@piagent/platform 1.2.0 → 1.2.1

package/docs-site/architecture.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/commands.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/content/mcp-approval.html

@@ -24,7 +24,7 @@
     </div>
     <div class="card">
       <h3 id="enforce-tool-call">Enforce ở tool call</h3>
-      <p>Guard chặn cả proxy (<span class="inline-code">mcp</span> với <span class="inline-code">input.server</span>) lẫn dạng direct tool (<span class="inline-code">mcp__&lt;server&gt;__&lt;tool&gt;</span>). Gate chỉ đọc proxy sẽ bị đi vòng bằng cách bật <span class="inline-code">directTools</span>.</p>
+      <p>Guard đọc cả proxy (<span class="inline-code">mcp</span> với <span class="inline-code">input.server</span>) lẫn direct tool. Gate chỉ đọc proxy sẽ bị đi vòng bằng cách bật <span class="inline-code">directTools</span>.</p>
     </div>
   </div>
 </section>
@@ -40,6 +40,54 @@
   <p>Server ở <span class="inline-code">global</span> và <span class="inline-code">pi-global</span> không qua gate. Hai layer đó nằm ngoài mọi repo — không repo nào đặt được server vào đó — và bắt người dùng duyệt config của chính mình trên từng máy là vô nghĩa.</p>
 </section>
 
+<section class="section">
+  <h2 id="imports">Server đến qua <span class="inline-code">imports</span></h2>
+
+  <p>Config MCP nhận thêm key <span class="inline-code">imports</span>, kéo định nghĩa server từ config của công cụ khác. Server vào session theo đường này không nằm trong bốn scope nào, nên nó là đường vòng thứ hai quanh gate — và không cần bật <span class="inline-code">directTools</span>.</p>
+
+  <p>Trong sáu kind, chỉ <span class="inline-code">vscode</span> trỏ vào đường dẫn <strong>trong project</strong> (<span class="inline-code">.vscode/mcp.json</span>). Clone repo là mang theo file đó, nên server của nó phải duyệt như mọi server repo khai báo thẳng.</p>
+
+  <div class="table-wrap">
+    <table>
+      <thead>
+        <tr><th>Tình huống</th><th>Xử lý</th></tr>
+      </thead>
+      <tbody>
+        <tr>
+          <td>Layer bất kỳ import kind repo-relative</td>
+          <td>Server phải duyệt, kể cả khi <span class="inline-code">global</span> khai báo — nội dung đọc lại vẫn nằm trong repo.</td>
+        </tr>
+        <tr>
+          <td>Repo scope import kind bất kỳ</td>
+          <td>Server phải duyệt. Repo đang chọn hộ máy này chạy server nào.</td>
+        </tr>
+        <tr>
+          <td>Repo scope import kind không đọc được nội dung (<span class="inline-code">codex</span>, TOML)</td>
+          <td>Chặn mọi tool call, khi file đó có thật trên máy. Từ chối ở dòng khai báo: liệt kê được server của năm kind kia không nói gì về kind thứ sáu. Khai một kind máy này không cài thì là config cần dọn, không phải session cần dừng.</td>
+        </tr>
+        <tr>
+          <td><span class="inline-code">remove</span> / <span class="inline-code">enable</span> / <span class="inline-code">disable</span> trên server đến qua <span class="inline-code">imports</span></td>
+          <td>Từ chối, kèm tên file thật cần sửa. File được định vị là config của công cụ kia; ghi ngược bằng writer của platform sẽ viết lại file Cursor/VS Code của người dùng theo format chính công cụ đó không dùng.</td>
+        </tr>
+        <tr>
+          <td><span class="inline-code">directTools</span> + <span class="inline-code">toolPrefix: "none"</span> trong config repo mang theo</td>
+          <td>Chặn mọi tool call, không riêng lời gọi MCP. Không prefix thì tên tool không còn dấu vết server, không truy được để đối chiếu quyết định — mà chặn riêng proxy <span class="inline-code">mcp</span> thì đúng những cái tên trần cần chặn lại đi thẳng qua.</td>
+        </tr>
+      </tbody>
+    </table>
+  </div>
+
+  <p><span class="inline-code">piagent-mcp doctor</span> nêu tên file có <span class="inline-code">imports</span> và các kind của nó, nêu layer không parse được, và nêu cả import target <em>có thật nhưng không đọc được</em> — cả ba trạng thái trước đây đều đọc ra rỗng, không phân biệt được với &ldquo;không khai server nào&rdquo;.</p>
+
+  <p>Với hai trạng thái chặn-toàn-bộ ở trên, <span class="inline-code">doctor</span> và <span class="inline-code">list</span> in ra lý do và exit 1 — kể cả <span class="inline-code">list --json</span>, vốn trả <span class="inline-code">servers: []</span> với exit 0 đúng lúc không gì chạy được. Exit code trả lời &ldquo;MCP ở đây có chạy được không&rdquo;, không phải &ldquo;có in ra dòng nào không&rdquo;. Cả ba surface — guard, <span class="inline-code">/piagent-mcp</span>, CLI — đọc một state chung, vì hai bên lệch nhau chính là cách một session bị chặn biến thành một session hỏng không rõ lý do.</p>
+
+  <p>Gate được cache theo project và tính lại khi signature trên các file phía sau nó đổi. Danh sách file đó lấy từ chính đường đi mà các reader dùng, kể cả file đang không tồn tại — <span class="inline-code">imports: ["codex"]</span> thành chặn đúng lúc file codex xuất hiện, và <span class="inline-code">directTools</span> thêm vào config global cá nhân là thứ guard đã load phải thấy ngay. Viết tay danh sách đó là cách nó lệch.</p>
+
+  <p>Adapter merge <span class="inline-code">settings</span> của cả bốn layer thành một block cho cả session. Nên <span class="inline-code">directTools</span> đặt ở file này và <span class="inline-code">toolPrefix: "none"</span> đặt ở file kia vẫn ra đúng tổ hợp làm gate mất chỗ bám, trong khi đọc riêng từng file thì không file nào có vấn đề. Settings được đọc sau merge, và báo cả hai file.</p>
+
+  <p>Cột <span class="inline-code">SCOPE</span> là layer khai báo <span class="inline-code">imports</span>, không phải nơi server được định nghĩa. Server import qua config <span class="inline-code">global</span> vẫn cần duyệt, vì file đọc lại nằm trong clone.</p>
+</section>
+
 <section class="section">
   <h2 id="thiet-ke">Bốn quyết định thiết kế</h2>
 
