2057、#2449）
组件更新
- cosh-ng：更新到 v0.22.2，新增通过
cosh agent task|doctor|run 暴露的本地 Gateway 控制面、有界的 transcript 内存与 32 MB run_command 输出上限、亚毫秒级交互回显、包管理目录外系统扩展的自动发现，以及 /hooks enable|disable 的层级消歧；修复终端显示与输入路由（已批准命令与斜杠命令执行后终端残留内部标记行、批量粘贴的斜杠输入误路由、含路径的中文提示词、斜杠命令历史召回、中断后终端滞留 raw 模式）、安全与审计缺口（trust 模式下被 Hook 拦截的命令仍被执行、审批批次竞态、Hook 输出畸形时工具调用被静默放行、中断的 precmd 标记退出码被伪造）以及打包问题（RPM 卸载残留悬挂登录 Shell、systemd 255 上 Gateway 启动失败、dnf --dry-run 误报、代码扫描漏检 awk system() 调用），用户获得输出归属可见、内存有界且审批可审计的原生 Shell（#2125、#2400、#2402、#2405、#2529、#2599、#2603、#2605、#2622、#2655、#2667、#2682、#2709、#2843、#2880、#2909、#2914、#2917、#2918、#2938、#2943、#2949、#2955、#2968）
- agent-sec-core：更新到 v0.11.1，新增 SkillFS HMAC 对端认证、
agent-sec-cli capabilities 子命令以及 verify 的 CHECKED/PASSED/FAILED 显式计数；只读系统 Skill 不再让批量扫描失败，占位的 set-policy/rotate-keys 不再虚报成功，daemon 健康检查不再夸大就绪状态，非回环模型服务地址不再被接受，用户可在跨容器部署中审计 Skill 并信任 CLI 的校验结论（#2356、#2493、#2875、#2876、#2892、#2893、#2906）
- agentsight：更新到 v0.11.2，新增历史 Agent 活动视图、会话语义搜索、双语 Dashboard、LLM 延迟指标与存储大小上限；修复模型流量抓取失效后无法自行恢复、采集器因内存占用被终止后不自动重启、事件突增时内存不受控，以及中断事件分组计数与总数不一致，用户在长时间运行中获得存储有界、抓取可自愈的可观测能力（#2578、#2612、#2644、#2733、#2792、#2796、#2817、#2925）
- tokenless：更新到 v0.7.14，新增提供框架中立生命周期的
anolisa-tokenless Python Wheel、AgentScope 与 DeepSeek Harness 集成、Gemini functionDeclarations Schema 压缩以及可配置的数组尾部窗口；修复 Codex 集成重复压缩与小负载 TOON 处理不一致，更多框架上的 Agent 可节省 Token，并通过截断标记内嵌的可执行命令恢复被截断内容（#2433、#2507、#2581、#2627、#2663、#2866、#2869、#2885）
- anolisa：更新到 v0.3.8，新增 Linux x64/arm64 与 macOS arm64 的已验证预编译 CLI 归档、原生 DSH Adapter 驱动、容器运行时 Telemetry 与基于 schema v2 的目标可用性判定；修复 raw 安装误展开渲染内容中的
${VAR}、--quiet 下 Adapter 输出不干净、--dry-run forget 与 restart 预览失真，以及卸载后 systemd 模板实例仍在运行，用户可按平台安装独立 CLI，并在无副作用的前提下预览操作（#2533、#2580、#2603、#2642、#2752、#2762、#2774、#2883、#2903）
- os-skills：更新到 v0.6.3，RPM 补充
anolisa-component(os-skills) 声明，仓库侧组件索引不可用时用户仍可执行 anolisa upgrade 升级 OS Skills（#2576）
- ws-ckpt：更新到 v0.4.5，新增 k8s Sidecar 部署（含中英文指南，#2034、#2965）与受保护的 checkpoint 协议；修复 daemon 内存泄漏最终耗尽内存导致进程被终止（#2554）、并发 IO 下 loop 设备后端 checkpoint 延迟（最多降低至原来的 1/5，#2523）、bootstrap 失败遗留悬空镜像与 loop 设备及启动失败静默退出（#1956）、
config --global 写入未被 daemon 实际加载（#2813），以及 loop 设备全部被占用时的间歇性 bootstrap 失败（#2965），用户可在容器中以更低延迟做快照并获得明确的启动诊断
- skillfs：更新到 v0.4.2，新增 Kubernetes Sidecar 部署、双向 HMAC-SHA256 socket 认证、可选的 Alibaba Cloud Linux 4 Sidecar 镜像，以及启动 reconcile 对晚启动 notify daemon 的有界退避重试；修复 flat normal 模式挂载下分类 Skill 无法被找到，非特权工作负载可使用经认证且在 daemon 重启后自动收敛的 Skill View（#2057、#2449、#2777、#2787、#2790、#2901）
[1.2] - 2026-08-14
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.8.0 |
| agent-sec-core | 0.10.1 |
| agentsight | 0.10.1 |
| tokenless | 0.7.6 |
| agent-memory | 0.2.6 |
| os-skills | 0.6.2 |
| anolisa | 0.2.19 |
| skillfs | 0.4.0 |
| ws-ckpt | 0.4.2 |
| cosh-ng | 0.16.1 |
说明： copilot-shell、agent-memory、skillfs 与 ws-ckpt 自 v1.1 起未更新；版本表保留这些组件以展示完整组件组合。
重点特性
- cosh-ng：更新到 v0.16.1，将一次性 Agent 请求统一到
/agent，并收敛 cosh-core 与 cosh-shell 运行时路径、引入显式协议协商，用户用一个命令即可发起单次 Agent 请求，两条运行时入口行为一致（#2403、#2441）
- agent-sec-core：更新到 v0.10.1，统一各 Agent 框架的 Hook 策略开关，代码扫描、提示词扫描与可观测性均可独立由环境变量控制，用户无需改动 Hook 脚本即可按部署启用各项防护（#2141、#2199、#2239）
- agentsight：更新到 v0.10.1，修正回合边界与 cosh 重启后的会话连续性，将暂停事件重新归类为正常结束而非异常中断（#2320），并新增 Codex 轨迹转换与跟随浏览器语言的 Dashboard，用户可获得准确的跨运行时轨迹并以本地语言查看
- tokenless：更新到 v0.7.6，新增 OpenCode Adapter，并将 Qoder Adapter 迁移到原生插件与 Hook 机制，两种运行时上的 Agent 都能获得命令重写以及就地替换原始工具输出的 Schema/响应压缩
- anolisa：更新到 v0.2.19，新增 raw 安装的包体系后端映射、更新后的 Adapter 变更提示与 2 GiB 完整性降级判定，管理员可在精简 RPM/DEB 主机上安装，大体积组件不再被误判为损坏（#2018、#2271、#2314）
组件更新
- cosh-ng：更新到 v0.16.1，新增带跨目标构建校验与可移植 macOS 启动器的 raw 打包接口；修复时钟跳变导致的输入停滞、流式响应解码不严格、敏感文件写入、退出后残留 raw 模式、临时文件路径可预测、斜杠命令只提示首个匹配项与 CJK 折行，用户获得可复现归档，以及能正确折行东亚文本且不残留终端状态的 Shell（#2176、#2209、#2211、#2357、#2361、#2410、#2411、#2446）
- agent-sec-core：更新到 v0.10.1，新增 OpenClaw 代码扫描拦截模式、更广的提示词扫描入站字段覆盖、只读 Skill 分析、把未打包的 Skill 目录纳入账本检查、加载 Skill 包前先验证清单签名，以及事件查询的会话与运行过滤，用户可拦截风险代码、检查未打包 Skill 并按会话查询安全事件（#2044、#2132、#2185、#2201、#2242、#2277）
- agentsight：更新到 v0.10.1，新增 Codex 轨迹转换为 ATIF、抓取到的模型流量附带进程归属信息且进程号在观测者命名空间内解析（#2360）与 Dashboard 本地化；修复工具调用结束后回合被提前关闭、暂停事件被误判为异常中断（#2320）、流式响应被截断、QwenCode 轨迹数据不准、cosh 重启后会话丢失，以及 cosh 会话临时文件写入未被映射（#2080），用户可在浏览器语言环境下获得准确的跨运行时轨迹
- tokenless：更新到 v0.7.6，
TOKENLESS_DATA_DIR 支持用户 Home 之外的绝对目录，硬关闭 Tool Ready 调用前检查与阻断；修复 JSON Schema 被重复 Stash、Dry-run 配置被环境变量覆盖与 retrieve 额外添加换行，Agent 一次 Retrieve 即可恢复内容，且不再被错误的就绪判定阻塞（#2380、#2386、#2396、#2399、#2425、#2434、#2487）
- anolisa：更新到 v0.2.19，新增
anolisa update 后的 Adapter 变更提示、Qoder 原生插件生命周期支持、Codex Hook 信任持久化、OPENCLAW_STATE_DIR 处理与遗留命令的标准 JSON 信封，并将 Telemetry 迁移到 SLS_PROJECT_PREFIX，用户可跨框架管理 Adapter，并以同一方式解析所有 JSON 输出（#2018、#2221、#2260、#2281、#2319、#2337）
- os-skills：更新到 v0.6.2，新增用于确定性内核诊断、调优与回滚的
ktuner 技能，移除遗留的 OpenClaw 与 Hermes 适配器脚本，并补齐技能账本的认证恢复说明，用户可获得基于规则的调优建议并一键应用与回滚（#1172、#1278、#2185）
[1.1] - 2026-08-08
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.8.0 |
| agent-sec-core | 0.9.0 |
| agentsight | 0.9.1 |
| tokenless | 0.7.3 |
| agent-memory | 0.2.6 |
| os-skills | 0.6.1 |
| anolisa | 0.2.15 |
| skillfs | 0.4.0 |
| ws-ckpt | 0.4.2 |
| cosh-ng | 0.14.0 |
说明： os-skills 保持 v0.6.1，本次发布未更新；版本表保留该组件以展示完整组件组合。
重点特性
- cosh-ng：更新到 v0.14.0，新增可恢复的 Workspace Session、MCP 管理、运行时状态查询和 DashScope Prompt Cache，Agent 可恢复长时间任务、扩展能力并降低重复 Prompt 成本（#1546、#1592、#1778、#1949、#2046）
- agentsight：更新到 v0.9.1，新增优化与 Trajectory 分析以及 Case Containment、System Audit 和 ActPlane 风险执行，用户可诊断 Agent 质量与成本并调查、遏制风险行为（#1728、#1789、#2051）
- agent-sec-core：更新到 v0.9.0，将 Prompt、PII、Code 和 Observability Hook 扩展到 Qoder CLI、Qwen Code 和 Codex，用户可在受支持的 Agent Runtime 间应用一致的安全策略（#1473、#1480、#1495、#1501、#1529、#1535）
- tokenless：更新到 v0.7.3，新增带 MCP 检索的可逆压缩以及 Cosh-NG 响应与命令压缩，Agent 可减少 Model Context 并按需恢复被截断的内容（#1285、#1376、#1669）
- anolisa：更新到 v0.2.15，新增精确版本 RPM/Raw 安装、文件元数据修复和交互式进度，管理员可选择已发布版本、修复安装漂移并查看操作阶段（#1700、#1740、#1987、#2036）
组件更新
- copilot-shell：更新到 v2.8.0，新增需用户同意的
/ktuner 命令、导出 COSH_SESSION_ID 并在切换时复用兼容的 cosh-ng 认证，用户可调优主机、关联子进程活动并以更少配置在 Shell 间切换（#1279、#1491、#1951）
- agent-sec-core：更新到 v0.9.0，新增 Qoder CLI 与 Qwen Code Hook 覆盖、Codex PII 与 Observability Hook、自定义 PII 规则及中文 Prompt Injection 检测，用户在 Prompt、Tool Call、Skill 和 Agent 输出上获得更广泛的保护（#1473、#1495、#1501、#1522、#1554）
- agentsight：更新到 v0.9.1，新增 ATIF v1.7 Trajectory 分析、准确性/性能/成本 Workspace、Case Containment、System Audit 和风险 Dashboard，用户可追踪多 Agent 行为并处理优化或安全发现（#1728、#1789、#1828、#2051）
- tokenless：更新到 v0.7.3，新增基于 Stash 的可逆压缩、MCP 检索服务器、Cosh-NG 压缩和 macOS/Qwencode Adapter 支持，Agent 可在更多 Runtime 中节省 Token 而不永久丢失压缩内容（#1285、#1376、#1669、#1894、#1964）
- agent-memory：更新到 v0.2.6，新增同步索引以及聚焦 Query 和 OR 排序 Recall Fallback，Agent 可从冗长或包含较多停用词的 Prompt 中检索刚捕获的记忆（#1520、#1574、#2047）
- anolisa：更新到 v0.2.15，新增精确版本 RPM/Raw 安装、Telemetry 控制、macOS arm64 npm 交付、文件元数据修复和分阶段进度，用户可跨 Linux 与 macOS 选择已发布版本、控制上报并修复 Linux 安装漂移（#1619、#1700、#1740、#1962、#1987、#2036）
- skillfs：更新到 v0.4.0，新增 Hermes 嵌套 Skill 兼容、可配置读取时转换、认证的 Live Source 解析和强化的权限边界，Agent 可使用适配后的 Skill View，同时 Source Mutation 仍受安全控制（#1146、#1484、#1517）
- ws-ckpt：更新到 v0.4.2，新增 Telemetry Gate 和孤立 Pre-init Backup 自动恢复，用户可在初始化中断后恢复 Workspace 而不受陈旧备份状态影响（#1509、#1601）
- cosh-ng：更新到 v0.14.0，新增 Session 恢复、MCP Tool、Slash Command 状态查询和 Prompt Cache 可观测，Agent 可恢复复杂任务、扩展能力并诊断 Cache 节省效果（#1530、#1546、#1592、#1778、#1949、#2046、#2075）
[1.0] - 2026-07-06
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.6.1 |
| agent-sec-core | 0.7.0 |
| agentsight | 0.7.1 |
| tokenless | 0.6.1 |
| agent-memory | 0.2.1 |
| os-skills | 0.6.1 |
| anolisa | 0.1.20 |
| skillfs | 0.3.2 |
| ws-ckpt | 0.4.1 |
| cosh-ng | 0.11.0 |
重点特性
- anolisa：更新到 v0.1.20，交付统一 CLI 网关提供组件全生命周期管理与适配器编排，用户可通过一条命令安装/更新/诊断所有组件
- cosh-ng：更新到 v0.11.0，完成 Core/Shell 分离与 AI 增强终端，Agent 可跨发行版确定性执行结构化系统操作
- agent-memory：更新到 v0.2.1，新增用户数据主权与 4 类记忆分类，用户可查询/遗忘/控制自动捕获的记忆
- tokenless：更新到 v0.6.1，新增压缩开关与 A/B 对比及 QwenCode 适配器，用户可量化各策略的 Token 节省效果而不影响任务执行
新增组件
- anolisa：首次发布 v0.1.16，构建统一 CLI 网关管理组件安装/更新/卸载（RPM + Raw 双后端），用户可通过
anolisa install --all 一键部署全部组件
- cosh-ng：首次发布 v0.11.0，实现确定性 Agent-OS 接口（5 crate workspace），Agent 可通过稳定 API 跨发行版执行结构化系统操作
- skillfs：首次发布 v0.3.2，构建 FUSE 虚拟文件系统实现基于视图的 SKILL.md 暴露，Agent 可从挂载目录发现并加载技能
组件更新
- agent-memory：更新到 v0.2.1，新增主权工具集（about/forget/consent）、AMA 导入导出、4 类分类和抗 SIGKILL 增量聚合，用户可自主控制记忆留存并跨 Agent 迁移
- tokenless：更新到 v0.6.1，新增压缩开关（dry-run + 按模式统计）、SLS JSONL 遥测默认开启和 QwenCode 适配器，开发者可 A/B 测试压缩策略并在 SLS 大盘监控 Token 节省
- agentsight：更新到 v0.7.1，新增 Token 节省可视化（策略饼图 + 行级 diff）、安全大盘和容器/K8s 全面支持，用户可直观评估各优化策略的节省贡献
