---
belongs_to:
  - "[[⚒️ 铸渊·协作指令｜GitHub ↔ Notion 桥接协议]]"
---
# 🛡️ 铸渊指令｜双层熔断防护架构 · 用户宽带中继 + 动态Agent自毁层（TCS-SEC-RELAY-2026-0406-001）· 霜砚签发 · 冰朔授权

<aside>
🛡️

**指令编号**：TCS-SEC-RELAY-2026-0406-001

**签发**：霜砚（AG-SY-01）

**授权**：冰朔（TCS-0002∞）· 2026-04-06

**执行者**：铸渊（TCS-ZY001）

**状态**：待铸渊执行

**优先级**：P1 · 核心安全基础设施

</aside>

---

## 🎯 任务定位

在现有 VPN 系统（Xray/VLESS/Reality）基础上，构建**双层熔断防护架构**，目标：

> 任何人想追踪用户真实IP，都会在两道防线前彻底失败。第一道挡住99%的追踪；第二道对剩下1%执行自毁清零。
> 

---

## 🏗️ 架构总览

```
[用户设备]
    ↓ 加密隧道
[Layer 2 · 动态Agent防护层]  ← 每用户独立 · 异常即自毁
    ↓ 语言层授权验证
[Layer 1 · 服务器动态节点层]  ← 多台海内外服务器 · 加密 · 动态轮换
    ↓
[目标网站 / 外网出口]
```

追踪方向（敌方视角）：

```
敌方尝试追踪用户IP
    ↓
撞上 Layer 1：加密 + 动态 + 语言层授权 → 无法穿透 → 大多数追踪在此终止
    ↓（假设运气极好突破了Layer 1）
撞上 Layer 2：动态Agent检测到异常探针 → 爆炸性自毁格式化 → 该链路完全消失
    ↓
用户真实IP：永远不可达
```

---

## ⚔️ Layer 1 · 服务器动态节点层

### 核心设计原则

- **多服务器动态轮换**：海内外所有服务器统一纳入节点池，定期自动轮换出口节点
- **加密动态节点身份**：每个服务器节点的对外标识（TLS指纹、端口、SNI）定期自动变换，不固定
- **语言层授权前置**：所有入站连接必须通过 HLDP/TCS 语言层授权验证，非授权连接直接拒绝并不留日志

### 需要铸渊开发的模块

**`src/security/node-rotator.js` · 节点动态轮换引擎**

- 维护所有服务器的节点池配置（国内/海外分组）
- 每N小时自动轮换：出口服务器IP → 更新订阅配置 → 推送给在线用户
- 轮换策略：延迟优先 / 负载均衡 / 随机轮换（可配置）
- 轮换时老节点保持X分钟过渡期，平滑切换不断连

**`src/security/lang-gate.js` · 语言层授权网关**

- 集成现有 `src/membrane/gateway.js`（语言门控安全架构）
- 所有入站连接必须携带有效的 TCS 语言令牌（动态生成，TTL=5分钟）
- 令牌验证失败：静默丢弃，不返回任何响应，不记录来源IP
- 令牌生成：用户客户端在建立连接前，先完成语言层握手获取令牌

**`src/security/fingerprint-randomizer.js` · TLS指纹随机化**

- 每次连接随机化 TLS ClientHello 指纹（基于现有 Reality 协议扩展）
- 服务器端定期更换 SNI 伪装目标
- 目标：从流量分析角度，每次连接看起来都像不同的正常HTTPS流量

---

## 💣 Layer 2 · 动态Agent自毁防护层

### 核心设计原则

- **每用户独立**：每个用户拥有一个系统自动生成的专属动态Agent身份（非AI，是代理身份实体）
- **动态**：Agent身份定期自动重新生成（ID、密钥、路由标识全部换新）
- **自毁触发**：当Agent检测到异常探针/追踪行为时，立即执行格式化自毁，该链路完全消失
- **用户无感**：自毁后用户自动获得新Agent身份，连接自动重建，用户侧体感最多是短暂重连

