elanous 0.2.23 → 0.2.24

package/src/agent-substrate/pr-reviewer.ts

@@ -652,20 +652,47 @@ export function buildReviewPrompt(
  *  `none of the tests …`. 표지 낱말로 시작하는 실제 블로커를 지우면 PASS/WARN 리뷰에서 블로커가 사라진다. */
 const NONE_WORD = String.raw`(?:없음|해당\s*없음|n\/a|none|nothing)`;
 const BARE_SENTINEL = new RegExp(String.raw`^${NONE_WORD}\s*[.。]?$`, 'i');
-const BRACKETED_SENTINEL = new RegExp(String.raw`^[([（【]\s*${NONE_WORD}(?:\s*[—–\-:.,;]\s*([^)\]）】]*))?\s*[)\]）】]$`, 'i');
+const BRACKETED_SENTINEL = new RegExp(String.raw`^[([（【]\s*${NONE_WORD}(?:\s*[—–\-:.,;·]\s*([^)\]）】]*))?\s*[)\]）】]$`, 'i');
 // ⭐ 설명 «전체»가 「지적 없음」 한 문장일 때만 — 일부만 맞아도 접으면 `(none: no blockers are checked because …)` 같은 지적이 사라진다.
 const NO_FINDING_REMARK = new RegExp([
   String.raw`^(?:(?:블로커|차단)\s*)?(?:수준의?\s*)?(?:결함|문제|이슈|지적|블로커)(?:은|는|이|가)?\s*(?:발견되지\s*않(?:음|았(?:다|습니다)?)|없(?:음|다|습니다))[.。]?$`,
   String.raw`^(?:no|zero)\s+(?:blocking\s+)?(?:blockers?|issues?|problems?|findings?|must-?fix(?:es)?)(?:\s+found)?\.?$`,
   String.raw`^nothing\s+(?:blocking|to\s+fix)\.?$`,
+  // REVIEW-MUSTFIX-NONE-SENTINEL — `(없음 — 수용기준 충족)` · `(none — acceptance criteria met)` (GLM 실측 6건). «미충족» 은 ^ 앵커로 안 맞는다.
+  String.raw`^수용\s*기준(?:을|이)?\s*(?:(?:모두|전부)\s*)?충족(?:함|됨|했다|합니다)?[.。]?$`,
+  String.raw`^(?:all\s+)?acceptance\s+criteria\s+(?:are\s+)?(?:all\s+)?met\.?$`,
 ].join('|'), 'i');
+// REVIEW-MUSTFIX-NONE-SENTINEL 후속 — GLM 이 괄호 안에 «무소견 머리 + 긴 근거»를 쓴다(10-11 TC `pr land` 가 `review-must-fix-1` 로 거부):
+//   `(없음 — 수용기준 충족: 머리말에 … 반영됨 …)` · `(없음 — 수용기준 3항 모두 충족: … (\`'failed'\` 반환) · …)`(근거 안에 괄호가 또 있다).
+//   ⭐ 길이 무관 0 은 «머리»가 무소견 서술이고 바로 구분자가 올 때만 — 머리가 결함 서술이면(`(없음 — 하지만 X 가 깨진다)`) 지적으로 남긴다.
+//   ⛔ 근거에 역접·미충족(`하지만`·`다만`·`미충족`·`but`·`except`·`not met` …)이 있으면 보수적으로 지적으로 남긴다.
+const LONG_BRACKETED_SENTINEL = new RegExp(String.raw`^[([（【]\s*${NONE_WORD}\s*[—–\-:·]\s*([\s\S]+?)\s*[)\]）】]$`, 'i');
+const NO_FINDING_HEAD = new RegExp('^(?:' + [
+  String.raw`수용\s*기준(?:\s*\d+\s*(?:항|개|건)(?:목)?)?(?:을|이)?\s*(?:(?:모두|전부)\s*)?충족(?:함|됨|했다|합니다)?`,
+  String.raw`(?:all\s+)?acceptance\s+criteria\s+(?:are\s+)?(?:all\s+)?met`,
+  String.raw`must-?fix\s*(?:항목)?(?:은|는|이|가)?\s*(?:없(?:음|다|습니다)|0\s*건)`,
+  String.raw`(?:no|zero)\s+(?:blocking\s+)?(?:blockers?|must-?fix(?:es)?)(?:\s+found)?`,
+  String.raw`(?:(?:블로커|차단)\s*)?(?:수준의?\s*)?(?:결함|블로커)(?:은|는|이|가)?\s*(?:발견되지\s*않(?:음|았(?:다|습니다)?)|없(?:음|다|습니다))`,
+].join('|') + String.raw`)\s*(?:[:：—–\-·,;.。(]|$)`, 'i');
+const LONG_REMARK_DISSENT = /하지만|그러나|다만|(?<![가-힣])단(?:,|\s)|미\s*충족|불\s*충족|충족하지|충족되지|\bbut\b|\bhowever\b|\bexcept\b|\balthough\b|\bnot\s+(?:yet\s+)?met\b|\bunmet\b/i;
+/** 괄호 안이 «없음 + 구분자 + 무소견 머리 …» 인가 — 길이 무관(근거 안 괄호도 허용). `isNoneSentinelFinding` 의 갈래. */
+function isLongNoFindingBracket(text: string): boolean {
+  const m = LONG_BRACKETED_SENTINEL.exec(text.trim());
+  if (!m) return false;
+  const remark = m[1]!.trim();
+  return NO_FINDING_HEAD.test(remark) && !LONG_REMARK_DISSENT.test(remark);
+}
+/** must-fix 항목이 «지적 없음» 표지인가 — must-fix 를 세는 자리는 전부 `parseReviewResult` 를 거친다
+ *  (`self review --json` 의 `mustFix` → TA `parseReviewResultOutput` → `pr land --overlap-evidence` 의 `review-must-fix-N`). */
 function isNoneSentinelFinding(finding: string): boolean {
   const text = finding.trim();
   if (BARE_SENTINEL.test(text)) return true;
   const bracketed = BRACKETED_SENTINEL.exec(text);
-  if (!bracketed) return false;
-  const remark = bracketed[1]?.trim();
-  return !remark || NO_FINDING_REMARK.test(remark);
+  if (bracketed) {
+    const remark = bracketed[1]?.trim();
+    if (!remark || NO_FINDING_REMARK.test(remark)) return true;
+  }
+  return isLongNoFindingBracket(text);
 }
 
