@cocorograph/hub-agent 0.7.68 → 0.7.70

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.7.68",
+  "version": "0.7.70",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-stream-bridge.mjs

@@ -2187,6 +2187,36 @@ export class ClaudeStreamBridge extends EventEmitter {
     }
   }
 
+  /**
+   * 診断用: 生きているチャットセッションの一覧 (sibling-inject が
+   * `no_live_session_for_cwd` の理由に添える。codex-stream-bridge.mjs の同名メソッドと対)。
+   *
+   * ⚠️ ここに出るのは SDK チャットセッションのみ (tmux の TUI claude は対象外)。
+   * @param {string} [cwd] 指定時はその cwd のみ
+   * @returns {Array<{kind: string, cwd: string, session_id: string|null, idle_ms: number}>}
+   */
+  describeLiveSessions(cwd) {
+    const now = Date.now()
+    const out = []
+    const seen = new Set()
+    for (const session of this.sessions.values()) {
+      if (seen.has(session)) continue
+      seen.add(session)
+      if (cwd && session.cwd !== cwd) continue
+      let at = 0
+      for (const t of session.lastActivityByStream?.values?.() ?? []) {
+        if (t > at) at = t
+      }
+      out.push({
+        kind: "claude",
+        cwd: session.cwd,
+        session_id: session.sessionId || null,
+        idle_ms: at ? now - at : -1,
+      })
+    }
+    return out
+  }
+
   /**
    * 指定 cwd で現在ライブな (browser 接続中、または detach 猶予内の) SDK チャット
    * session_id を返す。無ければ null。

package/src/codex-stream-bridge.mjs

@@ -11,6 +11,7 @@
  *   claude.input              → input()    (turn/start、ターン中は turn/steer)
  *   claude.interrupt          → interrupt() (turn/interrupt)
  *   claude.detach              → detach()   (TTL 付き graceful close)
+ *   (codex 固有)               → keepalive() (閲覧中の生存シグナル。pty.resize 相当)
  *   claude.permission.reply    → permissionReply() (client.respond/respondError)
  *   claude.event (生 SDK イベント素通し) → 'event' (生 notification 素通し、同じ思想)
  *   claude.permission.request  → 'permission' (承認/入力要求の生 method+params 素通し)
@@ -55,6 +56,16 @@ function siblingEnvFor(cwd) {
   }
 }
 
