Stock Profiler 的设计：让研究、风险与行动各有依据

从领域对象看整条决策过程

CONTEXT.md 将产品定义为面向本人账户的个人投资决策助手，而不是一个单股报告生成器。研究管线是完整旅程，单股研究 Run 只是其中一次执行；候选、个人分配、持仓行动、资格和结局各有身份。这个区分决定了后续架构：框架成功不能自动批准业务，用户接受不能自动成为成交，评估通过也不能自动成为运行授权。¹

本文按因果关系串联本地全部 40 条 ADR，逐项解释问题、选择和代价。ADR-0002 已被 ADR-0036 明确取代；其余早期文档中的产品范围、价格和运行时版本，也需要与后续决定及当前领域定义共同阅读。没有正式取代状态的差异会明确注明，不将其伪装成一致。²

这里是面向作品集的原创设计解读，不复制私有规范、私人政策数值、完整统计参数或未来交付清单。正文的“选择”说明设计理由，不表示相应能力已在真实市场取得资格。当前实现与验证范围仍由技术页和实验验证单独说明。

一、先确定产品责任，再决定怎样使用 Agent

ADR-0007：提供可行动结论，但始终由本人执行

只写研究摘要会把“这对我意味着什么”留给用户自行拼接；自动交易又会引入完全不同的权限和执行责任。因此产品允许形成候选买入、持有、减持或清仓的决策支持，但只服务本人账户，不成为公开荐股平台，也不提交订单。

这一选择保留可行动性，却要求所有界面区分建议与执行。人工确认不是用来弥补证据不足的免责按钮，更不是给系统下单的长期授权。³

ADR-0006：单市场与薄数据层，减少早期隐含依赖

最初聚焦 A 股，数据接入只保留本项目需要的薄层，而不直接搬入另一个应用的数据平台。原因是后者往往同时带来配置、诊断和产品假设，表面复用一个模块，实际接进整个应用。

代价是要自己维护必要接口，收益是边界较小、故障可归因。该 ADR 最初排除 Web 和通知，后来 ADR-0034 扩展了个人产品入口；真实历史切片的公开使用也被 ADR-0036 收紧。它保留的是阶段性控制范围的理由，不是永久禁止 Web 的规则。³

ADR-0001：研究内聚，风控拥有独立否决

把每个研究角色拆成独立 Agent，会增加跨 Run 状态交接；把所有角色放进一段大 Prompt，又可能让否决只剩一句建议。折中方案是收集、分析、多空辩论和成稿在一个研究 Run 内推进，风控另起独立 Run，能够真正拒绝。

这样减少运行拓扑，却保留权力独立。成本是仍须维护草稿交接和否决记录；收益是委员会不是让模型轮流发言的表演。风控拒绝影响准入，但不能删除此前已经冻结、仍需进入评估的预测。³

ADR-0003：必需数据由应用交付，探索由模型选择

行情、财务等必需材料不能取决于模型这次是否想调用工具，因此由 Context Provider 在 Model Step 前确定性交付；新闻与增量探索则用只读 Tool，让模型按需要寻找。

全走 Provider 会限制探索，全走 Tool 又使基础数据路径漂移。分层增加两套契约的维护成本，换来底座可重放、探索有自由，也让预算和失败范围分别可控。³

ADR-0004：记忆保存演进，不让第二次模型改写事实

跨 Run 的股票画像分成证据日志、提炼洞察与稳定画像。成功研究的结构化结果追加到日志，洞察由字段差异规则提炼，不再请模型自由总结；失败 Run 不写入成功画像。

规则的表达能力有限，却能回归检查“哪个结论何时变化”。这不意味着失败从系统消失：画像只接受成功研究，决策账本仍保留拒绝、弃权与故障，两者承担不同责任。³

二、先知道什么算证据，再谈模型表现

ADR-0002 → ADR-0036：冻结测试与真实证据分层

早期 ADR-0002 用真实历史冻结片段支持确定性 EVAL，用 live DEMO 观察实际端点。其价值是让 CI 不依赖凭据和外部波动，代价是测试成功只能说明有界合同，不能说明真实投资能力。

