[2026-10-15] eagle: personal/plans/balda-callee-prism-plan.md personal/projects/balda/execution-broker.md personal/projects/virfield.md

personal/projects/balda/execution-broker.md

@@ -47,7 +47,7 @@ Managed lifecycle и native wait restart проверены на развёрн
 - Production service acceptance: настоящий Callee Human → restart Broker/Prism → resume → шесть артефактов с проверенными SHA256 и provenance Git cache → `succeeded`, `cleanup=done`; Task и Story закрыты.
 - Реальная Balda-сессия: исправленный Mattermost-контекст → durable waits → Broker smoke → фактический Telegram approval → шесть скачанных артефактов с проверенными SHA256 → `cleanup=done` → итог в исходной Mattermost-беседе. Доставка и отсутствие дубликата подтверждены readonly API.
 - Настоящая macOS VM: verified Go archive через scoped tunnel, `tooling.json`, один XCTest без ошибок и сохранённый xcresult; восемь артефактов с проверенными SHA256, включая `repository.json`, VM cleanup подтверждён.
-- Codex на macOS: две полные Story на свежих VM, включая restart Broker/issuer и восстановление того же run; quality, SHA256 всех артефактов, независимый повтор unit tests, credential checkpoint и cleanup подтверждены без нового OAuth. Три последующие production-попытки, включая обновлённый контроллер `614daf5`, остановились до bootstrap на Virfield guest_keychain_failed; все три lease released, cleanup=done. До новой приёмки GUI/SSH Keychain текущего контроллера production macOS gate остаётся открытым. Изолированный успех не считается завершением этой проверки.
+- Codex на macOS: две полные Story на свежих VM, включая restart Broker/issuer и восстановление того же run; quality, SHA256 всех артефактов, независимый повтор unit tests, credential checkpoint и cleanup подтверждены без нового OAuth. Три последующие production-попытки остановились до bootstrap на Virfield `guest_keychain_failed`; последний проверенный installed — `614daf5`, все три lease released, cleanup=done. Позднейшие `f60efe3` и миграция службы в Standard ещё не проверены через Broker/macOS27. Gate повторной native GUI/new SSH/console и production Story остаётся открытым; исход новой сборки не установлен. Изолированный успех не считается завершением этой проверки.
 - Реальные Make/C, Python, Node и JVM проекты на macOS и Linux; Docker builder/Runner/Callee cache hit и изменение Node SDK; durable смена окружения с двумя рестартами и одним выполнением внешнего действия; отдельная проверка реального `go run` при `/tmp noexec`.
 - Artifact input transfer/restart/cleanup и установка из Linux ARM64 release archive без исходников и Go прошли.
 - Runtime archives: все четыре платформы — native. Linux AMD64 проверен на физическом htpc x86_64; Darwin AMD64 — на MacBook Pro 13″ 2014, Intel i5-4278U, macOS 12.6.8 (21G725), Python 3.8.9 через pinned Virfield SSH. Оба AMD64-прогона проверили семь binaries, MCP/auth rejection, synthetic vault import/revoke, SQLite backup и graceful shutdown; рабочие provider credentials не использовались.
@@ -58,7 +58,7 @@ Managed lifecycle и native wait restart проверены на развёрн
 
 | Область | Что остаётся |
 | --- | --- |
-| macOS worker readiness | Три production-попытки после обновления bootstrap, включая новый контроллер `614daf5`, остановились на Virfield guest_keychain_failed до выполнения Runner/Callee. Все три VM удалены штатно. Нужны повторная приёмка GUI/SSH Keychain текущего Virfield и итоговая production Story; прежние изолированные успехи этот gate не закрывают |
+| macOS worker readiness | Три production-попытки, последний installed `614daf5`, получили `guest_keychain_failed` до Runner/Callee; все lease released. Позднейшие `f60efe3` + Standard service ещё не проходили Broker/macOS27 повторную приёмку. Нужны native GUI/new SSH/console readiness, production Story и Codex denied-write; [единый Virfield record](https://github.com/mallexxx/virfield/blob/codex/retire-lume-release-hardening/docs/VERIFICATION.md#broker-macos27-reacceptance) содержит точные job/lease и критерии закрытия |
 | Recovery | Выбран порядок: unattended восстановление рабочих ключей из защищённой копии, затем OAuth при неудаче восстановления/refresh. Это отдельная гарантия восстановления после потери хоста/Keychain; обычный restart и повторное использование авторизаций уже проверены. Production escrow ещё не настроен: нужен независимый recovery public key или secret store. Отсутствие escrow не блокирует исправления Virfield/Docker. Подготовлен helper для GPG escrow исходных master keys и безопасного восстановления key-files/Keychain; шесть тестов с синтетическими ключами прошли, включая восстановление encrypted vault, отказ при порче/чужом recipient и запрет замены существующего ключа. Рабочие master keys не экспортировались; production host-loss recovery не принят |
 | Docker providers | Linux OpenCode/DeepSeek прошёл две полные Story на свежих workers: реальные роли, повторное выполнение quality assertions, SHA256 всех артефактов, restart Broker/issuer, credential checkpoint/reuse, `cleanup=done`, без нового OAuth. Linux Claude также прошёл две полные Story на свежих workers, включая restart Broker/issuer: шесть ролей, независимый повтор unit tests, SHA256 семи артефактов каждого запуска, checkpoint и cleanup подтверждены; новый OAuth не понадобился. Linux Claude прошёл также component-проверку: фактический permission-handler обеих read-only ролей отклонил инъецированные ACP-запросы записи; marker не создан. Expiry/upstream revocation остаются открыты. Linux Codex прошёл две полные Story на свежих workers с `nested-v1`: все шесть ролей, quality, независимые unit tests (4/4 и 3/3), SHA256 артефактов, restart Broker/gateway/issuer, checkpoint/reuse и cleanup. Штатный Codex fallback сохраняет Docker proc masks; отдельные AppArmor/seccomp профили сохраняют non-root, cap-drop, read-only root и no-new-privileges. Реальная попытка записи в read-only workspace отклонена. Исправление `f9ca7c3`, gateway развёрнут с точным worker pin; итоговая Story через production Broker/Prism также прошла все шесть ролей, quality, независимые unit tests (3/3), SHA256 артефактов и cleanup=done. Default Docker policy не поддерживает нужные namespaces. Expiry/upstream revocation остаются отдельными gates. Проверка запрета записи OpenCode прошла на Linux и свежей macOS VM: обе read-only сессии получили прямые ACP-запросы записи, Callee отклонил их, marker отсутствовал; native plan policy не менялась. Это protocol fault injection, а не попытка tool call, выбранная моделью |
 | Provider lifecycle | Для macOS Claude не закрыта реальная expiry/upstream revocation; для macOS OpenCode/DeepSeek — upstream revocation; component-проверка фактического ACP-запрета записи обеими read-only ролями прошла на свежей VM с неизменённой native policy. Claude умеет сохранить явный отказ native cache как reauthentication-required и запросить OAuth при следующем admission; это не доказательство реальной provider-приёмки |