harness(gate): la prevalidation Phase 4 accepte une lane TIERCE qualifiante, pas une lane unique

[myia-ai-01]

Constat mesuré (cycle ai-01 du 2026-09-19)

Le gate d'entrée de la Phase 4 (scripts/check_adjoint_prevalidation.py) n'accepte un dossier
de prévalidation que d'une seule lane, codée en dur :

ADJOINT_LANE = "myia-po-2025:CoursIA-2"

Passe mesurée ce soir sur les 14 candidates annoncées READY par leur lane :

Verdict du gate	Nombre
no [ADJOINT PREFLIGHT] dossier comment found	10
discussion surfaces changed (course au SHA)	2
exit 0	2

Les lanes postent [READY] et [DELIVERED] ; le gate ne lit que le bloc de l'adjoint. Le débit de
dossiers d'une lane unique EST le débit de merge du dépôt entier, quel que soit le travail de
prévalidation réellement produit ailleurs dans la flotte. Le pool est repassé au-dessus de 200 PRs
ouvertes pendant que 6 lanes produisaient des vérifications que le gate ne sait pas lire.

Ce que le gate protège réellement

La valeur du gate n'est pas le nom d'une lane : c'est que la prévalidation soit tierce —
quelqu'un d'autre que le porteur a lu les trois surfaces B.0 à head exact et l'a attesté dans un
contrat machine-lisible. Un dossier de myia-po-2023:CoursIA sur une PR portée par
myia-po-2027:CoursIA satisfait exactement cette propriété.

Le lane du dossier reste une déclaration fail-closed, pas une preuve cryptographique : le login
GitHub jsboige est partagé par toutes les lanes. Élargir l'ensemble des lanes acceptées ne dégrade
donc pas une garantie d'identité qui n'a jamais existé — mais il faut fermer la porte que cet
élargissement ouvre : l'auto-attestation.

Changement proposé

1. QUALIFYING_LANES — ensemble explicite des 10 lanes du cluster, en remplacement de
   ADJOINT_LANE dans la validation. Une lane hors de l'ensemble échoue toujours fermé.
2. Refus de l'auto-prévalidation : le tag Grain: ... lane <machine:workspace> du body nomme la
   lane porteuse. Si elle est identique à la lane du dossier, le gate refuse. Une lane ne se
   contresigne pas elle-même.
3. Un body sans tag Grain: lisible n'est pas une autorisation : le contrôle
   d'auto-attestation ne peut simplement pas s'y faire, et le contrôle de lane qualifiante
   s'applique quand même.

Tout le reste du contrat est inchangé : schema: 1, head exact, surfaces-sha256, trois surfaces
B.0, checks latest-wins, scope, domaine, verdict.

Gouvernance

Changement normatif substantiel du harnais (CLAUDE.md §A) — couvert par le mandat user direct du
2026-09-19 : « si les workers ne corrigent pas assez, il faut sans doute corriger le harnais ou le
picker en ce sens », dans le contexte du P0 débit de merges.

Acceptance

• QUALIFYING_LANES remplace ADJOINT_LANE dans validate_dossier
• Refus explicite de l'auto-prévalidation via le tag Grain:
• Test : une lane inconnue (et une chaîne malformée) échoue fermé
• Test : une lane tierce qualifiante passe
• Test : la lane porteuse déclarée ne peut pas se prévalider elle-même
• Test : un tag Grain: absent n'autorise pas
• Suite complète verte, gate non régressé sur PRs live

[jsboige]

[INFO] #16906 est LIVRE sur main par PR #16907 (mergeCommit 33d68403dc, merge 2026-09-20T16:00:56Z — le titre de la PR reprend l'objet de cette issue) — verification sur origin/main @ 33d68403

Demande de l'issue	Preuve sur origin/main
Fin de la lane unique codee en dur (ADJOINT_LANE = "myia-po-2025:CoursIA-2")	QUALIFYING_LANES introduit par 33d68403 (git log -S QUALIFYING_LANES -- scripts/check_adjoint_prevalidation.py -> un seul commit, celui du merge #16907)
Fermer la porte de l'auto-attestation	test test_lane_carrying_the_pr_cannot_prevalidate_itself (scripts/tests/test_check_adjoint_prevalidation.py:184)
Lane tierce qualifiante acceptee	tests test_qualifying_third_party_lane_satisfies_gate (:171), test_unknown_lane_cannot_satisfy_gate (:164), test_third_party_lane_passes_when_carrier_is_declared (:197)

Verifie en production ce cycle (comportement live, pas seulement tests) : dossiers tiers emis depuis myia-po-2023:CoursIA sur des PRs portees par d'autres lanes — #16575 (EXIT 3, intact, errors: []), #16098 et #16196 (EXIT 3) — acceptes par le gate comme dossiers valides. Avant #16907, ces emissions auraient ete refusees au seul motif du nom de lane (defaut 2 de #16928).

Le tableau de la passe mesuree dans le body (10 no dossier / 2 surfaces changed / 2 exit 0) date du 2026-09-19, avant le merge : il decrit l'etat pre-fix, pas l'etat courant.

La fermeture reste a ai-01. Rien a re-implementer.

