@piagent/platform 1.6.0 → 1.7.1

package/docs/publishing-for-teams.md

@@ -41,6 +41,8 @@ pi install /path/to/piagent
 
 ## Versioning
 
+- `1.7.1`: Pi 0.86.1, chờ trong phiên đang mở, sửa context/usage và phục hồi; kết quả chạy lại 14 phiên lỗi được giữ riêng, không claim một full108 mới hay tiết kiệm token tổng thể.
+- `1.7.0`: chỉ có annotated tag; macOS tag CI chạm giới hạn 40 phút hai lần nên npm và GitHub Release không được publish. Được thay bằng `1.7.1`.
 - `0.1.x`: local/internal pilot.
 - `0.2.x`: có guard ổn định và docs team.
 - `1.0.2`: đủ security review, MCP registry, adapter schema versioned.
@@ -98,6 +100,11 @@ pi install /path/to/piagent
   Inspector; projection Task Changes / Working Tree / Staged có bounded diff,
   provenance và enforce protected path; session lease bền, recovery khi restart
   hoặc owner cũ treo, doctor có repair tường minh.
+- `1.6.1`: patch ổn định runtime và chi phí — transcript chỉ hiện response khi
+  durable task đã terminal, Activity phân loại đúng retry/helper failure, review
+  repo ngoài chỉ nhận read grant session-scoped cho checkout chính xác, và direct
+  subagent bị khóa solo-first với một helper read-only có budget hữu hạn. Benchmark
+  thêm gate provider-free/Codex-relative nhưng không đưa ra claim chi phí mới.
 - `1.6.0`: context evidence khóa đúng turn/session/task run; WebUI có canonical
   live state, watchdog và Stop an toàn qua reload/multi-tab; chat chỉ hiện kết
   quả thành công còn retry/lỗi nằm trong Activity; deep-logic benchmark có bài

package/docs/quality-benchmark.md

@@ -63,6 +63,18 @@ và stress projection ở ba cỡ repository. Receipt của read-only control ph
 `modelCallObserved=false`; nếu runtime vô tình mở model turn, gate trả
 `effect-unknown` thay vì claim 0 token.
 
