aiterm-mcp 0.61.16 → 0.61.17

package/CHANGELOG.md

@@ -7,6 +7,13 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.61.17] - 2026-10-24
+
+### Changed
+
+- Ordinary MCP delivery and parent-return hooks no longer enter the shared execution tracking dispatcher, participant enrollment or writer mutex. The legacy native MCP entry provides the standard delivery handlers plus direct leaf-first stop; hosts must remove mandatory ExecutionBridge registration.
+- Stop forwarding reads existing agent parent relationships and sends normal interruption keys without shared graph access or writes. A lineage read failure still forwards the explicit root command. Native hook setup migrates back to the standard parent hook scripts.
+
 ## [0.61.16] - 2026-10-24
 
 ### Fixed
@@ -2854,7 +2861,8 @@ prototype (preserved under `prototype/python/` as the porting source and referen
   `ubuntu-latest` for Node 18/20/22, publishing to npm on `v*` tags with
   provenance.
 
-[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.16...HEAD
+[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.17...HEAD
+[0.61.17]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.16...v0.61.17
 [0.61.16]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.15...v0.61.16
 [0.61.15]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.14...v0.61.15
 [0.61.14]: https://github.com/kitepon/aiterm-mcp/compare/v0.61.13...v0.61.14

package/README.ja.md

@@ -209,7 +209,7 @@ runtime-error store は canonical dotagents config の `collection.enabled: true
 場合だけ収集し、既定OFF、network送信は行いません。tag起点CIのnpm provenance（OIDC Trusted
 Publishing）で公開し、GitHub Release が Official MCP Registry を再登録します。
 
-**状態:** 開発継続中 · 現行公開版 **v0.61.16** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
+**状態:** 開発継続中 · 現行公開版 **v0.61.17** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
 
 ### 更新と巻き戻し
 
@@ -742,20 +742,10 @@ agent_launch({ "harness": "codex-cli", "remote": { "host": "rabbit" }, "cwd": "/
 
 BellTeamのmodel・effort・fast変更も、既存session世代に結合したnative管理要求で受け付ける。途中で世代・受付枠・停止状態が変われば、それ以降の打鍵を止める。途中まで変更した結果は作用不明のまま保持し、自動でやり直さない。
 
-POSIXの明示native入口でも、`agent_auth`の名前なし開始、認証済みで何も起こさない開始、既存v1の確認・初回案内・取消を受け付ける。認証PTYは実際の作成元nativeと世代へ結合する。BellTeamの参照なし入力・キーは、この証拠がある認証PTYにだけ許可し、通常agentの本文には配送参照を引き続き必要とする。作成証拠のない旧認証metadataを自動登録しない。
-
-この明示入口では `agent_execution` の `reconcile_launch` に元の `request` と正確な `target: {session_id, launch_id}` を渡し、結果不明の空起動を既存世代へ結合できる。保存したnative/serverと現在のmanaged世代、raw状態で初期promptなし、生存して入力待ちのharnessをmetadata受付内で照合し、該当するunknown launch枠だけを解放する。受付済みでも本文未発行なら、照合を繰り返すたびに現在世代・入力待ち・競合操作なしを再確認する。保存した受付結果だけで後の世代を確認済みとしない。起動・打鍵・close・本文再送は行わない。issuedのRPC、入力状態不明、世代交代や世代未確認は拒否する。後続本文は元参照で通常のsend受付を通して一度だけ発行する。照合成功は失われた元RPC receiptの回収を意味しない。
-
-CLIが終了した結果不明の空起動には、BellTeam native入口の `agent_execution({action: "close_launch", request, target: {session_id, launch_id}})` を明示的に使う。元requestと期待世代を受付内とnative close直前で照合し、原native/server・managed世代一致、raw初期prompt `none`・初期配送なし・send未発行・現在CLI終了の正規probeがすべて必要になる。Claude CodeとCodexで同じ証明条件を使う。生存・issued・送信済み・欠測・世代交代は拒否し、sessionだけのcloseへの代用や自動再起動・再送はしない。旧版は新actionを拒否する。
-
-成功時の `structuredContent` は応答するSDKの別管理requestのExecutionRecordで、元unknown recordは変えない。`_meta["aiterm/closed_launch"]` に厳密なreceiptを返す。固定項目は `schema: "aiterm.closed-launch.v1"`、`version: 1`、`action: "close_launch"`、`outcome: "closed"`、元 `request`、正確な `target`、`management_ref`（応答SDKのMCP request、`tool: "pty_close"`）。`evidence` は原 `native` binding、`initial_prompt: "none"`、`initial_prompt_delivery: null`、`harness_alive: false`、`absence_confirmed: true`、`metadata_committed: true` を持つ。実close・不在確認・slot解放commitが揃った場合だけ返し、失敗や結果不明には返さない。本体が不明を解除する際は元pending操作と自身のstop/versionも照合する。過去receiptで後発の不明を解除しない。
-
-同じ明示入口で、返却済みunknown launchのCLIが終了している場合は、元native/server・managed世代とraw初期promptなし・本文未発行・harness終了を同期検証できた時だけ通常の`pty_close`で対象席を閉じられる。成功と不在を確認して該当枠だけを外し、元unknown requestを保持する。発行中RPC、生存harness、入力や世代の欠測は拒否する。旧requestを再実行せず、必要な後続は新しい通常要求として行う。
-
 
 ## 人が覗く
 
-POSIXの明示native実行構成では、検証済みcallerへ通常メッセージが届く間も、そのcallerから別席への送信を継続できる。callerの世代や各requestのslotは書き換えない。新しく接続した参加者も、初回の非同期要求で宣言済みの役割を保存する際は、既存の上限付きmetadata受付で競合を待つ。この待機は入力を再送しない。agentの貼付け・Enterはmetadata mutexの競合を入力前に待ち、不明な操作・世代交代・停止では入力を止める。BellTeamは閉じた席をpromptなしの明示管理`agent_launch`で再作成できる。promptを送る呼出しには元の実行参照が必要である。
+通常の配送と親への返答は、実行追跡用の共有lockを取得も待機もしない。旧native入口も通常配送と末端優先の`agent_stop`を提供し、`agent_execution`登録を要求しない。この入口を使う本体もExecutionBridgeの先行登録を外す。記録の失敗で配送を止めない。
 
