يحكم Saphan Studio أساطيل وكلاء البرمجة بالذكاء الاصطناعي على بنيتك التحتية أنت، ويربط عملهم بالأدلة وبقرارات مدوَّنة تحت سلطة الإنسان.
لقادة الهندسة الذين يعتمدون مخرجات الوكلاء، ولفرق المنصّات التي تشغّل Claude Code أو Codex أو Qwen Code أو نماذج محلية على أجهزتها، ولمسؤولي الأمن أو التدقيق الذين عليهم إعادة تركيب تغيير بعد وقوعه.
ابدأ وحدك — معاينة Solo، مجانًا ←أحضر فريقك — شريك تصميم ←شاهد تغييرًا واحدًا من البداية إلى النهاية ←
يعمل أسطولك بلغة فريقك — والسجل يجيب المدقِّق بالإنجليزية. EN ไทย Polski
Solo · معاينة خاصة
Saphan Studio لمطوّر واحد وعلى محطة عمل واحدة، مجانًا. سجّل للوصول إلى المعاينة الخاصة.
الضوابط الأساسية منفَّذة وتُستخدم يوميًا في بناء Saphan نفسه. Solo يدخل المعاينة الخاصة: التسجيل مفتوح الآن ونتواصل معك عند توفر الوصول. أعمال خارطة الطريق مُعلَّمة أينما ظهرت.
تقيّم لفريق؟ Solo محطة عمل واحدة. مسار الفريق يبدأ بشراكة تصميم — ما الذي يتضمنه ←
ما يقدّمه Saphan Studio للمؤسسة
الحوكمة ← السلطة البشرية، بما فيها كل تفويض محدود، موقعة ومدونة في السجل. الصمت ليس موافقة، وحالات الرفض بيانات.
الأمن ← يُعامَل الوكلاء كغير موثوقين حتى حين لا يكونون خبيثين: تشغيلات معزولة في صندوق رمل، ووصول صادر محدود بسياسة في كل تشغيل، وأي وصول أوسع لا يُفتح إلا في السجل.
التكلفة ← كل عملية تشغيل تُسعَّر قبل أن تبدأ وتُقيَّد بجانب القرار الذي وافق عليها.
المؤسسات ← يبقى مستوى التحكم والسجل والهوية في بنيتك التحتية، مع تصدير للتدقيق من اليوم الأول.
الضوابط ← ما هو قائم اليوم، ضابطًا بعد ضابط — ما يفعله كل ضابط، وما يرفضه، وما يحتفظ به السجل.
الامتثال ← الأدلة التي يتطلبها نظام إدارة أمن المعلومات (ISMS) القائم لديك — مُصمَّمة لتنطبق على ISO 27001 وISO/IEC 42001 وSOC 2 وNIST AI RMF وEU AI Act.
ميزات المنتج
بيئات التشغيل المدعومة ← Claude Code وOpenAI Codex وQwen Code وFactory Droid وSaphan Agent-Loop — تحت مستوى تحكم واحد.
Bench ← ما الذي يستطيع عتادك أنت تقديمه فعلًا — مُقاسًا على آلتك، لا مفترَضًا من بطاقة نموذج.
MCP server ← يجيب السجل عن الأسئلة حيث تدردش أصلًا: حالة الأسطول، والبوابات التي تنتظرك، والإنفاق على أي محور — للقراءة فقط، خلف OAuth القياسي، مع تسجيل كل وصول.
Discovery ← نظام قديم لا يفهمه أحد فهمًا تامًا، يعود فهمًا موقَّعًا مُسنَدًا بالأدلة — معرفةً، لا تغييرًا. مُثبَت في تكليفات؛ ويُعاد إجلاسه الآن على Saphan Protocol.
الوثائق والتقارير ← وثائق العملية وتقارير التسليم تُولَّد من السجل نفسه — كل رقم يُتتبَّع إلى صف موقَّع أو وثيقة مُثبَّتة.
ما تحصل عليه — بحسب عملك
لا يستبدل Saphan وكلاءك ولا نماذجك ولا Git الخاص بك. إنه يضع عملهم خلف بوابة يقررها إنسان، ويحفظ الأدلة بجوار القرار.
المشكلة. طلبات السحب من الوكلاء تصل أسرع مما يستطيع أحد قراءة النصوص الكاملة، وتتحول المراجعة إلى مسرح.
في Saphan. يعود الوكلاء بادّعاءات ومعها الدليل — الفرق، نتائج الاختبارات، فحوص الترحيل. ترفض البوابة اعتمادًا يفتقر إلى الدليل الذي طلبه الأمر.
ما تراه. شاشة واحدة لكل قرار: ما المُدَّعى، ما المُثبَت، ما لا يزال مستحقًا — وأمر واحد للقرار.
المشكلة. كل بيئة تشغيل تأتي بعادات صندوق رملها، ولا يستطيع أحد لاحقًا أن يقول ما الذي كان قابلًا للوصول ومن أين.
في Saphan. تنضم الأجهزة بفعل صريح من المالك. كل تشغيل يُعزَل بواسطة نظام التشغيل أو يُرفَض. Claude Code وCodex وQwen Code والنماذج المحلية تعمل تحت الأوامر والبوابات والسجل نفسها.
ما تراه. لكل تشغيل: أي صندوق رمل احتواه، أي أدلة بقيت قابلة للكتابة، كم كلّف، أي ملف ثنائي عمل.
المشكلة. «نظر إليه مهندس أول» ليس دليلًا، ونص محادثة ليس قرارًا.
في Saphan. كل قرار صف موقَّع: من قرّر، وماذا، ومتى، وعلى أي دليل، وتحت أي سلطة. يتحقق منه طرف ثالث بالمفتاح العام الجذري وحده.
ما تراه. سجل البوابات وسجل التشغيل، قابلان للتصدير بصيغة Markdown أو CSV أو PDF أو HTML لمن لم يكن في الغرفة.
بيئات تشغيل خاضعة للحوكمة · تعمل اليوم
يحكم Saphan العمل المحيط ببيئة التشغيل: القبول، والهوية المعزولة، والإرسال، والحصر، والتكلفة، والأدلة، والمراجعة، والفعل البشري. تغيير النموذج أو CLI لا ينشئ نظام تشغيل ثانياً.
