omnilane 0.42.8 → 0.44.0

package/README.zh-TW.md

@@ -43,35 +43,133 @@ Gemini CLI** 之類。每一個都只接一個模型家族,所以你交代的每
 
 ## ⚡ 60 秒上手
 
-**最快的方式——用 npm 裝:**
+你本人坐在終端機前，現在就可以派工。
+
+**1. 安裝。**
 
 ```bash
-npm i -g omnilane                                    # 裝 CLI
-export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 你是操作者本人,不是模型
-omnilane route hardest-coding "修掉會間歇失敗的 auth token 更新測試"
-omnilane doctor                                      # 看你手上有哪些 AI CLI / 金鑰
-omnilane ui start                                    # 選配:在瀏覽器即時看派工
+npm i -g omnilane
 ```
 
-**或 clone 整包**(拿到路由表與可自訂的技能):
+或是把專案抓下來，順便拿到可以自訂的路由表與技能檔：
 
 ```bash
 git clone https://github.com/Seraphim0916/omnilane && cd omnilane
-./install.sh          # 偵測你的 CLI、接好技能、說你的語言
-export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1         # 你是操作者本人,不是模型
-omnilane route hardest-coding "修掉會間歇失敗的 auth token 更新測試"
+./install.sh          # finds your CLIs, links the skill, speaks your language
+```
+
+**2. 看看手上有什麼。** `doctor` 會列出 omnilane 找得到哪些模型 CLI 與 API 金鑰，讓你知道實際會跑哪一個。它不會改任何東西。
+
+```bash
+omnilane doctor
+omnilane list         # the routing table this machine resolves
+```
+
+**3. 表明你是操作者，然後派工。**
+
+```bash
+export OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1
+omnilane route hardest-coding "fix the flaky auth token refresh"
+omnilane ui start     # optional: watch jobs live in your browser
+```
+
+> **為什麼要那行 export?** omnilane 每次派工都會拿「發問者的能力分數」去比對，所以派工時得說清楚是誰在問。真人說一次就好：`OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1`（或每次帶 `--operator-asserted-human`）。模型不能替自己這樣宣稱，它的身分是從啟動它的 CLI 讀出來的。兩者都沒有的話，派工會在建立任何工作之前就被拒絕，代碼是 `missing-caller-context`。
+
+真人用到這裡就夠了。下面這一節講更實用的用法：讓你的 AI 助理自己派工。
+
+## 🤖 讓你的 AI 助理來開 omnilane
+
+助理（Claude Code、Codex、Grok Build 或 Antigravity）會讀一份技能檔，裡面教它怎麼選通道、怎麼派工。每台機器做一次，共四步。
+
+### 第 1 步：把技能交給助理
+
+`./install.sh` 會替它找到的每個 CLI 建好連結。要手動的話：
+
+| 助理 | 做法 |
+|---|---|
+| Claude Code | `claude plugin marketplace add <本專案路徑>`，再 `claude plugin install omnilane@omnilane`（同時附上 `/route`、`/route-jobs` 與完工收件匣）；或把 `skills/omnilane` 連結進 `~/.claude/skills/` |
+| Codex | 把 `skills/omnilane` 連結進 `~/.codex/skills/` |
+| Grok Build | `grok plugin install <本專案路徑> --trust` |
+| Antigravity | `agy plugin install <本專案路徑>`（先用 `agy plugin validate <本專案路徑>` 檢查） |
+
+### 第 2 步：證明一次「每個 CLI 真的會選到你指定的模型」
+
+模型來派工時，只能派給這台機器**證明過**的目標：例如 `codex -m gpt-5.6-sol` 真的跑的是 Sol。這份證明是一個本機檔案，叫**傳輸覆蓋檔（transport overlay）**。安裝包裡不會附。沒有它，每條通道都會用 `runtime-mapping-unverified` 拒絕模型呼叫者，`omnilane doctor` 也會警告 `no overlay configured`。
+
+請在一般的桌面終端機裡建立。（用 ssh 登入的工作階段讀不到 CLI 登入用的鑰匙圈，會把每一家都報成沒登入。）
+
+```bash
+cd "$(npm root -g)/omnilane"            # or your clone
+ROOT=~/.omnilane/transport-evidence/first-sweep
+python3 scripts/lib/probe_sweep.py --root "$ROOT"     # one tiny prompt per selector, about 55 calls
+python3 scripts/lib/build_overlay.py --root "$ROOT"
+cp "$ROOT/transport-contracts.local.json" ~/.omnilane/transport-contracts.local.json
+echo 'export OMNILANE_AA_TRANSPORT_OVERLAY="$HOME/.omnilane/transport-contracts.local.json"' >> ~/.omnilane/local.sh
+omnilane doctor | grep transport-overlay              # PASS, with a count per vendor
+```
+
+沒登入的那一家會被標成 `unprobeable`，就只是維持未驗證，其他家照常可用。
+
+### 第 3 步：讓這份證明自己保持最新，不用你動手
+
+覆蓋檔是用雜湊值釘住每個 CLI 執行檔的，而**這些 CLI 會自己更新**，常常一週一次。更新之後，那一家的通道就會被拒，直到覆蓋檔重簽為止。`omnilane resign` 一個指令做完全部：找出哪裡變了、只重新探測那一家、檢查結果、換上新檔、送一筆真實派工確認，失敗就自動還原舊檔。
