@agent-native/core 0.96.0 → 0.98.0

package/docs/content/audit-log.mdx

@@ -73,10 +73,11 @@ Everything in `audit` is optional. The minimum useful addition is `target: () =>
 
 ## Reading the trail {#reading}
 
-Two read actions are available to the agent **and** the frontend in every app, scoped in SQL to the caller — they never return another tenant's rows:
+Three read actions are available to the agent **and** the frontend in every app, scoped in SQL to the caller — they never return another tenant's rows:
 
 - **`list-audit-events`** — filter by `targetType` / `targetId`, `actorKind` (`agent` | `human` | `system`), `status`, `threadId` / `turnId`, `action`, `sinceMs`, and `limit`.
 - **`get-audit-event`** — one event by id, including its redacted input payload.
+- **`export-audit-events`** — bulk-export the trail as CSV or NDJSON instead of hand-paging `list-audit-events`, for offline compliance pulls. Takes the same filters as `list-audit-events` (minus `limit`) plus `format` (`csv` | `ndjson`, default `csv`) and `maxRows` (default 5000, hard cap 10000), and returns `{ content, rowCount, truncated, format }` — `truncated: true` means more rows matched than `maxRows` allowed. It's itself a sensitive read, audited via `audit: { onRead: true }`.
 
 Build an activity feed or a "who changed this" line by calling `list-audit-events` from the UI with `useActionQuery` — never hand-write a fetch to the audit table:
 

package/docs/content/authentication.mdx

@@ -285,7 +285,7 @@ Unauthenticated MCP requests return a `WWW-Authenticate` challenge pointing at `
 
 </Diagram>
 
-Access tokens are signed with `A2A_SECRET` when set, otherwise `BETTER_AUTH_SECRET`. They carry the signed user/org identity and the `mcp:read`, `mcp:write`, and/or `mcp:apps` scopes, and are audience-bound to the exact MCP resource URL. Refresh tokens are stored only as hashes and rotate on every refresh. Tool calls and MCP Apps resource reads run inside the same request context as the signed-in user; the embedded MCP App iframe never receives raw OAuth tokens.
+Access tokens are signed with `A2A_SECRET` when set, otherwise `BETTER_AUTH_SECRET`. They carry the signed user/org identity and the `mcp:read`, `mcp:write`, `mcp:apps`, and/or `offline_access` scopes, and are audience-bound to the exact MCP resource URL. `offline_access` is advertised for hosts such as ChatGPT that require it before retaining refresh access. Refresh tokens are stored only as hashes and rotate on every refresh. Tool calls and MCP Apps resource reads run inside the same request context as the signed-in user; the embedded MCP App iframe never receives raw OAuth tokens.
 
 `npx @agent-native/core@latest connect <url> --client claude-code` writes the URL-only MCP entry for this standard flow. For clients that cannot perform remote MCP OAuth, use the Connect page or `npx @agent-native/core@latest connect --token <token>` fallback to write an explicit bearer-token entry.
 
