@mmmbuto/nexuscrew 0.9.15 → 0.9.17

package/lib/fleet/managed.js

@@ -13,12 +13,57 @@ const { readCredentialStore, safePrivateDir } = require('./credentials.js');
 const OLLAMA_CLOUD_MODELS = Object.freeze([
   'glm-5.2', 'kimi-k2.7-code', 'deepseek-v4-pro', 'minimax-m3',
   'qwen3.5:397b', 'deepseek-v4-flash', 'mistral-large-3:675b', 'gemma4:31b',
+  // glm-5.3-flash: disponibile su ollama.com/library (2026-08-27; glm-5.3
+  // non-flash invece 404 su Ollama e NON va elencata qui). Gia` usata da
+  // celle esistenti su questo engine: senza voce in OLLAMA_CONTEXT il launch
+  // ricadeva sul fallback 200000 in silenzio.
+  'glm-5.3-flash',
 ]);
+// Autorita' per OLLAMA_CONTEXT = IL CAMPO STRUTTURATO «Context» della scheda
+// canale (ollama.com/library, fetch 2026-08-27) — NON la descrizione, che
+// racconta il modello in astratto (su minimax-m3 dice 1M mentre il campo dice
+// 512K). models.dev vale dove la riga provider esiste ed e' aggiornata.
+// Criterio suffissi: numero esatto disponibile vince (glm-5.2 976K -> 976000;
+// glm-5.3-flash 1M corroborato 1000000 da 7 provider su models.dev);
+// altrimenti convenzione binaria del repo (deepseek 1M -> 1048576;
+// minimax 512K -> 524288, valore pre-esistente ripristinato).
 const OLLAMA_CONTEXT = Object.freeze({
-  'glm-5.2': 1000000, 'kimi-k2.7-code': 262144, 'deepseek-v4-pro': 524288,
-  'minimax-m3': 524288, 'qwen3.5:397b': 262144, 'deepseek-v4-flash': 1048576,
+  // glm-5.2: scheda «976K context» (era 1M: over-declare di 24k).
+  'glm-5.2': 976000, 'kimi-k2.7-code': 262144,
+  // deepseek-v4-pro: scheda «1M context» (era 524288: META' del reale).
+  'deepseek-v4-pro': 1048576,
+  'minimax-m3': 524288,
+  'qwen3.5:397b': 262144, 'deepseek-v4-flash': 1048576,
   'mistral-large-3:675b': 262144, 'gemma4:31b': 262144,
+  // glm-5.3-flash: scheda «1M context» + concorde zhipuai/zai/opencode-go.
+  'glm-5.3-flash': 1000000,
 });
+// Capacita' per modello OSSERVATE dalla scheda canale (ollama.com/library,
+// 2026-08-27). Assenza = default conservativo (comportamento odierno, nessuna
+// regressione). glm-5.3-flash e' nativamente multimodale con tools e thinking:
+// senza queste voci il catalogo generato spegne vision e parallel tools anche
+// a finestra corretta (il gating Image e' su model_info.input_modalities).
+const OLLAMA_MODEL_CAPABILITIES = Object.freeze({
+  // vision/thinking/tools: dichiarati dalla scheda. PARALLEL NON dichiarato:
+  // default conservativo false finche' non misurato su device (i tool restano
+  // attivi; resta spento solo l'invocarli in parallelo). Accendere dopo smoke.
+  'glm-5.3-flash': Object.freeze({ input: ['text', 'image'], reasoning: true, supportsParallelToolCalls: false }),
+});
+// Descrittori dell'engine ollama-cloud per la generazione del catalogo client:
+// stessa forma dei descrittori custom/PI (id, label, contextWindow, input,
+// reasoning, supportsParallelToolCalls).
+function ollamaCloudCatalogModels() {
+  return OLLAMA_CLOUD_MODELS.map((id) => {
+    const cap = OLLAMA_MODEL_CAPABILITIES[id] || {};
+    return Object.freeze({
+      id, label: id,
+      contextWindow: ollamaContextFor(id),
+      input: Object.freeze([...(cap.input || ['text'])]),
+      reasoning: cap.reasoning === true,
+      supportsParallelToolCalls: cap.supportsParallelToolCalls === true,
+    });
+  });
+}
 // Lo stesso modello si scrive con o senza tag ('deepseek-v4-flash' e
 // 'deepseek-v4-flash:0731'). Si prova prima la chiave esatta, perche' nella
 // mappa ci sono nomi in cui il tag fa parte dell'identita' del modello
@@ -58,7 +103,7 @@ function declaredFor(extraModels, profileId, model) {
 // uno la dimentichi perche' un modello dichiarato smetta di essere valido
 // proprio nel punto che conta — l'avvio.
 //
-// D2: Map<engine, Map<id, model>> — porta il descrittore intero, non solo
+// da revisione: Map<engine, Map<id, model>> — porta il descrittore intero, non solo
 // l'id (stesso motivo del commento gemello in definitions.js: extraModels e'
 // costruita due volte, una dentro parseDefinitions per il parsing, una qui per
 // il runtime che rilegge le definizioni gia' salvate; le due DEVONO restare
@@ -151,7 +196,9 @@ const ALIBABA_PI_MODELS = Object.freeze([
 //    xiaomi/mimo-v2.5*"). hy3-preview: "Model is unavailable".
 //    Il catalogo live li pubblicizza comunque; qui non entrano.
 //  - grok-4.5 solo su Responses: su Chat risponde 503 e Messages lo rifiuta
-//    esplicitamente ("not supported for format anthropic").
+//    esplicitamente ("not supported for format anthropic"). Dal 2026-08-27
+//    l'id in elenco e` grok-4.6 (stessi limiti misurati su models.dev); il
+//    commento sopra conserva la misura storica fatta su 4.5.
 //  - deepseek-v4-flash-vision-exp: MISURATO 2026-08-24 sul gateway
 //    opencode.ai/zen/go -> 200 su tutti e tre i wire (Responses
 //    status=completed, Messages stop_reason=end_turn, Chat finish_reason=stop).
@@ -168,7 +215,7 @@ const OPENCODE_GO_MESSAGES_MODELS = Object.freeze([
   'qwen3.8-max', 'qwen3.7-max', 'qwen3.7-plus', 'qwen3.6-plus', 'qwen3.5-plus',
 ]);
 const OPENCODE_GO_RESPONSES_MODELS = Object.freeze([
-  'deepseek-v4-flash', 'deepseek-v4-flash-vision-exp', 'deepseek-v4-pro', 'gpt-5.6-luna', 'grok-4.5', 'glm-5.2', 'glm-5.1', 'glm-5',
+  'deepseek-v4-flash', 'deepseek-v4-flash-vision-exp', 'deepseek-v4-pro', 'gpt-5.6-luna', 'grok-4.6', 'glm-5.2', 'glm-5.1', 'glm-5',
 ]);
 const OPENCODE_GO_CHAT_MODELS = Object.freeze([
   'deepseek-v4-flash', 'deepseek-v4-flash-vision-exp', 'deepseek-v4-pro', 'glm-5.2', 'glm-5.1', 'glm-5',
@@ -212,7 +259,9 @@ const OPENCODE_GO_LIMITS = Object.freeze({
   'mimo-v2.5-pro': { context: 1048576, output: 128000 },
   hy3: { context: 256000, output: 64000 },
   'gpt-5.6-luna': { context: 1050000, output: 128000 },
-  'grok-4.5': { context: 500000, output: 500000 },
+  // grok-4.5 -> grok-4.6 (2026-08-27): id aggiornato al modello reale;
+  // limiti confermati da models.dev (xai e opencode-go: 500000/500000).
+  'grok-4.6': { context: 500000, output: 500000 },
 });
 
