evolcore 0.0.10 → 0.0.12

package/dist/utils/codex-app-server-registry.js

@@ -0,0 +1,90 @@
+import fs from 'fs';
+import path from 'path';
+import { resolvePaths } from '../paths.js';
+import { getProcessStartTime } from './process-introspect.js';
+const CODEX_APP_SERVER_RECORD_PREFIX = 'codex-app-server-';
+const CODEX_APP_SERVER_RECORD_SUFFIX = '.json';
+function recordFilePath(pid) {
+    return path.join(resolvePaths().instanceDir, `${CODEX_APP_SERVER_RECORD_PREFIX}${pid}${CODEX_APP_SERVER_RECORD_SUFFIX}`);
+}
+function writeAtomic(filePath, data) {
+    const temporaryPath = `${filePath}.tmp`;
+    fs.writeFileSync(temporaryPath, data, { mode: 0o600 });
+    fs.renameSync(temporaryPath, filePath);
+}
+/** Register a Codex app-server child owned by this EvolCore runtime. */
+export function registerCodexAppServerProcess(pid) {
+    if (!Number.isInteger(pid) || pid <= 0)
+        throw new Error(`Invalid Codex app-server PID: ${pid}`);
+    const startedAt = getProcessStartTime(pid) ?? Date.now();
+    const filePath = recordFilePath(pid);
+    const record = {
+        owner: 'evolcore',
+        pid,
+        startedAt,
+        startedAtIso: new Date(startedAt).toISOString(),
+        parentPid: process.pid,
+    };
+    fs.mkdirSync(resolvePaths().instanceDir, { recursive: true });
+    writeAtomic(filePath, JSON.stringify(record, null, 2));
+    return filePath;
+}
+/** Remove a process record. Safe to call after a crash or a failed spawn. */
+export function unregisterCodexAppServerProcess(filePath) {
+    if (!filePath)
+        return;
+    try {
+        fs.unlinkSync(filePath);
+    }
+    catch { }
+    try {
+        fs.unlinkSync(`${filePath}.tmp`);
+    }
+    catch { }
+}
+/** Read only well-formed records; malformed records are removed as stale. */
+export function listCodexAppServerProcesses() {
+    const directory = resolvePaths().instanceDir;
+    let names;
+    try {
+        names = fs.readdirSync(directory);
+    }
+    catch {
+        return [];
+    }
+    const entries = [];
+    for (const name of names) {
+        if (!new RegExp(`^${CODEX_APP_SERVER_RECORD_PREFIX}\\d+\\${CODEX_APP_SERVER_RECORD_SUFFIX}$`).test(name))
+            continue;
+        const filePath = path.join(directory, name);
+        try {
+            const value = JSON.parse(fs.readFileSync(filePath, 'utf8'));
+            const pid = value.pid;
+            const startedAt = value.startedAt;
+            const parentPid = value.parentPid;
+            if (value.owner !== 'evolcore'
+                || typeof pid !== 'number' || !Number.isInteger(pid) || pid <= 0
+                || typeof startedAt !== 'number' || !Number.isFinite(startedAt) || startedAt <= 0
+                || typeof parentPid !== 'number' || !Number.isInteger(parentPid) || parentPid <= 0) {
+                unregisterCodexAppServerProcess(filePath);
+                continue;
+            }
+            entries.push({
+                record: {
+                    owner: 'evolcore',
+                    pid,
+                    startedAt,
+                    startedAtIso: typeof value.startedAtIso === 'string'
+                        ? value.startedAtIso
+                        : new Date(startedAt).toISOString(),
+                    parentPid,
+                },
+                filePath,
+            });
+        }
+        catch {
+            unregisterCodexAppServerProcess(filePath);
+        }
+    }
+    return entries;
+}

package/dist/utils/codex-cli.js

@@ -35,5 +35,9 @@ export function execCodexCliSync(args, options) {
     const launchCommand = resolveCodexLaunchCommand(args, { commandPath });
     if (!launchCommand)
         throw new Error('Codex CLI not found');
-    return execFileSync(launchCommand.command, launchCommand.args, options);
+    return execFileSync(launchCommand.command, launchCommand.args, {
+        ...(options ?? {}),
+        // Keep the Windows console policy authoritative for every Codex CLI call.
+        windowsHide: process.platform === 'win32',
+    });
 }

package/dist/utils/cross-platform.js

@@ -6,6 +6,21 @@ import fs from 'fs';
 import { getProcessStartTime, parseCimDate } from './process-introspect.js';
 const execFileAsync = promisify(execFile);
 export const isWindows = process.platform === 'win32';
+/**
+ * Start a detached EvolCore Node process without creating a console window on
+ * Windows. The child is unref'd here so callers cannot accidentally keep the
+ * parent process alive while a lifecycle task is running.
+ */
+export function spawnDetachedNode(args, env = {}) {
+    const child = spawn(process.execPath, [...args], {
+        detached: true,
+        stdio: 'ignore',
+        windowsHide: isWindows,
+        env: { ...process.env, ...env },
+    });
+    child.unref();
+    return child;
+}
 const ENCODE_PATH_MAX = 200;
 function encodePathHash(s) {
     let h = 0;

