aiterm-mcp 0.51.2 → 0.52.0

package/CHANGELOG.md

@@ -7,6 +7,34 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.52.0] - 2026-10-04
+
+### 修正
+
+- 席の中で起動した試験が`AITERM_STATE_BASE`を本番から引き継ぎ、`killAll`で他のsocketのagent登録まで
+  削除していた（ADR 0087）。BellTeamで複数席の送信が通常PTYの`mode=sent`となり、完了待ちと回答の表示が
+  失敗した。`killAll`は現在のsocketのsessionと控えに属する登録だけを消し、他のsocketの待機lockも保持する。
+  試験入口は本番の保存場所・系譜・tmux環境を外して一時領域を指定する。既に失った登録は対象sessionを
+  閉じて同じIDで起動し直して復旧する。登録の形式と公開toolの返却形式は変えていない。
+- `pty_send`に`require_agent:true`を追加した。agent登録が無いsessionには打鍵せず、
+  `AGENT_SESSION_REQUIRED`と「文字列は送信していません」を返す。連携元は、登録消失後の二重送信を避けて復旧できる。
+  省略時は従来の通常PTY送信を維持する。`force:true`との併用は未送信で拒否する。
+
+## [0.51.3] - 2026-10-04
+
+### 修正
+
+- 完了待ちが、子の答えを待つ間ずっと、100msごとに`tmux capture-pane`を起動していた（ADR 0085）。利用上限の知らせを、完了の見回りの
+  たびに画面から確かめていたため。待ち1本で8秒に76回、4本重なった時はBellTeamのコンテナのCPUが148%だった。画面を読むのは、
+  Claude・Grokが2秒に1回、Cursorが1秒に1回（1回の画面で利用上限とhook拒否の両方を見る）にした。直した版は、待ち1本・8秒で
+  Claude Codeの子が4回、Cursorの子が8回。完了の見回り（100ms）は変えていない。子が利用上限で止まった時に`rate_limited`を返すのが、
+  最長で2秒（Cursorは1秒）遅れる。
+- 親配送の回収で、pidは居ると出るがOSのprocess表に無い持ち主を、終了として閉じる（ADR 0086）。Windowsでは、終了したprocessの
+  pidが、誰かがhandleを握っている間は空かずに残る。0.51.2はこの持ち主を閉じず、この版より前のMCP processが5秒おきに照会し続けていた
+  （実物で、3つのMCP processが各々1分に22〜24回）。process表にはあるが開始時刻を読めない持ち主だけ、今までどおり60秒に1回問い合わせる。
+  pidが無い持ち主も、この版より前のMCP processが生きていて保存場所を消せない間は、`closed`を書いておく。
+  `owner.json`の`closed_reason`に`process_gone`が増える。0.51.2へ戻しても、そのまま動く。
+
 ## [0.51.2] - 2026-10-04
 
 ### 修正
@@ -2075,7 +2103,9 @@ prototype (preserved under `prototype/python/` as the porting source and referen
   `ubuntu-latest` for Node 18/20/22, publishing to npm on `v*` tags with
   provenance.
 
-[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.51.2...HEAD
+[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.52.0...HEAD
+[0.52.0]: https://github.com/kitepon/aiterm-mcp/compare/v0.51.3...v0.52.0
+[0.51.3]: https://github.com/kitepon/aiterm-mcp/compare/v0.51.2...v0.51.3
 [0.51.2]: https://github.com/kitepon/aiterm-mcp/compare/v0.51.1...v0.51.2
 [0.51.1]: https://github.com/kitepon/aiterm-mcp/compare/v0.51.0...v0.51.1
 [0.51.0]: https://github.com/kitepon/aiterm-mcp/compare/v0.50.0...v0.51.0

package/README.ja.md

@@ -209,7 +209,7 @@ runtime-error store は canonical dotagents config の `collection.enabled: true
 場合だけ収集し、既定OFF、network送信は行いません。tag起点CIのnpm provenance（OIDC Trusted
 Publishing）で公開し、GitHub Release が Official MCP Registry を再登録します。
 
-**状態:** 開発継続中 · 現行公開版 **v0.51.2** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
+**状態:** 開発継続中 · 現行公開版 **v0.52.0** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
 
 ### 更新と巻き戻し
 
@@ -259,6 +259,8 @@ pty_read(id, { wait: true })       → 削減済みの出力を読む（完了
 
 ClaudeがAPIエラーや安全判定の拒否で終了した時は、Stop hookが発火しなくても次の`pty_send`を新しいturnとして扱う。現在のturn開始後のエラー記録だけを確認し、過去のエラーで実行中のturnを解除しない。上流の拒否はエラーのまま返す。
 
+agent配送だけを期待する連携では、`pty_send`に`require_agent:true`を指定する。agent登録が無ければ、打鍵前に`AGENT_SESSION_REQUIRED`と「文字列は送信していません」を返す。省略時は通常PTY送信を維持する。`force:true`との併用は未送信で拒否する。
+
 `agent_launch`・`pty_send`（agent session宛て）は任意の`image`（画像ファイルの絶対パスの配列。png/jpg/jpeg/gif/webp）を受ける。aitermが本文末尾へ添付行を付け、どのharnessも自分のfile読取toolでそのpathを画像として開く。呼出し側はharness別の添付手順を覚えない。不正なpathは送信前に拒否する。
 
