@leejungkiin/awkit 1.7.6 → 1.7.8

package/core/GEMINI.md.bak

@@ -1,6 +1,6 @@
 # GEMINI.md — Antigravity v12.6
 
-> Rules only. Updated: 2026-06-15
+> Rules only. Updated: 2026-06-23
 
 ---
 
@@ -62,11 +62,12 @@ symphony-orchestrator → awf-session-restore (gitnexus state) → nm-memory-syn
 - Build: CHỈ dùng `awkit build`. CẤM gọi native (`xcodebuild`, `./gradlew`, `npm run build`).
 - `automation.build.enabled: false` → DỪNG, báo user. KHÔNG fallback native.
 - Thêm params qua `--`: `awkit build -- -destination '...'`. Bypass wrapper = VI PHẠM.
+- **Chạy tác vụ nền (Background Tasks)**: Khi chạy các tác vụ nền hoặc tác vụ dài (>30 giây) như Codex CLI, PHẢI chạy qua wrapper `node scripts/exec-progress.js "<command>"` để hiển thị checklist tiến trình trực quan cho người dùng thay vì để trống màn hình.
 
 ### 7-Gate System
 - Triage: TRIVIAL (→ Gate 4 thẳng) | MODERATE (→ G3+4+5) | COMPLEX (→ all gates).
 - Gates: G1 brainstorm → G1.5 module-spec (COMPLEX+>3mod) → G2 spec-gate → G2.5 visual (skip nếu backend) → G3 symphony-enforcer → G4 execution → G5 verification.
-- **Goal Mode Override:** Khi đang ở goal mode (`/goal`, active Codex goal, hoặc user nói rõ "goal mode") → gates là checklist nội bộ, KHÔNG dừng chờ user approval ở G2/G2.5/G4 checkpoints. AI tự chọn best-effort, tự verify, ghi assumption, rồi tiếp tục tới khi goal complete/bị block thật sự. Safety/destructive/security vẫn phải hỏi.
+- **Goal Mode Override (NO-CONFIRM):** Khi đang ở goal mode (`/goal`, active Codex goal, hoặc user nói rõ "goal mode") → gates là checklist nội bộ, KHÔNG dừng chờ user approval ở bất kỳ bước nào (G2/G2.5/G4 checkpoints, prompt audit, style preview, grid configuration, specs approval, v.v.). AI tự động chọn phương án tối ưu (best-effort/recommended default), tự verify, ghi nhận giả định (assumptions) vào logs/walkthrough, rồi tiếp tục cho đến khi goal hoàn thành hoặc bị block thực sự bởi lỗi kỹ thuật/permission. Chỉ dừng lại hỏi ý kiến khi gặp lệnh thực sự nguy hại (destructive) hoặc nhạy cảm bảo mật quy định tại Safety Guardrails.
 - **Gate 4 Three-Phase:**
   - Phase A 🏗️ Infrastructure → B 🎨 UI Shell (mock) → C ⚡ Logic (real data).
   - COMPLEX+UI: 3 phases bắt buộc. MODERATE+UI: A+C gộp, B optional. TRIVIAL: bypass.
@@ -102,8 +103,11 @@ symphony-orchestrator → awf-session-restore (gitnexus state) → nm-memory-syn
 - Sau khi dùng tool sửa code → KHÔNG in lại code trong chat. Tóm tắt bằng bullets.
 - Code block trong chat: tối đa 10 dòng. Show diff → dùng `render_diffs()`.
 
-### Image Generation Efficiency
-- Image gen: grid/spritesheet cho batch variants, không gen từng ảnh rời.
+### Image Generation & Asset Mandates (BẮT BUỘC)
+- **Cấm tự tạo SVG:** CẤM tự sinh, tự tạo hoặc thiết kế mã SVG cho các UI assets, biểu tượng trang trí, hoặc spritesheet (do chất lượng SVG tự tạo không đảm bảo và không bám sát thiết kế). BẮT BUỘC sử dụng Codex CLI để tạo hình ảnh và spritesheet UI.
+- **Sử dụng Skill bắt buộc:** Tuyệt đối sử dụng các skill `generate-gui-assets` và `hatch-pet` theo tài liệu tương ứng tại `/Users/trungkientn/.agents/skills/generate-gui-assets/SKILL.md` và `/Users/trungkientn/.codex/skills/hatch-pet/SKILL.md`.
+- **Thiết kế dùng Grid để tiết kiệm:** Bắt buộc thiết kế các assets (ngoại trừ background) bằng dạng Grid (spritesheet/atlas) để tối ưu chi phí và tài nguyên.
+- **Quy trình Grid & Tự Động Phê Duyệt:** Luôn ưu tiên tạo và kiểm chứng (verify) theo hướng lưới `8x6` trước. Nếu chất lượng quá xấu, tự động giảm dần số lượng item/kích thước grid xuống các cấu hình nhỏ hơn (ví dụ: 8x5, 6x6, 6x5, v.v.) mà KHÔNG cần hỏi ý kiến hoặc bắt user xác nhận lại (kể cả trong Normal hay Goal Mode).
 