package/dist/utils/log-writer.js

@@ -231,19 +231,14 @@ export class LogWriter {
         return `${day}-${pad(d.getHours())}`;
     }
     cleanupOldArchives() {
-        LogWriter.cleanupArchivesIn(this.logDir, this.retentionMs);
+        LogWriter.cleanupArchivesIn(this.logDir, this.baseName, this.retentionMs);
     }
     /**
-     * 全局清理：扫整个 logDir，按 retention 删除所有匹配 LogWriter 归档命名约定的文件。
+     * 清理当前日志类型的归档文件，不能跨 baseName 清理。
      *
      * 命名约定：`<baseName>-YYYYMMDD-HH.log`（hourly）或 `<baseName>-YYYYMMDD.log`（daily），
-     * 其中 baseName 由字母/数字/连字符组成。
-     *
-     * 这条规则跨 baseName 统一——只要文件按这个 pattern 命名就认为受 LogWriter 体系管辖。
-     * 这样 conditional 启用的 LogWriter（如 aun trace 关闭时）不会留下永久无人清的归档：
-     * 任意 LogWriter 实例化都会顺便清掉它们。
      */
-    static cleanupArchivesIn(logDir, retentionMs) {
+    static cleanupArchivesIn(logDir, baseName, retentionMs) {
         if (retentionMs <= 0)
             return;
         const cutoff = Date.now() - retentionMs;
@@ -254,9 +249,10 @@ export class LogWriter {
         catch {
             return;
         }
-        const generalPattern = /^[A-Za-z0-9][A-Za-z0-9_-]*-\d{8}(?:-\d{2})?\.log$/;
+        const escapedBaseName = baseName.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
+        const archivePattern = new RegExp(`^${escapedBaseName}-\\d{8}(?:-\\d{2})?\\.log$`);
         for (const name of entries) {
-            if (!generalPattern.test(name))
+            if (!archivePattern.test(name))
                 continue;
             const full = path.join(logDir, name);
             try {

package/dist/utils/logger.js

@@ -24,15 +24,15 @@ function getWriters() {
         closeWriters(writers);
     writers = {
         logDir,
-        main: new LogWriter({ baseName: 'daemon', logDir, rotation: 'hourly', retention: { hours: 24 } }),
+        main: new LogWriter({ baseName: 'daemon', logDir, rotation: 'hourly', retention: { hours: 48 } }),
         message: config.messageLog
-            ? new LogWriter({ baseName: 'messages', logDir, rotation: 'hourly', retention: { hours: 24 } })
+            ? new LogWriter({ baseName: 'messages', logDir, rotation: 'hourly', retention: { hours: 48 } })
             : null,
         event: config.eventLog
-            ? new LogWriter({ baseName: 'events', logDir, rotation: 'hourly', retention: { hours: 24 } })
+            ? new LogWriter({ baseName: 'events', logDir, rotation: 'hourly', retention: { hours: 48 } })
             : null,
-        channelIn: new LogWriter({ baseName: 'channel-in', logDir, rotation: 'hourly', retention: { hours: 24 } }),
-        channelOut: new LogWriter({ baseName: 'channel-out', logDir, rotation: 'hourly', retention: { hours: 24 } }),
+        channelIn: new LogWriter({ baseName: 'channel-in', logDir, rotation: 'hourly', retention: { hours: 48 } }),
+        channelOut: new LogWriter({ baseName: 'channel-out', logDir, rotation: 'hourly', retention: { hours: 48 } }),
     };
     return writers;
 }

