fix: scope compaction suppression to one run

# Conflicts:
#	web/workspace/deno.json

.gitignore

@@ -1,6 +1,7 @@
 /target
 /result
 /.direnv
-/.worktree
+/.yoi/dev
+.worktree
 *.local*
 .env

.yoi/.gitignore

@@ -1 +1,4 @@
 /memory/
+tickets/.ticket-backend.lock
+/workspace.db*
+tickets

.yoi/manifest.toml

@@ -1,30 +0,0 @@
-[scope]
-allow = [
-    { target = ".", permission = "write", recursive = true },
-]
-
-[session]
-record_event_trace = true
-
-[worker]
-reasoning = "high"
-
-[model]
-ref = "codex-oauth/gpt-5.5"
-
-[compaction]
-compact_threshold = 200000
-compact_request_threshold = 240000
-compact_worker_max_input_tokens = 100000
-
-[memory]
-extract_threshold = 50000
-
-consolidation_threshold_files = 5
-consolidation_threshold_bytes = 50000
-
-[web]
-enabled = true
-[web.search]
-provider = "brave"
-api_key_env = "BRAVE_SEARCH_API_KEY"

.yoi/objectives/00001KTNKDX3G/item.md

@@ -0,0 +1,60 @@
+---
+title: "E2E テスト戦略"
+state: "active"
+created_at: "2026-06-09T07:09:26Z"
+updated_at: "2026-06-09T07:09:26Z"
+linked_tickets: ["00001KSKBP9YG"]
+---
+
+## Goal
+
+Yoi の実プロセス・実 socket・実 provider 境界をまたぐ振る舞いを、通常の crate 内 unit / integration test だけに頼らず検証できる E2E テスト戦略を確立する。
+
+最初の到達点は、実 `pod` / product binary を spawn し、protocol 経由で最小シナリオを実行し、graceful shutdown まで確認できる opt-in E2E harness を持つこと。その上で、permission、resume/fork、spawned Pod、provider stream、TUI/Panel などの重要境界を段階的に増やせる状態にする。
+
+## Motivation / background
+
+現状のテストは crate 内の in-process coverage が厚い一方で、以下の性質は単体テストだけでは十分に確認しづらい。
+
+- 実プロセス spawn と runtime dir / socket / env の相互作用。
+- Pod controller / protocol client / session store / metadata / restore の統合挙動。
+- provider endpoint、streaming、auth/token、tool call、continuation、retry の実接続に近い振る舞い。
+- permission deny、scope、manifest/profile 解決、child Pod delegation など、複数 crate と実 runtime state をまたぐ policy。
+- TUI / Panel が前提にする Pod lifecycle や Ticket orchestration の外形。
+
+E2E は常時実行の軽いテストではなく、dogfooding 中に「この機能は実 runtime でも壊れていない」と確認するための opt-in 検証基盤として必要。
+
+## Strategy / design direction
+
+- E2E は通常の `cargo test --workspace` からは外し、明示 feature / 専用 package / 独立 job で opt-in 実行する。
+- まずはワークスペース直下の専用 E2E package / harness として設計し、個別 crate の unit test に押し込めない。
+- protocol を喋る側は TUI の PTY 操作ではなく、typed client / protocol client を使う方向を優先する。
+- provider 依存は最初から全部を対象にしない。
+  - 最小 harness では canned / fixture / mock HTTP server を使う。
+  - provider 差分は代表 provider から段階的に増やす。
+- env / runtime dir / socket path は test ごとに隔離し、並列実行方針を明示する。
+  - 必要なら最初は `--test-threads=1` 相当で安全側に倒す。
+  - 将来的には per-test runtime dir と typed launch config で並列性を上げる。
+- E2E は「全シナリオを大量に持つ」より、重要な runtime seam ごとに少数の高価値 scenario を置く。
+- 失敗時 diagnostics は、secret を出さずに process phase、socket path、session id、log path、provider fixture id を辿れる形にする。
+- E2E harness 自体が flaky にならないよう、network / time / external auth への依存は明示 opt-in に分ける。
+
+## Success criteria / exit conditions
+
+- `cargo test --workspace` では E2E が走らず、通常開発の feedback loop を重くしない。
+- 明示コマンドで E2E harness を実行できる。
+  - 例: `cargo test -p e2e --features e2e` または後続で決める同等コマンド。
+- 最小 scenario が実 `pod` / product binary を spawn し、protocol 経由で 1 turn 実行し、graceful shutdown まで通る。
+- E2E 実行は専用 runtime/data dir を使い、通常の user/workspace state を汚さない。
+- fixture / mock provider の設計があり、少なくとも 1 provider 相当の canned response を実 HTTP 経由で返せる。
+- failure diagnostics から、spawn 失敗・socket 接続失敗・provider fixture 失敗・protocol 失敗・shutdown 失敗を区別できる。
+- 後続 Ticket が permission / resume / fork / spawned Pod / provider streaming / Panel などを追加できる harness boundary がある。
+
+## Decision context
+
+- linked Ticket `00001KSKBP9YG` は、E2E harness の最初の concrete implementation Ticket として扱う。
+- この Objective は E2E 全体の中長期方針・判断軸を保持する。個別 scenario の実装や harness の細部は concrete Ticket に分ける。
+- TUI を直接 PTY で叩く方針は初期 harness では避け、protocol/client 経由を優先する。
+- provider 全対応は初期 scope にしない。fixture / mock HTTP server を基礎にし、代表 provider から段階的に広げる。
+- E2E は flakiness と実行コストが高いため、既定 CI / 既定 workspace test には入れず、opt-in 検証として始める。
+- Objective context は判断材料であり、実装 authority は各 Ticket の body/thread/artifacts と明示的な Ticket relation / OrchestrationPlan に置く。

.yoi/objectives/00001KTR7MZWH/item.md

@@ -0,0 +1,73 @@
+---
+title: "ネイティブGUIアプリケーション"
+state: "active"
+created_at: "2026-06-10T07:41:18Z"
+updated_at: "2026-07-15T21:18:00Z"
+linked_tickets: []
+---
+
+## Goal
+
+Yoi の Pod / Ticket / Orchestrator / Skill・prompt resource 操作を、TUI だけでなくネイティブ GUI から扱えるようにする。
+
+最初の到達点は、既存の runtime / Ticket backend / Pod protocol / Profile / Skill/prompt resource authority を再実装せずに、workspace の状態を視覚的に把握し、選択した Pod・Ticket・role action に対して安全に操作できる desktop GUI client を持つこと。GUI は core authority ではなく client surface とし、既存 CLI/TUI と同じ durable state・同じ protocol・同じ permission/prompt/resource 境界を使う。
+
+## Motivation / background
+
+現在の TUI / Panel は dogfooding 可能な状態まで進んでいるが、複数 Pod・複数 Ticket・Orchestrator 状態・session output・role launch・review/merge dossier を同時に扱うには、terminal UI の表示密度・視覚的状態表現・スクロール/選択/比較操作に限界が出ている。
+
+ネイティブ GUI があると、以下をより自然に扱える。
+
+- live / stored Pod、Ticket lane、Orchestrator progress、Companion/Intake 状態の同時表示。
+- Ticket body/thread/artifacts、Pod output、validation evidence、diff/report の並列閲覧。
+- composer target、role action、queue/routing/attach/restore の明確な affordance。
+- long-running orchestration の通知、状態変化、失敗診断の視覚化。
+- 将来的な review / merge-ready dossier / plan board / settings editor の専用 UI。
+
+一方で、GUI を理由に runtime authority を分散させたり、Ticket/Pod state を独自 DB として二重管理したり、prompt/resource 文字列を GUI code に直書きしたりしてはいけない。
+
+## Strategy / design direction
+
+- GUI は Yoi core の上に乗る client として作る。
+  - Pod lifecycle、session/history、Ticket storage、Profile resolution、resource/prompt authority は既存 core を正とする。
+  - GUI 固有 state は selection、layout、local UI preference などに限定する。
+- 最初に toolkit / architecture の小さな spike を置く。
+  - 評価軸は Rust code reuse、async/runtime 統合、native packaging、Linux dogfooding しやすさ、testability、accessibility、long-running log/output 表示、将来の cross-platform 余地。
+  - toolkit 選定は Objective では固定しない。候補比較と採用理由を Ticket に残す。
+- 実装は段階的に進める。
+  1. read-only workspace dashboard: Pod / Ticket / Orchestrator 状態を既存 backend から表示する。
+  2. attach / restore / open など、既存 protocol に乗る低リスク操作を追加する。
+  3. composer と role action: Companion / Intake / Orchestrator / coder / reviewer launch を既存 launcher 経由で扱う。
+  4. Ticket body/thread/artifacts、Pod output、validation evidence、review report を閲覧しやすくする。
+  5. 必要に応じて settings/profile/config editor や merge-ready dossier UI を追加する。
+- TUI は廃止前提にしない。
+  - GUI 導入後も CLI/TUI は fallback / automation / terminal-first operation flow として維持する。
+  - GUI で見つかった state model の改善は、TUI と共有できる pure data model / client API に寄せる。
+- Prompt / resource / role guidance は GUI code に直書きしない。
+  - LLM-facing prompt は `resources/prompts` または `.yoi/skills` / configured resources を正とする。
+  - GUI は prompt 文言を所有せず、選択・起動・runtime context の入力面を担当する。
+- Security / privacy / authority boundary を保つ。
+  - secret-like data は UI diagnostics / logs / model context に漏らさない。
+  - permission / scope / profile の authority は既存 resolver/policy に従う。
+  - GUI convenience action は durable Ticket/Pod state transition と対応付け、暗黙の side effect を避ける。
+
+## Success criteria / exit conditions
+
+- 明示コマンドまたは binary で native GUI を起動できる。
+- GUI は既存 workspace config、Profile、Ticket backend、Pod registry/protocol を使い、独自の authority store を持たない。
+- 最小 dashboard で live/stored Pod、Ticket lane/state、Orchestrator/role session の概況を確認できる。
+- GUI から少なくとも attach/restore/open 相当の安全な Pod 操作ができる。
+- GUI から Ticket Intake または既存 role launcher を使った role action を実行でき、既存の prompt/resource 境界を壊さない。
+- Pod output / Ticket body/thread/artifacts を、TUI より見通しよく閲覧できる最小 UI がある。
+- GUI 固有 state と core durable state の境界が文書化されている。
+- toolkit / architecture 選定理由、採用しなかった選択肢、packaging 方針が Ticket artifact または design note として残っている。
+- GUI で使う state transformation / action eligibility は pure model として test 可能で、主要な selection/action state の unit test がある。
+- GUI 実装は CLI/TUI の既存 operation flow を破壊せず、必要な targeted validation が定義されている。
+
+## Decision context
+
+- この Objective は中長期の方向性・判断軸を保持する。具体的な toolkit 選定、crate 構成、初期 dashboard 実装、role action 実装、packaging は個別 Ticket に分ける。
+- GUI は TUI の単純な置換ではなく、複数 Pod / Ticket / Orchestrator を扱う workspace cockpit として設計する。
+- authority は既存 core に残す。GUI は client/view/controller surface であり、Pod/Ticket/resource/prompt の正本を所有しない。
+- Prompt 直書き禁止方針を守る。GUI 実装中に LLM-facing 文言が必要になった場合は、`resources/prompts` または Skill/resource 側に置く。
+- 初期 target は dogfooding しやすい desktop GUI とし、public release / cross-platform polish / installer は後続段階で扱う。

.yoi/objectives/00001KTR80WMN/item.md

@@ -0,0 +1,111 @@
+---
+title: 'MCP local stdio integration roadmap'
+state: 'active'
+created_at: '2026-06-10T07:48:45Z'
+updated_at: '2026-06-20T05:34:00Z'
+linked_tickets: ['00001KTR81P9X', '00001KV0SP0TY', '00001KVHR3WRF', '00001KVHR3WRY', '00001KVHR3WS6', '00001KVHR3WSD', '00001KVHR3WSN', '00001KVHR3WSW']
+---
+
+## Goal
+
+Add MCP local stdio integration to Yoi without weakening Worker history, prompt-context, scoped tool permission, or Plugin/Feature layering invariants.
+
+MCP is a protocol-backed integration layer on top of `pod::feature`. `pod::feature` supplies contribution/lifecycle/runtime-discovered registration substrate; MCP owns its own enablement, local server trust model, command/env/secret policy, and MCP-specific permission decisions. MCP is not the Plugin model, and Plugin permission policy is not implemented by feature-layer authority grants.
+
+## Motivation / background
+
+Yoi needs to integrate with external capability providers without turning them into hidden context sources or bypassing ordinary Tool/Worker safety rules. MCP is useful because it can expose tools, resources, and prompts from local protocol servers, but those server-provided declarations and results are untrusted and must be normalized through Yoi's existing authority boundaries.
+
+The first MCP slice should focus on local stdio servers because they are concrete enough to implement and debug while keeping remote auth, OAuth, Streamable HTTP, registry distribution, sampling, and elicitation out of the initial trust boundary.
+
+A configured local MCP server runs as a local executable. Yoi feature authority does not sandbox that executable's OS-level side effects, so command/env/secret handling and explicit local trust policy are MCP-layer responsibilities rather than generic `pod::feature` grants.
+
+## Strategy / design direction
+
+- Baseline the initial implementation on MCP specification `2025-11-25`.
+- Start with local stdio MCP servers only.
+- Treat MCP server metadata, tools, resources, prompts, and results as untrusted content.
+- Do not allow MCP resources/prompts to become hidden context injection.
+  - They must be explicit tool operations with history records.
+- Use the normal Yoi ToolRegistry, PreToolCall permission, history, and bounded result paths.
+- Do not add private MCP-only bypasses around Worker/tool invariants.
+- Keep sampling and elicitation fail-closed initially.
+- Keep Streamable HTTP, remote auth, OAuth, and MCP Registry/distribution out of the first slice.
+- Treat local stdio server execution as an explicit MCP config/trust decision, not as a `pod::feature` authority grant.
+- Document clearly that a configured local MCP server runs as a local executable; Yoi feature authority does not sandbox its OS-level side effects.
+
+### Layering decisions
+
+- `pod::feature` is an API/contribution substrate.
+  - It owns contribution declarations, provider/service lifecycle hooks, diagnostics, runtime-discovered registration plumbing, and integration with normal Worker/ToolRegistry paths.
+  - It does not own Plugin permission policy or MCP server trust policy.
+- Plugin is a user-facing package/config/runtime layer over `pod::feature`.
+  - Plugin permissions are Plugin-layer policy.
+  - Plugin package discovery/enablement must not be conflated with MCP local server execution.
+- MCP is a separate feature-backed integration layer.
+  - MCP enablement, command/env/secret handling, server trust, and MCP-specific permission decisions live in MCP config/implementation.
+  - MCP provider-discovered tools/resources/prompts are exposed through the feature API and ordinary Yoi tool paths.
+
+### Concrete implementation tickets
+
+Completed prerequisites:
+
+- `00001KTR81P9X` — Extend `pod::feature` API for external protocol-backed capability providers.
+- `00001KV0SP0TY` — Remove feature-layer HostAuthority model.
+
+Concrete MCP implementation sequence:
+
+1. `00001KVHR3WRF` — MCP local stdio server config and trust policy.
+   - explicit config, command/env/secret redaction, local executable trust boundary, no auto-start.
+2. `00001KVHR3WRY` — MCP stdio JSON-RPC lifecycle client.
+   - subprocess lifecycle, initialize/capability negotiation, diagnostics, shutdown.
+3. `00001KVHR3WS6` — MCP tools/list registration into ToolRegistry.
+   - provider-discovered tools, stable namespacing, schema validation, untrusted metadata normalization, no tools/call yet.
+4. `00001KVHR3WSD` — MCP tools/call execution through ordinary Tool path.
+   - PreToolCall gate before server call, bounded result serialization, history path.
+5. `00001KVHR3WSN` — MCP resources/prompts as explicit tool operations.
+   - resources/list/read and prompts/list/get without hidden context injection.
+6. `00001KVHR3WSW` — MCP list_changed notification handling.
+   - deterministic safe refresh/diagnostic behavior without breaking tool schema or prompt-cache invariants.
+
+The old broad implementation Ticket `00001KTR82RB7` is superseded by this sequence and should not be used as an implementation work item.
+
+### Terminology
+
+Use `runtime-discovered` or `provider-discovered` for MCP tools/resources/prompts discovered from `tools/list`, `resources/list`, or `prompts/list`. Avoid `dynamic tools` / `dynamic registry` in new MCP design prose because those phrases imply that model-visible tool schemas may change during an active LLM run.
+
+The intended invariant is:
+
+```text
+provider-discovered at startup / provider initialization;
+registered into the ordinary ToolRegistry before model exposure;
+run-stable for the duration of a model request/run;
+refreshed only at a safe boundary or reported as a diagnostic.
+```
+
+### Later follow-ups
+
+- Richer MCP task/task-support integration if ordinary tool-call fallback is insufficient.
+- Streamable HTTP transport.
+- OAuth / remote auth.
+- Registry/package distribution.
+- Explicit MCP/Plugin bridge only if separately approved; do not conflate Plugin packages with MCP local server execution.
+
+## Success criteria / exit conditions
+
+- A local mock MCP server can be configured explicitly and initialized.
+- Discovered MCP tools appear as ordinary Yoi tools with stable namespacing.
+- Tool calls go through ordinary permission and history paths.
+- MCP resources/prompts are explicit operations, not hidden context injections.
+- MCP result forms are bounded and safely serialized.
+- Secret values, command/env details, and server diagnostics are redacted where required.
+- Local server trust boundary is documented: Yoi does not sandbox the configured executable through feature authority.
+- Feature, Plugin, and MCP permission/trust responsibilities are documented as separate layers.
+
+## Decision context
+
+- MCP is not the Plugin model; it is a protocol-backed integration layer using `pod::feature` substrate.
+- `pod::feature` should provide contribution/lifecycle/runtime-discovered registration plumbing, not MCP server trust policy or Plugin package permission policy.
+- MCP resources and prompts must never be hidden context injection. They are explicit operations recorded through ordinary history/tool paths.
+- Provider-discovered tools are discovered at startup/provider initialization and registered before model exposure; model-visible schemas remain run-stable during a request/run.
+- Local stdio server execution is a user/config trust decision. Yoi does not sandbox the local executable merely because it is configured through MCP.

.yoi/objectives/00001KVG0HR9M/item.md

@@ -0,0 +1,101 @@
+---
+title: "Plugin platform roadmap"
+state: "active"
+created_at: "2026-06-19T13:18:58Z"
+updated_at: "2026-06-24T19:55:00Z"
+linked_tickets: ["00001KV5R5V2S", "00001KV5W3PHA", "00001KV5W3PHW", "00001KV5W3PJ3", "00001KVFD3YSV", "00001KVFDX9AF", "00001KVFDX9AY", "00001KVG0HR96", "00001KVXHVCR5", "00001KVXK0WD3", "00001KVXK0WDH", "00001KVXK0WDQ", "00001KVXK0WDX", "00001KVXK0WE4", "00001KVXK0WEA"]
+---
+
+## Goal
+
+Build Yoi's Plugin platform as a coherent extension system: packages are discovered and inspected safely, enabled explicitly, registered through typed Plugin surfaces, executed in a sandboxed runtime, constrained by Plugin-layer grants, and authored through SDK/templates rather than raw runtime ABI details.
+
+The long-term platform goal is not merely to run Wasm. It is to make Plugin packages a durable, inspectable, permissioned, and authorable extension layer for Tools first, then host APIs (`https`, `fs`), and later Service / Ingress surfaces when concrete needs justify them.
+
+## Motivation / background
+
+The current Plugin foundation is already substantial:
+
+- package discovery and explicit enablement resolver;
+- Tool surface registration through the ordinary ToolRegistry/model-visible schema path;
+- minimal sandboxed WASM Tool execution;
+- Plugin permission grant enforcement;
+- follow-up Tickets for read-only inspection CLI, `https`, `fs`, and Component Model migration.
+
+The remaining work must be kept as one roadmap because the pieces constrain each other:
+
+- Plugin authoring needs an SDK/PDK and examples, not raw pointer/length Wasm ABI hand-coding.
+- `https` and `fs` host APIs must be grant-gated and shaped so they can move cleanly to typed Component Model interfaces.
+- Diagnostics (`yoi plugin list/show`) are needed before the system becomes harder to debug.
+- Component Model adoption should guide new host API design before a custom raw ABI becomes entrenched.
+- Service / Ingress are useful for bridge-style integrations, but should come after Tool runtime, diagnostics, and host API policy are stable.
+
+Research of common Wasm extension systems points to the same pattern: mature systems combine a package manifest, explicit capabilities, a sandbox runtime, host-provided capability APIs, language SDK/PDK bindings, templates/examples, inspection/check tooling, and versioned interfaces.
+
+## Strategy / design direction
+
+- Keep Plugin as a user-facing package/config/runtime layer above lower-level `pod::feature` substrate.
+  - `pod::feature` provides contribution/registration substrate.
+  - Plugin owns package discovery, enablement, grant policy, runtime selection, authoring UX, and user-facing diagnostics.
+- Preserve authority boundaries.
+  - Package discovery is read-only inventory.
+  - Package presence never registers a Tool/Hook, executes Wasm, starts a Service, reads files, opens network, or injects context.
+  - Explicit enablement and Plugin grants are required before registration/execution/host API use.
+  - Tool calls/results continue through ordinary ToolRegistry and Worker history paths.
+- Treat Component Model as the active Plugin runtime shape before public release.
+  - New typed Plugin host APIs should be designed in WIT-compatible terms.
+  - `runtime.kind = "wasm-component"` is the current Plugin runtime authority for new work.
+  - The earlier `yoi-plugin-wasm-1` raw core-Wasm compatibility bridge is retired from the active roadmap because Plugin has not been publicly released and compatibility would preserve the wrong boundary.
+- Sequence the platform in usable layers:
+  1. Package discovery / explicit enablement / digest-pinned restore. Completed foundation.
+  2. Tool surface registration. Completed foundation.
+  3. Minimal WASM Tool execution. Completed foundation.
+  4. Permission grants. Completed foundation.
+  5. Read-only Plugin CLI inspection (`yoi plugin list/show`) for debugging discovery/enablement/grants/runtime metadata.
+  6. `https` and `fs` host APIs for Tool Plugins, grant-gated and WIT-compatible.
+  7. Remove the raw core-Wasm compatibility bridge and reject legacy runtime manifests.
+  8. Component Model runtime and authoring model become the only active Plugin runtime path.
+  9. Guest SDK/PDK, examples, `check`/`pack`/`new` authoring tooling target Component Model only.
+  10. Service / Ingress runtime is developed as host-managed lifecycle, event queue, output command, and diagnostics slices.
+  11. WebSocket support for long-lived integrations is host-owned connection driver + ingress event delivery + output command, not Plugin-owned polling with `recv(timeout)`.
+- Keep Discord-style bridge goals split into two stages.
+  - Outbound Discord/webhook Tool is possible after `https`.
+  - Bidirectional Discord bridge requires Service + Ingress + WebSocket or inbound HTTP and host routing policy.
+
+## Current implementation split
+
+The broad Plugin runtime redesign is tracked by `00001KVXHVCR5` as context only; implementation should proceed through concrete Tickets instead of routing that umbrella as a single coding task.
+
+1. `00001KVXK0WD3` Remove legacy raw WASM Plugin runtime.
+   - Deletes the active `LegacyToolAdapter` / raw-Wasm execution path.
+2. `00001KVXK0WDH` Reject legacy Plugin runtime in manifest and CLI diagnostics.
+   - Makes `plugin.toml`, `yoi plugin check/list/show`, docs, and fixtures reflect Component Model only runtime authority.
+3. `00001KVXK0WDQ` Define Plugin Service lifecycle and ingress queue runtime.
+   - Adds host-managed lifecycle, bounded queue, serial dispatch, backpressure, timeout, and diagnostics.
+4. `00001KVXK0WDX` Add Plugin service output command model.
+   - Lets service handlers request side effects as grant-checked commands rather than ambient authority.
+5. `00001KVXK0WE4` Add host-owned WebSocket driver for Plugin services.
+   - Converts incoming WS frames into ingress events and sends outbound frames through output commands.
+6. `00001KVXK0WEA` Update Plugin WIT PDK templates for service event runtime.
+   - Aligns authoring API, WIT, PDK, templates, and docs with the new event/command execution model.
+
+## Success criteria / exit conditions
+
+- Users can inspect Plugin discovery/enablement/grant/runtime state through a read-only CLI without executing Plugin code.
+- Plugin authors can build a Tool Plugin without writing raw memory/pointer ABI plumbing.
+- Tool Plugins can safely call grant-gated `https` and `fs` host APIs.
+- Component Model is the only active Plugin runtime path, with WIT-compatible host API types and measured packaging/runtime impact.
+- Plugin grants remain authoritative over registration, execution, and host API calls.
+- Plugin diagnostics explain missing package, invalid manifest, digest/version mismatch, missing grant, rejected schema, runtime mismatch, legacy runtime rejection, and unsupported host API cases safely.
+- Raw core-Wasm Plugin compatibility is removed before public release; tests and docs no longer treat it as a current runtime.
+- Documentation covers package format, Component Model runtime, host API authority, authoring SDK/templates, Service/Ingress event runtime, and operational debugging.
+- Service/Ingress work is host-managed: services have lifecycle/status, ingress uses bounded queues, side effects are output commands, and WebSocket integrations use host-owned connection drivers.
+
+## Decision context
+
+- This Objective is roadmap context, not Ticket authority. Implementation still requires reading concrete Ticket bodies, threads, artifacts, and relations.
+- Component Model direction supersedes Yoi's custom raw ABI as both long-term and current active Plugin runtime authority before public release.
+- `https` / `fs` work should avoid choices that conflict with later WIT typed interfaces.
+- Guest SDK work targets Component Model directly; raw ABI wrappers are not a supported transitional authoring path.
+- Plugin and MCP remain separate. Component Model adoption for Plugin does not imply MCP server execution, MCP prompt/resource injection, or MCP trust policy changes.
+- Plugin surfaces remain Tool / Hook / Service / Ingress; outbound side effects are Tool metadata and host API grants, not a separate surface.

.yoi/objectives/00001KVJPT2PP/item.md

@@ -0,0 +1,287 @@
+---
+title: "Team workspace control plane and runtime architecture"
+state: "active"
+created_at: "2026-06-20T14:26:29Z"
+updated_at: "2026-07-15T21:18:00Z"
+linked_tickets: ["00001KVMFFYVX", "00001KWMBAA6V"]
+---
+
+## Goal
+
+Yoi を、単一のローカル開発ディレクトリで動くエージェント実行ツールから、チームで作業・判断・実行結果を管理できるワークスペース基盤へ発展させる。
+
+この Objective の中心は、Web から扱える管理システムを作り、その管理システムにローカル Runtime・リモート Runtime・将来のクラウド Runtime を接続できるようにすることである。管理システムは Ticket、Objective、Memory、Skill catalog、Artifact、Policy、Actor、Repository、Runtime state の正本を持つ。Runtime はその管理システムから Worker launch request / config bundle / repository target / authority を受け取り、作業環境を用意して Worker を実行し、結果・イベント・証跡を返す。
+
+この Objective は Git ホスティングサービスを作るものではない。Git は重要な Repository provider として扱うが、Yoi の Workspace は Git Repository root と同じものにしない。Yoi が作るべきものは、コード・ドキュメント・データ・成果物などの Repository と Runtime を接続しながら、人間とエージェントの作業、Ticket lifecycle、Memory、Skill catalog、検証証跡、実行環境配置を管理するチームワークスペースである。
+
+## Glossary
+
+この Objective では、以下の語をこの意味で使う。
+
+- Workspace: チームまたはプロジェクトの管理単位。Ticket、Objective、Memory、Skill catalog、Artifact、Policy、Actor、Repository、Runtime state を持つ。Git Repository root ではない。
+- Control plane: Workspace の正本を持ち、Web UI / API / CLI から操作される管理システム。
+- Runtime: Worker 群を束ねる実行基盤。Worker lifecycle、sandbox、mount、cache、checkout/worktree/container filesystem などの working directory materialization、event/control plane を管理する。将来的には 1 つの Runtime が複数 Workspace / Repository の Worker を抱えられる。
+- Worker: Runtime が管理する 1 つの agent/session/process。Runtime が用意した working directory と authority の中で動く。
+- Repository: Workspace に接続される source/storage。コード、ドキュメント、local directory、object storage、artifact store、dataset などを含む。Git Repository も Repository の一種であり、基本的には filesystem path ではなく URI / URL で識別する。
+- RepositoryId: Workspace 内でどの Repository を対象にするかを指す安定 identifier。Git hash、branch、path ではない。
+- Repository provider: Repository の種類ごとの実装。Git、local filesystem、object store、artifact store、将来の non-Git VCS など。
+- RepositorySelector: Repository provider に渡す未解決の地点指定。branch/tag/PR/revspec/bookmark/revset/path@revision/object version/latest など provider-specific な symbolic / mutable / query-like locator であり、それ自体は再現性の authority ではない。
+- RepositoryPoint: RepositorySelector をある時点で解決した具体地点。Git commit/tree、Mercurial changeset、SVN revision、object store version/manifest digest、file snapshot など provider ごとの immutable / reproducible point を表し、Artifact/evidence に残す。
+- working directory: Runtime が Worker のために作る作業環境。1 つ以上の RepositoryPoint から materialize される作業用ディレクトリ、container filesystem、sandbox mount の集合であり、Git worktree、clone、sparse checkout などはこれを作る手段である。Browser-facing UI/API では product `Workspace` と混同しないよう、この呼称に寄せる。`Volume` は storage backing の候補名に留め、作業領域そのものの呼称にはしない。
+- Ticket: チームで扱う作業単位。目的、要件、判断、議論、完了条件、関係、証跡を持つ。
+- Objective: 複数の Ticket を束ねる長期目標や設計方針。
+- Artifact: Ticket や Worker 実行に紐づく成果物や証跡。diff、log、validation result、review result、report など。
+- Memory: エージェントやユーザーが再利用するための要約された文脈。Ticket や Artifact の正本ではない。
+- Skill catalog: `.yoi/skills` / builtin skills から Workspace backend が解決する procedural guidance catalog。外部状態 authority は持たず、Ticket / Worker / workdir などの操作は typed feature/tool surface が担う。
+- Actor: 人間、エージェント、システム、外部サービスなど、Workspace 上で操作や発言を行う主体。
+
+## Motivation / background
+
+現在の Yoi は、ローカルの `.yoi` ディレクトリ、ローカルプロセス、Ticket ファイル、ワークツリー運用によって、自分自身の開発に使えるエージェント実行環境になっている。しかし、チーム利用、Web UI、リモート実行、クラウド実行、最終的な SaaS 提供を考えると、次の前提を変える必要がある。
+
+- Workspace を Git Repository root と同一視しない。
+- ローカル filesystem 上の `.yoi` を、長期的なチーム用正本 store にしない。
+- Ticket をローカル作業メモではなく、チームの作業調整 record にする。
+- 実行証跡は Ticket thread、Artifact、WorkerRef snapshot、Runtime event として扱い、独立した実行単位概念を先に増やさない。
+- 管理システムと Runtime を分ける。
+- まず Web から Ticket、Objective、Memory、Skill catalog、Artifact、Runtime / Worker state を見られるようにする。
+- 最初はローカル Runtime を使い、後でリモート Runtime、クラウド Runtime、runtime pool、resource allocation、quota、billing、sandboxing に拡張する。
+- Git ホスティング機能を取り込むのではなく、Git Repository / worktree / clone は Repository provider と working directory materialization の手段として扱う。
+
+OSS として Control plane、Runtime、Web frontend、protocol を公開しつつ、managed service では hosted control plane、runtime fleet、リソース柔軟性、team auth、backup、audit、availability、multi-tenant operations で価値を出す。
+
+## Strategy / design direction
+
+### 1. Control plane を先に作る
+
+Team Workspace の正本は server-side control plane に置く。`.yoi` は local backend、single-user/self-hosted compatibility、offline/export/import、local projection、migration bridge として残せるが、multi-user SaaS の正本とはみなさない。
+
+Control plane は Ticket、Objective、Memory、Skill catalog、Artifact、Actor、Permission、Audit、Repository、Runtime / Worker state を管理する。Web UI、CLI、TUI、将来の desktop client は、この Control plane を操作する client であり、別の正本 store を持たない。
+
+### 2. Workspace と Repository を同一視しない
+
+Workspace はチームまたはプロジェクトの作業管理単位である。Repository は Workspace に接続される source/storage である。Git Repository は Repository の一種にすぎない。
+
+1 つの Workspace は複数の Repository を持てる。Repository は filesystem path ではなく URI / URL で識別する。例として `git+https://...`、`file://...`、`s3://...`、`artifact://...`、将来の VCS provider URI などを扱えるようにする。
+
+Ticket と Objective は Repository 配下に置かず、Workspace 配下に平たく持つ。Ticket は必要に応じて対象 RepositoryId、RepositorySelector、path scope、必要 capability を持つ。Objective は複数 Ticket にまたがる target default / scope hint を持てるが、Repository の所有物にはしない。
+
+RepositorySelector は Git branch/tag の抽象化ではない。Selector は provider-specific な未解決 locator であり、Git provider なら branch/tag/ref/revspec/PR/commit、Mercurial provider なら bookmark/revset/changeset、SVN provider なら path/revision、object store provider なら prefix/version/latest などを解釈する。実行時には Control plane または Repository provider が Selector を RepositoryPoint に解決し、Runtime はその RepositoryPoint を materialize する。
+
+Worker launch request は Ticket の target selector を concrete RepositoryPoint に解決し、その RepositoryPoint から Runtime が working directory を materialize する。Git worktree 相当の機能は、この working directory を作るための実装戦略として扱う。
+
+Backend は cwd や `--workspace` を暗黙の Repository として扱わない。`--workspace` は当面 workspace config root / local descriptor root を指すだけであり、Repository registry は明示設定された Workspace config から構築する。短期的には `.yoi/workspace-backend.local.toml` の `[[repositories]]` を local descriptor として使い、`uri = "."` のような local repository も明示 entry として登録する。`./` を暗黙 Repository として自動採用しない。
+
+`.yoi` は現在の local backend / fs-store / compatibility surface として残るが、long-term Backend store ではない。将来的には `~/.yoi` 側に Backend store と Workspace registry を置き、1 Backend process が複数 Workspace を扱える形へ移行する。`.yoi/workspace-backend.local.toml` はその移行までの workspace-local descriptor / override surface として扱う。
+
+短期的には Git を主な Repository provider とする。ただし Yoi の authority model を Git object、Git branch、Git Repository root、worktree path に固定しない。Orchestration は Git そのものではなく、`resolve_ref`、`materialize`、`diff`、`patch`、`commit`、`merge` などの Repository capability に依存する。
+
+### 3. Ticket を team coordination record にする
+
+Ticket は実行そのものではない。Ticket は「何を、なぜ、どの条件で完了とみなすか」を持つ。Ticket は Workspace に平たく所属し、Repository には所属しない。コードやドキュメントを対象にする Ticket は、対象 Repository / ref selector / path / intent を target として持つ。
+
+Ticket target は intent/selector であり、実行再現性のための immutable point ではない。Worker launch request が target selector を concrete RepositoryPoint に解決し、Runtime が実際にどの revision/snapshot を materialize したかを Artifact / evidence として記録する。
+
+```text
+Ticket
+  -> target selectors: Repository + ref selector + path + intent
+  -> resolved RepositoryPoint
+  -> working directory
+  -> WorkerRef / Artifact / Evidence
+  -> Review / Decision
+  -> Audit / Notification
+```
+
+Target 例:
+
+```text
+Ticket targets:
+  - repository: main-code
+    role: primary
+    ref: develop
+    paths: ["crates/pod/"]
+    intent: change
+  - repository: docs
+    role: related
+    ref: main
+    paths: ["docs/development/"]
+    intent: read
+
+Worker launch materialization:
+  - repository: main-code
+    requested_ref: develop
+    resolved_point: git commit abc123
+    mount: /workspace/main-code
+```
+
+Ticket には次の概念が必要になる。
+
+- Actor identity: human / agent / system / service account.
+- Assignment / owner / reviewer / watcher.
+- Typed thread events: comment, decision, plan, review, implementation report, state transition.
+- Linked Objective / Artifact / WorkerRef / Repository / RepositoryPoint / working directory.
+- Permission / visibility.
+- Audit trail.
+- Notification / mention.
+- Board / queue / planning / review / done / archived views.
+- Conflict handling and concurrent editing policy.
+
+### 4. Memory / Skill catalog の本格再設計は後回しにする
+
+Memory は Ticket / Artifact のコピーではない。再利用可能な文脈、方針、学習された制約を扱うが、Ticket や Artifact の authority を置き換えない。Skill catalog は procedural guidance の catalog であり、外部状態 authority を持たない。Knowledge record kind は削除方針なので、この Objective では separate Knowledge storage を新しい control plane entity として増やさない。
+
+理由は、Memory と Skill catalog の正しい設計が Workspace control plane の record model、Actor / visibility / permission、Ticket、Artifact / evidence、RepositoryPoint、Runtime に渡す context の監査方法に依存するためである。これらが固まる前に Memory schema や Skill API だけを作ると、local `.yoi` 前提や現行 agent runtime 前提に引っ張られ、後で再設計が必要になる。
+
+この Objective では、Memory / Skill catalog について以下の platform contract だけを維持する。
+
+- Memory は Control plane が扱う record だが、Ticket / Artifact の authority を置き換えない。
+- Skill catalog は Workspace backend が扱う prompt/resource catalog だが、Ticket / Worker / workdir / queue の authority を持たない。
+- 将来、Memory と Skill catalog の canonical storage / API は Workspace control plane 側に置く。
+- local `.yoi` memory と `.yoi/skills` は compatibility、offline/export/import、local projection、migration bridge として扱う。
+- Personal Memory、Workspace Memory、Worker Summary、Skill catalog は分離が必要である。
+- Generated Memory には provenance、visibility、approval、audit が必要である。
+- Runtime / Worker に渡した Memory / Skill context は、将来 ContextPack などとして Artifact/evidence に記録できる必要がある。
+
+本格的な Memory 再設計は、Memory の保存先を Workspace backend / control plane record に移すタイミングで回収する。それまでは低リスクな観察、問題例の収集、既存 local memory の互換維持に留める。
+
+### 5. Control plane / Runtime を分離する
+
+Control plane は正本と調整を持つ。Runtime は Worker 群と実行基盤を管理する。初期実装では local backend と runtime process が同じマシン上にあり、役割が近く見えるが、設計上は分ける。
+
+初期形:
+
+```text
+Web UI / Control Plane
+  -> Runtime registry / local backend
+  -> Runtime process
+  -> Workers
+  -> Existing Yoi tools, working copy, build/test commands
+```
+
+この段階では、現在ローカル管理画面が行っている Ticket 選択、エージェント起動、レビュー起動、作業用 checkout 作成、検証実行、結果表示を、Web/control plane から local Runtime に対して実行できるようにする。
+
+長期的には Runtime が作業環境の用意まで請け負う。Runtime は Worker launch request / config bundle / repository target / authority を受け取り、必要な checkout、worktree、container filesystem、sandbox mount、cache、secret boundary を準備して Worker を起動する。Runtime 起動時に特定 Workspace path を必須にする形は暫定であり、Workspace / Repository 情報は Runtime process 起動引数ではなく Worker launch request 側の入力に寄せる。
+
+Sandbox と authority 分離が成立している前提では、1 つの Runtime が複数 Workspace / Repository の Worker を抱えられる。したがって Runtime identity は Git repository root や single workspace directory と同一視しない。Runtime は execution substrate、Workspace は作業管理 record の正本として扱う。
+
+Worker の作業環境を用意する経路は次のようにまとめる。
+
+```text
+Ticket / user intent
+  -> RepositoryId + RepositorySelector + path scope + required authority
+  -> resolved RepositoryPoint
+  -> WorkerLaunchRequest / ConfigBundle / AuthorityBundle
+  -> Runtime WorkingDirectoryMaterializer
+  -> working directory allocation
+  -> Worker process
+  -> WorkerRef + Artifact/evidence
+```
+
+Control plane は Workspace authority、Ticket target、Repository registry、Actor permission、設定 bundle の正本を持つ。Control plane または Repository provider は RepositorySelector を RepositoryPoint に解決し、どの地点を対象にしたかを evidence に残す。Runtime は RepositoryPoint、materialization policy、sandbox policy、mount/cache/secret policy、Worker config を受け取り、Runtime-local な working directory を確保して Worker を起動する。
+
+この境界では、Worker は host filesystem path や Repository credential を自分で発見しない。Worker は Runtime が materialize した working directory root、mount、環境変数、tool authority、config bundle だけを見る。Runtime は working directory の lifecycle、cleanup、cache reuse、namespace、quota、sandbox boundary、event collection を管理する。Control plane / Browser-facing API は raw host path、secret、socket、internal runtime path を authority-bearing internals として扱い、必要な evidence だけを Artifact として公開する。
+
+v0 materializer は existing local root を明示的な working directory として返してよい。ただし型と呼び出し順序は、後で Git worktree、clone、sparse checkout、container filesystem、remote object snapshot、multi-repository mount に置き換えられる形にする。Runtime process 起動時の `--workspace` はこの v0 materializer の legacy bootstrap input であり、Runtime identity や long-term workspace binding ではない。
+
+その後で、remote Runtime、self-hosted Runtime、hosted cloud runtime fleet、runtime pool、resource allocation、quota、billing、sandbox、network policy、secret distribution を追加する。
+
+```text
+Phase 1: Web control plane + local Runtime
+Phase 2: Remote/self-hosted Runtime
+Phase 3: Hosted cloud runtime fleet
+Phase 4: Resource allocation / scheduling / quotas / billing / isolation
+```
+
+### 6. Web frontend を先に作る
+
+Desktop app は対応コストが高いので、まず Web frontend を primary UI とする。
+
+- Web: チームで使う主要 UI。
+- CLI: automation、scripting、local operations。
+- TUI/local panel: fallback、dogfooding surface。
+- Future desktop: Web/control-plane model が安定した後に検討する optional client。
+
+Web UI は Ticket、Objective、Memory、Skill catalog、Runtime、Worker、Artifact を扱う。UI の都合で正本を二重化しない。
+
+### 7. 多重起動コストと runtime placement を見直す
+
+Cloud/remote execution を成立させるには、多数のエージェント実行を安く管理できる必要がある。logical Worker session と Runtime process/resource placement を分ける。Runtime は Git Repository root や Workspace path に固定されず、request ごとに必要な working directory を materialize できる実行基盤として扱う。
+
+初期 Workspace DB では、Worker を canonical table として永続化しない。Runtime / Worker 一覧は backend-local runtime inspection や将来の Runtime protocol から逐次取得する live view とし、Ticket に関わった Worker は Ticket thread events と WorkerRef snapshot / TicketWorkerLink として記録する。
+
+Worker の一元管理、データ永続化、アーカイブは将来的には必要になる。これは Runtime protocol、remote/self-hosted/hosted runtime lifecycle、worker identity、retention policy、audit requirements が固まった後に、dedicated Worker registry / archive model として追加する。v0 で Pod metadata の代替として Worker table を作らない。
+
+検討対象:
+
+- Worker identity と Runtime process/resource placement の分離。
+- 1 Runtime が複数 Workspace / Repository の Worker を抱える場合の namespace、quota、cleanup、audit boundary。
+- Runtime-side working directory materialization、sandbox、mount、checkout/worktree/container filesystem の責務。
+- Provider client、tool registry、resource cache の共有可能性。
+- Prompt/resource/profile/config bundle resolution cache。
+- Model call multiplexing and scheduling。
+- Tool execution sandbox reuse。
+- Plugin instance / Service runtime との統合。
+- Session/event stream と runtime lifecycle の分離。
+- Runtime-local cache、checkout reuse、build cache、dependency cache。
+
+## Initial phases / candidate tickets
+
+1. **Vocabulary / architecture record**
+   - Workspace / RepositoryId / RepositorySelector / RepositoryPoint / working directory / Runtime / Worker / Control Plane / Ticket / Memory の用語と境界を固める。
+2. **Team-space canonical data model**
+   - Ticket / Objective / Target / Artifact / Actor / Permission / Audit / Memory の entity/event model を設計する。
+3. **Ticket evidence model**
+   - Ticket lifecycle、WorkerRef、Artifact、validation evidence、review evidence、Ticket thread の責務を明確化する。
+4. **Memory storage migration boundary**
+   - Memory の本格再設計は後回しにし、まずは Workspace backend に移す時の platform contract、compatibility/cache/export 方針、将来の provenance / visibility / approval 要件だけを固定する。
+5. **Control plane backend architecture**
+   - local `.yoi` backend と server-side canonical backend の境界、migration/export/import、compatibility mode を設計する。
+6. **Web control plane MVP design**
+   - read-only Ticket / Objective / Memory / Runtime / Worker state UI/API の範囲を決める。
+7. **Local Runtime protocol design**
+   - Web/control plane から local Runtime に安全な操作を送り、Runtime が Worker lifecycle と working directory materialization を担う protocol と authority boundary を設計する。
+8. **Repository and working directory materialization model**
+   - Repository URI、Repository provider capability、RepositorySelector resolution、RepositoryPoint evidence、Git worktree / clone / sparse checkout / future source backend を Runtime-side materialization strategy として抽象化する。
+9. **Remote/hosted runtime foundation**
+   - runtime registration, heartbeat, capability advertisement, job assignment, logs/events, secrets, sandbox/resource policy を設計する。
+
+## Non-goals
+
+- Git hosting service を作ること。
+- `.yoi` filesystem をそのまま SaaS canonical store にすること。
+- 最初から full hosted cloud execution を作ること。
+- local execution / CLI / TUI / local panel を捨てること。
+- Ticket を単なる issue tracker clone にすること。
+- Memory を Ticket/Artifact audit log の代替にすること。
+- Web UI のために core authority を二重化すること。
+- hidden server state を LLM context に直接注入すること。
+- multi-tenant auth/billing/secret/security を shortcut して実装すること。
+
+## Success criteria / exit conditions
+
+- Workspace / RepositoryId / RepositorySelector / RepositoryPoint / working directory / Runtime / Worker / Control Plane / Ticket / Memory の境界が文書化されている。
+- Ticket が team coordination record として、target selector / Artifact / Actor / Permission / Audit と分離された model を持つ。
+- `.yoi` local backend は compatibility/local backend として整理され、server-side canonical backend の設計を阻害しない。
+- Web UI/API が Ticket / Objective / Runtime / Worker state を中心とした read-only view を提供できる設計または MVP を持つ。Memory は既存 record の表示または将来 placeholder に留め、本格再設計をこの段階の必須条件にしない。
+- Control plane から local Runtime に対して、現在のローカル管理画面相当の安全な操作を実行できる design/protocol がある。
+- Runtime は single Workspace / Git repository root 専用 process ではなく、sandbox/authority が成立すれば複数 Workspace / Repository の Worker を抱えられる execution substrate として設計されている。
+- Git Repository root に依存しない Workspace model があり、Git Repository は Repository provider の一種として扱われている。
+- Ticket と Objective は Workspace 配下に平たく存在し、Repository への所属ではなく RepositoryId / RepositorySelector / path scope / intent で対象を表現する。
+- Git worktree 相当は working directory materialization strategy として扱われ、Artifact/evidence が concrete RepositoryPoint を記録する。
+- Memory は Ticket / Artifact の authority を置き換えない record として platform contract だけを持つ。本格的な意味論・抽出・承認・検索・staleness 処理は、Memory の保存先を Workspace backend / control plane record に移すタイミングで回収する。
+- Hosted Runtime / resource allocation / SaaS offering に進むための後続 Ticket が切れる状態になっている。
+- 既存 local dogfooding runtime を壊さず、local use と remote-capable architecture が両立している。
+
+## Decision context
+
+- Yoi は hosted Git tool ではなく、team workspace control plane + Runtime execution environment として設計する。
+- Team-space の長期 canonical authority は server-side control plane に置く。local `.yoi` は互換/local/offline/export/import surface だが、multi-user SaaS の正本ではない。
+- 実行環境と管理システムは弱結合にする。まず管理システムを独立させ、local Runtime を実行環境として接続する。その後に remote/self-hosted/hosted runtime fleet へ進む。
+- Runtime は Worker 群を束ねる実行基盤であり、将来的には作業環境の用意、sandbox、mount、checkout/worktree/container filesystem、cache、secret boundary を Worker launch request ごとに準備する。Runtime process は single Workspace / Git repository root 専用に固定しない。RepositorySelector は provider-specific な未解決 locator、RepositoryPoint は解決済み evidence として扱う。
+- Web frontend を最初の primary team UI とする。Desktop app は web/control-plane model が安定した後に検討する。
+- Git は重要な Repository provider / materialization backend として使うが、Workspace identity と authority を Git Repository root に固定しない。
+- Ticket と Objective は Workspace 配下に平たく持つ。対象コードベースや地点指定は RepositoryId / RepositorySelector / path scope / intent として表現し、Worker launch materialization が concrete RepositoryPoint に解決する。
+- Backend Repository は cwd inspection ではなく、Workspace config の明示 Repository registry から構築する。`--workspace` は Repository ではなく workspace config root / local descriptor root を指す。
+- `./.yoi` は local descriptor / fs-store / compatibility surface であり、将来の Backend canonical store と Workspace registry は `~/.yoi` 側へ寄せる。
+- Memory の本格再設計は後回しにする。先に Workspace / Ticket / Repository / Runtime/Worker live view / Control plane の基盤を固め、Memory の保存先を Workspace backend に移すタイミングで、意味論・抽出・承認・検索・staleness 処理をまとめて回収する。
+- Worker の一元管理・データ永続化・アーカイブも後続設計に回す。初期 DB では Worker を Pod metadata の代替として永続化せず、live view と Ticket-linked WorkerRef 記録に留める。

