aiterm-mcp 0.40.0 → 0.40.1

package/CHANGELOG.md

@@ -7,6 +7,13 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.40.1] - 2026-09-27
+
+### 修正
+
+- Cursorの送信前hookがpromptを拒否した時に、`pty_send`が成功receiptを返していた。Cursorはpromptを捨てて入力欄を空に戻すため、入力欄の残留検査では見分けられず、親は来ない完了を待ち続けた。起動時promptは理由の無い`submitted_unconfirmed`になっていた。拒否の表示（`Hook blocked with message:`）を見分け、起動時promptは`initial_prompt=failed`、`pty_send`はエラーとし、どちらも`USER_HOOK_BLOCKED`とhookの出力を返す。確認時間より後の拒否は、完了待ちが`outcome=error`で返す。`pty_observe`は`blocked`／`user_hook_blocked`を返す。
+- Cursorの送信前hookが3秒の確認時間より長く動くと、拒否されても起動時promptは理由の無い`submitted_unconfirmed`で返っていた。Windowsではhookごとの起動が遅く、数本続くと3秒を超える。hookの実行中の画面（「Working」だけで`ctrl+c to stop`が無い）が続く間は、最長60秒まで結果を待つ。
+
 ## [0.40.0] - 2026-09-27
 
 ### 変更（互換性なし）
@@ -1785,7 +1792,8 @@ prototype (preserved under `prototype/python/` as the porting source and referen
   `ubuntu-latest` for Node 18/20/22, publishing to npm on `v*` tags with
   provenance.
 
-[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.40.0...HEAD
+[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.40.1...HEAD
+[0.40.1]: https://github.com/kitepon/aiterm-mcp/compare/v0.40.0...v0.40.1
 [0.40.0]: https://github.com/kitepon/aiterm-mcp/compare/v0.39.1...v0.40.0
 [0.39.1]: https://github.com/kitepon/aiterm-mcp/compare/v0.39.0...v0.39.1
 [0.39.0]: https://github.com/kitepon/aiterm-mcp/compare/v0.38.2...v0.39.0

package/README.ja.md

@@ -202,7 +202,7 @@ runtime-error store は canonical dotagents config の `collection.enabled: true
 場合だけ収集し、既定OFF、network送信は行いません。tag起点CIのnpm provenance（OIDC Trusted
 Publishing）で公開し、GitHub Release が Official MCP Registry を再登録します。
 
-**状態:** 開発継続中 · 現行公開版 **v0.40.0** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
+**状態:** 開発継続中 · 現行公開版 **v0.40.1** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
 
 ### 更新と巻き戻し
 
@@ -258,6 +258,8 @@ Grok／Composerの無人起動は公式`--trust`で指定された作業フォ
 
 Grok／Composerで終了済みターンのweekly-limitパネルが残っている場合、次の通常`pty_send`が`Shift+X`で一度閉じ、入力受付を確認して今回の本文を送る。同じsessionと会話を保ち、receiptの`pane_input_recovery`に`grok_rate_limit_dialog_dismissed`を記録する。ターン未終了・harness不在は`GROK_RATE_LIMIT_RECOVERY_BLOCKED`、解除後の入力受付失敗は`GROK_RATE_LIMIT_RECOVERY_FAILED`となり、本文は未送信。上限の継続は`rate_limited`として返し、過去promptは再送しない。Grokの上限観測には現在の画面だけを使う。
 
