@epoch-agent/core 0.7.1 → 0.9.0

package/dist/index.d.ts

@@ -1369,6 +1369,16 @@ interface MemorySearchResult {
     score: number;
     similarity?: number;
 }
+/** {@link MemoryManager.read} 的结果。**认不出的 id 单独一栏**，不是静默丢掉 */
+interface MemoryReadResult {
+    found: Array<{
+        id: string;
+        target: MemoryTarget;
+        content: string;
+    }>;
+    /** 索引里没有这个 id。多半是模型自己编了一个，或者引用了上个会话的索引 */
+    missing: string[];
+}
 /** 数据库中的记忆条目 */
 interface MemoryEntry {
     id: string;
@@ -1382,8 +1392,15 @@ interface MemoryEntry {
     lastAccessedAt: Date;
 }
 interface MemoryConfig {
+    /** `MEMORY.md` 能存多少字符。**存储**配额，不进 prompt，抬它几乎不花钱 */
     memoryCharLimit: number;
+    /** `USER.md` 能存多少字符。同上 */
     userCharLimit: number;
+    /**
+     * 索引块进 system prompt 的字符上限 —— 三个数里**唯一按轮计费**的那个。
+     * 对照表在 protocol 的 `EpochConfig.memory` 上。
+     */
+    indexCharLimit: number;
 }
 interface MemoryManager$1 {
     /** 会话启动：加载文件 → 去重 → 注入扫描 → 冻结快照 → 返回 system prompt 块 */
@@ -1397,9 +1414,15 @@ interface MemoryManager$1 {
     search(query: string, limit?: number): Promise<MemorySearchResult[]>;
     keywordSearch(query: string, limit?: number): Promise<MemorySearchResult[]>;
     semanticSearch(query: string, limit?: number): Promise<MemorySearchResult[]>;
+    /** 按索引里的短 id 取全文。索引块印的 id 就是这里认的那一套 */
+    read(ids: readonly string[]): Promise<MemoryReadResult>;
     add(target: MemoryTarget, content: string): Promise<MemoryWriteResult>;
     replace(target: MemoryTarget, oldText: string, content: string): Promise<MemoryWriteResult>;
-    remove(target: MemoryTarget, oldText: string): Promise<void>;
+    /**
+     * 删一条。`ref` 是**全文**或索引里那个**短 id**。
+     * 返回删没删掉 —— 报「已删除」而其实一条没动，会让模型以为腾出了地方。
+     */
+    remove(target: MemoryTarget, ref: string): Promise<boolean>;
     getBudget(): {
         memory: BudgetInfo;
         user: BudgetInfo;
@@ -1412,10 +1435,29 @@ interface MemoryManager$1 {
 /**
  * memory 工具 — 让 LLM 显式读写长期记忆。
  *
- * MemoryManager.sync() 不自动写入（见 manager.ts:97），记忆的产生完全依赖
+ * MemoryManager.sync() 不自动写入（见 manager.ts），记忆的产生完全依赖
  * 本工具被调用。没有它，MemoryManager 只能读不能写。
  *
- * 对标 Hermes tools/memory_tool.py 的 action 分发形式。
+ * ---
+ *
+ * # ⚠️ 改这个文件里的 `description` / `parameters` = 34 段 eval 录像作废
+ *
+ * 工具定义（名字 / 描述 / 参数）进 eval 的新鲜度指纹
+ * （`evals/harness/fingerprint.ts`，那个文件头说得很清楚为什么必须进）。
+ * 于是这里改一个字，`pnpm eval` 全红，而 pre-push 会跑它。
+ *
+ * **2026-09-10 那一轮是明知代价改的**：`read` 这个 action 是记忆结构改造
+ * （正文不再全量进 prompt，见 `memory/manager.ts` 文件头）**必需**的另一半 ——
+ * 没有它，索引块里那些 id 一个也取不回全文，那不是「少一个便利」，
+ * 是把记忆变成只有摘要。
+ *
+ * 收账走 `evals/README.md` 里那条**「只重贴指纹」的窄例外**（它成立的前提是
+ * 「改的是工具表增量、system prompt 没动」，而这一轮 system prompt 那一侧
+ * 恰好没动 —— 空库的索引块是空串，判据在 `manager.ts` 文件头最后一节）。
+ * 例外带**举证义务**：拿真 key 对最可能被干扰的那几条 eval 录活体，
+ * 数 `memory` 在 `toolCalls` 里出现几次，必须是 0。
+ *
+ * ⚠️ 下次再想在这儿加一句话之前先问：**非说在工具描述里不可吗**。
  */
 
 declare function createMemoryTool(memory: MemoryManager$1): EpochTool;
@@ -2856,17 +2898,27 @@ interface SkillSystem$1 {
  *
  * ## 三、输出**不自己截**
  *
- * 一份 `SKILL.md` 轻易超过 `TOOL_OUTPUT_MAX_CHARS`（2000，
- * [message-utils.ts](../../agent/message-utils.ts)），而截一半的操作说明比没有
- * 更坏 —— 模型会照着前半截把事做完。所以这里既不分页也不摘要，正文原样交出去，
- * 豁免由 `PROTECTED_TOOLS` 那个集合负责。
- *
- * > ✅ **2026-08-27 核过：那一格已经是 `new Set([SKILL_VIEW_TOOL])` 了，这段 ⚠️
- * > 到期。** 原话是「那个集合今天写的是 `new Set(['skill'])`，对不上这个名字 ——
- * > 它给一个从来不存在的工具豁免截断」，处置是「修它的是另一条车道」。
- * > 那条车道修完了（`message-utils.ts` 现在 import 的就是这个常量），
- * > 所以这里交出去的正文**真的不截**。留着这几行是因为**那笔账的形状值钱**：
- * > 一个豁免名单和一个工具名分两处写，走散了不会红。
+ * 一份 `SKILL.md` 轻易超过工具输出预算（`agent/output-budget.ts` 的
+ * `MAX_TOOL_OUTPUT`），而截一半的操作说明比没有更坏 —— 模型会照着前半截把事做完。
+ * 所以这里既不分页也不摘要，正文原样交出去，豁免由工具定义上的
+ * `governsOwnOutput: true` 负责（判据在 `EpochTool.governsOwnOutput` 上）。
+ *
+ * > ⚠️ **2026-09-08：这一段上一次「核过」核错了，而正文被静默截到 2000 字符
+ * > 一直在发生。** 原话是「✅ 2026-08-27 核过：那一格已经是
+ * > `new Set([SKILL_VIEW_TOOL])` 了」——**名字确实对上了，但那个集合没有人用**。
+ * > 它唯一的读者是 `message-utils.ts` 的 `truncateToolOutput()`，而那个函数
+ * > **全仓没有一处生产调用方**：活路径是 `ToolExecutor` 自己那一刀
+ * > （`agent/tool-executor.ts`），它当时不认任何豁免。
+ * > 钉着那个集合的用例直接调那个死函数，所以**它一直是绿的**。
+ * >
+ * > 这一轮的处置是把豁免搬到**执行那一处**能看见的地方（工具定义上），
+ * > 并把那份第二实现（`truncateToolOutput` / `PROTECTED_TOOLS` /
+ * > `TOOL_OUTPUT_MAX_CHARS`）整个删掉 —— 留着它就是留着「下一次又有人把修复
+ * > 接到死函数上」的入口。
+ * >
+ * > **那笔账的形状比上一次记的更值钱**：上一次记的是「一个豁免名单和一个工具名
+ * > 分两处写，走散了不会红」；真正的教训是**核一个豁免要核到它的读者**，
+ * > 光核「名字对不对得上」是核了一半 —— 而对不上和没人用，症状完全一样。
  *
  * ## 四、`openWorldHint: false` —— 正文**不包** `<tool_output untrusted="true">`
  *
@@ -2914,10 +2966,14 @@ interface SkillSystem$1 {
  */
 
 /**
- * 工具名。**这是同构位置的真源** —— 另外三处认它：
+ * 工具名。**这是同构位置的真源** —— 另外两处认它：
  * `permission/operation-type.ts` 的 `INTERNAL_TOOLS`、`docs/TOOLS.md` 顶上那张表
- * （这两处由根 `__tests__/tool-registration.test.ts` 守着），
- * 以及 `agent/message-utils.ts` 的 `PROTECTED_TOOLS`（见文件头第三节）。
+ * （这两处由根 `__tests__/tool-registration.test.ts` 守着）。
+ *
+ * ⚠️ **2026-09-08 少了一处**：原来还列着 `agent/message-utils.ts` 的
+ * `PROTECTED_TOOLS`（截断豁免名单）。那个名单整个删了，豁免改成下面工具定义上的
+ * `governsOwnOutput: true` —— **同一个对象上的一个字段，不再是异地的一份名字**，
+ * 所以这类「两处走散」从此在这一格上不可能发生。判据全文在文件头第三节。
  *
  * ⚠️ **下面 `name:` 那一格写的是字面量，不是这个常量，别「顺手」统一** ——
  * `.husky/commit-msg` 那道模型门禁认的是 `name: '<snake_case>',` **这一行本身**
@@ -3140,6 +3196,8 @@ declare function createToolSearchTool(deps: ToolSearchDeps): EpochTool;
 /**
  * Tracker 类型定义 — 会话级 TODO 管理。
  */
+/** TODO 状态的值域 */
+type TodoStatus = 'pending' | 'in_progress' | 'completed' | 'cancelled';
 /** TODO 项 */
 interface TodoItem {
     /** 6 位 hex 短 ID */
@@ -3147,7 +3205,7 @@ interface TodoItem {
     /** 任务描述 */
     content: string;
     /** 任务状态 */
-    status: 'pending' | 'in_progress' | 'completed' | 'cancelled';
+    status: TodoStatus;
     /**
      * 放弃这件事的理由。**只有 `cancelled` 那一档会有**，而且**可以没有**。
      *
@@ -3201,6 +3259,14 @@ declare class TrackerDB {
     constructor(dbPath: string);
     /** 按会话 ID 获取所有 TODO */
     listBySession(sessionId: string): TodoItem[];
+    /**
+     * 这个会话还有多少没做完（{@link isOpenTodo} 那一档）。
+     *
+     * ⚠️ 为什么在 SQL 里数、不 `listBySession()` 再 filter：整个列表可能上千条，
+     * 而这道闸门在**每一轮收工**都会问一次 —— 多拉一个数组比多跑一个 `COUNT(*)`
+     * 贵一个数量级，而且这个数只进一句提示语，用不上任何一行正文。
+     */
+    countOpen(sessionId: string): number;
     /** 全量替换会话的 TODO 列表（事务：DELETE + INSERT 批量） */
     replaceAll(sessionId: string, todos: TodoItem[]): void;
     /** 释放连接（引用计数归零才真正关闭） */
@@ -4430,7 +4496,8 @@ declare function loadPlugins(opts: PluginLoadOptions): PluginArtifacts;
  *
  * 插件名会**变成命名空间前缀**（`/my-toolkit:review`、角色 `my-toolkit:reviewer`），
  * 所以它必须同时是合法的命令名片段、合法的角色名、以及合法的目录名。
- * 三者的交集就是 {@link PLUGIN_NAME_PATTERN}：`[a-z0-9]` 开头，中间允许连字符。
+ * {@link PLUGIN_NAME_PATTERN}：`[a-z0-9]` 开头，中间允许连字符和下划线
+ * （下划线 2026-09-08 加的，判据在那个常量上）。
  * 特别地**不允许 `:`** —— 允许了就能构造出 `a:b` 这种名字，装完之后
  * `/a:b:c` 到底是哪个插件的哪条命令要靠猜。
  *
@@ -4443,11 +4510,46 @@ declare const PLUGIN_MANIFEST_FILE = "epoch-plugin.json";
 /**
  * 插件名的合法形状。理由见文件头 —— 它同时是命令前缀、角色前缀和目录名。
  *
- * 和 `AGENT_ROLE_NAME_PATTERN` 逐字相同不是巧合：角色名是三者里最严的那个，
- * 插件名必须能安全地拼进角色名，所以直接对齐它。
+ * ## ⚠️ 2026-09-08 加宽了：多认一个下划线
+ *
+ * 原来是 `^[a-z0-9][a-z0-9-]*$`，注释写着「和 `AGENT_ROLE_NAME_PATTERN` 逐字相同
+ * 不是巧合：角色名是三者里最严的那个」。**那句话现在不成立了，而加宽是有外因的**：
+ * 嵌入宿主那一侧的插件标识（盘古的 `plugin_key`）允许下划线，而**那个标识必须和
+ * 这个名字是同一个字符串** —— 市场目录里的条目名、包里 `epoch-plugin.json` 的
+ * `name`、宿主用来判「这一条装了没有」的键，三者是同一个东西。
+ * 不加宽的话，一个叫 `my_shop_helper` 的插件在这套体系里**根本装不进来**。
+ *
+ * ## 逐条核过下游三处，`_` 全是安全的（不是「应该没事」）
+ *
+ * | 拼出来的东西            | 谁在判                                         | `_` 合法吗 |
+ * | ----------------------- | ---------------------------------------------- | ---------- |
+ * | 命令 `/my_plugin:review`| **没人判形状** —— 名字取自文件名，按空白切分   | ✅          |
+ * | 角色 `my_plugin:review` | 复合名带 `:`，本来就过不了那张正则，**不重判** | ✅          |
+ * | 工具 `mcp__my_plugin__x`| provider 那条 `^[a-zA-Z0-9_-]{1,128}$`         | ✅（含 `_`）|
+ * | 目录 `plugins/my_plugin`| 文件系统                                       | ✅          |
+ *
+ * 第三行原来是 `plugin-mcp-servers.ts` 里「前半截白拿」那条判据的依据（它引的是
+ * 「两张正则逐字相同」）—— 那个文件头已经跟着改了：白拿的理由现在是
+ * **provider 的正则本身含 `_`**，而不是「和角色名同宽」。
+ *
+ * ⚠️ **开头那一位没动**（照旧 `[a-z0-9]`）：加宽只加中间那一段，这样任何一个
+ * 今天合法的名字明天照样合法。⚠️ **`.` 和路径分隔符仍然不许**（判据见文件头：
+ * 这个名字会被直接 `join(pluginsDir, name)`），**`:` 也仍然不许**。
  */
 declare const PLUGIN_NAME_PATTERN: RegExp;
 declare function isValidPluginName(name: string): boolean;
+/**
+ * 「谁写的」。
+ *
+ * ⚠️ **导出它，因为市场目录的条目上也有一格 author**（`marketplace.ts` 的
+ * `EntrySchema`）。两处各写一份 zod 的话，它们分家的那天没有任何东西会红 ——
+ * 而分家的表现是一份在清单里合法的 author 在市场目录里被 `parseLenient` 静默丢掉。
+ */
+declare const PluginAuthorSchema: z.ZodObject<{
+    name: z.ZodString;
+    email: z.ZodOptional<z.ZodString>;
+    url: z.ZodOptional<z.ZodString>;
+}, z.core.$strip>;
 declare const ManifestSchema: z.ZodObject<{
     name: z.ZodString;
     version: z.ZodString;
@@ -4461,6 +4563,7 @@ declare const ManifestSchema: z.ZodObject<{
     homepage: z.ZodOptional<z.ZodString>;
     keywords: z.ZodOptional<z.ZodArray<z.ZodString>>;
 }, z.core.$strip>;
+type PluginAuthor = z.infer<typeof PluginAuthorSchema>;
 type PluginManifest = z.infer<typeof ManifestSchema>;
 interface ManifestReadOutcome {
     /** 校验通过的清单；缺席表示这个目录不是一个可用的插件 */
@@ -4533,6 +4636,214 @@ declare function checkEpochVersion(range: string | undefined, current: string):
  */
 declare function currentEpochVersion(): string;
 
+/**
+ * 压缩包解包 —— zip 和 tar.gz 都交给系统的 `tar`（方案 32 的第三、四种来源）。
+ *
+ * ## 为什么是 `tar` 而不是一个 npm 依赖
+ *
+ * 当前支持的两个平台上，系统自带的 `tar` **都是 bsdtar，都认 zip**：
+ *
+ * - macOS 自带 bsdtar（`/usr/bin/tar`）
+ * - Windows 10 1803 起自带 `C:\Windows\System32\tar.exe`，同样是 bsdtar
+ *
+ * ## ⚠️ Windows 上必须**指名**那个 bsdtar，不能赌 `PATH`（2026-08-12 修的 bug）
+ *
+ * 上面那句「Windows 上 tar 是 bsdtar」只对**干净的** `PATH` 成立。任何装了
+ * Git for Windows / MSYS2 的机器上，`PATH` 里 `/usr/bin` 排在 `System32`
+ * 前面，`tar` 解析到的是 **GNU tar** —— 而 GNU tar 不吃 Windows 路径：
+ *
+ * - `-f C:\...\x.tgz` 被当成 `host:path` 的远程归档：
+ *   `tar (child): Cannot connect to C: resolve failed`
+ * - 连 `-C C:\...\dest` 都会被它按 POSIX 路径 + 反斜杠转义处理掉
+ *
+ * **`--force-local` 解决不了**：GNU tar 认它，而 bsdtar 直接
+ * `Option --force-local is not supported` —— 一个 flag 服务不了两边。
+ * 所以走 {@link resolveTar}：Windows 上指名 `%SystemRoot%\System32\tar.exe`，
+ * 找不到才回落到 `PATH`。这条和 infra 的 `resolveRipgrep()` 是同一个形状 ——
+ * **别让一个外部二进制的身份取决于用户的 PATH 顺序。**
+ *
+ * 换成 JS 实现要自己解 zip 的中央目录 + inflate，再加一份 tar 解析 —— 三百行
+ * 安全敏感的解析代码（路径穿越、zip slip、符号链接逃逸都得自己防），
+ * 而 bsdtar 早就把这些处理完了。多引一个 npm 包则是往一条**会下载并解压
+ * 网络内容**的路径上再加一个供应链面，方向反了。
+ *
+ * `unzip` 不用是因为 Windows 上没有它。
+ *
+ * ## 单根目录会被自动摊平
+ *
+ * GitHub 的 zip 裹一层 `repo-main/`，npm 的 tarball 裹一层 `package/` ——