 /** critic 응답 파싱 → ReviewResult. 순수함수. VERDICT + MUST-FIX/SHOULD-FIX/REQUIREMENTS 섹션 분해.

package/src/agent-substrate/self-review-cli.ts

@@ -24,6 +24,9 @@ import type { ReferencedFileReader } from '../self-implement/goal-file-reader.js
 import type { SubscriptionReviewerSpec } from '../user-config.js';
 import { listRunLedgers, lookupPrGoalAcceptance, lookupRunLedger, type PrGoalAcceptanceLookup, type RunLedgerEntry, type RunLedgerLookup } from '../self-implement/run-ledger.js';
 
+/** SUBSCRIPTION-EXHAUST-REROUTE — API reviewer when the configured `roleLlm.reviewer` lane is unavailable (off codex). */
+export const ROLE_REVIEWER_FALLBACK_MODEL = 'openrouter/z-ai/glm-5.3';
+
 export interface SelfReviewCliOpts {
   intent?: string | undefined;
   model?: string | undefined;
@@ -54,8 +57,13 @@ export interface SelfReviewCliDeps {
    *  (`#7486` 리뷰 must-fix · 실제로 `index.ts` 래퍼가 그렇게 한 번 떨어뜨렸다). */
   reviewPullRequest(input: ReviewInput, llm: (prompt: string, images?: readonly ReviewImage[]) => Promise<string>): Promise<ReviewResult>;
   renderReview(review: ReviewResult): string;
-  /** 기본 경로 리뷰어 LLM(API). */
-  makeApiLlm(model: string): (prompt: string) => Promise<string>;
+  /**
+   * 기본 경로 리뷰어 LLM(API).
+   * `o.pinProvider` — 명시 `--model` 일 때 true: 구현은 streamLLM 의 provider 를 그 모델의 provider 로 고정해
+   * 라우터 폴백(grok 등)으로 조용히 넘어가지 않고 실패를 오류로 낸다.
+   * `o.onResolved` — streamLLM 이 «실제로 응답한» provider·model 을 알린다.
+   */
+  makeApiLlm(model: string, o?: { pinProvider?: boolean; onResolved?: (provider: string, model: string) => void }): (prompt: string) => Promise<string>;
   /** `--acp` 경로 리뷰어 LLM(독립 프로세스). */
   /**
    * ⭐ `P4b` — 두 번째 인자가 **멀티미디어 통로**다.
@@ -76,6 +84,11 @@ export interface SelfReviewCliDeps {
   makeRoleReviewerLlm?(spec: SubscriptionReviewerSpec, o: { timeoutMs: number }):
     | { llm: (prompt: string, images?: readonly ReviewImage[]) => Promise<string>; backend: string }
     | { reason: string };
+  /**
+   * SUBSCRIPTION-EXHAUST-REROUTE — API model used when `roleLlm.reviewer` is configured (no explicit flag) but its
+   * lane is unavailable or fails. Absent seam or empty answer = the codex-ladder default as before.
+   */
+  roleFallbackModel?(): string | undefined;
   /** 관측 sink 등록 — ⭐ 이 호출이 분기 밖에 있는지가 이 트랙의 계약이다. */
   registerSink(surface: string): Promise<void>;
   /** `data` 는 payload 객체 — 순수 헬퍼가 만든 관측 타입도 그대로 받는다(인덱스 시그니처 강요 금지). */
@@ -95,6 +108,8 @@ export interface SelfReviewCliDeps {
 
 export interface SelfReviewCliOutcome {
   results: Array<Record<string, unknown>>;
+  /** 리뷰하지 못한 PR 수(`gh pr diff` 실패 · ACP 리뷰 reviewed=false) — json·비json 둘 다 센다. index.ts 가 1 이상이면 rc=1. */
+  failed: number;
 }
 
 interface GhResult {
@@ -1175,7 +1190,7 @@ export async function runSelfReviewCliCommand(
       invalidPrArgs: safeInvalidPrArgs,
     }, { level: 'warn' });
     deps.error(`PR 인자가 올바르지 않습니다: ${safeInvalidPrArgs.join(', ')}. PR 번호는 숫자 형식이어야 합니다 (예: elanous self review 5502).`);
-    return { results: [] };
+    return { results: [], failed: 0 };
   }
 
