@7n/rules 1.1.0 → 1.2.1

package/CHANGELOG.md

@@ -1,5 +1,23 @@
 # Changelog
 
+## [1.2.1] - 2026-07-14
+
+### Fixed
+
+- Bun-сумісність тестового прогону: namespace-імпорт zod (фантомний __esModule на ESM-неймспейсах ламає vitest-interop), явний env: process.env у spawnSync skills-cli (Bun дає дітям snapshot оточення), чистка bun-node-* shim-тек з PATH для дочірнього v8r (node-shebang під --bun резолвився в bun і падав на node:sea); тест run-v8r приведено до контракту verbose-виводу (#44); root scripts.test → bun run --bun vitest run
+- package-manifest: VALID_MAX_BUMPS → Set (oxlint prefer-set-has), дока maxBump освіжена
+
+## [1.2.0] - 2026-07-14
+
+### Added
+
+- `skill`-CLI: додано зовнішній Codex-раннер (`skill codex <id>` → `codex exec -`); Cursor-раннер (`skill cursor <id>`) більше не deprecated — обидва повноцінні альтернативи вбудованому `pi`. `n-taze` доповнено Rust/`cargo-edit`-гілкою (детекція `Cargo.toml`, `cargo upgrade --incompatible allow`, `cargo fmt`/`clippy`/`test`) поряд з існуючою npm/bun-гілкою.
+- `n-rules release`: додано `package.json#release.maxBump` — стеля на bump цього workspace (`major|minor|patch`); change-файл із `bump: major` понад стелею обрізається й друкує попередження, замість підняти major-версію. `@7n/rules` тепер зафіксований на `maxBump: minor` — власна major-версія пакета більше не змінюється автоматично через реліз-CI.
+
+### Removed
+
+- Команду `mt-run-node` (B2 executor-міст) видалено: fix-вузли MT-графа виконує вбудований шлях MT — підписочні CLI `claude|codex|cursor|pi` з user-level ENV-конфігом (`MT_AGENT_CLI`, `MT_CLOUD_AGENT_CLIS`, `MT_AGENT_CLI_MODEL_MAP`; локальні omlx — через pi.dev CLI), за mt ADR `260713-2110` «ACP — єдиний транспорт AI-викликів». `mt-tail` більше не конфігурує `node_executor` у `.mt.json`; тир-канон вузлів — `MIN|AVG|MAX`
+
 ## [1.1.0] - 2026-07-13
 
 ### Changed

package/bin/n-rules.js

@@ -1577,9 +1577,7 @@ try {
     if (ROOT_GUARDED_COMMANDS.has(command)) {
       assertCwdIsProjectRoot(effectiveRoot, describeRootGuardedAction(command))
     }
-    // mt-run-node — MT-екзекутор у worktree вузла: жодних side-effect-ів поза фіксом
-    // (devDeps-ensure мутив би package.json чужого worktree).
-    if (command !== 'mt-run-node') await ensureNRulesInRootDevDependencies(effectiveRoot)
+    await ensureNRulesInRootDevDependencies(effectiveRoot)
     // Підкоманди-оркестратори (hook/lint/skill/adr-normalize-local/taze/release тощо)
     // можуть спавнити внутрішню agent/LLM-сесію — ADR Stop-hooks (capture/normalize)
     // мають пропустити її як технічний шум, не людську думку (spec 2026-06-30).
@@ -1665,14 +1663,6 @@ try {
 
         break
       }
-      case 'mt-run-node': {
-        // B2 executor-міст (Фаза B): MT node_executor спавнить це для fix-вузла.
-        // Виконує вузол нашим pi-harness (тир-канон); stdout={applied,touchedFiles}.
-        const { runNodeCli } = await import('../scripts/lib/lint-surface/mt-run-node.mjs')
-        process.exitCode = await runNodeCli(args)
-
-        break
-      }
       case undefined:
       case '': {
         await runSync()

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.1.0",
+  "version": "1.2.1",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",
@@ -20,6 +20,9 @@
     "type": "git",
     "url": "git+https://github.com/nitra/7n-rules.git"
   },
+  "release": {
+    "maxBump": "minor"
+  },
   "bin": {
     "n-rules": "bin/n-rules.js",
     "n-cursor": "bin/n-rules.js"

package/rules/changelog/lib/docs/package-manifest.md

@@ -3,7 +3,7 @@ type: JS Module
 title: package-manifest.mjs
 resource: npm/rules/changelog/lib/package-manifest.mjs
 docgen:
-  crc: ced8ad49
+  crc: 10bad2ce
 ---
 
 Модуль `package-manifest.mjs` реалізує **уніфіковану абстракцію маніфесту пакета** для перевірок changelog у багатомовному монорепо. Він приховує відмінності між двома типами маніфестів:
@@ -17,7 +17,7 @@ docgen:
 2. **Читання маніфесту воркспейсу** в єдиній структурі `PackageManifest` (з пріоритетом `package.json` над `pyproject.toml`).
 3. **Виявлення коренів усіх пакетів монорепо**: npm-воркспейси через скрипт `workspaces.mjs` + автоматичний пошук Python-проєктів за `pyproject.toml`.
 
-Базова мета — дати правилам категорії `changelog` єдину модель «пакет = (kind, ws, name, version, registryPublishable)», незалежно від мови.
+Базова мета — дати правилам категорії `changelog` єдину модель «пакет = (kind, ws, name, version, registryPublishable, maxBump)», незалежно від мови.
 
