@piagent/platform 1.23.1 → 1.25.0

package/docs-site/en/security.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/security" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/security" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/team.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/team" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/team" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/whats-new.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/whats-new" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/whats-new" hreflang="en" lang="en" aria-current="true">EN</a>
@@ -104,6 +104,18 @@
               <h1>1.9.0: ask in plain language, the team's Harness checks</h1>
               <p>The task contract and workflow commands are gone. Company mode asks for checks and a review on its own; Stop, network commands on approval and clearer approval cards.</p>
             </div>
+<section class="section">
+  <p class="section-kicker">v1.25.0 · 2026-10-13</p>
+  <h2 id="v1-25-0">When the machine lacks something, the agent asks, and an approved command runs</h2>
+  <p class="section-lead">A company conversation no longer stops at “Java or Docker is missing here”. A missing runtime (a JDK, the Node version the project needs), your sign-in (git pull/push, a private registry) or a file outside the project: the agent requests <strong>run_on_host</strong>, one command that runs on your machine, outside the sandbox, once you approve it (Bypass asks too). Docker installed but not running: the agent requests <strong>start_docker</strong>, waits for the engine and carries on in the same conversation. What only you can do (a sudo password, an installer, a sign-in) comes as a question with the steps and “Done, continue / Skip”. <code>fetch_origin</code> fetches a repository inside a folder of several repositories, and a turn that only read through <code>git -C</code> is no longer counted as a code change.</p>
+</section>
+
+<section class="section">
+  <p class="section-kicker">v1.24.0 · 2026-10-13</p>
+  <h2 id="v1-24-0">Choose Fast when a company conversation starts</h2>
+  <p class="section-lead">Where the team's Harness allows fast mode, the new chat page shows <strong>Fast: off / Fast: on</strong> next to the company model. Turned on before sending, the conversation runs on Fast from its first message: the main agent answers faster on GPT (Codex) models, its tokens count 2.5 times toward the quota, and the model and thinking level are unchanged. The Fast switch in a conversation's header turns amber while on.</p>
+</section>
+
 <section class="section">
   <p class="section-kicker">v1.23.1 · 2026-10-13</p>
   <h2 id="v1-23-1">An agent's question waits at the end of the conversation</h2>

