minimal-agent 0.12.0 → 0.13.0

package/src/tools/powershell/powershell.js

@@ -191,7 +191,24 @@ async function call(input, signal, context) {
 }
 export const powerShellTool = {
     name: 'PowerShell',
-    description: 'Executes native PowerShell on Windows. Use for Windows-specific administration and scripts; use run_in_background for long builds, tests, or servers, then TaskOutput/TaskStop.',
+    description: `Executes native PowerShell on Windows. Use for Windows-specific administration and scripts; use run_in_background for long builds, tests, or servers, then TaskOutput/TaskStop.
+
+# Safety - two levels, from strict to lenient
+
+## 1. Blocked outright (fails before execution - do NOT retry with variants)
+
+Catastrophic commands (no legitimate use): \`rm -rf /\`-class deletions of root/$HOME/system directories, \`mkfs\`, \`format X:\`, \`dd\` to raw devices, shutdown/reboot, fork bombs, pipe-to-shell from network (\`curl ... | sh\`), \`chmod 777 /\`, full-disk \`del /s\` / \`rmdir /s\`, \`diskpart\`.
+
+Permanent deletion (bypasses the Recycle Bin - use the Trash tool instead): \`Remove-Item\`, \`Clear-RecycleBin\`, \`del\` / \`erase\` / \`rd\` / \`rmdir\` / \`rm\` / \`ri\`, and \`.Delete()\` method calls - all fail before execution.
+To delete files or directories use the **Trash** tool (\`action: "move"\` - recoverable); to clean Git untracked files use Trash with \`action: "git-clean"\`. Do NOT try other deletion spellings - they are blocked the same way. If a permanent deletion is truly required, ask the user to run it themselves.
+
+## 2. Requires user confirmation (irreversible)
+
+These have legitimate uses but destroy the last copy - execution pauses and asks the user to confirm. In non-interactive contexts they are automatically cancelled.
+ - \`git push --force\` / \`-f\` / \`+refspec\`, \`git push --delete <branch>\`
+ - \`git filter-branch\` / \`git filter-repo\`, \`git reflog expire --expire=now\` / \`git gc --prune=now\`
+ - \`shred -u\` / \`shred --remove\`
+ - SQL data destruction: \`DROP DATABASE\`, \`DROP TABLE\`, \`TRUNCATE TABLE\``,
     inputSchema,
     parameters: toToolParameters(inputSchema),
     isReadOnly: false,

package/src/tools/powershell/powershell.ts

@@ -219,8 +219,24 @@ async function call(
 
 export const powerShellTool: Tool<PowerShellInput> = {
   name: 'PowerShell',
-  description:
-    'Executes native PowerShell on Windows. Use for Windows-specific administration and scripts; use run_in_background for long builds, tests, or servers, then TaskOutput/TaskStop.',
+  description: `Executes native PowerShell on Windows. Use for Windows-specific administration and scripts; use run_in_background for long builds, tests, or servers, then TaskOutput/TaskStop.
+
+# Safety - two levels, from strict to lenient
+
+## 1. Blocked outright (fails before execution - do NOT retry with variants)
+
+Catastrophic commands (no legitimate use): \`rm -rf /\`-class deletions of root/$HOME/system directories, \`mkfs\`, \`format X:\`, \`dd\` to raw devices, shutdown/reboot, fork bombs, pipe-to-shell from network (\`curl ... | sh\`), \`chmod 777 /\`, full-disk \`del /s\` / \`rmdir /s\`, \`diskpart\`.
+
+Permanent deletion (bypasses the Recycle Bin - use the Trash tool instead): \`Remove-Item\`, \`Clear-RecycleBin\`, \`del\` / \`erase\` / \`rd\` / \`rmdir\` / \`rm\` / \`ri\`, and \`.Delete()\` method calls - all fail before execution.
+To delete files or directories use the **Trash** tool (\`action: "move"\` - recoverable); to clean Git untracked files use Trash with \`action: "git-clean"\`. Do NOT try other deletion spellings - they are blocked the same way. If a permanent deletion is truly required, ask the user to run it themselves.
+
+## 2. Requires user confirmation (irreversible)
+
+These have legitimate uses but destroy the last copy - execution pauses and asks the user to confirm. In non-interactive contexts they are automatically cancelled.
+ - \`git push --force\` / \`-f\` / \`+refspec\`, \`git push --delete <branch>\`
+ - \`git filter-branch\` / \`git filter-repo\`, \`git reflog expire --expire=now\` / \`git gc --prune=now\`
+ - \`shred -u\` / \`shred --remove\`
+ - SQL data destruction: \`DROP DATABASE\`, \`DROP TABLE\`, \`TRUNCATE TABLE\``,
   inputSchema,
   parameters: toToolParameters(inputSchema),
   isReadOnly: false,

