fail-open
安全系统的反模式：当系统遇到异常或无法确定权限状态时，默认放行访问。在权限撤销场景下会导致已撤销的访问权限仍然生效
时间轴 (近 90 天)
Fail-closed指系统遇到无法处理的异常输入、缺失依赖或内部错误时默认进入拒绝/阻断状态；fail-open则默认进入允许/继续状态。
on_error 的 block 与 log 对应分布式系统中的 fail-closed 与 fail-open 两种故障策略，两者都只是转移风险而非消除风险。
会话启动保持 fail-open，坏掉的钩子不会阻止编辑；云端的阻塞式启动门偏向 fail-closed，让缺失 shim 变为显式提交失败。
在安全工程中，fail-closed 指依赖不可用时默认拒绝（安全性高、可用性受损），fail-open 指默认放行（可用性好、可能漏放）。
失败安全（fail-safe）或默认拒绝（fail-closed）原则指当系统无法确定操作是否可撤销时，将其归类为不可撤销从而阻止Agent执行，安全敏感系统中普遍采用此策略。
fail-closed 设计只对钩子真正覆盖到的操作成立；若等价路径未注册钩子，系统对该路径实际为 fail-open，单点 fail-closed 不能推导出整体安全。
fail-open指安全机制失效时系统选择放行操作；fail-closed指失效时默认拦截。
绝大多数向量索引管道只设计了加法路径，没有为按授权变更回收已入库文档预留机制，导致撤销发生时系统失败开放（fail-open）而非失败关闭（fail-closed）。
Fail-open是指在异常情况下默认允许通过，与fail-closed相对
Fail-closed是安全系统设计中的基本原则：当系统遇到错误、缺失信息或不确定状态时，默认拒绝而非放行
还有 3 条时间轴事件
全部知识事实 (13)
Fail-closed指系统遇到无法处理的异常输入、缺失依赖或内部错误时默认进入拒绝/阻断状态；fail-open则默认进入允许/继续状态。
50%待验证on_error 的 block 与 log 对应分布式系统中的 fail-closed 与 fail-open 两种故障策略，两者都只是转移风险而非消除风险。
50%待验证会话启动保持 fail-open，坏掉的钩子不会阻止编辑；云端的阻塞式启动门偏向 fail-closed，让缺失 shim 变为显式提交失败。
50%待验证在安全工程中，fail-closed 指依赖不可用时默认拒绝（安全性高、可用性受损），fail-open 指默认放行（可用性好、可能漏放）。
50%待验证失败安全（fail-safe）或默认拒绝（fail-closed）原则指当系统无法确定操作是否可撤销时，将其归类为不可撤销从而阻止Agent执行，安全敏感系统中普遍采用此策略。
50%待验证fail-closed 设计只对钩子真正覆盖到的操作成立；若等价路径未注册钩子，系统对该路径实际为 fail-open，单点 fail-closed 不能推导出整体安全。
50%待验证fail-open指安全机制失效时系统选择放行操作；fail-closed指失效时默认拦截。
50%待验证绝大多数向量索引管道只设计了加法路径，没有为按授权变更回收已入库文档预留机制，导致撤销发生时系统失败开放（fail-open）而非失败关闭（fail-closed）。
50%待验证Fail-open是指在异常情况下默认允许通过，与fail-closed相对
50%待验证Fail-closed是安全系统设计中的基本原则：当系统遇到错误、缺失信息或不确定状态时，默认拒绝而非放行
50%待验证fail-open 设计保证即便路由层出问题也不会让整个 Agent 卡死，而是退回到原有执行路径
50%待验证故障开放（fail-open）设计指计费检查服务宕机时系统默认放行请求以保证用户体验连续性，代价是暂时失去成本控制
50%待验证故障开放设计是指当计费检查服务宕机时，系统默认放行请求而非拒绝以保证用户体验连续性
50%