@blxzer/pactile 0.6.0-beta.2 → 0.6.0-beta.4

package/dist/templates/markdown/framework/index.md.txt

@@ -8,7 +8,7 @@ These framework-owned files are refreshed by `pactile update` with conflict revi
 | [dogfood-only-surfaces.md](./dogfood-only-surfaces.md) | Product versus maintainer-local files |
 | [codex-worker-dispatch.md](./codex-worker-dispatch.md) | Codex desktop task request/receipt bridge and worker boundary |
 | [retrieval-daily-guide.md](./retrieval-daily-guide.md) | Source search and evidence routing |
-| [parallel-first-execution.md](./parallel-first-execution.md) | Parallel work declarations |
+| [Task/Run critical-path scheduling](./parallel-first-execution.md) | Dependencies, write sets, isolation, completion-time estimates, optional host dispatch, Review, and Close |
 | [middleware-protocol.md](./middleware-protocol.md) | Middleware overlay and provider contracts |
 | [upgrade.md](./upgrade.md) | Project update steps |
 | [execution-strategy.md](./execution-strategy.md) | Execution mode and isolation |

package/dist/templates/markdown/framework/parallel-first-execution.md.txt

@@ -1,116 +1,28 @@
-# Parallel-first execution contract
+# Task/Run critical-path scheduling and safe concurrency
 
-> **Purpose**: Make “parallel by default, serial by written reason” a **product** principle and an executable planning contract. After a Task is Open, first judge isolatable units; if they exist, prefer **host-native** parallel. Pactile owns declaration + integration only.
->
-> **Bounded batch, not a generic scheduler.** `pactile parallel run` dispatches approved Pi Child tasks from a Parent manifest. Codex desktop Execute tasks continue to use native App tools plus Pactile requests and receipts.
->
-> **Scope:** Parent/Full fan-out, independent isolatable Tasks, and independent middleware / protocol / release tracks. **Not:** Lite / single-file (spawn not required); unisolatable write-sets; HITL / `start-execution --approved` / reviewer / `integrate-child`.
->
-> **Strength:** convention + Independent Check / planning review. Missing declaration on Full/Parent is **Check FAIL**. Not a `start-execution --check` hard gate. Attention order (`priority`) is not a serial lock.
+> **Compatibility filename:** this document remains at `parallel-first-execution.md` so existing installations can receive template updates. The filename does not require parallel dispatch or a particular execution mode.
 
-Full Prefer/Adapt/Own and serial-exception list: `.pactile/workflow.md` (Parallel-first). Host binding lives in the Adapter guide, not this contract. Who/where dispatch: `.pactile/framework/execution-strategy.md` (orthogonal).
+This contract describes current Task Kernel V2 planning and Run execution. The scheduler is host-neutral; an available host integration is optional. A schedule is a plan and receipt, not permission to start a Run.
 
----
+## Decide from the critical path
 
-## Open, then judge isolation
+1. Validate the complete dependency graph before planning. A missing dependency or any cycle fails the whole planning call; no schedule plan or receipt is produced.
+2. Before dispatch, each dependency must have a successful Task Close: its lifecycle is `closed` and its outcome is `completed`. A completed Run alone does not satisfy a dependency. An open dependency keeps its dependent Task undispatchable, even if a later advisory schedule wave lists it. A failed or blocked dependency blocks downstream Tasks; unaffected eligible Tasks may still be scheduled.
+3. Apply local readiness and authorization rules before considering concurrency. A scheduler suggestion cannot make an unapproved, blocked, stale, or otherwise ineligible Run dispatchable.
+4. Compare known Run write sets. Overlapping writers run sequentially by default. Concurrent overlap requires exact Task-pair authorization, approval evidence, a named integration owner, and an integration plan. Unknown write scope conflicts with every writer.
+5. Require real isolation for concurrent writers. Separate agents, sessions, or host names do not prove isolation. A managed Run worktree must match the Kernel write-set snapshot and pass the manager's current workspace checks.
+6. Estimate end-to-end completion time, including waiting, execution, rework, integration, and Review. Schedule compatible work together only when the modeled completion time improves over the serial plan. Missing estimates remain explicitly unmeasured in the receipt.
 
-1. After Open, name isolatable **write-sets / deliverables** (different `touches`, different Child, independent slices). Role chains stay serial: implement → Check. Independent research slices in Define may run in parallel; research must not share an Execute write-set.
-2. Point to **≥2** isolatable units → default parallel. Cannot point to more than one (true single write-set) → main session inline and write `serial_reason` (or one equivalent line). Full / Parent should normally be able to name units. Lite does not forbid fan-out; it usually has one write-set.
-3. The main session is dispatcher + HITL + integration, not the default sole implementer.
-4. Prefer a **host-visible parallel surface** when the Adapter can open one. If it cannot bind, record assurance and degrade to inline / sequential — do not claim work already ran in parallel. Same-session silent workers are a degrade and need one plain sentence.
+Pactile imposes no fixed numeric concurrency cap. The plan is limited by dependency readiness, authorization, write-set compatibility, isolation, current leases, and the completion-time comparison. A plan may therefore contain one task even when several tasks were requested.
 
----
+## Optional host dispatch
 
-## Declaration XOR (task-map / implement.md)
+The scheduler does not choose an execution authority, create a Run, acquire a writer lease, or start a host. A caller may dispatch an eligible Run through a supported host integration after the required Kernel admission checks. If no suitable host or safe workspace is available, keep the Run unstarted and report that state; do not treat a plan as execution evidence.
 
-Planning must pick **exactly one side** (aliases allowed):
+Immediately before dispatch, re-read the Kernel, dependency state, authorization, schedule receipt, worktree, and active leases. If any bound fact has changed, discard the stale plan and recompute. Host completion alone does not prove that the writer stopped or that the Run succeeded; retain the required host-stop and Run-result evidence.
 