.yoi/objectives/00001KVJSMQXZ/item.md

@@ -0,0 +1,289 @@
+---
+title: "効果的な Memory システム設計・検証"
+state: "active"
+created_at: "2026-06-20T15:16:00Z"
+updated_at: "2026-07-17T23:10:00Z"
+linked_tickets: ["00001KSKBPHRG", "00001KT02TCCG", "00001KTGCAFXG", "00001KSKBPTHR", "00001KXMEZNYC", "00001KXMK7YMC", "00001KXNYXNM6", "00001KXRM6G0G", "00001KXS56AS5", "00001KXMK846H"]
+---
+
+## Goal
+
+Yoi の Memory / Knowledge / Skills / generated context / resident context / retrieval / usage metrics を、実際の開発・設計・レビュー・オーケストレーションに効く sensemaking substrate として再設計・検証する。Memory は短期・変化前提の context、Knowledge は育てる long-term note、Skill は移植可能な workflow として分け、この Objective ではそれらと authority record / docs / typed tools の境界を再整理する。
+
+この Objective でいう「効果的な Memory システム」は、単に多く保存する仕組みではなく、作業中の問いに対して relevant material を集め、根拠を検証可能にし、再表現・仮説形成・反証探索・意思決定・成果物への反映を低コストにする仕組みである。
+
+暫定的な定義:
+
+- foraging cost を下げる: Ticket / Objective / current question に対して、関連する memory / docs / tickets / session evidence / code references を探しやすい。
+- evidence を失わない: Memory が authority そのものにならず、Ticket / docs / git history / session logs / user instruction への検証可能な入口になる。
+- schema 化を支援する: raw summary ではなく、subsystem、invariant、risk、authority boundary、open question、rejected alternative、hypothesis など推論しやすい形へ再表現できる。
+- hypothesis loop を支援する: 支持証拠だけでなく、代替仮説・棄却理由・反証 evidence・stale assumption を扱える。
+- product に戻る: Memory に保存して終わりではなく、Ticket、review、docs、implementation、decision、report に影響を戻せる。
+- stale / contradiction を扱う: 古い前提、矛盾、適用範囲外の memory を検出・降格・更新できる。
+- usage を成果基準で測る: resident exposure や read count ではなく、判断・レビュー・実装・docs に効いたかを観測できる。
+
+## Motivation / background
+
+現在の Memory システムは「墓場化」している。保存された情報はあるが、後続の作業で自然に使われにくく、使われたとしても根拠・適用範囲・鮮度・反証可能性が弱い。結果として Memory は、作業場ではなく古い結論の倉庫になりやすい。
+
+Pirolli & Card 2005 の sensemaking model では、分析作業は単なる保存ではなく、次の変換として捉えられる。
+
+```text
+external data sources
+-> shoebox
+-> evidence file
+-> schema / representation
+-> hypotheses
+-> presentation / product
+```
+
+Yoi の現行 Memory は、この流れのうち「保存」と「一部の検索」には対応しているが、少なくとも以下が弱い。
+
+- Ticket / task / question ごとの shoebox がない。
+- shoebox から evidence snippets を切り出し、source / provenance / applicability / confidence と共に扱う evidence file がない。
+- `summary`, `decision`, `request` は durable memory storage taxonomy であり、sensemaking 用 schema としては粗い。Knowledge は古い record kind をそのまま残すのではなく、育てる long-term note subsystem として再設計する。再利用可能な手順は Skill、保守された設計資料は Knowledge / docs / Ticket decisions に寄せる。
+- decision は残るが、hypothesis space、alternative、rejected reason、disconfirming evidence が残りにくい。
+- reviewer / orchestrator が confirmation bias を避けるための反証探索導線が弱い。関連する手順誘導は旧 Workflow ではなく Skill と role prompt / typed tools へ寄せる。
+- resident exposure と explicit retrieval は観測できても、Memory が product に効いたかは測りにくい。
+
+この Objective は、Memory 関連の設計・検証・検討・考察を一元化し、個別 Ticket がばらばらに storage、prompt、retrieval、metrics を改善して再び墓場を増やすことを防ぐための判断背景である。
+
+## Strategy / design direction
+
+Memory を「長期保存領域」ではなく、Yoi の multi-agent 開発における sensemaking loop の支援機構として設計する。
+
+### 1. Pirolli & Card の stage に合わせて責務を分ける
+
+- external data sources: Tickets、docs、git history、session logs、reports、code、user instructions。
+- shoebox: 特定 Ticket / Objective / design question に対して関連しそうな材料を集めた task-bound working set。
+- evidence file: shoebox から抜き出した根拠 snippet。source anchor、支持/反証、適用範囲、confidence、staleness を持つ。
+- schema / representation: subsystem、invariant、risk、authority boundary、open question、hypothesis、alternative、contradiction など、推論しやすい再表現。
+- hypotheses: 採用前の設計仮説、代替案、棄却条件、反証 evidence。
+- product: Ticket、review、docs、implementation、decision、report、orchestration plan などの成果物。
+
+### 2. 最初の重点は task-bound shoebox と evidence file
+
+Memory 墓場化の最初の原因は、保存情報が現在の問いに集まらないことである。まずは Orchestrator / Intake / Reviewer が Ticket を扱う時に、関連 memory / docs / tickets / reports / prior decisions を shoebox として束ねる導線を作る。
+
+この段階では大きな永続 schema 追加に飛びつかず、report / Ticket artifact / bounded generated context として検証してよい。
+
+### 3. Session Overview を extract の足場にする
+
+現在の extract は、tool call / tool result summary を含む flat slice から意味を復元しようとして断片化しやすい。改善方針は、main Worker が通常 Assistant Message として Progress message を残し、user messages + Assistant messages を Session Overview として先に読む形にする。
+
+- Progress message は専用 Tool ではなく通常 Message とし、ユーザーへの進捗報告と extract 用 semantic summary を兼ねる。
+- extract worker には専用の read-only evidence tools を渡し、Overview で重要そうに見えた箇所だけ session range / tool summaries / source anchors を探索させる。
+- extract worker は Memory / Knowledge / Skill を直接更新しない。output は必ず staging を挟み、source / provenance を host 側で機械的に保持する。
+- trigger は初期実装では現行通り Worker run cycle 完了後の threshold 判定にする。LLM call 単位や Run 中の Overview accumulation trigger は含めない。
+
+### 4. Memory を authority にしない
+
+Memory は Ticket、docs、git history、session logs、user instruction の代替ではない。Memory は authority record への evidence index / schema / reasoning aid として扱う。
+
+したがって、改善案は次の性質を持つべきである。
+
+- source / provenance を辿れる。
+- stale / superseded / contradicted を扱える。
+- Memory の断定をそのまま authority として使わない。
+- Ticket body/thread/artifacts を読まずに Objective や Memory だけで実装判断できる状態を作らない。
+
+### 5. 反証探索を first-class にする
+
+より効果的な Memory は、過去方針を思い出すだけでなく、現在案を疑うために使える必要がある。
+
+Reviewer / Orchestrator / Intake の導線では、次を探せるようにする。
+
+- supporting evidence
+- contradicting evidence
+- stale decisions
+- rejected alternatives
+- unresolved questions
+- authority boundary risks
+- prior failures / reports
+
+### 6. Metrics は exposure から product impact へ寄せる
+
+Memory が prompt に入った、または query されたことは成功ではない。評価は次を区別する。
+
+- resident exposure
+- explicit retrieval
+- cited in response
+- cited in Ticket / review / report
+- changed requirement
+- changed implementation
+- contradicted / invalidated
+- led to docs or decision update
+
+### 7. 後続 Ticket は concrete slice に分割する
+
+この Objective は中期的な設計・検証の一元化 record であり、umbrella Ticket ではない。実装や調査は、単独で実装・レビュー・close できる concrete Ticket に分割する。
+
+候補 slice:
+
+- Memory sensemaking 分析 report を `docs/report/` に作る。
+- Ticket routing 用 Memory shoebox artifact を試作する。
+- evidence snippet schema / source resolver を設計する。
+- hypothesis / rejected alternative / disconfirming evidence の表現を追加する。
+- Reviewer Skill / review process に反証探索を入れる。
+- Memory usage metrics を product impact oriented に拡張する。
+- stale / contradiction / renewal の検出・表示を設計する。
+- turn 中の Progress message を通常 Assistant Message として残す prompt/guidance を追加する (`00001KXMEZNYC`)。
+- Session Overview + Evidence index を使う extract input を設計・実装する。
+- extract worker 専用の read-only evidence search/read/source-anchor tools を設計する。
+- extract output を staging に限定し、source range と output entry を結びつける schema を設計する。
+
+## Success criteria / exit conditions
+
+- Memory システムの目的が「保存」ではなく「sensemaking loop 支援」として project records / docs / prompts / Skills で一貫して説明されている。
+- Pirolli & Card の `shoebox -> evidence file -> schema -> hypotheses -> product` に対応する Yoi 内の責務と非責務が整理されている。
+- Ticket / Objective / docs / session logs / Memory / Skills の authority boundary が明確で、Memory が authority を僭称せず、Skill は手順資源として外部状態 authority を持たない。
+- 少なくとも一つの実作業 routing / review / design analysis で、task-bound shoebox または evidence file が生成・利用され、作業品質にどう効いたかが確認されている。
+- Memory records または関連 artifacts が source / provenance / applicability / staleness / supports-or-refutes のいずれかを扱えるようになっている。
+- extract が User / Assistant messages 由来の Session Overview を primary input とし、tool logs を evidence として探索できる設計になっている。
+- extract worker 専用の read-only evidence tools が設計され、main Worker の tool surface を増やさない方針になっている。
+- extract output は direct Memory / Knowledge / Skill write ではなく staging を挟む方針になっている。
+- Reviewer / Orchestrator が supporting evidence だけでなく、contradicting evidence / stale assumptions / rejected alternatives を探す導線を持っている。
+- Memory usage metrics が resident exposure と product impact を区別している。
+- 古い Memory が放置されるのではなく、stale / superseded / contradicted / needs-review として扱える方針がある。
+- 後続の実装 Ticket が concrete slice として分割され、Objective が Ticket dependency や進捗 container として使われていない。
+
+この Objective は、Memory が少なくとも一つの中規模設計・実装・レビュー作業で「関連情報を見つける」「根拠を確認する」「代替案/反証を検討する」「成果物へ反映する」流れを実証し、その設計方針が docs / Skills / metrics に反映された時点で `done` を検討できる。
+
+## Decision context
+
+- ユーザー指摘: 「Memoryシステムが完全に墓場化している」。これは保存量不足ではなく、保存情報が現在の問い・根拠・仮説・成果物に接続されない問題として扱う。
+- ユーザー指示: Memory システムの設計・検証・検討・考察を Objective にまとめ、より効果的な Memory システムを作成する目標のもとで情報を一元化する。
+- 「効果的」の定義は未確定だが、当面は Pirolli & Card の sensemaking process に沿って、foraging cost、evidence quality、schema usefulness、hypothesis/disconfirmation support、product impact、staleness handling を評価軸にする。
+- Memory は durable project authority ではない。Ticket、docs、git history、session logs、明示 user instruction の代替として使わない。
+- Objective context は判断背景であり、個別実装の authority は各 Ticket body/thread/artifacts と明示的な Ticket relations / OrchestrationPlan records にある。
+- `history` に残らない context-only injection を改善案にしない。新しい context input は history に commit する原則を守る。
+- Knowledge は古い unused record kind をそのまま残すのではなく、育てる long-term Markdown note subsystem として再設計する。再利用可能な手順・作法は Agent Skills (`.yoi/skills/<skill>/SKILL.md`) へ、durable policy/rationale は Knowledge / maintained docs / Ticket decisions へ、外部状態 authority は typed feature/tool surface へ分ける。
+- Generated memory / Ticket / docs / report / Skill の境界を再定義する場合は、authority boundary と migration/staleness を明示する。
+- 関連する既存 Ticket:
+  - `00001KSKBPHRG` — Prompt / Workflow 評価メトリクスと改善 Offer
+  - `00001KT02TCCG` — Memory prompt: conditional guidance and proactive lookup
+  - `00001KTGCAFXG` — Use .yoi/memory marker for repo-local memory root
+  - `00001KSKBPTHR` — ワークスペースのメモリーをLintするヘッドレスCLI
+  - `00001KXMEZNYC` — ターン中のProgress messageを残す指示を追加する
+
+## Historical references / prior design sources
+
+現在の Memory システムの初期設計時には、Codex Memories / Chronicle と HermesAgent を明示的な参考事例として調査していた。関連する調査・設計記録は、現在は主に以下に退避されている。
+
+- `docs/.local/old-docs/ref/memory-systems.md`
+- `docs/.local/old-docs/plan/memory.md`
+- 初期設計 commit: `ca5a3d11` — `2026-04-21 メモリシステムの設計`
+- 関連 commit:
+  - `0c1276b7` — `Memoryシステムの整理・Promptカタログチケット`
+  - `3d04f793` — `memoryを抽出する仕組みの実装`
+  - `f1b7af62` — `docs: memoryシステムの仕様変更と、動的Tool・VCSの話`
+  - `a2aecbf0` — `update: memoryシステムの"Phase"表記を撤廃`
+
+### Codex Memories / Chronicle から得た設計要素
+
+旧設計では、Codex Memories / Chronicle を `extract -> staging -> consolidation -> durable Markdown memory` の非同期パイプラインとして捉えていた。
+
+主な参照点:
+
+- extract と consolidation の 2 段構成。
+- extract は JSON schema / structured output で分類ブレを抑える。
+- consolidation は reasoning model / agentic rewrite によって、既存 memory と staging entries を統合・整理する。
+- staging と durable memory を分ける。
+- `MEMORY.md` は retrieval-oriented handbook として扱う。
+- `memory_summary.md` は prompt-loaded high-signal context として扱う。
+- `raw_memories.md` は routing layer / task inventory 的な中間層として扱う。
+- workspace diff や usage 情報を使い、stale / deleted evidence / noisy entries を整理する。
+- consolidation は append だけでなく、rewrite / merge / split / trim / drop / cleanup を担う。
+
+Yoi 初期設計では、これを参考に以下を意図していた。
+
+- activity token 閾値で extract を発火する。
+- compact より前に session log range を抽出する。
+- extract は `decisions`, `discussions`, `attempts`, `requests` などの候補を staging に保存する。
+- 抽出時点では durable policy / Skill / docs へ早期分類せず、純粋な「起きたこと」に寄せる。
+- consolidation が summary / decisions / requests と、必要に応じた docs / Skill / Ticket decision 更新候補を整理する。
+- consolidation 入力に linter warnings / usage metrics / stale cleanup 候補を含める。
+- stale / superseded / unused / noisy な情報を整理する。
+
+この Objective での再解釈:
+
+- Codex の `raw_memories.md` は、Pirolli & Card の sensemaking model では `shoebox` または `evidence file` に近い。
+- Yoi は extract / consolidation という pipeline だけを継承しても不十分であり、task-bound shoebox / evidence file / hypothesis loop / product feedback がなければ Memory は再び墓場化する。
+- 特に、staging を consolidation の一時入力としてだけ扱うと、後続 Ticket / Objective / review が使う探索入口にならない。
+- Yoi では `raw memories` 相当の中間層を、現在の問いに紐づく working set / evidence index として再設計する必要がある。
+
+### HermesAgent から得た設計要素
+
+旧設計では、Nous Research HermesAgent を 3 層の memory system として整理していた。
+
+- Persistent Memory:
+  - `MEMORY.md` / `USER.md`
+  - Markdown + SQLite / FTS5 session search
+  - 起動時 system prompt snapshot
+  - bounded character limits
+- Skill Library:
+  - procedural memory
+  - `~/.hermes/skills/<name>/SKILL.md`
+  - `skill_manage` tool による agentic CRUD
+- User Model / Honcho:
+  - dialectic user modeling
+  - 外部 service 連携
+
+HermesAgent で特に重要だった点:
+
+- memory / skill review は一定 turn / tool iteration ごとに background agent として起動する。
+- 保存すべきものがなければ `Nothing to save.` で NOP として終了する。
+- Yoi extract の「空配列許容」はこの設計からも影響を受けている。
+- memory は session start 時の frozen snapshot として system prompt に入り、mid-session write で prompt cache を壊さない。
+- persistent memory は bounded で、limit 超過時は deterministic eviction ではなく、agent に replace / remove を促す。
+- procedural memory / skills は一般 memory から分離されている。
+- SQLite FTS5 + LLM summarization による cross-session recall がある。
+
+この Objective での再解釈:
+
+- HermesAgent の `MEMORY.md` / `USER.md` / `skills` の分離は、Yoi の Memory / Knowledge / Skills / prompt resources / docs / Ticket decision / generated memory の責務再整理に使える。
+- Yoi は foreground isolation 自体をすでに持つため、取り入れるべきなのは isolation そのものではなく、Overview を足場にした maintenance / extraction の質改善である。
+- main Worker が通常 Assistant Message として残す Progress message は、人間向け進捗報告と machine-readable session overview を兼ねられる。
+- extract worker は専用 read-only evidence tools で必要箇所だけ探索し、direct write ではなく staging に出力する。
+- reusable procedure, reviewer focus, orchestration tactic, project preference, user preference, design invariant を同じ Memory bucket に入れると墓場化しやすい。
+- `Nothing to save.` / empty extraction allowed は重要だが、保存抑制だけでは効果的な Memory にはならない。保存されたものが task-bound shoebox / evidence / schema / hypothesis / product に接続される必要がある。
+- frozen snapshot / prompt cache 配慮は Yoi の history/context 加工原則と整合するが、それだけでは retrieval / resurfacing / disconfirmation は解決しない。
+
+### Lessons for the next design iteration
+
+Codex と HermesAgent の調査から、Yoi が継承すべきものと、継承するだけでは足りないものを分ける。
+
+継承すべきもの:
+
+- structured extract と agentic consolidation の分離。
+- staging / raw memories / durable memory の分離。
+- 保存対象がなければ NOP にする発火設計。
+- prompt-loaded summary と durable retrieval-oriented memory の分離。
+- stale / noisy / unused entries の cleanup。
+- procedural memory と declarative memory の分離。
+- session search / usage metrics / linter feedback を consolidation に入れる設計。
+- user / Assistant messages から作る Session Overview を semantic guide にし、tool logs を evidence として探索する設計。
+
+足りないもの:
+
+- Pirolli & Card の sensemaking stage における各 record の役割定義。
+- Ticket / Objective / current question に紐づく task-bound shoebox。
+- authority record へ戻れる evidence file / provenance / source anchor。
+- hypothesis, alternative hypothesis, rejected reason, disconfirming evidence の first-class 表現。
+- reviewer / orchestrator が confirmation bias を避けるための反証探索導線。
+- resident exposure や read count ではなく product impact を測る metrics。
+- stale / contradiction / renewal を作業中に resurfacing する導線。
+
+したがって、次の Memory 設計は Codex / HermesAgent の単純なコピーではなく、以下を満たす必要がある。
+
+```text
+external data / sessions / tickets / docs / code
+-> task-bound shoebox
+-> evidence file with provenance
+-> schema / representation
+-> hypotheses and disconfirmation
+-> Ticket / review / docs / implementation / decision product
+-> product impact and stale-feedback metrics
+```
+
+この Objective では、以後の Memory 関連 Ticket / report / implementation をこの historical reference と sensemaking model の両方に照らして判断する。

.yoi/objectives/00001KVJSMQXZ/memory-architecture-overview.md

@@ -0,0 +1,916 @@
+---
+created_at: "2026-07-15T21:33:00Z"
+updated_at: "2026-07-16T18:20:00Z"
+objective: "00001KVJSMQXZ"
+status: "architecture-draft"
+notes: "Memory / Knowledge / Skills を別々の workspace resource として再設計するための draft architecture。この文書は Objective resource であり、実装 authority ではない。"
+---
+
+# Memory / Knowledge / Skills architecture overview
+
+## 1. Position
+
+Yoi は **Memory**、**Knowledge**、**Skills** を 1 つの汎用 record store に押し込めず、別々の resource class として扱う。
+
+最初に固めるべきなのは、成果物が人間に読める形で成長できる workspace resource model である。Pirolli & Card の sensemaking process は有用な背景知識だが、storage taxonomy を shoebox / evidence / hypothesis として先に固定しない。sensemaking は Memory / Knowledge / Skills の上に乗る usage pattern として扱う。
+
+Target split:
+
+- **Memory**: 短期 fact、嗜好、現在の focus、進行中の context。変化する前提で書く。
+- **Knowledge**: 長期的に育てる note。人間と agent が改訂し、相互リンクで mesh を形成し、durable project understanding として読めるもの。
+- **Skill**: Agent Skills format に従う、移植可能で確立された手順・workflow。
+
+この文書の中核は次の 2 つである。
+
+1. resource class の境界を明確にする。
+2. session から extract / staging / consolidation を経て resource に至る pipeline の責務を明確にする。
+
+## 2. Design goals
+
+- 人間が読め、成長できる artifact を作る。
+  - 一時的な model summary だけでは足りない。
+  - 有用な成果は Knowledge note、Skill、Ticket decision、doc、report に育てられるべき。
+- 揮発的なものと durable なものを分ける。
+  - 短期 context が長期 note を汚染しないようにする。
+  - 長期 note が session extraction のたびに上書きされないようにする。
+- 手順と note を分ける。
+  - 繰り返し使える作業方法は Knowledge note ではなく Skill にする。
+- authority boundary を明示する。
+  - Ticket は work authority を定義する。
+  - docs と Objective resources は maintained design context を持つ。
+  - Knowledge notes は育てる project understanding を持つ。
+  - Skills は execution を guide する。
+  - Memory は変化する working context と preferences を追跡する。
+  - typed feature/tool surfaces が external state changes を所有する。
+- 可能な限り Workspace backend を resource API の共有 authority にする。
+  - `WorkspaceClient::Http` が使えるときに、Worker ごとに local view が分岐してはいけない。
+
+## 3. Resource model
+
+### 3.1 Memory
+
+Memory は、agent が作業を継続する助けになる volatile / short-to-medium-term な情報を扱う。長期的な project truth のふりはしない。
+
+Memory record に入るもの:
+
+- 現在の focus。
+- user preferences。
+- working assumptions。
+- authority が別にある recent decisions の要約や pointer。
+- 進行中の constraints。
+- あとで Ticket / doc / session を再確認するための reminder。
+- session から得た observations。
+- 変化することが前提の personal / workspace context。
+
+Memory は provisional に書く:
+
+- いつ / なぜ learned したかを書く。
+- どの前提で learned したかを必要な範囲で書く。
+- staleness / supersession を許す。
+- authoritative records を verbatim にコピーしない。
+- 可能なら Tickets / docs / Knowledge notes への pointer を優先する。
+
+Memory は resident context と lightweight lookup には有用だが、permanent note system として最適化しない。
+
+#### 3.1.1 Memory storage profile: bounded H2 Markdown file
+
+Memory の初期 storage profile は、bounded な single Markdown file にする。
+
+Memory は Knowledge のような note bundle ではない。1〜3 行程度の short items を H2 section ごとに並べる resident context surface として扱う。
+
+初期 filesystem shape:
+
+```text
+.yoi/memory/
+  memory.md
+  _staging/
+  _resolutions.jsonl
+```
+
+`memory.md` は H2 section を基本単位にする。
+
+```md
+# Workspace Memory
+
+## Current focus
+
+- Memory extract redesign is focused on Overview-first extraction and staging resolution.
+  Source: Objective 00001KVJSMQXZ. Stale when related tickets close.
+
+## Preferences
+
+- User prefers implementation Tickets, not design-only Tickets.
+  Source: 2026-07-16 session.
+
+## Working assumptions
+
+- Knowledge should be OKF-compatible, while volatile Memory and staging should not be OKF.
+  Source: architecture objective.
+
+## Reminders
+
+- Re-check extract/consolidation prompts after staging resolution is implemented.
+```
+
+Recommended H2 sections:
+
+- `## Current focus`
+- `## Preferences`
+- `## Working assumptions`
+- `## Constraints`
+- `## Reminders`
+- `## Stale or superseded`
+
+Each item should stay short. When useful, include `Source` and `Stale when` inline. Long explanations, evidence-heavy analysis, durable rationale, citations, and cross-linked concepts should be routed to Knowledge rather than expanded inside Memory.
+
+The single-file layout is an initial storage profile, not an API contract. Workers, Web, Runtime, and CLI should use the Workspace Memory API view rather than depending on the exact file layout, so storage can later split or evolve without changing the model-visible contract.
+
+#### Memory examples
+
+```text
+User preference: prefers direct commits only when explicitly requested.
+Source: repeated user corrections in sessions around git operations.
+Staleness: revisit if user changes repo workflow.
+```
+
+```text
+Current focus: web Workspace console and Workspace-backed Ticket/Skill authority.
+Source: recent Tickets and Objective updates.
+Expected to change after current milestone.
+```
+
+### 3.2 Knowledge
+
+Knowledge は long-term note system。人間と agent が育て、改訂し、link し、split / merge しながら読むもの。抽出 snippet の山ではなく、project understanding の mesh を形成する。
+
+Target Knowledge は、古い未使用の Knowledge feature をそのまま残すものではない。legacy implementation は先に削除してよい。置き換えは proper workspace note subsystem として設計する。
+
+Knowledge notes の要件:
+
+- Markdown-first で人間が読める。
+- OKF-compatible な concept document として扱える。
+- stable path / slug を持ち、OKF concept ID として参照できる。
+- Yoi 内部で move / rename に強い identity が必要な場合は、extension frontmatter として `yoi_id` を持てる。
+- bidirectional links / backlinks を support する。
+- Obsidian-style wiki links (`[[slug]]`, `[[slug|label]]`) を support し、Knowledge mesh の authoring shorthand として使える。
+- 必要なら tags や typed relations を support する。
+- 重要な claim には provenance / citations を残す。
+- Tickets、Objectives、docs、commits、reports、Skills、他 Knowledge notes に link できる。
+- review / staleness / supersession を support する。
+- 自動生成だけに頼らず、意図的に maintain される。
+
+Knowledge は、長期 architecture note、conceptual model、subsystem explanation、decision context、recurring constraints、domain understanding を育てる場所である。
+
+#### 3.2.1 Knowledge format profile: OKF-compatible bundle
+
+Yoi Knowledge は、可能な限り Open Knowledge Format (OKF) compatible な bundle として設計する。
+
+OKF から採用する baseline:
+
+- Knowledge bundle は Markdown file tree とする。
+- non-reserved `.md` file は concept document とする。
+- concept document は YAML frontmatter + Markdown body とする。
+- path without `.md` を OKF concept ID として扱う。
+- `type` は required field とする。
+- `title`, `description`, `resource`, `tags`, `timestamp` は recommended field とする。
+- normal Markdown links を OKF-compatible graph edges として扱う。
+- Obsidian-style wiki links (`[[slug]]`, `[[slug|label]]`) も graph edges として扱い、Markdown links へ解決・export できるようにする。
+- `index.md` は progressive disclosure のための directory listing として使える。
+- `log.md` は agent-readable update history として使える。
+- `# Citations` section は external source / authority reference を示す convention として使う。
+- consumers は unknown frontmatter fields、unknown `type`、broken links を tolerant に扱う。
+
+Yoi は OKF に extension frontmatter を足してよい。候補:
+
+```yaml
+yoi_id: 00001...
+status: draft | active | stale | superseded
+source_refs: []
+authority_refs: []
+objective_refs: []
+ticket_refs: []
+skill_refs: []
+reviewed_at: 2026-07-16T00:00:00Z
+staleness: "Revisit when ..."
+supersedes: []
+superseded_by: null
+```
+
+Filesystem shape の例:
+
+```text
+.yoi/knowledge/
+  index.md
+  log.md
+  architecture/
+    index.md
+    memory-architecture.md
+    workspace-authority.md
+  references/
+    pirolli-card-2005-sensemaking.md
+```
+
+OKF compatibility は Knowledge の exchange / storage profile であり、Memory / staging / Skill の format ではない。
+
+- Memory は短期・変化前提の resident context store なので OKF にしない。
+- staging は extract / consolidation の審査キューなので OKF にしない。
+- Skill は Agent Skills format を維持する。OKF `type: Playbook` に吸収しない。
+
+#### Knowledge examples
+
+- `workspace-authority-model`
+  - Workspace backend が Tickets / Skills / Runtime views の authority である理由を説明する。
+  - Ticket backend API design、Skill support ticket、Workspace control plane Objective に link する。
+- `memory-knowledge-skill-boundary`
+  - Memory / Knowledge / Skills の boundary を定義する。
+  - この architecture resource と将来の implementation Tickets に link する。
+- `ticket-lifecycle-authority`
+  - Ticket state authority と transition graph の rationale を説明する。
+  - 関連 decisions と code locations に link する。
+
+### 3.3 Skill
+
+Skill は、ある種類の task に対して確立された、portable な workflow / procedure。Agent Skills format に従う。
+
+```text
+.yoi/skills/<skill-name>/
+  SKILL.md
+  scripts/
+  references/
+  assets/
+```
+
+Skill は state machine ではなく、external authority も所有しない。agent が available tools を使って task をどう実行するかを示す prompt/resource guidance である。
+
+Skill に含めるもの:
+
+- いつその Skill を使うか。
+- step-by-step procedure。
+- expected inputs。
+- expected outputs / report shape。
+- examples。
+- edge cases。
+- optional references / scripts / assets。
+
+Skill は、project-specific assumptions が少なく、別 workspace に移しても使えるとき portable と言える。
+
+#### Skill examples
+
+- `coder-review-cycle`
+  - Coder が実装、検証、review request、feedback 対応、dossier 作成をどう行うか。
+- `ticket-intake`
+  - 曖昧な user request を accepted Ticket requirements に変換する方法。
+- `architecture-review`
+  - design proposals、alternatives、authority boundaries を評価する方法。
+
+## 4. Resource boundaries and authority
+
+### 4.1 Memory vs Knowledge
+
+Memory は provisional / change-oriented。Knowledge は maintained / growth-oriented。
+
+Memory を使うべきとき:
+
+- 情報が短命。
+- preference や working assumption である。
+- resident context として有用。
+- 長期的な置き場所がまだ明確でない。
+
+Knowledge を使うべきとき:
+
+- 時間をかけて読み直し、改訂するべき情報。
+- durable project concept を説明する情報。
+- 複数の future tasks から link されるべき情報。
+- backlinks / mesh structure が有用な note。
+- 人間が project understanding として browse できるべきもの。
+
+Promotion path:
+
+```text
+Memory observation -> candidate note/update -> Knowledge note / docs / Ticket decision
+```
+
+Promotion は明示的に行う。すべての Memory item が Knowledge になるわけではない。
+
+### 4.2 Knowledge vs Docs
+
+Docs は public / project-facing な maintained exposition。Knowledge は internal で、link され、発展する understanding。
+
+Knowledge note は後で doc になり得るが、threshold は違う:
+
+- Knowledge は uncertainty、partial models、evidence links を含められる。
+- Docs は settled explanations または user/developer guidance を提示するべき。
+
+### 4.3 Knowledge vs Ticket decisions
+
+Ticket decisions は work item history と state の authority。Knowledge notes は複数 Ticket をまたいだ synthesis。
+
+ある decision が Ticket の requirement、state、acceptance criteria を変えるなら、それは Ticket に記録する。Knowledge はそこに link し、より広い pattern を説明できる。
+
+### 4.4 Skill vs Knowledge
+
+Knowledge は「何が true か」「project をどう理解するか」を説明する。Skill は「recurring task をどう実行するか」を説明する。
+
+Skill を使うべきとき:
+
+- review process。
+- implementation process。
+- release checklist。
+- architecture evaluation method。
+
+Knowledge を使うべきとき:
+
+- Workspace authority model。
+- Memory architecture。
+- Ticket lifecycle rationale。
+
+### 4.5 Skill vs Feature/Plugin
+
+Skill は prompt/resource guidance。Feature/Plugin は executable authority と tool surface。
+
+Skill は「何をどう進めるか」を書けるが、Ticket、Workspace、Memory、外部状態を変更する権限そのものは持たない。その権限は Feature/Plugin や typed tool/API が持つ。
+
+例: Skill は「review 前に Ticket shoebox を作る」と指示できる。実際に作成する authority は Workspace / Memory feature の typed tool/API が提供する。
+
+## 5. Workspace API authority
+
+Target architecture は Workspace-backed にする。
+
+### 5.1 Memory API
+
+Workspace backend が最終的に提供するもの:
+
+- Memory list / search / read / write / edit / delete。
+- resident memory summary の生成または取得。
+- staleness / supersession markers。
+- sessions や artifacts からの Memory candidate proposal。
+- provenance と audit events。
+- preference / current-focus surfaces。
+
+移行期間中は local `.yoi/memory` を compatibility / offline storage として残してよい。初期 storage profile は H2 section ベースの bounded `.yoi/memory/memory.md` だが、これは API contract ではない。
+
+### 5.2 Knowledge API
+
+Workspace backend は、raw filesystem layout を唯一の interface にするのではなく、proper note API を提供する。
+
+- Knowledge catalog / list / search。
+- note read / write / edit / delete。
+- OKF-compatible frontmatter validation / normalization。
+- link / backlink extraction from Markdown links and wiki links (`[[slug]]`)。
+- relation / tag metadata。
+- staleness / supersession markers。
+- note diagnostics / lint。
+- source / provenance refs and citations。
+- Markdown files からの import / export。
+- OKF bundle import / export profile。
+
+Filesystem representation は `.yoi/knowledge/` 配下の OKF-compatible bundle を第一候補にする。ただし Worker / Runtime / Web / CLI は、利用可能なら raw filesystem ではなく Workspace API view に収束する。
+
+### 5.3 Skill API
+
+Skill support は separate Skill Ticket の方針に従う。
+
+- Workspace backend が discovery / lint / catalog / activation を所有する。
+- `.yoi/skills/<skill>/SKILL.md` は workspace storage convention。
+- `WorkspaceClient::Http` が使えるとき、Workers は Workspace API から Skill metadata / body を使う。
+- Skill references / assets は backend-resolved authority または Skill resource APIs 経由で access する。
+
+## 6. Session-to-resource pipeline
+
+この章が extract 改善の中心である。`extract -> staging -> consolidate` の分割は維持する。3 つは同じ memory maintenance pipeline の一部だが、判断の種類が違う。
+
+```text
+Session history
+  -> Overview + Evidence index
+  -> extract
+  -> staging
+  -> consolidation
+  -> Memory / Knowledge candidate / Skill candidate / Ticket-doc candidate / discard
+```
+
+役割の要約:
+
+- **extract**: session から候補を拾う。recall 寄り。Memory 化はしない。
+- **staging**: provenance 付き候補キュー。まだ Memory ではない。
+- **consolidation**: staging を審査・剪定・統合する。precision 寄り。Memory 肥大化と陳腐化を防ぐ。
+
+### 6.1 Overview: transcript as semantic backbone
+
+Overview は、committed history にある user messages と normal Assistant text outputs から作る。Assistant text outputs には、最終応答だけでなく、長い作業中の Progress message も含める。
+
+Progress message は専用 Tool ではなく、ordinary user-visible prose response として残す。Tool surface を増やさず、ユーザーへの進捗報告と extract 用 semantic summary を兼ねるためである。
+
+Overview に含めるもの:
+
+- user requests / corrections / approvals。
+- Assistant progress messages。
+- Assistant final responses。
+- parent delegation や Ticket context のように、history に commit された task context。
+- tool evidence への bounded index。
+
+Overview に含めないもの:
+
+- raw reasoning / chain-of-thought。
+- raw tool-result content 全文。
+- secret-like data。
+- history に commit されていない hidden context injection。
+
+Overview の意図は、extract worker に「何のための探索だったか」「どの判断が節目だったか」「どこが未解決か」を伝えることである。Overview は authority ではない。durable output には evidence と source anchors が必要である。
+
+### 6.2 Extract: candidate generation
+
+Extract は candidate generation であり、Memory 化ではない。runtime 側の extract worker が Overview と session evidence を読んで、後で記憶化を検討すべき **flat candidate records** を staging に出す。
+
+Extract の責務:
+
+- Overview を読んで、記憶化を検討すべき candidate を見つける。
+- 必要な箇所だけ evidence tools で確認する。
+- candidate ごとに bounded evidence snippets / source anchors を選ぶ。
+- candidate ごとに `stage_candidate` を呼び、1 candidate = 1 staging record として保存する。
+- 最後に `finish_extraction` を呼び、staged count または NOP reason を残す。
+
+Extract がしてはいけないこと:
+
+- Memory / Knowledge / Skill / Ticket / docs を直接変更しない。
+- batch payload として複数 candidate を 1 staging record にまとめない。
+- tool result 全文や reasoning を無制限に取り込まない。
+- local slice だけから根拠を推測しない。
+- tool call chronology、generic progress、current focus update を抽出しない。
+- 「進捗報告があった」こと自体を Memory 化しない。
+
+Staging candidate は、Consolidation がそれ単体で discard / merge / promote / defer を判断できる最小単位にする。
+
+旧 `decisions` / `discussions` / `attempts` / `requests` batch schema は維持しなくてよい。互換性よりも、flat candidate records と clear responsibility を優先する。
+
+#### 6.2.1 Extract candidate taxonomy
+
+Extract が抽出する対象は activity log ではない。抽出対象は次の candidate kinds に絞る。
+
+| kind | extract で見る観点 | consolidation での扱い |
+| --- | --- | --- |
+| `preference` | ユーザーまたは workspace の継続的な好み・作法。単発指示ではなく、今後の agent behavior に効くもの。 | Memory に短く merge / replace する候補。既存 preference と重複するなら統合。Ticket/docs の要件そのものなら mirror せず authority link へ。曖昧なら discard / defer。 |
+| `working_assumption` | 現時点で仮に置いている設計・実装前提。future work に影響し、変更条件や反証条件があり得るもの。 | Memory に入れる場合は short-lived assumption として stale condition 必須。長期設計なら Knowledge candidate。すでに authority record に反映済みなら Memory には pointer だけ、または discard。 |
+| `constraint` | 今後守るべき境界・禁止・invariant。実装や review でチェック可能なもの。 | active implementation に効くなら Memory。durable policy なら Ticket decision / Knowledge / docs candidate。破られた既存 Memory があれば mark_stale / replace。 |
+| `decision` | alternatives / chosen / rationale がある判断。単なる事実確認や作業進行ではないもの。 | まず authority routing を判断する。Ticket 要件・state・acceptance に関係するなら Ticket decision/comment candidate。長期設計なら Knowledge/Objective candidate。短期実装判断だけ Memory に短く置く。会話中の一時結論なら discard。 |
+| `open_question` | 未解決で後続作業に影響する問い。next action が書けるもの。単なる会話中の疑問ではない。 | Memory reminder にするか、Ticket follow-up / planning item に送る。解決済みなら discard。長く残る概念的問いなら Knowledge candidate。TTL / defer reason を持たせる。 |
+| `lesson` | 検証・失敗・試行から得た再利用価値のある学び。同じ失敗を避ける、作業方法を改善する、Skill 化できる可能性があるもの。 | Memory に短く残すか、recurring / portable なら Skill candidate。単なる tool execution result は discard。validation evidence として Ticket/report に残すべきものは authority link。 |
+
+抽出しないもの:
+
+- `current_focus` update。これは resident summary surface であり、extract candidate kind ではない。
+- tool call chronology。
+- file read/write history。
+- generic progress updates。
+- one-off chit-chat。
+- resolved local confusion。
+- assistant self-corrections without durable consequence。
+- authoritative Ticket/docs/git facts copied verbatim。
+- validation results unless they imply a reusable lesson, active blocker, or authority evidence。
+- implementation details that belong only in commit diff。
+
+### 6.3 Extract worker tools
+
+extract worker には `session-explore` feature の constrained tools だけを渡す。これは main Worker の tool 数を増やすものではない。
+
+Tool surface:
+
+- `search_evidence`: session snapshot / tool summaries / message index から query で候補 range を探す。
+- `read_evidence`: bounded な session entry range、tool call/result summary、host が許す bounded excerpt を読む。
+- `stage_candidate`: 1 candidate を staging record として保存する。
+- `finish_extraction`: extract run を終了し、staged count または NOP reason を記録する。
+
+`stage_candidate` は direct Memory write ではない。これは staging write だけを行う output tool である。
+
+`stage_candidate` input の概念形:
+
+```json
+{
+  "kind": "decision",
+  "claim": "Overview is runtime-only extract projection, not staging data.",
+  "why_useful": "Clarifies extract/consolidate responsibility boundary.",
+  "staleness": "Revisit if Workspace can directly explore runtime sessions.",
+  "evidence_ids": ["E001", "E002"]
+}
+```
+
+Host wrapper は `evidence_ids` を runtime reference environment から解決し、bounded evidence snippets と source anchors を staging record に機械的に付与する。LLM に自由な source anchor を書かせない。
+
+`finish_extraction` の概念形:
+
+```json
+{
+  "staged_count": 0,
+  "reason": "Only local progress and tool chronology; no durable candidates."
+}
+```
+
+候補が無い場合は `stage_candidate` を呼ばず、`finish_extraction` で NOP を明示する。tool call なし終了も host 側では NOP fallback として扱ってよいが、基本は `finish_extraction` を要求する。
+
+制約:
+
+- read-only evidence access。file write、Ticket mutation、Memory/Knowledge/Skill direct write は持たせない。
+- bounded output。large tool result は summary / excerpt / pointer に留める。
+- provenance first。extract worker が根拠を推測せず、読んだ evidence ids を `stage_candidate` に渡す。
+
+### 6.4 Staging: flat provenance-backed candidate records
+
+Staging は Memory ではない。Staging は、extract が切り出した candidate を provenance 付きで保管し、consolidation が後で審査できるようにする queue である。
+
+Staging は flat records にする。
+
+```text
+1 extract run = 0..N staging records
+1 staging record = 1 candidate = 1 consolidation decision unit
+```
+
+1 record の概念形:
+
+```json
+{
+  "schema_version": 2,
+  "id": "stg_...",
+  "extract_run_id": "er_...",
+  "source": {
+    "segment_id": "segment-1",
+    "range": [120, 180]
+  },
+  "kind": "constraint",
+  "claim": "Extract worker must not direct-write Memory/Knowledge/Skill; it only writes staging.",
+  "why_useful": "Preserves runtime/embedded responsibility boundary.",
+  "staleness": "Revisit if extract and consolidation move into the same Workspace execution context.",
+  "evidence": [
+    {
+      "id": "E001",
+      "kind": "message",
+      "entry_range": [132, 133],
+      "excerpt": "extract worker は Memory / Knowledge / Skill を直接更新しない",
+      "summary": "User and architecture discussion fixed staging-only extract boundary."
+    }
+  ],
+  "source_refs": [
+    {
+      "evidence_id": "E001",
+      "evidence_kind": "message",
+      "entry_range": [132, 133]
+    }
+  ]
+}
+```
+
+Staging の責務:
+
+- candidate kind / claim / hints を保持する。
+- extract が選んだ bounded evidence snippets を保持する。
+- source anchors を保持する。
+- extract と consolidation を decouple する。
+- duplicate / defer / discard / consumed の追跡対象になる。
+- crash / cancel / long-running work の途中でも、後から審査できる候補を残す。
+
+Staging がしてはいけないこと:
+
+- Memory として resident context に直接入らない。
+- Knowledge note の代替にならない。
+- raw session log や Overview 全体の保存場所にならない。
+- extract run 単位の batch file として複数 candidate を抱え込まない。
+- staging entry をすべて Memory 化する前提にしない。
+
+Pirolli & Card 的には、staging は shoebox / evidence file に近い。ただし Yoi の storage taxonomy そのものを shoebox にするのではなく、審査前の evidence-backed candidate queue として扱う。
+
+### 6.5 Staging resolution: the important filter
+
+Staging から Memory 化する段階が、Memory 肥大化と陳腐化を防ぐ中核 filter である。
+
+Consolidation は staging entry ごとに resolution / disposition を決めるべきである。
+
+Disposition action 候補:
+
+- `discard`: 保存価値なし。discard reason を残す。
+- `merge_memory`: 既存 Memory に統合する。
+- `replace_memory`: 古い Memory を新しい内容で置換する。
+- `mark_memory_stale`: 既存 Memory が古くなったことを記録する。
+- `delete_memory`: 邪魔または誤った Memory を削除する。
+- `defer`: 価値判断できないため短期保留する。TTL / defer reason を持つ。
+- `promote_to_knowledge_candidate`: long-term note に育てる候補へ送る。
+- `promote_to_skill_candidate`: recurring / portable procedure の候補へ送る。
+- `link_to_authority`: Ticket / doc / commit / Objective への pointer だけ残す。
+- `create_ticket_or_doc_candidate`: authority / public guidance にすべき候補として送る。
+
+Resolution に残すべき情報:
+
+- staging entry id。
+- action。
+- reason。
+- source anchors。
+- target record / candidate destination。
+- consolidation run id / consumed_by。
+- reviewed_at。
+- discard / defer / stale reason。
+
+Consumed staging を削除する場合も、resolution は残す。これにより「何を Memory にしなかったか」が改善材料として残る。
+
+### 6.6 Consolidation: memoryization, routing, and gardening
+
+Consolidation は precision-oriented pass である。staging を読んで、Memory にするか、別 resource candidate に送るか、捨てるかを決める。
+
+Consolidation の責務:
+
+- staging entry を candidate kind ごとの扱いに沿って評価する。
+- Memory 化するなら usefulness / staleness / source を要求する。
+- 既存 Memory と merge / replace / mark stale / delete する。
+- decision / constraint / lesson などを authority / Knowledge / Skill / Ticket / docs candidate に routing する。
+- discard reason / defer reason を残す。
+- linter feedback / usage evidence / tidy hints を使う。
+- Memory bloat と stale records を防ぐ。
+
+Consolidation がしてはいけないこと:
+
+- staging entry を無条件に append しない。
+- Ticket / docs / git / session log の mirror を Memory に作らない。
+- Knowledge / Skill / docs を background review だけで無制限に rewrite しない。
+- source / provenance のない claim を durable Memory にしない。
+
+Memory 化に必要な minimum fields / prose:
+
+```text
+content: 何を覚えるか
+why_useful: 今後なぜ役立つか
+source: staging / evidence anchor
+staleness: 何が起きたら古くなるか
+destination_reason: なぜ Knowledge / Skill / Ticket / docs ではなく Memory なのか
+```
+
+Consolidation は append worker ではなく garden worker である。新規作成より、既存 record の統合・置換・陳腐化・削除を優先する。
+
+### 6.7 Trigger policy
+
+発火単位は LLM call 単位にしない。LLM call 単位では文脈が薄く、断片的な extraction になりやすい。
+
+初期方針:
+
+- 現行通り、Worker run cycle が完了してから threshold を判定し、超えていれば extract を発火する。
+- extract 開始時点で immutable snapshot / Overview projection / Evidence index を作る。
+- LLM call ごとには発火しない。
+- Run 中の Overview accumulation trigger / mid-run extract は初期実装に含めない。
+- 将来 long-running 中に mid-run 発火を入れる場合も、direct update ではなく staging/checkpoint extraction に限定する。
+
+この trigger は、まず既存の post-run memory job model を保ち、extract の入力品質と staging record 粒度の改善に集中する。
+
+## 7. Sensemaking interpretation
+
+Sensemaking は storage taxonomy ではなく、pipeline の見方として使う。
+
+Pirolli & Card の flow を Yoi に対応させるとこうなる:
+
+```text
+External data sources
+  = session log, tool results, Tickets, docs, code, web refs
+
+Shoebox
+  = Overview + Evidence index + selected candidate ranges
+
+Evidence file
+  = source anchors 付き staging entries
+
+Schemas / hypotheses
+  = Memory 化すべきか、Knowledge/Skill に送るべきか、stale かの判断
+
+Product
+  = Memory update, Knowledge candidate, Skill candidate,
+    Ticket/doc update, review evidence, discard resolution
+```
+
+重要なのは、Memory 化を evidence から product へ進める審査の一形態として扱うこと。Memory record は「将来の作業に効く」という hypothesis なので、why_useful、staleness、source が必要である。
+
+初期 sensemaking support は lightweight でよい:
+
+- task-bound collected references as Ticket/Objective artifacts。
+- provenance 付き evidence summaries。
+- review Skills における explicit contradictory evidence sections。
+- recurring patterns を synthesize する Knowledge notes。
+- staging resolution に discard / defer / promote reason を残す。
+
+## 8. Human-readable growth paths
+
+中核要件は、有用な material が人間に読める形へ成長できること。
+
+Typical paths:
+
+```text
+Session observation
+  -> staging candidate
+  -> Memory record
+  -> Knowledge note candidate
+  -> Knowledge note with links/backlinks
+  -> maintained doc or Ticket decision if it becomes authority
+```
+
+```text
+Repeated successful procedure
+  -> staging candidate / Memory observation / Ticket comment
+  -> Skill candidate
+  -> `.yoi/skills/<skill>/SKILL.md`
+  -> builtin or shared Skill if portable
+```
+
+```text
+Design discussion
+  -> Objective resource
+  -> Knowledge note synthesis
+  -> implementation Tickets
+  -> docs after stabilization
+```
+
+Architecture は、これらの promotion を explicit and reviewable にする。
+
+## 9. External reference lessons
+
+### 9.1 Current Yoi pipeline
+
+現在の Yoi extraction は activity-log pipeline:
+
+- `build_extract_input` が conversation slice を flat Markdown として render する。
+  - user / assistant text は保持する。
+  - tool-call names を含める。
+  - raw tool-result content ではなく tool-result summaries のみを含める。
+  - reasoning は落とす。
+- extract worker の tool は `write_extracted` 1 つだけ。
+- `write_extracted` は `decisions`、`discussions`、`attempts`、`requests` を持つ structured `ExtractedPayload` を 1 件受け取る。
+- LLM は provenance を作らない。Worker が `StagingRecord` を書くときに `source` を機械的に付与する。
+- empty payload は valid で、no-op として扱える。
+- consolidation は後で staging entries、full current Memory records、usage evidence、tidy hints を consume する。
+- consolidation は Memory tools 経由で write し、linter feedback に対応し、record を merge / replace し、outdated / superseded / unused / noisy records を clean up する。
+
+残す価値がある点:
+
+- foreground 応答生成から memory maintenance が隔離されている。
+- provenance が host 側で機械付与される。
+- extract が direct write せず staging を挟む。
+- empty / no-op が許される。
+- consolidation が linter feedback と tidy hints を使う。
+
+変えるべき点:
+
+- flat slice ではなく Overview-first / Evidence-index-second にする。
+- extract worker に read-only evidence tools を持たせる。
+- staging を一時バッファではなく審査キューとして扱う。
+- consolidation に entry-level disposition / resolution を要求する。
+- legacy Knowledge as generated memory 前提を外す。
+
+### 9.2 HermesAgent
+
+HermesAgent は background review により、conversation snapshot から Memory / Skill update を直接判断する。
+
+参考になる点:
+
+- maintenance を foreground interaction から隔離する。
+- 保存すべきものがなければ NOP にする。
+- Memory と Skill を分ける。
+- prompt snapshot / drift / injection guard を重視する。
+
+そのまま採用しない点:
+
+- direct write-only review を主経路にしない。
+- aggressive Skill update bias を避ける。
+- `MEMORY.md` / `USER.md` two-file model を Yoi 全体の architecture にしない。
+
+Yoi では、Hermes 的な direct maintenance は bounded Memory update lane では参考になるが、extract worker 自体は direct write しない。
+
+### 9.3 Codex
+
+Codex は session / rollout を durable source として扱い、background pipeline が後から claim / extract / consolidate する。
+
+参考になる点:
+
+- durable source。
+- phase separation。
+- claim / lease / retry / global lock。
+- workspace diff / baseline guard。
+- extraction と consolidation の分離。
+
+Yoi では、Codex 的な durable job / phase pipeline は staging resolution と consolidation scheduling に取り入れる価値がある。ただし、この architecture phase ではまず Overview-first extract と staging resolution を優先する。
+
+## 10. Implementation posture
+
+現在の実装は redesign してよい。既存の Memory / Knowledge shape があるからという理由で残さない。
+
+ただし big-bang rewrite は避ける。この architecture が accepted されてから分割する。
+
+Recommended implementation sequence:
+
+1. **Knowledge removal 後の current Memory を clarify する**
+   - short-term / resident Memory を維持する。
+   - Memory が Knowledge を代替しなければならない、という前提を外す。
+   - legacy `knowledge/*` を generated memory として扱う stale consolidation prompt language を削除する。
+
+2. **Progress message guidance を追加する**
+   - 長い作業や tool loop の節目で、main Worker が ordinary user-visible prose response として短い Progress message を残す。
+   - 専用 Tool は追加しない。
+   - Progress message は public に見せられる作業状態、確認済み事実、判断、未解決点、次の作業に限定する。
+
+3. **Overview-first extract input を実装する**
+   - user messages + Assistant text outputs を semantic Overview として優先する。
+   - tool calls / tool results は Evidence index として分離する。
+   - committed history だけから Overview を作り、hidden context injection を避ける。
+
+4. **Extract worker 専用 evidence tools と staging output tools を実装する**
+   - extract worker に read-only Evidence search / Evidence read を渡す。
+   - main Worker の tool surface は増やさない。
+   - output tools は `stage_candidate` / `finish_extraction` にする。
+   - `stage_candidate` は 1 candidate = 1 flat staging record を書く。
+   - source range と candidate record を結びつけられる schema / staging format を実装する。
+
+5. **Staging-first extract を維持する**
+   - extract worker は direct Memory / Knowledge / Skill write をしない。
+   - overview accumulation / evidence growth / run or task boundary で extract を予約する。
+   - mid-run 発火を入れる場合も staging/checkpoint extraction に限定する。
+
+6. **Staging resolution / disposition を実装する**
+   - staging entry ごとに discard / merge / replace / stale / delete / defer / promote / link を記録する。
+   - consumed staging を削除する前に resolution log / archive を残す。
+   - discard reason と defer reason を extract prompt 改善に使えるようにする。
+
+7. **Target Knowledge note model を設計する**
+   - OKF-compatible Markdown concept document / bundle profile。
+   - Yoi extension frontmatter。
+   - link / backlink model。
+   - provenance / citations / staleness metadata。
+   - Workspace API surface。
+   - reviewable Knowledge updates の candidate / staging format。
+
+8. **Consolidation / tidy lane を更新する**
+   - staging entries、existing Memory、usage evidence、linter feedback、stale/noisy hints を統合する。
+   - legacy Knowledge as generated memory 前提を外す。
+   - Memory update、Knowledge candidate、Skill candidate を分けて扱う。
+
+9. **Minimal Knowledge catalog/read/write を実装する**
+   - OKF-compatible Markdown files と Workspace API から始める。
+   - frontmatter validation / lint と backlinks を追加する。
+   - `index.md` progressive disclosure と `# Citations` の扱いを実装する。
+
+10. **Skill support を別に実装する**
+    - Agent Skills standard と Workspace authority に従う。
+    - Skill と Knowledge note schema を混ぜない。
+    - automatic Skill modification は recurrence と portability で gate する。
+
+11. **Promotion workflows/tools を追加する**
+    - Memory -> Knowledge candidate。
+    - Knowledge -> docs / Ticket decision candidate。
+    - repeated procedure -> Skill candidate。
+
+12. **Resource classes が安定してから sensemaking helpers を追加する**
+    - collected refs。
+    - evidence extraction。
+    - contradiction / staleness views。
+    - product-impact metrics。
+
+## 11. Non-goals
+
+- Memory を唯一の long-term knowledge store として扱うこと。
+- Knowledge を名前だけ変えた generated memory として扱うこと。
+- Skill を Workflow tracker や state machine として扱うこと。
+- Worker history / tool results の外で context injection を隠すこと。
+- Knowledge notes を Tickets / docs / git history より authoritative にすること。
+- review なしに Knowledge / Skills / docs を自動 rewrite すること。
+- extract worker に direct resource mutation authority を持たせること。
+- extract run 単位の batch staging record に複数 candidate を抱え込ませること。
+- staging entry をすべて Memory 化すること。
+- human-readable artifact model が安定する前に vector database を設計すること。
+- volatile Memory や staging queue を OKF concept document として扱うこと。
+- H2 Markdown single-file layout を Workspace Memory API の長期 contract として固定すること。
+- Agent Skills format を OKF Playbook documents で置き換えること。
+
+## 12. Open decisions
+
+- Knowledge bundle の exact directory organization: flat files、nested directories、domain directories のどれを初期推奨にするか。
+- Yoi extension frontmatter の exact fields。
+- Yoi stable `yoi_id` を必須にするか optional にするか。
+- OKF `type` values の初期 convention をどうするか。
+- Link syntax は OKF-compatible Markdown links と Obsidian-style wiki links (`[[slug]]`, `[[slug|label]]`) を support する。canonical internal representation と export normalization をどうするか。
+- Knowledge note IDs / slugs と titles の関係。
+- Memory は local-first のままにするか、Knowledge と同じ phase で Workspace API-first にするか。
+- Memory / Knowledge APIs は同じ crate にするか、別 domain crates にするか。
+- Memory -> Knowledge の promotion UI/tool をどうするか。
+- personal Memory と workspace Memory をどう区別するか。
+- Knowledge drafts の auto-generation をどこまで許すか。
+- extract worker 専用 evidence tools の exact API: search/read の引数、上限、evidence id format。
+- `stage_candidate` / `finish_extraction` の exact tool schema。
+- flat staging record の exact fields: `claim`, `why_useful`, `staleness`, `evidence`, `source_refs`, `extract_run_id` など。
+- Overview trigger を overview token count、Assistant message count、evidence growth、run/task boundary のどれで制御するか。
+- mid-run extract をどこまで許すか。初期は staging/checkpoint extraction に限定する方針。
+- staging resolution log / archive の保持期間と compact policy。
+- どの Memory sidecar writes を direct に許し、どれを staged proposals にするか。extract worker 自体は direct write しない。
+- Skill sidecar output は patches/proposals だけから始めるか、low-risk Skill edits を auto-apply してよいか。
+- Memory / Knowledge / Skill Workspace APIs をまたぐ sidecar audit events をどう表現するか。
+- prompt-cache-aware sidecar input で full replay と digest-plus-tail をどう選ぶか。
+
+## 13. Exit criteria for architecture phase
+
+この architecture は、次が満たされたら Tickets に分割できる。
+
+- Memory / Knowledge / Skill boundary が accepted される。
+- OKF-compatible bundle / Markdown concept documents としての target Knowledge が accepted される。
+- Memory / Knowledge / Skills の Workspace backend authority が accepted される。
+- Overview-first extract、extract worker 専用 evidence tools、staging-first output の方針が accepted される。
+- staging resolution / disposition と、staging -> Memory 化 filter の方針が accepted される。
+- 最初の implementation slice が選ばれる。
+- non-goals が accepted され、old Workflow tracking や old unused Knowledge をそのまま再作成しないことが確認される。

.yoi/objectives/00001KVJSMQXZ/resources/pirolli-card-2005-sensemaking.md

@@ -0,0 +1,137 @@
+---
+source_url: "https://andymatuschak.org/files/papers/Pirolli%2C%20Card%20-%202005%20-%20The%20sensemaking%20process%20and%20leverage%20points%20for%20analyst%20technology%20as.pdf"
+fetched_at: "2026-07-15T21:24:00Z"
+content_type: "application/pdf"
+notes: "Untrusted external reference captured as local Objective resource for Memory sensemaking design. This is a summary/extraction for design discussion, not project authority."
+---
+
+# Pirolli & Card (2005): The sensemaking process and leverage points for analyst technology
+
+## Citation / source
+
+Peter Pirolli and Stuart Card, PARC. "The Sensemaking Process and Leverage Points for Analyst Technology as Identified Through Cognitive Task Analysis" (2005).
+
+Source PDF: <https://andymatuschak.org/files/papers/Pirolli%2C%20Card%20-%202005%20-%20The%20sensemaking%20process%20and%20leverage%20points%20for%20analyst%20technology%20as.pdf>
+
+## Core model
+
+The paper frames intelligence analysis as a sensemaking task:
+
+```text
+Information -> Schema -> Insight -> Product
+```
+
+The analyst transforms raw data into progressively more structured representations so expertise can apply and so results can be communicated.
+
+The paper's notional data flow is especially relevant to Yoi Memory design:
+
+```text
+External data sources
+  -> shoebox
+  -> evidence file
+  -> schemas
+  -> hypotheses
+  -> presentation / work product
+```
+
+- **External data sources**: raw material, mostly text in the studied setting.
+- **Shoebox**: the smaller subset collected as relevant for the task.
+- **Evidence file**: extracted snippets / nuggets from the shoebox, plus low-level inferences.
+- **Schemas**: re-representations that organize information for analysis.
+- **Hypotheses**: tentative conclusions with supporting or disconfirming evidence.
+- **Product**: report / presentation / action suited for communication.
+
+## Two major loops
+
+The process has two interacting loops rather than a simple linear pipeline.
+
+### Foraging loop
+
+Activities aimed at finding and selecting information:
+
+- search and filter external data sources;
+- collect potentially relevant material into a shoebox;
+- read and extract evidence snippets;
+- follow up on questions generated by extracted evidence.
+
+The paper highlights the exploration / enrichment / exploitation tradeoff:
+
+- **Exploration**: monitor or search more of the information space; increases recall.
+- **Enrichment**: narrow the collected set into smaller, higher-precision subsets.
+- **Exploitation**: read/extract/analyze the chosen material more thoroughly.
+
+Analyst tooling can help by changing the cost structure of search, scanning, assessment, selection, attention shifting, and follow-up searches.
+
+### Sensemaking loop
+
+Activities aimed at structuring and reasoning:
+
+- schematize evidence;
+- build a case;
+- generate / manage hypotheses;
+- marshal evidence for and against hypotheses;
+- tell a story / produce a report;
+- re-evaluate based on feedback or new evidence.
+
+The paper emphasizes opportunistic mixing of bottom-up and top-down processing:
+
+- **Bottom-up**: data triggers schemas, relations, hypotheses, and products.
+- **Top-down**: hypotheses / client feedback trigger new searches, re-reading, and re-organization.
+
+## Leverage points
+
+### Foraging loop leverage
+
+- Cost structure of exploration / enrichment / exploitation.
+- Cost structure of scanning, recognizing, and selecting items for attention.
+- Cost of shifting attentional control to a new domain or task.
+- Cost of follow-up searches generated by extracted information.
+- Broad-band low-fidelity assessment plus narrow-band high-fidelity processing is a useful design pattern.
+
+### Sensemaking loop leverage
+
+- Span of attention for evidence, hypotheses, and evidentiary relations.
+- Generation of alternative hypotheses.
+- Confirmation bias and failure to seek disconfirming evidence.
+- External representations can expand working memory for evidence/hypothesis structures.
+- Tools should help distribute attention toward diagnostic evidence and disconfirming relations.
+
+## Implications for Yoi Memory Objective
+
+This paper directly supports the Objective's direction that effective Memory is not just durable storage or retrieval count.
+
+Useful design implications:
+
+1. **Task-bound shoebox**
+   - For each Ticket / Objective / question, provide a bounded collection of potentially relevant materials.
+   - Include provenance and why each item was collected.
+
+2. **Evidence file**
+   - Extract snippets from source material with source, applicability, confidence, and context.
+   - Evidence should be usable for support and disconfirmation, not only recall.
+
+3. **Schema / representation layer**
+   - The system should help create intermediate structures: timelines, entity/relation maps, alternatives, checklists, hypothesis spaces, decision tables.
+   - These are separate from raw Memory records.
+
+4. **Hypotheses and alternatives**
+   - Record competing explanations, rejected alternatives, open questions, and evidence gaps.
+   - Avoid only storing final decisions.
+
+5. **Disconfirming evidence**
+   - Reviewer / Orchestrator support should explicitly search for contradiction and diagnostic evidence.
+   - This belongs in Skill guidance and typed review tooling, not in a separate Knowledge store.
+
+6. **Metrics**
+   - Measure whether Memory changes product quality, review quality, decision quality, or time-to-evidence.
+   - Avoid treating exposure/retrieval counts alone as success.
+
+7. **Product connection**
+   - The loop should end in a product: Ticket decision, implementation report, review, design doc, Skill update, or validated artifact.
+   - Memory that never reaches a product is likely a graveyard.
+
+## Boundary with current Yoi direction
+
+- Knowledge as a separate record kind is being removed; this paper's reusable representations should map to Memory artifacts, Ticket artifacts, maintained docs, or Skills depending on authority.
+- Workflow tracking is being removed; procedural guidance such as "generate alternatives" or "seek disconfirming evidence" should live in Skills / role prompts and be enforced by typed tools where authority is needed.
+- Workspace backend should eventually be the authority for task-bound shoebox / evidence artifacts when Memory moves from local compatibility storage to control-plane records.