package/src/tools/read/read.js

@@ -168,10 +168,15 @@ async function call(input, state, cwd, runtimeIdentity) {
                 };
             }
             const pdfjs = await import('pdfjs-dist/legacy/build/pdf.mjs');
-            const document = await pdfjs.getDocument({
+            // ⚠️ 释放要调**加载任务**的 destroy，不是文档代理的：pdfjs v6 的
+            // PDFDocumentProxy 上没有 destroy（只有 cleanup），写成 document.destroy()
+            // 会在 finally 里抛 TypeError，被外层 catch 成「PDF 解析失败」——
+            // 于是每一次 PDF 读取都失败，且错误文案完全指不向真因。
+            const loadingTask = pdfjs.getDocument({
                 data: new Uint8Array(bytes),
                 useSystemFonts: true,
-            }).promise;
+            });
+            const document = await loadingTask.promise;
             try {
                 const requested = parsePdfPages(input.pages, document.numPages);
                 if (requested.length > 20)
@@ -209,7 +214,7 @@ async function call(input, state, cwd, runtimeIdentity) {
                 };
             }
             finally {
-                await document.destroy().catch(() => undefined);
+                await loadingTask.destroy().catch(() => undefined);
             }
         }
         catch (error) {
@@ -359,7 +364,7 @@ async function renderPdfPages(document, filePath, pages, identity) {
                 const viewport = page.getViewport({ scale: 2 });
                 const canvas = createCanvas(Math.ceil(viewport.width), Math.ceil(viewport.height));
                 await page.render({
-                    canvasContext: canvas.getContext('2d'),
+                    canvas: canvas.getContext('2d'),
                     viewport,
                 }).promise;
                 const target = join(outputDir, `${outputPrefix}-page-${pageNumber}.png`);

package/src/tools/read/read.ts

@@ -219,10 +219,15 @@ async function call(
         };
       }
       const pdfjs = await import('pdfjs-dist/legacy/build/pdf.mjs');
-      const document = await pdfjs.getDocument({
+      // ⚠️ 释放要调**加载任务**的 destroy，不是文档代理的：pdfjs v6 的
+      // PDFDocumentProxy 上没有 destroy（只有 cleanup），写成 document.destroy()
+      // 会在 finally 里抛 TypeError，被外层 catch 成「PDF 解析失败」——
+      // 于是每一次 PDF 读取都失败，且错误文案完全指不向真因。
+      const loadingTask = pdfjs.getDocument({
         data: new Uint8Array(bytes),
         useSystemFonts: true,
-      }).promise;
+      });
+      const document = await loadingTask.promise;
       try {
         const requested = parsePdfPages(input.pages, document.numPages);
         if (requested.length > 20)
@@ -279,7 +284,7 @@ async function call(
             : {}),
         };
       } finally {
-        await document.destroy().catch(() => undefined);
+        await loadingTask.destroy().catch(() => undefined);
       }
     } catch (error) {
       const message = (error as Error).message;
@@ -484,7 +489,7 @@ async function renderPdfPages(
           Math.ceil(viewport.height),
         );
         await page.render({
-          canvasContext: canvas.getContext('2d') as never,
+          canvas: canvas.getContext('2d') as unknown as Parameters<typeof page.render>[0]['canvas'],
           viewport,
         }).promise;
         const target = join(

