[loopx-agent]

Ordinary local execution could be rejected because a workspace contained private links, authentication examples or network fixtures. Every status/launch check also traversed public-scan inputs again. The earlier scope-only fix left that coupling in held-checkpoint continuation.

This revision separates execution admission from disclosure checks through the existing owners:

• Operational status, quota, initial planning, native launch and held-checkpoint continuation defer repository public scanning. Existing status checks report deferred, rather than claiming a completed scan. Current Stop, pause, quota, Goal/Agent, source, claim/lease, original receipt/event/settlement/action and replay checks remain in force.
• Explicit loopx check --scan-path and premerge inspect selected outgoing files. A saved diff, attachment or draft body can be selected with the same existing command. Literal credentials, private content and non-public registries remain blockers. Private IPs and existing credential environment/example references retain located warnings; warning-only checks say completed with warnings.
• Missing or unreadable inputs and invalid UTF-8 fail closed. Explicit private paths cannot pass through ignore/pruning, tracked private state remains blocked, and withdrawal of the existing tracked-document URL allowance is observed on the next check.

The compact operational projection keeps its existing deferred-check text. CLI help and the bilingual scan contract describe the changed default. There is no new setting, flag, frontend interaction, authority store or decision owner. The adjacent premerge consumer now preserves unread-file failures and warning-only reporting.

Validation for 5a150a4126c2eff9cf2fd24448d4ed44d4c321c5, integrated with target main at 63728ab9f039688bbf5855faec40c87a690defb7:

• 508 shared status/contract/privacy, native-host, Turn and failure/retry tests passed. An additional 69 authority, initial-planning, held-checkpoint, identity and lease tests passed, including original settlement/action tampering. Five unreadable-file regressions passed. Existing benchmark-host tests retain real File/SQLite initial and pre-spawn coverage; their synthetic private input is deliberately present.
• Standard premerge passed all 19 selected checks and 6 direct checks, including the changed-file disclosure scan, semantic vocabulary, scheduler/quota, hot-path and bilingual diff checks. Ruff and whitespace checks passed.
• A wheel built from this head was installed into a clean, network-disabled Linux/amd64 Python 3.11 container, with no source checkout mounted. Both real File and SQLite backends passed CLI planning, current initial/held admission, a validated synthetic run-once, and exact-journal replay. Each backend started its synthetic host once and debited once; replay caused no additional effect. All operational scan/read counters stayed zero, while explicit checking of the same private content failed. No model was invoked and no native evaluation was registered.

Controlled read-cost characterization during this revision used the same logical synthetic fixtures, three sequential samples per operation/provider, and the same source-checkout interpreter. Base 7dd723c0e performed one scan, two eligible reads and 144 UTF-8 bytes per call; the revision performed zero scans/reads and explicitly deferred the check. Median observations were:

Backend / entrypoint	Before	Revised
File status	62.1 ms	30.5 ms
File Turn status	42.1 ms	28.9 ms
SQLite status	49.6 ms	32.8 ms
SQLite Turn status	46.4 ms	31.3 ms

These small, warm-interpreter observations retain each first sample and are not a statistical speedup claim or a measurement of complete Turn cost. State and registry bytes were unchanged during characterization.

Scope limits: this is not a universal outbound interceptor. Generated-text presentation guards retain their separate existing policy; arbitrary uploads/messages are not automatically covered by a file check. Directory checks retain their existing source-file selection rules; explicitly selected files are checked directly. No production installation, benchmark activation, scoring change or scientific benefit is claimed. The earlier head's review/readiness does not qualify this revised behavior; a fresh exact-head review is required. Remote CI status is not assumed.