@@ -380,7 +380,7 @@ Templates with **public pages** (share links, embeds, marketing pages) often nee
 /_agent-native/sign-in?return=<same-origin-path>
 ```
 
-When an anonymous viewer hits this URL, the framework's login page is served. After a successful sign-in (any flow — token, email/password, or Google OAuth), the viewer is 302'd to `return`.
+When an anonymous viewer hits this URL, the framework's login page is served. After a successful sign-in (any flow — token, email/password, or Google OAuth), the browser returns to `return`.
 
 The `return` parameter is validated as a **same-origin path**. Network-path references (`//evil.com/...`), absolute URLs, `data:` / `javascript:` schemes, and embedded control characters all fall back to `/`. The validated path is reconstructed from the URL parser, not echoed back from the input.
 
@@ -401,7 +401,7 @@ function SignInCta() {
 
 ### Bookmarked private paths
 
-When an anonymous user navigates directly to a private path like `/dashboard`, the framework already serves the login page at that URL — after successful sign-in, the page reloads and the user lands on `/dashboard`. No special handling needed; this works for token, email/password, **and** Google OAuth.
+Normal app pages use one impersonal, public-cacheable SSR shell for every visitor. `AppProviders` checks the session on the client; on a private path such as `/dashboard`, it redirects an anonymous visitor to `/_agent-native/sign-in?return=%2Fdashboard` before mounting private app UI. After sign-in, the visitor returns to `/dashboard`. Pass `isPublicPath` for public/SEO routes, or `sessionBypass` for a surface that authenticates through another scoped mechanism such as an MCP embed token.
 
 ### Behind the scenes: Google OAuth
 

package/docs/content/automations.mdx

@@ -114,13 +114,13 @@ The third path — writing the `jobs/<name>.md` file by hand via `resourcePut`
 
 Automations share every field in the [recurring-jobs frontmatter table](/docs/recurring-jobs#frontmatter). These additional fields control event triggers, conditions, and the execution mode:
 
-| Field         | Type                             | Default      | Description                                                                                                                                                  |
-| ------------- | -------------------------------- | ------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------ |
-| `triggerType` | `"schedule"` \| `"event"`        | `"schedule"` | How the automation fires                                                                                                                                     |
-| `event`       | string                           | _(optional)_ | Event name to subscribe to (event triggers only)                                                                                                             |
-| `condition`   | string                           | _(optional)_ | Natural-language condition evaluated before dispatch                                                                                                         |
-| `mode`        | `"agentic"` \| `"deterministic"` | `"agentic"`  | Full agent loop. (`"deterministic"` is reserved but not yet implemented — automations that set it are skipped. Use `"agentic"` for all current automations.) |
-| `domain`      | string                           | _(optional)_ | Grouping tag (mail, calendar, clips, etc.)                                                                                                                   |
+| Field         | Type                      | Default      | Description                                                                                                                                   |
+| ------------- | ------------------------- | ------------ | --------------------------------------------------------------------------------------------------------------------------------------------- |
+| `triggerType` | `"schedule"` \| `"event"` | `"schedule"` | How the automation fires                                                                                                                      |
+| `event`       | string                    | _(optional)_ | Event name to subscribe to (event triggers only)                                                                                              |
+| `condition`   | string                    | _(optional)_ | Natural-language condition evaluated before dispatch                                                                                          |
+| `mode`        | `"agentic"`               | `"agentic"`  | Full agent loop (the only supported mode). `"deterministic"` was removed — it was never implemented, and automations that set it never fired. |
+| `domain`      | string                    | _(optional)_ | Grouping tag (mail, calendar, clips, etc.)                                                                                                    |
 
 For an event trigger, `schedule` is `""` (empty); for a schedule trigger it carries the cron expression. The dispatcher also writes the same managed `lastRun` / `lastStatus` / `lastError` fields the scheduler does, plus a `"skipped"` status when a condition evaluates to false.
 

package/docs/content/creating-templates.mdx

@@ -528,4 +528,4 @@ workspace pointed at current build output.
 - [**Multi-App Workspace**](/docs/multi-app-workspace) — make the template fit
   naturally alongside sibling apps and Dispatch.
 - [**Templates**](/docs/cloneable-saas) — turn a template into a
-  publishable, monetizable product.
+  publishable product you can share and deploy.

package/docs/content/doctor.mdx

@@ -0,0 +1,170 @@
+---
+title: "Doctor (Code Checks)"
+description: "agent-native doctor scans a generated app's source for the framework's security and architecture invariants — the same code-safety guards this monorepo enforces on itself, ported to run against a single app root."
+---
+
+# Doctor (Code Checks)
+
+The agent can write this app's own source code. `agent-native doctor` is the automated check for that: it scans app source for the framework's security-critical code-safety invariants — the same class of check that lives in this framework's own CI as `scripts/guard-*.mjs` — ported to run against a single generated app instead of the framework's multi-template monorepo layout. It's read-only: doctor never edits your code, it only reports.
+
+## Quick start {#quick-start}
+
+```bash
+agent-native doctor
+```
+
+Every scaffolded app also gets a `pnpm doctor` script that runs the same command:
+
+```bash
+pnpm doctor
+```
+
+A clean run:
+
+```
+agent-native doctor: /path/to/app
+Guards run: no-drizzle-push, no-unscoped-credentials, no-unscoped-queries, no-env-credentials, db-tool-scoping, no-env-mutation, no-localhost-fallback
+Clean — no findings.
+```
+
+A run with findings prints one line per finding and exits `1`:
+
+```
+2 finding(s):
+  [no-env-credentials] server/routes/webhook.ts:14 — process.env.STRIPE_KEY read — not a deploy-level allowlisted key. User credentials must be read via resolveCredential(key, { userEmail, orgId }), never process.env.
+  [no-unscoped-queries] actions/list-notes.ts:9 — unscoped select on "notes" (drizzle) — add accessFilter/resolveAccess/assertAccess or an explicit ownerEmail/userEmail/orgId filter.
+
+agent-native doctor found issues above. Fix them, or add a `// guard:allow-<check> — reason` opt-out with reviewer approval.
+```
+
+## The seven guards {#guards}
+
+v1 ships 7 guards. Each is a pure scan over the app's source tree — `node_modules`, `.git`, `dist`, `build`, and other build-output directories are always skipped.
+
+| Guard                     | What it catches                                                                                                                                                                                                                            | Why it matters                                                                                                                                                                                                                                                                             |
+| ------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
+| `no-drizzle-push`         | `drizzle-kit push` / `drizzle push` wired into a build/deploy script hook (`build`, `install`, `deploy`, `start`, `ci`, `release`, and their `pre`/`post` variants) or a `netlify.toml` build command                                      | `drizzle-kit push` can apply destructive schema changes on every deploy with no review step. Standalone `db:push` scripts are **not** flagged — those are explicit, human-invoked commands, not build hooks.                                                                               |