package/src/tools/shared/permanentDeleteGuard.js

@@ -1,17 +1,48 @@
-/** Minimal recoverability boundary for model-issued shell commands. */
+/**
+ * 永久删除守卫：把「绕过回收站的删除」从 shell 里挡回去，逼模型改用可恢复的 Trash。
+ *
+ * ⚠️ 可靠性边界（与 src/irreversible/rules.ts 同一标准，别高估它）：
+ * 这是**防模型误删**的护栏，不是对抗性沙盒。判据是对命令文本做正则匹配，
+ * 因此下列写法一律漏过，且**有意不追**（越追越像军备竞赛，误伤率先爆）：
+ *   · 绝对路径调用    /bin/rm -rf x
+ *   · 间接执行        xargs rm / find -exec rm / echo $(rm x)
+ *   · 换语言          python -c "import shutil; shutil.rmtree('x')"
+ *   · 跨 shell 转发   cmd 里 powershell -c "Remove-Item x"
+ * 真正兜底的是「模型没有恶意」+ Trash 提供了更顺手的替代路径，不是这张正则表。
+ *
+ * ⚠️ `shell` 必须是**实际执行命令的那个 shell**，不是调用它的工具名。
+ * Bash 工具在 win32 找不到 Git Bash 时会回落 cmd.exe（见 tools/bash/bash.ts 的
+ * WIN_BASH 探测，且它的 description 会主动告诉模型「这里是 cmd」），那时模型写的是
+ * cmd 语法（del / rd），若仍按 'bash' 匹配 —— 三层防护全部落空、文件直接永久丢失。
+ */
+/** POSIX shell：删除动词在命令位置（串首或 ; & | 换行之后）。 */
 const BASH_DELETE = [
     /(?:^|[;&|\n])\s*(?:sudo\s+)?(?:rm|unlink|rmdir)\b/i,
     /(?:^|[;&|\n])\s*find\b[^\n;&|]*\s-delete\b/i,
 ];
+/**
+ * cmd.exe：del / erase 删文件，rd / rmdir 删目录，一律不进回收站。
+ * 分隔符**必须含 `&`** —— cmd 用 `&` / `&&` 串命令，这正是 POWERSHELL_DELETE
+ * 的分隔符类 `[;|\n]` 不能直接复用的原因。
+ * `rm` 一并收进来：Git 的 usr\bin 可能在 PATH 上（此时 rm.exe 可用），而 cmd 本身没有 rm。
+ */
+const CMD_DELETE = [/(?:^|[;&|\n])\s*(?:del|erase|rd|rmdir|rm)\b/i];
 const GIT_CLEAN = /(?:^|[;&|\n])\s*git\b[^\n;&|]*\bclean\b([^\n;&|]*)/i;
 const POWERSHELL_DELETE = [
     /(?:^|[;|\n])\s*(?:Remove-Item|Clear-RecycleBin)\b/i,
     /(?:^|[;|\n])\s*(?:del|erase|rd|rmdir|rm|ri)\b/i,
     /\.Delete\s*\(/i,
 ];
+const RULES = {
+    bash: BASH_DELETE,
+    cmd: CMD_DELETE,
+    powershell: POWERSHELL_DELETE,
+};
 export function permanentDeleteReason(command, shell) {
-    let hit = (shell === 'bash' ? BASH_DELETE : POWERSHELL_DELETE).some((pattern) => pattern.test(command));
-    if (!hit && shell === 'bash') {
+    let hit = RULES[shell].some((pattern) => pattern.test(command));
+    // `git clean -f` 三种 shell 里都能跑、都永久删除，所以不按 shell 分支。
+    // `-n` / `--dry-run` 是只读预演，必须放行（否则模型连"先看看会删什么"都做不到）。
+    if (!hit) {
         const gitClean = GIT_CLEAN.exec(command);
         const options = gitClean?.[1] ?? '';
         const dryRun = /--dry-run\b/.test(options) ||