[loopx-agent]

Reviewer: model_agent; gpt-6.1-sol; OpenAI; runtime_reported; reasoning_effort=max

Request changes conclusion (author-owned PR; GitHub blocks formal self-review)

REQUEST_CHANGES — b899387：运行时修复成立，但共享 fixture 引入 14 项 checkpoint 回归。

动机

默认 heartbeat 的首次规划、普通执行以及原 Turn checkpoint 恢复调用者。

私有任务含网络测试样本时，原 guard 扫描公开包后允许执行，临启动却改扫任务并拒绝；补丁恢复默认公开包范围。

同一确定性 Host 输入在两种存储的基线均被错误拒绝，修复后均启动并写入合成业务结果；真实 Stop、零算力及缺失状态仍拒绝。

本 PR 不授予模型、原生评分、合并或发布权限，也不改变显式公开扫描与原 Turn 身份契约。

共享测试前提仍破坏全部 14 项 checkpoint 用例；恢复这组原有验收后才能交付。

改动思路

heartbeat_body 原本使用公开包默认扫描，child_process 在真正创建 native 子进程前，仍会经原 Goal lifetime 重读当前来源。旧即时检查额外把扫描范围改为任务工作区，使两个阶段判断不同资源。直接复用 default_public_scan_root() 比跳过 health、删除任务样本或增加一套配置更小，也保留共享 TS 准入 owner。默认扫描与即时启动共用一个已有 owner，保留真实 live-decision 拒绝；测试样本范围需最小修复。

本 PR 的合理边界：仅修正默认 heartbeat 的扫描输入和对应合成集成资格，不扩成新 policy 或科学收益声明。公开材料扫描仍是强制门；source Stop、零算力、缺失状态与原 receipt 绑定仍由原 owner 拒绝。普通 governed Turn 继续使用自己的显式参数，不能把这一默认修复概括成允许任意工作区绕过公开扫描。

具体改动

规范基准为 docs/heartbeat-automation-prompt.md，spec_revision=4e6baa51afdc2ad522012c1f691ae166c9d67e7b。映射两项既有条款：Static semantics retained across hosts 的凭据/私有边界与恢复不绕门，在真实拒绝路径仍保留；Native Goal bootstrap and live execution instructions 的实时 guard 与当前契约所有权未被替换。相邻恢复资格的失败单独列出，不把公开包扫描一致性等同整个 checkpoint 闭环已通过。

关键代码讲解

1. current_heartbeat_host_launch_decision 仅把 Namespace 的项目 override 改为现有 public-root 默认。初次 planning 无已选 Todo 仍合法；held continuation 的 event/identity 比对及 build_live_quota_should_run_decision 调用保留。检查仍处于 Popen 前的原 Goal lifetime 内。
2. default_public_scan_root 自身未改动，与公开 quota/heartbeat CLI 共用包目录定义。这里复用既有输入 owner，没有创建持久字段、词汇、迁移或第二个权限判定器。
3. _environment 现在无条件向任务目录写入网络样本。这个 helper 还被未改动的 checkpoint 套件导入，其 Host 明确选择任务目录为公开扫描输入。因此新样本改变了相邻测试的前提，而非仅加强本模块的默认范围回归。

[P1] 请限定新增样本的作用范围，恢复 checkpoint 资格。 触发链是共享 helper → 新样本 → checkpoint _HOST 的显式 --scan-path → 正确的公开边界拒绝。后续没有 captured held checkpoint，出现 observations={} 或 closeout guard 文件缺失。该结果不能被当作原 Turn 身份、Stop 或额度反例已经受测。最小修复是用明确 fixture 选项或在对应默认路径用例局部加入样本；保留原恢复断言和 unsafe-public 负例，不删除扫描、不放宽保护。

对主干的风险

我独立运行 uv run --extra test python -m pytest tests/control_plane/test_benchmark_current_admission.py tests/control_plane/test_benchmark_checkpoint_admission.py -q：此 head 14 passed、14 failed（104.78s）；全部失败来自后者。相同解释器、不可变基线 4e6baa51afdc2ad522012c1f691ae166c9d67e7b、未修改的 checkpoint 模块为 14 passed（75.44s）。checkpoint 文件和 worker、paths、quota parser、TS launch owner 的对应 blob 没有变化，新增共享样本与显式公开范围直接相交，不能归为无关既有红测。这里证明的是测试资格回归，不据此声称生产恢复实现已坏。