+// ⚠️ 2026-07-17 の事故 (「Codex チャットが 5 分で消え ask-sibling が届かない」) の教訓:
+// この TTL は **detach 済み (= ブラウザが居なくなった) セッション専用** の猶予である。
+// 旧実装は (a) detach の有無を記録せず turn/completed のたびに無条件でタイマーを張り、
+// (b) タイマー発火時に activeTurnId を再チェックしなかったため、
+//   - ブラウザを開いたままでも「最後のターン完了から 5 分」で app-server が kill され、
+//   - その 5 分間に ask-sibling が新ターンを注入すると **exec 実行中に kill** され、
+//     rollout に output の無い custom_tool_call が残って thread が永久に汚染された
+//     (codex_core の `Custom tool call output is missing for call id: ...` が以後の
+//      全ターンで出続ける)。
+// 予約は detach 済みセッションに限り、発火時にも busy/再活性を再確認すること。
 // detach 後、非 busy なセッションを生かしておく猶予。claude 側 (7 日) と違い短くする:
 // Slice 2 は in-memory reattach 非対応のため、browser の WS 再接続ごとに新 stream_id で
 // 新プロセスが起動し、旧プロセスは detach で TTL 待ちに入る。7 日だと再接続チャーンの
@@ -200,6 +211,10 @@ export class CodexStreamBridge extends EventEmitter {
       activeTurnId: null,
       pendingApprovals: new Map(), // request_id -> { turnId }
       detachTimer: null,
+      // ブラウザから codex.detach を受け取った (= 画面の持ち主が居なくなった) か。
+      // アイドル TTL reap は **このフラグが立っているセッションだけ** が対象。
+      // ask-sibling 注入 (sendToCwd) は「新しい持ち主が付いた」とみなして false に戻す。
+      detachRequested: false,
       dead: false,
       // 放棄セッション reaper (gcAbandonedSessions) 用の最終活性時刻。browser 入力と
       // app-server 通知 (ターン進捗) の両方で更新する。Date.now() は hub-agent 実行環境で利用可。
@@ -231,6 +246,20 @@ export class CodexStreamBridge extends EventEmitter {
       // Codex が「ターン実行中」と権威的に報告した場合のみ activeTurnId を復元する
       // (通常の fresh resume では null = 次入力が turn/start になり固着しない)。
       session.activeTurnId = turnState.activeTurnId
+      // セッションのライフサイクルは必ずログに残す (2026-07-17: attach/detach/reap/exit の
+      // 記録が皆無で「なぜ消えたか」を事後に辿れなかった)。同一 cwd に何本のセッションが
+      // 積み上がっているかも併記し、ゾンビ蓄積をログだけで検知できるようにする。
+      this.logger?.info?.(
+        {
+          stream_id,
+          thread_id: session.threadId,
+          cwd,
+          resuming,
+          thread_status: turnState.threadStatus,
+          live_for_cwd: this.describeLiveSessions(cwd).length,
+        },
+        "codex session attached",
+      )
       return {
         resuming,
         threadId: session.threadId,
@@ -315,7 +344,9 @@ export class CodexStreamBridge extends EventEmitter {
       case "turn/completed":
         session.activeTurnId = null
         this._autoResolveStalePendingApprovals(session, msg.params?.turn?.id)
-        this._maybeReapAfterIdle(session)
+        // ⚠️ detach 済みのときだけ再評価する。ブラウザが繋がったままのセッションは
+        // ターンが終わっても生かし続ける (_maybeReapAfterIdle 内でも二重に guard)。
+        this._maybeReapAfterIdle(session, "turn-completed-after-detach")
         break
       default:
         break
@@ -357,6 +388,28 @@ export class CodexStreamBridge extends EventEmitter {
     session.dead = true
     this._clearDetachTimer(session)
     this.sessions.delete(session.stream_id)
+    // app-server の終了は必ず記録する。ターン実行中の exit は「rollout に output 欠落の
+    // custom_tool_call を残した可能性がある」= thread 汚染の予兆なので warn で出す
+    // (codex_core の `Custom tool call output is missing for call id: ...` の発生源)。
+    const midTurn = !!session.activeTurnId
+    const payload = {
+      stream_id: session.stream_id,
+      thread_id: session.threadId,
+      cwd: session.cwd,
+      code: info.code,
+      signal: info.signal || null,
+      detach_requested: !!session.detachRequested,
+      mid_turn: midTurn,
+      turn_id: session.activeTurnId || null,
+    }
+    if (midTurn) {
+      this.logger?.warn?.(
+        payload,
+        "codex app-server exited MID-TURN (rollout may retain a custom_tool_call without output)",
+      )
+    } else {
+      this.logger?.info?.(payload, "codex app-server exited")
+    }
     this.emit("exit", {
       stream_id: session.stream_id,
       thread_id: session.threadId,
@@ -384,6 +437,10 @@ export class CodexStreamBridge extends EventEmitter {
   async input({ stream_id, message, model, effort }) {
     const session = this._require(stream_id)
     this._touch(session)
+    // TTL 待ちのセッションに新ターンを流す = まだ使われている。予約を解除しないと
+    // ターン実行中 (exec 中) に kill され、rollout に output 欠落の custom_tool_call が
+    // 残って thread が汚染される (2026-07-17 の事故)。
+    this._cancelIdleReap(session, "input")
     const input = userInputFromMessage(message)
     if (session.activeTurnId) {
       try {
@@ -432,6 +489,7 @@ export class CodexStreamBridge extends EventEmitter {
   async interrupt({ stream_id }) {
     const session = this._require(stream_id)
     this._touch(session)
+    this._cancelIdleReap(session, "interrupt")
     if (!session.activeTurnId) return
     await session.client.request("turn/interrupt", {
       threadId: session.threadId,
@@ -443,6 +501,7 @@ export class CodexStreamBridge extends EventEmitter {
   permissionReply({ stream_id, request_id, result }) {
     const session = this._require(stream_id)
     this._touch(session)
+    this._cancelIdleReap(session, "permission-reply")
     if (!session.pendingApprovals.has(request_id)) {
       this.logger?.warn?.({ stream_id, request_id }, "codex permissionReply: unknown request_id (ignored)")
       return
@@ -451,6 +510,26 @@ export class CodexStreamBridge extends EventEmitter {
     session.client.respond(request_id, result)
   }
 