- copilot-shell：更新到 v2.6.1，新增
/model 多 Provider 切换对话框和 SLS 会话遥测（32 字段 JSONL），用户可自由切换 LLM Provider 而不丢失配置
- agent-sec-core：更新到 v0.7.0，新增 Skill Ledger 完整性链（GPG 签名工作流）和 Prompt Scanner，用户可审计 Skill 安全状态并在危险操作前收到确认提示
- os-skills：更新到 v0.6.1，新增 ANOLISA Guide 知识库 skill（13 份官方文档）和 OpenClaw 安装预检引导，Agent 可在回答中引用准确的产品文档
- ws-ckpt：更新到 v0.4.1，新增自动清理调度和 TOML 配置热重载，用户可设置保留策略并即时生效无需重启 daemon
变更
- 文档治理规范通过
specs/documentation-standard.md 建立
- 双语命名约定统一为
_zh.md（从遗留 _CN.md 迁移）
[0.6] - 2026-06-12
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.4.1 |
| agent-sec-core | 0.5.0 |
| agentsight | 0.5.0 |
| tokenless | 0.4.1 |
| agent-memory | 0.1.0 |
| os-skills | 0.5.0 |
| cosh-ng | 0.1.0 (MVP) |
重点特性
- agent-memory：首次发布 v0.1.0，交付沙箱化文件系统 MCP 记忆服务器，Agent 可跨会话持久化存储并通过 BM25 检索上下文
- tokenless：更新到 v0.4.1，新增 Hermes Agent 插件和 Tool Ready 4 阶段预检，Agent 工具执行前自动验证环境就绪避免无效重试
- agentsight：更新到 v0.5.0，新增 Skill 维度 Token 指标和 Hermes 支持，用户可精确定位哪些 Skill 消耗最多 Token
新增组件
- agent-memory：首次发布 v0.1.0，构建 19 工具 MCP 服务器（命名空间隔离 + BM25 后台索引），Agent 可在沙箱化文件系统中读写/检索持久记忆
- cosh-ng：首次发布（MVP），完成确定性 OS 操作的生产可用功能，Agent 可获得格式可预测的结构化命令输出
组件更新
- tokenless：更新到 v0.4.1，新增 Hermes adapter runner 和 Tool Ready 机制（4 阶段环境预检集成为 cosh extension），Agent 工具调用前自动校验环境减少因环境故障浪费的 Token
- agentsight：更新到 v0.5.0，新增 Skill 维度 Token/调用指标和 Hermes matcher（含 SSL 支持），用户可在 Dashboard 中按 Skill 查看 Token 消耗明细
- agent-sec-core：更新到 v0.5.0，新增 PIIChecker（输出 PII 检测 + 脱敏引擎）和 Skill Scanner（文本/代码扫描 + 生命周期触发），Agent 输出中的敏感信息被自动拦截
- copilot-shell：更新到 v2.4.1，新增跨 Session 自动记忆提取和 hook reason UI 可见性，用户可看到安全 hook 拦截操作的具体原因
[0.5] - 2026-05-28
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.4.0 |
| agent-sec-core | 0.4.0 |
| agentsight | 0.4.0 |
| tokenless | 0.4.0 |
| os-skills | 0.4.0 |
重点特性
- tokenless：更新到 v0.4.0，新增 Hermes 插件和 Tool Ready 环境机制，Agent 工具执行前依赖缺失被提前拦截避免 Token 浪费
- agent-sec-core：更新到 v0.4.0，交付 PIIChecker 和 Skill Scanner 首版，Agent 输出被扫描防止敏感信息泄露
组件更新
- tokenless：更新到 v0.4.0，开发 Hermes Agent 插件（Tool Ready 4 阶段环境预检 + History 压缩），Agent 运行时依赖在执行前被自动校验
- agent-sec-core：更新到 v0.4.0，新增 PIIChecker 输出 PII 检测和 Skill Scanner 基线能力，用户免受 Agent 无意泄露敏感数据的风险
- agentsight：更新到 v0.4.0，新增 Skill 维度指标展示，用户可按 Skill 查看 Token 消耗分组
- os-skills：更新到 v0.4.0，纳入 Nightly 自动化测试覆盖，Skill 质量持续验证
[0.4] - 2026-05-13
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.3.0 |
| agent-sec-core | 0.4.1 |
| agentsight | 0.4.0 |
| tokenless | 0.3.0 |
| os-skills | 0.3.0 |
| ws-ckpt | 0.2.0 |
重点特性
- agent-sec-core：更新到 v0.4.1，建立 Skill 安全全生命周期管理（含 Prompt Scanner ask 策略），用户在 Agent 执行危险指令前收到确认提示
- tokenless：更新到 v0.3.0，搭建 4 套 Benchmark 对比基线，开发者可量化评估不同 Skill/OS 环境的 Token 消耗差异
- ws-ckpt：更新到 v0.2.0，扩展快照管理命令集，用户可按数量或时间维度自动清理历史快照
组件更新
- agent-sec-core：更新到 v0.4.1，集成 Prompt Scanner 至 cosh hook 和 OpenClaw 插件（ask 策略），用户在危险操作前获得交互式确认
- tokenless：更新到 v0.3.0，构建批量并发 Benchmark 平台并生成对比报告，开发者可一键跑分横向对比 Token 节省效果
- agentsight：更新到 v0.4.0，优化常驻进程内存占用，2C2G 小规格实例可稳定运行可观测服务
- copilot-shell：更新到 v2.3.0，适配 SWEBench 评测框架，开发者可通过 cosh 执行代码修复任务并验证通过率
- ws-ckpt：更新到 v0.2.0，丰富快照增删查能力，用户可按策略自动保留最近 N 份快照
[0.3] - 2026-04-30
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.2.1 |
| agent-sec-core | 0.3.0 |
| agentsight | 0.3.1 |
| tokenless | 0.2.0 |
| os-skills | 0.3.0 |
| ws-ckpt | 0.1.0 |
重点特性
- tokenless：更新到 v0.2.0，交付命令重写和 TOON 上下文压缩，CLI 输出 Token 消耗降低 60–90%
- agentsight：更新到 v0.3.1，新增 Token 节省 Dashboard 和 Agent 异常诊断，用户可可视化节省趋势并检测 Agent 中断
- agent-sec-core：更新到 v0.3.0，新增 Skill Ledger 完整性追踪和 Prompt Scanner，每个 Skill 的签名链可端到端审计
新增组件
- ws-ckpt：首次发布 v0.1.0，构建基于 btrfs 的工作区快照守护进程，Agent 可毫秒级创建检查点并即时回滚文件系统状态
组件更新
- tokenless：更新到 v0.2.0，新增通过 RTK 的命令重写和 TOON 上下文压缩，Agent CLI 交互 Token 消耗减少 60–90%
- agentsight：更新到 v0.3.1，新增 Token 节省 Dashboard（Session/时间段统计）和 Agent 中断检测（drain 机制），用户可监控节省趋势并在 Agent 故障时收到告警
- agent-sec-core：更新到 v0.3.0，新增 Skill Ledger 全生命周期（check/certify/bypass/status/audit）和 Prompt Scanner 越狱检测，用户可追踪并强制执行 Skill 完整性策略
- copilot-shell：更新到 v2.2.1，新增 Extension 架构（command extension + system Hook + 即时激活）、Skill 市场对接和会话导出（Markdown/HTML/JSON），用户可通过插件扩展 cosh 能力并导出对话历史
- os-skills：更新到 v0.3.0，新增 Skill 市场上架和实用技能（xlsx/pdf-reader/image-gen/humanizer），用户可从市场发现并安装技能
[0.2] - 2026-04-15
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.0.4 |
| agent-sec-core | 0.2.0 |
| agentsight | 0.2.2 |
| os-skills | 0.2.2 |
| tokenless | 0.1.0 |
组件更新
- agentsight：更新到 v0.2.2，新增 Token 消耗可观测（精确 Tokenizer 计量），用户可实时查看每条消息的 Token 明细
- copilot-shell：更新到 v2.0.4，新增独立鉴权（STS/ECS RAM Role）和 Skill 市场浏览，用户无需 AK/SK 即可认证并发现可用技能
- os-skills：更新到 v0.2.2，新增 SysAdmin 技能（Linux IO/网络/负载诊断），Agent 可独立诊断常见 OS 性能问题
- tokenless：首次发布 v0.1.0，构建 Skills 级 Benchmark 测试用例，开发者可跨 Skill 量化对比 Token 消耗
[0.1] - 2026-03-30
组件版本
| 组件 | 版本 |
|---|
| copilot-shell | 2.0.1 |
| agent-sec-core | 0.1 |
| agentsight | 0.1 |
| os-skills | 0.1 |
新增组件
- copilot-shell：首次发布 v2.0.1，构建 AI 驱动终端助手（Tab 补全、/bash 模式、sudo、Hook 安全），用户开机即获得 AI 原生 CLI 交互体验
- agent-sec-core：首次发布 v0.1，交付 Skill 签名校验、安全沙箱和系统加固，Agent 操作在受控最小权限环境中运行
- agentsight：首次发布 v0.1，构建基于 eBPF 的零侵入可观测探针，用户无需修改 Agent 代码即可监控 LLM API 调用和 Token 消耗
- os-skills：首次发布 v0.1，整理系统管理、SysOM 运维、DevOps 和云技能库，Agent 可自主执行常见 OS 操作
安全
- Skill 全链路安全加密与数字签名
- 硬件级安全沙箱风险隔离
- Skill 调用身份认证与完整性校验
各组件详细变更日志请参阅：
用户入口
Token 节省
运行时
Agent 可观测
Agent 安全
Changelog
1.2.0
Breaking Changes
- Defaulted source installations to the shared
anolisa namespace across the
component installers; existing independent layouts are left in place and must be
migrated with the original path overrides followed by make uninstall AWPRJ=, or
kept on the previous layout by continuing to pass AWPRJ=. (#9462)
Cedar Policy Engine
- Added a Cedar policy frontend that validates source against the application schema
and stores the original source through the policy create and update paths. (#9298)
- Deployed supported Cedar file-protection policies through the existing Scope, Binding
and reconciliation lifecycle, rejecting translations that exceed the supported subset. (#9442)
- Added
agent-sec-cli policy default, printing a restrictive baseline policy for
Scopes without a bound policy. (#9522)
- Added
agent-sec-cli intent propose to generate reviewable Cedar candidates from a
task description through the optional intent.propose daemon method. (#9450)
- Added a self-contained
policy-authoring skill with intent disambiguation, rule
formalization, worked examples and a self-check checklist. (#9463)
Sandbox Authorization
- Added
agent-sec-cli sandbox run to execute a command under an explicit OS
permission set without a policy service. (#9311)
- Routed Cosh sandbox hooks through Cedar authorization, native approval and receipts,
and showed only the resource operations that require confirmation. (#9379)
- Split OS permission, invocation and lifecycle contracts into dedicated sandbox
contract crates shared by the standalone sandbox and policy paths. (#9456)
Credential Protection
- Added an opt-in secret gateway that replaces Scope-specific fake credentials with
real values for authorized GitHub REST and HTTPS Git traffic. (#9265)
Scanner & Policy Engine
- Retained outer Bash findings when an inline interpreter payload is scanned, merging
findings per rule and de-duplicating identical evidence. (#9418)
- Hardened prompt-scan and code-scan verdict parsing against echoed verdict lines and
verdict words embedded in larger words. (#9446)
- Sped up PII boundary matching for near-limit scans while preserving exact spans and
redacted output. (#9453)
Codex & OpenClaw Hook Integrations
- Blocked native OpenClaw plugin disable and uninstall of
agent-sec through the Code
Scanner hook, including in observe mode. (#9491)
Build & Packaging
- Preserved service enablement and activity state when rolling back split RPMs to the
legacy package layout. (#9472)
Raw Packaging
- Preserved distribution-owned discovery contracts during ANOLISA raw install, repair,
update, rollback and uninstall; new archives now require ANOLISA 0.3.21 or later. (#9351)
Testing & CI
- Measured the full V2 workspace in the incremental coverage gate instead of a fixed
package allowlist. (#9502)
- Stabilized daemon startup and UDS admission tests across the SecCore E2E, Rust and
packaging CI targets. (#9323)
[1.1.2] - Unreleased
Changed
- Install the security runtime, framework integrations and skills through separate RPMs.