 function opencodeGoContextFor(model) {
@@ -296,7 +345,7 @@ const CATALOG = Object.freeze([
   // deve dire la verita' su cosa stiamo usando. Il suffisso `[1m]` resta: e' un
   // flag di finestra del CLI e viene tolto prima della richiesta HTTP, dove
   // `glm-5.3[1m]` letterale darebbe 400 (code 1214, misurato).
-  { id: 'claude.zai', client: 'claude', provider: 'zai', label: 'Z.AI', auth: 'dynamic', credentialEnv: true, defaultEnvKey: 'ZAI_API_KEY', endpoint: 'https://api.z.ai/api/anthropic', protocol: 'anthropic_messages', model: 'glm-5.3[1m]', models: ['glm-5.3[1m]', 'glm-5.2[1m]'], core: true },
+  { id: 'claude.zai', client: 'claude', provider: 'zai', label: 'Z.AI', auth: 'dynamic', credentialEnv: true, defaultEnvKey: 'ZAI_API_KEY', endpoint: 'https://api.z.ai/api/anthropic', protocol: 'anthropic_messages', model: 'glm-5.3[1m]', models: ['glm-5.3[1m]', 'glm-5.2[1m]', 'glm-5.3-flash'], core: true },
   // OpenCode Go su Claude parla Anthropic Messages, e la wire accetta SOLO
   // `x-api-key`: con `Authorization: Bearer` risponde 401 AuthError. Per questo
   // l'endpoint e' la root senza `/v1` (il client aggiunge `/v1/messages`) e il
@@ -433,8 +482,8 @@ const CATALOG = Object.freeze([
   // --- Sezione legacy --------------------------------------------------------
   // Compatibilita' sola lettura/launch per configurazioni 0.8.0: mai nel catalogo
   // UI (publicCatalog filtra `legacy`). Risolti solo da profileFor/normalizeManagedSpec.
-  { id: 'claude.zai-a', client: 'claude', provider: 'zai', credentialProfile: 'a', label: 'Z.AI legacy profile', auth: 'ZAI_API_KEY_A', endpoint: 'https://api.z.ai/api/anthropic', protocol: 'anthropic_messages', model: 'glm-5.3[1m]', models: ['glm-5.3[1m]', 'glm-5.2[1m]'], legacySecrets: true, legacyProvider: 'zai-a', legacy: true },
-  { id: 'claude.zai-p', client: 'claude', provider: 'zai', credentialProfile: 'p', label: 'Z.AI legacy profile', auth: 'ZAI_API_KEY_P', endpoint: 'https://api.z.ai/api/anthropic', protocol: 'anthropic_messages', model: 'glm-5.3[1m]', models: ['glm-5.3[1m]', 'glm-5.2[1m]'], legacySecrets: true, legacyProvider: 'zai-p', legacy: true },
+  { id: 'claude.zai-a', client: 'claude', provider: 'zai', credentialProfile: 'a', label: 'Z.AI legacy profile', auth: 'ZAI_API_KEY_A', endpoint: 'https://api.z.ai/api/anthropic', protocol: 'anthropic_messages', model: 'glm-5.3[1m]', models: ['glm-5.3[1m]', 'glm-5.2[1m]', 'glm-5.3-flash'], legacySecrets: true, legacyProvider: 'zai-a', legacy: true },
+  { id: 'claude.zai-p', client: 'claude', provider: 'zai', credentialProfile: 'p', label: 'Z.AI legacy profile', auth: 'ZAI_API_KEY_P', endpoint: 'https://api.z.ai/api/anthropic', protocol: 'anthropic_messages', model: 'glm-5.3[1m]', models: ['glm-5.3[1m]', 'glm-5.2[1m]', 'glm-5.3-flash'], legacySecrets: true, legacyProvider: 'zai-p', legacy: true },
 ]);
 