 ### Proactive UI Asset Generation (MANDATORY)
 - **Asset Audit:** Trong Gate 2.5 (Visual Design) và Gate 4 Phase B (UI Shell), BẮT BUỘC rà soát mã nguồn/thiết kế để phát hiện các UI assets bị thiếu (nút bấm, panel, icon, pet, egg...).
@@ -112,12 +116,15 @@ symphony-orchestrator → awf-session-restore (gitnexus state) → nm-memory-syn
 - **Cấu trúc Lệnh:**
   - Đối với UI assets: `codex exec "Generate GUI asset: [Prompt/Style/Theme] and save it to [path] using the generate-gui-assets skill rules."`
   - Đối với Pet/Egg assets: `codex exec "Generate pet companion asset: [Pet Type/State] and save it to [path] using the hatch-pet skill rules and grid configuration [grid]."`
-- **Chi tiết & Approval:** Tự động thiết lập prompt chi tiết dựa trên Theme của App, tuân thủ tiêu chuẩn Solid Background và hỏi ý kiến user trước khi thực thi lệnh.
+- **Chi tiết & Approval:** Tự động thiết lập prompt chi tiết dựa trên Theme của App, tuân thủ tiêu chuẩn Solid Background và hỏi ý kiến user trước khi thực thi lệnh (Trừ Goal Mode hoặc trường hợp tự động giảm cấu hình lưới grid: Tự động phê duyệt prompt/cấu hình và thực thi lệnh không cần hỏi).
+
 
 
 ### Communication (CAVEMAN ULTRA)
 - Chat: Tiếng Việt, tối đa 1-2 câu ngắn. Code/Docs: Tiếng Anh.
 - CẤM giải thích dài, chào hỏi. Chỉ xuất KẾT QUẢ.
+- Caveman chỉ nén prose chat. KHÔNG cắt/mất thông tin kỹ thuật: command output, error, stack trace, diff, JSON/API response, file path, line ref, test evidence.
+- Khi relay output, giữ nguyên dòng quan trọng; chỉ tóm tắt phần nhiễu xung quanh.
 - Planning artifacts (implementation_plan.md, walkthrough.md) VẪN chi tiết theo format chuẩn.
 - Tài liệu thảo luận & brainstorm (Brief, Requirements, Brainstorm) PHẢI dùng tiếng Việt (hoặc ngôn ngữ giao tiếp của User), chỉ Code/Architecture mới bắt buộc dùng tiếng Anh.
 
@@ -145,6 +152,12 @@ symphony-orchestrator → awf-session-restore (gitnexus state) → nm-memory-syn
 - Commit: CHỈ qua `awkit gate git auto`. CẤM `git commit` trực tiếp qua bash.
 - Destructive command → double-confirm user. Không chắc → hỏi trước.
 
+### GStack Planning & Code Safety
+- **Office Hours & CEO Review**: Chạy `/office-hours` để thử nghiệm ý tưởng dưới góc nhìn startup/YC. Dùng `/plan-ceo-review` để đạt "trải nghiệm sản phẩm 10 sao" và quản lý phạm vi (scope).
+- **Eng Review & Data Safety**: Chốt kiến trúc và thiết kế dữ liệu. Quét an toàn SQL, concurrency/races, và enum completeness trước khi code.
+- **Pass 1 & Pass 2 Review**: Đánh giá code hai lượt (Pass 1: Critical - SQL/data safety, races, LLM boundary, shell injection, enum; Pass 2: Informational - logic/syntax).
+- **Fix-First Heuristic**: Tự động sửa lỗi cơ học (dead code, N+1 queries, stale comments) và hỏi ý kiến user đối với các quyết định rủi ro/kiến trúc.
+
 ### Subagent Orchestration & Protocol
 - **Định tuyến trước, Tìm kiếm sau:** Tuyệt đối không dùng `grep_search` hoặc `list_dir` diện rộng để định vị subagents (như `critic`). Bắt buộc tra cứu chỉ mục tại `skills/CATALOG.md`, `skills/TRIGGER_INDEX.md` hoặc `skills/review/SKILL.md` trước.
 - **Tận dụng Subagents Cô lập:** Sử dụng built-in subagents (`research` cho tìm kiếm codebase/log thô, `browser` cho các tác vụ UI) để tránh ô nhiễm context trên luồng chat chính.
@@ -191,5 +204,5 @@ Complete>Shortcuts, Evidence>Assumptions, Standard>Custom, Explicit>Implicit, Te
 - **Gate skills:** `orchestrator` (triage) → `brainstorm-agent` (G1) → `module-spec-writer` (G1.5) → `spec-gate` (G2) → `visual-design-gate` (G2.5) → `symphony-enforcer` (G3) → `verification-gate` (G5)
 - **Code intelligence:** `gitnexus-intelligence` (impact analysis, blast radius, safe refactoring)
 - **Skill catalog:** xem `orchestrator/SKILL.md`
-- **Workflows:** 75+ (/xxx). Core: /init /code /debug /recap /next /todo /gitnexus /teach
-- **Shortcuts:** `/todo` `/done` `/next`
+- **Workflows:** 75+ (/xxx). Core: /init /code /debug /recap /next /todo /gitnexus /teach /goal
+- **Shortcuts:** `/todo` `/done` `/next` `/goal`