package/docs-site/en/windows.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/windows" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/windows" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/workflows.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/workflows" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/workflows" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/index.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/" hreflang="en" lang="en">EN</a>
@@ -94,7 +94,7 @@
       <main>
         <div class="content-shell" data-article>
 <section class="hero">
-  <p class="eyebrow">Piagent 1.23.1</p>
+  <p class="eyebrow">Piagent 1.25.0</p>
   <h1>Coding agent cho cả team, kiểm tra từng bước.</h1>
   <p>
     Một dashboard cho Terminal và trình duyệt. Dùng model bằng tài khoản của bạn, hoặc model của công ty qua Agent Watch và Agent Studio. Guard kiểm tra từng tool call; ở chế độ công ty, Harness của team tự yêu cầu chạy check, cho subagent review và báo kết quả ngay dưới câu trả lời.
@@ -108,7 +108,7 @@
   <div class="hero-actions">
     <a class="button primary" href="/quickstart">Bắt đầu</a>
     <a class="button" href="/ecosystem">Hệ sinh thái</a>
-    <a class="button" href="/whats-new">Có gì mới trong 1.23.1</a>
+    <a class="button" href="/whats-new">Có gì mới trong 1.25.0</a>
     <a class="button" href="/commands">Xem command</a>
   </div>
 </section>
@@ -184,9 +184,9 @@ piagent-setup</code></pre>
   <h2 id="bat-dau-tu-dau">Bắt đầu từ đâu</h2>
   <div class="card-grid">
     <a class="doc-card" href="/whats-new">
-      <span class="card-kicker">Bản 1.23.1</span>
+      <span class="card-kicker">Bản 1.25.0</span>
       <h3>Có gì mới</h3>
-      <p>Câu hỏi của agent luôn nằm cuối cuộc trò chuyện, ngay trên ô nhập, và dễ đọc hơn; ở 1.23.0: nút Fast cho cuộc trò chuyện công ty khi Harness cho phép, tool lỗi được báo về Studio (Logs → Tool lỗi), cuộc trò chuyện mới gửi được tin nhắn đầu sau khi Harness đổi; ở 1.22.1: dashboard không còn quay mãi khi project nằm trên ổ Windows nhìn từ WSL (/mnt/d…) hoặc phiên công ty không trả lời; ở 1.22.0: đính kèm được mọi file code và văn bản (.html, .css, .ts, .py, Dockerfile…); ở 1.21.1: bật Bypass được cả khi lượt đang chạy và được giữ sau khi tải lại; ở 1.21.0: câu hỏi và yêu cầu duyệt hiện từng cái một (main agent trước), thông báo góc phải khi cuộc trò chuyện khác xong hay đang chờ bạn, Studio ghi lại mỗi lần compact; ở 1.20.0: cài package trong sandbox công ty không phải duyệt (npm, PyPI, Go, Maven, Gradle… qua proxy chỉ cho registry); ở 1.19.0: task công ty có checklist được làm đến hết, cuối mỗi lượt báo rõ xong, dừng giữa chừng hay lỗi, Docker trong sandbox công ty, folder chứa nhiều repo; ở 1.18.0: đổi nhánh Git trên dashboard, tự thử lại khi lỗi tạm thời, Claude Haiku 5.5; ở 1.17.0: dashboard hiện nhánh Git của project; ở 1.16.3: dashboard cập nhật xong vẫn tự kiểm tra bản mới; ở 1.16.2: Terminal nói giống dashboard: hỏi cập nhật, /bypass, lỗi và ghi chú Harness bằng tiếng Việt; ở 1.16.1: bản mới được báo bằng dialog và kiểm tra mỗi giờ, tab dashboard không còn mất đăng nhập; ở 1.16.0: Bypass cho cuộc trò chuyện công ty, đổi Harness không làm gián đoạn; ở 1.15.2: cuộc trò chuyện dài tự thu gọn trở lại; ở 1.15.1: Studio thấy mỗi call của model dùng để làm gì, nhiều cuộc trò chuyện trong một folder không nhận nhầm thay đổi của nhau; ở 1.15.0: subagent bị từ chối nói đúng lý do; ở 1.14: cập nhật giữ model bạn đã chọn; ở 1.13: cuộc trò chuyện giữ chỗ đang đọc, chữ của agent có định dạng, Piagent trên Windows qua WSL2: sandbox công ty bằng bubblewrap và Agent Watch cho Windows; ở 1.12: @ chọn file và folder trên máy, skill và command dùng bằng /, nhánh cuộc trò chuyện công ty gửi được tin nhắn.</p>
+      <p>Thiếu môi trường thì agent xin quyền và chạy được sau khi bạn duyệt (run_on_host ngoài sandbox, start_docker mở Docker ngay trong cuộc trò chuyện); ở 1.24.0: chọn Fast ngay trên trang tạo cuộc trò chuyện công ty, nút Fast đổi màu vàng khi đang bật; ở 1.23.1: câu hỏi của agent luôn nằm cuối cuộc trò chuyện, ngay trên ô nhập, và dễ đọc hơn; ở 1.23.0: nút Fast cho cuộc trò chuyện công ty khi Harness cho phép, tool lỗi được báo về Studio (Logs → Tool lỗi), cuộc trò chuyện mới gửi được tin nhắn đầu sau khi Harness đổi; ở 1.22.1: dashboard không còn quay mãi khi project nằm trên ổ Windows nhìn từ WSL (/mnt/d…) hoặc phiên công ty không trả lời; ở 1.22.0: đính kèm được mọi file code và văn bản (.html, .css, .ts, .py, Dockerfile…); ở 1.21.1: bật Bypass được cả khi lượt đang chạy và được giữ sau khi tải lại; ở 1.21.0: câu hỏi và yêu cầu duyệt hiện từng cái một (main agent trước), thông báo góc phải khi cuộc trò chuyện khác xong hay đang chờ bạn, Studio ghi lại mỗi lần compact; ở 1.20.0: cài package trong sandbox công ty không phải duyệt (npm, PyPI, Go, Maven, Gradle… qua proxy chỉ cho registry); ở 1.19.0: task công ty có checklist được làm đến hết, cuối mỗi lượt báo rõ xong, dừng giữa chừng hay lỗi, Docker trong sandbox công ty, folder chứa nhiều repo; ở 1.18.0: đổi nhánh Git trên dashboard, tự thử lại khi lỗi tạm thời, Claude Haiku 5.5; ở 1.17.0: dashboard hiện nhánh Git của project; ở 1.16.3: dashboard cập nhật xong vẫn tự kiểm tra bản mới; ở 1.16.2: Terminal nói giống dashboard: hỏi cập nhật, /bypass, lỗi và ghi chú Harness bằng tiếng Việt; ở 1.16.1: bản mới được báo bằng dialog và kiểm tra mỗi giờ, tab dashboard không còn mất đăng nhập; ở 1.16.0: Bypass cho cuộc trò chuyện công ty, đổi Harness không làm gián đoạn; ở 1.15.2: cuộc trò chuyện dài tự thu gọn trở lại; ở 1.15.1: Studio thấy mỗi call của model dùng để làm gì, nhiều cuộc trò chuyện trong một folder không nhận nhầm thay đổi của nhau; ở 1.15.0: subagent bị từ chối nói đúng lý do; ở 1.14: cập nhật giữ model bạn đã chọn; ở 1.13: cuộc trò chuyện giữ chỗ đang đọc, chữ của agent có định dạng, Piagent trên Windows qua WSL2: sandbox công ty bằng bubblewrap và Agent Watch cho Windows; ở 1.12: @ chọn file và folder trên máy, skill và command dùng bằng /, nhánh cuộc trò chuyện công ty gửi được tin nhắn.</p>
     </a>
     <a class="doc-card" href="/ecosystem">
       <span class="card-kicker">Get started</span>

