omnilane 0.42.2 → 0.42.5

package/.claude-plugin/marketplace.json

@@ -6,14 +6,14 @@
   },
   "metadata": {
     "description": "One routing table, native-first or CLI delegation, supervised completion workflows.",
-    "version": "0.42.2"
+    "version": "0.42.5"
   },
   "plugins": [
     {
       "name": "omnilane",
       "source": "./",
       "description": "Route each subtask to the model that fits, then delegate through a compatible caller-owned native agent or vendor CLI.",
-      "version": "0.42.2",
+      "version": "0.42.5",
       "category": "development",
       "keywords": [
         "routing",

package/.claude-plugin/plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "omnilane",
-  "version": "0.42.2",
+  "version": "0.42.5",
   "description": "One routing table, every harness: classify subtasks into lanes and delegate through compatible caller-owned native agents or vendor CLIs with exact-AA downward policy and supervised jobs.",
   "author": {
     "name": "Seraphim0916"

package/CHANGELOG.md

@@ -6,6 +6,78 @@ semantic version tags.
 
 ## [Unreleased]
 
+## [0.42.5] - 2026-09-09
+
+### Fixed
+
+- One vendor's CLI upgrade refused every vendor's dispatch. Overlay evidence
+  compared in a single loop raised on the first mismatch, so an `agy`
+  1.1.27 -> 1.1.28 upgrade failed `load_registry` and returned
+  `invalid-policy-input` for codex, claude, and grok as well, although only the
+  seven gemini mappings depended on that binary. Evidence entries now take a
+  `vendor` tag; a tagged entry that drifts or disappears degrades only its own
+  vendor to `unknown-target-runtime`. Untagged evidence stays globally
+  fail-closed, and structural overlay checks stay hard failures.
+- `omnilane doctor` reported 19 passed, 0 failed while every dispatch was
+  refused. A new `transport-overlay` check loads the configured overlay, names
+  the offending file and vendor on failure, reports per-vendor verified counts,
+  and warns when a vendor has degraded.
+- `build_overlay.py` signed probes it never read. Six `claude-fable-5-1`
+  configurations had been unusable since 2026-09-07 because their probes hit a
+  quota refusal and were silently omitted. Probes now carry a per-vendor
+  `verdict`, non-passing probes are refused and recorded in the overlay's
+  `unproven[]`, and evidence predating the field is signed with a warning. The
+  six Fable configurations are listed in the probe table so their failures are
+  reported; a 2026-09-09 re-probe returned the same quota refusal, so they stay
+  unusable and `omnilane doctor` now says so.
+- A Claude CLI probe that requested an unknown `--effort` returned exit 0, no
+  error, the right `modelUsage`, and the expected token while silently using the
+  default effort. The verdict now fails that case, so a mapping cannot be
+  certified at the wrong effort tier.
+
+### Changed
+
+- `build_overlay.py` and `probe.py` moved from an untracked `.rollback` sweep
+  directory into `scripts/lib/` and take `--root`, so overlay rebuilds survive a
+  cleanup of that directory.
+
+## [0.42.4] - 2026-09-07
+
+### Fixed
+
+- The 60-second start in all five READMEs ran `omnilane route` with no caller
+  identity, so a new user following it was refused with `missing-caller-context`
+  and the READMEs said nothing about the fix. The quickstart now asserts the
+  human operator once with `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1`, and a note
+  explains why a dispatch must say who is asking, what a model caller passes
+  instead, and what happens when neither is present.
+- The `dispatch.sh` synopsis in the command reference gains
+  `[--caller-context FILE | --operator-asserted-human]`.
+
+0.42.3 documented this inside the dispatch skill but left the user-facing
+quickstart unchanged, which is the path a new install actually takes.
+
+## [0.42.3] - 2026-09-07
+
+### Documentation
+
+- The dispatch quick reference now shows `--caller-context FILE` in the command
+  signature and states that a model caller without it is refused with
+  `missing-caller-context` before a job exists.
+- The frozen exact-AA downward gate section gains a complete caller-context
+  example and says to build the file before the first dispatch rather than after
+  a refusal.
+- New guidance for a harness that names a model but no effort: read the exact
+  flags from the launching process by walking your own ancestor chain, matching
+  the chain rather than the first same-named process on the host. Declaring the
+  lowest-scoring row is documented as the fallback when that yields nothing, not
+  as the first move, because an unnecessarily low ceiling silently closes lanes.
+- `missing-caller-context` and `runtime-mapping-unverified` are now distinguished
+  with the fix for each, including the warning that the second is never resolved
+  by editing the frozen registry whose SHA-256 is pinned in `aa_policy.py`.
+
+No routing, scoring, gate, or runner behaviour changes in this release.
+
 ## [0.42.2] - 2026-09-07
 
 ### Fixed
@@ -849,7 +921,10 @@ work to the wrong model, and records the evidence behind the shipped defaults.
 - Initial shared routing table, cross-vendor dispatcher, runners, installer,
   and baseline lint fixes.
 
