wendkeep 0.66.4 → 0.67.0

package/docs/pt-BR/commands/costs-and-observability.md

@@ -26,7 +26,7 @@ Registry consistente, tabela de preços completa e acesso aos transcripts das se
 ```bash
 npx wendkeep stats [--vault <cofre>] [--json]
 npx wendkeep cost [--since <data>] [--top [N]] [--trend day|week|month] [--write] [--json]
-npx wendkeep cost rebuild [--session <id|arquivo>] [--limit N] [--apply] [--json]
+npx wendkeep cost rebuild [--session <id|arquivo>] [--limit N] [--max-graph-nodes N] [--max-fallback-days N] [--max-fallback-candidates N] [--apply] [--json]
 ```
 
 ## Opções e códigos de saída
@@ -34,10 +34,18 @@ npx wendkeep cost rebuild [--session <id|arquivo>] [--limit N] [--apply] [--json
 - `wendkeep stats` gera uma linha compartilhável ou JSON.
 - `wendkeep cost` agrega total/modelo/dia; `--trend` inclui projeção e `--write` atualiza
   `00-Custo.md`.
-- `wendkeep cost rebuild` é dry-run por padrão; `--apply` grava notas e
-  `.brain/COST_REBUILD.json`.
-- Exit `0` indica cálculo consistente; não zero indica registry, preço, transcript ou parsing
-  insuficiente.
+- `wendkeep cost rebuild` é dry-run por padrão e tem **zero escrita**: não adquire lock de
+  gravação, não altera nota, registry ou runtime e não cria `.brain/COST_REBUILD.json`.
+- `--apply` publica somente candidatos `complete` ou `none`. O estado `none` só zera a seção
+  quando um scan offline estável comprovou que nenhum subagente foi iniciado.
+- Um candidato `degraded` ou `stale` produz exit `1` e preserva a nota sem alteração; o lote
+  continua para que outras sessões seguras possam ser processadas e o relatório exponha os
+  códigos sanitizados.
+- Os overrides `--max-graph-nodes`, `--max-fallback-days` e `--max-fallback-candidates` são
+  exclusivamente para rebuild direcionado com `--session`. Usá-los sem `--session` é uso inválido
+  e produz exit `2`; hooks, import e rebuild em lote mantêm os limites padrão.
+- Exit `0` significa preview/aplicação consistente; exit `1` indica resultado parcial
+  `degraded`/`stale`; exit `2` indica sintaxe ou contexto inválido.
 
 ## Exemplos
 
@@ -45,12 +53,16 @@ npx wendkeep cost rebuild [--session <id|arquivo>] [--limit N] [--apply] [--json
 npx wendkeep stats --vault .MeuApp-vault
 npx wendkeep cost --since 2026-07-01 --top 10 --trend week
 npx wendkeep cost rebuild --session 019abc --json
+npx wendkeep cost rebuild --session 019abc --max-graph-nodes 8192 --json
+npx wendkeep cost rebuild --session 019abc --apply
 ```
 
 ## Resultado esperado
 
-Totais preservam dimensões de input/output/cache/reasoning por modelo e período. Rebuild mostra a
-prévia antes de alterar notas e deixa um relatório reproduzível quando aplicado.
+Totais preservam dimensões de input/output/cache/reasoning por modelo e período. A composição
+tri-state devolve `complete`, `none` ou `degraded`, mais frontier, manifest e diagnostics
+sanitizados. Rode e revise o dry-run antes de repetir o mesmo comando com `--apply`; uma segunda
+aplicação semanticamente idêntica preserva nota, checkpoint, relatório e mtime.
 
 ## Erros comuns e diagnóstico
 
@@ -58,6 +70,8 @@ prévia antes de alterar notas e deixa um relatório reproduzível quando aplica
 - Custos de provider errado: valide a cadeia de identidade da sessão.
 - Transcript ausente: não estime silenciosamente; mantenha a lacuna visível.
 - Total duplicado por subagent/fork: confirme relação pai/subagent e deduplicação do registry.
+- `degraded`/`stale`: preserve a nota e investigue diagnostics/frontier antes de autorizar apply.
+- Override rejeitado: acrescente `--session <id|arquivo>` ou remova os três limites direcionados.
 
 ## Próximos passos
 

package/docs/pt-BR/commands/maintenance-and-diagnostics.md

@@ -39,6 +39,11 @@ npx wendkeep --help
   continuam duráveis na outbox/ledger é warning recuperável.
 - Attempt ambíguo, event ID perdido (ausente de ledger e outbox), estado `projected` apenas na
   outbox ou checkpoint divergente são falhas bloqueantes.
+- Para observabilidade de sessão, `legacy`, `degraded`, `stale` e `manifest-unproven` exigem
+  reconciliação ou evidência adicional. Somente `none` fresco e `complete` fresco são saudáveis:
+  frontier, checkpoint, root stat e source manifest precisam concordar.
+- O `doctor` permanece somente leitura/read-only. Ele recomenda primeiro o dry-run direcionado;
+  somente depois da revisão humana orienta repetir com `--apply`.
 - `sync-defs --check` detecta drift sem gravar; `--reseed` restaura skills `wk-*` do pacote.
 - `theme sync` reaplica snippet CSS e grupos do grafo sem recriar o cofre.
 - `wendkeep --version` imprime a versão executada; `wendkeep --help` lista a interface pública.
@@ -52,6 +57,8 @@ npx wendkeep --version
 npx wendkeep sync-defs --check --vault .MeuApp-vault --project .
 npx wendkeep doctor --vault .MeuApp-vault
 npx wendkeep memory status --gate --vault .MeuApp-vault
+npx wendkeep cost rebuild --session <id> --json
+npx wendkeep cost rebuild --session <id> --apply
 ```
 