package/docs-site/mcp-approval.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/mcp-approval" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/mcp-approval" hreflang="en" lang="en">EN</a>

package/docs-site/mcp-auth.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/mcp-auth" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/mcp-auth" hreflang="en" lang="en">EN</a>

package/docs-site/mcp-servers.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/mcp-servers" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/mcp-servers" hreflang="en" lang="en">EN</a>

package/docs-site/mcp.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/mcp" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/mcp" hreflang="en" lang="en">EN</a>

package/docs-site/permissions.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/permissions" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/permissions" hreflang="en" lang="en">EN</a>

package/docs-site/profiles.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/profiles" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/profiles" hreflang="en" lang="en">EN</a>

package/docs-site/quickstart.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/quickstart" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/quickstart" hreflang="en" lang="en">EN</a>

package/docs-site/runtime.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/runtime" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/runtime" hreflang="en" lang="en">EN</a>

package/docs-site/scope.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/scope" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/scope" hreflang="en" lang="en">EN</a>

package/docs-site/security.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/security" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/security" hreflang="en" lang="en">EN</a>

package/docs-site/team.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/team" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/team" hreflang="en" lang="en">EN</a>

package/docs-site/whats-new.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/whats-new" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/whats-new" hreflang="en" lang="en">EN</a>
@@ -104,6 +104,18 @@
               <h1>Bản 1.9.0: nói việc bằng lời, Harness của team kiểm tra</h1>
               <p>Bỏ task contract và lệnh workflow. Chế độ công ty tự yêu cầu check và review; nút Dừng, lệnh có mạng theo lần duyệt và thẻ duyệt dễ đọc hơn.</p>
             </div>
+<section class="section">
+  <p class="section-kicker">v1.25.0 · 2026-10-13</p>
+  <h2 id="v1-25-0">Thiếu môi trường thì agent xin quyền, duyệt xong là chạy</h2>
+  <p class="section-lead">Cuộc trò chuyện công ty không còn dừng ở “máy thiếu Java/Docker, em không làm được”. Máy thiếu runtime (JDK, Node đúng version…), cần tài khoản của bạn (git pull/push, registry riêng) hay cần ghi ra ngoài project, agent xin <strong>run_on_host</strong>: đúng một lệnh chạy trên máy bạn, ngoài sandbox, sau khi bạn duyệt (Bypass cũng hỏi). Docker đã cài mà chưa bật thì agent xin <strong>start_docker</strong>, chờ Docker chạy rồi làm tiếp ngay trong cuộc trò chuyện đó. Việc chỉ bạn làm được (mật khẩu sudo, trình cài, đăng nhập) thì agent hỏi kèm các bước và lựa chọn “Đã xong, làm tiếp / Bỏ qua”. <code>fetch_origin</code> fetch được repo nằm trong folder chứa nhiều repo, và lượt chỉ đọc bằng <code>git -C</code> không còn bị Harness coi là có sửa code.</p>
+</section>
+
+<section class="section">
+  <p class="section-kicker">v1.24.0 · 2026-10-13</p>
+  <h2 id="v1-24-0">Chọn Fast ngay khi tạo cuộc trò chuyện công ty</h2>
+  <p class="section-lead">Khi Harness của team cho phép Fast, trang “Cuộc trò chuyện mới” có nút <strong>Fast: tắt / Fast: bật</strong> ngay cạnh model công ty. Bật trước khi gửi thì cuộc trò chuyện chạy Fast từ tin nhắn đầu tiên: main agent trả lời nhanh hơn trên model GPT (Codex), token tính vào quota gấp 2,5 lần, model và mức suy luận không đổi. Nút Fast ở đầu cuộc trò chuyện chuyển màu vàng khi đang bật để dễ nhận ra.</p>
+</section>
+
 <section class="section">
   <p class="section-kicker">v1.23.1 · 2026-10-13</p>
   <h2 id="v1-23-1">Câu hỏi của agent luôn nằm cuối cuộc trò chuyện</h2>

package/docs-site/windows.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/windows" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/windows" hreflang="en" lang="en">EN</a>

package/docs-site/workflows.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.23.1 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.25.0 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/workflows" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/workflows" hreflang="en" lang="en">EN</a>

package/evals/private-holdout-v1/public-exposure.v2.json

@@ -256,8 +256,8 @@
     },
     {
       "path": "tests",
-      "fileCount": 538,
-      "sha256": "93173799932f8f9d88976e5ffad598645d01fb59f9545ed1dc783d2ca2b1a296"
+      "fileCount": 540,
+      "sha256": "bcf46ad85a0904f47e2fddc5f55642f7beb0622adfeeb3c62869b031c0c2c64e"
     }
   ],
   "custodianComparisonRules": {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@piagent/platform",
-  "version": "1.23.1",
+  "version": "1.25.0",
   "license": "MIT",
   "publishConfig": {
     "access": "public",

package/packages/piagent-core/managed/command-tools.mjs

@@ -1,11 +1,15 @@
+import { spawn } from 'node:child_process';
 import { networkConfirmation } from './permission.mjs';
+import { engineAlive, engineLauncher } from './container-engine.mjs';
+import { MEMBER_ONLY, memberOnlyReason, runHostCommand } from './host-command.mjs';
 