+| `no-unscoped-credentials` | `resolveCredential` / `hasCredential` / `saveCredential` / `deleteCredential` called with only one argument                                                                                                                                | The one-arg form skips the required `{ userEmail, orgId }` context object, so a per-user credential lookup can read (or delete) another tenant's credential.                                                                                                                               |
+| `no-unscoped-queries`     | A query in `actions/` or `server/` against a table built with `...ownableColumns()`, with no `accessFilter` / `resolveAccess` / `assertAccess` and no explicit `ownerEmail` / `userEmail` / `orgId` filter anywhere in the enclosing block | An unscoped `select`/`update`/`delete`/`insert` on a shared table returns or mutates another user's rows. Also flags a `mentionProviders` search closure that queries an ownable table without access control — every user who types `@` in chat would otherwise see rows owned by others. |
+| `no-env-credentials`      | Any `process.env.<KEY>` read whose key isn't on the fixed deploy-var allowlist (`DATABASE_URL`, `BETTER_AUTH_SECRET`, `NODE_ENV`, …), plus any dynamic `process.env[key]` read                                                             | `process.env` is one shared value per deployment, read on every signed-in user's request — reading a per-user credential from it pools every tenant onto the same secret. A dynamic key can never be safely allowlisted.                                                                   |
+| `db-tool-scoping`         | A table in `server/db/schema.ts` with no `owner_email` / `org_id` column and no matching entry in `agent-native.json`'s `doctor.dbToolScopingDenylist`                                                                                     | The agent's raw `db-query` / `db-exec` / `db-patch` tools can only safely expose tenant-scoped tables; an unscoped table needs an explicit, reviewed exception.                                                                                                                            |
+| `no-env-mutation`         | Production code assigning to, or `delete`-ing, `process.env.KEY`                                                                                                                                                                           | `process.env` is process-scoped, not request-scoped. A warm serverless container handles many concurrent requests in one process, so mutating `process.env` in a request handler leaks state across users. Use `runWithRequestContext` instead.                                            |
+| `no-localhost-fallback`   | The literal `"local@localhost"`, or `?? DEV_MODE_USER_EMAIL` / `\|\| DEV_MODE_USER_EMAIL`, used as a fallback identity                                                                                                                     | Falling back to a sentinel identity when there's no session pools every unauthenticated request onto one shared tenant. Throw or return 401 instead.                                                                                                                                       |
+
+Guard names are stable identifiers — the same strings work in `--only`, `agent-native.json`'s `doctor.disabledGuards`, and every finding's `guard` field.
+
+## Flags and exit codes {#flags}
+
+```
+agent-native doctor                        Scan app source for security-critical guard violations
+agent-native doctor --json                 Machine-readable report: { ok, findings, guardsRun, strict }
+agent-native doctor --only <guard,guard>   Run only the named guard(s)
+agent-native doctor --strict               Escalate findings to a hard failure when used by `agent-native build --strict`
+agent-native doctor --cwd <dir>            Run against a project root other than the current directory
+agent-native doctor --fix                  Not implemented in this version
+agent-native doctor --help                 Show this help
+```
+
+- `--only` takes a comma-separated list of guard names from the table above, e.g. `--only no-env-credentials,no-env-mutation`. An unknown name exits `2` with a usage error before any scan runs.
+- `--strict`, on the standalone `agent-native doctor` command, only tags the `--json` output's `strict` field — the command already exits `1` on any finding whether or not `--strict` is passed. It matters when `agent-native build --strict` runs doctor as a pre-step; see [The build hook](#build-hook).
+- `--fix` is reserved for a future version. Passing it today prints an error and exits `2` instead of silently doing nothing, so a script that already passes `--fix` fails loudly rather than getting a false "clean."
+
+Exit codes: **`0`** clean, **`1`** findings present, **`2`** usage or execution error (a bad `--cwd`, an unknown `--only` guard, or `--fix`).
+
+## The build hook {#build-hook}
+
+`agent-native build` always runs doctor as a pre-step before the real build. It's **warn-only by default**: findings print to stderr prefixed `[doctor]`, and the build continues. It only turns findings into a hard failure — `process.exit(1)` before the build runs — when:
+
+- `agent-native build --strict` was passed, or
+- `agent-native.json` sets `{ "doctor": { "failOnBuild": true } }`.
+
+If the doctor pre-step itself throws — an unreadable file, a bug in a guard — the build step catches it, logs a warning, and continues. A doctor bug never blocks a deploy on its own.
+
+## Per-app configuration {#config}
+
+`agent-native.json`'s optional `"doctor"` key. Every field is optional with an empty/false default, so a fresh app runs every v1 guard with zero config:
+
+```json
+{
+  "doctor": {
+    "disabledGuards": ["no-drizzle-push"],
+    "dbToolScopingDenylist": {
+      "legacy_import_log": "Write-only ingestion table, no per-user reads — reviewed 2026-06-01."
+    },
+    "failOnBuild": true
+  }
+}
+```
+
+| Key                     | Type                    | Effect                                                                                                                                                                                                                                     |
+| ----------------------- | ----------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
+| `disabledGuards`        | `string[]`              | Guard names (from the table above) to skip — excluded from the default run and from the build hook. An explicit `--only` list overrides this and runs even a disabled guard.                                                               |
+| `dbToolScopingDenylist` | `Record<table, reason>` | Bare table name (the SQL name, not template-prefixed) → reviewer-readable reason. Used only by `db-tool-scoping`. A denylist entry with no matching table in `server/db/schema.ts` itself becomes a finding — "stale … entry — remove it." |
+| `failOnBuild`           | `boolean`               | See [The build hook](#build-hook). Default `false`.                                                                                                                                                                                        |
+
+## Opt-out markers {#opt-out}
+
+Five of the seven guards support a per-line comment marker with a required short reason after an em dash or hyphen:
+
+```ts
+// guard:allow-unscoped-credential — support tool reads any user's key by design, gated on admin role
+const key = resolveCredential("stripe_secret");
+```
+
+| Guard                     | Marker                                        | Placement                                                                                 |
+| ------------------------- | --------------------------------------------- | ----------------------------------------------------------------------------------------- |
+| `no-unscoped-credentials` | `// guard:allow-unscoped-credential — reason` | Same line as the call                                                                     |
+| `no-unscoped-queries`     | `// guard:allow-unscoped — reason`            | Anywhere in the enclosing block, or in the file's first 30 lines for a whole-file opt-out |
+| `no-env-credentials`      | `// guard:allow-env-credential — reason`      | Same line, or the line immediately above                                                  |
