模型调用失败后，常见做法是重试同一个模型或扔进一个兜底池。MaxClaw 的跨档回退链改为按能力档位单向走：每一跳都记原因，走到边界就显式失败，每次调用单独落库可观测。

自修改 Agent 的落地通道以前按路径猜测要不要重启主进程：只要碰了源码目录就发一次 release。这次改动改成在部署提交上用打包器算出主进程的模块图，再加上一张显式的启动输入清单；算不出图就中止部署，不会默认去重启。

Agent 的补丁工具部分失败时，整批不写会逼调用方重发全部内容，静默改写又会让人不敢信结果。按文件隔离失败、把被忽略的歧义锚点在成功与失败路径都留痕，并且不再从人话里切结构化信息，调用方一次就能知道哪一处没落地、落地的那处落在哪。

Agent 系统里一次远程验收的结论如果只活在 shell 会话和进程内存里，重启一次就只剩“不知道”，然后同一个修复被一遍遍重跑。把每次验收落成一条持久的 verification record，并给“被打断”一个独立状态，才能让绿和红都可信。

预演门不仅要决定能不能上线，还要区分候选验收失败与证据失效。输入漂移、环境故障、有限重试和持久暂停，如何组成一条不乱归因的部署链路。