场景与透明边界
种子内容说明：这里把“在旧系统中增加新能力”设为合成场景，用失败恢复讨论越界修改，不对应真实用户或真实项目。
为了控制“在旧系统中增加新能力”的返工成本，失败恢复必须同时满足任务边界和“改动范围与任务边界一致”两项约束。
实施顺序
实施顺序从明确数据所有权开始，把失败恢复缩成单一入口；随后让工具输出成为证据，只在权限拒绝日志通过后扩大改动。
验收清单：
- 用权限拒绝日志固定“在旧系统中增加新能力”的当前基线。
- 请产品负责人复核失败注入演练与任务边界。
- 若模型总是改到无关文件仍出现，停止扩大失败恢复的改动范围。
证据与取舍
证据门槛：失败恢复至少要留下权限拒绝日志和一个失败样本，才能支持“改动范围与任务边界一致”这一判断。
这里不预设“允许自动工具直接修改生产数据”一定错误，但它必须接受权限拒绝日志和“改动范围与任务边界一致”的双重约束。
本轮最多证明“在旧系统中增加新能力”中的一个受控路径，不能证明工具在未知条件下也安全。把越界修改和权限拒绝日志一起记录，才能为下一次决策留下上下文。
回退方案：若“改动范围与任务边界一致”没有满足，就先恢复数据快照再检查关系计数，再由产品负责人重跑权限拒绝日志。
反方检查：若“在旧系统中增加新能力”只用于原型，严格回退看似过重；但产品负责人仍需声明原型不能进入哪些入口。
社区问题
你如何判断“改动范围与任务边界一致”已经满足？产品负责人还应补看哪类失败恢复证据？