@agent-native/core 0.98.4 → 0.98.6

package/docs/content/locales/ko-KR/tracking.mdx

@@ -238,6 +238,8 @@ VITE_AGENT_NATIVE_SESSION_REPLAY_SAMPLE_RATE=1
 - URL은 브라우저 분석에서 사용하는 것과 동일한 `scrubUrl()` 도우미로 정제됩니다.
 - 리플레이 캡처는 웹 전용이며 옵트인 방식입니다. 네이티브 데스크톱 화면은 기록하지 않습니다.
 
+확장 프로그램과 렌더링된 이메일 콘텐츠를 포함하여 프레임워크가 관리하는 iframe은 리플레이 캡처에 포함됩니다. 기록된 프레임 내부에도 동일한 마스킹 및 차단 선택자가 적용됩니다. 타사 교차 출처 iframe은 자체 문서가 교차 출처 iframe 기록을 활성화한 호환 rrweb 레코더를 실행하지 않는 한 불투명하게 유지되며, 부모 페이지에서 브라우저의 출처 경계를 우회할 수 없습니다.
+
 기록하는 동안 세션 리플레이는 브라우저 콘솔 출력(`log`, `info`, `warn`, `error`, `debug` 및 window `error` / `unhandledrejection`)과 네트워크 요청 메타데이터(`fetch` 및 XHR)를 태그가 지정된 rrweb 커스텀 이벤트로 캡처하므로, 에이전트와 리플레이 뷰어가 사용자가 보고한 문제를 디버그할 수 있습니다. 리플레이가 활성화되면 캡처는 기본적으로 켜져 있으며, `sessionReplay.console` 및 `sessionReplay.network` 옵션으로 조정하거나 비활성화할 수 있습니다. 각 옵션은 불리언 또는 옵션 객체(`{ maxEvents?: number }`)를 받으며, `network`는 추가로 `captureErrorBodies`와 `maxErrorBodyLength`를 받습니다. 요청 본문과 헤더는 절대 캡처되지 않으며, 응답 본문은 5xx(서버 오류) 응답에 한해서만 경계가 지정된 정제된 스니펫으로 캡처됩니다(`captureErrorBodies`, 기본값 `true`, `maxErrorBodyLength` 문자 수로 상한 설정, 기본값 2048) — 5xx가 아닌 응답과 네트워크 실패(상태 0) 응답에는 본문이 포함되지 않습니다. URL은 정제되며, 메시지는 잘리고, 레코더 자체의 수집/추적 트래픽은 제외되며, 세션당 한도(콘솔 1000개 / 네트워크 2000개 이벤트)를 초과하면 잘림 안내가 추가됩니다.
 
 Analytics 템플릿은 리플레이 메타데이터를 SQL(`session_recordings`)에 저장하고 청크는 프라이빗 blob 참조(`session_replay_chunks`)를 통해 저장합니다. 브라우저와 에이전트는 공급자 URL을 절대 받지 않습니다. 재생은 범위가 지정된 서버 경로를 거치며, 기본 에이전트 도구는 원시 청크 테이블 접근이 아닌 요약 또는 범위가 지정된 리플레이 이벤트를 반환합니다.

