polydeukes 0.8.0 → 0.9.0

package/dist/docs/reference/cli/init.ko.md

@@ -97,23 +97,26 @@ npx pdks-codex init
 - `.codex/hooks/covenant-pretooluse.mjs`
 - `.codex/hooks.json`
 
-`hooks.json`은 덮어쓰지 않고 병합합니다. 다른 이벤트, 다른 matcher, 설치기가 모르는 키는
-그대로 둡니다. 초기 설정은 기본적으로 `.codex/hooks`를 보호하므로, 이 설치기가 만드는 등록
-파일은 같은 설치가 만든 설정이 지킵니다.
+`hooks.json`에는 `PreToolUse`, `UserPromptSubmit`, `PostToolUse`, `SessionEnd` 항목이
+생깁니다. 파일은 덮어쓰지 않고 병합합니다. 사용자 항목, 같은 항목의 다른 handler, 다른
+이벤트, 설치기가 모르는 키는 그대로 둡니다. 초기 설정은 기본적으로 `.codex/hooks`를
+보호하므로, 이 설치기가 만드는 등록 파일은 같은 설치가 만든 설정이 지킵니다.
 
 **훅 승인까지가 설치입니다.** Codex는 훅 정의의 해시로 신뢰를 기록하므로, 생성된 훅은 검토
 대상으로 표시되고 `/hooks`에서 승인하기 전까지 건너뛰어집니다. 누군가 승인하기 전까지는
 아무것도 판정되지 않습니다. `init`이 실행할 때마다 바이트가 같은 명령 문자열을 쓰는 이유가
 이것입니다. 문자열이 바뀌면 다시 승인해야 합니다.
 
-Codex는 모든 파일 편집을 `apply_patch` 하나로 정규화하고, 경로 인자가 아니라 패치 텍스트를
+Codex는 훅에 도달하는 모든 파일 편집을 `apply_patch` 하나로 정규화하고, 경로 인자가 아니라 패치 텍스트를
 보냅니다. `Edit`과 `Write`는 `.codex/hooks.json`에 적을 수 있는 matcher 별칭이며 도구 이름으로
 도착하지 않습니다. 패치 하나가 여러 파일을 건드리면 파일마다 IR 원소 하나가 실리고, 그중
 하나라도 차단되면 호출 전체가 차단됩니다.
 
-Codex에는 대화 기록 채널이 없어서 세션 증인(witness) 밸브가 읽을 사람 메시지 증거가
-없습니다. 의도한 편집이 차단되면 자신의 터미널에서 수행하세요. 산출물별 동작은
-[표면 연결하기](../../how-to/connect-surfaces.ko.md#codex)에 있습니다.
+불안정한 Codex 대화 기록은 해석하지 않습니다. `UserPromptSubmit`은 시각을 붙인 사람
+메시지를, `PostToolUse`는 완료된 도구 호출을 공급하고, `SessionEnd`는 어댑터 소유 증거
+파일을 정리합니다. 따라서 설정된 증인 토큰으로 다시 시도한 보호 호출을 허용할 수 있습니다.
+프롬프트 증거가 기록되지 않았다면 복구 메시지가 안내하는 사용자 터미널을 사용합니다.
+산출물별 동작은 [표면 연결하기](../../how-to/connect-surfaces.ko.md#codex)에 있습니다.
 
 <a id="init-results"></a>
 ## 결과와 실패 조건

package/dist/docs/reference/cli/init.md

@@ -96,23 +96,28 @@ That command runs `pdks init` for the scaffold, then writes the Codex registrati
 - `.codex/hooks/covenant-pretooluse.mjs`
 - `.codex/hooks.json`
 
-`hooks.json` is merged rather than overwritten: other events, other matchers, and keys the
-installer does not know are left in place. The scaffold config protects `.codex/hooks` by
-default, so the registration this installer writes is covered by the config it writes.
+`hooks.json` receives entries for `PreToolUse`, `UserPromptSubmit`, `PostToolUse`, and
+`SessionEnd`. It is merged rather than overwritten: user entries, sibling handlers, other
+events, and keys the installer does not know are left in place. The scaffold config protects
+`.codex/hooks` by default, so the registration this installer writes is covered by the config
+it writes.
 