+ * 两者都不该出现在插件目录里。与其让调用方各猜一个 `--strip-components`，
+ * 不如解完之后看一眼：**清单不在顶层、而顶层恰好只有一个目录**，就把那一层
+ * 提上来。判据是「清单在哪」而不是「有几个条目」，所以一个本来就把
+ * `epoch-plugin.json` 放在顶层、旁边还有一个 `commands/` 的正常包不会被误摊。
+ */
+type ExtractOutcome = {
+    ok: true;
+} | {
+    ok: false;
+    reason: string;
+};
+/**
+ * 解一个压缩包到 `dest`（目录必须已存在），然后按需摊平单根目录。
+ *
+ * `tar` 的 `-x` 对 zip 和 tar.gz 是同一条命令 —— bsdtar 按内容自动识别格式，
+ * 不用我们先判后缀（后缀本来也不可信，URL 上写什么都行）。
+ */
+/**
+ * 用哪个 `tar`。见文件头那条 ⚠️ —— Windows 上指名系统自带的 bsdtar。
+ *
+ * 用 `%SystemRoot%` 而不是写死 `C:\Windows`：系统盘不一定是 C，而这个环境变量
+ * 是 Windows 自己维护的。取不到再退回字面量，那时候我们已经在猜了，猜一个
+ * 比不猜好 —— 后面还有一层「找不到就回落 PATH」兜着。
+ */
+declare function resolveTar(): string;
+declare function extractArchive(archive: string, dest: string): Promise<ExtractOutcome>;
+
+/**
+ * 插件打包 —— 一条本地插件目录 → 一个 `.zip`。
+ *
+ * 这是 [archive.ts](./archive.ts) 的**反方向**：那一份把下载来的包解开，这一份
+ * 把用户自己写的插件裹起来交出去。两边共用 {@link resolveTar}，所以「用哪个 tar」
+ * 只有一个答案（Windows 上 `PATH` 顺序那个坑记在那个文件头）。
+ *
+ * ```
+ * planPack('/Users/me/my-plugin')     → 会打包哪 12 个文件、一共多大、有没有可疑的
+ * packPlugin(plan, mkdtempSync(…))    → /tmp/…/my-plugin-1.0.0.zip
+ * ```
+ *
+ * ## ⚠️ 零、格式是 **zip**，而 2026-09-08 从 `.tar.gz` 改过来的
+ *
+ * 改的原因是外部约束：嵌入宿主的插件仓库（盘古那套）**只收 `.zip`**，
+ * 传别的格式当场被拒。
+ *
+ * 当初选 tar.gz 的理由是「GNU tar 写不出 zip，只有 bsdtar 能」—— 那个顾虑
+ * **不成立**，因为这个项目**只支持 Windows 和 macOS**（README 第一节明写
+ * 「Linux 暂不支持」），而**两个平台自带的都是 bsdtar**。同一条事实也是
+ * `archive.ts` 敢用 `tar -xf` 解 zip 的依据 —— 也就是说「读」那一侧早就在
+ * 依赖它了，「写」这一侧跟着它走才是一致的。
+ *
+ * 落法是 `--format zip`（**不是**靠后缀猜）：bsdtar 按 `-f` 的后缀选格式这件事
+ * 不是它的契约，显式给格式才是。本机实测过：`tar -c -f x.zip --format zip` 出来的
+ * 是真 zip（`file(1)` 认、`unzip -l` 也认）—— 后者要紧，因为**解包那一侧可能不是
+ * 我们**（宿主的服务端拿 Python / Java 去解）。
+ *
+ * ## 一、⚠️ 分成两段，是因为**上传是不可逆的对外发布**
+ *
+ * 装一个插件出了错还能卸掉；把一个目录发到别人的服务器上**收不回来**。所以这条路
+ * 上给人的那道闸门不是「确认吗」，而是**「这些文件会离开这台机器」的那一份清单**——
+ * `planPack` 存在的全部理由就是让那份清单在按下去之前拿得到。
+ *
+ * ## 二、⚠️ 喂给 `tar` 的就是 {@link PackPlan.files}，**不是一套 `--exclude` 规则**
+ *
+ * 两个理由，第二个是正题：
+ *
+ * 1. `--exclude` 的 glob 语义 GNU tar 和 bsdtar **不一致**（`.git` 这个模式对上
+ *    `./.git` 两边表现不同），把排除项建在它上面等于把一条安全相关的判断交给
+ *    「用户机器上装没装 Git for Windows」；
+ * 2. **用户看到的那一份和真发出去的那一份，在构造上必须是同一份。** 走两套规则
+ *    （预览走 fs 遍历、打包走 tar 的 glob）的话，它们分叉的那天没有任何东西会红 ——
+ *    而分叉的表现是「预览里没有的东西被发出去了」。
+ *
+ * 所以 `-T <清单文件>`：清单由 {@link planPack} 产出，`packPlugin` 只是把它抄给 tar。
+ *
+ * ## 三、⚠️ 软链**不打包**，而且要说出来
+ *
+ * 一条指向 `~/.ssh/id_rsa` 的软链，tar 默认存的是「链接目标那串字符」而不是内容 ——
+ * 发出去无害但读起来莫名其妙；而真要跟着解引用又是一次**目录外的读取**。
+ * 两头都不选：跳过它，然后在 {@link PackPlan.skippedLinks} 里报出来。
+ * 静默跳过的表现是「解开的包比原目录少东西，而没人说过为什么」。
+ *
+ * ## 四、⚠️ 看起来像密钥的文件**照打**，只是警告
+ *
+ * 处置口径同 `hooks.json` / `mcp.json` 那两行（在安装预览里带警示色、但不拦）：
+ * 静默剔除会让用户以为发出去的是全量，而那正是他之后据以判断「要不要重新发一版」
+ * 的依据。说一句、让他自己决定 —— 判据同「拿不准时说拿不准，不猜一个」。
+ */
+
+/**
+ * 一律不打包的顶层 / 任意层目录名。
+ *
+ * 四个都是「本机产物」而不是插件内容：`.git` 里有完整历史（常常比插件大两个
+ * 数量级，而且带着作者的邮箱和别的分支），`node_modules` 是装出来的，
+ * `.DS_Store` 是 Finder 写的，`__pycache__` 是 CPython 写的字节码缓存。
+ *
+ * ⚠️ 最后一个 2026-09-09 加的，而它不只是「省点体积」：`.pyc` 里钉着**生成它的
+ * 那个解释器版本**（`cpython-311`），发到一台跑 3.13 的机器上是死重量。
+ * 名字这一格可以按字面判，因为 `__pycache__` 是 CPython 保留的目录名（PEP 3147），
+ * 不会是用户自己的东西 —— 虚拟环境那一档不成立，所以它走 {@link isVirtualenv}。
+ */
+declare const PACK_EXCLUDES: readonly string[];
+/** 默认容量上限。超了拒 —— 一个 2GB 的包交给宿主回调不是「慢一点」，是把它打挂 */
+declare const PACK_MAX_BYTES: number;
+declare const PACK_MAX_FILES = 2000;
+interface PackLimits {
+    maxBytes?: number;
+    maxFiles?: number;
+}
+/** 会被打进包里的一个文件 */
+interface PackFile {
+    /** 相对插件根，**永远用 `/` 分隔** —— 它要写进 tar 的清单文件 */
+    path: string;
+    bytes: number;
+    /**
+     * 落在 token 里，用来判「预览之后这个目录又被改过」。
+     *
+     * 只看大小不够：改一个字符的 `hooks.json` 完全可能字节数不变，而那一改正是
+     * 「你确认的和真发出去的是两份」里最要紧的一种。
+     */
+    mtimeMs: number;
+}
+/** 「会打包什么」。这份东西**同时**是给人看的那一屏和喂给 tar 的清单 */
+interface PackPlan {
+    /** 插件根的绝对路径 */
+    dir: string;
+    manifest: PluginManifest;
+    /** 按路径排过序 —— 屏幕上要稳定，token 也要稳定 */
+    files: readonly PackFile[];
+    totalBytes: number;
+    /** 名字看起来像密钥的那几条（**在 `files` 里面**，只是被点名了），见文件头第四节 */
+    suspicious: readonly string[];
+    /** 跳过的软链（**不在 `files` 里**），见文件头第三节 */
+    skippedLinks: readonly string[];
+}
+type PackPlanOutcome = {
+    ok: true;
+    plan: PackPlan;
+} | {
+    ok: false;
+    reason: string;
+};
+type PackOutcome = {
+    ok: true;
+    archivePath: string;
+    bytes: number;
+} | {
+    ok: false;
+    reason: string;
+};
+/**
+ * 会打包什么。**纯遍历，一个字节都不写、一个子进程都不起。**
+ *
+ * @param dir 插件根的绝对路径（里面得有 `epoch-plugin.json`）
+ */
+declare function planPack(dir: string, limits?: PackLimits): PackPlanOutcome;
+/**
+ * 打好的包叫什么。`<name>-<version>.zip` —— 两格都已经过了清单校验。
+ *
+ * ⚠️ 这个名字**会被宿主原样用作上传的文件名**（盘古那侧按后缀判「只收 .zip」），
+ * 所以后缀不是装饰。判据见文件头第零节。
+ */
+declare function packFileName(manifest: PluginManifest): string;
+/**
+ * 照着 {@link PackPlan} 打一个包。
+ *
+ * ⚠️ **`destDir` 必须在 `plan.dir` 外面。** 同 `install.ts` 的 `withDownloadDir`
+ * 记的那个坑：一个躺在插件目录旁边的压缩包会被下一次 `planPack` 数进去，
+ * 而解包那一侧的 `flattenSingleRoot` 也会因此判断失准。这一条**在这里挡住**，
+ * 不靠调用方记得。
+ */
+declare function packPlugin(plan: PackPlan, destDir: string): Promise<PackOutcome>;
+
 /**
  * 「这个插件里有什么」—— 扫一个插件目录，数出**六类**扩展物（方案 32，
  * 方案 44 PR-3 补上第六类 MCP server）。
@@ -4705,16 +5016,22 @@ declare function scanPluginDir(dir: string, pluginName: string): PluginInventory
 /**
  * 插件是从哪装来的。
  *
- * `marketplace` 不是第五种传输方式 —— 它最终仍然落到前四种之一，
+ * `marketplace` 不是第六种传输方式 —— 它最终仍然落到这五种之一，
  * 记成独立一档是为了 `epoch plugin list` 能说出「这是从哪个市场装的」，
  * 以及 `update` 时知道该回哪个市场重新解析 `source`。
+ *
+ * ⚠️ `host` 是 2026-09-08 加的第五档：**字节由宿主去取**（它有登录会话，
+ * 我们没有）。判据在 `source.ts` 的 `host:` 那一支上。
+ * 它是一档**真的传输方式**而不是 `archive` 的变体：`archive` 那一档的字节
+ * 我们自己下，这一档我们一个网络请求都不发。
  */
-type PluginSourceType = 'local' | 'git' | 'npm' | 'archive';
+type PluginSourceType = 'local' | 'git' | 'npm' | 'archive' | 'host';
 declare const RecordSchema$1: z.ZodObject<{
     name: z.ZodString;
     version: z.ZodString;
     source: z.ZodString;
     sourceType: z.ZodEnum<{
+        host: "host";
         local: "local";
         git: "git";
         npm: "npm";
@@ -4781,10 +5098,30 @@ interface ResolvedSource {
     type: PluginSourceType;
     /** 用户敲的原文，原样进记录 —— `epoch plugin update` 要照它重来一遍 */
     raw: string;
-    /** git 用 clone 地址、npm 用包名、archive 用 URL、local 用绝对路径 */
+    /**
+     * git 用 clone 地址、npm 用包名、archive 用 URL **或一条本地压缩包路径**、
+     * local 用绝对路径、host 用**宿主自己认得的那串**（我们不解析它）。
+     */
     target: string;
     /** archive 专用：`#sha256=…` 里那串十六进制（小写） */
     sha256?: string;
+    /**
+     * archive 专用：`target` 是**本机一个压缩包文件**，不是一条 URL（2026-09-08）。
+     *
+     * ## ⚠️ 为什么它是 `archive` 的一格，而不是 `local` 的一格
+     *
+     * `local` 的语义是「**软链**到用户的源码目录，改完重启即生效」——
+     * 那是写插件时用的。一个 `.zip` 文件软链过去之后，
+     * `readPluginManifest` 会去一个**文件**里找 `epoch-plugin.json`，
+     * 读不出来，而报错是「这个目录不是 epoch 插件」（指着一个 zip）。
+     *
+     * 2026-09-08 之前 `resolveSource('/tmp/x.zip')` 正是落到 `local` 那一支的 ——
+     * 也就是说「装一个本地压缩包」这件事**做不到，而且报错指向错的地方**。
+     *
+     * 归到 `archive` 是因为落地方式一致（解包 + 拷贝，不是软链），
+     * 差别只在「字节从哪来」：一条 URL 要下载，这一档直接读文件。
+     */
+    localFile?: true;
     /**
      * git 专用：插件在仓库里的子目录，来自 `#subdir=…`。
      *
@@ -4800,22 +5137,42 @@ interface ResolvedSource {
  * 判定顺序有讲究：`git+https://` 必须排在裸 `https://` 前面，
  * 而 `.zip` 结尾的 https 必须排在「其余 https 一律当 git」前面 —— 否则
  * `https://x/plugin.zip` 会被 clone。
+ *
+ * ## ⚠️ 一条 https 地址**没有压缩包后缀就会被 clone**，这不是 bug 是这张表的形状
+ *
+ * `isArchiveUrl` 去掉 query 之后要求 `.zip` / `.tgz` / `.tar.gz` 结尾。所以一条
+ * **下载端点**形态的地址（`https://host/api/download?version_id=9`）会落到最后
+ * 那一支、被当成 git 仓库去 clone —— 而报错是一句 git 的话，跟「这是个 zip」
+ * 毫无关系。
+ *
+ * 这一条 2026-09-08 撞到过（盘古的 `download_url` 正是这个形状）。**处置不是
+ * 放宽后缀判断**（那会把一条真的 git 地址判成压缩包），而是让宿主用
+ * `host:` 那一档 —— 那条路上地址由宿主自己认、字节也由宿主自己取。
  */
 declare function resolveSource(raw: string): ResolvedSource | undefined;
 
 /**
- * 插件安装 —— 四种 source 到 `~/.epoch/plugins/<name>/`（方案 32）。
+ * 插件安装 —— 六种 source 到 `~/.epoch/plugins/<name>/`（方案 32，后两行 2026-09-08）。
  *
- * | 形式                                  | 落地方式                       |
- * | ------------------------------------- | ------------------------------ |
- * | `./local/path`                        | **软链**（开发插件时用）       |
- * | `github:owner/repo` / `git+https://…` | `git clone --depth 1`          |
- * | `npm:package-name`                    | `npm pack` + 解包              |
- * | `https://…/plugin.zip`                | 下载 + 解压，可选 `#sha256=…`  |
+ * | 形式                                  | 落地方式                        | 谁去取字节 |
+ * | ------------------------------------- | ------------------------------- | ---------- |
+ * | `./local/path`（目录）                | **软链**（开发插件时用）        | —          |
+ * | `github:owner/repo` / `git+https://…` | `git clone --depth 1`           | 我们       |
+ * | `npm:package-name`                    | `npm pack` + 解包               | 我们       |
+ * | `https://…/plugin.zip`                | 下载 + 解压，可选 `#sha256=…`   | 我们       |
+ * | `./local/plugin.zip`（**文件**）      | 直接解压                        | —          |
+ * | `host:<宿主自己的编码>`               | 解压                            | **宿主**   |
  *
  * 「用户敲的那串 → 上面哪一行」的解析在 [source.ts](./source.ts)：它是这条链上
  * 唯一的纯函数，也是参数注入的唯一闸门，所以单独一个文件、单独一张用例表。
  *
+ * ## ⚠️ 最后一行是这张表上唯一一档「**我们不发网络请求**」
+ *
+ * 有些包要登录会话才下得到（嵌入宿主的私有插件仓库），而这一层的下载是一次
+ * **裸 fetch，一个凭据都不带** —— 那是刻意的立场（判据在 `marketplace.ts` 文件头
+ * 「为什么不直接支持鉴权」）。`host:` 把取字节整个交给宿主：它有会话、
+ * 它自己校验摘要，交回来一个本地包。判据在 {@link InstallOptions.fetchFromHost} 上。
+ *
  * ## 装到临时目录、验完再搬过去
  *
  * 每一种来源都先落到 `~/.epoch/plugins/.staging-<uuid>/`，读清单、校验名字、
@@ -4840,6 +5197,20 @@ declare function resolveSource(raw: string): ResolvedSource | undefined;
  *
  * 不是「警告之后照装」。带 `#sha256=` 的 URL 说明用户在乎可重现性，
  * 而一个内容变了的压缩包和一个被替换掉的压缩包，在这一层是同一件事。
+ *
+ * ## ⚠️ 装这一下**没有对应的模型工具**，而那是判断不是缺口
+ *
+ * 装一个插件会往用户机器上落下 `hooks.json`（每一条都是会 spawn 的 shell 命令）
+ * 和 `mcp.json`（stdio 那档同样起子进程），而整条安装链上给人的闸门就是
+ * {@link InstallOptions.confirm} 那一屏 —— **把安装交给模型等于让被审批的一方
+ * 自己按下确认**。判据同 `tools/builtin/skill-write.ts` 第三节对 `delete` 的处置。
+ *
+ * 这条判断的家原来在 `tools/builtin/plugin-author.ts` 的文件头上，而那个文件
+ * 2026-09-10 整个删了（`plugin_validate` / `plugin_pack` 移除，模型侧现在一个
+ * 插件工具都没有）—— 搬到这儿是因为**它和那两个工具在不在没关系**：只要这条
+ * 安装链还在，「要不要给模型一个 `plugin_install`」就还会被问一次。
+ * ⚠️ 想加的时候要答的问题是**「模型给用户装了一条 hook，他从哪儿知道」**，
+ * 而不是「能力层已经有这个函数了」。
  */
 
 interface InstallOptions {
@@ -4874,13 +5245,49 @@ interface InstallOptions {
     confirm?: (preview: InstallPreview) => Promise<boolean>;
     /** 进度提示（clone / 下载）。不给就静默 —— 库不替宿主决定往哪儿写 */
     onProgress?: (message: string) => void;
+    /**
