diff --git a/session-mechanism/SKILL.md b/session-mechanism/SKILL.md
index 121ade9..a5cad6f 100644
--- a/session-mechanism/SKILL.md
+++ b/session-mechanism/SKILL.md
@@ -902,7 +902,7 @@ python .workbuddy/collab/collabd.py --set-life 进行中 --by "主会话"
         换 `runpy` 后从任意 cwd 都正常（`runpy` 会正确设好 `__file__`／`__name__`／`sys.path[0]`，
         `board.py` 顶部的 `_sm_load_roots()` 靠 `__file__` 往上找 `roots.env`）。
       · 🔴 **任务设置**：`ExecutionTimeLimit=0`（无时限）｜`MultipleInstances=IgnoreNew`｜
-        `RestartCount=999`／`RestartInterval=1min`｜`RunLevel=Highest`（⚠️ `Limited` 实测 `LastTaskResult=1`）。
+        `RestartCount=999`／`RestartInterval=1min`｜`RunLevel` **按账户权限自适应**（管理员＝`Highest`；非管理员⛔ 不带 —— 写死会被拒）。
       · ✅ **验收（三条全绿才算成，⛔ "打印了启动消息"不算）**：`netstat` 见 `127.0.0.1:<port> LISTENING` ∧
         `curl /` = 200 ∧ **父进程是 `svchost.exe -s Schedule`**（⇒ 已脱离会话，⛔ 不是会话树里的 bash）。
         🔴 **且要看进程树下**：**零 `cmd.exe`／零 `conhost.exe`** ⇒ 黑窗彻底消除，这才算对。
diff --git a/session-mechanism/assets/board-launch.py.tpl b/session-mechanism/assets/board-launch.py.tpl
index b5da605..23e34b8 100644
--- a/session-mechanism/assets/board-launch.py.tpl
+++ b/session-mechanism/assets/board-launch.py.tpl
@@ -29,7 +29,12 @@ $p = New-ScheduledTaskPrincipal -UserId '<当前用户>' -LogonType Interactive
 Register-ScheduledTask -TaskName 'dsh-board-<端口>' -Action $a -Settings $s -Principal $p -Force
 ```
 
-🔴 **`RunLevel=Highest` 不是可选项**：`Limited` 实测 `LastTaskResult=1`（写日志/读库被拒）。
+🔴 **`RunLevel` 按账户权限定**：管理员（进程已提权）⇒ 带 `-RunLevel Highest`；非管理员 ⇒ 去掉 `-RunLevel`（走普通权限）。
+   依据（2026-10-12 实测）：非管理员账户上写死 `-RunLevel Highest` ⇒ `Register-ScheduledTask : 拒绝访问` —— 任务**根本建不出来**。
+   ⚠️ 旧版这里写的是「`Highest` 不是可选项：`Limited` 实测 `LastTaskResult=1`」，**那是误归因**：
+      看板 `LastResult=1` 的真因是单例守卫 ＋ `pythonw` 无 stdout 把退出码顶成 1
+      （见 `references/pitfalls.md`「看板的 `LastResult=1` 是虚警」），与 `RunLevel` 无关；
+      非管理员机上 `Limited` 实测建得成、也跑得起来。
 
 ## ⛔ 两条封死的写法（都亲手栽过）
 
diff --git a/session-mechanism/references/deploy.md b/session-mechanism/references/deploy.md
index 5270217..8a82dea 100644
--- a/session-mechanism/references/deploy.md
+++ b/session-mechanism/references/deploy.md
@@ -109,7 +109,7 @@
 
 | 层 | 文件 | 装什么 | 谁读 |
 |---|---|---|---|
-| **L0 技能包级**（每台机器一份） | `<技能包>/env/roots.env`（真文件不入库；样例 `*.example` 入库） | 这台机器的根：`DSH_WS_ROOT`、`DSH_AIROOT`、`WB_RESULT_HOOK_WS`、`COLLABD_PROD_CONFIG`、`CODEBUDDY_CONFIG_DIR`、`DSH_DOCS_ROOT` | **包内脚本**：钩子（`scripts/hooks/*`）、`board.py`、`goalctl.py`、`collabctl.py`、`keepalive.py` |
+| **L0 技能包级**（每台机器一份） | `<技能包>/env/roots.env`（真文件不入库；样例 `*.example` 入库） | 这台机器的根：`DSH_WS_ROOT`、`DSH_AIROOT`、`WB_RESULT_HOOK_WS`、`COLLABD_PROD_CONFIG`、`CODEBUDDY_CONFIG_DIR`、`DSH_DOCS_ROOT` | **包内脚本**：钩子（`scripts/hooks/*`）、`board.py`、`goalctl.py`、`collabctl.py` |
 | **L1 工作区级**（每工作区一份） | `<工作区>/.workbuddy/collab/collabd.config.json` | 这个工作区自己的东西：`workspace`／`inbox`／`live`／`taskgraph`／`host_db`（可写本机绝对路径）／`peer_workspaces` | **部署副本**：`<ws>/.workbuddy/collab/` 下的 `collabd.py`、`goalctl.py` |
 
 **桥接（谁把两层接起来）**：`scripts/supervise-launch.py`（常驻）与 `scripts/board-launch.py`（看板）。
diff --git a/session-mechanism/references/supervise-persistence.md b/session-mechanism/references/supervise-persistence.md
index 58d25ff..c1f8cac 100644
--- a/session-mechanism/references/supervise-persistence.md
+++ b/session-mechanism/references/supervise-persistence.md
@@ -188,7 +188,7 @@ $t=New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSp
 $s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries `
      -StartWhenAvailable -MultipleInstances IgnoreNew `
      -ExecutionTimeLimit (New-TimeSpan -Seconds 0) -Hidden
-$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest
+$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive   # 管理员加 `-RunLevel Highest`；非管理员⛔ 不带
 Register-ScheduledTask -TaskName 'collabd-keepalive-<区名>' -Action $a -Trigger $t -Settings $s -Principal $pr -Force
 ```
 