@@ -61,9 +109,13 @@
           <td>Pin theo digest của định nghĩa</td>
           <td>Duyệt là duyệt <em>đúng</em> command và URL đó. Đổi command, đổi args, đổi URL thì server quay về <span class="inline-code">pending</span> chứ không kế thừa quyết định cũ.</td>
         </tr>
+        <tr>
+          <td>Preview in ra bản đã merge, digest tính trên mảnh của repo</td>
+          <td>Adapter merge server trùng tên theo từng key qua các layer, nên repo khai mỗi <span class="inline-code">{"args": [...]}</span> vẫn lấy <span class="inline-code">command</span> từ layer dưới. Preview phải là thứ sẽ chạy thật. Digest thì giữ trên phần repo kiểm soát — băm cả bản merge sẽ đẩy server về <span class="inline-code">pending</span> mỗi lần người dùng sửa config global của chính mình.</td>
+        </tr>
         <tr>
           <td>Chặn ở <span class="inline-code">tool_call</span></td>
-          <td>Cả dạng proxy <span class="inline-code">mcp</span> lẫn dạng direct <span class="inline-code">mcp__&lt;server&gt;__&lt;tool&gt;</span>, để không có đường vòng.</td>
+          <td>Cả dạng proxy <span class="inline-code">mcp</span> lẫn direct tool, để không có đường vòng. Direct tool được truy theo tên server đang cấu hình, vì prefix của nó chính là tên server.</td>
         </tr>
       </tbody>
     </table>