 // Commands that leave the plain sandbox, each after the member approves that
-// exact command: run_with_network (internet, a local server or browser) and,
-// when this machine has a Docker engine, run_with_docker (the same plus the
-// engine's socket). Bypass runs both without asking (owner, 2026-10-09),
-// except what must be confirmed for any command (bypass-policy.mjs: pushes,
-// deploys, registry logins, deletes known only at run time).
+// exact command: run_with_network (internet, a local server or browser),
+// run_with_docker when this machine has Docker (the same plus the engine's
+// socket) and run_on_host (on the member's machine, outside the sandbox).
+// Bypass runs the first two without asking (owner, 2026-10-09), except what
+// must be confirmed for any command (bypass-policy.mjs: pushes, deploys,
+// registry logins, deletes known only at run time); run_on_host always asks.
 const PARAMETERS = { type: 'object', properties: { command: { type: 'string', minLength: 1, maxLength: 4000 }, reason: { type: 'string', minLength: 1, maxLength: 300 }, timeout: { type: 'number', minimum: 1, maximum: 1800 } }, required: ['command', 'reason'], additionalProperties: false };
 
 const KINDS = {
@@ -23,34 +27,98 @@ const KINDS = {
     title: 'Chạy lệnh dùng Docker', allowText: 'chạy đúng lệnh này một lần, có internet và Docker; container nó tạo có thể đọc thư mục Docker được chia sẻ trên máy và có thể tiếp tục chạy.',
     confirm: (self, command) => networkConfirmation(self, command),
   },
+  host: {
+    name: 'run_on_host', label: 'Run on this machine', scope: 'host-command-once', provider: 'host', riskClass: 'high',
+    description: 'Run one shell command on the member\'s machine, outside the sandbox, as the member, after they approve that exact command. Use it when the sandbox blocks what the task needs and no other tool covers it: install a runtime or tool the project needs (brew install openjdk@21, brew install node@22, sdk install java…), git pull or git push with the member\'s sign-in, a private registry, a file outside the project. It has the member\'s files, Keychain and sign-ins, so ask only for what the task needs and say why in reason. No input can be typed: commands that need the member\'s password (sudo, a .pkg installer) or an interactive sign-in are refused; ask the member with ask_user for those.',
+    allow: 'Run this exact command once on this machine, outside the sandbox, as you: it can read and change your files and use your sign-ins.',
+    title: 'Chạy lệnh trên máy (ngoài sandbox)', allowText: 'chạy đúng lệnh này một lần trên máy bạn, ngoài sandbox, bằng quyền của bạn: lệnh đọc/sửa được file và dùng được tài khoản đã đăng nhập trên máy.',
+    // Bypass does not cover it: the member approves each command (with what
+    // Bypass would still have asked about, when there is something).
+    confirm: async (self, command) => await networkConfirmation(self, command) ?? 'ask',
+  },
 };
 
