@sema-agent/server 7.85.0 → 7.87.0

package/USAGE.md

@@ -166,7 +166,7 @@ MODEL_DEGRADE_ON=rate_limit,breaker_open   # 可选,反应式触发器子集;词
 - 成本计量**自动开**:从 config 的 `model.cost`(per-1M 绝对 USD)注入 `pricing`,core 算出权威的整数 `costMicroUsd`(避免浮点累计误差)。`/metrics` 新增:`model_cost_micro_usd_total{model}`(覆盖所有 brain 调用=主任务+异步+council 子任务的总花费)、`brain_first_token_ms`(网关 hang 早警)、`brain_call_latency_ms`、`tool_calls_total{name,ok}`、`budget_exceeded_total{code}`、`cost_quota_rejected_total`、`degraded_total{reason}`(1.40 降级)。
 - **近预算降级 vs 硬闸**:降级(`MODEL_DEGRADE_TO`,到 `atCostFraction` 切便宜模型)是**撑长**预算、任务仍完成(出口质量下降、发 `task.degraded` 事件可告警);硬闸(`maxCostUsd` 全额)仍在,切了便宜模型还超全额 → `limits.max_cost_exceeded` 停。
 - **`METRICS_TOKEN`**(可选,只读):设了它,`GET /metrics`+`/metrics/summary` 接受**它或** `SERVICE_AUTH_TOKEN`。**全 fleet 设同一个值** → 管理端(sema-web,规划名 sema-admin)用**一个** token 拉所有 worker 的指标,**无需持有各 worker 的全权 `SERVICE_AUTH_TOKEN`**(不破坏 secret 边界)。即使外泄也只暴露指标(只读)。
-- **`GET /metrics/summary`**(token-gated,同 `/metrics`):`/metrics` 的**精炼 JSON**——`{model, runsActive, tasks{status}, tokensTotal, costUsd, costUsdByModel, taskDurationAvgSec, brainFirstTokenAvgMs, brainCallAvgMs, cacheHitRateAvg, rateLimited, costQuotaRejected, budgetExceeded, limitCeilingAfterAnswer, degraded, cascade, verifications, councilRuns, toolErrors}`(`limitCeilingAfterAnswer` 自 7.71.0,按 `origin` 分桶的「答后撞顶」计数;与 `budgetExceeded` **总体不同** —— 前者每条引擎 run 都过,后者只由 HTTP 提交腿递增 —— 不要无条件相加)。给**轻量 fleet 看板**用(管理端 sema-web 的 fleet 页按 worker 拉、渲染卡片、按轮询算速率;**不用 Prometheus/Grafana**)。counter 是累计值、histogram 报均值。
+- **`GET /metrics/summary`**(token-gated,同 `/metrics`):`/metrics` 的**精炼 JSON**——`{model, runsActive, tasks{status}, tokensTotal, costUsd, costUsdByModel, taskDurationAvgSec, brainFirstTokenAvgMs, brainCallAvgMs, cacheHitRateAvg, rateLimited, costQuotaRejected, budgetExceeded, limitCeilingAfterAnswer, degraded, cascade, verifications, councilRuns, toolErrors, httpErrorsByClass, httpErrorsByRoute}`(`httpErrorsByClass` / `httpErrorsByRoute` 自 **7.87.0**,additive:窗内 HTTP **失败**请求按状态码类聚合(键只有 `4xx` / `5xx`,2xx/3xx 不进;⚠️ `4xx` 含本仓给「客户端提前断连」铸的 `499`,SSE 长连上是常态)+ 失败最多的前 10 条 route 标签(`routeLabel` 低基数形,id 折成 `:id`,未命中路由表的落 `other`)—— 这两格是**不装 Prometheus 的部署**看见一场 404 风暴的唯一地方;两键**恒在场**,零失败时是 `{}`,不用缺席表示零)(`limitCeilingAfterAnswer` 自 7.71.0,按 `origin` 分桶的「答后撞顶」计数;与 `budgetExceeded` **总体不同** —— 前者每条引擎 run 都过,后者只由 HTTP 提交腿递增 —— 不要无条件相加)。给**轻量 fleet 看板**用(管理端 sema-web 的 fleet 页按 worker 拉、渲染卡片、按轮询算速率;**不用 Prometheus/Grafana**)。counter 是累计值、histogram 报均值。
 - 预算闸是 core 强制的:`maxCostUsd` pre-call 估算(没花钱就拒)+ 流中途取消 + turn 边界(`limits.max_cost_exceeded`);`maxTokens` 超 → `limits.max_tokens_exceeded`(core 5.8.0 起 `budget.*` 前缀退役)。**review 网关**建议设 `MAX_TASK_COST_USD` 防单任务烧掉共享云 key。
 - 🔴 **三道 $ 闸的分工(别拿进场门当中途停机用)**:三根旋钮名字都带 cost,但**判的时刻**和**能不能打断正在烧的那张单**完全不同。按「谁触发 / 什么时刻判 / 拒或停长什么样」对表:
 
@@ -408,6 +408,12 @@ MODEL_CASCADE_LADDER=deepseek-flash,deepseek-pro   # 目录里的模型名,cheap
   车道会尊重它(那条车道的定义就是"运维自己这台机、无容器边界")。所以「服务跑在 A 机、代码在 B 机」不成立
   —— 没有任何东西把 B 的路径映到 A。要么把服务(或 `run-local`)跑在放着文件的那台机器上,要么走容器车道
   (`e2b`/`k8s`/`local-docker`),那里的工作区是沙箱自己的,`cwd` 被忽略。
+- **读面(S-426 起)**:`GET /v1/capabilities` 的 `executionLane` 把本部署的车道广告成
+  `{provider:<REMOTE_EXEC 闭集词>, toolsOnThisHost:boolean}`(`REMOTE_EXEC` 未设 ⇒ `provider:"host"`)。
+  壳/客户端判「工具跑不跑在本机」**读这一位**,不要再从自己这一侧的 `REMOTE_EXEC` 猜 —— 连远端引擎时
+  那个 env 说的是**壳自己这台**的事。⚠️ 它是**文件系统同一性**位,**不是**权限位:`cwd` 兑不兑现仍由
+  `projectContext` / `callerCwd` 回答(那两位的判据多一条单用户约束,多租户 host 部署上两者会分叉)。
+  端点/凭据/镜像/`serial` 一个字都不上这条 wire,那些仍只在 operator 面 `GET /v1/config/catalog`。
 