 セッションは共有tmux socket（Windows nativeはpsmux namespace）上にある。`pty_open`／`agent_launch`の戻り値に表示されるattachコマンドで、人間がClaude／Codex／Grok／Cursor harnessの同じ端末へ入り、途中でキーボードを引き取れる。
 POSIXでは、tmuxのソケットがまだ無くても最初の`agent_launch`でserverを起動できる。Aitermは作成したsessionとserverを実際のreceiptから照合して受付を確定し、不明な結果を入力の再送で補わない。

package/README.md

@@ -227,7 +227,7 @@ collection is off by default and performs no network I/O. It ships via
 tag-triggered CI with npm provenance (OIDC Trusted Publishing); the GitHub
 Release re-registers the Official MCP Registry entry.
 
-**Status:** actively maintained · current public release **v0.61.16** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
+**Status:** actively maintained · current public release **v0.61.17** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
 
 ### Update and rollback
 
@@ -791,22 +791,14 @@ agent_launch({ "harness": "codex-cli", "remote": { "host": "rabbit" }, "cwd": "/
 
 ### Input and output
 
+Ordinary delivery and parent-return hooks do not acquire or wait for the shared execution tracking lock. The legacy native entry now serves ordinary delivery plus leaf-first `agent_stop`, without `agent_execution` registration. Hosts using that entry must remove mandatory ExecutionBridge registration; recording failure must not prevent delivery.
+
 `pty_send` does not interpret command or prompt meaning; it delivers the requested text to the terminal. By default it sanitizes ESC and bracketed-paste terminators, while `pty_read` neutralizes control characters in returned output (`raw: true` keeps them unchanged). The shell, remote endpoint, or launched harness owns command authorization.
 
-Each `pty_send` accepts at most 64 KiB of UTF-8 text. Sends to the same session are serialized across aiterm processes so chunks cannot interleave. Every OS pastes through its multiplexer in UTF-8-safe 256-byte chunks with a 10 ms drain interval; macOS, Linux, and WSL2 have all demonstrated silent middle/trailing loss when a long input is pushed without that boundary. Sanitized multiline text sent while a POSIX shell or PowerShell is in the foreground is encoded as one newline-free input (`eval` for POSIX shells; a dot-sourced, UTF-8 Base64-decoded scriptblock for PowerShell): the shell receives the complete script before it runs the first line, so a pager or REPL started mid-script cannot consume later lines as interactive keystrokes. Single-line input, `raw:true`, and non-shell frontends remain direct PTY pastes. Agent dispatches additionally wrap the whole text once in `ESC[200~/201~` and stream the wrapped text in the same chunks, so the agent TUI sees one paste (an image path is never split across pastes), hardening prompt injection against mid-word key-interpretation corruption and dropped submits. If a later chunk fails, aiterm reports the partial-send state and does not press Enter automatically. A lock left by a terminated sender fails closed before sending; use `pty_list` to confirm the affected session, close it with `pty_close`, then recreate the same session ID. There is no public kill-all tool. In the opt-in POSIX native execution entry, an unknown send can also be recovered by explicitly closing that one session with `pty_close`, then recreating it. The original request remains unknown and must not be replayed. Issued work, unknown management closes, and uncertain native identity remain blocked.
+Each `pty_send` accepts at most 64 KiB of UTF-8 text. Sends to the same session are serialized across aiterm processes so chunks cannot interleave. Every OS pastes through its multiplexer in UTF-8-safe 256-byte chunks with a 10 ms drain interval; macOS, Linux, and WSL2 have all demonstrated silent middle/trailing loss when a long input is pushed without that boundary. Sanitized multiline text sent while a POSIX shell or PowerShell is in the foreground is encoded as one newline-free input (`eval` for POSIX shells; a dot-sourced, UTF-8 Base64-decoded scriptblock for PowerShell): the shell receives the complete script before it runs the first line, so a pager or REPL started mid-script cannot consume later lines as interactive keystrokes. Single-line input, `raw:true`, and non-shell frontends remain direct PTY pastes. Agent dispatches additionally wrap the whole text once in `ESC[200~/201~` and stream the wrapped text in the same chunks, so the agent TUI sees one paste (an image path is never split across pastes), hardening prompt injection against mid-word key-interpretation corruption and dropped submits. If a later chunk fails, aiterm reports the partial-send state and does not press Enter automatically. A lock left by a terminated sender fails closed before sending; use `pty_list` to confirm the affected session, close it with `pty_close`, then recreate the same session ID. There is no public kill-all tool.
 
