@piagent/platform 1.5.2 → 1.5.3

package/benchmarks/deep-logic-v1/prompts/transactional-config-merge.md

@@ -0,0 +1,13 @@
+Implement `planConfigTransaction(base, layers, schema)` in `src/config-transaction.js`.
+
+`base` and each layer are plain JSON objects. `schema` maps allowed top-level keys to `{ type, required?, default? }`, where type is `string`, `number`, `boolean`, `object`, or `array`. In layers, `{ "$delete": true }` is the only deletion marker.
+
+Requirements:
+
+- Never mutate inputs. Reject prototypes other than `Object.prototype`/`null`, unknown keys, non-JSON values, unsafe keys (`__proto__`, `prototype`, `constructor`), invalid deletion markers, and type mismatches.
+- Merge layers in order. Plain objects merge recursively; arrays and scalars replace whole values. A deletion marker removes the key. Defaults are applied only after merging and only when the key is absent. Required keys must then exist.
+- Return `{ next, changes, digest }`. `changes` is a lexicographically path-sorted list of `{ path, before, after, kind }`, where kind is `add`, `replace`, or `delete`; use JSON Pointer escaping for path segments.
+- `digest` is lowercase SHA-256 of canonical JSON for `next`, with object keys recursively sorted and array order preserved.
+- The operation is transactional: any validation failure throws and yields no partial object.
+
+Use Node's standard library only. Add focused tests if useful.

package/benchmarks/deep-logic-v1/suite.json

@@ -0,0 +1,95 @@
+{
+  "schemaVersion": 1,
+  "id": "deep-logic-v1",
+  "title": "Piagent Deep Logic V1",
+  "description": "Paired current-model tasks with interacting invariants across event reconciliation, scheduling, layered policy, graph context, stream recovery, and transactional configuration.",
+  "profile": "node-typescript",
+  "defaultRepeats": 2,
+  "timeoutSeconds": 1200,
+  "scenarios": [
+    {
+      "id": "revision-event-reconciliation",
+      "title": "Revision-bound event reconciliation",
+      "kind": "source-change",
+      "category": "state-management",
+      "difficulty": "large",
+      "profile": "fullstack",
+      "lifecycle": "cold-start",
+      "fixture": "project",
+      "prompt": "prompts/revision-event-reconciliation.md",
+      "grader": "grade.mjs",
+      "variantGenerator": "variant.mjs",
+      "allowedChanges": ["src/event-reconcile.js", "test/**"]
+    },
+    {
+      "id": "fair-dependency-scheduler",
+      "title": "Capacity-bound fair dependency scheduler",
+      "kind": "source-change",
+      "category": "orchestration",
+      "difficulty": "large",
+      "profile": "backend-api",
+      "lifecycle": "steady-state",
+      "fixture": "project",
+      "prompt": "prompts/fair-dependency-scheduler.md",
+      "grader": "grade.mjs",
+      "variantGenerator": "variant.mjs",
+      "allowedChanges": ["src/scheduler.js", "test/**"]
+    },
+    {
+      "id": "layered-policy-resolution",
+      "title": "Layered fail-closed policy resolution",
+      "kind": "source-change",
+      "category": "security",
+      "difficulty": "large",
+      "profile": "backend-api",
+      "lifecycle": "cold-start",
+      "fixture": "project",
+      "prompt": "prompts/layered-policy-resolution.md",
+      "grader": "grade.mjs",
+      "variantGenerator": "variant.mjs",
+      "allowedChanges": ["src/policy.js", "test/**"]
+    },
+    {
+      "id": "budgeted-context-graph",
+      "title": "Budgeted graph-aware context selection",
+      "kind": "source-change",
+      "category": "context-engineering",
+      "difficulty": "large",
+      "profile": "node-typescript",
+      "lifecycle": "steady-state",
+      "fixture": "project",
+      "prompt": "prompts/budgeted-context-graph.md",
+      "grader": "grade.mjs",
+      "variantGenerator": "variant.mjs",
+      "allowedChanges": ["src/context-pack.js", "test/**"]
+    },
+    {
+      "id": "resumable-stream-assembly",
+      "title": "Out-of-order resumable stream assembly",
+      "kind": "source-change",
+      "category": "reliability",
+      "difficulty": "large",
+      "profile": "web-frontend",
+      "lifecycle": "steady-state",
+      "fixture": "project",
+      "prompt": "prompts/resumable-stream-assembly.md",
+      "grader": "grade.mjs",
+      "variantGenerator": "variant.mjs",
+      "allowedChanges": ["src/stream.js", "test/**"]
+    },
+    {
+      "id": "transactional-config-merge",
+      "title": "Transactional configuration merge and audit plan",
+      "kind": "source-change",
+      "category": "platform",
+      "difficulty": "large",
+      "profile": "fullstack",
+      "lifecycle": "cold-start",
+      "fixture": "project",
+      "prompt": "prompts/transactional-config-merge.md",
+      "grader": "grade.mjs",
+      "variantGenerator": "variant.mjs",
+      "allowedChanges": ["src/config-transaction.js", "test/**"]
+    }
+  ]
+}

