完善智能体交互与画布美术生成

为 Supervisor 与部门 Director 接入统一 Interaction Loop 和持久 Runtime 调度
在配置画布 API Key 时强制委派美术 Agent 并复用规范素材
收紧画布生成角色权限、图片内容校验和项目锁并发边界
完善专业 Agent revision 验证、任务恢复与 Provider 兼容处理
补充自主协作、真实画布生成、运行时收束测试及技术文档

docs/project-memory/shared-memory/decision-log.md

@@ -5282,3 +5282,22 @@
 - 决策：`autonomous-game-build` initial wave 中，程序任务必须非只读且 `expectedArtifacts` 包含 `game/index.html`；质量任务必须显式只读、不得修改项目且 `expectedArtifacts=[]`。Provider 计划解析、batch prepare 与 durable batch 恢复均重验同一合同；Provider action batch 升级为 v3，仅 v3 应用新职责，升级前 v2 collaboration batch 与 v1 contractless batch 继续按原 fingerprint 和合同恢复。只读 specialist 的计划只允许纯读取与状态观察，任何文件、revision、命令、任务、记忆、黑板、资产或委派副作用都在执行前拒绝，格式修复只保留 `respond_to_user`。非只读 specialist 只有本人 run 已产生 mutation 且对应 revision 验证通过后才能回复；ready 未认领或 claim 未 observed 时只允许先执行 `agent.run_status`。
 - 语义边界：只读识别接受明确只读审查/验收和不得修改指令，不再把任意“只读”子串视为只读合同。`非只读 / 不要只读 / not read-only` 必须保持可修改；否则模型照抄修复提示中的“非只读实现任务”会永久触发同一格式修复错误。
 - 验收：阻塞终审修复前 Rust 串行全量为 `1163 passed / 5 ignored / 0 failed`；补入只读写入与 v3/v2/v1 恢复回归后共运行 1169 项并以退出码 `0` 完成，其中 5 项真实浏览器环境用例 ignored。Provider `148/148`、collaboration `142/142`、swarm CLI `37/37`、autonomous `24/24` 和 App Surface `294/294` 通过。当前树确定性 Runner + Chrome 为 `17/17` lifecycle、revision `0 -> 2`、试玩 `37/37`。最新独立真实外部轮次单次输入后立即 EOF，一个原始专业任务失败后由唯一 repair 恢复，父 Supervisor completed，revision `0 -> 6`、`game/index.html=8080 bytes`、真实 Chrome `37/37`、唯一 Supervisor assistant；`88` 个 lifecycle 全部 terminal，`75 completed / 13 failed` 和 `12` 条 durable retry audit 保留真实失败证据并自行恢复，终局人工输入、open lifecycle、sidecar、reconciliation、重复与泄漏均为 `0`，Runner、项目和隔离 AppData 自动清理。
+
+## 2026-07-24 Supervisor 与部门 Director 使用统一 Interaction Loop
+
+- 背景：`--swarm-chat` 曾在模型调用前用字符串包含判断选择 Chat / Execute / Resume，否定句、复合请求和未列入词表的工作请求都会误路由；busy Runtime 期间的裸聊天还可能绕过 Agent lane 并与原 run 交错写同一 Session。
+- 决策：删除自然语言关键词分类和硬编码自然语言直答。Project Supervisor 与角色目录中 `role.id=director` 的六个部门负责人使用统一 interaction loop；自然语言回复与 `project_location / runtime_execute / runtime_resume` 都来自同一次 Provider turn 的直接文本或原生 function tool。叶子专业 Agent 保持合同执行者，不接入该外层决策能力。
+- Canonical 输入：`runtime_execute` 不允许模型提交 task 参数，真正入队始终使用用户原始消息，避免模型改写时丢失否定、范围和验收条件。非原生 tool Provider 使用同构严格 JSON envelope 适配；模型只能提出 intention，不能选择 runId、越过权限或直接执行项目副作用。
+- 并发与 Runner：`SwarmChat` 恢复为 External Runner 写入口，启动前必须显式使用项目外 AppData。已有 active Goal 或 busy Runtime 时，新输入只进入同 run durable steer；空闲 direct reply 的 user / assistant 在 Agent Session lane 内成对落盘。`/resume` 是显式控制命令，不能再由“继续”等字符串特判。
