nodal-agents 0.8.6 → 0.8.7

package/cli.js

@@ -13500,11 +13500,19 @@ var init_entities = __esm({
         // Controls whether agent-authored skills are auto-assigned to the authoring
         // agent ('auto') or queued for the entity owner to approve ('approval').
         skillAssignmentMode: text("skill_assignment_mode").notNull().default("approval").$type(),
-        // Allows the workspace OWNER to opt into Yolo (auto-approve run_command)
-        // even in non-local-trust (LAN/local-auth) mode. Off by default: in
-        // local-auth mode, commands always require approval unless the owner
-        // explicitly opts in here.
-        lanCommandYolo: boolean("lan_command_yolo").notNull().default(false),
+        /**
+         * Frein d'urgence de l'auto-exécution (0082, inversion du modèle à deux
+         * clés — décision Quentin 24/08). true = TOUT l'auto-run de code du
+         * workspace est en pause : les règles auto_approve des outils d'exécution
+         * (run_command, code_task, scripts, MCP stdio) deviennent dormantes sans
+         * être supprimées — le runner les déshabille à l'exécution. false
+         * (défaut) = les toggles Yolo par agent (owner-only) s'appliquent tels
+         * quels. Remplace lan_command_yolo, qui était une PRÉ-CONDITION
+         * d'activation : redondante (les toggles par agent étaient déjà
+         * owner-only) et pénible — sa vraie valeur était le coupe-circuit, qui
+         * devient son seul rôle.
+         */
+        autoRunPaused: boolean("auto_run_paused").notNull().default(false),
         /**
          * Interrupteur maitre du serveur MCP (PR C, decision Quentin 23/08).
          * Defaut FERME : un point d'entree externe qui cree des jobs doit etre
@@ -13654,12 +13662,16 @@ var init_agents = __esm({
         // action layer guarantees at least one provider stays enabled.
         cliDefaults: jsonb("cli_defaults").$type(),
         // Which harness drives this agent (étape E). 'nodal' (default) = the
-        // Nodal runner loop. 'claude-code' = the agent IS a Claude Code session:
-        // persona from DB via --append-system-prompt, channels/cron/workspaces/
-        // budget/approvals stay Nodal's, but the LOOP, tools and context are the
-        // CLI's — said as-is to the user (dispatcher, not brain). 'codex' is
-        // reserved (fails loud runtime_not_supported until implemented). A DATA
-        // field, never a hardcoded per-agent branch (invariant #1).
+        // Nodal runner loop. 'claude-code' and 'codex' = the agent IS a session of
+        // that CLI: persona from DB, channels/cron/workspaces/budget/approvals stay
+        // Nodal's, but the LOOP, tools and context are the CLI's — said as-is to
+        // the user (dispatcher, not brain). A DATA field, never a hardcoded
+        // per-agent branch (invariant #1).
+        //
+        // 'codex' a été RÉSERVÉ ici du 19/08 au 27/08 : accepté par la contrainte,
+        // refusé par le Zod de l'action et par le runner. Ouvert le 27/08 —
+        // apps/runner/src/cli-runtime/provider.ts porte désormais LE tableau des
+        // runtimes servis ; cette contrainte et lui doivent rester d'accord.
         runtime: text("runtime").default("nodal").notNull(),
         // Runtime-agent permission posture, as DATA: mode 'read' (default when
         // NULL) hides the CLI's write tools; 'write' allows workspace edits
@@ -14621,6 +14633,35 @@ var init_mcp = __esm({
   }
 });
 