+     * 取一个 `host:` 来源的包 —— **由宿主去下，我们一个网络请求都不发**（2026-09-08）。
+     *
+     * `source.target` 是宿主写在自己那份市场目录里的那串（我们不解析它，
+     * 判据在 `source.ts` 的 `host:` 那一支上）；宿主拿它去自己的接口下包、
+     * **自己校验摘要**，然后把一个本地压缩包的路径交回来。
+     *
+     * ⚠️ **不给它 = `host:` 那一档装不了**（`fetchInto` 回一句拒绝）。
+     * 这不是降级路径：那些包我们压根没有凭据去取，
+     * 硬造一次裸 fetch 只会拿到一个 401 的 HTML 然后当成压缩包解。
+     *
+     * ⚠️ **摘要校验在宿主那一侧，这一层不重做**：我们看不见那份目录里的 sha256
+     * （它是宿主的私有编码的一部分），而两处各校一次的话，
+     * 「谁没校」这个问题会有两个答案。宿主那侧不校就是宿主的漏 —— 它的文档该写这条。
+     */
+    fetchFromHost?: (input: {
+        /** `host:` 后面那串，原样 */
+        target: string;
+        /** 我们准备好的一个**空临时目录**，包放这儿。用完由我们清掉 */
+        destDir: string;
+    }) => Promise<{
+        ok: true;
+        archivePath: string;
+    } | {
+        ok: false;
+        reason?: string;
+    }>;
 }
 /** 安装前预览（§2.8）。宿主拿它画那张「将安装什么」的表 */
 interface InstallPreview {
     manifest: PluginManifest;
     source: ResolvedSource;
     inventory: PluginInventory;
-    /** 已经装过的同名插件；有值时这次安装会被拒（验收 #8） */
+    /**
+     * 已经装过的同名插件；有值时这次安装会被拒（验收 #8）。
+     *
+     * ⚠️ **`replace` 命中的那一条不算**（2026-09-10）：`epoch plugin update` 走的
+     * 就是「同名重装一遍」，那条记录是**被替换的那一个**，不是挡路的。判据在
+     * {@link InstallOptions.replace} 上（「所以同名不是冲突」那句从一开始就写着）。
+     *
+     * 这一格是**结论**不是事实 —— 它答的是「这次会不会被拒」，不是「锁里有没有
+     * 同名的」。写成后者的代价见 `runInstall` 里算它那两行上的注释。
+     */
     conflict?: PluginRecord;
     /**
      * 清单里的 `epochVersion` 和当前引擎不匹配：**装得上，但加载器会跳过它**。
@@ -5062,18 +5469,51 @@ declare function updatePlugin(name: string, opts: InstallOptions): Promise<Insta
 /**
  * 插件市场 —— 加市场 / 搜 / 从市场装（方案 32）。
  *
- * 市场 = **一个 `epoch-marketplace.json`**，没有服务端、没有账号、没有上传接口：
+ * 市场 = **一个 `epoch-marketplace.json`**，没有服务端、没有账号：
  *
  * ```json
  * {
  *   "name": "acme",
  *   "owner": { "name": "Acme Inc." },
+ *   "display": { "fields": ["status", "downloads", "author"] },
  *   "plugins": [
- *     { "name": "toolkit", "description": "…", "source": "./plugins/toolkit", "category": "dev" }
+ *     {
+ *       "name": "toolkit",
+ *       "description": "…",
+ *       "source": "./plugins/toolkit",
+ *       "category": "dev",
+ *       "author": { "name": "张三" },
+ *       "status": "listed",
+ *       "downloads": 1240,
+ *       "likes": 87
+ *     }
  *   ]
  * }
  * ```
  *
+ * ⚠️ `downloads` / `likes` 是**市场那一侧数的**，而且**冻在加市场那一刻**
+ * （目录是快照，见下面第二节）—— 判据在那两格自己的注释上。
+ *
+ * ## 顶上那格 `display`：**市场自己说印哪几格**（2026-09-10）
+ *
+ * 在它之前，「印不印作者」这件事只有一个开关 —— **填没填**。于是一个既想在自己
+ * 后台记着作者、又不想在这套界面上印它的市场，没有任何写法表达得出来。
+ *
+ * `display.fields` 是一张**白名单**，只管徽标 / 元信息那一档（名单和「为什么承重
+ * 的那几格一格都不在里面」在 {@link MARKETPLACE_DISPLAY_FIELDS} 上）。
+ * ⚠️ **整格不写 = 照旧「填了就画」** —— 存量目录一个字都不用改，
+ * 判据在 `DisplaySchema.fields` 上那张三行的表。
+ *
+ * ## ⚠️ 「没有上传接口」这句话 2026-09-08 改了半句
+ *
+ * 原话是「没有服务端、没有账号、**没有上传接口**、没有审核」。改的是第三句 ——
+ * 而**改的是主语不是事实**：**我们**仍然没有服务端、没有上传接口，一个字节都不收。
+ * 变的是嵌入宿主那一侧多了一条出口（`HostMarketplaces.upload` 那个回调），
+ * epoch 只负责把一条本地目录打成 `.tar.gz` 交给它（[pack.ts](./pack.ts)）。
+ *
+ * 于是目录条目上多了一格 `author` —— 一个用户上传的市场里，「清单是谁放的」
+ * （`owner`）和「这一条是谁写的」（`author`）从第二条开始就不相等了。
+ *
  * ## 目录是**缓存下来的**，不是每次现拉
  *
  * `epoch plugin search` 要能在飞机上跑。加市场那一刻把整份目录存进
@@ -5104,6 +5544,55 @@ declare const EntrySchema: z.ZodObject<{
     source: z.ZodString;
     category: z.ZodOptional<z.ZodString>;
     keywords: z.ZodOptional<z.ZodArray<z.ZodString>>;
+    author: z.ZodOptional<z.ZodObject<{
+        name: z.ZodString;
+        email: z.ZodOptional<z.ZodString>;
+        url: z.ZodOptional<z.ZodString>;
+    }, z.core.$strip>>;
+    downloads: z.ZodOptional<z.ZodNumber>;
+    likes: z.ZodOptional<z.ZodNumber>;
+    displayName: z.ZodOptional<z.ZodString>;
+    icon: z.ZodOptional<z.ZodString>;
+    version: z.ZodOptional<z.ZodString>;
+    changelog: z.ZodOptional<z.ZodString>;
+    size: z.ZodOptional<z.ZodNumber>;
+    homepage: z.ZodOptional<z.ZodString>;
+    visibility: z.ZodCatch<z.ZodOptional<z.ZodEnum<{
+        private: "private";
+        public: "public";
+    }>>>;
+    status: z.ZodCatch<z.ZodOptional<z.ZodEnum<{
+        rejected: "rejected";
+        listed: "listed";
+        reviewing: "reviewing";
+        offline: "offline";
+    }>>>;
+}, z.core.$strip>;
+/**
+ * 市场说了算的那几格「要不要印在屏幕上」（2026-09-10）。
+ *
+ * ## ⚠️ 这张名单里**一格承重的都没有**，那是它的定义不是巧合
+ *
+ * 缺席的那几格各有各的理由，而它们都不是「忘了列」：
+ *
+ * | 没进名单     | 为什么它不许被藏起来                                           |
+ * | ------------ | -------------------------------------------------------------- |
+ * | `name`       | 它是标识 —— 藏了之后这一条在屏幕上没有名字                      |
+ * | `source`     | 装它要靠它，而且 `search()` 拿它判「本地还是要 clone」          |
+ * | `version`    | `updateAvailable` 是拿它比出来的 —— 藏它 = **藏掉一次真的更新** |
+ * | `description`| 卡片的正题；藏了之后一屏卡片全是空的                            |
+ * | `keywords`   | 它压根不上屏，它是检索面                                        |
+ * | `displayName`| 「给人看的名字」是身份不是徽标 —— 藏它只会退回那串机器标识      |
+ *
+ * 也就是说这张名单管的**只有徽标 / 元信息那一档**：一格藏没了，屏幕上少一枚芯片，
+ * 别的一个字都不动。这条性质是这个功能能成立的全部前提 —— 一张能藏掉 `source`
+ * 的名单会让一份合法的目录变得装不了东西，而报错会指着一个和它无关的地方。
+ */
+declare const MARKETPLACE_DISPLAY_FIELDS: readonly ["status", "downloads", "likes", "author", "category", "visibility", "icon", "homepage", "size"];
+/** {@link MARKETPLACE_DISPLAY_FIELDS} 里的一格 */
+type MarketplaceDisplayField = (typeof MARKETPLACE_DISPLAY_FIELDS)[number];
+declare const DisplaySchema: z.ZodObject<{
+    fields: z.ZodOptional<z.ZodArray<z.ZodString>>;
 }, z.core.$strip>;
 declare const CatalogSchema: z.ZodObject<{
     name: z.ZodString;
@@ -5112,12 +5601,38 @@ declare const CatalogSchema: z.ZodObject<{
         name: z.ZodString;
         url: z.ZodOptional<z.ZodString>;
     }, z.core.$strip>>;
+    display: z.ZodOptional<z.ZodObject<{
+        fields: z.ZodOptional<z.ZodArray<z.ZodString>>;
+    }, z.core.$strip>>;
     plugins: z.ZodArray<z.ZodObject<{
         name: z.ZodString;
         description: z.ZodOptional<z.ZodString>;
         source: z.ZodString;
         category: z.ZodOptional<z.ZodString>;
         keywords: z.ZodOptional<z.ZodArray<z.ZodString>>;
+        author: z.ZodOptional<z.ZodObject<{
+            name: z.ZodString;
+            email: z.ZodOptional<z.ZodString>;
+            url: z.ZodOptional<z.ZodString>;
+        }, z.core.$strip>>;
+        downloads: z.ZodOptional<z.ZodNumber>;
+        likes: z.ZodOptional<z.ZodNumber>;
+        displayName: z.ZodOptional<z.ZodString>;
+        icon: z.ZodOptional<z.ZodString>;
+        version: z.ZodOptional<z.ZodString>;
+        changelog: z.ZodOptional<z.ZodString>;
+        size: z.ZodOptional<z.ZodNumber>;
+        homepage: z.ZodOptional<z.ZodString>;
+        visibility: z.ZodCatch<z.ZodOptional<z.ZodEnum<{
+            private: "private";
+            public: "public";
+        }>>>;
+        status: z.ZodCatch<z.ZodOptional<z.ZodEnum<{
+            rejected: "rejected";
+            listed: "listed";
+            reviewing: "reviewing";
+            offline: "offline";
+        }>>>;
     }, z.core.$strip>>;
 }, z.core.$strip>;
 declare const RecordSchema: z.ZodObject<{
@@ -5131,18 +5646,67 @@ declare const RecordSchema: z.ZodObject<{
             name: z.ZodString;
             url: z.ZodOptional<z.ZodString>;
         }, z.core.$strip>>;
+        display: z.ZodOptional<z.ZodObject<{
+            fields: z.ZodOptional<z.ZodArray<z.ZodString>>;
+        }, z.core.$strip>>;
         plugins: z.ZodArray<z.ZodObject<{
             name: z.ZodString;
             description: z.ZodOptional<z.ZodString>;
             source: z.ZodString;
             category: z.ZodOptional<z.ZodString>;
             keywords: z.ZodOptional<z.ZodArray<z.ZodString>>;
+            author: z.ZodOptional<z.ZodObject<{
+                name: z.ZodString;
+                email: z.ZodOptional<z.ZodString>;
+                url: z.ZodOptional<z.ZodString>;
+            }, z.core.$strip>>;
+            downloads: z.ZodOptional<z.ZodNumber>;
+            likes: z.ZodOptional<z.ZodNumber>;
+            displayName: z.ZodOptional<z.ZodString>;
+            icon: z.ZodOptional<z.ZodString>;
+            version: z.ZodOptional<z.ZodString>;
+            changelog: z.ZodOptional<z.ZodString>;
+            size: z.ZodOptional<z.ZodNumber>;
+            homepage: z.ZodOptional<z.ZodString>;
+            visibility: z.ZodCatch<z.ZodOptional<z.ZodEnum<{
+                private: "private";
+                public: "public";
+            }>>>;
+            status: z.ZodCatch<z.ZodOptional<z.ZodEnum<{
+                rejected: "rejected";
+                listed: "listed";
+                reviewing: "reviewing";
+                offline: "offline";
+            }>>>;
         }, z.core.$strip>>;
     }, z.core.$strip>;
 }, z.core.$strip>;
 type MarketplaceEntry = z.infer<typeof EntrySchema>;
 type MarketplaceCatalog = z.infer<typeof CatalogSchema>;
 type MarketplaceRecord = z.infer<typeof RecordSchema>;
+/** 这一条在市场那一侧的档口，见 `EntrySchema.status` 上那张四行的表 */
+type MarketplaceStatus = NonNullable<MarketplaceEntry['status']>;
+type MarketplaceDisplay = z.infer<typeof DisplaySchema>;
+/**
+ * 按目录自己声明的白名单，把**没被选中的展示格抹掉**（2026-09-10）。
+ *
+ * ## ⚠️ 它是「抹掉」不是「打个标记」，而那是这个功能唯一说得通的做法
+ *
+ * 另一条路是把 `display` 原样发到每一层去，让 CLI / 网线 / 浏览器各自判一次
+ * 「这一格该不该画」。那条路上「这一格印不印」会有**三个**能推出答案的地方，
+ * 而它们分叉的那天表现是：同一份目录在 `epoch plugin search` 里印着作者、
+ * 在浏览器上不印。判据同 `PluginSearchHit.installable` 为什么不把 `allowRemote`
+ * 透出去 —— **一个问题只该有一个答案**。
+ *
+ * 抹掉之后，下游那一整条链路上现成的规矩（「有就画、没有整格不画」）一个字都不用改，
+ * 而**新增的分支数是零**。这也正是它被放在 {@link searchMarketplaces} 里的理由：
+ * 那是「市场里有什么」这个问题在全仓唯一的出口，CLI / TUI / 网线三条路都从它出来。
+ *
+ * ⚠️ **不碰装那条路**（`resolveMarketplaceRef` 读的是原始记录，不经过这儿）：
+ * 一份目录该印什么和它装不装得上是两件事，判据在 {@link MARKETPLACE_DISPLAY_FIELDS}
+ * 那张表上。
+ */
+declare function projectEntryForDisplay(entry: MarketplaceEntry, display: MarketplaceDisplay | undefined): MarketplaceEntry;
 interface MarketplaceOptions {
     /** `marketplacesPath(homeDir)` */
     statePath: string;
@@ -5970,9 +6534,10 @@ interface SystemPromptParams {
  *
  * ## ⚠️ 删了它**不等于** system prompt 不再依赖工具表
  *
- * `PromptBuilder.projectBlock()` 里还有四个按工具存在与否开的策略块
+ * `PromptBuilder.projectBlock()` 里还有五个按工具存在与否开的策略块
  * （`isOpenWorldTool` / `enter_plan_mode` / `lsp_diagnostics` /
- * `ask_user_question`），所以 `loop.ts` 那条**工具名指纹**照样是必须的 ——
+ * `ask_user_question` / `todo`，五个是 2026-09-08 才算齐的）——
+ * 所以 `loop.ts` 那条**工具名指纹**照样是必须的 ——
  * 工具表变了 system prompt 仍然可能要跟着变，只是依赖变少了。
  * 判据和一条会红的门禁在 `__tests__/prompt-tool-prose.test.ts`。
  */
@@ -7247,6 +7812,19 @@ interface GenerateInput {
      * SDK 只负责单次「请求 → 拿到 tool-call 或文本」。
      */
     maxSteps?: number;
+    /**
