20131
三平台同一发布节奏——差距如实标
能力等级按平台逐项标注 FULL / LIMITED / UNAVAILABLE，以当前调研与工程实测为准，不填营销空格。
| 能力 | Windows | macOS | Linux |
|---|---|---|---|
| Agent 层 Hook（Claude Code、OpenClaw、MCP 代理） | FULL | FULL | FULL |
| 进程与谱系观察 | FULL（用户态；ETW 内核会话可选，需管理员） | FULL（libproc 零特权轮询；实时事件依赖 Apple EndpointSecurity 权限——审批制，待通过） | FULL（procfs 零特权） |
| 文件动作可见性 | FULL 用户态；内核级动作前拦截 PLANNED | LIMITED（轮询节奏；实时待 ES 权限） | FULL 可见性；eBPF 强制 PLANNED（第二阶段） |
| 网络观察 | FULL（管理员 ETW 会话）/ LIMITED（用户态） | LIMITED（轮询） | FULL / LIMITED（procfs + auditd 内核事件） |
| 原生强制（拦截） | 按阶段推出 | 按阶段推出 | 按阶段推出（eBPF） |
| 恢复 / Undo | PLANNED（按 OS 选择快照后端） | PLANNED | PLANNED（btrfs + eBPF，第二阶段） |
实际意味着什么
- Windows：Early Access 阶段不签名 + 官网 SmartScreen 图解指引；无管理员也有完整用户态观察，ETW 会话解锁全量实时面
- macOS：ad-hoc 签名 + 右键打开放行指引；当前零特权轮询，EndpointSecurity 权限通过后升级实时事件
- Linux：单静态二进制，procfs 监控起步；内核级强制是自觉的第二阶段步骤
- HarmonyOS：按计划，依官方开放能力实现
每次 OS 更新自动跑兼容性契约测试（Contract / API / Enforcement / Performance / Recovery）——系统更新不允许导致核心重写。