@cocorograph/hub-agent 0.8.16 → 0.8.18

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.8.16",
+  "version": "0.8.18",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-credentials.mjs

@@ -26,8 +26,51 @@ import { createHash } from "node:crypto"
 import { execFile } from "node:child_process"
 import { promisify } from "node:util"
 
+import { AsyncTtlCache } from "./async-ttl-cache.mjs"
+import { hasFileCredentials } from "./profiles.mjs"
+
 const execFileP = promisify(execFile)
 
+/**
+ * 認証在否チェックの短期キャッシュ TTL (ms)。
+ *
+ * ログイン状態は分単位でしか変わらないのに、`usage.request` (Cockpit のウィンドウ数 ×
+ * 60 秒周期) が来るたびに `security` コマンドを 1〜3 回 spawn していた。config
+ * ディレクトリ単位で 30 秒だけ結果を共有し、同時要求は single-flight に畳む。
+ * プロファイル切替直後は呼び出し側が clearCredentialCheckCache() で明示的に捨てる。
+ */
+export const CREDENTIAL_CHECK_TTL_MS = 30_000
+
+/** @type {Map<string, AsyncTtlCache>} configDir -> Keychain 在否 */
+const keychainCheckCache = new Map()
+/** @type {Map<string, AsyncTtlCache>} configDir -> .credentials.json 在否 */
+const fileCheckCache = new Map()
+
+function cachedCheck(store, configDir, build) {
+  const key = String(configDir)
+  let cache = store.get(key)
+  if (!cache) {
+    cache = new AsyncTtlCache({ ttlMs: CREDENTIAL_CHECK_TTL_MS })
+    store.set(key, cache)
+  }
+  return cache.get(build)
+}
+
+/**
+ * 認証在否キャッシュを捨てる (プロファイル切替直後・テストの状態初期化用)。
+ * configDir 省略時は全件。
+ */
+export function clearCredentialCheckCache(configDir) {
+  if (configDir === undefined) {
+    for (const cache of keychainCheckCache.values()) cache.clear()
+    for (const cache of fileCheckCache.values()) cache.clear()
+    return
+  }
+  const key = String(configDir)
+  keychainCheckCache.get(key)?.clear()
+  fileCheckCache.get(key)?.clear()
+}
+
 /**
  * 既定 (プライマリ) プロファイルで CLAUDE_CONFIG_DIR が未設定のとき、Claude Code は
  * ハッシュ無しの素のサービス名 `Claude Code-credentials` に OAuth トークンを保存する
@@ -100,11 +143,30 @@ export async function existsGenericPassword(service, opts = {}) {
  * 含める (PLAIN_CREDENTIAL_SERVICE のコメント参照)。含めないと既定プロファイルが常に
  * 空振りして「要ログイン」が出っぱなしになる。
  *
+ * ⚠️ キャッシュは **opts 無しの呼び出しだけ**に効かせる。`opts.execFileP` 等で挙動を
+ * 差し替える呼び出し (テストの分岐検査) までキャッシュすると、実際の分岐を通らないまま
+ * 前回値を返してしまい検査が空振りする。
+ *
  * @param {string} configDir
  * @param {{execFileP?: Function}} [opts]
  * @returns {Promise<boolean>}
  */
 export async function profileHasKeychainCredentials(configDir, opts = {}) {
+  if (opts && Object.keys(opts).length > 0) {
+    return probeKeychainCredentials(configDir, opts)
+  }
+  return cachedCheck(keychainCheckCache, configDir, () =>
+    probeKeychainCredentials(configDir, {}),
+  )
+}
+
+/**
+ * Keychain 在否の実処理 (キャッシュを挟まない)。
+ * @param {string} configDir
+ * @param {{execFileP?: Function}} opts
+ * @returns {Promise<boolean>}
+ */
+async function probeKeychainCredentials(configDir, opts) {
   const candidates = new Set([configDir])
   try {
     candidates.add(await fs.realpath(configDir))
@@ -139,3 +201,17 @@ export async function profileHasKeychainCredentials(configDir, opts = {}) {
   }
   return false
 }
+
+/**
+ * Keychain の無いプラットフォーム向け在否判定 (profiles.mjs の hasFileCredentials) の
+ * キャッシュ版。TTL・クリア導線は Keychain 版と共通 (clearCredentialCheckCache)。
+ *
+ * ⚠️ 実処理は profiles.mjs 側が正本。ここは呼び出し頻度を落とすためのラッパで、
+ * 判定ロジックは持たない。
+ *
+ * @param {string} configDir
+ * @returns {Promise<boolean>}
+ */
+export async function hasFileCredentialsCached(configDir) {
+  return cachedCheck(fileCheckCache, configDir, () => hasFileCredentials(configDir))
+}

package/src/codex-stream-bridge.mjs

@@ -329,6 +329,7 @@ export class CodexStreamBridge extends EventEmitter {
     historyMaxItems,
     historyMaxBytes,
     listThreadsCacheTtlMs,
+    accountRateLimitsCacheTtlMs,
   } = {}) {
     super()
     this.codexCmd = codexCmd
@@ -369,6 +370,14 @@ export class CodexStreamBridge extends EventEmitter {
     // AsyncTtlCache が single-flight と、thread/start 中の世代切替をまとめて担う。
     this._listThreadsCacheTtlMs = listThreadsCacheTtlMs ?? 5_000
     this._listThreadsCache = new Map()
+    // アカウント利用制限 (5h/7d) は **アカウント全体の値** で、Cockpit のウィンドウ数だけ
+    // 別々に取りに行く必要がない。1 回の取得ごとに `codex app-server` を spawn →
+    // initialize → 停止しており、control レーンの実測占有 (2026-08-01: 92 秒中 73.3 秒) の
+    // 主因になっていた。profileId 単位で短期キャッシュし、TTL 内は app-server を
+    // **一切起動しない**。同時要求は AsyncTtlCache の single-flight で 1 本に畳む。
+    this._accountRateLimitsCacheTtlMs = accountRateLimitsCacheTtlMs ?? 45_000
+    /** @type {Map<string, AsyncTtlCache>} profileId -> cache */
+    this._accountRateLimitsCache = new Map()
   }
 
   /**
@@ -1037,6 +1046,25 @@ export class CodexStreamBridge extends EventEmitter {
    * Cockpit フッターを最新化できる。呼び出し側は認証済みプロファイルの場合だけ呼ぶ。
    */
   async readAccountRateLimits({ cwd, profileId = "default" } = {}) {
+    let cache = this._accountRateLimitsCache.get(profileId)
+    if (!cache) {
+      cache = new AsyncTtlCache({ ttlMs: this._accountRateLimitsCacheTtlMs })
+      this._accountRateLimitsCache.set(profileId, cache)
+    }
+    try {
+      // ⚠️ 失敗を **キャッシュの外** で受けるのが要点。AsyncTtlCache は build 失敗を
+      // キャッシュしないため、一時的な取得失敗が TTL 分だけ再試行を止めることがない。
+      // 失敗時フォールバック (直近の成功値) は従来どおりここで効かせる。
+      return await cache.get(() => this._fetchAccountRateLimits({ cwd, profileId }))
+    } catch (err) {
+      const cached = this._accountRateLimitsByProfile.get(profileId)
+      if (cached) return cached
+      throw err
+    }
+  }
+
+  /** app-server を 1 本 spawn して account/rateLimits/read を取る実処理 (キャッシュ miss 時のみ)。 */
+  async _fetchAccountRateLimits({ cwd, profileId }) {
     const client = this._clientFactory({ cwd: cwd || process.cwd(), codexCmd: this.codexCmd, logger: this.logger })
     client.start()
     try {
@@ -1045,15 +1073,20 @@ export class CodexStreamBridge extends EventEmitter {
       const result = await client.request("account/rateLimits/read", {})
       this._accountRateLimitsByProfile.set(profileId, result)
       return result
-    } catch (err) {
-      const cached = this._accountRateLimitsByProfile.get(profileId)
-      if (cached) return cached
-      throw err
     } finally {
       client.stop()
     }
   }
 
