@sema-agent/server 7.134.0 → 7.135.0

package/dist/boot/web-admin.js

@@ -2,7 +2,7 @@ import { createHash } from "node:crypto";
 import { readFile as fsReadFile } from "node:fs/promises";
 import { homedir } from "node:os";
 import { join } from "node:path";
-import { WEB_ADMIN_ENV, formatConfigPath, skillContentHash } from "@sema-agent/settings-schema";
+import { WEB_ADMIN_ENV, formatConfigPath } from "@sema-agent/settings-schema";
 import { stableStringify } from "@sema-agent/settings-schema/hash";
 import { buildModelRefusalsSignal } from "../model-entry-refusal.js";
 import { CenterPromptSource, FilePromptArtifactStore, FilePromptSourceStateStore, MemoryPromptArtifactStore, MemoryPromptSourceStateStore, } from "@sema-agent/core";
@@ -11,7 +11,7 @@ import { applyCenterPlugins } from "../capabilities/center-plugins.js";
 import { applyCenterArtifact, centerSourceOnError, withPromptArtifactBackfill } from "../capabilities/center-prompts.js";
 import { centerScenarios, centerScenarioDetails } from "../capabilities/scenarios.js";
 import { isRosterGateArmed } from "../config.js";
-import { toolsRunOnThisHost } from "../task-cwd.js";
+import { DEPLOYMENT_SHAPE_PREDICATES } from "../deployment-shape.js";
 import { defaultLkgPath, defaultSkillCacheDir, saveLkg, loadLkg, legacyV1LkgPath, migrateV1Lkg } from "../config-lkg.js";
 import { answerStillCurrent, centerStateBin, credentialIdentityNow, judgeCenterCredentialAtBoot } from "../center-credential.js";
 import { createCenterConfigTier } from "../center-config-tier.js";
@@ -21,7 +21,7 @@ import { createConfigProvider, raceBootFetch, serviceConfigSourceKind, BOOT_FETC
 import { ConfigDirUntrustedError } from "../config-dir-trust.js";
 import { createKeyResolver } from "../key-resolver.js";
 import { buildSealedKeyPublicFace, ensureCheckpointCtxSealing, ensureSealedKeyStore, reportExecutionPublicKey } from "../sealed-key.js";
-import { applyEffective, applyCenterReadFace, buildReadFaceBaseline, buildReadFaceSwapCandidate, restoreReadFaceBaseline, mutateInPlace, logEffectiveDiff, applySkillsManifest, resolveMcpServers, resolveA2aPeers, restartReasons, modelPlaneChanged, withModelPlaneOf, fullyLandedForLkg, NO_CENTER_EFFECTIVE, isNoCenterEffective, fetchPromptArtifact } from "../web-admin-client/facade.js";
+import { applyEffective, applyCenterReadFace, buildReadFaceBaseline, buildReadFaceSwapCandidate, restoreReadFaceBaseline, mutateInPlace, logEffectiveDiff, applySkillsManifest, skillManifestEntriesNotInstalled, resolveMcpServers, resolveA2aPeers, restartReasons, modelPlaneChanged, withModelPlaneOf, fullyLandedForLkg, NO_CENTER_EFFECTIVE, isNoCenterEffective, fetchPromptArtifact } from "../web-admin-client/facade.js";
 import { buildConfigHandoff, buildRestartSignal, configHandoffMissing } from "../fleet/engine-signal.js";
 import { createMcpRevocationLedger, enabledMcpEntries } from "../web-admin-client/mcp-revocation.js";
 import { buildUnreadConfigFileFields, buildUnreadConfigKeyFields } from "../web-admin-client/read-warnings.js";
@@ -749,7 +749,7 @@ export async function createWebAdminRuntime(ctx) {
                 const pluginOut = await applyCenterPlugins(skills, effective, {
                     cacheRoot: join(config.localDataRoot ?? join(homedir(), ".ai-agent"), "plugin-cache"),
                     allowHosts: config.pluginsAllowHosts,
-                    toolsShareThisFilesystem: toolsRunOnThisHost(config),
+                    toolsShareThisFilesystem: DEPLOYMENT_SHAPE_PREDICATES.toolsOnThisHost.holds(config),
                     logger,
                 }).catch((err) => {
                     logger.warn("center_plugins_apply_failed", { error: err instanceof Error ? err.message : String(err) });
@@ -768,12 +768,7 @@ export async function createWebAdminRuntime(ctx) {
                     return false;
                 });
                 {
-                    const enabledManifest = (bootLkgCandidate.effective.skills?.skills ?? []).filter((m) => m.enabled !== false);
-                    const canonScenarios = (a) => [...(a ?? [])].sort().join("\u0000");
-                    const liveSkillMiss = enabledManifest.some((m) => !skills.some((sk) => sk.spec.name === m.name &&
-                        skillContentHash(sk.spec.content) === m.contentHash &&
-                        sk.spec.description === m.description &&
-                        canonScenarios(sk.scenarios) === canonScenarios(m.scenarios)));
+                    const liveSkillMiss = skillManifestEntriesNotInstalled(skills, bootLkgCandidate.effective.skills?.skills ?? []).length > 0;
                     if (liveSkillMiss)
                         bootSkillStale = true;
                     if (liveSkillMiss && (bootPublished || (!lkgSurvivesRestart && lastPrewarmBodiesVerified))) {

package/dist/boot/workflow-orchestration.js

@@ -3,7 +3,7 @@ import { join } from "node:path";
 import { FleetEventBus } from "../fleet/fleet-bus.js";
 import { LocalWorkflowAgentSessionIndex } from "../orchestration/workflow-agent-session-index.js";
 import { createCorruptReadFailOpenSeat } from "../observability/corrupt-read-seat.js";
-import { FileWorkflowCompletionInbox, InMemoryWorkflowCompletionInbox, resolveCompletionRoute } from "../orchestration/workflow-completion-inbox.js";
+import { FileWorkflowCompletionInbox, InMemoryWorkflowCompletionInbox, buildWorkflowCompleteInboxEntry, resolveCompletionRoute } from "../orchestration/workflow-completion-inbox.js";
 import { FileWorkflowNotifyJournalStore, JournalingWorkflowRunStore, WorkflowNotifyGate } from "../orchestration/workflow-notify-journal.js";
 import { SubagentSteerRegistry } from "../orchestration/subagent-steer.js";
 import { WorkflowAgentRegistry } from "../orchestration/workflow-agent-steer.js";
@@ -40,14 +40,7 @@ export function createWorkflowOrchestration(ctx) {
             const route = await resolveCompletionRoute(p, getRunStore() ? (id) => getRunStore().getRun(id) : undefined, config.requirePrincipal === true);
             if (!route)
                 return;
-            await workflowCompletionInbox.enqueue({
-                sessionId: route.sessionId,
-                owner: route.owner,
-                runId: p.runId,
-                status: p.status,
-                summary: p.summary,
-                enqueuedAt: Date.now(),
-            });
+            await workflowCompletionInbox.enqueue(buildWorkflowCompleteInboxEntry(route, p, Date.now()));
         }
         catch (err) {
             logger.warn("workflow_completion_enqueue_failed", { runId: p.runId, err: String(err) });

