[P0][T33] 保留上下文来源与信任级别，防止检索或工具内容提升为指令 #136

目标与优先级

摘要和拼接可能丢失来源边界。需要记录可信指令与外部数据的区别，而不是宣称文本扫描能保证模型不受注入。

• 优先级：P0；责任仓库：agentic-ai-java/argi；补充任务：T33。
• 总览：https://github.com/agentic-ai-java/argi/issues/117。

当前证据与判断边界

• SummarizationHook 将 user/assistant/tool 文本组合生成摘要，并把摘要加入一个 SystemMessage。
• AgentLlmNode 将 state.data 与 metadata 合并到模型 context； inspected message/summary 路径没有统一来源与信任等级契约。

以上是源码观察；能力补充结论是基于这些路径的推断，不等同生产故障或漏洞已经复现。框架已有ReAct/Hook、摘要、Todo、Schema声明、工具拦截及可选Sandbox，本任务是在其基础上补齐边界。

范围与落地方案

• 引入可选 source/provenance/trust 元数据：应用指令、用户输入、RAG文档、tool output、child output、summary及artifact reference。
• 复用现有 Message/metadata扩展；定义组装与摘要规则，外部数据不能因为摘要而自动成为更高权限指令或改变 authority。
• 摘要保留 attribution、事实/待办/约束与来源引用；来源冲突/伪造元数据按应用策略处理。
• RAG/tool description中的恶意指令仍是数据；renderer 不拼接成新的工具授权、系统配置或审批事实。

前置依赖

• 无前置Task，可独立交付基础契约和reference tests。

已有任务与去重边界

• [P0][T02] 定义可信执行身份与作用域传播契约 #119 (T02)
• [P0][T03] 在工具执行边界强制校验授权与风险策略 #120 (T03)

这些是关联/集成位置，不是额外硬阻塞。仅前置依赖要求先交付；持久化和跨实例能力继续由原任务承担。

验收条件

• 包含伪造 system指令的 tool/RAG 文本，经摘要后保留低信任来源而不提升权限。
• 连续压缩、child handoff与恢复后仍能追溯原来源；普通 payload 不能伪造应用可信指令。
• 用户偏好/检索事实与运行授权/secret config分离，不因 context merge覆盖安全元数据。
• 示例和对抗回归明确保障的是数据/权限边界，不声称防住所有语义注入；默认格式/API兼容。

非目标

• 不重复 [P0][T02] 定义可信执行身份与作用域传播契约 #119 的认证身份，不重建 [P0][T03] 在工具执行边界强制校验授权与风险策略 #120 的权限引擎，不增加未经请求的模型安全服务。

兼容与验证

• Java 17，新增路径opt-in；保留现有公开API、默认行为与历史state/checkpoint格式。不引入MQ或节点级分片。
• Core不导入Redis/Extensions；优先复用已有API、reducer和组件，不直接添加新依赖。
• 先模型无关单测，再按本任务范围运行模块测试/API与格式fixture；跨adapter路径用stub contract tests，真实Docker测试注明环境要求。
• 当前main的兼容文档/CI曾调整，新任务不引用已删除文档或自行恢复CI；遵循实施时实际有效门禁，保留兼容回归目标。

源码依据（固定版本）

• Summary as SystemMessage
• Summary source flattening
• Model context merge

分析基线：Core f3bcbef24aa79e1e265a7d0d2011274982ac2978、Extensions 1ba3048f16d48c9f41dab171eed9a91148b45758。只读compare确认相对上次分析没有生产Java变更，主要是release/build/docs更新；本Issue不表示能力已实现。