@sema-agent/sdk 24.0.0 → 26.0.0

package/dist/types.d.ts

@@ -58,13 +58,15 @@
  */
 import type { SemaSettings } from "./settings.js";
 import type { ApprovalDecidedBy } from "./resources/approvals.js";
-import type { ASK_ORIGINS, AllowRuleShadow, AskOrigin, AutoModeFallbackCause, BoundGrantAbsence, BoundSkillGrants, ClassifierUnavailable, DenialLimitFallback, PersistedRuleMandate, RuleOffer, RuleOffersAbsence, ToolApprovalCardWord, ToolApprovalFrame } from "./resources/tool-approvals.js";
+import type { ASK_ORIGINS, AllowRuleShadow, ApprovalFrameFamily, ApprovalRequestFrame, AskOrigin, AutoModeFallbackCause, BoundGrantAbsence, BoundSkillGrants, ClassifierUnavailable, DenialLimitFallback, PersistedRuleMandate, RuleOffer, RuleOffersAbsence, ToolApprovalCardWord, ToolApprovalFrame } from "./resources/tool-approvals.js";
 /** Authenticated end-user identity. Opaque to the service (used as memory scope + session owner). The SDK
  *  normalizes; the service does NOT validate the format. Convention: `user:` / `org:` / `ai:` / `anon:`. */
 export type Principal = string;
-/** Builtin scenarios of a stock `@sema-agent/server` that this SDK offers as known names — **four**, all in the table its
+/** Builtin scenarios of a stock `@sema-agent/server` that this SDK offers as known names — **five**, all in the table its
  *  `buildScenarios()` returns (`src/capabilities/scenarios.ts`). `code` is the factory default ([891]); `default` is the
- *  domain-neutral assistant face; `scan` is the neutral read-only repo lane; `code-review` is the multi-lens review lane.
+ *  domain-neutral assistant face; `scan` is the neutral read-only repo lane; `code-review` is the multi-lens review lane;
+ *  `cowork` (server ≥7.133.0) is the office-oriented face (`default`'s tool surface without the coding tools — file read / browsing / connector mounts — on the engine's Cowork role base;
+ *  its detail card reads `toolset: "office"`). A server ≤7.132.x answers `cowork` 400 `scenario_unknown` — gate on `capabilities.scenarios` (the live vocabulary), not on this list.
  *  ⚠️ Servers ≤7.125.x list ONE more name, `discuss` (the multi-agent discussion round-table); **server 7.126.0 retired it with the whole team-orchestration
  *  surface (no alias)** — a 7.126.0+ server answers it 400 `scenario_unknown`. It was never listed here. (`Scenario` is open, so `scenario: "discuss"` still compiles; the 400 is the notice.)
  *  🔴 CHECKED AGAINST THE SERVER, not hand-kept (K-20): `test/scenario-capabilities.test.ts` ① reads the builtin table out of
@@ -80,7 +82,7 @@ export type Principal = string;
  *     answers it 400 today. Removed here in K-20.
  *  Sending a retired name to a ≥5.1.0 server is a LOUD typed 400 `scenario_unknown` (the response carries the
  *  deployment's live vocabulary), not a silent fold to `default`. */
-export declare const KNOWN_SCENARIOS: readonly ["code", "default", "code-review", "scan"];
+export declare const KNOWN_SCENARIOS: readonly ["code", "default", "code-review", "scan", "cowork"];
 /** One of {@link KNOWN_SCENARIOS} — derived from the value (one list, no second hand-written union). */
 export type KnownScenario = (typeof KNOWN_SCENARIOS)[number];
 /** Service scenario = the primary routing axis (one image serves many).
@@ -595,8 +597,8 @@ export interface TaskRequest {
     /** ⚰️ **退役拼法**(整树快照纪元;S-15 / design/381,server ≥7.52 起;sdk 11.4.0 注改真,与 {@link rewindFilesTo} 同一类陈旧注 [8437] U3)。
      *  server `src/http/wire-types.ts` 逐字:仍收在 wire 上 —— 「捕获」义(`true`、不配 `resumeAt`)是被容忍的 no-op + 弃用披露;
      *  「恢复」义(`true` + `resumeAt`)是 core 的 **typed 迁移拒**,点名 {@link restoreFiles}(恢复语义真的变了:整树 ⇒ 跟踪集,
-     *  server 从不静默改写)。⇒ 新代码发 `restoreFiles`(先探 `capabilities.restoreFiles`);本键只为读 ≤7.51 的老 server 保留声明
-     *  (删 = major)。旧注描述的是 ≤7.51 整树快照店形,已不成立。 */
+     *  server 从不静默改写)。⇒ 新代码发 `restoreFiles`(先探 `capabilities.restoreFiles`)。本键照**钉版 server 的请求面**声明:
+     *  它仍收这个拼法(上面两种答法都是它的真行为),sdk 26.0.0 的律「开形面上的退役键以钉版 server 的面为准」⇒ 留到 server 那边删的那一版同版删。 */
     rewindFiles?: boolean;
     /** 🔴 E18 code-only rewind(core 1.166.0 `TaskSpec.rewindFilesTo`;server「R8」)—— 把本会话编辑过的**跟踪集**文件收敛到
      *  某一条 **user message** 那一刻的历史边界、**不** fork 对话(会话 leaf 不动,只动文件)。= CC Rewind "code"-only 模式
@@ -760,7 +762,7 @@ export interface TaskRequest {
     /**
      * server ≥7.118.0(core 7.43.0 #1354)—— **声明这条 run 上没有人能答审批**。唯一一词 `"none"`({@link APPROVAL_REACH});原样投引擎 `TaskSpec.approvalReach`。
      *
-     * 给 `-p` 这类握着流、却没有人能答审批的壳:不声明时部署的审批席照发活卡、wiring 清单报 `ask.effective:"human_reachable"`。声明之后活的回调不再是
+     * 给 `-p` 这类握着流、却没有人能答审批的壳:不声明时部署的审批席照发活卡(server ≥7.134.0 起前提是提交体声明了 `settings.approvalFrameFamilies`,没声明的任务本来就收不到活卡)、wiring 清单报 `ask.effective:"human_reachable"`。声明之后活的回调不再是
      * 这条 run 的审批人(wiring 清单 `ask.form:"declared_none"`);**有停驻设施的部署上第一次门控调用就停驻**(run `paused`)—— 要「拒了接着跑」用
      * `permissionMode:"dontAsk"`。它**不**放行、**不**释放任何东西。引擎不把它写进检查点,续跑腿由 server 从持久化体重供。
      * 读不出的值(集外词 / 非串)⇒ `400 request.field_invalid`。先探 {@link Capabilities.approvalReach}(缺席 = 老 server)。不发 = 零变化。
@@ -1318,7 +1320,7 @@ export interface SyncParkReceipt {
  * 终局体不带它(不给终局造 `terminal.kind` 之外的第二真源)。同一次 park 在 `/v1/tasks/stream` 的 `done.result` 上除身份键外逐字相同;
  * 恢复凭据从不在体上(`paused.token` 摘掉)。
  *
- * ⚠️ **三代同一个型,如实登记**(本包支持地板 3.0.0;与 {@link TaskResult.terminal} 同款:型面按现行代声明,老代的差别写在这里,
+ * ⚠️ **三代同一个型,如实登记**(本包支持地板 7.52.0 ⇒ 下面三代都还在支持面内或经账本回放可达;与 {@link TaskResult.terminal} 同款:型面按现行代声明,老代的差别写在这里,
  * 不把 `terminal` 做成可选去逼每个现行读点处理一个不存在的缺席分支):
  *  · **server ≤7.63**:平面形(见 {@link LegacyPlaneTaskResult})—— `status` 是**终局词**(`completed` / `failed` / `blocked` /
  *    park 两词),**没有** `terminal`,码在退役平面键(`r["errorCode"]` 经开集索引读);
@@ -1428,7 +1430,7 @@ export interface TaskResult {
      *  两种拼法 = 一个语义面两个写者)。要五词 `status` 的消费方自己调引擎的 `terminalProjection(terminal)`。
      *
      *  ⚠️ **跨代偏斜,如实登记**(与 8.0.0 的 `CcImportResult` 换形同款处置):本 SDK 的 server 支持地板是
-     *  **3.0.0**,而 `terminal` 只有 **≥7.64.0** 的 server 才发。对着一台更老的 server,这一座在运行期
+     *  **7.52.0**,而 `terminal` 只有 **≥7.64.0** 的 server 才发。对着 7.52–7.63 的 server(或回放那一代写下的账本行),这一座在运行期
      *  **缺席**(而型面上它是必填)—— 旧的平面键则仍在 wire 上,经开集索引读得到但**无类型**。
      *  🔴 要同时吃两代 server 的消费方:先用 `"terminal" in result` 判形,别把型面的必填当成运行期保证。
      *  ⚠️ 本座**不**做成可选来「表达这件事」:可选会让 7.64.0 之后的每一个读点都被迫处理一个**不存在**的
@@ -1513,6 +1515,9 @@ export interface TaskResult {
      *  operator-only 段;显式 operator 形全量),形状归 server 契约 §G.1b,本 SDK 开形透传。**不是当前状态**:运行中名册变更走
      *  `tool_roster_delta` 帧;引擎没产该帧的部署形 ⇒ 键缺席。壳判零工具面读 `wiringManifest.tools.count === 0`。 */
     wiringManifest?: Record<string, unknown>;
+    /** server ≥7.133.0 · **受理告知**(同 {@link RunReceipt.warnings}):放行侧选择器清单里引擎读不出 / 名册里没有的条目,每条 {@link import("./errors.js").EntryProblem}。**有才发**;缺席 = 没有告知(含老 server)。
+     *  同步 `POST /v1/tasks` 200 体顶层(与 `notice` 并列);异步腿在 202 回执、流式腿在首帧 `meta` 上带同一份。 */
+    warnings?: import("./errors.js").EntryProblem[];
 }
 /** 🔴 **`done` 帧 result 的第二形**(契约调和车1 E,2026-08-02;server `src/http/active-run-conflict.ts:64`
  *  `toDoneFrameResult`,server ≥ 3.21)—— SSE 提交腿在「session 已有活跃 run」时把 409 拒绝**编码成流的终帧**,
@@ -1559,6 +1564,10 @@ export interface RunReceipt {
     taskId: string;
     sessionId: string;
     status: RunStatus;
+    /** server ≥7.133.0 · **受理告知**:提交体里放行侧选择器清单(根 `allowTools` / 子代 `allowTools`)中**引擎读不出 / 名册里没有**的条目 —— 受理照旧(引擎照常收,之后只告运维),这里让调用方当场看见「这个名字不会生效」。
+     *  每条 {@link import("./errors.js").EntryProblem}(`reason`:引擎的词原样,或 server 自铸的 `not_in_roster`〔不在名册、也不是协议命名空间名〕)。**有才发,缺席 = 没有告知**(老 server 同缺席,不是「全部有效」的断言)。
+     *  同一份也在同步 `POST /v1/tasks` 的 200 体顶层 `warnings`({@link TaskResult.warnings})与流式腿首帧 `meta` 的 `warnings` 上。 */
+    warnings?: import("./errors.js").EntryProblem[];
 }
 /** §sandbox-image catalog（service IMAGE-API §7）— `GET /v1/images` 的目录行（visibility 按 principal scoped）。
  *  门B「选沙箱模板」UI 据此渲染（profile 卡 + 能力徽章 + toolchain）。开集容多余字段；字段源自 worker → 渲染前 sanitize。 */
@@ -1647,10 +1656,9 @@ export interface ModelInfo {
     /** S-188(server ≥7.69.0)—— 这一行对 **openai-completions 线路**的兼容声明。缺席的两种成因与
      *  「整只判形」纪律见 {@link ModelCompat};anthropic 腿刻意不铸这个键(那条 brain 读的是另一张表)。 */
     compat?: ModelCompat;
-    /** #345(server ≥7.45)—— 这一行的 key↔URL 配对姿态。🔴 在 **≥7.45 的 worker 上恒在场**(判不了时是
-     *  `"unknown"`,而不是键消失);类型上仍标可选,因为 SDK 的 `SUPPORTED_SERVER_FLOOR` 是 **3.0.0** ——
