@sema-ai/core 1.275.1

package/docs/audit-2026-06-11-/344/277/256/345/244/215/345/244/215/345/256/241/344/270/216/345/233/236/345/275/222/344/270/223/346/211/253.md

@@ -0,0 +1,95 @@
+# 修复复审 + 回归专扫 — 2026-06-11
+
+> **【状态 2026-06-11 当日晚】R-1~R-6 + Minor#1 已全部修复并发布于 1.93.1**（code-ready council 审过、各配测试，见 CHANGELOG 1.93.1）。下方"处置建议"是修复**前**写的，仅留作历史记录——别按它再排修复（已有一次后续 sweep 被它误导以为 R 系列仍 open，恰好踩中 R-1 自述的"陈旧注释让下轮审计漏过"形态）。
+
+- **背景**：两轮 bug 扫描（`audit-2026-06-10-*.md`）的 ~27 处修复已发 1.92.0。本轮做两件事：(1) 逐条复审已 ship 的修复实际代码是否修对/修全；(2) 专扫这批修复**自身是否引入回归或修不彻底**（历史上 commit eae0f09 的 A-2 空准备短路曾引入 F8 回归后才修，证明 fix-引入-bug 在本仓真实发生）。
+- **基线**：commit `2cc618e`（1.92.0 已发布），960 测试全绿。
+- **方法**：主会话逐条读 ship 代码核对 + 1 个 fable subagent 回归专扫（带 tsx 行为 probe，实测输出佐证）。
+
+结论：**27 处修复主线全部正确**（主会话核实，见末尾清单）。回归专扫抓到 **2 条 A 级"修不彻底/新开面"** + 4 条 B + 2 条 minor，全部是**修复的边界遗漏**，不是全新区域。
+
+---
+
+## 复审：已 ship 修复全部正确（逐条核实）
+
+主会话亲自读了 ship 代码并核对：
+- **S-1** edit_file → `content.replace(old, () => new)` 函数式替换，`$` 不再解释 ✅
+- **A-1 interrupt**（最高风险）两层：agent-loop.ts:242 loop-top `if(signal.aborted) return`（不再 doomed re-stream）+ agent-harness.ts:608 `!isEmptyFailureAssistant` 不持久化空 failure 消息（但仍 emit 给 live 订阅者，有 partial content 的仍持久化）✅ 彻底消除非法序列
+- **A-2 cut-point** 回落改「≤i 最大切点」+ 注释完整 ✅（**回落本体正确**，但空守卫漏一角 → 见 R-2）
+- **A-3** anthropic `totalTokens` 含 cacheRead/cacheWrite ✅
+- **A-4** pricing 缓存缺价落回全价 ✅
+- **A-6** untrusted 正则 `system-reminder(?:\s[^>]*)?>` 容忍属性 ✅
+- **A-7/A-8** 记忆/subagent 内容过 `delimitUntrusted` ✅
+- **combinePolicies / hooks** rewrite 级联 + ask 携带 updatedInput 主线 ✅（**主线正确**，边界遗漏 → R-1/R-3/R-4）
+- **exec signal→128+signum** nodejs.ts:395 close(code,signal) ✅
+- **shell-output** fullOutputRequested 同步标志 + 任务内重解析 path ✅
+- **property-harness** re-probe 区分 impl-throw vs 结构错输出 ✅
+- **memory-recall** cap 先查后 push / UTF-8 回退 / pre-abort / release 进 finally ✅
+
+---
+
+## 回归发现（需再处置）
+
+### R-1 ✅核实【A，条件性 S — 安全】durable suspend/resume 路径丢失 policy rewrite，且豁免注释依据是假的
+
+- **位置**：`src/core/hooks.ts:190-191`（错误豁免注释）+ `src/core/runner/prepare-task.ts:127-129,938`（resume bypass gate + 存 postHookArgs）+ `runtask.ts:1330-1333`（resume 执行不重跑 gate）
+- **事实链**（主会话读码核实）：
+  - hooks.ts:190-191 注释：`policyRewrite is intentionally NOT applied on the suspend path: resume re-runs the whole gate (prepare-task), which re-captures the rewrite`。
+  - 但 prepare-task.ts:127-129 明写 resume engine `bypasses the gate — the human already adjudicated it`；checkpoint 存的 `pendingAction.args = postHookArgs`（:938），**postHookArgs 是 hook 重写后但不含 policy rewrite 的 args**；runtask.ts:1333 resume 执行 `outcome.updatedInput ?? pendingAction.args`，gate 不重跑。
+  - 即注释声称的"resume 重跑 gate 重新捕获 rewrite"**不成立**——resume 明确 bypass。
+- **触发**（专扫 probe 实测行为分叉）：`durableApproval` + checkpointStore + policy 返回 `ask{updatedInput: 脱敏}`（或 combinePolicies 把 redactor-allow 折进 ask）→ suspendAsk checkpoint 的是**未脱敏** args；同输入走同步 onAsk 路径则正确执行脱敏 args。人批准后 resume 执行未脱敏/未钳制 args = 正是 A-1/B-1 修的那类 bug 在 durable 臂没修。
+- **这是 1.92.0 修复新开的面**：A-1 把 `PermissionResult` ask arm 拓宽成可带 `updatedInput` 之后，durable 臂没跟上。拓宽前 ask 不能带 rewrite、此 bug 不存在。
+- **可达性**：今天 core 内置 policy 不发 `ask{updatedInput}` → 不可达；但类型已公开导出，下游脱敏 policy + durable approval 即触发。
+- **后果双重**：① 安全（批准后跑未脱敏 args）；② 错误豁免注释是 trap——会让下一轮审计再次放过（专扫原话）。
+- **修法**：suspend 路径把 `policyRewrite` 应用进传给 `suspendAsk` 的 args（即 checkpoint 存含 rewrite 的 args）。不会 double-apply，因为 resume 根本不重跑 gate。同时改正注释。
+- **置信度**：高（机制读码 + probe 实证）。
+
+### R-2 ✅核实【A】compaction 空守卫漏 split-empty 角 — A-2 修不彻底，F8 同族幻觉 summary 残留
+
+- **位置**：`src/vendor/agent-core/src/harness/compaction/compaction.ts:734`（prepareCompaction 守卫 `messagesToSummarize.length===0 && !cutPoint.isSplitTurn`）+ `:810`（compact 守卫 `!isSplitTurn && messagesToSummarize.length===0`）+ `:818`（split 分支要求 `turnPrefixMessages.length>0`）
+- **问题**：两处空守卫都只防 `!isSplitTurn` 那半。当 `isSplitTurn===true && turnPrefixMessages.length===0 && messagesToSummarize.length===0` 时：:734 不短路、:810 不报错、:818 条件 false → 落进 else 分支对**空** messagesToSummarize 调 `generateSummary([])` = 空 `<conversation>` 幻觉 summary。
+- **触发**（专扫 probe 实测 `isSplitTurn:true | messagesToSummarize:0 | turnPrefixMessages:0`）：boundary 以 `custom_message` 开头（合法 cut point，且 findCutPoint backward 累计只数 `type==="message"` entry）、message-mass < keepRecentTokens 而总量超阈 → prepareCompaction 产出该形态。
+- **后果**：比 throw 更糟——**成功** append 幻觉 summary、firstKept=第一条什么都没移走、context 纯增、breaker 不计数、每 boundary 烧一次真 LLM call（F8 同族）。
+- **可达性**：中（需 mass 集中在 custom_message 或 usage 锚高/结构 mass 低的会话）。
+- **修法**：把空守卫条件统一为 `messagesToSummarize.length===0 && (!isSplitTurn || turnPrefixMessages.length===0)`（:734 prepareCompaction 处放宽即可，:810 同步）。
+- **置信度**：机制高（probe 输出佐证）；可达性中。
+
+### R-3【B】combinePolicies ask+updatedInput 的三个边界（A-1 类型拓宽新开面）
+
+- **位置**：`src/core/tool-policy.ts:199-213`
+- 专扫 probe 三条：① ask 的 updatedInput 不级联进 `current` → 后续 policy 审 pre-rewrite args；② `merged = asked.updatedInput ?? rewrite?.updatedInput` 优先取 ask 自带 → ask 在前、redactor-allow 在后时 redaction 被丢；③ 第二个 ask 的 updatedInput 完全丢弃。