package/docs-site/content/quickstart.html

@@ -4,7 +4,7 @@
     <article class="step">
       <div>
         <h3 id="cai-hai-lenh">Cài — hai lệnh</h3>
-        <p>Cần Node.js 22.19.0 trở lên. Không cần cài Pi Coding Agent trước: <span class="inline-code">piagent-setup</span> tự cài đúng bản <span class="inline-code">0.82.0</span> mà release <span class="inline-code">v1.2.0</span> đang pin. Chạy nó ngay trong thư mục project — nó cài Pi package, khởi tạo <span class="inline-code">.pi/</span>, cài MCP baseline cùng subagents, rồi chạy doctor. Thêm <span class="inline-code">--no-mcp</span>, <span class="inline-code">--no-subagents</span>, <span class="inline-code">--no-herdr</span> hoặc <span class="inline-code">--global-only</span> để bỏ bớt.</p>
+        <p>Cần Node.js 22.19.0 trở lên. Không cần cài Pi Coding Agent trước: <span class="inline-code">piagent-setup</span> tự cài đúng bản <span class="inline-code">0.82.0</span> mà release <span class="inline-code">v1.2.1</span> đang pin. Chạy nó ngay trong thư mục project — nó cài Pi package, khởi tạo <span class="inline-code">.pi/</span>, cài MCP baseline cùng subagents, rồi chạy doctor. Thêm <span class="inline-code">--no-mcp</span>, <span class="inline-code">--no-subagents</span>, <span class="inline-code">--no-herdr</span> hoặc <span class="inline-code">--global-only</span> để bỏ bớt.</p>
         <div class="table-wrap compact-table">
           <table>
             <thead>

package/docs-site/index.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/mcp-approval.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />
@@ -118,7 +118,7 @@
     </div>
     <div class="card">
       <h3 id="enforce-tool-call">Enforce ở tool call</h3>
-      <p>Guard chặn cả proxy (<span class="inline-code">mcp</span> với <span class="inline-code">input.server</span>) lẫn dạng direct tool (<span class="inline-code">mcp__&lt;server&gt;__&lt;tool&gt;</span>). Gate chỉ đọc proxy sẽ bị đi vòng bằng cách bật <span class="inline-code">directTools</span>.</p>
+      <p>Guard đọc cả proxy (<span class="inline-code">mcp</span> với <span class="inline-code">input.server</span>) lẫn direct tool. Gate chỉ đọc proxy sẽ bị đi vòng bằng cách bật <span class="inline-code">directTools</span>.</p>
     </div>
   </div>
 </section>
@@ -134,6 +134,54 @@
   <p>Server ở <span class="inline-code">global</span> và <span class="inline-code">pi-global</span> không qua gate. Hai layer đó nằm ngoài mọi repo — không repo nào đặt được server vào đó — và bắt người dùng duyệt config của chính mình trên từng máy là vô nghĩa.</p>
 </section>
 