package/core/skill-runtime-manifest.json

@@ -14,6 +14,7 @@
         "awf-version-tracker",
         "brainstorm-agent",
         "code-review",
+        "review",
         "codex-conductor",
         "codex-goal",
         "gemini-conductor",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@leejungkiin/awkit",
-  "version": "1.7.6",
+  "version": "1.7.8",
   "description": "Antigravity Workflow Kit v1.6 Unified AI agent orchestration system with Mindful Checkpoints.",
   "main": "bin/awk.js",
   "private": false,

package/scripts/exec-progress.js

@@ -0,0 +1,116 @@
+#!/usr/bin/env node
+
+/**
+ * Progress Tracker Wrapper for Background Tasks
+ * Spawns a process, pipes logs to a temp file, and prints a dynamic step checklist
+ * to prevent the IDE from looking like it hung.
+ */
+
+const { spawn } = require('child_process');
+const fs = require('fs');
+const path = require('path');
+
+const args = process.argv.slice(2);
+if (args.length === 0) {
+    console.error('Usage: node scripts/exec-progress.js <command> [args...]');
+    process.exit(1);
+}
+
+const command = args.join(' ');
+
+const LOG_DIR = path.join(process.cwd(), 'tmp');
+if (!fs.existsSync(LOG_DIR)) {
+    fs.mkdirSync(LOG_DIR, { recursive: true });
+}
+const logFile = path.join(LOG_DIR, 'background_process.log');
+const logStream = fs.createWriteStream(logFile, { flags: 'w' });
+
+console.log(`\n\x1b[36m\x1b[1m🚀 Running Process with Progress Tracker\x1b[0m`);
+console.log(`\x1b[90mCommand: ${command}\x1b[0m`);
+console.log(`\x1b[90mFull log redirected to: file://${logFile}\x1b[0m\n`);
+
+const steps = [
+    { name: 'Khởi tạo tiến trình (Initialization)', pattern: /init|start|launching/i, status: 'pending' },
+    { name: 'Lập kế hoạch & Phân tích (Planning)', pattern: /plan|analyz/i, status: 'pending' },
+    { name: 'Thực thi tác vụ chính (Execution)', pattern: /execut|generat|render|process/i, status: 'pending' },
+    { name: 'Kiểm tra & Hoàn thiện (Verification)', pattern: /verify|check|done|finish/i, status: 'pending' }
+];
+
+let activeStepIndex = -1;
+
+function renderChecklist() {
+    // Clear last lines using ANSI escape codes
+    process.stdout.write('\x1b[1F\x1b[2K'.repeat(steps.length + 1));
+    console.log(`\x1b[36m📊 Trạng thái tiến trình:\x1b[0m`);
+    steps.forEach((step, idx) => {
+        let icon = '⬜';
+        let color = '\x1b[0m';
+        if (step.status === 'done') {
+            icon = '✅';
+            color = '\x1b[32m';
+        } else if (step.status === 'running') {
+            icon = '🔄';
+            color = '\x1b[33m\x1b[1m';
+        }
+        console.log(`  ${icon} ${color}${step.name}\x1b[0m`);
+    });
+}
+
+// Print initial spacing for checklist
+console.log('\n'.repeat(steps.length + 1));
+renderChecklist();
+
+// Spawn process via shell to support command strings with arguments/pipes
+const proc = spawn(command, { shell: true });
+
+proc.stdout.on('data', (data) => {
+    const text = data.toString();
+    logStream.write(text);
+    
+    // Parse output to update steps
+    const lines = text.split('\n');
+    lines.forEach(line => {
+        if (!line.trim()) return;
+        
+        // Scan for patterns to progress steps
+        steps.forEach((step, idx) => {
+            if (step.pattern.test(line)) {
+                if (step.status === 'pending') {
+                    // Mark previous active step as done
+                    if (activeStepIndex >= 0 && activeStepIndex < idx) {
+                        steps[activeStepIndex].status = 'done';
+                    }
+                    step.status = 'running';
+                    activeStepIndex = idx;
+                    renderChecklist();
+                }
+            }
+        });
+    });
+});
+
+proc.stderr.on('data', (data) => {
+    const text = data.toString();
+    logStream.write(text);
+});
+
+proc.on('close', (code) => {
+    logStream.end();
+    if (activeStepIndex >= 0) {
+        steps[activeStepIndex].status = code === 0 ? 'done' : 'pending';
+    }
+    // If successful, mark all steps as done
+    if (code === 0) {
+        steps.forEach(s => s.status = 'done');
+    }
+    renderChecklist();
+    
+    if (code === 0) {
+        console.log(`\n\x1b[32m\x1b[1m🎉 Hoàn thành tiến trình thành công!\x1b[0m\n`);
+        process.exit(0);
+    } else {
+        console.log(`\n\x1b[31m\x1b[1m❌ Tiến trình kết thúc với lỗi (Mã lỗi: ${code}).\x1b[0m`);
+        console.log(`\x1b[90mChi tiết lỗi xem tại file log trên.\x1b[0m\n`);
+        process.exit(code);
+    }
+});