 ## A human can watch
 
-In the opt-in POSIX native execution entry, an ordinary message arriving at a verified caller can overlap that caller's outgoing send. It does not replace the caller's generation or clear either request's slot. A newly connected participant also waits within the existing bounded metadata admission to commit its declared roles before its first asynchronous request; that wait never replays input. Agent paste/submit segments wait for metadata mutex contention before input; uncertain operations, generation changes and stops still prevent input. BellTeam may explicitly recreate a closed session with a promptless management `agent_launch`; sending a prompt still requires its original execution reference.
-
-An explicit `agent_execution` action `reconcile_launch` can bind an existing empty launch after a lost launch result in this opt-in entry. Supply the original `request` and exact `target: {session_id, launch_id}`. The server checks the original native/server identity, current managed generation, raw no-prompt state and a live ready harness under metadata admission, then releases only that unknown launch slot. Repeating an accepted empty launch before its send also rechecks the current generation, readiness and absence of competing session operations; a saved acceptance alone cannot confirm a later generation. It never launches, types, closes or resends. `issued` RPCs, unknown input and changed or unverified generations remain blocked. Any subsequent body uses the original reference through normal send admission once; a successful reconciliation does not prove the lost RPC receipt.
-
-For an empty unknown launch whose harness has exited, the BellTeam native entry accepts `agent_execution({action: "close_launch", request, target: {session_id, launch_id}})`. The original request and generation are atomic expectations, checked within admission and immediately before the native close. Raw initial prompt must be `none`, initial delivery absent, send unissued, and the original native/server and managed identity must match. The private runtime proof covers Claude Code and Codex; live, issued, sent, missing or replaced targets remain refused. No session-only close fallback or automatic relaunch/send occurs. Older servers reject this action.
-
-Success retains the original unknown record and returns the serving SDK's distinct management execution record in `structuredContent`. `_meta["aiterm/closed_launch"]` is a strict receipt with `schema: "aiterm.closed-launch.v1"`, `version: 1`, `action: "close_launch"`, `outcome: "closed"`, the original `request`, exact `target`, and `management_ref` (the serving MCP request, `tool: "pty_close"`). Its `evidence` contains original `native` binding, `initial_prompt: "none"`, `initial_prompt_delivery: null`, `harness_alive: false`, `absence_confirmed: true`, and `metadata_committed: true`. Only confirmed close, absence and committed slot release produce this receipt. Errors or lost/uncertain results do not. Hosts must match the original pending operation and local stop/version state before clearing its uncertainty; historical receipts cannot clear later uncertainty.
-
-For a returned unknown launch whose harness has exited, the same native entry admits explicit `pty_close` only after synchronous proof of the original native/server and managed generation, raw no-initial-prompt state, an unissued body send and an exited harness. It releases the failed launch slot after successful close and confirmed absence, preserving the original unknown record. Issued RPCs, live harnesses and missing input or generation evidence remain blocked. The old request is never replayed; a later ordinary request may create a fresh generation.
-
 
 On native Windows, non-raw commands sent to a PowerShell shell use UTF-8 for Console input/output and native pipelines. Runtime additions to the caller PATH are passed to new panes; raw PTY input is unchanged.
 Agent launches use a PowerShell 7 pane and pass the harness argv directly; accepted shebang wrappers use noninteractive Git Bash in that same pane. The owned startup script is sent as one ASCII line, while agent TUI bodies retain their literal text.
@@ -814,10 +806,6 @@ Agent launches use a PowerShell 7 pane and pass the harness argv directly; accep
 Sessions live on a shared tmux socket on POSIX or a shared psmux namespace on native Windows. The attach line printed by `pty_open` and `agent_launch` lets a human attach to the same terminal and intervene, including a Claude/Codex/Grok/Cursor harness session: `tmux -S … attach -t <id>` on POSIX, or `psmux -L <namespace> attach -t <id>` on native Windows.
 On POSIX, the first `agent_launch` can create the tmux server when its socket does not yet exist. Aiterm verifies the exact created session and server before accepting that launch; an uncertain result is reported without retrying the input.
 
-BellTeam model, effort and fast changes use a native management request bound to the existing session generation. Later stages stop if that generation, its admission slot or stop state changes. A partial change remains an uncertain effect and must not be blindly repeated.
-
-In the opt-in POSIX native entry, `agent_auth` also supports omitted session names, authenticated no-op starts and the normal v1 status/onboarding/cancel receipts. Authentication PTYs are bound to their actual native creator and generation. Ref-less BellTeam input or keys are allowed only for those proven authentication PTYs; ordinary agent messages still require their delivery reference. Legacy authentication metadata without creator proof is not automatically enrolled.
-
 ## Requirements
 
 - **Node.js >= 18**

package/dist/core.js

@@ -1805,6 +1805,14 @@ export function listSessions(result = listSessionsResult()) {
     }
     return "(セッション無し)";
 }
+/** Existing agent lineage is enough to forward a stop from leaves to parent.
+ * This reads ordinary session metadata and never opens the execution graph. */
+export function agentSessionChildren() {
+    return listSessionsResult().sessions.flatMap(({ session_id }) => {
+        const parent = tryLoadAgentMetadata(session_id)?.parent_session_id;
+        return parent ? [{ parent, child: session_id }] : [];
+    });
+}
 /**
  * `pty_list` 相当を read-only に照会し、内容を返さず session 件数だけを返す。
  * session 名・前面コマンド・PTY 出力を診断応答へ持ち出さないため、factory が安全に readiness を

package/dist/execution-immediate-stop.js

@@ -12,9 +12,12 @@ export const immediateStopResultSchema = z.object({
 }).strict();
 export function interruptKnownSessions(input, dependencies) {
     const args = immediateStopInputSchema.parse(input), roots = [...new Set(args.session_ids ?? [args.session_id])];
-    let relations = [], graphUnavailable = false;
+    let relations = [], children = [], graphUnavailable = false;
     try {
-        relations = unfinishedExecutionRelations(dependencies.relations());
+        if (dependencies.children)
+            children = dependencies.children();
+        else if (dependencies.relations)
+            relations = unfinishedExecutionRelations(dependencies.relations());
     }
     catch {
         graphUnavailable = true;
@@ -25,6 +28,9 @@ export function interruptKnownSessions(input, dependencies) {
         if (visited.has(key))
             return;
         visited.add(key);
+        for (const child of children)
+            if (child.parent === name)
+                visit(child.child);
         for (const edge of relations)
             if (edge.source?.launch.session_id === name
                 && (!launchId || edge.source.launch.launch_id === launchId) && edge.target)