 ## Resultado esperado
@@ -59,7 +66,9 @@ npx wendkeep memory status --gate --vault .MeuApp-vault
 O doctor nomeia sessões, registry, links, notas, preços, derivadas e memória como saudáveis ou
 fornece um comando específico de diagnóstico/reparo. Na memória, ele distingue vazio inicial
 válido, replay pendente recuperável e lifecycle perdido/divergente. Nenhum reparo é aplicado
-implicitamente nem o conteúdo privado do erro do projector é reproduzido no relatório.
+implicitamente nem o conteúdo privado do erro do projector é reproduzido no relatório. Na
+observabilidade de sessão, ele separa `none`/`complete` frescos de estado legado, degradado, stale
+ou sem manifest comprovado e oferece um caminho dry-run antes de qualquer escrita.
 
 ## Erros comuns e diagnóstico
 
@@ -70,6 +79,8 @@ implicitamente nem o conteúdo privado do erro do projector é reproduzido no re
 - `ambiguous`, publicação perdida ou checkpoint divergente: bloqueante; preserve registry, ledger,
   outbox e SHARED para correlacionar `last_memory_attempt` antes de reparar.
 - Bundle corrompido: preserve a evidência e use `memory status --gate` antes de `memory repair`.
+- Observabilidade `legacy`/`degraded`/`stale`/`manifest-unproven`: rode
+  `wendkeep cost rebuild --session <id> --json`, revise diagnostics e só então autorize `--apply`.
 
 ## Próximos passos
 

package/docs/pt-BR/commands/operating-profiles.md

@@ -14,9 +14,9 @@ deliberado e executa as validações e gates próprios daquele comando.
 
 ## Quando usar
 
-Use `profile` para consultar ou selecionar explicitamente um Perfil de Operação. Use `FLOW` para
-manutenção local, reversível e com `spec_impact:none` que caiba num microcontrato Executar →
-Validar, sem change.
+Use `profile use` para uma seleção humana persistente e `profile route` para o harness registrar a
+rota temporária da implementação atual. Use `FLOW` para manutenção local, reversível e com
+`spec_impact:none` que caiba num microcontrato Executar → Validar, sem change.
 
 ## Quando não usar
 
@@ -28,7 +28,8 @@ gates/policies do WendKeep; promova o trabalho para uma change.
 ## Pré-requisitos
 
 - Projeto inicializado, com `.wendkeep.json` vinculado ao Vault correto.
-- Para override de sessão, uma sessão inequívoca no `SESSION_REGISTRY.json`.
+- Para override ou rota temporária, uma sessão inequívoca no `SESSION_REGISTRY.json`; `route`
+  também exige que o prompt atual já tenha fronteira causal registrada.
 - Para FLOW, repositório Git, allowlist de paths, motivo e ao menos um sensor existente em
   `wendkeep.sensors.json`.
 