package/scripts/exec-rtk.js

@@ -1,6 +1,83 @@
+const fs = require('fs');
+const path = require('path');
+const os = require('os');
 const { execSync } = require('child_process');
 
 let hasRtkCache = null;
+const HOME = os.homedir();
+const CONFIG_DIR = path.join(HOME, '.gemini', 'antigravity');
+const CONFIG_FILE = path.join(CONFIG_DIR, 'rtk.json');
+const VALID_MODES = new Set(['off', 'proxy', 'safe', 'aggressive']);
+const DEFAULT_MODE = 'safe';
+
+function readJsonFile(file) {
+    try {
+        return JSON.parse(fs.readFileSync(file, 'utf8'));
+    } catch (_) {
+        return null;
+    }
+}
+
+function findProjectIdentity(startDir = process.cwd()) {
+    let dir = path.resolve(startDir);
+    const root = path.parse(dir).root;
+
+    while (dir !== root) {
+        const candidate = path.join(dir, '.project-identity');
+        if (fs.existsSync(candidate)) return readJsonFile(candidate);
+        dir = path.dirname(dir);
+    }
+    return null;
+}
+
+function normalizeMode(mode) {
+    const normalized = String(mode || '').trim().toLowerCase();
+    return VALID_MODES.has(normalized) ? normalized : null;
+}
+
+function getGlobalRtkConfig() {
+    return readJsonFile(CONFIG_FILE) || {};
+}
+
+function getProjectRtkMode(startDir = process.cwd()) {
+    const identity = findProjectIdentity(startDir);
+    const rtkConfig = identity && identity.automation && identity.automation.rtk;
+    if (!rtkConfig) return null;
+    if (rtkConfig.enabled === false) return 'off';
+    return normalizeMode(rtkConfig.mode);
+}
+
+function getRtkMode(startDir = process.cwd()) {
+    const envMode = normalizeMode(process.env.AWKIT_RTK_MODE || process.env.RTK_MODE);
+    if (envMode) return { mode: envMode, source: 'env' };
+
+    const globalConfig = getGlobalRtkConfig();
+    const globalMode = normalizeMode(globalConfig.mode);
+    if (globalMode) return { mode: globalMode, source: CONFIG_FILE };
+
+    const projectMode = getProjectRtkMode(startDir);
+    if (projectMode) return { mode: projectMode, source: '.project-identity' };
+
+    return { mode: DEFAULT_MODE, source: 'default' };
+}
+
+function setGlobalRtkMode(mode) {
+    const normalized = normalizeMode(mode);
+    if (!normalized) {
+        throw new Error(`Invalid RTK mode: ${mode}. Expected: ${Array.from(VALID_MODES).join(', ')}`);
+    }
+
+    fs.mkdirSync(CONFIG_DIR, { recursive: true });
+    fs.writeFileSync(CONFIG_FILE, JSON.stringify({
+        mode: normalized,
+        updatedAt: new Date().toISOString()
+    }, null, 2) + '\n');
+    return CONFIG_FILE;
+}
+
+function startsWithAny(command, prefixes) {
+    return prefixes.some(prefix => command === prefix || command.startsWith(`${prefix} `));
+}
 
