libsysmon原件与客户端边界结果

2026-10-20 · E3来源/E2复核/E1静态 · partial · 30/66，发送0/5，Gate R未关

来源：site/devlog/p4-device-network-rvi-and-raw-dtx-result-2026-10-19.md；源SHA-256 c7bae48355b2f2ce37df44e4d803017d4ea852dd2a1cfe14807c367db220a717

## Implementation / Validation Update · 2026-10-20 · libsysmon原件与客户端边界

文档类型devlog增量，基线cee3d3d1，同一AI方案、实现、测试、分离复核，无子代理。前批GitHub核同，GitLab一次失败；同提交网站18.212334秒/聚合1422737408B、579页/749目标/685锚点无缺，未发布/通知配置欠项沿用partial。整体30/66、发送正式0/5、Gate R未关，不重测历史、不改Mac192/Lab18。

### 唯一原件及完整保管

按有限合同，新连接重核61记录/122metadata、封口released、无pending、身份/版本、产品与自有App idle、全59清单path-size及pins，只请求唯一115163136B候选。原128MiB工具上限不变、未新增range协议；实际UUID/platform/mapping和libsysmon image UUID均与原索引核同，不把suffix或VM候选当证明。源SHA d702d1da5c33bddf2e4c7f81c8b684067dd69ecd652974d97c74dc680528ca25；10.147752秒/100204544B。前后全部122metadata SHA、idle和关闭成立E3，无signal/安装/launch/新run/容量/归位/删除。

实际TEXT12283B，其中__text6040B；其余数据与链接段不在该文件，没有伪造完整Mach-O。仅复用已保管数据和链接原件，原load commands的792B trie/128项nlist经实际LINKEDIT vmaddr/fileoff及源mapping桥接，得到36个regular导出，opaque0。全36导出与原nlist外部定义精确吻合；没有借host同名库替代。LLDB仅空arm64e target、原始buffer，nop/ret控制及1510条4B编码/地址核同，unknown0，process/image均未创建或加载，不执行手机代码。

### 已证标识与未证调用

原导出包括request创建/execute、table/row读取与diff builder等客户端接口；原7个XPC常量可由数据v3真链落到原TEXT字符串，其中服务标识为com.apple.sysmond。LC_DYSYMTAB原118个indirect symbols、55个auth stub imports、176个直接分支调用点均记账；仅21处按原本地stub精确关联导入名。其余共享优化目标未在本次已取代码范围中证明，不能把“存在_xpc_connection_create_mach_service导入”当“这个callsite调用它”的证据，更不能将本库当完整网络计数producer。

首a01审计误要求request_create切片内存在该已命名调用而AssertionError停止，失败保留。临时inspect绕过断言，仅用于排查，带旧硬编码布尔结果的输出已另存annotation明确标记notEvidence，不用于任何结论。新a02主reader明确machServiceCallBindingProven=false、serverCodeAvailable=false，再由第二reader重新核原bytes、全部indirect表/stub/import关联、176分支和7原指针/字符串；没有把断言移除包装成调用证明。精确当前服务运行绑定与服务端字段29–32的累计实现均未知。

### 分离复核与资源

不导入主image/export/typed reader的第二脚本，从固定Apple格式原头重建真实mapping与load commands，穷尽60份typed清单响应/59文件集合、61记录全部原metadata以及成功流程122次post-read，重读全部12283B TEXT/6040B代码与1510原编码。独立trie/nlist reader核36导出及128条原项，全部regular与nlist核同；第三条独立路径核118间接项/55imports/176分支/7常量。E2格式与保管核同，原代码语义仅E1；新一次文件来源通道E3，不是E4数值验收。

| 步骤 | 外层秒 / 退出峰B | 结果 |
| --- | --- | --- |
| 唯一手机文件 | 10.147752 / 100204544 | 一请求、122metadata前后核同 |
| 实际映像主读取 | 0.131714 / 20185088 | 12283B TEXT/6040B指令 |
| 空target原指令解码 | 0.443946 / 88424448 | 1510编码、unknown0 |
| 原导出主读取 | 0.655510 / 21626880 | 792B trie/36导出/128 nlist |
| 来源/映像/原编码独立复核 | 0.261378 / 20217856 | 全量E2 |
| 导出独立复核 | 0.191214 / 19120128 | 全量E2 |
| client主reader a02 | 0.435196 / 21479424 | 未证调用显式false |
| client独立复核 | 0.388841 / 20889600 | 118/55/176/7全核同 |

仍单流O(源SHA+有界小表/指令)，手机105秒/128MiB、普通离线10秒/96MiB、LLDB20秒/192MiB保持；无产品、采样频率或容差改动，无旧等价任务不虚构提速，CPU按私有守卫、I/O瞬时峰unknown。空间仍高于10GiB及预算两倍；旧失败、旧H1/22头下界反例与24未保管尾对象保持。

**下一工作**：在新有限合同下，继续核真实服务调用/服务端定义或全局Sysmontap与独立逐接口观察的同窗可比性；先冻结scope、字节层、时钟和边界处理，不根据样本拟合有利接口集合。当前Lab18逐接口参考是32位if_data，只能按其既定重置/回绕missing规则使用，不能拿64位全局绝对累计值与32位接口绝对值直接相加比较；现行crossInterfaceSumAllowed=false不因新字段出现而自动解除。仍未关闭Gate R，不进193、产品诊断、正式五轮或接收验收。[机读复核](https://github.com/rskdwypy-pixel/perfowl/blob/main/internal/handoff/network-libsysmon-review-2026-10-20.json)。