@team-semicolon/semicolony-cli 4.18.65 → 4.18.67

package/migrations/172_bot_cost_log_api_equivalent.sql

@@ -0,0 +1,74 @@
+-- 172: bot_cost_log — API-equivalent 지표 분리 + 캐시 TTL 버킷
+--
+-- 배경 (2026-07-21 실측, semo-ops/docs/superpowers/specs/2026-07-21-ai-usage-tracking-design.md):
+--   1. cost_usd 는 NOT NULL 이라 "단가 미상"을 표현할 수 없다. 현행 metrics.ts 는 단가를
+--      찾지 못하면 0 을 기록해, 집계에서 "비용 없음"과 구분되지 않는다. 미상은 NULL 이어야 한다.
+--   2. cost_usd 에 들어가던 값은 실제 청구액이 아니라 API 정가 환산치다. 구독 표면에서는
+--      실지출의 약 200배(측정: 월 환산 $41k vs Claude Max 구독료)라, "cost"라는 이름이
+--      예산·가격 판단을 오도한다. api_equivalent_usd 로 의미를 분리한다.
+--   3. 캐시 쓰기 단가는 TTL 에 따라 1.25배(5분)와 2배(1시간)로 갈린다. 총합만 저장하면
+--      환산 오차가 최대 1.6배가 되는데, 실측상 소비의 대부분이 캐시다.
+--
+-- 기존 행은 건드리지 않는다. cost_usd 는 레거시 값 보존용으로 남기고, 신규 적재는
+-- api_equivalent_usd 만 채운다.
+--
+-- 러너가 트랜잭션 경계를 제공하므로 여기서 BEGIN/COMMIT 을 열지 않는다.
+
+ALTER TABLE semicolony.bot_cost_log
+  ALTER COLUMN cost_usd DROP NOT NULL,
+  ADD COLUMN IF NOT EXISTS api_equivalent_usd       NUMERIC(12,6),
+  ADD COLUMN IF NOT EXISTS cache_creation_1h_tokens INT,
+  ADD COLUMN IF NOT EXISTS cache_creation_5m_tokens INT;
+
+COMMENT ON COLUMN semicolony.bot_cost_log.api_equivalent_usd IS
+  'API list-price equivalent of consumption. NOT actual billed spend: on subscription '
+  'surfaces it exceeds real cost by ~200x (measured 2026-07-21). Never sum with ledger '
+  'actuals. NULL means the model had no pricing entry — never write 0 for unknown.';
+
+COMMENT ON COLUMN semicolony.bot_cost_log.cost_usd IS
+  'Legacy column (pre-2026-07-21). Retained for historical rows; new writers use '
+  'api_equivalent_usd. Historical values are unreliable — prefix matching priced '
+  'claude-opus-4-8 at claude-opus-4 rates.';
+
+COMMENT ON COLUMN semicolony.bot_cost_log.cache_creation_1h_tokens IS
+  'Cache-write tokens at 1h TTL (2x base input rate). NULL when the source did not '
+  'report a TTL breakdown.';
+
+COMMENT ON COLUMN semicolony.bot_cost_log.cache_creation_5m_tokens IS
+  'Cache-write tokens at 5m TTL (1.25x base input rate). NULL when the source did not '
+  'report a TTL breakdown.';
+
+-- 뷰 재생성: api_equivalent_usd 와 캐시 토큰 노출.
+-- 기존 컬럼과 순서를 유지하고 뒤에 추가하므로 기존 조회는 그대로 동작한다.
+DROP VIEW IF EXISTS semicolony.bot_cost_daily;
+DROP VIEW IF EXISTS semicolony.bot_cost_summary;
+
+CREATE VIEW semicolony.bot_cost_daily AS
+SELECT bot_id,
+       created_at::date AS day,
+       count(*) AS query_count,
+       COALESCE(sum(input_tokens), 0::bigint) AS total_input_tokens,
+       COALESCE(sum(output_tokens), 0::bigint) AS total_output_tokens,
+       COALESCE(sum(cost_usd), 0::numeric) AS total_cost_usd,
+       sum(api_equivalent_usd) AS total_api_equivalent_usd,
+       COALESCE(sum(cache_read_tokens), 0::bigint) AS total_cache_read_tokens,
+       COALESCE(sum(cache_creation_tokens), 0::bigint) AS total_cache_creation_tokens
+  FROM semicolony.bot_cost_log
+ GROUP BY bot_id, (created_at::date);
+
+CREATE VIEW semicolony.bot_cost_summary AS
+SELECT bot_id,
+       date_trunc('month'::text, created_at)::date AS month,
+       count(*) AS query_count,
+       COALESCE(sum(input_tokens), 0::bigint) AS total_input_tokens,
+       COALESCE(sum(output_tokens), 0::bigint) AS total_output_tokens,
+       COALESCE(sum(cost_usd), 0::numeric) AS total_cost_usd,
+       COALESCE(avg(duration_ms), 0::numeric)::integer AS avg_latency_ms,
+       sum(api_equivalent_usd) AS total_api_equivalent_usd,
+       COALESCE(sum(cache_read_tokens), 0::bigint) AS total_cache_read_tokens,
+       COALESCE(sum(cache_creation_tokens), 0::bigint) AS total_cache_creation_tokens
+  FROM semicolony.bot_cost_log
+ GROUP BY bot_id, (date_trunc('month'::text, created_at));
+
+-- sum(api_equivalent_usd) 은 COALESCE 하지 않는다. 전 행이 미상이면 NULL 이 나와야
+-- "환산 불가"가 집계에서도 0 과 구분된다.