+     * 中止这一次出站请求，原样交给 AI SDK 的 `abortSignal`。
+     *
+     * ⚠️ **这一格以前整个不存在**，而它的缺席不是「少一个便利功能」：
+     * 一次请求发出去之后没有任何东西能停下它，于是模型进复读环时用户按停止
+     * 没有反应，`repetition-detector` 判出来之后也只能停止读取、出站请求照跑。
+     * 判据全文在 `agent/types.ts` 的 `ProviderGenerateInput.signal` 上。
+     *
+     * 重试那一层**刻意不管它**：signal 一旦 abort，`streamText` 抛的是
+     * `AbortError`，而重试的判据是「这家挂了要不要换一家」—— 用户按了停止
+     * 之后换一家再发一次是最不该做的事。
+     */
+    signal?: AbortSignal;
     /**
      * 这一次用哪个 provider（方案 19）。不给 = 配置里的主 provider。
      *
@@ -7436,6 +8014,23 @@ interface ProviderGenerateInput {
     system?: string;
     maxTokens?: number;
     maxSteps?: number;
+    /**
+     * 中止这一次**出站请求**。
+     *
+     * ## 为什么必须到这一层
+     *
+     * `RunInput.signal` 一直存在，但 `AgentLoop` 只在**轮次之间**看它，
+     * 这一格以前压根不存在 —— 于是一次请求发出去之后就没有任何东西能停下它。
+     * 后果有两个，都实测过：
+     *   1. 模型进了复读环，用户按停止**没有反应**，得等它把整个输出预算
+     *      （某些模型这一格是 384K）吐完或者 provider 自己断；
+     *   2. `repetition-detector` 判出复读之后 `break` 出去只是「我们不再读」，
+     *      出站请求还在跑、token 还在计 —— 检测器等于白做。
+     *
+     * 真 `AbortSignal`（不是 `RunInput.signal` 那个只要 `aborted` 布尔的鸭子类型）：
+     * 它要原样交给 AI SDK 的 `abortSignal`，那边需要 `addEventListener`。
+     */
+    signal?: AbortSignal;
 }
 interface ProviderGenerateOutput {
     text: string;
@@ -7481,6 +8076,17 @@ interface ProviderGenerateOutput {
      * 缺席规则同 `usage`：一条都没有时整个缺席，不是空数组。
      */
     warnings?: ProviderWarning[];
+    /**
+     * `finishReason === 'looping'` 时给用户看的那句话里要填的数
+     * （「最后 N 个字符里只有约 X% 的片段不重复」）。
+     *
+     * 为什么要一格而不是让循环自己算：判定发生在 `turn.ts`，它掐掉之后
+     * 检测器就跟着那次请求一起没了，循环手上只有已经产出的那段文本 ——
+     * 而那段文本的比例**不等于**开火那一刻窗口里的比例（窗口只看尾巴）。
+     *
+     * 其余 finishReason 下缺席（缺席规则同 `usage`）。
+     */
+    loopingInfo?: string;
 }
 /** AgentLoop 需要的 provider 能力 */
 interface AgentProvider {
@@ -7959,6 +8565,33 @@ interface AgentConfig {
      * 会红的门禁：`runtime/__tests__/compliance-wiring.test.ts`。
      */
     compliance?: ComplianceEngine;
+    /**
+     * 「这个会话还有多少项 TODO 没做完」的读点（2026-09-08，收工闸门那一半）。
+     *
+     * 给了之后，模型不再调工具、清单里还有没做完的条目时，循环会注一句
+     * 「还有 N 项没做完」把它踢回去（每 run 最多一次）。不给 = 没有这道闸门，
+     * 行为与改动前逐字节相同 —— 插入宿主和全部既有用例走的都是那一条。
+     *
+     * ## 给**函数**不给数，理由同 `approvedPlan` / `role`
+     *
+     * 这个数在一次 run 里**每一步都在变**（模型每做完一条就 `todo` 替换一次），
+     * 快照等于永远拿到「run 开始那一刻」的清单 —— 而那一刻常常还没落任何条目。
+     * 真正该读它的是「模型想收工的那一轮」，只有现问才拿得到。
+     *
+     * ## `sessionId` 走入参，不走闭包
+     *
+     * 子 agent 是**另一个** sessionId（`delegate_task` 派出去的那个任务自己记一笔，
+     * 见 `tools/builtin/delegate.ts`）。闭包的话，派活的父会话有清单、子任务那一侧
+     * 读到的也是**父的**清单 —— 而子任务确实只被派了几件事，它若拿「父还有 97
+     * 件事没完」来给自己收工，就是最糟的一种假结案。判据同
+     * `backgroundTasks` 那句（闭包会把「这个会话」和「读到的会话」劈开）。
+     *
+     * ⚠️ **装配层的每一处 `new AgentLoop` 都要填**，子 agent 那条也要 ——
+     * 漏填一处的表现是「主会话被闸门护住了、派出去的子任务照样做 3 个就收工」，
+     * 而这两条路在今天都会被批成行径是「智能体偷懒」。会红的门禁：
+     * `runtime/__tests__/todo-gate-wiring.test.ts`。
+     */
+    pendingTodos?: (sessionId: string) => number;
 }
 /** 历史里的一条。`parts` 存在时 `content` 是它的文本投影（见 EpochMessage） */
 interface HistoryEntry {
@@ -9082,6 +9715,29 @@ declare function formatUsd(usd: number): string;
  * 可选维度加完仍是 0 就不写进结果 —— 保住「0 是真的零，undefined 是不知道」：
  * 两轮都没缓存命中，累计里就不该冒出一个 `cacheHitTokens: 0` 让人以为
  * 这个 provider 支持缓存只是没命中。
+ *
+ * ## ⚠️ `totalTokens` **不是**可加的维度，别照着上面三项写
+ *
+ * 上面三项缺席当 0 加是对的（0 是加法的单位元）；`totalTokens` 不是，它是一个
+ * **总量**。`(a.totalTokens ?? 0) + (b.totalTokens ?? 0)` 在「一边报了、另一边
+ * 没报」时收到的只有报了的那一份，而 `inputTokens` / `outputTokens` 两侧是加全
+ * 了的 —— 于是这份累计**自相矛盾**：`totalTokens < promptTokens + outputTokens`。
+ *
+ * 这一档不是假想：`toTokenUsage` 明确放行了「两个总量都在、`totalTokens` 缺席」
+ * 的 usage（OpenAI 兼容端点不带 `stream_options` 的那一家就这样），而同一段会话
+ * 里换 provider（降级、或压缩那一发走别的模型）就会把两种 usage 加到一起。
+ *
+ * 症状有两层，**第二层不是显示问题**：
+ *
+ * 1. 屏幕上「共 X token」比旁边 `↑ + ↓` 还小（两处都读 `totalUsageTokens()`，
+ *    而它优先信 `totalTokens`）；
+ * 2. `budget.maxTokens` 那道闸门读的是同一个数（`budget-guard.ts` 的
+ *    `sessionBreach()`），偏小 = **上限拦不住**，多跑的那几轮是真花钱的。
+ *
+ * 所以没报的那一侧按我们自己的口径折算一份（`totalUsageTokens()` 的兜底那一支，
+ * 对那一侧来说是精确值），再相加。两边都没报时仍然整个不写 —— 那时
+ * `totalUsageTokens()` 自己算出来的和这里能算出来的是同一个数，凭空多一个字段
+ * 只会让「provider 报过」和「我们替它算的」变得分不出来。
  */
 declare function addUsage(a: TokenUsage, b: TokenUsage): TokenUsage;
 /**
@@ -9698,6 +10354,19 @@ declare function hasProviderCredentials(homeDir?: string): boolean;
  * 所以丢弃也不会动到用户文件）。
  */
 
+/**
+ * 自动压缩的内置阈值 —— 提示词占到上下文窗口的几成时开始压。
+ *
+ * **默认值的单一真源就是这一行**（本文件头那句话对它同样成立）。
+ * `ContextCompressor` 直接 `new` 出来、没给 `threshold` 时也回落到它，
+ * 走的是 import 而不是在那边再写一个 `0.5` —— 两处各写一份的话，
+ * 调了这个数之后「配置里读到的默认值」和「引擎真的在用的默认值」会分叉，
+ * 而设置页印的恰好是前者。
+ *
+ * ⚠️ 改这个数对**所有没配过这个键的人**生效，是一次用户能感知的行为变更
+ * （压缩来得更早或更晚），要写 changeset。
+ */
+declare const DEFAULT_COMPRESSION_THRESHOLD = 0.5;
 declare const EpochConfigSchema: z.ZodObject<{
     provider: z.ZodPrefault<z.ZodObject<{
         type: z.ZodDefault<z.ZodEnum<{
@@ -9803,6 +10472,11 @@ declare const EpochConfigSchema: z.ZodObject<{
         enabled: z.ZodDefault<z.ZodBoolean>;
         threshold: z.ZodDefault<z.ZodNumber>;
     }, z.core.$strip>>;
+    memory: z.ZodPrefault<z.ZodObject<{
+        memoryCharLimit: z.ZodDefault<z.ZodInt>;
+        userCharLimit: z.ZodDefault<z.ZodInt>;
+        indexCharLimit: z.ZodDefault<z.ZodInt>;
+    }, z.core.$strip>>;
     artifacts: z.ZodPrefault<z.ZodObject<{
         maxAgeDays: z.ZodDefault<z.ZodInt>;
         maxTotalBytes: z.ZodDefault<z.ZodInt>;
@@ -10149,7 +10823,7 @@ declare function isSettingWriteLayer(value: string): value is SettingWriteLayer;
  * 安全中心指两件事（「新会话从哪一档起」vs「这个会话此刻哪一档」），
  * 而那正是决定 20 ④ 拆开的那个歧义 —— 记住上一次那一档没有把这个歧义请回来。
  */
-declare const SETTING_WRITE_KEYS: readonly ["model", "maxTurns", "models.utility", "fallback.model", "contextLength", "compression.enabled", "compression.threshold", "budget.maxCostUsd", "budget.maxTokens", "budget.warnAtPercent", "budget.onUnknownPricing", "permission"];
+declare const SETTING_WRITE_KEYS: readonly ["model", "maxTurns", "models.utility", "fallback.model", "contextLength", "compression.enabled", "compression.threshold", "memory.memoryCharLimit", "memory.userCharLimit", "memory.indexCharLimit", "budget.maxCostUsd", "budget.maxTokens", "budget.warnAtPercent", "budget.onUnknownPricing", "permission"];
 type SettingWriteKey = (typeof SETTING_WRITE_KEYS)[number];
 /** 这个键写得进去吗。名单就是 {@link SETTING_WRITE_KEYS} 本身，别在别处抄一份字面量 */
 declare function isWritableSettingKey(value: string): value is SettingWriteKey;
@@ -10473,24 +11147,107 @@ declare function loadKeybindings({ path, defaults }: LoadKeybindingsOptions): Lo
 /**
  * 记忆管理器 — 文件驱动 + SQLite 索引双存储。
  *
- * 参考 Hermes tools/memory_tool.py（1240 行）。
  * 核心设计：
  * 1. MEMORY.md / USER.md 文件是主存储
  * 2. SQLite 是搜索索引（FTS5 + sqlite-vec）
  * 3. 会话级冻结快照，保护 prompt cache
  * 4. 字符配额 + 超限压缩提示（而非直接拒绝）
  * 5. 注入检测
+ *
+ * ---
+ *
+ * # 2026-09-10：进 prompt 的从「全文」换成「索引」
+ *
+ * ## 改之前是什么样，以及为什么它把两件事焊死了
+ *
+ * 原来 `initialize()` 把**整个记忆库的正文**渲染进 system prompt（`renderBlock()`
+ * 把每一条 `§` 拼起来）。参考的是 Hermes（`tools/memory_tool.py`，它今天仍是
+ * 这个形状）。后果是「能存多少」和「每轮烧多少 token」**是同一个数**：
+ * 想多记一点，就得每一轮都为它付钱。
+ *
+ * 于是那两个配额被钉在 `2200 / 1375`（连数字都是从 Hermes 抄的）好几个月，
+ * 而用户的原话是「memory 好像只有 2000 字，太少了」。在旧结构下这个抱怨
+ * **没有便宜的解法** —— 调大就是每轮变贵。
+ *
+ * ## 改之后：目录进 prompt，正文按需取
+ *
+ * 形状对齐 codex（`codex-rs/ext/memories/`）：那边 `~/.codex/memories/` 里的
+ * 文件数量不设上限，进 developer instructions 的只有一份摘要（它那个常量叫
+ * `MEMORY_TOOL_DEVELOPER_INSTRUCTIONS_SUMMARY_TOKEN_LIMIT`，2500 tokens），
+ * 正文靠 `memories.list` / `read` / `search` 三个工具按需取。
+ *
+ * epoch 这边**检索那一半本来就修好了**，所以这一轮做的比看上去小：
+ *
+ * - `search()` 是真的 BM25（FTS5，见 `db.ts`）
+ * - `prefetch()` 每轮拿用户输入检索一次，塞进 `<memory-recall>`
+ *   （`agent/prompt.ts`，走 messages 那一侧）
+ *
+ * 缺的只有两样，这一轮补上：**system prompt 里换成索引**（{@link renderIndexBlock}），
+ * 以及**一个能按 id 取全文的动作**（{@link read}）。
+ *
+ * ## ⚠️ 空库时索引块必须是**空串**，这不是优化
+ *
+ * `agent/prompt.ts` 把这个块 push 进 system prompt，而 system prompt 全文进
+ * eval 的新鲜度指纹（`evals/harness/fingerprint.ts`）。空库渲染成空串，
+ * 是 34 段录像在这一轮里**不因为 system prompt 而**作废的唯一原因
+ * （工具描述那一侧另算，见 `tools/builtin/memory.ts`）。
+ * 改这个函数时先想一遍「库是空的时候它返回什么」。
  */
 
 declare class MemoryManager {
     private db;
     private config;
     private memDir;
-    /** 冻结快照——会话初始化时构建，整个会话不变 [Hermes] */
+    /**
+     * 冻结快照 —— 会话初始化时构建，整个会话不变 [Hermes]。
+     *
+     * ⚠️ **2026-09-10 起它装的是索引不是正文**（文件头那一节）。冻结这件事没变，
+     * 变的是冻的是什么：冻正文是为了保 prefix cache，冻索引除了保 cache 还多一层
+     * 作用 —— 模型手上那份 id 表在一个会话里不会动，于是它引用 `m:a3f1c2` 时
+     * 指的一定是它当初看到的那一条。
+     */
     private snapshot;
+    /**
+     * 短 id → 条目。**这一份是活的，不跟着快照冻**。
+     *
+     * 两者不同步是刻意的：快照冻住「模型看得到的目录」，这一份答「这个 id 现在
+     * 还指着什么」。会话中途新写的条目立刻 `read` 得到（它不在冻结的索引里，
+     * 但模型刚写完自己知道 id）；被改掉的条目老 id 会落进
+     * {@link MemoryReadResult.missing} —— 那是实话，那条内容确实不在了。
+     *
+     * id 从**内容哈希**来而不是从位置来，正是为了这里：删掉第 3 条不会让第 4 条
+     * 之后所有 id 集体平移，而那种平移会让模型手上那份索引静默指错条目。
+     */
+    private ids;
+    /** 上面那张表的反向索引（`target\0content` → id），渲染索引时按内容反查用 */
+    private idByContent;
     /** 当前会话是否已初始化 */
     private initialized;
-    /** 本轮 consolidation 失败计数 [Hermes] */
+    /**
+     * 本轮 consolidation **白撞**次数。撞满 {@link MAX_CONSOLIDATION_FAILURES_PER_TURN}
+     * 就不再给指引，改成一句「别再试了」。
+     *
+     * ## ⚠️ 它数的是「白撞了几次」，不是「试了几次」
+     *
+     * 这个区别就是用户 2026-09-10 那张截图：
+     *
+     * > 记忆库满了（3 次合并机会已用完），但关键信息已经落在 RUNBOOK.md 里
+     *
+     * 一个**谨慎**的模型会一条条腾地方 —— 删一条、试一下够不够、不够再删一条。
+     * 而原来只有 `add` / `replace` **成功**时才重置，`remove` 成功不重置，于是：
+     *
+     * ```
+     * add(失败1) → remove → add(失败2) → remove → add(失败3) → remove → add(失败4) → 叫停
+     * ```
+     *
+     * 它每一步都在真的腾空间，却被记成四次失败，最后被自己的安全阀打死。
+     * **越谨慎越容易撞**：一次性删五条的反而没事。上限本身是对的
+     * （防模型无限重试同一个 `add`），错的是口径。
+     *
+     * 所以**任何一次让库变小 / 变整齐的操作都重置它**：`add` 成功、`replace`
+     * 成功、`remove` 成功。剩下那一档 —— 反复 `add` 同一个装不下的东西而中间
+     * 什么都没干 —— 才是它要拦的。
+     */
     private consolidationFailures;
     /** 上次审查发现的问题（由 MemoryReviewer 写入） */
     reviewIssues: Array<{
@@ -10499,12 +11256,33 @@ declare class MemoryManager {
         message: string;
         suggestion?: string;
     }>;
-    constructor(dbPath?: string, memDir?: string);
+    /**
+     * @param config 三个配额，来自 `EpochConfig.memory`（runtime 的 `services.ts` 递进来）。
+     *   **按字段合并到默认值上**，不是整份替换 —— 用户只在 yaml 里写了
+     *   `memoryCharLimit` 时，另外两个该回落到内置默认，而不是变成 `undefined`
+     *   然后在 `getBudget()` 里算出 `NaN%`。
+     *
+     *   不给 = 三个都走默认（真源在 `config/schema.ts`）。2026-09-10 之前这个参数
+     *   压根不存在，于是 `MemoryConfig` 这个类型有、却没有任何人给得出非默认值 ——
+     *   用户抱怨的「设置里改不了」就是这一格。
+     */
+    constructor(dbPath?: string, memDir?: string, config?: Partial<MemoryConfig>);
