说起来，

让两个模型一写一审

再看想法很直接。一个模型写代码，另一个模型审。两家不同的 API，互相不认识，第二意见总比自己审自己强。

但实际开发中最大的挑战不是"怎么让它审"，而是"审过了"到底代表着什么。

至于先泼一盆冷水，这不是我 PRD 里写的那个东西

PRD § 定义的是 ExternalCodingAgentConnectorProfile —— 接官方 Codex CLI /Claude Code 的非交互接口。要做 binary identity、capability probe、ExternalCandidateWorkspace外部 Agent 产出的 diff 还要经过Diff → MutationPlan → CAS 才能落地。

我实现的是两个 ModelConnectionProfile —— 两个 HTTP API，一写一审。

痛点：开发过程中经常遇到需求理解偏差问题。PRD描述的复杂功能与实际实现能力存在巨大落差，导致工程量被严重低估。这种含糊会误导团队和使用者对功能价值的预期。怎么说呢，

最关键的一行代码是一个状态

| 'CROSS_REVIEWING'| 'AWAITING_PATCH_REVIEW'| 'SUCCEEDED'

痛点：状态设计直接决定流程边界和使用者理解。仅结果证据强度不足导致误解的风险。这种精细化状态设计是多模型协作程序面临的主要挑战之一。

只读不是提示词说了算

// system prompt
{
"system":
}

// actual code enforcement
if && def.risk!== 'R0') {
host.endToolCall;}
const reviewTools = TOOLS.filter;怎么说呢，

痛点：依赖提示词约束模型行为存在根本性风险。必须通过代码层面双重保障来确保只读安全性。 其实，这种防御性编程方式解决了AI代理在高风险操作中的不可信问题。是程序必须面对的基础设施挑战。

指纹必须由网站算

export interface ReviewFinding {
readonly fingerprint: string;// ...
}
fingerprint: digestOf({
severity: f.severity,file: f.file?，null,range,evidence: f.evidence.trim.slice,})。// NOT:
fingerprint: f.fingerprint // don't trust model

痛点：在AI反馈循环中，任何影响收敛判断或进展检测的元数据都必须由网站控制而非依赖模型自报。这是多轮交互程序特有且容易被忽略的关键设计原则——如何避免AI操纵其自身评估过程？答案是将所有判据完全脱离被评估方控制范围。

说到收敛，硬上限。写死在常量里

export const CROSS_REVIEW_LIMITS = {
maxReviewerInvocations:,maxRemediations:,} as const;export type CrossReviewStopReason =
| 'REVIEWER_PASSED'
| 'COUNTER_EXHAUSTED'
| ...
| 'ERROR';if {
stopReason = 'COUNTER_EXHAUSTED';}
// counter is task-level aggregate
/**
* counter 是"任务级聚合"...不能重置它
*/

痛点：防止无限循环需要严格限制轮次数并确保计数器不可绕过。这种绝对边界设计解决了AI协作中最难管理的风险——如何确保闭环流程有终结条件？这也是为什么counter需要作为任务级聚合而非会话级变量来维护。

降级的观点是，绝不偷偷自审

if {
if {
reviewerDegradeNote = `同profile无法提供独立意见`;说起来，} else if {
reviewerDegradeNote = `凭据缺失...跳过`;}
}
// NOT:
// fall back to implementer's route!let reviewer = null;if {
throw new Error;}