+Cursorの送信前hook（`beforeSubmitPrompt`と、互換読込するClaude Codeの`UserPromptSubmit`）がpromptを拒否すると、Cursorはpromptを捨て、turnも完了も起きない。Aitermはこの拒否の表示を見分け、起動時promptは`initial_prompt=failed`、`pty_send`は成功receiptを返さず、どちらも`USER_HOOK_BLOCKED`とhookの出力を返す。確認時間（3秒）より後の拒否は、完了待ちが`outcome=error`（`aiterm-wait`はexit 7）で返す。
+
 Grok／Composerがread-only sandboxの適用を拒否した場合、prompt送信時に`GROK_SANDBOX_STARTUP_FAILED`とCLIの原因を返す。例えばhookのパスにシンボリックリンクがあるとGrok CLIは起動を拒否する。設定の管理元で原因を修正し、対象sessionを`pty_close`して起動し直す。Aitermはsandboxを解除したりhookをコピーしたりしない。
 
 この判定はGrok専用アダプターが所有し、同じCLIを使うComposerにも適用する。初回prompt付きの`agent_launch`と通常の`pty_send`で、入力受付待ち中に拒否を検出すると未送信のエラーを返す。promptなし・`trust_project`指定なしの起動応答は入力受付を保証しない。`trust_project:true`では入力受付まで確認し、`startup.status`を返す。Grokのprivacy notice起動設定も同アダプターが所有する。実装の責務分担は[DESIGN](docs/DESIGN.md#failure-and-recovery)を参照。

package/README.md

@@ -216,7 +216,7 @@ collection is off by default and performs no network I/O. It ships via
 tag-triggered CI with npm provenance (OIDC Trusted Publishing); the GitHub
 Release re-registers the Official MCP Registry entry.
 
-**Status:** actively maintained · current public release **v0.40.0** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
+**Status:** actively maintained · current public release **v0.40.1** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
 
 ### Update and rollback
 
@@ -279,6 +279,8 @@ Grok／Composerの無人起動は公式`--trust`で指定された作業フォ
 
 Grok／Composerで終了済みターンのweekly-limitパネルが残っている場合、次の通常`pty_send`が`Shift+X`で一度閉じ、入力受付を確認して今回の本文を送る。同じsessionと会話を保ち、receiptの`pane_input_recovery`に`grok_rate_limit_dialog_dismissed`を記録する。ターン未終了・harness不在は`GROK_RATE_LIMIT_RECOVERY_BLOCKED`、解除後の入力受付失敗は`GROK_RATE_LIMIT_RECOVERY_FAILED`となり、本文は未送信。上限の継続は`rate_limited`として返し、過去promptは再送しない。Grokの上限観測には現在の画面だけを使う。
 
+When a Cursor pre-submit hook (`beforeSubmitPrompt`, or a Claude Code `UserPromptSubmit` hook that Cursor loads for compatibility) rejects the prompt, Cursor drops it and no turn or completion follows. Aiterm recognizes the rejection: an initial prompt returns `initial_prompt=failed`, and `pty_send` returns an error instead of a success receipt, both with `USER_HOOK_BLOCKED` and the hook's output. A rejection that comes after the 3-second start check is reported by the completion wait as `outcome=error` (`aiterm-wait` exit 7).
+
 Grok／Composerがread-only sandboxの適用を拒否した場合、prompt送信時に`GROK_SANDBOX_STARTUP_FAILED`とCLIの原因を返す。hookパスのシンボリックリンクなど、CLIが示した原因を設定の管理元で修正し、対象sessionを`pty_close`して起動し直す。Aitermはsandboxを解除したりhookをコピーしたりしない。
 
 この判定はGrok専用アダプターが所有し、同じCLIを使うComposerにも適用する。初回prompt付きの`agent_launch`と通常の`pty_send`で、入力受付待ち中に拒否を検出すると未送信のエラーを返す。promptなし・`trust_project`指定なしの起動応答は入力受付を保証しない。`trust_project:true`では入力受付まで確認し、`startup.status`を返す。Grokのprivacy notice起動設定も同アダプターが所有する。実装の責務分担は[DESIGN](docs/DESIGN.md#failure-and-recovery)を参照。

