agy-mcp-bridge 0.1.31 → 0.1.33

package/dist/src/agents/codex.js

@@ -1,7 +1,7 @@
 import { readFile } from 'node:fs/promises';
 import path from 'node:path';
 import { isQuotaError, isStrongQuotaError } from './quota.js';
-import { startProcess, terminateOwned } from '../antigravity/process.js';
+import { captureOutput } from './probe.js';
 const CAPABILITIES = ['code', 'review', 'test', 'research', 'long-run'];
 const REQUIRED_FLAGS = ['--json', '--sandbox', '--cd', '--output-last-message', '--ephemeral', '--skip-git-repo-check'];
 const MAX_RESULT_BYTES = 1024 * 1024;
@@ -86,20 +86,6 @@ export function codexAdapter(command, options = {}) {
 export function codexAgent(command, status, options = {}) {
     return { adapter: codexAdapter(command, options), status, enabled: true, prefixArgs: command.prefixArgs };
 }
-async function capture(command, args, cwd, extraEnvPassthrough) {
-    return new Promise((resolve, reject) => {
-        const child = startProcess(command.executable, [...command.prefixArgs, ...args], cwd, { extraEnvPassthrough });
-        let text = '';
-        let exceeded = false;
-        const timer = setTimeout(() => { exceeded = true; void terminateOwned(child).catch(reject); }, 10000);
-        const append = (chunk) => { if (text.length < 32768)
-            text += chunk.toString().slice(0, 32768 - text.length); };
-        child.stdout.on('data', append);
-        child.stderr.on('data', append);
-        child.once('error', error => { clearTimeout(timer); reject(error); });
-        child.once('close', code => { clearTimeout(timer); exceeded ? reject(new Error('Codex inspection timed out')) : resolve({ code, text }); });
-    });
-}
 /** Non-interactive `codex exec` support is the only contract this adapter relies on. */
 export async function detectCodex(command, options = {}) {
     const cwd = options.cwd ?? process.cwd();
@@ -108,8 +94,8 @@ export async function detectCodex(command, options = {}) {
         id: 'codex', label: 'Codex', available, version, executable: command.source, capabilities: CAPABILITIES, warnings
     });
     try {
-        const version = await capture(command, ['--version'], cwd, extra);
-        const help = await capture(command, ['exec', '--help'], cwd, extra);
+        const version = await captureOutput('Codex', command, ['--version'], cwd, extra);
+        const help = await captureOutput('Codex', command, ['exec', '--help'], cwd, extra);
         const versionText = version.text.trim().split(/\r?\n/)[0] ?? '';
         const parsed = /codex-cli\s+([^\s]+)/i.exec(versionText)?.[1] ?? (versionText || null);
         const missing = REQUIRED_FLAGS.filter(flag => !new RegExp(`(?:^|\\s)${flag.replace(/[.*+?^${}()|[\]\\]/g, '\\$&')}(?=\\s|,|$)`).test(help.text));

package/dist/src/agents/opencode.js

@@ -1,4 +1,4 @@
-import { startProcess, terminateOwned } from '../antigravity/process.js';
+import { captureOutput } from './probe.js';
 import { isQuotaError } from './quota.js';
 export const CAPABILITIES = ['code', 'review', 'test', 'research', 'long-run'];
 // Verified against opencode v2.2.5: `opencode run` reads the message from stdin and, with `--format json`, writes one JSON event per line.
@@ -120,20 +120,6 @@ export function opencodeAdapter(command, options = {}) {
 export function opencodeAgent(command, status, options = {}) {
     return { adapter: opencodeAdapter(command, options), status, enabled: true, prefixArgs: command.prefixArgs };
 }
-function capture(command, args, cwd, extraEnvPassthrough) {
-    return new Promise((resolve, reject) => {
-        const child = startProcess(command.executable, [...command.prefixArgs, ...args], cwd, { extraEnvPassthrough });
-        let text = '';
-        let exceeded = false;
-        const timer = setTimeout(() => { exceeded = true; void terminateOwned(child).catch(reject); }, 10000);
-        const append = (chunk) => { if (text.length < 32768)
-            text += chunk.toString().slice(0, 32768 - text.length); };
-        child.stdout.on('data', append);
-        child.stderr.on('data', append);
-        child.once('error', error => { clearTimeout(timer); reject(error); });
-        child.once('close', code => { clearTimeout(timer); exceeded ? reject(new Error('OpenCode inspection timed out')) : resolve({ code, text }); });
-    });
-}
 /** Non-interactive `opencode run --format json` is the only contract this adapter relies on. */
 export async function detectOpenCode(command, opts = {}) {
     const cwd = opts.cwd ?? process.cwd();
@@ -142,8 +128,8 @@ export async function detectOpenCode(command, opts = {}) {
         id: 'opencode', label: 'OpenCode', available, version, executable: command.executable, capabilities: CAPABILITIES, warnings
     });
     try {
-        const version = await capture(command, ['--version'], cwd, extra);
-        const help = await capture(command, ['run', '--help'], cwd, extra);
+        const version = await captureOutput('OpenCode', command, ['--version'], cwd, extra);
+        const help = await captureOutput('OpenCode', command, ['run', '--help'], cwd, extra);
         const parsed = version.text.trim().split(/\r?\n/)[0]?.replace(/^opencode\s+/i, '').replace(/^v/i, '') || null;
         if (version.code !== 0)
             return status(false, null, ['opencode --version failed']);