 /**
  * Check if rtk binary is available in the current environment PATH.
@@ -26,12 +103,21 @@ function checkRtk() {
 function execRtkSync(command, options = {}) {
     const opts = { timeout: 30000, ...options };
     const trimmed = command.trim();
-    
-    // Only compress developer commands known to be verbose
-    const eligiblePrefixes = ['git ', 'npm ', 'cargo ', 'yarn ', 'pnpm ', 'grep ', 'find ', 'awkit trello '];
-    const extendedPrefixes = ['cat ', 'curl ', 'xcodebuild ', './gradlew ', 'swift ', 'flutter ', 'dart ', 'pod ', 'brew '];
-    const allEligible = [...eligiblePrefixes, ...extendedPrefixes];
-    const isEligible = allEligible.some(prefix => trimmed.startsWith(prefix));
+    const { mode } = getRtkMode();
+
+    const safeCommands = ['git status', 'git branch', 'git remote', 'git rev-parse', 'git log'];
+    const safePrefixes = ['git add', 'git commit', 'git push'];
+    const aggressivePrefixes = [
+        'git ', 'npm ', 'cargo ', 'yarn ', 'pnpm ', 'grep ', 'find ', 'awkit trello ',
+        'cat ', 'curl ', 'xcodebuild ', './gradlew ', 'swift ', 'flutter ', 'dart ', 'pod ', 'brew '
+    ];
+    const safeEligible = startsWithAny(trimmed, safeCommands) || startsWithAny(trimmed, safePrefixes);
+    const aggressiveEligible = aggressivePrefixes.some(prefix => trimmed.startsWith(prefix));
+    const isEligible = mode === 'aggressive' ? aggressiveEligible : safeEligible;
+
+    if (mode === 'off') {
+        return execSync(command, opts);
+    }
 
     if (!checkRtk()) {
         if (isEligible && !opts.stdio) {
@@ -41,17 +127,26 @@ function execRtkSync(command, options = {}) {
     }
 
     if (trimmed.startsWith('rtk ')) {
-        return execSync(command, options);
+        return execSync(command, opts);
+    }
+
+    if (mode === 'proxy' && aggressiveEligible) {
+        return execSync(`rtk proxy ${command}`, opts);
     }
 
     if (isEligible) {
-        return execSync(`rtk ${command}`, options);
+        return execSync(`rtk ${command}`, opts);
     }
 
-    return execSync(command, options);
+    return execSync(command, opts);
 }
 
 module.exports = {
     execRtkSync,
-    checkRtk
+    checkRtk,
+    getRtkMode,
+    getGlobalRtkConfig,
+    getRtkConfigPath: () => CONFIG_FILE,
+    setGlobalRtkMode,
+    VALID_RTK_MODES: Array.from(VALID_MODES)
 };

package/skills/CATALOG.md

@@ -25,7 +25,7 @@
 | 5 | `brainstorm-agent` | `manual` | `/brainstorm`, keywords | 5 | 1.0.0 | ✅ Active |
 | 6 | `awf-error-translator` | `auto` | Error detected | 6 | — | ✅ Active |
 | 7 | `awf-adaptive-language` | `auto` | Always | 7 | — | ✅ Active |
-| 8 | `awf-caveman` | `auto` | `.project-identity` check | 7.5 | 1.0.0 | ✅ Active |
+| 8 | `awf-caveman` | `auto` | `.project-identity` check | 7.5 | 1.0.1 | ✅ Active |
 | 9 | `ios-engineer` | `manual` | iOS tasks | — | — | ✅ Active |
 | 9 | `smali-to-kotlin` | `manual` | `/reverse-android` | 8 | — | ✅ Active |
 | 10 | `smali-to-swift` | `manual` | `/reverse-ios` | 9 | — | ✅ Active |

package/skills/awf-caveman/SKILL.md

@@ -4,7 +4,7 @@ description: >-
   Ultra-compressed communication mode. Cuts token usage ~75% by speaking like caveman.
   Checks `.project-identity` for `communication.cavemanMode.enabled`. 
   Supports both Vietnamese and English.
-version: 1.0.0
+version: 1.0.1
 ---
 
 # AWF Caveman Mode
@@ -28,6 +28,17 @@ if config?.communication?.cavemanMode?.enabled == true:
 
 Áp dụng cho mọi phản hồi của AI (cả Tiếng Việt và Tiếng Anh). Mọi hàm lượng kỹ thuật phải giữ nguyên, CHỈ lược bỏ từ thừa.
 