+  /**
+   * ブラウザ閲覧中の生存シグナル (codex.keepalive)。frontend が Codex チャットを開いて
+   * いる間だけ定期送信するため、これが届く = 「人が見ている」の観測可能な証跡になる。
+   * gcAbandonedSessions は lastActivityMs しか見ないので、touch するだけで
+   * 「開いたまま無入力でも 1h で殺される」ギャップが閉じる (TTL の数字を増やす必要は無い)。
+   *
+   * ⚠️ 意図的に `_cancelIdleReap` を **呼ばない**。detach 済みセッションの 5 分 TTL は
+   * 「ブラウザが去った」という別事実に基づく予約であり、detach と in-flight keepalive が
+   * 競合しても予約を解除しない (= 明示 detach は必ず 5 分で回収される) 方が意味論が明快。
+   * 閲覧を再開したブラウザは必ず attach を送り直すので、再養子はそちらの経路で足りる。
+   *
+   * @returns {boolean} 生きているセッションを touch できたら true (未知 stream は false)。
+   */
+  keepalive({ stream_id }) {
+    const session = this.sessions.get(stream_id)
+    if (!session || session.dead) return false
+    this._touch(session)
+    return true
+  }
+
   /**
    * グレースフル切断。ターン実行中は完走を待ち、非 busy ならアイドル TTL 後に
    * プロセスを reap する (claude-stream-bridge.mjs の softDetach と同じ思想。
@@ -459,7 +538,46 @@ export class CodexStreamBridge extends EventEmitter {
   detach({ stream_id }) {
     const session = this.sessions.get(stream_id)
     if (!session || session.dead) return
-    this._maybeReapAfterIdle(session)
+    session.detachRequested = true
+    this.logger?.info?.(
+      {
+        stream_id,
+        thread_id: session.threadId,
+        cwd: session.cwd,
+        busy: !!session.activeTurnId,
+      },
+      "codex detach requested by browser",
+    )
+    this._maybeReapAfterIdle(session, "detach")
+  }
+
+  /**
+   * 診断用: 生きているセッションの一覧 (sibling-inject の失敗理由に載せる / ログ用)。
+   * 「TUI codex は hub-agent の管理外なので ask-sibling の宛先にならない」ことを
+   * 呼び出し側が説明できるよう、ここが返すのは **hub-agent が spawn した chat
+   * セッションだけ** である点に注意 (2026-07-17: TUI codex が生きているのを見て
+   * 「codex は動いているのに届かない」と誤判断した事故の再発防止)。
+   * @param {string} [cwd] 指定時はその cwd のみ
+   * @returns {Array<{kind: string, cwd: string, stream_id: string, thread_id: string|null,
+   *   busy: boolean, detached: boolean, idle_ms: number}>}
+   */
+  describeLiveSessions(cwd) {
+    const now = Date.now()
+    const out = []
+    for (const session of this.sessions.values()) {
+      if (session.dead) continue
+      if (cwd && session.cwd !== cwd) continue
+      out.push({
+        kind: "codex",
+        cwd: session.cwd,
+        stream_id: session.stream_id,
+        thread_id: session.threadId || null,
+        busy: !!session.activeTurnId,
+        detached: !!session.detachRequested,
+        idle_ms: now - (session.lastActivityMs ?? now),
+      })
+    }
+    return out
   }
 