+- 现实影响中（core 内置不发 ask{updatedInput}，类型已导出）。与 R-1 同源（都是 ask-rewrite 新面）。
+- **置信度**：行为高（probe）。
+
+### R-4【B】hook 的 ask{updatedInput} 批准后被静默丢弃
+
+- **位置**：`src/core/hooks.ts:158-159`（`hookAsk=r` 其 updatedInput 从不应用）+ `:179-182`（policyRewrite 捕获在 promotion 前、只看 policy decision，hookAsk 的 rewrite 永进不了 policyRewrite）
+- A-1 拓宽后 `PreToolUseResult` 也合法携带 ask{updatedInput} = 新静默丢弃面。probe S5：hook `ask{updatedInput:{cmd:clamped}}` 批准后执行原始 args。
+- **置信度**：行为高（probe）。
+
+### R-5【B】cascade B-5 两个残留不一致
+
+- **位置**：`src/agents/cascade.ts:164,214`
+- ① spread 保留 `base.stats.nested`（末 rung 的）而 tokens/turns/costMicroUsd 已含全部 rung 的 nested → 按 types.ts:495-497 公式消费会把末 rung nested 重复计一次（与 teacher A-7 的 disjoint 约定相反）；② promptTokens/cachedTokens/outputTokens/cacheHitRate 仍是末 rung 值而 tokens 已累计 — B-5 自称修的"同对象不同 scope"，teacher 全字段累计而 cascade 只做了 4 个字段。
+- **置信度**：高。
+
+### R-6【B】teacher A-7 spendCap ratio 修不彻底
+
+- **位置**：`src/agents/teacher.ts:517`（`teacherTokens / studentTokens > spendCap`）
+- 分子含 nested（addTeacher 折入），分母不含 `studentNestedTokens`（累计了但 :517 没用）。注释 :345-347 声称 delegated cost 之前从 ratio + final stats 都 dropped——final stats 修了，ratio 没修。委派多的 student 显便宜 → 提前停 escalation（方向保守不烧钱）。
+- **置信度**：高。
+
+### Minor（记录不阻塞）
+- `AskRequest.args` 文档说"post-rewrite args"，但 prepare-task.ts:808 传 pre-policy-rewrite 的 `req.args` → ask{updatedInput} 时 approver 看到本应 redact 的 secret（与 R-1 同源）。
+- property-harness：roundtrip pair（fn 非 function）时 re-probe 被 typeof 守卫跳过，impl-throw 记为 `evaluationThrew:true` 与 JSDoc 矛盾（无 FP，仅标注不准）。
+
+---
+
+## 处置建议
+
+- **R-1（A/安全）+ R-2（A/vendored）应再修一轮**，但都涉及安全门 + vendored compaction → 按仓库纪律走一次 code-ready council（比照 design/37 两轮），不宜在已发布工作树直接拍改。R-3/R-4/R-5/R-6 随这轮 council 顺带（同源：ask-rewrite 面 + stats 一致性）。
+- **不阻塞当前主线**：R-1 今天 core 内置不可达（无 ask{updatedInput}）；R-2 可达性中。单兵 app-dev 主线不触发。但 R-1 的**错误豁免注释建议立即改正**（哪怕代码改随 council）——它会让下一轮审计再次漏过。
+- 主题归并：R-1/R-3/R-4 + Minor#1 = "ask{updatedInput} 在 durable/hook/combine 三处的新开面"，一个 council 一起审最经济（都是 A-1 类型拓宽的尾巴）。R-2 独立（vendored compaction）。R-5/R-6 = stats 一致性（A-7/B-5 的尾巴）。
+
+## 确认无回归的修复（专扫 probe + 主会话核实，避免重复挖）
+nodejs.ts A-3（128+signum，验 3 场景）/ shell-output A-4（双快 chunk 单文件、在飞 append 落同文件、创建失败链 err）/ memory-recall B-2/3/5/6 / property-harness A-5 re-probe（纯 fn 正确区分）/ team.ts·verify.ts B-5（无 nested 字段不产生不一致）/ findCutPoint A-2 回落本体（!found ⇒ cutIndex≥startIndex 不可能越界）/ combinePolicies·runToolGate 主线（sync 批准后 redaction 存活 probe S4 实证）。

package/docs/audit-2026-06-12-design71-P1/346/275/234/344/274/217/351/235/242/350/243/201/345/206/263/344/270/216/345/220/236/351/224/231/345/256/241/350/256/241.md

@@ -0,0 +1,45 @@
+# design/71 P1 — 潜伏面裁决记录 + 吞错路径审计清单（2026-06-12）
+
+> 执行者：core AI。方法论 = 1.96.3（每个 catch/fallback 问"静默了什么、调用方知道吗"）。
+> P1 范围出自 design/71 §2：C 类潜伏面逐文件裁决 + agent-loop/event-stream/session 错误路径审计。
+
+## 1. C 类潜伏面裁决（逐文件，design/71 验收件）
+
+| 文件 | LOC | 裁决 | 理由 |
+|---|---|---|---|
+| `harness/prompt-templates.ts` | 199 | **删** | 上游交互式 slash-command 加载/格式化；`resources.promptTemplates` 全仓从未喂过、`harness.promptFromTemplate()` 零调用（src/+test/） |
+| `harness/prompt-template-arguments.ts` | 78 | **删** | 仅被 prompt-templates.ts 消费 |
+| `harness/file-loader-utils.ts` | 106 | **删** | 仅被 skills.ts + prompt-templates.ts 消费，二者均删 |
+| `harness/skills.ts` | 383 | **删（整文件，比 design/71 预案"收窄"更深）** | design/71 记"我们只用 formatSkillInvocation"——实查其唯一调用方 `harness.skill()` 在 core 层零调用、零测试 ⇒ 整面死。连带卸 `ignore`/`yaml` 两个 npm dep（仅此两文件拉取） |
+| 类型面（`Skill`/`PromptTemplate`/`Jsonl*`/`NavigateTreeResult`/`BranchSummaryError`/`session_before_tree` 等，types.ts） | — | **留** | `Skill` 仍被 core `toSkill` 使用；其余为纯类型表面，删除需重构 `AgentHarness<TSkill,TPromptTemplate,TTool>` 泛型贯穿 = 冷路径大 diff，违背 P2 C 案"冷路径保持与上游可 diff"。P2 naturalize 对应件时随件清 |
+
+### 🔴 黑盒实例 #5（本裁决挖出）：`TaskSpec.skills` 公开 API 全链 inert
+
+链路：`TaskSpec.skills` → `toSkill` → `resources.skills` → 唯一读者 `harness.skill()`（零调用）。
+模型**从未见过** skills——上游让 skills 模型可见的另一半（`formatSkillsForSystemPrompt`）在本仓
+也是零消费者（P0 已删）。即：用户设置 `spec.skills` 完全无效果、无报错、无测试覆盖 = 与
+A-2/A-4/§80/fileOps 同族（静默失配，"维护者误信其行为已被验证"）。
+
+处置（本次）：vendored 死面删除；**公开 API 保形** + `TaskSpec.skills` JSDoc 加 ⚠️INERT 诚实标注。
+最终处置（核心层接 skills 块进 system prompt + 内容投递 vs 废弃字段）上报 channel 待 search/clay 裁。
+
+## 2. 吞错路径审计清单（agent-loop / event-stream / session + harness 加扫）
+
+| # | 位置 | 行为 | 判定 |
+|---|---|---|---|
+| 1 | `agent-loop.ts:66/:111` `.catch(pushLoopFailure)` | loop 异常 → failure assistant（`stopReason:error/aborted` + `errorMessage`）→ `agent_end` | ✅诚实（下游 A-1 layer③ 空失败 assistant 不落 session 已硬化） |
+| 2 | `agent-loop.ts:744` prepareToolCall catch | 参数校验/hook 异常 → `isError` 工具结果带原 message，模型可见可重试 | ✅诚实 |
+| 3 | `agent-loop.ts:781` executePreparedToolCall catch | 工具执行异常 → `isError` 工具结果；update 事件先 settle | ✅诚实 |