 **Approving the hook is part of the install.** Codex records trust against the hash of a hook's
 definition, so the generated hook is listed for review and skipped until you approve it with
 `/hooks`. Until someone does, nothing is judged. This is why `init` writes a byte-identical
 command string on every run — a changed string needs approving again.
 
-Codex normalises every file edit into one tool, `apply_patch`, and delivers the patch text
-rather than a path argument. `Edit` and `Write` are matcher aliases you may write in
-`.codex/hooks.json`; they never arrive as the tool name. One patch that touches several files
-carries one IR element per file, and any one of them blocking blocks the whole call.
-
-Codex supplies no transcript channel, so the session witness valve has no human-message
-evidence to read. For an intentional blocked edit, use your own terminal. Details are in
-[Connect the surfaces](../../how-to/connect-surfaces.md#codex).
+Codex normalises every file edit that reaches the hook into one tool, `apply_patch`, and
+delivers the patch text rather than a path argument. `Edit` and `Write` are matcher aliases
+you may write in `.codex/hooks.json`; they never arrive as the tool name. One patch that
+touches several files carries one IR element per file, and any one of them blocking blocks
+the whole call.
+
+The unstable Codex transcript is never parsed. `UserPromptSubmit` supplies timestamped human
+messages, `PostToolUse` supplies completed tool calls, and `SessionEnd` cleans up the
+adapter-owned evidence file. A configured witness token can therefore release a retried
+protected call. If no prompt evidence was recorded, use the user terminal named by the recovery
+message. Details are in [Connect the surfaces](../../how-to/connect-surfaces.md#codex).
 
 <a id="init-results"></a>
 ## Results and failure conditions

package/dist/docs/reference/packages/adapter-codex.ko.md

@@ -2,9 +2,9 @@
 
 [English](adapter-codex.md) · **한국어**
 
-> **Codex의 설치 단위**입니다. `PreToolUse` 페이로드가 약속(covenant) 입력 IR이 되고, 패치가
-> 건드리는 파일마다 원소 하나가 실립니다. 세션 표면을 프로젝트에 설치하는 것도 이 패키지가
-> 합니다.
+> **Codex의 설치 단위**입니다. 생명주기 이벤트는 어댑터 소유 세션 증거가 되고,
+> `PreToolUse` 페이로드는 패치가 건드리는 파일마다 원소 하나를 실은 약속(covenant) 입력 IR이
+> 됩니다.
 >
 > 베타입니다. `polydeukes`와 함께 설치하며, `polydeukes`는 이 패키지의 `peerDependency`입니다.
 
@@ -17,13 +17,16 @@ Codex의 입력을 공통 형식으로 번역합니다. 에이전트와 도구
 | 단위 | 하는 일 |
 |---|---|
 | `pdks-codex` 실행 파일 | 하위 명령 하나 `pdks-codex init`으로 프로젝트에 세션 표면을 등록합니다 |
-| `runHook` | `PreToolUse` 페이로드 하나를 입력 IR로 바꾸고 판정기를 스폰합니다 |
+| `runHook` | 생명주기 증거를 기록하거나, `PreToolUse` 페이로드 하나를 입력 IR로 바꾸고 판정기를 스폰합니다 |
+| 세션 증거 | 시각을 붙인 사람 메시지와 완료된 도구 호출을 SHA-256 세션 파일에 저장하고 `SessionEnd`에서 지웁니다 |
 | 페이로드 검증 | 호스트의 생성 스키마가 필수로 지정한 키를 모두 요구하며, 그 호스트가 보내는 한 가지 표기만 받습니다 |
 | 패치 해석 | `apply_patch` 호출의 원본 패치 텍스트를 건드리는 파일마다 변경 하나로 풉니다 |
 | 경로 기준 변환 | 패치 경로를 호출의 작업 디렉터리 기준으로 해석한 뒤 프로젝트 루트 기준으로 실습니다 |
 
-생성된 훅 위임자가 불러오는 것이 `runHook({ repoRoot })`입니다. `tools` 명부를 실은 입력 IR을
-만든 뒤 — `session`과 `actor` 키는 없습니다 — `repoRoot`에서
+생성된 훅 위임자가 불러오는 것이 `runHook({ repoRoot })`입니다. `UserPromptSubmit`과
+`PostToolUse`는 `.polydeukes/codex-sessions/` 아래에 엄격한 JSONL 레코드를 추가하고,
+`SessionEnd`는 그 세션 파일만 지웁니다. `PreToolUse`는 `tools` 명부와 이 레코드에서 만든
+`session`을 싣되 `actor`나 `channels`를 합성하지 않은 뒤, `repoRoot`에서
 `pdks covenant check --enforce block`을 스폰하고 그 자식 프로세스의 종료 코드를 그대로
 돌려줍니다. 판정은 그 자식 프로세스가 하며, 이 패키지에는 판정 코드가 없습니다.
 