+// ../../packages/db/src/schema/code-projects.ts
+var codeProjects;
+var init_code_projects = __esm({
+  "../../packages/db/src/schema/code-projects.ts"() {
+    "use strict";
+    init_pg_core();
+    init_entities();
+    codeProjects = pgTable(
+      "code_projects",
+      {
+        id: uuid("id").primaryKey().defaultRandom(),
+        entityId: uuid("entity_id").notNull().references(() => entities.id, { onDelete: "cascade" }),
+        /** Chemin absolu slash-normalisé du projet (la clé de groupement dérivée). */
+        projectPath: text("project_path").notNull(),
+        /** Nom choisi par le propriétaire. NULL = nom du dossier. */
+        displayName: text("display_name"),
+        /** Masqué de la liste ET du contexte injecté aux agents. */
+        hidden: boolean("hidden").notNull().default(false),
+        createdAt: timestamp("created_at", { withTimezone: true }).notNull().defaultNow(),
+        updatedAt: timestamp("updated_at", { withTimezone: true }).notNull().defaultNow()
+      },
+      (table) => [
+        unique("code_projects_entity_path_unique").on(table.entityId, table.projectPath),
+        index("idx_code_projects_entity").on(table.entityId)
+      ]
+    );
+  }
+});
+
 // ../../packages/db/src/schema/auth.ts
 var sessions, accounts, verifications;
 var init_auth = __esm({
@@ -14718,6 +14759,28 @@ var init_agent_workspaces = __esm({
         path: text("path").notNull(),
         // UI display order; lower = appears first. Default 0.
         position: integer("position").default(0).notNull(),
+        /**
+         * Ticked by the owner: "nothing written here is a project of mine."
+         *
+         * NOT the return of `is_dev_folder` (0085, dropped by 0086). That one asked
+         * which folders to INCLUDE, so nothing showed until you ticked, a folder
+         * you forgot lost real work in silence, and you still had to guess whether
+         * the ticked folder WAS a project or CONTAINED projects.
+         *
+         * This one only ever removes, and it removes a whole subtree — so the
+         * "is it a project?" question never arises. Everything shows by default,
+         * which keeps the honest failure mode: visible noise you clear, rather than
+         * missing work nothing tells you about. See 0087.
+         *
+         * The folder stays a full workspace: the agent reads and writes there as
+         * before, and its LABEL is still used to resolve relative paths. Only the
+         * project view ignores it — the Code tab and the injected `## Runtime`
+         * block alike.
+         *
+         * A PATH counts as hidden when at least one of its rows is ticked: the same
+         * folder attached to five agents is one gesture, not five.
+         */
+        hiddenFromCode: boolean("hidden_from_code").default(false).notNull(),
         createdAt: timestamp("created_at", { withTimezone: true }).defaultNow(),
         updatedAt: timestamp("updated_at", { withTimezone: true }).defaultNow()
       },
@@ -15158,6 +15221,7 @@ __export(schema_exports, {
   chatMessages: () => chatMessages,
   cliRuns: () => cliRuns,
   cliSessions: () => cliSessions,
+  codeProjects: () => codeProjects,
   connectors: () => connectors,
   conversations: () => conversations,
   credentials: () => credentials,
@@ -15198,6 +15262,7 @@ var init_schema2 = __esm({
     init_schedules();
     init_llm_keys();
     init_mcp();
+    init_code_projects();
     init_auth();
     init_agent_connector_assignments();
     init_agent_workspaces();
@@ -16140,6 +16205,7 @@ __export(src_exports, {
   chatMessages: () => chatMessages,
   cliRuns: () => cliRuns,
   cliSessions: () => cliSessions,
+  codeProjects: () => codeProjects,
   connectors: () => connectors,
   conversations: () => conversations,
   count: () => count,
@@ -16502,9 +16568,34 @@ var init_ports = __esm({
   }
 });
 