@@ -37,6 +38,7 @@ gates/policies do WendKeep; promova o trabalho para uma change.
 ```bash
 npx wendkeep profile status [--project <path>] [--vault <path>] [--session <id>] [--json]
 npx wendkeep profile use <perfil> [--project <path>] [--vault <path>] [--session <id>] [--json]
+npx wendkeep profile route <FLOW|GUIDE|GOVERN|ASSURE> --session <id> --reason <texto> [--project <path>] [--vault <path>] [--json]
 npx wendkeep flow start <slug> --allow <path> [--allow <path>...] --sensor <id> [--sensor <id>...] --reason <texto> [--session <id>]
 npx wendkeep flow status [<id>]
 npx wendkeep flow show <id> [--session <id>]
@@ -76,15 +78,42 @@ independentes.
 | `GOVERN` | P → R → E → V | Loop a2 atual e fallback conservador. |
 | `ASSURE` | P → R → E → V → C | Governança acrescida de confirmação e handoff. |
 
-- A resolução segue override explícito da sessão → `harness.profile` do projeto → `GOVERN`.
-  Heurística, tamanho do diff, texto do prompt, variável de ambiente ou erro de leitura nunca
+### Legenda da rota
+
+As letras são etapas do trabalho, não comandos individuais:
+
+- `P` = **Planejar/Propor** — entender o pedido, delimitar o escopo e registrar a abordagem.
+- `R` = **Revisar** — revisar proposta/design antes da execução; é a revisão formal do loop a2.
+- `E` = **Executar** — editar os paths e artefatos permitidos.
+- `V` = **Validar** — rodar testes, sensores e verificações e registrar evidência.
+- `C` = **Confirmar/entregar** — obter confirmação explícita e fazer handoff.
+
+Logo, `P → R → E → V` é “planejar/propor, revisar, executar e validar”. `FLOW` começa no
+microcontrato de execução/validação; `OFF` não impõe rota Wend automática e entrega o processo ao
+harness nativo da LLM.
+
+- O harness da LLM classifica semanticamente o pedido e registra `profile route`; o Wend Runtime
+  não classifica texto, tamanho do diff, heurística ou variável de ambiente. Ele valida e aplica a
+  lease determinística.
+- Para correção local, reversível e sem contrato/spec, escolha `FLOW`. Para mudança compacta de
+  comportamento que precisa de change sem revisão formal, escolha `GUIDE`. Em dúvida, risco,
+  segurança, contrato público, dependências, CI/release ou policy, escolha `GOVERN`. Use `ASSURE`
+  quando confirmação e handoff forem parte do contrato.
+- `OFF` nunca pode ser uma rota adaptativa; somente uma pessoa o persiste explicitamente por
+  `profile use OFF`. Uma base `OFF` ainda pode receber uma elevação temporária para rota Wend.
+
+- A resolução segue lease ativa do prompt → override persistente da sessão →
+  `harness.profile` do projeto → `GOVERN`. Lease inválida/expirada e erro de leitura nunca
   selecionam `OFF`.
-- `profile status` mostra perfil efetivo e origem; `--json` produz saída estruturada. Quando um
-  Vault explícito preserva a escolha apesar de binding corrompido, a saída inclui `binding_error`
-  e o diagnóstico também vai para stderr.
+- `profile status` mostra perfil efetivo e origem. Com `--session`, a saída humana acrescenta
+  `base=<perfil>/<origem>` e `lease=<estado>`; `--json` produz os mesmos dados estruturados. Quando
+  um Vault explícito preserva a escolha apesar de binding corrompido, a saída inclui
+  `binding_error` e o diagnóstico também vai para stderr.
 - `profile use` valida nome e flags estritamente; opção singleton duplicada, incompleta ou com
   valor iniciado por `--` falha antes de I/O. Sem `--session`, altera atomicamente o binding do
   projeto; com `--session`, grava override, origem e timestamp sem trocar a identidade da sessão.
+- `profile route` exige `--session` e `--reason`, aceita somente os quatro perfis adaptativos e
+  grava `lease_id`, motivo, turno/sequência e timestamp sem tocar no perfil persistente.
 - `.wendkeep.json` continua em `schemaVersion: 1`; o campo aditivo usa, por exemplo,
   `"harness": { "profile": "GOVERN" }`. Binding legado sem o campo também resolve `GOVERN`.
 - Binding corrompido nunca equivale a `OFF`. Quando o payload ou a integração legada identifica
@@ -126,13 +155,39 @@ independentes.
 - Exit `0` indica consulta ou transição concluída; exit `1` indica política/sensor vermelho; exit
   `2` indica perfil, sessão, flow ou argumentos inválidos, sem mutação parcial.
 
+### Escopo da escolha
+
+Sem `--session`, `profile use` grava `harness.profile` no `.wendkeep.json` e muda o padrão do
+projeto para as conversas/hooks que não tenham override de sessão. Com `--session <id>`, grava o
+override somente no `SESSION_REGISTRY.json` daquela sessão e preserva o padrão do projeto. Por
+isso, `profile use OFF` sem `--session` não é um teste isolado; se o `.wendkeep.json` for commitado,
+essa escolha também será compartilhada com outros checkouts.
+
+`profile route` cria uma lease apenas para a solicitação atual. Um `Stop` aceito a consome por
+CAS; se o cleanup não rodar, o próximo `UserPromptSubmit` avança a sequência e a lease deixa de ser
+efetiva. Stop bloqueado preserva a lease para o retry do mesmo pedido. Não há TTL de relógio que
+interrompa trabalho longo. Sessão ainda sem prompt causal registrado (turno ausente, sequência
+zero, mapa causal ausente ou divergente) é rejeitada antes de qualquer mutação. `status --session`
+inclui o perfil-base e o estado da lease tanto na saída humana quanto em `--json`; neste, os campos
+são `base_profile`, `base_source` e `task_lease.state` (`active`, `consumed`, `expired`, `invalid` ou
+`absent`).
+
+```bash
+npx wendkeep profile status                       # padrão do projeto
+npx wendkeep profile use GUIDE                   # altera o padrão do projeto
+npx wendkeep profile use FLOW --session <id>     # altera somente uma sessão
+npx wendkeep profile route FLOW --session <id> --reason "ajuste local"  # pedido atual
+npx wendkeep profile status --session <id>       # consulta a sessão efetiva
+```
+
 ## Exemplos
 
-Consultar o padrão efetivo e aplicar override somente à sessão atual:
+Consultar o padrão efetivo e rotear somente a implementação atual:
 