 ## Експорти / API
 
@@ -44,12 +44,14 @@ docgen:
  * @property {string | null} version      semver-рядок
  * @property {boolean} registryPublishable чи застосовується режим порівняння з реєстром
  * @property {string[] | null} [npmFiles] лише npm: 'files' з package.json
+ * @property {'major' | 'minor' | 'patch' | null} maxBump стеля для 'n-rules release' (з 'package.json#release.maxBump'); null — без обмеження
  */
 ```
 
 ### Константи модуля
 
 - `PYPROJECT_GLOB_IGNORE = ['**/node_modules/**', '**/.git/**', '**/.venv/**', '**/venv/**']` — патерни, що **виключаються** під час сканування `pyproject.toml` глобом, щоб не зачіпати чужі залежності та віртуальні середовища.
+- `VALID_MAX_BUMPS` — `Set` дозволених значень `release.maxBump` (`'major' | 'minor' | 'patch'`); будь-яке інше значення тихо ігнорується (`maxBump: null`).
 
 ## Функції
 
@@ -93,14 +95,14 @@ docgen:
      - Читає текст через `readFile(pkgPath, 'utf8')` і парсить як JSON.
      - Якщо JSON — не об'єкт (null, масив, примітив), повертає `null`.
      - Обчислює `registryPublishable = name є непорожнім рядком && private !== true && files є масивом`. Тобто пакет вважається «публікованим у реєстр», тільки якщо в `package.json` явно вказано непорожній `name`, не зведено `private: true`, і визначено поле `files` (whitelist того, що публікується).
-     - Повертає об'єкт із `kind: 'npm'`, `manifestRel: 'package.json'`, з `name`/`version` (тільки якщо вони — рядки, інакше `null`), `registryPublishable`, `npmFiles = pkg.files` або `null`.
+     - Повертає об'єкт із `kind: 'npm'`, `manifestRel: 'package.json'`, з `name`/`version` (тільки якщо вони — рядки, інакше `null`), `registryPublishable`, `npmFiles = pkg.files` або `null`, а також `maxBump` — валідне значення `package.json#release.maxBump` (`major`/`minor`/`patch`) або `null`, якщо поле відсутнє, не рядок чи поза дозволеним списком.
      - Будь-яка помилка читання/парсингу JSON у блоці `try` → повертає `null` (catch без логування).
   2. **Гілка Python:**
      - Складає шлях `cwd/ws/pyproject.toml`.
      - `existsSync` → якщо файлу немає, повертає `null`.
      - Читає файл і викликає `parsePyprojectFields`.
      - `registryPublishable = Boolean(name && version)` — для Python публікація в PyPI потребує лише валідних `name` і `version` (PyPI не має аналога `files` whitelist).
-     - Повертає об'єкт із `kind: 'python'`, `manifestRel: 'pyproject.toml'`, `npmFiles: null`.
+     - Повертає об'єкт із `kind: 'python'`, `manifestRel: 'pyproject.toml'`, `npmFiles: null`, `maxBump: null` (стеля бампа підтримується лише для npm-маніфестів).
 - **Side effects:**
   - Синхронний `existsSync` (двічі: на `package.json` і `pyproject.toml`).
   - Асинхронне читання файлу через `fs/promises.readFile`.

package/rules/changelog/lib/package-manifest.mjs

@@ -23,9 +23,24 @@ import { getMonorepoPackageRootDirs, isIgnoredWorkspaceRoot } from '../../../scr
  * @property {string | null} version semver-рядок
  * @property {boolean} registryPublishable чи застосовується режим порівняння з реєстром
  * @property {string[] | null} [npmFiles] лише npm: `files` з package.json
+ * @property {'major' | 'minor' | 'patch' | null} maxBump стеля для `n-rules release` (з `package.json#release.maxBump`); `null` — без обмеження
  */
 
 const PYPROJECT_GLOB_IGNORE = ['**/node_modules/**', '**/.git/**', '**/.venv/**', '**/venv/**']
+const VALID_MAX_BUMPS = new Set(['major', 'minor', 'patch'])
+
+/**
+ * @param {Record<string, unknown>} pkg розпарсений package.json
+ * @returns {'major' | 'minor' | 'patch' | null} стеля бампа з `release.maxBump`, якщо валідна
+ */
+function maxBumpFromPackageJson(pkg) {
+  const release = pkg.release
+  if (!release || typeof release !== 'object' || Array.isArray(release)) return null
+  const value = /** @type {Record<string, unknown>} */ (release).maxBump
+  return typeof value === 'string' && VALID_MAX_BUMPS.has(value)
+    ? /** @type {'major' | 'minor' | 'patch'} */ (value)
+    : null
+}
 
 /**
  * @param {unknown} doc розпарсений pyproject.toml
@@ -93,7 +108,8 @@ export async function readPackageManifest(ws, cwd = process.cwd()) {
         name: typeof pkg.name === 'string' ? pkg.name : null,
         version: typeof pkg.version === 'string' ? pkg.version : null,
         registryPublishable,
-        npmFiles: Array.isArray(pkg.files) ? pkg.files : null
+        npmFiles: Array.isArray(pkg.files) ? pkg.files : null,
+        maxBump: maxBumpFromPackageJson(pkg)
       }
     } catch {
       return null
@@ -113,7 +129,8 @@ export async function readPackageManifest(ws, cwd = process.cwd()) {
     name: fields.name,
     version: fields.version,
     registryPublishable,
-    npmFiles: null
+    npmFiles: null,
+    maxBump: null
   }
 }
 

package/rules/release/docs/release.md

@@ -3,9 +3,7 @@ type: JS Module
 title: release.mjs
 resource: npm/rules/release/release.mjs
 docgen:
-  crc: 475bce65
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 100
+  crc: 3ac9ee4c
 ---
 
 Файл автоматизує процес випуску версій. Він агрегує зміна-файли для всіх робочих просторів у `version-bump` та `CHANGELOG`, комітить зміни, ставить тег `<name>@<version>` та видаляє використані зміна-файли. Цей процес виконується у CI на гілці `main` (n-rules-release-design, варіант A). Публічні функції, що надає модуль, — `release` та `runReleaseCli`.
@@ -13,6 +11,9 @@ docgen:
 ## Поведінка
 
 release агрегує change-файли для всіх робочих просторів, оновлює версії в маніфестах, додає секції до `CHANGELOG.md`, видаляє використані change-файли, створює коміт та анотовані теги для всіх зібраних релізів, а потім намагається пушити їх у апстрім з повторними спробами.
+
+Обчислений bump обрізається зверху стелею `package.json#release.maxBump` робочого простору: наприклад, `major`-change-файл при стелі `minor` дає лише minor-реліз. Коли стеля реально спрацювала, у консоль друкується попередження з початковим bump, стелею та фінальною версією.
+
 runReleaseCli виконує процес релізу, викликаючи функцію release, та виводить відповідний статус у консоль.
 
 ## Публічний API

package/rules/release/lib/aggregate.mjs

@@ -30,6 +30,20 @@ export function maxBump(bumps) {
   return VALID_BUMPS.find(level => bumps.includes(level)) ?? 'patch'
 }
 
+/**
+ * Обмежує bump зверху стелею (`package.json#release.maxBump`) — наприклад, не дає
+ * `major`-change-файлу підняти major-версію пакета, навіть якщо його явно поставили.
+ * @param {string} bump обчислений bump (`major|minor|patch`)
+ * @param {string | null} [cap] стеля (`major|minor|patch`) або `null` — без обмеження
+ * @returns {string} bump не суворіший за `cap`
+ */
+export function capBump(bump, cap) {
+  if (!cap) return bump
+  const bumpRank = VALID_BUMPS.indexOf(bump)
+  const capRank = VALID_BUMPS.indexOf(cap)
+  return bumpRank < capRank ? cap : bump
+}
+
 /**
  * @param {string} version нова версія
  * @param {string} date `YYYY-MM-DD`
@@ -68,11 +82,13 @@ export function prependChangelogSection(existingText, sectionBlock) {
  * @param {string} params.currentVersion поточна version маніфесту
  * @param {Array<{ file: string, entry: { bump: string, section: string, description: string } }>} params.changeFiles change-файли workspace
  * @param {string} params.date `YYYY-MM-DD`
+ * @param {string | null} [params.maxBumpCap] стеля bump з `package.json#release.maxBump`; `null` — без обмеження
  * @returns {{ newVersion: string, sectionBlock: string, consumedFiles: string[] } | null} результат або null, якщо змін нема
  */
-export function aggregateWorkspace({ currentVersion, changeFiles, date }) {
+export function aggregateWorkspace({ currentVersion, changeFiles, date, maxBumpCap = null }) {
   if (changeFiles.length === 0) return null
-  const newVersion = bumpVersion(currentVersion, maxBump(changeFiles.map(c => c.entry.bump)))
+  const bump = capBump(maxBump(changeFiles.map(c => c.entry.bump)), maxBumpCap)
+  const newVersion = bumpVersion(currentVersion, bump)
   const sectionBlock = renderChangelogSection(
     newVersion,
     date,

package/rules/release/lib/docs/aggregate.md

@@ -3,7 +3,7 @@ type: JS Module
 title: aggregate.mjs
 resource: npm/rules/release/lib/aggregate.mjs
 docgen:
-  crc: 1f78a0fe
+  crc: ff9ff216
 ---
 
 Модуль `aggregate.mjs` забезпечує **агрегацію change-файлів одного workspace** у дві основні сутності:
@@ -23,7 +23,8 @@ docgen:
 | `maxBump(bumps)`                                            | функція | Найвищий пріоритет бампа у списку (`major` > `minor` > `patch`)                  |
 | `renderChangelogSection(version, date, entries)`            | функція | Рендер однієї версійної секції у markdown                                        |
 | `prependChangelogSection(existingText, sectionBlock)`       | функція | Вставка нової секції зверху наявного `CHANGELOG.md`                              |
-| `aggregateWorkspace({ currentVersion, changeFiles, date })` | функція | Високорівневе об’єднання change-файлів workspace у `newVersion` + `sectionBlock` |
+| `capBump(bump, cap)`                                        | функція | Обрізає bump зверху стелею `release.maxBump` (`major` → `minor` тощо)            |
+| `aggregateWorkspace({ currentVersion, changeFiles, date, maxBumpCap })` | функція | Високорівневе об’єднання change-файлів workspace у `newVersion` + `sectionBlock` |
 
 Усі експорти — **іменовані** (`export function …`). Default-export відсутній.
 
@@ -76,6 +77,14 @@ docgen:
 - `maxBump(['patch'])` → `'patch'`
 - `maxBump([])` → `'patch'` (через fallback `?? 'patch'`)
 
+### `capBump(bump, cap)`
+
+**Сигнатура:** `capBump(bump: string, cap?: string | null): string`
+
+Обмежує обчислений bump **зверху** стелею з `package.json#release.maxBump`: якщо `bump` суворіший за `cap` (наприклад, `major` при `cap: 'minor'`), повертається `cap`; інакше — `bump` без змін. `cap` у `null`/`undefined` вимикає обмеження. Так пакет може заборонити автоматичну зміну власної major-версії, навіть якщо change-файл явно поставив `major`.
+
+**Side effects:** немає.
+
 ### `renderChangelogSection(version, date, entries)`
 
 **Сигнатура:** `renderChangelogSection(version: string, date: string, entries: Array<{ section: string, description: string }>): string`
@@ -152,7 +161,7 @@ docgen:
 - `existingText = 'тут нічого корисного'`:
   - вихід: `# Changelog\n\n<sectionBlock>` (попередній вміст відкидається).
 
-### `aggregateWorkspace({ currentVersion, changeFiles, date })`
+### `aggregateWorkspace({ currentVersion, changeFiles, date, maxBumpCap })`
 
 **Сигнатура:**
 
@@ -161,6 +170,7 @@ aggregateWorkspace({
   currentVersion: string,
   changeFiles: Array<{ file: string, entry: { bump: string, section: string, description: string } }>,
   date: string,
+  maxBumpCap?: string | null,
 }): { newVersion: string, sectionBlock: string, consumedFiles: string[] } | null
 ```
 
@@ -169,12 +179,13 @@ aggregateWorkspace({
 - `currentVersion` — поточна версія маніфесту workspace (`x.y.z`).
 - `changeFiles` — масив об’єктів, що відповідає виходу `readChangeFiles` з `change-file.mjs`. Кожен елемент має `file` (ім’я файлу `.md`) та `entry` (розпарсений frontmatter + опис).
 - `date` — рядок дати `YYYY-MM-DD` для секції CHANGELOG.
+- `maxBumpCap` — стеля bump з `package.json#release.maxBump` (`'major' | 'minor' | 'patch'`); `null`/відсутній — без обмеження.
 