+// src/lib/log-rotation.ts
+import { existsSync as existsSync6, renameSync, rmSync, statSync } from "fs";
+function rotateLogIfNeeded(logFile, maxBytes = LOG_ROTATE_MAX_BYTES) {
+  try {
+    if (!existsSync6(logFile)) return false;
+    if (statSync(logFile).size < maxBytes) return false;
+    const archived = `${logFile}.1`;
+    rmSync(archived, { force: true });
+    renameSync(logFile, archived);
+    return true;
+  } catch (err) {
+    console.warn(
+      `[nodalai] log rotation skipped for ${logFile}: ${err instanceof Error ? err.message : String(err)}`
+    );
+    return false;
+  }
+}
+var LOG_ROTATE_MAX_BYTES;
+var init_log_rotation = __esm({
+  "src/lib/log-rotation.ts"() {
+    "use strict";
+    LOG_ROTATE_MAX_BYTES = 20 * 1024 * 1024;
+  }
+});
+
 // src/lib/processes.ts
 import { execa as execa2 } from "execa";
-import { createWriteStream, openSync, writeFileSync as writeFileSync4, readFileSync as readFileSync5, existsSync as existsSync6 } from "fs";
+import { createWriteStream, openSync, writeFileSync as writeFileSync4, readFileSync as readFileSync5, existsSync as existsSync7 } from "fs";
 import { join as join6, dirname as dirname4, resolve } from "path";
 import { fileURLToPath as fileURLToPath3 } from "url";
 async function killProcessTree(child) {
@@ -16653,7 +16744,7 @@ function resolveAppDir(appName) {
   const fileDir = dirname4(here);
   let cursor = fileDir;
   for (let i = 0; i < 8; i++) {
-    if (existsSync6(join6(cursor, "pnpm-workspace.yaml"))) {
+    if (existsSync7(join6(cursor, "pnpm-workspace.yaml"))) {
       return join6(cursor, appName);
     }
     const parent = dirname4(cursor);
@@ -16672,6 +16763,7 @@ function spawnWiring(logFile, detach) {
 }
 function spawnRunner(env, opts = {}) {
   const logFile = join6(LOG_DIR, "runner.log");
+  rotateLogIfNeeded(logFile);
   const outStream = createWriteStream(logFile, { flags: "a" });
   let bin;
   let args;
@@ -16717,6 +16809,7 @@ env keys: ${Object.keys(env).join(",")}
 }
 function spawnWeb(env, opts = {}) {
   const logFile = join6(LOG_DIR, "web.log");
+  rotateLogIfNeeded(logFile);
   const outStream = createWriteStream(logFile, { flags: "a" });
   let bin;
   let args;
@@ -16804,7 +16897,7 @@ function writePids(pids) {
 }
 function readPids() {
   const pidFile = join6(PID_DIR, "processes.json");
-  if (!existsSync6(pidFile)) return null;
+  if (!existsSync7(pidFile)) return null;
   try {
     return JSON.parse(readFileSync5(pidFile, "utf-8"));
   } catch {
@@ -16813,7 +16906,7 @@ function readPids() {
 }
 function clearPids() {
   const pidFile = join6(PID_DIR, "processes.json");
-  if (existsSync6(pidFile)) {
+  if (existsSync7(pidFile)) {
     writeFileSync4(pidFile, JSON.stringify({}), "utf-8");
   }
 }
@@ -16859,6 +16952,7 @@ var init_processes = __esm({
   "src/lib/processes.ts"() {
     "use strict";
     init_config();
+    init_log_rotation();
     SNAPSHOT_BUDGET_MS = 2e4;
     SHUTDOWN_SNAPSHOT_BUDGET_MS = 6e3;
     inFlightSnapshot = null;
@@ -16890,11 +16984,76 @@ var init_processes = __esm({
     lastSnapshotFailure = null;
     BUNDLED_ROOT = (() => {
       const here = dirname4(fileURLToPath3(import.meta.url));
-      return existsSync6(join6(here, "runner.js")) ? here : null;
+      return existsSync7(join6(here, "runner.js")) ? here : null;
     })();
   }
 });
 