package/benchmarks/deep-logic-v1/variant.mjs

@@ -0,0 +1,28 @@
+import crypto from "node:crypto";
+import fs from "node:fs";
+
+const [_workspace, oraclePath, seed, scenarioId] = process.argv.slice(2);
+if (!oraclePath || !seed || !scenarioId) throw new Error("variant generator arguments are incomplete");
+let counter = 0;
+const bytes = () => crypto.createHash("sha256").update(`${seed}:${scenarioId}:${counter += 1}`).digest();
+const integer = (minimum, maximum) => minimum + bytes().readUInt32BE(0) % (maximum - minimum + 1);
+const token = (prefix) => `${prefix}-${bytes().toString("hex").slice(0, 8)}`;
+const oracle = { schemaVersion: 1, graderData: {} };
+
+switch (scenarioId) {
+  case "revision-event-reconciliation": {
+    const key = token("feature"), start = integer(3, 30);
+    oracle.graderData = { key, start, revisions: [token("rev"), token("rev"), token("rev")] };
+    break;
+  }
+  case "fair-dependency-scheduler": oracle.graderData = {
+    capacity: integer(3, 6), tenants: [token("tenant"), token("tenant"), token("tenant")]
+  }; break;
+  case "layered-policy-resolution": oracle.graderData = { protectedPath: `private/${token("vault")}/secret.json`, operation: token("read") }; break;
+  case "budgeted-context-graph": oracle.graderData = { term: token("resolver"), budget: integer(8, 14) }; break;
+  case "resumable-stream-assembly": oracle.graderData = { first: token("hello"), second: token("world"), message: token("message") }; break;
+  case "transactional-config-merge": oracle.graderData = { key: token("feature"), value: token("enabled") }; break;
+  default: throw new Error(`unsupported deep logic scenario ${scenarioId}`);
+}
+
+fs.writeFileSync(oraclePath, `${JSON.stringify(oracle)}\n`, { mode: 0o600 });