 **workspace 浏览面 —— 已随整树快照纪元退役**
 - 旧四端点(list/tree/file/archive)恒 `501 capability.workspace_retired`,`capabilities.workspace`
@@ -1524,6 +1530,18 @@ GET /v1/capabilities?permissionMode=default
 **per-run 面**:本批不在 run 记录上加 per-run `autoMode` 座——引擎侧的武装结果 / 未武装原因(含只有引擎知道的那些;core 7.12.0 起熔断族已退役)
 将随 core 的状态座到货,届时 server 只投影不自算;此前 `armed` 是 server 侧三项可知判据的裁决。
 
+### 9.4b plan 模式(`permissionMode:"plan"`):批准一份计划时,顺带说「解到哪一档」(7.86.0 起)
+
+只读起步的任务把计划交给人之后停在 `plan_review` 门上。`POST /v1/assistant/tasks/:id/plan_review` 的
+`decision:"approve"` 可携 **`permissionModeAfter`**(闭集 `"default" | "acceptEdits"`,**缺席 ⇒ `"default"`**):
+`acceptEdits` = 继续跑时对自己工作目录内的写不再逐次征询,`default` = 有手但每次写照常征询;`edit` / `reject`
+的语义是重做计划,只读**原样保留**,在它们上送这一位是 `400`(词表外的值、以及本来就不是只读起步的任务送它,
+同样是 `400`)。解除会写回这条会话的续跑输入 —— 此后每一次挂起→续跑都沿用解除后的档,不回落只读。
+🔴 **这个体是闭集(7.86.0,S-438)**:受理集 = `decision` / `editedPlan` / `reason` / `permissionModeAfter` /
+`boundCallId` 五键,集外键(含定谳前的旧拼法 `nextPermissionMode`)**响亮拒** `400 request.body_shape` +
+机读两桶逐字点名,**不再静默丢** —— 与 `/v1/approvals/:id/decide` 同一只机器、同码同串。
+逐字契约见 `docs/ASSISTANT-WIRE-CONTRACT.md` §4c。
+
 ### 9.5 Web search:两车道优先级、per-request `settings.webSearch`、错误形
 