 ```bash
 npx wendkeep profile status
-npx wendkeep profile use OFF --session 019abc-session-id --json
+npx wendkeep profile route FLOW --session 019abc-session-id --reason "corrige typo local" --json
+npx wendkeep profile status --session 019abc-session-id --json
 ```
 
 Executar uma manutenção FLOW capturando o `flow_id` retornado por `start`:

package/docs/pt-BR/commands/sessions-and-import.md

@@ -46,6 +46,13 @@ npx wendkeep import [opções]
 - `Stop` aceita somente o turno comprovado pelo transcript e pela activation ativa compatível.
   Duplicatas são no-op; Stops stale/superseded não publicam memória nem sobrescrevem o checkpoint
   de um epoch mais novo.
+- `Stop` recebe deadline absoluto de **45 s** desde a entrada do hook. A leitura verifica o relógio
+  entre rollouts e a cada chunk; ao atingir o limite, devolve `degraded` antes do timeout do host.
+- `SubagentStop` recebe deadline absoluto de **15 s**. Sinais que chegam na janela de **250 ms**
+  são coalescidos: somente a maior sequência recompõe/publica, sem perder o último filho.
+- A observabilidade usa tri-state: `complete` publica o snapshot integral; `none` representa zero
+  comprovado por Stop causal ou scan offline estável; `degraded` preserva o snapshot anterior e
+  diagnostics allowlisted. `SubagentStop` isolado nunca publica `none`.
 - Ao compactar conversas em `## Iterações`, o hook escapa delimitadores de código cortados pelo
   limite de tamanho; backticks inline ou fences nunca ficam abertos para engolir a linha seguinte.
 - `session list` lê `SESSION_REGISTRY`; `show` exibe uma sessão e `use` muda apenas o foco humano
@@ -53,6 +60,9 @@ npx wendkeep import [opções]
 - `import --source all|claude|codex`, `--since`, `--limit`, `--from` e `--codex-from` limitam escopo.
 - `--dry-run`/`--json` permitem auditar antes de gravar; `--stamp-ids` e `--rescan-decisions`
   corrigem históricos específicos.
+- `import` reconcilia a observabilidade mesmo quando nenhum `wk-turn` está ausente: schema legado,
+  frontier stale ou manifest não comprovado disparam recomposição sem duplicar iterações. Um
+  checkpoint fresco permanece byte-idêntico; `degraded` é reportado e não altera a nota.
 - Exit `0` indica processamento consistente; exit não zero indica configuração, fonte ou escrita
   inválida sem transformar isso em sucesso parcial silencioso.
 
@@ -71,6 +81,14 @@ O registry mantém um epoch de `SessionStart` por activation e o turno nativo ma
 `Stop` podem confirmar turnos do mesmo epoch sem fechá-lo. Importações repetidas do mesmo
 `session_id` são deduplicadas; o foco humano não encerra nem altera a identidade dos hooks. Cada
 iteração automática permanece Markdown válido mesmo quando uma fala precisa ser truncada.
+Metadados internos terminais completos ou truncados são removidos somente das mensagens do
+assistente; uma reprodução escrita pelo usuário permanece no transcript. Na nota, tags XML-like
+são codificadas como texto visível — inclusive placeholders como `<session>` — sem alterar
+autolinks `<https://...>`. Reimport e `SessionStop` compartilham o mesmo normalizador idempotente;
+ao finalizar uma nota antiga, somente campos gerados reconhecíveis em `Iterações` e
+`Encerramento` são migrados, sem reescrever a prosa autoral. Hooks