package/docs/content/locales/pt-BR/external-agents.mdx

@@ -325,8 +325,10 @@ O servidor MCP fornece um **catálogo compacto por padrão para cada chamador**
   </div>
 </div>
 <p class="diagram-muted note">
-  <code>tool-search</code> reaches any full-tier tool on demand &mdash; so the
-  compact default keeps context small without hiding capability.
+  <code>tool-search</code> descobre ferramentas da camada completa sob demanda;
+  o catálogo do conector ou a política de leituras autenticadas ainda precisa
+  permitir a execução, salvo quando o chamador opta explicitamente pela camada
+  completa.
 </p>
 ```
 
@@ -364,15 +366,45 @@ O servidor MCP fornece um **catálogo compacto por padrão para cada chamador**
 
 ### Camada compacta/conector (padrão) {#connector-tier}
 
-Por padrão, cada agente conectado vê um catálogo pequeno e selecionado (cerca de 20 a 30 ferramentas versus cerca de 105 na superfície completa):
+Por padrão, cada agente conectado vê um catálogo pequeno e selecionado (cerca de 20 a 30 ferramentas versus cerca de 105 na superfície completa). Os aplicativos podem manter um `connectorCatalog` explícito ou optar pela política de leituras autenticadas:
 
 - **Aplicativo declarado por modelo actions** — a lista de permissões segura no nível do aplicativo. Para planos `create-visual-plan`, `get-visual-plan`, `share-resource`, `navigate`, `tool-search` e similares.
 - **Ferramentas integradas para vários aplicativos** — `list_apps`, `open_app`, `ask_app`, `create_embed_session`.
-- **`tool-search`** está sempre presente, então qualquer coisa fora da lista permanece acessível sob demanda (veja abaixo).
+- **`tool-search`** está sempre presente para descoberta. Uma action descoberta ainda precisa estar no catálogo do conector, ser incluída pela política de leituras autenticadas ou ser habilitada pela opção explícita de catálogo completo antes que `tools/call` possa executá-la.
 
-Ferramentas fora da lista — por exemplo `db-exec`, `seed-*`, o conjunto de extensões, ferramentas de sessão de navegador e ferramentas de raio X de contexto — não são anunciadas e as chamadas para elas são rejeitadas com "Ferramenta desconhecida", a menos que o chamador tenha optado pelo catálogo completo. Isso mantém pequena a janela de contexto de cada agente conectado e remove armas de fogo que são seguras apenas para desenvolvimento local de locatário único. A camada do conector fica ativa **sempre que um modelo declara um `connectorCatalog`** — ele não está protegido por uma variável de ambiente.
+Ferramentas fora da lista — por exemplo `db-exec`, `seed-*`, o conjunto de extensões, ferramentas de sessão de navegador e ferramentas de raio X de contexto — não são anunciadas e as chamadas para elas são rejeitadas com "Ferramenta desconhecida", a menos que o chamador tenha optado pelo catálogo completo. Isso mantém pequena a janela de contexto de cada agente conectado e remove armas de fogo que são seguras apenas para desenvolvimento local de locatário único.
 
-`tool-search` funciona de duas maneiras: chame-o com **sem consulta** para obter o menu completo de nomes de ferramentas mais descrições de uma linha (barato, sem esquemas) ou com uma consulta para correspondências classificadas com resumos de parâmetros. É assim que um cliente compactado descobre e carrega qualquer ferramenta de superfície completa quando precisa.
+`tool-search` funciona de duas maneiras: chame-o **sem consulta** para obter o menu completo de nomes de ferramentas mais descrições de uma linha (barato, sem esquemas) ou com uma consulta para correspondências classificadas com resumos de parâmetros. Ele ajuda um cliente compacto a descobrir recursos; use `ask_app` para qualquer tarefa que exija o raciocínio mais amplo do agente do aplicativo ou uma gravação.
+
+#### Leituras autenticadas por padrão
+
+Aplicativos que desejam que as ferramentas de leitura direta funcionem sem manter uma lista longa podem optar por leituras autenticadas automáticas:
+
+```ts
+export default createAgentChatPlugin({
+  appId: "analytics",
+  externalAgents: {
+    authenticatedReads: "auto",
+    writes: "ask_app_only",
+    // Veto opcional de defesa em profundidade para leituras especialmente sensíveis.
+    denyActions: ["get-sensitive-export"],
+  },
+});
+```
+
+`authenticatedReads: "auto"` adiciona somente actions que declaram explicitamente todos os itens a seguir:
+
+- `http: { method: "GET" }`
+- `readOnly: true`
+- `publicAgent: { expose: true, readOnly: true, requiresAuth: true }`
+
+A política combina essas actions com entradas explícitas de `connectorCatalog` e depois aplica `denyActions`. Com `writes: "ask_app_only"` (o padrão quando as leituras automáticas estão habilitadas), ferramentas que alteram dados não podem ser chamadas diretamente; encaminhe trabalhos de várias etapas e mutações por `ask_app`. `writes: "allowlisted"` existe apenas para aplicativos que mantêm intencionalmente uma lista explícita de gravações permitidas.
+
+A política é autenticada, não anônima. A identidade MCP OAuth/connect é transmitida por `runWithRequestContext`, portanto as verificações de acesso das actions, os escopos de proprietário/organização e os escopos de leitura OAuth continuam valendo. Actions públicas ou não autenticadas não são incluídas automaticamente.
+
+Os `db-schema` e `db-query` do Core não são expostos automaticamente como leituras externas. Eles continuam disponíveis ao agente interno do aplicativo pelo caminho SQL com escopo normal, mas o acesso amplo ao esquema/SQL é poderoso demais para ser inferido apenas de metadados de leitura. Se o aplicativo precisar de consultas externas diretas, exponha uma action GET própria com controles e limites de acesso, ou uma lista explícita de tabelas/colunas com limites de linhas, bytes, tempo e auditoria. `db-exec` e `db-patch` permanecem fora da superfície automática.
+
+DMs do Slack usam a identidade do usuário somente após verificar o e-mail e confirmar a associação à organização Agent Native. Canais compartilhados usam um principal de serviço e não herdam as permissões privadas de um participante. O OAuth gerenciado e o manifesto gerado do Slack solicitam `users:read.email`; instalações existentes precisam ser reconectadas após adicionar o escopo e tokens antigos de bot precisam ser atualizados manualmente no Slack.
 
 ### Nível completo (somente aceitação explícita) {#full-tier}
 
@@ -474,7 +506,7 @@ Além das ferramentas por ação, o servidor MCP expõe um conjunto de verbos es
 
 `create_workspace_app` rejeita qualquer modelo não listado na lista de permissões — a lista de permissões de modelos públicos no `packages/shared-app-config/templates.ts` é oficial e protegida por CI; um agente externo não pode ampliá-lo. Uma ação de modelo com o mesmo nome substitui uma ação interna (precedência de modelo sobre núcleo). Desative todo o conjunto com `MCPConfig.builtinCrossAppTools: false`.
 
-Os catálogos de ferramentas e recursos para hosts de aplicativos são compactos por padrão — consulte [Catalog tiers](#catalog-tiers). `publicAgent.expose` continua sendo a opção para ferramentas seguras de leitura/ingestão fora desse catálogo compacto; defina `mcpApp.compactCatalog: true` apenas como uma rara exceção para actions que deve aparecer na descoberta do host do chat.
+Os catálogos de ferramentas e recursos para hosts de aplicativos são compactos por padrão — consulte [Catalog tiers](#catalog-tiers). `publicAgent.expose` continua sendo a opção no nível da action para ferramentas seguras de leitura/ingestão fora desse catálogo compacto; os aplicativos podem definir `externalAgents.authenticatedReads: "auto"` para anunciar essas leituras autenticadas sem um catálogo escrito à mão. Defina `mcpApp.compactCatalog: true` apenas como uma rara exceção para actions que precisam aparecer na descoberta do host do chat.
 
 Para transferências rápidas de ChatGPT/Claude, o caminho ideal é direto: chame a ação que cria ou abre o artefato e deixe o aplicativo MCP iniciar a rota. Uma solicitação de correio deve chamar `manage_draft` e renderizar a rota de composição real. Uma solicitação de painel deve chamar `open_app({ path, embed: true })` ou uma ação de painel com `mcpApp` e renderizar a rota completa do Analytics. Calendário, Formulários, Conteúdo, Slides, Design e Clipes devem seguir o mesmo padrão com seu rascunho/criação/pesquisa actions. `list_apps` é útil quando o modelo precisa escolher entre aplicativos concedidos; `resources/list` amplo, descoberta de catálogo completo ou delegação `ask_app` não devem ser o caminho normal para uma transferência óbvia de UI.
 

package/docs/content/locales/pt-BR/tracking.mdx

@@ -238,6 +238,8 @@ Os padrões de privacidade são intencionalmente conservadores, mas ainda úteis
 - As URLs são higienizadas com o mesmo auxiliar `scrubUrl()` usado pela análise do navegador.
 - A captura de replay é somente para web e opcional; ela não grava telas de desktop nativas.
 
+Os iframes gerenciados pelo framework, incluindo extensões e conteúdo de e-mail renderizado, são incluídos na captura de replay. Os mesmos seletores de mascaramento e bloqueio se aplicam dentro dos frames gravados. Um iframe de terceiros com origem diferente permanece opaco, a menos que seu próprio documento execute um gravador rrweb compatível com a gravação de iframes entre origens habilitada; a página principal não pode contornar os limites de origem do navegador.
+
 Durante a gravação, o replay de sessão também captura a saída do console do navegador (`log`, `info`, `warn`, `error`, `debug`, além dos eventos `error`/`unhandledrejection` da janela) e metadados de solicitações de rede (`fetch` e XHR) como eventos personalizados do rrweb marcados, para que agentes e o visualizador de replay possam depurar problemas relatados por usuários. A captura é ativada por padrão quando o replay está habilitado; ajuste ou desabilite-a com as opções `sessionReplay.console` e `sessionReplay.network`, cada uma aceitando um booleano ou um objeto de opções (`{ maxEvents?: number }`, sendo que `network` também aceita `captureErrorBodies` e `maxErrorBodyLength`). Corpos e cabeçalhos de solicitação nunca são capturados; corpos de resposta são capturados apenas como um trecho limitado e higienizado para respostas 5xx (erro de servidor) (`captureErrorBodies`, padrão `true`, limitado a `maxErrorBodyLength` caracteres, padrão 2048) — respostas que não sejam 5xx e falhas de rede (status 0) nunca carregam um corpo. As URLs são higienizadas, as mensagens são truncadas, o próprio tráfego de ingestão/rastreamento do gravador é excluído, e os orçamentos por sessão (1000 eventos de console / 2000 eventos de rede) adicionam um aviso de truncamento quando excedidos.
 
 O modelo Analytics armazena os metadados de replay em SQL (`session_recordings`) e armazena os blocos por meio de referências privadas de blob (`session_replay_chunks`). Navegadores e agentes nunca recebem URLs de provedores. A reprodução passa por rotas de servidor com escopo definido, e as ferramentas padrão do agente retornam resumos ou eventos de replay limitados, não acesso bruto à tabela de blocos.

package/docs/content/locales/zh-CN/external-agents.mdx

@@ -324,8 +324,8 @@ MCP 服务器默认为每个调用者提供一个**紧凑的目录** — 托管
   </div>
 </div>
 <p class="diagram-muted note">
-  <code>tool-search</code> reaches any full-tier tool on demand &mdash; so the
-  compact default keeps context small without hiding capability.
+  <code>tool-search</code> 可按需发现完整层工具；除非调用方明确选择完整层，
+  否则连接器目录或已认证读取策略仍须允许执行。
 </p>
 ```
 
