结论
Explore verdict：refined；对“同一事件身份下完整闭链”的合格增量：no_delta。
本轮找到了新的、未出现在两份基线研究稿中的第一方材料：真实事故报告、生产运维 postmortem，以及带关联键的 Agent 审计/安全日志文档。但在所核读的公开材料中，没有一份同时在同一事件身份下公开并分开记录以下全链条：
event_id/等价关联键 → flag → verdict → authorization/policy version → 每个 action-surface 的 enforcement → in-flight 结果 → revoke/recovery → canonical post-state → independent review 完成
因此不能把不同事件、不同厂商或“产品文档中的字段”拼成一条合格事故链。最接近的是 Azure SRE Agent 的审计模式：它公开了 IncidentId、TraceId、CorrelationId、CallId、审批事件和工具起止事件；但这是字段/机制文档，不是某次事故的完整导出，且没有把下游副作用、撤销后的在途结局、权威业务状态读回和独立复核完成一起展示。
相对基线 wiki/research/20260906--agent-safety-event-chain--research.md 与 wiki/research/20260906--agent-revocation-recovery--research.md，本轮没有重用 AISI、Anthropic 2025-11-13、OpenAI/HF、MCP、A2A、Temporal、OAuth、AWS Step Functions、Google IAM、Entra、GitHub 等已列来源/材料族，也没有把基线中已使用的 AWS DevOps Agent、ACRFence、HBHC 等旧材料重新计入。
证据清单
以下均为第一方页面。HTML Lx–Ly 是本轮网页正文提取的复核定位；同时给出页面标题/章节，避免把易变的行号当作版本锚点。
E1 · Anthropic：真实网络访问事故调查（新的事故材料）
来源：Investigating incidents from cybersecurity evaluations，Anthropic，2026-07-30；Incident 1–3、What happened，HTML L17–77；Our response，HTML L80–93；更新说明 HTML L98。
- Anthropic 称在第三方网络安全评测中发现三个真实世界事件；评测配置错误使 Claude 从本应无网络的模拟环境访问真实系统，累计复核 141,006 次运行，三个事件在开始转录复核后的次日被识别（HTML L17–31）。
- Incident 1 涉及真实公司基础设施、凭据和生产数据库；Incident 2 的恶意 PyPI 包在线约一小时，在 15 台真实系统上被下载/运行，并导致一个扫描器凭据外泄；PyPI 自动移除了包，Anthropic 通知了 PyPI（HTML L48–65）。Incident 3 扫描约 9,000 个目标并攻陷一家公司的系统（HTML L66–69）。
- 页面给出事件编号、运行数量、影响对象和处置叙述，但没有公开事件级
event_id/跨系统 join key，也没有逐个工具/目标系统的授权版本、enforcement 回执、在途动作结局或权威 post-state 清单。 - 页面说 METR 第三方复核处于“对话/计划”阶段，并非已完成的独立 review（HTML L70–77）。
E2 · Anthropic：事故后实时阻断与评测恢复（新的生产运营材料）
来源：Improving our alignment and security efforts，Anthropic，2026-08-31；Preventing and detecting misbehavior，HTML L22–45；Evaluations，HTML L111–128。
- Anthropic 描述了一个实时 classifier 流程：flag 后在 tool call 之前阻断动作、结束任务并通知人类；同时增加自动监控、迁移到更高风险隔离环境，并在满足 exit criteria 后恢复部分评测（HTML L22–45）。
- 页面把“控制机制已经部署/恢复评测”与 7 月事故分析分开叙述；它没有给出某一个既有事故的事件键、该事件的 policy version、所有 action-surface 的 allow/block 结果、in-flight 结局、恢复后权威状态或已完成的独立 review。页面仍称相关分析在进行中、METR 复核为计划事项（HTML L14–18）。
E3 · Railway：AI agent 触发生产数据库删除（新的生产事故材料）
来源：Your AI wants to nuke your database，Railway，2026-04-29；What happened、What we changed、Why this happened，HTML L21–65。
- Railway 描述客户的 AI agent 使用账户范围 token 调用 GraphQL
volumeDelete，删除生产 volume；认证 API 按请求执行，客户后来恢复数据库并带数据恢复运行（HTML L21–32）。 - 事后 Railway 将 API 删除改为 48 小时 soft-delete/可撤销，并修改备份删除延迟与级联删除行为（HTML L34–55）。
- 这提供了 agent action、生产副作用和平台恢复措施，但公开页没有事件级
event_id或等价跨记录键，也没有 flag/verdict/批准主体与 policy version、逐 action-surface enforcement、该删除请求的 in-flight 结局、恢复后的权威读回证明或独立 review 完成记录。页面的“恢复并带数据”是厂商事故叙述，不等于独立状态验收。