+
+它不是什麼都簽。變動過的 CLI 只有在「簽署者跟紀錄上的相同、而且裝在同一類位置」時，才會**無人值守**地重簽。所以先告訴它一次你接受哪些簽署者：
+
+```bash
+omnilane resign --record-signers     # once, right after Step 2
+```
+
+如果你每次更新後都會自己修補某家 CLI、再用 adhoc 重新簽署，也要告訴它一次（每家各一次）；之後同一個安裝目錄裡的 adhoc 新版也會無人值守地重簽：
+
+```bash
+omnilane resign --trust-adhoc claude   # 只有你自己會把 claude 簽成 adhoc 時才需要
+```
+
+接著讓它每天跑一次。用什麼排程器都行，但一定要跑在**你的桌面登入工作階段裡**（CLI 需要鑰匙圈）。macOS 可以用 LaunchAgent：
+
+```bash
+cat > ~/Library/LaunchAgents/dev.omnilane.resign.plist <<'EOF'
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
+<plist version="1.0"><dict>
+  <key>Label</key><string>dev.omnilane.resign</string>
+  <key>ProgramArguments</key><array><string>/bin/zsh</string><string>-lc</string><string>omnilane resign</string></array>
+  <key>StartCalendarInterval</key><dict><key>Hour</key><integer>9</integer><key>Minute</key><integer>0</integer></dict>
+  <key>StandardOutPath</key><string>/tmp/omnilane-resign.log</string>
+  <key>StandardErrorPath</key><string>/tmp/omnilane-resign.log</string>
+</dict></plist>
+EOF
+launchctl bootstrap gui/$(id -u) ~/Library/LaunchAgents/dev.omnilane.resign.plist
 ```
 
-> **那個 export 是做什麼的?** omnilane 會用呼叫者自己的能力分數來把關每一次派工,
-> 所以派工必須表明「是誰在問」。人類在終端機前只要設一次
-> `OMNILANE_AA_OPERATOR_ASSERTED_HUMAN=1`,或每次帶 `--operator-asserted-human`。
-> 模型驅動 omnilane 時**不能替自己主張**這個旗標。它的身分會從啟動它的 CLI 旗標
-> (模型與強度)自動讀取,一般 session 什麼都不用帶;`omnilane whoami` 會把這個身分
-> 印成 `--caller-context FILE`。既沒主張、又讀不到身分的話,派工會在建立工作前就被
-> `missing-caller-context` 拒絕。
+本版實測過從桌面終端機執行 `omnilane resign`，包含一次真實的、無人值守的 Codex 自動升級重簽；上面這個 LaunchAgent 包裝只是範例，本身沒有實測過。請在你的機器上用 `launchctl kickstart gui/$(id -u)/dev.omnilane.resign` 確認。
+
+`omnilane resign` 的結束碼：
+
+| 結束碼 | 意思 | 你要做的事 |
+|---|---|---|
+| 0 | 沒有東西變動，或變動的都已重簽 | 不用做 |
+| 10 | 只有 `--check` 會出現：有東西變了 | 執行 `omnilane resign` |
+| 20 | 有一家需要你：簽署者是新的或沒紀錄、執行檔沒簽章或在本機被改過、換了安裝目錄，或供應商這次拒絕了上次通過的探測 | 讀訊息。它會印「稍後重試」，或印出你看過之後該執行的那一行 `omnilane resign --vendor V --approve V` |
+| 30 | 重簽後的覆蓋檔沒通過真實派工，已還原成前一份 | 沒有東西壞掉，讀紀錄即可 |
+| 2 | 沒有設定覆蓋檔 | 做第 2 步 |
+
+兩個限制要知道。簽署者檢查用的是 macOS 的程式碼簽章，所以在 Linux 上，每次 CLI 變動都會停在結束碼 20 等你 `--approve`。另外，沒有真正簽章的執行檔（例如在本機修補過的 CLI）一定會停下來等核准：沒有任何東西能證明它來自原廠，而這正是這項檢查存在的理由。
+
+### 第 4 步：在助理裡面試試看
+
+請你的助理執行 `omnilane whoami`。它應該回報自己是哪個模型、哪個強度，以及一個分數。接著請它派一件小事：「用 omnilane 讓 triage 通道數一數這個專案裡有幾個 TODO 註解」。
 
-> 第一次用?先跑 `omnilane doctor`——它會告訴你 omnilane 現在能接到哪些模型 CLI 與
-> API 金鑰,你就知道實際會跑什麼。
+如果被拒絕，拒絕訊息會說是哪一關沒過、該怎麼辦：
+
+| `failed_gate` | 白話 | 怎麼修 |
+|---|---|---|
+| `caller-identity` | omnilane 看不出是哪個模型在問 | 讓它把 `omnilane whoami` 當成那次工具呼叫裡的**唯一一條指令**。Codex 尤其如此：後面接了 `; echo $?`、`&&` 或管線就讀不到 |
+| `target-transport` | 這台機器還沒證明過那個目標，或 CLI 之後更新過 | `omnilane resign`（第 3 步） |
+| `downward-ceiling` | 目標模型的分數比發問的模型高；模型只能平派或往下派 | 從拒絕訊息列出的 `eligible_lanes` 挑一條，或用更高的強度啟動助理 |
+
+Codex 的排程喚醒既有對話串時不會記錄強度。omnilane 這時會把該呼叫者限制在它那個模型的最低分，而不是直接拒絕：便宜的通道照常可用，貴的通道會告訴你要哪個強度才派得動。
 
 ## 🧭 運作方式
 
@@ -141,37 +239,33 @@ flowchart LR
 - 點標準模型別名(例如 Opus)時,會鎖定技能表裡的確切模型家族。明確目標
   不存在或 CLI 不可用時會清楚失敗,不會暗中換廠商或模型家族。
 
-## 原生優先派工，保留終端相容性
+## 用助理自己的子代理
 
-模型路由與執行器（executor）分開判定。`--executor auto` 是預設：只有呼叫端明示的
-結構化能力全部相符，才選原生子代理（native agent）；一般終端沒有能力脈絡，
-就保留既有 CLI。`--executor cli` 強制原流程；`--executor native` 遇到能力缺漏或不符就報錯。
-同廠商不代表同模型；明確指定的廠商、模型及推理強度都保留。原生不符時，
-自動模式會說明 CLI 原因，只使用同一個已解析目標，不換廠商或模型。