package/dist/execution-native-server.js

@@ -14,6 +14,28 @@ import { AITERM_PROFILE } from "./steer-profile.js";
 import { EXECUTION_SOURCE_ENV_NAMES, EXECUTION_SCOPE_ENV_NAMES } from "./execution-runtime.js";
 import { observeExecutionActor } from "./process-runtime.js";
 import { ExecutionError } from "./execution-wire.js";
+import { createAitermServer } from "./index.js";
+import { immediateStopInputSchema, immediateStopResultSchema } from "./execution-immediate-stop.js";
+/** Ordinary delivery and leaf-first cancel keys have no execution-store
+ * registration, participant gate, shared transaction or graph write. */
+export function createNativeDeliveryServer(dependencies = {}) {
+    const server = createAitermServer();
+    server.registerTool("agent_stop", {
+        description: "指定sessionとその呼出先へ末端から通常の停止キーを送る。sentはキー送信結果であり終了の証明ではない。",
+        inputSchema: immediateStopInputSchema.shape,
+        outputSchema: immediateStopResultSchema.shape,
+    }, async (args) => {
+        const result = interruptKnownSessions(args, {
+            children: dependencies.children ?? core.agentSessionChildren,
+            currentLaunchId: dependencies.currentLaunchId ?? core.interruptionLaunchId,
+            sendKey: dependencies.sendKey ?? core.interruptSessionNow,
+        });
+        return { content: [{ type: "text", text: JSON.stringify(result) }], structuredContent: result };
+    });
+    return server;
+}
+/** Historical injected tracking composition. Normal CLI delivery does not
+ * construct this participant or register its execution controls. */
 export function createNativeExecutionServer(input) {
     if (input.interruptCurrentRun !== true || !input.expectedScope || !path.isAbsolute(input.expectedScope.state_root)
         || input.expectedScope.multiplexer?.kind !== "socket" || !path.isAbsolute(input.expectedScope.multiplexer.key))
@@ -90,6 +112,7 @@ function nativeParentDependencies(provider, profile) {
         },
         processes: readProcessIdentities, exists: nativeProcessExists, now: () => performance.now(), wall: () => Date.now() };
 }
+/** Historical injected worker; normal parent-hook CLI no longer uses it. */
 export function createNativeExecutionWorker(input) {
     if (input.interruptCurrentRun !== true || !input.expectedScope || !path.isAbsolute(input.expectedScope.state_root)
         || input.expectedScope.multiplexer?.kind !== "socket" || !path.isAbsolute(input.expectedScope.multiplexer.key))
@@ -116,23 +139,22 @@ export function parseNativeExecutionArguments(args) {
 }
 async function main() {
     const options = parseNativeExecutionArguments(process.argv.slice(2));
-    const provider = await import(pathToFileURL(options.providerFile).href);
     if (options.mode === "mcp") {
-        const participant = createNativeExecutionServer({ interruptCurrentRun: true, expectedScope: options.expectedScope, provider });
-        await participant.server.connect(new StdioServerTransport());
+        await createNativeDeliveryServer().connect(new StdioServerTransport());
     }
     else {
+        const provider = await import(pathToFileURL(options.providerFile).href);
         const method = options.mode === "claude-hook" ? "runClaudeHookMain" : options.mode === "cursor-hook" ? "runCursorHookMain" : "runCodexHookMain";
         const hookProvider = provider;
         if (typeof hookProvider[method] !== "function")
             throw new ExecutionError("EXECUTION_UNSUPPORTED");
-        const worker = createNativeExecutionWorker({ interruptCurrentRun: true, expectedScope: options.expectedScope, provider, codexHome: options.codexHome });
+        const profile = { ...AITERM_PROFILE, state_root: () => options.expectedScope.state_root };
         if (options.mode === "claude-hook")
-            await hookProvider.runClaudeHookMain(worker.profile, path.join(worker.scope.state_root, "claude-parent-hooks"));
+            await hookProvider.runClaudeHookMain(profile, path.join(options.expectedScope.state_root, "claude-parent-hooks"));
         else if (options.mode === "cursor-hook")
-            await hookProvider.runCursorHookMain(worker.profile, path.join(worker.scope.state_root, "cursor-parent-hooks"));
+            await hookProvider.runCursorHookMain(profile, path.join(options.expectedScope.state_root, "cursor-parent-hooks"));
         else
-            await hookProvider.runCodexHookMain(worker.profile, options.hookDirectory);
+            await hookProvider.runCodexHookMain(profile, options.hookDirectory);
     }
 }
 let entry = false;