+Terminal settlement của Gateway mô tả trạng thái vận chuyển/UI, không tự suy
+diễn ý nghĩa câu trả lời. Safety-refusal phải kết thúc `completed` với một
+response bền vững để UI hiển thị; `blocked` vẫn dành cho completion gate/task
+chưa hoàn tất và không được tính như refusal. Outcome `refused` của benchmark
+được hard-gate bằng fixture không đổi, scope sạch, không lộ secret và hidden
+grade; runner không parse keyword trong lời model để đoán refusal.
+
+Token và subagent accounting của WebUI chỉ đọc Pi session JSONL dưới runtime
+`sessions/`. Gateway admission/index/lease journals không phải provider session
+và không được phép làm tăng session count; thiếu hoặc sai session header vẫn
+fail-closed.
+
 Khi cần đo solver logic sâu theo baseline lịch sử Luna/medium với `codex-cli`:
 
 ```bash
@@ -124,8 +136,115 @@ mỗi family và 2 surface, tổng cộng 108 model session. Bộ này dùng đ
 regression của harness/model policy, không tự chứng minh generalization hoặc độ
 ổn định production.
 
-Contract hiện tại chỉ xét fresh-token claim ở **S108**, sau khi có đủ 18 family ×
-3 repeat × 2 surface. Primary estimand được khai báo trước là
+### Production-v2: Luna medium Fast và net-35 all-in
+
+Track mới chạy bằng `npm run benchmark:production-v2 -- --dry-run` rồi theo các
+mốc S12/S18/S54/S108. Ma trận vẫn là 108 session: 9 task family × 3 structural
+variant × 2 repeat × 2 surface. Suite khóa cùng
+`openai-codex/gpt-5.6-luna`, `medium` và Fast mode cho cả hai surface. Ở wire
+OpenAI, Fast được ánh xạ thành `service_tier=priority`; literal `fast` không phải
+giá trị hợp lệ của Responses API và benchmark phải fail closed nếu quan sát thấy nó.
+Piagent lẫn controlled `codex-cli`; resume/replay, spend-control và configuration
+digest đều giữ nguyên ba giá trị này. Cổng tổng hợp là **Fast execution
+configuration parity**: Piagent phải có outbound telemetry ánh xạ ý định Fast
+sang wire tier `priority` đầy đủ cho mọi provider start/wire event. Surface
+controlled `codex-cli`
+phải có receipt của argv thực tế cho lượt đầu, gồm `--strict-config`,
+`service_tier="fast"`, feature `fast_mode`, executable identity, isolated
+`CODEX_HOME`, stdout `thread.started`, exact usage và rollout
+`session_meta`/`turn_context` khớp thread, workspace, model, thinking. Mỗi lượt
+resume tiếp theo phải có cùng invocation receipt và đúng một effective
+`thread_settings_applied` tier `priority`; tổng coverage bắt buộc là một initial
+receipt cộng `providerStartedAttempts - 1` resume-settings event. Thiếu hoặc
+mâu thuẫn một bằng chứng, hay thấy `default`, đều làm claim fail closed. Rollout
+Codex không phát `thread_settings_applied` cho initial `exec`, vì vậy benchmark
+không được nhầm một session chỉ có một lượt thành Fast failure, cũng không được
+dùng command binding đơn lẻ nếu thiếu các identity/outcome binding nói trên.
+
+Hai cổng token độc lập cùng phải pass ở S108:
+
+- cận trên 95% của primary fixed-workload family ratio vẫn `<= 0.60`;
+- pooled fresh token của **mọi accepted attempt cộng mọi exact failed/retry
+  attempt** phải `<= 0.65` so với `codex-cli`, tương ứng net reduction ít nhất
+  35%. Unknown attempt usage không được trừ hao hay bỏ khỏi mẫu; nó làm gate
+  fail-closed.
+
+Chuỗi chạy chính thức của track này là S0 rồi mở đúng từng cửa sổ mới
+`12/6/36/54`; không chạy lại session đã có và chỉ S108 mới có quyền claim:
+
+```bash
+npm run benchmark:production-v2 -- --preflight-only
+npm run benchmark:production-v2 -- --max-sessions 12 --stop-after-failed-pair --output /path/to/report-dir --yes
+npm run benchmark:production-v2 -- --resume /path/to/report-dir --max-sessions 6 --yes
+npm run benchmark:production-v2 -- --resume /path/to/report-dir --max-sessions 36 --yes
+npm run benchmark:production-v2 -- --resume /path/to/report-dir --max-sessions 54 --yes
+```
+
+S0 dùng `providerFreeConfigurationDigest` riêng: nó vẫn bind source/tree,
+suite, model, thinking, Fast tier, seed/order, runtime, timeout và retry policy,
+nhưng loại các trường chỉ thuộc invocation như private credential-vault ID,
+output, resume và kích thước stage window. Vì vậy S12/S18/S54/S108 reuse nguyên
+receipt S0; thay đổi semantic, source hoặc lane bytes vẫn làm cache miss
+fail-closed. Measurement `configurationDigest` đầy đủ vẫn giữ private vault ID
+để khóa ledger, campaign và resume lineage, nên tối ưu cache này không nới
+quyền hay trộn hai paid run.
+
+Khi operator muốn **đo đủ 108 phiên trước rồi mới sửa**, có thể chủ động chọn
+`--measurement-only` thay cho chuỗi release theo giai đoạn:
+
+```bash
+node scripts/benchmark-runner.mjs --suite production-v2 --measurement-only --max-sessions 108 --keep-workspaces --output /path/to/measurement-report --yes
+```
+
+Chế độ này chỉ áp dụng cho ma trận production-v2 đầy đủ, controlled Codex và
+Pi release-defaults. Bài, thứ tự, seed, model/medium/Fast, hai repeat, zero retry,
+chấm điểm, ràng buộc source sạch, bốn lane S0 và sổ mọi provider attempt vẫn
+giữ nguyên. Operator cấp một cửa sổ `0→108`; điểm thấp, thất bại của agent và tỷ
+lệ token xấu không kết thúc sớm cửa sổ đó. Lỗi hạ tầng, source thay đổi hoặc
+usage không xác định vẫn không được bỏ qua. Không kết hợp với lọc bài, replay,
+giới hạn thời gian toàn lượt hay `--stop-after-failed-pair`.
+
+Lựa chọn được khóa vào configuration digest, manifest, preflight và report;
+không thể chuyển một campaign release cũ sang chế độ này khi resume. Các số đo,
+PASS/FAIL và release gate trong report vẫn là số thật, nhưng report luôn ghi
+measurement-only, campaign kết thúc `no-claim`, không cấp token-saving hay
+generalization claim. Exit code có thể khác 0 dù đã đo đủ 108, nếu release gate
+không đạt; phải kiểm tra report và ledger thay vì gọi đó là benchmark chưa chạy.
+Đây không phải chứng nhận full offline qualification hay production readiness.
+
+Production-v2 bind một paid campaign vào exact suite, candidate, configuration
+và output directory. Nếu campaign đã khởi động provider nhưng dừng giữa chừng,
+fail gate hoặc kết thúc `no-claim`, cùng lineage chỉ được resume đúng output đó;
+không được mở output mới để chọn lại mẫu đẹp hơn. Candidate/configuration thực
+sự đổi mới được mở campaign mới, nhưng campaign cũ được giữ nguyên ledger và
+đóng bằng disposition `superseded-changed-lineage-no-claim`. Report tách rõ
+all-attempt ledger của campaign hiện tại dùng cho net-35 với lịch sử chi tiêu
+campaign trước; lịch sử cũ không bị cộng vào tỷ lệ candidate hiện tại và cũng
+không bị xóa. Known exact token được cộng thành subtotal riêng, còn chỉ một