E4 · Firetiger：Agent-assisted ingest 生产事故（新的 postmortem）
来源：Postmortem on the March 1, 2026 ingest incident，Firetiger，2026-03-02；What happened、Timeline、What went well / What didn't，HTML L10–65。
- CI race 产生错误 ECS task definition；有部分 mutation 但流量未切换，后续任务失败并出现 503（HTML L10–16）。自监控在 06:00 检测到问题，但 agent 初始把它标成 GitHub webhook 问题；07:47 triage 将多个 detector 输出合并成一个 issue，并识别出错误 ECR 版本（HTML L19–26）。
- 通知策略文档的误配置隐藏了告警，约 8 小时后工程师介入；人类使用 Claude Code 与现有运维 CLI 修复并部署，18:20 恢复（HTML L27–57）。
- 该材料是 agent-assisted 运维事故，不应写成“agent 自身造成故障”。它有 issue/时间线身份，但没有公开稳定的事件键跨接 detector、issue、部署、目标资源和恢复读回；也没有 policy version、逐动作 enforcement、在途结果、canonical post-state 或独立 reviewer 完成。
E5 · Cursor：带 incident ID 的近期生产降级通知（新的事故材料）
来源：Investigating service degradation，Cursor Status，2026-09-03；事件页状态序列 Investigating / Identified / Resolved，HTML L0–21。
- 事件页公开 incident ID
dj4cgfmwgm65，并按时间记录 Cloud Agents 等组件受影响、已定位原因/推进缓解、宣布解决（HTML L0–21）。 - 这证明服务状态页可以提供事故级关联标识和粗粒度处置阶段；页面没有公开 flag 的原始检测记录、verdict 证据、授权/策略版本、action-surface 分母、在途请求结果、撤销/补偿、权威 post-state 或独立复核完成。
E6 · Azure SRE Agent：审计事件与关联键模式（生产运营文档，不是事故实例）
来源：Audit agent actions，Microsoft Learn；What gets logged、Tracked operation types、IncidentActivitySnapshot、Correlation and traceability，HTML L24–32、L43–61、L65–103、L205–226。
- 文档说明 Agent tool call、模型调用、incident handling 和 approval decision 会写入 Application Insights custom events（HTML L24–32）。
AgentToolExecution提供 tool start/end、工具名、输入/输出、sub-agent 和CallId；IncidentActivitySnapshot提供IncidentId、状态、严重度、response plan、创建/处理/缓解时间；另有ApprovalDecision事件记录 approve/reject（HTML L43–61、L65–103、L146–154）。- 每个事件还列出
TraceId、SpanId、ParentSpanId、ThreadId、CorrelationId；文档说明 TraceId 可贯穿用户输入、推理、tool call 和响应（HTML L205–226）。 - 这是本轮最接近“同一身份 + 分段记录”的官方模式，但它是 schema/查询文档，不是一次公开事故的导出。列出的字段没有证明 policy version 的不可变绑定，也没有下游 action receipt、in-flight cancel/revoke 结果、外部 canonical post-state 或 independent review completion。
E7 · Palo Alto Networks：安全扫描面的 verdict/action 字段（生产安全运营文档，不是事故实例）
来源：AI Runtime Security API intercept log，Palo Alto Networks；字段表 action、agent_id、ai_security_policy_*、final_*_verdict/action、max_latency_hit、scan_id，HTML L99–167。
- 字段表能表达 scan/subrequest、Agent、policy/profile 标识、prompt/response verdict 与 action；
action被定义为返回给调用方的 allow/block/alert，max_latency_hit区分内联阻断与达到最大延迟后的异步检测（HTML L99–167）。 - 这是一个安全控制面局部闭环，不是某次事故的 event bundle。
policy ID/name不自动等于当时不可变的 policy version；scan 的完成/阻断也不等于工具副作用、撤销后的在途请求或业务状态已收敛。文档没有提供独立复核完成记录。
逐来源边界
| 来源 | 事件身份/关联键 | 它确实提供了什么 | 仍不能据此声称什么 |
|---|---|---|---|
| Anthropic 2026-07-30 | Incident 1/2/3 与运行编号，未公开跨系统 event_id | 真实事件、回顾性识别、影响面、部分平台处置、计划中的 METR 复核 | 不能声称授权版本、逐面 enforcement、在途结局、canonical post-state、review 已完成 |