package/dist/src/agents/probe.js

@@ -0,0 +1,20 @@
+import { startProcess, terminateOwned } from '../antigravity/process.js';
+/**
+ * Runs an agent CLI once to read its output (`--version`, `<subcommand> --help`) while it is being inspected. Bounded in time (10 s) and in
+ * size (32 KiB of combined stdout and stderr), and the process is killed with its tree when the time runs out. `label` names the CLI in the error.
+ */
+export function captureOutput(label, command, args, cwd, extraEnvPassthrough) {
+    return new Promise((resolve, reject) => {
+        const child = startProcess(command.executable, [...command.prefixArgs, ...args], cwd, { extraEnvPassthrough });
+        let text = '';
+        let exceeded = false;
+        const timer = setTimeout(() => { exceeded = true; void terminateOwned(child).catch(reject); }, 10000);
+        const append = (chunk) => { if (text.length < 32768)
+            text += chunk.toString().slice(0, 32768 - text.length); };
+        child.stdout.on('data', append);
+        child.stderr.on('data', append);
+        child.once('error', error => { clearTimeout(timer); reject(error); });
+        child.once('close', code => { clearTimeout(timer); exceeded ? reject(new Error(`${label} inspection timed out`)) : resolve({ code, text }); });
+    });
+}
+//# sourceMappingURL=probe.js.map

package/dist/src/agents/registry.js

@@ -54,23 +54,30 @@ export async function createAgentRegistry(config, antigravity) {
         askForApproval: settings.codex_ask_for_approval
     }));
     const opencodeEnabled = enabled.includes('opencode');
-    let opencodeStatus = {
+    const autoApproveWarning = (id) => `Agent "${id}" is configured to auto-approve permissions (opencode_auto_approve): tasks run with opencode --auto`;
+    // The OpenCode CLI is probed when the `opencode` agent is enabled, and also when an enabled opencode profile relies on it:
+    // OpenCode is opt-in, so a profile declared without `enabled` must not end up unavailable because the base agent is off.
+    const profileUsesOpencode = Object.entries(settings.profiles ?? {}).some(([id, profile]) => profile.adapter === 'opencode' && !profile.executable && (enabled.includes(id) || !settings.enabled));
+    let opencodeProbe = {
         id: 'opencode', label: 'OpenCode', available: false, version: null, executable: null,
         capabilities: CAPABILITIES, warnings: ['Disabled in the bridge config']
     };
     let opencodeCommand = { executable: 'opencode', prefixArgs: [], source: 'opencode' };
-    if (opencodeEnabled) {
+    if (opencodeEnabled || profileUsesOpencode) {
         try {
             opencodeCommand = await resolveCommand(settings.opencode_executable ?? 'opencode');
-            opencodeStatus = await detectOpenCode(opencodeCommand, { cwd: process.cwd(), extraEnvPassthrough: config.extra_env_passthrough });
+            opencodeProbe = await detectOpenCode(opencodeCommand, { cwd: process.cwd(), extraEnvPassthrough: config.extra_env_passthrough });
         }
         catch (error) {
-            opencodeStatus = { ...opencodeStatus, warnings: [`OpenCode CLI not found: ${error instanceof Error ? error.message : 'unknown error'}`] };
+            opencodeProbe = { ...opencodeProbe, warnings: [`OpenCode CLI not found: ${error instanceof Error ? error.message : 'unknown error'}`] };
         }
     }
-    const opencodeAutoWarning = 'Agent "opencode" is configured to auto-approve permissions (opencode_auto_approve): tasks run with opencode --auto';
+    // The base agent is only available when it was asked for; the probe above may exist just for a profile.
+    let opencodeStatus = opencodeEnabled
+        ? opencodeProbe
+        : { ...opencodeProbe, available: false, warnings: ['Disabled in the bridge config'] };
     if (opencodeEnabled && settings.opencode_auto_approve)
-        opencodeStatus = { ...opencodeStatus, warnings: [...opencodeStatus.warnings, opencodeAutoWarning] };
+        opencodeStatus = { ...opencodeStatus, warnings: [...opencodeStatus.warnings, autoApproveWarning('opencode')] };
     agents.push(opencodeAgent(opencodeCommand, opencodeStatus, {
         model: settings.opencode_model,
         autoApprove: settings.opencode_auto_approve
@@ -79,7 +86,7 @@ export async function createAgentRegistry(config, antigravity) {
         for (const [profileId, profile] of Object.entries(settings.profiles)) {
             const isProfileEnabled = enabled.includes(profileId) || (!settings.enabled && true);
             const adapterType = profile.adapter;
-            const label = profile.label ?? (adapterType === 'codex' ? `Codex (${profileId})` : `Antigravity (${profileId})`);
+            const label = profile.label ?? `${{ codex: 'Codex', antigravity: 'Antigravity', opencode: 'OpenCode' }[adapterType]} (${profileId})`;
             const profileWarnings = [];
             if (!isProfileEnabled)
                 profileWarnings.push('Disabled in the bridge config');
@@ -148,8 +155,8 @@ export async function createAgentRegistry(config, antigravity) {
             else if (adapterType === 'opencode') {
                 let cmd = opencodeCommand.executable;
                 let prefixArgs = opencodeCommand.prefixArgs;
-                let available = opencodeStatus.available;
-                let version = opencodeStatus.version;
+                let available = opencodeProbe.available;
+                let version = opencodeProbe.version;
                 if (profile.executable) {
                     try {
                         const resolved = await resolveCommand(profile.executable);
@@ -170,7 +177,7 @@ export async function createAgentRegistry(config, antigravity) {
                     version: version || null, executable: cmd || null,
                     capabilities: CAPABILITIES,
                     warnings: isProfileEnabled
-                        ? [...opencodeStatus.warnings.filter(w => !w.includes('Disabled') && w !== opencodeAutoWarning), ...profileWarnings, ...(settings.opencode_auto_approve ? [opencodeAutoWarning.replace('"opencode"', `"${profileId}"`)] : [])]
+                        ? [...(profile.executable ? [] : opencodeProbe.warnings.filter(w => !w.includes('Disabled'))), ...profileWarnings, ...(settings.opencode_auto_approve ? [autoApproveWarning(profileId)] : [])]
                         : profileWarnings
                 };
                 agents.push({