+omnilane 預設把工作交給廠商的命令列工具。當該做這件事的模型就是助理**自己那一家**的時候，再繞出去叫另一個 CLI 是多走一趟：多一次登入、多一個程序，那個 CLI 一更新又多一個會壞的地方。多數助理自己就能開子代理，omnilane 可以改成替它規劃這種工作。有兩種做法。
 
-```sh
-# 一般終端的預覽：不建立工作，也不呼叫供應商。
-omnilane route --executor auto --dry-run hardest-coding "檢查這次變更"
+**跟助理跑一模一樣東西的工人（`--inherit`）。** 助理開子代理時*不指定模型、也不指定強度*，工人就是呼叫者的分身。分身不可能比本尊強，而 omnilane 的分數檢查要防的就只有這件事，所以這條路不需要廠商 CLI、不需要傳輸覆蓋檔；呼叫者的強度讀不到、或覆蓋檔過期時，它照樣能用。
 
-# 呼叫端依工具契約準備共享繼承能力 JSON；完整格式見下方文件。
-omnilane route --executor native --native-context /absolute/capability.json --workdir /absolute/repo hardest-coding "檢查這次變更"
-# 接著由呼叫端啟動原生代理、等待結果，再登錄真實證據。
+```sh
+omnilane native-context --workdir /absolute/repo --inherits-caller-runtime   # prints a capability file
+omnilane route --inherit --native-context /path/printed/above --workdir /absolute/repo triage "Count the TODO comments"
+# -> a PENDING handoff (JSON). The assistant now starts its own sub-agent with no
+#    model argument, checks the result, and records it:
 omnilane jobs --json complete-native JOB_ID /absolute/completion.json
 omnilane jobs --json status JOB_ID
-omnilane jobs --json result JOB_ID
-omnilane jobs --json list --status pending
 ```
 
-原生路由輸出的是「等待執行」交接 JSON，不會從 shell 啟動原生代理，也不代表任務成功。
-Codex `collaboration.spawn_agent` 沒有沙箱、工具或工作目錄限制參數，會繼承父代理的工具與檔案系統權限。要求與同一能力列都必須明示 `shared-inherited`，工具陣列留空；`advise`／`work` 與工作目錄只是任務意圖，不是作業系統隔離。要求硬隔離時，自動模式保留同模型 CLI，強制原生則失敗。
+老實的部分：交接單上標著 `satisfies_lane_target: false`。通道在這裡只是「這是哪一類工作」的標籤。這樣做出來的結果是「助理自己的子代理」做的，絕不是「hardest-coding 那個模型」做的；需要比呼叫者更強模型的通道，照樣會被拒。`--inherits-caller-runtime` 是助理自己聲明「我的子代理工具就是這樣運作」，omnilane 觀察不到。各家目前已知的狀況：
 
-呼叫端以精確模型與推理強度啟動工作，最後登錄實際代理 ID、模型／推理強度／廠商／框架／後端、成敗、公開結果與證據。明示模型覆寫時使用 `fork_turns: "none"` 或有限的正整數歷史，不得搭配 `fork_turns: "all"`。路由已明示選中能力列中的精確模型時，可省略未知的呼叫端目前模型。重複登錄會被擋下；原生取消只改工作狀態，不發程序訊號，已啟動的代理由呼叫端另外停止。
+| 助理 | 不帶模型參數的子代理 |
+|---|---|
+| Claude Code | 官方文件寫明會用主對話的模型，強度沿用工作階段（除非代理定義另有設定）。內建 general-purpose 代理、且沒設 `CLAUDE_CODE_SUBAGENT_MODEL` 時成立。本版完整跑通過 |
+| Codex | `collaboration.spawn_agent` 不帶模型、不帶強度。本版完整跑通過 |
+| Grok Build | 文件寫明沿用上層的模型（內建 `general-purpose` 代理是 `model: inherit`）；強度沒有文件說明。本版沒跑過 |
+| Antigravity | `agy` 1.2.7 找不到子代理工具。不適用 |
 
-背景、持久、即時、具名 CLI 工作階段、sysops、不支援的隔離、投票／仲裁及多輪路徑
-仍走 CLI。原生只整合清單、狀態、結果、取消與完成登錄，未接 CLI 等待、重試、
-信箱或目標迴圈。原生協定需要 Python 3.9+；一般終端 CLI 保留相容。
-測試替身不等於真實原生驗收；主機 AGENTS 管理區塊只由父代理審查後同步。
-詳見[能力與完成格式、完整範例及限制](docs/native-executor.md)。
+**助理的工具能指定的特定模型。** 把工具真正接受的東西寫進能力聲明檔（從 `omnilane native-context` 產生的檔開始，每組確切的模型與強度加一列），再用一般的 `omnilane route` 帶上 `--native-context FILE`。只有某一列完全相符時 omnilane 才會用子代理：模型、強度、模式、工作目錄、工具、隔離方式、生命週期都要對上。同一家廠商不等於同一個模型，也不會從你裝了哪些 CLI 去猜。`--executor native` 不符就失敗、不回退；`--executor cli` 強制走外部 CLI。如果同廠商的目標只因為沒給檔案而走了 CLI，派工現在會明說。
+
+不管哪一種，子代理都共用助理的工具與檔案系統：沒有作業系統層級的沙箱，`advise`／`work` 是意圖，不是強制。背景、常駐、具名對話串、多輪、投票與 `sysops` 工作仍走 CLI。協定處理需要 Python 3.9 以上。結構定義、完成檔、代理重用與取消：見 [docs/native-executor.md](docs/native-executor.md)。
 
 <details>
 <summary><b>模型角色指引：仍須派工</b></summary>
@@ -597,6 +691,39 @@ codex 記在 session rollout，agy 寫進 `cli.log`。這是 CLI 自己抄的訂
 
 ## 📜 版本歷程
 
+## v0.44.0 新功能
+
+- **你自己修補過的 CLI 也能無人值守重簽。** 如果本機有個步驟會在每次更新後修補某家 CLI、再用 adhoc 重新簽署，以前簽署者檢查會把每一次這種更新都擋下來等 `--approve`。現在對該家跑一次 `omnilane resign --trust-adhoc VENDOR`，同一個安裝目錄裡的 adhoc 新版就會跟同簽署者的更新一樣，走每日 `omnilane resign` 自動重簽。未簽章的執行檔、換了目錄的 adhoc、其他廠商，仍然會停下來等你。信任記在覆蓋檔上，之後任何一家重簽都會保留，而且是操作者動作，模型不會執行。四家都適用。