package/dist/core.js

@@ -21,7 +21,7 @@ import { sleep, currentUid, runtimeStateBase, safeStatSize, readFileRange, write
 import { GROK_MODEL_DEFAULTS, realGrokHome, resolveAndValidateGrokAuth, assertGrokModelAvailable, grokEventsTranscript, latestGrokCompletion, observeGrokDone, buildGrokAgentCmd, grokLaunchNote, grokEnvTokens, grokTuiReady, grokTuiBusy, grokPaneObservation, grokRateLimitDialog, grokStartupAction, grokLaunchBlockingDialog, assertGrokSandboxNotRejected, GROK_COMPOSER_MARKER_RE, grokFooterHasConfiguration, grokTranscriptText, createGrokAgentMetadata, } from "./harnesses/grok.js";
 import { bindCodexTranscriptSession, latestCodexCompletion, observeCodexDone, buildCodexAgentCmd, codexLaunchNote, codexTuiReady, codexPaneObservation, codexRateLimitModelSwitchDialog, codexApprovalDialog, codexStartupAction, CODEX_COMPOSER_MARKER_RE, codexModelChoice, codexEffortChoice, codexMoreReasoningChoice, codexTranscriptText, createCodexAgentMetadata, } from "./harnesses/codex.js";
 import { OPERATION_ID_RE, CLAUDE_RESULT_MAX_BYTES, CLAUDE_EFFORTS, agentManagedClaudeSettingsPath, agentClaudeResultPath, agentClaudeOperationPath, agentClaudeApprovalReceiptPath, agentClaudeDispatchReceiptPath, validateOperationId, readClaudeResultText, assertClaudeAuthenticationReady, buildClaudeAgentCmd, claudeLaunchNote, claudeTuiReady, claudePaneObservation, claudeStartupAction, claudeLoginMethodMenu, CLAUDE_COMPOSER_MARKER_RE, createClaudeAgentMetadata, claudeSessionTranscriptPath, claudeApiErrorFromLine, } from "./harnesses/claude.js";
-import { bindCursorTranscriptSession, cursorTurnBoundary, latestCursorCompletion, observeCursorDone, cursorTranscriptText, assertCursorAuthenticationReady, assertCursorModelAvailable, buildCursorAgentCmd, cursorAgentArgv, cursorPwshLaunchLine, cursorPromptWithLineage, createCursorAgentMetadata, cursorLaunchNote, cursorEffortNavigation, cursorTuiReady, cursorPaneObservation, cursorUsageLimit, CURSOR_SUBMIT_SEQUENCE, CURSOR_COMPOSER_CONTENT_MARKER_RE, validateCursorModelEffort, } from "./harnesses/cursor.js";
+import { bindCursorTranscriptSession, cursorTurnBoundary, latestCursorCompletion, observeCursorDone, cursorTranscriptText, assertCursorAuthenticationReady, assertCursorModelAvailable, buildCursorAgentCmd, cursorAgentArgv, cursorPwshLaunchLine, cursorPromptWithLineage, createCursorAgentMetadata, cursorLaunchNote, cursorEffortNavigation, cursorTuiReady, cursorPaneObservation, cursorPromptHooksRunning, cursorUsageLimit, CURSOR_SUBMIT_SEQUENCE, CURSOR_COMPOSER_CONTENT_MARKER_RE, validateCursorModelEffort, } from "./harnesses/cursor.js";
 import { resolveAgentBin, resolveThroughlineBin, runThroughlineHandoffContext, isWindowsNativeExecutable, agentBinForPaneShell, resolveWinPaneShell } from "./agent-resolver.js";
 export { AitermError } from "./errors.js";
 export { tmuxSpawnEnv } from "./tmux-runtime.js";
@@ -2669,7 +2669,7 @@ export async function observeAgentDone(name, o = {}) {
         return observeCodexDone(meta, timeout, o.cursor, detectAgentRateLimit, o.signal);
     }
     if (meta.kind === "cursor" && meta.completion_route === "cursor_transcript") {
-        return observeCursorDone(meta, timeout, o.cursor, detectAgentRateLimit, o.signal);
+        return observeCursorDone(meta, timeout, o.cursor, detectAgentRateLimit, (session) => captureScreen(session, 0), o.signal);
     }
     if ((meta.kind === "grok" || meta.kind === "composer") && meta.completion_route === "grok_transcript") {
         return observeGrokDone(meta, timeout, o.cursor, detectAgentRateLimit, o.signal);
@@ -3213,8 +3213,10 @@ export async function sendInitialAgentPrompt(name, text, o = {}) {
     }
     let delivery = { status: "submitted_unconfirmed", reason: "start_unconfirmed", turn_started: null };
     const deadline = performance.now() + 3000;
+    const hookDeadline = performance.now() + CURSOR_PROMPT_HOOK_WAIT_MS;
+    let screen = "";
     do {
-        const screen = captureScreen(name, AGENT_TUI_READY_LINES);
