@tencent-ai/agent-sdk 0.3.263-dev.90f0e98.202609190050 → 0.3.263

package/cli/dist-server/types/node/tools/monitor-tool.d.ts

@@ -1,216 +0,0 @@
-/**
- * MonitorTool —— 后台监视一个事件源，把增量内容主动推回主 agent。
- *
- * 事件源有两种（互斥）：
- * - `command`（issue #74426）：后台跑命令，把其增量输出推回。
- * - `ws`（issue #74436）：连一个 `ws://`/`wss://` URL，把服务端推来的每条消息推回。
- *
- * 背景 / 设计取舍
- * ================
- * 对齐 Claude Code Tools Reference 的 `Monitor` 章节：模型后台监视某个东西，有新内容
- * 时不用主动轮询 `BashOutput`/`TaskOutput`，而是被系统"主动唤醒"看到增量内容。
- *
- * 关键发现（调研已核实）：这不是一个新基础设施，而是把两个已存在的能力接起来：
- * 1. **反应式推送通道**：`BackgroundTaskNotifier`（`enqueueMessage` + 忙闲判断的
- *    `scheduleDrain`）——本工具复用其新增的 `notifyEvent()` 方法（区别于
- *    `notifyCompletion()`：不做 per-task `notified` 幂等，因为"多次增量 tick"本身
- *    就是预期语义，不是重复通知）。
- * 2. **文件 tail 能力**：`BackgroundOutputTailPoller`——本工具复用其新增的 `onChunk`
- *    回调（bash-tool/powershell-tool 不传，行为不变），每次 tick 读到新内容时触发。
- *
- * command 源的拉起复用 `SandboxOrchestrator`（与 BashTool 同一条沙箱优先执行路径），
- * 输出走文件 fd 模式（`prepareBackgroundOutputFiles`），保证子进程/孙进程的
- * stdout/stderr 落盘、父进程不持有写端。
- *
- * ws 源不经过 shell / 沙箱 / 文件 fd（没有进程可言），直接把 socket 消息写进
- * `TruncateBuffer` 并推事件；生命周期仍复用同一个 `BackgroundTask` 契约，
- * 因此 `TaskStop` / `TaskOutput` / `TaskList` 全部零改动可用
- * （已核实 `TaskOutput.executeBackgroundShellTask` 只读 stdout/stderr buffer，
- * 不依赖 `outputFilePath`，所以纯内存的 ws 任务能正常被查询）。
- *
- * 与 BashTool `run_in_background` 的关键区别：
- * - BashTool 的通知只在任务**终态**（completed/failed/killed）时推送一次。
- * - MonitorTool 在任务**运行期间**的每个增量 tick 都推送（command 模式合并同一 tick
- *   内的多行输出成一条 `<monitor-event>`；ws 模式严格一条消息一个事件，见下），
- *   任务终态时改推一条 status=done 的收尾事件。
- *
- * **command 与 ws 的事件粒度刻意不同**：command 模式按 tick 合并多行（避免逐行刷屏）；
- * ws 模式一条消息 = 一个事件、即使消息跨多行也不拆，因为消息边界是 WebSocket 的协议
- * 语义，合并会破坏它。（附注：CC 文档描述 command 模式为逐行回传，我们是按 tick 合并，
- * 这是 #74426 既有的有意偏差，本 issue 不改动 command 侧行为。）
- *
- * 停止机制：复用 `TaskStopTool` / `ToolManager.killBackgroundTask` 现有的后台任务
- * 终止路径——本工具注册的 task 与 bash-tool 的 task 走同一个 `BackgroundTask` 契约，
- * `TaskStop` 无需任何改动即可停止一个 Monitor（两种事件源都是）。
- *
- * 开关：默认开启（cbc-cli 场景不需要任何额外配置）。理由见 issue #74426 的"三次审计
- * 修正"结论——WorkBuddy 侧 `mode-tools-config.ts` 已有独立生效的工具白名单天然隔离，
- * agent-cli 侧不需要再叠加一道默认关闭的环境变量；`CODEBUDDY_MONITOR_ENABLED=false`
- * 仍可显式关闭（与 ReportFindings/PushNotification 同档）。
- *
- * ws 源的安全边界（issue #74436，务必理解后再改动）
- * ================================================
- * 出站连接的闸门是 **`execute()` 内每次调用都跑的 `checkWsNetworkPolicy`**，
- * 不是审批弹窗。审批可以被用户的"本会话不再询问"缓存跳过，但网络策略检查不会被跳过，
- * 所以私有地址 / cloud metadata / 有序网络 deny 规则命中的主机在任何情况下都连不上。
- * **不要把网络策略检查挪到 `needsApproval` 里**，那样会被审批缓存绕过。
- *
- * 已知不对齐 CC 的两项（有意为之，见 monitor-ws-network-policy.ts 文件头详述）：
- * 不做 DNS 解析（与 WebFetch 现状一致）；无 `allowManagedDomainsOnly` 概念（本仓库不存在该配置）。
- * 另：CC 要求 ws 审批不提供"同 host 免询问"选项，我们目前提供 —— 这需要改动全局审批
- * 服务（影响所有工具），风险面与本功能不成比例，故本轮不做；相关的既有缺陷
- * （`ToolAlwaysApprovalServiceImpl.resolveApprovalRules` 落裸 `[{ toolName }]` 规则，
- * 叠加 Phase 2 早于 Phase 3 安全检查返回）已单独立项跟踪。
- */
-import { Session } from '../../vendor/cbc-core/node/index.js';
-import { FunctionCallItem, ToolArg, ToolNames } from '../../vendor/cbc-shared/node/index.js';
-import { Logger } from '@genie/telemetry';