-     *  判别位是**对端版本**,不是这个键的在场性。值域与读法见 {@link RoutePairingStatus}。 */
-    routePairing?: RoutePairingStatus;
+    /** #345(server ≥7.45)—— 这一行的 key↔URL 配对姿态。🔴 **恒在场**(判不了时是 `"unknown"`,而不是键消失;server 的目录投影无条件铸它)——
+     *  sdk 26.0.0 随支持底线 7.52.0 改**必有**(25.x 及以前标可选)。值域与读法见 {@link RoutePairingStatus}。 */
+    routePairing: RoutePairingStatus;
     [k: string]: unknown;
 }
 /**
@@ -1687,7 +1695,7 @@ export interface DroppedEntry {
  * `GET /v1/models` 的 200 体(信封;{@link ModelsResource.list} 的返回型)。`models` / `default` / `defaultModel` 先前就有,本版起有了具名型(此前是 `list()` 上的内联形),新键挂在上面。
  *  · `droppedEntries` —— server ≥7.123.0 恒在场的数组:**本代目录里被读腿逐条丢掉的条目**(条目不合 settings-schema 的 `ModelEntry` 形,目录其余条目照常服务)。壳 / 管理面据此知道「我写下的哪一条引擎没收、为什么」,
  *    不必自己再判一遍 schema。**键缺席 = 更早的 server**(≤7.122.x);零条被丢 = `[]`(在场的空数组),没有目录在管(env 腿)同样是 `[]` —— 消费端据此分「引擎说没丢」(`[]`)与「引擎说不了」(缺席 ⇒ 用自己的判官)。
- *    所以本型把它写成可选:本包的 server 支持底线是 `3.0.0`。
+ *    所以本型把它写成可选:本包的 server 支持底线是 `7.52.0`(7.52–7.122 的 server 不发它)。
  *  · **与 `models` 同一代**:两者是同一代目录的两面。候选的模型面这一组被拒时(例如默认模型不在目录里),或候选目录**一条启用条目也没有**时(幸存条目与被丢条目都按条目自己写的 `enabled` 算,
  *    被丢行读不出启用与否按启用算),`models` 与 `droppedEntries` 一起停在上一代 —— 本键**不报**那份没落地候选的条目(那份候选为什么落不了地,读 `/health.modelRefusals`);
  *    所以停用的被丢条目只在「有启用条目、模型面落了地」的目录里上本键。
@@ -1706,6 +1714,27 @@ export interface ModelsResponse {
     droppedEntries?: DroppedEntry[];
     /** server ≥7.126.0 · **present-iff**:当前生效的配置是因候选判官整拒了最近一份候选而回落的那一份时在场(见 {@link CandidateRejected});缺席不下「无拒」的结论(也可能是更早的 server)。 */
     candidateRejected?: CandidateRejected;
+    /** server ≥7.133.0 · **恒在场,追加在应答最末**:**这台引擎服务的是哪张模型表 / 目录采纳了没有 / 起服路由判官怎么说** —— 壳读这一格,不自己预测(判官的输入是服务进程的事实,壳拼不出,镜像两道判会随时间与真判官漂开)。
+     *  键缺席 = 更早的 server(≤7.132.x)。读法与四个字段见 {@link ModelPlane}。 */
+    modelPlane?: ModelPlane;
+}
+/**
+ * `GET /v1/models.modelPlane`(server ≥7.133.0;**恒在场**,纯数据,条件键缺席、不铸 `null` / 空串)—— 「这台引擎服务的是哪张模型表」的**唯一读口**。引擎起来之后以它为准,**不再自己预测 / 自判**
+ * (这也是 server 包根删掉 `judgeModelRouteGap`〔嵌入方 BREAKING〕的出路:读本格,或自建装配调 `judgeServedModelRoute`)。四个字段,两根轴:
+ *  · `servedTable` —— **谁在服**:`env`(env 表:`MODEL_ID` / `MODEL_CHEAP_ID` 铸的 `{default, [id]}`,**没有目录在管** —— 没配目录 / 配置源不可达且无上一份 / 候选被整拒 / 候选没有一条启用条目)/ `catalog`(目录表:一份目录的模型面落地之后
+ *    整张换掉 env 表,引擎从不再读 env `MODEL_ID`);
+ *  · `catalog` —— **最近一份目录候选的结局**:`refused`(候选被整拒:候选判官整拒,或模型面组拒;没有上一份时服务的是 env 表,有上一份时仍服目录表 —— 谁在服归 `servedTable` 答,**不在这一格里合并**;逐条被拒的条目不是整拒)/
+ *    `adopted`(没有整拒、且服务的是目录表)/ `absent`(没有整拒、且服务的是 env 表:没配目录源 / 配了但没有启用条目 / 纯 env 部署)。⚠️ `adopted` 说的是「没有被判官整拒」,**不是**「最新候选已落地」(那一问归 `/health` 的世代账);
+ *  · `refusalCode` / `gap` —— **起服路由判官对当前配置的判决**(通过 ⇒ 两键**缺席**;进程既然起来了,正常是缺席,测试夹具 / 自建装配 / 不拒启的入口可能在场 —— 如实投)。`refusalCode`:`config.model_route_endpoint_missing` /
+ *    `config.gateway_fallback_without_primary`(路由端点族两码);`gap` 是同一次判决的**出路轴**:`endpoint_missing`(缺网关端点:设 `MODEL_GATEWAY_BASEURL` 或给条目自己的 `baseUrl`)/ `lane_credential_missing`(用户选的是 anthropic 车道,
+ *    却因两把钥匙都没有而没装上路由、落进了没有端点的 openai 腿;补 `ANTHROPIC_API_KEY` / `ANTHROPIC_AUTH_TOKEN` 之一)。**不带句子**(拒因句只走日志与起服错误)。
+ * 全部词表属主在 server,**开集读**(`switch` 带 default 臂;未知词按「未知」处置,别当通过)。
+ */
+export interface ModelPlane {
+    servedTable: "env" | "catalog" | (string & {});
+    catalog: "absent" | "adopted" | "refused" | (string & {});
+    refusalCode?: "config.model_route_endpoint_missing" | "config.gateway_fallback_without_primary" | (string & {});
+    gap?: "endpoint_missing" | "lane_credential_missing" | (string & {});
 }
 /**
  * `GET /v1/models` 顶层 `candidateRejected`(server ≥7.126.0;**additive,present-iff**):**最近一次配置候选被候选判官整拒的结论**。
@@ -2897,7 +2926,7 @@ export type DeniedBy = "policy" | "hook" | "org" | "persisted_rule" | "classifie
  */
 export type PermissionMode = "default" | "acceptEdits" | "plan" | "auto" | "bypassPermissions" | "dontAsk";
 /**
- * 一只问**属于哪一类**(core `ASK_CLASSES`:7.34.0 铸二十词,core 7.39.0 起 `shell_floor` 入册 ⇒ 二十一词,core 7.40.0 起 `unstated` 入册 ⇒ 二十二词,core 7.41.0 起 `requires_user_interaction` 入册 ⇒ 二十三词,core 7.43.0 起 `classifier_no_ruling` 入册 ⇒ 二十四词,core 7.45.0 起 `dangerous_delete` 入册 ⇒ 二十五词,core 7.49.0 起 `unverifiable_shell_text` 入册 ⇒ 二十六词(同版写目标落点读不出那一类改拼 `target_unresolved`,旧拼法见 README 22.0.0 迁移表),**core 7.51.0 / server ≥7.129.0 起 `governance_unavailable` 并入 `rule_unreadable` ⇒ 二十五词**(23.0.0 BREAKING,零别名;7.128.x 停驻的卡 / 行由 server 起服一次性改写);模式 × 类仲裁表的列)。K-32 扩项 / server ≥7.106.0 起出现在
+ * 一只问**属于哪一类**(core `ASK_CLASSES`:7.34.0 铸二十词,core 7.39.0 起 `shell_floor` 入册 ⇒ 二十一词,core 7.40.0 起 `unstated` 入册 ⇒ 二十二词,core 7.41.0 起 `requires_user_interaction` 入册 ⇒ 二十三词,core 7.43.0 起 `classifier_no_ruling` 入册 ⇒ 二十四词,core 7.45.0 起 `dangerous_delete` 入册 ⇒ 二十五词,core 7.49.0 起 `unverifiable_shell_text` 入册 ⇒ 二十六词(同版写目标落点读不出那一类改拼 `target_unresolved`,旧拼法见 README 22.0.0 迁移表),**core 7.51.0 / server ≥7.129.0 起 `governance_unavailable` 并入 `rule_unreadable` ⇒ 二十五词**(23.0.0 BREAKING,零别名;7.128.x 停驻的卡 / 行由 server 起服一次性改写),**core 7.54.0 / server ≥7.134.0 起 `cross_boundary` 入册 ⇒ 二十六词**;模式 × 类仲裁表的列)。K-32 扩项 / server ≥7.106.0 起出现在
  * {@link ModeRelease.askClass} / `.classes` 与 deny 臂的 `askClass` / `classes` 上,以及通告 `permission.ask_released_by_mode` 的 detail 里;
  * K-37 扩项 / server ≥7.109.0(S-934 ②)起也在审批面:活卡帧 / 卡面 / 运维队列行 / `/stream` `pending` 帧的 `askClass` / `classes`
  * (同样经 core `isAskClass` 筛,读不出整对不投;见 {@link import("./resources/tool-approvals.js").ToolApprovalFrame.askClass})。
@@ -2940,7 +2969,11 @@ export type AskClass = "content_question" | "hook" | "ancestor"
  *  denial-limit 回落那一行(只有人的答清得掉;**免疫 bypass**,allow 规则清不掉,分类器不再被问)。活卡帧 / 收件箱行另带成因 {@link import("./resources/tool-approvals.js").ToolApprovalFrame.classifierNoRuling}。 */
  | "classifier_no_ruling"
 /** core 7.41.0 / server ≥7.116.0:服务器工具申报声明「每次调用都要用户在场」(见本型顶注)—— **不在** `bypassPermissions` 可放的类里,只有人的答清得掉。 */
- | "requires_user_interaction" | "operator_forced"
+ | "requires_user_interaction"
+/** core 7.54.0 / server ≥7.134.0:**跨边界确认**(设备车道的发射闸)—— 这条 run 执行在部署信任边界之外的设备上、部署是多租形(`REQUIRE_PRINCIPAL=true`),
+ *  一次落到组织侧的写 —— 或在一次离目标读之后、发回设备的调用 —— 由部署的审批人逐次确认:常驻 allow 规则与任何自动车道都答不了它,配置给的放行被拒。
+ *  卡上同带 `mandate: "cross_boundary_taint"`({@link import("./resources/tool-approvals.js").PersistedRuleMandate})。只在执行于目标设备的树上出现,宿主车道永不出现;**免疫 bypass**。 */
+ | "cross_boundary" | "operator_forced"
 /** core 7.39.0(#1260;server ≥7.113.0 提货):运维旋钮 `shellGate: "always"` 在**跑 shell 的席位**上的地板 —— `operator_always` 授权词所披露的那一问,
  *  自己成一类,免得持有另一种强制问的类集把它藏掉。与 `operator_forced` 同样**免疫 bypass**(不在 `bypassPermissions` 可放的类里)。 */
  | "shell_floor"
@@ -3006,7 +3039,7 @@ export type GateRecordAskClass = AskClass | GateRecordRetiredWord<"askClass">;
 export type GateRecordDeniedBy = DeniedBy | GateRecordRetiredWord<"deniedBy">;
 /** 门记录上的模式放行理由 = 今天的一员 `target_unresolved`(core `MODE_RELEASE_REASONS`)∪ 档案词(7.122.0–7.125.x 的旧拼法 / 7.126.x 及以前的 `rule_unreadable`)。 */
 export type GateRecordModeReleaseReason = "target_unresolved" | GateRecordRetiredWord<"modeReleaseReason">;
-/** 门记录上的强制词 = {@link PersistedRuleMandate}(今天的六词)∪ 档案词(7.49.0 前的旧拼法)。 */
+/** 门记录上的强制词 = {@link PersistedRuleMandate}(今天的全集)∪ 档案词(7.49.0 前的旧拼法)。 */
 export type GateRecordPersistedRuleMandate = PersistedRuleMandate | GateRecordRetiredWord<"persistedRuleMandate">;
 /** 门记录上的出身词 = core `ASK_ORIGINS`(今天的十二词)∪ 档案词(`unresolvable`,core 7.14.0 改名 `ancestor_marked`)。🔴 门记录这一面引擎判成员,所以是**闭集**
  *  —— 与卡面上开集读的 {@link AskOrigin} 不同面(卡面 server 只判非空串)。 */
@@ -3026,7 +3059,7 @@ export interface ModeRelease {
     classes: GateRecordAskClass[];
     /** 卡上本会显示的 origin(与 {@link GateOutcome.origin} 同一张表;本面按引擎档案闭集筛)。 */
     origin?: GateRecordAskOrigin;
-    /** 卡上本会显示的强制词(今天六词 ∪ 档案词,见 {@link GateRecordPersistedRuleMandate})。 */
+    /** 卡上本会显示的强制词(今天的全集 ∪ 档案词,见 {@link GateRecordPersistedRuleMandate})。 */
     mandate?: GateRecordPersistedRuleMandate;
     /**
      * 🔴 放行**越过了什么**:一个词,取 core `MODE_RELEASE_REASONS` 数组序里这只 ask 的类集持有的**第一位**;类集不持有任何成员 ⇒ 缺席。
@@ -3628,6 +3661,8 @@ export type TraceBlock = {
  *   - `prompt-assembled`      — `{ seq, ...PromptManifestRow }` (server ≥1.219): the prepare's assembly manifest — the stored
  *                               ledger row verbatim (server ≥7.132.0: the v3 row `identity`/`selectors`/`blocks`/`sections`/…, or a
  *                               row written by ≤7.131.x carrying `constitution`; see {@link PromptManifestRow}). MULTIPLE per task on cascade/verify runs.