@@ -200,7 +200,7 @@ Register-ScheduledTask -TaskName 'collabd-keepalive-<区名>' -Action $a -Trigge
 | `-RepetitionInterval` | **5 分钟** | 这就是"复活"的全部来源；⛔ 别改成每分钟 |
 | `-ExecutionTimeLimit` | `0`（无时限） | `--supervise` 是**长驻**进程，默认 72 h ⇒ 到点被掐死；设 2 分钟 ⇒ 每 2 分钟重建一次＝另一种抖动 |
 | `-MultipleInstances` | `IgnoreNew` | 重复起 ⇒ 双写台账 |
-| `-Hidden` ＋ `Interactive` ＋ `Highest` | — | 缺 ⇒ 开机／登录后不启动；权限不足 |
+| `-Hidden` ＋ `Interactive` ＋ `-RunLevel` | 管理员带 `Highest`；非管理员⛔ 不带 | 缺 `-Hidden`／`Interactive` ⇒ 开机／登录后不启动；⚠️ **非管理员机上写死 `-RunLevel Highest` ⇒ 注册被拒**（`拒绝访问`，任务建不出来 —— 2026-10-12 实测） |
 | 🟠 `-RestartCount 999`／`-RestartInterval 1min` | **已去掉** | 旧写法。**每 5 分钟重复触发本身就提供重拉**；每分钟重启是多余的抖动（P0-74 记过"反复"的成因） |
 
 ### 2.4 ⚠️ 本机两条操作纪律
diff --git a/session-mechanism/scripts/collabctl.py b/session-mechanism/scripts/collabctl.py
index 14a1462..d868153 100644
--- a/session-mechanism/scripts/collabctl.py
+++ b/session-mechanism/scripts/collabctl.py
@@ -186,6 +186,27 @@ def _pyw() -> str:
     return p if os.path.isfile(p) else sys.executable
 
 
+def _admin_principal_flag() -> str:
+    """🔴 按**当前账户权限**给建任务用的 `New-ScheduledTaskPrincipal` 生成提权片段（2026-10-12 加）。
+
+    管理员（进程已提权）⇒ 返回 ` -RunLevel Highest`，**原行为不变**；
+    非管理员 ⇒ 返回空串（**整段去掉** `-RunLevel`，走普通权限）。
+    依据（2026-10-12 实测）：账户非管理员时写死 `-RunLevel Highest`
+    ⇒ `Register-ScheduledTask : 拒绝访问`（该机常驻因此没有自愈载体、死了没人拉）。
+
+    ⛔ **一次性判定**，不采用「先按 Highest 建、失败再重试」——
+    那会让每次多一次失败注册，日志噪声翻倍。
+    ⚠️ 判不出来（异常）⇒ 按**普通权限**走：宁可少一次提权，也要让任务建得成。
+    """
+    try:
+        import ctypes
+        if ctypes.windll.shell32.IsUserAnAdmin():
+            return " -RunLevel Highest"
+    except Exception:
+        pass
+    return ""
+
+
 def _ps(script: str) -> str:
     r"""跑一段 PowerShell，返回 stdout（失败返回空串，⛔ 不抛）。
 