package/dist/src/cli.js

@@ -10,7 +10,7 @@ import { addSessionWorkspaces } from './config.js';
 import { recoverExecutionLock } from './tasks/execution-lock.js';
 import { renderSetup } from './setup.js';
 import { DEFAULT_TOOL_TIMEOUT_SECONDS, codexConfigPath, planCodexConfig, readCodexConfig, writeCodexConfig } from './codex-config.js';
-import { freebuffConfigPath, planFreebuffConfig, readFreebuffConfig, writeFreebuffConfig } from './freebuff-config.js';
+import { freebuffConfigPath, isTransientInstall, planFreebuffConfig, readFreebuffConfig, writeFreebuffConfig } from './freebuff-config.js';
 import { readWait } from './wait-setting.js';
 import { configuredPort } from './http.js';
 import { offerSkillInstall, offerSkillUpdate } from './onboarding.js';
@@ -217,6 +217,8 @@ async function setup(args) {
         return;
     }
     const clients = target === 'both' ? ['codex', 'claude'] : [target];
+    if (target === 'freebuff' && isTransientInstall(paths.packageRoot))
+        console.error(`Note: this copy of ${BIN} runs from a temporary npx cache, so the stdio command printed below stops working once npm clears it. Install it globally (npm install -g ${pkg.name}) and print it again before using it.`);
     console.log(renderSetup({ clients, mcpUrl, shells: shell, bin: BIN, waitSeconds: readWait(paths.stateDirectory) ?? undefined, stdio: stdioCommand() }));
 }
 /** The command a stdio client must run for THIS installation: the interpreter and the packaged stdio entry, both absolute. */
@@ -225,6 +227,11 @@ export function stdioCommand() {
 }
 /** Shows exactly what would change in Freebuff's .agents/mcp.json and writes it only after a yes (or --yes). */
 async function applyFreebuffSetup(project, yes) {
+    if (isTransientInstall(paths.packageRoot)) {
+        console.error(`Not changed: this copy of ${BIN} runs from a temporary npx cache (${paths.packageRoot}), which npm can delete, so Freebuff's config would point at a path that stops working. Install it first: npm install -g ${pkg.name}, then run ${BIN} setup freebuff --apply again.`);
+        process.exitCode = 1;
+        return;
+    }
     if (project !== undefined) {
         const info = await stat(project).catch(() => null);
         if (!info?.isDirectory())

package/dist/src/freebuff-config.js

@@ -10,6 +10,11 @@ import path from 'node:path';
  * diff stays readable. The caller shows the plan and asks before anything is written, and a backup is made first.
  */
 export const SERVER_KEY = 'antigravity';
+/**
+ * `npx` unpacks a package into a cache directory (`.../_npx/<hash>/node_modules/...`) that npm may delete at any time. An
+ * absolute path into it must not be written into a client's persistent config: it works today and breaks silently later.
+ */
+export const isTransientInstall = (packageRoot) => /[\\/]_npx[\\/]/.test(packageRoot);
 /** `~/.agents/mcp.json`, or `<project>/.agents/mcp.json`: Freebuff reads the file nearest to where it runs. */
 export const freebuffConfigPath = (options = {}) => path.join(options.project ?? options.home ?? os.homedir(), '.agents', 'mcp.json');
 /** The indent the file already uses, so re-serializing it does not reformat the servers someone else wrote. */

package/dist/src/isolation/apply.js

@@ -54,13 +54,15 @@ const literal = (file) => `:(literal)${file}`;
 export async function applyWorktreeChanges(input) {
     try {
         const prefix = await prefixOf(input.toplevel, input.workspace);
-        const scope = prefix ? [prefix] : ['.'];
+        const scope = prefix ? [literal(prefix)] : ['.'];
         const owns = input.owns.map(normalizeOwn);
         if (!owns.length)
             throw new Refusal('The task declared no owned paths, so there is nothing it was allowed to change');
+        // Renames are never detected: with them on, `--name-only` lists only the new name, so a file moved out of a protected path
+        // would be deleted from the workspace without the owned-paths check ever seeing it.
         // Staging is only a way to include new files in the diff: it touches the worktree's own index, never the workspace.
         await git(input.worktree, ['add', '-A', '--', ...scope]);
-        const names = (await git(input.worktree, ['diff', '--cached', '--name-only', '-z', 'HEAD', '--', ...scope])).split('\0').filter(Boolean);
+        const names = (await git(input.worktree, ['diff', '--cached', '--no-renames', '--name-only', '-z', 'HEAD', '--', ...scope])).split('\0').filter(Boolean);
         if (!names.length)
             throw new Refusal('The worktree has no changes to apply');
         if (names.length > MAX_FILES)
@@ -70,10 +72,10 @@ export async function applyWorktreeChanges(input) {
         if (outside.length)
             throw new Refusal(`Files outside the task's owned paths were changed (${outside.slice(0, 5).join(', ')}); review them in the worktree`);
         // A symlink or a submodule pointer is more than text: it can point outside the workspace, so it is never applied from here.
-        const raw = (await git(input.worktree, ['diff', '--cached', '--raw', '-z', 'HEAD', '--', ...scope])).split('\0');
+        const raw = (await git(input.worktree, ['diff', '--cached', '--no-renames', '--raw', '-z', 'HEAD', '--', ...scope])).split('\0');
         if (raw.some(field => /^:(?:12|16)0000 /.test(field) || /^:\d+ (?:12|16)0000 /.test(field)))
             throw new Refusal('The change includes a symlink or a submodule, which is not applied from here; review it in the worktree');
-        const patch = await git(input.worktree, ['diff', '--cached', '--binary', '--full-index', '--no-ext-diff', '--no-textconv', 'HEAD', '--', ...scope]);
+        const patch = await git(input.worktree, ['diff', '--cached', '--no-renames', '--binary', '--full-index', '--no-ext-diff', '--no-textconv', 'HEAD', '--', ...scope]);
         if (Buffer.byteLength(patch) > MAX_PATCH_BYTES)
             throw new Refusal('The change is larger than the apply limit; review it in the worktree');
         // A file the owner is editing right now is theirs to merge by hand, even if the patch would happen to fit.

