@x-otto/runtime 0.0.1-alpha.1 → 0.0.1-alpha.11

package/dist/index.d.ts

@@ -1,15 +1,220 @@
-import { CostSummary, Message, Model, ModelResolution, ProviderRegistry, ThinkingLevel } from "@x-otto/ai";
+import { CostSummary, Message, Model, ModelResolution, ProviderRegistry, StreamFunction, ThinkingLevel } from "@x-otto/ai";
 import { HookRegistry, HookSpec, SystemPromptTransformInput, ToolExecuteAfterInput } from "@x-otto/hooks";
 import { EventBus, Events, Logger, TypedEventEmitter } from "@x-otto/shared";
 import { AppendLog, PanelStateDraftEntry, PanelStateEditedFile, PanelStatePersistence, PanelStateSnapshot, PanelStateSubagentEntry, PanelStateTodoItem, PanelStateTurnSummary, PasteStatePersistence, PasteStateSnapshot } from "@x-otto/persistence";
-import { InMemorySession, LeaseInspection, Session, SessionEntry, SessionPersistence, SessionSnapshot } from "@x-otto/session";
+import { EVENT_DOMAIN, EventDomain, SYSTEM_PROMPT_SECTIONS, SystemPromptSectionSpec, applySectionBudget, getEventDomain } from "@x-otto/interchange";
+import * as _$_x_otto_session0 from "@x-otto/session";
+import { InMemorySession, LeaseInspection, Session, SessionEntry, SessionPanelState, SessionPersistence, SessionSnapshot } from "@x-otto/session";
 import { OttoProcessInfo } from "@x-otto/env";
-import { Agent, AgentEvent, AgentMessage, AgentSessionEvent, AgentSessionEventMap, AgentSessionEventType, AgentSessionSubscriber, AgentTool, ApprovalRisk, AskUserQuestion, ClockPort, DescribeImagesPort, GrillAnswer, GrillQuestion, GrillRequest, MemoryPort, MemoryPort as MemoryPort$1, StreamFunction, StreamRetryConfig, ToolHookExecutor, ToolResult, TraceEvent, TraceRecorder, applyMemoryTransform } from "@x-otto/agent";
+import { Agent, AgentEvent, AgentMessage, AgentSessionEvent, AgentSessionEventMap, AgentSessionEventType, AgentSessionSubscriber, AgentTool, ApprovalRisk, AskUserQuestion, ClockPort, DescribeImagesPort, GrillAnswer, GrillQuestion, GrillRequest, IdPort, MemoryPort, MemoryPort as MemoryPort$1, RandomPort, StreamFunction as StreamFunction$1, StreamRetryConfig, ToolHookExecutor, ToolResult, TraceEvent, TraceRecorder, applyMemoryTransform } from "@x-otto/agent";
 import * as _$_x_otto_session_contract0 from "@x-otto/session-contract";
 import { ResidencyBudgetConfig, TurnRecord, TurnRecord as TurnRecord$1 } from "@x-otto/session-contract";
 import { ChildProcess, SpawnOptions } from "node:child_process";
 import { Devtools } from "@x-otto/devtools";
 
+//#region src/plane/host-registry.d.ts
+type RegistrationPlane = 'host' | 'preset';
+/** 注册条目公共字段（平面无关）。 */
+interface BasePlaneEntry {
+  /** 条目唯一 id（格内唯一；插件注册约定 `plugin:<pluginId>` / `waterfall:<timing>`）。 */
+  id: string;
+  /** 贡献类型标签（'plugin' 身份声明 / 'waterfall' 贡献 / 未来轴）。 */
+  kind: string;
+  /** 贡献载荷（注册者语义自定）。 */
+  value: unknown;
+  /** 来源插件 id（非插件来源的注册可省略）。 */
+  pluginId?: string;
+  /**
+   * R6'：来源插件 manifest 版本（信任绑定版本——插件更新后需重新评估白名单，
+   * trust 不跨版本自动存续）。非插件来源注册可省略。
+   */
+  pluginVersion?: string;
+}
+/**
+ * host 平面条目草稿（进程级单例）。`plane: 'host'` + `scope: 'process'` 为编译期
+ * 字面量——只能传给 HostRegistry.register()，传进任何 PRESET 格注册 API 即编译错误。
+ */
+type HostPlaneDraft = BasePlaneEntry & {
+  readonly plane: 'host';
+  readonly scope: 'process';
+};
+/** PRESET workspace 格条目草稿——`scope: 'workspace'` 只能传给 workspace 格的注册 API。 */
+type WorkspacePresetDraft = BasePlaneEntry & {
+  readonly plane: 'preset';
+  readonly scope: 'workspace';
+};
+/** PRESET 会话格条目草稿——`scope: 'session'` 只能传给会话格的注册 API。 */
+type SessionPresetDraft = BasePlaneEntry & {
+  readonly plane: 'preset';
+  readonly scope: 'session';
+};
+/** 已盖章的 host 平面条目（无附加键）。 */
+interface HostPlaneEntry extends HostPlaneDraft {}
+/** 已盖章的 PRESET workspace 条目——workspaceKey 由格在注册时盖章（调用方不可自报）。 */
+interface WorkspacePresetEntry extends WorkspacePresetDraft {
+  /** 所属 workspace key（`ws_<uuid>`）。由格盖章，非调用方自报。 */
+  workspaceKey: string;
+}
+/** 已盖章的 PRESET 会话条目——sessionId 由格在注册时盖章（调用方不可自报）。 */
+interface SessionPresetEntry extends SessionPresetDraft {
+  /** 所属会话 id。由格盖章，非调用方自报。 */
+  sessionId: string;
+}
+type PlaneEntry = HostPlaneEntry | WorkspacePresetEntry | SessionPresetEntry;
+/** 发射端上下文（host 单点发射携带）。缺省字段 = 不匹配对应平面。 */
+interface EmitContext {
+  /** 发射时已知的会话 id——会话格条目仅当匹配才可达。 */
+  sessionId?: string;
+  /** 发射时已知的 workspace key——workspace 格条目仅当匹配才可达。 */
+  workspaceKey?: string;
+}
+/** R6' 版本漂移条目（插件更新后残留的旧版本注册，需重新评估）。 */
+interface StalePlaneEntry {
+  entry: PlaneEntry;
+  /** 注册时快照的版本。 */
+  registeredVersion: string | undefined;
+  /** 插件当前 manifest 版本（可能缺省——manifest 无版本字段）。 */
+  currentVersion: string | undefined;
+}
+/** PRESET workspace 格（注册 + 列表 + 清理）。 */
+declare class WorkspacePresetGrid {
+  /** workspace key（`ws_<uuid>`）——构造时由 HostRegistry.workspace() 传入。 */
+  readonly key: string;
+  private readonly entries;
+  /** 已 dispose（格关闭后拒绝新注册，fail-closed）。 */
+  private disposed;
+  constructor(/** workspace key（`ws_<uuid>`）——构造时由 HostRegistry.workspace() 传入。 */
+
+  key: string);
+  /**
+   * 注册一条 workspace 级 PRESET 贡献。同 id 重复注册 = 整体替换（R6'：新评估覆盖
+   * 旧评估，不继承——插件更新后经 unregister→register 全量替换）。
+   */
+  register(draft: WorkspacePresetDraft): WorkspacePresetEntry;
+  unregister(id: string): boolean;
+  /** 撤销某插件的全部条目（pluginId 匹配）。返回撤销条数。 */
+  unregisterByPlugin(pluginId: string): number;
+  list(): readonly WorkspacePresetEntry[];
+  /** workspace 关闭 → 清空本格。幂等。 */
+  dispose(): void;
+}
+/** PRESET 会话格（注册 + 列表 + 清理）。 */
+declare class SessionPresetGrid {
+  readonly sessionId: string;
+  private readonly entries;
+  private disposed;
+  constructor(sessionId: string);
+  register(draft: SessionPresetDraft): SessionPresetEntry;
+  unregister(id: string): boolean;
+  unregisterByPlugin(pluginId: string): number;
+  list(): readonly SessionPresetEntry[];
+  /** 会话 dispose → 清空本格。幂等。 */
+  dispose(): void;
+}
+/** PRESET workspace 作用域句柄——`workspace.preset.register()`（RFC-327 D2 API 形状）。 */
+declare class WorkspacePresetScope {
+  readonly workspaceKey: string;
+  /**
+   * PRESET workspace 格。注册 API 形状 = `workspace.preset.register(draft)`。
+   * 语义同 WorkspacePresetGrid（注册/撤销/列表/清理），随 workspace 生命周期。
+   */
+  readonly preset: WorkspacePresetGrid;
+  constructor(workspaceKey: string);
+  /** workspace 关闭 → 清 workspace 格（R2'：HOST 桶不受影响）。幂等。 */
+  dispose(): void;
+}
+/** PRESET 会话作用域句柄——`session.preset.register()`（RFC-327 D2 API 形状）。 */
+declare class SessionPresetScope {
+  readonly sessionId: string;
+  /**
+   * PRESET 会话格。注册 API 形状 = `session.preset.register(draft)`。
+   * 语义同 SessionPresetGrid（注册/撤销/列表/清理），随会话生命周期。
+   */
+  readonly preset: SessionPresetGrid;
+  constructor(sessionId: string);
+  /** 会话 dispose → 清会话格（R2'：HOST 桶与 workspace 格不受影响）。幂等。 */
+  dispose(): void;
+}
+/**
+ * HostRegistry —— 进程级单例注册表（RFC-327 修订 D2，T-327-M2-01/02）。
+ *
+ * 三桶：host 平面（进程级单例）+ PRESET workspace 格（按 workspaceKey）+ PRESET
+ * 会话格（按 sessionId）。生命周期=进程；dispose() 清空全部。
+ *
+ * 编译期跨平面拒绝（R2'）：register 只收 HostPlaneDraft（plane:'host'），
+ * workspace/session 格的注册 API 只收各自字面量草稿——跨平面注册在类型层即失败。
+ */
+declare class HostRegistry {
+  private readonly hostEntries;
+  private readonly workspaceScopes;
+  private readonly sessionScopes;
+  private disposed;
+  private ensureNotDisposed;
+  /** host 平面注册（进程级单例）。`host.register()`（RFC-327 D2 API 形状）。 */
+  register(draft: HostPlaneDraft): HostPlaneEntry;
+  unregister(id: string): boolean;
+  /** 撤销某插件在 host 平面的全部条目。返回撤销条数。 */
+  unregisterByPlugin(pluginId: string): number;
+  /** host 平面条目（进程级单例，不随任何会话/workspace 清理）。 */
+  list(): readonly HostPlaneEntry[];
+  /**
+   * PRESET workspace 格句柄（ensure 语义——workspace 挂载/首次注册时建格，幂等）。