-[Unreleased]: https://github.com/Seraphim0916/omnilane/compare/v0.42.2...HEAD
+[Unreleased]: https://github.com/Seraphim0916/omnilane/compare/v0.42.5...HEAD
+[0.42.5]: https://github.com/Seraphim0916/omnilane/compare/v0.42.4...v0.42.5
+[0.42.4]: https://github.com/Seraphim0916/omnilane/compare/v0.42.3...v0.42.4
+[0.42.3]: https://github.com/Seraphim0916/omnilane/compare/v0.42.2...v0.42.3
 [0.42.2]: https://github.com/Seraphim0916/omnilane/compare/v0.42.1...v0.42.2
 [0.42.1]: https://github.com/Seraphim0916/omnilane/compare/v0.42.0...v0.42.1
 [0.42.0]: https://github.com/Seraphim0916/omnilane/compare/v0.41.1...v0.42.0

package/README.ja.md

@@ -52,6 +52,7 @@ Cursor、Gemini CLI** など——を使っていますよね。どれも一つ
 
 ```bash
 npm i -g omnilane                                    # CLI をインストール
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 呼び出しているのは人間の操作者
 omnilane route hardest-coding "auth トークン更新テストの不安定さを修正"
 omnilane doctor                                      # 使える AI CLI / キーを確認
 omnilane ui start                                    # 任意:ブラウザでジョブをライブ表示
@@ -62,9 +63,17 @@ omnilane ui start                                    # 任意:ブラウザでジ
 ```bash
 git clone https://github.com/Seraphim0916/omnilane && cd omnilane
 ./install.sh          # CLI を検出、スキルを接続、あなたの言語で対話
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 呼び出しているのは人間の操作者
 omnilane route hardest-coding "auth トークン更新テストの不安定さを修正"
 ```
 
+> **あの export は何のため?** omnilane は呼び出し元自身の能力スコアで各ディスパッチを
+> ゲートするため、「誰が依頼しているか」を必ず示す必要があります。端末の前にいる人間は
+> `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` を一度設定するか、呼び出しごとに
+> `--operator-asserted-human` を付けます。omnilane を動かすモデルは**自分でこれを主張
+> できません**。代わりに正確なベンダー・モデル・effort を持つ `--caller-context FILE` を
+> 渡します。どちらも無い場合、ジョブ生成前に `missing-caller-context` で拒否されます。
+
 > はじめての方は、まず `omnilane doctor` を実行してください。omnilane が今どのモデル CLI と
 > API キーに接続できるかがわかり、実際に何が動くか把握できます。
 
@@ -292,6 +301,7 @@ omnilane ui stop                               # Live UI を停止
 omnilane doctor [--json]                       # ルーティングとローカル実行環境を読み取り専用で診断
 dispatch.sh [--background] [--dry-run] [--thread NAME] [--mode advise|work|sysops] [--workdir DIR]
             [--vendor V] [--model M] [--effort E] [--timeout SEC] [--job-timeout SEC]
+            [--caller-context FILE | --operator-asserted-human]   # who is asking
             LANE "TASK"                              # "-" で stdin から読む
 dispatch.sh [--json] --list [--json]
 dispatch.sh [--json] --explain LANE [--json]       # 候補ごとの決定理由をオフライン表示
@@ -511,6 +521,36 @@ work の別名ではありません。サービス管理など、work の境界
 
 </details>
 
+<details>
+<summary><b>ディスパッチが拒否されました。どの拒否ですか？</b></summary>
+
+<br/>
+
+3 つのコードには 3 つの異なる対処があります。まず `omnilane doctor` を実行して
+ください。その `transport-overlay` チェックが、問題はこのマシンの設定なのか
+リクエストなのかをすぐに示します。
+
+`missing-caller-context` — 呼び出し元の識別情報がありません。人間は
+`OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` または `--operator-asserted-human` を
+使います。omnilane を動かすモデルは、正確なベンダー・モデル・effort を含む
+`--caller-context FILE` を渡し、人間向けの免除を自称してはいけません。
+
+`runtime-mapping-unverified` — 識別情報は正しく、**ターゲット**にホストローカルの
+リクエストセレクタの証明がありません。未プローブか、プローブが失敗しています。
+`omnilane doctor` がその件数を報告し、overlay の `unproven[]` に各失敗の理由が
+残ります。プロバイダーの利用上限による拒否は、その上限が解消するまで続きます。
+
+`invalid-policy-input` と "transport contract evidence changed" — 上記のいずれ
+でもありません。overlay 自体が読み込めないため、**すべてのベンダー**が拒否され
+ます。よくある原因はベンダー CLI の更新です。overlay は各ベンダーの実行ファイルと
+ランナースクリプトのハッシュを固定しており、Codex と Claude の証拠パスは
+バージョンディレクトリを含むため、更新ではダイジェストが変わるのではなく
+ファイルが消えます。タグ付きの証拠は自分のベンダーだけを降格させ、プローブ
+マニフェストのようなタグなしの証拠はゲート全体を閉じます。doctor がファイルと
+ベンダーを示し、再署名の手順はディスパッチスキルにあります。
+
+</details>
+
 ## 📊 デフォルト値と出典
 
 デフォルトのレーン割当は Artificial Analysis の 2026-07 スナップショット
@@ -533,6 +573,28 @@ work の別名ではありません。サービス管理など、work の境界
 
 ## 📜 リリース履歴
 
+## v0.42.5 の新機能
+
+- **1 つの CLI 更新が全ベンダーを止めることはなくなりました。** overlay の evidence に `vendor` タグを付与でき、タグ付きエントリのハッシュ差異やファイル消失は当該ベンダーのみを `unknown-target-runtime` に降格させます。タグなしの evidence は従来どおり全体を fail-closed にします。
+- **`omnilane doctor` が overlay を読み込みます。** 新しい `transport-overlay` チェックは失敗時に該当ファイルとベンダーを示し、成功時はベンダーごとの検証済みマッピング数を報告します。
+- **プローブが判定を記録します。** `probe.py` は課金された `modelUsage` で Claude の応答を判定し、CLI が不明な `--effort` を既定値へ黙って置き換えた場合を失敗とします。`build_overlay.py` は不合格のプローブに署名せず、overlay の `unproven[]` に記録します。
+- **再構築ツールをバージョン管理下へ。** `build_overlay.py` と `probe.py` は `scripts/lib/` に移り、`--root` を受け取ります。
+- **アップグレード。** npm 公開後は `npm i -g omnilane@0.42.5` を実行してください。
+
+## v0.42.4 の新機能
+
+- **クイックスタートが実際に動くようになりました。** `omnilane route` は「誰が依頼しているか」を必要としますが、60 秒クイックスタートにその記載が無く、新規インストールでは案内無しに `missing-caller-context` で拒否されていました。今は `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` で人間の操作者を一度宣言し、モデル呼び出し元が代わりに渡すものも説明します。
+- **コマンドリファレンス。** `dispatch.sh` の書式に `[--caller-context FILE | --operator-asserted-human]` を追加しました。
+
+## v0.42.3 の新機能
+
+- **ドキュメントのみの更新。** ルーティング、スコア、ゲート、ランナーの動作は変更していません。
+- **`--caller-context` をクイックリファレンスに明記。** ディスパッチのコマンド書式に追加し、モデル呼び出し元がこれを渡さない場合はジョブ生成前に `missing-caller-context` で拒否されることを明示しました。
+- **caller-context の完全な例。** 凍結 exact-AA 下方ゲートの節に、そのまま使える JSON 例を追加し、拒否されてからではなく最初のディスパッチ前に作成するよう記載しました。
+- **effort は推測せず調べる。** ハーネスがモデル名のみで effort を示さない場合、自分の祖先プロセス連鎖をたどって正確なフラグを読み取ります。同名プロセスの先頭ではなく連鎖を照合してください。最低スコア行の宣言は取得できなかった場合の代替であり最初の手段ではありません。不必要に低い上限はレーンを黙って閉じます。
+- **二つの拒否コード、二つの対処。** `missing-caller-context` はファイル未指定、`runtime-mapping-unverified` は対象にホストローカルの検証済みセレクタが無いことを意味し、実証拠に基づく `--transport-overlay` 項目で解決します。凍結レジストリの編集では決して解決しません。
+- **アップグレード。** npm 公開後に `npm i -g omnilane@0.42.3` を実行します。既存のリポジトリシンボリックリンク導入はチェックアウトを更新し `omnilane --version` を確認すれば、再インストールは不要です。
+
 ## v0.42.2 の新機能
 
 - **Grok の推論強度を CLI に渡します。** 明示的な `low`、`medium`、`high`、`xhigh` は `--reasoning-effort` で渡され、Grok 4.6 の既定ルートは `high` を選択します。

package/README.ko.md

@@ -51,6 +51,7 @@ Gemini CLI** 같은——를 쓰고 계시죠. 각각은 하나의 모델 계열
 
