[loopx-agent]

Quota/heartbeat, governed Turn and benchmark workers currently expose overlapping work contracts and lifecycle concepts. This proposal converges them on one complete contract and shared governed lifecycle, then introduces an optional controller/executor session split with a natural-language executor interface.

Proposed behavior

• One emitted schema and semantic instance across product paths, with shared full/delta/detail/recovery and original settlement identity. Retire active quota-versus-envelope format choice after consumer qualification; retain recorded versions for historical replay.
• The controller is the only model-facing Core client. Executor tasks/results carry natural-language work and complete sources; host adapters enforce role/session/attempt isolation. Existing typed owners retain admission, validation and settlement authority.
• Qualify unified single-session execution before the optional two-session profile. App heartbeat, managed execution, external workers and benchmark consumers reuse owners but each proves its actual host boundaries.
• C1–C9 identify concrete replacements, dependencies, acceptance and rollback. The source audit names both production composition callsites and downstream final-input readers. Independent obligation checks span composition, reconstruction and final input; shared captures alone do not prove unification.
• Recommend evolving the existing envelope version while retaining complete decision root paths, with actual host-operation binding. Explicitly migrate context-surface versions and reuse paths; do not inherit old baselines by Turn identity. Exact wire naming and complete mode/field mapping remain open before cutover.
• Keep freshness, relevance and settlement identity separate. A rejected stale review requires current facts and reassessment before an original-identity retry; another actor's changed acceptance is not automatically irrelevant.
• Synchronize the paired controller, effect, session, manager and roadmap RFCs, indexes and related protocol/context/heartbeat/benchmark guides. Repair the existing LayerFS pair's mirror declaration. Brief/result sizing is language-neutral exploratory guidance, not a runtime output cap.

Fusion target and baseline

The final contract must combine quota packet's decision-necessary information with TurnEnvelope's delivery efficiency and replace both. The complete root-preserving candidate is an intermediate lossless migration oracle, not the final design or demonstrated efficiency improvement. Field/clause inventory must distinguish necessary semantics, proven duplication and diagnostic-only material with explicit owners and consumers. Required information must be read or verifiably retained before dependent decisions; references alone do not establish delivery.

C1 now requires original quota packet versus fused contract in the same single-session path, with matched task/model/policy/budget/evaluator. Compare cold full, warm continuation, replan and missing/interrupted recovery; count actual model input, cached/uncached tokens, detail reads, round trips, retries, verification and human attention. Compare full and delta separately. The two-session profile is a later independent comparison. Preserved outcomes at lower full cost, or better outcomes at comparable budget, support a positive result; byte reduction alone does not.

