@cocorograph/hub-agent 0.7.67 → 0.7.69

package/bin/hub-agent.mjs

@@ -92,6 +92,11 @@ program
     "ローカルで検出された CLI 全て (claude / codex) を既定で同期する",
   )
   .option("--cli-kind <kind>", "'claude' または 'codex' のみ同期する (省略時は検出された全 CLI)")
+  .option(
+    "--auto",
+    "非対話（自動同期）モード。codex mcp add / OAuth / ブラウザ起動を一切行わず、" +
+      "既存登録済み MCP の承認モード補完のみを行う (SessionStart フォールバック / daemon 用)",
+  )
   .action(async (opts) => {
     try {
       const cfg = await readConfig()
@@ -122,6 +127,9 @@ program
         hubUrl: cfg.hub_url,
         agentId: cfg.agent_id,
         agentToken: cfg.agent_token,
+        // --auto（非対話）: SessionStart フォールバック / daemon 由来の自動同期で使う。
+        // codex mcp add / OAuth を呼ばず、既存テーブルの承認モード補完のみ行う。
+        nonInteractive: Boolean(opts.auto),
       })
       for (const cliKind of targets) {
         const r = results[cliKind]

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.7.67",
+  "version": "0.7.69",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-stream-bridge.mjs

@@ -2187,6 +2187,36 @@ export class ClaudeStreamBridge extends EventEmitter {
     }
   }
 
+  /**
+   * 診断用: 生きているチャットセッションの一覧 (sibling-inject が
+   * `no_live_session_for_cwd` の理由に添える。codex-stream-bridge.mjs の同名メソッドと対)。
+   *
+   * ⚠️ ここに出るのは SDK チャットセッションのみ (tmux の TUI claude は対象外)。
+   * @param {string} [cwd] 指定時はその cwd のみ
+   * @returns {Array<{kind: string, cwd: string, session_id: string|null, idle_ms: number}>}
+   */
+  describeLiveSessions(cwd) {
+    const now = Date.now()
+    const out = []
+    const seen = new Set()
+    for (const session of this.sessions.values()) {
+      if (seen.has(session)) continue
+      seen.add(session)
+      if (cwd && session.cwd !== cwd) continue
+      let at = 0
+      for (const t of session.lastActivityByStream?.values?.() ?? []) {
+        if (t > at) at = t
+      }
+      out.push({
+        kind: "claude",
+        cwd: session.cwd,
+        session_id: session.sessionId || null,
+        idle_ms: at ? now - at : -1,
+      })
+    }
+    return out
+  }
+
   /**
    * 指定 cwd で現在ライブな (browser 接続中、または detach 猶予内の) SDK チャット
    * session_id を返す。無ければ null。

