aiterm-mcp 0.25.3 → 0.27.0

package/README.md

@@ -165,7 +165,7 @@ collection is off by default and performs no network I/O. It ships via
 tag-triggered CI with npm provenance (OIDC Trusted Publishing); the GitHub
 Release re-registers the Official MCP Registry entry.
 
-**Status:** actively maintained · the newcomer here, betting on a different shape (see [vs. the alternatives](#vs-the-alternatives)) · runs on Linux · WSL2 · macOS · native Windows for the core PTY tools (correlated agent completion is POSIX/WSL/macOS only for now) · MIT · see the [CHANGELOG](CHANGELOG.md).
+**Status:** actively maintained · the newcomer here, betting on a different shape (see [vs. the alternatives](#vs-the-alternatives)) · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — all four launchers and correlated completion included, no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
 
 ## Why now
 
@@ -221,7 +221,7 @@ One call per model, so the tool name itself tells you which model you get:
 | --- | --- | --- |
 | `claude_agent` | Claude Code CLI (Anthropic) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (`low`/`medium`/`high`/`xhigh`/`max`), `env_vars?`, `cwd?`, `session_name?`, `launch_operation_id?` |
 | `codex_agent` | Codex CLI (OpenAI; terminal config/CLI default unless overridden) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (`low`/`medium`/`high`/`xhigh`/`max`/`ultra`; ultra enables proactive automatic delegation), `env_vars?`, `cwd?`, `session_name?`, `write_scope?` |
-| `grok_agent` | Grok Build, model `grok-4.5` by default (`model?` overrides) (xAI) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (vendor-supported value), `env_vars?`, `cwd?`, `session_name?`, `write_scope?` |
+| `grok_agent` | Grok Build, model `grok-4.6` by default (`model?` overrides) (xAI) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (vendor-supported value), `env_vars?`, `cwd?`, `session_name?`, `write_scope?` |
 | `composer_agent` | Grok Build, model `grok-composer-2.5-fast` by default (`model?` overrides); every model is live-catalog checked (xAI) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (vendor-supported value), `env_vars?`, `cwd?`, `session_name?`, `write_scope?` |
 
 `env_vars` is an allowlist of environment-variable **names**, not a name/value map. At launch,
@@ -242,7 +242,7 @@ places its returned context before a fixed separator and the mission. This route
 `throughline >= 0.9.0`; it reads the source memory without changing that database's session
 ownership. No Throughline dependency is needed when the field is omitted.
 
-All four launchers forward `model` and `reasoning_effort` through public CLI flags. Explicit Grok/Composer models and Composer's default model are checked against the current `grok models` catalog before a PTY exists; missing models are errors, with no cache, retry, or fallback to another model. Pass an absolute path for `cwd` — `~` is not expanded. Durable callers can make a promptless Claude launch exactly replayable by passing an explicit `session_name` and `launch_operation_id`. Claude adds a launch-local settings file only for the correlated Stop hook and loads it together with normal `user,project,local` setting sources; it does not replace normal hooks, MCPs, plugins, permissions, or trust state. The hook event contains no answer body, and the bounded owner-only result is returned by `pty_read({ agent_transcript:true })` without reading Claude's private transcript. While a correlated Claude turn is active, raw sends and non-interrupt keys are rejected. Exact `/login` and `/logout` dispatches are rejected so shared authentication is repaired once in a normal terminal. Codex reads its normal rollout store; Grok/Composer read their normal session event/history files. Before dispatch, Codex waits for an idle TUI, while Grok/Composer additionally require the vendor's structured `mcp_init_completed` event so a visible input box cannot accept a prompt too early. Correlated completion requires POSIX filesystem semantics (Linux, WSL2, macOS).
+All four launchers forward `model` and `reasoning_effort` through public CLI flags. Explicit Grok/Composer models and Composer's default model are checked against the current `grok models` catalog before a PTY exists; missing models are errors, with no cache, retry, or fallback to another model. Pass an absolute path for `cwd` — `~` is not expanded. Durable callers can make a promptless Claude launch exactly replayable by passing an explicit `session_name` and `launch_operation_id`. Claude adds a launch-local settings file only for the correlated Stop hook and loads it together with normal `user,project,local` setting sources; it does not replace normal hooks, MCPs, plugins, permissions, or trust state. The hook event contains no answer body, and the bounded owner-only result is returned by `pty_read({ agent_transcript:true })` without reading Claude's private transcript. While a correlated Claude turn is active, raw sends and non-interrupt keys are rejected. Exact `/login` and `/logout` dispatches are rejected so shared authentication is repaired once in a normal terminal. Codex reads its normal rollout store; Grok/Composer read their normal session event/history files. Before dispatch, Codex waits for an idle TUI, while Grok/Composer additionally require the vendor's structured `mcp_init_completed` event so a visible input box cannot accept a prompt too early. Correlated completion works for all four vendors on Linux, WSL2, macOS, and native Windows. On native Windows the Grok/Composer launchers start only the Windows-native `grok.exe` (a WSL-side grok is rejected before a session is created, so vendor auth and session records never split across an OS boundary), and Claude/Codex completion reads the same Windows-side hook/rollout records the vendors write.
 
 There is no hidden protocol between agents: a launched Claude, Codex, Grok, or Composer is another user-visible persistent terminal session. The MCP client drives that TUI with ordinary PTY operations, and a human can attach to watch or take over.
 
@@ -446,10 +446,10 @@ Each launcher starts a specific vendor's interactive coding-agent TUI inside a f
 | --- | --- | --- |
 | `claude_agent` | Claude Code CLI (Anthropic) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (`low`/`medium`/`high`/`xhigh`/`max`), `env_vars?`, `cwd?`, `session_name?`, `launch_operation_id?` |
 | `codex_agent` | Codex CLI (OpenAI; terminal config/CLI default unless overridden) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (`low`/`medium`/`high`/`xhigh`/`max`/`ultra`; ultra enables proactive automatic delegation), `env_vars?`, `cwd?`, `session_name?`, `write_scope?` |
-| `grok_agent` | Grok Build, model `grok-4.5` by default (`model?` overrides) (xAI) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (vendor-supported value), `env_vars?`, `cwd?`, `session_name?`, `write_scope?` |
+| `grok_agent` | Grok Build, model `grok-4.6` by default (`model?` overrides) (xAI) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (vendor-supported value), `env_vars?`, `cwd?`, `session_name?`, `write_scope?` |
 | `composer_agent` | Grok Build, model `grok-composer-2.5-fast` by default (`model?` overrides); every model is live-catalog checked (xAI) | `prompt?`, `throughline_source_session?`, `model?`, `reasoning_effort?` (vendor-supported value), `env_vars?`, `cwd?`, `session_name?`, `write_scope?` |
 
-The vendor CLI must be installed and authenticated (`claude` for `claude_agent`; `codex` for `codex_agent`; `grok` for both Grok tools). Binary resolution uses `CLAUDE_BIN` / `CODEX_BIN` / `GROK_BIN`, then each documented default location, then `PATH`. Missing binaries, invalid model/effort values, unavailable Grok/Composer catalog models, and nonexistent `cwd` fail before a session is created. Claude additionally requires a structured healthy authentication status before any PTY exists, and correlated Claude sessions reject `/login` and `/logout`; repair authentication once in a normal terminal. All four launchers share the normal project/user environment and the same non-blocking dispatch contract. Claude, Codex, Grok, and Composer depth-1 live smokes and a Claude depth-2 nested-delegation smoke are green; fixture coverage remains a separate claim. Native Windows can launch agents but correlated completion is not supported yet.
+The vendor CLI must be installed and authenticated (`claude` for `claude_agent`; `codex` for `codex_agent`; `grok` for both Grok tools). Binary resolution uses `CLAUDE_BIN` / `CODEX_BIN` / `GROK_BIN`, then each documented default location, then `PATH`. Missing binaries, invalid model/effort values, unavailable Grok/Composer catalog models, and nonexistent `cwd` fail before a session is created. Claude additionally requires a structured healthy authentication status before any PTY exists, and correlated Claude sessions reject `/login` and `/logout`; repair authentication once in a normal terminal. All four launchers share the normal project/user environment and the same non-blocking dispatch contract. Claude, Codex, Grok, and Composer depth-1 live smokes and a Claude depth-2 nested-delegation smoke are green; fixture coverage remains a separate claim. Native Windows supports all four launchers with correlated completion (Claude verified with a live end-to-end launch on psmux ≥ 3.3.8; Grok launches only the Windows-native `grok.exe`).
 
 Set `throughline_source_session` together with a non-empty mission in `prompt` to prepend
 Throughline's read-only handoff context. This optional route requires `throughline >= 0.9.0`,
@@ -490,14 +490,14 @@ Each `pty_send` accepts at most 64 KiB of UTF-8 text. Sends to the same session
 
 ## A human can watch
 
-Sessions live on a shared tmux socket. The `tmux -S … attach -t <id>` line printed by `pty_open` (and by each agent launcher) lets a human attach to the same terminal and intervene (`Ctrl-b d` to detach) — including watching a launched Claude/Codex/Grok/Composer session run and taking the keyboard from your AI mid-task. On native Windows the printed line is the WSL form — `wsl tmux -S … attach -t <id>` — since the session lives inside WSL.
+Sessions live on a shared tmux socket. The `tmux -S … attach -t <id>` line printed by `pty_open` (and by each agent launcher) lets a human attach to the same terminal and intervene (`Ctrl-b d` to detach) — including watching a launched Claude/Codex/Grok/Composer session run and taking the keyboard from your AI mid-task. On native Windows the printed line is the psmux form — `psmux -L <namespace> attach -t <id>` — pointing at the same Windows-native session.
 