package/dist/brain.d.ts

@@ -16,10 +16,10 @@ export declare const FAST_FAIL_MAX_RETRIES = 2;
  *
  * Composition (A1 + the 1.38 resilience stack, ordered timeout-innermost → breaker → failover-outermost):
  *   - **Tiered timeouts** (1.38; re-cut by core 7.33.0 along the segments of a call) are passed into each
- *     brain at creation: `firstByteTimeoutMs` (fetch() → response headers; S-753: **passed only when the
+ *     brain at creation: `firstByteTimeoutMs` (fetch() → response headers; [ref]: **passed only when the
  *     operator set `MODEL_FIRST_BYTE_TIMEOUT_MS`** — absent = no key, core's own default, which carries an
  *     upload allowance and one widened retry of its own), `firstTokenTimeoutMs` (headers → first delta,
- *     600s since S-202 — a self-hosted backend's long prefill legitimately takes minutes, and 120s turned that
+ *     600s since [ref] — a self-hosted backend's long prefill legitimately takes minutes, and 120s turned that
  *     into a retry handing the same prompt back to the same queue) and `idleTimeoutMs`. The TCP + TLS connect
  *     is the transport's own clock (core 7.33.0), not a knob here. env =0 = no engine clock on that segment
  *     and the transport's header / body clocks off too (the connect keeps the transport's own clock).
@@ -57,13 +57,13 @@ export declare function createBrain(config: ServiceConfig, deps?: {
 /** {@link degradeRouteFingerprint} 读的那几张表(全是活引用:refresh 就地换代,读数每次现取)。 */
 export type DegradeRoutePlane = Pick<ServiceConfig, "degrade" | "models" | "gatewayBaseUrl" | "modelApiKeyEnv" | "modelApiKeys">;
 /**
- * S-794:反应式降级壳焊的是哪一只目标 —— **唯一判据**(createBrain 组壳、启动摘要、`degrade-route` 片的两侧读数同读这一只)。
+ * [ref]:反应式降级壳焊的是哪一只目标 —— **唯一判据**(createBrain 组壳、启动摘要、`degrade-route` 片的两侧读数同读这一只)。
  * 车道没开(非 reactive)或表里没有叫 `degrade.to` 的条目 ⇒ `undefined`(createBrain 不装降级壳)。
  */
 export declare function degradeTargetOf(config: Pick<ServiceConfig, "degrade" | "models">): Model | undefined;
 /**
- * S-795(R1):降级壳里目标自有凭据的**身份**(不是值)—— 与目标那只 Model 同一代,在 createBrain 组壳那一刻冻结。
- *  · `apiKeyEnv` —— 那一代给目标配的 env 变量**名**;壳每跳按这个名字现读值(同名轮换仍热;变量被删 ⇒ S-896 起 `env_missing` 毒丸,跳响亮拒 —— 7.105.0 及以前是「与自有凭据缺席同一臂」、落网关 key 档)。
+ * [ref](R1):降级壳里目标自有凭据的**身份**(不是值)—— 与目标那只 Model 同一代,在 createBrain 组壳那一刻冻结。
+ *  · `apiKeyEnv` —— 那一代给目标配的 env 变量**名**;壳每跳按这个名字现读值(同名轮换仍热;变量被删 ⇒ [ref] 起 `env_missing` 毒丸,跳响亮拒 —— 7.105.0 及以前是「与自有凭据缺席同一臂」、落网关 key 档)。
  *  · `sealed` —— 那一代托管密钥的解封产物(明文,或解不开时的毒丸;与 `config.modelApiKeys` 的值同型)。托管密钥的身份是它的密文;
  *    本进程的托管店在 boot 读一次、此后不变(`ensureSealedKeyStore`),同一密文恒解出同一产物 —— 所以持有那一代的产物就是持有
  *    那一代的身份(壳里没有密文与托管店,也不需要)。重贴 = 新 key = 新身份,要重启才进壳 —— `degrade-route` 指纹带它的身份摘要,
@@ -75,21 +75,21 @@ export interface DegradeCredentialIdentity {
     readonly sealed?: string | SealedCustodyPoison;
 }
 /**
- * S-795:读出 `target`(降级壳焊的那只目标,{@link degradeTargetOf})此刻的凭据身份 —— **唯一**读法:createBrain 组壳时冻结它,
+ * [ref]:读出 `target`(降级壳焊的那只目标,{@link degradeTargetOf})此刻的凭据身份 —— **唯一**读法:createBrain 组壳时冻结它,
  * `degrade-route` 指纹的两侧读数与启动摘要同读它。查表的键与序与修前 `fbOwnApiKey` 同:目标真名、再 `degrade.to`(后者可能是
  * `default` 别名,两张 key 表按真名索引、env 车道的目录则反过来);每个名字上托管密钥压过 env 引用(key-resolver 的序)。
  */
 export declare function degradeCredentialIdentityOf(config: Pick<ServiceConfig, "degrade" | "modelApiKeyEnv" | "modelApiKeys">, target: Pick<Model, "name">): DegradeCredentialIdentity;
 /**
- * S-794:降级壳的**路由指纹**(纯数据)—— `degrade-route` 重启片 `baked` / `current` 两侧读数的唯一读法。
+ * [ref]:降级壳的**路由指纹**(纯数据)—— `degrade-route` 重启片 `baked` / `current` 两侧读数的唯一读法。
  *
  * 壳在 createBrain 那一刻焊死目标那只 `Model` 对象(env 派生或目录派生):请求打 `model.baseUrl`(缺席回网关根)、body 带
  * `model.id` / `maxTokens` / `compat` / …,走哪条腿看 `provider`;refresh 就地换的是表里的**值**,够不到那只对象。于是指纹 =
  *  · 那只 Model 经 `catalogEntryFingerprint`(与 swap 门同一张热字段减法:单价**数值**热、在场性不热;其余字段一律算 —— deny-list,
  *    漂移的失败形是多签一次,绝不漏签);
- *  · 有效端点根(S-623 同一只解析器 `openaiRouteBaseUrl(baseUrl, gatewayBaseUrl)`);
+ *  · 有效端点根([ref] 同一只解析器 `openaiRouteBaseUrl(baseUrl, gatewayBaseUrl)`);
  *  · 它配的凭据**身份**({@link degradeCredentialIdentityOf},壳冻结的同一只):`apiKeyEnv`(变量名,不是值;值热、同名轮换不签)与
- *    托管密钥的**身份摘要**(S-795 R1 起壳冻结那一代的 key ⇒ 重贴 = 新身份,必须签;车QU codex r1 [high] F2:修前只有在场位,同端点
+ *    托管密钥的**身份摘要**([ref] R1 起壳冻结那一代的 key ⇒ 重贴 = 新身份,必须签;车QU codex r1 [high] F2:修前只有在场位,同端点
  *    重贴不签、旧 key 一直发到人工重启)。摘要 = 明文 sha256 前 16 位十六进制(与 center-credential.ts「token 自身摘要身份」同一种
  *    做法;同一明文重新封一次 = 同一把 key ⇒ 不签);毒丸 = 它的 `publicKeyId` + 成因(不含检测时刻 —— 每次 apply 都会重铸)。
  * 没有焊壳(车道没开 / 没有目标)⇒ `null`。在场 ↔ 缺席的翻转因此自然是一次变化。
@@ -104,10 +104,10 @@ export interface DegradeRouteWatch {
     read(): NonNullable<RestartSliceCtx["degradeRoute"]>;
 }
 /**
- * S-753 复审(opus F2 + codex C1)—— **failover 拓扑 × 首字节段没有部署窗**的启动期披露(纯数据,`build*`;告警由 boot 出)。
+ * [ref] 复审(opus F2 + codex C1)—— **failover 拓扑 × 首字节段没有部署窗**的启动期披露(纯数据,`build*`;告警由 boot 出)。
  *
  * 缺省下首字节段不铸键(core 自缺省当家,[ref])、`0` = 该段不设引擎钟;而切备只发生在一次调用**失败之后**。于是主网关接了连接
- * 却不回响应头时:缺省 ⇒ 要等 core 的首字节 lane 走完(缺省首窗 + 一次加宽重试;本仓不铸 `firstByteRetries`,S-753 车PA)才切备,
+ * 却不回响应头时:缺省 ⇒ 要等 core 的首字节 lane 走完(缺省首窗 + 一次加宽重试;本仓不铸 `firstByteRetries`,[ref] 车PA)才切备,
  * 时间预算短于那一段的调用在备网关被尝试之前就被取消 —— 以 core 7.33.x 缺省计 lane ≈ 15 min,一次带短时间预算的调用
  * (分钟级的工具 / 子任务预算)在主网关的加宽重试窗里就到点,不是「只剩余量」;
  * `0` ⇒ 首字节 lane 永不切备。启动日志里同行的 `gatewayRetryCap:"fast-fail:…"` 只管共享重试梯子,读起来却像「会快切」—— 这条披露把它补齐。