@@ -363,15 +363,45 @@ MCP 服务器默认为每个调用者提供一个**紧凑的目录** — 托管
 
 ### 紧凑/连接器层（默认） {#connector-tier}
 
-默认情况下，每个连接的代理都会看到一个小型的、精心策划的目录（约 20–30 个工具，而整个表面上约 105 个工具）：
+默认情况下，每个连接的代理都会看到一个小型的、精心策划的目录（约 20–30 个工具，而完整界面约有 105 个工具）。应用可以维护明确的 `connectorCatalog`，也可以选择已认证读取策略：
 
 - **模板声明的应用程序 actions** — 安全应用程序级别允许列表。对于 `create-visual-plan`、`get-visual-plan`、`share-resource`、`navigate`、`tool-search` 等类似计划。
 - **内置跨应用工具** - `list_apps`、`open_app`、`ask_app`、`create_embed_session`。
-- **`tool-search`** 始终存在，因此列表之外的任何内容都可以按需访问（见下文）。
+- **`tool-search`** 始终用于发现。发现的 action 必须获得连接器目录、已认证读取策略或明确的完整目录选择允许，`tools/call` 才能执行它。
 
-列表之外的工具（例如 `db-exec`、`seed-*`、扩展套件、浏览器会话工具和上下文 X 射线工具）不会公布，并且对它们的调用将被拒绝并显示“未知工具”，除非调用者选择加入完整目录。这使每个连接的代理的上下文窗口保持较小，并消除了仅对单租户本地开发安全的脚枪。 **每当模板声明 `connectorCatalog`** 时，连接器层就会处于活动状态 - 它不会受到环境变量的限制。
+列表之外的工具（例如 `db-exec`、`seed-*`、扩展套件、浏览器会话工具和上下文 X 射线工具）不会公布，并且对它们的调用将被拒绝并显示“未知工具”，除非调用者选择加入完整目录。这使每个连接的代理的上下文窗口保持较小，并消除了仅对单租户本地开发安全的危险工具。
 
-`tool-search` 有两种工作方式：使用**无查询**来调用它，以获取工具名称的完整菜单加上一行描述（便宜，无模式），或者使用参数摘要来查询排名匹配。这就是压缩客户端在需要时发现并加载任何全表面工具的方式。
+`tool-search` 有两种工作方式：使用**无查询**调用它，以获取工具名称的完整菜单及单行描述（开销低、无 schema），或使用查询获取带参数摘要的排序匹配项。它帮助精简客户端发现功能；需要应用代理进行更广泛推理或写入时，请使用 `ask_app`。
+
+#### 默认启用已认证读取
+
+希望直接工具无需维护长允许列表即可使用的应用，可以选择自动已认证读取：
+
+```ts
+export default createAgentChatPlugin({
+  appId: "analytics",
+  externalAgents: {
+    authenticatedReads: "auto",
+    writes: "ask_app_only",
+    // 可选的纵深防御：拒绝特别敏感的读取。
+    denyActions: ["get-sensitive-export"],
+  },
+});
+```
+
+`authenticatedReads: "auto"` 只会添加明确声明了以下全部内容的 action：
+
+- `http: { method: "GET" }`
+- `readOnly: true`
+- `publicAgent: { expose: true, readOnly: true, requiresAuth: true }`
+
+该策略会将这些 action 与任何明确的 `connectorCatalog` 条目合并，然后应用 `denyActions`。使用 `writes: "ask_app_only"`（启用自动读取时的默认值）时，变更类工具不能直接调用；多步骤工作和变更应通过 `ask_app` 完成。`writes: "allowlisted"` 仅适用于有意维护明确写入允许列表的应用。
+
+该策略面向已认证访问，而非匿名访问。MCP OAuth/连接身份仍通过 `runWithRequestContext` 传递，因此 action 级访问检查、所有者/组织作用域和 OAuth 读取作用域继续生效。公开/未认证 action 不会包含在自动读取中。
+
+Core `db-schema` 和 `db-query` 不会自动作为外部读取公开。它们仍可通过正常的作用域 SQL 路径供应用内代理使用，但广泛的架构/SQL 访问过于强大，不能仅凭只读元数据推断。如果应用需要直接外部查询，应提供带访问检查和边界的应用自有 GET action，或明确的表/列允许列表，并限制行数、字节数、超时和审计。`db-exec` 和 `db-patch` 仍不属于自动公开范围。
+
+Slack 私信只有在验证电子邮件并确认用户属于 Agent Native 组织后，才会使用用户身份运行。共享频道使用服务主体，不会借用参与者的私人权限。托管 OAuth 和生成的 Slack manifest 都会请求 `users:read.email`；已有安装在添加该 scope 后必须重新连接，旧 bot token 则必须在 Slack 中手动更新。
 
