기능: 브라우저 저장소 내구 경계를 제품화

persistent와 best-effort mode, 거친 usage 및 quota 관찰을 versioned receipt로 공개한다.

OPFS와 IndexedDB quota 실패를 안정 code로 정규화하고 기존 상태와 HEAD를 보존한다.

origin 밖 witness가 전체 OPFS 삭제를 첫 부팅이 아닌 명시적 축출로 판정한다.

문제: estimate 값은 쓰기 예약이 아니며 삭제된 bucket 내부만으로 축출 탐지와 복구를 할 수 없었다.

음성 시험: 256 KiB quota에서 4 MiB 쓰기는 실패하고 placeholder와 Machine HEAD가 남지 않았다.

검증: npm test 13/13, contracts 40, types, package, installed 34/34, browser 13/13.

검증: storage durability, Control 26/26, WebComputer 13/13, WebMachine 5/5가 GREEN이었다.

검증: skills, provenance, engine independence와 repoGraph가 GREEN이었다.

Author: eddmpython

index.d.ts

@@ -31,6 +31,8 @@ export type PyProcErrorCode =
   | "PYPROC_JOURNAL_IO"
   | "PYPROC_STATE_CORRUPT"
   | "PYPROC_STATE_FENCE_STALE"
+  | "PYPROC_STORAGE_QUOTA_EXCEEDED"
+  | "PYPROC_STORAGE_EVICTED"
   | "PYPROC_RPC_OUTCOME_UNKNOWN"
   | "PYPROC_LEADER_UNAVAILABLE"
   | "PYPROC_SPLIT_BRAIN"

mainPlan/9-agentComputerStandardReadiness/README.md

@@ -16,7 +16,7 @@
 |---|---|---|---|
 | agent 진입점 | 매우 강함, 장기 수명주기 검증은 계속 | exact install 뒤 package engine 자동 선택, effect-free doctor, 네 adapter의 같은 CPython 첫 결과가 공개 계약으로 완결 | M3 컴퓨팅 몸체 확대와 독립 구현 conformance |
 | 눈과 팔 | 매우 강함, 완성 아님, 북극성 9.5 | APX Situation, 20회 무잔류 수명주기, bounded action 수렴, 실제 hardware compute와 pixel 결과 영수증 | 두 번째 독립 hardware와 browser 구현의 visual conformance |
-| 비-agent 컴퓨팅 몸체 | 훌륭한 브라우저 컴퓨터, 로컬 OS 완전 대체는 아님, 북극성 8.7 | owned CPython, worker process, OPFS disk, checkpoint, Machine image, Python과 x86 guest gate, hardware GPU 결과 gate, source-pinned SIMD와 NumPy 2.5.1 data package | shared-memory thread, wasm 도구층, Node guest, 과학 패키지 폭, quota 축출 계약 |
+| 비-agent 컴퓨팅 몸체 | 훌륭한 브라우저 컴퓨터, 로컬 OS 완전 대체는 아님, 북극성 8.7 | owned CPython, worker process, OPFS disk, checkpoint, Machine image, Python과 x86 guest gate, hardware GPU 결과 gate, source-pinned SIMD와 NumPy 2.5.1 data package, quota 실패와 OPFS 축출의 명시적 계약 | wasm 도구층, Node guest, 과학 패키지 폭, 외부 사본 기반 축출 복구 |
 | 단독 자립성 | Python 기본과 data Machine은 높음, 전체 WebComputer는 미완성 | source-built CPython, stdlib, NumPy가 npm에 포함되고 기본 부팅과 package install의 제3자 요청은 0 | x86 emulator와 firmware의 독립 재현, 외부 hardware runner 등록, 브라우저 범위 확대 |
 | 웹 표준 후보 가능성 | 기반은 있음, 후보라고 부르기에는 이름 | WebAssembly, Worker, cross-origin isolation, bucket file system 같은 표준 기반 위에 제품 계약이 동작 | vendor-neutral specification, 독립 구현, WPT형 conformance, 공개 incubation과 wide review |
 