package/dist/budget.d.ts

@@ -12,11 +12,11 @@ import type { FleetUsageAccumulator } from "./fleet-client.js";
 import type { FleetLeaseManager } from "./fleet-lease.js";
 import { type PromptManifestTracker } from "./observability/prompt-manifest.js";
 /** ③ Per-model pricing keyed by model id (core falls back to each Model.cost when a model is absent).
- *  B-089:`m.cost` 运行期可缺席(未定价的模型不铸这个键 —— `config.ts` 的 `buildModelCostKey`),于是
+ *  [ref]:`m.cost` 运行期可缺席(未定价的模型不铸这个键 —— `config.ts` 的 `buildModelCostKey`),于是
  *  未定价模型在本表里**没有行**;core 的 `isModelPriced` 两边都读(`pricing[id]` 或 `model.cost`),
  *  两边同时缺席 = 这只模型未定价 ⇒ 成本读面整键缺席,而不是编造的 0。
  *
- *  🔴 S-231 —— 建行判据就是 core 那只谓词本身,不再同形手抄。第二参传 `undefined` 是**语义**不是省事:
+ *  🔴 [ref] —— 建行判据就是 core 那只谓词本身,不再同形手抄。第二参传 `undefined` 是**语义**不是省事:
  *  这张表正是本函数在建,建之前它不存在,于是谓词落在它的另一半「模型自报价了吗」上。表建好之后
  *  「本部署配没配价目表」这一问归 {@link isPricingConfigured}(它数的是行;每一行都只由本谓词放进来,
  *  所以两问不可能漂成两个答案)。 */
@@ -32,7 +32,7 @@ export declare function buildPricing(models: Record<string, Model>): Record<stri
  * 同一条论证在同一个字面量里**已经执行过一次**:紧邻的 `restartState: () => webAdmin.restartState()`
  * 带着注释「A live getter (not a snapshot) so /health always reads current」—— 兄弟键漏了。本仓第 7 例同形。
  *
- * 🔴 B-089(判据本身,同一条「0 不是缺席」的病):此前判的是「**有没有一项正价**」
+ * 🔴 [ref](判据本身,同一条「0 不是缺席」的病):此前判的是「**有没有一项正价**」
  * (`some(v > 0)`),于是一台把四项单价**显式**配成 0 的部署(= 运营者声明这个模型免费)被报成
  * 「没配价目表」—— 正好是本键要消歧的两态被折成同一个 false,消费端把一个可信的 $0 渲成 unknown。
  * 判据改为**表在不在**:与 core [ref] 的 `isModelPriced`(「price table 是否 EXIST」)同向,也与
@@ -40,7 +40,7 @@ export declare function buildPricing(models: Record<string, Model>): Record<stri
  * 三态读回:未定价 ⇒ 空表 ⇒ false(与改前同值);声明免费 ⇒ 有行(全零)⇒ true(**唯一变的一格**);
  * 配了真价 ⇒ true(与改前同值)。
  *
- * 🔴 S-231 —— 本函数**不是** `isModelPriced` 的第二份实现,它问的是**部署级**的另一问:「这张表里有行吗」。
+ * 🔴 [ref] —— 本函数**不是** `isModelPriced` 的第二份实现,它问的是**部署级**的另一问:「这张表里有行吗」。
  * 「某一只模型定价了吗」只有 core 那一只谓词回答,而这张表的每一行都只由它放进来(见 {@link buildPricing}),
  * 所以两问结构上不可能漂成两个答案。 */
 export declare function isPricingConfigured(pricing: Record<string, ModelPricing>): boolean;