+ *   - `cross-boundary-taint`  — `{ seq, ...CrossBoundaryTaintRow }` (server ≥7.134.0): the device lane's cross-boundary taint row, only on a tree that
+ *                               executes on a target device (never on the host lane). See {@link CrossBoundaryTaintRow}.
  *   - `turn`                  — `{ seq, tokens? }` a turn boundary (+ usage if present).
  *   - `done`                  — `{ seq, suspended? }` terminal (suspended:true = paused on HITL, NOT completed).
  *   - `error`                 — `{ errorCode, message }` terminal failure / `WORKER_DOWN` (stalled) / `STREAM_MAX_DURATION` /
@@ -3642,17 +3677,17 @@ export type TraceBlock = {
  *  precisely typed. The union stays OPEN — an `event` value this SDK doesn't yet know about still narrows to the
  *  trailing catch-all member (bare `Record<string, unknown>` data, exactly the old behavior), so a new server-side
  *  frame type never breaks compilation; it only arrives less precisely typed until the SDK catches up. */
-/** 🔴 契约调和车1 G(2026-08-02):每个臂的 `data` 都可以携一个 `type` = **该臂的 `event` 名**
- *  (server [2373]C-12 起双发:`src/trace/project.ts:763` 的 `data: { type: mapped.event, ...mapped.data }`,
- *  meta 帧同批 `routes/trace-usage.ts:258`)。**server ≥ 5.0.0 恒发**;之所以声明为**可选**,是因为 SDK 的
- *  支持地板是 server 3.0.0(那时只有 `error` 臂自带 `type`)。
+/** 🔴 契约调和车1 G(2026-08-02):每个臂的 `data` 都携一个 `type` = **该臂的 `event` 名**
+ *  (server [2373]C-12 起双发:`src/trace/project.ts` 的 `mapTraceEvent` 恒铸 `data: { type: mapped.event, ...mapped.data }`,
+ *  meta 帧同批 `routes/trace-usage.ts`)。**server ≥ 5.0.0 恒发** ⇒ sdk 26.0.0 随支持底线 7.52.0 在每只具名臂上改**必有**(25.x 及以前标可选);
+ *  兜底开集臂不变(未知事件的 `data` 照旧按 `Record<string, unknown>` 读)。
  *  为什么它不是冗余装饰:一层**剥掉 SSE `event:` 行**的代理/中继(只把 `data:` JSON 往下游转的 BFF)之后,
  *  `type` 是消费方唯一还能分派的键 —— 那种场景按它分派;`event` 行在场时仍以 `event` 为准(两者恒相等)。 */
 export type TraceStreamEvent = {
     event: "meta";
     id?: string;
     data: {
-        type?: "meta";
+        type: "meta";
         version: number;
         mode: string;
         resumeFrom?: number;
@@ -3661,7 +3696,7 @@ export type TraceStreamEvent = {
     event: "block-thinking-delta";
     id?: string;
     data: {
-        type?: "block-thinking-delta";
+        type: "block-thinking-delta";
         seq: number;
         text: string;
     };
@@ -3669,7 +3704,7 @@ export type TraceStreamEvent = {
     event: "block-content-delta";
     id?: string;
     data: {
-        type?: "block-content-delta";
+        type: "block-content-delta";
         seq: number;
         text: string;
     };
@@ -3677,7 +3712,7 @@ export type TraceStreamEvent = {
     event: "tool-call";
     id?: string;
     data: {
-        type?: "tool-call";
+        type: "tool-call";
         seq: number;
         id: string;
         name: string;
@@ -3690,7 +3725,7 @@ export type TraceStreamEvent = {
     event: "tool-result";
     id?: string;
     data: {
-        type?: "tool-result";
+        type: "tool-result";
         seq: number;
         callId: string;
         label?: string;
@@ -3710,14 +3745,21 @@ export type TraceStreamEvent = {
     event: "prompt-assembled";
     id?: string;
     data: {
-        type?: "prompt-assembled";
+        type: "prompt-assembled";
         seq: number;
     } & PromptManifestRow;
+} | {
+    event: "cross-boundary-taint";
+    id?: string;
+    data: {
+        type: "cross-boundary-taint";
+        seq: number;
+    } & CrossBoundaryTaintRow;
 } | {
     event: "turn";
     id?: string;
     data: {
-        type?: "turn";
+        type: "turn";
         seq: number;
         tokens?: unknown;
     };
@@ -3725,7 +3767,7 @@ export type TraceStreamEvent = {
     event: "done";
     id?: string;
     data: {
-        type?: "done";
+        type: "done";
         seq: number;
         suspended?: boolean;
     };
@@ -3733,7 +3775,7 @@ export type TraceStreamEvent = {
     event: "error";
     id?: string;
     data: {
-        type?: "error";
+        type: "error";
         errorCode: string;
         message: string;
     };
@@ -3893,13 +3935,13 @@ export type WorkflowStreamEvent =
  *  和『流正常结束』混为一谈」。此前 SDK 只声明了 `message` ⇒ 想按机器码分支的人 TS 直接报 `errorCode`
  *  不存在,只能退回锚文案(server 明确想消灭的那个姿势)。
  *  同一份 `types.ts` 里 runs/trace 那条流的 error 臂声明的就是 `{errorCode, message}` —— SDK 内部此前
- *  自己就不一致。`errorCode` 标可选是因为 SDK 的支持地板早于该键落地的那一版。 */
+ *  自己就不一致。sdk 26.0.0 起 `type` 与 `errorCode` 都**必有**(支持底线 7.52.0 的 server 已恒铸这两键;此前因地板早于该键落地标可选)。 */
  | {
     event: "error";
     id?: string;
     data: {
-        type?: "error";
-        errorCode?: string;
+        type: "error";
+        errorCode: string;
         message: string;
     };
 }
@@ -3982,7 +4024,9 @@ export interface McpServerSpec {
     /** Caller-side per-tool safety-axis overrides, keyed by the server's remote (un-namespaced) tool name.
      *  #272:`effect` 是 core 的**三词**枚举(`read`/`write`/`idempotent`——core ToolAxes 同名字段),此前
      *  这里只列两词,漏 `idempotent`(server `task-mcp.ts` 的形状校验一直按三词收,发 `idempotent` 一直
-     *  合法生效,只是本类型把它标红)。 */
+     *  合法生效,只是本类型把它标红)。
+     *  🔴 引擎的 `boundaryFlow` 成员(core 7.54.0:声明一只**引擎专用**工具)**只在部署腿上受理**:请求体 `mcpServers[i].toolAxes.<tool>.boundaryFlow` ⇒ server ≥7.134.0
+     *  新提交 `400 request.field_invalid` 点名(A2A 对端同键 ⇒ 那条对端不挂、运维 warn 点名);本型刻意不声明它。 */
     toolAxes?: Record<string, {
         effect?: "read" | "write" | "idempotent";
         egress?: boolean;
@@ -3994,12 +4038,16 @@ export interface McpServerSpec {
      *  出现读器不认的键(`pathTraget` 笔误)都算——覆盖层是**收窄**声明,丢它 = 那只工具无面挂载、运维声明的保护
      *  静默失效。请求腿进 `mcp_injection_dropped{dropped:[name]}` 点名;形合但语义坏(`pathTarget.param` 不在工具
      *  物化后的 schema 上)由引擎拒**那一只**工具并出 `config.tool_face_invalid` 通告(operator 面)。三条腿(请求 /
-     *  config-center / 本地 config.d)同一条规则。 */
+     *  config-center / 本地 config.d)同一条规则。
+     *  🔴 **server ≥7.134.0:判官换成引擎包根的 `readToolFaces`,在受理口判** —— 坏形的新提交整条 `400 request.field_invalid`(点名成员;续跑重放:整条 server 不进):
+     *  空工具名、保留审批卡、`pathTarget.access` 不在闭集 `read` / `create` / `edit`(写成 `"write"` 拒)、`pathTarget.base: "root"` 而 `access` 不是 `read`、单独的 `patternParam`、
+     *  未知成员、安全轴写成面成员、非布尔旗;部署腿(中心 / `config.d`)的坏声明 ⇒ 整任务 `config.tool_face_invalid`。拒句里的工具名由引擎读器回显(控制符折空格、有界)。 */
     toolFaces?: Record<string, McpToolFace>;
     /** server ≥7.132.0(受理键;core `McpServerSpec.startupTimeoutMs`):**这台**服务器的启动上限(整毫秒)—— 握手(连接 + initialize)与初次工具列举各带它。
      *  读序一只函数:本键 › 进程级 `MCP_TIMEOUT` › MCP SDK 自己的 60 000 ms ⇒ 启动卡住的一台按自己的钟被切,兄弟照用部署的钟;只界启动阶段(调用自己的超时不动)。
-     *  合法范围 1 000 – 2 147 483 647;🔴 **值形判官只在引擎**:server 两扇门(新提交 / 探测口)都不在入口判它,坏值(串 / 小数 / 0 / 负数 / NaN / `null` / 越界)由引擎在拨号时
-     *  **只拒这一台**(`config.mcp_startup_timeout_invalid`,兄弟照挂),不钳、不读成缺省。老 server(≤7.131.x)对它答 `400 request.body_shape`(`unknownKeys` 点名)。 */
+     *  合法范围 1 000 – 2 147 483 647。🔴 **server ≥7.134.0:值形判官是引擎包根的 `mcpStartupTimeoutMs`,在受理口判** —— 坏值(数字串 / 小数 / 越界 / `null`)的新提交
+     *  `400 request.field_invalid`(原因句是引擎的);server 7.132.0–7.133.x 照常受理、引擎在拨号时**只拒这一台**(`config.mcp_startup_timeout_invalid`,兄弟照挂)。
+     *  老 server(≤7.131.x)对它答 `400 request.body_shape`(`unknownKeys` 点名)。 */
     startupTimeoutMs?: number;
 }
 /**
@@ -4086,7 +4134,7 @@ interface PermissionModeAutoBase {
  * `capabilities.permissionModeAuto` 的**两代形**(判别位 = `armed` 的**三态**)。
  *
  * 🔴 **武装两键(`armed` / `reason`)是 server ≥7.57.0(S-80)才有的**,而本包声明的
- * 支持地板是 **3.0.0** ⇒ 每一台 7.x ≤7.56.0 的 server 都在承诺面内,它们**只发** {@link PermissionModeAutoBase}
+ * 支持地板是 **7.52.0** ⇒ 每一台 7.52.0–7.56.0 的 server 都在承诺面内,它们**只发** {@link PermissionModeAutoBase}
  * 那三位(亲核 server tag `v7.50.0` / `v7.56.0` 的 `routes/capabilities.ts` 逐字确认)。
  * 🔴 **K-35(server 7.107.0 / S-899,wire-changes R2,BREAKING)**:7.57.0–7.106.0 还随武装两键发一只极性位 `intentArming`(7.106.0 起单极恒真),
