@orion-agents/orion-code 0.1.9 → 0.2.0

package/docs/plan/v0.2.0-dsh-harness-redesign-plan.md

@@ -0,0 +1,1234 @@
+# Orion Code v0.2.0 Plan — DSH + Codex-informed Lean Harness Redesign
+
+> 状态：Implementation complete；G1–G6 已达成，发布状态由 `ReleaseReceiptV1`、Git tag 与 npm registry 回读独立证明
+>
+> 目标版本：`v0.2.0`；实施工作树位于 `v0.2.0`
+>
+> 源码基线：`1010418f24a6d07a22074435bd4d50a9d339391c`，package `0.1.9`
+>
+> 规划日期：2026-08-26
+>
+> 上位目标：[Orion Code 项目级目标](../goals/orion-code-项目级目标.md)
+>
+> 架构参考：[DeepSeek Harness 与 Cordis：一文读懂「一切皆插件」的 Agent 底座](../architecture/dsh/DeepSeek-Harness与Cordis插件机制科普.md)
+>
+> Codex 开源调研基线：[`openai/codex@2df6705423`](https://github.com/openai/codex/tree/2df67054232090af8d2fa197c46b994bc2b0dda1)
+>
+> 历史输入：[原 v0.2.0 Verified Project Agent 计划](v0.2.0-coding-agent-platform-plan.md)
+
+## 0. 决策摘要
+
+v0.2.0 被重新定义为一次 Harness 架构大改版。原计划中的 Project Mission、isolated worktree、
+Mission Board、Zed/VS Code 同期交付不再属于 v0.2.0 P0，移到 v0.3.0+ 重新排期。本版本只解决
+一个更底层、也更影响长期 Goal 成功率的问题：**当前 Orion 每轮携带的能力过重，扩展通过全局
+单例和具体模块进入 Loop，Skill/MCP/Tool 的发现、加载、选择与生命周期没有统一契约。**
+
+v0.2.0 的产品定义是：
+
+> 将 Orion 重构为 **DSH inside、Codex outside、Orion Goal/Evidence at the center** 的 Lean Coding-Agent
+> Runtime：DSH 的 scope/effect 思想只管理第一方内部资源生命周期；Codex 风格的
+> `Thread → Turn → Step → Item`、不可变 Step Snapshot 与语义事件协议负责执行、持久化和客户端；
+> Orion 的 TaskContract、Evidence、Goal 与 StopDecision 负责验证工作是否真正完成。
+
+这里的“模块”是 Orion 的静态第一方组合单元，不是运行时插件产品。用户仍然使用 Orion、Skills、
+MCP、Model、Tools 和 Goal，不需要理解、安装或编排内部模块。v0.2.0 不提供第三方 Plugin SDK、
+插件包加载、插件市场、插件信任中心或“创造模式”；也不照搬 Codex 的 marketplace、remote control
+或完整 app-server 产品面。它只吸收两者已被开源代码证明的 Harness 能力。
+
+本版本交付七个闭环能力：
+
+1. **Static Runtime Spine**：显式 typed `RuntimeServices`、一次性第一方 composition root、受控
+   `ResourceScope`；拒绝热路径 service locator、任意动态模块 DAG 和通用插件容器。
+2. **Thread Runtime + Semantic Protocol**：一个 `ThreadRuntime` 拥有 active turn、输入队列、持久事件
+   与 replay；UI 只投影 `Thread/Turn/Step/Item` 语义事件。
+3. **Atomic Step Snapshot**：每次模型请求冻结 model、Authority、execution policy、prompt、tool router、
+   Skill 与 MCP binding；模型看到的 schema 与实际 dispatch 使用同一快照。
+4. **Orion Capability Fabric**：从任务意图编译 direct/deferred/hidden 能力，不再把所有工具与扩展塞进
+   每个模型请求，并以 recall-first 的有界扩展修复漏选。
+5. **Lazy Skills Runtime**：catalog 只含摘要，完整 `SKILL.md` 和资源按需加载；provider、缓存、
+   失效和调用策略成为稳定契约。
+6. **Lazy Tool/MCP/Prompt Runtime**：MCP 不再启动即全连接，tool schema 不再全量暴露，prompt
+   section 有预算、digest 和来源。
+7. **Single Production Loop + Durable Completion**：删除旧 Brain/Agent/Harness/SDK mock 和旁路 query；
+   所有 UI、命令、Goal、Subagent 与自动化进入同一个 Loop，并在成功事件前提交 durable terminal outcome。
+
+这不是“给现有类换成 module 名字”。若发布包仍保留旧 runtime、全局 `TOOLS`、全量 Skill prompt、
+启动时 `connectAll()`、通用 string-token service locator，或 UI 仍直接拥有 transcript 状态，则本版本视为未完成。
+
+### 0.1 核心目标：更轻、更稳、能完成、可恢复
+
+v0.2.0 的核心目标不是“完成一次 Harness 重构”，而是让用户可以把一个真实 coding Goal 从输入持续运行到
+**有证据的完成并自动退出**，同时不为无关 Skill、MCP 和工具付出启动与上下文成本；进程中断后恢复，
+仍得到与不中断路径等价的任务状态。DSH/Codex 架构、目录调整和内部 API 都只是达成这些结果的手段。
+
+以下六项必须同时成立，才能称为完成本次迭代：
+
+| 核心目标                       | 达成后的实际效果                                                                                                         | 硬性证明                                                                                                                                          |
+| ------------------------------ | ------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------- |
+| **G1 Lean by default**         | CLI 更快 ready；普通任务不连接无关 MCP、不读取无关 Skill body，只发送完成当前 Step 所需的 prompt/tool schema             | 冷启动 p95 改善 `>= 30%`；成功任务输入 token 中位数降低 `>= 30%`；首步 schema 降低 `>= 50%`；无关 Skill/MCP 活动为 `0`                            |
+| **G2 Verified completion**     | 长期 Goal 能持续推进，在 criteria/evidence 满足后可靠自动退出，不再出现 Harness 已完成但 Goal 仍 active                  | Task success 不低于 baseline；False Completion Rate 为 `0`；20+ turn Goal、no-progress、blocked、budget、abort 与 auto-exit E2E 全绿              |
+| **G3 Deterministic execution** | 模型看到的工具与实际可执行工具始终一致；BUILD/PLAN/AUTO 不再造成工具集合或权限漂移；所有副作用走同一安全链路             | 一个 agentic Loop 实现、一个 ToolGateway；StepSnapshot schema/router digest 绑定；所有调用经过 Capability → Policy → Approval → Sandbox → Execute |
+| **G4 Crash-safe recovery**     | compact、tool、Goal 或进程在任意提交阶段中断后，resume 不出现半新半旧状态，也不丢失 tool pairing、evidence 或下一步      | durable facts 先于 projection；TurnCommit/compact crash injection 全绿；resume projection 与 uninterrupted path digest 等价                       |
+| **G5 Predictable interaction** | TUI、terminal、print、Goal 与 subagent 对 start、steer、queue、interrupt、completed 的理解一致，慢客户端不会拖垮 Runtime | Thread/Turn/Step/Item 协议同构；每个 started Item 恰好一个终态；bounded queue/backpressure 与 renderer replay 全绿                                |
+| **G6 Maintainable foundation** | 三套 Harness、旧 Agent、全局 registries 和执行旁路被收敛；新增能力通过显式 service/contributor 接入而不继续膨胀 Loop     | 一个 OrionRuntime owner、一个 TaskContext completion owner；legacy owner/adapter 不进入 tarball；1,000 次 scope churn 无资源泄漏                  |
+
+用户级最终验收场景：
+
+> 用户启动 Orion 后立即进入可用状态，提交一个包含读取、编辑、执行测试、必要 Skill/MCP 和子任务的长期
+> Goal。Runtime 只加载本任务需要的能力；每个工具调用可执行、可取消、可审计；Goal 依据持久 evidence
+> 判断完成并自动退出。即使中途 compact、Ctrl+C、进程退出或 resume，Orion 仍能从 durable log 恢复到
+> 唯一正确状态，并继续或结束任务，而不是产生 ghost continuation、重复副作用或卡在 Goal 模式。
+
+本核心目标不包含“模型本身变聪明”、第三方插件平台、完整 Codex app-server、远程执行平台或 IDE 大纵切。
+这些内容不能替代上述效果，也不能成为 v0.2.0 延期和扩张 P0 的理由。第 3.2 节量化门槛、AC1–AC22 与
+Release Go/No-Go 都必须回溯到 G1–G6，无法证明核心目标的架构工作不进入本版本。
+
+### 0.2 版本边界
+
+| 版本      | 责任                                                                                       |
+| --------- | ------------------------------------------------------------------------------------------ |
+| `v0.1.10` | 完成当前发布线的稳定性、回归和迁移准备；不启动 DSH-inspired Runtime 大改                   |
+| `v0.2.0`  | 本计划：重构 Harness、能力组织、Skill/MCP 加载与唯一 Agent Loop，允许明确 breaking changes |
+| `v0.3.0+` | 重新规划 Project Mission、isolated worktree、Mission Control、IDE/editor 大纵切            |
+
+选择 v0.2.0 是因为它会删除旧公共 exports、Session/Runtime 旁路和三套 Harness owner，并改变启动、
+能力选择、Skill/MCP 生命周期与请求 receipt；这些不是 v0.1.10 的兼容性增量。
+
+## 1. 参考结论：DSH 管资源，Codex 管执行，Orion 管完成
+
+### 1.1 一手资料确认的设计
+
+DeepSeek Harness 官方架构将模型适配、工具注册、Session Log 和 Agent Loop 都定义为插件；
+Profile 负责命名组合，Bundle 负责分发组合。运行时通过 service、typed event 和 reversible effect
+连接插件。Skill 子系统进一步区分 catalog 与完整定义：模型先看到 name/description，只有调用时
+才加载 Skill body 和资源，并使用 provider observation、scope layering、bounded cache 和
+invalidation 管理生命周期。
+
+参考：
+
+- [DeepSeek Harness Architecture](https://github.com/deepseek-ai/deepseek-harness/blob/master/docs/architecture.md)
+- [DeepSeek Harness Cordis Primer](https://github.com/deepseek-ai/deepseek-harness/blob/master/docs/cordis-primer.md)
+- [DeepSeek Harness Skills Subsystem](https://github.com/deepseek-ai/deepseek-harness/blob/master/docs/subsystems/skills.md)
+- [Cordis paper repository](https://github.com/cordiverse/paper)
+
+### 1.2 Orion 采用的机制
+
+| DSH/Cordis 思想             | Orion v0.2.0 落地方式                                                                         |
+| --------------------------- | --------------------------------------------------------------------------------------------- |
+| Everything is a Plugin      | **只取静态第一方组合思想**；不把每个 turn/step 建成动态插件容器                               |
+| Reversible Effect           | watcher/listener/timer/process/cache lease 登记 disposer；业务副作用不伪装成可逆 effect       |