Validation and limits

• Exact documentation head: e0e22127bc08c656e5949e8492ae0323e40a548b. Full docs-governance, staged/committed bilingual checks and diff hygiene pass. Changed files were scanned for private paths/state and internal links with no findings. Target is main; branch incorporates 99921829f2c5, with latest inspected target 6e0357626.
• A synthetic layout probe used real isolated File/SQLite quota captures and the existing TypeScript codec. Preserved root paths enabled warm delta; nesting all facts while retaining the old surface caused delta_not_smaller full fallback. Both layouts reconstructed exactly, missing-baseline recovery preserved the target, epoch changes required full, original captures were unchanged and no spend occurred. Retention was synthetic. This rejects unmapped relocation under the existing codec, not nesting in general; no model or installed-host benefit is claimed.
• Earlier deterministic source/projection probes found distinct complete sources with equal compact action signatures. This rules out promoting the bounded projection unchanged; it does not establish a current authority-loss bug.
• The earlier risk-based premerge at 7e55f3618 passed 4 direct and 19 selected checks, with manual_review_required overall because the full PR includes benchmark-sensitive documentation. That run predates the final paired design clarifications and is not an exact-current-head merge gate. New-head CI, exact-head review and merge readiness remain separate.
• Related runtime proposals fix(turn): preserve work context and gate unsupported consumer versions #7420 and fix(replan): return current facts for same-obligation recovery #7426 supply consumer-preservation/version checks and stale-review recovery. Their evidence does not qualify a unified writer or close C1. Shared production composition, explicit writer/consumer cutover, historical-reader retirement, differential-context and all-host acceptance remain required.
• The paired C1 checkpoint now records unfinished runtime candidate WIP: compose one complete Turn contract before capture #7430: complete producer/final-input transport, original-Turn inline successor settlement, root-action semantic refusal and real selected-work inputs. Its current focused suite is 95 passed. The six earlier staged-reader/guidance failures are retained historically: complete-input assertions now reach actual reader/writer checks, and the existing Explore applicability correction prevents pure replans from advertising Todo-only attachments. Isolated File/SQLite App/native paths cover bound and unbound input; custom guidance and before-work obligations remain intact. Unknown optional facts and historical routing are retained. These checks do not qualify all consumers, native continuity, installed App adoption or model benefit.
• The C1 checkpoint also records ten real-native loopback continuity cases after migrating the test oracle to the complete surface, exact capture equality and mandatory delta restoration. Compaction, process resume and invalidated history are covered; current full quota CLI has 158 passing checks, while the historical intermittent cache mismatch remains unexplained. These are protocol/transport results, not installed App adoption or model benefit.
• The paired checkpoint also records eight File/SQLite context-to-DSH subprocess cases after migrating complete-input assertions and reusing the production capture binder. Capability on/off, bound replan evidence readers and pre-runner tamper refusal pass; the broader complete-contract/DSH host selection passes 340 checks. The runner is an injected recorder, not live model qualification. Runtime behavior is unchanged by this test increment.
• The paired checkpoint records reuse of the existing interaction decoder at the complete-contract boundary: invalid versions, channel types, notifications and contradictory execution semantics reject despite valid hashes. Four regressions fail before the fix; the final runtime/context/DSH/stdio selection passes 352 cases, including isolated File/SQLite pre-runner rejection. This does not qualify every field or packaged adoption.
• Documentation/design only: no default promotion, installation, model experiment, benchmark job or merge is performed by this PR.

中文：本提案统一契约、上下文交付与受治理生命周期，再引入可选 controller/executor 分离。新增布局建议保留完整事实根路径，随 wire 迁移显式升级 context surface；隔离 File/SQLite 探针验证了沿用旧 surface 却搬迁根路径会失去差分收益。该证据只支持布局决策，不代表模型收益、统一 writer 或 C1 完成。双语和 docs-governance 检查通过；实际入口替换与各宿主资格仍待交付，合并由维护者另行决定。

Caller-visible quota baseline audit

The bilingual RFC now traces the actual original emission sequence (capture, optional staged replan view, CLI compaction, then native context transport) and classifies reusable behavior by exact sharing, omission, deferred reads, continuity and identity. Comparing the candidate with raw internal data misstates the main baseline. On the same synthetic non-staged replan, the candidate is 21,738 bytes versus the original CLI 20,543 (+5.82%); staged totals vary by policy and do not establish complete cost or model benefit. The RFC preserves these negative/inconclusive observations and specifies the next shared-owner deduplication qualification. No runtime code, model job or installed behavior changed in this audit.

Validation: existing relevant projection characterization 11 passed; docs governance, staged/head bilingual checks and public added-line scan passed. C1 remains open.

[loopx-agent]

Reviewer: model_agent; model=gpt-6.1-sol; provider=OpenAI; reasoning_effort=max; declaration_source=runtime_reported.