 `agent_launch`は任意の`write_scope`も受ける。Codex／Grokのread-onlyは`--sandbox read-only`、Cursorは公式`--mode ask`で実効化する。path説明は同等CLI引数がないためdeclaration-only。
@@ -550,7 +552,7 @@ Claudeの相関済み承認は既存の`claude_approval`を使う。
 | ツール | 役割 | 主な引数 |
 | --- | --- | --- |
 | `pty_open` | 端末を1個開き`session_id`を返す | `name?`, `shell?`, `env_vars?` |
-| `pty_send` | テキストを送る。agent sessionでは子のturnが実行中なら現在のturnへ差し込み（`agent_steer`）、それ以外は非ブロックdispatchとして`event_cursor`を返す（`agent_dispatch`）。差し込みでGrokが待ち行列へ入れない時とCursorの入力欄に残った時は失敗する | `session_id`, `text`, `enter=true`, `mark`, `force`, `rtk`, `raw` |
+| `pty_send` | テキストを送る。agent sessionでは子のturnが実行中なら現在のturnへ差し込み（`agent_steer`）、それ以外は非ブロックdispatchとして`event_cursor`を返す（`agent_dispatch`）。差し込みでGrokが待ち行列へ入れない時とCursorの入力欄に残った時は失敗する | `session_id`, `text`, `enter=true`, `mark`, `force`, `require_agent=false`, `rtk`, `raw` |
 | `pty_read` | 出力を削減して読む（既定は増分） | `session_id`, `wait`, `until`, `until_regex`, `timeout`, `screen`, `full`, `lines`, `line_range`, `raw`, `rtk`, `agent_transcript`, `operation_id` |
 | `pty_key` | 制御キーを送る | `session_id`, `key`（`C-c`/`Enter`/`Up`…） |
 | `pty_close` | 冪等に閉じ、`closed` / `already_closed`を返す | `session_id` |

package/README.md

@@ -223,7 +223,7 @@ collection is off by default and performs no network I/O. It ships via
 tag-triggered CI with npm provenance (OIDC Trusted Publishing); the GitHub
 Release re-registers the Official MCP Registry entry.
 
-**Status:** actively maintained · current public release **v0.51.2** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
+**Status:** actively maintained · current public release **v0.52.0** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
 
 ### Update and rollback
 
@@ -280,6 +280,8 @@ The same primitive hosts another agent's TUI. `agent_launch` starts a selected e
 
 起動結果には正規`harness`を含む`aiterm.agent-launch-result.v1`が付き、旧`provider`は互換fieldとして残る。同じ`harness`はagent dispatch、`aiterm-wait`、`agent_configure`、`pty_list`にも載る。Codexは通常rollout、Grokは通常session event、Claudeはlaunch固有Stop hook、Cursorは通常agent transcriptの`turn_ended`を完了正本に使う。agentへの送信は`pty_send`だけで行い、Aitermが送る時点で子の状態を見て振り分ける。Claudeは画面の実行中表示ではなくStopまで残るturnの印で判定する。実行中のturnへは差し込み（`mode=agent_steer`、新しい`event_cursor`と配送は作らない）、それ以外は非ブロックdispatch（`mode=agent_dispatch`）で、harnessごとの完了境界を表す整数`event_cursor`を返す。Codex親は選択に応じて公式Steerまたはqueue、Claude Code親は公式非同期hookで本文を自動受信する。他の親は[`aiterm-wait`](#completion-push-for-parent-agents-aiterm-wait)を使う。CursorのsubmitはadapterがCLIのextended keyboard protocolへ変換し、送信本文がcomposerへ残る場合は明示errorにする。
 
+Set `require_agent:true` on `pty_send` when the integration requires agent delivery. If the agent registration is missing, Aiterm refuses before sending any text and returns `AGENT_SESSION_REQUIRED` with an explicit unsent message. The default preserves ordinary PTY sends; combining it with `force:true` is rejected before sending.
+
 `agent_launch` and `pty_send` (to an agent session) accept an optional `image`: an array of absolute paths to image files (png/jpg/jpeg/gif/webp). Aiterm appends an attachment block to the prompt, and every harness opens the path with its own file-reading tool and sees the image; the caller never learns harness-specific attachment tricks. Invalid paths are rejected before anything is sent.
 
 `agent_launch` accepts an optional `write_scope`: either `"read-only"` or a human-readable description of writable paths. Codex/Grok use `--sandbox read-only`; Cursor uses its official read-only `--mode ask`. A path description remains declaration-only because these CLI launch surfaces provide no equivalent path allowlist flag.
@@ -587,7 +589,7 @@ continue to use `claude_approval`.
 | Tool | Role | Key args |
 | --- | --- | --- |
 | `pty_open` | Open one terminal and return a `session_id` | `name?`, `shell?`, `env_vars?` |
-| `pty_send` | Send text. On an agent session Aiterm picks the route when it sends: if the child's turn is running, it steers the text into that turn (`agent_steer`); otherwise it is a non-blocking **dispatch** returning an `event_cursor` (`agent_dispatch`). Steering fails when Grok does not queue the text or Cursor leaves it in the composer | `session_id`, `text`, `enter=true`, `mark`, `force`, `rtk`, `raw` |
+| `pty_send` | Send text. On an agent session Aiterm picks the route when it sends: if the child's turn is running, it steers the text into that turn (`agent_steer`); otherwise it is a non-blocking **dispatch** returning an `event_cursor` (`agent_dispatch`). Steering fails when Grok does not queue the text or Cursor leaves it in the composer | `session_id`, `text`, `enter=true`, `mark`, `force`, `require_agent=false`, `rtk`, `raw` |
 | `pty_read` | Read output, token-reduced (incremental by default) | `session_id`, `wait`, `until`, `until_regex`, `timeout`, `screen`, `full`, `lines`, `line_range`, `raw`, `rtk`, `agent_transcript`, `operation_id` |
 | `pty_key` | Send a control key | `session_id`, `key` (`C-c`/`Enter`/`Up`…) |
 | `pty_close` | Close idempotently; return `closed` / `already_closed` | `session_id` |