تسمّي الوسوم المنصّات التي جُرِّبت عليها كل بيئة تشغيل تحت حصر Saphan. الجدول المعتمد، مع ما لا يثبته بالتالي، موجود في الوثائق ↗
يعمل Claude Code وOpenAI Codex وQwen Code وFactory Droid كخلفيات مسماة ومعزولة لكل مقعد، تحت المسارات والبوابات والدفتر نفسها.
تقود حلقة الأدوات المدمجة النماذج المحلية خلف نقاط نهاية متوافقة مع OpenAI، ومنها Ollama وvLLM، من دون وضع CLI لمورّد على المسار الحرج.
المترجمات ومشغلات الاختبار وأدوات التدقيق والتنسيق فاعلون مسجلون من الدرجة الأولى بلا تكلفة نموذج؛ عمل محكوم لا هروب غير مرئي إلى الصدفة.
يمكن تشغيل الوكلاء وسلاسل الأدوات داخل صور OCI مثبتة بالبصمة، بجذر للقراءة فقط، ومستخدم غير جذري، وتركيبات محدودة، وحدود تشغيل. تُقاس الصورة المحددة على الآلة المحددة قبل الإرسال، ويُرفض التشغيل قبل البدء إذا كان الحصر غير كافٍ.
تصل موافقة الإنسان إلى Git forge قيد التنفيذ
يربط Saphan قرار الدمج البشري بالرأس المحدد لطلب السحب، وينقل تلك الصلاحية إلى forge، ولا يعتبر الدمج واقعًا إلا بعد ملاحظته في المستودع — لا بمجرد الوثوق باستجابة API ناجحة.
تسجل البوابة الفاعل والقرار وSHA رأس طلب السحب. أي push جديد يجعل الصلاحية قديمة بدل أن يمددها بصمت إلى شيفرة مختلفة.
تمنع حالة saphan/gate المطلوبة وحماية الفرع أي دمج غير مجاز على forge نفسه؛ ولا يعتمد Saphan على حسن تصرف الواجهة.
ينشئ forge commit الدمج مع trailers الإسناد الخاصة بـSaphan. ولا ينتقل السجل إلى merged إلا بعد جلب ذلك commit والتحقق منه.
عقد المنصّة وضوابطه السلبية مُجرَّبة على مستودعات GitHub وGitea 1.26.4. تتبع محوّلات المنصّات الأخرى بترتيب حاجة شركاء التصميم.
ابدأ منفردًا. واحتفظ بمستوى التحكم نفسه مع نمو الأسطول.
Solo
محرك ووحدة تحكم ويب محليان، مع CLI وسير عمل داخل المحرر، بلا خادم مركزي. باب مفتوح إلى عمل وكلاء منضبط، لا تجربة تنتهي.
Team
هوية تديرها Saphan كخدمة SaaS وإشارة هاتف بلا محتوى؛ ويبقى الأسطول والشيفرة والسجل التشغيلي على بنيتك التحتية.
saphan-oauth تشغّله Saphan ودورة حياة للهويةEnterprise
تحكم تنظيمي مستضاف ذاتيًا، وهوية للآلات، وسياسة، وحصر، وتصدير أدلة للتسليم الخاضع للتنظيم.
saphan-oauth محلي أو أي IdP محلي مقبول للعميلطريقان للبدء
Solo · معاينة خاصة
Team · شريك تصميم
الوثائق · الحالة المنفَّذة فقط
تُكتب Saphan Docs انطلاقًا من الشيفرة القائمة وسلوك المنتج المتحقق منه. وتغطي النشر والإعداد والأمن والحوكمة والتدقيق والعمليات. بلا ادعاءات عن خارطة الطريق. وبلا وعود.
افتح Saphan Docs ↗Saphan Studio هو حيث تشغّل أساطيل وكلاء الذكاء الاصطناعي: موجزات تخرج، وردود محمَّلة بالأدلة تعود، وقرارات بوابات من محررك. تقرأ نتائج، لا نصوص محادثات.
لا يمر العمل إلا بأدلة مرفقة وقرار مسجَّل من فاعل مخوَّل. الموافقة البشرية هي الأصل، ولا توجد أتمتة محدودة إلا بتفويض صريح موقَّع من إنسان.
كل ما سبق يستقر ملفاتٍ عادية في git لديك — الذاكرة التشغيلية للعمل، مبنيةً لتتدفق إلى أدوات التدقيق التي تشغّلها مؤسستك أصلًا.