ADR-0036 后来明确取代这条数据安排：公开 D0/D1 只能使用原生合成案例，不能把真实行情裁剪、打乱或匿名化后称为合成。真实证据保留在 Git 外的私有存储。低级证据不冒充高级资格的原则保留，公开夹具的数据来源则改变了。⁴

ADR-0005：硬门可重复，Judge 只作补充

Schema、数字溯源、规定风险信号和不可变回归基线都使用确定性断言。如果 CI 红绿依赖另一个模型的主观评分，失败很难定位，团队也容易开始忽略红灯。

因此 LLM Judge 只能提供补充观察，不能覆盖硬门失败；测试还要主动破坏输入或约束，确认检查会失败。代价是需要设计真正可证伪的检查，而不是只展示一个综合分。与 ADR-0036 合读时，公开检查验证合成合同，不使用真实历史结局充当公开夹具。⁴

ADR-0020：数据缺失不能被补成“没有问题”

抓取成功不等于数据完整，空数组也不一定证明没有事件。设计为股票域、研究、校准和持仓分别建立数据清单，区分事实生效、权威公开与本地取得验证的时间，只有在截止点前真正可用的版本才能参与决定。

这增加来源资格、历史保存与完整性核验成本，却阻止迟到公告、静默补值和删除缺失股票美化结果。替代源必须预先认证且决策等价；临时找一个数值相近的接口，不能直接继承资格。证据失败关闭受影响范围，只能保留非行动观察，而不是加一句警告继续给结论。⁵

三、将选池、深研评分和买入概率分开

ADR-0015：月度冻结批次，而非不断追选

新股票池按固定月度截止点形成，成员和当时证据冻结。相比每日追选，这更贴近中期评价期限，减少重复信号，也让一次选择可以完整重放。

代价是不会追逐每个盘中变化。月度只约束新候选，不限制持仓风险的事件响应；否则为了减少样本依赖，反而可能漏掉已有暴露的问题。⁶

ADR-0016：股票域是多项条件的交集

账户能交易某类证券，不代表产品已有相应数据与规则资格；历史模拟的保守账户假设，也不能替真实账户授权。因此可购买范围由账户权限、产品排除、板块证据与实际可执行条件共同决定。

覆盖面会缩小，某些看好的证券也不能进入。但排除只限制新买入，不能删除既有持仓或不利结局。该 ADR 还给入场设置明确窗口，收紧 ADR-0009 早期可能被读成无限顺延的措辞。⁶

ADR-0017：固定研究名单，分散门显式化

名单采用固定规模与冻结排名，依次应用行业、市值和相关性约束；无法满足就选池弃权，不临时缩小批次或放宽约束。排名表示研究优先级，不是仓位或买入顺序。

代价是可能放弃一个可组成更小名单的月份，收益是不同月份可以按同一合同比较。风格暴露作为诊断而非偷偷增加配额，也避免在观察结果后不断补规则。⁶

ADR-0028：排序、原始分和概率各自证明增量

初筛服务于整个股票池的目标，深研后的原始成功分服务于逐股结局，校准器再把冻结分数映射为概率。设计采用单向两阶段结构，不让下游结局、风控或用户行为回写上游排名。

正式原始分来自受约束的结构化模型。LLM 可以组织有依据的研究和风险，但不直接用文字信心抬高正式概率；潜在增量留在独立影子版本验证。这牺牲叙事直接入分的灵活性，换来时点一致性与可重放性。

复杂初筛要与同输入的简单模型比较，深研特征要与只含初筛先验的基线比较。更好的 challenger 不自动成为生产 fallback；规则版本与机械重拟合的参数快照也分别保存。额外基线和版本成本，是为判断复杂度究竟有没有价值。⁶