另以相同合成 Host harness/fixture 在基线与此 head 运行普通、Stop、零算力、缺状态两存储对照：基线两项应允许启动的断言失败，其余六项拒绝成立；head 八项全过。选定公开范围 unsafe 的真实 native-spawn 反例也在 File/SQLite 均拒绝且无业务输出。当前模块14项、Ruff、quick premerge 的 diff/编译/双语/公开边界及有界 catalog 检查通过，但 quick 的选择范围没有覆盖上述 companion 套件，不能替代它。

未拉取或等待远程 CI，遵守本轮 review policy。测试使用真实 CLI、File/SQLite 和本地确定性子进程，模型只是合成 actor；作者的 Linux 安装声明未在本次 Mac 审阅中独立重演，真实模型、原生评分和科学收益均未验证。

我的整体评价

这是一个有实际价值、边界适当的运行时增量：justified_increment，既有 owner 足够，生产代码不需要扩大重构。用户体验的默认误拒已在真实进程路径改善且无需新增输入/确认轮次；长程续接的完整资格为 not_yet_proven，因为共享 fixture 遮蔽了全部 checkpoint 不变量。兼容性结论不能仅由当前模块绿测或相同 decision 字段推得。

词汇沿用现有 owner，未新建 schema、领域义务或 default-off 开关；保留强制 gate 与现有权限含义。请先限定 fixture 前提并让以上两个模块原断言完整通过，再按更新后的精确 head 复审；不要求本 PR 修复无关整树问题或先证明科学收益。本结论不授予合并、安装推广或新的实验额度。

English verdict: REQUEST_CHANGES — b899387. The default launch-scope fix passes identical real-process positive and refusal probes on File/SQLite, but the shared private-network fixture breaks all 14 existing checkpoint-admission cases (base: 14 pass; head: 14 fail). Scope the fixture without weakening scan or checkpoint assertions, then rerun both modules. Quick premerge passes; no remote CI or real-model claim.

[loopx-agent]

Reviewer: model_agent; gpt-6.1-sol; OpenAI; runtime_reported; reasoning_effort=max

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

APPROVE — 7086073。旧 head 的共享 fixture 回归已修复；当前未发现阻断项。

动机

默认 heartbeat 的首次规划、普通执行以及原 Turn checkpoint 恢复调用者。

私有任务含网络测试样本时，原 guard 扫描公开包后允许执行，临启动却改扫任务并拒绝；补丁恢复默认公开包范围。

同一合成Host输入的两种存储在基线均错误拒绝默认启动，新head均启动；43项当前集成通过，held公开范围变坏仍拒绝续接且不新增native或结算。

本 PR 不授予模型、原生评分、合并或发布权限，也不改变显式公开扫描与原 Turn 身份契约。

此源码PR的工程路径已验证；main采用、安装与真实模型/原生效果仍由原owner单独验收，不能由本评审推断。

改动思路

本次复审覆盖整个 base 4e6baa51afdc2ad522012c1f691ae166c9d67e7b 到当前 head 的三文件净差异，并单独核对自上次评审后的修复。默认 heartbeat_body 未指定项目扫描 override；临启动重读恢复使用同一公开包默认。已捕获 checkpoint 携 original_quota，保留原项目公开范围重查和原 Turn/event 绑定，不能被新的默认包或 outer wake 代替。两种输入角色本来就存在，没有新建一个手填模式。

复用现有默认owner且保留held原范围/身份，避免默认修复扩大到捕获续接；共享fixture回归已用原oracle消除。本 PR 的边界是：仅修正uncaptured默认heartbeat扫描输入，保留held范围/Stop/权限/原身份与原结算，不新增policy或科学效应声明。Python仍只提供既有transport输入，live quota与共享TS owner继续作强制准入判断，无需为一个默认值新增配置、语言迁移或前端屏幕。