| الضابط | ما هو قائم | ما يحتفظ به السجل |
|---|---|---|
| سجل حوكمة موقَّع | الجهات الفاعلة والتفويضات والآلات والمقاعد والقدرات في سجل واحد تراكمي فقط، موقَّع بـ Ed25519. كل سجل مقروء للبشر مجرد إسقاط منه — قابل لإعادة التوليد، وليس مصدرًا أبدًا. | تاريخ الحوكمة كاملًا، يمكن لطرف ثالث التحقق منه وهو لا يملك سوى المفتاح العام الجذري — من دون الوثوق بالآلة التي أنتجته. |
| لا موافقة ضمنية | لا تتحول المهلة إلى موافقة ولا يوجد قبول تلقائي ضمني. تتطلب البوابة قرارًا بشريًا أو تفويضًا صريحًا ومحدودًا من سياسة موقعة بشريًا؛ ولا قيمة افتراضية لها، وترفض القرار خارج ترتيبه. لا يمنح المحرك نفسه صلاحية ولا ينفذ الدمج. | صف لكل قرار: الفاعل، والقرار من مفردات مغلقة، والوقت، وسلسلة الصلاحية. لا يُعلَن «الدمج»؛ بل يُلاحَظ فقط من commit دمج حقيقي. |
| قرارات تكشف العبث | كل قبول صفّ مقيَّد بمفتاح ومتحقَّق منه، ويُفحص ثانية عند الدمج. غيّر أي حقل لاحقًا فيفشل التحقق. | الصف ونتيجة فحصه عند الدمج. |
| الاقتراح ≠ القرار | تُسجَّل المشورة من ذكاء اصطناعي أو إنسان بوصفها رأيًا؛ والقرار فعل منفصل لجهة مخوَّلة. ويجب أن ترجع الصلاحية الآلية إلى تفويض محدود موقَّع من إنسان؛ كما يُسجَّل تجاوز الاقتراح. | صفان منفصلان للتوصية والقرار في كل بوابة — ليس فقط ما تقرر، بل ما أُوصي به ومن أوصى. |
| هوية الآلة بالشهادة | لا نقطة تسجيل ولا رمز انضمام. تُقبَل الآلة بفعل صريح من المالك يربط شهادتها؛ ومستوى التحكم يتصل إلى الخارج فقط، ولا يحمل المشغِّلون بيانات اعتماد إليه. | فعل القبول في السجل الموقَّع؛ وسلسلة الشهادات. |
| صلاحية مفوَّضة ومحدودة | تفويضات موقَّعة بالجذر، لها نطاق ومسارات عمل ونافذة صلاحية. الانتهاء سقف لا مُشغِّل؛ وإحالة فاعل إلى التقاعد تسري فورًا مهما بقي من مدة أي منحة. | التفويض وتوقيع يغطي كل حقل — من منح ماذا لمن، وحتى متى. |
| قواعد نافذة مصدَّق عليها | تُوقَّع المستندات التي تحكم كيفية تنفيذ العمل بالمفتاح الجذري داخل بيان ذي رقم تسلسلي. يمكن ردّ التحقق من أي مستند إلى الجذر؛ ويعمل الوكيل تحت قواعد يمكن إثبات أنه تلقاها. | البيان، وسجل كل تشغيل للقواعد التي حُقنت فيه — مع بصمتها. |
| حصر التشغيل على مستوى النظام — محليًا | سياسة كتابة ترفض افتراضيًا من صندوق عزل نظام التشغيل نفسه — Seatbelt على macOS وBubblewrap على Linux — تُركَّب لكل تشغيل قبل بدء الوكيل. غياب وسيلة العزل يرفض التشغيل بدل إضعافه. | يسمي سجل التشغيل الأداة التي حصرته والمجلدات التي بقيت قابلة للكتابة — ادعاء يستطيع فريقك إعادة إنتاجه. |
| حصر التشغيل على مستوى النظام — عن بُعد | حصر تفرضه النواة (Landlock) للتشغيلات المرسلة عبر SSH. تُقاس قدرة الآلة على الحصر قبل توجيه العمل إليها؛ والآلة غير المقاسة أو المقاسة على أنها غير قادرة ترفض التشغيل. | القدرة المقاسة في صف الآلة الموقَّع؛ وسجل التشغيل الذي يسمي ما فرض الحصر. |
| الوصول الصادر قائمة محددة، مغلقة افتراضيًا | يصل كل تشغيل إلى الشبكة عبر باب تحكمه سياسته وحده: تُقبل الوجهة فقط إذا قبلت السياسة المضيف والمنفذ معًا. التشغيل الذي لا يعلن سياسة يحصل على القائمة الأساسية لواجهته الخلفية — نموذجه وسجلات الحزم — ولا شيء غيرها؛ وفتح الشبكة فعل مُسجَّل مع سبب. المضيف الذي لا يستطيع إنفاذ قطع الشبكة يرفض التشغيل بدل أن يبدأه مفتوحًا. الباب لا ينهي TLS ولا يحلل HTTP. اشتقاق السياسة من جهاز التشغيل أو مقعده غير مُسلَّم بعد. | خلاصة السياسة المُجمَّعة على صف التشغيل — أي قائمة حكمت هذا التشغيل. للتشغيلات على جهاز مستوى التحكم نفسه، صف لكل حكم اتصال: المضيف، المنفذ، الحكم، فئة السبب، الوقت، السياسة. للتشغيلات المُرسَلة عبر SSH لا تعود صفوف كل اتصال بعد. |
| لا قنوات جانبية بين الوكلاء | لا يتنسق الوكلاء إلا عبر أسطح مسجَّلة — الأوامر، وملفات القنوات في شجرة عمل المسار التي تُضم إلى السجل، والبوابات، وصندوق إدراج فقط لتوجيهات المالك. لا توجد مراسلة وكيل إلى وكيل في المنتج. | «من قال ماذا لمن ومتى» استعلام لا مقابلة — تاريخ تنسيق المسار قابل لإعادة التشغيل من السجل. |
| حالات الرفض كبيانات | كل رفض — من المحرك أو التفويض أو المخطط أو السياسة — صف مسجَّل بلا تكلفة وله فئة مسماة. تُسجَّل أسباب المنع ولا تُعاد عبر الشبكة أبدًا. | دفتر الرفض: الضوابط التي تعمل فعلًا، لا التي توجد فحسب. |
| المراقبة — هدف Prometheus | يعرض خادم الخدمة GET /metrics بصيغة Prometheus النصية القياسية: التشغيلات حسب الحالة والخلفية، والرفض حسب الفئة، وقرارات البوابات حسب البوابة والقرار، وإصدار مخطط المخزن. قيم الوسوم أسماء فئات فقط — لا أسماء مسارات أو مسارات ملفات أو أسماء فاعلين. |
الرفض مقياس من الدرجة الأولى — في هذه البنية هو إشارة أمنية لا ضجيج. يجمعه Prometheus الذي تشغله بالفعل؛ لا شيء لتثبيته. |