+| Dependency-driven lifecycle | composition root 启动前静态校验；运行中只管理有所有者的资源 lease                             |
+| Scope                       | runtime → project → thread → turn → agent 资源 scope；子 Agent 不继承无关能力                 |
+| Profile / Bundle            | 收敛为代码内 `RuntimePreset`；不提供用户插件编排、热装卸或任意配置图                          |
+| Lazy Skill                  | summary catalog、definition on demand、resource on demand、bounded cache、digest invalidation |
+| Agent-specific capability   | 每个 root turn 和 subagent 获得不可变 capability/tool/Skill/MCP snapshot                      |
+| Stable service seam         | feature 不能 import/patch Loop；通过显式 service 或窄 contributor lane 接入                   |
+
+### 1.3 明确不照搬的内容
+
+v0.2.0 不引入 Cordis npm runtime，也不承诺以下能力：
+
+- 任意时刻热替换运行中的 Loop；
+- Agent 自动生成并加载可执行插件；
+- 自修改、自修复或 transactional HMR；
+- 公共插件市场和不受信任代码沙箱；
+- 通用 YAML patch 语言；
+- 对任意外部副作用宣称理论上的 confluence。
+
+Orion 只对自己管理的内存状态、registries、listeners、timers、child processes 和 caches 提供
+“最终配置决定最终状态”的保证。Git push、npm publish、网络写入等外部副作用不属于可逆 effect，
+仍由现有 Authority、Policy、Evidence 和幂等协议控制。
+
+### 1.4 Orion 自己的差异化
+
+DSH Profile 主要是静态能力组合。Orion 在此基础上新增 **Task-derived Capability Compiler**：
+
+```text
+TaskContract + current input + Agent mode + Authority + Model capability
+             + Goal/Evidence state + project facts
+                              ↓
+                    CapabilityPlanV1
+                              ↓
+      direct/deferred tools / prompt sections / skills / exact MCP bindings
+                              ↓
+                   CapabilityReceiptV1
+```
+
+因此 Orion 的能力组合不是让用户手工维护一个越来越大的插件清单，而是让 Harness 在不扩大权限的
+前提下，为每个 turn/agent 自动选择最小能力集合，并留下可恢复、可解释的 receipt。
+
+### 1.5 Codex 开源 Harness 能力审计
+
+调研以官方 `openai/codex@2df67054232090af8d2fa197c46b994bc2b0dda1` 为固定源码基线，而不是以
+本机较旧 clone 或托管产品表现作为证据。当前开源代码证明了以下可复用契约：
+
+- [`SessionServices`](https://github.com/openai/codex/blob/2df67054232090af8d2fa197c46b994bc2b0dda1/codex-rs/core/src/state/service.rs)
+  是显式 typed service owner，不是热路径中的通用 service locator；
+- [`StepContext`](https://github.com/openai/codex/blob/2df67054232090af8d2fa197c46b994bc2b0dda1/codex-rs/core/src/session/step_context.rs)
+  冻结一次模型请求所用的 model、approval、sandbox、environment、tools、Skills 与 MCP binding；
+- [`spec_plan`](https://github.com/openai/codex/blob/2df67054232090af8d2fa197c46b994bc2b0dda1/codex-rs/core/src/tools/spec_plan.rs)
+  将工具分为 direct、deferred、model-only 与 hidden，并让模型可见 schema 和执行 router 来自同一计划；
+- [`run_turn`](https://github.com/openai/codex/blob/2df67054232090af8d2fa197c46b994bc2b0dda1/codex-rs/core/src/session/turn.rs)
+  维持单一 model/tool loop，并把 pre/mid-turn compact 放在正式生命周期内；
+- [Extension Registry](https://github.com/openai/codex/blob/2df67054232090af8d2fa197c46b994bc2b0dda1/codex-rs/ext/extension-api/src/registry.rs)
+  在 composition 阶段可变，启动后以窄 contributor lane 和 scoped typed state 运行；
+- [Skills host prompt](https://github.com/openai/codex/blob/2df67054232090af8d2fa197c46b994bc2b0dda1/codex-rs/ext/skills/src/host_prompt.rs)
+  只为已选择 Skill 读取 body，并对内容进行有界注入；
+- [App Server protocol](https://github.com/openai/codex/blob/2df67054232090af8d2fa197c46b994bc2b0dda1/codex-rs/app-server/README.md)
+  用 `Thread → Turn → Item`、`started → delta* → completed`、有界队列和版本化 schema 将客户端与 runtime 解耦；
+- [Agent control](https://github.com/openai/codex/blob/2df67054232090af8d2fa197c46b994bc2b0dda1/codex-rs/core/src/agent/control.rs)
+  让 child agent 使用独立 thread/context，同时共享 root-tree 级并发与预算约束；
+- [Rollout recorder](https://github.com/openai/codex/blob/2df67054232090af8d2fa197c46b994bc2b0dda1/codex-rs/rollout/src/recorder.rs)
+  提供 append-only durable fact log，projection/index 不能领先事实源。
+
+开源边界必须如实标注：模型权重与托管推理、server-side 行为、远程执行基础设施、插件目录后端和
+产品实验均不在此次证据范围内。v0.2.0 不以这些不可见能力作为设计前提或验收依据。
+
+### 1.6 DSH × Codex × Orion 综合决策
+
+| 领域         | DSH 强项                | Codex 强项                                   | Orion v0.2.0 决策                                                              |
+| ------------ | ----------------------- | -------------------------------------------- | ------------------------------------------------------------------------------ |
+| 内部能力组织 | scope、effect、资源退出 | 显式 services、静态 contributor composition  | 显式 `RuntimeServices` + 窄 contributors + `ResourceScope`；不做通用容器       |
+| 执行模型     | Session/Turn/Step 概念  | Thread/Turn/Item、单一 Loop、Step 快照       | `Runtime → Thread → Turn → Step → Item`；一个生产 Loop owner                   |
+| 工具曝光     | 动态组合                | direct/deferred/hidden 与精确 router         | 保留 Orion compiler，但输出 exact `ToolRouterSnapshot`，schema/dispatch 不漂移 |
+| Skill/MCP    | lazy provider、lease    | snapshot、deferred exposure、bounded prewarm | descriptor 常驻，body/connection 按需；prewarm 绝不成为 correctness path       |
+| 状态与恢复   | lifecycle event         | append-only rollout、replay、compact item    | durable facts + ephemeral deltas 双平面；projection 可重建                     |
+| 权限与执行   | service seam            | approval 与 sandbox 独立                     | 新增统一 Execution service；Mode 不拥有权限，sandbox 不藏在 shell tool 内      |
+| Goal 完成    | 非核心                  | 以 turn 完成为主                             | 保留 Orion TaskContract/Evidence/StopDecision，Goal 不成为第二套 Loop          |
+| 扩展产品     | 插件平台能力强          | 已有 plugin/marketplace 产品面               | 明确拒绝；Skills、MCP、Model 仍是唯一用户扩展面                                |
+
+最终架构原则是：**DSH 决定资源如何安全进入和退出；Codex 决定任务如何表示、执行、持久化和被
+客户端控制；Orion 决定目标是否被证据证明完成。**
+
+## 2. 当前基线与根因
+
+以下是对规划基线 `v0.1.10@1010418f24a6` 的只读源码与本地运行快照。token 数使用 `bytes / 4` 粗估，
+Phase 0 必须用实际 provider tokenizer 和固定任务集重建正式 baseline。
+
+| 当前事实                           | 证据与影响                                                                                                                       |
+| ---------------------------------- | -------------------------------------------------------------------------------------------------------------------------------- |
+| 静态工具共 33 个                   | 全量 OpenAI tool schema JSON 为 20,596 bytes，约 5,149 tokens；连接 MCP 后继续增长                                               |
+| `TOOLS` 是全局数组                 | `getRuntimeTools()` 每轮返回全部 built-in + 已连接 MCP；CapabilityProfile 只是事后记录全量名字                                   |
+| CLI 启动即连接所有 MCP             | 所有入口都 eager `connectAll()`；interactive 不等待而产生工具集异步扩张 race，print/doctor 会等待                                |
+| Skill 启动时全量扫描               | loader 还会重复扫描并同步读取全部 `SKILL.md`；预渲染 skills string 驻留 Store 并在请求中重复发送                                 |
+| Skill catalog 与 definition 未分离 | catalog、触发信息、路径、tool scope 和完整 prompt 共用 `SkillDefinition`                                                         |
+| Loop 热路径重复计算                | 每轮重新 resolve skills、筛 tools、建 subagent、memory、prompt、Harness；每个模型 step 携带同一全量 schema                       |
+| 三套 Harness + Goal 重复 owner     | 旧 `Harness`、兼容 `HarnessEngine`、生产 `HarnessKernel` 并存；后两条 Goal/TaskContext 又重复持有 criteria、evidence、completion |
+| CLI 仍启动旧 Agent runtime         | `init()` 创建 Brain、Leader、Coder、Harness、Memory、Safety；主聊天却走另一套 runtime                                            |
+| Loop 实现与执行旁路不唯一          | 主 root/modern subagent 已共享 `query()`，但 `/run`、`/task`、legacy fork、mock SDK、`chatWithTools()` 仍有独立路径              |
+| 主模块过度承担 orchestration       | `query.ts` 1,904 行，`chat-controller.ts` 1,969 行，并直接了解 compact、skills、subagents、research 等                           |