+  /** プロファイル切替等で「別アカウントの値を見せない」ために使う (省略時は全 profile)。 */
+  clearAccountRateLimitsCache(profileId) {
+    if (profileId === undefined) {
+      for (const cache of this._accountRateLimitsCache.values()) cache.clear()
+      return
+    }
+    this._accountRateLimitsCache.get(profileId)?.clear()
+  }
+
   _wireClient(session) {
     const { client } = session
     client.on("notification", (msg) => this._onNotification(session, msg))

package/src/live-sessions.mjs

@@ -0,0 +1,61 @@
+/**
+ * 「そのセッションに依頼を送れるか (warm)」判定の **正本 (SoT)** (2026-08-01)。
+ *
+ * ## 背景 (WHY)
+ * セッション間の依頼 (`cockpit_orch.py send`) は sibling-inject が宛先を解決するが、その
+ * 対象は **claudeBridge / codexBridge の `describeLiveSessions()` に載るセッションだけ**で
+ * ある (載らない宛先は `sendToStream` / `sendToCwd` が `not_found` を返す)。一方 Cockpit の
+ * サイドバーは「tmux のセッション行が存在するか」しか見ていないため、**依頼を送れない
+ * セッションが「起動中」と表示される**食い違いがあった。
+ *
+ * そこで `tmux.list_sessions` 応答に `warm` を載せて表示と配送の判定を揃えるが、その際に
+ * **同じ判定を別実装で書き直すと再び食い違う** (グレー表示なのに宛先一覧に出ない、等)。
+ * 判定はこのモジュール 1 箇所に集約し、sibling-inject の候補列挙 (op:list / op:list-all /
+ * 失敗時の診断) と `warm` の算出が**必ず同じ関数**を通るようにする。
+ *
+ * ## 不変条件
+ *   - `isSessionWarm(bridges, row) === true`
+ *     ⇔ `describeLiveSessionsUnion(bridges, {cwd: row.cwd, cliKind: 行の cli_kind}).length > 0`
+ *     ⇔ sibling-inject の `op:"list"` が同じ cwd / kind で 1 本以上返す
+ *   - 行の cli_kind は `session-names.mjs` の命名規約 (`<dir>` = claude /
+ *     `<dir>__codex` = codex) からのみ導く。tmux / ブリッジの状態は参照しない。
+ */
+
+import { cliKindForSessionName } from "./session-names.mjs"
+
+/**
+ * claude / codex ブリッジの live セッションを union で返す (宛先解決の候補集合)。
+ *
+ * `cwd` を渡すとその cwd のみ、`cliKind` に 'claude' / 'codex' を渡すとその CLI のみへ
+ * 絞り込む。どちらも省略すると全 cwd・両 CLI (op:"list-all" 用)。`cliKind` が既知値以外
+ * なら絞り込まない (両方返す) — 呼び出し側で既に検証済みの前提。
+ *
+ * @param {{claudeBridge?: object, codexBridge?: object}} bridges
+ * @param {{cwd?: string, cliKind?: 'claude'|'codex'}} [filter]
+ * @returns {Array<object>} describeLiveSessions の記述子配列 (claude → codex の順)
+ */
+export function describeLiveSessionsUnion(bridges, { cwd, cliKind } = {}) {
+  const { claudeBridge, codexBridge } = bridges || {}
+  const out = []
+  if (cliKind !== "codex") out.push(...(claudeBridge?.describeLiveSessions?.(cwd) ?? []))
+  if (cliKind !== "claude") out.push(...(codexBridge?.describeLiveSessions?.(cwd) ?? []))
+  return out
+}
+
+/**
+ * tmux セッション行が「依頼を受け取れる (warm)」かを判定する。
+ *
+ * 判定は上記 union に一本化する。`cwd` が取れていない行 (tmux の cwd 解決失敗など) は
+ * 宛先解決のスコープを作れないため false (fail-closed。送れないものを送れると見せない)。
+ *
+ * @param {{claudeBridge?: object, codexBridge?: object}} bridges
+ * @param {{name?: string, cwd?: string|null}} row tmux.list_sessions の session 行
+ * @returns {boolean}
+ */
+export function isSessionWarm(bridges, { name, cwd } = {}) {
+  if (!cwd) return false
+  const cliKind = cliKindForSessionName(name)
+  return describeLiveSessionsUnion(bridges, { cwd, cliKind }).length > 0
+}
+
+export default { describeLiveSessionsUnion, isSessionWarm }

package/src/main.mjs

@@ -86,6 +86,8 @@ import {
 // 名前衝突を避けて namespace import する。
 import * as codexProfiles from "./codex-profiles.mjs"
 import {
+  clearCredentialCheckCache,
+  hasFileCredentialsCached,
   isKeychainPlatform,
   profileHasKeychainCredentials,
 } from "./claude-credentials.mjs"
@@ -108,6 +110,7 @@ import {
   stopTerminalMirror,
 } from "./tmux.mjs"
 import { SiblingInjectBridge } from "./sibling-inject.mjs"
+import { isSessionWarm } from "./live-sessions.mjs"
 import {
   boundSessionId,
   codexContextPercentFromTokenUsage,
@@ -197,14 +200,17 @@ function codexDefaultsFromAgentConfig(config) {
 /**
  * プロファイル切替用: 全 tmux セッションを kill → 同名・同 cwd で再作成する。
  *
- * 再作成された pane の claude は createSession 内の injectConfigDirEnv 経由で
- * 新しい CLAUDE_CONFIG_DIR を拾うため、TUI セッションもアカウント切替に追従する。
+ * 再作成された pane は **既定では素のシェル** (createSession が CLI を起動しない)。
+ * アカウント切替は SDK チャット側の process.env と、tmux サーバーのグローバル環境
+ * (syncTmuxProfileEnv の `set-environment -g`) で追従する。
+ * `HUB_AGENT_TMUX_LAUNCH_CLI=1` で TUI を起動する運用の場合のみ、createSession 内の
+ * injectConfigDirEnv が新しい CLAUDE_CONFIG_DIR をコマンドへ焼き込む。
  * initial prompt (leader の /orchestrate 等) までは復元しない — アカウントが
  * 変わる以上、前アカウントの文脈でスキルを自動発火させない方が安全。
  * cwd が取れないセッションは kill のみ行い、再作成はスキップして failed に積む。
  * tmux サーバー未起動なら何もしない。
  */
-async function restartAllTmuxSessionsForProfileSwitch(ctx) {
+export async function restartAllTmuxSessionsForProfileSwitch(ctx) {
   const result = { killed: [], recreated: [], failed: [] }
   let sessions = []
   try {
@@ -408,9 +414,11 @@ export function applyActiveProfileEnv(profile, log) {
 