 ```bash
 npm i -g omnilane                                    # CLI 설치
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 호출자는 모델이 아닌 사람 운영자
 omnilane route hardest-coding "간헐적으로 실패하는 auth 토큰 갱신 테스트 수정"
 omnilane doctor                                      # 사용 가능한 AI CLI / 키 확인
 omnilane ui start                                    # 선택: 브라우저에서 잡을 실시간 확인
@@ -61,9 +62,17 @@ omnilane ui start                                    # 선택: 브라우저에
 ```bash
 git clone https://github.com/Seraphim0916/omnilane && cd omnilane
 ./install.sh          # CLI 감지, 스킬 연결, 당신의 언어로 대화
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 호출자는 모델이 아닌 사람 운영자
 omnilane route hardest-coding "간헐적으로 실패하는 auth 토큰 갱신 테스트 수정"
 ```
 
+> **그 export 는 왜 필요한가요?** omnilane 은 호출자 자신의 능력 점수로 모든 디스패치를
+> 게이트하므로, 디스패치는 «누가 요청하는지»를 반드시 밝혀야 합니다. 터미널 앞의 사람은
+> `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` 을 한 번 설정하거나 호출마다
+> `--operator-asserted-human` 을 붙입니다. omnilane 을 구동하는 모델은 **스스로 이를 주장할
+> 수 없으며**, 대신 정확한 벤더·모델·effort 를 담은 `--caller-context FILE` 을 전달합니다.
+> 둘 다 없으면 잡 생성 전에 `missing-caller-context` 로 거부됩니다.
+
 > 처음이신가요? 먼저 `omnilane doctor` 를 실행하세요. omnilane 이 지금 어떤 모델 CLI 와
 > API 키에 접근할 수 있는지 알려 주어, 실제로 무엇이 실행될지 파악할 수 있습니다.
 
@@ -284,6 +293,7 @@ omnilane ui stop                               # Live UI 중지
 omnilane doctor [--json]                       # 라우팅과 로컬 실행 환경을 읽기 전용으로 진단
 dispatch.sh [--background] [--dry-run] [--thread NAME] [--mode advise|work|sysops] [--workdir DIR]
             [--vendor V] [--model M] [--effort E] [--timeout SEC] [--job-timeout SEC]
+            [--caller-context FILE | --operator-asserted-human]   # who is asking
             LANE "TASK"                              # "-" 는 stdin 에서 읽기
 dispatch.sh [--json] --list [--json]
 dispatch.sh [--json] --explain LANE [--json]       # 후보별 라우팅 결정을 오프라인 설명
@@ -497,6 +507,36 @@ work 는 지정한 디렉터리 안의 변경만 허용하며 모델 연결은
 