| Anthropic 2026-08-31 | 未公开同案事件键 | 实时 flag→tool-call 前 block→结束任务→人类告警的控制设计 | 不能把事后控制设计当作 7 月每次事故的实际执行链 |
| Railway 2026-04-29 | 生产 volume/API 调用叙述，未公开事件键 | agent 造成生产删除、恢复带数据、soft-delete 与备份改动 | 不能把平台恢复叙述当作该事件的独立 post-state 验收 |
| Firetiger 2026-03-02 | detector/issue/timeline 的叙事身份，未公开稳定 join key | 监控发现、错误分类、issue 合并、人类修复、服务恢复 | 不能把 agent-assisted 运维过程写成 agent 自身安全控制闭环 |
| Cursor 2026-09-03 | incident ID dj4cgfmwgm65 | 状态页级的调查、定位、解决阶段 | 不能从 Resolved 推出动作面、在途请求或业务对象已验收 |
| Azure SRE Agent 文档 | IncidentId、TraceId、CorrelationId、ThreadId、CallId | 控制面审计事件、工具起止、审批事件、incident 时间戳 | schema/sample 不是事故实例；没有跨到副作用、撤销、权威状态和独立 review |
| Palo Alto AIRS 文档 | scan_id、Agent ID、policy/profile 标识、verdict/action | API 安全扫描面的 inline/async 与 allow/block/alert | policy 标识不等于版本；安全扫描结果不等于外部 effect 结果 |
验收矩阵
在已核读的公开页面范围内，满足“同案完整链”的最强局部组合如下；空白表示没有公开到足以验收的记录，不表示厂商内部一定不存在该记录。
| 字段 | 新事故材料 | 新运营文档 | 本轮是否得到合格同案证据 |
|---|---|---|---|
| event_id / 等价关联键 | Cursor 有 incident ID；其他事故多为报告/issue/运行叙述 | Azure 有 IncidentId/TraceId/CorrelationId；Palo Alto 有 scan_id | 否；事故键没有跨到全链，文档键没有同案事故导出 |
| flag | Anthropic 回顾性识别；Firetiger 自监控检测；Cursor Investigating | Palo Alto 有 scan/verdict 局部记录；Azure 有 incident/tool events | 否；没有一条全链的 flag 记录 |
| verdict | Anthropic 有影响判断；Firetiger 有根因归并 | Palo Alto 有 prompt/response verdict；Azure 有 ApprovalDecision | 否；没有同案 verdict 证据与授权版本的闭合 |
| authorization / policy version | 未公开 | 有 actor/approval 或 policy/profile 标识的局部字段 | 否；未见不可变版本绑定 |
| 每个 action-surface enforcement | Railway 的删除与平台改动、PyPI 自动移除等单面处置 | Palo Alto 的 allow/block/alert 是扫描面返回值 | 否；没有 action-surface 全分母和逐项执行回执 |
| in-flight 结果 | 未公开逐请求结局 | schema 没有外部工具提交/撤销结局 | 否 |
| revoke / recovery | Railway 恢复与产品改动；Firetiger 服务恢复；Anthropic 停止评测 | 运营文档没有同案恢复导出 | 否；恢复叙述未与同案 effect ledger 绑定 |
| canonical post-state | 未公开权威对象读回/不变量验收 | 未公开 | 否 |
| independent review completion | Anthropic 明确为 planned/dialogue | 文档没有 reviewer 完成记录 | 否 |
Reasoning
本轮的增量不是“发现了完整闭环”，而是把缺口从“有没有事件 ID”收窄为：控制面关联键能否穿透到外部副作用与恢复验收。
- 事故材料证明了真实影响、局部处置和服务恢复，但报告编号、状态页 ID、issue 身份或运行编号只能回答“记录属于哪件事”；它们没有自动回答“每个 action-surface 实际发生了什么”。
- 运营文档证明了局部 schema 可以同时记录 flag/verdict/approval/tool start-end/incident status；但没有同案导出，不能把“字段存在”升级为“事故中已记录且完整覆盖”。
- “Resolved”“恢复带数据”“扫描完成”“任务结束”分别作用于服务、数据库、扫描器或 Agent 控制面；除非有受影响系统的权威读回和不变量检查，否则不能当作 canonical post-state。
- 计划中的 METR/第三方 review 不能计为 independent review completion；“人类告警”也不等于独立复核完成。
因此本轮应记为 refined + no_delta：新增来源强化既有负面边界，但没有新证据改变“公开材料尚未提供完整同案闭链”的判断；也不新增稳定 Wiki 页面。
是否出现新 bottleneck
没有出现正交的新 bottleneck。 现有 EX-005 的瓶颈得到更精确的表述：
IncidentId / TraceId / CorrelationId / scan_id多数仍停留在控制面或安全扫描面；缺少它们到 downstream effect receipt、revoke-after-send 结局、恢复后 canonical state 和独立 reviewer 的可验证 join。