package/dist/capabilities/approvals-push.d.ts

@@ -1,16 +1,16 @@
 /**
- * S-455 —— `GET /v1/capabilities` 的 `approvalsStreamLive` 位:**本部署的审批推送面带不带 live 事件族**。
+ * [ref] —— `GET /v1/capabilities` 的 `approvalsStreamLive` 位:**本部署的审批推送面带不带 live 事件族**。
  *
  * ## 病
- * S-454(7.87.0)给 `GET /v1/approvals/stream` 接上了**第二条 diff 源** —— `listLivePending`(与
+ * [ref](7.87.0)给 `GET /v1/approvals/stream` 接上了**第二条 diff 源** —— `listLivePending`(与
  * `GET /v1/approvals` 的 `livePending` 同一只读函数),事件另立两词 `live_pending` / `live_resolved`。
  * 那条源的在场性挂在协调器上:`TOOL_APPROVAL_ENABLED=false` 的部署里 `ToolApprovalCoordinator` 根本不装配
- * ⇒ 源整个缺席、流的字节与 S-454 之前逐字相同(能力缺席 = 零变化,不是空数组;见 `streamApprovals` 的
+ * ⇒ 源整个缺席、流的字节与 [ref] 之前逐字相同(能力缺席 = 零变化,不是空数组;见 `streamApprovals` 的
  * `live` 参数注)。
  *
  * 于是消费端(client-core 的 approvalsFeed / 运营面板)**判不出自己连的是哪一种**:两形都是一条正常开着、
  * 正常心跳的 SSE,差别只在「某一类卡永远不会从推面来」。用「等不到帧」去推断能力缺席不是判据 —— 那正是
- * S-454 立案时那个病的形状(代理静默卡一小时、屏上零提示),只是换到了消费端这一侧。探位就是为了把
+ * [ref] 立案时那个病的形状(代理静默卡一小时、屏上零提示),只是换到了消费端这一侧。探位就是为了把
  * 「这台机器会不会推 live 卡」从一次运气变成一次读。
  *
  * ## 形(与 `mcpReconnect` / `executionLane` 同族)

package/dist/capabilities/builtin-tools.d.ts

@@ -5,7 +5,7 @@ import type { SubagentSpawnContext, SubagentToolOptions, ToolSpec } from "@sema-
 export declare function nowTool(): ToolSpec;
 /**
  * 委派子代逐次注入的**一组**工具:`tools` 是这组**可能**注入的全部工具对象,`forSpawn` 只在这些对象里选「这一次 spawn 拿不拿」(缺席 = 每次都拿)。
- * 名册与工厂读的是同一张 `tools` —— 工厂只能交出名册里那几只对象,结构上交不出名册外的东西(core 7.46.0 #1432 的「声明不说谎」在本仓由形状保证,
+ * 名册与工厂读的是同一张 `tools` —— 工厂只能交出名册里那几只对象,结构上交不出名册外的东西(core 7.46.0 [ref] 的「声明不说谎」在本仓由形状保证,
  * 不靠两张表对拍)。
  */
 export interface SubagentExtraToolSet {
@@ -18,16 +18,16 @@ export interface SubagentExtraToolOptions {
     readonly extraToolNames: NonNullable<SubagentToolOptions["extraToolNames"]>;
 }
 /**
- * #1110(core 7.32.0)—— 委派子代的**逐次注入**:`Now` + 部署的 extra tools(今天 = SendUserFile)。
+ * [ref](core 7.32.0)—— 委派子代的**逐次注入**:`Now` + 部署的 extra tools(今天 = SendUserFile)。
  *
  * 为什么 `Now` 走这条通道:core 7.32.0 起子代按**身份**继承场景层 bundle 的工具(`assembleCodeTools` 交给 Agent 的
  * `inheritedTools` ∩ 父 run 真挂载),而 `Now` 是本仓在 bundle **旁边**组的宿主工具(scenarios.ts),宿主工具**从不**被继承
  * (core:继承整张 `spec.tools` 会把宿主工具带过宿主自己的逐次门)—— 逐次注入是它到达子代的唯一通道。一个工厂、两个产地:
  * 部署那一组的门(只读内建排除)在它自己的 `forSpawn` 里,这里只做合成。
  *
- * core 7.46.0 #1432 —— **工厂与名册一个来源**:返回委派工具的两键,`extraTools`(每次 spawn 交出 `forSpawn` 选中的那几只)与
+ * core 7.46.0 [ref] —— **工厂与名册一个来源**:返回委派工具的两键,`extraTools`(每次 spawn 交出 `forSpawn` 选中的那几只)与
  * `extraToolNames`(全部可能交出的那几只的名字 / 别名 / 内容来源,从同一批 `ToolSpec` 读出)。名册在场 ⇒ 引擎重新能列出子代的工具池:
- * 定义级 / 工具级 / `TaskSpec.agents` 清单里没有任何工具答应的名字由引擎按名册判(core 7.51.0 #1736 起不拒 run:条目原样保留、告知一次并带该写的拼法;
+ * 定义级 / 工具级 / `TaskSpec.agents` 清单里没有任何工具答应的名字由引擎按名册判(core 7.51.0 [ref] 起不拒 run:条目原样保留、告知一次并带该写的拼法;
  * 7.46.0–7.50.x 曾开跑前拒 `config.agent.unknown_tool`),记忆内容来源读者按声明读这几只。
  * 修前(core 7.32.0–7.45.x)工厂恒在场 ⇒ 池不可静态知 ⇒ 那一族拼法只告不拒、委派结果一律按「外部」读。
  * 工厂**不抛**:各组的 `tools` 是装配期就建好的对象;部署 `forSpawn` 的抛由 core 收成「这一 spawn 什么都不继承 + 模型面披露句」(onExtraToolsError 记 warn)。
@@ -36,7 +36,7 @@ export interface SubagentExtraToolOptions {
 export declare function createSubagentExtraTools(deployment?: SubagentExtraToolSet): SubagentExtraToolOptions;
 /**
  * `onExtraToolsError` 收到的错误 → 运维行 `subagent_extra_tools_error` 的字段:句子,加上错误**自带**的码与 `detail.reason`(在场才铸)。
- * core 7.46.0 #1432 被拒的 spawn(产物不在名册里)带 `config.extra_tool_names` + `undeclared_name` / `undeclared_origin`;部署工厂自己抛的错多半两位都不带。
+ * core 7.46.0 [ref] 被拒的 spawn(产物不在名册里)带 `config.extra_tool_names` + `undeclared_name` / `undeclared_origin`;部署工厂自己抛的错多半两位都不带。
  * 本仓不按码分支、不重铸 —— 只把错误说的话原样过境到运维面(修前只记句子,码与原因词丢在这一跳)。
  */
 export declare function extraToolsErrorFields(err: unknown): Record<string, unknown>;