   const useAcp = opts.acp === true;
@@ -1197,11 +1212,19 @@ export async function runSelfReviewCliCommand(
   if (useAcp) {
     acpReviewLLM = deps.makeAcpLlm({ backend: acpBackend, ...(acpModel ? { model: acpModel } : {}), timeoutMs: acpTimeoutSec * 1000 });
   }
-  const model = useAcp ? `acp:${acpBackend}${acpModel ? `/${acpModel}` : ''}` : (opts.model || deps.envModel() || tierModel('better'));
   // ⭐ Reviewer selection source. An explicit flag always wins byte-for-byte; only without one does
   //    `roleLlm.reviewer` (the harness's reviewer row) pick the ACP lane. Worst case = today's API review.
   const explicitReviewerFlag = opts.acp === true || Boolean(opts.acpBackend) || Boolean(opts.acpModel?.trim()) || Boolean(opts.model?.trim());
   const reviewerSource: 'cli' | 'role-config' | 'default' = explicitReviewerFlag ? 'cli' : opts.roleReviewer ? 'role-config' : 'default';
+  // SUBSCRIPTION-EXHAUST-REROUTE (0.2.24): when `roleLlm.reviewer` is configured but its lane is unavailable
+  //   (10-11 prod: «Claude subscription usage unavailable or at harness cap (60%)»), the API fallback was the codex
+  //   ladder default (`tierModel('better')` = gpt-6-sol) — the CLI read roleLlm.reviewer, then spent codex anyway.
+  //   ⇒ the role-config lane falls back to `roleFallbackModel()` (off codex) when the seam gives one. Explicit flag
+  //   and ELANOUS_PR_REVIEW_MODEL still win; no seam / no answer = today's default byte-for-byte.
+  const envModel = deps.envModel();
+  const roleFallbackModel = !useAcp && !opts.model && !envModel && reviewerSource === 'role-config'
+    ? deps.roleFallbackModel?.()?.trim() || undefined : undefined;
+  const model = useAcp ? `acp:${acpBackend}${acpModel ? `/${acpModel}` : ''}` : (opts.model || envModel || roleFallbackModel || tierModel('better'));
   let roleReviewer: { llm: (prompt: string, images?: readonly ReviewImage[]) => Promise<string>; model: string } | undefined;
   let roleReviewerUnavailableReason: string | undefined;
   let roleReviewerAvailabilityMs: number | undefined;
@@ -1223,6 +1246,7 @@ export async function runSelfReviewCliCommand(
       deps.log('role-reviewer-fallback', {
         reviewerSource, roleReviewerProvider: opts.roleReviewer.provider, roleReviewerAvailabilityMs,
         stage: 'availability', reason: roleReviewerUnavailableReason, fallbackModel: safeLogText(model),
+        fallbackModelSource: roleFallbackModel ? 'role-fallback' : 'default',
       }, { level: 'warn' });
     }
   }
@@ -1234,6 +1258,7 @@ export async function runSelfReviewCliCommand(
     ...(roleReviewerUnavailableReason ? { roleReviewerFallbackReason: roleReviewerUnavailableReason } : {}),
   });
   const results: Array<Record<string, unknown>> = [];
+  let failed = 0;
   const providedReviewerContext = loadReviewerContext(opts, deps.readReferencedFile);
   const hasProvidedReviewerContext = (opts.contextOrder?.length ?? 0) > 0 || (opts.context?.length ?? 0) > 0 || (opts.contextText?.length ?? 0) > 0;
   for (const pr of prArgs) {
@@ -1311,6 +1336,7 @@ export async function runSelfReviewCliCommand(
       const contextOutput = reviewerContextOutput(reviewerContext, decompositionContext);
       if (opts.json) results.push({ pr, error: err, ...contextOutput, ...comparisonData, ...(mismatchWarning ?? {}) });
       else deps.error(`PR ${pr}: ${err}\n${reviewerContextStatus}`);
+      failed += 1;
       continue;
     }
     // ⭐ S2(2026-07-30) — 리뷰 증거를 **이 PR 이 저작한 변경**으로 좁힌다. 실측 7건에서 1건만
@@ -1375,7 +1401,12 @@ export async function runSelfReviewCliCommand(
     }
     const startedAt = deps.now();
     // Role-config lane builds the API reviewer only when it falls back (`made().api` stays 0 on ACP success).
-    const llmReview = roleReviewer ? undefined : (acpReviewLLM ?? deps.makeApiLlm(model));
+    const responded: { provider?: string; model?: string } = {};
+    const makeApi = () => deps.makeApiLlm(model, {
+      pinProvider: Boolean(opts.model?.trim()),
+      onResolved: (provider, respondedModel) => { responded.provider = provider; responded.model = respondedModel; },
+    });
+    const llmReview = roleReviewer ? undefined : (acpReviewLLM ?? makeApi());
     // ⛔ evidenceNote 는 **별도 채널**이다 — phaseIntent 에 섞으면 의도 채널이 오염된다(실측: 그렇게
     //   했다가 intent 배선 테스트 3개가 즉시 깨졌다).
     // ⛔ 사람 `--intent`(phaseIntent) 와 골 acceptance 는 다른 인자 — 충돌하지 않고, 충돌해도 intent 가 이긴다.
@@ -1414,7 +1445,7 @@ export async function runSelfReviewCliCommand(
         }, { level: 'warn' });
       }
     }
-    let review = roleReview ?? await deps.reviewPullRequest(reviewInput, llmReview ?? acpReviewLLM ?? deps.makeApiLlm(model));
+    let review = roleReview ?? await deps.reviewPullRequest(reviewInput, llmReview ?? acpReviewLLM ?? makeApi());
     let selectedModel = roleReview && roleReviewer ? roleReviewer.model : model;
     let reviewRoute: 'api' | 'acp' | 'acp-fallback' = useAcp || roleReview ? 'acp' : 'api';
     let fallbackAttempted = false;
@@ -1463,6 +1494,11 @@ export async function runSelfReviewCliCommand(
       ...(fallbackFailures.length ? { fallbackFailures } : {}),
       ...(skippedAcpFallbackBackends.length ? { skippedAcpFallbackBackends } : {}),
     };
+    // API 경로로 «성공한» 리뷰만 응답 provider·model 을 싣는다(요청 model 과 다르면 둘 다 보인다).
+    //   ⚠️ streamLLM 의 onResolvedProvider 는 시도 «전»에 불린다 — 실패한 리뷰에 실으면 응답 안 한 provider 를 «응답했다»로 적는다.
+    const respondedOutput = reviewRoute === 'api' && review.reviewed === true && responded.provider
+      ? { respondedProvider: responded.provider, respondedModel: responded.model }
+      : {};
     // ⚠️ `buildReviewObservation` drops unknown keys — the selection rides next to it, not inside it.
     const reviewerSelection = {
       ...reviewerSourceObservation(),
@@ -1492,14 +1528,17 @@ export async function runSelfReviewCliCommand(
     if (useAcp && review.reviewed === false) {
       const err = 'ACP 리뷰 실행 실패(reviewed=false) — 관측: elanous logs --category acp-review';
       const contextOutput = reviewerContextOutput(reviewerContext, decompositionContext);
-      if (opts.json) results.push({ pr, error: err, ...review, verdict: null, ...reviewProvenance, ...reviewerSelection, ...provenance, ...contextOutput });
+      if (opts.json) results.push({ pr, error: err, ...review, verdict: null, ...reviewProvenance, ...respondedOutput, ...reviewerSelection, ...provenance, ...contextOutput });
       else deps.error(`PR ${pr}: ${err}\n${renderProvenance(diffRead)}\n${reviewerContextStatus}`);
+      failed += 1;
       continue;
     }
     const contextOutput = reviewerContextOutput(reviewerContext, decompositionContext);
     const jsonReview = review.reviewed === true ? review : { ...review, verdict: null };
-    if (opts.json) results.push({ pr, model: selectedModel, ...jsonReview, ...reviewProvenance, ...reviewerSelection, ...provenance, ...contextOutput, evidence: evidence.evidence, prDiffFiles: evidence.prDiffFiles, ...(evidence.authoredFiles !== undefined ? { authoredFiles: evidence.authoredFiles } : {}) });
+    if (opts.json) results.push({ pr, model: selectedModel, ...jsonReview, ...reviewProvenance, ...respondedOutput, ...reviewerSelection, ...provenance, ...contextOutput, evidence: evidence.evidence, prDiffFiles: evidence.prDiffFiles, ...(evidence.authoredFiles !== undefined ? { authoredFiles: evidence.authoredFiles } : {}) });
     else deps.print(`\n━━ PR ${pr} (${selectedModel}) ━━\n${renderProvenance(diffRead)}\n${evidenceLine}\n${reviewerContextStatus}\n${deps.renderReview(review)}`);
+    // REVIEW-ERROR-RC — 기본(API)·role 경로가 1차·폴백 모두 실패해 reviewed≠true 로 끝나도 «못 리뷰한 PR» 이다(verdict:null).
+    if (review.reviewed !== true) failed += 1;
   }
-  return { results };
+  return { results, failed };
 }