+duplicados/stale convergem no mesmo frontier, e importações podem atualizar só a observabilidade
+sem criar um novo bloco de turno.
 
 ## Erros comuns e diagnóstico
 
@@ -82,6 +100,8 @@ iteração automática permanece Markdown válido mesmo quando uma fala precisa
 - Duplicatas de forks: limite por fonte/data e revise `forked_from_id`/`source.subagent`.
 - Codex não captura: aprove os hooks e reinicie a sessão após `sync`.
 - Custo contaminado: valide `session_id → session_file → transcript_path → provider`.
+- Observabilidade `degraded`: preserve a nota e rode o rebuild direcionado em dry-run; não force
+  um snapshot parcial sobre o último `complete`.
 
 ## Próximos passos
 

package/docs/pt-BR/commands/verify.md

@@ -74,15 +74,18 @@ npx wendkeep memory status --gate --vault .MeuApp-vault
 ## Resultado esperado
 
 `evidencia.json` contém resultados dos sensores e um selo liga a prova ao hash atual de
-`tarefas.md`. No deep, o pacote contém requisitos, tarefas e evidência suficientes para revisão
-read-only; o verdict cobre cada `[req:]` antes do archive.
+`tarefas.md`. Quando um sensor fica vermelho, sua entrada recebe somente um diagnóstico local
+sanitizado e limitado a 2.000 caracteres; stdout/stderr de sensores verdes não é persistido. No
+deep, o pacote contém requisitos, tarefas e evidência suficientes para revisão read-only; o
+verdict cobre cada `[req:]` antes do archive.
 
 ## Erros comuns e diagnóstico
 
 - `no change`: isso é exit 2 e estado ocioso válido; crie/use uma change ou não rode verify.
 - Zero/sensores ausentes: confira todas as tags na mesma linha e `sensors list`; várias tags na
   mesma tarefa são válidas e todas entram no gate.
-- Gate vermelho: corrija a causa e repita; não use `archive --force` por conta própria.
+- Gate vermelho: consulte o campo `note` limitado da entrada em `evidencia.json`, corrija a causa
+  e repita; não use `archive --force` por conta própria.
 - Verdict stale/ausente: regenere `--deep` e peça novo passe independente.
 - Mutantes sobreviventes: fortaleça o teste discriminante; após três rodadas, revise manualmente.
 

package/hooks/change-nag.mjs

@@ -13,6 +13,7 @@ import {
   profileSentinelId,
   resolveHookOperatingProfile,
 } from './operating-profile-runtime.mjs';
+import { consumeSessionTaskOperatingProfile } from './operating-profile-task-store.mjs';
 
 export function nagDecision(input, vaultBase, { profile = 'GOVERN' } = {}) {
   if (input && input.stop_hook_active) return null; // anti-loop: sempre primeiro
@@ -39,6 +40,13 @@ if (process.argv[1] && import.meta.url === pathToFileURL(process.argv[1]).href)
       : runtime.bindingError
         ? { decision: 'block', reason: profileRuntimeError(runtime.bindingError) }
         : nagDecision(input, runtime.vaultBase, { profile: runtime.profile });
+    if (!decision && runtime.taskLease?.state === 'active') {
+      consumeSessionTaskOperatingProfile(
+        runtime.vaultBase,
+        runtime.identity?.canonicalConversationId || input?.session_id || input?.sessionId || '',
+        runtime.taskLease.lease_id,
+      );
+    }
     writeHookOutput(decision || {});
   } catch {
     writeHookOutput({});

package/hooks/codex-rollout-meta.mjs

@@ -0,0 +1,112 @@
+import {
+  closeSync,
+  openSync,
+  readSync,
+} from 'node:fs';
+
+export const DEFAULT_CODEX_META_LINE_BYTES = 4 * 1024 * 1024;