+| 扩展类型先于扩展 runtime           | Command source 已包含 `plugin`，但不存在统一 lifecycle、scope、cleanup 或 capability receipt                                     |
+
+当前轻量化瓶颈不是一次 `Array.filter()`，而是四类结构性成本：
+
+1. **启动成本**：旧 runtime、全部 Skill discovery、全部 MCP connection 同时启动；
+2. **模型上下文成本**：无关工具 schema、Skill catalog、Harness 说明反复随请求发送；
+3. **控制流成本**：feature 判断散落在 chat/query/controller，local fast path、batch、command、research 还会旁路 ToolPipeline；
+4. **状态成本**：全局 registry 无 scope 与 disposer，Session/TaskContext/Goal 的提交也不是一个 durable turn transaction。
+
+## 3. 产品结果与量化成功指标
+
+### 3.1 北极星指标
+
+**Verified Work per Model Token（VWMT）**：
+
+> 固定任务、模型、Authority 与成功条件下，每百万模型输入 token 能完成并通过 evidence audit 的
+> 有效工程工作量。
+
+只减少 prompt 而增加模型回合、工具 miss 或失败率，不算优化成功。
+
+### 3.2 v0.2.0 准出门槛
+
+| 指标               | 发布门槛                                                                                           |
+| ------------------ | -------------------------------------------------------------------------------------------------- |
+| 成功任务输入 token | 固定 eval corpus 的成功任务总输入 token 中位数比 Phase 0 baseline 降低 `>= 30%`                    |
+| 首步 tool schema   | 默认 coding corpus 中位数比当前 20,596-byte baseline 降低 `>= 50%`；每个 omitted/selected 有原因   |
+| Task success       | 固定 corpus 不低于 baseline；False Completion Rate 仍为 `0`                                        |
+| Model request 数   | 每个成功任务中位数不得增长超过 `5%`；因能力 miss 触发的额外 expansion step 比例 `< 10%`            |
+| 冷启动             | `ready_for_input` p95 比 Phase 0 快 `>= 30%`；未选择 MCP 时连接数、子进程数均为 `0`                |
+| Skill lazy load    | 未调用 Skill 的任务 definition load 次数为 `0`；catalog 不包含 body/resource 内容                  |
+| Loop 本地开销      | 排除 provider、tool 和持久化 I/O 后，step orchestration p95 `< 5ms`                                |
+| 生命周期完整性     | 1,000 次 resource activate/scope-close/reconfigure 后无遗留 listener、timer、lease、child process  |
+| Step 一致性        | 每次请求的 model-visible schema digest 与 executable router digest 绑定；漂移、重名和越权均为 `0`  |
+| Replay 等价        | crash/resume 后 durable projection digest 与 uninterrupted path 一致；started Item 无孤儿终态      |
+| Scope 隔离         | root、turn、subagent 并发压力下能力串用为 `0`；child 只见自己的冻结快照                            |
+| 可解释性           | 每次 model request 都有 `CapabilityReceiptV1`，解释 direct/deferred/omitted、Skill、MCP 与权限来源 |
+| 发布质量           | Node 20/22/24 build/test；exact tarball clean install；TUI/terminal/print/Goal/subagent smoke 全绿 |
+
+所有百分比同时报告 p50、p95、成功率和样本数，禁止只选择最有利的单次结果。
+
+## 4. 目标架构
+
+### 4.1 四平面与唯一所有权
+
+```text
+TUI / terminal / print / exec
+             │ commands + semantic notifications
+             ▼
+     AgentRuntimeProtocolV1                 Presentation Plane
+             │
+             ▼
+┌─────────────────────────────────────────────────────────────┐
+│ OrionRuntime                                                │ Control Plane
+│  ├─ explicit RuntimeServices                                │
+│  ├─ static RuntimeContributors                              │
+│  ├─ ResourceScope tree                                      │
+│  └─ ThreadManager                                           │
+│       └─ ThreadRuntime                                      │ Data Plane
+│            ├─ durable ThreadEventStore + bounded input queue│
+│            ├─ exactly one active Turn                       │
+│            └─ immutable TurnContextV1                       │
+│                 └─ Single Agent Loop                        │
+│                      ├─ StepSnapshotV1                       │
+│                      ├─ ToolGateway / ExecutionService       │
+│                      └─ TaskContext                         │
+│                           Goal · Evidence · StopDecision      │
+└─────────────────────────────────────────────────────────────┘
+ Model · Prompt · Skills · MCP · Policy · Capability · Compact Extension Plane
+```
+
+所有权约束：
+
+- `OrionRuntime` 只在 composition root 构造一次 services 与 contributors；
+- 一个 `ThreadRuntime` 独占该 thread 的 durable sequence、input queue 与 active turn；
+- 一个普通 thread 同时最多一个 active turn；steer、queue follow-up、interrupt 是不同 command；
+- Goal 是 durable `TaskContext` 与 continuation policy，不拥有第二套 Loop；
+- UI Store 只消费语义事件生成 projection，不得直接修改 Loop、Session 或 transcript；
+- append-only durable facts 是事实源，SQLite/index/UI projection 都不得领先它。
+
+### 4.2 Static Runtime Spine
+
+P0 不建设通用 DI 容器。核心 host 使用显式 typed 字段，使缺少依赖成为编译错误：
+
+```ts
+interface RuntimeServices {
+  readonly models: ModelService;
+  readonly threads: ThreadStore;
+  readonly policy: PolicyService;
+  readonly execution: ExecutionService;
+  readonly tools: ToolService;
+  readonly prompts: PromptService;
+  readonly skills: SkillService;
+  readonly mcp: McpService;
+  readonly taskContext: TaskContextService;
+  readonly capabilities: CapabilityService;
+  readonly events: RuntimeEventService;
+  readonly subagents: SubagentService;
+}
+
+interface RuntimeContributors {
+  readonly context: readonly ContextContributor[];
+  readonly prompt: readonly PromptContributor[];
+  readonly tools: readonly ToolContributor[];
+  readonly threadLifecycle: readonly ThreadLifecycleContributor[];
+  readonly turnLifecycle: readonly TurnLifecycleContributor[];
+  readonly toolLifecycle: readonly ToolLifecycleContributor[];
+}
+```
+
+contributors 只在 composition 阶段组装，启动后冻结。每条 lane 有 stable id、显式顺序、deadline、
+failure policy 和 contract test；observer 失败不得破坏核心状态机，Policy、commit 与 StopDecision 等
+权威阶段不得被 observer short-circuit。任何 contributor 都不能取得可变 `OrionRuntime` 或 Loop 内部对象。
+
+`ResourceScope` 只管理真正可取消的资源：watcher、listener、timer、MCP transport/process、cache lease、
+subagent task 与 AbortSignal。激活失败按 LIFO rollback；scope 关闭后拒绝新 lease；teardown 有 deadline，
+stale async result 按 epoch 丢弃。Git push、npm publish、文件写入、网络 mutation 等业务副作用不属于
+reversible effect，必须走 ToolGateway 的 authority、idempotency 与 evidence 契约。
+
+### 4.3 Thread、Turn、Step、Item 状态层
+
+```ts
+interface StepSnapshotV1 {
+  readonly version: 1;
+  readonly threadId: string;
+  readonly turnId: string;
+  readonly stepId: string;
+  readonly taskEpoch: number;
+  readonly model: ModelSnapshot;
+  readonly authority: AuthoritySnapshot;
+  readonly executionPolicy: ExecutionPolicySnapshotV1;
+  readonly environment: EnvironmentSnapshot;
+  readonly capabilityPlan: CapabilityPlanV1;
+  readonly prompt: PromptSnapshotV1;
+  readonly toolRouter: ToolRouterSnapshotV1;
+  readonly skills: SkillSnapshotV1;
+  readonly mcp: McpBindingSnapshotV1;
+  readonly taskContextRevision: number;
+  readonly digest: string;
+}
+```
+
+- `ThreadStateV2`：持久 identity、event cursor、projection digest、TaskContext 与 compact pointer；
+- `TurnContextV1`：一个逻辑用户请求的 input、mode、deadline、budget、effective authority；
+- `StepSnapshotV1`：在每个模型边界一次性捕获，随后深冻结；
+- `ItemV1`：message、reasoning、command、file change、MCP call、plan、compact 等语义活动单元；
+- `ThreadId`、`TurnId`、`StepId`、`ItemId` 使用稳定 UUID，禁止进程内递增 ID；
+- 配置、provider 或 catalog 在运行中变化，只能影响下一 Step；已发出的工具调用继续使用原 snapshot；
+- 模型可见 tool schema 与 executable binding 必须来自同一 `ToolRouterSnapshotV1`，不能分别查询 registry。
+
+### 4.4 Semantic Runtime Protocol 与 durable event
+
+```ts
+interface RuntimeEventEnvelopeV1<T extends RuntimeEventV1> {
+  protocolVersion: 1;
+  eventId: string;
+  seq: number;
+  threadId: string;
+  turnId?: string;
+  stepId?: string;