package/dist/capabilities/center-plugins.d.ts

@@ -1,7 +1,7 @@
 import type { Logger } from "../observability/logger.js";
 import { type LoadedSkill } from "./skills.js";
 /**
- * 声明面的 `source.url` 长度上限(S-483)—— **界在声明关口,不在每个出口各切一刀**。
+ * 声明面的 `source.url` 长度上限([ref])—— **界在声明关口,不在每个出口各切一刀**。
  *
  * 由来:出口上原有一刀 `.slice(0, 80)`,而它做了两件坏事(① 把 display-safe 铸点的 `«redacted…»` 记号截成
  * 半只;② 与同一条 URL 在别处的处置成了两把尺)。删掉它之后,这个 **center 下发**值在日志行与
@@ -42,7 +42,7 @@ export declare function validatePluginDecl(decl: PluginDeclWire, allowHosts: rea
 /**
  * 条款 3:clone 计划(argv 序列)。纯数据,让"步骤"可被锚定。
  *
- * 7.103.0(S-684 残余):计划**只**产 argv。隔离 env(收紧③:GIT_CONFIG_GLOBAL/SYSTEM=/dev/null、GIT_TERMINAL_PROMPT=0)的唯一属主是
+ * 7.103.0([ref] 残余):计划**只**产 argv。隔离 env(收紧③:GIT_CONFIG_GLOBAL/SYSTEM=/dev/null、GIT_TERMINAL_PROMPT=0)的唯一属主是
  * `gitSubprocessEnv({ isolateConfig: true })` —— 修前这三键写在这里、由 `runGit` 叠在 `{ ...process.env }` 上,一件姿势两个写者,
  * 而剥密恰好落在两者之外。锚点随之移到真 spawn 的 env 上(`test/secret-env-scrub-host-legs.test.ts` R2:假 git 读到的整份 env)。
  */
@@ -85,7 +85,7 @@ export interface ApplyPluginsResult {
 }
 /**
  * 装载器**会物化**的插件(按声明序)—— 每条声明过**同一只**判定 {@link validatePluginDecl},只留 `ok` 的
- * `{name, url, sha?}`。restart 指纹(`web-admin-client/restart-signal.ts` 的 skills 片,S-668 波 0)读的就是它:
+ * `{name, url, sha?}`。restart 指纹(`web-admin-client/restart-signal.ts` 的 skills 片,[ref] 波 0)读的就是它:
  * 装载器不读的字段(notes / version)、整条跳过的声明(`enabled:false` / marketplace 源 / 白名单外 host / 坏形)
  * 在这里一并消失,于是「重启之后什么都不会变」的发布不签重启(codex 对抗复审 r1 [medium]);顺序保留 ——
  * 撞名让位按声明序,对调两条是真变化。`allowHosts` 与装载时同一份(部署事实 `PLUGINS_ALLOW_HOSTS`)。
@@ -105,8 +105,8 @@ export declare function applyCenterPlugins(baseline: LoadedSkill[], eff: {
     cacheRoot: string;
     allowHosts: readonly string[];
     /**
-     * S-379 —— 「**工具跑的那台机器**的盘就是本进程这台盘吗」,由**组合根**算好传入(`boot/web-admin.ts` 传 `toolsRunOnThisHost(config)`,与出厂自扫
-     * `loadDeploymentSkills` 读的是同一只函数 —— 判据属主在 `task-cwd.ts`,这里不第二次判车道、不 import 车道词)。真 ⇒ 目录形 plugin 技能带上自己的
+     * [ref] —— 「**工具跑的那台机器**的盘就是本进程这台盘吗」,由**组合根**算好传入(`boot/web-admin.ts` 传部署形表行 `toolsOnThisHost` 的答案,与出厂自扫
+     * `loadDeploymentSkills` 读的是同一行 —— 判据属主在 `deployment-shape.ts`,这里不第二次判车道、不 import 车道词)。真 ⇒ 目录形 plugin 技能带上自己的
      * 目录(`SkillSpec.baseDir`:`Skill` 结果首行 + `${SKILL_ROOT}` 替换);假 ⇒ 不带(fail-closed:沙箱 / 远端车道上这条路径在工具那边不存在)。
      * 🔴 **必填,不给缺省**:修前这个调用点手上根本没有这一事实,fail-closed 默认把 host 车道也一并挡成「永不带」而没有任何红 —— 必填让「漏传」是编译错。
      */

package/dist/capabilities/center-plugins.js

@@ -196,7 +196,7 @@ export async function applyCenterPlugins(baseline, eff, opts) {
             }
             if (!rootCheck.dir)
                 continue;
-            const loaded = loadSkills(rootCheck.dir, { confineTo: liveDir, toolsShareThisFilesystem: opts.toolsShareThisFilesystem, ...(opts.logger !== undefined ? { logger: opts.logger } : {}) });
+            const loaded = loadSkills(rootCheck.dir, { source: "center", confineTo: liveDir, toolsShareThisFilesystem: opts.toolsShareThisFilesystem, ...(opts.logger !== undefined ? { logger: opts.logger } : {}) });
             for (const skill of loaded) {
                 if (taken.has(skill.spec.name)) {
                     out.letGo.push({ plugin: v.name, skill: skill.spec.name });

package/dist/capabilities/center-prompts.d.ts

@@ -30,7 +30,7 @@ export interface CenterSourceTransitions {
     applyDisabled(sourceRevision: string): Promise<void>;
     /** codex-2 F2(restart-owed disable):撤下写盘失败后重启,内存 prev 丢了但持久态还 active —— 以中心源自身的活候选为准判「欠撤下」,不是只看内存 prev。 */
     current?(): unknown;
-    /** S-651(codex 修复验证轮 V1):本箱**持久记录**是 active —— 即使那份 artifact 此刻加载不出(活候选为空)。「欠撤下」的真源是持久记录;
+    /** [ref](codex 修复验证轮 V1):本箱**持久记录**是 active —— 即使那份 artifact 此刻加载不出(活候选为空)。「欠撤下」的真源是持久记录;
      *  活候选只是它能加载时的影子。缺席 = 调用方不掌握持久记录(沿用前两条判据)。 */
     persistedActive?(): boolean;
 }

package/dist/capabilities/center-wiring.d.ts

@@ -1,5 +1,5 @@
 /**
- * S-866 ②(设计稿 v1.1 §2②)—— caps `centerWiring`:「这台引擎**此刻**是不是真的接着中心,调用者的额度是不是真的在执行」。
+ * [ref] ②(设计稿 v1.1 §2②)—— caps `centerWiring`:「这台引擎**此刻**是不是真的接着中心,调用者的额度是不是真的在执行」。
  *
  * 7.105.0 及以前这几件事只有日志和 gauge 知道:拉取、租约、用量三条腿各自沉默 —— 租约鉴权失败 / 中心不可达一律放行,调用方
  * 与运维面板都读不出「额度现在没人在判」。本键把它们收成一个读面(调用方面;运维面仍是 `/health` 与 `GET /v1/diagnostics/wiring`)。

