用途：把一份 colors.yml 转成可运行的 Agent Network 演示环境，覆盖机器、提供商防火墙与 Cloudflare 基础域名及其通配符记录、Traefik、组合式 netbird-server、仅 agent-network 模式的仪表盘、私有模式 NetBird 反向代理、控制平面（提供商、护栏、策略、全局限额）以及隔离的 agent 容器。
主要能力与边界：演示主张 agent 无互联网出口，依赖内部 Docker 网络与 DOCKER-USER 规则两重边界，唯一通往 LLM 的路径是无密钥 agent-network 端点，经 WireGuard 隧道携带对端身份、通过策略并计量；收敛过程以正反两面验证该主张，否则失败。三个实现直接依赖 colors-compute 的固定提交，仅由 ONCE 提供应用域辅助；库负责提供商选择、凭据、OpenTofu 资源、远程 R2/S3 状态、身份检查、租约与密钥清理。
用法：命令为 ./green build（渲染 .colors/<profile>/，无提供商调用、无凭据）、./green create --dry-run（跳过所有副作用）、./green create（真实收敛）、./green delete（受保护，需要一次性覆盖）。退出码 2 表示校验或用法失败并一次列出全部问题；启动器从工作目录向上查找 colors.yml。主机上还有 agent-network-status、agent-network-smoke、agent-network-bootstrap；仪表盘管理员密码生成于 /etc/agent-network/secrets/admin_password。
限制与前提：主机名及通配符须在 Cloudflare 区域中空闲，DNS 阶段只创建不接管外部记录。须在 .envrc.private 配置五个凭据（所选计算提供商、Cloudflare、两个 R2 密钥与 Anthropic 密钥），不得导出 COLORS_PAR_PROFILE。可故意使用假的 COLORS_PAR_ANTHROPIC_API_KEY，此时验收预期 Anthropic 经代理返回 401，仍验证隔离、隧道、策略与密钥注入且不产生计费；换真实密钥重跑 create 可升级为真实补全。该部署按设计可丢弃：无备份，恢复即受保护的 delete 后 create，端点和每个对端身份由下次 create 重新生成。colors.yml 是唯一可编辑文件，.colors/ 为生成产物不可编辑、直接读取或提交；不得削弱已提交期望状态中的 compute-prevent-destroy。其余未在资料中说明的细节暂未提供。