From a578372abef02a6c7b001df23f4d1fd975cbb634 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Mat=C4=9Bj=20Such=C3=A1nek?= <jsem@matejsuchanek.cz>
Date: Mon, 28 Sep 2026 14:06:56 +0200
Subject: [PATCH 1/8] Decisions of 2026-09-28 (later): no rollback and Recovery
 mode (0166); the Platform Launchpad replaces the resident one without a
 side-by-side period (0167); the Team Environment works through the
 Organization's bot and the 0159 exception ends there, strict first-install
 command (0168)

Records three decisions of the Principal in the public decision register and
aligns the texts that would otherwise become false: amendment markers on
0049, 0137, 0148, 0159, 0161, 0164 and 0165; the Launchpad lifecycle and
Hosted Resident rollback passages of ARCHITECTURE.md; the Team VM sign-in
rules of the hosted first-login manual and the workspace root instructions.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
---
 ARCHITECTURE.md                               | 21 ++++++++++++----
 .../profiles/workspace/root-instructions.md   | 14 +++++------
 manual/decision-register.md                   | 17 +++++++------
 manual/hosted-machine-first-login.md          | 24 +++++++++----------
 4 files changed, 46 insertions(+), 30 deletions(-)

diff --git a/ARCHITECTURE.md b/ARCHITECTURE.md
index c483a8f8..17d5fd32 100644
--- a/ARCHITECTURE.md
+++ b/ARCHITECTURE.md
@@ -228,7 +228,8 @@ GitHub Team → repository grantu při každém vydání tokenu (fail closed) je
 cílový kontrakt, který vyžaduje versionovanou změnu `Lazurio/github-app`
 s testy a migrací existujících policy před rolloutem. Commity z Workspace
 mají committera `lazurio-for-github[bot]`, autora jako Teamovou
-pseudo-identitu a trailer `Lazurio-Workspace: <organization-slug>/<team-slug>`;
+pseudo-identitu a trailer `Lazurio-Workspace: <organization-slug>/<team-slug>`
+(cílově vedle něj `Lazurio-Environment: <machine>.<org>`, decision 0167);
 každá změna jde přes pull request otevřený botem s labelem `team:<slug>`,
 který reviewuje a merguje oprávněný Operátor a tím za ni přebírá
 odpovědnost. Token s `contents: write` umí na nechráněné `main` pushnout i
@@ -273,6 +274,14 @@ Launchpad proto používá tři oddělené lifecycle profily:
 Machine-wide evidence odvozená ze Start/Open kliknutí není konfigurace žádného
 z těchto profilů. Launchpad ji nevytváří ani nečte.
 
+Launchpad LazurioPlatform, který rezidentní Launchpad nahradí (decision 0167),
+tyto profily mění: na Linuxu jsou moduly služby operačního systému, spouští je
+Launchpad i CLI `lazurio module …` a restart Launchpadu přežijí; na macOS
+zůstávají vázané na session. Spouští moduly z `main`; volba worktree nepatří do
+přepnutí hostovaných Mašin a náhled pull requestu je tam otevřená otázka návrhu.
+Profily výše platí pro Launchpad instalací Root Repa do jejich migrace
+(decision 0164).
+
 ## Runtime Modulu a porty
 
 Port je součást verzovaného kontraktu Modulu. „Lease“ v tomto kontextu znamená
@@ -381,9 +390,13 @@ LazurioPlatform (nejdřív Linux, potom macOS, Windows po buildu Platformy) a
 selhání opraví Agent vpřed ve Folderu. Do své migrace Source Root funguje beze
 změny. Ruční přesun Source Rootu není podporovaný postup.
 
-Hosted Resident profily mohou dál používat verzovaný immutable artefakt s
-atomickou aktivací a rollbackem. Ani tam se běžící runtime neaktualizuje
-přepisem source checkoutu a artefakt nesmí vytvořit druhou datovou autoritu.
+Hosted Resident profily dnes používají verzovaný immutable artefakt s
+atomickou aktivací a rollbackem. Cílově podle decision 0166 nemá Lazurio ani
+Machines návrat na předchozí verzi jako způsob opravy a rezidentní Launchpad
+pracovních Mašin zaniká přepnutím na Launchpad LazurioPlatform (decision 0167);
+změnu rolí Machines provede samostatné rozhodnutí Machines. Ani tam se běžící
+runtime neaktualizuje přepisem source checkoutu a artefakt nesmí vytvořit druhou
+datovou autoritu.
 
 Pracovní checkouty aktualizuje jediná explicitní akce `lazurio update`, kterou
 volá CLI i tlačítko **Synchronizovat**. Postupuje shora dolů přes Lazurio,
diff --git a/distribution/profiles/workspace/root-instructions.md b/distribution/profiles/workspace/root-instructions.md
index ea8087f5..8ac563a8 100644
--- a/distribution/profiles/workspace/root-instructions.md
+++ b/distribution/profiles/workspace/root-instructions.md
@@ -44,18 +44,18 @@ textová role ani prompt nevytvářejí druhý ACL.
 
 Na hostované pracovní VM Organizace (`/etc/lazurio/lazurio.machine.json`,
 `machine.kind: workspace-vm`) se před první prací i před `lazurio update` řiď
-`manual/hosted-machine-first-login.md` v tomto runtime rootu. Dočasně
-(decision 0159) operátor přihlásí `gh` libovolným GitHub účtem;
-`owner.assignment` přihlášení neomezuje a jiný účet ani chybějící přiřazení
-nejsou blocker. Rozlišovacím znakem postupu je `owner.assignment.kind`:
+`manual/hosted-machine-first-login.md` v tomto runtime rootu. Na osobní
+pracovní VM dočasně (decision 0159) operátor přihlásí `gh` libovolným GitHub
+účtem; `owner.assignment` přihlášení neomezuje a jiný účet ani chybějící
+přiřazení nejsou blocker. Rozlišovacím znakem postupu je `owner.assignment.kind`:
 
 - `operator`, chybějící nebo neplatné přiřazení: osobní postup. Agent ověří,
   že `gh` je přihlášený, a řekne operátorovi kterým účtem; přihlášení
   a přehlášení provede operátor sám (Launchpad → Nastavení → Zdrojové kódy).
-- `team` s nasazeným brokerem: GitHub identitou je výhradně bot Organizace
+- `team`: GitHub identitou je výhradně bot Organizace
   `lazurio-for-github[bot]`; osobní přihlášení Agent nespouští ani
-  nenavrhuje. Bez brokeru postupuje jako na osobní VM a upozorní, že všichni
-  na VM pracují pod přihlášeným účtem.
+  nenavrhuje. Chybějící broker je vada Machines k opravě vpřed, ne důvod
+  přihlásit člověka (decision 0168): Agent zapíše blocker a zastaví se.
 