package/dist/capabilities/composite-members.d.ts

@@ -1,5 +1,5 @@
 /**
- * S-129 ③ 残余(车QX)—— `GET /v1/capabilities` **复合能力位的成员闭集**(单点)。
+ * [ref] ③ 残余(车QX)—— `GET /v1/capabilities` **复合能力位的成员闭集**(单点)。
  *
  * ## 病
  * 能力位的**顶层键**早有闭集(契约附录 B.1,`test/capabilities-doc-appendix.test.ts` 双向对拍),wire 变更清单

package/dist/capabilities/execution-lane.d.ts

@@ -1,19 +1,19 @@
 import { type ExecutionLane, type RemoteExecProvider } from "../execution-lane-caps.js";
 export interface ExecutionLaneCapability {
-    /** 本部署的执行车道词(闭集 = {@link ExecutionLane} 八词;`REMOTE_EXEC` 未设 ⇒ `"in-process"`,见头注 S-602 段)。 */
+    /** 本部署的执行车道词(闭集 = {@link ExecutionLane} 八词;`REMOTE_EXEC` 未设 ⇒ `"in-process"`,见头注 [ref] 段)。 */
     readonly provider: ExecutionLane;
     /** 工具跑的那台机器就是本进程这台吗(= server 盘上的绝对路径对模型的工具有没有意义)。
-     *  属主 = `task-cwd.ts` 的 {@link toolsRunOnThisHost},与 `skills[].baseDir` 的铸点同一只函数。 */
+     *  属主 = 部署形表行 `toolsOnThisHost`,与 `skills[].baseDir` 的铸点同一行。 */
     readonly toolsOnThisHost: boolean;
-    /** S-281:手在不在 OS 级隔离边界里(容器 / microVM / Kata pod)。**present-iff 本车道有手**(能力表 `coreRemoteExecutionEnv`);
-     *  值 = {@link laneIsolated}(能力表 `isolation` 位,与 boot `remote_exec_enabled.isolated` 同一只)。见头注 S-281 段。 */
+    /** [ref]:手在不在 OS 级隔离边界里(容器 / microVM / Kata pod)。**present-iff 本车道有手**(能力表 `coreRemoteExecutionEnv`);
+     *  值 = {@link laneIsolated}(能力表 `isolation` 位,与 boot `remote_exec_enabled.isolated` 同一只)。见头注 [ref] 段。 */
     readonly isolated?: boolean;
 }
 /**
  * 部署席 → 消费端窄投影。形照 `projectWebSearchCapability` / `projectSqlEngineCapability`:
  * 不碰 config.ts(只从车道表模块取词与归一读口,那是叶),于是本模块是叶。
  *
- * 🔴 本处**不写**任何缺席折词(S-602 门 D):缺席归一只在 {@link executionLaneOf} 一处。
+ * 🔴 本处**不写**任何缺席折词([ref] 门 D):缺席归一只在 {@link executionLaneOf} 一处。
  */
 export declare function projectExecutionLaneCapability(config: {
     readonly remoteExec?: {

package/dist/capabilities/execution-lane.js

@@ -1,11 +1,11 @@
-import { toolsRunOnThisHost } from "../task-cwd.js";
+import { DEPLOYMENT_SHAPE_PREDICATES } from "../deployment-shape.js";
 import { executionLaneOf, laneIsolated, laneWiresExecutionEnv } from "../execution-lane-caps.js";
 export function projectExecutionLaneCapability(config) {
     const lane = executionLaneOf(config.remoteExec?.provider);
     const handsWired = laneWiresExecutionEnv(lane);
     return {
         provider: lane,
-        toolsOnThisHost: toolsRunOnThisHost(config),
+        toolsOnThisHost: DEPLOYMENT_SHAPE_PREDICATES.toolsOnThisHost.holds(config),
         ...(handsWired ? { isolated: laneIsolated(lane) } : {}),
     };
 }