 </details>
 
+<details>
+<summary><b>디스패치가 거부되었습니다. 어떤 거부인가요?</b></summary>
+
+<br/>
+
+세 가지 코드에는 각각 다른 해결책이 있습니다. 먼저 `omnilane doctor`를 실행하세요.
+`transport-overlay` 검사가 문제의 원인이 이 머신의 설정인지 요청인지 바로
+알려줍니다.
+
+`missing-caller-context` — 호출자 신원을 전달하지 않았습니다. 사람은
+`OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` 또는 `--operator-asserted-human`을
+사용합니다. omnilane을 구동하는 모델은 정확한 벤더·모델·effort가 담긴
+`--caller-context FILE`을 전달해야 하며, 사람용 면제를 스스로 주장해서는 안 됩니다.
+
+`runtime-mapping-unverified` — 신원은 정상이지만 **대상**에 검증된 호스트 로컬
+요청 셀렉터가 없습니다. 프로브를 한 적이 없거나 프로브가 실패한 경우입니다.
+`omnilane doctor`가 해당 구성의 개수를 보고하고, overlay의 `unproven[]`에 각
+실패 사유가 기록됩니다. 공급자 할당량 제한으로 인한 거부는 그 할당량이 회복될
+때까지 해소되지 않습니다.
+
+`invalid-policy-input`과 "transport contract evidence changed" — 위 둘 다
+아닙니다. overlay 자체가 로드되지 않아 **모든 벤더**가 거부됩니다. 흔한 원인은
+벤더 CLI 업그레이드입니다. overlay는 각 벤더의 실행 파일과 러너 스크립트 해시를
+고정하며, Codex와 Claude의 증거 경로에는 버전 디렉터리가 포함되어 업그레이드 시
+다이제스트가 바뀌는 대신 파일이 사라집니다. 태그가 있는 증거는 해당 벤더만
+강등시키고, 프로브 매니페스트처럼 태그가 없는 증거는 게이트 전체를 닫습니다.
+doctor가 파일과 벤더를 지목하며, 재서명 절차는 디스패치 스킬에 있습니다.
+
+</details>
+
 ## 📊 기본값과 출처
 
 기본 레인 배치는 Artificial Analysis 2026-07 스냅샷(AA 사이트 원본 레코드와
@@ -518,6 +558,28 @@ work 는 지정한 디렉터리 안의 변경만 허용하며 모델 연결은
 
 ## 📜 릴리스 기록
 
+## v0.42.5 새 기능
+
+- **CLI 하나를 업그레이드해도 모든 벤더가 막히지 않습니다.** overlay evidence 항목에 `vendor` 태그를 붙일 수 있으며, 태그가 있는 항목의 해시가 바뀌거나 파일이 사라지면 해당 벤더만 `unknown-target-runtime`으로 강등됩니다. 태그가 없는 evidence는 기존처럼 전체 fail-closed입니다.
+- **`omnilane doctor`가 overlay를 로드합니다.** 새 `transport-overlay` 검사는 실패 시 문제가 된 파일과 벤더를 지목하고, 성공 시 벤더별 검증된 매핑 수를 보고합니다.
+- **프로브가 판정을 기록합니다.** `probe.py`는 청구된 `modelUsage`로 Claude 응답을 판정하며, CLI가 알 수 없는 `--effort`를 기본값으로 조용히 대체한 경우를 실패로 처리합니다. `build_overlay.py`는 통과하지 못한 프로브에 서명하지 않고 overlay의 `unproven[]`에 기록합니다.
+- **재빌드 도구를 버전 관리로.** `build_overlay.py`와 `probe.py`는 `scripts/lib/`로 옮겼고 `--root`를 받습니다.
+- **업그레이드.** npm 게시 후 `npm i -g omnilane@0.42.5`를 실행하세요.
+
+## v0.42.4 새 기능
+
+- **퀵스타트가 실제로 동작합니다.** `omnilane route` 는 «누가 요청하는지»를 알아야 하지만 60초 시작에 그 내용이 없어, 새 설치에서는 안내 없이 `missing-caller-context` 로 거부되었습니다. 이제 `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` 로 사람 운영자를 한 번 선언하며, 모델 호출자가 대신 전달할 것도 설명합니다.
+- **명령 참조.** `dispatch.sh` 서식에 `[--caller-context FILE | --operator-asserted-human]` 을 추가했습니다.
+
+## v0.42.3 새 기능
+
+- **문서 전용 업데이트.** 라우팅, 점수, 게이트, 러너 동작은 변경되지 않았습니다.
+- **`--caller-context` 를 빠른 참조에 명시.** 디스패치 명령 서식에 추가했고, 모델 호출자가 이를 전달하지 않으면 작업 생성 전에 `missing-caller-context` 로 거부된다는 점을 명시했습니다.
+- **완전한 caller-context 예시.** 동결된 exact-AA 하향 게이트 절에 그대로 사용할 수 있는 JSON 예시를 추가하고, 거부된 뒤가 아니라 첫 디스패치 전에 파일을 만들도록 기술했습니다.
+- **effort 는 추측하지 말고 확인.** 하네스가 모델명만 제공하고 effort 를 주지 않으면, 자신의 조상 프로세스 체인을 따라 정확한 플래그를 읽습니다. 호스트의 동일 이름 첫 프로세스가 아니라 체인을 대조해야 합니다. 최저 점수 행 선언은 확인이 불가능할 때의 대안이지 첫 수단이 아닙니다. 불필요하게 낮은 상한은 레인을 조용히 닫습니다.
+- **두 거부 코드, 두 가지 해결.** `missing-caller-context` 는 파일 미전달이고, `runtime-mapping-unverified` 는 대상에 검증된 호스트 로컬 셀렉터가 없다는 뜻으로, 실제 증거에 기반한 `--transport-overlay` 항목으로 해결합니다. 동결 레지스트리 편집으로는 결코 해결되지 않습니다.
+- **업그레이드.** npm 게시 후 `npm i -g omnilane@0.42.3` 을 실행합니다. 기존 리포지토리 심볼릭 링크 설치는 체크아웃을 갱신하고 `omnilane --version` 을 확인하면 되며 재설치는 필요 없습니다.
+
 ## v0.42.2 새 기능
 