package/migrations/173_bot_cost_log_worker_grants.sql

@@ -0,0 +1,29 @@
+-- 173: bot_cost_log — sc_app 최소권한 부여 (SEMO Ops 워커 usage 적재)
+--
+-- 배경: SEMO Ops 워커의 토큰 소비량 배치가 bot_cost_log 로 flush 한다.
+-- 워커의 DATABASE_URL 은 sc_app 이며, 2026-07-21 실측 기준 이 테이블에 SELECT/INSERT
+-- 모두 없다 (has_table_privilege(sc_app, 'semicolony.bot_cost_log', ...) = false).
+-- 소유자 app 은 superuser 이므로, 일상 적재를 app 으로 돌리지 않고 sc_app 에 최소권한만 준다.
+--
+-- UPDATE/DELETE 는 주지 않는다. 적재는 (session_id, message_id) 부분 유니크 인덱스 기반
+-- ON CONFLICT DO NOTHING 이라 갱신·삭제가 필요 없고, 워커가 과거 기록을 고칠 이유도 없다.
+--
+-- id 는 GENERATED ALWAYS AS IDENTITY 이므로 별도 시퀀스 권한이 필요 없다.
+--
+-- 러너가 트랜잭션 경계를 제공하므로 여기서 BEGIN/COMMIT 을 열지 않는다.
+
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'sc_app') THEN
+    RAISE EXCEPTION 'sc_app role missing; cannot grant worker usage privileges';
+  END IF;
+
+  IF (SELECT rolsuper FROM pg_roles WHERE rolname = 'sc_app') THEN
+    RAISE EXCEPTION 'sc_app unexpectedly holds superuser; refusing to widen an already-privileged role';
+  END IF;
+END
+$$;
+
+GRANT SELECT, INSERT ON semicolony.bot_cost_log TO sc_app;
+GRANT SELECT ON semicolony.bot_cost_daily   TO sc_app;
+GRANT SELECT ON semicolony.bot_cost_summary TO sc_app;