package/docs/command-reference-vietnamese.md

@@ -502,8 +502,8 @@ Các lệnh này chạy ngoài Pi.
 | Command | Dùng khi nào |
 |---|---|
 | `npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.84.1` | Cài Pi CLI tương thích với release hiện tại. |
-| `npm install -g --ignore-scripts @piagent/platform@1.5.2` | Cài terminal helper `piagent-*` từ release tag hiện tại. |
-| `pi install git:github.com/Vt-mmm/piagent@v1.5.2` | Cài pinned release khi cần reproducible team setup. |
+| `npm install -g --ignore-scripts @piagent/platform@1.5.3` | Cài terminal helper `piagent-*` từ release tag hiện tại. |
+| `pi install git:github.com/Vt-mmm/piagent@v1.5.3` | Cài pinned release khi cần reproducible team setup. |
 | `pi install git:github.com/Vt-mmm/piagent` | Cài latest package platform cho máy cá nhân/sandbox. |
 | `piagent-update --check` | Báo version hiện tại vs version sẽ lên cho cả ba thành phần; không cài gì. |
 | `piagent-update` | Full update global một lệnh cho cả máy: Pi host → npm-global helper → Pi package, đúng thứ tự release yêu cầu. |
@@ -549,6 +549,8 @@ Các lệnh này chạy ngoài Pi.
 | `piagent-uninstall --apply --project /path/to/project` | Gỡ thêm state của platform trong project: profile, lock, `piagent-state/`. |
 | `piagent-benchmark` | Chạy smoke suite `core-v1`: paired Raw Pi/Piagent, 24 session, hidden grader + scope + workflow + exact usage. |
 | `piagent-benchmark --dry-run` | Validate suite và xem số model session, không gọi model. |
+| `npm run benchmark:deep -- --dry-run` | Validate `deep-logic-v1`: 6 family difficulty large x 2 repeat x Piagent/`codex-cli` = 24 session, pin Luna/medium và chưa dùng quota. |
+| `npm run benchmark:deep` | Chạy paired deep-logic benchmark Luna/medium cho event/state, scheduler, policy, context graph, stream recovery và transactional config. |
 | `piagent-benchmark --production --dry-run` | Xem ma trận production 18 family x 3 variant x 2 surface = 108 session, chưa dùng quota. |
 | `piagent-benchmark --production --surfaces piagent,codex-cli --model <provider/model> --thinking high --piagent-treatment candidate` | Chạy production release gate đa domain/profile/lifecycle với controlled Codex, treatment Piagent đã pin, paired outcome và 95% token-ratio confidence. |
 | `piagent-benchmark --piagent-treatment release-defaults\|local-safe\|candidate\|feature-off ...` | Pin treatment Piagent; chỉ surface `piagent` nhận feature env, manifest/resume/replay/report giữ nguyên treatment. |
@@ -574,6 +576,7 @@ Khi đang develop chính repo `piagent`, có thể dùng npm scripts tương ứ
 | `npm run init-project -- <project>` | `bash scripts/init-project.sh <project>` |
 | `npm run doctor -- <project> --strict-share` | `bash scripts/team-doctor.sh <project> --strict-share` |
 | `npm run benchmark -- ...` | `node scripts/benchmark-runner.mjs ...` |
+| `npm run benchmark:webui-parity` | Gate provider-free cho 10 workflow, 32 Project Controls, contract/security, Chromium flow và ba cỡ performance stress. |
 | `npm run usage -- <project>` | `bash scripts/pi-session-stats.sh <project>` |
 | `npm run usage -- --history <project> --days 7` | `bash scripts/pi-session-stats.sh --history <project> --days 7` |
 | `npm run models` | `bash scripts/pi-model-catalog.sh` |

package/docs/distribution-standard.md

@@ -15,9 +15,9 @@ Repo này phải chạy được cho nhiều project/domain khác nhau. Vì vậ
 
 | Use case | Package source |
 |---|---|
-| Team pinned release | `git:github.com/Vt-mmm/piagent@v1.5.2` |
+| Team pinned release | `git:github.com/Vt-mmm/piagent@v1.5.3` |
 | Personal/sandbox dev | `git:github.com/Vt-mmm/piagent` |
-| Registry distribution | `npm:@piagent/platform@1.5.2` |
+| Registry distribution | `npm:@piagent/platform@1.5.3` |
 | Enterprise npm (fork under another scope) | `npm:@your-scope/platform@x.y.z` |
 | Local platform dev | `/path/to/piagent` |
 
@@ -27,7 +27,7 @@ Latest tiện cho máy cá nhân muốn nhận cập nhật nhanh. Pin tag/commi
 
 | Channel | Command | Target | Policy |
 |---|---|---|---|
-| `stable` | `bash scripts/install-global.sh --stable` | Helper release tag resolved to commit SHA, currently `v1.5.0` | Install the Pi package matching the helper. |
+| `stable` | `bash scripts/install-global.sh --stable` | Helper release tag resolved to commit SHA, currently `v1.5.3` | Install the Pi package matching the helper. |
 | `exact` | `bash scripts/install-global.sh --version vX.Y.Z --resolve-tag` | Requested tag resolved to commit SHA | Pi-package-only rollout, rollback, and incident recovery. |
 | `dev` | `bash scripts/install-global.sh --dev` | Moving Git source | Personal/sandbox only; do not commit into project settings. |
 | `local` | `bash scripts/install-global.sh --local` | Current checkout path | Platform development only. |
@@ -54,7 +54,7 @@ Root `package.json` có `pi` manifest trỏ tới:
 Do đó team có thể:
 
 ```bash
-pi install git:github.com/Vt-mmm/piagent@v1.5.2
+pi install git:github.com/Vt-mmm/piagent@v1.5.3
 ```
 