+   * 注册 API 形状 = `workspace.preset.register(draft)`。
+   */
+  workspace(workspaceKey: string): WorkspacePresetScope;
+  /**
+   * PRESET 会话格句柄（ensure 语义——会话创建时派生会话格，幂等）。
+   * 注册 API 形状 = `session.preset.register(draft)`。
+   */
+  session(sessionId: string): SessionPresetScope;
+  /** workspace 关闭 → 清 workspace 格（不重建；不存在即 no-op）。 */
+  disposeWorkspaceGrid(workspaceKey: string): void;
+  /**
+   * RFC-327 修订 D2（M2，应用点 B 建议修订）：把 `fromKey` 格的条目迁移到 `toKey` 格。
+   *
+   * 场景：pendingWorkspaceInit（交互态首次打开待信任确认）路径下插件 reload 先于
+   * workspaceRef 就位，PMM 用 DEFAULT_WORKSPACE_KEY（'default'）兜底注册；真实 key
+   * 就位后（completeWorkspaceDependentStartup）必须把 default 格条目迁到真实格，
+   * 否则两格并存、发射端按真实 key 路由查不到插件条目。
+   *
+   * 语义：条目按 id 迁移（整体搬，不重新盖章之外不改变语义）；fromKey 格迁移后清空
+   * 且 dispose（fail-closed，防后续误注册到已废弃格）。fromKey 不存在 / toKey===fromKey
+   * 均为 no-op。只迁移 workspace 级条目（host/会话格不涉及）。
+   */
+  migrateWorkspaceGrid(fromKey: string, toKey: string): void;
+  /** 会话 dispose → 清会话格（不重建；不存在即 no-op）。 */
+  disposeSessionGrid(sessionId: string): void;
+  /** 撤销某插件在全部平面（host + 全部 workspace 格 + 全部会话格）的条目。返回撤销条数。 */
+  unregisterByPluginEverywhere(pluginId: string): number;
+  /**
+   * R6' 版本漂移检出：返回 pluginId 名下所有注册版本 ≠ 当前版本的条目。
+   * 插件更新后，正常 reload 走 unregister→register 全量替换；本方法兜底检出
+   * 「旧版本条目残留」（脏插件/撤销失败等异常路径）——调用方应据此重新评估
+   * 白名单（trust 不跨版本自动存续）。`currentVersion` 为 undefined（manifest
+   * 无版本）时，无版本条目视为一致、带版本条目视为漂移（需重新评估）。
+   */
+  revalidatePlugin(pluginId: string, currentVersion: string | undefined): StalePlaneEntry[];
+  /**
+   * 发射端路由（host 单点发射携带上下文）——按上下文过滤 PRESET 注册：
+   *   host 平面条目恒达（进程级单例）；
+   *   workspace 格条目仅当 ctx.workspaceKey 匹配；
+   *   会话格条目仅当 ctx.sessionId 匹配（s1 事件不达 s2 的 PRESET）。
+   */
+  resolveForEmit(ctx: EmitContext): readonly PlaneEntry[];
+  /** 全部平面的全部条目（诊断/审计用）。 */
+  listAll(): readonly PlaneEntry[];
+  /** 进程生命周期结束 → 清空全部平面（host + workspace 格 + 会话格）。幂等。 */
+  dispose(): void;
+}
+//#endregion
+//#region src/session/semantic-reviewer.d.ts
+type SemanticReviewerVerdict = 'allow' | 'deny' | 'abstain';
+type SemanticReviewer = (toolName: string, args: Record<string, unknown>, description: string, risk?: ApprovalRisk) => Promise<SemanticReviewerVerdict>;
+/** 升级审批哨兵（与 T2 的 escalation reason 同源；此处不 import agent 常量避免反向依赖，测试锁定同值）。 */
+declare const ESCALATION_MARKER = "[sandbox-escalation]";
+/** 仅「升级审批」请求可进语义裁决（普通 ask 仍走用户审批——范围克制，RFC §2 D3）。 */
+declare function isEscalationApproval(description: string): boolean;
+//#endregion
 //#region src/context-source.d.ts
 interface ContextSource {
   /** 本源的唯一标识。重复注册→覆盖前一次同 id 源。 */
@@ -133,6 +338,11 @@ interface MemorySubsystem extends MemoryPort$1, ContextInjectionPort, MemoryDelt
  * 经过宿主完整解析后的 session 配置。
  * 所有业务字段均已确定，无需再做 merge。
  * Manager 层只接受此类型来创建 session，不持有业务默认值。
+ *
+ * RFC-394 D2/R1：这是配置链的**唯一真源**。AgentSessionOptions 从本类型派生
+ * （`SessionConfigSubset`），AgentConfig 从 Options 映射，PersistedSessionConfig
+ * 从字段元数据（`PERSISTABLE_CONFIG_FIELDS`）生成——新增字段只改此处，编译器
+ * 自动传播，消灭手抄映射清单（此前 4 次漏传事故的根因）。
  */
 interface ResolvedSessionConfig {
   model: Model;
@@ -219,7 +429,27 @@ interface ResolvedSessionConfig {
    */
   describeImages?: DescribeImagesPort;
 }
-interface AgentSessionOptions {
+/**
+ * RFC-394 D2/R1：从 ResolvedSessionConfig 派生到 AgentSessionOptions 的会话配置子集。
+ *
+ * 这 27 个字段是 ResolvedSessionConfig 中**同时出现在 AgentSessionOptions 里**的字段——
+ * 此前逐字段手抄（buildAgentSession:461+），现用 Pick 派生，增删只改 ResolvedSessionConfig
+ * 一处，编译器自动传播到 Options。AgentSessionOptions = SessionConfigSubset & InfrastructurePorts。
+ *
+ * 不在此子集的字段（permissionAlwaysAllow / availableModels）是会话级权限/模型集合，
+ * 不传给 AgentSession 构造（由 SessionPool 直接读写 configs Map）。
+ */
+type SessionConfigSubset = Pick<ResolvedSessionConfig, 'model' | 'titleModel' | 'modelResolution' | 'agentName' | 'systemPrompt' | 'systemTail' | 'tools' | 'thinkingLevel' | 'maxToolTurns' | 'maxToolTurnExtensions' | 'promptOutputTokenBudget' | 'promptWallClockBudgetMs' | 'stallDetection' | 'sessionCostBudgetUSD' | 'todoContinuation' | 'promptRefresh' | 'workspaceDir' | 'workspaceId' | 'transient' | 'depth' | 'interactive' | 'listable' | 'retryAccelerate' | 'streamRetry' | 'networkDisconnectRetry' | 'lifecycleAsyncTimeoutMs' | 'describeImages'>;
+/**
+ * RFC-394 D2/R1：AgentSessionOptions = SessionConfigSubset（从 ResolvedSessionConfig 派生）
+ * + InfrastructurePorts（运行时注入的基础设施端口）。
+ *
+ * 此前 AgentSessionOptions 是 42 字段的独立 interface，27 个字段与 ResolvedSessionConfig
+ * 逐字段手抄重复——现用 Pick 派生消灭手抄。新增 ResolvedSessionConfig 字段时，
+ * SessionConfigSubset 自动跟随（如需传入 AgentSession），编译器报错提示遗漏。
+ */
+interface AgentSessionOptions extends SessionConfigSubset {
+  /** 会话 id（仅 createSession 路径可选注入）。 */
   id?: string;
   /**
    * RFC-324 D1/R5：turn-gated 压缩的超时兜底（毫秒）惰性读数。
@@ -229,86 +459,29 @@ interface AgentSessionOptions {
    * 未注入时回退 `SESSION_COMPACTION_TIMEOUT_MS`（其本身已含 env 覆盖）。
    */
   getCompactionTimeoutMs?: () => number | undefined;
-  model: Model;
-  /** 模型决策溯源(为何选中此 model)——透传给观测层供 inspector 显示。 */
-  modelResolution?: ModelResolution;
-  agentName?: string;
-  systemPrompt?: string;
-  /** 会话恒定的 volatile system 尾段种子（append 子代理角色块等）；透传至 PromptParams.systemTail。 */
-  systemTail?: string[];
-  tools?: AgentTool[];
-  thinkingLevel?: ThinkingLevel;
-  maxToolTurns?: number;
-  maxToolTurnExtensions?: number;
-  /** RFC-104 D3：per-prompt output-token 预算（AgentSessionOptions 透传面）。 */
-  promptOutputTokenBudget?: number;
-  /** RFC-104 D3：per-prompt 墙钟预算（ms）。 */
-  promptWallClockBudgetMs?: number;
   /** RFC-104 D2 缺省：顶层默认开、子 agent 默认关；OTTO_BUDGET_STEER_WRAPUP=1/0 覆盖。 */
   budgetSteerWrapUp?: boolean;
-  /**
-   * RFC-203/RFC-204 D4：早期停滞检测配置透传（第三层，此前 AgentConfig/agent.ts 两层
-   * 断链已在 RFC-204 M2 修复）。缺省启用（走 ENGINE_DEFAULTS）；`false` 显式关闭。
-   */
-  stallDetection?: {
-    windowTurns?: number;
-    repeatThreshold?: number;
-  } | false;
-  /**
-   * RFC-204 D1/D2：会话累计成本软预算（美元）。超过阈值时一次性 emit
-   * `session.cost-budget-exceeded`（不阻断）。缺省 = 不启用预算检测。
-   */
-  sessionCostBudgetUSD?: number;
-  /**
-   * RFC-094：todo 停机闭环硬闸——prompt 结束后若 todoList 仍有未完成项，自动续跑（cap 轮内）。
-   * 缺省从 OTTO_TODO_CONTINUE / OTTO_TODO_CONTINUE_MAX 解析（默认开、cap=3）；depth>0 恒不启闸。
-   */
-  todoContinuation?: {
-    enabled: boolean;
-    max: number;
-  };
-  workspaceDir?: string;
-  /** workspace 逻辑标识（`workspaceRef.id`），按 workspace 过滤会话列表时使用。 */
-  workspaceId?: string;
-  transient?: boolean;
   hookRegistry: HookRegistry;
-  stream: StreamFunction;
-  /**
-   * RFC-078 M134：标题生成用的便宜模型（app 层经 RFC-061 `category:'search'` + usability gate 解析）。
-   * 缺省 → 不启用 LLM 标题生成（仅保留 derived 启发式占位）。禁用对话模型/claude-OAuth（R3）。
-   */
-  titleModel?: Model;
+  stream: StreamFunction$1;
   logger: Logger;
   devtools?: Devtools;
-  promptRefresh?: PromptRefresh;
   memory?: MemoryPort;
   recorder?: TraceRecorder;
   /** RFC-145 D3：nondet batch 冲洗回调（透传给 Agent → work-loop）。缺省 = 不聚合。 */
   nondetFlush?: () => void;
   clock?: ClockPort;
-  depth?: number;
-  interactive?: boolean;
   /**
-   * 是否在 `/resume` 列表中可见（缺省 = 可见）。`false` 用于 headless 一次性内部会话
-   * （`otto --print/--json`）——照常落盘（sessionId/trace 有外部契约消费方），但不进列表。
-   * 详见 `PersistedSessionConfig.listable`。
+   * RFC-371 M-A：父任务锚点（任务树语义）。orchestrator 委派子会话时注入
+   * `RunSessionOptions.parentTaskId`，透传 Agent → ToolExecutor → 工具上下文 →
+   * task_delegate/agent_call → orchestrator per-parent fan-out 闸。undefined = root 层。
    */
-  listable?: boolean;
-  retryAccelerate?: {
-    skip: boolean;
-  };
-  /** RFC-230：流式重试策略投影，见 `ResolvedSessionConfig.streamRetry` 同名字段注释。 */
-  streamRetry?: StreamRetryConfig;
-  /** RFC-230：网络断连重试策略投影，见 `ResolvedSessionConfig.networkDisconnectRetry` 同名字段注释。 */
-  networkDisconnectRetry?: StreamRetryConfig;