 **Повертає:**
 
 - `null`, якщо `changeFiles.length === 0` (явна ознака «нема чого релізити»).
 - Інакше — об’єкт:
-  - `newVersion` — результат `bumpVersion(currentVersion, maxBump(<усі bumps>))`.
+  - `newVersion` — результат `bumpVersion(currentVersion, capBump(maxBump(<усі bumps>), maxBumpCap))`.
   - `sectionBlock` — результат `renderChangelogSection(newVersion, date, <усі entries>)`.
   - `consumedFiles` — імена change-файлів (`c.file`), які мають бути видалені викликачем після успішного запису маніфесту й `CHANGELOG.md`.
 
@@ -211,7 +222,7 @@ aggregateWorkspace({
 1. **Збір change-файлів.** Викликач звертається до `readChangeFiles(ws, cwd)` з `change-file.mjs`, отримуючи `Array<{ file, entry }>` — усі `.md` із `<ws>/.changes/`, відсортовані за іменем (тобто де-факто за `timestamp`).
 2. **Отримання поточної версії.** Викликач читає `package.json` (або інший маніфест) і дістає `currentVersion`.
 3. **Дата.** Викликач формує `date = new Date().toISOString().slice(0, 10)` або еквівалент.
-4. **Агрегація.** Виклик `aggregateWorkspace({ currentVersion, changeFiles, date })`:
+4. **Агрегація.** Виклик `aggregateWorkspace({ currentVersion, changeFiles, date, maxBumpCap })`:
    - Якщо повертає `null` — викликач пропускає workspace (нема `change-файлів`).
    - Якщо повертає об’єкт — отримуємо `newVersion`, `sectionBlock`, `consumedFiles`.
 5. **Оновлення `CHANGELOG.md`.** Викликач читає поточний `CHANGELOG.md` (або порожній рядок, якщо файлу нема), застосовує `prependChangelogSection(existingText, sectionBlock)` і записує результат на диск.
@@ -244,7 +255,7 @@ aggregateWorkspace({
 5. Експортує функцію `prependChangelogSection(existingText, sectionBlock)`, яка:
    - Якщо `existingText.trimStart()` не починається з `# Changelog`, повертає `# Changelog\n\n<sectionBlock>`.
    - Інакше відокремлює перший рядок (`head`) і решту (`rest`, із `trimStart`) і повертає `head + '\n\n' + sectionBlock + '\n' + rest`.
-6. Експортує функцію `aggregateWorkspace({ currentVersion, changeFiles, date })`, яка:
+6. Експортує функцію `aggregateWorkspace({ currentVersion, changeFiles, date, maxBumpCap })`, яка:
    - Повертає `null`, якщо `changeFiles` порожній.
-   - Інакше повертає `{ newVersion, sectionBlock, consumedFiles }`, де `newVersion = bumpVersion(currentVersion, maxBump(<усі c.entry.bump>))`, `sectionBlock = renderChangelogSection(newVersion, date, <усі c.entry>)`, `consumedFiles = <усі c.file>`.
+   - Інакше повертає `{ newVersion, sectionBlock, consumedFiles }`, де `newVersion = bumpVersion(currentVersion, capBump(maxBump(<усі c.entry.bump>), maxBumpCap))`, `sectionBlock = renderChangelogSection(newVersion, date, <усі c.entry>)`, `consumedFiles = <усі c.file>`.
 7. Не виконує жодного I/O й не залежить від `node:*`.

package/rules/release/release.mjs

@@ -9,7 +9,7 @@ import { join } from 'node:path'
 import { env } from 'node:process'
 
 import { getMonorepoProjectRootDirs, readPackageManifest } from '../changelog/lib/package-manifest.mjs'
-import { aggregateWorkspace, prependChangelogSection } from './lib/aggregate.mjs'
+import { aggregateWorkspace, capBump, maxBump, prependChangelogSection } from './lib/aggregate.mjs'
 import { CHANGES_DIR, readChangeFiles } from './lib/change-file.mjs'
 import { defaultRunGit, synthesizeChangeFromCommits } from './lib/fallback.mjs'
 
@@ -120,8 +120,14 @@ async function processReleaseWorkspace(ws, cwd, date, runGit) {
   if (!manifest || !manifest.version) return null
 
   const changeFiles = await collectChangeFiles(cwd, manifest, runGit)
-  const agg = aggregateWorkspace({ currentVersion: manifest.version, changeFiles, date })
+  const requestedBump = changeFiles.length > 0 ? maxBump(changeFiles.map(c => c.entry.bump)) : null
+  const agg = aggregateWorkspace({ currentVersion: manifest.version, changeFiles, date, maxBumpCap: manifest.maxBump })
   if (!agg) return null
+  if (requestedBump && capBump(requestedBump, manifest.maxBump) !== requestedBump) {
+    console.warn(
+      `⚠️  ${manifest.ws}: bump «${requestedBump}» обмежено стелею «${manifest.maxBump}» (package.json#release.maxBump) → ${agg.newVersion}`
+    )
+  }
 
   await writeManifestVersion(cwd, manifest, agg.newVersion)
   await prependWorkspaceChangelog(cwd, ws, agg.sectionBlock)

package/rules/text/run-v8r/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/text/run-v8r/main.mjs
 docgen:
-  crc: f6f78d26
+  crc: 804dce1c
 ---
 
 ## Огляд
@@ -23,6 +23,7 @@ docgen:
 - `runV8rWithGlobs(globs?)` — послідовно запускає `v8r` для кожного glob-у з `V8R_CONFIG_FILE`, вказаним на резольвнутий конфіг; при коді 0/98 вивід приховано, інакше друкується й повертається код першого невдалого прогону.
 - `runV8rWithFiles(files)` — delta-режим: один запуск `v8r` по конкретних існуючих шляхах (код 98 неможливий), порожній список — одразу 0.
 - `warnAboutRemoteSchemaFallback(stderrText)` — парсить stderr `v8r` і на кожен файл, чию схему знайдено мережевим fallback-ом (schemastore, не customCatalog), друкує в stdout пораду додати схему в каталог.
+- `stripBunNodeShimDirs(pathValue)` — прибирає з PATH shim-теки `bun-node-*`, які `bun run --bun` додає з підміненим `node`: дочірній `v8r` (node-shebang) інакше виконувався б під bun і падав на непідтримуваному `node:sea`. Дочірній процес `v8r` завжди отримує очищений PATH.
 - `lint(ctx)` — detector `text/run-v8r`: `ctx.files` → delta по відфільтрованих розширеннях, без `ctx.files` → full за `DEFAULT_V8R_GLOBS`.
 
 ## Публічний API
@@ -32,6 +33,7 @@ docgen:
 - `writeResolvedV8rConfig()` — матеріалізація тимчасового конфігу, повертає його шлях.
 - `runV8rWithGlobs(globs?)`, `runV8rWithFiles(files)` — точки входу перевірки (full/delta).
 - `warnAboutRemoteSchemaFallback(stderrText)` — попередження про мережевий fallback схем.
+- `stripBunNodeShimDirs(pathValue)` — PATH без shim-тек `bun-node-*` (для дочірнього v8r).
 - `lint(ctx)` — інтеграція в lint-пайплайн.
 