+| `no-env-mutation`         | `// guard:allow-env-mutation — reason`        | Same line, or the line immediately above                                                  |
+| `no-localhost-fallback`   | `// guard:allow-localhost-fallback — reason`  | Same line, or the line immediately above                                                  |
+
+`no-drizzle-push` has no opt-out marker — remove the forbidden script instead. `db-tool-scoping` doesn't use a code comment at all; add the table to `agent-native.json`'s `doctor.dbToolScopingDenylist` with a reason (above).
+
+A reason is required: `no-unscoped-credentials`, `no-env-credentials`, `no-env-mutation`, and `no-localhost-fallback` all reject a marker with no text after the dash — for `no-env-credentials` specifically, a reasonless marker still reports as an "opt-out invalid" finding rather than being silently accepted. `no-unscoped-queries`'s marker doesn't syntactically enforce a reason, but every opt-out should still carry one for the next reviewer.
+
+## JSON output for CI {#json-output}
+
+The actual `--json` payload also carries a `strict` field reflecting whether `--strict` was passed (the `--help` summary line above omits it for brevity):
+
+```json
+{
+  "ok": false,
+  "findings": [
+    {
+      "guard": "no-env-mutation",
+      "file": "server/middleware/auth.ts",
+      "line": 22,
+      "message": "process.env mutated in production code: process.env.AGENT_USER_EMAIL = userEmail. process.env is process-scoped, not request-scoped — use runWithRequestContext instead."
+    }
+  ],
+  "guardsRun": [
+    "no-drizzle-push",
+    "no-unscoped-credentials",
+    "no-unscoped-queries",
+    "no-env-credentials",
+    "db-tool-scoping",
+    "no-env-mutation",
+    "no-localhost-fallback"
+  ],
+  "strict": false
+}
+```
+
+`ok` is `true` only when `findings` is empty. `guardsRun` lists every guard that actually ran (after `--only` / `disabledGuards` filtering) — useful for confirming a guard wasn't silently skipped.
+
+The JSON report always writes to **stdout**, whether the run is clean or has findings — the exit code (`0` clean, `1` findings present) is the signal for pass/fail, not which stream the report landed on. A plain `agent-native doctor --json > report.json` captures the full report in every case, including a non-clean run; no stream redirection tricks needed. (Usage/execution errors — a bad `--cwd`, an unknown `--only` guard — still print their own JSON error payload to stderr and exit `2`; those aren't the report.)
+
+## Doctor vs. upgrade check vs. recap doctor {#relationship}
+
+`agent-native doctor` is one of three "doctor"-shaped commands in the CLI, each diagnosing a different domain — none are folded into a shared mega-doctor:
+
+- **`agent-native doctor`** (this page) — source-code safety invariants: data scoping, credential handling, environment-variable usage.
+- **`agent-native upgrade check`** — dependency-pin health: stale `@agent-native/*` pins, framework overrides/patches.
+- **`agent-native recap doctor`** — PR Visual Recap configuration health.
+
+## What's next
+
+- [**Security & Data Scoping**](/docs/security) — the `ownableColumns()` / access-guard model that `no-unscoped-queries` and `db-tool-scoping` enforce
+- [**Audit Log**](/docs/audit-log) — the durable record of who changed what, for after a mutation lands
+- [**Deployment**](/docs/deployment) — where `agent-native build` and `agent-native.json` fit into shipping

package/docs/content/external-agents.mdx

@@ -137,7 +137,7 @@ snapshot until you refresh/review it again, so rescan the connector after MCP
 tool or MCP App metadata changes. If you still have old per-app connectors
 enabled alongside Dispatch, refresh or reconnect each stale connector; updating
 Dispatch does not rewrite ChatGPT or Claude's cached Calendar/Mail/etc.
-snapshots. The `mcp:read` / `mcp:write` / `mcp:apps` scopes are the same ones
+snapshots. The `mcp:read` / `mcp:write` / `mcp:apps` / `offline_access` scopes are the same ones
 covered in [Standard remote MCP OAuth](#standard-oauth) below.
 
 Cursor, Goose, Postman, MCPJam, and VS Code GitHub Copilot use the same remote
@@ -284,13 +284,14 @@ The OAuth flow is authorization-code + PKCE with refresh-token rotation. Access
 
 Current scopes are:
 
-| Scope       | Allows                                                                    |
-| ----------- | ------------------------------------------------------------------------- |
-| `mcp:read`  | read-only MCP actions and ordinary tool/resource discovery                |
-| `mcp:write` | mutating actions and the `ask-agent` meta-tool                            |
-| `mcp:apps`  | MCP Apps resource listing/reading and inline UI rendering where supported |
+| Scope            | Allows                                                                    |
+| ---------------- | ------------------------------------------------------------------------- |
+| `mcp:read`       | read-only MCP actions and ordinary tool/resource discovery                |
+| `mcp:write`      | mutating actions and the `ask-agent` meta-tool                            |
+| `mcp:apps`       | MCP Apps resource listing/reading and inline UI rendering where supported |
+| `offline_access` | refresh-token access so compatible hosts can stay connected               |
 
-When the client requests no explicit scope, the app grants all three so the connector behaves like the browser-authorized Connect flow. Keep the bearer-token Connect page and `npx @agent-native/core@latest connect --token <token>` fallback around for local dev, fallback hosts, and clients where you need a ready-to-paste config block.
+When the client requests no explicit scope, the app grants all four so the connector behaves like the browser-authorized Connect flow and can refresh access without another sign-in. Keep the bearer-token Connect page and `npx @agent-native/core@latest connect --token <token>` fallback around for local dev, fallback hosts, and clients where you need a ready-to-paste config block.
 
 ## Catalog tiers {#catalog-tiers}
 

package/docs/content/internationalization.mdx

@@ -59,7 +59,8 @@ export const i18nCatalog = {
 
 Always bundle `en-US`. Dynamic-import non-English catalogs so users only
 download the active locale. The supported locale codes are `en-US`, `zh-CN`,
-`es-ES`, `fr-FR`, `de-DE`, `ja-JP`, `ko-KR`, `pt-BR`, `hi-IN`, and `ar-SA`.
+`zh-TW`, `es-ES`, `fr-FR`, `de-DE`, `ja-JP`, `ko-KR`, `pt-BR`, `hi-IN`, and
+`ar-SA`.
 
 ## UI
 

package/docs/content/locales/ar-SA/audit-log.mdx

@@ -73,10 +73,11 @@ export default defineAction({
 
 ## قراءة المسار {#reading}
 
-تتوفر قراءتان actions للوكيل **و** الواجهة الأمامية في كل تطبيق، ويتم تحديد نطاقهما في SQL للمتصل - ولا يُرجعان أبدًا صفوف مستأجر آخر:
+تتوفر ثلاث قراءات actions للوكيل **و** الواجهة الأمامية في كل تطبيق، ويتم تحديد نطاقها في SQL للمتصل - ولا تُرجع أبدًا صفوف مستأجر آخر:
 
 - **`list-audit-events`** — التصفية حسب `targetType` / `targetId`، `actorKind` (`agent` | `human` | `system`)، `status`، `threadId` / `turnId`، `action`، `sinceMs`، و`limit`.
 - **`get-audit-event`** — حدث واحد حسب المعرف، بما في ذلك حمولة الإدخال المنقحة الخاصة به.
+- **`export-audit-events`** — تصدير السجل بالجملة بصيغة CSV أو NDJSON بدلاً من ترقيم `list-audit-events` يدويًا، لعمليات السحب دون اتصال لأغراض الامتثال. تأخذ نفس عوامل تصفية `list-audit-events` (بدون `limit`) بالإضافة إلى `format` (`csv` | `ndjson`، الافتراضي `csv`) و`maxRows` (الافتراضي 5000، الحد الأقصى 10000)، وتُرجع `{ content, rowCount, truncated, format }` — تعني `truncated: true` أن عدد الصفوف المطابقة تجاوز `maxRows`. وهي نفسها قراءة حساسة، يتم تدقيقها عبر `audit: { onRead: true }`.
 
 أنشئ خلاصة نشاط أو سطر "من قام بتغيير هذا" عن طريق استدعاء `list-audit-events` من UI باستخدام `useActionQuery` — لا تكتب أبدًا يدويًا أي جلب إلى جدول التدقيق:
 

package/docs/content/locales/ar-SA/authentication.mdx

@@ -283,7 +283,7 @@ https://mail.agent-native.com/_agent-native/mcp
 
 </Diagram>
 
-يتم توقيع رموز الوصول باستخدام `A2A_SECRET` عند تعيينها، وإلا مع `BETTER_AUTH_SECRET`. وهي تحمل هوية المستخدم/المؤسسة الموقعة ونطاقات `mcp:read` و/أو `mcp:write` و/أو `mcp:apps`، وهي مرتبطة بالجمهور بمورد MCP الدقيق URL. يتم تخزين رموز التحديث فقط كتجزئة ويتم تدويرها عند كل تحديث. يتم تشغيل استدعاءات الأدوات وقراءات موارد تطبيقات MCP داخل نفس سياق الطلب مثل المستخدم الذي قام بتسجيل الدخول؛ لا يتلقى إطار iframe لتطبيق MCP المضمن رموز OAuth الأولية أبدًا.