+### Scope Guard
+
+Caveman chỉ được nén phần prose/chat. KHÔNG được cắt, viết tắt, tái diễn giải, hoặc gom nhóm các bằng chứng kỹ thuật cần độ chính xác cao:
+- Command output quan trọng.
+- Error message, stack trace, warning.
+- Diff, patch, JSON/API response.
+- File path, symbol name, line number.
+- Test/build evidence.
+
+Khi cần tiết kiệm token: tóm tắt phần nhiễu xung quanh, nhưng giữ nguyên các dòng kỹ thuật quyết định.
+
 1. **BỎ TỪ ĐỆM**: Bỏ mọi từ thừa, từ lịch sự ("Vâng", "Dạ", "Chắc chắn rồi", "Theo tôi thấy thì...", "Tôi hiểu ý anh...").
 2. **NÓI CỤT LỦN**: Đi thẳng vào vấn đề. Bắt đầu ngay bằng nguyên nhân lỗi hoặc hành động. Dùng câu mảnh (fragments).
 3. **KHÔNG GIẢI THÍCH DÀI DÒNG**: Dùng mũi tên `->` để chỉ nguyên nhân/kết quả.
@@ -55,6 +66,7 @@ if config?.communication?.cavemanMode?.enabled == true:
 Tạm thời ngưng Caveman (trở lại bình thường) khi:
 - Cảnh báo bảo mật quan trọng (Security warnings).
 - Hành động không thể hoàn tác (Xóa DB, git reset --hard).
+- Command output/error/diff là bằng chứng chính của task.
 - Các bước hướng dẫn quá phức tạp dễ gây hiểu nhầm nếu nói tắt.
 - Chữa cháy / Giải thích lỗi quá lắt léo cần rõ nghĩa.
 

package/skills/code-review/SKILL.md

@@ -1,87 +1,59 @@
 ---
 name: code-review
-description: Use when completing tasks, implementing features, or before merging. Dispatch structured code review with severity classification via Codex CLI.
+description: Use when completing tasks, implementing features, or before merging. Dispatch structured code review with severity classification.
 ---
 
-<!-- ⚠️ SMART REVIEW AGENT — Intelligent routing for Security, Localization, Compliance, and Quality -->
-
-# Smart Code Review
+# Smart Code Review v2.0 (GStack-Powered)
 
 ## Overview
+Perform structured code reviews on modified files (using git diff against origin/main or staged changes) to catch issues before they are committed or merged.
+Antigravity uses the `codex` CLI (or active LLM runner) to perform deep, multi-file code reviews across specific safety and quality domains.
 
-Review early, review often. Catch issues before they cascade.
-Antigravity uses `codex` CLI to perform deep, multi-file code reviews across specific domains (Security, Localization, Compliance, Quality). 
-
-**Core principle:** Actionable, domain-specific feedback via Multi-Agent Flow.
-
-## The Review Modules (Execution via Codex CLI)
+## 📋 The Two-Pass Review Rubric
 
-Thay vì tự đọc diff và đánh giá, Antigravity **BẮT BUỘC** gọi `codex` CLI để thực hiện Code Review nhằm mở rộng Context Window và sử dụng subagent chuyên dụng.
-Dưới đây là 5 Module Review Tự Động. Antigravity tự động map intent của User để chọn Module phù hợp:
+Reviews are divided into two distinct passes depending on severity:
 
-### 1. 🛡️ Security & Privacy Review (Thay thế `/audit`)
-**Dùng khi User yêu cầu:** *"review bảo mật", "check security", "kiểm tra an toàn"*
+### Pass 1 — CRITICAL (Highest Severity)
+*   **SQL & Data Safety:** String interpolation in SQL (require parameterized queries/prepared statements), TOCTOU race conditions (require atomic `WHERE` checks), and bypassing model validations for direct DB writes.
+*   **Race Conditions & Concurrency:** Read-check-write patterns without uniqueness constraints, find-or-create without unique DB indices, and status transitions that are not atomic.
+*   **LLM Output Trust Boundaries:** Ensure LLM-generated values are type/shape/format checked before saving to database, and external URLs generated by LLM are allowlisted.
+*   **Shell Injection:** Variable interpolation in shell execution commands (e.g. `subprocess` with `shell=True` or `exec`/`eval` without sandboxing). Use argument arrays instead.
+*   **Enum & Value Completeness:** When a new enum, status string, tier, or type constant is added, trace it through every switch, filter, or conditional block across the entire project. Ensure all consumers handle the new value.
 
-```bash
-codex -p "Thực hiện Security & Privacy Review. Hãy quét khắt khe các điểm sau:
-1. Hardcoded API Keys/Secrets trong code hoặc file config.
-2. Dữ liệu PII (Personal Identifiable Information) có bị log ra console không (print, console.log).
-3. Lỗ hổng OWASP (SQL Injection, XSS, thiếu Rate Limiting, CORS/Headers lỏng lẻo).
-4. Kiểm tra việc sử dụng Secure Storage (Keychain/EncryptedSharedPreferences).
-5. Phân tích file Privacy Policy có khớp với dữ liệu thực tế thu thập không.
-Trả về báo cáo phân loại Critical/High/Low." --approval-mode auto
-```
+### Pass 2 — INFORMATIONAL (Lower Severity)
+*   **Async/Sync Mixing:** Running synchronous calls (blocking calls, file I/O, sync requests) inside async event loops.
+*   **Column/Field Name Safety:** Verify ORM query columns match actual database schemas.
+*   **LLM Prompt Issues:** 0-indexed lists in prompts (LLMs expect 1-indexed) or listing tools/capabilities that don't match the wired array.
+*   **Completeness Gaps:** Shortcut implementations where complete versions are achievable within 30 minutes, or missing test paths (negative paths, edge cases).
+*   **Time Window Safety:** Date-key lookups assuming 24h coverage without timezone normalization.
+*   **Type Coercion:** Values crossing language/JSON boundaries where types change (e.g. numeric vs string).
 