 ## Requirements
 
 - **Node.js >= 18**
 - **tmux** (runtime prerequisite; check with `tmux -V`. Install with `apt install tmux` / `brew install tmux`)
   - **macOS / Linux / WSL2** run tmux directly. On macOS install it with `brew install tmux` (stock macOS ships none). If your MCP client is launched from the **GUI** rather than a terminal, Homebrew's bin (`/opt/homebrew/bin` on Apple Silicon, `/usr/local/bin` on Intel) may be off its `PATH`; aiterm auto-searches those locations, or set **`AITERM_TMUX=/path/to/tmux`** to point at it explicitly.
-  - **Native Windows** has no tmux, so aiterm transparently runs tmux **inside WSL**. It needs [WSL](https://learn.microsoft.com/windows/wsl/) installed and initialized, with **tmux installed inside your WSL distro** (`sudo apt install tmux`); verify with `wsl tmux -V`. Sessions, the socket, and human `attach` all live on the WSL side — the AI just drives them from the Windows-side command. (You reach Windows tools the same way you reach SSH: `pty_send "powershell.exe …"` nests into PowerShell.)
+  - **Native Windows** has no tmux, so aiterm drives [psmux](https://github.com/psmux/psmux) — a tmux-CLI-compatible native multiplexer — with a per-install `-L` namespace. **No WSL is required.** Install psmux **3.3.8 or newer** (`winget install marlocarlo.psmux`; 3.3.8 is the first release whose `pipe-pane` file sink, byte-exact `paste-buffer` wire, and foreground `#{pane_current_command}` behave the way aiterm's capture/dispatch paths rely on), plus [Git for Windows](https://gitforwindows.org/) whose `bash.exe` becomes the pane shell (System32's `bash.exe` is the WSL launcher and is deliberately not used). Override resolution with **`AITERM_PSMUX`** / **`AITERM_BASH`** when the binaries live elsewhere. You reach Windows tools the same way you reach SSH: `pty_send "powershell.exe …"` nests into PowerShell. `grok_agent`/`composer_agent` launch the **Windows-native** Grok CLI (`%USERPROFILE%\.grok\bin\grok.exe`, or `GROK_BIN` pointing at a `.exe`) as a Windows process, and a WSL-side grok is rejected before a session is created so vendor auth and session records never split across an OS boundary.
 - For the **agent launchers**: the corresponding vendor CLI, installed and authenticated — `claude` for `claude_agent`, `codex` for `codex_agent`, `grok` for `grok_agent` / `composer_agent`. Portable fork additionally needs `throughline >= 0.9.0`; ordinary clean launch does not. (Not needed if you only use the PTY tools.)
 - Optional: the [`rtk`](https://github.com/rtk-ai/rtk) binary (used by `pty_send`'s `rtk: true` delegation; works fine without it)
 
@@ -525,8 +525,10 @@ Development uses focused local tests first. The final GitHub Actions gate starts
 `npm test` concurrently on self-hosted macOS native, Linux native, Windows native, and WSL2
 runners; it does not replace any OS with a reduced suite. Tag-triggered npm publishing runs only
 after all four environments pass and the tagged commit is confirmed on `origin/main`. The native
-Windows runner must run as the interactive Windows user that owns the initialized WSL distro;
-`NETWORK SERVICE` cannot see that user's WSL/tmux environment and is not a valid runner identity.
+Windows runner needs psmux ≥ 3.3.8 and Git for Windows on its PATH, and must run as an
+interactive Windows user; `NETWORK SERVICE` lacks the per-user environment the pane shell and
+vendor CLIs rely on and is not a valid runner identity (the separate WSL2 runner still owns the
+initialized WSL distro).
 
 Logic lives in `src/core.ts` (tmux control, reduction, completion detection, safety, agent launch) and `src/rtk.ts` (per-command reducers); `src/index.ts` is the MCP surface. The design origin and the reducer's porting source (the pytest reducer is ported to match upstream rtk 0.42.0, except the deliberate `FAILED`-line difference noted above, and is locked by regression tests) are in `prototype/python/`.
 

package/dist/claude-stop-hook.js

@@ -22,8 +22,10 @@ function hasAitermEnv() {
         process.env.AITERM_AGENT_LAUNCH_ID);
 }
 function uid() {
+    // state root のパス構成要素 `aiterm-mcp-<uid>` にだけ使う。Windows(native) は
+    // process.getuid を持たないため core の currentUid() と同じ受容で 0 を返す。
     if (typeof process.getuid !== "function")
-        fail("POSIX getuid が使えません");
+        return 0;
     return process.getuid();
 }
 function runtimeStateBase() {
@@ -39,18 +41,13 @@ function runtimeStateBase() {
     }
     return os.tmpdir();
 }
-function secureAgentsDir() {
+function agentsDir() {
+    // state root は OS が与える per-user runtime dir（XDG_RUNTIME_DIR / os.tmpdir()）の下にある。
+    // 以前はここで symlink・owner・mode を検査していたが、共有 /tmp に敵対的な同居主体がいる
+    // 前提の防御であり、対応 OS の既定配置では成立しない（オーナー裁定 2026-08-19）。
+    // 経路の異常は open/stat の OS エラーとしてそのまま露出させる。
     const root = path.join(runtimeStateBase(), `aiterm-mcp-${uid()}`);
-    const agents = path.join(root, "agents");
-    const rst = fs.lstatSync(root);
-    if (!rst.isDirectory() || rst.isSymbolicLink() || rst.uid !== uid() || (rst.mode & 0o077) !== 0) {
-        fail(`agent state root が安全ではありません: ${root}`);
-    }
-    const ast = fs.lstatSync(agents);
-    if (!ast.isDirectory() || ast.isSymbolicLink() || ast.uid !== uid() || (ast.mode & 0o077) !== 0) {
-        fail(`agent state dir が安全ではありません: ${agents}`);
-    }
-    return agents;
+    return path.join(root, "agents");
 }
 async function readStdin() {
     const chunks = [];
@@ -69,12 +66,8 @@ function writeResult(file, value) {
     if (Buffer.byteLength(body, "utf8") > MAX_STDIN_BYTES)
         fail("result file が大きすぎます");
     const tmp = `${file}.${process.pid}.${randomBytes(6).toString("hex")}.tmp`;
-    const nofollow = fs.constants.O_NOFOLLOW ?? 0;
-    const fd = fs.openSync(tmp, fs.constants.O_CREAT | fs.constants.O_EXCL | fs.constants.O_WRONLY | nofollow, 0o600);
+    const fd = fs.openSync(tmp, fs.constants.O_CREAT | fs.constants.O_EXCL | fs.constants.O_WRONLY, 0o600);
     try {
-        const st = fs.fstatSync(fd);
-        if (!st.isFile() || st.uid !== uid() || st.nlink !== 1 || (st.mode & 0o077) !== 0)
-            fail("result temp file が安全ではありません");
         const expected = Buffer.byteLength(body, "utf8");
         const written = fs.writeSync(fd, body, undefined, "utf8");
         if (written !== expected)
@@ -97,16 +90,13 @@ function writeResult(file, value) {
     }
 }
 function appendEvent(file, event) {
-    const nofollow = fs.constants.O_NOFOLLOW ?? 0;
     const line = JSON.stringify(event) + "\n";
     if (Buffer.byteLength(line, "utf8") > 64 * 1024)
         fail("event line が大きすぎます");
-    const fd = fs.openSync(file, fs.constants.O_CREAT | fs.constants.O_APPEND | fs.constants.O_WRONLY | nofollow, 0o600);
+    const fd = fs.openSync(file, fs.constants.O_CREAT | fs.constants.O_APPEND | fs.constants.O_WRONLY, 0o600);
     try {
+        // st は短書き込み時の巻き戻し（ftruncate）に使う。安全性検査としては使わない。
         const st = fs.fstatSync(fd);
-        if (!st.isFile() || st.uid !== uid() || st.nlink !== 1 || (st.mode & 0o077) !== 0) {
-            fail(`event file が安全ではありません: ${file}`);
-        }
         const expected = Buffer.byteLength(line, "utf8");
         const written = fs.writeSync(fd, line, undefined, "utf8");
         if (written !== expected) {
@@ -120,10 +110,9 @@ function appendEvent(file, event) {
     }
 }
 function readOperationMarker(file) {
-    const nofollow = fs.constants.O_NOFOLLOW ?? 0;
     let fd;
     try {
-        fd = fs.openSync(file, fs.constants.O_RDONLY | nofollow);
+        fd = fs.openSync(file, fs.constants.O_RDONLY);
     }
     catch (error) {
         if (error.code === "ENOENT")
@@ -132,8 +121,9 @@ function readOperationMarker(file) {
     }
     try {
         const st = fs.fstatSync(fd);
-        if (!st.isFile() || st.uid !== uid() || st.nlink !== 1 || (st.mode & 0o077) !== 0 || st.size > 1024) {
-            fail(`operation markerが安全ではありません: ${file}`);
+        // parse する入力の上限だけ残す（owner・link 数・mode の検査は撤去した）。
+        if (st.size > 1024) {
+            fail(`operation markerが大きすぎます: ${file}`);
         }
         const body = fs.readFileSync(fd, "utf8");
         const value = JSON.parse(body);
@@ -161,13 +151,9 @@ function consumeOperationMarker(file, marker) {
     catch {
         fail("operation markerが完了記録中に消失しました");
     }
-    if (!st.isFile() ||
-        st.isSymbolicLink() ||
-        st.uid !== uid() ||
-        st.nlink !== 1 ||
-        (st.mode & 0o077) !== 0 ||
-        st.dev !== marker.dev ||
-        st.ino !== marker.ino) {
+    // dev/ino は「先に stat したのと同じ実体か」という同一性の検査であり、operation 相関の
+    // 正しさそのもの。撤去した安全設備（symlink・owner・link 数・mode）とは別物なので残す。
+    if (st.dev !== marker.dev || st.ino !== marker.ino) {
         fail("operation markerが完了記録中に置換されました");
     }
     fs.unlinkSync(file);
@@ -202,7 +188,7 @@ async function main() {
     if (resultBytes > MAX_RESULT_BYTES)
         fail(`assistant result が${MAX_RESULT_BYTES} bytesを超えています`);
     const resultDigest = createHash("sha256").update(text, "utf8").digest("hex");
-    const agents = secureAgentsDir();
+    const agents = agentsDir();
     const resultFile = path.join(agents, `${session}.${launchId}.claude-result.json`);
     const eventFile = path.join(agents, `${session}.${launchId}.events.jsonl`);
     const operationFile = path.join(agents, `${session}.${launchId}.claude-operation.json`);