package/dist/utils/npm-ops.js

@@ -20,7 +20,7 @@ export async function npmInstallGlobal(pkg) {
     // Windows: run via cmd /c to avoid shell:true deprecation warning on Node 22.
     // Unix: npm directly, no shell needed.
     if (isWindows) {
-        cmd = 'cmd';
+        cmd = process.env.ComSpec || path.join(process.env.SystemRoot || 'C:\\Windows', 'System32', 'cmd.exe');
         args = ['/c', 'npm', 'install', '-g', pkg];
     }
     else {
@@ -28,14 +28,14 @@ export async function npmInstallGlobal(pkg) {
         args = ['install', '-g', pkg];
     }
     try {
-        await execFileAsync(cmd, args, { timeout: 180000 });
+        await execFileAsync(cmd, args, { timeout: 180000, windowsHide: isWindows });
     }
     catch (e) {
         if (e.stderr?.includes('EACCES') || e.message?.includes('EACCES')) {
             if (isWindows) {
                 throw new Error('权限不足。请以管理员身份运行 PowerShell 或 CMD，然后重试');
             }
-            await execFileAsync('sudo', ['npm', 'install', '-g', pkg], { timeout: 180000 });
+            await execFileAsync('sudo', ['npm', 'install', '-g', pkg], { timeout: 180000, windowsHide: false });
         }
         else {
             throw e;
@@ -103,7 +103,7 @@ export function resolveGlobalPkg(pkgName) {
         // 避免 "args 数组 + shell:true" 组合触发 Node DeprecationWarning，且无注入风险。
         const npmCmd = isWindows ? 'npm.cmd' : 'npm';
         const globalRoot = execSync(`${npmCmd} root -g`, {
-            encoding: 'utf-8', timeout: 10000,
+            encoding: 'utf-8', timeout: 10000, windowsHide: true,
         }).trim();
         const pkgPath = path.join(globalRoot, ...pkgName.split('/'), 'package.json');
         if (fs.existsSync(pkgPath)) {
@@ -171,7 +171,7 @@ export async function tryUpgrade() {
 /**
  * 通用全局包升级流程：检查 → 比较 → 安装（失败重试一次）。
  * 仅在包已安装时检查升级，未安装则跳过（resolveFn 返回 null）。
- * fastaun / EC Web 等独立全局包共用此逻辑。
+ * 用于 EC Web 等真正独立于 EvolCore 的全局包。
  */
 export async function tryUpgradeGlobalPkg(resolveInstalled, pkgName) {
     if (isLinkedInstall()) {
@@ -201,10 +201,3 @@ export async function tryUpgradeGlobalPkg(resolveInstalled, pkgName) {
     }
     return { status: 'failed', from: localVer, to: remoteVer, error: lastError };
 }
-/**
- * AUN SDK 升级流程：检查 → 比较 → 安装
- * 仅在 SDK 已安装时检查升级，未安装则跳过。
- */
-export async function tryUpgradeAunSdk(resolveAunCoreSdkPkg, AUN_CORE_SDK_PKG) {
-    return tryUpgradeGlobalPkg(resolveAunCoreSdkPkg, AUN_CORE_SDK_PKG);
-}

package/dist/utils/tool-summary.js

@@ -63,6 +63,17 @@ export function summarizeToolInput(toolName, input) {
         || input.url
         || '';
 }
+/**
+ * Audit-safe tool summary. Keep the useful operation shape while masking
+ * credentials commonly embedded in shell commands or tool arguments.
+ */
+export function summarizeToolInputForAudit(toolName, input) {
+    return summarizeToolInput(toolName, input)
+        .replace(/\b([A-Z0-9_]*(?:TOKEN|KEY|SECRET|PASSWORD|CREDENTIAL)[A-Z0-9_]*)\s*=\s*(?:"[^"]*"|'[^']*'|\S+)/gi, '$1=[REDACTED]')
+        .replace(/\b(authorization\s*:\s*Bearer\s+)[^\s"',;]+/gi, '$1[REDACTED]')
+        .replace(/\b(api[_-]?key|access[_-]?token|refresh[_-]?token|password|secret|authorization|cookie)\s*([=:])\s*(?:"[^"]*"|'[^']*'|\S+)/gi, '$1$2[REDACTED]')
+        .replace(/\bBearer\s+[^\s,;]+/gi, 'Bearer [REDACTED]');
+}
 const EDIT_PREVIEW_MAX_LINES = 14;
 const EDIT_PREVIEW_CONTEXT_LINES = 2;
 const EDIT_PREVIEW_INLINE_GAP_LINES = 4;

package/kits/docs/channels/aun.md

@@ -52,5 +52,5 @@ AUN keystore seed 由 EvolCore 使用固定应用值管理，不再提供配置
 - **E2EE 加密**：可选端到端加密，回复默认跟随对端消息加密状态（密文回密文，明文回明文）；keystore seed 由 EvolCore 固定管理。
 - **断线重连**：SDK 内置退避策略自动重连。实时连接状态用 `ec watch aid` 查看（`ec aid` 是身份/证书管理，不显示连接状态）。
 - **群 ID 格式**：当前协议规范使用 `g-{slug}.issuer-domain` canonical 形式，输入也可接受本域简写 `g-{slug}` 或兼容形式 `g-{slug}@issuer-domain`。历史会话里可能仍出现 `group.{issuer}/{group_no}` 一类旧格式，运行时需兼容读取。
-- **群分发模式**：`dispatch_mode=broadcast|mention` 是群级配置，只决定哪些群消息进入 Agent LLM 上下文，不影响 AUN 协议层投递；被过滤消息仍应本地存档。
+- **群 @ 处理策略**：`mention_mode=disabled|mention-only` 是群级配置，只决定哪些群消息进入 Agent LLM 上下文，不影响 AUN 协议层投递；被过滤消息仍应本地存档。
 - **身份体系**：对端以 AID 标识，关系层 peerKey 形如 `aun#alice.aid.pub`。

package/kits/docs/context-assembly.md

@@ -163,6 +163,7 @@ manifest 是 `{ "$schema_version": 1, "sections": [...] }`。每个 section：
 