+prior/current attempt thiếu exact usage cũng phải hiện tổng usage là
+`unavailable`; runner không tự retry unknown-cost attempt. Reservation chưa hề
+khởi động provider vẫn có thể được supersede mà không tạo paid-history giả.
+
+Pi host hiện chứng minh được outbound request Fast; surface controlled
+`codex-cli` chứng minh strict
+initial invocation cộng effective settings của toàn bộ lượt resume. Hai nguồn đó
+chỉ cho phép claim execution-configuration parity, không cho phép suy ra actual
+provider processing tier.
+Pi host hiện chưa expose trường `response.service_tier`, nên report giữ provider
+processing tier ở `unavailable`. Nếu response tier được host expose về sau, chỉ
+`fast|priority` được chấp nhận; `default` là downgrade.
+Fast của GPT-5.6 được report bằng hai mức **tham chiếu** riêng: ChatGPT
+subscription credits `2.5x` và API Fast token pricing `2x`. Billing mode và
+multiplier thực áp dụng cho run vẫn là `unverified` nếu chưa có bằng chứng độc
+lập; cả hai reference đều non-blocking và tuyệt đối không nhân/chia vào
+provider-reported token ratio.
+
+### Production-v1 legacy: fixed-workload 40%
+
+Phần contract dưới đây chỉ áp dụng cho `production-v1`: efficiency claim được
+xét ở **S108**, sau khi có đủ 18 family × 3 repeat × 2 surface. Claim phải qua
+hai trục độc lập. Primary fresh-token
+estimand được khai báo trước là
 `fixed-workload-family-ratio`: trong từng family, cộng fresh token chính xác của
 đủ ba attempt đã định trước ở mỗi surface, gồm cả usage của failed attempt đã
 khởi động provider; sau đó lấy geometric mean của 18 tỷ lệ family và CI 95% trên
@@ -142,6 +261,25 @@ phải có exact terminal token buckets; thiếu một attempt/family hoặc unk
 usage của accepted/failed attempt làm primary evidence không đầy đủ và chặn
 claim.
 
+Production còn có hard gate ngân sách subagent độc lập với normalized cost:
+mỗi provider attempt của Piagent được phép tối đa một child session, tổng token
+traffic của child không vượt `5%` tổng token traffic candidate, và `sessions`
+phải được giải thích chính xác bằng một root session cộng số child session. Gate
+này tính cả accepted attempt lẫn provider-started failed attempt; thiếu ledger,
+thiếu exact child-token bucket hoặc session không giải thích được đều chặn stage
+và claim, kể cả khi `requireNormalizedCostClaim=false`.
+
+Diagnostic Codex-relative thứ hai đo mục tiêu chi phí vận hành: cùng task,
+fixture, model và thinking, cộng **toàn bộ provider token traffic** gồm fresh
+input, output, cache read và cache write của accepted attempt lẫn
+provider-started failed/retry attempt. Contract tùy chọn cho một suite tương lai
+sẽ chỉ cho phép nói "rẻ hơn `codex-cli` ít nhất 30%" khi point estimate lẫn cận
+trên 95% của total-traffic ratio và API-equivalent cost ratio không vượt `0.70`,
+đồng thời chất lượng/task continuity đều đạt. `production-v1` hiện giữ
+`requireNormalizedCostClaim=false`, nên metric này chỉ là diagnostic và không
+được dùng để claim 30–40% cost; hard claim S108 của v1 vẫn là fresh-token ratio
+upper-95 không vượt `0.60`.
+
 Hai hard non-regression axis còn lại là paired model intelligence và task
 continuity. Piagent phải dùng đúng cùng model/thinking với controlled baseline CLI,
 không thấp điểm hơn ở bất kỳ paired grade nào, đạt mọi quality/safety/
@@ -150,14 +288,16 @@ Piagent session phải resolved với đầy đủ workflow cùng causal lifecyc
 evidence. Một task bị đứt, timeout, orphan, terminal state không rõ hoặc thiếu
 evidence không thể được bù bằng token saving ở task khác.
 
-Codex OAuth không cung cấp billed monetary cost, nên `usage.cost` vẫn là `n/a`.
-Production-v1 đo riêng **API-equivalent text-token cost** bằng pricing snapshot
+Codex OAuth không cung cấp billed monetary cost, nên không thể suy tỷ lệ phần
+trăm subscription từ report. Production-v1 đo riêng **API-equivalent text-token
+cost** bằng pricing snapshot
 có version trong suite: GPT-5.6 Luna ở `$0.20/M` fresh input, `$0.02/M` cached
 input, `$1.20/M` output và cache write bằng `1.25x` fresh-input rate. Đây là
-metric quan sát, không phải hard gate: tỷ lệ xấu hơn baseline CLI hoặc pricing
-applicability không đầy đủ không được chặn stage, verdict, hay fresh-token claim.
-Metric chỉ chuẩn hóa input/cache/output text token, không bao gồm tool-specific
-charge và không phải hóa đơn OAuth. Snapshot dẫn nguồn
+diagnostic quan sát của `production-v1`, không phải hóa đơn OAuth và không
+khẳng định mức trừ quota subscription. Chỉ một suite tương lai bật explicit
+cost claim và có usage từng request đầy đủ mới được nâng nó thành hard gate.
+Metric chỉ chuẩn hóa
+input/cache/output text token, không bao gồm tool-specific charge. Snapshot dẫn nguồn
 [OpenAI GPT-5.6 Luna model page](https://developers.openai.com/api/docs/models/gpt-5.6-luna).
 
 Long-context multiplier là thuộc tính từng request: request input trên 272K
@@ -165,8 +305,8 @@ dùng input `2x` và output `1.5x`. Report chỉ dùng standard tier khi tổng
 tokens của run không vượt 272K, vì tổng đó là upper bound của từng request. Nếu
 tổng lớn hơn nhưng không có exact per-request usage, applicability là `unknown`
 và normalized-cost diagnostic ghi `unavailable`; runner không nhân mù trên
-aggregate và cũng không dùng sự thiếu hụt này để phủ quyết exact fresh-token
-measurement. Nhãn
+aggregate. Điều này không phủ quyết exact token-traffic measurement, nhưng chặn
+mọi optional Codex-relative cost claim thay vì giả định một mức giá có lợi. Nhãn
 `steady-state` ở suite này nghĩa là project đã được onboarding/build Context
 Engine trước một request mới; nó không phải bằng chứng multi-turn hay session
 continuity trong công việc thực tế.
@@ -187,9 +327,12 @@ session.
 
 Production suite có thể chạy lâu vì mọi session chạy tuần tự để giữ baseline
 sạch. Chạy theo các mốc tích lũy `S0/12/36/72/108`; chỉ `S108` được xét claim.
-Mọi stage trước chỉ là spend-control diagnostic; intermediate token ratio không
-phải early verdict, còn duration, host load và normalized cost luôn là
-observational. `--max-sessions` tính số session mới của chunk hiện tại, vì vậy
+Mọi stage trước chỉ là spend-control diagnostic, không cấp early-success
+verdict. Từ S12 và tại mỗi partial stage kế tiếp (S36, S72), runner vẫn dừng
+chi tiêu nếu pooled fresh-token ratio tính trên exact accepted + failed-attempt
+usage vượt `1.10`, hoặc bất kỳ family đã quan sát nào vượt `1.25`. Duration,
+host load và normalized cost luôn là observational. `--max-sessions` tính số
+session mới của chunk hiện tại, vì vậy
 các lần resume lần lượt dùng `24`, `36`, `36`:
 
