@sema-agent/server 7.75.0 → 7.75.1

package/README.md

@@ -194,6 +194,19 @@ boundary) — the side-by-side table is in `USAGE.md`, worth reading before pick
 Web search (deployment `WEB_SEARCH_*` env, per-request `settings.webSearch`, the two-lane precedence
 and the tool-level error forms) is documented in `USAGE.md` §9.5.
 
+## Security & privacy note
+
+> 🔴 **Trace redaction ≠ egress control** (anchor: 脱敏 ≠ 出站控制). Trace redaction (the `«redacted»` markers you see in the
+> ledger / SSE / turns / approval previews) only rewrites the **persistence and display** surfaces —
+> **the request body carrying a tool result to the model's actual route is the original, unredacted
+> text.** That route is not just `MODEL_GATEWAY_BASEURL`: it can also be the fallback gateway list
+> (`MODEL_GATEWAY_FALLBACK_URLS`), an independent Anthropic route for `provider:"anthropic"` models
+> (defaults to `https://api.anthropic.com` unless `ANTHROPIC_BASEURL` is set), or a per-model `baseUrl`
+> override the registry can hand a single catalog model (see `docs/ARCHITECTURE.md` §10). To keep
+> content from leaving the machine, rely on the **read-side sensitive-path gate** and confirm **every
+> route this deployment can select** points at infrastructure you control — pointing only the default
+> gateway env at a private endpoint is not sufficient. Verification method: `USAGE.md` §9.6.
+
 ## HTTP API overview
 
 One row per endpoint family (not exhaustive):

package/README.zh-CN.md

@@ -173,6 +173,16 @@ curl -s localhost:8090/v1/tasks -H "Authorization: Bearer <SERVICE_AUTH_TOKEN>"
 Web search(部署 env `WEB_SEARCH_*` 七键、per-request `settings.webSearch`、两车道优先级、工具层错误形)
 见 `USAGE.md` §9.5。
 
+## 安全与隐私提示
+
+> 🔴 **trace 脱敏 ≠ 出站控制。** trace 脱敏(你在账本 / SSE / turns / 审批预览里看到的 `«redacted»`
+> 标记)只作用于**持久化与展示面**——**发往「该 run 实际选中的模型路由」的请求体是工具结果原文**。
+> 这条路由不止 `MODEL_GATEWAY_BASEURL` 一根:还可能是备用网关列表(`MODEL_GATEWAY_FALLBACK_URLS`)、
+> `provider:"anthropic"` 模型的独立直连路由(缺省根 `https://api.anthropic.com`,除非显式配
+> `ANTHROPIC_BASEURL`)、或配置中心可对单个目录模型下发的 per-model `baseUrl` 覆盖(见
+> `docs/ARCHITECTURE.md` §10)。要让内容不出机器,靠**读侧敏感路径门**,并核对**本部署会被选中的每一条
+> 路由**都指向自己控制的基础设施——只把默认网关 env 指到私有端点是不够的。验法见 `USAGE.md` §9.6。
+
 ## HTTP API 概览
 
 一行一个端点族(非全量):