 ### 完整层（仅限明确选择加入） {#full-tier}
 
@@ -473,7 +503,7 @@ CSP 和沙箱权限等安全元数据存在于资源中
 
 `create_workspace_app` 拒绝任何非允许列表模板 - `packages/shared-app-config/templates.ts` 中的公共模板允许列表是权威且受 CI 保护的；外部代理无法扩大它。同名的模板操作会覆盖内置操作（模板优先于核心优先级）。使用 `MCPConfig.builtinCrossAppTools: false` 禁用整个设置。
 
-应用程序主机的工具和资源目录默认是紧凑的 - 请参阅 [Catalog tiers](#catalog-tiers)。 `publicAgent.expose` 仍然是该紧凑目录之外安全读取/摄取工具的选择；仅将 `mcpApp.compactCatalog: true` 设置为 actions 的罕见例外，必须出现在聊天主机发现中。
+应用程序主机的工具和资源目录默认是紧凑的，请参阅[目录层级](#catalog-tiers)。`publicAgent.expose` 仍是紧凑目录之外安全读取/摄取工具的 action 级选择。应用可以设置 `externalAgents.authenticatedReads: "auto"`，无需手写目录即可公布这些已认证读取。仅将 `mcpApp.compactCatalog: true` 用作必须出现在聊天主机发现中的 action 的罕见例外。
 
 对于快速 ChatGPT/Claude 切换，理想的路径是直接的：调用创建或打开工件的操作，然后让 MCP 应用程序启动路线。邮件请求应调用 `manage_draft` 并呈现真实的撰写路由。仪表板请求应调用 `open_app({ path, embed: true })` 或使用 `mcpApp` 的仪表板操作并呈现完整的 Analytics 路径。日历、表单、内容、幻灯片、设计和剪辑的草稿/创建/搜索 actions 应遵循相同的模式。当模型必须在授予的应用程序中进行选择时，`list_apps` 非常有用；广泛的 `resources/list`、全目录发现或 `ask_app` 委派不应该是明显的 UI 切换的正常途径。
 

package/docs/content/locales/zh-CN/tracking.mdx

@@ -238,6 +238,8 @@ VITE_AGENT_NATIVE_SESSION_REPLAY_SAMPLE_RATE=1
 - URL 会使用与浏览器分析相同的 `scrubUrl()` 辅助函数进行清理。
 - 重放采集仅限 Web 端且为选择性加入（opt-in）；不会录制原生桌面屏幕。
 
+框架管理的 iframe（包括扩展和渲染后的电子邮件内容）会纳入重放采集。录制的 frame 内同样适用遮罩和屏蔽选择器。第三方跨源 iframe 会保持不可见，除非其自身文档运行兼容的 rrweb 录制器并启用跨源 iframe 录制；父页面无法绕过浏览器的源边界。
+
 录制期间，会话重放还会捕获浏览器控制台输出（`log`、`info`、`warn`、`error`、`debug`，以及 window 的 `error` / `unhandledrejection`）和网络请求元数据（`fetch` 和 XHR），并将其作为带标签的 rrweb 自定义事件记录下来，以便代理和重放查看器调试用户报告的问题。启用重放后，此项捕获默认开启；可通过 `sessionReplay.console` 和 `sessionReplay.network` 选项进行调整或禁用，两者均可接受布尔值或选项对象（`{ maxEvents?: number }`，其中 `network` 还可接受 `captureErrorBodies` 和 `maxErrorBodyLength`）。请求正文和请求头永远不会被捕获；响应正文仅在 5xx（服务器错误）响应下才会被捕获，且只捕获一段有边界、经过脱敏处理的片段（`captureErrorBodies`，默认值为 `true`，长度上限为 `maxErrorBodyLength` 个字符，默认 2048）——非 5xx 响应以及网络失败（状态码 0）的响应永远不会携带正文。URL 会被清理，消息会被截断，录制器自身的上报/跟踪流量会被排除，并且每个会话的配额（1000 条控制台事件 / 2000 条网络事件）在超出时会附加截断提示。
 
 Analytics 模板将重放元数据存储在 SQL（`session_recordings`）中，并通过私有 blob 引用（`session_replay_chunks`）存储数据块。浏览器和代理永远不会收到提供商的 URL。回放通过受限的服务器路由进行，默认的代理工具返回的是摘要或有限范围的重放事件，而非原始数据块表的直接访问权限。

package/docs/content/locales/zh-TW/durable-background-runs.mdx

@@ -145,6 +145,20 @@ Netlify 背景函式是**付費方案**功能（Personal / Pro，不含免費方
 
 </Callout>
 
+## 前景自我續跑鏈：一個範圍較小、選用的退路 {#foreground-self-chain}
+
+還有第二個獨立旗標控制另一種續跑機制：`AGENT_CHAT_FOREGROUND_SELF_CHAIN`。持久背景執行會把整個長回合移到上面提到的 15 分鐘背景函式；相較之下，前景自我續跑鏈是讓一般（非持久背景）回合在遇到軟逾時的區塊邊界時，透過**一般**請求函式上的伺服器端自我分派來繼續，而不是依賴用戶端重新送出 `auto_continue`。
+
+它的組合條件與 `AGENT_CHAT_DURABLE_BACKGROUND` 相同：只有在旗標明確為真值（`true` / `1` / `yes` / `on`）、應用在託管環境中執行，且已設定 `A2A_SECRET` 時才會成立。這兩個旗標彼此獨立，不需要一致——應用可以只啟用這個範圍較小的功能，而不需要選用完整的背景函式 worker 路徑。當某個 run 已符合持久背景分派條件時，該決定會優先評估並生效；該 run 會透過背景 worker 續跑，而不會走這條路徑。
+
+<Callout id="doc-block-fgschn1" tone="warning">
+
+這個旗標**預設為關閉，屬於選用功能**。一般 Netlify 函式有固定的 **60 秒**上限——遠短於上面背景函式的 15 分鐘預算——因此自我分派的後續呼叫可能會在完成前就被中止，導致還沒儲存下一段續跑內容，讓長回覆在句子中間被截斷。旗標關閉時，託管應用會改用既有的用戶端驅動 `auto_continue` 重新送出路徑，該路徑續跑速度較慢，但不會被伺服器端逾時中止。
+
+</Callout>
+
+只有在確認託管環境的一般函式能在 60 秒上限內可靠完成自我分派的續跑之後，才建議啟用這個旗標。對於長時間、多步驟的回合，請優先使用上面的 `AGENT_CHAT_DURABLE_BACKGROUND`——它的背景函式預算大得多，是建議採用的路徑。
+
 ## 相關
 