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

本次只修订语言表述；评审仍绑定原 head 70d7e190012fdc4d635ab8b114ddd2ff5d2d990e，结论、发现与验证范围不变。

动机

维护者连接 heartbeat、managed Turn 和 benchmark worker 时，需要一份在不同入口间保留任务与权限的迁移计划。

共享 capture 仍可能产生不同的执行格式和最终 prompt，容易让实现者把局部传输相等误当成完整统一；本提案明确真实 caller、最终 consumer、替换顺序与恢复边界。

已验证的结果是连贯的双语设计和 C1–C9 cutover 计划，并明确区分当前行为与尚未实现的采用。

本 PR 不实现统一 wire format、双会话执行、默认提升、安装采用或实测模型收益。

共享 composition、版本化 context cutover、角色隔离和真实 App/benchmark 采用仍需后续实现与资格验证。

改动思路

保留领域权威 owner，在 capture/encoding 前统一 composition。可选 controller 是唯一面向模型的 Core client；executor 在 host 隔离下处理普通任务和获准材料。它不同于确定性的 Turn Loop Controller，一个 logical Agent 仍最多有一个业务 executor。

仅补引用会留下互相矛盾的永久格式方向；在本文档 PR 再造 serializer，又会增加第三条未资格化路径。

关注点	当前边界	提议验收后的边界
Producer	quota emission 与 direct Turn 分别构建	一个完整 composition owner，覆盖两个真实入口
Consumer	ordinary/staged native 与 structured prompt 不同	在实际最终输入核完整重建及来源义务
Recovery	原 capture 和 receipt 仍归其 owner	same-capture full fallback；当前权限与原 settlement 分开
Session role	既有单 native binding	可选拆分前明确 role/generation/有序队列及隔离

表格只说明此 head 的源码设计，不是 runtime 证据；未检查 Mermaid 渲染。先统一单会话真实输入，再验收角色分工，不形成第二个控制面。缺 baseline、来源丢失、迟到结果及 controller 退出都有恢复／停止责任，不能靠从 prompt 删工具名来证明隔离。

具体改动

关键内容讲解

• 新 RFC 第 3–5、8–10 节 保留完整原始要求与 source revision，区分 semantic/content/byte/settlement integrity，限定 session 身份，保留 unknown field，无法复用时要求 full recovery。C1 同时列出两个 producer 与下游最终 prompt，首个切片要求完整真实 journey，更广 host retirement 继续开放。
• Effect-interpreter convergence 和 session modes 更新未来方向，同时保留当前 reader、历史 capture、host effect 与单 active executor 语义。Manager handoff 复用 request/revision/attempt owner，不新增消息账本或权威等级。
• Roadmap、status、benchmark、protocol 引用一致标明 design-only，保留当前 wire contract，区分模型 controller 与纯 disposition，token 范围仍是实验起点。LayerFS 双语改动明确既有 semantic mirror 维护规则。完整 22 条改动路径和两份完整新语言版本均在原评审中读取。

独立的改动前规格来自 docs/architecture/rfcs/agent-loop-effect-interpreter-v0.md，revision 为 99921829f2c5fa2ad35a024c72abb88717003ef3，采用既有 M7.4 验收，不用新 RFC 自证：

Criterion	此 head 的处置
M7.4-source-obligations	设计中 implemented：source/actor/reads/lease/replan/settlement/scheduler 义务保留并分配 owner
M7.4-real-host-adoption	deferred：C1/C2/C3/C8/C9 要求真实 caller、恢复及 packaged host 资格后才能 retirement
M7.4-measured-default	deferred：C7/C9 需匹配完整成本与独立结果验证后才可 promotion

双语条款核对包含主体、顺序、权限、必读来源、接续及停止条件。deferred 是明确留下的实现验收，不是通过的运行证据。

对主干的风险

最强反例是把相同 compact action projection 当成完整来源契约。独立合成 probe 表明：diagnostic tail 和 unknown root field 改变后，projected action hash 可以不变，完整 source hash 却不同。提案承认这一区别，没有把它描述为当前权限丢失 bug。

源码核对还确认 quota emission 先 capture 后 display projection，direct Turn 另建 envelope，而 capture IO 已共享，因此无需再加 capture service。

原真实 CLI full/delta/same-capture recovery 的 4 项 File/SQLite 和 caller-profile 用例全部通过。它们支持当前 codec，不证明未来 final-input 采用或模型节省；作者的合成 layout 观察也没有这层资格。改动 Markdown 的 953 个相对文件目标存在。

