治理模型

Human Surface 与 Agent Surface

Human Surface 保存用户需要长期理解和控制的项目含义：

PRD.md
AGENTS.md

Agent Surface 保存技术设计、工作状态与实现事实：

ARCHITECTURE.md
docs/adr/**
.work/**
src/**
tests/**

ARCHITECTURE.md 与 ADR 是 Agent-maintained canonical technical knowledge；.work/** 是可丢弃的工作状态，不能成为理解项目的唯一来源。

受保护文档

Agent 不得静默修改 PRD.md 或 AGENTS.md。需要修改时必须：

detect → propose → show diff → human approval → apply

用户直接手工修改 Human Surface 时，修改立即成为新的高层约束。

Highest affected layer

非平凡变化先判断最高受影响层：

层	默认处理
L4	直接 plan / build / verify
L3	Agent 自主设计、实现、维护技术文档
L2	先判断是否改变 Human Surface
L1 / L0	Human decision

下层实现不得静默重新定义上层含义。

默认自主性

只要不改变 Human Surface，Agent 应自主完成模块拆分、internal API、schema、domain object、测试、重构、文件组织与普通实现选择。

只有当正确完成任务需要改变产品含义时，才把问题上浮给用户。

技术知识维护

稳定变化以下内容时更新 ARCHITECTURE.md：

• system boundary；
• major component；
• 重要 data / control flow；
• ownership boundary；
• architectural invariant；
• critical interface；
• durable technical constraint。

只有值得未来长期解释的技术决策才创建 ADR。普通实现选择不需要 ADR。

Reconciliation

任务完成后自行检查：

1. 实现是否满足原目标；
2. 是否意外改变产品语义；
3. Architecture / ADR 是否过期；
4. 是否产生值得长期保存的新技术事实；
5. 是否出现必须上浮给用户的问题。