+  itemId?: string;
+  durability: 'durable' | 'ephemeral';
+  timestamp: number;
+  payload: T;
+}
+```
+
+- command 至少覆盖 initialize、thread start/resume/fork、turn start/steer/interrupt、approval response；
+- notification 至少覆盖 turn/item started、delta、completed/failed/interrupted、compact 与 receipts；
+- 每个 `item.started` 恰好有一个 terminal event；durable terminal outcome flush 后才可发成功通知；
+- ephemeral delta 可有界合并或丢弃，durable event 不可丢；队列满返回 typed overload，不无限占内存；
+- TypeScript 类型与 JSON Schema 从同一 source 生成，golden fixtures 锁定兼容性；
+- v0.2.0 只实现 transport-neutral 内部协议，不交付完整 app-server、SDK 或 remote-control surface。
+
+### 4.5 Typed Loop 与 Execution Pipeline
+
+```text
+turn.admit → turn.prepare → step.snapshot
+  → model.request / model.stream
+  → tool.plan → policy.decide → approval.decide → sandbox.prepare
+  → tool.execute → durable item outcome → task-context.observe
+  → step.decide → next step | compact transaction | turn terminal commit
+```
+
+`ExecutionService` 是 command、file mutation、MCP side effect 和 user shell 的唯一执行边界，receipt 必须记录
+authority source、approval decision、sandbox backend、`full | partial | none` enforcement、timeout、abort 和
+terminal outcome。`approval=never` 不等于 `sandbox=off`；只有显式 Full Access 才能裸执行。BUILD/PLAN/AUTO
+只影响行为提示与交互策略，不改变 containment 或 capability universe。
+
+### 4.6 TaskContext、Goal 与 StopDecision 的唯一权威
+
+`HarnessKernel` 的 TaskContract、criteria、evidence ledger、capsule、progress 与 completion gate 拆入
+`TaskContextService`，成为唯一完成语义权威。Goal 只保留长周期 identity、token/time budget、lifecycle、
+continuation generation 与 pause/resume/terminal state；Goal 不再复制 criteria、evidence 或 completion audit。
+
+所有 request、Goal、subagent 与 runtime stop 原因统一交给 typed `StopDecisionV1` 仲裁，优先级固定为：
+
+```text
+hard policy / persistence failure / user abort
+  > provider or resource budget
+  > TaskContext verified completion
+  > Goal blocked or no-progress policy
+  > request natural completion / continuation
+```
+
+同一 turn 的 transcript、TaskContext transition、Goal lifecycle、compact pointer、Capability/Tool receipts 由
+`TurnCommitV1` 或等价 WAL/CAS 一次提交。进程崩溃后只能看到上一完整 turn 或下一完整 turn，禁止出现
+“Harness 已完成但 Goal 未完成”、新 transcript 配旧 evidence、或 checkpoint 领先 history 的混合状态。
+
+## 5. Orion Capability Fabric
+
+### 5.1 从快照升级为编译结果
+
+当前 `CapabilityProfile` 记录“本轮已经有的全部工具”。v0.2.0 将它替换为可执行计划：
+
+```ts
+interface CapabilityPlanV1 {
+  version: 1;
+  id: string;
+  threadId: string;
+  turnId: string;
+  taskEpoch: number;
+  preset: string;
+  promptSections: SelectedPromptSection[];
+  directTools: SelectedTool[];
+  deferredTools: SelectedToolSummary[];
+  hiddenTools: HiddenToolReason[];
+  skills: SelectedSkillSummary[];
+  mcpBindings: SelectedMcpBinding[];
+  authority: AuthoritySnapshot;
+  budgets: CapabilityBudgets;
+  omitted: CapabilityOmission[];
+  digest: string;
+}
+```
+
+输入信号：
+
+- TaskContract objective、criteria、allowed scope、current instruction；
+- 用户明确点名的 Skill、MCP、tool 或文件；
+- BUILD/PLAN/AUTO 与 Goal 状态；
+- 当前 Authority 和 hard deny；
+- model 是否支持 tool calling、并行调用、vision、reasoning；
+- project inventory、已使用 evidence、上一步 tool outcome；
+- static RuntimePreset 与当前 provider catalog 提供的 available universe。
+
+选择规则：
+
+1. 用户明确请求且已授权的能力必须 pin 为 direct，不得被意图分类器静默漏掉；
+2. 完成普遍 coding 任务所需的 read/search/edit/exec 核心能力保持 direct；
+3. 大型、第三方、MCP 与长尾工具先作为 deferred summary 可发现，不把完整 schema 塞进首步；
+4. hidden 只用于 Authority 拒绝、模型不支持、scope 禁止或 hard deny，并必须记录原因；
+5. Skill 只能请求 capability，不能扩大 Authority；
+6. Mode 不作为禁用工具的理由。PLAN、BUILD、AUTO 共享 capability universe，权限由 Policy 独立决定；
+7. 若模型需要 deferred 能力，调用唯一的 `capability.search`，在下一模型边界有界扩展；
+8. 每 turn 最多一次自动 expansion；失败时可使用固定 `coding-safe` snapshot，不恢复旧 Loop 或全量 schema；
+9. 同样输入、authority、catalog 与 TaskContext revision 必须产生确定性 plan。
+
+Capability Compiler 只决定模型可见性，不能按 Step 装卸基础 services。available universe 的服务与资源
+生命周期由 Static Runtime Spine 管理，Step 只捕获它们的不可变 descriptor/binding snapshot。
+
+### 5.2 Capability Receipt
+
+每个 model request 持久化：
+
+```ts
+interface CapabilityReceiptV1 {
+  version: 1;
+  compilerVersion: string;
+  requestId: string;
+  threadId: string;
+  turnId: string;
+  stepId: string;
+  durableCommitId: string;
+  planDigest: string;
+  runtimeServicesDigest: string;
+  toolSchemaDigest: string;
+  toolRouterDigest: string;
+  directToolNames: string[];
+  deferredToolNames: string[];
+  hiddenToolReasons: Record<string, string>;
+  skillCatalogDigest: string;
+  loadedSkillDigests: Record<string, string>;
+  mcpBindingDigest: string;
+  promptManifest: PromptSectionReceipt[];
+  authorityDigest: string;
+  executionPolicyDigest: string;
+  expansion?: CapabilityExpansionReceipt;
+  estimatedInputTokens: number;
+  actualPromptTokens?: number;
+  toolSchemaBytes: number;
+  createdAt: number;
+}
+```
+
+Receipt 不保存 secret、Skill body 或完整 project instruction。Resume 时若 service、Authority、catalog、
+MCP 或 execution policy digest 不匹配，Runtime 必须重新编译并显示差异；不能静默声称完全重放。
+receipts 使用 bounded retention 与 digest chain；expansion receipt 必须保存 parent plan、reason、预算和结果。
+
+## 6. Skill Runtime 重构
+
+### 6.1 类型分离
+
+```ts
+interface SkillDescriptorV1 {
+  id: string;
+  name: string;
+  description: string;
+  providerId: string;
+  sourceScope: 'builtin' | 'user' | 'project' | 'configured' | 'remote';
+  modelInvocable: boolean;
+  userInvocable: boolean;
+  requestedCapabilities: string[];
+  digest: string;
+}
+
+interface SkillDefinitionV1 extends SkillDescriptorV1 {
+  body: string;
+  resourceManifest: SkillResourceDescriptor[];
+}
+
+interface SkillProviderV1 {
+  list(scope: SkillScope, signal: AbortSignal): Promise<SkillObservationV1>;
+  get(id: string, signal: AbortSignal): Promise<SkillDefinitionV1 | undefined>;
+  getResource(id: string, path: string, signal: AbortSignal): Promise<SkillResource>;
+  subscribe?(invalidate: (observation: SkillInvalidation) => void): Disposer;
+}
+```
+
+### 6.2 运行规则
+
+- 启动只加载 provider manifest；catalog list 可以异步完成，不能阻塞 `ready_for_input`；
+- filesystem provider 用 bounded frontmatter/prefix 或持久 descriptor manifest 建 catalog；不得为“发现”而读取
+  完整 body，单次 cold discovery 对同一根目录最多扫描一次；
+- 初始 prompt 只显示有界 summary catalog，不含完整 body、resource、绝对路径和 trigger 实现；
+- model 通过 `skill({name})` 加载 body；用户 `/skill` 走同一 service，不再旁路读文件；
+- resource 只有 Skill 明确引用时才读取；
+- `complete=false` 的 provider observation 不进入稳定 cache；
+- cache 同时按 entry count、bytes、TTL 和 provider digest 有界；
+- project > configured > user > builtin 的 shadow 规则显式化，冲突保留诊断；
+- model/user invocation policy 分离；未授权 remote/project Skill 不能被模型自动加载；
+- `requestedCapabilities` 与 Authority 取交集，Skill 不能自己注册或放宽工具权限；
+- transcript/receipt 记录 skill id、provider、digest 与加载原因，不持久化 body；
+- watcher、timer 和 remote request 全部绑定 provider scope 与 AbortSignal。
+
+### 6.3 Catalog 大小策略
+
+- `<= 32` 个 Skill：发布全部有界 name + description；
+- `> 32` 个 Skill：发布按意图选出的 top summaries 与分类摘要，保留 `skill.search`；
+- 每个 description 有字符上限；catalog 默认 hard budget 为 `min(contextWindow × 2%, 1200 tokens)`，并允许
+  provider-specific 更低上限；
+- catalog section 在每个无服务端状态的逻辑请求中仍必须完整存在；digest 稳定时通过 stable prefix/provider
+  prompt cache 降低成本，不能把“缓存可能命中”误写成从请求中省略必要上下文。
+
+## 7. Tool、MCP、Prompt、Execution 与 Model Services
+
+### 7.1 Tool Registry
+
+- 删除全局 `TOOLS` 数组和 `executeTool()` 的全局 lookup；
+- 第一方 contributor 和 MCP provider 注册 immutable `ToolDescriptorV1`；有资源的 provider lease 绑定 scope；