语义与 CI 对齐

双语 RFC 扩展设计词汇，没有新增 runtime enum、注册 wire version 或 default。本地 risk-based premerge 4 direct＋19 selected 通过，包含 RFC pairing、semantic advisory 和 public-boundary；原整体结果 manual_review_required 仅保留 benchmark_sensitive 维护者门禁。未查询、轮询或使用 GitHub CI。本结论不解除该独立 merge hold。

主要迁移风险仍在未来：最终输入须保留来源义务，并通过真实隔离、恢复和完整成本对照。当前协议继续有效，历史 receipt 不可改写；此 PR 没有启用双会话或改变结算行为。

我的整体评价

APPROVE，这是 70d7e190012fdc4d635ab8b114ddd2ff5d2d990e 的合理设计增量。长程执行 preserved：原义务、当前权限、replay 和完整成本验收继续约束后续实现；用户体验 preserved：不新增 setup 或确认轮次，未来控件复用既有 conversation/activity/stop journey。

原 PR 只改 Markdown 设计／协议和索引，未改 App、Lark、CLI 实现，因此没有渲染页面变化的验证声明。未来角色 runtime、安装采用、模型 compliance 与实测收益均未交付。

体量由双语完整设计及冲突方向的协调替换支撑，复用原 owner，没有推测性生产抽象。设计更清楚，但 runtime 有效性、效率仍未测。原读取时 PR discussion 数组为空。 共享作者账号通过 COMMENTED 承载原结论，不是正式 GitHub 自批准或 merge 权限。

实现、host 采用和默认 promotion 各走原验收出口；文档、codec 无损或自动检查通过都不等于用户成果。

English verdict: APPROVE — 70d7e190012fdc4d635ab8b114ddd2ff5d2d990e; complete bilingual design and caller/authority/recovery boundaries reviewed, current codec checks passed, future implementation and benchmark-sensitive maintainer merge hold remain explicit.

[loopx-agent]

Reviewer: model_agent; model=gpt-6.1-sol; provider=OpenAI; reasoning_effort=max; declaration_source=runtime_reported.

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

本次只修订语言表述；评审仍绑定原 head 7ff693f36820363a45cf6a812d200edbd09aa573，结论、发现与验证范围不变。

动机

维护者连接 heartbeat、managed Turn 和 benchmark worker 时，需要一份在不同入口间保留任务与权限的迁移计划。

共享 capture 仍可能产生不同的执行格式和最终 prompt，容易让实现者把局部传输相等误当成完整统一；本提案明确真实 caller、最终 consumer、替换顺序与恢复边界。

已验证的结果是连贯的双语设计和 C1–C9 cutover 计划，并明确区分当前行为与尚未实现的采用。

本 PR 不实现统一 wire format、双会话执行、默认提升、安装采用或实测模型收益。

共享 composition、版本化 context cutover、角色隔离和真实 App/benchmark 采用仍需后续实现与资格验证。

改动思路

保留领域权威 owner，在 capture/encoding 前统一 composition。可选 controller 是唯一面向模型的 Core client；executor 在 host 隔离下处理普通任务和获准材料。它不同于确定性的 Turn Loop Controller，一个 logical Agent 仍最多有一个业务 executor。

仅补引用会留下互相矛盾的永久格式方向；在本文档 PR 再造 serializer，又会增加第三条未资格化路径。

关注点	当前边界	提议验收后的边界
Producer	quota emission 与 direct Turn 分别构建	一个完整 composition owner，覆盖两个真实入口
Consumer	ordinary/staged native 与 structured prompt 不同	在实际最终输入核完整重建及来源义务
Recovery	原 capture 和 receipt 仍归其 owner	same-capture full fallback；当前权限与原 settlement 分开
Session role	既有单 native binding	可选拆分前明确 role/generation/有序队列及隔离

