@mmmbuto/nexuscrew 0.9.16 → 0.9.18

package/lib/fleet/definitions.js

@@ -205,7 +205,7 @@ function parseModel(m) {
 // parseDefinitions(raw) -> {schemaVersion, engines, cells, models} | null
 // Accetta stringa JSON o oggetto gia' parsato. Strict + fail-closed.
 // ---------------------------------------------------------------------------
-function parseDefinitions(raw, { allowLegacyTmuxNames = true, onReject = null } = {}) {
+function parseDefinitions(raw, { allowLegacyTmuxNames = true, onReject = null, onIssue = null } = {}) {
   const reject = (message) => {
     if (typeof onReject === 'function') onReject(message);
     return null;
@@ -233,7 +233,7 @@ function parseDefinitions(raw, { allowLegacyTmuxNames = true, onReject = null }
     // realta' c'e'. `models` e' opzionale: una configurazione che non lo ha
     // resta valida esattamente com'era.
     //
-    // D2 (audit pacchetto): extraModels porta il DESCRITTORE completo (id,
+    // da revisione (pacchetto): extraModels porta il DESCRITTORE completo (id,
     // engine, contextWindow, maxTokens, reasoning), non solo l'id. Prima era
     // Map<engine, Set<id>>: bastava per il gate "questo id e' ammesso?"
     // (declaredFor), ma contextWindow/maxTokens/reasoning sparivano — e
@@ -262,7 +262,7 @@ function parseDefinitions(raw, { allowLegacyTmuxNames = true, onReject = null }
     const engineMap = new Map();
     const engines = [];
     for (const e of d.engines) {
-      const eng = parseEngine(e, { extraModels });
+      const eng = parseEngine(e, { extraModels, onIssue });
       if (!eng) return null;
       if (engineIds.has(eng.id)) return null;            // id engine univoco
       engineIds.add(eng.id);
@@ -276,7 +276,9 @@ function parseDefinitions(raw, { allowLegacyTmuxNames = true, onReject = null }
     const cellIds = new Set();
     const cells = [];
     for (const c of d.cells) {
-      const cell = parseCell(c, engineIds, engineMap, { allowLegacyTmuxNames, extraModels, onReject: reject });
+      const cell = parseCell(c, engineIds, engineMap, {
+        allowLegacyTmuxNames, extraModels, onReject: reject, onIssue,
+      });
       if (!cell) return null;
       if (cellIds.has(cell.id)) return null;             // id cell univoco
       cellIds.add(cell.id);
@@ -306,7 +308,7 @@ function parseDefinitions(raw, { allowLegacyTmuxNames = true, onReject = null }
   }
 }
 
-function parseEngine(e, { extraModels = null } = {}) {
+function parseEngine(e, { extraModels = null, onIssue = null } = {}) {
   if (!e || typeof e !== 'object' || Array.isArray(e)) return null;
 
   // id
@@ -330,7 +332,7 @@ function parseEngine(e, { extraModels = null } = {}) {
   // Managed: NexusCrew conosce client/provider e compone internamente il
   // processo. Nessun command/env/argv o segreto vive nella definizione.
   if (e.managed !== undefined) {
-    const managed = normalizeManagedSpec(e.managed, { extraModels });
+    const managed = normalizeManagedSpec(e.managed, { extraModels, engineId: e.id, onIssue });
     if (!managed) return null;
     for (const key of ['command', 'args', 'env', 'promptMode', 'promptFlag', 'model']) {
       if (e[key] !== undefined) return null;
@@ -340,7 +342,7 @@ function parseEngine(e, { extraModels = null } = {}) {
     // pannello, e il fallback engine->cella di cellStatus vale per entrambi.
     // Prima di questo blocco il campo veniva scartato in silenzio: un valore
     // valido spariva e uno invalido veniva accettato (fail-open) — rilievo 1
-    // dell'audit D8.
+    // della revisione.
     let managedPanelUrl;
     if (e.panelUrl !== undefined) {
       if (!validPanelUrl(e.panelUrl)) return null;
@@ -426,18 +428,20 @@ function parseEngine(e, { extraModels = null } = {}) {
 // e' nell'allowlist): un peer poteva mettere un id arbitrario in una cella di
 // questa installazione, e il boot lo usava senza ricontrollarlo.
 //
-// Rilievo dell'audit indipendente, provato con probe su due profili distinti.
+// Rilievo della revisione indipendente, provato con probe su due profili distinti.
 // Il controllo e' quello vero, non una copia: si passa dalla stessa
 // `normalizeManagedSpec` con le stesse dichiarazioni.
-function cellModelAllowed(engineId, model, engineMap, extraModels) {
+function cellModelAllowed(engineId, model, engineMap, extraModels, onIssue) {
   const engine = engineMap.get(engineId);
   // Engine custom (non gestito): il modello e' un argomento del comando, non un
   // id di catalogo, e qui non c'e' nulla da validare.
   if (!engine || !engine.managed) return true;
-  return !!normalizeManagedSpec({ ...engine.managed, model }, { extraModels });
+  return !!normalizeManagedSpec({ ...engine.managed, model }, { extraModels, engineId, onIssue });
 }
 
