v1.3.264

v1.3.264

发布日期：2026-10-16

自 v1.3.263 以来 28 个提交（含 PR #4206–#4243）。聚焦：权限模式重构为两模式契约（supervised/bypass，legacy 别名归一）、巡航审批安全收紧、pipe 输出流改进、openai_responses 三联修复与若干 agent 行为修正。

权限模式重构（PR #4243，本版核心）

五模式面收敛为两个用户模式，经 10 席两轮全量 review 后合并：

• supervised（默认）：默认放行 + 四道安全地板——系统级破坏命令、凭证外传、重定向后门写入（含 sh -c 'echo x > ~/.ssh/authorized_keys' 引号体形式）、文件工具写沙盒外。日常操作不再被无差别打断
• bypass（巡航面）：几乎全放行，仅保留系统级破坏、持久化后门写入两道门 + 凭证路径上传窄门（scp ~/.ssh/id_rsa host: 类命令文本字面引用凭证路径时确认；普通上传不受影响）
• **cruise（原 autopilot 能力）**挂在 bypass 面上：目标捕获（GOAL: 行）、策略师监督、ACTIVE GOAL 注入、会话超时在 bypass 下全部生效
• auto / autopilot 成为兼容别名：加载时归一为 supervised / bypass；所有入口（配置、TUI、desktop、mobile 隧道、ACP、pipe、daemon）单点归一化，旧配置无需迁移
• plan 为工具内部模式：仅 enter_plan_mode/exit_plan_mode 进入退出，/mode 拒绝直入；default_mode: plan 现校验报错（会话不得启动即入 plan）

行为变化（升级注意）

• 巡航审批收紧：旧 autopilot 在 TUI/隧道/手机路径自动放行一切 Ask；现 bypass 保留的门会真正弹出确认（系统级破坏、后门写入、凭证外传）。旧 autopilot 用户可能感知到极少数新增确认——有意安全收紧，门不能再是装饰
• ACP 外部客户端（Zed 等）：未知/缺省模式归一为 supervised；显式传 plan 现真正进入 plan 而非静默落 auto
• 隧道（手机遥控）模式切换与 TUI 入口行为一致（legacy 名称归一）
• 修复 #4235：AutoMode readOnlySandbox 误 Deny 场景随分支结构性消除

新增特性

• PR #4233 -p 模式 --output 同时 tee 到 stdout；thinking 流定向 stderr——管道下游消费 JSON 的同时可观察推理流
• PR #4211 --llm-retry-always：ad-hoc pipe 运行的 provider 级重试模式

修复

Provider（openai_responses / anthropic）

• PR #4231（#4230）三联修复：并行 tool call 发射顺序稳定化（map 随机序→序发射）、usage 计量、取消路径清理
• #4227 anthropic 末次 attempt 失败不再假成功；#4232 流超时/取消如实上报失败
• PR #4220（#4214）retry-always 排除确定性上下文溢出——不可重试错误不再空转重试；#4234 后台测试失败不再被记 green

Agent 行为

• PR #4225（#4224）guidance-budget 对 subgoalTrack/successDeclare/constraintAmnesia 回滚——预声明耗尽不再误伤后续轮次
• PR #4222（#4221/#4216）执行期只读复查 + ad-hoc 配对部分警告
• PR #4213（#4212）ask_user 安全默认建议写入工具结果（模型可见，不再只进 UI）
• PR #4208（#4207）"no biggie"/"no rush" 白名单——宽慰语不再误判 rejection
• #4210/#4209 agent 修复对（含 retrace 验证流 panic 恢复）
• PR #4206 image finalize/wmctrl/wlr 可移植路径测试覆盖

测试与内部

• 权限两模式契约锁定测试：三模式引号体重定向 PoC、凭证窄门双向断言、显式 ask 规则全模式生效、tunnel/ACP 归一化
• 10 席两轮全量 review（7 域 + 交叉），全部 LGOM 后合并

---

🤖 Generated with ggcode