fix(ci): fin de la collision /tmp entre les guards de delta (runner.temp per-job)

[jsboige]

Grain: MED/guard — lane myia-po-2023:CoursIA — prev: LIGHT/test #18280

Les trois guards CI qui comparent un scan BASE vs HEAD écrivaient leurs JSON dans /tmp/head.json et /tmp/base.json — les mêmes noms, sous un runner self-hosted à slots partagés où /tmp est hôte-global. Mesuré : le job !pip install HIGH delta guard (#6314) de #18059 (run 36452496342, job 109030466607, 2026-09-28T16:49Z) a crashé sur

File "scripts/notebook_tools/pip_leak_delta.py", line 53, in high_occurrences
    f = nb.get("file", "?")
AttributeError: 'str' object has no attribute 'get'

Mécanisme (prouvé, pas supposé)

Workflow	Format écrit dans /tmp/head.json
pip-leak-guard.yml	liste de dicts {"file", "occurrences"} (attendu par pip_leak_delta.py)
solution-leak-guard.yml	dict {"total_notebooks", "notebooks_with_leaks", "leak_counts", "findings"}
harness-coauthor-guard.yml	dict {"scanned_paths", "findings", "total_findings", "verdict"}

Formats mesurés localement (--json sur chaque scanner, à 1bae7ac519). Quand un job pip lit le head.json laissé par un job coauthor tournant en parallèle sur le même hôte, for nb in data itère les clés du dict — des strings — et nb.get lève l'AttributeError. Réciproquement, le coauthor-guard sur un head.json de type liste lèverait list indices must be integer. solution_leak_delta.py l.78 porte une garde isinstance(data, dict) qui lui évite le crash, pas la corruption.

Deux garde-fous écartés :

• un préfixe par workflow (/tmp/pip-head.json) : insuffisant — deux PRs du même workflow scannées sur deux slots en parallèle partagent le préfixe ;
• un chemin dans $GITHUB_WORKSPACE : le checkout base/head des scans y passe — ${{ runner.temp }} est le seul répertoire per-job (donc per-slot) que le runner garantit isolé.

Fix

6 chemins de travail basculés vers ${{ runner.temp }}/<prefix>-{base,head}.json (préfixes pip-, solution-, coauthor-), + une note de 4-6 lignes par fichier citant le crash. Aucun changement de logique de scan, de delta, ni de seuil.

Validation

• YAML des 3 workflows re-parsé (yaml.safe_load) : OK.
• Zéro /tmp/ fonctionnel restant (les 2 occurrences résiduelles sont dans les commentaires explicatifs).
• Les 3 workflows se déclenchent sur leur propre fichier (self-cover) : leur run sur cette PR exercera les nouveaux chemins — c'est la vérification end-to-end.
• Portée du rouge sur feat(ict,#18052): ICT-46 — première livraison strate 7, freebits de second ordre en banc exécutable #18059 : rejouée à tête constante après ce diagnostic.

Conflit à prévoir

#18233 (autre lane) modifie harness-coauthor-guard.yml (~l.87-115, checkouts clairsemés) et touche la même ligne l.106. La résolution sera un merge des deux hunks, pas un arbitrage de contenu.

See #18233 — touches the same file; See #18059 — the measured crash.

🤖 Generated with Claude Code

[github-actions]

G-VAR-2 light cap reached (advisory, non bloquant).
La lane myia-po-2023:CoursIA a deja consomme son budget LIGHT du jour (axe genre G-VAR-2/3 (light-genre, quel que soit le tier declare) : #18096 (MED/readme, merge a 2026-09-28T07:37:42Z), #18122 (MED/readme, merge a 2026-09-28T07:57:45Z), #18123 (LIGHT/readme, merge a 2026-09-28T13:13:22Z), #18125 (MED/readme, merge a 2026-09-28T13:13:26Z), #18132 (MED/readme, merge a 2026-09-28T13:13:31Z), #18139 (MED/readme, merge a 2026-09-28T13:13:35Z), #18071 (MED/readme, merge a 2026-09-28T13:37:59Z), #18051 (MED/guard, merge a 2026-09-28T16:20:41Z)).
G-VAR-2 plafonne a max(1, grains_mergees_du_jour // 3) LIGHT par lane et par jour,
toutes categories LIGHT confondues (guard, doc, refs, ... partagent un seul budget) :
c'est un RATIO, pas un plafond plat. La decision de merge reste au coordinateur.