.yoi/objectives/00001KWW44EXK/item.md

@@ -0,0 +1,343 @@
+---
+title: "Runtime working directory materialization and sandboxed agent environments"
+state: "active"
+created_at: "2026-07-06T16:28:12Z"
+updated_at: "2026-07-10T16:50:00Z"
+linked_tickets: ["00001KWPC13WQ", "00001KWMBAA6V", "00001KX6BPY7M", "00001KX6CRVBE"]
+---
+
+## Goal
+
+Runtime が Worker ごとに安全で安価な作業環境を用意できるようにする。Yoi の Runtime は、単に既存ディレクトリで Worker process を起動する launcher ではなく、RepositoryPoint から working directory を materialize し、sandbox / mount / cache / cleanup / evidence を管理する実行基盤になる。
+
+この Objective の中心は、Worker 用 working directory の materialization、Repository cache、working directory allocation、sandboxed agent environment の境界を設計し、将来的に 1 つの Runtime が複数 Workspace / Repository の Worker を抱えられるようにすることである。
+
+初期実装では Git/local repository を主対象にしてよい。ただし設計は Git worktree 固定にしない。Git worktree、bare object cache、sparse checkout、copy-on-write snapshot、reflink copy、APFS clonefile、btrfs snapshot、overlay filesystem、container filesystem、remote object snapshot は、すべて working directory materialization strategy の候補として扱う。
+
+## Motivation / background
+
+現在の Runtime は `--workspace` で与えられた単一 root を Worker の workspace scope として使う。この形では次の問題がある。
+
+- 複数 Worker が同じ repository root を scope として要求すると allocation conflict が起きる。
+- Runtime が single Workspace / Git repository root 専用 process になってしまう。
+- Worker が source repository root を直接触るため、sandbox / cleanup / quota / evidence の境界が曖昧になる。
+- Worker ごとに full clone すると容量と時間のコストが大きすぎる。
+- `.yoi` / Backend fs-store / Workspace descriptor と、Worker 実行用 checkout / scratch / build output の lifecycle が混ざりやすい。
+
+Yoi は Workspace / Repository / Runtime を分ける方針になっている。Backend は Repository registry、RepositorySelector、RepositoryPoint、Ticket/Artifact evidence の authority を持つ。一方 Runtime は RepositoryPoint を受け取り、Worker が使う working directory を用意する責務を持つべきである。
+
+したがって、Repository を持ってくる実体ディレクトリは Backend / Workspace store ではなく Runtime 管理領域に置く。`./.yoi` は local descriptor / compatibility / project record surface であり、Worker ごとの checkout、worktree、snapshot、sandbox root、build cache、dependency cache を置く場所ではない。
+
+参考になる方向性として、Rift のような copy-on-write workspace snapshot / reflink / btrfs snapshot / APFS clonefile による安価な workspace creation がある。ただし Yoi は Rift を Git worktree 代替 CLI として直接前提にするのではなく、Runtime materializer backend の一候補として扱う。
+
+## Glossary
+
+- Runtime root: Runtime が自身の store、cache、Worker metadata、working directory allocation を管理する root。長期的には `~/.yoi/runtimes/<runtime-id>/` 配下など、Workspace backend store とは別に置く。
+- Repository cache: Runtime-local の共有 source/cache。Git なら bare mirror / object cache / packfile cache など。重く、長寿命で、複数 Worker allocation から共有される。
+- working directory: Worker ごとの作業環境。短寿命で、Worker が読み書きする root / mounts / scratch / overlay を含む。Browser-facing UI では `workspace` と混同しないよう `workdir` と表示してよい。`Volume` は storage backing の候補名であり、この作業領域そのものの呼称にはしない。
+- Worker record: 作業単位として保存する record。profile、Runtime、RepositoryPoint / workdir evidence、session/transcript refs、status、diagnostics、summary、pinned flag を束ねる。Session 単体ではなく Worker を保存・削除の単位にする。
+- Materialization strategy: RepositoryPoint から working directory を作る実装戦略。Git detached worktree、sparse checkout、CoW snapshot、reflink copy、overlay、container filesystem など。
+- WorkingDirectoryAllocation: Runtime が払い出した作業環境の record。allocation id、worker id、workspace id、repository point、materializer kind、root、mounts、cleanup policy、status を持つ。
+- Sandbox policy: Worker が見られる filesystem、network、process、secret、tool authority の境界を表す policy。
+- Dirty state policy: local uncommitted changes を Worker environment に含めるかどうかの方針。clean point only、patch artifact apply、snapshot current worktree など。
+
+## Strategy / design direction
+
+### 1. Backend store と Runtime execution storage を分ける
+
+Workspace/backend store は canonical or local descriptor records を扱う。
+
+```text
+Backend / Control plane store
+  - Workspace registry
+  - Repository registry
+  - Ticket / Objective
+  - Artifact metadata / evidence
+  - Actor / Permission / Audit
+  - Runtime registry / observed state
+```
+
+Runtime execution storage は Worker 実行のための materialized filesystem と cache を扱う。
+
+```text
+Runtime root
+  - runtime catalog / runtime-local DB
+  - config bundles
+  - worker metadata / transcript references
+  - repository-cache
+  - working-directories
+  - sandbox state
+  - build/dependency cache
+  - cleanup ledger
+```
+
+この 2 つを混ぜない。特に `.yoi` や workspace config root に Worker ごとの checkout/worktree/sandbox root を置かない。
+
+推奨配置の方向:
+
+```text
+~/.yoi/
+  workspace-server/
+    backend.db
+    workspaces/
+      <workspace-id>/
+        workspace.db
+        artifacts/
+
+  runtimes/
+    <runtime-id>/
+      runtime.db
+      config-bundles/
+      workers/
+        <worker-id>/
+          metadata/
+      repository-cache/
+        git/
+          <repository-cache-key>/
+            bare.git
+      working-directories/
+        <allocation-id>/
+          root/
+          mounts/
+          scratch/
+          materialization.json
+      build-cache/
+      tmp/
+```
+
+### 2. clone ではなく materialize と呼ぶ
+
+Runtime は Repository を毎回 clone するのではない。Runtime は RepositoryPoint を Worker 用の working directory として materialize する。
+
+```text
+RepositoryId + RepositorySelector
+  -> resolved RepositoryPoint
+  -> Runtime repository-cache
+  -> WorkingDirectoryMaterializer
+  -> WorkingDirectoryAllocation
+  -> Worker process
+```
+
+Git の場合でも materialization strategy は複数あり得る。
+
+- shared bare cache + detached Git worktree
+- sparse checkout
+- partial clone / blob filter
+- reflink copy
+- btrfs writable snapshot
+- APFS clonefile
+- overlay filesystem
+- external tool backed snapshot, e.g. Rift-like CoW workspace creation
+
+### 3. Repository cache と Worker working directory を分離する
+
+full clone を Worker ごとに作らない。重い source/object data は Runtime-local repository cache に集約し、Worker ごとの working directory は cheap allocation にする。
+
+Git v0 の方向:
+
+```text
+repository-cache/git/<repo-key>/bare.git
+working-directories/<allocation-id>/root/<repository-id>/
+```
+
+初回:
+
+```text
+git clone --mirror <uri> repository-cache/git/<repo-key>/bare.git
+```
+
+次回以降:
+
+```text
+git -C repository-cache/git/<repo-key>/bare.git fetch --prune
+```
+
+Worker allocation:
+
+```text
+git --git-dir=<bare.git> worktree add --detach <execution-root>/<repository-id> <commit>
+```
+
+Git branch 名を直接 checkout しない。Git worktree は同一 branch を複数 worktree に checkout しづらいため、RepositorySelector を RepositoryPoint に解決し、resolved commit を detached worktree として materialize する。Worker が branch を必要とする場合は Worker/Task ごとの synthetic branch を別途作る。
+
+### 4. Dirty state を明示 policy にする
+
+local dirty changes を暗黙に Worker に見せない。
+
+可能な policy:
+
+- `clean_point_only`: dirty workspace は materialization 拒否。再現性が高く v0 の default 候補。
+- `patch_artifact`: clean RepositoryPoint を materialize し、Backend が保存した dirty diff artifact を apply する。
+- `current_worktree_snapshot`: CoW/reflink/Rift-like snapshot で現在の working tree を snapshot として materialize する。便利だが evidence と cleanup の扱いを明示する必要がある。
+- `direct_legacy_mount`: 既存 root をそのまま渡す。debug/legacy only。通常 Worker creation の default にしない。
+
+Dirty state を含める場合、Artifact/evidence には source RepositoryPoint、patch/snapshot digest、created_at、materializer kind を残す。
+
+### 5. Sandbox を materialization と同じ境界で扱う
+
+working directory は単なる directory path ではなく、Worker が見てよい filesystem view である。Runtime は working directory allocation と同時に sandbox/mount/authority を構築する。
+
+Worker に渡すもの:
+
+- workspace root
+- repository mounts
+- scratch/cache dirs
+- tool authority
+- env vars
+- config bundle
+- secret handles, not raw secrets
+
+Worker が自分で発見してはいけないもの:
+
+- host repository root
+- Backend store path
+- `.yoi` authority-bearing internals
+- raw credentials
+- Runtime socket/store/cache internals
+- sibling Worker working directories
+
+Sandbox v0 は strong isolation でなくてもよい。ただし型と lifecycle は、後で container sandbox、namespace, mount filtering, network policy, secret boundary に拡張できる形にする。
+
+### 6. working directory registry を持つ
+
+Runtime は materialized workspace を filesystem だけでなく registry でも管理する。
+
+必要な record:
+
+```text
+WorkingDirectoryAllocation
+  id
+  runtime_id
+  worker_id
+  workspace_id
+  repository_points[]
+  materializer_kind
+  root
+  mounts[]
+  scratch
+  source_cache_refs[]
+  sandbox_policy
+  dirty_state_policy
+  cleanup_policy
+  status: active | stopped | cleanup_pending | removed | failed
+  created_at
+  stopped_at
+  diagnostics[]
+```
+
+この registry は Runtime root 側に置く。Backend は必要な evidence と summary だけを受け取る。Browser-facing API は raw host paths を原則漏らさない。
+
+### 7. Heavy regenerable artifacts は policy で除外または cache 化する
+
+Worker working directory creation では、`node_modules`, `target`, `.venv`, framework cache, dist, build, coverage などを無条件に full copy しない。
+
+Materialization policy は以下を持てるようにする。
+
+- exclude regenerable artifacts
+- include manifests / lockfiles
+- share dependency cache
+- use build cache
+- path scope / sparse checkout
+- per-repository materialization options
+
+Rift の filtered CoW creation のように、重い artifacts を除外しながら source tree を高速に用意できる strategy を将来取り込めるようにする。
+
+## Initial implementation phases
+
+### Phase 1: Materialization boundary and legacy allocation record
+
+- `CreateWorkerRequest` に working directory request / target placeholder を追加する。
+- `WorkingDirectoryMaterializer` trait を `worker-runtime` に追加する。
+- `WorkerRuntimeExecutionBackend` が Worker spawn 前に materializer を呼ぶ順序にする。
+- v0 materializer は existing local root を explicit allocation として返してよいが、`direct_legacy_mount` として明示し、通常設計の final form と混同しない。
+- Allocation record / cleanup policy / diagnostics の型を先に作る。
+- Worker が source repository root を直接 scope として要求する経路を deprecated/legacy に閉じ込める。
+
+### Phase 2: Runtime root and working directory storage
+
+- `--runtime-root` を導入し、Runtime state / repository-cache / working-directories / worker metadata / worker runtime dirs を Runtime root 配下へ寄せる。
+- `--workspace` は legacy bootstrap input としてだけ扱い、Runtime identity / long-term workspace binding から外す。
+- Runtime root default は user data 配下にする。
+- working directory allocation registry を Runtime root に保存する。
+
+### Phase 3: Git cached detached worktree materializer
+
+- Git repository cache を Runtime root に作る。
+- RepositorySelector を RepositoryPoint に解決する呼び出し境界を作る。
+- resolved commit/tree を evidence として残す。
+- Worker ごとに detached worktree を `working-directories/<allocation-id>/root/<repository-id>` に作る。
+- Worker stop / cleanup 時に `git worktree remove` と registry cleanup を行う。
+- dirty state は v0 では `clean_point_only` を default にし、dirty local workspace は明示 diagnostic で拒否する。
+
+### Phase 4: Path scope / sparse checkout / cache policies
+
+- Ticket target / Worker launch request の path scope を materialization に渡す。
+- Git sparse checkout を materializer strategy として追加する。
+- heavy artifact exclude / dependency cache / build cache policy を導入する。
+
+### Phase 5: CoW / snapshot materializer
+
+- btrfs snapshot、Linux reflink、macOS APFS clonefile、Rift-like snapshot backend を materializer strategy として検討・実装する。
+- `current_worktree_snapshot` policy を evidence と cleanup 付きで扱う。
+- source root と generated workspace の registry / ancestor / cleanup model を設計する。
+
+### Phase 6: Strong sandbox and remote Runtime support
+
+- container filesystem / mount namespace / network policy / secret handle / tool authority を Runtime allocation と統合する。
+- Runtime が複数 Workspace / Repository の Worker を同時に抱える場合の namespace、quota、cleanup、audit boundary を固める。
+- remote/self-hosted/hosted Runtime fleet で repository cache と working directory storage をどう扱うかを設計する。
+
+### 7. Worker / Session / workdir retention and cleanup policy
+
+- Worker を保存・削除単位にする。Session / transcript は Worker に内包または参照される履歴として扱い、Session 単体を長期保存 authority にしない。
+- Worker lifecycle は `running -> stopped -> delete` を基本にする。`archived` を lifecycle state として導入しない。
+- Worker には `pinned` flag を持たせる。Pinned Worker は manual delete / cleanup / future automatic prune から守られる。
+- Worker delete は Worker record と内包する Session / transcript history の削除を意味する。Workdir files は自動削除しない。
+- Session / transcript は削除可能にする。圧縮 archive storage や高度な summarized retention は必要になった時点で別の storage policy として設計する。
+- Workdir 実ファイルは durable history ではなく再現可能 cache として扱う。RepositoryPoint / resolved commit から再現でき、dirty/uncommitted state が無いなら、running Worker に紐づかない workdir files は manual cleanup eligible とする。
+- Dirty Workdir は活動中または要判断状態として扱う。削除は可能だが、changes ごと消す explicit confirmation を要求する。Dirty orphan は recovery Worker 起動または explicit discard の判断対象であり、通常の clean cleanup と区別する。
+- Workdir record は materialization evidence として扱う。実ファイルが削除済みなら `removed`、外部要因で欠落しているなら stale/missing materialization として診断可能にする。
+- Worker と Workdir の関係は Backend registry の link table を authority にする。Worker record は最後に活動した RepositoryPoint / resolved commit / workdir binding summary を保持し、Stopped Worker + Removed Workdir でも必要に応じて再 materialize できるようにする。
+- Cleanup/delete は当面 manual-first にする。削除前に対象、理由、削除される bytes、blocking conditions（running Worker、pinned Worker、dirty state、unreachable commit など）を plan として提示する。
+- 将来的には容量/期限ベースの automatic prune を設定可能にする予定。ただし automatic prune は user-configured policy と pinned protection を前提にし、初期の manual cleanup/delete とは別段階で扱う。
+- UI 表示は `workdir` に寄せる。内部型/API の互換名 `working_directory` は移行中に残ってよいが、Browser-facing navigation では Runtime 管理配下の `Workdirs` として扱う。
+
+## Non-goals
+
+- v0 で完全な container sandbox を実装すること。
+- Worker ごとに full clone すること。
+- `.yoi` や Backend workspace store に Worker working directory を置くこと。
+- Git worktree を唯一の materialization strategy として固定すること。
+- Dirty local changes を暗黙に Worker に渡すこと。
+- Browser-facing API に raw host path、secret、Runtime internal store path を公開すること。
+- Repository credential / secret distribution の本格設計をこの Objective だけで完了させること。
+
+## Success criteria / exit conditions
+
+- Runtime root、Repository cache、working directory、Backend/Workspace store の境界が文書化されている。
+- Runtime が Worker spawn 前に working directory materializer を呼ぶ型と順序を持つ。
+- Worker は source repository root ではなく materialized working directory を scope として起動する。
+- working directory allocation が Runtime registry に記録され、cleanup policy を持つ。
+- Git/local repository の v0 materializer が full clone 連発ではなく shared cache / detached worktree / cheap allocation の方向に進んでいる。
+- dirty state policy が明示され、clean point、patch artifact、snapshot のどれを使ったか evidence に残せる。
+- Runtime process 起動時の `--workspace` は legacy bootstrap input として隔離され、Runtime identity や single workspace binding とみなされない。
+- Worker ごとの scope allocation conflict が、同一 source root を直接渡す設計ではなく materialized workspace allocation によって解消される。
+- Sandbox / mount / cache / secret boundary を後続実装で強化できる model になっている。
+- Worker record が Session / transcript refs と pinned flag を束ね、`pinned` Worker を cleanup/delete/future automatic prune から守れる。
+- Workdir 実ファイルは再現可能 cache として manual cleanup/delete でき、削除前に plan-first で linked Worker、session retention、commit reachability、dirty/missing 状態を確認できる。
+- 将来的に容量/期限ベースの automatic prune を user-configured policy として追加できる設計余地がある。
+
+## References
+
+- [Rift: Worktree alternative for fast copy-on-write workspaces](https://github.com/anomalyco/rift) — CoW snapshot / reflink / btrfs snapshot / APFS clonefile による高速 workspace creation、heavy regenerable artifacts の除外、workspace registry などを Runtime materializer backend 設計の参考にする。
+
+## Decision context
+
+- Runtime は Worker 群を束ねる実行基盤であり、Worker 用の作業環境を用意する責務を持つ。
+- Repository は clone されるものではなく、RepositoryPoint から Worker 用 working directory として materialize される。
+- Runtime execution storage は Backend/Workspace store と分離する。`.yoi` は Worker working directory 置き場ではない。
+- full clone を Worker ごとに作らない。Runtime-local repository cache と Worker-local cheap workspace allocation を分ける。
+- Git detached worktree は v0 materialization strategy として有力だが、Git worktree 固定の設計にはしない。
+- CoW snapshot / reflink / btrfs snapshot / APFS clonefile / Rift-like workspace creation は、将来の materializer backend として検討する。
+- Dirty local state は暗黙に渡さず、policy と evidence を持って扱う。
+- Sandbox は後付けの別機能ではなく、working directory allocation と同じ境界で扱う。

.yoi/profiles.toml

@@ -0,0 +1,3 @@
+default = "builtin:companion"
+
+[profile]

.yoi/workflow/auto-maintain.md

@@ -1,148 +0,0 @@
----
-description: TODO / tickets / docs / git history から次の作業候補を見繕い、課題発見や方針決定を半自動でイテレーションする WIP maintainer workflow
-model_invokation: false
-user_invocable: true
-requires: []
----
-# Auto Maintain Workflow (WIP)
-
-insomnia を AI maintainer として運用するための半自動 loop。TODO / tickets から「今進められそうな作業」を選ぶだけでなく、課題の発見、設計判断の切り分け、次に人間へ戻すべき問いの整理までを扱う。
-
-これは unattended 自動開発ではない。実装の並列委譲は `multi-agent-workflow`、worktree の機械的作成は `worktree-workflow` に任せる。本 Workflow はその前段として、何を進めるべきか、何をまだ決めるべきか、下位 orchestrator にどの intent packet を渡すべきかを整理する。
-
-参照:
-
-- `docs/plan/ai-maintainer.md`
-- `tickets/auto-maintain-workflow.md`
-
-## 位置づけ
-
-AI maintainer の目的は、コードを書くこと自体ではなく、プロジェクト状態を前に進めることである。
-
-この Workflow は WIP として、以下を行う。
-
-- TODO / tickets / docs / git history を読んで現在地を把握する。
-- 実装可能な ticket と、方針決定が必要な ticket を分ける。
-- 小さく実装できる候補を提案する。
-- 複数 ticket からなる作業群は、下位 orchestrator に任せる単位として整理する。
-- 設計相談が必要な論点を人間に戻す。
-- 運用上の問題や繰り返し発生する詰まりを report / ticket / workflow 改訂候補として整理する。
-
-## 非目標
-
-現時点では以下をしない。
-
-- 常駐 scheduler として自動実行する。
-- 人間の合意なしに新規 ticket を作る。
-- 人間の合意なしに既存 ticket を大幅変更する。
-- 人間の合意なしに ticket 完了削除を行う。
-- push する。
-- Workflow を自律生成・自律改訂する。
-- scope / permission / history persistence / prompt context 加工原則に関わる判断を勝手に決める。
-
-## 入力として読むもの
-
-必要に応じて以下を読む。
-
-1. `TODO.md`
-2. `tickets/*.md`
-3. `docs/plan/`
-4. `docs/report/`
-5. `git log --oneline` / ticket file の git history
-6. 既存 worktree / branch 状態
-7. 最近の失敗や通知、ユーザーからの観測
-
-TODO と ticket の不整合を見つけたら、勝手に修正せず、まず報告する。ただしユーザーが明示的に「直して」と言った場合は Mode 1 として整理してよい。
-
-## 分類
-
-候補を以下に分ける。
-
-### A. 実装委譲可能
-
-- 要件と完了条件が具体的。
-- 影響範囲が限定的。
-- test / build で確認できる。
-- 大きな設計判断が不要。
-- scope を狭く切れる。
-
-この場合は、人間に候補として提示する。人間が実行を許可したら `$user/multi-agent-workflow` に進む。複数 ticket や連続した作業群では、最上位 Pod が直接 coder を抱えず、下位 orchestrator に intent packet を渡して coder / reviewer sibling loop を管理させる。
-
-### B. 方針決定が必要
-
-- 複数の設計方針が自然に導ける。
-- protocol / permission / scope / persistence / prompt context に触れる。
-- UX の仕様が未確定。
-- 既存 ticket の要件が古い。
-
-この場合は、実装せず、決めるべき問いを短く提示する。
-
-### C. ticket 整理が必要
-
-- TODO にあるが ticket がない。
-- ticket があるが TODO にない。
-- 完了済みに見えるが残っている。
-- ticket の前提が変わっている。
-
-この場合は、不整合と修正案を提示する。修正は人間の許可後に行う。
-
-### D. report / workflow 改善候補
-
-- 同じ tool 問題が繰り返し出る。
-- Workflow の指示が曖昧で実装 Pod が迷った。
-- coder / reviewer / orchestrator の責務が混ざり、親 Pod が細かい code review に戻ってしまった。
-- AI が過剰に Task tool を使うなど、運用上の癖が出た。
-- 通知や Pod completion tracking など、開発基盤の不足が観測された。
-
-この場合は、すぐ ticket 化するか、`docs/report/` に観測として残すか、人間に確認する。
-
-## 半自動 iteration
-
-1. 状態把握
-   - TODO / tickets / git status を読む。
-   - 最近完了した流れや未完了 branch を確認する。
-
-2. 候補抽出
-   - 実装可能そうな ticket を 2〜5 件挙げる。
-   - correctness / developer experience / user-visible UX / cleanup で分類する。
-
-3. 推奨順位
-   - blocking correctness を最優先。
-   - 実害が出ている運用問題を次点。
-   - 小さく完了できる UX / cleanup を次点。
-   - 大きな設計変更は方針相談に回す。
-
-4. 人間への提示
-   - 「次に進めるなら X」を1つ推奨する。
-   - 理由を短く述べる。
-   - 実装委譲する場合の scope / test 方針を添える。
-   - 複数 ticket の作業群なら、下位 orchestrator に任せる単位として提示する。
-
-5. 実行への接続
-   - 人間が「進めて」と言ったら `$user/multi-agent-workflow` に接続する。
-   - 単発 ticket か、下位 orchestrator に任せる ticket 群かを明示する。
-   - 下位 orchestrator に渡す intent / requirements / invariants / non-goals / escalation 条件を短くまとめる。
-   - worktree 作成は `$user/worktree-workflow` に従う。
-
-## エスカレーション基準
-
-以下では実装に進まず、人間へ戻す。
-
-- ticket の要件から複数の設計方針が自然に導ける。
-- 長期構造、crate boundary、protocol、permission、scope、history persistence に触れる。
-- prompt context 加工原則に関わる。
-- 新 ticket の作成、既存 ticket の大幅変更、ticket 完了削除について合意がない。
-- test 不能、再現不能、または作業範囲外の不具合に遭遇した。
-- WorkItem / Thread / Lease / maintainer state など、まだ設計中の概念が必要になる。
-- 下位 orchestrator に委譲するには intent / invariant / escalation 条件が曖昧すぎる。
-
-## まだ固定しないもの
-
-以下は `docs/plan/ai-maintainer.md` の上位設計に残し、本 Workflow では詳細を固定しない。
-
-- WorkItemStore / LeaseStore。
-- operation inbox / trial log。
-- QA feedback を ticket / review / report のどれに落とすか。
-- AI 自身の feedback を Knowledge / report / ticket / workflow 改訂のどれにするか。
-- maintainer doctor。
-- reviewer Pod の評価基準の機械化。

.yoi/workflow/multi-agent-workflow.md

@@ -1,26 +1,26 @@
 ---
-description: worktree と sibling の coder / reviewer Pod を使い、下位 orchestrator が複数 ticket の実装・外部レビュー・修正・完了準備を管理する orchestration フロー
+description: worktree と sibling の coder / reviewer Pod を使い、下位 orchestrator が concrete Ticket 群の実装・外部レビュー・修正・完了準備を管理する orchestration フロー
 model_invokation: true
 user_invocable: true
 requires: []
 ---
 # Multi-agent Worktree Workflow
 
-insomnia を insomnia で開発する際の、worktree + coder Pod + 外部 reviewer Pod + orchestrator Pod の標準フロー。これは **最上位 Pod が細かい code review を抱えず、下位 orchestrator が実装と外部レビューの loop を完了状態まで運ぶためのフロー** である。
+yoi を yoi で開発する際の、worktree + coder Pod + 外部 reviewer Pod + orchestrator Pod の標準フロー。これは **最上位 Pod が細かい code review を抱えず、下位 orchestrator が実装と外部レビューの loop を完了状態まで運ぶためのフロー** である。
 
-worktree の機械的作成手順は `$user/worktree-workflow`、実装前の要件同期・反証 preflight は `$user/ticket-preflight-workflow`、ticket 候補選定や方針探索の半自動 loop は `$user/auto-maintain` に分ける。
+worktree の機械的作成手順は `$user/worktree-workflow`、ユーザー依頼の Ticket 化は `$user/ticket-intake-workflow`、Ticket の next action 分類は `$user/ticket-orchestrator-routing`、実装前の planning/requirements sync は compatibility canonical id `$user/ticket-preflight-workflow` に分ける。
 
-この Workflow は、対象 ticket が implementation-ready であることを前提にする。設計境界・仕様・authority boundary が未同期の場合は、worktree 作成や coder Pod 起動の前に `ticket-preflight-workflow` を通す。
+この Workflow は、対象 ticket が implementation-ready であることを前提にする。implementation-ready は full implementation plan ではなく、recorded intent / binding decisions / invariants / implementation latitude / acceptance criteria / escalation conditions に基づいて coder が bounded investigation を進め、reviewer が判断できる状態を指す。設計境界・仕様・authority boundary が未同期の場合は、worktree 作成や coder Pod 起動の前に planning/requirements sync 互換入口として `ticket-preflight-workflow` を通す。
 
 ## 目的
 
 - 実装差分を ticket ごとの child worktree に隔離する。
 - coder Pod に narrow write scope を渡して実装させる。
 - reviewer Pod を coder の子ではなく **同じ orchestrator 配下の sibling** として立て、外部レビューを行わせる。
-- orchestrator は coder / reviewer のやり取り、修正 loop、validation、merge-ready dossier 作成に責任を持つ。
+- orchestrator は coder / reviewer のやり取り、修正 loop、orchestration branch への integration、validation、Ticket 記録、child worktree cleanup に責任を持つ。
 - 最上位 orchestrator は、コードを直接理解し切ることではなく、委譲した intent / 要件 / invariant に沿って下位 orchestrator が完了まで運んだかを acceptance する。
 
-## 階層モデル
+## Pod coordination model
 
 基本形は以下。
 
@@ -29,14 +29,14 @@ worktree の機械的作成手順は `$user/worktree-workflow`、実装前の要
   - 人間との会話相手
   - intent / 要件 / invariant / escalation 条件を定義
   - 複数の作業群を並列管理
-  - final merge / ticket close / main workspace validation を行う
+  - root/original workspace での read/write/validation/cleanup/git 操作を行う
   - 原則として line-by-line code review を主業務にしない
 
-下位 orchestrator Pod（area / epic / ticket-group coordinator）
-  - 連続した複数 ticket または大きめの ticket 群を完了状態まで運ぶ
+下位 orchestrator Pod（area / concrete-ticket-set coordinator）
+  - 連続した複数 concrete Ticket または大きめの concrete Ticket を完了状態まで運ぶ
   - worktree / branch / coder / reviewer / validation / 修正 loop を管理する
   - coder と reviewer を sibling として扱う
-  - 親には merge-ready dossier と残論点だけを返す
+  - orchestration branch 上の integration 結果と残論点だけを返す
 
 coder Pod
   - 指定 worktree / branch に実装する
@@ -50,20 +50,24 @@ reviewer Pod
   - intent / 要件 / invariant に反する blocker を分類して返す
 ```
 
-一段だけで足りる小さい ticket では、最上位 orchestrator が直接 coder / reviewer sibling を扱ってよい。複数 ticket や設計境界をまたぐ作業では、最上位の下に下位 orchestrator を挟む。
+一段だけで足りる小さい concrete Ticket では、最上位 orchestrator が直接 coder / reviewer sibling を扱ってよい。複数 concrete Ticket や設計境界をまたぐ作業では、最上位の下に下位 orchestrator を挟む。
+
+この Pod coordination model は runtime delegation の形であり、Ticket hierarchy を作る根拠ではない。複数 Ticket を扱う場合も各 Ticket は concrete work item として独立に実装・レビュー・検証・close できる必要がある。broad effort の進捗コンテナとして umbrella Ticket、parent/child Ticket、sub-ticket、part-of、contains などを作らない。中期的な目的や戦略は Objective context に置き、typed Ticket relations が利用可能な場合も dependency / related / blocking / replacement などの非階層メタデータに限る。
+
+明示的な queue review や routing kick の中で、独立した queued Ticket が複数あり coder/reviewer capacity が残っているなら、最初の Ticket の完了を待つことを default にしない。Orchestrator は各 Ticket の relation metadata、OrchestrationPlan records、Ticket thread、workspace/worktree dirty state、visible Pods、既存 branch、conflict notes を確認し、blocking relation や `do_not_parallelize` がなく、write surface が disjoint または conflict risk が小さく機械的に処理できるものを、別 worktree・別 branch・別 narrow write scope で並列開始する。これは background scheduler や queue drain loop ではなく、人間が queued にした Ticket だけを、その場の明示的な acceptance 判断で `queued -> inprogress` に進める運用である。
 
 ## 開始条件
 
 以下が揃っている時に使う。
 
-- 対象 ticket または ticket 群が決まっている。
-- ticket の背景・要件・完了条件から実装方針が概ね導ける。
+- 対象 concrete Ticket または concrete Ticket 群が決まっている。
+- Ticket lifecycle を使う場合、対象はすでに `inprogress` であるか、worktree 作成・Pod spawn・coder routing の前に Orchestrator が個別に `queued -> inprogress` acceptance を記録できる `queued` Ticket に限る。unqueued Ticket は capacity 埋めの対象にしない。
+- ticket の背景・意図・制約・受け入れ条件から、実装調査と局所 tactic 選択を coder に委ねても product / API / UX / authority / design-boundary decision を silently 固定しないと判断できる。
 - worktree 作成と git 書き込み操作について、人間の許可がある。
-- main workspace の unrelated dirty changes を把握している。
-- 下位 orchestrator に渡す intent / invariant / non-goals / escalation 条件を短く書ける。
-- 設計境界・仕様・authority boundary に不確定要素がある場合、`ticket-preflight-workflow` の結果が ticket thread に記録されている。
+- 下位 orchestrator に渡す binding decisions / invariants、implementation latitude、escalation conditions を短く書ける。
+- 設計境界・仕様・authority boundary に不確定要素があり、bounded project-context checks 後も concrete missing decision / information が残る場合、planning/requirements sync 互換入口 `ticket-preflight-workflow` の結果が ticket thread に記録されている。
 
-設計方針が複数自然に導ける場合、protocol / scope / permission / history persistence に触れる場合、ticket 自体の再定義が必要な場合は、実装委譲前に `ticket-preflight-workflow` を通し、必要なら人間へ戻す。ただし下位 orchestrator に探索だけを委譲することはできる。
+product / API / UX / authority / design-boundary 方針が複数自然に導ける場合、ticket 自体の再定義が必要な場合、または protocol / scope / permission / history persistence に触れる作業で bounded project-context checks 後も concrete missing decision / information が残る場合は、実装委譲前に planning/requirements sync 互換入口 `ticket-preflight-workflow` を通し、必要なら人間へ戻す。scope / Pod / permission / persistence のような authority-adjacent domain は reviewer focus と context lookup の signal であり、intent / binding decisions / invariants / implementation latitude / acceptance criteria / escalation conditions が明確なら coder に委ねてよい。実装ファイルの探索、既存コード読解、局所的な構成選択のような bounded implementation uncertainty も同様に coder に委ねてよい。
 
 ## Intent packet
 
@@ -75,24 +79,28 @@ reviewer Pod
 Intent:
 - 何を実現するか。
 
-Requirements:
-- 完了時に満たすべき observable な要件。
-
-Invariants:
-- 壊してはいけない設計境界。
+Binding decisions / invariants:
+- 人間/Orchestrator/Ticket に記録済みで coder / reviewer が従うべき decision。
+- 壊してはいけない設計境界、authority boundary、明示制約。
 - 残してはいけない旧概念や互換層。
 
-Non-goals:
-- 今回やらないこと。
+Requirements / acceptance criteria:
+- 完了時に満たすべき observable な要件と reviewer が判断できる基準。
+
+Implementation latitude:
+- Coder が調査しながら選んでよい local tactic / file-local organization / bounded uncertainty。
 
 Escalate if:
-- 親へ戻すべき判断条件。
+- 親へ戻すべき判断条件。特に product / API / UX / authority boundary / explicit design constraint を変える必要が出た場合。
 
 Validation:
 - 実行すべき format / build / test / doctor。
+
+Reviewer focus:
+- reviewer が確認すべき critical risks。
 ```
 
-reviewer には coder の実装方針ではなく、この intent packet と diff を中心に読ませる。
+reviewer には coder の実装方針ではなく、この intent packet と diff を中心に読ませる。reviewer は recorded intent / binding decisions / invariants / implementation latitude / acceptance criteria / explicit escalation conditions に照らして判断し、不記録の preferred tactic を基準にしない。
 
 ## orchestrator の責務
 
@@ -101,23 +109,30 @@ reviewer には coder の実装方針ではなく、この intent packet と dif
 1. 状態確認
    - `git status --short --branch`
    - 対象 ticket / ticket 群
+   - relation metadata / OrchestrationPlan records / do_not_parallelize / conflict or dependency notes
+   - visible Pods、既存 worktree/branch、coder/reviewer follow-up capacity
    - 関連 TODO / docs / 既存 worktree
-   - preflight が必要な ticket では、`ticket-preflight-workflow` の分類・要件同期・critical risks
+   - planning sync が必要な ticket では、互換入口 `ticket-preflight-workflow` の分類・要件同期・critical risks
 
 2. worktree 作成
-   - `$user/worktree-workflow` に従い `./.worktree/<task-name>` を作る。
-   - `.insomnia` を sparse checkout で除外する。
+   - 対象 Ticket が `queued` なら、この step の前に typed Ticket backend/tool path で `queued -> inprogress` を記録する。これより前に branch 作成、worktree 作成、Pod spawn、実装調査依頼などの implementation side effect を行わない。
+   - Orchestrator が dedicated orchestration worktree で動く場合、作業対象は Orchestrator workspace/orchestration branch と child implementation worktree に限定する。root/original workspace は read/write/validation/cleanup/git 操作の対象ではない。
+   - implementation worktree は記録済み implementation worktree root の `.worktree` 配下に置く。root/original workspace は配置基準としてだけ扱い、作業対象にしない。
+   - implementation branch は Orchestrator workspace の current HEAD/orchestration branch HEAD から作り、reviewer approve 後は orchestration branch へ自動 integration する。
+   - `.yoi` 自体は除外しない。tracked project records は child worktree に存在してよく、`.yoi/memory` と local/runtime/log/lock/secret-like paths だけを sparse checkout で除外する。
 
 3. coder Pod spawn
-   - read scope: main workspace 全体。
+   - read scope: original workspace root 全体、または実装に必要な bounded read scope。
    - write scope: child worktree、または必要最小 directory。
    - task には以下を明示する。
      - child worktree path / branch
      - 対象 ticket path
      - intent packet
-     - Bash は必ず child worktree に `cd` すること
-     - main workspace の `TODO.md` / `tickets/` / `docs/report/` / `.insomnia` は編集しないこと
-     - 範囲外事項
+     - SpawnPod の `cwd` は child worktree に設定すること（`cwd` は process/tool default cwd であり、scope/authority ではない）
+     - Orchestrator workspace / recorded Ticket backend の `TODO.md` / Ticket records / `docs/report/` / `.yoi` は編集しないこと
+     - child worktree 内の tracked `.yoi` project records は実装対象に必要な branch-local artifacts/dossiers として編集してよいが、`.yoi/memory` や local/runtime/secret-like files は作らないこと
+     - active orchestration progress、review、integration、Ticket lifecycle update は Orchestrator workspace または recorded Ticket backend の責任として残すこと
+     - 遵守すべき binding decisions / invariants と escalation conditions
      - 実行すべき build / test / format
      - 完了報告項目
 
@@ -143,21 +158,24 @@ reviewer には coder の実装方針ではなく、この intent packet と dif
    - 修正後は focused validation を実行し、必要なら reviewer に再確認させる。
    - reviewer の blocker が未解決のまま親に提出しない。
 
-7. merge-ready dossier 作成
+7. orchestration branch integration
    - 親がコードを直接理解しなくても判断できるよう、変更の概念的説明と evidence をまとめる。
 
-8. merge / lifecycle
-   - 最上位 orchestrator または人間の許可を持つ orchestrator が main workspace へ merge する。
-   - `TODO.md` から該当行を削除し、ticket を完了処理して commit する。
-   - main workspace で必要な test / `cargo check --workspace` / `cargo fmt --check` を再実行する。
+8. integration / lifecycle
+   - reviewer approve と blocker 解消を確認し、implementation branch を Orchestrator workspace の orchestration branch へ integration する。
+   - Orchestrator workspace で必要な validation を実行し、Ticket thread に integration と validation の結果を記録する。
+   - Ticket を完了処理して commit する。TODO cleanup が対象 Ticket の明示要件なら child implementation worktree/branch に限定して行う。root/original workspace は触らない。
 
 ## coder Pod の責務
 
 - child worktree 内でのみ実装する。
-- main workspace の管理ファイルを書かない。
-- intent / requirements / invariants / non-goals を読んでから実装する。
+- root/original workspace の管理ファイルを読まない・書かない。
+- child worktree 内の tracked `.yoi` project records は ticket 要件に必要な branch-local artifact/dossier として扱ってよい。
+- `.yoi/memory`、local/runtime state、logs、locks、secret-like files を child worktree に作らない。
+- intent / requirements / acceptance criteria / binding decisions / invariants / implementation latitude / escalation conditions を読んでから実装する。
+- 実装ファイルの探索、既存コード読解、局所的な tactic 選択は、intent packet の implementation latitude 内で行ってよい。
 - 指定された build / test / format を実行する。
-- ticket 要件外の設計変更、依存関係追加、scope / permission / history persistence / prompt context 加工原則に触れる変更が必要なら止めて orchestrator に報告する。
+- ticket 要件外または binding decisions/invariants 外の設計変更、依存関係追加、scope / permission / history persistence / prompt context 加工原則に触れる変更が必要なら止めて orchestrator に報告する。
 - 完了時に以下を報告する。
   - worktree path / branch
   - commit hash（commit した場合）
@@ -176,8 +194,8 @@ reviewer は coder の subordinate ではない。orchestrator 配下の sibling
 - 実際のコード変更が概念的に何を変えたかを説明する。
 - 親や上位 orchestrator が line-by-line diff を読まずに判断できるよう、以下を整理する。
   - 変更の概念モデル
-  - intent / requirements との対応
-  - invariant 違反の有無
+  - recorded intent / binding decisions / invariants / implementation latitude / acceptance criteria / explicit escalation conditions との対応
+  - binding decisions / invariants 違反の有無
   - 旧概念・禁止語彙・不要な互換層の残存
   - validation の妥当性
   - blocker / non-blocker / follow-up
@@ -191,7 +209,7 @@ coder Pod には child worktree 内での commit を許可してよい。
 - commit は ticket 内で意味のある粒度にする。
   - 例: `feat: ...`、`fix: ...`、`test: ...`、`docs: ...`
 - coder Pod は merge / push / branch deletion / worktree remove をしない。
-- coder Pod は `TODO.md` / ticket の完了処理 commit をしない。
+- coder Pod は recorded Ticket backend の Ticket 完了処理 commit、最終 review/approval/close をしない。child worktree 側には branch-local dossier や実装証跡を残してよい。
 - orchestrator は review 時に commit 粒度も確認する。
 - 必要な修正は、原則追加 commit として積む。履歴改変や squash は人間の明示指示がある時だけ行う。
 
@@ -199,12 +217,14 @@ coder Pod には child worktree 内での commit を許可してよい。
 
 ### Approve
 
+reviewer が approve し blocker が残っていない場合、Orchestrator workspace の orchestration branch への integration、validation、Ticket 記録、child worktree cleanup まで自動的に進める。root/original workspace への read/write/validation/cleanup/git 操作は行わない。
+
 1. coder Pod / reviewer Pod を停止し、scope を回収する。
-2. orchestrator が merge-ready dossier を確認する。
+2. orchestrator が Ticket、child worktree/branch、commits、reviewer verdict、validation evidence を確認する。
 3. 最上位 orchestrator が必要最小限の spot check を行う。
-4. main workspace で `git merge --no-ff <branch>` する。
-5. `TODO.md` と ticket を完了処理して commit する。
-6. main workspace で検証コマンドを再実行する。
+4. Orchestrator workspace の orchestration branch で implementation branch を merge または project-agreed method で integration する。
+5. Ticket を完了処理して commit する。TODO cleanup が対象 Ticket の明示要件なら child implementation worktree/branch に限定して行う。
+6. Orchestrator workspace/orchestration branch で検証コマンドを再実行する。root/original workspace では実行しない。
 7. 変更内容・commit・検証結果・残 dirty changes を報告する。
 
 ### Request changes
@@ -225,13 +245,16 @@ coder Pod には child worktree 内での commit を許可してよい。
 ## 並列実装時の注意
 
 - 1 ticket = 1 worktree = 1 branch を基本にする。
-- 複数 Pod に同じ write scope を渡さない。
+- 複数 Pod に同じ write scope を渡さない。parallel Coder Pod は別 worktree と narrow write scope を持つ。
 - parent / orchestrator は coder の write scope 配下を直接編集しない。
-- reviewer は read-only を基本にする。review artifact を書かせる場合は ticket artifacts など限定 scope にする。
-- 依存関係がある ticket は、土台 branch を merge してから次 worktree を切る。
+- reviewer は read-only を基本にする。明示的に別 scope を与える判断がない限り、review artifact を書かせる場合も ticket artifacts など限定 scope にする。
+- independent queued Ticket は、blocking relation/dependency がなく、`do_not_parallelize` や relevant `conflicts_with` がなく、source/write surface が disjoint または conflict risk が小さく機械的で、coder/reviewer follow-up capacity があり、workspace records を side effect 前に commit でき、別 worktree/branch/scope を切れる場合に並列開始を優先する。
+- 依存関係がある ticket、同一 migration boundary や同一 schema/tool/panel surface を大きく触る ticket、または reviewer/coder bottleneck がある ticket は、土台 branch を merge してから次 worktree を切るか、bounded defer reason を記録して idle にする。
+- capacity が見えるのに queued Ticket を開始しない場合、dependency / conflict / capacity / missing planning decision / dirty workspace / reviewer-coder bottleneck / migration boundary / human gate のいずれかを bounded reason として Ticket thread または `TicketOrchestrationPlanRecord` に残す。
 - parallel に走らせた Pod の完了通知は取りこぼしうるため、`ReadPodOutput` と worktree 状態で確認する。
+- この節は自動 scheduler、background runner、resource graph solver、automatic queue drain loop を導入しない。parallel start は明示的な routing/acceptance の結果であり、unqueued Ticket を開始する根拠ではない。
 