 - [**持久恢復**](/docs/durable-resume) — 中斷的 run 如何恢復而不重複已完成的副作用（另一個永遠啟用的保護）。

package/docs/content/locales/zh-TW/external-agents.mdx

@@ -324,8 +324,8 @@ MCP 伺服器預設為每個呼叫者提供一個**緊湊的目錄** — 託管
   </div>
 </div>
 <p class="diagram-muted note">
-  <code>tool-search</code> reaches any full-tier tool on demand &mdash; so the
-  compact default keeps context small without hiding capability.
+  <code>tool-search</code> 可按需探索完整層工具；除非呼叫端明確選擇完整層，
+  否則連線器目錄或已驗證讀取政策仍須允許執行。
 </p>
 ```
 
@@ -363,15 +363,45 @@ MCP 伺服器預設為每個呼叫者提供一個**緊湊的目錄** — 託管
 
 ### 緊湊/連線器層（預設） {#connector-tier}
 
-預設情況下，每個連線的代理都會看到一個小型的、精心策劃的目錄（約 20–30 個工具，而整個表面上約 105 個工具）：
+預設情況下，每個連線的代理都會看到一個小型、精心規劃的目錄（約 20–30 個工具，而完整介面約有 105 個工具）。應用程式可以維護明確的 `connectorCatalog`，也可以選擇已驗證讀取政策：
 
 - **範本聲明的應用程式 actions** — 安全應用程式層級允許清單。對於 `create-visual-plan`、`get-visual-plan`、`share-resource`、`navigate`、`tool-search` 等類似計畫。
 - **內建跨應用工具** - `list_apps`、`open_app`、`ask_app`、`create_embed_session`。
-- **`tool-search`** 始終存在，因此清單之外的任何內容都可以按需存取（見下文）。
+- **`tool-search`** 始終用於探索。探索到的 action 必須獲得連線器目錄、已驗證讀取政策或明確的完整目錄選擇允許，`tools/call` 才能執行它。
 
-清單之外的工具（例如 `db-exec`、`seed-*`、擴充功能套件、瀏覽器工作階段工具和脈絡 X 射線工具）不會公布，並且對它們的呼叫將被拒絕並顯示“未知工具”，除非呼叫者選取加入完整目錄。這使每個連線的代理的脈絡視窗保持較小，並消除了僅對單租戶本機開發安全的腳槍。 **每當範本聲明 `connectorCatalog`** 時，連線器層就會處於活動狀態 - 它不會受到環境變數的限制。
+清單之外的工具（例如 `db-exec`、`seed-*`、擴充功能套件、瀏覽器工作階段工具和 context-xray 工具）不會公布，除非呼叫端選擇完整目錄，否則呼叫會以「未知工具」遭拒。這能縮小每個連線代理的脈絡視窗，並移除僅適合單一租戶本機開發的危險工具。
 
-`tool-search` 有兩種工作方式：使用**無查詢**來呼叫它，以取得工具名稱的完整選單加上一行描述（便宜，無模式），或者使用參數摘要來查詢排名匹配。這就是壓縮用戶端在需要時發現並載入任何全表面工具的方式。
+`tool-search` 有兩種運作方式：以**無查詢**呼叫來取得工具名稱的完整選單與單行說明（成本低、無 schema），或使用查詢取得附參數摘要的排序結果。它協助精簡用戶端探索功能；需要應用程式代理進行更廣泛推理或寫入時，請使用 `ask_app`。
+
+#### 預設啟用已驗證讀取
+
+希望直接工具不必維護冗長允許清單即可使用的應用程式，可以選擇自動已驗證讀取：
+
+```ts
+export default createAgentChatPlugin({
+  appId: "analytics",
+  externalAgents: {
+    authenticatedReads: "auto",
+    writes: "ask_app_only",
+    // 選用的縱深防禦：拒絕特別敏感的讀取。
+    denyActions: ["get-sensitive-export"],
+  },
+});
+```
+
+`authenticatedReads: "auto"` 只會加入明確宣告以下全部內容的 action：
+
+- `http: { method: "GET" }`
+- `readOnly: true`
+- `publicAgent: { expose: true, readOnly: true, requiresAuth: true }`
+
+此政策會將這些 action 與任何明確的 `connectorCatalog` 項目合併，然後套用 `denyActions`。使用 `writes: "ask_app_only"`（啟用自動讀取時的預設值）時，變更類工具無法直接呼叫；多步驟工作與變更應透過 `ask_app` 完成。`writes: "allowlisted"` 僅適用於刻意維護明確寫入允許清單的應用程式。
+
+此政策用於已驗證存取，而非匿名存取。MCP OAuth/連線身分仍透過 `runWithRequestContext` 傳遞，因此 action 層級存取檢查、擁有者/組織範圍及 OAuth 讀取範圍仍會生效。公開/未驗證 action 不會包含在自動讀取中。
+
+Core `db-schema` 與 `db-query` 不會自動公開為外部讀取。它們仍可透過一般的範圍 SQL 路徑供應用程式內代理使用，但廣泛的結構描述/SQL 存取過於強大，不能只從唯讀中繼資料推斷。若應用程式需要直接外部查詢，請提供具有存取檢查與限制的應用程式自有 GET action，或明確的資料表/欄位允許清單，並限制資料列、位元組、逾時與稽核。`db-exec` 與 `db-patch` 仍不屬於自動公開範圍。
+
+Slack 私訊只有在驗證電子郵件並確認使用者屬於 Agent Native 組織後，才會使用使用者身分執行。共用頻道使用服務主體，不會借用參與者的私人權限。託管 OAuth 與產生的 Slack manifest 都會要求 `users:read.email`；現有安裝在新增 scope 後必須重新連線，舊 bot token 則必須在 Slack 中手動更新。
 
 ### 完整層（僅限明確選取加入） {#full-tier}
 
@@ -473,7 +503,7 @@ CSP 和沙箱權限等安全中繼資料存在於資源中
 
 `create_workspace_app` 拒絕任何非允許清單範本 - `packages/shared-app-config/templates.ts` 中的公開範本允許清單是權威且受 CI 保護的；外部代理無法擴大它。同名的範本操作會覆蓋內建操作（範本優先於核心優先級）。使用 `MCPConfig.builtinCrossAppTools: false` 停用整個設定。
 
-應用程式主機的工具和資源目錄預設是緊湊的 - 請參閱 [Catalog tiers](#catalog-tiers)。 `publicAgent.expose` 仍然是該緊湊目錄之外安全讀取/攝取工具的選取；僅將 `mcpApp.compactCatalog: true` 設定為 actions 的罕見例外，必須出現在聊天主機發現中。
+應用程式主機的工具和資源目錄預設為精簡，請參閱[目錄層級](#catalog-tiers)。`publicAgent.expose` 仍是精簡目錄之外安全讀取/擷取工具的 action 層級選項。應用程式可設定 `externalAgents.authenticatedReads: "auto"`，不必手寫目錄即可公佈這些已驗證讀取。僅將 `mcpApp.compactCatalog: true` 用於必須出現在聊天主機探索中的 action 之罕見例外。
 
 對於快速 ChatGPT/Claude 切換，理想的路徑是直接的：呼叫建立或開啟工件的操作，然後讓 MCP 應用程式啟動路由。郵件請求應呼叫 `manage_draft` 並呈現真實的撰寫路由。儀表板請求應呼叫 `open_app({ path, embed: true })` 或使用 `mcpApp` 的儀表板操作並呈現完整的 Analytics 路徑。行事曆、表單、內容、幻燈片、設計和剪輯的草稿/建立/搜尋 actions 應遵循相同的模式。當模型必須在授予的應用程式中進行選取時，`list_apps` 非常有用；廣泛的 `resources/list`、全目錄發現或 `ask_app` 委派不應該是明顯的 UI 切換的正常途徑。
 

package/docs/content/locales/zh-TW/tracking.mdx

@@ -238,6 +238,8 @@ VITE_AGENT_NATIVE_SESSION_REPLAY_SAMPLE_RATE=1
 - URL 會使用瀏覽器分析所用的同一個 `scrubUrl()` 輔助函式進行清理。
 - 重播擷取僅限於網頁，且為選擇加入；它不會錄製原生桌面畫面。
 
+由框架管理的 iframe（包括擴充功能與轉譯後的電子郵件內容）會納入重播擷取。錄製的 frame 內同樣套用遮罩與封鎖選擇器。第三方跨來源 iframe 會維持不透明，除非其本身的文件執行相容的 rrweb 記錄器並啟用跨來源 iframe 錄製；父頁面無法繞過瀏覽器的來源界線。
+
 在錄製期間，工作階段重播還會擷取瀏覽器主控台輸出（`log`、`info`、`warn`、`error`、`debug`，以及視窗的 `error`/`unhandledrejection`）與網路請求元資料（`fetch` 與 XHR），並以帶標籤的 rrweb 自訂事件形式儲存，讓代理與重播檢視器能夠偵錯使用者回報的問題。啟用重播後，擷取功能預設為開啟；可透過 `sessionReplay.console` 與 `sessionReplay.network` 選項進行調整或停用，這兩個選項都接受布林值或選項物件（`{ maxEvents?: number }`，其中 `network` 另外還可接受 `captureErrorBodies` 與 `maxErrorBodyLength`）。請求主體與標頭永遠不會被擷取；回應主體僅在 5xx（伺服器錯誤）回應時才會被擷取，且僅擷取一段有邊界、經過遮蔽處理的片段（`captureErrorBodies`，預設為 `true`，上限為 `maxErrorBodyLength` 個字元，預設 2048）——非 5xx 及網路失敗（狀態碼 0）的回應永遠不會帶有主體。URL 會被清理，訊息會被截斷，記錄器自身的擷取/追蹤流量會被排除，且每個工作階段的預算（1000 個主控台事件／2000 個網路事件）在超過時會加上截斷提示。
 