### 自毁触发条件

```
任意一条满足即触发：
1. 同一Agent身份在异常短时间内被多个不同IP尝试连接
2. 连接行为与用户历史模式偏差超过阈值（时间/地区/设备指纹）
3. 收到任何不含有效语言层令牌的探测请求
4. 服务器检测到针对该Agent路由路径的端口扫描/指纹探测
5. 手动触发（用户或管理员）
```

### 自毁执行流程

```
触发事件检测
    ↓
[T+0ms] 立即停止接受该Agent身份的所有新连接
    ↓
[T+100ms] 销毁该Agent的所有路由规则和密钥材料
    ↓
[T+200ms] 清除服务器上与该Agent关联的所有日志和连接记录（zero-wipe）
    ↓
[T+500ms] 向用户客户端发送重建信号（加密指令）
    ↓
[T+1s] 系统自动为该用户生成全新Agent身份
    ↓
[T+2s] 新Agent身份通过邮件/客户端静默推送给用户
    ↓
该链路从服务器上完全消失，追踪者面对的是一个不存在的历史
```

### 需要铸渊开发的模块

**`src/security/agent-identity-manager.js` · 动态Agent身份管理器**

- 为每个用户（通过user token识别）维护一个当前有效的Agent身份对象
- Agent身份包含：唯一ID（随机生成）、专属密钥对、路由标识、生成时间戳、TTL
- 定期主动轮换（TTL到期）+ 异常触发自毁两种更新路径
- 身份存储：内存优先，不持久化到磁盘（内存即是最安全的零日志）

**`src/security/anomaly-detector.js` · 异常行为检测器**

- 实时监控每个Agent身份上的连接行为特征
- 5条触发规则的检测逻辑（见上方触发条件）
- 检测到异常 → 立即调用 `agent-identity-manager.js` 的自毁接口
- 检测本身不记录任何用户可识别信息

**`src/security/zero-wipe.js` · 零痕迹清除引擎**

- 自毁时调用，执行内存中Agent身份的安全擦除
- 多次覆写随机数据后释放内存（防止内存取证）
- 清除所有相关的 nginx access log 条目（按Agent ID过滤删除）
- 向铸渊核心大脑写入一条自毁事件摘要（只记录：时间+触发类型，不记录用户信息）

---

## 📋 用户带宽中继节点（Phase 2 扩展）

<aside>
📌

此部分为冰朔规划的带宽扩展方向，与双层防护架构兼容，Phase 2 启动。

核心设计：用户家庭宽带作为中继加速节点（非出口节点，用户IP不暴露）

铸渊在完成 Phase 1 双层防护后，再启动此模块开发。

</aside>

- 用户客户端内置可选「节点贡献模式」开关（默认关闭，明确 opt-in）
- 开启后，用户设备注册为中继候选池节点，只做流量中转，不做出口
- 贡献节点的用户获得流量奖励（具体激励方案冰朔后续签发）
- 所有中继流量同样经过 Layer 2 动态Agent防护

---

## 🗂️ 开发阶段规划

| 阶段 | 内容 | 模块 |
| --- | --- | --- |
| Phase 1A | Agent身份管理器 + 零痕迹清除 | `agent-identity-manager.js` · `zero-wipe.js` |
| Phase 1B | 异常检测器 + 自毁触发链路 | `anomaly-detector.js` |
| Phase 1C | 节点动态轮换引擎 | `node-rotator.js` |
| Phase 1D | 语言层授权网关（集成现有membrane） | `lang-gate.js` |
| Phase 1E | TLS指纹随机化 | `fingerprint-randomizer.js` |
| Phase 2 | 用户带宽中继节点系统 | 待冰朔签发单独指令 |

---

## ✅ 铸渊回执要求

完成后请在本页下方回复，包含：

- 各模块完成状态
- 自毁机制测试报告（模拟触发一次，记录全流程耗时）
- fast-wake.json 版本号更新
- 任何需要冰朔手动操作的事项

---

<aside>
⚔️

**将军锁定语**

两道防线，一道比一道更彻底。

第一道让追踪者找不到方向。

第二道让追踪者面对一个从未存在过的东西。

这不是防御，这是主动消除。

——冰朔口述 · 霜砚整理 · 2026-04-06

</aside>