+// The engine answers, looked up again when it did not (started since).
+async function engineReady(boundary) {
+  if (boundary.engine && await engineAlive(boundary.engine.socket)) return true;
+  return boundary.refreshEnvironment() && engineAlive(boundary.engine.socket);
+}
+const DOCKER_STOPPED = 'managed-docker-unreachable: Docker engine trên máy không chạy. Gọi start_docker để xin member duyệt mở Docker, rồi chạy lại đúng lệnh này bằng run_with_docker.';
+
+// One approval of the member (the dashboard card, else the Terminal).
+async function approve(self, id, signal, ctx, action, { title, body }) {
+  const { piApprovalBroker } = await import('../runtime/inspection/approval-broker.ts');
+  const decision = await piApprovalBroker.request({ cwd: self.cwd, rawSessionId: self.session.sessionManager.getSessionId(), toolCallId: id,
+    action: { kind: 'external-provider-action', preconditionClass: 'runtime-only', targetPaths: [self.cwd], urlOrigin: null, ...action },
+    terminalConfirm: () => ctx?.ui?.confirm?.(title, body) ?? Promise.resolve(false),
+    unavailableFallback: 'terminal-confirm', recheck: () => !signal?.aborted && Boolean(self.grant) });
+  if (!decision.allowed || !decision.consume() || signal?.aborted) throw Error('managed-operation-denied');
+}
+
 function commandTool(self, kind) {
   const spec = KINDS[kind];
   return { name: spec.name, label: spec.label, description: spec.description, parameters: PARAMETERS,
     execute: async (id, args, signal, onUpdate, ctx) => {
+      if (kind === 'docker' && !await engineReady(self.boundary)) throw Error(DOCKER_STOPPED);
+      const memberOnly = kind === 'host' ? memberOnlyReason(args.command) : null;
+      if (memberOnly) throw Error(MEMBER_ONLY(memberOnly));
       const confirm = await spec.confirm(self, args.command);
-      const decision = confirm === null ? { allowed: true, consume: () => true } : await (await import('../runtime/inspection/approval-broker.ts')).piApprovalBroker.request({ cwd: self.cwd, rawSessionId: self.session.sessionManager.getSessionId(), toolCallId: id,
-        action: { kind: 'external-provider-action', preconditionClass: 'runtime-only', toolName: spec.name, rawAction: { command: args.command }, commandPreview: String(args.command),
-          targetPaths: [self.cwd], provider: spec.provider, urlOrigin: null, requestedScope: spec.scope, reason: (confirm === 'ask' ? String(args.reason) : `Bypass still asks: ${confirm}. ${args.reason}`).slice(0, 300), riskClass: spec.riskClass,
-          allowConsequence: spec.allow, denyConsequence: 'The command does not run; the agent is told you declined.' },
-        terminalConfirm: () => ctx?.ui?.confirm?.(spec.title, `${args.command}\n\nLý do: ${args.reason}${confirm === 'ask' ? '' : `\nBypass vẫn hỏi: ${confirm}`}\n\nĐồng ý: ${spec.allowText}\nTừ chối: lệnh không chạy, agent được báo bạn đã từ chối.`) ?? Promise.resolve(false),
-        unavailableFallback: 'terminal-confirm', recheck: () => !signal?.aborted && Boolean(self.grant) });
-      if (!decision.allowed || !decision.consume() || signal?.aborted) throw Error('managed-operation-denied');
+      if (confirm !== null) await approve(self, id, signal, ctx, { toolName: spec.name, rawAction: { command: args.command }, commandPreview: String(args.command),
+        provider: spec.provider, requestedScope: spec.scope, reason: (confirm === 'ask' ? String(args.reason) : `Bypass still asks: ${confirm}. ${args.reason}`).slice(0, 300), riskClass: spec.riskClass,
+        allowConsequence: spec.allow, denyConsequence: 'The command does not run; the agent is told you declined.' },
+      { title: spec.title, body: `${args.command}\n\nLý do: ${args.reason}${confirm === 'ask' ? '' : `\nBypass vẫn hỏi: ${confirm}`}\n\nĐồng ý: ${spec.allowText}\nTừ chối: lệnh không chạy, agent được báo bạn đã từ chối.` });
       let ok = false;
       const before = await self.changedFiles();
-      try { const result = await self.boundary.invoke('bash', { command: args.command, ...(args.timeout ? { timeout: args.timeout } : {}) }, signal, onUpdate, ctx?.model, kind === 'docker' ? { docker: true } : { network: true }); ok = !result?.isError; return result; }
-      finally { await self.claimChanges(before); await self.run?.afterTool('bash', args, ok, () => self.digest()); await self.refreshReview(); }
+      try {
+        const result = kind === 'host' ? await runHostCommand({ command: args.command, cwd: self.cwd, userHome: self.boundary.userHome, timeout: args.timeout, signal, onUpdate })
+          : await self.boundary.invoke('bash', { command: args.command, ...(args.timeout ? { timeout: args.timeout } : {}) }, signal, onUpdate, ctx?.model, kind === 'docker' ? { docker: true } : { network: true });
+        ok = !result?.isError; return result;
+      } finally {
+        // What the command installed (a JDK, Node) is there for the next one.
+        if (kind === 'host') self.boundary.refreshEnvironment();
+        await self.claimChanges(before); await self.run?.afterTool('bash', args, ok, () => self.digest()); await self.refreshReview();
+      }
+    } };
+}
+
+// start_docker: the engine the member installed, started after they approve
+// (Bypass starts it without asking: local and reversible), then waited for.
+const textResult = text => ({ content: [{ type: 'text', text }], details: {} });
+function startDockerTool(self, { wait = 180_000, every = 2000, launcher: found = engineLauncher, spawnImpl = spawn } = {}) {
+  return { name: 'start_docker', label: 'Start Docker',
+    description: 'Start the Docker engine installed on this machine (Docker Desktop, OrbStack, Colima, rootless Docker) after the member approves, and wait until it answers; run_with_docker works right after, in this conversation. Use it when a command reports that Docker is not running.',
+    parameters: { type: 'object', properties: { reason: { type: 'string', minLength: 1, maxLength: 300 } }, required: ['reason'], additionalProperties: false },
+    execute: async (id, args, signal, _onUpdate, ctx) => {
+      if (await engineReady(self.boundary)) return textResult('The Docker engine is running: use run_with_docker.');
+      const launcher = found({ userHome: self.boundary.userHome });
+      if (!launcher) throw Error(self.boundary.dockerCli ? MEMBER_ONLY("starting this machine's Docker service needs the member's password")
+        : 'managed-docker-not-installed: Máy chưa cài Docker. Hỏi member bằng ask_user: cài Docker Desktop hoặc OrbStack (trình cài cần mật khẩu nên member tự cài; máy có Homebrew thì có thể xin run_on_host "brew install colima docker"), hay chạy check theo cách khác.');
+      const preview = `${launcher.command} ${launcher.args.join(' ')}`;
+      if (self.permission !== 'trusted-full-access') await approve(self, id, signal, ctx, { toolName: 'start_docker', rawAction: { launcher: launcher.label }, commandPreview: preview,
+        provider: 'docker', requestedScope: 'start-docker-once', reason: String(args.reason).slice(0, 300), riskClass: 'medium',
+        allowConsequence: `Start ${launcher.label} on this machine; it keeps running after the conversation.`, denyConsequence: 'Docker is not started; the agent is told you declined.' },
+      { title: `Mở ${launcher.label}`, body: `${preview}\n\nLý do: ${args.reason}\n\nĐồng ý: mở ${launcher.label} trên máy; nó vẫn chạy sau cuộc trò chuyện.\nTừ chối: không mở Docker, agent được báo bạn đã từ chối.` });
+      try { spawnImpl(launcher.command, launcher.args, { detached: true, stdio: 'ignore', env: { HOME: self.boundary.userHome, PATH: '/opt/homebrew/bin:/usr/local/bin:/usr/bin:/bin:/usr/sbin:/sbin', USER: process.env.USER ?? '', LANG: 'en_US.UTF-8' } }).on('error', () => {}).unref(); } catch { /* waited for below */ }
+      for (const until = Date.now() + wait; Date.now() < until;) {
+        if (signal?.aborted) throw Error('managed-tool-cancelled');
+        await new Promise(resolve => setTimeout(resolve, every));
+        if (await engineReady(self.boundary)) return textResult(`${launcher.label} is running. Run the Docker command again with run_with_docker.`);
+      }
+      throw Error(`managed-docker-start-timeout: ${launcher.label} đã được mở nhưng engine chưa trả lời sau ${Math.round(wait / 60000)} phút (lần đầu mở app có thể chờ member bấm đồng ý điều khoản hoặc đăng nhập trong cửa sổ Docker). Hỏi member bằng ask_user, kèm lựa chọn "Docker đã chạy, thử lại" và "Bỏ qua bước này".`);
     } };
 }
 