+يتم توقيع رموز الوصول باستخدام `A2A_SECRET` عند تعيينها، وإلا مع `BETTER_AUTH_SECRET`. وهي تحمل هوية المستخدم/المؤسسة الموقعة ونطاقات `mcp:read` و/أو `mcp:write` و/أو `mcp:apps` and `offline_access`، وهي مرتبطة بالجمهور بمورد MCP الدقيق URL. يتم تخزين رموز التحديث فقط كتجزئة ويتم تدويرها عند كل تحديث. يتم تشغيل استدعاءات الأدوات وقراءات موارد تطبيقات MCP داخل نفس سياق الطلب مثل المستخدم الذي قام بتسجيل الدخول؛ لا يتلقى إطار iframe لتطبيق MCP المضمن رموز OAuth الأولية أبدًا.
 
 يكتب `npx @agent-native/core@latest connect <url> --client claude-code` إدخال URL فقط MCP لهذا التدفق القياسي. بالنسبة للعملاء الذين لا يمكنهم تنفيذ MCP OAuth عن بعد، استخدم صفحة الاتصال أو البديل `npx @agent-native/core@latest connect --token <token>` لكتابة إدخال صريح للرمز المميز للحامل.
 
@@ -400,7 +400,7 @@ function SignInCta() {
 
 ### المسارات الخاصة ذات الإشارات المرجعية
 
-عندما ينتقل مستخدم مجهول مباشرة إلى مسار خاص مثل `/dashboard`، فإن إطار العمل يخدم بالفعل صفحة تسجيل الدخول في URL - بعد تسجيل الدخول الناجح، تتم إعادة تحميل الصفحة ويصل المستخدم إلى `/dashboard`. لا حاجة إلى معالجة خاصة؛ يعمل هذا مع الرمز المميز والبريد الإلكتروني/كلمة المرور و**و**Google OAuth.
+تستخدم صفحات التطبيق العادية غلاف SSR واحدًا عامًا وقابلاً للتخزين المؤقت لجميع الزوار. يتحقق `AppProviders` من الجلسة على العميل؛ وفي مسار خاص مثل `/dashboard` يعيد توجيه الزائر المجهول إلى `/_agent-native/sign-in?return=%2Fdashboard` قبل عرض واجهة التطبيق الخاصة. بعد تسجيل الدخول يعود الزائر إلى `/dashboard`. استخدم `isPublicPath` للمسارات العامة أو مسارات SEO، أو `sessionBypass` لسطح تتم مصادقته بآلية محددة أخرى مثل رمز تضمين MCP.
 
 ### خلف الكواليس: Google OAuth
 

package/docs/content/locales/ar-SA/automations.mdx

@@ -114,13 +114,13 @@ description: "عمليات التشغيل التلقائي المجدولة وا
 
 تشارك عمليات التشغيل الآلي كل حقل في [recurring-jobs frontmatter table](/docs/recurring-jobs#frontmatter). تتحكم هذه الحقول الإضافية في مشغلات الأحداث وشروطها ووضع التنفيذ:
 
-| الحقل         | اكتب                             | الافتراضي    | الوصف                                                                                                                                                               |
-| ------------- | -------------------------------- | ------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
-| `triggerType` | `"schedule"` \| `"event"`        | `"schedule"` | كيفية تشغيل الأتمتة                                                                                                                                                 |
-| `event`       | سلسلة                            | _(اختياري)_  | اسم الحدث المطلوب الاشتراك فيه (مشغّلات الحدث فقط)                                                                                                                  |
-| `condition`   | سلسلة                            | _(اختياري)_  | تم تقييم حالة اللغة الطبيعية قبل الإرسال                                                                                                                            |
-| `mode`        | `"agentic"` \| `"deterministic"` | `"agentic"`  | حلقة الوكيل الكاملة. (`"deterministic"` محجوز ولكن لم يتم تنفيذه بعد — يتم تخطي عمليات الأتمتة التي تقوم بتعيينه. استخدم `"agentic"` لجميع عمليات الأتمتة الحالية.) |
-| `domain`      | سلسلة                            | _(اختياري)_  | علامة التجميع (البريد، التقويم، المقاطع, إلخ.)                                                                                                                      |
+| الحقل         | اكتب                      | الافتراضي    | الوصف                                                                                                                                  |
+| ------------- | ------------------------- | ------------ | -------------------------------------------------------------------------------------------------------------------------------------- |
+| `triggerType` | `"schedule"` \| `"event"` | `"schedule"` | كيفية تشغيل الأتمتة                                                                                                                    |
+| `event`       | سلسلة                     | _(اختياري)_  | اسم الحدث المطلوب الاشتراك فيه (مشغّلات الحدث فقط)                                                                                     |
+| `condition`   | سلسلة                     | _(اختياري)_  | تم تقييم حالة اللغة الطبيعية قبل الإرسال                                                                                               |
+| `mode`        | `"agentic"`               | `"agentic"`  | حلقة الوكيل الكاملة (الوضع الوحيد المدعوم). تمت إزالة `"deterministic"` — لم يتم تنفيذه قط، وعمليات الأتمتة التي تحدده لم تُطلق أبدًا. |
+| `domain`      | سلسلة                     | _(اختياري)_  | علامة التجميع (البريد، التقويم، المقاطع, إلخ.)                                                                                         |
 
 بالنسبة لمشغل الحدث، `schedule` هو `""` (فارغ)؛ بالنسبة لمشغل الجدول الزمني فإنه يحمل تعبير cron. يكتب المرسل أيضًا نفس حقول `lastRun` / `lastStatus` / `lastError` المُدارة التي يكتبها المجدول، بالإضافة إلى حالة `"skipped"` عندما يتم تقييم الشرط إلى خطأ.
 

package/docs/content/locales/ar-SA/external-agents.mdx

@@ -136,7 +136,7 @@ ChatGPT: استخدم مساحة عمل حيث توجد موصلات MCP الم
 تغييرات البيانات التعريفية لتطبيق MCP. إذا كان لا يزال لديك موصلات قديمة لكل تطبيق
 ممكّن جنبًا إلى جنب مع Dispatch أو تحديث أو إعادة توصيل كل موصل قديم؛ التحديث
 لا يقوم Dispatch بإعادة كتابة تقويم/بريد ChatGPT أو Claude المخزن مؤقتًا/البريد/إلخ.
-لقطات. نطاقات `mcp:read` / `mcp:write` / `mcp:apps` هي نفسها الموضحة في
+لقطات. نطاقات `mcp:read` / `mcp:write` / `mcp:apps` / `offline_access` هي نفسها الموضحة في
 [OAuth القياسي لـ MCP البعيد](#standard-oauth) أدناه.
 
 يستخدم كل من Cursor وGoose وPostman وMCPJam وVS Code GitHub Copilot نفس جهاز التحكم عن بعد
@@ -283,13 +283,14 @@ https://dispatch.agent-native.com/_agent-native/mcp
 
 النطاقات الحالية هي:
 
-| النطاق      | يسمح                                                               |
-| ----------- | ------------------------------------------------------------------ |
-| `mcp:read`  | MCP actions للقراءة فقط واكتشاف الأدوات/الموارد العادية            |
-| `mcp:write` | تعديل actions والأداة الوصفية `ask-agent`                          |
-| `mcp:apps`  | قائمة/قراءة موارد تطبيقات MCP وعرض UI المضمن حيثما يكون ذلك متاحًا |
+| النطاق           | يسمح                                                               |
+| ---------------- | ------------------------------------------------------------------ |
+| `mcp:read`       | MCP actions للقراءة فقط واكتشاف الأدوات/الموارد العادية            |
+| `mcp:write`      | تعديل actions والأداة الوصفية `ask-agent`                          |
+| `mcp:apps`       | قائمة/قراءة موارد تطبيقات MCP وعرض UI المضمن حيثما يكون ذلك متاحًا |
+| `offline_access` | الوصول إلى رمز التحديث حتى يظل المضيف متصلاً                       |
 
-عندما لا يطلب العميل نطاقًا صريحًا، يمنح التطبيق الثلاثة جميعًا بحيث يتصرف الموصل مثل تدفق الاتصال المعتمد من المتصفح. احتفظ بصفحة Connect-token Connect و`npx @agent-native/core@latest connect --token <token>` الاحتياطية للمطورين المحليين والمضيفين الاحتياطيين والعملاء حيث تحتاج إلى كتلة تكوين جاهزة لللصق.
+عندما لا يطلب العميل نطاقًا صريحًا، يمنح التطبيق النطاقات الأربعة جميعًا بحيث يتصرف الموصل مثل تدفق الاتصال المعتمد من المتصفح ويمكنه تحديث الوصول دون تسجيل دخول آخر. احتفظ بصفحة Connect-token Connect و`npx @agent-native/core@latest connect --token <token>` الاحتياطية للمطورين المحليين والمضيفين الاحتياطيين والعملاء حيث تحتاج إلى كتلة تكوين جاهزة لللصق.
 
 ## طبقات الكتالوج {#catalog-tiers}
 

package/docs/content/locales/ar-SA/getting-started.mdx

@@ -163,7 +163,13 @@ export const responseInsights = table("response_insights", {
   />
 </WireframeBlock>
 
-وسع `view-screen` و `navigate` كي يعرف agent المسار الحالي ويستطيع فتح `/response-insights`. يمكن للنتائج أيضًا تضمين `href: "/response-insights"` لعرض زر "افتح رؤى الردود" في الدردشة.
+## 6. دع agent يتنقل {#agent-navigation}
+
+يتضمن قالب Chat action من نوع `view-screen` و `navigate`. وسّعهما مع نمو تطبيقك:
+
+- يجب أن يقرأ `view-screen` حالة التطبيق ويُعيد المسار الحالي، والرؤية المحددة، والفلاتر النشطة، وأي سياق صفحة مضغوط يحتاجه agent.
+- يجب أن يكتب `navigate` مسارًا من نفس الأصل مثل `/response-insights` عندما يقرر agent أن على المستخدم معاينة النتيجة بصريًا.
+- يمكن لنتائج action تضمين روابط مثل `href: "/response-insights"` كي تعرض الدردشة زر "افتح رؤى الردود" بشكل صريح.
 
 عندما تفتح الدردشة الكاملة صفحة تطبيق، استخدم `AgentChatSurface` و `AgentSidebar` و `useAgentChatHomeHandoff` و `useAgentChatHomeHandoffLinks` و `chatViewTransition` من [Agent Surfaces](/docs/agent-surfaces#rich-chat) كي تنتقل الدردشة إلى اللوحة الجانبية مع الحفاظ على نفس thread.
 

package/docs/content/locales/ar-SA/internationalization.mdx

@@ -59,7 +59,7 @@ export const i18nCatalog = {
 ```
 
