@agfpd/iapeer 0.4.104 → 0.4.105

package/docs/09-runtimes.md

@@ -67,6 +67,8 @@ iapeer default-runtime codex --all              # all peers
 
 Switches the primary runtime — where routing goes and which runtime comes up first. A bulk `--all` switch is exactly the "transplant" of the whole team from one agent runtime to another; it's symmetric back (`default-runtime claude --all`). The command refuses if the peer doesn't declare that runtime (run `add-runtime` first), and skips infrastructure peers. The registry is fixed in the same command, so routing switches at once.
 
+The routing choice is strict: a send without an explicit `runtime` always targets `default_runtime`. A live session on another declared runtime does not capture that send; if the default session is asleep, the daemon wakes it. Passing `runtime` explicitly remains the way to target a non-default surface.
+
 ## Connecting Telegram: connect
 
 ```bash

package/docs/10-messaging.md

@@ -25,7 +25,7 @@ The `--from` flag sets the sender (`<runtime>-<name>`); by default it's the iden
 
 ## The delivery path
 
-The daemon finds the recipient in the registry and looks at its state:
+The daemon finds the recipient in the registry and selects its endpoint first. With no explicit `runtime`, the endpoint is always the recipient's `default_runtime`; liveness of other declared runtimes does not change that choice. An explicit `runtime` selects that exact surface. The daemon then looks at the selected endpoint's state:
 
 - **alive** — the daemon writes the message into the peer's session through the supervisor socket onto the session's input. The daemon waits for confirmation that the input was accepted (the input field cleared); the answer is `delivered`.
 - **busy** (the agent is mid-turn, the input field isn't empty) — the message goes into the composer queue and is delivered as soon as the agent is free; the answer to the sender is `queued`. The queue waits up to 120 seconds, then force-delivers.

package/docs/ru/09-/321/200/320/260/320/275/321/202/320/260/320/271/320/274/321/213.md

@@ -67,6 +67,8 @@ iapeer default-runtime codex --all              # все пиры
 
 Переключает основной рантайм — куда идёт маршрутизация и какой рантайм поднимается первым. Массовое переключение `--all` — это и есть «пересадка» всей команды с одного агентского рантайма на другой; обратно симметрично (`default-runtime claude --all`). Команда откажет, если пир не объявляет этот рантайм (сначала `add-runtime`), и пропустит инфраструктурных. Реестр чинится в той же команде, поэтому маршрутизация переключается сразу.
 
+Выбор для маршрутизации строгий: отправка без явного `runtime` всегда целится в `default_runtime`. Живая сессия на другом объявленном рантайме не перехватывает такую отправку; если дефолтная сессия спит, демон будит её. Явный `runtime` по-прежнему выбирает конкретную недефолтную поверхность.
+
 ## Подключение Telegram: connect
 
 ```bash

package/docs/ru/10-/320/276/320/261/320/274/320/265/320/275-/321/201/320/276/320/276/320/261/321/211/320/265/320/275/320/270/321/217/320/274/320/270.md

@@ -25,7 +25,7 @@ iapeer send assistant --message "..." --topic "релиз" --from claude-reviewe
 
 ## Путь доставки
 
-Демон находит получателя в реестре и смотрит на его состояние:
+Демон находит получателя в реестре и сначала выбирает поверхность доставки. Без явного `runtime` это всегда `default_runtime` адресата; живость других объявленных рантаймов выбор не меняет. Явный `runtime` выбирает ровно указанную поверхность. Затем демон смотрит на состояние выбранной поверхности:
 