+const READ_CHUNK_BYTES = 64 * 1024;
+
+function trimCarriageReturn(buffer) {
+  return buffer.length > 0 && buffer[buffer.length - 1] === 0x0d
+    ? buffer.subarray(0, buffer.length - 1)
+    : buffer;
+}
+
+// Codex writes session_meta as the first physical JSONL line. Read only that line: the
+// transcript body can be hundreds of MiB and is irrelevant to identity/discovery.
+export function readFirstJsonlLine(
+  path,
+  { maxBytes = DEFAULT_CODEX_META_LINE_BYTES } = {},
+) {
+  if (typeof path !== 'string' || !path) {
+    return { ok: false, reason: 'INVALID_PATH' };
+  }
+
+  const limit = Number(maxBytes);
+  if (!Number.isSafeInteger(limit) || limit <= 0) {
+    return { ok: false, reason: 'READ_ERROR' };
+  }
+
+  let fd;
+  try {
+    fd = openSync(path, 'r');
+    const parts = [];
+    let totalBytes = 0;
+
+    while (totalBytes <= limit) {
+      // The extra byte distinguishes an exactly-at-limit line followed by LF from a line
+      // whose content exceeds the limit.
+      const remaining = (limit + 1) - totalBytes;
+      const chunk = Buffer.allocUnsafe(Math.min(READ_CHUNK_BYTES, remaining));
+      const bytesRead = readSync(fd, chunk, 0, chunk.length, null);
+
+      if (bytesRead === 0) {
+        if (totalBytes === 0) return { ok: false, reason: 'EMPTY_FILE' };
+        const lineBuffer = trimCarriageReturn(Buffer.concat(parts, totalBytes));
+        return {
+          ok: true,
+          line: lineBuffer.toString('utf8'),
+          lineBytes: lineBuffer.length,
+        };
+      }
+
+      const bytes = chunk.subarray(0, bytesRead);
+      const newlineAt = bytes.indexOf(0x0a);
+      if (newlineAt !== -1) {
+        if (totalBytes + newlineAt > limit) {
+          return { ok: false, reason: 'LINE_TOO_LONG' };
+        }
+        parts.push(bytes.subarray(0, newlineAt));
+        const lineBuffer = trimCarriageReturn(Buffer.concat(parts, totalBytes + newlineAt));
+        if (lineBuffer.length === 0) return { ok: false, reason: 'EMPTY_FILE' };
+        return {
+          ok: true,
+          line: lineBuffer.toString('utf8'),
+          lineBytes: lineBuffer.length,
+        };
+      }
+
+      parts.push(bytes);
+      totalBytes += bytesRead;
+      if (totalBytes > limit) return { ok: false, reason: 'LINE_TOO_LONG' };
+    }
+
+    return { ok: false, reason: 'LINE_TOO_LONG' };
+  } catch {
+    return { ok: false, reason: 'READ_ERROR' };
+  } finally {
+    if (fd !== undefined) {
+      try { closeSync(fd); } catch { /* already closed */ }
+    }
+  }
+}
+
+export function readCodexRolloutMeta(
+  path,
+  { maxLineBytes = DEFAULT_CODEX_META_LINE_BYTES } = {},
+) {
+  const first = readFirstJsonlLine(path, { maxBytes: maxLineBytes });
+  if (!first.ok) return first;
+
+  let event;
+  try {
+    event = JSON.parse(first.line);
+  } catch {
+    return { ok: false, reason: 'INVALID_JSON' };
+  }
+
+  if (!event || typeof event !== 'object' || Array.isArray(event)
+    || event.type !== 'session_meta') {
+    return { ok: false, reason: 'NOT_SESSION_META' };
+  }
+  if (!event.payload || typeof event.payload !== 'object' || Array.isArray(event.payload)) {
+    return { ok: false, reason: 'INVALID_META' };
+  }
+
+  return {
+    ok: true,
+    meta: event.payload,
+    lineBytes: first.lineBytes,
+  };
+}