 Không cần biết internal folder `packages/piagent-core`. Source không pin chỉ dành cho personal/sandbox như bảng channel ở trên.
@@ -66,12 +66,12 @@ Team nên install global package một lần:
 ```bash
 node --version  # >= 22.19.0
 npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.84.1
-npm install -g --ignore-scripts @piagent/platform@1.5.2
+npm install -g --ignore-scripts @piagent/platform@1.5.3
 piagent-install --stable --dry-run
 piagent-install --stable
 ```
 
-`pi install git:github.com/Vt-mmm/piagent@v1.5.2` vẫn hợp lệ nếu chỉ cần cài Pi package. Lệnh đó không tự tạo các binary terminal `piagent-*`; muốn có helper global thì dùng `npm install -g --ignore-scripts @piagent/platform@1.5.2`.
+`pi install git:github.com/Vt-mmm/piagent@v1.5.3` vẫn hợp lệ nếu chỉ cần cài Pi package. Lệnh đó không tự tạo các binary terminal `piagent-*`; muốn có helper global thì dùng `npm install -g --ignore-scripts @piagent/platform@1.5.3`.
 
 Support matrix hiện tại: macOS Apple Silicon + Bash và Linux x64 + Bash đã được verify; macOS Intel + Bash và Linux ARM64 + Bash là supported target cần chạy smoke trước rollout; native Windows chưa phải target rollout team; WSL2 experimental. Chi tiết và version runtime nằm trong [release/install policy](release-install-policy.md).
 
@@ -121,7 +121,7 @@ Nếu muốn commit sẵn `.pi/piagent-profile.json` vào repo hoặc bootstrap
 ```bash
 bash scripts/setup.sh /path/to/project \
   --profile be-readonly-fe \
-  --package-source git:github.com/Vt-mmm/piagent@v1.5.2 \
+  --package-source git:github.com/Vt-mmm/piagent@v1.5.3 \
   --mcp-preset core \
   --subagents-preset safe
 ```

package/docs/languages.json

@@ -21,8 +21,8 @@
       "en": "README.md",
       "vi": "README.vi.md",
       "consistentAt": {
-        "en": "d43e299f4a6c19036ffc8ccd8b922f4f285c8ad1",
-        "vi": "f83cdbf97ca58523135c9c24a58b50713e90f02d"
+        "en": "4b671ff0316632e3aa0c4afde18d0c9087f266cc",
+        "vi": "ac115e73a1489500769c362b24d5490b8c5a4dbc"
       }
     },
     {

package/docs/operator-manual-vietnamese.md

@@ -19,12 +19,12 @@ Support matrix release hiện tại: macOS Apple Silicon + Bash và Linux x64 +
 ```bash
 node --version  # >= 22.19.0
 npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.84.1
-npm install -g --ignore-scripts @piagent/platform@1.5.2
+npm install -g --ignore-scripts @piagent/platform@1.5.3
 piagent-install --stable --dry-run
 piagent-install --stable
 ```
 
-Khi seed `.pi/settings.json` cho team/repo cần audit lặp lại, giữ package source dạng pinned tag như `git:github.com/Vt-mmm/piagent@v1.5.2`. Máy cá nhân có thể dùng `git:github.com/Vt-mmm/piagent` để theo latest.
+Khi seed `.pi/settings.json` cho team/repo cần audit lặp lại, giữ package source dạng pinned tag như `git:github.com/Vt-mmm/piagent@v1.5.3`. Máy cá nhân có thể dùng `git:github.com/Vt-mmm/piagent` để theo latest.
 