  * 7.107.0 起**恒缺席**,本包**删声明**(零别名、零双读)。老 server 发来的那只旧键落进 {@link PermissionModeAutoBase} 的透传索引签名
@@ -4179,19 +4227,10 @@ export interface Capabilities extends EngineCapabilityBits {
         generationEcho?: boolean;
         [k: string]: unknown;
     };
-    /** #3([1894];server 1.299–7.51)workspace 浏览面能力族——对象=面在场(E19 快照店读面+durable 会话店
-     *  齐;`maxFileBytes`=file 端点单文件上限,超限 413 `workspace_file_too_large` 信封指路 archive),
-     *  `false`/缺席=面不在(路由 501 同谓词)。
-     *  🔴 **RETIRED(server ≥7.52,S-15/design/381)**:整树快照纪元退役 ⇒ 本位恒 `false`,四条
-     *  `/v1/sessions/:id/workspace*` 路由形保留但恒答 501 `capability.workspace_retired`(拒因点名纪元退役,
-     *  不让消费端拿 404 猜拼写)。per-edited-file rewind 历史没有「整个工作区」的 manifest 可投影 ——
-     *  将来若需「rewind 覆盖面」浏览是一个 NEW 面,不是把这个名字接回去。消费姿势不变:探本位,false 即不渲。 */
-    workspace?: false | {
-        browse?: boolean;
-        archive?: boolean;
-        maxFileBytes?: number;
-        [k: string]: unknown;
-    };
+    /** 工作区浏览面的能力位 —— **支持面内恒 `false`**(server ≥7.52,S-15 / design/381:整树快照纪元退役;四条 `/v1/sessions/:id/workspace*` 路由形保留但恒答
+     *  501 `capability.workspace_retired`)。per-edited-file rewind 历史没有「整个工作区」的 manifest 可投影 —— 将来若有「rewind 覆盖面」浏览,那是一个新面,不是把这个名字接回去。
+     *  ⚰️ sdk 26.0.0 删了这一位的对象臂(`{ browse, archive, maxFileBytes }`,server 1.299–7.51)与 `client.workspace` 四动词(底线 7.52.0 之下才有)。 */
+    workspace?: false;
     /** `POST /v1/leader` 车道位。**server ≥7.122.0 读两个条件的合取**:leader 面在场(`LEADER_ENABLED` 等挂着)**且**运维入口地板收 leader 提交 ——
      *  后者与受理口 422 `request.autonomy_lane_refused` 读**同一对判据**(入口词是 `plan` 的 leader run 没有计划审阅通道)。所以运维 `AUTONOMY=plan` 的部署上本位读 **false**
      *  (直接提交仍答 422 `request.autonomy_lane_refused`);`AUTONOMY=read-only` / `ask` / 缺席时本位随面在场。面缺席的 false 在提交时答 501 `capability.leader_endpoint_required`
@@ -4256,6 +4295,12 @@ export interface Capabilities extends EngineCapabilityBits {
      *  **逐字相同**(SQL 供给面在场 ∧ principal→org 成员折叠面在场),true ⟺ 面真能打通——只有 store 没有
      *  成员性判据的部署刻意报 false(且不挂载路由)。probe before use,勿 trial-by-501。 */
     sharedMemory?: boolean;
+    /**
+     * server ≥7.133.0(`routes/capabilities.ts` 的 `principalInboxDelivery`,布尔,**会变**)—— 跨主体投递门 `POST /v1/principal-inbox/messages`({@link import("./resources/principal-inbox.js").PrincipalInboxResource.send})在不在:
+     * 为真 ⟺ 那一口可用(投递门在座:env `PRINCIPAL_INBOX_ASSISTANT` 打开且门的依赖齐备);门缺席 ⇒ 那一口答 **501 `capability.unavailable`**。**位缺席 = 老 server**(没有那一口,路由级 404)。
+     * 按位 gate,别 trial-by-501。
+     */
+    principalInboxDelivery?: boolean;
     /** design/183 form b 收编面(`POST /v1/adoption` + `GET /v1/adoption/:id`,operator lane)已挂供给。
      *  server 谓词与 handleAdoption 的 501 同源(SQL backend 的 adoptionLog 工厂在场;local 后端诚实缺席)。
      *  probe before use,勿 trial-by-501。 */
@@ -4429,6 +4474,19 @@ export interface Capabilities extends EngineCapabilityBits {
         outputStyle?: boolean;
         env?: boolean;
         hooks?: boolean;
+        /** server ≥7.133.0:请求 `settings.hooks[]` 的**插件上下文**键(命令条目的 `plugin { name, root, dataDir?, options? }` 与 exec 形 `args`)这台部署受不受理——与 {@link hooks} **同一谓词**(单用户真、多租假)。
+         *  **见位才发**:位缺席 = 老 server,静默剥掉这些键(不报错);位为 `false` 同——发了也是剥。 */
+        pluginHooks?: boolean;
+        /** server ≥7.133.0:请求 `settings.hooks[]` 的**组来源**键 `source`(托管 / 非托管车道:`managedPolicy` / `managedPlugin:<name>` 跑在独立托管车道)这台部署受不受理——与 {@link hooks} 同一谓词。
+         *  见位才给组标 `source`;位缺席 / `false` = 静默剥掉(托管车道语义不生效,不是拒)。 */
+        managedHookGroups?: boolean;
+        /** server ≥7.133.0:**只收紧座位表**恒受理——请求 `settings.readDenyPatterns` / `settings.writeProtectedExtra` / `settings.complianceAdditionalDenies` / `settings.permissions.neverAuto` 四键
+         *  (见 {@link SemaSettings} 对应成员):每座 = 部署表 ∪ 请求列表,**只增不减**,空数组 ≡ 没送。恒 `true`;**位缺席 = 老 server —— 对这四键答 400 `request.body_shape`,见位才发**。 */
+        tightenOnlySeats?: boolean;
+        /** server ≥7.134.0:请求键 {@link import("./settings.js").SemaSettings.approvalFrameFamilies}(这条 run 的客户端渲染得了哪些审批开卡帧族)的**受理位**,恒 `true`(不随部署形变)。
+         *  🔴 **触发位就是它,不是顶层 {@link Capabilities.approvalFrameFamilies}**:≤7.133.x 已有顶层位,却对这只键答 `400 request.body_shape`
+         *  (`unknownKeys: ["settings.approvalFrameFamilies"]`)—— 位缺席 ⇒ 别发这只键。 */
+        approvalFrameFamilies?: boolean;
         [k: string]: unknown;
     };
     /** 🔴 **server ≥7.115.0 起恒在**:`{ permissions: { allowGrant: true } }`;**≥7.117.0 起 `permissions` 多一位 `allowLayer: true`** —— 「请求体 `settings.permissions.allow` 按**哪一种读法**收」的**版本位**(wire additive;两位都是恒真、
@@ -4447,6 +4505,12 @@ export interface Capabilities extends EngineCapabilityBits {
         permissions?: {
             allowGrant?: boolean;
             allowLayer?: boolean;
+            /** server ≥7.133.0:**这位调用方**的信任档(按调用方、按凭据读,**不是**版本位)—— 请求里「不经人答就生效」的规则表(`settings.permissions` 各桶、被按名点用的自带技能的 `allowedTools` / `disallowedTools`)按它准入:
+             *  `allow` 放宽免问面,要 `global`;`deny` / `ask` 只收紧,任何档都收。取值:`global`(单用户 turnkey;多租户持部署 service 凭据;多租户登录令牌的 scope 角色 ≥ 治理域写角色)/ `project`
+             *  (其余:低角色 / 无角色令牌 / 直连门 principal 令牌 / 没验过的凭据)。**开集读**:词表属主在契约包(`MinTrust`),不认识的词按 `project` 处置(fail-closed)。
+             *  低于门槛的放宽不静默丢,而是整请求 400 `request.field_invalid`(`detail.problems[].reason: "below_trust_floor"` + `detail.callerTrust`,见 {@link import("./errors.js").BelowTrustFloorExtra});
+             *  壳在提交前读本位,低于 `global` 时把 `allow` 留给本地同意出口(答卡)。位缺席 = 老 server:不按档受理,整份 `allow` 照收。 */
+            callerTrust?: "global" | "project" | (string & {});
             [k: string]: unknown;
         };
         [k: string]: unknown;
@@ -4470,6 +4534,13 @@ export interface Capabilities extends EngineCapabilityBits {
     /** server ≥7.118.0(`routes/capabilities.ts` 的能力对象**硬编码 true**,与请求键同一个词)—— 请求键 {@link TaskRequest.approvalReach} 认词的**版本探测位**。
      *  缺席 = 老 server:别发那只键(严格体会拒)。 */
     approvalReach?: boolean;
+    /**
+     * server ≥7.133.0(`routes/capabilities.ts` 的 `approvalReadRootGrant`,**恒在场**的布尔事实,**会变**)—— 这台部署**受理不受理**回决体里的 `readRootGrant`(「Yes, and add directory」:随这一次放行把卡上 `readRootCandidate.dir` 登进读根)。
+     * 为真 ⇔ 单用户 host 车道姿态(与 {@link projectContext} 位同一判据——读根登记要落在这台机器的 cwd 语义上);其余恒 `false`。
+     * 消费方的选项可见条件 = 卡上 {@link import("./resources/tool-approvals.js").ToolApprovalFrame.readRootCandidate} 在场 **∧ 本位为真**;
+     * 非受理姿态下带 `readRootGrant` 的应答 **400 `request.body_shape`**(这只 ask 未结算,可不带该键重答)。**位缺席 = 老 server = 不受理**,别发那只键。
+     */
+    approvalReadRootGrant?: boolean;
     /** TaskRequest.cwd honored(`routes/capabilities.ts` 的能力对象 `cwdHonored`:local 单用户 host-adapter 才 true;多租户 fail-closed)。
      *  🔴 K-32 扩项(server ≥7.106.0 / S-895):本位也是请求键 {@link TaskRequest.inheritEnv} `"all"` 的**精确兑现读数** —— 谓词(host 车道 ∧
      *  非托管)与那个键的车道门 + 射程门逐组合相等(契约附录 B.1 该行 / §18)。`false` ⇒ 发 `"all"` 会拿 400(非 host 车道)或 422(托管)。 */
@@ -4504,6 +4575,12 @@ export interface Capabilities extends EngineCapabilityBits {
      * `mcpProbe: true` 与 `mcpInjection: false` 是**正常**组合,不是矛盾。
      */
     mcpProbe?: boolean;
+    /**
+     * server ≥7.133.0(`routes/capabilities.ts` 的 `mcpAssertionHeaderSent`,布尔,**今天恒 `false`**)—— **发送座自述位**:请求体 / 部署声明的 `mcpServers[].transport.assertionHeader`(server ≥7.128.0 受理的键,与 `principalHeader` 互斥)
+     * 是否真的被**发送**到 MCP 对端。`false` ⇒ 声明被承载但**不发送**(与剥键 / 运维 info / 探测口的那一拒读同一只开关;位为真时这些披露句一并退出)。
+     * **位缺席 ≈ `false`**(老 server 同样不发送),与 `false` 同处置 —— 别靠这个键里的头去做对端鉴权。
+     */
+    mcpAssertionHeaderSent?: boolean;
     /** §E23 inbound-MCP elicitation HITL(`routes/capabilities.ts` 的能力对象 `Boolean(elicitation)` = MCP_ELICITATION_ENABLED)。 */
     mcpElicitation?: boolean;
     /** §4④ live AskUserQuestion HITL(`routes/capabilities.ts` 的能力对象 `Boolean(question)` = ASK_QUESTION_ENABLED)。 */