@@ -33,7 +36,7 @@ Codex의 입력을 공통 형식으로 번역합니다. 에이전트와 도구
 <a id="apply-patch"></a>
 ## 형제 어댑터는 인자를 읽는데 이 어댑터가 텍스트를 해석하는 이유
 
-Codex는 모든 파일 편집을 `apply_patch`라는 이름 하나로 정규화하고, 패치 자체를
+Codex는 훅에 도달하는 모든 파일 편집을 `apply_patch`라는 이름 하나로 정규화하고, 패치 자체를
 `tool_input.command`에 담습니다. 셸 호출이 명령줄을 싣는 것과 같은 자리입니다. 읽을 경로
 인자가 없습니다. `Edit`과 `Write`는 `.codex/hooks.json`에 적을 수 있는 matcher 별칭이지만,
 페이로드는 언제나 도구 이름을 `apply_patch`로 보냅니다. 그래서 별칭을 기준으로 삼은 명부나
@@ -55,7 +58,8 @@ npx pdks-codex init
 ```
 
 `pdks-codex init`은 프로젝트에서 `polydeukes`를 찾아 확인한 뒤, 에이전트 중립 초기 구성을
-위해 `pdks init`을 스폰하고, 위임자를 쓰고 자기 항목을 `.codex/hooks.json`에 병합합니다.
+위해 `pdks init`을 스폰하고, 위임자를 쓴 뒤 `PreToolUse`, `UserPromptSubmit`, `PostToolUse`,
+`SessionEnd` 항목을 `.codex/hooks.json`에 병합합니다.
 병합은 기존 내용을 지우지 않습니다. 다른 이벤트, 다른 matcher, 이 패키지가 모르는 키는 그대로
 둡니다. 다시 실행하면 이미 있는 산출물을 건너뛴 것으로 보고하고 아무것도 덮어쓰지 않습니다.
 전체 산출물 목록은 [`pdks init`](../cli/init.ko.md#init-codex)에 있습니다.
@@ -77,19 +81,32 @@ npx pdks-codex init
 <a id="limits"></a>
 ## 선언된 한계
 
-앞의 셋은 호스트 자신의 한계이고 호스트 훅 문서가 밝힌 사항입니다. 어떤 어댑터도 이 범위를
-좁힐 수 없습니다.
-
+앞의 넷은 호스트 자신의 한계이고 어떤 어댑터도 이 범위를 좁힐 수 없습니다. 첫째는 문서가
+아니라 실제 측정으로 확인한 사항이고, 다음 셋은 호스트 훅 문서가 밝힌 사항입니다.
+
+- **Code Mode의 `exec` 호출은 관측되지 않습니다.** codex-cli 0.154는 Code Mode `exec` 호출에도,
+  그 JavaScript 안에 중첩된 `tools.apply_patch` · `tools.exec_command` 호출에도 `PreToolUse`를
+  발화하지 않습니다([openai/codex#23411](https://github.com/openai/codex/issues/23411),
+  [#38850](https://github.com/openai/codex/issues/38850)). `/hooks`에 Active로 표시된 훅도 그
+  표면에서는 아무것도 보지 못하고, 거기서 편집된 보호 경로는 telemetry 행을 남기지 않습니다.
+  `pdks-codex init`이 이 사실을 `note:` 줄로 출력합니다.
+- **무엇을 판정하는지는 matcher가 아니라 명부가 정합니다.** 어댑터는 `apply_patch`와 `Bash`만
+  번역하고, 그 밖의 이름(Code Mode 이름, MCP 도구, `write_stdin`)은 판정기를 띄우기 전에
+  exit 2와 `blocked` 러너 행으로 거부합니다. `.codex/hooks.json`의 matcher를 그런 이름까지
+  넓히면 그 아래의 모든 호출이 판정 대신 차단되고, 그 편집은 신뢰 해시를 바꾸므로 `/hooks`에서
+  다시 승인하기 전까지 훅이 건너뛰어집니다.
 - **`write_stdin`은 다시 판정되지 않습니다.** 이미 `PreToolUse`를 통과한 unified-exec 세션에
   입력을 전달합니다. 입력을 받으려고 열어 둔 셸은 그것을 연 호출에서 한 번 판정됩니다.
 - **호스트가 제공하는 도구는 이 경로를 지나지 않습니다.** 웹 검색 같은 도구는 로컬 함수 도구
   훅을 거치지 않으므로 어떤 약속에도 닿지 않습니다.
 - **호스트는 자기 도구 훅을 완전한 차단 경계가 아니라 보조 장치라고 밝힙니다.** 일부 특수한
   도구 경로는 기본 훅 경로를 지나지 않을 수 있습니다.
-- **대화 기록 채널이 없습니다.** IR에 `session`과 `actor` 키가 없습니다. 페이로드가 대화 기록
-  경로를 지목하지만 호스트가 그 형식을 안정된 인터페이스가 아니라고 밝혔으므로 어떤 판정도
-  그것을 읽지 않습니다. 그래서 세션 증인 밸브가 필요로 하는 사람 메시지 증거를 얻을 수
-  없습니다. 의도적으로 차단된 편집을 하려면 사용자의 터미널을 쓰십시오.
+- **불안정한 대화 기록은 채널로 쓰지 않습니다.** 페이로드가 대화 기록 경로를 지목하지만
+  호스트가 그 형식을 안정된 인터페이스가 아니라고 밝혔으므로 어떤 판정도 그것을 읽지
+  않습니다. 대신 어댑터가 `UserPromptSubmit`과 `PostToolUse`로 `session`을 만듭니다. 설정된
+  토큰을 사람 메시지의 첫 줄에 단독으로 보내면 다시 시도한 보호 호출을 허용할 수 있습니다.
+  사람 증거가 기록되지 않았거나 저장에 실패했다면 복구 메시지가 사용자 터미널을 안내합니다.
+  `actor`, `channels`, 도구 성공 여부는 합성하지 않습니다.
 - **프로젝트 밖으로 해석되는 패치는 판정하지 않고 거부합니다.** 그런 경로는 프로젝트 기준
   상대 경로가 없고, 그것을 실은 원소는 어떤 관측 범위에도 들어가지 않아 판정 없이 지나가게
   됩니다.

package/dist/docs/reference/packages/adapter-codex.md

@@ -2,9 +2,8 @@
 
 **English** · [한국어](adapter-codex.ko.md)
 
-> **The Codex install unit** — `PreToolUse` payloads become the covenant input IR, with one
-> element per file the patch touches, and the package installs the session surface into a
-> project.