 ## Гарантії поведінки

package/rules/text/run-v8r/main.mjs

@@ -47,7 +47,8 @@
 import { spawnSync } from 'node:child_process'
 import { existsSync, readFileSync, writeFileSync } from 'node:fs'
 import { tmpdir } from 'node:os'
-import { dirname, isAbsolute, join } from 'node:path'
+import { basename, delimiter, dirname, isAbsolute, join } from 'node:path'
+import { env } from 'node:process'
 import { fileURLToPath } from 'node:url'
 
 import { isRunAsCli } from '../../../scripts/cli-entry.mjs'
@@ -150,6 +151,21 @@ export function warnAboutRemoteSchemaFallback(stderrText) {
   }
 }
 
+/**
+ * Прибирає з PATH shim-теки `bun-node-*`: їх додає `bun run --bun`, підміняючи `node` через
+ * symlink на bun. `bun x v8r` поважає node-shebang і бере `node` з PATH — під shim v8r виконується bun-ом
+ * і падає на непідтримуваному `node:sea`, тому дочірній v8r має бачити справжній node.
+ * @param {string | undefined} pathValue значення PATH батьківського процесу
+ * @returns {string | undefined} PATH без shim-тек (undefined — якщо PATH не задано)
+ */
+export function stripBunNodeShimDirs(pathValue) {
+  if (!pathValue) return pathValue
+  return pathValue
+    .split(delimiter)
+    .filter(entry => !basename(entry).startsWith('bun-node-'))
+    .join(delimiter)
+}
+
 /**
  * Один виклик `bun x v8r <targets...>` з підготовленим `customCatalog`-конфігом.
  * @param {string[]} targets glob-и або конкретні шляхи файлів
@@ -165,7 +181,7 @@ function runOneV8rInvocation(targets, configPath, verbose = false) {
     maxBuffer: 50 * 1024 * 1024,
     shell: false,
     stdio: ['ignore', 'pipe', 'pipe'],
-    env: { ...process.env, V8R_CONFIG_FILE: configPath }
+    env: { ...env, PATH: stripBunNodeShimDirs(env.PATH), V8R_CONFIG_FILE: configPath }
   })
 
   if (result.error) {

package/scripts/docs/skills-cli.md

@@ -3,13 +3,13 @@ type: JS Module
 title: skills-cli.mjs
 resource: npm/scripts/skills-cli.mjs
 docgen:
-  crc: 5d954e7d
+  crc: 30b6209c
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
 ---
 
 ## Огляд
 
-Цей модуль забезпечує керування функціоналом скілів пакета `@7n/rules`. Він каталогізує доступні скіли на основі наявності файлу `SKILL.md` у відповідному пакеті. Для виконання скілу збирається контекст, що включає інструкції скілу та інформацію з конфігураційних файлів проєкту: `package.json`, `tsconfig.json`, `.n-rules.json` та `main.json`. Система дозволяє або вивести список доступних скілів (`npx @7n/rules skill list`), або ініціювати виконання обраного скілу (наприклад, `npx @7n/rules skill pi taze`), з можливістю передачі додаткових аргументів. Пріоритетним механізмом виконання є інтеграція з вбудованим pi-агентом, тоді як для забезпечення сумісності підтримуються застарілі виклики через зовнішні CLI (`cursor`, `claude`).
+Цей модуль забезпечує керування функціоналом скілів пакета `@7n/rules`. Він каталогізує доступні скіли на основі наявності файлу `SKILL.md` у відповідному пакеті. Для виконання скілу збирається контекст, що включає інструкції скілу та інформацію з конфігураційних файлів проєкту: `package.json`, `tsconfig.json`, `.n-rules.json` та `main.json`. Система дозволяє або вивести список доступних скілів (`npx @7n/rules skill list`), або ініціювати виконання обраного скілу (наприклад, `npx @7n/rules skill pi taze`), з можливістю передачі додаткових аргументів. Пріоритетним механізмом виконання є інтеграція з вбудованим pi-агентом; поряд з ним підтримуються повноцінні зовнішні CLI-раннери (`cursor`, `codex`) і deprecated `claude`.
 
 ## Поведінка
 
@@ -18,7 +18,7 @@ normalizeSkillId знімає префікс `n-` з імені скілу дл
 listSkillIds отримує відсортований список ID скілів, які мають файл `SKILL.md` у вказаній директорії скілів.
 buildSkillPrompt збирає комплексний промпт для виконання скілу, об'єднуючи інструкцію скілу з конфігураційними файлами проєкту, такими як `package.json`, `tsconfig.json` та `.n-rules.json`.
 resolveBundledPackageRoot визначає абсолютний шлях до кореня пакету `@7n/rules`, використовуючи інформацію про поточний модуль.
-runSkillsCli виконує логіку командного інтерфейсу для керування скілами: може вивести список доступних скілів, зібрати промпт для скілу або ініціювати його виконання через вбудований pi-агент, використовуючи зовнішні CLI як резервний варіант.
+runSkillsCli виконує логіку командного інтерфейсу для керування скілами: може вивести список доступних скілів, зібрати промпт для скілу або ініціювати його виконання через вбудований pi-агент чи один із зовнішніх CLI-раннерів (`cursor`, `codex`, `claude`).
 
 ## Публічний API
 
@@ -26,10 +26,10 @@ runSkillsCli виконує логіку командного інтерфейс
 - listSkillIds — повертає відсортований список id скілів, що мають `SKILL.md`.
 - buildSkillPrompt — збирає промпт виконання: інструкція скілу + контекст проєкту (`package.json`, `tsconfig.json`, `.n-rules.json`); кидає, якщо скіл невідомий.
 - resolveBundledPackageRoot — абсолютний шлях до кореня встановленого пакета `@7n/rules`.
-- runSkillsCli — асинхронний entrypoint підкоманди `skill`: `list`, друк промпта на stdout, або виконання через `pi` (рекомендовано), `cursor`/`claude` (deprecated). Повертає exit-код.
+- runSkillsCli — асинхронний entrypoint підкоманди `skill`: `list`, друк промпта на stdout, або виконання через `pi` (рекомендовано), `cursor`/`codex` (зовнішні CLI), `claude` (deprecated). Повертає exit-код.
 
 ## Гарантії поведінки
 
-- Сам модуль лише читає файли й збирає промпт; **виконання** делегується агенту: `pi` (вбудований, мутує дерево, запускає bash) або зовнішнім `cursor`/`claude` CLI.
+- Сам модуль лише читає файли й збирає промпт; **виконання** делегується агенту: `pi` (вбудований, мутує дерево, запускає bash) або зовнішнім `cursor`/`codex`/`claude` CLI (промпт передається через stdin: `cursor-agent -p`, `codex exec -`, `claude -p`).
 - Тира моделі для `pi`-runner береться з `main.json.tier` скіла (дефолт `max`).
-- `cursor`/`claude` — deprecated: друкують попередження й лишаються як fallback, доки не налаштовано pi-модель.
+- Лише `claude` — deprecated: друкує попередження й лишається як fallback, доки не налаштовано pi-модель. `cursor`/`codex` — повноцінні раннери без попередження.

package/scripts/lib/adr/docs/normalize-pipeline.md

@@ -3,7 +3,7 @@ type: JS Module
 title: normalize-pipeline.mjs
 resource: npm/scripts/lib/adr/normalize-pipeline.mjs
 docgen:
-  crc: 9c2cbb81
+  crc: f8bd18e2
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
 ---
 

package/scripts/lib/adr/normalize-pipeline.mjs

@@ -23,7 +23,9 @@
  *
  * Повертає той самий operations[]-контракт, що й single-shot — apply-логіка спільна.
  */
-import { z } from 'zod'
+// Namespace-імпорт замість `import { z }`: Bun показує фантомний `__esModule` на ESM-неймспейсах,
+// через що interop у vitest приймає default-експорт zod за CJS-обгортку і губить named-експорт `z`.
+import * as z from 'zod'
 import { runOneShot } from '@7n/llm-lib/one-shot'
 import { startChain } from '@7n/llm-lib/chain'
 import { CLOUD_MIN, resolveModel } from '@7n/llm-lib/model-tiers'

package/scripts/lib/lint-surface/docs/index.md

@@ -12,7 +12,6 @@ resource: npm/scripts/lib/lint-surface/
 | [detect.mjs](detect.md)                                     | JS Module |
 | [ladder.mjs](ladder.md)                                     | JS Module |
 | [lint-lock.mjs](lint-lock.md)                               | JS Module |
-| [mt-run-node.mjs](mt-run-node.md)                           | JS Module |
 | [mt-tail.mjs](mt-tail.md)                                   | JS Module |
 | [policy-lint-adapter.mjs](policy-lint-adapter.md)           | JS Module |
 | [policy-test-step.mjs](policy-test-step.md)                 | JS Module |

package/scripts/lib/lint-surface/docs/mt-tail.md

@@ -3,7 +3,7 @@ type: JS Module
 title: mt-tail.mjs
 resource: npm/scripts/lib/lint-surface/mt-tail.mjs
 docgen:
-  crc: a84afa7f
+  crc: df14bc2e
   model: openai-codex/gpt-5.4-mini
   score: 100
   judgeModel: openai-codex/gpt-5.4-mini
@@ -11,7 +11,7 @@ docgen:
 