package/dist/agent-shared.js

@@ -85,6 +85,22 @@ export function shq(s) {
 }
 export const LAUNCH_ID_RE = /^[0-9a-f]{32}$/;
 export const AGENT_DONE_POLL_MS = 100;
+// 完了待ちの中で画面を読む間隔。画面を読むたびにtmux（capture-pane）を1回起動するので、完了の見回りとは別に持つ。
+// 画面でしか分からないのは利用上限の知らせとCursorのhook拒否の表示で、どちらも数秒は画面に残る。
+export const AGENT_RATE_LIMIT_POLL_MS = 2_000;
+// Cursorのhook拒否の表示は数秒で消える。見えている間に1回は読む。
+export const CURSOR_SCREEN_POLL_MS = 1_000;
+/** 最初の呼び出しと、前にtrueを返してから間隔が空いた呼び出しだけtrueを返す。 */
+export function pollGate(intervalMs, now = () => performance.now()) {
+    let last = -Infinity;
+    return () => {
+        const at = now();
+        if (at - last < intervalMs)
+            return false;
+        last = at;
+        return true;
+    };
+}
 export const AGENT_EVENT_MAX_BYTES = 1024 * 1024;
 export const AGENT_EVENT_TAIL_BYTES = 64 * 1024;
 export const CODEX_TRANSCRIPT_INCREMENT_MAX_BYTES = 16 * 1024 * 1024;