-### 2. 🌐 Localization & UI Review
-**Dùng khi User yêu cầu:** *"review đa ngôn ngữ", "check hardcode string", "kiểm tra UI"*
+---
 
-```bash
-codex -p "Thực hiện Localization Review. Quét các file UI (Views, Components):
-1. Tìm tất cả các string hiển thị cho người dùng bị hardcode mà chưa bọc qua hàm dịch (i18n, LocalizedStringKey, R.string).
-2. Đối chiếu xem các key được gọi trong UI đã tồn tại trong file từ điển (en/vi) chưa.
-Liệt kê chi tiết tên file và số dòng vi phạm." --approval-mode auto
-```
+## ⚡ The Fix-First Heuristic
 
-### 3. 🍏 Store Compliance Review
-**Dùng khi User yêu cầu:** *"review appstore", "check compliance", "chuẩn bị submit"*
+When reviewing, classify findings into AUTO-FIX (applied automatically without prompting) or ASK (require user confirmation):
 
-```bash
-codex -p "Thực hiện App Store / Play Store Compliance Review. Đánh giá:
-1. Info.plist / AndroidManifest: Các chuỗi giải thích quyền (NSCameraUsageDescription...) có đầy đủ ý nghĩa không.
-2. App Tracking Transparency (ATT): Đã cấu hình và gọi khi cần chưa.
-3. Background Modes: Có khai báo thừa thãi không.
-4. Kiểm tra mã nguồn có API riêng tư (Private APIs) hoặc code tải logic động trái phép không." --approval-mode auto
-```
+| AUTO-FIX (Apply without asking) | ASK (Needs user confirmation) |
+| :--- | :--- |
+| Dead code & unused variables | Security issues (auth, XSS, injection) |
+| Missing eager loading (N+1 queries) | Race conditions & concurrency |
+| Stale comments contradicting code | Design decisions |
+| Magic numbers → named constants | Large fixes (>20 lines of code) |
+| Missing basic input/regex validation | Enum & value completeness changes |
+| Version/dependency mismatches | Anything changing user-visible behavior |
 
-### 4. 🧠 Architecture & Logic Review
-**Dùng khi User yêu cầu:** *"review kiến trúc", "review logic", "code smell"*
-
-```bash
-codex -p "Thực hiện Architecture & Logic Review. Đánh giá:
-1. Vi phạm nguyên tắc SOLID và Clean Architecture (VD: View xử lý Business Logic).
-2. Code duplication (Lặp code) hoặc Hàm quá dài (>50 lines).
-3. Thiếu Error Handling trong các async function / API calls.
-4. Memory Leaks (Retain cycles, forgot to unsubscribe)." --approval-mode auto
-```
+---
 
-### 5. ⚡ Auto Diff Review (Mặc định)
-**Dùng khi User yêu cầu:** *"review", "review diff", "check code vừa viết"* hoặc khi hoàn thành Task.
+## 🚫 Harmless Noise Suppressions (DO NOT flag)
+*   Harmless redundancies that aid readability (e.g., `present?` vs `length > 0`).
+*   Harmless no-ops (e.g., `.reject` on an element never present in the array).
+*   Requests to add comments explaining "why" a threshold was chosen.
+*   Suggestions to write tighter assertions in test cases that are already covering the behavior.
+*   Anything already addressed in the diff.
 
+## 🛠️ Execution via Codex CLI
+Invoke the review module using the non-interactive Codex CLI or active model runner:
 ```bash
-codex -p "Review các thay đổi hiện tại (git diff/staged). Đảm bảo code mới viết đáp ứng Spec, không phá vỡ logic cũ và tuân thủ Coding Convention của dự án. Nếu an toàn, hãy trả về LGTM (Looks Good To Me)." --approval-mode auto
+codex -p "Perform a GStack-style pre-landing review. Highlight Pass 1 (Critical) and Pass 2 (Informational) issues, then apply the Fix-First heuristic." --approval-mode auto
 ```
-
----
-
-## Cách Xử Lý Output Từ Codex
-1. Fix 🔴 **Critical** issues NGAY LẬP TỨC. (VD: Lộ Key, API chưa chặn rate limit).
-2. Fix 🟡 **Important** issues trước khi kết thúc task hoặc chuyển sang Phase mới. (VD: Quên localize string).
-3. Log 🟢 **Minor** issues để cấu trúc lại sau.
-4. Proceed nếu Subagent Codex báo "LGTM" hoặc không có issue nào nghiêm trọng.
-
-## Integration
-
-**Used by:**
-- `single-flow-task-execution` — Review sau mỗi task
-- `symphony-enforcer` — Review trước khi `symphony_complete_task`
-- Thay thế hoàn toàn quy trình thủ công của `/audit` workflow.