-- `parallel_groups` (or existing alias `stages`) lists isolatable units, and unit `touches` do not overlap (or isolation such as `git-worktree` is declared); **or**
-- `serial_reason` is one of: shared write-set / HITL or reviewer gate / `depends_on` unmet / user asked serial / conflict surface cannot isolate.
+## Review and Close remain separate
 
-Declare these in Parent `task-map.md` (frontmatter and/or Orchestration notes). For a Full task with explicit worker fan-out and no Parent, put the same block in `implement.md`.
+A completed Run is not a Review or a Close. Review the exact candidate recorded for the latest completed Run, and record an independent Review with its evidence. Close requires the latest Review for that candidate to pass, with no unresolved blockers and evidence for every acceptance criterion. Review cost contributes to the completion-time estimate; it does not impose a project-wide concurrency rule.
 
-| Need | Field | Where it already lives | Notes |
-| --- | --- | --- | --- |
-| Topology | `execution_topology` | task-map frontmatter | `parallel` (default when ≥2 independent units) or `serial` (requires `serial_reason`) |
-| 可并行组 | `parallel_groups` *or* `stages[].units` | `stages:` already groups units | List child / slice ids that may run concurrently (empty `depends_on`) |
-| 合并点 | `merge_points` *or* `merge_limit` | `merge_limit: 1` + `integrate-child` | HITL, `start-execution --approved`, reviewer gates, and Parent integrate stay **serial** |
-| 冲突面 | `conflict_surface` *or* `children[].touches` | per-child `touches` | Write-sets that can collide; isolate with worktrees or serialize |
-| 串行理由 | `serial_reason` | required when there are no isolatable groups | Exactly one of the exception list above |
-
-`serial_reason` (one of):
-
-- shared write-set
-- HITL or reviewer gate
-- `depends_on` unmet
-- user asked serial
-- conflict surface cannot isolate
-
-Lite true single write-set: one line is enough (`serial_reason: single write-set`, or omit the parallel block and state inline in `implement.md`).
-
-Optional YAML (Parent frontmatter or Full `implement.md`):
-
-```yaml
-execution_topology: parallel
-parallel_groups: [child-a, child-b]
-merge_points: [integrate-child, reviewer-gates]
-conflict_surface: [path/that/collides]
-# serial_reason:  # omit when parallel groups are declared
-```
-
-These fields remain planning declarations. A Parent can opt into an actual bounded batch with `pactile parallel run`; dispatch checks current approval, dependencies, declared write sets, review cost and the Parent cap before launch.
-
----
-
-## Check FAIL (Full / Parent)
-
-Independent Check / typed Check worker (helper: `common.parallel_declaration.evaluate_parallel_declaration`) is **unqualified** when any of:
-
-1. Neither `parallel_groups` / `stages` nor `serial_reason` is declared.
-2. Isolatable groups are declared, all write-set work stayed inline, and there is no `serial_reason`.
-3. Two workers share a write-set and isolation was not declared (fake parallel).
-
-Lite missing the block is not FAIL. Archives are not backfilled.
-
-This is **not** a `pactile task start-execution --check` hard fail.
-
----
-
-## Worker binding window
-
-Activate `worker-orchestration` when — and only when — isolatable groups are already declared **and** a dispatch window is open (Execute-approved implement workers; independent research slices under Define). Parent may not silently finish children in sequence without a written `serial_reason`.
-
-HITL, `start-execution --approved`, reviewer, and `integrate-child` (`merge_limit: 1`) stay serial. Human attention: batch questions on one frontier; do not multiply confirms by N. Run `pactile parallel status <parent>` to read wall time, queue wait, recorded rework events, Child outcomes, and current integration states.
-
----
-
-## Archived Parent 对照 (do not edit the archive)
-
-Source (read-only): `.pactile/tasks/archive/2026-08/08-05-pactile-optimization/task-map.md`
-
-That campaign already behaved parallel-first; this table shows which **named** fields the contract would ask for vs what the archive already has. The archive body is **not** rewritten.
-
-| Contract field | Archive evidence | Gap |
-| --- | --- | --- |
-| Default parallel (≥2 children, `depends_on: []`) | Five children, all `depends_on: []`; notes say 可并行尽量并行 | Met |
-| `execution_topology` | `parallel_work_serial_merge` | Met in spirit (parallel work, serial merge). Today’s spelling is `parallel` + serial merge_points — do not rename the archive |
-| 可并行组 | `stages:` `stage-p0` / `stage-p1` / `stage-p1-lsp` with “可并行” titles | Met via `stages:` (alias of `parallel_groups`) |
-| 合并点 | `merge_limit: 1`; Event Log integrates one Child at a time; Suggested integration order: 合入仍串行 | Met via `merge_limit` + notes. Missing the literal key `merge_points:` |
-| 冲突面 | Per-child `touches` (hooks/rules/templates overlap called out) | Met via `touches`. Missing top-level `conflict_surface:` |
-| `serial_reason` | Topology is not `serial`, so none required. HITL/gates stayed serial through `merge_limit` | No gap for this map. A **serial** topology would need one exception line |
-| Prefer host-native | Parent routed workers to the host parallel surface / worktrees; Pactile did not schedule | Met (capability). Contract now makes that the **default**, not “when useful” |
-| Worker prompt path | Child prompts under `child-prompts/` with explicit task dirs | Met |
-
-**Would-write `serial_reason` only if** this Parent had set `execution_topology: serial` despite empty `depends_on` — e.g. shared write-set on `pactile/packages/cli/src/templates/`. It did not; it kept topology parallel and serialized **merge** only.
-
-Contrast (not edited): `.pactile/tasks/archive/2026-08/08-20-08-20-byok-headless-backend/task-map.md` has `execution_topology: serial` with every `depends_on: []` and **no** `serial_reason`. Under this contract that map would add one line (likely shared write-set / same branch `feat/byok-headless`).
-
----
-
-## Non-goals
-
-- Unapproved automatic dispatch or a persistent general-purpose queue
-- Forcing Lite tasks into parallel agents
-- Replacing the host-native parallel surface
-- Relaxing HITL / `start-execution --approved` / reviewer-gate serial semantics
-- Cross-platform parallel (P16)
+Keep estimated costs, measured dispatch time, and lifecycle-observed costs distinct and attach their evidence references. Do not infer missing time or cost values from task count, provider confidence, or a successful outcome.