package/dist/capabilities/hands-lane.d.ts

@@ -12,7 +12,7 @@
  *     不是静默继承 full(词表闭集纪律)。
  *  ② {@link HANDS_EXCLUSIVE_TOOL_NAMES} + {@link handsDenyPolicy} —— 纵深:hands=none 的任务即便被误接到
  *     有手 Runner 上,手独占名单逐一 deny。**不是**主保证(主保证是根本不挂 factory ⇒ 工具面不可见)。
- *  ③ {@link stampHandsLane} / {@link handsLaneOf} —— 车道作为 TaskSpec 上的**显式字段**(S-149):
+ *  ③ {@link stampHandsLane} / {@link handsLaneOf} —— 车道作为 TaskSpec 上的**显式字段**([ref]):
  *     resolveSpec 出口铸一次,执行点读一次,**缺席即拒**(不是回落最宽车道)。
  */
 import { type Runner, type TaskSpec, type ToolPolicy } from "@sema-agent/core";
@@ -26,7 +26,7 @@ export type ScenarioHands = "full" | "none";
  * **LSP 的 manager 座照传,不摘**:挂不挂 LSP 由引擎一处决定 —— core 7.49.2 起 LSP 只在「有手腿 ∧ 接了 manager 座」的腿上挂,无手腿
  * (`hands=none` 的场景、委派子代、后台代理)天然没有。本仓此前在这里再摘一次 `lspManager`(宿主车道的 `NodeLspManager` 经
  * `defaultLspReadText` 直读本地盘、没有读面围栏,当年引擎还会在 StubExecutionEnv 上挂它),是同一件事的第二只写者:引擎一旦决定
- * 它自己的读法,两处只会各改各的。引擎的读数钉在 `test/scenario-hands-lane.test.ts` 的 S-1502 段(同一份含 manager 座的 deps,有手腿 roster 有
+ * 它自己的读法,两处只会各改各的。引擎的读数钉在 `test/scenario-hands-lane.test.ts` 的 [ref] 段(同一份含 manager 座的 deps,有手腿 roster 有
  * `LSP`、无手孪生没有)。
  */
 export declare function withoutHands<T extends {
@@ -69,7 +69,7 @@ export declare function runHasWorkspace(hands: ScenarioHands, laneHasHands: bool
  * (test/scenario-hands-lane.test.ts 格7/格8 双钉:真 Runner 过审计 + 零交集门)。
  * filter 打在**整表**(effect 表 + 锚定补集)之后 —— caret floor 下装置会解析到更新的 core,
  * 补集名哪天被退役,只滤前半就是同一次故障换个名字(codex 复审 finding,2026-08-09)。
- * S-1047(core 7.41.0 #1156):判据换成 core 导出的**那一只** `judgeRuleToolName`(策略名审计、会话规则店、本仓写口与配置表同调)——
+ * [ref](core 7.41.0 [ref]):判据换成 core 导出的**那一只** `judgeRuleToolName`(策略名审计、会话规则店、本仓写口与配置表同调)——
  * 修前这里直读 `RETIRED_TOOL_NAMES` 表,是本仓第三份「这是不是旧名」的手写判据。名册 = 空集(这张 deny 名单不挂在任何一跑的名册上判)。
  */
 export declare const HANDS_BAND_TOOL_NAMES: readonly string[];
@@ -87,7 +87,7 @@ export declare const HANDS_BAND_TOOL_NAMES: readonly string[];
 export declare const HANDS_DUAL_USE_TOOL_NAMES: readonly string[];
 export declare const HANDS_EXCLUSIVE_TOOL_NAMES: readonly string[];
 /**
- * S-1376:办公向场景(`cowork`)**保留**的手带工具 —— 文件读三件。办公场景挂手(`hands: "full"`:run 有工作区,附件 `path` 受理,这三件要这只手),
+ * [ref]:办公向场景(`cowork`)**保留**的手带工具 —— 文件读三件。办公场景挂手(`hands: "full"`:run 有工作区,附件 `path` 受理,这三件要这只手),
  * 但不带编码类工具;「编码类」的定义是**手独占名单减去这张保留表**({@link OFFICE_EXCLUDED_TOOL_NAMES}),不是另抄一张编码工具名单:
  * core 往 band 里加新的手带工具,办公场景**默认就卸它**(fail-closed),要保留得在这里显式点名并过评审。
  * 保留表里每一项必须是 band 全集的成员(对表钉在 `test/cowork-scenario.test.ts`)。
@@ -114,7 +114,7 @@ export declare function tightenWithHandsDeny(base: ToolPolicy | undefined): Tool
 /** 装配点的取用形:`full` 原样放行基线,`none` 叠 deny。**穷举 switch**,无缺省臂。 */
 export declare function toolPolicyForHands(hands: ScenarioHands, base: ToolPolicy | undefined): ToolPolicy | undefined;
 /**
- * 执行车道在 TaskSpec 上的**显式字段键**(S-149;修前是一张以 spec **对象身份**为键的 WeakMap 旁表)。
+ * 执行车道在 TaskSpec 上的**显式字段键**([ref];修前是一张以 spec **对象身份**为键的 WeakMap 旁表)。
  *
  * 为什么是 symbol 而不是字符串键:`TaskSpec` 是**上游 core 的类型面**,一个字符串键会进
  * `Object.keys` / `JSON.stringify` / core 自己的键审计,等于 server 在别人的契约上私自加一个键;

package/dist/capabilities/mcp-probe.d.ts

@@ -1,7 +1,7 @@
 /**
- * S-481 —— **无 run 可读的逐台 MCP 状态面**的 server 半场(设计稿 `2026-09-19-s481-mcp-status-face-v1`)。
+ * [ref] —— **无 run 可读的逐台 MCP 状态面**的 server 半场(设计稿 `2026-09-19-s481-mcp-status-face-v1`)。
  *
- * ## 病(deploy 报案 I-1 / cli L-303)
+ * ## 病(deploy 报案 I-1 / cli [ref])
  * 壳的一次性命令(`sema mcp list`)与交互会话对同一台 MCP 服务器给出**相反**的答案:命令行报 Failed、
  * 会话里那台 server 的工具却能用。根因不是判定不同,而是**没有面** —— 一个从未起过 run 的会话在本服务上
  * 只有 `GET /v1/capabilities.mcp` 那一枚布尔,壳只能自己去拨号、自己造词。
@@ -33,6 +33,7 @@
  *    在 core 那边没有任何期限(core `docs/KNOWN-LIMITS.md`)—— 那一形上本面同样没有期限,补偿只有限速与缓存。
  */
 import { type McpServerSpec } from "@sema-agent/core";
+import type { UrlCredentialFacts } from "../url-credential.js";
 /**
  * 本面的**拒码闭集**(设计稿 §2 的四枚)。闭集写成型,是为了让 {@link MCP_PROBE_HTTP_STATUS} 那张表
  * 「漏一枚 = 编译红」—— [ref] 的安全轴纪律:词表是闭集,未处置的成员必须是编译错误而不是运行期惊喜。
@@ -40,7 +41,7 @@ import { type McpServerSpec } from "@sema-agent/core";
 export declare const MCP_PROBE_REFUSAL_CODES: readonly ["capability.mcp_injection_required", "limit.rate_exceeded", "request.body_shape", "request.field_invalid", "state.mcp_probe_incomplete"];
 export type McpProbeRefusalCode = (typeof MCP_PROBE_REFUSAL_CODES)[number];
 /**
- * 🔴 **状态档取单表**(`GOVERNANCE_HTTP_STATUS` 的同族形,S-201② 的那条律):一个码在本服务上只有**一个**
+ * 🔴 **状态档取单表**(`GOVERNANCE_HTTP_STATUS` 的同族形,[ref]② 的那条律):一个码在本服务上只有**一个**
  * 状态,而路由层**一个字面量都不许手写**。写成 `as const satisfies` 两头都占:格是字面量型(直接当
  * `sendError` 的状态参数用,零 `?? 400` 兜底 —— 兜底就是第二份真源),`satisfies` 保住闭集门。
  */
@@ -52,7 +53,7 @@ export declare const MCP_PROBE_HTTP_STATUS: {
     readonly "state.mcp_probe_incomplete": 503;
 };
 /**
- * 每 principal 的固定窗限速。**刻意不挂任何无关旋钮**(S-470 的同一条教训,`DEVICE_ENROLL_RATE_POLICY`
+ * 每 principal 的固定窗限速。**刻意不挂任何无关旋钮**([ref] 的同一条教训,`DEVICE_ENROLL_RATE_POLICY`
  * 先例):全局 `RATE_LIMIT_RPM` 缺省是 `0` = 关断,把一条真拨号的面挂在它上面 = 出厂形不限速。
  * 12/60s 是**安全地板**,不是可调参数;窗是**每副本**的(多副本部署上有效上界 = 12 × 副本数,如实记)。
  */
@@ -157,6 +158,8 @@ export interface McpProbeRefusal {
     readonly message: string;
     /** `request.body_shape` 专用:词表外 / 本面不接线的键,全路径形(已清洗+截断+排序+封顶)。 */
     readonly unknownKeys?: readonly string[];
+    /** [ref]:申报的 `transport.url` 带凭据 ⇒ `field` + `reason`(与提交腿同一只回答者交回的同一组机读位,原样转述)。 */
+    readonly facts?: UrlCredentialFacts;
 }
 /**
  * `POST …/probe` 的体读器:闭形、逐条点名、零静默丢。成功 ⇒ 交给 core 的 `specs`(**原样**转发被读出来的
@@ -164,7 +167,7 @@ export interface McpProbeRefusal {
  *
  * ## 申报「能不能原样用」:问提交腿 fresh 门**同一只**回答者,不另判
  * 本面只判自己那一层(体是对象、顶层只受理 `mcpServers`、这个键必填);`mcpServers` 本身 —— 列表的形、上限、每条的键名与键值 —— 全部交给
- * `task-mcp.ts` 的 `requestMcpDeclarationRefusal`,拒(码 + 句 + `unknownKeys`)原样转述:同一份申报在两扇门上只有一个答案,零拨号之前就给。
+ * `task-mcp.ts` 的 `requestMcpDeclarationRefusal`,拒(码 + 句 + `unknownKeys` + url 带凭据那一形的 `field` / `reason`)原样转述:同一份申报在两扇门上只有一个答案,零拨号之前就给。
  * 回答者受理的申报由**同一只**读器(`validateRequestMcp`)交回,读器的产物就是申报本身(只差判官自己的合法归一),经 `toCoreMcpServerSpec`
  * 得到的就是一条任务提交会交给引擎的那一份 —— 本面拨的正是它。读器只在回答者受理之后才跑,所以它对重放存量 body 才有的降级留痕
  * (`source` 写坏的 F 类丢弃)不会在一次被拒的探测上虚记。
@@ -237,7 +240,7 @@ export interface McpProbeLocal {
 /** 带行为的东西 ⇒ `create*`(工厂命名律:`build*` 出纯数据,`create*` 出活对象)。 */
 export declare function createMcpProbeLocal(): McpProbeLocal;
 /**
- * S-1734 —— 一行的**本面独有**两键:`toolNames` / `toolNamesTruncated`。两条口走同一只 {@link createMcpProbeWalk},
+ * [ref] —— 一行的**本面独有**两键:`toolNames` / `toolNamesTruncated`。两条口走同一只 {@link createMcpProbeWalk},
  * 所以这是它们**唯一**的铸点。
  *
  * ## 来源只有一个
@@ -308,7 +311,7 @@ export declare function buildMcpInjectionRefusal(): McpProbeRefusal;
  *
  * ⚠️ **如实交代一条覆盖边界**:全仓的 `api-error-text-freeze` 门锚的是 `sendError(res, <字面三位数>,
  * "<字面码>", …)`,而本面刻意**不在调用点写字面状态**(状态从 {@link MCP_PROBE_HTTP_STATUS} 单表取,
- * S-201② 那条律),于是这四句结构上够不着那道门。⇒ 它们由 `test/mcp-status-face-s481.test.ts` 的
+ * [ref]② 那条律),于是这四句结构上够不着那道门。⇒ 它们由 `test/mcp-status-face-s481.test.ts` 的
  * 「四句逐字节」那一格钉住(改一个字当场红)。把那道全局门扩到「常量表出站」形是另一台车。
  */
 export declare function buildMcpProbeRateRefusal(): McpProbeRefusal;