-function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames = true, extraModels = null, onReject = null } = {}) {
+function parseCell(c, engineIds, engineMap = new Map(), {
+  allowLegacyTmuxNames = true, extraModels = null, onReject = null, onIssue = null,
+} = {}) {
   const reject = (message) => {
     if (typeof onReject === 'function') onReject(message);
     return null;
@@ -476,7 +480,7 @@ function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames =
   let model;
   if (c.model !== undefined) {
     if (typeof c.model !== 'string' || c.model.length > MAX_MODEL_VAL_LEN) return null;
-    if (!cellModelAllowed(c.engine, c.model, engineMap, extraModels)) return null;
+    if (!cellModelAllowed(c.engine, c.model, engineMap, extraModels, onIssue)) return null;
     model = c.model;
   }
 
@@ -493,7 +497,7 @@ function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames =
       if (!engineIds.has(engineId) || typeof value !== 'string' || !value || value.length > MAX_MODEL_VAL_LEN) return null;
       // Anche la memoria per-engine passa dal gate: e' un valore che tornera'
       // in uso appena si ritorna su quell'engine.
-      if (!cellModelAllowed(engineId, value, engineMap, extraModels)) return null;
+      if (!cellModelAllowed(engineId, value, engineMap, extraModels, onIssue)) return null;
       models[engineId] = value;
     }
   }
@@ -658,7 +662,7 @@ function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames =
 //
 // Leggi-modifica-scrivi SOTTO LOCK. `atomicWrite` garantisce che il file non
 // resti a meta' — non che nessuno lo abbia cambiato mentre lo tenevi in mano:
-// sono due proprieta' diverse, e la prima non implica la seconda. Un audit ha
+// sono due proprieta' diverse, e la prima non implica la seconda. Una revisione ha
 // riprodotto la perdita su SETTE percorsi diversi (i backfill di avvio, la
 // riparazione desktop e la persistenza della migrazione): ognuno salvava,
 // osservava sul disco il valore scritto da un altro, e lo perdeva scrivendo un
@@ -888,7 +892,7 @@ function validateCommandTrust(command) {
   if (!st.isFile()) return { ok: false, reason: 'non e\' un file regolare (symlink o speciale)' }; // lstat: symlink -> isFile()=false
   if (!(st.mode & 0o100)) return { ok: false, reason: 'non eseguibile dall\'owner' };
   if (st.mode & 0o002) return { ok: false, reason: 'world-writable' };
-  // Owner check (design §9a, audit impl #4): il command deve appartenere
+  // Owner check (design §9a, da revisione): il command deve appartenere
   // all'utente del service o a root — un owner terzo potrebbe sostituire
   // l'eseguibile mantenendo il path "trusted".
   if (typeof process.getuid === 'function') {
@@ -1034,10 +1038,17 @@ function atomicWrite(p, data) {
 
   // Le letture devono accettare store legacy per poterli migrare; le scritture
   // invece sono sempre tmux-safe e rifiutano qualunque nuovo nome con punto.
-  const parsed = parseDefinitions(data, { allowLegacyTmuxNames: false });
+  // La causa viene raccolta DURANTE la validazione e riportata nel
+  // messaggio finale (campo, valore, regola). Senza cause nominate il
+  // messaggio resta quello storico, generico.
+  const issues = [];
+  const parsed = parseDefinitions(data, { allowLegacyTmuxNames: false, onIssue: (i) => issues.push(i) });
   if (!parsed) {
     backupPredecessor(p); // conserva il precedente per recovery/forensics
-    throw new Error('definizioni fleet non valide: validazione fallita');
+    const detail = issues.length
+      ? ' — ' + issues.map((i) => `${i.field} ${JSON.stringify(i.value ?? '')}: ${i.rule}`).join('; ')
+      : ' — validazione fallita';
+    throw new Error(`definizioni fleet non valide${detail}`);
   }
 
   const dir = path.dirname(p);

package/lib/fleet/launch-broker.js

@@ -103,8 +103,8 @@ function createLaunchBroker(cfg = {}) {
         let raw = '';
         socket.setEncoding('utf8');
         socket.setTimeout(3000, () => socket.destroy());
-        // Correzione (audit 2a, stesso buco trovato in cell-lease-server.js):
-        // il broker scrive su questo socket (il payload, o dopo F-B onLease
+        // Correzione (da revisione, stesso buco trovato in cell-lease-server.js):
+        // il broker scrive su questo socket (il payload, o dopo la chiamata onLease
         // prima). Un peer che muore mentre quella write e' in volo emette
         // 'error' senza listener -> throw fatale, INTERO processo giu'.
         socket.once('error', () => { try { socket.destroy(); } catch (_) {} });
@@ -130,7 +130,7 @@ function createLaunchBroker(cfg = {}) {
             // piu' il timeout idle da 3s pensato per il one-shot.
             socket.setTimeout(0);
             socket.removeAllListeners('data');
-            // F-B (audit 2a @ 142e272): la lease PRIMA del payload. onLease
+            // da revisione interna: la lease PRIMA del payload. onLease
             // associa la connessione al lease manager (attachInitial); solo se
             // committa il payload viene scritto. Se onLease ritorna false, o ha
             // gia' distrutto la socket, il payload NON parte: il client riceve