package/dist/templates/markdown/framework/prd-grill-frontier.md.txt

@@ -68,9 +68,9 @@ Each question must include: the decision needed, why it matters, your recommende
 ## Artifact rules (summary)
 
 - `prd.md` records requirements + acceptance (goal, confirmed facts, requirements, acceptance criteria, out of scope, blocking open questions).
-- `design.md` records technical design for complex tasks (architecture, data flow, contracts, trade-offs, rollback).
+- `design.md` records technical design when Risk/Policy or `verification_profile: architecture` requires it (architecture, data flow, contracts, trade-offs, rollback).
 - `implement.md` records execution planning (ordered checklist, validation commands, and Development Strategy Contract).
-- Complex tasks need all three before `start-execution --check`; lightweight tasks may be PRD-only.
+- Complex tasks need `prd.md` and `implement.md` before `start-execution --check`; include `design.md` only when Risk/Policy or `verification_profile: architecture` requires it.
 
 ## Stop — AC ambiguity face = 0
 
@@ -93,7 +93,7 @@ Planning is ready for the execution gate when **all** hold:
 - **No blocking** open questions in `prd.md`
 - Acceptance criteria testable; out of scope explicit
 - If grill ran: stop rule met (**AC 歧义面 = 0**); not measured by question count
-- Complex tasks: `design.md` and `implement.md` present
+- Complex tasks: `implement.md` present; `design.md` only when Risk/Policy or `verification_profile: architecture` requires it
 - User reviewed artifacts or explicitly approved proceeding
 
 Then proceed to Research (if needed), `pactile task start-execution <task> --check`, and implementation **only after** explicit user execution approval. Do not start implementation until the user approves or asks for implementation.

package/dist/templates/markdown/framework/release-boundary.md.txt

@@ -1,23 +1,22 @@
-# 发布边界：PACTILE 与 pactile-byok
+# 发布边界：PACTILE 当前范围与历史 BYOK 规划
 
-PACTILE（pactile）本批带走**中间件协议**与**并行原则**，外加半页用户升级说明。**pactile-byok** 是另一条产品线、另一个仓库、另一次发布。两者可并行准备，互不门禁。
+本文记录 PACTILE 当前文档范围，并保留早期 BYOK 规划的历史说明。中间件协议模板中的 `pactile-byok` 只是一个 optional 占位，明确无实现；本文不表示当前存在独立 BYOK 产品、仓库或发布轨。
 
-## PACTILE 本批带走
+## PACTILE 当前文档范围
 
 - Middleware Protocol v1（义务 + Manifest 样例 + `update` 不顶掉）。Overlay 路径写死为 `.pactile/middleware/`。
-- 并行第一原则（workflow / 池 / 规划模板）。强度是约定 + 审核指出，不是新 CLI gate。
+- Task/Run 调度依据硬依赖、授权、写集冲突、隔离和端到端完成时间；没有固定数值并发上限，宿主派发为可选适配路径。
 - 升级合同给终端用户看的半页：升包 → `pactile update` → 确认 → 接着干活。官方面可随 `update` 开迁；产物先双读；Contract 另批。
-- 池注意力刻度（`priority`）与可并行组说明。注意力排序不是串行锁。
+- 池注意力刻度（`priority`）只表示注意力顺序，不授予并发许可，也不构成串行锁。
 
 文档/约定即可。本批不强制写完安装器，不实现产物迁移器。
 
-## PACTILE 本批不带走
+## 历史 BYOK 规划（非当前范围）
 
-- pactile-byok 建仓、分析、合成、npm/改名、Cursor patch 安装器。
-- 任何 BYOK 实现或可选安装器。全库 BYOK 盘点仍搁置。
+- BYOK 不是 PACTILE 当前能力，也不构成 PACTILE 发布门禁。
 - 已退役的替代客户端入口不回默认安装面。
 
-未就绪的 BYOK **不是** PACTILE 发版硬依赖。成功标准看 PACTILE 自己的工作流轴，不用「BYOK 是否合成」当门禁。
+PACTILE 的发布范围按当前自身工作流与验收证据判断，不以历史 BYOK 规划为门禁。
 
 ## 用户说明边界
 
@@ -27,4 +26,4 @@ PACTILE（pactile）本批带走**中间件协议**与**并行原则**，外加
 
 - [middleware-protocol.md](./middleware-protocol.md)
 - [upgrade.md](./upgrade.md)
-- [parallel-first-execution.md](./parallel-first-execution.md)
+- [Task/Run 关键路径调度](./parallel-first-execution.md)（保留旧文件名供已有安装更新）

package/dist/templates/markdown/framework/retrieval-daily-guide.md.txt

@@ -6,4 +6,4 @@ For current external facts, run Smart Search when configured. If it is unavailab
 
 A retrieval plan describes the next search and its expected evidence. A retrieval pack scores already collected evidence; it does not perform a search. Never turn a provider's presence into a verified claim without a fresh probe and observable result.
 
-Cursor-specific routing, hooks, and semantic counters from older installations are historical compatibility data. They are not part of the active Codex projection.
+Host-specific routing, hooks, and semantic counters from older installations are historical data. They are not part of the active Codex projection.

package/dist/templates/pactile/CONTEXT.md

@@ -4,57 +4,69 @@ Project domain glossary — the single source of truth for project-specific term
 
 Only project-specific concepts belong here; generic programming concepts already documented under `.pactile/` do not need entries. Each entry: term + one-line definition + `_Avoid_` aliases when a common synonym causes confusion. Language follows `artifact_locale` (en → English only; zh → Chinese terms with English gloss). Seed below is bilingual so either locale can start from the same file; delete entries that do not apply.
 
-## Governance domain seed
-
-Optional starting set for governance vocabulary — delete entries that do not apply:
+## Task Kernel V2 terms
 
-**点子** (_idea_):
-Undecided development direction or improvement, not yet a Task.
-_Avoid_: requirement, thought
+These terms describe the current V2 Task model. They do not rename or reinterpret an existing Task that the unified reader identifies as V1 legacy.
 