-  /** RFC-366：lifecycleAsync 挂死兜底超时（毫秒），见 `ResolvedSessionConfig.lifecycleAsyncTimeoutMs` 同名字段注释。 */
-  lifecycleAsyncTimeoutMs?: number;
+  parentTaskId?: string;
   /**
-   * RFC-181 D3/M3：图像委托描述端口（宿主 VisionDelegateService 实现，coding 层在会话
-   * 装配时注入）。缺省 = 主模型不支持视觉时，image block 降级为占位文本（见
-   * @x-otto/agent 的 vision-gate.ts 完整设计说明）。
+   * RFC-380 T4：LLM 语义审批层（opt-in）。仅升级审批（sandbox-denied escalate ask）
+   * 且配置时生效；allow/deny 自动裁决（宿主侧需消费 approval.required 的
+   * semanticVerdict 记命令 bypass），abstain/未配置 → 既有用户弹窗流程。
    */
-  describeImages?: DescribeImagesPort;
+  semanticReviewer?: SemanticReviewer;
 }
 interface AgentSessionInfo {
   id: string;
@@ -372,7 +545,7 @@ declare function resolveTodoContinuationConfig(env: {
   max: number;
 };
 declare class AgentSession extends EventBus<AgentSessionEventMap> {
-  readonly session: Session<AgentMessage>;
+  readonly session: Session<AgentMessage> & SessionPanelState;
   readonly workspaceDir: string;
   readonly workspaceId?: string;
   private agent;
@@ -403,15 +576,52 @@ declare class AgentSession extends EventBus<AgentSessionEventMap> {
   }> | undefined;
   /** RFC-324 D1/R5：turn-gate 超时兜底的惰性读数（见 AgentSessionOptions 同名字段）。 */
   private readonly getCompactionTimeoutMs?;
-  model: Model;
+  private _model;
   /** 模型决策溯源(哪层选中 + 拒了谁)——供 task-runner 透传观测层。 */
-  modelResolution?: ModelResolution;
-  tools: AgentTool[];
-  systemPrompt: string;
+  private _modelResolution?;
+  private _tools;
+  private _systemPrompt;
   /** 会话恒定的 volatile system 尾段种子（append 子代理角色块等）；透传至每轮 PromptParams.systemTail。 */
-  systemTail?: string[];
+  private _systemTail?;
+  private _maxToolTurns;
+  private _maxToolTurnExtensions;
+  /** RFC-104 D3：per-prompt 预算（fork 拷贝面；depth>0 构造时已被剥除）。 */
+  private _promptOutputTokenBudget?;
+  private _promptWallClockBudgetMs?;
+  private _thinkingLevel;
+  private _promptRefresh?;
+  /** 公开只读——模型。写操作走 applyModel()。 */
+  get model(): Model;
+  get modelResolution(): ModelResolution | undefined;
+  get tools(): AgentTool[];
+  get systemPrompt(): string;
+  get systemTail(): string[] | undefined;
+  get maxToolTurns(): number;
+  get maxToolTurnExtensions(): number;
+  get promptOutputTokenBudget(): number | undefined;
+  get promptWallClockBudgetMs(): number | undefined;
+  get thinkingLevel(): ThinkingLevel;
+  get promptRefresh(): PromptRefresh | undefined;
+  /** RFC-394 D4/R4：显式 apply 方法——外部写运行时状态的唯一入口。 */
+  applyModel(model: Model, resolution?: ModelResolution): void;
+  applyThinkingLevel(level: ThinkingLevel): void;
+  applyTools(tools: AgentTool[]): void;
+  applySystemPrompt(prompt: string): void;
+  applyBudgets(opts: {
+    maxToolTurns?: number;
+    maxToolTurnExtensions?: number;
+    promptOutputTokenBudget?: number;
+    promptWallClockBudgetMs?: number;
+  }): void;
   agentName: string;
   depth: number;
+  /**
+   * RFC-371 M-A：父任务锚点（透传面）。orchestrator 委派子会话时注入
+   * `runOptions.parentTaskId`，Agent 构造经 `AgentConfig.parentTaskId` 透传给
+   * ToolExecutor——task_delegate/agent_call 的 per-parent fan-out 闸依赖此字段。
+   * undefined = root 层（顶层用户会话），不受 fan-out 闸约束。
+   */
+  readonly parentTaskId?: string;
   /**
    * orchestrator ephemeral 委派子会话标记 —— 契约上不落盘（见
    * `PersistenceSync.isTransient`）、不进 `/resume` 列表。构造期固定，运行中不变。
@@ -425,13 +635,6 @@ declare class AgentSession extends EventBus<AgentSessionEventMap> {
    * 置 false —— 照常落盘但不进列表。详见 `PersistedSessionConfig.listable`。
    */
   readonly listable: boolean;
-  maxToolTurns: number;
-  maxToolTurnExtensions: number;
-  /** RFC-104 D3：per-prompt 预算（fork 拷贝面；depth>0 构造时已被剥除）。 */
-  promptOutputTokenBudget?: number;
-  promptWallClockBudgetMs?: number;
-  thinkingLevel: ThinkingLevel;
-  promptRefresh?: PromptRefresh;
   private logger;
   private hookRegistry;
   private devtools?;
@@ -441,7 +644,9 @@ declare class AgentSession extends EventBus<AgentSessionEventMap> {
   /** RFC-145 D3：nondet batch 冲洗回调。 */
   private readonly nondetFlush?;
   private readonly clock?;
-  /** RFC-337 D2：steer 消息 id 单调计数器（会话内唯一，供 ESC 撤回按序移除）。 */
+  /** RFC-337 D2：steer 消息 id 单调计数器（会话内唯一，供 ESC 撤回按序移除）。
+   *  RFC-372 S7：改为 `{ value: number }` 对象——steer 逻辑提取到 agent-session-steer.ts
+   *  后需经引用传递（number 是值类型，函数内 ++ 不会回传）。 */
   private steerSeq;
   private readonly persistence;
   /**
@@ -491,6 +696,8 @@ declare class AgentSession extends EventBus<AgentSessionEventMap> {
    * task-runner 在跑 task_delegate/fork 子会话时据此把运行态接入 globalAgentObservability。
    */
   get coreAgent(): Agent;
+  /** RFC-372 S7：steer 集群的依赖面（供 agent-session-steer.ts 消费）。 */
+  private get steerDeps();
   get isExecuting(): boolean;
   /**
    * prompt 全生命周期忙判定。isExecuting 只覆盖 streaming/tool_executing，
@@ -509,7 +716,7 @@ declare class AgentSession extends EventBus<AgentSessionEventMap> {
     systemPromptLength: number;
     tools: string[];
   };
-  constructor(session: Session<AgentMessage>, options: AgentSessionOptions);
+  constructor(session: Session<AgentMessage> & SessionPanelState, options: AgentSessionOptions);
   /**
    * 由 SessionPool / 宿主类在 session.created hook 执行完毕后调用。
    * 此时 EventBridge 已完成订阅，session.start 事件可被正确接收。
@@ -559,8 +766,13 @@ declare class AgentSession extends EventBus<AgentSessionEventMap> {
    *  hadToolActivity：本轮是否有真实工具调用产出（assistant tool_call 消息），供闸门
    *  无进展判定区分"零动作卡死"（放行）与"有产出但没同步 todo 状态"（定向续跑一次）。
    *  images（RFC-111 D4b）：仅首轮（外层 `prompt()` 调用）传入，todo 续跑等内部触发轮
-   *  不重复携带图片——避免同一张图片在续跑轮里被重复注入上下文。 */
+   *  不重复携带图片——避免同一张图片在续跑轮里被重复注入上下文。
+   *
+   *  RFC-372 M3：实现提取到 agent-session-prompt-round.ts（runPromptRound 函数），
+   *  此处经 promptRoundHost getter 桥接全部依赖。纯结构重构，行为零变化。 */
   private runPromptRound;
+  /** RFC-372 M3：runPromptRound 的依赖面（供 agent-session-prompt-round.ts 消费）。 */
+  private get promptRoundHost();
   /**
    * RFC-337 D2：注入一条 steer 消息并返回其稳定 `id`（供 cli 侧持有以便 ESC 撤回）。
    *
@@ -571,11 +783,6 @@ declare class AgentSession extends EventBus<AgentSessionEventMap> {
   steer(text: string): {
     id: string;
   };
-  /**
-   * RFC-337 D2：按 id 移除一条尚未被模型消费的 steer 消息，返回是否命中。
-   * 未命中（已被 `drainSteeringQueue` 交付进 LLM 上下文）时返回 `false`——调用方据此退化
-   * 为「中止整回合」（见 RFC-337 §D3）。转调 `Agent.removeSteer`，只操作内存态队列。
-   */
   removeSteer(id: string): boolean;
   followUp(text: string): void;
   abort(): void;
@@ -626,6 +833,25 @@ declare class AgentSession extends EventBus<AgentSessionEventMap> {
   renameSession(title: string): void;
   /** H5-20：本会话累计用量 + 成本汇总（供 /cost 命令 / TUI 状态栏消费）。 */
   getCostSummary(): CostSummary;
+  /**
+   * RFC-390 D2：最近一轮的 uncached input token（RFC-411 修正口径标注）。
+   * **口径事实（RFC-411）**：`usage.inputTokens` 是 provider 分桶中的 uncached 部分，
+   * **不含 cacheRead/cacheWrite 前缀**（三分桶铁证 packages/ai/src/cache-hit-rate.ts:75
+   * totalInput = cacheRead + cacheWrite + inputTokens）——它不是"当前上下文占用"。
+   * RFC-390 D2 原注释"total 口径含 cache 前缀"是错误标签，已废止（见 RFC-411 执行摘要）。
+   * 供 memory-manager 的 `getRealInputTokens` 惰性端口消费——空响应轮 `record()` 跳过时
+   * 值停留在上一轮。undefined = 本会话尚无 usage（首次请求前）。
+   * （RealInputPolicy 因该口径低估从"补漏"退化为近乎恒不触发，坐标换算修正 defer 至
+   * memory 包独立 RFC——TokenPressurePolicy 真实估算仍是主力防线。）
+   */
+  getLastInputTokens(): number | undefined;
+  /**
+   * RFC-434 D2：上一轮请求的 **total 口径** input（`cacheRead + cacheWrite + inputTokens`）
+   * ——"上下文实际有多大"的 provider 权威读数。供 memory-manager 的 `getRealInputTokens`
+   * 端口消费，取代原先错用的 `getLastInputTokens`（uncached-only，见 RFC-411 口径定性）。
+   * `undefined` = 本会话尚无 usage。
+   */
+  getLastTotalInputTokens(): number | undefined;
   /**
    * RFC-019 M1：最近一回合的缓存命中率（R1）。`null` = 供应商无缓存 API 或本回合无 usage 数据
    * ——消费方应据此隐藏该字段，而非展示误导性的 0。供 `/cache-stats`、summary 行消费。
@@ -885,6 +1111,9 @@ declare class PanelStateStore {
   /**