-import type { RunContext } from '@openai/agents';
-import { z } from 'zod';
-import { BackgroundTaskNotifier } from '../agent-task/agent-task-protocol';
-import { BashSandboxManager } from '../bash-sandbox/bash-sandbox-protocol';
-import { type SandboxOrchestrator as ISandboxOrchestrator, type SandboxPermissionGateway as ISandboxPermissionGateway } from '../permission';
-import { type SandboxCenterIpcClient as ISandboxCenterIpcClient } from '../sensitive-content/sandbox-center-ipc-client-protocol';
-import { BaseTool } from './base-tool';
-import { Tool, ToolCallArgumentRenderer, ToolResult } from './tool-protocol';
-/**
- * `command` 与 `ws` 互斥。
- *
- * **互斥校验刻意放在 `validateRuntimeInput()` 里，不用 `.superRefine()`。** 原因：`superRefine()`
- * 返回的是 `ZodEffects` 而非 `ZodObject`，而 SDK 的 `ToolExecuteArgument<TParameters>`
- * 依赖 `TParameters extends ZodObjectLike`（= `ZodObject<any, any>`，见
- * `@openai/agents-core/dist/utils/zodCompat.d.ts`）。一旦退化成 `ZodEffects`，
- * `execute(input)` 的 input 类型会从推断出的对象塌成 `string`，编译期就丢掉类型保护
- * （JSON Schema 侧虽然仍能正确产出 properties，但类型链已断）。
- *
- * 同理也没用 `z.union`：union 产出的 `anyOf` 在部分模型上表达力较差、容易生成两个
- * 字段都带的调用，且同样不是 `ZodObject`。平铺 optional 字段 + 运行时校验，既保住
- * 类型链，也能给模型明确的错误信息。
- */
-declare const MonitorParameters: z.ZodObject<{
-    command: z.ZodOptional<z.ZodString>;
-    ws: z.ZodOptional<z.ZodObject<{
-        url: z.ZodString;
-        protocols: z.ZodOptional<z.ZodArray<z.ZodString, "many">>;
-    }, "strip", z.ZodTypeAny, {
-        url: string;
-        protocols?: string[] | undefined;
-    }, {
-        url: string;
-        protocols?: string[] | undefined;
-    }>>;
-    timeout_ms: z.ZodOptional<z.ZodNumber>;
-    persistent: z.ZodOptional<z.ZodBoolean>;
-}, "strip", z.ZodTypeAny, {
-    command?: string | undefined;
-    ws?: {
-        url: string;
-        protocols?: string[] | undefined;
-    } | undefined;
-    timeout_ms?: number | undefined;
-    persistent?: boolean | undefined;
-}, {
-    command?: string | undefined;
-    ws?: {
-        url: string;
-        protocols?: string[] | undefined;
-    } | undefined;
-    timeout_ms?: number | undefined;
-    persistent?: boolean | undefined;
-}>;
-type MonitorInput = z.infer<typeof MonitorParameters>;
-/**
- * 单 tick 内可能有多行输出，合并成一条 `<monitor-event>`，避免逐行刷屏（issue 验收标准）。
- * 导出供单测直接校验 XML 结构，避免测试依赖完整 IoC 装配跑一次真实 execute()。
- */
-export declare function buildMonitorEventXml(taskId: string, chunk: string): string;
-/** 收尾事件的终止原因。ws 源新增 `closed` / `oversized` / `error` 三种（issue #74436）。 */
-export type MonitorDoneReason = 'timeout' | 'exit' | 'stopped' | 'closed' | 'oversized' | 'error';
-export declare function buildMonitorDoneEventXml(taskId: string, reason: MonitorDoneReason, detail?: string): string;
-export declare class MonitorTool extends BaseTool implements Tool {
-    protected readonly sandboxOrchestrator: ISandboxOrchestrator;
-    protected readonly sandboxPermissionGateway: ISandboxPermissionGateway;
-    protected readonly logger: Logger;
-    protected readonly backgroundTaskNotifier: BackgroundTaskNotifier;
-    protected readonly bashSandboxManager: BashSandboxManager;