 ## Огляд
 
-Файл матеріалізує lint-хвіст у пласкі root-level MT-вузли `mt/<node>/task.md` і `a.md` без composite-плану й `spawn-approve`, щоб окремі fix-правки далі виконував orchestrator MT за контрактом `graph.md` з `Task`, `Done when` і `Check`. Ядро модулю охоплює кластеризацію, сигнатуру вузла та формування `buildTaskMd`, `buildCheckCommand` і `buildAgentFlag`, а конфіг, на який він спирається, — `.mt.json`. Єдиний гейт — onboarded-репо (наявність `.mt.json`, перевіряє `mtPreflight`); якщо MT недоступний, він працює fail-open і повертає `{ materialized: false }`, не валячи lint. Широкі фікси (кількість target-файлів від порога `N_LINT_MT_AUDIT_FILES`, дефолт 4, або whole-repo) отримують `audit: required` — collateral-контроль штатним MT-аудитом (Фаза C); вузькі — `optional`.
+Файл матеріалізує lint-хвіст у пласкі root-level MT-вузли `mt/<node>/task.md` і `a.md` без composite-плану й `spawn-approve`, щоб окремі fix-правки далі виконував orchestrator MT за контрактом `graph.md` з `Task`, `Done when` і `Check`. Ядро модулю охоплює кластеризацію, сигнатуру вузла та формування `buildTaskMd`, `buildCheckCommand` і `buildAgentFlag`, а конфіг, на який він спирається, — `.mt.json`. Єдиний гейт — onboarded-репо (наявність `.mt.json`, перевіряє `mtPreflight`); якщо MT недоступний, він працює fail-open і повертає `{ materialized: false }`, не валячи lint. Широкі фікси (кількість target-файлів від порога `N_LINT_MT_AUDIT_FILES`, дефолт 4, або whole-repo) отримують `audit: required` — collateral-контроль штатним MT-аудитом (Фаза C); вузькі — `optional`. Вузли виконує вбудований шлях MT — підписочні CLI (`claude`|`codex`|`cursor`|`pi`) з user-level ENV-конфігом (`MT_AGENT_CLI`, `MT_CLOUD_AGENT_CLIS`, `MT_AGENT_CLI_MODEL_MAP`); власний `node_executor` (mt-run-node) видалено за mt ADR `260713-2110`.
 
 ## Поведінка
 
@@ -33,7 +33,6 @@ docgen:
 - buildTaskMd — генерує канонічний `task.md` для fix-вузла за контрактом `graph.md`; час не вставляє, `budgetSec` може бути заданий окремо.
 - buildAgentFlag — пише прапор `a.md`, який позначає агента-виконавця; tier перетворює на `model_tier`.
 - mtPreflight — перевіряє, чи є MT CLI+addon і чи репо вже onboarded через `.mt.json`.
-- ensureNodeExecutor — гарантує, що `.mt.json` задає `node_executor` = наша команда (B2), щоб вузли виконувались нашим harness, а не Claude-шляхом MT; ідемпотентно, не перезаписує наявне налаштування.
 - materializeTail — перетворює хвіст порушень на MT fix-вузли; якщо MT недоступний, не валить lint і повертає `{ materialized: false }`.
 
 ## Гарантії поведінки

package/scripts/lib/lint-surface/docs/run-fix.md

@@ -3,7 +3,7 @@ type: JS Module
 title: run-fix.mjs
 resource: npm/scripts/lib/lint-surface/run-fix.mjs
 docgen:
-  crc: d26e2efc
+  crc: 0a7a2c75
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
 ---
 

package/scripts/lib/lint-surface/run-fix.mjs

@@ -584,9 +584,9 @@ async function renderRemaining(failing, cwd, log, verbose = false) {
 /**
  * Фаза B: матеріалізує невиправлений хвіст у вузли MT-графа. Єдиний гейт —
  * **onboarded-репо** (наявність `.mt.json`, перевіряє preflight у materializeTail):
- * не-MT-репо → fail-open skip; MT-репо → хвіст стає графом задач, executor яких —
- * наш pi-harness (`ensureNodeExecutor` конфігурує `node_executor`). Env-прапорець
- * скасовано (rollout-guard більше не потрібен — B2/executor-міст у main). Fail-open
+ * не-MT-репо → fail-open skip; MT-репо → хвіст стає графом задач, які виконує
+ * вбудований шлях MT (підписочні CLI claude|codex|cursor|pi, user-level ENV
+ * `MT_AGENT_CLI*` — mt ADR 260713-2110; власний node_executor видалено). Fail-open
  * на всіх рівнях: lint ніколи не падає через MT.
  * @param {LintViolation[]} remaining Невиправлені порушення (з renderRemaining).
  * @param {string} cwd Робоча директорія.

package/scripts/skills-cli.mjs

@@ -3,15 +3,16 @@
  *
  * Скіли читаються з `npm/skills/<id>/SKILL.md` установленого пакета (або кешу `npx`).
  * Промпт збирає інструкцію скілу + контекст поточного CWD (`package.json`, `tsconfig.json`,
- * `.n-rules.json`) — далі stdout або виконання через вбудований pi-агент
- * (рекомендовано), чи deprecated-делегування в `cursor-agent` / `claude`.
+ * `.n-rules.json`) — далі stdout або виконання через один з раннерів: вбудований
+ * pi-агент, чи зовнішній CLI (`cursor-agent`, `codex exec`, або deprecated `claude`).
  *
  * Підтримувані формати:
  *   `npx \@7n/rules skill list`
  *   `npx \@7n/rules skill taze`
  *   `npx \@7n/rules skill pi taze` — виконати через вбудований pi-агент (рекомендовано)
  *   `npx \@7n/rules skill pi taze "онови залежності"`
- *   `npx \@7n/rules skill cursor taze` — deprecated: зовнішній Cursor CLI
+ *   `npx \@7n/rules skill cursor taze` — зовнішній Cursor CLI (`cursor-agent -p`)
+ *   `npx \@7n/rules skill codex taze` — зовнішній Codex CLI (`codex exec -`)
  *   `npx \@7n/rules skill claude taze` — deprecated: зовнішній Claude Code CLI
  */
 
@@ -23,15 +24,27 @@ import { fileURLToPath } from 'node:url'
 
 import { readSkillMetaRaw, skillTier } from './lib/skill-meta.mjs'
 
-/** Виконавці скіла. `pi` — вбудований (рекомендований); `cursor`/`claude` — deprecated зовнішні CLI. */
-const RUNNERS = new Set(['pi', 'cursor', 'claude'])
+/** Виконавці скіла. `pi` — вбудований (рекомендований); `cursor`/`codex`/`claude` — зовнішні CLI (`claude` — deprecated). */
+const RUNNERS = new Set(['pi', 'cursor', 'codex', 'claude'])
+
+/**
+ * Табличний опис зовнішніх CLI-раннерів: бінарник, аргументи для non-interactive
+ * режиму зі stdin-промптом, і чи раннер deprecated (друкує попередження перед запуском).
+ * @type {Record<'claude' | 'cursor' | 'codex', { bin: string, args: string[], deprecated: boolean }>}
+ */
+const EXTERNAL_RUNNERS = {
+  claude: { bin: 'claude', args: ['-p'], deprecated: true },
+  cursor: { bin: 'cursor-agent', args: ['-p'], deprecated: false },
+  codex: { bin: 'codex', args: ['exec', '-'], deprecated: false }
+}
 
 const USAGE_LINES = [
   'Usage:',
   '  npx @7n/rules skill list',
   '  npx @7n/rules skill <skill-id> ["task"]',
   '  npx @7n/rules skill pi <skill-id> ["task"]      # вбудований pi-агент (рекомендовано)',
-  '  npx @7n/rules skill cursor <skill-id> ["task"]  # deprecated',
+  '  npx @7n/rules skill cursor <skill-id> ["task"]  # зовнішній Cursor CLI',
+  '  npx @7n/rules skill codex <skill-id> ["task"]   # зовнішній Codex CLI',
   '  npx @7n/rules skill claude <skill-id> ["task"]  # deprecated',
   '',
   'Skill id: каталог у пакеті (lint, taze, …) або з префіксом n- (n-lint → lint).'
@@ -42,7 +55,9 @@ const USAGE_LINES = [
  * @returns {boolean} чи знайдено бінарник у PATH
  */
 function isBinaryInPath(name) {
-  const probe = spawnSync('command', ['-v', name], { shell: true, encoding: 'utf8' })
+  // Явний `env: process.env` — Bun без нього дає дітям snapshot оточення зі старту процесу
+  // і не бачить runtime-змін `process.env.PATH` (та сама причина, що в resolve-cmd.mjs).
+  const probe = spawnSync('command', ['-v', name], { shell: true, encoding: 'utf8', env: process.env })
   return probe.status === 0
 }
 