ADR-0012：概率来自校准，不来自自报把握

一段肯定语气不能承担概率含义。候选准入使用独立统计校准层，只读取当时已经成熟的历史标签，原始分先冻结，再生成对应概率。

这增加成熟等待和校准维护，也可能在模型能写报告时仍无法给出合格概率。但正因为二者分开，报告流畅度才不会成为候选买入的证据。⁷

ADR-0013：允许推荐弃权

研究与风控完成后若没有对象达到准入条件，正式结果就是没有候选，而不是降低门槛凑一个推荐。它保护门槛含义，但会出现用户期待建议而系统不建议行动的月份。

弃权必须留下记录，不能和数据失败混为一谈。前者是有条件地作出决定，后者是根本未获得作决定所需的材料。⁷

ADR-0014：覆盖率防止靠沉默美化命中

允许弃权后，系统可能只在极少数机会作答，让命中率看起来很高。因此推荐覆盖与命中分别成为必须满足的要求，不能只报告挑出来的成功子集。

代价是既保守又有用变得更难。解决办法不是现场放宽门槛，而是通过下一版本的研究和验证改善能力；数据和系统失败还要在独立可用性分母里保留。⁷

四、把“效果好”变成不容易被美化的判断

ADR-0008：看期末保留的结果，不看期间最高点

目标按固定中期期末判断，而不是挑期限内最有利价格。短暂触及目标后回落，不算期末成功；起点和日历规则也要事先固定。

这放弃更好看的命中率，却避免把事后能看到的高点，当成当时可执行的决策能力。它是项目评价合同，不是对用户的收益承诺。⁸

ADR-0009：标准评估价格与个人成本分开

用户买得早或晚，不应该改变同一候选的模型成绩。因此推荐评价使用统一且实际可买的标准起点，个人账本使用真实成交成本。

早期文档把真实成本概括为退出决策依据，当前 CONTEXT.md 与 ADR-0021/0022 已收窄：成本服务净盈亏、税费、账本及资金流调整，不直接生成证券层止损、仓位比例或风险豁免。标准成绩与个人事实分账是持续有效的选择，成本的旧用途不能照抄。⁸

ADR-0010：所有阶段共用净总收益口径

只看裸价格会遗漏分红、公司行动和费用，使不同阶段的成绩无法比较。因此收益包含适用现金分配与公司行动，并扣除成本与合理摩擦。

实现和证据保存更重，却减少“研究看毛收益、执行才谈成本”的落差。净收益口径仍不能证明真实成交一定按预测发生。⁸

ADR-0011：一批只说明一批，多批才讨论能力

单个时期成功可能来自共同市场环境。每批独立报告，系统能力则等待严格样本外、结果成熟的多批证据与相应不确定性判断。

这让验证慢下来，也让早期项目必须承认证据不足。它避免用一个漂亮案例替代稳定性，更不能把尚未到期的走势外推为完整结局。⁸

ADR-0018：依赖、风险和基线不能被平均分抹掉

相邻批次和重复证券并非独立样本，因此验收保留完整时间结构，以预登记区块方法表达不确定性。收益、回撤、增量价值和市场状态分别判断，不能以一项优势抵消另一项硬门失败。

主策略与透明、受约束的基线使用相同月份、入场和成本；事后市场涨跌只作诊断，不成为当时输入。代价是样本需求和评估计算更高，收益是不让牛市、样本重复或弱基线制造虚假优势。

历史样本外与锁版前瞻还要分开。正式检查机会事先登记，不能每月看一眼直到出现通过；该 ADR 对前瞻状态监测的早期概括，后来由 ADR-0027 的状态级复核与治理进一步细化。⁸

ADR-0019：高概率带和市场状态独立取得资格

总体校准不错，不代表真正用于行动的高概率区间可信，更不代表每种市场状态都适用。因此高概率带同时检查实际达标与过度自信，使用时间隔离的校准过程，并按状态取得范围资格。

这会让稀疏状态暂时无法使用，但比用总体平均替它担保更明确。证据不足、校准器不可用、漂移警报和正式失守也分别处理：并非每种“不通过”都意味着模型性能已经失败。⁷

五、从证券判断走到个人持仓，需要另一套边界

ADR-0021：前瞻退出不由个人回本愿望决定

证券层分别评估近期下行和中期持有价值，不读取个人成本与仓位；个人行动再把这些证据与账户、风险和执行约束合取。单一综合分容易让上涨想象抵消下行，也容易把证据未知包装成持有。