@@ -486,9 +507,9 @@ def ensure_keepalive_tasks():
             "$s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries "
             "-StartWhenAvailable -MultipleInstances IgnoreNew "
             "-ExecutionTimeLimit (New-TimeSpan -Seconds 0) -Hidden;"
-            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest;"
+            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive%s;"
             "Register-ScheduledTask -TaskName '%s' -Action $a -Trigger $t -Settings $s -Principal $pr -Force | Out-Null"
-            % (pyw, launcher, wd, task))
+            % (pyw, launcher, wd, _admin_principal_flag(), task))
         made.append(task)
         _p("  ✓ 保活任务就绪：%s" % task)
     if os.path.isfile(BOARD_PY) and not ONLY_WS:
@@ -510,9 +531,9 @@ def ensure_keepalive_tasks():
                 "$s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries "
                 "-StartWhenAvailable -MultipleInstances IgnoreNew "
                 "-ExecutionTimeLimit (New-TimeSpan -Seconds 0) -Hidden;"
-                "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest;"
+                "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive%s;"
                 "Register-ScheduledTask -TaskName '%s' -Action $a -Trigger $t -Settings $s -Principal $pr -Force | Out-Null"
-                % (pyw, launcher, wd, BOARD_TASK))
+                % (pyw, launcher, wd, _admin_principal_flag(), BOARD_TASK))
             made.append(BOARD_TASK)
             _p("  ✓ 看板任务就绪：%s（经启动器 board-launch.py）" % BOARD_TASK)
         else:
diff --git a/session-mechanism/scripts/collabd.py b/session-mechanism/scripts/collabd.py
index db9100c..da9dcb6 100644
--- a/session-mechanism/scripts/collabd.py
+++ b/session-mechanism/scripts/collabd.py
@@ -726,6 +726,27 @@ def ensure_supervise(why: str = "", verify: bool = True) -> dict:
 
 
 
+def _admin_principal_flag() -> str:
+    """🔴 按**当前账户权限**给建任务用的 `New-ScheduledTaskPrincipal` 生成提权片段（2026-10-12 加）。
+
+    管理员（进程已提权）⇒ 返回 ` -RunLevel Highest`，**原行为不变**；
+    非管理员 ⇒ 返回空串（**整段去掉** `-RunLevel`，走普通权限）。
+    依据（2026-10-12 实测）：账户非管理员时写死 `-RunLevel Highest`
+    ⇒ `Register-ScheduledTask : 拒绝访问`（该机常驻因此没有自愈载体、死了没人拉）。
+
+    ⛔ **一次性判定**，不采用「先按 Highest 建、失败再重试」——
+    那会让每次多一次失败注册，日志噪声翻倍。
+    ⚠️ 判不出来（异常）⇒ 按**普通权限**走：宁可少一次提权，也要让任务建得成。
+    """
+    try:
+        import ctypes
+        if ctypes.windll.shell32.IsUserAnAdmin():
+            return " -RunLevel Highest"
+    except Exception:
+        pass
+    return ""
+
+
 def _escalate_to_keeper(detail: str = "") -> str:
     """**各工作区自我建立常驻**的落点（2026-10-04 用户口径，逐字）：
 
@@ -811,13 +832,13 @@ def _escalate_to_keeper(detail: str = "") -> str:
             "$s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries "
             "-DontStopIfGoingOnBatteries -StartWhenAvailable "
             "-ExecutionTimeLimit ([TimeSpan]::Zero) -MultipleInstances IgnoreNew -Hidden;"
-            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest;"
+            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive%s;"
             "Register-ScheduledTask -TaskName $n -Action $a -Trigger $t -Settings $s "
             "-Principal $pr -Force|Out-Null;"
             "Start-ScheduledTask -TaskName $n;"
             "$i=Get-ScheduledTaskInfo -TaskName $n;"
             "'OK State=' + (Get-ScheduledTask -TaskName $n).State + ' Last=' + $i.LastTaskResult"
-        ) % (_task, str(_pyw), str(_launcher), str(WS))
+        ) % (_task, str(_pyw), str(_launcher), str(WS), _admin_principal_flag())
         _r = subprocess.run(["powershell.exe", "-NoProfile", "-ExecutionPolicy", "Bypass",
                              "-Command", _ps], capture_output=True, timeout=180,
                             creationflags=0x08000000)   # CREATE_NO_WINDOW（⛔ 缺了会闪黑窗）
diff --git a/session-mechanism/scripts/keepalive.py b/session-mechanism/scripts/keepalive.py.retired-20261012
similarity index 100%
rename from session-mechanism/scripts/keepalive.py
rename to session-mechanism/scripts/keepalive.py.retired-20261012