@@ -158,40 +173,33 @@ async function runPiRunner(prompt, rawSkillName, skillsRoot, projectDir, logErro
 }
 
 /**
- * Deprecated: делегує у зовнішній `claude -p` / `cursor-agent -p`. Лишається як fallback
- * для тих, у кого pi-модель ще не налаштована; буде прибрано (мігруй на `skill pi`).
- * @param {'claude' | 'cursor'} kind який LLM CLI запускати
+ * Делегує виконання скіла у зовнішній non-interactive CLI (`cursor-agent -p`, `codex exec -`,
+ * або deprecated `claude -p`) — промпт передається через stdin. `claude` лишається як
+ * deprecated fallback для тих, у кого pi-модель ще не налаштована; буде прибрано
+ * (мігруй на `skill pi`). `cursor`/`codex` — повноцінні альтернативні раннери.
+ * @param {'claude' | 'cursor' | 'codex'} kind який LLM CLI запускати
  * @param {string} prompt промпт для передачі у stdin
  * @param {string} projectDir робочий каталог дочірнього процесу
  * @param {(line: string) => void} logError вивід попередження/помилок
  * @returns {number} exit code дочірнього процесу
  */
 function runLlmCli(kind, prompt, projectDir, logError) {
-  logError(`[deprecated] skill ${kind} → use 'skill pi'; зовнішній CLI буде прибрано`)
-
-  if (kind === 'claude') {
-    if (!isBinaryInPath('claude')) {
-      throw new Error('`claude` not found in PATH. Install Claude Code CLI or use `skill pi`.')
-    }
+  const runner = EXTERNAL_RUNNERS[kind]
 
-    const result = spawnSync('claude', ['-p'], {
-      input: prompt,
-      cwd: projectDir,
-      stdio: ['pipe', 'inherit', 'inherit'],
-      encoding: 'utf8'
-    })
-    return result.status ?? 1
+  if (runner.deprecated) {
+    logError(`[deprecated] skill ${kind} → use 'skill pi'; зовнішній CLI буде прибрано`)
   }
 
-  if (!isBinaryInPath('cursor-agent')) {
-    throw new Error('`cursor-agent` not found in PATH. Install Cursor CLI or use `skill pi`.')
+  if (!isBinaryInPath(runner.bin)) {
+    throw new Error(`\`${runner.bin}\` not found in PATH. Install ${kind} CLI or use \`skill pi\`.`)
   }
 
-  const result = spawnSync('cursor-agent', ['-p'], {
+  const result = spawnSync(runner.bin, runner.args, {
     input: prompt,
     cwd: projectDir,
     stdio: ['pipe', 'inherit', 'inherit'],
-    encoding: 'utf8'
+    encoding: 'utf8',
+    env: process.env
   })
   return result.status ?? 1
 }
@@ -244,7 +252,7 @@ export async function runSkillsCli(argv, options = {}) {
       if (first === 'pi') {
         return await runPiRunner(prompt, second, skillsRoot, projectDir, logError, deps)
       }
-      return runLlmCli(/** @type {'claude' | 'cursor'} */ (first), prompt, projectDir, logError)
+      return runLlmCli(/** @type {'claude' | 'cursor' | 'codex'} */ (first), prompt, projectDir, logError)
     }
 
     if (skillIds.includes(normalizeSkillId(first))) {

package/skills/taze/SKILL.md

@@ -1,22 +1,32 @@
 ---
 name: n-taze
 description: >-
-  Оновлення версій модулів проекту з аналізом major-змін і автоматичним
-  рефакторингом несумісного коду
-version: '1.0'
+  Оновлення версій модулів проекту (bun/npm і, якщо є Cargo.toml, Rust-крейти
+  через cargo-edit) з аналізом major-змін і автоматичним рефакторингом
+  несумісного коду
+version: '1.1'
 ---
 
 # n-taze — Оновлення версій проекту
 
 ## Мета
 
-Оновити всі модулі проекту до останніх версій, виявити major-оновлення, перевірити сумісність змін з кодом проекту і за потреби зрефакторити несумісні місця.
+Оновити всі модулі проекту (npm/bun-залежності, а за наявності `Cargo.toml` — і Rust-крейти) до останніх версій, виявити major-оновлення, перевірити сумісність змін з кодом проекту і за потреби зрефакторити несумісні місця.
 
 ## Передумови
 
 - Чисте робоче дерево (`git status` без незакомічених змін у `package.json` / `bun.lock` / `node_modules`) — інакше різницю не відрізнити від оновлення.
 - Встановлений `bun` і доступний `bunx`.
 - Запуск з кореня проекту (де лежить `package.json` / `bun.lock`).
+- Якщо в проекті є хоч один `Cargo.toml` (не в `node_modules`/`.worktrees`) — додатково встановлений `cargo-edit` (`cargo install cargo-edit`, дає команду `cargo upgrade`). Без нього major-бампи Rust-залежностей неможливо застосувати детерміновано (голий `cargo update` піднімає лише semver-сумісні версії) — **STOP** і попроси користувача встановити перед продовженням кроку 2 для Rust-гілки.
+
+### 0.2. Детекція Rust-крейтів
+
+```bash
+find . -name Cargo.toml -not -path "*/node_modules/*" -not -path "*/.worktrees/*" -not -path "*/target/*"
+```
+
+Якщо список непорожній — паралельно з npm-гілкою виконуються кроки 1–8 у Rust-варіанті (позначені нижче як «Rust-гілка»). Якщо порожній — Rust-кроки повністю пропускаються.
 
 ## Workflow
 
@@ -31,6 +41,13 @@ cp bun.lock bun.lock.taze-bak
 
 (У monorepo — також усі `*/package.json` воркспейсів. Файли тимчасові, видалити в кінці.)
 
+**Rust-гілка** — для кожного знайденого на кроці 0.2 `Cargo.toml` (включно з кореневим, якщо є):
+
+```bash
+cp Cargo.toml Cargo.toml.taze-bak
+cp Cargo.lock Cargo.lock.taze-bak   # якщо lock-файл спільний на workspace — достатньо одного бекапу в корені
+```
+
 ### 2. Запустити оновлення
 
 ```bash
@@ -42,6 +59,16 @@ bun install
 - `-r` — рекурсивно по всіх воркспейсах.
 - `latest` — піднімати навіть major.
 
+**Rust-гілка:**
+
+```bash
+cargo upgrade --incompatible allow
+cargo update
+```
+
+- `cargo upgrade` (з `cargo-edit`) переписує вимоги версій у кожному `Cargo.toml` workspace-у на останні; `--incompatible allow` явно дозволяє перетинати major-межу (аналог `-r latest` у taze) — без цього флага incompatible-оновлення за замовчуванням ігноруються.
+- `cargo update` після цього синхронізує `Cargo.lock` з новими вимогами.
+
 ### 3. Виявити major-оновлення
 
 > **Не порівнюй `package.json` вручну.** Класифікацію semver несе CLI — детерміновано, по всіх воркспейсах.
@@ -54,6 +81,8 @@ n-rules taze diff
 
 Покриває **прямі** залежності з `package.json` (root + воркспейси). Транзитивні major-стрибки (`bun.lock`) — за потреби переглянь окремо; основний ризик breaking-змін — у прямих.
 
+**Rust-гілка** — для `n-rules taze diff` немає cargo-еквівалента, класифікація ручна: для кожного `Cargo.toml.taze-bak` порівняти версію кожної залежності зі свіжим `Cargo.toml` за тим самим правилом (зміна найлівішої ненульової semver-компоненти = major). Швидкий спосіб — `diff Cargo.toml.taze-bak Cargo.toml` по рядках `<name> = "<version>"` і вручну класифікувати кожну зміну.
+
 ### 4. Зібрати breaking changes по кожному major-оновленню
 
 Для кожного модуля зі списку зібрати фактичні відмінності одним з джерел (у порядку пріоритету):
@@ -64,6 +93,8 @@ n-rules taze diff
 
 Цікавлять: видалені/перейменовані експорти, змінені сигнатури функцій, змінені типи, змінена поведінка за замовчуванням, видалені CLI-прапорці.
 
+**Rust-гілка** — адресу репозиторію взяти з поля `repository`/`documentation` крейта на `crates.io` (`https://crates.io/crates/<name>`) або з `[package.metadata]`; CHANGELOG зазвичай у `CHANGELOG.md` репозиторію або в GitHub Releases. Якщо немає — `cargo doc` різниця по публічному API (`pub fn`/`pub struct`/`pub trait`) між закешованою старою версією (`~/.cargo/registry/src/*/<name>-<old-version>/`) і новою (`~/.cargo/registry/src/*/<name>-<new-version>/`) через `diff -r src/`.
+
 ### 5. Перевірити сумісність з кодом проекту
 
 Для кожного breaking change знайти його використання в коді проекту:
@@ -77,6 +108,14 @@ rg -n "<імпорт|функція|опція>" --type ts --type js --type vue
 - **сумісно** — проект не використовує зачеплене API → нічого не робити.
 - **несумісно** — використання знайдено → перейти до п. 6.
 
+**Rust-гілка:**
+
+```bash
+rg -n "<use-шлях|функція|макрос>" --type rust
+```
+
+Та сама класифікація сумісно/несумісно.
+
 ### 6. Рефакторинг несумісних місць
 
 Для кожного несумісного місця — застосувати міграцію згідно з changelog модуля (перейменувати імпорт, оновити сигнатуру виклику, замінити видалену опцію еквівалентом тощо). Після правок:
@@ -87,6 +126,14 @@ bun run typecheck   # якщо є
 bun test            # якщо є
 ```
 