    * 批量加载——直接返回 `PanelStateSnapshot`，供 persistence-sync 恢复/迁移路径使用。
    * 比分别调用 4 次 get 方法更高效（一次 load 而非四次）。
+   *
+   * RFC-393 M4：版本门——读出的 `ver` 不匹配 `PANEL_STATE_VER` 时废弃旧 checkpoint
+   * （返回 null，触发全量重读/迁移兜底）。缺省（旧数据无 ver）= 0，自动废弃。
    */
   loadAll(sessionId: string): Promise<PanelStateSnapshot | null>;
   /**
@@ -935,6 +1164,42 @@ declare class ResidencyGovernor {
 }
 //#endregion
 //#region src/session/session-manager.d.ts
+/**
+ * RFC-394 D3/R2：后端能力 seam——收敛此前散装旋钮为结构化能力接口。
+ *
+ * 此前 SessionPoolOptions 有 5 个后端能力旋钮（isSessionWriteLocked /
+ * inspectSessionWriteLease / forceReleaseSessionWriteLease / listColdSessionsOverride /
+ * panelStateStore），每个都是"未注入即降级"的独立可选字段。现在收敛为 2 个
+ * 能力接口对象，由持久化后端自声明（复用 supportsArchive 式能力探测惯例）。
+ *
+ * residencyGovernor / getResidencyConfig / planeRegistry 不是后端能力旋钮
+ * （它们是跨模块基础设施注入——内存治理信号源/双平面注册表），保留为显式注入。
+ */
+/**
+ * 写租约管理能力——合并此前 3 个散装旋钮（isSessionWriteLocked /
+ * inspectSessionWriteLease / forceReleaseSessionWriteLease）。
+ *
+ * 由本地 SQLite 后端注入（SessionWriteLeaseManager 的薄封装）；
+ * 远端/内存后端无租约机制，不注入（行为与迁移前一致）。
+ */
+interface WriteLeaseManager {
+  /** 某会话当前是否被**另一存活进程**持有写租约（无副作用，不 acquire）。 */
+  isLockedByOther(sessionId: string): boolean;
+  /** 写租约只读诊断（持有者 pid/hostname/存活性/mtime 距今）。 */
+  inspect(sessionId: string): _$_x_otto_session0.LeaseInspection;
+  /** 强制释放写租约（跳过 token 实核，仅供用户主动 /session unlock --force）。 */
+  forceRelease(sessionId: string): void;
+}
+/**
+ * 冷会话枚举能力——收敛此前 listColdSessionsOverride 散装旋钮。
+ *
+ * 由本地 SQLite 后端注入（SqliteSessionRepository 单次 SQL 查询）；
+ * 远端后端不注入，缺省走 listPaginated+load 兜底路径。
+ */
+interface ColdSessionLister {
+  /** 枚举持久化后端已知但未必已加载进内存的冷会话（本地高效 SQL / 远端兜底分页）。 */
+  listColdSessions(workspaceKey: string): Promise<AgentSessionInfo[]>;
+}
 /**
  * Manager 只持有基础设施配置（持久化、网络、日志）。
  * 业务配置（model、systemPrompt、tools 等）由宿主（coding/第二宿主）解析后
@@ -975,6 +1240,15 @@ interface SessionPoolOptions {
    * 确定性时钟端口。缺省=真实系统时钟（行为不变）；replay 由 trace 回灌。
    */
   clock?: ClockPort;
+  /**
+   * 确定性 id 生成端口（M-2）。缺省=systemId（crypto.randomUUID）；replay/测试注入固定序列。
+   * 透传给 InMemorySession 与 fork 产物。
+   */
+  idGen?: IdPort;
+  /**
+   * 确定性随机端口（M-2）。缺省=systemRandom（Math.random）；replay 由 trace 回灌。
+   */
+  randomGen?: RandomPort;
   /**
    * 仅用于 restore / restoreAll 场景。
    * 正常 createSession 路径必须传入完整 ResolvedSessionConfig，不使用此字段。
@@ -995,37 +1269,27 @@ interface SessionPoolOptions {
   /** RFC-323 M4：驻留预算运行时配置 getter（settings 注入，透传给 PersistenceSync）。 */
   getResidencyConfig?: () => _$_x_otto_session_contract0.ResidencyBudgetConfig | undefined;
   /**
-   * RFC-146：本地高效冷会话枚举策略（可选注入）。仅本地 SQLite 后端在
-   * `session-pool-factory.ts` 构造期注入（内部持有 `SqliteSessionRepository`，
-   * 单次 SQL 查询即拿到完整 `AgentSessionInfo[]`，远快于"逐个 HTTP load()"）；
-   * 远端后端（`otto serve` / `remote-persistence-server`）不注入，缺省走
-   * `listAllPersistedSessions` 的 `persistence.listPaginated()+load()` 兜底路径。
-   * `SessionPool` 只判断"策略是否已注入"，不感知底层是什么仓储实现——
-   * 消灭对具体仓储类型的依赖（见 RFC-146 §6b「sessionRepoRef 迁移策略」）。
+   * RFC-327 修订 D2（M2）：双平面注册边界——进程级 HostRegistry（可选注入）。
+   * 注入后会话在进池（create/fork/restore 三个装池点）时派生 PRESET 会话格，
+   * 出池（remove/idle 驱逐/LRU 驱逐/池 dispose）时清理会话格。未注入 = 不派生
+   * （宿主不接双平面即零影响）。
    */
-  listColdSessionsOverride?: (workspaceKey: string) => Promise<AgentSessionInfo[]>;
+  planeRegistry?: HostRegistry;
   /**
-   * 只读探测（可选注入）：某会话当前是否被**另一存活进程**持有写租约（RFC-159 D3
-   * SessionWriteLeaseManager.peekLockedByOther 的薄封装，无副作用）。仅本地 SQLite 后端
-   * 注入（`session-pool-factory.ts`）；未注入时 `listSessions`/`listAllPersistedSessions`
-   * 恒不标注只读（远端/内存后端无租约机制，行为与迁移前一致）。用于 `/resume` 列表
-   * 提前展示"切进去会是只读"，而非等到真正 save 被拒才事后感知。
+   * RFC-394 D3/R2：后端能力 seam——收敛此前 5 个散装旋钮（listColdSessionsOverride /
+   * isSessionWriteLocked / inspectSessionWriteLease / forceReleaseSessionWriteLease /
+   * panelStateStore 的后端注入面）为 2 个能力接口。由持久化后端自声明注入；
+   * 未注入时各方法走降级路径（行为与迁移前一致）。新后端能力走"能力接口 + 自声明"
+   * 模式，禁止在 SessionPoolOptions 新增散装旋钮（R2）。
    */
-  isSessionWriteLocked?: (sessionId: string) => boolean;
+  writeLeaseManager?: WriteLeaseManager;
+  coldSessionLister?: ColdSessionLister;
   /**
-   * RFC-171 D4：写租约只读诊断（可选注入）——`SessionWriteLeaseManager.inspect` 的薄封装。
-   * 仅本地 SQLite 后端注入。供 `/session unlock` 只读诊断模式消费（持有者 pid/hostname/
-   * 存活性/mtime 距今）；未注入时恒返回 `{ locked: false }`（远端/内存后端无租约机制）。
+   * RFC-380 T4：LLM 语义审批层（opt-in）——app 级共享，透传给每个 AgentSession。
+   * 仅升级审批（description 含 [sandbox-escalation]）触发；allow/deny 自动裁决，
+   * abstain/未注入 → 既有用户弹窗流程（行为不变）。fail-closed 语义见 semantic-reviewer.ts。
    */
-  inspectSessionWriteLease?: (sessionId: string) => LeaseInspection;
-  /**
-   * RFC-171 D4：强制释放写租约（可选注入）——`SessionWriteLeaseManager.forceRelease` 的
-   * 薄封装。跳过 token 实核，仅供用户主动触发的 `/session unlock --force` 使用。
-   */
-  forceReleaseSessionWriteLease?: (sessionId: string) => void;
-}
-interface DiskSessionPoolOptions extends SessionPoolOptions {
-  sessionDir: string;
+  semanticReviewer?: SemanticReviewer;
 }
 interface RemoteSessionPoolOptions extends SessionPoolOptions {
   sessionUrl: string;
@@ -1048,7 +1312,7 @@ interface SessionPorts {
   recorder?: TraceRecorder;
   /** RFC-145 D3：nondet batch 冲洗回调（RecordingPorts.flushNondetBatch）。缺省 = 不聚合。 */
   nondetFlush?: () => void;
-  stream?: StreamFunction;
+  stream?: StreamFunction$1;
   tools?: AgentTool[];
   disableMemory?: boolean;
 }
@@ -1057,12 +1321,32 @@ declare class SessionPool {
   private readonly panelStateStoreRef;
   private readonly sessions;
   private readonly configs;
+  /**
+   * 驻留时钟（in-memory 池的"这个会话是何时被装进池子的"），**与 `lastActiveAt` 分离**。
+   *
+   * 背景（/resume 时间戳全变"刚刚"的根因）：`restore`/`restoreAll` 此前用
+   * `{ ...snapshot.metadata, lastActiveAt: Date.now() }` 装载快照，把"恢复"当成了"活动"。
+   * 该值随后被 `save()` 的 `touchSession(..., snapshot.metadata.lastActiveAt, ...)` 原样
+   * 写回 DB —— 每次启动 `restoreAll` 恢复的会话（池容量 50）都被盖成当前时间且**永久落盘**，
+   * 于是 `/resume` 列表里所有历史会话都显示成"N 秒前"，真实活动时间被不可逆地抹掉，
+   * 同时按 `lastActiveAt` 降序的排序也彻底失去意义（全部并列在同一时刻）。
+   *
+   * 但那个 `Date.now()` 并非笔误：它保护刚恢复的会话不被 `collectIdle` 立刻自食
+   * （快照的 `lastActiveAt` 可能已是 99 小时前，一装载就超 idleTimeout，见
+   * m17-session-persistence-e2e "M18-PR-03：restore 刷新 lastActiveAt=now（恢复不自食）"）。
+   *
+   * 所以正确的切分是：**驱逐判据 = max(进池时刻, 真实活动时间)，展示与排序只看
+   * `lastActiveAt`（真实活动时间、落盘）**。本时钟只记"何时进的池"（create/fork/restore
+   * 三个装池点登记，出池时清除），活动侧的续期由 `lastActiveAt` 天然承担——两者如何
+   * 合成见 `residencySince`。本时钟是进程内易失状态，永不落盘，故不会污染 /resume。
+   */
+  private readonly residencyClock;
   private readonly persistence;
   private readonly maxSessions;
   private readonly idleTimeoutMs;
   private readonly threshold;
   private activeSessionId?;
-  readonly stream: StreamFunction;
+  readonly stream: StreamFunction$1;
   private readonly hookRegistry;
   private readonly logger;
   private readonly devtools?;
@@ -1070,16 +1354,18 @@ declare class SessionPool {
   private readonly traceStore?;
   private readonly checkpointStore?;
   private readonly clock?;
+  private readonly idGen;
+  private readonly randomGen;
   private readonly residencyGovernor?;
   private readonly getResidencyConfig?;
+  /** RFC-327 修订 D2（M2）：双平面注册边界——会话格派生/清理的宿主注册表（可选）。 */
+  private readonly planeRegistry?;
   private readonly configProvider?;
-  /** RFC-146：本地高效冷会话枚举策略（可选，见 SessionPoolOptions.listColdSessionsOverride）。 */
-  private readonly listColdSessionsOverride?;
-  /** 只读探测（可选，见 SessionPoolOptions.isSessionWriteLocked）。 */
-  private readonly isSessionWriteLocked?;
-  /** RFC-171 D4：写租约诊断/强制释放（可选，见 SessionPoolOptions 对应字段）。 */
-  private readonly inspectSessionWriteLeaseFn?;
-  private readonly forceReleaseSessionWriteLeaseFn?;
+  /** RFC-394 D3：后端能力 seam（收敛此前 5 个散装旋钮）。 */
+  private readonly writeLeaseManager?;
+  private readonly coldSessionLister?;
