fable×Workflow gate — F5/F7/F8/F10 (6-AI verify follow-up of #18)

[kiki830621]

Context

Follow-up from the retroactive 6-AI verify of #18 (master report). The three HIGH findings + two MEDIUM (F1 warn-bypass, F2 escape-hatch, F3 typo-message, F4 is_fable-lowercase, F6 wording) were fixed in 27cb144 (v1.12.1). This issue tracks the remaining, non-blocking findings — scope-expansion + theoretical + one pre-existing.

Findings (verify #18, deferred)

• F5 (MEDIUM) — Agent side-door. A single turn can emit multiple parallel Agent tool-use blocks (a sanctioned pattern); none trip the fable gate, which only fires on tool_name == "Workflow". So up to MAX_IN_WINDOW concurrent fable-tier Agent dispatches can launch with no fable-aware protection (the per-bucket burst guard still counts them, so there is some backstop). pacing-guard.py:513 (DA.) Options: extend fable-awareness to a fan-out of Agent blocks, or explicitly document that the burst guard is the intended backstop for parallel-Agent fable bursts. Decide which — right now it's an unstated gap.

• F7 (LOW) — is_fable() prefix has no word boundary. "claude-fablecraft-1".lower().startswith("claude-fable") → True. Purely theoretical given Anthropic's family-dash-version naming, but re.match(r"claude-fable(?:-|$)", model.lower()) would tighten without losing real variants (claude-fable-5, dated suffixes, bare claude-fable). pacing-guard.py:213-217 (Logic + Codex.)

• F8 (LOW) — is_fable() bakes in "fable ⇒ expensive" with no tier gate. The gate assumes every claude-fable* id is the expensive top tier. If Anthropic ever ships a cheap fable variant, it'd be wrongly denied. Theoretical; revisit if the fable line ever gains tiers. (DA.)

• F10 (LOW, pre-existing — NOT a pacing-guard 應擋「Fable 5 session 開 Workflow」（fable5 + 寬 fan-out = 必炸；hook 機制已備、缺 fable 辨識 + deny 分支） #18 regression) — burst-deny message leaks the absolute data_dir path. The existing burst-deny context (pacing-guard.py, the count >= max_in_window branch) interpolates the real absolute data_dir / disabled / max-override paths, which include the local username. pacing-guard 應擋「Fable 5 session 開 Workflow」（fable5 + 寬 fan-out = 必炸；hook 機制已備、缺 fable 辨識 + deny 分支） #18's fable-deny was noted by the security reviewer as more conservative before this fix; the v1.12.1 fix now also interpolates the real path into the fable-deny escape-hatch instruction (deliberate — actionability requires a copy-pasteable path, and it's shown in the user's own terminal). If path-in-deny-message is judged a real concern, it should be addressed uniformly across all deny sites (or accepted as "shown only to the owning user"). (Security, incidental.)

Not in scope / accepted residue

The blanket-deny false positive (a fable5 workflow with every agent() already pinned to a cheap model is still denied) remains the acknowledged Residue from #18's diagnosis — a PreToolUse hook can't parse-and-prove every agent() is pinned reliably, so blanket-deny + the (now mid-session-actionable, per F2 fix) off/warn override is the intended approximation. The v1.12.1 fixes made the override work; they don't remove the residue.

[kiki830621]

F5 (Agent side-door) — 實證 incident + cross-link

本 session（PsychQuant/logos 五輪 6-AI IDD verify：#57 round-1+2 / #58 / #59 / #61）撞上 Fable 5 usage limit，正好實證了 F5 描述的 Agent side-door：

• 每輪 verify，FABLE×WORKFLOW guard 都正確 deny 了 Tier 1（pai-ensemble via Workflow）。
• Fallback 到 Tier 3 manual Agent fan-out（單一 turn emit 5 個 parallel reviewer Agent blocks + 背景 codex-call）——如 F5 所述，這些 Agent dispatch 不觸發 fable gate（gate 只在 tool_name == "Workflow" fire），只有 per-bucket burst guard 這條非-fable-aware 的 backstop 在數。
• 五輪累積，這條 Agent side-door 是 quota 消耗的一大來源。

所以 F5 的「decide which（extend fable-awareness to Agent fan-out / 或明文記 burst guard 是 intended backstop）」不是純理論——這個 session 已經踩到。傾向：至少把「單一 turn 的 parallel Agent fan-out 寬度」納入 fable-aware 計數（與 estimate_workflow_fanout 對 Workflow 做的事對稱）。

互補的另一半：F5 是 PreToolUse 可觸及的面（Agent blocks 數得到）。但本 session 的 Fable 5 消耗還有一大塊來自 main-loop coordinator 被 idle-notification 反覆喚醒——那條 PreToolUse hook 結構上到不了，已另開 24 追蹤（rate-limit-proxy #7/#8 家族才量得到）。兩者合起來才是完整的「guard 看不見的 fable 消耗面」。