表格只说明此 head 的源码设计，不是 runtime 证据；未检查 Mermaid 渲染。先统一单会话真实输入，再验收角色分工，不形成第二个控制面。缺 baseline、来源丢失、迟到结果及 controller 退出都有恢复／停止责任，不能靠从 prompt 删工具名来证明隔离。

具体改动

关键内容讲解

• 新 RFC 第 3–5、8–10 节 保留完整原始要求与 source revision，区分 semantic/content/byte/settlement integrity，限定 session 身份，保留 unknown field，无法复用时要求 full recovery。C1 同时列出两个 producer 与下游最终 prompt，首个切片要求完整真实 journey，更广 host retirement 继续开放。
• Effect-interpreter convergence 和 session modes 更新未来方向，同时保留当前 reader、历史 capture、host effect 与单 active executor 语义。Manager handoff 复用 request/revision/attempt owner，不新增消息账本或权威等级。
• Roadmap、status、benchmark、protocol 引用一致标明 design-only，保留当前 wire contract，区分模型 controller 与纯 disposition，token 范围仍是实验起点。LayerFS 双语改动明确既有 semantic mirror 维护规则。完整 22 条改动路径和两份完整新语言版本均在原评审中读取。

独立的改动前规格来自 docs/architecture/rfcs/agent-loop-effect-interpreter-v0.md，revision 为 99921829f2c5fa2ad35a024c72abb88717003ef3，采用既有 M7.4 验收，不用新 RFC 自证：

Criterion	此 head 的处置
M7.4-source-obligations	设计中 implemented：source/actor/reads/lease/replan/settlement/scheduler 义务保留并分配 owner
M7.4-real-host-adoption	deferred：C1/C2/C3/C8/C9 要求真实 caller、恢复及 packaged host 资格后才能 retirement
M7.4-measured-default	deferred：C7/C9 需匹配完整成本与独立结果验证后才可 promotion

双语条款核对包含主体、顺序、权限、必读来源、接续及停止条件。deferred 是明确留下的实现验收，不是通过的运行证据。

对主干的风险

相对先前已评的 70d7e190012fdc4d635ab8b114ddd2ff5d2d990e，仅两份新 RFC 语言版本改变，其他 20 个改动文件字节相同；两份完整增量段落均已核对。

引用的未完成 Draft #7430 在 ef68665e77df25ff6ef3f343b19f4d354bab0dd2 检查：源码在 quota/direct Turn capture 前 composition，将完整 contract 送到 Codex stdin；capability reentry 沿 canonical CLI channel，原 hash-bound review/writeback reader 保留，唯一 native-launch binding 来自已记录 settlement identity。

独立执行 11 项 complete-contract（含 fresh-obligation、prior-Todo replan reader/tamper）、8 项 source-quota/health 拒绝及 2 项实际 bash/zsh bootstrap，全部通过，使用隔离 File/SQLite fixture 和合成 executable。只证明这些 source path；cache-suite 一致性、所有 consumer 的 staged parity、structured/external 迁移及 packaged host continuity 仍未知，作者早先 broad failure 保留为历史。没有对该 Draft 作完整 review、标 ready 或批准；C1、模型／成本收益仍未资格化。双语 checkpoint 如实保留这些限制。

最强反例是把相同 compact action projection 当成完整来源契约。独立合成 probe 表明：diagnostic tail 和 unknown root field 改变后，projected action hash 可以不变，完整 source hash 却不同。提案承认这一区别，没有把它描述为当前权限丢失 bug。

源码核对还确认 quota emission 先 capture 后 display projection，direct Turn 另建 envelope，而 capture IO 已共享，因此无需再加 capture service。

明确复用原 head 70d7e190012fdc4d635ab8b114ddd2ff5d2d990e 的 source-scoped 证据：4 项真实 CLI full/delta/same-capture recovery 和 action/source-hash probe 已通过。两文件文档增量没有改变 source、test、dependency，未重跑，也未归给引用 Draft。它们只支持当前 codec；作者的合成 layout 观察与这些检查均不证明未来 final-input 采用或模型节省。改动 Markdown 的 953 个相对文件目标存在。