     initialize(_sessionId: string): Promise<string>;
     prefetch(userQuery: string): Promise<string>;
     sync(_userMessage: string, _assistantResponse: string): Promise<void>;
     finalize(): Promise<void>;
     reloadFromDisk(): Promise<void>;
+    /**
+     * 重建 短 id → 条目 的映射。
+     *
+     * id = `<前缀>:<内容 sha256 的前 N 位十六进制>`。前缀 `m` / `u` 分开两个库，
+     * 于是**同一份内容同时存在两个库里也不会撞**（那是合法状态：「用户用 pnpm」
+     * 既可以是画像也可以是项目知识）。
+     *
+     * 冲突时按 4 位一档加长，而**只加长撞上的那一个** —— 全表统一加长的话，
+     * 加一条新记忆可能让**所有**老 id 变样，而模型手上那份索引是冻结的。
+     */
+    private assignIds;
     /**
      * 把某个 target 的内容同步成 `desired`，**保留仍存在条目的元数据**。
      *
@@ -10512,6 +11290,14 @@ declare class MemoryManager {
      * accessCount / createdAt 全部归零，schema 里那几个字段等于白设。
      */
     private syncTarget;
+    /**
+     * 落盘。**顺带重建 id 表** —— 这个方法是 add / replace / remove 三条写路径
+     * 唯一的汇合点，挂在这儿就不会出现「新加了一条记忆，同一轮里 `read` 不到」。
+     *
+     * ⚠️ 重建的是 {@link ids}（活的），**不动 {@link snapshot}**（冻的）。
+     * 顺手把快照也刷了的话，一次写记忆就会改掉 system prompt ——
+     * prefix cache 当场作废，而那正是快照冻结要挡的事。
+     */
     flushToDisk(): Promise<void>;
     /** 渲染成可被 readFile 原样解析回来的格式（多行条目也不会散） */
     private renderFile;
@@ -10521,9 +11307,28 @@ declare class MemoryManager {
      * score 是真实的 BM25 相关度（越大越相关），原来恒为 1——
      * 上层拿它排序等于没排。命中的条目会记一次访问，
      * 让 accessCount 真的反映使用情况。
+     *
+     * ⚠️ **返回的 `id` 是索引里那个短 id，不是 DB 的 UUID**（2026-09-10 改）。
+     * 这一条上层看得见：模型拿搜索结果去 `read` / 对照索引时，两处的 id 必须是
+     * 同一套词。发 UUID 出去等于给了它一个在别处一次也用不上的标识符 ——
+     * 而它会照着用，然后 `read` 一律 `missing`。
+     *
+     * 短 id 反查不到时（`assignIds()` 还没跑过）**回落到 UUID 而不是丢掉这一条**：
+     * 少一条搜索结果是静默的错误答案，多一个认不出的 id 只是一次 `missing`。
      */
     search(query: string, limit?: number): Promise<MemorySearchResult[]>;
     keywordSearch(query: string, limit?: number): Promise<MemorySearchResult[]>;
+    /**
+     * 按索引里的短 id 取全文（2026-09-10 新增，见文件头）。
+     *
+     * ⚠️ **认不出的 id 走 `missing` 而不是被跳过。** 模型会编 id（或者引用上个会话
+     * 那份索引里的），静默少返回一条的话它拿到的是一份看起来完整、实际缺一块的
+     * 答案，而它没有任何办法发现这件事。
+     *
+     * 命中的条目记一次访问 —— 于是「被 read 过」也算热度，下一个会话的索引里
+     * 它更靠前（判据在 {@link renderIndexBlock} 的排序那一段）。
+     */
+    read(ids: readonly string[]): Promise<MemoryReadResult>;
     /** 获取所有条目（供后台审查使用） */
     getAllEntries(): Array<{
         content: string;
@@ -10538,7 +11343,43 @@ declare class MemoryManager {
     semanticSearch(query: string, limit?: number): Promise<MemorySearchResult[]>;
     add(target: MemoryTarget, content: string): Promise<MemoryWriteResult>;
     replace(target: MemoryTarget, oldText: string, content: string): Promise<MemoryWriteResult>;
-    remove(target: MemoryTarget, oldText: string): Promise<void>;
+    /**
+     * 删一条。`oldText` 可以是**全文**，也可以是索引里那个**短 id**（见 {@link locate}）。
+     *
+     * 返回删没删掉 —— 原来固定返回 `void`，于是「id 拼错了」和「真的删了」
+     * 在调用方那里长得一模一样，模型会以为腾出了地方然后继续撞墙。
+     */
+    remove(target: MemoryTarget, oldText: string): Promise<boolean>;
+    /**
+     * 按「全文」或「索引里的短 id」定位一条记忆。
+     *
+     * ## 为什么要认 id（2026-09-10）
+     *
+     * 索引化之后，模型在 prompt 里看到的只有**首行摘要**（截断到 80 字符），
+     * 而 `replace` / `remove` 原来走的是 `WHERE content = ?` —— **全文精确相等**。
+     * 两者对不上：**我们只发布了摘要，却要求全文**。于是「照着屏幕上看得见的
+     * 东西去合并」这条最自然的路径必然 `Entry not found`。
+     *
+     * ⚠️ **它不是一个「不修就必死」的回归，别照那个力度去理解。** 2026-09-10
+     * 拿真 key 打过 A/B（3 个场景 × 改动前后 × 各 3 发，DeepSeek）：**不认 id 的
+     * 那一侧也 9/9 成功** —— 模型会自己先 `read` 一遍拿全文，之后全文匹配就成立了。
+     * `read` 和索引是同一轮加的，所以那条死路从来没有以「不可恢复」的形态存在过。
+     *
+     * 认 id 的价值是把它从「先 read 再匹配」缩成「一步」，并且让**只看索引**
+     * 这条路径也成立。这是补齐操作面，不是抢救。
+     *
+     * ⚠️ 先试 id 再试全文，顺序不能反：一条内容恰好长得像 `m:abc123` 的记忆
+     * 理论上存在，但那时按 id 解释才是**模型的本意**（它手上的 id 就长这样）。
+     */
+    private locate;
+    /**
+     * 「没找到」时**告诉模型下一步干什么**，而不是只说没找到。
+     *
+     * 一句光秃秃的 `Entry not found` 会让模型原地重试同一个错的 `old_text`，
+     * 而它重试几次就撞上 consolidation 上限。绝大多数情况下它错在
+     * **拿索引里的摘要当全文**，所以这句话要直接点破那一点。
+     */
+    private notFoundHint;
     getBudget(): {
         memory: BudgetInfo;
         user: BudgetInfo;
@@ -10559,11 +11400,53 @@ declare class MemoryManager {
      * 项目约定来说并不宽裕，原来的做法会把合法长条目直接吞掉。
      */
     private scanInjection;
-    /** 渲染 system prompt 注入块 [Hermes] */
-    private renderBlock;
-    /** 构建快照 system prompt 注入块 */
-    private buildSnapshotBlock;
+    /**
+     * 一条条目在索引里长什么样。摘要取**首行**并截断到
+     * {@link INDEX_SUMMARY_CHARS}。
+     *
+     * 取首行而不是前 N 字符：条目是「一条一个事实」，第一行基本就是那句结论，
+     * 而横跨换行去截会把下一行的开头黏上来，读起来像一句破句。
+     */
+    private indexEntries;
+    /**
+     * 渲染进 system prompt 的**索引块**（2026-09-10 起替代原来的全文块）。
+     *
+     * ## 空库返回空串 —— 这一条是硬约束
+     *
+     * 判据在文件头最后一节：这个块的返回值进 system prompt，而 system prompt
+     * 全文进 eval 新鲜度指纹。改这个函数时先答「库是空的时候它返回什么」。
+     *
+     * ## 装不下的时候丢谁
+     *
+     * 按「用得多的留下」排（`accessCount` 降序，同票看 `lastAccessedAt`），
+     * 取到装不下为止 —— 那两个字段 `db.ts` 一直在维护，而 `search()` 命中时会
+     * `markAccessed()`，所以「用得多」是真的使用情况，不是猜的。
+     *
+     * ⚠️ **挑完之后按 position 重排再印**。挑选顺序是「谁重要」，展示顺序是
+     * 「文件里的顺序」—— 两者混成一个的话，用户在 `MEMORY.md` 里看到的顺序和
+     * 模型看到的顺序不一样，而排查「模型为什么没用那条记忆」时人是对着文件看的。
+     *
+     * ⚠️ 被挤掉的部分**在块尾如实说有几条**，并指向 `search`。静默截断是这里
+     * 最不该干的事：模型会把「我看到的」当成「全部」，然后理直气壮地说
+     * 「记忆里没有这件事」。
+     */
+    private renderIndexBlock;
+    /** 索引里的一行：`m:a1b2c3  摘要  (412 chars)` */
+    private indexLine;
     /** 构建超限压缩提示 [Hermes] */
+    /**
+     * 配额满时交给模型的指引。
+     *
+     * ## ⚠️ 这段话必须给出一条**在索引架构下真的走得通**的操作序列
+     *
+     * 上一版写的是「use replace() to combine or shorten existing entries」外加一个
+     * 抄全文的例子。索引化之后那是一条**死路**：模型手上只有摘要，`old_text` 拼不出来
+     * （判据全文在 {@link locate}）。它照着做 → `Entry not found` → 重试 → 撞上
+     * {@link MAX_CONSOLIDATION_FAILURES_PER_TURN} → 只好说「记忆库满了，合并机会用完」。
+     *
+     * 所以现在给的是**按 id 走**的三步，并且把最近几条 id 直接列出来 ——
+     * 让模型不必先去猜、也不必多跑一趟 `search`。
+     */
     private buildConsolidateHint;
 }
 
@@ -12188,8 +13071,8 @@ declare const MAX_AUDIT_ENTRIES = 500;
  *
  * | 级别          | 意图                                               |
  * | ------------- | -------------------------------------------------- |
- * | `bypass`      | 全放行 —— 但**挡不住第 1 层安全底线**，那层在前面   |
- * | `auto`        | 信任 agent：读写和网络放行，非只读命令仍确认       |
+ * | `bypass`      | 全放行 —— 但**挡不住第 1 层那两条 deny**，那层在前面 |
+ * | `auto`        | 信任 agent：这一档自己不拦，边界全在第 1 层         |
  * | `plan`        | 只读：写入 / 命令 / 网络 / 执行代码一律拒           |
  * | `acceptEdits` | 工作区内读写免确认，工作区外和写命令确认           |
  * | `default`     | 只读操作免确认，其余一律确认                       |
@@ -12380,7 +13263,9 @@ declare function matchRuleLists(rules: CompiledRules, operation: Operation, flav
  *
  * check() 分三层，顺序即安全语义：
  *   1. 安全底线（危险命令 / 敏感路径 / 混淆构造）—— 任何级别、任何模式都生效，
- *      **不可**被 headless 预授权覆盖
+ *      **不可**被 headless 预授权覆盖。⚠️ 前两条直接 deny；第三条是「要人确认」，
+ *      而「问」在 `bypass` 和非交互下问不出来 —— 那两种现场怎么塌成一个结论，
+ *      判据全文在 {@link PermissionManager.settleUnaskable} 上
  *   2. 策略规则 + 审批缓存 + 权限级别 —— 得出 allow / deny / ask_user
  *   3. headless 预授权 —— 只能把 ask_user 变成放行，
  *      永远不能把第 1、2 层的 deny 变成放行
@@ -12577,6 +13462,111 @@ declare class PermissionManager implements PermissionManager$1 {
     check(operation: Operation): PermissionDecision;
     /** 三层判定的本体。**每个出口都必须带原因码**，见文件头 */
     private decide;
+    /**
+     * 安全底线里那条「要人确认」的判定 —— **问不出来的时候它塌成什么**（2026-09-10）。
+     *
+     * 返回 null = 问得出来，照原样弹给用户。
+     *
+     * ## 这一层要守的不变量：**「不问」这一档下没有任何东西可以塌成「问」**
+     *
+     * 两家参照实现都把它写成纪律，而 epoch 此前只守住了一半：
+     *
+     * - Hermes 靠顺序 —— `approval_floors.py` 的 docstring 第一句是
+     *   「decisions that never reach a prompt」，floor 里只有 hardline 灾难命令、
+     *   `sudo -S` 灌密码、用户自己写的 deny 规则，**一个 ask 形状的出口都没有**；
+     *   所有会弹的判定都排在 `_yolo_active()` 检查之后（`tools/approval.py`）。
+     * - Codex 靠显式塌缩 —— `exec_policy.rs` 的原话是「We prefer to prompt the user
+     *   rather than outright forbid the command, but if the user has explicitly
+     *   disabled prompts, we must forbid the command」，落地成
+     *   `AskForApproval::Never => Decision::Forbidden`，另有 `prompt_is_rejected_by_policy`
+     *   把**任何**要弹的东西在那一档下变成一句拒绝。
+     *
+     * 这个方法此前只有第 3 条（非交互），判据挂在「**有没有人可问**」上，漏了
+     * 「**用户说了别问我**」—— 而这两件事在语义上是同一件。落地的后果是屏幕上
+     * 那句「跳过全部检查 · 什么都不问」是假话：实测 `echo "$(date)"`、`node -e`、
+     * `python3 -c` 在 `bypass` 档下照旧弹框。
+     *
+     * ## 四条的顺序不能换，每一条各有各的理由
+     *
+     * 1. **`plan` → 拒绝。** 那一档是只读的，「问一句就能干」这回事在它里面不存在。
+     *    ⚠️ 这一条修的是一个**旧洞**：底线那一层跑在档位判定前面，所以在这之前
+     *    plan 模式下一条判不了的命令会弹给用户，用户点「允许」它就真跑了 ——
+     *    而 `checkPlan()` 那句「plan 模式禁止写入和命令执行」压根没机会说话。
+     *
+     * 2. **`bypass` + `obfuscated` → 放行。** 排在缓存前面，于是「`bypass` 整段不查
+     *    审批缓存」（{@link checkRulesAndCache} 那一节）对**规则那条路**逐字仍然成立。
+     *
+     *    ⚠️ **认码，不是认「所有 ask 形状的底线」**（2026-09-10 用户拍的）：
+     *    `dangerous-command`（tier-2，危险但可恢复）在这一档下**照旧问**。
+     *    用户的原话是「除了那种真的非常危险的操作，和无法判断的才会……停下来找
+     *    用户」，而他随后选定的两档形状是：**危险的问一句（点了就能干活）、
+     *    判不了的不问**。所以这一支只塌 `obfuscated`。
+     *
+     *    ⚠️ 塌向「放行」而不是 Codex 的「拒绝」：这条判定的原话是「静态检查无法
+     *    判定其真实行为，需人工确认」—— 它是一句「我判不了」，不是一句「这危险」，
+     *    而 `bypass` 的字面意思正是「别拿你判不了的事来问我」。这一档下**逐字就是
+     *    Hermes 的 yolo**（它的 floor 只有 hardline，判不了那一族住在 Tier-2、
+     *    被 yolo 整段跳过）。
+     *
+     *    ⚠️ **代价说清楚**：`bypass` + 提示注入 + `$(…)` 拼命令名这条路由此打通。
+     *    Hermes 在 `tools/approval.py` 那句 `# this and bypass every approval check
+     *    (prompt-injection escalation path)` 上承认的是同一个敞口。不接受的人该做的是
+     *    **别用这一档**，而不是让这一档偷偷弹框 —— 一个说了「不问」却还在问的开关，
+     *    会让用户学会闭眼点「允许」，那比敞口更坏。
+     *
+     * 3. **用户以前对这一条明确答过 → 照他的答复。** 这是另一个缺陷：审批缓存躺在
+     *    这一层**后面**，所以一条判不了 / tier-2 危险的命令上点一百次「永久允许」，
+     *    第一百零一次照样弹 —— 那个出口在这一族上是**画着但不通**的。
+     *
+     *    ⚠️ 这里查缓存**不受 `approvalCacheActive()` 约束**（那条只管规则那条路）：
+     *    走到这儿说明这一刻真的要弹窗，而缓存的定义就是「弹窗答案的记忆」。
+     *    2026-08-17 那条判据（`bypass` 下缓存的 deny 不该拦住任何东西）没有被翻 ——
+     *    它说的是**档位本来就放行**的操作，而这一支下面的操作档位从来不放行。
+     *
+     *    这不是「让缓存绕过黑名单」：绕不过的是 deny 形状的那两条（灾难级危险命令、
+     *    敏感路径），它们在 `hard.requireApproval` 为假时压根走不到这儿。
+     *
+     * 4. **非交互 → 拒绝**（原有行为，一字未动）。它排在最后：前面几条各自都是
+     *    「这道题已经有答案了」，而这一条说的是「没人可答」。
+     */
+    private settleUnaskable;
+    /**
+     * **规则那条路**上会不会查审批缓存（2026-08-17 的判据：`bypass` 整段不查，
+     * 全文在 {@link checkRulesAndCache} 上）。
+     *
+     * ⚠️ **它不是「这个档位记不记得住」**：安全底线那条路（{@link settleUnaskable}）
+     * 在任何档位下都查缓存。宿主要知道的是**这一次问的这道题**记不记得住，
+     * 那个答案在 `PermissionDecision.rememberable` 上，由 {@link rememberFlag} 打。
+     */
+    approvalCacheActive(): boolean;
+    /**
+     * 给规则表那条路上的 ask 打「记不记得住」这一格。
+     *
+     * 只在**记不住**的时候产出这个键：`{ rememberable: undefined }` 和「没有这个键」
+     * 在 JSON / wire 上是两回事（后者会被编成一个 null），而协议那边写的是