package/dist/capabilities/sandbox-file-send.d.ts

@@ -21,7 +21,7 @@
  * silently). But the TENANT judgment INVERTS: an ssh peer is ONE persistent real machine shared by every
  * task (sshExecutionEnvFactory ignores ctx — same host + same mountPath for all tasks; destroy() only
  * disconnects, files persist; capabilities.isolation:false). "Scoped read = tenant boundary" does NOT
- * hold there, so the ssh lane is SINGLE-USER ONLY (same gate as host) — see `sandboxSendLaneEnabled`.
+ * hold there, so the ssh lane is SINGLE-USER ONLY (same gate as host) — the deployment-shape row `sandboxSendUserFile`.
  *
  * The presigned PUT URL is a capability secret: it never enters model context (the tool returns delivery
  * metadata only) and is REDACTED from every error surfaced from here (curl stderr may echo the URL).
@@ -74,23 +74,6 @@ export declare class TaskEnvRegistry {
      *  here forever; the bounded-size backstop covers any remaining no-destroy crash path. */
     wrapFactory(factory: ExecutionEnvFactory): ExecutionEnvFactory;
 }
-/**
- * Which REMOTE_EXEC lanes may register the sandbox-send TaskEnvRegistry (and thus mount the sandbox-lane
- * SendUserFile source), under which tenancy gate. The judgment per lane (2026-07-14 ssh backfill review):
- *
- *  - e2b / k8s: one task = one disposable sandbox; the sandbox filesystem IS the tenant's task workspace,
- *    so a sandbox-scoped read is tenant-scoped by construction → open to any tenant.
- *  - ssh: the peer is ONE persistent real machine SHARED across tasks (factory ignores ctx: every task
- *    gets the same host+mountPath; destroy=disconnect only, files persist). Tenant A's task can read the
- *    residue of tenant B's task → the isolation premise FAILS. Multi-tenant here would be an
- *    arbitrary-host-path-read → public-URL exfil face, so the lane opens ONLY single-user
- *    (`requirePrincipal !== true`), the exact gate the host lane uses. NOT a lane to "fix later with a
- *    per-task workspace": tasks legitimately operate outside any workspace on a real host ([ref] —
- *    batch deployment), so per-task dirs would not restore the boundary anyway.
- *  - adb / local-docker / host / unset: no registry (host+unset use the local-fs source in main.ts;
- *    adb/local-docker remain a follow-on).
- */
-export declare function sandboxSendLaneEnabled(provider: string | undefined, requirePrincipal: boolean): boolean;
 /** Strip the capability URL (and any SigV4 signature) from text before it reaches an error/log — including
  *  the percent-encoded forms an adapter may echo (the k8s exec transport carries the command in a request
  *  URI, so an error can quote the URL re-encoded; codex review MED). */

package/dist/capabilities/sandbox-file-send.js

@@ -79,13 +79,6 @@ export class TaskEnvRegistry {
         };
     }
 }
-export function sandboxSendLaneEnabled(provider, requirePrincipal) {
-    if (provider === "e2b" || provider === "k8s")
-        return true;
-    if (provider === "ssh")
-        return requirePrincipal !== true;
-    return false;
-}
 export function redactPutUrl(text, url) {
     return text
         .split(url)