v0.62.0

0.62.0 (2026-11-05)

⚠ 升级须知 / Upgrade notes

主机从 v0.61.0 升到 v0.62.0：按 docs/runbooks/release.md §3.109–§3.124 执行。带六个迁移，随 apply-release.sh 自动应用：core 0052_activity_session_record、core 0053_chat_agent_kind、governance 0036_admin_agent_targets、0037_connection_request_admin_agent_session、0038_admin_proposal_rejection_reads、task 0013_task_admin_agent_session。不改 compose。

同版升级：kernel、agent-host、worker-supervisor 与 worker-runtime 镜像必须一起升（§3.112）；控制台与内核同版（§3.113、§3.115、§3.116）。

升级时确认：主机 secrets/kernel.env 与 .env 里都不应该有 FAKE_INVOKE_WORKER，有就删掉，它只属于 CI（§3.114）。

管理员智能体的开关：已有主机升级后，ADMIN_AGENT_ENABLED 保持 kernel.env 里原来的值，没写就是关。只有新装主机默认打开（§3.118）。可选环境变量 ADMIN_PROPOSAL_REJECTION_LIMIT（默认 3）、ADMIN_PROPOSAL_REJECTION_WINDOW_DAYS（默认 7），写错会让内核启动时停下（§3.120）。

这一版是什么：管理员智能体（S11）能真正跑起来了，从试验工作区一路走到目标工作区里生效。

• 运行时与对话（§3.111–§3.113）：管理员智能体有自己的对话、会话和容器（nexttime-admin-*）；平台管理员在「平台 → 管理员智能体」页选目标工作区、看状态、停掉它。
• 试验（§3.119、§3.121）：管理员智能体在试验工作区里可以请人接入系统（凭证由平台管理员录入，智能体看不到）、试跑 Worker；对话里链到 Task 和「完成连接」。试验工作区里，平台预置的 http / mcp 连接器允许平台管理员自接，每次单独审计。
• 审阅与交接（§3.110、§3.115、§3.116）：平台管理员在「平台 → 管理员提案」审阅平台部分；所有者在侧栏与「待我审批」看到待处理的管理员提案数。
• 防刷（§3.120）：同一目标 7 天内被拒满 3 次后，管理员智能体暂时不能再向它提议，到时自动恢复。
• 审计（§3.123）：被拦下的调用在审计流里标「被拦下」和拒绝码（遗留 628）。
• 修复：0.61.0 的已知问题（遗留 609）已修，管理员智能体读回提案时看不到门宿主实例的地址（§3.109）。
• 验证（§3.124）：验证一段已应用的管理员提案时，会探它写入的 Operation 和 Worker 经过的门，每个门都要连得通；门不通或被平台切断时，验证从「通过」变成「不通过」，这是本意（遗留 630）。

已知问题

• 开着管理员智能体的主机每跑一次 S2，「平台 · 集成」页多一个停用的 accept-tickets-<nonce> 实例，gate-host 里留一份测试凭证（遗留 629）。主机现在没开开关，不受影响。
  Known issue (legacy 629): On a host with the admin agent switched on, each S2 run leaves one disabled accept-tickets-<nonce> instance on the Platform · Integrations page and one test credential in gate-host. The host has the switch off today, so it is not affected.

回滚（回退目标 v0.61.0，见 release.md §6 各行）：

• 先删管理员容器：docker ps -aq --filter label=nexttime.role=admin | xargs -r docker rm -f（§3.112）。
• core 0053：先确认 select count(*) from chats where agent_kind = 'admin_agent' 为 0，不为 0 先归档这些对话。
• governance 0036：只回退代码前先 drop trigger admin_proposal_segments_target_chosen on admin_proposal_segments 并删它的函数。
• 其余迁移（core 0052、governance 0037、0038、task 0013）只回退代码即可。

主机目前停在 v0.50.0（维护者 10-31 决定，等需要真机完整验证时再一次升），届时从 v0.50.0 连同 §3.75–§3.124 一起走（其中 §3.94 要求内核与 worker-supervisor 同版，§3.100 要求 llm-proxy 与内核同版，§3.112 要求 kernel、agent-host、worker-supervisor 与 worker-runtime 同版）。

测试

• #945（§3.114）：CI 的管理员智能体旅程 ⑨，带 CI 专用的提议标记，标记只在 CI 生效。
• #949（§3.117）、#959（§3.122）：staging 预演用真 pi 跑管理员智能体的提议与工单旅程（试验、提案、应用、验证）。

Features

• admin-agent: admin agent chats, targets, status and stop in the kernel (S11 AA4c-1) (#937) (1bd1754)
• admin-agent: agent observations record their session; rollback preview names workspaces (S11 AA4-0) (#933) (5afa987)
• admin-agent: new installs start with the admin agent switched on (#957) (0ac9e0e)
• admin-agent: run admin agent turns in their own container (S11 AA4c-2) (#941) (e2a9e1a)
• console: admin proposal handoffs — owner count badge, chat proposal link, trial return, targets deep links (S11 AA4e) (#947) (d73af4d)
• console: admin proposal rows show the platform part apart, with a filter for the ones awaiting you (legacy 619) (#951) (7ecb8bc)
• console: platform administrators review admin proposals on the platform (S11 AA4b) (#936) (5de733e)
• console: platform administrators run their admin agent from the console (S11 AA4c-3) (#943) (608f460)
• kernel: admin agent trial runs — request_connection and invoke_worker in its trial workspace (AA5a-1) (#954) (4b07111)
• kernel: close a target to an admin agent after repeated rejections (AA5a-2) (#956) (2c7ab3c)
• web: admin chat links to the Task and to completing a connection; trial exception copy (AA5b) (#961) (91862e2)

Bug Fixes

• kernel: verify an applied admin proposal by probing the gates it runs through (legacy 630) (#966) (846b7d0)
• web: mark refused calls in the audit streams (legacy 628) (#964) (4297b34)

---

This PR was generated with Release Please. See documentation.