 - **Grok 추론 강도를 CLI에 전달합니다.** 명시적 `low`, `medium`, `high`, `xhigh` 선택을 `--reasoning-effort`로 전달하며 Grok 4.6 기본 경로는 `high`를 선택합니다.

package/README.md

@@ -52,6 +52,7 @@ subscription.
 
 ```bash
 npm i -g omnilane                                    # install the CLI
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # you are the operator, not a model
 omnilane route hardest-coding "fix the flaky auth token refresh"
 omnilane doctor                                      # see which AI CLIs / keys you have
 omnilane ui start                                    # optional: watch jobs live in your browser
@@ -62,9 +63,18 @@ omnilane ui start                                    # optional: watch jobs live
 ```bash
 git clone https://github.com/Seraphim0916/omnilane && cd omnilane
 ./install.sh          # finds your CLIs, links the skill, speaks your language
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # you are the operator, not a model
 omnilane route hardest-coding "fix the flaky auth token refresh"
 ```
 
+> **Why that export?** Omnilane gates every delegation against the caller's own
+> capability score, so a dispatch has to say who is asking. A human at a terminal
+> asserts that once with `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1`, or per call with
+> `--operator-asserted-human`. A model driving omnilane cannot assert it for
+> itself — it passes `--caller-context FILE` carrying its exact vendor, model and
+> effort instead. With neither, the dispatch is refused with
+> `missing-caller-context` before any job is created.
+
 > New to this? Run `omnilane doctor` first — it tells you which model CLIs and
 > API keys omnilane can already reach, so you know what will actually run.
 
@@ -369,9 +379,11 @@ omnilane ui status                             # report whether the Live UI is r
 omnilane ui url                                # print the current authenticated local URL
 omnilane ui stop                               # stop the Live UI
 omnilane doctor [--json] [--strict] [--probe V] [--probe-timeout SEC]  # live probe is opt-in
+                                               # transport-overlay check names a stale vendor
 omnilane benchmark [--json] [--run] [--vendor V] [--cost-per-call V=USD] # dry-run by default
 dispatch.sh [--background] [--dry-run] [--thread NAME] [--mode advise|work|sysops] [--workdir DIR]
             [--vendor V] [--model M] [--effort E] [--timeout SEC] [--job-timeout SEC]
+            [--caller-context FILE | --operator-asserted-human]   # who is asking
             LANE "TASK"                              # "-" reads task from stdin
 dispatch.sh [--json] --list [--json]
 dispatch.sh [--json] --explain LANE [--json]       # offline candidate-by-candidate decision trace
@@ -604,6 +616,37 @@ so one command can never spiral into a chain of agents spending your quota.
 
 </details>
 
+<details>
+<summary><b>My dispatch was refused. Which refusal is it?</b></summary>
+
+<br/>
+
+Three codes, three different fixes. Run `omnilane doctor` first — its
+`transport-overlay` check tells you immediately whether the problem is your
+machine's configuration or your request.
+
+`missing-caller-context` — you passed no identity. A human adds
+`OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` or `--operator-asserted-human`; a model
+driving omnilane writes a `--caller-context FILE` with its exact vendor, model,
+and effort, and must not assert the human exemption for itself.
+
+`runtime-mapping-unverified` — your identity is fine, but the *target* has no
+proven host-local request selector. Either it was never probed, or its probe
+failed; `omnilane doctor` reports the count of such configurations and the
+overlay's `unproven[]` records why each one failed. A refusal caused by a
+provider quota limit will not clear until that quota does.
+
+`invalid-policy-input` with "transport contract evidence changed" — neither of
+the above. The overlay itself will not load, so *every* vendor is refused. The
+usual cause is a vendor CLI upgrade: the overlay pins each vendor's executable
+and runner-script hash, and Codex and Claude evidence paths embed version
+directories, so an upgrade removes the file rather than changing its digest.
+Tagged evidence degrades only its own vendor; untagged evidence, such as the
+probe manifest, still closes the whole gate. Doctor names the file and the
+vendor; the dispatch skill carries the re-signing runbook.
+
+</details>
+
 ## 📊 Defaults and provenance
 
 Default lane assignments follow Artificial Analysis coding/intelligence data
@@ -627,6 +670,28 @@ working notes, including per-benchmark caveats, live in
 
 ## 📜 Release history
 
+## What's new in v0.42.5
+
+- **One CLI upgrade no longer refuses every vendor.** Overlay evidence entries take a `vendor` tag; a tagged entry whose hash drifts or whose file has disappeared degrades only that vendor to `unknown-target-runtime`. Untagged evidence stays globally fail-closed.
+- **`omnilane doctor` loads the overlay.** A new `transport-overlay` check names the offending file and vendor on failure and reports per-vendor verified counts on success — an all-green doctor could previously coexist with a gate refusing every dispatch.
+- **Probes record a verdict.** `probe.py` judges Claude responses on the billed `modelUsage` and fails a run where the CLI silently substituted the default effort for an unknown `--effort`. `build_overlay.py` refuses to sign a non-passing probe and records it in the overlay's `unproven[]` instead of dropping it silently.
+- **Rebuild tooling is versioned.** `build_overlay.py` and `probe.py` live in `scripts/lib/` and take `--root`.
+- **Upgrade.** After npm publication, run `npm i -g omnilane@0.42.5`. Existing repo-symlink installations can update their checkout and verify `omnilane --version` without rerunning installation.
+
+## What's new in v0.42.4
+
+- **The quickstart actually runs now.** `omnilane route` needs to know who is asking; the 60-second start omitted that, so a fresh install hit `missing-caller-context` with no guidance. It now asserts the human operator once with `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1`, and explains what a model caller passes instead.
+- **Command reference.** The `dispatch.sh` synopsis shows `[--caller-context FILE | --operator-asserted-human]`.
+
+## What's new in v0.42.3
+
+- **Documentation only.** No routing, scoring, gate, or runner behaviour changes.
+- **`--caller-context` is in the quick reference.** The dispatch command signature now shows it, and states that a model caller without it is refused with `missing-caller-context` before a job exists.
+- **A worked caller-context example.** The frozen exact-AA downward gate section gains a complete JSON example, and says to build the file before the first dispatch rather than after a refusal.
+- **Find your own effort instead of guessing.** When a harness names a model but no effort, read the exact flags from the launching process by walking your own ancestor chain; match the chain rather than the first same-named process on the host. Declaring the lowest-scoring row is the fallback, not the first move, because an unnecessarily low ceiling silently closes lanes.
+- **Two refusal codes, two fixes.** `missing-caller-context` means no file was passed; `runtime-mapping-unverified` means the target lacks a proven host-local selector, which is fixed by a `--transport-overlay` entry backed by real evidence and never by editing the frozen registry.
+- **Upgrade.** After npm publication, run `npm i -g omnilane@0.42.3`. Existing repo-symlink installations can update their checkout and verify `omnilane --version` without rerunning installation.
+
 ## What's new in v0.42.2
 
 - **Grok effort reaches the CLI.** Explicit `low`, `medium`, `high`, and `xhigh` selections are passed with `--reasoning-effort`; Grok 4.6 default routes now select `high`.

package/README.zh-CN.md

@@ -47,6 +47,7 @@ Gemini CLI** 之类。每一个都只接一个模型家族,所以你交代的每
 