 Nếu đang ở source checkout của platform, dùng helper theo channel để preview trước khi đổi:
 
@@ -100,7 +100,7 @@ install package once
 
 ```bash
 npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.84.1
-npm install -g --ignore-scripts @piagent/platform@1.5.2
+npm install -g --ignore-scripts @piagent/platform@1.5.3
 piagent-install --stable --dry-run
 piagent-install --stable
 ```
@@ -283,7 +283,7 @@ Không phải daily default. Dùng khi muốn tạo sẵn `.pi` files cho projec
 bash /path/to/piagent/scripts/setup.sh /path/to/project \
   --project-only \
   --profile auto \
-  --package-source git:github.com/Vt-mmm/piagent@v1.5.2 \
+  --package-source git:github.com/Vt-mmm/piagent@v1.5.3 \
   --mcp-preset core \
   --subagents-preset safe
 ```
@@ -1042,8 +1042,8 @@ Watchdog là optional adversarial reviewer ở cuối turn, không bật mặc
 
 | Command | Dùng để |
 |---|---|
-| `npm install -g --ignore-scripts @piagent/platform@1.5.2` | Cài terminal helper `piagent-*` từ release tag hiện tại. |
-| `pi install git:github.com/Vt-mmm/piagent@v1.5.2` | Install pinned release cho reproducible team setup. |
+| `npm install -g --ignore-scripts @piagent/platform@1.5.3` | Cài terminal helper `piagent-*` từ release tag hiện tại. |
+| `pi install git:github.com/Vt-mmm/piagent@v1.5.3` | Install pinned release cho reproducible team setup. |
 | `pi install git:github.com/Vt-mmm/piagent` | Install latest platform package cho máy cá nhân/sandbox. |
 | Cài exact Pi host của release, rồi `npm install -g --ignore-scripts @piagent/platform@X.Y.Z` và `piagent-install --stable` | Full update: đồng bộ host, terminal helper và Pi package. Mỗi release pin một Pi host chính xác; lấy đúng version của release đang cài trong [release/install policy](release-install-policy.md). |
 | Cài exact Pi host ghi trong release cũ, rồi helper `vPREVIOUS` và `piagent-install --stable` | Full rollback; đánh giá lại dependency findings của host cũ trước khi hạ version. |
@@ -1155,7 +1155,7 @@ Mở lại Pi session sau khi install.
 Cài lại terminal helper đúng release rồi kiểm tra `PATH`:
 
 ```bash
-npm install -g --ignore-scripts @piagent/platform@1.5.2
+npm install -g --ignore-scripts @piagent/platform@1.5.3
 command -v piagent-install
 ```
 

package/docs/publishing-for-teams.md

@@ -98,6 +98,10 @@ pi install /path/to/piagent
   Inspector; projection Task Changes / Working Tree / Staged có bounded diff,
   provenance và enforce protected path; session lease bền, recovery khi restart
   hoặc owner cũ treo, doctor có repair tường minh.
+- `1.5.3`: WebUI có workflow theo từng tin nhắn thay vì khóa cả session, mặc
+  định hiển thị rõ GPT-5.6 Sol High, Project Controls typed và UI gọn sau nút
+  `+`; benchmark thêm `deep-logic-v1`, WebUI parity provider-free và hai family
+  capability cho session control/timeline recovery.
 - `1.5.2`: kéo thả và dán tài liệu vào ô chat mới. Nút kẹp giấy vốn đã đưa file
   vào session mới; kéo thả là lối vào duy nhất còn im lặng, file thả xuống bị
   mất mà không báo gì.

package/docs/quality-benchmark.md

@@ -44,6 +44,43 @@ piagent-benchmark --dry-run
 ```
 