package/lib/fleet/lease-client.js

@@ -67,7 +67,7 @@ function startLeaseClient(initialSocket, info, seams = {}) {
     clearTimer(reconnectTimer);
     // R3.2: oltre la grace non si ritenta (deny o server muto non vanno in loop).
     if (reconnectDeadline != null && now() >= reconnectDeadline) {
-      // F-B (audit 2a @ 142e272): la grace e' scaduta senza un reconnect
+      // da revisione interna: la grace e' scaduta senza un reconnect
       // riuscito: la lease e' PERSA per questo supervisore. Prima si desisteva
       // in silenzio e il child restava un orfano senza lease per tutta la sua
       // vita, senza che nessuno lo sapesse. Ora il supervisore viene avvisato

package/lib/fleet/managed.js

@@ -27,6 +27,13 @@ const OLLAMA_CLOUD_MODELS = Object.freeze([
 // glm-5.3-flash 1M corroborato 1000000 da 7 provider su models.dev);
 // altrimenti convenzione binaria del repo (deepseek 1M -> 1048576;
 // minimax 512K -> 524288, valore pre-esistente ripristinato).
+// La wire Responses nativa di Z.AI (https://api.z.ai/api/v1). Gli id e le
+// finestre sono misurati sul listing reale del server (catalogo Codex-style,
+// 2026-09-04): glm-5.3 e glm-5.3-flash a 1M. In questa catena non c'e'
+// AnthMorph e i tool restano mcp__<server>__* (namespace_tools=false era una
+// necessita' del proxy, non del backend).
+const ZAI_RESPONSES_MODELS = Object.freeze(['glm-5.3', 'glm-5.3-flash']);
+const ZAI_RESPONSES_CONTEXT = 1048576;
 const OLLAMA_CONTEXT = Object.freeze({
   // glm-5.2: scheda «976K context» (era 1M: over-declare di 24k).
   'glm-5.2': 976000, 'kimi-k2.7-code': 262144,
@@ -92,10 +99,20 @@ const MODEL_ALIASES = Object.freeze({
 // dichiarazione e' per profilo e non per fornitore: gli elenchi di Alibaba per
 // Claude e per Codex differiscono davvero, e generalizzare creerebbe
 // combinazioni che non esistono.
-function declaredFor(extraModels, profileId, model) {
+// `extraModels` e' indicizzata per ENGINE ID (e' la chiave con cui
+// definitions.js e `extraModelsFrom` la costruiscono), non per profilo: per un
+// engine custom `profile.id` e' la chiave condivisa (`codex-vl.custom`) e con
+// quella sola un modello dichiarato per QUELL'engine non viene mai visto.
+// La ricerca prova prima l'ID dell'engine e ricade sul profilo: un engine che
+// dichiara i propri modelli li trova, e una dichiarazione legacy fatta sul
+// profilo continua a valere.
+function declaredFor(extraModels, profileId, model, engineId = null) {
   if (!extraModels || typeof extraModels.get !== 'function') return false;
-  const set = extraModels.get(profileId);
-  return !!(set && typeof set.has === 'function' && set.has(model));
+  const keys = engineId && engineId !== profileId ? [engineId, profileId] : [profileId];
+  return keys.some((k) => {
+    const set = extraModels.get(k);
+    return !!(set && typeof set.has === 'function' && set.has(model));
+  });
 }
 
 // Dalle definizioni alla mappa che il gate si aspetta. Sta qui e non nei
@@ -103,7 +120,7 @@ function declaredFor(extraModels, profileId, model) {
 // uno la dimentichi perche' un modello dichiarato smetta di essere valido
 // proprio nel punto che conta — l'avvio.
 //
-// D2: Map<engine, Map<id, model>> — porta il descrittore intero, non solo
+// da revisione: Map<engine, Map<id, model>> — porta il descrittore intero, non solo
 // l'id (stesso motivo del commento gemello in definitions.js: extraModels e'
 // costruita due volte, una dentro parseDefinitions per il parsing, una qui per
 // il runtime che rilegge le definizioni gia' salvate; le due DEVONO restare
@@ -123,10 +140,23 @@ function extraModelsFrom(defs) {
 // modelli (customCatalogFor, writePiProviderExtension) chiama questa; chi ha
 // bisogno solo di validare un id (declaredFor) continua a usare extraModels
 // direttamente — due bisogni diversi sulla STESSA struttura, non due copie.
-function declaredModelsFor(extraModels, profileId) {
+// Stessa chiave di `declaredFor` — prima l'ID dell'engine, poi il
+// profilo. L'unione deduplica per `id`: se lo stesso id compaia sia sotto
+// l'engine sia sotto il profilo e' lo stesso modello, e il catalogo non deve
+// contenerlo due volte.
+function declaredModelsFor(extraModels, profileId, engineId = null) {
   if (!extraModels || typeof extraModels.get !== 'function') return [];
-  const byId = extraModels.get(profileId);
-  return byId && typeof byId.values === 'function' ? [...byId.values()] : [];
+  const keys = engineId && engineId !== profileId ? [engineId, profileId] : [profileId];
+  const out = [];
+  const seen = new Set();
+  for (const k of keys) {
+    const byId = extraModels.get(k);
+    if (!byId || typeof byId.values !== 'function') continue;
+    for (const m of byId.values()) {
+      if (m && m.id != null && !seen.has(m.id)) { seen.add(m.id); out.push(m); }
+    }
+  }
+  return out;
 }
 