 ```bash
 npm i -g omnilane                                    # 装 CLI
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 你是操作者本人,不是模型
 omnilane route hardest-coding "修掉会间歇失败的 auth token 更新测试"
 omnilane doctor                                      # 看你手上有哪些 AI CLI / 金钥
 omnilane ui start                                    # 选配:在浏览器即时看派工
@@ -57,9 +58,17 @@ omnilane ui start                                    # 选配:在浏览器即时
 ```bash
 git clone https://github.com/Seraphim0916/omnilane && cd omnilane
 ./install.sh          # 侦测你的 CLI、接好技能、说你的语言
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 你是操作者本人,不是模型
 omnilane route hardest-coding "修掉会间歇失败的 auth token 更新测试"
 ```
 
+> **那个 export 是做什么的?** omnilane 会用调用者自己的能力分数来把关每一次派工,
+> 所以派工必须表明「是谁在问」。人类在终端前只要设一次
+> `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1`,或每次带 `--operator-asserted-human`。
+> 模型驱动 omnilane 时**不能替自己主张**这个标志,它要改用 `--caller-context FILE`
+> 提供确切的厂商、模型与强度。两者都没有的话,派工会在创建作业前就被
+> `missing-caller-context` 拒绝。
+
 > 第一次用?先跑 `omnilane doctor`——它会告诉你 omnilane 现在能接到哪些模型 CLI 与
 > API 金钥,你就知道实际会跑什么。
 
@@ -267,6 +276,7 @@ omnilane ui stop                               # 停止 Live UI
 omnilane doctor [--json]                       # 只读检查路由与本地运行环境
 dispatch.sh [--background] [--dry-run] [--thread NAME] [--mode advise|work|sysops] [--workdir 目录]
             [--vendor V] [--model M] [--effort E] [--timeout SEC] [--job-timeout SEC]
+            [--caller-context FILE | --operator-asserted-human]   # who is asking
             通道 "任务"                              # "-" 表示从 stdin 读任务
 dispatch.sh [--json] --list [--json]
 dispatch.sh [--json] --explain 通道 [--json]       # 离线逐候选解释路由决策
@@ -471,6 +481,33 @@ scripts/dispatch.sh --dry-run hardest-coding "…"   # 完整解析后的计划,
 
 </details>
 
+<details>
+<summary><b>派工被拒了，是哪一种拒绝？</b></summary>
+
+<br/>
+
+三个代码，三种不同的修法。先运行 `omnilane doctor`——它的 `transport-overlay`
+检查会直接告诉你问题出在本机配置还是你的请求。
+
+`missing-caller-context`——你没带身份。真人加上
+`OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` 或 `--operator-asserted-human`；
+模型驱动 omnilane 时要写一份 `--caller-context FILE`，包含它精确的厂商、模型与
+强度，且不得替自己主张真人豁免。
+
+`runtime-mapping-unverified`——你的身份没问题，但**目标**没有已验证的本机请求
+选择器。可能从未探测过，也可能探测失败；`omnilane doctor` 会报告这类配置的数量，
+overlay 的 `unproven[]` 记录每一条失败的原因。因供应商额度上限造成的拒绝，
+在额度恢复前不会自行解除。
+
+`invalid-policy-input` 搭配 "transport contract evidence changed"——以上皆非。
+是 overlay 本身加载失败，因此**所有厂商**都会被拒。常见成因是厂商 CLI 升级：
+overlay 钉住每家的可执行文件与 runner 脚本哈希，而 Codex 与 Claude 的证据路径
+内嵌版本目录，升级后是文件消失而非哈希改变。带标签的证据只降级自己那一家；
+未标签的证据（例如探测清单）仍会关闭整个闸门。doctor 会指出文件与厂商，
+重签流程写在派工技能里。
+
+</details>
+
 ## 📊 默认值与数据来源
 