+- **登入過期會叫你「先登入」，不再說「稍後重試」。** `Failed to authenticate`、`OAuth session expired`、`Invalid API key`、`Unauthorized`、`401` 現在都會把該家標成無法探測，被擋下來的訊息會叫你先登入。
+- 升級：`npm i -g omnilane@0.44.0`。若是從 0.42.x 升上來，另外跑一次 `omnilane resign --record-signers`（見 0.43.0 說明）。
+
+## v0.43.1 新功能
+
+請裝這一版，不要裝 0.43.0。0.43.0 的 `build_overlay.py` 與 `probe.py` 在 Python 3.9 上一匯入就會出錯，導致該版本上首次安裝的覆蓋檔建立步驟與 `omnilane resign` 無法執行。其餘沒有變動，下面 0.43.0 的說明全部適用。升級：`npm i -g omnilane@0.43.1`，然後執行一次 `omnilane resign --record-signers`。
+
+## v0.43.0 新功能
+
+十天之內，0.42.x 有四次把所有模型呼叫者全部拒絕，每一次都是因為 omnilane 管不到的事實：啟動器改了名、runner 腳本改了卻沒重簽、四家廠商 CLI 在同一週各自更新、Codex 排程不記錄強度。每一件都變成「什麼都派不出去」。這一版把它們各自縮小成講得清楚的結果，最常見的那一種還會自己修好。
+
+- **廠商 CLI 更新了？`omnilane resign`。** 它會找出哪裡變了、只重探那一家、檢查結果、換上去、用一筆真實派工確認，失敗就還原舊的覆蓋檔。只有新執行檔的簽署者相同、位置也相同時，才會**無人值守**地重簽；其他情況會停下來，印出你該執行的那一行 `--approve` 指令。先跑一次 `omnilane resign --record-signers`，再把 `omnilane resign` 排成每天執行，之後 CLI 更新就不再是你的事。已用一次真實的 Codex 自動升級（0.155.0 → 0.155.1）驗證：不需核准、映射全數保留、結束碼 0。
+- **拒絕訊息會告訴模型該怎麼辦。** 每一筆被拒的派工都帶著 `failed_gate`、`reason`、`next_command`、`required_caller_effort`，以及 `eligible_lanes`（這個呼叫者現在*派得動*的通道）。
+- **沒記錄強度改成縮小範圍，不再全拒。** Codex 心跳排程會被限制在它那個模型的最低分，而不是每條通道都拒。便宜的通道照常可用，貴的會說需要哪個強度。
+- **助理自己的子代理。** `omnilane native-context` 會寫出以前得手寫的能力聲明檔；`omnilane route --inherit` 規劃一個「呼叫者分身」工人：不經外部 CLI、不看覆蓋檔、連呼叫者身分讀不到時也能用，而且老實標明*不是*該通道的目標模型。已在 Claude Code 與 Codex 桌面版完整跑通。
+- **Codex：每次工具呼叫只下一條 omnilane 指令。** `omnilane whoami; echo $?` 讀不到身分，單獨的 `omnilane whoami` 讀得到。拒絕訊息現在會直接這樣提示。
+- **doctor 看得到搬了家的 CLI**（新版裝在舊檔旁邊），完全沒有覆蓋檔時會警告並附上步驟。
+- **技能檔與教學重寫。** 技能檔現在是模型照著走的五個步驟；這份 README 一步步帶你讓助理來開 omnilane。
+- **限制。** 無人值守重簽靠的是 macOS 程式碼簽章；在 Linux 上，以及任何沒簽章或在本機改過的 CLI，每次更新都會要你 `--approve`。`--inherit` 還沒在 Grok Build 裡跑過，Antigravity 沒有提供子代理工具。完整細節見 [CHANGELOG](CHANGELOG.md)。
+- **升級。** `npm i -g omnilane@0.43.0`，然後執行一次：`omnilane resign --record-signers`。
+
+## v0.42.9 新功能
+
+- **經啟動器帶起的 Codex 桌面版。** ChatGPT.app 若透過 codex-profile-switch 啟動 app-server，
+  程序名稱是 `codex-modified`；0.42.8 只找名為 `codex` 的程序，會直接跳過它，該對話串的每一次派工
+  都被拒為 `missing-caller-context`。現在認得這個名稱；同目錄的 `codex-code-mode-host` 仍不視為 CLI。
+- **實機驗收。** 2026-09-13 在經啟動器帶起的 Codex 桌面版對話串執行 `whoami`，退出 0，
+  讀出 `codex/gpt-5-6-sol-medium (score 46)`，來源是 `codex-modified` 程序。
+  升級：`npm i -g omnilane@0.42.9`。
+
 ## v0.42.8 新功能
 
 - **Codex 本輪身分。** `app-server` 一律忽略啟動參數的模型與強度預設值。

package/VERSION

@@ -1 +1 @@
-0.42.8
+0.44.0

package/bin/omnilane

@@ -60,6 +60,30 @@ case "$cmd" in
     }
     exec python3 "$REPO/scripts/lib/caller_identity.py" "$@"
     ;;
+  native-context)
+    command -v python3 >/dev/null 2>&1 || {
+      echo "omnilane: native-context requires Python 3.9 or newer" >&2
+      exit 1
+    }
+    exec python3 "$REPO/scripts/lib/native_context.py" "$@"
+    ;;
+  resign)
+    command -v python3 >/dev/null 2>&1 || {
+      echo "omnilane: resign requires Python 3.9 or newer" >&2
+      exit 1
+    }
+    if [[ -z "${OMNILANE_AA_TRANSPORT_OVERLAY:-}" ]]; then
+      # local.sh is where a host records its overlay; dispatch reads it the same way.
+      OMNILANE_AA_TRANSPORT_OVERLAY="$(
+        set +u
+        home="${OMNILANE_HOME:-$HOME/.omnilane}"
+        [[ -f "$home/local.sh" ]] && . "$home/local.sh" 2>/dev/null
+        printf '%s' "${OMNILANE_AA_TRANSPORT_OVERLAY:-}"
+      )"
+      export OMNILANE_AA_TRANSPORT_OVERLAY
+    fi
