讨论前提
透明度说明：下文围绕AI 编程的多文件修改构造“把演示原型推进到生产环境”案例，所有经历均为合成数据。
为了控制“把演示原型推进到生产环境”的返工成本，多文件修改必须同时满足任务边界和“第二位评审者可以复现结论”两项约束。
工程动作
针对模型总是改到无关文件，先用静态检查与运行日志复现，再保持改动范围可解释；若复现条件改变，就回到给失败路径留恢复入口重新建立基线。
验收清单：
- 用静态检查与运行日志固定“把演示原型推进到生产环境”的当前基线。
- 请安全评审者复核测试失败前后的对照与任务边界。
- 若模型总是改到无关文件仍出现，停止扩大多文件修改的改动范围。
失败时怎么办
验证记录：安全评审者只根据静态检查与运行日志判断本轮完成度，同时把测试失败前后的对照留给环境差异复查。
这里不预设“允许自动工具直接修改生产数据”一定错误，但它必须接受静态检查与运行日志和“第二位评审者可以复现结论”的双重约束。
当前结论只适用于“把演示原型推进到生产环境”的合成边界，不能外推到所有环境。下一轮应由安全评审者比较静态检查与运行日志和测试失败前后的对照，再决定是否扩大多文件修改。
回退方案：若“第二位评审者可以复现结论”没有满足，就先恢复数据快照再检查关系计数，再由安全评审者重跑静态检查与运行日志。
反方检查：保持改动范围可解释并非所有团队都适用，规模较小时仍要比较它与给失败路径留恢复入口的实际维护成本。
你的门槛
面对“把演示原型推进到生产环境”，你会先保持改动范围可解释还是先给失败路径留恢复入口？请给出能由安全评审者执行的检查动作。