package/src/tools/shared/permanentDeleteGuard.ts

@@ -1,22 +1,59 @@
-/** Minimal recoverability boundary for model-issued shell commands. */
+/**
+ * 永久删除守卫：把「绕过回收站的删除」从 shell 里挡回去，逼模型改用可恢复的 Trash。
+ *
+ * ⚠️ 可靠性边界（与 src/irreversible/rules.ts 同一标准，别高估它）：
+ * 这是**防模型误删**的护栏，不是对抗性沙盒。判据是对命令文本做正则匹配，
+ * 因此下列写法一律漏过，且**有意不追**（越追越像军备竞赛，误伤率先爆）：
+ *   · 绝对路径调用    /bin/rm -rf x
+ *   · 间接执行        xargs rm / find -exec rm / echo $(rm x)
+ *   · 换语言          python -c "import shutil; shutil.rmtree('x')"
+ *   · 跨 shell 转发   cmd 里 powershell -c "Remove-Item x"
+ * 真正兜底的是「模型没有恶意」+ Trash 提供了更顺手的替代路径，不是这张正则表。
+ *
+ * ⚠️ `shell` 必须是**实际执行命令的那个 shell**，不是调用它的工具名。
+ * Bash 工具在 win32 找不到 Git Bash 时会回落 cmd.exe（见 tools/bash/bash.ts 的
+ * WIN_BASH 探测，且它的 description 会主动告诉模型「这里是 cmd」），那时模型写的是
+ * cmd 语法（del / rd），若仍按 'bash' 匹配 —— 三层防护全部落空、文件直接永久丢失。
+ */
+
+/** POSIX shell：删除动词在命令位置（串首或 ; & | 换行之后）。 */
 const BASH_DELETE = [
   /(?:^|[;&|\n])\s*(?:sudo\s+)?(?:rm|unlink|rmdir)\b/i,
   /(?:^|[;&|\n])\s*find\b[^\n;&|]*\s-delete\b/i,
 ];
+
+/**
+ * cmd.exe：del / erase 删文件，rd / rmdir 删目录，一律不进回收站。
+ * 分隔符**必须含 `&`** —— cmd 用 `&` / `&&` 串命令，这正是 POWERSHELL_DELETE
+ * 的分隔符类 `[;|\n]` 不能直接复用的原因。
+ * `rm` 一并收进来：Git 的 usr\bin 可能在 PATH 上（此时 rm.exe 可用），而 cmd 本身没有 rm。
+ */
+const CMD_DELETE = [/(?:^|[;&|\n])\s*(?:del|erase|rd|rmdir|rm)\b/i];
+
 const GIT_CLEAN = /(?:^|[;&|\n])\s*git\b[^\n;&|]*\bclean\b([^\n;&|]*)/i;
+
 const POWERSHELL_DELETE = [
   /(?:^|[;|\n])\s*(?:Remove-Item|Clear-RecycleBin)\b/i,
   /(?:^|[;|\n])\s*(?:del|erase|rd|rmdir|rm|ri)\b/i,
   /\.Delete\s*\(/i,
 ];
+
+export type ShellKind = 'bash' | 'cmd' | 'powershell';
+
+const RULES: Readonly<Record<ShellKind, RegExp[]>> = {
+  bash: BASH_DELETE,
+  cmd: CMD_DELETE,
+  powershell: POWERSHELL_DELETE,
+};
+
 export function permanentDeleteReason(
   command: string,
-  shell: 'bash' | 'powershell',
+  shell: ShellKind,
 ): string | undefined {
-  let hit = (shell === 'bash' ? BASH_DELETE : POWERSHELL_DELETE).some(
-    (pattern) => pattern.test(command),
-  );
-  if (!hit && shell === 'bash') {
+  let hit = RULES[shell].some((pattern) => pattern.test(command));
+  // `git clean -f` 三种 shell 里都能跑、都永久删除，所以不按 shell 分支。
+  // `-n` / `--dry-run` 是只读预演，必须放行（否则模型连"先看看会删什么"都做不到）。
+  if (!hit) {
     const gitClean = GIT_CLEAN.exec(command);
     const options = gitClean?.[1] ?? '';
     const dryRun =