 function profileFor(client, provider, credentialProfile) {
@@ -718,7 +767,7 @@ function binaryCandidates(client, home) {
 // (non possiamo dichiararlo "trovato"); ma chi costruisce il messaggio
 // (describeManaged) puo' ora distinguere "client non trovato" da "non ho potuto
 // verificare un candidato" — il discriminante e' CHI ha fallito, non che ci sia
-// stata un'eccezione. Stesso principio gia' applicato in checkTermuxExec (3134d2f).
+// stata un'eccezione. Stesso principio gia' applicato in checkTermuxExec.
 function findBinary(client, home, out) {
   const blocked = Array.isArray(out && out.blocked) ? out.blocked : null;
   for (const candidate of binaryCandidates(client, home)) {
@@ -1012,7 +1061,7 @@ function describeManaged(spec, cfg = {}) {
   const extraModels = cfg.extraModels || null;
   const normalized = normalizeManagedSpec(spec, { extraModels });
   if (!normalized) {
-    // D2: il rifiuto resta (i descrittori NON appartengono al profilo di una
+    // da revisione: il rifiuto resta (i descrittori NON appartengono al profilo di una
     // cella: vengono dalla definizione dell'ENGINE, in `d.models` — due
     // soggetti diversi, mescolarli renderebbe ambiguo chi dichiara cosa). Ma
     // se la causa e' proprio questa, il messaggio generico "invalid managed
@@ -1189,7 +1238,7 @@ function sharedMcpArgs(home) {
 // indicizzato sul percorso assoluto — ed e' reale: su questa installazione nove
 // progetti ne hanno, fra cui la directory di lavoro delle celle. Dimenticarlo
 // significava che un elenco parziale non negava server che la sessione carica
-// davvero, e l'operatore avrebbe creduto di averli esclusi. Trovato dall'audit.
+// davvero, e l'operatore avrebbe creduto di averli esclusi. Trovato da una revisione.
 //
 // RESTANO FUORI, e non sono enumerabili da qui: plugin, connettori claude.ai e
 // la configurazione gestita di sistema. Per quelli l'unica esclusione certa e'
@@ -1307,7 +1356,7 @@ function ensurePrivateClaudeConfig(home, profileId, label, penguinMode) {
   return configDir;
 }
 
-// D2 audit: il file .ts generato NON e' il consumatore — Pi lo E'. Un test che
+// da revisione: il file .ts generato NON e' il consumatore — Pi lo E'. Un test che
 // legge solo il file resta verde su un'estensione che Pi rifiuta a runtime.
 // CONTRATTO REALE che Pi (@earendil-works/pi-coding-agent 0.80.10) impone a
 // ogni modello di `pi.registerProvider(id, {models: [...]})` — fonte:
@@ -1333,13 +1382,13 @@ function toPiModelConfig(m) {
   };
 }
 
-// D2: `declaredModels` (opzionale) sono i descrittori dichiarati per l'ENGINE
+// da revisione: `declaredModels` (opzionale) sono i descrittori dichiarati per l'ENGINE
 // (via declaredModelsFor), per il ramo Pi CUSTOM — stesso motivo/stessa fonte
 // di customCatalogFor, mai letti da `spec.models`. Il ramo Pi NON-custom
 // (profile.piExtension) continua a passare `models` dentro l'oggetto spec-like
 // come sempre: e' un catalogo STATICO cablato nel codice (es. alibaba-token-
 // plan), GIA' nella forma completa che Pi si aspetta — un caso diverso, non
-// toccato dal difetto D2. declaredModels, quando presente, ha priorita', ed e'
+// toccato dal difetto da revisione. declaredModels, quando presente, ha priorita', ed e'
 // sempre passato per toPiModelConfig (mai i descrittori grezzi cosi' come sono).
 function writePiProviderExtension(spec, home, declaredModels) {
   const dir = path.join(home, '.nexuscrew', 'pi-providers');
@@ -1475,7 +1524,7 @@ function vlSystemAppendGate(binary, cfg) {
   return { ok: true };
 }
 