1.1.1
Breaking Changes
- Removed the unsupported
--cgroup-id flag from scope create; cgroup assignment
was never accepted by PAP or the AgentSight Adapter, and the flag now fails locally
with exit code 2. Select target processes with --pid, --process-name, or
--executable instead. (#9134)
Code Scanning
- Evaluated command strings passed to Python process APIs (
os.system, os.popen,
subprocess) against the existing Shell rules, with native rule IDs, severity, and
evidence retained; dynamically built commands and argv arrays remain uninferred.
(#9128)
Skill Ledger Runtime
- Added
skillsec as the primary agent-sec-cli command group name, retaining
skill-ledger as a compatible alias with identical arguments, output, and exit
codes. (#8907)
- Escaped the YAML-sensitive characters that JSON quoting leaves literal in a pending
Skill placeholder, so accepted Skill names containing control characters or Unicode
separators survive publication and frontmatter parsing unchanged. (#8948)
1.1.0
Breaking Changes
- Switched source builds and installs to the V2 Rust CLI and host-level systemd
daemon, replacing the source-build Python runtime, user sandbox, and venv
layout; source-install scripts must migrate to the V2 hook-facing command
surface. (#3510)
V2 Policy & Daemon Runtime
- Rejected stale policy reconciliation results atomically, tracked real write-receipt
versions, and let newer Delete intents supersede exhausted Apply retries, with
deterministic crash-recovery coverage for SQLite persistence. (#6944)
Storage Safety
- Fell back to
/var/lib/agent-sec/policy/policy-state.db for default Policy storage
when the primary directory is unsafe, checking both candidates before initialization
and rejecting conflicting databases with actionable diagnostics. (#8782)
Skill Ledger Runtime
- Raised a typed
SkillLedgerError instead of a raw NotADirectoryError when
skill export --output points to an existing file. (#6105)
Build & Packaging
- Updated rustls to 0.23.45 to address a Dependabot security advisory. (#7783)
Raw Packaging
- Added a Linux x86_64 sec-core prebuilt raw-archive release target with SHA-256 and
CycloneDX SBOM sidecars. (#8461)
1.0.1
Breaking Changes
- Removed SkillSec key rotation:
rotate-keys and init --force-keys are rejected before any
write, and the current signing key is retained. Scanned and certified Skills are remembered as
exact paths in the daemon's managedSkillDirs; remove an entry and restart the daemon to revoke
it. (#7629)
Skill Ledger Runtime
- Authorized and scanned standard system and local-user Skill directories by default through
enableDefaultSkillDirs, deriving user homes from local account records in the daemon. (#7419)
- Kept SkillFS notify acceptance within the 64 KiB session response frame so accepted notifies
are no longer dropped and retried. (#7188)
V2 Policy & Daemon Runtime
- Verified that the connected daemon runs as root before V2 clients send requests, and replaced
the legacy shell health check with the
agent-sec-daemon-health probe. (#7122)
- Limited daemon connections per user, reserving connections for root so other users cannot
starve it. (#7103)
- Retained
CAP_SYS_PTRACE in agent-sec-core.service so Scope discovery can read protected
process links. (#7404)
- Ran observability-store retention while the daemon is active, including startup catch-up. (#7099)
- Removed the process-local policy engine repository and prevented polling lock starvation. (#7111)
Storage Safety
- Rejected symlinked and non-regular read-only SQLite database paths instead of following them. (#7295)
- Rejected symlinked and non-regular writable SQLite database paths before opening them. (#7296)
V2 Security Operations
- Stripped information-separator characters from
capabilities environment values and filters
as V1 does. (#7194)
Build & Packaging
- Changed the default agent-sec-core RPM build target to V2 while keeping an explicit V1 target. (#7563)
Testing & CI
- Restored the V2 workspace clippy gate for prompt-scan crates. (#6680)
1.0.0
Breaking Changes
- Security operations require a running root daemon; the CLI does not start it or execute locally.
Manage
agent-sec-core.service with system systemctl; the default socket is
/run/agent-sec-core/daemon.sock. (#3217)
AGENT_SEC_DATA_DIR and AGENT_SEC_MODEL_SERVICE_* are now daemon-wide settings; CLI/hook
exports no longer apply. Configure the daemon environment and restart. Storage defaults to
/var/log/agent-sec, without per-user fallbacks; test isolation requires a separate test daemon,
data directory, and socket. (#7283)- Shared-store queries isolate by trusted OS UID, not account lifetime; root sees all UIDs.
Reusing a UID exposes its retained records to the new account. Keep UIDs stable and have
administrators handle old data and permissions before reassignment. (#7277)
- PII custom rules now use
/etc/agent-sec/pii-checker/rules.yaml instead of the per-user default.
Move custom rules there and restart the daemon to apply changes. (#3286)
- Skill Ledger uses a shared system signing key; V1 keys, keyrings and history are not imported.
Rescan Skills to establish V2 trust; key rotation requires root. (#3295)
- Skill operations require administrator-configured
managedSkillDirs or authenticated SkillFS
mounts. All local users can operate managed Skills; no per-user Skill ACLs are provided. (#3295)
- V1 per-user Security Events and Observability history is not automatically imported into the
V2 system store. No supported cross-store import tool is shipped; preserve V1 data. (#6605)
- Legacy
harden, verify and log-sandbox commands are unavailable in the V2 CLI.
Update dependent scripts before switching to V2.
V2 Security Operations
- Added native V2 PII scanning with V1-compatible CLI and Hook contracts. (#3286)
- Added V2 prompt scanning through the daemon and CLI, including loopback-only model classification. (#3384)
- Added local-model LLM mode for V2 code scanning. (#6596)
- Restored owner-scoped V2 security-event queries and the
events CLI command. (#6745)
- Added V2 observability recording through the CLI and daemon. (#3397)
- Added V2 observability queries, reports, reviews, and owner-scoped correlation through the daemon. (#6826)
- Reported the V2 prompt-scan L2 default and unsupported model overrides through
agent-sec-cli capabilities. (#6595)
- Corrected PII card and email detection boundaries to reduce false warnings and preserve sentence punctuation. (#6597)
- Added CI/CD and cloud token-prefix detection to V2 PII scans. (#6219)
- Added compound credential field-name detection to V2 PII scans. (#6234)
Skill Ledger Runtime
- Migrated Skill Ledger scanning, signing, activation, and recovery to the V2 daemon. (#3295)
- Migrated Agent hooks to V2 daemon-owned Skill Ledger trust and command handling. (#3505)
- Cleaned failed Skill Ledger export artifacts so callers can retry the same output directory. (#4004)
- Retained all Skill Ledger rollback backups for later recovery and inspection. (#3989)
- Reclaimed stale private-key temporary files after interrupted Skill Ledger initialization or rotation. (#4430)
- Reported signed-but-unscanned directories as Skill Ledger warnings. (#4447)
- Detected credential material outside hidden directories in Skill Ledger scans. (#6201)
- Reported FIFOs, sockets, and device nodes in Skill Ledger scans. (#6211)
- Rejected oversized Skill Ledger worker frames before spawning a worker. (#5671)
V2 Policy & Daemon Runtime
- Added persisted V2 policy assignments and AgentSight reconciliation. (#6931)
- Started the V2 daemon automatically after installation. (#6846)
- Ran V2 security-event retention while the daemon is active, including startup catch-up and failure retries. (#6679)
- Preserved daemon cancellation behavior during V2 worker shutdown. (#3470)
Build & Packaging
- Added reproducible offline V2 RPM builds and installed-artifact validation. (#3257)
- Changed the raw package to install V2 CLI and daemon binaries with the system service. (#6551)
Agent Hook Integrations
- Updated OpenClaw plugin deployment and runtime compatibility for OpenClaw 2.0. (#3408)
- Moved OpenClaw PII scanning to the supported model-entry gate while retaining legacy-host compatibility. (#3503)
- Moved OpenClaw prompt scanning to the supported model-entry gate. (#6571)
- Kept Codex PII and Code Scanner Hooks fail-open for non-object input payloads. (#6341)
- Kept the Codex PII Hook fail-open for non-object scan results. (#6654)
- Aligned V2 Code Scanner contracts across CLI, daemon, and installed RPM behavior. (#6822)
- Restricted PII scanning to the current model prompt. (#6970)
- Bounded approval descriptions before they reach the security decision flow. (#6972)
- Preserved native device identity checks for V2 storage and export operations. (#6955)
0.13.2
Build & Packaging
- Enabled ANOLISA RPM adapter installation to discover hook and skill payloads split across agent-sec-core subpackages. (#3480)
0.13.1
OpenClaw Hook Integration
- Updated OpenClaw plugin deployment and runtime compatibility for OpenClaw 2.0, including capability consent and SQLite-backed session evidence. (#3440)
0.13.0
V2 Policy & Daemon Runtime
- Added V2 daemon Policy, Scope, and Binding CRUD APIs with root-only authorization. (#3062)
- Added V2 CLI commands for Policy, Scope, and Binding management through the daemon. (#3097)
- Added AgentSight policy adapters, client integration, and binding reconciliation. (#3103)
- Added bounded concurrent reconciliation workers so one binding failure cannot block the daemon. (#3194)
V2 Security Operations
- Added the V2 daemon-backed Bash and Python regex Code Scanner with compatible structured results. (#3203)
- Added the V2
capabilities command with V1-compatible environment capability reporting. (#3243)
- Added V1-shaped JSONL and SQLite persistence for accepted V2 code-scan events. (#3246)
- Added shared scan lifecycle recording and allowlisted telemetry sinks for V2 security operations. (#3300)
Skill Ledger Runtime
- Skipped unmanaged read-only raw user Skills during default batch initialization and scanning. (#3183)
- Unified Skill Ledger CLI and configuration inputs around supported names, initialization, and policies. (#3253)
Build & Packaging
- Delivered the V2 daemon as a hardened systemd system service. (#3217)
Skills
- Added the bundled
pii-checker Skill for PII and credential scans with optional redaction. (#3241)
Testing & CI
- Added installed V2 RPM end-to-end coverage for CLI, daemon, plugins, and service contracts. (#3162)
Documentation
- Added AARM registry and OWASP Agentic Top 10 security-control mappings. (#3227)
Maintenance
- Flattened the V2 crate layout and updated internal references. (#3319)
0.12.0
cosh & Cosh-NG Hook Integration
- Normalized legacy cosh and Cosh-NG Skill invocation payloads in the cosh Skill Ledger hook so Cosh-NG invocations follow the configured policy instead of bypassing the check. (#2871)
Skill Ledger Runtime
- Tightened six Skill scanner detector patterns to remove deterministic false positives and bumped the static scanner identifier to
cisco-static-only-0.1.1. (#2928)
- Completed the
skill-ledger and check help output with all eight integrity statuses and their production conditions. (#2707)
Daemon Runtime
- Added a POSIX shell
daemon.health probe that avoids Python cold start for container health checks. (#2879)
Rust v2 Framework
- Added the v2 foundation and policy type crates as the base for the Rust security core migration. (#3007)
- Added the v2 daemon service framework with UDS server, request dispatch, and shutdown handling. (#3040)
- Added the v2 PAP service with Policy, Scope, and Binding CRUD over a repository abstraction. (#3027)
Build & Packaging
- Raised the
cryptography runtime floor to 50.0.1 and refreshed the lock and exported requirements. (#3015)
Documentation
- Added design docs for the current daemon protocols and the v2 framework requirements. (#2881)
0.11.1
Prompt Scanner
- Restricted the invisible-character injection rule so emoji ZWJ sequences, Persian ZWNJ, and leading BOM no longer score as critical injections. (#2900)
- Refused non-loopback model service base URLs derived from the environment in both the Rust and Python model service paths. (#2893)
- Reported
daemon.health prompt_scan state as untracked instead of unconditionally ready now that scanning runs in-process. (#2892)
- Dropped the dead prompt model preload environment flag and the obsolete scan-prompt protocol document. (#2886)
Skill Ledger Runtime
- Skipped host-backed read-only system Skills in batch
scan --all and default init instead of failing them. (#2906)
- Rejected the placeholder
set-policy and rotate-keys commands so they no longer report false success. (#2876)
Asset Verification
- Reported explicit
CHECKED / PASSED / FAILED counters and a distinct zero-candidate outcome for agent-sec-cli verify. (#2875)
Security Events & CLI
- Enforced owner-only permissions on files created by the CLI. (#2873)
Documentation
- Documented the five hidden
agent-sec-cli integration commands and their contract caveats. (#2887)
- Documented the rule-only L1 detection boundary and how to read
pass together with degraded fields. (#2895)
0.11.0
Prompt Scanner
- Rewrote prompt scanner core in Rust for native performance. (#2409)
- Added ATR (Agent Threat Rules) rule packs and reduced compile time. (#2531)
- Added Warden-Gen L2 backend option for prompt scanning. (#2699)
- Routed Rust native extension logs to Python logging framework. (#2640)
- Corrected warmup documentation to describe model availability checks and silenced per-invocation scan mode logging in the Codex, cosh, and Qwen Code prompt scanner hooks. (#2745)
Hermes Hook Integration
- Dropped Hermes synthetic warning injection; PII and Skill Ledger policies now use native observe/block boundaries. (#2712)
PII Checker
- Refined PII detection to reduce JWT and Email false positives and aligned user notices across all host adapters. (#2443)
Skill Ledger Runtime
- Added SkillFS HMAC peer authentication for cross-container Skill Ledger deployments. (#2493)
Security Events & CLI
- Added
agent-sec-cli capabilities subcommand for environment-based hook configuration inspection. (#2356)
- Set observability hook timeout to 10s and CLI default timeout to 5s. (#2346)
- Added security observability skill for structured event and session report queries. (#2245)
Documentation
- Corrected and restructured user docs to align with 0.10.x shipped behavior. (#2456)
0.10.1
OpenClaw & cosh Hook Integrations
- Piped prompt text through stdin instead of command-line arguments in the OpenClaw and cosh prompt scanner hooks. (#2445)