+     * **不给 = 记得住**。
+     *
+     * 走到这儿的 ask 是规则表判的，所以它和 {@link approvalCacheActive} 同一个答案；
+     * 底线那条路不经过这里（它的答复一律记得住）。
+     */
+    private rememberFlag;
+    /**
+     * 审批缓存那一格 —— **全类唯一一处查它的地方**。
+     *
+     * 两个调用方（{@link checkRulesAndCache} 的第 2 层、{@link settleUnaskable} 的
+     * 第 2 条）必须用同一套 key，否则「批过的那一条」在其中一条路上永远命不中；
+     * 而那种分叉两边各自都自洽，没有任何检查抓得到。
+     *
+     * key 用「工具名 + 目标」：按类别做 key 会让拒绝一次 `code_exec` 连坐到
+     * terminal 和所有 MCP 工具。
+     *
+     * ⚠️ **它自己不认档位。** 「`bypass` 不查缓存」那条判据只管**规则那条路**，
+     * 所以那道闸在 {@link checkRulesAndCache} 的调用点上（`approvalCacheActive()`），
+     * 不在这里 —— {@link settleUnaskable} 那条路必须在任何档位下都查得到，
+     * 判据在它的第 3 条上。搬进来的后果是「问过一次的 tier-2 命令在 `bypass` 下
+     * 永远问不完」。
+     */
+    private cachedDecision;
     /**
      * 策略规则 + 紧凑权限规则 + 审批缓存。返回 null 表示三者都没定论，
      * 交给权限级别判。
@@ -12600,8 +13590,9 @@ declare class PermissionManager implements PermissionManager$1 {
      * 档下对一条命令点了「拒绝」，`tool-executor` 把那一下写成
      * `recordApproval(…, 'deny')`；随后切到 `bypass` 再敲同一条，屏幕上回的是
      * 「操作被拦截 [权限]: 已缓存拒绝」。而三处真源都说它该过：
-     * [docs/PERMISSIONS.md](../../../../docs/PERMISSIONS.md) 的档位表写「允许一切」、
-     * [by-level.ts](./by-level.ts) 那张五档表写「全放行 —— 但挡不住第 1 层安全底线」、
+     * [docs/PERMISSIONS.md](../../../../docs/PERMISSIONS.md) 的档位表（当时写的是
+     * 「允许一切」，2026-09-10 改成「不问你任何事」）、
+     * [by-level.ts](./by-level.ts) 那张五档表写「全放行 —— 但挡不住第 1 层那两条 deny」、
      * 方案 46 §七 写「`bypass` 之下危险命令表是**唯一还在岗的东西**」。
      *
      * 这一档下**没有被放松的东西**：第 1 层安全底线（危险命令表 / 敏感路径 /
@@ -14295,8 +15286,8 @@ declare const PolicyRuleSchema: z.ZodObject<{
     command_prefix: z.ZodOptional<z.ZodString>;
     target_pattern: z.ZodOptional<z.ZodString>;
     decision: z.ZodEnum<{
-        deny: "deny";
         allow: "allow";
+        deny: "deny";
         ask_user: "ask_user";
     }>;
     deny_message: z.ZodOptional<z.ZodString>;
@@ -16651,4 +17642,4 @@ declare function resolveCodeModeWorker(baseDir: string, exists?: typeof existsSy
  */
 declare function codeModeWorkerPath(): string | undefined;
 
-export { AGENT_ROLE_DIAG_MODULE, ARTIFACT_MAX_TOTAL_BYTES, ARTIFACT_RETENTION_DEFAULTS, type AcquireResult, type AgentConfig, AgentLoop, type AgentProvider, type AgentSite, type AgentSiteRef, type AppendMessageInput, ApprovalCache, type ApprovalDecision, type ApprovalScope, type ArtifactOpenRefusal, type ArtifactRetention, type AskQuestionDeps, BLOCKED_TOOLS, type BackendOptions, type BackendOutcome, type BackgroundTaskSource, type BaseOrigin, type BaseSlot, type BeginTurnInput, type BreakdownInput, BudgetGuard, type BudgetGuardOptions, type BudgetInfo, type BudgetLevel, type BudgetOptions, type BudgetStatus, BudgetStore, type BudgetStoreOptions, type BuildFireArgvInput, type BuildIndexOptions, CHECKPOINT_MAX_TOTAL_BYTES, CLAUDE_EVENT_NAMES, CLAUDE_TOOL_NAMES, CODE_MODE_LIMITS, CODE_MODE_SDK_TAG, CONFIG_KEYS, CURRENT_CONFIG_VERSION, type CachedApproval, type CachedDecision, type CheckpointCapture, type CheckpointFile, CheckpointManager, type CheckpointManagerOptions, type CheckpointManifest, CheckpointStore, type CheckpointStoreOptions, type CheckpointSummary, type ClaudeHooksParseOptions, type CodeModeLimits, type CodeRequest, type CodeResult, CodeSandbox, type CommandHookConfig, type CommandHookResult, type CommandLoadOutcome, type CommandLoadSummary, type CommandResult, type CommandRunner, type CompactionResult, type CompiledRules, type ComplianceDirSpec, type ComplianceDirsSummary, ComplianceEngine, type ComplianceEngineInput, type ComplianceGate, type ComplianceHit, type ComplianceRule, type ComplianceRuleSource, type ComplianceSettings, type ComplianceVerdict, type CompressConfig, type CompressResult, type ConfigMigration, type ConfigOrigins, ContextCompressor, type ContextEngine, type CreateScheduleInput, type CreateSessionInput, DEFAULT_COMPLIANCE_ACTIONS, DEFAULT_COMPLIANCE_SETTINGS, DEFAULT_GOAL_MAX_ROUNDS, DEFAULT_MAX_HOLD_CHARS, type DelegateArgs, type DelegateConfig, DelegateManager, type DelegateTaskResult, type DiagnoseOptions, type DiscoverOutcome, type DiscoveredFile, type DoctorReport, type DraftParse, EMPTY_RULES, EPOCH_DISK_LEDGER, EpochConfigSchema, type ExpandOptions, FTS_TABLES, FTS_TRIGGERS, type FallbackEvent, type FileSlots, type FileSourceKind, type ForkInput, type FrontmatterParse, type FrontmatterSplit, type FtsHealth, type FtsReclaim, type FtsSpace, type FtsTableHealth, GOAL_BLOCK_CODES, type GateAxis, type GateVerdict, type GenerateInput, type GenerateOutput, type Goal, type GoalBlockReason, type GoalClear, type GoalPhase, type GoalPromptView, type GoalRefusal, type GoalRoundResult, GoalService, GoalStore, type GoalToolDeps, type GoalWrite, HEADLESS_AUDIT_CODES, type HeadlessPolicy, type HookConfigEntry, HookManager, type HookManagerOptions, type HookMatcher, type HookSourceKind, type HookSourceStatus, type HookSourcesOptions, type HookSourcesSummary, type HooksParseOutcome, type MemoryManager$1 as IMemoryManager, INSTRUCTION_BUDGET_CHARS, INSTRUCTION_FILES, type SessionManager$1 as ISessionManager, type SkillSystem$1 as ISkillSystem, ImageLoadError, type ImageSize, type ImportDecision, type ImportGate, type ImportNode, type ImportSkipReason, ImportTrustStore, type InstallOptions, type InstallOutcome, type InstallPreview, type InstructionScan, type InstructionSource, type IsolationReason, type IsolationReport, type JsonSchemaDocument, LAUNCHD_LABEL_PREFIX, LOCK_HEARTBEAT_MS, LOCK_STALE_MS, type LayerOutcome, type LayerScalars, type LayerStatus, type LearningContext, type LearningResult, type LearningSkipReason, type LexiconLoadOutcome, type LifecycleOutcome, type ListCandidatesInput, type ListSessionsInput, type ListSessionsOutput, type LoadCommandsOptions, type LoadConfigOptions, type LoadKeybindingsOptions, type LoadKeybindingsResult, type LoadRolesOptions, type LoadedPlugin, type LockHolder, MARKETPLACE_FILE, MAX_AUDIT_ENTRIES, MAX_COMMAND_DEPTH, MAX_GOAL_MAX_ROUNDS, MAX_IMPORT_DEPTH, MAX_OBJECTIVE_CHARS, MAX_REASON_CHARS, MAX_RECENT_WORKSPACES, MODEL_GIVE_UP_THRESHOLD, MULTIMODAL_DEFAULTS, type ManagedPolicy, ManagedPolicyError, type ManagedSettings, ManagedSettingsSchema, type MarketplaceCatalog, type MarketplaceEntry, type MarketplaceOutcome, type MarketplaceRecord, type MemoryConfig, type MemoryEntry, MemoryManager, MemoryReviewer, type MemorySearchResult, type MemoryTarget, type MemoryWriteResult, type MentionPart, type MentionResolution, type Message, type MessageHit, type MessageRecord, type MessageSurface, type ModelCapability, ModelFailureTracker, type ModelMetaEntry, type ModelPricing, type MultimodalPolicy, NOMINAL_TOTAL_BYTES, NO_REVEALED_TOOLS, type NonInteractiveProbe, type OsTaskSnapshot, type OutputGuard, PERMISSION_AUDIT_CODES, PLUGIN_LAYOUT, PLUGIN_MANIFEST_FILE, PLUGIN_NAME_PATTERN, PLUGIN_ROOT_ENV, PLUGIN_ROOT_TOKEN, POLICY_DECISIONS, PROJECT_AGENTS_SUBDIR, PROVIDER_NO_CREDENTIAL, type PermissionAuditCode, type PermissionAuditEntry, type PermissionAuditOutcome, type PermissionAuditScope, type PermissionAuditSnapshot, PermissionManager, type PersistedBudget, type PersistedPart, type PlanApprovalFn, type PlanEnterResult, type PlanModeDeps, PlanModeState, type PlanSettlement, type PluginArtifacts, type PluginCommandDir, type PluginCounts, type PluginHookFile, type PluginInventory, type PluginLoadOptions, type PluginManifest, type PluginPathRef, type PluginRecord, type PluginSettingsFile, type PluginSourceType, type PluginStateReadOutcome, PluginStore, type PolicyDirSpec, type PolicyDirsSummary, type PolicyLoadOutcome, type PolicyRule, PolicyRuleSchema, type ProjectContext, ProviderError, ProviderRouter, type ProviderStreamChunk, type ProviderToolCall$1 as ProviderToolCall, type ProviderWarning, type PruneResult, type QuestionAskFn, RECORDING_KEEP_RUNS, RECORDING_MAX_BYTES, ROLE_FRONTMATTER_SCHEMA, RUN_CODE_TOOL, type ReadMessagesInput, type ReadMessagesOutput, type RecentWorkspace, RecentWorkspaces, type RecordRunInput, type RecorderOptions, type RecoveryAction, type RegisterInput, type RegisterOutcome, type RegistrarOptions, type RegistrationPatch, type RepairOutcome, type ResolveMentionsOptions, type ResolveReferenceInput, type ResolveSettingsOptions, type ResolvedCompression, type ResolvedReference, type ResolvedSource, type ResponseFormat, type RestorePartsOptions, type ReviewIssue, type RewindAction, type RewindDrift, type RewindFilePlan, type RewindOptions, type RewindOutcome, type RewindPreview, type RoleCreateFailure, type RoleCreateInput, type RoleCreateOptions, type RoleCreateOutcome, type RoleLoadOutcome, type RoleLoadSummary, type RoleMergeNotice, type RoleMergeResult, type RoleScope, type RuleMatch, type RuleSuggestion, type RuleVerdict, type RunCodeFailure, type RunCodeInput, type RunCodeOutcome, type RunCodeToolDeps, type RunEstimateInput, type RunInput, type RunResult, SANDBOX_COVERS, SANDBOX_EXCLUDES, SCALAR_KEYS, SCHEDULE_DEFAULTS, SCHEDULE_DEFAULT_ALLOWLIST, SCHEDULE_ISSUE_CODES, SCHTASKS_FOLDER, SESSION_MESSAGES_READ_TOOL, SESSION_MESSAGES_SEARCH_TOOL, SESSION_QUERY_TOOLS, SESSION_SEARCH_TOOL, SESSION_TRACE_TOOL, SETTINGS_LAYER_ORDER, SETTING_WRITE_APPLY, SETTING_WRITE_KEYS, SETTING_WRITE_LAYERS, SKILL_CREATE_TOOL, SKILL_EDIT_TOOL, SKILL_PATCH_TOOL, SKILL_VIEW_TOOL, SKILL_WRITE_FILE_TOOL, SLASH_COMMANDS_DIAG_MODULE, type ScalarKey, type ScanInstructionsOptions, type ScheduleArgvRefusal, type ScheduleArgvResult, type ScheduleArgvWarning, type ScheduleBackend, type ScheduleCliEntry, type ScheduleDraftDeps, type ScheduleDrift, type ScheduleDriftKind, type ScheduleInstallForm, type ScheduleIssue, type ScheduleIssueCode, type ScheduleLock, ScheduleRecorder, ScheduleRegistrar, ScheduleStore, type ScheduleValidation, type SchemaExport, type SearchHit, type SearchInput, type SearchMessagesInput, type SearchMessagesOutput, type SearchOutput, type SearchSessionsInput, type SelectionDeps, type Session, type SessionCandidate, type SessionHit, SessionManager, type SessionMentionDeps, type SessionMeta, SessionQueries, SessionReferences, type SessionSearchDeps, type SessionStats, type SessionSurface, type SessionTrace, type SessionVisibility, type SessionVisibilityInput, type SettingApply, type SettingChain, type SettingFutile, type SettingLayer, type SettingStep, type SettingValue, type SettingValueKind, type SettingWriteFailure, type SettingWriteKey, type SettingWriteLayer, type SettingWriteOutcome, type SettingWriteRequest, type SettingWriteTarget, type SettingWriteTargetsOptions, type SettingsFile, SettingsFileError, SettingsFileSchema, type SettingsLayer, type SettingsResolution, type