+<section class="section">
+  <h2 id="imports">Server đến qua <span class="inline-code">imports</span></h2>
+
+  <p>Config MCP nhận thêm key <span class="inline-code">imports</span>, kéo định nghĩa server từ config của công cụ khác. Server vào session theo đường này không nằm trong bốn scope nào, nên nó là đường vòng thứ hai quanh gate — và không cần bật <span class="inline-code">directTools</span>.</p>
+
+  <p>Trong sáu kind, chỉ <span class="inline-code">vscode</span> trỏ vào đường dẫn <strong>trong project</strong> (<span class="inline-code">.vscode/mcp.json</span>). Clone repo là mang theo file đó, nên server của nó phải duyệt như mọi server repo khai báo thẳng.</p>
+
+  <div class="table-wrap">
+    <table>
+      <thead>
+        <tr><th>Tình huống</th><th>Xử lý</th></tr>
+      </thead>
+      <tbody>
+        <tr>
+          <td>Layer bất kỳ import kind repo-relative</td>
+          <td>Server phải duyệt, kể cả khi <span class="inline-code">global</span> khai báo — nội dung đọc lại vẫn nằm trong repo.</td>
+        </tr>
+        <tr>
+          <td>Repo scope import kind bất kỳ</td>
+          <td>Server phải duyệt. Repo đang chọn hộ máy này chạy server nào.</td>
+        </tr>
+        <tr>
+          <td>Repo scope import kind không đọc được nội dung (<span class="inline-code">codex</span>, TOML)</td>
+          <td>Chặn mọi tool call, khi file đó có thật trên máy. Từ chối ở dòng khai báo: liệt kê được server của năm kind kia không nói gì về kind thứ sáu. Khai một kind máy này không cài thì là config cần dọn, không phải session cần dừng.</td>
+        </tr>
+        <tr>
+          <td><span class="inline-code">remove</span> / <span class="inline-code">enable</span> / <span class="inline-code">disable</span> trên server đến qua <span class="inline-code">imports</span></td>
+          <td>Từ chối, kèm tên file thật cần sửa. File được định vị là config của công cụ kia; ghi ngược bằng writer của platform sẽ viết lại file Cursor/VS Code của người dùng theo format chính công cụ đó không dùng.</td>
+        </tr>
+        <tr>
+          <td><span class="inline-code">directTools</span> + <span class="inline-code">toolPrefix: "none"</span> trong config repo mang theo</td>
+          <td>Chặn mọi tool call, không riêng lời gọi MCP. Không prefix thì tên tool không còn dấu vết server, không truy được để đối chiếu quyết định — mà chặn riêng proxy <span class="inline-code">mcp</span> thì đúng những cái tên trần cần chặn lại đi thẳng qua.</td>
+        </tr>
+      </tbody>
+    </table>
+  </div>
+
+  <p><span class="inline-code">piagent-mcp doctor</span> nêu tên file có <span class="inline-code">imports</span> và các kind của nó, nêu layer không parse được, và nêu cả import target <em>có thật nhưng không đọc được</em> — cả ba trạng thái trước đây đều đọc ra rỗng, không phân biệt được với &ldquo;không khai server nào&rdquo;.</p>
+
+  <p>Với hai trạng thái chặn-toàn-bộ ở trên, <span class="inline-code">doctor</span> và <span class="inline-code">list</span> in ra lý do và exit 1 — kể cả <span class="inline-code">list --json</span>, vốn trả <span class="inline-code">servers: []</span> với exit 0 đúng lúc không gì chạy được. Exit code trả lời &ldquo;MCP ở đây có chạy được không&rdquo;, không phải &ldquo;có in ra dòng nào không&rdquo;. Cả ba surface — guard, <span class="inline-code">/piagent-mcp</span>, CLI — đọc một state chung, vì hai bên lệch nhau chính là cách một session bị chặn biến thành một session hỏng không rõ lý do.</p>
+
+  <p>Gate được cache theo project và tính lại khi signature trên các file phía sau nó đổi. Danh sách file đó lấy từ chính đường đi mà các reader dùng, kể cả file đang không tồn tại — <span class="inline-code">imports: ["codex"]</span> thành chặn đúng lúc file codex xuất hiện, và <span class="inline-code">directTools</span> thêm vào config global cá nhân là thứ guard đã load phải thấy ngay. Viết tay danh sách đó là cách nó lệch.</p>
+
+  <p>Adapter merge <span class="inline-code">settings</span> của cả bốn layer thành một block cho cả session. Nên <span class="inline-code">directTools</span> đặt ở file này và <span class="inline-code">toolPrefix: "none"</span> đặt ở file kia vẫn ra đúng tổ hợp làm gate mất chỗ bám, trong khi đọc riêng từng file thì không file nào có vấn đề. Settings được đọc sau merge, và báo cả hai file.</p>
+
+  <p>Cột <span class="inline-code">SCOPE</span> là layer khai báo <span class="inline-code">imports</span>, không phải nơi server được định nghĩa. Server import qua config <span class="inline-code">global</span> vẫn cần duyệt, vì file đọc lại nằm trong clone.</p>
+</section>
+
 <section class="section">
   <h2 id="thiet-ke">Bốn quyết định thiết kế</h2>
 
@@ -155,9 +203,13 @@
           <td>Pin theo digest của định nghĩa</td>
           <td>Duyệt là duyệt <em>đúng</em> command và URL đó. Đổi command, đổi args, đổi URL thì server quay về <span class="inline-code">pending</span> chứ không kế thừa quyết định cũ.</td>
         </tr>
+        <tr>
+          <td>Preview in ra bản đã merge, digest tính trên mảnh của repo</td>
+          <td>Adapter merge server trùng tên theo từng key qua các layer, nên repo khai mỗi <span class="inline-code">{"args": [...]}</span> vẫn lấy <span class="inline-code">command</span> từ layer dưới. Preview phải là thứ sẽ chạy thật. Digest thì giữ trên phần repo kiểm soát — băm cả bản merge sẽ đẩy server về <span class="inline-code">pending</span> mỗi lần người dùng sửa config global của chính mình.</td>
+        </tr>
         <tr>
           <td>Chặn ở <span class="inline-code">tool_call</span></td>
-          <td>Cả dạng proxy <span class="inline-code">mcp</span> lẫn dạng direct <span class="inline-code">mcp__&lt;server&gt;__&lt;tool&gt;</span>, để không có đường vòng.</td>
+          <td>Cả dạng proxy <span class="inline-code">mcp</span> lẫn direct tool, để không có đường vòng. Direct tool được truy theo tên server đang cấu hình, vì prefix của nó chính là tên server.</td>
         </tr>
       </tbody>
     </table>