 **两车道,整段整取(不是逐键 merge)**:部署 env(`WEB_SEARCH_*`,§0)与 per-request `body.settings.webSearch`

package/dist/approval-hmac.d.ts

@@ -1,9 +1,10 @@
+import type { QuestionAnswer } from "@sema-agent/core";
 import type { ApprovalHmacKey } from "./auth-keys.js";
 /**
  * The canonical message an approval MAC signs — a fixed-order, JSON-escaped tuple so no field value (an id, a
  * hash, a free-text note) can ambiguate the boundary with the next (same discipline as the approvals-stream diff
  * key). 🔴 Bound to CLIENT-VISIBLE values only: `sessionId` (in the /decide URL) + `boundCallId`/`boundInputHash`
- * (surfaced by listPending) + `reason` (the caller's own body). It must NOT include the checkpointToken — that is
+ * (surfaced by listPending) + `reason` and `permissionModeAfter` (the caller's own body). It must NOT include the checkpointToken — that is
  * the unexposed resume credential the client can never see (it resumes by sessionId), so a checkpointToken-bound
  * message would be uncomputable by the signer.
  *
@@ -12,11 +13,35 @@ import type { ApprovalHmacKey } from "./auth-keys.js";
  * 被接管的客户端 —— 正是 HMAC 要防的风险模型)可以在操作员批准同一个动作的那次决定里,把落账理由换成
  * 别的:动作没变,**审计记录变了**。三方裁定纳入签名载荷,不留 `reasonUnsigned` 宽限代际(未上生产)。
  *
+ * ── 🔴 **两把绑定的分工**(S-433 F1 立此,别再把它们当成一回事)─────────────────────────────────
+ * `principal-jwt.ts` 的 `approvalBnd`(JWT `cnf.bnd`)只哈希**前三位** `[sessionId, boundCallId, boundInputHash]`
+ * —— 它绑的是**「哪一张卡」**(这份身份凭据被签发去决哪一次待决动作),所以决定内容改了它**不该**变。
+ * 本文件的 HMAC 信封绑的是**「决了什么」**—— 决定本身的每一个会改变后果的字段都在里面(`decision`、
+ * `reason`,以及 S-433 起的 `permissionModeAfter`)。⇒ 「同一张卡上把 approve 的档偷偷调宽」这件事,
+ * 结构上只有 HMAC 这一把拦得住;往 `cnf.bnd` 里加位既不解决它,还会把一份合法 JWT 绑死在一个它签发时
+ * 根本不知道的值上。**本次(S-433 F1)只动 HMAC 这一把,`approvalBnd` 一个字节不动。**
+ *
  * ── 🔴 字节构造规则(权威定义;跨仓签名器照此实现,docs/ASSISTANT-WIRE-CONTRACT.md §6.2 同源)──────────
  * 被 HMAC 的是下面这个字符串的 **UTF-8 字节**:
  *   1. **恒 5 元素、定序**的紧凑 JSON 数组(元素间**无空格**):
  *      `[sessionId, boundCallId|null, boundInputHash|null, decision, reason|null]`
  *      —— 恒定长度是刻意的:签名器里少一个"有 reason 才追加"的条件分支,就少一类跨实现漂移。
+ *      🔴 **唯一的例外是尾位**(S-452,server 7.87.0 起是**一只扩展对象**;7.86.0 的裸尾位形已删除):
+ *      对扩展键**闭集** {@link APPROVAL_ENVELOPE_EXT_KEYS}(字典序即声明序)逐键判 `!== undefined`,
+ *      在场的收进一只对象 `ext`;**`ext` 为空 ⇒ 一个字节都不追加**(消息与 7.85.0 逐字节相同),
+ *      非空 ⇒ 追加为第 6 位 `[…head, ext]`。`JSON.stringify` 对 `ext` 的键序 = 插入序 = 闭集字典序,
+ *      所以规范化无歧义,**与调用方给键的顺序无关**。
+ *      为什么不继续用「裸的第 6、7 格」(S-433 的形):两个扩展位都可选 ⇒ 只有 `answer` 在场时它落在
+ *      第 6 格、与 `permissionModeAfter` 撞位,靠类型猜是谁 = 签名歧义。扩展对象让「在场的是谁」自带
+ *      名字,而且以后再加决裁字段不动数组形(规则集不再长)。
+ *      向后兼容仍然成立的那一半:**不带任何扩展键的体**,字节与 7.85.0 逐字相同 ⇒ 不签这些位的既有
+ *      签名器照常验过。带了扩展键而签名方没签(或按 7.86.0 的裸尾位形签)⇒ MAC 不匹配 ⇒ 既有
+ *      `401 approval_mac_invalid`,不铸第二种拒绝形。
+ *   1b. **`answer` 的被签值 = 位置投影**(不是请求体上那个对象){@link projectQuestionAnswer}:
+ *      `answers.map(i => [i.header, i.selected, i.note ?? null])`。**不做通用规范化、不做 Unicode
+ *      归一化、不排序**——投影只搬这三位,于是数组序天然保持、异常键名(`__proto__`)结构上不可达,
+ *      而「多余键可以不进签名却照样转给引擎」这个洞也一并消失(签的与转发的是同一份:引擎收到的是
+ *      {@link questionAnswerFromProjection} 由同一份投影重建的对象)。
  *   2. 缺席 ⇒ `null`;**`""`(空串)是与 `null` 不同的被签值**(否则"把理由抹成空"不改变 MAC)。
  *   3. 字符串转义 = RFC 8259 最小集:`"`→`\"`、`\`→`\\`、U+0000–U+001F → `\n`/`\t`/`\uXXXX`。
  *   4. **非 ASCII 原样输出 UTF-8,不转 `\uXXXX`**。⚠️ Python 的 `json.dumps` 缺省 `ensure_ascii=True` 会踩
@@ -30,7 +55,35 @@ import type { ApprovalHmacKey } from "./auth-keys.js";
  * 之所以到今天才把规则写死:此前四个字段全是**受限字母表**(uuid / 调用 id / 十六进制 / 枚举),转义怎么
  * 写都一样、规则不写也测不出来;`reason` 是第一个进入签名载荷的自由文本,转义从"无所谓"变成"承重"。
  */
-/** The canonical 5-field envelope both {@link approvalHmacMessage} (the signer's/verifier's shared byte-rule) and
+/**
+ * `answer` 的**位置投影** —— 被 HMAC 签的那一份,也是转发给引擎的那一份的唯一来源。
+ *
+ * 形:`[header, selected, note ?? null]` 逐项、按 `answers` 的**原序**。三条性质都是它白送的,不是
+ * 额外规则(设计稿 §3.5 拿实现证伪了「通用递归按键排序」那一版):
+ *  · **数组序保持** —— 投影不排序,`selected` 换序 ⇒ 不同 MAC;
+ *  · **不做 Unicode 归一化** —— 只搬字符串,按收到的码点签;
+ *  · **异常键名不可达** —— 投影不读任意键,`__proto__` / `constructor` 这类名字进不来。
+ *
+ * 🔴 为什么不直接签请求体上那个对象:本仓的形状校验器对三个具名键严格,但**键序**由调用方决定
+ * (`JSON.stringify` 吃插入序)⇒ 两份语义相同的体会签出两串字节。投影把「哪些位、什么序」定死在
+ * 一个属主里,签名器(在别的仓)照抄这一行即可。
+ */
+export type QuestionAnswerProjection = readonly (readonly [header: string, selected: readonly string[], note: string | null])[];
+export declare function projectQuestionAnswer(a: QuestionAnswer): QuestionAnswerProjection;
+/** 投影 → 引擎收的那个对象。**「签的 = 转发的」的兑现点**:路由不把请求体上的 `answer` 原样上送,
+ *  而是先投影(签它)、再由本函数重建(送它)—— 中间没有第二条路径,所以「签了 A 却转发了 A′」
+ *  在结构上不可能。`note` 为 `null` ⇒ **不造键**(与 core `QuestionAnswerItem.note?` 的缺席同义)。 */
+export declare function questionAnswerFromProjection(p: QuestionAnswerProjection): QuestionAnswer;
+/**
+ * 信封的**扩展键闭集**(字典序 = 声明序 = `ext` 的 JSON 键序)。
+ *
+ * 加一个决裁字段进签名载荷 = 在 {@link ApprovalEnvelope} 上加一位 + 在本表加一个词;两者只做一半 ⇒
+ * 下面那两条编译期门当场红。**不许有第三种在场判**:恒 `!== undefined`(不是真值判、也不是 `?? null`
+ * 折叠)—— `null` 与缺席在扩展位上是两个不同的被签值(「签名方明说这次不动」≠「签名方不知道有这个键」)。
+ */
+export declare const APPROVAL_ENVELOPE_EXT_KEYS: readonly ["answer", "permissionModeAfter"];
+export type ApprovalEnvelopeExtKey = (typeof APPROVAL_ENVELOPE_EXT_KEYS)[number];
+/** The canonical envelope both {@link approvalHmacMessage} (the signer's/verifier's shared byte-rule) and
  *  {@link verifyApprovalHmac} take — ONE named type so the two signatures cannot silently drift into two
  *  structurally-similar-but-not-identical inline shapes (drift there would only surface at RUNTIME as a MAC
  *  mismatch, never at compile time — see the file-header canonical-message note for why each field's presence
@@ -41,6 +94,28 @@ export interface ApprovalEnvelope {
     boundInputHash?: string | null;
     decision: string;
     reason?: string | null;
+    /**
+     * 🔴 **S-452(7.87.0)—— 操作员对一次 AskUserQuestion 的回答进签名载荷。**
+     *
+     * 它此前**不在**信封里 ⇒ 一个能改写线上字节的中间人(反代 / 被接管的客户端 —— 正是 HMAC 的风险
+     * 模型)可以在操作员签过的那次批准里只换 `answer`:动作没变、MAC 照过,**模型收到的答案变了**。
+     * 与 `reason`(改审计记录)、`permissionModeAfter`(改手)同一条判据的第三格:**凡改变续跑能做
+     * 什么 / 落什么账的决裁字段都在签名信封里**。
+     *
+     * 值是 {@link projectQuestionAnswer} 的产物,不是请求体上那个对象(理由见该函数)。
+     */
+    answer?: QuestionAnswerProjection;
+    /**
+     * 🔴 **S-433 合并复审 F1 [high]**(7.86.0 立,S-452 把它从裸尾位挪进扩展对象)—— `plan_review` 的
+     * `permissionModeAfter` 选的是**批准之后这条 run 有没有手**(`acceptEdits` = 工作目录内的写不再逐次
+     * 征询)。它铸下来时没有进签名载荷 ⇒ 中间人可以把操作员签的那次 `default` 批准原地改成 `acceptEdits`:
+     * 动作没变、MAC 照过,**权限变了**。
+     *
+     * 🔴 编码位置在 7.87.0 变了(**BREAKING vs 7.86.0**,零双读):7.86.0 把它裸追加为第 6 位,
+     * 7.87.0 起它是扩展对象里的一个具名键。7.86.0 形已签的证明在 7.87.0 上一律 `401 approval_mac_invalid`
+     * —— 证明是瞬时物不是持久数据,没有迁移面,消费方的 401 就是通知(宪法「hard breaking 三句」)。
+     */
+    permissionModeAfter?: string | null;
 }
 export declare function approvalHmacMessage(env: ApprovalEnvelope): string;
 /** 签名载荷里 `reason` 的字符上限。**拒**而不是截 —— 截断在这条路径上**结构上不可行**:服务端截过的字节