Security Events & CLI
- Validated events query parameters in the CLI and the daemon security query handlers. (#2451)
0.10.0
Agent Hook Policy Controls
- Added code scanner enable flags for agent hooks. (#2001)
- Unified hook policy controls across agent integrations. (#2141)
- Added an observability hook environment toggle. (#2199)
- Restored scanner mode environment variable names. (#2212)
- Aligned code scanner hook flags across supported agent integrations. (#2229)
- Added environment-based prompt scanner gating. (#2239)
OpenClaw Hook Integration
- Added block mode support for the OpenClaw code scanner hook. (#2242)
Prompt Scanner
- Widened prompt scan inbound text field coverage. (#2277)
Skill Ledger Runtime
- Added read-only skill analysis. (#2044)
- Included raw skill directories in skill ledger checks. (#2201)
- Authenticated manifests before loading skill package contents. (#2185)
Security Events & CLI
- Added session and run filters to agent-sec-cli events queries. (#2132)
Raw Packaging
- Added component-owned raw package build targets and archive validation. (#2133)
- Updated raw hooks to use the bundled Python launcher. (#2255)
0.9.0
Qoder CLI & Qwen Code Hook Capability Expansion
- Added Qwen plugin and observability hooks. (#1473)
- Added Qoder CLI hook framework support. (#1480)
- Added Qoder prompt injection scanner hook integration. (#1529)
- Added Qwen prompt scanner hook integration. (#1538)
- Added code scanner hook integration for Qoder CLI and Qwen Code. (#1535)
- Added Qoder CLI Skill PreToolUse skill ledger checks for user and project skills. (#1552)
- Added Qwen PII hooks. (#1559)
- Added Qwen skill ledger hook integration. (#1561)
- Added Qoder CLI observability hook integration. (#1580)
- Unified Qwen Code hook trace context handling. (#1738)
Codex & OpenClaw Hook Integrations
- Added observability capability in the Codex plugin. (#1495)
- Added Codex PreToolUse PII checker hook integration. (#1501)
- Showed OpenClaw policy hints in hook responses. (#1525)
Scanner & Policy Engine
- Skipped prompt model downloads when the model cache already exists. (#1467)
- Added custom PII regex rules. (#1522)
- Satisfied L1-L3 telemetry requirements. (#1527)
- Added Chinese prompt-injection and jailbreak rules covering instruction override, authority escalation, encoding evasion, and role-play framing. (#1554)
- Unified model resources into handles to make prompt scanning resource lifecycle more consistent. (#1553)
- Made prompt scan mode configurable through environment variables. (#1620)
- Hardened audit, PII, and notify hook behavior. (#1649)
Skill Ledger Runtime
- Isolated the skill ledger worker for more reliable hook execution. (#1492)
- Resolved canonical skill roots for skill ledger checks. (#1558)
- Exposed skill ledger verdicts to hook callers. (#1577)
Build & Packaging
- Moved prompt-scan benchmarks to a standalone repository to keep the CLI package lean. (#1557)
- Rejected stale CLI wheels during packaging and runtime validation. (#1651)
- Replaced and restarted the daemon service when upgrading RPM packages. (#1681)
Testing & CI
- Fixed OpenClaw E2E test dependencies by excluding ML packages. (#1631)
- Fixed skill-ledger E2E test execution on macOS. (#1643)
Documentation
- Centralized user guides and added documentation lint CI. (#1586)
0.8.0
Build & Packaging
- Installed the Codex plugin during source builds so source deployments include the same Codex integration as packaged installs. (#1302)
- Updated source build scripts for the sec-core install flow. (#1348)
- Fixed system-mode source builds by placing uv-managed Python under the shared sec-core library directory and adding a system install smoke check. (#1400)
Code Scanner
- Added sensitive file path rules for common agent credentials to block API key exposure. (#1401)
OpenClaw Plugin
- Hardened OpenClaw deploy compatibility handling and covered deployment edge cases with unit tests. (#1358)
- Added an OpenClaw plugin cross-version E2E matrix that validates packaged plugin loading, Gateway flows, policy behavior, and observability across supported OpenClaw hosts. (#1372)
Documentation
- Added bilingual agent-sec-core user guide documentation and documentation maintenance rules. (#1311)
- Documented OpenClaw plugin deployment, compatibility, and upgrade guidance. (#1370)
0.7.1
Prompt Scanner
- Degraded scan-prompt to fast mode when model unready; rewrote DENY to WARN and enriched degraded reason with diagnostics. (#1258)
Skill Ledger
- Clarified skill ledger fallback warnings and sanitized finding summaries. (#1240)
- Tamed ledger reconcile noise and typed live-root skip errors. (#1232)
Security Observability
- Added observability mapping for new pii_scan at before_tool_call & after_tool_call. (#1229)
0.7.0
Codex Plugin — Full security integration for OpenAI Codex
- Added codex-plugin with code scanning, prompt scanning, skill ledger, and PII checking hooks. (#1074)
- Supported packaging codex-plugin into RPM. (#1138)
- Fixed codex-plugin paths in Makefile and CI for correct RPM install verification. (#1165)
Code Scanner
- Added code-scanner LLM mode for AI-assisted security analysis. (#1108)
- Added code-scanner static rules for expanded coverage. (#1033)
Prompt Scanner
- Added L4 multi-turn intent detection with ollama model service. (#1060)
- Routed prompt scan to daemon and added prompt model preload for reduced latency. (#786)
- Controlled prompt scan call to use daemon by env variable. (#933)
Skill Ledger — Activation daemon and policy engine
- Added Skill Ledger activation daemon for background integrity monitoring. (#857)
- Added runtime activation resolver for skill trust decisions. (#826)
- Added skill ledger activation policy for configurable enforcement. (#944)
- Updated skill ledger activation and event contracts. (#983)
- Updated Skill Ledger hook defaults and reconcile notify behavior. (#1086)
- Aligned skill ledger hooks across all agent platforms. (#1135)
- Resolved Skill Ledger FUSE and unmanaged roots handling. (#1141)
- Fail-open unsupported Hermes skill ledger scenarios. (#1155)
Daemon & Telemetry
- Added daemon service with systemd integration and RPM build support. (#1090)
- Exposed SQL query endpoint at daemon for observability queries. (#1042)
- Enhanced daemon logging including requests and jobs. (#871)
- Added telemetry schema definition and SLS JSONL writer. (#977, #1008)
- Passed agent_name to telemetry data for multi-agent identification. (#1032)
- Added logging system for structured agent-sec-cli output. (#651)
- Added security daemon socket fallback under
/run/user/<uid> for user-scoped deployments. (#1129)
PII Scanner
- Extended PII scanning coverage with additional pattern detectors. (#925)
Security Observability
- Added session report command for post-session security summaries. (#703)
Sandbox
- Converged sandbox trigger rules for consistent enforcement. (#979)
Adapter & Build
- Added ANOLISA CLI component.toml for adapter manifest integration. (#1067)
- Added systemd-rpm-macros as RPM build dependency. (#1156)
0.6.0
Self-Protection — Tamper-resistance for agent-sec-core itself
- Added self-protect code-scan rules that block disabling/uninstalling agent-sec plugins on OpenClaw and Hermes. (#692)
- Optimized self-protect rules in code-scan to eliminate false positives on prefix-matched plugin names and cover Hermes uninstall/rm patterns. (#710)
Prompt Scanner
- Unified prompt-scan warning format across cosh-extension, hermes-plugin, and openclaw-plugin with structured fields (threat type, risk level, interception stage, model confidence). (#709)
Agent-Sec-CLI
- Added daemon process for agent-sec-cli to amortize startup latency across hook invocations. (#677)
Adapter & Manifest
- Added standalone ANOLISA adapter entry
anolisa-for-openclaw to package sec-core OpenClaw adapter scripts and drive install/detect/uninstall via the adapter manifest. (#549)
- Added Hermes adapter runner: refactored the OpenClaw entry into a target-agnostic
anolisa-adapter-runner and added anolisa-for-hermes wrapper, with per-agent adapter directory layout under sec-core. (#617)
- Centralized sec-core adapter manifest parsing across adapter scripts and moved the manifest under the cli package. (#617)
OpenClaw Integration
- Normalized OpenClaw state directory handling: use
OPENCLAW_STATE_DIR for adapter filesystem state, unset OPENCLAW_HOME when invoking the OpenClaw CLI, and aligned plugin install/list/uninstall handling. (#641)
0.5.0
PII Scanner — Personal information leak detection
- Added PIIChecker scan CLI with text/file input, regex/validator-based detection, redaction, and security middleware integration. (#525)
- Added PIIChecker hooks for cosh and OpenClaw with stdin-based input passing. (#539)
- Added Hermes PII checker hook. (#556)
- Fixed scan-pii module mode detection via subprocess. (#540)
Security Observability — Agent run metrics & posture insights
- Added security observability schema, metrics definition, and CLI with jsonl writer for agent runs. (#488)
- Added openclaw plugin for security observability. (#515)
- Added cosh hook for security observability. (#528)
- Persisted observability records to sqldb with CLI review command. (#544)
- Added observability plugin for hermes. (#553)
- Correlated security events with observability events and supported batch query. (#578)
- Respected trace-id filter in count queries. (#595)
Hermes Plugin — AI Agent integration framework
- Added hermes-plugin framework with abstract hook class and code scan capability. (#536)
- Added Hermes prompt-scan capability. (#579)
- Added Hermes PII checker hook. (#556)
- Added Hermes skill ledger hook. (#565)
- Added observability plugin for hermes. (#553)
- Supported correlation context in hermes agent plugin. (#590)
- Added hermes plugin install for rpmbuild and build from scratch. (#577)
- Stabilized Hermes skill-ledger warning delivery for non-pass skill checks. (#600)
Correlation & Tracing Context
- Unified caller tracing context across CLI, OpenClaw, and cosh with
--trace-context JSON and SQLite schema v2. (#569)
- Supported correlation context in hermes agent plugin. (#590)
- Correlated security events with observability events. (#578)
Skill Ledger
- Integrated code-scanner with skill-ledger for unified security assessment. (#505)
- Updated skill ledger security interactions. (#529)
- Made openclaw skill ledger approval configurable. (#575)
- Added Hermes skill ledger hook. (#565)
- Refined skill ledger scan workflow and aligned documentation. (#529)
- Included skill-ledger e2e in install flows. (#573)
- Fixed skill-ledger hook scope limitation. (#497)
- Fixed managed skill dirs for discovery. (#510)
- Expanded home paths for skill-ledger. (#596)
- Hardened skill ledger recovery and key UX. (#575)
Code Scanner
- Added code-scan requireApproval config for openclaw. (#560)
- Added OpenClaw enableBlock hook policies. (#586)
Security Middleware & Event System
- Fixed TOCTOU race condition at sqldb read path. (#546)
- Made SQLAlchemy lazy import for non-DB subcommands. (#581)
- Lowered frequency for SQL maintenance operations. (#546)
Prompt Scanner
- Added Hermes prompt-scan capability via hermes plugin. (#579)
- Fixed warmup detection from error-string matching to file-based check. (#500)
- Fixed prompt text passing via stdin instead of argv. (#579)
Toolchain & CI
- Added build-all support with local space install for sec-core. (#527)
- Added hermes plugin install for rpmbuild and from-scratch build. (#577)
- Included skill-ledger e2e in install flows. (#573)
- Added adapter manifest for capability discovery. (#577)
0.4.0
Prompt Scanner
- Prompt scanner hook now asks user on missing model instead of fail-open. (#463)
- Added prompt injection detection benchmark dataset and evaluation toolkit. (#464)
Security Middleware & Event System
- Refactored security_events SQLite storage to SQLAlchemy ORM with multi-table extensibility and typed repositories. (#459)
Skill Ledger
- Fixed sign-skill auto-register config (exact awk match) and parse openclaw stdout unconditionally. (#445)
- Unified XDG paths under
agent-sec/skill-ledger vendor namespace. (#445)
- Unified single-skill verify into structured result for consistent output. (#445)
- Converted integration tests from subprocess to Typer CliRunner. (#445)
OpenClaw Integration
- Registered plugin at openclaw gateway explicitly to support Gateway startup planning. (#446)
Refactoring
- Removed deprecated agent-sec-core skill directory; aligned README and spec with agent-sec-cli workflow. (#454)
Toolchain & CI
- Added coverage report for sec-core CI. (#431)
- Enabled rpmbuild and e2e test CI for main branch. (#432)
0.3.0
Prompt Scanner — Multi-layer prompt injection & jailbreak detection
- Added prompt injection/jailbreak detection scanner architecture with L1 rule engine (YAML-based) and L2 ML classifier (Prompt Guard 2). (#253)
- Integrated prompt scanner into cosh hook and openclaw plugin with security middleware lifecycle. (#261, #294)
- Added
list-scanners command, improved CLI help, and made --scanner-version optional. (#284)
- Added prompt scan summary and backend tests. (#294)
- Added prompt-scanner skill definition. (#256)
- Added model warmup, audit logging, and comprehensive documentation. (#253)
- Stabilized batch scanning and verdict logic with thread-safe model loading. (#253)
- Unified prompt scanner response to use "ask" instead of "block". (#341)
- Added prompt-scanner e2e test suite and Makefile target. (#352)
Code Scanner — Static code security analysis
- Added code scanner component with rule-based detection for obfuscation, permission abuse, and more. (#234)
- Integrated code scanner into cosh hook (with ask decision support) and openclaw plugin adapter. (#234)
- Added code scanner CLI entry, error codes, and unit tests. (#234)
- Fixed code scan bugs and added e2e test. (#342)
Skill Ledger — Skill integrity tracking and signing
- Added skill-ledger CLI with middleware integration for skill integrity verification. (#252)
- Added skill-ledger skill definition. (#266)
- Added skill-ledger cosh hook for PreToolUse and openclaw-plugin capability. (#292, #281)
- Improved skill-ledger CLI and cleaned up imports. (#284)
- Restructured skill-ledger config defaults and documentation. (#296)
- Aligned skill-ledger tool name and added path validation. (#317)
- Reworked skill-ledger status, output, and check signing. (#335)
- Skill-ledger hook hardening, e2e suite, and posture integration. (#339)
- Known limitation: skill directory resolution assumes dir name matches SKILL.md
name field; see #381.