package/USAGE.md

@@ -1512,3 +1512,27 @@ TOC 本地形)时被读取;`REQUIRE_PRINCIPAL=true`(多租户)上这个键**结
 `SEMA_WEBSEARCH_KEY_<PROVIDER>` 这样的命名空间存放每个 provider 的 key,由壳在本地读出后把明文塞进请求体;
 这纯粹是**客户端约定**,本仓不读取、不校验、也不感知任何这类客户端侧 env 命名(这条命名事实来自任务书,
 本车未读 cli 源码核实,列入收车档「未闭环」)。
+
+### 9.6 trace 脱敏的射程:与出站请求体无关
+
+🔴 **脱敏 ≠ 出站控制**:trace 脱敏(账本 / SSE / turns / 审批预览里的 `«redacted»` 标记)只作用于
+**持久化与展示面**——**工具结果发往「该 run 实际选中的模型路由」的请求体是原文**。⚠️ 「实际选中的路由」
+不等于 `MODEL_GATEWAY_BASEURL` 一根:本部署的模型出口至少四条——默认网关(`MODEL_GATEWAY_BASEURL`)、
+备用网关(`MODEL_GATEWAY_FALLBACK_URLS`,failover 拓扑参与)、`provider:"anthropic"` 模型的**独立直连
+路由**(缺省根 `https://api.anthropic.com`,除非显式配 `ANTHROPIC_BASEURL`)、以及配置中心可对**单个
+目录模型**下发的 per-model `baseUrl` 覆盖(见 `docs/ARCHITECTURE.md` §10「Trace/redaction」)。要让内容
+不出机器,靠**读侧敏感路径门**(`READ_DENY_PATTERNS` 等,见 §「执行 lane 与租户门」附近)并核对**上述
+四条路由每一条**都指向自己控制的基础设施——只把 `MODEL_GATEWAY_BASEURL` 指到私有网关、放着
+`provider:"anthropic"` 或某个目录模型的 `baseUrl` 覆盖不管,那部分流量仍走公网原厂,不靠
+`src/trace/redact.ts` 这个脱敏器——它自述「不是穷举的」,即便是穷举的也只管持久化/展示这一面(且它同时
+被项目记忆注入、hook asyncRewake 唤醒文本这两条**反方向**调用复用——那两条是"先脱敏、脱敏结果才给模型
+看",与工具结果这一条方向相反,验法时别混)。
+
+**怎么验(运维口令)**:用自控转发代理截获**每一条生效路由**的出站体核对——不能只把 `MODEL_GATEWAY_BASEURL`
+指向自己起的转发代理,还要按部署实际配置的路由数量逐条起代理(默认网关一个 + 每条备用网关一个 +
+`ANTHROPIC_BASEURL` 一个,如果 `provider:"anthropic"` 在用);代理记录经过的每个请求体后原样转发给真
+网关,跑一条会产出敏感格式(如一个明文 token)的工具结果,比对代理记下的出站 `messages[]` 里
+`role:"tool"` 的内容与该 run 的 trace/SSE 拷贝:出站体应为**原文**,trace 拷贝应为 `«redacted…»`。两者
+不同,即验证「脱敏只发生在持久化/展示面,不发生在出站面」这句话为真——**若代理本身继续把请求转发到外部
+模型服务,即便截获成功,也不满足「内容不出机器」这个更高的目标,截获只证明了脱敏的射程,不证明数据没有
+离开你控制的边界**。

package/dist/http/routes/runs.js

@@ -1,5 +1,6 @@
 import { persistedPlaneOf } from "../../terminal.js";
 import { memoRedactedRead, memoRedactTerminalResult, redactErrorMessage, redactHead, redactLedgerEventData, redactTerminalResult } from "../../observability/run-terminal-log.js";
+import { isModelTextLedgerEventType } from "../../trace/ledger-events.js";
 import { z } from "zod";
 import { uuidv7, mintCheckpointToken, CheckpointError, validatePendingSteer } from "@sema-agent/core";
 import { isTerminalRunStatus, isParkedRunStatus } from "../../plugins/store-contracts.js";
@@ -139,7 +140,9 @@ async function streamRunEvents(req, res, deps, runStore, taskId, staleMs) {
             const type = normalizeRunEventType(ev.type);
             const redacted = type === "done" && ev.data && typeof ev.data === "object" && ev.data.result && typeof ev.data.result === "object"
                 ? { ...ev.data, result: memoRedactTerminalResult("ev.done.result", ev.data.result) }
-                : type === "failed" ? memoRedactedRead("ev.failed", ev.data, (d) => redactLedgerEventData(type, d)) : redactLedgerEventData(type, ev.data);
+                : type === "failed" ? memoRedactedRead("ev.failed", ev.data, (d) => redactLedgerEventData(type, d))
+                    : isModelTextLedgerEventType(type) ? memoRedactedRead("ev.model-text", ev.data, (d) => redactLedgerEventData(type, d))
+                        : redactLedgerEventData(type, ev.data);
             const data = screenedStoredEventData(type, redacted);
             return { id: ev.seq, event: type, data: { type, ...(data ?? {}) } };
         },