+> **The Codex install unit** — lifecycle events become adapter-owned session evidence, and
+> `PreToolUse` payloads become covenant input IR with one element per file the patch touches.
 >
 > Beta. Install it next to `polydeukes`, which it names as a `peerDependency`.
 
@@ -17,13 +16,16 @@ by design, so that they never reach the core.
 | Unit | What it does |
 |---|---|
 | `pdks-codex` bin | One subcommand, `pdks-codex init`, which registers the session surface in a project |
-| `runHook` | Translates one `PreToolUse` payload into the input IR and spawns the judge |
+| `runHook` | Records lifecycle evidence, or translates one `PreToolUse` payload into the input IR and spawns the judge |
+| Session evidence | Stores timestamped human messages and completed tool calls under a SHA-256 session filename, then removes it at `SessionEnd` |
 | Payload validation | Demands every key the host's generated schema marks required, in the one spelling that host sends |
 | Patch parsing | Turns the raw patch text of an `apply_patch` call into one file change per file it touches |
 | Path rebasing | Resolves a patch path against the call's working directory and carries it relative to the project root |
 
-`runHook({ repoRoot })` is what the generated hook delegator imports. It builds the IR — the
-`tools` roster included, with no `session` or `actor` key — then spawns
+`runHook({ repoRoot })` is what the generated hook delegator imports. `UserPromptSubmit` and
+`PostToolUse` append strict JSONL records under `.polydeukes/codex-sessions/`; `SessionEnd`
+removes only that session's file. `PreToolUse` builds the IR with the `tools` roster and a
+`session` sourced from those records, but no synthesized `actor` or `channels`, then spawns
 `pdks covenant check --enforce block` in `repoRoot` and returns the child's exit code. The
 judging happens in that child process; this package carries no judgment logic.
 
@@ -33,11 +35,11 @@ stdin, so the row that call earns is written by the one writer.
 <a id="apply-patch"></a>
 ## Why this adapter parses text where its siblings read arguments
 
-Codex normalises every file edit into a single tool name, `apply_patch`, and puts the patch
-itself in `tool_input.command` — the same field a shell call uses for its command line. There
-is no path argument to read. `Edit` and `Write` exist as matcher aliases you may write in
-`.codex/hooks.json`, but the payload always names the tool `apply_patch`, so a roster or a
-branch keyed on the aliases matches nothing that ever arrives.
+Codex normalises every file edit that reaches the hook into a single tool name, `apply_patch`,
+and puts the patch itself in `tool_input.command` — the same field a shell call uses for its
+command line. There is no path argument to read. `Edit` and `Write` exist as matcher aliases
+you may write in `.codex/hooks.json`, but the payload always names the tool `apply_patch`, so
+a roster or a branch keyed on the aliases matches nothing that ever arrives.
 
 One patch can create, update, delete and rename files in one call. The adapter carries each as
 its own element of one IR, on one spawn: every file is judged, and any one of them blocking
@@ -55,7 +57,8 @@ npx pdks-codex init
 ```
 