package/src/autopilot/mission-critique.ts

@@ -106,12 +106,25 @@ export function buildCritiquePrompt(input: { planBody: string; changedFiles: str
   ].join('\n');
 }
 
-/** LLM 응답 파싱 → verdict + findings. 순수함수(LLM node 규칙). */
+/** 판정 줄 — «줄 머리» VERDICT 만 판정으로 읽는다(본문 중간 인용·설명 속 «VERDICT:» 오인 방지).
+ *  들여쓰기는 허용(mission-engine 의 미션 판정 파서와 같은 앵커). */
+const CRITIQUE_VERDICT_LINE = /^[ \t]*VERDICT:\s*(PASS|WARN|FAIL)/im;
+/** 판정 줄이 없을 때 findings 에 남기는 fail-closed 사유(REVIEW-NO-VERDICT-FAILCLOSED #25937). */
+const NO_VERDICT_FINDING = '비평 판정 줄(VERDICT) 없음 — 판정 없음은 통과가 아니다(fail-closed · REVIEW-NO-VERDICT-FAILCLOSED #25937)';
+const MAX_CRITIQUE_FINDINGS = 4;
+
+/** LLM 응답 파싱 → verdict + findings. 순수함수(LLM node 규칙).
+ *  ⛔ 판정 줄이 «없으면» pass 로 기본하지 않는다(칸 MISSION-CRITIQUE-FAILCLOSED · #25937):
+ *  «판정 없음 = 통과 아님» ⇒ verdict 'warn' + 사유 finding.
+ *  'fail' 이 아니라 'warn' 인 이유 — 소비측(nocturnal-runner)은 critique verdict==='fail' 에
+ *  gate-failed(재구현 요구)를 건다. «비평가 응답의 형식 결함»을 «구현 훼손」으로
+ *  오귀속시키는 것이다. 'warn' 은 PR 본문(renderCritique)·자율 원장에 그대로 표시되어 사람(HITL)이 판단한다.
+ *  (post-PR 리뷰 축 parseReviewResult 는 substrate 가 `reviewed:false` 로 같은 fail-closed 를 이미 한다.) */
 export function parseLLMCritique(text: string): { verdict: CritiqueResult['verdict']; findings: string[] } {
-  const vm = /VERDICT:\s*(PASS|WARN|FAIL)/i.exec(text);
-  const verdict = (vm ? vm[1]!.toLowerCase() : 'pass') as CritiqueResult['verdict'];
-  const findings = text.split('\n').map((l) => l.trim()).filter((l) => l.startsWith('- ')).map((l) => l.slice(2).trim()).slice(0, 4);
-  return { verdict, findings };
+  const bullets = text.split('\n').map((l) => l.trim()).filter((l) => l.startsWith('- ')).map((l) => l.slice(2).trim());
+  const vm = CRITIQUE_VERDICT_LINE.exec(text);
+  if (!vm) return { verdict: 'warn', findings: [NO_VERDICT_FINDING, ...bullets].slice(0, MAX_CRITIQUE_FINDINGS) };
+  return { verdict: vm[1]!.toLowerCase() as CritiqueResult['verdict'], findings: bullets.slice(0, MAX_CRITIQUE_FINDINGS) };
 }
 
 /** ★ R1 결정론 + LLM 비평(대표 2026-07-12) — 결정론(R0) 먼저, llmReview 주입 시 LLM 심층 비평

package/src/autopilot/mission-feasibility-negotiate.ts

@@ -11,7 +11,7 @@
 // 2 예산(§8-5·config-first): maxStalls(언제 협상) · maxReplans(언제 partial 포기). a6230f 실측 튜닝.
 // 제1원칙: 협상 제안을 debug.log('mission.negotiate')로 관측.
 