+    exec python3 "$REPO/scripts/lib/resign.py" "$@"
+    ;;
   benchmark)
     command -v python3 >/dev/null 2>&1 || {
       echo "omnilane: benchmark requires Python 3.9 or newer" >&2
@@ -97,6 +121,11 @@ omnilane — one routing table, every harness
   omnilane release-audit [flags]          offline, read-only release gate
   omnilane doctor [--json] [--strict] [--probe V]  local health / opt-in live probe
   omnilane whoami                       caller-context file for the CLI this runs under
+  omnilane native-context [--workdir DIR] [--mode M] [--inherits-caller-runtime]
+                                         capability file that lets dispatch use this harness's own sub-agents
+                                         (--vendor V --model M: the host's statement when whoami cannot read it)
+  omnilane resign [--check] [--vendor V] [--approve V] [--record-signers] [--trust-adhoc V]
+                                         re-probe and re-sign the transport overlay after a CLI update
   omnilane benchmark [--json] [--run] [--vendor V] fixed quality/cost comparison
   omnilane ui    start|status|url|stop
   omnilane configure                    interactive lane menu

package/completions/_omnilane

@@ -53,7 +53,7 @@ _omnilane() {
   local command="${words[2]:-}" sub sub_index=3
   local -a lanes ids
   if (( CURRENT == 2 )); then
-    _values 'command' version list route dispatch jobs doctor whoami benchmark release-audit ui configure completion help
+    _values 'command' version list route dispatch jobs doctor whoami native-context resign benchmark release-audit ui configure completion help
     return
   fi
   case "$command" in

package/completions/omnilane.bash

@@ -58,7 +58,7 @@ _omnilane() {
   prev="${COMP_WORDS[COMP_CWORD-1]:-}"
   command="${COMP_WORDS[1]:-}"
   if [[ "$COMP_CWORD" -eq 1 ]]; then
-      words="version list route dispatch jobs doctor whoami benchmark release-audit ui configure completion help"
+      words="version list route dispatch jobs doctor whoami native-context resign benchmark release-audit ui configure completion help"
   else
     case "$command" in
       route|dispatch)

package/completions/omnilane.fish

@@ -11,6 +11,8 @@ complete -c omnilane -f -n __fish_use_subcommand -a jobs          -d 'inspect ba
 complete -c omnilane -f -n __fish_use_subcommand -a mcp           -d 'MCP stdio server'
 complete -c omnilane -f -n __fish_use_subcommand -a doctor        -d 'read-only health report'
 complete -c omnilane -f -n __fish_use_subcommand -a whoami        -d 'caller-context file for the launching CLI'
+complete -c omnilane -f -n __fish_use_subcommand -a resign        -d 're-probe and re-sign the transport overlay'
+complete -c omnilane -f -n __fish_use_subcommand -a native-context -d 'capability file for this harness sub-agents'
 complete -c omnilane -f -n __fish_use_subcommand -a benchmark     -d 'fixed quality/cost comparison'
 complete -c omnilane -f -n __fish_use_subcommand -a release-audit -d 'offline release gate'
 complete -c omnilane -f -n __fish_use_subcommand -a ui            -d 'Live Board server'

package/docs/native-executor.md

@@ -88,6 +88,65 @@ workdir is task context, not an OS boundary. Requests for hard `read-only`,
 native jobs: `auto` stays on the same resolved model through CLI, while forced
 native fails closed.