@@ -4523,18 +4600,29 @@ export interface Capabilities extends EngineCapabilityBits {
      *  (ask 账必须**持久** —— 内存形重启即丢已接受的决议)∧ park 设施在场(checkpoint 店 + DURABLE_APPROVAL,
      *  = 窗口到期时的降级目的地;缺它的结局是 core fail-closed deny,比现行活卡更差,所以协议诚实地不上场)。
      *
-     *  ⚠️ 部署默认位**分两段读**(`STREAM_APPROVAL_ENABLED` 是五合取里唯一会随版本改默认值的一项):
-     *   · server **≤7.4.0 默认 OFF** —— 这些版本上绝大多数部署这一位是 `false`,能用的只有 legacy
-     *     `tool_approval` 活卡腿({@link ToolApprovalsResource.respond});
-     *   · server **≥7.5.0 默认 ON**(server CHANGELOG 以 BREAKING 披露;窗口默认同批 60s→300s)——
-     *     满足其余四合取的部署**默认**就在直播流上发两帧、回决端点真结算。
-     *     `STREAM_APPROVAL_ENABLED=false` 是唯一干净还原键。7.5.0 已于 2026-08-07 上 npm,本仓的 live
-     *     契约门(`test/live/_fence.ts` 的校准头)也已抬到 7.5.0。
-     *     ⚠️ 两段都还要读:第一段不是历史注脚,它描述**今天仍在跑的**全部 7.3.x/7.4.x 装机。
+     *  ⚠️ 部署默认位(`STREAM_APPROVAL_ENABLED` 是五合取里唯一会随版本改过默认值的一项):支持面内(server ≥7.52.0)**默认 ON** ——
+     *     满足其余四合取的部署**默认**就在直播流上发两帧、回决端点真结算;`STREAM_APPROVAL_ENABLED=false` 是唯一干净还原键。
+     *     🔴 **server ≥7.134.0 起,这条 run 收不收得到活卡还要看提交体**:任务 `settings.approvalFrameFamilies` 没声明的,零活卡(耐久店在场时按无人值守政策当场停驻,否则当场拒);
+     *     本位为真只说「这台 worker 上协议上场」,不替提交体声明(见 {@link SemaSettings.approvalFrameFamilies} 与见位 `taskSettings.approvalFrameFamilies`)。
+     *     (默认 OFF 的是 server ≤7.4.0,已在支持底线之下;7.5.0 起默认 ON,server CHANGELOG 以 BREAKING 披露。)
      *  🔴 别按版本号猜、也别按这段散文猜:**唯一权威是本位的实测值**(它是五合取的结果,开关只是其中一项)。
      *  与 {@link Capabilities.toolApproval}(活卡腿)、{@link Capabilities.approvals}(durable checkpoint 腿)
      *  三位**正交**,可以各不相同 —— 别用其中一位推断另一位。 */
     streamApproval?: boolean;
+    /**
+     * server ≥7.133.0(`routes/capabilities.ts` 的 `approvalFrameFamilies`,**恒在场**;与 {@link streamApproval} 同一份判据结果的投影)—— 这台 worker 上**审批开卡帧属于哪个帧族**:
+     * 闭集词数组(**至多一员**,顺序无义),消费方的分派表按它读,**不再拿 {@link streamApproval} 反推帧族**:
+     *  · `["approval_request"]` —— 呈卡协议上场:一只 ask 只走 `approval_request` → `approval_complete` / `approval_revoke` 一族,旧族 `tool_approval` / `tool_approval_complete` **一帧都不发**
+     *    (BREAKING:此前同一只 ask 两族并发、按 `approvalId` 去重;补偿 = 该 worker `STREAM_APPROVAL_ENABLED=false`);
+     *  · `["tool_approval"]` —— 呈卡协议没上场(`STREAM_APPROVAL_ENABLED=false` / 没有 store backend / 没有 checkpoint 店)但活卡腿在:只发旧族;
+     *  · `[]` —— 逐调用审批整面没开(`TOOL_APPROVAL_ENABLED=false`):**不呈卡**(这一位的 `[]` 不是「缺席」)。
+     * 🔴 **键缺席 ≠ 空数组**:缺席 = server ≤7.132.x —— 那里 `streamApproval: true` 的腿**两族并发**(同一只 ask 先 `tool_approval`、后 `approval_request`,同带 `approvalId`),按 `approvalId` 去重。
+     * 帧型:{@link import("./resources/tool-approvals.js").ApprovalCompleteFrame}、{@link import("./resources/tool-approvals.js").ApprovalRequestFrame}。
+     * 🔴 **server ≥7.134.0:这一位只说「本 worker 呈卡用哪一族」,不再说「你会收到卡」** —— 一条 run 只在它的提交体声明了本位里的那个族时才有活审批通道
+     * (请求键 {@link import("./settings.js").SemaSettings.approvalFrameFamilies},见位才发:受理位 {@link Capabilities.taskSettings}`.approvalFrameFamilies`);值本身不因声明而变。
+     * 元素词表 = {@link import("./resources/tool-approvals.js").APPROVAL_FRAME_FAMILIES}(与请求键同一只)。
+     */
+    approvalFrameFamilies?: ApprovalFrameFamily[];
     /**
      * #229(server ≥7.15.0,`routes/capabilities.ts` 的能力对象**硬编码 true**)—— 回决**理由**位在这台
      * worker 上存在的**版本探测位**:live `POST /v1/tool-approvals/:id/respond` 收 `note` + 回执带
@@ -4624,7 +4712,9 @@ export interface Capabilities extends EngineCapabilityBits {
      *  在场,而那正是 `GET /v1/device/ws` 的 upgrade 处理器挂没挂的**同一个**判据(`server.ts` 的
      *  `deps.deviceHub?.attach(server)`)⇒「说 yes ⟺ 设备连得上」是结构性的,executor 不必
      *  trial-by-upgrade-404。三个字段各答一件 executor 在**首连之前**就必须知道的事:
-     *   · `protocolVersion` —— 本 server 说第几版(§5.6:不满足最低版 = 响亮 helloReject,**不静默降级**);
+     *   · `protocolVersion` —— 本 server 说的协议**修订号**(§5.6:不满足最低版 = 响亮 helloReject,**不静默降级**)。**server ≥7.133.0 起读 `2`**(≤7.132.x 读 `1`;`challenge` 帧带同值;受理窗 `[1, 2]`,
+     *     窗内的老 executor 照连)。executor 声明的号 = 「自己实现的最高修订号」与「本位 / challenge 所带号」的**较小者**,并按声明的号取结局码集
+     *     (`@sema-agent/sdk/device` 的 `deviceOutcomeErrorCodesAt`;修订号 2 起结局码含 `liveness_no_output`);
      *   · `maxInflightPerDevice` —— per-device 在途上限(§5.5 背压;超额在云侧排队,到期 `device.busy`);
      *   · `wsPath` —— upgrade 路径。**刻意上 wire** 而不让客户端硬编码:路径是 server 铸的 wire 契约的
      *     一部分,硬编码在别的仓里 = 把「改路径」变成一次跨仓破坏性变更。
@@ -4945,7 +5035,7 @@ export interface Capabilities extends EngineCapabilityBits {
      *    (关 = 这条会话的每个提交都带它;续跑腿重放同一个体,照带);
      *  · ⚰️ `"on-always"` —— **退役词**(server 7.104.0 起不再发出:请求词接线后「捕获中且关不掉」结构上不可达),7.97.0–7.103.x 的 worker
      *    仍发它 = 捕获中且**无法按会话关闭** ⇒ 只渲一句只读真话「本部署恒捕获,无法按会话关闭」(契约附录 B.1 逐臂),别渲关不掉的开关。
-     *    本包支持地板(3.0.0)之内的 server 真会发它,所以它留在联合里(K-24 复审 r1 M2,偏离任务书的「硬删」,理由如实:删了 ⇒ 随包 spec
+     *    本包支持地板(7.52.0)之内的 server 真会发它,所以它留在联合里(K-24 复审 r1 M2,偏离任务书的「硬删」,理由如实:删了 ⇒ 随包 spec
      *    判一份合法的 7.103 能力面违约、消费端写不出契约要的那一臂);登记 `_keyset-divergence.ts` `CAPABILITY_RETIRED_WORDS`,
      *    删除条件 = 支持地板抬过 7.104.0。
      *  词表外的词按未知处理(不按前缀猜,不渲开关)。⚠️ 关掉 ≠ 删掉:部署翻成 `"off"` 不做任何批量删除。
@@ -5133,10 +5223,11 @@ export interface WriteProtectionPosture {
     [k: string]: unknown;
 }
 /**
- * **一个部署级旋钮的值是谁定的** —— 四词闭集,顺序即优先序(server `posture-source.ts` 的
+ * **一个部署级旋钮的值是谁定的** —— 五词闭集,顺序即优先序(server `posture-source.ts` 的
  * `POSTURE_SOURCE_WORDS`,那里是穷举 switch,加词编译红):
  *  · `env` —— 这台机器的 env 变量钉的(**部署主权,恒赢**任何下发值);
  *  · `center` —— config-center 发布的(重启生效;在本机写同名 env 即把这个键收回);
+ *  · `lane` —— 从**执行车道**派生的(server ≥7.133.0:e2b / k8s / local-docker 这类隔离型车道缺省值的来路;`READ_FACE` 缺席时读面缺省 `open` 即这一词,显式 env / center 恒赢);
  *  · `posture` —— 从**部署形**派生的(单用户 turnkey = `REQUIRE_PRINCIPAL` 未设);
  *  · `engine-default` —— 没人钉过,内建缺省在岗。
  *
@@ -5144,7 +5235,7 @@ export interface WriteProtectionPosture {
  * enum**,严格消费端读 spec。判「运维显式表态过吗」只有 `env`/`center` 两词算数 —— `posture` 派生出来的
  * `true` **不是**「有人要求过」(server 自己在 S-178 踩过这一形)。
  */
-export type PostureSource = "env" | "center" | "posture" | "engine-default" | (string & {});
+export type PostureSource = "env" | "center" | "lane" | "posture" | "engine-default" | (string & {});
 /**
  * operator 诊断面的**一行旋钮读数**:值 + 来源 + 一句运维指路(server `posture-source.ts` 的
  * `PostureKnobReading<V>`,`buildPostureKnobReading` 铸)。
@@ -5165,8 +5256,8 @@ export interface PostureKnobReading<V> {
 }
 /** READ 容纳面档位 **+ 它是谁定的**(`GET /v1/diagnostics/wiring` 的 `readFace`;server ≥7.65.0 / S-167)。
  *  `face` 与租户面 `capabilities.readFace` **同一份 boot 产物**(`null` = 本部署没钉档,引擎默认接管);
- *  `source` 是那张四词表(见 {@link PostureSource}):`env` 本机 READ_FACE(恒赢)/ `center`
- *  config-center readFace 域(重启生效)/ `posture` 单用户 turnkey 派生(REQUIRE_PRINCIPAL 未设 ⇒ `open`,
+ *  `source` 是那张五词表(见 {@link PostureSource}):`env` 本机 READ_FACE(恒赢)/ `center`
+ *  config-center readFace 域(重启生效)/ `lane` 隔离型执行车道缺省(server ≥7.133.0:`READ_FACE` 缺席时 e2b / k8s / local-docker 铸 `open`)/ `posture` 单用户 turnkey 派生(REQUIRE_PRINCIPAL 未设 ⇒ `open`,
  *  7.65.0 行为变更)/ `engine-default` 没钉。`note` 是给运维的指路句。deny 表**不上**本面。 */
 export interface ReadFacePosture {
     face: "open" | "roots" | null;
@@ -5199,6 +5290,10 @@ export interface ScenarioDetail {
      *  =声明面(center 条目可以声明着但停用),`available`=运行面(声明着、启用着,但缺依赖跑不动)。
      *  列举即可预判,不必试探。 */
     available: boolean;
+    /** server ≥7.133.0:**这个场景此刻实际承载的附件供给词** —— 席位 `capabilities.userAttachments.supplies` 的子集(同一张表的过滤读法):有手场景(工作区在某台机器上)带 `path`,
+     *  无手场景(`toolset: "none"` / 纯对话面)去掉 `path`(带 `path` 条目的提交被引擎以 `config.user_attachment_invalid` 拒)。恒在场;**缺席 = 老 server(≤7.132.x)**,按
+     *  `Capabilities.userAttachments.supplies` + 既有 400 处置(发送前预判用本位,别试探)。 */
+    attachmentSupplies?: Array<"path" | "content_text" | "content_image">;
     /** 机读原因;仅 `available:false` 时在场(缺席=没有理由)。闭集(当前唯一成员
      *  `git_client_unconfigured` = scan/code-review 这类 repoTools 场景缺 GIT_API_* 配置);按键分支,