+  /** RFC-380 T4：LLM 语义审批层（opt-in）——透传给每个 buildAgentSession。 */
+  private readonly semanticReviewer?;
   /**
    * 持久化是否为「自动行为」。disk/remote 后端 = true（prompt 终态增量落盘 +
    * 宿主 start/stop 自动 restoreAll/saveAll）；in-memory 缺省 = false（行为与历史一致，
@@ -1112,6 +1398,31 @@ declare class SessionPool {
   /** 会话级「账号可用模型」读写（同 permissionAlwaysAllow 持久化语义）。 */
   getSessionAvailableModels(id: string): string[];
   setSessionAvailableModels(id: string, models: readonly string[]): void;
+  /**
+   * 登记"会话进池时刻"（create/fork/restore 三个装池点）。纯进程内状态，永不落盘，
+   * 不会污染 `/resume` 展示的 `lastActiveAt`。活动侧续期见 `residencySince`。
+   *
+   * RFC-327 修订 D2（M2）：同一装池点是会话格的派生点——派生 PRESET 会话格
+   * （`session.preset.register()` 的目标）。会话级贡献随会话 dispose 清理
+   * （见 clearSessionPlaneGrid 在四个出池点的调用）。
+   */
+  private admitToResidency;
+  /** RFC-327 修订 D2（M2）：会话出池 → 清理 PRESET 会话格（不重建；未派生即 no-op）。 */
+  private clearSessionPlaneGrid;
+  /**
+   * 驱逐判据用的"最近驻留活动时刻" = **进池时刻与真实活动时间中较新的那个**。
+   *
+   * 两个来源各自只能守住一半，必须取 max：
+   * - 只读 `lastActiveAt`：刚恢复的会话带着快照里可能 99 小时前的时间戳，一进池就超
+   *   idleTimeout 被自食（旧 M18-PR-03 要防的正是这个）。
+   * - 只读驻留时钟：它仅在装池时登记、不随对话续期，判据会退化成"进池后过了多久"——
+   *   用户连用两小时的会话反而因"进池早"被当成 idle 驱逐，且 `collectIdle` 并不豁免
+   *   `activeSessionId`，连当前正在用的会话都可能被踢出池。
+   *
+   * 取较新值后：恢复瞬间由进池时刻托底，此后每次真实活动经 `lastActiveAt` 自然续期，
+   * 而真正长期无活动的会话两个值都旧，仍会被正常驱逐（不会变成"永不驱逐"）。
+   */
+  private residencySince;
   /**
    * 保持既有 private 外观（createSession/fork/restore 调用点不变）。
    */
@@ -1202,15 +1513,15 @@ declare class SessionPool {
    * 不阻塞会话删除本身）。
    */
   private clearSessionStores;
-  /**
-   * fork 直接复用 source session 自身的已解析配置，
-   * 消息通过复制 snapshot entries 完整迁移。
-   */
   /**
    * RFC-160 D3/D4：出口 hydrate（fork 用）。无剥离态直通；有剥离态且持久层具备能力则回填；
    * 能力缺席 → 断言炸（接线遗漏立即暴露，绝不把剥离态固化为新会话正文）。
    */
   private ensureEntriesHydrated;
+  /**
+   * fork 直接复用 source session 自身的已解析配置，
+   * 消息通过复制 snapshot entries 完整迁移。
+   */
   forkSession(sourceId: string, newId?: string): Promise<AgentSession | undefined>;
   save(id: string): Promise<void>;
   saveAll(): Promise<void>;
@@ -1252,16 +1563,12 @@ declare class SessionPool {
   private canAccommodate;
   dispose(): void;
 }
-declare function createDiskSessionPool(options: DiskSessionPoolOptions): SessionPool;
 declare function createRemoteSessionPool(options: RemoteSessionPoolOptions): SessionPool;
 declare function createInMemorySessionPool(options: SessionPoolOptions): SessionPool;
 //#endregion
 //#region src/create-agent-runtime.d.ts
 type SessionStorageConfig = {
   kind: 'in-memory';
-} | {
-  kind: 'disk';
-  sessionDir: string;
 } | {
   kind: 'remote';
   sessionUrl: string;
@@ -1286,22 +1593,12 @@ type SessionStorageConfig = {
   autoPersist?: boolean; /** 后端专属资源释放（如 SqliteSessionRepository.close()）；dispose 时在 sessions.dispose 后调用。 */
   onDispose?: () => void | Promise<void>;
   /**
-   * RFC-146：本地高效冷会话枚举策略透传（见 SessionPoolOptions.listColdSessionsOverride）。
-   * 关系化 SQLite 分支（session-pool-factory.ts）经此注入，走 SqliteSessionRepository 单次
-   * SQL 查询而非通用 listPaginated+load 慢路径。
-   */
-  listColdSessionsOverride?: (workspaceKey: string) => Promise<AgentSessionInfo[]>;
-  /**
-   * 只读探测策略透传（见 SessionPoolOptions.isSessionWriteLocked）。关系化 SQLite 分支
-   * 经此注入 SessionWriteLeaseManager.peekLockedByOther 的薄封装。
-   */
-  isSessionWriteLocked?: (sessionId: string) => boolean;
-  /**
-   * RFC-171 D4：写租约诊断/强制释放策略透传（见 SessionPoolOptions 对应字段）。
-   * 关系化 SQLite 分支经此注入 SessionWriteLeaseManager.inspect/forceRelease 的薄封装。
+   * RFC-394 D3/R2：后端能力 seam——收敛此前 4 个散装透传字段
+   * （listColdSessionsOverride / isSessionWriteLocked / inspectSessionWriteLease /
+   * forceReleaseSessionWriteLease）为 2 个能力接口。由后端自声明注入。
    */
-  inspectSessionWriteLease?: (sessionId: string) => LeaseInspection;
-  forceReleaseSessionWriteLease?: (sessionId: string) => void;
+  writeLeaseManager?: WriteLeaseManager;
+  coldSessionLister?: ColdSessionLister;
   /**
    * RFC-108 D3 面板态（todoList/editedFiles/subagents/drafts）独立持久化的落盘目录。
    * 2026-07-21 修复：`kind:'custom'`（coding 默认的关系化 SQLite 后端）此前不构造
@@ -1350,6 +1647,18 @@ interface RuntimeOptions {
   residencyGovernor?: ResidencyGovernor;
   /** RFC-323 M4：驻留预算运行时配置 getter（settings 注入透传）。 */
   getResidencyConfig?: () => _$_x_otto_session_contract0.ResidencyBudgetConfig | undefined;
+  /**
+   * RFC-327 修订 D2（M2）：双平面注册边界——进程级 HostRegistry（可选注入）。
+   * 注入后会话池在会话创建/fork/restore 时派生 PRESET 会话格，会话移除/驱逐/池
+   * dispose 时清理会话格（对齐「会话创建派生会话格、会话 dispose 清会话格」生命周期）。
+   * 未注入 = 会话格不派生（行为不变，宿主不接双平面即零影响）。
+   */
+  planeRegistry?: HostRegistry;
+  /**
+   * RFC-380 T4：LLM 语义审批层（opt-in）。注入后仅升级审批（sandbox-denied escalate ask）
+   * 触发；allow/deny 自动裁决，abstain/未注入 → 既有用户弹窗流程（行为不变）。
+   */
+  semanticReviewer?: SemanticReviewer;
 }
 interface AgentRuntime {
   /** 统一派生入口：子 runtime / 宿主 / swarm / task-runner 皆经此（§4-11）。 */
@@ -1360,7 +1669,7 @@ interface AgentRuntime {
   readonly sessions: SessionPool;
   readonly hookRegistry: HookRegistry;
   /** 引擎 stream（从 providerRegistry 派生，§4-11：子 runtime 用之而非各自 createStreamFunction）。 */
-  readonly stream: StreamFunction;
+  readonly stream: StreamFunction$1;
   /** ContextSource 有序注册表（D33）：通用源已内置注册，coding 策略源由宿主追加。 */
   readonly contextSources: ContextSourceRegistry;
   readonly traceStore: AppendLog<TraceEvent>;
@@ -1373,7 +1682,7 @@ interface AgentRuntime {
  * createAgentRuntime 内置调用之；宿主的离线装配路径（不经 createAgentRuntime）亦复用，
  * 确保「App 经 rt.contextSources 构建注入 hooks」对所有后端一致——消灭 App 端的二次造表。
  */
-declare function createDefaultContextSourceRegistry(workspaceDir: string, memory?: MemorySubsystem): ContextSourceRegistry;
+declare function createDefaultContextSourceRegistry(_workspaceDir: string, _memory?: MemorySubsystem): ContextSourceRegistry;
 declare function createAgentRuntime(options?: RuntimeOptions): AgentRuntime;
 //#endregion
 //#region src/engine-stores.d.ts
@@ -1593,11 +1902,6 @@ declare class MemoryGovernor {
   constructor(options?: MemoryGovernorOptions);
   /** 当前分级（供外部只读查询，如 TUI 状态展示）。 */
   get currentLevel(): MemoryPressureLevel;
-  /**
-   * 晚绑定 onWarning/onCritical/onCriticalDuringGrace（App 构造时活跃 session 尚不存在，
-   * M2/M3 在 session 就绪后调用注入）。对齐 `App.setScheduleService` 的晚绑定模式，
-   * 非构造期可选依赖。
-   */
   /**
    * 合并式更新（每个字段独立覆盖，未传的字段保留原值）——RFC-115 追补：`app.ts`
    * 启动期注入 `onSample`（trace 落盘）后，`interactive.ts` 会话就绪时再调用一次
@@ -1873,6 +2177,11 @@ interface ProcessSpawnConfig {
    */
   env?: Record<string, string>;
   cwd?: string;
+  /** RFC-394 M5：从 ProcessRegistry RegisterInput 收敛——输出落临时文件路径（bash 工具填）。 */
+  logPath?: string;
+  /** RFC-394 M5：从 ProcessRegistry RegisterInput 收敛——best-effort 嗅探端口/URL。 */
+  port?: number;
+  url?: string;
 }
 interface KillOptions {
   graceMs?: number;
@@ -1896,6 +2205,22 @@ interface ManagedProcess {
   readonly pgid: number | undefined;
   readonly status: ProcessStatus;
   readonly config: ProcessSpawnConfig;
+  /** RFC-394 M5：便捷 getter（从 config 投影，消费方不用深挖 config.xxx）。 */
+  readonly command: string;
+  readonly cwd: string | undefined;
+  readonly logPath: string | undefined;
+  readonly port: number | undefined;
+  readonly url: string | undefined;
+  /** 进程启动时刻（spawn/register 时戳，注入时钟）。 */
+  readonly startedAt: number;
+  /** 退出码（未退出或被信号杀死为 undefined）。 */
+  readonly exitCode: number | undefined;
+  /**
+   * RFC-223：运行时输出识别到的服务信息（url/port/protocol）。
+   * 由 `ProcessRuntime.updateDetectedService` 按 D2 去重规则写入，供状态栏
+   * 「服务」指示器与 ServicesDialog 消费。未识别到时为 undefined。
+   */
+  readonly detectedService: DetectedService | undefined;
   /** 原始字节流 stdin/stdout/stderr（规则 5/H2：非行缓冲，帧解析由消费者负责） */
   readonly stdin: NodeJS.WritableStream | null;
   readonly stdout: NodeJS.ReadableStream | null;