-## merge-ready dossier の標準形
+## orchestration integration dossier の標準形
 
 ```text
 Status:
@@ -268,7 +291,7 @@ Validation:
 - cargo fmt --check
 - cargo check --workspace
 - cargo test ...
-- ./tickets.sh doctor
+- yoi ticket doctor
 
 Parent decision needed:
 - none / specific question
@@ -297,10 +320,10 @@ Dirty state:
 
 ## この Workflow で扱わないもの
 
-以下は `$user/auto-maintain` または別の設計相談で扱う。
+以下は `$user/ticket-intake-workflow`、`$user/ticket-orchestrator-routing`、または別の設計相談で扱う。
 
-- ticket 候補を見繕うこと。
-- 新規 ticket 作成判断。
-- QA feedback / AI feedback を ticket / report / workflow に落とす判断。
-- 長期 maintainer loop / WorkItemStore / LeaseStore の設計。
+- ユーザー依頼を Ticket 化すること。
+- Ticket の next action を分類すること。
+- QA feedback / AI feedback を Ticket / report / workflow に落とす判断。
+- 長期 maintainer loop / scheduler / LeaseStore の設計。
 - reviewer Pod の品質評価を機械的に採点する仕組み。

.yoi/workflow/ticket-intake-workflow.md

@@ -0,0 +1,350 @@
+---
+description: ユーザーの曖昧な依頼を要件同期し、合意済みの Ticket として作成・更新する Intake workflow
+model_invokation: true
+user_invocable: true
+requires: []
+---
+# Ticket Intake Workflow
+
+Yoi の multi-agent 運用で、ユーザーの依頼をいきなり実装委譲せず、まず **合意済み Ticket** または「まだ Ticket 化しない」判断に変換するための Workflow。
+
+この workspace workflow は bundled `resources/workflows/ticket-intake-workflow.md` を dogfooding 用に詳述した override である。Objective / split policy / local Ticket 運用の説明を追加するが、bundled workflow の調査ゲート、Ticket 作成前の user agreement、Intake の非 scheduler 境界を弱めてはならない。
+
+Intake の目的は、ユーザーの意図・要件・制約・受け入れ条件・未決定点を明確にし、Orchestrator が次の routing を判断できる Ticket を作ることである。Intake は scheduler ではなく、coder / reviewer / read-only investigation helper Pod を起動しない。
+
+## 位置づけ
+
+```text
+User request / conversation
+  -> Ticket Intake Workflow
+  -> TicketCreate / TicketComment
+  -> Orchestrator routing
+  -> planning sync / spike / implementation / review / blocked / close
+```
+
+- `Ticket` は durable orchestration record。
+- `Objective` は medium-term goal / motivation / strategy / success criteria / decision context の project record。Objective context は判断背景であり、Ticket body/thread/artifacts を読む代替ではない。
+- `Task` は session-local progress tracking。
+- `Assignment` は Orchestrator から coder / reviewer Pod、または task-specific helper Pod への具体的委譲。
+- `IntentPacket` は Ticket から抽出して Assignment に渡す短い実装・レビュー契約。
+
+Intake は、要件同期と Ticket 化を担当する。実装の起動・worktree 作成・review 委譲・merge 判断は Orchestrator 側の責務である。`ready` は Orchestrator が routing できる状態を意味し、実装戦術がすべて事前固定されていることを意味しない。
+
+Ticket に残す内容は、binding decisions / invariants、implementation latitude、escalation conditions を区別する。Coder が調査しながら局所的な実装手段を選べる余地は残してよいが、product / API / UX / authority boundary / explicit design constraint を silently 決める余地を残してはならない。
+
+## Intake の責務
+
+Intake は以下を行う。
+
+- ユーザー依頼の主語と目的を確認する。
+- 既存 Ticket を確認し、duplicate / related work を探す。
+- 曖昧な依頼、現在挙動への claim、authority boundary、workflow/source-of-truth 変更では、Ticket 化前の最小調査ゲートとして関連 docs / code / workflow / history を読む。
+- 不足している要件を質問する。
+- 作成または refinement する Ticket が、実装・レビュー・検証・完了判断を単独で行える concrete work item であるか確認する。
+- 広い依頼を分割する場合は、進捗コンテナとしての umbrella Ticket ではなく、concrete Ticket / Objective context / split decision record に責務を分ける。
+- Objective-to-Ticket links を提案する場合は canonical opaque Ticket ID だけを使い、dependency / blocking / ordering relation として扱わない。
+- Ticket の title / body/request snapshot / acceptance criteria / priority / readiness / risk flags を、現在の要件として意味がある範囲で提案する。
+- canonical ID は Ticket 作成/storage が opaque な path-derived value として割り当てるため、Intake はユーザー向け metadata として提案しない。
+- ユーザー主張、Intake が確認した事実、未確認仮説、未決定点を分けて整理する。
+- background / requirements / acceptance criteria / escalation conditions を整理する。
+- binding decisions / invariants と implementation latitude を分けて書く。
+- 具体的な除外や触れてはいけない境界が binding decision である場合は、generic な除外リストではなく invariant / escalation condition として明記する。
+- readiness / open questions / risk flags を明示する。
+- ユーザー合意後にだけ official Ticket を作成する。
+- 既存 Ticket の refinement を求められた場合は、TicketComment で経緯を残す。
+
+## Intake がしないこと
+
+- coder / reviewer Pod や read-only investigation helper Pod を起動しない。
+- worktree を作らない。
+- merge / close / branch cleanup をしない。
+- implementation-ready でない Ticket を実装に投げない。
+- unattended scheduler として自動実行しない。
+- ユーザー合意なしに official Ticket を作らない。
+- broad effort の進捗を保持するためだけの long-lived umbrella / progress-container Ticket を作らない。
+- parent/child、sub-ticket、umbrella、part-of、contains などの hierarchy/container relation を split の代替として提案しない。
+- secrets / private context を Ticket body / thread / artifacts / diagnostics に保存しない。
+- arbitrary filesystem write で `work-items/` を編集しない。Ticket 操作は Ticket tools を使う。
+
+## 使用する Ticket tools
+
+利用可能なら、以下の typed Ticket tools を使う。
+
+- `QueryTicket`: 既存 Ticket の一覧・重複確認。
+- `ShowTicket`: 関連 Ticket の詳細確認。
+- `TicketCreate`: 合意済み Ticket の作成。
+- `TicketComment`: 既存 Ticket refinement / decision / plan の記録。
+
+Intake は `MergeRequest*`, `TicketWorkflowState`, `TicketClose` を通常使わない。review authority は assigned Coder が起動した read-only direct-child Reviewer の immutable Merge Request attempt に属し、completion / merge / close は各guarded workflowの責務である。
+
+Ticket tools が利用できない環境では、勝手に file write で代替しない。ユーザーまたは Orchestrator に「Ticket tools がないため materialize できない」と報告し、必要なら `yoi ticket` を使える人間/親 workflow に戻す。
+
+## 手順
+
+### 1. 依頼を受け取る
+
+ユーザー依頼を短く言い換え、以下を分ける。
+
+- 何を変えたいか。
+- なぜ必要か。
+- 影響を受けるユーザー / Pod / workflow / crate / docs。
+- 既に決まっていること。
+- まだ未決定のこと。
+
+この段階では Ticket を作らない。ユーザー発話は request snapshot / claim として扱い、確認済み requirements と混同しない。
+
+### 2. 既存 Ticket を確認する
+
+`QueryTicket` / `ShowTicket` で duplicate / related work を探す。
+
+確認観点:
+
+- 同じ目的の未完了 Ticket がないか。
+- closed Ticket の判断・resolution と矛盾しないか。
+- 既存の umbrella/progress-container Ticket が、superseded/decomposed として退役できる状態か。
+- 既存 concrete follow-up Ticket や Objective context で足りるか、新規 concrete Ticket が必要か。
+
+既存 Ticket の更新で足りる場合、新規 Ticket を作らず、ユーザーに更新案を提示する。
+
+### 2.1. Ticket 化前の最小調査ゲート
+
+`TicketCreate` または material な `TicketComment` の前に、以下の gate を通す。
+
+必ず行うこと:
+
+- duplicate / related / blocking-looking Ticket を確認する。
+- 既存 Ticket を更新するなら、その Ticket の item/thread/artifacts を読む。
+- ユーザー claim と、Intake が読んで確認した fact を分ける。
+
+次のいずれかに当たる場合は、Ticket 作成前に関連 docs / code / workflow / prompt / config / history を読む。
+
+- 依頼が曖昧、または複数の concrete work item を含む。
+- 「現在の挙動」「既存仕様」「壊れている」「既にある」など、事実確認を要する claim がある。
+- scope / permission / history / prompt context / persistence / public API など authority boundary に触れる。
+- prompt / workflow resource、Ticket schema、source-of-truth 境界の変更に触れる。
+- 既存実装の map がないと requirements / acceptance criteria を誤って固定しそうである。
+
+Gate output は draft に以下を分けて残す。
+
+- User claims / request snapshot: ユーザーが述べたこと。
+- Confirmed facts / sources: Intake が読んで確認したことと source。
+- Unverified hypotheses: ありそうだが未確認の推測。
+- Undecided points / open questions: ユーザーまたは Orchestrator の判断が必要なこと。
+
+調査が大きい、current-code map がない、または仕様同期が足りない場合は、official Ticket を作らず draft で止める。readiness は `spike_needed` / `requirements_sync_needed` / `blocked` のいずれかを付け、次に必要な調査や質問を報告する。確認できない claim を requirements / acceptance criteria として保存しない。
+
+### 2.5. Broad request の split policy
+
+1つの依頼が複数の implementable work item を含む場合、Intake は以下を提案する。
+
+- broad effort を表す umbrella/progress-container Ticket は新規作成しない。
+- concrete slice ごとに、単独で実装・レビュー・検証・close できる Ticket を作る。
+- split した理由と残した範囲は、関連 Ticket の thread、必要なら Objective context に記録する。
+- Objective は中期的な目的・方針・success criteria を保持するために使う。Objective record の実装や schema 追加はこの workflow の責務ではない。
+- typed Ticket relation が利用可能になった場合も、dependency / related / blocking / replacement / supersedes などの非階層メタデータに限る。
+- parent/child、sub-ticket、part-of、contains のような hierarchy/container relation を作らない。
+
+ユーザーが「まず調査 Ticket」「設計 Ticket」「計画 Ticket」を concrete work item として求める場合は作成してよい。禁止されるのは、他の concrete Ticket の進捗を持つためだけに長期 open となる container Ticket である。
+
+### 3. 要件を同期する
+
+最低限、以下を確認する。
+
+- ユーザー claim のうち、どれが確認済み fact で、どれが未確認仮説か。
+- observable な完了条件は何か。
+- 作業の種類・影響範囲は prose として body に書けばよいが、current Ticket core metadata として扱わない。
+- 受け入れ条件は何か。
+- binding decision として残す具体的な除外・authority boundary はあるか。
+- 後方互換が必要か。
+- authority boundary / scope / permission / history / prompt context に触れるか。
+- validation は何で確認できるか。
+- 人間判断が必要な論点は何か。
+
+不足がある場合は、Ticket 作成前に質問する。質問は多すぎず、Ticket 作成に必要な最小限に絞る。調査が先に必要な場合は `spike_needed`、仕様同期が先に必要な場合は `requirements_sync_needed` として draft に留める。
+
+### 4. readiness を分類する
+
+Ticket 作成または更新前に、readiness を明示する。
+
+```text
+implementation_ready:
+- 意図・受け入れ条件・binding decisions / invariants / implementation latitude が明確。
+- Reviewer が判断できる基準と escalation conditions が明確。
+- 実装調査や局所的な tactic 選択は残っていてよいが、product / API / UX / authority boundary / explicit design constraint を coder が silently 決める余地はない。
+- validation が書ける。
+
+requirements_sync_needed:
+- 目的は見えているが、仕様・用語・UX・責務境界・受け入れ条件が未同期。
+- ユーザー claim を requirements として固定するには合意や確認が足りない。
+
+spike_needed:
+- 技術調査、依存関係、性能、license、diagnostics、現在コード map が先に必要。
+- どの files/workflows/Tickets を読むべきかは見えているが、Intake の最小調査では実装可能な要件まで確定できない。
+
+blocked:
+- 人間判断、外部イベント、別 Ticket の完了が必要。
+
+unspecified:
+- どうしても分類不能な時だけ使う。理由を Ticket に書く。
+```
+
+### 5. open questions / risk flags を付ける
+
+以下に触れる Ticket は risk flags と reviewer/orchestrator focus を Ticket body に短く明記する。これは stop gate ではない。具体的な未決定 decision / information がある場合だけ、blocking open question として記録する。
+
+- profile / manifest / scope / permission。
+- session / history / Pod metadata / persistence。
+- prompt context 加工原則。
+- public API / plugin / feature boundary。
+- security / secret / credential handling。
+- storage migration / backward compatibility。
+- 複数の自然な設計方針があるもの。
+- reviewer が diff だけでは見落としやすい設計リスク。
+
+risk flags は短い語でよい。missing boundary がすでに人間/Orchestrator の Ticket-recorded decision で補われている場合は、その decision を根拠に Orchestrator が routing できる。単に risk があるだけなら Orchestrator は Ticket を戻さず、IntentPacket に escalation / reviewer focus を明記して進める。
+
+例:
+
+```text
+risk_flags: [authority-boundary, persistence, prompt-context, public-api]
+```
+
+### 6. Ticket draft を提示する
+
+ユーザーに作成前 draft を提示する。
+
+標準 draft:
+
+```text
+Title:
+
+Priority:
+Readiness:
+Next Ticket operation: draft_only | create_after_user_agreement | update_existing_after_user_agreement | no_ticket
+Risk flags:
+
+User claims / request snapshot:
+
+Confirmed facts / sources:
+
+Unverified hypotheses:
+
+Undecided points / open questions:
+
+Background:
+
+Requirements:
+
+Acceptance criteria:
+
+Binding decisions / invariants:
+
+Implementation latitude:
+
+Escalation conditions:
+
+Validation:
+
+Related tickets/docs/files:
+```
+
+canonical ID は作成時に storage が opaque/path-derived value として割り当てるため、draft では提案しない。
+
+この時点ではまだ Ticket を作らない。`Next Ticket operation` が `draft_only` / `no_ticket` の場合は、ユーザー合意があっても `TicketCreate` ではなく追加同期または調査へ戻す。
+
+### 7. ユーザー合意を取る
+
+以下のどちらかがあるまで official Ticket を作らない。
+
+- ユーザーが draft を明示的に承認する。
+- ユーザーが「作って」「切って」「記録して」など、作成を明示する。
+
+未決定のまま記録する場合は、`requirements_sync_needed` / `spike_needed` / `blocked` として未決定点を明示する。ユーザー合意は「この未決定状態で記録する」ことへの合意であり、未確認仮説を requirements 化する許可ではない。
+
+### 8. Ticket を作成または更新する
+
+新規 Ticket の場合:
+
+- `TicketCreate` を使う。
+- title / priority / body と、必要な readiness / risk flags を指定する。canonical ID は storage が割り当てる。
+- body に readiness / open questions / risk flags と、binding decisions / invariants、implementation latitude、escalation conditions を Markdown で明記する。
+- user claims、confirmed facts、unverified hypotheses、undecided points / open questions を分けて書き、未確認 claim を requirements / acceptance criteria として保存しない。
+
+既存 Ticket refinement の場合:
+
+- `TicketComment` を使う。
+- role は内容に応じて `comment`, `plan`, `decision` を選ぶ。
+- 既存 `item.md` の大幅変更が必要なら、Orchestrator / maintainer に戻す。
+
+### 9. 作成後の報告
+
+ユーザーへ以下を返す。
+
+- 作成/更新した Ticket の system-assigned id / title。
+- readiness。
+- open questions / risk flags。
+- 次に Orchestrator が取るべき routing 候補。
+- 未決定点があれば、そのまま明示する。
+
+Intake はここで止まる。implementation / worktree / coder / reviewer 起動は Orchestrator routing の責務である。
+
+## Ticket body の推奨形
+
+```markdown
+## User claims / request snapshot
+
+## Confirmed facts / sources
+
+## Unverified hypotheses
+
+## Undecided points / open questions
+
+## Background
+
+## Requirements
+
+## Acceptance criteria
+
+## Binding decisions / invariants
+
+## Implementation latitude
+
+## Readiness
+
+- readiness: implementation_ready | requirements_sync_needed | spike_needed | blocked | unspecified
+- risk_flags: [...]
+
+## Escalation conditions
+
+## Validation
+
+## Related work
+```
+
+Ticket の body は Markdown/freeform を維持する。すべてを strict schema に押し込まない。
+
+## secret / private context policy
+
+以下は Ticket に保存しない。
+
+- API keys / tokens / credentials。
+- secret file contents。
+- private prompts / model responses that should not become project records。
+- user private context not needed for project history。
+- raw logs containing secrets。
+
+必要なら、保存せずに「secret/config が必要」とだけ書く。
+
+## 完了条件
+
+この Workflow の完了条件は次のいずれかである。
+
+- ユーザー合意済みの新規 Ticket が作成され、Orchestrator が routing できる情報が揃っている。
+- 既存 Ticket に refinement / decision / plan が記録され、次の routing が明確である。
+- Ticket 化しない判断がユーザーに説明され、未決定の問いまたは関連 Ticket が明確になっている。
+
+## 他 Workflow への接続
+
+- `ticket-preflight-workflow`: legacy compatibility planning/requirements sync 入口。新規 routing は standalone preflight ではなく planning return/requirements sync として扱う。
+- `multi-agent-workflow`: Orchestrator が implementation_ready と判断した後に接続する。
+- `ticket-orchestrator-routing`: この Workflow が作った Ticket を routing する後続 Workflow。

.yoi/workflow/ticket-orchestrator-routing.md

@@ -0,0 +1,419 @@
+---
+description: Ticket を読み、Orchestrator が planning return / spike / implementation / review / blocked / close へ明示的に routing する workflow
+model_invokation: true
+user_invocable: true
+requires: []
+---
+# Ticket Orchestrator Routing Workflow
+
+Yoi の multi-agent 運用で、Intake や人間が作成した Ticket を Orchestrator が読み、次に取るべき action を明示的に分類・記録するための Workflow。
+
+これは scheduler ではない。目的は、Ticket の fields / body / thread / artifacts / 現在の repository/Pod 状態を明示的に確認し、隠れた会話状態ではなく Ticket に基づいて routing 判断を残すことである。
+
+Panel Queue / queued notification は、人間が Orchestrator に routing を開始してよいと許可した signal であり、unattended scheduler ではない。implementation side effect に進む場合は、Orchestrator が Ticket と workspace state を再確認し、unblocked と判断してから `queued -> inprogress` を記録する必要がある。明示的な routing / queue review / panel kick の中で、独立した queued Ticket と coder/reviewer capacity が複数あるなら、1件ずつ完了を待つことを default にせず、安全確認を満たす範囲で追加 Ticket の並列開始を優先する。
+
+`ready` は Orchestrator routing に十分な状態であり、実装戦術が事前にすべて固定されている状態ではない。Orchestrator は、recorded intent / binding decisions / invariants / implementation latitude / acceptance criteria / escalation conditions が揃っていれば、bounded implementation uncertainty を残したまま implementation-ready と判断してよい。
+
+`ready` / `queued` を `planning` に戻す判断は、Ticket text や risk flags だけで決めない。Orchestrator は、Ticket thread/artifacts、関連 Ticket / orchestration plan、関連 workflow/docs/code、durable project context、現在の repository/Pod/worktree 状態のうち relevant なものを bounded に確認し、実装前に必要な concrete missing decision / information が残っている場合だけ planning return とする。risk flags と risky domain は context lookup と reviewer focus の signal であり、automatic stop gate ではない。
+
+## 位置づけ
+
+```text
+TicketCreate / TicketComment
+  -> Ticket Orchestrator Routing Workflow
+  -> planning return / requirements sync / spike / implementation / review / blocked / close
+  -> 必要に応じて他 Workflow へ接続
+```
+
+- Intake は Ticket の materialization と planning/clarification を担当する role であり、state 名ではない。
+- state は `planning -> ready -> queued -> inprogress -> done` を基本遷移とする。
+- `ticket-preflight-workflow` は legacy canonical id 互換の planning/requirements sync entry であり、`preflight` を独立 state / lane / long-lived operation として扱わない。
+- `ready -> queued` は人間が Orchestrator routing を許可した状態であり、worktree 作成や Pod 起動の許可そのものではない。
+- `multi-agent-workflow` は coder / reviewer Pod と worktree を使う実装・レビュー loop。
+- この Workflow は自動 scheduler / lease / unattended maintainer ではない。
+
+## Orchestrator の責務
+
+Orchestrator は以下を行う。
+
+- Ticket を `ShowTicket` で読む。
+- 必要に応じて関連 Ticket を `QueryTicket` / `ShowTicket` で確認する。
+- Ticket body / thread / artifacts / resolution / review / implementation report を読む。
+- Ticket が Objective context と結びついている場合は、Objective を medium-term goal / motivation / strategy / success criteria / decision context として読む。ただし Objective context は判断背景であり、Ticket body/thread/artifacts や explicit Ticket relations / OrchestrationPlan records を読む代替ではない。
+- repository 状態、関連 docs/code、既存 worktree、visible Pods を必要に応じて明示的に確認する。
+- queued notification を受けた場合も、Ticket と workspace state を再確認してから routing する。
+- next action を routing classification として決める。
+- routing decision を `TicketComment` で Ticket thread に記録する。
+- broad request や split/refinement では、long-lived umbrella/progress-container Ticket ではなく concrete implementable Ticket、Objective context、split decision record を使う。
+- Objective-to-Ticket links は canonical opaque Ticket ID による non-blocking context link として扱い、dependency / blocking / ordering / ownership / scheduling relation と解釈しない。
+- 既存 umbrella/progress-container Ticket が concrete follow-up Ticket / Objective context で置き換え済みなら、superseded/decomposed として退役・close する routing を検討する。
+- implementation-ready の場合は `multi-agent-workflow` に渡す `IntentPacket` を作る。
+- implementation-ready かつ Ticket が `queued` の場合は、worktree 作成 / implementation Pod `SpawnPod` / coder routing などの side effect の前に、既存の typed Ticket backend/tool path で `queued -> inprogress` を記録する。
+- 人間による `ready -> queued` は、記録済み Ticket scopeについて、実装、current MRのguarded merge、completion記録、Ticket closeまでをWorkspace Orchestratorへ委任するdurable gateである。Orchestratorは`queued -> inprogress`を受理した後、current-ref approval、repository evidence、blocking relations、merge CASを確認して完了まで進め、別のmerge確認を待たない。Ticketがseparate approval gateを明記する場合、またはqueued scope外の新しい判断が必要な場合だけ停止する。
+- 明示的な queue review 中に、他にも queued Ticket が見え、capacity が空いている場合は、各 Ticket について relation / orchestration-plan / dirty state / visible Pods / worktree / conflict risk を確認し、独立して受理できるものを同じ routing pass で追加の `queued -> inprogress` 候補にする。
+- queued Ticket を capacity が見える状態で idle のまま残す場合は、dependency / conflict / capacity / missing planning decision / dirty workspace / reviewer-coder bottleneck / migration boundary / human gate のいずれかに絞った bounded reason を Ticket thread または `TicketOrchestrationPlanRecord` に残す。
+- `ready` または `queued` に concrete missing decision / information がある場合だけ、typed state-change/routing event 付きで `planning` に戻す。その event/comment には missing item、checked context、implementation latitude では足りない理由、次の planning question/action を含める。
+
+## Orchestrator がしないこと
+
+- 自動 scheduler として unattended に実行しない。
+- Panel Queue / queued notification だけを unattended scheduler trigger として扱わない。
+- `queued -> inprogress` acceptance なしに worktree 作成、implementation Pod `SpawnPod`、coder/reviewer routing を行わない。
+- 人間/上位 Orchestrator の許可または明示的な routing acceptance なしに coder / reviewer Pod や read-only investigation helper Pod を起動しない。
+- unqueued Ticket を capacity 埋めのために開始しない。parallel start の候補は、個別に `queued` であり、人間が routing を許可済みの Ticket に限る。
+- 設計境界の未決定を勝手に implementation-ready として固定しない。
+- Ticketが`ready -> queued`されておらず完了権限を委任されていない場合、またはTicketがseparate approval gateを明記する場合に、勝手にmerge / close / cleanupしない。queued delegationとguarded completion evidenceが揃っている場合は、追加のhuman gateを作らず完了まで進める。
+- Ticket tools があるからといって arbitrary filesystem write を行わない。
+- broad multi-Ticket effort のために新しい umbrella/progress-container Ticket を作らない。
+- parent/child、sub-ticket、umbrella、part-of、contains などの hierarchy/container relation を split/refinement の代替として扱わない。
+- Notification だけを完了証拠にしない。Pod output / diff / validation / Ticket evidence を確認する。
+- 具体的な不足項目を言語化できない場合に、単に risky という理由だけで `planning` に戻さない。その場合は IntentPacket に escalation / reviewer focus を明記して進める。
+- risk flags / risky domain / authority-adjacent domain を automatic stop gate として扱わない。これらは bounded context lookup、IntentPacket invariant、reviewer focus、escalation condition に反映する signal である。
+
+## 使用する Ticket tools
+
+利用可能なら、以下を使う。
+
+- `QueryTicket`: routing 候補、関連 Ticket、project-level forward relation (`depends_on` / `blocks` / `related` / `supersedes` / `duplicate_of`) と derived blocker summary を bounded filter/projection で確認する。`depends_on` と incoming unresolved `blocks` は queue/acceptance blocker であり、`related` は blocker ではない。`supersedes` / `duplicate_of` は visible diagnostic として扱い、自動的な lifecycle 変更や scheduler 判断にはしない。
+- `ShowTicket`: 対象 Ticket の body / thread / artifacts / resolution / typed relation metadata、linked Objective、assignment、implementation/review evidence を確認する。
+- `TicketComment`: routing decision / intent packet / blocked reason / next question の記録。
+- `TicketWorkflowState`: `queued -> inprogress` acceptance、`inprogress -> done`、または concrete missing decision/information reason を伴う `ready|queued -> planning` に使う。
+- `TicketDependencyCheck`: queue/acceptance 直前の typed dependency readiness guard に使う。
+- `TicketRelationRecord` / `TicketRelationRemove`: ユーザー合意済みの durable project relation を明示的に更新する場合だけ使う。
+- `TicketOrchestrationPlanQuery`: 対象 Ticket や関連 Ticket の ordering / blocker / conflict / waiting-capacity / accepted-plan 記録を読む。queued acceptance 前に必ず確認する。
+- `TicketOrchestrationPlanRecord`: Orchestrator が routing 中に project-relevant な ordering / dependency / conflict / capacity/waiting / accepted-plan decision を残す。これは queue reorder、自動起動、state 変更ではない。
+- `TicketClose`: 完了権限と resolution が揃っている場合だけ使う。
+
+`TicketCreate` は通常 Intake の責務だが、routing 中に follow-up Ticket が必要だと判断した場合は、ユーザー/上位 Orchestrator の合意後にだけ使う。
+
+## Queued acceptance contract
+
+- `queued -> inprogress` acceptance の直前に `ShowTicket` / `QueryTicket` の relation blocker projection を再確認する。unresolved `depends_on` や incoming unresolved `blocks` が残る場合は implementation side effect を始めず、理由を thread に残して `planning` へ戻すか blocked diagnostic として停止する。
+- Relation metadata は project-level constraint であり、OrchestrationPlan は runtime ordering/capacity decision である。relation を OrchestrationPlan で代替しないし、OrchestrationPlan を durable dependency authority として扱わない。
+
+`state = queued` は、Ticket が routing 対象として人間により Orchestrator へ渡された状態である。Orchestrator は queued notification を受けたら、Ticket、workspace state、対象 Ticket の `TicketOrchestrationPlanQuery` 記録、risk domain に応じた bounded project context を読んで、次のどちらかを行う。
+
+- unblocked と判断する場合: `queued -> inprogress` を記録してから worktree 作成、implementation/review Pod spawn、その他の implementation side effect に進む。
+  - `before` / `after` / `blocked_by` / `blocks` / `conflicts_with` / `do_not_parallelize` / waiting-capacity 記録がある場合、それを acceptance 判断の入力にする。記録は自動 scheduler ではないため、実際に進めるかどうかは Orchestrator が読んだうえで明示的に決める。
+  - risk flags / risky domain がある場合は、IntentPacket に invariants / reviewer focus / escalation conditions を入れる。risk flag だけを `queued -> planning` の理由にしない。
+- concrete missing decision / information がある場合: `TicketWorkflowState` で `queued -> planning` を記録し、reason/body と `TicketComment` に不足項目、checked context、なぜ coder の implementation latitude では解決できないか、次の planning question/action を残す。既存の claimed live/restorable Intake/Planning Pod があり、既存通知経路が使える場合は同じ理由を通知する。
+- external action 待ちなど planning では解決しない blocker の場合: concise な理由を Ticket thread に記録し、必要に応じて attention / action-required frontmatter や `TicketOrchestrationPlanRecord` の blocker/waiting-capacity 記録で明示する。lifecycle 外の storage bucket を routing target にしない。
+
+Parallel acceptance pass:
+
+- 明示的な queue review 中に複数の queued Ticket が見える場合、Orchestrator は最初の1件の完了待ちを default にしない。各 Ticket について Ticket body/thread/artifacts、QueryTicket の relation/blocker projection、TicketOrchestrationPlanQuery、workspace/worktree dirty state、visible Pods、既存 branches、conflict/dependency notes を確認する。
+- 追加で開始してよいのは、blocking relation/dependency がなく、`do_not_parallelize` または applicable conflict record がなく、source/write surfaces が disjoint または conflict risk が小さく機械的で、coder/reviewer follow-up capacity があり、acceptance basis となる Ticket thread/plan/workspace records を side effect 前に記録・commit でき、別 worktree/branch/scope を切れる Ticket だけである。
+- capacity が見えるのに queued Ticket を idle にする場合は、dependency / conflict / capacity / missing planning decision / dirty workspace / reviewer-coder bottleneck / migration boundary / human gate のいずれかの bounded reason を記録する。
+- この pass は scheduler、background runner、resource graph solver、automatic queue drain loop ではない。unqueued Ticket を開始せず、各 Ticket の `queued -> inprogress` acceptance を個別に記録する。
+
+Invariant:
+
+- `queued -> inprogress` は Orchestrator acceptance marker であり、coder Pod が既に動いていることの後追い記録ではない。
+- `queued -> inprogress` に失敗した場合、implementation/review Pod を spawn しない。
+- `inprogress` acceptance 後に worktree/spawn/first-run が失敗した場合は、queued に黙って戻さず、in-progress Ticket に failure/block/recovery note を記録する。
+- Queue notification だけを根拠に blind spawn しない。必ず Ticket と workspace state を再確認する。
+
+## Routing classification
+
+Orchestrator は対象 Ticket を以下のいずれかに分類する。複数に見える場合は、次に必要な action が最も早いものを選ぶ。
+
+### `requirements_sync_needed`
+
+まだ `planning` に留めるべき、または `planning -> ready` に進める前に clarification が必要な状態。
+
+条件:
+
+- Ticket の目的は見えるが、observable な完了条件が書けない。
+- ユーザー判断がないと product/API/UX を固定してしまう。
+- acceptance criteria、binding decisions / invariants、または escalation conditions が不足している。
+- existing decisions / docs / closed Tickets と矛盾する可能性がある。
+
+Action:
+
+- Intake / human / Planning sync に戻す。
+- `TicketComment` で不足情報と質問を記録する。
+- coder Pod は起動しない。
+
+### `return_to_planning`
+
+`ready` または `queued` とされているが、bounded project-context checks の後でも、実装 side effect 前に解決すべき concrete missing decision / information が残っている状態。
+
+条件:
+
+- product / API / UX / authority boundary / storage migration / security / secrets などについて、実装前に決めなければならない具体項目がある。
+- 複数の自然な方針があり、human / Orchestrator decision なしでは固定できない。
+- acceptance criteria、binding decisions、または escalation conditions に、実装可否を左右する具体的欠落がある。
+- Ticket text / risk flags だけではなく、関連 Ticket/thread/artifacts、orchestration plan、関連 workflow/docs/code、durable project context、現在の workspace evidence の relevant subset を確認しても、既存 recorded decision が見つからない。
+- その不足は coder の bounded implementation latitude / local tactic selection では安全に解消できない。
+
+Action:
+
+- `TicketWorkflowState` で `ready -> planning` または `queued -> planning` を記録する。
+- reason/body と `TicketComment` に以下を明記する。
+  - concrete missing decision / information。
+  - context checked（Ticket thread/artifacts、関連 Ticket/plan、docs/workflow/code/durable context/workspace state のうち実際に確認したもの）。
+  - why implementation latitude is insufficient（なぜ coder/reviewer の local tactic や escalation condition では足りないか）。
+  - next planning question/action。
+- risk flag / risky domain だけを return reason にしない。
+- 既存の claimed live/restorable Intake/Planning Pod があり、既存通知経路が使える場合は同じ理由を通知する。実用的な経路がない場合は follow-up として report する。
+- planning が再度 `ready` にするまで coder Pod は起動しない。
+
+### `spike_needed`
+
+実装前に read-only 調査が必要。
+
+条件:
+
+- 技術的実現性が不明。
+- dependency / license / packaging / portability / performance / diagnostics の確認が必要。
+- current code map が不足している。
+- bug の再現条件や観測 evidence が不足している。
+
+Action:
+
+- read-only investigation を提案する。
+- 許可があれば task-specific read-only helper Pod を普通の scoped Pod として起動できる。
+- `TicketComment` に調査問い・scope・完了条件を記録する。
+- 実装 worktree はまだ作らない。
+
+### `implementation_ready`
+
+既存 multi-agent workflow に渡せる状態。
+
+条件:
+
+- intent / binding decisions / invariants / implementation latitude / acceptance criteria が明確。
+- binding decisions / invariants と implementation latitude が区別されている。
+- reviewer が判断する basis と escalation conditions が明確。
+- validation が書ける。
+- design / authority boundary の未決定がない、または planning return / human decision で補われている。
+- risk flags / risky domain は context lookup と reviewer focus に反映済みで、bounded context check 後に concrete missing decision / information が残っていない。
+- 残る不確実性が bounded implementation investigation / local tactic selection に閉じている。
+- IntentPacket を短く書ける。
+
+Action:
+
+- `IntentPacket` を作る。risky-but-specified Ticket では、risk を stop reason にせず、binding invariants / implementation latitude / escalation conditions / Critical risks / reviewer focus として記録する。
+- project-relevant な ordering / blocker / conflict / capacity decision や accepted work plan がある場合は、`TicketOrchestrationPlanRecord` に bounded typed record として残す。local session/socket/raw model output は入れない。
+- `TicketComment` に routing decision と IntentPacket を記録する。
+- 許可があれば `multi-agent-workflow` に接続し、worktree + coder/reviewer sibling loop に進む。
+
+### `review_needed`
+
+実装はあるが、review / acceptance が未完了。
+
+条件:
+
+- implementation report / branch / commit / diff がある。
+- external review がない、または reviewer blocker が未解決。
+- validation evidence が足りない。
+
+Action:
+
+- reviewer Pod 起動または追加 validation を提案する。
+- reviewer は recorded intent / binding decisions / invariants / implementation latitude / acceptance criteria / explicit escalation conditions に照らして判断する。不記録の好みや Orchestrator の未共有 preferred tactic を基準にしない。
+- `TicketComment` に review target と確認観点を記録する。
+- blocker 未解決のまま merge-ready としない。
+
+### `blocked_by_dependency_or_missing_authority`
+
+人間判断または外部イベント待ち。
+
+条件:
+
+- design/product/security 判断が必要だが、planning で同期すれば進められる種類ではない。
+- credential / secret / environment / external service が必要。
+- 別 Ticket / branch / upstream change の完了待ち。
+- scope/permission が不足している。
+
+Action:
+
+- 必要な判断・外部 action を短く書く。
+- `TicketComment` に blocked reason と next question を記録する。
+- 必要に応じて typed relation metadata や orchestration plan の blocker/waiting-capacity 記録で、待ち理由を current state とは別に表す。lifecycle 外の storage bucket へ移す route は使わない。
+
+### `close_ready`
+
+完了処理に進める状態。
+
+条件:
+
+- requirements / acceptance criteria が満たされている。
+- review / validation / merge / cleanup evidence が揃っている。
+- resolution を書ける。
+- close 権限がある。
+- 既存 umbrella/progress-container Ticket については、concrete follow-up Ticket と必要な Objective context が存在し、container role を superseded/decomposed として退役できる。
+
+Action:
+
+- `TicketClose` または既存 close workflow で resolution を記録する。
+- umbrella/progress-container Ticket を退役する close resolution では、関連作業がすべて完了したという意味ではなく container role を retired したことを明記し、完了済み concrete Ticket と残る follow-up Ticket / Objective を列挙する。
+- close 権限がない場合は merge-ready / close-ready dossier を親/人間に提出する。
+
+### `closed_or_noop`
+
+routing 不要。
+
+条件:
+
+- closed Ticket。
+- duplicate として既存 Ticket に統合済み。
+- Ticket 自体が不要と判断済み。
+
+Action:
+
+- 追加 action なし。
+- 必要なら related Ticket へ comment する。
+
+## Routing 手順
+
+### 1. 状態確認
+
+- `git state --short --branch`
+- `ShowTicket <target>`
+- 関連 Ticket の `QueryTicket` / `ShowTicket`
+- 必要に応じて docs/code/workflow/history
+- 必要に応じて visible Pods / worktrees / branches
+
+この段階で unrelated dirty changes がある場合、実装/merge には進まず、routing decision の記録だけに留めるかユーザーに確認する。
+
+### 2. Ticket evidence を読む
+
+最低限、以下を確認する。
+
+- Background
+- Requirements
+- Acceptance criteria
+- Binding decisions / invariants
+- Implementation latitude
+- Readiness / open questions / risk flags
+- Escalation conditions
+- Validation
+- Thread の plan / decision / implementation_report / review
+- Artifacts / branch / commit references
+- risk flags が示す domain（authority-boundary / scope / permission / Pod / persistence / prompt-context / public-api など）
+
+### 3. Bounded project-context checks を行う
+
+Ticket evidence だけで planning return を決めない。risk flags や risky domain がある場合は、必要な最小限の project context を確認する。
+
+代表的な確認先:
+
+- Ticket thread/artifacts/resolution と関連 Ticket。
+- `TicketOrchestrationPlanQuery` の accepted-plan / ordering / blocker / conflict 記録。
+- 関連 workflow/docs/design/development docs。
+- 現在の code map や既存 implementation pattern。
+- durable memory/Knowledge/project decisions（利用可能で、判断に関係する場合）。
+- repository / branch / worktree / visible Pod state。
+
+目的は broad repository archaeology ではなく、以下を区別できるだけの bounded check である。
+
+- genuinely missing binding decision / requirement / invariant / acceptance criterion。
+- Ticket thread、関連 Ticket、docs/workflows/code、durable context にすでに記録された decision。
+- coder が implementation latitude の中で選べる local tactic / bounded investigation。
+
+### 4. Classification を決める
+
+例:
+
+- implementation-ready に見えるが authority boundary の explicit decision がなく、bounded context check でも recorded decision がない → concrete missing decision として `return_to_planning`; routing record に missing item / checked context / implementation latitude では足りない理由 / next question を書く。
+- implementation-ready に見えるが単に risk が高い → `implementation_ready` とし、IntentPacket に escalation / reviewer focus を明記する。
+- `allow-spawnpod-child-workspace-cwd` のように scope / Pod / authority-adjacent domain に触れるが、intent、authority invariants、implementation latitude、escalation conditions が指定済み → `implementation_ready`。context check で既存 SpawnPod scope/cwd policy と workflow invariants を確認し、reviewer focus に authority leakage / workspace-cwd separation / delegation-scope preservation を入れる。risk domain だけを理由に `planning` へ戻さない。
+- 実装済みだが review がない → `review_needed`
+- 要件が曖昧で spike も必要そう → `requirements_sync_needed` を優先し、調査問いを明確化する
+- 完了しているが close 権限がない → `close_ready` として dossier を返す
+
+### 5. Routing decision を Ticket に記録する
+
+`TicketComment` の role は通常 `decision` または `plan` を使う。
+
+標準形:
+
+```markdown
+Routing decision: <classification>
+
+Reason:
+- ...
+
+Evidence checked:
+- Ticket body / thread / artifacts
+- related Ticket(s) / orchestration plan records
+- code/docs/workflow paths
+- branch/worktree/Pod state if relevant
+
+If returning to planning:
+- Missing decision/information: ...
+- Context checked: summarize the relevant subset from Evidence checked above
+- Why implementation latitude is insufficient: ...
+- Next planning question/action: ...
+
+Next action:
+- ...
+
+Escalate if:
+- ...
+```
+
+### 6. IntentPacket を作る（implementation_ready の場合）
+
+`multi-agent-workflow` に渡す前に、以下を短くまとめる。
+
+```text
+Intent:
+- 何を実現するか。
+
+Binding decisions / invariants:
+- 人間/Orchestrator/Ticket に記録済みで coder / reviewer が従うべき decision と、壊してはいけない design / authority boundary。
+- 具体的な除外・触れてはいけない場所が binding decision である場合はここに書く。
+
+Requirements / acceptance criteria:
+- 完了時に満たす observable な要件と reviewer が判断できる基準。
+
+Implementation latitude:
+- Coder が調査しながら選んでよい local tactic / file-local organization / bounded uncertainty。
+
+Escalate if:
+- 親/人間に戻す判断条件。特に product / API / UX / authority boundary / explicit design constraint を変える必要が出た場合。
+
+Validation:
+- 実行すべき format / build / test / doctor。
+
+Current code map:
+- 実装対象と触ってはいけない場所。
+
+Critical risks / reviewer focus:
+- reviewer にも見てほしい失敗パターン。reviewer は recorded intent / binding decisions / invariants / implementation latitude / acceptance criteria / explicit escalation conditions に照らして判断し、不記録の preferred tactic を基準にしない。
+```
+
+IntentPacket が短く書けない場合、`implementation_ready` ではなく `return_to_planning` または `requirements_sync_needed` に戻す。
+
+### 7. 後続 Workflow へ接続する
+
+- `requirements_sync_needed` → `ticket-intake-workflow` / human / planning sync
+- `return_to_planning` → `ticket-preflight-workflow`（legacy compatibility canonical id の planning sync entry）
+- `spike_needed` → read-only investigation plan / Pod（許可後）
+- `implementation_ready` → `multi-agent-workflow`
+- `review_needed` → reviewer Pod / review workflow
+- concrete blocker / missing decision → human / parent Orchestrator
+- `close_ready` → close workflow / maintainer decision
+
+## 完了条件
+
+この Workflow の完了条件は次のいずれかである。
+
+- routing decision が Ticket に記録され、次に接続する Workflow / human action が明確である。
+- `ready` / `queued` を `planning` に戻した場合、typed state-change/routing event に concrete missing decision / information、checked context、implementation latitude では足りない理由、次の planning question/action が残っている。
+- implementation-ready Ticket について IntentPacket が Ticket に記録され、`multi-agent-workflow` に渡せる。
+- requirements-sync / planning return / spike / blocked / review / close-ready の理由と次 action が Ticket に記録されている。
+- routing 不要と判断され、その理由が明確である。
+
+## この Workflow で固定しないもの
+
+- unattended scheduler。
+- LeaseStore / queue persistence。
+- queue/dashboard UI。
+- automatic Pod spawning policy。
+- TicketUpdate tool の導入。
+- external tracker integration。
+
+これらは routing decision を人間/Orchestrator が明示的に扱えるようになった後の follow-up とする。

.yoi/workflow/ticket-preflight-workflow.md

@@ -1,167 +1,89 @@
 ---
-description: ticket を実装委譲する前に、要件・前提・設計境界・反証観点を同期し、tickets.sh に記録する preflight フロー
+description: 互換 canonical id を残した Ticket planning / requirements sync workflow。preflight を独立 lane や state として扱わない。
 model_invokation: true
 user_invocable: true
 requires: []
 ---
-# Ticket Preflight Workflow
 
-insomnia プロジェクトで ticket を実装に渡す前に、要件・前提・設計境界・反証観点を同期するための Workflow。これは **実装前の gate** であり、worktree 作成や coder / reviewer Pod の起動は `multi-agent-workflow` / `worktree-workflow` 側で扱う。
+# Ticket Planning / Requirements Sync Workflow
 
-目的は「ticket があるから実装する」状態を避け、ticket が **実装可能な仕様** なのか、**調査 ticket** なのか、**人間との仕様同期が必要な未決定 ticket** なのかを明確にすることである。
+このファイル名は既存の workflow discovery / durable references 互換のために残す。新しい概念としての `preflight` state / lane / long-lived operation は作らない。ここで扱う作業は、Ticket を `planning` に戻して不足している決定・情報・受け入れ条件を同期するための planning activity である。
 
-## 適用する場面
+## 目的
 
-以下のいずれかに当てはまる ticket は、実装委譲前にこの Workflow を通す。
+実装に入る前または Orchestrator routing 中に、bounded project-context checks 後も concrete missing decision / information / acceptance condition が残る Ticket を planning に戻し、Ticket thread に監査可能な形で同期内容を残す。
 
-- profile / manifest / scope / permission / session / history / pod-store / prompt context など authority boundary に触れる。
-- ticket の文面から複数の自然な設計方針が導ける。
-- 「どう実装するか」以前に「何を仕様とするか」が曖昧である。
-- 既存 implementation plan があるが、抽象化・責務境界・ユーザー体験に疑問がある。
-- 過去 decision / memory / docs / ticket thread と矛盾しそうである。
-- coder Pod に渡す intent packet を短く書けない。
+この workflow は次をしてはいけない。
 
-小さなバグ修正や仕様が明確な局所変更では、この Workflow は省略してよい。ただし省略理由が曖昧な場合は preflight する。
+- `preflight` を state として扱う。
+- `preflight` vocabulary を current Ticket metadata として新規に書く。
+- 「リスクがある」だけで Ticket を戻す。
+- broad effort の進捗を保持するためだけの umbrella/progress-container Ticket を作る。
+- parent/child、sub-ticket、part-of、contains などの hierarchy/container relation を split/refinement の代替として設計する。
+- Coder / Reviewer / worktree mechanics を再設計する。
 
-## tickets.sh 運用方針
+## 適用条件
 
-作業管理の authority は `work-items/` と `tickets.sh` である。preflight の結果は、口頭の会話だけで終わらせず、ticket の `thread.md` または `item.md` に残す。
+次のいずれかを満たす場合に使う。
 
-- 新規の前提・要件・受け入れ条件は、必要に応じて `item.md` を更新する。
-- 調査結果・実装前 plan は `./tickets.sh comment <ticket> --role plan --file <file>` で残す。
-- 採用/却下した設計判断、実装停止判断、仕様同期の結論は `--role decision` で残す。
-- 実装に入ってよい状態になったら、その根拠を intent packet として ticket thread に残す。
-- 仕様が未決定なら、実装 ticket にせず requirements-sync / spike / design ticket として切り分ける。
-- ticket の timestamp/frontmatter が更新される場合は、関連変更と一緒に commit する。
-- ticket 作成・更新・レビュー・完了は git commit で記録する。push はしない。
+- `planning` Ticket の要件・受け入れ条件・制約を明確化する。
+- ユーザーが concrete work item として求めた initial planning / design / investigation Ticket の scope と acceptance criteria を明確化する。
+- `ready` または `queued` Ticket について、Orchestrator が Ticket/thread/artifacts、関連 Ticket/plan、関連 workflow/docs/code、durable project context、workspace evidence の relevant subset を bounded に確認したうえで、実装開始前に concrete missing decision / information を特定した。
+- 既存 Ticket に obsolete state vocabulary が残っており、planning terminology へ整理する必要がある。
+
+適用しない条件:
+
+- Orchestrator が具体的な不足項目、checked context、implementation latitude では足りない理由を言語化できない。
+- 単に変更範囲が広い、リスクが高い、またはレビュー観点が多いだけである。
+- すでに `queued -> inprogress` が記録され、実装 side effect が始まっている。
+
+この場合は Ticket を戻さず、IntentPacket に escalation / reviewer focus を明記して進める。
 
 ## 手順
 
-### 1. 状態確認
+1. Ticket の current frontmatter と recent thread を読む。
+2. `ready` / `queued` から planning に戻す場合は、関連 Ticket/plan、docs/workflow/code、durable project context、workspace state の relevant subset を bounded に確認する。
+3. 不足している decision / information / acceptance condition を箇条書きで特定し、なぜ coder/reviewer の implementation latitude や escalation condition では足りないかを書く。
+4. `ready` または `queued` から戻す場合は、typed state change で `to = planning` を記録する。reason/body には concrete missing item、checked context、implementation latitude では足りない理由、次の planning question/action を含める。
+5. 既存の claimed live/restorable Intake/Planning Pod があり、利用可能な通知経路がある場合は、その Pod に同じ不足理由を通知する。実用的な経路が無い場合は follow-up として report する。
+6. Ticket body または thread に requirements sync 結果を残す。広い依頼を分割する場合は、concrete follow-up Ticket / Objective context / split decision record へ責務を分け、umbrella container や hierarchy relation を作らないことを記録する。
+7. Ticket が queue 可能になったら `planning -> ready` を typed state change / `TicketIntakeReady` で記録する。
 
-- `git status --short --branch`
-- 対象 ticket の `item.md` / `thread.md` / artifacts
-- 関連 ticket / docs / workflow / Knowledge / memory decision
-- 既存 worktree / branch / running Pod の有無
+## 記録テンプレート
 
-この段階で unrelated dirty changes がある場合は、preflight の記録だけを行うか、人間に確認してから進める。
+```markdown
+## Planning sync
 
-### 2. ticket の種類を分類する
+Missing decisions / information:
+- ...
 
-以下のどれかに分類する。
+Context checked:
+- Ticket/thread/artifacts: ...
+- related Ticket/plan: ...
+- docs/workflow/code/durable/workspace context: ...
 
-```text
-implementation-ready:
-- 要件・受け入れ条件・invariant が明確で、実装方針が一意または十分絞れている。
+Why implementation latitude is insufficient:
+- ...
 
-requirements-sync-needed:
-- ticket の目的は見えているが、仕様・用語・責務境界・ユーザー体験の同期が必要。
+Next planning question/action:
+- ...
 
-spike-needed:
-- 技術的実現性・依存関係・ライセンス・性能・diagnostics などを先に調べる必要がある。
+Decisions made:
+- ...
 
-blocked-needs-human-decision:
-- 複数方針があり、AI が勝手に決めると設計境界や product API を固定してしまう。
+Acceptance criteria changes:
+- ...
+
+Risk / reviewer focus:
+- ...
+
+Readiness:
+- Keep in planning because ...
+- or mark ready because ...
 ```
 
-`implementation-ready` 以外は、coder Pod に実装を委譲しない。
-
-### 3. 要件同期
-
-最低限、以下を確認する。
-
-- 完了時に observable に何が変わるか。
-- ticket の主語は何か: user-facing behavior / internal architecture / cleanup / investigation。
-- 用語が既存設計と一致しているか。
-- 何をやらないか。
-- 後方互換が必要か、不要な互換層を作ろうとしていないか。
-- 既存の authority boundary を変えるか。
-- runtime state / persisted state / config / profile / manifest / session log / pod metadata のどれが authority か。
-
-必要なら ticket `item.md` の Background / Requirements / Acceptance criteria を更新する。
-
-### 4. 現行コードと過去判断の map を作る
-
-実装前に、少なくとも関連する current code paths を列挙する。
-
-```text
-Current code map:
-- file/function: 現在の責務
-- file/function: 変更候補
-- file/function: 触ってはいけない境界
-```
-
-この map は簡潔でよい。目的は coder Pod が blind に探しながら設計を固定するのを防ぐこと。
-
-### 5. 批判的 preflight
-
-実装方針を一度疑う。以下の問いに答える。
-
-- この ticket は本当に実装 ticket か、それとも仕様同期 ticket か。
-- 最も自然に見える実装が失敗するとしたらどこか。
-- 抽象化に失敗して「別名の同じもの」を作っていないか。
-- runtime-bound な値を reusable config に混ぜていないか。
-- profile / manifest / scope / session / pod-store などの authority を逆転させていないか。
-- user-facing API を安易に public contract 化していないか。
-- external dependency / license / portability / packaging の問題はないか。
-- reviewer が diff だけ読んでも見落とす設計リスクは何か。
-
-この問いへの答えを `plan` または `decision` として ticket thread に残す。
-
-### 6. intent packet を作る
-
-実装に入ってよい場合だけ、`multi-agent-workflow` に渡す intent packet を作る。
-
-```text
-Intent:
-- 何を実現するか。
-
-Requirements:
-- observable な完了条件。
-
-Invariants:
-- 壊してはいけない authority boundary / design boundary。
-
-Non-goals:
-- 今回やらないこと。
-
-Escalate if:
-- 親/人間に戻す判断条件。
-
-Validation:
-- focused test / broader check / doctor / docs 更新。
-
-Current code map:
-- 実装対象と触ってはいけない場所。
-
-Critical risks:
-- reviewer にも見てほしい失敗パターン。
-```
-
-この intent packet が短く書けない場合は、実装委譲せず requirements-sync-needed とする。
-
-## review への引き継ぎ
-
-preflight で出た critical risks は reviewer Pod にも渡す。reviewer は diff だけでなく、ticket の前提・要件・invariant と preflight の反証観点を読む。
-
-reviewer に期待すること:
-
-- 実装が preflight の intent に対応しているか。
-- 抽象化失敗や authority boundary 違反がないか。
-- preflight で挙げた失敗パターンに落ちていないか。
-- validation がリスクに対して十分か。
-
 ## 完了条件
 
-この Workflow 自体の完了条件は、次のいずれかである。
-
-- ticket が `implementation-ready` になり、intent packet が thread に記録されている。
-- ticket が `requirements-sync-needed` / `spike-needed` / `blocked-needs-human-decision` として整理され、次に人間へ戻す問いまたは follow-up ticket が明確になっている。
-- ticket 自体が不要/誤りと判断され、理由が decision として記録されている。
-
-## この Workflow でしないこと
-
-- worktree を作成しない。
-- coder Pod に実装を委譲しない。
-- merge / close しない。
-- 仕様未決定のまま「小さく実装してみる」ことで public API を固定しない。
+- Ticket に具体的な不足項目または解決済み decision が記録されている。
+- `planning` に戻した場合、state_changed event または thread に concrete missing decision / information、checked context、implementation latitude では足りない理由、次の planning question/action が残っている。
+- `ready` に進める場合、未解決の blocking attention/action が残っていない。

.yoi/workflow/worktree-workflow.md

@@ -1,32 +1,34 @@
 ---
-description: insomnia プロジェクトで child git worktree を作成・管理するための機械的手順。coder Pod に作らせず、orchestrator Pod が main workspace で実行する。
+description: yoi プロジェクトで child git worktree を作成・管理するための機械的手順。coder Pod に作らせず、orchestrator Pod が Orchestrator workspace/orchestration branch から実行する。
 model_invokation: true
 user_invocable: true
 requires: []
 ---
 # Worktree Workflow
 
-insomnia プロジェクトで実装差分を main workspace から分離するため、`./.worktree/<task-name>` に child git worktree を作る。これは **worktree の扱い方だけ** を定める Workflow であり、ticket 選定、coder / reviewer sibling の起動、外部レビュー、merge の運用は `$user/multi-agent-workflow` 側で扱う。
+yoi プロジェクトで実装差分を root/original workspace から分離するため、記録済み implementation worktree root の `.worktree/<task-name>` に child git worktree を作る。これは **worktree の扱い方だけ** を定める Workflow であり、ticket 選定、coder / reviewer sibling の起動、外部レビュー、orchestration branch への integration は `/multi-agent-workflow` 側で扱う。
 
-insomnia では Pod の write scope が排他的に委譲されるため、child worktree に `.insomnia` を置かない。main workspace は orchestration / ticket / docs / memory / workflow 管理の場所として残し、child worktree はコード差分専用の作業面として扱う。
+yoi では Pod の write scope が排他的に委譲されるため、child Pod の write scope は child worktree に限定する。child worktree は Yoi project records marker として tracked `.yoi` records を含んでよいが、generated/personal memory root `.yoi/memory`、local override、runtime state、logs、locks、secret-like files は出さない。Orchestrator workspace or recorded Ticket backend remains the place for active orchestration progress, review evidence, integration records, and Ticket lifecycle updates.
 