 حزمة `en-US` دائمًا. يتم استيراد الكتالوجات غير الإنجليزية بشكل ديناميكي للمستخدمين فقط
-قم بتنزيل اللغة النشطة. الرموز المحلية المدعومة هي `en-US`، `zh-CN`،
+قم بتنزيل اللغة النشطة. الرموز المحلية المدعومة هي `en-US`، `zh-CN`، `zh-TW`،
 `es-ES`، و`fr-FR`، و`de-DE`، و`ja-JP`، و`ko-KR`، و`pt-BR`، و`hi-IN`، و`ar-SA`.
 
 ## UI

package/docs/content/locales/ar-SA/mcp-protocol.mdx

@@ -240,7 +240,7 @@ claude mcp add --transport http agent-native https://dispatch.agent-native.com/_
 
 ```http
 HTTP/1.1 401 Unauthorized
-WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps"
+WWW-Authenticate: Bearer resource_metadata="https://dispatch.agent-native.com/.well-known/oauth-protected-resource", scope="mcp:read mcp:write mcp:apps offline_access"
 ```
 
 اكتشاف نقاط النهاية:

package/docs/content/locales/ar-SA/package-lifecycle.mdx

@@ -0,0 +1,19 @@
+---
+title: دورة حياة الحزم
+description: فحص حزم Agent Native المعتمدة على بيان وإضافتها وإخراجها بأمان.
+---
+
+# دورة حياة الحزم
+
+يمكن للحزم القابلة لإعادة الاستخدام نشر ملف `agent-native.package.json` ثابت ذي
+إصدار. تقرأ أداة CLI ملف JSON فقط أثناء الفحص ولا تشغّل شيفرة الحزمة.
+
+```bash
+agent-native package inspect @agent-native/scheduling --json
+agent-native package add @agent-native/scheduling --apply
+agent-native package eject @agent-native/scheduling --apply
+```
+
+الإضافة والإخراج معاينة افتراضيًا. يسمح `--apply` بالكتابة وتشغيل مدير الحزم. ترفض
+الأداة التعارضات والتخطيطات غير المعروفة، وتستعيد الملفات وملفات القفل عند فشل التثبيت.
+يدعم الإصدار التجريبي إخراج Scheduling فقط، بينما يبقى Pinpoint مؤجلاً.

package/docs/content/locales/ar-SA/sandbox-adapters.mdx

@@ -103,6 +103,10 @@ search: "المحولات، محول وضع الحماية، محول cli، رم
       path: "index.ts",
       note: "الاختيار: getSandboxAdapter() / registerSandboxAdapter()",
     },
+    {
+      path: "background.ts",
+      note: "علامة قائمة الانتظار الدائمة ودورة حياة التنفيذ في الخلفية",
+    },
     {
       path: "local-child-process-adapter.ts",
       note: "ال backend الافتراضي: Node child process مقيد",
@@ -183,12 +187,17 @@ registerSandboxAdapter(adapter)  →  AGENT_NATIVE_SANDBOX  →  local default
 