 `pdks-codex init` resolves `polydeukes` from the project, spawns `pdks init` for the
-agent-neutral scaffold, then writes the delegator and merges its entry into
+agent-neutral scaffold, then writes the delegator and merges its entries for `PreToolUse`,
+`UserPromptSubmit`, `PostToolUse`, and `SessionEnd` into
 `.codex/hooks.json` non-destructively — other events, other matchers and keys it does not know
 are left alone. A re-run reports each existing artifact as skipped and overwrites nothing. The
 full artifact list is in [`pdks init`](../cli/init.md#init-codex).
@@ -77,9 +80,22 @@ by default, so the registration this installer creates is covered by the config
 <a id="limits"></a>
 ## Declared limits
 
-The first three are the host's own, stated in its hook documentation, and no adapter can
-narrow them.
-
+The first four are the host's own, and no adapter can narrow them. The first is measured
+rather than documented; the next three are stated in the host's hook documentation.
+
+- **A Code Mode `exec` dispatch is not observed.** In codex-cli 0.154 the host does not emit
+  `PreToolUse` for a Code Mode `exec` call, nor for the `tools.apply_patch` and
+  `tools.exec_command` calls nested in its JavaScript
+  ([openai/codex#23411](https://github.com/openai/codex/issues/23411),
+  [#38850](https://github.com/openai/codex/issues/38850)). A hook that `/hooks` lists as
+  Active still sees nothing on that surface, and a protected path edited there leaves no
+  telemetry row. `pdks-codex init` prints this as a `note:` line.
+- **The roster, not the matcher, decides what is judged.** The adapter translates
+  `apply_patch` and `Bash`; every other name — a Code Mode name, an MCP tool, `write_stdin` —
+  is refused with exit 2 and a `blocked` runner row before the judge runs. Widening the
+  matcher in `.codex/hooks.json` to such a name blocks every call under it rather than
+  judging it, and the edit changes the trust hash, so the hook is skipped until `/hooks`
+  approves it again.
 - **`write_stdin` is not judged again.** It delivers input to a unified-exec session that
   already passed `PreToolUse`. A shell left open for input is judged once, at the call that
   opened it.
@@ -87,10 +103,12 @@ narrow them.
   function-tool hooks, so they reach no covenant.
 - **The host calls its tool hooks a guardrail rather than a complete enforcement boundary.**
   Some specialized tool paths can opt out of the default hook path.
-- **There is no transcript channel.** The IR omits `session` and `actor`. The payload names a
-  transcript path, but the host documents that format as unstable, so no judgment reads it —
-  which leaves the session witness valve without the human-message evidence it needs. For an
-  intentional blocked edit, use your own terminal.
+- **The unstable transcript is not a channel.** The payload names a transcript path, but the
+  host documents that format as unstable, so no judgment reads it. The adapter instead builds
+  `session` from `UserPromptSubmit` and `PostToolUse`. A fresh configured token, alone on the
+  first line of a human message, can release the retried protected call. If no human evidence
+  was recorded, or evidence storage failed, the recovery message directs the repair to the user
+  terminal. `actor`, `channels`, and tool success are never synthesized.
 - **A patch resolving outside the project is refused rather than judged.** Such a path has no
   project-relative form, and an element carrying one would land in no scope — judged over
   nothing, and passed.