package/dist/approval-hmac.js

@@ -1,6 +1,21 @@
 import { createHmac, timingSafeEqual } from "node:crypto";
+export function projectQuestionAnswer(a) {
+    return a.answers.map((i) => [i.header, i.selected, i.note ?? null]);
+}
+export function questionAnswerFromProjection(p) {
+    return { answers: p.map(([header, selected, note]) => ({ header, selected: [...selected], ...(note === null ? {} : { note }) })) };
+}
+export const APPROVAL_ENVELOPE_EXT_KEYS = ["answer", "permissionModeAfter"];
+const APPROVAL_ENVELOPE_HEAD_KEYS = ["sessionId", "boundCallId", "boundInputHash", "decision", "reason"];
 export function approvalHmacMessage(env) {
-    return JSON.stringify([env.sessionId, env.boundCallId ?? null, env.boundInputHash ?? null, env.decision, env.reason ?? null]);
+    const head = [env.sessionId, env.boundCallId ?? null, env.boundInputHash ?? null, env.decision, env.reason ?? null];
+    const ext = {};
+    for (const k of APPROVAL_ENVELOPE_EXT_KEYS) {
+        const v = env[k];
+        if (v !== undefined)
+            ext[k] = v;
+    }
+    return JSON.stringify(Object.keys(ext).length === 0 ? head : [...head, ext]);
 }
 export const MAX_APPROVAL_REASON_CHARS = 4_096;
 export function verifyApprovalHmac(env, mac, kid, keys) {

package/dist/boot/stage-01-config.js

@@ -9,7 +9,7 @@ import { createMetrics } from "../observability/metrics.js";
 import { installFailOpenRecorder } from "../observability/fail-open.js";
 import { installFileHistoryFailureRecorder } from "../file-history-disclosure.js";
 import { installSecretEnvScrubRecorder } from "../observability/secret-env-scrub.js";
-import { setRunTerminalObserver } from "../observability/run-terminal-log.js";
+import { setRunTerminalLogObserver } from "../observability/run-terminal.js";
 import { setRedactionObserver } from "../trace/redact.js";
 export function runStage01() {
     const config = loadConfig();
@@ -36,7 +36,7 @@ export function runStage01() {
         metrics.inc("web_search_bad_payload_total", { provider });
         logger.warn("web_search_non_array_payload", { provider });
     });
-    setRunTerminalObserver((level, fields) => {
+    setRunTerminalLogObserver((level, fields) => {
         if (level === "error")
             logger.error("run_failed", fields);
         else

package/dist/capabilities/execution-lane.d.ts

@@ -0,0 +1,22 @@
+import type { RemoteExecProvider } from "../execution-lane-caps.js";
+export interface ExecutionLaneCapability {
+    /** 本部署的执行车道词(闭集 = {@link RemoteExecProvider};`REMOTE_EXEC` 未设 ⇒ `"host"`,见头注)。 */
+    readonly provider: RemoteExecProvider;
+    /** 工具跑的那台机器就是本进程这台吗(= server 盘上的绝对路径对模型的工具有没有意义)。
+     *  属主 = `task-cwd.ts` 的 {@link toolsRunOnThisHost},与 `skills[].baseDir` 的铸点同一只函数。 */
+    readonly toolsOnThisHost: boolean;
+}
+/**
+ * 部署席 → 消费端窄投影。形照 `projectWebSearchCapability` / `projectSqlEngineCapability`:
+ * **只 import 型**,不碰 config.ts,于是本模块是叶。
+ *
+ * 🔴 **唯一**写缺席折词的地方。`"host"` 这个字面量不入 `api-notice-text-freeze`:它是
+ * {@link RemoteExecProvider} 的成员,配置联合里那条臂改名 ⇒ 本行当场 tsc 红(S-382 对三个 provider 词
+ * 免入表的同一条理由 —— 会静默漂的只有**本仓自铸**的词,这里一个都没有)。
+ */
+export declare function projectExecutionLaneCapability(config: {
+    readonly remoteExec?: {
+        readonly provider: RemoteExecProvider;
+    } | undefined;
+}): ExecutionLaneCapability;
+//# sourceMappingURL=execution-lane.d.ts.map

package/dist/capabilities/execution-lane.js

@@ -0,0 +1,8 @@
+import { toolsRunOnThisHost } from "../task-cwd.js";
+export function projectExecutionLaneCapability(config) {
+    return {
+        provider: config.remoteExec?.provider ?? "host",
+        toolsOnThisHost: toolsRunOnThisHost(config),
+    };
+}
+//# sourceMappingURL=execution-lane.js.map