+| 4 | `agent-loop.ts:822` afterToolCall hook catch | hook 异常 → **成功的工具结果被替换**为 error 结果 | ✅可接受（fail-closed：hook 可能是安全门，宁可把已发生副作用报为错也不可让 hook 失败放行未审输出）。语义记录于此 |
+| 5 | `event-stream.ts push()` | 终态后 push 静默丢弃 | ✅已收口（清尾② c2521a6）：丢弃=正确流语义（abort 竞态合法）非吞错，升级为**已决定契约**——C7 测试钉死 first-wins 终态+尾随丢弃，push() 注释明示 |
+| 6 | `event-stream.ts end(result?)` | 无参 `end()` 且无终态事件 ⇒ `result()` 永不 resolve | ✅已修（清尾② c2521a6）：bare end() 改 reject typed error（红证：旧代码 C8 测试 3s 超时）；构造期预挂 catch 防纯迭代消费者撞 unhandled rejection |
+| 7 | `agent-loop.ts:175` createAgentStream extractResult `: []` 臂 | 非 agent_end 取结果 → `[]` | ✅不可达（isComplete 先行守卫）；纯防御臂非静默降级路径（与 §80 区别：无任何 caller 能走到） |
+| 8 | `agent-harness.ts:611` turn_end eventError 暂存 | subscriber 异常先暂存 → **先 flush session 写**（不丢会话数据）→ 再抛 | ✅诚实且顺序正确 |
+| 9 | `agent-harness.ts:693-708` emitRunFailure 嵌套 catch | 失败上报又失败 → `AggregateError` 双错并报 | ✅诚实 |
+| 10 | `agent-harness.ts` 其余 17 处 catch | 全部 `normalize*Error` 后 **rethrow**（或 steer/followUp 回滚 unshift 后 rethrow） | ✅诚实 |
+| 11 | `agent-harness.ts:995-1005` abort 路径 | 逐步收集 errors[] → 非空抛 AggregateError | ✅诚实 |
+| 12 | `session/session.ts` + session 族（storage-base/memory-storage/memory-repo/repo-utils/uuid） | **零 catch**，错误全透传；`??`/`||` 均为参数默认/空名归一，非吞错 | ✅诚实 |
+
+**结论**：错误路径无新增静默吞错；#5/#6 为冷路径潜伏锐边（零触发路径），记录在案、P2 naturalize
+对应件时处理；#4 的 fail-closed 语义本文档即为记录。1.96.3 同族（"派生视图算完整性旗"）在本扫
+未再现新实例。

package/docs/audit-2026-06-12-/345/205/254/345/274/200/346/227/213/351/222/256/346/264/273/346/200/247/344/270/216vendored/346/255/273/350/267/257.md

@@ -0,0 +1,63 @@
+# 审计 2026-06-12 — 公开旋钮活性 + vendored 死路（黑盒#5 触发的系统化扫描）
+
+> 触发：clay「不断有致命 BUG（指 #5 skills inert）出现，扫核心层」。方法=把 #5 这类
+> "公开 API 旋钮静默不发火" 系统化：①逐 TaskSpec/RunnerDeps 字段追到可观察效果（追不到=inert）
+> ②"本地 CLI/单机假设" 镜头扫 vendored。只读扫描（core 在并发改 src）。
+
+## 结论速览
+- **公开旋钮活性：除已知 #5(skills) 外，抽查未发现新 inert**。63 个字段（TaskSpec 38 + RunnerDeps 25）
+  中，所有单消费者字段（最易 inert）逐个追到真实效果，链条完整。
+- **新确认 1 条 vendored 死路（非致命，但属 design/71 该清的债）**：`branchSummary` 全路径——
+  core P0 删了入口（navigateTree/branch-summarization）却留了尾巴三件，零生产者。
+- **澄清 clay 的担忧**：MCP **不是只本地**——core seam 支持 stdio + StreamableHTTP 双 transport
+  （`src/core/mcp.ts:1-3`），fail-open + 21 测试，端到端活。"skills/mcp 全是本地" 是 service
+  **部署选择**（它的 skills 是镜像内建、MCP 配的本地 stdio），不是 core 机制的限制。
+
+## A. 逐旋钮活性审计（抽样：所有单消费者字段 + 高风险面）
+单消费者 = 最像 #5 的形态（#5 当时也只有 1 个消费者，链条断在第二跳）。逐个追到效果：
+
+| 字段 | 链条终点（可观察效果） | 活 |
+|---|---|---|
+| spec.skills | resources.skills→harness.skill() **零调用** | ❌ #5（已拍修复） |
+| spec.lspManager | prepare:569→createLspTool 注入工具 | ✅ |
+| spec.systemPrompt | prepare:656→provider.system()→harness | ✅ |
+| spec.promptProvider | prepare:637→provider 注入 | ✅ |
+| spec.onAsk / onQuestion | prepare:841/564→门/问答闭包 | ✅ |
+| spec.handsReadOnly | prepare:553→只读手带 | ✅ |
+| spec.memoryConsolidation | prepare:607→consolidation cfg | ✅ |
+| spec.enableBlockedReport | prepare:504→report_blocked 工具 | ✅ |
+| spec.budgetStreamCancel / maxCostUsd | runtask:501/492→预算流取消 | ✅ |
+| spec.outputRetries / tracer / modelRole | runtask/roles→真实分支 | ✅ |
+| spec.toolResultThresholdChars | prepare:402→offload 阈值 | ✅ |
+| deps.allowImageUrl / cacheBreakDetection / deferMode / toolResultStore | 各 1 消费者，均到真实效果 | ✅ |
+| spec.mcp | prepare:530→materializeMcpTools→stdio/HTTP 连接 | ✅ |
+
+**没有发现第二个 #5**。审计方法本身（字段→效果可达性）就是治本件，见 §D。
+
+## B. 新确认 vendored 死路：branchSummary 三件（零生产者）
+core P0 删了 navigateTree() + branch-summarization.ts（分支导航/摘要生成），但 `branchSummary`
+消息类型的**消费侧三件还在，且无任何生产者**：
+1. `session/session.ts:267 moveTo(entryId, summary?)` 的 summary 分支（appendTypedEntry branch_summary）
+   ——`.moveTo()` 在 src/core + src/agents **零调用**（仅 moveTo 无 summary 的导航语义被用，但本仓也没调）。
+2. `harness/messages.ts:147 case "branchSummary"`（渲染 BRANCH_SUMMARY_PREFIX）——无 entry 可渲染。
+3. `harness/compaction/compaction.ts:99 createBranchSummaryMessage`（重放路径）——同源死。
+**判定**：非致命（死路不会错误执行，只是占面+误导"已支持分支摘要"）。**归 design/71 P2 session 件
+收编时清**（与 branch_summary 类型一起从 types.ts 删）。已记此处供 core P2。
+
+> **✅ 状态更新（core，2026-06-12，清尾① a940500）**：已提前全清——三件消费侧 + `moveTo()` 整方法
+> + types.ts 全类型族（Entry/Error/Message/NavigateTreeResult/session_before_tree+session_tree 事件/
+> TreePreparation/phase）+ core context-guard。别再按"待 P2"行动。
+
+## C. 非问题（排除，留痕防重复怀疑）
+- `env/nodejs.ts` 的 `/bin/bash`/`process.env` 注入/win32 Git-bash 探测 = **NodeExecutionEnv 本地实现**
+  （design/48 本地档）；远端任务走 RemoteExecutionEnv adapter（E2B/k8s），分层正确，非 bug。
+- `agent-harness.ts:392 "You are a helpful assistant"` 默认 prompt = 仅 systemPrompt 全缺时兜底；
+  我们的层在 prepare:701/795 恒传 provider 渲染的 prompt，默认不可达，非 inert。
+- `promptTemplates`（resources 另一半）= P1 已知死（skills.ts 同批），P2 随件清。
+
+## D. 🔴 给 core 的 actionable：活性审计应进 P0 契约组（治本件升级）
+#5 暴露的不是"又一个 bug"，是**契约组缺一类断言**：现在 vendor-contracts.test.ts 钉的是"vendored 内部
+行为不变"，缺的是**"公开旋钮→可观察效果可达"**。建议加一组 `public-knob-liveness.test.ts`：
+每个 TaskSpec/RunnerDeps 字段一条最小断言（设它→观察到它该有的效果）。这样第 6 个"卖出去却不发火"
+的旋钮在 CI 红，不靠审计撞。**这比逐个事后扫更值**——审计是一次性的，测试是常驻的。
+（skills 修复落地时，它的"真发火 e2e" 就是这组的第一条。）