package/src/codex-stream-bridge.mjs

@@ -55,6 +55,16 @@ function siblingEnvFor(cwd) {
   }
 }
 
+// ⚠️ 2026-07-17 の事故 (「Codex チャットが 5 分で消え ask-sibling が届かない」) の教訓:
+// この TTL は **detach 済み (= ブラウザが居なくなった) セッション専用** の猶予である。
+// 旧実装は (a) detach の有無を記録せず turn/completed のたびに無条件でタイマーを張り、
+// (b) タイマー発火時に activeTurnId を再チェックしなかったため、
+//   - ブラウザを開いたままでも「最後のターン完了から 5 分」で app-server が kill され、
+//   - その 5 分間に ask-sibling が新ターンを注入すると **exec 実行中に kill** され、
+//     rollout に output の無い custom_tool_call が残って thread が永久に汚染された
+//     (codex_core の `Custom tool call output is missing for call id: ...` が以後の
+//      全ターンで出続ける)。
+// 予約は detach 済みセッションに限り、発火時にも busy/再活性を再確認すること。
 // detach 後、非 busy なセッションを生かしておく猶予。claude 側 (7 日) と違い短くする:
 // Slice 2 は in-memory reattach 非対応のため、browser の WS 再接続ごとに新 stream_id で
 // 新プロセスが起動し、旧プロセスは detach で TTL 待ちに入る。7 日だと再接続チャーンの
@@ -200,6 +210,10 @@ export class CodexStreamBridge extends EventEmitter {
       activeTurnId: null,
       pendingApprovals: new Map(), // request_id -> { turnId }
       detachTimer: null,
+      // ブラウザから codex.detach を受け取った (= 画面の持ち主が居なくなった) か。
+      // アイドル TTL reap は **このフラグが立っているセッションだけ** が対象。
+      // ask-sibling 注入 (sendToCwd) は「新しい持ち主が付いた」とみなして false に戻す。
+      detachRequested: false,
       dead: false,
       // 放棄セッション reaper (gcAbandonedSessions) 用の最終活性時刻。browser 入力と
       // app-server 通知 (ターン進捗) の両方で更新する。Date.now() は hub-agent 実行環境で利用可。
@@ -231,6 +245,20 @@ export class CodexStreamBridge extends EventEmitter {
       // Codex が「ターン実行中」と権威的に報告した場合のみ activeTurnId を復元する
       // (通常の fresh resume では null = 次入力が turn/start になり固着しない)。
       session.activeTurnId = turnState.activeTurnId
+      // セッションのライフサイクルは必ずログに残す (2026-07-17: attach/detach/reap/exit の
+      // 記録が皆無で「なぜ消えたか」を事後に辿れなかった)。同一 cwd に何本のセッションが
+      // 積み上がっているかも併記し、ゾンビ蓄積をログだけで検知できるようにする。
+      this.logger?.info?.(
+        {
+          stream_id,
+          thread_id: session.threadId,
+          cwd,
+          resuming,
+          thread_status: turnState.threadStatus,
+          live_for_cwd: this.describeLiveSessions(cwd).length,
+        },
+        "codex session attached",
+      )
       return {
         resuming,
         threadId: session.threadId,
@@ -315,7 +343,9 @@ export class CodexStreamBridge extends EventEmitter {
       case "turn/completed":
         session.activeTurnId = null
         this._autoResolveStalePendingApprovals(session, msg.params?.turn?.id)
-        this._maybeReapAfterIdle(session)
+        // ⚠️ detach 済みのときだけ再評価する。ブラウザが繋がったままのセッションは
+        // ターンが終わっても生かし続ける (_maybeReapAfterIdle 内でも二重に guard)。
+        this._maybeReapAfterIdle(session, "turn-completed-after-detach")
         break
       default:
         break
@@ -357,6 +387,28 @@ export class CodexStreamBridge extends EventEmitter {
     session.dead = true
     this._clearDetachTimer(session)
     this.sessions.delete(session.stream_id)
+    // app-server の終了は必ず記録する。ターン実行中の exit は「rollout に output 欠落の
+    // custom_tool_call を残した可能性がある」= thread 汚染の予兆なので warn で出す
+    // (codex_core の `Custom tool call output is missing for call id: ...` の発生源)。
+    const midTurn = !!session.activeTurnId
+    const payload = {
+      stream_id: session.stream_id,
+      thread_id: session.threadId,
+      cwd: session.cwd,
+      code: info.code,
+      signal: info.signal || null,