package/dist/execution-native-setup.js

@@ -5,60 +5,55 @@ import { pathToFileURL } from "node:url";
 import { parseNativeExecutionArguments } from "./execution-native-server.js";
 import { AITERM_PROFILE } from "./steer-profile.js";
 import { ExecutionError } from "./execution-wire.js";
+import { codexHookCommand } from "./setup-codex-hooks.js";
 export async function configureNativeExecutionHooks(home, options) {
     if (process.platform === "win32" || !path.isAbsolute(home) || !path.isAbsolute(options.registration.command)
         || !path.isAbsolute(options.registration.args[0] ?? "") || path.basename(options.registration.args[0]) !== "execution-native-server.js")
         throw new ExecutionError("EXECUTION_INVALID");
-    const registration = structuredClone(options.registration), scope = structuredClone(options.expectedScope);
-    const parsed = parseNativeExecutionArguments(registration.args.slice(1));
+    const previousRegistration = structuredClone(options.registration), scope = structuredClone(options.expectedScope);
+    const parsed = parseNativeExecutionArguments(previousRegistration.args.slice(1));
     if (parsed.mode !== "mcp" || JSON.stringify(parsed.expectedScope) !== JSON.stringify(scope)
         || path.resolve(parsed.providerFile) !== path.resolve(options.providerFile))
         throw new ExecutionError("EXECUTION_CONFLICT");
     const provider = options.provider ?? await import(pathToFileURL(options.providerFile).href);
-    if (provider.DELIVERY_ADMISSION_CONTRACT?.native_hook_args !== true)
-        throw new ExecutionError("EXECUTION_UNSUPPORTED");
     const clients = [...new Set(options.clients ?? ["claude", "cursor", "codex"])];
     if (clients.some(client => !["claude", "cursor", "codex"].includes(client))
         || (clients.includes("codex") && (!options.codexBinary || !path.isAbsolute(options.codexBinary))))
         throw new ExecutionError("EXECUTION_INVALID");
+    const dist = path.dirname(previousRegistration.args[0]);
+    const registration = { command: previousRegistration.command, args: [path.join(dist, "index.js")] };
     const profile = { ...AITERM_PROFILE, state_root: () => scope.state_root,
-        config_root: () => path.join(home, ".config", "aiterm-mcp"), hooks: {
-            claude: path.basename(registration.args[0]), cursor: path.basename(registration.args[0]), codex: path.basename(registration.args[0]),
+        config_root: () => path.join(home, ".config", "aiterm-mcp") };
+    const previousProfile = { ...profile, hooks: {
+            claude: path.basename(previousRegistration.args[0]), cursor: path.basename(previousRegistration.args[0]), codex: path.basename(previousRegistration.args[0]),
         } };
-    // Hook processes may inherit a reduced CLI environment. Set only the two
-    // non-secret scope roots before Node loads its native constants; preserve
-    // the caller's dynamic source/launch env instead of stamping a setup-time ID.
-    const prefix = ["AITERM_STATE_BASE=" + path.dirname(scope.state_root),
-        "TMPDIR=" + path.dirname(path.dirname(scope.multiplexer.key)), registration.command, registration.args[0],
-        "--execution-interrupt", "--state-root", scope.state_root, "--socket", scope.multiplexer.key,
-        "--steer-provider", options.providerFile];
-    const hook = (mode, extra = []) => ({ command: "/usr/bin/env", script: prefix[0], args: [...prefix.slice(1), "--mode", mode, ...extra] });
+    const hook = (file) => ({ command: registration.command, script: path.join(dist, file) });
     const quote = (word) => "'" + word.replace(/'/g, "'\"'\"'") + "'";
-    const command = (mode, extra = []) => ["/usr/bin/env", ...prefix, "--mode", mode, ...extra].map(quote).join(" ");
+    const command = (file) => [registration.command, path.join(dist, file)].map(quote).join(" ");
     const result = {}, commands = {};
     if (clients.includes("claude")) {
         const file = path.join(home, ".claude", "settings.json");
-        const removed = provider.removeClaudeParentHooks(AITERM_PROFILE, file);
-        result.claude = provider.mergeClaudeParentHooks(profile, file, hook("claude-hook"));
+        const removed = provider.removeClaudeParentHooks(previousProfile, file);
+        result.claude = provider.mergeClaudeParentHooks(profile, file, hook(profile.hooks.claude));
         if (removed === "removed" && result.claude === "unchanged")
             result.claude = "configured";
-        commands.claude = "exec " + command("claude-hook");
+        commands.claude = "exec " + command(profile.hooks.claude);
     }
     if (clients.includes("cursor")) {
         const file = path.join(home, ".cursor", "hooks.json");
-        const removed = provider.removeCursorParentHooks(AITERM_PROFILE, file);
-        result.cursor = provider.mergeCursorParentHooks(profile, file, hook("cursor-hook"));
+        const removed = provider.removeCursorParentHooks(previousProfile, file);
+        result.cursor = provider.mergeCursorParentHooks(profile, file, hook(profile.hooks.cursor));
         if (removed === "removed" && result.cursor === "unchanged")
             result.cursor = "configured";
-        commands.cursor = command("cursor-hook");
+        commands.cursor = command(profile.hooks.cursor);
     }
     if (clients.includes("codex")) {
         const directory = path.join(home, ".config", "aiterm-mcp", "codex-parent-hooks"), codexHome = path.join(home, ".codex");
-        const nativeCommand = command("codex-hook", ["--codex-home", codexHome, "--hook-directory", directory]);
+        const hookFile = path.join(dist, profile.hooks.codex);
         const runtime = { ...options.codexRuntime, directory, codex_home: codexHome, node: registration.command,
-            hook: registration.args[0], findBinary: () => options.codexBinary, hookCommand: () => nativeCommand };
+            hook: hookFile, findBinary: () => options.codexBinary };
         result.codex = await provider.configureCodexSteer(profile, "enable", runtime);
-        commands.codex = nativeCommand;
+        commands.codex = codexHookCommand(registration.command, hookFile, directory);
     }
-    return { results: result, commands, registration, relation_scope: "recorded" };
+    return { results: result, commands, registration, relation_scope: "untracked" };
 }