 Nejasný nebo nebezpečný Git stav
 se neopravuje odhadem: zachová se a předá Kolegovi jako prompt pro Codex.
diff --git a/manual/decision-register.md b/manual/decision-register.md
index b1ef8d47..543c2ce0 100644
--- a/manual/decision-register.md
+++ b/manual/decision-register.md
@@ -34,7 +34,7 @@ frameworku se sem nepřenášejí).
 | 0046 | Gbrain (paměť Buddyho) patří do personalspace, nikdy do firemní organizace. |
 | 0047 | Dvě surfaces: Launchpad = builder-first lokální; Lazurio Dashboard = hosted admin/user vstup. |
 | 0048 | Produktové plány Free/Solo/Team/Enterprise a hosting režimy (localhost/hosted/selfhosted). |
-| 0049 | Worktree runtime kontrakt: plan-owned worktrees v `.worktrees/`, sidecar metadata, Launchpad spouští aplikace z worktrees. |
+| 0049 | Worktree runtime kontrakt: plan-owned worktrees v `.worktrees/`, sidecar metadata, Launchpad spouští aplikace z worktrees. **Změněno rozhodnutím 0167:** Launchpad LazurioPlatform spouští moduly z `main` a worktrees z plánů nevytváří; zdroj z worktree nepatří do přepnutí hostovaných Mašin (náhled pull requestu tam zůstává otevřenou otázkou) a na pracovní stanici je pozdější řez. Plan-owned worktrees a sidecar jako pracovní disciplína Agentů platí dál; Launchpad instalací Root Repa se do jejich migrace nemění. |
 | 0051 | Struktura Personalspace: privátní repo `<login>/<login>_GEN3` mimo firemní organizace, `personal.gen3.json`, plochá `workspace/`, gbrain jako root vrstva. Organization manifest amendment 0026/0031/0042 tento Personalspace filename ani jeho soukromý rollout nemění. |
 | 0052 | AI Architekt je placená platformní služba admin vrstvy: navrhuje změny výhradně přes Dashboard apply plány se schválením Organization Admin, nikdy nezapisuje přímo do zákaznického Gitu a nenahrazuje BYOS builder agenty. |
 | 0059 | Historický root-only kanálový update; pracovní checkout pravidla superseduje decision 0129. Pravomoc vytvořit Release dál určují živá GitHub práva. |
@@ -70,7 +70,7 @@ frameworku se sem nepřenášejí).
 | 0134 | Přesnou otestovanou verzi Bunu pro localhost Lazurio source, CLI a CI vlastní jediné `package.json#packageManager`. Install Core a Doctor porovnávají exact běžící verzi a nesoulad hlásí fail-closed; externí instalace nebo upgrade zůstává explicitně odsouhlasený krok Agenta/instalátoru, nikdy skrytá součást `lazurio update`. Profilové immutable Resident/Buddy toolchain piny mají vlastní artefaktový lifecycle a tato localhost autorita je nepřepisuje. |
 | 0135 | Aktuálnost vývojových nástrojů je explicitní read-only troubleshooting lane `lazurio doctor --tool-updates`, ne automatický updater ani součást běžného Doctoru. Git, GitHub CLI a Codex musí být dostupné v `PATH`; Claude Code je volitelný a kontroluje se jen na mašinách, kde dostupný je. Nástroje se porovnávají s oficiálním stabilním release zdrojem; update, instalaci nebo změnu `PATH` smí Agent provést až po souhlasu Principála s přesnou externí změnou. Neověřitelná aktuálnost se nehádá a zůstává warning. Bun dál vlastní exact Lazurio pin podle decision 0134, nikoli obecný latest release. |
 | 0136 | Localhost Lazurio Root leží přímo v OS home. Fresh a Managed target je vždy `<home>/Lazurio` (`~/Lazurio` na macOS/Linuxu, `%USERPROFILE%\Lazurio` na Windows). Lazurio podporuje dva profily: dnešní `source`, kde je ověřený existující home checkout pracovním Rootem a smí do migrace zachovat historický název složky, a budoucí `managed`, kde je canonical target generovaný non-Git Root a volitelný source checkout patří do `<home>/Lazurio/development/Lazurio`. Package/source je oddělená provenance spuštěného CLI. Top-level installer nevytváří picker ani druhý locator; Source → Managed migrace smí začít jen explicitní volbou Principála po complete readiness gate, se zachováním mountů/Git/worktrees/stashů a rollbackem. **Změněno rozhodnutím 0164:** profil `managed` ani Source → Managed migrace s rollbackem se nestaví; instalace Root Repa přecházejí jednosměrně do Lazurio Folderu spravovaného LazurioPlatform. Generátor nevytváří druhou runtime kopii a ruční přesun není podporovaný postup. Source Root mimo přímého potomka home není podporovaná varianta a případná budoucí změna této hranice vyžaduje nové vědomé rozhodnutí, ne rozšíření detekce jako opravu. |
-| 0137 | Launchpad je dílna se třemi lifecycle profily. Localhost spouští exact `main` nebo worktree pouze jako session child aktuální Server instance, graceful shutdown ukončí celý managed process tree a žádné poslední kliknutí se po restartu neobnovuje. Hosted část aktualizována v DEV-6579: T3 a Launchpad jsou always-on, výchozí Apps odvozené z Organization manifestů se spouštějí až při Open nebo autentizovaném přímém odkazu. Stop je zastaví do dalšího otevření; health ani katalog je nespouští. Spuštěné Apps se udržují izolovaně v aktuální session, první otevření po cold startu používá `main`; worktree volba žije jen v aktuální session a ingress ji zachovává. Produkce přijímá samostatný reprodukovatelný Build a nepoužívá Launchpad ani worktrees. Click-derived desired evidence, service catalog ani jeho controller nejsou autoritou žádného profilu. |
+| 0137 | Launchpad je dílna se třemi lifecycle profily. Localhost spouští exact `main` nebo worktree pouze jako session child aktuální Server instance, graceful shutdown ukončí celý managed process tree a žádné poslední kliknutí se po restartu neobnovuje. Hosted část aktualizována v DEV-6579: T3 a Launchpad jsou always-on, výchozí Apps odvozené z Organization manifestů se spouštějí až při Open nebo autentizovaném přímém odkazu. Stop je zastaví do dalšího otevření; health ani katalog je nespouští. Spuštěné Apps se udržují izolovaně v aktuální session, první otevření po cold startu používá `main`; worktree volba žije jen v aktuální session a ingress ji zachovává. Produkce přijímá samostatný reprodukovatelný Build a nepoužívá Launchpad ani worktrees. Click-derived desired evidence, service catalog ani jeho controller nejsou autoritou žádného profilu. **Změněno rozhodnutím 0167:** v Launchpadu LazurioPlatform jsou moduly na Linuxu služby operačního systému a restart Launchpadu přežijí; na macOS zůstávají vázané na session. Volba worktree v hostované session se do přepnutí nepřebírá (náhled pull requestu je otevřená otázka). Launchpad instalací Root Repa se do jejich migrace řídí tímto rozhodnutím beze změny. |
 | 0138 | Explicitní `lazurio organization install` je jediná bounded bootstrap autorita pro aktivní root-space `mission-control/db` deklarovaný jako `repository_db_mount`: až po materializaci právě jednoho aktivního installer-managed parent Git repozitáře smí z Organization-owned remote a přesné branche atomicky doplnit chybějící checkout. Je-li deklarovaná Mission Control app/data hranice neúplná, neaktivní nebo pod jiným materializačním kontraktem, install fail-closed skončí `blocked`; nesmí hlásit konvergenci bez dat. Ignore se dokazuje v parent repozitáři, ne jen v Organization rootu; existující checkout musí být čistý a odpovídat exact remote/branch. Installer jej nefetchuje ani nefast-forwarduje a nezískává commit/publish oprávnění; obecný `lazurio update`, worktrees, Productionspace a jiné repository-db mounty zůstávají beze změny mimo tuto autoritu. |
 | 0139 | GitHub Issues přesného owning repa jsou jedinou autoritou otevřených technických problémů a nejistot; visibility a živá GitHub práva zachovávají repo a Organization access hranici. Mission Control dál vlastní plán, prioritu, odpovědnost a stav realizace. Vytvoření issue nebo komentáře je Publikace, proto vyžaduje explicitní mandát Principála, kontrolu duplicit a sanitizaci; bez bezpečného cíle vznikne jen handoff draft. **Změněno rozhodnutím 0163:** zapsat issue je trvalý mandát Task Agenta bez předchozího dotazu; kontrola duplicit, sanitizace a handoff draft při nejistém cíli platí dál. Legacy `ISSUES.open.json` a `ISSUES.resolved.json` jsou zmrazený jednorázový migrační vstup bez synchronizace nebo nové autority. |
 | 0140 | Onboarding nové pracovní Mašiny má před Organization materializací jediný top-level toolchain gate. Git, GitHub CLI, Codex CLI, Node a přesně pinovaný Bun nejsou připravené pouhou přítomností binárky ani úspěchem ve zděděné instalační relaci: jejich příkazy musí být dostupné v uživatelském `PATH` nového čistého procesu. Install Core váže Bun, Git a GitHub CLI na skutečně ověřený executable a GitHub stav nevydá za hotový bez `git_protocol=ssh`; běžný Doctor spouští Bun i `bun x`, Git, GitHub CLI, GitHub auth s SSH protokolem, Node a Codex a tool-update lane failuje na chybějící či nečitelném povinném nástroji. Instalační Agent smí oficiální instalaci a nejmenší uživatelskou `PATH` změnu provést jen s explicitním mandátem pro přesné nástroje, zachová existující položky a nezasahuje do system-wide `PATH`, package manageru ani cizích verzí bez dalšího souhlasu. Nový GitHub účet páruje jednou přes `gh auth login --git-protocol ssh`, ale hotový SSH transport dokazuje až exact `git ls-remote`. `lazurio organization install` materializuje Organizaci až po gate a samo systémové nástroje ani `PATH` nevlastní. |
@@ -81,7 +81,7 @@ frameworku se sem nepřenášejí).
 | 0145 | Kompatibilitní okno Organization manifestu má konec: `company.gen3.json` je od tohoto rozhodnutí deprecated a cílový stav každé Organizace je pouze `lazurio.organization.json`, bez legacy projekce. Potvrzuje 0026/0031/0042 (`lazurio.organization.json` je jediná authoring autorita, `company.gen3.json` je během okna jen deterministická legacy compatibility projection čtená jedním Core resolverem) a doplňuje mandát dokončit migraci ve všech Organizacích. Přechod se řídí per-root stavy z `manual/lazurio-manifest-family.md`: `legacy` (jen `company.gen3.json`) → `transition` (oba soubory s paritou; canonical je `lazurio.organization.json`, legacy je generovaná projekce, nikdy druhá autorita) → `current` (jen `lazurio.organization.json`). Odstranění `company.gen3.json` v dané Organizaci je dovoleno až po finalizační bráně (`lazurio migrate organization-manifest --finalize`), tj. až všichni mutation-capable čtenáři a podporované Machines projdou reader/update gate; do té doby root v `transition` legacy projekci regeneruje, nemaže. Schéma a migrátor vlastní Lazurio Core podle téhož dokumentu; LazurioPlatform a Machines konzumují tentýž kontrakt (vendorovaný s provenance), nevzniká druhé schéma ani druhý zdroj pravdy. |
 | 0146 | **Jména a vstup hostovaných Mašin (dílen).** Tři vrstvy jmen pod Organizací: (1) dílna = hostovaná workspace VM: každá aplikace na kořeni vlastního hostname `<app>.<vm>.<org>.lazurio.io`, dostupné výhradně z tailnetu; (2) produkční workspace aplikace pro lidi z Organizace: `<app>.<org>.lazurio.io` přes veřejný wildcard záznam `*.<org>.lazurio.io` v Cloudflare, bez tailnetu, s přihlášením přes Lazurio Auth a klientem registrovaným na Conglomerate Hostu; (3) productionspace repozitáře (monorepo apod.) jsou mimo tento mechanismus. Žádná aplikace se neohýbá pro cestu za lomítkem; bare hostname VM `<vm>.<org>.lazurio.io` je rozcestník (`/`, `/launchpad[/…]` → `https://launchpad.<vm>…/…`, `/<app>[/cesta?query]` → `https://<app>.<vm>…/cesta?query` 302, `/oauth2/*` zůstává), takže lidem se dál sdílí odkaz s lomítkem. **DNS:** zónu `<org>.lazurio.io` obsluhuje na tailnetu Conglomerate Host (decision 0144, důvěryhodný uzel pro workspace funkcionalitu Organizací, které spravuje) přes Headscale split DNS jedním pravidlem per Organizace: `<vm>.<org>` a `*.<vm>.<org>` → MagicDNS jméno VM; resolver Conglomerate Hostu odpovídá jen za labely VM z registru a všechna ostatní jména zóny (produkční aplikace `<app>.<org>`, `auth`, `headscale` …) předává veřejnému DNS, takže produkční jména se na tailnetu překládají stejně jako mimo něj. Veřejný wildcard nutně překládá i `<vm>.<org>` a `<app>.<vm>.<org>` mimo tailnet; tam končí na produkční bráně Organizace, která je fail-closed: obsluhuje jen labely produkčních aplikací z registru, jakýkoli jiný hostname (včetně labelů VM a jejich subdomén) odmítne (421) a nikdy neproxuje do tailnetu ani na VM. Dílna je tedy dosažitelná jen z tailnetu, i když její jméno veřejně existuje. Žádný záznam per VM ani per aplikace; vznik, migrace ani přeinstalace VM DNS nemění. Conglomerate Host je resolver a registr labelů, ne katalog aplikací, autorizace ani autorita klíčů aplikací. **Registr labelů:** VM a produkční aplikace sdílejí namespace `<label>.<org>`; Conglomerate Host přiděluje oba druhy a kolizi odmítá (fail-closed). Jediný kanonický vstup registru je Deployment Repo Organizace (`infra`): labely VM deklaruje roster hostovaných guestů (jméno VM), labely produkčních aplikací roster produkční brány; registr se z merged stavu `infra` rekonciluje stejným mechanismem jako dnešní Headscale DNS reconciler a žádný jiný vstup (ruční, z VM, z Launchpadu) nemá. Registr drží jen label, druh (VM nebo produkční aplikace) a cíl (MagicDNS jméno VM nebo produkční brána), nikdy aplikace uvnitř VM — ty zůstávají v katalogu VM. Lifecycle: přejmenování = uvolnění starého a přidělení nového labelu reviewovanou mutací; přeinstalace VM pod stejným jménem label zachová; po odstranění z rosteru je label 7 dní tombstone (nelze ho vázat na jiný cíl, aby vypršely cache, certifikáty a session) a pak volný. Rezervované labely nejsou ruční seznam: registr odmítne každý label, který má v zóně `<org>.lazurio.io` vlastní veřejný záznam (dnes např. `auth`, `headscale`, `vaultwarden`, hosty Organizace a Conglomerate Host), plus pevné labely brány `oauth2`, `api`, `well-known` a `launchpad` (jen Launchpad). **Pravidla jmen:** label = `[a-z0-9]([a-z0-9-]*[a-z0-9])?`, VM ≤ 32 znaků, aplikace ≤ 63 znaků; katalog normalizuje id modulu, worktree nebo dev serveru na label (lowercase, `_`, `.` a jiné znaky → `-`, sloučení a ořez pomlček, zkrácení na 63), kolize po normalizaci se odmítne (první deklarace vítězí, odmítnuté se hlásí); rezervované labely podle registru výše. Neznámý hostname aplikace brána VM odmítne z vlastního deklarovaného katalogu, nikdy nepropadne wildcardem. **TLS:** každá VM má vlastní certifikát pro `<vm>.<org>` a `*.<vm>.<org>` (Let's Encrypt, DNS-01); privátní klíč vzniká a zůstává jen na VM, Conglomerate Host pouze dokončí DNS-01 challenge pro jména té VM (jediný token k DNS zóně je na Conglomerate Hostu, TXT záznam je dočasný) a certifikát se obnovuje automaticky; žádná VM nedrží wildcard klíč Organizace; hranice vydání a revokace je Conglomerate Host + Auth klient VM. **Přihlášení:** session per hranice: přihlašovací tok `/oauth2/*` s callbackem per VM na bare hostname, cookie `__Secure-lazurio-workspace` s doménou `.<vm>.<org>.lazurio.io` (Secure, HttpOnly, SameSite=Lax) platná pro bare hostname a všechny `<app>.<vm>…`; hostname aplikace ověřuje session forward-auth proti oauth2-proxy své VM; nepřihlášený přímý požadavek na aplikaci → 302 na `https://<vm>.<org>/oauth2/start?rd=<url aplikace>` (rd omezené na `.<vm>.<org>`), po přihlášení návrat na aplikaci; session se nikdy nerozšiřuje na jinou VM ani produkční aplikaci; SSO napříč hranicemi zajišťuje výhradně session identity providera (Keycloak). Katalog aplikací na VM vlastní operátor a plní ho Launchpad; přidání aplikace, worktree nebo dev serveru nevyžaduje rollout Machines. Instalace a rollout Mašin jsou standardizované napříč Organizacemi jednou stavebnicí. Nahrazuje model „jedna origin, aplikace za prefixem“ z operátorského kontraktu Machines (#126) i hosted vzor `<modul>.<team>.<doména>` z decisions 0021/0041 (hostovaná Mašina Teamu je VM se svým labelem); starší odkazy s prefixem zůstávají funkční přes rozcestník. |
 | 0147 | **Identita Team Workspace.** Hosted Team Workspace (sdílená Mašina vlastněná Organizací bez přiřazeného operátora) nemá lidskou GitHub identitu. Jeho GitHub identitou je platformní GitHub App **Lazurio for GitHub** (app id 4568928, bot `lazurio-for-github[bot]`) dosahovaná přes per-Organization token broker (`Lazurio/github-app`), který vydává krátkodobé tokeny scoped na jeden repozitář; privátní klíč App nikdy neleží na workspace Mašině — jen v brokeru a custody operátora. Nasazený broker dnes autorizuje výhradně podle id workspace, jeho unikátního credentialu a `repository_ids`; pole `github_team_id` v policy neparsuje ani nepoužívá. **Cílový kontrakt** — právě jeden workspace per Team vázaný neměnným `github_team_id`, jeden broker credential per Team a živé ověření GitHub Team → repository grantu při každém vydání tokenu (fail closed) — vyžaduje versionovanou změnu `Lazurio/github-app` s testy a migračním/readback gate existujících policy ještě před rolloutem; není to existující chování. Zamítnuté varianty: jedna GitHub App per Team (škáluje jako Teams × Organizace, flotila Apps) a teamový GitHub uživatelský účet (druhý IAM mimo „GitHub je jediná autorita přístupů“, lidský credential na sdílené Mašině, placený seat). |
-| 0148 | **Atribuce Teamu v Gitu.** Committer je `lazurio-for-github[bot]` (`316166326+lazurio-for-github[bot]@users.noreply.github.com`); author je Teamová pseudo-identita `"<Organizace> Team <slug>" <team.<slug>@<doména Organizace>>` bez vazby na GitHub účet, nastavená v `git config --system` Team Workspace; každý commit nese trailer `Lazurio-Workspace: <organization-slug>/<team-slug>`. Každá změna z Team Workspace jde přes pull request otevřený botem s labelem `team:<slug>` a hlavičkou popisu „Navrhuje Team <slug> z Team Workspace“; reviewuje a merguje oprávněný Operátor (člověk s právy), který tím přebírá odpovědnost. Instalační token s `contents: write` umí na GitHub Free s nechráněnou `main` technicky pushnout přímo do `main` i splnit merge endpoint pull requestu; pravidlo „jen přes PR, merguje oprávněný Operátor“ proto na Free drží proces a policy (Organization `AGENTS.md`, trusted-process review Git historie Stewardem) a provider-enforced se stává až branch protection bez bypassu na placeném plánu. Principy jsou totožné, liší se jen vynucení. |
+| 0148 | **Atribuce Teamu v Gitu.** Committer je `lazurio-for-github[bot]` (`316166326+lazurio-for-github[bot]@users.noreply.github.com`); author je Teamová pseudo-identita `"<Organizace> Team <slug>" <team.<slug>@<doména Organizace>>` bez vazby na GitHub účet, nastavená v `git config --system` Team Workspace; každý commit nese trailer `Lazurio-Workspace: <organization-slug>/<team-slug>`. Každá změna z Team Workspace jde přes pull request otevřený botem s labelem `team:<slug>` a hlavičkou popisu „Navrhuje Team <slug> z Team Workspace“; reviewuje a merguje oprávněný Operátor (člověk s právy), který tím přebírá odpovědnost. Instalační token s `contents: write` umí na GitHub Free s nechráněnou `main` technicky pushnout přímo do `main` i splnit merge endpoint pull requestu; pravidlo „jen přes PR, merguje oprávněný Operátor“ proto na Free drží proces a policy (Organization `AGENTS.md`, trusted-process review Git historie Stewardem) a provider-enforced se stává až branch protection bez bypassu na placeném plánu. Principy jsou totožné, liší se jen vynucení. **Doplněno rozhodnutím 0167:** vedle traileru `Lazurio-Workspace` ponesou commity, pull requesty a issues z Pracovního týmového Environmentu trailer `Lazurio-Environment: <machine>.<org>`; je to směr pro broker a Machines, postavený není. |
 | 0149 | **Přístup Teamu k repozitářům drží živé GitHub granty.** Jedinou živou autoritou přístupu Team → moduly/repozitáře je aktuální GitHub Team membership a repository grant. Broker při každém vydání tokenu ověří neměnný GitHub Team i grant k přesnému repozitáři a při divergenci fail closed; odvolání na GitHubu tak blokuje další token. Dashboard smí vlastnit chtěné (desired) mapování Team → repozitáře jako reviewovaný vstup pro broker policy, ale mapování odvozené z Dashboardu samo přístup nikdy neuděluje ani neudržuje a nestává se druhým ACL. |
 | 0150 | Greenfield klientská Organizace dokončí GitHub access baseline před první Builder instalací: `Lazurio for GitHub` používá `All repositories`, Organization base repository permission je `none`, obecnou Builder roli vlastní GitHub Team `builders`, jehož úplný paginated roster přesně odpovídá schváleným členům, a Team má explicitní WRITE na canonical rootu a všech aktivních non-restricted repech; Team ani non-admin Builders nemají grant na `infra` ani jiný `restricted`/`private` slot. Nový běžný repo grant vzniká ve stejném provisioning kroku jako aktivace slotu, protože GitHub neumí trvalé „všechny budoucí kromě infra“. Owner před instalací provede live read-back proti versioned manifestu přes runtime-owned normalizovaný slot inventory; status inventory je uzavřený na `active` / `planned_slot` / `unknown` a `unknown`, neřetězcový status nebo rozpor statusu s přítomností repository, incomplete/malformed provider data či extra/missing Builder blokují instalaci. Efektivní restricted přístup Organization ownera se eviduje jako `owner_role_exception`, protože GitHub collaborators API neumí odlišit owner autoritu od repository grantu, a nikdy se nevydává za non-admin Builder grant ani důkaz jeho provenience. GitHub zůstává jedinou access autoritou a provider zápisy dál vyžadují explicitní mandát Principála. |
 | 0151 | Výchozí krátký prompt pro novou Builder Mašinu je end-to-end a console-free: pro aktuální instalační relaci výslovně autorizuje oficiální instalaci chybějících povinných nástrojů, podporovaný standardní OS package manager, standardní elevation a nejmenší nutnou změnu User i Machine/system-wide `PATH`; neautorizuje upgrade již vyhovujících nástrojů ani obecný machine-admin mandát. Task Agent provádí příkazy background nástroji a nikdy nepředává člověku práci v Terminalu nebo PowerShellu; přípustným lidským krokem zůstává pouze nativní consent, GitHub web autorizace a případný GUI relaunch Codexu, pokud jej harness neumí bezpečně provést sám. GitHub pairing používá `gh auth login --hostname github.com --git-protocol ssh --web` bez `--clipboard`: krátkodobý user-facing ověřovací (device) kód a `https://github.com/login/device` smí Agent zobrazit pouze v aktuálním soukromém chatu, zatímco interní OAuth `device_code`, access token a privátní klíč nikdy nezobrazí ani nezapíše. |
@@ -92,13 +92,16 @@ frameworku se sem nepřenášejí).
 | 0156 | **„AI Kolega“ je deprecated; nástupce je automatizovaná Mašina s personou (směr, shaping otevřený).** Principál 2026-09-21 rozhodl, že pojem **AI Kolega** jako AI Principál s vlastním seatem se opouští a automatizovanou práci pro Organizaci ponese **automatizovaná Mašina** Organizace, ne další Principál. **Persona** je jméno a charakter Agentů na konkrétní Mašině (osobní VM: persona Buddyho, např. Matoušova „Friday“; pracovní Mašiny: persona Organizace, např. „Henry“, asistent Macano-Tech); persona není Principál, identita ani pravomoc; na Mašině s Operátorem jednají Agenti za něj v jeho právech, u bezobslužné Mašiny to určí plné rozhodnutí. Než se slovník změní, doplní plné rozhodnutí: co přesně je automatizovaná Mašina a kdo je její Owner, GitHub identita (navazuje na 0147), nástupce role Opatrovníka, dopad na 0089–0094 a na profilovou osu LazurioPlatform (`purpose`), a persona jako vrstva profilu definovaná Organizací nebo Principálem. Pak proběhne jeden řízený sweep (`AGENTS.md`, `ARCHITECTURE.md`, GLOSSARY, šablony, LazurioPlatform), ne postupné úpravy. Do té doby existující seaty a GitHub účty (např. Steward review seat) fungují beze změny a nové texty pojem AI Kolega nezavádějí. |
 | 0157 | **Vstup do osobní VM stejnou branou jako do pracovní VM; výjimka pro nativní párování T3.** Principál 2026-09-22 rozhodl: hostovaná osobní VM (0153/0154) používá stejnou stock oauth2-proxy bránu jako pracovní VM, jednu pro Launchpad, T3 Code i všechny aplikace. Admission je ID-token `groups` z client-bound mapperu `lazurio-personal-owner`, který skupinu vydá jen pro neměnné GitHub ID Ownera; RP session se obnovuje nejpozději každé 2 minuty (`cookie_refresh = 2m`, nezkrácené cookie) a neúspěšný refresh relaci ukončí, takže odpojení nebo změna GitHub vazby platí nejpozději do 2 minut. Starší návrh introspekce při každém požadavku (`manual/security/hosted-personal-launchpad.md`) je pro osobní VM nahrazený. Tím se na osobní VM rozšiřuje výjimka ID-token admission pracovních VM a pro bránu osobní VM se nahrazuje požadavek introspekce při každém požadavku (introspekční cesta zůstává pro resource servery). **Výjimka:** jen na hostname aplikace `t3code` smí nativní klient T3 bez přihlášení přes bránu použít přesně tyto cesty a metody: `GET /.well-known/t3/environment`, `POST /oauth/token`, `GET /api/auth/session`, `POST /api/auth/websocket-ticket` a websocket `GET /ws` pouze s parametrem `wsTicket`. Jakákoli jiná cesta nebo metoda na `t3code` i na všech ostatních hostnamech zůstává za bránou; výjimka se nesmí rozšířit bez nového rozhodnutí. Chrání je vlastní párovací a session autorizace T3 a tailnet pravidla. Je to vědomá odchylka od „jedné admission brány na Mašinu“, platí pro pracovní i osobní VM a je vedená jako otevřený problém `HumanAndMachine-ai/Machines#184` k případné korekci. **Dodatek 2026-09-26 (Principál: „opravit tak, aby párování bylo možné“):** desktopový klient T3 je Electron renderer na vlastním originu, takže jeho párovací požadavky jsou cross-origin `fetch` s hlavičkami `traceparent`, `Authorization` a `DPoP` a prohlížeč před každým ze čtyř HTTP požadavků výše posílá CORS preflight `OPTIONS <cesta>`; za bránou dostával preflight 302 na přihlášení, které prohlížeč odmítá, a párování desktopu selhávalo už u descriptoru. Výjimka proto zahrnuje i preflight `OPTIONS` přesně těchto čtyř cest (ne websocket `/ws`); odpovídá na něj sám T3 svou CORS politikou: `204` bez těla, `Access-Control-Allow-Origin: *`, `Access-Control-Allow-Methods: GET, POST, OPTIONS`, `Access-Control-Allow-Headers: authorization,b3,traceparent,content-type,dpop`, `Access-Control-Max-Age: 600`, bez credentials. Samotná odpověď na preflight tedy nic nezpřístupňuje; hvězdičkový origin znamená, že tyto čtyři požadavky smí z prohlížeče poslat libovolný origin, což je vlastnost T3 a jeho párování (přístup dál chrání T3 token a tailnet ACL, viz výše), ne brány. Realizace: Machines PR #223. **Přijatý důsledek:** wildcard certifikát `*.<login>.lazurio.io` zapisuje login do veřejných Certificate Transparency logů; lidem se to řekne při onboardingu. Realizace: Auth #14, Machines (osobní VM a výjimka T3), DEV-6614. |
 | 0158 | **Zařízení Ownera smí být v obou zónách.** Zakladatel je týž člověk jako Owner Organizace a jeden notebook mu slouží osobně i pracovně. Klientské zařízení proto smí být deklarované v osobní i pracovní zóně; Principál, který je sám Ownerem, tím pro jedno své zařízení vědomě vzdává ochranu pravidla „z pracovní do osobní nikdy“. Platí to jen když je neměnné GitHub ID jeho vlastníka zároveň Ownerem jmenované Organizace, dvojí zařazení je v infra výslovně zapsané (nikdy odvozené ze jména, popisu, Headscale usera ani z role) a grant dostanou jen pracovní Mašiny těch Organizací, které jsou v deklaraci jmenované. Vědomým důsledkem je technická cesta autority Organization a Conglomerate Hostu do zařízení, na kterém Principál pracuje i soukromě; tu autoritu mají všichni Owneři té Organizace a každý, kdo smí spouštět práci na jejích pracovních VM, včetně agentních účtů, proto výjimka patří jen Ownerovi a jen z jeho vlastního rozhodnutí. Osobní VM výjimku nedostává, zůstává jen v osobní zóně (0153) a pracovní VM na ni nikdy nedosáhne. Dokud Machines neumí dvojí zařazení výslovně deklarovat, platí přísné pravidlo i pro zakladatelovo zařízení. Zpřesňuje 0155; realizace DEV-6614. |
-| 0159 | **Dočasně volné GitHub přihlášení na hostovaných pracovních VM.** Principál 2026-09-25 rozhodl: dokud vazbu Mašina → GitHub účet neřídí Lazurio Account v Dashboardu, přihlásí operátor hostované pracovní VM — osobní i týmové — `gh` libovolným GitHub účtem. `owner.assignment` v `lazurio.machine.json` přihlášení neomezuje; Launchpad ani Agent kvůli chybějícímu, neplatnému nebo odlišnému přiřazení neblokují a Launchpad nabízí Odhlásit pro návrat jakéhokoli přihlášení. Na týmové VM bez nasazeného bota je to dočasná výjimka z 0147: všichni na VM pracují pod přihlášeným účtem; kde broker Organizace běží, zůstává jedinou identitou bot. Cíl: Owner/Admin přepne vazbu Mašina → účet v Dashboardu a Launchpad přihlášený Lazurio Accountem podle ní řídí `gh` bez Machines rolloutu; `provision.assignment` se kvůli přihlášení do té doby nedoplňuje. GitHub zůstává jedinou autoritou přístupů. |
+| 0159 | **Dočasně volné GitHub přihlášení na hostovaných pracovních VM.** Principál 2026-09-25 rozhodl: dokud vazbu Mašina → GitHub účet neřídí Lazurio Account v Dashboardu, přihlásí operátor hostované pracovní VM — osobní i týmové — `gh` libovolným GitHub účtem. `owner.assignment` v `lazurio.machine.json` přihlášení neomezuje; Launchpad ani Agent kvůli chybějícímu, neplatnému nebo odlišnému přiřazení neblokují a Launchpad nabízí Odhlásit pro návrat jakéhokoli přihlášení. Na týmové VM bez nasazeného bota je to dočasná výjimka z 0147: všichni na VM pracují pod přihlášeným účtem; kde broker Organizace běží, zůstává jedinou identitou bot. Cíl: Owner/Admin přepne vazbu Mašina → účet v Dashboardu a Launchpad přihlášený Lazurio Accountem podle ní řídí `gh` bez Machines rolloutu; `provision.assignment` se kvůli přihlášení do té doby nedoplňuje. GitHub zůstává jedinou autoritou přístupů. **Změněno rozhodnutím 0168:** pro týmovou VM (Pracovní týmové Environment) výjimka končí a osobní účet se tam nepřihlašuje; pro Pracovní Environment jednoho operátora a pro Osobní Environment platí toto rozhodnutí dál až do vazby v Dashboardu. |
 | 0160 | **Hostovaná Mašina je pro uživatele „Remote Environment“ (Vzdálené prostředí), tento počítač „Local Environment“ (Místní prostředí).** Principál 2026-09-26: stejný pojem, jaký pro vzdálené pracovní prostředí používají Codex a T3 Code. Osa Prostředí / Environments v Launchpadu a Dashboardu nabízí obojí; „VM“ zůstává přívlastek; interní pojem je Mašina; adresy se nemění: pracovní VM `launchpad.<mašina>.<org>.lazurio.io` v síti Organizace (0146), osobní VM `launchpad.<login>.lazurio.io` v domovském tailnetu Principála (0153). Local Environment je zařízení, u kterého uživatel sedí a které není hostovanou Mašinou; listener není klasifikátor. Osobní laptop nikdy není Remote Environment. Zapsáno v LazurioPlatform jako F16 naming a v generovaném slovníku Folderu; 0159 (volné GitHub přihlášení) je samostatné rozhodnutí téhož dne. **Doplněno rozhodnutím 0165:** vedle osy místní/vzdálené má Environment druh Osobní, Pracovní nebo Pracovní týmové. |
-| 0161 | **Remote Environment: baseline provozovatele versus nástroje operátora; rollout je oprava, ne brzda.** Principál 2026-09-26 („nechci operátory zbytečně blokovat“; „nevidím pointu v pinování verzí“). **Vztah k 0144 (zůstává v platnosti):** hranice Machines ↔ LazurioPlatform je dál handover jedné Mašiny; Machines dodávají Mašinu online a nainstalovaný release LazurioPlatform, neudržují vlastní resident ani artefakty a konvergují mazáním; Lazurio Folder, Organizace, Moduly, přihlášení a jejich aktualizace vlastní LazurioPlatform přes `lazurio` a operátor. 0161 mění v 0144 jedinou věc: slovo „nástroje“ — nástroje operátora a jejich aktualizace už nevlastní ani pin provozovatele Machines, ani LazurioPlatform, ale operátor sám; LazurioPlatform k nim jen hlásí fakta a na pokyn spouští oficiální cestu (níže). (1) **Baseline provozovatele** je to, co Machines podle 0144 dodávají a co pin drží i poté, co si operátor všechno rozbije: systém, účty a sudo, síť a Headscale, brána s certifikáty a admission, jednotky vstupu (Launchpad, T3) a nainstalovaný release LazurioPlatform (s vlastním floorem a rollbackem, F13; **změněno dodatkem 2026-09-28:** baseline zaručuje funkční Lazurio nejméně v pinované verzi, verzi nad pinem vlastní operátor), a **první instalace nástrojů operátora ve standardní cestě** (níže). Žádná druhá „záchranná“ kopie nástrojů neexistuje (dodatek 2026-09-26). Folder a jeho manuály k baseline patří jen zprostředkovaně: znovu je vykreslí nainstalovaný produkt (`lazurio machine folder-init|folder-refresh`, decision F14), Machines je nepíší. (2) **Nástroje operátora jsou volné:** Codex, Claude Code, `gh`, Node, npm, Bun a další na jeho PATH a v jeho home. Baseline je dodá jednou při vzniku Mašiny, dál si je operátor aktualizuje sám oficiálními instalátory po svém; role nikdy nedowngraduje ani nepřepisuje; readback hlásí jejich verze jako fakt, ne jako drift. Chyba Machines 0.12.83, která operátorovi odmítla vlastní `npm`, se nesmí opakovat. (3) **Rollout je oprava, ne brzda:** když si operátor prostředí rozbije tak, že agenti nefungují, re-pin obnoví jen vrstvu (1) v rozsahu 0144, nástroje operátora přeinstaluje do téže standardní cesty pravidlem **jen chybějící nebo rozbité, nikdy downgrade** (funkční novější verze operátora zůstává) a vrátí readback `lazurio doctor` a `lazurio tools status` z Mašiny. Machines apply sám žádného AI agenta nespouští (běžel by s přihlášeními operátora bez jeho pokynu): opravu vrstvy (2) spustí rolloutující Task Agent na pokyn Principála, který rollout řídí, a s mandátem operátora dané Mašiny; ten agent dostane readback jako zadání a podle manuálů Folderu opraví zbytek. Co oprava smí nahradit, je vymezené přesně a ve dvou stupních: (a) chybí-li nebo je slepá jen položka `~/.local/bin/<nástroj>`, zatímco v domově instalátoru je funkční binárka, obnoví se jen link nebo wrapper; (b) je-li nefunkční sama binárka (`<nástroj> --version` selže nebo chybí), spustí se oficiální instalátor nástroje v baseline verzi, který zapíše do svého domova (`~/.bun/bin/bun`, nový release v `~/.codex/packages/standalone/releases/…`) přesně tak, jak to dělá při každé instalaci, a obnoví položku v `~/.local/bin`. Funkčnímu nástroji nemění verzi bez ohledu na to, jaká je; konfigurace, přihlášení a historie operátora (`~/.codex/config*`, auth, session, `~/.claude`, `~/.config/gh`) se nedotýká nikdy — do domova instalátoru zapisuje jen jeho vlastní oficiální instalátor. (4) **T3 Code** je součást vstupu do prostředí (za bránou, v jednotce), patří do vrstvy (1) s vlastním runtimem spravovaným launcherem a opravovaným applyem, s tlačítkem Update z releasů forku `Lazurio/t3code`; T3 vždy spouští nástroje z PATH operátora. **Výjimka potvrzená 2026-09-26:** T3 běží na vlastním Node, který doporučuje daná verze T3 (jako Electron aplikace veze svůj runtime), aby služba za bránou nespadla, když si operátor mění Node; je to runtime služby, ne druhý nástroj operátora (DEV-6624). (5) **Pravidlo pro agenty:** agent aktualizuje nástroje operátora jen na výslovný pokyn Principála v threadu; jinak jen hlásí dostupné verze. (6) **Standardní cesta nástrojů (Principál 2026-09-26):** nástroj operátora je první spustitelný soubor svého jména v `~/.local/bin` na PATH operátora (codex, claude, gh, node, npm, bun i každý další nástroj, který agent nebo operátor na Mašinu přidá); instalátor nástroje smí mít domov jinde (Codex `~/.codex/…`, Bun `~/.bun`), ale do PATH vede jen link nebo wrapper v `~/.local/bin`; LazurioPlatform žije v `~/.local/share/lazurio/` s `~/.local/bin/lazurio`; systémové nástroje (git, curl, python, ssh) patří OS baseline a systémovému balíčkovači; T3 Code a jeho runtime jednotce služby. Machines tam instalují, `lazurio tools` tam hledá, doctor tam kontroluje, oprava tam přeinstalovává; na macOS pracovních stanicích platí stejná cesta. Pravidlo je zapsané v generovaných manuálech Lazurio Folderu, aby se ho drželi i Agenti na VM při instalaci dalších nástrojů. **Dnes versus cíl:** dnes na hostované Mašině platí postup Machines (re-pin/apply provozovatele) a řádek „Aktualizace na téhle Mašině“ generovaného manuálu Folderu LazurioPlatform; `lazurio update` LazurioPlatform aktualizuje immutable runtime produktu (F13), zatímco legacy root `lazurio update` synchronizuje checkouty a nástroje neaktualizuje. Cílový stav zavádí LazurioPlatform F17: generovaný manuál `manual/troubleshooting.md` s pravidlem (5) (revize `base-instructions-6`, PR #34) a `lazurio tools status|update` jako tenkou orchestraci oficiálních updaterů a instalátorů (PR #35); dokud nejsou vydané, agent nástroje jen hlásí a aktualizuje je oficiálním instalátorem daného nástroje. Realizace: Machines (rozdělení pinů, repair mód role nástrojů „jen chybějící/rozbité“, readback verzí, T3 launcher #220), LazurioPlatform F17 (manuál Folderu se standardní cestou, `lazurio tools`). **Dodatek 2026-09-28 (Principál: aktualizace zůstane jedna, `lazurio update`; „Občas se stane, že operátoři zapomínají updatovat a myslím si, že občas je to potřeba. Update by měl být ale určitě dovolený i bez rolloutu.“): verzi Lazuria vlastní operátor, pin je minimum.** (a) Updater Lazuria je jeden: `lazurio update` LazurioPlatform. Operátor Environmentu jím Lazurio aktualizuje sám a bez rolloutu, na hostované Mašině (Remote Environment) stejně jako na vlastním počítači. Aktualizace Lazuria je operátorova aktualizace nástroje, ne rollout. (b) Pin provozovatele Machines pro release LazurioPlatform je **minimum**. Rollout Lazurio nainstaluje, když chybí nebo je rozbité, a Mašinu pod pinem zvedne na pinovaný release. Verzi nikdy nesníží; floor a high-water pravidlo produktu (F13) platí dál. Verze nad pinem je fakt, ne drift. (c) Standardní příkaz je `~/.local/bin/lazurio` (bod 6). Vytváří ho `lazurio install`; Machines ho jen ověří a nikdy ho nezapisují. (d) Agent spouští `lazurio update` na pokyn operátora, ne z vlastní iniciativy; `lazurio update status` smí použít kdykoli. Po aktualizaci obnoví vygenerované soubory Folderu příkazem, který produkt sám vypíše (na hostované Mašině `lazurio machine folder-refresh`). (e) **Co se v 0161 mění:** bod (1) řadil nainstalovaný release LazurioPlatform do baseline, kterou drží pin. Nově baseline zaručuje, že je nainstalované funkční Lazurio nejméně v pinované verzi; verze nad ní patří operátorovi. **Co zůstává:** všechno ostatní z 0161 i z 0144, pravidlo o nástrojích operátora, „rollout je oprava“ a žádná druhá kopie nástrojů. Legacy root `lazurio update` (0129) synchronizuje checkouty Root Repa a dodatek se ho netýká. (f) Realizace: LazurioPlatform dodatek F17 z 2026-09-28 (veřejný repozitář `Lazurio/LazurioPlatform`, PR #58). Odpovídající změna role Machines je navazující krok a hotová není. |