-import { getUserConfig } from '../user-config.js';
+import { getUserConfig, resolveRoleLlm } from '../user-config.js';
 import { debug } from '../debug/log.js';
 
 export interface FeasibilityBudget {
@@ -104,16 +104,17 @@ function buildNegotiatePrompt(input: NegotiateInput, overBudget: boolean): strin
   ].filter(Boolean).join('\n');
 }
 
-async function defaultJudge(prompt: string): Promise<string> {
-  // ★ 모델 기반 provider 라우팅(2026-07-14) — 협상은 강한 추론이 핵심이라 기본 opus 4.8(대표 셋업).
-  //   getProvider(model)로 모델 계열 라우팅(claude-* → anthropic·env/config 키)해 활성 provider(codex 등)
-  //   무관하게 지목 모델이 닿는다. resolveDefaultProvider(활성 반환)면 opus 를 codex 로 보내 400→fail-soft.
-  //   env(ELANOUS_NEGOTIATE_MODEL·ELANOUS_DECOMPOSE_MODEL)로 override 가능.
-  const { streamLLM, getProvider } = await import('../llm.js');
-  const model = process.env.ELANOUS_NEGOTIATE_MODEL || process.env.ELANOUS_DECOMPOSE_MODEL || 'claude-opus-4-8';
-  const provider = getProvider(model);
+export async function defaultJudge(prompt: string): Promise<string> {
+  const { streamLLM, getProvider, PROVIDERS } = await import('../llm.js');
+  const override = process.env.ELANOUS_NEGOTIATE_MODEL || process.env.ELANOUS_DECOMPOSE_MODEL;
+  const resolved = override ? undefined : resolveRoleLlm('planning');
+  const model = override || resolved!.model;
+  const provider = override ? getProvider(model) : PROVIDERS[resolved!.provider];
+  const providerName = override ? provider.name : resolved!.provider;
+  if (!provider) throw new Error(`Unknown planning provider: ${providerName}`);
+  debug.log('llm.role-pin', 'resolved', { site: 'feasibility-negotiate', role: 'planning', model, provider: providerName, source: override ? 'env' : resolved!.source });
   return streamLLM([{ role: 'user', content: prompt }], () => {}, {
-    model, reasoningEffort: 'medium', ...(provider ? { provider } : {}),
+    model, provider, usageRole: 'planning', reasoningEffort: 'medium',
   });
 }
 

package/src/autopilot/mission-trace.ts

@@ -91,6 +91,17 @@ export function rollupDerived(derived: DerivedJob[]): MissionRollup {
 
 export interface TracePaths { schedulesDb?: string; tasksDb?: string; surfaceEventsDb?: string }
 
+/** 크론 행 목록 → 파생물(순수 · 행→DerivedJob 매핑의 «단일 소유»).
+ *  ⛔ 목록 화면(`/v1/missions` 카드)도 이 함수를 쓴다 — 크론 매핑을 두 번
+ *  쓰면 「트레이스는 stale 인데 카드는 ok」 갈림이 생긴다.
+ *  `staleIds` 는 `scheduleHealth(rows).stale` 로 «한 번» 구해 넣는다. */
+export function cronRowsToDerived(
+  rows: readonly ScheduleRow[],
+  staleIds: ReadonlySet<string>,
+): DerivedJob[] {
+  return rows.map(r => cronToDerived(r, staleIds.has(r.id)));
+}
+
 /** 크론 파생물 — schedule_registry.autopilot_id = apmId + scheduleHealth 상태. */
 function fetchCronDerived(apmId: string, schedulesDb?: string): DerivedJob[] {
   try {
@@ -98,7 +109,7 @@ function fetchCronDerived(apmId: string, schedulesDb?: string): DerivedJob[] {
     try {
       const rows = listSchedules(db);
       const staleIds = new Set(scheduleHealth(rows).stale.map(s => s.id));
-      return rows.filter(r => r.autopilot_id === apmId).map(r => cronToDerived(r, staleIds.has(r.id)));
+      return cronRowsToDerived(rows.filter(r => r.autopilot_id === apmId), staleIds);
     } finally { db.close(); }
   } catch { return []; }
 }

package/src/autopilot/system-lookback-run.ts

@@ -2,7 +2,7 @@
 //
 // system-lookback.ts 는 순수(의심 소스 매핑 + 프롬프트 빌더)였고, "실제 LLM 조사·소스 read 는
 // 배선측이 수행"이라 명시돼 있었다. 이 모듈이 그 배선이다: 모순 신호 → 의심 소스 파일 READ-ONLY
-// 발췌 → buildLookbackPrompt → Opus(claude-opus-4-8) 조사 → 결함 리포트. 수정 권한 없음(READ-ONLY).
+// 발췌 → buildLookbackPrompt → 역할 audit 이 고른 모델 조사 → 결함 리포트. 수정 권한 없음(READ-ONLY).
 //
 // escalate(mission-tool)가 시스템 결함 의심(systemSuspect) 페이즈에서 이 러너를 호출해 결함
 // 리포트를 얻고, 그 리포트를 수리 미션 골에 실어 스폰한다(system-repair-spawn). 진단 해상도 사다리
@@ -12,18 +12,24 @@ import { readFileSync } from 'node:fs';
 import { join } from 'node:path';
 import type { ContradictionSignal } from './contradiction-detector.js';
 import { buildLookbackPrompt, suspectSourceFiles } from './system-lookback.js';
+import { resolveRoleLlm } from '../user-config.js';
+import { debug } from '../debug/log.js';
 