@@ -123,7 +123,10 @@ implementation experience는 독립적이고 상호운용 가능한 구현, 저
 - 완료: `parallelProcesses.sharedMemoryThreads`의 현재 경계를 exact packed Control로 실측했다. 설치 엔진은
   `worker-processes` mode이고 Python shared-memory thread는 미지원이다. build lock, manifest,
   `machine.inspect()`와 실제 Python 실패가 같은 versioned capability를 보고한다.
-- 진행 중: `durableDisk.quotaEviction`, `localPythonParity.wasmToolLayer` 순서로 소진한다.
+- 완료: `durableDisk.quotaEviction`을 exact packed Control과 실제 OPFS에서 닫았다. best-effort와
+  persistent mode, rough estimate, quota 실패 안전성, 외부 witness 기반 축출 탐지를 한 계약으로 봉인했다.
+- 진행 중: `localPythonParity.wasmToolLayer`를 소진한다. durable disk의 다음 ceiling은
+  `evictionRecoveryCopy`다.
 - upstream이 열어 주는 thread와 dynamic linking은 capability detection과 exact failure로 받는다.
 - wasm 도구층을 먼저 넣고 Node guest는 같은 Machine lifecycle과 image 계약을 통과시킨다.
 
@@ -456,8 +459,8 @@ implementation experience는 독립적이고 상호운용 가능한 구현, 저
   `sha256:698ca96aeb85d96e150045b46751cbd1bd7f22ee6167e088d5eedc044b35b099`다. 첫 실행의 255.8초 중
   240초는 probe가 승리한 Promise 뒤 패배한 timeout timer를 취소하지 않은 잔류였고, 이를 고친 같은
   시나리오는 24.1초에 종료됐다.
-- 다음 직렬 작업: `durableDisk.quotaEviction`을 실제 OPFS quota와 persistence 경계에서 음성 probe로
-  고정한다. 임의 PyPI native wheel 지원은 dynamic linking 전까지 주장하지 않는다.
+- 후속 `durableDisk.quotaEviction`은 아래 10절에서 완료했다. 임의 PyPI native wheel 지원은 dynamic
+  linking 전까지 주장하지 않는다.
 