-**不足** (_debt_):
-Confirmed but unresolved gap found in review or verification.
-_Avoid_: issue, bug (unless it is a tracked defect elsewhere)
+**Task** (_task_):
+由 V2 Kernel 记录的一份有界交付物，包含验收标准、交付层级和硬依赖 Task ID。
+_Avoid_: ticket, issue, workstream
 
-**拒绝知识库** (_knowledge base_):
-Archive of rejected-concept reasons, used to dedupe prior requests.
-_Avoid_: blacklist
+**Deliverable** (_deliverable_):
+Task 承诺产出、Review 时可供检查的具体结果。
+_Avoid_: activity, effort
 
-## Framework domain seed (optional)
+**Acceptance Criterion (AC)** (_acceptance criterion_):
+交付物必须满足的可观察条件；Close 时每条 AC 都要映射到一个或多个证据引用。
+_Avoid_: vague goal, unchecked checklist item
 
-Optional starting set — delete entries that do not apply to this project:
+**Delivery level** (_delivery level_):
+Task 声明的交付类别：`local-result`、`pull-request`、`merged-result` 或 `documentation`。Close 证据必须使用同一 level。
+_Avoid_: rigor, quality tier
 
-**Task** (_task_):
-PACTILE task, directory under `.pactile/tasks/`, lifecycle planning / in_progress / completed.
-_Avoid_: ticket, issue
+**Hard dependency** (_hard dependency_):
+依赖 Task 必须成功 Close 后，被依赖 Task 才能通过 Kernel 门继续推进。
+_Avoid_: preference, advisory order
 
-**PRD** (_product requirements document_):
-Task requirements artifact: Goal / User Stories / Requirements / Acceptance Criteria / Implementation Decisions.
-_Avoid_: spec sheet
+**Run** (_run_):
+Task 的一次执行尝试，记录授权、写集、结果和可选的候选快照。一个 Task 可以保留多次 Run。
+_Avoid_: Task, overwritten retry
 
-**Gate** (_gate_):
-Mandatory checkpoint at planning / execution / archive boundaries.
-_Avoid_: —
+**Candidate snapshot** (_candidate snapshot_):
+由完成的 Run 冻结的条目和 fingerprint；Review 与 Close 都指向确切快照。
+_Avoid_: current unrecorded working tree
 
-**Evidence** (_evidence_):
-Verification evidence in `verify.md` (command output, paths, acceptance).
-_Avoid_: report
+**Review** (_review_):
+绑定到某个 Run 候选快照的独立追加式判定。Close 使用该候选的最新 Review，且判定必须通过。
+_Avoid_: generic approval, unbound review note
 
-**Contract** (_contract_):
-Execution contract in `implement.md` (execution_mode / verification_profile / quality_gates).
-_Avoid_: plan
+**Close** (_close_):
+Kernel 结项转换：依赖、候选绑定 Review 和 AC 证据均满足后，记录与 Task 交付层级匹配的交付证据。
+_Avoid_: directory move, commit, publication
 
-**Child** (_child_):
-Independently verifiable deliverable under a Parent task tree.
-_Avoid_: sub-ticket
+**V1 legacy Task** (_legacy Task_):
+统一 reader 明确识别出的既有旧版 Task。保留其数据，只使用其版本对应的兼容行为；不能因为 V2 Task 缺少可选文件就把它当成 V1。
+_Avoid_: old-style V2 Task
 
 **artifact_locale** (_artifact locale_):
-Project artifact language setting (en / zh).
+项目产物语言设置（en / zh）。
 _Avoid_: locale
 
-**Task Ladder** (_task ladder_):
-Triage ladder: No Task / Micro-Grill / Lite / Full / Parent.
-_Avoid_: —
+## Governance domain seed
+
+Optional starting set for governance vocabulary — delete entries that do not apply:
+
+**点子** (_idea_):
+Undecided development direction or improvement, not yet a Task.
+_Avoid_: requirement, thought
+
+**不足** (_debt_):
+Confirmed but unresolved gap found in review or verification.
+_Avoid_: issue, bug (unless it is a tracked defect elsewhere)
+
+**拒绝知识库** (_knowledge base_):
+Archive of rejected-concept reasons, used to dedupe prior requests.
+_Avoid_: blacklist
 
 ## Architecture (deep-module vocabulary)
 

package/dist/templates/pactile/modules/approval-personal/contract.md

@@ -4,40 +4,28 @@ P29 表名：`approval-personal`（不得改名）。层：baseline。
 
 ## 职责
 
-Human Attention 的三道人门，不是 Kernel 状态机本身。Kernel 校验「能不能转」；本块决定「人有没有点头」。
+区分人类授权、Kernel 校验和执行记录。
 
-1. **Open**：同意建立 Task 并批准 Rigor×Topology。不授权改代码、不授权 Execute。
-2. **Execute**：Define 完成后，同意进入实现。`--check` 只是 CLI 预检（指纹/槽位/契约在不在），**不得**写成「已评审通过」。
-3. **Finalize**：需要人类权威时合并询问——Git commit、远程推送、最终业务验收等。可与 Close 收尾并成一次，不拆成逐步确认。
+1. **创建 Task：**先取得用户对交付物、AC、交付层级和已知硬依赖的明确同意。V2 Kernel 从 Define 开始；不要在 Kernel 中虚构 Open 阶段。
+2. **授权 Run：**开始执行前取得对指定范围的授权。V2 Run 会记录 `approvedBy`、`approvedAt`、`scope` 和证据引用；这些字段保留调用者声明和证据指针，本身不验证身份。
+3. **授权外部动作：**按需取得 commit、远程推送、合并、发布或其他重要外部动作的人类授权。Close 是独立的 Kernel 转换。
 