 /**
  * active プロファイルの CLAUDE_CONFIG_DIR を tmux サーバーのグローバル環境にも同期する。
- * tmux pane のシェルは hub-agent の process.env を見ないため、手動 respawn や
- * ユーザーが pane 内で直接 `claude` を打つケースの保険として set-environment -g を併用する
- * (新規セッションの主経路は createSession 内の injectConfigDirEnv コマンド焼き込み)。
+ * tmux pane のシェルは hub-agent の process.env を見ないため、set-environment -g で流し込む。
+ * pane は既定で素のシェル (CLI を自動起動しない) なので、ユーザーが pane 内で直接
+ * `claude` を打つケースにはこれが主経路になる
+ * (`HUB_AGENT_TMUX_LAUNCH_CLI=1` で CLI を pane 起動するときだけ、createSession 内の
+ *  injectConfigDirEnv によるコマンド焼き込みが併用される)。
  * tmux サーバー未起動でも失敗しない。
  */
 export async function syncTmuxProfileEnv(profile, log) {
@@ -2011,17 +2019,27 @@ const STALL_WARN_MS = Number(process.env.HUB_AGENT_STALL_WARN_MS ?? 90000)
  * 純関数として export することでテスト容易性を上げる(getSessionStateSnapshot を mock で
  * 注入し、snapshot 有/無/null/欠落フィールドの各ケースで挙動を検証可能)。
  *
+ * `warm` (2026-08-01): 「このセッションに依頼 (cockpit_orch.py send) を送れるか」。frontend は
+ * 従来「tmux のセッション行が存在するか」だけで起動中を判定していたため、**依頼を送れない
+ * セッションが起動中と表示される**食い違いがあった。判定は live-sessions.mjs の
+ * `isSessionWarm` (sibling-inject の宛先候補列挙と同一関数) に一本化する。accessor 未指定
+ * (=旧呼び出し) では `warm` を付与しない(推測で false を配らない)。
+ *
  * @param {Array} sessions tmux.list_sessions が返した素の session 行
  * @param {Map<string, object>} lastEventByName session_name → 最新 hook event
  * @param {((name: string) => object | null) | undefined} getSnap state loop の getSnapshot
  *        accessor。undefined のときは 4 信号を一切付与しない(snapshot 経路 OFF と等価)
+ * @param {((row: {name: string, cwd?: string|null}) => boolean) | undefined} isWarm
+ *        warm 判定 accessor (既定は live-sessions.mjs の isSessionWarm を bind したもの)。
+ *        undefined のときは `warm` を付与しない
  */
-export function enrichTmuxSessionsForListResponse(sessions, lastEventByName, getSnap) {
+export function enrichTmuxSessionsForListResponse(sessions, lastEventByName, getSnap, isWarm) {
   return sessions.map((s) => {
     const base = {
       ...s,
       last_event: lastEventByName.get(s.name) || null,
     }
+    if (isWarm) base.warm = !!isWarm(s)
     if (!getSnap) return base
     const snap = getSnap(s.name)
     if (!snap) return base
@@ -3309,6 +3327,388 @@ export async function handleKillSession(msg, ctx) {
   }
 }
 