+      detach_requested: !!session.detachRequested,
+      mid_turn: midTurn,
+      turn_id: session.activeTurnId || null,
+    }
+    if (midTurn) {
+      this.logger?.warn?.(
+        payload,
+        "codex app-server exited MID-TURN (rollout may retain a custom_tool_call without output)",
+      )
+    } else {
+      this.logger?.info?.(payload, "codex app-server exited")
+    }
     this.emit("exit", {
       stream_id: session.stream_id,
       thread_id: session.threadId,
@@ -384,6 +436,10 @@ export class CodexStreamBridge extends EventEmitter {
   async input({ stream_id, message, model, effort }) {
     const session = this._require(stream_id)
     this._touch(session)
+    // TTL 待ちのセッションに新ターンを流す = まだ使われている。予約を解除しないと
+    // ターン実行中 (exec 中) に kill され、rollout に output 欠落の custom_tool_call が
+    // 残って thread が汚染される (2026-07-17 の事故)。
+    this._cancelIdleReap(session, "input")
     const input = userInputFromMessage(message)
     if (session.activeTurnId) {
       try {
@@ -432,6 +488,7 @@ export class CodexStreamBridge extends EventEmitter {
   async interrupt({ stream_id }) {
     const session = this._require(stream_id)
     this._touch(session)
+    this._cancelIdleReap(session, "interrupt")
     if (!session.activeTurnId) return
     await session.client.request("turn/interrupt", {
       threadId: session.threadId,
@@ -443,6 +500,7 @@ export class CodexStreamBridge extends EventEmitter {
   permissionReply({ stream_id, request_id, result }) {
     const session = this._require(stream_id)
     this._touch(session)
+    this._cancelIdleReap(session, "permission-reply")
     if (!session.pendingApprovals.has(request_id)) {
       this.logger?.warn?.({ stream_id, request_id }, "codex permissionReply: unknown request_id (ignored)")
       return
@@ -459,7 +517,46 @@ export class CodexStreamBridge extends EventEmitter {
   detach({ stream_id }) {
     const session = this.sessions.get(stream_id)
     if (!session || session.dead) return
-    this._maybeReapAfterIdle(session)
+    session.detachRequested = true
+    this.logger?.info?.(
+      {
+        stream_id,
+        thread_id: session.threadId,
+        cwd: session.cwd,
+        busy: !!session.activeTurnId,
+      },
+      "codex detach requested by browser",
+    )
+    this._maybeReapAfterIdle(session, "detach")
+  }
+
+  /**
+   * 診断用: 生きているセッションの一覧 (sibling-inject の失敗理由に載せる / ログ用)。
+   * 「TUI codex は hub-agent の管理外なので ask-sibling の宛先にならない」ことを
+   * 呼び出し側が説明できるよう、ここが返すのは **hub-agent が spawn した chat
+   * セッションだけ** である点に注意 (2026-07-17: TUI codex が生きているのを見て
+   * 「codex は動いているのに届かない」と誤判断した事故の再発防止)。
+   * @param {string} [cwd] 指定時はその cwd のみ
+   * @returns {Array<{kind: string, cwd: string, stream_id: string, thread_id: string|null,
+   *   busy: boolean, detached: boolean, idle_ms: number}>}
+   */
+  describeLiveSessions(cwd) {
+    const now = Date.now()
+    const out = []
+    for (const session of this.sessions.values()) {
+      if (session.dead) continue
+      if (cwd && session.cwd !== cwd) continue
+      out.push({
+        kind: "codex",
+        cwd: session.cwd,
+        stream_id: session.stream_id,
+        thread_id: session.threadId || null,
+        busy: !!session.activeTurnId,
+        detached: !!session.detachRequested,
+        idle_ms: now - (session.lastActivityMs ?? now),
+      })
+    }
+    return out
   }
 