-    protected readonly sandboxCenterClient?: ISandboxCenterIpcClient;
-    name: ToolNames;
-    description: string;
-    parameters: z.ZodObject<{
-        command: z.ZodOptional<z.ZodString>;
-        ws: z.ZodOptional<z.ZodObject<{
-            url: z.ZodString;
-            protocols: z.ZodOptional<z.ZodArray<z.ZodString, "many">>;
-        }, "strip", z.ZodTypeAny, {
-            url: string;
-            protocols?: string[] | undefined;
-        }, {
-            url: string;
-            protocols?: string[] | undefined;
-        }>>;
-        timeout_ms: z.ZodOptional<z.ZodNumber>;
-        persistent: z.ZodOptional<z.ZodBoolean>;
-    }, "strip", z.ZodTypeAny, {
-        command?: string | undefined;
-        ws?: {
-            url: string;
-            protocols?: string[] | undefined;
-        } | undefined;
-        timeout_ms?: number | undefined;
-        persistent?: boolean | undefined;
-    }, {
-        command?: string | undefined;
-        ws?: {
-            url: string;
-            protocols?: string[] | undefined;
-        } | undefined;
-        timeout_ms?: number | undefined;
-        persistent?: boolean | undefined;
-    }>;
-    /**
-     * `displayProperties` 是给 command 分支用的（工具调用头只显示命令本身）。
-     * ws 分支没有 `command` 字段，若不加 `formatText` 兜底，`displayProperties`
-     * 的默认渲染逻辑在找不到该属性时会降级成展示完整参数 JSON（含 `ws.url` 等），
-     * 体验上是"未格式化"而非"崩溃"，但既然有专门的格式化钩子就应该用上。
-     */
-    argumentRenderer: ToolCallArgumentRenderer;
-    isEnabled: () => boolean;
-    /**
-     * 权限投影。
-     *
-     * **安全关键**：必须按事件源分流。此前只有 command 源时这里硬取 `input.command`，
-     * ws-only 调用会投影出 `value: undefined`，导致权限规则匹配拿到空值 —— 那等于
-     * 静默放行（规则匹配不到任何东西，也就拦不住任何东西）。新增任何非 command
-     * 事件源时都必须同步扩展这里，否则就是开一个权限旁路。
-     */
-    resolveNeedPermissionArgs(_runContext: RunContext, input: MonitorInput, _callId?: string): ToolArg[];
-    /**
-     * Auto mode classifier projection：命令本身即为该动作的风险面，与 BashTool 对齐。
-     * ws 源投影 URL，理由同 `resolveNeedPermissionArgs` —— 不能给 classifier 空输入，
-     * 否则 auto 模式会因「无相关输入」短路放行而不做任何风险评估。
-     */
-    toAutoClassifierInput(input: unknown): string;
-    needsApproval: (runContext: RunContext<Session>, input: unknown) => Promise<boolean>;
-    /**
-     * 按事件源分派。互斥校验由 `validateRuntimeInput()` 完成，原因见 `MonitorParameters`
-     * 上方注释（`superRefine` 会把 schema 退化成 `ZodEffects`，破坏 SDK 的输入类型推断）。
-     */
-    execute(input: MonitorInput, context: RunContext<Session>, details?: {
-        toolCall: FunctionCallItem;
-    }): Promise<ToolResult>;
-    /** ws 事件源（issue #74436）：连一个出站 WebSocket，把每条消息当事件推回。 */
-    private executeWsSource;
-    /** 把 ws 源的终止原因映射成 BackgroundTask 状态 + 收尾事件措辞。 */
-    private finishWsByReason;
-    /** 解析 timeout_ms / persistent，两种事件源共用。 */
-    private resolveTimeout;
-    /** command 事件源（issue #74426）：后台跑命令，把增量输出推回。行为与本 issue 之前完全一致。 */
-    private executeCommandSource;
-    /** 单 tick 增量文本入队 —— 复用 BackgroundTaskNotifier 的忙闲判断 + drain 调度。 */
-    private pushMonitorEvent;
-    private closeFdSafely;
-    validateRuntimeInput(input: unknown): ToolResult | undefined;
-    private invalidParameterResult;
-    private generateTaskId;
-}
-export {};