+// src/lib/watchdog.ts
+async function probeRunnerHealth(runnerUrl) {
+  try {
+    const controller = new AbortController();
+    const t = setTimeout(() => controller.abort(), 3e3);
+    const res = await fetch(`${runnerUrl}/api/health`, { signal: controller.signal });
+    clearTimeout(t);
+    if (res.status === 200) return { state: "healthy", detail: "" };
+    const body = await res.json().catch(() => null);
+    const detail = body?.db === "error" ? "database unreachable (runner reports db: error)" : `runner is unhealthy (HTTP ${res.status})`;
+    return { state: "degraded", detail };
+  } catch (err) {
+    const aborted = err instanceof Error && err.name === "AbortError";
+    return {
+      state: "unreachable",
+      detail: aborted ? "runner did not answer /api/health within 3s (busy or stalled)" : "runner is not answering /api/health"
+    };
+  }
+}
+function startHealthWatchdog(opts) {
+  const intervalMs = opts.intervalMs ?? 3e4;
+  const failureThreshold = opts.failureThreshold ?? 2;
+  let announced = "healthy";
+  let consecutiveFailures = 0;
+  let stopped = false;
+  let inFlight = false;
+  const tick = async () => {
+    if (stopped || inFlight) return;
+    inFlight = true;
+    try {
+      const result = await opts.probe();
+      if (stopped) return;
+      if (result.state === "healthy") {
+        consecutiveFailures = 0;
+        if (announced !== "healthy") {
+          announced = "healthy";
+          opts.onTransition("healthy", "services are answering again");
+        }
+        return;
+      }
+      consecutiveFailures += 1;
+      if (consecutiveFailures < failureThreshold) return;
+      if (announced !== result.state) {
+        announced = result.state;
+        opts.onTransition(result.state, result.detail);
+      }
+    } finally {
+      inFlight = false;
+    }
+  };
+  const timer2 = setInterval(() => void tick(), intervalMs);
+  timer2.unref?.();
+  return {
+    stop: () => {
+      stopped = true;
+      clearInterval(timer2);
+    }
+  };
+}
+var init_watchdog = __esm({
+  "src/lib/watchdog.ts"() {
+    "use strict";
+  }
+});
+
 // src/commands/up.ts
 var up_exports = {};
 __export(up_exports, {
@@ -16904,7 +17063,7 @@ import chalk from "chalk";
 import ora from "ora";
 import open from "open";
 import { randomBytes as randomBytes4 } from "crypto";
-import { existsSync as existsSync7, readFileSync as readFileSync6 } from "fs";
+import { existsSync as existsSync8, readFileSync as readFileSync6 } from "fs";
 import { join as join7 } from "path";
 async function killSilent(child) {
   await killProcessTree(child);
@@ -16912,7 +17071,7 @@ async function killSilent(child) {
 function printLogTail(service, lines) {
   const logFile = join7(LOG_DIR, `${service}.log`);
   try {
-    if (!existsSync7(logFile)) {
+    if (!existsSync8(logFile)) {
       console.error(chalk.gray(`
   ${service}: no log at ${logFile}`));
       return;
@@ -17274,7 +17433,32 @@ ${lines}
   }
   console.log(chalk.gray("  Ctrl+C to stop all services"));
   console.log("");
+  const watchdog = startHealthWatchdog({
+    probe: () => probeRunnerHealth(runnerUrl),
+    onTransition: (state, detail) => {
+      const at = (/* @__PURE__ */ new Date()).toLocaleTimeString();
+      if (state === "healthy") {
+        console.log(chalk.green(`
+  [${at}] Recovered \u2014 ${detail}.`));
+        return;
+      }
+      console.error(chalk.red.bold(`
+  [${at}] DEGRADED \u2014 ${detail}.`));
+      if (state === "degraded") {
+        console.error(
+          chalk.red(
+            "  The dashboard may still render, but nothing can read or write the database:\n  jobs are not created, chats and schedules are failing."
+          )
+        );
+        printLogTail("runner", 10);
+      }
+      console.error(
+        chalk.yellow("  \u2192 Restart the stack: `nodal-agents down`, then `nodal-agents up`.")
+      );
+    }
+  });
   await Promise.race([runnerProcess, webProcess]);
+  watchdog.stop();
   await shutdown();
 }
 var init_up = __esm({
@@ -17287,6 +17471,7 @@ var init_up = __esm({
     init_ports();
     init_processes();
     init_src4();
+    init_watchdog();
   }
 });
 