 默认通道配置依据 Artificial Analysis 2026-07 快照(已对 AA 站上原始记录与
@@ -493,6 +530,28 @@ scripts/dispatch.sh --dry-run hardest-coding "…"   # 完整解析后的计划,
 
 ## 📜 版本历程
 
+## v0.42.5 新功能
+
+- **升级一支 CLI 不再阻断所有厂商。** overlay 的证据项目可带 `vendor` 标签；带标签的项目哈希漂移或文件消失时，只让该厂商降级为 `unknown-target-runtime`。未标签的证据维持全局 fail-closed。
+- **`omnilane doctor` 会加载 overlay。** 新增 `transport-overlay` 检查，失败时指出是哪个文件、哪一家厂商，成功时报告各厂商的已验证映射数。
+- **探测会记录判定。** `probe.py` 以计费的 `modelUsage` 判断 Claude 响应，并在 CLI 静默改用默认强度时判为失败。`build_overlay.py` 拒签未通过的探测，改记入 overlay 的 `unproven[]`。
+- **重建工具纳入版本控制。** `build_overlay.py` 与 `probe.py` 移入 `scripts/lib/`，并接受 `--root`。
+- **升级。** npm 发布后运行 `npm i -g omnilane@0.42.5`。既有的 repo symlink 安装更新检出后确认 `omnilane --version` 即可。
+
+## v0.42.4 新功能
+
+- **快速上手现在真的跑得起来。** `omnilane route` 必须知道「是谁在问」,但 60 秒上手漏了这件事,新安装照抄会直接吃到 `missing-caller-context` 且没有任何指引。现在会先用 `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` 表明操作者身分,并说明模型主控该改用什么。
+- **命令参考。** `dispatch.sh` 的用法摘要补上 `[--caller-context FILE | --operator-asserted-human]`。
+
+## v0.42.3 新功能
+
+- **纯文档更新。** 路由、评分、闸门与执行器行为均未变更。
+- **`--caller-context` 进入快速参考。** 派工命令签名现已列出该参数，并说明模型主控未携带时会在创建作业前被 `missing-caller-context` 拒绝。
+- **完整的 caller-context 示例。** 冻结 exact-AA 下行闸章节补充了可直接复制的 JSON 示例，并要求在首次派工前建好，而非被拒后才补。
+- **自行查询强度，不要猜测。** 当运行环境只给出模型名称而无强度时，沿自身祖先进程链读取确切标志；应比对整条链，而非主机上第一个同名进程。声明最低分配置是查不到时的退路，而非首选，因为过低的上限会静默关闭车道。
+- **两个拒绝码，两种修法。** `missing-caller-context` 表示未提供文件；`runtime-mapping-unverified` 表示目标缺少已验证的本机选择器，须以真实证据支撑的 `--transport-overlay` 条目修正，绝不可通过修改冻结注册表解决。
+- **升级。** npm 发布后执行 `npm i -g omnilane@0.42.3`。既有的 repo 符号链接安装可更新检出并确认 `omnilane --version`，无需重跑安装。
+
 ## v0.42.2 新功能
 
 - **Grok 强度确实传入 CLI。** 显式的 `low`、`medium`、`high`、`xhigh` 通过 `--reasoning-effort` 传递；Grok 4.6 默认路由指定 `high`。