package/dist/http/server.js

@@ -33,7 +33,7 @@ import { TERMINAL_PARK_GATE_KINDS } from "../plugins/checkpoint-store-sql.js";
 import { createWallClockJumpGuard } from "../wall-clock-jump-guard.js";
 import {} from "../observability/rate-limit.js";
 import { withPrincipal } from "../observability/principal-context.js";
-import { turnEndEventData, contextUsageEventData, toolStartEventData, toolEndEventData, taskProgressEventData, taskNotificationEventData, compactedEventData, diagnosticsEventData, brainStatusEventData, steeringInjectedEventData, compactionOutcomeEventData, workspaceChangedEventData, wiringManifestEventData, toolRosterDeltaEventData, humanInputEventData, appendModelUsageDelta, appendPromptManifest, attachModelUsage } from "../trace/project.js";
+import { modelTextEventData, turnEndEventData, contextUsageEventData, toolStartEventData, toolEndEventData, taskProgressEventData, taskNotificationEventData, compactedEventData, diagnosticsEventData, brainStatusEventData, steeringInjectedEventData, compactionOutcomeEventData, workspaceChangedEventData, wiringManifestEventData, toolRosterDeltaEventData, humanInputEventData, appendModelUsageDelta, appendPromptManifest, attachModelUsage } from "../trace/project.js";
 import { redactSecrets } from "../trace/redact.js";
 import { createLedgerSink, createSerialLedgerAppend } from "../trace/ledger-sink.js";
 import { registerEngineNoticeLeg } from "../trace/engine-notice-wire.js";
@@ -1561,11 +1561,11 @@ export function createHttpServer(rawDeps) {
                 const anchor = new TurnAnchorCapture(captureTurnAnchor, () => deps.metrics?.inc("resume_anchor_capture_failed"), captureUserMessageAnchor);
                 const flush = async () => {
                     if (reasoning) {
-                        await append("reasoning", { text: redactSecrets(reasoning) });
+                        await append("reasoning", modelTextEventData({ text: reasoning }));
                         reasoning = "";
                     }
                     if (text) {
-                        await append("text", { text, ...(anchor.firstTextEventId ? { eventId: anchor.firstTextEventId } : {}) });
+                        await append("text", modelTextEventData({ text, eventId: anchor.firstTextEventId }));
                         text = "";
                     }
                 };

