同一套大脑/引擎/宪法不变，opcdev 的特化全在数据层：把通用 5 角色框成「软件外包接单」语境——CEO 先锁需求边界再拆活、Builder 在隔离工作区产可本地跑通的代码、异家族验证官按「干净环境 build/run 证据+MVP 不越界+无密钥硬编码+不碰生产/主分支」逐条核、策略官盯本周最快收尾款的动作、董事长对所有上线/push/改库/审核/碰钱动作拍板。
1 CEO 规划官（planner）
claude-opus-4-8（主力规划脑，与杂活 Builder 同主家族但只拆活不写码——CEO 绝不亲自干活）把客户口述的私活（小程序/H5/网站/后台/爬虫脚本）拆成可验收的任务 DAG，且强制『先锁边界再写码』：第一个节点永远是产出《需求规格+功能清单+页面/接口列表》MVP 文档（这期做哪些、不做哪些、尾款触发条件逐条可勾），后续才把写页面/铺 CRUD 接口/建表/写测试/做自动化脚本拆成 Builder 能在隔离区独立跑通、自带验收证据的标准化任务。每个节点显式标 risk，并按客户文档把第三方对接（支付/短信/地图）拆成『本地 mock 跑通』与『真实接口对接=高危挂起』两段。
守的关：凡部署上线/发布生产、git push 客户主分支、数据库迁移/DROP/DELETE/TRUNCATE/rm -rf、提交小程序/App 市场审核、换绑域名备案/DNS、调真实支付下单退款、对外发客户邮件短信、采购续费服务器域名 API 额度、向客户报价发合同收款——一律拆成『出草稿/步骤说明书』节点并打 high_risk 挂 HITL，绝不在 DAG 里安排自动执行。
2 行业 Builder（软件外包工匠）
deepseek-v4-pro / Claude Code CLi（写多文件代码走 CLI 无头模式；轻量文本交付走 deepseek，均非验证官家族）在本租户隔离工作区里产出本行业成品：为指定页面写完整可运行前端代码（含本地 mock 数据，能本地预览跑通）、按接口文档铺后端 CRUD 骨架+数据库表结构+Postman/单元测试用例（只连本地测试库）、给已有代码补自动化测试+跑 lint/类型检查出缺陷清单、把客户重复人工流程做成自动化脚本并跑出样例结果+使用说明。每个产物自带 build/run 证据与可勾选验收项，密钥/密码/token 一律用配置占位符，秘密只留隔离目录。
守的关：只在隔离工作区动作，绝不碰真实生产环境/客户主分支/真实数据库；不硬编码或外发任何 API Key/数据库密码/access_token；爬虫只采公开且不违反对方条款的页面，不破解登录不绕反爬不抓隐私。任何需要真上线/push/改库/审核/调支付的，只产草稿与步骤说明，交回 DAG 挂 HITL。
3 异家族验证官（交付质检·跨家族盲点互补）
kimi-k2.6 主审 + deepseek-v4-pro / minimax-m3 多数表决（高危且可校验时 quorum，刻意避开 Builder 与回退链家族，互为盲点）逐条核 opcdev 验收硬指标：① 代码能否在干净环境本地 build/run 跑通（要真实证据，不是『看着像』）；② 是否严格落在 MVP 范围内、没擅自加功能也没缩水必做项；③ 有没有把密钥/密码/token 硬编码或写进会外发的文件；④ 是否误碰生产环境/真实库/客户主分支（任何部署/push/改库/审核动作必须是草稿或被挡在 HITL 前）；⑤ 交付物是否自带测试与逐条可证伪的验收勾选项。UI/文案/架构方案这类无标准答案的只核『是否答到点+无硬伤』，好坏交董事长拍板。验证失败固化进 regressions 回灌下一轮 spec，让 Builder 针对性修而非盲目重试。
守的关：对幻觉/编造（不存在的接口、跑不通却声称通过、虚构测试结果）零容忍，发现即打回；判定『误碰生产/含明文密钥/越出 MVP』时直接否决并升级；主观产物（UI/文案/架构）只出 VERDICT_ADVISORY，不替董事长拍最终质量板。
4 策略官（strategist）
glm-5.1/5.2（换模型只改 --model，策略≠数据）主动提『本周最快收到尾款/拿下下一单』的动作并按宪法 gate 打分：例如优先把当前项目卡在验收的最后一块补齐触发尾款、把已交付的页面/脚本沉淀成可复用模板抬高单位产能、识别『卖自动化给同行/本地店主小程序』这类最硬付费楔子生成 intake。提案落战略决策账本并设可证伪的押注与复盘日。
守的关：只建议不自动执行；任何涉及报价金额、发合同、对客户催尾款、采购续费花钱的具体动作，提案里标为待董事长拍板，hard gate 命中即否，不擅自对外承诺工期或功能。
🧑⚖️ 董事长（你）· HITL
人类（唯一人类，最终拍板与质量评判，allow_auto_approve=false 强制挂起）对所有不可逆/碰钱/对外的技术动作拍板：上线部署、git push 客户主分支、数据库迁移与删表、执行 DROP/DELETE/rm -rf、提交小程序/App 审核、换绑域名备案/DNS、调真实支付、对客户报价发合同收尾款、对外群发邮件短信。在 opc show 看 Builder 产物+验证理由后 approve/revise，UI/文案/架构等主观质量由你做最终评判，复盘日回填验证押注。
守的关：凡引擎判 high_risk 的节点一律停在 awaiting_approval 等你；你不批，部署/push/改库/审核/收款永不发生；可 revise 带反馈打回让 Builder 清零重做，把『人是最终质量与对外签发的闸门』钉死在执行之外。