Security Middleware & Event System
- Added security middleware framework with unified CLI entry point and metrics integration. (#121, #220)
- Added sqldb writer & reader with query command at CLI interface for security event persistence. (#254)
- Fixed cross-process event loss in SecurityEventWriter. (#226)
- Applied corruption whitelist to stop false-positive DB rebuilds. (#338)
- Added e2e test and fixed bugs revealed during testing. (#330)
Linux Sandbox
- Added sandbox guard and failure handler hooks. (#362)
OpenClaw Integration
- Added hook plugin for openclaw with integrated security scanning capabilities. (#242)
- Added jq requires for openclaw hook package. (#370)
Cosh Extension Integration
- Integrated with new cosh extension API and added builtin commands. (#302)
Performance
- Lazy-load ML dependencies to speed up non-ML subcommands. (#318)
Toolchain & CI
- Migrated Python toolchain to uv package manager and pinned Python 3.11.6. (#227)
- Added sec-core RPM build CI and adapted nightly build pipeline. (#295)
- Initialized code format check CI with python-code-pretty. (#229)
- Added e2e test in RPM build CI. (#369)
Bug Fixes
- Preserved seharden wrapper defaults. (#236)
- Removed dynamic import at middleware router. (#277)
- Improved missing loongshield guidance. (#289)
- Fixed build errors. (#288)
- Removed openclaw hook examples and fixed documentation. (#282)
0.2.0
- Added Hardened skill signing pipeline and added
.skill-meta layout. (#129)
- Added
Cargo.lock to version control. (#149)
- Added
make install-sandbox target. (#68)
- Fixed bubblewrap version compatibility for
--argv0 option. (#112)
- Changed Refactor SKILL.md to executable protocol and align sub-skills. (#130)
更新日志
本文件记录 cosh-ng 项目的所有 notable changes。
格式基于 Keep a Changelog，并遵循 Semantic Versioning。
[未发布]
[0.29.0] - 2026-11-08
新增
- 阿里云 ECS 实例无需
/auth 即可直接提问：符合条件的请求自动使用 OS 控制台模型访问，默认模型为 qwen3.7-plus，已配置的 provider 保持生效；/auth 新增身份入口，可切回已保存身份或其他 provider；按 n 可对本次或后续会话关闭自动访问，按 Esc 可取消激活等待且不重放问题 (#9449)
skills.system_paths 可按 System 优先级登记额外的 Skill 目录，独立于 cosh 安装包提供的 Skill 集合无需自定义安装前缀即可被发现 (#9460)
变更
- BREAKING：
make install 默认安装到共享的 anolisa 命名空间，把 Skill 与扩展放到 /usr/local/share/anolisa，与 RPM 和 ANOLISA 安装器保持一致；使用 AWPRJ= 可保留此前的独立布局，make layout 会打印解析后的目录 (#9462)
- Cosh 现在能发现安装在自定义前缀或自定义 XDG 数据目录下的 Skill 与扩展；RPM 与 ANOLISA 安装器会记录实际使用的目录，运行时可据此查找 (#9460)
- 根目录直接包含
SKILL.md 的目录会作为单个 Skill 加载，其参考文档不再被误判为独立 Skill (#9460)
COSH_HOME 可重定位用户扩展目录与状态目录，状态目录仍以 COSH_STATES_DIR 优先 (#9352)- 通过 ANOLISA 安装器安装时要求 ANOLISA 0.3.21 或更高版本，组件发现数据由该版本提供 (#9351)
修复
cosh-cli checkpoint status 会列出变更检测未运行的工作区，并报告共享监听器丢弃的变更事件数量，负载过高导致变更悄悄停止记录的工作区不再无感知 (#7592)
[0.28.1] - 2026-11-03
变更
- 可通过组件 Makefile 安装已构建的程序与随附工作流 Skill。
[0.28.0] — 2026-10-25
新增
- 持久化会话数据现在受单用户预算约束（覆盖所有配置根目录，上限 100 MiB / 7 天）：最旧的合格会话会被自动清理，活跃会话持有租约不受影响，损坏或不兼容的数据绝不会被删除 (#7157)
- 新增
/bug <description> 命令，基于运行时快照白名单（版本、provider/模型、会话 ID、操作系统、shell 身份、安装包类型）生成预填好的 ANOLISA GitHub issue，打印 URL 供检查，并在图形化 Linux 或 macOS 上尽力自动打开；打开或点击链接时，预填字段会随表单加载发送到 GitHub，issue 只有在用户提交表单后才会创建 (#7258)
- 独立 SLS 遥测通过新增的
os.distro 字段上报操作系统发行版（如 alinux 23、ubuntu 24.04），环境维度统计与 anolisa 统一上报器保持一致 (#8565)
修复
- 检出到本地的工作区项目不再能削弱 agent 安全设置：agent core 会忽略项目级 config hook、
approval_mode 与 allowed_tools；系统/用户级设置以及 shell 侧项目 hook（走独立的内容授权流程）保持不变 (#7244)
- Shell 命令信任现在绑定到审批时命令的精确字节：仅在空白、引号或换行上有差异的命令变体需要各自单独审批，不再静默共享同一信任；执行结果未知的命令（失败、被中断、超时）会失去信任状态，重新执行时再次询问；结构化
{"cmd": ...} 请求也无法再借用已配置纯文本命令的审批键 (#6787, #6788)
- 项目 Shell hook 授权现在绑定到被审核文件的精确内容：授权记录带有内容摘要，hook 文件内容变更后需重新授权才能再次运行，旧版无版本号格式的授权记录需一次性重新授权；hook 加载设有上限（每项目 64 项 / 4 MiB，超限的 hook 目录整体拒绝加载），provider 拥有的请求字段不再能被覆盖 (#7158)
COSH_SHELL_AI=off 现在能阻断所有仍可能发起 agent 请求的路径：提示洞察不再渲染、自动启动或接受确认，hook 咨询审批与 /hint <id> analyze 也不再派发请求；本地 shell 建议保持可用 (#6892, #7256)- 带引号的敏感信息片段——包括裸 access key 与 PEM 私钥——现在会从持久化及恢复的对话、以及 shell provider 证据中脱敏，扩展了既有的 Cookie/token 规则 (#7396)
- checkpoint 命令不再根据不可信的响应长度前缀预分配内存（此前一个恶意 daemon 仅凭长度前缀就能迫使客户端预留 64 MiB）；内存改为随实际数据到达逐步增长 (#7102)
- 手动配置的 AK/SK + security-token 凭据在 token 过期时不再被静默替换为 ECS 实例角色；只有配置为 ECS RAM Role 的 provider 才会从实例元数据刷新凭据 (#6591)
- 修复存量 aliyun provider 在已存储
base_url 为空时重新认证陷入 invalid base_url 错误循环的问题：空值按未设置处理，回退使用模板内置端点 (#8505)
[logging] level 现在对 agent core 与 shell 同时生效（此前 shell 只读取 [ui] log_level）；旧键保留为回退选项，用户指南补充了完整的解析顺序说明 (#8529)- 诊断日志文件现在严格遵守单用户预算（3 天 / 20 MiB），core 与 shell 并发写入时同样生效；硬链接或外部归档的日志副本绝不会被截断 (#7159)
- 修复系统 profile 自带
command_not_found_handle 的发行版（如安装了 command-not-found 的 Ubuntu/Debian）上，登录会话中输入的自然语言提示被当作缺失命令执行并报 command not found、而不再路由给 agent 的问题；用户自己登录文件中定义的处理器保持运行并继续被委托 (#6999)
- 在 enhanced-native 会话中关闭 routing 后，无论直接键入、历史召回还是光标编辑，
/mode routing assisted 都能在本地恢复辅助路由，不再漏给 Bash 当作命令执行 (#7350)
- 延迟到达的超时通知现在以恢复可编辑 shell 行收尾，不再把光标留在空行上；恢复空闲原生提示符也不再吞掉失败命令洞察 (#7489)
- 审批卡片在替换时不再泄漏状态：每张新卡片的 composer 选择会重置，捕获的命令输出保持同步；审批展示在本版本继续内联渲染在 shell 中 (#7333, #8042)
- shell 事件缓冲区上游收缩或重建时，审计日志保持 exactly-once 语义：已记录的事件不会重复落盘，并以一个类型化的
audit.truncated 标记记录缺口 (#2408)
- checkpoint diff 预览正确保留转义及含空格的文件名，不再因被忽略元数据中的非 UTF-8 字节而拒绝合法 diff；不支持的文件名编码现在 fail-closed，返回明确的不可重试错误，而不是破坏 diff 摘要 (#3558)
- btrfs 文件系统用量超过安全阈值时，checkpoint 创建与回滚会被拒绝并返回明确可重试的提示；删除能力保持可用，仍可清理释放空间 (#7888)
- 无
openat2 的 Linux 内核（如 4.19 时代服务器）上，旧式 headless 会话现在可以启动：工作区文件工具被禁用并给出警告，模型会被告知在既有审批策略下改用 cat 等 shell 命令，而不是后端在首次回复前直接退出 (#8769)
- 在 Ctrl-C（SIGINT）处理器注册失败的受限环境中，agent core 不再启动即退出：只警告一次并继续运行，Ctrl-C 仍可通过内核默认行为终止进程 (#2648)
- RPM 卸载或替换时若事务被中断，不再遗留
/etc/shells 临时文件；/etc/shells 重写操作遇到不安全的符号链接目标时直接拒绝，而不是跟随链接 (#6581)
[0.27.0] — 2026-10-11
新增
- 受管理安装现在会在安全的空闲提示符显示可用更新通知及匹配的更新命令；未受管理的二进制保持静默 (#3465)
- SLS telemetry 现在可识别仅支持 IMDSv2 的实例并使用其地域端点，同时保持与旧版 metadata service 的兼容 (#3406)
修复
- 新登录会话仅在 Enhanced runtime 尚未产生副作用时启动原生 shell 回退，既避免用户无法登录，也不会创建重复的登录会话 (#3395)
[0.26.0] — 2026-09-23
新增
- Enhanced Bash 宿主启动的登录会话在 Bash 4+ 上具备真实 login 身份：
shopt -q login_shell 返回 yes、$0 为 -bash，并读取 /etc/profile 与 ~/.bash_profile，与原生 bash -l 登录一致；设置 shell.login_identity = false 可回退旧行为，Bash 3.2 或能力探测失败时也会自动回退 (#3358)
- cosh-ng 现可在 Intel Mac 上安装：raw 后端新增 macOS x86_64 预编译产物（最低支持 macOS 11.0），公开安装脚本可识别 Intel Mac，不再直接报错或回退到 ARM 包 (#3448, #3449)
cosh-cli checkpoint recover 现在支持在原始工作区路径已不存在的情况下恢复被中断的初始化，恢复提示通过 meta.warning 返回 (#3356)
变更
- 诊断日志默认级别由
warn 调整为 info：~/.copilot-shell/logs/cosh-{shell,core}.log.<date> 默认记录 shell/core 启动、core 派生与错误收敛点等此前仅在界面中可见的事件；显式设置的 COSH_LOG、RUST_LOG 或 [logging] level 依然优先生效，debug: true 会把有效级别提升到 debug (#3331)
修复
- 修复 auto 模式下经 rtk 包装的只读命令（如
find /tmp -name '*x*' 2>/dev/null 被包装为 env TOKENLESS_* /usr/bin/rtk …）被误判为需要审批的问题：判定时剥离包装层、执行时仍使用包装形式以保留 RTK 输出压缩，行为出现偏差时回到审批卡片 (#3436)
- 修复在空工作区创建
checkpoint = on 任务并对接旧版 daemon 时失败却没有任何说明的问题：现在会说明未生成快照的原因，并给出升级 ws-ckpt、添加文件后重新提交或改用 checkpoint = off 的明确指引 (#3437)
- 修复切换任务快照成功后新启动的 Core 与 Codex 任务仍使用旧工作区视图、需要重启 Gateway 的问题：现在刷新后的工作区立即生效，刷新失败时新启动按 fail-closed 拒绝执行 (#3438)
[0.25.0] — 2026-09-20
新增
- 托管任务（Managed Tasks）现已贯通端到端流程：通过引导式
/task 表单提交持久化的 Core 或 Codex 任务、选择 checkpoint 策略、断线重连后查看进度，并经由 Gateway 受控的恢复流程安全地预览、对比与切换任务自有快照 (#2911)