 ```bash
@@ -214,12 +357,30 @@ piagent-benchmark --resume /path/to/report-dir --max-sessions 36 --yes
 piagent-benchmark --resume /path/to/report-dir --max-sessions 36 --yes
 ```
 
+Trước provider preflight đầu tiên, S0 tự chạy bốn lane provider-free trên đúng
+candidate hiện tại: `architecture-conformance-v1` chạy fail-fast cho dependency
+boundary và line budget, `runtime-conformance-v1`, `long-horizon-v1` (tối thiểu
+30 phút wall-clock) và `webui-parity-v1` gồm chín deterministic UI-stability suite.
+Receipt có completion time và bind exact clean Git commit, candidate tree,
+production configuration, cùng digest của từng lane config/runner. Receipt được
+cache riêng tư theo toàn bộ binding; resume/S12 chỉ reuse khi mọi digest vẫn
+khớp, còn source/config/runner đổi sẽ bắt buộc chạy lại S0. Vì vậy lần
+`--preflight-only` production đầu tiên trên một binding sạch có thể mất hơn 30
+phút nhưng không gọi provider và không dùng model token.
+
 Không mở stage kế tiếp nếu có Piagent unresolved/score không vượt floor,
 baseline-pass/Piagent-fail, unknown provider-attempt usage, infrastructure retry,
-model/thinking/provider-wire drift hoặc candidate provenance drift. Early success
-không phải stopping rule: chưa đủ 108 session thì tuyệt đối không claim đạt 40%.
-Một intermediate fresh-token ratio xấu, duration chậm, normalized-cost ratio xấu
-hoặc host load cao không tự đóng stage; các giá trị đó chỉ được giữ để chẩn đoán.
+model/thinking/provider-wire drift, candidate provenance drift, subagent vượt
+ngân sách, provider-free receipt sai binding, adaptive-context coverage
+`partial`, hoặc catastrophic partial-stage ratio vượt ngưỡng trên. Runtime
+coverage `not-observed` chỉ được chấp nhận khi lane provider-free cùng binding
+đã phủ ca đó. Early success không phải stopping rule: chưa đủ 108 session thì
+tuyệt đối không claim đạt 40%. Fresh ratio dưới ngưỡng catastrophic ở partial
+stage vẫn chỉ là diagnostic; duration chậm, normalized-cost ratio xấu hoặc host
+load cao không tự đóng stage. Ở S108, `production-v1` dùng hard gate fresh-token
+đã khai báo cùng các quality/continuity/evidence gate độc lập;
+total-traffic và normalized-cost Codex-relative vẫn observational cho tới khi có
+suite version mới bật explicit cost claim và exact per-request pricing evidence.
 File spend-control là contract được test; runner đọc trực tiếp các mốc session,
 từ chối chunk đầu hoặc chunk resume không đúng phần còn lại của window đã duyệt.
 Seed, surface, model, thinking, repeat, zero-retry và terminal pair-stop cũng được
@@ -236,9 +397,13 @@ infrastructure/unknown-usage và provenance có đường dừng/abort tự đ
 diagnostic từ ledger đã chấp nhận và từ chối chạy thêm model session nếu
 `stageAdvanceAllowed` không phải `true`; không thể vượt gate chỉ bằng cách sửa
 file diagnostic đã ghi ở lần pause.
-Artifact provider-free này kiểm tra pair boundary, candidate outcome floor,
+Artifact provider-free tại mỗi pause kiểm tra pair boundary, candidate outcome floor,
 baseline-pass/Piagent-fail, observed paired grade non-inferiority, exact accepted
-usage, model/thinking/provider-wire và retry/unknown usage. Pricing
+và failed-attempt usage, model/thinking/provider-wire, subagent budget,
+source-bound S0 receipts, adaptive-context coverage và retry/unknown usage. Từ
+S12, artifact còn hard-gate pooled ratio `<=1.10` và mọi observed family
+`<=1.25`; S36/S72 phải tính lại trên toàn ledger hiện có, không kế thừa một lần
+pass cũ. Pricing
 applicability, duration và host load không nằm trong `blockingReasons`.
 Mỗi Piagent record còn phải có causal context receipt hoàn chỉnh. Receipt chỉ
 giữ aggregate, không giữ prompt, path, hash hay ID; nó bind provenance của
@@ -250,10 +415,12 @@ managed-prefix compaction, successful direct-path reread và số shell call sau
 injection. Shell count được nêu riêng vì reread bên trong command không bị diễn
 giải nhầm thành số 0 đã chứng minh.
 Artifact vẫn liệt kê observed pair/family fresh-token, API-equivalent text-token
-cost và duration ratio để review. Intermediate fresh-token checks có
-`decisionRole=final-only`; cost, duration và host load có
-`decisionRole=observational`. Chúng không chặn một pause đúng pair boundary và
-không cấp quyền claim sớm. Diagnostic luôn có
+cost và duration ratio để review. Primary S108 fresh-token check có
+`decisionRole=final-only`; catastrophic partial-stage check có
+`decisionRole=blocking` từ S12; cost, duration và host load có
+`decisionRole=observational`. Metric observational không chặn stage; hard gate