@@ -1938,6 +2263,18 @@ declare class ProcessRuntime {
   get(id: string): ManagedProcess | undefined;
   list(filter?: ProcessFilter): ManagedProcess[];
   listForSession(sessionId: string): ManagedProcess[];
+  /** RFC-394 M5：从 ProcessRegistry 收敛——按 sessionId+id 精确查找。 */
+  getForSession(sessionId: string, id: string): ManagedProcess | undefined;
+  /**
+   * RFC-394 M5：从 ProcessRegistry 收敛——registry 级 kill(id)。
+   * ProcessRuntime 的 kill 是实例方法（proc.kill()），此方法提供 registry 级入口。
+   */
+  kill(id: string, opts?: KillOptions): Promise<void>;
+  /**
+   * RFC-394 M5：从 ProcessRegistry 收敛——更新已检测到的服务信息。
+   * 用于 background bash 运行时输出识别到端口/URL 的场景（RFC-223）。
+   */
+  updateDetectedService(id: string, service: DetectedService): void;
   listForOwner(owner: ProcessOwner): ManagedProcess[];
   touch(id: string): void;
   remove(id: string): void;
@@ -2021,6 +2358,12 @@ interface ApplyDiffResult {
  * apply 可能出乎意料地冲突/无冲突"，不用来拒绝 apply。
  */
 declare function hasRepoDrifted(repoRoot: string, base: string): boolean;
+/**
+ * 纯预检：diff 能否干净 apply 到主仓工作区（`git apply --check`，无任何副作用）。
+ * 供 governance/apply-policy 的 `conflict` 信号使用——在真正 `applyDiff` 之前判定"是否可干净
+ * 落地"。空 diff 视为干净。true=无冲突可落地；false=有冲突/无法判定（交给 applyDiff 兜底）。
+ */
+declare function checkApply(repoRoot: string, diff: string): boolean;
 /**
  * 把作业 diff apply 到主仓工作区。**check-first，不强改**：先 `git apply --check` 验证能否干净
  * 应用——能才真 apply；不能（主仓漂移/冲突）则返回 applied=false + conflictPaths，**绝不**往主树
@@ -2042,6 +2385,15 @@ declare function revertDiff(repoRoot: string, diff: string): ApplyDiffResult;
  * 真实失败无声吞掉，运维完全无感知）。`onError` 缺省不传时行为与修复前一致（纯静默）。
  */
 declare function removeWorktree(wt: Worktree, onError?: (op: 'worktree remove' | 'branch delete' | 'worktree prune', err: unknown) => void): void;
+/**
+ * RFC-435 R8：扫描磁盘上存在的全部 job worktree id（跨进程 rehydrate 源）。
+ *
+ * 用与 pruneOrphanWorktrees 相同的筛选逻辑（tmpdir `otto-wt-*` 前缀 + `otto/job-*` branch），
+ * 但**不删除任何东西**——只返回 jobId 集合。调用方（如 installAgentJobReaper）把本进程
+ * 活跃集与此集合并后传给 pruneOrphanWorktrees，使"他进程（daemon/另一会话）创建的 job
+ * worktree"不会被误判为孤儿销毁（R8：剪枝必须基于 rehydrate 后活跃集合）。
+ */
+declare function listWorktreeJobIds(repoRoot: string): string[];
 /**
  * 扫描并清理孤儿 worktree（SIGKILL/OOM 未走 exit reaper 留下的残留）。
  * 用 `git -C repoRoot worktree list --porcelain` 列出该仓的全部已注册 worktree，
@@ -2473,6 +2825,11 @@ declare function attachAgentObserver(agent: Agent, meta: AgentObservationMeta, r
 declare function createEnvironmentContextSource(workspaceDir: string): ContextSource;
 //#endregion
 //#region src/context-sources/memory-index.d.ts
+/**
+ * RFC-390 D4：标准组合根不再注册此 source（memory 内容由 coding 侧 lesson-injection hook
+ * 合并进 <agent_knowledge> 信封）。保留供 V 形态/无 coding 组合使用——priority 复用
+ * agentKnowledge 的 35（同位替代）。
+ */
 declare function createMemoryIndexContextSource(_workspaceDir: string, memory?: ContextBuildInput['memory']): ContextSource;
 //#endregion
 //#region src/context-sources/todo-reminder.d.ts
@@ -2541,83 +2898,6 @@ interface DocSyncPort {
 declare function formatDocSyncReminder(toolName: string): string;
 declare function createDocSyncReminderHooks(port: DocSyncPort, priority?: 64): HookSpec[];
 //#endregion
-//#region src/context-sources/section-order.d.ts
-/**
- * RFC-020 Phase 3（M54）P3-04：system-prompt 注入 section 的**唯一有序声明**。
- *
- * 治病灶——此前各 section 的 priority 数字（20/25/35/38/40/60）散在 coding hooks 与 runtime
- * context-sources 两包里，"system prompt 各段什么顺序"得捞齐多处数字才能拼出。现收敛为此处一张表：
- *   - 数组/字段顺序即 priority 升序 = 实际 `system.prompt.transform` hook 的执行/拼接顺序；
- *   - `lane` 标明该段落 **stable 前缀**（systemPrompt，进 prompt cache）还是 **volatile 尾段**
- *     （systemTail，落在 cache 断点之后，逐轮可变不击穿缓存）；
- *   - runtime context-sources（environment/memory-index/memory-delta）与 coding hooks
- *     （tool-guidance/lesson/skill-catalog）均从此处取 priority —— 单一真相源，改序只此一处。
- *
- * 放在 @x-otto/runtime（coding 依赖 runtime、反向不依赖）：coding 侧 hook 经 `@x-otto/runtime` import。
- * 注：本表是**排序权威**（方案 H：section 仍由各自 hook 自注册，priority 数字降级为对本表的引用）；
- * 不强行把 `SYSTEM_PROMPT_SECTIONS` 各 section 物理并入单一 registry（那超出外科尺度、非目标）——
- * section 数量以该常量的字段数为准，不在本段注释里重复写死具体数字（history: 建表时 7 个，
- * 后追加 docSyncReminder 成 8 个，写死数字会重犯本次发现的漂移）。
- */
-type SystemPromptLane = 'stable' | 'volatile';
-interface SystemPromptSectionSpec {
-  /** 对应 hook / ContextSource 的 name/id（与注册名一致，供 drift guard 比对）。 */
-  readonly name: string;
-  readonly priority: number;
-  readonly lane: SystemPromptLane;
-}
-declare const SYSTEM_PROMPT_SECTIONS: {
-  readonly toolGuidance: {
-    readonly name: "tool-guidance-injection";
-    readonly priority: 20;
-    readonly lane: "stable";
-  };
-  /**
-   * RFC-318 D7：三分流判别（缺工具 / 流程重复 / 其余）。紧跟 toolGuidance——它是对
-   * "现有工具够不够用"的元判断，语义上属工具指引的延伸；内容恒定故走 stable lane。
-   */
-  readonly skillLoopGuidance: {
-    readonly name: "skill-loop-guidance-injection";
-    readonly priority: 21;
-    readonly lane: "stable";
-  };
-  readonly environment: {
-    readonly name: "runtime:environment";
-    readonly priority: 25;
-    readonly lane: "stable";
-  };
-  readonly memoryIndex: {
-    readonly name: "runtime:memory-index";
-    readonly priority: 35;
-    readonly lane: "stable";
-  };
-  readonly skillCatalog: {
-    readonly name: "skill-catalog-injection";
-    readonly priority: 38;
-    readonly lane: "stable";
-  };
-  readonly lesson: {
-    readonly name: "lesson-injection";
-    readonly priority: 40;
-    readonly lane: "stable";
-  };
-  readonly memoryDelta: {
-    readonly name: "memory-delta-injection";
-    readonly priority: 60;
-    readonly lane: "volatile";
-  };
-  readonly todoReminder: {
-    readonly name: "todo-reminder-injection";
-    readonly priority: 62;
-    readonly lane: "volatile";
-  };
-  readonly docSyncReminder: {
-    readonly name: "doc-sync-reminder-injection";
-    readonly priority: 64;
-    readonly lane: "volatile";
-  };
-};
-//#endregion
 //#region src/session-stable.d.ts
 interface SessionStableInjectionOptions {
   name: string;
@@ -2627,6 +2907,47 @@ interface SessionStableInjectionOptions {
 }
 declare function createSessionStableInjectionHooks(options: SessionStableInjectionOptions): HookSpec[];
 //#endregion
+//#region src/define-prompt-section.d.ts
+interface PromptSectionDefinition {
+  /**
+   * section 名称——必须在 SYSTEM_PROMPT_SECTIONS 表中已登记且 lane 为 'stable'。
+   * priority / budgetBytes 从表查取，调用方不可覆盖。
+   */
+  readonly name: string;
+  /**
+   * 计算注入内容。返回空/undefined 表示本会话无注入（首轮计算后会话内冻结，不再重算）。
+   * 产物自动过 applySectionBudget（调用方不需手动套预算）。
+   */
+  compute: (input: SystemPromptTransformInput) => Promise<string | undefined> | string | undefined;
+}
+/**
+ * 定义一个 stable prompt section 注入 hook。
+ *
+ * 自动从 SYSTEM_PROMPT_SECTIONS 表查 priority / budgetBytes，走 session 冻结的 stable
+ * lane，产物统一过 applySectionBudget。
+ *
+ * @example
+ * ```ts
+ * const hooks = definePromptSection({
+ *   name: SYSTEM_PROMPT_SECTIONS.skillLoopGuidance.name,
+ *   compute: async () => isEnabled() ? await loadGuidance() : undefined,
+ * })
+ * ```
+ */
+declare function definePromptSection(definition: PromptSectionDefinition): HookSpec[];
+//#endregion
+//#region src/session/tool-result-store-global.d.ts
+/**
+ * tool-result-store-global.ts — RFC-093：ToolResultStore 全局单例
+ *
+ * AgentSession 构造 spill 闭包时引用。懒初始化（首次 spill 时基于 cwd 解析 .otto 目录）——
+ * 避免模块加载期做 fs 探测。
+ */
+declare const globalToolResultStore: {
+  spill(sessionId: string, toolCallId: string, text: string): Promise<string | undefined>;
+  cleanupSession(sessionId: string): Promise<void>;
+};
+//#endregion
 //#region src/session/derive-title.d.ts
 /**
  * 从会话消息列表中派生标题（RFC-030 P1）。
@@ -2650,6 +2971,31 @@ declare function deriveSessionTitle(messages: readonly AgentMessage[]): string |