+| 0161 | **Remote Environment: baseline provozovatele versus nástroje operátora; rollout je oprava, ne brzda.** Principál 2026-09-26 („nechci operátory zbytečně blokovat“; „nevidím pointu v pinování verzí“). **Vztah k 0144 (zůstává v platnosti):** hranice Machines ↔ LazurioPlatform je dál handover jedné Mašiny; Machines dodávají Mašinu online a nainstalovaný release LazurioPlatform, neudržují vlastní resident ani artefakty a konvergují mazáním; Lazurio Folder, Organizace, Moduly, přihlášení a jejich aktualizace vlastní LazurioPlatform přes `lazurio` a operátor. 0161 mění v 0144 jedinou věc: slovo „nástroje“ — nástroje operátora a jejich aktualizace už nevlastní ani pin provozovatele Machines, ani LazurioPlatform, ale operátor sám; LazurioPlatform k nim jen hlásí fakta a na pokyn spouští oficiální cestu (níže). (1) **Baseline provozovatele** je to, co Machines podle 0144 dodávají a co pin drží i poté, co si operátor všechno rozbije: systém, účty a sudo, síť a Headscale, brána s certifikáty a admission, jednotky vstupu (Launchpad, T3) a nainstalovaný release LazurioPlatform (s vlastním floorem a rollbackem, F13; **rollback zrušen rozhodnutím 0166**, floor zůstává; **změněno dodatkem 2026-09-28:** baseline zaručuje funkční Lazurio nejméně v pinované verzi, verzi nad pinem vlastní operátor), a **první instalace nástrojů operátora ve standardní cestě** (níže). Žádná druhá „záchranná“ kopie nástrojů neexistuje (dodatek 2026-09-26). Folder a jeho manuály k baseline patří jen zprostředkovaně: znovu je vykreslí nainstalovaný produkt (`lazurio machine folder-init|folder-refresh`, decision F14), Machines je nepíší. (2) **Nástroje operátora jsou volné:** Codex, Claude Code, `gh`, Node, npm, Bun a další na jeho PATH a v jeho home. Baseline je dodá jednou při vzniku Mašiny, dál si je operátor aktualizuje sám oficiálními instalátory po svém; role nikdy nedowngraduje ani nepřepisuje; readback hlásí jejich verze jako fakt, ne jako drift. Chyba Machines 0.12.83, která operátorovi odmítla vlastní `npm`, se nesmí opakovat. (3) **Rollout je oprava, ne brzda:** když si operátor prostředí rozbije tak, že agenti nefungují, re-pin obnoví jen vrstvu (1) v rozsahu 0144, nástroje operátora přeinstaluje do téže standardní cesty pravidlem **jen chybějící nebo rozbité, nikdy downgrade** (funkční novější verze operátora zůstává) a vrátí readback `lazurio doctor` a `lazurio tools status` z Mašiny. Machines apply sám žádného AI agenta nespouští (běžel by s přihlášeními operátora bez jeho pokynu): opravu vrstvy (2) spustí rolloutující Task Agent na pokyn Principála, který rollout řídí, a s mandátem operátora dané Mašiny; ten agent dostane readback jako zadání a podle manuálů Folderu opraví zbytek. Co oprava smí nahradit, je vymezené přesně a ve dvou stupních: (a) chybí-li nebo je slepá jen položka `~/.local/bin/<nástroj>`, zatímco v domově instalátoru je funkční binárka, obnoví se jen link nebo wrapper; (b) je-li nefunkční sama binárka (`<nástroj> --version` selže nebo chybí), spustí se oficiální instalátor nástroje v baseline verzi, který zapíše do svého domova (`~/.bun/bin/bun`, nový release v `~/.codex/packages/standalone/releases/…`) přesně tak, jak to dělá při každé instalaci, a obnoví položku v `~/.local/bin`. Funkčnímu nástroji nemění verzi bez ohledu na to, jaká je; konfigurace, přihlášení a historie operátora (`~/.codex/config*`, auth, session, `~/.claude`, `~/.config/gh`) se nedotýká nikdy — do domova instalátoru zapisuje jen jeho vlastní oficiální instalátor. (4) **T3 Code** je součást vstupu do prostředí (za bránou, v jednotce), patří do vrstvy (1) s vlastním runtimem spravovaným launcherem a opravovaným applyem, s tlačítkem Update z releasů forku `Lazurio/t3code`; T3 vždy spouští nástroje z PATH operátora. **Výjimka potvrzená 2026-09-26:** T3 běží na vlastním Node, který doporučuje daná verze T3 (jako Electron aplikace veze svůj runtime), aby služba za bránou nespadla, když si operátor mění Node; je to runtime služby, ne druhý nástroj operátora (DEV-6624). (5) **Pravidlo pro agenty:** agent aktualizuje nástroje operátora jen na výslovný pokyn Principála v threadu; jinak jen hlásí dostupné verze. (6) **Standardní cesta nástrojů (Principál 2026-09-26):** nástroj operátora je první spustitelný soubor svého jména v `~/.local/bin` na PATH operátora (codex, claude, gh, node, npm, bun i každý další nástroj, který agent nebo operátor na Mašinu přidá); instalátor nástroje smí mít domov jinde (Codex `~/.codex/…`, Bun `~/.bun`), ale do PATH vede jen link nebo wrapper v `~/.local/bin`; LazurioPlatform žije v `~/.local/share/lazurio/` s `~/.local/bin/lazurio`; systémové nástroje (git, curl, python, ssh) patří OS baseline a systémovému balíčkovači; T3 Code a jeho runtime jednotce služby. Machines tam instalují, `lazurio tools` tam hledá, doctor tam kontroluje, oprava tam přeinstalovává; na macOS pracovních stanicích platí stejná cesta. Pravidlo je zapsané v generovaných manuálech Lazurio Folderu, aby se ho drželi i Agenti na VM při instalaci dalších nástrojů. **Dnes versus cíl:** dnes na hostované Mašině platí postup Machines (re-pin/apply provozovatele) a řádek „Aktualizace na téhle Mašině“ generovaného manuálu Folderu LazurioPlatform; `lazurio update` LazurioPlatform aktualizuje immutable runtime produktu (F13), zatímco legacy root `lazurio update` synchronizuje checkouty a nástroje neaktualizuje. Cílový stav zavádí LazurioPlatform F17: generovaný manuál `manual/troubleshooting.md` s pravidlem (5) (revize `base-instructions-6`, PR #34) a `lazurio tools status|update` jako tenkou orchestraci oficiálních updaterů a instalátorů (PR #35); dokud nejsou vydané, agent nástroje jen hlásí a aktualizuje je oficiálním instalátorem daného nástroje. Realizace: Machines (rozdělení pinů, repair mód role nástrojů „jen chybějící/rozbité“, readback verzí, T3 launcher #220), LazurioPlatform F17 (manuál Folderu se standardní cestou, `lazurio tools`). **Dodatek 2026-09-28 (Principál: aktualizace zůstane jedna, `lazurio update`; „Občas se stane, že operátoři zapomínají updatovat a myslím si, že občas je to potřeba. Update by měl být ale určitě dovolený i bez rolloutu.“): verzi Lazuria vlastní operátor, pin je minimum.** (a) Updater Lazuria je jeden: `lazurio update` LazurioPlatform. Operátor Environmentu jím Lazurio aktualizuje sám a bez rolloutu, na hostované Mašině (Remote Environment) stejně jako na vlastním počítači. Aktualizace Lazuria je operátorova aktualizace nástroje, ne rollout. (b) Pin provozovatele Machines pro release LazurioPlatform je **minimum**. Rollout Lazurio nainstaluje, když chybí nebo je rozbité, a Mašinu pod pinem zvedne na pinovaný release. Verzi nikdy nesníží; floor a high-water pravidlo produktu (F13) platí dál. Verze nad pinem je fakt, ne drift. (c) Standardní příkaz je `~/.local/bin/lazurio` (bod 6). Vytváří ho `lazurio install`; Machines ho jen ověří a nikdy ho nezapisují. (d) Agent spouští `lazurio update` na pokyn operátora, ne z vlastní iniciativy; `lazurio update status` smí použít kdykoli. Po aktualizaci obnoví vygenerované soubory Folderu příkazem, který produkt sám vypíše (na hostované Mašině `lazurio machine folder-refresh`). (e) **Co se v 0161 mění:** bod (1) řadil nainstalovaný release LazurioPlatform do baseline, kterou drží pin. Nově baseline zaručuje, že je nainstalované funkční Lazurio nejméně v pinované verzi; verze nad ní patří operátorovi. **Co zůstává:** všechno ostatní z 0161 i z 0144, pravidlo o nástrojích operátora, „rollout je oprava“ a žádná druhá kopie nástrojů. Legacy root `lazurio update` (0129) synchronizuje checkouty Root Repa a dodatek se ho netýká. (f) Realizace: LazurioPlatform dodatek F17 z 2026-09-28 (veřejný repozitář `Lazurio/LazurioPlatform`, PR #58). Odpovídající změna role Machines je navazující krok a hotová není. |
 | 0162 | **Napojení Environmentu na externí aplikace je věc operátora: volitelné, přes nástroje přihlášené na Mašině; Composio je doporučená cesta, nic se centrálně nevynucuje.** Principál 2026-09-27 (toto znění nahrazuje první verzi téhož dne, která počítala s projektem Composia a klíčem na každé Mašině; ta se neuplatní). **Zásada:** Environment zrcadlí svého operátora. Agenti v něm jednají tam, kam sahají přihlášení na té Mašině; jedná-li operátor napříč Organizacemi, jedná napříč nimi i jeho Environment. Kdo potřebuje oddělit kontexty nebo přístupy, zakládá další Environment, tedy další Mašinu, a přihlašuje v něm jiné účty. **Tři cesty, mezi kterými volí operátor:** (1) **Composio**, doporučená cesta pro jednoduché napojení aplikací; je opt-in, operátor ji povolí v Nastavení Launchpadu a přihlásí svůj Composio účet přes prohlížeč stejně, jako se přihlašuje `gh`; žádný API klíč se nikdy nekopíruje; agenti používají příkazovou řádku `composio`. (2) **Další podporované CLI nástroje** z výběru Launchpadu (každý otestovaný, opt-in, s přihlášením přes prohlížeč nebo ověřovací kód). (3) **MCP server**, který operátorovi na požádání nastaví agent; MCP servery se do profilu ani návodů Folderu nezapisují. `gh` není volitelný, je povinnou součástí Environmentu. **CLI-first:** Lazurio (příkaz `lazurio` a Launchpad jsou jedna věc) se stará o Environment, tedy o nástroje v něm, a říká agentům, jak se v něm pohybovat; Codex, Claude Code, `gh`, Composio i další nástroje jsou CLI nainstalovaná a přihlášená na Mašině, což nejlépe odpovídá tomu, že přístupy a schopnosti jsou svázané s Environmentem. **Propsání do návodů:** aktivace CLI nástroje se propíše do agentních instrukcí a manuálů Lazurio Folderu té Mašiny, aby agenti věděli, že ho mají k práci použít; deaktivace ho z nich odebere; návody reflektují, co je v Environmentu povoleno. **Katalog a závazek údržby:** do výběru Launchpadu patří jen nástroje s uživatelsky přívětivým přihlášením, protože Launchpad má snižovat tření; atypický nástroj napojí na zadání operátora agent. Údržba katalogu je hodnota Lazuria: každý nástroj má sepsáno, co má jeho instalace udělat, a když instalátor selže, spustí se agent, který instalaci podle toho popisu dotáhne. **Katalog Organizace** je doporučení a sdílená definice, ne povolovací brána pro Environment operátora. **Pořadí pro agenty:** nejvyšší prioritu mají nainstalované CLI nástroje z katalogu, tak jak agentům říkají generované návody; potom MCP servery, pro které má agent jen obecný pokyn zjistit, co je k dispozici, a zbytek se dozví z MCP samotného. **Přihlášení bez tření** je přidaná hodnota Lazuria: odkaz, ověřovací kód nebo čitelný QR kód v Launchpadu, nikdy rozsypaný QR kód v terminálu. **Dokumentace:** hranice a přijaté kompromisy (tokeny a obsah volání drží Composio; přihlášení sahá tam, kam účet; oddělení Organizací na jedné Mašině je pravidlo práce; Organizace nemá vynucený přehled) se operátorům srozumitelně vysvětlují ve veřejné dokumentaci Lazuria. **Účet Environmentu:** připojené aplikace patří u Composia účtu a jeho organizaci, ne Mašině; dvě Mašiny přihlášené stejným účtem a organizací vidí stejná připojení. Doporučujeme proto brát přihlášení jako účet Environmentu: kde má mít Mašina jiný rozsah, přihlásí operátor jiný účet nebo jinou Composio organizaci. **Organizace:** Lazurio Environment přehled ani použití Composia nevynucuje. Organizace, která chce přehled, si založí vlastní Composio organizaci (tak jako zakládá GitHub organizaci) a po svých operátorech žádá, aby se přihlašovali do ní; je to samostatně spravovaná služba mimo Lazurio Dashboard. Centrální přehled připojených účtů není cílem, protože operátor smí Environment napojit i jinými cestami. Správa oprávnění jednotlivých Mašin z Dashboardu je pozdější záměr pro `gh` i Composio. **Rozsah a zápisy:** napojená aplikace je agentům k dispozici celá, včetně zápisu a mazání, dokud operátor rozsah neomezí; schopnost zápisu není souhlas s Publikací a navenek viditelný zápis provede agent jen na pokyn Principála. **Zakázané zůstává:** nové napojení přes ChatGPT nebo claude.ai konektory, jiné sdílené brokery, scraping a cookie-session servery, kopírování klíčů a tokenů do chatu, Gitu nebo logu. **Přijatý důsledek:** tokeny aplikací a obsah volání drží Composio; operátor i Organizace to mají vědět před prvním připojením. **Dnes versus cíl:** sekce Nastavení Launchpadu s povinnými, doporučenými a volitelnými nástroji, jejich aktivace a propsání do Folderu teprve vznikají v LazurioPlatform (plán DEV-6626); do jejich vydání se Composio zřizuje jen v pilotu DEV-6626 a jinde platí dosavadní cesty standardu. Vlastní broker, projekt na Mašinu ani služba na Conglomerate Hostu se nestaví. |
 | 0163 | **Otevřené otázky jdou do GitHub Issues a práci nezastavují; nálezy z review se přijímají s úsudkem.** Principál 2026-09-27: (1) Task Agent má trvalý mandát zapsat otevřený technický problém, nejistotu nebo nález jako GitHub Issue v přesném owning repu, po kontrole duplicit a sanitizaci, bez předchozího dotazu; issue se nezapisuje náhradou do Mission Controlu a neblokuje práci, která na něm nestojí. Uzavření, assignment a prioritizace issue zůstávají na pokyn Principála; do veřejného repa se nikdy nezapisuje Organization-specific obsah, secrets ani Personalspace. Tím se mění rozhodnutí 0139 v jediném bodě: vytvoření issue nebo komentáře už nevyžaduje explicitní mandát Principála; ostatní části 0139 platí. Merge, release a nasazení zůstávají Publikací na pokyn Principála. (2) Skutečnou vadu z review Agent opraví hned. Nález, který je drobnost bez dopadu, spekulace o budoucí změně nebo rozšiřuje záběr PR, odmítne věcnou námitkou v PR a požádá o verdikt na nezměněném headu; trvá-li reviewer na svém, předloží obě stanoviska Principálovi. Review se nikdy neobchází. Důvod: rozhodnutí 0162 prošlo deseti koly review, z nichž pět měnilo jen přísnost jednoho testu, zatímco schválený text čekal na Publikaci. |
-| 0164 | **Lazurio se instaluje jedním standardním způsobem; migrace z Root Repa do Lazurio Folderu je jednosměrná a selhání se opravuje vpřed, bez rollbacku.** Principál 2026-09-28: „migrace z Root Repo na Lazurio Folder klidně může být jednosměrná … Pokud se něco pokazí, tak jsem pro to prioritně opravit v Lazurio Folderu. Cílem je eliminovat Lazurio Root Repo instalace. Takže prosím bez rollbacku.“ (1) **Cíl:** instalace Root Repa (tento repozitář jako checkout na Mašině) skončí. Každé Environment přejde do Lazurio Folderu, který spravuje LazurioPlatform. Po migraci posledního Environmentu se tento repozitář archivuje. (2) **Jednosměrnost:** cesta zpět do instalace Root Repa se nestaví ani neudržuje. Když se migrace pokazí, opraví ji Agent vpřed v Lazurio Folderu podle manuálů Folderu. Navazuje to na dřívější postoj Principála: mašinérie pro rollback nesmí brzdit postup a Lazurio je tenký obal nad repozitáři Organizací a Personalspace, kde historii už drží Git. (3) **Čeho se migrace nedotkne:** obsahu repozitářů Organizací, Personalspace a přihlášení. Jednosměrnost se týká instalace (CLI, Launchpad, checkout Root Repa), ne dat Organizací; ta zůstávají Git repozitáři s vlastní historií. (4) **Pořadí:** nejdřív Environmenty na Linuxu, potom na macOS. Windows přijde na řadu až poté, co LazurioPlatform dostane build pro Windows; po něm následuje migrace uživatelů Windows. Do té doby instalace Root Repa na Windows fungují beze změny. (5) **Provedení:** migraci provádí Agent podle připraveného promptu a manuálu pro každou platformu. Manuál i prompt teprve vznikají v LazurioPlatform (issue #50) a dnes neexistují. (6) **Vstup první instalace (Principál téhož dne později):** první instalace Lazuria na nový počítač je jeden příkaz, instalační skript podávaný z `https://lazurio.ai/install` (macOS a Linux; pro Windows jeho protějšek v PowerShellu, až bude build pro Windows). Skript nainstaluje CLI a Launchpad, které jsou jeden program; potom přebírá `lazurio update`. Npm balíček `lazurio` může přibýt později jako druhý vstup pro ty, kdo už mají Node; primárním vstupem není a dnes neexistuje. Dnes existuje skript `install.sh` ve veřejném repozitáři LazurioPlatform; podávání z `lazurio.ai/install` ještě nasazené není. (7) **Standardní instalace (Principál téhož dne později):** Lazurio se instaluje přesně standardním způsobem, protože různé instalace na různých Environmentech dělají jen nepořádek. Každá platforma má jedno standardní rozložení instalace: install base produktu, příkaz `~/.local/bin/lazurio` a Lazurio Folder; přesné cesty pro každou platformu drží dokumentace LazurioPlatform. Instalátor nikdy potichu nepřepíše, co mu nepatří: odchylku nahlásí. Agent pak na pokyn operátora a podle manuálu srovná instalaci do standardu. Odchylná instalace není podporovaná varianta, kterou by bylo třeba zachovat. Pravidlo patří sem, a ne do dodatku 0161, protože platí pro každé Environment, místní i vzdálené, zatímco 0161 vymezuje baseline hostované Mašiny; migrace z Root Repa je jeho první a největší použití. Nástrojů operátora se netýká, pro ně platí 0161. **Vztah k dřívějším rozhodnutím:** 0136 se mění: profil `managed`, Managed Root ani Source → Managed migrace s rollbackem se nestaví, cílem je Lazurio Folder; pravidla profilu `source` (Root přímo v home) platí pro existující instalace do jejich migrace. Bod (7) nemění, že instalace Root Repa do své migrace fungují; srovnáním do standardu je právě tato migrace. 0142 se mění jen ve větě o budoucím Managed Rootu, která se neuplatní; lokalizace Launchpadu a manuálů zůstává. 0013, 0030 a 0129 (jeden Root na mašině, direct-pull klon, root `lazurio update` synchronizující checkouty) platí beze změny pro instalace Root Repa až do jejich migrace; stejně tak ostatní pravidla instalace Root Repa. 0132 beze změny: shaping migrace dál pojmenuje failure modes, odpovědí na selhání je oprava vpřed. 0144 a 0161 včetně dodatku 2026-09-28 beze změny; `lazurio update rollback` LazurioPlatform zůstává návratem z nepovedené aktualizace produktu a této migrace se netýká. 0033 (GEN2 → GEN3 s rollback linkou) beze změny: jde o migraci Organizací, ne instalace Lazuria. |
-| 0165 | **Tři druhy Environmentu: Osobní, Pracovní a Pracovní týmové; týmové pracuje v GitHubu přes Lazurio for GitHub, ne účtem člověka.** Principál 2026-09-28 rozhodl, že se Environmenty nakonec rozlišují na tři druhy, ne jen na osobní a pracovní. (1) **Druhy:** **Osobní** (Personal) je Environment jednoho Principála v jeho osobní zóně: jeho vlastní počítač nebo jeho jediná osobní hostovaná Mašina (0153). **Pracovní** (Work) je Environment jednoho operátora pro práci v Organizaci: pracovní VM přiřazená právě jemu nebo pracovní počítač Organizace (0155); dosavadní „osobní pracovní VM“ manuálů je Pracovní, ne Osobní. **Pracovní týmové** (Work Team) je sdílená Mašina Organizace, na které pracuje víc operátorů z Teamu (Hosted Team Workspace, 0147); dnes je to vždy hostovaná Mašina. U hostované Mašiny plyne druh z `lazurio.machine.json`: `machine.kind: personal-vm` je Osobní, `owner.assignment.kind: operator` Pracovní a `owner.assignment.kind: team` Pracovní týmové. Druh se nikdy neodvozuje ze jména, hostname ani velikosti Teamu; jednočlenný Team z Mašiny týmovou nedělá. Druh je samostatná osa vedle místního a vzdáleného Environmentu z 0160. (2) **GitHub v Osobním a Pracovním Environmentu:** přihlašuje se vlastní účet operátora a přihlášení připojí SSH klíč Mašiny, v Launchpadu nebo přes `lazurio tools login gh`. Dnes: přihlášení s připojením SSH klíče je implementované v LazurioPlatform (veřejný PR #61, sloučený, ve vydaném release zatím není). (3) **GitHub v Pracovním týmovém Environmentu:** nepřihlašuje se účtem člověka a nepřipojuje osobní SSH klíč. V GitHubu pracuje přes GitHub App Lazurio for GitHub nainstalovanou v GitHub organizaci; cílem je, aby GitHub ukázal, které Environment vytvořilo commit, pull request nebo issue. Dnes: na hostované týmové VM může běžet broker Organizace podle 0147; cesta Pracovního týmového Environmentu v LazurioPlatform přes Lazurio for GitHub, včetně atribuce Environmentu, je směr a postavená není. **Vztah k dřívějším rozhodnutím:** 0160 platí beze změny a dostává druhou osu. 0155 beze změny: Osobní odpovídá osobní zóně, Pracovní a Pracovní týmové pracovní zóně a granty mezi Mašinami se nemění. 0147 a 0149 se potvrzují: identitou týmového Environmentu je Lazurio for GitHub přes broker Organizace a přístup drží živé GitHub granty Teamu; jejich cílový kontrakt dál čeká na změnu brokeru. 0148 se zpřesňuje směrem: atribuce má ideálně nést i Environment, nejen Team; bot jako committer, Teamová pseudo-identita autora a trailer `Lazurio-Workspace` platí, dokud shaping neurčí mechanismus. 0159 se pro Pracovní týmové Environment zužuje: kde broker Organizace běží, je jedinou identitou bot a výjimka neplatí. Cílem je, aby Launchpad LazurioPlatform ani `lazurio tools login gh` na Pracovním týmovém Environmentu přihlášení účtem člověka a připojení SSH klíče nenabízely. Dnes: v Launchpadu je to sloučené v LazurioPlatform (veřejný PR #60, sloučený 2026-09-28, ve vydaném release zatím není); stejné pravidlo v `lazurio tools login gh` a v routách Launchpadu postavené není a cesta přes Lazurio for GitHub v LazurioPlatform postavená není. Pro týmovou VM, na které broker ještě neběží, zůstává dočasná výjimka 0159 v dosavadní podobě, dokud Principál nerozhodne o jejím ukončení; je to otevřená otázka, ne cílový stav. Pro Pracovní Environment jednoho operátora platí 0159 beze změny. |
+| 0164 | **Lazurio se instaluje jedním standardním způsobem; migrace z Root Repa do Lazurio Folderu je jednosměrná a selhání se opravuje vpřed, bez rollbacku.** Principál 2026-09-28: „migrace z Root Repo na Lazurio Folder klidně může být jednosměrná … Pokud se něco pokazí, tak jsem pro to prioritně opravit v Lazurio Folderu. Cílem je eliminovat Lazurio Root Repo instalace. Takže prosím bez rollbacku.“ (1) **Cíl:** instalace Root Repa (tento repozitář jako checkout na Mašině) skončí. Každé Environment přejde do Lazurio Folderu, který spravuje LazurioPlatform. Po migraci posledního Environmentu se tento repozitář archivuje. (2) **Jednosměrnost:** cesta zpět do instalace Root Repa se nestaví ani neudržuje. Když se migrace pokazí, opraví ji Agent vpřed v Lazurio Folderu podle manuálů Folderu. Navazuje to na dřívější postoj Principála: mašinérie pro rollback nesmí brzdit postup a Lazurio je tenký obal nad repozitáři Organizací a Personalspace, kde historii už drží Git. (3) **Čeho se migrace nedotkne:** obsahu repozitářů Organizací, Personalspace a přihlášení. Jednosměrnost se týká instalace (CLI, Launchpad, checkout Root Repa), ne dat Organizací; ta zůstávají Git repozitáři s vlastní historií. (4) **Pořadí:** nejdřív Environmenty na Linuxu (v první fázi Ubuntu, viz 0167 bod 3), potom na macOS. Windows přijde na řadu až poté, co LazurioPlatform dostane build pro Windows; po něm následuje migrace uživatelů Windows. Do té doby instalace Root Repa na Windows fungují beze změny. (5) **Provedení:** migraci provádí Agent podle připraveného promptu a manuálu pro každou platformu. Manuál i prompt teprve vznikají v LazurioPlatform (issue #50) a dnes neexistují. (6) **Vstup první instalace (Principál téhož dne později):** první instalace Lazuria na nový počítač je jeden příkaz, instalační skript podávaný z `https://lazurio.ai/install` (macOS a Linux; pro Windows jeho protějšek v PowerShellu, až bude build pro Windows). Skript nainstaluje CLI a Launchpad, které jsou jeden program; potom přebírá `lazurio update`. Npm balíček `lazurio` může přibýt později jako druhý vstup pro ty, kdo už mají Node; primárním vstupem není a dnes neexistuje. Dnes existuje skript `install.sh` ve veřejném repozitáři LazurioPlatform; podávání z `lazurio.ai/install` ještě nasazené není. **Změněno rozhodnutím 0168:** dokumentovaný příkaz má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. (7) **Standardní instalace (Principál téhož dne později):** Lazurio se instaluje přesně standardním způsobem, protože různé instalace na různých Environmentech dělají jen nepořádek. Každá platforma má jedno standardní rozložení instalace: install base produktu, příkaz `~/.local/bin/lazurio` a Lazurio Folder; přesné cesty pro každou platformu drží dokumentace LazurioPlatform. Instalátor nikdy potichu nepřepíše, co mu nepatří: odchylku nahlásí. Agent pak na pokyn operátora a podle manuálu srovná instalaci do standardu. Odchylná instalace není podporovaná varianta, kterou by bylo třeba zachovat. Pravidlo patří sem, a ne do dodatku 0161, protože platí pro každé Environment, místní i vzdálené, zatímco 0161 vymezuje baseline hostované Mašiny; migrace z Root Repa je jeho první a největší použití. Nástrojů operátora se netýká, pro ně platí 0161. **Vztah k dřívějším rozhodnutím:** 0136 se mění: profil `managed`, Managed Root ani Source → Managed migrace s rollbackem se nestaví, cílem je Lazurio Folder; pravidla profilu `source` (Root přímo v home) platí pro existující instalace do jejich migrace. Bod (7) nemění, že instalace Root Repa do své migrace fungují; srovnáním do standardu je právě tato migrace. 0142 se mění jen ve větě o budoucím Managed Rootu, která se neuplatní; lokalizace Launchpadu a manuálů zůstává. 0013, 0030 a 0129 (jeden Root na mašině, direct-pull klon, root `lazurio update` synchronizující checkouty) platí beze změny pro instalace Root Repa až do jejich migrace; stejně tak ostatní pravidla instalace Root Repa. 0132 beze změny: shaping migrace dál pojmenuje failure modes, odpovědí na selhání je oprava vpřed. 0144 a 0161 včetně dodatku 2026-09-28 beze změny; `lazurio update rollback` LazurioPlatform zůstává návratem z nepovedené aktualizace produktu a této migrace se netýká. **Změněno rozhodnutím 0166:** `lazurio update rollback` se ruší; nepovedenou aktualizaci řeší Recovery režim a oprava vpřed. 0033 (GEN2 → GEN3 s rollback linkou) beze změny: jde o migraci Organizací, ne instalace Lazuria. |
+| 0165 | **Tři druhy Environmentu: Osobní, Pracovní a Pracovní týmové; týmové pracuje v GitHubu přes Lazurio for GitHub, ne účtem člověka.** Principál 2026-09-28 rozhodl, že se Environmenty nakonec rozlišují na tři druhy, ne jen na osobní a pracovní. (1) **Druhy:** **Osobní** (Personal) je Environment jednoho Principála v jeho osobní zóně: jeho vlastní počítač nebo jeho jediná osobní hostovaná Mašina (0153). **Pracovní** (Work) je Environment jednoho operátora pro práci v Organizaci: pracovní VM přiřazená právě jemu nebo pracovní počítač Organizace (0155); dosavadní „osobní pracovní VM“ manuálů je Pracovní, ne Osobní. **Pracovní týmové** (Work Team) je sdílená Mašina Organizace, na které pracuje víc operátorů z Teamu (Hosted Team Workspace, 0147); dnes je to vždy hostovaná Mašina. U hostované Mašiny plyne druh z `lazurio.machine.json`: `machine.kind: personal-vm` je Osobní, `owner.assignment.kind: operator` Pracovní a `owner.assignment.kind: team` Pracovní týmové. Druh se nikdy neodvozuje ze jména, hostname ani velikosti Teamu; jednočlenný Team z Mašiny týmovou nedělá. Druh je samostatná osa vedle místního a vzdáleného Environmentu z 0160. (2) **GitHub v Osobním a Pracovním Environmentu:** přihlašuje se vlastní účet operátora a přihlášení připojí SSH klíč Mašiny, v Launchpadu nebo přes `lazurio tools login gh`. Dnes: přihlášení s připojením SSH klíče je implementované v LazurioPlatform (veřejný PR #61, sloučený, ve vydaném release zatím není). (3) **GitHub v Pracovním týmovém Environmentu:** nepřihlašuje se účtem člověka a nepřipojuje osobní SSH klíč. V GitHubu pracuje přes GitHub App Lazurio for GitHub nainstalovanou v GitHub organizaci; cílem je, aby GitHub ukázal, které Environment vytvořilo commit, pull request nebo issue. Dnes: na hostované týmové VM může běžet broker Organizace podle 0147; cesta Pracovního týmového Environmentu v LazurioPlatform přes Lazurio for GitHub, včetně atribuce Environmentu, je směr a postavená není. **Vztah k dřívějším rozhodnutím:** 0160 platí beze změny a dostává druhou osu. 0155 beze změny: Osobní odpovídá osobní zóně, Pracovní a Pracovní týmové pracovní zóně a granty mezi Mašinami se nemění. 0147 a 0149 se potvrzují: identitou týmového Environmentu je Lazurio for GitHub přes broker Organizace a přístup drží živé GitHub granty Teamu; jejich cílový kontrakt dál čeká na změnu brokeru. 0148 se zpřesňuje směrem: atribuce má ideálně nést i Environment, nejen Team; bot jako committer, Teamová pseudo-identita autora a trailer `Lazurio-Workspace` platí, dokud shaping neurčí mechanismus. 0159 se pro Pracovní týmové Environment zužuje: kde broker Organizace běží, je jedinou identitou bot a výjimka neplatí. Cílem je, aby Launchpad LazurioPlatform ani `lazurio tools login gh` na Pracovním týmovém Environmentu přihlášení účtem člověka a připojení SSH klíče nenabízely. Dnes: v Launchpadu je to sloučené v LazurioPlatform (veřejný PR #60, sloučený 2026-09-28, ve vydaném release zatím není); stejné pravidlo v `lazurio tools login gh` a v routách Launchpadu postavené není a cesta přes Lazurio for GitHub v LazurioPlatform postavená není. Pro týmovou VM, na které broker ještě neběží, zůstává dočasná výjimka 0159 v dosavadní podobě, dokud Principál nerozhodne o jejím ukončení; je to otevřená otázka, ne cílový stav. **Změněno rozhodnutím 0168:** Principál o ukončení rozhodl; výjimka pro Pracovní týmové Environment končí a týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka. Pro Pracovní Environment jednoho operátora platí 0159 beze změny. |
+| 0166 | **Lazurio nemá rollback; když je rozbité, nabízí jen Recovery režim: agenta, který opraví vpřed, nebo issue se vším potřebným pro opravu.** Principál 2026-09-28: „Jsem proti rollbacku a pro tento mechanizmus, který nás přiměje dělat stabilní releases in the long run. Nechci abychom se spoléhali na to že ‚když se to rozbije tak nás zachrání rollback‘ – ne, prostě si dáme … záležet, aby vše fungovalo. Žádné zpětné vrátka pro rollback!“ (1) **Žádný rollback produktu:** Lazurio (LazurioPlatform) nemá `lazurio update rollback`, jednotku pro rollback, ponechanou předchozí verzi ani automatické přepnutí zpět po nezdravém restartu. Rollbackem nejsou a zůstávají: atomické selhání jedné operace (nic nezůstane napůl zapsané), odmítnutí dřív, než se cokoli změní (ověření, self-check a zkouška kandidáta před přepnutím), a odmítnutí downgradu (floor a high-water). Po přepnutí na novou verzi vede jediný směr vpřed: dokončit, opravit, nebo novější release. (2) **Recovery režim:** když je Lazurio rozbité, produkt nabízí jedinou věc: spustit agenta v chatu se zadáním opravit, co je potřeba, nebo předat vše potřebné k opravě do GitHub Issue. Každý vstup do Recovery režimu končí issue, i když agent opravu zvládl, aby se z opravy stal regresní test. Na pracovní stanici zatím stačí zkopírovat prompt do agentní aplikace operátora. Launchpad běží vždy; v Recovery režimu obsluhuje jen tuto opravnou akci. (3) **Záměr:** tlak na pořádné testy a CI/CD, které zachytí co nejvíc problémů, a důkazy z Environmentů, kde se Lazurio rozbilo. (4) **Machines se řídí stejným pravidlem** (Principál přijal doporučení): apply se dokončí, nebo nezačne, a nikdy se nevrací na dřívější release jako způsob opravy. Zůstává, protože to rollback není: atomické a předem validované nasazení konfigurace brány, obnova přerušeného applye, která ho dokončí vpřed, a rescue přístup poskytovatele jako nouzová cesta dovnitř. Odchází obnova předchozího rezidentního stromu a obnova předchozího release stromu T3 Code. Recovery pro Machines: nepovedený apply vrátí úplné důkazy agentovi, který rollout řídí; ten opraví vpřed novým Plánem, nebo založí issue. Agent uvnitř Mašiny opravuje jen vrstvu Lazuria. (5) **Oprava novým releasem, releases po stupních:** pipelines musí selhání Machines rozpoznat a opravit **novým** releasem. Releases se vydávají po stupních (kvalifikační VM, pilotní Organizace, potom další Organizace po krocích), takže chyba zasáhne jen úzký okruh uživatelů. (6) Release candidate Lazuria běží 8 hodin na každé Mašině pilotní Organizace, než se stane finálním releasem. (7) **Přijatý důsledek:** aktualizaci na první release bez rollbacku provádí ještě starý updater, takže při této jediné aktualizaci je možné jedno poslední přepnutí zpět. (8) **Kam issue jde:** Principál volbu delegoval na Task Agenta („nechám na tobě“) a ten rozhodl: automatické issue jde do veřejného repozitáře produktu a nese jen strukturovaná pole bez volného textu (verze, target, platforma, identifikátory selhaných kontrol, stav jednotky, revize Folderu a šablony), a to až po deterministické sanitizační bráně. Konec journalu ani žádný volný text Mašinu automaticky neopouštějí: zůstávají v lokálním recovery balíčku a do issue se dostanou, jen když je opravný agent přiloží poté, co je pod sanitizérem přečetl. Operátor issue nepotvrzuje; vidí přesné tělo, které Mašinu opustilo. Nová intake služba nevzniká; privátní intake se znovu zváží jen tehdy, když se strukturovaná issues ukážou jako nedostatečná pro opravy. **Vztah k dřívějším rozhodnutím:** v 0161 se nahrazuje zmínka o vlastním rollbacku LazurioPlatform v bodě (1); dodatek 0161 z 2026-09-28 platí dál (jeden updater, pin jako minimum, floor a high-water). Věta, že `lazurio update rollback` zůstává návratem z nepovedené aktualizace, se nahrazuje v 0164 i v dodatku F17 LazurioPlatform z 2026-09-28 (bod 3), ze kterého dodatek 0161 vychází. 0164 a 0166 jsou jedno pravidlo: oprava vpřed. 0163 se uplatňuje: issue z Recovery režimu je použití trvalého mandátu včetně kontroly duplicit a sanitizace. 0132 beze změny: shaping dál pojmenuje failure modes, odpovědí na ně je oprava vpřed. LazurioPlatform F13 se mění v části o rollbacku; atestace releasu a floor zůstávají. Texty Machines o rollbacku změní samostatné rozhodnutí Machines; hotové to není. 0033 (rollback linka migrace GEN2 → GEN3) se týká migrace Organizací, ne instalace Lazuria. **Dnes:** Recovery režim se staví. Veřejné pull requesty LazurioPlatform #64 a #65 jsou shaping drafty (navržené rozhodnutí F21) a implementace probíhá; nic z toho není vydané a vydané releases LazurioPlatform rollback dosud obsahují. |
+| 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku. Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin, ne upgrade na místě; Personalspace je Git repozitář a naklonuje se znovu. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Otevřené:** náhled pull requestu na hostované Mašině. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. Otázka se navrhne pořádně později; zdroj z worktree zůstává mimo přepínací linku. (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu je tam otevřená otázka (bod 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
+| 0168 | **Pracovní týmové Environment funguje s botem Organizace hned po předání; dočasná výjimka 0159 pro něj končí. Příkaz první instalace má přísnou podobu.** Principál 2026-09-28: „týmová VM má out of the box fungovat s přihlášeným botem organizace. Takže není potřeba přihlašovat gh.“ (1) Výjimka 0159, podle které se na týmové VM smělo přihlásit libovolným GitHub účtem, končí. Pracovní týmové Environment pracuje v GitHubu hned po předání přes bota Organizace (Lazurio for GitHub, 0147). (2) LazurioPlatform tam osobní přihlášení `gh` i připojení SSH klíče odmítá a dovoluje odhlásit osobní účet, který tam zůstal z dřívějška (veřejný pull request LazurioPlatform #66, otevřený). (3) Týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka: Agent osobní přihlášení nenabízí a zapíše blocker. (4) Pro Pracovní Environment jednoho operátora a pro Osobní Environment platí 0159 beze změny až do vazby v Dashboardu. (5) **Příkaz první instalace** (0164 bod 6) má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. Důvod: instalační skript drží na HTTPS každé své stažení a přesměrování (LazurioPlatform F20); přísná podoba drží na HTTPS s TLS nejméně 1.2 i první krok, stažení skriptu samotného. **Vztah k dřívějším rozhodnutím:** 0159 se pro týmovou VM ukončuje, jinde platí. 0165 se mění ve větě o 0159: otevřenou otázku Principál rozhodl. 0147 a 0149 se potvrzují. 0164 bod 6 dostává přísnou podobu příkazu; ostatní body beze změny. |
 