-export function commandTools(self) {
-  return [commandTool(self, 'network'), ...(self.boundary.engine ? [commandTool(self, 'docker')] : [])];
+export function commandTools(self, options) {
+  const docker = self.boundary.engine || self.boundary.dockerCli;
+  return [commandTool(self, 'network'), ...(docker ? [commandTool(self, 'docker')] : []), startDockerTool(self, options), commandTool(self, 'host')];
 }
 
-// What the system prompt says about services: Docker when the machine has an
-// engine (run_with_docker), else the member starts them.
+// What the system prompt says about services and what the sandbox blocks: it
+// is read for every request, so a Docker started since shows up.
+const HOST_PROMPT = ' When the sandbox blocks something the task needs (a missing runtime such as a JDK or a Node version, the member\'s sign-in for git pull or git push or a private registry, a file outside the project), do not stop and do not tell the member to run it: request run_on_host with the exact command; it runs on the member\'s machine once they approve. Only what needs the member themselves (their password for sudo or an installer, an interactive sign-in, a window to click) goes to ask_user, with the exact steps and the options to continue or skip; after their answer, check and carry on.';
 export function servicesPrompt(boundary) {
-  if (boundary.engine) return ' Docker is available through run_with_docker (the member approves each command): a database or service for tests (docker compose up -d, then the tests through bash or run_with_network), docker build, or Testcontainers tests. Stop what you started when done unless the member wants it kept. The iOS Simulator is not available in the sandbox: ask the member to run those tests.';
-  return ' Docker is not running on this machine and the iOS Simulator is not available in the sandbox: ask the member to start those services (or Docker, after which a new conversation has run_with_docker) or run those tests.';
+  const simulator = ' The iOS Simulator is not available in the sandbox: ask the member with ask_user to run those tests.';
+  if (boundary.engine) return ' Docker is available through run_with_docker (the member approves each command): a database or service for tests (docker compose up -d, then the tests through bash or run_with_network), docker build, or Testcontainers tests. If the engine stops answering, start_docker asks the member to start it. Stop what you started when done unless the member wants it kept.' + simulator + HOST_PROMPT;
+  if (boundary.dockerCli) return ' Docker is installed but not running: when the task needs it, call start_docker (the member approves), then run_with_docker.' + simulator + HOST_PROMPT;
+  return ' Docker is not installed on this machine: when the task needs it, ask the member with ask_user (install it, or check another way).' + simulator + HOST_PROMPT;
 }

package/packages/piagent-core/managed/container-engine.mjs

@@ -1,4 +1,5 @@
 import fs from 'node:fs';
+import net from 'node:net';
 import path from 'node:path';
 