package/docs-site/mcp-auth.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/mcp-servers.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/mcp.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/permissions.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/profiles.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/quickstart.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />
@@ -98,7 +98,7 @@
     <article class="step">
       <div>
         <h3 id="cai-hai-lenh">Cài — hai lệnh</h3>
-        <p>Cần Node.js 22.19.0 trở lên. Không cần cài Pi Coding Agent trước: <span class="inline-code">piagent-setup</span> tự cài đúng bản <span class="inline-code">0.82.0</span> mà release <span class="inline-code">v1.2.0</span> đang pin. Chạy nó ngay trong thư mục project — nó cài Pi package, khởi tạo <span class="inline-code">.pi/</span>, cài MCP baseline cùng subagents, rồi chạy doctor. Thêm <span class="inline-code">--no-mcp</span>, <span class="inline-code">--no-subagents</span>, <span class="inline-code">--no-herdr</span> hoặc <span class="inline-code">--global-only</span> để bỏ bớt.</p>
+        <p>Cần Node.js 22.19.0 trở lên. Không cần cài Pi Coding Agent trước: <span class="inline-code">piagent-setup</span> tự cài đúng bản <span class="inline-code">0.82.0</span> mà release <span class="inline-code">v1.2.1</span> đang pin. Chạy nó ngay trong thư mục project — nó cài Pi package, khởi tạo <span class="inline-code">.pi/</span>, cài MCP baseline cùng subagents, rồi chạy doctor. Thêm <span class="inline-code">--no-mcp</span>, <span class="inline-code">--no-subagents</span>, <span class="inline-code">--no-herdr</span> hoặc <span class="inline-code">--global-only</span> để bỏ bớt.</p>
         <div class="table-wrap compact-table">
           <table>
             <thead>

package/docs-site/runtime.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/scope.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/security.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/team.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/docs-site/workflows.html

@@ -27,7 +27,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.2.0 docs</span>
+        <span class="pill"><span class="pill-dot"></span>v1.2.1 docs</span>
         <a class="button social" href="https://github.com/Vt-mmm/piagent" target="_blank" rel="noopener noreferrer" aria-label="Mở GitHub repository">
           <svg viewBox="0 0 24 24" fill="none" aria-hidden="true">
             <path d="M7 17 17 7M9 7h8v8" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" />

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@piagent/platform",
-  "version": "1.2.0",
+  "version": "1.2.1",
   "license": "MIT",
   "publishConfig": {
     "access": "public",

package/packages/piagent-core/capabilities/capability-core.js

@@ -238,8 +238,13 @@ export function validateCapabilityPack(document, options = {}) {
 
     if (rejectUnknownKeys(spec.activation, new Set(["mode", "profiles", "triggers"]), `${source}.spec.activation`, errors)) {
       if (!ACTIVATION_MODES.has(spec.activation.mode)) pushError(errors, `${source}.spec.activation.mode`, "must be explicit, profile, or trigger");
-      validateStringArray(spec.activation.profiles ?? [], `${source}.spec.activation.profiles`, errors, { maxItems: 64, pattern: NAME_PATTERN });
+      const profiles = validateStringArray(spec.activation.profiles ?? [], `${source}.spec.activation.profiles`, errors, { maxItems: 64, pattern: NAME_PATTERN });
       const triggers = validateStringArray(spec.activation.triggers ?? [], `${source}.spec.activation.triggers`, errors, { maxItems: 64 });
+      // Both modes name the thing that switches them on, so both are checked for
+      // it. Only `trigger` was, which let a pack declare profile activation and
+      // list no profiles: resolution then read `.includes` off an absent array
+      // and died with a TypeError where it should have refused with a reason.
+      if (spec.activation.mode === "profile" && profiles.length === 0) pushError(errors, `${source}.spec.activation.profiles`, "must not be empty for profile activation");
       if (spec.activation.mode === "trigger" && triggers.length === 0) pushError(errors, `${source}.spec.activation.triggers`, "must not be empty for trigger activation");
     }
 