      *  禁匹配英文文案。server 若扩词表=additive,未知词按「不可用但原因未知」处置。 */
@@ -5221,8 +5316,8 @@ export interface ScenarioDetail {
  * `GET /v1/approvals` 的**信封**(`client.approvals.list()` 的返回,wire 体原样)—— server `src/http/routes/approvals-assistant.ts` 的 `approvals-list` 臂一次 `sendJson` 铸四键:
  *  · `pending` —— 耐久停驻行(决议走 `POST /v1/approvals/:sessionId/decide`);恒在场;
  *  · `serverNowMs` —— **本响应铸造时刻**的服务器钟(server ≥7.57.0;同版本恒在场)。壳渲倒计时用 `deadline − serverNowMs`,别减本机钟(钟差会让「还剩 4 分钟」的卡其实早过期);
- *    ≤7.56.x 的 server 不带它(本包支持地板 3.0.0 之内,所以型上可选);
- *  · `livePending?` —— 流内窗里的活 ask(server ≥7.43;决议走 `POST /v1/tool-approvals/:approvalId/respond`)。**缺席 = 本部署没有活审批面**,`[]` = 有面、此刻无待批;
+ *    7.52–7.56.x 的 server 不带它(本包支持地板 7.52.0 之内,所以型上可选);
+ *  · `livePending?` —— 流内窗里的活 ask(server ≥7.43;决议走 `POST /v1/tool-approvals/:id/respond`)。**缺席 = 本部署没有活审批面**,`[]` = 有面、此刻无待批;
  *  · `crashConverged?` —— 启动时收敛掉的**审计行**(server ≥7.55.0;只在 local 车道审计店在场时在场,`[]` = 有面且无崩溃残账)。行不是队列行:无决议路由、不复活 run。
  * 三族行形与决议路由各不相同,**分数组不混编**(数组名即路由判据)。
  */
@@ -5258,7 +5353,7 @@ export interface CrashConvergedRow {
     resumeSafe: boolean;
 }
 /** #315(server ≥7.43)—— `GET /v1/approvals` 信封第二顶层键 `livePending` 的行:streamApproval 窗内的
- *  **流内 ask**(此前对轮询消费端结构性不可见)。🔴 决议口=`POST /v1/tool-approvals/{approvalId}/respond`,
+ *  **流内 ask**(此前对轮询消费端结构性不可见)。🔴 决议口=`POST /v1/tool-approvals/{id}/respond`,
  *  **不是** /decide(那是 durable 行的门)——数组名即路由判据,两数组不混编。可选旗标 only-if-true
  *  (缺席绝不编码成 false)。
  *
@@ -5268,7 +5363,7 @@ export interface CrashConvergedRow {
  *  卡体,否则「列得到但渲不出」。⇒ 新增 {@link frame},**一视同仁给全部 live 行**(规则集不因 `suspended`
  *  分叉:有活流的 ask 多带一份它自己那张卡的副本无害)。 */
 export interface LivePendingRow {
-    /** 与 respond 端点收的同一个 id(wire uuidv7)。 */
+    /** 与 respond 端点收的同一个 id。**server ≥7.133.0:有问账行的 ask 恒等于行的键 `askId`**(64 位十六进制串)—— 当**不透明串**用,别按 uuid 解析;≤7.132.x 是 wire uuidv7。 */
     approvalId: string;
     toolName: string;
     /** 登记时刻(epoch ms)。 */
@@ -5286,7 +5381,7 @@ export interface LivePendingRow {
      *  上同名键同源)。此前只在 `frame` 里。 */
     mandated?: true;
     /** server ≥7.102.0(S-721 / core 7.32.0 #1092)—— 强制位站在哪一个词上,与 `mandated` 同层同形(在场逐字,缺席不编词);
-     *  值 = 条目上那一个词(与 {@link frame} 上同名键同源)。六词闭集与「缺席 ≠ 不强制」见
+     *  值 = 条目上那一个词(与 {@link frame} 上同名键同源)。闭集与「缺席 ≠ 不强制」见
      *  {@link import("./resources/tool-approvals.js").PersistedRuleMandate}。 */
     mandate?: PersistedRuleMandate;
     /** server ≥7.102.0(S-755 / cli L-695 / C-R111)—— ask 的**出身词**(谁提的这一问),与 `mandate` 同层同形;值 = 条目上那
@@ -5314,8 +5409,19 @@ export interface LivePendingRow {
      * 🔴 **缺席 = 老 server(≤7.86.0)**;7.87.0 起**恒在场**(条目上是必填格),恒不铸 `null`。
      * ⚠️ 帧里带 **tool input/args**(这正是本键存在的理由);它与 SSE 上那一帧**同源同字节**,消费端拿它出卡
      * 即可,别再去重算一份摘要。
+     * 🔴 **两形(25.0.0 起声明型是联合;判别位 `frame.type`)**:这一格与 SSE 上的开卡帧同源同字节,所以形随腿走 —— 在说呈卡协议的腿上(`capabilities.approvalFrameFamilies` 含 `"approval_request"`,server ≥7.133.0)
+     * 它是 {@link import("./resources/tool-approvals.js").ApprovalRequestFrame}(`type: "approval_request"`,卡内事实在 `frame.card`,卡外十位活面事实平铺在顶层);在旧族腿上(`approvalFrameFamilies` 缺席或含 `"tool_approval"`)
+     * 仍是 {@link ToolApprovalFrame}(`type: "tool_approval"`)。**读之前先判 `frame.type`**(或 `isApprovalRequestFrameV1(frame)`);直接读 `frame.toolName` / `frame.args` 在联合上编译不过 —— 这是 25.0.0 的迁移点。
+     * 两形的 `approvalId` 都 === 本行的 `approvalId`(决断永远用行的 id)。
+     */
+    frame?: ToolApprovalFrame | ApprovalRequestFrame;
+    /**
+     * server ≥7.133.0 —— **本副本上没有引擎腿在等这只问**(`"absent"`;**只记真**,缺席 = 本副本有引擎腿在等它,或老 server)。在场 ⇔ 这一行是审批机起服时从问账**接管**的问
+     * (前一个进程 / 别的副本铸下、行仍待决 —— 「僵尸卡」):它照常列得出、照常应答得了(行落已决,应答回执同带 {@link import("./resources/tool-approvals.js").ToolApprovalRespondApplied.consumerState}),
+     * 但这一决**不会让本副本上任何在跑的东西续跑**。壳据它渲「没有在跑的任务接着做」,别把这类行读成「这台有任务在等」;续没续跑读 run 面。
+     * `live_pending` 帧、`GET /v1/tool-approvals/:id` 的 `pending` 臂同带这一位。重启后问账里仍待决的卡**回到** `livePending[]`(此前重启后卡不在列表、应答 404)。
      */
-    frame?: ToolApprovalFrame;
+    consumerState?: "absent";
 }
 /** S-02(server ≥7.52)—— decide 409 `approval_stale` 拒体的 additive 指路键 `currentPending`:本会话
  *  **当前** pending 的三件 D-1 坐标(与 §7b 队列行同名同形),壳一跳重定位免整队重拉。🔴 恒不含
@@ -5333,6 +5439,11 @@ export interface PendingCheckpoint {
     sessionId: string;
     /** Principal / 多租户 owner scope; "_" = submitted without one. */
     scope: string;
+    /** server ≥7.133.0:这一行停驻的**非密稳定身份** —— 「同一次暂停」在 token 不能去的地方(日志 / 另一读面 / 关联键)的 join 键,与 `PausedCause.checkpointId`(终帧上那一位)是**同一个值**。
+     *  出现在三处 durable 读面:`GET /v1/approvals` 的 `pending[]` 行 · `/v1/approvals/stream` 的 `pending` 帧 · `GET /v1/assistant/inbox` 行。🔴 **读不出可信值的行照列、键缺席**
+     *  (老行 / 没过信任边界〔非串 / 空串 / 超长 / 含 token〕/ 老 server;server 计一次 `server.approvals.durable-row-checkpoint-id-missing`):**缺席读作「这一行没有可 join 的身份」**,
+     *  别把它当必在键拿去写 join 码。 */
+    checkpointId?: string;
     /** The suspended run holding the session claim — the JOIN KEY to the task's trace
      *  tool-call block (block.id == toolCallId → input = full args/question payload) and the context link. */
     taskId?: string | null;
@@ -5360,23 +5471,11 @@ export interface PendingCheckpoint {
      *  SQL 店里仍读不出登记门类的行**不列**(计数 `server.approvals.queue-row-gate-kind-missing`;也没有决断口绑得住它),而不是缺着这个键送出。
      *  ⇒ 对着 ≥7.132.0 的 server,缺席**到达不了**;对着 7.131.x 及更早的 server,缺席 = pre-`gate_kind` 的历史 SQL 行(`gate_kind` 列为 NULL)。
      *  消费端对缺席的读法一句(server 契约原话):**按「读不出」fail closed**(不当 `"human"`、不编类别、不路由到任何决断口)。
-     *  ⚠️ 本位**刻意仍是可选**(与 {@link import("./errors.js").ResumeBlockedByPolicyError.blockedBy} 同一条律,K-24 复审 r1 M1):支持地板 3.0.0 之内的老 server 真的会缺它 ——
+     *  ⚠️ 本位**刻意仍是可选**(与 {@link import("./errors.js").ResumeBlockedByPolicyError.blockedBy} 同一条律,K-24 复审 r1 M1):支持地板 7.52.0 之内的老 server(≤7.131.x)真的会缺它 ——
      *  型上写必有 = 让老 server 上的缺席变成一个型说「不可能」的值。支持地板抬过 7.132.0 的那一版改必有(那时缺席不再可达)。 */
     gateKind?: string;
-    /** server 7.16.0([3684]②):同步卡早有的「别再问我这个」持久规则候选,durable 队列行补齐供给——
-     *  数组序=展示序,EXACT 形若在场恒在首位;core 契约 basis ≤ 2,server 执法上限 4 ⇒ 消费端按 ≤4 布局
-     *  (与同步 AskRequest.ruleSuggestions 同契约)。
-     *  🔴 **display/triage-only,耐久腿无兑付口**:`POST /v1/approvals/:sessionId/decide` 的体不带规则位,
-     *  唯一能兑付的是**同副本活卡腿** `POST /v1/tool-approvals/:id/respond` 的 `persistRule`(且要
-     *  `capabilities.permissionRules`)——渲这一格按只读渲(WIRE-CONTRACT §7b 射程句同源)。
-     *  ⚠️ 缺席 = 老行(列诞生前 park)或该 ask 无候选——两者都按「无候选」渲染,别当错误。 */
-    ruleSuggestions?: Array<{
-        rule: string;
-        match: "exact" | "prefix";
-        command: string;
-    }>;
     /**
-     * S-134(server ≥7.46.0;core 5.58.0 design/375)—— 上一条**退役键的换形继任**:同一条 core 契约
+     * S-134(server ≥7.46.0;core 5.58.0 design/375)—— ≤7.45 的三元组键 `ruleSuggestions` 的**换形继任**(旧键 sdk 26.0.0 随底线 7.52.0 删):同一条 core 契约
      * (`PendingAction.ruleOffers` ≡ 同步腿 `AskRequest.ruleOffers`),形是判别联合 `single | batch`,
      * 逐字见 {@link import("./resources/tool-approvals.js").RuleOffer}。
      * server ≥7.46.0 的行上**只铸新键**;pre-5.58 的老行按新窄读逐条不合 ⇒ 整格「无供给」(不做兼容读)。
@@ -5388,7 +5487,8 @@ export interface PendingCheckpoint {
      * 活卡帧腿相反({@link import("./resources/tool-approvals.js").ToolApprovalFrame.ruleOffers}):
      * 那侧 server 是纯前缀截、零逐条丢弃,下标恒等于 core 的 offer index,兑付真发生在那条腿上。
      *
-     * 🔴 **display/triage-only** 与 {@link ruleSuggestions} 同律;**缺席 = 真的没有供给**(规则车道没武装 /
+     * 🔴 **display/triage-only,耐久腿无兑付口**:`POST /v1/approvals/:sessionId/decide` 的体不带规则位,唯一能兑付的是**同副本活卡腿**
+     * `POST /v1/tool-approvals/:id/respond` 的 `persistRule`(且要 `capabilities.permissionRules`)—— 渲这一格按只读渲;**缺席 = 真的没有供给**(规则车道没武装 /
      * 命令说不出规则 / 规则清不掉这只 ask / 老行),不是「投影层漏了」—— 后者正是 server 把这一格搬上
      * 耐久腿要修的病。恒不铸 `null`、不铸 `[]`。
      */
@@ -5410,7 +5510,7 @@ export interface PendingCheckpoint {