package/dist/observability/run-terminal-log.d.ts

@@ -54,6 +54,34 @@ export declare const REDACT_INPUT_CAP = 65536;
  *  脱敏**之后**按字节封顶(占位已替换完,切在占位中间不是泄漏)并带标记。 */
 export declare const REDACT_OUTPUT_MAX_BYTES = 65000;
 export declare function redactErrorMessage(raw: string | undefined): string | undefined;
+/**
+ * 🔴 **模型自由文本的唯一装载口**(B-106 / S-268,7.75.1)——`TaskResult.result` / `TaskResult.salvagedOutput`
+ * 与账本的 `text` / `reasoning` 两行,四座同调本函数。
+ *
+ * 它**不是第二只脱敏器**:零自有规则表、零自有词表,判「什么算凭据」的仍然只有 {@link redactSecrets} 一只。
+ * 本函数只定两件**写回**的事,而这两件事在三条既有纪律面前各只有一个正确答案:
+ *
+ * ① **认出凭据形才改写字节;没认出就回原串**(codex 对抗复审 r1 [medium],亲核实测后修)。
+ *    `redactSecrets` 自 S-103 起**无条件先剥** `\p{Cf}`,所以 `redactSecrets(x) !== x` 对任何含 Cf 的文本都为真 ——
+ *    实测:`👨‍👩‍👧`(ZWJ 家庭 emoji)被拆成三个独立 emoji、波斯语 `می‌خواهم`(ZWNJ)被粘成 `میخواهم`。
+ *    诊断文本上这是成文代价(那一族本就要「先扫描后渲染」);**用户最终答复**上它是每一条含 ZWJ/ZWNJ 的
+ *    正常答案被永久改坏,而本件对外的承诺逐字是「不含凭据形的文本逐字节不变」。判据用的是本模块**自己成文的
+ *    那一条**(`redact.ts` 的 `normalizeForRedaction` 顶注:「正确的谓词是 `redactSecrets(x) !== normalizeForRedaction(x)`」),
+ *    既有消费方 `tool-approval.ts` 的规则车道闸用的也是它 —— 一条谓词两处用,不是新规矩。
+ *    ⚠️ **命中那一次仍然给剥后文本**(S-103 的「先扫描后渲染」不动摇):把零宽字符塞进密钥中间的那条文本,
+ *    渲染的必须是剥后那份,否则消费端把残片拼回原钥。
+ * ② **扫描器抛 ⇒ 登记过的占位(fail-closed),不把整条 run 拖下水**(codex r1 [high],亲核实测后修)。
+ *    `redactSecrets` 的 JSON 秘密字段臂仍含多字符循环体(S-106 既有未闭:`(?:\\.[^"\\]*)*`),实测
+ *    `{"password":"<400 万个 \\n 转义对>"}`(8MB)抛 `RangeError`。`result` 接进来之前这条路不存在;接进来之后,
+ *    裸调用会让异常穿过 `redactTerminalResult` → 三孪生 `setTerminal`,**一条跑成功的 run 落成 failed + result:null**
+ *    (实测读数)。⇒ 与本文件既有的 {@link redactErrorMessage} / `redactDiagnosticText` / `redactArtifactText`
+ *    三座**同一条**处置:抛就换占位、计数、留痕([ref] 的 loud,不是静默 fail-open)。丢的是这一条病态文本,
+ *    不是这条 run。根因(那条正则)是 S-106 的独立车,本函数不在复审轮里改它。
+ * ③ **不设体量上限**(裁定):`result` 住在 `result` JSON/JSONB 列(亲核 `plugins/tidb-pool.ts` 与
+ *    `plugins/pg-pool.ts` 的 DDL),数 MB 终稿是正常形 —— {@link redactErrorMessage} 的两道上限是为
+ *    `task_run.error` 那一列 `TEXT(65 535 字节)` 定的,套到这里等于用静默的数据损坏换一次脱敏。
+ */
+export declare function redactModelText(raw: string): string;
 /** {@link redactTerminalResult} 会碰的全部顶层键 = 现行形的 `"redacted"` 行 ∪ 旧形平面键;
  *  `memoRedactTerminalResult` 的记忆键由它派生(两处同源,见 `RESULT_KEY_TREATMENT` 顶注)。 */
 export declare const REDACTABLE_RESULT_LEAVES: readonly string[];
@@ -66,6 +94,10 @@ export declare function redactTerminalResult<T extends {
     remoteEnvFailures?: readonly {
         message?: string | undefined;
     }[] | undefined;
+    /** B-106:模型自由文本两叶 + 引擎披露散文一族。形上同样取 `unknown`(读面纪律,见下)。 */
+    result?: unknown;
+    salvagedOutput?: unknown;
+    rewindNotes?: unknown;
     /** 🔴 形上**故意**是 `unknown`:本函数也是**读面**(旧持久 blob / 非 core Runner 的形不可信),
      *  声明成 `{path,edits}[]` 会逼每一个喂坏形的调用点铸一次宽松断言 —— 而「坏形从哪来」正是本座要
      *  处理的事(同一份不信任在 `remoteEnvFailures` 的实现里也已成文)。运行期逐项判形,不抛。 */
@@ -121,12 +153,18 @@ export declare function redactLeaderResultWithFlag(result: unknown): {
     changed: boolean;
 };
 export declare function memoRedactedRead<T>(seat: string, raw: T, redact: (v: T) => T): T;
-/** run 终态 result 的读面记忆只按**可脱敏的那几叶**(`terminal` 的自由文本臂 / 旧形的两个顶层座 /
- *  `remoteEnvFailures[].message`)做键与留体——
- *  第十六轮重扫:按整块 result 摘要每次轮询要 stringify 一份可能数 MB 的 result,且大 result 的脏行永远存不进去。两叶缺席
+/** run 终态 result 的读面记忆只按**可脱敏的那几叶**({@link REDACTABLE_RESULT_LEAVES},属主是
+ *  `RESULT_KEY_TREATMENT`)做键与留体——
+ *  第十六轮重扫:按整块 result 摘要每次轮询要 stringify 一份可能数 MB 的 result,且大 result 的脏行永远存不进去。叶全缺席
  *  ⇒ O(1) 直返(`redactTerminalResult` 本就同引用)。
  *  🔴 S-136(core 7.6.0 D-8):新形把前两片搬进了 `terminal`(同属一个键,按它整只做叶更省);旧形的两片
- *  **照留**——盘上真有那样的行,而读面纵深正是为它们存在的(codex 对抗复审 r1 [high] 验真后补)。 */
+ *  **照留**——盘上真有那样的行,而读面纵深正是为它们存在的(codex 对抗复审 r1 [high] 验真后补)。
+ *  🔴 **B-106 起「叶全缺席」这条捷径实际上不再触发**(如实写明,不是漏改):`result` 在 core 类型上是
+ *  **必填**串,进了叶集就恒在场 ⇒ 每次读面都要对叶子做一次 sha256。代价是有意接受的,因为省下的那条
+ *  捷径对**含自由文本的 run(即全部 run)**本来就不成立 —— 不把 `result` 放进叶集才是真的漏:
+ *  `memoRedactTerminalResult` 会对它 O(1) 直返明文,读面纵深对这一叶恒不生效(这正是 [ref] 立案时
+ *  `editedFiles` 那一格的病)。读数:8MB result 的一次摘要 ~10ms 量级,远小于一次全扫;干净行仍只摘要
+ *  一次即进 clean 集,脏行超过 {@link READ_MEMO_DIRTY_MAX_ENTRY_BYTES} 时退化为每次重扫(既有形)。 */
 export declare function memoRedactTerminalResult<T extends Parameters<typeof redactTerminalResult>[0]>(seat: string, result: T): T;
 export declare function diffScanShadowCountForTest(): number;
 export declare function resetDiffScanShadowCountForTest(): void;