 ## 9. 해결 판정: shared-memory thread capability boundary
 
@@ -480,4 +483,35 @@ implementation experience는 독립적이고 상호운용 가능한 구현, 저
 - 안전 경계: 브라우저 host 제어 채널의 공유 버퍼는 Python heap 공유를 뜻하지 않는다. shared WASM memory,
   thread spawn import, 실제 Python thread join과 checkpoint quiescence가 같은 gate를 통과하기 전에는
   `shared-memory` mode를 선언하지 않는다.
-- 다음 직렬 작업: `durableDisk.quotaEviction`이다.
+- 다음 직렬 작업이었던 `durableDisk.quotaEviction`은 아래 10절에서 완료했다.
+
+## 10. 해결 판정: browser storage quota와 OPFS 축출
+
+- 첫 RED: exact packed Control과 Edge 151의 fresh origin은 `persisted=false`이고 OPFS sentinel 왕복에는
+  성공했지만 제품에는 persistence mode, quota failure, cold-start eviction을 설명하는 계약이 없었다.
+  첫 screenshot SHA-256은
+  `1ab44fd1bac6228170a60f34fe0200830eafb4ab730771a49d9dbe3173fed575`다.
+- 첫 불일치: `navigator.storage.estimate()`는 usage 401 bytes, quota 10,737,418,641 bytes를 보고했지만
+  같은 origin의 browser 제어 관찰은 quota 592,332,401,049 bytes였다. test control로 quota를 262,144
+  bytes로 고정한 뒤 4 MiB OPFS 쓰기는 즉시 `QuotaExceededError`였다. estimate는 예약이나 사전 허가가
+  아님을 실제 실패로 확인했다.
+- 제품 계약: `pyproc.storage-durability/1`이 persistent와 best-effort mode, rough estimate,
+  `PYPROC_STORAGE_QUOTA_EXCEEDED`, `PYPROC_STORAGE_EVICTED`를 공개한다. persistence 요청은 명시 호출로만
+  수행하고 quota 실패를 자동 재시도하지 않는다.
+- 실패 안전성: 내용 주소 object 쓰기가 quota로 실패하면 기존 sentinel과 witness는 그대로이고, 파일
+  handle 생성 뒤 남을 수 있던 거짓 빈 object는 제거된다. 같은 정규화가 state OPFS store, kernel VFS,
+  IndexedDB Machine store의 공개 실패 경계에 적용된다.
+- 축출 경계: origin 밖에 보관한 `pyproc.storage-eviction-witness/1` receipt가 있으면 OPFS 전체 삭제 뒤
+  fresh root를 조용한 첫 부팅으로 보지 않고 `PYPROC_STORAGE_EVICTED`로 끝낸다. 지워진 bucket 안에는
+  복구할 바이트가 남지 않으므로 local self recovery는 false이고 외부 Machine 사본이 필요하다.
+- 표준 근거: [WHATWG Storage Standard](https://storage.spec.whatwg.org/)는 default bucket을 best-effort로
+  두고 storage pressure에서 통째로 제거할 수 있으며 persistent bucket은 origin 또는 사용자의 개입 없이
+  제거하지 않는다고 정의한다. [Chrome DevTools Protocol Storage domain](https://chromedevtools.github.io/devtools-protocol/tot/Storage/)의
+  usage/quota 관찰, exact-origin quota override, storage clear는 제품 의존성이 아니라 음성 시험 control로만
+  사용했다.
+- 제품 증거: `npm run test:storage-durability`이 exact tarball, 공개 `pyproc-control`, headed Edge,
+  실 OPFS에서 quota 실패, placeholder 부재, 이전 상태 생존, 외부 witness 검증, 전체 OPFS 삭제 뒤 eviction을
+  한 시나리오로 검증한다. 최종 922 x 920 screenshot은 직접 눈검수했으며 SHA-256은
+  `a1f30604693daf312a5fdd4399b8c08a50555c8f9d96d991cc3d8361aecdfc8c`다.
+- 다음 직렬 작업: `localPythonParity.wasmToolLayer`다. durable disk 자체의 다음 ceiling은 외부 Machine
+  사본을 witness에 묶어 전체 browser bucket 삭제 뒤 복원하는 `evictionRecoveryCopy`다.

mainPlan/README.md

@@ -19,7 +19,8 @@
 
 현재 미완료 이니셔티브는 [9-agentComputerStandardReadiness](9-agentComputerStandardReadiness/README.md)다.
 M2의 hardware GPU 결과 oracle과 M3의 NumPy 2.5.1 static data profile, thread capability boundary까지
-완료했다. 다음은 `durableDisk.quotaEviction`부터 직렬로 이어간다.
+완료했다. browser storage quota와 OPFS 축출의 명시적 계약도 닫았다. 다음은
+`localPythonParity.wasmToolLayer`부터 직렬로 이어간다.
 
 이 번호는 agent-computer 포트폴리오의 실행 순서다. North Star ceiling ladder의 기존 번호와 우선순위를
 대체하지 않는다.

package.json

@@ -118,6 +118,7 @@
     "test:action-convergence": "node tests/browser/actionConvergenceProduct.mjs",
     "test:hardware-visual-oracle": "node tests/browser/hardwareVisualOracleProduct.mjs",
     "test:browser": "node tests/browser/run.mjs",
+    "test:storage-durability": "node tests/browser/storageDurabilityProduct.mjs",
     "test:examples": "node tests/browser/examples.mjs",
     "bench:speed": "node tests/browser/speedBench.mjs",
     "bench:artifact": "node tests/browser/benchArtifact.mjs",

scripts/browserControl/browserControlPolicy.js

@@ -38,6 +38,7 @@ export const BROWSER_CONTROL_COMMAND_RISKS = Object.freeze({
   "Runtime.enable": "read",
   "Runtime.getProperties": "read",
   "Runtime.releaseObject": "read",
+  "Storage.getUsageAndQuota": "read",
   "DOM.focus": "mutate",
   "DOM.setAttributeValue": "mutate",
   "DOM.setFileInputFiles": "externalEffect",
@@ -58,6 +59,7 @@ export const BROWSER_CONTROL_COMMAND_RISKS = Object.freeze({
   "Runtime.callFunctionOn": "externalEffect",
   "Runtime.evaluate": "externalEffect",
   "Storage.clearDataForOrigin": "externalEffect",
+  "Storage.overrideQuotaForOrigin": "externalEffect",
 });
 