  */
 declare function resolveSessionTitle(persistedTitle: string | undefined, messages: readonly AgentMessage[], id: string): string;
 //#endregion
+//#region src/session/llm-escalation-reviewer.d.ts
+interface LlmEscalationReviewerDeps {
+  /** 会话注入的流函数（与对话同一条，按 model.api 路由 provider）。 */
+  stream: StreamFunction;
+  /** 便宜判定模型（由 app 层解析，同 generateTitle 的 category:'search' 口径）。 */
+  model: Model;
+  /** 上限超时（ms），默认 10s；超时 → abstain。 */
+  timeoutMs?: number;
+}
+/**
+ * 解析 `{"verdict":"allow|deny|abstain"}`。
+ *
+ * **fail-closed 解析**：只有明确抽到 `allow`/`deny` 才返回之，其余（畸形 JSON、截断、
+ * 散文、未知枚举值、空）一律 'abstain'。特别地，绝不因为文本里**出现** "allow" 字样
+ * 就放行——必须是结构化 verdict 字段。
+ */
+declare function parseVerdict(raw: string): SemanticReviewerVerdict;
+/**
+ * 构造 LLM 语义审批器。返回的函数签名即 `SemanticReviewer`。
+ *
+ * 注意：本函数**不做**「是否为升级审批」的判断——那由 gates 的 `isEscalationApproval`
+ * 门负责（单一真源）。
+ */
+declare function createLlmEscalationReviewer(deps: LlmEscalationReviewerDeps): SemanticReviewer;
+//#endregion
 //#region src/session/hooks.d.ts
 interface ToolHookOptions {
   hookRegistry: HookRegistry;
@@ -2658,6 +3004,21 @@ interface ToolHookOptions {
 }
 declare function createToolHookExecutor(options: ToolHookOptions): ToolHookExecutor;
 //#endregion
+//#region src/session/session-compaction-lock.d.ts
+/**
+ * RFC-381 M1/M2：跨进程 durable 压缩锁端口（与 @x-otto/memory 的 CompactionLockPort
+ * 结构同形——runtime 不依赖 memory 包，结构子类型即满足；memory 侧注入处见
+ * MemoryManagerConfig.compactionLock）。
+ */
+interface SessionCompactionLockPort {
+  acquire(sessionId: string, token: string): Promise<boolean>;
+  release(sessionId: string, token: string): Promise<void>;
+}
+declare const DEFAULT_COMPACTION_LOCK_ORPHAN_TIMEOUT_MS = 60000;
+declare function createSessionCompactionLock(session: Session<unknown>, options?: {
+  orphanTimeoutMs?: number;
+}): SessionCompactionLockPort;
+//#endregion
 //#region src/session/persistence-sync.d.ts
 interface PersistenceSyncDeps {
   persistence: SessionPersistence<AgentMessage>;
@@ -2708,6 +3069,15 @@ interface PersistenceSyncDeps {
    * 这是后端能力事实，不是用户配置——未来远端支持 append-tail 后改声明即可自动升级。
    */
   turnFlush?: 'incremental' | 'snapshot';
+  /**
+   * M-2：确定性时钟端口（可选）。restore/restoreAll 装载快照时注入 InMemorySession——
+   * restore 本身不产生活动（快照 metadata 权威），但为确定性重放/测试保持一致构造。
+   */
+  clock?: ClockPort;
+  /**
+   * M-2：确定性 id 生成端口（可选）。restore 路径不 append entry，故当前仅作一致性注入。
+   */
+  idGen?: IdPort;
 }
 declare class PersistenceSync {
   private readonly deps;
@@ -2784,13 +3154,6 @@ declare class PersistenceSync {
    */
   track(agentSession: AgentSession, transient: boolean): void;
   flushPending(id: string): Promise<void>;
-  /**
-   * P2 缓解（独立 review 补充，2026-07-12）：会话可能经 idle 驱逐（`collectIdle`）或满池 LRU
-   * 驱逐（`evictLeastRecent`）消失，这两条路径不经过 `removeSession`/`flushPending`（前者是
-   * 同步批量收集不适合 await 落盘完成，后者已自行 fire-and-forget 触发 `saveSnapshot`）——
-   * 提供一个轻量同步纯清理方法，供这两条驱逐路径调用，与 `flushPending` 共享同一清理意图
-   * 但不附带"等待落盘完成"的语义（驱逐场景不需要，也不应阻塞驱逐循环）。
-   */
   /**
    * RFC-323 D4：计算用于预算分配的活跃会话数（排除 transient）。
    *
@@ -2808,6 +3171,13 @@ declare class PersistenceSync {
    * 一致地排除 transient（不订阅持久化、不参与预算分摊）。
    */
   private sumEstimatedContentBytes;
+  /**
+   * P2 缓解（独立 review 补充，2026-07-12）：会话可能经 idle 驱逐（`collectIdle`）或满池 LRU
+   * 驱逐（`evictLeastRecent`）消失，这两条路径不经过 `removeSession`/`flushPending`（前者是
+   * 同步批量收集不适合 await 落盘完成，后者已自行 fire-and-forget 触发 `saveSnapshot`）——
+   * 提供一个轻量同步纯清理方法，供这两条驱逐路径调用，与 `flushPending` 共享同一清理意图
+   * 但不附带"等待落盘完成"的语义（驱逐场景不需要，也不应阻塞驱逐循环）。
+   */
   forgetSession(id: string): void;
   /**
    * RFC-352 D2：驱逐的最终 snapshot 仍在队列中时不能提前清 residency 状态。
@@ -2830,26 +3200,6 @@ declare class PersistenceSync {
    */
   private isTransient;
   save(id: string): Promise<void>;
-  /**
-   * RFC-336 D1：会话行预建——会话创建即落 `sessions` 一行（无 entries），不等首条消息。
-   *
-   * **要解决的问题**（实测复现，2026-08-10）：`repo.createSession()` 的唯一调用点是
-   * `RelationalSessionPersistence.save()`，而 save 由 `track()` 订阅的 `turn.end`/
-   * `prompt.end` 触发——两者都发生在**首个模型回合完成之后**。因此"用户已回车、模型还没
-   * 回任何东西"这段窗口（≈ 一次完整模型往返，数秒~数十秒）内进程若被强杀（SIGKILL/OOM/
-   * 断电），DB 里连 `sessions` 行都不存在 → 整个会话蒸发，`/resume` 完全看不到，
-   * 且 `detectCrashGap` 因 `load()` 返回 null 而根本不执行（RFC-305 D3 的盲区）。
-   *
-   * **为什么复用 doSaveEntries 而非直调 repo**（D1-b，RFC-159 D3）：写租约检查在
-   * `RelationalSessionPersistence.save()` 入口，是所有会话写路径的单一汇聚点。直调
-   * `repo.createSession()` 会开一条无租约的写路径先例。走这里则天然经 `enqueue` 串行链
-   * → `doSaveEntries` → `persistence.save()`，租约与写序语义全部继承，零新增写路径。
-   * 空 entries 快照在 save 内部即 `createSession()` + 零次 `appendEntry()`，正是所需语义。
-   *
-   * **幂等**：`createSession` 是 `ON CONFLICT DO NOTHING`；重复调用安全。
-   * **fire-and-forget**（规则 3）：失败只 warn，绝不阻塞会话创建——预建是可用性增强，
-   * 不是创建流程的正确性前提（失败时退化为改动前行为：首个 turn 后才落行）。
-   */
   /**
    * RFC-336 D2：输入边界落盘——prep 成功、模型往返开始**之前**把新增 entries 落库。
    *
@@ -2870,6 +3220,26 @@ declare class PersistenceSync {
    * prompt 终态落盘共用同一条 per-session 链，天然串行、写租约语义一致。
    */
   requestInputBoundaryFlush(agentSession: AgentSession, transient: boolean): void;
+  /**
+   * RFC-336 D1：会话行预建——会话创建即落 `sessions` 一行（无 entries），不等首条消息。
+   *
+   * **要解决的问题**（实测复现，2026-08-10）：`repo.createSession()` 的唯一调用点是
+   * `RelationalSessionPersistence.save()`，而 save 由 `track()` 订阅的 `turn.end`/
+   * `prompt.end` 触发——两者都发生在**首个模型回合完成之后**。因此"用户已回车、模型还没
+   * 回任何东西"这段窗口（≈ 一次完整模型往返，数秒~数十秒）内进程若被强杀（SIGKILL/OOM/
+   * 断电），DB 里连 `sessions` 行都不存在 → 整个会话蒸发，`/resume` 完全看不到，
+   * 且 `detectCrashGap` 因 `load()` 返回 null 而根本不执行（RFC-305 D3 的盲区）。
+   *
+   * **为什么复用 doSaveEntries 而非直调 repo**（D1-b，RFC-159 D3）：写租约检查在
+   * `RelationalSessionPersistence.save()` 入口，是所有会话写路径的单一汇聚点。直调
+   * `repo.createSession()` 会开一条无租约的写路径先例。走这里则天然经 `enqueue` 串行链
+   * → `doSaveEntries` → `persistence.save()`，租约与写序语义全部继承，零新增写路径。
+   * 空 entries 快照在 save 内部即 `createSession()` + 零次 `appendEntry()`，正是所需语义。
+   *
+   * **幂等**：`createSession` 是 `ON CONFLICT DO NOTHING`；重复调用安全。
+   * **fire-and-forget**（规则 3）：失败只 warn，绝不阻塞会话创建——预建是可用性增强，
+   * 不是创建流程的正确性前提（失败时退化为改动前行为：首个 turn 后才落行）。
+   */
   precreateSessionRow(agentSession: AgentSession, transient: boolean): void;
   /**
    * 驱逐路径专用：用调用方**同步捕获**的快照入链落盘。
@@ -2942,21 +3312,6 @@ declare class PersistenceSync {
    * 若未提供 configProvider 则返回 null。
    */
   restore(id: string): Promise<AgentSession | null>;
-  /**
-   * RFC-305 D3：restore 时 trace↔DB 对账——检出"上次进程异常终止时已发生但未落库"的
-   * turn 缺口并告警。对账基准 = trace append-log（逐事件实时落盘，独立于 save 链）：
-   * DB 最后一条已持久化 entry 时间戳之后，trace 仍有 `turn.end` lifecycle 事件 →
-   * 这些 turn 的消息只进过内存、从未进 DB，已随崩溃永久丢失。
-   *
-   * 用时间戳而非 turn 号对账：trace 的 turn 字段 per-prompt 从 0 重置，跨 prompt 不可比；
-   * ts 与 entry.timestamp 同源（Date.now 系时钟），单机单调可比。
-   *
-   * 容忍度：正常退出路径（prompt.end 立即落盘 + turn 级入链）下 trace turn.end 与 DB
-   * 落库几乎同时，容忍 CRASH_GAP_TOLERANCE_MS 内的尾差（在途写 + 时钟粒度），超出才告警。
-   *
-   * fail-soft：traceStore 缺失/读取异常/无 turn.end 事件 → 静默跳过（debug 日志），
-   * 绝不阻塞 restore、绝不产生假告警。
-   */
   /**
    * RFC-305 D3：对账结果查询口——restore/restoreAll 内部把本次恢复检出的崩溃缺口记入
    * per-session 缓存，调用方（CLI resume 路径）在订阅建立后读取并 toast。缓存随
@@ -2999,7 +3354,7 @@ interface EngineSnapshot {
 }
 /** 引擎产出的治理决策（所有字段确定性）。 */
 interface ResidencyDecision {
-  /** 单会话当前有效字节预算（已/处分配层 × 压力档）。 */
+  /** 单会话当前有效字节预算（分配量经压力档缩放后的最终值）。 */
   maxBytesPerSession: number;
   /** 当前全局驻留压力比例（0.0 ~ 1.0）。 */
   globalPressure: number;
@@ -3007,15 +3362,15 @@ interface ResidencyDecision {
   isGlobalPressure: boolean;
 }
 /**
- * 计算“每个会话当前 应该  byte budget — 给定 snapshot，治理一个值。
+ * 计算给定 snapshot 下每个会话的有效字节预算。
  *
- * 特性:
- * - 负反馈：currentTotalResidentBytes 越大 pressure 越高 → 每个会话预算*越低*。
- * - 下界 MIN_PER_SESSION：防止分配结果不可用作 （如果 N 极大, SESSION_MAX=50×16=800MB < totalBudget).