 function canonicalModel(model) {
@@ -367,6 +397,8 @@ const CATALOG = Object.freeze([
   { id: 'codex-vl.opencode-go', client: 'codex-vl', provider: 'opencode-go', label: 'OpenCode Go', auth: 'OPENCODE_API_KEY', endpoint: OPENCODE_GO_API_BASE, protocol: 'openai_responses', model: 'deepseek-v4-flash', models: OPENCODE_GO_RESPONSES_MODELS, strictModels: true, core: true },
   { id: 'codex-vl.openrouter', client: 'codex-vl', provider: 'openrouter', label: 'OpenRouter', auth: 'OPENROUTER_API_KEY', endpoint: 'https://openrouter.ai/api/v1', protocol: 'openai_responses', requiresModel: true, core: true, notice: 'codex-openrouter' },
   { id: 'codex-vl.ollama-cloud', client: 'codex-vl', provider: 'ollama-cloud', label: 'Ollama Cloud', auth: 'OLLAMA_API_KEY', endpoint: 'https://ollama.com/v1', protocol: 'openai_responses', model: 'glm-5.2', models: OLLAMA_CLOUD_MODELS, legacySecrets: true, core: true },
+  { id: 'codex-vl.zai-a', client: 'codex-vl', provider: 'zai-a', label: 'Z.AI A (Responses nativo)', auth: 'ZAI_API_KEY_A', endpoint: 'https://api.z.ai/api/v1', protocol: 'openai_responses', model: 'glm-5.3', models: ZAI_RESPONSES_MODELS, strictModels: true, core: true },
+  { id: 'codex-vl.zai-p', client: 'codex-vl', provider: 'zai-p', label: 'Z.AI P (Responses nativo)', auth: 'ZAI_API_KEY_P', endpoint: 'https://api.z.ai/api/v1', protocol: 'openai_responses', model: 'glm-5.3', models: ZAI_RESPONSES_MODELS, strictModels: true, core: true },
   { id: 'codex-vl.openai-api', client: 'codex-vl', provider: 'openai-api', label: 'OpenAI API', auth: 'OPENAI_API_KEY', endpoint: 'https://api.openai.com/v1', protocol: 'openai_responses', core: true },
   { id: 'codex-vl.ollama', client: 'codex-vl', provider: 'ollama', label: 'Ollama local', auth: 'none', endpoint: 'local provider', protocol: 'openai_responses', localProvider: 'ollama', core: true },
   { id: 'codex-vl.lmstudio', client: 'codex-vl', provider: 'lmstudio', label: 'LM Studio', auth: 'none', endpoint: 'local provider', protocol: 'openai_responses', localProvider: 'lmstudio', core: true },
@@ -508,7 +540,15 @@ function sanitizeEnvPassthrough(list) {
   return names;
 }
 