 
+### Generating the capability file
+
+`omnilane native-context [--workdir DIR]... [--mode advise|work]... [--harness NAME]
+[--inherits-caller-runtime] [--out FILE]` writes a capability file for the
+harness it runs under and prints the path. Vendor, current model and current
+effort are read the way `omnilane whoami` reads them; nothing is inferred from
+installed CLIs. It emits one capability row: the caller's own model at its own
+effort. A caller whose effort is unrecorded gets `efforts: ["unverified"]`, which
+matches no lane target, so that file serves `--inherit` only. Rows for other
+models are the host's to add, from its real agent-tool contract.
+
+`inherits_caller_runtime: true` is written only when the host passes
+`--inherits-caller-runtime`. It is the host's statement that its sub-agent tool,
+given no model override, runs the caller's model and effort.
+
+What this release has and has not verified about each harness's sub-agent tool:
+
+| Harness | Sub-agent tool | Status |
+|---|---|---|
+| Codex | `collaboration.spawn_agent`; a model override requires `fork_turns: "none"` or a bounded count | documented above from the tool contract; inheritance without an override is host-asserted |
+| Claude Code | `Agent` tool; optional `model` override | documented (code.claude.com/docs/en/sub-agents, read 2026-09-20). Model resolves in this order: the per-invocation `model` parameter, the agent definition's `model` frontmatter, `CLAUDE_CODE_SUBAGENT_MODEL`, then the main conversation's model. Effort: the definition's `effort` frontmatter overrides the session level and its default is "inherits from session". So a host may pass `--inherits-caller-runtime` only when it spawns with no `model` argument, the agent type's definition sets neither `model` (other than `inherit`) nor `effort`, and `CLAUDE_CODE_SUBAGENT_MODEL` is unset; the built-in general-purpose agent meets the definition part. Two full `--inherit` cycles on 2026-09-20 under those conditions reported the parent's exact model. The worker cannot see its own effort, so completion reports `runtime.effort: "unknown"`; effort inheritance rests on the documentation, not on an observation |
+| Grok Build | `spawn_subagent`; agent types `general-purpose`, `explore`, `plan` and user-defined ones | model: documented in the subagent guide embedded in grok 1.0.34 — "By default a subagent inherits the parent session's model"; only `[subagents.models].<agent>` in the config (highest priority) or the agent definition's `model` overrides that, and the bundled `general-purpose` definition says `model: inherit`. Effort: a definition may carry an `effort` override; no statement of the default was found, so effort inheritance is not verified. No `--inherit` cycle has been run in Grok |
+| Antigravity | — | `agy` 1.2.7 exposes `--agent`, `--model` and `--effort` for the session and its help names no sub-agent spawning surface; not verified, and no `--inherit` cycle has been run |
+
+### Inherited worker (`--inherit`)
+
+`dispatch.sh --inherit --native-context FILE <lane> "<task>"` plans a native
+worker spawned with no model override. `aa_policy.decide_inherited` allows it
+with code `native-inherited-allowed`: the worker runs the caller's runtime, so
+its score equals the caller's and the downward rule holds by construction, with
+or without a recorded effort. No target configuration is resolved
+(`target_config_id: null`, `target: {"inherit": true, ...}`), the transport
+overlay is not consulted, and there is no CLI fallback: a host that cannot take
+it gets `native-inherit-unavailable` with `failed_gate: "native-capability"` and
+the `omnilane native-context` command. The plan carries `inherit: true`,
+`effort: "inherited"`, `worker_contract.model_override: false`,
+`inherit_caller_runtime: true` and `satisfies_lane_target: false`. The capability
+file must set `inherits_caller_runtime: true`, name the caller's vendor and
+model, and hold a new-agent row for that model matching mode, workdir, tools,
+`shared-inherited` and `single-shot`; effort is deliberately not matched.
+
+When no caller identity reaches the gate, the file's `vendor` and `current_model`
+stand as the host's statement and the decision is
+`native-inherited-unverified-caller` (`caller_kind: "model-unverified"`,
+`caller_identity_verified: false`, `caller_identity_source: "host-asserted"`). It
+has no `effective_ceiling`, publishes neither `aa-authorizer.json` nor
+`aa-child-context.json`, and `jobs status` shows `caller_identity_verified: false`
+and `satisfies_lane_target: false`. A file with no `current_model` is refused as
+`missing-caller-context`. `omnilane native-context --vendor V --model M` writes
+such a file only when the identity cannot be read or resolved, marks it
+`caller_identity_verified: false`, and exits 2 if the statement contradicts an
+identity it can read. This exists for a caller that cannot be read, for example a
+codex command wrapped in `;`, `&&` or a pipe, where the shell codex started stays
+between codex and the command and carries no `CODEX_THREAD_ID` of its own; run
+alone, the same command is read. Lane dispatch from an unread caller is refused.
+Completion checks vendor, model and harness; `runtime.effort` is whatever the
+host observed. A human operator, an unidentified caller, `--vendor`/`--model`/
+`--effort`/`--target-config`, and every CLI-only lifecycle are refused.