@@ -859,7 +864,10 @@ export function resolveCapabilityProfileDocument(root, profile, options = {}) {
     const key = `${selector.name}@${selector.version}`;
     const directPack = byKey.get(key);
     if (!directPack) throw new CapabilityValidationError(`profile selects unknown capability pack ${key}`);
-    if (directPack.activation.mode === "profile" && !directPack.activation.profiles.includes(profile.mode)) throw new CapabilityValidationError(`${key} is not enabled for profile mode ${profile.mode}`);
+    // Defaulted rather than assumed present. The validator now requires the list
+    // for this mode, but this line runs against whatever is on disk, and reading
+    // through to a TypeError would turn a refusal into a crash.
+    if (directPack.activation.mode === "profile" && !(directPack.activation.profiles ?? []).includes(profile.mode)) throw new CapabilityValidationError(`${key} is not enabled for profile mode ${profile.mode}`);
     select(key);
   }
 
@@ -995,22 +1003,51 @@ export function resolveCapabilityProfile(root, profilePath, options = {}) {
 const GRANTING_PERMISSIONS = ["capabilities", "filesystemRead", "filesystemWrite", "networkDomains", "externalActions"];
 const RESTRICTING_PERMISSIONS = ["protectedPaths", "readOnlyPaths", "shellProtectedPaths"];
 
+// Everything above is about artifacts the platform ships. A pack vendored from
+// somewhere else is a different question, and gets a different answer.
+//
+// None of the reasons for leaving artifact content on the build side apply to
+// it. Its bytes change when that source decides they change, not when this
+// project updates. The manifest digest pins which artifacts a pack declares, not
+// what is in them, so a rewritten prompt or policy file keeps the same manifest.
+// And the argument that the platform can rewrite its own verifier is an argument
+// about the platform: an external source cannot, which is exactly why its
+// content is worth pinning. Prompts and policy files are what a hostile source
+// would edit, and it would rather not be asked again.
+//
+// `workspace` is the platform's own origin and is a reserved source name, so a
+// vendored source cannot claim it.
+function externalArtifacts(document) {
+  const external = new Set(
+    (document?.packs ?? [])
+      .filter((pack) => pack?.origin && pack.origin !== "workspace")
+      .map((pack) => `${pack.name}@${pack.version}`)
+  );
+  if (external.size === 0) return undefined;
+  return (document?.artifacts ?? []).filter((artifact) => external.has(artifact?.pack));
+}
+
 function consentedShape(document) {
   return {
     schemaVersion: document?.schemaVersion,
     apiVersion: document?.core?.apiVersion,
     packageSource: document?.core?.packageSource,
     profile: document?.profile,
-    packs: document?.packs
+    packs: document?.packs,
+    externalArtifacts: externalArtifacts(document)
   };
 }
 
+const CONSENT_DRIFT_REASONS = {
+  externalArtifacts: "an artifact shipped by a vendored capability source changed content"
+};
+
 function consentDrift(expected, actual) {
   const before = consentedShape(actual);
   const after = consentedShape(expected);
   return Object.keys(after)
     .filter((key) => stableJson(after[key]) !== stableJson(before[key]))
-    .map((key) => `${key} no longer matches the locked value`);
+    .map((key) => CONSENT_DRIFT_REASONS[key] ?? `${key} no longer matches the locked value`);
 }
 
 function permissionDrift(expected, actual) {

package/packages/piagent-core/capabilities/capability-sources.js

@@ -110,6 +110,39 @@ function assertContainedDirectory(projectRoot, target, label) {
   return targetReal;
 }
 