-function normalizeManagedSpec(value, { extraModels = null } = {}) {
+function normalizeManagedSpec(value, { extraModels = null, engineId = null, onIssue = null } = {}) {
+  // Un rifiuto senza causa produce «validazione fallita» generica e
+  // l'operatore cerca a vuoto. Se il chiamante passa `onIssue`, i rifiuti
+  // NOMINATI riportano campo, valore e regola prima di tornare null; senza
+  // sink il comportamento resta identico (null, nessun messaggio).
+  const issue = (field, valueIssue, rule) => {
+    if (typeof onIssue === 'function') onIssue({ field, value: valueIssue, rule });
+    return null;
+  };
   if (!value || typeof value !== 'object' || Array.isArray(value)) return null;
   if (Object.keys(value).some((k) => !MANAGED_KEYS.has(k))) return null;
   if (!CLIENT_LABELS[value.client]) return null;
@@ -538,7 +578,7 @@ function normalizeManagedSpec(value, { extraModels = null } = {}) {
   // resta rifiutato, ed e' cio' che impedisce di far partire una cella con un
   // modello inesistente e scoprirlo dal fallimento.
   if (profile.strictModels && !(profile.models || []).includes(model)
-    && !declaredFor(extraModels, profile.id, model)) return null;
+    && !declaredFor(extraModels, profile.id, model, engineId)) return issue('model', model, 'modello non dichiarato: non e\' nel catalogo del profilo e non risulta nell\'array "models" della definizione');
   const permissionPolicy = value.permissionPolicy === undefined ? (profile.client === 'claude' ? 'unsafe' : 'standard') : value.permissionPolicy;
   if (permissionPolicy !== 'standard' && permissionPolicy !== 'unsafe') return null;
   // vl e' standard-only: il CLI Vivling non ha flag di approvazione, quindi
@@ -556,7 +596,7 @@ function normalizeManagedSpec(value, { extraModels = null } = {}) {
     const envKey = typeof value.envKey === 'string' && value.envKey.trim()
       ? value.envKey.trim()
       : profile.defaultEnvKey;
-    if (!ENV_KEY_RE.test(envKey || '')) return null;
+    if (!ENV_KEY_RE.test(envKey || '')) return issue('envKey', envKey, `consentito ${ENV_KEY_RE}`);
     out.envKey = envKey;
   }
   if (profile.custom) {
@@ -571,9 +611,9 @@ function normalizeManagedSpec(value, { extraModels = null } = {}) {
     // altri client) ma per NOME via envPassthrough (D3) — un custom vl verso un
     // endpoint senza auth (Ollama remoto) non dichiara nessuna chiave, quindi
     // envKey vuota e' legittima solo per vl. Se dichiarata, resta un nome valido.
-    if (profile.client === 'vl' ? (envKey !== '' && !ENV_KEY_RE.test(envKey)) : !ENV_KEY_RE.test(envKey)) return null;
-    if (!PROVIDER_ID_RE.test(providerId)) return null;
-    if (!model || !(profile.protocols || [profile.protocol]).includes(protocol)) return null;
+    if (profile.client === 'vl' ? (envKey !== '' && !ENV_KEY_RE.test(envKey)) : !ENV_KEY_RE.test(envKey)) return issue('envKey', envKey, `consentito ${ENV_KEY_RE} (obbligatorio; vuoto ammesso solo per il client vl)`);
+    if (!PROVIDER_ID_RE.test(providerId)) return issue('providerId', providerId, `consentito ${PROVIDER_ID_RE}`);
+    if (!model || !(profile.protocols || [profile.protocol]).includes(protocol)) return issue('protocol', protocol, `protocollo non supportato dal profilo (ammessi: ${(profile.protocols || [profile.protocol]).join(', ')})`);
     Object.assign(out, { displayName, baseUrl, ...(envKey ? { envKey } : {}), protocol, providerId });
   }
   // D3: envPassthrough e' un'allowlist di NOMI di variabili d'ambiente che il
@@ -767,7 +807,7 @@ function binaryCandidates(client, home) {
 // (non possiamo dichiararlo "trovato"); ma chi costruisce il messaggio
 // (describeManaged) puo' ora distinguere "client non trovato" da "non ho potuto
 // verificare un candidato" — il discriminante e' CHI ha fallito, non che ci sia
-// stata un'eccezione. Stesso principio gia' applicato in checkTermuxExec (3134d2f).
+// stata un'eccezione. Stesso principio gia' applicato in checkTermuxExec.
 function findBinary(client, home, out) {
   const blocked = Array.isArray(out && out.blocked) ? out.blocked : null;
   for (const candidate of binaryCandidates(client, home)) {
@@ -1061,7 +1101,7 @@ function describeManaged(spec, cfg = {}) {
   const extraModels = cfg.extraModels || null;
   const normalized = normalizeManagedSpec(spec, { extraModels });
   if (!normalized) {
-    // D2: il rifiuto resta (i descrittori NON appartengono al profilo di una
+    // da revisione: il rifiuto resta (i descrittori NON appartengono al profilo di una
     // cella: vengono dalla definizione dell'ENGINE, in `d.models` — due
     // soggetti diversi, mescolarli renderebbe ambiguo chi dichiara cosa). Ma
     // se la causa e' proprio questa, il messaggio generico "invalid managed
@@ -1238,7 +1278,7 @@ function sharedMcpArgs(home) {
 // indicizzato sul percorso assoluto — ed e' reale: su questa installazione nove
 // progetti ne hanno, fra cui la directory di lavoro delle celle. Dimenticarlo
 // significava che un elenco parziale non negava server che la sessione carica
-// davvero, e l'operatore avrebbe creduto di averli esclusi. Trovato dall'audit.
+// davvero, e l'operatore avrebbe creduto di averli esclusi. Trovato da una revisione.
 //
 // RESTANO FUORI, e non sono enumerabili da qui: plugin, connettori claude.ai e
 // la configurazione gestita di sistema. Per quelli l'unica esclusione certa e'
@@ -1356,7 +1396,7 @@ function ensurePrivateClaudeConfig(home, profileId, label, penguinMode) {
   return configDir;
 }
 
-// D2 audit: il file .ts generato NON e' il consumatore — Pi lo E'. Un test che
+// da revisione: il file .ts generato NON e' il consumatore — Pi lo E'. Un test che
 // legge solo il file resta verde su un'estensione che Pi rifiuta a runtime.
 // CONTRATTO REALE che Pi (@earendil-works/pi-coding-agent 0.80.10) impone a
 // ogni modello di `pi.registerProvider(id, {models: [...]})` — fonte:
@@ -1382,13 +1422,13 @@ function toPiModelConfig(m) {
   };
 }
 
-// D2: `declaredModels` (opzionale) sono i descrittori dichiarati per l'ENGINE
+// da revisione: `declaredModels` (opzionale) sono i descrittori dichiarati per l'ENGINE
 // (via declaredModelsFor), per il ramo Pi CUSTOM — stesso motivo/stessa fonte
 // di customCatalogFor, mai letti da `spec.models`. Il ramo Pi NON-custom
 // (profile.piExtension) continua a passare `models` dentro l'oggetto spec-like
 // come sempre: e' un catalogo STATICO cablato nel codice (es. alibaba-token-
 // plan), GIA' nella forma completa che Pi si aspetta — un caso diverso, non
-// toccato dal difetto D2. declaredModels, quando presente, ha priorita', ed e'
+// toccato dal difetto da revisione. declaredModels, quando presente, ha priorita', ed e'
 // sempre passato per toPiModelConfig (mai i descrittori grezzi cosi' come sono).
 function writePiProviderExtension(spec, home, declaredModels) {
   const dir = path.join(home, '.nexuscrew', 'pi-providers');
@@ -1524,7 +1564,7 @@ function vlSystemAppendGate(binary, cfg) {
   return { ok: true };
 }
 