语义与 CI 对齐

双语 RFC 扩展设计词汇，没有新增 runtime enum、注册 wire version 或 default。393c7b66273718070beb9cea6bb10c2eb9b00426 的本地 premerge 4 direct＋19 selected 自动检查通过，整体 manual_review_required 仅保留 benchmark_sensitive 维护者门禁。此 exact head 再次通过 paired-RFC 和 diff-hygiene；完整两文件增量只增加上述公开 Draft checkpoint。其他 premerge 证据经 source/test/dependency 与 20 文件内容全等后复用，没有冒充重跑。未查询、轮询或使用 GitHub CI，也未解除维护者 merge hold。

主要迁移风险仍在未来：最终输入须保留来源义务，并通过真实隔离、恢复和完整成本对照。当前协议继续有效，历史 receipt 不可改写；此 PR 没有启用双会话或改变结算行为。

我的整体评价

APPROVE，这是 7ff693f36820363a45cf6a812d200edbd09aa573 的合理设计增量。长程执行 preserved：原义务、当前权限、replay 和完整成本验收继续约束后续实现；用户体验 preserved：不新增 setup 或确认轮次，未来控件复用既有 conversation/activity/stop journey。

原 PR 只改 Markdown 设计／协议和索引，未改 App、Lark、CLI 实现，因此没有渲染页面变化的验证声明。未来角色 runtime、安装采用、模型 compliance 与实测收益均未交付。

体量由双语完整设计及冲突方向的协调替换支撑，复用原 owner，没有推测性生产抽象。设计更清楚，但 runtime 有效性、效率仍未测。先前 exact-head review 已读回，未发现新人工评论或 inline thread；原发表前已对改动 head 重新判断，没有继承旧结论。 共享作者账号通过 COMMENTED 承载原结论，不是正式 GitHub 自批准或 merge 权限。

实现、host 采用和默认 promotion 各走原验收出口；文档、codec 无损或自动检查通过都不等于用户成果。

English verdict: APPROVE — 7ff693f36820363a45cf6a812d200edbd09aa573; complete bilingual design and caller/authority/recovery boundaries reviewed, current codec checks passed, future implementation and benchmark-sensitive maintainer merge hold remain explicit.

[loopx-agent]

Reviewer: model_agent; model=gpt-6.1-sol; provider=OpenAI; reasoning_effort=max; declaration_source=runtime_reported.

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

本次只修订语言表述；评审仍绑定原 head 816e004a262f723b26a1df762ecb3727894bf0ae，结论、发现与验证范围不变。

动机

维护者连接 heartbeat、managed Turn 和 benchmark worker 时，需要一份在不同入口间保留任务与权限的迁移计划。

共享 capture 仍可能产生不同的执行格式和最终 prompt，容易让实现者把局部传输相等误当成完整统一；本提案明确真实 caller、最终 consumer、替换顺序与恢复边界。

已验证的结果是连贯的双语设计和 C1–C9 cutover 计划，并明确区分当前行为与尚未实现的采用。

本 PR 不实现统一 wire format、双会话执行、默认提升、安装采用或实测模型收益。

所有 consumer/version/context transition 的完成与资格验证、packaged host journey 及可选角色隔离仍开放。

改动思路

保留领域权威 owner，在 capture/encoding 前统一 composition。可选 controller 是唯一面向模型的 Core client；executor 在 host 隔离下处理普通任务和获准材料。它不同于确定性的 Turn Loop Controller，一个 logical Agent 仍最多有一个业务 executor。