 Analytics 範本將重播中繼資料儲存在 SQL（`session_recordings`）中，並透過私有 blob 參照（`session_replay_chunks`）儲存區塊。瀏覽器與代理永遠不會收到提供者 URL。播放透過範圍受限的伺服器路由進行，且預設代理工具傳回摘要或範圍受限的重播事件，而非原始區塊資料表存取權。

package/docs/content/tracking.mdx

@@ -237,6 +237,8 @@ Privacy defaults are intentionally conservative but still useful for playback:
 - URLs are scrubbed with the same `scrubUrl()` helper used by browser analytics.
 - Replay capture is web-only and opt-in; it does not record native desktop screens.
 
+Framework-owned iframes, including extensions and rendered email content, are included in replay capture. The same masking and blocking selectors apply inside recorded frames. A third-party cross-origin iframe remains opaque unless its own document runs a compatible rrweb recorder with cross-origin iframe recording enabled; browser origin boundaries cannot be bypassed from the parent page.
+
 While recording, session replay also captures browser console output (`log`, `info`, `warn`, `error`, `debug`, plus window `error` / `unhandledrejection`) and network request metadata (`fetch` and XHR) as tagged rrweb custom events, so agents and the replay viewer can debug user-reported issues. Capture is on by default when replay is enabled; tune or disable it with the `sessionReplay.console` and `sessionReplay.network` options, each accepting a boolean or an options object (`{ maxEvents?: number }`, with `network` additionally accepting `captureErrorBodies` and `maxErrorBodyLength`). Request bodies and headers are never captured; response bodies are captured only as a bounded, redacted snippet for 5xx (server error) responses (`captureErrorBodies`, default true, capped at `maxErrorBodyLength` chars, default 2048) — non-5xx and network-failure responses never carry a body. URLs are scrubbed, messages are truncated, the recorder's own ingest/tracking traffic is excluded, and per-session budgets (1000 console / 2000 network events) add a truncation notice when exceeded.
 
 The Analytics template stores replay metadata in SQL (`session_recordings`) and stores chunks through private blob refs (`session_replay_chunks`). Browsers and agents never receive provider URLs. Playback goes through scoped server routes and the default agent tools return summaries or bounded replay events, not raw chunk table access.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@agent-native/core",
-  "version": "0.98.4",
+  "version": "0.98.6",
   "description": "Framework for agent-native application development — where AI agents and UI share SQL state, actions, and context",
   "homepage": "https://github.com/BuilderIO/agent-native#readme",
   "bugs": {
@@ -333,7 +333,7 @@
     "y-protocols": "^1.0.7",
     "yjs": "^13.6.31",
     "zod": "^4.3.6",
-    "@agent-native/toolkit": "^0.4.8"
+    "@agent-native/toolkit": "^0.4.9"
   },
   "devDependencies": {
     "@ai-sdk/anthropic": "^3.0.71",

package/src/templates/workspace-core/.agents/skills/external-agents/SKILL.md

@@ -160,15 +160,44 @@ tiny by default for ChatGPT/Claude-style app hosts, including OAuth MCP Apps
 callers and generic authenticated remote HTTP/static-token callers. The model
 sees the generic app-facing verbs (`list_apps`, `open_app`, `ask_app`, and
 app-only `create_embed_session`) and routes UI through
-`open_app({ embed: true })`. Stdio/code clients that explicitly identify as
-developer clients keep the full connected action surface, and
-`publicAgent.expose` remains the opt-in for safe read/ingest tools outside the
-compact MCP Apps catalog. Do not rely on action-specific `mcpApp` resources
-appearing in ChatGPT/Claude discovery by default; use `open_app` for the
+`open_app({ embed: true })`. Stdio/code clients use the same compact surface
+unless they explicitly opt into the full catalog, and
+`publicAgent.expose` remains the action-level opt-in for safe read/ingest tools
+outside the compact MCP Apps catalog. Apps can set
+`externalAgents.authenticatedReads: "auto"` to automatically advertise every
+action that is GET + `readOnly` + `publicAgent.requiresAuth`, instead of
+maintaining a long connector allow-list. This policy never includes writes by
+default; use `writes: "ask_app_only"` to keep mutations behind `ask_app`, and
+use `denyActions` for defense-in-depth vetoes. `tool-search` remains available
+for discovery, but a searched action still needs to be in the connector
+catalog, included by the authenticated-read policy, or enabled by the explicit
+full-catalog opt-in before `tools/call` can execute it. Do not rely on
+action-specific `mcpApp` resources appearing in ChatGPT/Claude discovery by