package/dist/core.js

@@ -19,7 +19,7 @@ import { unfinishedDeliveriesOwnedBy } from "./parent-delivery-owners.js";
 import { readRuntimeProcesses, processSubtree, parentProcess, processIdentity, backgroundProcesses, lazyRelayProcess, aitermProcessProbe, windowsConsoleHost } from "./process-runtime.js";
 import { AitermError, telemetryOwnedFailure, ownTelemetryFailure } from "./errors.js";
 import { isWin, SOCKDIR, tmuxCommand, sendPsmuxPayload, loadPtyBufferChunk, pasteBufferBaseArgs, tmuxNewSession, registeredSessionEnvironment, attachCommand, normalizePaneCommand, atomicShellMultiline, appendMarkSentinel, markShellCommand, settlePaneLog, paneCwdArgument, sessionEnvironmentLaunch, } from "./tmux-runtime.js";
-import { sleep, currentUid, runtimeStateBase, safeStatSize, readFileRange, writeJson0600, createEmpty0600, shq, LAUNCH_ID_RE, AGENT_DONE_POLL_MS, AGENT_EVENT_MAX_BYTES, assertSessionName, agentsDir, agentEventPath, agentMetadataPath, writeAgentMetadata, AGENT_EVENT_TAIL_BYTES, agentLabel, agentHarness, subagentInstruction, agentLineageFields, } from "./agent-shared.js";
+import { sleep, currentUid, runtimeStateBase, safeStatSize, readFileRange, writeJson0600, createEmpty0600, shq, LAUNCH_ID_RE, AGENT_DONE_POLL_MS, AGENT_RATE_LIMIT_POLL_MS, pollGate, AGENT_EVENT_MAX_BYTES, assertSessionName, agentsDir, agentEventPath, agentMetadataPath, writeAgentMetadata, AGENT_EVENT_TAIL_BYTES, agentLabel, agentHarness, subagentInstruction, agentLineageFields, } from "./agent-shared.js";
 import { catalogUnavailable } from "./model-catalog.js";
 import { grokAuthPlan, grokAuthStatus, grokAuthPane, realGrokHome, resolveAndValidateGrokAuth, assertGrokModelAvailable, grokModelChoices, grokEventsTranscript, latestGrokCompletion, observeGrokDone, buildGrokAgentCmd, grokLaunchNote, grokEnvTokens, grokTuiReady, grokTuiBusy, grokPaneObservation, grokRateLimitDialog, grokStartupAction, grokLaunchBlockingDialog, assertGrokSandboxNotRejected, GROK_COMPOSER_MARKER_RE, grokFooterHasConfiguration, grokTranscriptText, createGrokAgentMetadata, } from "./harnesses/grok.js";
 import { codexAuthPlan, codexAuthStatus, codexAuthPane, bindCodexTranscriptSession, latestCodexCompletion, observeCodexDone, buildCodexAgentCmd, codexLaunchNote, codexTuiReady, codexPaneObservation, codexHelperProcess, codexRateLimitModelSwitchDialog, codexApprovalDialog, codexStartupAction, CODEX_COMPOSER_MARKER_RE, codexModelChoice, codexEffortChoice, codexMoreReasoningChoice, codexTranscriptText, createCodexAgentMetadata, codexModelChoices, } from "./harnesses/codex.js";
@@ -1370,9 +1370,33 @@ export function closeSessionResult(name) {
     };
 }
 export function killAll() {
+    // agentsはAITERM_STATE_BASEを共有する別socketの席も含み得る。終了対象はこのsocketから確定する。
+    const sessions = new Set();
+    const listed = tmux("list-sessions", "-F", "#{session_name}");
+    if (listed.code !== 0 && !/no server running|No such file or directory|failed to connect/i.test(listed.stderr)) {
+        throw new AitermError("killAllの対象sessionを取得できません: " + listed.stderr.trim(), 2);
+    }
+    if (listed.code === 0)
+        for (const name of listed.stdout.trim().split(/\r?\n/).filter(Boolean)) {
+            assertSessionName(name);
+            sessions.add(name);
+        }
+    // serverが外から終了した時の控えも、このsocketの中に残る名前だけ片付ける。
+    let socketFiles = [];
+    try {
+        socketFiles = fs.readdirSync(SOCKDIR);
+    }
+    catch {
+        /* socketの置き場が無い */
+    }
+    for (const file of socketFiles) {
+        const name = file.replace(/\.(?:log|offset|lastcmd|mark|send\.lock)$/, "");
+        if (name !== file && /^[A-Za-z0-9_-]{1,64}$/.test(name))
+            sessions.add(name);
+    }
     {
         // 別プロセスの待機（file lock が生きているもの）も巻き添えにしない
-        const foreign = liveWaitLocks(null);
+        const foreign = liveWaitLocks(null).filter((lock) => sessions.has(lock.session));
         if (foreign.length > 0) {
             const list = foreign.map((d) => `${d.session}${d.pid != null ? `(pid ${d.pid})` : ""}`).join(",");
             throw new AitermError(`agent_done 待機中の session があるため killAll できません: ${list}`, 2);
@@ -1385,7 +1409,10 @@ export function killAll() {
             throw new AitermError(`送信中の session があるため killAll できません: ${list}`, 2);
         }
     }
-    tmux("kill-server");
+    const killed = tmux("kill-server");
+    if (killed.code !== 0 && !/no server running|No such file or directory|failed to connect/i.test(killed.stderr)) {
+        throw new AitermError("このsocketのserverを終了できません: " + killed.stderr.trim(), 2);
+    }
     // B9: SOCKDIR 内の .log/.offset/.lastcmd/.mark/.send.lock 残骸も掃除する。
     try {
         for (const f of fs.readdirSync(SOCKDIR)) {
@@ -1402,37 +1429,8 @@ export function killAll() {
     catch {
         /* SOCKDIR 不在等は無視 */
     }
-    const adir = existingAgentsDir();
-    if (adir) {
-        try {
-            for (const f of fs.readdirSync(adir)) {
-                if (f.endsWith(".agent.json") ||
-                    f.endsWith(".events.jsonl") ||
-                    f.endsWith(".wait.lock") ||
-                    f.endsWith(".claude-settings.json") ||
-                    f.endsWith(".claude-mcp.json") ||
-                    f.endsWith(".claude-result.json") ||
-                    f.endsWith(".claude-operation.json") ||
-                    f.endsWith(".claude-dispatch") ||
-                    f.endsWith(".interim.json") ||
-                    f.endsWith(".auth.json") ||
-                    f.endsWith(".codex-home") ||
-                    f.endsWith(".grok-home") ||
-                    f.endsWith(".home")) {
-                    try {
-                        fs.rmSync(path.join(adir, f), { recursive: true, force: true });
-                    }
-                    catch {
-                        /* noop */
-                    }
-                }
-            }
-        }
-        catch {
-            /* agent state dir 不在等は無視 */
-        }
-    }
-    agentMetadataNegativeCache.clear();
+    for (const name of sessions)
+        cleanupAgentState(name);
     return "killed all sessions on this socket";
 }
 function readAgentLineageSeed() {
@@ -2762,7 +2760,7 @@ export async function observeAgentDone(name, o = {}) {
         return observeCodexDone(meta, timeout, o.cursor, o.signal);
     }
     if (meta.kind === "cursor" && meta.completion_route === "cursor_transcript") {
-        return observeCursorDone(meta, timeout, o.cursor, detectAgentRateLimit, (session) => captureScreen(session, 0), o.signal);
+        return observeCursorDone(meta, timeout, o.cursor, (session) => captureScreen(session, 0), o.signal);
     }
     if (meta.kind === "grok" && meta.completion_route === "grok_transcript") {
         return observeGrokDone(meta, timeout, o.cursor, detectAgentRateLimit, o.signal);
@@ -2780,6 +2778,9 @@ export async function observeAgentDone(name, o = {}) {
     const transcriptFile = claudeSessionTranscriptPath(meta);
     let transcriptCursor = transcriptFile ? safeStatSize(transcriptFile) : 0;
     let transcriptCarry = "";
+    // 利用上限の知らせは画面でしか分からない。画面を読むとtmuxを起動するので、完了の見回りより間隔を空ける。
+    // 実被弾: 完了の見回り（100ms）のたびに読んでいて、待ち1本が1秒に約10回tmuxを起動していた（4本でコンテナのCPUが148%）。
+    const rateLimitDue = pollGate(AGENT_RATE_LIMIT_POLL_MS);
     const observation = (outcome, ev = null, rateLimit = null, apiError = null) => ({
         schema: "aiterm.agent-wait-result.v1",
         session_id: meta.aiterm_session,
@@ -2840,7 +2841,8 @@ export async function observeAgentDone(name, o = {}) {
         }
         // timeout=0 は「待たずに一度だけ見る」照会＝未完了は失敗ではなく running。
         // 1秒以上を指定した待機の未完了は従来どおり timeout で、待ち方の意味は変えない。
-        {
+        // 最初の周回では必ず見る（timeout=0の照会も1回は見る）。
+        if (rateLimitDue()) {
             const limited = detectAgentRateLimit(meta.kind, meta.aiterm_session);
             if (limited)
                 return observation("rate_limited", null, limited);

