工具执行位置：SSH 远程委派是独立机制，还是 #169 Computer/Security 的一种 provider？

[tt-a1i]

一句话问题：工具执行位置（SSH 远程委派 read/write/edit/bash）该不该成为独立机制，还是只当作 #169 Computer / Security seam 的一种 provider？ 它和 #502 的本机 OS sandbox 也不是同一件事。

这不是 commit 计划，也不是 Adopt。倾向 Discuss。本轮未安装、未运行。不提议新安装器。Pi 继续拥有 install / update / uninstall。不新增第二条 /openpi-setup。若以后出现模型可见的「切换远程」工具，必须写入 CHILD_EXCLUDED_TOOL_NAMES 或 CHILD_SAFE_PACKAGE_TOOL_NAMES；未分类 = fail-closed。默认更像 parent-only。

为什么目录里这个机制看起来有趣

冻结身份（last-seen 2026-09-08）：

源	身份	来源
官方 example ssh.ts	blob 6ca4511（earendil-works/pi main）	https://github.com/earendil-works/pi/blob/main/packages/coding-agent/examples/extensions/ssh.ts

公开源码声明的机制（未在本轮执行验证）：

• --ssh user@host[:path] 时，用 pluggable operations 把内建 read/write/edit/bash 和 ! 转到远程；
• 要求 key-based auth，无密码提示；
• 改 system prompt 里的 cwd 文案。

事实

• capabilities: 定义 Browser、Web、GitHub、Computer 与 Security 的外部 Provider Seam #169 定义的是 Browser / Web / GitHub / Computer / Security 的外部 provider seam，明确不在 OpenPI 内复制这些产品栈。
• OS sandbox / gondolin 该停在官方 example、权限门，还是 #169 Security seam？ #502 问的是本机 gondolin / sandbox 所有权。
• OpenPI child / worktree 默认假设本地 checkout。远程执行会让「工作区路径」「Trust」「cleanup」的权威位置变模糊。
• 对照修订：OpenPI a9b40f0。本轮未安装、未运行。

推断

执行位置是正交原语：local cwd / worktree / OS sandbox / remote host。社区几乎没做成独立高下载产品，但官方 example 已经把 seam 暴露出来。OpenPI 若不管，in-process child 可能在用户自行 --ssh 时把远程写成「本机」。

建议

先回答所有权：只在 #169 登记一种 Computer provider，还是要一条「execution locality」不变量（权威 cwd、Trust、取消、cleanup 都跟位置走）。不要自研 SSH 客户端产品。配置若有，只走 /openpi-setup。

未知

• 官方 example 与 OpenPI in-process child 的真实组合（本轮未跑）。
• 远程失败、断线、部分写入时的 fail-closed 证据该长什么样。

关联

• capabilities: 定义 Browser、Web、GitHub、Computer 与 Security 的外部 Provider Seam #169 seam · OS sandbox / gondolin 该停在官方 example、权限门，还是 #169 Security seam？ #502 OS sandbox · runtime: 试点全局 allow/ask/deny，不引入社区权限包依赖 #497 权限门
• 研究记录：docs/research/PI_COMMUNITY_PLUGIN_SURVEY_2026-09-08.md

[tt-a1i]

Identity correction (2026-09-09)

This thread is SSH locality, not git-checkpoint. Official git-checkpoint.ts hooks session_before_fork only and never /tree. Fork stash lives on #508. Local record: docs/research/EXPERIMENT_GIT_CHECKPOINT_VS_509_2026-09-09.md. Source-read only. Not pi install. Not pi install cyclotomy. OpenPI a9b40f0 and origin/main 0d17f45 (0.8.1). Pi pin 0.84.1 plus official clone 6160683 / coding-agent 0.85.1.

Fact the opening post already owns, which later /tree notes must not overwrite:

• Official pointer here is ssh.ts blob 6ca4511 — identical on the 0.84.1 pin and on 0.85.1 6160683. --ssh user@host[:path] injects pluggable operations for read/write/edit/bash and !. It does not stash create, does not stash apply, does not listen to session_before_fork / session_before_tree.
• Official git-checkpoint.ts is the other file: 0.84.1 blob 7ee5e6af clears on agent_end; 0.85.1 blob 6f26cff clears on agent_settled. Memory Map + optional stash apply on /fork or /clone. No UI → no apply, and the fork still happens. That product question is 会话 fork 时要不要恢复工作区代码（git stash checkpoint），还是继续让 #154 只裁剪 context？ #508, which already records “工具执行位置：SSH 远程委派是独立机制，还是 #169 Computer/Security 的一种 provider？ #509 is SSH, not git-checkpoint.”
• OpenPI has zero session_before_fork / stash apply handlers on either SHA. /tree leftover (TREE_SEAM) is do nothing to the workspace. Sidecar CAS (cyclotomy) stays Ignore.

Not this thread: #508 fork stash; #154 context rewind (must not touch the working tree); #502 host OS isolation; #472 worktree reclaim; gondolin guest /workspace (local VM, not this SSH example); a checkpoint product bolted onto /tree.

Suggestion: keep asking only whether execution locality is an invariant (authoritative cwd / Trust / cancel / cleanup follow the place tools run) or a #169 Computer provider. Do not invent an SSH client. Do not merge a stash checkpoint into this Ideas. No new tracker.