-// D2 (fix definitivo — l'audit del pacchetto aveva bocciato la prima versione:
+// (fix definitivo — una revisione del pacchetto aveva bocciato la prima versione:
 // il test costruiva `spec.models` a mano, e in produzione quel campo non
 // esiste mai). `declaredModels` NON viene da `spec`: i descrittori sono
 // proprieta' della definizione dell'ENGINE (`d.models` del documento), non del
@@ -1614,19 +1654,21 @@ function resolveManagedEngine(engine, cell, cfg = {}) {
   // non basta: la normalizzazione che decide se la cella PARTE e' questa, e
   // senza l'elenco dichiarato un modello legittimo diventa «invalid managed
   // profile» — cioe' una cella che non si avvia per una ragione invisibile.
-  // E' il difetto che l'audit ha ripreso due volte: la vista diceva di si',
+  // E' il difetto che la revisione ha ripreso due volte: la vista diceva di si',
   // il boot diceva di no, e nessun test guardava il boot.
-  const spec = normalizeManagedSpec(engine.managed, { extraModels: cfg.extraModels || null });
+  const spec = normalizeManagedSpec(engine.managed, { extraModels: cfg.extraModels || null, engineId: engine.id });
   const info = describeManaged(spec, cfg);
   if (!spec || !info.configured) return { ok: false, reason: info.reason, info };
   const home = cfg.home || require('node:os').homedir();
   const profile = profileFor(spec.client, spec.provider, spec.credentialProfile || '');
-  // D2: i descrittori dichiarati per QUESTO profilo (client.provider — la
+  // da revisione: i descrittori dichiarati per QUESTO profilo (client.provider — la
   // stessa chiave che declaredFor usa dentro normalizeManagedSpec per
   // validare gli id). Vengono dalla definizione dell'ENGINE (extraModels),
   // MAI da spec: e' il ponte che customCatalogFor/writePiProviderExtension
   // (rami custom) usano per emettere catalogo e finestra di contesto.
-  const declaredModels = declaredModelsFor(cfg.extraModels, profile.id);
+  // Prima i modelli dichiarati per QUESTO engine (per un custom e' la
+  // chiave che conta: 'codex-vl.custom' e' condivisa), poi il fallback profilo.
+  const declaredModels = declaredModelsFor(cfg.extraModels, profile.id, engine.id);
   const cred = credential(profile, spec, cfg, home);
   // L'override PER-CELLA va canonicalizzato come lo spec: `normalizeManagedSpec`
   // applica l'alias a `spec.model`, ma `cell.model` lo scavalca DOPO e senza
@@ -1842,10 +1884,28 @@ function resolveManagedEngine(engine, cell, cfg = {}) {
         args.push('-c', `model_catalog_json=${JSON.stringify(localCatalog)}`);
         args.push('-c', `model_context_window=${opencodeContext}`);
       }
+    } else if (spec.provider === 'zai-a' || spec.provider === 'zai-p') {
+      // Wire Responses nativa di Z.AI — niente AnthMorph e nessuna
+      // traduzione: previous_response_id e streaming restano semantica nativa.
+      // namespace_tools=false NON serve (era del proxy); i parametri di
+      // robustezza sono quelli degli altri wrapper Responses misurati, e il
+      // catalogo porta i metadata reali del server (context window 1M).
+      const zaiId = `zai_${spec.provider.slice(-1)}`;
+      const zaiEnvKey = spec.provider === 'zai-a' ? 'ZAI_API_KEY_A' : 'ZAI_API_KEY_P';
+      env[zaiEnvKey] = cred.value;
+      args.push(...codexProviderArgs(zaiId, 'Z.AI (Responses nativo)', profile.endpoint, zaiEnvKey));
+      args.push('-c', `model_providers.${zaiId}.request_max_retries=4`);
+      args.push('-c', `model_providers.${zaiId}.stream_max_retries=10`);
+      args.push('-c', `model_providers.${zaiId}.stream_idle_timeout_ms=300000`);
+      const zaiCatalog = path.join(__dirname, 'catalogs', 'zai-responses.json');
+      if (fs.existsSync(zaiCatalog)) {
+        args.push('-c', `model_catalog_json=${JSON.stringify(zaiCatalog)}`);
+        args.push('-c', `model_context_window=${ZAI_RESPONSES_CONTEXT}`);
+      }
     } else if (spec.provider === 'custom') {
       env[spec.envKey] = cred.value;
       args.push(...codexProviderArgs(spec.providerId, spec.displayName, spec.baseUrl, spec.envKey));
-      // D2: onora `models` (engine definition, già validato) come gli altri
+      // da revisione: onora `models` (engine definition, già validato) come gli altri
       // provider — deriva model_catalog_json e model_context_window, così
       // Codex-VL non ricade sul fallback 272K. Senza `models` -> null (no regressione).
       const customMeta = customCatalogFor(spec, model, declaredModels, home);
@@ -2029,7 +2089,7 @@ module.exports = {
   defaultDefinitions, defaultShellEngine, defaultAgyEngine, defaultKimiEngine, defaultGrokEngine, defaultVlEngine, describeManaged, describeCatalogCredential, discoverOllamaModels, resolveManagedEngine, needsExplicitNode,
   discoverPiModels, EXTERNAL_DISCOVERY_TIMEOUT_MS, parseEnvFile, parseProviderShellFile, findBinary, publicCatalog, writePiProviderExtension, customCatalogFor,
   writeVlCellPrompt, vlSystemAppendGate,
-  extraModelsFrom, declaredModelsFor,
+  extraModelsFrom, declaredModelsFor, declaredFor,
   providerKeyPaths, parseProviderKeyFiles, credentialSources, credential, CREDENTIAL_SOURCE_VALUES,
   credentialEnvNeutralizeSet, applyStoreNeutralization,
   ensureKimiClaudeConfig, ensureAlibabaClaudeConfig, resolveInteractiveShell,