package/migrations/174_worker_fleet_board_grants.sql

@@ -0,0 +1,77 @@
+-- 174_worker_fleet_board_grants.sql
+--
+-- SEMO Ops 워커 플릿 상황판 전용 DB 롤과 감사 테이블.
+--
+-- 설계: semo-ops docs/superpowers/specs/2026-07-29-semo-ops-worker-fleet-board-design.md
+--
+-- 원칙:
+--   - 대시보드는 admin 롤(app)을 재사용하지 않는다. 전용 롤만 쓴다.
+--   - 쓰기는 "결정 컬럼"으로 제한한다. Gateway(sc_app)가 쓰는 "보고 컬럼"
+--     (applied_release_*, applied_at, last_seen_at, last_doctor_*)은 주지 않는다.
+--     두 쓰기 주체의 컬럼이 겹치지 않아야 충돌이 구조적으로 불가능하다.
+--   - 비밀번호는 여기서 설정하지 않는다. 운영자가 out-of-band로 ALTER ROLE 한다.
+--
+-- 스키마: semo_ops (team_knowledge_fabric DB). 대시보드 본체가 쓰는 appdb 의
+--   `semicolony` 스키마와 다른 곳이다 — 워커 레지스트리는 Knowledge Fabric 이관으로
+--   semo_ops 에 있다. 과거 마이그레이션(144·167·171)이 `semicolony.` 를 쓰는 것은
+--   이름 변경 이전에 적용됐기 때문이며, 신규 마이그레이션은 현행 이름을 쓴다.
+--
+-- Safety: additive only. Runner가 BEGIN/COMMIT으로 감싸므로 트랜잭션 구문을 넣지 않는다.
+
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'sc_fleet_board') THEN
+    CREATE ROLE sc_fleet_board LOGIN NOINHERIT;
+  END IF;
+END
+$$;
+
+COMMENT ON ROLE sc_fleet_board IS
+  'SEMO Ops fleet board (dashboard) role. Read-mostly on the worker registry; writes limited to decision columns.';
+
+-- LOGIN 롤이라도 CONNECT 권한이 없으면 접속 자체가 거부된다. DB 이름은 환경마다
+-- 다르므로 current_database() 로 동적 부여한다.
+DO $$
+BEGIN
+  EXECUTE format('GRANT CONNECT ON DATABASE %I TO sc_fleet_board', current_database());
+END
+$$;
+
+GRANT USAGE ON SCHEMA semo_ops TO sc_fleet_board;
+
+-- 읽기: 보드가 렌더하는 것 전부.
+GRANT SELECT ON TABLE semo_ops.worker_devices TO sc_fleet_board;
+GRANT SELECT ON TABLE semo_ops.local_hives TO sc_fleet_board;
+GRANT SELECT ON TABLE semo_ops.workspace_profiles TO sc_fleet_board;
+GRANT SELECT ON TABLE semo_ops.worker_profile_releases TO sc_fleet_board;
+
+-- 토큰 만료 판정에 필요한 컬럼만. token_hash 는 주지 않는다.
+GRANT SELECT (id, token_prefix, scopes, status, issued_at, expires_at, last_used_at, issued_by)
+  ON TABLE semo_ops.gateway_credentials TO sc_fleet_board;
+
+-- 쓰기: 결정 컬럼만.
+GRANT UPDATE (status) ON TABLE semo_ops.worker_devices TO sc_fleet_board;
+GRANT UPDATE (status, expiry_at) ON TABLE semo_ops.local_hives TO sc_fleet_board;
+GRANT UPDATE (active_release_id) ON TABLE semo_ops.workspace_profiles TO sc_fleet_board;
+
+-- 오퍼레이터 액션 감사. 액션과 같은 트랜잭션에서 기록한다.
+CREATE TABLE IF NOT EXISTS semo_ops.worker_fleet_audits (
+  id           BIGSERIAL PRIMARY KEY,
+  actor_email  TEXT NOT NULL,
+  action       TEXT NOT NULL
+    CHECK (action IN ('device.status', 'local_hive.status', 'local_hive.expiry', 'release.activate')),
+  target_kind  TEXT NOT NULL CHECK (target_kind IN ('device', 'local_hive', 'profile')),
+  target_id    TEXT NOT NULL,
+  before       JSONB NOT NULL DEFAULT '{}'::jsonb,
+  after        JSONB NOT NULL DEFAULT '{}'::jsonb,
+  created_at   TIMESTAMPTZ NOT NULL DEFAULT NOW()
+);
+
+COMMENT ON TABLE semo_ops.worker_fleet_audits IS
+  'Operator actions taken from the SEMO Ops fleet board. Append-only.';
+
+CREATE INDEX IF NOT EXISTS idx_worker_fleet_audits_target
+  ON semo_ops.worker_fleet_audits (target_kind, target_id, created_at DESC);
+
+GRANT SELECT, INSERT ON TABLE semo_ops.worker_fleet_audits TO sc_fleet_board;
+GRANT USAGE ON SEQUENCE semo_ops.worker_fleet_audits_id_seq TO sc_fleet_board;

package/migrations/175_hive_cron_board_grants.sql

@@ -0,0 +1,16 @@
+-- 175_hive_cron_board_grants.sql
+--
+-- SEMO Ops hive-cron 실행 관측 보드의 읽기 권한.
+--
+-- 설계: semo-ops docs/superpowers/specs/2026-07-29-semo-ops-worker-fleet-board-design.md
+--       (같은 ops 표면의 두 번째 조각)
+--
+-- 원칙:
+--   - 관측 전용이다. 쓰기 권한을 주지 않는다 — 크론 잡 활성/비활성은 이 보드의
+--     범위가 아니며, 권한을 미리 열어두지 않는다.
+--   - 스키마는 174 와 같은 semo_ops (team_knowledge_fabric DB).
+--
+-- Safety: additive only. Runner가 BEGIN/COMMIT으로 감싸므로 트랜잭션 구문을 넣지 않는다.
+
+GRANT SELECT ON TABLE semo_ops.hive_cron_jobs TO sc_fleet_board;
+GRANT SELECT ON TABLE semo_ops.hive_cron_job_runs TO sc_fleet_board;