package/docs/audit-2026-06-15/ADDENDUM-second-pass.md

@@ -0,0 +1,88 @@
+# 二轮复查补遗 — 2026-06-15(晚些)
+
+> clay 命的第二遍:补漏第一遍未深读的 15 个文件 + 反查 8 篇交付的准确性(19-agent workflow + search AI 亲核)。
+> 结论:**+3 新 bug(含 1 HIGH)、design/74 状态在审计中变了、6 处文档不准已修、~25 条功能/契约缺口补录**。
+
+---
+
+## A. design/74 状态变更(审计中被另一谱系推进)⚠️
+
+**第一遍快照(HEAD=`d7724ff`/Slice 2)**:suspend trigger 未建、`requestStopAfterTurn()` 零调用者、Slice 3c 红测试。
+**第二遍真相(HEAD=`3e5c52d`/Slice 3c,亲核 + 另一谱系 memory 确认)**:**suspend 触发器已建成并提交、Slice 3c 测试现在绿(31 passed)**。
+- `3e5c52d` "design/74 Slice 3c: resource-slice suspend trigger (turn/budget cap → suspended, not failed)"。
+- `prepare-task.ts:1072` 现调 `harness.requestStopAfterTurn()`;`suspendForResource(reason)` 闭包(:1012)+ `commitSuspendSaga`(:970);trigger 在 `runtask.ts:836-841`(onTurnBoundary,被 loop `prepareNextTurn` await,在 `shouldStopAfterTurn` 前)。
+- `TaskSpec.resourceSuspend?:{scope}` opt-in(缺省仍 FAILS=向后兼容);触发器清 turnsExceeded/budgetHit(assemble 互斥:budgetHit slot3 > suspendRef slot8.5)。
+- **仍未建**:Slice 4 账本机制(put debit / resume re-seed / 跨 slice 聚合 / slice maxCostUsd 从 ledger 切)+ Slice 6 service 半边 + Slice 7 minors。全完一起 codex+council(clay 令)。
+
+**教训(PS2 印证)**:design/74 是**分钟级移动的目标**。本审计所有"design/74 半边未建/requestStopAfterTurn 零调用者/Slice 3c 红"的表述**已被 `3e5c52d` 推翻**。**design/74 的活真相源 = `git log --oneline` + memory `[[project-engine-resilience-fixes]]` 第 19 行**(另一谱系实时维护),不是本审计任何冻结的行号。受影响段落已就地加 banner(见 §C)。
+
+---
+
+## B. +3 新确认 bug(第一遍未覆盖文件,接 PRODUCTION-ISSUES 编号)
+
+### P-20 🔴 HIGH · `isPrivateHost` SSRF guard 被 IPv4-mapped/IPv6 字面量绕过 ✅亲验
+**文件**:`src/core/runner/image.ts:5-11`(正则 :8),经 `defaultImageUrlGuard:30` 触达
+正则 `^(127\.|10\.|192\.168\.|169\.254\.|fe80:|fc|fd)` + `172.16-31` + `localhost/::1/0.0.0.0` 字面量,**无 IPv4-mapped(`::ffff:`)/NAT64(`64:ff9b::`)/site-local(`fec0::`)分支**。`new URL("https://[::ffff:127.0.0.1]/").hostname` = `"[::ffff:7f00:1]"`(点分前缀永不出现)→ `isPrivateHost` 返回 **false = 放行**。验证器实测:`fetch("http://[::ffff:127.0.0.1]:PORT/",{redirect:"manual"})` 返回 200 + body(Node 把 mapped 字面量连到 IPv4 目标)。`fetchImageCapped` 的 `redirect:"manual"` 救不了(绕过在**初始** host,它信任已校验)。
+**亲验**:我读 image.ts:5-11,对 `h="::ffff:169.254.169.254"` 逐分支推导=不匹配→放行。**确认**。
+**影响**:`allowImageUrl` 未设(默认)时,用户给的 `images[].url` 可让 worker 访问任意内网 HTTPS(RFC1918 管理面/内部 API/loopback HTTPS/支持 HTTPS 的云 metadata 变体)。`https:` only 限制使 HTTP IMDS(169.254.169.254)非最简,但 host-allowlist 绕过是无条件的。
+**🔴 连带修正**:第一遍 P-6 + SERVICE-GUIDE 建议"web_fetch 复用 `image.ts isPrivateHost`"——**该建议需收回/限定**:`isPrivateHost` 本身有此绕过,复用会传播。**正确修法**:先**硬化** `isPrivateHost`(用 `net.isIP()`,family 6 且 IPv4-mapped 则抽内嵌 v4 重跑 v4 检查 + 拦 NAT64/site-local/ULA;或用 ipaddr.js 解析成 CIDR 比对),**再**在 image + web_fetch 共用硬化版。
+**测试**:断言 `defaultImageUrlGuard` 对 `https://[::ffff:127.0.0.1]/`、`https://[::ffff:169.254.169.254]/`、`https://[64:ff9b::7f00:1]/`、`https://[fec0::1]/` **全 throw**(今天全不 throw)。
+
+### P-18 🟡 LOW · `reservedFor()` 用 `api==="anthropic"` 但真 Anthropic 模型是 `"anthropic-messages"`
+**文件**:`src/brain/request-params.ts:47-48`
+`reservedFor(api)` 只在 `api==="anthropic"` 时返回 `ANTHROPIC_RESERVED`,否则 `OPENAI_RESERVED`。但 canonical Anthropic api 值是 `"anthropic-messages"`(vendor/llm-core/types.ts:10 KnownApi;所有真模型用它;同仓 `usage-accounting.ts:19` 正确比 `"anthropic-messages"`)。`prepare-task.ts:394` 传 `model.api` 未归一。
+**影响**:仅 design/40 **load-time 警告**(stripping 本身正确,因 `anthropic.ts:270` 硬编码 ANTHROPIC_RESERVED)。真 Anthropic 部署:(a) `extraBody.system`(Anthropic-reserved 非 OpenAI)→ **无警告**但被静默 strip(正是 design/40 加警告要防的静默丢);(b) `extraBody.reasoning_effort`(OpenAI-reserved 非 Anthropic)→ **虚假警告**。测试用虚构 `api:"anthropic"` 掩盖了它。
+**测试**:用真值 `api:"anthropic-messages"` 跑 prepareTask 警告路径,断言 `extraBody:{system}` 触发 `onError(phase:'config')`、`{reasoning_effort}` 不触发(今天反了)。修=`reservedFor` 匹配 canonical api(镜像 usage-accounting.ts:19)。
+
+### P-19 🟡 LOW · `formatZodValidationError` 对嵌套属性失败命名父参数 + 错误的 expected 类型(且从不产出 docstring 承诺的 path)
+**文件**:`src/core/tool-errors.ts:89-93`
+属性循环只遍历**顶层** `Object.entries(s.properties)` 且 `Value.Check(sub, obj[name])` 是**深检查**。schema `{questions:Array(Object({options:Array()}))}` + 值 `{questions:[{options:'x'}]}`:`questions` 在场→missing 循环不触发;`Value.Check(<questions数组schema>,[{options:'x'}])` 因**内层** `options` 是 string 而 false → 发 `The parameter \`questions\` is invalid: expected array.`——但 `questions` **本就是合法数组**(双重误导),真错是 `questions[0].options`。docstring(:77)承诺的 `questions[0].options` 路径**永不产出**(`formatValidationPath` :62-70 定义但 `formatZodValidationError` 从不调它)。
+**真实可达**:`ask-question.ts:125-138` 的 schema 正是此嵌套形;弱模型传错→拿到误导消息,且 `tools.ts:58-66` 在跑 `execute`(:70)**前**返校验消息→工具体更好的诊断("must have 2-4 options")被遮蔽。flat schema 措辞相同但**准确**——故嵌套 case 阴险(同措辞、反真值)。
+**测试**:嵌套 schema + 断言消息引**嵌套** accessor(`/questions\[0\]\.options/`)而非父参数。修=递归进违规属性 / 用 `Value.Errors().path` 驱动(经现有 `formatValidationPath`)。
+