 export const BROWSER_CONTROL_DEFAULT_READ_METHODS = Object.freeze([
@@ -177,7 +179,13 @@ export class BrowserControlPolicy {
     const input = params && typeof params === "object" ? params : {};
     if (method === "Page.navigate") this._authorizeCommandUrl(input.url);
     if (method === "Fetch.continueRequest" && input.url !== undefined) this._authorizeCommandUrl(input.url);
-    if (method === "Storage.clearDataForOrigin") this._authorizeExactOrigin(input.origin);
+    if (["Storage.clearDataForOrigin","Storage.getUsageAndQuota","Storage.overrideQuotaForOrigin"].includes(method)) {
+      this._authorizeExactOrigin(input.origin);
+    }
+    if (method === "Storage.overrideQuotaForOrigin"
+      && (input.quotaSize !== undefined && (!Number.isSafeInteger(input.quotaSize) || input.quotaSize < 0))) {
+      this._denyCommandTarget();
+    }
     if (method === "Network.setCookie") {
       if (!input.url || input.domain) this._denyCommandTarget();
       this._authorizeCommandUrl(input.url);

scripts/engineIndependence/evidenceRegister.json

@@ -1,6 +1,6 @@
 {
   "schemaVersion": 1,
-  "updatedAt": "2026-08-15",
+  "updatedAt": "2026-08-16",
   "recordPolicy": "PROVEN_LOCAL entries are immutable measurement snapshots. Commands and artifact paths inside those snapshots describe the observed run and can refer to retired research probes. Use currentProductGates for supported, runnable verification.",
   "currentProductGates": [
     {
@@ -27,6 +27,11 @@
       "path": "tests/packageGate.mjs",
       "lane": "packed artifact",
       "command": "npm run test:package"
+    },
+    {
+      "path": "tests/browser/storageDurabilityProduct.mjs",
+      "lane": "browser storage durability",
+      "command": "npm run test:storage-durability"
     }
   ],
   "evidence": [
@@ -937,6 +942,74 @@
       "retrievedAt": "2026-08-16",
       "claim": "the Preview 1 thread spawn proposal is Phase 1 and retained as a legacy path while future work moves to shared-everything threads"
     },
+    {
+      "evidenceId": "local-browser-storage-durability-20260816",
+      "classification": "PROVEN_LOCAL",
+      "environment": {
+        "os": "Windows 11",
+        "browser": "Microsoft Edge 151.0.4129.86",
+        "node": "22.19.0",
+        "control": "exact packed public pyproc-control",
+        "storage": "real OPFS"
+      },
+      "commands": [
+        "npm run test:storage-durability"
+      ],
+      "result": "a forced quota failure returned one stable error, preserved prior OPFS state and the eviction witness, removed the new empty placeholder, and a total OPFS clear became an explicit eviction when checked against an external receipt",
+      "measurements": {
+        "persisted": false,
+        "navigatorUsageBytes": 401,
+        "navigatorQuotaBytes": 10737418641,
+        "controlQuotaBeforeBytes": 592332401049,
+        "forcedQuotaBytes": 262144,
+        "attemptedWriteBytes": 4194304,
+        "placeholderAfterFailure": false,
+        "localSelfRecoveryAfterClear": false,
+        "firstRedScreenshotSha256": "1ab44fd1bac6228170a60f34fe0200830eafb4ab730771a49d9dbe3173fed575",
+        "finalScreenshotSha256": "a1f30604693daf312a5fdd4399b8c08a50555c8f9d96d991cc3d8361aecdfc8c",
+        "finalScreenshotBytes": 104134,
+        "viewport": "922x920"
+      },
+      "invariants": [
+        "storage estimates are rough observations and never write reservations",
+        "persistence is requested only by an explicit caller operation",
+        "quota rejection is not retried automatically",
+        "a failed new OPFS write leaves no false object while preserving prior data",
+        "cold-start eviction detection requires a receipt held outside the origin",
+        "deleted bytes require an external Machine copy for recovery",
+        "browser debugging protocol methods are test controls and not runtime dependencies"
+      ],
+      "artifacts": [
+        {
+          "role": "productGate",
+          "file": "tests/browser/storageDurabilityProduct.mjs"
+        },
+        {
+          "role": "firstRedProbe",
+          "file": "tests/attempts/stateKernel/ownedStorageDurabilityProbe.mjs"
+        },
+        {
+          "role": "browserGreenScreenshot",
+          "viewport": "922x920",
+          "byteLength": 104134,
+          "sha256": "a1f30604693daf312a5fdd4399b8c08a50555c8f9d96d991cc3d8361aecdfc8c"
+        }
+      ]
+    },
+    {
+      "evidenceId": "upstream-whatwg-storage-20260816",
+      "classification": "UPSTREAM_CONTRACT",
+      "url": "https://storage.spec.whatwg.org/",
+      "retrievedAt": "2026-08-16",
+      "claim": "default local buckets are best-effort, usage and quota are implementation-defined estimates, and storage pressure can clear a best-effort bucket as a unit"
+    },
+    {
+      "evidenceId": "upstream-cdp-storage-20260816",
+      "classification": "UPSTREAM_CONTRACT",
+      "url": "https://chromedevtools.github.io/devtools-protocol/tot/Storage/",
+      "retrievedAt": "2026-08-16",
+      "claim": "the Storage domain provides usage and quota observation plus experimental exact-origin quota override and data clearing used only as product test controls"
+    },
     {
       "evidenceId": "upstream-wasi-sdk-threads-20260816",
       "classification": "UPSTREAM_CONTRACT",