package/dist/core.js

@@ -15,19 +15,18 @@ import { createHash, randomBytes, randomUUID } from "node:crypto";
 import { fileURLToPath } from "node:url";
 import * as rtk from "./rtk.js";
 import { recordRuntimeError } from "./runtime-error-store.js";
-// Windows ネイティブには tmux が無い。その場合だけ全 tmux 呼び出しを WSL 経由へ橋渡しする
-// （POSIX = Linux/WSL2/macOS は従来どおり tmux を直接叩く）。
+// Windows ネイティブには tmux が無いため、tmux CLI 互換の native psmux を叩く
+// （POSIX = Linux/WSL2/macOS は従来どおり tmux を直接叩く。WSL 橋は e3f5fc8 で全廃）。
 const isWin = process.platform === "win32";
 // .log/.offset/.lastcmd を置くディレクトリ（Node が直接読み書きする）。
 // POSIX は従来どおり。Windows は TMPDIR→TEMP→os.tmpdir() の順で Windows 側の一時領域に置く。
 const SOCKDIR = path.join(process.env.TMPDIR ?? (isWin ? process.env.TEMP ?? os.tmpdir() : "/tmp"), "claude-tmux-sockets");
-// tmux -S に渡すソケットパス。POSIX はログと同じツリーに置く。
-// Windows は tmux が WSL 内で動くため、ソケットは WSL ネイティブ fs に置く必要がある
-// （/mnt drvfs(9p) 上では AF_UNIX 非対応）。SOCKDIR から短い安定名を導出し、
-// TMPDIR ごとの隔離（テスト）と再起動跨ぎ再接続を両立する。
-const SOCK = isWin
-    ? `/tmp/aiterm-${createHash("sha1").update(SOCKDIR).digest("hex").slice(0, 12)}.sock`
-    : path.join(SOCKDIR, "claude.sock");
+// tmux -S に渡すソケットパス（POSIX はログと同じツリーに置く）。
+// Windows は native psmux を使い、-S でなく -L server namespace で隔離する
+// （psmux の -S は黙って既定 namespace へ落ちるため使わない・実測 2026-08-16）。
+// SOCKDIR から短い安定名を導出し、TMPDIR ごとの隔離（テスト）と再起動跨ぎ再接続を両立する。
+const SOCK = path.join(SOCKDIR, "claude.sock");
+const WIN_NS = `aiterm-${createHash("sha1").update(SOCKDIR).digest("hex").slice(0, 12)}`;
 // 完了検出
 export const DEFAULT_TIMEOUT = 10.0;
 const POLL = 0.25;
@@ -156,34 +155,26 @@ function ptyDependencyError(message, observe = true) {
         ownTelemetryFailure("AITERM.PTY_DEPENDENCY_UNAVAILABLE", error, 2);
     throw error;
 }
-// Windows のドライブパス (C:\a\b) を WSL から見える /mnt/c/a/b へ変換する。
-// 一時領域は常にドライブ直下なので UNC は想定外＝弾く（黙って壊れた //server パスを作らない）。
-export function toWslPath(p) {
-    const m = /^([A-Za-z]):\/(.*)$/.exec(p.replace(/\\/g, "/"));
-    if (!m)
-        throw new AitermError(`WSL へ橋渡しできない一時パスです（ドライブ直下のみ対応）: ${p}`, 2);
-    return `/mnt/${m[1].toLowerCase()}/${m[2]}`;
-}
-// Windows で最初の tmux 呼び出し前に一度だけ WSL+tmux の可用性を確かめ、失敗は原因別に投げる。
-// -e（ログインシェル非経由）＋短い timeout で、初回セットアップ未完了の wsl によるハングも防ぐ。
-let winBridgeOk = false;
-function ensureWinBridge(observe = true) {
-    if (winBridgeOk)
+// Windows で最初の呼び出し前に一度だけ native psmux の可用性を確かめ、失敗は原因別に投げる。
+// psmux は tmux CLI 互換の Windows ネイティブ実装（ConPTY・WSL 不要）。AITERM_PSMUX で
+// バイナリを明示上書きできる（POSIX の AITERM_TMUX に対応）。
+function psmuxBin() {
+    return process.env.AITERM_PSMUX || "psmux";
+}
+let winPsmuxOk = false;
+function ensureWinPsmux(observe = true) {
+    if (winPsmuxOk)
         return;
-    const r = spawnSync("wsl.exe", ["-e", "tmux", "-V"], { encoding: "utf8", timeout: 10000 });
+    const r = spawnSync(psmuxBin(), ["-V"], { encoding: "utf8", timeout: 10000 });
     if (r.error) {
         const code = r.error.code;
-        if (code === "ETIMEDOUT")
-            ptyDependencyError("WSL が応答しません（初回セットアップ未完了の可能性）。一度 `wsl` を起動してから再実行してください。", observe);
         if (code === "ENOENT")
-            ptyDependencyError("wsl.exe が見つかりません。Windows では WSL 上の tmux 経由で動作します。WSL と tmux を導入してください。", observe);
-        ptyDependencyError(`wsl.exe を起動できませんでした（${code ?? "unknown"}）。`, observe);
+            ptyDependencyError("psmux が見つかりません。Windows ネイティブでは psmux が必要です（導入例: winget install marlocarlo.psmux）。既存の psmux を使う場合は AITERM_PSMUX でパスを指定してください。", observe);
+        ptyDependencyError(`psmux を起動できませんでした（${code ?? "unknown"}）。`, observe);
     }
-    // wsl.exe は System32 にあるので「起動」は成功するが、ディストリ未導入や distro 内に tmux が無いと
-    // 非ゼロで終わる。両方を区別せず（wsl の出力は UTF-16 で文字化けし得るため）正直に表す。
     if (r.status !== 0)
-        ptyDependencyError("WSL 経由で tmux を起動できませんでした。WSL のディストリ未導入、または distro 内に tmux が無い可能性があります。`wsl tmux -V` が通るか確認してください（tmux 導入例: sudo apt install tmux）。", observe);
-    winBridgeOk = true;
+        ptyDependencyError("psmux -V が失敗しました。`psmux -V` が通るか確認してください。", observe);
+    winPsmuxOk = true;
 }
 // tmux が見つからないときの説明。macOS は tmux を同梱せず、Homebrew の bin は GUI 起動時の PATH に
 // 入らないため、原因と対処（導入・自動探索・AITERM_TMUX 上書き）を正直に提示する。
@@ -247,12 +238,12 @@ export function tmuxSpawnEnv() {
 function tmuxCommandWithInput(observe, input, ...args) {
     // maxBuffer は既定 1MiB。capture-pane（大きなスクロールバック）や多セッションの list-sessions で
     // 頭打ちになり stdout が切れる/空になる。Python の subprocess.run は無制限だったので 64MiB へ広げる。
-    // Windows は同じ tmux を WSL 経由（-e でログインシェル非経由＝$ 展開やクオート崩れを防ぐ）で叩く。
+    // Windows は tmux CLI 互換の native psmux を -L namespace 隔離で叩く（WSL 非依存）。
     let r;
     const spawnOpts = { encoding: "utf8", maxBuffer: 64 * 1024 * 1024, input, env: tmuxSpawnEnv() };
     if (isWin) {
-        ensureWinBridge(observe);
-        r = spawnSync("wsl.exe", ["-e", "tmux", "-S", SOCK, ...args], spawnOpts);
+        ensureWinPsmux(observe);
+        r = spawnSync(psmuxBin(), ["-L", WIN_NS, ...args], spawnOpts);
     }
     else {
         // resolveTmux() は tmux を解決できなければ明確な AitermError を投げる（POSIX 版の事前確認）。
@@ -288,14 +279,23 @@ function sessionExists(name) {
 }
 function paneCurrentCommand(name) {
     const r = tmux("display-message", "-p", "-t", name, "#{pane_current_command}");
-    return r.code === 0 ? r.stdout.trim() : "";
+    if (r.code !== 0)
+        return "";
+    const cmd = r.stdout.trim();
+    // Windows（psmux）は "bash.exe" やフルパス形で報告しうる。SHELLS 等の POSIX 名
+    // 集合と突合できるよう、basename・.exe 除去・小文字化へ正規化する（Windows の
+    // 実行ファイル名は case-insensitive）。POSIX は従来どおり無加工。
+    if (!isWin)
+        return cmd;
+    return path.basename(cmd).replace(/\.exe$/i, "").toLowerCase();
 }
 function pasteBufferSupportsNoSanitizeFlag() {
     const listed = tmux("list-commands");
     if (listed.code !== 0) {
         throw new AitermError(`tmux paste-buffer 能力の確認に失敗しました: ${listed.stderr.trim() || `code=${listed.code}`}`, 2);
     }
-    const usage = listed.stdout.split("\n").find((line) => line.startsWith("paste-buffer "));
+    // psmux の list-commands は行頭にインデントを持つため trim して突合する。
+    const usage = listed.stdout.split("\n").find((line) => line.trim().startsWith("paste-buffer"));
     if (!usage)
         throw new AitermError("tmux list-commands にpaste-bufferがありません", 2);
     // tmux 3.4は制御文字を無変換でpasteし、-S自体が無い。3.7は既定でvis(3)変換し、
@@ -374,31 +374,19 @@ function stateRoot() {
     const base = runtimeStateBase();
     return path.join(base, `aiterm-mcp-${uid}`);
 }
-function ensureSecureStateRoot() {
+function ensureStateRoot() {
+    // state root は OS が与える per-user runtime dir（XDG_RUNTIME_DIR / os.tmpdir()）の下に作る。
+    // 以前はここで symlink・owner・mode を検査していたが、共有 /tmp に敵対的な同居主体がいる
+    // 前提の防御であり、対応 OS の既定配置では成立しない（オーナー裁定 2026-08-19）。
+    // 作成時の 0o700 は検査ではなく妥当な既定として残す。経路の異常は以降の
+    // open/stat が OS エラーとしてそのまま露出させる。
     const root = stateRoot();
     fs.mkdirSync(root, { recursive: true, mode: 0o700 });
-    const st = fs.lstatSync(root);
-    if (!st.isDirectory() || st.isSymbolicLink()) {
-        throw new AitermError(`agent state root が安全な directory ではありません: ${root}`, 2);
-    }
-    if (st.uid !== currentUid()) {