| تبقى قيم الأسرار خارج السجل | تحمل أنواع التهيئة والإرسال الأسماء والمراجع لا قيم الأسرار. تُفحص حيازة ملفات المفاتيح قبل استخدامها، ويعطل التنفيذ البعيد تمرير البيئة. وقد تستخدم العملية المالكة للاعتماد القيمة للمصادقة من دون نسخها إلى سجل العمل. | تهيئة بالاسم. لا قيمة سرية في السجل التشغيلي أو الأدلة أو سجل التشغيل أو بيانات التكلفة أو التصدير. |
| OAuth 2.1 على سطح الإدارة | محمي برمز حامل. يصادق Team عبر خدمة saphan-oauth التي تشغّلها Saphan كخدمة SaaS. ويشغّل Enterprise خدمة saphan-oauth محليًا أو يقبل أي IdP للعميل عبر قائمة مُصدِرين موثوقين ببوابة بشرية. فئات نطاق، وشرائح صفوف لكل مستأجر، وإغلاق آمن افتراضيًا. |
سجل وصول بدرجة تدقيق على كل وسيلة نقل — رموز حالة صادقة للرفض المغلَّف، ولا تُسجَّل قيم أو سلاسل استعلام أبدًا. |
| حوكمة التكلفة | تقدير وسقف صارم لكل تشغيل يُحددان قبل الإرسال؛ وتُفحص السعة قبل البدء؛ وللمقاعد فئات فوترة. تقع التكلفة الفعلية والانحراف بجوار الأدلة، لا في فاتورة منفصلة. | دفتر التكلفة، لكل مسار ولكل بوابة — يجيب «كم كلف هذا التغيير؟» في سطر واحد مثل «من وافق عليه؟». |
| تثبيت سلسلة التوريد | تُسلَّم ملفات الوكلاء التنفيذية مع بصمة تُحسب على الآلة المستقبلة، وتُحل هويتها من جديد حيث تُنفَّذ. | لكل تشغيل: بصمة الملف التنفيذي وإصداره وبصمة التهيئة والقواعد النافذة المحقونة وبصمتها. |
| مخزن سجلاتك أنت | مخزن PostgreSQL على بنية تتحكم بها، يُهيأ بالاسم، وبيانات الاعتماد باسم المتغير فقط. لا تعبر الشيفرة ولا أدلة التشغيل ولا السجل التشغيلي بنية Saphan. يرسل Team الهوية إلى OAuth الذي تشغّله Saphan، ويحفظها Enterprise محليًا. ويمكن لكليهما استخدام إشارة هاتف تحمل معرّف بوابة معتمًا وعدد الشارة فقط. | قاعدة بياناتك، إلى جانب ملفات عادية في git لديك. مقروءة من دون أدواتنا. |
| مطابقة لا ادعاء | تعمل سيناريوهات طرف إلى طرف ضد الملف التنفيذي الحقيقي: انضباط البوابات، وقفل الإرسال، ومقاومة الحقن، والتعليمات الموجهة خطأ، وتدفق OAuth، وبوابة رمز الحامل، وتكافؤ الإسقاطات. | نتائج المطابقة، قابلة لإعادة الإنتاج على نشرك. |
مُسلَّم في بنية enterprise قيد التنفيذ مبنيّ جزئيًا، ليس مسارًا مُسلَّمًا بعد مخطَّط على خارطة الطريق، بلا شيفرة مُقدَّمة — الصفوف بلا وسم مُسلَّمة.
الإغلاق الآمن هو نهجنا: قيمة تهيئة غير معروفة، أو صندوق عزل غائب، أو عنوان ربط ملتبس — كل منها يرفض بفئة مسماة بدل الرجوع إلى وضع أضعف. وحيث لا يفرض ضابطٌ ما بعد، تقول الوثائق ذلك صراحة وتسميه خارطة الطريق.
الحوكمة هي الضمانة. وهذا هو العمل اليومي.
يبدأ العمل أمرًا: موجز مكتفٍ بذاته بنطاق وقيود ومعيار إثبات. المحرك يوفده إلى وكلائك — بلا سياق يضيع في نافذة دردشة.
يعود الوكلاء بردود محمَّلة بالأدلة — ادعاءات بإثبات مرفق. تقرأ النتائج وتحلل الفروقات، لا نصوص المحادثات. والفرق يومُ عمل.
إسقاط الأسطول يعيش في VS Code: ما الذي يعمل، وما الذي ينتظرك، وأمر واحد لكل قرار. بوِّب دمجًا دون مغادرة الملف الذي كنت تقرؤه.
كل مشروع يحمل جسره: أوامر وقرارات واستنتاجات — الذاكرة التشغيلية للعمل، ملفاتٍ عادية في git لديك. يشحنه Studio، فتحصل قاعدة شيفرتك على جسرها من اليوم الأول. وللمنهجية بيتٌ قبل أن يعمل أول وكيل.
تيار واحد، معرِّف واحد، الأرقام نفسها في كل خطوة. المادة أدناه مثال توضيحي، لا سجل إنتاج؛ لا شيء هنا لقطة شاشة من نظام عميل.
يبدأ العمل بموجز مكتفٍ بذاته: ما الداخل، ما الخارج، وما الذي يُحتسب دليلًا. إذا اضطر الوكيل إلى التخمين، فالعيب كان في الموجز.
# ORDER — payments-refactor · wave 1 Stream: payments-refactor · Base: main @ 4f21c09 · Protocol: saphan-protocol v1.0 ## Scope (IN) PaymentProvider interface per ADR-0007 · three adapters · retries with idempotency keys — migration 0042, up AND down ## Proof standard build green · full suite as passed-of-total, skipped named · migration 0042 proven up + down on a schema copy · adapter parity: fixture diff empty · goldens untouched ## Stops STOP-2: full return before merge. Merge is human-only, from the gate.
تقرأ نتائج، لا نصوصًا كاملة. كل رقم يحمل تعريفه؛ عددٌ مجرّد ليس دليلًا.
# RETURN — payments-refactor · STOP-2 Executor: agent-7 · Commits: 6 (head a3f9e12) · Base: main @ 4f21c09 1. PaymentProvider extracted; 3 providers behind one interface. → diff: 14 files (+612 −208) · goldens untouched 2. Retries are idempotent under duplicate delivery. → TestRetryIdempotency: 200 duplicate deliveries, 1 charge 3. Migration 0042 applied on a copy of the production schema. → up 1.2s · down: not run — see Open questions tests: 124 of 124 passed, 0 skipped · build: green
طلب الأمر إثبات الترحيل في الاتجاهين. الإرجاع يثبت واحدًا. لا يمكن إقناع البوابة بتجاوز ذلك.