 ## 適用範囲
 
-この Workflow は親 Pod / 下位 orchestrator が main workspace で実行する。
+この Workflow は親 Pod / 下位 orchestrator が Orchestrator workspace/orchestration branch から実行する。root/original workspace は read/write/validation/cleanup/git 操作の対象にしない。implementation worktree は記録済み implementation worktree root 配下に作る。
 
 - coder Pod にこの Workflow を渡して worktree を作らせない。
 - coder Pod は、orchestrator が作成済みの child worktree を受け取り、その中で実装・build・test・報告を行う。
-- reviewer Pod は、coder Pod の子ではなく orchestrator 配下の sibling として、原則 read-only で main workspace と child worktree を読む。
-- ticket 作成、TODO 更新、review artifact、docs/report は main workspace 側で扱う。
+- reviewer Pod は、coder Pod の子ではなく orchestrator 配下の sibling として、原則 read-only で child worktree と Orchestrator workspace の Ticket/context を読む。
+- ticket 作成、active orchestration progress、review evidence、integration、Ticket lifecycle update は Orchestrator workspace または記録済み Ticket backend 側で扱う。
+- branch-local artifacts / dossiers / docs/report / tracked `.yoi` project records は、実装対象に必要なら child worktree 内で扱ってよい。
 
 ## 原則
 
 - 1 ticket / 1 実装 task につき 1 worktree を作る。
 - 複数 ticket を下位 orchestrator に任せる場合も、実装差分は ticket / bounded task ごとに worktree を分ける。
-- worktree path は `./.worktree/<task-name>`。
+- worktree path は `<implementation-worktree-root>/.worktree/<task-name>`。
 - branch 名は原則 `<task-name>` と同じ kebab-case。
-- child worktree には `.insomnia` を出さない。
-- child worktree は実装差分用。`TODO.md` / `tickets/` / `docs/report/` / workflow / memory は原則 main workspace 側で扱う。
+- child worktree には `.yoi` project records を出してよい。
+- child worktree では `.yoi/memory`、local/runtime/log/lock/secret-like paths を sparse checkout で除外する。
+- active orchestration progress、review evidence、integration、Ticket lifecycle update は Orchestrator workspace または記録済み Ticket backend 側で扱う。branch-local artifacts/dossiers は child worktree 内に置いてよい。
 - push はしない。
 
 ## 事前確認
@@ -36,7 +38,7 @@ insomnia では Pod の write scope が排他的に委譲されるため、child
 1. 対象 ticket / task が決まっているか。
 2. `<task-name>` が branch / path 名に使える kebab-case か。
 3. `git worktree add` を実行してよい許可があるか。
-4. main workspace に混ぜてはいけない未保存差分がないか。
+4. root/original workspace で実行しようとしていないか。
 5. 同名 branch / worktree が既に存在しないか。
 6. coder / reviewer を sibling として扱う orchestrator が誰か明確か。
 
@@ -44,43 +46,90 @@ insomnia では Pod の write scope が排他的に委譲されるため、child
 
 ## 作成手順
 
-main workspace で実行する。
+Orchestrator workspace で実行する。root/original workspace では実行しない。
 
 ```bash
-git worktree add .worktree/<task-name> -b <task-name>
+git -C <orchestrator-workspace-root> worktree add <implementation-worktree-root>/.worktree/<task-name> -b <task-name> HEAD
 
-git -C .worktree/<task-name> sparse-checkout init --no-cone
-git -C .worktree/<task-name> sparse-checkout set --no-cone \
+git -C <implementation-worktree-root>/.worktree/<task-name> sparse-checkout init --no-cone
+git -C <implementation-worktree-root>/.worktree/<task-name> sparse-checkout set --no-cone \
   '/*' \
-  '!/.insomnia/' \
-  '!/.insomnia/**'
+  '!/.yoi/memory/' \
+  '!/.yoi/memory/**' \
+  '!/.yoi/logs/' \
+  '!/.yoi/logs/**' \
+  '!/.yoi/_logs/' \
+  '!/.yoi/_logs/**' \
+  '!/.yoi/**/_logs/' \
+  '!/.yoi/**/_logs/**' \
+  '!/.yoi/locks/' \
+  '!/.yoi/locks/**' \
+  '!/.yoi/**/*.log' \
+  '!/.yoi/**/*.lock' \
+  '!/.yoi/**/.lock' \
+  '!/.yoi/override.local.toml' \
+  '!/.yoi/**/*.local' \
+  '!/.yoi/**/*.local.*' \
+  '!/.yoi/local/' \
+  '!/.yoi/local/**' \
+  '!/.yoi/runtime/' \
+  '!/.yoi/runtime/**' \
+  '!/.yoi/pods/' \
+  '!/.yoi/pods/**' \
+  '!/.yoi/sessions/' \
+  '!/.yoi/sessions/**' \
+  '!/.yoi/sockets/' \
+  '!/.yoi/sockets/**' \
+  '!/.yoi/tmp/' \
+  '!/.yoi/tmp/**' \
+  '!/.yoi/cache/' \
+  '!/.yoi/cache/**' \
+  '!/.yoi/secrets/' \
+  '!/.yoi/secrets/**' \
+  '!/.yoi/**/*.secret' \
+  '!/.yoi/**/*.secret.*'
 ```
 
+この sparse-checkout は `.yoi` 自体を除外しない。`.yoi/memory` は generated/personal memory marker として child worktree から外し、generated log trees は root `_logs` だけでなく recursive `.yoi/**/_logs/**` も外す。memory root detection の実装変更はこの Workflow では扱わない。
+
 確認する。
 
 ```bash
-git -C .worktree/<task-name> status --short --branch
-test ! -e .worktree/<task-name>/.insomnia
+git -C <implementation-worktree-root>/.worktree/<task-name> status --short --branch
+test ! -e <implementation-worktree-root>/.worktree/<task-name>/.yoi/memory
+if test -d <implementation-worktree-root>/.worktree/<task-name>/.yoi; then
+  test ! -e <implementation-worktree-root>/.worktree/<task-name>/.yoi/override.local.toml
+  test -z "$(find <implementation-worktree-root>/.worktree/<task-name>/.yoi \
+    \( -path '*/_logs' -o -path '*/logs' -o -path '*/locks' \
+       -o -path '*/local' -o -path '*/runtime' -o -path '*/pods' \
+       -o -path '*/sessions' -o -path '*/sockets' -o -path '*/tmp' \
+       -o -path '*/cache' -o -path '*/secrets' -o -name '*.log' \
+       -o -name '*.lock' -o -name '.lock' -o -name '*.local' \
+       -o -name '*.local.*' -o -name '*.secret' -o -name '*.secret.*' \) \
+    -print -quit)"
+fi
 ```
 
+この確認は `.yoi` project records の存在を失敗扱いしない。`.yoi/memory` と local/runtime/log/lock/secret-like paths が出ていないことを確認する。
+
 失敗した場合は、worktree / branch / lock の状態を確認し、勝手に cleanup せず人間へ報告する。
 
 ## Pod へ渡す scope
 
-Pod を使う場合、Pod の cwd は main workspace のままになる。必ず作業対象が child worktree であることを明示し、Bash 実行時は毎回 `cd <repo>/.worktree/<task-name> && ...` させる。
+Pod を使う場合、coder Pod の SpawnPod `cwd` は child worktree に設定する。`cwd` は child process/tool default cwd だけを変え、runtime workspace root・project record root・scope/authority は変えないため、下の明示 scope は別途渡す。
 
 coder Pod 推奨 scope:
 
 ```text
-read:  <repo>
-write: <repo>/.worktree/<task-name>
+read:  <implementation-worktree-root>/.worktree/<task-name>
+write: <implementation-worktree-root>/.worktree/<task-name>
 ```
 
 reviewer Pod 推奨 scope:
 
 ```text
-read: <repo>
-read: <repo>/.worktree/<task-name>  # main workspace の read に含まれるなら別指定不要
+read: <implementation-worktree-root>/.worktree/<task-name>
+read: <orchestrator-workspace-root>  # Ticket/intent/review context が必要な範囲に限定する
 ```
 
 reviewer は原則 write scope を持たない。review artifact を書かせる必要がある場合だけ、ticket artifacts など限定 directory を write scope として渡す。
@@ -89,14 +138,17 @@ reviewer は原則 write scope を持たない。review artifact を書かせる
 
 ## child worktree 内の禁止事項
 
-- `.insomnia` を作らない / コピーしない。
-- main workspace の `TODO.md` / `tickets/` / `docs/report/` を編集しない。
+- `.yoi/memory` を作らない / コピーしない / 復元しない。
+- local overrides、runtime sockets/state、Pod session mirrors、cache/tmp、logs、locks、secret-like files を作らない / コピーしない / commit しない。
+- root/original workspace の `TODO.md` / `tickets/` / `docs/report/` / `.yoi` を読まない・編集しない。
+- active orchestration progress、review evidence、integration、Ticket lifecycle update を child worktree 内だけで完結させない。
+- 実装対象に必要な tracked `.yoi` project records、branch-local artifacts / dossiers / docs/report は child worktree 内で扱ってよい。
 - merge / push / branch deletion / worktree remove をしない。
 - scope / permission / history persistence / prompt context 加工原則に関わる設計変更を無断で行わない。
 
 ## 完了時の扱い
 
-worktree 作成 Workflow としては、完了時に merge しない。merge、ticket 完了、TODO 削除は `$user/multi-agent-workflow` または人間の明示指示で行う。
+worktree 作成 Workflow としては、完了時に integration しない。orchestration branch への integration、Ticket 完了、child worktree cleanup は `/multi-agent-workflow` 側で Orchestrator workspace に対して行う。root/original workspace は対象にしない。
 
 coder Pod へ渡す完了報告項目の標準形:
 

.yoi/workspace.toml

@@ -0,0 +1,22 @@
+workspace_id = "0197a949-4b6b-7f2a-9d9a-1f87e3a4c5b6"
+created_at = "2026-06-23T00:00:00Z"
+display_name = "yoi"
+
+[ticket]
+language = "Japanese"
+
+[ticket.backend]
+provider = "builtin:yoi_local"
+root = ".yoi/tickets"
+
+[ticket.roles.intake]
+profile = "builtin:intake"
+
+[ticket.roles.orchestrator]
+profile = "builtin:orchestrator"
+
+[ticket.roles.coder]
+profile = "builtin:coder"
+
+[ticket.roles.reviewer]
+profile = "builtin:reviewer"

AGENTS.md

@@ -1,85 +1,66 @@
-すでにシステムのドッグフーディングに成功しており、改善・機能追加のフェーズになっている。
-随所の細かい仕様を詰めながら実装を進めている。
+すでにシステムのドッグフーディングに成功しており、ブラウザ/TUI Client/backend/runtimeの分離とチームスペースとしてのworkspaceの実装を進めている。
 
 ## このシステムに置ける設計要旨
 
-- プロンプトはすべて resources/promptsに集約している。管理効率の向上と同時に、ユーザーがオーバーライドする形式でもある。
-- E2E(実プロセスをスポーンさせてのテスト)は未設計。
+- プロンプトはすべて`resources/prompts`に集約している。管理効率の向上のためであると同時に、ユーザーがオーバーライドする形式でもある。
 - 変更量を最小にするために設計を歪めたり、設計問題に対して不必要な後方互換性を作らない。長期的なメンテナンスと型安全性を追求すること。
 
 ### LLM コンテキストの加工原則
 
-LLM に投げる context への割り込みは、大きく2種類に分かれる。**前者は許されるが、後者は禁止**。
+LLM に投げる context はappend-onlyが基本であり、またその永続化形式からAPIコールの形式を純粋に再現可能である必要が有る。
 
-Podの状態から純粋に再現可能で、且つ揮発性の無い操作であることが望ましい。（pruning、tool result の content 切り詰め、prompt cache anchor の付与等）。
-原則として、コンテキストは積み重ねるものであり、一時的にメッセージを差し込むことや、過去のメッセージを改ざんすることはKVキャッシュのヒット率を下げる。
+一時的にメッセージを差し込む等の、揮発性の有るコンテキストの改変や、過去のメッセージを改ざんすることは基本的に禁止されている。
+これを行うと、 LLM はそのコンテキストに基づいて生成を行う一方、次以降のターンでhistoryに残らないため、「自分がなぜその発言/tool call をしたか」の根拠が消えるうえ、prompt cache のヒット率も低下させることになる。
 
-**禁止**: ターンを跨ぐことができない情報に基づいて、history に記録せずに context だけにコンテンツを差し込むこと。これをやると LLM はそれに反応して生成を行う一方、次以降のターンでhistoryに残らないため、「自分がなぜその発言/tool call をしたか」の根拠が消えるうえ、prompt cache のヒット率も低下させることになる。
-
-新しい input を context に乗せたいなら、必ず先に `worker.history` に append して commit すること。`history.json` への永続化はそこから自動的についてくる。Notify / PodEvent / `<system-reminder>` 系はこの原則で扱う。
-また、キャッシュを破壊するタイミングは正確にコントロールされる必要があり、キャッシュ破壊とトークン消費のトレードオフに基づいて慎重に設計されるべきである。
-
----
-
-## 実際のセッションを読んでデバッグする
-
-`~/.yoi/sessions`にすべてのセッションがある。jsonlなので、いい感じにBashで読むこと。
-
----
-
-## Git操作
-
-明示的に指示されない限り、読み取り以外の操作は控えること。
-基本はworktree上の一時的なブランチでコミットを重ね、メインブランチに取り込む運用をしている。
-コミットメッセージは適当に`<prefix>: *簡潔な1行*`で書いている。
-
-外部の参考プロジェクトは必要に応じてローカルの外部 checkout からReadすること。
+過去のコンテキストの圧縮は、キャッシュ破壊とトークン消費のトレードオフであり、必要であれば行っている。
+しかし、キャッシュを破壊するタイミングと頻度は正確にコントロールされる必要があり、実際のセッションデータの解析に基づいて慎重に設計されるべきである。
 
 ---
 
 ## 検証
 
-コード・パッケージング・runtime resource・prompt に関わる変更は、完了前に `nix build .#yoi`（または同等の flake package build）を通して確認すること。`cargo test` / `cargo check` が通っていても Nix packaging 側で壊れることがあるため、Nix build を別途確認する。
+開発中は、変更した契約を証明する最小の target / filter から実行する。
 
-docs-only など Nix build の価値が低い変更で省略する場合は、完了報告で省略理由を明示すること。
+```sh
+cargo test -p <crate> --lib <test-or-module-filter>
+cargo test -p <crate> --test <test-target> <test-filter>
+```
+
+完了前には、workspace rootで必ず`cargo check`を実行する。rootの`cargo check`は
+`default-members`に含まれるTUIやServerを含む通常のcompile closureを確認するため、公開型の
+変更ごとにLLMがreverse dependencyを推測して`-p`を列挙する運用にはしない。
+
+```sh
+cargo check
+cargo test -p <changed-crate>
+cargo fmt --all -- --check
+git diff --check HEAD
+```
+
+変更したcrate全体のtestに加え、影響するfeature構成やtest-only targetがある場合は、その検証を
+追加する。`cargo check`はtestを実行せず、通常有効でないfeatureまでは確認しないため、semanticな
+証明とfeature境界の検証はtargeted test/checkで補う。
+
+workspace全体のtest、`--all-targets`、E2E、Nix/Docker buildなどの重い検証は、変更した境界を
+通常のroot checkと狭い検証では証明できない場合や、明示的に要求された場合に選ぶ。実行した検証が
+何を証明するのかを意識し、広い検証を形式的に回すだけにしない。
 
 ---
 
-## Work item / Ticket の運用について
+## ドッグフーディング時の Ticket 境界
 
-作業管理は `work-items/` と `tickets.sh` を正とする。時系列・状態遷移の最終的な根拠は git history なので、work item の作成・更新・レビュー・完了はファイル操作と commit で表現する。
+Yoi Worker で作業する場合、Ticket の authority・ライフサイクル・操作方法は Yoi
+system instructions と、その Worker に提供された typed Ticket tools に従うこと。
 
-### 基本コマンド
-
-- 新規作成: `./tickets.sh create --title "..." [--slug slug] [--kind task] [--priority P2] [--label a,b]`
-- 一覧: `./tickets.sh list [--status open|pending|closed|all]`
-- 詳細: `./tickets.sh show <id-or-slug>`
-- コメント / 計画 / 判断 / 実装報告: `./tickets.sh comment <id-or-slug> [--role comment|plan|decision|implementation_report] [--file path]`
-- レビュー記録: `./tickets.sh review <id-or-slug> --approve|--request-changes [--file path]`
-- 状態変更: `./tickets.sh status <id-or-slug> open|pending|closed`
-- 完了: `./tickets.sh close <id-or-slug> [--resolution text|--file path]`
-- 整合性確認: `./tickets.sh doctor`
-
-`tickets.sh` は `work-items/{open,pending,closed}/<id>/` 配下の `item.md`、`thread.md`、`artifacts/` を扱う。完了時は `resolution.md` も作られる。手でファイルを作るより、原則としてスクリプトを使うこと。
-
-### Work item の粒度
-
-- 1 work item = 完了時点で、実装が仕様または機能として説明できる粒度。
-- 作成時は背景・要件・受け入れ条件を明確にする。実装手順やコード詳細は、必要になるまで増やしすぎない。
-- チケット内の Phase / Step は実装順序であり、外部の依存関係管理として扱わない。
-- ビルドが通り、その機能に限り「まだ動作できない」と明示できている場合を除き、全体として動作可能な状態を保つ。
-
-### ライフサイクル
-
-- 作成: `./tickets.sh create ...` で `work-items/open/...` を作成し、必要な前提を書いて commit する。
-- 詳細化・前提変更: `item.md` を更新し、必要に応じて `./tickets.sh comment` で `thread.md` に経緯を残して commit する。
-- レビュー: `./tickets.sh review <id-or-slug> --approve|--request-changes` で `thread.md` にレビュー結果を追記して commit する。
-- 完了: `./tickets.sh close <id-or-slug>` で `work-items/closed/...` に移動し、`resolution.md` と完了状態を commit する。
-
-worktree と併用して作業を進める場合、必ずブランチを切る前に対象 work item を作成・詳細化して commit してから切ること。
-
-レビューは diff の確認だけでなく、work item の前提・要件・受け入れ条件が提出された実装で満たされているかを確認する。常に、その実装で良いのか、コードベースを歪めていないか、不必要な実装ではないかを確認すること。
+Codex など typed Ticket tools が提供されていないクライアントでは、`yoi ticket`
+CLI や保存先の直接操作で Ticket tools を代替しないこと。Ticket の作成・更新は
+Yoi Worker に委ねる。
 
 ---
 
 YoiでYoiを開発している際、AI自身のフィードバックを元に改善を回すために `docs/report/`ディレクトリに感じた障壁や改善案等を書き残す形にした。 明確に力不足な点/ツールの問題があった場合や、ユーザーからの指示があった際に作ること。
+
+---
+
+絶対に自身が動作しているプロセスを止めないこと。
+マージ後のドッグフーディング環境の更新は必ずユーザーの操作で行う。

Cargo.toml

@@ -2,64 +2,138 @@
 resolver = "2"
 members = [
     "crates/client",
-    "crates/daemon",
-    "crates/llm-worker",
-    "crates/llm-worker-macros",
+    "crates/agen",
+    "crates/agen-macros",
     "crates/session-store",
+    "crates/standalone",
     "crates/secrets",
     "crates/manifest",
-    "crates/pod",
+    "crates/mcp",
+    "crates/worker",
+    "crates/worker-runtime",
+    "crates/plugin-pdk",
     "crates/yoi",
-    "crates/pod-store",
     "crates/protocol",
-    "crates/provider",
-    "crates/pod-registry",
     "crates/session-metrics",
+    "crates/session-analytics",
     "crates/lint-common",
     "crates/tools",
+    "crates/fs-operation",
+    "crates/flow",
+    "crates/config-source",
+    "crates/config-source-wasm",
+    "crates/workdir",
     "crates/tui",
     "crates/memory",
-    "crates/workflow",
+    "crates/ticket",
+    "crates/merge-request",
+    "crates/project-record",
+    "crates/workspace-api",
+    "crates/workspace-server",
+    "tests/e2e",
+]
+default-members = [
+    "crates/client",
+    "crates/agen",
+    "crates/agen-macros",
+    "crates/session-store",
+    "crates/standalone",
+    "crates/secrets",
+    "crates/manifest",
+    "crates/mcp",
+    "crates/worker",
+    "crates/worker-runtime",
+    "crates/plugin-pdk",
+    "crates/yoi",
+    "crates/protocol",
+    "crates/session-metrics",
+    "crates/session-analytics",
+    "crates/lint-common",
+    "crates/tools",
+    "crates/fs-operation",
+    "crates/flow",
+    "crates/config-source",
+    "crates/config-source-wasm",
+    "crates/workdir",
+    "crates/tui",
+    "crates/memory",
+    "crates/ticket",
+    "crates/merge-request",
+    "crates/project-record",
+    "crates/workspace-api",
+    "crates/workspace-server",
 ]
 
 [workspace.package]
 edition = "2024"
 license = "MIT"
 
+[profile.dev]
+debug = "line-tables-only"
+
+[profile.dev.package."*"]
+debug = false
+
 [workspace.dependencies]
 # Internal crates
 client = { path = "crates/client" }
-llm-worker = { path = "crates/llm-worker", version = "0.2" }
-llm-worker-macros = { path = "crates/llm-worker-macros", version = "0.2" }
+agen = { path = "crates/agen", version = "0.2" }
+agen-macros = { path = "crates/agen-macros", version = "0.2" }
 manifest = { path = "crates/manifest" }
+mcp = { path = "crates/mcp" }
 lint-common = { path = "crates/lint-common" }
 memory = { path = "crates/memory" }
-pod = { path = "crates/pod" }
+merge-request = { path = "crates/merge-request" }
+ticket = { path = "crates/ticket" }
+project-record = { path = "crates/project-record" }
+worker = { path = "crates/worker" }
+worker-runtime = { path = "crates/worker-runtime" }
+workspace-api = { path = "crates/workspace-api" }
+yoi-plugin-pdk = { path = "crates/plugin-pdk" }
 yoi = { path = "crates/yoi" }
-pod-registry = { path = "crates/pod-registry" }
-pod-store = { path = "crates/pod-store" }
 protocol = { path = "crates/protocol" }
-provider = { path = "crates/provider" }
 session-metrics = { path = "crates/session-metrics" }
+session-analytics = { path = "crates/session-analytics" }
 session-store = { path = "crates/session-store" }
+standalone = { path = "crates/standalone" }
 secrets = { path = "crates/secrets" }
 tools = { path = "crates/tools" }
+config-source = { path = "crates/config-source" }
+fs-operation = { path = "crates/fs-operation" }
+workdir = { path = "crates/workdir" }
 tui = { path = "crates/tui" }
+yoi-workspace-server = { path = "crates/workspace-server" }
 
 # External
 # Note: `reqwest` and `chrono` are not aggregated here because some crates
 # need `default-features = false`, which workspace inheritance cannot override.
 async-trait = "0.1"
+axum = "0.8"
+base64 = "0.22.1"
+decodal = "0.4.0"
+decodal-language-service = "0.4.0"
+decodal-language-tools = "0.4.0"
 fs4 = "0.13"
 futures = "0.3"
 libc = "0.2"
 schemars = "1.2"
 serde = "1.0"
 serde_json = "1.0"
+serde_yaml = "0.9.34"
+tar = "0.4"
+rusqlite = { version = "0.37", features = ["backup", "bundled"] }
+ring = "0.17.14"
 sha2 = "0.11"
+ssh-key = { version = "0.6.7", features = ["ed25519", "encryption"] }
 tempfile = "3.27"
 thiserror = "2.0"
 tokio = "1.52"
+tokio-tungstenite = "0.29"
+tower = "0.5"
 toml = "1.1"
 tracing = "0.1"
+tracing-subscriber = { version = "0.3", features = ["env-filter", "json"] }
+url = "2.5"
 uuid = "1.23"
+zeroize = "1"
+webauthn-rs = { version = "0.5.2", features = ["danger-allow-state-serialisation", "danger-credential-internals"] }

KNOWN_ISSUES.md

@@ -2,17 +2,7 @@
 
 Ticket を切るほどではないが、次に近所を触るときに合わせて拾いたい小粒な所見の置き場。
 
-## 運用
-
-- 1 項目 = 出典 (file:line) + 症状 (一文) + トリガー (いつ拾うか、一文)
-- 関連 ticket があれば `→ [tickets/foo.md]` でリンク
-- 修正したら同じコミットで該当エントリを削除する (履歴は git)
-- ここに溜める基準: 「ticket は重い」「だが忘れたら次の触り手が踏む」もの。明確に作業すべきものは ticket 化する
-
-## エントリ
-
-- `crates/pod/src/controller.rs:703-718` / `crates/tui/src/app.rs:837-845` — bad workflow slug を含む `Method::Run` 送信時、`Event::UserMessage` の早期 broadcast で `turn_index += 1` されターンヘッダだけ残る ("ghost turn header")。次に TUI のターンヘッダ / エラー表示周りを触るときに整理。
-- `crates/pod/src/controller.rs:1256-1265` — `worker_error_code` で `PodError::WorkflowResolve(_) => InvalidRequest` が post-commit な resolve エラー (`KnowledgeNotFound` 等) にも適用される。意味論的には妥当方向だが、resolve 系のエラー粒度を分けたくなったタイミングで再評価。
+- `crates/worker/src/controller.rs:1453-1461` — `worker_error_code` で `WorkerError::WorkflowResolve(_) => InvalidRequest` が post-commit な resolve エラー (`KnowledgeNotFound` 等) にも適用される。意味論的には妥当方向だが、resolve 系のエラー粒度を分けたくなったタイミングで再評価。
 - `crates/session-store/src/fs_store.rs:200-210` — `FsStore::read_entry_count` が `fs::read_to_string` で全文ロードしてから行数カウントするため O(n)。`ensure_head_or_fork` は run-start でしか呼ばれず現状は許容範囲だが、長期セッションが普通になった時点で `\n` バイト数の cheap count か末尾 seek に置き換える。
-- `crates/session-store/src/segment.rs:143-172` `ensure_head_or_fork` (free fn, test 専用・本番 caller ゼロ) と `crates/pod/src/pod.rs:1943-2006` `Pod::ensure_segment_head` (本番 inline) に live auto-fork の検知 + forked_from 記録が二重実装されている。entry-hash-abolish 以前からの重複で、両方独立にテスト済みだが drift 必至。session-store 側を本番から呼ぶ形に寄せるか free fn を畳むかは要設計判断。Pod state / fork 周辺を次に触るときに統合を検討。
-- `crates/pod/src/pod.rs:4074` / `crates/pod/src/spawn/registry.rs:83` — restore 時の spawned child prune/reclaim が Pod restore path と spawned registry load path の両方に残っている。現状は安全側の重複チェックだが、Pod state / spawned registry 周辺を次に触るときに責務境界を再整理。
+- `crates/session-store/src/segment.rs:143-172` `ensure_head_or_fork` (free fn, test 専用・本番 caller ゼロ) と `crates/worker/src/worker.rs:2032` `Worker::ensure_segment_head` (本番 inline) に live auto-fork の検知 + forked_from 記録が二重実装されている。entry-hash-abolish 以前からの重複で、両方独立にテスト済みだが drift 必至。session-store 側を本番から呼ぶ形に寄せるか free fn を畳むかは要設計判断。Worker state / fork 周辺を次に触るときに統合を検討。
+- `crates/worker/src/worker.rs` / `crates/worker/src/spawn/registry.rs:84-174` — restore 時の spawned child prune/reclaim が Worker restore path と spawned registry load path の両方に残っている。現状は安全側の重複チェックだが、Worker state / spawned registry 周辺を次に触るときに責務境界を再整理。

README.md

@@ -1,31 +1,85 @@
 # 夜居 / Yoi agent
 
-Yoi is an agent runtime for building, running, and orchestrating LLM Pods while preserving explicit history, scoped capabilities, and developer-controlled workflows.
+Yoi is an agent runtime for building, running, and orchestrating LLM Workers while preserving explicit history, scoped capabilities, and developer-controlled workflows.
+
+## 1. Yoi agent
+
+Yoi focuses on long-running agent operation rather than one-off prompt execution. A named Worker can keep durable session history, run with explicit tool and filesystem authority, delegate bounded work to child Workers, and be inspected or restored through CLI/TUI surfaces.
+
+Main highlights:
+
+- Named long-running **Workers** with durable session and metadata records.
+- Explicit tool permissions and filesystem scopes.
+- Multi-agent orchestration with scoped coder/reviewer Workers.
+- Profile, Manifest, and prompt-based runtime configuration.
+- Local Tickets and workflow files for auditable project coordination.
+- TUI and CLI entry points, including the `yoi panel` workspace Dashboard and single-Worker Console.
+
+Yoi is actively dogfooded in this repository. Public APIs, configuration formats, and workflows may still change.
+
+## 2. Quick Install
+
+From source:
+
+```sh
+cargo build --release -p yoi
+./target/release/yoi --help
+```
+
+With Nix:
+
+```sh
+nix build .#yoi
+./result/bin/yoi --help
+```
+
+## 3. Getting Started
+
+```sh
+yoi --help
+yoi
+yoi panel
+yoi --worker <name>
+yoi worker --help
+```
+
+Typical flow:
+
+1. Configure providers, models, profiles, prompts, and scopes.
+2. Start or attach to a named Worker in the Console, or inspect workspace activity in the Dashboard.
+3. Use explicit tools and scoped delegation for multi-agent work.
+4. Record project work through Tickets, workflow files, and git history.
 
 Runtime surfaces use `yoi`, `.yoi`, `~/.yoi`, and `YOI_*`.
 
-## Documentation map
+## 4. Documentation
 
-Start with [`docs/README.md`](docs/README.md). The repository documentation is intentionally small: it should explain current design intent and development workflow, not preserve every old plan or external research note.
+Start with [`docs/README.md`](docs/README.md).
 
-Important entry points:
+Key docs:
 
 - [`docs/design/overview.md`](docs/design/overview.md) — architecture and crate ownership map.
-- [`docs/design/context-history.md`](docs/design/context-history.md) — the rules for history, context, and prompt-cache-safe inputs.
-- [`docs/design/pod-session-state.md`](docs/design/pod-session-state.md) — why Pod metadata, session logs, and live runtime hints are separate.
-- [`docs/development/work-items.md`](docs/development/work-items.md) — work item and ticket workflow.
+- [`docs/design/context-history.md`](docs/design/context-history.md) — history/context invariants.
+- [`docs/design/worker-session-state.md`](docs/design/worker-session-state.md) — Worker identity, metadata, and session logs.
+- [`docs/design/profiles-manifests-prompts.md`](docs/design/profiles-manifests-prompts.md) — Profiles, Manifests, and prompt resources.
+- [`docs/design/tool-permissions-scope.md`](docs/design/tool-permissions-scope.md) — tool policy and filesystem scope.
+- [`docs/development/work-items.md`](docs/development/work-items.md) — Ticket workflow and project records.
 - [`docs/development/validation.md`](docs/development/validation.md) — validation expectations.
 
-## Development
+## 5. Development
 
-This repository dogfoods Yoi to develop Yoi. Work is tracked through `work-items/` and `./tickets.sh`; git history plus work item files are the authoritative record of state changes.
+This repository dogfoods Yoi to develop Yoi. Work is tracked through `.yoi/tickets/` and `yoi ticket ...`; git history plus Ticket files are the authoritative project record.
 
-Common local checks:
+Common checks:
 
 ```sh
-./tickets.sh doctor
+yoi ticket doctor
 git diff --check
+cargo fmt --check
+cargo check --workspace --all-targets
 cargo test --workspace
 ```
 
-E2E testing with real spawned processes is not yet designed. Avoid adding compatibility layers or broad formatting churn only to reduce short-term edit size; prefer clear boundaries and type safety.
+Real-process E2E testing is opt-in. Do not design or implement E2E coverage unless the work explicitly requires E2E; otherwise protect the narrower parser, API, protocol, authority, or runtime boundary.
+
+License: MIT. See [`LICENSE`](LICENSE).

compose.yaml

@@ -0,0 +1,38 @@
+name: yoi
+
+services:
+  runtime:
+    image: yoi-runtime:latest
+    pull_policy: never
+    restart: unless-stopped
+    expose:
+      - "38800"
+    volumes:
+      - runtime-data:/runtime-data
+      - runtime-workdirs:/workdirs
+
+  server:
+    image: yoi-server:latest
+    pull_policy: never
+    restart: unless-stopped
+    depends_on:
+      - runtime
+    expose:
+      - "8787"
+    volumes:
+      - server-data:/server-data
+      - /etc/yoi/server.toml:/server-config/server.toml:ro
+
+  webui:
+    image: yoi-webui:latest
+    pull_policy: never
+    restart: unless-stopped
+    depends_on:
+      - server
+    ports:
+      - "${YOI_WEBUI_PORT:-8080}:80"
+
+volumes:
+  runtime-data:
+  runtime-workdirs:
+  server-data:

crates/agen-macros/Cargo.toml

@@ -0,0 +1,25 @@
+[package]
+name = "agen-macros"
+description = "Procedural macros for declaring agen tools"
+version = "0.2.0"
+edition.workspace = true
+rust-version = "1.85"
+license.workspace = true
+readme = "README.md"
+repository = "https://gitea.hareworks.net/Hare/yoi"
+homepage = "https://gitea.hareworks.net/Hare/yoi"
+documentation = "https://docs.rs/agen-macros"
+keywords = ["llm", "agent", "tools", "macros"]
+categories = ["development-tools::procedural-macro-helpers"]
+include = ["src/**", "README.md", "LICENSE"]
+
+[lib]
+proc-macro = true
+
+[dependencies]
+proc-macro2 = "1"
+quote = "1"
+syn = { version = "2", features = ["full"] }
+
+[package.metadata.docs.rs]
+all-features = true

crates/agen-macros/LICENSE

@@ -0,0 +1,7 @@
+Copyright 2026 Hare
+
+Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the “Software”), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED “AS IS”, WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

crates/agen-macros/README.md

@@ -0,0 +1,32 @@
+# agen-macros
+
+Procedural macros used by [`agen`](https://crates.io/crates/agen) to declare LLM tools from Rust methods.
+
+Applications should normally depend only on `agen` and import its re-exports:
+
+```rust
+use agen::tool_registry;
+
+#[derive(Clone)]
+struct Tools;
+
+#[tool_registry]
+impl Tools {
+    /// Returns the supplied text.
+    #[tool]
+    async fn echo(
+        &self,
+        #[description = "Text to return"] text: String,
+    ) -> Result<String, std::io::Error> {
+        Ok(text)
+    }
+}
+```
+
+`#[tool_registry]` generates the argument schema, a `Tool` implementation, and an `<method>_definition` constructor. It rejects arguments of its own, duplicate `#[tool]` markers, malformed or duplicate `#[description = "..."]` attributes, and non-identifier argument patterns.
+
+Generated code targets the canonical `::agen` path and uses implementation dependencies re-exported by `agen`; consumers do not need direct `serde`, `schemars`, `serde_json`, or `async-trait` dependencies. Renaming the `agen` dependency in `Cargo.toml` is not currently supported.
+
+This companion package is published before the matching `agen` release. Its public contract is the generated API consumed by `agen`, and its minor version compatibility follows the `agen` 0.2 series.
+
+Licensed under the [MIT License](https://gitea.hareworks.net/Hare/yoi/src/branch/develop/LICENSE).

crates/agen-macros/src/lib.rs

@@ -0,0 +1,482 @@
+//! Procedural macros for declaring [`agen`](https://docs.rs/agen) tools.
+//!
+//! [`tool_registry`] expands methods marked with `#[tool]` into `agen::tool::Tool`
+//! implementations and tool definitions. Applications normally use the re-exports from
+//! `agen`; this companion crate exists so those macros can be published and versioned
+//! independently.
+
+use proc_macro::TokenStream;
+use quote::{format_ident, quote};
+use syn::{
+    Attribute, FnArg, ImplItem, ItemImpl, Lit, Meta, Pat, ReturnType, Type, parse_macro_input,
+    spanned::Spanned,
+};
+
+/// Generates tools for methods marked with `#[tool]` in an `impl` block.
+///
+/// Method doc comments become the tool description. An argument can use
+/// `#[description = "..."]` to supply its JSON Schema description.
+///
+/// ```ignore
+/// #[derive(Clone)]
+/// struct MyApp;
+///
+/// #[agen::tool_registry]
+/// impl MyApp {
+///     /// Retrieves a user by ID.
+///     #[tool]
+///     async fn get_user(
+///         &self,
+///         #[description = "The user ID"] user_id: String,
+///     ) -> Result<String, std::io::Error> {
+///         todo!()
+///     }
+/// }
+/// ```
+///
+/// This generates a `ToolGetUser` wrapper, a `GetUserArgs` schema type, and
+/// `MyApp::get_user_definition()`.
+#[proc_macro_attribute]
+pub fn tool_registry(attr: TokenStream, item: TokenStream) -> TokenStream {
+    let attr = proc_macro2::TokenStream::from(attr);
+    let impl_block = parse_macro_input!(item as ItemImpl);
+
+    expand_tool_registry(attr, impl_block)
+        .unwrap_or_else(syn::Error::into_compile_error)
+        .into()
+}
+
+fn expand_tool_registry(
+    attr: proc_macro2::TokenStream,
+    mut impl_block: ItemImpl,
+) -> syn::Result<proc_macro2::TokenStream> {
+    if !attr.is_empty() {
+        return Err(syn::Error::new(
+            attr.span(),
+            "tool_registry does not accept arguments",
+        ));
+    }
+
+    let self_ty = impl_block.self_ty.as_ref().clone();
+    let mut generated_items = Vec::new();
+
+    for item in &mut impl_block.items {
+        let ImplItem::Fn(method) = item else {
+            continue;
+        };
+
+        let tool_attrs: Vec<_> = method
+            .attrs
+            .iter()
+            .filter(|attr| attr.path().is_ident("tool"))
+            .collect();
+        if tool_attrs.len() > 1 {
+            return Err(syn::Error::new_spanned(
+                tool_attrs[1],
+                "duplicate #[tool] attribute",
+            ));
+        }
+        let Some(tool_attr) = tool_attrs.first() else {
+            continue;
+        };
+        if !matches!(tool_attr.meta, Meta::Path(_)) {
+            return Err(syn::Error::new_spanned(
+                tool_attr,
+                "#[tool] does not accept arguments",
+            ));
+        }
+
+        method.attrs.retain(|attr| !attr.path().is_ident("tool"));
+        generated_items.push(generate_tool_impl(&self_ty, method)?);
+
+        for input in &mut method.sig.inputs {
+            if let FnArg::Typed(pat_type) = input {
+                pat_type
+                    .attrs
+                    .retain(|attr| !attr.path().is_ident("description"));
+            }
+        }
+    }
+
+    Ok(quote! {
+        #impl_block
+
+        #(#generated_items)*
+    })
+}
+
+fn extract_doc_comment(attrs: &[Attribute]) -> String {
+    let mut lines = Vec::new();
+
+    for attr in attrs {
+        if attr.path().is_ident("doc")
+            && let Meta::NameValue(meta) = &attr.meta
+            && let syn::Expr::Lit(expr_lit) = &meta.value
+            && let Lit::Str(lit_str) = &expr_lit.lit
+        {
+            let line = lit_str.value();
+            let trimmed = line.strip_prefix(' ').unwrap_or(&line);
+            lines.push(trimmed.to_string());
+        }
+    }
+
+    lines.join("\n")
+}
+
+fn extract_description_attr(attrs: &[Attribute]) -> syn::Result<Option<String>> {
+    let mut description = None;
+
+    for attr in attrs
+        .iter()
+        .filter(|attr| attr.path().is_ident("description"))
+    {
+        let value = match &attr.meta {
+            Meta::NameValue(meta) => match &meta.value {
+                syn::Expr::Lit(expr_lit) => match &expr_lit.lit {
+                    Lit::Str(value) => value.value(),
+                    _ => {
+                        return Err(syn::Error::new_spanned(
+                            attr,
+                            "description must be a string literal",
+                        ));
+                    }
+                },
+                _ => {
+                    return Err(syn::Error::new_spanned(
+                        attr,
+                        "description must be a string literal",
+                    ));
+                }
+            },
+            _ => {
+                return Err(syn::Error::new_spanned(
+                    attr,
+                    "expected #[description = \"...\"]",
+                ));
+            }
+        };
+
+        if description.replace(value).is_some() {
+            return Err(syn::Error::new_spanned(
+                attr,
+                "duplicate #[description] attribute",
+            ));
+        }
+    }
+
+    Ok(description)
+}
+
+fn argument_ident(pat: &Pat) -> syn::Result<&syn::Ident> {
+    match pat {
+        Pat::Ident(pat_ident) => Ok(&pat_ident.ident),
+        _ => Err(syn::Error::new_spanned(
+            pat,
+            "tool arguments must use simple identifier patterns",
+        )),
+    }
+}
+
+fn is_tool_execution_context_type(ty: &Type) -> bool {
+    let Type::Path(path) = ty else {
+        return false;
+    };
+    path.path
+        .segments
+        .last()
+        .is_some_and(|segment| segment.ident == "ToolExecutionContext")
+}
+
+fn generate_tool_impl(
+    self_ty: &Type,
+    method: &syn::ImplItemFn,
+) -> syn::Result<proc_macro2::TokenStream> {
+    let sig = &method.sig;
+    let method_name = &sig.ident;
+    let tool_name = method_name.to_string();
+
+    let pascal_name = to_pascal_case(&method_name.to_string());
+    let tool_struct_name = format_ident!("Tool{}", pascal_name);
+    let args_struct_name = format_ident!("{}Args", pascal_name);
+    let definition_name = format_ident!("{}_definition", method_name);
+
+    let description = extract_doc_comment(&method.attrs);
+    let description = if description.is_empty() {
+        format!("Tool: {}", tool_name)
+    } else {
+        description
+    };
+
+    let method_args: Vec<_> = sig
+        .inputs
+        .iter()
+        .filter_map(|arg| match arg {
+            FnArg::Typed(pat_type) => Some(pat_type),
+            FnArg::Receiver(_) => None,
+        })
+        .collect();
+    let json_args: Vec<_> = method_args
+        .iter()
+        .copied()
+        .filter(|pat_type| !is_tool_execution_context_type(pat_type.ty.as_ref()))
+        .collect();
+
+    let arg_fields: Vec<_> = json_args
+        .iter()
+        .map(|pat_type| {
+            let field_name = argument_ident(pat_type.pat.as_ref())?;
+            let ty = &pat_type.ty;
+            let description = extract_description_attr(&pat_type.attrs)?;
+
+            Ok(if let Some(description) = description {
+                quote! {
+                    #[schemars(description = #description)]
+                    pub #field_name: #ty
+                }
+            } else {
+                quote! {
+                    pub #field_name: #ty
+                }
+            })
+        })
+        .collect::<syn::Result<_>>()?;
+
+    let call_args: Vec<_> = method_args
+        .iter()
+        .map(|pat_type| {
+            if is_tool_execution_context_type(pat_type.ty.as_ref()) {
+                Ok(quote! { ctx.clone() })
+            } else {
+                let ident = argument_ident(pat_type.pat.as_ref())?;
+                Ok(quote! { args.#ident })
+            }
+        })
+        .collect::<syn::Result<_>>()?;
+    let method_call = if call_args.is_empty() {
+        quote! { self.ctx.#method_name() }
+    } else {
+        quote! { self.ctx.#method_name(#(#call_args),*) }
+    };
+
+    let awaiter = if sig.asyncness.is_some() {
+        quote! { .await }
+    } else {
+        quote! {}
+    };
+
+    let result_handling = if is_result_type(&sig.output) {
+        quote! {
+            match result {
+                Ok(val) => Ok(format!("{:?}", val).into()),
+                Err(error) => Err(::agen::tool::ToolError::ExecutionFailed(format!("{}", error))),
+            }
+        }
+    } else {
+        quote! {
+            Ok(format!("{:?}", result).into())
+        }
+    };
+
+    let args_struct_def = quote! {
+        #[derive(
+            ::agen::__private::serde::Deserialize,
+            ::agen::__private::schemars::JsonSchema,
+        )]
+        #[serde(crate = "::agen::__private::serde")]
+        #[schemars(crate = "::agen::__private::schemars")]
+        struct #args_struct_name {
+            #(#arg_fields),*
+        }
+    };
+
+    let execute_body = if json_args.is_empty() {
+        quote! {
+            let _: #args_struct_name = ::agen::__private::serde_json::from_str(input_json)
+                .unwrap_or(#args_struct_name {});
+
+            let result = #method_call #awaiter;
+            #result_handling
+        }
+    } else {
+        quote! {
+            let args: #args_struct_name = ::agen::__private::serde_json::from_str(input_json)
+                .map_err(|error| ::agen::tool::ToolError::InvalidArgument(error.to_string()))?;
+
+            let result = #method_call #awaiter;
+            #result_handling
+        }
+    };
+
+    Ok(quote! {
+        #args_struct_def
+
+        #[derive(Clone)]
+        pub struct #tool_struct_name {
+            ctx: #self_ty,
+        }
+
+        #[::agen::__private::async_trait::async_trait]
+        impl ::agen::tool::Tool for #tool_struct_name {
+            async fn execute(
+                &self,
+                input_json: &str,
+                ctx: ::agen::tool::ToolExecutionContext,
+            ) -> Result<::agen::tool::ToolOutput, ::agen::tool::ToolError> {
+                let _ = &ctx;
+                #execute_body
+            }
+        }
+
+        impl #self_ty {
+            /// Returns a tool definition for registration with an `agen::Engine`.
+            pub fn #definition_name(&self) -> ::agen::tool::ToolDefinition {
+                let ctx = self.clone();
+                ::std::sync::Arc::new(move || {
+                    let schema = ::agen::__private::schemars::schema_for!(#args_struct_name);
+                    let meta = ::agen::tool::ToolMeta::new(#tool_name)
+                        .description(#description)
+                        .input_schema(
+                            ::agen::__private::serde_json::to_value(schema)
+                                .unwrap_or_else(|_| ::agen::__private::serde_json::json!({})),
+                        );
+                    let tool: ::std::sync::Arc<dyn ::agen::tool::Tool> =
+                        ::std::sync::Arc::new(#tool_struct_name { ctx: ctx.clone() });
+                    (meta, tool)
+                })
+            }
+        }
+    })
+}
+
+fn is_result_type(return_type: &ReturnType) -> bool {
+    match return_type {
+        ReturnType::Default => false,
+        ReturnType::Type(_, ty) => {
+            if let Type::Path(type_path) = ty.as_ref()
+                && let Some(segment) = type_path.path.segments.last()
+            {
+                return segment.ident == "Result";
+            }
+            false
+        }
+    }
+}
+
+fn to_pascal_case(s: &str) -> String {
+    s.split('_')
+        .map(|part| {
+            let mut chars = part.chars();
+            match chars.next() {
+                None => String::new(),
+                Some(first) => first.to_uppercase().chain(chars).collect(),
+            }
+        })
+        .collect()
+}
+
+/// Marker attribute interpreted by [`tool_registry`].
+#[proc_macro_attribute]
+pub fn tool(attr: TokenStream, item: TokenStream) -> TokenStream {
+    marker_attribute("tool", attr, item)
+}
+
+/// Argument description marker interpreted by [`tool_registry`].
+///
+/// Use it as `#[description = "The argument description"]` on a tool method argument.
+#[proc_macro_attribute]
+pub fn description(attr: TokenStream, item: TokenStream) -> TokenStream {
+    marker_attribute("description", attr, item)
+}
+
+fn marker_attribute(name: &str, attr: TokenStream, item: TokenStream) -> TokenStream {
+    if attr.is_empty() {
+        item
+    } else {
+        syn::Error::new(
+            proc_macro2::Span::call_site(),
+            format!("{name} is a marker interpreted by #[tool_registry]"),
+        )
+        .into_compile_error()
+        .into()
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+    use quote::quote;
+    use syn::parse_quote;
+
+    #[test]
+    fn rejects_tool_registry_arguments() {
+        let implementation: ItemImpl = parse_quote!(impl Registry {});
+        let error = expand_tool_registry(quote!(unexpected), implementation).unwrap_err();
+
+        assert!(error.to_string().contains("does not accept arguments"));
+    }
+
+    #[test]
+    fn rejects_duplicate_tool_markers() {
+        let implementation: ItemImpl = parse_quote! {
+            impl Registry {
+                #[tool]
+                #[tool]
+                fn inspect(&self) {}
+            }
+        };
+        let error = expand_tool_registry(quote!(), implementation).unwrap_err();
+
+        assert!(error.to_string().contains("duplicate #[tool]"));
+    }
+
+    #[test]
+    fn rejects_invalid_description_attributes() {
+        let implementation: ItemImpl = parse_quote! {
+            impl Registry {
+                #[tool]
+                fn inspect(&self, #[description] input: String) {}
+            }
+        };
+        let error = expand_tool_registry(quote!(), implementation).unwrap_err();
+
+        assert!(error.to_string().contains("expected #[description"));
+    }
+
+    #[test]
+    fn rejects_duplicate_description_attributes() {
+        let implementation: ItemImpl = parse_quote! {
+            impl Registry {
+                #[tool]
+                fn inspect(
+                    &self,
+                    #[description = "first"]
+                    #[description = "second"]
+                    input: String,
+                ) {}
+            }
+        };
+        let error = expand_tool_registry(quote!(), implementation).unwrap_err();
+
+        assert!(error.to_string().contains("duplicate #[description]"));
+    }
+
+    #[test]
+    fn generated_code_uses_only_agen_runtime_paths() {
+        let implementation: ItemImpl = parse_quote! {
+            impl Registry {
+                #[tool]
+                fn inspect(&self, input: String) -> Result<String, Error> {
+                    unreachable!()
+                }
+            }
+        };
+        let expanded = expand_tool_registry(quote!(), implementation)
+            .unwrap()
+            .to_string();
+
+        assert!(expanded.contains(":: agen :: tool :: Tool"));
+        assert!(expanded.contains(":: agen :: __private :: serde_json"));
+        assert!(expanded.contains(":: agen :: __private :: serde"));
+        assert!(expanded.contains(":: agen :: __private :: schemars"));
+    }
+}

crates/agen/Cargo.toml

@@ -0,0 +1,55 @@
+[package]
+name = "agen"
+description = "Provider-neutral orchestration for tool-using LLM applications"
+version = "0.2.1"
+edition.workspace = true
+rust-version = "1.86"
+license.workspace = true
+readme = "README.md"
+repository = "https://gitea.hareworks.net/Hare/yoi"
+homepage = "https://gitea.hareworks.net/Hare/yoi"
+documentation = "https://docs.rs/agen"
+keywords = ["llm", "agent", "tools", "streaming", "orchestration"]
+categories = ["api-bindings", "asynchronous"]
+include = ["src/**", "tests/**", "examples/*.rs", "docs/**", "README.md", "LICENSE"]
+autoexamples = false
+
+[features]
+default = []
+codex = ["dep:chrono"]
+
+[dependencies]
+serde = { workspace = true, features = ["derive"] }
+serde_json = { workspace = true }
+schemars = { workspace = true }
+thiserror = { workspace = true }
+tracing = { workspace = true }
+async-trait = { workspace = true }
+futures = { workspace = true }
+tokio = { workspace = true, features = ["fs", "macros", "rt-multi-thread", "sync", "time"] }
+tokio-util = "0.7"
+reqwest = { version = "0.13", default-features = false, features = ["stream", "json", "native-tls", "http2"] }
+eventsource-stream = "0.2"
+zstd = "0.13"
+base64 = "0.22.1"
+chrono = { version = "0.4", default-features = false, features = ["serde", "clock"], optional = true }
+agen-macros = { workspace = true }
+
+[dev-dependencies]
+clap = { version = "4.5", features = ["derive", "env"] }
+tempfile = { workspace = true }
+dotenv = "0.15"
+tracing-subscriber = { version = "0.3", features = ["env-filter"] }
+trybuild = "1.0.116"
+wiremock = "0.6.5"
+
+[[example]]
+name = "engine_cancel_demo"
+path = "examples/engine_cancel_demo.rs"
+
+[[example]]
+name = "engine_cli"
+path = "examples/engine_cli.rs"
+
+[package.metadata.docs.rs]
+all-features = true

crates/agen/LICENSE

@@ -0,0 +1,7 @@
+Copyright 2026 Hare
+
+Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the “Software”), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED “AS IS”, WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

crates/agen/README.md

@@ -0,0 +1,91 @@
+# agen
+
+`agen` is a provider-neutral Rust engine for streaming LLM applications that use tools. It owns the turn loop, typed conversation history, provider wire-format adapters, tool execution, interceptors, usage accounting, and cache-aware state transitions.
+
+> `agen` is pre-1.0. Public APIs may change between minor releases.
+
+## Installation
+
+```toml
+[dependencies]
+agen = "0.2.1"
+```
+
+The default feature set is intentionally empty. Enable the experimental Codex/ChatGPT authentication adapter when needed:
+
+```toml
+agen = { version = "0.2.1", features = ["codex"] }
+```
+
+`agen` requires Rust 1.86 or newer. The companion `agen-macros` package requires Rust 1.85 or newer.
+
+## Quick start
+
+Supply an implementation of [`LlmClient`](https://docs.rs/agen/latest/agen/llm_client/trait.LlmClient.html), keep conversation history in your application, then run a turn. The first call consumes the mutable engine and returns a cache-locked engine for later turns.
+
+```no_run
+use agen::{Engine, EngineError, History};
+use agen::llm_client::LlmClient;
+
+async fn conversation<C: LlmClient>(client: C) -> Result<(), EngineError> {
+    let mut history = History::new();
+    let output = Engine::new(client)
+        .system_prompt("You are a concise assistant.")
+        .run(&mut history, "Explain typed state in one sentence.")
+        .await;
+
+    let mut engine = output.engine;
+    let _result = engine.run(&mut history, "Give a Rust example.").await;
+    Ok(())
+}
+```
+
+## Declaring tools
+
+The tool macros are re-exported by `agen`; applications do not need direct dependencies on `serde`, `schemars`, `serde_json`, or `async-trait` for generated code.
+
+```rust
+use agen::tool_registry;
+
+#[derive(Clone)]
+struct Tools;
+
+#[tool_registry]
+impl Tools {
+    /// Returns the supplied text.
+    #[tool]
+    async fn echo(
+        &self,
+        #[description = "Text to return"] text: String,
+    ) -> Result<String, std::io::Error> {
+        Ok(text)
+    }
+}
+
+let definition = Tools.echo_definition();
+assert_eq!(definition().0.name, "echo");
+```
+
+The generated API uses the canonical crate name `agen`. Renaming the `agen` dependency in `Cargo.toml` is not currently supported by these macros.
+
+## Features
+
+| Feature | Default | Adds |
+|---|---:|---|
+| `codex` | No | Experimental Codex/ChatGPT auth-file loading and token refresh support |
+
+The base crate includes provider-neutral transport and Anthropic, OpenAI-compatible, Gemini, and Ollama wire-format schemes. See [`llm_client`](https://docs.rs/agen/latest/agen/llm_client/) for the client boundary.
+
+## Architecture and API scope
+
+The current public modules cover the engine, typed history, client transport/schemes, timeline events, tools, interceptors, pruning, token estimation, and usage records. Their relationships are described in [Architecture](https://gitea.hareworks.net/Hare/yoi/src/branch/develop/crates/agen/docs/architecture.md); behavioral requirements are summarized in [Requirements](https://gitea.hareworks.net/Hare/yoi/src/branch/develop/crates/agen/docs/requirements.md).
+
+Low-level modules remain public in the 0.2 series because downstream Yoi components implement custom clients, event handlers, pruning policies, and tool registries against them. This surface is versioned as pre-1.0 API rather than declared stable.
+
+## Packaging and security
+
+The published package contains source, public documentation, curated examples, and deterministic tests/fixtures. Credentialed fixture-recording utilities are intentionally excluded. Examples that contact a provider read credentials from environment variables and never embed production credentials.
+
+## License
+
+Licensed under the [MIT License](https://gitea.hareworks.net/Hare/yoi/src/branch/develop/LICENSE).

crates/agen/docs/architecture.md

@@ -0,0 +1,62 @@
+# agen architecture
+
+`agen` separates orchestration, event projection, and provider transport so applications can replace an LLM client without changing the turn loop or tool model.
+
+```text
+┌────────────────────────────────────────────┐
+│ Engine                                     │
+│ turn loop · interceptors · tool execution  │
+│ typed state: Mutable → Locked → Mutable    │
+└─────────────────────┬──────────────────────┘
+                      │
+┌─────────────────────▼──────────────────────┐
+│ Timeline                                   │
+│ event dispatch · block collectors          │
+└─────────────────────┬──────────────────────┘
+                      │
+┌─────────────────────▼──────────────────────┐
+│ LlmClient                                  │
+│ transport · provider wire-format schemes   │
+└────────────────────────────────────────────┘
+```
+
+## Main modules
+
+| Module | Responsibility |
+|---|---|
+| `engine` | Turn execution, pause/resume, retries, tool integration, and callbacks |
+| `state` | Sealed `Mutable` and `Locked` type-state markers |
+| `interceptor` | Application-owned control decisions at orchestration boundaries |
+| `tool` / `tool_server` | Tool metadata, registration, execution, and bounded output |
+| `timeline` | Streaming event dispatch, handlers, and block assembly |
+| `llm_client` | Provider-neutral request, response, auth, transport, and scheme contracts |
+| `providers` | Optional higher-level provider adapters such as the `codex` feature |
+| `prune` / `token_counter` | Cache-aware history reduction and token estimation |
+| `usage_record` | Request and token usage accounting |
+
+## Request flow
+
+```text
+Engine history
+  → provider-neutral Request
+    → Scheme::build_request
+      → Provider transport
+```
+
+## Response flow
+
+```text
+streaming response bytes
+  → Scheme event parsing
+    → unified Event values
+      → Timeline handlers and collectors
+        → Engine history/tool decisions
+```
+
+## Type state and cache protection
+
+`Engine<C, Mutable>` permits configuration and history editing. `Engine::run` or `Engine::lock` commits the current prefix and produces `Engine<C, Locked>`. The locked engine may append turns without mutating the committed prefix. `Engine::unlock` explicitly returns to mutable state when an application accepts losing that cache guarantee.
+
+## Public surface
+
+The 0.2 series exposes the low-level client, timeline, tool, pruning, and usage modules because custom clients and orchestration hosts build directly on them. These APIs are intentionally provider-neutral but remain pre-1.0 and may change in later minor releases.

crates/agen/docs/requirements.md

@@ -0,0 +1,39 @@
+# agen requirements
+
+## R1: Turn execution and continuation
+
+- `Engine::run` starts a turn and loops through provider output and tool calls.
+- An `Interceptor` may continue, cancel, or pause work at defined orchestration boundaries.
+- `Engine::resume` continues paused generation without fabricating another user message.
+- Cancellation and provider errors are represented as typed `EngineError` values.
+
+## R2: Explicit cache-preserving state
+
+- `Engine<C, Mutable>` permits configuration and history edits.
+- `Engine::run` or `Engine::lock` transitions to `Engine<C, Locked>` and records the committed prefix.
+- A locked engine appends turns but cannot mutate that prefix through mutable-only APIs.
+- `Engine::unlock` explicitly abandons the lock before configuration or history changes.
+
+## R3: Tool declarations and execution
+
+- `#[tool_registry]` generates a schema and `Tool` implementation for methods marked `#[tool]`.
+- `#[description = "..."]` supplies argument descriptions in generated JSON Schema.
+- Generated code resolves its runtime and helper dependencies through `::agen`.
+- Invalid and duplicate marker attributes produce compile errors rather than panics.
+- Tools execute through `ToolServer` with typed context, errors, and output limits.
+
+## R4: Provider-neutral orchestration
+
+- `LlmClient` is the boundary between the engine and provider-specific transport.
+- Request/response schemes translate provider wire formats into shared request and event types.
+- Interceptors, tool execution, timeline collection, and pruning stay above the provider transport.
+- Provider-specific capabilities are optional features when they require additional policy or dependencies.
+
+## R5: Publication quality
+
+- crates.io metadata includes license, repository, documentation, README, categories, keywords, and MSRV.
+- The default feature set and each optional feature compile and test independently.
+- Macro expansion compiles in a downstream-style integration test without direct helper dependencies.
+- rustdoc builds without dependency documentation.
+- Package contents are explicitly bounded and exclude credentialed fixture-recording utilities.
+- `cargo package` and `cargo publish --dry-run` are run for `agen-macros` before `agen` because the main package depends on its companion package.

crates/agen/examples/engine_cancel_demo.rs

@@ -1,10 +1,10 @@
-//! Worker cancellation demo
+//! Engine cancellation demo
 //!
 //! Example of cancelling from another thread during streaming
 
-use llm_worker::llm_client::scheme::{Scheme, anthropic::AnthropicScheme};
-use llm_worker::llm_client::transport::{HttpTransport, ResolvedAuth};
-use llm_worker::{Worker, WorkerResult};
+use agen::llm_client::scheme::{Scheme, anthropic::AnthropicScheme};
+use agen::llm_client::transport::{HttpTransport, ResolvedAuth};
+use agen::{Engine, EngineRunExit, RunInterruptionReason};
 use std::time::Duration;
 
 #[tokio::main]
@@ -28,33 +28,33 @@ async fn main() -> Result<(), Box<dyn std::error::Error>> {
     let cap = scheme.default_capability();
     let base_url = scheme.default_base_url().to_string();
     let client = HttpTransport::new(scheme, model, base_url, ResolvedAuth::ApiKey(api_key), cap);
-    let worker = Worker::new(client);
+    let engine = Engine::new(client);
+    let mut history = agen::History::new();
 
-    println!("🚀 Starting Worker...");
+    println!("🚀 Starting Engine...");
     println!("💡 Will cancel after 2 seconds\n");
 
     // Get cancel sender before run (Mutable state)
-    let cancel_tx = worker.cancel_sender();
+    let cancel_tx = engine.cancel_sender();
 
     // Task: Cancel after 2 seconds
     tokio::spawn(async move {
         tokio::time::sleep(Duration::from_secs(2)).await;
-        println!("\n🛑 Cancelling worker...");
+        println!("\n🛑 Cancelling engine...");
         let _ = cancel_tx.send(()).await;
     });
 
     println!("📡 Sending request to LLM...");
 