 ## Workstation toolchain: PATH compatibility (2026-09-04)
 
diff --git a/manual/hosted-machine-first-login.md b/manual/hosted-machine-first-login.md
index c41c7c8b..83af6710 100644
--- a/manual/hosted-machine-first-login.md
+++ b/manual/hosted-machine-first-login.md
@@ -31,14 +31,14 @@ jednotky s `--user`). Přechod VM na LazurioPlatform včetně práce s Organizac
 je rozpracovaný a sleduje ho LazurioPlatform (issue #50); do té doby tento
 manuál popisuje rezidentní instalaci.
 
-## Kdo se přihlašuje (dočasně volně, decision 0159)
+## Kdo se přihlašuje (decisions 0159 a 0168)
 
 Dokud vazbu Mašina → GitHub účet neřídí Lazurio Account v Dashboardu,
-přihlásí operátor hostovanou pracovní VM **libovolným GitHub účtem** — osobní
-i týmovou. `owner.assignment` v `/etc/lazurio/lazurio.machine.json` přihlášení
+přihlásí operátor osobní pracovní VM **libovolným GitHub účtem**.
+`owner.assignment` v `/etc/lazurio/lazurio.machine.json` přihlášení
 neomezuje: Agent kvůli chybějícímu, neplatnému ani odlišnému přiřazení
-neblokuje a jiný přihlášený účet není blocker. Jedinou výjimkou je Mašina,
-na které už běží bot Organizace přes broker (níže): tam zůstává bot.
+neblokuje a jiný přihlášený účet není blocker. Týmová VM se osobním účtem
+nepřihlašuje nikdy: pracuje přes bota Organizace (níže, decision 0168).
 GitHub dál rozhoduje, co přihlášený účet smí.
 
 ## Jak Agent pozná, o jakou Mašinu jde
@@ -126,13 +126,13 @@ zapíše přesný blocker a zastaví se.
 
 ## Týmová VM: identita Organizace, ne člověka
 
-**Dočasná výjimka (decision 0159).** Dokud na týmové VM neběží bot
-Organizace (chybí `/etc/lazurio/github-broker/environment`), přihlásí ji
-operátor stejně jako osobní VM — tlačítkem v Launchpadu, libovolným účtem —
-a postupuje podle kroků osobní VM včetně `--role builder`. Agent ho předem
-upozorní, že všichni na této VM pak pracují pod jeho účtem a jeho SSH klíčem.
-Jakmile broker běží, platí pravidla níže a osobní přihlášení operátor
-odhlásí.
+**Bez výjimky (decision 0168).** Dočasná výjimka 0159 pro týmovou VM
+skončila: týmová VM má fungovat s botem Organizace hned po předání. Když na ní
+bot neběží (chybí `/etc/lazurio/github-broker/environment`), je to vada
+Machines k opravě vpřed, ne důvod přihlásit člověka: Agent osobní přihlášení
+nespouští ani nenavrhuje, zapíše blocker pro Organization Admina (níže) a
+zastaví se. Osobní účet, který na týmové VM zůstal přihlášený z dřívějška,
+operátor odhlásí.
 
 Sdílená týmová VM (`owner.assignment.kind: team`) nemá osobního operátora a
 pracuje na ní více lidí z Teamu. Podle rozhodnutí 0147–0149 jedná na GitHubu

From 0a7eb0d52a7e1fae423157a769c6d7e619c9c072 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Mat=C4=9Bj=20Such=C3=A1nek?= <jsem@matejsuchanek.cz>
Date: Mon, 28 Sep 2026 14:15:32 +0200
Subject: [PATCH 2/8] Decisions 0166/0167: seamless Ubuntu rebuild of hosted
 personal VMs with state transfer; canary on the pilot Organization's work VMs
 and its operators' personal VMs

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
---
 manual/decision-register.md | 4 ++--
 1 file changed, 2 insertions(+), 2 deletions(-)

diff --git a/manual/decision-register.md b/manual/decision-register.md
index 543c2ce0..494682bd 100644
--- a/manual/decision-register.md
+++ b/manual/decision-register.md
@@ -99,8 +99,8 @@ frameworku se sem nepřenášejí).
 | 0163 | **Otevřené otázky jdou do GitHub Issues a práci nezastavují; nálezy z review se přijímají s úsudkem.** Principál 2026-09-27: (1) Task Agent má trvalý mandát zapsat otevřený technický problém, nejistotu nebo nález jako GitHub Issue v přesném owning repu, po kontrole duplicit a sanitizaci, bez předchozího dotazu; issue se nezapisuje náhradou do Mission Controlu a neblokuje práci, která na něm nestojí. Uzavření, assignment a prioritizace issue zůstávají na pokyn Principála; do veřejného repa se nikdy nezapisuje Organization-specific obsah, secrets ani Personalspace. Tím se mění rozhodnutí 0139 v jediném bodě: vytvoření issue nebo komentáře už nevyžaduje explicitní mandát Principála; ostatní části 0139 platí. Merge, release a nasazení zůstávají Publikací na pokyn Principála. (2) Skutečnou vadu z review Agent opraví hned. Nález, který je drobnost bez dopadu, spekulace o budoucí změně nebo rozšiřuje záběr PR, odmítne věcnou námitkou v PR a požádá o verdikt na nezměněném headu; trvá-li reviewer na svém, předloží obě stanoviska Principálovi. Review se nikdy neobchází. Důvod: rozhodnutí 0162 prošlo deseti koly review, z nichž pět měnilo jen přísnost jednoho testu, zatímco schválený text čekal na Publikaci. |
 | 0164 | **Lazurio se instaluje jedním standardním způsobem; migrace z Root Repa do Lazurio Folderu je jednosměrná a selhání se opravuje vpřed, bez rollbacku.** Principál 2026-09-28: „migrace z Root Repo na Lazurio Folder klidně může být jednosměrná … Pokud se něco pokazí, tak jsem pro to prioritně opravit v Lazurio Folderu. Cílem je eliminovat Lazurio Root Repo instalace. Takže prosím bez rollbacku.“ (1) **Cíl:** instalace Root Repa (tento repozitář jako checkout na Mašině) skončí. Každé Environment přejde do Lazurio Folderu, který spravuje LazurioPlatform. Po migraci posledního Environmentu se tento repozitář archivuje. (2) **Jednosměrnost:** cesta zpět do instalace Root Repa se nestaví ani neudržuje. Když se migrace pokazí, opraví ji Agent vpřed v Lazurio Folderu podle manuálů Folderu. Navazuje to na dřívější postoj Principála: mašinérie pro rollback nesmí brzdit postup a Lazurio je tenký obal nad repozitáři Organizací a Personalspace, kde historii už drží Git. (3) **Čeho se migrace nedotkne:** obsahu repozitářů Organizací, Personalspace a přihlášení. Jednosměrnost se týká instalace (CLI, Launchpad, checkout Root Repa), ne dat Organizací; ta zůstávají Git repozitáři s vlastní historií. (4) **Pořadí:** nejdřív Environmenty na Linuxu (v první fázi Ubuntu, viz 0167 bod 3), potom na macOS. Windows přijde na řadu až poté, co LazurioPlatform dostane build pro Windows; po něm následuje migrace uživatelů Windows. Do té doby instalace Root Repa na Windows fungují beze změny. (5) **Provedení:** migraci provádí Agent podle připraveného promptu a manuálu pro každou platformu. Manuál i prompt teprve vznikají v LazurioPlatform (issue #50) a dnes neexistují. (6) **Vstup první instalace (Principál téhož dne později):** první instalace Lazuria na nový počítač je jeden příkaz, instalační skript podávaný z `https://lazurio.ai/install` (macOS a Linux; pro Windows jeho protějšek v PowerShellu, až bude build pro Windows). Skript nainstaluje CLI a Launchpad, které jsou jeden program; potom přebírá `lazurio update`. Npm balíček `lazurio` může přibýt později jako druhý vstup pro ty, kdo už mají Node; primárním vstupem není a dnes neexistuje. Dnes existuje skript `install.sh` ve veřejném repozitáři LazurioPlatform; podávání z `lazurio.ai/install` ještě nasazené není. **Změněno rozhodnutím 0168:** dokumentovaný příkaz má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. (7) **Standardní instalace (Principál téhož dne později):** Lazurio se instaluje přesně standardním způsobem, protože různé instalace na různých Environmentech dělají jen nepořádek. Každá platforma má jedno standardní rozložení instalace: install base produktu, příkaz `~/.local/bin/lazurio` a Lazurio Folder; přesné cesty pro každou platformu drží dokumentace LazurioPlatform. Instalátor nikdy potichu nepřepíše, co mu nepatří: odchylku nahlásí. Agent pak na pokyn operátora a podle manuálu srovná instalaci do standardu. Odchylná instalace není podporovaná varianta, kterou by bylo třeba zachovat. Pravidlo patří sem, a ne do dodatku 0161, protože platí pro každé Environment, místní i vzdálené, zatímco 0161 vymezuje baseline hostované Mašiny; migrace z Root Repa je jeho první a největší použití. Nástrojů operátora se netýká, pro ně platí 0161. **Vztah k dřívějším rozhodnutím:** 0136 se mění: profil `managed`, Managed Root ani Source → Managed migrace s rollbackem se nestaví, cílem je Lazurio Folder; pravidla profilu `source` (Root přímo v home) platí pro existující instalace do jejich migrace. Bod (7) nemění, že instalace Root Repa do své migrace fungují; srovnáním do standardu je právě tato migrace. 0142 se mění jen ve větě o budoucím Managed Rootu, která se neuplatní; lokalizace Launchpadu a manuálů zůstává. 0013, 0030 a 0129 (jeden Root na mašině, direct-pull klon, root `lazurio update` synchronizující checkouty) platí beze změny pro instalace Root Repa až do jejich migrace; stejně tak ostatní pravidla instalace Root Repa. 0132 beze změny: shaping migrace dál pojmenuje failure modes, odpovědí na selhání je oprava vpřed. 0144 a 0161 včetně dodatku 2026-09-28 beze změny; `lazurio update rollback` LazurioPlatform zůstává návratem z nepovedené aktualizace produktu a této migrace se netýká. **Změněno rozhodnutím 0166:** `lazurio update rollback` se ruší; nepovedenou aktualizaci řeší Recovery režim a oprava vpřed. 0033 (GEN2 → GEN3 s rollback linkou) beze změny: jde o migraci Organizací, ne instalace Lazuria. |
 | 0165 | **Tři druhy Environmentu: Osobní, Pracovní a Pracovní týmové; týmové pracuje v GitHubu přes Lazurio for GitHub, ne účtem člověka.** Principál 2026-09-28 rozhodl, že se Environmenty nakonec rozlišují na tři druhy, ne jen na osobní a pracovní. (1) **Druhy:** **Osobní** (Personal) je Environment jednoho Principála v jeho osobní zóně: jeho vlastní počítač nebo jeho jediná osobní hostovaná Mašina (0153). **Pracovní** (Work) je Environment jednoho operátora pro práci v Organizaci: pracovní VM přiřazená právě jemu nebo pracovní počítač Organizace (0155); dosavadní „osobní pracovní VM“ manuálů je Pracovní, ne Osobní. **Pracovní týmové** (Work Team) je sdílená Mašina Organizace, na které pracuje víc operátorů z Teamu (Hosted Team Workspace, 0147); dnes je to vždy hostovaná Mašina. U hostované Mašiny plyne druh z `lazurio.machine.json`: `machine.kind: personal-vm` je Osobní, `owner.assignment.kind: operator` Pracovní a `owner.assignment.kind: team` Pracovní týmové. Druh se nikdy neodvozuje ze jména, hostname ani velikosti Teamu; jednočlenný Team z Mašiny týmovou nedělá. Druh je samostatná osa vedle místního a vzdáleného Environmentu z 0160. (2) **GitHub v Osobním a Pracovním Environmentu:** přihlašuje se vlastní účet operátora a přihlášení připojí SSH klíč Mašiny, v Launchpadu nebo přes `lazurio tools login gh`. Dnes: přihlášení s připojením SSH klíče je implementované v LazurioPlatform (veřejný PR #61, sloučený, ve vydaném release zatím není). (3) **GitHub v Pracovním týmovém Environmentu:** nepřihlašuje se účtem člověka a nepřipojuje osobní SSH klíč. V GitHubu pracuje přes GitHub App Lazurio for GitHub nainstalovanou v GitHub organizaci; cílem je, aby GitHub ukázal, které Environment vytvořilo commit, pull request nebo issue. Dnes: na hostované týmové VM může běžet broker Organizace podle 0147; cesta Pracovního týmového Environmentu v LazurioPlatform přes Lazurio for GitHub, včetně atribuce Environmentu, je směr a postavená není. **Vztah k dřívějším rozhodnutím:** 0160 platí beze změny a dostává druhou osu. 0155 beze změny: Osobní odpovídá osobní zóně, Pracovní a Pracovní týmové pracovní zóně a granty mezi Mašinami se nemění. 0147 a 0149 se potvrzují: identitou týmového Environmentu je Lazurio for GitHub přes broker Organizace a přístup drží živé GitHub granty Teamu; jejich cílový kontrakt dál čeká na změnu brokeru. 0148 se zpřesňuje směrem: atribuce má ideálně nést i Environment, nejen Team; bot jako committer, Teamová pseudo-identita autora a trailer `Lazurio-Workspace` platí, dokud shaping neurčí mechanismus. 0159 se pro Pracovní týmové Environment zužuje: kde broker Organizace běží, je jedinou identitou bot a výjimka neplatí. Cílem je, aby Launchpad LazurioPlatform ani `lazurio tools login gh` na Pracovním týmovém Environmentu přihlášení účtem člověka a připojení SSH klíče nenabízely. Dnes: v Launchpadu je to sloučené v LazurioPlatform (veřejný PR #60, sloučený 2026-09-28, ve vydaném release zatím není); stejné pravidlo v `lazurio tools login gh` a v routách Launchpadu postavené není a cesta přes Lazurio for GitHub v LazurioPlatform postavená není. Pro týmovou VM, na které broker ještě neběží, zůstává dočasná výjimka 0159 v dosavadní podobě, dokud Principál nerozhodne o jejím ukončení; je to otevřená otázka, ne cílový stav. **Změněno rozhodnutím 0168:** Principál o ukončení rozhodl; výjimka pro Pracovní týmové Environment končí a týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka. Pro Pracovní Environment jednoho operátora platí 0159 beze změny. |
-| 0166 | **Lazurio nemá rollback; když je rozbité, nabízí jen Recovery režim: agenta, který opraví vpřed, nebo issue se vším potřebným pro opravu.** Principál 2026-09-28: „Jsem proti rollbacku a pro tento mechanizmus, který nás přiměje dělat stabilní releases in the long run. Nechci abychom se spoléhali na to že ‚když se to rozbije tak nás zachrání rollback‘ – ne, prostě si dáme … záležet, aby vše fungovalo. Žádné zpětné vrátka pro rollback!“ (1) **Žádný rollback produktu:** Lazurio (LazurioPlatform) nemá `lazurio update rollback`, jednotku pro rollback, ponechanou předchozí verzi ani automatické přepnutí zpět po nezdravém restartu. Rollbackem nejsou a zůstávají: atomické selhání jedné operace (nic nezůstane napůl zapsané), odmítnutí dřív, než se cokoli změní (ověření, self-check a zkouška kandidáta před přepnutím), a odmítnutí downgradu (floor a high-water). Po přepnutí na novou verzi vede jediný směr vpřed: dokončit, opravit, nebo novější release. (2) **Recovery režim:** když je Lazurio rozbité, produkt nabízí jedinou věc: spustit agenta v chatu se zadáním opravit, co je potřeba, nebo předat vše potřebné k opravě do GitHub Issue. Každý vstup do Recovery režimu končí issue, i když agent opravu zvládl, aby se z opravy stal regresní test. Na pracovní stanici zatím stačí zkopírovat prompt do agentní aplikace operátora. Launchpad běží vždy; v Recovery režimu obsluhuje jen tuto opravnou akci. (3) **Záměr:** tlak na pořádné testy a CI/CD, které zachytí co nejvíc problémů, a důkazy z Environmentů, kde se Lazurio rozbilo. (4) **Machines se řídí stejným pravidlem** (Principál přijal doporučení): apply se dokončí, nebo nezačne, a nikdy se nevrací na dřívější release jako způsob opravy. Zůstává, protože to rollback není: atomické a předem validované nasazení konfigurace brány, obnova přerušeného applye, která ho dokončí vpřed, a rescue přístup poskytovatele jako nouzová cesta dovnitř. Odchází obnova předchozího rezidentního stromu a obnova předchozího release stromu T3 Code. Recovery pro Machines: nepovedený apply vrátí úplné důkazy agentovi, který rollout řídí; ten opraví vpřed novým Plánem, nebo založí issue. Agent uvnitř Mašiny opravuje jen vrstvu Lazuria. (5) **Oprava novým releasem, releases po stupních:** pipelines musí selhání Machines rozpoznat a opravit **novým** releasem. Releases se vydávají po stupních (kvalifikační VM, pilotní Organizace, potom další Organizace po krocích), takže chyba zasáhne jen úzký okruh uživatelů. (6) Release candidate Lazuria běží 8 hodin na každé Mašině pilotní Organizace, než se stane finálním releasem. (7) **Přijatý důsledek:** aktualizaci na první release bez rollbacku provádí ještě starý updater, takže při této jediné aktualizaci je možné jedno poslední přepnutí zpět. (8) **Kam issue jde:** Principál volbu delegoval na Task Agenta („nechám na tobě“) a ten rozhodl: automatické issue jde do veřejného repozitáře produktu a nese jen strukturovaná pole bez volného textu (verze, target, platforma, identifikátory selhaných kontrol, stav jednotky, revize Folderu a šablony), a to až po deterministické sanitizační bráně. Konec journalu ani žádný volný text Mašinu automaticky neopouštějí: zůstávají v lokálním recovery balíčku a do issue se dostanou, jen když je opravný agent přiloží poté, co je pod sanitizérem přečetl. Operátor issue nepotvrzuje; vidí přesné tělo, které Mašinu opustilo. Nová intake služba nevzniká; privátní intake se znovu zváží jen tehdy, když se strukturovaná issues ukážou jako nedostatečná pro opravy. **Vztah k dřívějším rozhodnutím:** v 0161 se nahrazuje zmínka o vlastním rollbacku LazurioPlatform v bodě (1); dodatek 0161 z 2026-09-28 platí dál (jeden updater, pin jako minimum, floor a high-water). Věta, že `lazurio update rollback` zůstává návratem z nepovedené aktualizace, se nahrazuje v 0164 i v dodatku F17 LazurioPlatform z 2026-09-28 (bod 3), ze kterého dodatek 0161 vychází. 0164 a 0166 jsou jedno pravidlo: oprava vpřed. 0163 se uplatňuje: issue z Recovery režimu je použití trvalého mandátu včetně kontroly duplicit a sanitizace. 0132 beze změny: shaping dál pojmenuje failure modes, odpovědí na ně je oprava vpřed. LazurioPlatform F13 se mění v části o rollbacku; atestace releasu a floor zůstávají. Texty Machines o rollbacku změní samostatné rozhodnutí Machines; hotové to není. 0033 (rollback linka migrace GEN2 → GEN3) se týká migrace Organizací, ne instalace Lazuria. **Dnes:** Recovery režim se staví. Veřejné pull requesty LazurioPlatform #64 a #65 jsou shaping drafty (navržené rozhodnutí F21) a implementace probíhá; nic z toho není vydané a vydané releases LazurioPlatform rollback dosud obsahují. |
-| 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku. Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin, ne upgrade na místě; Personalspace je Git repozitář a naklonuje se znovu. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Otevřené:** náhled pull requestu na hostované Mašině. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. Otázka se navrhne pořádně později; zdroj z worktree zůstává mimo přepínací linku. (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu je tam otevřená otázka (bod 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
+| 0166 | **Lazurio nemá rollback; když je rozbité, nabízí jen Recovery režim: agenta, který opraví vpřed, nebo issue se vším potřebným pro opravu.** Principál 2026-09-28: „Jsem proti rollbacku a pro tento mechanizmus, který nás přiměje dělat stabilní releases in the long run. Nechci abychom se spoléhali na to že ‚když se to rozbije tak nás zachrání rollback‘ – ne, prostě si dáme … záležet, aby vše fungovalo. Žádné zpětné vrátka pro rollback!“ (1) **Žádný rollback produktu:** Lazurio (LazurioPlatform) nemá `lazurio update rollback`, jednotku pro rollback, ponechanou předchozí verzi ani automatické přepnutí zpět po nezdravém restartu. Rollbackem nejsou a zůstávají: atomické selhání jedné operace (nic nezůstane napůl zapsané), odmítnutí dřív, než se cokoli změní (ověření, self-check a zkouška kandidáta před přepnutím), a odmítnutí downgradu (floor a high-water). Po přepnutí na novou verzi vede jediný směr vpřed: dokončit, opravit, nebo novější release. (2) **Recovery režim:** když je Lazurio rozbité, produkt nabízí jedinou věc: spustit agenta v chatu se zadáním opravit, co je potřeba, nebo předat vše potřebné k opravě do GitHub Issue. Každý vstup do Recovery režimu končí issue, i když agent opravu zvládl, aby se z opravy stal regresní test. Na pracovní stanici zatím stačí zkopírovat prompt do agentní aplikace operátora. Launchpad běží vždy; v Recovery režimu obsluhuje jen tuto opravnou akci. (3) **Záměr:** tlak na pořádné testy a CI/CD, které zachytí co nejvíc problémů, a důkazy z Environmentů, kde se Lazurio rozbilo. (4) **Machines se řídí stejným pravidlem** (Principál přijal doporučení): apply se dokončí, nebo nezačne, a nikdy se nevrací na dřívější release jako způsob opravy. Zůstává, protože to rollback není: atomické a předem validované nasazení konfigurace brány, obnova přerušeného applye, která ho dokončí vpřed, a rescue přístup poskytovatele jako nouzová cesta dovnitř. Odchází obnova předchozího rezidentního stromu a obnova předchozího release stromu T3 Code. Recovery pro Machines: nepovedený apply vrátí úplné důkazy agentovi, který rollout řídí; ten opraví vpřed novým Plánem, nebo založí issue. Agent uvnitř Mašiny opravuje jen vrstvu Lazuria. (5) **Oprava novým releasem, releases po stupních:** pipelines musí selhání Machines rozpoznat a opravit **novým** releasem. Releases se vydávají po stupních (kvalifikační VM, pilotní Organizace, potom další Organizace po krocích), takže chyba zasáhne jen úzký okruh uživatelů. (6) Release candidate Lazuria běží 8 hodin na pracovních VM pilotní Organizace a na osobních VM jejích operátorů, než se stane finálním releasem. (7) **Přijatý důsledek:** aktualizaci na první release bez rollbacku provádí ještě starý updater, takže při této jediné aktualizaci je možné jedno poslední přepnutí zpět. (8) **Kam issue jde:** Principál volbu delegoval na Task Agenta („nechám na tobě“) a ten rozhodl: automatické issue jde do veřejného repozitáře produktu a nese jen strukturovaná pole bez volného textu (verze, target, platforma, identifikátory selhaných kontrol, stav jednotky, revize Folderu a šablony), a to až po deterministické sanitizační bráně. Konec journalu ani žádný volný text Mašinu automaticky neopouštějí: zůstávají v lokálním recovery balíčku a do issue se dostanou, jen když je opravný agent přiloží poté, co je pod sanitizérem přečetl. Operátor issue nepotvrzuje; vidí přesné tělo, které Mašinu opustilo. Nová intake služba nevzniká; privátní intake se znovu zváží jen tehdy, když se strukturovaná issues ukážou jako nedostatečná pro opravy. **Vztah k dřívějším rozhodnutím:** v 0161 se nahrazuje zmínka o vlastním rollbacku LazurioPlatform v bodě (1); dodatek 0161 z 2026-09-28 platí dál (jeden updater, pin jako minimum, floor a high-water). Věta, že `lazurio update rollback` zůstává návratem z nepovedené aktualizace, se nahrazuje v 0164 i v dodatku F17 LazurioPlatform z 2026-09-28 (bod 3), ze kterého dodatek 0161 vychází. 0164 a 0166 jsou jedno pravidlo: oprava vpřed. 0163 se uplatňuje: issue z Recovery režimu je použití trvalého mandátu včetně kontroly duplicit a sanitizace. 0132 beze změny: shaping dál pojmenuje failure modes, odpovědí na ně je oprava vpřed. LazurioPlatform F13 se mění v části o rollbacku; atestace releasu a floor zůstávají. Texty Machines o rollbacku změní samostatné rozhodnutí Machines; hotové to není. 0033 (rollback linka migrace GEN2 → GEN3) se týká migrace Organizací, ne instalace Lazuria. **Dnes:** Recovery režim se staví. Veřejné pull requesty LazurioPlatform #64 a #65 jsou shaping drafty (navržené rozhodnutí F21) a implementace probíhá; nic z toho není vydané a vydané releases LazurioPlatform rollback dosud obsahují. |
+| 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku. Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin s převodem stavu, ne upgrade na místě, a pro Ownera musí být plynulá (Principál téhož dne v noci): výpadek kolem hodiny je přijatelný, ale SSH klíče, přihlášení ani Buddyho nesmí Owner nastavovat znovu. Identita Mašiny, identita uzlu v tailnetu, SSH host klíče a domov operátora včetně stavu Buddyho se obnoví a obnovu prokáže readback; Personalspace je navíc Git repozitář, takže jeho obsah na přenosu disku nestojí. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Otevřené:** náhled pull requestu na hostované Mašině. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. Otázka se navrhne pořádně později; zdroj z worktree zůstává mimo přepínací linku. (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu je tam otevřená otázka (bod 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
 | 0168 | **Pracovní týmové Environment funguje s botem Organizace hned po předání; dočasná výjimka 0159 pro něj končí. Příkaz první instalace má přísnou podobu.** Principál 2026-09-28: „týmová VM má out of the box fungovat s přihlášeným botem organizace. Takže není potřeba přihlašovat gh.“ (1) Výjimka 0159, podle které se na týmové VM smělo přihlásit libovolným GitHub účtem, končí. Pracovní týmové Environment pracuje v GitHubu hned po předání přes bota Organizace (Lazurio for GitHub, 0147). (2) LazurioPlatform tam osobní přihlášení `gh` i připojení SSH klíče odmítá a dovoluje odhlásit osobní účet, který tam zůstal z dřívějška (veřejný pull request LazurioPlatform #66, otevřený). (3) Týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka: Agent osobní přihlášení nenabízí a zapíše blocker. (4) Pro Pracovní Environment jednoho operátora a pro Osobní Environment platí 0159 beze změny až do vazby v Dashboardu. (5) **Příkaz první instalace** (0164 bod 6) má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. Důvod: instalační skript drží na HTTPS každé své stažení a přesměrování (LazurioPlatform F20); přísná podoba drží na HTTPS s TLS nejméně 1.2 i první krok, stažení skriptu samotného. **Vztah k dřívějším rozhodnutím:** 0159 se pro týmovou VM ukončuje, jinde platí. 0165 se mění ve větě o 0159: otevřenou otázku Principál rozhodl. 0147 a 0149 se potvrzují. 0164 bod 6 dostává přísnou podobu příkazu; ostatní body beze změny. |
 