   /**
@@ -481,8 +599,13 @@ export class CodexStreamBridge extends EventEmitter {
 
   /**
    * 指定 cwd でライブなセッションへメッセージを直接注入する (sibling-inject 用、
-   * 2026-07-04)。Claude 版 `sendToCwd` の対。同一 cwd に複数ライブセッションがある
-   * 場合は `threadIdForCwd` と同じく先に見つかったものを使う。
+   * 2026-07-04)。Claude 版 `sendToCwd` の対。
+   *
+   * ⚠️ 同一 cwd に複数ライブセッションがあるとき (ブラウザの WS 再接続ごとに新しい
+   * stream_id でセッションが増えるため頻繁に起きる) は **最終活性が最新のもの** を
+   * 選ぶ。旧実装は Map の挿入順 = 最古を選んでいたため、ブラウザが既に居ない
+   * ゾンビセッションへ注入して「ok なのに画面に出ない」事故が起きた (2026-07-17)。
+   * claude-stream-bridge.mjs の同名メソッドと同じ選択規則に揃えてある。
    *
    * ⚠️ このメソッド自体は認証を行わない (呼び出し元の sibling-inject.mjs が
    * src/sibling-token.mjs の capability トークンで入力元を検証する前提)。
@@ -493,29 +616,128 @@ export class CodexStreamBridge extends EventEmitter {
    */
   sendToCwd(cwd, text) {
     if (!cwd || !text) return false
+    let best = null
+    let bestAt = -1
     for (const session of this.sessions.values()) {
-      if (session.cwd !== cwd) continue
-      this.input({ stream_id: session.stream_id, message: { role: "user", content: text } }).catch(
-        (err) => {
-          this.logger?.error(
-            { cwd, err: err?.message },
-            "sendToCwd: input threw unexpectedly",
-          )
-        },
+      if (session.dead || session.cwd !== cwd) continue
+      const at = session.lastActivityMs ?? 0
+      if (at >= bestAt) {
+        bestAt = at
+        best = session
+      }
+    }
+    if (!best) {
+      this.logger?.warn?.(
+        { cwd, live_sessions: this.describeLiveSessions() },
+        "codex sendToCwd: no live session for cwd (ask-sibling will fail)",
       )
-      return true
+      return false
     }
-    return false
+    // TTL 待ち (browser detach 済み) のセッションでも、ask-sibling が使うなら
+    // 「新しい持ち主が付いた」とみなして回収予約を解除する。これをしないと
+    // 注入したターンの実行中に kill され、thread が汚染される (2026-07-17)。
+    this._cancelIdleReap(best, "sendToCwd (ask-sibling injection)", { readopt: true })
+    this.logger?.info?.(
+      {
+        cwd,
+        stream_id: best.stream_id,
+        thread_id: best.threadId,
+        busy: !!best.activeTurnId,
+        candidates: this.describeLiveSessions(cwd).length,
+      },
+      "codex sendToCwd: injecting into most-recently-active session",
+    )
+    this.input({ stream_id: best.stream_id, message: { role: "user", content: text } }).catch(
+      (err) => {
+        this.logger?.error(
+          { cwd, stream_id: best.stream_id, err: err?.message },
+          "sendToCwd: input threw unexpectedly",
+        )
+      },
+    )
+    return true
   }
 
