译文
译自西班牙语原文，以原文为规范文本。 状态：草稿，待人工审校。如有歧义，以西班牙语原文为准。
研究：从规则到证据¶
状态：研究与应用提案 · 2026年10月17日。 本研究不修改 ASILO 0.1、MILPA 0.1 或 SCAFFOLD 0.2，不接受配置，也不证明实现符合方法要求。来源记录 保留网址、版本、已查阅章节和限制。对应关系是分析，不表示来源机构认可本方法。
问题与方法¶
从方法义务到系统动作之间需要什么证据？本研究对照已接受的要求、提议中的配置和实现声明的 限制。外部检索仅使用一般问题和第一手公开文档，没有提交私有代码、草稿、凭据或业务档案。 技术反例和本地数据保留在实现档案中；本页提供适合公开文档的摘要。
应区分四种结果：声明有效、已执行观察、动作获授权和结果已被接受。 通过其中一项并不证明其他各项。文件存在不证明测试执行过，也不证明测试针对当前修订。
对应关系与待办工作¶
| 领域 | 已有方法依据 | 应用提案与证据 |
|---|---|---|
| 权威与来源 | MILPA-R-001/002/007/008；SCAFFOLD-R-033。 | 关联要求、修订、控制、反例、结果、环境和责任人。W3C PROV-DM描述实体、活动和派生关系，不证明真实性或法律上的作者身份。 |
| 身份与效果 | ASILO-R-001/004/005/006；SCAFFOLD-R-037。 | 通过协议获取身份，在效果发生前执行当前权限。NIST SP 800-207拒绝仅因位置而给予隐式信任。作为对开发的应用，建议区分 Git 检查与有效的执行控制；环回地址不认证进程身份。 |
| 工具与扩展 | ASILO-R-001/003/004/008；SCAFFOLD-R-037。 | 记录技能、插件和服务器的修订、来源、能力、启动、数据和出站访问。MCP区分传输风险；Agent Skills依赖宿主执行限制。不要求统一代理。 |
| 交付与恢复 | SCAFFOLD-R-025 至 R-029，以及 R-034 至 R-036。 | 集成语言、基础设施和数据检查，保留绑定修订的结果。NIST SSDF 1.1指导安全开发；SLSA 1.2指导工件来源验证。 |
| 重试与并发 | ASILO-R-007；SCAFFOLD-R-028/035/037。 | 测试不确定结果、并发更新、兼容性和恢复。RFC 9110 §9.2.2限制非幂等重试；仅追加的记录本身不实现这些性质。 |
| 度量与评估 | ASILO-R-008；SCAFFOLD-R-023/024/032。 | 定义来源、时间窗、单位、环境、基线和限制。NIST AI 600-1讨论 AI 风险；DORA衡量服务交付。令牌数或节点数不证明价值或生产率。 |
这些标识符参见 ASILO、MILPA、 SCAFFOLD 0.1及其0.2 补充。 大多数需要属于实现或验证配置，而不是新规范。
大型组织公开记录的实践¶
Microsoft SDL记录威胁评审、 供应链与工程环境安全、测试、监测和响应。这有助于把证据分布到整个生命周期，但不证明本生态 采用了微软流程或实现了相同结果。
Google SRE介绍金丝雀发布，以及根据流量、 持续时间和服务目标进行评估。提案是记录项目自身的标准与测量，不强制规定48小时、统一比例或 不间断服务的承诺。
语言、区域数据与机器契约¶
人类文本是必要的；当措辞本身决定权限或状态时才产生风险。建议分离稳定代码、类型化参数和
展示层的翻译消息。RFC 9457 §3.1.4
不建议从 HTTP 的人类可读 detail 中提取控制信息；将这一原则用于命令行属于项目设计决定。
记录目录版本、译文修订和 CLDR/TZDB 版本，有助于重现区域结果。语言、数据位置与司法管辖区 彼此不同。所查阅的W3C 字符串指南 是 Working Draft，不是已接受的 Recommendation。 OpenTelemetry GenAI v1.37.0 在该修订中也处于开发状态：建议固定版本并最小化遥测，而不是为方便记录私有提示和结果。
尚未解决的规范问题¶
R-017 修正案尚未被接受： 消费者不能单方面控制外部供应商的声明，也不能假定该声明已经存在。待议提案需要通过 MILPA 的变更流程，保留版本化 公开契约、消费者责任、证据，以及供应商并未批准的事实；不能假装存在双向声明。
此前已承认的覆盖缺口包括数据/模型投毒和意外代码执行。 在提出 ASILO 修正之前，需要界定威胁、条件和评估。 工程配置与架构配置仍为提案。
SCAFFOLD 的范围仍是软件项目；它不要求放弃 Scrum、Jira 或会议，也不将 MILPA 的隐喻转换为代理 类别或成熟度等级。人员、工具和责任均保留各项已接受要求的适用范围。
隐私、许可与合规¶
建议为项目建立适用性记录：活动、数据、处理角色、司法管辖区、官方法律来源及版本、责任人、 控制与证据。技术评估不决定法律适用性。采用标准、本地执行或排除训练使用，本身不能解决保留、 访问、分包处理或数据传输。
本页使用链接和原创摘要，不复制付费标准、长篇文本、图形或品牌。签名或 RFC 3161 时间戳本身不证明原创性、 所有权或非法训练使用。AI 评审有助于对照证据，不构成独立人工审查或认证。