+- 扩展边界：首版 interaction capability 由一个定义同时派生工具名、描述、schema 和 dispatch kind，作为后续统一 Tool Registry 的窄入口。现有 Runtime Store、Tool Host、Goal、delegation、sandbox、revision、verification、finalization 和 exactly-once 保持自研且不迁入 Prompt 或 Skill；本轮不引入 Pi Node sidecar，也不宣称已完成全量工具 registry、PromptSection 或 Cargo crate 拆分。
+- Provider 兼容：真实 OpenAI-compatible smoke 发现部分网关会在纯文本回复中返回 `tool_calls: null`；`platform-llm` 将该字段按缺省空列表解析，并保留真实工具调用数组语义。
+- 验证：interaction parser `7/7`、swarm CLI `39/39`、Runner/config 门禁回归和 `platform-llm` null-tool-calls 回归通过。隔离 AppData 的真实 Provider 连续验证了身份直接回复、否定执行的架构解释、模型选择 `project_location` 和模型选择 `runtime_execute`；执行轮产生 `[已投递]` 后以 `turn.report outcome=settled`、busy/pending/reconciliation 均为 `0` 收束。
+
+## 2026-07-24 自主构建按画布配置强制生成首版美术素材
+
+- 背景：`agc:test:chat` 已把正式 AppData 中的 `editorApi.baseUrl / editorApi.apiKey` 私有复制到隔离配置，但 `autonomous-game-build` 缺省首批只固定 `code-prototype / quality-review`，因此真实运行可以只交付自包含 `game/index.html`，完全不调用已配置的 External Editor API。
+- 决策：当有效运行时配置中的 `editorApi.apiKey` 非空且项目还缺少规范首版美术素材时，缺省 Supervisor 协作策略把 `art-asset-plan` 加入首批必需静态 Agent，与程序和只读质量审查同批委派；已有自定义项目协作策略只补入这一美术职责，不额外注入缺省的程序和质量职责。美术委派必须是非只读生成任务，`expectedArtifacts` 必须包含 `assets/art-spritesheet.png`；继续复用既有专业完成门禁，只有真实图片存在、manifest 登记为 `canvas / image/* / art-spritesheet` 后才能完成。已有同路径、同 kind、`canvas` 来源且本地文件存在的有效素材时，后续修复轮不重复生成或扣费。
+- 自主权限：`canvas.asset_generate` 只在 `autonomous-game-build` profile 的 `design-foundation / art-asset-plan` 视觉职责中加入固定 auto-safe 白名单，使单次无人值守测试可以使用用户已经配置的画布 API Key；Supervisor、程序和其他非视觉 Agent 一律拒绝该工具，避免多个并行 Agent 对同一规范路径重复生成和扣费。普通 Runtime 仍沿用项目确认策略，显式 `deniedCommands` 在自主 profile 中也继续优先拒绝。Key 未配置时缺省首批仍保持程序与质量审查，不伪造画布生成能力或素材产物。
+- 并发边界：External Editor 项目、素材库、生图和下载请求都在项目锁外执行，请求阶段只能读取现有 manifest 快照，不能补 seed task 或重写 manifest；下载完成后先按声明的图片类型校验 PNG/JPEG/WebP/GIF 魔数，再取得项目写锁，复核协作边界与输出路径并提交文件、manifest、revision 和验证凭证。专业 Agent 的完成门禁要求同一 run 的 `verifiedRevision >= mutationRevision`，不能被并行 Agent 的后续全局 revision 误判为过期，也允许更晚 revision 的复验覆盖本人修改；当前全局 revision 的集成验证仍由 Project Supervisor 精确负责。
+- 复用边界：已有规范素材只有同时满足固定路径、`art-spritesheet / image/* / canvas` 登记、本地普通文件存在且 PNG 签名有效时才跳过生成；空文件、伪 PNG 或损坏占位必须重新进入美术委派。
+- 恢复边界：首批 policy snapshot、durable provider batch 与恢复校验继续绑定同一 required Agent 集合；格式修复必须根据当前 policy 补齐可选的 `art-asset-plan` 固定产物合同，不能只修复程序与质量委派后绕过美术交付。