package/dist/capabilities/memory-notice.d.ts

@@ -38,7 +38,10 @@ export interface MemoryFaceFacts {
     /** 这一腿挂不挂记忆面 —— 由唯一属主 `memory-scope.ts` `memoryFaceMounted(spec.memory)` 算出(与 core `prepareMemory`
      *  同判:`normalizeMemorySpec(...)?.enabled === true`)。`false` = 引擎未接 / 多租户 dark / remote lane fail-closed /
      *  S-405 `memory:"off"`(键在场但 `enabled:false`)—— 殊途同归:core 不会 prepare 记忆,也就不会挂任何披露。
-     *  🔴 不再收 `TaskSpec.memory` 本体:按「键在不在场」判是 7.84.0 前的病(合并复审 车HF F1)。 */
+     *  🔴 不再收 `TaskSpec.memory` 本体:按「键在不在场」判是 7.84.0 前的病(合并复审 车HF F1)。
+     *  🔴 属主会**抛**(值闭包门没过的手搓 spec —— 单数 `scope` / 非 `"off"` 的 `capture`),理由与两个属主
+     *  的坐标逐字写在 `memory-scope.ts` 的 `memoryFaceMounted` 头注里;本判别式不接这条臂(接了就是在
+     *  披露轴上静默 fail-open)。 */
     memoryFaceMounted: boolean;
     /** 部署声明 `MEMORY_PERSISTENCE_CAPABLE`(三态)。`true` = operator 自证有推断看不见的持久通道
      *  (自定义 writer / MCP 记忆服务)⇒ 披露会变成假话,撤回;`false` = 强制披露;缺席 ⇒ 走推断。 */

package/dist/config-catalog.js

@@ -2,6 +2,7 @@ import { CROSS_SESSION_INBOUND_SETTINGS, CROSS_SESSION_DIALOG_EXPIRY_VALUES } fr
 import { THINKING_FORMATS } from "./model-compat.js";
 import { RESILIENCE_DEFAULTS } from "./config-types.js";
 import { webSearchConfigFromEnv, WEB_SEARCH_PROVIDERS } from "./plugins/web-search.js";
+import { REMOTE_EXEC_PROVIDER_WORDS } from "./execution-lane-caps.js";
 import { CENTER_READ_FACE_LIVE_KEYS } from "./config-center/read-face.js";
 export const CATALOG_VALUE_TYPES = ["boolean", "number", "string", "enum", "csv", "json", "path", "url", "secret", "opaque"];
 export const CATALOG_TIMINGS = ["hot", "restart", "deploy", "inert"];
@@ -347,7 +348,7 @@ export const CONFIG_CATALOG = [
     r("READ_FACE", "orchestration", "enum", "READ 容纳面档位(env 逐键恒赢 center —— 部署主权表达)", { enumValues: ["open", "roots"], danger: SEC, derivedDefaultNote: "缺席 ⇒ 按 posture 派生(S-167):单用户 turnkey(REQUIRE_PRINCIPAL 未设)铸 open;多租户不铸键、core 默认 roots。生效来源见 GET /v1/diagnostics/wiring 的 readFace.source 四词", configKey: "readFace", center: cRead("face", "readFace") }),
     r("REAP_INTERVAL_SEC", "limitsHttp", "number", "reaper 周期(秒)", { staticDefault: "60", configKey: "reapIntervalSec" }),
     r("REAP_RUN_STALE_SEC", "limitsHttp", "number", "run 活性判陈旧阈(秒)", { staticDefault: "120", configKey: "runStaleSec", center: cLimits("runStaleSec") }),
-    r("REMOTE_EXEC", "orchestration", "enum", "执行车道选择(点名而配不齐/认不出 ⇒ 拒启,绝不静默降级到 host/stub)", { enumValues: ["e2b", "k8s", "ssh", "adb", "host", "local-docker", "device"], danger: SEC, derivedDefaultNote: "缺席:CONFIG_PROVIDER=local ⇒ host;其余 ⇒ 进程内 stub", configKey: "remoteExec", resolve: (c) => c.remoteExec?.provider ?? null }),
+    r("REMOTE_EXEC", "orchestration", "enum", "执行车道选择(点名而配不齐/认不出 ⇒ 拒启,绝不静默降级到 host/stub)", { enumValues: REMOTE_EXEC_PROVIDER_WORDS, danger: SEC, derivedDefaultNote: "缺席:CONFIG_PROVIDER=local ⇒ host;其余 ⇒ 进程内 stub", configKey: "remoteExec", resolve: (c) => c.remoteExec?.provider ?? null }),
     r("REMOTE_EXEC_HOME_DIR", "orchestration", "path", "执行环境的 home 目录(`~/` 形权限规则的基;core ExecutionEnv.homeDir 座)", { danger: SEC, derivedDefaultNote: "缺席:host/in-process ⇒ os.homedir();e2b ⇒ /home/user;k8s/local-docker/ssh/adb/device ⇒ 无(`~/` 规则 422 响亮拒)", configKey: "remoteExecHomeDir", resolve: (c) => c.remoteExecHomeDir ?? null }),
     r("REQUIRE_PRINCIPAL", "auth", "boolean", "多租户开关(posture 判别位:true ⇒ CC 能力族默认收紧)", { staticDefault: "false", danger: SEC, configKey: "requirePrincipal" }),
     r("RESOURCE_SUSPEND", "approval", "boolean", "durable 路径 opt-in core resourceSuspend(预算/preempt ⇒ 可恢复挂起)", { staticDefault: "false", configKey: "resourceSuspend" }),