package/src/tools/webbrowser/browserControl.js

@@ -75,7 +75,11 @@ export class BrowserControlCoordinator {
             throw new Error('浏览器正在等待另一个任务的人工处理');
         }
         if (this.state.status === 'running' && this.state.runId !== input.runId) {
-            throw new Error('浏览器正在执行另一个会话的原子操作');
+            // 带上持锁者身份：这把锁是进程级单例，一旦泄漏，后续每次调用都撞同一句话，
+            // 而"另一个会话"是谁、卡在哪个动作上，现场早就没了 —— 排障只能靠猜。
+            throw new Error(`浏览器正在执行另一个会话的原子操作（持有者 runId=${this.state.runId ?? '?'}`
+                + `${this.state.action ? `, action=${this.state.action}` : ''}`
+                + `${this.activeIdentity?.conversationKey ? `, conversation=${this.activeIdentity.conversationKey}` : ''}）`);
         }
         this.activeIdentity = {
             ownerId: this.defaultOwnerId,

package/src/tools/webbrowser/browserControl.ts

@@ -106,7 +106,13 @@ export class BrowserControlCoordinator {
       throw new Error('浏览器正在等待另一个任务的人工处理');
     }
     if (this.state.status === 'running' && this.state.runId !== input.runId) {
-      throw new Error('浏览器正在执行另一个会话的原子操作');
+      // 带上持锁者身份：这把锁是进程级单例，一旦泄漏，后续每次调用都撞同一句话，
+      // 而"另一个会话"是谁、卡在哪个动作上，现场早就没了 —— 排障只能靠猜。
+      throw new Error(
+        `浏览器正在执行另一个会话的原子操作（持有者 runId=${this.state.runId ?? '?'}`
+        + `${this.state.action ? `, action=${this.state.action}` : ''}`
+        + `${this.activeIdentity?.conversationKey ? `, conversation=${this.activeIdentity.conversationKey}` : ''}）`,
+      );
     }
     this.activeIdentity = {
       ownerId: this.defaultOwnerId,

package/src/tools/webbrowser/webbrowser.js

@@ -1083,12 +1083,16 @@ async function call(input, signal, deps = defaultDeps, ctx = {}) {
     /** 单条命令 = 只有一步的序列。人工等待之后的收尾快照走这个（此时不该再持锁）。 */
     const runAction = (args) => runSequence((run) => run(args));
     stream.beginAgentAction({ runId, conversationKey, action: input.action });
-    if (visibleAgentAction) {
-        stream.setAgentActing(true, input.action, input.selector ?? input.url);
-        ctx.reportProgress?.(describeAction(input)); // C3：每个可见动作发一句人话旁白到对话/状态行
-    }
     let pointerShown = false; // C4：本次是否点亮了 AI 指针（finally 淡出用）
+    // ⚠️ 拿到锁之后**必须立刻进 try**：finally 里的 finishAgentAction 是唯一的释放路径。
+    // 下面这段旁白曾经放在 try 之外 —— `ctx.reportProgress` 是宿主注入的回调，它一抛错
+    // 就会跳过整个 try/finally，锁再也不会被释放；此后该进程内**任何**会话调
+    // beginAgent 都会撞上「浏览器正在执行另一个会话的原子操作」，且现场已经没了。
     try {
+        if (visibleAgentAction) {
+            stream.setAgentActing(true, input.action, input.selector ?? input.url);
+            ctx.reportProgress?.(describeAction(input)); // C3：每个可见动作发一句人话旁白到对话/状态行
+        }
         await deps.ensureDaemon(BROWSER_SESSION, { signal });
         // actor 兜底点亮媒体面（幂等）：防「直接 navigate 未先 start」「start 那次 connect 竞态失败」，
         // 让面板从 agent 侧被点亮，不依赖面板自启动。

package/src/tools/webbrowser/webbrowser.ts

@@ -1156,13 +1156,17 @@ async function call(
     runSequence((run) => run(args));
 
   stream.beginAgentAction({ runId, conversationKey, action: input.action });
-  if (visibleAgentAction) {
-    stream.setAgentActing(true, input.action, input.selector ?? input.url);
-    ctx.reportProgress?.(describeAction(input)); // C3：每个可见动作发一句人话旁白到对话/状态行
-  }
   let pointerShown = false; // C4：本次是否点亮了 AI 指针（finally 淡出用）
 