 - 覆盖文件含 `"mode": "replace"` → **完全替换**，只用覆盖文件的 sections。
 - 否则 **patch 合并**：以 `id` 为键，覆盖文件里同 id 的字段浅合并进基础 section（`{...base, ...override}`），新 id 追加。
+- 旧 patch 中的 `relation-group-profile` 已废弃并会被忽略；群与私聊 profile 统一通过 `peer-profile` 配置，避免同一文件重复加载。`mode: "replace"` 不做此兼容处理。
 
 合并后统一按 `order` 升序排序。改某段行为（如关掉某层、调顺序、换条件）优先用覆盖文件，不动基础 manifest。
 
@@ -295,7 +296,6 @@ coding 场景（无 channel/无身份）下，`chatType`、`channel`、`selfAid`
 | 40 | venue-fragment | fragment | chatType≠null | ✓ |
 | 41 | venue-chattype | `$KITS_DOCS/venues/{{chatType}}.md` | chatType≠null | ✗ |
 | 42 | venue-channel-chattype | `$KITS_DOCS/venues/{{channel}}-{{chatType}}.md` | chatType≠null | ✗ |
-| 43 | relation-group-profile | `$RELATIONS_DIR/{{peerKey}}/profile.md` | groupId≠null | ✗ |
 | 44 | venue-client | `$KITS_DOCS/venues/client-{{clientType}}.md` | clientType≠null | ✗ |
 | 50 | channel-layer | fragment | channel≠null | ✓ |
 | 55 | commands | fragment | channel≠null | ✓ |
@@ -322,7 +322,7 @@ $KITS_DOCS/venues/                  通用环境文档（随包发布，只读
 ```
 
 > **注意**：具体群/私聊实例的 profile 数据落**关系层** `$RELATIONS_DIR/<peerKey>/profile.md`，
-> 由 `relation-group-profile` 段注入，不在 venues 目录。
+> 统一由 `peer-profile` 段注入，不在 venues 目录；群不会再通过另一个 section 重复加载。
 
 ## 输出结构
 

package/kits/docs/evolcore/agent.md

@@ -17,9 +17,10 @@ ec agent <aid>
 ec agent new [aid]
 
 # 创建 agent（非交互式，自动化场景）
-ec agent new <aid> --non-interactive --project <绝对路径> \
-  [--baseagent claude|codex|gemini] [--owner <aid>] \
-  [--name "<显示名>"] [--description "<text>"] [--force]
+ec agent new <aid> --non-interactive \
+  [--project <路径>] [--baseagent claude|codex|gemini|ecagent] \
+  [--owner <aid>] [--name "<显示名>"] [--description "<text>"] \
+  [--dry-run] [--force]
 
 # 启用 / 停用
 ec agent enable <aid>
@@ -44,9 +45,13 @@ ec agent delete <aid> [--purge]
 
 ## 非交互创建必填项
 
-`ec agent new <aid> --non-interactive` 时：
-- 必填：`--project <absolute path>`
-- 可选：`--baseagent`（默认 PATH 中第一个可用项）、`--owner`、`--name`、`--description`、`--force`（覆盖已有 config.json）
+`ec agent new <aid> --non-interactive` 时，只有 `<aid>` 必填：
+- `--project` 缺省为当前目录，并自动转为绝对路径。
+- `--baseagent` 优先使用 `agents/defaults.json`，否则检测本机可用基座。
+- `--owner` 缺省使用 `daemon.json` 的第一个 owner；未配置时省略。
+- `--name` / `--description` 缺省读取当前项目 `package.json`，再回退到目录名 / 空描述。
+- `--dry-run` 只输出最终创建计划，不注册 AID、不写配置、不上传 `agent.md`。
+- `--force` 覆盖已有 `config.json`；AID 密钥保留。
 
 ## 头像更新
 

package/kits/docs/evolcore/aid.md

@@ -2,6 +2,20 @@
 
 管理本地 AID 身份（证书、私钥、agent.md 名片），以及远程探测对端 AID。触发词：身份/证书/名片/探测对端/创建身份。
 
+## 运行边界
+
+本页列出独立终端中 `ec aid` 的完整 CLI 能力。在 EvolCore 托管 Agent 会话中，为防止会话枚举、创建、删除或切换身份，只允许当前 self AID 上的以下精确命令：
+
+```bash
+ec aid show <当前 self AID> [--format json]
+ec aid lookup <当前 self AID> [--format json]
+ec aid agentmd get <当前 self AID> [--format json]
+# 仅 request / bypass
+ec aid agentmd put <当前 self AID> [--format json]
+```
+
+仅允许不带选项的基本形式，或在末尾附加一组完整的 `--format json`；不能使用 `--aun-path`、未知选项、管道、重定向或其他 AID。`show`、`lookup` 和 `agentmd get` 是 self-scoped 查询，可在所有 `permissionMode` 执行；`agentmd put` 会发布远端名片，属于写操作，仅允许 `request`、`bypass`，`readonly`、`auto` 和未知模式均拒绝。该身份范围边界早于模式审批，`bypass` 也不能跨越当前 self AID。`show` 会对自身身份做本地签名/验签自检，但不输出私钥；`lookup` 只探测已知的自身 AID；`get` 不改变身份或远端数据，但会下载并验签自身公开名片，同时刷新本地 AID 缓存。`list`、其他 AID 的 `show/lookup/agentmd get/put` 以及 `new/delete` 均拒绝。独立终端不受此托管会话限制。
+
 ## 子命令
 