package/README.zh-TW.md

@@ -47,6 +47,7 @@ Gemini CLI** 之類。每一個都只接一個模型家族,所以你交代的每
 
 ```bash
 npm i -g omnilane                                    # 裝 CLI
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 你是操作者本人,不是模型
 omnilane route hardest-coding "修掉會間歇失敗的 auth token 更新測試"
 omnilane doctor                                      # 看你手上有哪些 AI CLI / 金鑰
 omnilane ui start                                    # 選配:在瀏覽器即時看派工
@@ -57,9 +58,17 @@ omnilane ui start                                    # 選配:在瀏覽器即時
 ```bash
 git clone https://github.com/Seraphim0916/omnilane && cd omnilane
 ./install.sh          # 偵測你的 CLI、接好技能、說你的語言
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 你是操作者本人,不是模型
 omnilane route hardest-coding "修掉會間歇失敗的 auth token 更新測試"
 ```
 
+> **那個 export 是做什麼的?** omnilane 會用呼叫者自己的能力分數來把關每一次派工,
+> 所以派工必須表明「是誰在問」。人類在終端機前只要設一次
+> `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1`,或每次帶 `--operator-asserted-human`。
+> 模型驅動 omnilane 時**不能替自己主張**這個旗標,它要改用 `--caller-context FILE`
+> 提供確切的廠商、模型與強度。兩者都沒有的話,派工會在建立工作前就被
+> `missing-caller-context` 拒絕。
+
 > 第一次用?先跑 `omnilane doctor`——它會告訴你 omnilane 現在能接到哪些模型 CLI 與
 > API 金鑰,你就知道實際會跑什麼。
 
@@ -306,6 +315,7 @@ omnilane doctor [--json] [--strict] [--probe V] [--probe-timeout SEC]  # 實際
 omnilane benchmark [--json] [--run] [--vendor V] [--cost-per-call V=USD] # 預設只乾跑
 dispatch.sh [--background] [--dry-run] [--thread NAME] [--mode advise|work|sysops] [--workdir 目錄]
             [--vendor V] [--model M] [--effort E] [--timeout SEC] [--job-timeout SEC]
+            [--caller-context FILE | --operator-asserted-human]   # who is asking
             通道 "任務"                              # "-" 表示從 stdin 讀任務
 dispatch.sh [--json] --list [--json]
 dispatch.sh [--json] --explain 通道 [--json]       # 離線逐候選解釋路由決策
@@ -515,6 +525,33 @@ scripts/dispatch.sh --dry-run hardest-coding "…"   # 完整解析後的計畫,
 
 </details>
 
+<details>
+<summary><b>派工被拒了，是哪一種拒絕？</b></summary>
+
+<br/>
+
+三個代碼，三種不同的修法。先跑 `omnilane doctor`——它的 `transport-overlay`
+檢查會直接告訴你問題出在本機設定還是你的請求。
+
+`missing-caller-context`——你沒帶身分。真人加上
+`OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` 或 `--operator-asserted-human`；
+模型驅動 omnilane 時要寫一份 `--caller-context FILE`，內含它精確的廠商、模型與
+強度，且不得替自己主張真人豁免。
+
+`runtime-mapping-unverified`——你的身分沒問題，但**目標**沒有已驗證的本機請求
+選擇器。可能從未探測過，也可能探測失敗；`omnilane doctor` 會回報這類設定的數量，
+overlay 的 `unproven[]` 記錄每一條失敗的原因。因供應商額度上限造成的拒絕，
+在額度恢復前不會自行解除。
+
+`invalid-policy-input` 搭配 "transport contract evidence changed"——以上皆非。
+是 overlay 本身載不起來，因此**所有廠商**都會被拒。常見成因是廠商 CLI 升級：
+overlay 釘住每家的執行檔與 runner 腳本雜湊，而 Codex 與 Claude 的證據路徑內嵌
+版本目錄，升級後是檔案消失而非雜湊改變。帶標籤的證據只降級自己那一家；
+未標籤的證據（例如探測清單）仍會關閉整個閘門。doctor 會指名檔案與廠商，
+重簽流程寫在派工技能裡。
+
+</details>
+
 ## 📊 預設值與資料來源
 
 預設通道配置依據 Artificial Analysis 2026-07 快照(已對 AA 站上原始紀錄與
@@ -534,6 +571,28 @@ scripts/dispatch.sh --dry-run hardest-coding "…"   # 完整解析後的計畫,
 
 ## 📜 版本歷程
 
+## v0.42.5 新功能
+
+- **升級一支 CLI 不再擋掉所有廠商。** overlay 的證據項目可帶 `vendor` 標籤；帶標籤的項目雜湊漂移或檔案消失時，只讓該廠商降級為 `unknown-target-runtime`。未標籤的證據維持全域 fail-closed。
+- **`omnilane doctor` 會載入 overlay。** 新增 `transport-overlay` 檢查，失敗時指名是哪個檔案、哪一家廠商，成功時回報各廠商的已驗證映射數——先前 doctor 全綠可以和「閘門拒絕所有派工」同時成立。
+- **探測會記錄判定。** `probe.py` 以計費的 `modelUsage` 判斷 Claude 回應，並在 CLI 靜默改用預設強度時判為失敗。`build_overlay.py` 拒簽未通過的探測，改記進 overlay 的 `unproven[]`，不再無聲丟棄。
+- **重建工具納入版控。** `build_overlay.py` 與 `probe.py` 移入 `scripts/lib/`，並接受 `--root`。
+- **升級。** npm 發布後執行 `npm i -g omnilane@0.42.5`。既有的 repo symlink 安裝更新檢出後確認 `omnilane --version` 即可，不需重跑安裝。
+
+## v0.42.4 新功能
+
+- **快速上手現在真的跑得起來。** `omnilane route` 必須知道「是誰在問」,但 60 秒上手漏了這件事,新安裝照抄會直接吃到 `missing-caller-context` 且沒有任何指引。現在會先用 `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1` 表明操作者身分,並說明模型主控該改用什麼。
+- **指令參考。** `dispatch.sh` 的用法摘要補上 `[--caller-context FILE | --operator-asserted-human]`。
+
+## v0.42.3 新功能
+
+- **純文件更新。** 路由、評分、閘門與執行器行為皆未變更。
+- **`--caller-context` 進入快速參考。** 派工指令簽名現在明列這個參數，並說明模型主控未帶時會在建立工作前被 `missing-caller-context` 拒絕。
+- **完整的 caller-context 範例。** 凍結 exact-AA 下行閘章節補上可直接複製的 JSON 範例，並要求在第一次派工前就建好，而非被拒絕後才補。
+- **自己查強度，不要猜。** 當執行環境只給模型名稱而沒有強度時，走自己的祖先行程鏈讀出確切旗標；要比對整條鏈，不要抓主機上第一個同名行程。宣告最低分設定是查不到時的退路，不是第一步，因為過低的上限會靜默關掉車道。
+- **兩個拒絕碼，兩種修法。** `missing-caller-context` 是沒有提供檔案；`runtime-mapping-unverified` 是目標缺少已驗證的本機選擇器，須以有真實證據支撐的 `--transport-overlay` 條目修正，絕不可透過修改凍結登錄檔解決。
+- **升級。** npm 發布後執行 `npm i -g omnilane@0.42.3`。既有的 repo 符號連結安裝可更新檢出並確認 `omnilane --version`，不需重跑安裝。
+
 ## v0.42.2 新功能
 
 - **Grok 強度確實傳入 CLI。** 明示的 `low`、`medium`、`high`、`xhigh` 透過 `--reasoning-effort` 傳遞；Grok 4.6 預設路由指定 `high`。

package/VERSION

@@ -1 +1 @@
-0.42.2
+0.42.5