@@ -17574,7 +17759,7 @@ __export(down_exports, {
   runDown: () => runDown
 });
 import chalk3 from "chalk";
-import { existsSync as existsSync8 } from "fs";
+import { existsSync as existsSync9 } from "fs";
 import { join as join8 } from "path";
 async function killPid(pid, label) {
   if (!isPidAlive(pid)) {
@@ -17591,7 +17776,7 @@ async function killPid(pid, label) {
 }
 async function stopPostgresGracefully() {
   const pidFile = join8(PG_DATA_DIR, "postmaster.pid");
-  if (!existsSync8(pidFile)) return false;
+  if (!existsSync9(pidFile)) return false;
   const pgPid = readPostmasterPid(PG_DATA_DIR);
   try {
     const EmbeddedPostgres = (await import("embedded-postgres")).default;
@@ -17661,7 +17846,7 @@ __export(logs_exports, {
   runLogs: () => runLogs
 });
 import chalk4 from "chalk";
-import { existsSync as existsSync9, createReadStream, watch, statSync } from "fs";
+import { existsSync as existsSync10, createReadStream, watch, statSync as statSync2 } from "fs";
 import { join as join9 } from "path";
 function isServiceName(s) {
   return VALID_SERVICES.includes(s);
@@ -17675,7 +17860,7 @@ async function runLogs(service) {
   const services = target === "all" ? VALID_SERVICES : [target];
   for (const svc of services) {
     const logFile = join9(LOG_DIR, `${svc}.log`);
-    if (!existsSync9(logFile)) {
+    if (!existsSync10(logFile)) {
       console.log(chalk4.gray(`  [${svc}] No log file yet at ${logFile}`));
       continue;
     }
@@ -17690,18 +17875,18 @@ async function runLogs(service) {
   }
   if (target !== "all") {
     const logFile = join9(LOG_DIR, `${target}.log`);
-    if (!existsSync9(logFile)) {
+    if (!existsSync10(logFile)) {
       console.log(chalk4.yellow("Waiting for log file to be created\u2026"));
     }
     console.log(chalk4.gray("\nFollowing log (Ctrl+C to stop)...\n"));
     let fileSize = 0;
     try {
-      fileSize = statSync(logFile).size;
+      fileSize = statSync2(logFile).size;
     } catch {
     }
     const watcher = watch(logFile, () => {
       try {
-        const newSize = statSync(logFile).size;
+        const newSize = statSync2(logFile).size;
         if (newSize > fileSize) {
           const stream = createReadStream(logFile, { start: fileSize, encoding: "utf-8" });
           stream.on("data", (chunk) => process.stdout.write(chunk));
@@ -17728,7 +17913,7 @@ var init_logs = __esm({
 import { execFile } from "child_process";
 import { createHash as createHash2 } from "crypto";
 import { mkdir, writeFile } from "fs/promises";
-import { existsSync as existsSync10 } from "fs";
+import { existsSync as existsSync11 } from "fs";
 import { join as join10 } from "path";
 import { promisify } from "util";
 function workspaceKey(workspace) {
@@ -17768,7 +17953,7 @@ async function ensureStore(store) {
   const gitDir = join10(store, "store");
   await mkdir(join10(store, "indexes"), { recursive: true });
   await writeFile(join10(store, "gitconfig"), "", { flag: "a" });
-  if (!existsSync10(join10(gitDir, "HEAD"))) {
+  if (!existsSync11(join10(gitDir, "HEAD"))) {
     await mkdir(gitDir, { recursive: true });
     await run("git", ["init", "--bare", "--quiet", gitDir], {
       timeout: GIT_TIMEOUT_MS,
@@ -17801,7 +17986,7 @@ async function snapshot(store, workspace, label) {
   return { sha, workspace, at, label };
 }
 async function listCheckpoints(store, workspace, limit = 20) {
-  if (!existsSync10(join10(store, "store", "HEAD"))) return [];
+  if (!existsSync11(join10(store, "store", "HEAD"))) return [];
   const ref = `refs/nodal/${workspaceKey(workspace)}`;
   const out = await git(store, workspace, [
     "log",
@@ -30975,7 +31160,13 @@ async function buildNodalMcpServer(opts) {
             }
             targetAgent = root;
           } else {
-            const [launcher] = await opts.db.select({ id: agents.id }).from(agents).where(and(eq(agents.id, agentRow.id), eq(agents.active, true))).limit(1);
+            const [launcher] = await opts.db.select({ id: agents.id }).from(agents).where(
+              and(
+                eq(agents.id, agentRow.id),
+                eq(agents.active, true),
+                eq(agents.entityId, entityId)
+              )
+            ).limit(1);
             if (!launcher) {
               throw new Error(
                 "mcp_agent_not_found: the agent this server was launched for has been deactivated. Reactivate it, set a root agent, or restart the server for another agent."
@@ -31185,7 +31376,7 @@ __export(reset_exports, {
 });
 import chalk6 from "chalk";
 import prompts2 from "prompts";
-import { rmSync, existsSync as existsSync11 } from "fs";
+import { rmSync as rmSync2, existsSync as existsSync12 } from "fs";
 async function runReset(options = {}) {
   if (!options.yes) {
     const { confirm } = await prompts2({
@@ -31203,8 +31394,8 @@ async function runReset(options = {}) {
   }
   console.log(chalk6.yellow("Stopping any running processes\u2026"));
   await runDown();
-  if (existsSync11(CONFIG_DIR)) {
-    rmSync(CONFIG_DIR, { recursive: true, force: true });
+  if (existsSync12(CONFIG_DIR)) {
+    rmSync2(CONFIG_DIR, { recursive: true, force: true });
     console.log(chalk6.green(`  Removed ${CONFIG_DIR}`));
   } else {
     console.log(chalk6.gray(`  ${CONFIG_DIR} was already empty`));