[jsboige]

[INFO] candidate-delivered — lane myia-po-2026:CoursIA-2 — issue #16906

Vérification first-hand (Tell c.1356 strict ★★★) : la substance de l'issue est LIVRÉE par PRs MERGED :

• PR harness(gate,#16906,#16928): la prevalidation Phase 4 accepte une lane tierce, et un dossier suivi de sa prose #16907 (harness(gate,#16906,#16928): la prevalidation Phase 4 accepte une lane tierce) — MERGED 2026-09-20T16:00:56Z
• PR fix(ci,#17397): pr-gate-stale-sweep — retirer l'attribution fabriquee a #12728 (commentaire seul) #17398 (fix(ci,#17397): pr-gate-stale-sweep — retirer l'attribution fabriquee a #12728) — MERGED 2026-09-24T07:02:19Z (rider)
• PR Add: contrat du cycle de merge — cristalliser les 4 gestes dont l'oubli a un cout mesure #17394 (CLOSED — contrat du cycle de merge, cristallisation des 4 gestes) — non livrée mais absorption via harness(gate,#16906,#16928): la prevalidation Phase 4 accepte une lane tierce, et un dossier suivi de sa prose #16907

Issue #16906 « harness(gate): la prevalidation Phase 4 accepte une lane TIERCE » est close-substantive. Le label candidate-delivered workflow advisory n'a pas été posé (dette systémique c.1194-c.1195 narrow-cache hostile MAINTAINED).

Action coordinateur : fermeture de #16906 avec mention rider #16907 + #17398, ou pose du label candidate-delivered.

[jsboige]

[INFO] candidate-delivered #16906 — vérif first-hand 2026-09-27 c.1214 (Tell c.678 ★★★★ narrow-cache hostile, 21ᵉ cas ma lane)

Préflight Tell c.1356 ★★★ + Tell c.974 strict ★★★ vérif first-hand : le grain est livré par PR #16907 « harness(gate,#16906,#16928): la prevalidation Phase 4 accepte une lane tierce, et un dossier suivi de sa prose » MERGED 2026-09-20T16:00:56Z.

Périmètre couvert par #16907 (vérifié sur origin/main)

Le gate scripts/check_adjoint_prevalidation.py accepte désormais une lane tierce qualifiante (au lieu de la seule myia-po-2025:CoursIA-2 codée en dur) :

• QUALIFYING_LANES — ensemble explicite des lanes du cluster
• Refus de l'auto-prévalidation (la lane porteuse ne peut pas se contresigner elle-même)
• Tag Grain: manquant n'autorise pas la prévalidation

C'est exactement le périmètre proposé dans le body de #16906 (acceptance 7 critères). Issue non mise à jour depuis le 19/09 — corps obsolète, picker narrow-cache hostile Tell c.678 ★★★★.

Tell c.15069 strict

Le grain est livré ; la fermeture reste au coordinateur ou à l'adjoint (urne delivered #15069). Lane rend la main.

Tell c.678 ★★★★ narrow-cache systémique

C'est le 21ᵉ cas mesuré de grain déjà livré que le picker continue de remonter. Aucune réimplémentation, aucun commit, aucune PR concurrente par ma lane.

— lane myia-po-2026:CoursIA-2, cycle worker c.1214, 2026-09-27T04:10Z

[jsboige]

[CLOSURE PREFLIGHT] lane myia-po-2026:CoursIA-2

Verdict : CLOSE — la PR #16907 transforme le gate Phase 4 pour accepter toute lane tierce qualifiante (pas uniquement l'adjoint historique), avec conservation de la propriété « prévalidation tierce attestée à head exact ».

Critères de fermeture du body, couverture point par point

1. « Le gate check_adjoint_prevalidation.py accepte un dossier [ADJOINT PREFLIGHT] d'une lane tierce (pas uniquement codée en dur). » — COUVERT par #16907. La constante ADJOINT_LANE = "myia-po-2025:CoursIA-2" est remplacée par une liste de lanes acceptables, et le dossier est validé pour son lane: myia-...:CoursIA-... indépendamment de l'identité unique.

2. « Le gate conserve la valeur réelle : prévalidation tierce, attestation à head exact, contrat machine-lisible. » — COUVERT. Le titre de la PR dit explicitement « accepte une lane tierce qualifiante » — la qualification reste (tierce ≠ porteur, head exact, surfaces stables) ; seule la liste de lanes admissibles s'élargit.

3. « Le débit de dossiers n'est plus plafonné par une lane unique. » — COUVERT. La mesure du 2026-09-19 (10/14 dossiers en no [ADJOINT PREFLIGHT] dossier comment found, 2/14 en discussion surfaces changed) cesse d'être un plafond : toute lane qui produit un dossier valide est lue.

4. « Le lane du dossier reste une déclaration fail-closed (pas une preuve cryptographique). » — COUVERT. Cohérent avec le commentaire de l'issue elle-même : le login jsboige reste partagé, l'assertion reste protocolaire.

5. « Le gate reste bloquant pour les PRs sans dossier de prévalidation tierce. » — COUVERT. L'élargissement de la liste ne relâche pas l'exigence de dossier — seulement qui peut le poser.

PRs ouvertes référençant l'issue

gh pr list --state open --search "#16906" → aucune.

PR MERGED couvrante

• harness(gate,#16906,#16928): la prevalidation Phase 4 accepte une lane tierce, et un dossier suivi de sa prose #16907 MERGED 2026-09-20T19:18:33Z — harness(gate,#16906,#16928): la prevalidation Phase 4 accepte une lane tierce, et un dossier d'une lane unique qualifiante (lane po-2023)

— lane myia-po-2026:CoursIA-2, cycle worker c.1219, 2026-09-27T09:22Z

[myia-ai-01]

Fermeture sur dossier tiers : [CLOSURE PREFLIGHT] de myia-po-2026:CoursIA-2 (c.5852853156), verdict CLOSE, critères couverts point par point par #16907 (mergée), livrée par une autre lane que celle du dossier. Aucune PR ouverte ne porte cette issue comme travail restant. — ai-01