长尾需求
一次性比对、特殊审批简报、现场交接包——价值高，却撑不起常驻模块。
Stable Core, Generative Edge
把业务记录变成任务型软件，人人皆可按需生成
中央系统继续保管权威事实与控制；AI 按需生成情景化的工作空间。 生成式应用扩展是可分叉、可执行的业务对象视图——为一个人、一个上下文、一项任务而生。
产品哲学
Core + Edge
稳定核心 · 生成扩展
三种形态
File / Live / Action
离线文件 · 在线只读 · 窄写回
结构模型
Sealed + Shell
封存核 · 可变外壳
演示案例
10
工作台 + 扩展 · 全离线
Problem
核心系统很强，但长尾任务永远排不上队
业务对象已经有价值上下文；用户需要的是临时工作区——产品团队从未有时间做的那种。
跨角色视角
同一合同，法务、财务、总经理需要不同镜头与检查清单，而不是同一张表单。
离线与外带
评审、调查、交接常在系统外发生。文件心智模型比登录一套 MIS 更自然。
情景任务
不是永久功能，而是「这一次」的行动界面：分析、批注、决策、再可选写回。
The Primitive
新的基本单元不是「又一个页面」
A forkable, executable view of a business object—generated for one user, one context, and one task.
可分叉、可执行的业务对象视图——为一人、一上下文、一任务生成1. Context Capsule
从业务系统抓取上下文：记录 ID、快照、附件、策略、角色线索与溯源信息。
2. Artifact Compiler
AI 代理把意图 + 上下文编译为带视图、逻辑与权限边界的工件。
3. Live Artifact
任务型软件面世：可审阅、可批注、可另存分叉，必要时经窄权限写回业务系统。
Materialization
三种物化形态：文件不是唯一抽象
单文件 HTML 是优秀的分发格式，但概念模型应高于格式本身。
Smart File
智能文件
自包含 HTML，无需联网。适合审阅、分享、交接与证据外带。
- 离线打开 · 状态可另存
- 角色镜头自由切换
- 身份真伪需签名/回连
Live Artifact
在线工件
运行在业务系统内，持有当前数据的只读能力。适合仪表盘、调查与监控。
- 短时只读租约
- 可刷新上下文
- 仍可导出为 Smart File
Action Artifact
行动工件
窄范围写能力：拟议变更 → 系统校验 → 用户确认 → 审计落库。
- Capability Lease
- 禁止继承完整会话
- 写回永远可审计
Sealed Core + Mutable Shell
封存核不可变，外壳可生长
原始业务事实与 AI 发现应被封存；评论、决策、视图偏好与新增能力进入可变外壳。另存时带上父版本哈希——像业务对象的 Git 分支。
- 封存核：源数据、记录 ID、快照时间、内容哈希、证据与发布签名
- 可变外壳：批注、角色决策、标签、视图配置、派生功能
- 谱系：Snapshot → Explore → Annotate → Fork → Share → optional Merge
Lifecycle
一次工件的生命周期
1Snapshot封存上下文
2Explore多视图分析
3Annotate批注与决策
4Fork另存派生版
5Share外带或交接
6Merge可选写回
Safety
扩展可以生成，权限不能外泄
不要把登录会话或长效凭据塞进 HTML。业务系统应签发短时、任务专用的能力租约。
Capability Lease
例如：只读合同 C-1048、调用指定抽取接口、提交拟议字段补丁、两小时后失效。沙箱源调用能力网关，而非直接持有用户 cookie。
角色镜头 ≠ 认证主体
「以财务视角查看」可以自由切换；「张某已批准」需要数字签名或回连系统身份。便携文件不能假装完成正式审批。
写回协议
扩展准备结构化变更 → 系统校验 → 用户审阅精确 diff → 确认 → 业务系统写入并记审计。扩展永不继承完整会话权限。
系统与扩展的分工
业务系统负责队列、导航、治理与权威落库；生成式扩展负责高密度任务界面、离线协作与情景分析。演示库中的每个案例都体现这一分工。
Product Learning
扩展不仅补能力，也是产品雷达
用户反复生成相似工件时，平台可以聚类意图，蒸馏为可复用模板，经人工核验进入组织目录，最终晋升为原生功能。
- 一次性工件 → 意图聚类
- 模板目录 → 组织资产
- 高频成功 → 原生能力
Demos
先从这些演示感知边界
每个案例都是可点击进入的完整离线演示应用。