 ## Workstation toolchain: PATH compatibility (2026-09-04)

From f4e7936fd3f45b347fc56bb3fb737435c77962f2 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Mat=C4=9Bj=20Such=C3=A1nek?= <jsem@matejsuchanek.cz>
Date: Mon, 28 Sep 2026 14:27:23 +0200
Subject: [PATCH 3/8] Decision 0167: name what is the Principal's direction and
 what is the shaping's proposal

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
---
 manual/decision-register.md | 2 +-
 1 file changed, 1 insertion(+), 1 deletion(-)

diff --git a/manual/decision-register.md b/manual/decision-register.md
index 494682bd..b06cb465 100644
--- a/manual/decision-register.md
+++ b/manual/decision-register.md
@@ -100,7 +100,7 @@ frameworku se sem nepřenášejí).
 | 0164 | **Lazurio se instaluje jedním standardním způsobem; migrace z Root Repa do Lazurio Folderu je jednosměrná a selhání se opravuje vpřed, bez rollbacku.** Principál 2026-09-28: „migrace z Root Repo na Lazurio Folder klidně může být jednosměrná … Pokud se něco pokazí, tak jsem pro to prioritně opravit v Lazurio Folderu. Cílem je eliminovat Lazurio Root Repo instalace. Takže prosím bez rollbacku.“ (1) **Cíl:** instalace Root Repa (tento repozitář jako checkout na Mašině) skončí. Každé Environment přejde do Lazurio Folderu, který spravuje LazurioPlatform. Po migraci posledního Environmentu se tento repozitář archivuje. (2) **Jednosměrnost:** cesta zpět do instalace Root Repa se nestaví ani neudržuje. Když se migrace pokazí, opraví ji Agent vpřed v Lazurio Folderu podle manuálů Folderu. Navazuje to na dřívější postoj Principála: mašinérie pro rollback nesmí brzdit postup a Lazurio je tenký obal nad repozitáři Organizací a Personalspace, kde historii už drží Git. (3) **Čeho se migrace nedotkne:** obsahu repozitářů Organizací, Personalspace a přihlášení. Jednosměrnost se týká instalace (CLI, Launchpad, checkout Root Repa), ne dat Organizací; ta zůstávají Git repozitáři s vlastní historií. (4) **Pořadí:** nejdřív Environmenty na Linuxu (v první fázi Ubuntu, viz 0167 bod 3), potom na macOS. Windows přijde na řadu až poté, co LazurioPlatform dostane build pro Windows; po něm následuje migrace uživatelů Windows. Do té doby instalace Root Repa na Windows fungují beze změny. (5) **Provedení:** migraci provádí Agent podle připraveného promptu a manuálu pro každou platformu. Manuál i prompt teprve vznikají v LazurioPlatform (issue #50) a dnes neexistují. (6) **Vstup první instalace (Principál téhož dne později):** první instalace Lazuria na nový počítač je jeden příkaz, instalační skript podávaný z `https://lazurio.ai/install` (macOS a Linux; pro Windows jeho protějšek v PowerShellu, až bude build pro Windows). Skript nainstaluje CLI a Launchpad, které jsou jeden program; potom přebírá `lazurio update`. Npm balíček `lazurio` může přibýt později jako druhý vstup pro ty, kdo už mají Node; primárním vstupem není a dnes neexistuje. Dnes existuje skript `install.sh` ve veřejném repozitáři LazurioPlatform; podávání z `lazurio.ai/install` ještě nasazené není. **Změněno rozhodnutím 0168:** dokumentovaný příkaz má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. (7) **Standardní instalace (Principál téhož dne později):** Lazurio se instaluje přesně standardním způsobem, protože různé instalace na různých Environmentech dělají jen nepořádek. Každá platforma má jedno standardní rozložení instalace: install base produktu, příkaz `~/.local/bin/lazurio` a Lazurio Folder; přesné cesty pro každou platformu drží dokumentace LazurioPlatform. Instalátor nikdy potichu nepřepíše, co mu nepatří: odchylku nahlásí. Agent pak na pokyn operátora a podle manuálu srovná instalaci do standardu. Odchylná instalace není podporovaná varianta, kterou by bylo třeba zachovat. Pravidlo patří sem, a ne do dodatku 0161, protože platí pro každé Environment, místní i vzdálené, zatímco 0161 vymezuje baseline hostované Mašiny; migrace z Root Repa je jeho první a největší použití. Nástrojů operátora se netýká, pro ně platí 0161. **Vztah k dřívějším rozhodnutím:** 0136 se mění: profil `managed`, Managed Root ani Source → Managed migrace s rollbackem se nestaví, cílem je Lazurio Folder; pravidla profilu `source` (Root přímo v home) platí pro existující instalace do jejich migrace. Bod (7) nemění, že instalace Root Repa do své migrace fungují; srovnáním do standardu je právě tato migrace. 0142 se mění jen ve větě o budoucím Managed Rootu, která se neuplatní; lokalizace Launchpadu a manuálů zůstává. 0013, 0030 a 0129 (jeden Root na mašině, direct-pull klon, root `lazurio update` synchronizující checkouty) platí beze změny pro instalace Root Repa až do jejich migrace; stejně tak ostatní pravidla instalace Root Repa. 0132 beze změny: shaping migrace dál pojmenuje failure modes, odpovědí na selhání je oprava vpřed. 0144 a 0161 včetně dodatku 2026-09-28 beze změny; `lazurio update rollback` LazurioPlatform zůstává návratem z nepovedené aktualizace produktu a této migrace se netýká. **Změněno rozhodnutím 0166:** `lazurio update rollback` se ruší; nepovedenou aktualizaci řeší Recovery režim a oprava vpřed. 0033 (GEN2 → GEN3 s rollback linkou) beze změny: jde o migraci Organizací, ne instalace Lazuria. |
 | 0165 | **Tři druhy Environmentu: Osobní, Pracovní a Pracovní týmové; týmové pracuje v GitHubu přes Lazurio for GitHub, ne účtem člověka.** Principál 2026-09-28 rozhodl, že se Environmenty nakonec rozlišují na tři druhy, ne jen na osobní a pracovní. (1) **Druhy:** **Osobní** (Personal) je Environment jednoho Principála v jeho osobní zóně: jeho vlastní počítač nebo jeho jediná osobní hostovaná Mašina (0153). **Pracovní** (Work) je Environment jednoho operátora pro práci v Organizaci: pracovní VM přiřazená právě jemu nebo pracovní počítač Organizace (0155); dosavadní „osobní pracovní VM“ manuálů je Pracovní, ne Osobní. **Pracovní týmové** (Work Team) je sdílená Mašina Organizace, na které pracuje víc operátorů z Teamu (Hosted Team Workspace, 0147); dnes je to vždy hostovaná Mašina. U hostované Mašiny plyne druh z `lazurio.machine.json`: `machine.kind: personal-vm` je Osobní, `owner.assignment.kind: operator` Pracovní a `owner.assignment.kind: team` Pracovní týmové. Druh se nikdy neodvozuje ze jména, hostname ani velikosti Teamu; jednočlenný Team z Mašiny týmovou nedělá. Druh je samostatná osa vedle místního a vzdáleného Environmentu z 0160. (2) **GitHub v Osobním a Pracovním Environmentu:** přihlašuje se vlastní účet operátora a přihlášení připojí SSH klíč Mašiny, v Launchpadu nebo přes `lazurio tools login gh`. Dnes: přihlášení s připojením SSH klíče je implementované v LazurioPlatform (veřejný PR #61, sloučený, ve vydaném release zatím není). (3) **GitHub v Pracovním týmovém Environmentu:** nepřihlašuje se účtem člověka a nepřipojuje osobní SSH klíč. V GitHubu pracuje přes GitHub App Lazurio for GitHub nainstalovanou v GitHub organizaci; cílem je, aby GitHub ukázal, které Environment vytvořilo commit, pull request nebo issue. Dnes: na hostované týmové VM může běžet broker Organizace podle 0147; cesta Pracovního týmového Environmentu v LazurioPlatform přes Lazurio for GitHub, včetně atribuce Environmentu, je směr a postavená není. **Vztah k dřívějším rozhodnutím:** 0160 platí beze změny a dostává druhou osu. 0155 beze změny: Osobní odpovídá osobní zóně, Pracovní a Pracovní týmové pracovní zóně a granty mezi Mašinami se nemění. 0147 a 0149 se potvrzují: identitou týmového Environmentu je Lazurio for GitHub přes broker Organizace a přístup drží živé GitHub granty Teamu; jejich cílový kontrakt dál čeká na změnu brokeru. 0148 se zpřesňuje směrem: atribuce má ideálně nést i Environment, nejen Team; bot jako committer, Teamová pseudo-identita autora a trailer `Lazurio-Workspace` platí, dokud shaping neurčí mechanismus. 0159 se pro Pracovní týmové Environment zužuje: kde broker Organizace běží, je jedinou identitou bot a výjimka neplatí. Cílem je, aby Launchpad LazurioPlatform ani `lazurio tools login gh` na Pracovním týmovém Environmentu přihlášení účtem člověka a připojení SSH klíče nenabízely. Dnes: v Launchpadu je to sloučené v LazurioPlatform (veřejný PR #60, sloučený 2026-09-28, ve vydaném release zatím není); stejné pravidlo v `lazurio tools login gh` a v routách Launchpadu postavené není a cesta přes Lazurio for GitHub v LazurioPlatform postavená není. Pro týmovou VM, na které broker ještě neběží, zůstává dočasná výjimka 0159 v dosavadní podobě, dokud Principál nerozhodne o jejím ukončení; je to otevřená otázka, ne cílový stav. **Změněno rozhodnutím 0168:** Principál o ukončení rozhodl; výjimka pro Pracovní týmové Environment končí a týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka. Pro Pracovní Environment jednoho operátora platí 0159 beze změny. |
 | 0166 | **Lazurio nemá rollback; když je rozbité, nabízí jen Recovery režim: agenta, který opraví vpřed, nebo issue se vším potřebným pro opravu.** Principál 2026-09-28: „Jsem proti rollbacku a pro tento mechanizmus, který nás přiměje dělat stabilní releases in the long run. Nechci abychom se spoléhali na to že ‚když se to rozbije tak nás zachrání rollback‘ – ne, prostě si dáme … záležet, aby vše fungovalo. Žádné zpětné vrátka pro rollback!“ (1) **Žádný rollback produktu:** Lazurio (LazurioPlatform) nemá `lazurio update rollback`, jednotku pro rollback, ponechanou předchozí verzi ani automatické přepnutí zpět po nezdravém restartu. Rollbackem nejsou a zůstávají: atomické selhání jedné operace (nic nezůstane napůl zapsané), odmítnutí dřív, než se cokoli změní (ověření, self-check a zkouška kandidáta před přepnutím), a odmítnutí downgradu (floor a high-water). Po přepnutí na novou verzi vede jediný směr vpřed: dokončit, opravit, nebo novější release. (2) **Recovery režim:** když je Lazurio rozbité, produkt nabízí jedinou věc: spustit agenta v chatu se zadáním opravit, co je potřeba, nebo předat vše potřebné k opravě do GitHub Issue. Každý vstup do Recovery režimu končí issue, i když agent opravu zvládl, aby se z opravy stal regresní test. Na pracovní stanici zatím stačí zkopírovat prompt do agentní aplikace operátora. Launchpad běží vždy; v Recovery režimu obsluhuje jen tuto opravnou akci. (3) **Záměr:** tlak na pořádné testy a CI/CD, které zachytí co nejvíc problémů, a důkazy z Environmentů, kde se Lazurio rozbilo. (4) **Machines se řídí stejným pravidlem** (Principál přijal doporučení): apply se dokončí, nebo nezačne, a nikdy se nevrací na dřívější release jako způsob opravy. Zůstává, protože to rollback není: atomické a předem validované nasazení konfigurace brány, obnova přerušeného applye, která ho dokončí vpřed, a rescue přístup poskytovatele jako nouzová cesta dovnitř. Odchází obnova předchozího rezidentního stromu a obnova předchozího release stromu T3 Code. Recovery pro Machines: nepovedený apply vrátí úplné důkazy agentovi, který rollout řídí; ten opraví vpřed novým Plánem, nebo založí issue. Agent uvnitř Mašiny opravuje jen vrstvu Lazuria. (5) **Oprava novým releasem, releases po stupních:** pipelines musí selhání Machines rozpoznat a opravit **novým** releasem. Releases se vydávají po stupních (kvalifikační VM, pilotní Organizace, potom další Organizace po krocích), takže chyba zasáhne jen úzký okruh uživatelů. (6) Release candidate Lazuria běží 8 hodin na pracovních VM pilotní Organizace a na osobních VM jejích operátorů, než se stane finálním releasem. (7) **Přijatý důsledek:** aktualizaci na první release bez rollbacku provádí ještě starý updater, takže při této jediné aktualizaci je možné jedno poslední přepnutí zpět. (8) **Kam issue jde:** Principál volbu delegoval na Task Agenta („nechám na tobě“) a ten rozhodl: automatické issue jde do veřejného repozitáře produktu a nese jen strukturovaná pole bez volného textu (verze, target, platforma, identifikátory selhaných kontrol, stav jednotky, revize Folderu a šablony), a to až po deterministické sanitizační bráně. Konec journalu ani žádný volný text Mašinu automaticky neopouštějí: zůstávají v lokálním recovery balíčku a do issue se dostanou, jen když je opravný agent přiloží poté, co je pod sanitizérem přečetl. Operátor issue nepotvrzuje; vidí přesné tělo, které Mašinu opustilo. Nová intake služba nevzniká; privátní intake se znovu zváží jen tehdy, když se strukturovaná issues ukážou jako nedostatečná pro opravy. **Vztah k dřívějším rozhodnutím:** v 0161 se nahrazuje zmínka o vlastním rollbacku LazurioPlatform v bodě (1); dodatek 0161 z 2026-09-28 platí dál (jeden updater, pin jako minimum, floor a high-water). Věta, že `lazurio update rollback` zůstává návratem z nepovedené aktualizace, se nahrazuje v 0164 i v dodatku F17 LazurioPlatform z 2026-09-28 (bod 3), ze kterého dodatek 0161 vychází. 0164 a 0166 jsou jedno pravidlo: oprava vpřed. 0163 se uplatňuje: issue z Recovery režimu je použití trvalého mandátu včetně kontroly duplicit a sanitizace. 0132 beze změny: shaping dál pojmenuje failure modes, odpovědí na ně je oprava vpřed. LazurioPlatform F13 se mění v části o rollbacku; atestace releasu a floor zůstávají. Texty Machines o rollbacku změní samostatné rozhodnutí Machines; hotové to není. 0033 (rollback linka migrace GEN2 → GEN3) se týká migrace Organizací, ne instalace Lazuria. **Dnes:** Recovery režim se staví. Veřejné pull requesty LazurioPlatform #64 a #65 jsou shaping drafty (navržené rozhodnutí F21) a implementace probíhá; nic z toho není vydané a vydané releases LazurioPlatform rollback dosud obsahují. |
-| 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku. Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin s převodem stavu, ne upgrade na místě, a pro Ownera musí být plynulá (Principál téhož dne v noci): výpadek kolem hodiny je přijatelný, ale SSH klíče, přihlášení ani Buddyho nesmí Owner nastavovat znovu. Identita Mašiny, identita uzlu v tailnetu, SSH host klíče a domov operátora včetně stavu Buddyho se obnoví a obnovu prokáže readback; Personalspace je navíc Git repozitář, takže jeho obsah na přenosu disku nestojí. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Otevřené:** náhled pull requestu na hostované Mašině. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. Otázka se navrhne pořádně později; zdroj z worktree zůstává mimo přepínací linku. (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu je tam otevřená otázka (bod 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
+| 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku (postup applye je návrh shapingu; směr bez souběhu a bez cesty zpět je rozhodnutí Principála). Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin s převodem stavu, ne upgrade na místě, a pro Ownera musí být plynulá (Principál téhož dne v noci): výpadek kolem hodiny je přijatelný, ale SSH klíče, přihlášení ani Buddyho nesmí Owner nastavovat znovu. Identita Mašiny, identita uzlu v tailnetu, SSH host klíče a domov operátora včetně stavu Buddyho se obnoví a obnovu prokáže readback; Personalspace je navíc Git repozitář, takže jeho obsah na přenosu disku nestojí. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Otevřené:** náhled pull requestu na hostované Mašině. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. Otázka se navrhne pořádně později; zdroj z worktree zůstává mimo přepínací linku. (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform; návrh shapingu, který Principál výslovně nepotvrdil, ale ani nezpochybnil). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu je tam otevřená otázka (bod 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
 | 0168 | **Pracovní týmové Environment funguje s botem Organizace hned po předání; dočasná výjimka 0159 pro něj končí. Příkaz první instalace má přísnou podobu.** Principál 2026-09-28: „týmová VM má out of the box fungovat s přihlášeným botem organizace. Takže není potřeba přihlašovat gh.“ (1) Výjimka 0159, podle které se na týmové VM smělo přihlásit libovolným GitHub účtem, končí. Pracovní týmové Environment pracuje v GitHubu hned po předání přes bota Organizace (Lazurio for GitHub, 0147). (2) LazurioPlatform tam osobní přihlášení `gh` i připojení SSH klíče odmítá a dovoluje odhlásit osobní účet, který tam zůstal z dřívějška (veřejný pull request LazurioPlatform #66, otevřený). (3) Týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka: Agent osobní přihlášení nenabízí a zapíše blocker. (4) Pro Pracovní Environment jednoho operátora a pro Osobní Environment platí 0159 beze změny až do vazby v Dashboardu. (5) **Příkaz první instalace** (0164 bod 6) má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. Důvod: instalační skript drží na HTTPS každé své stažení a přesměrování (LazurioPlatform F20); přísná podoba drží na HTTPS s TLS nejméně 1.2 i první krok, stažení skriptu samotného. **Vztah k dřívějším rozhodnutím:** 0159 se pro týmovou VM ukončuje, jinde platí. 0165 se mění ve větě o 0159: otevřenou otázku Principál rozhodl. 0147 a 0149 se potvrzují. 0164 bod 6 dostává přísnou podobu příkazu; ostatní body beze změny. |
 