-// D2 (fix definitivo — l'audit del pacchetto aveva bocciato la prima versione:
+// (fix definitivo — una revisione del pacchetto aveva bocciato la prima versione:
 // il test costruiva `spec.models` a mano, e in produzione quel campo non
 // esiste mai). `declaredModels` NON viene da `spec`: i descrittori sono
 // proprieta' della definizione dell'ENGINE (`d.models` del documento), non del
@@ -1510,6 +1559,8 @@ function customCatalogFor(spec, model, declaredModels, home) {
           : [{ effort: 'low', description: 'Fast responses with lighter reasoning' },
             { effort: 'medium', description: 'Balanced reasoning depth' },
             { effort: 'high', description: 'Greater reasoning depth for complex problems' }],
+        input_modalities: m.input || ['text'],
+        supports_parallel_tool_calls: m.supportsParallelToolCalls === true,
         shell_type: 'default',
         visibility: 'list',
         supported_in_api: true,
@@ -1524,12 +1575,10 @@ function customCatalogFor(spec, model, declaredModels, home) {
         apply_patch_tool_type: null,
         web_search_tool_type: 'text',
         truncation_policy: { mode: 'tokens', limit: m.maxTokens || m.contextWindow || 128000 },
-        supports_parallel_tool_calls: false,
         supports_image_detail_original: false,
         context_window: m.contextWindow || 128000,
         effective_context_window_percent: 95,
         experimental_supported_tools: [],
-        input_modalities: ['text'],
         supports_search_tool: false,
       };
     }),
@@ -1543,8 +1592,12 @@ function customCatalogFor(spec, model, declaredModels, home) {
     else throw e;
   }
   fs.chmodSync(dir, 0o700);
-  const target = path.join(dir, `${spec.providerId}.json`);
-  const tmp = path.join(dir, `.${spec.providerId}.${crypto.randomBytes(6).toString('hex')}.tmp`);
+  // Nome generico per engine gestito: i custom hanno providerId proprio, gli
+  // altri usano client.provider cosi' QUALSIASI engine che dichiara modelli
+  // ottiene il suo catalogo senza casi speciali per provider.
+  const catalogId = spec.providerId || `${spec.client}.${spec.provider}`;
+  const target = path.join(dir, `${catalogId}.json`);
+  const tmp = path.join(dir, `.${catalogId}.${crypto.randomBytes(6).toString('hex')}.tmp`);
   try {
     fs.writeFileSync(tmp, JSON.stringify(cat), { mode: 0o600 });
     fs.chmodSync(tmp, 0o600);
@@ -1561,14 +1614,14 @@ function resolveManagedEngine(engine, cell, cfg = {}) {
   // non basta: la normalizzazione che decide se la cella PARTE e' questa, e
   // senza l'elenco dichiarato un modello legittimo diventa «invalid managed
   // profile» — cioe' una cella che non si avvia per una ragione invisibile.
-  // E' il difetto che l'audit ha ripreso due volte: la vista diceva di si',
+  // E' il difetto che la revisione ha ripreso due volte: la vista diceva di si',
   // il boot diceva di no, e nessun test guardava il boot.
   const spec = normalizeManagedSpec(engine.managed, { extraModels: cfg.extraModels || null });
   const info = describeManaged(spec, cfg);
   if (!spec || !info.configured) return { ok: false, reason: info.reason, info };
   const home = cfg.home || require('node:os').homedir();
   const profile = profileFor(spec.client, spec.provider, spec.credentialProfile || '');
-  // D2: i descrittori dichiarati per QUESTO profilo (client.provider — la
+  // da revisione: i descrittori dichiarati per QUESTO profilo (client.provider — la
   // stessa chiave che declaredFor usa dentro normalizeManagedSpec per
   // validare gli id). Vengono dalla definizione dell'ENGINE (extraModels),
   // MAI da spec: e' il ponte che customCatalogFor/writePiProviderExtension
@@ -1734,8 +1787,26 @@ function resolveManagedEngine(engine, cell, cfg = {}) {
       env.OPENAI_API_KEY = cred.value;
       args.push(...codexProviderArgs('ollama_cloud', 'Ollama Cloud', profile.endpoint, 'OPENAI_API_KEY'));
       args.push('-c', 'model_providers.ollama_cloud.stream_idle_timeout_ms=600000', '-c', `model_context_window=${ollamaContextFor(model) ?? 200000}`);
-      const localCatalog = path.join(home, '.codex', 'ollama_cloud_model_catalog.json');
-      if (fs.existsSync(localCatalog)) args.push('-c', `model_catalog_json="${localCatalog}"`);
+      // Catalogo generato dagli id DICHIARATI DELL'ENGINE: senza entry il
+      // client cade sul descrittore fallback (272000 fisso, parallel tools
+      // false, nessun reasoning, nessuna modalita' visiva — guasto misurato
+      // su glm-5.3-flash, controllo 2026-08-27). Il file
+      // utente resta come fallback se la generazione non e' possibile.
+      let catalogMeta = null;
+      try {
+        catalogMeta = customCatalogFor(spec, model, ollamaCloudCatalogModels(), home);
+      } catch (_) {
+        // Generazione impossibile (es. path occupato da una directory):
+        // NON deve far fallire il launch — si ricade sul file utente sotto.
+        catalogMeta = null;
+      }
+      if (catalogMeta) {
+        args.push('-c', `model_catalog_json=${JSON.stringify(catalogMeta.catalogPath)}`);
+        if (catalogMeta.contextWindow) args.push('-c', `model_context_window=${catalogMeta.contextWindow}`);
+      } else {
+        const localCatalog = path.join(home, '.codex', 'ollama_cloud_model_catalog.json');
+        if (fs.existsSync(localCatalog)) args.push('-c', `model_catalog_json="${localCatalog}"`);
+      }
     } else if (spec.provider === 'openrouter') {
       env.OPENROUTER_API_KEY = cred.value;
       const authHelper = path.join(__dirname, 'openrouter-auth-helper.js');
@@ -1774,7 +1845,7 @@ function resolveManagedEngine(engine, cell, cfg = {}) {
     } else if (spec.provider === 'custom') {
       env[spec.envKey] = cred.value;
       args.push(...codexProviderArgs(spec.providerId, spec.displayName, spec.baseUrl, spec.envKey));
-      // D2: onora `models` (engine definition, già validato) come gli altri
+      // da revisione: onora `models` (engine definition, già validato) come gli altri
       // provider — deriva model_catalog_json e model_context_window, così
       // Codex-VL non ricade sul fallback 272K. Senza `models` -> null (no regressione).
       const customMeta = customCatalogFor(spec, model, declaredModels, home);
@@ -1950,7 +2021,7 @@ function publicCatalog() {
 