 ## 触发/披露
 
-不到门不进 Prompt、不进用户视野。Define 进行中不反复问「是否同意」。无硬 Risk 的 Lite：Open 之后可在用户**预先启用** Auto-Approve 时不再问 Execute；仍必须写审计，不是跳过 Approve 里程碑。Full / Parent / 硬 Risk：默认 Open + Execute；Finalize 在有人类权威动作时出现。异常才打断：范围或契约变、Policy 豁免、Secret、不可逆或远程副作用、平台底线不满足、真实 blocker、新高风险权限。
-
-Agent 看见：
-
-1. 未过 Open：不得 `pactile task create`（Intake 只出 Proposal）。
-2. 未过 Execute：不得把 Phase 推进到 Execute、不得 `--approved`、不得开始改产品代码。
-3. 预检 PASS 只可用来**请求** Execute 门，不可宣称已批准。
-4. 日常「ok / 开始 / 确认」若不是在回答明确的门，不得当成 Execute 授权。
-5. Return-to-Define 之后，旧 Execute 批准失效，必须再过门。
-
-用户看见：很少的关键问句。Lite 常常只有一次 Open。Full 通常 Open + Execute。有 commit/远程时再并一次 Finalize。不是每个 Phase 点一次。
-
-渐进：过门后从常驻包拿掉本块教战，只留「本任务已过哪些门」。
+在决策边界提问，不在每个阶段反复询问。创建 Task 的请求不授权超出 Proposal 交付物的工作。Run 授权只适用于已记录范围和契约。
 
 ## 停止条件
 
-- 三门各自授权什么、不授权什么（见职责）。
-- `--check` ≠ 人批；人批必须可审计（谁、何时、哪一扇门）。
-- Auto-Approve 边界：仅预启用 + 无硬 Risk + Policy 允许；仍留痕迹。
-- 升级打断清单与上列异常一致；同一 frontier 可批量问，避免一题一轮。
-- 不得把预检 PASS 写成已批准；不得把日常确认当成 Execute 授权。
+- 用户未同意 Task Proposal，不创建 Task。
+- 没有明确 Run 授权，不开始实现 Run。
+- Kernel 预检 PASS 只表示记录的门看起来满足，不代表人已批准。
+- V2 `--approved-by` 与授权证据字段是调用者提供的记录，不是身份验证。V1 的 `--approved` 也不得教成身份或授权证明。
+- 交付物、AC、交付层级、依赖或授权范围发生实质变化时，继续执行前必须重新取得人类审查。
 
 ## 关掉必须消失
 
-没有人点头路径。不得静默 create / `--approved` / 把 commit 当已 Finalize。Kernel 仍可拒绝非法转换，但不能冒充人已批。
+决策记录继续保留审计。不得把日常状态回复或一次 commit 当作隐式授权。
 
 ## 不得带走
 
-契约正文与 AC（`define-basic`）；指纹算法与合法边（Kernel）；是否真的 git commit（`vcs-integration`）；物理归档（`retention-storage`）。
+Kernel 转换和依赖校验；定义内容（`define-basic`）；执行方式（`execute-agent`）；证据是否满足 AC（`verify-basic`）；外部系统是否真实完成动作。

package/dist/templates/pactile/modules/close-basic/contract.md

@@ -4,35 +4,32 @@ P29 表名：`close-basic`（不得改名）。层：baseline。
 
 ## 职责
 
-Close 槽。在 Evidence 已覆盖之后，写入业务 **Outcome**（completed / cancelled / failed）和收尾结论，并给出学习 disposition（是否需要叫醒 `spec-learning`，本块不亲自改长期 spec）。学习 disposition 除叫醒 `spec-learning` 外，还决定是否写 Notes 索引投影（`note-projection`，见 `personal-memory`）：机器按 disposition 在 Close 边界把本次任务的可复用要点沉淀为 ≤N token 的索引投影（摘要 + 路径指针），供未来窗口第 4 层检索。缺投影槽只留痕、不阻塞 Close。Lite：缺 Git、缺 `task-map.md`、缺 `children[]` 都不得挡 Close。物理目录是否搬进 `archive/` 不改变 Outcome。需要 Integrate 的 Task 未完成集成不得 Close（那是 `parent-child` 的条件，本块遵守 Kernel 因果，不自己做集成）。
+只有最新记录的 Run（且状态必须为 completed）、它冻结的候选快照、绑定到该候选的最新通过的独立 Review、完整 AC 证据和调用者提供的当前候选观察都满足时，才可 Close V2 Task。所有硬依赖必须已成功 Close。
 
-## 触发/披露
-
-Phase=Close，或 Verify 已过且人走 Finalize 时加载。Open / Define / Execute 当天不讲归档、不灌 archive CLI。收尾结束后本块教战从常驻包拿掉，只留 Outcome。
+交付证据的 level 必须与 Task 声明的交付层级完全一致：
 
-Agent 看见：
+- `local-result`：引用已产出的本地结果；
+- `pull-request`：引用 Pull Request，且必须是绝对 HTTPS URL；
+- `merged-result`：引用已合并结果，且必须是绝对 HTTPS URL；
+- `documentation`：引用已交付的文档。
 
-1. Evidence 槽未完成 → 不得 Close。
-2. 不得把 `git commit`、推送、物理 archive 当成 Close 本身。
-3. cancelled / failed 必须带原因进审计（经 Kernel），不得假装 completed。
-4. 学习决策只输出 disposition：`update-spec`（叫醒 `spec-learning`）/ `no-update` / `unsure`（叫醒 `personal-memory` 检索）/ `note-projection`（机器写 Notes 索引投影，见 `personal-memory`）。disposition 只决定叫醒谁、写什么槽，本块不亲自改长期 spec。Notes 投影槽缺位**只留痕、不阻塞**：即使没有写成投影，Close 照常成立（同 Lite 下 `session_auto_commit` 失败仍放行收工的语义）。
-5. Finalize 门（commit/远程）仍归 `approval-personal`；本块在门过后写 Outcome。
+level 不一致、候选过期、引用较早的 Review、证据缺失或依赖未满足都会拒绝 Close。不能从 Run 摘要推断交付证据。
 
-用户看见：阶段名 Close。结果是完成、取消还是失败。Lite 不要求先有一次 Git 提交才允许收工。缺 Notes 投影不会让收工卡住；投影是机器在边界自动写的，用户不需要被追问「要不要写记忆」。
+## 触发/披露
 