$ saphan gate payments-refactor --gate stop-2 --actor marcin [refused] proof-standard-unmet — migration 0042: down path not proven owed: migration 0042 down · nothing advanced · the gate holds · nothing was merged
يقدّم الوكيل الدليل الناقص على الرأس نفسه. القرار فعل منفصل لإنسان مسمّى. تفويض محدود كان يمكن أن يقرر هنا فئة منخفضة المخاطر فقط تحت سياسة وقّعها إنسان؛ هذا التيار لا يملك واحدة، فانتظرت البوابة شخصًا.
# RETURN — payments-refactor · STOP-2 (amended, head a3f9e12) 3. Migration 0042 proven both ways on a copy of the production schema. → up 1.2s / down 0.9s · row counts identical pre and post $ saphan gate payments-refactor --gate stop-2 --actor marcin [recorded] stop-2 approved · actor: marcin · 2026-07-14 09:12 +07 evidence: build green · 124/124 tests, 0 skipped · diff 14 files (+612 −208) · migration 0042 up+down · bundle sha256:9f2c… authority: human owner · delegation: none in scope
الرفض والاعتماد كلاهما صفّان. التوقيع يحمي سلامة الصف — هذه الحقول لم تُعدَّل لاحقًا. ولا يشهد بأن الاختبارات كانت جيدة أو أن الشيفرة صحيحة؛ ذلك عمل الدليل، وهو ما قرأه الإنسان قبل أن يقرر.
$ saphan gates payments-refactor refused stop-2 · actor: marcin · 09:04 +07 · proof-standard-unmet (migration 0042 down) approved stop-2 · actor: marcin · 09:12 +07 · evidence sha256:9f2c… · head a3f9e12 · authority: root merged observed on main @ 7b0e4d1 · 10:03 +07 · a human act in your Git, observed by the engine
يبقى الدمج فعلًا بشريًا في أدوات Git الخاصة بك. لا يتقدم السجل إلى مدمج إلا بعد مراقبة التزام الدمج على الفرع الأساس — لا لأن استدعاء API أعاد نجاحًا.
الملفات الكاملة وراء هذا المثال — الموجز، الإرجاع، سجل القرار الذي يستشهد به، نتيجة، صندوق الرمل ومنظر المحرر:
# ORDER — payments-refactor · wave 1 From: master · To: one executor · Stream: payments-refactor Worktree: worktrees/payments-refactor · Base: main @ 4f21c09 Protocol: saphan-protocol v1.0 · pinned in PROTOCOL_BASELINE.md ## Context — read first The payments module calls three providers (stripe, adyen, in-house ledger) directly from checkout code. Retries are ad hoc; a network blip on 06-24 double-charged three orders (postmortem PM-12). ADR-0007 (attached below) ratified one provider interface at STOP-1. This stream implements it. Nothing here asks you to design — the design decisions are made and recorded; your job is the build. ## Scope IN: a. PaymentProvider interface exactly per ADR-0007 §Decision — the Charge/Refund signatures are frozen there; do not redesign them. b. Three adapters: stripe, adyen, ledger. Existing behavior is preserved; parity proven call-for-call against recorded fixtures in tests/fixtures/providers/. c. Retries with idempotency keys (key = order_id + attempt window), stored in pending_payments — migration 0042, up AND down. d. Wire pin W-2: the public /payments API is FROZEN. Golden tests in tests/golden/payments_test.go must pass untouched — if a golden blocks you, STOP and report; never edit a golden. OUT (recorded — do not touch): checkout UI · refund flows (wave 2) · provider timeout policy (carry-forward on ADR-0007). ## Proof standard build green · full suite, counts as passed-of-total with skipped named · migration 0042 proven up+down on a schema copy, row counts pre/post · adapter parity: fixture diff empty · goldens untouched (git diff --stat on tests/golden = empty) · diff summary per file ## Stops STOP-1 already passed (ADR-0007). STOP-2: full return per template before merge. Merge is human-only, from the gate. ## If blocked Write the blocker under "Open questions" in the return, flag the stream, stop. Guessing past ambiguity is a protocol violation, not initiative.
مكتفٍ بذاته حتى التواقيع المجمَّدة: سياق، وعقود، وتثبيتات أسلاك، وتعليمات لحال الانسداد. إذا اضطر الوكيل إلى التخمين كان الموجز هو العيب — لذلك لا يُترك شيء للتخمين.
# RETURN — payments-refactor · STOP-2 Executor: agent-7 · Commits: 6 (head a3f9e12) · Base: main @ 4f21c09 ## Claims, with evidence 1. PaymentProvider extracted; 3 providers behind one interface. → diff: 14 files (+612 −208) · golden tests untouched, green 2. Retries are idempotent under duplicate delivery. → TestRetryIdempotency: 200 duplicate deliveries, 1 charge 3. Migration proven both ways on a copy of the production schema. → up 1.2s / down 0.9s · row counts identical pre and post ## Open questions for the gate Provider timeout is 30s, inherited. Keep or tighten? Out of scope — flagged, untouched. ## Not done Refund flows: out of scope per order (recorded — wave 2).
كل ادعاء يسافر مع إثباته. تقرأ هذا في دقائق — لا في نص محادثة من ساعتين.
# ADR-0007 — one PaymentProvider interface; providers are adapters Status: accepted · Date: 2026-06-30 · Actor: marcin · Gate: STOP-1 ## Context Three providers are called directly from checkout code. Each has its own retry style and error mapping; the test surface triples; adding or swapping a provider means surgery on callers. Incident 06-24: a timeout retry double-charged three orders (postmortem PM-12). ## Decision One interface, signatures frozen: Charge(ctx, Order, IdempotencyKey) → (Receipt, error) Refund(ctx, ReceiptRef, Amount) → (Refund, error) Providers become adapters behind it. Error taxonomy unified as retryable / terminal / unknown — the mapping is owned by each adapter and may not leak provider-specific errors upward. ## Consequences + one contract to test; parity provable against recorded fixtures + retries live in one place, above the adapters — idempotency enforced at a single seam, not three − adapters gain a lint rule: no provider error types cross the seam − migration 0042 required for idempotency-key storage ## Considered and passed Per-provider services — triples the test surface, scatters retry logic. Feature flags per provider — hides the seam from the record. ## Carry-forward Timeout inherited at 30s. Decide at wave 2 — trigger: refund flows.