package/cli/dist-server/types/node/tools/monitor-ws-network-policy.d.ts

@@ -1,64 +0,0 @@
-/**
- * MonitorTool `ws` 事件源的连接前网络策略校验（issue #74436）。
- *
- * 设计取舍
- * ========
- * 1. **校验时机在 `execute()` 内、真正建连之前**，不在 `needsApproval` 链路里 ——
- *    与 WebFetch 的既有分层保持一致（`web-fetch-tool.ts:270` 调 `checkNetworkPolicy`）：
- *    「工具调用审批」与「网络策略」是两道独立串行的门。这一点很关键：审批可以被
- *    用户的「本会话不再询问」缓存跳过，但本函数每次 execute 都会重跑，所以私有地址 /
- *    metadata 地址 / 有序网络 deny 规则命中的主机在任何情况下都连不上。
- *
- * 2. **本模块保留 WebSocket 与 SSRF 校验，域名规则复用统一策略。**
- *    WebFetch 的 http/https、settings 缓存刷新和 fetch 降级仍由其自身负责；两者只共享
- *    与传输协议无关的域名匹配和有序规则首命中。
- *
- * 3. **私有地址判定逻辑刻意与 `web-fetch-tool.ts:101-144` 保持一致**（含
- *    `169.254.0.0/16`，覆盖 cloud metadata `169.254.169.254`）。
- *    **禁止改用 `UrlUtils.isPrivateIp`（`utils/url-utils.ts:15-32`）—— 它缺
- *    169.254 段**，用它会留下 metadata 地址可达的真实漏洞。
- *
- * 已知不对齐 CC 的两项（有意为之，不是遗漏）
- * ==========================================
- * - **不做 DNS 解析**：CC 会拒绝「解析到私有地址的主机名」，我们只判断 IP 字面量与
- *   localhost 别名，因此 `evil.com → 127.0.0.1` 会被放过。与 WebFetch 今天的行为
- *   一致。补 DNS 需要处理 TOCTOU（解析通过到实际建连之间目标可变），应单独设计并
- *   同时修 WebFetch，不在本 issue 内单方面加严。
- * - **无 `allowManagedDomainsOnly` 概念**：该配置在本仓库不存在（全仓 0 命中），
- *   因此 CC 的「managed allowlist 之外全拒」无法对齐。
- */
-import type { SandboxCenterClient } from '@genie/sandbox-cli/sandbox-center-client';
-/** 校验结果。失败时 `reason` 直接透给模型，需可读且不泄露内部配置细节。 */
-export type WsPolicyResult = {
-    allowed: true;
-    action?: 'allow' | 'ask';
-} | {
-    allowed: false;
-    reason: string;
-};
-/**
- * hostname 是否为私有/内网地址。判定范围与 `web-fetch-tool.ts:101-112` 对齐，
- * 但额外做了 IPv6 方括号剥离（见 `normalizeHost`）。
- * 只判断 IP 字面量与 localhost 别名，**不做 DNS 解析**（见文件头说明）。
- */
-export declare function isPrivateWsHost(hostname: string): boolean;
-/** 与 `web-fetch-tool.ts:114-144` 对齐，含 169.254/16（cloud metadata）。 */
-export declare function isPrivateIP(ip: string): boolean;
-/**
- * URL 静态校验（不依赖任何配置，纯函数，便于单测）。
- *
- * 对齐 CC 对 `ws.url` 的约束：`ws://`/`wss://`、无内嵌凭据、无空白、仅 ASCII。
- * 仓库现有的 `UrlUtils.validateUrl`（`utils/url-utils.ts:48-62`）只做 http/https
- * 协议判断，这三项一个都不覆盖，所以这里必须自己写。
- */
-export declare function validateWsUrl(rawUrl: string): WsPolicyResult;
-/** `ws.protocols` 校验：合法 subprotocol token、无重复。 */
-export declare function validateWsProtocols(protocols?: string[]): WsPolicyResult;
-/**
- * 完整的连接前校验：静态 URL 校验 → SSRF → 域名策略 → protocols。
- *
- * 域名语义与 WebFetch、SandboxWriteRuleGuard 和 sandbox-cli 规则下发对齐：
- * - 运行时 action 统一由 Center `decide_network` 返回；`ask` 的交互审批由执行前统一网络 Guard 处理
- * - Genie 不读取本地 orderedRules 做网络裁决，规则统一由 Center `decide_network` 返回
- */
-export declare function checkWsNetworkPolicy(rawUrl: string, protocols: string[] | undefined, sandboxCenterClient?: SandboxCenterClient, sessionId?: string): Promise<WsPolicyResult>;