+        screen = captureScreen(name, AGENT_TUI_READY_LINES);
         const state = meta.kind === "grok" || meta.kind === "composer" ? grokPaneObservation(screen)
             : meta.kind === "codex" ? codexPaneObservation(screen)
                 : meta.kind === "claude" ? claudePaneObservation(screen) : cursorPaneObservation(screen);
@@ -3226,6 +3228,11 @@ export async function sendInitialAgentPrompt(name, text, o = {}) {
             delivery = { status: "started", reason: "approval_required", turn_started: true };
             break;
         }
+        if (state.state === "blocked" && state.reason === "user_hook_blocked") {
+            setInitialDelivery(meta, { status: "submitted_unconfirmed", reason: "user_hook_blocked", turn_started: false }, startOffset);
+            setInitialPromptState(meta, "failed");
+            throw new AitermError(userHookBlockedMessage(`initial_prompt=failed vendor=${meta.kind} harness=${agentHarness(meta.kind)}`, "起動時prompt", state.detail), 2);
+        }
         const completed = await observeAgentDone(name, { cursor: startOffset, timeout: 0 });
         if (completed.outcome === "done") {
             delivery = { status: "started", reason: "turn_completed", turn_started: true };
@@ -3236,7 +3243,7 @@ export async function sendInitialAgentPrompt(name, text, o = {}) {
             break;
         }
         await sleep(100);
-    } while (performance.now() < deadline);
+    } while (performance.now() < deadline || (meta.kind === "cursor" && performance.now() < hookDeadline && cursorPromptHooksRunning(screen)));
     setInitialDelivery(meta, delivery, startOffset);
     return {
         text: `initial_prompt=pending vendor=${meta.kind} event_cursor=${startOffset} harness=${agentHarness(meta.kind)}\n` +
@@ -3510,6 +3517,32 @@ export function attachImages(text, images) {
     const body = text.trim().length > 0 ? text : "添付画像を確認してください。";
     return `${body}\n\n${lines.join("\n")}\n添付画像は上のファイルを読んで確認する。`;
 }
+function userHookBlockedMessage(head, what, detail) {
+    return `${head}\nUSER_HOOK_BLOCKED: 利用者のhookが${what}を拒否したため、turnは始まっていません。完了通知も来ません。` +
+        `hookを直すか外してから送り直してください。hookの出力: ${detail ?? "(不明)"}`;
+}
+const CURSOR_START_CONFIRM_MS = 3000;
+// 送信前hookが動いている間は、確認時間を過ぎても結果を待つ。Windowsではhookごとの起動が遅く、数本続くと3秒を超える
+// （fox実測 2026-09-27）。上限は利用者のhookに付く最長のtimeout（60秒）に合わせる。
+const CURSOR_PROMPT_HOOK_WAIT_MS = 60_000;
+// Cursorは送信前hookの実行中も「Working」だけを出し、拒否されると入力欄を空に戻す。入力欄の残留検査では
+// 拒否を見分けられず、成功receiptを返すと親は来ない完了を待ち続ける。turnの開始か拒否の表示を確かめる。
+// hookが上限を過ぎてから拒否した時は、完了待ち（observeCursorDone）がoutcome=errorで返す。
+async function assertCursorPromptNotHookBlocked(name) {
+    const deadline = performance.now() + CURSOR_START_CONFIRM_MS;
+    const hookDeadline = performance.now() + CURSOR_PROMPT_HOOK_WAIT_MS;
+    let screen = "";
+    do {
+        screen = captureScreen(name, AGENT_TUI_READY_LINES);
+        const state = cursorPaneObservation(screen);
+        if (state.state === "busy")
+            return;
+        if (state.state === "blocked" && state.reason === "user_hook_blocked") {
+            throw new AitermError(userHookBlockedMessage(`vendor=cursor session=${name}`, "送信した文", state.detail), 2);
+        }
+        await sleep(100);
+    } while (performance.now() < deadline || (performance.now() < hookDeadline && cursorPromptHooksRunning(screen)));
+}
 export async function dispatchAgentTurn(name, text, o = {}) {
     assertSessionName(name);
     const meta = loadAgentMetadata(name);
@@ -3608,6 +3641,8 @@ export async function dispatchAgentTurn(name, text, o = {}) {
     // 陽性観測した場合だけ同じEnterを一度再送し、再検査後も残る時は失敗として返す。
     residue = await retryCursorSubmitIfResidue(name, meta.kind, dispatchText, residue);
     assertAgentSubmitDelivered(name, meta.kind, residue);
+    if (meta.kind === "cursor")
+        await assertCursorPromptNotHookBlocked(name);
     return {
         schema: "aiterm.agent-dispatch.v1",
         session_id: meta.aiterm_session,