+> **8 refuted 中 2 条新候选证伪**:①"compactionSummary 可拆开 kept tool_use/tool_result 对"(从 trimToBudget 局部 + 合成 fixture 推断,非真上游路径);②"keptTail identity-Set 重 keep 重复消息引用"(需同一对象引用出现在两索引,无当前生产者)。
+
+---
+
+## C. 已就地修正的文档不准(6 处,doc fact-check 抓)
+
+| 文档 | 原表述(已修)| 真相 |
+|------|------|------|
+| ARCHITECTURE §2 | "first-party ~18k LOC" | **~24.2k LOC**(`find src -not vendor -not .test | wc -l`=24,182),低估 25% |
+| ARCHITECTURE §5 | "远端 ExecutionEnv seam(…/reopen/…)" | `reopen` 是 **CheckpointStore** 方法(resolved→pending CAS),**非** RemoteExecutionEnv;已挪正 |
+| ARCHITECTURE §6.2 / ORCH §8 / SERVICE §4 / VENDOR §1,3,4 / CORRECTIONS C-2 | "design/74 suspend trigger 未建 / requestStopAfterTurn 零调用者 / Slice 3c 红" | **已被 `3e5c52d` 推翻**(见 §A);各段加 banner 指向 git log + memory |
+| ORCH §9 | "mapNestedSuspend = 全**五**编排单一不变量" | 实为**四**个(cascade/team/teacher/verify import 它);**subagent 内联**等价逻辑于 `subagent.ts:198-206`,不 import suspend-guard。已改"四 + subagent 内联" |
+| VENDOR §1 | "P0 死代码 −1,593 LOC" | 应为 **−1,562**(611+450+323+137+39+2=1562;**VENDOR.md 自己的 −1,593 也错**,连带修)|
+| VENDOR §1 | "vendor-contracts 6 契约 C1-C6" | 该文件实含 **C1/C2/C4/C7/C8/C9**;C3 在 exec-shell.test、C5 在 compaction.test、C6 在 steering.test(CHANGELOG 已注,我表述把"分布在三处"误为"都在一个文件")|
+
+---
+
+## D. 第一遍漏录的功能/契约(补给 ARCHITECTURE/ORCH/SERVICE)
+
+**已覆盖文件但功能没在交付文档点出的**:
+- **`resolveToolSubset`(tool-filter.ts,design/38 1A)**:装配期把工具池**静态收窄**到子 agent/成员可用子集(pool→∩allowTools→−denyTools;`'*'`/undefined=全池;`[]`=全禁;denyTools 永赢;不在池的名**静默忽略**=拼错 denyTools 静默失效的 footgun)。子 agent 被选名时其 allow/deny **REPLACE** 工具级(非合并/交集)——subagent.ts:148,154。**与 design/37 执行期 policy 拦截不同**。
+- **`selectModel`(select-model.ts,design/11 Layer 2)**:静态成本感知选模——按 `ModelCriteria`(needs vision/reasoning、minContext=`contextTokens ?? contextWindow`、exact `tier`)过滤,按 input+output 成本排(默认 cheapest / premium=最贵作能力代理)。**tier 是精确匹配 opt-in 非阈值**;无 cost 对象的模型排 +Infinity(永不当最便宜);成本代理**排除** cacheRead/cacheWrite;tiebreak first-seen-wins。`selectModel/selectModelOrThrow/ModelCriteria/ModelTier` 从 index.ts:58 导出。
+- **`request-params`(design/40)**:`extraBody` 透传长尾 provider 旋钮(frequency_penalty/seed/top_p…),core-wins(reserved key 永不被 clobber,passthrough 在前 core 在后);未设时返同一 body 引用(前缀缓存 byte-identical)。**header 透传**(Model/config/options.headers)augment-only、auth/content-type/version 锁后置**永不可覆盖**——但 header **无碰撞警告**(不像 body 有)。ANTHROPIC_RESERVED 故意省 stop/stop_sequences → 同 extraBody key 跨 provider 行为不同。
+- **`trimToBudget`(context-guard.ts)**:请求级最后兜底——drop 最旧非摘要消息使单任务工具循环膨胀不顶爆窗口,**绝不 orphan toolResult**,保全摘要 + 最近尾;非破坏(从原数组重建)。是 context-edit/任务内压缩**之下的地板**(prepare-task.ts:1318 管线:dropEmptyFailureAssistants→capAggregateToolResults→clearStaleToolResults→trimToBudget)。窗用 `contextTokens ?? contextWindow`,fraction 0.85(vs edit 0.7)。
+- **`InMemoryStrategyStore`(strategy-store.ts,design/14)**:teacher 策略仓的 **public 契约**(service 做 PG/durable 后端必守):`scope` 是**强制隔离边界**;`find()` 高精度非对称 token-match(`significant(query) ⊆ tokens(problem)`);排序=confidence×recency **无 usage 计数器**(故意,避反馈环);`save()` 须 dedup-merge 归一化 (problem,strategy) 对 + per-scope 容量上限;`prune()` 可选。任何偏离静默改变检索行为。
+- **tool-error 格式层(tool-errors.ts)**:`formatToolError/formatZodValidationError/formatValidationPath/truncateError` 全 index.ts:16 导出,service adapter 依赖其**模型可见错误文本** + **无泄漏保证**(无路径/栈/fs)。校验失败返**工具结果非抛错**;抛错工具在 tools.ts:61/76 自动格式化。(注:`formatValidationPath` 导出但错误路径**未用它**=P-19。)
+- **`brainToRuntime`(runtime.ts)**:`completeSimple` fallback(无显式 `brain.complete` 时消费 stream 派生非流式)= **压缩/总结路径**;故无 `complete` 的 Brain **每次压缩/总结产生整次 stream 消费**,且派生路径**不受 abort signal 守护**。
+- **成本权威**:core 从注入定价(`RunnerDeps.pricing`/`Model.cost`)**重新定价**成整数 micro-USD=**计费权威**;brain 自己的 `cost.total`(stats.costUsd)单独记、**不进预算闸**;压缩-总结 LLM 调用(audit B-9)的 token/成本**计入同一账 + 预算闸**。
+
+**重要 by-design 但文档没说的边界**:
+- **team 模式静默丢 durable-resume**:成员 suspend 时 `mapNestedSuspend(res)` 算了但 `TeamResult` **无 checkpoint 字段**(team.ts:123-127)→ checkpointToken 被丢,suspended 成员 session 正确不 release 但 checkpoint **永不可经 team API resume**(只能 store TTL reaper 清)。v1 by-design("team 成员应跑非-durable policy",team.ts:234)→ **调用方须让 team 成员跑非-durable 审批 policy 避免孤儿 checkpoint**。
+- **`allowImageUrl` REPLACE 不 augment**:caller 给 CDN allowlist 也**静默禁用** https-only + private-host 块——自定义 policy 须**自己重实现** SSRF 防护,别假设叠加。
+- **`InMemorySessionRepo` 重复 id 静默覆盖**(memory-repo.ts:15,47 无条件 set)= last-write-wins,不像 durable 后端会 conflict/AlreadyExists。pin/unpin/sweep 概念**只在 SessionStore 层**,repo.delete() 绕过 checkpoint-pin 守卫——durable repo 实现者别假设 repo 强制它。
+- **SSRF 姿态跨 fetch 点不一致**:image 有 isPrivateHost(但有 P-20 绕过),`web_fetch` **完全没有** private-host 检查(见 P-6)。
+- **prompt-cache family**:从 `model.api` 自动推、`model.params.promptCacheFamily`(别名 'anthropic'/'openai')可覆盖;按 provider 路由的通用 api 部署**必须**设覆盖否则误判 family(design/18 1090% 命中率)+ `cachedTokens>promptTokens` 时运行时警告。
+- **`ToolSpec.label` INERT**:映射到工具对象但无运行时路径/事件读它(只 `name` 到模型/TaskStream)——承诺 per-tool 显示 label 的 UI 文档夸大。