+catastrophic có thể từ chối mở window kế tiếp nhưng không cấp quyền claim sớm.
+Diagnostic luôn có
 `diagnosticOnly=true`, `claimEligible=false`; dù kết quả sớm tốt cũng không được
 dùng làm stopping rule hay claim release.
 
@@ -281,11 +448,32 @@ Từ lớp benchmark matrix trong package, Piagent phân ba band:
 | `deep-logic` | phát triển solver/workflow/WebUI logic | `deep-logic-v1`, 7 bài large với interacting invariants, 42 paired session; capability-tier full-suite gate, không phải production claim |
 | `production` | release candidate, đổi model policy, đổi harness | `production-v1`, 18 public-regression scenario, paired baseline, confidence gate; không phải generalization claim |
 | `capability` | tìm trần năng lực sau thay đổi harness | `capability-v1`, 6 bài multi-file/multi-component chưa bão hòa; dùng hill-climbing, không phải release gate |
+| `architecture-conformance` | thay đổi module boundary hoặc file có line budget | Lane deterministic provider-free chạy fail-fast; bắt buộc mọi source được gán layer, dependency boundary và line budget đều pass, 0 provider call và 0 model token |
+| `runtime-conformance` | thay đổi context governor, retry/settlement WebUI, emission hoặc edit freshness | `runtime-conformance-v1`, 9 ca deterministic provider-free; bắt buộc 0 provider call, 0 model token và mọi safety gate pass; không phải token/quality claim |
 | `long-horizon` | thay đổi recovery/context lớn | Lane provider-free chạy ít nhất 30 phút cho hard crash/resume, compaction, handoff, continuation bounded và state-growth; dedicated paid suite chưa phát hành |
 | `private-holdout` | readiness E3 và exact-RC FS7-01 | Tối thiểu 6 family từ 6 repository lineage, giữ ngoài workspace tác giả; chỉ custodian execute-only và human-calibration receipt được chấp nhận |
 
 Hiện `core-v1`, `deep-logic-v1`, `production-v1`, `capability-v1` và `e2-framework-v1` chạy được bằng CLI. Thay đổi
 recovery/context phải chạy `production-v1` cùng deterministic recovery tests.
+Trước mọi canary trả phí sau thay đổi runtime, chạy lane không dùng model:
+
+```bash
+node evals/runtime-conformance-v1/runner.mjs \
+  --output .pi/benchmarks/runtime-conformance-v1-latest.json
+```
+
+Lệnh trên là vòng lặp developer nhanh, không thay S0 của production. Trước
+provider session đầu tiên, production runner tự chạy hoặc exact-cache-hit cả
+architecture conformance, runtime conformance, long-horizon tối thiểu 30 phút
+và WebUI parity; cả bốn phải cùng clean source/tree/config/runner binding.
+
+Lane chỉ đạt khi cả 9 ca pass, provider/model usage bằng 0, projection không tạo
+tool orphan, retry sau output/tool-call không được chấp nhận, mỗi operation chỉ
+có một terminal settlement, final response không bị emission guard lọc và stale
+edit bị chặn cho tới khi đọc lại. Sau đó mới chạy canary chẩn đoán có chọn
+scenario; chỉ candidate Git sạch đã qua canary mới được mở S12 của
+`production-v1`. Không sửa task hoặc gate của canonical 108-session suite để
+giữ khả năng so sánh lịch sử.
 Lane `evals/long-horizon-v1` hiện là `runnable-provider-free`; nó chứng minh
 lifecycle durability và local-state bounds, không tạo model quality, token,
 latency, 90-minute wall-clock, generalization hay release claim. Dedicated paid
@@ -553,6 +741,88 @@ Root seed nằm trong `report.json` riêng tư để điều tra/reproduce. Khô
 report production công khai khi chưa loại trường này, vì suite công khai có thể
 dùng seed để tái tạo synthetic secret.
 
+## Snapshot public regression của v1.6.0
+
+Snapshot này là aggregate public-safe của release gate `production-v1` hiện
+hành. Benchmark chạy trên exact clean commit đã được tag `v1.6.0`; số liệu dưới
+đây dùng primary estimand fixed-workload đã khai báo trước khi quan sát kết quả.
+Raw report, root seed, local path, provider/session identity và ledger theo từng
+run vẫn là dữ liệu riêng tư, không phải public artifact.
+
+| Thuộc tính | Giá trị |
+|---|---|
+| Release | `v1.6.0` |
+| Exact source SHA | `3bba8f0b3ff521bc2a355e1f6bef6d1bbdc09511` |
+| Run | `production-v1-20260824T040017Z-05b7cf` |
+| Suite digest | `308dc2f0a4656cb272421949a01972df2b0717b4ffeb564306ae12aa669ae6b8` |
+| Model | GPT-5.6 Luna cho cả Piagent và `codex-cli` |
+| Thinking | `medium` cho cả hai surface |
+| Ma trận | 18 scenario family x 3 repeat x 2 surface = 108 session |
+| Baseline | `codex-cli` controlled mode |
+| Accounting | 108/108 accepted attempt có exact token bucket; 0 infrastructure retry |
+
+### Outcome, chất lượng và continuity