-    match worker.run("Tell me a very long story about a brave knight. Make it as detailed as possible with many paragraphs.").await {
-        Ok(out) => match out.result {
-            WorkerResult::Finished => println!("✅ Task completed normally"),
-            WorkerResult::Paused => println!("⏸️  Task paused"),
-            WorkerResult::LimitReached => println!("🔒 Turn limit reached"),
-            WorkerResult::Yielded => println!("↩️  Task yielded"),
-        },
-        Err(e) => {
-            println!("❌ Task error: {}", e);
+    let output = engine.run(&mut history, "Tell me a very long story about a brave knight. Make it as detailed as possible with many paragraphs.").await;
+    match output.result {
+        EngineRunExit::Finished => println!("✅ Task completed normally"),
+        EngineRunExit::Paused => println!("⏸️  Task paused"),
+        EngineRunExit::Yielded => println!("↩️  Task yielded"),
+        EngineRunExit::Interrupted(RunInterruptionReason::LimitReached) => {
+            println!("🔒 Turn limit reached")
         }
+        EngineRunExit::Interrupted(reason) => println!("❌ Task interrupted: {reason:?}"),
     }
 
     println!("\n✨ Demo complete!");

crates/agen/examples/engine_cli.rs

@@ -1,4 +1,4 @@
-//! Interactive CLI client using Worker
+//! Interactive CLI client using Engine
 //!
 //! A CLI application for interacting with multiple LLM providers (Anthropic, Gemini, OpenAI, Ollama).
 //! Demonstrates tool registration and execution, and streaming response display.
@@ -12,22 +12,22 @@
 //! echo "OPENAI_API_KEY=your-api-key" >> .env
 //!
 //! # Anthropic (default)
-//! cargo run --example worker_cli
+//! cargo run --example engine_cli
 //!
 //! # Gemini
-//! cargo run --example worker_cli -- --provider gemini
+//! cargo run --example engine_cli -- --provider gemini
 //!
 //! # OpenAI
-//! cargo run --example worker_cli -- --provider openai --model gpt-4o
+//! cargo run --example engine_cli -- --provider openai --model gpt-4o
 //!
 //! # Ollama (local)
-//! cargo run --example worker_cli -- --provider ollama --model llama3.2
+//! cargo run --example engine_cli -- --provider ollama --model llama3.2
 //!
 //! # With options
-//! cargo run --example worker_cli -- --provider anthropic --model claude-3-haiku-20240307 --system "You are a helpful assistant."
+//! cargo run --example engine_cli -- --provider anthropic --model claude-3-haiku-20240307 --system "You are a helpful assistant."
 //!
 //! # Show help
-//! cargo run --example worker_cli -- --help
+//! cargo run --example engine_cli -- --help
 //! ```
 
 use std::collections::HashMap;
@@ -38,10 +38,9 @@ use async_trait::async_trait;
 use tracing::info;
 use tracing_subscriber::EnvFilter;
 
-use clap::{Parser, ValueEnum};
-use llm_worker::{
-    Worker,
-    interceptor::{Interceptor, PostToolAction, ToolResultInfo},
+use agen::{
+    Engine, EngineRunExit, RunInterruptionReason,
+    interceptor::{Interceptor, InterceptorResult, PostToolAction, ToolResultInfo},
     llm_client::{
         LlmClient,
         capability::{CacheStrategy, ModelCapability, StructuredOutput, ToolCallingSupport},
@@ -51,12 +50,9 @@ use llm_worker::{
         transport::{HttpTransport, ResolvedAuth},
     },
     timeline::{Handler, TextBlockEvent, TextBlockKind, ToolUseBlockEvent, ToolUseBlockKind},
+    tool_registry,
 };
-use llm_worker_macros::tool_registry;
-
-// Required imports for macro expansion
-use schemars;
-use serde;
+use clap::{Parser, ValueEnum};
 
 // =============================================================================
 // Provider Definition
@@ -114,8 +110,8 @@ impl Provider {
 
 /// Interactive CLI client supporting multiple LLM providers
 #[derive(Parser, Debug)]
-#[command(name = "worker-cli")]
-#[command(about = "Interactive CLI client for multiple LLM providers using Worker")]
+#[command(name = "engine-cli")]
+#[command(about = "Interactive CLI client for multiple LLM providers using Engine")]
 #[command(version)]
 struct Args {
     /// Provider to use
@@ -284,7 +280,10 @@ impl ToolResultPrinterPolicy {
 
 #[async_trait]
 impl Interceptor for ToolResultPrinterPolicy {
-    async fn post_tool_call(&self, info: &mut ToolResultInfo) -> PostToolAction {
+    async fn post_tool_call(
+        &self,
+        info: &ToolResultInfo<'_, ()>,
+    ) -> InterceptorResult<PostToolAction> {
         let name = self
             .call_names
             .lock()
@@ -298,7 +297,7 @@ impl Interceptor for ToolResultPrinterPolicy {
             println!("   Result ({}): ✅ {}", name, info.result.summary);
         }
 
-        PostToolAction::Continue
+        Ok(PostToolAction::Continue)
     }
 }
 
@@ -393,7 +392,7 @@ async fn main() -> Result<(), Box<dyn std::error::Error>> {
     dotenv::dotenv().ok();
 
     // Initialize logging
-    // Use RUST_LOG=debug cargo run --example worker_cli ... for detailed logs
+    // Use RUST_LOG=debug cargo run --example engine_cli ... for detailed logs
     // Default is warn level, can be overridden with RUST_LOG environment variable
     let filter = EnvFilter::try_from_default_env().unwrap_or_else(|_| EnvFilter::new("warn"));
 
@@ -408,7 +407,7 @@ async fn main() -> Result<(), Box<dyn std::error::Error>> {
     info!(
         provider = ?args.provider,
         model = ?args.model,
-        "Starting worker CLI"
+        "Starting engine CLI"
     );
 
     // Interactive mode or one-shot mode
@@ -421,7 +420,7 @@ async fn main() -> Result<(), Box<dyn std::error::Error>> {
         .unwrap_or_else(|| args.provider.default_model().to_string());
 
     if is_interactive {
-        let title = format!("Worker CLI - {}", args.provider.display_name());
+        let title = format!("Engine CLI - {}", args.provider.display_name());
         let border_len = title.len() + 6;
         println!("╔{}╗", "═".repeat(border_len));
         println!("║   {}   ║", title);
@@ -453,39 +452,38 @@ async fn main() -> Result<(), Box<dyn std::error::Error>> {
         }
     };
 
-    // Create Worker
-    let mut worker = Worker::new(client);
+    // Create Engine
+    let mut engine = Engine::new(client);
+    let mut history = agen::History::new();
 
     let tool_call_names = Arc::new(Mutex::new(HashMap::new()));
 
     // Set system prompt
     if let Some(ref system_prompt) = args.system {
-        worker.set_system_prompt(system_prompt);
+        engine.set_system_prompt(system_prompt);
     }
 
     // Register tools (unless --no-tools)
     if !args.no_tools {
         let app = AppContext;
-        worker.register_tool(app.get_current_time_definition());
-        worker.register_tool(app.calculate_definition());
+        engine.register_tool(app.get_current_time_definition());
+        engine.register_tool(app.calculate_definition());
     }
 
     // Register streaming display handlers
-    worker
+    engine
         .timeline_mut()
         .on_text_block(StreamingPrinter::new())
         .on_tool_use_block(ToolCallPrinter::new(tool_call_names.clone()));
 
-    worker.set_interceptor(ToolResultPrinterPolicy::new(tool_call_names));
+    engine.set_interceptor(ToolResultPrinterPolicy::new(tool_call_names));
 
     // One-shot mode
     if let Some(prompt) = args.prompt {
-        match worker.run(&prompt).await {
-            Ok(_) => {}
-            Err(e) => {
-                eprintln!("\n❌ Error: {}", e);
-                std::process::exit(1);
-            }
+        let output = engine.run(&mut history, &prompt).await;
+        if let EngineRunExit::Interrupted(RunInterruptionReason::Unexpected(error)) = output.result
+        {
+            eprintln!("\n❌ Error: {error}");
         }
 
         return Ok(());
@@ -504,13 +502,8 @@ async fn main() -> Result<(), Box<dyn std::error::Error>> {
         return Ok(());
     }
 
-    let mut locked = match worker.run(first_input).await {
-        Ok(out) => out.worker,
-        Err(e) => {
-            eprintln!("\n❌ Error: {}", e);
-            return Ok(());
-        }
-    };
+    let output = engine.run(&mut history, first_input).await;
+    let mut locked = output.engine;
 
     loop {
         print!("\n👤 You: ");
@@ -529,11 +522,10 @@ async fn main() -> Result<(), Box<dyn std::error::Error>> {
             break;
         }
 
-        match locked.run(input).await {
-            Ok(_) => {}
-            Err(e) => {
-                eprintln!("\n❌ Error: {}", e);
-            }
+        if let EngineRunExit::Interrupted(RunInterruptionReason::Unexpected(error)) =
+            locked.run(&mut history, input).await
+        {
+            eprintln!("\n❌ Error: {error}");
         }
     }
 

crates/agen/examples/record_test_fixtures/main.rs

@@ -19,11 +19,11 @@
 mod recorder;
 mod scenarios;
 
-use clap::{Parser, ValueEnum};
-use llm_worker::llm_client::scheme::{
+use agen::llm_client::scheme::{
     Scheme, anthropic::AnthropicScheme, gemini::GeminiScheme, openai_chat::OpenAIScheme,
 };
-use llm_worker::llm_client::transport::{HttpTransport, ResolvedAuth};
+use agen::llm_client::transport::{HttpTransport, ResolvedAuth};
+use clap::{Parser, ValueEnum};
 
 fn make_transport<S: Scheme>(scheme: S, model: &str, auth: ResolvedAuth) -> HttpTransport<S> {
     let cap = scheme.default_capability();
@@ -225,7 +225,7 @@ async fn main() -> Result<(), Box<dyn std::error::Error>> {
     }
 
     println!("\n✅ Done!");
-    println!("Run tests with: cargo test -p worker");
+    println!("Run tests with: cargo test -p engine");
 
     Ok(())
 }

crates/agen/examples/record_test_fixtures/recorder.rs

@@ -7,8 +7,8 @@ use std::io::{BufWriter, Write};
 use std::path::Path;
 use std::time::{Instant, SystemTime, UNIX_EPOCH};
 
+use agen::llm_client::{LlmClient, Request};
 use futures::StreamExt;
-use llm_worker::llm_client::{LlmClient, Request};
 
 /// Recorded event
 #[derive(Debug, serde::Serialize, serde::Deserialize)]
@@ -79,7 +79,7 @@ pub async fn record_request<C: LlmClient>(
     }
 
     // Save
-    let fixtures_dir = Path::new("worker/tests/fixtures").join(subdir);
+    let fixtures_dir = Path::new("engine/tests/fixtures").join(subdir);
     fs::create_dir_all(&fixtures_dir)?;
 
     let filepath = fixtures_dir.join(format!("{}.jsonl", output_name));

crates/agen/examples/record_test_fixtures/scenarios.rs

@@ -2,7 +2,7 @@
 //!
 //! Defines requests and output file names for each scenario
 
-use llm_worker::llm_client::{Request, ToolDefinition};
+use agen::llm_client::{Request, ToolDefinition};
 
 /// Test scenario
 pub struct TestScenario {

crates/agen/src/callback.rs

@@ -1,7 +1,7 @@
 //! Closure-based event callback API
 //!
 //! Provides a closure-based alternative to implementing `Handler<K>` directly.
-//! Register callbacks on `Worker` via `on_text_block()`, `on_tool_use_block()`,
+//! Register callbacks on `Engine` via `on_text_block()`, `on_tool_use_block()`,
 //! `on_usage()`, etc.
 
 use std::marker::PhantomData;
@@ -18,13 +18,13 @@ use crate::tool::ToolCall;
 
 /// Callback scope for a text block.
 ///
-/// Passed to the setup closure registered with `Worker::on_text_block()`.
+/// Passed to the setup closure registered with `Engine::on_text_block()`.
 /// Register per-block callbacks via `on_delta()` and `on_stop()`.
 ///
 /// # Examples
 ///
 /// ```ignore
-/// worker.on_text_block(|block| {
+/// engine.on_text_block(|block| {
 ///     block.on_delta(|text| print!("{}", text));
 ///     block.on_stop(|full_text| println!("\n--- {} chars ---", full_text.len()));
 /// });
@@ -176,13 +176,13 @@ impl Handler<ThinkingBlockKind> for ClosureThinkingBlockHandler {
 
 /// Callback scope for a tool use block.
 ///
-/// Passed to the setup closure registered with `Worker::on_tool_use_block()`.
+/// Passed to the setup closure registered with `Engine::on_tool_use_block()`.
 /// The setup closure also receives `&ToolUseBlockStart` with `id` and `name`.
 ///
 /// # Examples
 ///
 /// ```ignore
-/// worker.on_tool_use_block(|start, block| {
+/// engine.on_tool_use_block(|start, block| {
 ///     println!("Tool: {} ({})", start.name, start.id);
 ///     block.on_delta(|json| { /* streaming JSON fragment */ });
 ///     block.on_stop(|call| println!("Done: {}", call.name));

crates/agen/src/event.rs

@@ -1,4 +1,4 @@
-//! Public event types for Worker layer
+//! Public event types for Engine layer
 //!
 //! Re-exports from the canonical event definitions in llm_client.
 

crates/agen/src/handler.rs

@@ -32,7 +32,7 @@ pub trait Kind {
 /// # Examples
 ///
 /// ```ignore
-/// use llm_worker::timeline::{Handler, TextBlockEvent, TextBlockKind};
+/// use agen::timeline::{Handler, TextBlockEvent, TextBlockKind};
 ///
 /// struct TextCollector {
 ///     texts: Vec<String>,

crates/agen/src/history.rs

@@ -0,0 +1,199 @@
+//! Typed conversation history containers.
+//!
+//! Agen keeps provider-visible [`Item`](crate::Item) values separate from any
+//! host-domain provenance. The host chooses the annotation type `A`, while Agen
+//! preserves each item and annotation as one entry for clone/truncate/restore
+//! style history operations.
+
+use serde::{Deserialize, Serialize};
+
+use crate::Item;
+
+/// One conversation-history entry with host-owned annotation.
+#[derive(Debug, Clone, Serialize, Deserialize, PartialEq)]
+pub struct HistoryEntry<A = ()> {
+    /// Provider/model-visible conversation item.
+    pub item: Item,
+    /// Host-domain metadata kept with the item and never projected to providers.
+    pub annotation: A,
+}
+
+impl<A> HistoryEntry<A> {
+    /// Build an entry from an item and its annotation.
+    pub fn new(item: Item, annotation: A) -> Self {
+        Self { item, annotation }
+    }
+
+    /// Split the entry into its item and annotation.
+    pub fn into_parts(self) -> (Item, A) {
+        (self.item, self.annotation)
+    }
+}
+
+impl HistoryEntry<()> {
+    /// Build a unit-annotated entry.
+    pub fn from_item(item: Item) -> Self {
+        Self {
+            item,
+            annotation: (),
+        }
+    }
+}
+
+/// Conversation history with one annotation per item.
+#[derive(Debug, Clone, Serialize, Deserialize, PartialEq, Default)]
+pub struct History<A = ()> {
+    entries: Vec<HistoryEntry<A>>,
+}
+
+impl<A> History<A> {
+    /// Create an empty history.
+    pub fn new() -> Self {
+        Self {
+            entries: Vec::new(),
+        }
+    }
+
+    /// Build history from already annotated entries, preserving order.
+    pub fn from_entries(entries: Vec<HistoryEntry<A>>) -> Self {
+        Self { entries }
+    }
+
+    /// Replace all entries as one restore/rebuild operation and return the old entries.
+    pub fn replace_entries(&mut self, entries: Vec<HistoryEntry<A>>) -> Vec<HistoryEntry<A>> {
+        std::mem::replace(&mut self.entries, entries)
+    }
+
+    /// Borrow annotated entries.
+    pub fn entries(&self) -> &[HistoryEntry<A>] {
+        &self.entries
+    }
+
+    /// Mutably borrow annotated entries for host-owned rebuild operations.
+    pub fn entries_mut(&mut self) -> &mut [HistoryEntry<A>] {
+        &mut self.entries
+    }
+
+    /// Consume the history into annotated entries.
+    pub fn into_entries(self) -> Vec<HistoryEntry<A>> {
+        self.entries
+    }
+
+    /// Number of entries.
+    pub fn len(&self) -> usize {
+        self.entries.len()
+    }
+
+    /// Whether the history is empty.
+    pub fn is_empty(&self) -> bool {
+        self.entries.is_empty()
+    }
+
+    /// Iterate over annotated entries.
+    pub fn iter(&self) -> impl ExactSizeIterator<Item = &HistoryEntry<A>> {
+        self.entries.iter()
+    }
+
+    /// Iterate over provider-visible items only.
+    pub fn items(&self) -> impl ExactSizeIterator<Item = &Item> {
+        self.entries.iter().map(|entry| &entry.item)
+    }
+
+    /// Clone provider-visible items into a request-local projection.
+    pub fn items_cloned(&self) -> Vec<Item> {
+        self.items().cloned().collect()
+    }
+
+    /// Append an already annotated entry.
+    pub fn push_entry(&mut self, entry: HistoryEntry<A>) {
+        self.entries.push(entry);
+    }
+
+    /// Append many already annotated entries.
+    pub fn extend_entries(&mut self, entries: impl IntoIterator<Item = HistoryEntry<A>>) {
+        self.entries.extend(entries);
+    }
+
+    /// Commit one item through a trusted annotation callback before it becomes live.
+    ///
+    /// The callback may durably persist the item and returns the annotation that
+    /// must be stored with it. If the callback fails, the history is left unchanged.
+    pub fn append_with(
+        &mut self,
+        item: Item,
+        annotate: &mut impl FnMut(&Item) -> Result<A, String>,
+    ) -> Result<(), String> {
+        let annotation = annotate(&item)?;
+        self.entries.push(HistoryEntry { item, annotation });
+        Ok(())
+    }
+
+    /// Commit items through a trusted annotation callback before they become live.
+    ///
+    /// Items before a failure remain appended; the failing item and later items do
+    /// not enter history. This mirrors append-only durable logs where each accepted
+    /// item is already committed before the next item is attempted.
+    pub fn extend_with(
+        &mut self,
+        items: impl IntoIterator<Item = Item>,
+        annotate: &mut impl FnMut(&Item) -> Result<A, String>,
+    ) -> Result<(), String> {
+        for item in items {
+            self.append_with(item, annotate)?;
+        }
+        Ok(())
+    }
+
+    /// Truncate entries, preserving item+annotation pairing for retained entries.
+    pub fn truncate(&mut self, len: usize) {
+        self.entries.truncate(len);
+    }
+
+    /// Clear all entries.
+    pub fn clear(&mut self) {
+        self.entries.clear();
+    }
+}
+
+impl History<()> {
+    /// Build unit-annotated history from provider-visible items.
+    pub fn from_items(items: Vec<Item>) -> Self {
+        Self {
+            entries: items.into_iter().map(HistoryEntry::from_item).collect(),
+        }
+    }
+
+    /// Replace history from provider-visible items using unit annotations.
+    pub fn replace_items(&mut self, items: Vec<Item>) -> Vec<HistoryEntry<()>> {
+        self.replace_entries(items.into_iter().map(HistoryEntry::from_item).collect())
+    }
+
+    /// Append one item with unit annotation.
+    pub fn push(&mut self, item: Item) {
+        self.entries.push(HistoryEntry::from_item(item));
+    }
+
+    /// Append items with unit annotations.
+    pub fn extend_items(&mut self, items: impl IntoIterator<Item = Item>) {
+        self.entries
+            .extend(items.into_iter().map(HistoryEntry::from_item));
+    }
+}
+
+impl<A> IntoIterator for History<A> {
+    type Item = HistoryEntry<A>;
+    type IntoIter = std::vec::IntoIter<HistoryEntry<A>>;
+
+    fn into_iter(self) -> Self::IntoIter {
+        self.entries.into_iter()
+    }
+}
+
+impl<'a, A> IntoIterator for &'a History<A> {
+    type Item = &'a HistoryEntry<A>;
+    type IntoIter = std::slice::Iter<'a, HistoryEntry<A>>;
+
+    fn into_iter(self) -> Self::IntoIter {
+        self.entries.iter()
+    }
+}

crates/agen/src/interceptor.rs

@@ -0,0 +1,423 @@
+//! Interceptor - control flow delegation for the Engine execution loop
+//!
+//! Defines the [`Interceptor`] trait that callers implement to inject
+//! orchestration decisions (approval, skip, pause, abort) into the Engine's
+//! turn loop without the Engine knowing about host-application concepts.
+
+use std::sync::Arc;
+
+use async_trait::async_trait;
+
+use crate::Item;
+use crate::engine::EngineRunExit;
+use crate::history::HistoryEntry;
+use crate::tool::{Tool, ToolCall, ToolExecutionContext, ToolMeta, ToolResult};
+
+// =============================================================================
+// Typed lifecycle metadata and failures
+// =============================================================================
+
+/// Maximum UTF-8 byte length retained for interceptor diagnostics.
+pub const MAX_INTERCEPTOR_DIAGNOSTIC_BYTES: usize = 1024;
+
+/// Stable category for the source of an interceptor failure.
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+pub enum InterceptorErrorCategory {
+    Policy,
+    Dependency,
+    ContractViolation,
+    Internal,
+}
+
+impl std::fmt::Display for InterceptorErrorCategory {
+    fn fmt(&self, formatter: &mut std::fmt::Formatter<'_>) -> std::fmt::Result {
+        formatter.write_str(match self {
+            Self::Policy => "policy",
+            Self::Dependency => "dependency",
+            Self::ContractViolation => "contract_violation",
+            Self::Internal => "internal",
+        })
+    }
+}
+
+/// A typed, bounded failure returned by an [`Interceptor`] implementation.
+#[derive(Debug, Clone, PartialEq, Eq, thiserror::Error)]
+#[error("{category}: {diagnostic}")]
+pub struct InterceptorError {
+    category: InterceptorErrorCategory,
+    diagnostic: String,
+}
+
+impl InterceptorError {
+    pub fn new(category: InterceptorErrorCategory, diagnostic: impl Into<String>) -> Self {
+        let mut diagnostic = diagnostic.into();
+        if diagnostic.len() > MAX_INTERCEPTOR_DIAGNOSTIC_BYTES {
+            let mut end = MAX_INTERCEPTOR_DIAGNOSTIC_BYTES;
+            while !diagnostic.is_char_boundary(end) {
+                end -= 1;
+            }
+            diagnostic.truncate(end);
+        }
+        Self {
+            category,
+            diagnostic,
+        }
+    }
+
+    pub fn category(&self) -> InterceptorErrorCategory {
+        self.category
+    }
+
+    pub fn diagnostic(&self) -> &str {
+        &self.diagnostic
+    }
+}
+
+/// The lifecycle phase at which an interceptor callback executes.
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Default)]
+pub enum InterceptorPhase {
+    #[default]
+    PromptSubmit,
+    PendingHistoryAppends,
+    PreLlmRequest,
+    PreToolCall,
+    PostToolCall,
+    AssistantTurnEnd,
+    RunExit,
+}
+
+impl std::fmt::Display for InterceptorPhase {
+    fn fmt(&self, formatter: &mut std::fmt::Formatter<'_>) -> std::fmt::Result {
+        formatter.write_str(match self {
+            Self::PromptSubmit => "prompt_submit",
+            Self::PendingHistoryAppends => "pending_history_appends",
+            Self::PreLlmRequest => "pre_llm_request",
+            Self::PreToolCall => "pre_tool_call",
+            Self::PostToolCall => "post_tool_call",
+            Self::AssistantTurnEnd => "assistant_turn_end",
+            Self::RunExit => "run_exit",
+        })
+    }
+}
+
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Hash, Default)]
+pub struct InterceptorRunId(pub u64);
+
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Hash)]
+pub struct InterceptorTurnId(pub u64);
+
+#[derive(Debug, Clone, PartialEq, Eq, Hash)]
+pub enum InterceptorCallId {
+    Llm(u64),
+    Tool(String),
+}
+
+/// Saturating public counter used by interceptor contexts.
+#[derive(Debug, Clone, Copy, PartialEq, Eq, PartialOrd, Ord, Default)]
+pub struct InterceptorCounter(u32);
+
+impl InterceptorCounter {
+    pub fn from_usize(value: usize) -> Self {
+        Self(u32::try_from(value).unwrap_or(u32::MAX))
+    }
+
+    pub fn get(self) -> u32 {
+        self.0
+    }
+}
+
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Default)]
+pub struct InterceptorCounters {
+    pub invocation: InterceptorCounter,
+    pub engine_turn: InterceptorCounter,
+    pub run_turn: InterceptorCounter,
+    pub llm_call: InterceptorCounter,
+    pub tool_batch: InterceptorCounter,
+    pub tool_call: InterceptorCounter,
+}
+
+/// Identity, phase, and bounded counters common to every lifecycle callback.
+#[derive(Debug, Clone, PartialEq, Eq, Default)]
+pub struct InterceptorInvocation {
+    pub run_id: InterceptorRunId,
+    pub turn_id: Option<InterceptorTurnId>,
+    pub call_id: Option<InterceptorCallId>,
+    pub phase: InterceptorPhase,
+    pub counters: InterceptorCounters,
+}
+
+/// An interceptor failure bound to the exact Engine lifecycle phase that ran it.
+#[derive(Debug, Clone, PartialEq, Eq, thiserror::Error)]
+#[error("{phase} interceptor failed: {error}")]
+pub struct InterceptorFailure {
+    phase: InterceptorPhase,
+    #[source]
+    error: InterceptorError,
+}
+
+impl InterceptorFailure {
+    pub(crate) fn new(phase: InterceptorPhase, error: InterceptorError) -> Self {
+        Self { phase, error }
+    }
+
+    pub fn phase(&self) -> InterceptorPhase {
+        self.phase
+    }
+
+    pub fn error(&self) -> &InterceptorError {
+        &self.error
+    }
+}
+
+pub type InterceptorResult<T> = Result<T, InterceptorError>;
+
+// =============================================================================
+// Lifecycle Contexts
+// =============================================================================
+
+pub struct PromptSubmitContext<'a, A = ()> {
+    pub invocation: InterceptorInvocation,
+    pub item: &'a mut Item,
+    pub history: &'a [HistoryEntry<A>],
+}
+
+pub struct PendingHistoryAppendsContext<'a, A = ()> {
+    pub invocation: InterceptorInvocation,
+    pub history: &'a [HistoryEntry<A>],
+}
+
+pub struct PreLlmRequestContext<'a, A = ()> {
+    pub invocation: InterceptorInvocation,
+    pub items: &'a mut Vec<Item>,
+    pub history: &'a [HistoryEntry<A>],
+}
+
+pub struct AssistantTurnEndContext<'a, A = ()> {
+    pub invocation: InterceptorInvocation,
+    pub assistant_entries: &'a [HistoryEntry<A>],
+    pub history: &'a [HistoryEntry<A>],
+    pub tool_calls: &'a [ToolCall],
+}
+
+pub struct RunExitContext<'a, A = ()> {
+    pub invocation: InterceptorInvocation,
+    pub exit: &'a EngineRunExit,
+    pub history: &'a [HistoryEntry<A>],
+}
+
+// =============================================================================
+// Action Enums
+// =============================================================================
+
+/// Action after prompt submission.
+#[derive(Debug, Clone, PartialEq)]
+pub enum PromptAction {
+    /// Proceed normally.
+    Continue,
+    /// Cancel with a reason.
+    Cancel(String),
+    /// Proceed, and append these items to history right after the user
+    /// message. Mirrors [`TurnEndAction::ContinueWithMessages`] for the
+    /// submit edge: lets the upper layer attach resolver-produced
+    /// system messages (e.g. `@<path>` file content) so they sit
+    /// adjacent to the user message that referenced them.
+    ContinueWith(Vec<Item>),
+}
+
+/// Action before an LLM request.
+#[derive(Debug, Clone, PartialEq)]
+pub enum PreRequestAction {
+    /// Proceed normally.
+    Continue,
+    /// Proceed after appending these items to durable engine history.
+    ///
+    /// This is for upper-layer budget/status nudges that the model may react
+    /// to: the items are committed before the request so later turns can see
+    /// why the engine changed course.
+    ContinueWith(Vec<Item>),
+    /// Yield after appending these items to durable engine history.
+    ///
+    /// This is for host-mediated pre-request appends that must be visible to
+    /// usage accounting and compaction checks before the current LLM request is
+    /// allowed to proceed.
+    YieldWith(Vec<Item>),
+    /// Cancel with a reason (treated as an error).
+    Cancel(String),
+    /// Yield control to the caller for external processing.
+    ///
+    /// The Engine exits the turn loop cleanly with `EngineResult::Yielded`.
+    /// The caller is expected to resume execution later.
+    Yield,
+}
+
+/// Action before a tool call.
+#[derive(Debug, Clone, PartialEq, Eq)]
+pub enum PreToolAction {
+    /// Proceed with execution.
+    Continue,
+    /// Skip this tool call (do not execute).
+    Skip,
+    /// Do not execute the tool call; commit this synthetic result instead.
+    ///
+    /// This preserves provider-visible `tool_use` / `tool_result` pairing
+    /// without aborting the whole turn.
+    SyntheticResult(ToolResult),
+    /// Abort the entire run.
+    Abort(String),
+    /// Pause execution (can be resumed later).
+    Pause,
+}
+
+/// Action after a tool call.
+#[derive(Debug, Clone, PartialEq, Eq)]
+pub enum PostToolAction {
+    /// Proceed normally.
+    Continue,
+    /// Abort the entire run.
+    Abort(String),
+}
+
+/// Action at the end of a turn (when LLM produces no tool calls).
+#[derive(Debug, Clone)]
+pub enum TurnEndAction {
+    /// Accept the Engine's natural next phase: execute tools, or finish when none exist.
+    Finish,
+    /// Commit additional messages, then continue through the natural next phase.
+    ContinueWithMessages(Vec<Item>),
+    /// Pause execution (can be resumed later).
+    Pause,
+}
+
+// =============================================================================
+// Context Types
+// =============================================================================
+
+/// Context for pre-tool-call decisions.
+pub struct ToolCallInfo<'a, A = ()> {
+    pub invocation: InterceptorInvocation,
+    pub history: &'a [HistoryEntry<A>],
+    pub call: ToolCall,
+    /// Tool meta information.
+    pub meta: ToolMeta,
+    /// Tool instance (for state access).
+    pub tool: Arc<dyn Tool>,
+    /// Response-local execution context for this call.
+    pub context: ToolExecutionContext,
+}
+
+/// Context for post-tool-call decisions.
+pub struct ToolResultInfo<'a, A = ()> {
+    pub invocation: InterceptorInvocation,
+    pub history: &'a [HistoryEntry<A>],
+    pub call: ToolCall,
+    /// Committed terminal tool execution result.
+    pub result: ToolResult,
+    /// Tool meta information.
+    pub meta: ToolMeta,
+    /// Tool instance (for state access).
+    pub tool: Arc<dyn Tool>,
+    /// Response-local execution context for this call.
+    pub context: ToolExecutionContext,
+}
+
+// =============================================================================
+// Interceptor Trait
+// =============================================================================
+
+/// Intercepts the Engine execution loop at key decision points.
+///
+/// Every lifecycle method is asynchronous and returns [`InterceptorResult`],
+/// keeping implementation failure separate from the method's control-flow
+/// action. The Engine reports a failure as a typed run interruption annotated
+/// with the exact [`InterceptorPhase`] that failed.
+///
+/// All methods have default implementations that let the Engine proceed
+/// without intervention. Callers provide richer implementations for approval
+/// flows, permission checks, and other trusted host adaptation.
+#[async_trait]
+pub trait Interceptor<A: Send + Sync = ()>: Send + Sync {
+    /// Called after receiving user input, before adding it to Engine history.
+    async fn on_prompt_submit(
+        &self,
+        _context: PromptSubmitContext<'_, A>,
+    ) -> InterceptorResult<PromptAction> {
+        Ok(PromptAction::Continue)
+    }
+
+    /// Items that should be **committed to `engine.history`** just
+    /// before the next LLM request. Returned items are `extend`ed into
+    /// the persistent history (and therefore picked up by the per-turn
+    /// clone that backs the LLM request, plus the usual
+    /// history-persistence path).
+    ///
+    /// Use this for inputs that arrive from outside the LLM and need
+    /// to be reflected in the on-disk history — notifications,
+    /// external events, system reminders. Do **not** use
+    /// [`Self::pre_llm_request`] for that purpose: it mutates a
+    /// per-request clone, so any committed assistant response that
+    /// reacts to the injection would have no visible trigger on the
+    /// next turn (or after resume / compaction).
+    ///
+    /// `pre_llm_request` remains the right place for purely
+    /// reproducible per-request transformations (pruning, content
+    /// trimming, cache anchors) that depend only on the existing
+    /// history.
+    async fn pending_history_appends(
+        &self,
+        _context: PendingHistoryAppendsContext<'_, A>,
+    ) -> InterceptorResult<Vec<Item>> {
+        Ok(Vec::new())
+    }
+
+    /// Called before each LLM request. The context starts as a clone
+    /// of `engine.history` (after `pending_history_appends` and the
+    /// Engine's own prune projection have been applied).
+    ///
+    /// Direct mutations to `context` remain request-local and are not persisted.
+    /// If an interceptor derives a human/model-visible nudge from the current
+    /// request context, return [`PreRequestAction::ContinueWith`] so the Engine
+    /// commits it to history before the request is sent.
+    async fn pre_llm_request(
+        &self,
+        _context: PreLlmRequestContext<'_, A>,
+    ) -> InterceptorResult<PreRequestAction> {
+        Ok(PreRequestAction::Continue)
+    }
+
+    /// Called before each tool is executed.
+    async fn pre_tool_call(
+        &self,
+        _info: &mut ToolCallInfo<'_, A>,
+    ) -> InterceptorResult<PreToolAction> {
+        Ok(PreToolAction::Continue)
+    }
+
+    /// Called after each tool reaches one terminal result and that result is committed.
+    async fn post_tool_call(
+        &self,
+        _info: &ToolResultInfo<'_, A>,
+    ) -> InterceptorResult<PostToolAction> {
+        Ok(PostToolAction::Continue)
+    }
+
+    /// Called after every terminal assistant response is committed and before
+    /// the Engine decides whether to execute tools, continue, or finish.
+    async fn on_assistant_turn_end(
+        &self,
+        _context: AssistantTurnEndContext<'_, A>,
+    ) -> InterceptorResult<TurnEndAction> {
+        Ok(TurnEndAction::Finish)
+    }
+
+    /// Called once for the terminal outcome of each public run or resume call.
+    async fn on_run_exit(&self, _context: RunExitContext<'_, A>) -> InterceptorResult<()> {
+        Ok(())
+    }
+}
+
+/// Default interceptor: no intervention. Engine proceeds through the loop
+/// without any external control flow decisions.
+pub(crate) struct DefaultInterceptor;
+
+#[async_trait]
+impl<A: Send + Sync> Interceptor<A> for DefaultInterceptor {}

crates/agen/src/lib.rs

@@ -0,0 +1,54 @@
+#![doc = include_str!("../README.md")]
+
+mod engine;
+mod handler;
+mod history;
+mod message;
+
+pub(crate) mod callback;
+pub mod event;
+pub mod interceptor;
+pub mod llm_client;
+pub mod providers;
+pub mod prune;
+pub mod state;
+pub mod timeline;
+pub mod token_counter;
+pub mod tool;
+pub mod tool_server;
+pub mod usage_record;
+
+pub use agen_macros::{description, tool, tool_registry};
+pub use callback::{TextBlockScope, ThinkingBlockScope, ToolUseBlockScope};
+pub use engine::{
+    Engine, EngineConfig, EngineError, EngineResult, EngineRunExit, EngineRunOutput,
+    LlmRetryNotice, RunInterruptionReason, ToolRegistryError,
+};
+pub use handler::ToolUseBlockStart;
+pub use history::{History, HistoryEntry};
+pub use interceptor::{
+    AssistantTurnEndContext, Interceptor, InterceptorCallId, InterceptorCounter,
+    InterceptorCounters, InterceptorError, InterceptorErrorCategory, InterceptorFailure,
+    InterceptorInvocation, InterceptorPhase, InterceptorResult, InterceptorRunId,
+    InterceptorTurnId, MAX_INTERCEPTOR_DIAGNOSTIC_BYTES, PendingHistoryAppendsContext,
+    PreLlmRequestContext, PromptSubmitContext, RunExitContext,
+};
+pub use message::{ContentPart, Item, Message, Role};
+pub use tool::{
+    ToolCall, ToolExecutionContext, ToolExecutionHandle, ToolExecutionPolicy,
+    ToolExecutionTerminal, ToolExecutionTerminalFuture, ToolOutputLimits, ToolResult,
+    ToolResultDisposition,
+};
+pub use usage_record::UsageRecord;
+
+/// Implementation dependencies used by code generated from `agen` macros.
+///
+/// This module is not a stable user-facing API. It is public only because macro expansion
+/// happens in the downstream crate.
+#[doc(hidden)]
+pub mod __private {
+    pub use async_trait;
+    pub use schemars;
+    pub use serde;
+    pub use serde_json;
+}

crates/agen/src/llm_client/auth.rs

@@ -1,15 +1,11 @@
 //! `Scheme` 実装と通信層が要求する認証要件、および動的認証プロバイダ。
 //!
-//! マニフェスト側の型（`ModelConfig` / `SchemeKind` / `AuthRef`）は
-//! `crates/manifest` に置き、llm-worker はそれを知らずに済む。
 //! `AuthRequirement` は scheme が宣言する「この scheme はどんな認証を
-//! 期待するか」のランタイム記述で、manifest 側の `AuthRef` との
-//! 照合（`AuthRef → ResolvedAuth` 変換の適否）は `crates/provider`
-//! で行う。
+//! 期待するか」のランタイム記述で、設定ファイルや環境変数などから
+//! [`super::transport::ResolvedAuth`] を組み立てる責務は呼び出し側にある。
 //!
-//! Codex OAuth のようにリクエスト毎にトークンが変わり得る認証は
-//! [`AuthProvider`] trait を `crates/provider` 側で実装し、
-//! [`super::transport::ResolvedAuth::Custom`] 経由で transport に渡す。
+//! リクエスト毎にトークンが変わり得る認証は [`AuthProvider`] trait を
+//! 実装し、[`super::transport::ResolvedAuth::Custom`] 経由で transport に渡す。
 
 use async_trait::async_trait;
 use reqwest::header::{HeaderName, HeaderValue};
@@ -27,16 +23,15 @@ pub enum AuthRequirement {
     XApiKey,
     /// クエリパラメータ `?<name>=<token>`（Gemini 形式）
     QueryParam { name: &'static str },
-    /// 複合ヘッダ（Codex OAuth 等、`crates/provider` 側で解決）
+    /// 複合ヘッダ（呼び出し側が [`AuthProvider`] で解決）
     Custom,
 }
 
 /// リクエスト毎に認証ヘッダを動的に組み立てるプロバイダ。
 ///
-/// Codex OAuth のように access_token が refresh で更新されたり、
-/// `ChatGPT-Account-Id` / `X-OpenAI-Fedramp` のような複数ヘッダを
-/// 同時に注入する必要があるケースで使う。実体は `crates/provider`
-/// 側に置き、llm-worker は trait を知るだけ。
+/// access token が refresh で更新されたり、複数ヘッダを同時に注入する
+/// 必要があるケースで使う。実体は呼び出し側に置き、agen は
+/// trait を知るだけ。
 ///
 /// 返したヘッダはそのまま `HeaderMap` に挿入される。`Authorization`
 /// 含む scheme 既定の認証ヘッダは送出されないので、必要なら
@@ -45,13 +40,4 @@ pub enum AuthRequirement {
 pub trait AuthProvider: Send + Sync + std::fmt::Debug {
     /// 1 リクエスト分の認証ヘッダを返す。refresh が必要なら内部で行う。
     async fn headers(&self) -> Result<Vec<(HeaderName, HeaderValue)>, ClientError>;
-
-    /// ChatGPT Codex backend 向けの複合認証かどうか。
-    ///
-    /// transport は provider crate の具象型を知らないため、この hook だけで
-    /// Codex CLI 互換の wire behavior（conversation header / request compression 等）
-    /// を切り替える。
-    fn is_codex_backend(&self) -> bool {
-        false
-    }
 }

crates/agen/src/llm_client/client.rs

@@ -81,7 +81,7 @@ impl Clone for Box<dyn LlmClient> {
 
 /// `Box<dyn LlmClient>` に対する `LlmClient` の実装
 ///
-/// これにより、動的ディスパッチを使用するクライアントも `Worker` で利用可能になる。
+/// これにより、動的ディスパッチを使用するクライアントも `Engine` で利用可能になる。
 #[async_trait]
 impl LlmClient for Box<dyn LlmClient> {
     async fn stream(&self, request: Request) -> Result<ResponseStream, ClientError> {

crates/agen/src/llm_client/error.rs

@@ -18,6 +18,9 @@ pub enum ClientError {
         message: String,
         retry_after: Option<Duration>,
     },
+    /// The provider rejected the request because it exceeded the model context window.
+    /// Classified only from a structured provider error code, never message text.
+    ContextWindowExceeded,
     /// A request lifecycle phase exceeded its hard timeout.
     Timeout {
         phase: &'static str,
@@ -48,6 +51,7 @@ impl fmt::Display for ClientError {
                 }
                 write!(f, ": {}", message)
             }
+            ClientError::ContextWindowExceeded => write!(f, "Model context window reached"),
             ClientError::Timeout { phase, timeout } => {
                 write!(f, "{phase} timed out after {}s", timeout.as_secs())
             }
@@ -112,7 +116,10 @@ pub fn is_retryable(error: &ClientError) -> bool {
         ClientError::Api { status: None, .. } => false,
         ClientError::Timeout { .. } => true,
         ClientError::Http(e) => e.is_connect() || e.is_timeout(),
-        ClientError::Json(_) | ClientError::Sse(_) | ClientError::Config(_) => false,
+        ClientError::ContextWindowExceeded
+        | ClientError::Json(_)
+        | ClientError::Sse(_)
+        | ClientError::Config(_) => false,
     }
 }
 

crates/agen/src/llm_client/retry.rs

@@ -1,15 +1,15 @@
 //! LLM response stream を開く前の transient error 向けリトライポリシー。
 //!
-//! Worker が `LlmClient::stream` の open error に対して `is_retryable` を見て
-//! retry / backoff / TUI event / cancellation をまとめて管理する。
+//! `LlmClient::stream` の open error に対して `is_retryable` を見て
+//! retry / backoff / cancellation をまとめて管理する。
 //! SSE 読み出し開始後の失敗は対象外。
 
 use std::time::Duration;
 
 /// 指数バックオフ + ジッター + 累積タイムアウトを表すポリシー。
 ///
-/// `Default` は llm-worker 全体の固定値を返す。manifest 経由の上書きが
-/// 必要になったら拡張する（現状は不要 → `tickets/llm-worker-transient-retry.md`）。
+/// `Default` は agen 全体の固定値を返す。呼び出し側からの上書きが
+/// 必要になったら拡張する。
 #[derive(Debug, Clone)]
 pub struct RetryPolicy {
     /// 指数の基準値。`base * 2^attempt` を `cap` で頭打ちにした上限から

crates/agen/src/llm_client/scheme/anthropic/capability.rs

@@ -1,7 +1,7 @@
 //! Anthropic scheme の wire-level 既定 capability。
 //!
-//! モデル ID 固有のテーブル(`claude-*` など)は高レベル構築層
-//! (`provider::capability`)の責務。ここでは未知モデルでも「この wire で
+//! モデル ID 固有のテーブル(`claude-*` など)は client construction layer
+//! の責務。ここでは未知モデルでも「この wire で
 //! 安全に送れる最小共通項」を返すだけに留める。
 
 use crate::llm_client::capability::{

crates/agen/src/llm_client/scheme/gemini/capability.rs

@@ -1,7 +1,7 @@
 //! Gemini scheme の wire-level 既定 capability。
 //!
 //! モデル ID 固有のテーブル(`gemini-*` バージョン別の reasoning 有無)は
-//! 高レベル構築層(`provider::capability`)の責務。ここでは wire の
+//! client construction layer の責務。ここでは wire の
 //! 保守的 default のみ。
 
 use crate::llm_client::capability::{

crates/agen/src/llm_client/scheme/mod.rs

@@ -45,8 +45,8 @@ pub trait Scheme: Clone + Send + Sync + 'static {
     /// プロバイダもあるため、モデル ID を受け取る。
     fn path(&self, model_id: &str) -> String;
 
-    /// この scheme が要求する認証形式。`build_client` 時に
-    /// `manifest::AuthRef` と照合する。
+    /// この scheme が要求する認証形式。呼び出し側は client 構築時に
+    /// 設定された認証情報と照合する。
     fn required_auth(&self) -> AuthRequirement;
 
     /// `Content-Type` 以外の追加ヘッダ。`anthropic-version` / `anthropic-beta` 等。
@@ -78,8 +78,7 @@ pub trait Scheme: Clone + Send + Sync + 'static {
 
     /// scheme 既定の capability。モデル ID に関係なく、この wire で
     /// 安全に送れる最小共通項を返す。既知モデル ID の能力テーブルは
-    /// `provider::capability::lookup` 側(高レベル構築層)の責務で、
-    /// scheme はここには関与しない。
+    /// 高レベルの client 構築層の責務で、scheme はここには関与しない。
     fn default_capability(&self) -> ModelCapability;
 
     /// scheme 側でサポートしていない `RequestConfig` フィールドを

crates/agen/src/llm_client/scheme/openai_chat/capability.rs

@@ -1,7 +1,7 @@
 //! OpenAI Chat Completions scheme の wire-level 既定 capability。
 //!
-//! モデル ID 固有のテーブル(`gpt-5` 系など)は高レベル構築層
-//! (`provider::capability`)の責務。ここでは wire の保守的 default のみ。
+//! モデル ID 固有のテーブル(`gpt-5` 系など)は client construction layer
+//! の責務。ここでは wire の保守的 default のみ。
 
 use crate::llm_client::capability::{
     CacheStrategy, ModelCapability, StructuredOutput, ToolCallingSupport,

crates/agen/src/llm_client/scheme/openai_chat/request.rs

@@ -5,10 +5,13 @@
 use serde::Serialize;
 use serde_json::Value;
 
-use crate::llm_client::{
-    Request,
-    capability::{ModelCapability, ReasoningControl, ReasoningSupport},
-    types::{Item, Role, ToolDefinition, parse_tool_arguments},
+use crate::{
+    llm_client::{
+        Request,
+        capability::{ModelCapability, ReasoningControl, ReasoningSupport},
+        types::{ContentPart, Item, Role, ToolDefinition, image_data_url, parse_tool_arguments},
+    },
+    tool::Attachment,
 };
 
 use super::OpenAIScheme;
@@ -134,7 +137,7 @@ impl OpenAIScheme {
         }
 
         // Convert items to messages
-        messages.extend(self.convert_items_to_messages(&request.items));
+        messages.extend(self.convert_items_to_messages(&request.items, capability.vision));
 
         let tools = request.tools.iter().map(|t| self.convert_tool(t)).collect();
 
@@ -185,12 +188,38 @@ impl OpenAIScheme {
     /// - Assistant messages have role "assistant"
     /// - Tool calls are within assistant messages as tool_calls array
     /// - Tool results have role "tool" with tool_call_id
-    fn convert_items_to_messages(&self, items: &[Item]) -> Vec<OpenAIMessage> {
+    fn flush_pending_tool_result_images(
+        messages: &mut Vec<OpenAIMessage>,
+        pending_images: &mut Vec<OpenAIContentPart>,
+    ) {
+        if !pending_images.is_empty() {
+            messages.push(OpenAIMessage {
+                role: "user".to_string(),
+                content: Some(OpenAIContent::Parts(std::mem::take(pending_images))),
+                tool_calls: vec![],
+                tool_call_id: None,
+                name: None,
+            });
+        }
+    }
+
+    fn convert_items_to_messages(
+        &self,
+        items: &[Item],
+        supports_images: bool,
+    ) -> Vec<OpenAIMessage> {
         let mut messages = Vec::new();
         let mut pending_tool_calls: Vec<OpenAIToolCall> = Vec::new();
         let mut pending_assistant_text: Option<String> = None;
+        let mut pending_tool_result_images: Vec<OpenAIContentPart> = Vec::new();
 
         for item in items {
+            if !matches!(item, Item::ToolResult { .. }) {
+                Self::flush_pending_tool_result_images(
+                    &mut messages,
+                    &mut pending_tool_result_images,
+                );
+            }
             match item {
                 Item::Message { role, content, .. } => {
                     // Flush pending tool calls
@@ -205,16 +234,17 @@ impl OpenAIScheme {
                         Role::Assistant => "assistant",
                         Role::System => "system",
                     };
-
-                    let text_content: String = content
-                        .iter()
-                        .map(|p| p.as_text())
-                        .collect::<Vec<_>>()
-                        .join("");
+                    let message_content = OpenAIContent::Text(
+                        content
+                            .iter()
+                            .map(ContentPart::as_text)
+                            .collect::<Vec<_>>()
+                            .join(""),
+                    );
 
                     messages.push(OpenAIMessage {
                         role: openai_role.to_string(),
-                        content: Some(OpenAIContent::Text(text_content)),
+                        content: Some(message_content),
                         tool_calls: vec![],
                         tool_call_id: None,
                         name: None,
@@ -244,19 +274,35 @@ impl OpenAIScheme {
                     call_id,
                     summary,
                     content,
+                    attachments,
                     ..
                 } => {
-                    // Flush pending tool calls before tool result
+                    // OpenAI requires every parallel tool result before a new user message.
                     self.flush_pending_assistant(
                         &mut messages,
                         &mut pending_tool_calls,
                         &mut pending_assistant_text,
                     );
 
-                    let text = match content {
+                    let mut text = match content {
                         Some(c) => format!("{summary}\n{c}"),
                         None => summary.clone(),
                     };
+                    if supports_images {
+                        pending_tool_result_images.extend(attachments.iter().map(|attachment| {
+                            let Attachment::Image(image) = attachment;
+                            OpenAIContentPart::ImageUrl {
+                                image_url: ImageUrl {
+                                    url: image_data_url(image.mime_type(), image.data()),
+                                },
+                            }
+                        }));
+                    } else if !attachments.is_empty() {
+                        text.push_str(&format!(
+                            "\n[{} image attachment(s) omitted: model does not support images]",
+                            attachments.len()
+                        ));
+                    }
                     messages.push(OpenAIMessage {
                         role: "tool".to_string(),
                         content: Some(OpenAIContent::Text(text)),
@@ -284,6 +330,7 @@ impl OpenAIScheme {
             &mut pending_tool_calls,
             &mut pending_assistant_text,
         );
+        Self::flush_pending_tool_result_images(&mut messages, &mut pending_tool_result_images);
 
         messages
     }
@@ -334,6 +381,13 @@ mod tests {
         }
     }
 
+    fn vision_cap() -> ModelCapability {
+        ModelCapability {
+            vision: true,
+            ..cap()
+        }
+    }
+
     #[test]
     fn test_build_simple_request() {
         let scheme = OpenAIScheme::new();
@@ -439,4 +493,94 @@ mod tests {
         assert_eq!(body.messages[1].tool_calls.len(), 1);
         assert_eq!(body.messages[2].role, "tool");
     }
+
+    #[test]
+    fn parallel_tool_results_precede_durable_image_projection() {
+        let scheme = OpenAIScheme::new();
+        let image = std::sync::Arc::<[u8]>::from(&b"\x89PNG\r\n\x1a\nbody"[..]);
+        let request = Request::new()
+            .item(Item::tool_call("call_image", "ViewImage", "{}"))
+            .item(Item::tool_call("call_text", "Read", "{}"))
+            .item(Item::tool_result_item_with_attachments(
+                "call_image",
+                "Attached image",
+                None,
+                false,
+                vec![crate::tool::Attachment::Image(
+                    crate::tool::ImageAttachment::new("image/png", image),
+                )],
+            ))
+            .item(Item::tool_result_item(
+                "call_text",
+                "Read text",
+                None,
+                false,
+            ));
+        let json = serde_json::to_value(
+            &scheme
+                .build_request("gpt-4o", &request, &vision_cap())
+                .messages,
+        )
+        .unwrap();
+
+        assert_eq!(json[0]["role"], "assistant");
+        assert_eq!(json[1]["role"], "tool");
+        assert_eq!(json[2]["role"], "tool");
+        assert_eq!(json[3]["role"], "user");
+        assert_eq!(json[3]["content"][0]["type"], "image_url");
+    }
+
+    #[test]
+    fn durable_tool_image_is_deterministically_lowered_to_following_user_content() {
+        let scheme = OpenAIScheme::new();
+        let image = std::sync::Arc::<[u8]>::from(&b"\x89PNG\r\n\x1a\nbody"[..]);
+        let attachment = crate::tool::Attachment::Image(crate::tool::ImageAttachment::new(
+            "image/png",
+            image.clone(),
+        ));
+        let item = Item::tool_result_item_with_attachments(
+            "call_image",
+            "Attached image",
+            None,
+            false,
+            vec![attachment],
+        );
+        let persisted = serde_json::to_string(&item).unwrap();
+        assert!(persisted.contains("attachments"));
+        let restored: Item = serde_json::from_str(&persisted).unwrap();
+
+        let request = Request::new()
+            .item(Item::tool_call(
+                "call_image",
+                "ViewImage",
+                r#"{"path":"a.png"}"#,
+            ))
+            .item(restored);
+        let body = scheme.build_request("gpt-4o", &request, &vision_cap());
+        let json = serde_json::to_value(&body.messages).unwrap();
+        let rebuilt = serde_json::to_value(
+            &scheme
+                .build_request("gpt-4o", &request, &vision_cap())
+                .messages,
+        )
+        .unwrap();
+        assert_eq!(rebuilt, json);
+
+        assert_eq!(json[0]["role"], "assistant");
+        assert_eq!(json[1]["role"], "tool");
+        assert_eq!(json[2]["role"], "user");
+        assert_eq!(json[2]["content"][0]["type"], "image_url");
+        assert!(
+            json[2]["content"][0]["image_url"]["url"]
+                .as_str()
+                .unwrap()
+                .starts_with("data:image/png;base64,")
+        );
+
+        let mut no_vision = cap();
+        no_vision.vision = false;
+        let disabled =
+            serde_json::to_string(&scheme.build_request("gpt-4o", &request, &no_vision)).unwrap();
+        assert!(!disabled.contains("data:image"));
+    }
 }

crates/agen/src/llm_client/scheme/openai_responses/capability.rs

@@ -1,7 +1,7 @@
 //! OpenAI Responses scheme の wire-level 既定 capability。
 //!
-//! モデル ID 固有のテーブル(`gpt-5` / `codex-` 系など)は高レベル構築層
-//! (`provider::capability`)の責務。ここでは wire の保守的 default のみ。
+//! モデル ID 固有の能力テーブルは高レベルの client 構築層の責務。
+//! ここでは wire の保守的 default のみ。
 
 use crate::llm_client::capability::{
     CacheStrategy, ModelCapability, StructuredOutput, ToolCallingSupport,

crates/agen/src/llm_client/scheme/openai_responses/events.rs

@@ -2,7 +2,7 @@
 //!
 //! `response.*` 名前空間の SSE を共通の [`Event`](crate::llm_client::event::Event)
 //! に変換する。Responses の (output_index, content_index) 2 次元座標と
-//! yoi 側 1 次元 `BlockStart/Delta/Stop::index` のマッピングは
+//! この crate の 1 次元 `BlockStart/Delta/Stop::index` のマッピングは
 //! [`OpenAIResponsesState`] が保持する。
 
 use std::collections::{BTreeMap, HashMap};

crates/agen/src/llm_client/scheme/openai_responses/mod.rs

@@ -2,10 +2,10 @@
 //!
 //! Chat Completions とは別物の item-based wire format。reasoning item と
 //! function_call item が first-class で、SSE イベントも `response.*` 名前空間で
-//! 流れる。ChatGPT OAuth 経路 (codex) は本 scheme 必須。
+//! 流れる。
 //!
-//! - リクエスト JSON 生成: [`request`]
-//! - SSE イベントパース → [`Event`](crate::llm_client::event::Event) 変換: [`events`]
+//! - リクエスト JSON 生成: `request`
+//! - SSE イベントパース → [`Event`](crate::llm_client::event::Event) 変換: `events`
 
 mod capability;
 mod events;
@@ -19,10 +19,10 @@ pub use scheme_impl::OpenAIResponsesState;
 /// `store` / `include_encrypted_content` / `send_max_output_tokens` /
 /// `send_sampling_params` は scheme 固定の wire 設定で、デフォルトは
 /// 公式 OpenAI Responses API 向け (stateless + ZDR + `max_output_tokens`
-/// / `temperature` / `top_p` 送出可)。ChatGPT backend (codex-oauth) の
-/// ように受理パラメータが subset の経路では provider 層で
-/// `send_max_output_tokens=false` / `send_sampling_params=false` に
-/// 上書きする。`ModelCapability` には入れない（モデル能力ではなく wire policy）。
+/// / `temperature` / `top_p` 送出可)。受理パラメータが subset の
+/// 互換 backend では client 構築層で `send_max_output_tokens=false` /
+/// `send_sampling_params=false` に上書きする。`ModelCapability` には
+/// 入れない（モデル能力ではなく wire policy）。
 #[derive(Debug, Clone)]
 pub struct OpenAIResponsesScheme {
     /// サーバ側に response を保存するか。ZDR/stateless 運用では `false`。
@@ -31,12 +31,12 @@ pub struct OpenAIResponsesScheme {
     /// `store=false` で reasoning を使うなら必須。
     pub include_encrypted_content: bool,
     /// `max_output_tokens` を body に載せるか。公式 OpenAI Responses API は
-    /// 受理するが、ChatGPT backend (codex-oauth) は `Unsupported parameter`
-    /// で 400 を返すため、その経路では `false` にする。
+    /// 受理するが、互換 backend によっては `Unsupported parameter` で
+    /// 400 を返すため、その経路では `false` にする。
     pub send_max_output_tokens: bool,
     /// `temperature` / `top_p` を body に載せるか。公式 OpenAI Responses API
-    /// は受理するが、ChatGPT backend (codex-oauth) は `Unsupported parameter`
-    /// で 400 を返すため、その経路では `false` にする。
+    /// は受理するが、互換 backend によっては `Unsupported parameter` で
+    /// 400 を返すため、その経路では `false` にする。
     pub send_sampling_params: bool,
 }
 

crates/agen/src/llm_client/scheme/openai_responses/request.rs

@@ -7,14 +7,31 @@
 use serde::{Serialize, Serializer};
 use serde_json::Value;
 