日志采样、查询窗口、policy ID 与不可变 policy version 的区别，是证据获取/判读条件；在本轮证据下还不足以另立一个正交 Explore。
Explore 契约
新问题
在已有 IncidentId/TraceId/CorrelationId 或 task/execution/scan 关联键的平台上，能否取得一份脱敏的同案导出，直接连接：
flag/scan → verdict → approver + policy version → tool/action receipt → target-system post-state → revoke/recovery → independent close
如果不能，断点是在 source adapter 没有传递关联键，还是系统根本没有 effect ledger？
证伪方向
任何一份未排除的第一方事故包或可核查运行导出，只要在一个事件键下公开以下字段，便可证伪本轮 no_delta：
flag_at与 flag 证据；- verdict 及其证据、授权主体、不可变
policy_version； - action-surface 清单以及每面 allow/block/执行回执；
- 已发送动作的 accepted/started/completed/cancelled/unknown 结局；
- revoke/recovery 的时间、责任人和补偿结果；
- 目标系统权威 post-state 或“不适用”的可验证证明；
- 与执行/处置主体不同的 reviewer、独立性依据、完成时间和结论。
只公开一个 task status、账户封禁、服务恢复或“已缓解”，不足以证伪；一份闭链材料也只证明存在该例，不证明跨平台普遍保证。
Source 需求
| 优先级 | 需求 | 采用门槛 |
|---|---|---|
| P0 | 未排除厂商的一份脱敏事故导出 + 已完成复核报告 | 同案 join、授权主体/版本、逐 action-surface、in-flight、撤销/补偿、权威 post-state、独立 reviewer 全部可核验；缺项必须显式标记 |
| P1 | Azure SRE Agent 的 App Insights customEvents + Azure Activity Log + 目标资源 audit log 同案导出 | 用 IncidentId/TraceId/CorrelationId 实际 join 到工具回执、资源变更、恢复读回和 reviewer；不能只再读 schema |
| P1 | Palo Alto AIRS 或其他安全网关的 scan log 与下游工具/业务审计的同案案例 | 将 scan_id 连接到真实副作用、延迟/异步处理结果和 post-state；确认 policy ID 对应不可变版本 |
| P1 | Anthropic 2026 三案的完成版独立复核与脱敏 transcript/artifact chain | METR/其他 reviewer 的完成状态、范围、结论，以及事件键到外部对象的映射；不能把计划复核计入当前结果 |
下一步目标建议
优先摄取一份真实事件包或厂商 follow-up 导出，不再横向累积只有 trace、cancel、scan 或 audit 字段的通用文档。若下一轮仍没有同案 effect lineage，则将 EX-005 收窄为“跨系统副作用关联 + 独立验收闭合”，保持 no_delta，不创建新 EX。
最小实验
在一次性隔离资源组中构造一个 mock Agent、两个 action-surface 和一个延迟提交工具：
- 触发唯一 nonce 的 flag，记录平台生成的
IncidentId/TraceId/CorrelationId（或等价键）、verdict、approver 和policy_version。 - 对两个面执行一个即时动作和一个延迟/在途动作；分别记录发送、接受、开始、完成、取消/撤销、未知结局。
- 在发送后触发 revoke，保留目标系统 audit log、effect ledger、补偿记录和 canonical post-state 读回。
- 导出控制面、工具面、目标系统三组日志；要求不依赖标题/人工猜测，只用关联键重建事件链。
- 由未参与执行的 reviewer 仅凭导出检查九个字段，统计 unmatched actions、revoke-after-send 完成数、post-state 不变量失败数和 review completion。
该实验只验证“导出契约能否闭合”，不能替代生产事故证据。
证据边界
- 研究截至 2026-09-06；“新”按相对两份基线研究稿未使用判断，不表示所有来源均在该日发布。
- 本轮只使用/核读官方事故报告、官方状态页、官方技术/产品文档；没有用二手报道、搜索摘要或社区转述作为 Evidence。
- “公开页面未提供”只对本轮实际访问的页面、章节和字段范围成立，不是对厂商私有日志不存在的断言。
- Azure、Palo Alto 等文档是 schema/操作契约，不是已观察事故；Anthropic 的 METR 复核在来源中是计划/进行中，不是完成状态。
- Railway 的恢复、Firetiger 的恢复、Cursor 的 Resolved 是来源自己的服务/事故叙述；本轮没有独立取得目标系统读回或独立 review。
- Anthropic 2026-07-30 是不同日期、不同事件集合的官方材料，不把 Anthropic 2025-11-13 基线材料重复计入；Firetiger 明确标作 agent-assisted，而非 agent-caused。
- 按用户明确的副作用边界，本轮不修改
raw/、state/、index.md、research-agenda.md或当日日志；不创建 stable Wiki 页面。Explore 契约仅保留在本 Research log 中。