package/dist/src/isolation/diff.js

@@ -1,5 +1,7 @@
 import { execFile } from 'node:child_process';
+import { realpath } from 'node:fs/promises';
 import path from 'node:path';
+import { inside } from '../security/workspace.js';
 import { redact } from '../security/redact.js';
 import { gitEnvironment } from './apply.js';
 /**
@@ -28,6 +30,10 @@ function capture(cwd, args) {
 export async function worktreeFileDiff(worktree, file) {
     if (!isRelativeFilePath(file))
         throw new Error('path must be a relative path inside the worktree');
+    // A link in the worktree (a junction on Windows) can lead anywhere; the diff reads files, so the real location must stay inside it.
+    const [base, real] = await Promise.all([realpath(worktree), realpath(path.join(worktree, file)).catch(() => null)]);
+    if (real !== null && !inside(base, real))
+        throw new Error('path leaves the worktree through a link, so it is not read');
     const literal = `:(literal)${file}`;
     // Tracked files diff against the base commit; a file the agent created is not in the index, so it is shown as all added lines.
     const tracked = (await capture(worktree, ['ls-files', '--error-unmatch', '-z', '--', literal])).code === 0;

package/docs/APPROVAL-QUEUE-PLAN.md

@@ -0,0 +1,161 @@
+# Hàng đợi duyệt cho hành động ngoài chính sách (Phase 4) — điều tra và thiết kế
+
+**Trạng thái:** B1, chỉ tài liệu. Chưa có mã hàng đợi. Phần cài đặt (B2) chỉ bắt đầu khi chủ dự án đồng ý thiết kế ở mục 5–6 và trả lời các câu hỏi ở mục 8.
+
+`docs/MULTI-AGENT-PLAN.md` (Phase 4) ghi "hàng đợi duyệt cho hành động ngoài chính sách". Điều chưa ai biết là **agent có dừng lại chờ duyệt giữa chừng được không**. Tài liệu này đo điều đó trên máy thật, rồi thiết kế đúng theo những gì đo được.
+
+## 1. Kết luận ngắn
+
+1. **Không CLI nào mà bridge dùng cho phép duyệt giữa chừng** trong chế độ không tương tác. Đo được trên `codex` và `opencode`; `agy` chưa đo lại được (mục 2.1).
+   - `codex exec`: không có sự kiện "xin quyền" nào, cả với `on-request` lẫn `never`. Hành động bị sandbox chặn chỉ hiện ra là một lệnh **thất bại** (`status: failed`, "Access ... is denied").
+   - `opencode run`: khi `permission` là `ask`, lời xin bị **tự từ chối ngay** (`auto-rejecting`) và run đi tiếp.
+2. Vì vậy MVP trung thực là **duyệt sau, không duyệt giữa chừng**: task kết thúc mà có hành động bị từ chối thì vào hàng đợi; chủ bridge chọn **"Cho phép và chạy lại"** (tạo task mới, `retry_of`, với quyền cao hơn *đúng cho một lần chạy đó*) hoặc **"Bỏ qua"**.
+3. **Bridge hôm nay chỉ nhìn thấy sự từ chối của `agy`** (`denied_actions`). `codex` chỉ được nhận diện khi item có status `declined`/`denied`, mà **chưa từng thấy** trong các lần đo; `opencode` báo `deniedActions: []` cố định dù có tín hiệu rõ ràng. Hàng đợi chỉ có nghĩa khi hai adapter này được dạy nhận ra sự từ chối (mục 4).
+4. Có cờ để nâng quyền **hẹp, một lần**: `codex --add-dir <dir>` (đã đo), `agy --mode accept-edits` (từ help, chưa đo), `opencode` qua `OPENCODE_CONFIG_CONTENT` theo từng lần chạy (cơ chế đã đo, tác dụng lên đúng quyền chưa đo).
+
+## 2. Đo đạc
+
+Máy: Windows 11, `agy` 1.4.12, `codex-cli` 0.163.0 (đăng nhập ChatGPT, `~/.codex/config.toml` có `[windows] sandbox = "elevated"`), `opencode` v2.2.5. Mọi lần đo chạy trong một repo git **tạm** (`%TEMP%\approval-probe-*\ws`, một commit `a.txt`), thư mục "ngoài workspace" là thư mục tạm riêng; không chạy agent trên repo của người dùng. Hai thư mục tạm trong thư mục home (để nằm ngoài `%TEMP%`) đã được xóa sau mỗi lần.
+
+### 2.1 `agy` — chưa đo được ở 1.4.12
+
+```
+agy --version                                         → 1.4.12
+agy --print "Reply with exactly: PROBE_OK" --output-format json
+→ Authentication required. Please visit the URL to log in: https://accounts.google.com/o/oauth2/auth?...
+```
+
+`agy` chưa đăng nhập trên máy này và việc đăng nhập là của chủ máy, nên mọi điều dưới đây về `agy` là **cờ đọc từ `agy --help`** hoặc **bằng chứng đã ghi trước đây**, không phải số đo mới:
+
+- Cờ (từ `agy --help`): `--mode accept-edits|auto|plan`, `--dangerously-skip-permissions` ("Auto-approve all tool permission requests without prompting"), `--sandbox` ("terminal restrictions"), `--output-format json`.
+- Bằng chứng đã ghi (`docs/VERIFICATION.md`, mục 4, trên `agy` 1.4.x trước đây): yêu cầu tạo file trong scratch workspace → CLI trả `SUCCESS`/exit 0 nhưng `denied_actions` chứa `write_file`, response rỗng; bridge báo `failed`.
+- Adapter hiện tại (`src/agents/antigravity.ts:39-44, 54-55`) đọc `envelope.denied_actions` (tối đa 100 mục, `action` và `display_name`) và biến task thành lỗi `Required tool permissions were denied; …`.
+