-use crate::llm_client::{
-    Request,
-    capability::{ModelCapability, ReasoningControl, ReasoningSupport},
-    types::{ContentPart, Item, Role, ToolDefinition, parse_tool_arguments},
+use crate::{
+    llm_client::{
+        Request,
+        capability::{ModelCapability, ReasoningControl, ReasoningSupport},
+        types::{ContentPart, Item, Role, ToolDefinition, image_data_url, parse_tool_arguments},
+    },
+    tool::Attachment,
 };
 
 use super::OpenAIResponsesScheme;
 
+#[derive(Debug, Serialize)]
+#[serde(untagged)]
+pub(crate) enum FunctionCallOutputBody {
+    Text(String),
+    ContentItems(Vec<FunctionCallOutputContentItem>),
+}
+
+#[derive(Debug, Serialize)]
+#[serde(tag = "type", rename_all = "snake_case")]
+pub(crate) enum FunctionCallOutputContentItem {
+    InputText { text: String },
+    InputImage { image_url: String },
+}
+
 /// `/v1/responses` のリクエスト body。
 #[derive(Debug, Serialize)]
 pub(crate) struct ResponsesRequest {
@@ -38,21 +55,21 @@ pub(crate) struct ResponsesRequest {
     /// `["reasoning.encrypted_content"]` 等。
     #[serde(skip_serializing_if = "Vec::is_empty")]
     pub include: Vec<&'static str>,
-    /// 公式 OpenAI Responses API では受理されるが、ChatGPT backend
-    /// (codex-oauth) は 400 で弾く。scheme の `send_max_output_tokens`
-    /// が `false` のときは `None` のまま送る (skip_serializing_if で除外)。
+    /// 公式 OpenAI Responses API では受理されるが、互換 backend によっては
+    /// 400 で弾く。scheme の `send_max_output_tokens` が `false` のときは
+    /// `None` のまま送る (skip_serializing_if で除外)。
     #[serde(skip_serializing_if = "Option::is_none")]
     pub max_output_tokens: Option<u32>,
-    /// 公式 OpenAI Responses API では受理されるが、ChatGPT backend
-    /// (codex-oauth) は `temperature` / `top_p` を 400 で弾く。scheme の
+    /// 公式 OpenAI Responses API では受理されるが、互換 backend によっては
+    /// `temperature` / `top_p` を 400 で弾く。scheme の
     /// `send_sampling_params` が `false` のときは `None` のまま送る。
     #[serde(skip_serializing_if = "Option::is_none")]
     pub temperature: Option<f32>,
     #[serde(skip_serializing_if = "Option::is_none")]
     pub top_p: Option<f32>,
-    /// 会話単位の安定キー。ChatGPT backend (codex-oauth) は明示キーが
-    /// 無いとプロンプトキャッシュがほぼ効かない。pod 側は `SegmentId`
-    /// を渡す。`Request::cache_key` が `None` のときはキー自体を送らない。
+    /// 会話単位の安定キー。明示キーを必要とする backend では、
+    /// 呼び出し側が安定した conversation identifier を渡す。
+    /// `Request::cache_key` が `None` のときはキー自体を送らない。
     #[serde(skip_serializing_if = "Option::is_none")]
     pub prompt_cache_key: Option<String>,
 }
@@ -74,10 +91,9 @@ pub(crate) struct ReasoningConfig {
 #[serde(tag = "type", rename_all = "snake_case")]
 pub(crate) enum InputItem {
     /// 会話メッセージ。user / assistant / developer のいずれか。
-    /// `Role::System` items は `developer` として投影する（ChatGPT
-    /// backend が `role: "system"` を拒否するため。Codex CLI も
-    /// system 相当の挿入には DeveloperInstructions = `role: "developer"`
-    /// を使う）。
+    /// `Role::System` items は `developer` として投影する。OpenAI
+    /// Responses 互換 backend の一部は `role: "system"` を拒否するため、
+    /// system 相当の挿入には `role: "developer"` を使う。
     Message {
         role: &'static str,
         content: Vec<InputContent>,
@@ -92,9 +108,7 @@ pub(crate) enum InputItem {
     /// function tool の結果（user 側）。
     FunctionCallOutput {
         call_id: String,
-        /// Responses は文字列 or 構造化 output を許すが、ここでは
-        /// `summary` + `content` を改行連結した文字列で送る。
-        output: String,
+        output: FunctionCallOutputBody,
     },
     /// reasoning item。`encrypted_content` があれば必ず添える。
     Reasoning {
@@ -119,6 +133,7 @@ pub(crate) enum InputItem {
 pub(crate) enum InputContent {
     /// user / developer 側のテキスト
     InputText { text: String },
+    /// user 側の画像
     /// assistant 側のテキスト
     OutputText { text: String },
 }
@@ -174,7 +189,7 @@ impl OpenAIResponsesScheme {
         request: &Request,
         capability: &ModelCapability,
     ) -> ResponsesRequest {
-        let input = convert_items_to_input(&request.items);
+        let input = convert_items_to_input(&request.items, capability.vision);
         let tools = request.tools.iter().map(convert_tool).collect();
 
         // Reasoning 投影: capability が Effort / Both をサポートし、かつ
@@ -235,7 +250,7 @@ impl OpenAIResponsesScheme {
 }
 
 /// `Item` 列を `input[]` に変換する。
-fn convert_items_to_input(items: &[Item]) -> Vec<InputItem> {
+fn convert_items_to_input(items: &[Item], supports_images: bool) -> Vec<InputItem> {
     let mut out = Vec::with_capacity(items.len());
     for item in items {
         match item {
@@ -248,7 +263,7 @@ fn convert_items_to_input(items: &[Item]) -> Vec<InputItem> {
                     };
                 let parts: Vec<InputContent> = content
                     .iter()
-                    .map(|p| match p {
+                    .map(|part| match part {
                         ContentPart::Text { text } => text_variant(text.clone()),
                         ContentPart::Refusal { refusal } => text_variant(refusal.clone()),
                     })
@@ -276,15 +291,33 @@ fn convert_items_to_input(items: &[Item]) -> Vec<InputItem> {
                 call_id,
                 summary,
                 content,
+                attachments,
                 ..
             } => {
                 let text = match content {
                     Some(c) => format!("{summary}\n{c}"),
                     None => summary.clone(),
                 };
+                let output = if attachments.is_empty() {
+                    FunctionCallOutputBody::Text(text)
+                } else if supports_images {
+                    let mut parts = vec![FunctionCallOutputContentItem::InputText { text }];
+                    parts.extend(attachments.iter().map(|attachment| {
+                        let Attachment::Image(image) = attachment;
+                        FunctionCallOutputContentItem::InputImage {
+                            image_url: image_data_url(image.mime_type(), image.data()),
+                        }
+                    }));
+                    FunctionCallOutputBody::ContentItems(parts)
+                } else {
+                    FunctionCallOutputBody::Text(format!(
+                        "{text}\n[{} image attachment(s) omitted: model does not support images]",
+                        attachments.len()
+                    ))
+                };
                 out.push(InputItem::FunctionCallOutput {
                     call_id: call_id.clone(),
-                    output: text,
+                    output,
                 });
             }
             Item::Reasoning {
@@ -403,10 +436,9 @@ mod tests {
 
     #[test]
     fn system_role_item_is_projected_as_developer() {
-        // ChatGPT backend (codex-oauth) は input[] の `role: "system"` を
-        // "System messages are not allowed" で 400 拒否する。in-conversation
-        // な system note (notify / fs_view auto-read / compaction summary) は
-        // `role: "developer"` として投影し、両 backend で受理されるようにする。
+        // Some compatible backends reject `role: "system"` in input[].
+        // Project in-conversation system notes as `role: "developer"` so
+        // both official and compatible backends can accept them.
         let scheme = OpenAIResponsesScheme::new();
         let req = Request::new()
             .user("hi")
@@ -523,11 +555,9 @@ mod tests {
     fn reasoning_summary_field_is_always_serialized() {
         // Responses API は reasoning item に `summary` を必須で要求する。
         // summary が空でも wire 上に `summary: []` として残らないと、
-        // ChatGPT backend (codex-oauth) が
-        //   400 invalid_request_error: Missing required parameter:
-        //   'input[N].summary'.
-        // で弾く。GPT-5 + reasoning effort 未指定のターンでは summary text
-        // が付かないことがあるため、空のままでも skip しないこと。
+        // backend によっては missing required parameter として拒否される。
+        // reasoning effort 未指定のターンでは summary text が付かないことが
+        // あるため、空のままでも skip しないこと。
         let scheme = OpenAIResponsesScheme::new();
         let item = Item::reasoning("").with_encrypted_content("ENC");
         let req = Request::new().user("hi").item(item);
@@ -694,4 +724,51 @@ mod tests {
         assert_eq!(json["tools"][0]["type"], "function");
         assert_eq!(json["tools"][0]["name"], "t");
     }
+
+    #[test]
+    fn durable_tool_image_uses_function_call_output_content_items() {
+        let scheme = OpenAIResponsesScheme::new();
+        let image = std::sync::Arc::<[u8]>::from(&b"\x89PNG\r\n\x1a\nbody"[..]);
+        let item = Item::tool_result_item_with_attachments(
+            "call_image",
+            "Attached image",
+            None,
+            false,
+            vec![crate::tool::Attachment::Image(
+                crate::tool::ImageAttachment::new("image/png", image),
+            )],
+        );
+        let persisted = serde_json::to_string(&item).unwrap();
+        let restored: Item = serde_json::from_str(&persisted).unwrap();
+        let req = Request::new()
+            .item(Item::tool_call(
+                "call_image",
+                "ViewImage",
+                r#"{"path":"a.png"}"#,
+            ))
+            .item(restored);
+        let body = scheme.build_request("gpt-5", &req, &cap_with_reasoning());
+        let json = serde_json::to_value(&body).unwrap();
+
+        assert_eq!(json["input"][1]["type"], "function_call_output");
+        assert_eq!(json["input"].as_array().unwrap().len(), 2);
+        assert_eq!(json["input"][1]["output"][0]["type"], "input_text");
+        assert_eq!(json["input"][1]["output"][1]["type"], "input_image");
+        assert!(
+            json["input"][1]["output"][1]["image_url"]
+                .as_str()
+                .unwrap()
+                .starts_with("data:image/png;base64,")
+        );
+        let rebuilt =
+            serde_json::to_value(scheme.build_request("gpt-5", &req, &cap_with_reasoning()))
+                .unwrap();
+        assert_eq!(rebuilt["input"], json["input"]);
+
+        let mut no_vision = cap_with_reasoning();
+        no_vision.vision = false;
+        let disabled =
+            serde_json::to_string(&scheme.build_request("gpt-5", &req, &no_vision)).unwrap();
+        assert!(!disabled.contains("data:image"));
+    }
 }

crates/agen/src/llm_client/scheme/openai_responses/scheme_impl.rs

@@ -20,9 +20,8 @@ impl Scheme for OpenAIResponsesScheme {
     type State = OpenAIResponsesState;
 
     fn default_base_url(&self) -> &'static str {
-        // `/v1` は base_url 側に寄せる。ChatGPT OAuth 経由のときは
-        // `https://chatgpt.com/backend-api/codex` を base にすれば同じ
-        // `/responses` path で両系統を吸収できる（Codex CLI 準拠）。
+        // `/v1` は base_url 側に寄せる。互換 backend を使う場合も、
+        // base URL を差し替えるだけで同じ `/responses` path を使える。
         "https://api.openai.com/v1"
     }
 
@@ -59,27 +58,29 @@ impl Scheme for OpenAIResponsesScheme {
 
     fn validate_config(&self, config: &RequestConfig) -> Vec<ConfigWarning> {
         let mut warnings = Vec::new();
-        // ChatGPT backend (codex-oauth) は `max_output_tokens` を 400 で弾く。
-        // scheme 構築時に `send_max_output_tokens=false` で組まれていれば
-        // body 投影は止まっているので、ユーザの意図が落ちることだけを通知する。
+        // Some compatible backends reject `max_output_tokens` with HTTP 400.
+        // If the scheme was built with `send_max_output_tokens=false`, body
+        // projection is already disabled; only notify that the user's intent
+        // was dropped.
         if !self.send_max_output_tokens && config.max_tokens.is_some() {
             warnings.push(ConfigWarning::unsupported(
                 "max_tokens",
-                "OpenAI Responses (ChatGPT backend)",
+                "OpenAI Responses compatible backend",
             ));
         }
-        // 同上、`temperature` / `top_p` も ChatGPT backend では 400 で弾かれる。
+        // Same for `temperature` / `top_p` on compatible backends that
+        // reject unsupported sampling parameters.
         if !self.send_sampling_params {
             if config.temperature.is_some() {
                 warnings.push(ConfigWarning::unsupported(
                     "temperature",
-                    "OpenAI Responses (ChatGPT backend)",
+                    "OpenAI Responses compatible backend",
                 ));
             }
             if config.top_p.is_some() {
                 warnings.push(ConfigWarning::unsupported(
                     "top_p",
-                    "OpenAI Responses (ChatGPT backend)",
+                    "OpenAI Responses compatible backend",
                 ));
             }
         }

crates/agen/src/llm_client/transport.rs

@@ -1,8 +1,8 @@
 //! `HttpTransport<S: Scheme>`: すべての LLM wire scheme を共通の 1 本の
 //! HTTP クライアントで扱う。
 //!
-//! 旧 `providers/{anthropic,openai,gemini,ollama}.rs` を置き換える。
-//! scheme 固有の差分は [`Scheme`] trait 実装に委譲する。
+//! scheme 固有の差分は [`Scheme`] trait 実装に委譲し、backend 固有の
+//! HTTP policy は [`TransportPolicy`] で明示的に差し込む。
 
 use std::pin::Pin;
 use std::sync::Arc;
@@ -12,7 +12,8 @@ use async_trait::async_trait;
 use eventsource_stream::Eventsource;
 use futures::{Stream, StreamExt, TryStreamExt};
 use reqwest::header::{
-    ACCEPT, CONTENT_ENCODING, CONTENT_TYPE, HeaderMap, HeaderName, HeaderValue, RETRY_AFTER,
+    ACCEPT, CONTENT_ENCODING, CONTENT_LENGTH, CONTENT_TYPE, HeaderMap, HeaderName, HeaderValue,
+    RETRY_AFTER, TRANSFER_ENCODING,
 };
 use serde_json::{Map, Value, json};
 
@@ -27,11 +28,11 @@ use super::types::{Request, RequestConfig};
 pub const DEFAULT_STREAM_OPEN_TIMEOUT: Duration = Duration::from_secs(20);
 pub const DEFAULT_FIRST_STREAM_EVENT_TIMEOUT: Duration = Duration::from_secs(30);
 
-/// `AuthRef` を解決したランタイム表現。`crates/provider` が構築する。
+/// 認証設定をリクエスト時に使える形へ解決したランタイム表現。
 ///
 /// - `None`: 認証ヘッダを送らない（Ollama 等の opt-out）
 /// - `ApiKey`: 静的な API key 文字列
-/// - `Custom`: リクエスト毎に動的にヘッダを組み立てる（Codex OAuth 等）
+/// - `Custom`: リクエスト毎に動的にヘッダを組み立てる
 #[derive(Debug, Clone)]
 pub enum ResolvedAuth {
     None,
@@ -62,6 +63,120 @@ impl ResolvedAuth {
     }
 }
 
+/// Request body encoding policy used by [`HttpTransport`].
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+pub enum RequestBodyEncoding {
+    /// Send the request body as plain JSON.
+    Json,
+    /// Send the request body as zstd-compressed JSON with `Content-Encoding: zstd`.
+    ZstdJson,
+}
+
+impl Default for RequestBodyEncoding {
+    fn default() -> Self {
+        Self::Json
+    }
+}
+
+/// Conversation header policy used by [`HttpTransport`].
+#[derive(Debug, Clone, PartialEq, Eq)]
+pub enum ConversationHeaderPolicy {
+    /// Do not derive any transport headers from [`Request::cache_key`].
+    None,
+    /// Send OpenAI-compatible conversation headers from [`Request::cache_key`].
+    OpenAiCompatible {
+        /// Send the legacy `session_id` header in addition to `session-id`.
+        include_legacy_session_id: bool,
+        /// Send `thread-id` with the same value as `session-id`.
+        include_thread_id: bool,
+        /// Send `x-client-request-id` with the same value as `session-id`.
+        include_client_request_id: bool,
+    },
+}
+
+impl Default for ConversationHeaderPolicy {
+    fn default() -> Self {
+        Self::None
+    }
+}
+
+/// Backend-specific HTTP transport policy.
+#[derive(Debug, Clone, PartialEq, Eq, Default)]
+pub struct TransportPolicy {
+    /// How to serialize and encode the HTTP request body.
+    pub request_body_encoding: RequestBodyEncoding,
+    /// Optional backend-specific conversation headers derived from request metadata.
+    pub conversation_headers: ConversationHeaderPolicy,
+}
+
+impl TransportPolicy {
+    /// Plain JSON requests with no derived conversation headers.
+    pub fn standard() -> Self {
+        Self::default()
+    }
+
+    /// OpenAI-compatible backend profile that uses zstd JSON bodies and
+    /// conversation headers derived from [`Request::cache_key`].
+    pub fn openai_compatible_zstd() -> Self {
+        Self {
+            request_body_encoding: RequestBodyEncoding::ZstdJson,
+            conversation_headers: ConversationHeaderPolicy::OpenAiCompatible {
+                include_legacy_session_id: true,
+                include_thread_id: true,
+                include_client_request_id: true,
+            },
+        }
+    }
+}
+fn header_value_for_diagnostics(headers: &HeaderMap, name: &str) -> Option<String> {
+    headers
+        .get(name)
+        .and_then(|value| value.to_str().ok())
+        .map(str::trim)
+        .filter(|value| !value.is_empty())
+        .map(ToOwned::to_owned)
+}
+
+fn response_header_diagnostics(headers: &HeaderMap) -> serde_json::Value {
+    serde_json::json!({
+        "content_type": header_value_for_diagnostics(headers, CONTENT_TYPE.as_str()),
+        "content_encoding": header_value_for_diagnostics(headers, CONTENT_ENCODING.as_str()),
+        "transfer_encoding": header_value_for_diagnostics(headers, TRANSFER_ENCODING.as_str()),
+        "content_length": header_value_for_diagnostics(headers, CONTENT_LENGTH.as_str()),
+    })
+}
+
+fn request_header_diagnostics(headers: &HeaderMap) -> serde_json::Value {
+    serde_json::json!({
+        "content_type": header_value_for_diagnostics(headers, CONTENT_TYPE.as_str()),
+        "content_encoding": header_value_for_diagnostics(headers, CONTENT_ENCODING.as_str()),
+        "accept": header_value_for_diagnostics(headers, ACCEPT.as_str()),
+        "openai_beta": header_value_for_diagnostics(headers, "openai-beta"),
+        "session_id_present": headers.contains_key("session-id"),
+        "thread_id_present": headers.contains_key("thread-id"),
+        "legacy_session_id_present": headers.contains_key("session_id"),
+        "legacy_thread_id_present": headers.contains_key("thread_id"),
+        "x_client_request_id_present": headers.contains_key("x-client-request-id"),
+        "chatgpt_account_id_present": headers.contains_key("chatgpt-account-id"),
+    })
+}
+
+fn sse_error_context(status: u16, headers: &serde_json::Value, source: &str) -> String {
+    let field = |name: &str| {
+        headers
+            .get(name)
+            .and_then(serde_json::Value::as_str)
+            .unwrap_or("<none>")
+    };
+    format!(
+        "SSE stream parse failed after HTTP {status}: {source}; content-type={}, content-encoding={}, transfer-encoding={}, content-length={}",
+        field("content_type"),
+        field("content_encoding"),
+        field("transfer_encoding"),
+        field("content_length")
+    )
+}
+
 /// scheme 共通の HTTP 通信層。
 pub struct HttpTransport<S: Scheme> {
     http_client: reqwest::Client,
@@ -70,6 +185,7 @@ pub struct HttpTransport<S: Scheme> {
     base_url: String,
     auth: ResolvedAuth,
     capability: ModelCapability,
+    policy: TransportPolicy,
 }
 
 impl<S: Scheme> HttpTransport<S> {
@@ -91,9 +207,16 @@ impl<S: Scheme> HttpTransport<S> {
             base_url,
             auth,
             capability,
+            policy: TransportPolicy::default(),
         }
     }
 
+    /// Set a backend-specific HTTP transport policy.
+    pub fn with_transport_policy(mut self, policy: TransportPolicy) -> Self {
+        self.policy = policy;
+        self
+    }
+
     /// カスタム HTTP クライアントを差し込む（テスト等）。
     pub fn with_http_client(mut self, client: reqwest::Client) -> Self {
         self.http_client = client;
@@ -156,13 +279,6 @@ impl<S: Scheme> HttpTransport<S> {
         Ok(headers)
     }
 
-    fn is_codex_backend(&self) -> bool {
-        match &self.auth {
-            ResolvedAuth::Custom(provider) => provider.is_codex_backend(),
-            _ => false,
-        }
-    }
-
     fn apply_stream_headers(
         &self,
         headers: &mut HeaderMap,
@@ -170,14 +286,26 @@ impl<S: Scheme> HttpTransport<S> {
     ) -> Result<(), ClientError> {
         headers.insert(ACCEPT, HeaderValue::from_static("text/event-stream"));
 
-        if self.is_codex_backend()
+        if let ConversationHeaderPolicy::OpenAiCompatible {
+            include_legacy_session_id,
+            include_thread_id,
+            include_client_request_id,
+        } = self.policy.conversation_headers
             && let Some(cache_key) = request.cache_key.as_deref()
         {
             let value = HeaderValue::from_str(cache_key).map_err(|e| {
-                ClientError::Config(format!("invalid Codex conversation header: {e}"))
+                ClientError::Config(format!("invalid conversation header value: {e}"))
             })?;
-            headers.insert(HeaderName::from_static("session_id"), value.clone());
-            headers.insert(HeaderName::from_static("x-client-request-id"), value);
+            headers.insert(HeaderName::from_static("session-id"), value.clone());
+            if include_thread_id {
+                headers.insert(HeaderName::from_static("thread-id"), value.clone());
+            }
+            if include_legacy_session_id {
+                headers.insert(HeaderName::from_static("session_id"), value.clone());
+            }
+            if include_client_request_id {
+                headers.insert(HeaderName::from_static("x-client-request-id"), value);
+            }
         }
 
         Ok(())
@@ -188,19 +316,22 @@ impl<S: Scheme> HttpTransport<S> {
         body: &serde_json::Value,
         headers: &mut HeaderMap,
     ) -> Result<RequestBody, ClientError> {
-        if !self.is_codex_backend() {
-            return Ok(RequestBody::Json(body.clone()));
+        match self.policy.request_body_encoding {
+            RequestBodyEncoding::Json => Ok(RequestBody::Json(body.clone())),
+            RequestBodyEncoding::ZstdJson => {
+                let raw = serde_json::to_vec(body)?;
+                let raw_json_bytes = raw.len();
+                let compressed =
+                    zstd::stream::encode_all(std::io::Cursor::new(raw), 3).map_err(|e| {
+                        ClientError::Config(format!("failed to zstd-compress request: {e}"))
+                    })?;
+                headers.insert(CONTENT_ENCODING, HeaderValue::from_static("zstd"));
+                Ok(RequestBody::CompressedJson {
+                    bytes: compressed,
+                    raw_json_bytes,
+                })
+            }
         }
-
-        let raw = serde_json::to_vec(body)?;
-        let raw_json_bytes = raw.len();
-        let compressed = zstd::stream::encode_all(std::io::Cursor::new(raw), 3)
-            .map_err(|e| ClientError::Config(format!("failed to zstd-compress request: {e}")))?;
-        headers.insert(CONTENT_ENCODING, HeaderValue::from_static("zstd"));
-        Ok(RequestBody::CompressedJson {
-            bytes: compressed,
-            raw_json_bytes,
-        })
     }
 }
 
@@ -300,13 +431,7 @@ fn api_error_code(error: &ClientError) -> Option<&str> {
 }
 
 fn is_context_length_exceeded(error: &ClientError) -> bool {
-    match error {
-        ClientError::Api { code, message, .. } => {
-            code.as_deref() == Some("context_length_exceeded")
-                || message.contains("context_length_exceeded")
-        }
-        _ => false,
-    }
+    matches!(error, ClientError::ContextWindowExceeded)
 }
 
 async fn response_with_timeout(
@@ -329,6 +454,7 @@ impl<S: Scheme + Clone> Clone for HttpTransport<S> {
             base_url: self.base_url.clone(),
             auth: self.auth.clone(),
             capability: self.capability.clone(),
+            policy: self.policy.clone(),
         }
     }
 }
@@ -355,6 +481,9 @@ async fn classify_error_response(resp: reqwest::Response) -> ClientError {
             .and_then(|v| v.as_str())
             .unwrap_or(&text)
             .to_string();
+        if code.as_deref() == Some("context_length_exceeded") {
+            return ClientError::ContextWindowExceeded;
+        }
         ClientError::Api {
             status: Some(status),
             code,
@@ -392,7 +521,8 @@ impl<S: Scheme + Clone + 'static> LlmClient for HttpTransport<S> {
                 "path": path,
                 "auth_kind": auth_kind(&self.auth),
                 "required_auth": format!("{:?}", self.scheme.required_auth()),
-                "codex_backend": self.is_codex_backend(),
+                "request_body_encoding": format!("{:?}", self.policy.request_body_encoding),
+                "conversation_headers": format!("{:?}", self.policy.conversation_headers),
                 "cache_key_present": request.cache_key.is_some(),
                 "stream_open_timeout_ms": DEFAULT_STREAM_OPEN_TIMEOUT.as_millis() as u64,
             }),
@@ -416,6 +546,7 @@ impl<S: Scheme + Clone + 'static> LlmClient for HttpTransport<S> {
                     json!({
                         "elapsed_ms": headers_started.elapsed().as_millis() as u64,
                         "headers_len": headers.len(),
+                        "headers": request_header_diagnostics(&headers),
                     }),
                 );
                 headers
@@ -451,6 +582,7 @@ impl<S: Scheme + Clone + 'static> LlmClient for HttpTransport<S> {
             json!({
                 "elapsed_ms": stream_headers_started.elapsed().as_millis() as u64,
                 "headers_len": headers.len(),
+                "headers": request_header_diagnostics(&headers),
             }),
         );
 
@@ -485,15 +617,19 @@ impl<S: Scheme + Clone + 'static> LlmClient for HttpTransport<S> {
                 return Err(error);
             }
         };
+        let final_request_headers = request_header_diagnostics(&headers);
+        let body_compression = request_body.encoding().to_string();
         emit_transport_trace(
             &request,
             "transport_body_encode_done",
             json!({
                 "elapsed_ms": encode_started.elapsed().as_millis() as u64,
-                "encoding": request_body.encoding(),
+                "encoding": body_compression.as_str(),
+                "body_compression": body_compression.as_str(),
                 "raw_json_bytes": request_body.raw_json_bytes(),
                 "wire_bytes": request_body.wire_bytes(),
                 "request_shape": body_shape.clone(),
+                "headers": final_request_headers.clone(),
             }),
         );
 
@@ -510,6 +646,7 @@ impl<S: Scheme + Clone + 'static> LlmClient for HttpTransport<S> {
                 .await
             {
                 Ok(response) => {
+                    let response_headers = response_header_diagnostics(response.headers());
                     emit_transport_trace(
                         &request,
                         "transport_http_headers_received",
@@ -517,6 +654,7 @@ impl<S: Scheme + Clone + 'static> LlmClient for HttpTransport<S> {
                             "elapsed_ms": send_started.elapsed().as_millis() as u64,
                             "status": response.status().as_u16(),
                             "success": response.status().is_success(),
+                            "headers": response_headers,
                         }),
                     );
                     response
@@ -549,6 +687,8 @@ impl<S: Scheme + Clone + 'static> LlmClient for HttpTransport<S> {
                     "context_length_exceeded": context_length_exceeded,
                     "provider_usage_absent": context_length_exceeded,
                     "request_shape": body_shape.clone(),
+                    "request_headers": final_request_headers.clone(),
+                    "body_compression": body_compression.as_str(),
                 }),
             );
             return Err(error);
@@ -563,6 +703,9 @@ impl<S: Scheme + Clone + 'static> LlmClient for HttpTransport<S> {
         );
 
         let scheme = self.scheme.clone();
+        let status = response.status().as_u16();
+        let response_headers = response_header_diagnostics(response.headers());
+        let transport_trace = request.transport_trace.clone();
         let byte_stream = response.bytes_stream().map_err(std::io::Error::other);
         let event_stream = byte_stream.eventsource();
 
@@ -575,7 +718,21 @@ impl<S: Scheme + Clone + 'static> LlmClient for HttpTransport<S> {
                     Ok(events) => Ok(events),
                     Err(e) => Err(e),
                 },
-                Err(e) => Err(ClientError::Sse(e.to_string())),
+                Err(e) => {
+                    let source = e.to_string();
+                    let message = sse_error_context(status, &response_headers, &source);
+                    if let Some(trace) = &transport_trace {
+                        trace.emit(
+                            "transport_sse_parse_error",
+                            json!({
+                                "status": status,
+                                "headers": response_headers.clone(),
+                                "error": source,
+                            }),
+                        );
+                    }
+                    Err(ClientError::Sse(message))
+                }
             })
             .map(|res| {
                 let s: Pin<Box<dyn Stream<Item = Result<Event, ClientError>> + Send>> = match res {
@@ -596,9 +753,7 @@ mod tests {
     use serde_json::json;
 
     #[derive(Debug)]
-    struct TestAuthProvider {
-        codex: bool,
-    }
+    struct TestAuthProvider;
 
     #[async_trait]
     impl AuthProvider for TestAuthProvider {
@@ -614,10 +769,6 @@ mod tests {
                 ),
             ])
         }
-
-        fn is_codex_backend(&self) -> bool {
-            self.codex
-        }
     }
 
     #[derive(Clone)]
@@ -675,6 +826,39 @@ mod tests {
         )
     }
 
+    #[test]
+    fn sse_error_context_includes_response_headers() {
+        let headers = json!({
+            "content_type": "application/octet-stream",
+            "content_encoding": "gzip",
+            "transfer_encoding": "chunked",
+            "content_length": "123",
+        });
+
+        let message = sse_error_context(200, &headers, "stream did not contain valid UTF-8");
+
+        assert!(message.contains("HTTP 200"));
+        assert!(message.contains("stream did not contain valid UTF-8"));
+        assert!(message.contains("content-type=application/octet-stream"));
+        assert!(message.contains("content-encoding=gzip"));
+        assert!(message.contains("transfer-encoding=chunked"));
+        assert!(message.contains("content-length=123"));
+    }
+
+    #[test]
+    fn response_header_diagnostics_redacts_to_safe_header_subset() {
+        let mut headers = HeaderMap::new();
+        headers.insert(CONTENT_TYPE, HeaderValue::from_static("text/event-stream"));
+        headers.insert(CONTENT_ENCODING, HeaderValue::from_static("identity"));
+        headers.insert("authorization", HeaderValue::from_static("Bearer secret"));
+
+        let diagnostics = response_header_diagnostics(&headers);
+
+        assert_eq!(diagnostics["content_type"], "text/event-stream");
+        assert_eq!(diagnostics["content_encoding"], "identity");
+        assert!(diagnostics.get("authorization").is_none());
+    }
+
     #[test]
     fn request_body_shape_counts_reasoning_encrypted_content() {
         let payload = request_body_shape_payload(&json!({
@@ -713,10 +897,9 @@ mod tests {
     }
 
     #[tokio::test]
-    async fn codex_backend_adds_conversation_headers_and_zstd_body() {
-        let transport = transport(ResolvedAuth::Custom(Arc::new(TestAuthProvider {
-            codex: true,
-        })));
+    async fn transport_policy_adds_conversation_headers_and_zstd_body() {
+        let transport = transport(ResolvedAuth::Custom(Arc::new(TestAuthProvider)))
+            .with_transport_policy(TransportPolicy::openai_compatible_zstd());
         let request = Request::new().user("hello").cache_key("segment-123");
         let mut headers = transport.build_headers().await.unwrap();
         transport
@@ -730,16 +913,32 @@ mod tests {
         let encoded = transport.encode_request_body(&body, &mut headers).unwrap();
 
         assert_eq!(headers.get(ACCEPT).unwrap(), "text/event-stream");
+        assert_eq!(headers.get("session-id").unwrap(), "segment-123");
+        assert_eq!(headers.get("thread-id").unwrap(), "segment-123");
         assert_eq!(headers.get("session_id").unwrap(), "segment-123");
         assert_eq!(headers.get("x-client-request-id").unwrap(), "segment-123");
         assert_eq!(headers.get(CONTENT_ENCODING).unwrap(), "zstd");
 
+        let diagnostics = request_header_diagnostics(&headers);
+        assert_eq!(diagnostics["content_type"], "application/json");
+        assert_eq!(diagnostics["content_encoding"], "zstd");
+        assert_eq!(diagnostics["accept"], "text/event-stream");
+        assert!(diagnostics["session_id_present"].as_bool().unwrap());
+        assert!(diagnostics["thread_id_present"].as_bool().unwrap());
+        assert!(diagnostics["legacy_session_id_present"].as_bool().unwrap());
+        assert!(
+            diagnostics["x_client_request_id_present"]
+                .as_bool()
+                .unwrap()
+        );
+        assert!(diagnostics["chatgpt_account_id_present"].as_bool().unwrap());
+
         let RequestBody::CompressedJson {
             bytes: compressed,
             raw_json_bytes,
         } = encoded
         else {
-            panic!("Codex backend request body must be zstd-compressed");
+            panic!("transport policy should zstd-compress request body");
         };
         assert!(raw_json_bytes > 0);
         let decoded = zstd::stream::decode_all(std::io::Cursor::new(compressed)).unwrap();
@@ -748,7 +947,7 @@ mod tests {
     }
 
     #[tokio::test]
-    async fn non_codex_request_does_not_get_codex_only_headers_or_compression() {
+    async fn standard_policy_does_not_get_conversation_headers_or_compression() {
         let transport = transport(ResolvedAuth::ApiKey("api-key".to_string()));
         let request = Request::new().user("hello").cache_key("segment-123");
         let mut headers = transport.build_headers().await.unwrap();
@@ -763,12 +962,14 @@ mod tests {
         let encoded = transport.encode_request_body(&body, &mut headers).unwrap();
 
         assert_eq!(headers.get(ACCEPT).unwrap(), "text/event-stream");
+        assert!(headers.get("session-id").is_none());
+        assert!(headers.get("thread-id").is_none());
         assert!(headers.get("session_id").is_none());
         assert!(headers.get("x-client-request-id").is_none());
         assert!(headers.get(CONTENT_ENCODING).is_none());
 
         let RequestBody::Json(decoded) = encoded else {
-            panic!("non-Codex request body must remain normal JSON");
+            panic!("standard transport policy should keep request body as JSON");
         };
         assert_eq!(decoded["prompt_cache_key"], "segment-123");
     }

crates/agen/src/llm_client/types.rs

@@ -1,6 +1,6 @@
 //! LLM Client Common Types
 //!
-//! Core conversation types for yoi's LLM interaction model.
+//! Core conversation types for LLM interaction.
 //! The core abstraction is `Item` which represents different types of conversation elements:
 //! - Message items (user/assistant messages with content parts)
 //! - ToolCall items (tool invocations)
@@ -9,12 +9,19 @@
 
 use std::{fmt, sync::Arc};
 
+use crate::tool::{Attachment, ToolResultDisposition};
+use base64::Engine as _;
 use serde::{Deserialize, Serialize};
 
 fn is_false(value: &bool) -> bool {
     !*value
 }
 
+pub(crate) fn image_data_url(media_type: &str, data: &[u8]) -> String {
+    let encoded = base64::engine::general_purpose::STANDARD.encode(data);
+    format!("data:{media_type};base64,{encoded}")
+}
+
 // ============================================================================
 // Item - The core unit of conversation
 // ============================================================================
@@ -62,7 +69,7 @@ impl fmt::Debug for RequestTrace {
 /// # Examples
 ///
 /// ```ignore
-/// use llm_worker::Item;
+/// use agen::Item;
 ///
 /// let user = Item::user_message("Hello!");
 /// let assistant = Item::assistant_message("Hi there!");
@@ -114,9 +121,15 @@ pub enum Item {
         /// Detailed output (removed by pruning when old enough)
         #[serde(default, skip_serializing_if = "Option::is_none")]
         content: Option<String>,
+        /// Typed terminal state used for replay and recovery.
+        #[serde(default, skip_serializing_if = "ToolResultDisposition::is_success")]
+        disposition: ToolResultDisposition,
         /// Whether the tool result represents an execution error.
         #[serde(default, skip_serializing_if = "is_false")]
         is_error: bool,
+        /// Durable binary details (removed with `content` by normal pruning).
+        #[serde(default, skip_serializing_if = "Vec::is_empty")]
+        attachments: Vec<Attachment>,
     },
 
     /// Reasoning/thinking item
@@ -251,12 +264,56 @@ impl Item {
         content: Option<String>,
         is_error: bool,
     ) -> Self {
+        Self::tool_result_item_with_disposition_and_attachments(
+            call_id,
+            summary,
+            content,
+            if is_error {
+                ToolResultDisposition::Error
+            } else {
+                ToolResultDisposition::Success
+            },
+            Vec::new(),
+        )
+    }
+
+    /// Create a tool result item with durable, prunable structured attachments.
+    pub fn tool_result_item_with_attachments(
+        call_id: impl Into<String>,
+        summary: impl Into<String>,
+        content: Option<String>,
+        is_error: bool,
+        attachments: Vec<Attachment>,
+    ) -> Self {
+        Self::tool_result_item_with_disposition_and_attachments(
+            call_id,
+            summary,
+            content,
+            if is_error {
+                ToolResultDisposition::Error
+            } else {
+                ToolResultDisposition::Success
+            },
+            attachments,
+        )
+    }
+
+    pub fn tool_result_item_with_disposition_and_attachments(
+        call_id: impl Into<String>,
+        summary: impl Into<String>,
+        content: Option<String>,
+        disposition: ToolResultDisposition,
+        attachments: Vec<Attachment>,
+    ) -> Self {
+        let is_error = !disposition.is_success();
         Self::ToolResult {
             id: None,
             call_id: call_id.into(),
             summary: summary.into(),
             content,
+            disposition,
             is_error,
+            attachments,
         }
     }
 
@@ -461,7 +518,7 @@ impl ContentPart {
         }
     }
 
-    /// Get the text content regardless of type
+    /// Get a textual projection of the content part.
     pub fn as_text(&self) -> &str {
         match self {
             Self::Text { text } => text,
@@ -521,9 +578,8 @@ pub struct Request {
     /// Providers without prompt caching ignore the field.
     pub cache_anchor: Option<usize>,
     /// 会話単位の安定キー。`prompt_cache_key` として送られる
-    /// (OpenAI Responses)。ChatGPT backend (codex-oauth) は明示キーが
-    /// 無いと org/project ハッシュ衝突でプロンプトキャッシュが
-    /// ほぼヒットしないため、pod 側で `SegmentId` を渡す運用を想定。
+    /// (OpenAI Responses)。明示キーを必要とする backend では、
+    /// 呼び出し側が安定した conversation identifier を渡す。
     /// `cache_anchor` と違い名前空間キーであり、`prefix anchor` とは
     /// 別の概念。`cache_anchor` を読まない provider と同じく、
     /// `prompt_cache_key` を持たない provider は無視する。

crates/agen/src/providers/codex/auth_json.rs

@@ -1,7 +1,7 @@
 //! `~/.codex/auth.json` の読み書き。
 //!
-//! Codex CLI と schema を共有するが、yoi は知らないフィールドを
-//! 失わないようファイル全体を `serde_json::Value` で保持し、必要箇所
+//! Codex CLI と schema を共有するが、知らないフィールドを失わないよう
+//! ファイル全体を `serde_json::Value` で保持し、必要箇所
 //! のみアクセスする。書込は `mode 0o600` を再設定（Codex CLI 同様）、
 //! ファイルロックは取らない（manager 側で guarded reload）。
 
@@ -106,7 +106,7 @@ pub async fn load(path: &Path) -> Result<AuthSnapshot, CodexAuthError> {
 /// 既存ファイルを再読込し、`tokens.{id_token,access_token,refresh_token}` と
 /// `last_refresh` を更新して書き戻す。Codex CLI の `persist_tokens` 相当。
 ///
-/// 並行する Codex CLI / 別 yoi プロセスが先に refresh していた場合の
+/// 並行する Codex CLI / 別プロセスが先に refresh していた場合の
 /// fields を保護するため、書込前に再 load して merge する。
 pub async fn persist_refreshed(
     path: &Path,

crates/agen/src/providers/codex/error.rs

@@ -6,7 +6,7 @@
 
 use std::path::PathBuf;
 
-use llm_worker::llm_client::ClientError;
+use crate::llm_client::ClientError;
 use thiserror::Error;
 
 #[derive(Debug, Error)]

crates/agen/src/providers/codex/mod.rs

@@ -4,11 +4,11 @@
 //!
 //! 設計:
 //!
-//! - llm-worker は [`AuthProvider`] trait しか知らず、実体である
-//!   [`CodexAuthProvider`] はこのクレートに置く（feedback_llm_worker_scope）
+//! - HTTP transport は [`AuthProvider`] trait だけを見て、実体である
+//!   [`CodexAuthProvider`] はこの optional module に置く
 //! - access_token JWT の `exp` を読み、`now` 以下で proactive refresh
 //!   （Codex CLI と同じバッファなし）
-//! - 並行する Codex CLI / 別 yoi の refresh と取り違えないよう、
+//! - 並行する Codex CLI / 別プロセスの refresh と取り違えないよう、
 //!   refresh 直前に再 load して account_id 一致を確認（guarded reload）
 //! - ファイルロックは取らず、書込前に再 load + diff merge で吸収
 //! - Codex の Keyring storage は対象外。auth.json 不在ならエラーで案内
@@ -21,9 +21,9 @@ mod refresh;
 use std::path::PathBuf;
 use std::sync::Arc;
 
+use crate::llm_client::{ClientError, auth::AuthProvider};
 use async_trait::async_trait;
 use chrono::{Duration, Utc};
-use llm_worker::llm_client::{ClientError, auth::AuthProvider};
 use reqwest::header::{HeaderName, HeaderValue};
 use tokio::sync::Mutex;
 
@@ -152,7 +152,7 @@ impl CodexAuthProvider {
             .map_err(|e| CodexAuthError::InvalidHeader(format!("ChatGPT-Account-Id: {e}")))?;
         out.push((HeaderName::from_static("chatgpt-account-id"), acc_val));
 
-        // Cloudflare WAF は ChatGPT backend アクセス元を `originator` /
+        // Cloudflare WAF は互換 backend アクセス元を `originator` /
         // `User-Agent` で識別する。Codex CLI が送る固定値を流用しないと
         // HTML challenge (403) を返されて SSE に到達できない。
         out.push((
@@ -188,10 +188,6 @@ impl AuthProvider for CodexAuthProvider {
             .map_err(CodexAuthError::to_client_error)?;
         Self::build_headers(&snap).map_err(CodexAuthError::to_client_error)
     }
-
-    fn is_codex_backend(&self) -> bool {
-        true
-    }
 }
 
 /// `access_token` の JWT `exp` を見て、期限切れなら true。

crates/agen/src/providers/codex/refresh.rs

@@ -80,7 +80,7 @@ async fn response_with_timeout(
         .await
         .map_err(|_| {
             CodexAuthError::RefreshTransient(format!(
-                "codex_oauth_refresh timed out after {}s",
+                "oauth_token_refresh timed out after {}s",
                 timeout.as_secs()
             ))
         })?

crates/agen/src/providers/mod.rs

@@ -0,0 +1,4 @@
+//! Optional built-in provider/backend helpers.
+
+#[cfg(feature = "codex")]
+pub mod codex;

crates/agen/src/prune.rs

@@ -8,8 +8,8 @@
 //!
 //! Prune は **コンテキスト射影** であり、history の変換ではない。
 //! この crate が提供するのは pure な候補抽出 [`prunable_indices`] のみで、
-//! 射影の適用は上位層（`pod::prune_hook` 等）が LLM に送る一時コンテキスト
-//! に対してだけ行う。Worker の永続履歴は決して変更されない。
+//! 射影の適用は LLM に送る一時コンテキストに対してだけ行う。
+//! Engine の永続履歴は決して変更されない。
 //!
 //! 保護境界は末尾 token budget で決めるが、この crate は usage 履歴を
 //! 所有しない。prefix ごとの token 推定値と savings 推定は上位層から
@@ -32,8 +32,8 @@ pub type TokenEstimator = Box<dyn Fn(&[Item]) -> Vec<TokenEstimate> + Send + Syn
 /// Callback that estimates the token savings for projecting the
 /// `ToolResult.content` out of `history[i]` for each `i` in `indices`.
 ///
-/// Injected into [`crate::Worker`] via `set_savings_estimator` so the
-/// Worker can make `min_savings` decisions without knowing about usage
+/// Injected into [`crate::Engine`] via `set_savings_estimator` so the
+/// Engine can make `min_savings` decisions without knowing about usage
 /// measurement sources. Return `0` to signal "no data / refuse to prune".
 ///
 /// 推定対象は「drop する範囲全体」ではなく「content を None にする差分」
@@ -44,7 +44,7 @@ pub type SavingsEstimator = Box<dyn Fn(&[Item], &[usize]) -> u64 + Send + Sync>;
 /// Result of one prune evaluation pass, surfaced to the optional
 /// [`PruneObserver`] for instrumentation.
 ///
-/// Worker は LLM リクエストごとに 1 回 prune の評価をし、その結果を
+/// Engine は LLM リクエストごとに 1 回 prune の評価をし、その結果を
 /// （observer が登録されていれば）この値で通知する。fire/skip の判定
 /// 結果と、判定材料になった候補数 / 推定 savings / 保護領域の先頭 index を持つ。
 #[derive(Debug, Clone)]
@@ -61,7 +61,7 @@ pub struct PruneEvaluation {
 }
 
 /// Outcome of one prune evaluation. Each variant is one branch of the
-/// "fire vs skip" decision tree the Worker walks before each LLM request.
+/// "fire vs skip" decision tree the Engine walks before each LLM request.
 #[derive(Debug, Clone, PartialEq, Eq)]
 pub enum PruneDecision {
     /// `prunable_indices` が空 → 何もしない。
@@ -75,7 +75,7 @@ pub enum PruneDecision {
 }
 
 /// Optional observer invoked after each prune evaluation, regardless of
-/// branch. Pod 等の上位層が install して metrics を発行する。
+/// branch. Callers can install this to publish metrics or traces.
 pub type PruneObserver = Box<dyn Fn(&PruneEvaluation) + Send + Sync>;
 
 /// Configuration for the Prune algorithm.
@@ -110,25 +110,30 @@ impl Default for PruneConfig {
     }
 }
 
-/// Set `content = None` on each `Item::ToolResult` at the given indices.
+/// Remove detailed text and attachments from each `Item::ToolResult` at the given indices.
 ///
-/// Returns the number of items that were actually modified — items that
-/// are already content-less are counted as 0. Intended for use on a
-/// request-context clone (never on a persistent history).
+/// The mandatory summary remains. Returns the number of items that were actually
+/// modified — results that already contain no detail are counted as 0. Intended
+/// for use on a request-context clone (never on a persistent history).
 pub fn project(items: &mut [Item], indices: &[usize]) -> usize {
     let mut count = 0;
     for &i in indices {
-        if let Item::ToolResult { content, .. } = &mut items[i]
-            && content.is_some()
+        if let Item::ToolResult {
+            content,
+            attachments,
+            ..
+        } = &mut items[i]
+            && (content.is_some() || !attachments.is_empty())
         {
             *content = None;
+            attachments.clear();
             count += 1;
         }
     }
     count
 }
 
-/// Indices of `Item::ToolResult { content: Some(_), .. }` that lie before
+/// Indices of detailed `Item::ToolResult` values that lie before
 /// the suffix protected by `protected_tokens`. Pure: does not mutate `items`.
 ///
 /// Returns an empty vector when token estimates are unavailable (`NoData`) or
@@ -159,8 +164,10 @@ pub fn evaluate_candidates(
         .enumerate()
         .filter_map(|(i, item)| match item {
             Item::ToolResult {
-                content: Some(_), ..
-            } => Some(i),
+                content,
+                attachments,
+                ..
+            } if content.is_some() || !attachments.is_empty() => Some(i),
             _ => None,
         })
         .collect();
@@ -373,6 +380,38 @@ mod tests {
         }
     }
 
+    #[test]
+    fn project_drops_image_detail_but_keeps_summary_and_persistent_source() {
+        let original = vec![Item::tool_result_item_with_attachments(
+            "call_image",
+            "Attached image/png image (12 bytes)",
+            None,
+            false,
+            vec![crate::tool::Attachment::Image(
+                crate::tool::ImageAttachment::new("image/png", b"image-body".to_vec()),
+            )],
+        )];
+        let mut request_context = original.clone();
+
+        let estimates = uniform_estimates(&original, 100);
+        assert_eq!(prunable_indices(&original, 0, &estimates), vec![0]);
+
+        assert_eq!(project(&mut request_context, &[0]), 1);
+        assert!(matches!(
+            &request_context[0],
+            Item::ToolResult {
+                summary,
+                content: None,
+                attachments,
+                ..
+            } if summary == "Attached image/png image (12 bytes)" && attachments.is_empty()
+        ));
+        assert!(matches!(
+            &original[0],
+            Item::ToolResult { attachments, .. } if attachments.len() == 1
+        ));
+    }
+
     #[test]
     fn project_skips_already_pruned_items() {
         // indices points at an item whose content is already None.

crates/agen/src/state.rs

@@ -1,12 +1,12 @@
-//! Worker State
+//! Engine State
 //!
 //! State marker types for cache protection using the Type-state pattern.
-//! Worker has state transitions from `Mutable` → `Locked`.
+//! Engine has state transitions from `Mutable` → `Locked`.
 