+**Rust-гілка** — після правок:
+
+```bash
+cargo fmt --all -- --check
+cargo clippy --all-targets --all-features -- -D warnings
+cargo test
+```
+
 Якщо міграція нетривіальна або неоднозначна — **не вгадувати**, залишити TODO у коді з посиланням на CHANGELOG і винести в підсумковий звіт як ручну дію.
 
 ### 7. Прибрати тимчасові файли
@@ -97,6 +144,14 @@ rm package.json.taze-bak bun.lock.taze-bak
 
 (І решту бекапів воркспейсів, якщо створювались.)
 
+**Rust-гілка:**
+
+```bash
+rm Cargo.toml.taze-bak Cargo.lock.taze-bak
+```
+
+(І бекапи по кожному workspace-члену, якщо створювались окремо.)
+
 ### 8. Звіт користувачу
 
 Коротко в одному повідомленні:
@@ -107,8 +162,11 @@ rm package.json.taze-bak bun.lock.taze-bak
 - **Потребує ручного втручання:** список TODO з причиною (нетривіальна міграція / неоднозначність / падіння тестів).
 - **Стан перевірок:** `lint` / `typecheck` / `test` — pass/fail з номером рядка, де впало.
 
+Якщо на кроці 0.2 знайдені Rust-крейти — додати окрему секцію **Rust-крейти** з тим самим переліком (оновлено / major / зрефакторено / потребує ручного втручання), і в **Стан перевірок** — окремо `cargo fmt` / `cargo clippy` / `cargo test`.
+
 ## Примітка
 
 - Не запускати `npx @7n/rules lint` паралельно з іншими ESLint-задачами — діє правило з кореневого `CLAUDE.md`.
 - Якщо проект — `npm/` пакет цього репо, після змін у `package.json` / коді треба підняти `version` і додати запис у `CHANGELOG.md` згідно з `npm/CLAUDE.md`.
-- При великій кількості major-оновлень розбити PR по одному модулю на коміт — щоб `git bisect` залишався корисним.
+- При великій кількості major-оновлень розбити PR по одному модулю на коміт — щоб `git bisect` залишався корисним. Це стосується і Rust-крейтів окремо від npm-пакетів.
+- `cargo upgrade --incompatible allow` редагує `Cargo.toml` навіть для залежностей без доступних breaking changes в змінах API — завжди звіряй крок 4 (CHANGELOG) перед тим, як вважати оновлення безпечним, а не лише факт успішної компіляції.

package/scripts/lib/lint-surface/docs/mt-run-node.md

@@ -1,37 +0,0 @@
----
-type: JS Module
-title: mt-run-node.mjs
-resource: npm/scripts/lib/lint-surface/mt-run-node.mjs
-docgen:
-  crc: 01c3876b
-  model: openai-codex/gpt-5.4-mini
-  score: 100
-  issues: judge:inaccurate:0.98
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Цей файл є executor-містом для fix-вузла MT у pi-harness: MT-runner (`@7n/mt#29`) спавнить цю команду замість вбудованого Claude-шляху для actor=agent вузлів. `argv[0]` і `MT_NODE_DIR` вказують на директорію вузла з `task.md` та `a.md`, `MT_WORKTREE` задає дерево, у якому застосовуються зміни, а `MT_MODEL_TIER` дублює `a.md` у значеннях `MIM|AVG|MAX`. Команда повертає stdout у форматі JSON `{"applied","touchedFiles"}`; `exit 0` означає, що MT сам запускає `## Check` і синтезує fact, а ненульовий exit означає `failed-run`. Її роль — виконати лише застосування змін у межах канонів тирів `omlx/pi-тири llm-lib`, тоді як claim/lease, worktree-ізоляція, budget/timeout, `## Check` і publish залишаються на стороні MT.
-
-## Поведінка
-
-- `parseNodeContract` — дістає з `task.md` правило з `## Check`, список target-файлів з `## Inputs` і текст задачі з `## Task`.
-- `resolveTierLabel` — перетворює `MT_MODEL_TIER` у tier-label для `llm-lib`, а невідоме або порожнє значення зводить до `avg`.
-- `buildViolationText` — формує текст порушення для agent-fix із задачі та, за наявності, додає перелік target-файлів; canonical-check лишається за `## Check`.
-- `runNode` — читає `task.md`, парсить контракт вузла, підбирає tier і запускає виправлення в заданому worktree через інʼєкований або стандартний fix.
-- `runNodeCli` — бере `node-dir` з argv або `MT_NODE_DIR`, запускає обробку вузла, друкує JSON зі станом виконання та повертає код завершення без пробросу винятків назовні.
-- `recordNodeFixTelemetry` — успішний фікс із реальними правками пише запис `oldText→newText` у глобальний distillation-стор (Фаза C): MT-вузли живлять той самий крос-репо корпус маховика T0, що й інлайн-драбина; best-effort, лише applied без error.
-
-## Публічний API
-
-- parseNodeContract — дістає з `task.md` контракт вузла й перетворює його на придатний для виконання опис.
-- resolveTierLabel — зв’язує `MT model_tier` із міткою `llm-lib`; для невідомого або порожнього значення підставляє `avg`.
-- buildViolationText — формує текст порушення для агента на основі контракту вузла, без повторного визначення канонічної перевірки `## Check`.
-- runNode — запускає один MT-вузол: читає контракт, готує виправлення нашим harness у worktree та повертає результат.
-- runNodeCli — запускає `node_executor` як CLI: бере `node-dir` з `argv[0]`, використовує `MT_WORKTREE` і `MT_MODEL_TIER`, виводить у stdout JSON з `applied` і `touchedFiles`, а кодом завершення показує успіх або помилку екзекутора.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).
-- Перехоплює помилки і не пропускає винятків назовні (fail-safe).