package/cli/dist-server/types/node/tools/monitor-ws-source.d.ts

@@ -1,72 +0,0 @@
-/**
- * MonitorTool `ws` 事件源的 WebSocket 客户端（issue #74436）。
- *
- * 为什么不复用现有实现
- * ====================
- * - `mcp/node-websocket-transport.ts`：实现的是 MCP SDK `Transport` 接口，`onmessage`
- *   签名硬编码为 `JSONRPCMessage`、收到消息即 `JSON.parse`。本工具要的是「任意文本
- *   原样透传」，协议假设完全不同。更关键的是它**完全不处理 close code**
- *   （`:106-108,125-127` 的 close 回调不接任何参数），而 CC 明确要求把 close code
- *   回传给模型。
- * - `remote-control/clients/centrifugo/centrifugo-client.ts`：绑定 Centrifugo pub/sub
- *   协议与其鉴权模型，不是通用客户端。
- *
- * 因此新写一个薄封装。职责边界刻意收窄：**只负责把 socket 活动翻译成回调**，
- * 不碰 BackgroundTask / 事件 XML / 权限 —— 那些留在 monitor-tool.ts，便于单测。
- *
- * 对齐 CC 的 socket 活动语义（Tools Reference `WebSocket source`）
- * ==============================================================
- * | socket 活动          | 行为                                        |
- * |----------------------|---------------------------------------------|
- * | 文本消息             | 一条消息 = 一个事件（**即使跨多行也不拆**） |
- * | 二进制帧             | 不透传，替换为 `[binary frame, N bytes]`    |
- * | 单条消息 > 1 MiB     | **结束 watch**                              |
- * | socket 关闭          | **结束 watch，并把 close code 交给模型**    |
- *
- * 注意「一条消息 = 一个事件」与 command 模式不同：command 模式按 500ms tick 合并多行
- * 成一条事件（`monitor-tool.ts:97`「避免逐行刷屏」）。ws 侧严格不合并，因为消息边界
- * 是协议语义，合并会破坏它。
- */
-/** CC 规定的单条消息上限：超过即结束 watch。 */
-export declare const WS_MAX_MESSAGE_BYTES: number;
-/** watch 的终止原因，决定收尾事件的措辞。 */
-export type WsEndReason = 
-/** 对端关闭（或本地 close 后对端回 close 帧），带 close code。 */
-{
-    kind: 'closed';
-    code?: number;
-    reason?: string;
-}
-/** 单条消息超过 1 MiB。 */
- | {
-    kind: 'oversized';
-    bytes: number;
-}
-/** 连接层错误（握手失败、网络中断等）。 */
- | {
-    kind: 'error';
-    message: string;
-};
-export interface MonitorWsHandlers {
-    /** 一条文本消息。原样透传，不做 JSON 解析、不按行拆分。 */
-    onText(text: string): void;
-    /** 一个二进制帧。CC 不透传内容，只给占位符所需的字节数。 */
-    onBinary(byteLength: number): void;
-    /** watch 终止。保证**最多调用一次**，且之后不再有 onText/onBinary。 */
-    onEnd(reason: WsEndReason): void;
-}
-/** 已建立的 ws 事件源句柄。 */
-export interface MonitorWsHandle {
-    /** 主动关闭。幂等；不会触发 `onEnd`（调用方自己知道是主动停的）。 */
-    close(): void;
-}
-/** CC 的二进制帧占位符文案，形如 `[binary frame, 512 bytes]`。 */
-export declare function formatBinaryFramePlaceholder(byteLength: number): string;
-/**
- * 建立 ws 连接。**在 resolve 之前完成握手**，因此调用方 `await` 返回后即可认为已连上；
- * 握手失败会 reject，让 `execute()` 能直接把错误回给模型，而不是先返回一个
- * task_id、稍后才通过事件告知连不上（后者对模型很难处理）。
- *
- * 安全前提：调用方**必须**先跑 `checkWsNetworkPolicy`。本函数不做任何 URL 校验。
- */
-export declare function openMonitorWsSource(url: string, protocols: string[] | undefined, handlers: MonitorWsHandlers): Promise<MonitorWsHandle>;