 ## Workstation toolchain: PATH compatibility (2026-09-04)

From 1e8116104b9e7f5730dbae20a20d7013d8f01188 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Mat=C4=9Bj=20Such=C3=A1nek?= <jsem@matejsuchanek.cz>
Date: Mon, 28 Sep 2026 14:46:28 +0200
Subject: [PATCH 4/8] 0168: the Platform's refusal is stated as target with the
 exact state; the first-login manual no longer says the assignment does not
 limit the sign-in

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
---
 manual/decision-register.md          | 2 +-
 manual/hosted-machine-first-login.md | 4 ++--
 2 files changed, 3 insertions(+), 3 deletions(-)

diff --git a/manual/decision-register.md b/manual/decision-register.md
index b06cb465..b823c06d 100644
--- a/manual/decision-register.md
+++ b/manual/decision-register.md
@@ -101,7 +101,7 @@ frameworku se sem nepřenášejí).
 | 0165 | **Tři druhy Environmentu: Osobní, Pracovní a Pracovní týmové; týmové pracuje v GitHubu přes Lazurio for GitHub, ne účtem člověka.** Principál 2026-09-28 rozhodl, že se Environmenty nakonec rozlišují na tři druhy, ne jen na osobní a pracovní. (1) **Druhy:** **Osobní** (Personal) je Environment jednoho Principála v jeho osobní zóně: jeho vlastní počítač nebo jeho jediná osobní hostovaná Mašina (0153). **Pracovní** (Work) je Environment jednoho operátora pro práci v Organizaci: pracovní VM přiřazená právě jemu nebo pracovní počítač Organizace (0155); dosavadní „osobní pracovní VM“ manuálů je Pracovní, ne Osobní. **Pracovní týmové** (Work Team) je sdílená Mašina Organizace, na které pracuje víc operátorů z Teamu (Hosted Team Workspace, 0147); dnes je to vždy hostovaná Mašina. U hostované Mašiny plyne druh z `lazurio.machine.json`: `machine.kind: personal-vm` je Osobní, `owner.assignment.kind: operator` Pracovní a `owner.assignment.kind: team` Pracovní týmové. Druh se nikdy neodvozuje ze jména, hostname ani velikosti Teamu; jednočlenný Team z Mašiny týmovou nedělá. Druh je samostatná osa vedle místního a vzdáleného Environmentu z 0160. (2) **GitHub v Osobním a Pracovním Environmentu:** přihlašuje se vlastní účet operátora a přihlášení připojí SSH klíč Mašiny, v Launchpadu nebo přes `lazurio tools login gh`. Dnes: přihlášení s připojením SSH klíče je implementované v LazurioPlatform (veřejný PR #61, sloučený, ve vydaném release zatím není). (3) **GitHub v Pracovním týmovém Environmentu:** nepřihlašuje se účtem člověka a nepřipojuje osobní SSH klíč. V GitHubu pracuje přes GitHub App Lazurio for GitHub nainstalovanou v GitHub organizaci; cílem je, aby GitHub ukázal, které Environment vytvořilo commit, pull request nebo issue. Dnes: na hostované týmové VM může běžet broker Organizace podle 0147; cesta Pracovního týmového Environmentu v LazurioPlatform přes Lazurio for GitHub, včetně atribuce Environmentu, je směr a postavená není. **Vztah k dřívějším rozhodnutím:** 0160 platí beze změny a dostává druhou osu. 0155 beze změny: Osobní odpovídá osobní zóně, Pracovní a Pracovní týmové pracovní zóně a granty mezi Mašinami se nemění. 0147 a 0149 se potvrzují: identitou týmového Environmentu je Lazurio for GitHub přes broker Organizace a přístup drží živé GitHub granty Teamu; jejich cílový kontrakt dál čeká na změnu brokeru. 0148 se zpřesňuje směrem: atribuce má ideálně nést i Environment, nejen Team; bot jako committer, Teamová pseudo-identita autora a trailer `Lazurio-Workspace` platí, dokud shaping neurčí mechanismus. 0159 se pro Pracovní týmové Environment zužuje: kde broker Organizace běží, je jedinou identitou bot a výjimka neplatí. Cílem je, aby Launchpad LazurioPlatform ani `lazurio tools login gh` na Pracovním týmovém Environmentu přihlášení účtem člověka a připojení SSH klíče nenabízely. Dnes: v Launchpadu je to sloučené v LazurioPlatform (veřejný PR #60, sloučený 2026-09-28, ve vydaném release zatím není); stejné pravidlo v `lazurio tools login gh` a v routách Launchpadu postavené není a cesta přes Lazurio for GitHub v LazurioPlatform postavená není. Pro týmovou VM, na které broker ještě neběží, zůstává dočasná výjimka 0159 v dosavadní podobě, dokud Principál nerozhodne o jejím ukončení; je to otevřená otázka, ne cílový stav. **Změněno rozhodnutím 0168:** Principál o ukončení rozhodl; výjimka pro Pracovní týmové Environment končí a týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka. Pro Pracovní Environment jednoho operátora platí 0159 beze změny. |
 | 0166 | **Lazurio nemá rollback; když je rozbité, nabízí jen Recovery režim: agenta, který opraví vpřed, nebo issue se vším potřebným pro opravu.** Principál 2026-09-28: „Jsem proti rollbacku a pro tento mechanizmus, který nás přiměje dělat stabilní releases in the long run. Nechci abychom se spoléhali na to že ‚když se to rozbije tak nás zachrání rollback‘ – ne, prostě si dáme … záležet, aby vše fungovalo. Žádné zpětné vrátka pro rollback!“ (1) **Žádný rollback produktu:** Lazurio (LazurioPlatform) nemá `lazurio update rollback`, jednotku pro rollback, ponechanou předchozí verzi ani automatické přepnutí zpět po nezdravém restartu. Rollbackem nejsou a zůstávají: atomické selhání jedné operace (nic nezůstane napůl zapsané), odmítnutí dřív, než se cokoli změní (ověření, self-check a zkouška kandidáta před přepnutím), a odmítnutí downgradu (floor a high-water). Po přepnutí na novou verzi vede jediný směr vpřed: dokončit, opravit, nebo novější release. (2) **Recovery režim:** když je Lazurio rozbité, produkt nabízí jedinou věc: spustit agenta v chatu se zadáním opravit, co je potřeba, nebo předat vše potřebné k opravě do GitHub Issue. Každý vstup do Recovery režimu končí issue, i když agent opravu zvládl, aby se z opravy stal regresní test. Na pracovní stanici zatím stačí zkopírovat prompt do agentní aplikace operátora. Launchpad běží vždy; v Recovery režimu obsluhuje jen tuto opravnou akci. (3) **Záměr:** tlak na pořádné testy a CI/CD, které zachytí co nejvíc problémů, a důkazy z Environmentů, kde se Lazurio rozbilo. (4) **Machines se řídí stejným pravidlem** (Principál přijal doporučení): apply se dokončí, nebo nezačne, a nikdy se nevrací na dřívější release jako způsob opravy. Zůstává, protože to rollback není: atomické a předem validované nasazení konfigurace brány, obnova přerušeného applye, která ho dokončí vpřed, a rescue přístup poskytovatele jako nouzová cesta dovnitř. Odchází obnova předchozího rezidentního stromu a obnova předchozího release stromu T3 Code. Recovery pro Machines: nepovedený apply vrátí úplné důkazy agentovi, který rollout řídí; ten opraví vpřed novým Plánem, nebo založí issue. Agent uvnitř Mašiny opravuje jen vrstvu Lazuria. (5) **Oprava novým releasem, releases po stupních:** pipelines musí selhání Machines rozpoznat a opravit **novým** releasem. Releases se vydávají po stupních (kvalifikační VM, pilotní Organizace, potom další Organizace po krocích), takže chyba zasáhne jen úzký okruh uživatelů. (6) Release candidate Lazuria běží 8 hodin na pracovních VM pilotní Organizace a na osobních VM jejích operátorů, než se stane finálním releasem. (7) **Přijatý důsledek:** aktualizaci na první release bez rollbacku provádí ještě starý updater, takže při této jediné aktualizaci je možné jedno poslední přepnutí zpět. (8) **Kam issue jde:** Principál volbu delegoval na Task Agenta („nechám na tobě“) a ten rozhodl: automatické issue jde do veřejného repozitáře produktu a nese jen strukturovaná pole bez volného textu (verze, target, platforma, identifikátory selhaných kontrol, stav jednotky, revize Folderu a šablony), a to až po deterministické sanitizační bráně. Konec journalu ani žádný volný text Mašinu automaticky neopouštějí: zůstávají v lokálním recovery balíčku a do issue se dostanou, jen když je opravný agent přiloží poté, co je pod sanitizérem přečetl. Operátor issue nepotvrzuje; vidí přesné tělo, které Mašinu opustilo. Nová intake služba nevzniká; privátní intake se znovu zváží jen tehdy, když se strukturovaná issues ukážou jako nedostatečná pro opravy. **Vztah k dřívějším rozhodnutím:** v 0161 se nahrazuje zmínka o vlastním rollbacku LazurioPlatform v bodě (1); dodatek 0161 z 2026-09-28 platí dál (jeden updater, pin jako minimum, floor a high-water). Věta, že `lazurio update rollback` zůstává návratem z nepovedené aktualizace, se nahrazuje v 0164 i v dodatku F17 LazurioPlatform z 2026-09-28 (bod 3), ze kterého dodatek 0161 vychází. 0164 a 0166 jsou jedno pravidlo: oprava vpřed. 0163 se uplatňuje: issue z Recovery režimu je použití trvalého mandátu včetně kontroly duplicit a sanitizace. 0132 beze změny: shaping dál pojmenuje failure modes, odpovědí na ně je oprava vpřed. LazurioPlatform F13 se mění v části o rollbacku; atestace releasu a floor zůstávají. Texty Machines o rollbacku změní samostatné rozhodnutí Machines; hotové to není. 0033 (rollback linka migrace GEN2 → GEN3) se týká migrace Organizací, ne instalace Lazuria. **Dnes:** Recovery režim se staví. Veřejné pull requesty LazurioPlatform #64 a #65 jsou shaping drafty (navržené rozhodnutí F21) a implementace probíhá; nic z toho není vydané a vydané releases LazurioPlatform rollback dosud obsahují. |
 | 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku (postup applye je návrh shapingu; směr bez souběhu a bez cesty zpět je rozhodnutí Principála). Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin s převodem stavu, ne upgrade na místě, a pro Ownera musí být plynulá (Principál téhož dne v noci): výpadek kolem hodiny je přijatelný, ale SSH klíče, přihlášení ani Buddyho nesmí Owner nastavovat znovu. Identita Mašiny, identita uzlu v tailnetu, SSH host klíče a domov operátora včetně stavu Buddyho se obnoví a obnovu prokáže readback; Personalspace je navíc Git repozitář, takže jeho obsah na přenosu disku nestojí. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Otevřené:** náhled pull requestu na hostované Mašině. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. Otázka se navrhne pořádně později; zdroj z worktree zůstává mimo přepínací linku. (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform; návrh shapingu, který Principál výslovně nepotvrdil, ale ani nezpochybnil). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu je tam otevřená otázka (bod 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
-| 0168 | **Pracovní týmové Environment funguje s botem Organizace hned po předání; dočasná výjimka 0159 pro něj končí. Příkaz první instalace má přísnou podobu.** Principál 2026-09-28: „týmová VM má out of the box fungovat s přihlášeným botem organizace. Takže není potřeba přihlašovat gh.“ (1) Výjimka 0159, podle které se na týmové VM smělo přihlásit libovolným GitHub účtem, končí. Pracovní týmové Environment pracuje v GitHubu hned po předání přes bota Organizace (Lazurio for GitHub, 0147). (2) LazurioPlatform tam osobní přihlášení `gh` i připojení SSH klíče odmítá a dovoluje odhlásit osobní účet, který tam zůstal z dřívějška (veřejný pull request LazurioPlatform #66, otevřený). (3) Týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka: Agent osobní přihlášení nenabízí a zapíše blocker. (4) Pro Pracovní Environment jednoho operátora a pro Osobní Environment platí 0159 beze změny až do vazby v Dashboardu. (5) **Příkaz první instalace** (0164 bod 6) má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. Důvod: instalační skript drží na HTTPS každé své stažení a přesměrování (LazurioPlatform F20); přísná podoba drží na HTTPS s TLS nejméně 1.2 i první krok, stažení skriptu samotného. **Vztah k dřívějším rozhodnutím:** 0159 se pro týmovou VM ukončuje, jinde platí. 0165 se mění ve větě o 0159: otevřenou otázku Principál rozhodl. 0147 a 0149 se potvrzují. 0164 bod 6 dostává přísnou podobu příkazu; ostatní body beze změny. |
+| 0168 | **Pracovní týmové Environment funguje s botem Organizace hned po předání; dočasná výjimka 0159 pro něj končí. Příkaz první instalace má přísnou podobu.** Principál 2026-09-28: „týmová VM má out of the box fungovat s přihlášeným botem organizace. Takže není potřeba přihlašovat gh.“ (1) Výjimka 0159, podle které se na týmové VM smělo přihlásit libovolným GitHub účtem, končí. Pracovní týmové Environment pracuje v GitHubu hned po předání přes bota Organizace (Lazurio for GitHub, 0147). (2) LazurioPlatform tam má osobní přihlášení `gh` i připojení SSH klíče odmítat a dovolit odhlásit osobní účet, který tam zůstal z dřívějška; Launchpad to už dělá (sloučený pull request LazurioPlatform #60, nevydaný), pravidlo v příkazu a na serveru je v otevřeném pull requestu #66 a vydané není. (3) Týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka: Agent osobní přihlášení nenabízí a zapíše blocker. (4) Pro Pracovní Environment jednoho operátora a pro Osobní Environment platí 0159 beze změny až do vazby v Dashboardu. (5) **Příkaz první instalace** (0164 bod 6) má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. Důvod: instalační skript drží na HTTPS každé své stažení a přesměrování (LazurioPlatform F20); přísná podoba drží na HTTPS s TLS nejméně 1.2 i první krok, stažení skriptu samotného. **Vztah k dřívějším rozhodnutím:** 0159 se pro týmovou VM ukončuje, jinde platí. 0165 se mění ve větě o 0159: otevřenou otázku Principál rozhodl. 0147 a 0149 se potvrzují. 0164 bod 6 dostává přísnou podobu příkazu; ostatní body beze změny. |
 
 ## Workstation toolchain: PATH compatibility (2026-09-04)
 
diff --git a/manual/hosted-machine-first-login.md b/manual/hosted-machine-first-login.md
index 83af6710..470c896b 100644
--- a/manual/hosted-machine-first-login.md
+++ b/manual/hosted-machine-first-login.md
@@ -47,7 +47,7 @@ Rozlišovací znak je `owner.assignment.kind` v
 `/etc/lazurio/lazurio.machine.json`; Agent ho přečte přímo ze souboru (žádný
 CLI příkaz na to není) a **nikdy ho neodvozuje** z `owner.team`, hostname,
 OS účtu ani velikosti Teamu — jednočlenný Team nedělá z Mašiny osobní VM.
-Určuje jen postup (osobní vs. týmová VM), ne to, kdo se smí přihlásit.
+Určuje postup (osobní vs. týmová VM) a od decision 0168 i to, kdo se přihlašuje: na týmové VM nikdo osobním účtem, jen bot Organizace; na osobní pracovní VM dál kdokoli podle decision 0159.
 Uživatelsky jde o druhy Environmentu podle decision 0165: osobní pracovní VM
 je Pracovní, týmová VM Pracovní týmové a osobní Mašina Principála Osobní.
 
@@ -196,7 +196,7 @@ důvod přihlásit něčí účet. Agent zapíše přesný blocker a zastaví se
 ## Co drží kdo
 
 - Machines: Mašina online, `/etc/lazurio/lazurio.machine.json` včetně
-  případného `owner.assignment` (popisné, přihlášení neomezuje), brána, nainstalované Lazurio a Chat vstup Launchpadu
+  případného `owner.assignment` (popisné; přihlášení omezuje jen tím, že týmová VM se osobním účtem nepřihlašuje, decision 0168), brána, nainstalované Lazurio a Chat vstup Launchpadu
   (`LAZURIO_T3CODE_URL`, párovací příkaz).
 - Rezidentní instalace Root Repa (tento manuál, skill
   `lazurio-workstation-install`, rezidentní CLI `organization install`): první

From af9d90784403390e50f950be48b676f9a27137b8 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Mat=C4=9Bj=20Such=C3=A1nek?= <jsem@matejsuchanek.cz>
Date: Mon, 28 Sep 2026 15:02:57 +0200
Subject: [PATCH 5/8] 0167 addendum: a pull-request preview on a hosted Machine
 gets a temporary Environment URL as a lease; the Folder manual tells agents
 never to send a localhost link

Pablo's review of LazurioPlatform #65 found the preview direction attributed
to the Principal without a register record. The Principal decided it on
2026-09-28 in the working thread (temporary URL registered like a module's
hostname, cleanup after 24 hours and when the port dies; the VM profile must
tell agents how previews work so operators never get a localhost link). The
row 0167 now carries the addendum, rows 0049 and 0137 point to it instead of
calling the preview an open question; the rules stay a shaping proposal.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
---
 manual/decision-register.md | 6 +++---
 1 file changed, 3 insertions(+), 3 deletions(-)

