diff --git a/docs/ios-relay-architecture.md b/docs/ios-relay-architecture.md
index 8cfb23c..8e65cb5 100644
--- a/docs/ios-relay-architecture.md
+++ b/docs/ios-relay-architecture.md
@@ -251,6 +251,14 @@ public protocol NodeTransport: Sendable {
 
 第 4 步是必须的：管理端口长期开着就等于在本方案之外又开了一个能注入受信设备的洞。
 
+> **实现修订（2026-09）**：窗口由 `msa-agent --pair` 显式开启（默认 `:3001`），且第 4 步由三个
+> 独立关闭条件保证——首次成功配对即关、失败尝试达 10 次即关、10 分钟无人配对即关。`appKxPub`
+> 仍按原样接收（线上格式不变），但响应方向改用手机请求临时 `ek` 后 agent 并不使用它。设备的中继
+> bearer 由 agent 在配对时生成并持久化于配置文件（0600 原子写），中继侧设备注册改为 agent 握手后
+> POST `/v1/agent/devices` 全量上报：中继重启可自愈，节点 destroy 设备列表后的下一次握手即吊销
+> 该节点上报的全部 bearer。操作员手写的 `MSA_DEVICES` 条目为 static，任何 agent 上报不得覆盖。
+> 代码：`agent/internal/pair/`、`relay/src/auth.js#registerDevices`。
+
 ## 8. 策略文件必须共享，不能各自实现
 
 `server/proxy/policy.js` 的 `DEFAULT_READ_PATHS` / `DEFAULT_WRITE_PATHS` 是本项目里最有价值的