-/** R3 조사 LLM 호출 seam — 기본은 Opus(claude-opus-4-8·READ-ONLY 진단). 테스트/재사용 위해 주입 가능.
- *  llmReviewCritique(mission-se-bridge) 와 같은 streamLLM 패턴(모델만 Opus·진단은 길게 maxTokens 2500). */
+/** R3 조사 LLM 호출 seam — 역할 audit 모델(READ-ONLY 진단). 테스트/재사용 위해 주입 가능. */
 async function opusLookback(prompt: string): Promise<string> {
-  const { streamLLM, resolveDefaultProvider, getProvider } = await import('../llm.js');
-  const model = process.env.ELANOUS_LOOKBACK_MODEL || 'claude-opus-4-8';
-  // ★ claude 모델은 prefix 매칭(getProvider)으로 anthropic 확정(dogfood 2026-07-13 발견) —
-  //   resolveDefaultProvider 는 user-config provider(codex 등)를 모델 무관하게 반환해 claude 를
-  //   codex 로 오라우팅한다(Codex 400: model not supported). 폴백 방어까지.
-  const provider = model.startsWith('claude-') ? getProvider(model) : resolveDefaultProvider(model);
+  const { streamLLM, resolveDefaultProvider, getProvider, PROVIDERS } = await import('../llm.js');
+  const override = process.env.ELANOUS_LOOKBACK_MODEL;
+  const resolved = override ? undefined : resolveRoleLlm('audit');
+  const model = override || resolved!.model;
+  // 명시 env 모델의 provider 선택은 종전과 동일하다.
+  const provider = override
+    ? (model.startsWith('claude-') ? getProvider(model) : resolveDefaultProvider(model))
+    : PROVIDERS[resolved!.provider];
+  const providerName = override ? provider?.name : resolved!.provider;
+  if (!provider) throw new Error(`Unknown audit provider: ${providerName}`);
+  debug.log('llm.role-pin', 'resolved', { site: 'system-lookback', role: 'audit', model, provider: providerName, source: override ? 'env' : resolved!.source });
   return streamLLM([{ role: 'user', content: prompt }], () => {}, {
-    model, maxTokens: 2500, ...(provider ? { provider } : {}),
+    model, provider, usageRole: 'audit', maxTokens: 2500,
   });
 }
 