因此不同目标形成明确分支与弃权区，完整退出政策还要独立检验净价值、回撤、上涨保留、摩擦和稳定性。验证代价增加，却不会因为某次卖出看起来正确，就宣布整套持仓管理有效。标准暴露与真实账户分开，重复减持也不能无止境地再次减半。⁹

ADR-0022：个人风险是持续义务，不是一次提示

风险范围先冻结完整账户与同一时点快照，同一发行人跨账户聚合暴露，账户层则保留自己的可执行数量。当前价值与净清算权益决定风险占用，不用买入成本或未成交卖单降低它。

集中度、组合压力、现金义务和实际回撤分别约束行动，目标合取取更严格者。模型持有和统计弃权都不能取消已成立的确定性保护；无法卖出时保留方向与缺口，而不是宣称恢复。

目标与硬边界之间保留缓冲，回撤恢复要求持续证据，收紧与放宽采用不同生效条件。这些选择增加状态机复杂度，却避免价格小幅波动反复触发行动，或在超限后改参数解除义务。私人参数是授权政策，不是普遍最优值或最大损失保证。

账户分配还要处理合法数量、可卖窗口与完整边际成本。成本未知不猜最优账户，取整造成全售要解释原减持理由与实际方案的差异；计划、用户接受与真正成交始终分别记录。⁹

ADR-0024：日终主评估与权威事件互补

日终批处理更容易获得完整、同一截止点的证据，但不能忽略账户或权威风险事件。因此日终形成常规主评估，重要事件触发独立重评；不承诺分钟级轮询或看见新闻就自动行动。

统计结论有下一可执行窗口，确定性义务则持续到真实事实解除。并发事件按更高优先级和更严格目标合并，不生成互相矛盾的多个动作。代价是要解释多个时间和状态，收益是未读、休市或停牌不会被当成风险消失。⁹

ADR-0023：到期重新承保，而非自动续持

一个统计合同到期时，旧概率和持有结论也到期，但真实持仓不会凭空消失。设计引入续期等待，从当前机会成本重新审查论据与证据，经合格条件和用户确认才能形成下一期合同。

这会出现“仍然持有，但没有新的统计持有资格”的状态。它比自动顺延更复杂，却防止回本愿望、过去盈利或旧论据未被证伪成为无限续期理由。已卖暴露和未完成风险目标不能因新合同重置。¹⁰

ADR-0032：续期有自己的总体与检查序列

能留到期末的持仓已经经历存活选择，同一持仓的多次尝试也不是多个独立对象。因此续期不能借新买入校准器或首期成绩，必须保留血缘、来源与次数范围，建立独立历史和前瞻证据。

正式比较包括不续期、惯性续持和其他预登记基线，各自检验概率和净价值增量；低次数资格不能无限外推。积累缓慢是明确代价，收益是不会靠重复尝试或挑存活赢家制造确定性。前瞻通过也只是取得下一阶段证据，不直接开放真实续期。¹⁰

六、合格候选还不是个人购买计划

ADR-0029：容量分配受约束，确认整批原子化

高概率不是连续仓位乘数。候选先独立取得资格，个人计划再根据真实与已承诺暴露、现金、风险容量、规则和成本分配；资金不足不反过来把候选改成模型失败。

设计选择封顶渐进均衡，而非把资金全部给分数最高者。合法单位使连续金额离散化时，再按冻结目标处理覆盖、比例和成本；未使用资金可以保持现金，不为“全部买完”突破约束。

用户在同一计划版本上形成整批选择，可靠保存后才同时建立接受项的容量预留。确认前事实变化就重新规划，未知提交结果要按原身份查证。代价是求解、复核和确认流程更重，收益是不会因点击先后重复占用容量，也不会在确认后偷偷把余款挪给另一只股票。¹¹

ADR-0033：候选、个人计划与执行分开交付

一个可变“推荐状态”无法同时表达标准候选、账户数量、用户选择和成交。因此交付工作台组合独立的候选发布、推荐详情、个人计划与执行关联，每个对象保留自己的版本和时钟。

