用途：在 Vultr Kubernetes Engine 上部署 NetBird Agent Network 演示环境，可作为无密钥 LLM 网关或隔离的 AI 智能体运行；支持构建、创建、查看状态与删除。
主要能力：配置一个 NetBird 网关与双 Pod 应用。NetBird 客户端以 netstack/SOCKS5 模式运行，不使用 TUN 或额外 capabilities。隔离的智能体运行 Claude Code，其 NetworkPolicy 仅允许 SOCKS5 监听端口，不放行 DNS，也不提供 ServiceAccount token。验收测试让出站与连接经 SOCKS5，校验隧道身份、模型限制、预算上限与访问日志归属。
使用方式：用单个 colors.yml 描述非机密的目标状态，域名与通配符须在 Cloudflare 区域中空闲。常用命令包括 ./green build、./green create --dry-run、./green create、./green delete、./green status、./green kubectl -- get pods -A。build 渲染时不调用凭据或 provider；create --dry-run 跳过副作用；退出码 2 表示校验或用法失败；启动器从当前目录向上查找 colors.yml。
状态与存储：colors-compute 库负责托管计算、provider 校验、版本预检、远程状态、kubeconfig 与 provider 清理检查。计算状态存于 <profile>/compute/managed-kubernetes.tfstate，归属信息存于 <profile>/compute/coordination.json，注册表状态存于 <profile>/agent-network-k8s-registry.tfstate，可用 R2 或 S3。R2 需 COLORS_PAR_R2_ACCESS_KEY_ID 与 COLORS_PAR_R2_SECRET_ACCESS_KEY，S3 走 AWS 凭据链。
收敛与删除：create 先收敛托管计算再部署注册表，部署命名空间、持久机密、kaniko 镜像构建、网关与负载均衡；DNS 先于通配符证书。智能体用一次性密钥注册，注册后密钥被吊销。delete 会撤回工作负载、卷与负载均衡 Service，provider 检查确认清理后才销毁注册表和计算。无备份；删除后再创建会重生成对端身份与端点主机名。已退休计算重复删除只做本地生成文件清理。
限制：旧版合并的 agent-network-k8s-infrastructure.tfstate 需先显式拆分并审核；执行会拒绝该旧状态、不可读归属信息与活动操作锁。已提交状态须保留 compute-prevent-destroy: true，有意删除时该次运行设 COLORS_PAR_COMPUTE_PREVENT_DESTROY=false。支持伪造 COLORS_PAR_ANTHROPIC_API_KEY（验收要求上游返回 401），真实密钥则需成功完成补全。