 ```bash

package/kits/docs/evolcore/msg.md

@@ -2,6 +2,13 @@
 
 私聊场景下收发消息的命令集。触发词：回复/发消息/拉取/撤回/查在线。
 
+## Agent 会话中的 Shell 调用边界
+
+在 EvolCore 托管会话中，每次工具调用只能执行一条完整的 `ec` 命令。禁止把
+`command -v`、`ec aid`、`&&`、`||`、`;`、`|`、重定向、子 shell、`bash -lc` 或其它脚本
+和 `ec msg` 拼在一起。不要做单独的 CLI 探测；直接调用本页的单条命令，读取结构化结果后
+再决定下一步。工具审批被拒绝时应报告原始错误并停止，不要通过追加命令或提权参数重试。
+
 以自己的 AID 为发送者（`<from>`），对端 AID 为 `<to>`。
 
 ## 发送消息
@@ -29,6 +36,8 @@ ec msg send <from> <to> --link <url> [--title "<title>"] [--description "<desc>"
 ec msg send <from> <to> --payload '<json>'
 ```
 
+每一行都必须单独执行，且是该次 shell 调用中的唯一命令。
+
 发送相关选项：
 - `--text-from-file <path>` — 从文件读取文本（UTF-8），用于超长消息或避免 Shell 转义
 - `--encrypt` — 端到端加密
@@ -39,6 +48,10 @@ ec msg send <from> <to> --payload '<json>'
 - `--text <说>` — 附件说明文字（仅 `--file`）
 - `--transcript <text>` — 语音转写（仅 `--as voice`）
 
+在 EvolCore 会话内，发送还会经过当前 session 的 self/peer/role 鉴权。`visitor` 或 `member`
+默认只允许回复当前对端；从一个 agent 会话转发给第三个 agent 属于 relay 操作，可能因
+`ownPeerOnly` 被拒绝。没有成功 JSON 回执（含 `message_id`/`status`）不得声称已发送。
+
 成功输出：`✓ 已发送 <message_id> seq=<n> status=<status>`
 
 > 正文写法：含空格/换行/特殊字符时用引号包起来；纯短词可不包，但多空格会被压成一个。

package/kits/docs/prompt-loading-architecture.md

@@ -69,7 +69,7 @@
 | **vars 粒度** | 会话级（一次构造，整批复用） | item 级（每条叠加 peerName/now/images） |
 | **模板空行** | 删除（stripBlankLines=true，紧凑） | 保留（stripBlankLines=false，消息多段） |
 | **content 注入** | N/A | 哨兵末步字面量注入（防二次解析） |
-| **缓存** | per-sessionId（跨消息复用文件内容） | per-renderMessageBody 调用（局部） |
+| **缓存** | 随包 `kits/` 文件跨 session 缓存到 reload；personal/relations 等运行时文件按 mtime 刷新 | 随包模板缓存到 reload，消息数据不缓存 |
 | **debug 输出** | `eck-debug/context-*.md` `fragments-*.md` `manifest-*.md` `vars-*.json` | `eck-debug/msg-render-*.md` |
 
 ---
@@ -109,7 +109,6 @@
 | 40 | venue-fragment | chatType≠null | ✓ | 环境层 fragment |
 | 41 | venue-chattype | chatType≠null | ✗ | `venues/{{chatType}}.md` |
 | 42 | venue-channel-chattype | chatType≠null | ✗ | `venues/{{channel}}-{{chatType}}.md` |
-| 43 | venue-group-profile | groupId≠null | ✗ | 群 venue profile.md |
 | 44 | venue-client | clientType≠null | ✗ | `venues/client-{{clientType}}.md` |
 | 50 | channel-layer | channel≠null | ✓ | 渠道层 fragment |
 | 55 | commands | channel≠null | ✓ | 命令集能力卡 |

package/kits/docs/venues/group.md

@@ -5,7 +5,7 @@
 ## 行为准则
 - `mentionMode: mention-only` — 仅响应明确 @ 自己的消息
 - `mentionMode: disabled` — 所有消息可见，自主判断是否参与。这不是叫你每条都回，而是你可以像真人一样：感兴趣的接话，不感兴趣的就跳过。回得短一点、快一点，让对话流动起来，不要一个人长篇大论堵住别人的空间
-- 查看 venue 档案（venue-group-profile）了解本群文化与策略
+- 查看关系档案（peer-profile）了解本群文化与策略
 - 如果上下文中出现“群规则”，它来自当前群资源空间的本地同步缓存；群规则优先于通用群聊指引
 - 群发言会被多人看到，谨言慎行
 - 具体渠道（AUN/飞书/微信等）的群聊特有指引见对应渠道文档

package/kits/eck_manifest.json

@@ -127,18 +127,6 @@
       ] },
       "description": "渠道+场景文档（如 feishu-group）"
     },
-    {
-      "id": "relation-group-profile",
-      "type": "file",
-      "file": "$RELATIONS_DIR/{{peerKey}}/profile.md",
-      "order": 43,
-      "needsInjection": false,
-      "when": { "and": [
-        { "var": "groupId", "neq": null },
-        { "var": "lifecycle", "neq": "bootstrapping" }