package/dist/execution-lane-caps.d.ts

@@ -89,6 +89,19 @@ export declare function executionLaneCaps(lane: ExecutionLane): ExecutionLaneCap
 export declare function isExecutionLane(word: string): word is ExecutionLane;
 /** 车道普查全集(顺序 = 词表声明序;对账测试按它逐 lane 跑真判别式)。 */
 export declare const ALL_EXECUTION_LANES: readonly ExecutionLane[];
+/**
+ * `REMOTE_EXEC` **真能写下去的**那几个词(= {@link ALL_EXECUTION_LANES} 去掉 `in-process`:后者是
+ * 「没有 remoteExec」这个状态的名字,env 里写它没有意义)。
+ *
+ * 🔴 S-426 以点改面:此前 `config-catalog.ts` 的 `REMOTE_EXEC` 行把这张表**手抄**成一个
+ * `enumValues: ["e2b","k8s",…]` 字面量(字段静态型是 `readonly string[]`,与 {@link RemoteExecProvider}
+ * 零类型联系)。病形与 S-382 逮到的 `WEB_SEARCH_PROVIDER` 逐字同族:给
+ * `ServiceConfigFlat["remoteExec"]` 加一条 provider 臂(config-types.ts 里写着的下一条就是
+ * `remote-docker`),本文件的穷举 switch 与词表**会**编译红,而目录行不会 —— 于是运维在
+ * `GET /v1/config/catalog` 上读到的可写词集静默少一个,新车道成了「配了但目录说不认识」。
+ * 收成一只派生数组之后,目录行**就用它本人**(身份相等有钉),全仓只剩这一张表。
+ */
+export declare const REMOTE_EXEC_PROVIDER_WORDS: readonly RemoteExecProvider[];
 /**
  * `config.remoteExec?.provider` → 车道词。
  *

package/dist/execution-lane-caps.js

@@ -156,6 +156,7 @@ export function isExecutionLane(word) {
     return Object.hasOwn(EXECUTION_LANE_WORDS, word);
 }
 export const ALL_EXECUTION_LANES = Object.freeze(Object.keys(EXECUTION_LANE_WORDS).filter(isExecutionLane));
+export const REMOTE_EXEC_PROVIDER_WORDS = Object.freeze(ALL_EXECUTION_LANES.filter((lane) => lane !== "in-process"));
 export function executionLaneOf(provider) {
     if (provider === undefined)
         return "in-process";

package/dist/fleet/fleet-bus.d.ts

@@ -216,8 +216,28 @@ export type FleetFrame = {
     id: string;
     ts: number;
     /**
-     * [ref] §2③:**陈述级退场** —— 行没了,但**没有**结算语义。对照:无此键的 remove = 终态之后的
-     * 常规清场(发布方亲报终态、或 `retiredBy:"reconcile"` 的投影退休,两者都先发过终态 `task` 帧)。
+     * [ref] §2③:**陈述级退场** —— 行没了,但**没有**结算语义。
+     *
+     * 🔴 **本键缺席的那一族不是「终局已发过」**(S-449 / 车HX codex r1 [medium];本注此前逐字写着
+     * 「无此键的 remove = 终态之后的常规清场……两者都先发过终态 `task` 帧」,**那句是假的** ——
+     * 车HW 逐条亲读本文件的七处 `removeTask` 铸点后改成真话,消费方面的成文版 =
+     * `docs/ASSISTANT-WIRE-CONTRACT.md` 附录 H)。缺席形其实是**两族**:
+     * (**按臂名找,不给行号** —— 本注与铸点同住一个文件,写死数字会被下一次改注自己顶歪。)
+     *  · **结算级** —— 这一行**自己的**终态 `task` 帧刚发过,remove 只是成对的后半。四处:
+     *    `fleetRunPublisher.onChildTerminal` 的「bash 无 tick 形」合成瞬态帧(publish → remove 同一个
+     *    `for` 体)、`fleetRunPublisher.onTerminal` 的顶层行(`publishTask(run.runId, fleetStatus)` →
+     *    `if (terminal) removeTask(run.runId)`)、`fleetBackgroundChildPublisher` 的子代终局
+     *    (带残局键的行帧 → `removeTask(e.taskId)`)、以及对账腿 `fleet-reconciler.ts` 的 `retire` 与
+     *    候补窗 `upgradeWatched`(两者都先帧后撤)。
+     *  · **投影级 —— 没有自己的终态帧,但也不是「这个任务结束了」**:① **双生让位 / 双生抑制**
+     *    (`yieldToBackgroundChildLane` 把 run-leg 行让给 BCE 权威行;tick 期与子代终局期两处按
+     *    ` ${uuid}` 后缀扫掉 run-leg 复合键双生)—— 同一个实体改由**另一行**渲染,终局会落在**那一行**上;
+     *    ② **父 leg settle 时把子代行收走**(`onTerminal` 里的 `for (const cid of children) removeTask(cid)`),
+     *    **含父 parked 的形**(理由逐字在该处:子代在父 park 期间并不在跑,resume 后新的 `task_progress`
+     *    会重新建行;而子代本来就从不发终态 tick)。
+     * ⇒ 对消费端的纪律只有一条:**`task_remove` 在任何形态下都只说「这一行从本副本的面板上离场了」,
+     * 不说结算**。唯一的终局证据是那一行**自己的**终态 `task` 帧(`status` ∈ completed/failed/killed),
+     * 或对 durable 面的权威查询(`GET /v1/runs/:id`)。
      *
      * 铸点只有对账腿:durable 说这条 run 还 `running`(reaper 宽限窗内)、或 claim 在他副本、或
      * durable 行压根不存在 —— 三形共同点是**没有终局可投影**,而本副本的行必然陈旧。此时造一个终态
@@ -624,7 +644,7 @@ export declare function runStatusToFleet(status: RunStatusForFleet, opts?: {
  * 的每一个 core 词。
  *
  * 这个词的病史:`blocked` 曾在本仓有**两个独立写者**且答案互斥 —— 本文件读它为「非成功终局(agent
- * 放弃)⇒ 行离场」,而 `observability/run-terminal-log.ts` 读它为「治理判决,不是失败 ⇒ 不打行」。两处
+ * 放弃)⇒ 行离场」,而 `observability/run-terminal.ts` 读它为「治理判决,不是失败 ⇒ 不打行」。两处
  * 各自穷举、各自正确地编译,结果是一条 `report_blocked` 的 run 在面板上离场、在引擎日志里一个字都没有。
  * 语义收归 `plugins/store-contracts.ts` 的那张表之后,本行不再自持判断:表把某个词挪出/挪进
  * `unsuccessful`(或 core 新增一个非成功终态)而上面的 switch 没跟上 ⇒ 下面这条收不敛到 `never` ⇒ tsc 红。