-/// Marker trait representing Worker state
+/// Marker trait representing Engine state
 ///
 /// This trait is sealed and cannot be implemented externally.
-pub trait WorkerState: private::Sealed + Send + Sync + 'static {}
+pub trait EngineState: private::Sealed + Send + Sync + 'static {}
 
 mod private {
     pub trait Sealed {}
@@ -19,28 +19,28 @@ mod private {
 /// - Editing message history (add, delete, clear)
 /// - Registering tools and hooks
 ///
-/// Can transition to [`Locked`] state via `Worker::lock()`.
+/// Can transition to [`Locked`] state via `Engine::lock(&history)`.
 ///
 /// # Examples
 ///
 /// ```ignore
-/// use llm_worker::Worker;
+/// use agen::Engine;
 ///
-/// let mut worker = Worker::new(client)
+/// let mut engine = Engine::new(client)
 ///     .system_prompt("You are helpful.");
 ///
 /// // History can be edited
-/// worker.push_message(Message::user("Hello"));
-/// worker.clear_history();
+/// engine.push_message(Message::user("Hello"));
+/// engine.clear_history();
 ///
 /// // Lock to protected state
-/// let locked = worker.lock();
+/// let locked = engine.lock();
 /// ```
 #[derive(Debug, Clone, Copy, Default)]
 pub struct Mutable;
 
 impl private::Sealed for Mutable {}
-impl WorkerState for Mutable {}
+impl EngineState for Mutable {}
 
 /// Cache locked state (cache protected)
 ///
@@ -51,10 +51,10 @@ impl WorkerState for Mutable {}
 /// To ensure LLM API KV cache hits,
 /// using this state during execution is recommended.
 ///
-/// Can return to [`Mutable`] state via `Worker::unlock()`,
+/// Can return to [`Mutable`] state via `Engine::unlock()`,
 /// but note that cache protection will be released.
 #[derive(Debug, Clone, Copy, Default)]
 pub struct Locked;
 
 impl private::Sealed for Locked {}
-impl WorkerState for Locked {}
+impl EngineState for Locked {}

crates/agen/src/timeline/timeline.rs

@@ -1,7 +1,7 @@
 //! Timeline層
 //!
 //! LLMからのイベントストリームを受信し、登録されたHandlerにディスパッチします。
-//! 通常はWorker経由で使用しますが、直接使用することも可能です。
+//! 通常はEngine経由で使用しますが、直接使用することも可能です。
 
 use std::{collections::HashMap, marker::PhantomData};
 
@@ -348,7 +348,7 @@ where
 /// # Examples
 ///
 /// ```ignore
-/// use llm_worker::{Timeline, Handler, TextBlockKind, TextBlockEvent};
+/// use agen::{Timeline, Handler, TextBlockKind, TextBlockEvent};
 ///
 /// struct MyHandler;
 /// impl Handler<TextBlockKind> for MyHandler {

crates/agen/src/timeline/tool_call_collector.rs

@@ -130,13 +130,13 @@ mod tests {
         let mut timeline = Timeline::new();
         timeline.on_tool_use_block(collector.clone());
 
-        timeline.dispatch(&Event::tool_use_start(0, "tool_empty", "ListPods"));
+        timeline.dispatch(&Event::tool_use_start(0, "tool_empty", "ListItems"));
         timeline.dispatch(&Event::tool_use_stop(0));
 
         let calls = collector.take_collected();
         assert_eq!(calls.len(), 1);
         assert_eq!(calls[0].id, "tool_empty");
-        assert_eq!(calls[0].name, "ListPods");
+        assert_eq!(calls[0].name, "ListItems");
         assert!(calls[0].input.is_object());
         assert_eq!(
             calls[0].input,

crates/agen/src/tool.rs

@@ -0,0 +1,753 @@
+//! Tool Definition
+//!
+//! Traits for defining tools callable by LLM.
+//! Usually auto-implemented using the `#[tool]` macro.
+
+use std::{
+    collections::HashMap,
+    fmt,
+    future::Future,
+    pin::Pin,
+    sync::Arc,
+    task::{Context, Poll},
+};
+
+use async_trait::async_trait;
+use base64::{Engine as _, engine::general_purpose::STANDARD};
+use serde::{Deserialize, Deserializer, Serialize, Serializer, de::Error as _};
+use serde_json::Value;
+use thiserror::Error;
+
+/// Error during tool execution
+#[derive(Debug, Error)]
+pub enum ToolError {
+    /// Invalid argument
+    #[error("Invalid argument: {0}")]
+    InvalidArgument(String),
+    /// Execution failed
+    #[error("Execution failed: {0}")]
+    ExecutionFailed(String),
+    /// Internal error
+    #[error("Internal error: {0}")]
+    Internal(String),
+    /// Cooperative cancellation completed with bounded terminal output.
+    #[error("Tool execution cancelled")]
+    Cancelled(ToolOutput),
+    /// Execution was interrupted with a confirmed bounded terminal output.
+    #[error("Tool execution interrupted")]
+    Interrupted(ToolOutput),
+}
+
+// =============================================================================
+// ToolOutput - Tool execution result with summary + content
+// =============================================================================
+
+/// Threshold below which tool output is treated as summary-only (no content).
+/// Outputs this small don't benefit from pruning.
+pub const SUMMARY_THRESHOLD: usize = 200;
+
+/// Byte-size caps applied to tool execution `content` at the Engine's
+/// tool-execution boundary, before results enter conversation history.
+///
+/// Exists so a single oversized tool result (e.g. a wide `Glob` scan)
+/// cannot blow past the provider's per-minute input-token rate limit.
+/// Individual tools are not trusted to self-limit — this is the single
+/// chokepoint.
+///
+/// The unit is bytes rather than tokens because accurate pre-send token
+/// estimation is not available. The limits can be migrated to token
+/// units later without changing callers.
+#[derive(Debug, Clone)]
+pub struct ToolOutputLimits {
+    /// Cap applied to any tool not listed in `per_tool`.
+    pub default_max_bytes: usize,
+    /// Per-tool overrides, keyed by tool registration name.
+    pub per_tool: HashMap<String, usize>,
+}
+
+impl ToolOutputLimits {
+    /// Resolve the cap for a given tool name.
+    pub fn limit_for(&self, tool_name: &str) -> usize {
+        self.per_tool
+            .get(tool_name)
+            .copied()
+            .unwrap_or(self.default_max_bytes)
+    }
+}
+
+/// Truncate `content` in-place if it exceeds `limit` bytes, replacing
+/// the dropped tail with a short human- and LLM-readable marker so the
+/// model can self-correct by narrowing its query.
+///
+/// The cut point is walked back to the nearest UTF-8 char boundary so
+/// multibyte characters are never split.
+pub(crate) fn truncate_content(content: &mut String, limit: usize) {
+    let original_len = content.len();
+    if original_len <= limit {
+        return;
+    }
+
+    let suffix_template = "\n\n[truncated: %BYTES% bytes dropped, refine your query]";
+    // Reserve enough headroom for the suffix (upper bound on the byte length
+    // of the number substitution). usize::MAX fits in 20 digits.
+    let reserved = suffix_template.len() + 20 - "%BYTES%".len();
+    let body_budget = limit.saturating_sub(reserved);
+
+    let mut cut = body_budget.min(original_len);
+    while cut > 0 && !content.is_char_boundary(cut) {
+        cut -= 1;
+    }
+    content.truncate(cut);
+    let dropped = original_len - cut;
+    content.push_str(&suffix_template.replace("%BYTES%", &dropped.to_string()));
+}
+
+#[derive(Clone, PartialEq, Eq)]
+pub struct ImageAttachment {
+    mime_type: String,
+    data: Arc<[u8]>,
+}
+
+impl ImageAttachment {
+    pub fn new(mime_type: impl Into<String>, data: impl Into<Arc<[u8]>>) -> Self {
+        Self {
+            mime_type: mime_type.into(),
+            data: data.into(),
+        }
+    }
+
+    pub fn mime_type(&self) -> &str {
+        &self.mime_type
+    }
+
+    pub fn data(&self) -> &[u8] {
+        &self.data
+    }
+}
+
+impl fmt::Debug for ImageAttachment {
+    fn fmt(&self, f: &mut fmt::Formatter<'_>) -> fmt::Result {
+        f.debug_struct("ImageAttachment")
+            .field("mime_type", &self.mime_type)
+            .field("bytes", &self.data.len())
+            .finish()
+    }
+}
+
+#[derive(Serialize, Deserialize)]
+struct ImageAttachmentWire {
+    mime_type: String,
+    data: String,
+}
+
+impl Serialize for ImageAttachment {
+    fn serialize<S>(&self, serializer: S) -> Result<S::Ok, S::Error>
+    where
+        S: Serializer,
+    {
+        ImageAttachmentWire {
+            mime_type: self.mime_type.clone(),
+            data: STANDARD.encode(self.data.as_ref()),
+        }
+        .serialize(serializer)
+    }
+}
+
+impl<'de> Deserialize<'de> for ImageAttachment {
+    fn deserialize<D>(deserializer: D) -> Result<Self, D::Error>
+    where
+        D: Deserializer<'de>,
+    {
+        let wire = ImageAttachmentWire::deserialize(deserializer)?;
+        let data = STANDARD.decode(wire.data).map_err(D::Error::custom)?;
+        Ok(Self::new(wire.mime_type, data))
+    }
+}
+
+/// Durable binary detail emitted by a tool and handled by normal ToolResult pruning.
+#[derive(Debug, Clone, PartialEq, Eq, Serialize, Deserialize)]
+#[serde(tag = "type", content = "payload", rename_all = "snake_case")]
+pub enum Attachment {
+    Image(ImageAttachment),
+}
+
+/// Terminal disposition of one started tool call.
+///
+/// `Cancelled` means the tool confirmed cancellation. `OutcomeUnknown` means
+/// execution stopped without confirmation, so neither completion nor side
+/// effects may be inferred.
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Serialize, Deserialize, Default)]
+#[serde(rename_all = "snake_case")]
+pub enum ToolResultDisposition {
+    #[default]
+    Success,
+    Error,
+    Interrupted,
+    Cancelled,
+    OutcomeUnknown,
+}
+
+impl ToolResultDisposition {
+    pub const fn is_success(&self) -> bool {
+        matches!(self, Self::Success)
+    }
+}
+
+/// Tool execution result.
+///
+/// Every output has a mandatory `summary` (1-2 lines) that persists in
+/// conversation history even after pruning. Optional text and binary details are
+/// committed to history and may later be omitted only by normal ToolResult pruning.
+#[derive(Debug, Clone, Serialize, Deserialize)]
+pub struct ToolOutput {
+    /// Short summary (1-2 lines). Always remains in history.
+    pub summary: String,
+    /// Detailed text output. Removed by Prune when old enough.
+    #[serde(default, skip_serializing_if = "Option::is_none")]
+    pub content: Option<String>,
+    /// Durable binary details handled by the same pruning lifecycle as `content`.
+    #[serde(default, skip_serializing_if = "Vec::is_empty")]
+    pub attachments: Vec<Attachment>,
+}
+
+impl From<String> for ToolOutput {
+    fn from(s: String) -> Self {
+        if s.len() <= SUMMARY_THRESHOLD {
+            ToolOutput {
+                summary: s,
+                content: None,
+                attachments: Vec::new(),
+            }
+        } else {
+            let lines = s.lines().count();
+            let first_line: String = s.lines().next().unwrap_or("").chars().take(80).collect();
+            let summary = format!("{lines} lines | {first_line}…");
+            ToolOutput {
+                summary,
+                content: Some(s),
+                attachments: Vec::new(),
+            }
+        }
+    }
+}
+
+// =============================================================================
+// ToolMeta - Immutable Meta Information
+// =============================================================================
+
+/// Origin metadata for a registered tool.
+///
+/// This metadata is intentionally not part of the provider-facing tool schema.
+/// It lets host layers audit where a model-visible tool definition came from
+/// while keeping execution and permission semantics in the normal Engine path.
+#[derive(Debug, Clone, PartialEq, Eq, Serialize, Deserialize)]
+pub struct ToolOrigin {
+    /// Origin kind, for example `plugin` or `builtin`.
+    pub kind: String,
+    /// Package-local plugin id.
+    pub plugin_id: String,
+    /// Source-qualified plugin/package reference when `kind == "plugin"`.
+    pub plugin_ref: String,
+    /// Plugin source such as `user`, `project`, or `builtin`.
+    pub source: String,
+    /// Resolved package digest.
+    pub digest: String,
+    /// Resolved package version.
+    pub package_version: String,
+    /// Plugin API/schema version declared by the package.
+    pub package_api_version: u32,
+    /// Surface that contributed this tool. Plugin tools use `tool`.
+    pub surface: String,
+}
+
+/// Tool meta information (fixed at registration, immutable)
+///
+/// Generated from `ToolDefinition` factory and does not change after registration with Engine.
+/// Used for sending tool definitions to LLM.
+#[derive(Debug, Clone, PartialEq, Eq)]
+pub struct ToolMeta {
+    /// Tool name (used by LLM for identification)
+    pub name: String,
+    /// Tool description (included in prompt to LLM)
+    pub description: String,
+    /// JSON Schema for arguments
+    pub input_schema: Value,
+    /// Optional host-side origin metadata. This is not exposed to the LLM.
+    pub origin: Option<ToolOrigin>,
+}
+
+impl ToolMeta {
+    /// Create a new ToolMeta
+    pub fn new(name: impl Into<String>) -> Self {
+        Self {
+            name: name.into(),
+            description: String::new(),
+            input_schema: Value::Object(Default::default()),
+            origin: None,
+        }
+    }
+
+    /// Set the description
+    pub fn description(mut self, desc: impl Into<String>) -> Self {
+        self.description = desc.into();
+        self
+    }
+
+    /// Set the argument schema
+    pub fn input_schema(mut self, schema: Value) -> Self {
+        self.input_schema = schema;
+        self
+    }
+
+    /// Set host-side origin metadata.
+    pub fn origin(mut self, origin: ToolOrigin) -> Self {
+        self.origin = Some(origin);
+        self
+    }
+}
+
+// =============================================================================
+// ToolDefinition - Factory Type
+// =============================================================================
+
+/// Tool definition factory
+///
+/// When called, returns `(ToolMeta, Arc<dyn Tool>)`.
+/// Called once during Engine registration, and the meta information and instance
+/// are cached at session scope.
+///
+/// # Examples
+///
+/// ```ignore
+/// let def: ToolDefinition = Arc::new(|| {
+///     (
+///         ToolMeta::new("my_tool")
+///             .description("My tool description")
+///             .input_schema(json!({"type": "object"})),
+///         Arc::new(MyToolImpl { state: 0 }) as Arc<dyn Tool>,
+///     )
+/// });
+/// engine.register_tool(def)?;
+/// ```
+pub type ToolDefinition = Arc<dyn Fn() -> (ToolMeta, Arc<dyn Tool>) + Send + Sync>;
+
+/// Per-call context supplied by the engine when executing a tool call.
+///
+/// The context identifies a tool call within one assistant response's tool-call
+/// batch without imposing any scheduling policy on the engine. Tool
+/// implementations may use it for response-local ordering, diagnostics, or
+/// correlation, but it is intentionally not a handle to engine state, history,
+/// or session mutation.
+#[derive(Debug, Clone, PartialEq, Eq)]
+pub struct ToolExecutionContext {
+    /// Provider/tool-call id for the call being executed.
+    pub call_id: String,
+    /// Engine-local identity shared by all tool calls from one execution batch.
+    pub batch_id: String,
+    /// Zero-based order of this call in the model-returned tool-call list.
+    pub call_index: usize,
+}
+
+impl ToolExecutionContext {
+    pub fn new(call_id: impl Into<String>, batch_id: impl Into<String>, call_index: usize) -> Self {
+        Self {
+            call_id: call_id.into(),
+            batch_id: batch_id.into(),
+            call_index,
+        }
+    }
+
+    /// Identifies one live execution attempt without making the batch id a durable
+    /// replay or idempotency authority.
+    pub fn execution_id(&self) -> String {
+        format!("{}:{}", self.batch_id, self.call_id)
+    }
+
+    /// Context for direct, non-engine calls in unit tests and low-level callers.
+    pub fn direct() -> Self {
+        Self::new("direct", "direct", 0)
+    }
+}
+
+impl Default for ToolExecutionContext {
+    fn default() -> Self {
+        Self::direct()
+    }
+}
+
+/// The provider-confirmed terminal result of one started tool execution.
+///
+/// `OutcomeUnknown` is reserved for an execution task that had to be force-closed
+/// or failed before the provider could confirm its terminal result.
+#[derive(Debug)]
+pub enum ToolExecutionTerminal {
+    Confirmed(Result<ToolOutput, ToolError>),
+    OutcomeUnknown,
+}
+
+/// The completion future paired with a [`ToolExecutionHandle`]. Dropping this
+/// future does not drop the provider execution: the spawned execution remains
+/// owned by its handle until it completes or is explicitly force-closed.
+pub struct ToolExecutionTerminalFuture {
+    task: tokio::task::JoinHandle<Result<ToolOutput, ToolError>>,
+}
+
+impl Future for ToolExecutionTerminalFuture {
+    type Output = ToolExecutionTerminal;
+
+    fn poll(mut self: Pin<&mut Self>, cx: &mut Context<'_>) -> Poll<Self::Output> {
+        match Pin::new(&mut self.task).poll(cx) {
+            Poll::Ready(Ok(result)) => Poll::Ready(ToolExecutionTerminal::Confirmed(result)),
+            Poll::Ready(Err(_)) => Poll::Ready(ToolExecutionTerminal::OutcomeUnknown),
+            Poll::Pending => Poll::Pending,
+        }
+    }
+}
+
+/// Live ownership and control for one started tool execution.
+///
+/// Execution, cancellation, and terminal confirmation remain provider-owned:
+/// this handle starts `Tool::execute`, delegates cooperative cancellation to
+/// `Tool::cancel_execution`, and treats execution-future completion as the
+/// provider's terminal confirmation. Agen may force-close only after its caller's
+/// deadline expires, at which point the outcome is necessarily unknown.
+#[derive(Clone)]
+pub struct ToolExecutionHandle {
+    inner: Arc<ToolExecutionHandleInner>,
+}
+
+struct ToolExecutionHandleInner {
+    tool: Arc<dyn Tool>,
+    context: ToolExecutionContext,
+    abort: tokio::task::AbortHandle,
+}
+
+impl Drop for ToolExecutionHandleInner {
+    fn drop(&mut self) {
+        // Losing the final live owner is an explicit forced close, never a
+        // best-effort detached provider future.
+        self.abort.abort();
+    }
+}
+
+impl fmt::Debug for ToolExecutionHandle {
+    fn fmt(&self, f: &mut fmt::Formatter<'_>) -> fmt::Result {
+        f.debug_struct("ToolExecutionHandle")
+            .field("call_id", &self.inner.context.call_id)
+            .field("batch_id", &self.inner.context.batch_id)
+            .finish_non_exhaustive()
+    }
+}
+
+impl ToolExecutionHandle {
+    pub fn start(
+        tool: Arc<dyn Tool>,
+        input_json: String,
+        context: ToolExecutionContext,
+    ) -> (Self, ToolExecutionTerminalFuture) {
+        let execution_tool = Arc::clone(&tool);
+        let execution_context = context.clone();
+        let task =
+            tokio::spawn(
+                async move { execution_tool.execute(&input_json, execution_context).await },
+            );
+        let abort = task.abort_handle();
+        (
+            Self {
+                inner: Arc::new(ToolExecutionHandleInner {
+                    tool,
+                    context,
+                    abort,
+                }),
+            },
+            ToolExecutionTerminalFuture { task },
+        )
+    }
+
+    pub fn context(&self) -> &ToolExecutionContext {
+        &self.inner.context
+    }
+
+    pub async fn cancel_before(&self, deadline: tokio::time::Instant) -> Result<(), ToolError> {
+        match tokio::time::timeout_at(
+            deadline,
+            self.inner.tool.cancel_execution(&self.inner.context),
+        )
+        .await
+        {
+            Ok(result) => result,
+            Err(_) => Err(ToolError::Internal(format!(
+                "tool cancellation request exceeded its deadline for call {}",
+                self.inner.context.call_id
+            ))),
+        }
+    }
+
+    pub fn force_close(&self) {
+        self.inner.abort.abort();
+    }
+}
+
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+pub struct ToolExecutionPolicy {
+    /// Time a pause waits for already-started providers to reach a natural safe
+    /// boundary before escalating to explicit cooperative cancellation.
+    pub pause_safe_boundary_timeout: std::time::Duration,
+    /// Maximum time allowed for a provider to accept one cooperative
+    /// cancellation request.
+    pub cancellation_request_timeout: std::time::Duration,
+    /// Maximum time allowed for all providers to confirm terminal results after
+    /// cancellation has been requested.
+    pub terminal_confirmation_timeout: std::time::Duration,
+}
+
+impl Default for ToolExecutionPolicy {
+    fn default() -> Self {
+        Self {
+            pause_safe_boundary_timeout: std::time::Duration::from_millis(100),
+            cancellation_request_timeout: std::time::Duration::from_millis(100),
+            terminal_confirmation_timeout: std::time::Duration::from_millis(500),
+        }
+    }
+}
+
+// =============================================================================
+// Tool trait
+// =============================================================================
+
+/// Trait for defining tools callable by LLM
+///
+/// Tools are used by LLM to access external resources
+/// or execute computations.
+/// Can maintain state during the session.
+///
+/// # How to Implement
+///
+/// Usually auto-implemented using the `#[tool_registry]` macro:
+///
+/// ```ignore
+/// #[tool_registry]
+/// impl MyApp {
+///     #[tool]
+///     async fn search(&self, query: String) -> String {
+///         format!("Results for: {}", query)
+///     }
+/// }
+///
+/// // Register
+/// engine.register_tool(app.search_definition())?;
+/// ```
+///
+/// # Manual Implementation
+///
+/// ```ignore
+/// use agen::tool::{Tool, ToolError, ToolExecutionContext, ToolMeta, ToolDefinition, ToolOutput};
+/// use std::sync::Arc;
+///
+/// struct MyTool { counter: std::sync::atomic::AtomicUsize }
+///
+/// #[async_trait::async_trait]
+/// impl Tool for MyTool {
+///     async fn execute(&self, input: &str, ctx: ToolExecutionContext) -> Result<ToolOutput, ToolError> {
+///         self.counter.fetch_add(1, std::sync::atomic::Ordering::SeqCst);
+///         Ok(format!("call {}: {}", ctx.call_index, input).into())
+///     }
+/// }
+///
+/// let def: ToolDefinition = Arc::new(|| {
+///     (
+///         ToolMeta::new("my_tool")
+///             .description("My custom tool")
+///             .input_schema(serde_json::json!({"type": "object"})),
+///         Arc::new(MyTool { counter: Default::default() }) as Arc<dyn Tool>,
+///     )
+/// });
+/// ```
+#[async_trait]
+pub trait Tool: Send + Sync {
+    /// Execute the tool.
+    ///
+    /// # Arguments
+    /// * `input_json` - JSON-formatted arguments generated by LLM
+    /// * `ctx` - response-local call identity and ordering context
+    ///
+    /// # Returns
+    /// A [`ToolOutput`] with summary and optional detailed content.
+    /// For simple cases, use `From<String>`: `Ok("done".to_string().into())`
+    async fn execute(
+        &self,
+        input_json: &str,
+        ctx: ToolExecutionContext,
+    ) -> Result<ToolOutput, ToolError>;
+
+    /// Request cooperative cancellation for one started call.
+    ///
+    /// Implementations that own cancellable provider operations should signal
+    /// every live execution identified by `call_id`, then let `execute` return
+    /// the confirmed bounded terminal output. Direct callers may use this
+    /// compatibility surface; Agen uses [`Tool::cancel_execution`] so providers
+    /// can bind cancellation to one exact live attempt.
+    async fn cancel(&self, _call_id: &str) -> Result<(), ToolError> {
+        Ok(())
+    }
+
+    /// Request cooperative cancellation for one exact started execution.
+    ///
+    /// The default preserves existing tools by delegating to `cancel(call_id)`.
+    /// Providers with their own execution registry should override this method
+    /// and key cancellation by [`ToolExecutionContext::execution_id`].
+    async fn cancel_execution(&self, ctx: &ToolExecutionContext) -> Result<(), ToolError> {
+        self.cancel(&ctx.call_id).await
+    }
+}
+
+// =============================================================================
+// Tool Call / Result Types
+// =============================================================================
+
+/// Tool call information
+///
+/// Represents a ToolUse block from LLM.
+#[derive(Debug, Clone, Serialize, Deserialize)]
+pub struct ToolCall {
+    /// Tool call ID (used for linking with response)
+    pub id: String,
+    /// Tool name
+    pub name: String,
+    /// Input arguments (JSON)
+    pub input: Value,
+}
+
+/// Tool execution result
+///
+/// Intermediate representation between tool execution and history.
+/// Carries `summary` + optional `content` from [`ToolOutput`].
+#[derive(Debug, Clone, Serialize, Deserialize, PartialEq, Eq)]
+pub struct ToolResult {
+    /// Corresponding tool call ID
+    pub tool_use_id: String,
+    /// Typed terminal state.
+    #[serde(default, skip_serializing_if = "ToolResultDisposition::is_success")]
+    pub disposition: ToolResultDisposition,
+    /// Short summary (always kept in history)
+    pub summary: String,
+    /// Detailed output (prunable)
+    #[serde(default, skip_serializing_if = "Option::is_none")]
+    pub content: Option<String>,
+    /// Whether this is an error
+    #[serde(default)]
+    pub is_error: bool,
+    /// Durable binary details (prunable with `content`).
+    #[serde(default, skip_serializing_if = "Vec::is_empty")]
+    pub attachments: Vec<Attachment>,
+}
+
+impl ToolResult {
+    /// Create a success result from a [`ToolOutput`].
+    pub fn from_output(tool_use_id: impl Into<String>, output: ToolOutput) -> Self {
+        Self::from_output_with_disposition(tool_use_id, output, ToolResultDisposition::Success)
+    }
+
+    pub fn from_output_with_disposition(
+        tool_use_id: impl Into<String>,
+        output: ToolOutput,
+        disposition: ToolResultDisposition,
+    ) -> Self {
+        Self {
+            tool_use_id: tool_use_id.into(),
+            disposition,
+            summary: output.summary,
+            content: output.content,
+            is_error: !disposition.is_success(),
+            attachments: output.attachments,
+        }
+    }
+
+    /// Create an error result.
+    pub fn error(tool_use_id: impl Into<String>, message: impl Into<String>) -> Self {
+        Self {
+            tool_use_id: tool_use_id.into(),
+            disposition: ToolResultDisposition::Error,
+            summary: message.into(),
+            content: None,
+            is_error: true,
+            attachments: Vec::new(),
+        }
+    }
+
+    /// Close an execution whose completion and side effects cannot be confirmed.
+    pub fn outcome_unknown(tool_use_id: impl Into<String>) -> Self {
+        Self {
+            tool_use_id: tool_use_id.into(),
+            disposition: ToolResultDisposition::OutcomeUnknown,
+            summary: "Tool execution outcome unknown".to_string(),
+            content: Some(
+                "Execution was interrupted before completion could be confirmed. Completion and side effects are unknown."
+                    .to_string(),
+            ),
+            is_error: true,
+            attachments: Vec::new(),
+        }
+    }
+}
+
+#[cfg(test)]
+mod truncate_tests {
+    use super::*;
+
+    #[test]
+    fn noop_when_within_limit() {
+        let mut s = "hello world".to_string();
+        truncate_content(&mut s, 1024);
+        assert_eq!(s, "hello world");
+    }
+
+    #[test]
+    fn noop_at_exact_limit() {
+        let mut s = "a".repeat(100);
+        truncate_content(&mut s, 100);
+        assert_eq!(s.len(), 100);
+    }
+
+    #[test]
+    fn truncates_oversized_ascii_with_marker() {
+        let mut s = "a".repeat(1000);
+        truncate_content(&mut s, 200);
+        assert!(s.contains("[truncated:"));
+        assert!(s.contains("refine your query"));
+        assert!(s.len() <= 200, "result was {} bytes", s.len());
+        let dropped: usize = s
+            .split("[truncated: ")
+            .nth(1)
+            .unwrap()
+            .split(' ')
+            .next()
+            .unwrap()
+            .parse()
+            .unwrap();
+        let body_len = s.find("\n\n[truncated:").unwrap();
+        assert_eq!(body_len + dropped, 1000);
+    }
+
+    #[test]
+    fn respects_utf8_char_boundaries() {
+        // 100 copies of "あ" (3 bytes each) = 300 bytes.
+        let mut s = "あ".repeat(100);
+        truncate_content(&mut s, 120);
+        // Truncation must not split a multibyte character.
+        assert!(s.is_char_boundary(s.find("\n\n[truncated:").unwrap_or(s.len())));
+        // And the result must still be valid UTF-8 (implicitly true for String).
+        assert!(s.contains("[truncated:"));
+    }
+
+    #[test]
+    fn limits_per_tool_override() {
+        let mut limits = ToolOutputLimits {
+            default_max_bytes: 1024,
+            per_tool: HashMap::new(),
+        };
+        limits.per_tool.insert("Read".to_string(), 4096);
+        assert_eq!(limits.limit_for("Read"), 4096);
+        assert_eq!(limits.limit_for("Grep"), 1024);
+    }
+}

crates/agen/src/tool_server.rs

@@ -4,7 +4,9 @@ use std::sync::{Arc, Mutex};
 use thiserror::Error;
 
 use crate::llm_client::ToolDefinition as LlmToolDefinition;
-use crate::tool::{Tool, ToolDefinition as WorkerToolDefinition, ToolMeta, ToolOutput};
+use crate::tool::{
+    Tool, ToolDefinition as EngineToolDefinition, ToolExecutionContext, ToolMeta, ToolOutput,
+};
 
 type ToolMap = HashMap<String, (ToolMeta, Arc<dyn Tool>)>;
 
@@ -26,7 +28,7 @@ pub enum ToolServerError {
 #[derive(Clone, Default)]
 pub struct ToolServer {
     tools: Arc<Mutex<ToolMap>>,
-    pending: Arc<Mutex<Vec<WorkerToolDefinition>>>,
+    pending: Arc<Mutex<Vec<EngineToolDefinition>>>,
 }
 
 impl ToolServer {
@@ -48,7 +50,7 @@ impl ToolServer {
 #[derive(Clone, Default)]
 pub struct ToolServerHandle {
     tools: Arc<Mutex<ToolMap>>,
-    pending: Arc<Mutex<Vec<WorkerToolDefinition>>>,
+    pending: Arc<Mutex<Vec<EngineToolDefinition>>>,
 }
 
 impl ToolServerHandle {
@@ -56,8 +58,8 @@ impl ToolServerHandle {
     ///
     /// The factory is **not** called here; it is stored and executed
     /// when [`flush_pending`](Self::flush_pending) is called (typically
-    /// at the start of `Worker::run()`).
-    pub(crate) fn register_tool(&self, factory: WorkerToolDefinition) {
+    /// at the start of `Engine::run()`).
+    pub(crate) fn register_tool(&self, factory: EngineToolDefinition) {
         self.pending
             .lock()
             .unwrap_or_else(|e| e.into_inner())
@@ -65,18 +67,17 @@ impl ToolServerHandle {
     }
 
     /// Queue many tool factories for deferred initialization.
-    pub(crate) fn register_tools(&self, factories: impl IntoIterator<Item = WorkerToolDefinition>) {
+    pub(crate) fn register_tools(&self, factories: impl IntoIterator<Item = EngineToolDefinition>) {
         let mut guard = self.pending.lock().unwrap_or_else(|e| e.into_inner());
         guard.extend(factories);
     }
 
     /// Execute all pending factories and register the resulting tools.
     ///
-    /// Called implicitly by `Worker::lock()` before the first turn.
-    /// Exposed as `pub` so higher layers (e.g. Pod) can force-materialise
-    /// tools earlier — for example when building a system-prompt template
-    /// context that needs the list of registered tool names. Redundant
-    /// calls are no-ops.
+    /// Called implicitly by `Engine::lock()` before the first turn.
+    /// Exposed as `pub` so callers can force-materialise tools earlier —
+    /// for example when building a system-prompt template context that needs
+    /// the list of registered tool names. Redundant calls are no-ops.
     ///
     /// # Panics
     ///
@@ -117,6 +118,7 @@ impl ToolServerHandle {
         &self,
         name: &str,
         input_json: &str,
+        ctx: ToolExecutionContext,
     ) -> Result<ToolOutput, ToolServerError> {
         let tool = {
             let guard = self.tools.lock().unwrap_or_else(|e| e.into_inner());
@@ -125,7 +127,7 @@ impl ToolServerHandle {
                 .ok_or_else(|| ToolServerError::ToolNotFound(name.to_string()))?;
             Arc::clone(tool)
         };
-        tool.execute(input_json)
+        tool.execute(input_json, ctx)
             .await
             .map_err(|e| ToolServerError::ToolExecution(e.to_string()))
     }
@@ -147,7 +149,7 @@ impl ToolServerHandle {
     /// The factory is called immediately and the resulting tool overwrites
     /// the entry with the same name. Returns `ToolNotFound` if the name
     /// produced by the factory does not match any registered tool.
-    pub fn replace(&self, factory: WorkerToolDefinition) -> Result<(), ToolServerError> {
+    pub fn replace(&self, factory: EngineToolDefinition) -> Result<(), ToolServerError> {
         let (meta, instance) = factory();
         let mut guard = self.tools.lock().unwrap_or_else(|e| e.into_inner());
         if !guard.contains_key(&meta.name) {
@@ -187,7 +189,11 @@ mod tests {
 
     #[async_trait]
     impl Tool for EchoTool {
-        async fn execute(&self, input_json: &str) -> Result<ToolOutput, ToolError> {
+        async fn execute(
+            &self,
+            input_json: &str,
+            _ctx: crate::tool::ToolExecutionContext,
+        ) -> Result<ToolOutput, ToolError> {
             Ok(input_json.to_string().into())
         }
     }
@@ -236,12 +242,15 @@ mod tests {
         handle.register_tool(def("echo"));
         handle.flush_pending();
 
-        let out = handle.call_tool("echo", r#"{"x":1}"#).await.expect("call");
+        let out = handle
+            .call_tool("echo", r#"{"x":1}"#, Default::default())
+            .await
+            .expect("call");
         assert_eq!(out.summary, r#"{"x":1}"#);
         assert!(out.content.is_none());
 
         let err = handle
-            .call_tool("missing", "{}")
+            .call_tool("missing", "{}", Default::default())
             .await
             .expect_err("missing tool");
         assert_eq!(err, ToolServerError::ToolNotFound("missing".to_string()));
@@ -298,7 +307,11 @@ mod tests {
 
         #[async_trait]
         impl Tool for FixedTool {
-            async fn execute(&self, _input_json: &str) -> Result<ToolOutput, ToolError> {
+            async fn execute(
+                &self,
+                _input_json: &str,
+                _ctx: crate::tool::ToolExecutionContext,
+            ) -> Result<ToolOutput, ToolError> {
                 Ok("replaced".to_string().into())
             }
         }
@@ -327,7 +340,11 @@ mod tests {
 
         #[async_trait]
         impl Tool for ConstTool {
-            async fn execute(&self, _input_json: &str) -> Result<ToolOutput, ToolError> {
+            async fn execute(
+                &self,
+                _input_json: &str,
+                _ctx: crate::tool::ToolExecutionContext,
+            ) -> Result<ToolOutput, ToolError> {
                 Ok("const".to_string().into())
             }
         }
@@ -342,7 +359,10 @@ mod tests {
         });
         handle.replace(replacement).expect("replace");
 
-        let out = handle.call_tool("echo", "{}").await.expect("call");
+        let out = handle
+            .call_tool("echo", "{}", Default::default())
+            .await
+            .expect("call");
         assert_eq!(out.summary, "const");
     }
 
@@ -360,7 +380,11 @@ mod tests {
 
         #[async_trait]
         impl Tool for GatedTool {
-            async fn execute(&self, _input_json: &str) -> Result<ToolOutput, ToolError> {
+            async fn execute(
+                &self,
+                _input_json: &str,
+                _ctx: crate::tool::ToolExecutionContext,
+            ) -> Result<ToolOutput, ToolError> {
                 self.started.notify_one();
                 self.finish.notified().await;
                 Ok("done".to_string().into())
@@ -384,7 +408,7 @@ mod tests {
         handle.flush_pending();
 
         let h = handle.clone();
-        let call = tokio::spawn(async move { h.call_tool("slow", "{}").await });
+        let call = tokio::spawn(async move { h.call_tool("slow", "{}", Default::default()).await });
 
         // Wait until the tool is actually executing.
         started.notified().await;
@@ -413,7 +437,11 @@ mod tests {
 
         #[async_trait]
         impl Tool for OldTool {
-            async fn execute(&self, _input_json: &str) -> Result<ToolOutput, ToolError> {
+            async fn execute(
+                &self,
+                _input_json: &str,
+                _ctx: crate::tool::ToolExecutionContext,
+            ) -> Result<ToolOutput, ToolError> {
                 self.started.notify_one();
                 self.finish.notified().await;
                 Ok("old".to_string().into())
@@ -437,7 +465,7 @@ mod tests {
         handle.flush_pending();
 
         let h = handle.clone();
-        let call = tokio::spawn(async move { h.call_tool("t", "{}").await });
+        let call = tokio::spawn(async move { h.call_tool("t", "{}", Default::default()).await });
 
         // Wait until the old tool is mid-execution.
         started.notified().await;
@@ -447,7 +475,11 @@ mod tests {
 
         #[async_trait]
         impl Tool for NewTool {
-            async fn execute(&self, _input_json: &str) -> Result<ToolOutput, ToolError> {
+            async fn execute(
+                &self,
+                _input_json: &str,
+                _ctx: crate::tool::ToolExecutionContext,
+            ) -> Result<ToolOutput, ToolError> {
                 Ok("new".to_string().into())
             }
         }
@@ -469,7 +501,10 @@ mod tests {
         assert_eq!(result.expect("call").summary, "old");
 
         // New calls use the replacement.
-        let out = handle.call_tool("t", "{}").await.expect("call");
+        let out = handle
+            .call_tool("t", "{}", Default::default())
+            .await
+            .expect("call");
         assert_eq!(out.summary, "new");
     }
 

crates/agen/src/usage_record.rs

@@ -2,9 +2,8 @@
 //!
 //! 1 リクエストの送信時点での「ある history prefix 長で計測した占有量」を
 //! 1 件分にまとめたもの。`UsageEvent` (provider stream イベント) を
-//! 受けて呼び出し側 (typically Pod) が組み立て、永続化層
-//! (session-store) に流したり、token accounting (`token_counter`) で
-//! 履歴として参照したりする。
+//! 受けて呼び出し側が組み立て、永続化層に流したり、token accounting
+//! (`token_counter`) で履歴として参照したりする。
 
 /// LLM リクエスト送信時点での占有量スナップショット。
 #[derive(Debug, Clone, PartialEq, Eq)]

crates/agen/tests/annotated_history_test.rs

@@ -0,0 +1,210 @@
+mod common;
+
+use agen::interceptor::{
+    AssistantTurnEndContext, Interceptor, InterceptorCallId, InterceptorInvocation,
+    InterceptorPhase, InterceptorResult, PendingHistoryAppendsContext, PreLlmRequestContext,
+    PreRequestAction, PromptAction, PromptSubmitContext, RunExitContext, TurnEndAction,
+};
+use agen::llm_client::event::{Event, ResponseStatus, StatusEvent};
+use agen::{Engine, EngineError, History, HistoryEntry, Item, Role};
+use async_trait::async_trait;
+use common::MockLlmClient;
+use std::sync::{Arc, Mutex};
+
+fn completed_text_events(text: &str) -> Vec<Event> {
+    vec![
+        Event::text_block_start(0),
+        Event::text_delta(0, text),
+        Event::text_block_stop(0, None),
+        Event::Status(StatusEvent {
+            status: ResponseStatus::Completed,
+        }),
+    ]
+}
+
+#[tokio::test]
+async fn run_preserves_item_annotations_without_projecting_them() {
+    let client = MockLlmClient::new(completed_text_events("assistant reply"));
+    let engine = Engine::<_, agen::state::Mutable, String>::new_annotated(client);
+    let mut history = History::<String>::new();
+    let mut next = 0usize;
+    let mut annotate = |item: &Item| {
+        next += 1;
+        let kind = match item {
+            Item::Message { role, .. } => match role {
+                Role::User => "user",
+                Role::Assistant => "assistant",
+                Role::System => "system",
+            },
+            Item::ToolCall { .. } => "tool_call",
+            Item::ToolResult { .. } => "tool_result",
+            Item::Reasoning { .. } => "reasoning",
+        };
+        Ok(format!("{next}:{kind}"))
+    };
+
+    let output = engine
+        .run_with_annotation(&mut history, "hello", &mut annotate)
+        .await;
+
+    assert!(matches!(output.result, agen::EngineRunExit::Finished));
+    assert_eq!(history.len(), 2);
+    assert_eq!(history.entries()[0].annotation, "1:user");
+    assert_eq!(history.entries()[1].annotation, "2:assistant");
+    assert_eq!(history.items_cloned().len(), 2);
+}
+
+#[derive(Clone)]
+struct AnnotationObservingInterceptor {
+    observed: Arc<Mutex<Vec<(InterceptorInvocation, Vec<String>)>>>,
+}
+
+impl AnnotationObservingInterceptor {
+    fn record(&self, invocation: &InterceptorInvocation, history: &[HistoryEntry<String>]) {
+        self.observed.lock().unwrap().push((
+            invocation.clone(),
+            history
+                .iter()
+                .map(|entry| entry.annotation.clone())
+                .collect(),
+        ));
+    }
+}
+
+#[async_trait]
+impl Interceptor<String> for AnnotationObservingInterceptor {
+    async fn on_prompt_submit(
+        &self,
+        context: PromptSubmitContext<'_, String>,
+    ) -> InterceptorResult<PromptAction> {
+        self.record(&context.invocation, context.history);
+        Ok(PromptAction::Continue)
+    }
+
+    async fn pending_history_appends(
+        &self,
+        context: PendingHistoryAppendsContext<'_, String>,
+    ) -> InterceptorResult<Vec<Item>> {
+        self.record(&context.invocation, context.history);
+        Ok(Vec::new())
+    }
+
+    async fn pre_llm_request(
+        &self,
+        context: PreLlmRequestContext<'_, String>,
+    ) -> InterceptorResult<PreRequestAction> {
+        self.record(&context.invocation, context.history);
+        Ok(PreRequestAction::Continue)
+    }
+
+    async fn on_assistant_turn_end(
+        &self,
+        context: AssistantTurnEndContext<'_, String>,
+    ) -> InterceptorResult<TurnEndAction> {
+        assert_eq!(context.assistant_entries.len(), 1);
+        assert_eq!(context.assistant_entries[0].annotation, "2:assistant");
+        self.record(&context.invocation, context.history);
+        Ok(TurnEndAction::Finish)
+    }
+
+    async fn on_run_exit(&self, context: RunExitContext<'_, String>) -> InterceptorResult<()> {
+        self.record(&context.invocation, context.history);
+        Ok(())
+    }
+}
+
+#[tokio::test]
+async fn interceptor_contexts_preserve_annotations_and_typed_lifecycle_identity() {
+    let client = MockLlmClient::new(completed_text_events("assistant reply"));
+    let mut engine = Engine::<_, agen::state::Mutable, String>::new_annotated(client);
+    let observed = Arc::new(Mutex::new(Vec::new()));
+    engine.set_interceptor(AnnotationObservingInterceptor {
+        observed: observed.clone(),
+    });
+    let mut history = History::<String>::new();
+    let mut next = 0usize;
+    let mut annotate = |item: &Item| {
+        next += 1;
+        let kind = if item.is_assistant_message() {
+            "assistant"
+        } else {
+            "user"
+        };
+        Ok(format!("{next}:{kind}"))
+    };
+
+    let output = engine
+        .run_with_annotation(&mut history, "hello", &mut annotate)
+        .await;
+    assert!(matches!(output.result, agen::EngineRunExit::Finished));
+
+    let observed = observed.lock().unwrap();
+    let phases: Vec<_> = observed
+        .iter()
+        .map(|(invocation, _)| invocation.phase)
+        .collect();
+    assert_eq!(
+        phases,
+        [
+            InterceptorPhase::PromptSubmit,
+            InterceptorPhase::PendingHistoryAppends,
+            InterceptorPhase::PreLlmRequest,
+            InterceptorPhase::AssistantTurnEnd,
+            InterceptorPhase::RunExit,
+        ]
+    );
+    assert!(
+        observed
+            .iter()
+            .all(|(invocation, _)| invocation.run_id == observed[0].0.run_id)
+    );
+    assert_eq!(
+        observed
+            .iter()
+            .map(|(invocation, _)| invocation.counters.invocation.get())
+            .collect::<Vec<_>>(),
+        [0, 1, 2, 3, 4]
+    );
+    assert_eq!(observed[2].0.call_id, Some(InterceptorCallId::Llm(0)));
+    assert_eq!(observed[3].0.call_id, Some(InterceptorCallId::Llm(0)));
+    assert_eq!(observed[1].1, ["1:user"]);
+    assert_eq!(observed[2].1, ["1:user"]);
+    assert_eq!(observed[3].1, ["1:user", "2:assistant"]);
+    assert_eq!(observed[4].1, ["1:user", "2:assistant"]);
+}
+
+#[test]
+fn append_failure_does_not_make_item_live() {
+    let client = MockLlmClient::new(vec![]);
+    let mut engine = Engine::<_, agen::state::Mutable, usize>::new_annotated(client);
+    let mut history = History::<usize>::new();
+    let mut fail = |_item: &Item| Err("commit failed".to_string());
+
+    let err = engine
+        .append_history_with(&mut history, [Item::user_message("uncommitted")], &mut fail)
+        .unwrap_err();
+
+    assert!(matches!(err, EngineError::HistoryAppend(message) if message == "commit failed"));
+    assert!(history.is_empty());
+}
+
+#[test]
+fn replacement_keeps_items_and_annotations_together() {
+    let mut history = History::from_entries(vec![
+        HistoryEntry::new(Item::user_message("old"), "old-ann".to_string()),
+        HistoryEntry::new(Item::user_message("second"), "second-ann".to_string()),
+    ]);
+
+    history.truncate(1);
+    assert_eq!(history.entries()[0].item.as_text(), Some("old"));
+    assert_eq!(history.entries()[0].annotation, "old-ann");
+
+    let previous = history.replace_entries(vec![HistoryEntry::new(
+        Item::user_message("restored"),
+        "restored-ann".to_string(),
+    )]);
+
+    assert_eq!(previous.len(), 1);
+    assert_eq!(history.entries()[0].item.as_text(), Some("restored"));
+    assert_eq!(history.entries()[0].annotation, "restored-ann");
+}

crates/agen/tests/callback_test.rs

@@ -1,6 +1,6 @@
 //! Closure callback API tests
 //!
-//! Tests for the closure-based event subscription API on Worker.
+//! Tests for the closure-based event subscription API on Engine.
 
 mod common;
 
@@ -8,13 +8,13 @@ use std::sync::atomic::{AtomicUsize, Ordering};
 use std::sync::{Arc, Mutex};
 use std::time::Duration;
 
+use agen::Engine;
+use agen::llm_client::event::{Event, ResponseStatus, StatusEvent as ClientStatusEvent};
+use agen::llm_client::retry::RetryPolicy;
+use agen::llm_client::{ClientError, LlmClient, Request, ResponseStream};
+use agen::tool::{Tool, ToolDefinition, ToolError, ToolMeta, ToolOutput};
 use async_trait::async_trait;
 use common::MockLlmClient;
-use llm_worker::Worker;
-use llm_worker::llm_client::event::{Event, ResponseStatus, StatusEvent as ClientStatusEvent};
-use llm_worker::llm_client::retry::RetryPolicy;
-use llm_worker::llm_client::{ClientError, LlmClient, Request, ResponseStream};
-use llm_worker::tool::{Tool, ToolDefinition, ToolError, ToolMeta, ToolOutput};
 
 #[derive(Clone)]
 struct FailOnceClient {
@@ -52,21 +52,25 @@ async fn test_callback_llm_retry_event() {
         calls: Arc::new(AtomicUsize::new(0)),
         events,
     };
-    let mut worker = Worker::new(client).with_retry_policy(RetryPolicy {
+    let mut engine = Engine::new(client).with_retry_policy(RetryPolicy {
         base: Duration::from_millis(1),
         cap: Duration::from_millis(1),
         max_attempts: 2,
         total_timeout: Duration::from_secs(1),
     });
+    let mut history = agen::History::new();
 
     let notices = Arc::new(Mutex::new(Vec::new()));
     let sink = notices.clone();
-    worker.on_llm_retry(move |llm_call, notice| {
+    engine.on_llm_retry(move |llm_call, notice| {
         sink.lock().unwrap().push((llm_call, notice.clone()));
     });
 
-    let result = worker.run("retry once").await;
-    assert!(result.is_ok(), "worker should succeed after one retry");
+    let result = engine.run(&mut history, "retry once").await;
+    assert!(
+        matches!(result.result, agen::EngineRunExit::Finished),
+        "engine should succeed after one retry"
+    );
 
     let notices = notices.lock().unwrap();
     assert_eq!(notices.len(), 1);
@@ -90,14 +94,15 @@ async fn test_callback_text_block_events() {
     ];
 
     let client = MockLlmClient::new(events);
-    let mut worker = Worker::new(client);
+    let mut engine = Engine::new(client);
+    let mut history = agen::History::new();
 
     let text_deltas = Arc::new(Mutex::new(Vec::new()));
     let text_completes = Arc::new(Mutex::new(Vec::new()));
 
     let deltas = text_deltas.clone();
     let completes = text_completes.clone();
-    worker.on_text_block(move |block| {
+    engine.on_text_block(move |block| {
         let d = deltas.clone();
         block.on_delta(move |text| {
             d.lock().unwrap().push(text.to_owned());
@@ -108,9 +113,12 @@ async fn test_callback_text_block_events() {
         });
     });
 
-    // Mutable::run consumes self, returns (Locked, WorkerResult)
-    let result = worker.run("Greet me").await;
-    assert!(result.is_ok(), "Worker should complete");
+    // Mutable::run consumes self, returns (Locked, EngineRunExit)
+    let result = engine.run(&mut history, "Greet me").await;
+    assert!(
+        matches!(result.result, agen::EngineRunExit::Finished),
+        "Engine should complete"
+    );
 
     let deltas = text_deltas.lock().unwrap();
     assert_eq!(deltas.len(), 2);
@@ -136,14 +144,15 @@ async fn test_callback_tool_call_complete() {
     ];
 
     let client = MockLlmClient::new(events);
-    let mut worker = Worker::new(client);
+    let mut engine = Engine::new(client);
+    let mut history = agen::History::new();
 
     let tool_starts = Arc::new(Mutex::new(Vec::<(String, String)>::new()));
     let tool_completes = Arc::new(Mutex::new(Vec::new()));
 
     let starts = tool_starts.clone();
     let completes = tool_completes.clone();
-    worker.on_tool_use_block(move |start, block| {
+    engine.on_tool_use_block(move |start, block| {
         starts
             .lock()
             .unwrap()
@@ -154,8 +163,8 @@ async fn test_callback_tool_call_complete() {
         });
     });
 
-    // Mutable::run consumes self, returns (Locked, WorkerResult)
-    let _ = worker.run("Weather please").await;
+    // Mutable::run consumes self, returns (Locked, EngineRunExit)
+    let _ = engine.run(&mut history, "Weather please").await;
 
     let starts = tool_starts.lock().unwrap();
     assert_eq!(starts.len(), 1);
@@ -182,24 +191,25 @@ async fn test_callback_turn_events() {
     ];
 
     let client = MockLlmClient::new(events);
-    let mut worker = Worker::new(client);
+    let mut engine = Engine::new(client);
+    let mut history = agen::History::new();
 
     let turn_starts = Arc::new(Mutex::new(Vec::new()));
     let turn_ends = Arc::new(Mutex::new(Vec::new()));
 
     let starts = turn_starts.clone();
-    worker.on_turn_start(move |turn| {
+    engine.on_turn_start(move |turn| {
         starts.lock().unwrap().push(turn);
     });
 
     let ends = turn_ends.clone();
-    worker.on_turn_end(move |turn| {
+    engine.on_turn_end(move |turn| {
         ends.lock().unwrap().push(turn);
     });
 
-    // Mutable::run consumes self, returns (Locked, WorkerResult)
-    let result = worker.run("Do something").await;
-    assert!(result.is_ok());
+    // Mutable::run consumes self, returns (Locked, EngineRunExit)
+    let result = engine.run(&mut history, "Do something").await;
+    assert!(matches!(result.result, agen::EngineRunExit::Finished));
 
     let starts = turn_starts.lock().unwrap();
     let ends = turn_ends.lock().unwrap();
@@ -218,7 +228,11 @@ struct FixedOutputTool {
 
 #[async_trait]
 impl Tool for FixedOutputTool {
-    async fn execute(&self, _input_json: &str) -> Result<ToolOutput, ToolError> {
+    async fn execute(
+        &self,
+        _input_json: &str,
+        _ctx: agen::tool::ToolExecutionContext,
+    ) -> Result<ToolOutput, ToolError> {
         Ok(self.output.clone())
     }
 }
@@ -249,20 +263,22 @@ async fn test_callback_tool_result_events() {
     ];
 
     let client = MockLlmClient::new(events);
-    let mut worker = Worker::new(client);
+    let mut engine = Engine::new(client);
+    let mut history = agen::History::new();
 
-    worker.register_tool(fixed_tool(
+    engine.register_tool(fixed_tool(
         "fixed",
         ToolOutput {
             summary: "did the thing".into(),
             content: Some("full detail body".into()),
+            attachments: Vec::new(),
         },
     ));
 
     let captured: Arc<Mutex<Vec<(String, String, Option<String>, bool)>>> =
         Arc::new(Mutex::new(Vec::new()));
     let sink = captured.clone();
-    worker.on_tool_result(move |result| {
+    engine.on_tool_result(move |result| {
         sink.lock().unwrap().push((
             result.tool_use_id.clone(),
             result.summary.clone(),
@@ -271,7 +287,7 @@ async fn test_callback_tool_result_events() {
         ));
     });
 
-    let _ = worker.run("call it").await;
+    let _ = engine.run(&mut history, "call it").await;
 
     let observed = captured.lock().unwrap();
     assert_eq!(observed.len(), 1);
@@ -289,7 +305,11 @@ struct ErroringTool {
 
 #[async_trait]
 impl Tool for ErroringTool {
-    async fn execute(&self, _input_json: &str) -> Result<ToolOutput, ToolError> {
+    async fn execute(
+        &self,
+        _input_json: &str,
+        _ctx: agen::tool::ToolExecutionContext,
+    ) -> Result<ToolOutput, ToolError> {
         Err(ToolError::ExecutionFailed(self.message.clone()))
     }
 }
@@ -320,14 +340,15 @@ async fn test_callback_tool_result_error_path() {
     ];
 
     let client = MockLlmClient::new(events);
-    let mut worker = Worker::new(client);
+    let mut engine = Engine::new(client);
+    let mut history = agen::History::new();
 
-    worker.register_tool(erroring_tool("erroring", "boom"));
+    engine.register_tool(erroring_tool("erroring", "boom"));
 
     let captured: Arc<Mutex<Vec<(String, String, Option<String>, bool)>>> =
         Arc::new(Mutex::new(Vec::new()));
     let sink = captured.clone();
-    worker.on_tool_result(move |result| {
+    engine.on_tool_result(move |result| {
         sink.lock().unwrap().push((
             result.tool_use_id.clone(),
             result.summary.clone(),
@@ -336,7 +357,7 @@ async fn test_callback_tool_result_error_path() {
         ));
     });
 
-    let _ = worker.run("fail it").await;
+    let _ = engine.run(&mut history, "fail it").await;
 
     let observed = captured.lock().unwrap();
     assert_eq!(observed.len(), 1);
@@ -364,17 +385,18 @@ async fn test_callback_usage_events() {
     ];
 
     let client = MockLlmClient::new(events);
-    let mut worker = Worker::new(client);
+    let mut engine = Engine::new(client);
+    let mut history = agen::History::new();
 
     let usage_events = Arc::new(Mutex::new(Vec::new()));
 
     let usages = usage_events.clone();
-    worker.on_usage(move |event| {
+    engine.on_usage(move |event| {
         usages.lock().unwrap().push(event.clone());
     });
 
-    // Mutable::run consumes self, returns (Locked, WorkerResult)
-    let _ = worker.run("Hello").await;
+    // Mutable::run consumes self, returns (Locked, EngineRunExit)
+    let _ = engine.run(&mut history, "Hello").await;
 
     let usages = usage_events.lock().unwrap();
     assert_eq!(usages.len(), 1);

crates/agen/tests/common/mod.rs

@@ -6,11 +6,11 @@ use std::path::{Path, PathBuf};
 use std::pin::Pin;
 use std::sync::{Arc, Mutex};
 
+use agen::llm_client::event::{BlockType, DeltaContent, Event};
+use agen::llm_client::{ClientError, LlmClient, Request};
+use agen::timeline::{Handler, TextBlockEvent, TextBlockKind, Timeline};
 use async_trait::async_trait;
 use futures::Stream;
-use llm_worker::llm_client::event::{BlockType, DeltaContent, Event};
-use llm_worker::llm_client::{ClientError, LlmClient, Request};
-use llm_worker::timeline::{Handler, TextBlockEvent, TextBlockKind, Timeline};
 
 use std::sync::atomic::{AtomicUsize, Ordering};
 
@@ -19,6 +19,7 @@ use std::sync::atomic::{AtomicUsize, Ordering};
 pub struct MockLlmClient {
     responses: Arc<Vec<Vec<Event>>>,
     call_count: Arc<AtomicUsize>,
+    requests: Arc<Mutex<Vec<Request>>>,
 }
 
 impl MockLlmClient {
@@ -30,6 +31,7 @@ impl MockLlmClient {
         Self {
             responses: Arc::new(responses),
             call_count: Arc::new(AtomicUsize::new(0)),
+            requests: Arc::new(Mutex::new(Vec::new())),
         }
     }
 
@@ -41,6 +43,10 @@ impl MockLlmClient {
     pub fn event_count(&self) -> usize {
         self.responses.iter().map(|v| v.len()).sum()
     }
+
+    pub fn requests(&self) -> Vec<Request> {
+        self.requests.lock().unwrap().clone()
+    }
 }
 
 #[async_trait]
@@ -51,8 +57,9 @@ impl LlmClient for MockLlmClient {
 
     async fn stream(
         &self,
-        _request: Request,
+        request: Request,
     ) -> Result<Pin<Box<dyn Stream<Item = Result<Event, ClientError>> + Send>>, ClientError> {
+        self.requests.lock().unwrap().push(request);
         let count = self.call_count.fetch_add(1, Ordering::SeqCst);
         if count >= self.responses.len() {
             return Err(ClientError::Api {
@@ -272,7 +279,7 @@ pub fn assert_timeline_integration(subdir: &str) {
     });
 
     for event in &events {
-        let timeline_event: llm_worker::timeline::event::Event = event.clone().into();
+        let timeline_event: agen::timeline::event::Event = event.clone().into();
         timeline.dispatch(&timeline_event);
     }