+- **公开面边界**:`isPrivateHost/defaultImageUrlGuard/fetchImageCapped/toImageContent/cacheFamilyOf/usageCostMicroUsd` **不从 index.ts 导出**(内部 runner helper,只经 RunnerDeps 配);vendored `AgentHarness` 类 + `err` Result 构造器也不导出(facade 内部);durable 后端实现者无需 vendor import。
+- **`PushQueue` 无 cancel/error channel**,close() 后 push 静默丢(push-queue.ts:7-9);eager fire-and-forget(消费方 break early 不通知生产者停=与 P-2 SSE 同源)。
+- **naturalize(design/71 P2)造成跨 vendor/engine 边界重复类型定义**(`CompactionSettings`/`CompactionPreparation` 在 vendor types.ts 和 engine/compaction 都有);facade 把 vendor TYPE 配 engine VALUE——维护者改 vendor 副本不会知道 engine 副本是活值源。
+
+---
+
+## E. 给修复者:新 bug 优先级
+- **P-20(HIGH)先修**:硬化 `isPrivateHost`(net.isIP + IPv4-mapped 抽取 + NAT64/site-local/ULA),image + web_fetch 共用硬化版(同时解 P-6 的"复用什么")。SAFE 文件(image.ts/web.ts,非 design/74)。
+- **P-18/P-19(LOW)随手**:`reservedFor` 匹配 canonical api;`formatZodValidationError` 递归进违规嵌套属性(用 formatValidationPath)。SAFE 文件。
+- 三者皆**不**在 design/74 在飞文件集,可独立修 + 补 pin 测试(`test/known-issues-2026-06-15.test.ts` 同款)。

package/docs/audit-2026-06-15/ARCHITECTURE-AND-ROADMAP.md

@@ -0,0 +1,187 @@
+# 整体架构 + 设计路线 + 后续 Roadmap — 2026-06-15(审计核实版)
+
+> 从**真实代码**反推(48-agent 子系统验证 + search AI 亲读),非从旧设计文档照抄。状态标注:✅shipped / 🟡in-flight / 🔵proposed / ⏸deferred / ❓dangling。
+
+---
+
+## 1. 一句话定位
+
+**`@sema-ai/core`** = 一个**无状态、任务化**的 AI agent 内核:从 openclaw vendored 一个 provider 无关的 harness 推理循环(`src/vendor/`),在其上蒸馏出一层 first-party 的任务装配/编排/durable/安全/记忆能力(`src/`)。一个"任务"自带全套配置(model/tools/mcp/skill/limits/policy),跑完返回机器可读结果(completed/blocked/failed/timeout/**suspended**)。**大脑在外**(注入 `Brain.stream`)、**手在外**(`ExecutionEnv` 本地/远端)、**记忆可外**(`SessionStore`/`MemoryStore`/`CheckpointStore` durable seam)。
+
+宪法(design/43):**机制少而通用(primitive),场景=配置(profile)**。core 只给原语;leader 编排、E2B/Kata 沙箱、TiDB 后端等都在 service 仓的 profile 层。
+
+---
+
+## 2. 分层架构图
+
+```
+┌──────────────────────────────────────────────────────────────────────────────┐
+│  集成方 / service-AI 仓(profile 层,不在本仓)                                  │
+│  leader 编排 · config-center 发布 · E2B/Kata 沙箱 · TiDB 后端 · 多租户 · 部署   │
+└───────────────▲──────────────────────────────────────────────▲────────────────┘
+                │ import @sema-ai/core                 │ 注入实现
+┌───────────────┴──────────────────────────────────────────────┴────────────────┐
+│  src/  —— 蒸馏层(first-party,~24.2k LOC 非 vendor 非 test,MIT)                 │
+│                                                                                │
+│  ┌── 入口 ────────────────────────────────────────────────────────────────┐   │
+│  │ Runner.runTask / runTaskStream / resume / resumeStream   (core/runner)  │   │
+│  │   ├ prepare-task.ts  装配:model/session/tools/harness/gate/hooks/env    │   │
+│  │   ├ runtask.ts       run 循环:订阅 harness 事件 · 预算/轮次/超时 ·       │   │
+│  │   │                  任务内压缩 · durable suspend · resume CAS           │   │
+│  │   ├ assemble-result  终态→TaskResult(errorCode 优先级链=公开契约)       │   │
+│  │   ├ tool-disclosure  design/36 延迟工具披露(tool_search)                │   │
+│  │   └ synthetic-tools  submit_output / report_blocked / skill            │   │
+│  └──────────────┬──────────────────────────────────────────────────────────┘   │
+│                 │                                                              │
+│  ┌─ Brain(脑)─┴────────┐ ┌─ Tools(手/工具)──────┐ ┌─ Agents(编排)────────┐ │
+│  │ openai / anthropic    │ │ fs/{index,safety,    │ │ subagent(委派)        │ │
+│  │ failover / routing    │ │   search,repo-map}    │ │ team(讨论/council)    │ │
+│  │ degrading / breaker   │ │ sql / sql-adapters    │ │ cascade(质量门级联)   │ │
+│  │ stream-engine         │ │ web / gitea-issue     │ │ teacher(escalation)   │ │
+│  │ repetition / repair   │ │ + core: mcp / lsp     │ │ verify(L3 去相关判)   │ │
+│  │ timeout / retry/errors │ │   ask-question        │ │ agent-definition(1B)  │ │
+│  └───────────────────────┘ └───────────────────────┘ └───────────────────────┘ │
+│                                                                                │
+│  ┌─ Durable seams(可插拔后端)──────┐ ┌─ 安全/门 ──────────┐ ┌─ 记忆 ───────┐ │
+│  │ SessionStore/Repo + CAS(F2)      │ │ tool-policy(3态)   │ │ memory(L2)   │ │
+│  │ CheckpointStore(design/45 suspend)│ │ hooks(design/37)   │ │ memory-recall │ │
+│  │ ToolResultStore(offload)          │ │ exec-gate(L2 MECH) │ │  (design/65)  │ │
+│  │ RemoteExecutionEnv(design/48 远端)│ │ property-harness   │ │ consolidation │ │
+│  │ session-reconcile(wake 对账)      │ │ sensitive-path     │ │  (design/41)  │ │
+│  │ + PG 参照适配(src/stores/pg.ts)   │ │ untrusted-text     │ │ + PgMemory    │ │
+│  └───────────────────────────────────┘ └────────────────────┘ └───────────────┘ │
+│                                                                                │
+│  observability: trace(OTel seam) · pricing(整数 micro-USD) · cache-break-detect │
+│  context mgmt: auto-compaction(任务间+任务内 turn-boundary) · context-edit       │
