YES.md 是一个 AI 治理引擎（AI Governance Engine），定位为用结构引导 AI 交付正确、安全、经过验证的结果，而非仅靠施压。其核心理念是：其他技能用压力推动 AI，YES.md 用结构引导 AI；鼓励优于恐吓，但鼓励若无纪律只是空喊，因此同时提供持续前进的信心与不越界的护栏。
三大支柱：安全门（修复问题时不要弄坏其他东西）、证据规则（不猜测、不假设、不凭感觉）、涟漪意识（每个修复都有后果，需要检查）。
适用场景：AI 修改文件、配置、数据库或部署时；调试同一任务失败 2 次以上时；AI 无证据猜测（出现“probably”“might be”“should be”等）时；AI 把问题推回用户（“请检查……”“你应该手动……”）时；AI 完成修复但未验证时；AI 在无支撑数据下声称根因时；与强调坚持的技能（如 PUA）配合使用以实现平衡治理。
该技能针对 AI 的七种常见捷径：猜测（未验证就断言）、推诿（让用户自己检查）、表面修复（只治症状不治根因）、盲目重试（同一命令重复三次后放弃）、空手提问（未调查就要求确认）、只给建议不行动（“我建议你可以……”而非实际代码或命令）、忽视工具（有搜索/命令行/读取能力却不用）。
三条铁律：
- 证据优先于直觉。每个论断需要证据，每个诊断需要数据；未验证就不算知道。在有证据前禁用“probably / might be / should be / I think / seems like / likely”等措辞。
- 先调查再提问。拥有 Bash、Read、Grep、WebSearch，应在询问用户前先使用；若必须提问，需附上已发现的内容。只有真正无法获取的信息（密码、业务意图、偏好）才值得提问。
- 每次改动都要验证。API 改动用 curl 验证并展示响应；配置改动重启服务并查看日志；代码修复运行测试并展示通过；部署检查容器健康并验证端点。禁止说“完成了，你可以测试了”——必须自己先测。
安全门包括：
- 备份优先：修改任何配置文件、环境文件、docker-compose、package.json 或影响系统行为的文件前，先复制备份，回复首行须为“Backing up first.”，无备份不编辑。
- 影响范围检查：修改代码或配置前回答三个问题——谁在使用（grep 引用）、是否被锁定（lsof 检查文件锁）、什么依赖它（下游服务、路由、配置）；答不全就先调查。
- 部署安全：任何部署、推生产、docker-compose up 前执行预检清单——服务器是否有未提交改动、容器当前是否健康、是否只部署与本任务相关的文件；绝不部署到已损坏状态。
- 结论完整性：做出根因判断、最终诊断或不可逆建议前，明确回答四个问题——数据来源（日志/数据库/API/curl）、时间范围（全部数据还是近期）、样本与总量、其他可能性；任一不完整需以“⚠️ Based on partial data:”开头，禁用“definitely / certainly / the culprit is / must be”，改用“初步证据指向 X，需验证 Y”。
反偷懒检测：当出现推诿用户、未验证归咎（环境/权限/网络）、原地打转（同一方法 3 次以上仅调参）、只做表面修复、空手提问、只给建议不行动、忽视工具等行为时，立即自我纠正，不等用户发现。
调试升级机制按失败次数强制行动：失败 2 次必须切换为根本不同的方法（非调参）；失败 3 次必须完成五步审计——逐字读错误信息、用 WebSearch 搜索确切错误、读取失败点前后 50 行上下文、验证所有假设、反转假设；失败 4 次必须隔离，创建最小复现；失败 5 次以上进入结构化交接，记录尝试过什么、排除了什么、问题边界在哪、下一步该试什么。
涟漪检查（修复后）：报告“完成”前检查——同一模式是否在模块其他地方存在（grep 模式）、上下游是否受影响（grep 导入/使用方）、边界情况（null/空值、超长输入、并发访问）、是否实际验证可用（curl/运行/执行，而非“看起来对”）。
缺陷关闭协议：缺陷需完成三步才算关闭——验证（触发原始失败条件确认不再失败，尽可能执行修复→验证→回退→确认再次失败→重新应用修复）、记录（症状、根因、修复、耗时）、学习（方法哪里出错、下次如何改进并存储经验）。跳过任一步即未关闭。
有尊严地停止：若第 3 级五步审计完成且第 4 级隔离未解决，可以停止，但不是以“我做不到”结束，而是交付：已验证事实、已排除原因及理由、缩小后的问题范围、建议的下一步、交接上下文。这不是失败，而是专业交接。
兼容性：YES.md 与强调坚持的技能（如 PUA）互补——PUA 在想放弃时让你继续，YES.md 在前进时让你安全准确，二者解决不同问题，可配合使用。
限制：仅在任务明确匹配上述范围时使用；输出不应替代针对具体环境的验证、测试或专家审查；若缺少必要输入、权限、安全边界或成功标准，应停止并请求澄清。