+**Chưa biết:** hình dạng `denied_actions` cho hành động khác `write_file` (chạy lệnh, đọc ngoài workspace); mức `--mode` nào mở được loại hành động nào; hành vi trên 1.4.12.
+
+### 2.2 `codex` 0.163.0
+
+Lệnh (cờ `--ask-for-approval` là cờ toàn cục, đứng **trước** `exec`):
+
+```
+codex --ask-for-approval <on-request|never> exec --json --sandbox <mode> --skip-git-repo-check --ephemeral --cd <ws> --color never -   (prompt qua stdin)
+```
+
+| # | Chính sách | Hành động yêu cầu | Kết quả đo |
+|---|---|---|---|
+| c4 | `never`, `read-only` | ghi `inside.txt` trong workspace | `command_execution` **`failed`**, exit 1, `Access to the path '…\ws\inside.txt' is denied`. Codex thoát 0, `turn.completed`, agent tự kể lại lỗi |
+| c2 | `on-request`, `workspace-write` | ghi `../outside/out.txt` (dưới `%TEMP%`) | **thành công**, exit 0 |
+| c3 | `never`, `workspace-write` | như c2 | **thành công**, exit 0 |
+| d1 | `on-request`, `workspace-write` | ghi file dưới thư mục home, **ngoài `%TEMP%`** | `failed`, exit 1, `Access … is denied`; file không tạo |
+| d2 | `never`, `workspace-write` | như d1 | `failed`, exit 1, như d1 |
+| e1 | `never`, `workspace-write --add-dir <A>` | ghi vào `A` và vào thư mục `B` không nêu tên | `A`: **thành công**; `B`: `failed`, exit 1, `Access … is denied` |
+| c1 | `on-request`, `workspace-write` | ghi `inside.txt` trong workspace | cả hai lần thử: `failed`, exit −1, `Failed to create unified exec process: orchestrator_helper_exit_nonzero: setup helper exited with status Some(143)` — lỗi hạ tầng của sandbox Windows, **không** phải từ chối quyền; chỉ xảy ra ở lần này, c2/c3 chạy ngay sau đó bình thường |
+
+Điều rút ra:
+
+- **Không có sự kiện xin quyền trong JSONL.** Các loại sự kiện thấy được: `thread.started`, `turn.started`, `item.started|completed` (`agent_message`, `command_execution`, `error`), `turn.completed`. `on-request` và `never` cho cùng kết quả trong `exec`: lệnh bị chặn thất bại ngay, "Execution failures are immediately returned to the model" đúng như `--help`.
+- **Không thấy `status: declined`/`denied` nào.** Điều kiện của adapter (`src/agents/codex.ts:62-63`) không bao giờ đúng với kiểu từ chối này, nên task kết thúc `completed` với câu trả lời của agent ("The write … was refused") và `denied_actions: []`. Bridge **không phân biệt được** "agent làm xong" với "agent bị chặn và kể lại".
+- `workspace-write` **cho ghi vào thư mục tạm** (c2, c3) nhưng **không** cho ghi vào thư mục home ngoài workspace (d1, d2). Hai điều này cho thấy "ngoài workspace" của codex không đồng nghĩa với "ngoài `%TEMP%`" (suy ra từ hai nhóm kết quả, không phải từ tài liệu).
+- `--add-dir <dir>` mở **đúng** thư mục nêu tên (e1) — đây là cách nâng quyền hẹp nhất cho "ghi ngoài workspace".
+- `--sandbox danger-full-access` **không đo**: chạy một agent không có sandbox nằm ngoài phạm vi cuộc điều tra này. Chỉ biết từ `--help` rằng cờ đó tồn tại.
+- Stderr của mọi lần chạy có `ERROR rmcp::transport::worker … http request failed … http://127.0.0.1:3000/mcp` (và `:8080`): codex nạp **MCP server khai báo trong `~/.codex/config.toml` của người dùng**, trong đó có chính bridge. Xem mục 7.
+
+### 2.3 `opencode` v2.2.5
+
+Lệnh (cách bridge chạy; cấu hình quyền đưa qua biến môi trường để không đụng file cấu hình của người dùng):
+
+```
+[OPENCODE_CONFIG_CONTENT='{"permission":{…}}'] opencode run --standalone --format json --model <free model> [--auto]   (prompt qua stdin)
+```
+
+| # | Cấu hình / cờ | Hành động yêu cầu | Kết quả đo |
+|---|---|---|---|
+| o1 | mặc định, không `--auto` | `printf … > inside.txt` bằng shell | `tool_use` shell **`completed`**, file tạo. **Không hỏi** |
+| o2 | mặc định, không `--auto` | ghi file thư mục home, **ngoài workspace**, bằng shell | `tool_use` shell **`completed`**, file được tạo. **Không hỏi, không chặn** |
+| o3 | `--auto` | như o2 | `completed`, file tạo |
+| o4 | `permission: {edit: ask, bash: ask}` | ghi `inside.txt` | `tool_use` shell **`status: "error"`**, `error`: *"This non-interactive run cannot ask the user for permission, so the request was rejected. Continue without this action."*; agent thử lại bằng tool `write`, cùng lỗi. Stderr: `! permission requested: shell (echo -n "IN_OK" > inside.txt, cat inside.txt); auto-rejecting` và `! permission requested: edit (inside.txt); auto-rejecting`. Run **đi tiếp**, thoát 0, agent kể lại việc bị từ chối |
+| o5 | như o4 + `--auto` | như o4 | `completed`, file tạo → `--auto` **ghi đè** `ask` |
+| o6 | `permission: {edit: deny, bash: deny}` | ghi `inside.txt` | shell/edit bị chặn; agent **chuyển sang tool khác**: gọi tool `execute` với các MCP tool của chủ máy (`tools.rea.*`, `tools.browser`), thử `capture_process_scenario` chạy `powershell.exe`, rồi tạo subagent. Các MCP tool đó trả `capability_unavailable` nên không có tác động; run dừng vì hết hạn mức free |