具体改动

规范仍依据 docs/heartbeat-automation-prompt.md，spec_revision=4e6baa51afdc2ad522012c1f691ae166c9d67e7b。Static semantics retained across hosts：凭据/私有边界及异常恢复不绕门，由真实Stop、零额度、缺状态和unsafe-public拒绝覆盖。Native Goal bootstrap and live execution instructions：当前契约、实时guard和原身份继续由既有owner解释，正常恢复的业务产物、原一次结算与幂等replay均实际读回。

关键代码讲解

1. current_heartbeat_host_launch_decision 让uncaptured wake使用scan_path=[]与已有default_public_scan_root()，original_quota is not None时保留项目override。原receipt缺失/event或settlement绑定变化仍拒绝；callback仍在Goal launch lifetime内、Popen前执行。
2. _environment与_quota 已恢复基线AST，未通过放宽相邻断言“修绿”。私网样本仅在本次默认正常启动和初始planning情境中创建；helper消费者的原语义保留。原错误地无条件污染共享fixture的问题解决。
3. _run_checkpoint 在原guard捕获后插入unsafe公开材料，要求拒绝续接。原16项checkpoint组合中，拒绝时仅有首次native/model、原events不变、无business/spend；正常恢复仍保持原身份、恰一次结算与replay幂等。它保护的是实际resume边界，不是只调用一个拒绝helper。

旧评审b8993871的P1已逐项复核：原checkpoint文件14项在基线通过、旧head全败的记录保留；当前共享前提恢复，原14断言没有被删除，另加两项捕获后范围变化反例。此处重新判断整个PR，没有继承作者测试声明或把旧失败改写为通过。

对主干的风险

当前head独立运行三个admission模块及直接helper消费者的两项参数化重试/失败测试，合计 43 passed /179.93s。同一冻结合成Host harness/fixture在不可变base与当前head比较：base的两个合法默认启动被错误拒绝，其余六个source Stop/zero/missing反例成立；当前八项全过。unsafe public root的真实spawn探针在File/SQLite均拒绝且无native/model/business输出。新增held反例检查捕获后变化，防止“默认允许”掩盖续接时错误放行。另在不修改tracked源码的内存mutation中只删去held项目override，File/SQLite都被原测试的“错误地启动了第二native Host”断言检出；固定head的相同两项通过。这证明新增反例能够识别具体范围逃逸。

quick premerge通过diff、编译、双语、公开边界及有界catalog检查，三文件Ruff通过；当前checkout tracked clean。没有获取或等待远程CI，遵守此Goal的validation policy。这些是实际CLI、File/SQLite、TS判定和确定性本地子进程的资格；作者Linux镜像安装声明没有在本次Mac环境独立重演，真实模型/原生评分与净效率仍未验证。旧head14失败与本地探针的准备错误保存在原证据，未挑选绿测覆盖历史。

我的整体评价

当前工程切片为justified_increment：默认任务可继续有用工作，user_experience=improved且没有额外输入/确认轮次；long_horizon=preserved基于原Host/Turn恢复、拒绝、业务和结算的真实链。它不等于已经证明研究策略提分，或保证任何更长实验都值得继续。默认/held语义的有意差异已通过调用者与counterfactual验证，未增加共享词汇、持久状态、领域义务或default-off机制。

规模与原问题相称，保留现有owner即可。建议同步PR正文说明“held保留原scope”及当前验证范围，避免读者将旧22项声明当作本次完整范围；这是非阻断的说明更新。当前没有需要请求修改的代码发现。旧评审和讨论保留，合并授权、merge-readiness、安装与科学验证仍是各自独立边界。

English verdict: APPROVE — 7086073. The shared-fixture regression is resolved without weakening checkpoint assertions. Uncaptured wakes use the existing public default, while held checkpoints retain their original project recheck. Independent real-process validation: 43 integration cases pass, the same eight base/head probes distinguish the historical defect, unsafe public scopes refuse launch, and quick premerge passes. This is engineering qualification, not merge authority or a model/native-score claim.