package/src/bench/bench.ts

@@ -0,0 +1,183 @@
+/**
+ * BENCH-ISOLATED-ARMS — 같은 골을 모델만 바꿔 여러 «팔»로 쏘는 벤치를 기준선과 떼어 놓는다.
+ *
+ * S: 벤치는 손 스크립트가 base sha 를 `bench/base-night-<sha12>` 로 push 하고 `harness ask --base` 로 쏜다.
+ * C: 그 벤치 가지로 다른 PR 이 squash 병합돼 기준선이 오염됐고(#26022), 팔 PR 이 PR 직전 main 동기화에서
+ *    merge-conflict 로 «실패»로 셈돼 판정이 흐려졌다.
+ * A: 기준선 가지 이름을 `bench/<id>/base` 하나로 고정하고, 그 이름 «자체»를 벤치 표지로 쓴다 —
+ *    호스트 → self orchestrate → Pod → 안쪽 harness ask 까지 `--base` 가 이미 흐르므로 새 배관이 없다.
+ *    - 팔 가지 = `bench/<id>/<arm>` (arm = 자식 모델에서 파생 ⊕ 런 접미 — 같은 모델 n 팔이 안 겹친다)
+ *    - PR base = `bench/<id>/base` · 라벨 `elanous:bench`
+ *    - PR 직전 main 동기화는 건너뛴다(관측 `bench`/`main-sync-skipped`) — 판정은 base 위 게이트·시험·리뷰
+ *    - 원장 = `<config dir>/bench/<id>.jsonl` · 읽기 = `elanous bench ls <id>`
+ *    ⛔ base 는 «자식 작업 가지의 출발점»(⊕ PR base)으로만 쓰인다 — 부모 cwd 를 base 트리로 옮기지 않는다.
+ *      부모·Pod 발사 코드는 지금 도는 코드다(원장 `parentCodeCommit` 이 그 커밋을 base sha 와 따로 적는다).
+ * ⛔ 착지 막기는 여기 몫이 아니다(LAND-BASE-MAIN-GUARD · base≠main 재사용 PR 거부).
+ */
+import { spawnSync } from 'node:child_process';
+import { appendFileSync, existsSync, mkdirSync, readFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+export const BENCH_LABEL = 'elanous:bench';
+export const BENCH_LOG_CATEGORY = 'bench';
+
+const BENCH_ID = /^[a-z0-9][a-z0-9._-]{0,63}$/i;
+const SHA = /^[0-9a-f]{7,40}$/i;
+
+export interface BenchSpec { readonly id: string; readonly sha?: string }
+
+/** `--bench <id>[:<base-sha>]` 를 푼다. ⛔ 모르는 꼴은 «거부»한다 — 조용히 고치면 다른 기준선으로 돈다. */
+export function parseBenchSpec(spec: string): BenchSpec {
+  const raw = spec.trim();
+  const colon = raw.indexOf(':');
+  const id = colon < 0 ? raw : raw.slice(0, colon);
+  const sha = colon < 0 ? undefined : raw.slice(colon + 1);
+  if (!BENCH_ID.test(id) || id === 'base') {
+    throw new Error(`--bench id 가 잘못됐다: ${JSON.stringify(id)} — 영숫자로 시작하는 [A-Za-z0-9._-] 64자 이내(슬래시 금지 · 'base' 금지)`);
+  }
+  if (sha !== undefined && !SHA.test(sha)) {
+    throw new Error(`--bench base sha 가 잘못됐다: ${JSON.stringify(sha)} — 16진 7~40자`);
+  }
+  return { id, ...(sha !== undefined ? { sha: sha.toLowerCase() } : {}) };
+}
+
+export function benchBaseBranch(id: string): string { return `bench/${id}/base`; }
+
+function stripRef(ref: string): string {
+  return ref.trim().replace(/^refs\/heads\//, '').replace(/^refs\/remotes\/origin\//, '').replace(/^origin\//, '');
+}
+
+/** `bench/<id>/base` 면 id, 아니면 null. `origin/`·`refs/heads/` 접두는 벗긴다. */
+export function benchIdFromBase(ref: string | undefined | null): string | null {
+  if (!ref) return null;
+  const m = /^bench\/([^/]+)\/base$/.exec(stripRef(ref));
+  return m && BENCH_ID.test(m[1]!) ? m[1]! : null;
+}
+
+/** `bench/<id>/<arm>`(arm ≠ base) 면 {id, arm}, 아니면 null. */
+export function parseBenchArmBranch(ref: string | undefined | null): { id: string; arm: string } | null {
+  if (!ref) return null;
+  const m = /^bench\/([^/]+)\/([^/]+)$/.exec(stripRef(ref));
+  if (!m || m[2] === 'base' || !BENCH_ID.test(m[1]!)) return null;
+  return { id: m[1]!, arm: m[2]! };
+}
+
+/** 팔 이름 — 자식 모델의 마지막 토막(`openrouter/z-ai/glm-5.3-flash` → `glm-5.3-flash`) ⊕ 런 접미 6자.
+ *  ⭐ 접미가 있어야 같은 모델 n 팔(sonnet1~3)이 같은 가지로 겹쳐 서로의 PR 을 덮지 않는다. */
+export function benchArmName(childModel: string | undefined, runId: string | undefined): string {
+  const last = childModel?.trim().split('/').filter(Boolean).at(-1) ?? '';
+  const slug = last.toLowerCase().replace(/[^a-z0-9._-]+/g, '-').replace(/^[-.]+|[-.]+$/g, '').slice(0, 40) || 'default';
+  const suffix = (runId ?? '').toLowerCase().replace(/^run-/, '').replace(/[^a-z0-9]/g, '').slice(0, 6);
+  return suffix ? `${slug}-${suffix}` : slug;
+}
+
+/** 벤치 base 위의 런이면 팔 가지 이름, 아니면 undefined(동작 불변). */
+export function benchArmBranchForBase(base: string | undefined, childModel: string | undefined, runId: string | undefined): string | undefined {
+  const id = benchIdFromBase(base);
+  return id ? `bench/${id}/${benchArmName(childModel, runId)}` : undefined;
+}
+
+export type BenchGitRun = (args: readonly string[]) => { status: number | null; stdout: string; stderr: string };
+
+export function defaultBenchGitRun(cwd: string): BenchGitRun {
+  return (args) => {
+    const r = spawnSync('git', [...args], { cwd, encoding: 'utf8', timeout: 120_000 });
+    return { status: r.status, stdout: String(r.stdout ?? ''), stderr: String(r.stderr ?? '') };
+  };
+}
+
+export interface BenchBase { readonly id: string; readonly branch: string; readonly sha: string; readonly created: boolean }
+
+/**
+ * 기준선 가지를 고정한다 — 없으면 만들고, 있으면 sha 일치를 확인한다(불일치 = 거부).
+ * sha 생략: 가지가 «없으면» 발사 시점 origin/main 으로 만들고, «있으면» 그 가지의 sha 를 그대로 쓴다
+ * (첫 팔이 정한 기준선을 뒤 팔이 따라간다 — main 이 그 사이 움직여도 팔끼리 같은 땅).
+ */
+export function ensureBenchBase(spec: BenchSpec, run: BenchGitRun): BenchBase {
+  const branch = benchBaseBranch(spec.id);
+  const must = (args: readonly string[], what: string) => {
+    const r = run(args);
+    if (r.status !== 0) throw new Error(`bench: ${what} 실패 (git ${args.join(' ')} rc=${r.status ?? 'signal'}): ${r.stderr.trim().split('\n')[0] ?? ''}`);
+    return r.stdout.trim();
+  };
+  const trackingFetch = ['fetch', '--no-tags', 'origin', `+refs/heads/${branch}:refs/remotes/origin/${branch}`] as const;
+  const remote = run(['ls-remote', '--exit-code', 'origin', `refs/heads/${branch}`]);
+  if (remote.status !== 0 && remote.status !== 2) {
+    throw new Error(`bench: origin 의 ${branch} 를 못 읽었다 (rc=${remote.status ?? 'signal'}) — 「없다」로 읽지 않는다: ${remote.stderr.trim().split('\n')[0] ?? ''}`);
+  }
+  const existing = remote.status === 0 ? remote.stdout.trim().split(/\s+/)[0]?.toLowerCase() : undefined;
+  if (existing) {
+    if (spec.sha && !existing.startsWith(spec.sha)) {
+      throw new Error(`bench: ${branch} 가 이미 ${existing.slice(0, 12)} 에 있다 — 요청 ${spec.sha.slice(0, 12)} 와 다르다(거부 · 다른 기준선이면 새 bench id 를 써라)`);
+    }
+    must(trackingFetch, `${branch} fetch`);
+    return { id: spec.id, branch, sha: existing, created: false };
+  }
+  must(['fetch', '--no-tags', 'origin', 'main'], 'origin main fetch');
+  const sha = must(['rev-parse', '--verify', `${spec.sha ?? 'origin/main'}^{commit}`], 'base sha 해석').toLowerCase();
+  must(['push', 'origin', `${sha}:refs/heads/${branch}`], `${branch} push`);
+  // push 는 원격 추적 ref 를 안 만든다 — 로컬 기질의 worktree 가 `origin/<branch>` 를 찾도록 한 번 당긴다.
+  must(trackingFetch, `${branch} fetch`);
+  return { id: spec.id, branch, sha, created: true };
+}
+
+export interface BenchLedgerRow {
+  readonly ts: string;
+  readonly event: 'launched' | 'finished';
+  readonly benchId: string;
+  readonly baseBranch: string;
+  readonly baseSha: string;
+  /** 부모(발사 프로세스)가 도는 코드 커밋 — base sha 와 따로 적는다(base 는 작업 가지 출발점에만 쓰인다). */
+  readonly parentCodeCommit?: string | null;
+  /** `harness.imageCommit` (Pod 이미지 pin) — 없으면 null(«못 읽음»과 «없음»을 같은 값으로: 원장엔 설정값만 싣는다). */
+  readonly imageCommit: string | null;
+  readonly childLlmProvider: string | null;
+  readonly childLlmModel: string | null;
+  /** 같은 bench id ⊕ 같은 자식 모델의 몇 번째 발사인가(1부터). */
+  readonly round: number;
+  readonly entrance?: string;
+  readonly substrate?: string;
+  readonly seat?: string;
+  readonly exitCode?: number;
+}
+
+export function benchLedgerPath(id: string, configDir: string): string {
+  return join(configDir, 'bench', `${id}.jsonl`);
+}
+
+export function readBenchLedger(id: string, configDir: string): BenchLedgerRow[] {
+  const path = benchLedgerPath(id, configDir);
+  if (!existsSync(path)) return [];
+  const rows: BenchLedgerRow[] = [];
+  for (const line of readFileSync(path, 'utf8').split('\n')) {
+    if (!line.trim()) continue;
+    try { rows.push(JSON.parse(line) as BenchLedgerRow); } catch { /* 깨진 줄은 건너뛴다 — 수는 renderBenchLs 가 따로 안 센다 */ }
+  }
+  return rows;
+}
+
+export function nextBenchRound(rows: readonly BenchLedgerRow[], childLlmModel: string | null): number {
+  return rows.filter((row) => row.event === 'launched' && (row.childLlmModel ?? null) === childLlmModel).length + 1;
+}
+
+export function appendBenchLedger(row: BenchLedgerRow, configDir: string): void {
+  const path = benchLedgerPath(row.benchId, configDir);
+  mkdirSync(join(configDir, 'bench'), { recursive: true, mode: 0o700 });
+  appendFileSync(path, `${JSON.stringify(row)}\n`, { mode: 0o600 });
+}
+
+export function renderBenchLs(id: string, rows: readonly BenchLedgerRow[]): string {
+  if (rows.length === 0) return `bench ${id}: 원장 줄 0 (기록 없음)`;
+  const lines = [`bench ${id}: ${rows.length}줄`];
+  for (const row of rows) {
+    lines.push([
+      row.ts, row.event, `round=${row.round}`, `base=${row.baseSha.slice(0, 12)}`,
+      `parent=${row.parentCodeCommit ? row.parentCodeCommit.slice(0, 12) : 'unknown'}`,
+      `image=${row.imageCommit ? row.imageCommit.slice(0, 12) : 'none'}`,
+      `child=${row.childLlmProvider ?? '-'}/${row.childLlmModel ?? '-'}`,
+      ...(row.substrate ? [`substrate=${row.substrate}`] : []),
+      ...(row.exitCode !== undefined ? [`rc=${row.exitCode}`] : []),
+    ].join(' '));
+  }
+  return lines.join('\n');
+}