-      ] },
-      "description": "具体群关系文档"
-    },
     {
       "id": "relation-group-rules",
       "type": "file",

package/kits/rules/01-overview.md

@@ -6,6 +6,15 @@ ECK 的总览：前置概念和框架结构。
 
 Base agent 是提供推理与生成能力的底层智能——如 Claude Code、Codex、Gemini 等。你就是当前会话的 base agent。
 
+### 外部 Coding Agent Skills 边界
+
+当前会话由 EvolCore 托管时，不加载、不读取、不执行工作区之外的 coding-agent `SKILL.md`，包括
+`/home/evolcore/skills/eclink/SKILL.md`。该类 skill 只服务于独立运行、未接入 EvolCore 会话上下文的
+Codex/Claude Code 工具实例。EvolCore 会话必须遵循本 ECK、daemon IPC 和渠道适配层提供的通信与权限路径。
+
+尤其不要在 EvolCore 会话中因为看到 AUN/agent 间通信需求，就自行读取 `eclink` skill 或直接拼接 shell
+命令调用 `ec`；发送必须经过当前会话的 delegated sender，以便锁定 self/peer、角色、审计和回执。
+
 ## AUN 是什么
 
 AUN（Agent Union Network）是 agent 间安全通信的网络协议，SDK 的 npm 包名 `@agentunion/fastaun`。

package/kits/rules/04-relation.md

@@ -39,7 +39,7 @@ relations/
 
 | 条目 | 真实状态 |
 |------|----------|
-| `<peerKey>/profile.md` | manifest 声明了加载槽（`peer-profile`、`relation-group-profile`，缺失即跳过），但**没有任何代码写它**，磁盘上零文件。你可以手写一份，它会被加载 |
+| `<peerKey>/profile.md` | manifest 通过统一的 `peer-profile` 槽加载（缺失即跳过），群聊和私聊不再重复声明；目前**没有任何代码写它**，可以手写一份供上下文加载 |
 | `_index/name_<name>.json` 名字反查索引 | 目录会被创建，但**无任何读写代码**，磁盘上全是空目录。"已知 name 反查 peerKey" 这条路走不通 |
 | `<peerKey>/history.jsonl` | 关系层无此实现（同名文件都属于 handoff / trigger / CC 自己的历史） |
 | `_trash/` | 只创建目录，没有 merge/split 重定向逻辑 |

package/kits/rules/05-venue.md

@@ -5,7 +5,7 @@
 | 变量 | 取值 | 说明 |
 |------|------|------|
 | `chatType` | `private` / `group` / null | null = 无渠道的本地 coding 会话 |
-| `mentionMode` | `mention-only` / `disabled` | 群内响应策略；取 agent/relation 配置，缺省时由服务器 `dispatchMode` 翻译（mention→mention-only，broadcast→disabled） |
+| `mentionMode` | `mention-only` / `disabled` | 群内响应策略；取 agent/relation 配置，缺省时使用群服务器下发的 `mention_mode` |
 | `clientType` | `desktop` / `web` / `mobile` | 有值时额外加载客户端场景文档 |
 | `permissionMode` | readonly/auto/request/bypass | 当前生效权限模式 |
 | `venueUid` | 恒为 undefined | 声明了但源码固定不填，模板有 `{{?}}` 守卫所以永不渲染——**不要依赖它** |
@@ -39,7 +39,7 @@
 ## Venue 类型抽象
 
 环境层关注的是**类型**，而非具体实例。类型只有 `private` 和 `group` 两种（即 `chatType` 的两个非空取值）——
-没有 `broadcast` 这个 venue 类型，`broadcast` 是**群分发模式** `dispatchMode` 的取值之一（另一个是 `mention`）。
+没有 `broadcast` 这个 venue 类型；群响应策略统一由 `mentionMode` 表达。
 
 "张三所在的 team-alpha 这个**具体群**"不属于环境层，它是关系层的对端实例，数据落 `relations/<peerKey>/`。
 

package/kits/schemas/agent-config.schema.3.json

@@ -64,7 +64,7 @@
       "x-merge": "scalar",
       "description": "工具调用的审批策略",
       "x-enumDescriptions": {
-        "readonly": "只读模式：明确只读工具自动执行，写入、普通 Shell 和未知工具拒绝；EC 命令仍由 daemon 鉴权",
+        "readonly": "只读模式：明确只读工具和普通路径上的受限只读 Shell 自动执行；写入、H/L 类读取、未知 Shell 和未知工具拒绝；EC 命令仍由 daemon 鉴权",
         "auto": "自动模式：常规 workspace 操作自动执行，已识别危险操作和扩权请求拒绝",
         "request": "请求模式：常规操作自动执行，危险 Bash 和沙箱扩权请求人工审批",
         "bypass": "放行模式：沙箱内常规和普通审批命令自动执行，强危险 Git 和越界扩权仍需审批"

package/kits/schemas/agent-config.schema.4.json

@@ -88,7 +88,7 @@
                     "required": ["default", "allowOverride"],
                     "description": "工具调用的审批策略（角色级）",
                     "properties": {