+/** usage.response の中身を共有する TTL (ms)。frontend の poll は既定 60 秒周期。 */
+export const USAGE_RESPONSE_TTL_MS = 4_000
+
+/**
+ * usage.response の **中身だけ** を共有する短期キャッシュ。
+ *
+ * usage.request が返すのはアカウント全体の 5h/7d 利用量で、どのウィンドウから聞いても
+ * 同じ答えになる。にもかかわらず N 個のウィンドウが別々に取りに行き、1 回ごとに
+ * `security` spawn ・SDK control RPC ・`codex app-server` の起動/停止を伴っていたため、
+ * control レーンの実測占有 (2026-08-01: 92 秒中 73.3 秒) の主因になっていた。
+ *
+ * ⚠️ **request_id は絶対にここへ入れない**。キャッシュした payload に前の要求の
+ * request_id が混ざると、別ウィンドウの要求に他人の応答が返る。送信時に各要求の
+ * request_id を後から差し込む (handleUsageRequest 参照)。
+ */
+export const usageResponseCache = new AsyncTtlCache({ ttlMs: USAGE_RESPONSE_TTL_MS })
+
+/** 前回 build 以降に「キャッシュで返した」要求数 (= 畳めた重複の実測値)。 */
+let usageServedFromCacheSinceLastBuild = 0
+
+/**
+ * usage.response の中身 (usage / sessions / codexUsage / codexSessions) を組み立てる。
+ * キャッシュ miss のときだけ実行される。
+ *
+ * 戻り値は `{ payload, timings }`。**payload はそのまま応答に展開する中身**、timings は
+ * 内訳の所要時間で、ログにだけ使う (応答には出さない)。ログの発火は呼び出し側
+ * (handleUsageRequest) が「実際に build したときだけ」行う。
+ *
+ * @returns {Promise<{payload: object, timings: object}>}
+ */
+export async function buildUsagePayload(ctx) {
+  const startedAt = Date.now()
+  let credentialsMs = 0
+  let accountUsageMs = 0
+  let localUsageMs = 0
+  let codexRateLimitsMs = 0
+
+  const credentialsStartedAt = Date.now()
+  const activeClaudeProfile = await getActiveProfile()
+  const claudeHasCredentials = isKeychainPlatform()
+    ? await profileHasKeychainCredentials(activeClaudeProfile.configDir)
+    : await hasFileCredentialsCached(activeClaudeProfile.configDir)
+  credentialsMs = Date.now() - credentialsStartedAt
+
+  // 5h/7d の本命ソース: SDK control request (アカウント全体、session 非依存)。
+  // statusLine が rate_limits を出さなくなった環境 (2026-07 時点の Claude CLI) でも
+  // ここでライブ更新できる。frontend の usage.request ポーリング (既定 60s) 頻度に
+  // 相乗りするだけで十分な鮮度が保てるため、専用タイマーは設けない。EXPERIMENTAL
+  // API の失敗は getAccountUsage 内で握りつぶし null を返す (recordChatUsageSnapshot
+  // は no-op) ので、既存の statusLine/transcript フォールバックは無傷で残る。
+  if (ctx.claudeBridge) {
+    const accountUsageStartedAt = Date.now()
+    try {
+      // ⚠️ getAccountUsage は SDK のサブプロセスを spawn する。**時間制限が無いと
+      // 返ってこないときに control レーン全体が止まる** (usage.request は 60 秒周期で
+      // control レーンに乗り、そこにセッション停止も並ぶ)。同種の head-of-line
+      // blocking で cold p95 40〜54 秒を計測した記録が isReadOnlyRpc の注記にある。
+      // 時間切れは握りつぶさず warn で残す (これ自体が「詰まりの実測値」になる)。
+      const acct = await withDeadline(
+        ctx.claudeBridge.getAccountUsage(),
+        ACCOUNT_USAGE_TIMEOUT_MS,
+        () =>
+          ctx.logger?.warn?.(
+            { timeout_ms: ACCOUNT_USAGE_TIMEOUT_MS },
+            "account usage timed out (dispatch lane released)",
+          ),
+      )
+      if (acct) recordChatUsageSnapshot(acct, Date.now(), activeClaudeProfile.id)
+    } catch (err) {
+      ctx.logger?.debug?.({ err: err?.message }, "account usage snapshot skipped")
+    }
+    accountUsageMs = Date.now() - accountUsageStartedAt
+  }
+
+  const localUsageStartedAt = Date.now()
+  let [usage, sessions] = await Promise.all([
+    getUsage({ profileId: activeClaudeProfile.id }),
+    getSessionUsages(),
+  ])
+  localUsageMs = Date.now() - localUsageStartedAt
+  // 未ログインで残ったローカル transcript/cache をアカウント利用量として見せない。
+  if (!claudeHasCredentials) {
+    usage = null
+    sessions = []
+  }
+
+  // Codex 版 (Stream B3, 2026-07-03): rollout jsonl の token_count イベントから
+  // 5h/7d + context% を取る。⚠️ Codex の 5h/7d は ChatGPT/OpenAI サブスクリプション
+  // の残量であり、上の `usage` (Claude/Anthropic サブスクリプション) とは別契約の
+  // 別数値のため、`usage` にマージせず独立フィールド `codexUsage`/`codexSessions`
+  // として返す (frontend 側でどちらのアカウントの残量か混同しないため)。
+  let codexUsage = null
+  let codexSessions = []
+  const activeCodexProfile = await codexProfiles.getActiveProfile()
+  const codexHasCredentials = await codexProfiles.hasCodexCredentials(activeCodexProfile.configDir)
+  if (ctx.codexBridge && codexHasCredentials) {
+    try {
+      // T06407 増分2 (axis2): per-cwd の context% は **cwd ごとに権威 producer 1 件**へ
+      // 集約する。旧実装は全 live session を codexSessions へ流していたため、同一 cwd に
+      // 複数 thread があると frontend の usageByCwd (updatedAtMs 同値で first-wins) が
+      // 任意のスレッドを拾い、state loop (権威 producer) と別 thread を選んでドーナツが
+      // 前後した。liveSessionForCwd の同一規則で cwd → 権威 producer(session) を一意化し、
+      // producerSeq を context% の live source として通して両経路を収束させる。
+      const cwds = new Set()
+      for (const s of ctx.codexBridge.sessions.values()) {
+        if (s.threadId && s.cwd) cwds.add(s.cwd)
+      }
+      const liveCodex = []
+      for (const cwd of cwds) {
+        const authoritative = ctx.codexBridge.liveSessionForCwd?.(cwd)
+        if (authoritative?.threadId) {
+          liveCodex.push({
+            sessionId: authoritative.threadId,
+            cwd: authoritative.cwd,
+            threadId: authoritative.threadId,
+            producerSeq: authoritative.seq,
+          })
+        }
+      }
+      if (liveCodex.length > 0) {
+        // 5h/7d はアカウント全体の値 (どの live session から読んでも同じ契約の残量)
+        // なので、代表として最初の 1 件から取る (context% はその producer の live を使う)。
+        codexUsage = await codexUsageForThread(liveCodex[0].threadId, {
+          producerSeq: liveCodex[0].producerSeq,
+        })
+        codexSessions = await codexSessionUsages(liveCodex)
+        // ⚠️ codex-review round2 major#2: codexSessionUsages の rollout I/O 中に cwd の
+        // 権威 producer が別 session へ移りうる。await 後に各 cwd の現権威 seq を再検証し、
+        // 集計に使った producer が現権威でない entry は破棄する (古い producer の context を
+        // codexCtxByCwd へ出さない)。破棄した cwd は frontend が state loop の
+        // live.context_pct (毎 tick 権威を同期解決=TOCTOU 無し) にフォールバックする。
+        const seqForCwd = (cwd) => ctx.codexBridge.liveSessionForCwd?.(cwd)?.seq
+        const producerByCwd = new Map(liveCodex.map((e) => [e.cwd, e.producerSeq]))
+        codexSessions = filterCodexSessionsByAuthority(
+          codexSessions,
+          producerByCwd,
+          seqForCwd,
+        )
+        // codex-review round3 minor#1: 集約 codexUsage.context は代表 producer
+        // (liveCodex[0]) の値。await 中に代表が権威を失っていたら旧 context を出さない
+        // (context だけ null 化。5h/7d は account-wide なので保持する)。
+        if (codexUsage && seqForCwd(liveCodex[0].cwd) !== liveCodex[0].producerSeq) {
+          codexUsage = { ...codexUsage, context: null }
+        }
+      }
+      // ライブ session の有無にかかわらず、起動直後の account RPC を優先する。
+      // rollout は context の補助だけにし、5h/7d はプロファイル固有の最新実値にする。
+      const codexRateLimitsStartedAt = Date.now()
+      const rateLimits = await ctx.codexBridge.readAccountRateLimits({
+        profileId: activeCodexProfile.id,
+      })
+      codexRateLimitsMs = Date.now() - codexRateLimitsStartedAt
+      const accountUsage = codexUsageFromAccountRateLimits(rateLimits)
+      if (accountUsage) {
+        codexUsage = { ...accountUsage, context: codexUsage?.context ?? null }
+        recordAccountUsageSnapshot("codex", activeCodexProfile.id, codexUsage)
+      }
+    } catch (err) {
+      ctx.logger?.debug?.({ err: err?.message }, "codex usage snapshot skipped")
+    }
+  }
+  // Agent 再起動後や一時的な account RPC 失敗時も、同一 profile の最終取得値だけを
+  // 表示する。未ログインならここへ到達せず、表示も完全に隠す。
+  if (codexHasCredentials && !codexUsage) {
+    codexUsage = await readAccountUsageSnapshot("codex", activeCodexProfile.id)
+  }
+
+  return {
+    payload: { usage, sessions, codexUsage, codexSessions },
+    timings: {
+      credentials_ms: credentialsMs,
+      account_usage_ms: accountUsageMs,
+      local_usage_ms: localUsageMs,
+      codex_ratelimits_ms: codexRateLimitsMs,
+      total_ms: Date.now() - startedAt,
+    },
+  }
+}
+
+/**
+ * usage.request の処理。中身は TTL キャッシュ + single-flight で共有し、request_id
+ * だけを要求ごとに差し込む。
+ *
+ * ⚠️ 送信オブジェクトは `...payload` を先に展開し **request_id を後から上書き** する。
+ * 万一 payload 側に request_id が混入しても、他人の応答が返る事故にならないため。
+ *
+ * テストから直接呼べるよう export。中身の組み立ては deps.build で差し替え可能。
+ */
+export async function handleUsageRequest(msg, ctx, deps = {}) {
+  const build = deps.build || (() => buildUsagePayload(ctx))
+  try {
+    // build を実行したのが自分かどうか。single-flight で畳まれた caller の closure は
+    // 呼ばれないため、そのまま「キャッシュで返した件数」の計測になる。
+    let built = false
+    const result = await usageResponseCache.get(() => {
+      built = true
+      return build()
+    })
+    if (built) {
+      // 効果を数字で確認するための内訳。**build したときだけ** 出す (ヒット時は出さない。
+      // ウィンドウ数 × poll で件数が多く、ログが埋まるため)。
+      // served_from_cache_since_last_build が「畳めた重複」の実測値になる。
+      ctx.logger?.info?.(
+        {
+          ...result.timings,
+          served_from_cache_since_last_build: usageServedFromCacheSinceLastBuild,
+        },
+        "usage request timing",
+      )
+      usageServedFromCacheSinceLastBuild = 0
+    } else {
+      usageServedFromCacheSinceLastBuild += 1
+    }
+    ctx.client.send({
+      type: "usage.response",
+      ...result.payload,
+      request_id: msg.request_id,
+    })
+  } catch (err) {
+    ctx.client.send({
+      type: "usage.response",
+      usage: null,
+      sessions: [],
+      codexUsage: null,
+      codexSessions: [],
+      error: err.message,
+      request_id: msg.request_id,
+    })
+  }
+}
+
+/**
+ * `tmux.create_session` ハンドラ。指定名・cwd で detached の tmux セッションを作る。
+ *
+ * ⚠️ pane に CLI (claude / codex) を起動するかは **createSession 内の
+ * shouldLaunchPaneCli() が一元判定**する (既定は起動しない)。ここで渡す cliKind /
+ * claudeCmd / codexCmd / initialPrompt 等は、`HUB_AGENT_TMUX_LAUNCH_CLI=1` で
+ * CLI を起動するときにだけ使われる。呼び出し元ごとに既定を変えないため、
+ * このハンドラ側で起動可否を判断しないこと。
+ *
+ * dispatch から切り出して export しているのは、実際に tmux へ渡る引数を
+ * テストから検査できるようにするため (test/tmux-pane-cli-launch.test.mjs)。
+ */
+export async function handleTmuxCreateSession(msg, ctx) {
+  const name = (msg.session_name || "").trim()
+  const cwd = (msg.cwd || process.env.HOME || "/").trim()