+default; use `open_app` for the
 first-class app embed path. If a specific
 action truly must remain visible in that compact app-host catalog, set
 `mcpApp.compactCatalog: true` as a rare escape hatch.
 
+Generic core `db-schema` and `db-query` are intentionally not automatic
+external reads. They remain available to the in-app agent through the normal
+scoped SQL path, but broad schema/SQL access is too powerful to infer from
+read-only metadata alone. If an app needs direct external querying, expose an
+app-owned bounded GET action or add an explicit table/column allow-list with
+row, byte, timeout, and audit limits. Keep `db-exec` and `db-patch` outside
+automatic external-agent exposure.
+
+Authentication and authorization are separate gates. A verified MCP OAuth or
+connect token identifies the caller and organization; `publicAgent` only opts
+an action into the external protocol surface and does not grant record access.
+Actions still need `accessFilter`, `resolveAccess`, or `assertAccess` so private
+documents/dashboards, shares, organization boundaries, and roles are enforced.
+For Slack, verified DMs are linked to an existing Agent Native org member
+before execution and run with that user's context; shared channels use a
+service principal, and guests/external members cannot borrow personal access.
+Managed Slack OAuth and the generated app manifest both request
+`users:read.email`; existing installs must reconnect/reinstall after a scope
+change, while legacy bot-token installs must add the scope in Slack manually.
+
 ### 1b. Fast-path expectations for MCP Apps hosts
 
 Keep ChatGPT/Claude paths short. For a known app-facing intent, the external

package/src/templates/workspace-core/.agents/skills/observability/SKILL.md

@@ -158,21 +158,6 @@ The agent loop reads active experiments via `resolveActiveExperimentConfig()` an
 
 Compute results with `POST /_agent-native/observability/experiments/:id/results`.
 
-#### First-party hosted default-model rollout
-
-First-party apps on `agent-native.com` automatically run the July 2026
-default-model experiment for authenticated users on the Builder engine:
-
-- 80% `claude-sonnet-5`
-- 20% `gpt-5-6-luna`
-- Assignment is sticky by normalized user email and shared across templates.
-- The rollout applies only when the user, app, and deployment have not selected
-  a model. Explicit model choices and BYO provider engines always win.
-- Set `AGENT_NATIVE_HOSTED_MODEL_EXPERIMENT=off` for an emergency rollback, or
-  `true` to exercise the rollout on a non-first-party preview.
-- `$ai_generation` tracking includes `experiment_id`,
-  `experiment_variant`, and `model_selection_source` for central analysis.
-
 In production, experiment management routes require the caller's email in the
 comma-separated `AGENT_NATIVE_EXPERIMENT_ADMIN_EMAILS` allowlist. This gate is
 separate from normal app/org admin roles because an experiment affects every

package/corpus/core/src/observability/hosted-model-experiment.ts

@@ -1,118 +0,0 @@
-export const HOSTED_DEFAULT_MODEL_EXPERIMENT_ID =
-  "hosted-default-model-sonnet-5-vs-gpt-5-6-luna-2026-07";
-
-export const HOSTED_DEFAULT_MODEL_CONTROL = {
-  id: "sonnet-5",
-  model: "claude-sonnet-5",
-  weight: 80,
-} as const;
-
-export const HOSTED_DEFAULT_MODEL_TREATMENT = {
-  id: "gpt-5-6-luna",
-  model: "gpt-5-6-luna",
-  weight: 20,
-} as const;
-
-export interface HostedDefaultModelExperimentAssignment {
-  experimentId: string;
-  variantId: string;
-}
-
-export interface HostedDefaultModelExperimentResolution {
-  model: string;
-  assignment: HostedDefaultModelExperimentAssignment;
-}
-
-type HostedExperimentEnv = Record<string, string | undefined>;
-
-const FIRST_PARTY_HOST_SUFFIX = ".agent-native.com";
-const ENABLED_VALUES = new Set(["1", "true", "on", "yes"]);
-const DISABLED_VALUES = new Set(["0", "false", "off", "no"]);
-
-function hostnameFromUrl(value: string | undefined): string | null {
-  const trimmed = value?.trim();
-  if (!trimmed) return null;
-  try {
-    const url = /^[a-z][a-z0-9+.-]*:\/\//i.test(trimmed)
-      ? new URL(trimmed)
-      : new URL(`https://${trimmed}`);
-    return url.hostname.toLowerCase();
-  } catch {
-    return null;
-  }
-}
-
-/**
- * The rollout is automatic only on first-party hosted app domains. Operators
- * can explicitly enable or disable it for preview and emergency rollback.
- */
-export function isHostedDefaultModelExperimentEnabled(
-  env: HostedExperimentEnv = process.env,
-): boolean {
-  const override =
-    env.AGENT_NATIVE_HOSTED_MODEL_EXPERIMENT?.trim().toLowerCase();
-  if (override && DISABLED_VALUES.has(override)) return false;
-  if (override && ENABLED_VALUES.has(override)) return true;