package/scripts/lib/lint-surface/mt-run-node.mjs

@@ -1,206 +0,0 @@
-/**
- * B2 — executor-міст: виконання fix-вузла MT нашим pi-harness (Фаза B, spec
- * docs/specs/2026-07-11-phase-b-lint-mt-adapter-dev-design.md).
- *
- * MT-runner (node_executor, `@7n/mt`#29) спавнить цю команду замість вбудованого
- * Claude-шляху для actor=agent вузлів. Контракт (з #29):
- *   - argv[0] / `MT_NODE_DIR` = директорія вузла (task.md + a.md);
- *   - `MT_WORKTREE` = дерево, у якому застосовувати зміни (cwd фіксу);
- *   - `MT_MODEL_TIER` = MIM|AVG|MAX (дублює a.md);
- *   - stdout = JSON `{applied, touchedFiles}`; exit 0 → MT ганяє `## Check` і
- *     синтезує fact; ненульовий → failed-run.
- * MT володіє claim/lease, worktree-ізоляцією, budget/timeout, `## Check`, publish;
- * екзекутор ЛИШЕ «застосуй зміни» нашим тир-каноном (omlx/pi-тири llm-lib).
- *
- * Екзекутор НЕ re-detect-ить: canonical-гейт — `## Check` за MT. violation-текст
- * будується з контракту вузла (task.md ## Task + target-файли), агент читає файли
- * й правило сам. Чисте ядро (парсинг контракту, tier-мапінг) — тестовне; fix
- * інжектується через `deps`.
- */
-
-import { readFileSync } from 'node:fs'
-import { join } from 'node:path'
-import { env } from 'node:process'
-
-/** MT model_tier → llm-lib tier-label (для resolveModel/thinkingLevel). */
-const TIER_MAP = { MIM: 'min', AVG: 'avg', MAX: 'max' }
-
-/** Маркер `## Check`-команди (індексний пошук — без regex-backtracking). */
-const CHECK_MARKER = 'lint --no-fix'
-/** Розділювач токенів команди. */
-const RE_TOKEN_SPLIT = /\s+/
-/** Рядок target-файлу в `## Inputs` (`- \`path\``). */
-const RE_INPUT_FILE = /^- `([^`]+)`/
-
-/**
- * Витягує правило з `## Check`-команди вузла. Правило — ОСТАННІЙ токен рядка
- * (перед ним можуть стояти флаги на кшталт `--cwd ../..`, які додає
- * buildCheckCommand, бо MT ганяє `## Check` із node-dir). Токен-флаг (`-…`)
- * останнім бути не може — тоді правило відсутнє.
- * @param {string} taskMd вміст task.md
- * @returns {string|null} id правила або null
- */
-function parseRule(taskMd) {
-  const idx = taskMd.indexOf(CHECK_MARKER)
-  if (idx === -1) return null
-  const eol = taskMd.indexOf('\n', idx)
-  const rest = taskMd.slice(idx + CHECK_MARKER.length, eol === -1 ? undefined : eol).trim()
-  const tokens = rest.length > 0 ? rest.split(RE_TOKEN_SPLIT) : []
-  const last = tokens.at(-1)
-  return last && !last.startsWith('-') ? last : null
-}
-
-/**
- * Витягує target-файли з секції Inputs (bullet-рядки з path у backtick-ах).
- * @param {string} taskMd вміст task.md
- * @returns {string[]} перелік файлів (whole-repo маркер відкидається)
- */
-function parseTargetFiles(taskMd) {
-  const idx = taskMd.indexOf('## Inputs')
-  if (idx === -1) return []
-  const section = taskMd.slice(idx)
-  const files = []
-  for (const line of section.split('\n')) {
-    const m = RE_INPUT_FILE.exec(line.trim())
-    if (m && !m[1].startsWith('(')) files.push(m[1])
-  }
-  return files
-}
-
-/**
- * Парсить контракт вузла з task.md.
- * @param {string} taskMd вміст task.md
- * @returns {{ rule: string|null, targetFiles: string[], taskText: string }} контракт
- */
-export function parseNodeContract(taskMd) {
-  const taskIdx = taskMd.indexOf('## Task')
-  const doneIdx = taskMd.indexOf('## Done when')
-  const end = doneIdx === -1 ? taskMd.length : doneIdx
-  const taskText = taskIdx === -1 ? '' : taskMd.slice(taskIdx + '## Task'.length, end).trim()
-  return { rule: parseRule(taskMd), targetFiles: parseTargetFiles(taskMd), taskText }
-}
-
-/**
- * MT model_tier → llm-lib tier-label. Невідоме/відсутнє → 'avg'.
- * @param {string|undefined} mtTier MIM|AVG|MAX
- * @returns {'min'|'avg'|'max'} tier-label
- */
-export function resolveTierLabel(mtTier) {
-  return TIER_MAP[String(mtTier ?? '').toUpperCase()] ?? 'avg'
-}
-
-/**
- * Будує violation-текст для агента з контракту вузла (без re-detect —
- * canonical-гейт лишається за MT `## Check`).
- * @param {{ rule: string|null, targetFiles: string[], taskText: string }} contract контракт
- * @returns {string} опис проблеми для runAgentFix
- */
-export function buildViolationText(contract) {
-  const parts = [contract.taskText || `Порушення правила ${contract.rule ?? '(невідоме)'}.`]
-  if (contract.targetFiles.length > 0) {
-    parts.push(`Target-файли: ${contract.targetFiles.join(', ')}.`)
-  }
-  return parts.join('\n')
-}
-
-/**
- * Дефолтний fix через pi-harness (lazy import — тримає top-level pi-free).
- * Успішний фікс пише запис у глобальний distillation-стор (Фаза C, §13
- * pi-migration): MT-вузли живлять той самий корпус oldText→newText, що й
- * інлайн-драбина — крос-репо маховик T0 не розрізняє шлях фіксу.
- * @param {{ rule: string, violation: string, cwd: string, tier: string, targetFiles: string[] }} args параметри
- * @returns {Promise<{ applied: boolean, touchedFiles: string[], error: string|null }>} результат
- */
-async function defaultFix({ rule, violation, cwd, tier, targetFiles }) {
-  const [{ runAgentFix }, { resolveModel }] = await Promise.all([
-    import('@7n/llm-lib/agent-fix'),
-    import('@7n/llm-lib/model-tiers')
-  ])
-  const model = resolveModel(tier)
-  const res = await runAgentFix(rule, violation, cwd, {
-    model,
-    tier,
-    targetFiles,
-    caller: `mt-run-node:${rule}`
-  })
-  await recordNodeFixTelemetry({ rule, tier, model, cwd, res })
-  return { applied: res.applied, touchedFiles: res.touchedFiles ?? [], error: res.error }
-}
-
-/**
- * Пише успішний MT-фікс у глобальний distillation-стор (Фаза C). Лише applied без
- * error і з реальними правками; best-effort (стор сам ковтає IO-помилки).
- * @param {{ rule: string, tier: string, model: string|undefined, cwd: string,
- *   res: { applied: boolean, error: string|null, telemetry?: object|null },
- *   record?: (r: object) => object|null }} args контекст (record — інʼєкція для тестів)
- * @returns {Promise<void>} нічого не повертає
- */
-export async function recordNodeFixTelemetry({ rule, tier, model, cwd, res, record }) {
-  const edits = res.telemetry?.edits
-  if (!res.applied || res.error || !Array.isArray(edits) || edits.length === 0) return
-  let rec = record
-  if (!rec) {
-    const mod = await import('@7n/llm-lib/telemetry-store')
-    rec = mod.recordFixTelemetry
-  }
-  rec({
-    rule,
-    rung: `mt-${tier}`,
-    model,
-    cwd,
-    edits,
-    verifyAttempts: res.telemetry?.verifyAttempts?.length ?? 0,
-    anchoredEdits: res.telemetry?.anchoredEdits ?? false
-  })
-}
-
-/**
- * Виконує один MT-вузол: парсить контракт, застосовує фікс нашим harness у worktree.
- * @param {{ nodeDir: string, worktree: string, mtTier?: string,
- *   deps?: { readFile?: (p: string) => string, fix?: typeof defaultFix } }} args параметри
- * @returns {Promise<{ applied: boolean, touchedFiles: string[], error: string|null }>} результат для stdout
- */
-export async function runNode({ nodeDir, worktree, mtTier, deps = {} }) {
-  const read = deps.readFile ?? (p => readFileSync(p, 'utf8'))
-  const fix = deps.fix ?? defaultFix
-
-  let taskMd
-  try {
-    taskMd = read(join(nodeDir, 'task.md'))
-  } catch (error) {
-    return { applied: false, touchedFiles: [], error: `не прочитано task.md: ${error.message}` }
-  }
-  const contract = parseNodeContract(taskMd)
-  if (!contract.rule) return { applied: false, touchedFiles: [], error: 'не знайдено правило у ## Check' }
-
-  const tier = resolveTierLabel(mtTier)
-  return await fix({
-    rule: contract.rule,
-    violation: buildViolationText(contract),
-    cwd: worktree,
-    tier,
-    targetFiles: contract.targetFiles
-  })
-}
-
-/**
- * CLI-ентрі node_executor: argv[0]=node-dir; env MT_WORKTREE/MT_MODEL_TIER.
- * Друкує JSON `{applied, touchedFiles}` у stdout; повертає exit-код (0 — успіх
- * виконання, MT далі ганяє `## Check`; 1 — помилка екзекутора).
- * @param {string[]} argv аргументи (без node/script)
- * @param {{ env?: Record<string, string|undefined>, out?: (s: string) => void, run?: typeof runNode }} [deps] інʼєкції
- * @returns {Promise<number>} exit-код
- */
-export async function runNodeCli(argv, deps = {}) {
-  const e = deps.env ?? env
-  const out = deps.out ?? (s => process.stdout.write(s))
-  const run = deps.run ?? runNode
-  const nodeDir = argv[0] ?? e.MT_NODE_DIR
-  if (!nodeDir) {
-    out(`${JSON.stringify({ applied: false, touchedFiles: [], error: 'не задано node-dir (argv/MT_NODE_DIR)' })}\n`)
-    return 1
-  }
-  const res = await run({ nodeDir, worktree: e.MT_WORKTREE ?? nodeDir, mtTier: e.MT_MODEL_TIER })
-  out(`${JSON.stringify({ applied: res.applied, touchedFiles: res.touchedFiles })}\n`)
-  return res.error ? 1 : 0
-}