+  if (!name) {
+    ctx.client.send({
+      type: "tmux.create_session.result",
+      request_id: msg.request_id,
+      ok: false,
+      error: "session_name is required",
+    })
+    return
+  }
+  try {
+    await createTmuxSession(name, cwd, {
+      // cli_kind: 'codex' なら codex を、それ以外は claude を pane 起動する (既定 claude)。
+      cliKind: msg.cli_kind === "codex" ? "codex" : "claude",
+      claudeCmd:
+        typeof msg.claude_cmd === "string"
+          ? msg.claude_cmd
+          : claudeCmdFromAgentConfig(ctx.config),
+      codexCmd: typeof msg.codex_cmd === "string" ? msg.codex_cmd : undefined,
+      // codex 用設定 (claude 経路では claudeCmd を直接使うため無視される)。
+      model:
+        typeof msg.model === "string"
+          ? msg.model
+          : codexDefaultsFromAgentConfig(ctx.config).model,
+      sandbox: typeof msg.sandbox === "string" ? msg.sandbox : undefined,
+      approvalPolicy:
+        typeof msg.approval_policy === "string" ? msg.approval_policy : undefined,
+      effort:
+        typeof msg.effort === "string"
+          ? msg.effort
+          : codexDefaultsFromAgentConfig(ctx.config).effort,
+      initialPrompt:
+        typeof msg.initial_prompt === "string" ? msg.initial_prompt : undefined,
+      logger: ctx.logger,
+    })
+    tmuxSessionsSnapshotCache.clear()
+    ctx.client.send({
+      type: "tmux.create_session.result",
+      request_id: msg.request_id,
+      ok: true,
+      session_name: name,
+    })
+  } catch (err) {
+    ctx.client.send({
+      type: "tmux.create_session.result",
+      request_id: msg.request_id,
+      ok: false,
+      error: err.message,
+    })
+  }
+}
+
+/**
+ * `worktree.create` ハンドラ。git worktree を作ってから、その dir で tmux セッションを作る。
+ * body: { request_id, dir, branch, cli_kind?, claude_cmd?, codex_cmd?, model?, sandbox?,
+ *         approval_policy?, effort?, initial_prompt? }
+ *
+ * ⚠️ pane の CLI 起動可否は handleTmuxCreateSession と同じく createSession 側の
+ * 一元判定に従う (既定は起動しない)。
+ */
+export async function handleWorktreeCreate(msg, ctx) {
+  const dir = (msg.dir || "").trim()
+  const branch = (msg.branch || "").trim()
+  if (!dir || !branch) {
+    ctx.client.send({
+      type: "worktree.create.result",
+      request_id: msg.request_id,
+      ok: false,
+      error: "dir and branch required",
+    })
+    return
+  }
+  if (!/^[A-Za-z0-9._\-/]+$/.test(branch) || branch.startsWith("-")) {
+    ctx.client.send({
+      type: "worktree.create.result",
+      request_id: msg.request_id,
+      ok: false,
+      error: "invalid branch name",
+    })
+    return
+  }
+  try {
+    const { wtName, wtPath, createdBranch } = await createWorktreeDir(dir, branch)
+    // worktree dir で tmux session を作成。tmux.create_session と同じく cli_kind を
+    // 解釈し、codex なら codex を pane 起動する（既定 claude）。
+    // T05945: セッション名は cli_kind に応じて `<wt>` / `<wt>__codex` へ分ける。これで
+    // 同一 worktree でも claude と codex を独立に起動/終了できる (旧実装は cli_kind に
+    // 関わらず `<wt>` 固定だったため、片方しか立てられなかった)。
+    const wtCliKind = msg.cli_kind === "codex" ? "codex" : "claude"
+    const wtSessionName = sessionNameFor(wtName, wtCliKind)
+    await createTmuxSession(wtSessionName, wtPath, {
+      cliKind: wtCliKind,
+      claudeCmd:
+        typeof msg.claude_cmd === "string"
+          ? msg.claude_cmd
+          : claudeCmdFromAgentConfig(ctx.config),
+      codexCmd: typeof msg.codex_cmd === "string" ? msg.codex_cmd : undefined,
+      // codex 用設定 (claude 経路では無視される)。
+      model:
+        typeof msg.model === "string"
+          ? msg.model
+          : codexDefaultsFromAgentConfig(ctx.config).model,
+      sandbox: typeof msg.sandbox === "string" ? msg.sandbox : undefined,
+      approvalPolicy:
+        typeof msg.approval_policy === "string" ? msg.approval_policy : undefined,
+      effort:
+        typeof msg.effort === "string"
+          ? msg.effort
+          : codexDefaultsFromAgentConfig(ctx.config).effort,
+      initialPrompt:
+        typeof msg.initial_prompt === "string" ? msg.initial_prompt : undefined,
+      logger: ctx.logger,
+    })
+    tmuxSessionsSnapshotCache.clear()
+    ctx.client.send({
+      type: "worktree.create.result",
+      request_id: msg.request_id,
+      ok: true,
+      // wt_name は従来どおり **ベース名** (dir 名)。frontend のツリー構築キーに使う。
+      wt_name: wtName,
+      // session_name は実際に作った tmux セッション名 (codex なら __codex 付き)。
+      // 旧 frontend はこのフィールドを見ないため後方互換 (wt_name で選択する)。
+      session_name: wtSessionName,
+      wt_path: wtPath,
+      branch,
+      created_branch: createdBranch,
+    })
+  } catch (err) {
+    ctx.client.send({
+      type: "worktree.create.result",
+      request_id: msg.request_id,
+      ok: false,
+      error: err.message,
+    })
+  }
+}
+
 async function dispatch(msg, ctx) {
   const t = msg?.type || ""
   try {
@@ -4357,6 +4757,10 @@ async function dispatch(msg, ctx) {
           // tmux TUI セッションも旧アカウントのまま残さない: kill → 同名・同 cwd で再作成。
           const tmuxResult = await restartAllTmuxSessionsForProfileSwitch(ctx)
           tmuxSessionsSnapshotCache.clear()
+          // アカウントが変わったので、旧アカウントの利用量・認証在否を TTL の残り時間だけ
+          // 見せ続けないよう明示的に捨てる (直後の needs_login 判定も実測値になる)。
+          usageResponseCache.clear()
+          clearCredentialCheckCache()
           // 切替先の config ディレクトリに認証情報が無ければ要ログイン (バッジ/案内用)。
           const hasCreds = isKeychainPlatform()
             ? await profileHasKeychainCredentials(target.configDir)
@@ -4497,6 +4901,10 @@ async function dispatch(msg, ctx) {
           const before = ctx.codexBridge?.sessions?.size ?? 0
           ctx.codexBridge?.shutdown()
           tmuxSessionsSnapshotCache.clear()
+          // Codex アカウントが変わったので、旧アカウントの 5h/7d を TTL の残り時間だけ
+          // 見せ続けない (rate limits 自体は profileId 別キャッシュなので混ざらないが、
+          // usage.response の中身は両アカウントを束ねているため明示的に捨てる)。
+          usageResponseCache.clear()
           const hasCreds = await codexProfiles.hasCodexCredentials(target.configDir)
           const needsLogin = !hasCreds
           const isDefaultTarget = target.id === codexProfiles.DEFAULT_CODEX_PROFILE_ID
@@ -4648,6 +5056,13 @@ async function dispatch(msg, ctx) {
               sessions,
               lastEventByName,
               ctx.getSessionStateSnapshot,
+              // warm = このセッションへ依頼 (cockpit_orch.py send) を送れるか。sibling-inject の
+              // 宛先候補列挙と同一関数 (live-sessions.mjs) を通す。
+              (row) =>
+                isSessionWarm(
+                  { claudeBridge: ctx.claudeBridge, codexBridge: ctx.codexBridge },
+                  row,
+                ),
             )
             const liveNames = new Set(enriched.map((s) => s.name))
             let worktreeStubs = []
@@ -4698,135 +5113,11 @@ async function dispatch(msg, ctx) {
         return
       }
       case "tmux.create_session": {
-        const name = (msg.session_name || "").trim()
-        const cwd = (msg.cwd || process.env.HOME || "/").trim()
-        if (!name) {
-          ctx.client.send({
-            type: "tmux.create_session.result",
-            request_id: msg.request_id,
-            ok: false,
-            error: "session_name is required",
-          })
-          return
-        }
-        try {
-          await createTmuxSession(name, cwd, {
-            // cli_kind: 'codex' なら codex を、それ以外は claude を pane 起動する (既定 claude)。
-            cliKind: msg.cli_kind === "codex" ? "codex" : "claude",
-            claudeCmd:
-              typeof msg.claude_cmd === "string"
-                ? msg.claude_cmd
-                : claudeCmdFromAgentConfig(ctx.config),
-            codexCmd: typeof msg.codex_cmd === "string" ? msg.codex_cmd : undefined,
-            // codex 用設定 (claude 経路では claudeCmd を直接使うため無視される)。
-            model:
-              typeof msg.model === "string"
-                ? msg.model
-                : codexDefaultsFromAgentConfig(ctx.config).model,
-            sandbox: typeof msg.sandbox === "string" ? msg.sandbox : undefined,
-            approvalPolicy:
-              typeof msg.approval_policy === "string" ? msg.approval_policy : undefined,
-            effort:
-              typeof msg.effort === "string"
-                ? msg.effort
-                : codexDefaultsFromAgentConfig(ctx.config).effort,
-            initialPrompt:
-              typeof msg.initial_prompt === "string" ? msg.initial_prompt : undefined,
-            logger: ctx.logger,
-          })
-          tmuxSessionsSnapshotCache.clear()
-          ctx.client.send({
-            type: "tmux.create_session.result",
-            request_id: msg.request_id,
-            ok: true,
-            session_name: name,
-          })
-        } catch (err) {
-          ctx.client.send({
-            type: "tmux.create_session.result",
-            request_id: msg.request_id,
-            ok: false,
-            error: err.message,
-          })
-        }
+        await handleTmuxCreateSession(msg, ctx)
         return
       }
       case "worktree.create": {
-        // body: { request_id, dir, branch, cli_kind?, claude_cmd?, codex_cmd?, model?, sandbox?, approval_policy?, effort?, initial_prompt? }
-        const dir = (msg.dir || "").trim()
-        const branch = (msg.branch || "").trim()
-        if (!dir || !branch) {
-          ctx.client.send({
-            type: "worktree.create.result",
-            request_id: msg.request_id,
-            ok: false,
-            error: "dir and branch required",
-          })
-          return
-        }
-        if (!/^[A-Za-z0-9._\-/]+$/.test(branch) || branch.startsWith("-")) {
-          ctx.client.send({
-            type: "worktree.create.result",
-            request_id: msg.request_id,
-            ok: false,
-            error: "invalid branch name",
-          })
-          return
-        }
-        try {