-渐进：非 Close/Finalize 窗口不加载本块。
+Review 和证据就绪后加载。调用者对候选的观察必须匹配所选 Run 快照的 ID 和 fingerprint。Kernel 记录 Close 结论和审计历史；目录归档、Git commit、推送或发布都不等于 Close。
 
 ## 停止条件
 
-- 输入：Verify 完成（AC 已覆盖）；若 topology 要求 Integrate，则集成已完成或 Child 已 cancelled。
-- 输出：Outcome + 收尾结论 + 学习 disposition。
-- 停止：用物理 retention 冒充完成；无 Evidence 关单；Parent 未集成就 Close。
-- Lite 缺 Git 不得挡 Close；缺 `task-map.md`、缺 `children[]` 也不得挡 Close；**缺 Notes 索引投影不得挡 Close**（只留痕、不阻塞）。
+- 没有完整 AC 证据和最新的候选绑定通过 Review，不 Close。
+- 有较新的 Run 时，不 Close 旧 Run。
+- 不得用其他交付层级或其他候选的证据替代。
+- 没有相应证据和另行要求的人类授权时，不得声称已外部合并、发布或通过业务验收。
 
 ## 关掉必须消失
 
-没有业务收尾，生命周期缺 Close 槽，预检应拒绝。不得靠「目录还在 archive 里」假装完成。
+Close 后继续保留 Task、Runs、候选、Reviews 和结项证据，作为可读取的生命周期历史。
 
 ## 不得带走
 
-`git commit` / PR（`vcs-integration`）；物理压缩搬家（`retention-storage`）；写回 `.pactile/spec`（`spec-learning`）；AC 映射（`verify-basic`）。
+如何产出结果（`execute-agent`）；如何检查结果（`verify-basic`）；V1 Task 目录归档；Git、远程、发布或业务动作。

package/dist/templates/pactile/modules/debug-recovery/contract.md

@@ -4,7 +4,7 @@ P29 表名：`debug-recovery`（不得改名）。层：on-demand。
 
 ## 职责
 
-打转逃生，不是第一次修 bug，也不是独立 Check。同一症状在没有新证据的情况下被同一假设反复处理时：停手、分类、升级给人，必要时 Return-to-Define，修完或放弃后再做 break-loop（根因分类 + 防再发 disposition）。进行中的硬诊断纪律（先建 red-capable 环再假设）是本块可加载的深层指南，不是每回合短契约。不拥有 Cursor Debug 模式本身（Adapter 绑定）。
+打转逃生，不是第一次修 bug，也不是独立 Check。同一症状在没有新证据的情况下被同一假设反复处理时：停手、分类、升级给人，必要时 Return-to-Define，修完或放弃后再做 break-loop（根因分类 + 防再发 disposition）。进行中的硬诊断纪律（先建 red-capable 环再假设）是本块可加载的深层指南，不是每回合短契约。宿主原生调试界面由 Adapter 绑定，本模块不拥有其 UI。
 
 ## 触发/披露
 
@@ -23,7 +23,7 @@ Agent 看见：
 2. 实现缺陷 → 仍在 Execute 修，但必须先有（或声明跳过理由的）可复现环；不得先读代码再编原因。
 3. 契约/范围/capability 假设错 → Return-to-Define，再走 Execute 门。这是本块**触发**合法转换，转换本身仍是 Kernel + `define-basic` / `approval-personal`。
 4. 分类结果升级给用户（同一 frontier 可批量选项），不得一个人连试三次还不说。
-5. Adapter 可把运行时复现绑到 Cursor Debug；证据仍落回任务产物。Debug UI 说明书不在本块。
+5. Adapter 可把运行时复现绑定到宿主原生调试界面；证据仍落回任务产物。调试 UI 说明书不在本块。
 6. 打转结束后（修好、降级或取消）才做 break-loop：为什么同一手法失败、防再发、是否叫醒 `spec-learning`。break-loop 不负责找到第一因，也不亲自改长期 spec。不是用户 slash。
 
 用户看见：卡住时被问「这是代码、契约、环境还是该停」。日常一次失败的修复看不见本块。没有常驻 Debug 配置页。
@@ -33,11 +33,11 @@ Agent 看见：
 - 触发与非触发（第一次失败不是本块）。
 - 停手 + 分类出口（上列五类）+ 人升级。
 - 进行中 vs 修完后：诊断纪律 vs break-loop；二者不互相替代。
-- 停止：把第一次红测当 break-loop；用本块代替 `verify-basic` 的 AC 映射；在 Execute 里改 PRD 充数；把 Cursor Debug 写成 PACTILE 自研调试器；把防再发直接写成 spec（那是 `spec-learning`）。
+- 停止：把第一次红测当 break-loop；用本块代替 `verify-basic` 的 AC 映射；在 Execute 里改 PRD 充数；把宿主原生调试器写成 Pactile 自研工具；把防再发直接写成 spec（那是 `spec-learning`）。
 
 ## 关掉必须消失
 
-无失败分类、无停手纪律、无 break-loop 教战、无「先建红环」深层指南注入。第一次失败仍可修。因契约变更的 Return-to-Define 仍可由 Kernel + define/approval 处理。Adapter 仍可打开 Cursor Debug，只是没有 PACTILE 打转剧本。
+无失败分类、无停手纪律、无 break-loop 教战、无「先建红环」深层指南注入。第一次失败仍可修。因契约变更的 Return-to-Define 仍可由 Kernel + define/approval 处理。Adapter 仍可打开宿主原生调试界面，只是没有 Pactile 打转剧本。
 
 ## 不得带走
 

package/dist/templates/pactile/modules/define-basic/contract.md

@@ -4,36 +4,32 @@ P29 表名：`define-basic`（不得改名）。层：baseline。
 
 ## 职责
 
-Open 已成立之后、Execute 门之前。只负责**定义面**：Definition + 可测的 Acceptance Contract。Lite 到此为止（默认表面 `prd.md` + AC 清单）。Full 时按 Kernel 已解析的 `required_controls` 补齐 **Execution Contract** 与 **Verification Plan** 两个语义角色（默认可仍写在 `implement.md`），不因「要显得完整」机械生成空文档。本块**产**契约；`execute-agent` / `verify-basic` **消费**契约。契约变更必须 Return-to-Define，刷新后再走 Execute 门。
+在第一个 Run 开始前定义 V2 deliverable Task。Kernel Definition 记录标题、描述、交付物、单一交付层级、验收标准和硬依赖 Task ID。交付物应足以供人检查，每条 AC 应能映射到证据。
 