skills/catalog.json

@@ -1,8 +1,8 @@
 {
   "format": "pyproc-skill-catalog",
   "version": 1,
-  "generatedFromDigest": "sha256:5d4c9baaed1223d534fabbbaac561a08e606a47f2f0f14a2e93db56272c1e0e1",
-  "catalogDigest": "sha256:de9244f652c8b57bfa6df1985580122477e515d8f522c411ab61b29bd6716644",
+  "generatedFromDigest": "sha256:35ed6163ebacbc2c52e6714e30768969ddee473af8ceae5b4d5db13204ae8e89",
+  "catalogDigest": "sha256:ef928ed8844df7de08ea519e88b0aa2c48110efca893bb9eb4f40205c7a3231f",
   "skills": [
     {
       "name": "automate-browser-with-pyproc",
@@ -314,8 +314,8 @@
     },
     {
       "path": "skills/evolve-pyproc/references/contract-reality.md",
-      "bytes": 3043,
-      "sha256": "sha256:eed3b62e60369482cae3aeeddb03f3dbdbe454c897e7c6e3f25713fa1f28a10d"
+      "bytes": 3633,
+      "sha256": "sha256:e3ae0e5a3a047c65d972019a7168a263567595f0f2687cfeecf910920cd5b7e8"
     },
     {
       "path": "skills/evolve-pyproc/references/experimental-freeze.md",
@@ -339,8 +339,8 @@
     },
     {
       "path": "skills/reference-pyproc-api/references/api.md",
-      "bytes": 5087,
-      "sha256": "sha256:35948b93f7cd21558937d284bdba0db85c4b892ec6456de44296f473e07ab9c3"
+      "bytes": 5807,
+      "sha256": "sha256:0f4bb86c9835dd856eed5525f8554e48aab8574900176f73494d39b7566558bb"
     },
     {
       "path": "skills/reference-pyproc-api/references/bundle-format.md",
@@ -419,8 +419,8 @@
     },
     {
       "path": "skills/use-pyproc-runtime/references/consumer-contract.md",
-      "bytes": 3553,
-      "sha256": "sha256:83b400fb57d0c913d3c1adef271f5e1a62d2f55296e6bae7edbdaf7726c3a0f6"
+      "bytes": 4533,
+      "sha256": "sha256:b953620955718c922c7a59642e8952510e62915fe23065c38cf3ee97f3ffd64d"
     },
     {
       "path": "skills/use-pyproc-runtime/references/hostcall-abi.md",
@@ -444,8 +444,8 @@
     },
     {
       "path": "skills/use-pyproc-runtime/references/platform-requirements.md",
-      "bytes": 1252,
-      "sha256": "sha256:d39788244948ae96c388407caea3370dd95d8981b8d4d552e79902414fde72d4"
+      "bytes": 1898,
+      "sha256": "sha256:26d8c923ec242e8a5931c1669b12b6cb72e6e5c7bf5aabc9d05924bf67bcee1e"
     },
     {
       "path": "skills/use-pyproc-runtime/references/value-envelope.md",