-        throw new AitermError(`agent state root の owner が現在ユーザーではありません: ${root}`, 2);
-    }
-    if ((st.mode & 0o077) !== 0) {
-        fs.chmodSync(root, 0o700);
-    }
-    const agents = path.join(root, "agents");
-    fs.mkdirSync(agents, { recursive: true, mode: 0o700 });
-    const ast = fs.lstatSync(agents);
-    if (!ast.isDirectory() || ast.isSymbolicLink() || ast.uid !== currentUid()) {
-        throw new AitermError(`agent state dir が安全な directory ではありません: ${agents}`, 2);
-    }
-    if ((ast.mode & 0o077) !== 0)
-        fs.chmodSync(agents, 0o700);
+    fs.mkdirSync(path.join(root, "agents"), { recursive: true, mode: 0o700 });
     return root;
 }
 function agentsDir() {
-    return path.join(ensureSecureStateRoot(), "agents");
+    return path.join(ensureStateRoot(), "agents");
 }
 function agentEventPath(name, launchId) {
     assertSessionName(name);
@@ -450,22 +438,14 @@ function agentClaudeDispatchReceiptPath(name, launchId, operationId) {
     return path.join(agentsDir(), `${name}.${launchId}.${validated.slice("sha256:".length)}.claude-dispatch`);
 }
 function existingAgentsDir() {
-    if (typeof process.getuid !== "function")
-        return null;
-    const root = path.join(runtimeStateBase(), `aiterm-mcp-${process.getuid()}`);
-    const dir = path.join(root, "agents");
+    // 既存の agents dir があればその path、無ければ null（作成はしない）。
+    // 以前はここで symlink・owner・mode を検査していたが撤去した（オーナー裁定 2026-08-19）。
+    // なお「Windows で常に null を返す」形だった頃は close/killAll の agent state 掃除が
+    // 常に no-op になり、同名 session の再起動が「agent metadata が複数あります」で
+    // 失敗していた（実被弾 2026-08-15）。存在判定だけに絞ることでその轍も踏まない。
+    const dir = path.join(runtimeStateBase(), `aiterm-mcp-${currentUid()}`, "agents");
     try {
-        const rst = fs.lstatSync(root);
-        if (!rst.isDirectory() || rst.isSymbolicLink() || rst.uid !== process.getuid())
-            return null;
-        if ((rst.mode & 0o077) !== 0)
-            fs.chmodSync(root, 0o700);
-        const st = fs.lstatSync(dir);
-        if (!st.isDirectory() || st.isSymbolicLink() || st.uid !== process.getuid())
-            return null;
-        if ((st.mode & 0o077) !== 0)
-            fs.chmodSync(dir, 0o700);
-        return dir;
+        return fs.statSync(dir).isDirectory() ? dir : null;
     }
     catch {
         return null;
@@ -553,8 +533,8 @@ function readLastcmd(name) {
     }
 }
 export function attachHint(name) {
-    // Windows は WSL 内 tmux なので、人が打つのは wsl 経由（SOCK は WSL パス）。
-    const cmd = isWin ? `wsl tmux -S ${SOCK} attach -t ${name}` : `tmux -S ${SOCK} attach -t ${name}`;
+    // Windows は native psmux（tmux CLI 互換）を -L namespace で叩く。
+    const cmd = isWin ? `psmux -L ${WIN_NS} attach -t ${name}` : `tmux -S ${SOCK} attach -t ${name}`;
     return (`このセッションを自分の目で見る/介入する:\n` +
         `  ${cmd}\n` +
         `  （抜けるには Ctrl-b d）`);
@@ -675,9 +655,10 @@ function captureScreen(name, lines) {
     return r.code === 0 ? r.stdout : "";
 }
 const sleep = (ms) => new Promise((res) => setTimeout(res, ms));
-// Windows 専用: pipe-pane のログは /mnt/c (9p) 境界を越えて書かれるため、tmux が完了/セッション
-// 消滅を報告した後も最後の数百バイトが少し遅れて現れる。完了と判定する直前にログサイズが
-// 伸びなくなるまで待ち、readOutput が末尾欠けの出力を返さないようにする（POSIX は同一fsゆえ不要）。
+// Windows 専用: pipe-pane のログは psmux server 側の in-process sink が書く＝完了検知と
+// 書き手が別 process のため、完了/セッション消滅の報告後も末尾数百バイトが遅れて現れうる。
+// 完了と判定する直前にログサイズが伸びなくなるまで待ち、readOutput が末尾欠けの出力を
+// 返さないようにする（POSIX の tmux は /bin/sh sink・同一 fs で実測上不要）。
 async function settleWinLog(name) {
     let prev = -1;
     for (let i = 0; i < 8; i++) {
@@ -830,11 +811,8 @@ function completionSuffix(status) {
 function rtkRewrite(text) {
     if (text.trim().includes("\n"))
         return text;
-    // timeout 無しだと rtk がハングしたとき send() ごと凍結する。Python は timeout=5。
-    // Windows はコマンドが WSL 内で走るので rtk も WSL 側（-e）で評価する。不在は素通し。
-    const r = isWin
-        ? spawnSync("wsl.exe", ["-e", "rtk", "rewrite", text], { encoding: "utf8", timeout: 5000, maxBuffer: 1024 * 1024 })
-        : spawnSync("rtk", ["rewrite", text], { encoding: "utf8", timeout: 5000, maxBuffer: 1024 * 1024 });
+    // timeout 無しだと rtk がハングしたとき send() ごと凍結する。Python は timeout=5。不在は素通し。
+    const r = spawnSync("rtk", ["rewrite", text], { encoding: "utf8", timeout: 5000, maxBuffer: 1024 * 1024 });
     if (r.error)
         return text; // rtk 不在（ENOENT）・タイムアウト（ETIMEDOUT）等は元テキストへ素通し
     if ((r.status === 0 || r.status === 3) && (r.stdout ?? "").trim())
@@ -850,7 +828,37 @@ function assertNotDestructive(text, code, context = "") {
     }
 }
 // ---------------------------------------------------------------- 操作（return で返す / 失敗は AitermError）
+// Windows native pane の既定 shell 解決。裸の "bash" は PATH 上で System32 の
+// WSL launcher (bash.exe) に解決されてしまうため、Git for Windows の bash.exe を
+// 明示解決する（WSL 非依存の裁定に従う）。AITERM_BASH で上書き可。
+function resolveWinPaneShell(shell) {
+    if (!isWin || shell !== "bash")
+        return shell;
+    const fromEnv = process.env.AITERM_BASH;
+    if (fromEnv) {
+        if (isUsableExecutableFile(fromEnv))
+            return fromEnv;
+        throw new AitermError(`AITERM_BASH に指定された bash が存在しません: ${fromEnv}`, 2);
+    }
+    const candidates = [
+        path.join(process.env.ProgramFiles ?? "C:\\Program Files", "Git", "bin", "bash.exe"),
+        path.join(process.env["ProgramFiles(x86)"] ?? "C:\\Program Files (x86)", "Git", "bin", "bash.exe"),
+    ];
+    const gitPath = spawnSync("where.exe", ["git.exe"], { encoding: "utf8", timeout: 5000 })
+        .stdout?.split(/\r?\n/)
+        .find(Boolean);
+    if (gitPath)
+        candidates.push(path.join(path.dirname(path.dirname(gitPath)), "bin", "bash.exe"));
+    for (const cand of candidates) {
+        if (isUsableExecutableFile(cand))
+            return cand;
+    }
+    throw new AitermError("Git Bash が見つかりません。Windows ネイティブの pane shell には Git for Windows の bash.exe が必要です" +
+        "（System32 の bash.exe は WSL launcher のため使いません）。Git for Windows を導入するか、" +
+        "AITERM_BASH に bash.exe のパスを指定してください。", 2);
+}
 export function openSession(name, shell = "bash") {
+    shell = resolveWinPaneShell(shell);
     try {
         fs.mkdirSync(SOCKDIR, { recursive: true });
     }
@@ -877,7 +885,8 @@ export function openSession(name, shell = "bash") {
                 throw new AitermError(`session '${nm}' は既に存在します（list で確認）`, 2);
         }
         else {
-            const r = tmux("new-session", "-d", "-s", nm, ...banner, "-f", "/dev/null", shell);
+            // -f は端末個人の設定ファイルを読まないための空 config（Windows は NUL デバイス）。
+            const r = tmux("new-session", "-d", "-s", nm, ...banner, "-f", isWin ? "NUL" : "/dev/null", shell);
             if (r.code === 0)
                 break;
             // 自動採番かつ「重複名」由来の失敗（他エージェントが同名を先に取った）なら次名でリトライ。
@@ -908,8 +917,10 @@ export function openSession(name, shell = "bash") {
     cleanupAgentState(nm);
     // pipe-pane の引数は tmux 内部の /bin/sh -c で再解釈される（argv ではない）。パスは単一引用符で包み、
     // パス自身の ' は '\'' イディオムでエスケープする（名前は検証済みだが、Windows ユーザー名 O'Brien 等が
-    // 一時パスに ' を持ち込み redirect を壊すのを防ぐ。空白対策も兼ねる）。Windows は WSL から見える /mnt/c 形へ。