diff --git a/manual/decision-register.md b/manual/decision-register.md
index b823c06d..5872d9f9 100644
--- a/manual/decision-register.md
+++ b/manual/decision-register.md
@@ -34,7 +34,7 @@ frameworku se sem nepřenášejí).
 | 0046 | Gbrain (paměť Buddyho) patří do personalspace, nikdy do firemní organizace. |
 | 0047 | Dvě surfaces: Launchpad = builder-first lokální; Lazurio Dashboard = hosted admin/user vstup. |
 | 0048 | Produktové plány Free/Solo/Team/Enterprise a hosting režimy (localhost/hosted/selfhosted). |
-| 0049 | Worktree runtime kontrakt: plan-owned worktrees v `.worktrees/`, sidecar metadata, Launchpad spouští aplikace z worktrees. **Změněno rozhodnutím 0167:** Launchpad LazurioPlatform spouští moduly z `main` a worktrees z plánů nevytváří; zdroj z worktree nepatří do přepnutí hostovaných Mašin (náhled pull requestu tam zůstává otevřenou otázkou) a na pracovní stanici je pozdější řez. Plan-owned worktrees a sidecar jako pracovní disciplína Agentů platí dál; Launchpad instalací Root Repa se do jejich migrace nemění. |
+| 0049 | Worktree runtime kontrakt: plan-owned worktrees v `.worktrees/`, sidecar metadata, Launchpad spouští aplikace z worktrees. **Změněno rozhodnutím 0167:** Launchpad LazurioPlatform spouští moduly z `main` a worktrees z plánů nevytváří; zdroj z worktree nepatří do přepnutí hostovaných Mašin (náhled pull requestu tam dostane dočasnou URL jako lease, dodatek 0167 z 2026-09-28; pravidla jsou návrh) a na pracovní stanici je pozdější řez. Plan-owned worktrees a sidecar jako pracovní disciplína Agentů platí dál; Launchpad instalací Root Repa se do jejich migrace nemění. |
 | 0051 | Struktura Personalspace: privátní repo `<login>/<login>_GEN3` mimo firemní organizace, `personal.gen3.json`, plochá `workspace/`, gbrain jako root vrstva. Organization manifest amendment 0026/0031/0042 tento Personalspace filename ani jeho soukromý rollout nemění. |
 | 0052 | AI Architekt je placená platformní služba admin vrstvy: navrhuje změny výhradně přes Dashboard apply plány se schválením Organization Admin, nikdy nezapisuje přímo do zákaznického Gitu a nenahrazuje BYOS builder agenty. |
 | 0059 | Historický root-only kanálový update; pracovní checkout pravidla superseduje decision 0129. Pravomoc vytvořit Release dál určují živá GitHub práva. |
@@ -70,7 +70,7 @@ frameworku se sem nepřenášejí).
 | 0134 | Přesnou otestovanou verzi Bunu pro localhost Lazurio source, CLI a CI vlastní jediné `package.json#packageManager`. Install Core a Doctor porovnávají exact běžící verzi a nesoulad hlásí fail-closed; externí instalace nebo upgrade zůstává explicitně odsouhlasený krok Agenta/instalátoru, nikdy skrytá součást `lazurio update`. Profilové immutable Resident/Buddy toolchain piny mají vlastní artefaktový lifecycle a tato localhost autorita je nepřepisuje. |
 | 0135 | Aktuálnost vývojových nástrojů je explicitní read-only troubleshooting lane `lazurio doctor --tool-updates`, ne automatický updater ani součást běžného Doctoru. Git, GitHub CLI a Codex musí být dostupné v `PATH`; Claude Code je volitelný a kontroluje se jen na mašinách, kde dostupný je. Nástroje se porovnávají s oficiálním stabilním release zdrojem; update, instalaci nebo změnu `PATH` smí Agent provést až po souhlasu Principála s přesnou externí změnou. Neověřitelná aktuálnost se nehádá a zůstává warning. Bun dál vlastní exact Lazurio pin podle decision 0134, nikoli obecný latest release. |
 | 0136 | Localhost Lazurio Root leží přímo v OS home. Fresh a Managed target je vždy `<home>/Lazurio` (`~/Lazurio` na macOS/Linuxu, `%USERPROFILE%\Lazurio` na Windows). Lazurio podporuje dva profily: dnešní `source`, kde je ověřený existující home checkout pracovním Rootem a smí do migrace zachovat historický název složky, a budoucí `managed`, kde je canonical target generovaný non-Git Root a volitelný source checkout patří do `<home>/Lazurio/development/Lazurio`. Package/source je oddělená provenance spuštěného CLI. Top-level installer nevytváří picker ani druhý locator; Source → Managed migrace smí začít jen explicitní volbou Principála po complete readiness gate, se zachováním mountů/Git/worktrees/stashů a rollbackem. **Změněno rozhodnutím 0164:** profil `managed` ani Source → Managed migrace s rollbackem se nestaví; instalace Root Repa přecházejí jednosměrně do Lazurio Folderu spravovaného LazurioPlatform. Generátor nevytváří druhou runtime kopii a ruční přesun není podporovaný postup. Source Root mimo přímého potomka home není podporovaná varianta a případná budoucí změna této hranice vyžaduje nové vědomé rozhodnutí, ne rozšíření detekce jako opravu. |
-| 0137 | Launchpad je dílna se třemi lifecycle profily. Localhost spouští exact `main` nebo worktree pouze jako session child aktuální Server instance, graceful shutdown ukončí celý managed process tree a žádné poslední kliknutí se po restartu neobnovuje. Hosted část aktualizována v DEV-6579: T3 a Launchpad jsou always-on, výchozí Apps odvozené z Organization manifestů se spouštějí až při Open nebo autentizovaném přímém odkazu. Stop je zastaví do dalšího otevření; health ani katalog je nespouští. Spuštěné Apps se udržují izolovaně v aktuální session, první otevření po cold startu používá `main`; worktree volba žije jen v aktuální session a ingress ji zachovává. Produkce přijímá samostatný reprodukovatelný Build a nepoužívá Launchpad ani worktrees. Click-derived desired evidence, service catalog ani jeho controller nejsou autoritou žádného profilu. **Změněno rozhodnutím 0167:** v Launchpadu LazurioPlatform jsou moduly na Linuxu služby operačního systému a restart Launchpadu přežijí; na macOS zůstávají vázané na session. Volba worktree v hostované session se do přepnutí nepřebírá (náhled pull requestu je otevřená otázka). Launchpad instalací Root Repa se do jejich migrace řídí tímto rozhodnutím beze změny. |
+| 0137 | Launchpad je dílna se třemi lifecycle profily. Localhost spouští exact `main` nebo worktree pouze jako session child aktuální Server instance, graceful shutdown ukončí celý managed process tree a žádné poslední kliknutí se po restartu neobnovuje. Hosted část aktualizována v DEV-6579: T3 a Launchpad jsou always-on, výchozí Apps odvozené z Organization manifestů se spouštějí až při Open nebo autentizovaném přímém odkazu. Stop je zastaví do dalšího otevření; health ani katalog je nespouští. Spuštěné Apps se udržují izolovaně v aktuální session, první otevření po cold startu používá `main`; worktree volba žije jen v aktuální session a ingress ji zachovává. Produkce přijímá samostatný reprodukovatelný Build a nepoužívá Launchpad ani worktrees. Click-derived desired evidence, service catalog ani jeho controller nejsou autoritou žádného profilu. **Změněno rozhodnutím 0167:** v Launchpadu LazurioPlatform jsou moduly na Linuxu služby operačního systému a restart Launchpadu přežijí; na macOS zůstávají vázané na session. Volba worktree v hostované session se do přepnutí nepřebírá (náhled pull requestu dostane později dočasnou URL jako lease, dodatek 0167). Launchpad instalací Root Repa se do jejich migrace řídí tímto rozhodnutím beze změny. |
 | 0138 | Explicitní `lazurio organization install` je jediná bounded bootstrap autorita pro aktivní root-space `mission-control/db` deklarovaný jako `repository_db_mount`: až po materializaci právě jednoho aktivního installer-managed parent Git repozitáře smí z Organization-owned remote a přesné branche atomicky doplnit chybějící checkout. Je-li deklarovaná Mission Control app/data hranice neúplná, neaktivní nebo pod jiným materializačním kontraktem, install fail-closed skončí `blocked`; nesmí hlásit konvergenci bez dat. Ignore se dokazuje v parent repozitáři, ne jen v Organization rootu; existující checkout musí být čistý a odpovídat exact remote/branch. Installer jej nefetchuje ani nefast-forwarduje a nezískává commit/publish oprávnění; obecný `lazurio update`, worktrees, Productionspace a jiné repository-db mounty zůstávají beze změny mimo tuto autoritu. |
 | 0139 | GitHub Issues přesného owning repa jsou jedinou autoritou otevřených technických problémů a nejistot; visibility a živá GitHub práva zachovávají repo a Organization access hranici. Mission Control dál vlastní plán, prioritu, odpovědnost a stav realizace. Vytvoření issue nebo komentáře je Publikace, proto vyžaduje explicitní mandát Principála, kontrolu duplicit a sanitizaci; bez bezpečného cíle vznikne jen handoff draft. **Změněno rozhodnutím 0163:** zapsat issue je trvalý mandát Task Agenta bez předchozího dotazu; kontrola duplicit, sanitizace a handoff draft při nejistém cíli platí dál. Legacy `ISSUES.open.json` a `ISSUES.resolved.json` jsou zmrazený jednorázový migrační vstup bez synchronizace nebo nové autority. |
 | 0140 | Onboarding nové pracovní Mašiny má před Organization materializací jediný top-level toolchain gate. Git, GitHub CLI, Codex CLI, Node a přesně pinovaný Bun nejsou připravené pouhou přítomností binárky ani úspěchem ve zděděné instalační relaci: jejich příkazy musí být dostupné v uživatelském `PATH` nového čistého procesu. Install Core váže Bun, Git a GitHub CLI na skutečně ověřený executable a GitHub stav nevydá za hotový bez `git_protocol=ssh`; běžný Doctor spouští Bun i `bun x`, Git, GitHub CLI, GitHub auth s SSH protokolem, Node a Codex a tool-update lane failuje na chybějící či nečitelném povinném nástroji. Instalační Agent smí oficiální instalaci a nejmenší uživatelskou `PATH` změnu provést jen s explicitním mandátem pro přesné nástroje, zachová existující položky a nezasahuje do system-wide `PATH`, package manageru ani cizích verzí bez dalšího souhlasu. Nový GitHub účet páruje jednou přes `gh auth login --git-protocol ssh`, ale hotový SSH transport dokazuje až exact `git ls-remote`. `lazurio organization install` materializuje Organizaci až po gate a samo systémové nástroje ani `PATH` nevlastní. |
@@ -100,7 +100,7 @@ frameworku se sem nepřenášejí).
 | 0164 | **Lazurio se instaluje jedním standardním způsobem; migrace z Root Repa do Lazurio Folderu je jednosměrná a selhání se opravuje vpřed, bez rollbacku.** Principál 2026-09-28: „migrace z Root Repo na Lazurio Folder klidně může být jednosměrná … Pokud se něco pokazí, tak jsem pro to prioritně opravit v Lazurio Folderu. Cílem je eliminovat Lazurio Root Repo instalace. Takže prosím bez rollbacku.“ (1) **Cíl:** instalace Root Repa (tento repozitář jako checkout na Mašině) skončí. Každé Environment přejde do Lazurio Folderu, který spravuje LazurioPlatform. Po migraci posledního Environmentu se tento repozitář archivuje. (2) **Jednosměrnost:** cesta zpět do instalace Root Repa se nestaví ani neudržuje. Když se migrace pokazí, opraví ji Agent vpřed v Lazurio Folderu podle manuálů Folderu. Navazuje to na dřívější postoj Principála: mašinérie pro rollback nesmí brzdit postup a Lazurio je tenký obal nad repozitáři Organizací a Personalspace, kde historii už drží Git. (3) **Čeho se migrace nedotkne:** obsahu repozitářů Organizací, Personalspace a přihlášení. Jednosměrnost se týká instalace (CLI, Launchpad, checkout Root Repa), ne dat Organizací; ta zůstávají Git repozitáři s vlastní historií. (4) **Pořadí:** nejdřív Environmenty na Linuxu (v první fázi Ubuntu, viz 0167 bod 3), potom na macOS. Windows přijde na řadu až poté, co LazurioPlatform dostane build pro Windows; po něm následuje migrace uživatelů Windows. Do té doby instalace Root Repa na Windows fungují beze změny. (5) **Provedení:** migraci provádí Agent podle připraveného promptu a manuálu pro každou platformu. Manuál i prompt teprve vznikají v LazurioPlatform (issue #50) a dnes neexistují. (6) **Vstup první instalace (Principál téhož dne později):** první instalace Lazuria na nový počítač je jeden příkaz, instalační skript podávaný z `https://lazurio.ai/install` (macOS a Linux; pro Windows jeho protějšek v PowerShellu, až bude build pro Windows). Skript nainstaluje CLI a Launchpad, které jsou jeden program; potom přebírá `lazurio update`. Npm balíček `lazurio` může přibýt později jako druhý vstup pro ty, kdo už mají Node; primárním vstupem není a dnes neexistuje. Dnes existuje skript `install.sh` ve veřejném repozitáři LazurioPlatform; podávání z `lazurio.ai/install` ještě nasazené není. **Změněno rozhodnutím 0168:** dokumentovaný příkaz má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. (7) **Standardní instalace (Principál téhož dne později):** Lazurio se instaluje přesně standardním způsobem, protože různé instalace na různých Environmentech dělají jen nepořádek. Každá platforma má jedno standardní rozložení instalace: install base produktu, příkaz `~/.local/bin/lazurio` a Lazurio Folder; přesné cesty pro každou platformu drží dokumentace LazurioPlatform. Instalátor nikdy potichu nepřepíše, co mu nepatří: odchylku nahlásí. Agent pak na pokyn operátora a podle manuálu srovná instalaci do standardu. Odchylná instalace není podporovaná varianta, kterou by bylo třeba zachovat. Pravidlo patří sem, a ne do dodatku 0161, protože platí pro každé Environment, místní i vzdálené, zatímco 0161 vymezuje baseline hostované Mašiny; migrace z Root Repa je jeho první a největší použití. Nástrojů operátora se netýká, pro ně platí 0161. **Vztah k dřívějším rozhodnutím:** 0136 se mění: profil `managed`, Managed Root ani Source → Managed migrace s rollbackem se nestaví, cílem je Lazurio Folder; pravidla profilu `source` (Root přímo v home) platí pro existující instalace do jejich migrace. Bod (7) nemění, že instalace Root Repa do své migrace fungují; srovnáním do standardu je právě tato migrace. 0142 se mění jen ve větě o budoucím Managed Rootu, která se neuplatní; lokalizace Launchpadu a manuálů zůstává. 0013, 0030 a 0129 (jeden Root na mašině, direct-pull klon, root `lazurio update` synchronizující checkouty) platí beze změny pro instalace Root Repa až do jejich migrace; stejně tak ostatní pravidla instalace Root Repa. 0132 beze změny: shaping migrace dál pojmenuje failure modes, odpovědí na selhání je oprava vpřed. 0144 a 0161 včetně dodatku 2026-09-28 beze změny; `lazurio update rollback` LazurioPlatform zůstává návratem z nepovedené aktualizace produktu a této migrace se netýká. **Změněno rozhodnutím 0166:** `lazurio update rollback` se ruší; nepovedenou aktualizaci řeší Recovery režim a oprava vpřed. 0033 (GEN2 → GEN3 s rollback linkou) beze změny: jde o migraci Organizací, ne instalace Lazuria. |
 | 0165 | **Tři druhy Environmentu: Osobní, Pracovní a Pracovní týmové; týmové pracuje v GitHubu přes Lazurio for GitHub, ne účtem člověka.** Principál 2026-09-28 rozhodl, že se Environmenty nakonec rozlišují na tři druhy, ne jen na osobní a pracovní. (1) **Druhy:** **Osobní** (Personal) je Environment jednoho Principála v jeho osobní zóně: jeho vlastní počítač nebo jeho jediná osobní hostovaná Mašina (0153). **Pracovní** (Work) je Environment jednoho operátora pro práci v Organizaci: pracovní VM přiřazená právě jemu nebo pracovní počítač Organizace (0155); dosavadní „osobní pracovní VM“ manuálů je Pracovní, ne Osobní. **Pracovní týmové** (Work Team) je sdílená Mašina Organizace, na které pracuje víc operátorů z Teamu (Hosted Team Workspace, 0147); dnes je to vždy hostovaná Mašina. U hostované Mašiny plyne druh z `lazurio.machine.json`: `machine.kind: personal-vm` je Osobní, `owner.assignment.kind: operator` Pracovní a `owner.assignment.kind: team` Pracovní týmové. Druh se nikdy neodvozuje ze jména, hostname ani velikosti Teamu; jednočlenný Team z Mašiny týmovou nedělá. Druh je samostatná osa vedle místního a vzdáleného Environmentu z 0160. (2) **GitHub v Osobním a Pracovním Environmentu:** přihlašuje se vlastní účet operátora a přihlášení připojí SSH klíč Mašiny, v Launchpadu nebo přes `lazurio tools login gh`. Dnes: přihlášení s připojením SSH klíče je implementované v LazurioPlatform (veřejný PR #61, sloučený, ve vydaném release zatím není). (3) **GitHub v Pracovním týmovém Environmentu:** nepřihlašuje se účtem člověka a nepřipojuje osobní SSH klíč. V GitHubu pracuje přes GitHub App Lazurio for GitHub nainstalovanou v GitHub organizaci; cílem je, aby GitHub ukázal, které Environment vytvořilo commit, pull request nebo issue. Dnes: na hostované týmové VM může běžet broker Organizace podle 0147; cesta Pracovního týmového Environmentu v LazurioPlatform přes Lazurio for GitHub, včetně atribuce Environmentu, je směr a postavená není. **Vztah k dřívějším rozhodnutím:** 0160 platí beze změny a dostává druhou osu. 0155 beze změny: Osobní odpovídá osobní zóně, Pracovní a Pracovní týmové pracovní zóně a granty mezi Mašinami se nemění. 0147 a 0149 se potvrzují: identitou týmového Environmentu je Lazurio for GitHub přes broker Organizace a přístup drží živé GitHub granty Teamu; jejich cílový kontrakt dál čeká na změnu brokeru. 0148 se zpřesňuje směrem: atribuce má ideálně nést i Environment, nejen Team; bot jako committer, Teamová pseudo-identita autora a trailer `Lazurio-Workspace` platí, dokud shaping neurčí mechanismus. 0159 se pro Pracovní týmové Environment zužuje: kde broker Organizace běží, je jedinou identitou bot a výjimka neplatí. Cílem je, aby Launchpad LazurioPlatform ani `lazurio tools login gh` na Pracovním týmovém Environmentu přihlášení účtem člověka a připojení SSH klíče nenabízely. Dnes: v Launchpadu je to sloučené v LazurioPlatform (veřejný PR #60, sloučený 2026-09-28, ve vydaném release zatím není); stejné pravidlo v `lazurio tools login gh` a v routách Launchpadu postavené není a cesta přes Lazurio for GitHub v LazurioPlatform postavená není. Pro týmovou VM, na které broker ještě neběží, zůstává dočasná výjimka 0159 v dosavadní podobě, dokud Principál nerozhodne o jejím ukončení; je to otevřená otázka, ne cílový stav. **Změněno rozhodnutím 0168:** Principál o ukončení rozhodl; výjimka pro Pracovní týmové Environment končí a týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka. Pro Pracovní Environment jednoho operátora platí 0159 beze změny. |
 | 0166 | **Lazurio nemá rollback; když je rozbité, nabízí jen Recovery režim: agenta, který opraví vpřed, nebo issue se vším potřebným pro opravu.** Principál 2026-09-28: „Jsem proti rollbacku a pro tento mechanizmus, který nás přiměje dělat stabilní releases in the long run. Nechci abychom se spoléhali na to že ‚když se to rozbije tak nás zachrání rollback‘ – ne, prostě si dáme … záležet, aby vše fungovalo. Žádné zpětné vrátka pro rollback!“ (1) **Žádný rollback produktu:** Lazurio (LazurioPlatform) nemá `lazurio update rollback`, jednotku pro rollback, ponechanou předchozí verzi ani automatické přepnutí zpět po nezdravém restartu. Rollbackem nejsou a zůstávají: atomické selhání jedné operace (nic nezůstane napůl zapsané), odmítnutí dřív, než se cokoli změní (ověření, self-check a zkouška kandidáta před přepnutím), a odmítnutí downgradu (floor a high-water). Po přepnutí na novou verzi vede jediný směr vpřed: dokončit, opravit, nebo novější release. (2) **Recovery režim:** když je Lazurio rozbité, produkt nabízí jedinou věc: spustit agenta v chatu se zadáním opravit, co je potřeba, nebo předat vše potřebné k opravě do GitHub Issue. Každý vstup do Recovery režimu končí issue, i když agent opravu zvládl, aby se z opravy stal regresní test. Na pracovní stanici zatím stačí zkopírovat prompt do agentní aplikace operátora. Launchpad běží vždy; v Recovery režimu obsluhuje jen tuto opravnou akci. (3) **Záměr:** tlak na pořádné testy a CI/CD, které zachytí co nejvíc problémů, a důkazy z Environmentů, kde se Lazurio rozbilo. (4) **Machines se řídí stejným pravidlem** (Principál přijal doporučení): apply se dokončí, nebo nezačne, a nikdy se nevrací na dřívější release jako způsob opravy. Zůstává, protože to rollback není: atomické a předem validované nasazení konfigurace brány, obnova přerušeného applye, která ho dokončí vpřed, a rescue přístup poskytovatele jako nouzová cesta dovnitř. Odchází obnova předchozího rezidentního stromu a obnova předchozího release stromu T3 Code. Recovery pro Machines: nepovedený apply vrátí úplné důkazy agentovi, který rollout řídí; ten opraví vpřed novým Plánem, nebo založí issue. Agent uvnitř Mašiny opravuje jen vrstvu Lazuria. (5) **Oprava novým releasem, releases po stupních:** pipelines musí selhání Machines rozpoznat a opravit **novým** releasem. Releases se vydávají po stupních (kvalifikační VM, pilotní Organizace, potom další Organizace po krocích), takže chyba zasáhne jen úzký okruh uživatelů. (6) Release candidate Lazuria běží 8 hodin na pracovních VM pilotní Organizace a na osobních VM jejích operátorů, než se stane finálním releasem. (7) **Přijatý důsledek:** aktualizaci na první release bez rollbacku provádí ještě starý updater, takže při této jediné aktualizaci je možné jedno poslední přepnutí zpět. (8) **Kam issue jde:** Principál volbu delegoval na Task Agenta („nechám na tobě“) a ten rozhodl: automatické issue jde do veřejného repozitáře produktu a nese jen strukturovaná pole bez volného textu (verze, target, platforma, identifikátory selhaných kontrol, stav jednotky, revize Folderu a šablony), a to až po deterministické sanitizační bráně. Konec journalu ani žádný volný text Mašinu automaticky neopouštějí: zůstávají v lokálním recovery balíčku a do issue se dostanou, jen když je opravný agent přiloží poté, co je pod sanitizérem přečetl. Operátor issue nepotvrzuje; vidí přesné tělo, které Mašinu opustilo. Nová intake služba nevzniká; privátní intake se znovu zváží jen tehdy, když se strukturovaná issues ukážou jako nedostatečná pro opravy. **Vztah k dřívějším rozhodnutím:** v 0161 se nahrazuje zmínka o vlastním rollbacku LazurioPlatform v bodě (1); dodatek 0161 z 2026-09-28 platí dál (jeden updater, pin jako minimum, floor a high-water). Věta, že `lazurio update rollback` zůstává návratem z nepovedené aktualizace, se nahrazuje v 0164 i v dodatku F17 LazurioPlatform z 2026-09-28 (bod 3), ze kterého dodatek 0161 vychází. 0164 a 0166 jsou jedno pravidlo: oprava vpřed. 0163 se uplatňuje: issue z Recovery režimu je použití trvalého mandátu včetně kontroly duplicit a sanitizace. 0132 beze změny: shaping dál pojmenuje failure modes, odpovědí na ně je oprava vpřed. LazurioPlatform F13 se mění v části o rollbacku; atestace releasu a floor zůstávají. Texty Machines o rollbacku změní samostatné rozhodnutí Machines; hotové to není. 0033 (rollback linka migrace GEN2 → GEN3) se týká migrace Organizací, ne instalace Lazuria. **Dnes:** Recovery režim se staví. Veřejné pull requesty LazurioPlatform #64 a #65 jsou shaping drafty (navržené rozhodnutí F21) a implementace probíhá; nic z toho není vydané a vydané releases LazurioPlatform rollback dosud obsahují. |
-| 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku (postup applye je návrh shapingu; směr bez souběhu a bez cesty zpět je rozhodnutí Principála). Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin s převodem stavu, ne upgrade na místě, a pro Ownera musí být plynulá (Principál téhož dne v noci): výpadek kolem hodiny je přijatelný, ale SSH klíče, přihlášení ani Buddyho nesmí Owner nastavovat znovu. Identita Mašiny, identita uzlu v tailnetu, SSH host klíče a domov operátora včetně stavu Buddyho se obnoví a obnovu prokáže readback; Personalspace je navíc Git repozitář, takže jeho obsah na přenosu disku nestojí. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Otevřené:** náhled pull requestu na hostované Mašině. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. Otázka se navrhne pořádně později; zdroj z worktree zůstává mimo přepínací linku. (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform; návrh shapingu, který Principál výslovně nepotvrdil, ale ani nezpochybnil). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu je tam otevřená otázka (bod 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
+| 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku (postup applye je návrh shapingu; směr bez souběhu a bez cesty zpět je rozhodnutí Principála). Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin s převodem stavu, ne upgrade na místě, a pro Ownera musí být plynulá (Principál téhož dne v noci): výpadek kolem hodiny je přijatelný, ale SSH klíče, přihlášení ani Buddyho nesmí Owner nastavovat znovu. Identita Mašiny, identita uzlu v tailnetu, SSH host klíče a domov operátora včetně stavu Buddyho se obnoví a obnovu prokáže readback; Personalspace je navíc Git repozitář, takže jeho obsah na přenosu disku nestojí. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Otevřené:** náhled pull requestu na hostované Mašině. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. **Dodatek téhož dne (2026-09-28, po diskusi nad shapingem LazurioPlatform #65):** Principál rozhodl směr: náhled z webového T3 Code na Mašině dostane dočasnou URL Environmentu, kterou agent pro worktree zaregistruje stejně, jako dostávají hostname moduly — jako lease, která sama končí a nehromadí se (Principál: úklid po 24 hodinách, úklid, když port zemře). Přesná pravidla (TTL obnovované otevřením, konec při ukončení jednotky, uvolnění portu, odstranění worktree nebo merge PR, limit na Mašinu) jsou návrh shapingu B14 a nejsou rozhodnutí. Profil VM, tedy generovaný manuál Folderu, musí Agentům říkat, jak náhledy na hostované Mašině fungují, aby Operátorovi nikdy neposílali localhost link; dokud aplikace hostované jméno nemá, handoff to řekne místo odkazu. Zdroj z worktree zůstává mimo přepínací linku (P9 je pozdější řez). (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform; návrh shapingu, který Principál výslovně nepotvrdil, ale ani nezpochybnil). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu tam dostane dočasnou URL jako lease (dodatek bodu 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
 | 0168 | **Pracovní týmové Environment funguje s botem Organizace hned po předání; dočasná výjimka 0159 pro něj končí. Příkaz první instalace má přísnou podobu.** Principál 2026-09-28: „týmová VM má out of the box fungovat s přihlášeným botem organizace. Takže není potřeba přihlašovat gh.“ (1) Výjimka 0159, podle které se na týmové VM smělo přihlásit libovolným GitHub účtem, končí. Pracovní týmové Environment pracuje v GitHubu hned po předání přes bota Organizace (Lazurio for GitHub, 0147). (2) LazurioPlatform tam má osobní přihlášení `gh` i připojení SSH klíče odmítat a dovolit odhlásit osobní účet, který tam zůstal z dřívějška; Launchpad to už dělá (sloučený pull request LazurioPlatform #60, nevydaný), pravidlo v příkazu a na serveru je v otevřeném pull requestu #66 a vydané není. (3) Týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka: Agent osobní přihlášení nenabízí a zapíše blocker. (4) Pro Pracovní Environment jednoho operátora a pro Osobní Environment platí 0159 beze změny až do vazby v Dashboardu. (5) **Příkaz první instalace** (0164 bod 6) má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. Důvod: instalační skript drží na HTTPS každé své stažení a přesměrování (LazurioPlatform F20); přísná podoba drží na HTTPS s TLS nejméně 1.2 i první krok, stažení skriptu samotného. **Vztah k dřívějším rozhodnutím:** 0159 se pro týmovou VM ukončuje, jinde platí. 0165 se mění ve větě o 0159: otevřenou otázku Principál rozhodl. 0147 a 0149 se potvrzují. 0164 bod 6 dostává přísnou podobu příkazu; ostatní body beze změny. |
 
 ## Workstation toolchain: PATH compatibility (2026-09-04)

From 95ef86ec863f2355e5d856f956d0a76520b6025c Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Mat=C4=9Bj=20Such=C3=A1nek?= <jsem@matejsuchanek.cz>
Date: Mon, 28 Sep 2026 15:48:50 +0200
Subject: [PATCH 6/8] 0442 round 3: fail closed without a valid handover; the
 0167 row marks its earlier open state as superseded and keeps the lease rules
 a proposal

Pablo's review 5339555709: (1) the first-login manual let a missing or invalid
handover fall back to a personal work VM and a personal gh sign-in, which
cannot rule out a Team VM; the agent now performs no personal sign-in until
the handover proves the kind and assignment. (2) Row 0167 still called the
preview an open question next to its addendum and attributed the 24-hour and
port-death cleanup to the Principal as decided; the earlier state is marked as
superseded and the cleanup mechanics are the Principal's examples of the
direction, the rules remaining LazurioPlatform #65 proposal B14.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
---
 manual/hosted-machine-first-login.md | 8 ++++++--
 1 file changed, 6 insertions(+), 2 deletions(-)

diff --git a/manual/hosted-machine-first-login.md b/manual/hosted-machine-first-login.md
index 470c896b..88447a45 100644
--- a/manual/hosted-machine-first-login.md
+++ b/manual/hosted-machine-first-login.md
@@ -61,8 +61,12 @@ je Pracovní, týmová VM Pracovní týmové a osobní Mašina Principála Osobn
   Principála podle [`hosted-buddy-vps.md`](hosted-buddy-vps.md); tento manuál
   se na ni nevztahuje.
 - Soubor chybí, nevaliduje, nebo `owner.assignment` není deklarovaný: Agent
-  typ nehádá a postupuje jako na osobní pracovní VM; přihlášení kvůli tomu
-  neblokuje.
+  typ nehádá a **osobní přihlášení `gh` neprovede** — bez platného handoveru
+  nejde vyloučit, že jde o týmovou VM, na které je osobní účet zakázaný
+  (rozhodnutí 0168). Stav nahlásí operátorovi a požádá provozovatele Machines,
+  ať handover ověří nebo doplní (`lazurio machine inspect` rezidentního CLI
+  vypíše přesné odmítnutí); teprve potom pokračuje. Práce, která přihlášení
+  nepotřebuje, blokovaná není.
 
 ## Osobní pracovní VM: identita operátora
 

From d11ccba0810464caa562e2ad17cff034ebfafed1 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Mat=C4=9Bj=20Such=C3=A1nek?= <jsem@matejsuchanek.cz>
Date: Mon, 28 Sep 2026 15:49:20 +0200
Subject: [PATCH 7/8] 0167: the earlier open state of the preview is marked
 superseded; the lease rules stay a proposal

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
---
 manual/decision-register.md | 2 +-
 1 file changed, 1 insertion(+), 1 deletion(-)

