企业官网建设流程全解析

VibeSkills 治理契约体系完整解读：150+ 份 config 政策如何让 AI 运行时保持可控

【免费下载链接】Vibe-SkillsIntelligent Skill routing and workflow orchestration for AI agents — +21.12 pp reward, −29.6% tokens on SkillsBench with DeepSeekV4Flash-VE.项目地址: https://gitcode.com/gh_mirrors/vi/Vibe-Skills

VibeSkills 是一个面向 AI Agent 的智能 Skill 路由与工作流编排框架，而支撑它稳定运行的核心，正是 config/ 目录下超过 150 份机器可读的政策文件——我们称之为治理契约体系。对新手来说，这听起来像"配置地狱"，但它的本质更像一套写给 AI 的"交通规则"：每一条规则、每一个阈值、每一次权限边界，都以 JSON 契约的形式被脚本直接消费，让复杂运行时始终处于可控状态。本文将带你快速看懂这套体系的设计思路。

一、治理契约是什么：写给脚本读的"交通规则"

很多人误以为config/只是普通的配置文件目录，其实它是 VibeSkills 的治理大脑。官方目录说明一句话点破了它的定位：

config/保存会被脚本直接消费的 machine-readable contracts。规则说明在docs/，这里放的是执行事实。

换句话说：

• 文档（docs/）给人读，解释"为什么"；
• 契约（config/）给脚本读，定义"必须怎么做"。

每份 JSON 文件都是一个独立领域的政策——路由阈值、密钥安全、工具风险分级、记忆边界、能力晋级……它们共同构成一个去中心化但强一致的治理网络。你可以从 config/index.md 开始了解入口文件与阅读顺序，再配合 config/governance-family-index.json 查看契约的家族分类（治理与运行时、路由与叠加层、分发与来源三大族）。

二、主运行时契约：六阶段流水线与硬性不变量

整个体系的"宪法"是 config/runtime-contract.json，它定义了 VibeSkills 官方运行时的三条铁律：

1️⃣ 单一权威（single runtime authority）

契约明确forbid_second_router: true——全系统只允许一个路由权威，杜绝两个"大脑"互相打架。所有本地 Skill 推荐都收敛到 packages/runtime-core/ 中的router_contract_runtime.py。

2️⃣ 固定阶段顺序（fixed stage order）

每个任务必须按 6 个阶段顺序推进，一个都不能跳：

每个阶段都留有 receipt（回执文件），意味着每一步都必须留痕、可审计。

3️⃣ 禁止静默降级（no silent fallback）

这是最值得新手记住的一条：运行时不允许悄悄换一条"容易走通"的路。任何 fallback 都必须发出危险警报，且结果不算权威。这保证了 AI 交付给你的结果，永远不是"偷偷降质"后的产物。

三、路由契约：从 150 份政策中选出真正有用的 Skill

当你的机器上装了 100+ 个 Skill 时，"选哪个"就是最大的难题。VibeSkills 的答案是双保险路由：

• config/router-thresholds.json 定义打分阈值（如候选聚焦分 0.45、Top1 与 Top2 的最小分差 0.06），决定哪些 Skill 够格进入候选；
• docs/governance/current-routing-contract.md 规定：路由分数只做候选审计，最终选择权交给 Agent——Agent 必须读完候选 Skill 的SKILL.md、将其写入用户批准的agent_skill_organization，候选才算"可执行"。

这套"先筛选、后确认、再冻结"的机制，正是 VibeSkills 在 SkillsBench 大规模多 Skill 场景中表现出色的关键：它不是调用更多 Skill，而是更少、更准、按依赖排序地调用。

四、安全治理：工具风险分级与密钥红线

AI 运行时的失控风险，一半来自危险操作，一半来自敏感信息泄露。VibeSkills 用两份契约分别设防：

🛡️工具风险四级制— config/tool-risk-tiers.json 把所有工具动作分成 4 个 Tier：

🔒密钥红线— config/secrets-policy.json 直接禁止明文密钥进仓库，强制使用环境变量或 Vault 存储，并规定默认 30 天轮换。配套的 config/egress-allowlist.json 则限定运行时的外联出口，防止 AI 把数据"偷偷发出去"。

五、记忆与能力治理：让长期运行不打架

复杂运行时跑久了，最容易乱的是两件事：记忆和能力膨胀。

• config/memory-governance.json 为不同记忆后端划定了严格的职责边界：session 状态只存会话进度，显式项目决策只进长期记忆，且"写入门槛"是explicit_decision_only——只有用户明确拍板的结论才允许落盘；
• config/promotion-board.json 与 config/capability-catalog.json 构成能力晋级看板：一个新能力从候选到正式上架，必须走完整的生命周期审批，而不是"谁都能塞进主链"。

再叠加 docs/governance/skill-admission-hardening.md 定义的准入规则和 config/repo-cleanliness-policy.json 的仓库整洁分类，整套体系保证了规模扩张的同时，边界始终清晰。

六、契约带来的实测收益：+21.12 pp 奖励，−29.6% Token

治理不是目的，效果才是。在 SkillsBench 大规模多 Skill 环境（195 个专业 Skill 同时在线）中，VibeSkills v4.1.0 配合 DeepSeekV4Flash-VE 的实测结果如下：

任务质量与资源消耗的双向优化说明：严格的治理契约反而让 AI 干得更快、更省。因为清晰的阶段门禁消除了无效试错，路由阈值避免了选错 Skill 的返工，风险分级则让高置信度动作得以自动执行。

七、新手上手指南：建议的阅读路径

如果你准备深入这套契约体系，官方推荐了循序渐进的阅读顺序（见 config/index.md）：

1. 先看三大基础政策：version-governance.json（打包治理）、repo-cleanliness-policy.json（仓库整洁）、outputs-boundary-policy.json（输出边界）；
2. 再看路由核心：runtime-contract.json、router-thresholds.json、skill-alias-map.json；
3. 需要发布 / 晋级时，再进入 boards（promotion-board、capability-catalog）；
4. 历史快照与治理记录一律通过 Git 历史或 CI 工件检索，不占用当前契约空间。

同时别忘了配套的验证门禁：scripts/verify/gate-family-index.md 列出了守护这些契约的验证门禁家族，契约改动后必须复跑对应 gates——这是"契约永不被绕过"的最后一道保障。

总结

VibeSkills 的治理契约体系，用 150+ 份小而专注的 JSON 政策回答了一个核心问题：AI 运行时规模越大，越需要"小颗粒度、强一致"的规则约束。

• 单一权威 + 六阶段流水线 → 流程可控；
• 双保险路由 + 阈值契约 → 选择可控；
• 工具风险分级 + 密钥红线 → 安全可控；
• 记忆边界 + 能力晋级看板 → 长期演化可控。

对新手而言，你不需要记住全部文件——只要理解"docs 给人读，config 给脚本读，每一步都有回执，任何降级都不许静默"这四句话，就抓住了 VibeSkills 治理哲学的全部精髓。

【免费下载链接】Vibe-SkillsIntelligent Skill routing and workflow orchestration for AI agents — +21.12 pp reward, −29.6% tokens on SkillsBench with DeepSeekV4Flash-VE.项目地址: https://gitcode.com/gh_mirrors/vi/Vibe-Skills