package/migrations/176_kf_ops_observer_principal.sql

@@ -0,0 +1,76 @@
+-- 176_kf_ops_observer_principal.sql
+--
+-- Knowledge Fabric 임포트 관측용 전용 principal.
+--
+-- 배경: knowledge_fabric 테이블은 FORCE RLS 에 명시적 principal 모델
+--   (owner / app / import_verifier / migrator / query_issuer)을 갖춘 격리
+--   서브시스템이다. 대시보드 롤(sc_fleet_board)에 GRANT 만 주면 정책 대상이
+--   아니라 0행만 보인다(2026-07-29 실측). 그래서 GRANT 를 얹는 대신 기존
+--   규약대로 **전용 principal 을 신설**한다.
+--
+-- 경계:
+--   - SELECT 전용. 쓰기 명령은 정책 자체를 만들지 않는다.
+--   - 대상 테이블 3개(batches/events/items)로 한정한다. relation·approval·
+--     projection 계열은 건드리지 않는다.
+--   - items 는 지식 본문(envelope, record_document)과 acl 을 담고 있어
+--     **집계에 필요한 두 컬럼만** 준다. 본문은 이 principal 로 읽을 수 없다.
+--   - bypassrls 를 주지 않는다. 다른 KF principal 과 같은 지위다.
+--
+-- 정책 술어를 scope GUC 가 아니라 true 로 두는 이유: 이 principal 의 용도가
+--   "임포트 원장 전체를 관측"하는 것이라, scope 를 하나씩 지정하면 새 scope 가
+--   생겼을 때 보드에서 조용히 사라진다 — 관측 보드에서 가장 위험한 실패다.
+--   SELECT 전용 + 컬럼 제한이라 owner(ALL 명령) 보다 엄격하게 유지된다.
+--
+-- Safety: additive only. Runner가 BEGIN/COMMIT으로 감싸므로 트랜잭션 구문을 넣지 않는다.
+
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'team_knowledge_fabric_ops_observer') THEN
+    CREATE ROLE team_knowledge_fabric_ops_observer LOGIN NOINHERIT;
+  END IF;
+END
+$$;
+
+COMMENT ON ROLE team_knowledge_fabric_ops_observer IS
+  'Read-only observation principal for the SEMO Ops import board. SELECT only, no knowledge bodies.';
+
+DO $$
+BEGIN
+  EXECUTE format(
+    'GRANT CONNECT ON DATABASE %I TO team_knowledge_fabric_ops_observer',
+    current_database()
+  );
+END
+$$;
+
+GRANT USAGE ON SCHEMA knowledge_fabric TO team_knowledge_fabric_ops_observer;
+
+GRANT SELECT ON TABLE knowledge_fabric.knowledge_import_batches
+  TO team_knowledge_fabric_ops_observer;
+GRANT SELECT ON TABLE knowledge_fabric.knowledge_import_events
+  TO team_knowledge_fabric_ops_observer;
+
+-- 본문·ACL 제외. 집계에 필요한 컬럼만.
+GRANT SELECT (scope_id, batch_id) ON TABLE knowledge_fabric.knowledge_import_items
+  TO team_knowledge_fabric_ops_observer;
+
+DROP POLICY IF EXISTS knowledge_import_batches_ops_observer_read
+  ON knowledge_fabric.knowledge_import_batches;
+CREATE POLICY knowledge_import_batches_ops_observer_read
+  ON knowledge_fabric.knowledge_import_batches
+  FOR SELECT TO team_knowledge_fabric_ops_observer
+  USING (true);
+
+DROP POLICY IF EXISTS knowledge_import_events_ops_observer_read
+  ON knowledge_fabric.knowledge_import_events;
+CREATE POLICY knowledge_import_events_ops_observer_read
+  ON knowledge_fabric.knowledge_import_events
+  FOR SELECT TO team_knowledge_fabric_ops_observer
+  USING (true);
+
+DROP POLICY IF EXISTS knowledge_import_items_ops_observer_read
+  ON knowledge_fabric.knowledge_import_items;
+CREATE POLICY knowledge_import_items_ops_observer_read
+  ON knowledge_fabric.knowledge_import_items
+  FOR SELECT TO team_knowledge_fabric_ops_observer
+  USING (true);

package/migrations/README.md

@@ -18,6 +18,7 @@ SEMICOLONY CLI의 PostgreSQL 마이그레이션 파일들.
 | `166_lease_operations_retire.sql` | `skill_capability_leases` profile→operations CHECK 재생성: operate 프로필에 `skills.release.retire` 추가 |
 | `169_worker_profile_releases.sql` | Immutable SEMO Ops worker profile releases and device rollout state |
 | `170_worker_release_credential_scopes.sql` | Worker credential owner 함수의 허용 범위에 release read/report scope 추가 |
+| `174_worker_fleet_board_grants.sql` | 플릿 상황판 전용 롤 `sc_fleet_board` + 오퍼레이터 액션 감사 테이블 |
 
 ## 007: Flat Skill Naming
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@team-semicolon/semicolony-cli",
-  "version": "4.18.65",
+  "version": "4.18.67",
   "description": "SemiColony CLI - AI operations and agent orchestration installer",
   "main": "dist/bundle.js",
   "bin": {
@@ -16,6 +16,7 @@
     "start": "node dist/bundle.js",
     "dev": "ts-node src/index.ts",
     "lint": "eslint src/",
+    "pretest": "npm run build",
     "test": "vitest run"
   },
   "keywords": [