+- registry 区分 available，CapabilityPlan 区分 direct/deferred/hidden，ResourceScope 区分 active/draining/failed；
+- 每个 Step 原子构造 `ToolRouterSnapshotV1`，同时包含 model-visible specs 与 executable bindings；
+- model request 只序列化 direct schemas；deferred 只提供有界摘要，hidden 不暴露；
+- `capability.search` 只返回有界摘要，不一次返回所有 schema；
+- name/alias collision、schema/binding digest 不一致或 executor 缺失全部 fail closed；
+- batch、permission、risk、output serialization 和 evidence 仍走唯一 tool pipeline；
+- built-in canonical name 属于保留命名空间；第一方替换必须在 static composition 中显式声明并通过架构测试。
+
+### 7.2 MCP
+
+- 启动只解析 server descriptor，不调用 `connectAll()`；
+- 用户显式 `/mcp connect <name>`、显式引用或 Capability Compiler 选中时才创建 lease；
+- 首次连接获取 tool catalog，按 config digest + server identity 缓存 summary；
+- 只把选中的 MCP tool schema 暴露给当前 Agent scope；
+- 无 active lease 时按 idle deadline 关闭 transport/child process；
+- server crash 只使对应 provider failed，不污染其他 tool registry；
+- `/mcp` 展示 dormant/activating/connected/idle/draining/failed 与 lease owner；
+- generic MCP tool 仍不能绕过 path、network、secret 和 child-agent policy。
+- optional prewarm 只能在能力被明确选中后有界、合并地执行；准确的 Step binding 永远是 correctness path。
+
+### 7.3 Prompt Registry
+
+每个 prompt section 声明：
+
+- stable id、authority、source contributor、static/dynamic；
+- priority、token budget、render input 与 content digest；
+- selected/omitted reason；
+- cacheability 与 redaction policy。
+
+当前 `SECTIONS` 常量迁入 registry。Task Context、Skill、Memory、Project Instructions、Goal、
+Subagent、Mode 都作为 section provider；Loop 只调用 `prompts.assemble(plan, context)`。
+
+### 7.4 Model 与 Session
+
+- Model registry/client pool 通过 `orion.model` 提供，不再由 Loop import provider 细节；
+- provider fallback、usage、retry 仍由 resilience service 管理；
+- Thread store 先 append + flush durable event，再更新 model-visible history、index、compact pointer 与 UI projection；
+- StopDecision、CapabilityReceipt、tool terminal outcome 与 Goal/Evidence transition 都是可重放 durable facts；
+- 各 service 状态只能写自己的 versioned payload，不能在 shared projection 中任意加字段；
+- migration 失败时旧 store 保持只读，新 store 不发布 active index，并给出恢复诊断。
+
+### 7.5 Execution Boundary
+
+`ExecutionService` 统一 command、file mutation、MCP side effect 与 user shell：
+
+```text
+ToolRouter binding
+  → CapabilityPlan lookup
+  → Authority / Policy decision
+  → Approval decision
+  → Sandbox transform + enforcement probe
+  → Process or operation execute
+  → output stream + evidence
+  → durable ExecutionReceipt
+```
+
+- sandbox 与 approval 是独立维度，不能用模式或“不询问”推导为无隔离执行；
+- macOS/Linux/Windows/Docker backend 共享 contract，receipt 明确 `full | partial | none`；
+- sandbox profile 下 backend 缺失或 enforcement 不足时 fail closed，不得静默裸跑；
+- side effect 开始前持久化 intent/started，完成后持久化 completed/failed/interrupted/indeterminate；
+- outcome 为 indeterminate 的非幂等操作禁止自动重试，必须交给恢复策略或用户决策。
+
+## 8. 第一方能力组合，而不是插件平台
+
+### 8.1 静态第一方 Composition
+
+`createRuntimeServices()` 显式构造 events、threads、model、policy、execution、tool gateway、prompt、
+task context、capability、agent loop 和 diagnostics；`createRuntimeContributors()` 显式收集第一方窄
+contributors。两者在启动后冻结，不支持运行时任意 provide/get、package scan 或 hot load。
+
+### 8.2 内部 Runtime Preset
+
+| Preset     | 用途                        | 默认能力 universe                         |
+| ---------- | --------------------------- | ----------------------------------------- |
+| `minimal`  | benchmark、诊断、最小自动化 | model、session、policy、read/edit/exec    |
+| `coding`   | 默认日常 coding             | base + Git、LSP、Goal、Compact、Skills    |
+| `research` | 需要外部资料的受控任务      | coding + web/research providers           |
+| `headless` | print/exec/CI               | coding runtime，不加载交互 UI contributor |
+
+Preset 决定“哪些静态第一方能力可用”，CapabilityPlan 决定“当前请求哪些能力 direct、deferred 或 hidden”。
+Preset 由 Orion entry point 与任务类型选择，不提供用户插件编排 UI，也不驱动 runtime service 热装卸。
+BUILD/PLAN/AUTO 是行为与交互状态，不是 Preset。
+
+### 8.3 产品边界
+
+v0.2.0 使用窄 contributor 和 resource scope 组织内部源码，但**不把它做成产品平台**：
+
+- 不公开 `definePlugin()`、service locator、effect 或内部 Preset API；
+- 不从 npm、project path 或网络动态加载 JavaScript 插件；
+- 不新增 `/plugin`、插件安装器、插件选择器、trust store 或 marketplace；
+- 不要求用户理解 Bundle、dependency graph 或 lifecycle；
+- Skills 继续承载知识与流程扩展，MCP 继续承载外部工具扩展，Model/Provider 继续承载模型接入；
+- 第一方 contributor 只用于 Orion 自身构建、测试和诊断，不构成第三方兼容承诺；
+- 若未来要开放第三方插件，必须单独立项解决 API version、隔离、签名、权限和生态治理，不搭便车进入本版本。
+
+## 9. Single Production Loop
+
+### 9.1 Loop 内核只保留的职责
+
+1. 接收已获准的 Turn 并建立 turn scope；
+2. 在模型边界捕获一个 `StepSnapshotV1`；
+3. 只使用 snapshot 中的 Prompt、ToolRouter、Skill 与 MCP binding 调用 Model；
+4. 将 tool calls 交给唯一 ToolGateway/ExecutionService；
+5. 将观察结果交给 TaskContext 与 StopPolicy；
+6. 需要时启动 compact transaction，或进入下一 Step；
+7. 先 commit durable outcome，再发 terminal event 并关闭 scope。
+
+Architecture test 必须禁止 Agent Loop import 以下具体模块：
+
+- `skills/*`、`tools/mcp`、`memory/*`、`runtime/subagents/*`、`research/*`；
+- TUI/terminal/print renderer；
+- concrete model provider、session filesystem implementation；
+- Goal renderer 或 command handler。
+
+### 9.2 Thread admission、steer 与 backpressure
+
+`ThreadRuntime` 是输入并发的唯一仲裁者，返回 typed admission：
+
+```ts
+type TurnAdmissionV1 =
+  | { status: 'started'; turnId: string }
+  | { status: 'steered'; activeTurnId: string; itemId: string }
+  | { status: 'queued'; queueId: string; position: number }
+  | { status: 'rejected'; reason: 'overloaded' | 'non_steerable' | 'shutdown' };
+```
+
+- regular coding/Goal turn 可按明确规则 steer；compact、review、migration 等 maintenance turn 不可 steer；
+- queue 有 item/byte/deadline 上限；满载时 typed reject，不无限缓存；
+- interrupt 先持久化 intent，再传播 AbortSignal；完成或中断 terminal event 恰好一次；
+- 当前 turn 完成后，先应用 pending mode/config boundary，再启动 follow-up 或 Goal continuation；
+- print/headless 若定义为 single-turn，必须显式 stop continuation，不产生 ghost provider call。
+
+### 9.3 Compact、Resume 与 Subagent
+
+Compact 是一个 non-steerable maintenance turn 和 `contextCompaction` Item，不是原地替换数组：
+
+```text
+compact.started
+  → prepare candidate + source receipt
+  → semantic/tool-pair/evidence validation
+  → CAS against source history + TaskContext revision
+  → compact.committed | compact.failed
+```
+
+- 任一阶段失败保留旧 projection；orphan bracket 可在 resume 时识别并收敛；
+- 下一次 model-visible history 从 committed durable facts 投影，不能让 checkpoint 领先事实日志；
+- resume/fork/revert 使用稳定 event cursor 和 projection digest；旧 Session 只做一次性导入；
+- child agent 拥有独立 child Thread/Turn/Step snapshot，并复用相同 Loop；
+- root thread tree 共享并发 limiter、model/tool budget 与 cancellation；child authority 是 parent 与 role policy 的交集；
+- fork 前必须 flush/materialize parent durable state，child 只回传 bounded result/evidence，不回传整个 transcript。
+
+### 9.4 需要删除的平行路径
+
+发布前直接删除，不保留双写或 fallback：
+
+- `src/init.ts` 中 Brain/Leader/Coder/legacy Harness runtime；
+- `src/agents/` 旧 Agent/fork/coordinator/worker pool；
+- `src/harness/harness.ts::HarnessEngine`；
+- 与实际 tool policy 分离的 legacy `SafetyChecker` 执行路径；
+- command handler 直接调用 `query()` 的聊天旁路；
+- `AgentRunner` 的独立 loop；
+- `/task`、`/run`、dead `handleChat()` 与零调用的 `LLMService.chatWithTools()`；
+- mock `src/sdk/query.ts` 与虚假的 public SDK 能力；
+- global `TOOLS`、global Skill loader/registry、global `mcpManager`；
+- Store 中预渲染的 `skillsContent`；
+- `mcpReady` 启动阻塞语义。
+
+下列能力不删除，但必须迁入唯一 ToolGateway，且每次 nested invocation 保存 `parentInvocationId`：
+
+- chat local fast path；
+- `batch_read` 内部子调用；
+- `/edit-preview`；
+- dedicated web research 的 search/fetch；
+- MCP、Skill、subagent 与 command tool execution。
+
+`/status`、`/memory`、`/safety`、`/agents`、`/harness` 等读取 legacy `CommandContext.runtime` 的命令必须有
