AgentConfigScore 的分数衡量已经检测到的、由规则定义的风险，不衡量模型智力、任务成功率或指令总体质量。A 100 表示没有命中生效的确定性规则，不是语义质量或安全认证。
尚未发布的源码版本提供工具源码身份（英文），用于区分声明同一版本号的不同实现。相同指纹不证明准确率或可复现性：仓库输入、策略、运行环境和文件系统行为不在该指纹范围内。工具源码缺失时明确记为未知，历史报告不补标成当前版本。
选中的指令文件和 .agentconfigscoreignore 必须解析为扫描根目录内的普通文件。仓库内的文件符号链接仍受支持；发现位置、Markdown 相对链接和指令作用域使用链接所在的位置，不是共享目标的目录。用户明确指定的根目录别名可用，并以其解析后的目录为边界。
发现过程不跟随子目录符号链接或 Windows junction，即使目标在仓库内；依赖、构建目录以及明确由 /** 忽略模式覆盖的整棵子树会在进入前排除，其他忽略模式保留文件名匹配含义。明确忽略的来源不检查，也没有覆盖声明。
选中的越界、失效、循环或非普通文件来源会在打开内容前失败；读取前再次验证，并打开解析后的目标。发现、解析或指令内容读取失败时，扫描、compare、feedback 返回 2，不生成成功分数或新的成功报告；doctor 检查实际可读性，给出 instructions 错误并返回 1。这些来源诊断不回显原始目标路径或系统错误详情。read-error 仅为旧报告和旧豁免保留，不能豁免当前操作错误。
这不是文件系统沙箱，也不是原子快照：并发进程仍可能在验证与打开之间替换父目录或目标；不认证硬链接身份或挂载边界。其他显式输入、配置或工作流读取器、报告输出是独立接口，这个守卫不约束工具的所有文件系统操作。非指令文件的循环链接从路径索引排除，不代表安全或语义正确。扫描期间应保持仓库稳定。完整英文边界。
只要避开已知规则，下列内容仍可能得到 100 分：
- 空泛、无用但非空的指令。
- 没有使用已知危险命令表达的恶意或有害意图。
- 经过改写、措辞不完全相同的矛盾。
- 不在规则目录中的破坏性工具、命令形式。
- 语法正确但与实际仓库任务不匹配的指导。
我们不会用容易复制的“最佳实践”关键词加分来掩盖这些限制。模型辅助的语义判断需要独立评测和标注数据，不能通过更强的宣传措辞替代。
中文文档是可选阅读入口。它不表示检测规则能理解任意简体或繁体中文语义。 英文散文规则的跨语言表现尚未得到验证；中文的否定、例子、改写和矛盾仍需要人工审核。
rm-rf、git-clean-force、docker-system-prune 解析有限 shell 片段的选项，支持部分重排、拆分、长选项、引号内的选项值和显式反斜杠续行。shell 分隔符与 -- 会停止选项解释。Git 的预览/交互模式排除在危险匹配外；rm 后出现的交互选项会覆盖强制模式。排除/过滤选项的值不会当成执行标志。
片段最多 1,000 个字符。普通操作数之后的选项、变量展开、别名、包装函数、子命令前的全局选项不解析。其他命令规则仍采用较窄的模式，不能覆盖所有 shell 语法。
明确识别的英文禁止语句可以覆盖紧邻且闭合的代码块，或连续的直接命令列表。这不是完整 Markdown 解析器或意图分类器：没有标签的代码仍会接受危险命令检查；未闭合代码块不继承禁止作用域；直接出现的凭据独立检查。引号或代码围栏本身也不是通用豁免。
复杂教学示例可能误报。先核对上下文，再使用有理由、有到期日期且经基线审核的豁免。具体语法与负例（英文）。
prompt-injection-override 识别 ignore previous instructions 等明确英文短语。命中只代表需要审核，不证明发生攻击。明确禁止以及整行标记的攻击示例可排除；任意改写、其他语言、运行时工具输出或远程内容的注入不在覆盖范围。英文限制说明。
false-success-report 要求完整的英文散文子句，明确隐瞒错误却报告成功，或在失败/未执行时声称测试通过。仅跳过测试、禁止性描述、引号或代码示例不足以满足该规则。它不跨句、跨行拼接证据，也不检查实际测试是否运行。其他有害指导仍可能通过。规则细节（英文）。
broad-environment-upload 要求同一英文子句同时包含明确传输行为、完整环境变量来源和网络接收端。仅变量名称、明确脱敏、日志、禁止描述、代码示例不满足此语法。它不读取进程环境、不验证脱敏、不解析目标，也不证明恶意意图或实际传输。字面回环地址被排除，但转发不分析；shell 上传、其他语言和任意改写仍不支持。规则细节（英文）。
简单的行内链接、图片目标相对于指令文件目录检查。URL 编码空格和尖括号目标受支持；只检查文件是否存在，不检查片段对应的标题。远程链接、纯锚点、代码块示例、绝对路径和逃出仓库的路径会跳过。引用式链接及目标中嵌套括号暂不解析。这不是完整 Markdown 校验器。