package/dist/harnesses/cursor.js

@@ -183,13 +183,13 @@ export function latestCursorCompletion(meta, readTranscriptLines) {
         ? cursorCompletionEvent(meta, harnessSessionId, state.terminalRecord, `cursor:${state.userTurns}`)
         : null;
 }
-export async function observeCursorDone(meta, timeout, requestedCursor, detectRateLimit, signal) {
+export async function observeCursorDone(meta, timeout, requestedCursor, detectRateLimit, readScreen, signal) {
     const metadataFile = agentMetadataPath(meta.aiterm_session, meta.launch_id);
     let transcript = cursorTranscript(meta);
     const startBoundary = requestedCursor ?? (transcript ? cursorTranscriptState(transcript).userTurns : 0);
     let malformedEvents = 0;
     const deadline = performance.now() + timeout * 1000;
-    const observation = (outcome, ev = null, rateLimit = null) => ({
+    const observation = (outcome, ev = null, rateLimit = null, error = null) => ({
         schema: "aiterm.agent-wait-result.v1",
         session_id: meta.aiterm_session,
         launch_id: meta.launch_id,
@@ -202,7 +202,7 @@ export async function observeCursorDone(meta, timeout, requestedCursor, detectRa
         malformed_events: malformedEvents,
         at: ev?.at ?? null,
         rate_limit: rateLimit,
-        error: null,
+        error,
     });
     for (;;) {
         signal?.throwIfAborted();
@@ -222,6 +222,10 @@ export async function observeCursorDone(meta, timeout, requestedCursor, detectRa
         const limited = detectRateLimit(meta.kind, meta.aiterm_session);
         if (limited)
             return observation("rate_limited", null, limited);
+        // 拒否されたpromptのturnは始まらず、完了も来ない。拒否の表示は数秒で消えるので、見えている間に終わらせる。
+        const hookBlocked = cursorHookBlocked(readScreen(meta.aiterm_session));
+        if (hookBlocked)
+            return observation("error", null, null, `USER_HOOK_BLOCKED: ${hookBlocked.message}`);
         if (performance.now() >= deadline)
             return observation(timeout === 0 ? "running" : "timeout");
         await sleep(AGENT_DONE_POLL_MS);
@@ -452,10 +456,44 @@ export function cursorUsageLimit(screen) {
     }
     return { message: [`${heading[1]}.`, ...detail].join(" ") };
 }
+// Cursor Agentはpromptを送る前のhook（beforeSubmitPromptと、互換読込したClaude CodeのUserPromptSubmit）が
+// 拒否すると、promptを捨てて入力欄を空に戻し、その下に「Hook blocked with message:」を数秒だけ出す。turnは始まらず、
+// transcriptにもuser turnは残らない（v2026.09.26、Windows実機採取 2026-09-27）。