package/dist/observability/run-terminal-log.js

@@ -1,6 +1,6 @@
 import { createHash } from "node:crypto";
-import { redactSecrets } from "../trace/redact.js";
-import { isParkLedgerEventType } from "../trace/ledger-events.js";
+import { redactSecrets, normalizeForRedaction } from "../trace/redact.js";
+import { isModelTextLedgerEventType, isParkLedgerEventType } from "../trace/ledger-events.js";
 import { isUnsuccessfulRunStatus } from "../plugins/store-contracts.js";
 import { errorText } from "./err-text.js";
 import { recordFailOpen } from "./fail-open.js";
@@ -64,6 +64,20 @@ export function redactErrorMessage(raw) {
         return OVERSIZED_REDACTION_PLACEHOLDER;
     }
 }
+export function redactModelText(raw) {
+    try {
+        const out = redactSecrets(raw);
+        if (out === raw)
+            return raw;
+        if (out === normalizeForRedaction(raw))
+            return raw;
+        return out;
+    }
+    catch (err) {
+        recordFailOpen("server.run-terminal.redact-threw", `model-text len=${raw.length} err=${errorText(err)}`);
+        return OVERSIZED_REDACTION_PLACEHOLDER;
+    }
+}
 const MAX_EDITED_FILES = 1000;
 const RESULT_KEY_TREATMENT = {
     terminal: "redacted",
@@ -74,13 +88,13 @@ const RESULT_KEY_TREATMENT = {
     sessionId: "verbatim",
     model: "verbatim",
     effectiveReasoning: "verbatim",
-    result: "verbatim",
-    salvagedOutput: "verbatim",
+    result: "redacted",
+    salvagedOutput: "redacted",
     apiFailure: "verbatim",
     retryAfterMs: "verbatim",
     degraded: "verbatim",
     structuredOutput: "verbatim",
-    rewindNotes: "verbatim",
+    rewindNotes: "redacted",
     haltedOnUserRejection: "verbatim",
     haltedByUser: "verbatim",
     strandedHumanAnswers: "verbatim",
@@ -167,6 +181,31 @@ export function redactTerminalResult(result) {
             : r.editedFiles;
         changed = true;
     }
+    if (typeof r.result === "string") {
+        const next = redactModelText(r.result);
+        if (next !== r.result) {
+            out.result = next;
+            changed = true;
+        }
+    }
+    if (typeof r.salvagedOutput === "string") {
+        const next = redactModelText(r.salvagedOutput);
+        if (next !== r.salvagedOutput) {
+            out.salvagedOutput = next;
+            changed = true;
+        }
+    }
+    if (r.rewindNotes !== undefined) {
+        out.rewindNotes = Array.isArray(r.rewindNotes)
+            ? r.rewindNotes.map((n) => {
+                if (n === null || typeof n !== "object")
+                    return n;
+                const message = n.message;
+                return typeof message === "string" ? { ...n, message: redactErrorMessage(message) } : n;
+            })
+            : r.rewindNotes;
+        changed = true;
+    }
     return changed ? out : result;
 }
 export function redactLedgerEventData(type, data) {
@@ -184,6 +223,13 @@ export function redactLedgerEventData(type, data) {
             return data;
         return { ...data, errorMessage: redactErrorMessage(msg) };
     }
+    if (isModelTextLedgerEventType(type)) {
+        const text = data.text;
+        if (typeof text !== "string")
+            return data;
+        const next = redactModelText(text);
+        return next === text ? data : { ...data, text: next };
+    }
     if (isParkLedgerEventType(type)) {
         const gate = data.gate;
         const next = redactCheckpointGate(gate);