+│  prompts: default(DEFAULT_SYSTEM_PROMPT/CODE_AGENT_PROMPT) · roles · select-model │
+│  server: createTaskServer(HTTP + SSE)                                          │
+└───────────────────────────────────┬────────────────────────────────────────────┘
+                                     │ 依赖(VENDORED EDIT 受控,见 VENDOR.md)
+┌────────────────────────────────────┴───────────────────────────────────────────┐
+│  src/vendor/  —— openclaw 内核(~6k LOC,MIT,baseline e3a6da0f51)                │
+│   agent-core: agent-loop.ts(run 循环原语) · harness/agent-harness.ts(harness)   │
+│               · harness/types.ts · harness/env/nodejs.ts(NodeExecutionEnv) ·     │
+│               harness/messages.ts · utils/{truncate,shell-output}               │
+│   llm-core:   types.ts(Model/Usage/事件) · validation.ts · event-stream.ts      │
+│   (热路径 compaction+session 已 naturalize 进 src/engine/,design/71 P2)         │
+└──────────────────────────────────────────────────────────────────────────────┘
+```
+
+## 3. 核心数据流(单任务)
+
+```
+TaskSpec ──▶ Runner.runTaskStream(spec)
+                │  eager:run = (async()=>{ await runLocked(...) })()   ← 立即开跑
+                ▼
+            prepareTask(spec, deps, sessions, resume?)
+                │ 解析 model/role/thinking · acquire+reconcile session
+                │ 装配工具带:caller tools + offload-wrap + report_blocked +
+                │   submit_output + MCP + memory(remember/recall) + hands band
+                │   (read/edit/write/grep/glob/repo_map/bash) + lsp + ask_user_question + skill
+                │ 建 system prompt(stable→variable,memory 在尾) · 建 harness
+                │ 接两阶段工具门:PreToolUse hook → policy → resolveAsk → durable suspendAsk
+                ▼
+            runLocked:订阅 harness 事件,驱动 harness.prompt(objective)
+                │ onTurnEnd:轮次/预算闸(abort)  onTurnBoundary:任务内压缩(maybeCompact)
+                │ 工具结果 >阈值 → offload(<persisted-output> ref)
+                │ 命中 durable ask 门 → 铸 checkpoint + suspend(status:suspended)
+                ▼
+            assembleResult(final, stats, flags) ──▶ TaskResult
+                errorCode 优先级链:output.invalid → degenerate → budget →
+                  suspend.loop → threw(timeout/turns/conflict) → blocked →
+                  suspended(checkpointToken) → abortedLive → no-final → stopReason error → completed
+```
+
+resume 流:`Runner.resume(token, outcome, taskConfig)` → pre-CAS 守卫(gate-match/version/workspaceHandle)→ `store.resolve` 原子 CAS(exactly-once)→ 重入 runLocked 应用 pending 决策。
+
+---
+
+## 4. 设计路线(已发版的演进脉络,从 CHANGELOG/design 反推)
+
+| 阶段 | 版本 | 主题 | 关键 design |
+|------|------|------|-------------|
+| MVP | 0.2.0 | 库(进程内)+ 基本任务循环 + Gitea npm 发布 | design/01 |
+| 1.0 | 1.1.0 | 抽象层 seam 总表(Brain/Hands/Session 三平面) | design/06 |
+| 记忆/prompt | 0.4.0 | memory tool + prompt harness(harvest CodeWhale/Anthropic) | design/05 |
+| 缓存友好 | 1.19/1.22 | 前缀缓存纪律 STABLE→VARIABLE + stableSystem + cacheHitRate | design/09 |
+| 持久化 seam | 1.21 | SessionStore/Repo + CAS 乐观锁(F2) | design/10,07 |
+| 模型路由 | 1.24/1.25 | roles 回退链 + selectModel + @-model 安全解析 | design/11 |
+| 老师模式 | 1.29–1.35 | escalation cascade + 老师 JSON + 接管 + 策略仓库 | design/12-15 |
+| 可观测/韧性 | 1.37/1.38 | trace seam + 定价表 + 预算闸 + 断路器 + 分级超时 | design/17 |
+| CC parity | 1.80–1.87.x | 单兵 floor ≥ Claude Code(召回/压缩 anti-drift/委派) | design/64,65,66 |
+| **四原语** | 1.61–1.67 | 委派(1B)/手(44)/steering(47)/远端 seam(48)/checkpoint(45) | design/44-48 |
+| v1.5 远端 | 1.69 | 远端 suspend/resume 运行时集成(45×48) | design/49 |
+| fan-out/cancel | 1.71 | runTaskStream fan-out + suspended-cancel | design/50,51 |
+| PG 适配 | 1.94 | 四 durable seam 全 PG 化 + pgvector 三档 | (stores/pg) |
+| vendored 清剿 | 1.98.0 | 死代码清除 + skills 第一方化(黑盒#5)+ 契约组测试 + 月度上游 diff | design/71 |
+| **Unreleased** | (待发) | design/72:repo_map(OPT-1)/suspend-loop cap/sensitive-path policy | design/72 |
+
+> **断点**:`package.json=1.99.0` 是一次**未完成的发版**(见 DOC-CORRECTIONS C-1);Unreleased 段=design/72 的代码已合但未 tag。
+
+---
+
+## 5. 当前能力矩阵(代码核实)
+
+| 能力 | 状态 | 证据 |
+|------|------|------|
+| 单任务循环 + native 工具 + 并行工具批 | ✅ | runtask.ts / agent-loop |
+| OpenAI + Anthropic 双脑(流式/工具/图片/reasoning 回灌/前缀缓存) | ✅ | brain/{openai,anthropic} |
+| failover / routing / degrading / circuit-breaker / 分级超时 | ✅ | brain/* |
+| 思考兼容层(design/46,thinkingFormat 分发) | ✅ | brain/openai.ts compat |
+| 手原语(fs 工具带 + bash/bash_readonly + repo_map) | ✅ | tools/fs/* |
+| 延迟工具披露(tool_search) | ✅ | runner/tool-disclosure |
+| 结构化输出(submit_output) / report_blocked / skill | ✅ | runner/synthetic-tools |
+| 三态权限 + hooks(design/37) + sensitive-path policy(72) | ✅ | tool-policy/hooks/sensitive-path-policy |
+| durable suspend/resume(F4 人审门,exactly-once CAS,跨副本) | ✅ | checkpoint-store + runner resume |
+| suspend-loop cap(design/72 §2.2B) | ✅ | checkpoint suspendCount + assemble suspend.loop |
