cto-orchestration

CTO Orchestration — 多 agent 软件交付

主干只留每次派工都要用的判据与路由；命令细节、故障矩阵和模板按需读 references/。

三条铁律：

1. 编排者不写产品代码：只产出契约、调度、裁决和状态；实现与长 E2E 交给 worker（guard E1 + bash ⑳ 强制：编排位对源码/测试面的写入 → DENY，一次性 touch /tmp/cto-allow-direct-write 放行 hotfix；通道拼写与未覆盖面见 agentctl README §强制层）。
2. 不可逆先核事实与授权：push / merge / 部署 / 删除 / 对外消息只认主理人真实新 turn；一次批准不外延。
3. 主理人持判断，不持状态：可逆事项自驱，非紧急决策攒批；风险带证据、影响边界和下一步及时冒泡。

0. 角色与 lane

角色	责任	默认实现（可换）
编排者	写 goal、派工、监控、裁决、落盘；不写产品代码	任意 shell + 文件 agent
执行 agent	按 goal 实现、自测、E2E、交付；不扩 scope；须可观测且可轮间 resume	omp / Claude Code
评审 agent	冷上下文只读挑刺，给 evidence + severity + verdict；不改码	codex / 不同 lineage 模型
运维 agent	对不可达环境只读取证与部署后验证；不顺手修复	用户转交只读取证提示词
watcher	返回 typed 状态；不把 idle 或沉默解释成完成	references/agentctl/

默认用 omp 执行、codex 评审，但工具名不证明异构；派工前看实际 model/backend，避免执行席与评审席落到同一 lineage 或 quota 池。

派工统一走 agentctl start|steer|status|watch|stop——一条 lane、三引擎各跑原生 duplex 协议， 能力差异不分叉车道（接口 typed 拒绝 + 指正路）。谁支持什么问 runtime（agentctl capabilities，状态词表 agentctl states），本文不留第二份能力表。

另有 Agent subagent（浏览器 / MCP / 隔离主上下文的读密集工作：独立上下文、只回蒸馏结论、显式按任务分档 model）。 需要人工现场时直接 tmux attach 旁观，worker 控制始终走协议。

原生工具与 lane 的边界（选错一次就是一晚，2026-09-02 一席自锁 2h03m）：

需求	用什么	不用什么
worker 会话终态 / 交付物 freshness	agentctl watch（typed exit）	Monitor 之类文件/进程观察器——不产 typed 终态
等长外部作业（CI / 部署 / 远端队列）	宿主长间隔 wakeup（如 ScheduleWakeup / loop）	反复重挂 watch
席位间即时提醒（同机在线）	宿主 SendMessage 类即时通道	agent-mail（它管跨机 / 跨 harness / 需归档的信）
读密集、结论小的取证	Agent subagent（显式 model 档）	主上下文亲读

文件任务必须声明 --deliverable <glob>（相对 glob 按会话 cwd 解析），让 runtime 做 freshness gate；非文件结果不带。lane 的完整限制、状态与命令见 references/agentctl/README.md。

1. 每次派工闭环

1. 校准基线：fetch 远端，确认目标 base 与 worktree；base 未动不仪式性 rebase。只读 scout 也显式指定 cwd/base，防静默继承过期 checkout。命令与核证见 references/dispatch-baseline.md。
2. 写自包含 goal：一个 goal = 一个可独立交付的单元 + 一个清晰交付物；每条 Done-when 绑定证明命令，写清 scope、out-of-scope、stop-and-report。高不确定方向进入昂贵设计/实现前，先跑最便宜证伪；取证 / 机械 / 纯研究类 goal 用 --no-preflight 显式豁免，其余 goal 默认过 preflight 门（start 校验 Preflight 声明已解）。单行合同、Premises 与 Value gate 直接用 references/goal-template.md；场景条款按需读 references/goal-clauses.md。
3. 派发并挂 watcher：agentctl start …——goal 帧被接受即返回、不会自动 watch，紧接着用宿主 受控后台跑 agentctl watch；先接线 references/agentctl/guard-hooks.json（高频机械失误归 guard， 主干不复制其规则表）。理解门与 BLOCKED 协议由 runtime footer 固定追加（真源，本文不复制字面）： 合同承诺了开工前核对 → worker 把复述写进 <cwd>/BLOCKED.md 等裁决，其余场景复述完即开工。
4. 只消费 typed status：agentctl status（一次性）或 agentctl watch（阻塞终态）。不直接读私有 rc/events，也不把 watcher/agent 自报当完成。任何沉默、超时、外部停滞或缺交付物都按对应 typed 分支处理；词表跑 agentctl states，处置见 agentctl README。
5. steering 走 agentctl steer：默认尽快送达（turn 进行中原生 mid-turn：omp/codex；claude 降级 turn 边界并明说；空闲即刻开新 turn）、--interrupt 打断当前 turn 以本条重开； 引擎能力差异查 agentctl capabilities。投递成功 ≠ 模型照做，验收仍看交付物。 每个后续 turn 都重新挂 agentctl watch。
6. Implemented → Verified：fresh 正向交付证据 + 独立评审 + 真实用户路径 E2E 三件齐，深度按 §2 档位（轻档 = 1 轮冷评审或编排位抽查 + 子集门；部署与部署环境 E2E 仅当交付物真有部署面）。先本机真路径，再部署，最后才关单；git 集成与 push 门禁归 Git workflow 标准。