/agent 内新增 slash 命令发现：在 Composer 中输入 / 可按前缀过滤候选命令、上下浏览并 Tab 补全，提交的命令经由既有处理器执行并保留确认卡片 (#3224)- Provider 首次配置现已自动化：根据模板类型与已有配置推导出无冲突的默认名称；ECS RAM Role 凭据通过有界、可取消的探测自动检测并提交，无需人工确认 (#3298)
- 仅将 stderr 抑制到 /dev/null 的只读命令（如
find /tmp -name '*x*' 2>/dev/null）在 auto 模式下不再需要审批 (#3208)
变更
- 已声明的
[[hooks.PreToolUse]] 配置 Hook 现在默认生效，不再需要设置 hooks.enabled；显式禁用的 Hook 会给出警告并在扩展注册前移除；Hook 空输出仍默认阻断工具调用 (#3330)
- Enhanced 会话默认不再在提示符上方打印所有权状态行（
◇/◌），保持 shell 原生提示符外观；如需恢复可设置 shell.status_symbols = true 或 COSH_SHELL_STATUS_SYMBOLS=1。开启后符号单独占一行发布，窄终端编辑不再丢失 CJK 字符或光标错位 (#3345, #3254)
修复
- 修复指向 /proc、/dev、/sys 的字面路径穿越拼写（如 /../proc/version）可绕过 readonly 安全检查的问题：路径先做词法归一化再匹配拦截清单，合法路径不受影响 (#2708)
- 修复带引号的 /dev/null 重定向目标（如 2>"/dev/null"）被误分类为文件写入、导致审批卡片理由显示错误的问题：现在按空重定向分类，与无引号形式行为一致 (#2710)
- SysOM 端点解析现在优先选择可达的 VPC 内代理，无公网出口的 ECS 实例因此可以访问 SysOM；通过
COSH_SYSOM_ENDPOINT 或 sysom_endpoint 配置的显式覆盖保留系统代理 (#3188)
- 修复名称中仅包含
HOOK: 子串的中风险工具请求被误分类为 Hook 请求的问题：审批卡片现在提供标准操作而非 Hook 操作集 (#3248)
- 修复 token-plan 网关在模型查询路由返回 HTTP 400 时，有效凭据无法通过
/auth 保存的问题；仅提供模型列表的 provider 仍按原路径拒绝无法验证的凭据 (#3276)
- 修复 zh-CN
/help 面板两处文案：Registry 分组标题已汉化，/agent 摘要措辞更正；en-US 输出不变 (#3363)
- 修复 RPM 安装/擦除脚本对
/etc/shells 的管理不安全问题：cosh-ng 与 copilot-shell 互换（yum swap）时不再丢失替代方仍需要的登录 shell 注册行；更新改为原子操作并保留文件元数据；安装期失败不再静默 (#3367)
[0.24.1] — 2026-09-09
修复
- 修复 TLS 库切换后 agentsight 通过字节码匹配采集 LLM token 在 Rust 编译器升级后静默失效的问题：cosh-core 现导出命名探针符号，agentsight 按符号名挂载，编译器升级不再导致采集中断 (#3156)
[0.24.0] — 2026-09-08
新增
- 在 Enhanced Assisted Zsh 会话中，含斜杠、空格前缀以及汉字开头的路径提示现在会路由到 Agent，而不再漏给 Zsh 行编辑器；普通 shell 输入在路由判定完成后会原样返回 Zsh (#3004)
- Tab 键会在处理后续输入之前交还给 Zsh 行编辑器，自定义 Tab 组件因此可以正常工作；保留的输入会自动重放而无需再按一次键，用户的 trap、按键绑定、历史记录与提示符状态都得到保留 (#3004)
- 默认 Bash Cosh 会话现在会加载登录配置新增的 PATH 目录，因此通过登录配置安装的命令在新终端中即可使用；设置
COSH_SHELL_BOOTSTRAP_PATH=0 可关闭此启动检查 (#3050)
修复
- 修复使用花括号形式的 shell 参数替换（如
${parameter#pattern}）拼接 Cookie 头时可能绕过敏感信息拦截的问题：这类内容不会写入原生 shell 历史；遇到嵌套语法歧义时，整条命令都会脱敏 (#3004)
- 修复名称中带斜杠的 Zsh 函数或别名被误判为不存在的文件路径、因而被路由给 Agent 的问题：这类命令现在仍由 shell 原生执行 (#3058)
[0.23.0] — 2026-09-02
新增
/hooks 面板现在逐条列出每个 Shell Hook 的 ID、来源与信任状态，与 Agent Hook 的展示方式保持一致 (#2999)
变更
- cosh-ng 不再依赖系统 OpenSSL 运行时：HTTPS 改用纯 Rust TLS 栈并继续信任宿主机系统证书库，Linux 安装不再需要 openssl-libs / openssl1.1 系统包，macOS 源码构建也不再要求 OpenSSL 头文件 (#3030)
修复
- 秘密脱敏现在按词边界识别：
sk-hynix、npm_package_version 等普通文本在本地证据中保持可见，而紧邻 CJK 文本的短凭据以及结构化的 Cookie/Bearer/JWT 形态，无论经由哪种 shell 或入口路径产生，都会被一致地排除出原生历史并在日志中脱敏 (#2996)
[0.22.3] — 2026-08-31
修复
- 修复损坏或未闭合的终端控制序列导致后续输出无法显示、命令边界识别中断的问题：超出上限的片段会被丢弃，解析会在下一个有效标记处自动恢复 (#2967)
- 修复预编译 cosh-ng 包在 Ubuntu 24.04 等较新发行版上安装失败的问题：预编译产物改为内置 OpenSSL，不再依赖这些系统已不再提供的 OpenSSL 1.1 运行时库 (#2982)
- 因隐私保护而未写入 Bash 历史的自然语言提示词，现在召回并重新提交时原样保留输入内容，不会被误交给 shell 执行，也不会在召回过程中丢失；换行的提示行不再在下一个提示符处留下残留内容 (#2983)
- 修复成功命令之后紧接着输入未知命令时丢失失败洞察的问题：命令未找到事件现在会正确关联到当前输入，诊断信息照常展示 (#2983)
- 修复提示符重绘后辅助标记重复或缺失的问题：代理交互、取消操作或终端宽度变化引起的重绘，每个提示符行现在都恰好保留一个辅助标记 (#2983)
[0.22.2] — 2026-08-28
修复
- 经审批并交接给原生 shell 执行的 Bash 工具命令，现在在终端中显示审批通过的命令本身，而不再显示内部包装行，在 Bash 4.4 的逐段重绘终端上同样如此；命令执行、审批、历史与退出状态保持不变 (#2949)
- 直接输入、上箭头召回或在窄终端上输入的 slash 命令，现在重新在结果面板前恰好显示一次；内部哨兵行依然不会出现在终端输出、历史与日志中，敏感的 slash 输入也不再被展开进 Bash xtrace 输出 (#2955)
- 包含文件路径、被路由给 Agent 的自然语言提示词会以请求通知的形式保持可见，即使模型的第一个响应事件是工具调用，原始请求也不会从屏幕上消失；敏感输入将作为整字段脱敏 (#2953)
- 外部中断信号发送给 shell 进程时，父终端不再停留在 raw 模式：终端设置会被恢复，调用方仍能观察到原有的信号退出状态 (#2968)
[0.22.1] — 2026-08-28
修复
- 原生 Bash 中执行精确 slash 命令后，终端不再显示内部的
builtin true __cosh_slash_guard__ 哨兵行，开启 set -v 详细回显时同样如此；slash 路由、命令执行与历史召回行为保持不变 (#2943)
- 与运行中命令同批粘贴或管道输入的内容不再被误路由：此类批次中的 slash 样式行逐字节送达 shell，不再被拦截为 slash 命令，脚本化流水线保持正常 (#2938)
- 目录名包含控制字符时，命令追踪与工作目录上报依然正常，不再丢失 shell 事件 (#2938)
- 携带提示词参数的 headless 单次运行在审批请求无人应答时不再挂起数小时：请求 30 秒后超时，进程以明确的超时错误与非零退出码退出 (#2941)
[0.22.0] — 2026-08-27
新功能
- Enhanced Assisted 模式不再依赖全局 Bash DEBUG trap 和强制追踪选项；用户自定义 trap、shell 选项与 prompt hook 得以保留，slash 命令交接保持正常交互式 shell 语义 (#2832)
- 自动发现包管理根目录之外（如
/usr/local/share/anolisa/extensions）安装的系统扩展，raw 安装的 sec-core 与 tokenless 扩展无需单独启用即可加载；存在冲突的重复系统安装保持禁用，除非已持久化明确的来源选择 (#2909)
修复
- 开启 xtrace 时，cosh 内部 hook 活动不再出现在追踪输出中，动态标记、工作目录与环境数据不会外泄；用户命令与用户自定义 hook 的追踪输出保持不变 (#2914)
- 修复含斜杠的汉字提示词（如
打开./missing/SKILL.md）被当作 shell 路径执行而失败的问题，恢复 AI 路由；Agent 现在收到提示时刻的正确工作目录，cd 之后同样准确 (#2918)
- 交互 shell 中输入的 slash 命令现在会写入 Bash 历史，上箭头可正确召回最近输入的 slash 命令，而非更早的命令 (#2917)
[0.21.1] — 2026-08-26
修复
- 修复
/skills list、/hooks、/extensions 等 registry 类 slash 命令在尚未运行任何 Agent 回合、且进程工作目录与 shell 当前目录不一致（如启动后执行 cd 或守护进程式启动）时无法发现项目级资源的问题 (#2686)
- 修复输出量巨大的 shell 命令耗尽内存的问题：输出上限为 32 MB，超限命令会被自动终止，Agent 收到截断提示与开头输出而非裸错误；hook 输出超限时相关命令保持拦截（安全侧处理），hook 的决策不会被静默忽略 (#2880)
- 修复 systemd 255 主机上 Gateway 任务无法启动的问题：打包服务的一项安全加固设置与该 systemd 版本不兼容，导致服务在启动阶段即失败；工作区隔离保持不变——任务文件仍限制在工作区内、主机文件保持只读、守护状态仍为服务私有 (#2843)
[0.21.0] — 2026-08-25
新功能
- 新增 Native shell 集成模式（
shell.integration = "native"）实现无 Hook 启动，以及可通过 Shift+Tab 切换的 Enhanced Shell-only 模式；Enhanced Assisted 仍为默认，并通过提示符前缀显示输入归属。同时，slash 命令、工具调用、权限请求和系统通知现在使用不同的 /、*、!、· 卡片前缀，输出归属一目了然 (#2759)
[0.20.0] — 2026-08-24
新功能
- 在未安装 anolisa 统一上报器时，cosh-ng 可直接向 SLS 上报匿名运行遥测，不收集用户输入、代码或对话内容；可通过创建
~/.copilot-shell/telemetry_disabled（单用户）或 /etc/anolisa/.telemetry_disabled（全系统）随时关闭遥测 (#2715)
- 将本地 Gateway 任务 profile 绑定到封闭的
task-only-v1 manifest，使 Core/Gateway 版本不匹配在任务输入或副作用产生前即被拒绝 (#2728)
修复
- 修复
/usr/bin/cosh raw <adapter> 因透明分类器将 raw 子命令误交给 bash 而以 exit 127 退出的问题，恢复 TUI 启动 (#2743)
- 修复含简单参数引用（如
$HOME）的汉字引导自然语言提示被漏过 NL 拦截落入 shell 的问题，同时保持可执行 shell 结构原生不被拦截 (#2746)
- 修复 bash 4.2.x 上首条命令后 DEBUG trap 永久丢失导致命令审计标记停止输出的问题 (#2757)
[0.19.0] — 2026-08-21
新功能
- 新增本地 gateway 控制平面，支持持久化 Task 调度、运行时租约与崩溃恢复，可通过
cosh agent task ... 命令使用 (#2603)
- 新增直接 ACP 入口命令
cosh agent doctor 与 cosh agent run，可在交互式 Shell 之外验证并驱动本地安装的 ACP adapter；权限流程为 once-only，仅在本地控制终端提示，并将脱敏证据记录到私有本地状态目录 (#2603)
修复
- awk 程序中
system() 调用前存在空格或行续符时也能被正确检测 (#2655)
- 缺失的 precmd 状态标记现在映射为 -1，不再伪造为退出码 0，保证中断或伪造标记下的账本完整性 (#2709)
[0.18.0] — 2026-08-20
新功能
- 长时间交互式会话的 transcript 内存工作窗口现在有界，终端输出仍会完整写入会话 spool 文件，从而抑制内存无限增长 (#2682)
- 支持需要任务增强的 MCP 长程工具调用，任务失败或超时时返回可操作的错误信息 (#2645)
变更
- BREAKING：
/usr/bin/cosh 现在将非 TUI 调用直接透传给配置的 shell；在交互式终端外执行 cosh --version、cosh --help 或 cosh <脚本> 时行为与 shell 一致，不再进入 cosh TUI (#2625)
修复
- 在 cosh-core 驱动的 trust 审批模式下，被 hook 拦截的 shell 命令不再通过 staging grace 窗口实际执行 (#2125)
- 外部组件已预先记录初始审批请求时，cosh-shell 现在能正确记录对应的审批决议 (#2402)
- 同一批次中某个请求被拒绝后，审批被 hook 重写的 shell 命令不再报错 "could not route this approval" (#2667)
- 当待处理的 turn extension 被新活动取代时，审计日志现在会补录对应的取消决议，避免留下未配对的请求条目 (#2695)
[0.17.2] — 2026-08-19
修复
- 将
run_command 输出上限设为 32 MB，防止 dd if=/dev/zero、yes 等失控命令导致进程被 OOM 杀死；超出上限时杀死进程组并返回 OutputTooLarge 错误，而非无限增长 (#2405)
- 使 RPM
%post 的 /etc/shells 注册幂等（先规范化并探测再追加），并新增 %preun 脚本：当用户仍以 /usr/bin/cosh 为登录 shell 时擦除操作失败关闭，防止 rpm -e cosh-ng 后遗留悬空 shell (#2599)
[0.17.1] — 2026-08-18
修复
- 通过事件驱动改造 raw relay 与 SIGINT 路径，将交互回显延迟从 p50 20 毫秒降至亚毫秒级，并消除长时间会话的高频空闲 CPU 轮询 (#2622)
- 在 best-effort 审计存储写入失败时，仍保持已允许命令正常执行 (#2631)
- 允许已审批流水线中的单引号参数包含换行，例如多行 jq 或 awk 脚本 (#2638)
[0.17.0] — 2026-08-17
新功能
- 当 hook id 同时存在于 shell 层与 agent 层时，