候选窗口不能因通知、重试或重新规划延长；改变账户路由或数量需要新计划和新确认。执行事实由权威对账确认，用户申报只作线索，未知订单继续保守占用容量。更多对象是成本，标准评估不被个人行为改写、旧确认不被新计划冒用是收益。¹¹

七、事实保存、资格治理与界面分别承担责任

ADR-0025：先可靠保存，再发布新结论

先发建议再补账，会在保存故障时留下无依据的行动。设计选择追加式决策事件账本：成功、否决、弃权与失败都保留，报告由事实派生，提交明确成功后才发布。

这会在存储故障时阻断新结论，却不取消已成立风险义务。更正产生新版本，未成熟、已知未达标和结局不可得也分别记录，不能靠补数据覆盖旧报告或删除坏样本。¹²

ADR-0026：按裁决归属组织，不按页面或 Agent 数量组织

若月度选股、单股深研和持仓监控各自实现一套资格与风险，入口不同就可能产生不同规则。因此每类事实和状态转换只有一个责任模块，入口通过版本化交接包组合。

这要求显式校验对象、时点、版本和依据，不能随手取“最新共享状态”。代价是交接更严格；收益是业务权限不会因新增页面或 Agent 改变，也不预先绑定微服务数量。¹²

ADR-0027：按失败原因治理，而非一个总开关

漂移警报、正式性能失守、数据完整性、运营失败和证据过期需要不同处置。资格因此按能力、版本、用途和范围记录未取得、有效、受险、暂停或撤销，恢复必须补齐对应原因。

这比一个“系统正常”开关复杂，但不会让修好接口就自动恢复统计资格，也不会让局部统计暂停取消独立确定性保护。原失败、检查序号和证据期限保留，报告重新生成不能刷新资格。

新版本通过还要有生效交接，只影响下一合法任务。旧合同有限并存会增加维护负担，却避免期中换模型、延长旧窗口或混搭新旧结果挑出有利版本。¹²

ADR-0030：按能力逐级交付，不让一项通过授权全产品

研究、候选、分配、确定性保护、统计持仓和续期并不同时具备证据。设计使用共同证据阶梯，但每条能力独立晋级，实际权限取自身、前置能力与共同门的交集。

这放弃简单的“全产品已上线”叙事。合成检查、历史样本外、真实时点影子、有限本人使用和持续维护各有范围；小规模 Beta 也不能绕过未取得的资格，个人收益或接受率不充当晋级证明。

代价是更细的权限与验收矩阵，收益是可以先交付可信的窄能力，又不让它替尚未验证的能力担保。¹²

ADR-0031：通知负责提醒，事项和报告保留事实

消息会重试、过期和跨渠道重复，不能成为风险状态本身。监控总览、待处理事项与审计档案从账本派生，同一持续义务保持一个事项，通知只是该事项的投递尝试。

查看、知悉、计划确认、执行申报和权威对账分别追加；统计窗口与持续义务也分别呈现。多类报告与新鲜度信息增加界面复杂度，却避免“已读”被当成“接受”，或“发送成功”被当成用户已经处理风险。通知路径完成与真实送达仍是不同指标。¹³

ADR-0034：嵌入运行库，用认证 Web/PWA 交付

CLI 适合检查与运维，却难承载版本报告、确认和事项；chat-first 又容易让临时对话成为事实源。因此个人产品选择认证 Web/PWA，CLI 保留给案例、评估、重放与运维，对话只能解释已提交事实。

M-Agent 作为固定依赖负责 Run 与恢复，宿主拥有业务、凭据、资格、账本和交付，不 vendor 框架或隐式依赖相邻工作区。集成工作更多，却能分别解释框架状态与业务状态。ADR 当时写的是 0.5.0，后续公开实现已采用 0.5.1；版本升级不改变宿主承担业务权威的选择。¹³¹⁴