 Đây là smoke suite để phát hiện regression nhanh, không phải production claim.
+
+## WebUI parity và bài logic sâu
+
+WebUI không có một bộ prompt/policy riêng. Workflow picker tạo đúng
+`/workflow <id> <request>`; Project Controls tạo typed command rồi Gateway gọi
+đúng slash-command handler của Terminal. Vì vậy benchmark chia hai tầng:
+
+```bash
+npm run benchmark:webui-parity
+```
+
+Tầng provider-free này build production bundle, kiểm tra 10 workflow, 32 runtime
+control, revision/idempotency/confirmation/CSRF, chạy toàn bộ Chromium user flow
+và stress projection ở ba cỡ repository. Receipt của read-only control phải ghi
+`modelCallObserved=false`; nếu runtime vô tình mở model turn, gate trả
+`effect-unknown` thay vì claim 0 token.
+
+Khi cần đo solver logic sâu theo baseline lịch sử Luna/medium với `codex-cli`:
+
+```bash
+npm run benchmark:deep -- --dry-run
+npm run benchmark:deep
+```
+
+`deep-logic-v1` gồm 6 family difficulty `large`: revision-bound event
+reconciliation, capacity/fairness/dependency scheduling, layered fail-closed
+policy, budgeted context graph, out-of-order resumable stream và transactional
+config merge. Mỗi family có run-private value variant, hidden grader, scope gate
+và hai repeat trên hai surface, tổng 24 model session. Script project pin
+`Piagent`/``codex-cli``, `openai-codex/gpt-5.6-luna` và thinking `medium` để kết quả
+so sánh được với baseline cũ. CLI thấp hơn vẫn cho phép truyền cấu hình khác.
+
+Kết quả của `webui-parity-v1` chứng minh transport/logic parity và UI behavior,
+không phải model-quality claim. Kết quả `deep-logic-v1` là diagnostic paired
+benchmark; production/public claim vẫn phải qua `production-v1` và các release
+gate hiện hành.
+
 Public regression diện rộng dùng track `--production` (tên CLI được giữ để
 tương thích, không phải claim production):
 
@@ -52,7 +89,7 @@ piagent-benchmark --production --dry-run \
   --surfaces piagent,codex-cli \
   --model openai-codex/gpt-5.6-luna \
   --thinking medium \
-  --piagent-treatment candidate
+  --piagent-treatment release-defaults
 
 piagent-benchmark --production \
   --surfaces piagent,codex-cli \
@@ -92,12 +129,13 @@ Từ lớp benchmark matrix trong package, Piagent phân ba band:
 | Band | Khi dùng | Mục đích |
 |---|---|---|
 | `core` | thay đổi nhỏ, kiểm tra nhanh | Task quality, scope, safety và exact usage trên 4 scenario |
+| `deep-logic` | phát triển solver/workflow/WebUI logic | `deep-logic-v1`, 6 bài large với interacting invariants, 24 paired session; diagnostic, không phải release claim |
 | `production` | release candidate, đổi model policy, đổi harness | `production-v1`, 18 public-regression scenario, paired baseline, confidence gate; không phải generalization claim |
-| `capability` | tìm trần năng lực sau thay đổi harness | `capability-v1`, 4 bài multi-file/multi-component chưa bão hòa; dùng hill-climbing, không phải release gate |
+| `capability` | tìm trần năng lực sau thay đổi harness | `capability-v1`, 6 bài multi-file/multi-component chưa bão hòa; dùng hill-climbing, không phải release gate |
 | `long-horizon` | thay đổi recovery/context lớn | Lane provider-free chạy ít nhất 30 phút cho hard crash/resume, compaction, handoff, continuation bounded và state-growth; dedicated paid suite chưa phát hành |
 | `private-holdout` | readiness E3 và exact-RC FS7-01 | Tối thiểu 6 family từ 6 repository lineage, giữ ngoài workspace tác giả; chỉ custodian execute-only và human-calibration receipt được chấp nhận |
 
-Hiện `core-v1`, `production-v1`, `capability-v1` và `e2-framework-v1` chạy được bằng CLI. Thay đổi
+Hiện `core-v1`, `deep-logic-v1`, `production-v1`, `capability-v1` và `e2-framework-v1` chạy được bằng CLI. Thay đổi
 recovery/context phải chạy `production-v1` cùng deterministic recovery tests.
 Lane `evals/long-horizon-v1` hiện là `runnable-provider-free`; nó chứng minh
 lifecycle durability và local-state bounds, không tạo model quality, token,
@@ -112,23 +150,24 @@ chốt local readiness và chuẩn bị protocol FS5, nhưng generalization/rele
 khóa cho tới khi custodian độc lập cung cấp receipt thật ở `CF-FS7-01`.
 