仅补引用会留下互相矛盾的永久格式方向；在本文档 PR 再造 serializer，又会增加第三条未资格化路径。

关注点	当前边界	提议验收后的边界
Producer	quota emission 与 direct Turn 分别构建	一个完整 composition owner，覆盖两个真实入口
Consumer	ordinary/staged native 与 structured prompt 不同	在实际最终输入核完整重建及来源义务
Recovery	原 capture 和 receipt 仍归其 owner	same-capture full fallback；当前权限与原 settlement 分开
Session role	既有单 native binding	可选拆分前明确 role/generation/有序队列及隔离

表格只说明此 head 的源码设计，不是 runtime 证据；未检查 Mermaid 渲染。先统一单会话真实输入，再验收角色分工，不形成第二个控制面。缺 baseline、来源丢失、迟到结果及 controller 退出都有恢复／停止责任，不能靠从 prompt 删工具名来证明隔离。

具体改动

关键内容讲解

• 新 RFC 第 3–5、8–10 节 保留完整原始要求与 source revision，区分 semantic/content/byte/settlement integrity，限定 session 身份，保留 unknown field，无法复用时要求 full recovery。C1 同时列出两个 producer 与下游最终 prompt，首个切片要求完整真实 journey，更广 host retirement 继续开放。
• Effect-interpreter convergence 和 session modes 更新未来方向，同时保留当前 reader、历史 capture、host effect 与单 active executor 语义。Manager handoff 复用 request/revision/attempt owner，不新增消息账本或权威等级。
• Roadmap、status、benchmark、protocol 引用一致标明 design-only，保留当前 wire contract，区分模型 controller 与纯 disposition，token 范围仍是实验起点。LayerFS 双语改动明确既有 semantic mirror 维护规则。完整 22 条改动路径和两份完整新语言版本均在原评审中读取。

独立的改动前规格来自 docs/architecture/rfcs/agent-loop-effect-interpreter-v0.md，revision 为 99921829f2c5fa2ad35a024c72abb88717003ef3，采用既有 M7.4 验收，不用新 RFC 自证：

Criterion	此 head 的处置
M7.4-source-obligations	设计中 implemented：source/actor/reads/lease/replan/settlement/scheduler 义务保留并分配 owner
M7.4-real-host-adoption	deferred：C1/C2/C3/C8/C9 要求真实 caller、恢复及 packaged host 资格后才能 retirement
M7.4-measured-default	deferred：C7/C9 需匹配完整成本与独立结果验证后才可 promotion

双语条款核对包含主体、顺序、权限、必读来源、接续及停止条件。deferred 是明确留下的实现验收，不是通过的运行证据。

对主干的风险

相对先前已评的 7ff693f36820363a45cf6a812d200edbd09aa573，仅两份新 RFC 语言版本改变，其他 20 个改动文件字节相同；所有期间的双语段落均已读取。

引用的未完成 Draft #7430 在 66878872bbb6967740be59928f215057360af479 检查，分别追踪共享 complete-input helper/structured renderer、Markdown source 保留、modern inner-version/binding 校验和 pre-capture successor-binding owner。完整 source 保留 inactive fact，不因此加 recall instruction 或 reflection result field。获支持的 Todo-bound DSH route 得到原 capture；obligation-only DSH 仍在 dispatch 前拒绝。

早先 07ca38f0351d887c31f9524c0be0d034b7e1bb68 的 complete-contract/host-memory 125 项通过。四个代表性合成历史 authority mapping 的完整 renderer prompt 与前一个 candidate 逐字节相等，无 normalization；较新 reference 的 renderer source 也逐字节不变。这只证明格式 parity，不证明 request admission、activation 或模型行为。

较新 66878872bbb6967740be59928f215057360af479 的独立 complete-contract/staged-reader 为 50 通过／6 失败。新增 File/SQLite App-heartbeat 与 generic-CLI inline successor 用例通过：从 captured contract 创建工作、拒绝提前 spend、原身份一次结算、留下 successor open，不另跑 guard/reader。Checkpoint preflight 在 File/SQLite、replan 与 context-delivery 矩阵中保留完整 input/full recovery；modern inner version/binding 不支持时，即使 outer hash 匹配仍拒绝。真实隔离 authority 配合合成 executable/runner，未跑 benchmark job 或模型。