diff --git a/manual/decision-register.md b/manual/decision-register.md
index 5872d9f9..cbc2b981 100644
--- a/manual/decision-register.md
+++ b/manual/decision-register.md
@@ -100,7 +100,7 @@ frameworku se sem nepřenášejí).
 | 0164 | **Lazurio se instaluje jedním standardním způsobem; migrace z Root Repa do Lazurio Folderu je jednosměrná a selhání se opravuje vpřed, bez rollbacku.** Principál 2026-09-28: „migrace z Root Repo na Lazurio Folder klidně může být jednosměrná … Pokud se něco pokazí, tak jsem pro to prioritně opravit v Lazurio Folderu. Cílem je eliminovat Lazurio Root Repo instalace. Takže prosím bez rollbacku.“ (1) **Cíl:** instalace Root Repa (tento repozitář jako checkout na Mašině) skončí. Každé Environment přejde do Lazurio Folderu, který spravuje LazurioPlatform. Po migraci posledního Environmentu se tento repozitář archivuje. (2) **Jednosměrnost:** cesta zpět do instalace Root Repa se nestaví ani neudržuje. Když se migrace pokazí, opraví ji Agent vpřed v Lazurio Folderu podle manuálů Folderu. Navazuje to na dřívější postoj Principála: mašinérie pro rollback nesmí brzdit postup a Lazurio je tenký obal nad repozitáři Organizací a Personalspace, kde historii už drží Git. (3) **Čeho se migrace nedotkne:** obsahu repozitářů Organizací, Personalspace a přihlášení. Jednosměrnost se týká instalace (CLI, Launchpad, checkout Root Repa), ne dat Organizací; ta zůstávají Git repozitáři s vlastní historií. (4) **Pořadí:** nejdřív Environmenty na Linuxu (v první fázi Ubuntu, viz 0167 bod 3), potom na macOS. Windows přijde na řadu až poté, co LazurioPlatform dostane build pro Windows; po něm následuje migrace uživatelů Windows. Do té doby instalace Root Repa na Windows fungují beze změny. (5) **Provedení:** migraci provádí Agent podle připraveného promptu a manuálu pro každou platformu. Manuál i prompt teprve vznikají v LazurioPlatform (issue #50) a dnes neexistují. (6) **Vstup první instalace (Principál téhož dne později):** první instalace Lazuria na nový počítač je jeden příkaz, instalační skript podávaný z `https://lazurio.ai/install` (macOS a Linux; pro Windows jeho protějšek v PowerShellu, až bude build pro Windows). Skript nainstaluje CLI a Launchpad, které jsou jeden program; potom přebírá `lazurio update`. Npm balíček `lazurio` může přibýt později jako druhý vstup pro ty, kdo už mají Node; primárním vstupem není a dnes neexistuje. Dnes existuje skript `install.sh` ve veřejném repozitáři LazurioPlatform; podávání z `lazurio.ai/install` ještě nasazené není. **Změněno rozhodnutím 0168:** dokumentovaný příkaz má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. (7) **Standardní instalace (Principál téhož dne později):** Lazurio se instaluje přesně standardním způsobem, protože různé instalace na různých Environmentech dělají jen nepořádek. Každá platforma má jedno standardní rozložení instalace: install base produktu, příkaz `~/.local/bin/lazurio` a Lazurio Folder; přesné cesty pro každou platformu drží dokumentace LazurioPlatform. Instalátor nikdy potichu nepřepíše, co mu nepatří: odchylku nahlásí. Agent pak na pokyn operátora a podle manuálu srovná instalaci do standardu. Odchylná instalace není podporovaná varianta, kterou by bylo třeba zachovat. Pravidlo patří sem, a ne do dodatku 0161, protože platí pro každé Environment, místní i vzdálené, zatímco 0161 vymezuje baseline hostované Mašiny; migrace z Root Repa je jeho první a největší použití. Nástrojů operátora se netýká, pro ně platí 0161. **Vztah k dřívějším rozhodnutím:** 0136 se mění: profil `managed`, Managed Root ani Source → Managed migrace s rollbackem se nestaví, cílem je Lazurio Folder; pravidla profilu `source` (Root přímo v home) platí pro existující instalace do jejich migrace. Bod (7) nemění, že instalace Root Repa do své migrace fungují; srovnáním do standardu je právě tato migrace. 0142 se mění jen ve větě o budoucím Managed Rootu, která se neuplatní; lokalizace Launchpadu a manuálů zůstává. 0013, 0030 a 0129 (jeden Root na mašině, direct-pull klon, root `lazurio update` synchronizující checkouty) platí beze změny pro instalace Root Repa až do jejich migrace; stejně tak ostatní pravidla instalace Root Repa. 0132 beze změny: shaping migrace dál pojmenuje failure modes, odpovědí na selhání je oprava vpřed. 0144 a 0161 včetně dodatku 2026-09-28 beze změny; `lazurio update rollback` LazurioPlatform zůstává návratem z nepovedené aktualizace produktu a této migrace se netýká. **Změněno rozhodnutím 0166:** `lazurio update rollback` se ruší; nepovedenou aktualizaci řeší Recovery režim a oprava vpřed. 0033 (GEN2 → GEN3 s rollback linkou) beze změny: jde o migraci Organizací, ne instalace Lazuria. |
 | 0165 | **Tři druhy Environmentu: Osobní, Pracovní a Pracovní týmové; týmové pracuje v GitHubu přes Lazurio for GitHub, ne účtem člověka.** Principál 2026-09-28 rozhodl, že se Environmenty nakonec rozlišují na tři druhy, ne jen na osobní a pracovní. (1) **Druhy:** **Osobní** (Personal) je Environment jednoho Principála v jeho osobní zóně: jeho vlastní počítač nebo jeho jediná osobní hostovaná Mašina (0153). **Pracovní** (Work) je Environment jednoho operátora pro práci v Organizaci: pracovní VM přiřazená právě jemu nebo pracovní počítač Organizace (0155); dosavadní „osobní pracovní VM“ manuálů je Pracovní, ne Osobní. **Pracovní týmové** (Work Team) je sdílená Mašina Organizace, na které pracuje víc operátorů z Teamu (Hosted Team Workspace, 0147); dnes je to vždy hostovaná Mašina. U hostované Mašiny plyne druh z `lazurio.machine.json`: `machine.kind: personal-vm` je Osobní, `owner.assignment.kind: operator` Pracovní a `owner.assignment.kind: team` Pracovní týmové. Druh se nikdy neodvozuje ze jména, hostname ani velikosti Teamu; jednočlenný Team z Mašiny týmovou nedělá. Druh je samostatná osa vedle místního a vzdáleného Environmentu z 0160. (2) **GitHub v Osobním a Pracovním Environmentu:** přihlašuje se vlastní účet operátora a přihlášení připojí SSH klíč Mašiny, v Launchpadu nebo přes `lazurio tools login gh`. Dnes: přihlášení s připojením SSH klíče je implementované v LazurioPlatform (veřejný PR #61, sloučený, ve vydaném release zatím není). (3) **GitHub v Pracovním týmovém Environmentu:** nepřihlašuje se účtem člověka a nepřipojuje osobní SSH klíč. V GitHubu pracuje přes GitHub App Lazurio for GitHub nainstalovanou v GitHub organizaci; cílem je, aby GitHub ukázal, které Environment vytvořilo commit, pull request nebo issue. Dnes: na hostované týmové VM může běžet broker Organizace podle 0147; cesta Pracovního týmového Environmentu v LazurioPlatform přes Lazurio for GitHub, včetně atribuce Environmentu, je směr a postavená není. **Vztah k dřívějším rozhodnutím:** 0160 platí beze změny a dostává druhou osu. 0155 beze změny: Osobní odpovídá osobní zóně, Pracovní a Pracovní týmové pracovní zóně a granty mezi Mašinami se nemění. 0147 a 0149 se potvrzují: identitou týmového Environmentu je Lazurio for GitHub přes broker Organizace a přístup drží živé GitHub granty Teamu; jejich cílový kontrakt dál čeká na změnu brokeru. 0148 se zpřesňuje směrem: atribuce má ideálně nést i Environment, nejen Team; bot jako committer, Teamová pseudo-identita autora a trailer `Lazurio-Workspace` platí, dokud shaping neurčí mechanismus. 0159 se pro Pracovní týmové Environment zužuje: kde broker Organizace běží, je jedinou identitou bot a výjimka neplatí. Cílem je, aby Launchpad LazurioPlatform ani `lazurio tools login gh` na Pracovním týmovém Environmentu přihlášení účtem člověka a připojení SSH klíče nenabízely. Dnes: v Launchpadu je to sloučené v LazurioPlatform (veřejný PR #60, sloučený 2026-09-28, ve vydaném release zatím není); stejné pravidlo v `lazurio tools login gh` a v routách Launchpadu postavené není a cesta přes Lazurio for GitHub v LazurioPlatform postavená není. Pro týmovou VM, na které broker ještě neběží, zůstává dočasná výjimka 0159 v dosavadní podobě, dokud Principál nerozhodne o jejím ukončení; je to otevřená otázka, ne cílový stav. **Změněno rozhodnutím 0168:** Principál o ukončení rozhodl; výjimka pro Pracovní týmové Environment končí a týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka. Pro Pracovní Environment jednoho operátora platí 0159 beze změny. |
 | 0166 | **Lazurio nemá rollback; když je rozbité, nabízí jen Recovery režim: agenta, který opraví vpřed, nebo issue se vším potřebným pro opravu.** Principál 2026-09-28: „Jsem proti rollbacku a pro tento mechanizmus, který nás přiměje dělat stabilní releases in the long run. Nechci abychom se spoléhali na to že ‚když se to rozbije tak nás zachrání rollback‘ – ne, prostě si dáme … záležet, aby vše fungovalo. Žádné zpětné vrátka pro rollback!“ (1) **Žádný rollback produktu:** Lazurio (LazurioPlatform) nemá `lazurio update rollback`, jednotku pro rollback, ponechanou předchozí verzi ani automatické přepnutí zpět po nezdravém restartu. Rollbackem nejsou a zůstávají: atomické selhání jedné operace (nic nezůstane napůl zapsané), odmítnutí dřív, než se cokoli změní (ověření, self-check a zkouška kandidáta před přepnutím), a odmítnutí downgradu (floor a high-water). Po přepnutí na novou verzi vede jediný směr vpřed: dokončit, opravit, nebo novější release. (2) **Recovery režim:** když je Lazurio rozbité, produkt nabízí jedinou věc: spustit agenta v chatu se zadáním opravit, co je potřeba, nebo předat vše potřebné k opravě do GitHub Issue. Každý vstup do Recovery režimu končí issue, i když agent opravu zvládl, aby se z opravy stal regresní test. Na pracovní stanici zatím stačí zkopírovat prompt do agentní aplikace operátora. Launchpad běží vždy; v Recovery režimu obsluhuje jen tuto opravnou akci. (3) **Záměr:** tlak na pořádné testy a CI/CD, které zachytí co nejvíc problémů, a důkazy z Environmentů, kde se Lazurio rozbilo. (4) **Machines se řídí stejným pravidlem** (Principál přijal doporučení): apply se dokončí, nebo nezačne, a nikdy se nevrací na dřívější release jako způsob opravy. Zůstává, protože to rollback není: atomické a předem validované nasazení konfigurace brány, obnova přerušeného applye, která ho dokončí vpřed, a rescue přístup poskytovatele jako nouzová cesta dovnitř. Odchází obnova předchozího rezidentního stromu a obnova předchozího release stromu T3 Code. Recovery pro Machines: nepovedený apply vrátí úplné důkazy agentovi, který rollout řídí; ten opraví vpřed novým Plánem, nebo založí issue. Agent uvnitř Mašiny opravuje jen vrstvu Lazuria. (5) **Oprava novým releasem, releases po stupních:** pipelines musí selhání Machines rozpoznat a opravit **novým** releasem. Releases se vydávají po stupních (kvalifikační VM, pilotní Organizace, potom další Organizace po krocích), takže chyba zasáhne jen úzký okruh uživatelů. (6) Release candidate Lazuria běží 8 hodin na pracovních VM pilotní Organizace a na osobních VM jejích operátorů, než se stane finálním releasem. (7) **Přijatý důsledek:** aktualizaci na první release bez rollbacku provádí ještě starý updater, takže při této jediné aktualizaci je možné jedno poslední přepnutí zpět. (8) **Kam issue jde:** Principál volbu delegoval na Task Agenta („nechám na tobě“) a ten rozhodl: automatické issue jde do veřejného repozitáře produktu a nese jen strukturovaná pole bez volného textu (verze, target, platforma, identifikátory selhaných kontrol, stav jednotky, revize Folderu a šablony), a to až po deterministické sanitizační bráně. Konec journalu ani žádný volný text Mašinu automaticky neopouštějí: zůstávají v lokálním recovery balíčku a do issue se dostanou, jen když je opravný agent přiloží poté, co je pod sanitizérem přečetl. Operátor issue nepotvrzuje; vidí přesné tělo, které Mašinu opustilo. Nová intake služba nevzniká; privátní intake se znovu zváží jen tehdy, když se strukturovaná issues ukážou jako nedostatečná pro opravy. **Vztah k dřívějším rozhodnutím:** v 0161 se nahrazuje zmínka o vlastním rollbacku LazurioPlatform v bodě (1); dodatek 0161 z 2026-09-28 platí dál (jeden updater, pin jako minimum, floor a high-water). Věta, že `lazurio update rollback` zůstává návratem z nepovedené aktualizace, se nahrazuje v 0164 i v dodatku F17 LazurioPlatform z 2026-09-28 (bod 3), ze kterého dodatek 0161 vychází. 0164 a 0166 jsou jedno pravidlo: oprava vpřed. 0163 se uplatňuje: issue z Recovery režimu je použití trvalého mandátu včetně kontroly duplicit a sanitizace. 0132 beze změny: shaping dál pojmenuje failure modes, odpovědí na ně je oprava vpřed. LazurioPlatform F13 se mění v části o rollbacku; atestace releasu a floor zůstávají. Texty Machines o rollbacku změní samostatné rozhodnutí Machines; hotové to není. 0033 (rollback linka migrace GEN2 → GEN3) se týká migrace Organizací, ne instalace Lazuria. **Dnes:** Recovery režim se staví. Veřejné pull requesty LazurioPlatform #64 a #65 jsou shaping drafty (navržené rozhodnutí F21) a implementace probíhá; nic z toho není vydané a vydané releases LazurioPlatform rollback dosud obsahují. |
-| 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku (postup applye je návrh shapingu; směr bez souběhu a bez cesty zpět je rozhodnutí Principála). Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin s převodem stavu, ne upgrade na místě, a pro Ownera musí být plynulá (Principál téhož dne v noci): výpadek kolem hodiny je přijatelný, ale SSH klíče, přihlášení ani Buddyho nesmí Owner nastavovat znovu. Identita Mašiny, identita uzlu v tailnetu, SSH host klíče a domov operátora včetně stavu Buddyho se obnoví a obnovu prokáže readback; Personalspace je navíc Git repozitář, takže jeho obsah na přenosu disku nestojí. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Otevřené:** náhled pull requestu na hostované Mašině. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. **Dodatek téhož dne (2026-09-28, po diskusi nad shapingem LazurioPlatform #65):** Principál rozhodl směr: náhled z webového T3 Code na Mašině dostane dočasnou URL Environmentu, kterou agent pro worktree zaregistruje stejně, jako dostávají hostname moduly — jako lease, která sama končí a nehromadí se (Principál: úklid po 24 hodinách, úklid, když port zemře). Přesná pravidla (TTL obnovované otevřením, konec při ukončení jednotky, uvolnění portu, odstranění worktree nebo merge PR, limit na Mašinu) jsou návrh shapingu B14 a nejsou rozhodnutí. Profil VM, tedy generovaný manuál Folderu, musí Agentům říkat, jak náhledy na hostované Mašině fungují, aby Operátorovi nikdy neposílali localhost link; dokud aplikace hostované jméno nemá, handoff to řekne místo odkazu. Zdroj z worktree zůstává mimo přepínací linku (P9 je pozdější řez). (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform; návrh shapingu, který Principál výslovně nepotvrdil, ale ani nezpochybnil). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu tam dostane dočasnou URL jako lease (dodatek bodu 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
+| 0167 | **Launchpad LazurioPlatform nahradí rezidentní Launchpad bez souběhu.** Principál 2026-09-28: „Pojďme zkusit dát maximální prioritu dotažení Launchpadu Platformy, ať tento souběh vůbec nemusíme řešit.“ a „vzít koncepty ze starého launchpadu a udělat je pořádně v novém Launchpadu“. (1) **Priorita a způsob:** dotažení Launchpadu Platformy má maximální prioritu. Koncepty rezidentního Launchpadu (Launchpad tohoto repozitáře, jak ho Machines provozují na hostovaných Mašinách) se v Launchpadu Platformy udělají pořádně a CLI first (`lazurio module …`, `lazurio organization …`), bez nového stavu ve Folderu. (2) **Přepnutí jedním applyem:** hostovaná Mašina přejde v jednom applyi Machines, který po read-only kontrolách odstraní rezidentní jednotku (postup applye je návrh shapingu; směr bez souběhu a bez cesty zpět je rozhodnutí Principála). Žádné období s oběma Launchpady, žádný přechodový hostname, žádná cesta zpět; Recovery režim (0166) musí být vydaný dřív. (3) **Platformy:** první použitelná verze míří na hostované Remote Environmenty na Linuxu. Linuxem se v první fázi rozumí Ubuntu; jiné distribuce se komunikují jako „neověřené“. Hostované osobní VM (0153) přejdou podle rozhodnutí Principála téhož dne večer při příštím rolloutu Machines na Ubuntu 24.04, aby každá hostovaná Mašina běžela na jedné distribuci; Debian 13 mají dnes jen proto, že je tak vytvořil skript hostitele poolu, a technický důvod ho držet není. Přechod je přestavba těchto Mašin s převodem stavu, ne upgrade na místě, a pro Ownera musí být plynulá (Principál téhož dne v noci): výpadek kolem hodiny je přijatelný, ale SSH klíče, přihlášení ani Buddyho nesmí Owner nastavovat znovu. Identita Mašiny, identita uzlu v tailnetu, SSH host klíče a domov operátora včetně stavu Buddyho se obnoví a obnovu prokáže readback; Personalspace je navíc Git repozitář, takže jeho obsah na přenosu disku nestojí. Konkrétní práce je navazující krok Machines a hotová není. macOS a Windows následují a jsou naplánované v obrysech; Windows až poté, co existuje build Platformy pro Windows. (4) **Co se záměrně nepřebírá (rozhodnuto):** Git klient v prohlížeči (vytvoření worktree z plánu, publikace draftu commitem a pushem), prohlížeč plánů Mission Controlu (Mission Control je aplikace Organizace a otevírá se jako každý modul), notifikace, „nejpoužívanější“ a nedávné změny. Důvod: Git dělají agenti v T3 Code s worktree disciplínou manuálu; stav odvozený z kliknutí nemá za sebou žádné rozhodnutí. **Stav při zápisu rozhodnutí (překonaný dodatkem níže):** náhled pull requestu na hostované Mašině byl otevřený. SSH port forwarding s odkazem na localhost funguje, jen když je k Environmentu přes SSH připojený agent na operátorově vlastním počítači (například Codex přes SSH); z webového T3 Code běžícího na Mašině ne. **Dodatek téhož dne (2026-09-28, po diskusi nad shapingem LazurioPlatform #65):** Principál rozhodl směr: náhled z webového T3 Code na Mašině dostane dočasnou URL Environmentu, kterou agent pro worktree zaregistruje stejně, jako dostávají hostname moduly — jako lease, která sama končí a nehromadí se; jako příklady toho, co „nehromadí se“ znamená, Principál uvedl úklid po 24 hodinách a ve chvíli, kdy port zanikne. Pravidla lease — včetně délky, obnovování, všech podmínek úklidu a limitu na Mašinu — jsou návrh shapingu B14 (LazurioPlatform #65) a rozhodnutí nejsou; rozhodnutý je jen směr. Profil VM, tedy generovaný manuál Folderu, musí Agentům říkat, jak náhledy na hostované Mašině fungují, aby Operátorovi nikdy neposílali localhost link; dokud aplikace hostované jméno nemá, handoff to řekne místo odkazu. Zdroj z worktree zůstává mimo přepínací linku (P9 je pozdější řez). (5) Organizace jen s `lazurio.organization.json` (0145) spouštějí aplikace; přechodová admission Platformy, která je dovolovala jen Organizacím ve stavu `transition`, končí. (6) Do nových pracovních Mašin klonuje Organizace agent v T3 Code podle manuálu, dokud Platforma neumí synchronizaci obsahu. (7) Commity, pull requesty a issues z Pracovního týmového Environmentu ponesou trailer `Lazurio-Environment: <machine>.<org>` vedle traileru `Lazurio-Workspace` z 0148, aby GitHub ukázal, které Environment je vytvořilo. Je to směr pro broker a Machines, postavený není. (8) Schválený nový shell Launchpadu, který podle plánu jiného Kolegy vzniká ve dvou fázích v rezidentním Launchpadu, je proof of concept; jeho výsledek je vstupem pro implementaci v Launchpadu Platformy. (9) `launchpad.gen3.json` ani `launchpad.gen3.local.json` nemají v LazurioPlatform nástupce (F15 LazurioPlatform; návrh shapingu, který Principál výslovně nepotvrdil, ale ani nezpochybnil). **Vztah k dřívějším rozhodnutím:** 0164: toto je část ukončení instalací Root Repa, která se týká Launchpadu. 0165 beze změny. 0047: builder-first Launchpad a Dashboard jako hostovaný admin a vstup Uživatelů Organizace zůstávají; mění se jen to, že Launchpad Platformy nenese prohlížeč plánů ani Git akce (bod 4). 0049: plan-owned worktrees a sidecar zůstávají pracovní disciplínou Agentů; mění se věta, že Launchpad spouští aplikace z worktrees podle plánů Mission Controlu. Launchpad Platformy spouští moduly z `main`; zdroj z worktree nepatří do přepnutí hostovaných Mašin, náhled pull requestu tam dostane dočasnou URL jako lease (dodatek bodu 4) a na pracovní stanici je zdroj z worktree pozdější řez. 0137 se mění: na Linuxu jsou moduly služby operačního systému (uživatelské jednotky systemd) a restart Launchpadu přežijí; na macOS zůstávají vázané na session; hostované Open, Stop a přímý odkaz platí dál. 0042 a pravidla discovery tohoto repozitáře platí jen pro instalace Root Repa do jejich migrace. 0146 (jména hostovaných Mašin) a 0157 (párování T3) beze změny. Launchpad instalací Root Repa se do jejich migrace nemění. **Dnes:** veřejné pull requesty LazurioPlatform #65 a #64 jsou shaping drafty, implementace první vlny probíhá a nic z toho není vydané. Rezidentní Launchpad dál obsluhuje každou hostovanou Mašinu až do vydání přepínacího releasu. |
 | 0168 | **Pracovní týmové Environment funguje s botem Organizace hned po předání; dočasná výjimka 0159 pro něj končí. Příkaz první instalace má přísnou podobu.** Principál 2026-09-28: „týmová VM má out of the box fungovat s přihlášeným botem organizace. Takže není potřeba přihlašovat gh.“ (1) Výjimka 0159, podle které se na týmové VM smělo přihlásit libovolným GitHub účtem, končí. Pracovní týmové Environment pracuje v GitHubu hned po předání přes bota Organizace (Lazurio for GitHub, 0147). (2) LazurioPlatform tam má osobní přihlášení `gh` i připojení SSH klíče odmítat a dovolit odhlásit osobní účet, který tam zůstal z dřívějška; Launchpad to už dělá (sloučený pull request LazurioPlatform #60, nevydaný), pravidlo v příkazu a na serveru je v otevřeném pull requestu #66 a vydané není. (3) Týmová VM, na které broker neběží, je vada Machines k opravě vpřed, ne důvod přihlásit člověka: Agent osobní přihlášení nenabízí a zapíše blocker. (4) Pro Pracovní Environment jednoho operátora a pro Osobní Environment platí 0159 beze změny až do vazby v Dashboardu. (5) **Příkaz první instalace** (0164 bod 6) má přísnou podobu `curl --proto '=https' --tlsv1.2 -fsSL https://lazurio.ai/install \| sh`. Důvod: instalační skript drží na HTTPS každé své stažení a přesměrování (LazurioPlatform F20); přísná podoba drží na HTTPS s TLS nejméně 1.2 i první krok, stažení skriptu samotného. **Vztah k dřívějším rozhodnutím:** 0159 se pro týmovou VM ukončuje, jinde platí. 0165 se mění ve větě o 0159: otevřenou otázku Principál rozhodl. 0147 a 0149 se potvrzují. 0164 bod 6 dostává přísnou podobu příkazu; ostatní body beze změny. |
 
 ## Workstation toolchain: PATH compatibility (2026-09-04)

From 39bc88d1fa0c6dc37ebb487ef9efe4391e51b9ba Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Mat=C4=9Bj=20Such=C3=A1nek?= <jsem@matejsuchanek.cz>
Date: Mon, 28 Sep 2026 16:24:30 +0200
Subject: [PATCH 8/8] =?UTF-8?q?0442=20round=204:=20the=20first-login=20man?=
 =?UTF-8?q?ual,=20the=20distributed=20workspace=20instructions=20and=20ARC?=
 =?UTF-8?q?HITECTURE=20agree=20=E2=80=94=20no=20personal=20sign-in=20witho?=
 =?UTF-8?q?ut=20a=20valid=20handover;=20the=20preview=20direction=20is=20d?=
 =?UTF-8?q?ecided?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Pablo's review 5340031936: the manual's summary at the top still said the
assignment never limits the sign-in and the distributed root-instructions
routed a missing or invalid assignment into the personal sign-in procedure,
contradicting the fail-closed rule below; ARCHITECTURE.md and the PR body
still called the pull-request preview an open question.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
---
 ARCHITECTURE.md                                 |  4 +++-
 .../profiles/workspace/root-instructions.md     | 17 +++++++++++------
 manual/hosted-machine-first-login.md            | 13 +++++++------
 3 files changed, 21 insertions(+), 13 deletions(-)

diff --git a/ARCHITECTURE.md b/ARCHITECTURE.md
index 17d5fd32..2fed33a3 100644
--- a/ARCHITECTURE.md
+++ b/ARCHITECTURE.md
@@ -278,7 +278,9 @@ Launchpad LazurioPlatform, který rezidentní Launchpad nahradí (decision 0167)
 tyto profily mění: na Linuxu jsou moduly služby operačního systému, spouští je
 Launchpad i CLI `lazurio module …` a restart Launchpadu přežijí; na macOS
 zůstávají vázané na session. Spouští moduly z `main`; volba worktree nepatří do
-přepnutí hostovaných Mašin a náhled pull requestu je tam otevřená otázka návrhu.
+přepnutí hostovaných Mašin; náhled pull requestu tam dostane dočasnou URL
+Environmentu jako lease (směr rozhodnutý dodatkem 0167, pravidla lease jsou
+návrh shapingu).
 Profily výše platí pro Launchpad instalací Root Repa do jejich migrace
 (decision 0164).
 
diff --git a/distribution/profiles/workspace/root-instructions.md b/distribution/profiles/workspace/root-instructions.md
index 8ac563a8..254dc928 100644
--- a/distribution/profiles/workspace/root-instructions.md
+++ b/distribution/profiles/workspace/root-instructions.md
@@ -46,12 +46,17 @@ Na hostované pracovní VM Organizace (`/etc/lazurio/lazurio.machine.json`,
 `machine.kind: workspace-vm`) se před první prací i před `lazurio update` řiď
 `manual/hosted-machine-first-login.md` v tomto runtime rootu. Na osobní
 pracovní VM dočasně (decision 0159) operátor přihlásí `gh` libovolným GitHub
-účtem; `owner.assignment` přihlášení neomezuje a jiný účet ani chybějící
-přiřazení nejsou blocker. Rozlišovacím znakem postupu je `owner.assignment.kind`:
-
-- `operator`, chybějící nebo neplatné přiřazení: osobní postup. Agent ověří,
-  že `gh` je přihlášený, a řekne operátorovi kterým účtem; přihlášení
-  a přehlášení provede operátor sám (Launchpad → Nastavení → Zdrojové kódy).
+účtem; platné přiřazení `operator` přihlášení neomezuje na konkrétní účet
+a jiný účet není blocker. Rozlišovacím znakem postupu je `owner.assignment.kind`
+z platného handoveru:
+
+- `operator`: osobní postup. Agent ověří, že `gh` je přihlášený, a řekne
+  operátorovi kterým účtem; přihlášení a přehlášení provede operátor sám
+  (Launchpad → Nastavení → Zdrojové kódy).
+- handover chybí, nevaliduje, nebo přiřazení není deklarované: Agent osobní
+  přihlášení **neprovede** — bez důkazu nejde vyloučit týmovou VM (decision
+  0168). Stav nahlásí operátorovi a požádá provozovatele Machines o ověření
+  handoveru; práce bez přihlášení pokračuje.
 - `team`: GitHub identitou je výhradně bot Organizace
   `lazurio-for-github[bot]`; osobní přihlášení Agent nespouští ani
   nenavrhuje. Chybějící broker je vada Machines k opravě vpřed, ne důvod
diff --git a/manual/hosted-machine-first-login.md b/manual/hosted-machine-first-login.md
index 88447a45..51bcf031 100644
--- a/manual/hosted-machine-first-login.md
+++ b/manual/hosted-machine-first-login.md
@@ -34,12 +34,13 @@ manuál popisuje rezidentní instalaci.
 ## Kdo se přihlašuje (decisions 0159 a 0168)
 
 Dokud vazbu Mašina → GitHub účet neřídí Lazurio Account v Dashboardu,
-přihlásí operátor osobní pracovní VM **libovolným GitHub účtem**.
-`owner.assignment` v `/etc/lazurio/lazurio.machine.json` přihlášení
-neomezuje: Agent kvůli chybějícímu, neplatnému ani odlišnému přiřazení
-neblokuje a jiný přihlášený účet není blocker. Týmová VM se osobním účtem
-nepřihlašuje nikdy: pracuje přes bota Organizace (níže, decision 0168).
-GitHub dál rozhoduje, co přihlášený účet smí.
+přihlásí operátor osobní pracovní VM **libovolným GitHub účtem**: platný
+handover s `owner.assignment.kind: operator` přihlášení neomezuje na
+konkrétní účet a jiný přihlášený účet není blocker. Týmová VM se osobním
+účtem nepřihlašuje nikdy: pracuje přes bota Organizace (níže, decision 0168).
+Bez platného handoveru, který druh Mašiny a přiřazení prokáže, Agent osobní
+přihlášení neprovede (viz rozlišení níže). GitHub dál rozhoduje, co přihlášený
+účet smí.
 
 ## Jak Agent pozná, o jakou Mašinu jde