 Capability pilot dùng lệnh sau. Suite này chủ ý có các contract xuyên package,
-backend/frontend dùng chung chuẩn hóa, lease ownership/concurrency, và migration
-crash/resume; điểm thấp là tín hiệu năng lực cần nghiên cứu, không phải lý do vá
-regex theo fixture:
+backend/frontend dùng chung chuẩn hóa, lease ownership/concurrency, migration
+crash/resume, WebUI/Terminal control-plane và reconnect timeline có checkpoint;
+điểm thấp là tín hiệu năng lực cần nghiên cứu, không phải lý do vá regex theo
+fixture:
 
 ```bash
 piagent-benchmark --capability \
-  --surfaces raw-pi,piagent \
+  --surfaces piagent,codex-cli \
   --model openai-codex/gpt-5.6-luna \
   --thinking medium \
   --piagent-treatment candidate
 ```
 
-`capability-v1` dùng contract gắn nhãn 16 clause và 47 check atomic có trọng số,
+`capability-v1` dùng contract gắn nhãn 28 clause và 69 check atomic có trọng số,
 thay cho hai mega-check chỉ cho điểm `0` hoặc `10`. Prompt, rubric và grader
-phải có mapping đầy đủ; reference đạt `10/10`, 16 mutation theo clause phải bị
+phải có mapping đầy đủ; reference đạt `10/10`, 28 mutation theo clause phải bị
 đúng check tương ứng bắt, và một implementation tương đương nhưng khác cấu trúc
-phải được chấp nhận. Mỗi check hiện là critical và mỗi scenario có 11–13 check,
+phải được chấp nhận. Mỗi check hiện là critical và mỗi scenario có 10–13 check,
 nên chỉ cần thiếu một check thì task score đã xuống tối đa `9.23` và không thể
 qua hard gate `>9.5`. Điểm lẻ dùng để chẩn đoán obligation nào hỏng; `resolved`
 vẫn yêu cầu toàn bộ critical check pass. Những pilot cũ giữ nguyên suite digest

package/docs/release-install-policy.md

@@ -11,7 +11,7 @@ This file is the canonical install, update, rollback, and release checklist. Oth
 
 All supported environments require Node.js `>=22.19.0` and Pi Coding Agent `0.84.1`. The Pi host is installed as a Node CLI; Pi Agent Platform still defines its own release matrix because the terminal helpers and shell policy rely on Bash/POSIX behavior.
 
-| Surface | Status for v1.5.0 | Rollout guidance |
+| Surface | Status for v1.5.3 | Rollout guidance |
 |---|---|---|
 | macOS Apple Silicon (`darwin/arm64`) + Bash | Verified for this release. | Safe default for team rollout after normal project smoke tests. |
 | Linux x64 + Bash | Verified in GitHub Actions. | Safe default for CI/server usage after normal project smoke tests. |
@@ -106,7 +106,7 @@ These three components are versioned independently. A full install, update, or r
 
 | Channel | Source shape | Mutability | Use when |
 |---|---|---:|---|
-| `stable` | `git:github.com/Vt-mmm/piagent@<resolved-commit-sha>` from `v1.5.0` | Fixed after resolution | Default for team rollout. |
+| `stable` | `git:github.com/Vt-mmm/piagent@<resolved-commit-sha>` from `v1.5.3` | Fixed after resolution | Default for team rollout. |
 | `exact` | Tag, reviewed commit, or a tag resolved with `--resolve-tag` | Fixed when using a commit SHA | Pi-package-only roll forward, rollback, or reproduction. |
 | `dev` | `git:github.com/Vt-mmm/piagent` | Moving | Personal machine or sandbox only. |
 | `local` | `/path/to/piagent` | Local workspace | Platform development and dry-run validation. |
@@ -126,7 +126,7 @@ Use this flow when the team needs both terminal commands and the Pi package:
 ```bash
 node --version  # >= 22.19.0
 npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.84.1
-npm install -g --ignore-scripts @piagent/platform@1.5.2
+npm install -g --ignore-scripts @piagent/platform@1.5.3
 piagent-install --stable --dry-run
 piagent-install --stable
 ```
@@ -134,8 +134,8 @@ piagent-install --stable
 The stable preview and apply output includes:
 
 ```text
-currentRelease: v1.5.0 (helper package version)
-tag: v1.5.0
+currentRelease: v1.5.3 (helper package version)
+tag: v1.5.3
 resolvedCommit: <40-char-sha>
 source: git:github.com/Vt-mmm/piagent@<40-char-sha>
 ```
@@ -152,7 +152,7 @@ bash scripts/install-global.sh --stable
 Use this only when terminal commands are not needed:
 
 ```bash
-pi install git:github.com/Vt-mmm/piagent@v1.5.2
+pi install git:github.com/Vt-mmm/piagent@v1.5.3
 ```
 