-## 触发/披露
-
-Phase=Define 时加载本块短契约 + 当前 Definition/AC（及 Full 时已有的执行/验证契约片段）。Grill、深研、`design.md` 仅当 `define-extended` 已激活才进入包。Execute 门过后，常驻包只留**已批准定义摘要**（加 AC 列表），不留 Grill 全文、不留未批准草稿。
+交付层级应描述 Task 所要求的结果：
 
-Agent 看见：
+- `local-result`：项目或指定工作区中的可审查结果；
+- `pull-request`：可审查的 Pull Request；Close 证据须为 HTTPS 引用；
+- `merged-result`：已合并的结果；Close 证据须为 HTTPS 引用；
+- `documentation`：要求交付的文档。
 
-1. 没有可测 AC，不得请求 Execute 门。
-2. 不得在 Define 写实现代码、不得 `--approved`。
-3. Full 缺已解析 controls 要求的语义角色，Define 未完成。
-4. Design 不是本块的必产出；出现 Design 需求时触发 `define-extended`，不把 Grill 正文写进本块短契约。
-5. Adapter 可以把本阶段绑到 Cursor Plan；那是 Adapter 绑定，不是本块拥有 Plan 模式说明书。
+每个依赖都是硬依赖：它必须存在且成功 Close，当前 Task 才能开始 Run 或 Close。仅表示建议顺序的事项不应写成硬依赖。以 V2 Kernel 字段作为定义，不额外引入未记录的流程模型。
 
-用户看见：阶段名 Define。Lite：一份需求 + 验收。Full：需求 + 验收 + 执行/验证契约（仍是人话文档，不是设计论文）。被问的是意图、范围、风险接受，不是仓库里已有的事实。
+## 触发/披露
 
-渐进：过了 Define，从常驻包拿掉本块教战，只留已批摘要。
+V2 Define 阶段加载。Kernel Definition 是 Task 交付物、AC、交付层级和依赖 ID 的事实来源。草稿可以帮助人写定义，但不能代替 Kernel 中的记录。
 
 ## 停止条件
 
-- 输入：Open 已过（Task 已建、Rigor×Topology 已批）；`selected_task` 指向本任务。
-- 输出（Lite）：Definition + 可测 AC。缺 AC = Define 未完成。
-- 输出（Full）：在 Lite 之上，按 `required_controls` 补 Execution Contract 与 Verification Plan 角色；Design 角色不在本块。
-- 不改产品代码、不 archive、不假装 Execute 已批、不把 `workflow.md` 当定义 SSOT。
-- Return-to-Define：范围/AC/执行契约/验证策略/capability 假设变化时，停 Execute，刷新定义与门指纹后再请 Execute 批准。
+- 未记录交付物、交付层级和可测 AC，不得开始 Run。
+- 每个硬依赖都必须指向现存 Task ID；缺失依赖和依赖环均无效。
+- 范围或交付层级变化时，先使用 Kernel 支持的定义更新路径，再请求 Run 授权；不要在实现或 Review 中静默改契约。
+- 不得宣称 CLI 预检或授权记录字段验证了某人的身份或批准。
 
 ## 关掉必须消失
 
-不能写验收、不能宣称 Define 完成、不能把 AC 当 Evidence。Kernel 仍可停在 Open，但没有定义槽 provider。
+定义稳定后，以已记录 Definition 作为执行边界。契约变化时须重新评估 Run 授权和候选证据。
 
 ## 不得带走
 
-Task 前澄清（`intake-basic`）；Grill / 深研 / 条件 Design / spec-bootstrap（`define-extended`）；Execute 人批（`approval-personal`）；jsonl/上下文预算（`context-progressive`）；独立 Check（`independent-check`）。
+人类授权（`approval-personal`）；实现（`execute-agent`）；AC 到证据的映射及候选 Review（`verify-basic`）；交付证据和 Close（`close-basic`）。

package/dist/templates/pactile/modules/define-extended/contract.md

@@ -18,7 +18,7 @@ Agent 看见：
 2. 不得把 Grill 做成每回合仪式，也不得恢复 `[Triage:]`。
 3. 无 Design 要求时，不写空 `design.md` 来「凑 Full」。
 4. spec-bootstrap 只在项目确实还没有、且需要编码规范时，依据仓库事实建；安装不预置空 spec 骨架。
-5. Adapter 可把深 Define 绑到 Cursor Plan；Plan 说明书不在本块。
+5. Adapter 可把深 Define 绑定到宿主提供的计划界面；界面说明不在本块。
 