-                      "default": { "type": "string", "enum": ["readonly", "auto", "request", "bypass"], "description": "角色默认的工具调用审批策略；未得到有效角色策略时运行时安全回退为 readonly。", "x-enumDescriptions": { "readonly": "只读模式：明确只读工具自动执行，写入、普通 Shell 和未知工具拒绝；EC 命令仍由 daemon 鉴权", "auto": "自动模式：常规 workspace 操作自动执行，已识别危险操作和扩权请求拒绝", "request": "请求模式：常规操作自动执行，危险 Bash 和沙箱扩权请求人工审批", "bypass": "放行模式：沙箱内常规和普通审批命令自动执行，强危险 Git 和越界扩权仍需审批" } },
+                      "default": { "type": "string", "enum": ["readonly", "auto", "request", "bypass"], "description": "角色默认的工具调用审批策略；未得到有效角色策略时运行时安全回退为 readonly。", "x-enumDescriptions": { "readonly": "只读模式：明确只读工具和普通路径上的受限只读 Shell 自动执行；写入、H/L 类读取、未知 Shell 和未知工具拒绝；EC 命令仍由 daemon 鉴权", "auto": "自动模式：常规 workspace 操作自动执行，已识别危险操作和扩权请求拒绝", "request": "请求模式：常规操作自动执行，危险 Bash 和沙箱扩权请求人工审批", "bypass": "放行模式：沙箱内常规和普通审批命令自动执行，强危险 Git 和越界扩权仍需审批" } },
                       "allowOverride": { "const": false, "default": false, "description": "权限模式禁止关系级覆盖，固定为 false。" },
                       "allowedValues": {
                         "type": "array",

package/kits/schemas/relation-config.schema.2.json

@@ -43,7 +43,7 @@
       "x-enumDescriptions": {
         "auto": "自动模式：常规 workspace 操作自动执行，已识别危险操作和扩权请求拒绝",
         "bypass": "放行模式：沙箱内常规和普通审批命令自动执行，强危险 Git 和越界扩权仍需审批",
-        "readonly": "只读模式：明确只读工具自动执行，写入、普通 Shell 和未知工具拒绝；EC 命令仍由 daemon 鉴权",
+        "readonly": "只读模式：明确只读工具和普通路径上的受限只读 Shell 自动执行；写入、H/L 类读取、未知 Shell 和未知工具拒绝；EC 命令仍由 daemon 鉴权",
         "request": "请求模式：常规操作自动执行，危险 Bash 和沙箱扩权请求人工审批",
         "edit": "历史值：运行时按 request 迁移",
         "plan": "历史值：运行时按 readonly 迁移，并保留 Claude plan 工作流提示",

package/kits/schemas/role-config.schema.1.json

@@ -36,7 +36,7 @@
           "additionalProperties": false,
           "description": "工具调用审批模式策略；该策略必须存在且不允许关系级覆盖。",
           "properties": {
-            "default": { "type": "string", "enum": ["readonly", "auto", "request", "bypass"], "description": "该角色实际使用的工具调用审批模式。", "x-enumDescriptions": { "readonly": "只读模式：明确只读工具自动执行，写入、普通 Shell 和未知工具拒绝；EC 命令仍由 daemon 鉴权", "auto": "自动模式：常规 workspace 操作自动执行，已识别危险操作和扩权请求拒绝", "request": "请求模式：常规操作自动执行，危险 Bash 和沙箱扩权请求人工审批", "bypass": "放行模式：沙箱内常规和普通审批命令自动执行，强危险 Git 和越界扩权仍需审批" } },
+            "default": { "type": "string", "enum": ["readonly", "auto", "request", "bypass"], "description": "该角色实际使用的工具调用审批模式。", "x-enumDescriptions": { "readonly": "只读模式：明确只读工具和普通路径上的受限只读 Shell 自动执行；写入、H/L 类读取、未知 Shell 和未知工具拒绝；EC 命令仍由 daemon 鉴权", "auto": "自动模式：常规 workspace 操作自动执行，已识别危险操作和扩权请求拒绝", "request": "请求模式：常规操作自动执行，危险 Bash 和沙箱扩权请求人工审批", "bypass": "放行模式：沙箱内常规和普通审批命令自动执行，强危险 Git 和越界扩权仍需审批" } },
             "allowOverride": { "const": false, "default": false, "description": "权限模式禁止关系级覆盖，固定为 false。" },
             "allowedValues": { "type": "array", "items": { "type": "string", "enum": ["readonly", "auto", "request", "bypass"], "description": "一个可列入权限模式候选集合的值。", "x-enumDescriptions": { "readonly": "只读模式", "auto": "自动模式", "request": "请求人工审批模式", "bypass": "受强制危险规则约束的放行模式" } }, "uniqueItems": true, "description": "保留的权限模式候选集合；permissionMode 当前不可由关系级覆盖，通常无需配置。" },