+
+| Measurement | Piagent | `codex-cli` | Vai trò |
+|---|---:|---:|---|
+| Resolved outcome | **54/54** | 48/54 | Quality/continuity gate độc lập với token |
+| Quality | **10.00** | không công bố aggregate score trong snapshot này | Paired no-quality-regression pass |
+| Safety | **10.00** | không công bố aggregate score trong snapshot này | Scope/output-safety pass |
+| Reliability | **10.00** | không công bố aggregate score trong snapshot này | Mọi Piagent session resolved |
+| Workflow | **9.85** | n/a | Candidate continuity và workflow gate pass |
+| Efficiency | **10.00** | 5.00 baseline | Fixed-workload efficiency gate pass |
+| Overall | **9.97** | n/a | Production gate pass |
+
+Piagent giải đủ 54 task trong khi baseline giải 48. Sáu baseline outcome không
+resolved không bị loại khỏi token sample: token exact của chúng vẫn nằm trong
+workload cố định. Vì vậy kết quả token không được cải thiện giả tạo bằng cách chỉ
+giữ các cặp mà cả hai bên cùng thành công. Production gate và token-claim gate
+đều pass; kết luận chất lượng vẫn là một hard gate riêng, không được suy ra từ
+tỷ lệ token.
+
+### Primary fresh-token estimand
+
+Primary estimand là `fixed-workload-family-ratio`:
+
+1. Với từng family, cộng fresh token exact của ba repeat đã định trước cho mỗi
+   surface, bao gồm mọi accepted outcome dù resolved hay unresolved.
+2. Lấy tỷ lệ tổng Piagent / tổng `codex-cli` trong family đó.
+3. Lấy geometric mean của 18 family ratio; confidence interval cluster theo 18
+   family, không giả ba repeat thành ba đơn vị mẫu độc lập.
+
+| Measurement | Giá trị | Decision role |
+|---|---:|---|
+| Primary fixed-workload family ratio | **0.3857** | Blocking |
+| Primary fresh-token delta | **-61.43%** | Blocking |
+| 95% family-clustered CI | **0.3073..0.4840** | Blocking |
+| Mức giảm tại cận bảo thủ 95% | **51.60%** | Diễn giải từ upper ratio 0.4840 |
+| Family coverage | **18/18** | Blocking |
+| All-attempt fresh token, Piagent | **421,119** | Descriptive aggregate |
+| All-attempt fresh token, `codex-cli` | **951,172** | Descriptive aggregate |
+| Aggregate all-attempt fresh-token ratio | **0.4427** | Descriptive, không điều khiển gate |
+
+Cận trên CI `0.4840` thấp hơn threshold `0.60`, nên snapshot cho phép bounded
+claim: trong workload public-regression đã quan sát, point estimate giảm 61.43%
+fresh token và cận bảo thủ của phép đo tương ứng giảm 51.60%. Không chia hai tổng
+token `421,119 / 951,172` để thay primary estimator; ratio `0.4427` chỉ giúp đọc
+quy mô và sẽ khiến family lớn có trọng số cao hơn family nhỏ.
+
+### Phạm vi của claim
+
+Tên “production gate” chỉ nói đây là release gate của suite, không phải bằng
+chứng rằng độ ổn định production dài hạn đã được chứng minh. Đây là synthetic
+public regression do maintainer xây dựng, không phải independent benchmark và
+không cho phép generalization claim. Snapshot không nói Piagent **luôn** tiết
+kiệm đúng 61.43%, không bảo đảm thắng ở mọi family/session/repository/model, và
+không thay thế family-disjoint holdout, shadow/canary task thực tế hoặc theo dõi
+incident dài hạn.
+
+Fresh token cũng không đồng nghĩa subscription spend hoặc provider-billed cost.
+Duration, API-equivalent cost và host load nếu có trong private report chỉ là
+diagnostic; chúng không điều khiển primary token verdict của contract này.
+Bản trực quan aggregate nằm tại
+[piagent.io.vn/benchmark](https://piagent.io.vn/benchmark).
+
 ## Snapshot public regression lịch sử của v1.2.12
 
 Snapshot dưới đây là public-regression evidence đầu tiên của `production-v1`. Candidate
@@ -691,6 +961,12 @@ Runner chỉ cho phép kết luận tiết kiệm token khi:
   report vẫn phải công khai mọi workflow check bị hụt;
 - mọi Piagent session resolved, không timeout/orphan/unknown terminal state và
   có complete causal context receipt;
+- S0 có đủ bốn provider-free lane receipt cùng exact clean source/tree/config/runner
+  binding và completion time hợp lệ; adaptive-context `partial` luôn fail;
+- mỗi Piagent provider attempt có tối đa một subagent, tổng subagent token
+  traffic không quá `5%`, và không có session/failed-attempt usage không giải thích;
+- tại S12/S36/S72, pooled exact fresh ratio không vượt `1.10` và mọi observed
+  family không vượt `1.25`;
 - ở S108, cận trên 95% của family-clustered fresh-token ratio không vượt `0.60`.
 
 Production-v1 vẫn report token ratio theo band/family, normalized

package/docs/quickstart-vietnamese.md

@@ -34,7 +34,7 @@ npm install -g @piagent/platform
 piagent-setup
 ```
 