-  _maybeReapAfterIdle(session) {
+  /**
+   * detach 済み・非 busy なセッションに「アイドル TTL 後の回収」を予約する。
+   *
+   * ⚠️ 予約は `detachRequested` が立っているセッションのみ。ブラウザが繋がったままの
+   * セッションを turn/completed 契機で殺してはいけない (2026-07-17 の事故)。
+   * @param {object} session
+   * @param {string} trigger 予約理由 (ログ用: 'detach' | 'turn-completed-after-detach')
+   */
+  _maybeReapAfterIdle(session, trigger = "detach") {
+    if (!session.detachRequested) return // ブラウザが居る → 回収対象外
     if (session.activeTurnId) return // 完走まで待つ (turn/completed で再評価される)
     this._clearDetachTimer(session)
     session.detachTimer = setTimeout(() => {
       if (session.dead) return
+      // 発火時の再確認: TTL 中に ask-sibling 注入 (sendToCwd) で再活性化した、または
+      // 新しいターンが走り出したセッションを **実行中に kill しない** (rollout に
+      // output 欠落の custom_tool_call を残さないため)。
+      if (!session.detachRequested) {
+        this.logger?.info?.(
+          { stream_id: session.stream_id, thread_id: session.threadId, cwd: session.cwd },
+          "codex idle reap canceled at fire time (session re-adopted)",
+        )
+        session.detachTimer = null
+        return
+      }
+      if (session.activeTurnId) {
+        this.logger?.info?.(
+          {
+            stream_id: session.stream_id,
+            thread_id: session.threadId,
+            cwd: session.cwd,
+            turn_id: session.activeTurnId,
+          },
+          "codex idle reap deferred (turn in progress; will re-arm on turn/completed)",
+        )
+        session.detachTimer = null
+        return
+      }
+      this.logger?.info?.(
+        {
+          stream_id: session.stream_id,
+          thread_id: session.threadId,
+          cwd: session.cwd,
+          ttl_ms: this._detachTtlMs,
+          reason: "idle-detach-ttl",
+        },
+        "codex session reaped (detached and idle past TTL)",
+      )
       session.client.stop()
     }, this._detachTtlMs)
     session.detachTimer.unref?.()
+    this.logger?.info?.(
+      {
+        stream_id: session.stream_id,
+        thread_id: session.threadId,
+        cwd: session.cwd,
+        ttl_ms: this._detachTtlMs,
+        trigger,
+      },
+      "codex idle reap armed (browser detached)",
+    )
+  }
+
+  /**
+   * 予約済みのアイドル回収を取り消す。ブラウザ入力 / ask-sibling 注入 / 承認応答など
+   * 「このセッションはまだ使われている」証跡が出たら必ず呼ぶ。
+   * @param {object} session
+   * @param {string} reason ログ用
+   * @param {boolean} readopt true なら detachRequested も解除 (新しい持ち主が付いた)
+   */
+  _cancelIdleReap(session, reason, { readopt = false } = {}) {
+    const had = !!session.detachTimer
+    this._clearDetachTimer(session)
+    if (readopt) session.detachRequested = false
+    if (had) {
+      this.logger?.info?.(
+        { stream_id: session.stream_id, thread_id: session.threadId, cwd: session.cwd, reason },
+        "codex idle reap canceled (session active again)",
+      )
+    }
   }
 
   _clearDetachTimer(session) {
@@ -543,6 +765,18 @@ export class CodexStreamBridge extends EventEmitter {
    * 進行中の正常なターンは app-server 通知で都度 touch されるので回収されない。
    * main.mjs の state loop から claudeBridge.gcDeadTerminals と並べて定期実行する想定。
    *
+   * この reaper は `detachRequested` を **意図的に参照しない**。detach を送れずに消えた
+   * ブラウザ (タブごとクラッシュ / 端末スリープ) は detachRequested が立たないまま残るため、
+   * ここでフラグを見ると回収不能になりリークする。「無通信が続いた事実」だけで回収する。
+   *
+   * 閲覧中の誤爆は keepalive で防ぐ (2026-07-17 に解消。旧: 開いたままでも 1h 無入力で
+   * 回収されていた)。frontend は Codex チャットを開いている間 codex.keepalive を定期送信し、
+   * keepalive() が lastActivityMs を touch する。ブラウザが閉じれば keepalive も止まるので
+   * この reaper は本来の orphan GC として正しく効く。CockpitTerminal.tsx の PTY keepalive
+   * (pty.resize で lastSeenAt を触る) と同じ構造。結果として TTL の意味は
+   * 「ブラウザ開 = 無期限 / 明示 detach = 5 分 / ブラウザ落ち = 1h reaper」に整理され、
+   * 「N 時間放置しても生きていてほしい」という数字合わせ自体が不要になった。
+   *
    * @param {number} [ttlMs] 無通信とみなす閾値 (テスト用に上書き可)。
    * @returns {number} 回収したセッション数。
    */
@@ -581,6 +815,20 @@ export class CodexStreamBridge extends EventEmitter {
     for (const session of this.sessions.values()) {
       this._clearDetachTimer(session)
       session.dead = true
+      // hub-agent 再起動時にターン実行中のセッションを落とすと thread が汚染されうる
+      // (exec 中の kill → output 欠落)。因果を後から辿れるよう必ず記録する。
+      this.logger?.[session.activeTurnId ? "warn" : "info"]?.(
+        {
+          stream_id: session.stream_id,
+          thread_id: session.threadId,
+          cwd: session.cwd,
+          mid_turn: !!session.activeTurnId,
+          reason: "agent-shutdown",
+        },
+        session.activeTurnId
+          ? "codex session killed MID-TURN by agent shutdown"
+          : "codex session stopped by agent shutdown",
+      )
       session.client.stop()
     }
     this.sessions.clear()