+| 远端 ExecutionEnv seam(suspendVM/resumeVM/execStream/connect/destroy) | ✅ | core/remote-env |
+| checkpoint `reopen`(resolved→pending CAS,post-CAS env-restore 失败补偿,d1c2750) | ✅ | core/checkpoint-store(注:`reopen` 是 **CheckpointStore** 方法,非 RemoteExecutionEnv) |
+| session 持久化 + CAS + wake 对账 + 分支地板(F3) | ✅ | session/session-store/session-reconcile |
+| 自动压缩(任务间 + 任务内 turn-boundary,1.88+)+ context-edit | ✅ | engine/compaction + auto-compaction |
+| L2 记忆 + 选择性召回(65)+ 写侧整合(41) | ✅ | core/memory* |
+| 编排:subagent / team / cascade / teacher / verify / agent-definition | ✅ | agents/*(详见 ORCHESTRATION-STATUS) |
+| 验证栈:exec-gate(L2 MECH)+ verify(L3 去相关判)+ property-harness | ✅ | exec-gate/verify/property-harness |
+| 可观测:trace(OTel)+ pricing(整数 micro-USD)+ cache-break-detect | ✅ | core/{trace,pricing,cache-break-detector} |
+| MCP 真连 + 命名空间 + allowTools + resources | ✅ | core/mcp(⚠️ isError 丢=P-1) |
+| HTTP/SSE 服务(createTaskServer) | ✅ | server/http(⚠️ 断连不取消=P-2) |
+| egress 受控(design/70,ToolSpec.egress + gate tighten) | ✅ | prepare-task egress 收集 |
+| PG 参照适配(session/checkpoint/toolresult/memory) | ✅ | stores/pg(⚠️ 缺 reopen=P-9) |
+| **资源切片 suspend/resume(长自治跑)** | 🟡 | design/74:slices 1/2/3a/3b/3c 已提交(**suspend 触发器现已建成+绿**,`3e5c52d`);**剩** Slice 4 账本机制 + Slice 6 service 半边 + Slice 7 minors(见 §6.2,快速移动)|
+
+---
+
+## 6. 后续 Roadmap(从代码 + design + memory 反推,带状态)
+
+### 6.1 立即(bookkeeping + 止血)
+- **release-cut + CHANGELOG**:把 Unreleased(design/72)tag 成正式版,补 1.99.0 处置(降回或正名);加 CI 版本一致性 guard(已 pin)。✅可立即做
+- **生产 bug 修复**:见 `PRODUCTION-ISSUES.md` P-1/P-3/P-4/P-6(SAFE 文件,高杠杆)。
+
+### 6.2 在飞(另一谱系,design/74)🟡 ⚠️ 快速移动——活真相源=git log + memory `project-engine-resilience-fixes`
+**资源切片 suspend/resume**——leader 持总预算,每次 run=一个 slice(`maxCostUsd=min(窗口,账本剩余)`),撞边界在 turn_boundary 干净 suspend、账本累加、resume 拨下一 slice。
+- **已建(审计中从 Slice 2 推进到 3c)**:resource_limit checkpoint 类型臂 + ResourceLedger + version 2 + resume/read 半边 + `shouldStopAfterTurn`(VENDOR.md #16)+ `serializeCheckpointState`(3a)+ `commitSuspendSaga`(3b)+ **suspend 触发器(3c `3e5c52d`,绿)**:`TaskSpec.resourceSuspend?:{scope}` opt-in + `suspendForResource(reason)` 闭包(prepare-task.ts:1012)+ `requestStopAfterTurn` 干净停(:1072)+ turn/budget cap→suspended(runtask.ts:836-841)。
+- **未建**:Slice 4 账本机制(put debit / resume re-seed / 跨 slice stats 聚合 / slice maxCostUsd 从 ledger 切——类型在、机制未接)+ 整个 service 半边(resumeCheckpoint 资源臂 / durable-inject relax / WorkerReport gate 字段 / belt→diff-patch / RESOURCE_SUSPEND_TTL reaper)+ Slice 7 minors。
+> 第一遍(HEAD=`d7724ff`)记的"suspend 触发器未建 / requestStopAfterTurn 零调用者"**已被 `3e5c52d` 推翻**(见 `ADDENDUM-second-pass.md` §A)。
+
+### 6.3 v2 编排(proposed,主要在 service profile)🔵
+- **design/68 LLM-Planner**:Router(难度路由,默认 single,fail-closed)+ 有界 Decomposer(2-4 不相交文件子任务)+ 反应式 replan-lite。spec 定稿。**设计为 all-profile / zero-new-core**——core 依赖项(fan-out + suspended-cancel + exec-gate + property-harness + checkpoint + steering + cost stats)**全 shipped**;planner 本体在 service。
+- **design/73 §1 反馈自进化(grounded outcome ledger)**:每任务发 TaskOutcome(task-signature/model/cost + 机械 oracle 结果),service 聚合调 router/budget/repair/model。**红线**:只有机械信号(exec-gate/property-harness)驱动自动改动,LLM-assisted 仅看板。core 部分=薄 seam(emit TaskOutcome,像 Tracer)。**未建**(grep TaskOutcome=0);门控在 service 机械-outcome 数据量 + 离线回测。
+- **design/73 §2 per-user 记忆 + 时间硬化**:v1=现有原语 + per-user 部署(memory.scope=user-id);v1.5=temporal 硬化(MemoryStore 加 validAt/invalidAt/supersededBy + recall 机械过滤过期 + RECALL_CAVEAT 从警告升级为机械门);service 跑 Graphiti 后端。**未建**(grep validAt=0);门控真实企业 per-user 需求。
+
+### 6.4 评估优先(proposed)🔵
+- **design/72 §3 / OPT-3 CI 异步验证**:agent git push(egress 门)→ `wait_for_ci` 工具返回 suspend 指令(durable-ask 变体,approver=异步 webhook)→ service webhook 收 CI 结果 → `resumeWithVerification(token, {ci_result})`。**evaluate-first**:先判现有 durable-suspend 是否已承载(很可能零/薄 core)。
+
+### 6.5 已确认延迟(非偷懒)⏸
+- **adaptive DAG planner**:价值判决 FIRM 不建(campaign 证 single 主导,fan-out 仅为 speed/cost,must-decompose 在可负担规模不出现);精确门控在 task#2b 数据 + 真巨型仓。design/68 明禁建 DynTaskMAS 4-组件运行时图。
+- **L4 静态分析**(design/57):probe-12 显示集成-judge + property-harness 已覆盖显式契约/枚举/单位,无新证据翻案。
+- **property-harness 类扩展**(交换律/逆/metamorphic/多实现):数据门控,等 service 结构-mutant 分布。
+- **resume 语义指纹**("是否同一动作?"):真但更大的版本;design/72 的 count-cap 是更便宜的真修法、已 ship。
+- **repo_map v1.5(检索/embedding)/ v2(tree-sitter)**:v1.5 门控 service code-embedder(复用 MemoryStore seam);v2 经注入的 ExecutionEnv 能力(core 保持 dep-light)。
+- RouteLLM 动态难度路由 / 物理拆包 / design/25,29 backlog:低价值延迟。
+
+### 6.6 悬空/未写❓
+- **design/69**(design/00 称"下一阶段主线 GitHub+CI/CD")——**文件不存在**,真 roadmap 在 design/72 + memory project-coding-roadmap-next。应补写或重定向(见 DOC-CORRECTIONS C-6)。
+
+---
+
+## 7. 真实考场(场景驱动,memory project-mission-2026-06-14)
+当前主线 = **Beatsep Kotlin 迁移真考场**(service AI 跑 campaign:task#2a-2d 全 PASS、独立验证引擎质量过硬、ledger 起账)。目标=证全闭环(task→plan→实现→对真 oracle 验→merge→编译+测试过,可重复,引擎自恢复,**无人在正确性回路**)+ 修一切 break。🔴 头号缺口=oracle 失败无自修复(service 仓 ROBUSTNESS-BACKLOG)。