 用户看见：需要深挖时才出现 Grill/设计讨论。Lite 写完 PRD+AC 就可以去请 Execute，不必经过本块。
 
@@ -40,6 +40,6 @@ AC 最低面（`define-basic`）；Execute 门（`approval-personal`）；检索
 
 Grill 机制备忘只写在本块内。不恢复独立 skill 名作 slash，没有两个 slash、没有两个 subagent。
 
-- **`grill-me`**：来自 Pactile/Herbivore 的无状态面试 skill。输入是用户访谈，用来逼问 PRD。Claude 路径曾是强制 gate（没 grill 完不准 design/implement）。PACTILE **没有**把这个 skill 装进 Cursor 默认包，也 **不**复制那道阻塞 gate。Matt 同名 skill 被标为「已被 `pactile-micro-grill` 覆盖」（KB `01`）。引擎（frontier 轮次）经 P03 进了 brainstorm / micro-grill 的提问节奏，**不是**独立 `grill-me` 包装。
-- **`grill-with-docs`**：工作区从未找到正式 skill。2026-06-16 锁定的是其**精神**：以 `prd.md` 为唯一文档面做检查 pass（目标、事实 vs 假设、可测 AC、非目标、依赖、平台…），仓库能查的不问用户。落地在 bundled `brainstorm` 的 Phase B，Cursor 可加载摘要是 `.pactile/framework/prd-grill-frontier.md`。
+- **`grill-me`**：来自 Pactile/Herbivore 的无状态面试 skill。输入是用户访谈，用来逼问 PRD。Claude 路径曾是强制 gate（没 grill 完不准 design/implement）。Pactile **没有**把这个 skill装进默认包，也 **不**复制那道阻塞 gate。Matt 同名 skill 被标为「已被 `pactile-micro-grill` 覆盖」（KB `01`）。引擎（frontier 轮次）经 P03 进了 brainstorm / micro-grill 的提问节奏，**不是**独立 `grill-me` 包装。
+- **`grill-with-docs`**：工作区从未找到正式 skill。2026-06-16 锁定的是其**精神**：以 `prd.md` 为唯一文档面做检查 pass（目标、事实 vs 假设、可测 AC、非目标、依赖、平台…），仓库能查的不问用户。落地在 bundled `brainstorm` 的 Phase B，可加载摘要是 `.pactile/framework/prd-grill-frontier.md`。
 - **现在怎么存在**：Task 前澄清 = `intake-basic`（旧称 micro-grill 策略，不是 Task 类型）。Open 之后的 PRD Grill = `define-extended` 内的文档检查 pass + 仅 blocking 项再用 micro-grill 契约追问。提问节奏：PRD Grill 用 frontier（一轮 ≤3）；单独 micro-grill 仍可一次一问（`prd-grill-frontier.md` 的 override 说明）。完成标准：清单满足或显式 N/A、无 blocking open questions、AC 可测——然后才是 Execute 门，不是「grill-me subagent 打勾」。

package/dist/templates/pactile/modules/execute-agent/contract.md

@@ -4,35 +4,27 @@ P29 表名：`execute-agent`（不得改名）。层：baseline。
 
 ## 职责
 
-生命周期的 Execute 槽。把**平台无关的执行要求**交给 Adapter 去绑：是否允许委派、是否必须隔离、写入边界、必须停在已批合同内。个人默认绑定是**主 Agent、当前会话、inline**。不点名 Subagent、不点名 worktree、不点名某个模型。真正绑到 Cursor Agent / Task / worktree 是 Adapter + 按需模块的事。
+按已记录的 Task Definition 执行一个获授权的 V2 Run。一个 Task 可以保留多个 Run；每次尝试和结果都要留在历史中。前一次结束后重试应新建 Run，不覆盖先前记录。每个成功 Run 都有独立冻结的候选快照供后续 Review。
 
-## 触发/披露
-
-仅 Phase=Execute，且实际 binding 为 inline（或 Worker 不可用而诚实降级为此）时加载本块短契约。Define / Open / 无任务时看不见「去改代码」。Execute 结束后教战从常驻包拿掉。
+写入前遵守 Run 的授权范围和 `writeSetSnapshot`。记录可获得的等待、执行、Review 时长估算及实测引用，供后续调度评估成本。估算本身不能证明工作已开始或完成。
 
-Agent 看见：
-
-1. 已批 Definition / AC /（Full 时）执行与验证契约是边界；实现缺陷留在 Execute 修。
-2. 范围、AC、执行契约、验证策略、capability/runtime、Parent 边界变化 → 停手，Return-to-Define，再走 Execute 门。不得边改 PRD 边假装仍在 Execute。
-3. 不得因本块去 spawn `pactile-implement` / `pactile-check`；那只在 `worker-orchestration` 激活且合同要求 worker 时出现。
-4. 不得因本块去 integrate-child 或建 Child。
-5. Adapter 可将本阶段绑到 Cursor Agent；Plan/Debug 不是本块说明书。
+## 触发/披露
 
-用户看见：阶段名 Execute。Lite：主会话在已同意的范围内改东西。不默认看到并行工人、worktree、检查 Agent。
+只有在取得该 Run 的人类授权、且 Kernel 校验 Task 硬依赖后才执行。一个 Task 同时最多有一个 active 或 waiting Run。使用平台 Adapter 的真实执行绑定；未发生隔离或委派时不得声称已发生。
 
-渐进：非 Execute 阶段不加载本块。
+不同 Task 的 Run 只有经过派工协调器准入后才可并发。硬依赖必须先成功 Close。写集重叠默认串行；显式允许重叠时，必须记录授权与集成计划。仅有 worker 请求或本合同本身不构成并行许可。
 
 ## 停止条件
 
-- 输入：Execute 门已过；Definition 有效；Kernel Phase=Execute。
-- 输出：合同内的工作结果（代码/配置/文档 diff）。Evidence 角色仍归 `verify-basic` 收。
-- 停止：契约变更；未批准的写入；把 Verify/Close 提前做完并宣称完成。
-- 降级：平台绑不上 Worker/隔离时，记 assurance，走 inline，不得假装隔离已发生。
+- 工作不得超出交付物、AC、已批范围和 Run 写集。
+- 成功时记录候选条目和证据；失败、取消或阻塞时如实记录该 Run 的终态。
+- 实现发现定义或授权不正确时停止，在获支持的定义/授权更新后再继续。
+- 不得把计划中的 Run 报告为已完成工作。
 
 ## 关掉必须消失
 
-没有「主 Agent 在合同内执行」这条默认路径。没有本槽则 Profile 预检应拒绝启动生命周期（Execute 是必需槽）。
+Intake、Define、Review 和 Close 阶段不加载实现教战。保留 Run 历史和候选身份供后续生命周期使用。
 
 ## 不得带走
 
-类型化 Agent 派工（`worker-orchestration`）；Child 拓扑与集成（`parent-child`）；AC 怎么写（`define-basic`）；假绿判定（`verify-basic`）；Git（`vcs-integration`）。
+Task 定义和 AC（`define-basic`）；人类授权（`approval-personal`）；派工/准入政策；候选 Review（`verify-basic`）；交付验收（`close-basic`）。