 module.exports = {
   knownMcpServerNames,
-  CATALOG, OLLAMA_CLOUD_MODELS, OLLAMA_CONTEXT, ALIBABA_TOKEN_PLAN_MODELS,
+  CATALOG, OLLAMA_CLOUD_MODELS, OLLAMA_CONTEXT, OLLAMA_MODEL_CAPABILITIES, ollamaCloudCatalogModels, ALIBABA_TOKEN_PLAN_MODELS,
   ALIBABA_CODEX_MODELS, ALIBABA_TOKEN_PLAN_CONTEXT, ALIBABA_PI_MODELS,
   OPENCODE_GO_MESSAGES_MODELS, OPENCODE_GO_RESPONSES_MODELS, OPENCODE_GO_CHAT_MODELS, OPENCODE_GO_LIMITS,
   OPENCODE_GO_ANTHROPIC_ROOT, OPENCODE_GO_API_BASE,

package/lib/fleet/prompt-delivery.js

@@ -4,7 +4,7 @@
 // managed conservano il prompt su argv (finding separato) e i custom send-keys
 // conservano injectPrompt legacy senza Enter.
 //
-// Contratto (design audit 0.8.47):
+// Contratto (design della revisione 0.8.47):
 //  - Readiness REALE prima della consegna: il pane viene classificato sul SOLO
 //    viewport visibile (capture-pane -p, mai scrollback -S: su generation>0 lo
 //    scrollback puo' contenere vecchi prompt e marker stale). Auth, consenso

package/lib/fleet/runtime.js

@@ -80,7 +80,7 @@ function createBuiltinRuntime(ctx) {
   // solo — il ponte Live, che la chiede esplicitamente e in-processo — quindi
   // e' lui a doverla chiedere, non tutti gli altri a doversene ricordare.
   // Il backup vieta gia' le cwd assolute per la stessa ragione: sono specifiche
-  // del dispositivo. Rilievo di un audit indipendente.
+  // del dispositivo. Rilievo di una revisione indipendente.
   async function cellStatus({ includeCwd = false } = {}) {
     if (Date.now() - cache.at > STATUS_TTL_MS) {
       reloadDefs();                          // pick-up di edit esterne/file
@@ -100,7 +100,7 @@ function createBuiltinRuntime(ctx) {
       const effectivePolicy = ['pi', 'shell'].includes(engineDef?.managed?.client)
         ? 'standard'
         : (remembered || engineDefault || '');
-      // D8: panelUrl per-cella vince su quello precompilato dall'engine (es.
+      // da revisione: panelUrl per-cella vince su quello precompilato dall'engine (es.
       // desktop.local), che a sua volta e' il default. Stessa forma di
       // engineDef gia' usata sopra per la permission policy: un valore
       // presente qui e' gia' passato da validPanelUrl a monte (parseEngine/
@@ -222,7 +222,7 @@ function createBuiltinRuntime(ctx) {
     // broker-backed supervisor: credentials never enter tmux state/argv and a
     // client that exits after readiness is restarted with bounded backoff.
     // '-P -F #{pane_id}': tmux stampa il pane id della sessione appena creata,
-    // cosi' l'iniezione del prompt bersaglia ESATTAMENTE quel pane (audit impl
+    // cosi' l'iniezione del prompt bersaglia ESATTAMENTE quel pane (da revisione impl
     // #5: elimina la race di riuso del nome sessione tra waitAlive e paste).
     const readyMs = cfg.launchReadyMs != null ? cfg.launchReadyMs : 500;
     const child = composeClientInvocation(launchEngine, cell);

package/lib/live-host/bridge.js

@@ -22,7 +22,7 @@
 //     emendata da rev5 MC2). La riga che decide è in codex-rs
 //     core/src/config/mod.rs: `developer_instructions.or(cfg.developer_
 //     instructions)` — l'override Some scarta il valore di config. R2
-//     (2026-08-16, verso corretto dopo audit pre-release): l'identità della
+//     (verso corretto dopo revisione pre-release): l'identità della
 //     cella designata viaggia SEMPRE come intestazione anteposta al campo,
 //     anche senza prompt. Il campo NON è additivo: una cella senza
 //     LIVE_PROMPT.md, che prima non passava nulla e riceveva le developer
@@ -227,7 +227,7 @@ function readCellPrompt(filesRoot, tmuxSession) {
 // il ponte: il nome esatto della sessione, che il server MCP accetta da
 // NEXUSCREW_MCP_SESSION via stdio. Il valore NON si mette in systemd
 // Environment= (una identità statica condivisa = impersonare una cella
-// fissa, demolito in audit v1): lo dice l'intestazione, per-cella.
+// fissa, demolito in revisione v1): lo dice l'intestazione, per-cella.
 //
 // Il fatto, niente di più: quale cella (id Fleet) e, se il roster la dichiara,
 // la sessione tmux esatta — quella con cui la voce raggiunge i canonici della
@@ -497,7 +497,7 @@ function createLiveBridge({
     // Tre condizioni diverse, tre nomi: la designazione dichiarata non
     // eleggibile dall'hub, la cella che non esiste piu' nel roster, e la cella
     // che c'e' ma e' spenta. Un nome solo mandava a guardare l'hub anche quando
-    // il problema era una sessione chiusa. Rilievo di un audit indipendente.
+    // il problema era una sessione chiusa. Rilievo di una revisione indipendente.
     if (snap.eligible !== true) return none('host-ineligible');
 