+
+Ghi chú về các số đo: o1 chạy trên `opencode/big-pickle`, o2–o6 (và chạy lại o1, bị 429) trên `opencode/deepseek-v4.1-flash-free`, vì `big-pickle` hết hạn mức miễn phí giữa chừng (`provider.free-limit`, 429). o4 có kết quả trên cả hai model.
+
+Điều rút ra:
+
+- **`opencode run` không có duyệt giữa chừng.** Lời xin quyền bị tự từ chối tức thì.
+- **Có tín hiệu từ chối rõ ràng và ổn định** để adapter đọc: `tool_use` có `part.state.status === "error"` và thông điệp chứa `cannot ask the user for permission`; stderr có dòng `permission requested: <tool> (<tham số>); auto-rejecting`. Adapter hiện trả `deniedActions: []` cố định (`src/agents/opencode.ts:91`).
+- **Cấu hình mặc định không từ chối gì cả** (o1, o2): hàng đợi duyệt chỉ có việc để làm với OpenCode khi chủ máy đã đặt `permission` thành `ask` (hoặc `deny`) trong cấu hình của OpenCode. Đây là điểm khác lớn với `agy`/`codex`.
+- **Từ chối `bash` không chặn việc chạy lệnh**: o6 cho thấy agent tìm đường khác qua MCP tool có sẵn trong cấu hình OpenCode của chủ máy. Một mức quyền chỉ nói về `bash`/`edit` là chưa đủ.
+- `opencode` có `serve`, `acp`, `api` và cờ `--server <url>`; có thể có API duyệt quyền trong server. **Chưa đánh giá**, ngoài MVP.
+
+## 3. Bridge nhìn thấy gì hôm nay
+
+| Agent | Nguồn tín hiệu từ chối | Kết quả trong bridge |
+|---|---|---|
+| `agy` | `denied_actions` trong JSON cuối (`antigravity.ts:39-44`) hoặc stderr khớp `auto-denied\|soft.denied\|permission.*cannot prompt` (dòng 54) | task `failed`, `denied_actions` điền |
+| `codex` | item `declined`/`denied` (`codex.ts:62-63`) — **chưa từng thấy** | sự từ chối kiểu sandbox (mục 2.2) → task `completed`, `denied_actions: []` |
+| `opencode` | không đọc gì (`opencode.ts:91`) | task `completed`, `denied_actions: []` |
+
+## 4. Việc adapter cần làm để hàng đợi có dữ liệu (thuộc B2, nếu thiết kế được duyệt)
+
+- **opencode** (tín hiệu chắc chắn): mỗi `tool_use` có `state.status === "error"` và thông điệp khớp `/cannot ask the user for permission/` → một `denied_action` `{action: part.tool, display_name: <tham số rút gọn, đã redact>}`. Một task có `denied_actions` thì chuyển sang `failed` như `agy`, hay giữ `completed` kèm cảnh báo? **Xem câu hỏi 3.**
+- **codex** (tín hiệu yếu): `command_execution` `failed` với output khớp `/access.*denied|permission denied|read-only file system/i` chỉ là **nghi ngờ** (agent có thể tự gây lỗi đó). Đề xuất: ghi vào hàng đợi như `suspected: true`, không đổi trạng thái task, và nói rõ trên giao diện rằng đó là suy đoán từ văn bản. Không dựa vào nó để tự động hóa gì.
+- **agy**: giữ nguyên.
+
+## 5. Thiết kế MVP: "duyệt sau, chạy lại một lần"
+
+### 5.1 Luồng
+
+1. Task kết thúc; có `denied_actions` (hoặc nghi ngờ, mục 4) → một **yêu cầu duyệt** hiện trong hàng đợi và ở panel của task.
+2. Chủ bridge mở yêu cầu, thấy từng hành động bị từ chối (văn bản do CLI cung cấp, hiển thị bằng `textContent`, cắt độ dài, đã redact) và các lựa chọn:
+   - **Cho phép và chạy lại**: hộp thoại chọn *mức nâng* (mặc định là mức hẹp nhất dùng được cho agent đó, xem 5.2), cảnh báo nó có thể lộ ra điều gì, và ô `confirm`. Kết quả: **task mới** `retry_of: <task cũ>`, cùng yêu cầu đã lưu, kèm `elevation` của đúng lần này.
+   - **Bỏ qua**: đóng yêu cầu, không chạy gì.
+3. Mọi quyết định ghi vào nhật ký (`appendDecision`): hành động `approve`/`rerun` (cho phép và chạy lại, kèm mức nâng và id task mới) và `dismiss`.
+
+### 5.2 Quyền nâng cho đúng một lần chạy (mức hẹp nhất mà cờ cho phép)
+
+| Agent | Mức hẹp → rộng | Mặc định | Có thể lộ ra |
+|---|---|---|---|
+| `agy` | `--mode accept-edits` → `--mode auto` → `--dangerously-skip-permissions` (từ `agy --help`; **chưa đo** hành động nào cần mức nào) | `accept-edits` nếu mọi hành động bị từ chối là ghi file (`write_file`, đã ghi nhận trước đây); còn lại chủ chọn tay, không đoán | `accept-edits`: sửa file trong workspace không hỏi. `auto`/`full`: lệnh và đường dẫn ngoài workspace, thông tin đăng nhập trên máy |
+| `codex` | `--add-dir <thư mục>` (**đã đo**, mở đúng thư mục nêu tên) → `--sandbox danger-full-access` (**chưa đo**) | `--add-dir` cho thư mục xuất hiện trong hành động bị từ chối, khi suy ra được; ngược lại chủ nhập thư mục | `--add-dir`: ghi vào thư mục đó. `danger-full-access`: toàn bộ ổ đĩa và mạng. `--ask-for-approval` **không** giúp gì (đo: `on-request` = `never` trong `exec`) |
+| `opencode` | patch quyền theo từng lần chạy qua `OPENCODE_CONFIG_CONTENT`, chỉ cho phép đúng quyền bị từ chối (ví dụ `{"permission":{"bash":"allow"}}`) → `--auto` | patch hẹp. **Chưa đo** patch này có thắng cấu hình `ask` toàn cục của người dùng không (cơ chế biến môi trường đã đo ở o4/o5; thứ tự ưu tiên thì chưa) | `bash: allow` ở OpenCode cho phép ghi **ngoài workspace** (o2) và mọi lệnh. `--auto` duyệt cả những gì cấu hình hỏi. MCP tool của chủ máy luôn nằm trong tầm với (o6) |