package/migrations/0082_entities_auto_run_paused.sql

@@ -0,0 +1,32 @@
+-- 0082 — inversion du modele a deux cles Yolo (decision Quentin 24/08).
+--
+-- L'ancien lan_command_yolo etait une PRE-CONDITION : sur une install reseau,
+-- il fallait l'allumer pour avoir LE DROIT d'activer le Yolo par agent — deux
+-- serrures, une seule cle (les deux gestes etaient deja owner-only). Sa vraie
+-- valeur etait le coupe-circuit : l'eteindre rendait dormantes toutes les
+-- regles d'un coup. auto_run_paused ne garde QUE ce role : un frein
+-- d'urgence, inactif par defaut, qui met en pause tout l'auto-run de code du
+-- workspace quand on l'enclenche.
+--
+-- Le backfill preserve l'INTENTION de chaque install : un master OFF alors
+-- que des regles auto_approve d'outils d'execution existent = le proprietaire
+-- avait deliberement coupe (usage coupe-circuit) -> pause maintenue. Un
+-- master OFF sans aucune regle armee (l'immense majorite, dont toute install
+-- neuve) = rien a couper -> pas de pause. Un master ON = il autorisait ->
+-- pas de pause. Aucun comportement effectif ne change au reboot.
+ALTER TABLE entities ADD COLUMN auto_run_paused boolean NOT NULL DEFAULT false;
+
+UPDATE entities e
+SET auto_run_paused = true
+WHERE e.lan_command_yolo = false
+  AND EXISTS (
+    SELECT 1
+    FROM approval_rules ar
+    LEFT JOIN agents a ON a.id = ar.agent_id
+    WHERE ar.action = 'auto_approve'
+      AND ar.tool_name IN ('run_command', 'code_task', 'run_skill_script',
+                           'skill_file_write', 'create_mcp', 'attach_mcp')
+      AND (a.entity_id = e.id OR ar.entity_id = e.id)
+  );
+
+ALTER TABLE entities DROP COLUMN lan_command_yolo;

package/migrations/0083_code_project_archives.sql

@@ -0,0 +1,14 @@
+-- 0083 — archives de projets de l'onglet Code (décision Quentin 25/08).
+-- Un « projet » est DÉRIVÉ à l'affichage (racine git / workspace des fichiers
+-- touchés) — il n'existe pas en base. L'archivage, lui, est un état UI qui
+-- doit survivre : une ligne par (workspace, chemin de projet) archivé.
+-- AUCUN effet sur le dossier réel — désarchiver = supprimer la ligne.
+CREATE TABLE IF NOT EXISTS "code_project_archives" (
+  "id" uuid PRIMARY KEY DEFAULT gen_random_uuid() NOT NULL,
+  "entity_id" uuid NOT NULL REFERENCES "entities"("id") ON DELETE CASCADE,
+  "project_path" text NOT NULL,
+  "archived_at" timestamp with time zone DEFAULT now() NOT NULL,
+  CONSTRAINT "code_project_archives_entity_path_unique" UNIQUE ("entity_id", "project_path")
+);
+--> statement-breakpoint
+CREATE INDEX IF NOT EXISTS "idx_code_project_archives_entity" ON "code_project_archives" ("entity_id");