package/cli/dist-server/types/node/tools/multi-edit-tool.d.ts

@@ -1,104 +0,0 @@
-import { Workspace } from '@genie/runtime';
-import type { RunContext } from '@openai/agents';
-import { z } from 'zod';
-import { CodeRatioReportingService } from '../code-ratio';
-import { Session } from '../../vendor/cbc-core/node/index.js';
-import { TelemetryService } from '../telemetry';
-import { SandboxPermissionFileTool } from './sandbox-permission-file-tool';
-import { ReadFileStateService, Tool, ToolCallArgumentRenderer, ToolResult } from './tool-protocol';
-import { ToolArg, ToolNames } from '../../vendor/cbc-shared/node/index.js';
-declare const MultiEditFileParameters: z.ZodObject<{
-    file_path: z.ZodString;
-    edits: z.ZodArray<z.ZodObject<{
-        old_string: z.ZodString;
-        new_string: z.ZodString;
-        replace_all: z.ZodDefault<z.ZodOptional<z.ZodBoolean>>;
-    }, "strip", z.ZodTypeAny, {
-        old_string: string;
-        new_string: string;
-        replace_all: boolean;
-    }, {
-        old_string: string;
-        new_string: string;
-        replace_all?: boolean | undefined;
-    }>, "many">;
-}, "strip", z.ZodTypeAny, {
-    file_path: string;
-    edits: {
-        old_string: string;
-        new_string: string;
-        replace_all: boolean;
-    }[];
-}, {
-    file_path: string;
-    edits: {
-        old_string: string;
-        new_string: string;
-        replace_all?: boolean | undefined;
-    }[];
-}>;
-export declare class MultiEditTool extends SandboxPermissionFileTool implements Tool {
-    protected readonly workspace: Workspace;
-    protected readonly telemetryService: TelemetryService;
-    protected readonly readFileStateService: ReadFileStateService;
-    protected readonly codeRatioReportingService?: CodeRatioReportingService;
-    name: ToolNames;
-    aliases: string[];
-    parameters: z.ZodObject<{
-        file_path: z.ZodString;
-        edits: z.ZodArray<z.ZodObject<{
-            old_string: z.ZodString;
-            new_string: z.ZodString;
-            replace_all: z.ZodDefault<z.ZodOptional<z.ZodBoolean>>;
-        }, "strip", z.ZodTypeAny, {
-            old_string: string;
-            new_string: string;
-            replace_all: boolean;
-        }, {
-            old_string: string;
-            new_string: string;
-            replace_all?: boolean | undefined;
-        }>, "many">;
-    }, "strip", z.ZodTypeAny, {
-        file_path: string;
-        edits: {
-            old_string: string;
-            new_string: string;
-            replace_all: boolean;
-        }[];
-    }, {
-        file_path: string;
-        edits: {
-            old_string: string;
-            new_string: string;
-            replace_all?: boolean | undefined;
-        }[];
-    }>;
-    argumentRenderer: ToolCallArgumentRenderer;
-    resolveNeedPermissionArgs(_runContext: RunContext, input: z.infer<typeof MultiEditFileParameters>, _callId?: string): ToolArg[];
-    /**
-     * Auto mode classifier projection: `${file_path}: ${all new_strings}` (Claude
-     * Edit-content alignment, decision D1) — every edit's new content is inspected
-     * for a dangerous payload.
-     */
-    toAutoClassifierInput(input: unknown): string;
-    /**
-     * 多步编辑的核心逻辑，顺序应用所有编辑操作
-     * 所有编辑操作是原子性的 - 要么全部成功，要么全部失败
-     * 每个编辑操作都在前一个编辑的结果上进行
-     */
-    private applyMultiEdits;
-    /**
-     * 计算多步编辑的最终结果
-     * 验证所有编辑操作的有效性，并计算最终的文件内容
-     */
-    private calculateMultiEdit;
-    /**
-     * 执行多步编辑操作
-     * 原子性操作：要么所有编辑都成功应用，要么全部回滚
-     */
-    execute(params: z.infer<typeof MultiEditFileParameters>, context: RunContext<Session>): Promise<ToolResult>;
-    private classifyReadError;
-    private reportFileAction;
-}
-export {};