+  // ⚠️ 拿到锁之后**必须立刻进 try**：finally 里的 finishAgentAction 是唯一的释放路径。
+  // 下面这段旁白曾经放在 try 之外 —— `ctx.reportProgress` 是宿主注入的回调，它一抛错
+  // 就会跳过整个 try/finally，锁再也不会被释放；此后该进程内**任何**会话调
+  // beginAgent 都会撞上「浏览器正在执行另一个会话的原子操作」，且现场已经没了。
   try {
+    if (visibleAgentAction) {
+      stream.setAgentActing(true, input.action, input.selector ?? input.url);
+      ctx.reportProgress?.(describeAction(input)); // C3：每个可见动作发一句人话旁白到对话/状态行
+    }
     await deps.ensureDaemon(BROWSER_SESSION, { signal });
     // actor 兜底点亮媒体面（幂等）：防「直接 navigate 未先 start」「start 那次 connect 竞态失败」，
     // 让面板从 agent 侧被点亮，不依赖面板自启动。

package/src/types.ts

@@ -885,11 +885,17 @@ export type LoopEvent =
    *
    * code（v2.x 新增，可选）：让 `-p --output-format json` 把终结原因映射成稳定的
    * stop_reason，也让 print.ts 区分"致命错误（退出）"与"非致命警告（继续）"：
-   *   - 'llm_error'      LLM 调用失败 → 终结，stop_reason='error'
-   *   - 'max_turns'      撞最大轮数上限 → 终结，stop_reason='max_turns'
-   *   - 'compact_failed' 自动压缩失败但 loop 想继续 → 非致命，print.ts 只 stderr 警告不退出
-   *   - 'aborted'        被中断（signal.aborted）
+   *   - 'llm_error'        LLM 调用失败 → 终结，stop_reason='error'
+   *   - 'max_turns'        撞最大轮数上限 → 终结，stop_reason='max_turns'
+   *   - 'compact_failed'   自动压缩失败但 loop 想继续 → 非致命，print.ts 只 stderr 警告不退出
+   *   - 'aborted'          被中断（signal.aborted）
+   *   - 'stalled'          StallGuard 判定原地打转（同一失败反复 / 整批调用无进展）
+   *                        → 终结，stop_reason='stalled'
+   *   - 'context_overflow' 即使降级后仍超模型输入上限，主动不发这次请求
+   *                        → 终结，stop_reason='error'
    * 缺省（旧调用方 / 未分类错误）按致命、stop_reason='error' 处理。
+   * ⚠️ 增删 code 时同步改 print.ts 的映射：那里只特判 max_turns / stalled，
+   * 其余一律落 'error'，新增的终结原因不特判就会被并进通用 error。
    */
   | {
       type: 'error';

package/workflows/adaptive-research.yaml

@@ -21,11 +21,11 @@ steps:
     title: "1/3·自主调研写笔记"
     agent: |
       调研主题「${inputs.topic}」：用你手上的工具搜集 3-5 个关键要点，
-      整理成简洁的中文 markdown，写到 ./out/notes.md（目录不存在就先创建）。
+      整理成简洁的中文 markdown，写到 out/adaptive-research/${session}/notes.md（目录不存在就先创建）。
       写完后用 Read 自检文件确实写好了再收尾。
     allowed_tools: [Read, Write, Edit, Bash, Grep, Glob]
     # 确定性完成条件：模型「宣告要写却没写」时引擎自动提醒续跑（announce-not-do 兜底）
-    done_when: "fileExists('./out/notes.md')"
+    done_when: "fileExists('out/adaptive-research/${session}/notes.md')"
     capture:
       # agent 步 raw 只有 text/result（无 content）——曾绑 content 导致 notes 恒 undefined
       text: notes
@@ -35,7 +35,7 @@ steps:
     title: "2/3·统计笔记行数"
     tool: Bash
     args:
-      command: "wc -l ./out/notes.md"
+      command: "wc -l out/adaptive-research/${session}/notes.md"
     onError: recover
     recover_hint: "文件不存在或路径不对，就先用 Glob/Read 定位 notes.md 再统计行数"
     capture:
@@ -46,5 +46,5 @@ steps:
     title: "3/3·守门校验"
     type: verify
     checks:
-      - 'file_exists:./out/notes.md'
-    onFail: "调研笔记 ./out/notes.md 未生成，检查 research 步"
+      - 'file_exists:out/adaptive-research/${session}/notes.md'
+    onFail: "调研笔记 out/adaptive-research/${session}/notes.md 未生成，检查 research 步"