package/dist/docs/reference/packages/polydeukes.ko.md

@@ -113,7 +113,7 @@ IR의 `session` 키는 다른 것을 말합니다. 호스트가 그 호출에
 | 등록 | 축 | 판정 대상 |
 |---|---|---|
 | self-mod | 도구 | 편집 도구를 통한 보호 경로 변형입니다. 호출의 증명된 변형 대상만 대조하므로, 편집 **내용** 안의 보호 경로는 언급이고 통과합니다 |
-| shell-mod | 셸 | 같은 것을 명령줄로 합니다. 보호 경로를 언급하는 명령은 첫 낱말이 읽기 전용임을 증명할 때만 통과합니다 |
+| shell-mod | 셸 | 같은 것을 명령줄로 합니다. 보호 경로를 언급하는 명령은 읽기 전용임이 증명될 때만 통과합니다. 허용 목록의 첫 낱말이나, `git ls-files`·변형·실행·실행 확인·파일 출력 동작이 없는 `find`·숫자 범위 `sed -n …p`처럼 지원하는 인자 판정형 읽기 명령이 이를 증명합니다 |
 | transcript-mod | 대화 기록 | 라이브 세션 대화 기록에 대한 쓰기입니다. 전체 경로 **등가**로 판정하고 보호 조상으로는 결코 보지 않습니다 |
 
 **낱말 여섯**이 텔레메트리 계약입니다. 판정 결과 다섯과 관측 하나입니다. `.polydeukes/roi.log`의
@@ -174,7 +174,7 @@ fail-open입니다.
 - **완전 봉쇄는 목표가 아닙니다.** 여기에 차단 목록은 없습니다. 우회 철자를 열거하는 일은
   언제나 한 걸음 뒤지므로 논리를 뒤집었습니다. 보호 경로를 언급하면 안전이 증명되지 않는
   한 차단합니다. 간접 경로 계산 같은 잔여 벡터는 차단 대상이 아니라 텔레메트리 대상입니다.
-  마찰 밸브 둘, 곧 읽기 전용 허용 목록과 TTL 증인은 둘 다 측정 가능한 흔적을 남깁니다.
+  마찰 밸브 둘, 곧 읽기 전용 증명과 TTL 증인은 둘 다 측정 가능한 흔적을 남깁니다.
 - **밸브는 판정 뒤에 확인합니다.** 실제로 차단한 판정만 증언으로 열 수 있고, 문장 중간의 토큰
   언급은 밸브를 무장시키지 않으며, AI는 자기 밸브를 결코 스스로 열 수 없습니다.
 

package/dist/docs/reference/packages/polydeukes.md

@@ -114,7 +114,7 @@ vocabulary below applies to them unchanged.
 | Registration | Axis | Judges |
 |---|---|---|
 | self-mod | Tool | Mutations to protected paths through editing tools. Only the call's proven mutation target is compared — a protected path inside an edit's *content* is a mention and passes |
-| shell-mod | Shell | The same, through a command line. A command mentioning a protected path passes only if its leading word proves it read-only |
+| shell-mod | Shell | The same, through a command line. A command mentioning a protected path passes only with read-only proof: an allowlisted leading word, or a supported argument-sensitive reader such as `git ls-files`, `find` without mutation, execution, prompting, or file-output actions, or numeric-range `sed -n …p` |
 | transcript-mod | Transcript | Writes to the live session transcript, judged by whole-path **equality** — never as a protected ancestor |
 
 **Six words** are the telemetry contract — five verdicts and one observation. A row in
@@ -179,8 +179,8 @@ No import. The umbrella assembles the module for both surfaces.
 - **Complete containment is a non-goal.** There are no blocklists here — enumerating bypass
   spellings is always one step behind, so the logic is inverted: a mention of a protected
   path blocks unless proven safe. Residual vectors such as indirect path computation are
-  telemetry targets, not block targets. The two friction valves — the read-only allowlist
-  and the TTL witness — both leave a measurable trace.
+  telemetry targets, not block targets. The two friction valves — read-only proof and the TTL
+  witness — both leave a measurable trace.
 - **The valve stands after the verdict.** Only a judgment that actually blocked can be
   witnessed open, a mid-sentence mention of the token does not arm it, and an AI can never
   open the valve for itself.