package/cli/dist-server/types/node/tools/notebook-edit-tool.d.ts

@@ -1,75 +0,0 @@
-import type { RunContext } from '@openai/agents';
-import { z } from 'zod';
-import { CodeRatioReportingService } from '../code-ratio';
-import { Session } from '../../vendor/cbc-core/node/index.js';
-import { TelemetryService } from '../telemetry';
-import { SandboxPermissionFileTool } from './sandbox-permission-file-tool';
-import { ReadFileStateService, Tool, ToolCallArgumentRenderer, ToolResult } from './tool-protocol';
-import { ToolArg } from '../../vendor/cbc-shared/node/index.js';
-declare const NotebookEditParameters: z.ZodObject<{
-    notebook_path: z.ZodString;
-    cell_id: z.ZodOptional<z.ZodString>;
-    new_source: z.ZodString;
-    cell_type: z.ZodOptional<z.ZodEnum<["code", "markdown"]>>;
-    edit_mode: z.ZodDefault<z.ZodOptional<z.ZodEnum<["replace", "insert", "delete"]>>>;
-}, "strip", z.ZodTypeAny, {
-    notebook_path: string;
-    cell_id?: string | undefined;
-    new_source: string;
-    cell_type?: "code" | "markdown" | undefined;
-    edit_mode: "delete" | "insert" | "replace";
-}, {
-    notebook_path: string;
-    cell_id?: string | undefined;
-    new_source: string;
-    cell_type?: "code" | "markdown" | undefined;
-    edit_mode?: "delete" | "insert" | "replace" | undefined;
-}>;
-export declare class NotebookEditTool extends SandboxPermissionFileTool implements Tool {
-    protected readonly telemetryService: TelemetryService;
-    protected readonly readFileStateService: ReadFileStateService;
-    protected readonly codeRatioReportingService?: CodeRatioReportingService;
-    name: string;
-    aliases: string[];
-    description: string;
-    parameters: z.ZodObject<{
-        notebook_path: z.ZodString;
-        cell_id: z.ZodOptional<z.ZodString>;
-        new_source: z.ZodString;
-        cell_type: z.ZodOptional<z.ZodEnum<["code", "markdown"]>>;
-        edit_mode: z.ZodDefault<z.ZodOptional<z.ZodEnum<["replace", "insert", "delete"]>>>;
-    }, "strip", z.ZodTypeAny, {
-        notebook_path: string;
-        cell_id?: string | undefined;
-        new_source: string;
-        cell_type?: "code" | "markdown" | undefined;
-        edit_mode: "delete" | "insert" | "replace";
-    }, {
-        notebook_path: string;
-        cell_id?: string | undefined;
-        new_source: string;
-        cell_type?: "code" | "markdown" | undefined;
-        edit_mode?: "delete" | "insert" | "replace" | undefined;
-    }>;
-    argumentRenderer: ToolCallArgumentRenderer;
-    resolveNeedPermissionArgs(_runContext: RunContext, input: z.infer<typeof NotebookEditParameters>, _callId?: string): ToolArg[];
-    /**
-     * Auto mode classifier projection: `${notebook_path} ${edit_mode}: ${new_source}`
-     * (strict Claude alignment, decision D1) — the new cell source is inspected
-     * for a dangerous payload.
-     */
-    toAutoClassifierInput(input: unknown): string;
-    private validateToolParams;
-    private readNotebookFile;
-    private createNewNotebook;
-    private writeNotebookFile;
-    private findCellIndexById;
-    private generateCellId;
-    private createNewCell;
-    private normalizeSource;
-    execute(params: z.infer<typeof NotebookEditParameters>, _context: RunContext<Session>): Promise<ToolResult>;
-    /** 把 ipynb 的 cell source（string | string[]）还原为字符串。ipynb 约定每行已含结尾 '\n'，join('') 即原文。 */
-    private sourceToString;
-    private reportFileAction;
-}
-export {};