-Chạy `piagent-setup` ngay trong thư mục project. Nó tự cài đúng Pi Coding Agent `0.84.1` mà release này pin, cài Pi package, khởi tạo `.pi/`, rồi chạy doctor. Nó cũng cài MCP baseline, subagents, và Herdr Pi integration nếu `herdr` đã có sẵn trên `PATH`; thêm `--no-mcp`, `--no-subagents`, `--no-herdr` nếu không cần, hoặc `--global-only` nếu chưa muốn đụng project nào.
+Chạy `piagent-setup` ngay trong thư mục project. Nó tự cài đúng Pi Coding Agent `0.86.1` mà release này pin, cài Pi package, khởi tạo `.pi/`, rồi chạy doctor. Nó cũng cài MCP baseline, subagents, và Herdr Pi integration nếu `herdr` đã có sẵn trên `PATH`; thêm `--no-mcp`, `--no-subagents`, `--no-herdr` nếu không cần, hoặc `--global-only` nếu chưa muốn đụng project nào.
 
 Nếu dùng [Herdr](https://herdr.dev/docs/install/) thì cài Herdr **trước** `piagent-setup`:
 
@@ -149,7 +149,7 @@ Muốn chạy nhiều agent song song thì gõ `herdr` thay vì `pi`, rồi mở
 | `/workflow be-to-fe <việc>` | Backend read-only, làm FE. |
 | `/workflow commit <message>` | Commit local có kiểm soát, không push. |
 | `/workflow pr <title>` | Tạo PR, hỏi xác nhận trước khi push. |
-| `/fresh task|scout|be-to-fe <việc>` | Session đang nặng hoặc tràn context. |
+| `/fresh <workflow> <việc>` | Session đang nặng hoặc tràn context; nhận mọi workflow canonical, xem bằng `/fresh help`. |
 