package/dist/docs/troubleshooting.ko.md

@@ -67,11 +67,15 @@ Git에서 원래 파일을 복원하세요. 새 프로젝트라면 `pdks init`,
   바뀌면 `/hooks`에서 승인하기 전까지 신뢰하지 않으므로, 설치기가 성공해도 실행되는 훅이
   없을 수 있습니다. 실제 도구를 호출하고 텔레메트리를 확인하세요.
 - Codex는 대화 기록 경로를 알려 주지만 그 형식을 안정된 것으로 문서화하지 않으므로 어떤
-  판정도 읽지 않고, IR은 `session`과 `actor`를 생략합니다. 따라서 세션 증인(witness)
-  밸브가 쓸 인간 메시지 증거가 없으며, 훅을 다시 승인해도 이 기능이 생기지는 않습니다.
-  복구가 필요하면 본인의 터미널에서 작업하세요.
-
-커밋 증인은 차단된 Codex 도구 호출도 허용하지 않습니다.
+  판정도 읽지 않습니다. 대신 어댑터가 `UserPromptSubmit`과 `PostToolUse`를 자기 세션 증거
+  파일에 기록하고 `SessionEnd`에서 지웁니다. IR은 이 `session`을 싣되 `actor`를 합성하지
+  않습니다.
+- 의도한 차단 뒤에는 설정된 증인 토큰을 첫 줄에 단독으로 보내고 다시 시도합니다. stderr가
+  `UserPromptSubmit` 증거가 없다고 알리면 생명주기 항목 넷이 모두 승인됐는지 확인합니다.
+  그래도 증거가 없다면 토큰을 반복해도 관측되지 않은 호출을 풀 수 없으므로 본인의 터미널에서
+  작업합니다.
+
+커밋 증인은 스테이징 검사만 허용하며 Codex 세션 증인을 대신하지 않습니다.
 
 <a id="config-fault"></a>
 ## 선언을 판정으로 구성하지 못할 때

package/dist/docs/troubleshooting.md

@@ -65,12 +65,16 @@ The same two problems are distinct here, and the first has its own cause:
 - After `pdks-codex init`, hook trust is bound to the hash of the hook definition. A changed
   `.codex/hooks.json` is not trusted until you approve it through `/hooks`, so an installer that
   succeeded can still leave no hook running. Verify an actual call and its telemetry.
-- Codex names a transcript path but documents the format as unstable, so no judgment reads it
-  and the IR omits `session` and `actor`. The session witness valve therefore has no
-  human-message evidence to work from, and approving the hook again does not add that
-  capability. Perform a necessary repair from your own terminal.
-
-A commit witness cannot release a blocked Codex tool call either.
+- Codex names a transcript path but documents the format as unstable, so no judgment reads it.
+  The adapter records `UserPromptSubmit` and `PostToolUse` into its own session evidence file
+  and removes it at `SessionEnd`; the IR carries that `session` without synthesizing `actor`.
+- After an intentional block, send the configured witness token alone on the first line and
+  retry. If stderr says no `UserPromptSubmit` evidence was recorded, confirm all four lifecycle
+  entries are approved. If evidence is still unavailable, perform the repair from your own
+  terminal; repeating the token cannot release an unobserved call.
+
+A commit witness authorizes only its staged check; it does not substitute for the Codex session
+witness.
 
 <a id="config-fault"></a>
 ## Config-fault

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "polydeukes",
-  "version": "0.8.0",
+  "version": "0.9.0",
   "description": "A development discipline framework for building alongside an AI coding partner — deterministic covenants, a verifiable work ledger, local memory, and adversarial verification. Beta.",
   "author": "huskyhoochu <dfg1499@gmail.com>",
   "keywords": [
@@ -44,7 +44,7 @@
   },
   "dependencies": {
     "yaml": "2.9.0",
-    "@polydeukes/core": "^0.8.0"
+    "@polydeukes/core": "^0.9.0"
   },
   "devDependencies": {
     "@types/node": "^24.0.0",