-    const pipeTarget = isWin ? toWslPath(logpath(nm)) : logpath(nm);
+    // 一時パスに ' を持ち込み redirect を壊すのを防ぐ。空白対策も兼ねる）。
+    // Windows の psmux は `cat > <path>` を in-process の直接ファイルsinkとして処理する
+    // （psmux e3e4b71 以降）。パスは Windows 形のまま渡す。
+    const pipeTarget = logpath(nm);
     const quoted = `'${pipeTarget.replace(/'/g, "'\\''")}'`;
     const pr = tmux("pipe-pane", "-t", nm, "-o", `cat >> ${quoted}`);
     if (pr.code !== 0) {
@@ -1018,7 +1029,25 @@ export function send(name, text, o = {}) {
             const partial = i > 0
                 ? " 先行chunkはPTYに入力済みでEnterは未送信です。再送前に入力を確認・消去してください。"
                 : "";
-            const loaded = tmuxWithInput(chunks[i], "load-buffer", "-b", bufferName, "-");
+            // psmux の load-buffer は stdin (`-`) 非対応で path 位置引数だけを取る。
+            // Windows は owner-only の SOCKDIR 内へ一時ファイル経由で渡す。
+            let loaded;
+            if (isWin) {
+                const chunkFile = path.join(SOCKDIR, `${bufferName}.chunk`);
+                try {
+                    fs.writeFileSync(chunkFile, chunks[i], { encoding: "utf8" });
+                    loaded = tmux("load-buffer", "-b", bufferName, chunkFile);
+                }
+                finally {
+                    try {
+                        fs.unlinkSync(chunkFile);
+                    }
+                    catch { /* noop */ }
+                }
+            }
+            else {
+                loaded = tmuxWithInput(chunks[i], "load-buffer", "-b", bufferName, "-");
+            }
             if (loaded.code !== 0) {
                 tmuxCleanup("delete-buffer", "-b", bufferName);
                 throw new AitermError(`tmux bufferへの送信準備に失敗しました` +
@@ -1026,7 +1055,8 @@ export function send(name, text, o = {}) {
             }
             // -r: LF→CR 置換を無効化。-Sは対応新版だけでvis(3)制御文字変換を無効化する。
             // send 自身の raw/sanitize 契約だけを真実とし、tmux 側で黙って再変換させない。
-            const pasteArgs = ["paste-buffer", "-d", "-r"];
+            // psmux は -r 非対応（受理フラグは d/p/b/t のみ）のため Windows では付けない。
+            const pasteArgs = isWin ? ["paste-buffer", "-d"] : ["paste-buffer", "-d", "-r"];
             if (o.bracketedPaste)
                 pasteArgs.push("-p");
             if (pasteSupportsNoSanitize)
@@ -1179,7 +1209,7 @@ export async function readOutput(name, o = {}) {
     }
     else {
         let off = readOffset(name);
-        // WSL 再起動等でログが作り直されると、Windows 側に残った旧 offset が新ログ長を超え、
+        // psmux server 再起動等でログが作り直されると、残った旧 offset が新ログ長を超え、
         // 空を返して「何も読めない」状態になる。末尾越えは先頭から読み直す（POSIX では no-op）。
         if (off > size)
             off = 0;
@@ -1261,7 +1291,7 @@ export function readOnlyPtyListDiagnostic(runTmux = tmux) {
         }
     }
     catch {
-        // tmux 未導入・WSL bridge 不全等。絶対 path や生 stderr を診断 JSON に出さない。
+        // tmux/psmux 未導入等。絶対 path や生 stderr を診断 JSON に出さない。
     }
     return { status: "unverified", session_count: null };
 }
@@ -1526,9 +1556,10 @@ function writeText0600(p, text) {
         /* noop */
     }
 }
-function createEmpty0600NoFollow(p) {
-    const nofollow = fs.constants.O_NOFOLLOW ?? 0;
-    const fd = fs.openSync(p, fs.constants.O_CREAT | fs.constants.O_EXCL | fs.constants.O_WRONLY | nofollow, 0o600);
+function createEmpty0600(p) {
+    // O_EXCL が「既存 path なら失敗」を保証するため、新規作成の一意性はこれで足りる。
+    // O_NOFOLLOW は撤去した（オーナー裁定 2026-08-19）。
+    const fd = fs.openSync(p, fs.constants.O_CREAT | fs.constants.O_EXCL | fs.constants.O_WRONLY, 0o600);
     fs.closeSync(fd);
 }
 function realCodexHome() {
@@ -1730,10 +1761,9 @@ function readClaudeOperationMarker(meta) {
     if (meta.kind !== "claude")
         return null;
     const file = agentClaudeOperationPath(meta.aiterm_session, meta.launch_id);
-    const nofollow = fs.constants.O_NOFOLLOW ?? 0;
     let fd;
     try {
-        fd = fs.openSync(file, fs.constants.O_RDONLY | nofollow);
+        fd = fs.openSync(file, fs.constants.O_RDONLY);
     }
     catch (error) {
         if (error.code === "ENOENT")
@@ -1741,9 +1771,10 @@ function readClaudeOperationMarker(meta) {
         throw new AitermError(`Claude operation markerを確認できません: ${error.message}`, 2);
     }
     try {
+        // parse する入力の上限だけ残す（owner・link 数・mode・O_NOFOLLOW の検査は撤去した）。
         const st = fs.fstatSync(fd);
-        if (!st.isFile() || st.uid !== currentUid() || st.nlink !== 1 || (st.mode & 0o077) !== 0 || st.size > 1024) {
-            throw new AitermError("Claude operation markerの安全検証に失敗しました", 2);
+        if (st.size > 1024) {
+            throw new AitermError("Claude operation markerが大きすぎます", 2);
         }
         let value;
         try {
@@ -1777,21 +1808,13 @@ function reserveClaudeOperation(meta, operationId) {
     }
     const receipt = agentClaudeDispatchReceiptPath(meta.aiterm_session, meta.launch_id, validated);
     try {
-        createEmpty0600NoFollow(receipt);
+        createEmpty0600(receipt);
     }
     catch (error) {
         if (error.code !== "EEXIST")
             throw error;
-        let st;
-        try {
-            st = fs.lstatSync(receipt);
-        }
-        catch {
-            throw new AitermError("Claude dispatch receiptを確認できません", 2);
-        }
-        if (!st.isFile() || st.isSymbolicLink() || st.uid !== currentUid() || st.nlink !== 1 || (st.mode & 0o077) !== 0) {
-            throw new AitermError("Claude dispatch receiptの安全検証に失敗しました", 2);
-        }
+        // EEXIST 自体が「この operation は既に dispatch 済み」を意味する。
+        // receipt の owner・link 数・mode・symlink 検査は撤去した（オーナー裁定 2026-08-19）。
         throw new AitermError(`operation ${validated} は既にdispatch済みです。再送しません。`, 2);
     }
     try {
@@ -1957,24 +1980,16 @@ export function runClaudeApproval({ action, session_id: name, operation_id: oper
 }
 function hasClaudeDispatchReceipt(meta, operationId) {
     const file = agentClaudeDispatchReceiptPath(meta.aiterm_session, meta.launch_id, operationId);
-    let st;
     try {
-        st = fs.lstatSync(file);
+        // receipt は createEmpty0600 が作る空ファイル。存在＝dispatch 済みで足りる。
+        // owner・link 数・mode・symlink の検査は撤去した（オーナー裁定 2026-08-19）。
+        return fs.statSync(file).isFile();
     }
     catch (error) {
         if (error.code === "ENOENT")
             return false;
         throw new AitermError(`Claude dispatch receiptを確認できません: ${error.message}`, 2);
     }
-    if (!st.isFile() ||
-        st.isSymbolicLink() ||
-        st.uid !== currentUid() ||
-        st.nlink !== 1 ||
-        (st.mode & 0o077) !== 0 ||
-        st.size !== 0) {
-        throw new AitermError("Claude dispatch receiptの安全検証に失敗しました", 2);
-    }
-    return true;
 }
 function normalizeInitialPromptState(v) {
     if (v === true)
@@ -2162,8 +2177,8 @@ function createClaudeAgentMetadata(name, cwd, initialPrompt, launchOperationId,
     const launchId = randomBytes(16).toString("hex");
     const eventFile = agentEventPath(name, launchId);
     const resultFile = agentClaudeResultPath(name, launchId);
-    createEmpty0600NoFollow(eventFile);
-    createEmpty0600NoFollow(resultFile);
+    createEmpty0600(eventFile);
+    createEmpty0600(resultFile);