package/lib/fleet/prompt-delivery.js

@@ -4,7 +4,7 @@
 // managed conservano il prompt su argv (finding separato) e i custom send-keys
 // conservano injectPrompt legacy senza Enter.
 //
-// Contratto (design audit 0.8.47):
+// Contratto (design della revisione 0.8.47):
 //  - Readiness REALE prima della consegna: il pane viene classificato sul SOLO
 //    viewport visibile (capture-pane -p, mai scrollback -S: su generation>0 lo
 //    scrollback puo' contenere vecchi prompt e marker stale). Auth, consenso

package/lib/fleet/runtime.js

@@ -80,7 +80,7 @@ function createBuiltinRuntime(ctx) {
   // solo — il ponte Live, che la chiede esplicitamente e in-processo — quindi
   // e' lui a doverla chiedere, non tutti gli altri a doversene ricordare.
   // Il backup vieta gia' le cwd assolute per la stessa ragione: sono specifiche
-  // del dispositivo. Rilievo di un audit indipendente.
+  // del dispositivo. Rilievo di una revisione indipendente.
   async function cellStatus({ includeCwd = false } = {}) {
     if (Date.now() - cache.at > STATUS_TTL_MS) {
       reloadDefs();                          // pick-up di edit esterne/file
@@ -100,7 +100,7 @@ function createBuiltinRuntime(ctx) {
       const effectivePolicy = ['pi', 'shell'].includes(engineDef?.managed?.client)
         ? 'standard'
         : (remembered || engineDefault || '');
-      // D8: panelUrl per-cella vince su quello precompilato dall'engine (es.
+      // da revisione: panelUrl per-cella vince su quello precompilato dall'engine (es.
       // desktop.local), che a sua volta e' il default. Stessa forma di
       // engineDef gia' usata sopra per la permission policy: un valore
       // presente qui e' gia' passato da validPanelUrl a monte (parseEngine/
@@ -222,7 +222,7 @@ function createBuiltinRuntime(ctx) {
     // broker-backed supervisor: credentials never enter tmux state/argv and a
     // client that exits after readiness is restarted with bounded backoff.
     // '-P -F #{pane_id}': tmux stampa il pane id della sessione appena creata,
-    // cosi' l'iniezione del prompt bersaglia ESATTAMENTE quel pane (audit impl
+    // cosi' l'iniezione del prompt bersaglia ESATTAMENTE quel pane (da revisione impl
     // #5: elimina la race di riuso del nome sessione tra waitAlive e paste).
     const readyMs = cfg.launchReadyMs != null ? cfg.launchReadyMs : 500;
     const child = composeClientInvocation(launchEngine, cell);

package/lib/live-host/bridge.js

@@ -22,7 +22,7 @@
 //     emendata da rev5 MC2). La riga che decide è in codex-rs
 //     core/src/config/mod.rs: `developer_instructions.or(cfg.developer_
 //     instructions)` — l'override Some scarta il valore di config. R2
-//     (2026-08-16, verso corretto dopo audit pre-release): l'identità della
+//     (verso corretto dopo revisione pre-release): l'identità della
 //     cella designata viaggia SEMPRE come intestazione anteposta al campo,
 //     anche senza prompt. Il campo NON è additivo: una cella senza
 //     LIVE_PROMPT.md, che prima non passava nulla e riceveva le developer
@@ -227,7 +227,7 @@ function readCellPrompt(filesRoot, tmuxSession) {
 // il ponte: il nome esatto della sessione, che il server MCP accetta da
 // NEXUSCREW_MCP_SESSION via stdio. Il valore NON si mette in systemd
 // Environment= (una identità statica condivisa = impersonare una cella
-// fissa, demolito in audit v1): lo dice l'intestazione, per-cella.
+// fissa, demolito in revisione v1): lo dice l'intestazione, per-cella.
 //
 // Il fatto, niente di più: quale cella (id Fleet) e, se il roster la dichiara,
 // la sessione tmux esatta — quella con cui la voce raggiunge i canonici della
@@ -497,7 +497,7 @@ function createLiveBridge({
     // Tre condizioni diverse, tre nomi: la designazione dichiarata non
     // eleggibile dall'hub, la cella che non esiste piu' nel roster, e la cella
     // che c'e' ma e' spenta. Un nome solo mandava a guardare l'hub anche quando
-    // il problema era una sessione chiusa. Rilievo di un audit indipendente.
+    // il problema era una sessione chiusa. Rilievo di una revisione indipendente.
     if (snap.eligible !== true) return none('host-ineligible');
 
     let cell;

package/lib/live-host/routes.js

@@ -39,7 +39,7 @@ function isActive(cell) {
   return !!(cell && cell.active === true && cell.tmux !== false);
 }
 