-          const { wtName, wtPath, createdBranch } = await createWorktreeDir(dir, branch)
-          // worktree dir で tmux session を作成。tmux.create_session と同じく cli_kind を
-          // 解釈し、codex なら codex を pane 起動する（既定 claude）。
-          // T05945: セッション名は cli_kind に応じて `<wt>` / `<wt>__codex` へ分ける。これで
-          // 同一 worktree でも claude と codex を独立に起動/終了できる (旧実装は cli_kind に
-          // 関わらず `<wt>` 固定だったため、片方しか立てられなかった)。
-          const wtCliKind = msg.cli_kind === "codex" ? "codex" : "claude"
-          const wtSessionName = sessionNameFor(wtName, wtCliKind)
-          await createTmuxSession(wtSessionName, wtPath, {
-            cliKind: wtCliKind,
-            claudeCmd:
-              typeof msg.claude_cmd === "string"
-                ? msg.claude_cmd
-                : claudeCmdFromAgentConfig(ctx.config),
-            codexCmd: typeof msg.codex_cmd === "string" ? msg.codex_cmd : undefined,
-            // codex 用設定 (claude 経路では無視される)。
-            model:
-              typeof msg.model === "string"
-                ? msg.model
-                : codexDefaultsFromAgentConfig(ctx.config).model,
-            sandbox: typeof msg.sandbox === "string" ? msg.sandbox : undefined,
-            approvalPolicy:
-              typeof msg.approval_policy === "string" ? msg.approval_policy : undefined,
-            effort:
-              typeof msg.effort === "string"
-                ? msg.effort
-                : codexDefaultsFromAgentConfig(ctx.config).effort,
-            initialPrompt:
-              typeof msg.initial_prompt === "string" ? msg.initial_prompt : undefined,
-            logger: ctx.logger,
-          })
-          tmuxSessionsSnapshotCache.clear()
-          ctx.client.send({
-            type: "worktree.create.result",
-            request_id: msg.request_id,
-            ok: true,
-            // wt_name は従来どおり **ベース名** (dir 名)。frontend のツリー構築キーに使う。
-            wt_name: wtName,
-            // session_name は実際に作った tmux セッション名 (codex なら __codex 付き)。
-            // 旧 frontend はこのフィールドを見ないため後方互換 (wt_name で選択する)。
-            session_name: wtSessionName,
-            wt_path: wtPath,
-            branch,
-            created_branch: createdBranch,
-          })
-        } catch (err) {
-          ctx.client.send({
-            type: "worktree.create.result",
-            request_id: msg.request_id,
-            ok: false,
-            error: err.message,
-          })
-        }
+        await handleWorktreeCreate(msg, ctx)
         return
       }
       case "worktree.list_history": {
@@ -4963,145 +5254,7 @@ async function dispatch(msg, ctx) {
         return
       }
       case "usage.request": {
-        try {
-          const activeClaudeProfile = await getActiveProfile()
-          const claudeHasCredentials = isKeychainPlatform()
-            ? await profileHasKeychainCredentials(activeClaudeProfile.configDir)
-            : await hasFileCredentials(activeClaudeProfile.configDir)
-          // 5h/7d の本命ソース: SDK control request (アカウント全体、session 非依存)。
-          // statusLine が rate_limits を出さなくなった環境 (2026-07 時点の Claude CLI) でも
-          // ここでライブ更新できる。frontend の usage.request ポーリング (既定 60s) 頻度に
-          // 相乗りするだけで十分な鮮度が保てるため、専用タイマーは設けない。EXPERIMENTAL
-          // API の失敗は getAccountUsage 内で握りつぶし null を返す (recordChatUsageSnapshot
-          // は no-op) ので、既存の statusLine/transcript フォールバックは無傷で残る。
-          if (ctx.claudeBridge) {
-            try {
-              // ⚠️ getAccountUsage は SDK のサブプロセスを spawn する。**時間制限が無いと
-              // 返ってこないときに control レーン全体が止まる** (usage.request は 60 秒周期で
-              // control レーンに乗り、そこにセッション停止も並ぶ)。同種の head-of-line
-              // blocking で cold p95 40〜54 秒を計測した記録が isReadOnlyRpc の注記にある。
-              // 時間切れは握りつぶさず warn で残す (これ自体が「詰まりの実測値」になる)。
-              const acct = await withDeadline(
-                ctx.claudeBridge.getAccountUsage(),
-                ACCOUNT_USAGE_TIMEOUT_MS,
-                () =>
-                  ctx.logger?.warn?.(
-                    { timeout_ms: ACCOUNT_USAGE_TIMEOUT_MS },
-                    "account usage timed out (dispatch lane released)",
-                  ),
-              )
-              if (acct) recordChatUsageSnapshot(acct, Date.now(), activeClaudeProfile.id)
-            } catch (err) {
-              ctx.logger?.debug?.({ err: err?.message }, "account usage snapshot skipped")
-            }
-          }
-          let [usage, sessions] = await Promise.all([
-            getUsage({ profileId: activeClaudeProfile.id }),
-            getSessionUsages(),
-          ])
-          // 未ログインで残ったローカル transcript/cache をアカウント利用量として見せない。
-          if (!claudeHasCredentials) {
-            usage = null
-            sessions = []
-          }
-
-          // Codex 版 (Stream B3, 2026-07-03): rollout jsonl の token_count イベントから
-          // 5h/7d + context% を取る。⚠️ Codex の 5h/7d は ChatGPT/OpenAI サブスクリプション
-          // の残量であり、上の `usage` (Claude/Anthropic サブスクリプション) とは別契約の
-          // 別数値のため、`usage` にマージせず独立フィールド `codexUsage`/`codexSessions`
-          // として返す (frontend 側でどちらのアカウントの残量か混同しないため)。
-          let codexUsage = null
-          let codexSessions = []
-          const activeCodexProfile = await codexProfiles.getActiveProfile()
-          const codexHasCredentials = await codexProfiles.hasCodexCredentials(activeCodexProfile.configDir)
-          if (ctx.codexBridge && codexHasCredentials) {
-            try {
-              // T06407 増分2 (axis2): per-cwd の context% は **cwd ごとに権威 producer 1 件**へ
-              // 集約する。旧実装は全 live session を codexSessions へ流していたため、同一 cwd に
-              // 複数 thread があると frontend の usageByCwd (updatedAtMs 同値で first-wins) が
-              // 任意のスレッドを拾い、state loop (権威 producer) と別 thread を選んでドーナツが
-              // 前後した。liveSessionForCwd の同一規則で cwd → 権威 producer(session) を一意化し、
-              // producerSeq を context% の live source として通して両経路を収束させる。
-              const cwds = new Set()
-              for (const s of ctx.codexBridge.sessions.values()) {
-                if (s.threadId && s.cwd) cwds.add(s.cwd)
-              }
-              const liveCodex = []
-              for (const cwd of cwds) {
-                const authoritative = ctx.codexBridge.liveSessionForCwd?.(cwd)
-                if (authoritative?.threadId) {
-                  liveCodex.push({
-                    sessionId: authoritative.threadId,
-                    cwd: authoritative.cwd,
-                    threadId: authoritative.threadId,
-                    producerSeq: authoritative.seq,
-                  })
-                }
-              }
-              if (liveCodex.length > 0) {
-                // 5h/7d はアカウント全体の値 (どの live session から読んでも同じ契約の残量)
-                // なので、代表として最初の 1 件から取る (context% はその producer の live を使う)。
-                codexUsage = await codexUsageForThread(liveCodex[0].threadId, {
-                  producerSeq: liveCodex[0].producerSeq,
-                })
-                codexSessions = await codexSessionUsages(liveCodex)
-                // ⚠️ codex-review round2 major#2: codexSessionUsages の rollout I/O 中に cwd の
-                // 権威 producer が別 session へ移りうる。await 後に各 cwd の現権威 seq を再検証し、
-                // 集計に使った producer が現権威でない entry は破棄する (古い producer の context を
-                // codexCtxByCwd へ出さない)。破棄した cwd は frontend が state loop の
-                // live.context_pct (毎 tick 権威を同期解決=TOCTOU 無し) にフォールバックする。
-                const seqForCwd = (cwd) => ctx.codexBridge.liveSessionForCwd?.(cwd)?.seq
-                const producerByCwd = new Map(liveCodex.map((e) => [e.cwd, e.producerSeq]))
-                codexSessions = filterCodexSessionsByAuthority(
-                  codexSessions,
-                  producerByCwd,
-                  seqForCwd,
-                )
-                // codex-review round3 minor#1: 集約 codexUsage.context は代表 producer
-                // (liveCodex[0]) の値。await 中に代表が権威を失っていたら旧 context を出さない
-                // (context だけ null 化。5h/7d は account-wide なので保持する)。
-                if (codexUsage && seqForCwd(liveCodex[0].cwd) !== liveCodex[0].producerSeq) {
-                  codexUsage = { ...codexUsage, context: null }
-                }
-              }
-              // ライブ session の有無にかかわらず、起動直後の account RPC を優先する。
-              // rollout は context の補助だけにし、5h/7d はプロファイル固有の最新実値にする。
-              const accountUsage = codexUsageFromAccountRateLimits(
-                await ctx.codexBridge.readAccountRateLimits({ profileId: activeCodexProfile.id }),
-              )
-              if (accountUsage) {
-                codexUsage = { ...accountUsage, context: codexUsage?.context ?? null }
-                recordAccountUsageSnapshot("codex", activeCodexProfile.id, codexUsage)
-              }
-            } catch (err) {
-              ctx.logger?.debug?.({ err: err?.message }, "codex usage snapshot skipped")
-            }
-          }
-          // Agent 再起動後や一時的な account RPC 失敗時も、同一 profile の最終取得値だけを
-          // 表示する。未ログインならここへ到達せず、表示も完全に隠す。
-          if (codexHasCredentials && !codexUsage) {
-            codexUsage = await readAccountUsageSnapshot("codex", activeCodexProfile.id)
-          }
-
-          ctx.client.send({
-            type: "usage.response",
-            request_id: msg.request_id,
-            usage,
-            sessions,
-            codexUsage,
-            codexSessions,
-          })
-        } catch (err) {
-          ctx.client.send({
-            type: "usage.response",
-            request_id: msg.request_id,
-            usage: null,
-            sessions: [],
-            codexUsage: null,
-            codexSessions: [],
-            error: err.message,
-          })
-        }
+        await handleUsageRequest(msg, ctx)
         return
       }
       default:

package/src/sibling-inject.mjs

@@ -41,6 +41,7 @@ import { mkdir, readFile, writeFile, rename, unlink, readdir } from "node:fs/pro
 import path from "node:path"
 
 import { verifySiblingTokenAny, siblingTokenCwd } from "./sibling-token.mjs"
+import { describeLiveSessionsUnion } from "./live-sessions.mjs"
 
 export const SIBLING_REQUESTS_DIR =
   process.env.COCKPIT_SIBLING_REQUESTS_DIR || "/tmp/cockpit_sibling_requests"
@@ -69,6 +70,14 @@ export class SiblingInjectBridge {
     this._watcher = null
   }
 
+  /**
+   * live-sessions.mjs (warm 判定の正本) へ渡すブリッジ束。宛先候補の列挙は必ずここを
+   * 経由し、`tmux.list_sessions` の `warm` と同じ判定を共有する。
+   */
+  _bridges() {
+    return { claudeBridge: this.claudeBridge, codexBridge: this.codexBridge }
+  }
+
   /** 監視ディレクトリを作成し、既存要求を sweep してから fs.watch を張る。 */
   async start() {
     await mkdir(this.dir, { recursive: true })
@@ -159,13 +168,8 @@ export class SiblingInjectBridge {
         this.logger?.warn({ request_id }, "sibling-inject: invalid sibling token (list-all)")
         result = { ok: false, error: "invalid_token" }
       } else {
-        result = {
-          ok: true,
-          live_sessions: [
-            ...(this.claudeBridge?.describeLiveSessions?.() ?? []),
-            ...(this.codexBridge?.describeLiveSessions?.() ?? []),
-          ],
-        }
+        // 判定は live-sessions.mjs に一本化する (tmux.list_sessions の warm と同じ関数)。
+        result = { ok: true, live_sessions: describeLiveSessionsUnion(this._bridges()) }
       }
     } else if (!cwd || badKind || badBody) {
       result = { ok: false, error: "invalid_request" }
@@ -192,7 +196,15 @@ export class SiblingInjectBridge {
       const bridge = target_cli_kind === "codex" ? this.codexBridge : this.claudeBridge
       if (isList) {
         // 宛先候補の列挙 (cockpit_orch.py --list 用)。この cwd の同種セッションを返す。
-        result = { ok: true, live_sessions: bridge?.describeLiveSessions?.(cwd) ?? [] }
+        // ⚠️ tmux.list_sessions の `warm` と同じ関数を通す (二重定義にすると「グレー表示
+        //    なのに宛先一覧に出ない」食い違いが再発する)。
+        result = {
+          ok: true,
+          live_sessions: describeLiveSessionsUnion(this._bridges(), {
+            cwd,
+            cliKind: target_cli_kind,
+          }),
+        }
       } else if (isExplicit) {
         // 明示宛先: session_id (claude) / stream_id|thread_id (codex) で cwd 一致下に確定解決。
         // sendToStream は {status:"delivered"|"not_found"|"ambiguous"} を返す。
@@ -361,10 +373,7 @@ export class SiblingInjectBridge {
    * @param {string} targetKind
    */
   _diagnose(cwd, targetKind) {
-    const sameCwd = [
-      ...(this.claudeBridge?.describeLiveSessions?.(cwd) ?? []),
-      ...(this.codexBridge?.describeLiveSessions?.(cwd) ?? []),
-    ]
+    const sameCwd = describeLiveSessionsUnion(this._bridges(), { cwd })
     const hint = sameCwd.length
       ? `この cwd には ${sameCwd.map((s) => s.kind).join("/")} のチャットセッションはあるが ${targetKind} は無い。`
       : `この cwd には hub-agent 管理下のチャットセッションが 1 本も無い。` +