+
+### 5.3 Bảo đảm quyền chỉ áp dụng cho một lần chạy
+
+- Quyền nâng chỉ đi vào **đối số/biến môi trường của lần launch đó** (`extraArgs`/`customEnv` đã có sẵn trong `AgentTask`) và vào trường `elevation` của bản ghi task mới. **Không ghi** `permissions.json`, `workspaces.json`, cấu hình CLI hay biến môi trường của bridge; cài đặt toàn cục của chủ máy không đổi.
+- Task chạy lại **không kế thừa** gì cho task sau: chạy lại một task chạy lại cần một lần duyệt mới. `retry_of` chỉ để tra cứu, không mang quyền.
+- Mức nâng có **trần** là lựa chọn của chủ trong hộp thoại xác nhận; lúc launch, bridge kiểm tra lại `elevation` trên bản ghi chứ không tin giá trị nào khác (cùng tinh thần `lowerLevel` ở `permissions.ts`: không có đường nào làm quyền tăng sau khi chủ đã chọn).
+- Task cũ được giữ nguyên làm bằng chứng; task mới dùng **đúng yêu cầu đã lưu của task cũ** (không lấy văn bản từ đầu ra của agent).
+
+### 5.4 Chỉ chủ bridge duyệt, và agent không tự duyệt được
+
+- Chỉ qua **web UI** (`POST /ui/api/…`, `confirm: true`), cùng mô hình tin cậy với "Áp dụng/Bỏ worktree" (#40) và dừng mission. **Không thêm tool MCP nào** để xem hàng đợi, duyệt hay nâng quyền; `tests/http.test.ts` và `tests/bridge.test.ts` đều đếm số tool nên thêm nhầm sẽ đỏ.
+- Văn bản trong yêu cầu (tên hành động, tham số) do CLI/agent tạo ra nên **không tin cậy**: hiển thị bằng `textContent`, giới hạn độ dài, qua `redact`; không bao giờ đưa vào một câu lệnh hay vào prompt của lần chạy lại.
+- Một agent không thể tạo yêu cầu duyệt cho chính nó ngoài việc bị từ chối thật, và không có đường nào từ nội dung nó viết tới nút "Cho phép".
+
+### 5.5 Dữ liệu
+
+Không thêm kho trạng thái mới. Yêu cầu duyệt được **suy ra** từ bản ghi task (`denied_actions`, trường mới `retry_of`/`elevation`) và từ `decisions.jsonl` (đã có, chỉ thêm giá trị `approve`/`rerun`/`dismiss` vào `DecisionAction`). Một yêu cầu là "chờ" khi task có `denied_actions` và chưa có quyết định nào cho task đó. Hệ quả: khởi động lại bridge không làm mất hàng đợi, và nhật ký vẫn là nguồn duy nhất.
+
+### 5.6 Task `isolation: worktree`
+
+Đề xuất: lần chạy lại tạo **worktree mới từ HEAD** (sạch), worktree cũ giữ nguyên để chủ xem và bỏ. Cái giá: mất phần việc dở của lần đầu. Phương án khác (dùng lại worktree) giữ việc dở nhưng tái hiện đúng vấn đề đã ghi ở `docs/SMART-ROUTER-PLAN.md` (phạm vi là tổng hai lần). **Xem câu hỏi 2.**
+
+## 6. Ranh giới của MVP
+
+Ngoài MVP và chưa kiểm: duyệt giữa chừng (API server của OpenCode chưa đánh giá); mọi thứ về `agy` 1.4.12; hình dạng `denied_actions` ngoài `write_file`; `codex --sandbox danger-full-access`; patch cấu hình OpenCode có thắng cấu hình toàn cục không; hành vi trên Linux/macOS (mọi số đo ở trên là Windows).
+
+## 7. Quan sát ngoài phạm vi (không sửa trong PR này)
+
+1. **OpenCode `provider.free-limit` không được nhận là hết quota.** Run bị 429 `FreeUsageLimitError` ("Free usage limit reached. Connect a provider or subscribe to OpenCode Go to keep going, or switch models."): `isQuotaError` trả `false` cho cả thông điệp lẫn `provider.free-limit` (đã chạy), nên một pool có OpenCode **không failover** khi hạn mức miễn phí hết.
+2. **OpenCode chạy với MCP tool của chủ máy** (o6): từ chối `bash` không chặn việc thử chạy lệnh qua tool khác. Đáng cân nhắc cô lập cấu hình OpenCode của task (cấu hình riêng qua `OPENCODE_CONFIG_CONTENT`/`XDG_*`).
+3. **Codex nạp MCP server của người dùng, kể cả chính bridge** (stderr mục 2.2). Khi bridge đang chạy ở cổng đó, một task `codex` do bridge giao có thể gọi lại `antigravity_delegate` — một đường đệ quy chưa được chặn. Chưa đo (trong các lần đo bridge không chạy ở cổng 3000).
+4. Sandbox Windows của codex thỉnh thoảng thất bại ở khâu khởi tạo (c1, `Some(143)`); bridge sẽ thấy lệnh `failed` mà không có dấu hiệu từ chối.
+
+## 8. Câu hỏi cần chủ dự án quyết trước khi viết mã
+
+1. **Chấp nhận "duyệt sau"** (không duyệt giữa chừng) làm MVP? Đây là kết luận của các số đo ở mục 2.
+2. **Task worktree chạy lại**: worktree mới từ HEAD (đề xuất) hay dùng lại worktree cũ?
+3. **Task có `denied_actions` ở OpenCode/Codex**: giữ `completed` kèm cảnh báo, hay chuyển `failed` như `agy`? (Đổi trạng thái là đổi hành vi hiện tại, ảnh hưởng mission và pool failover.)
+4. **Codex "nghi ngờ"** (suy ra từ văn bản): có đưa vào hàng đợi (gắn nhãn suy đoán), hay chỉ làm khi CLI báo `declined`/`denied` thật?
+5. **`agy`**: đăng nhập `agy` trên máy này để đo mục 2.1 trước khi viết mã, hay chấp nhận thiết kế dựa trên bằng chứng cũ và cờ trong `--help`?
+6. Có làm việc ngoài phạm vi ở mục 7 (đặc biệt mục 1, thiếu nhận diện hết hạn mức OpenCode) thành PR riêng không?