package/dist/fleet/fleet-reconciler.d.ts

@@ -42,6 +42,31 @@
  * 只做同款「durable 终局投影」([ref] 的 snapshot pull 腿 + reapers 的 workflow recover 腿已在场),
  * **不加新判据**:活行恒不动,没有陈述级退场这一形。
  *
+ * ## 🔴 S-450:候补窗的升级**由事实驱动**,周期臂降为兜底
+ * 陈述级退场(`orphanExit`)恒不造终态、行进候补窗;把它升级成真终局此前**只**发生在下一个对账周期的
+ * ① 臂 ⇒ 成对终帧最晚 {@link FLEET_RECONCILE_INTERVAL_MS} + 预算抖动才到面板,而消费方
+ * (`@sema-agent/client-core` 的面板投影)对「行缺席」按 30s 结算 —— 两侧各自正确,合成的是「面板先结算
+ * 成缺席、一分钟后又闪回一帧终局」。**定时器在错误的一侧**:补偿的触发条件是**事实**(durable 行翻终局),
+ * 却挂在**周期**上。现在多一条事件腿({@link FleetReconcilerDeps.subscribeRunTerminal},源头 =
+ * `observability/run-terminal.ts` 的**唯一铸点** `notifyRunTerminal` —— 三只 store 的 CAS **赢**分支各调一次):
+ * `setTerminal` 落地的同一 tick 就去读。
+ * **提示只带 `taskId`,事实仍只有 durable 一个属主** —— 两个触发源走同一串判据
+ * (`getRun` → `isTerminalRunStatus` → `upgradeWatched`),提速的是「什么时候去读」而不是「读什么」。
+ * 升级动作**只有一份**(`upgradeWatched`),幂等闸 = `watch.delete(id)` 的返回值。
+ * **两处仍走周期臂,如实**:① 终局由**别的副本**写(本副本收不到进程内提示);② **批量 reaper**
+ * (`reapStale` 一族是整批 UPDATE、拿不到 id,不经 `setTerminal`)—— 这两族**与本件存在之前的行为逐字等同**。
+ * 上界成文在契约与 DEPLOY-PREREQS:「单副本经写口的终局:落地即升级;其余:最迟一个对账周期」。
+ *
+ * 🔴 **补发帧推一次,不设回执、不设重放队列**(主会话 09-18 定,设计稿 §3.5;test [ref] 提问的答案)。
+ * 理由:fleet 面是**投影**(bus 帧 + SSE,没有 durable 队列),给它加「待取 / 回执」就是造第二本账
+ * (与「不铸并行账本」同一条纪律);而终局的**真源**本来就可寻址、可重读 —— 顶层 run 走
+ * `GET /v1/runs/:id`,后台代理 `a*` 走 `GET /v1/runs/:id/tasks/:handle`(父 run 终结后仍可读)。
+ * ⇒ 消费方的闭环义务(契约附录 H 与发车帖点名):**回收一条「缺席」行之前、或收到某 id 的帧而行已不在时,
+ * 按 id 向 durable 面补读一次**;读到终局以它为准,404 = 行已被 retention 清,如实渲「结果已不可得」。
+ * 静默丢弃迟到帧是消费方的病,不是本件要用 wire 机制兜的。server 侧只保证**留痕**:见下方
+ * `upgradeWatched` 的 `fleet_rows_reconciled_total{disposition="retired_deferred", trigger=…}` ——
+ * 「补发发生过」在 server 侧可查;**接收端有没有收到不是 server 能知道的事,不假装知道**。
+ *
  * ## 五条界(任何一条失手都只是幽灵行多活一个周期 ⇒ 整体 F 类 fail-open,登记 tag,不静默)
  *  · 节律 {@link FLEET_RECONCILE_INTERVAL_MS} · 每周期读上限 {@link FLEET_RECONCILE_MAX_ROWS}
  *  · 读预算 {@link FLEET_RECONCILE_READ_BUDGET_MS} · 熔断冷却 {@link FLEET_RECONCILE_COOLDOWN_MS}
@@ -56,6 +81,7 @@ import { type WorkflowRun, type WorkflowRunStore } from "@sema-agent/core";
 import type { Logger } from "../observability/logger.js";
 import type { Metrics } from "../observability/metrics.js";
 import { type RunRecord } from "../plugins/store-contracts.js";
+import { type RunTerminalRecord } from "../observability/run-terminal.js";
 import { type FleetEventBus } from "./fleet-bus.js";
 /** 对账节律 —— 60s 档。比它短 = 每分钟给 durable 加一批点读却换不来更快的面板真相(幽灵行的时间尺度
  *  是"发布方已经死了",分钟级);比它长 = 壳的引擎温切门(cli engineSwapGate 读活行集)被幽灵行按住
@@ -93,6 +119,15 @@ export interface FleetReconcilerDeps {
      * 对账腿只问一个是非题(搬 Map 会造出第二份活性判据,而两份判据必漂移)。
      */
     isLiveOnThisReplica: (taskId: string) => boolean;
+    /**
+     * S-450 测试缝:「run 行 CAS 赢了翻终局」的订阅口。**生产恒缺席** —— 缺席时本腿自己去
+     * `observability/run-terminal.ts` 的**唯一铸点**登记(那口是进程级的自由函数,与 `recordFailOpen`
+     * 同姿势:真正的铸点在没有任何句柄的深处)。给它一个注入形只是为了让用例能在一台假铸点上跑。
+     *
+     * 🔴 **跨副本上界照旧、如实**:终局由**别的副本**写(对方的 reaper / 续跑腿)⇒ 本副本的进程内铸点
+     * 不会响,升级帧仍走周期臂。本版**不**引入跨副本总线(那是 leader run store 一族的独立设计)。
+     */
+    subscribeRunTerminal?: (fn: (rec: RunTerminalRecord) => void) => () => void;
     runs?: FleetReconcileRunPort;
     workflows?: FleetReconcileWorkflowPort | WorkflowRunStore;
     /** 本副本 id(与 `RunRecord.instanceId` 同域)。只进日志/读数 —— 两条 `running` 臂的**处置相同**