package/dist/trace/ledger-events.d.ts

@@ -77,6 +77,18 @@ export type LedgerEventType = "reasoning" | "text" | "tool_start" | "tool_end" |
  */
 export declare const PARK_LEDGER_EVENT_TYPES: readonly ["suspended", "needs_review"];
 export type ParkLedgerEventType = (typeof PARK_LEDGER_EVENT_TYPES)[number];
+/**
+ * 🔴 **模型自由文本行名的运行时闭集**(B-106 / S-268)—— 与 {@link PARK_LEDGER_EVENT_TYPES} 同一条理由、
+ * 同一种锁步形。
+ *
+ * 这两行(`text` = 模型写给用户的文本,`reasoning` = 同一支笔的 CoT)是账本上**唯二**逐字携带模型散文的型,
+ * 所以脱敏臂必须按词分派;把词表留在脱敏臂里手抄,就会重演 park 那一案:「仓里加第三个自由文本行名并登记进
+ * `LedgerEventType`,写口照写照落,回放时明文,脱敏臂一声不吭」。
+ */
+export declare const MODEL_TEXT_LEDGER_EVENT_TYPES: readonly ["text", "reasoning"];
+export type ModelTextLedgerEventType = (typeof MODEL_TEXT_LEDGER_EVENT_TYPES)[number];
+/** 模型自由文本行名的**收窄谓词**(与 park 谓词同形)。 */
+export declare function isModelTextLedgerEventType(v: string): v is ModelTextLedgerEventType;
 /** park 行名的**收窄谓词**(消费点要的是「这个词是不是 park 词」+ 类型收窄,不是一次裸 includes)。 */
 export declare function isParkLedgerEventType(v: string): v is ParkLedgerEventType;
 //# sourceMappingURL=ledger-events.d.ts.map

package/dist/trace/ledger-events.js

@@ -1,6 +1,12 @@
 export const PARK_LEDGER_EVENT_TYPES = ["suspended", "needs_review"];
 const _parkWordsAreLedgerTypes = true;
 void _parkWordsAreLedgerTypes;
+export const MODEL_TEXT_LEDGER_EVENT_TYPES = ["text", "reasoning"];
+const _modelTextWordsAreLedgerTypes = true;
+void _modelTextWordsAreLedgerTypes;
+export function isModelTextLedgerEventType(v) {
+    return MODEL_TEXT_LEDGER_EVENT_TYPES.includes(v);
+}
 export function isParkLedgerEventType(v) {
     return PARK_LEDGER_EVENT_TYPES.includes(v);
 }