package/dist/harnesses/cursor.js

@@ -8,7 +8,7 @@ import { randomBytes } from "node:crypto";
 import { AitermError } from "../errors.js";
 import { spawnAgentControlCommand } from "../agent-resolver.js";
 import { checkedCatalog } from "../model-catalog.js";
-import { AGENT_DONE_POLL_MS, AGENT_EVENT_MAX_BYTES, agentEventPath, agentHarness, agentLineageFields, agentMetadataPath, createEmpty0600, readFileRange, safeStatSize, shq, sleep, subagentInstruction, writeAgentMetadata, writeScopeLaunchNote, } from "../agent-shared.js";
+import { AGENT_DONE_POLL_MS, CURSOR_SCREEN_POLL_MS, pollGate, AGENT_EVENT_MAX_BYTES, agentEventPath, agentHarness, agentLineageFields, agentMetadataPath, createEmpty0600, readFileRange, safeStatSize, shq, sleep, subagentInstruction, writeAgentMetadata, writeScopeLaunchNote, } from "../agent-shared.js";
 const CURSOR_TRANSCRIPT_MATCH_MAX_BYTES = 1024 * 1024;
 const UUID_RE = /^[0-9a-f]{8}-[0-9a-f]{4}-[1-8][0-9a-f]{3}-[89ab][0-9a-f]{3}-[0-9a-f]{12}$/i;
 // Cursor Agentはextended keyboard protocolを有効にするため、通常のtmux Enterではなく
@@ -185,12 +185,14 @@ export function latestCursorCompletion(meta, readTranscriptLines) {
         ? cursorCompletionEvent(meta, harnessSessionId, state.terminalRecord, `cursor:${state.userTurns}`)
         : null;
 }
-export async function observeCursorDone(meta, timeout, requestedCursor, detectRateLimit, readScreen, signal) {
+export async function observeCursorDone(meta, timeout, requestedCursor, readScreen, signal) {
     const metadataFile = agentMetadataPath(meta.aiterm_session, meta.launch_id);
     let transcript = cursorTranscript(meta);
     const startBoundary = requestedCursor ?? (transcript ? cursorTranscriptState(transcript).userTurns : 0);
     let malformedEvents = 0;
     const deadline = performance.now() + timeout * 1000;
+    // 画面を読むたびにtmuxを1回起動する。完了の見回りより間隔を空け、1回読んだ画面で利用上限とhook拒否の両方を見る。
+    const screenDue = pollGate(CURSOR_SCREEN_POLL_MS);
     const observation = (outcome, ev = null, rateLimit = null, error = null) => ({
         schema: "aiterm.agent-wait-result.v1",
         session_id: meta.aiterm_session,
@@ -221,13 +223,17 @@ export async function observeCursorDone(meta, timeout, requestedCursor, detectRa
                     return observation("done", done);
             }
         }
-        const limited = detectRateLimit(meta.kind, meta.aiterm_session);
-        if (limited)
-            return observation("rate_limited", null, limited);
-        // 拒否されたpromptのturnは始まらず、完了も来ない。拒否の表示は数秒で消えるので、見えている間に終わらせる。
-        const hookBlocked = cursorHookBlocked(readScreen(meta.aiterm_session));
-        if (hookBlocked)
-            return observation("error", null, null, `USER_HOOK_BLOCKED: ${hookBlocked.message}`);
+        // 最初の周回では必ず読む（timeout=0の照会も1回は読む）。
+        if (screenDue()) {
+            const screen = readScreen(meta.aiterm_session);
+            const limited = cursorUsageLimit(screen)?.message ?? null;
+            if (limited)
+                return observation("rate_limited", null, limited);
+            // 拒否されたpromptのturnは始まらず、完了も来ない。拒否の表示は数秒で消えるので、見えている間に終わらせる。
+            const hookBlocked = cursorHookBlocked(screen);
+            if (hookBlocked)
+                return observation("error", null, null, `USER_HOOK_BLOCKED: ${hookBlocked.message}`);
+        }
         if (performance.now() >= deadline)
             return observation(timeout === 0 ? "running" : "timeout");
         await sleep(AGENT_DONE_POLL_MS);

package/dist/harnesses/grok.js

@@ -10,7 +10,7 @@ import { randomBytes, randomUUID } from "node:crypto";
 import { AitermError } from "../errors.js";
 import { runAgentProtocolCommand, spawnAgentControlCommand } from "../agent-resolver.js";
 import { catalogInvalid, catalogUnavailable, checkedCatalog, findJsonLine, processSummary } from "../model-catalog.js";
-import { shq, subagentInstruction, writeScopeLaunchNote, safeStatSize, readFileRange, sleep, agentMetadataPath, writeAgentMetadata, agentEventPath, createEmpty0600, agentLineageFields, AGENT_DONE_POLL_MS, AGENT_EVENT_MAX_BYTES, GROK_TRANSCRIPT_INCREMENT_MAX_BYTES, agentHarness, } from "../agent-shared.js";
+import { shq, subagentInstruction, writeScopeLaunchNote, safeStatSize, readFileRange, sleep, agentMetadataPath, writeAgentMetadata, agentEventPath, createEmpty0600, agentLineageFields, AGENT_DONE_POLL_MS, AGENT_RATE_LIMIT_POLL_MS, pollGate, AGENT_EVENT_MAX_BYTES, GROK_TRANSCRIPT_INCREMENT_MAX_BYTES, agentHarness, } from "../agent-shared.js";
 const GROK_MODELS_MAX_BYTES = 1024 * 1024;
 const GROK_MODELS_TIMEOUT_MS = 15_000;
 // grok CLI はモデル未指定だと端末側 default に従うため、ツール契約として既定 slug を固定する。
@@ -229,6 +229,7 @@ export async function observeGrokDone(meta, timeout, requestedCursor, detectRate
     let discardLeadingFragment = false;
     let initializedBoundary = false;
     const deadline = performance.now() + timeout * 1000;
+    const rateLimitDue = pollGate(AGENT_RATE_LIMIT_POLL_MS);
     const observation = (outcome, ev = null, rateLimit = null) => ({
         schema: "aiterm.agent-wait-result.v1",
         session_id: meta.aiterm_session,
@@ -293,7 +294,8 @@ export async function observeGrokDone(meta, timeout, requestedCursor, detectRate
                 }
             }
         }
-        {
+        // 質問カードの確認は画面を読む（tmuxを起動する）。完了の見回りより間隔を空け、最初の周回では必ず見る。
+        if (rateLimitDue()) {
             const limited = detectRateLimit(meta.kind, meta.aiterm_session);
             if (limited)
                 return observation("rate_limited", null, limited);