+逐命令迁移/删除表；迁移完成前冻结旧 owner，完成后一起删除，不能先删 runtime 再在命令层补洞。
+
+仍有价值的类型或实现先迁入新 service/contributor；未被生产 runtime 使用且无明确公共价值的代码直接删除。
+迁移 adapter 只允许在 feature branch 内短期存在，不能进入 v0.2.0 tarball。这里的 Single Loop 指
+**一个 agentic model→tool recursion 实现**；root 与每个 child 使用独立 Loop instance、Thread 和预算，
+compact summarizer 是明确标注的非 agentic model-call 例外。
+
+### 9.5 `/harness explain` 成为控制面
+
+现有命令扩展为同一诊断服务的 text/JSON projection：
+
+- RuntimeServices inventory、contributor order 与 active resource scopes；
+- active thread/turn/step/item、pending steer/queue/approval/cancellation；
+- CapabilityPlan 的 direct/deferred/hidden/omitted/reason；
+- StepSnapshot、ToolRouter、Authority 与 ExecutionPolicy digest；
+- tool schema bytes/tokens 与 full-registry 对比；
+- Skill provider/catalog/load/cache 状态；
+- MCP lease 和 idle teardown；
+- prompt section token/digest/authority；
+- latest CapabilityReceipt 与 resume drift；
+- durable event cursor、projection lag、compact 前后 digest；
+- lifecycle leak、failed activation、slow stage 与最近 StopDecision/Evidence refs。
+
+`/tools` 展示 available/selected/lazy，`/skills` 不触发 body load，`/mcp` 不因查看状态而连接 server。
+
+## 10. 范围锁定
+
+### 10.1 P0
+
+1. 显式 RuntimeServices、静态 contributors、ResourceScope 与 deterministic composition；
+2. versioned `AgentRuntimeProtocolV1`、ThreadEventStore、bounded queue、replay 与旧 Session importer；
+3. Thread/Turn/Step/Item、StepSnapshot、TurnCommit 与唯一 TaskContext completion authority；
+4. Task-derived Capability Compiler、direct/deferred/hidden tools、exact ToolRouter 与 receipts；
+5. 统一 ExecutionService：Policy、Approval、Sandbox、ToolGateway 与 invocation lineage；
+6. Skill provider、summary catalog、lazy definition/resource、cache/invalidation；
+7. MCP descriptor、lazy exact binding、lease、idle teardown、selected schema；
+8. Single Production Loop 与所有产品入口切换，删除第 9.4 节平行路径；
+9. compact transaction、subagent child Thread、StopDecision 与 crash/replay recovery；
+10. benchmark、property/chaos、scope isolation、真实 PTY/tarball/release evidence。
+
+### 10.2 P1（只在 P0 指标已达标后进入）
+
+- remote Skill provider；
+- `/harness explain` 的 contributor/resource lifecycle flame graph；
+- 基于历史成功 receipt 的本地 capability ranking（不得上传内容或扩大权限）；
+- MCP catalog 持久 cache 的跨 Session warm start；
+- transport adapter 或 stdio app-server（P0 只交付 transport-neutral protocol）。
+
+### 10.3 明确非目标
+
+- Project Mission、Task Graph、isolated worktree、Mission Board；
+- 多 Writer、远程 worker、团队控制台；
+- Cordis runtime 依赖、HMR、自修改 Agent、通用 service locator；
+- 第三方 Plugin API/SDK、动态 package loader、插件配置、插件管理 UI、trust center 和 marketplace；
+- 任何 external/untrusted JavaScript plugin；
+- Streamable HTTP MCP/OAuth 扩协议；
+- 以 mode 禁用工具或重新引入 PLAN read-only；
+- 只做目录搬迁而不减少启动/上下文/控制流成本。
+
+## 11. 破坏性 API 与配置迁移
+
+### 11.1 公共 API
+
+v0.2.0 是一次明确的架构 breaking cut：
+
+- 删除 Brain、BaseAgent、LeaderAgent、CoderAgent、Harness、HarnessEngine、legacy MemorySystem 导出；
+- 删除 mock SDK init/query；
+- `query()` 不再作为绕过 Runtime 的公共主入口；
+- 新公共边界为单一 `createOrionRuntime()`、versioned runtime protocol 和已有 Skills/MCP/Model 配置；
+- RuntimeServices、contributors、ResourceScope 与 StepSnapshot implementation 保持 package-private；
+- release notes 给出旧 symbol → 新 Runtime 能力的迁移表，不提供运行时 shim。
+
+### 11.2 配置
+
+在现有 `orion.json` schema 中新增 versioned `harness`：
+
+```json
+{
+  "harness": {
+    "capabilities": {
+      "toolSchemaBudgetTokens": 3000,
+      "skillCatalogBudgetTokens": 1200
+    },
+    "diagnostics": {
+      "capabilityReceipts": true
+    }
+  }
+}
+```
+
+- 旧 `skills.paths` 自动映射为 filesystem Skill provider config；
+- 旧 `mcpServers` 映射为 dormant MCP descriptors，不在迁移时连接；
+- 旧 tools/permission 配置迁入 Policy/Capability config；
+- config migration 采用 parse → validate → preview → atomic write；失败时不修改原文件；
+- 配置 schema 不出现 plugin package、path、enable/disable 或 trust 字段。
+
+## 12. 实施顺序
+
+### Phase 0 — Pin sources、冻结基线与 ADR
+
+- 固定 DSH、Cordis、Codex 与 Orion source SHA；调研引用只指向 pinned primary source；
+- 建立 `scripts/bench/harness-runtime.ts` 与固定 eval corpus，cold/warm 各至少 30 个样本；
+- 记录 startup、Skill body read、MCP process/socket、tool schema、prompt token、request count、success、latency；
+- 将当前 33 tools / 20,596 schema bytes 快照变成自动回归，不依赖手工数字；
+- 写 ADR：DSH inside/Codex outside、静态 composition、Thread/Turn/Step/Item、durable/ephemeral 事件、
+  atomic StepSnapshot、Execution boundary、TaskContext/Goal ownership、compact transaction、single Loop cutover。
+
+退出条件：baseline 可重复三次；ADR 明确采用/拒绝/替代方案、失败模式与回滚边界。
+
+### Phase 1 — Versioned Protocol 与 Thread Store
+
+- 从同一 source 生成 `AgentRuntimeProtocolV1` TypeScript 类型、JSON Schema 与 golden fixtures；
+- 实现 UUID identity、单调 durable seq、append + flush、projection、cursor replay 与 bounded queue；
+- 定义 start/steer/follow-up/interrupt/approval command 及 typed admission；
+- 将 transcript/message/trace 转为同一语义事件 projection，Store 降级为可重建 UI projection；
+- 实现旧 Session → v2 Thread 的 dry-run、side-by-side、原子索引切换 importer；
+- crash injection 覆盖 event append、flush、projection/index 更新之间的每个边界。
+
+退出条件：fresh replay 与 crash-resume projection digest 一致，projection 从不领先 durable log。
+
+### Phase 2 — Static Runtime Spine 与唯一 TaskContext
+
+- 实现显式 `RuntimeServices`、静态 `RuntimeContributors`、`ResourceScope` 和 Harness Test Rig；
+- 迁入 model、thread、policy、execution、tools、prompt、skills、MCP、capability、events、subagents seams；
+- 将 `HarnessKernel` 拆为 TaskContext 内部组件；Goal 删除 criteria/evidence/completion 副本，只留长周期 lifecycle；
+- 冻结 legacy `Harness`/`HarnessEngine`，以只读 adapter 支撑尚未迁移命令，不新增调用者；
+- `/harness explain --json` 先接 service inventory、contributor order、resource scopes 和 TaskContext revision。
+
+退出条件：compile-time service completeness 通过；1,000 次 fake-resource scope churn 无泄漏；TaskContext/Goal
+completion 不变量只有一个权威来源。
+
+### Phase 3 — ThreadRuntime、Atomic Step Snapshot 与 Single Loop
+
+- 建立一个 ThreadRuntime owner、一个 active-turn state machine 和 frozen Turn/Step contexts；
+- 从现有 `query()` 抽取已验证的 budget、tool pairing、provider resilience、completion gate，不推倒重写；
+- 所有 model request 从同一 StepSnapshot 取得 prompt、schemas、bindings、Authority 与 execution policy；
+- root、modern subagent 各用独立 Loop instance，但 agentic recursion 实现只有一个；
+- TUI、terminal、print、Goal continuation、commands 接入语义 protocol；
+- 按第 9.4 节迁移 `/status` 等 legacy CommandContext 依赖，并建立逐命令 cutover matrix。
+
+退出条件：所有入口产生同构 Thread/Turn/Step/Item 序列；生产 dependency graph 只有一个 agentic Loop 实现。
+
+### Phase 4 — Execution Boundary 与唯一 ToolGateway
+
+- 将 ToolScheduler 的 policy order、parallel groups、permission receipts 演进为唯一 ToolGateway；
+- 新增严格 ToolDescriptor：risk/effect/network/destructive/readOnly 缺任一关键元数据即拒绝注册；
+- Policy → Approval → Sandbox → Execute → durable receipt 全链服务化；
+- local fast path、batch child、edit-preview、research、MCP、Skill、subagent 全部接入 invocation lineage；
+- macOS/Linux/Windows/Docker backend contract 验证 enforcement，sandbox-required policy 下不可用时 fail closed；
+- tool side effect 与 TurnCommit 做 crash injection，indeterminate 非幂等 outcome 不自动重试。
+
+退出条件：不存在 direct `executeTool()` 旁路；每个 call 恰好一个 terminal receipt，sandbox/authority 可解释。
+
+### Phase 5 — Capability Fabric、Lazy Skill/Tool/MCP/Prompt
+
+- 编译 direct/deferred/hidden 工具、deterministic route、budget、omission reasons、bounded expansion 与 receipt；
+- built-in tools 转为 contributors，删除 global `TOOLS`；ToolRouter schema/executor exact binding；
+- Skill Descriptor/Definition/Resource 分离，filesystem metadata scan 最多一次，body/resource 真正按需读取；