package/dist/trace/ledger-sink.js

@@ -1,6 +1,5 @@
 import { terminalProjection } from "@sema-agent/core";
-import { redactSecrets } from "./redact.js";
-import { toolStartEventData, toolEndEventData, taskProgressEventData, taskNotificationEventData, compactedEventData, diagnosticsEventData, brainStatusEventData, steeringInjectedEventData, compactionOutcomeEventData, workspaceChangedEventData, wiringManifestEventData, toolRosterDeltaEventData, humanInputEventData, turnEndEventData, contextUsageEventData } from "./project.js";
+import { modelTextEventData, toolStartEventData, toolEndEventData, taskProgressEventData, taskNotificationEventData, compactedEventData, diagnosticsEventData, brainStatusEventData, steeringInjectedEventData, compactionOutcomeEventData, workspaceChangedEventData, wiringManifestEventData, toolRosterDeltaEventData, humanInputEventData, turnEndEventData, contextUsageEventData } from "./project.js";
 import { NotifiedKeys, taskNotificationStreamKey } from "../orchestration/workflow-completion-inbox.js";
 import { isParkLedgerEventType } from "./ledger-events.js";
 export function createSerialLedgerAppend(appendEvent, startSeq) {
@@ -34,11 +33,11 @@ export function createLedgerSink(opts) {
     };
     const flush = async () => {
         if (reasoning) {
-            await append("reasoning", { text: redactSecrets(reasoning) });
+            await append("reasoning", modelTextEventData({ text: reasoning }));
             reasoning = "";
         }
         if (text) {
-            await append("text", { text, ...(textEventId ? { eventId: textEventId } : {}) });
+            await append("text", modelTextEventData({ text, eventId: textEventId }));
             text = "";
         }
     };

package/dist/trace/project.d.ts

@@ -107,6 +107,28 @@ export type TraceBlock = {
     sections?: unknown;
     tools?: unknown;
 };
+/**
+ * 🔴 **模型自由文本账本行(`text` / `reasoning`)的唯一载荷铸点**(B-106 / S-268,7.75.1)。
+ *
+ * ## 为什么是一只函数,而不是两处各写一句
+ * 这两行的载荷此前由**两条腿各自手拼**:`trace/ledger-sink.ts` 的 turn flush 与 `http/server.ts` 的
+ * durable resume 腿 flush。手拼的代价本文件已经付过一次:{@link toolEndEventData} 顶注逐字记着 `label`
+ * 那一案 —— 七个调用点只有三个记得拼,**漏的正是 resume 腿与 ledger-sink 落盘这两处**。
+ *
+ * ## 🔴 脱敏**不在这里**(写口不是脱敏属主)
+ * 两行的字节由模型写,必须脱 —— 但脱敏口是 `observability/run-terminal-log.ts` 的
+ * `redactLedgerEventData`:三孪生 store 的 `appendEvent` 落库前 + `GET /v1/runs/:id/events` 读面各过一次
+ * (幂等)。理由与 park 行逐字同源(`trace/ledger-sink.ts` 的 `appendParked` 顶注是那条规矩的属主):
+ * 写口脱 = 一个语义面上两个写者,且**盖不住存量行**(升级前落下的明文 `text` 行每次重连照样回放)。
+ * 所以本函数只管**形**:哪些键、可选键什么时候在场。
+ *
+ * `eventId` = E18 的 per-message resume 句柄,只有 `text` 行带(`reasoning` 行的调用点不传)——
+ * 条件展开写成直写字面量([ref] 门① 的硬形:键名不许对扫描器隐形)。
+ */
+export declare function modelTextEventData(ev: {
+    text: string;
+    eventId?: string | undefined;
+}): Record<string, unknown>;
 /** The durable `tool_start` event payload, shared by BOTH append sites (runInBackground + the resume leg) so the
  *  persisted shape never drifts: redacted args (UNTRUSTED) + E2 identity. `label`([ref]§三族B:durable 腿
  *  此前剥掉——同一 run live 观看有展示名、replay/resume 退化成 wire 名):core 展示名 verbatim(tail 面

package/dist/trace/project.js

@@ -82,6 +82,9 @@ function identityFields(src) {
         ...(src.parentToolCallId ? { parentToolCallId: String(src.parentToolCallId) } : {}),
     };
 }
+export function modelTextEventData(ev) {
+    return { text: ev.text, ...(ev.eventId ? { eventId: ev.eventId } : {}) };
+}
 export function toolStartEventData(ev) {
     return { toolCallId: ev.toolCallId, toolName: ev.toolName, ...(ev.label !== undefined ? { label: ev.label } : {}), args: redactDeep(ev.args), ...identityFields(ev) };
 }