package/docs/OPENCODE-INTEGRATION-PLAN.md

@@ -5,6 +5,24 @@
 
 Không thay đổi hành vi hiện tại của antigravity và codex. OpenCode nằm trong **Phase 3** theo `docs/MULTI-AGENT-PLAN.md`.
 
+## Đã làm khác thiết kế ban đầu (đọc mục này trước các mục 1–3)
+
+Các mục 1–3 bên dưới là bản thiết kế viết trước khi có code, giữ lại để biết lý do. Nơi nào mâu thuẫn với bảng này thì **bảng này đúng** (đã đối chiếu với `opencode` v2.2.5 và với code):
+
+| Thiết kế ban đầu | Thực tế |
+|---|---|
+| `opencode` vào `DEFAULT_ENABLED` | **Mặc định tắt**; chỉ chạy khi `agents.enabled` liệt kê. Profile OpenCode khai báo mà bỏ `agents.enabled` vẫn được kiểm tra CLI và báo lý do nếu không dùng được |
+| `opencode run <prompt>` qua argv | `opencode run --standalone --format json`, prompt qua **stdin** (argv bị giới hạn độ dài, và prompt bắt đầu bằng `-` bị đọc thành cờ) |
+| không nhắc service nền | **`--standalone` bắt buộc**: mặc định `opencode run` giao việc cho service nền dùng chung của OpenCode Desktop, hủy task không dừng agent và shell của agent nằm ngoài cây process mà bridge dọn (đo ở `docs/HANDOFF.md` mục 7) |
+| `OPENCODE_HOME` tách tài khoản | Biến này **không có tác dụng**; dùng `XDG_DATA_HOME` / `XDG_CONFIG_HOME` trong `profile.env` |
+| model `gpt-5` | Dạng `provider/model` (xem `opencode models`), ví dụ `opencode/big-pickle` |
+| `parseResult` đọc JSON đơn hoặc text thường | Đọc luồng JSONL: sự kiện `text` cuối là câu trả lời, `step_finish` cho lượt và token, `error` là thất bại |
+| `autonomy: "full"` có thể thêm `--auto` | **Không bao giờ**: `autonomy` do client chọn và chỉ là chỉ dẫn. `--auto` chỉ bật bằng `agents.opencode_auto_approve` trong config của chủ máy, và hiện trong cảnh báo của `agents_list` |
+| không có giới hạn log | `compactLine` bỏ `step_start` và rút `tool_use` về tên tool và trạng thái, để luồng JSON không vượt giới hạn output |
+| quyền mặc định không bàn tới | OpenCode **chạy lệnh shell và sửa file mà không hỏi** kể cả không có `--auto` (đo trên v2.2.5): mô hình quyền của nó lỏng hơn mặc định của `agy` và Codex `workspace-write`. Bật nó trong `agents.enabled` là chấp nhận điều đó |
+
+Mục 3 ("Câu hỏi cần trả lời") đã được trả lời bằng bảng trên; không còn câu hỏi mở.
+
 ---
 
 ## 1. Khai báo kỹ thuật

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "agy-mcp-bridge",
-  "version": "0.1.31",
+  "version": "0.1.33",
   "description": "Local loopback HTTP MCP bridge that delegates bounded coding tasks to multiple agent CLIs (Antigravity, Codex) with optional parallel git worktrees",
   "license": "MIT",
   "keywords": [