ShadowFinding, type ShadowKind, type Skill, type SkillDirSource, type SkillDirSpec, type SkillDirsSummary, type SkillImportConflict, type SkillImportDone, type SkillImportEntry, type SkillImportFailure, type SkillImportForm, type SkillImportOptions, type SkillImportPreview, type SkillImportResult, type SkillIndexEntry, type SkillIndexOptions, type SkillIndexResidency, type SkillIndexStats, SkillLearner, type SkillLearningProvider, type SkillMeta, type SkillStats, SkillSystem, type SkillSystemOptions, type SkillViewDeps, type SkillWriteDeps, type SubAgentRunner, type SubTask, type SubToolCaller, type SummarizeOutput, type SurfaceMessage, type SystemPromptParams, type SystemPromptSegments, TOOL_SEARCH_TOOL, TaskNoticeTracker, type TodoItem, type ToolCall, type ToolConflict, type ToolGate, type ToolNameFidelity, type ToolNameLookup, ToolRegistry, type ToolRevealState, type ToolScope, type ToolSearchDeps, type ToolTableCost, type TraceInput, type TraceNode, TrackerDB, type TrustDecision, type TrustGate, type TrustGateOptions, TrustManager, type TurnRecord, type TurnTiming, type UpdateScheduleInput, type UtilityModelInfo, type ValidateScheduleInput, type VersionCheck, Workspace, type WorkspaceFiles, type WorkspaceIssue, type WorkspaceIssueKind, acquireScheduleLock, addMarketplace, addUsage, admitArtifact, admitArtifacts, affectedPaths, artifactLaunchArgv, artifactOpenRefusal, assertLevelAllowed, blockedRoleTools, buildContextBreakdown, buildFireArgv, buildFtsMatchQuery, buildSchemaExports, buildSystemPrompt, buildTrigramMatchQuery, builtinRoles, checkEpochVersion, checkFtsHealth, checkShadowing, classifyProviderError, clearModelCache, coalesceRecording, codeModeWorkerPath, commandNameFromRelPath, compileRuleLists, compressionOptions, computeCost, computeCostMicros, countRules, createAllowAllGate, createAllowAllImportGate, createAskQuestionTool, createCodeExecTool, createDelegateTool, createDenyAllGate, createDenyAllImportGate, createGoalTool, createImportGate, createMemoryTool, createPlanModeTools, createRoleFile, createRoleScope, createRunCodeTool, createScheduleDraftTool, createSessionMessagesReadTool, createSessionMessagesSearchTool, createSessionSearchTool, createSessionSearchTools, createSessionTraceTool, createSkillViewTool, createSkillWriteTools, createTodoTool, createToolRevealState, createToolScope, createToolSearchTool, createTrustGate, currentEpochVersion, decideImport, decideTrust, defaultConfig, defaultModelOf, describeArtifactRefusal, describeBackgroundTask, describeHeadlessPolicy, describeIsolation, describeJsonError, diagnoseSchedules, discoverMarkdown, discoverModels, discoverProject, draftCommandLine, draftWidening, escapeRuleContent, estimateImageTokens, estimateRunTokens, estimateTokens, evaluateSelection, expandCommand, expandImports, explainSetting, findInstructionFiles, findProjectInstructions, findRole, formatBytes, formatSkillIndex, formatUsd, gateForTool, getCapability, getConfigIssues, getConfigOrigins, getImportGate, getTrustGate, hasPromptCaching, hasProviderCredentials, imageFromBase64, imageFromPath, imagePartTokens, importSkills, installPlugin, instructionDirs, instructionNotices, intervalSlots, inventoryTotal, isBlockCode, isCodeModeDeferred, isEmptyRules, isGoalPhase, isNonInteractive, isReadOnlySubCall, isSettingWriteLayer, isValidPluginName, isWithinWindow, isWritableSettingKey, labelSlug, layerRank, listSessionCandidates, listWorkspaceFiles, loadCommandDefinitions, loadCommandFile, loadCommands, loadConfig, loadHookSources, loadKeybindings, loadLexiconDir, loadLexiconFiles, loadPlugins, loadPolicyFiles, loadPolicyRules, loadRoleDefinitions, loadRoleDir, loadedImports, localDateString, managedSwitchNotes, mapClaudeToolName, mapEpochToolName, mapOperationType, matchPreauthorization, matchRuleLists, matchesHook, mentionsPluginRoot, mergeHeadlessPolicy, mergeRoles, mergeSchedulePatch, microsToUsd, modelListCandidates, needsAllowlist, nextFallbackModel, nextRunAt, noConfigOrigins, noManagedPolicy, noPlugins, openArtifact, originOf, parseClaudeSettingsHooks, parseClock, parseDate, parseFrontmatter, parseHooksConfig, parseHooksConfigVerbose, parseImportLine, parseModelList, parseRoleDefinition, parseScheduleDraft, parseSkillFrontmatter, parseTrigger, pendingImageTokens, persistParts, persistToolResults, persistedUsage, previewSkillImport, pruneArtifacts, pruneRecordings, pruneSchedules, readImageSize, readMarketplaces, readPluginManifest, readPluginRecords, readProviderKeyEnv, readRecording, readSessionSurface, reclaimFtsSpace, redactLine, refreshOpenRouterMetadata, removeMarketplace, removeSessionArtifacts, renderImportTree, renderProjectContext, renderSdkDeclaration, repairSchedules, resolveArtifactRetention, resolveCodeModeWorker, resolveComplianceDirs, resolveEntrySource, resolveInWorkspace, resolveMarketplaceRef, resolveMentions, resolveMultimodalPolicy, resolvePolicyDirs, resolveProjectRoot, resolveScheduleBackend, resolveSessionReference, resolveSessionVisibility, resolveSettings, resolveSkillDirs, resolveSource, resolveWorkspace, restoreParts, revealScopedProvider, roleScopedProvider, roleSourceLabel, ruleCovers, ruleFromString, ruleToString, runCode, runCommand, sanitizeArgNames, sanitizeCommand, sanitizeFtsQuery, sanitizePath, sanitizeToolOutput, scanInstructions, scanPluginDir, scanSkillDirs, searchMarketplaces, setImportGate, setPluginEnabled, setTrustGate, settingValueChoices, settingValueKind, settingWriteLayers, settingWriteTargets, skillIndexDescription, skillIndexResidency, skillIndexStats, sniffMediaType, splitFrontmatter, staticToolProvider, stripArtifactData, substitutePluginRoot, suggestRuleFromApproval, systemOpenArgv, systemPromptSegments, toPosix, toolDefinitionTokens, toolMatches, toolTableTokens, totalTokens, traceSession, triggerPeriodMs, unescapeRuleContent, uninstallPlugin, unknownRoleSkills, unknownRoleTools, unloadedInstructionFiles, updateMarketplace, updatePlugin, usdToMicros, validateSchedule, validateTrigger, validateWindow, withGoalCompression, withGoalPrompt, workspaceDisplayPath, writeSettingValue };
+export { AGENT_ROLE_DIAG_MODULE, ARTIFACT_MAX_TOTAL_BYTES, ARTIFACT_RETENTION_DEFAULTS, type AcquireResult, type AgentConfig, AgentLoop, type AgentProvider, type AgentSite, type AgentSiteRef, type AppendMessageInput, ApprovalCache, type ApprovalDecision, type ApprovalScope, type ArtifactOpenRefusal, type ArtifactRetention, type AskQuestionDeps, BLOCKED_TOOLS, type BackendOptions, type BackendOutcome, type BackgroundTaskSource, type BaseOrigin, type BaseSlot, type BeginTurnInput, type BreakdownInput, BudgetGuard, type BudgetGuardOptions, type BudgetInfo, type BudgetLevel, type BudgetOptions, type BudgetStatus, BudgetStore, type BudgetStoreOptions, type BuildFireArgvInput, type BuildIndexOptions, CHECKPOINT_MAX_TOTAL_BYTES, CLAUDE_EVENT_NAMES, CLAUDE_TOOL_NAMES, CODE_MODE_LIMITS, CODE_MODE_SDK_TAG, CONFIG_KEYS, CURRENT_CONFIG_VERSION, type CachedApproval, type CachedDecision, type CheckpointCapture, type CheckpointFile, CheckpointManager, type CheckpointManagerOptions, type CheckpointManifest, CheckpointStore, type CheckpointStoreOptions, type CheckpointSummary, type ClaudeHooksParseOptions, type CodeModeLimits, type CodeRequest, type CodeResult, CodeSandbox, type CommandHookConfig, type CommandHookResult, type CommandLoadOutcome, type CommandLoadSummary, type CommandResult, type CommandRunner, type CompactionResult, type CompiledRules, type ComplianceDirSpec, type ComplianceDirsSummary, ComplianceEngine, type ComplianceEngineInput, type ComplianceGate, type ComplianceHit, type ComplianceRule, type ComplianceRuleSource, type ComplianceSettings, type ComplianceVerdict, type CompressConfig, type CompressResult, type ConfigMigration, type ConfigOrigins, ContextCompressor, type ContextEngine, type CreateScheduleInput, type CreateSessionInput, DEFAULT_COMPLIANCE_ACTIONS, DEFAULT_COMPLIANCE_SETTINGS, DEFAULT_COMPRESSION_THRESHOLD, DEFAULT_GOAL_MAX_ROUNDS, DEFAULT_MAX_HOLD_CHARS, type DelegateArgs, type DelegateConfig, DelegateManager, type DelegateTaskResult, type DiagnoseOptions, type DiscoverOutcome, type DiscoveredFile, type DoctorReport, type DraftParse, EMPTY_RULES, EPOCH_DISK_LEDGER, EpochConfigSchema, type ExpandOptions, type ExtractOutcome, FTS_TABLES, FTS_TRIGGERS, type FallbackEvent, type FileSlots, type FileSourceKind, type ForkInput, type FrontmatterParse, type FrontmatterSplit, type FtsHealth, type FtsReclaim, type FtsSpace, type FtsTableHealth, GOAL_BLOCK_CODES, type GateAxis, type GateVerdict, type GenerateInput, type GenerateOutput, type Goal, type GoalBlockReason, type GoalClear, type GoalPhase, type GoalPromptView, type GoalRefusal, type GoalRoundResult, GoalService, GoalStore, type GoalToolDeps, type GoalWrite, HEADLESS_AUDIT_CODES, type HeadlessPolicy, type HookConfigEntry, HookManager, type HookManagerOptions, type HookMatcher, type HookSourceKind, type HookSourceStatus, type HookSourcesOptions, type HookSourcesSummary, type HooksParseOutcome, type MemoryManager$1 as IMemoryManager, INSTRUCTION_BUDGET_CHARS, INSTRUCTION_FILES, type SessionManager$1 as ISessionManager, type SkillSystem$1 as ISkillSystem, ImageLoadError, type ImageSize, type ImportDecision, type ImportGate, type ImportNode, type ImportSkipReason, ImportTrustStore, type InstallOptions, type InstallOutcome, type InstallPreview, type InstructionScan, type InstructionSource, type IsolationReason, type IsolationReport, type JsonSchemaDocument, LAUNCHD_LABEL_PREFIX, LOCK_HEARTBEAT_MS, LOCK_STALE_MS, type LayerOutcome, type LayerScalars, type LayerStatus, type LearningContext, type LearningResult, type LearningSkipReason, type LexiconLoadOutcome, type LifecycleOutcome, type ListCandidatesInput, type ListSessionsInput, type ListSessionsOutput, type LoadCommandsOptions, type LoadConfigOptions, type LoadKeybindingsOptions, type LoadKeybindingsResult, type LoadRolesOptions, type LoadedPlugin, type LockHolder, MARKETPLACE_DISPLAY_FIELDS, MARKETPLACE_FILE, MAX_AUDIT_ENTRIES, MAX_COMMAND_DEPTH, MAX_GOAL_MAX_ROUNDS, MAX_IMPORT_DEPTH, MAX_OBJECTIVE_CHARS, MAX_REASON_CHARS, MAX_RECENT_WORKSPACES, MODEL_GIVE_UP_THRESHOLD, MULTIMODAL_DEFAULTS, type ManagedPolicy, ManagedPolicyError, type ManagedSettings, ManagedSettingsSchema, type MarketplaceCatalog, type MarketplaceDisplay, type MarketplaceDisplayField, type MarketplaceEntry, type MarketplaceOutcome, type MarketplaceRecord, type MarketplaceStatus, type MemoryConfig, type MemoryEntry, MemoryManager, MemoryReviewer, type MemorySearchResult, type MemoryTarget, type