 ### `AGENT_NATIVE_SANDBOX` env var {#env}
 
-يحدد المحول المضمن حسب المعرف. حاليًا يتم توصيل `local` (الافتراضي) فقط؛ تعود القيم غير المعروفة إلى المستوى المحلي بدلاً من فشل التشغيل.
+يحدد محولًا مضمنًا حسب المعرف. كل من `local` (الافتراضي) و`background` موصولان؛ تعود القيم غير المعروفة إلى `local` بدلاً من فشل التشغيل.
 
 ```bash
-AGENT_NATIVE_SANDBOX=local   # الافتراضي — صريح
+AGENT_NATIVE_SANDBOX=local        # الافتراضي — صريح
+AGENT_NATIVE_SANDBOX=background   # وضع كل استدعاء run-code في قائمة انتظار دائمة
 ```
 
+يخزن `background` التعليمة البرمجية الأولية في `sandbox_executions` ويعيد فورًا `executionId` مع `status: "queued"`. يبدأ الإرسال الذاتي الموقّع استدعاءً جديدًا في بيئة serverless؛ ويبدأ Node طويل العمر عملاً منفصلًا داخل العملية؛ وتعيد عملية التحقق من الحالة والمسح الدوري تشغيل الإرسالات المفقودة أو عقود الإيجار المنتهية. تحقّق من التنفيذ لاحقًا للحصول على النتيجة المحفوظة.
+
+`BackgroundQueueAdapter` هو علامة لقائمة انتظار دائمة، وليس المنفذ. يستخدم العمل الموجود في قائمة الانتظار محول تنفيذ مسجلًا غير قائم على قائمة الانتظار عند توفره؛ وإلا فإنه يعود إلى عملية Node الفرعية المحلية. لا يوفر تحديد `background` وحده عزلاً عن بُعد أو داخل حاوية، ولا يجعل وقت تشغيل edge متوافقًا مع `node:child_process`.
+
 ### `registerSandboxAdapter()` {#register}
 
 تتجاوز العملية المضيفة الواجهة الخلفية لجميع استدعاءات `run-code` اللاحقة من خلال `index.ts` الخاص بالوصلة - على سبيل المثال، لتشغيل كل استدعاء في حاوية بعيدة:
@@ -213,13 +222,15 @@ registerSandboxAdapter(new RemoteSandboxAdapter());
 
 ## التماس لعداء متين {#durable}
 
-هذه الواجهة هي بمثابة التماس لصندوق الحماية البعيد/المتين في المستقبل. سيقوم المحول البعيد أو المتين (Docker، أو مشغل نمط Vercel-Sandbox، أو عامل الخلفية في قائمة الانتظار):
+يوفر المحول المضمن `background` بالفعل قائمة انتظار دائمة وميزانية تنفيذ جديدة، بينما يظل التنفيذ الفعلي مستخدمًا لمحول غير قائم على قائمة الانتظار أو للعملية الفرعية المحلية الاحتياطية. يمكن لمحول بعيد أو معزول مسجل بشكل منفصل (Docker أو مشغل بنمط Vercel-Sandbox) توفير حدود تنفيذ مختلفة وتنفيذ العمل في الخلفية لكل استدعاء أيضًا.
+
+مثل هذا المحول سوف:
 
-1. تنفيذ `SandboxAdapter.run` في وقت التشغيل خارج العملية.
-2. قم بتوصيل جسر الاسترجاع (أو مكالمات الجسر الوكيل إلى الأصل).
-3. السماح بتشغيل مهام البيانات الكبيرة حتى الاكتمال بشكل مستقل عن دورة حياة الطلب - بما يتجاوز الحد الأقصى المستضاف لبرنامج تنفيذ التعليمات البرمجية الذي يبلغ حوالي 40 ثانية والذي يحد محول العملية الفرعية المحلي.
+1. ينفذ `SandboxAdapter.run` في وقت تشغيل خارج العملية.
+2. ينشئ نفقًا لجسر loopback (أو يعيد توجيه استدعاءات الجسر إلى العملية الأصلية).
+3. يوفر عزلاً عن بُعد أو داخل حاوية بشكل مستقل عن دورة حياة قائمة الانتظار الدائمة المشحونة.
 
-قم بتسجيله تحت قيمة `AGENT_NATIVE_SANDBOX` جديدة (على سبيل المثال، `remote`) و/أو عبر `registerSandboxAdapter()`. لا تتغير حلقة الوكيل و`run-code.ts` أبدًا.
+سجله برمجيًا عبر `registerSandboxAdapter()`. لا تحتاج حلقة الوكيل و`run-code.ts` إلى التغيير.
 
 > [!TIP]
 > يُصدر مخطط `agent-native add sandbox docker` وصفة كاملة ومكتفية ذاتيًا لتنفيذ محول Docker مقابل هذا التماس. انظر [Blueprint Installer](/docs/blueprint-installer).

package/docs/content/locales/ar-SA/security.mdx

@@ -388,6 +388,8 @@ A2A_SECRET=your-shared-secret-at-least-32-chars
 - [ ] \*\*لم يتم تعيين `AGENT_NATIVE_KEYS_WORKSPACE_FALLBACK` ما لم تشارك مؤسستك مفاتيح مساحة العمل فعليًا - راجع [Cross-User Tooling Secrets](#tooling-secrets)
 - [ ] في عمليات النشر متعددة المستأجرين، **يحضر المستخدمون `ANTHROPIC_API_KEY`** — يرفض إطار العمل الرجوع إلى env على مستوى النشر var
 
+شغّل `agent-native doctor` (أو `pnpm doctor` في تطبيق تم إنشاؤه بالقالب) للتحقق تلقائيًا من عناصر المخطط وبيانات الاعتماد ومتغيرات البيئة في هذه القائمة — يذكر كل اكتشاف اسم الحارس (guard) والملف والسطر. راجع وثائق [Doctor](/docs/doctor).
+
 ---
 