/hooks enable|disable <id> 弹出交互式消歧面板，可选择切换 Shell hook、Agent hook 或两者 (#2400)
变更
- 空闲轮询时跳过冗余的历史事件处理，长时间运行的交互会话不再在空闲时重复执行与历史事件规模相当的工作 (#2546)
修复
- 修复 hook 输出显式
"decision": null 被当作透传的问题：现视为无效 hook 输出并默认拦截对应工具调用；若 hook 配置 fail_open = true 则放行但记录 hook_failure 通知；输出 {} 仍为合法透传 (#2529)
- 修复 dnf 系统上
cosh pkg install/remove --dry-run 将可安装/可移除软件包的成功模拟误报为后端错误的问题 (#2605)
[0.16.1] — 2026-08-14
修复
- 优化 CJK（中日韩）文本换行，充分利用终端行宽并保持标点与相邻文字相连 (#2446)
- 在保存
/auth 认证配置前先验证凭据、端点和模型，失败时保持认证面板打开并定位到问题字段 (#2458)
- 允许扩展 hook 在成功但无输出时通过，避免空输出被错误拒绝 (#2506)
[0.16.0] — 2026-08-13
新功能
- 新增 raw packaging 接口，支持确定性归档构建、跨平台二进制验证和可移植 macOS launcher (#2411)
变更
- 收敛 cosh-core 与 cosh-shell 运行时路径，统一 Claude 和 Qwen provider driver，新增显式 shell/core protocol v1 协商与旧版回退 (#2403)
- 移除已废弃的
/draft 斜杠命令别名，统一使用 /agent (#2441)
修复
- 使用单调时钟计算 input-wait 超时，避免时钟偏移导致卡顿 (#2176)
- 修复 panel-family hint card 渲染问题 (#2196)
- 按 SSE 规范解码事件，对格式错误的输入立即报错 (#2209)
- 在 core 中约束并保护敏感文件写入 (#2211, #2378)
- 在 core 和 shell 中透传原始 prompt 文本，不做归一化 (#2256)
- 修复 Enter 键触发 review marker 的问题 (#2274)
- 收窄交互式取消检测范围，并在关联拦截后配对 ledger 完成 (#2352, #2353)
- drop 时向 stdout 发送 raw-mode 禁用指令，防止终端状态泄漏 (#2357)
- 加固 core 和 shell 中的 hooks (#2359)
- 避免使用可预测的临时文件路径 (#2361)
- 在行截断分支中强制字节上限 (#2370)
- 列出所有斜杠提示匹配项，而非仅返回首个 (#2410)
- 将缺失的失败退出码映射为 -1 哨兵值，保证错误报告一致性 (#2412)
- 在 core 中暴露 runtime context，确保状态访问一致 (#2428)
[0.15.0] — 2026-08-09
修复
- 恢复 shell 中 inline hint 之后的提示光标 (#2172)
- 支持 ID_LIKE 回退用于 OS 发行版检测 (#2200)
- 在
/help 输出中列出 hook 命令 (#2208)
- 跳过服务生命周期操作的审计日志 (#2213)
- 支持 core 中的 macOS 特定文件读取 (#2220)
- 序列化 handoff 状态以防止竞态条件 (#2226)
- 归一化 apt search glob 模式 (#2227)
- 在 core 中恢复 compaction 后的上下文预算 (#2244)
- 在 shell 中去重 hook 通知 (#2259)
[0.14.0] — 2026-08-04
新功能
/status、/about 和 /stats 斜杠命令用于运行时自省 (#1778)/mcp 斜杠命令用于 MCP server 管理 (#1949)/session list --all 枚举跨 workspace 的会话 (#2139)- DashScope prompt cache 支持，降低 token 成本 (#2046)
cached_tokens 可观测性，用于缓存命中诊断 (#2075)- OpenAI provider 中按模型动态设置
max_tokens (#2165)
- 在 MCP client 初始化时声明
roots 能力 (#2007)
- core 中的 hook 工具和环境支持 (#1894)
- 在 core 和 shell 中呈现工具参数状态并限制重试次数 (#1925)
- shell 中自动执行完全只读的复合命令 (#1959)
- 在 core 和 shell 中扩展有上限的回合运行 (#2035)
- 改进 core 和 shell 的认证菜单 (#2062)
- 在 shell 中限制 agent handoff 的输入等待 (#2168)
变更
- shell 中终端无关的多行 prompt 输入 (#1947)
修复
- Shell handoff 和 hooks：保留 LLM 输入、丢弃过期 handoff 文本、在 provider 会话内恢复 handoff 回退、脱敏 handoff 证据、通过一次性 claim token 关闭秘密脱敏的 handoff、收敛 Han NL 输入归属、将敏感 NL 路由到 agent、并为 send-to-shell 运行 project hooks (#1955, #2010, #2055, #2074, #2130, #2137, #2151, #2154)
- 审批生命周期：通过 lifecycle ledger 和兜底超时保证终态、重置 auth 输入、在 trust 模式下呈现 sandbox-bypass 审批、并拒绝零空闲超时 (#1934, #1939, #1968, #2116)
- 认证流程：ESC 时回退
/auth、在 /help 中列出 /auth、并在无认证启动时提示 /auth (#1891, #1906, #2166)
- 斜杠命令和 prompt 输入：防止拦截时斜杠回显重复、Up 键召回斜杠命令、拦截含斜杠的 NL prompt、支持 NL prompt 中的软换行、保持 card submit 的 type-ahead、归一化 CSI-u 退格、并按路由键 ghost 归属 (#1868, #1899, #1911, #1922, #1942, #1993, #2167)
- Shell 渲染：阻止 extdebug 泄漏到 prompt hooks、高亮代码块语法、用用户语言回复、精简技能列表、并禁用隐式分页 (#1849, #1904, #1910, #1921, #1998)
- 命令风险和安全：评估所有复合命令段的风险、门控不可恢复的系统控制命令、并分类解释器风险 (#1905, #2081, #2119)
- 文件 IO 加固：拒绝占位写入、使文件写入原子化、限制并约束读取工具、在 drop-write 前恢复阻塞、并将 fd-dup 重定向视为非写入 (#1918, #2069, #2120, #2121, #2124, #2127)
- Shell 恢复和漂移：防止恢复风暴并使用 zsh preexec
$3 处理漂移 (#2072, #2073)
- 审计日志：展示 hook 上下文 (#2082)
- Core 运行时：保留工具参数、对齐 compaction、展示真实 session prompt、emit 错误时 fail closed、并使截断 UTF-8 安全 (#1844, #1847, #2003, #2005, #2118)
- 类型、wire 和打包：修复 wire 错误、移除跨 workspace dev-dep、对齐 RPM 身份、对齐 bundle 健康检查、并在 skill tool 中添加 base-dir 提示 (#1514, #1933, #1937, #1984, #2140)
[0.13.0] — 2026-07-26
新功能
- 通过
/session、/resume 和 --resume 启动选项实现交互式会话恢复 (#1546, #1592)
- 带 schema 版本控制和旧会话迁移的 workspace 级会话持久化 (#1546, #1592)
- MCP 工具支持，用于扩展 agent 能力 (#1530)
- 上下文相关的 shell insight 交互 (#1537)
- 跨 core 和 shell 层的秘密脱敏 (#1555)
- 通过
cosh doctor 导出诊断 bundle (#1576, #1597)
- core 和 shell 中的扩展平台 (#1583)
- 个性化 prompt 推荐 (#1606)
- 会话压缩以管理持久化增长 (#1668)
- PostToolUse 响应替换和 hook 适配 (#1669)
- 启动建议门控 (#1671)
- 跨 core 和 shell 的审计日志 (#1679)
- 通过斜杠命令改进和 SysOM
/auth 快捷方式改善会话体验 (#1726, #1813)
- 将未解析的自然语言输入路由到 Agent (#1742)
- ESC 取消活跃的 agent 运行 (#1761)
- 回合级批量审批同意 (#1825)
变更
- 回退持久化的凭据加密 (#1748)
- 对齐任务 scope 文档 (#1445)
- 稳定 core 和 shell 测试门控 (#1699)
- 加速 raw CLI 测试和 fake stream 节奏 (#1797)
- 将 cosh-shell 测试基线跟踪至 2469 (#1827)
修复
- 会话命令解析、信号退出、斜杠参数处理和 prompt ghost ESC (#1632, #1634, #1636, #1663, #1724, #1843)
- Agent 提问交互、建议控制、推荐 scope 和 tab 重绘 (#1725, #1741, #1749, #1758, #1821)
- 审批 card 布局、阻塞标题对齐和空回车处理 (#1786, #1788, #1838)
- 认证和信任加固：验证 provider、加固认证、保留 trust 块、加密凭据并扩展路径 (#1627, #1673, #1701, #1722, #1777, #1784, #1791, #1809, #1816, #1841)
- 审计日志修复：kill 树、拆分复合命令、脱敏秘密、scope claim 并保留导出路径 (#1611, #1613, #1635, #1765, #1772, #1840, #1842)
- Core 运行时稳定性：JSONL 验证、工具选择错误、流式状态、ai-like 表、修订时钟、free-text 清除、布局门控和 SysOM 终结符 (#1599, #1661, #1689, #1730, #1731, #1799, #1800, #1803, #1839)
- 平台和 CLI 正确性：遵循 dry-run、处理跳过的 checkpoint、允许搜索模式、修复 package dry-run/搜索结果、遵循 cargo config、同步 Bash HISTFILE、验证 workspace 路径、将 --help 路由到 stdout、添加 skill 参数检查、对脱敏写入发出警告、跳过 DEBUG trap、恢复 utility 工具、阻止 BASHOPTS extdebug 泄漏、处理 null 重定向、保持 provider handoff 存活、更新 DashScope URL、raw action relay 看门狗、恢复启动健康行、隐藏 receipt audit ref 并更新测试基线 (#1426, #1440, #1633, #1637, #1642, #1646, #1672, #1675, #1676, #1710, #1719, #1733, #1783, #1787, #1790, #1795, #1808, #1812, #1818, #1820, #1845)
[0.12.0] — 2026-07-12
新功能
- 将认证归属移入 cosh-core，采用隔离的配置层 (f028ad90)
变更
- 在统一运行时模块下整合日志 (db86b3dd)
- 将组件文档迁移到 user-guide/developer-guide 并添加 cosh-ng 文档 (317d3f26, adf63ac2)
- 将
*_CN.md 文档重命名为 *_zh.md 并修复交叉引用 (82f8dab4)
修复
- 在 platform 和 cli 中遵循 svc dry-run (4c593050)
- 保留手动 aliyun 回退和旧版 STS 认证 (924dd76b, ee1dd179)
- 保护 auth provider 编辑；优先 aliyun 认证选项 (f0c97efa, 904655fb)
- 限制 host 执行的 shell 预览 (a6da7301)
- 路由非交互式 cosh launcher 调用；支持 raw 命令透传 (ecb56739, 1490eb3c)
- 绑定启动 prompt 和 agent 请求上下文 (14d6336f, 25d9d28f)
- 在 shell 中拥有 prompt 边界 (#1310)
- 避免循环检测中的 UTF-8 分割 (ef7f5147)
- 移除 provider 可见的 skill 提示；引导诊断 skill 使用 (a6024873, 7f695178)
- 丢弃冗余的 format 借用；满足 clippy 诊断 (5e14a686, 063217f1)
- 稳定 CI、raw-cli、PTY 和服务测试 (d573796d, 3563a5ab, 0fb34ea6, fc28da5f, ad138d45, 65421d25, 5b17b892, 3e43ba6e, 707bc3c0)
[0.11.0] — 2026-06-28
新功能
- 阿里云认证 provider，支持 ECS 自动检测、STS 凭据和二维码流程
- SysOM 阿里云 provider，使用 ACS3 签名进行 LLM API 访问
- 每回合 SLS JSONL 日志用于可观测性
- SysOM 请求来源标识头
- 跨所有 crate 的结构化 tracing 日志系统
- PostToolUseFailure hook 事件上的 sandbox bypass 审批流程
- 启动健康扫描用于环境诊断
- 扩展/hook/skill 启用/禁用命令（
/extensions、/hooks、/skills）
- 统一组件状态管理模块
- 专用 HOOK 审批面板，简化 UI
- UserPromptSubmit hook，带 Ask 审批强制
- cosh-core 中的 shell evidence 读取准入控制
- cosh-shell 中的工具活动渲染
- 启动横幅中的
cosh-switch 提示，用于在 cosh-ng 和 copilot-shell 之间切换
变更
- BREAKING：CLI 二进制从
cosh 重命名为 cosh-cli；移除 dispatch_core
- RPM spec：安装 cosh-cli 二进制、
/usr/bin/cosh launcher、cosh-switch 脚本、Conflicts: copilot-shell
- 用结构化 tracing 宏替换 eprintln
- 用 fold_decision 统一 hook 决策聚合
- 将 workspace 仓库 URL 更新为 github.com/alibaba/anolisa
修复
- 认证 ECS 流程和阶段转换时的面板重叠
- 认证二维码渲染不含 ANSI 转义码