package/docs/DESIGN.md

@@ -1,93 +1,22 @@
 # Aiterm design
 
-## 開発中: 連鎖停止
-
-2026-10-21夜の指揮官訂正を優先し、停止ボタン/連鎖/全体停止は現在処理を中断してsession/launch/会話を残す。
-[ADR0125](https://github.com/kitepon/aiterm-mcp/blob/main/docs/adr/0125-session-preserving-interruption.md)が現契約。
-正規native入口のagent_stopは `{session_id}` / `{session_ids:[...]}` を受け、Aitermが記録する未完了呼出関係を
-leaf→rootで辿り、対象ごとに通常中断キーを1回送る。Codex/ClaudeはEscape、Cursor/GrokはCtrl+C。
-Ctrl+Cは既存paneのbusy時だけ、idleは送信せずidle、不明/拒否/送信失敗はfailedを返す。
-結果のsentはキー送信受付でありnative終了観測ではない。会話をclose/killしない。
-停止経路はgraph snapshot読取だけで、writer lock/fsync/drain/journal/全actor・native終了proofを待たず、
-同sessionの次入力を永久に抑止しない。旧v2の確認controllerは停止ボタンから外した。
-通常main/稼働登録への反映は別で、native hooksは同scope/providerのexecution-native-setupが生成する。
-
-実行関係のsource/target世代、Bridgeの既存参照、未完了関係の寿命と混在先も含む停止計画は
-[ADR 0124の契約案](https://github.com/kitepon/aiterm-mcp/blob/main/docs/adr/0124-cascade-stop-execution-contract.md)で設計中。
-`execution-*.ts`は隔離枝のwire、snapshot計画、共有metadata、受付/停止サービスと注入可能なMCP口。
-fake MCPで検証中であり、runtime証拠adapterと全変更口への接続は未了。現行公開toolの停止契約は変更していない。
-native親配送は、要求時に固定したSDK metadata・検証済みsource世代・MCP/native harness identityを結ぶ。
-serving producerは最初のawait前にnative decoder/session/tool/ownerを元requestへ固定し、欠測を後で補完しない。Claude ownerは同じharness PID/startで、別のMCP/hook descendantを代用しない。source入力のnative受理/turn aliasではない。
-別processのhookは同じscopeと既存delivery bindingを照合し、callback欠測時に旧配送へfallbackしない。
-processごとのrequired profile factoryは隔離実装中であり、static profileや稼働hookへは未接続。
-scope一致やhook返却だけで全参加者の被覆・native turn alias・終了fenceを証明したことにはしない。
-Claudeのproducerは実PreToolUse owner/tool/sessionと配送bindingを作用直前にも確認する隔離factoryを持つ。
-既存parent returnが未解決なら局所doneのfenceを閉じず、元dispatch receiptの遅着は入力を再送せずmetadataだけを待つ。
-native emit直前に照合したhook参照は既存deliveryへ保存する。CodexのStop/PostToolUse、Claudeのtool、Cursorのconversationを
-受取executionの完了と同一視せず、canonical cursorを作らない。受取番の対応と終了fenceの証拠は別に必要。
-POSIXのraw tty回復もnative作用であり、tmux打鍵と同じ受付を通す。ttyは正確なsession selectorで読み、
-実stty直前にも同じdeviceを確認する。停止や世代/tty交代後に古いdeviceへ回復を発行しない。
-一つのRPCが複数のnative作用を発行するときも、各回に同じissued slotとsource/target世代・停止を再確認する。
-agentの貼付け・Enterの同期区間は、既存metadata mutexを非同期に取得してから実行する。
-native作成後に再開する起動準備も同じ非同期取得を通す。pane所有検査、fg/stty回復、
-起動メニューの各キーを短い同期区間で実行し、待機後の停止・世代・slot検査を省略しない。
-mutexをawait中へ持ち越さず、同じ同期stack内の各gateが発行記録を永続化してからnative作用へ進む。
-検証済みsourceと同世代への通常sendがissuedである間も、そのsourceの送信先が別ならoutgoing RPCは継続できる。
-incomingのslotを解放・書換・成功扱いせず、unknown・管理操作・世代不一致は従来どおり拒否する。
-incomingの完了待ちをoutgoingへ課して相互送信を循環待ちにしない（ADR 0127）。
-BellTeamのpromptなし明示管理launchは、管理close同様にserving process/request identityへ結合する。
-promptやThroughline読出しを含む未登録送信、auto-name、remoteはこの管理例外へ含めない。
-BellTeamのrefなしagent_configureも同じnative process/request identityの管理RPCとして受ける。
-model/effort/fastの各stageは同じ既存世代・slot・source・停止のgateを通り、途中で変われば続きの打鍵を拒否する。
-発行後の途中失敗はpossible/unknownを保持する。CLI結果待ち後のfast metadata書込も同じ準備受付で再検査する（ADR 0129）。
-新launchは、既存POSIX serverのnative owner、またはserver未作成の完全な空観測を受付時と発行直前に確認する。
-冷間時は最初のnew-session自身でserverを作り、その実receiptのnative IDとserver PIDを、作成後の安定したnative一覧とprocess開始識別子で照合する。
-既存server時も冷間時も、作成したsessionのnative ID・server owner・core内部のlaunch世代を同じ要求slotへ段階結合する。
-物理shell準備はnative IDへ固定し、未結合の同名世代を採用しない。冷間起動のための補助sessionや再送は作らない。
-作成時のnative ID/server ownerをmanaged metadataへ保存し、private runtimeの世代読取と期待closeでも再照合する。
-古いmetadataの欠測を現観測で補わず、既存席の自動登録は行わない。
-証拠の無い新server起動、Windows固有のserver作成、一般のauto-name/通常PTY等はまだunsupported。認証専用PTYはADR 0130の限定経路で受け付ける。
-実18 toolsのhandlerを作るconstructorは、private dispatcher/親execution callbackを明示注入して隔離SDKで検証できる。