package/dist/fleet/fleet-reconciler.js

@@ -1,6 +1,7 @@
 import { isTerminalWorkflowStatus } from "@sema-agent/core";
 import { recordFailOpen } from "../observability/fail-open.js";
-import { isParkedRunStatus, isTerminalRunStatus } from "../plugins/store-contracts.js";
+import { isParkedRunStatus, isTerminalRunStatus, runProvenElsewhere } from "../plugins/store-contracts.js";
+import { subscribeRunTerminal } from "../observability/run-terminal.js";
 import { buildFleetWorkflowRow, fleetRunResiduals, runStatusToFleet } from "./fleet-bus.js";
 import { isTerminalWorkflowRowStatus } from "./fleet-terminal-window.js";
 export const FLEET_RECONCILE_INTERVAL_MS = 60_000;
@@ -28,12 +29,53 @@ export function createFleetReconciler(deps) {
     let coolingUntil;
     let taskCursor;
     let wfCursor;
+    const upgradeWatched = (id, w, rec, trigger) => {
+        if (!watch.delete(id))
+            return false;
+        deps.bus.publishTask({ ...w.row, status: runStatusToFleet(rec.status), retiredBy: "reconcile", ...fleetRunResiduals(rec.result) });
+        deps.bus.removeTask(id, { ...(w.row.cycleSeq !== undefined ? { cycleSeq: w.row.cycleSeq } : {}) });
+        lastFrameAt.delete(id);
+        deps.metrics?.inc("fleet_rows_reconciled_total", { disposition: "retired_deferred", trigger });
+        return true;
+    };
     const unsubscribe = deps.bus.subscribe((frame) => {
         if (frame.type === "task")
             lastFrameAt.set(frame.row.id, now());
         else if (frame.type === "task_remove")
             lastFrameAt.delete(frame.id);
     });
+    let stopped = false;
+    const unsubscribeRunTerminal = (deps.subscribeRunTerminal ?? subscribeRunTerminal)((rec) => {
+        if (stopped)
+            return;
+        const id = rec.runId;
+        const w = watch.get(id);
+        if (!w)
+            return;
+        if (deps.bus.taskRow(id) !== undefined) {
+            watch.delete(id);
+            return;
+        }
+        if (!deps.runs)
+            return;
+        if (coolingUntil !== undefined && now() < coolingUntil)
+            return;
+        void deps.runs.getRun(id).then((rec) => {
+            if (stopped)
+                return;
+            if (watch.get(id) !== w || deps.bus.taskRow(id) !== undefined)
+                return;
+            if (rec === undefined) {
+                watch.delete(id);
+                return;
+            }
+            if (!isTerminalRunStatus(rec.status))
+                return;
+            upgradeWatched(id, w, rec, "event");
+        }, (err) => {
+            recordFailOpen("server.fleet.terminal-notify", `taskId=${id} read-failed err=${err instanceof Error ? err.message : "non-Error throw"}`);
+        });
+    });
     const wfGet = deps.workflows ? (id) => Promise.resolve(deps.workflows.get(id)) : undefined;
     async function runOnce(nowMs) {
         const tally = emptyTally();
@@ -125,12 +167,8 @@ export function createFleetReconciler(deps) {
                 }
                 if (!isTerminalRunStatus(rec.status))
                     continue;
-                deps.bus.publishTask({ ...w.row, status: runStatusToFleet(rec.status), retiredBy: "reconcile", ...fleetRunResiduals(rec.result) });
-                deps.bus.removeTask(id, { ...(w.row.cycleSeq !== undefined ? { cycleSeq: w.row.cycleSeq } : {}) });
-                lastFrameAt.delete(id);
-                watch.delete(id);
-                tally.retired++;
-                deps.metrics?.inc("fleet_rows_reconciled_total", { disposition: "retired_deferred" });
+                if (upgradeWatched(id, w, rec, "cycle"))
+                    tally.retired++;
             }
             for (const row of rotate(snap.tasks, taskCursor)) {
                 if (row.parentId !== undefined)
@@ -169,7 +207,7 @@ export function createFleetReconciler(deps) {
                     tally.skippedParked++;
                     continue;
                 }
-                orphanExit(row, rec.instanceId !== null && rec.instanceId !== (deps.instanceId ?? null) ? "durable_running_other_replica" : "durable_running_no_local_leg");
+                orphanExit(row, runProvenElsewhere(rec, deps.instanceId) ? "durable_running_other_replica" : "durable_running_no_local_leg");
             }
             for (const row of snap.tasks) {
                 if (row.parentId === undefined || present.has(row.parentId))
@@ -222,7 +260,12 @@ export function createFleetReconciler(deps) {
     }
     return {
         runOnce,
-        stop: unsubscribe,
+        stop: () => {
+            stopped = true;
+            unsubscribe();
+            unsubscribeRunTerminal();
+            watch.clear();
+        },
     };
 }
 class ReadAborted extends Error {

package/dist/http/approval-sweeps.js

@@ -1,4 +1,4 @@
-import { redactHead } from "../observability/run-terminal-log.js";
+import { redactHead } from "../observability/run-terminal.js";
 import { findParkOrigin } from "../parked-decide.js";
 import { decodeCheckpointScope } from "../security.js";
 import { personDecision } from "../host-decision.js";

package/dist/http/resume-legs.d.ts

@@ -16,6 +16,7 @@ import { type QuestionAnswer, type CheckpointToken } from "@sema-agent/core";
 import type { DecideBinding } from "./wire-types.js";
 import type { CheckpointStoreFull } from "../plugins/store-backend.js";
 import { type HostDecision } from "../host-decision.js";
+import { type PlanApprovePermissionModeAfter } from "../task-settings.js";
 import type { RouteCtxBase, DriveResumeArgs } from "./route-ctx.js";
 import { type TrustedRunInternals } from "./durable-run-leg.js";
 import type { RunRegistry, RouteHelpers, RouteLegs } from "./route-ctx.js";
@@ -72,7 +73,7 @@ export declare function createResumeLegs(ctx: {
     }, acceptEarly?: boolean, decider?: {
         principal?: string;
         explicitOperator: boolean;
-    }) => Promise<{
+    }, permissionModeAfter?: PlanApprovePermissionModeAfter) => Promise<{
         status: number;
         body: object;
     }>;