package/workflows/book-review-short.yaml

@@ -56,7 +56,7 @@ steps:
     title: "3/7·脚本落盘"
     tool: Write
     args:
-      file_path: "videos/${inputs.book}/script.txt"
+      file_path: "out/book-review-short/${session}/script.txt"
       content: "${script_text}"
 
   # 4. 生成 3 个钩子标题（loop + llm）—— P1 启用
@@ -97,7 +97,7 @@ steps:
   - id: gen_thumbnail
     title: "5/7·生成缩略图（可降级）"
     skill: image-gen-openrouter
-    input: 'prompt=${thumb_prompt} output=videos/${inputs.book}/thumbnail.png aspect=9:16'
+    input: 'prompt=${thumb_prompt} output=out/book-review-short/${session}/thumbnail.png aspect=9:16'
     onError: continue
 
   # 6. 元数据汇总（确定性工具）
@@ -106,7 +106,7 @@ steps:
     title: "6/7·汇总 meta.json"
     tool: Write
     args:
-      file_path: "videos/${inputs.book}/meta.json"
+      file_path: "out/book-review-short/${session}/meta.json"
       content: |
         {
           "book": ${json(inputs.book)},
@@ -120,6 +120,6 @@ steps:
     title: "7/7·守门校验"
     type: verify
     checks:
-      - 'file_exists:videos/${inputs.book}/script.txt'
-      - 'file_exists:videos/${inputs.book}/meta.json'
+      - 'file_exists:out/book-review-short/${session}/script.txt'
+      - 'file_exists:out/book-review-short/${session}/meta.json'
     onFail: "脚本或 meta 未写盘，请检查 Write 工具"

package/workflows/e2e-write-greet.yaml

@@ -12,7 +12,7 @@ steps:
     title: "1/3·写入便签"
     tool: Write
     args:
-      file_path: "out/${inputs.topic}/note.txt"
+      file_path: "out/e2e-write-greet/${session}/note.txt"
       content: "topic=${inputs.topic} ok"
     capture:
       args.content: note_body
@@ -21,7 +21,7 @@ steps:
     title: "2/3·校验落盘"
     type: verify
     checks:
-      - 'file_exists:out/${inputs.topic}/note.txt'
+      - 'file_exists:out/e2e-write-greet/${session}/note.txt'
     onFail: "note.txt 未落盘"
 
   - id: verify_capture

package/workflows/illustrate.yaml

@@ -8,7 +8,7 @@ version: "0.1"
 
 # 最终交付物（new-task 清旧 / completed 报产物 / 完成闸门校验落盘）。中间候选图与分文件不声明（scratch）。
 artifacts:
-  - "./build/illustrations.json"
+  - "out/illustrate/${session}/build/illustrations.json"
 