+
 Native supports only a caller-supervised single task. `--background`, explicit
 `--live` / `--single-shot`, `--thread`, `sysops`, explicit/environment whole-job
 or idle watchdogs, vote/multi-round and `exec` arbitration paths stay CLI or

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "omnilane",
-  "version": "0.42.8",
+  "version": "0.44.0",
   "description": "One routing table, every harness — classify subtasks into lanes and delegate each lane through a compatible caller-owned native agent or vendor CLI.",
   "bin": {
     "omnilane": "bin/omnilane"

package/plugin.json

@@ -1,6 +1,6 @@
 {
   "$schema": "https://antigravity.google/schemas/v1/plugin.json",
   "name": "omnilane",
-  "version": "0.42.8",
+  "version": "0.44.0",
   "description": "One routing table, every harness: classify subtasks into lanes and delegate through compatible caller-owned native agents or vendor CLIs with exact-AA downward policy and supervised jobs."
 }

package/scripts/dispatch.sh

@@ -35,7 +35,7 @@ MODE="advise"; WORKDIR="$PWD"; BACKGROUND=0; DRY_RUN=0
 OVERRIDE_VENDOR=""; OVERRIDE_MODEL=""; OVERRIDE_EFFORT=""; OVERRIDE_TIMEOUT=""
 OVERRIDE_JOB_TIMEOUT=""; OVERRIDE_IDLE_TIMEOUT=""; SESSION_REQUEST="auto"
 THREAD_NAME=""; THREAD_MODE=""; THREAD_ID=""; THREAD_TURN=""; THREAD_CREATED=""
-EXECUTOR="auto"; NATIVE_CONTEXT=""; RESOLVE_WITH_CONTEXT=0
+EXECUTOR="auto"; NATIVE_CONTEXT=""; RESOLVE_WITH_CONTEXT=0; INHERIT=0
 SELECTED_EXECUTOR="cli"; EXECUTOR_REASON="no-native-context"
 AA_POLICY_FILE="${OMNILANE_AA_POLICY_FILE:-$OMNILANE_REPO/config/aa-model-policy.json}"
 AA_CALLER_CONTEXT="${OMNILANE_AA_CALLER_CONTEXT:-}"
@@ -67,6 +67,8 @@ flags:
                          before any provider call or job state
   --executor auto|native|cli  caller-owned native handoff or legacy CLI
   --native-context FILE      explicit JSON capabilities; native is not a binary
+  --inherit                  native worker on the caller's own model and effort; resolves no
+                             lane target, needs --native-context with inherits_caller_runtime
   --caller-context FILE      exact model caller identity plus inherited ceiling
   --operator-asserted-human  explicit AA model-ceiling exemption; assertion only
   --aa-policy FILE           frozen AA policy registry (default: repo config)
@@ -368,6 +370,18 @@ routing_candidate_available() {
   fi
 }
 
+aa_print_refusal() {
+  # Refusal JSON on stderr, with the lanes this caller can still reach appended.
+  local helper="$OMNILANE_REPO/scripts/lib/aa_lanes.py"
+  if [[ -n "$AA_LAST_DECISION" && -r "$helper" ]] && command -v python3 >/dev/null 2>&1; then
+    printf '%s\n' "$AA_LAST_DECISION" | python3 "$helper" --registry "$AA_POLICY_FILE" --lane "${LANE:-}" \
+      --routing "$OMNILANE_HOME/routing.local.yaml" --routing "$OMNILANE_REPO/routing.yaml" >&2 \
+      || printf '%s\n' "$AA_LAST_DECISION" >&2
+  else
+    printf '%s\n' "$AA_LAST_DECISION" >&2
+  fi
+}
+
 aa_policy_decide() {
   # vendor model effort [target-config] -> structured JSON in AA_LAST_DECISION
   local vendor="$1" model="$2" effort="$3" target_config="${4:-}" rc=0
@@ -712,6 +726,7 @@ while [[ $# -gt 0 ]]; do
       }
       SESSION_REQUEST="single-shot"; shift ;;
     --dry-run) DRY_RUN=1; shift ;;
+    --inherit) INHERIT=1; shift ;;
     --operator-asserted-human)
       AA_OPERATOR_ASSERTED_HUMAN=1; shift ;;
     --mode|--workdir|--vendor|--model|--effort|--timeout|--job-timeout|--idle-timeout|--thread|--executor|--native-context|--caller-context|--aa-policy|--target-config|--transport-overlay)
@@ -823,6 +838,34 @@ case "$EXECUTOR" in
 esac
 
 CHAIN="$(raw_lane_line "$LANE")" || { echo "omnilane: unknown lane '$LANE' (try --list)" >&2; exit 2; }
+if [[ "$INHERIT" -eq 1 ]]; then
+  # A worker that inherits this caller's own model and effort runs inside the
+  # harness: no lane target is resolved, no vendor CLI or transport overlay is
+  # involved, and the lane is only a label for what the work is.