     let cell;

package/lib/live-host/routes.js

@@ -39,7 +39,7 @@ function isActive(cell) {
   return !!(cell && cell.active === true && cell.tmux !== false);
 }
 
-// --- Seam lease↔designazione (2026-08-15, decisione presa in revisione: grace = false) -----
+// --- Seam lease↔designazione (decisione presa in revisione: grace = false) -----
 //
 // L'idoneita' dell'host designato non e' piu' solo «sessione tmux viva»: con
 // remain-on-exit la sessione sopravvive alla morte del supervisore, e la

package/lib/mcp/server.js

@@ -162,7 +162,7 @@ function resolveIdentity({ env, tmuxBin, execFileImpl }) {
           return settle(missing);
         }
         const name = String(stdout || '').trim();
-        // tmux 3.4, misura dell'audit (probe A1/A2): pane morto con -t ->
+        // tmux 3.4, misura della revisione (probe doppia): pane morto con -t ->
         // rc=0 e stdout VUOTO. Il vuoto è il segnale dello stantio.
         if (!name) return settle(stalePane);
         if (isValidSession(name)) {
@@ -288,12 +288,11 @@ function createMcpServer(opts = {}) {
     return j;
   }
 
-  // NC-R. Aggiornare NexusCrew NON aggiorna il bridge MCP delle celle gia' in
-  // piedi: quel processo e' partito col codice di prima e ci resta fino al
-  // riavvio della cella. Il sintomo e' crudele — si installa una correzione, si
-  // riprova, e si riceve l'errore VECCHIO — e chi lo subisce conclude che la
-  // correzione non funziona. E' successo il 2026-08-07 su rc.26, a me, e ci ho
-  // messo un giro intero a capirlo.
+  // NC-R. Aggiornare NexusCrew NON cambia il codice gia' caricato dai bridge
+  // MCP delle celle attive: ogni processo resta sulla versione con cui e' stato
+  // avviato fino al riavvio della cella. Dopo una correzione installata, un
+  // bridge ancora attivo puo' quindi restituire l'errore precedente; prima di
+  // valutare la correzione vanno confrontate le versioni di hub e bridge.
   //
   // Il momento in cui serve saperlo e' esattamente quello in cui qualcosa
   // fallisce, quindi la verifica sta SOLO sul ramo d'errore: a regime non costa
@@ -367,7 +366,7 @@ function createMcpServer(opts = {}) {
       return replyError(null, INVALID_REQUEST, 'richiesta non valida (atteso oggetto JSON-RPC)');
     }
     const id = (typeof msg.id === 'string' || typeof msg.id === 'number') ? msg.id : undefined;
-    // F6 (audit): SOLO JSON-RPC 2.0 — versione assente/errata -> -32600 anche
+    // da revisione: SOLO JSON-RPC 2.0 — versione assente/errata -> -32600 anche
     // per i messaggi senza id (il no-op vale solo per notification 2.0 valide).
     if (msg.jsonrpc !== '2.0') {
       return replyError(id !== undefined ? id : null, INVALID_REQUEST, 'jsonrpc "2.0" richiesto');

package/lib/mcp/tools.js

@@ -345,7 +345,7 @@ const TOOLS = [
       // Restituirlo cosi' evita di far leggere un successo dove c'e' un rifiuto.
       // Nessun conteggio: il dispatcher non lo propaga, e un ramo che non puo'
       // mai essere vero e' codice morto travestito da informazione
-      // (rilievo R1 di un audit indipendente su rc.14). Se un giorno servira' il dettaglio,
+      // (rilievo di una revisione indipendente). Se un giorno servira' il dettaglio,
       // va fatto propagare da forward(), non dedotto qui.
       if (target) return { status: j.status, ...(j.reason ? { reason: j.reason } : {}) };
       return { delivered: j.delivered };

package/lib/nodes/commands.js

@@ -204,7 +204,7 @@ function nodesAdd(opts) {
 
   log(`nodes add: nodo "${name}" aggiunto (ssh ${ssh}${sshPort ? `:${sshPort}` : ''}, nexus remoto ${remotePort} -> locale ${localPort})`);
   log('Incolla nel ~/.ssh/authorized_keys del NODO (lato forward, chiave dedicata):');
-  // R19: permitopen con le destinazioni EXPLICITE dei -L. Qui si conosce solo
+  // da revisione: permitopen con le destinazioni EXPLICITE dei -L. Qui si conosce solo
   // la porta nexus: la porta pannello del peer la annuncia il JOIN, non
   // esiste ancora — quando apparirà, la riga completa (due destinazioni) la
   // emette il pairing. Mai un permesso generico: è ciò che impedisce a questa
@@ -392,7 +392,7 @@ function nodesRemove(opts) {
   let next;
   try { next = store.removeNode(st, name); }
   catch (e) { log(`nodes remove: ${e.message}`); return { code: 1 }; }
-  // Ferma un eventuale forward tunnel ATTIVO prima di togliere la config (audit F4):
+  // Ferma un eventuale forward tunnel ATTIVO prima di togliere la config (da revisione):
   // senza questo il ssh resterebbe orfano — porta locale aperta verso un nodo che non
   // e' piu' in config, irraggiungibile e senza piu' uno stop pulito via CLI/API.
   let stopped = false;