 // The Docker engine a company command may use once the member approves it
@@ -66,3 +67,42 @@ export function engineEnvironment(engine, home) {
     ...(process.platform === 'darwin' ? { TESTCONTAINERS_DOCKER_SOCKET_OVERRIDE: '/var/run/docker.sock' } : {}),
   };
 }
+
+// The Docker CLI on this machine, engine running or not.
+export const dockerCli = (paths = ['/usr/local/bin', '/opt/homebrew/bin', '/usr/bin', '/Applications/Docker.app/Contents/Resources/bin']) =>
+  paths.map(dir => real(path.join(dir, 'docker'))).find(Boolean) ?? null;
+
+// Whether the engine behind a socket answers (Docker Desktop leaves its
+// socket file in place when it quits).
+export function engineAlive(socket, timeoutMs = 2000) {
+  return new Promise(resolve => {
+    let reply = '';
+    const done = value => { clearTimeout(timer); connection.destroy(); resolve(value); };
+    const connection = net.createConnection(socket, () => connection.write('GET /_ping HTTP/1.0\r\nHost: docker\r\n\r\n'));
+    const timer = setTimeout(() => done(false), timeoutMs);
+    connection.on('data', chunk => { reply += chunk; if (/\r\n\r\nOK/.test(reply)) done(true); });
+    connection.on('error', () => done(false)); connection.on('end', () => done(/\r\n\r\nOK/.test(reply)));
+  });
+}
+
+// How start_docker starts an engine the member installed: the app (Docker
+// Desktop, OrbStack, Rancher Desktop) or Colima on macOS, the user service on
+// Linux. Null when none is installed, or only the system service is (that
+// needs the member's password).
+export function engineLauncher({ userHome, platform = process.platform, exists = fs.existsSync } = {}) {
+  if (platform === 'darwin') {
+    for (const app of ['Docker', 'OrbStack', 'Rancher Desktop']) {
+      const bundle = [`/Applications/${app}.app`, path.join(userHome, `Applications/${app}.app`)].find(exists);
+      if (bundle) return { label: app === 'Docker' ? 'Docker Desktop' : app, command: '/usr/bin/open', args: ['-g', '-a', bundle] };
+    }
+    const colima = ['/opt/homebrew/bin/colima', '/usr/local/bin/colima'].find(exists);
+    return colima ? { label: 'Colima', command: colima, args: ['start'] } : null;
+  }
+  // WSL2: Docker Desktop is a Windows app that serves this distribution.
+  const desktop = '/mnt/c/Program Files/Docker/Docker/Docker Desktop.exe';
+  if (exists('/proc/sys/fs/binfmt_misc/WSLInterop') && exists(desktop))
+    return { label: 'Docker Desktop', command: '/mnt/c/Windows/System32/cmd.exe', args: ['/c', 'start', '""', 'C:\\Program Files\\Docker\\Docker\\Docker Desktop.exe'] };
+  const units = [path.join(userHome, '.config/systemd/user/docker.service'), '/usr/lib/systemd/user/docker.service', '/usr/lib/systemd/user/podman.socket'];
+  const unit = units.find(exists);
+  return unit ? { label: unit.endsWith('podman.socket') ? 'Podman' : 'Docker (rootless)', command: '/usr/bin/systemctl', args: ['--user', 'start', path.basename(unit)] } : null;
+}