+  [[ -z "$OVERRIDE_VENDOR$OVERRIDE_MODEL$OVERRIDE_EFFORT$AA_TARGET_CONFIG" ]] || {
+    echo "omnilane: --inherit takes no --vendor, --model, --effort or --target-config; it overrides nothing" >&2
+    exit 2
+  }
+  [[ "$EXECUTOR" != "cli" ]] || { echo "omnilane: --inherit is native only" >&2; exit 2; }
+  command -v python3 >/dev/null 2>&1 || { echo "omnilane: native protocol requires Python 3" >&2; exit 2; }
+  INHERIT_TIMEOUT="${OVERRIDE_TIMEOUT:-${OMNILANE_TIMEOUT:-600}}"
+  [[ "$INHERIT_TIMEOUT" =~ ^[1-9][0-9]*$ ]] || {
+    echo "omnilane: invalid timeout (want a positive integer of seconds)" >&2; exit 2
+  }
+  INHERIT_ARGS=(route --inherit --home "$OMNILANE_HOME" --executor native --lane "$LANE"
+    --workdir "$WORKDIR" --mode "$MODE" --task="$TASK" --session "$SESSION_REQUEST"
+    --thread "$THREAD_NAME" --policy "$AA_POLICY_FILE" --timeout "$INHERIT_TIMEOUT"
+    --job-timeout "${OVERRIDE_JOB_TIMEOUT:-}" --idle-timeout "${OVERRIDE_IDLE_TIMEOUT:-}")
+  [[ -z "$NATIVE_CONTEXT" ]] || INHERIT_ARGS+=(--context "$NATIVE_CONTEXT")
+  if [[ "$AA_OPERATOR_ASSERTED_HUMAN" == "1" ]]; then
+    INHERIT_ARGS+=(--operator-asserted-human)
+  elif [[ -n "$AA_CALLER_CONTEXT" ]]; then
+    INHERIT_ARGS+=(--caller-context "$AA_CALLER_CONTEXT")
+  fi
+  [[ "$BACKGROUND" -eq 0 ]] || INHERIT_ARGS+=(--background)
+  [[ "$DRY_RUN" -eq 0 ]] || INHERIT_ARGS+=(--dry-run)
+  exec python3 "$OMNILANE_REPO/scripts/lib/native.py" "${INHERIT_ARGS[@]}"
+fi
 if [[ -n "$OVERRIDE_VENDOR" ]]; then
   if resolve_chain "$CHAIN" "$OVERRIDE_VENDOR"; then
     :
@@ -835,7 +878,7 @@ if [[ -n "$OVERRIDE_VENDOR" ]]; then
         exit 4
         ;;
     6)
-      printf '%s\n' "$AA_LAST_DECISION" >&2
+      aa_print_refusal
       exit 3
       ;;
     5)
@@ -852,11 +895,11 @@ else
   resolve_rc=0
   resolve_chain "$CHAIN" || resolve_rc=$?
   if [[ "$resolve_rc" -eq 6 ]]; then
-    printf '%s\n' "$AA_LAST_DECISION" >&2
+    aa_print_refusal
     exit 3
   elif [[ "$resolve_rc" -ne 0 ]]; then
     echo "omnilane: no eligible available target for lane '$LANE' (chain:$CHAIN)." >&2
-    [[ -z "$AA_LAST_DECISION" ]] || printf '%s\n' "$AA_LAST_DECISION" >&2
+    [[ -z "$AA_LAST_DECISION" ]] || aa_print_refusal
     exit 4
   fi
 fi
@@ -1110,6 +1153,13 @@ if [[ "$DRY_RUN" -eq 1 ]]; then
 fi
 
 printf 'omnilane: executor=cli reason=%s\n' "$EXECUTOR_REASON" >&2
+if [[ "$EXECUTOR_REASON" == "no-native-context" && -n "$AA_CALLER_CONTEXT" && -r "$AA_CALLER_CONTEXT" ]]; then
+  CALLER_VENDOR="$(python3 -c 'import json,sys; print(json.load(open(sys.argv[1]))["caller"]["vendor"])' "$AA_CALLER_CONTEXT" 2>/dev/null || true)"
+  if [[ -n "$CALLER_VENDOR" && "$CALLER_VENDOR" == "$VENDOR" ]]; then
+    # Same vendor is not same model, so this is an offer, never a silent switch.
+    echo "omnilane: the target is this harness's own vendor, yet it goes out through an external CLI because no capability file was given. To use your own sub-agent tool: omnilane native-context --workdir \"$WORKDIR\", then pass --native-context FILE (or --inherit for a worker on your own model and effort)" >&2
+  fi
+fi
 mkdir -p "$OMNILANE_HOME"
 if [[ ! -d "$JOBS_ROOT" ]]; then
   mkdir -m 700 "$JOBS_ROOT"

package/scripts/doctor.sh

@@ -419,7 +419,13 @@ overlay_path="$(
   printf '%s' "${OMNILANE_AA_TRANSPORT_OVERLAY:-}"
 )"
 if [[ -z "$overlay_path" ]]; then
-  report PASS transport-overlay "no overlay configured; every runtime mapping stays unverified"
+  # Only a model caller needs the overlay; a host whose operator asserts the human
+  # exemption is complete without one, and --strict must not fail it.
+  if [[ "${OMNILANE_AA_OPERATOR_ASSERTED_HUMAN:-0}" == "1" ]]; then
+    report PASS transport-overlay "no overlay configured; fine for a human operator, but a model caller would be refused on every lane (README, 'Let your AI assistant drive omnilane')"
+  else
+    report WARN transport-overlay "no overlay configured, so a model caller is refused on every lane (runtime-mapping-unverified). First install: probe_sweep.py --root ROOT, build_overlay.py --root ROOT, then export OMNILANE_AA_TRANSPORT_OVERLAY in local.sh; see the README, 'Let your AI assistant drive omnilane'"
+  fi
 elif ! command -v python3 >/dev/null 2>&1; then
   report WARN transport-overlay "python3 is absent; cannot load the AA transport overlay"
 elif [[ ! -r "$OVERLAY_HEALTH" ]]; then