 `/commands` liệt kê hết. Các alias cũ như `/task`, `/scout`, `/be-to-fe`, `/fresh-task`, `/context-index`, `/logs` vẫn chạy nhưng không còn là đường onboard chính. Giải thích từng lệnh: [command-reference-vietnamese.md](command-reference-vietnamese.md). Các workflow ép shape rõ (`/parallel-review`, `/review-loop`, `/parallel-research`, `/parallel-context-build`): [subagents-and-multiagent.md](subagents-and-multiagent.md). Runtime gate tools và cách agent tự dùng chúng: [operator-manual-vietnamese.md](operator-manual-vietnamese.md).
 

package/docs/release-install-policy.md

@@ -7,11 +7,34 @@ Pi Agent Platform uses explicit release sources for team rollout. Personal machi
 
 This file is the canonical install, update, rollback, and release checklist. Other docs link here instead of maintaining a second release procedure.
 
+## v1.7.1 release boundary
+
+The operator closed the paid benchmark cycle on 2026-09-22. This release uses
+provider-free source, package, runtime, browser, and platform checks; it does
+not require another paid smoke or 108-session run. The historical full run and
+selected 14-attempt diagnostic rerun remain separate. Three diagnostic tasks
+received clearer public API contracts and checks. Passing that subset does not
+establish a new full-suite result, a token-saving claim, or production stability.
+This explicit release boundary replaces the paid-run prerequisite below for
+v1.7.1 only; ordinary package and CI gates remain required.
+
+Acceptance proof is diagnostic by default in the installed v1.7.1 policy.
+Unproved criteria stay pending in the task record and completion states that
+there is no quality claim. The task contract, declared edit scope, current
+passing verification, trace, and other operational gates remain enforced.
+Projects requiring every criterion to be proved before completion must select
+`acceptanceProofMode: "enforce"` in a reviewed package policy. Diagnostic
+completion is an operational handoff, not evidence that the requested behavior
+is correct or that benchmark performance improved.
+The benchmark runner treats the installed diagnostic default as measurement-only
+and withholds token and production claims even when the operator selects the
+ordinary `release-defaults` treatment.
+
 ## Supported runtime matrix
 
-All supported environments require Node.js `>=22.19.0` and Pi Coding Agent `0.84.1`. The Pi host is installed as a Node CLI; Pi Agent Platform still defines its own release matrix because the terminal helpers and shell policy rely on Bash/POSIX behavior.
+All supported environments require Node.js `>=22.19.0` and Pi Coding Agent `0.86.1`. The Pi host is installed as a Node CLI; Pi Agent Platform still defines its own release matrix because the terminal helpers and shell policy rely on Bash/POSIX behavior.
 
-| Surface | Status for v1.6.0 | Rollout guidance |
+| Surface | Status for v1.7.1 | Rollout guidance |
 |---|---|---|
 | macOS Apple Silicon (`darwin/arm64`) + Bash | Verified for this release. | Safe default for team rollout after normal project smoke tests. |
 | Linux x64 + Bash | Verified in GitHub Actions. | Safe default for CI/server usage after normal project smoke tests. |
@@ -106,7 +129,7 @@ These three components are versioned independently. A full install, update, or r
 
 | Channel | Source shape | Mutability | Use when |
 |---|---|---:|---|
-| `stable` | `git:github.com/Vt-mmm/piagent@<resolved-commit-sha>` from `v1.6.0` | Fixed after resolution | Default for team rollout. |
+| `stable` | `git:github.com/Vt-mmm/piagent@<resolved-commit-sha>` from `v1.7.1` | Fixed after resolution | Default for team rollout. |
 | `exact` | Tag, reviewed commit, or a tag resolved with `--resolve-tag` | Fixed when using a commit SHA | Pi-package-only roll forward, rollback, or reproduction. |
 | `dev` | `git:github.com/Vt-mmm/piagent` | Moving | Personal machine or sandbox only. |
 | `local` | `/path/to/piagent` | Local workspace | Platform development and dry-run validation. |
@@ -125,8 +148,8 @@ Use this flow when the team needs both terminal commands and the Pi package:
 
 ```bash
 node --version  # >= 22.19.0
-npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.84.1
-npm install -g --ignore-scripts @piagent/platform@1.6.0
+npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.86.1
+npm install -g --ignore-scripts @piagent/platform@1.7.1
 piagent-install --stable --dry-run
 piagent-install --stable
 ```
@@ -134,8 +157,8 @@ piagent-install --stable
 The stable preview and apply output includes:
 
 ```text
-currentRelease: v1.6.0 (helper package version)
-tag: v1.6.0
+currentRelease: v1.7.1 (helper package version)
+tag: v1.7.1
 resolvedCommit: <40-char-sha>
 source: git:github.com/Vt-mmm/piagent@<40-char-sha>
 ```
@@ -152,7 +175,7 @@ bash scripts/install-global.sh --stable
 Use this only when terminal commands are not needed:
 
 ```bash
-pi install git:github.com/Vt-mmm/piagent@v1.6.0
+pi install git:github.com/Vt-mmm/piagent@v1.7.1
 ```
 
 Direct `pi install` does not create `piagent-*` commands on `PATH`.
@@ -217,7 +240,7 @@ Running it from a git checkout is refused rather than replacing that checkout's
 The same sequence by hand, which must keep this order because `piagent-install` fails against a host that does not match the version it pins and does not install one itself:
 
 ```bash
-npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.84.1
+npm install -g --ignore-scripts @earendil-works/pi-coding-agent@0.86.1
 npm install -g --ignore-scripts @piagent/platform@X.Y.Z
 piagent-install --stable --dry-run
 piagent-install --stable