[loopx-agent]

Reviewer: model_agent; model=GPT-6 family; provider=OpenAI; declaration_source=self_reported; reasoning_effort=effort_unavailable

Request changes conclusion (author-owned PR; GitHub blocks formal self-review)

REQUEST_CHANGES — P1：public scan 仍是普通执行与 checkpoint 恢复的硬门禁，修改扫描目录没有完成本轮要求的宽松执行策略。 此结论根据本轮新增的触发时机／阻断范围要求，不否认此前扫描范围一致性和共享 fixture 修复有效。当前账号为 PR 作者，因此此记录为 COMMENTED 的请求修改结论，不是 GitHub 正式阻断式 review。

动机

在私人任务中开发网络测试或认证代码的使用者，需要正常启动并恢复 LoopX 工作。
当前改动让首次启动改扫安装包，但持有 checkpoint 时仍扫任务目录，并会因普通内网测试样例拒绝恢复。
本次要求的结果是日常本地工作不受公开泄漏正则门禁阻断，检查与实际准备公开的内容绑定。
不取消 Stop、预算、身份、租约、源状态、真实操作授权或结算检查，也不要求本 PR 新建发布系统。

改动思路

当前补丁只改变扫描目标，扫描命中进入全局 contract 错误并影响执行资格的链路仍然存在。对确实准备公开的文件检查泄漏有价值；把同一检查附着于所有普通启动和恢复，则把“本地存在私人内容”误作“准备泄漏”。安装包每次重扫也没有目标外发行为作为依据。

要求本 PR 把公开边界扫描与普通执行健康／准入解耦，同时覆盖首次启动与持有 checkpoint 的恢复。 保留 scan 的显式诊断与公开交付检查，检查本次外发文件、diff、附件或正文；确认的泄漏阻断该次外发，含糊匹配给出提示与定位。未执行或推迟扫描必须如实标记，不能伪装成 clean。不得通过忽略全部 contract 错误、扩大白名单或放松真实权限检查来实现。

具体改动

完整核对当前三文件 diff：一处生产扫描参数选择、两处真实入口测试。独立参考 公共边界读取契约，spec_revision=4e6baa51afdc2ad522012c1f691ae166c9d67e7b。该文档准确描述旧系统扫描／重复读取行为，并不代表本轮的新触发策略已经实现。

• Contract / 契约：仍是每次重新遍历和打开合格文件、最多八路读取、无结果缓存；本 PR 没有减少这项重复扫描工作。未测完整 Turn 耗时占比，不宣称量化性能收益。
• User paths / 用户入口：当前 quota／launch 继续受扫描结果影响；所需的普通执行解耦尚未实现。显式检查与状态中的 deferred 读回应保留。
• 权限、原 checkpoint 绑定和一次结算：继续由既有 owner 负责；新策略不得把扫描解耦变成跳过这些检查。

关键代码讲解

1. current_heartbeat_host_launch_decision 对首次唤醒使用安装包默认范围，对 original_quota is not None 保留 scan_path=[project]。P1 触发条件是合法私人任务持有 checkpoint 后新增网络样例；即使身份、预算和原 receipt 都有效，扫描仍可令正常恢复被拒绝。
2. check_contract 把扫描命中变为全局错误；goal_status_health_ok／quota 继续消费该错误。这是需要拆开的语义边界，不是把目录从 project 换成 package 就能解决。
3. _run_checkpoint 新增合成私网地址后，明确断言 status_health_ok=False 并拒绝恢复；当前绿测恰好保护了本轮要求改变的行为。test_heartbeat_host_launch_retains_public_scan_refusal 则证明默认根扫描仍可阻断首次启动。

对主干的风险

本轮精确 head 的两个 admission 模块独立运行结果为 30 passed，包含实际 File／SQLite、普通启动、首次规划、原 checkpoint、Stop、零额度、缺状态、原绑定变化和公开扫描拒绝。合成私网 fixture 不含真实秘密。这里验证的是当前确实存在的拒绝行为，不把测试通过说成已经满足新策略；此前 Linux 安装及其他消费者结果仍是历史记录，本轮未重演。全套仓库静态／安装检查与新策略实现后的验收尚未执行。