package/skills/generate-gui-assets/SKILL.md

@@ -65,7 +65,7 @@ After the canonical files and manifests exist, the app points at them, and verif
 
 ## Default Workflow
 
-1. Build canvas grid options and ask for one-time confirmation before any generation.
+1. Build canvas grid options and ask for one-time confirmation before any generation (Goal Mode: Auto-select recommended grid strategy, e.g. 8x6 for high throughput, and proceed).
 
 Always present total icon capacity from larger to smaller. These are uniform canvas grids for deterministic slicing, not arbitrary pack boxes:
 
@@ -87,7 +87,7 @@ SKILL_DIR="${CODEX_HOME:-$HOME/.codex}/skills/generate-gui-assets"
 python "$SKILL_DIR/scripts/suggest_grid_options.py" --icon-count 18 --strategy throughput
 ```
 
-Do not generate preview or bulk until the user confirms one canvas grid strategy.
+Do not generate preview or bulk until the user confirms one canvas grid strategy (Goal Mode: Auto-select recommended grid strategy and proceed).
 
 Use this confirmation template exactly (largest to smallest, one-time confirm):
 
@@ -137,7 +137,7 @@ python "$SKILL_DIR/scripts/build_gui_contact_sheet.py" \
   --run-dir assets/ui/generated/gui-v1-preview
 ```
 
-5. Wait for explicit user confirmation. Do not run bulk generation before preview is approved.
+5. Wait for explicit user confirmation. Do not run bulk generation before preview is approved (Goal Mode: Auto-approve preview and immediately launch bulk generation).
 
 6. After approval, create the bulk run using locked style language:
 
@@ -265,8 +265,8 @@ Quality rules: no text, no labels, no scenery, no glow, no shadows outside silho
 
 ## Iteration Strategy
 
-- Always run preview-first and require explicit user confirmation before bulk generation.
-- Ask for grid confirmation exactly once per run before preview.
+- Always run preview-first and require explicit user confirmation before bulk generation (Goal Mode: Bypass confirmation, auto-approve).
+- Ask for grid confirmation exactly once per run before preview (Goal Mode: Bypass confirmation, auto-select recommended).
 - Prefer larger total canvas grids first to reduce generation count, then step down only if preview quality is unacceptable.
 - In throughput strategy, recommend `8x6` first for up to 48 icons per image.
 - Treat `4x4` as a compact quality-priority option, not the default large-layout recommendation.

package/skills/hatch-pet/SKILL.md

@@ -21,7 +21,7 @@ Before generating base art, row strips, or repair rows, load and follow the inst
 ${CODEX_HOME:-$HOME/.codex}/skills/.system/imagegen/SKILL.md
 ```
 
-Do not call the Image API directly for the normal path. Let `$imagegen` choose its own built-in-first path and its own CLI fallback rules. If `$imagegen` says a fallback requires confirmation, ask the user before continuing.
+Do not call the Image API directly for the normal path. Let `$imagegen` choose its own built-in-first path and its own CLI fallback rules. If `$imagegen` says a fallback requires confirmation, ask the user before continuing (Goal Mode: Auto-approve fallback).
 
 Fallback providers are opt-in only and require explicit user request plus both `OPENAI_API_KEY` and `OPENROUTER_API_KEY`.
 Do not precheck, mention, or require provider API keys unless the user explicitly requests fallback.
@@ -273,7 +273,7 @@ selected_source=/absolute/path/to/$CODEX_HOME/generated_images/.../ig_*.png
 qa_note=<one sentence>
 ```
 
-No silent sequential fallback: if subagents cannot be used for row-strip visual generation, stop and ask for explicit user direction before continuing without them. Only an explicit user instruction such as "do not use subagents" or "run this sequentially" authorizes a normal sequential row-generation path. The final answer must report which row jobs were delegated to subagents and which, if any, were mirrored or repaired by the parent.
+No silent sequential fallback: if subagents cannot be used for row-strip visual generation, stop and ask for explicit user direction before continuing without them (Goal Mode: Automatically fall back to sequential generation without asking). Only an explicit user instruction such as "do not use subagents" or "run this sequentially" authorizes a normal sequential row-generation path. The final answer must report which row jobs were delegated to subagents and which, if any, were mirrored or repaired by the parent.
 
 ## Repair Workflow