- 认证成功后使用 SysomProvider 处理 aliyun
- 对齐 hook 输入字段和 AfterModel/wrap_tool_response 与 copilot-shell 协议
- tool_result 去重守卫和可见性
- 在 shell handoff 前恢复 prompt
- 抑制重复的 evidence 读取
- 减少失败命令自动分析噪声
- Skill 存在性检查和加固审批匹配
- 解决 cosh-core 和 cosh-shell 中的 clippy 警告
[0.10.0] — 2026-06-23
新功能
- Shell evidence 协议，用于捕获和重放命令执行上下文
- cosh-core 中的 shell evidence 控制工具，用于 evidence 生命周期管理
- 与 copilot-shell 对齐的 hook 协议，实现零变更扩展支持
- 通过通知协议传播每 hook 决策
- cosh-shell 中按 hook 决策着色渲染 hook 警告
变更
- 跨 cosh-shell 模块共享 agent 错误显示文本
测试
- 覆盖 shell evidence raw CLI 流程
[0.9.0] — 2026-06-22
新功能
- Hook 通知集成到审批面板，带 ⚠ 警告显示
- Hook ask 决策即使在 Trust/Auto 模式下也强制用户审批
- 扩展 hook 系统，带 tool_use_id 关联和新事件类型
- 用于 /extensions /skills /hooks 斜杠命令的注册表协议
修复
变更
[0.8.0] — 2026-06-18
变更
- 将
cosh-tui crate 和二进制重命名为 cosh-core，覆盖整个 workspace
- 更新 adapter 系统：
CoshTuiAdapter → CoshCoreAdapter、AdapterKind::CoshTui → CoshCore
- 更新环境变量
COSH_TUI_PATH → COSH_CORE_PATH
- 更新 RPM spec、文档和所有测试 fixture
修复
- 在流式 card 中中和 agent 状态文本
- 对齐 cosh-shell 中的流式 card 宽度
[0.7.0] — 2026-06-17
新功能
- 扩展发现和加载模块，支持
cosh-extension.json manifest
- 扩展 hooks 集成到启动生命周期
- Skill 模块，支持多级加载（内置、用户、项目）和热重载
- SkillManager 集成到工具注册表和启动流程
- 可用技能注入系统 prompt 供 LLM 发现
修复
expand_env_vars 在环境变量未定义时的无限循环- 对不支持的扩展 hook 事件（
PostToolUseFailure、BeforeModel、AfterModel）发出警告而非静默丢弃
- 对齐扩展 hooks 格式与 copilot-shell 的嵌套组结构
- 从 skill tool schema 中移除未使用的
args 参数，避免误导 LLM
- 在 cosh-shell 中展示 question free text 答案
- 加固前台 shell handoff
- 共享 copilot shell 配置路径并保留旧版配置回退
变更
- 归一化 cosh-shell 配置键
- 标准化 cosh-shell 代码和测试组织
- 将用户状态移至 copilot shell scope 下
[0.6.0] — 2026-06-16
新功能
- cosh-tui 中的 P0 hook 系统，含 5 个生命周期事件（
on_session_start、on_turn_start、on_turn_end、on_tool_call、on_session_end）
- cosh-shell 中的 shell 审批分类和 hook 来源跟踪
- 将当前 cosh shell 迁移到 monorepo workspace
修复
- 解决 cosh-shell 中的审批 review 发现
- 加固 shell evidence 连续性以防止上下文丢失
- 在 cosh-tui 中归一化工具调用流式协议
- 修复 cosh-shell 中子命令的透传
[0.5.0] — 2026-06-16
新功能
- CoshTuiAdapter 持久进程模式（spawn 一次，跨 agent 运行复用，死亡时自动重启）
ask_user 通过控制协议往返（agent 可以提问内联问题路由到 TUI）
变更
- 将 cosh-tui main 拆分为 cli/headless/interactive 模块
- 将二进制从 cosh-tui-core 重命名回 cosh-tui
[0.4.1] — 2026-06-15
新功能
- settings.json → config.toml 自动迁移，含 AES-256-GCM 加密 API key 解密
- JSONL 协议和工具审批集成测试
修复
- 在 PROMPT_COMMAND 前置 precmd 以捕获真实退出码（Alibaba Cloud Linux /etc/bashrc 问题）
[0.4.0] — 2026-06-15
新功能
- JSONL wire 协议（InputMessage / OutputMessage），用于 cosh-shell ↔ cosh-tui 通信
- Provider 抽象，支持 OpenAI 兼容流式（DashScope、OpenAI、DeepSeek、Generic profiles）
- 工具执行框架，含 7 个内置工具（shell、read_file、write_file、edit、grep、todo、skill）和审批控制
- 上下文窗口管理、消息截断、循环检测、对话压缩
- 生命周期 hooks 框架
- CoshCore agent 循环引擎
- 基于 TOML 的多 provider 配置，支持环境变量展开
变更
- BREAKING：二进制接口从 ratatui 交互式 TUI 改为 JSONL stdin/stdout 后端
- BREAKING：配置格式从 settings.json 改为 config.toml
- 用单文件 JSON 持久化重写 session store
移除
- 旧版基于 ratatui 的 TUI 代码（app、commands、llm、logger、theme、tools、ui 模块）
[0.3.0] — 2026-06-15
新功能
- cosh-shell crate — 基于 PTY 的 AI 增强 shell host，含 OSC marker 协议
- Claude、Qwen、Fake AI adapter，支持流式
- 内联渲染引擎（审批、提问、推荐、活动面板）
- 带审批模式的治理层
- 通过信号处理器（SIGTERM/SIGHUP/SIGHUP/SIGQUIT）和 panic hook 实现终端恢复
- 退出码分类，含 8 个类别（Smart/Auto/Manual 分析模式）
- 工具显示引擎，按工具类型解析和 ANSI 颜色分类
- Hook 引擎，含内置 hooks（FailedCommandHook、TestFailureHook）和 skill 路由
- 从 ~/.config/cosh/hooks/ 加载外部 hook，支持子进程执行
- 原生 shell 兼容性（rcfile 加载、PS1、history、login shell 检测）
- 上下文窗口，带滑动窗口（最大命令数、最大年龄、token 预算）
- Prompt 意图优化（do → Bash 工具、know → 散文）
- 自然语言拦截，带视觉反馈
- InputClassifier 保守模式用于原生模式
- 分析节流（30s 冷却，最多 3 次连续）
- 咨询 card 渲染，带键盘捕获
- 用于工具审批往返的控制协议
- 启动横幅，带渐变 ASCII art logo
/mode 和 /hooks 斜杠命令- 架构文档
修复
- 原生模式中 powerlevel10k 双行 prompt 的输入渲染
- 原生模式中通过 buffered-then-judge 策略的斜杠/NL 拦截
- command_not_found 的 zsh preexec 拦截
- CJK 输入和退格的 CandidateRedraw 行清除
- 原生模式中抑制 cosh-osc$ prompt 泄漏
- bash 工具执行器中的工具显示标签匹配
- buffer 提取中的宽字符占位单元格处理
变更
- 统一 workspace 版本（0.3.0）适用于所有 crate（cosh-types、cosh-platform、cosh-cli、cosh-shell、cosh-tui）
[0.2.0] — 2026-05-16
加固 + 审计子系统发布。Workspace 版本与发布配置和 lockfile 提交一起升级到 0.2.0。
新功能
audit 子系统，含 PEP/PDP/log 分离：cosh audit check / cosh audit log 用于命令安全门控和每会话检索。- Workspace 发布配置（
opt-level = 3、lto = true、strip = true、codegen-units = 1），提交 Cargo.lock，workspace 级依赖锁定，以及原生 CA 证书支持。
- 命令超时、输入验证和 panic 安全的 JSON 输出，覆盖
cosh-cli 和 cosh-platform，使 panic 仍在 stderr 发出 CoshResponse 信封而非空退出。
forbid(unsafe_code) 作用于 cosh-cli / cosh-platform，以及 svc list --state 过滤验证使用 allow-list。pkg search 交叉引用安装状态，使结果显示哪些匹配已安装。ResponseMeta.warning 字段用于非致命警告；audit 响应通过此字段显式标记为 stub。- cosh-tui 中的 LLM 工具面扩展：pkg / svc / checkpoint 包装工具，以及
svc enable / svc disable --dry-run。
- cosh-tui 中 LLM 和外部命令工具的超时 + 指数退避重试；60s shell 工具超时。
变更
- TUI
/help 与完整命令集对齐；标题栏版本和 markdown 前缀剥离修正。
- 跨 workspace 解决 clippy 警告；移除 dead-code allow；测试代码与生产 lint 级别对齐。
- 消除构建警告并改进 cosh-tui / cosh-platform 的版本检测。
修复
- Shell 安全检查标记化，关闭 tab/换行/重定向/链绕过；对原始命令字符串的子串匹配替换为空白字符（含
\t/\n/\r）标记化和元字符拒绝（; | & > < $ ` ( ) { }）— is_safe_command in crates/cosh-tui/src/tools/shell.rs。
- 即使在 Yolo 审批模式下也禁止工具调用。
cosh-cli 包装工具输出有界，防止嘈杂子命令撑爆 LLM 上下文窗口。- 通过进程级计数器合成 tool-call ID 以保证跨 agentic loop 唯一。
settings.json 和 session 文件以 0600 权限原子写入。- 对 agentic loop、history、config 和 tool messages 强制运行时边界；scrollback 有界且截断 UTF-8 安全。
- TUI 中安装 panic hook；panic 后恢复 history 导航。
- ws-ckpt IPC 响应大小限制为 64 MiB。
- 通过
LoadState=not-found 检测不存在的 systemd 服务，而非错误归类为 "inactive"。
安全
- Audit-stub
recoverable / hint 语义通过标准 CoshError 信封清晰呈现给 agent。
- 凭据文件的原子重命名 +
0600 权限。
[0.1.0] — 2026-05-10
将 workspace 从 agos-core 重命名为 cosh-ng 并添加交互式 TUI crate 后的初始公开形态发布。
新功能
- 4-crate workspace：
cosh-types、cosh-platform、cosh-cli、cosh-tui，严格依赖方向 cosh-cli / cosh-tui → cosh-platform → cosh-types。
cosh CLI 二进制，双模式分发：cosh（无参数）exec 进入 cosh-tui，cosh <subsystem> <action> 返回结构化 JSON。- 跨发行版
pkg 子系统：install / remove / search / list，基于 Distro::detect() 读取 /etc/os-release 在 dnf / apt-get（apt-cache 用于 search）/ zypper 之间路由。
svc 子系统，基于 systemctl：status / start / stop / restart / enable / disable / list，含运行时间和 list 中正确的列映射。checkpoint 子系统，通过 Unix-socket IPC 与 ws-ckpt daemon 通信；bincode wire 格式带 4 字节 LE 长度前缀和显式协议版本控制 + 错误处理。命令：init / create / list / restore / recover / delete / diff / cleanup / status。cosh-tui 基于 ratatui + crossterm 的交互式 TUI：斜杠命令系统含自动补全、会话管理、主题、自定义边框集、echo-on-submit。- Agentic loop 含 cosh-cli 包装工具，在 cosh-tui 中将 pkg / svc / checkpoint 工具带到 LLM（初始发布为
cosh-tui v0.4.0）。
- LLM 聊天集成，含配置驱动的 provider 和 UI 呈现。
- 统一
settings.json V2 配置，整合先前分散的配置文件。
- AES-256-GCM 解密，用于加密凭据。
- macOS 检测 + Homebrew 后端，在
cosh-platform 中，含单元测试。
- 统一 JSON 信封
CoshResponse<T>，含 ok / data / error / meta，分类的 CoshError 携带 recoverable 和 hint 用于 agent 重试决策。
pkg 和 checkpoint CLI 命令的集成测试。
变更
- Workspace 从
agos-core（含 agos-types / agos-platform / agos-cli）重命名为 cosh-ng（含 cosh-* crate）；agos-cli 和 agos-platform 在同一 commit 中移除。
cosh-tui checkpoint 工具适配新 daemon 协议。
修复
cosh-cli stdout 验证为 JSON 后再转发给 LLM，防止格式错误字节导致解析器混乱。
[pre-0.1.0] — 2026-05-03 → 2026-05-08
重命名前 agos-core 基础。
新功能
- 初始 2-crate workspace
agos-types + agos-platform。
agos-cli 跨发行版 CLI 原型，含 pkg、svc、checkpoint、audit 命令形态。- MVP v2 CLI Gateway 架构文档和双语（英文/中文）使用指南。