- * - 上界 MAX_PER_SESSION：模型折叠输入的最大（imageasher, window by compression）约为 214MB/会话。
- * - 确定性：相同 snapshot → 相同 decision（R4，皱纹是稳定 的。
+ * 特性：
+ * - 负反馈：currentTotalResidentBytes 越大 → pressure 越高 → 每个会话预算越低。
+ * - 下界 MIN_PER_SESSION：防会话数极大时分配结果不可用。
+ * - 上界 MAX_PER_SESSION：单会话驻留上限。
+ * - 确定性：相同 snapshot → 相同 decision（R4）。
  */
 declare function decide(snapshot: EngineSnapshot): ResidencyDecision;
 //#endregion
-export { type AgentJobListener, AgentJobRegistry, type AgentJobRegistryOptions, type AgentJobStatus, type AgentObsStatus, type AgentObservabilityOptions, AgentObservabilityRegistry, type AgentObservation, type AgentObservationMeta, type AgentObservationSnapshot, type AgentRuntime, AgentSession, type AgentSessionEvent, type AgentSessionEventMap, type AgentSessionEventType, type AgentSessionInfo, type AgentSessionJob, type AgentSessionOptions, type AgentSessionSubscriber, type ApplyDiffResult, type ApplyPolicy, type ApplySignals, type ArchiveRecallPort, type AskUserQuestion, type AutonomyLevel, type BackgroundProcess, type BackgroundProcessStatus, CAPABILITY_SURFACE_PATTERNS, type Checkpoint, type CheckpointData, type ContextBuildInput, type ContextInjectionPort, type ContextSource, ContextSourceRegistry, DEFAULT_MAX_AUTO_APPLY_LINES, type DiskSessionPoolOptions, type DocSyncPort, type EngineStoreLocation, type EngineStoreOverrides, type ExitResult, FORBIDDEN_ZONE_PATTERNS, type FileEntrySnapshot, type FileSnapshot, FleetMonitor, type FleetMonitorOptions, type FleetSample, type GrillAnswer, type GrillQuestion, type GrillRequest, type KillOptions, LEVEL_DIVISOR, type ManagedProcess, type MemoryDeltaPort, MemoryGovernor, type MemoryGovernorOptions, type MemoryPort, type MemoryPressureLevel, type MemorySample, type MemorySubsystem, PanelStateStore, PersistenceSync, type PersistenceSyncDeps, type ProcessCategory, type ProcessFilter, type ProcessLifecycle, type ProcessListener, type ProcessOwner, ProcessRegistry, type ProcessRegistryOptions, ProcessRuntime, type ProcessRuntimeOptions, type ProcessSpawnConfig, type ProcessStatus, type PromptOptions, type PromptRefresh, RUNTIME_DEFAULTS, type RegisterAgentJobInput, type RegisterInput, type RemoteSessionPoolOptions, type ReplayLevel, type ResidencyDiagnostics, ResidencyGovernor, type ResidencyPressureLevel, type ResolvedSessionConfig, type RestoreMode, type RuntimeOptions, SYSTEM_PROMPT_SECTIONS, type SandboxRunner, type SandboxToolCall, type SandboxToolResult, SandboxUnavailableError, SessionPool, type SessionPoolOptions, type SessionPorts, type SessionStableInjectionOptions, type SessionStorageConfig, type SystemPromptSectionSpec, TimeTravelController, type TimeTravelDeps, type TodoReminderPort, type TracebackView, type TurnRecord, type Verdict, type Worktree, applyDiff, applyMemoryTransform, attachAgentObserver, buildEngineStores, captureFiles, createAgentRuntime, createDefaultContextSourceRegistry, createDiskSessionPool, createDocSyncReminderHooks, createEnvironmentContextSource, createInMemorySessionPool, createMemoryDeltaHooks, createMemoryIndexContextSource, createRemoteSessionPool, createSessionStableInjectionHooks, createTodoReminderHooks, createToolHookExecutor, createWorktree, decideApply, decide as decideResidency, defaultMaxToolTurnExtensions, deriveSessionTitle, diffTouchedPaths, effectiveResidencyBudget, formatDocSyncReminder, globalAgentJobRegistry, globalAgentObservability, globalProcessRegistry, globalProcessRuntime, hasRepoDrifted, installAgentJobReaper, installExitReaper, installProcessReaper, messagesFromSnapshot, pruneOrphanWorktrees, reconstructMessages, removeWorktree, resolveSessionTitle, resolveTodoContinuationConfig, restoreFiles, revertDiff, touchesCapabilitySurface, touchesForbiddenZone, worktreeDiff };
+export { type AgentJobListener, AgentJobRegistry, type AgentJobRegistryOptions, type AgentJobStatus, type AgentObsStatus, type AgentObservabilityOptions, AgentObservabilityRegistry, type AgentObservation, type AgentObservationMeta, type AgentObservationSnapshot, type AgentRuntime, AgentSession, type AgentSessionEvent, type AgentSessionEventMap, type AgentSessionEventType, type AgentSessionInfo, type AgentSessionJob, type AgentSessionOptions, type AgentSessionSubscriber, type ApplyDiffResult, type ApplyPolicy, type ApplySignals, type ArchiveRecallPort, type AskUserQuestion, type AutonomyLevel, type BackgroundProcess, type BackgroundProcessStatus, type BasePlaneEntry, CAPABILITY_SURFACE_PATTERNS, type Checkpoint, type CheckpointData, type ColdSessionLister, type ContextBuildInput, type ContextInjectionPort, type ContextSource, ContextSourceRegistry, DEFAULT_COMPACTION_LOCK_ORPHAN_TIMEOUT_MS, DEFAULT_MAX_AUTO_APPLY_LINES, type DocSyncPort, ESCALATION_MARKER, EVENT_DOMAIN, type EmitContext, type EngineStoreLocation, type EngineStoreOverrides, type EventDomain, type ExitResult, FORBIDDEN_ZONE_PATTERNS, type FileEntrySnapshot, type FileSnapshot, FleetMonitor, type FleetMonitorOptions, type FleetSample, type GrillAnswer, type GrillQuestion, type GrillRequest, type HostPlaneDraft, type HostPlaneEntry, HostRegistry, type KillOptions, LEVEL_DIVISOR, type LlmEscalationReviewerDeps, type ManagedProcess, type MemoryDeltaPort, MemoryGovernor, type MemoryGovernorOptions, type MemoryPort, type MemoryPressureLevel, type MemorySample, type MemorySubsystem, PanelStateStore, PersistenceSync, type PersistenceSyncDeps, type PlaneEntry, type ProcessCategory, type ProcessFilter, type ProcessLifecycle, type ProcessListener, type ProcessOwner, ProcessRegistry, type ProcessRegistryOptions, ProcessRuntime, type ProcessRuntimeOptions, type ProcessSpawnConfig, type ProcessStatus, type PromptOptions, type PromptRefresh, type PromptSectionDefinition, RUNTIME_DEFAULTS, type RegisterAgentJobInput, type RegisterInput, type RegistrationPlane, type RemoteSessionPoolOptions, type ReplayLevel, type ResidencyDiagnostics, ResidencyGovernor, type ResidencyPressureLevel, type ResolvedSessionConfig, type RestoreMode, type RuntimeOptions, SYSTEM_PROMPT_SECTIONS, type SandboxRunner, type SandboxToolCall, type SandboxToolResult, SandboxUnavailableError, type SemanticReviewer, type SemanticReviewerVerdict, type SessionCompactionLockPort, SessionPool, type SessionPoolOptions, type SessionPorts, type SessionPresetDraft, type SessionPresetEntry, type SessionStableInjectionOptions, type SessionStorageConfig, type StalePlaneEntry, type SystemPromptSectionSpec, TimeTravelController, type TimeTravelDeps, type TodoReminderPort, type TracebackView, type TurnRecord, type Verdict, type WorkspacePresetDraft, type WorkspacePresetEntry, type Worktree, type WriteLeaseManager, applyDiff, applyMemoryTransform, applySectionBudget, attachAgentObserver, buildEngineStores, captureFiles, checkApply, createAgentRuntime, createDefaultContextSourceRegistry, createDocSyncReminderHooks, createEnvironmentContextSource, createInMemorySessionPool, createLlmEscalationReviewer, createMemoryDeltaHooks, createMemoryIndexContextSource, createRemoteSessionPool, createSessionCompactionLock, createSessionStableInjectionHooks, createTodoReminderHooks, createToolHookExecutor, createWorktree, decideApply, decide as decideResidency, defaultMaxToolTurnExtensions, definePromptSection, deriveSessionTitle, diffTouchedPaths, effectiveResidencyBudget, formatDocSyncReminder, getEventDomain, globalAgentJobRegistry, globalAgentObservability, globalProcessRegistry, globalProcessRuntime, globalToolResultStore, hasRepoDrifted, installAgentJobReaper, installExitReaper, installProcessReaper, isEscalationApproval, listWorktreeJobIds, messagesFromSnapshot, parseVerdict, pruneOrphanWorktrees, reconstructMessages, removeWorktree, resolveSessionTitle, resolveTodoContinuationConfig, restoreFiles, revertDiff, touchesCapabilitySurface, touchesForbiddenZone, worktreeDiff };
 //# sourceMappingURL=index.d.ts.map