-通常のstdio mainは注入せず、全参加process/全core作用口・native fenceが揃うまで公開有効化しない。
-private participant factoryはproducer/service/dispatcher/同process用worker profileを同じscopeとnative actorで組む。
-source環境の既存8名は一度だけ読み、必要な値だけを固定してproducerとdispatcherへ渡す。
-呼出側のprovider/profile/runtime methodの差替えは構築済みparticipantへ混入させず、現在のscope/actorの変化は作用前に拒否する。
-親managerの保存先とownerも同じscope/actorへ照合する。別processのhookはactorを流用せず、自分のworker factoryで接続する。
-native runtimeの自己actorは、現在実行中のprocessのPIDと開始identityを一度だけOSで確定して保持する。
-同processの生存中に開始identityは変わらないため、scope確認ごとの自己PID照会を行わない。
-初回の欠測・失敗は確定値として保持せず、返すobjectも複製する。注入runtimeのactor、他process・server・
-source/target世代の観測は保持せず、従来どおり各受付で再照合する。
-注入runtimeへ欠けたparent依存を既定OS処理で補わず、完全なfake依存を要求する。このfactoryも通常mainには未注入。
-同producer serviceの停止closeは、既存のissued close slotを持つ間だけ同期の期待世代primitiveへ渡す。
-実killの直前にもruntimeの同期世代読取を通し、scope/actor/期待launchの交代を拒否する。
-注入runtimeのclose欠測をcore既定処理で補わず、作用後の応答欠測は消失観測があってもunknown slotを保持する。
-完了の照会点は固定し、終了fenceの非同期応答後にも現在世代を確認する。実受取番/終了fenceの証拠adapterは未了。
-通常のcompletion終了確認は元request/Pointを共有lock内で固定し、native/transcript観測をlock外で行う。
-反映時に同じrecord全体・issued/unknown・元slot・親作用を再照合し、途中変更があれば反映しない。
-親返却のpending判定は反映時のstateで行い、元unknownの解除や送信の再実行には使わない。
-実行登録も同じrequestの既存予約を短い共有lock内で確認してから、source/targetの非同期観測をlock外で行う。
-登録反映時に同じ予約・取消・source/targetの受付条件を再確認し、実作用直前の同期世代gateは維持する。
-launch/sendの返却結果は元issued slotを固定してlock外で世代観測し、同じslotとissued状態だけに結合する。
-途中のunknown化・slot交代・観測した世代の不一致はpossibleとして保持し、元作用を再実行しない。
-遅延した要求取消は本物の受付結果を消さず、共有lock内へ非同期の観測待ちを戻さない。
-private producer/worker factoryを構築したprocessではnative effect scopeを必須にする。
-coreの公開変更入口も、打鍵や設定・認証・lock/metadata準備に入る前に対象のrequest contextを要求する。
-この入口確認はissuedへの昇格ではない。実作用時には既存の同期受付を別に通す。
-通常stdio mainはprivate factoryを使わず既定挙動を維持する。別processの未登録参加者や非同期準備中の全metadata作用を
-この入口だけで覆ったとはしない。全参加者inventoryと各実作用の接続を確認するまでcoverage incompleteを維持する。
-deferred frameには既存requestと期待世代を再照合する同期の準備callbackを渡す。
-core入口の再確認と、managed metadata/hook生成・設定model保存は同じsource/target/slot条件を使う。
-準備callbackは短い共有metadata lock内で動き、execution graphはread-onlyのまま、preparingをissuedへ変えない。
-native作用やawaitをcallbackへ入れず、停止・世代/actor/scope交代・RPC終了後の遅着を拒否する。
-これらの明示接続以外の設定復元や親配送metadata経路はまだ未了であり、既定mainへの有効化条件を満たさない。
-private factoryは同scopeの共有stateへ既存PID/開始identityと役割を宣言し、各受付の同じlock内で欠測を拒否する。
-遅延登録する参加者の最初の非同期要求は、既存の上限付きmetadata受付内で宣言を保存してから進む。
-待機後にもscope/actorを照合し、read-only要求でも宣言だけは独立して保存する。
-同期入口の即時拒否、登録削除後の拒否、停止snapshotの登録不要条件は変えず、入力や要求を再送しない。
-MCP/parent-effectの既存参照とnative identityを読むinventoryはread-onlyで、役割やenvから世代・終了を補完しない。
-開始identity交代や未登録actorを示しても旧slotを消さず、parent受付だけで参照を退役させない。
-全行のidentity一致でも参加者の全発見/native終了fence/全経路の接続を証明せず、coverage incompleteを維持する。
-作用後のmetadata受付欠測では成功receiptとpossibleを保ち、issued slotを再構築や消失観測で再実行可能へ変えない。
+## 通常配送と停止
+
+通常MCPの18 toolsは既存のterminal/harnessへ直接渡す。execution graphへの登録、participant宣言、
+shared writer lockの取得・待機を配送条件にしない。記録の欠測や旧lock fileで本文を拒否しない。
+旧execution-native-serverのMCP互換入口も標準の配送handlerを使い、agent_stopだけを追加する。
+agent_executionとagent_execution_rootsをこの入口へ登録しない。本体は旧ExecutionBridgeの先行登録を要求しない。
+
+親hookのClaude/Cursor/Codex入口は通常providerを直接呼ぶ。execution workerやdelivery_admissionを渡さない。
+旧native hook設定は通常のparent-hook scriptへ移行し、他製品のhook・履歴を保持する。
+
+agent_stopは指定sessionと既存agent metadataのparent_session_idを使い、末端から通常の中断キーを送る。
+共有execution graphの読書き、writer lock、fsync、journal、記録整合性の確認待ちは行わない。
+親子情報を読めなくても指定rootへはキーを送る。各宛先の送信結果を返し、キー受付を終了証明にしない。
+会話をclose/killせず、本文の自動再送や追跡記録の未送信化を行わない。
+
+旧共有受付の設計は撤回した履歴として
+[archive](https://github.com/kitepon/aiterm-mcp/blob/main/docs/archive/20261024-retired-shared-execution-admission.md)へ移した。
 