-
-  const hostnames = [
-    env.APP_URL,
-    env.BETTER_AUTH_URL,
-    env.URL,
-    env.DEPLOY_URL,
-    env.VERCEL_PROJECT_PRODUCTION_URL,
-    env.VERCEL_URL,
-  ]
-    .map(hostnameFromUrl)
-    .filter((hostname): hostname is string => Boolean(hostname));
-
-  return hostnames.some(
-    (hostname) =>
-      hostname === "agent-native.com" ||
-      hostname.endsWith(FIRST_PARTY_HOST_SUFFIX),
-  );
-}
-
-/**
- * Stable cross-app bucket: the same authenticated user receives the same
- * variant in every hosted template for the life of this experiment id.
- */
-export function hostedDefaultModelExperimentBucket(userId: string): number {
-  const input = `${HOSTED_DEFAULT_MODEL_EXPERIMENT_ID}:${userId.trim().toLowerCase()}`;
-  let hash = 0x811c9dc5;
-  for (let index = 0; index < input.length; index++) {
-    hash ^= input.charCodeAt(index);
-    hash = Math.imul(hash, 0x01000193);
-  }
-  return (hash >>> 0) % 100;
-}
-
-export function resolveHostedDefaultModelExperiment(args: {
-  userId: string | null | undefined;
-  engineName: string;
-  isDefaultModelSelection: boolean;
-  supportedModels?: readonly string[];
-  env?: HostedExperimentEnv;
-}): HostedDefaultModelExperimentResolution | null {
-  const userId = args.userId?.trim();
-  if (!userId) return null;
-  if (args.engineName !== "builder") return null;
-  if (!args.isDefaultModelSelection) return null;
-  if (!isHostedDefaultModelExperimentEnabled(args.env)) return null;
-
-  const variant =
-    hostedDefaultModelExperimentBucket(userId) <
-    HOSTED_DEFAULT_MODEL_TREATMENT.weight
-      ? HOSTED_DEFAULT_MODEL_TREATMENT
-      : HOSTED_DEFAULT_MODEL_CONTROL;
-  if (args.supportedModels && !args.supportedModels.includes(variant.model)) {
-    return null;
-  }
-
-  return {
-    model: variant.model,
-    assignment: {
-      experimentId: HOSTED_DEFAULT_MODEL_EXPERIMENT_ID,
-      variantId: variant.id,
-    },
-  };
-}

package/dist/observability/hosted-model-experiment.d.ts

@@ -1,39 +0,0 @@
-export declare const HOSTED_DEFAULT_MODEL_EXPERIMENT_ID = "hosted-default-model-sonnet-5-vs-gpt-5-6-luna-2026-07";
-export declare const HOSTED_DEFAULT_MODEL_CONTROL: {
-    readonly id: "sonnet-5";
-    readonly model: "claude-sonnet-5";
-    readonly weight: 80;
-};
-export declare const HOSTED_DEFAULT_MODEL_TREATMENT: {
-    readonly id: "gpt-5-6-luna";
-    readonly model: "gpt-5-6-luna";
-    readonly weight: 20;
-};
-export interface HostedDefaultModelExperimentAssignment {
-    experimentId: string;
-    variantId: string;
-}
-export interface HostedDefaultModelExperimentResolution {
-    model: string;
-    assignment: HostedDefaultModelExperimentAssignment;
-}
-type HostedExperimentEnv = Record<string, string | undefined>;
-/**
- * The rollout is automatic only on first-party hosted app domains. Operators
- * can explicitly enable or disable it for preview and emergency rollback.
- */
-export declare function isHostedDefaultModelExperimentEnabled(env?: HostedExperimentEnv): boolean;
-/**
- * Stable cross-app bucket: the same authenticated user receives the same
- * variant in every hosted template for the life of this experiment id.
- */
-export declare function hostedDefaultModelExperimentBucket(userId: string): number;
-export declare function resolveHostedDefaultModelExperiment(args: {
-    userId: string | null | undefined;
-    engineName: string;
-    isDefaultModelSelection: boolean;
-    supportedModels?: readonly string[];
-    env?: HostedExperimentEnv;
-}): HostedDefaultModelExperimentResolution | null;
-export {};
-//# sourceMappingURL=hosted-model-experiment.d.ts.map

package/dist/observability/hosted-model-experiment.d.ts.map

@@ -1 +0,0 @@
-{"version":3,"file":"hosted-model-experiment.d.ts","sourceRoot":"","sources":["../../src/observability/hosted-model-experiment.ts"],"names":[],"mappings":"AAAA,eAAO,MAAM,kCAAkC,0DACU,CAAC;AAE1D,eAAO,MAAM,4BAA4B;aACvC,EAAE,EAAE,UAAU;aACd,KAAK,EAAE,iBAAiB;aACxB,MAAM,EAAE,EAAE;CACF,CAAC;AAEX,eAAO,MAAM,8BAA8B;aACzC,EAAE,EAAE,cAAc;aAClB,KAAK,EAAE,cAAc;aACrB,MAAM,EAAE,EAAE;CACF,CAAC;AAEX,MAAM,WAAW,sCAAsC;IACrD,YAAY,EAAE,MAAM,CAAC;IACrB,SAAS,EAAE,MAAM,CAAC;CACnB;AAED,MAAM,WAAW,sCAAsC;IACrD,KAAK,EAAE,MAAM,CAAC;IACd,UAAU,EAAE,sCAAsC,CAAC;CACpD;AAED,KAAK,mBAAmB,GAAG,MAAM,CAAC,MAAM,EAAE,MAAM,GAAG,SAAS,CAAC,CAAC;AAmB9D;;;GAGG;AACH,wBAAgB,qCAAqC,CACnD,GAAG,GAAE,mBAAiC,GACrC,OAAO,CAsBT;AAED;;;GAGG;AACH,wBAAgB,kCAAkC,CAAC,MAAM,EAAE,MAAM,GAAG,MAAM,CAQzE;AAED,wBAAgB,mCAAmC,CAAC,IAAI,EAAE;IACxD,MAAM,EAAE,MAAM,GAAG,IAAI,GAAG,SAAS,CAAC;IAClC,UAAU,EAAE,MAAM,CAAC;IACnB,uBAAuB,EAAE,OAAO,CAAC;IACjC,eAAe,CAAC,EAAE,SAAS,MAAM,EAAE,CAAC;IACpC,GAAG,CAAC,EAAE,mBAAmB,CAAC;CAC3B,GAAG,sCAAsC,GAAG,IAAI,CAuBhD"}