package/migrations/0084_release_wrong_auto_run_pause.sql

@@ -0,0 +1,24 @@
+-- 0084 — annule le backfill fautif de 0082 (revue P0 du 25/08, finding bloquant).
+--
+-- Le backfill de 0082 posait `auto_run_paused = true` quand l'ancien
+-- `lan_command_yolo` valait false ET qu'une regle auto_approve d'outil de code
+-- existait, en lisant ce false comme « le proprietaire avait deliberement
+-- coupe ». La premisse est FAUSSE sur le mode par defaut : hors LAN
+-- (local-trust), l'ancienne garde ne s'appliquait pas du tout et la section
+-- Settings etait masquee — le drapeau y valait false par construction, sans
+-- jamais avoir rien voulu dire. Consequence : une install locale qui avait
+-- active un Yolo se retrouvait, apres mise a jour, avec ses crons et ses
+-- taches Telegram suspendus en attente d'approbation, sans qu'aucun geste
+-- n'ait ete fait.
+--
+-- Le frein est un GESTE DELIBERE, pas un etat devine : il repart relache
+-- partout (sa valeur par defaut), et quiconque le veut l'enclenche en un clic
+-- dans Settings. La fenetre concernee est courte (0082 date du 24/08) et
+-- l'etat est visible dans l'interface, donc la correction ne peut pas
+-- surprendre en silence.
+--
+-- Le durcissement qui compte vit ailleurs, dans le code : l'autonomie du
+-- workspace ne relaxe plus JAMAIS les outils d'execution de code
+-- (packages/tools/src/execute.ts, isCodeExecutionTool) — seule une regle
+-- explicite par agent le fait.
+UPDATE entities SET auto_run_paused = false WHERE auto_run_paused = true;

package/migrations/0085_workspaces_is_dev_folder.sql

@@ -0,0 +1,33 @@
+-- 0085 — un dossier de developpement se COCHE, il ne se devine pas.
+--
+-- L'onglet Code doit montrer le travail de developpement, et rien d'autre.
+-- Quatre definitions ont ete essayees et ecartees, toutes parce qu'elles
+-- DEVINAIENT :
+--
+--   * la nature des fichiers edites (extensions) : « une exclusion par langage
+--     ratera tot ou tard du vrai code » — un .json de mock-data EST du code.
+--     Et le coffre Obsidian qualifiait quand meme, a cause de vrais .py ecrits
+--     dedans en juillet ;
+--   * le skill porte par l'agent : ne marche que si l'utilisateur emploie NOS
+--     skills, jamais les siens ni ceux du catalogue communautaire ;
+--   * la structure du dossier (package.json, .git…) : symetrique du premier
+--     echec — « on va 100 % avoir des faux positifs », un depot clone ou un
+--     theme jamais touche en porte un ;
+--   * une case sur l'AGENT : repond au « qui », pas au « ou ». Un agent qui
+--     code le matin et range le coffre l'apres-midi y ferait entrer le coffre.
+--
+-- D'ou cette colonne : la designation porte sur le DOSSIER, et elle est
+-- explicite. La case definit un PERIMETRE, pas un projet — cocher `Dev` ne
+-- fait pas de `Dev` un projet, ses sous-dossiers en sont.
+--
+-- Aucun backfill : cocher un dossier a la place du proprietaire serait une
+-- devinette de plus, exactement ce que ce lot supprime. L'onglet Code nomme le
+-- geste tant qu'aucun dossier n'est coche.
+ALTER TABLE agent_workspaces
+  ADD COLUMN IF NOT EXISTS is_dev_folder boolean NOT NULL DEFAULT false;
+--> statement-breakpoint
+-- La derivation des projets lit les dossiers coches a chaque job et a chaque
+-- chargement de l'onglet : un index partiel garde ces lectures triviales.
+CREATE INDEX IF NOT EXISTS idx_agent_workspaces_dev_folder
+  ON agent_workspaces (entity_id)
+  WHERE is_dev_folder;