 ## 目的と所有
 
@@ -499,44 +428,6 @@ ADR 0074（repositoryの`docs/adr/0074-agent-model-catalog.md`）。
 境界失敗は明示errorにする。retry、別model、別harness、別backendへ自動fallbackしない。
 stale send lockは並行processとのABAを避けるため自動削除せず、公開APIでは対象sessionを`pty_close`して
 同じIDで再作成する。全session一括停止は公開しない。
-実行ラッパーの要求参照の検証とMCP receipt整形は`execution-tools.ts`、native作用の進行は
-`execution-invocation.ts`が所有する。実行・保存の判断は既存`ExecutionService`へ委ねる。
-receiptの観測は、通常経路ではbody返却直後、deferred経路ではnative frameの正常返却後に行う。
-その後の結合失敗でも観測済みreceiptを保持し、frame内のnative拒否を成功へ変換しない。
-native一覧は終了コード1・空stdout・単独の`server exited unexpectedly`だけを20ms間隔、最長500msで再観測する。
-再観測は呼出元の同じissued枠と世代検査の中で行う。不在の証拠は既存の同socket・終了コード1・空stdoutの
-厳密な診断に限定し、正常一覧は従来のnative/server識別検査を通す。上限・別error・曖昧な一覧はunknownを保つ。
-close・送信・その他native作用は再実行しない（ADR 0133）。
-POSIXの明示native execution構成では、返却済みsendのunknown枠が対象席の管理closeまで
-永久に拒否しないよう、通常`pty_close`だけを同じ期待launch/native IDで受付できる。
-unknown send枠を保持したまま既存core closeへ進み、native close成功と席の不在を確認した後だけ
-該当send枠を解放する。元recordのphase/completion/sendはunknownのまま残し、再送や成功化をしない。
-旧callbackは未知/消失した元slotで拒否され、同IDの新launchへnative作用を発行できない。
-issued、管理close自体のunknown、親作用のslot、世代/native/serverの不明・交代は対象外。
-既存の送信・待機lockの拒否も維持し、他席やissuerの停止を復旧条件へ追加しない。
-返却済みunknown launchも、元native/server・managed世代が一致し、raw initial_prompt:none・初期配送なし・
-send:not_issuedで、harnessの終了を現在の同期primitiveが証明できる場合だけ、同じ明示管理closeを許す（ADR 0131）。
-受付時とnative作用直前にこの証拠を検査し、closeと不在確認後に該当slotを外す。元unknown recordを保ち、
-旧requestのlaunch/sendは再実行しない。生存harnessはreconcile_launchの対象として維持する。
-本体からの明示復旧には既存agent_executionのclose_launch actionを使う（ADR 0132）。元requestと
-target(session_id,launch_id)を原子的な期待条件として受付と作用直前に照合し、応答SDK自身の管理refで
-既存close primitiveへ進む。呼出元がobserveしたsessionだけをcloseする手順で代用しない。
-close・不在確認・metadata commit後だけ_meta["aiterm/closed_launch"]のversion1 receiptを返す。
-structuredContentは別管理requestのrecord、元unknown recordは不変。結果不明や保存失敗にはclosed証明なし。
-本体は元pending操作・stop/versionを別途照合し、後発不明を過去receiptで解除しない。
-非同期launcherはCLIの検証をgraph mutex外で行い、実create→metadata公開→世代結合→CLI入力の同期区間を
-一度のnative admission内で通す。起動準備のawaitをmutex内に持ち込まず、待機後には通常の世代・停止・slot検査を行う。
-空起動の結果不明は明示 `agent_execution/reconcile_launch` で既存世代へ結合できる（ADR 0128）。
-対象は返却済みunknown launch、send:not_issued、元native/server stamp付きの単独slotだけ。
-同じmetadata transaction内のprivate同期primitiveで現在のnative/managed世代、生のinitial_prompt:none・初期配送なし、
-harness生存とidleを照合する。既存recordのlaunchをaccepted、targetを当該世代へ結合し、該当slotだけを外す。
-これは現在世代の明示採用で、失われたRPC receiptの復元ではない。本文・初期prompt・claim・nativeには作用しない。
-同じaccepted targetへの再照合もsend:not_issuedなら現在のmanaged世代・生の未入力状態・入力待ちを再確認し、
-同じsessionへの競合slotや親の未確定作用があれば拒否する。保存済みacceptedを後の世代の不明解除の証拠にしない。
-issued、入力済み・不明、停止、別slot、世代/native/serverの不一致は拒否。後続sendは元source世代を含め通常受付を通る。
-遅着した元callbackはまだ所有するissued stage/slotがある時だけunknownを書け、照合後や別stageを上書きしない。
-native handlerのisErrorは元の本文を保持し、`aiterm/execution_error`のcode/effectを併記する。
-native作用後の不明はpossibleのままで、原因説明を再送可否や成功receiptへ変換しない。
 agent sessionへの送信1本を守る`<name>.agent-send.lock`は持つ時間が長いので、持ち主が終了した残骸を次の送信が片付ける。消す役を`<name>.agent-send.lock.reap`の排他作成で1つに絞り、
 その中でもう一度確かめてから消すので、確かめた後で別のlockに入れ替わらない。消す役の印そのものが残った時だけは自動で消さず、`pty_close`を案内する。
 終了した持ち主のpidを別のprocessが使い回すと、pidだけでは生きて見える。生きて見える持ち主は、processが始まってからの経過とlockを作ってからの時間を比べ、

package/docs/RELEASE.md

@@ -117,10 +117,11 @@ dotagentsの導入・更新は不要である。
 利用環境は直前の正常npm versionを明示installして戻す。公開済みtagは動かさず、npm packageは上書きしない。
 state schemaやmigrationを変更するreleaseでは、旧versionへ戻せる条件をCHANGELOGへ明記してから公開する。
 
-### Native interrupt platform scope
-
-The opt-in `execution-native-server.js` socket/graph entry currently supports POSIX (Linux/macOS).
-Its private graph checkpoint requires directory fsync and explicitly rejects Windows before state writes.
-The Windows full gate continues to run the ordinary 18-tool product regression suite, portable graph planning/key dispatch tests,
-and the explicit unsupported checkpoint case. POSIX checkpoint/participant integration cases carry individual Windows skips;
-those skips do not establish native Windows interrupt support. Do not describe three-OS CI as four-harness/native Windows acceptance.
+### Ordinary delivery and historical graph fixtures
+
+The normal MCP entry and parent hooks do not construct the shared execution
+tracking runtime. The legacy native CLI serves ordinary delivery plus direct
+leaf-first stop, without graph registration or writer-lock admission.
+The retained experimental graph/checkpoint fixtures are historical POSIX-only
+library tests, not ordinary delivery or stop requirements. Their Windows skips
+do not establish native Windows interrupt support.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "aiterm-mcp",
-  "version": "0.61.16",
+  "version": "0.61.17",
   "mcpName": "io.github.kitepon/aiterm-mcp",
   "description": "Persistent terminal MCP with one harness-based launcher for Claude Code, Codex CLI, Grok CLI, and Cursor Agent CLI, plus durable PTYs for SSH, containers, and REPLs.",
   "keywords": [