package/src/main.mjs

@@ -4335,6 +4335,13 @@ async function dispatch(msg, ctx) {
         if (!ctx.codexBridge) return
         ctx.codexBridge.detach({ stream_id: msg.stream_id })
         return
+      case "codex.keepalive":
+        // ブラウザが Codex チャットを開いている間の生存シグナル (CockpitTerminal.tsx の
+        // PTY keepalive と同じ構造)。閲覧中に gcAbandonedSessions (既定 1h 無通信) が
+        // 誤爆するのを防ぐ。未知 stream_id は false が返るだけ (無害な no-op)。
+        if (!ctx.codexBridge) return
+        ctx.codexBridge.keepalive({ stream_id: msg.stream_id })
+        return
       case "codex.sessions.request": {
         // cwd 配下の Codex thread 一覧を返す (claude.sessions.request と対称。
         // Cockpit のセッションピッカー/最新セッション自動選択用)。

package/src/sibling-inject.mjs

@@ -112,9 +112,13 @@ export class SiblingInjectBridge {
       const sent = bridge?.sendToCwd?.(cwd, text) ?? false
       result = sent
         ? { ok: true }
-        : { ok: false, error: "no_live_session_for_cwd" }
+        : { ok: false, error: "no_live_session_for_cwd", ...this._diagnose(cwd, target_cli_kind) }
     }
 
+    this.logger?.[result.ok ? "info" : "warn"]?.(
+      { request_id, cwd, target_cli_kind, ...(result.ok ? {} : { error: result.error, live_sessions: result.live_sessions }) },
+      result.ok ? "sibling-inject delivered" : "sibling-inject failed",
+    )
     await this._writeResult(request_id, result)
     // 要求ファイルは処理後に必ず削除する (成否問わず、再処理させないため)。
     try {
@@ -124,6 +128,32 @@ export class SiblingInjectBridge {
     }
   }
 
+  /**
+   * `no_live_session_for_cwd` に「一時的か恒久的か」「TUI と混同していないか」を
+   * 切り分ける材料を添える (2026-07-17: エラー文字列だけでは (a) 1 回失敗 → 再送で成功
+   * (b) 3 回失敗 → 本当に消滅 の区別が付かず誤判断した)。
+   *
+   * ⚠️ ここに出るのは hub-agent が spawn した **チャットセッションのみ**。tmux 配下で
+   * 動く TUI codex は ask-sibling の宛先にならないため、一覧が空でも「codex は画面上
+   * 動いている」ことは普通に起きる。その旨を hint に明記する。
+   * @param {string} cwd
+   * @param {string} targetKind
+   */
+  _diagnose(cwd, targetKind) {
+    const all = [
+      ...(this.claudeBridge?.describeLiveSessions?.() ?? []),
+      ...(this.codexBridge?.describeLiveSessions?.() ?? []),
+    ]
+    const sameCwd = all.filter((s) => s.cwd === cwd)
+    const hint = sameCwd.length
+      ? `この cwd には ${sameCwd.map((s) => s.kind).join("/")} のチャットセッションはあるが ${targetKind} は無い。`
+      : `この cwd には hub-agent 管理下のチャットセッションが 1 本も無い。` +
+        `tmux の TUI codex は ask-sibling の宛先にならない (hub-agent が spawn した` +
+        ` Cockpit のチャットセッションのみが対象)。Cockpit のブラウザで対象 cwd の` +
+        ` ${targetKind} チャットを開き直してから再送すること。`
+    return { live_sessions: all, hint }
+  }
+
   /** 結果ファイルを atomic write する (呼び出し側 CLI がポーリングする)。 */
   async _writeResult(request_id, result) {
     const fp = path.join(this.dir, `${request_id}.result.json`)