+- MCP 先以 server descriptor 选择，冷缓存时 connect/list，再在下一 Step 选择 exact tool；
+- Prompt sections、stable prefix/cache、manifest、digest 与 selected schemas 接入；
+- 无 Skill/MCP corpus 验证 0 body read、0 connect/socket/process，Huoshan/OpenAI-compatible provider matrix 验证动态工具集。
+
+退出条件：schema 降幅、routing recall、MCP zero-connect、Skill lazy、provider compatibility 达到第 3.2 节门槛。
+
+### Phase 6 — Compact、Resume、Subagent 与 durable completion
+
+- compact 改为 maintenance Turn + transaction bracket，统一 prepare/validate/CAS/commit owner；
+- `TurnCommitV1` 原子覆盖 transcript、TaskContext、Goal、compact pointer 与 receipts；
+- resume/fork/revert 由 event log 确定性重建；未完成 Item、orphan compact、stale lock、indeterminate tool 有恢复规则；
+- child 使用独立 Thread/Turn/Step snapshot，相同 Loop，root-tree 共享 limiter/budget/abort；fork 前 flush parent；
+- typed StopDecision arbitration 与 Goal 20+ continuation、no-progress、blocked、provider、budget、Ctrl+C 全链验证。
+
+退出条件：compact/resume 下一次 model-visible input digest 与 uninterrupted path 等价，Goal 不出现 ghost continuation。
+
+### Phase 7 — Breaking Cut、诊断、性能与 RC
+
+- 删除第 9.4 节所有 legacy runtime/commands/exports/tests/config/docs 和全部 branch adapter；
+- `/harness explain`、`/tools`、`/skills`、`/mcp` 完成新状态投影；
+- public exports、CLI help、config schema 不暴露 service locator、module/effect/plugin platform surface；
+- Node 20/22/24 全量门禁、真实资源 soak、benchmark 盲比、PTY 与 exact tarball clean install；
+- exact tarball 完成 edit/test/Skill/MCP/subagent/compact/resume 旅程并验证不存在旧 owner 或外部 plugin loader。
+
+退出条件：第 3.2 节所有指标有 machine-readable receipt；任一硬指标未达标即 No-Go。
+
+### 12.1 迁移与回滚纪律
+
+| 失败点                          | 处理与回滚                                                                    |
+| ------------------------------- | ----------------------------------------------------------------------------- |
+| Resource activation 中途失败    | LIFO 撤销本 scope 已创建资源；输入 ready 前 fail closed                       |
+| config/provider 在 Turn 中变化  | 当前 Step 继续 frozen snapshot；下一模型边界重编译                            |
+| Capability router 漏选          | 一次有界 expansion；仍失败时切固定 `coding-safe` snapshot，不恢复旧 Loop      |
+| Tool 执行后 durable commit 失败 | 标记 `indeterminate`，不发成功 Item，不自动重试非幂等副作用                   |
+| Compact 崩溃                    | 检测 orphan transaction；旧 projection 保持 authoritative，直至新 commit 完整 |
+| Sandbox backend 缺失            | sandbox-required policy 下拒绝；只有显式 Full Access 可记录 `none` 后执行     |
+| Event consumer 过慢             | 合并/丢弃 ephemeral delta；durable queue 不丢，超限 typed reject              |
+| v2 importer 失败                | legacy store 原样只读保留；新 store side-by-side；不切换 active index         |
+| RC 回滚                         | 回退二进制并继续使用未修改 legacy store；旧版本禁止写已激活的 v2 store        |
+| 性能门槛失败                    | 关闭 adaptive selection，使用固定 snapshot；不恢复三套 Harness、双写或双 Loop |
+
+发布包不保留“新旧双写/双 Loop fallback”。回滚来自数据隔离、原子迁移与 release 切换，而不是长期
+兼容层；所有 branch adapter 必须在 RC 前删除。
+
+## 13. 验收标准
+
+### AC1 — 部分激活回滚
+
+Given 第一方 resource activation 已创建 listener、timer 和 process 后在第三个 registration 抛错，
+When activation transaction 失败，
+Then 三项资源全部按逆序撤销，scope 状态为 failed，resource digest 等于激活前。
+
+### AC2 — 依赖驱动卸载
+
+Given MCP tool consumer 持有 MCP provider lease，
+When next-boundary reconfigure 移除 provider，
+Then provider 先进入 draining、拒绝新 consumer，旧 consumer teardown 后才关闭 transport，且无 ghost tool。
+
+### AC3 — Confluence
+
+Given 两组不同 resource activate/reconfigure/scope-close 历史收敛到同一最终 desired state，
+When 所有 scope stable，
+Then services、tools、listeners、timers、processes 和 cache 的 canonical digest 与 fresh boot 完全一致。
+
+### AC4 — Skill 按需加载
+
+Given 100 个可发现 Skill，当前任务不需要 Skill，
+When 完成普通文件编辑任务，
+Then prompt 只有有界 summary catalog，definition/resource load 为 0，task success 不低于 baseline。
+
+### AC5 — Skill scope 与权限
+
+Given project Skill 请求 `web` 和 `exec` capability，但当前 Authority 禁止 network，
+When Skill 被用户调用，
+Then body 可加载，network capability 被明确 omitted，Skill 不能扩大权限，receipt 记录原因。
+
+### AC6 — MCP lazy lifecycle
+
+Given 配置 5 个 stdio MCP servers，
+When 用户完成一个不涉及 MCP 的 coding turn，
+Then 无 server connect、child process 或 tool schema；显式选择一个 server 后只连接该 server，idle 后关闭。
+
+### AC7 — 最小 tool schema
+
+Given 普通“读取文件并修复测试”任务，
+When Capability Compiler 生成首步 plan，
+Then 只暴露完成任务所需工具；schema token 至少比全量 baseline 降 50%，遗漏能力可在下一 step 有界扩展。
+
+### AC8 — Mode 与 Authority 分离
+
+Given 相同任务分别处于 BUILD、PLAN、AUTO，且 Authority 相同，
+When 编译 CapabilityPlan，
+Then Mode 不会因为“PLAN read-only”等旧规则移除工具；差异只来自行为 prompt 与明确 Policy。
+
+### AC9 — Subagent 隔离
+
+Given root turn 同时创建 research 和 review agent，
+When 两个 child 运行，
+Then 各自只有独立 agent scope、plan、budget 与 tools；不得继承 ask-user、write、generic MCP 等未选择能力。
+
+### AC10 — Resume 可解释
+
+Given Thread 保存 receipt 后 Skill、service、MCP 或 execution-policy digest 改变，
+When resume，
+Then Runtime 显示 capability drift、重新编译并持久化新 receipt；不静默伪装为完全相同环境。
+
+### AC11 — Single Loop
+
+Given TUI、terminal、print、Goal continuation、subagent 和 command invocation，
+When 执行请求，
+Then 它们都进入同一个 Agent Loop 实现；root/child 可有隔离实例，但 dependency graph 找不到第二套
+agentic model→tool recursion 或旁路 query owner。
+
+### AC12 — 不建设插件平台
+
+Given 用户从 packed tarball 安装 Orion，
+When 检查 public exports、CLI help、config schema 和文档，
+Then 不存在 plugin install/load/enable/trust/marketplace/SDK surface；Skills、MCP、Model 是明确的用户扩展边界，
+内部 contributor/resource lifecycle 仍通过全部 contract tests。
+
+### AC13 — Atomic Step Snapshot
+
+Given 一个 model request 已捕获 `StepSnapshotV1`，
+When provider、config、Authority、Skill catalog 或 MCP registry 在请求中途变化，
+Then 当前 prompt、schema、executor、approval 与 sandbox 继续使用同一 digest-bound snapshot；变化只在下一
+Step 生效，schema/router 不一致直接 fail closed。
+
+### AC14 — Thread admission 与唯一 active turn
+
+Given TUI、terminal、print、Goal 或 subagent 同时提交 start、steer、queue、interrupt，
+When ThreadRuntime 仲裁，
+Then 每个 thread 最多一个 active turn，返回 typed `started|steered|queued|rejected`；maintenance turn
+non-steerable，队列越界显式 overload，terminal event 恰好一次。
+
+### AC15 — Event terminality 与 replay equivalence
+
+Given 任意 message、reasoning、tool、file change、MCP、plan 或 compact Item，
+When 在 started、delta、side-effect、durable commit 任一点注入 crash，
+Then 每个 started Item 最终恰好一个 completed/failed/interrupted/indeterminate；resume projection digest 与
+durable log 重放一致，projection/index 永不领先 log。
+
+### AC16 — 唯一 Execution Boundary
+
+Given built-in、nested batch、local fast path、command、research、MCP、Skill 或 subagent tool call，
+When 执行，
+Then 全部经过 Capability lookup → Policy → Approval → Sandbox → Execute；receipt 含 invocation lineage、
+enforcement 与唯一终态，executor 不能被旁路。
+
+### AC17 — Compact transaction recovery
+
+Given compact 在 prepare、summary、validate、CAS 或 commit 任一点崩溃，
+When resume，
+Then 旧 projection 或新 checkpoint 恰有一个完整有效，tool call/output 配对和 TaskContext evidence 保持，
+下一次 model-visible history digest 与无崩溃路径一致。
+
+### AC18 — TaskContext/Goal 单一完成权威
+
+Given TaskContext criteria、evidence、progress 和 Goal continuation/lifecycle 同时更新，
+When TurnCommit，
+Then completion 只由 TaskContext 审计，Goal 只消费 typed decision；不存在一方 complete、另一方 active 的
+持久状态，失败时整个 turn 不发布成功。
+
+### AC19 — Protocol identity 与 backpressure
+
+Given 同一任务通过 TUI、terminal、print 或 exec 运行，
+When 比较语义事件，
+Then Thread/Turn/Step/Item 序列同构；慢 UI 或 delta 暴增只合并 ephemeral delta，durable event 不丢且内存
+有界。TypeScript 类型、JSON Schema 和 golden fixtures 来自同一 source。
+
+### AC20 — Tool exposure recall
+
+Given 核心 coding task、显式用户点名能力和长尾 MCP/Skill 能力，
+When Capability Compiler 运行，
