[Bug] rc.8: 空白会话切换 Agent Preset 后，旧 preset 的 agent-scoped 工具注册/restrict 残留形成杂交工具面；header agentPreset 与实际 mount 不符

[jun-zhang-dev]

TL;DR (EN): On a blank Web session, switching the agent preset does not tear down agent-scoped effects installed by the creation-time default preset — tool registrations made via agent.ctx.tools.register and whitelists via ctx.tools.restrict from the old preset's local .mjs rows survive the switch. The newly selected preset mounts its persona/presentation, but the model-facing tool surface stays the old preset's (a hybrid mount). Additionally, the session header's agentPreset field records the creation-time default, not the actually mounted preset, so session logs misattribute the preset. Found via trajectory forensics on rc.8; details, evidence table, and repro below (in Chinese).

---

环境

• dsh 0.1.0-rc.8，macOS (arm64)，dsh web GUI
• settings.yaml: agent-presets: { default: pi-code }（自定义用户 preset）

触发条件（自定义 preset 的关键行为）

默认 preset pi-code 含本地 .mjs 插件行，在 agent/created 里：

1. 以 agent scope 注册三个自定义文件工具（read/edit/write，签名分别为 read{path,offset,limit} / edit{path,edits[]} / write{path,content}）；
2. ctx.tools.restrict({allow:["bash","skill"]}) 对 inherited/global catalog 做白名单收口。

现象

同一时段 3 个 blank session 在 roster 上切换过 preset（有 agent-preset/selected 事件）。对 session.jsonl.zstd 逐事件取证：

session	header agentPreset	agent-preset/selected	实际 persona	实际声明工具（request/header.tools）
A	pi-code	pi	pi 的（complete）	bash,edit,read,skill,write（与 pi 一致，不可判别是否残留）
B	pi-code	standard	standard/默认	bash,edit,read,skill,write ⚠️
C	pi-code	standard	standard/默认	bash,edit,read,skill,write ⚠️

B/C 是杂交 mount：persona 与呈现方式（native，无 code presentation）是 standard 的，但模型可见工具面完全是旧 preset 的——

• edit{path,edits[]}、read{path,offset,limit} 是旧 preset agent-scoped 注册的自定义工具签名（host 层并未全局挂载，已用 --dump-config 排除）；
• standard 自己应有的 write_todos/task/web_search 等全部消失——被旧 preset 的 tools.restrict 白名单滤掉了。

模型侧完全无感知，正常调用这五个工具并完成任务，症状非常隐蔽。

机制推测

agent/created 只在 session 出生时 fire 一次，.mjs 行的 agent-scoped 注册与 restrict 挂在 agent 生命周期上；blank session 切 preset 触发的 re-mount 只替换 generation 内的 prompt sections / tool-presentation / preset 工具行，不会 dispose agent-scoped 效果，于是新 preset 的声明面 = 新 preset 工具行 ∩ 旧 restrict 白名单 ∪ 旧 agent-scoped 注册。

影响

1. 最小权限/可审计性：一个 preset 的 restrict 能静默阉割另一个 preset 的工具面；反方向（旧 preset 注册的工具带进新 preset）则是静默扩权。
2. 数据可信度：header agentPreset 不能作为分析/审计的分组键。我们是在做多模型轨迹对比时，发现三个标着 pi-code 的 session 声明面互不相同，才追查出来的——一开始还把它误读成"模型绕开 Code Mode 的行为差异"。
3. 会话正常完成、无任何报错，只有对比 request/header 的 tools 数组才能发现。

复现步骤

1. 建一个用户 preset，含本地 .mjs 行：agent/created 里 agent scope 注册任意自定义工具 + tools.restrict 白名单；
2. settings.yaml 将其设为 agent-presets.default；
3. dsh web 新建 blank session，在 roster 上把该 session 切到出厂 standard；
4. 发送第一条消息；
5. 解压该 session 的 session.jsonl.zstd，查看 request/header 事件的 tools：为旧 preset 的工具面而非 standard 的目录。

期望行为建议

• blank session 切换 preset 时，完整 dispose 前一个 composition 的 agent-scoped 效果（或干脆重建 agent 实例）；
• header agentPreset 跟随实际 mount 更新（或新增一个记录实际 mount 的事件，含 preset id + generation）；目前 agent-preset/selected 只记录了用户的切换动作，三方（header / selected / 实际声明面）可以互相矛盾。

附带一个小观察（非 bug）

同一次取证中：Code Mode 下 deepseek-v4-flash 曾把 SDK 函数名 tools.write 当作原生工具名发起调用，runtime 正确拒绝（Error: unknown tool "tools.write"），模型随后自行写探针代码恢复。说明 decl 面与 SDK 文档面的命名混淆对部分模型是现实风险，供 prompt/SDK 文案设计参考。

[goatliamia]

We hit both symptoms on 0.1.1-rc.2 with concrete evidence, confirming this from a third-party plugin's perspective:

1. header agentPreset vs actual mount mismatch — a session actually mounted on a user-root preset (its tools and prompt section only exist in that preset) was recorded with the deployment default preset when read from session.header?.agentPreset. The header keeps the default value when the preset is picked through a blank-session switch.

2. Workaround we run — resolve the live preset via agents.get(session.id).ctx -> agentPresets.composedPreset(agentCtx), falling back to the header only when that lookup is unavailable. This matches the observed mount.

3. Hybrid tool surface — profile-installed plugins register their tools globally, so after a preset switch, agent-scoped registrations/restrictions from the old preset leave tools visible across modes; the model's tool list and the preset's actual capability boundary diverge.

Happy to share logs/snippets if useful for reproduction.