最小回归要求：私人链接、内网样例、认证代码在首次执行和相同身份恢复时均不触发公开扫描硬停；Stop、零预算、缺失权威源、身份／lease／原 receipt 变化仍拒绝；重试不新增宿主、扣额或写入。实际公开交付中明确凭据／私人内容仍应拒绝外发，含糊正则只提示，不得把扫描异常说成安全。既有读取错误、凭据精度与私有文件排除负例需保留。

语义与 CI 对齐

这是有意修改扫描触发和阻断范围，应同步文档及旧测试预期，明确旧／新默认。扫描器规则可以保留，执行与外发使用不同后果；不能放松所有 contract 错误来“修绿”。当前远端失败／待完成检查未作因果归因，不用它们支撑本轮发现，也不在此等待 CI。

我的整体评价

当前局部范围一致性修复有用，但按新的执行策略仍为 fragmented；architecture_assessment=simplify_now。要求在原扫描与准入 owner 中完成解耦，不新建第二套健康状态或扫描结果权威。长程与用户体验在合法 checkpoint 恢复这一边界未满足：需要发布许可的内容检查不应成为私人任务持续工作的前提。

修订后重跑两个 admission 模块及现有扫描／凭据／只读状态负例，直接核验正常恢复和公开交付拒绝两个方向。不会要求删除安全检查、重新做科学实验或同时完成无关 TypeScript 重构。结论不包含合并授权。

English verdict: REQUEST_CHANGES — 7086073. The patch fixes scan-scope parity but retains public scanning as a hard runtime gate, including held-checkpoint recovery. Decouple ordinary execution from publication scanning while preserving identity, Stop, quota, lease, receipt and settlement fences. The current real File/SQLite tests explicitly confirm the retained refusal; they do not qualify the newly requested policy. Preserve explicit outgoing-content protection and truthful deferred/error readback.

[loopx-agent]

Reviewer: model_agent; gpt-6.1-sol; OpenAI; runtime_reported; reasoning_effort=max

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

APPROVE — 5a150a4126c2eff9cf2fd24448d4ed44d4c321c5。当前源码切片未发现阻断性代码问题；独立验证与最终 standard premerge 均通过。

动机

在私有任务目录中开发、规划或恢复工作的 LoopX CLI 和 benchmark Host 使用者。

同一任务含私有链接或内网/认证样例时，旧 status/quota 和临启动重读会把扫描命中升级为执行拒绝；新版本允许合法工作继续，并把扫描留给显式公开内容检查。

本次独立验证了普通执行不调用公开扫描、原 checkpoint 仍能恢复，以及选定外发内容的泄漏与读取失败仍被拒绝。

本评审不证明策略提分、完整 Turn 加速或本机安装生效，也不授予合并、发布及新实验权限。它尚未完成真实策略实验的验收。

这解决的是持续工作的一个实际障碍：私人内容留在任务目录中，并不等于准备发布它。旧方案把扫描目录换成安装包，仍要求每次遍历，而且 held checkpoint 会重新落回任务扫描。当前修订改变触发与后果，用户不必搬走正常样例、改白名单或反复确认才能恢复原任务。既有授权充分时新增交互轮次为零；实际公开文件仍需经现有显式检查。

改动思路

执行健康和公开内容诊断复用各自现有 owner，删除普通执行对扫描结果的依赖；没有另造一份准入状态。 这是保留本设计的决定性原因。只修改扫描根目录不能覆盖恢复和重复读取，忽略所有 contract 错误又会绕过真正的权限与权威源问题。将 scanner 改成缓存也不能纠正触发语义，还会引入失效问题。

本 PR 的边界是：普通 status/quota、初始规划、native 启动及 held 恢复推迟公开扫描；显式 check/premerge 保留选定内容的阻断、提示与读取失败，并沿用原权限和结算 owner。 Python 改动留在既有 CLI/扫描适配层，共享 TS 准入、receipt 与持久化规则未迁出。现有前端/Lark status 调用早已显式推迟扫描，本次没有新设置或需要用户手动同步的配置。