+Then 核心/显式合法能力 direct，长尾能力 deferred 可发现，Authority 拒绝能力 hidden 且有原因；自动
+expansion 最多一次，routing miss 不超过第 3.2 节阈值。
+
+### AC21 — UI 无运行时所有权
+
+Given Store 被清空或 renderer 重启，
+When 从 durable event cursor 重建，
+Then UI projection 与原 digest 一致；Agent Loop 不 import renderer、transcript mutation 或 UI Store。
+
+### AC22 — 静态组合边界
+
+Given packed tarball 与 production dependency graph，
+When 检查 exports、config、help 和 runtime composition，
+Then 不存在 generic service locator、dynamic module loader、runtime plugin DAG、third-party JS 或 marketplace；
+所有第一方 services 在 composition root 显式可见。
+
+## 14. 测试与 Benchmark 计划
+
+### 14.1 Unit / Contract
+
+- RuntimeServices compile-time completeness、contributor order/deadline/failure isolation；
+- ResourceScope ordering、partial rollback、idempotent dispose、lease/draining、deadline；
+- Thread admission、UUID identity、bounded queue、event terminality、cursor replay；
+- StepSnapshot freeze、schema/executor binding、config/Authority drift；
+- CapabilityPlan direct/deferred/hidden determinism、budget、authority intersection、expansion；
+- Skill observation completeness、shadowing、cache/invalidation、resource containment；
+- ToolRouter/schema digest、strict descriptor、Policy/Approval/Sandbox final authority、invocation lineage；
+- Prompt section ordering、budget、digest、redaction；
+- MCP lease、crash、idle、reconnect；
+- TaskContext/Goal ownership、StopDecision priority、TurnCommit CAS；
+- CapabilityReceipt serialization/retention/digest chain、resume drift。
+
+### 14.2 Property / Chaos
+
+- 随机 desired-resource-state sequence 的 confluence；
+- 1,000 次 scope/reconfigure churn 的 fake-resource leak，另跑小规模真实 MCP/process soak；
+- resource activation、durable append/flush、TurnCommit、compact 每个 stage 后 crash；
+- consumer teardown 与 provider removal 竞态；
+- Skill watcher invalidate 与并发 get；
+- MCP process 在 initialize/list/call/idle 各阶段退出；
+- schema snapshot 与 pending tool call 的 boundary race；
+- slow renderer/backpressure、abort、Ctrl+C、shutdown 与 Goal continuation 竞态。
+
+### 14.3 Eval Corpus
+
+至少覆盖：
+
+1. 纯问答，无工具；
+2. 本地搜索/阅读；
+3. 单文件编辑；
+4. 跨文件编辑 + tests；
+5. Git status/diff/commit；
+6. 显式 Skill；
+7. auto-routed Skill；
+8. web research；
+9. MCP tool；
+10. PLAN → execution；
+11. 20+ turn Goal continuation；
+12. root + two subagents；
+13. compact + resume；
+14. permission deny/allow；
+15. provider fallback；
+16. internal preset/scope churn + resume drift；
+17. concurrent start/steer/queue/interrupt；
+18. compact crash at every transaction boundary；
+19. nested batch/local fast path/research invocation lineage；
+20. Huoshan 与 OpenAI-compatible dynamic tools/parallel calls/prompt-cache/finish-reason matrix。
+
+每个 case 同时记录 success、false completion、input/output token、requests、tool calls、schema bytes、
+skill loads、MCP processes、startup/turn latency、event/projection lag、sandbox enforcement 和 receipt。
+
+### 14.4 建议门禁命令
+
+```bash
+npm run build
+npm run lint
+npm test -- --runInBand
+npm run bench:harness -- --baseline docs/archive/releases/v0.2.0/harness-baseline.json
+npm run test:harness-confluence
+npm run test:runtime-matrix
+npm run prepublishOnly
+```
+
+新 script 名称可在实现时调整，但相同 gate 必须存在且 fail closed。
+
+## 15. 风险与控制
+
+| 风险                               | 控制                                                                                                     |
+| ---------------------------------- | -------------------------------------------------------------------------------------------------------- |
+| 通用 Harness kernel 过度工程化     | 显式 services 和静态 contributors 优先；禁止 string-token locator、runtime arbitrary DAG/HMR             |
+| 能力裁剪导致模型多一轮找工具       | recall + request count 双 gate；核心/显式能力 direct，一次有界 expansion，固定 safe snapshot 降级        |
+| schema 与 executor snapshot 漂移   | 同一个 StepSnapshot 构造并 digest-bind；pending invocation 完成前不得切换 binding                        |
+| 意图分类器静默漏掉合法能力         | classifier 只影响 direct/deferred 排序，不拥有 Authority 或 available universe；所有 omission 有 receipt |
+| durable event/journal 不完整       | append+flush 先于 projection；Item terminality、TurnCommit CAS、每阶段 crash injection                   |
+| TaskContext 与 Goal 再次重复所有权 | TaskContext 唯一 criteria/evidence/completion owner；Goal 只持 lifecycle/budget/continuation             |
+| lifecycle 资源清理错误             | Harness Test Rig、resource counters、1,000-cycle property + 真实 MCP/process soak                        |
+| BUILD/PLAN/AUTO 再次耦合权限       | Mode 不决定 tool eligibility 或 containment；Policy/Execution architecture test 锁定所有权               |
+| Skill catalog 过大                 | descriptor/body 分离、top catalog、search、token hard budget、stable prefix/cache                        |
+| MCP lazy connect 增加首用延迟      | server descriptor 先选、connect/list 后下一 Step exact binding；optional bounded prewarm                 |
+| 大爆炸迁移导致双 runtime           | 分 Phase cutover但 tarball 前删除 adapter；No-Go 检查旧 owner、global singleton 和 direct query          |
+| Codex/DSH 产品面范围蔓延           | pinned open-source contract 为证据；P0 禁 marketplace/app-server/remote execution/Rust 移植              |
+| 破坏公共 API 与旧 Session          | 0.x breaking release、side-by-side importer、dry-run/atomic index、迁移表；不保留模糊 runtime shim       |
+
+## 16. Release Go / No-Go
+
+### Go
+
+- 第 3.2 节全部量化指标达标；
+- 一个 OrionRuntime owner、一个 agentic Loop 实现、一个 ToolGateway、一个 TaskContext completion owner；
+- Thread/Turn/Step/Item protocol、durable log、bounded queue 与 replay/crash equivalence 全绿；
+- 每个请求使用 atomic StepSnapshot，model-visible schema 与 executable router digest 绑定；
+- no-skill/no-MCP 任务确实不加载 body、不连接 server；
+- CapabilityReceipt 能解释每个模型请求并跨 resume 检测 drift；
+- legacy Brain/Agent/HarnessEngine/global registry/mock SDK 从 tarball 删除；
+- 第一方 services 静态可见，contributors 与 ResourceScope 能完整退出；
+- 所有 side effect 经过 ExecutionService，sandbox enforcement 与 outcome 可审计；
+- Goal、Compact、Permission、Subagent、TUI/terminal/print 语义无回归；
+- exact tarball 在 Node 20/22/24 clean install 验证通过。
+
+### No-Go
+
+- 仅把现有 class 包一层内部 module wrapper；
+- 默认请求仍发送全部 33+ tool schemas；
+- CLI 仍启动 `connectAll()` 或读取全部 Skill body；
+- Loop 或 chat controller 继续 import MCP/Skill/Subagent/Research 具体实现；
+- UI Store/transcript mutation 仍是运行时事实源，或 projection 可领先 durable log；
+- schema 和 executor 分别查询 live registry，导致同一 Step 可能不一致；
+- TaskContext 与 Goal 同时拥有 criteria/evidence/completion；
+- 任一 tool side effect 可旁路 Policy/Approval/Sandbox/ToolGateway；
+- 旧 runtime、direct query、AgentRunner 或 mock SDK 仍可成为生产执行入口；
+- scope/reconfigure 后有 ghost tool/listener/timer/process；
+- token 降低但成功率下降、请求数明显增加；
+- public exports、config、help 或文档出现第三方 plugin platform surface；
+- production 出现 generic service locator、runtime dynamic module graph 或完整 app-server scope creep；
+- 缺 machine-readable benchmark 与 lifecycle receipts。
+
+## 17. Definition of Done
+
+v0.2.0 的完成场景是：
+
+> 用户在安装包中启动 Orion，CLI 在不连接无关 MCP、不加载无关 Skill body 的情况下快速进入可用
+> 状态。用户给出真实 coding Goal 后，ThreadRuntime 以唯一 Loop 为 root turn 与每个 child thread 运行，
+> 每个模型边界冻结精确 StepSnapshot，只发送 direct prompt/tool schema，并让 deferred 能力保持可发现。
+> 所有 side effect 经过统一 ExecutionService；所有 Item 和 Turn 先持久化终态再通知 UI。TaskContext 用
+> criteria/evidence 判断真正完成，Goal 只负责有界续跑。compact、crash、resume 后仍可从 durable log 重建
+> 等价上下文和 UI projection。固定任务集在不降低成功率和证据标准的前提下，输入 token 至少下降 30%。
+
+达到这个结果，Orion 才真正拥有自己的轻量 Harness：DSH 的资源生命周期、Codex 的执行与协议契约、
+Orion 的证据化 Goal 完成被收敛到一个可恢复 Runtime；它仍不是插件平台。否则只是一次目录重排。