   /**
@@ -481,8 +578,13 @@ export class CodexStreamBridge extends EventEmitter {
 
   /**
    * 指定 cwd でライブなセッションへメッセージを直接注入する (sibling-inject 用、
-   * 2026-07-04)。Claude 版 `sendToCwd` の対。同一 cwd に複数ライブセッションがある
-   * 場合は `threadIdForCwd` と同じく先に見つかったものを使う。
+   * 2026-07-04)。Claude 版 `sendToCwd` の対。
+   *
+   * ⚠️ 同一 cwd に複数ライブセッションがあるとき (ブラウザの WS 再接続ごとに新しい
+   * stream_id でセッションが増えるため頻繁に起きる) は **最終活性が最新のもの** を
+   * 選ぶ。旧実装は Map の挿入順 = 最古を選んでいたため、ブラウザが既に居ない
+   * ゾンビセッションへ注入して「ok なのに画面に出ない」事故が起きた (2026-07-17)。
+   * claude-stream-bridge.mjs の同名メソッドと同じ選択規則に揃えてある。
    *
    * ⚠️ このメソッド自体は認証を行わない (呼び出し元の sibling-inject.mjs が
    * src/sibling-token.mjs の capability トークンで入力元を検証する前提)。
@@ -493,29 +595,128 @@ export class CodexStreamBridge extends EventEmitter {
    */
   sendToCwd(cwd, text) {
     if (!cwd || !text) return false
+    let best = null
+    let bestAt = -1
     for (const session of this.sessions.values()) {
-      if (session.cwd !== cwd) continue
-      this.input({ stream_id: session.stream_id, message: { role: "user", content: text } }).catch(
-        (err) => {
-          this.logger?.error(
-            { cwd, err: err?.message },
-            "sendToCwd: input threw unexpectedly",
-          )
-        },
+      if (session.dead || session.cwd !== cwd) continue
+      const at = session.lastActivityMs ?? 0
+      if (at >= bestAt) {
+        bestAt = at
+        best = session
+      }
+    }
+    if (!best) {
+      this.logger?.warn?.(
+        { cwd, live_sessions: this.describeLiveSessions() },
+        "codex sendToCwd: no live session for cwd (ask-sibling will fail)",
       )
-      return true
+      return false
     }
-    return false
+    // TTL 待ち (browser detach 済み) のセッションでも、ask-sibling が使うなら
+    // 「新しい持ち主が付いた」とみなして回収予約を解除する。これをしないと
+    // 注入したターンの実行中に kill され、thread が汚染される (2026-07-17)。
+    this._cancelIdleReap(best, "sendToCwd (ask-sibling injection)", { readopt: true })
+    this.logger?.info?.(
+      {
+        cwd,
+        stream_id: best.stream_id,
+        thread_id: best.threadId,
+        busy: !!best.activeTurnId,
+        candidates: this.describeLiveSessions(cwd).length,
+      },
+      "codex sendToCwd: injecting into most-recently-active session",
+    )
+    this.input({ stream_id: best.stream_id, message: { role: "user", content: text } }).catch(
+      (err) => {
+        this.logger?.error(
+          { cwd, stream_id: best.stream_id, err: err?.message },
+          "sendToCwd: input threw unexpectedly",
+        )
+      },
+    )
+    return true
   }
 
-  _maybeReapAfterIdle(session) {
+  /**
+   * detach 済み・非 busy なセッションに「アイドル TTL 後の回収」を予約する。
+   *
+   * ⚠️ 予約は `detachRequested` が立っているセッションのみ。ブラウザが繋がったままの
+   * セッションを turn/completed 契機で殺してはいけない (2026-07-17 の事故)。
+   * @param {object} session
+   * @param {string} trigger 予約理由 (ログ用: 'detach' | 'turn-completed-after-detach')
+   */
+  _maybeReapAfterIdle(session, trigger = "detach") {
+    if (!session.detachRequested) return // ブラウザが居る → 回収対象外
     if (session.activeTurnId) return // 完走まで待つ (turn/completed で再評価される)
     this._clearDetachTimer(session)
     session.detachTimer = setTimeout(() => {
       if (session.dead) return
+      // 発火時の再確認: TTL 中に ask-sibling 注入 (sendToCwd) で再活性化した、または
+      // 新しいターンが走り出したセッションを **実行中に kill しない** (rollout に
+      // output 欠落の custom_tool_call を残さないため)。
+      if (!session.detachRequested) {
+        this.logger?.info?.(
+          { stream_id: session.stream_id, thread_id: session.threadId, cwd: session.cwd },
+          "codex idle reap canceled at fire time (session re-adopted)",
+        )
+        session.detachTimer = null
+        return
+      }
+      if (session.activeTurnId) {
+        this.logger?.info?.(
+          {
+            stream_id: session.stream_id,
+            thread_id: session.threadId,
+            cwd: session.cwd,
+            turn_id: session.activeTurnId,
+          },
+          "codex idle reap deferred (turn in progress; will re-arm on turn/completed)",
+        )
+        session.detachTimer = null
+        return
+      }
+      this.logger?.info?.(
+        {
+          stream_id: session.stream_id,
+          thread_id: session.threadId,
+          cwd: session.cwd,
+          ttl_ms: this._detachTtlMs,
+          reason: "idle-detach-ttl",
+        },
+        "codex session reaped (detached and idle past TTL)",
+      )
       session.client.stop()
     }, this._detachTtlMs)
     session.detachTimer.unref?.()
+    this.logger?.info?.(
+      {
+        stream_id: session.stream_id,
+        thread_id: session.threadId,
+        cwd: session.cwd,
+        ttl_ms: this._detachTtlMs,
+        trigger,
+      },
+      "codex idle reap armed (browser detached)",
+    )
+  }
+
+  /**
+   * 予約済みのアイドル回収を取り消す。ブラウザ入力 / ask-sibling 注入 / 承認応答など
+   * 「このセッションはまだ使われている」証跡が出たら必ず呼ぶ。
+   * @param {object} session
+   * @param {string} reason ログ用
+   * @param {boolean} readopt true なら detachRequested も解除 (新しい持ち主が付いた)
+   */
+  _cancelIdleReap(session, reason, { readopt = false } = {}) {
+    const had = !!session.detachTimer
+    this._clearDetachTimer(session)
+    if (readopt) session.detachRequested = false
+    if (had) {
+      this.logger?.info?.(
+        { stream_id: session.stream_id, thread_id: session.threadId, cwd: session.cwd, reason },
+        "codex idle reap canceled (session active again)",
+      )
+    }
   }
 