package/migrations/0086_code_projects_rename_and_hide.sql

@@ -0,0 +1,61 @@
+-- 0086 — l'onglet Code cesse de DEVINER, et l'utilisateur reprend la main.
+--
+-- Six definitions ont ete essayees pour savoir ce qui merite d'apparaitre dans
+-- l'onglet Code. Toutes ecartees, toutes pour la meme raison : elles
+-- decidaient a la place du proprietaire, sur un indice indirect.
+--
+--   1. l'extension des fichiers        « une exclusion par langage ratera tot
+--                                        ou tard du vrai code »
+--   2. le skill porte par l'agent      ne marche qu'avec NOS skills
+--   3. la structure du dossier         « on va 100 % avoir des faux positifs »
+--   4. une case sur l'agent            repond au « qui », pas au « ou »
+--   5. une case sur le dossier         (0085) il faut encore deviner si le
+--                                        dossier coche EST un projet ou en
+--                                        CONTIENT
+--   6. une nature devinee par dossier  liste sans fin : Obsidian, ComfyUI,
+--                                        Blender, Unity, Godot, un CMS…
+--
+-- Decision Quentin (26/08) : ne rien deviner. L'onglet montre les dossiers ou
+-- les agents ont travaille, et le proprietaire dispose des deux seuls gestes
+-- que le produit ne peut pas poser a sa place : RENOMMER ce qui porte mal son
+-- nom, MASQUER ce qu'il ne veut plus voir.
+--
+-- D'ou cette migration :
+--   * `agent_workspaces.is_dev_folder` disparait — le filtrage n'existe plus ;
+--   * `code_project_archives` devient `code_projects`, qui porte desormais les
+--     DEUX gestes au lieu du seul masquage.
+--
+-- « Masquer » plutot qu'« archiver » : le dossier n'est jamais touche, rien
+-- n'est fini ni range definitivement — c'est un choix d'affichage, et le mot
+-- doit le dire. Le masquage retire aussi le projet du contexte injecte aux
+-- agents, ce que l'archivage ne faisait pas : un projet range n'a pas a etre
+-- annonce dans le prompt de tout le monde.
+ALTER TABLE agent_workspaces DROP COLUMN IF EXISTS is_dev_folder;
+--> statement-breakpoint
+CREATE TABLE IF NOT EXISTS code_projects (
+  id uuid PRIMARY KEY DEFAULT gen_random_uuid(),
+  entity_id uuid NOT NULL REFERENCES entities(id) ON DELETE CASCADE,
+  -- Chemin absolu du projet, slash-normalise (la forme que rend la derivation).
+  project_path text NOT NULL,
+  -- Nom choisi par le proprietaire. NULL = on affiche le nom du dossier.
+  display_name text,
+  -- Masque de la liste ET du contexte des agents.
+  hidden boolean NOT NULL DEFAULT false,
+  created_at timestamptz NOT NULL DEFAULT now(),
+  updated_at timestamptz NOT NULL DEFAULT now(),
+  UNIQUE (entity_id, project_path)
+);
+--> statement-breakpoint
+-- Les projets deja archives restent masques : le geste avait ete pose, il est
+-- conserve tel quel.
+INSERT INTO code_projects (entity_id, project_path, hidden, created_at)
+SELECT entity_id, project_path, true, archived_at
+FROM code_project_archives
+ON CONFLICT (entity_id, project_path) DO NOTHING;
+--> statement-breakpoint
+DROP TABLE IF EXISTS code_project_archives;
+--> statement-breakpoint
+-- La liste est lue a chaque chargement de l'onglet ET a chaque job (le contexte
+-- des agents doit savoir ce qui est masque) : l'index garde ces lectures
+-- triviales.
+CREATE INDEX IF NOT EXISTS idx_code_projects_entity ON code_projects (entity_id);