 Direct `pi install` does not create `piagent-*` commands on `PATH`.

package/docs/security-threat-model.md

@@ -25,7 +25,7 @@ This document covers the packaged guard, project profiles, capability locks, ins
 - The operator, operating-system account, Pi host, and explicitly trusted project repository are trusted to execute code.
 - Project-local Pi resources are loaded only after Pi project trust or an explicit operator override.
 - A human remains available to approve destructive and external-provider actions.
-- Supported release verification covers macOS Apple Silicon + Bash, Linux x64 + Bash, Node.js `>=22.19.0`, and the exact Pi host version declared by the release. macOS Intel + Bash and Linux ARM64 + Bash are supported targets that need local smoke verification before broad rollout. Native Windows is not a team-rollout target for v1.5.0, and WSL2 is experimental/unverified.
+- Supported release verification covers macOS Apple Silicon + Bash, Linux x64 + Bash, Node.js `>=22.19.0`, and the exact Pi host version declared by the release. macOS Intel + Bash and Linux ARM64 + Bash are supported targets that need local smoke verification before broad rollout. Native Windows is not a team-rollout target for v1.5.3, and WSL2 is experimental/unverified.
 - Registry, GitHub, model-provider, MCP-provider, and Vercel controls are external dependencies. Their account security and platform guarantees are not replaced by this repository.
 
 ## Threat actors and failure modes

package/docs/team-onboarding.md

@@ -10,7 +10,7 @@ Một thành viên mới không cần biết local path của maintainer. Luồn
 ```bash
 node --version  # >= 22.19.0
 npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.84.1
-npm install -g --ignore-scripts @piagent/platform@1.5.2
+npm install -g --ignore-scripts @piagent/platform@1.5.3
 piagent-install --stable
 cd /path/to/project
 pi
@@ -44,7 +44,7 @@ Mặc định team dùng stable helper:
 ```bash
 node --version  # >= 22.19.0
 npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.84.1
-npm install -g --ignore-scripts @piagent/platform@1.5.2
+npm install -g --ignore-scripts @piagent/platform@1.5.3
 piagent-install --stable --dry-run
 piagent-install --stable
 ```

package/docs-site/architecture.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/architecture" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/architecture" hreflang="en" lang="en">EN</a>

package/docs-site/benchmark.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/benchmark" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/benchmark" hreflang="en" lang="en">EN</a>

package/docs-site/commands.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/commands" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/commands" hreflang="en" lang="en">EN</a>

package/docs-site/context-engine.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · VI</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · VI</span>
         <nav class="language-switch" aria-label="Ngôn ngữ">
           <a class="language-option current" href="/context-engine" hreflang="vi" lang="vi" aria-current="true">VI</a>
           <a class="language-option" href="/en/context-engine" hreflang="en" lang="en">EN</a>

package/docs-site/en/architecture.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/architecture" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/architecture" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/benchmark.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/benchmark" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/benchmark" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/commands.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/commands" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/commands" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/context-engine.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/context-engine" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/context-engine" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/index.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/mcp-approval.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/mcp-approval" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/mcp-approval" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/mcp-auth.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/mcp-auth" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/mcp-auth" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/mcp-servers.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/mcp-servers" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/mcp-servers" hreflang="en" lang="en" aria-current="true">EN</a>

package/docs-site/en/mcp.html

@@ -30,7 +30,7 @@
         <span>Pi Agent Platform</span>
       </a>
       <div class="top-actions">
-        <span class="pill"><span class="pill-dot"></span>v1.5.2 docs · EN</span>
+        <span class="pill"><span class="pill-dot"></span>v1.5.3 docs · EN</span>
         <nav class="language-switch" aria-label="Language">
           <a class="language-option" href="/mcp" hreflang="vi" lang="vi">VI</a>
           <a class="language-option current" href="/en/mcp" hreflang="en" lang="en" aria-current="true">EN</a>