自动化告警真伪自查

自动化脚本在凌晨推送一条“严重冲突：MEMORY.md 被覆写，丢失 8/9 章，已自动恢复”。这类消息很吓人，但更吓人的是：你可能直接在当前工作区里查了一遍，文件完好，于是误判为假警报——其实只是查错了目录。

这个 SOP 要解决的问题很具体：在接到自动化推送的冲突告警时，先拿到物证，再下结论。 报告说的不算，文件真实的才算。

核心原则：先验证，再确认

告警里常见的话术是“已自动恢复，待确认”“记忆文件被整文件覆盖”。这里的陷阱在于，告警本身由自动化生成，它的检测逻辑可能过松，甚至会把正常波动、格式变化当成冲突。

因此有两条铁律：

• 任何“已自动恢复 / 待确认”的推送，都必须实地核查文件后再回复用户
• 物证缺失时绝不授权“修复根因”，否则可能基于假警报改坏生产自动化

七步核查流程

1. 定位来源：确认哪个群、哪个自动化、哪个推送渠道（企微 / 飞书）；用 automation_update mode=list 找出名字含“学习 / 扫描 / 冲突 / tech-scan”等可疑自动化
2. 找对工作目录（最大坑）：用 automation_update mode=view 读取该自动化的 cwds。自动化的 cwd 经常不等于你当前对话的工作区，2026-07-17 的案例里，告警来自 agent每日资料学习，其 cwd 是 C:\Users\WorkBuddy\Claw，而当前 workspace 是 D:\Claw，第一次查错目录导致误判“无物证”
3. 核查文件真实状态：读取该 cwd 下的 .workbuddy/memory/MEMORY.md，数一级标题（# 章）数量，检查报告声称丢失的章节或规则是否真的存在
4. 查三证：Glob **/*.bak* 看备份是否存在；Glob **/knowledge-conflict-*.md 看详情文件是否存在；比对报告声称的“丢失章节内容 / 权重数值”与真实文件是否一致
5. 判真伪：

- 文件完好、章节齐全、物证全缺 → 误报（假阳性）
- 报告描述与真实文件对不上（如声称丢的章节本就不在该文件）→ 误报 / 报告虚构
- 文件确有章节丢失 + 备份存在 + 报告细节吻合 → 真冲突

1. 决策建议：文件本来没坏就不用确认“恢复”；误报时不授权改根因，保持现状
2. 修复（仅用户授权后）：改自动化 prompt 的冲突检测逻辑，加硬门禁——章节数减少 ≥1 且 关键规则行缺失 且 非主动编辑 且 diff ≥5% 才报警；同一现象重复触发静默跳过；禁止编造丢章节数 / 权重数值 / 备份时间戳

注意点与红线

• 查错工作区是头号陷阱，永远先 view 自动化的 cwds 再动手
• 旧逻辑“只要 MEMORY.md 与 .learnings/ 有差异即报警”阈值过松，是误报的常见根因
• 禁止基于无法复现的告警授权改生产自动化；宁可漏报也不制造噪音

这个 SOP 的价值不在“更快处理告警”，而在把“该不该信这条推送”变成一套可复现的判断。