package/dist/index.js

@@ -273,6 +273,7 @@ registerRemoteAwareTool("pty_send", {
         "receipt の event_cursor を返す。" +
         NON_BLOCKING_RULE +
         "自動配送以外の結果回収は pty_read(agent_transcript:true)、Claude の durable turn は claude_turn を使う。" +
+        "require_agent:true はagent登録が無いsessionへ打鍵せず、AGENT_SESSION_REQUIREDで未送信を返す。" +
         "force:true は非Claude agent sessionへの手動介入用の素送信。aiterm相関付きClaudeの承認UIはclaude_approvalを使う。",
     inputSchema: {
         session_id: z.string(),
@@ -291,6 +292,7 @@ registerRemoteAwareTool("pty_send", {
             .boolean()
             .default(false)
             .describe("非Claude agent sessionでは自動dispatchせず素送信する。aiterm相関付きClaudeのactive turnには使えない"),
+        require_agent: z.boolean().default(false).describe("agent登録が無いsessionは打鍵前に拒否する。force:trueとは併用できない"),
         rtk: z.boolean().default(false).describe("既知コマンドを rtk 形へ委譲して送る（rtk 不在なら素通し）"),
         raw: z.boolean().default(false).describe("送信前サニタイズを無効化"),
         image: z
@@ -315,10 +317,17 @@ registerRemoteAwareTool("pty_send", {
         // dispatch前に行った pane 入力の回復（"fg" / "fg_stopped" / "stty_raw"）。通常送信では省略（additive）。
         pane_input_recovery: z.array(z.string()).optional(),
     },
-}, async ({ session_id, text, enter, mark, force, rtk, raw, image }, extra) => {
+}, async ({ session_id, text, enter, mark, force, require_agent, rtk, raw, image }, extra) => {
     let delivery = null;
     try {
-        if (!force && core.isAgentSession(session_id)) {
+        if (require_agent && force) {
+            throw new Error("require_agent:true は force:true と併用できません。文字列は送信していません。");
+        }
+        const agentSession = !force && core.isAgentSession(session_id);
+        if (require_agent && !agentSession) {
+            throw new Error(`AGENT_SESSION_REQUIRED: session '${session_id}' のagent登録がありません。文字列は送信していません。`);
+        }
+        if (agentSession) {
             if (enter === false)
                 throw new Error("agent session への dispatch は enter:false と併用できません（手動介入は force:true）");
             if (mark)

package/dist/parent-delivery.js

@@ -149,7 +149,7 @@ export class ParentDeliveryManager {
         this.results = path.join(this.root, "results");
         this.claims = path.join(options.root ?? path.join(stateRoot, prefix + "parent-deliveries"), "claims");
         const ownProcess = this.deps.processes([process.pid]).find((entry) => entry.pid === process.pid);
-        if (!ownProcess)
+        if (!ownProcess || ownProcess.started_identity === null)
             throw new AitermError("PARENT_DELIVERY_OWNER_UNKNOWN: 配送processを識別できません", 2);
         this.owner = { pid: process.pid, started_identity: ownProcess.started_identity, closed: false, removal_safe: true };
         this.ownerDir = path.join(this.active, `${deliveryOwnerPrefix(this.owner)}${randomUUID()}`);
@@ -447,11 +447,15 @@ export class ParentDeliveryManager {
             const processes = this.deps.processes([...new Set(unverified.map((entry) => entry.pid))]);
             for (const entry of unverified) {
                 const row = processes.find((candidate) => candidate.pid === entry.pid);
-                const state = !row ? "unverified" : row.started_identity === entry.started_identity ? "alive" : "reused";
+                // pidは居ると出たのにprocess表に無いのは、照会の直前に終了したか、終了したprocessの名残
+                // （Windowsでは、誰かがhandleを握っている間、終了したprocessのpidが空かず、権限の低いprocessからは「居るが開けない」と見える）。
+                const state = !row ? "vanished" : row.started_identity === null ? "unverified"
+                    : row.started_identity === entry.started_identity ? "alive" : "reused";
                 fate.set(entry.name, state);
-                // 別のprocessと分かった持ち主は下で閉じるので、照合の結果を覚えない。
-                if (state !== "reused")
+                // 終了と分かった持ち主は下で閉じるので、照合の結果を覚えない。
+                if (state === "alive" || state === "unverified") {
                     this.verifiedOwners.set(entry.name, { pid: entry.pid, started_identity: entry.started_identity, at: now, alive: state === "alive" });
+                }
             }
         }
         for (const name of this.verifiedOwners.keys()) {
@@ -461,6 +465,8 @@ export class ParentDeliveryManager {
         }
         // 記録を引き取り終えた、終了した持ち主の保存場所。残すと、回収のたびに全部を読み直す。
         const finished = [];
+        // pidが無いと分かった、closeしていない持ち主。保存場所を消せない回は、閉じた事だけを書く。
+        const goneOwners = [];
         // owner.jsonの無い、古い保存場所。
         const abandoned = [];
         // 旧版は、読んでいる最中に他の持ち主の保存場所が消えると回収が止まる。印の無い持ち主が生きている間は消さない。
@@ -541,23 +547,35 @@ export class ParentDeliveryManager {
                 else
                     this.finish(job);
             }
-            if (!owner.closed && state === "reused") {
+            if (!owner.closed && (state === "reused" || state === "vanished")) {
                 // 同じpidと開始時刻の組は二度と現れない。閉じた事にして、どの版の回収にも照合を繰り返させない。
                 // 書けなかった時は次の回でもう一度照合する。配送には影響しない。
+                const reason = state === "reused" ? "pid_reused" : "process_gone";
                 try {
-                    writeJson0600(ownerFile, { ...owner, closed: true, closed_reason: "pid_reused" });
+                    writeJson0600(ownerFile, { ...owner, closed: true, closed_reason: reason });
                 }
                 catch { /* 次の回 */ }
                 continue;
             }
             // 持ち主が自分で閉じた保存場所と、pidがもう無い持ち主の保存場所だけを消す。
-            // 開始時刻の違いで閉じた保存場所は、そのpidが空くまで残す。
+            // 回収側が閉じた保存場所は、そのpidが空くまで残す。
             const ended = owner.closed ? owner.closed_reason === undefined || !this.deps.exists(owner.pid) : state === "gone";
             if (ended)
                 finished.push(oldDir);
+            if (!owner.closed && state === "gone")
+                goneOwners.push({ file: ownerFile, owner });
         }
-        if (removalBlocked)
+        if (removalBlocked) {
+            // 消せない間も、終了した持ち主は閉じておく。pidの有無は見る側の権限で変わる事があり（ADR 0086）、
+            // 閉じていない持ち主は、前の版の回収が照会の相手にし続ける。
+            for (const { file, owner } of goneOwners) {
+                try {
+                    writeJson0600(file, { ...owner, closed: true, closed_reason: "process_gone" });
+                }
+                catch { /* 次の回 */ }
+            }
             return;
+        }
         // 片付けの失敗は配送に影響しない。残った保存場所は次の回でもう一度消す。
         for (const directory of finished) {
             try {