سياق مع الحادثة التي فرضته، وتواقيع مجمَّدة، وعواقب بسلبياتها، وطرق لم تُسلَك مع أسبابها. الموجز أعلاه يستشهد به — فالقرارات حاملة للأثقال، لا زخرفية.
# Finding 4.2 — a number without a definition is not evidence Seen: a return claimed "tests: 124 passed" while 9 were skipped. The count was true and the claim was false. Rule: every number in a return carries its definition — passed of total, skipped named and justified. Applied: same cycle. All return templates updated; the gate now asks for the definition when a bare number appears.
الإخفاق يصير قاعدةً في الدورة نفسها التي وُجد فيها. البروتوكول فقهُ سوابق، لا بيانٌ.
# The sandbox — how the pieces talk you — the operator │ briefs out · gates · reads returns ▼ editor / CLI (VS Code panel · saphan) │ ▼ saphan engine — self-hosted │ dispatch · fleet projection · refusals ▼ worktrees — one isolated sandbox per stream ├─ agent-3 payments-refactor running, wave 1 ├─ agent-7 atrisk-push stop-2 — awaiting you └─ agent-12 notification-svc merged, observed │ ▼ the bridge — plain files in your git orders · returns · ADRs · findings · gate log │ ▼ main — merge is human-only The protocol is the language every arrow speaks. The record is what every arrow leaves behind.
يعمل الوكلاء معزولين في worktrees؛ والمحرك يتحدث البروتوكول في الاتجاهين؛ وكل قفزة تترك ملفًا. لا شيء ذو معنى يحدث خارج السجل.
إسقاط الأسطول في محررك: اختر مسارًا، واقرأ الأدلة، وبوِّبه — دون مغادرة الملف الذي كنت فيه.
كل أمر وإرجاع وحكم مراجعة وقرار بوابة وصف تكلفة ومراقبة دمج موجود في السجل أصلًا. وثائق العملية وتقارير التسليم إسقاطات لذلك السجل — تُولَّد ولا تُكتب. كل رقم يُتتبَّع إلى صف موقَّع أو وثيقة مُثبَّتة، والقارئ يتحقق من الخلاصة قبل القراءة.
ما يسلّمه القطار وما يرفضه، مقتبسًا من الأمر — المولّد لا يعيد صياغة تكليف. القرارات التي استند إليها. قسم لكل عربة: المقدمة، الإثبات، ما يجب ألا يفعله، والأرقام التي أعادتها الرِّجل. كيف فُحص — فئة المراجعة، الجولات، ما غيّره كل رفض، مقتبسًا من الحكم. كيف حطّ — كخط زمني لصفوف بوابات موقَّعة حتى التزام الدمج. ما خلّفه، ودفتر التكلفة بفئة الفوترة، والمعروضات: كل وثيقة مصدر بخلاصتها. يقرر ملف الإفشاء ما تحجبه نسخة عامة — أسماء المضيفين والمقاعد تُستبدل بالفئة، والتكلفة تُحذف — ويسمّي ما حجبه.
التسليم، البوابات، التكلفة، القطارات، التدفق، السعة، الاختبارات، العيوب، القوانين، تدقيق الامتثال والمقاييس، لفترة تختارها: العربات المدمجة وبيد من، نسبة النجاح من الجولة الأولى والجولات لكل عربة، التقدير مقابل الفعلي مقابل السقف مع فئة الفوترة على كل رقم، منحنى الإنجاز والتدفق التراكمي لكل قطار، زمن الدورة وأين ذهبت الساعات — الرِّجل، انتظار المراجعة، انتظار المالك، الدمج. كل لوحة تسمّي الجدول الذي تقرأه والأرقام التي لا تملكها بعد؛ رقم بلا مصدر لا يُطبع.
كيف يبدو — معاينات من وحدة التحكم:
المولّد يطبع قراءات من السجل ويرفض اختراع واحدة: عربة مدمجة ليست عربة مُصدَرة، والفصل يقول ذلك في ترويسته.
تُشحن شاشات الوثائق والتقارير مع بنية enterprise؛ وحدة التحكم ليست عامة بعد. ستقول هذه الصفحة «مُسلَّم» عندما تُسلَّم، لا قبل ذلك بإصدار.
الإنسان ليس مجرد من ينقر زرًا، ولا مشاركًا عاديًا في العملية. إنه مالكها: يحدد الاتجاه، ويحدد نطاق السلطة المفوضة إلى الأسطول، ويظل مسؤولًا عن النتيجة. وهكذا يسمي الأسطول نفسه هذا الدور — human owner.
تتغير المتطلبات في منتصف الطريق. المتطلب المتغيِّر إذا التُقط عند البوابة كلّفك مسارًا واحدًا يُحوَّل — لا أسبوعًا من نتاج السرب في سلة المهملات. البوابة هي حيث تحدث الانعطافات الرخيصة، قبل أن يتراكم الاتجاه الخاطئ عبر الأسطول.
«اشرح لي هذا قبل أن أوافق عليه.» فيستدرك المشغِّل مواكبًا النظام بدل أن يوقّع أعمى — ومهمة الردّ كلها أن يجعل ذلك دقائق، لا أمسية كاملة. توافق وعيناك مفتوحتان، أو لا توافق.
«لماذا بهذه الطريقة، لا بالأخرى؟» تجيب عنها وثائق — سجل قرار معماري (ADR)، والخيارات التي دُرست واستُبعدت — لا ذاكرة أحدهم عن قرار اتُّخذ قبل أسابيع. فالتعليل مدوَّن في السجل قبل أن يُطرح السؤال.