   _clearDetachTimer(session) {
@@ -543,6 +744,18 @@ export class CodexStreamBridge extends EventEmitter {
    * 進行中の正常なターンは app-server 通知で都度 touch されるので回収されない。
    * main.mjs の state loop から claudeBridge.gcDeadTerminals と並べて定期実行する想定。
    *
+   * ⚠️ 既知のギャップ (2026-07-17、次段の keepalive PR で解消予定): この reaper は
+   * `detachRequested` を参照せず、`_touch()` は input() と app-server 通知でしか呼ばれない。
+   * そのため **ブラウザで Codex チャットを開いたままでも、1 時間まったく入力も生成も
+   * 無ければ回収される**。アイドル TTL(5 分) の誤爆を直しても、この 1h が次の上限になる。
+   * TTL の数字を大きくするのではなく「見ている」を観測可能にするのが正しい解:
+   * frontend/components/cockpit/CockpitTerminal.tsx の PTY keepalive (閲覧中は定期的に
+   * pty.resize で lastSeenAt を触り、ブラウザが離れれば keepalive も止まるので orphan GC が
+   * 正しく効く) と同じ構造を codex チャットへ移植する (codex.keepalive を新設し、backend
+   * consumers.py の中継テーブルと main.mjs の dispatch をセットで変更する)。そうすれば
+   * 「ブラウザ開 = 無期限 / 明示 detach = 5 分 / ブラウザ落ち = 1h reaper」になり、
+   * 「N 時間放置しても生きていてほしい」という数字合わせ自体が不要になる。
+   *
    * @param {number} [ttlMs] 無通信とみなす閾値 (テスト用に上書き可)。
    * @returns {number} 回収したセッション数。
    */
@@ -581,6 +794,20 @@ export class CodexStreamBridge extends EventEmitter {
     for (const session of this.sessions.values()) {
       this._clearDetachTimer(session)
       session.dead = true
+      // hub-agent 再起動時にターン実行中のセッションを落とすと thread が汚染されうる
+      // (exec 中の kill → output 欠落)。因果を後から辿れるよう必ず記録する。
+      this.logger?.[session.activeTurnId ? "warn" : "info"]?.(
+        {
+          stream_id: session.stream_id,
+          thread_id: session.threadId,
+          cwd: session.cwd,
+          mid_turn: !!session.activeTurnId,
+          reason: "agent-shutdown",
+        },
+        session.activeTurnId
+          ? "codex session killed MID-TURN by agent shutdown"
+          : "codex session stopped by agent shutdown",
+      )
       session.client.stop()
     }
     this.sessions.clear()