package/dist/process-runtime.js

@@ -100,6 +100,7 @@ export function readRuntimeProcesses() {
 }
 /**
  * 指定したpidの開始時刻だけを引く。readRuntimeProcessesと同じ開始時刻を返し、存在しないpidは結果に含めない。
+ * process表にpidはあるが開始時刻を読めない時は、started_identityをnullで返す（pidが無いのとは区別する）。
  * 全processのargvを読む一覧取得は、processの多い端末で重い（定期実行から呼ばない）。
  */
 export function readProcessIdentities(pids) {
@@ -124,10 +125,11 @@ export function readProcessIdentities(pids) {
         });
     }
     // CommandLineの読めないprocess（別の権限のserviceなど）も返す。pidが使い回された先を「別のprocess」と確かめるのに要る。
+    // 開始時刻を読めない行も、pidがprocess表にある印として返す。
     const script = [
         ...WINDOWS_PROBE_HEADER,
-        `$rows=@(Get-CimInstance Win32_Process -Filter "${wanted.map(pid => `ProcessId=${pid}`).join(" OR ")}" | Where-Object { $null -ne $_.CreationDate } | ForEach-Object {`,
-        "[ordered]@{ pid=[int]$_.ProcessId; started_identity=$_.CreationDate.ToUniversalTime().ToString('o') }",
+        `$rows=@(Get-CimInstance Win32_Process -Filter "${wanted.map(pid => `ProcessId=${pid}`).join(" OR ")}" | ForEach-Object {`,
+        "[ordered]@{ pid=[int]$_.ProcessId; started_identity=$(if ($null -ne $_.CreationDate) { $_.CreationDate.ToUniversalTime().ToString('o') } else { $null }) }",
         "})",
         "ConvertTo-Json -Compress -InputObject $rows",
     ].join("\n");
@@ -146,8 +148,11 @@ export function readProcessIdentities(pids) {
     if (!Array.isArray(rows))
         throw new AitermError("Windows process一覧が配列ではありません", 2);
     return rows.map(row => {
-        if (!row || !Number.isSafeInteger(row.pid) || typeof row.started_identity !== "string"
-            || !Number.isFinite(Date.parse(row.started_identity)))
+        if (!row || !Number.isSafeInteger(row.pid))
+            throw new AitermError("Windows process一覧のfieldが不正です", 2);
+        if (row.started_identity === null)
+            return { pid: row.pid, started_identity: null };
+        if (typeof row.started_identity !== "string" || !Number.isFinite(Date.parse(row.started_identity)))
             throw new AitermError("Windows process一覧のfieldが不正です", 2);
         return { pid: row.pid, started_identity: new Date(row.started_identity).toISOString() };
     });

package/docs/DESIGN.md

@@ -47,6 +47,16 @@ psmuxが出力した余分な環境値を返さない。通常PTYとagentへ`AIT
 sessionの表には環境が丸ごと入るので、名指しで登録した名前をsessionのoption `@aiterm_env_keys`に控え、
 `env_keys`はその名前だけを返す。psmuxは元から端末ごとに呼び出し元の環境を継ぐ。
 