+/**
+ * Verify a path this code is about to create, empty or write sits inside the
+ * project, without requiring it to exist yet.
+ *
+ * The read path can lstat its target and be done with it. A write path cannot:
+ * the destination is normally absent, and the failure that matters is an
+ * *ancestor* leading somewhere else. A repository shipping `.pi` as a symlink is
+ * the whole attack — `mkdir -p` follows it, the directory that appears below is
+ * a real directory, so a check on the immediate parent sees nothing wrong, and
+ * the recursive delete that comes next lands outside the project.
+ *
+ * @param {string} rootReal a project root already through realpath
+ * @param {string} target
+ * @param {string} label
+ */
+function assertContainedWritePath(rootReal, target, label) {
+  const relative = path.relative(rootReal, path.resolve(rootReal, target));
+  if (relative.startsWith("..") || path.isAbsolute(relative)) fail(`${label} resolves outside the project`);
+  let current = rootReal;
+  for (const segment of relative.split(path.sep)) {
+    if (!segment) continue;
+    current = path.join(current, segment);
+    let stat;
+    try {
+      stat = fs.lstatSync(current);
+    } catch {
+      // Absent from here down, so there is nothing further to follow.
+      return;
+    }
+    if (stat.isSymbolicLink()) fail(`${label} must not resolve through a symbolic link (${segment})`);
+  }
+}
+
 function assertNoSymbolicLinks(root, label, budget = { remaining: MAX_VENDOR_ENTRIES }) {
   for (const entry of fs.readdirSync(root, { withFileTypes: true })) {
     if (budget.remaining-- <= 0) fail(`${label} contains more than ${MAX_VENDOR_ENTRIES} entries`);
@@ -212,27 +245,55 @@ export function vendorRemoteSource(projectRoot, entry) {
   const [validated] = validateCapabilitySources([entry]);
   if (!validated.source) fail(`capability source ${validated.name} is a local path and does not need vendoring`);
 
-  const destination = vendorDirectoryFor(projectRoot, validated.name);
+  // Resolved the same way the read path resolves it, so the containment check
+  // below compares two paths of the same form.
+  const rootReal = fs.realpathSync(projectRoot);
+  const destination = vendorDirectoryFor(rootReal, validated.name);
+  const label = `capability source ${validated.name}`;
+
+  // Before anything is created and well before anything is removed: every call
+  // after this line writes or deletes, and the point of the check is to have
+  // happened first.
+  assertContainedWritePath(rootReal, destination, label);
   const parent = path.dirname(destination);
   fs.mkdirSync(parent, { recursive: true, mode: 0o755 });
-  if (fs.lstatSync(parent).isSymbolicLink()) fail(`${parent} must not be a symbolic link`);
-  fs.rmSync(destination, { recursive: true, force: true });
-  fs.mkdirSync(destination, { mode: 0o755 });
+  // Re-checked after the directories exist. The first pass ran against a path
+  // that was mostly absent, so it proved nothing about the components this call
+  // just created or about one swapped underneath in between.
+  assertContainedWritePath(rootReal, destination, label);
+
+  // Fetched beside the destination and moved into place at the end, so a fetch
+  // that fails leaves the reviewed tree that was already there. Emptying the
+  // destination first meant a network error or a hostile archive destroyed a
+  // working vendor directory and left the project with neither version.
+  const staging = `${destination}.incoming.${process.pid}`;
+  assertContainedWritePath(rootReal, staging, label);
+  for (const sibling of fs.readdirSync(parent)) {
+    // Debris from a run that died between creating this and moving it.
+    if (sibling.startsWith(`${validated.name}.incoming.`)) fs.rmSync(path.join(parent, sibling), { recursive: true, force: true });
+  }
+  fs.mkdirSync(staging, { mode: 0o755 });
 
   try {
-    if (validated.source.startsWith("npm:")) fetchNpmSource(validated.source.slice("npm:".length), destination);
-    else fetchGitSource(validated.source, destination);
+    if (validated.source.startsWith("npm:")) fetchNpmSource(validated.source.slice("npm:".length), staging);
+    else fetchGitSource(validated.source, staging);
 
     // The fetched tree is untrusted until this passes. Checking here means a
-    // hostile archive is rejected before anything reads a manifest out of it.
-    assertNoSymbolicLinks(destination, `capability source ${validated.name}`);
-    if (!fs.existsSync(path.join(destination, "packs"))) {
+    // hostile archive is rejected before anything reads a manifest out of it,
+    // and before it can replace the tree already in place.
+    assertNoSymbolicLinks(staging, `capability source ${validated.name}`);
+    if (!fs.existsSync(path.join(staging, "packs"))) {
       fail(`capability source ${validated.name} provides no packs directory`);
     }
-  } catch (error) {
-    // A half-written vendor directory would resolve on the next run and hide
-    // the failure, so remove it.
+
+    // Everything above succeeded, so the old tree can go.
     fs.rmSync(destination, { recursive: true, force: true });
+    fs.renameSync(staging, destination);
+  } catch (error) {
+    // Only the half-written fetch is removed. The destination is either
+    // untouched, because the failure happened before the swap, or already
+    // replaced by a tree that passed every check.
+    fs.rmSync(staging, { recursive: true, force: true });
     throw error;
   }