MemoryWriteResult, type MentionPart, type MentionResolution, type Message, type MessageHit, type MessageRecord, type MessageSurface, type ModelCapability, ModelFailureTracker, type ModelMetaEntry, type ModelPricing, type MultimodalPolicy, NOMINAL_TOTAL_BYTES, NO_REVEALED_TOOLS, type NonInteractiveProbe, type OsTaskSnapshot, type OutputGuard, PACK_EXCLUDES, PACK_MAX_BYTES, PACK_MAX_FILES, PERMISSION_AUDIT_CODES, PLUGIN_LAYOUT, PLUGIN_MANIFEST_FILE, PLUGIN_NAME_PATTERN, PLUGIN_ROOT_ENV, PLUGIN_ROOT_TOKEN, POLICY_DECISIONS, PROJECT_AGENTS_SUBDIR, PROVIDER_NO_CREDENTIAL, type PackFile, type PackLimits, type PackOutcome, type PackPlan, type PackPlanOutcome, type PermissionAuditCode, type PermissionAuditEntry, type PermissionAuditOutcome, type PermissionAuditScope, type PermissionAuditSnapshot, PermissionManager, type PersistedBudget, type PersistedPart, type PlanApprovalFn, type PlanEnterResult, type PlanModeDeps, PlanModeState, type PlanSettlement, type PluginArtifacts, type PluginAuthor, PluginAuthorSchema, type PluginCommandDir, type PluginCounts, type PluginHookFile, type PluginInventory, type PluginLoadOptions, type PluginManifest, type PluginPathRef, type PluginRecord, type PluginSettingsFile, type PluginSourceType, type PluginStateReadOutcome, PluginStore, type PolicyDirSpec, type PolicyDirsSummary, type PolicyLoadOutcome, type PolicyRule, PolicyRuleSchema, type ProjectContext, ProviderError, ProviderRouter, type ProviderStreamChunk, type ProviderToolCall$1 as ProviderToolCall, type ProviderWarning, type PruneResult, type QuestionAskFn, RECORDING_KEEP_RUNS, RECORDING_MAX_BYTES, ROLE_FRONTMATTER_SCHEMA, RUN_CODE_TOOL, type ReadMessagesInput, type ReadMessagesOutput, type RecentWorkspace, RecentWorkspaces, type RecordRunInput, type RecorderOptions, type RecoveryAction, type RegisterInput, type RegisterOutcome, type RegistrarOptions, type RegistrationPatch, type RepairOutcome, type ResolveMentionsOptions, type ResolveReferenceInput, type ResolveSettingsOptions, type ResolvedCompression, type ResolvedReference, type ResolvedSource, type ResponseFormat, type RestorePartsOptions, type ReviewIssue, type RewindAction, type RewindDrift, type RewindFilePlan, type RewindOptions, type RewindOutcome, type RewindPreview, type RoleCreateFailure, type RoleCreateInput, type RoleCreateOptions, type RoleCreateOutcome, type RoleLoadOutcome, type RoleLoadSummary, type RoleMergeNotice, type RoleMergeResult, type RoleScope, type RuleMatch, type RuleSuggestion, type RuleVerdict, type RunCodeFailure, type RunCodeInput, type RunCodeOutcome, type RunCodeToolDeps, type RunEstimateInput, type RunInput, type RunResult, SANDBOX_COVERS, SANDBOX_EXCLUDES, SCALAR_KEYS, SCHEDULE_DEFAULTS, SCHEDULE_DEFAULT_ALLOWLIST, SCHEDULE_ISSUE_CODES, SCHTASKS_FOLDER, SESSION_MESSAGES_READ_TOOL, SESSION_MESSAGES_SEARCH_TOOL, SESSION_QUERY_TOOLS, SESSION_SEARCH_TOOL, SESSION_TRACE_TOOL, SETTINGS_LAYER_ORDER, SETTING_WRITE_APPLY, SETTING_WRITE_KEYS, SETTING_WRITE_LAYERS, SKILL_CREATE_TOOL, SKILL_EDIT_TOOL, SKILL_PATCH_TOOL, SKILL_VIEW_TOOL, SKILL_WRITE_FILE_TOOL, SLASH_COMMANDS_DIAG_MODULE, type ScalarKey, type ScanInstructionsOptions, type ScheduleArgvRefusal, type ScheduleArgvResult, type ScheduleArgvWarning, type ScheduleBackend, type ScheduleCliEntry, type ScheduleDraftDeps, type ScheduleDrift, type ScheduleDriftKind, type ScheduleInstallForm, type ScheduleIssue, type ScheduleIssueCode, type ScheduleLock, ScheduleRecorder, ScheduleRegistrar, ScheduleStore, type ScheduleValidation, type SchemaExport, type SearchHit, type SearchInput, type SearchMessagesInput, type SearchMessagesOutput, type SearchOutput, type SearchSessionsInput, type SelectionDeps, type Session, type SessionCandidate, type SessionHit, SessionManager, type SessionMentionDeps, type SessionMeta, SessionQueries, SessionReferences, type SessionSearchDeps, type SessionStats, type SessionSurface, type SessionTrace, type SessionVisibility, type SessionVisibilityInput, type SettingApply, type SettingChain, type SettingFutile, type SettingLayer, type SettingStep, type SettingValue, type SettingValueKind, type SettingWriteFailure, type SettingWriteKey, type SettingWriteLayer, type SettingWriteOutcome, type SettingWriteRequest, type SettingWriteTarget, type SettingWriteTargetsOptions, type SettingsFile, SettingsFileError, SettingsFileSchema, type SettingsLayer, type SettingsResolution, type ShadowFinding, type ShadowKind, type Skill, type SkillDirSource, type SkillDirSpec, type SkillDirsSummary, type SkillImportConflict, type SkillImportDone, type SkillImportEntry, type SkillImportFailure, type SkillImportForm, type SkillImportOptions, type SkillImportPreview, type SkillImportResult, type SkillIndexEntry, type SkillIndexOptions, type SkillIndexResidency, type SkillIndexStats, SkillLearner, type SkillLearningProvider, type SkillMeta, type SkillStats, SkillSystem, type SkillSystemOptions, type SkillViewDeps, type SkillWriteDeps, type SubAgentRunner, type SubTask, type SubToolCaller, type SummarizeOutput, type SurfaceMessage, type SystemPromptParams, type SystemPromptSegments, TOOL_SEARCH_TOOL, TaskNoticeTracker, type TodoItem, type ToolCall, type ToolConflict, type ToolGate, type ToolNameFidelity, type ToolNameLookup, ToolRegistry, type ToolRevealState, type ToolScope, type ToolSearchDeps, type ToolTableCost, type TraceInput, type TraceNode, TrackerDB, type TrustDecision, type TrustGate, type TrustGateOptions, TrustManager, type TurnRecord, type TurnTiming, type UpdateScheduleInput, type UtilityModelInfo, type ValidateScheduleInput, type VersionCheck, Workspace, type WorkspaceFiles, type WorkspaceIssue, type WorkspaceIssueKind, acquireScheduleLock, addMarketplace, addUsage, admitArtifact, admitArtifacts, affectedPaths, artifactLaunchArgv, artifactOpenRefusal, assertLevelAllowed, blockedRoleTools, buildContextBreakdown, buildFireArgv, buildFtsMatchQuery, buildSchemaExports, buildSystemPrompt, buildTrigramMatchQuery, builtinRoles, checkEpochVersion, checkFtsHealth, checkShadowing, classifyProviderError, clearModelCache, coalesceRecording, codeModeWorkerPath, commandNameFromRelPath, compileRuleLists, compressionOptions, computeCost, computeCostMicros, countRules, createAllowAllGate, createAllowAllImportGate, createAskQuestionTool, createCodeExecTool, createDelegateTool, createDenyAllGate, createDenyAllImportGate, createGoalTool, createImportGate, createMemoryTool, createPlanModeTools, createRoleFile, createRoleScope, createRunCodeTool, createScheduleDraftTool, createSessionMessagesReadTool, createSessionMessagesSearchTool, createSessionSearchTool, createSessionSearchTools, createSessionTraceTool, createSkillViewTool, createSkillWriteTools, createTodoTool, createToolRevealState, createToolScope, createToolSearchTool, createTrustGate, currentEpochVersion, decideImport, decideTrust, defaultConfig, defaultModelOf, describeArtifactRefusal, describeBackgroundTask, describeHeadlessPolicy, describeIsolation, describeJsonError, diagnoseSchedules, discoverMarkdown, discoverModels, discoverProject, draftCommandLine, draftWidening, escapeRuleContent, estimateImageTokens, estimateRunTokens, estimateTokens, evaluateSelection, expandCommand, expandImports, explainSetting, extractArchive, findInstructionFiles, findProjectInstructions, findRole, formatBytes, formatSkillIndex, formatUsd, gateForTool, getCapability, getConfigIssues, getConfigOrigins, getImportGate, getTrustGate, hasPromptCaching, hasProviderCredentials, imageFromBase64, imageFromPath, imagePartTokens, importSkills, installPlugin, instructionDirs, instructionNotices, intervalSlots, inventoryTotal, isBlockCode, isCodeModeDeferred, isEmptyRules, isGoalPhase, isNonInteractive, isReadOnlySubCall, isSettingWriteLayer, isValidPluginName, isWithinWindow, isWritableSettingKey, labelSlug, layerRank, listSessionCandidates, listWorkspaceFiles, loadCommandDefinitions, loadCommandFile, loadCommands, loadConfig, loadHookSources, loadKeybindings, loadLexiconDir, loadLexiconFiles, loadPlugins, loadPolicyFiles, loadPolicyRules, loadRoleDefinitions, loadRoleDir, loadedImports, localDateString, managedSwitchNotes, mapClaudeToolName, mapEpochToolName, mapOperationType, matchPreauthorization, matchRuleLists, matchesHook, mentionsPluginRoot, mergeHeadlessPolicy, mergeRoles, mergeSchedulePatch, microsToUsd, modelListCandidates, needsAllowlist, nextFallbackModel, nextRunAt, noConfigOrigins, noManagedPolicy, noPlugins, openArtifact, originOf, packFileName, packPlugin, parseClaudeSettingsHooks, parseClock, parseDate, parseFrontmatter, parseHooksConfig, parseHooksConfigVerbose, parseImportLine, parseModelList, parseRoleDefinition, parseScheduleDraft, parseSkillFrontmatter, parseTrigger, pendingImageTokens, persistParts, persistToolResults, persistedUsage, planPack, previewSkillImport, projectEntryForDisplay, pruneArtifacts, pruneRecordings, pruneSchedules, readImageSize, readMarketplaces, readPluginManifest, readPluginRecords, readProviderKeyEnv, readRecording, readSessionSurface, reclaimFtsSpace, redactLine, refreshOpenRouterMetadata, removeMarketplace, removeSessionArtifacts, renderImportTree, renderProjectContext, renderSdkDeclaration, repairSchedules, resolveArtifactRetention, resolveCodeModeWorker, resolveComplianceDirs, resolveEntrySource, resolveInWorkspace, resolveMarketplaceRef, resolveMentions, resolveMultimodalPolicy, resolvePolicyDirs, resolveProjectRoot, resolveScheduleBackend, resolveSessionReference, resolveSessionVisibility, resolveSettings, resolveSkillDirs, resolveSource, resolveTar, resolveWorkspace, restoreParts, revealScopedProvider, roleScopedProvider, roleSourceLabel, ruleCovers, ruleFromString, ruleToString, runCode, runCommand, sanitizeArgNames, sanitizeCommand, sanitizeFtsQuery, sanitizePath, sanitizeToolOutput, scanInstructions, scanPluginDir, scanSkillDirs, searchMarketplaces, setImportGate, setPluginEnabled, setTrustGate, settingValueChoices, settingValueKind, settingWriteLayers, settingWriteTargets, skillIndexDescription, skillIndexResidency, skillIndexStats, sniffMediaType, splitFrontmatter, staticToolProvider, stripArtifactData, substitutePluginRoot, suggestRuleFromApproval, systemOpenArgv, systemPromptSegments, toPosix, toolDefinitionTokens, toolMatches, toolTableTokens, totalTokens, traceSession, triggerPeriodMs, unescapeRuleContent, uninstallPlugin, unknownRoleSkills, unknownRoleTools, unloadedInstructionFiles, updateMarketplace, updatePlugin, usdToMicros, validateSchedule, validateTrigger, validateWindow, withGoalCompression, withGoalPrompt, workspaceDisplayPath, writeSettingValue };