package/src/budget/fetchers/grok.ts

@@ -1,12 +1,12 @@
 // Grok budget fetcher adapter.
 //
 // Reuses `fetchGrokUsage` (src/grok/usage.ts). Existing subscription token
-// only. Does not infer a subscription-pool remaining/reset and does not
-// scrape a web page. Credit figures stay on the credits axis — they are
-// never written into RateWindow.remainingPercent.
+// only. Maps an explicitly returned weekly period + creditUsagePercent into
+// the provider's weekly quota window; credit balances remain on the credits axis.
 
 import {
   fetchGrokUsage,
+  grokUsageToSubscriptionAxis,
   grokUsageToCreditAxis,
   type GrokUsage,
 } from '../../grok/usage.js';
@@ -36,10 +36,20 @@ export function createGrokFetcher(opts: GrokFetcherOpts = {}): ProviderFetcher {
 
 export function grokUsageToSnapshot(usage: GrokUsage, fetchedAt: number = Date.now()): UsageSnapshot {
   const credits = creditsFromGrokUsage(usage);
+  const subscription = grokUsageToSubscriptionAxis(usage);
+  const windows = subscription.status === 'available'
+    ? [{
+        kind: 'weekly' as const,
+        windowMinutes: 10_080,
+        limit: 100,
+        used: 100 - subscription.remainingPercent,
+        remainingPercent: subscription.remainingPercent,
+        resetsAt: subscription.resetsAt,
+      }]
+    : [];
   return {
     provider: 'grok' as UsageProvider,
-    // ⛔ 크레딧 사용률을 구독 창 잔량처럼 보이게 하는 RateWindow 를 만들지 않는다.
-    windows: [],
+    windows,
     ...(credits ? { credits } : {}),
     fetchedAt,
     source: 'oauth-api',