八、开源实现不能顺带公开私人政策与证据

ADR-0035：政策引擎、政策规范与运行授权三层分离

公开引擎需要能测试，真实个人参数又不能成为开箱默认。因此公开层是参数化机制和明确合成配置，私有控制层保留政策规范，实际账户授权和激活事实则在 Git 外。

维护三层有协调成本，但避免缺政策时偷偷套用演示值。私有 Git 也不是运行秘密的安全存放理由；规范写了什么和本人当前激活了什么，始终不是一份记录。¹⁵

ADR-0036：合成不是匿名化，私有也不等于可以入库

这条 ADR 除替代早期测试数据安排，还明确了证据保存位置：真实历史、前瞻和个人材料留在私有证据存储，控制仓库只保留合同与不透明引用，不复制摘录或运行事实。

代价是公开读者无法从公开夹具复现真实投资验证；收益是公开 CI 有明确数据边界，私有规范与真实证据也不再混用。它保留可复核的身份，但不把哈希当作证据正文或完整复现能力。⁴

ADR-0037：官方安全边界不写成额外许可证限制

项目选择 Apache-2.0，并把单用户、非公开荐股与无订单写入作为官方源码和发布的不变量，而不是附加到许可证中的第三方用途限制。

这意味着不能靠项目说明禁止所有下游改造，但第三方行为也不自动获得官方资格或背书。代价是必须持续说明来源与官方范围，收益是开源许可与产品承诺各自明确。这里记录项目选择，不作具体使用场景的法律判断。¹⁵

ADR-0038：一个受保护构建绑定所有发行物

若 Python 包、Web 归档和镜像各自从不同环境构建，版本号相同也未必对应同一软件。因此正式发布从同一受保护源修订与构建运行产生工件，再绑定摘要、依赖清单和来源证明。

这增加工具与发布流程维护，却避免发布后在本机重新构建一份“同版本”替换原字节。普通 CI 不接触私有材料，发布才取得最小权限；工件证明也不是投资资格或业务合规证明。¹⁵

ADR-0039：公开说明当前工程合同，不复制私有规范

外部开发者需要知道接口做什么，但不需要拿到完整私人政策和未来任务。公开文档因此围绕已实现职责、类型、错误与安全边界，不能由私有规范自动生成，也不能把尚未实现的要求提前称为能力。

两份材料要维护一致性，这是成本。本篇遵循同一公开边界：解释为什么分层、冻结和失败关闭，不公开私人阈值与完整未来承诺；设计意图、当前实现和取得资格仍分开陈述。¹⁵

ADR-0040：先固定控制权威，再交接公开实现

项目需要先让私有设计和任务具有版本历史，再在隔离工作目录形成公开实现，通过固定 submodule 修订交接。根仓库与实现仓库的远程范围分开，减少把私有文件推到公开仓库的机会。

这调整物理初始化顺序，却没有让文档初始化获得 implemented、verified 或 activated 状态。多一次明确交接是代价，设计存在、实现合并、验收和运行激活不被混成一次“完成”是收益。¹⁵

最终能够达到的效果

这些决定希望形成一个可复核的个人决策过程：先判断证据和资格，再形成研究与候选；结合账户和持续风险得到个人计划；可靠保存后交付；本人作出选择，真实执行由权威事实对账，历史与更正都可追溯。

共同代价是较长的证据积累、更多版本和明确的不可用状态。共同收益不是保证盈利，而是在没有依据时不冒充有依据，在条件变化时不改写过去，在模型或交付失败时仍知道哪些风险义务存在。最终效果取决于各范围真正取得相应证据和授权，不由页面完成、代码提交或一次测试自动授予。

来源与范围

本次完整阅读 2026-09-08 本地私有控制仓库 CONTEXT.md 与 docs/adr/0001–0040，文档快照为 e52b031f67e06506f3e17b14774ed221c3817561。这些原文没有公开永久链接，下列来源按 ADR 编号定位，不伪造公开实现仓库中不存在的 ADR 页面。

公开工程说明另核对 49df16be26fbd474b7002d6252bf94e66d1b4f90；它与私有文档是不同仓库、不同身份。此前技术全文固定的 f575cc0 仍是各文自己的阅读快照，不在本篇把它改名为最新。本文不以当前模块数量证明全部设计已实现，本次未运行上游验收或真实金融数据路径。继续阅读技术页、迭代记录与实验验证。