[2026-10-01] eagle: personal/plans/balda-callee-prism-plan.md

personal/plans/balda-callee-prism-plan.md

@@ -1,7 +1,7 @@
 # Balda + Prism/Beads + Execution Broker + Callee + Codex / Claude / OpenCode
 
 > Обновлено: 2026-10-01
-> Статус: Virfield v2.0.0 опубликован; его versioned-images/GHCR кандидат и отдельные gates — в [[personal/projects/virfield]]. Broker 0.1.0-rc.6 собран в приватном draft GitHub Release из точного CI SHA `2d786c4` (14/14 jobs), пять архивов и SHA256SUMS сверены; PR #1 теперь показывает тот же head, plugin RC6 установлен в Balda. Claude macOS Story и повторная VM после рестарта issuer/Broker приняты. Public stable ещё блокируют OpenCode, provider revoke/expiry, Docker Codex и Docker/remotes credentials, live Mattermost first-command, реальные managed hosts и signing/provenance.
+> Статус: Virfield v2.0.0 опубликован; его versioned-images/GHCR кандидат и отдельные gates — в [[personal/projects/virfield]]. Broker 0.1.0-rc.6 собран в приватном draft GitHub Release из точного CI SHA `2d786c4` (14/14 jobs), пять архивов и SHA256SUMS сверены; PR #1 теперь показывает тот же head, plugin RC6 установлен в Balda. Claude macOS Story и повторная VM после рестарта issuer/Broker приняты. OpenCode/DeepSeek прошёл реальный inference и два полных macOS Story, включая свежую VM после рестарта Broker/issuer; quality gate fix после RC6 готов в dev. Public stable ещё блокируют OpenCode denied-write и provider revoke/expiry, Docker Codex и Docker/remotes credentials, live Mattermost first-command, реальные managed hosts и signing/provenance.
 > Текущий проект и runbook: [[personal/projects/virfield]].
 
 ## 1. Цель
@@ -64,6 +64,13 @@ Balda PR [#11](https://github.com/baldaworks/balda/pull/11) смержен в `m
 
 Production/stable release остаётся незакрытым: Claude Story и повторная свежая VM после рестарта issuer/Broker теперь проходят без входа (v4 `run-bd291c97e5e098ed2e2ca57b876a0b1a`, обычный профиль `run-1039e027ec5c7862367cb95a7fc02a51`; оба quality gate passed, cleanup done, Prism completed). Код исправления — dev commit `05e7c44`; RC5 draft устарел. Открыты provider-side expiration/revocation, OpenCode login/inference, Docker/remotes credential lifecycle и ранее перечисленные full-stack gates. Credentials и login capabilities в этой заметке не сохраняются.
 
+### OpenCode DeepSeek acceptance — 2026-10-01, 18:25 Бишкек
+
+- Существующий DeepSeek provider Balda использован без вывода ключа: ключ через private pipe импортирован в отдельный зашифрованный `opencode-deepseek-work` vault. Нативный OpenCode 1.18.34 вернул `OK` на реальном `deepseek/deepseek-flash` запросе. Credential-free VM bootstrap и постоянный issuer на `127.0.0.1:7796` установлены; рабочий профиль `macos-opencode-deepseek` подключен к Broker.
+- Два полных синтетических Story (`run-cf83a0a3a0768d45f82199ae8db4176e`, `run-6b12f6189bc2e9b32fccadb596fc06b5`) прошли шесть ролей, Human approval, quality gate, шесть SHA-256-verified artifacts, Prism completion и cleanup. Второй запустился в новой VM и пережил перезапуск Broker/issuer на approval без browser login.
+- Между ними был отказ `run-c6d2008abe6308000375c2a4e55c0c3e` только из-за добавленного моделью поля `notes` в валидный отчет verifier. Узкое исправление parser в dev `396eb5a` принимает `notes`, но всё ещё отвергает другие неизвестные поля и неисполненные/ошибочные проверки; Callee race и полный `make check` прошли. Для публикации нужен новый exact-SHA кандидат.
+- OpenCode denied-write probe не дошёл до VM: Virfield зарезервирован соседней операцией image export (`image_in_use`). Проверочный run отменен с cleanup done, временный профиль удален. Upstream revocation/expiry ещё не проверены; static DeepSeek API key не имеет OAuth refresh.
+
 ### RC6 candidate и актуальная приёмка — 2026-10-01, 17:25 Бишкек
 
 - Clean publication commit `2d786c4`, [CI 36854040694](https://github.com/mallexxx/execution-broker/actions/runs/36854040694) 14/14, приватный [draft RC6](https://github.com/mallexxx/execution-broker/releases/tag/untagged-4a40999515a9662c914c): четыре native CI-архива, plugin archive и SHA256SUMS побайтно сверены. GitHub draft SHA256 совпадают с локальным bundle. Remote main ещё не обновлён, публичного релиза нет.