     const claudeSettings = createClaudeCorrelationSettings(name, launchId);
     const meta = {
         kind: "claude",
@@ -2188,7 +2203,7 @@ function createClaudeAgentMetadata(name, cwd, initialPrompt, launchOperationId,
 function createCodexAgentMetadata(name, cwd, initialPrompt, overrides = {}, writeScope, lineageContext) {
     const launchId = randomBytes(16).toString("hex");
     const eventFile = agentEventPath(name, launchId);
-    createEmpty0600NoFollow(eventFile);
+    createEmpty0600(eventFile);
     const codexHome = realCodexHome();
     const meta = {
         kind: "codex",
@@ -2212,7 +2227,7 @@ function createCodexAgentMetadata(name, cwd, initialPrompt, overrides = {}, writ
 function createGrokAgentMetadata(kind, name, cwd, initialPrompt, authPath, writeScope, lineageContext) {
     const launchId = randomBytes(16).toString("hex");
     const eventFile = agentEventPath(name, launchId);
-    createEmpty0600NoFollow(eventFile);
+    createEmpty0600(eventFile);
     const grokHome = realGrokHome();
     const meta = {
         kind,
@@ -2901,7 +2916,7 @@ function readClaudeResultText(meta, done, operationId) {
         st.isSymbolicLink() ||
         st.uid !== currentUid() ||
         st.nlink !== 1 ||
-        (st.mode & 0o077) !== 0 ||
+        (!isWin && (st.mode & 0o077) !== 0) ||
         st.size > CLAUDE_RESULT_MAX_BYTES + 4096) {
         throw new AitermError("Claude result file の安全検証に失敗しました", 2);
     }
@@ -3381,8 +3396,9 @@ function isAgentTuiReady(kind, screen) {
     }
     // Grok Build 0.2.117 は起動完了後に製品名を消し、model footerだけを残す。
     // Composerも同じfrontendでmodel名だけが異なるため、両方をvendor UIの根拠にする。
+    // Windows native grok.exe（1.0.4 実測）は入力欄markerを `❯` でなく `>` で描画するため両方を受ける。
     const grokFrontend = screen.includes("Grok Build") || /\b(?:Grok|Composer)\s+[\w.()-]+/.test(screen);
-    return grokFrontend && /(^|\n|\s)❯/.test(screen);
+    return grokFrontend && /(^|\n|\s)[❯>]/.test(screen);
 }
 // Codex/Claude は実行中に「(esc to interrupt)」を表示する（実機採取）。startup 側の処理
 // （MCP initialize 等）が走ったまま composer だけ描画されている画面は入力受付とみなさない。
@@ -3446,7 +3462,8 @@ function agentSubmitResidueOnScreen(kind, screen, tail) {
     const lines = screen.split("\n");
     // 入力欄マーカーは ready 判定と同じ記号を行頭基準で探す。submit 済みの transcript echo は
     // マーカー行より上に出るため、最後のマーカー行以降だけを composer 領域として見る。
-    const markerRe = kind === "codex" ? /^\s*[›>]/ : kind === "claude" ? /^\s*❯/ : /(^|\s)❯/;
+    // grok/composer は Windows native 描画（`>`・実測 1.0.4）も ready 判定と同様に受ける。
+    const markerRe = kind === "codex" ? /^\s*[›>]/ : kind === "claude" ? /^\s*❯/ : /(^|\s)[❯>]/;
     let markerIdx = -1;
     for (let i = lines.length - 1; i >= 0; i--) {
         if (markerRe.test(lines[i])) {
@@ -3942,7 +3959,7 @@ function resolveAgentBin(kind) {
         ? ["CLAUDE_BIN", [".local", "bin", "claude"], "claude"]
         : kind === "codex"
             ? ["CODEX_BIN", [".local", "bin", "codex"], "codex"]
-            : ["GROK_BIN", [".grok", "bin", "grok"], "grok"];
+            : ["GROK_BIN", [".grok", "bin", isWin ? "grok.exe" : "grok"], "grok"];
     const fromEnv = process.env[envVar];
     if (fromEnv) {
         // 明示指定 env は実在を検証する。存在しないパスを黙って返すと、session を作って
@@ -4024,35 +4041,22 @@ function isWindowsDrivePath(candidate) {
 function isWindowsNativeExecutable(candidate) {
     return isWindowsDrivePath(candidate) && /\.(?:exe|com|cmd|bat)$/i.test(candidate);
 }
-function isUsableWslExecutable(candidate) {
-    if (!isWin)
-        return false;
-    let wslPath = candidate;
-    if (isWindowsDrivePath(candidate)) {
-        try {
-            if (!fs.statSync(candidate).isFile())
-                return false;
-            wslPath = toWslPath(candidate);
-        }
-        catch {
-            return false;
-        }
-    }
-    else if (!candidate.startsWith("/")) {
-        return false;
-    }
-    const checked = spawnSync("wsl.exe", ["-e", "test", "-f", wslPath, "-a", "-x", wslPath], {
-        encoding: "utf8",
-        timeout: 5000,
-    });
-    return checked.status === 0;
-}
+// Windows の bin 受入: native 実行ファイル（.exe/.cmd/.bat）に加え、pane shell
+// （Git Bash）が shebang で実行できる script も実在すれば受け入れる。旧 WSL 側
+// バイナリ検査への黙ったフォールバックは廃止（別 HOME・別 auth の subagent を
+// 作るため）。native 実行ファイルの強制が要る vendor（grok/composer の実効
+// sandbox 等）は openAgent 側の専用ゲートが明示エラーで担う。
 function isUsableAgentExecutableFile(candidate) {
     if (!isWin)
         return isUsableExecutableFile(candidate);
     if (isWindowsNativeExecutable(candidate))
         return isUsableExecutableFile(candidate);
-    return isUsableWslExecutable(candidate);
+    try {
+        return fs.statSync(candidate).isFile();
+    }
+    catch {
+        return false;
+    }
 }
 function resolveWindowsCodexShim(kind, candidate) {
     if (!isWin || kind !== "codex" || !/\.(?:cmd|bat)$/i.test(candidate))
@@ -4074,14 +4078,26 @@ function resolveWindowsCodexShim(kind, candidate) {
     throw new AitermError(`CODEX_BIN のnpm shimからWindows native codex.exeを解決できません: ${candidate}。` +
         "@openai/codexを再インストールするか、CODEX_BINへcodex.exeを指定してください", 2);
 }
-function agentBinForWslShell(bin) {
-    return isWin && isWindowsDrivePath(bin) ? toWslPath(bin) : bin;
+// pane 内の POSIX shell（Windows は Git Bash 等）へ渡す bin パス。Git Bash は
+// バックスラッシュをエスケープとして解釈しうるため、ドライブパスは forward slash 形へ。
+function agentBinForPaneShell(bin) {
+    return isWin && isWindowsDrivePath(bin) ? bin.replace(/\\/g, "/") : bin;
 }
-function spawnAgentControlCommand(bin, args, cwd, options) {
-    if (!isWin || isWindowsNativeExecutable(bin))
-        return spawnSync(bin, args, options);
-    const wslCwd = isWindowsDrivePath(cwd) ? toWslPath(cwd) : cwd;
-    return spawnSync("wsl.exe", ["--cd", wslCwd, "-e", agentBinForWslShell(bin), ...args], options);
+function spawnAgentControlCommand(bin, args, _cwd, options) {
+    // 受入（isUsableAgentExecutableFile）が「使える」と判定した bin は、control command
+    //（`claude auth status --json`／`grok models`）でも同じく実行できなければならない。
+    if (isWin && !/\.(?:exe|com)$/i.test(bin)) {
+        if (/\.(?:cmd|bat)$/i.test(bin)) {
+            // Node は CVE-2024-27980 対処以降、.cmd/.bat の直接 spawn を EINVAL で拒否する。
+            // 受入が .cmd/.bat を許す以上、control 経路は shell 経由で実行する（args は固定語彙）。
+            return spawnSync(bin, args, { ...options, shell: true });
+        }
+        // 受入は pane shell（Git Bash）が shebang で実行できる script も許す。Windows の
+        // CreateProcess は shebang を解さないため、control command も同じ Git Bash で実行する。
+        // これを直接 spawn すると常に失敗し、「受入が通した bin で起動が必ず失敗する」矛盾になる。
+        return spawnSync(resolveWinPaneShell("bash"), [bin, ...args], options);
+    }
+    return spawnSync(bin, args, options);
 }
 const THROUGHLINE_HANDOFF_CONTEXT_SCHEMA = "throughline.handoff_context.v1";
 const PORTABLE_FORK_MISSION_SEPARATOR = "\n\n---\n\n## Portable fork mission\n\n";
@@ -4163,8 +4179,9 @@ function shq(s) {
 }
 // grok CLI はモデル未指定だと端末側 default に従うため、ツール契約として既定 slug を固定する。
 // codex は既定 slug を持たず端末 config／CLI 既定に委ねる（起動応答で実効値を報告する）。
+// grok 既定は dotagents 規範（docs/02_models.md: xAI 旗艦 = grok-4.6）に従う。
 const GROK_MODEL_DEFAULTS = {