 # 自愈：浏览器/网络瞬态故障 in-run 重跑。
 self_heal:
@@ -154,7 +154,7 @@ steps:
         tool: Download
         args:
           url: "${u}"
-          path: "./build/illustrations/cand_${u_idx}.img"
+          path: "out/illustrate/${session}/build/illustrations/cand_${u_idx}.img"
           timeout: 30000
           headers:
             User-Agent: "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0 Safari/537.36"
@@ -170,7 +170,7 @@ steps:
     do:
       - id: score_one
         title: "配图·打分 #${u_idx}"
-        when: "fileExists('./build/illustrations/cand_' + u_idx + '.img')"
+        when: "fileExists('out/illustrate/${session}/build/illustrations/cand_' + u_idx + '.img')"
         llm: |
           下方附上一张候选配图（用于主题：「${inputs.topic}」）。请**只看这张图**给出客观评估，输出 JSON。
           - relevance：0-10，图片内容与主题的契合度（画的东西是否切题）。
@@ -178,7 +178,7 @@ steps:
           - is_ad：true/false——这是不是**广告/促销/带营销文案或店铺水印/比价图**等不适合当配图的图。
           - reason：一句话理由（中文）。
           只输出 JSON 对象本身，不要 markdown 代码块、不要解释。
-        images: ["./build/illustrations/cand_${u_idx}.img"]
+        images: ["out/illustrate/${session}/build/illustrations/cand_${u_idx}.img"]
         image_detail: high
         capture:
           text: score_text
@@ -186,10 +186,10 @@ steps:
         max_retries: 1
       - id: write_score
         title: "配图·记录分数 #${u_idx}"
-        when: "fileExists('./build/illustrations/cand_' + u_idx + '.img')"
+        when: "fileExists('out/illustrate/${session}/build/illustrations/cand_' + u_idx + '.img')"
         tool: Write
         args:
-          file_path: "./build/illustrations/score_${u_idx}.json"
+          file_path: "out/illustrate/${session}/build/illustrations/score_${u_idx}.json"
           content: |
             {"index": ${u_idx}, "url": ${json(u)}, "engine": ${json(engine_used)}, "path": "build/illustrations/cand_${u_idx}.img", "score": ${score_text}}
         onError: continue
@@ -198,24 +198,24 @@ steps:
   - id: select
     title: "配图·选出最合适的 ${inputs.count} 张"
     agent: |
-      你是配图验收员。**唯一任务**：从已打分的候选里选出最合适的 ${inputs.count} 张配图，写 `./build/illustrations.json`。不要做别的。
+      你是配图验收员。**唯一任务**：从已打分的候选里选出最合适的 ${inputs.count} 张配图，写 `out/illustrate/${session}/build/illustrations.json`。不要做别的。
 
-      1. 用 Glob 列出 `./build/illustrations/score_*.json`，逐个 Read。每个文件形如
+      1. 用 Glob 列出 `out/illustrate/${session}/build/illustrations/score_*.json`，逐个 Read。每个文件形如
          `{"index","url","engine","path","score":{"relevance","quality","is_ad","reason"}}`（坏文件/缺 score 的跳过）。
       2. **先剔除 `score.is_ad == true` 的**（广告/促销/水印图绝不入选）。
       3. 其余按 **relevance×quality 降序**排序，取前 ${inputs.count} 张（不足就有几张给几张）。
-      4. 用 Write 写 `./build/illustrations.json`（严格 JSON、无注释、无 ``` 包裹）：
+      4. 用 Write 写 `out/illustrate/${session}/build/illustrations.json`（严格 JSON、无注释、无 ``` 包裹）：
          `{"topic": "...", "engine_used": "${engine_used}", "count": <实际入选数>,
            "picks": [{"path","url","engine","relevance","quality","reason"}, ...]}`
          path 用 score 文件里的 path（如 build/illustrations/cand_3.img）。
       完成后简述：扫了几个候选、剔了几张广告、最终选了哪几张（序号 + 一句理由）。
     allowed_tools: [Glob, Read, Write]
     maxTurns: 12
-    done_when: "fileExists('./build/illustrations.json')"
+    done_when: "fileExists('out/illustrate/${session}/build/illustrations.json')"
     onError: halt
     max_retries: 1
     artifacts:
-      - "./build/illustrations.json"
+      - "out/illustrate/${session}/build/illustrations.json"
 
   # ---------- 阶段7：完成报告（确定性输出，不烧 LLM）----------
   - id: report
@@ -223,5 +223,5 @@ steps:
     type: echo
     message: |
       ✅ 配图完成（主题：${inputs.topic}，来源：${engine_used}）。
-      选中的图片清单见 ./build/illustrations.json（每条含 path/url/engine/分数）。
+      选中的图片清单见 out/illustrate/${session}/build/illustrations.json（每条含 path/url/engine/分数）。
       下游 PPT/文章工作流可读 illustrations.json 取用这 ${inputs.count} 张配图。