تفويض محدود — لا طيار آلي ضمني
يجوز لمالك بشري أن يوقّع سياسة مسماة تفوض فئات صريحة من القرارات منخفضة المخاطر إلى فاعل آلي مسمى. للتفويض نطاق وصلاحية ومصدر خاص به. وخارج ذلك النطاق تنتظر البوابة إنسانًا؛ وتسمية نموذج بصفته فاعلًا لا تمنحه صلاحية.
السلطة البشرية هي الجذر. لا تمارس الأتمتة إلا الصلاحية المحدودة التي وقّعها إنسان صراحةً، ويحفظ السجل سلسلة السلطة هذه لكل قرار.
شركة من خمسين مهندسًا لا تملك ميزانية نماذج طليعة لعمل يستطيع سكربت أداءه. قاعدة التوجيه بسيطة: أرخص عامل لا يزال يستوفي معيار الإثبات.
بناء iOS، وحزمة اختبارات، وتغليف المصنوعات — هذه أوامر، لا محادثات. وهي بموجب البروتوكول منفِّذون كغيرهم: تُوفَد بأمر، وتعيد أدلة، وتترك السجل نفسه. صفر رموز تُنفق على عمل تؤديه سلسلة أدوات على نحو أفضل.
النماذج المستضافة ذاتيًا خلف عقد الحدود نفسه تتولى العمل التكراري: هجرات الأنماط، والملخصات، والهياكل الأولية. معدنك، وبياناتك، وفاتورة كهربائك — لا فاتورة لكل رمز.
Claude Code أو OpenAI Codex أو Qwen Code أو Factory Droid أو نموذج يعمل عبر Saphan Agent-Loop — محجوزة بسياسة للعمل الذي يستحقها: التصميم، والتنقيح العسير، والمراجعة. السياسة ملف تكتبه وتديره بإصدارات، لا وضع افتراضي لم يختره أحد.
يعرف السجل أي عامل خدم كل مسار — فالنسبة حقل في العقد، لا تخمين. والإنفاق مكانه بجانب الإثبات، لكل مسار ولكل بوابة: «كم كلّف هذا التغيير» يستحق الإجابة ذات السطر الواحد نفسها التي يستحقها «من وافق عليه».
أنت تدفع مرتين أصلًا: المهندسون يقودون الوكلاء من كونسولات CLI باشتراكات مقاعد، بينما تحرق خطوط الأنابيب رموزًا مقاسة بالاستهلاك عبر API — والأرصدة تتسرب حيث لا ينسبها أحد. يضع Saphan الاثنين خلف الحد نفسه: الأمر نفسه يدخل، والأدلة نفسها تعود، والسجل نفسه — سواء أكان المنفِّذ جلسة CLI تفاعلية أم استدعاء API بلا واجهة. فيكفّ الإنفاق عن كونه لغزًا موزعًا على فاتورتين.
يعمل مستوى التوجيه في حزمتنا نحن اليوم — سياسة واحدة، من خادم نماذج محلي إلى واجهات الطليعة، مع وكلاء يُقادون من CLI يعملون تحت Saphan الآن. ومسار API/بلا واجهة مُصمَّم في العقد نفسه؛ وسطح التكلفة يُستكمل مع شركاء التصميم — ودرز النسبة قائم في العقد أصلًا.
التوجيه يقرر أين ينتمي صنف من العمل. وBench هو كيف تكتشف ما تستطيع آلتك أنت تحمّله، فيستند ذلك القرار إلى قياس بدل افتراض. والفجوة بين الاثنين ليست صغيرة، ولا يمكن معرفتها سلفًا.
$ saphan-verdict [verdict] class-120b — 120.99 GiB addressable · hot + large fit co-resident → note: glm-4.5-air rejected — dominated by gpt-oss-120b on this class [critical] addressable memory is 63.3 of 125.5 GiB installed — raise the ceiling
الخطوة المجانية لا تثبّت شيئًا ولا تستدعي شيئًا. إنها تبلّغ عن الذاكرة القابلة للعنونة من GPU لا عن RAM المركّبة، لأنهما اختلفتا على الجهاز المرجعي بمقدار نصف الآلة — وكل قرار ملاءمة يتبع الرقم الأصغر.
أربعة نماذج قيست على عقدة واحدة بذاكرة 128 GB: تبيّن أن GLM-4.5-Air، النموذج الرائد الذي كنت ستختاره، أبطأ بمقدار 2.1× في معالجة الموجِّه وتوليد الرموز كليهما من gpt-oss-120b — وأثقل بمقدار 10 GiB. ولا تقول أيٌّ من بطاقتي النموذجين ذلك، لأن أيًا منهما ليست عن آلتك.
كل ما تشغّله بالفعل يحتفظ بعمله. يتولى Saphan مهمة واحدة: النقطة التي يتحول فيها ناتج الوكيل إلى تغيير برمجي على أحد أن يجيب عنه.
واجهات النماذج الرائدة، والنماذج المحلية خلف نقاط نهاية متوافقة مع OpenAI مثل Ollama وvLLM، مسارات يوجّه Saphan إليها بسياسة تُدير إصداراتها. دعم نماذج كثيرة مسألة توجيه؛ وليس هو الشيء نفسه كحكم وكيل برمجة جاهز.
Claude Code وOpenAI Codex وQwen Code وFactory Droid وAgent-Loop الخاص بـ Saphan تعمل كخلفيات مُرسَلة معزولة بالمقعد — بلا محوّل إطار، بلا SDK للتضمين. العقد صغير: استلام أمر مكتفٍ بذاته، العمل في worktree معزول، إرجاع ادّعاءات مع إثبات.
LangGraph وCrewAI وMicrosoft Agent Framework وA2A طبقة تكامل منفصلة، لا بيئات تشغيل لوكلاء البرمجة. عقد محوّلها محدَّد؛ تُبنى المحوّلات المنفردة مع شركاء التصميم بترتيب الحاجة الفعلية، ولا يُقدَّم أي منها على أنه مُسلَّم.