 - **живой** — демон пишет сообщение в сессию пира через сокет супервизора на ввод сессии. Демон ждёт подтверждения, что ввод принят (поле ввода очистилось); ответ — `доставлено`.
 - **занят** (агент в середине хода, поле ввода не пустое) — сообщение встаёт в очередь композера и доставляется, как только агент освободится; ответ отправителю — `в очереди`. Очередь ждёт до 120 секунд, потом досылает принудительно.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@agfpd/iapeer",
-  "version": "0.4.104",
+  "version": "0.4.105",
   "description": "Run Claude Code and Codex CLI as local background agents that message each other, wake on demand, and share one memory.",
   "license": "Apache-2.0",
   "author": "agfpd",

package/src/transport/index.ts

@@ -162,12 +162,18 @@ export function resolvePeerDeliveryTarget(
   peer: PeerRecord,
   env: NodeJS.ProcessEnv = process.env,
 ): Result<DeliveryTarget> {
-  if (runtime) return resolveDeliveryTarget({ personality, runtime, env })
-  if (peer.runtime) {
-    const exactDefault = resolveDeliveryTarget({ personality, runtime: peer.runtime, env })
-    if (exactDefault.ok) return exactDefault
-  }
-  return resolveDeliveryTarget({ personality, env })
+  // Routing is CONFIG-ANCHORED, not liveness-selected. An omitted runtime means
+  // exactly the peer's default_runtime (`PeerRecord.runtime` is the normalized
+  // in-memory name), even when another declared runtime already has a live
+  // session. If that default endpoint is asleep, returning its exact offline
+  // miss is load-bearing: routeSend will wake THE DEFAULT instead of falling
+  // through to whichever non-default session happens to be alive.
+  //
+  // An explicit runtime remains an exact override. `resolveDeliveryTarget`
+  // without a runtime is deliberately NOT used here: its sole-live discovery is
+  // useful for observation/control callers, but would silently defeat the
+  // operator's `default-runtime` routing lever.
+  return resolveDeliveryTarget({ personality, runtime: runtime ?? peer.runtime, env })
 }
 
 // Confirm poll interval — how often deliverViaHost re-reads the transcript for a NEW record carrying
@@ -1407,8 +1413,7 @@ export function hasTelegramPresence(record: PeerRecord): boolean {
  *  ok:true — a false-OK + silent loss, the class this contract forbids. Applied to
  *  the INTENDED channel (override / target default — before any wake side-effect,
  *  since a wake delivers the envelope as the boot first-message) AND to the RESOLVED
- *  channel at both delivery points (the only-live-session fallback can land on
- *  telegram without either). */
+ *  channel at both delivery points (defence in depth against registry/wake drift). */
 function telegramSenderGuard(
   caller: ResolvedCaller,
   targetRuntime: string,
@@ -1500,9 +1505,8 @@ async function routeSendInner(
   // a mismatch is HELD (persisted verbatim + instructive error), not delivered — the
   // agent then confirms cross-channel or redirects to the origin, zero regeneration.
   // Intended runtime = the explicit override or the human's default; exact for the
-  // natural-peer class (their channels are always-on launchd routers, so the
-  // only-live-session fallback cannot silently diverge outside a seconds-wide crash
-  // window). Initiative (answered / no inbound / ARM_TTL-stale) passes untouched.
+  // natural-peer class (implicit routing is strictly default_runtime-anchored).
+  // Initiative (answered / no inbound / ARM_TTL-stale) passes untouched.
   if (
     !deps.originGuardBypass &&
     originGuardEnabled(env) &&
@@ -1561,8 +1565,8 @@ async function routeSendInner(
   const target = resolvePeerDeliveryTarget(personality, runtime, peer, env)
   if (target.ok) {
     if (target.value.address === caller.address) return err('cannot send to self')
-    // Telegram sender policy — RESOLVED channel (the only-live-session fallback can
-    // land on telegram without an override and without telegram being the default).
+    // Telegram sender policy — RESOLVED channel (defence in depth: the resolved
+    // target must still obey the domain guard even though selection is exact).
     const liveGuard = telegramSenderGuard(caller, target.value.runtime, personality)
     if (!liveGuard.ok) return liveGuard
     const queued = await deps.composerQueue?.tryEnqueue({ caller, peer, target: target.value, envelope, topic, sentAt })