六个 legacy staged-suite 用例仍因 compact Explore-template 缺失、compact settlement-plan 缺失和旧 envelope writeback alias 失败。相同六个 case/error category 也在前一 candidate 失败；它们仍是失败的 migration coverage，没有改写成通过。作者报告的 70 项 external-worker 结果未由我独立重跑，其 scope 是 scheduling/recovery，opaque shell wake 是否送到 executor model 仍明确未验。

双语 checkpoint 区分了 source transport、inline lifecycle、activation 与模型／安装采用。剩余 reader/cache/staged/all-consumer migration、version admission、packaged continuity 开放，operation-SDK runtime 未测；更早 broad failure 仍属历史。未对 Draft 作 review 或 ready 变更，未认证 C1 或模型／成本收益。

最强反例是把相同 compact action projection 当成完整来源契约。独立合成 probe 表明：diagnostic tail 和 unknown root field 改变后，projected action hash 可以不变，完整 source hash 却不同。提案承认这一区别，没有把它描述为当前权限丢失 bug。

源码核对还确认 quota emission 先 capture 后 display projection，direct Turn 另建 envelope，而 capture IO 已共享，因此无需再加 capture service。

明确复用原 head 70d7e190012fdc4d635ab8b114ddd2ff5d2d990e 的 source-scoped 证据：4 项真实 CLI full/delta/same-capture recovery 和 action/source-hash probe 已通过。两文件文档增量没有改变 source、test、dependency，未重跑，也未归给引用 Draft。它们只支持当前 codec；作者的合成 layout 观察与这些检查均不证明未来 final-input 采用或模型节省。改动 Markdown 的 953 个相对文件目标存在。

语义与 CI 对齐

双语 RFC 扩展设计词汇，没有新增 runtime enum、注册 wire version 或 default。393c7b66273718070beb9cea6bb10c2eb9b00426 的本地 premerge 4 direct＋19 selected 自动检查通过，整体 manual_review_required 仅保留 benchmark_sensitive 维护者门禁。此 exact head 再次通过 paired-RFC 与 diff-hygiene；完整两文件增量只增加已披露的 structured-host/activation checkpoint。其他 premerge 证据经 source/test/dependency 和 20 文件内容全等后复用，没有冒充重跑。未查询、轮询或使用 GitHub CI，也未解除维护者 merge hold。

主要迁移风险仍在未来：最终输入须保留来源义务，并通过真实隔离、恢复和完整成本对照。当前协议继续有效，历史 receipt 不可改写；此 PR 没有启用双会话或改变结算行为。

我的整体评价

APPROVE，这是 816e004a262f723b26a1df762ecb3727894bf0ae 的合理设计增量。长程执行 preserved：原义务、当前权限、replay 和完整成本验收继续约束后续实现；用户体验 preserved：不新增 setup 或确认轮次，未来控件复用既有 conversation/activity/stop journey。

原 PR 只改 Markdown 设计／协议和索引，未改 App、Lark、CLI 实现，因此没有渲染页面变化的验证声明。未来角色 runtime、安装采用、模型 compliance 与实测收益均未交付。

体量由双语完整设计及冲突方向的协调替换支撑，复用原 owner，没有推测性生产抽象。设计更清楚，但 runtime 有效性、效率仍未测。先前 exact-head review 已读回，当前普通评论为空；原发表前已对新 head 独立重新判断，没有继承旧结论。 共享作者账号通过 COMMENTED 承载原结论，不是正式 GitHub 自批准或 merge 权限。

实现、host 采用和默认 promotion 各走原验收出口；文档、codec 无损或自动检查通过都不等于用户成果。

English verdict: APPROVE — 816e004a262f723b26a1df762ecb3727894bf0ae; complete bilingual design and caller/authority/recovery boundaries reviewed, current codec checks passed, future implementation and benchmark-sensitive maintainer merge hold remain explicit.