package/dist/trace/redact.d.ts

@@ -8,6 +8,26 @@
  * tolerated — over-redacting trace text is safe). For sensitive deployments, disable thinking capture entirely
  * via TRACE_THINKING=false. This is a seam — deployments can extend the patterns.
  *
+ * 🔴 **脱敏 ≠ 出站控制**:**工具结果送模主路径**不经过本模块 —— 发往模型的请求体是工具结果**原文**
+ * (模型作为执行体必须见原文;出站改写等于静默改坏用户的真实数据)。⚠️ 这句边界只管这一条路径,别读成
+ * 「本模块从不出现在模型输入路径上」——本模块同时被两条**反方向**调用复用:项目记忆片段注入
+ * (`src/project-memory.ts`,git log/status 与指令文件摘录先脱敏、脱敏结果才拼进注入文本)与 hook
+ * asyncRewake 的唤醒文本(`src/boot/resolve-spec.ts` 的 `wake` 回调,先脱敏再经 `stream.steer` 注入模型)。
+ * 这两条路径是「先脱敏、脱敏后的结果才给模型看」,与工具结果路径的方向相反,不要混淆。要让内容不出机器,
+ * 核对的是**该 run 实际选中的模型路由**——默认网关(`MODEL_GATEWAY_BASEURL`)只是其中一条:还有备用网关
+ * (`MODEL_GATEWAY_FALLBACK_URLS`)、`provider:"anthropic"` 的独立直连路由(缺省根
+ * `https://api.anthropic.com`,除非显式配 `ANTHROPIC_BASEURL`)、以及配置中心可对单个目录模型下发的
+ * per-model `baseUrl` 覆盖(见 `src/brain.ts` 的路由装配与 `src/config-center/apply-effective.ts:416`)。
+ * 靠**读侧**敏感路径门与确保**全部**生效路由都指向自己控制的基础设施,不靠本模块、也不是设一根 env 就够。
+ *
+ * 🔴 **射程自 7.75.1 起含「模型自由文本」全族**(B-106 / S-268):本模块此前在结果面只管诊断/披露文本,
+ * 而**模型自己写的**那一份(`TaskResult.result` / `TaskResult.salvagedOutput` / 账本 `text` 行)整条逐字
+ * 上 wire —— 工具结果送模路径给的是原文,模型把里面的凭据**逐字引用**进答复,那一份就绕过了本模块。
+ * 现在三面与 CoT(账本 `reasoning` 行)走**同一只** `redactSecrets`、同一张替换串表:零第二只脱敏器、
+ * 零 per-face 开关、零体量上限。**装载口只有一只** —— `observability/run-terminal-log.ts` 的
+ * `redactModelText`(四座同调:结果两叶经 `redactTerminalResult`,账本两行经 `redactLedgerEventData`);
+ * 它定的是**写回**判据(认出凭据形才改字节、抛则占位),不是第二张规则表。
+ *
  * 两组臂,顺序即优先序:{@link FULL_SECRET_PATTERNS}(完整形)在前,{@link FRAGMENT_SECRET_PATTERNS}
  * ([ref] 前缀残片,上游先截后脱的产物 ⇒ 带 `:partial` 后缀的 token)在后。
  */

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/server",
-  "version": "7.75.0",
+  "version": "7.75.1",
   "description": "Sema Server — the server/API implementation layer for Sema, wiring core, registry, model providers, and cloud agent execution. Built on @sema-agent/core.",
   "type": "module",
   "license": "BUSL-1.1",
@@ -54,7 +54,7 @@
     "build:binary:run-local:darwin-arm64": "bun build --compile --target=bun-darwin-arm64 src/run-local.ts --outfile dist/run-local-darwin-arm64"
   },
   "dependencies": {
-    "@sema-agent/core": "7.17.2",
+    "@sema-agent/core": "7.17.4",
     "@sema-agent/settings-schema": "1.10.0",
     "e2b": "^2.28.0",
     "libsodium-wrappers": "^0.8.4",
@@ -69,7 +69,7 @@
     "sharp": "^0.35.3"
   },
   "devDependencies": {
-    "@sema-agent/sdk": "9.2.0",
+    "@sema-agent/sdk": "9.3.0",
     "@types/libsodium-wrappers": "^0.7.14",
     "@types/node": "22.10.2",
     "@types/pg": "^8.20.0",