-    grok: "grok-4.5",
+    grok: "grok-4.6",
     composer: "grok-composer-2.5-fast",
 };
 const CLAUDE_EFFORTS = new Set(["low", "medium", "high", "xhigh", "max"]);
@@ -4202,7 +4219,10 @@ function buildAgentCmd(kind, bin, model, effort, prompt, meta = null) {
         if (effort)
             parts.push("--reasoning-effort", shq(effort));
         if ((meta?.kind === "grok" || meta?.kind === "composer") && meta.write_scope === "read-only") {
-            parts.push("--sandbox", "read-only");
+            // read-only は sandbox が実効書込み禁止を作るため、MCP ツール許可ダイアログの自動承認を
+            // 付けても能力は増えない。無人 subagent が初回 MCP 使用の許可待ちで停止する実障害への対処。
+            // read-only 以外の launch には付けない＝権限拡大しない。
+            parts.push("--sandbox", "read-only", "--always-approve");
         }
         if ((meta?.kind === "grok" || meta?.kind === "composer") && meta.hook_route === "shared_grok_home") {
             parts.push("--session-id", shq(meta.vendor_session_id ?? ""), "--rules", shq(subagentInstruction(meta)));
@@ -4219,36 +4239,32 @@ function agentEnvPrefix(meta, sid, envVars = []) {
         const value = process.env[name];
         return value === undefined ? [] : [`${name}=${shq(value)}`];
     });
-    if (!meta)
-        return inherited.length ? inherited.join(" ") + " " : "";
-    const common = [
-        ...inherited,
-        `AITERM_AGENT_KIND=${shq(meta.kind)}`,
-        `AITERM_SESSION_ID=${shq(sid)}`,
-        `AITERM_AGENT_SESSION_ID=${shq(sid)}`,
-        `AITERM_AGENT_LAUNCH_ID=${shq(meta.launch_id)}`,
-        `AITERM_AGENT_ROLE=${shq(meta.agent_role ?? "subagent")}`,
-        `AITERM_AGENT_PARENT_SESSION_ID=${shq(meta.parent_session_id ?? "host-root")}`,
-        `AITERM_AGENT_DEPTH=${shq(String(meta.delegation_depth ?? 1))}`,
-        `AITERM_AGENT_LINEAGE=${shq(meta.lineage ?? `host-root>${meta.kind}:${sid}`)}`,
-        `AITERM_AGENT_DELEGATION_ALLOWED=${shq(meta.delegation_allowed === true ? "true" : "false")}`,
-    ];
-    if (meta.kind === "claude") {
-        return common.join(" ") + " ";
-    }
-    if (meta.kind === "codex") {
-        return common.join(" ") + " ";
-    }
-    // Windows では起動コマンドが WSL 内 bash で走るため、検証済み auth 正本の Windows ドライブパスを
-    // bin/cwd と同じく /mnt/c/... 形へ変換して渡す。変換しないと WSL 側 grok が正本を開けず接続で停止する。
-    const grokAuthForCmd = meta.grok_auth_path && isWin && isWindowsDrivePath(meta.grok_auth_path)
-        ? toWslPath(meta.grok_auth_path)
-        : meta.grok_auth_path;
-    return [
-        ...(grokAuthForCmd ? [`GROK_AUTH_PATH=${shq(grokAuthForCmd)}`] : []),
-        "GROK_DISABLE_AUTOUPDATER=1",
-        ...common,
-    ].join(" ") + " ";
+    const tokens = (() => {
+        if (!meta)
+            return inherited;
+        const common = [
+            ...inherited,
+            `AITERM_AGENT_KIND=${shq(meta.kind)}`,
+            `AITERM_SESSION_ID=${shq(sid)}`,
+            `AITERM_AGENT_SESSION_ID=${shq(sid)}`,
+            `AITERM_AGENT_LAUNCH_ID=${shq(meta.launch_id)}`,
+            `AITERM_AGENT_ROLE=${shq(meta.agent_role ?? "subagent")}`,
+            `AITERM_AGENT_PARENT_SESSION_ID=${shq(meta.parent_session_id ?? "host-root")}`,
+            `AITERM_AGENT_DEPTH=${shq(String(meta.delegation_depth ?? 1))}`,
+            `AITERM_AGENT_LINEAGE=${shq(meta.lineage ?? `host-root>${meta.kind}:${sid}`)}`,
+            `AITERM_AGENT_DELEGATION_ALLOWED=${shq(meta.delegation_allowed === true ? "true" : "false")}`,
+        ];
+        if (meta.kind === "claude" || meta.kind === "codex")
+            return common;
+        // grok/composer: 検証済み auth 正本をそのままの path 形で渡す。Windows では native 強制により
+        // vendor は Windows process なので、Windows ドライブパスが正しい形（WSL 形への変換はしない）。
+        return [
+            ...(meta.grok_auth_path ? [`GROK_AUTH_PATH=${shq(meta.grok_auth_path)}`] : []),
+            "GROK_DISABLE_AUTOUPDATER=1",
+            ...common,
+        ];
+    })();
+    return tokens.length ? tokens.join(" ") + " " : "";
 }
 function agentLabel(kind) {
     return kind === "claude"
@@ -4266,7 +4282,8 @@ function buildAgentLaunchNote(kind, model, effort, meta) {
     const writeScopeNote = meta?.write_scope === undefined
         ? ""
         : (kind === "codex" || kind === "grok" || kind === "composer") && meta.write_scope === "read-only"
-            ? `\n能力宣言: write_scope=${JSON.stringify(meta.write_scope)}。${agentLabel(kind)} CLIへ --sandbox read-only を付与し、書込みを実効禁止。`
+            ? `\n能力宣言: write_scope=${JSON.stringify(meta.write_scope)}。${agentLabel(kind)} CLIへ --sandbox read-only を付与し、書込みを実効禁止。` +
+                (kind === "codex" ? "" : "MCPツール許可は --always-approve で自動承認（sandbox内のため能力拡大なし）。")
             : `\n能力宣言: write_scope=${JSON.stringify(meta.write_scope)}。パス単位のsandbox allowlistに対応するCLI引数がないため宣言の記録のみ（構造的unsupported）。`;
     if (kind === "claude") {
         return `起動設定: model=${model ?? "CLI既定"} effort=${effort ?? "CLI既定"}。${writeScopeNote}`;
@@ -4413,13 +4430,23 @@ export function openAgent(kind, opts = {}) {
     }
     if (kind === "claude")
         assertClaudeAuthenticationReady(bin);
-    // Windows は起動コマンドが WSL 内 bash で走る（tmux ブリッジ）。bin/cwd を /mnt/c/... 形へ変換して
-    // 渡す（ログの toWslPath と対称・A1）。前提: Windows 側に CLI を導入（resolveAgentBin が Windows
-    // パスで解決）。toWslPath は session を作る前に呼ぶ＝変換失敗（非ドライブパス）で残骸 session を残さない。
-    // 未検証リスク: npm グローバル導入の codex.cmd/.bat シムや WSL interop 上の対話 TUI 描画は実 Windows
-    // でしか確認できない（CI 非対象。docs/03_audit-sweep-2026-07.md 参照）。
-    const binForCmd = agentBinForWslShell(bin);
-    const cwdForCmd = cwd && isWin ? toWslPath(cwd) : cwd;
+    // Windows の起動コマンドは native psmux pane の Git Bash で走る（WSL 橋・/mnt/c 変換は
+    // e3f5fc8 で全廃。bin/cwd は Windows パスの forward slash 形のまま渡す）。
+    // 未検証リスク: npm グローバル導入の codex.cmd/.bat シムの対話 TUI 描画は実 Windows でしか確認
+    // できない（CI 非対象。docs/03_audit-sweep-2026-07.md 参照）。native .exe の TUI 描画は
+    // grok.exe で実測済み（2026-08-15）。
+    // Windows の grok/composer は Windows native の grok.exe だけを起動する（オーナー裁定 2026-08-15:
+    // WindowsネイティブはWindowsネイティブで完結させ、WSL2へ持ち込まない）。WSL 側 grok を起動すると
+    // vendor 実体が WSL process になり、auth・session 記録（events/chat_history）が WSL home 側へ分裂して
+    // transcript／completion を回収できない（実被弾: 2026-08-15 olc-plan-review-grok2）。
+    if (isWin && (kind === "grok" || kind === "composer") && !isWindowsNativeExecutable(bin)) {
+        ownTelemetryFailure("AITERM.VENDOR_LAUNCHER_FAILED", new AitermError(`Windows の ${label} launcher は Windows native の grok.exe だけを起動できます（現在の解決先: ${bin}）。` +
+            "Windows 版 Grok CLI を導入するか、GROK_BIN に grok.exe の絶対パスを指定してください。", 2), 2);
+    }
+    const binForCmd = agentBinForPaneShell(bin);
+    // Windows native pane（psmux + Git Bash）は Windows パスをそのまま扱える。
+    // Git Bash の cd はドライブパスを forward slash 形で受けるのが安全。
+    const cwdForCmd = cwd && isWin ? cwd.replace(/\\/g, "/") : cwd;
     const grokAuthPath = agentDone && (kind === "grok" || kind === "composer") ? resolveAndValidateGrokAuth(realGrokHome()) : null;
     if (kind === "grok" || kind === "composer") {
         const requestedModel = model ?? (kind === "composer" ? GROK_MODEL_DEFAULTS.composer : null);