package/src/tmux.mjs

@@ -5,8 +5,9 @@
  * - `listSessions()`: 構造化された TmuxSession[] を返す。各 session に
  *   status (state.mjs の detectSessionState) と cwd (active pane の current_path)
  *   を並列で付与
- * - `createSession(name, cwd, opts)`: detached new-session + CLAUDE_CMD を
- *   send-keys。既存ならエラー throw
+ * - `createSession(name, cwd, opts)`: detached new-session。既定では pane に CLI
+ *   (claude / codex) を起動せず素のシェルのまま置く。`HUB_AGENT_TMUX_LAUNCH_CLI=1`
+ *   のときだけ従来どおり CLAUDE_CMD / CODEX_CMD を send-keys する。既存ならエラー throw
  * - `killSession(name)`: 1 session を kill。存在しない場合は 'session not found' throw
  * - `killManySessions(names)`: 複数 kill、存在しないものは無視
  *
@@ -509,6 +510,26 @@ export function composeClaudeCmdFromOptions(opts = {}) {
 
 const DEFAULT_CLAUDE_CMD = buildClaudeCmd()
 
+/**
+ * tmux pane で CLI (claude / codex) の TUI を起動してよいかを判定する。
+ *
+ * **既定は false**（pane は素のシェルのまま）。Cockpit のターミナルモードは
+ * 2026-07-03 に封印済みで、通常運用は常にチャットモード (Agent SDK / codex
+ * app-server) になった。それでも createSession は pane で TUI を起動し続けていたため、
+ * **誰も見ていない CLI が常駐**する。実測 (2026-08-01 中村さん端末): tmux セッション
+ * 33 個に対して pane の `claude` プロセス 31 個・合計 RSS 1.7 GB。
+ *
+ * `HUB_AGENT_TMUX_LAUNCH_CLI=1` のときだけ従来どおり起動する（デバッグ・TUI を
+ * 意図的に使いたいときの逃げ道）。呼び出し元ごとに挙動を変えないため、判定は
+ * この 1 箇所 (createSession 内) だけで行い、opts では上書きさせない。
+ *
+ * @param {NodeJS.ProcessEnv} [env]
+ * @returns {boolean}
+ */
+export function shouldLaunchPaneCli(env = process.env) {
+  return env?.HUB_AGENT_TMUX_LAUNCH_CLI === "1"
+}
+
 function tmuxBin(opts = {}) {
   return opts.tmuxBin || DEFAULT_TMUX_BIN
 }
@@ -546,6 +567,10 @@ export function injectInitialPrompt(claudeCmd, initialPrompt) {
  * しか効かないため、injectInitialPrompt と同様に `||` で split して両側に付ける。
  *
  * configDir が空 (= 既定プロファイル) のときは何もしない。
+ *
+ * ⚠️ この関数は **CLI を pane 起動するときだけ** 使われる
+ * (`HUB_AGENT_TMUX_LAUNCH_CLI=1`)。素のシェルの pane へは setTmuxGlobalEnv の
+ * `set-environment -g` 経由で CLAUDE_CONFIG_DIR が渡る。
  */
 export function injectConfigDirEnv(claudeCmd, configDir) {
   if (!configDir || typeof configDir !== "string") return claudeCmd
@@ -559,8 +584,10 @@ export function injectConfigDirEnv(claudeCmd, configDir) {
 
 /**
  * tmux サーバーのグローバル環境変数を設定/解除する。
- * プロファイル切替後に手動で開く pane や respawn にも CLAUDE_CONFIG_DIR が
- * 行き渡るようにするための補助線 (主経路は injectConfigDirEnv のコマンド焼き込み)。
+ * pane は既定で素のシェルなので、ユーザーが pane 内で手動起動する claude / codex に
+ * CLAUDE_CONFIG_DIR (CODEX_HOME) を届ける **主経路** がこれ。
+ * (CLI を pane 起動する `HUB_AGENT_TMUX_LAUNCH_CLI=1` のときだけ、
+ *  injectConfigDirEnv のコマンド焼き込みが併用される)。
  * value が null/undefined なら unset (-gu)。tmux サーバー未起動などの失敗は握り潰す。
  */
 export async function setTmuxGlobalEnv(name, value, opts = {}) {
@@ -766,12 +793,21 @@ export async function killManySessions(names, opts = {}) {
 }
 
 /**
- * 新規 session を detached で作成して claude を起動する。
+ * 新規 session を detached で作成する。
+ *
+ * ⚠️ **既定では pane に CLI (claude / codex) を起動しない**（pane は素のシェルのまま）。
+ * Cockpit の通常運用はチャットモードで、pane の TUI は誰も見ないまま常駐して
+ * メモリを食うだけだったため (詳細は shouldLaunchPaneCli の JSDoc)。
+ * `HUB_AGENT_TMUX_LAUNCH_CLI=1` のときだけ従来どおり CLI を send-keys する。
+ *
  * - 同名 session が既にあれば 'duplicate session' throw
- * - opts.claudeCmd で send-keys 内容を上書き可 (空文字なら claude 自動起動しない)
- * - opts.initialPrompt を渡すと `claude ... --permission-mode auto` の直後に
- *   shell-safe 引数として埋め込まれ、claude TUI の初回プロンプトとして実行される
- *   (`/orchestrate` 等のスキル発火に利用)
+ * - CLAUDE.md / AGENTS.md の生成・Hub 同期、cwd 自動作成、mouse mode 設定は
+ *   **CLI を起動するかどうかに関わらず**常に行う（素のシェルでも必要なため）
+ * - 以下は CLI を起動するときだけ意味を持つので、起動時のみ評価される:
+ *   opts.claudeCmd / opts.codexCmd / opts.cliKind / opts.claudeConfigDir /
+ *   opts.codexHome / opts.initialPrompt / model・sandbox 等の codex フラグ
+ * - opts.initialPrompt は CLI 起動時に位置引数として末尾へ shell-safe に埋め込まれ、
+ *   TUI の初回プロンプトとして実行される (`/orchestrate` 等のスキル発火に利用)
  */
 export async function createSession(name, cwd, opts = {}) {
   // tmux は `-c` をシェル展開しないため、ここで `~` を絶対パスに展開する。
@@ -918,6 +954,21 @@ export async function createSession(name, cwd, opts = {}) {
       // display-message 失敗は致命的でないので飲み込む
     }
   }
+  // 既定では pane を素のシェルのまま残す (CLI は起動しない)。ここから下は
+  // HUB_AGENT_TMUX_LAUNCH_CLI=1 のときだけ走る。
+  //
+  // 素のシェルでも必要な処理 (cwd 解決・CLAUDE.md 生成/同期・mouse mode) は上で
+  // 済ませてある。CLAUDE_CONFIG_DIR / CODEX_HOME も、pane で手動起動したときに
+  // 効くよう main.mjs の syncTmuxProfileEnv / syncTmuxCodexEnv が
+  // `tmux set-environment -g` でサーバーのグローバル環境へ流し込んでいるため、
+  // ここでコマンド文字列に焼き込む必要があるのは CLI を起動する場合だけ。
+  if (!shouldLaunchPaneCli()) {
+    opts.logger?.debug?.(
+      { session: name, cwd: resolvedCwd },
+      "pane CLI launch skipped (set HUB_AGENT_TMUX_LAUNCH_CLI=1 to enable)",
+    )
+    return
+  }
   // cliKind に応じて claude / codex いずれの CLI を pane で起動するか分岐する。
   // 既定は claude（後方互換）。initialPrompt はどちらも位置引数として末尾注入する
   // (claude "<p>" / codex "<p>" / codex resume <id> "<p>" いずれも [PROMPT] を受ける)。