skills/evolve-pyproc/references/contract-reality.md

@@ -8,6 +8,7 @@
 | Dynamic native wheels unsupported | pure Python wheel과 source-pinned package-owned facade 및 NumPy를 exact engine과 curated static native profile에 묶어 install 전에 검증한다 | profile 확대는 source build, oracle, reproducibility와 size gate가 있어야 하며 임의 binary wheel은 dynamic linking 전까지 받지 않는다 |
 | Scientific package reach incomplete | 별도 `data-3` engine과 multi-wheel catalog가 실제 `wasm-simd128` float64 oracle과 source-built NumPy 2.5.1의 array, dot, FFT, linalg, seeded random을 실행한다. package clone과 Machine image도 같은 layer를 복원한다 | SciPy, pandas, Polars는 명시적 미포함이다. C++ exception 비활성과 allocation 또는 PocketFFT invariant 위반 abort 경계를 유지한 채 source-pinned profile을 하나씩 넓힌다 |
 | Python shared-memory thread unavailable | exact core와 data engine manifest가 `pyproc.thread-capability/1`의 `worker-processes` mode를 선언한다. build가 `pthread-stubs`, 비공유 WASM memory, thread spawn import 부재를 직접 검증하고 `machine.inspect()`가 `RuntimeError: can't start new thread` 경계를 그대로 보고한다 | [WASI SDK](https://github.com/WebAssembly/wasi-sdk)의 experimental thread target과 CPython pthread build만으로 browser host가 완성되지는 않는다. shared memory, spawn import, 실제 Python thread join, checkpoint quiescence가 같은 제품 gate를 통과할 때만 `shared-memory` mode로 바꾼다 |
+| Browser bucket total eviction cannot self-recover | `pyproc.storage-durability/1`이 best-effort와 persistent mode, rough estimate, 안정 quota failure를 밝힌다. origin 밖 witness가 있으면 OPFS 전체 삭제를 첫 부팅으로 위장하지 않고 명시적 eviction으로 판정한다 | [WHATWG Storage Standard](https://storage.spec.whatwg.org/)처럼 best-effort bucket은 storage pressure에서 통째로 제거될 수 있다. 지워진 bucket 스스로는 데이터를 복구할 수 없으므로 witness에 결속된 외부 Machine 사본의 restore 계약이 남았다 |
 | Web Machine x86 guest assets external | host contract와 digest-pinned asset preparation을 분리한다 | emulator와 firmware의 독립 재현 범위를 계속 넓힌다 |
 | Kernel Machine image integrity, not signature | digest가 engine identity와 checkpoint objects를 봉인한다 | 제품이 외부 발행자를 신뢰해야 할 때 signing policy를 별도 version으로 추가한다 |
 | Web Machine protocol standard readiness | 표준 WebAssembly, Worker, cross-origin isolation, bucket file system 위에서 pyproc 제품 계약이 동작한다 | [legacy WASI threads proposal](https://github.com/WebAssembly/wasi-threads)은 Phase 1이고 후속은 [shared-everything threads](https://github.com/WebAssembly/shared-everything-threads)에서 진행 중이다. vendor-neutral 명세, WPT형 conformance, 독립 구현과 공개 incubation 전에는 웹 표준이라고 주장하지 않는다 |