package/dist/grok-stop-hook.js

@@ -19,8 +19,13 @@ function hasAitermEnv() {
         process.env.AITERM_AGENT_LAUNCH_ID);
 }
 function uid() {
+    // Windows(native) は process.getuid を持たない。core の currentUid()・claude-stop-hook と
+    // 同じ受容として 0 を返す（Windows の fs.Stats.uid は常に 0 のため owner 比較は自然に
+    // 通過する。NTFS ACL は別体系）。POSIX は getuid のまま＝挙動不変。
+    // 以前はここで fail していたため、Windows では Grok/Composer の完了 event が
+    // 一度も書かれず aiterm-wait が timeout まで返らなかった。
     if (typeof process.getuid !== "function")
-        fail("POSIX getuid が使えません");
+        return 0;
     return process.getuid();
 }
 function runtimeStateBase() {
@@ -36,17 +41,11 @@ function runtimeStateBase() {
     }
     return os.tmpdir();
 }
-function secureAgentsDir() {
+function agentsDir() {
     const root = path.join(runtimeStateBase(), `aiterm-mcp-${uid()}`);
     const agents = path.join(root, "agents");
-    const rst = fs.lstatSync(root);
-    if (!rst.isDirectory() || rst.isSymbolicLink() || rst.uid !== uid() || (rst.mode & 0o077) !== 0) {
-        fail(`agent state root が安全ではありません: ${root}`);
-    }
-    const ast = fs.lstatSync(agents);
-    if (!ast.isDirectory() || ast.isSymbolicLink() || ast.uid !== uid() || (ast.mode & 0o077) !== 0) {
-        fail(`agent state dir が安全ではありません: ${agents}`);
-    }
+    // per-user runtime dir 前提のため、symlink・owner・link 数・mode の検査は撤去した
+    // （共有 /tmp に敵対的同居主体がいる前提の防御。オーナー裁定 2026-08-19）。
     return agents;
 }
 function str(v) {
@@ -65,16 +64,13 @@ async function readStdin() {
     return Buffer.concat(chunks).toString("utf8");
 }
 function appendEvent(file, event) {
-    const nofollow = fs.constants.O_NOFOLLOW ?? 0;
     const line = JSON.stringify(event) + "\n";
     if (Buffer.byteLength(line, "utf8") > 64 * 1024)
         fail("event line が大きすぎます");
-    const fd = fs.openSync(file, fs.constants.O_CREAT | fs.constants.O_APPEND | fs.constants.O_WRONLY | nofollow, 0o600);
+    const fd = fs.openSync(file, fs.constants.O_CREAT | fs.constants.O_APPEND | fs.constants.O_WRONLY, 0o600);
     try {
         const st = fs.fstatSync(fd);
-        if (!st.isFile() || st.uid !== uid() || st.nlink !== 1 || (st.mode & 0o077) !== 0) {
-            fail(`event file が安全ではありません: ${file}`);
-        }
+        // st は短書き込み時の巻き戻し（ftruncate）に使う。安全性検査としては使わない。
         const written = fs.writeSync(fd, line, undefined, "utf8");
         if (written < Buffer.byteLength(line, "utf8")) {
             fs.ftruncateSync(fd, st.size);
@@ -107,7 +103,7 @@ async function main() {
             payload = {};
         }
     }
-    const agents = secureAgentsDir();
+    const agents = agentsDir();
     const eventFile = path.join(agents, `${session}.${launchId}.events.jsonl`);
     appendEvent(eventFile, {
         type: "agent_done",

package/dist/index.js

@@ -2,8 +2,9 @@
 /**
  * aiterm-mcp — AI が握るローカル永続端末を stdio MCP サーバとして公開する（Node/TS 版）。
  *
- * WSL2/Linux/mac のローカルで動かし、握るのはローカル端末1個。リモートは pty_send "ssh ..." で
- * 中に入る（ネスト）。バックエンドは tmux（実行時の前提）。ロジックは core.ts に集約。
+ * Linux/WSL2/mac/Windows native のローカルで動かし、握るのはローカル端末1個。リモートは
+ * pty_send "ssh ..." で中に入る（ネスト）。バックエンドは tmux（Windows native は tmux CLI
+ * 互換の psmux）。ロジックは core.ts に集約。
  *
  * 重要: stdio MCP は stdout が JSON-RPC 専用。診断は stderr/console.error のみ（console.log 禁止）。
  * 起動: npx -y aiterm-mcp（または mcp 登録のコマンドに同じ）。
@@ -430,7 +431,7 @@ const agentModelDesc = (kind) => kind === "claude"
     : kind === "codex"
         ? "起動モデル（例: gpt-5.6-sol / gpt-5.6-terra / gpt-5.6-luna）。省略時は端末 config／CLI 既定を継承" +
             "（端末側のピンがそのまま効く。実効値は起動応答に明示される）"
-        : `起動モデル。省略時は ${kind === "grok" ? "grok-4.5" : "grok-composer-2.5-fast"}。` +
+        : `起動モデル。省略時は ${kind === "grok" ? "grok-4.6" : "grok-composer-2.5-fast"}。` +
             (kind === "composer"
                 ? "既定／explicit modelを起動前にlive catalogへ照合し、不在ならfallbackせずエラー"
                 : "explicit modelを起動前にlive catalogへ照合し、不在ならfallbackせずエラー");
@@ -560,7 +561,7 @@ registerAgentTool("codex_agent", "codex", "【Codex (OpenAI)】の対話エー
     agentCompletionDesc +
     "model / reasoning_effort を引数で指定可" +
     "（省略時は端末 config／CLI 既定を継承。実効値は起動応答に明示）。");
-registerAgentTool("grok_agent", "grok", "【Grok Build の Grok モデル (既定 grok-4.5)】の対話エージェント TUI を永続端末に起動する。" +
+registerAgentTool("grok_agent", "grok", "【Grok Build の Grok モデル (既定 grok-4.6)】の対話エージェント TUI を永続端末に起動する。" +
     agentEnvironmentDesc +
     "turn は pty_send で送る（自動で非ブロック dispatch になる）。" +
     agentCompletionDesc +

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "aiterm-mcp",
-  "version": "0.25.3",
+  "version": "0.27.0",
   "mcpName": "io.github.kitepon/aiterm-mcp",
   "description": "Persistent tmux terminal MCP for launching and driving Claude, Codex, Grok, or Composer from any MCP client, cross-vendor or same-vendor. Also runs durable PTY sessions for SSH, containers, and REPLs.",
   "keywords": [