下面是源代码与同输入探针共同支持的变化；这是比较表，不替代实际执行证据。

触发	基线 63728ab9	当前精确 head
合法任务新增私人样例后 status/quota、initial/held 重读	扫描导致健康/准入拒绝	零扫描调用，正常工作可继续
显式检查内网地址及环境变量认证引用	内网地址阻断	保留定位提示，不称 clean
显式检查字面凭据、私人文档链接	阻断	仍阻断
显式选择私有状态路径或无效 UTF-8	可能被排除/跳过后称 clean	拒绝并说明未能合格检查
原 receipt event 被替换	拒绝	仍拒绝

具体改动

本次重新审查整个 63728ab9f039688bbf5855faec40c87a690defb7 到当前 head 的 16 文件、+398/-95，并单独核对上一轮 7086073e 后的变化；没有沿用旧批准。三文件范围修复现已扩展为一个有意的默认行为调整。旧 head 的 14 个共享 fixture 失败和旧批准各自保留，不能改写成当前策略已在当时通过。

独立验收依据是实现之前的 review thread，spec_revision=5596736341@2026-10-21T08:10:51Z。它明确提出触发时机与阻断范围要求；更新后的文档用于披露实现，不拿它反过来自证符合规范。逐条映射如下：

• 公开边界扫描与普通执行健康／准入解耦：status 的默认值与 Turn status owner 均选择 deferred，initial 和 held 使用相同执行健康链。真实 File/SQLite 启动、规划、恢复测试及同输入 CLI/owner 对照覆盖。
• 未执行或推迟扫描必须如实标记：完整 contract 保留 state=deferred，紧凑 status 保留 deferred 检查文字；显式 warning-only 检查仍是 completed，但不说 scan clean。没有把“未扫”变成“安全”。
• 不得通过忽略全部 contract 错误、扩大白名单或放松真实权限检查来实现：只关闭公开扫描输入，源状态、Stop、零额度、Agent/Goal、claim/lease 和原 event/settlement/action 校验仍经过原 owner。篡改和拒绝测试检查无业务、无额外 Host 和无扣费。
• 实际公开交付中明确凭据／私人内容仍应拒绝外发：现有 loopx check --scan-path 可选择文件、保存的正文/diff/附件；字面凭据、私人链接、私有状态和非公开 registry 仍返回失败。这里是交付前的显式检查契约，不是所有工具的自动外发拦截器。
• 既有读取错误、凭据精度与私有文件排除负例需保留：缺失、不可读文件/目录和无效 UTF-8 均失败；显式私有路径不能借 ignore/pruning 报空集通过，tracked 私有状态不能借文档 URL allow 变成可公开内容；撤回 allowance 后下一次检查重新观察。

关键代码讲解

1. collect_status 与 collect_turn_status_payload 把普通调用送往原 check_contract 的 deferred 分支。CLI --scan-root/--scan-path 保留解析兼容，help 说明运行时只保留范围元数据；显式 check 继续扫描。未新设第二份健康布尔值或权限开关。
2. current_heartbeat_host_launch_decision 不再把 held 项目目录交给公开扫描。original_quota 的 goal、原 turn、event 和 settlement identity 比对仍先执行，随后重读 live quota；planned_effective_action 仍保留原 action，不能用外层 wake 替换。它仍在原 launch lifetime 内、实际启动前运行。
3. scan_public_boundary 在原规则 owner 区分 blocker 和 advisory。不可变 LeakRule.blocking 是局部规则后果，不是新的持久生命周期状态；仅 private IP 规则改为提示。原 credential 引用识别保留，字面秘密继续阻断。选择路径先做私有分类，再向八路 IO adapter 提交；读取失败不会丢掉后报 clean。
4. check_contract 与 _public_boundary_changed_files_run 共同消费同一诊断结果：warning-only 有定位且文案诚实，缺失/不可读输入和 blocker 令显式交付检查失败。premerge 没有复制另一套正则或凭据规则。