Refs 24

[kiki830621]

F5 resolution decision — 「single-Fable-per-session」rule

使用者 2026-07-07 拍板 F5 body 裡「decide which」的那個決定：選 extend fable-awareness to Agent fan-out，具體 policy 是——

一個 session 最多只能有一個 Fable 5 stream，而那個 stream 是 main-loop coordinator。

Rule 語意

在一個 main-loop model 是 Fable 級的 session 裡：

• main loop = 該 session 唯一正當的 Fable 5 消耗者（那個「一」）。
• 任何 spawn 出來、會跑在 Fable 上的 Agent / Workflow dispatch → deny，要求 pin 更便宜的 tier。
• 「會跑在 Fable 上」的判定（fail-closed）：model: fable* 顯式指定 OR model 未指定而會繼承 session 的 fable。未指定一律當 fable（這正是「unpinned fan-out 全繼承 fable5」doctrine 的機械化）。

為什麼這條 PreToolUse 擋得到（對比 #24）

面	PreToolUse 可見？	這條 rule
`Workflow` 啟動	✅	已 gate；unpinned 繼承 fable → deny（現況一致）
`Agent` fan-out（F5 side-door）	✅	新增：session=fable ∧ Agent.model∈{fable, 未指定} → deny/warn「pin cheaper」
main-loop coordinator burn	❌（結構上到不了）	不涵蓋 → 見 #24

判定邏輯草案（pacing-guard.py）

```
on PreToolUse(tool ∈ {Workflow, Agent}):
if not is_fable(session_main_loop_model): # 非 fable session 不管
allow
else:
dispatched_model = explicit model arg or session_main_loop_model # 未指定 → 繼承 → fable
if is_fable(dispatched_model):
deny("session 已有一個 Fable 5（coordinator）；spawn 的 agent/workflow 必須 pin sonnet/haiku/opus")
else:
allow # 已 pin 便宜 model
```

Workflow 端可比現行更寬鬆一階：從「一律 deny Workflow」放寬成「script 內所有 `agent()` 都 pin 非-fable 才 allow」——但 unpinned 仍 deny（因 unpinned 繼承 fable）。是否放寬 vs 維持硬 deny 可另議；Agent 端的擴充是本 decision 的核心新增。

Scope 邊界（誠實）

• 修：F5（Agent side-door）+ Workflow 繼承 → 淨效果 at-most-one-Fable-stream。
• 不修：pacing-guard 覆蓋面缺口：main-loop coordinator burn — PreToolUse hook 結構上看不到 fable 消耗 #24（coordinator 自己那唯一 slot 的重複 burn）——這條 rule 刻意保留一個 Fable slot 給 main loop，不 bound 它的消耗。pacing-guard 覆蓋面缺口：main-loop coordinator burn — PreToolUse hook 結構上看不到 fable 消耗 #24 仍需 rate-limit-proxy（rate-limit-proxy Phase 2：依真實 budget 主動排程（delay / 佇列 / block） #7/部署 Phase 1 rate-limit-proxy：launcher + ANTHROPIC_BASE_URL 導流 + 觀測期（blocks #7；sister concern from #7） #8）才量得到。

Source: 使用者 2026-07-07（本 session 撞 Fable 5 上限後）。Refs #24。

[kiki830621]

F5 resolved（released v1.13.0，d7ca53b）

F5（Agent side-door）定案 = fable-aware advisory（非 deny、非純文件）：Fable 5 session 直接開 Agent 且 subagent 沒 pin model（會繼承 fable5）或 pin 到 fable → systemMessage 提醒把 Agent 的 model pin 到 sonnet/haiku。

設計判斷（issue 標的「extend gate vs document」）：單一 Agent 不是 Workflow-scale fan-out（Workflow≈74 subagent），硬 deny 過度；多個並行 Agent 的爆量由既有 burst guard（per-bucket MAX）擋——PreToolUse 每個 Agent 分開 fire、看不到一 turn 的並行度。所以取 advisory（與 #19 Workflow fan-out advisory 同構），pin 非-fable → 靜默，同受 _WORKFLOW_NUDGE 開關、fail-open。5 tests（107 綠）。

互補的 #24（main-loop coordinator burn）是 PreToolUse 結構上到不了的另一半 → 歸 rate-limit-proxy #7。

---

本 issue 保持 OPEN——F7/F8/F10 仍是 accepted residue（低優先、理論性，非本輪 scope）：

• F7 — is_fable prefix 無 word boundary（claude-fablecraft 理論誤中；Anthropic 命名慣例排除）
• F8 — is_fable 假設 fable⇒expensive、無 tier gate（純理論）
• F10 — 既有 burst-deny 訊息洩漏絕對路徑/username（跨所有 deny 點統一處理較合理）