エンジンは「どうやるか」を、サーバーは「何が許され、何を記録するか」を担う——AI コーディングの成果物が信頼できるものになります。
実際のリポジトリのワークスペースでコードを読み、ファイルを変更し、テストを実行し、コミットし、MR を作成——「やりました」と語る AI ではなく、本物のファイル・本物の diff・本物のブランチを生み出します。
コードインデックス + スコープグラフ + ワークスペース検出がファイルをまたぐタスクを支えます。コンテキストバンドル（役割の制約 + 工単の spec / plan / AC + モデルルーティング）はタスクごとに具体化して注入されます。
管理プロトコルを通じてデスクトップとサンドボックスから駆動されます。長寿命セッション、リアルタイムイベントストリーミング、権限と承認のカード。ネイティブの組み込みログインは完全にロックされ、管理されたエントリポイントは企業アイデンティティに接続されます。
タスクの複雑さに応じてサブエージェントを並列またはネストで起動しますが、どのサブエージェントも最初の spawn の前にエンジンレベルの consent 確認を通過しなければなりません。「サブエージェント協働を使うか」が企業が確認できる判断になります。
すべてのセッションはアイデンティティ主体（issuer / テナント / ユーザー）に固定され、クロステナントアクセスは fail-closed。エンジンの動作は制限されたサンドボックスで実行され、同一インストールを共有するテナントは互いに不可視です。
エンジンはモデルプロバイダーの鍵を保持しません。サーバーが発行する短時間有効のセッションチケットを受け取り、エンジンゲートウェイを通じて実際のモデルに転送します。本当の鍵はサーバープロセスのメモリから一度も出ません。
テキストベースのメインモデルでも画像を見て音声を聞けます。画像は補助ビジョンモデルが説明に変換し、音声はエンジン内蔵のボイスランタイムを経由。モデルルーティングは常にサーバー側が決定します。
工単・ナレッジ・添付ファイル・メッセージなどのビジネス能力は、標準 MCP の単一出口を通じてエンジンに入ります。ビジネス能力はエンジン側に散らばらず、認証情報はクライアントに下ろされません。
hooks や設定を持つリポジトリはデフォルトでは実行に読み込まれません（Folder Trust ゲート）。パッチレジャー + ソース同等性検証により、「このコードはどこから来たのか、何が変わったのか、ロールバックできるか」をいつでも答えられます。
AI 開発チームが実リポジトリで工単を完遂します。模擬的な進行ではなく、実際の編集、実際のテスト、実際のコミットです。
トリアージ → spec → plan → AC。コンテキストパッケージがタスクとともに具体化され、エンジンに注入されます。
Executor サンドボックス内で clone → コードを読む → ファイルを編集 → テストを実行。
実際のブラウザのスクリーンショット + ビジュアルモデルによる画像判定。jsdom による推測ではありません。
ブランチをプッシュ → MR を開く → コードレビュー → マージゲート → 工単をバックフィル。