package/lib/nodes/health.js

@@ -46,17 +46,13 @@ function applyProbeHysteresis(key, probed, previous, now, threshold) {
       detail: `health probe transitorio (${failures}/${threshold})`,
     };
   }
-  return {
-    ...probed,
-    transport: 'unknown',
-    auth: 'unknown',
-    reachability: 'unknown',
-    status: 'unknown',
-    at: now,
-    probePending: true,
-    consecutiveFailures: failures,
-    detail: `health probe transitorio (${failures}/${threshold})`,
-  };
+  // No previous authoritative 'up' to protect: the first measurement is the
+  // real one. A node that has never been seen answering and does not answer
+  // now is simply down — reporting 'unknown' would keep a declared-dead peer
+  // out of the down state forever (one probe per process, never reaching the
+  // threshold unless someone keeps probing). The hysteresis only exists to
+  // protect a measured up state from jitter, per una revisione precedente.
+  return { ...probed, consecutiveFailures: failures };
 }
 
 // Compatibilita' tunnel per il frontend attuale (che legge tunnel.status): deriva

package/lib/nodes/identity.js

@@ -28,7 +28,7 @@
 // secondo scrittore — la proprieta' regge per assenza, non per controllo, e la
 // differenza va detta invece che lasciata credere.
 //
-// Rilievo dell'audit indipendente: una funzione provata e senza chiamanti e' il
+// Rilievo della revisione indipendente: una funzione provata e senza chiamanti e' il
 // segnale piu' forte che una garanzia esista, ed e' il piu' facile da dare per
 // sbaglio.
 const fs = require('node:fs');
@@ -79,14 +79,11 @@ function readKeyFile(p) {
       + 'la chiave privata e\' leggibile oltre il proprietario, va rigenerata a mano');
   }
   // UN FILE CHE ESISTE MA NON E' USABILE FA RUMORE, NON SI SOSTITUISCE.
-  // La prima stesura tornava `null` per uno schema sbagliato — cioe' «genera
-  // pure una chiave nuova» — e LANCIAVA su un JSON corrotto, perche' il parse
-  // stava fuori dal try. Due esiti opposti per due modi di essere illeggibile,
-  // e quello comodo era il piu' pericoloso: rigenerare cambia l'identita' di
-  // questo nodo, e ogni peer che aveva legato la vecchia si ritrova per sempre
-  // con una chiave che non corrisponde. Meglio fermarsi e farlo sapere.
-  // Rilievo dell'audit indipendente; risolto nel verso opposto a quello
-  // proposto, perche' la coerenza va cercata sul ramo sicuro.
+  // Uno schema errato e un JSON corrotto sono due forme dello stesso stato non
+  // usabile: entrambi devono fare rumore e nessuno deve autorizzare una nuova
+  // chiave. Rigenerare cambia l'identita' del nodo e lascia ogni peer gia'
+  // associato con una chiave che non corrisponde. Il ramo sicuro si ferma e
+  // rende esplicita la causa senza sostituire il file.
   let parsed;
   try {
     parsed = JSON.parse(fs.readFileSync(p, 'utf8'));
@@ -136,10 +133,10 @@ function writeKeyFile(p, privateKeyPem) {
 // ensureNodeKey: idempotente. La prima chiamata genera, le successive leggono.
 // `created` distingue i due casi per chi vuole registrarlo una volta sola.
 // `afterWriteSeam` e' un seam di prova, come `sessionExistsSeam` e `fleetSeam`
-// altrove: viene chiamato subito dopo la scrittura e serve a far accadere la
-// corsa in modo deterministico. Senza, il test della corsa e' verde per
-// costruzione — il file esiste gia' e il percorso di CREAZIONE non viene mai
-// eseguito. L'ho scoperto perche' il controllo negativo non falliva.
+// altrove: viene chiamato subito dopo la scrittura e rende deterministico il
+// punto della corsa. Senza il seam, il test puo' osservare un file gia'
+// esistente e non esercitare mai il percorso di CREAZIONE; il controllo
+// negativo deve quindi fissare esplicitamente quel punto.
 function ensureNodeKey({ home, keyPath, afterWriteSeam } = {}) {
   const p = keyPath || keyPathFor(home);
   const existing = readKeyFile(p);

package/lib/nodes/store.js

@@ -80,7 +80,7 @@ function isAbsPath(p) {
 // token remoto: segreto opaco, single-line, cap. Vuoto -> assente (non salvato).
 // Charset ristretto a header-safe (VCHAR + spazio/tab): il token viene iniettato
 // in `Authorization: Bearer <t>` verso l'upstream; un char fuori range farebbe
-// lanciare setHeader in modo sincrono (ERR_INVALID_CHAR). (hardening audit).
+// lanciare setHeader in modo sincrono (ERR_INVALID_CHAR). (hardening).
 function validToken(t) {
   return typeof t === 'string' && t.length > 0 && t.length <= MAX_TOKEN_LEN
     && /^[\x20-\x7e\t]+$/.test(t);
@@ -589,7 +589,7 @@ function initStore(p) {
 }
 