+const CURSOR_HOOK_BLOCKED_RE = /^[ \t]*Hook blocked with message:[ \t]*(.*)$/gim;
+const CURSOR_HOOK_BLOCKED_MESSAGE_LIMIT = 600;
+export function cursorHookBlocked(screen) {
+    const clean = screen.replace(/\x1b\[[0-?]*[ -/]*[@-~]/g, "");
+    const hit = [...clean.matchAll(CURSOR_HOOK_BLOCKED_RE)].at(-1);
+    if (!hit)
+        return null;
+    const after = clean.slice(hit.index + hit[0].length);
+    // 拒否の後に新しいturnが動いている画面は、古い表示の名残として数えない。
+    if (/ctrl\+c to stop/i.test(after) || CURSOR_FOLLOWUP_MARKER_RE.test(after))
+        return null;
+    const lines = [hit[1].trim()];
+    for (const line of after.split("\n").slice(1)) {
+        if (!line.trim())
+            break;
+        lines.push(line.trim());
+    }
+    // hookを動かしたNode自身の警告は拒否の理由ではない。
+    const message = lines.filter(line => line && !/ExperimentalWarning|--trace-warnings|^any time$/.test(line)).join(" ");
+    return { message: (message || "(hookは理由を出していません)").slice(0, CURSOR_HOOK_BLOCKED_MESSAGE_LIMIT) };
+}
+// 送信前hookの実行中、Cursorは入力欄の上に「Working」の回転表示だけを出し、入力欄はまだ「Plan, search, build anything」の
+// ままで「ctrl+c to stop」も無い（v2026.09.26、Windows実機採取 2026-09-27）。turnはまだ始まっておらず、hookが拒否すればここで終わる。
+const CURSOR_SPINNER_WORKING_RE = /^[ \t]*[⠀-⣿]+[ \t]+Working\b/m;
+export function cursorPromptHooksRunning(screen) {
+    const tail = screen.replace(/\x1b\[[0-?]*[ -/]*[@-~]/g, "").split("\n").slice(-32).join("\n");
+    return CURSOR_SPINNER_WORKING_RE.test(tail) && CURSOR_START_PROMPT_MARKER_RE.test(tail) && !/ctrl\+c to stop/i.test(tail);
+}
 export function cursorPaneObservation(screen) {
     const tail = screen.split("\n").slice(-32).join("\n");
     if (cursorUsageLimit(tail))
         return { state: "blocked", reason: "rate_limited" };
+    const hookBlocked = cursorHookBlocked(tail);
+    if (hookBlocked)
+        return { state: "blocked", reason: "user_hook_blocked", detail: hookBlocked.message };
     if (/ctrl\+c to stop/i.test(tail))
         return { state: "busy", reason: "turn_running" };
     if (cursorTuiReady(tail))

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "aiterm-mcp",
-  "version": "0.40.0",
+  "version": "0.40.1",
   "mcpName": "io.github.kitepon/aiterm-mcp",
   "description": "Persistent terminal MCP with one harness-based launcher for Claude Code, Codex CLI, Grok CLI, and Cursor Agent CLI, plus durable PTYs for SSH, containers, and REPLs.",
   "keywords": [