对主干的风险

独立本地测试分三组：扫描/凭据精度/读取失败/公开包锁文件、实际 native 与 checkpoint admission 185 passed（138.87s）；状态服务、缺 registry、普通 Turn driver、Codex CLI 与 operation launch 相邻路径 253 passed（146.95s），再补充当前 source 与 leased process 权威边界 24 passed（352.06s），覆盖真实 File/SQLite 租约失效、拒绝及进程清理；合计 462 passed。File/SQLite 都是真实隔离后端，Host 是确定性本地合成进程，未调用模型。

另用同一个独立 oracle、相同 fixture 函数 SHA 和同一解释器，在不可变基线与当前源码分别跑 28 条真实 CLI/即时准入对照。按新验收要求，基线 12 通过、16 不符合预期，当前 28 通过；差异包括普通入口的扫描调用从每次一次到零、私人任务误拒消失，以及旧无效编码/显式私有路径的假 clean 被检出。原 event 篡改两边都拒绝。两个版本均检查 registry/Goal 字节及原 receipt events 不变，扣费为零；该探针本身没有启动 Host。实际启动、业务、恢复与一次结算由上述集成套件覆盖，不能把两种证据混为同一次运行。

最终 standard premerge 的 19 项运行检查及 6 项直接检查全部通过，总门禁 ok=true，包括 diff/编译、双语、语义词汇、状态/额度/调度及选定文件公开扫描；最后一项诚实报告 warnings。首轮因既有质量凭证的 base/diff 不匹配返回 quality_stale_receipt，这个失败记录保留。完成当前完整作用域的独立审阅后，按现有 prepare/record 流程新增本次凭证，verify 确认 exact head 5a150a41 与 target 973914e8 匹配，随后重跑整个 standard premerge 通过。没有改写旧凭证、绕过或降低门禁。

没有获取、轮询或等待远程 CI，遵守本次原生 review policy。本次直接资格为 macOS 源码 checkout；作者声明的 Linux wheel 安装并未由本评审独立重演。最新 main 的相邻 quota hook 派发变化已阅读，但没有把尚未包含于此 head 的合并集成算作通过；rebase/改 head 后需按新精确版本重新判断相关证据。

剩余限制是原目录后缀/选择规则、已有凭据启发式的误判空间，以及扫描与后续外发之间的文件变化窗口。八路 IO 无缓存而非原子快照。任意 upload/message、生成文字的独立展示策略和系统安装并没有被这个文件检查自动接管。这些边界已在 PR 正文及契约披露，没有靠未知覆盖取得批准。这里能证明少做了特定扫描工作，不能据此给出完整 Turn 的百分比收益或研究得分收益。

我的整体评价

当前是一个有实际结果的 justified_increment：合法首次执行和原身份恢复可继续产出，显式公开检查保留失败/恢复路径；长程工程连续性得到改善，用户不再需要为正常私人样例重复整理目录或申请确认。它尚未完成真实策略实验的验收。新默认有明确披露，不是 default-off 功能；普通扫描为 deferred，Stop、额度、身份和结算仍是强制约束，提示不能被解释为外发授权。

生产增量复用现有 owner，未增加存储、协议版本、配置或模型义务。同步更新显式 scanner、premerge 消费者和负例是这次语义调整的完整切片；拆掉其中一边会再次造成误拒或假 clean。代码规模与已证明的问题相称，不要求额外框架或无关语言迁移。当前没有阻断性代码发现；先前质量凭证作用域 hold 已按原流程解除，后续精确 head 的 merge-readiness、maintainer 合并授权和安装验收各自保留。

English verdict: APPROVE — 5a150a4. Ordinary execution and held recovery defer public scanning without bypassing authority, original identity or settlement fences. Independent validation: 462 tests pass; identical File/SQLite entrypoint fixtures satisfy all 28 new-contract cases at head (base: 12 pass, 16 expected mismatches). The final standard premerge passes all 19 execution checks and 6 direct checks after current-scope quality qualification; the earlier stale-receipt failure remains recorded. No remote-CI, installed-wheel, real-model, score or whole-Turn speedup claim; this verdict grants no merge authority.