反引号中的 ./、../ 文件路径按仓库根目录及适用的指令目录核对；嵌套 AGENTS 文件保留仓库内祖先目录的解释，其他格式也接受明确的文档相对路径。这些路径不会因无关包有相同后缀而通过。.github 等名称中的开头圆点会保留；所有解释都逃出仓库时，不访问外部路径，也不拿索引中的其他文件代替。真正的 Markdown 链接仍严格相对于文档目录。
无前缀的散文路径仍使用保守的包相对后缀匹配。两种模式都不推断命令的工作目录、不执行或跟踪 cd 指令，也不证明哪一种解释符合作者意图。
只在紧邻路径且闭合的 (if exists)、(if it exists) 条件下，把对应散文路径视为可选；括号内 - 或 : 后可带简短解释。真正的 Markdown 链接仍检查目标。同一行的其他路径、远处的“可选”字样、不闭合的条件不会因此豁免。
owner/tool.js 这类两段名称，只在明确的同一行仓库角色语法中跳过：后接 repository/remote 及标点，或前接 merge target is、fork of、re-pushed to a branch in、CI trusts branches inside；也识别相同仓库名的 fork of ... and not ... itself 形式。仅提到 GitHub 或仓库，不会让本地路径免检。其他改写和语言仍可能误判。完整英文边界。
包相对路径的后缀索引包含 build、dist、target、.next 中已经存在的路径，但不会因此扩大指令文件的发现范围。依赖、管理目录仍排除在后缀索引外；不遍历目录符号链接，也不索引外部或失效链接。存在不代表内容正确或路径意图明确；未生成的文件仍可能被报告缺失，大小写判断依赖宿主文件系统。这些豁免不会关闭危险命令或凭据检查。
构建索引时的目录遍历错误会停止扫描，不把部分索引当作干净结果或文件缺失的证据。扫描、compare、feedback 返回 2，不输出成功报告；doctor 给出 repository-paths 错误项并返回 1。已排除的依赖、管理目录仍不遍历。这是本地文件系统检查，不是仅限 Git 跟踪文件的索引，也不是原子文件系统快照。
- 没有支持的指令文件会产生
no-config；空文件会产生empty-instructions，不会显示 A 等级。 - 生效的错误发现会限制等级，不能仅因数值惩罚较小就显示 A。
- 精确指令形式的矛盾可以检出，改写后的语义矛盾不保证检出。
- 删除指令文件会产生回归专用的
instruction-file-removed；尚未发布的源码版本仅豁免同目录内、一对一匹配、非空且解码文本完全相同的新增文件移动。现存副本、跨目录搬移和折叠空白后才相同的内容不能豁免；不证明不同工具格式、优先级或实际作用域等价。 - 相同指令正文的明确极性翻转会产生
directive-polarity-flip，不推断任意语义相反的句子。
对应行为有回归测试，基线审核的豁免可记录有意接受的例外。通过测试只证明符合这些已指定的行为。
尚未发布的对比逻辑复用每次扫描捕获的文本，不再二次读取并跳过读取失败；初次读取失败仍中止检查，原始捕获文本不保留在公开报告对象或导出中。这不是原子快照或并发修改检测，应保持两侧目录稳定，编辑后重跑。回归专用错误不扣数值分；两边 100 分仍需通过基线 fail_on_new_errors 或 --fail-on-new-errors 阻断。裸 CLI 的仅检查降分默认值不变。完整边界（英文）。
尚未发布的删除保护补全功能（英文）是独立的非计分建议，不靠安全关键词加分。它只识别选定文件里的有限句式，不继承其他文件、工具权限或沙箱设置；未识别到不证明缺少保护，识别到也不证明完整或会被执行。默认只读预览，追加必须明确确认，且不是原子事务，写入失败可能留下部分追加片段。现有评分和 CI 门禁不变。
尚未发布的 --explain 和维护者清单（英文）只给静态审核建议，不增加检测范围、不自动修复，也不执行引用的命令、猜测替代路径或改变评分。可选的 init --pr-comment 生成明确带写权限的工作流，本身不发评论；默认生成的工作流仍只申请 GitHub 只读权限。详见维护者流程（英文）。
明确的示例标题会排除其章节；示例章节延续到文件末尾时须手动合并。HTML 类标签会让整个选定文件停止策略识别。少数跳过删除确认的明确句式，即使与已识别的保护并存，也须先手动处理；这些只是不计分的审核信号，不代表完整的冲突检测或实际代理行为。
维护的离线对抗用例目前有 474/474 个确定性契约匹配；公开挑战中检出 6/8，仍保留两个语义漏报。这是封闭开发用例的回归结果，不是现实仓库准确率。修复已知的虚假成功报告和环境上传案例是开发进展，不是独立准确率估计。
与直接 AI 审查的独立对照尚未完成。比较工具包含已知的合成校准数据和暂定标签；未回答、未审核、未执行、参考标签未解决的情况，不会被当成完成的成功测量。一次未定论 AI 预评审、失败的源码获取，以及公共仓库片段，都不是已核验的用户反馈或优于 AI 的证据。评测方法（英文）。
用于发现稳定规则覆盖的具体回归、在 CI 中审核发现、保留例外审计记录。不要作为生成代码、仓库安全或指令质量的唯一审批依据。安装验收、文档本地化和真实用户价值是不同问题。