لا يكتب Saphan في مستودعك أبدًا. يراقب الالتزامات والفروع وعمليات الدمج عبر حدّ للقراءة فقط؛ يبقى الدمج فعلًا بشريًا في أدواتك. تصل البوابة إلى المنصّة نفسها — حالة مطلوبة ورأس طلب السحب بالضبط — كيف يعمل ←
قبول الأجهزة، تشغيلات معزولة، أوامر تخرج وإرجاعات حاملة للأدلة تدخل، بوابات بشرية بتفويض محدود، والسجل الموقَّع — فوق الأطر، ومتعامد مع حزم حوكمة الذكاء الاصطناعي التي تراقب النماذج والبيانات من الأعلى. بدّل حزمة الوكلاء؛ يبقى مستوى السلطة.
المنهجية ليست محبوسة داخل الأداة. Saphan Protocol هو الانضباط المكتوب الذي يفرضه المحرك — أوامر، وبوابات، ومعايير أدلة، وسجلات قرارات — ذو إصدارات، مقروء بشريًا، ويُصلَّب يوميًا في مواجهة أساطيلنا نحن.
الآلات تنفّذه؛ والمدقِّقون والمهندسون يستطيعون ببساطة قراءته. يُنشر البروتوكول v1.0 مع الإصدار.
Saphan كلمة تايلاندية تعني الجسر — สะพาน. أبني هذا في هوا هين بتايلاند، والعلامة في هذه الصفحة هي جسر راما الثامن في بانكوك: سارية واحدة على ضفة واحدة، تحمل السطح كله على كابلات تستطيع عدّها. أعجبني ذلك الصدق. لا شيء مخفي داخل البنية — كل خط قوة مرئي، وتستطيع تتبّع ما يحمل ماذا بالضبط. ذلك هو المنتج كله، مرسومًا في الفولاذ: العمل يعبر، ولا شيء يسقط بصمت، وتستطيع دائمًا رؤية ما يحمل الحِمل.
وهناك سبب أقدم أيضًا. كل نظام أدرته في عقود من العمل في البنية التحتية أخفق في نهاية المطاف في الموضع نفسه — لا في الشيفرة، بل في العبور: اللحظة التي انتقل فيها العمل من جانب إلى آخر ولم يستطع أحد لاحقًا أن يقول من الذي سمح بمروره، أو لماذا. لم يخلق الوكلاء تلك المشكلة؛ بل ضاعفوها إلى ما يفوق ما تستوعبه الذاكرة البشرية. لذا سُمّيت الأداة على اسم الشيء الذي كان مفقودًا دائمًا. لا جدارًا، ولا بوابة لذاتها — بل جسرًا يتذكر كل عبور.
البروتوكول والمحرك يعملان في الإنتاج على مشاريعنا نحن — النظام بنى نفسه ويحكم نفسه.
الإطلاق العام مُمرحَل: البروتوكول v1.0 والمحرك وحزمة التدقيق تُشحن معًا.
نختار حاليًا شريكين إلى ثلاثة شركاء تصميم (فرقًا من 50 إلى 500 مهندس ذات التزامات امتثال حقيقية).
الآلية الكامنة وراء السجل موضوعُ طلب براءة اختراع في الولايات المتحدة — patent pending.
بولندا — IP Partner، وارسو. تمثّل IP Partner شركة Saphan في بولندا: محادثة أولى باللغة البولندية، ونشر على بنيتك التحتية، وفريق محلي للمؤسسات التي تُدخل وكلاء الذكاء الاصطناعي إلى هندسة منظَّمة. تواصل مع المؤسس Łukasz Bederski, MBA — صفحة الشريك · ippartner.pl · LinkedIn.
هل ترغب في تمثيل Saphan في سوقك؟ [email protected]
نتاج الوكلاء يسبق مراجعتك. طلبات السحب تتكدس، والمراجعة تنزلق إلى مسرحية — والآن يسأل عملاؤك من المؤسسات ومدقِّقوك من الذي يشرف على ما يغيّره الوكلاء. «نظر إليه مهندس متمرس» لا تجيب عن أيٍّ من المشكلتين.
فريق تجريبي يمارس المنهجية يوميًا: موجزات تخرج، وردود محمَّلة بالأدلة تعود، وقرارات بوابات من المحرر — وقاعدة شيفرتك تحمل جسرها من اليوم الأول، فيكون للانضباط بيتٌ قبل أن يعمل أول وكيل.
وعائد التدقيق، مجانًا: لأن كل تغيير يحمل أصلًا أدلة وقرارًا مسجَّلًا، تصير إجابة استبيان الأمن وثيقةً ترفقها، لا فقرةً ترتجلها.
وادعاءٌ يستطيع فريق مبيعاتك تقديمه لعملائك، مع الإيصالات: «أساطيل الذكاء الاصطناعي لدينا تعمل تحت طبقة صلاحية قابلة للتدقيق.» أنت تبيع الثقة؛ وهذه ثقة بسجل.
فريق واحد، ومستودع واحد. المؤسِّس يتولى النشر — أولى البوابات على عملك الحقيقي في الأسبوع الأول. مستضاف ذاتيًا على بنية تحتية تتحكم فيها أنت: لا يضيف Saphan مكانًا جديدًا تذهب إليه شيفرتك. ساعة واحدة في الأسبوع. لا رسوم ترخيص طوال مرحلة التصميم كلها. انسحب متى شئت واحتفظ بكل ما ورد أدناه.
السجل ملفات عادية في git لديك — مقروءة بلا أدواتنا، إلى الأبد. والبروتوكول يُنشر علنًا عند v1.0: الانضباط الذي تعلّمه فريقك لا يموت بموت مورّد. والمنظومة التي تستضيفها ذاتيًا تواصل العمل. هذا نقيض الاحتجاز لدى مورّد، بحكم البناء.
حالاتك الحدّية تصير قواعد بروتوكول (مجرَّدةً، لا دواخلك أبدًا)، واحتكاكك يرسم خارطة الطريق، وشريحة Team — بوابات على مستوى المؤسسة، وإسقاط مشترك، وعروض تدقيق — تأخذ شكل مؤسستك، لأنك في الغرفة. شروط تأسيسية مكتوبة قبل أن توجد أي قائمة أسعار علنية.
استفسارات شركاء التصميم
تواصل معنا — [email protected]