 تغطي الأقسام أدناه علامات البيئة المتخصصة التي تصل إليها فقط في عمليات نشر محددة. معظم التطبيقات لا تلمسها أبدًا.
@@ -415,3 +417,11 @@ AGENT_NATIVE_KEYS_WORKSPACE_FALLBACK=1
 ```
 
 لا تزال عمليات الكتابة السرية لنطاق مساحة العمل تتطلب دور مالك/مسؤول المؤسسة بغض النظر عن هذه العلامة.
+
+## الخطوات التالية
+
+- [**Authentication**](/docs/authentication) — أوضاع المصادقة، ونطاقات الكوكيز (cookie)، وتفاصيل الجلسة التي تُبنى عليها هذه الصفحة
+- [**Multi-Tenancy**](/docs/multi-tenancy) — نموذج عضوية المؤسسة وراء تحديد النطاق بـ `org_id`
+- [**Sharing**](/docs/sharing) — نمط `ownableColumns()` وحارس الوصول المُطبَّق على الموارد القابلة للمشاركة
+- [**Messaging**](/docs/messaging#env-vars) — أسرار توقيع webhook لكل تكامل، المُشار إليها في قائمة التحقق أعلاه
+- [**Deployment**](/docs/deployment) — متغيرات بيئة الإنتاج التي تفترض قائمة التحقق هذه أنها مُعيَّنة

package/docs/content/locales/de-DE/audit-log.mdx

@@ -73,10 +73,11 @@ Alles in `audit` ist optional. Der minimale nützliche Zusatz ist `target: () =>
 
 ## Die Spur lesen {#reading}
 
-Zwei gelesene actions stehen dem Agenten **und** dem Frontend in jeder App zur Verfügung, in SQL auf den Anrufer beschränkt – sie geben niemals die Zeilen eines anderen Mandanten zurück:
+Drei gelesene actions stehen dem Agenten **und** dem Frontend in jeder App zur Verfügung, in SQL auf den Anrufer beschränkt – sie geben niemals die Zeilen eines anderen Mandanten zurück:
 
 - **`list-audit-events`** – Filter nach `targetType` / `targetId`, `actorKind` (`agent` | `human` | `system`), `status`, `threadId` / `turnId`, `action`, `sinceMs` und `limit`.
 - **`get-audit-event`** – ein Ereignis nach ID, einschließlich seiner redigierten Eingabenutzlast.
+- **`export-audit-events`** – exportiert die Spur gesammelt als CSV oder NDJSON statt `list-audit-events` manuell zu paginieren, für Offline-Compliance-Abzüge. Nimmt dieselben Filter wie `list-audit-events` (ohne `limit`) sowie `format` (`csv` | `ndjson`, Standard `csv`) und `maxRows` (Standard 5000, harte Obergrenze 10000) und liefert `{ content, rowCount, truncated, format }` zurück – `truncated: true` bedeutet, dass mehr Zeilen übereinstimmten, als `maxRows` erlaubte. Es ist selbst ein sensibler Lesevorgang, geprüft über `audit: { onRead: true }`.
 
 Erstellen Sie einen Aktivitäts-Feed oder eine „Wer hat das geändert“-Zeile, indem Sie `list-audit-events` vom UI mit `useActionQuery` aufrufen – schreiben Sie niemals einen Abruf in die Prüftabelle von Hand:
 

package/docs/content/locales/de-DE/authentication.mdx

@@ -402,7 +402,7 @@ function SignInCta() {
 
 ### Private Pfade mit Lesezeichen versehen
 
-Wenn ein anonymer Benutzer direkt zu einem privaten Pfad wie `/dashboard` navigiert, stellt das Framework bereits die Anmeldeseite unter diesem URL bereit – nach erfolgreicher Anmeldung wird die Seite neu geladen und der Benutzer landet auf `/dashboard`. Keine besondere Handhabung erforderlich; Dies funktioniert für Token, E-Mail/Passwort, **und** Google OAuth.
+Normale App-Seiten verwenden für alle Besucher dieselbe unpersönliche, öffentlich cachebare SSR-Shell. `AppProviders` prüft die Sitzung im Client und leitet anonyme Besucher auf privaten Pfaden wie `/dashboard` zu `/_agent-native/sign-in?return=%2Fdashboard` weiter, bevor private App-UI gerendert wird. Nach der Anmeldung kehren sie zu `/dashboard` zurück. Verwenden Sie `isPublicPath` für öffentliche/SEO-Routen oder `sessionBypass` für Oberflächen mit einem anderen begrenzten Authentifizierungsmechanismus, etwa einem MCP-Embed-Token.
 
 ### Hinter den Kulissen: Google OAuth
 

package/docs/content/locales/de-DE/automations.mdx

@@ -114,13 +114,13 @@ Der dritte Pfad – das manuelle Schreiben der `jobs/<name>.md`-Datei über `res
 
 Automatisierungen teilen sich jedes Feld im [recurring-jobs frontmatter table](/docs/recurring-jobs#frontmatter). Diese zusätzlichen Felder steuern Ereignisauslöser, Bedingungen und den Ausführungsmodus:
 
-| Feld          | Typ                              | Standard     | Beschreibung                                                                                                                                                                                                                |
-| ------------- | -------------------------------- | ------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
-| `triggerType` | `"schedule"` \| `"event"`        | `"schedule"` | Wie die Automatisierung ausgelöst wird                                                                                                                                                                                      |
-| `event`       | Zeichenfolge                     | _(optional)_ | Ereignisname zum Abonnieren (nur Ereignisauslöser)                                                                                                                                                                          |
-| `condition`   | Zeichenfolge                     | _(optional)_ | Zustand in natürlicher Sprache wird vor dem Versand ausgewertet                                                                                                                                                             |
-| `mode`        | `"agentic"` \| `"deterministic"` | `"agentic"`  | Vollständige Agentenschleife. (`"deterministic"` ist reserviert, aber noch nicht implementiert – Automatisierungen, die es festlegen, werden übersprungen. Verwenden Sie `"agentic"` für alle aktuellen Automatisierungen.) |
-| `domain`      | Zeichenfolge                     | _(optional)_ | Gruppierungs-Tag (E-Mail, Kalender, Clips usw.)                                                                                                                                                                             |
+| Feld          | Typ                       | Standard     | Beschreibung                                                                                                                                                                                  |
+| ------------- | ------------------------- | ------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| `triggerType` | `"schedule"` \| `"event"` | `"schedule"` | Wie die Automatisierung ausgelöst wird                                                                                                                                                        |
+| `event`       | Zeichenfolge              | _(optional)_ | Ereignisname zum Abonnieren (nur Ereignisauslöser)                                                                                                                                            |
+| `condition`   | Zeichenfolge              | _(optional)_ | Zustand in natürlicher Sprache wird vor dem Versand ausgewertet                                                                                                                               |
+| `mode`        | `"agentic"`               | `"agentic"`  | Vollständige Agentenschleife (der einzige unterstützte Modus). `"deterministic"` wurde entfernt – es wurde nie implementiert, und Automatisierungen, die es festlegten, wurden nie ausgelöst. |
+| `domain`      | Zeichenfolge              | _(optional)_ | Gruppierungs-Tag (E-Mail, Kalender, Clips usw.)                                                                                                                                               |
 
 Für einen Ereignisauslöser ist `schedule` `""` (leer); Für einen Zeitplanauslöser trägt es den Cron-Ausdruck. Der Dispatcher schreibt außerdem dieselben verwalteten `lastRun`-/`lastStatus`-/`lastError`-Felder wie der Scheduler, plus einen `"skipped"`-Status, wenn eine Bedingung als „falsch“ ausgewertet wird.