package/packages/piagent-core/managed/host-command.mjs

@@ -0,0 +1,67 @@
+import fs from 'node:fs';
+import os from 'node:os';
+import { spawn } from 'node:child_process';
+import { redactedText } from '../runtime/managed-failure.mjs';
+
+// Commands the member approved to run on their machine, outside the sandbox
+// (run_on_host, start_docker): installing a runtime the project needs, git
+// with the member's own sign-in, a file outside the project (owner,
+// 2026-10-13: once the member approves, it runs; only what needs the member
+// themselves goes back to them).
+
+// What only the member can do: type their password, sign in interactively.
+const PASSWORD = new Set(['sudo', 'doas', 'su', 'pkexec', 'passwd']);
+const SIGN_IN = [/^gh auth (login|refresh)\b/, /^(npm|pnpm) (login|adduser)\b/, /^yarn npm login\b/, /^docker login\b(?!.*--password-stdin)/, /^az login\b/,
+  /^gcloud auth (login|application-default login)\b/, /^aws (configure\s*$|sso login\b)/, /^(firebase|vercel|wrangler|heroku|netlify) login\b/];
+const WRAPPERS = new Set(['env', 'command', 'exec', 'time', 'nohup']);
+export function memberOnlyReason(command) {
+  for (const part of String(command).split(/&&|\|\||;|\||\n/)) {
+    const words = part.trim().split(/\s+/).filter(Boolean);
+    while (words.length && (/^[A-Za-z_][A-Za-z0-9_]*=/.test(words[0]) || WRAPPERS.has(words[0]))) words.shift();
+    const name = words[0]?.split('/').pop(), rest = words.join(' ');
+    if (PASSWORD.has(name)) return `${name} needs the member's password`;
+    if (name === 'installer' || name === 'softwareupdate') return `${name} needs the member's password`;
+    if (SIGN_IN.some(rule => rule.test(rest))) return 'an interactive sign-in needs the member';
+  }
+  return null;
+}
+// What a command printed when it stopped to ask for a password or a terminal.
+export const NEEDS_MEMBER = /sudo: a (terminal|password) is required|no tty present|askpass|Password:\s*$|must be run from a terminal|Inappropriate ioctl for device/im;
+
+export const MEMBER_ONLY = reason => `managed-host-member-only: ${reason}. Lệnh này member phải tự làm (nhập mật khẩu máy hoặc đăng nhập tương tác). Dùng ask_user: đưa đúng lệnh hoặc các bước, nói vì sao cần, kèm lựa chọn "Tôi đã làm xong" và "Bỏ qua bước này"; member trả lời xong thì kiểm tra lại và làm tiếp.`;
+
+const TAIL = 50 * 1024;
+const tail = text => text.length > TAIL ? `[… ${text.length - TAIL} characters before …]\n${text.slice(-TAIL)}` : text;
+const shell = () => process.platform === 'darwin' ? '/bin/zsh' : fs.existsSync('/bin/bash') ? '/bin/bash' : '/bin/sh';
+
+// Runs one command as the member, in a login shell (Homebrew, SDKMAN… on
+// PATH as in their Terminal). Nothing of Piagent's own environment (Studio
+// tokens) is passed; no input, so a prompt ends the command instead of hanging.
+export function runHostCommand({ command, cwd, userHome = os.homedir(), timeout = 600, signal, onUpdate, spawnImpl = spawn }) {
+  return new Promise((resolve, reject) => {
+    if (signal?.aborted) return reject(Error('Command aborted'));
+    const login = shell(), user = os.userInfo().username;
+    const child = spawnImpl(login, ['-lc', command], { cwd, detached: true, stdio: ['ignore', 'pipe', 'pipe'],
+      env: { HOME: userHome, USER: user, LOGNAME: user, SHELL: login, PATH: '/opt/homebrew/bin:/usr/local/bin:/usr/bin:/bin:/usr/sbin:/sbin', LANG: 'en_US.UTF-8', TERM: 'dumb',
+        GIT_TERMINAL_PROMPT: '0', NONINTERACTIVE: '1', HOMEBREW_NO_ENV_HINTS: '1', DEBIAN_FRONTEND: 'noninteractive' } });
+    let output = '', ended = null, last = 0;
+    const kill = why => { ended ??= why; try { process.kill(-child.pid, 'SIGTERM'); } catch {} setTimeout(() => { try { process.kill(-child.pid, 'SIGKILL'); } catch {} }, 2000).unref(); };
+    const seconds = Math.min(Math.max(Number(timeout) || 600, 1), 1800);
+    const timer = setTimeout(() => kill(`Command timed out after ${seconds} seconds`), seconds * 1000); timer.unref();
+    const abort = () => kill('Command aborted'); signal?.addEventListener('abort', abort, { once: true });
+    const take = chunk => {
+      output += chunk; if (output.length > 4 * TAIL) output = output.slice(-2 * TAIL);
+      if (onUpdate && Date.now() - last > 250) { last = Date.now(); onUpdate({ content: [{ type: 'text', text: redactedText(tail(output)) }], details: { host: true } }); }
+    };
+    child.stdout.on('data', take); child.stderr.on('data', take);
+    child.on('error', () => { ended ??= 'managed-host-command-failed: the shell did not start'; });
+    child.on('close', code => {
+      clearTimeout(timer); signal?.removeEventListener('abort', abort);
+      const text = redactedText(tail(output.trimEnd()));
+      if (ended) return reject(Error(`${text}${text ? '\n\n' : ''}${ended}`));
+      if (code === 0) return resolve({ content: [{ type: 'text', text: text || '(no output)' }], details: { host: true, exitCode: 0 } });
+      const member = NEEDS_MEMBER.test(output) ? `\n\n${MEMBER_ONLY('the command stopped to ask for a password or a terminal')}` : '';
+      reject(Error(`${text}${member}\n\nCommand exited with code ${code}`));
+    });
+  });
+}

package/packages/piagent-core/managed/language-environment.mjs

@@ -43,8 +43,14 @@ function javaHome(userHome) {
   }
   try {
     const home = execFileSync('/usr/libexec/java_home', [], { encoding: 'utf8', timeout: 5000, stdio: ['ignore', 'pipe', 'ignore'], env: { HOME: userHome, PATH: '/usr/bin:/bin' } }).trim();
-    return existing(home);
-  } catch { return null; }
+    if (existing(home)) return existing(home);
+  } catch { /* none registered with macOS */ }
+  // A JDK macOS does not list: Homebrew's openjdk formulas (keg-only, what
+  // run_on_host installs without a password), SDKMAN's current Java.
+  const kegs = ['/opt/homebrew/opt', '/usr/local/opt'].flatMap(dir => {
+    try { return fs.readdirSync(dir).filter(name => /^openjdk(@\d+)?$/.test(name)).map(name => path.join(dir, name, 'libexec/openjdk.jdk/Contents/Home')); } catch { return []; }
+  }).sort((a, b) => (/openjdk\//.test(b) - /openjdk\//.test(a)) || Number(/@(\d+)/.exec(b)?.[1] ?? 0) - Number(/@(\d+)/.exec(a)?.[1] ?? 0));
+  return [...kegs, path.join(userHome, '.sdkman/candidates/java/current')].map(existing).find(Boolean) ?? null;
 }
 
 // SwiftPM and xcodebuild start sandbox-exec for package manifests and