      *  core d.ts:与 `requiresRealApproval`(只有人能清 —— 蕴含本位)、`ruleOffersAbsence` 三位彼此独立,投影逐位照投、不互推。 */
     mandated?: true;
     /** server ≥7.102.0(S-721)—— 强制位站在哪一个词上(park 行孪生座经 `readClosedWordSeat(…, "mandate")` = core
-     *  `isPersistedRuleMandate` 筛;集外词读作缺席)。与 inbox 行对同一张行逐字同答。六词与读法见
+     *  `isPersistedRuleMandate` 筛;集外词读作缺席)。与 inbox 行对同一张行逐字同答。词表与读法见
      *  {@link import("./resources/tool-approvals.js").PersistedRuleMandate}。 */
     mandate?: PersistedRuleMandate;
     /** server ≥7.102.0(S-755 / cli L-695 / C-R111)—— 谁提的这一问(park 行孪生座 `PendingAction.tool_approval.origin`,
@@ -5539,8 +5639,22 @@ export interface SessionRecord {
             taskId: string;
         };
     }>;
+    /** server ≥7.133.0 · **会话视图体顶层 additive 键 `agent`** —— **这只会话是哪只委派子代的转录**(读法:终端侧链投影方按 fleet 帧的 `transcriptId` 读这一会话,拿 `agent` 回答「这是谁的转录、挂在哪个宿主下」)。
+     *  只投引擎在建会话时存下的 **placement 元组**(由引擎在**后台**委派子代、带耐久 agent 行、店声明了 placements 时铸;同步委派的子代转录不落宿主店,没有元组),三个成员**各自可缺席**,形见 {@link SessionAgent}。
+     *  🔴 **读作「有没有存」,绝不读作「是不是子代」**:**键在场 = 这是一只委派子代的转录**(哪怕元组只存了 `kind`,那时 `agent` 是 `{}`);**键缺席有三因**:老 server(≤7.132.x)/ 普通会话 /
+     *  这台部署的店不存 placement 元组(local 后端:子代转录停驻前住私有短 TTL 店、停驻时拷进来的那一份是普通会话行 —— 事实没存就不报)。
+     *  所以**缺席 ≠「不是子代」**:消费方回落到 fleet 行(`id`)/ `GET /v1/agents/roster`(`handle`)上本就有的身份。只投给**已验身份的读者**(视图读);只要归属的调用方(memory-status / 自助抹除)不付这一读。 */
+    agent?: SessionAgent;
     [k: string]: unknown;
 }
+/** `SessionRecord.agent`(server ≥7.133.0)—— 一只委派子代转录的 placement 元组投影,三成员**各自可缺席**(只投存下的):
+ *  `id` = 元组里的 `handle`(耐久 agent 行的 `a…` 键;与 fleet 行的 `id`、`GET /v1/agents/roster` 的 `handle` 是**同一个串**);`parentSessionId` = 发起它的宿主会话;`rootSessionId` = 委派树的根宿主会话
+ *  (嵌套孙代恒锚根)。三个都缺席的 `{}` 也是合法值(元组只存了 `kind`)。 */
+export interface SessionAgent {
+    id?: string;
+    parentSessionId?: string;
+    rootSessionId?: string;
+}
 /** 🔴 **server ≥7.125.0**(契约 §20)—— `SessionRecord.messages` 里 `role: "user"` 一行的**服务铸键**(这是服务端在引擎消息形之上添的**唯一一键**;`messages` 其余形状属引擎、本包不替它声明)。
  *  用法:`session.messages` 的元素是 `unknown`;读用户行的回退手柄时先按 `role === "user"` 窄到本型(本包不替引擎的消息联合起名)。
  *  `taskId`(串)= 回退时交给 {@link TaskRequest.resumeAt} 的那个手柄(该条提示词所在 run 的 `taskId`)。端侧回退 = 既有 `POST /v1/runs`(或 `/v1/tasks`)
@@ -5697,9 +5811,21 @@ export interface McpProbeFace {
     probedAt: string;
     /** 这份读数还能复用多久(秒;server 侧同 principal 同申报 30s 窗)。窗内重问**不计限速**。 */
     ttlSec: number;
-    /** 逐台一行,**行形单源** = {@link WiringManifestMcpEntry};与申报表同序同长(见本型顶注)。 */
-    servers: WiringManifestMcpEntry[];
+    /** 逐台一行,**行形单源** = {@link WiringManifestMcpEntry}(server ≥7.133.0 另带本面独有的两个可选键,见 {@link McpProbeFaceRow});与申报表同序同长(见本型顶注)。 */
+    servers: McpProbeFaceRow[];
 }
+/**
+ * 无 run MCP 状态面(`GET /v1/capabilities/mcp` 与 `POST /v1/capabilities/mcp/probe` 同一只)的**一行** = {@link WiringManifestMcpEntry} 的行投影 **外加本面独有的两个可选键**
+ * (server ≥7.133.0;`wiring_manifest.mcp[]` 上**没有**它们 —— 同一只行投影、本面多发两键):
+ *  · `toolNames` —— 这台服务器**会挂上**的工具名(同一次探测的读数 `servers[i].tools`,引擎的命名空间形 `mcp__<server>__<tool>`,过了 schema 闸与逐台白名单之后的名册;server 不拼、不改名、不加前缀)。
+ *    逐台**最多 200 条**,按读数序取前缀(见 `toolNamesTruncated`);🔴 **键缺席 = 老 server 或该台的读数里没有 tools —— 不要编 `[]`**(编出来的空名单会被读成「这台没有工具」);在场的 `[]` 是真的(拨号失败的台 `toolCount` 同行为 0)。
+ *  · `toolNamesTruncated` —— **只记真**:名单被截了(>200 条被截表、**恰 200 条不截**,旗键缺席、不编 `false`)。`true` 时 **`toolCount` 才是真数**,别用 `toolNames.length` 当它。
+ * 读数错位(读数不是数组 / 条数与行数不等)时两口同答 500 `internal.error`(而不是发一份会配错的名单)。
+ */
+export type McpProbeFaceRow = WiringManifestMcpEntry & {
+    toolNames?: string[];
+    toolNamesTruncated?: true;
+};
 /**
  * `GET /v1/sessions/:id/mcp` 的体 —— **两臂恰一**(server 7.132.0 `http/routes/sessions.js` 的三只铸造臂)。`asOf` = 这次 materialize 的时刻(ISO)。
  * 两半分答(server ≥7.131.0):账本半(`lastLegMcp`)与场景无关、两臂都可带;场景半问场景门 ——
@@ -5996,15 +6122,8 @@ export interface SessionRulesRecord {
     principal?: string;
     rules: StoredSessionRules;
 }
-/** One E19 file snapshot keyed by a `SessionTreeEntry.id` — `manifest` = `[relPath, blobHash]` tuples. The blob
- *  BYTES are NOT inlined (a turn's working tree can be tens of MiB → OOM/413); they ride the content-addressed
- *  blob routes (GET …/snapshots/:key/blobs/:hash to pull, PUT …/blobs/:hash to push). */
-export interface SyncSnapshot {
-    key: string;
-    manifest: Array<[string, string]>;
-}
 /** core `FileHistoryExport`(`formatVersion: "file-history/1"`)的**镜像** —— server ≥7.52(S-15 / design/381)起会话同步搬运文件历史的信封,**取代**已退役的 E19 整树快照
- *  {@link SyncSnapshot}:per-edited-file 的版本链(tracked)+ 边界(boundaries);**blob 字节不在信封里**(按 hash 寻址,经 history blob 两口搬运,见
+ *  (≤7.51 的 `snapshots` 一代;sdk 26.0.0 随底线 7.52.0 删了它的型 `SyncSnapshot`):per-edited-file 的版本链(tracked)+ 边界(boundaries);**blob 字节不在信封里**(按 hash 寻址,经 history blob 两口搬运,见
  *  {@link import("./resources/session-sync.js").SessionSyncResource.getHistoryBlob} / `putBlob`)。SDK 只读 `tracked[].versions[].blobHash`(决定要搬哪些 blob),其余**逐字透传**
  *  (server 的 import 门按 `formatVersion` refuse-not-coerce、复核 `keyKind` / `keyFamily` 闭集 —— SDK 不替它判,也不复制那两张闭集词表:二者按 `string` 读)。
  *  键集对拍 core `dist/core/file-history-store.d.ts` 的 `FileHistoryExport`。 */
@@ -6044,7 +6163,7 @@ export interface SyncAnchor {
     owner: string | null;
 }
 /** `GET …/sync/manifest` → `{ manifest: SessionManifest }`. The THIN cross-backend snapshot: entry IDS (oldest-first,
- *  NOT payloads — those stream via `/sync/entries`) + per-snapshot relPath→blobHash + policy + anchors + leaf. The
+ *  NOT payloads — those stream via `/sync/entries`) + the file-history envelope + policy + anchors + leaf. The
  *  local peer feeds `entryIds` to {@link classifySyncRelationshipByIds} to decide fast-forward/fork BEFORE pulling
  *  the entry stream + only the blob hashes it lacks. Mirrors session-sync.ts SessionManifest:213. */
 export interface SessionManifest {
@@ -6055,13 +6174,9 @@ export interface SessionManifest {
     entryCount: number;
     /** The session's current leaf entry id, or null. */
     leafId: string | null;
-    /** 🔴 **server ≥7.52(S-15)起不发这个键、wire 上不再有它**(E19 整树快照纪元退役;server `exportSessionManifest` 铸 `{ sessionId, entryIds, entryCount, leafId, fileHistory, policy, anchors }`,
-     *  7.116.0 发布字节逐键核过)。≤7.51 老 server 仍发它。**缺席 = 这台 server 不发整树快照**(真正的文件历史在 {@link fileHistory});
-     *  sdk 17.0.0 起本成员可选、`manifest()` 原样交回 wire(16.x 在缺席时填 `[]`,那一层过渡删了 —— 读它的代码按「缺席 = 没有」处理)。 */
-    snapshots?: SyncSnapshot[];
-    /** server ≥7.52:per-edited-file 文件历史信封({@link FileHistoryExport});`null` = 没有历史 / 源店导不出;**键缺席 = ≤7.51 老 server**(那一代走 {@link snapshots})。
-     *  搬 blob 前先读两端的 {@link Capabilities.sessionSyncFileHistory}(server ≥7.116.0)。 */
-    fileHistory?: FileHistoryExport | null;
+    /** per-edited-file 文件历史信封({@link FileHistoryExport});`null` = 没有历史 / 源店导不出。**支持面内恒在场**(server ≥7.52 恒铸这个键;sdk 26.0.0 起必有 ——
+     *  ≤7.51 那一代的整树快照 `snapshots` 随底线 7.52.0 退出支持面,型删)。搬 blob 前先读两端的 {@link Capabilities.sessionSyncFileHistory}(server ≥7.116.0)。 */
+    fileHistory: FileHistoryExport | null;
     policy: SessionRulesRecord[];
     anchors: SyncAnchor[];
     /** 🔴 **server ≥7.125.0**(契约 §20)—— 会话行的标题,经**列表行同一只投影**读(与 {@link SessionSummary.title} 同一个值:用户写的串,否则自动标题器的)。
@@ -6073,17 +6188,15 @@ export interface SessionManifest {
     /** 🔴 **server ≥7.125.0**(契约 §20)—— 会话行的置顶位(同 {@link SessionSummary.pinned};present-iff 与 {@link title} 同一条)。 */
     pinned?: boolean;
 }
-/** The portable state of ONE session, ready to replay into another backend (mirrors session-sync.ts SessionBundle:193).
- *  Blobs are deliberately NOT inlined — each snapshot carries only its `manifest`; the bytes stream through the
+/** The portable state of ONE session, ready to replay into another backend (mirrors session-sync.ts SessionBundle).