+内部の`killAll`は終了するsocketのsession一覧と、そのsocketのログ等に残るsession名だけを対象にする。
+別socketが同じ`AITERM_STATE_BASE`を使っていても、他のsessionの登録・完了記録・待機lockを削除しない。
+対象の一覧取得やserver終了が失敗した場合は登録を削除しない（ADR 0087）。
+試験の正規入口（`npm test`とCI）は`test/seat-env.mjs`を前処理として読み、席の保存場所・系譜・tmux環境を外し、
+試験processごとの一時領域を指定する。個別試験が指定する`TMPDIR`と`XDG_RUNTIME_DIR`もそのまま利用できる。
+
+agent配送だけを期待する連携元は`pty_send(require_agent:true)`を指定する。agent登録が無ければ、通常PTYへ送る前に
+`AGENT_SESSION_REQUIRED`と「文字列は送信していません」を返す。未送信を確定してから対象sessionを復旧できる。
+省略時の通常PTY送信は維持し、`force:true`との併用は打鍵前に拒否する。
+
 `pty_observe`は存在、pane／harnessの生存、画面状態と理由、native process identityを分ける。
 PIDは開始識別子・argv digestと組にし、paneとharnessを同一視しない。特定できないidentityはnull。
 同じlaunchに属するnpm shimとnative本体は、中間の非候補processも含めた祖先関係から一つの起動として扱う。
@@ -152,7 +162,8 @@ Codexの配送記録と本文はAiterm stateの`parent-deliveries`へ保存す
 受信口が明示拒否した場合は`failed`、子の異常終了はそのoutcomeを配送する。
 生存の確認は5秒おきにpidの存在だけをOSへ聞き、開始識別子の照合は初めて見たownerと60秒に1回だけ行う。
 全processの一覧は取らない。終了直後に同じpidが再利用された時だけ、引き継ぎが最長60秒遅れる（ADR 0078）。
-pidが別のprocessへ使い回されたownerは、回収側が`owner.json`を`closed`へ書き換え、照合を繰り返さない。照合できないownerは60秒に1回だけ問い合わせる。
+pidが別のprocessへ使い回されたownerと、pidは居ると出るがprocess表に無いownerは、回収側が`owner.json`を`closed`へ書き換え、照合を繰り返さない。
+process表にはあるが開始時刻を読めないownerだけ、60秒に1回問い合わせる（ADR 0086）。
 記録を引き継ぎ終えた保存場所は、自分で閉じたownerとpidの無いownerのものを消す。保存場所が消えても読める印（`removal_safe`）の無いownerが
 同じ置き場で生きている間は消さない（ADR 0084）。
 このstateは既存のPTY／harness stateと独立し、旧版は配送を再開しない。
@@ -324,6 +335,8 @@ Grokの終了済みerrorターンにweekly-limit質問カードが残る場合
 `grokRateLimitDialog`が見出しと操作footerの組を所有し、過去logや後続UIのあるカードは採用しない。
 privacy案内は現在の枠付きcomposerとmodel footerが見える場合だけ入力受付を妨げない。
 完了観測は成功eventを優先し、今回のerror eventと現在のカードが揃えばturn情報付きの`rate_limited`を返す。
+完了の見回りは100msで、画面を読む確認（利用上限の知らせ、Cursorのhook拒否の表示）は別の間隔で行う。画面を読むたびにtmuxを1回起動するため。
+Claude・Grokは2秒、Cursorは1秒に1回で、待ちに入った最初の周回では必ず読む（ADR 0085）。
 新turnの完了前に古いlogだけで上限を返さない。購入・再認証・過去prompt再送・定期再試行は行わない。
 画面判定と模擬CLIの実PTY試験は`test/grok-rate-limit.test.mjs`に置く。
 

package/docs/RELEASE.md

@@ -17,6 +17,7 @@ Aitermのreleaseはこのrepositoryが所有する。`.github/workflows/product-
 ## Release手順
 
 1. 変更に直結するfocused testを手元で通す。full regressionは手元で回さず、CIに任せる。
+   個別試験も`node --import ./test/seat-env.mjs --test ...`で起動する。稼働中の席の保存場所を試験へ継承しない。
 2. `CHANGELOG.md`の`## [Unreleased]`へ内容を書き、mainへcommitしてpushする。
 3. 一回で公開する。
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "aiterm-mcp",
-  "version": "0.51.2",
+  "version": "0.52.0",
   "mcpName": "io.github.kitepon/aiterm-mcp",
   "description": "Persistent terminal MCP with one harness-based launcher for Claude Code, Codex CLI, Grok CLI, and Cursor Agent CLI, plus durable PTYs for SSH, containers, and REPLs.",
   "keywords": [
@@ -64,10 +64,10 @@
     "mcpb:build": "npm run build && node scripts/build-mcpb.mjs && npm ci --omit=dev --ignore-scripts --no-audit --no-fund --prefix dist/mcpb-stage/server && npx --yes @anthropic-ai/mcpb@2.1.2 validate dist/mcpb-stage/manifest.json && npx --yes @anthropic-ai/mcpb@2.1.2 pack dist/mcpb-stage dist/aiterm-mcp.mcpb",
     "verify:release-commit": "node scripts/verify-release-commit.mjs",
     "release": "node scripts/release.mjs",
-    "test:docs": "node --test test/repository-contract.test.mjs",
+    "test:docs": "node --import ./test/seat-env.mjs --test test/repository-contract.test.mjs",
     "prepublishOnly": "npm run verify:release-commit && npm run build",
     "start": "node dist/index.js",
-    "test": "npm run build && node --test scripts/verify-release-commit.test.mjs test/*.test.mjs"
+    "test": "npm run build && node --import ./test/seat-env.mjs --test scripts/verify-release-commit.test.mjs test/*.test.mjs"
   },
   "dependencies": {
     "@modelcontextprotocol/sdk": "^1.29.0",