-// --- Seam lease↔designazione (2026-08-15, decisione presa in revisione: grace = false) -----
+// --- Seam lease↔designazione (decisione presa in revisione: grace = false) -----
 //
 // L'idoneita' dell'host designato non e' piu' solo «sessione tmux viva»: con
 // remain-on-exit la sessione sopravvive alla morte del supervisore, e la

package/lib/mcp/server.js

@@ -162,7 +162,7 @@ function resolveIdentity({ env, tmuxBin, execFileImpl }) {
           return settle(missing);
         }
         const name = String(stdout || '').trim();
-        // tmux 3.4, misura dell'audit (probe A1/A2): pane morto con -t ->
+        // tmux 3.4, misura della revisione (probe doppia): pane morto con -t ->
         // rc=0 e stdout VUOTO. Il vuoto è il segnale dello stantio.
         if (!name) return settle(stalePane);
         if (isValidSession(name)) {
@@ -288,12 +288,11 @@ function createMcpServer(opts = {}) {
     return j;
   }
 
-  // NC-R. Aggiornare NexusCrew NON aggiorna il bridge MCP delle celle gia' in
-  // piedi: quel processo e' partito col codice di prima e ci resta fino al
-  // riavvio della cella. Il sintomo e' crudele — si installa una correzione, si
-  // riprova, e si riceve l'errore VECCHIO — e chi lo subisce conclude che la
-  // correzione non funziona. E' successo il 2026-08-07 su rc.26, a me, e ci ho
-  // messo un giro intero a capirlo.
+  // NC-R. Aggiornare NexusCrew NON cambia il codice gia' caricato dai bridge
+  // MCP delle celle attive: ogni processo resta sulla versione con cui e' stato
+  // avviato fino al riavvio della cella. Dopo una correzione installata, un
+  // bridge ancora attivo puo' quindi restituire l'errore precedente; prima di
+  // valutare la correzione vanno confrontate le versioni di hub e bridge.
   //
   // Il momento in cui serve saperlo e' esattamente quello in cui qualcosa
   // fallisce, quindi la verifica sta SOLO sul ramo d'errore: a regime non costa
@@ -367,7 +366,7 @@ function createMcpServer(opts = {}) {
       return replyError(null, INVALID_REQUEST, 'richiesta non valida (atteso oggetto JSON-RPC)');
     }
     const id = (typeof msg.id === 'string' || typeof msg.id === 'number') ? msg.id : undefined;
-    // F6 (audit): SOLO JSON-RPC 2.0 — versione assente/errata -> -32600 anche
+    // da revisione: SOLO JSON-RPC 2.0 — versione assente/errata -> -32600 anche
     // per i messaggi senza id (il no-op vale solo per notification 2.0 valide).
     if (msg.jsonrpc !== '2.0') {
       return replyError(id !== undefined ? id : null, INVALID_REQUEST, 'jsonrpc "2.0" richiesto');

package/lib/mcp/tools.js

@@ -345,7 +345,7 @@ const TOOLS = [
       // Restituirlo cosi' evita di far leggere un successo dove c'e' un rifiuto.
       // Nessun conteggio: il dispatcher non lo propaga, e un ramo che non puo'
       // mai essere vero e' codice morto travestito da informazione
-      // (rilievo R1 di un audit indipendente su rc.14). Se un giorno servira' il dettaglio,
+      // (rilievo di una revisione indipendente). Se un giorno servira' il dettaglio,
       // va fatto propagare da forward(), non dedotto qui.
       if (target) return { status: j.status, ...(j.reason ? { reason: j.reason } : {}) };
       return { delivered: j.delivered };

package/lib/nodes/commands.js

@@ -204,7 +204,7 @@ function nodesAdd(opts) {
 
   log(`nodes add: nodo "${name}" aggiunto (ssh ${ssh}${sshPort ? `:${sshPort}` : ''}, nexus remoto ${remotePort} -> locale ${localPort})`);
   log('Incolla nel ~/.ssh/authorized_keys del NODO (lato forward, chiave dedicata):');
-  // R19: permitopen con le destinazioni EXPLICITE dei -L. Qui si conosce solo
+  // da revisione: permitopen con le destinazioni EXPLICITE dei -L. Qui si conosce solo
   // la porta nexus: la porta pannello del peer la annuncia il JOIN, non
   // esiste ancora — quando apparirà, la riga completa (due destinazioni) la
   // emette il pairing. Mai un permesso generico: è ciò che impedisce a questa
@@ -392,7 +392,7 @@ function nodesRemove(opts) {
   let next;
   try { next = store.removeNode(st, name); }
   catch (e) { log(`nodes remove: ${e.message}`); return { code: 1 }; }
-  // Ferma un eventuale forward tunnel ATTIVO prima di togliere la config (audit F4):
+  // Ferma un eventuale forward tunnel ATTIVO prima di togliere la config (da revisione):
   // senza questo il ssh resterebbe orfano — porta locale aperta verso un nodo che non
   // e' piu' in config, irraggiungibile e senza piu' uno stop pulito via CLI/API.
   let stopped = false;

package/lib/nodes/health.js

@@ -51,7 +51,7 @@ function applyProbeHysteresis(key, probed, previous, now, threshold) {
   // now is simply down — reporting 'unknown' would keep a declared-dead peer
   // out of the down state forever (one probe per process, never reaching the
   // threshold unless someone keeps probing). The hysteresis only exists to
-  // protect a measured up state from jitter, per 239e2e6.
+  // protect a measured up state from jitter, per una revisione precedente.
   return { ...probed, consecutiveFailures: failures };
 }