             "reason": { "type": "string", "description": "采用该权限模式策略的可审计原因或管理备注。" }

package/kits/schemas/single-session.schema.1.json

@@ -11,10 +11,10 @@
       "type": "boolean",
       "enum": [true, false],
       "default": true,
-      "description": "proactive 首工具表态检查（仅 chatmode=proactive 生效）：首个工具调用前必须先向对端表态，否则拦截。",
+      "description": "proactive 首个本地工具表态检查（仅 chatmode=proactive 生效）：首个可被 PreToolUse 覆盖的本地工具必须是当前会话精确对应的 ec msg/group send，否则拦截；WebSearch、图像生成、浏览器和 Computer Use 等 hosted 工具不进入此硬拒绝边界。",
       "x-enumDescriptions": {
-        "true": "启用：首工具前必须先发送消息或文件",
-        "false": "禁用：允许直接调用工具"
+        "true": "启用：首个 hook 可覆盖的本地工具必须是精确会话 send",
+        "false": "禁用：不执行 proactive 首个本地工具 send 检查"
       }
     },
     "tool_use_reminder": {

package/kits/schemas/single-session.schema.2.json

@@ -34,10 +34,10 @@
       "type": "boolean",
       "enum": [true, false],
       "default": true,
-      "description": "proactive 首工具表态检查（仅 chatmode=proactive 生效）：首个工具调用前必须先向对端表态，否则拦截。",
+      "description": "proactive 首个本地工具表态检查（仅 chatmode=proactive 生效）：首个可被 PreToolUse 覆盖的本地工具必须是当前会话精确对应的 ec msg/group send，否则拦截；WebSearch、图像生成、浏览器和 Computer Use 等 hosted 工具不进入此硬拒绝边界。",
       "x-enumDescriptions": {
-        "true": "启用：首工具前必须先发送消息或文件",
-        "false": "禁用：允许直接调用工具"
+        "true": "启用：首个 hook 可覆盖的本地工具必须是精确会话 send",
+        "false": "禁用：不执行 proactive 首个本地工具 send 检查"
       }
     },
     "tool_use_reminder": {

package/kits/templates/roles/admin.json

@@ -27,6 +27,21 @@
     "role.revoke": { "allow": true, "scopes": ["agent"] },
     "role.policy.read": { "allow": true, "scopes": ["agent"] },
     "role.relation.read": { "allow": true, "scopes": ["agent"] },
+    "agent.baseagent.update": {
+      "allow": true,
+      "scopes": ["agent"],
+      "constraints": { "requireAgentOwner": true, "targetCurrentAgentOnly": true }
+    },
+    "observable.current": {
+      "allow": true,
+      "scopes": ["agent"],
+      "constraints": { "requireAgentOwner": true }
+    },
+    "observable.update": {
+      "allow": true,
+      "scopes": ["agent"],
+      "constraints": { "requireAgentOwner": true, "targetCurrentAgentOnly": true }
+    },
     "config.get": { "allow": true, "scopes": ["agent", "relation"] },
     "config.set": { "allow": true, "scopes": ["agent", "relation"] },
     "config.unset": { "allow": true, "scopes": ["agent", "relation"] },
@@ -36,6 +51,18 @@
       "scopes": ["agent"],
       "constraints": { "requireAgentAdmin": true }
     },
+    "ec.aid.show": {
+      "allow": true,
+      "dangerous": true,
+      "scopes": ["agent"],
+      "constraints": { "targetCurrentAgentOnly": true, "requireAgentAdmin": true }
+    },
+    "ec.aid.agentmd.put": {
+      "allow": true,
+      "dangerous": true,
+      "scopes": ["agent"],
+      "constraints": { "targetCurrentAgentOnly": true, "requireAgentAdmin": true }
+    },
     "*": { "allow": true },
     "agent.reload": {
       "allow": true,