+ *  Blobs are deliberately NOT inlined — the file-history envelope carries only blob hashes; the bytes stream through the
  *  content-addressed blob routes. The SDK assembles this from a manifest + the streamed entries for a PUSH. */
 export interface SessionBundle {
     sessionId: string;
     /** The FULL durable conversation log, verbatim ids/parents/payload (oldest-first). */
     entries: SyncEntry[];
-    /** 同 {@link SessionManifest.snapshots}(≤7.51 老 server 的整树快照;缺席 = 源是 ≥7.52)。 */
-    snapshots?: SyncSnapshot[];
-    /** 同 {@link SessionManifest.fileHistory}(server ≥7.52 的文件历史信封;键缺席 = 源是 ≤7.51 老 server)。 */
-    fileHistory?: FileHistoryExport | null;
+    /** 同 {@link SessionManifest.fileHistory}(必有;`null` = 没有历史 / 源店导不出 / 拉取时源端没有 blob 面而不搬)。 */
+    fileHistory: FileHistoryExport | null;
     policy: SessionRulesRecord[];
     anchors: SyncAnchor[];
 }
@@ -6421,6 +6534,11 @@ export interface InboxRow {
     sessionId: string;
     /** 多租户 owner scope。 */
     scope: string;
+    /** server ≥7.133.0:这一行停驻的**非密稳定身份** —— 「同一次暂停」在 token 不能去的地方(日志 / 另一读面 / 关联键)的 join 键,与 `PausedCause.checkpointId`(终帧上那一位)是**同一个值**。
+     *  出现在三处 durable 读面:`GET /v1/approvals` 的 `pending[]` 行 · `/v1/approvals/stream` 的 `pending` 帧 · `GET /v1/assistant/inbox` 行。🔴 **读不出可信值的行照列、键缺席**
+     *  (老行 / 没过信任边界〔非串 / 空串 / 超长 / 含 token〕/ 老 server;server 计一次 `server.approvals.durable-row-checkpoint-id-missing`):**缺席读作「这一行没有可 join 的身份」**,
+     *  别把它当必在键拿去写 join 码。 */
+    checkpointId?: string;
     /** ask 创建时间(epoch ms;core 投影恒带,类型留可选容极老行)。 */
     createdAt?: number;
     /** 哪种暂停 —— 直接引用 §1 单一真源的开集(不复制字面枚举:两份枚举必然各自漂,且 live fence 的
@@ -6473,16 +6591,15 @@ export interface InboxRow {
     /** server ≥7.69.0(core 7.10.0 #616)—— **为什么这一问会到我手上**:分类器被咨询过但答不了。inbox 是
      *  **分诊**面,`breaker_open` 在这里价值最大 —— 它预告的是一场审批风暴,而不是一次偶发询问。
      *  形与三条硬读法(开集 `cause` / 缺席不是断言 / switch 带 default)逐字见 {@link ClassifierUnavailable}。
-     *  ⚰️ **`classifierUnavailable` 退役(server 7.72.0 / core 7.14.0 #688,BREAKING 无别名)**:server 三腿自 7.72.0 起
-   *  **恒不再铸它**;继任是 `tool_end.gate` / `permissionDenied.gate` 上的 `disposition.cause`(闭二词
-   *  `unavailable` / `parse_error`,答的是「这次 deny 是什么形」而非「为什么不可用」,旧 switch 搬不过去)。
-   *  SDK 保留声明只为读 [7.69.0, 7.72.0) 窗内的旧 server;登记在 `_keyset-divergence.ts` 退役名单。 */
+     *  ⚰️ **退役(server 7.72.0 / core 7.14.0,BREAKING 无别名)**:server 三腿自 7.72.0 起**恒不再铸它**;继任是 `tool_end.gate` / `permissionDenied.gate` 上的
+     *  `disposition.cause`(闭二词 `unavailable` / `parse_error`,答的是「这次 deny 是什么形」而非「为什么不可用」,旧 switch 搬不过去)。
+     *  🔴 **为什么本面还留着这一位**:本行的随包 spec 是**闭形**(`additionalProperties: false`)—— 支持面内
+     *  [7.69.0, 7.72.0) 的 server 仍会发它,删了就让那些 server 的合法行对 spec 违约。何时删、帧上同名键为何还留:权威说明在帧注 {@link ToolApprovalFrame.classifierUnavailable},本行只指向(卡上的同名键另按钉版卡 schema 仍收而留,见 {@link ApprovalCard.classifierUnavailable})。 */
     classifierUnavailable?: ClassifierUnavailable;
-    /** server ≥7.72.0(core 7.14.0 #688 C3,additive)—— **规则车道读不通的是哪一半**:在场 ⇔ `origin ===
-     *  "rule_store_unavailable"`;`store` = 规则店读不了(运维:店与网络),`call` = 店读到了但这条命令按人的
-     *  deny/ask 行读不出来(提示词:命令写法)。形与硬读法逐字见 {@link ToolApprovalFrame.ruleStoreUnreadable}。
-     *  ⚰️ **退役(server 7.106.0 / core 7.34.0 C-R172)**:与帧上同名位同批退场 —— 继任 = 会话流 `engine_notice` `permission.rule_store_unavailable`;
-     *  保留声明只为读 [7.72.0, 7.106.0) 的旧 server。 */
+    /** server ≥7.72.0(core 7.14.0 #688 C3,additive)—— **规则车道读不通的是哪一半**(`"store"` / `"call"`)。
+     *  形、在场条件、两词语义、⚰️ 退场句与退役条件的**权威说明在帧注**:{@link ToolApprovalFrame.ruleStoreUnreadable},本行只指向 —— 本行与帧上的同名键同读、同留。
+     *  🔴 **为什么本面还留着这一位**:本行的随包 spec 是**闭形**(`additionalProperties: false`)—— 支持面内 [7.72.0, 7.106.0) 的 server 仍会发它,
+     *  删了就让那些 server 的合法行对 spec 违约。 */
     ruleStoreUnreadable?: "store" | "call";
     /** 任务目标(从 task ctx 富化;契约明确 "`null` if unavailable" —— 真回 null 的字段,非 OMIT)。 */
     objective: string | null;
@@ -6717,7 +6834,7 @@ export interface WiringManifest {
      *  一个「本会话不再问」的答案到底能不能被记住?**租户可见**(引擎刻意把它放在 operator-only 的
      *  `governance` 段**之外**,server 两面都投)。要给「不再询问」这个交互之前先读它:`storeWired:false` 时
      *  那个承诺无处兑现。🔴 **引擎恒发这一段**,所以 `false` 是**真读数**(「这台 worker 没有规则车道」),
-     *  不是「引擎太老」;只有**整键缺席**才是「没发过」(本 SDK 的 server 地板 3.0.0 早于它)。
+     *  不是「引擎太老」;只有**整键缺席**才是「没发过」—— 投影只在引擎给了非空的段时才铸这一段,另外一条 server 7.6.0 之前写下的账本行回放时也没有它(故型上可选)。
      *  `syncWired` = 这台 worker 把持久规则并进与跨设备 / 传输 / 服务端同侪**同一个**同意信任域(与 `storeWired`
      *  合读回答「这一下点击到底传多远」);`orgGoverned` = 规则车道之上武装了组织治理层,而那一层是
      *  **fail-closed**(读不到组织快照时每一条 allow 都升级成真人审批)。 */
@@ -6782,6 +6899,30 @@ export interface WiringManifest {
      *  🔴 **effective 半场 only ⇒ 本面恒缺席**(见块头那一条规则):**禁**把本面的缺席读成「没有指令文件」(它在这条端点上不携带任何信息);
      *  读法只对 live `wiring_manifest` 帧成立(缺席 = 无陈述,`[]` = 走了链没选中)。 */
     instructions?: WiringManifestInstructions;
+    /** core 7.53.0,server ≥7.133.0 —— 这条腿的**权限模式回执**,段形单源 {@link WiringManifestPermissionMode}(**租户帧与 operator 帧同投**;同一段也在 `POST /v1/tasks` 200 体的 `wiringManifest` 与 `/events` 账本行上)。
+     *  🔴 **effective 半场 only ⇒ 本面恒缺席**(见块头那一条规则):读法只对 live `wiring_manifest` 帧成立;壳的模式指示读 `effective`,不读它发出去的词。 */
+    permissionMode?: WiringManifestPermissionMode;
+}
+/**
+ * `wiring_manifest.permissionMode.foldedBy` 的词 —— 一条腿的模式被折回去的**原因**(core 7.53.0 `PERMISSION_MODE_FOLD_REASONS`;server ≥7.133.0 只判形、不枚举):
+ * `operator_deny` = 部署 / 组织的天花板不许这个模式(center `allowBypassPermissions: false` / `allowAutoMode: false` 或部署本地的禁用旋钮);`face_absent` = `auto` 模式要的分类器面这条腿没有;
+ * `inherited_ceiling` = 委派子代的模式被夹在父腿的天花板下。🔴 **开集读**:词表属主在引擎,第四个词原样过境 ⇒ 按「被折了、原因未知」处置,别当没折。
+ */
+export type PermissionModeFoldReason = "operator_deny" | "face_absent" | "inherited_ceiling" | (string & {});
+/**
+ * `wiring_manifest.permissionMode` 段(core 7.53.0 `PermissionModeReceipt`,**server ≥7.133.0** 起投 —— 此前引擎有、两个出口〔租户帧 / operator 帧〕都剥;**租户帧与 operator 帧同投**,
+ * 同一段也在 `POST /v1/tasks` 200 体的 `wiringManifest` 与 `GET /v1/runs/:id/events` 账本行上,四处同形;server 只判形:`effective` 非空串、`requested` / `foldedBy` 缺席或非空串,判不过 ⇒ 整段不投)。
+ * 引擎在**每一次**模式问答上给同一份三成员回执(动没动都给),让壳渲的是引擎解出来的,不是自己发出去的:
+ *  · `requested` —— 调用方声明的模式词;**缺席 = 调用方什么都没声明**(根腿继承 `default`、子代继承父);
+ *  · `effective` —— 这条腿**真跑**在哪个模式下(请求先夹在父腿天花板下,再在部署不许 / 分类器面缺席时折回 `default`);**恒在**。壳的模式指示读它;
+ *  · `foldedBy` —— **在场 ⇔ `requested` 与 `effective` 不同**:折因见 {@link PermissionModeFoldReason}(开集读)。
+ * 🔴 **缺席 = 老引擎 / 老 server(≤7.132.x)**,不是「默认模式」的断言;**别用 `requested`** 渲指示(那是它发出去的词,可能已被折)。
+ * ⚠️ 这是**封闭 schema 的一次加键**:按 sdk ≤24.0.0 的 spec 严格校验 `wiring_manifest` 的消费方,对 7.133.0 起的整帧失败 —— 升到本包(25.0.0)或对这一段放宽未知键。
+ */
+export interface WiringManifestPermissionMode {
+    requested?: PermissionMode | (string & {});
+    effective: PermissionMode | (string & {});
+    foldedBy?: PermissionModeFoldReason;
 }
 /**
  * `wiring_manifest.fileHistory` 的词(K-24;server ≥7.104.0 / S-724;core 7.31.0 `WiringManifest.fileHistory` = `"on" | "disabled"`,
@@ -6848,8 +6989,42 @@ export interface ToolRosterEntry {
     pathTarget?: McpToolFace["pathTarget"];
     ruleFace?: McpToolFace["ruleFace"];
     renderHints?: McpToolFace["renderHints"];
+    /** core 7.54.0 / server ≥7.134.0(引擎**必填**成员,`wiring_manifest.tools.entries[]` 与 `tool_roster_delta` 帧 `delta.roster.entries[]` 每一行都带):
+     *  这只工具的一次调用**走哪几条腿**({@link BoundaryLeg} 数组,按 {@link BOUNDARY_LEGS} 序),或 `"per_call"` —— 它的分派按每次调用给腿(引擎自己的定义与协议工具声明它,
+     *  其余行跟随 `effect`)。设备车道的发射闸读它判一次调用要不要跨边界确认。**键缺席 = 老 server**(≤7.133.x);按封闭 schema 严格校验名册行的消费方升到本包后才收得下这一位。 */
+    boundaryLegs?: "per_call" | BoundaryLeg[];
     [k: string]: unknown;
 }
+/** 一次调用可能走的**腿**(core `BOUNDARY_LEGS` 逐词同序;core 7.54.0):`env` —— 执行环境里(设备上)· `outside_read` —— 读到执行环境之外 · `outside_write` —— 写到执行环境之外。 */
+export declare const BOUNDARY_LEGS: readonly ["env", "outside_read", "outside_write"];
+/** {@link BOUNDARY_LEGS} 的成员型。 */
+export type BoundaryLeg = (typeof BOUNDARY_LEGS)[number];
+/** 一棵执行于目标设备的树的**跨边界污染位**(core `CROSS_BOUNDARY_TAINT_BITS` 逐词同序;core 7.54.0):`targetExecutionArmed` —— 树已武装为在目标上执行 ·
+ *  `offTargetReadObserved` —— 树里已经放进过一次离目标读的内容。 */
+export declare const CROSS_BOUNDARY_TAINT_BITS: readonly ["targetExecutionArmed", "offTargetReadObserved"];
+/** {@link CROSS_BOUNDARY_TAINT_BITS} 的成员型。 */
+export type CrossBoundaryTaintBit = (typeof CROSS_BOUNDARY_TAINT_BITS)[number];
+/** 跨边界污染行的**阶段**(core `permission.cross_boundary_taint` 帧的 `phase`):`prepare` —— 武装的树上准备一条腿 · `resume` —— 耐久续跑腿 ·
+ *  `observed` —— 这条腿第一次把离目标读放进树(带那一只调用)。 */
+export type CrossBoundaryTaintPhase = "prepare" | "resume" | "observed";
+/**
+ * **跨边界污染行**(core 7.54.0 设备车道发射闸的 `permission.cross_boundary_taint` 帧去掉信封 —— server ≥7.134.0 的耐久行;**纯元数据**):
+ * 一棵执行于目标设备的树,武装腿准备时(`prepare`)/ 耐久续跑腿(`resume`)各一行,第一次放进离目标读时一行(`observed`,带那一只调用)。宿主车道永不出现。
+ * 两个出口同一行:`GET /v1/runs/:id/events` 的账本事件 `cross_boundary_taint`({@link import("./events.js").AgentEvent} 同名臂)与 trace SSE `GET /v1/tasks/:id/stream` 的
+ * `cross-boundary-taint` 帧({@link TraceStreamEvent} 同名臂,行 + `seq`)。**`GET /v1/runs/:id` 的轮询对象上没有它**。
+ */
+export interface CrossBoundaryTaintRow {
+    /** 这条腿的 run id。 */
+    runId: string;
+    phase: CrossBoundaryTaintPhase;
+    /** 事件之后树的污染位(core 位的子集)。 */
+    taint: CrossBoundaryTaintBit[];
+    /** 树自武装起一直在 `multi_tenant` 姿态下跑(由 `REQUIRE_PRINCIPAL` 派生)。 */
+    governed: boolean;
+    /** 只在 `observed`:放进离目标读的那一只调用。 */
+    toolName?: string;
+    toolCallId?: string;
+}
 /**
  * core `ToolRosterDelta`(core 7.8.0)—— **运行期**名册变更的载荷,`tool_roster_delta` 帧的 `delta`
  * (server ≥7.70.0;铸点 `src/trace/project.ts:736`,判形属主是 core 的 typebox schema:判不出形 ⇒
@@ -7264,7 +7439,7 @@ export interface MemoryOriginClearReceipt {
  *  但因为卡全程 pending,什么都没有被伪造,重发同一条 decide 即可 —— **一台 ≥7.72.0 的 server** 起这条腿有
  *  两条腿:宿主停在可唤醒的 park 上就续那一跑,不在就在同一个宿主会话上铸一条新跑承载决定,两条腿的受理体
  *  逐字同形;宿主会话此刻被别的 run 占用时改答既有的 409 `conflict.session_active_run`。⚠️ 这两条腿是
- *  7.72.0 才有的:本包支持地板是 3.0.0,对 [7.69.0, 7.72.0) 窗口内仍受支持的老 server,重发拿到的仍是
+ *  7.72.0 才有的:本包支持地板是 7.52.0,对 [7.69.0, 7.72.0) 窗口内仍受支持的老 server,重发拿到的仍是
  *  409 `decide.workflow_host_not_parked`(该码已于 7.72.0 退役、无别名,但仅对**更新的** server 生效 ——
  *  见 {@link import("./errors.js").DecideWorkflowHostError})。
  *