package/cli/dist-server/types/node/tools/notebook-read-tool.d.ts

@@ -1,55 +0,0 @@
-import { Workspace } from '@genie/runtime';
-import type { RunContext } from '@openai/agents';
-import { z } from 'zod';
-import { Session } from '../../vendor/cbc-core/node/index.js';
-import { BaseTool } from './base-tool';
-import { Tool, ToolCallArgumentRenderer, ToolResult } from './tool-protocol';
-import { ToolArg, ToolNames } from '../../vendor/cbc-shared/node/index.js';
-declare const NotebookReadParameters: z.ZodObject<{
-    notebook_path: z.ZodString;
-    cell_id: z.ZodOptional<z.ZodString>;
-}, "strip", z.ZodTypeAny, {
-    notebook_path: string;
-    cell_id?: string | undefined;
-}, {
-    notebook_path: string;
-    cell_id?: string | undefined;
-}>;
-export declare class NotebookReadTool extends BaseTool implements Tool {
-    protected readonly workspace: Workspace;
-    name: ToolNames;
-    aliases: string[];
-    parameters: z.ZodObject<{
-        notebook_path: z.ZodString;
-        cell_id: z.ZodOptional<z.ZodString>;
-    }, "strip", z.ZodTypeAny, {
-        notebook_path: string;
-        cell_id?: string | undefined;
-    }, {
-        notebook_path: string;
-        cell_id?: string | undefined;
-    }>;
-    argumentRenderer: ToolCallArgumentRenderer;
-    resolveNeedPermissionArgs(runContext: RunContext, input: z.infer<typeof NotebookReadParameters>, callId?: string): ToolArg[];
-    /**
-     * 验证工具参数
-     */
-    private validateToolParams;
-    /**
-     * 读取和解析 Jupyter notebook 文件
-     */
-    private readNotebookFile;
-    /**
-     * 格式化单个 cell 内容
-     */
-    private formatCell;
-    /**
-     * 根据 cell_id 查找特定的 cell
-     */
-    private findCellById;
-    /**
-     * 执行 notebook 读取操作
-     */
-    execute(params: z.infer<typeof NotebookReadParameters>, context: RunContext<Session>): Promise<ToolResult>;
-}
-export {};

package/cli/dist-server/types/node/tools/notebook-write-tool.d.ts

@@ -1,7 +0,0 @@
-import { NotebookEditTool } from './notebook-edit-tool';
-import { Tool } from './tool-protocol';
-export declare class NotebookWriteTool extends NotebookEditTool implements Tool {
-    name: string;
-    defer_loading: boolean;
-    aliases: string[];
-}

package/cli/dist-server/types/node/tools/powershell-clm-types.d.ts

@@ -1,30 +0,0 @@
-/**
- * PowerShell Constrained Language Mode (CLM) allowed types.
- *
- * Microsoft's CLM restricts .NET type usage to this allowlist when PowerShell
- * runs under AppLocker/WDAC system lockdown. Any type NOT in this set is
- * considered unsafe for untrusted code execution.
- *
- * We invert this: type literals not in this set -> ask. One canonical check
- * replaces enumerating individual dangerous types (named pipes, reflection,
- * process spawning, P/Invoke marshaling, etc.). Microsoft maintains the list.
- *
- * Source: https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_language_modes
- *
- * Aligned with Claude Code's clmTypes.ts.
- *
- * Normalization: entries stored lowercase, short AND full names where both
- * exist (PS resolves type accelerators like [int] -> System.Int32 at runtime;
- * we match against the literal text from the command).
- */
-export declare const CLM_ALLOWED_TYPES: ReadonlySet<string>;
-/**
- * Normalize a type name from command text.
- * Handles array suffix ([]) and generic brackets.
- */
-export declare function normalizeTypeName(name: string): string;
-/**
- * True if typeName is in Microsoft's CLM allowlist.
- * Types NOT in this set trigger ask — they access system APIs CLM blocks.
- */
-export declare function isClmAllowedType(typeName: string): boolean;

package/cli/dist-server/types/node/tools/powershell-command-semantics.d.ts

@@ -1,23 +0,0 @@
-/**
- * Windows command exit code semantic interpretation.
- *
- * Some Windows commands use non-zero exit codes for non-error conditions.
- * Without this mapping, the model (and user) would interpret any non-zero
- * exit code as a failure, leading to unnecessary retries.
- *
- * Reference: Claude Code's commandSemantics.ts
- */
-export interface CommandSemantic {
-    /** Whether this exit code represents an actual error */
-    isError: boolean;
-    /** Human-readable explanation of the exit code */
-    message?: string;
-}
-/**
- * Interpret the exit code of a command, accounting for Windows-specific semantics.
- *
- * @param command - The original command string
- * @param exitCode - The process exit code
- * @returns Semantic interpretation, or null if no special handling needed
- */
-export declare function interpretCommandResult(command: string, exitCode: number | null): CommandSemantic | null;