 // Compatibilita' API interna: il vecchio nome non inizializza piu' a runtime.
-// Tenerlo strict impedisce che un call-site dimenticato reintroduca F1.
+// Tenerlo strict impedisce che un call-site dimenticato reintroduca quel difetto.
 function loadOrInitStore(p) { return loadStoreStrict(p); }
 
 // --- Mutazioni pure (ritornano un nuovo store; il caller lo scrive) ---------

package/lib/nodes/tunnel-supervisor.js

@@ -21,7 +21,7 @@ const ownershipGraceMs = Number.isFinite(ownershipGraceRaw) && ownershipGraceRaw
 const reverseFailureMaxRaw = Number(process.env.NEXUSCREW_TUNNEL_REVERSE_FAILURE_MAX || 8);
 const reverseFailureMax = Number.isInteger(reverseFailureMaxRaw) && reverseFailureMaxRaw >= 1
   ? Math.min(reverseFailureMaxRaw, 32) : 8;
-// R19 seguito — contratto per la sonda del canale -L quando non conclude MAI:
+// da revisione — contratto per la sonda del canale -L quando non conclude MAI:
 // continuare a sondare ogni 250ms e' giusto per la finestra transitoria (il
 // servizio remoto non e' ancora su dopo un restart/aggiornamento: la prossima
 // sonda e' una connessione FRESCA, si qualifica da sola appena il servizio
@@ -35,7 +35,7 @@ const reverseFailureMax = Number.isInteger(reverseFailureMaxRaw) && reverseFailu
 // quella soglia il canale entra in degraded, ESATTAMENTE come il fallimento
 // del forward inverso — stesso stato, stessa auto-guarigione a cadenza fissa,
 // mai un "pronto" dichiarato senza averlo verificato (sarebbe la stessa bugia
-// che R19 ha tolto, solo con una bandiera "non verificato" appesa sopra).
+// che una revisione ha tolto, solo con una bandiera "non verificato" appesa sopra).
 const channelProbeMaxRaw = Number(process.env.NEXUSCREW_TUNNEL_CHANNEL_PROBE_MAX || 60);
 const channelProbeMax = Number.isInteger(channelProbeMaxRaw) && channelProbeMaxRaw >= 1
   ? Math.min(channelProbeMaxRaw, 240) : 60;
@@ -112,7 +112,7 @@ function clearForwardProbe() {
 // forces OpenSSH to establish the real forward channel. Only that event may
 // advertise transport-ready or reset retry backoff.
 //
-// R19: connect NON è prova di canale. OpenSSH accetta la TCP sul listener
+// da revisione: connect NON è prova di canale. OpenSSH accetta la TCP sul listener
 // locale SUBITO e chiede il canale al server DOPO: se il server lo nega
 // (permitopen senza quella destinazione) il socket viene CHIUSO nel giro di
 // millisecondi — bind locale riuscito, canale morto. Una finestra di grazia
@@ -159,7 +159,7 @@ function probeForwardChannels({ ports, graceMs = CHANNEL_GRACE_MS, connect = net
   });
 }
 
-// R19 punto 3: chi ha installato la chiave quando il pannello non esisteva è
+// da revisione punto 3: chi ha installato la chiave quando il pannello non esisteva è
 // rotto e NON lo sapeva. Il prodotto lo DICE, con la riga da sostituire: le
 // destinazioni arrivano dagli `-L`, la pubblica si DERIVA dalla privata
 // indicata da `-i`. Quando non si riesce a derivarla, dice comunque COSA
@@ -359,7 +359,7 @@ function enterDegraded(diagnosis) {
   retryTimer = setTimeout(run, steadyRetryMs);
 }
 
-// R19 seguito, secondo difetto (2026-08-17, audit su develop@437d29f):
+// secondo difetto della stessa famiglia (da revisione interna):
 // enterDegraded per il canale -L riusava la macchina del forward inverso
 // senza la sua precondizione implicita. Nel reverse failure `child` e' GIA'
 // null quando enterDegraded gira (handleFailure lo azzera PRIMA, perche' e'
@@ -369,7 +369,7 @@ function enterDegraded(diagnosis) {
 // generazione. run() faceva `child = spawn(...)` incondizionatamente: la
 // vecchia generazione, ancora viva, restava senza piu' nessuna variabile che
 // la referenzi — irraggiungibile da stop(), orfana, titolare dei suoi bind
-// per sempre. Misurato dall'auditor: due fake-ssh vivi dopo un degraded,
+// per sempre. Misurato in revisione: due fake-ssh vivi dopo un degraded,
 // SIGTERM al supervisor ne ferma solo l'ultimo.
 //
 // La correzione non e' locale (un kill dentro enterDegraded): e' che
@@ -525,6 +525,6 @@ function acquireGeneration() {
 }
 if (require.main === module) acquireGeneration();
 
-// Esportate per prova diretta (R19): il main resta argv/env-driven e NON parte
+// Esportate per prova diretta (da revisione): il main resta argv/env-driven e NON parte
 // al require.
 module.exports = { probeForwardChannels, refusalHint, refusalDetails, CHANNEL_GRACE_MS };