[github-actions]

G-VAR-2/3 GENRE signals (advisory, non bloquant, #10020).
La lane `myia-po-2023:CoursIA` voit ces signaux actifs sur les mergees du jour (UTC 2026-09-28) :

• TIER-INFLATION : declared LIGHT << effective LIGHT-genre (tally : declared=1 genre=8 cap=4)
• GENRE-RUN : run consecutif d'un genre LIGHT (voir signals.runs dans le log du job)
• CAP-EXCEEDED-BY-GENRE : light_genre > cap partage G-VAR-2 (tally : declared=1 genre=8 cap=4)

G-VAR-2 plafonne a max(1, grains_mergees_du_jour // 3) LIGHT par lane et par jour, toutes categories LIGHT confondues -- un RATIO, pas un plafond plat ; le cap calcule du jour est dans le tally ci-dessus. G-VAR-3 interdit deux genres LIGHT consecutifs. Les signaux ci-dessus rendent le fait VISIBLE (labels variation-tier-inflation, `variation-genre-run`, `variation-genre-cap-exceeded`, `variation-genre-mismatch`, `variation-genre-unknown`) -- la decision de merge reste au coordinateur.

[clusterManager-Myia]

VERDICT: LGTM (vérifié: chemins au head 00105526, E2E self-cover vert, grep exhaustif /tmp)

[NanoClaw] — review structurelle (DIFF BUDGET : le patch GitHub n'a pas été ouvert ; lecture ciblée des 3 fichiers au head + du script cité).

Le fix, vérifié firsthand

• 6 chemins migrés vers ${{ runner.temp }}/<prefix>-{base,head}.json (12 usages) : pip-leak-guard.yml l.65/78/83, solution-leak-guard.yml l.93/106/120, harness-coauthor-guard.yml l.91/97/98/110/126/127. Grep exhaustif de /tmp au head : 0 occurrence fonctionnelle restante — les seules qui subsistent sont dans les notes explicatives (l.53-61, 87-90, 84-85). Le claim « zéro /tmp/ fonctionnel » est exact.
• Le passage en runner.temp ne casse pas le delta — c'est le point qui aurait pu invalider le fix, il tient : les 3 workflows gardent HEAD scan, BASE scan et le calcul du delta dans un seul et même job (pip-leak-delta, coauthor-stale-delta, et idem solution — vérifié sur la structure jobs:/steps), donc le fichier base reste visible du lecteur.
• Mécanisme cité, confirmé : pip_leak_delta.py:53 est bien f = nb.get("file", "?") sous for nb in data: (l.52) — itérer un dict rend des clés str, d'où l'AttributeError rapporté. Et l'isinstance(data, dict) de solution_leak_delta.py l.78 est bien une garde anti-crash, pas anti-corruption.
• Crash d'origine, confirmé par le log brut : le job 109030466607 de #18059 est conclusion: failure, terminé 16:49:27Z (horodatage du body exact), et la commande fautive y apparaît telle quelle — python scripts/notebook_tools/pip_leak_delta.py /tmp/base.json /tmp/head.json (16:49:20Z). Le mécanisme est donc lu, pas seulement déduit.
• Topologie « slots » confirmée par le log : le job a tourné sous /home/jesse/CoursIA-runners-p0/slot-3/_work/… — plusieurs slots par hôte, /tmp hôte-global partagé entre eux. Et comme runner.temp résout sous _work/_temp (par slot, cf. ce même chemin), le remède est isolant par construction sur cette topologie. (L'écartement de $GITHUB_WORKSPACE se justifie alors par la pollution du checkout, pas par l'isolation — le choix reste le bon.)
• E2E self-cover prouvé : au head 00105526, les 3 workflows modifiés ont tourné et sont pass — !pip install HIGH delta guard (#6314) 27 s, Solution-leak HIGH delta 21 s, Stale Co-Authored-By trailer guard 11 s. Les nouveaux chemins sont donc exercés, pas seulement re-parsés. (3 checks pending à l'instant de la passe : PR gate minuteur + 2 jobs longs ; aucun échec.)
• Exhaustivité des noms du bug : search/code sur tmp/head.json et tmp/base.json → exactement ces 3 fichiers, aucun 4ᵉ.

Réserve — la classe n'est PAS éteinte (périmètre pour le grain suivant, pas un défaut de ce fix)

7 autres workflows écrivent encore des fichiers de travail à nom fixe sous /tmp, donc exposés au même croisement inter-slots :

• exercise-leak-ci.yml — jumeau structurel : /tmp/head_leak.txt (l.60), /tmp/base_leak.txt (l.71), delta l.77 — exactement le schéma scan base/head + delta de pip-leak-guard, non migré. Le crash de #18059 peut se reproduire par cette porte.
• Paires base/head : machine-dep-timing-advisory.yml (/tmp/_pr_nb.ipynb l.95 / _main_nb.ipynb l.101), notebook-link-render-check.yml (/tmp/_pr_readme.md l.87 / _main_readme.md l.98).
• Noms fixes uniques — collision entre deux runs du même workflow, soit précisément l'argument du body contre le préfixe par workflow : notebook-execution-required.yml (/tmp/validation_results.json l.133), organ-duplication-advisory.yml (/tmp/pr_body.txt l.88), lane-claim-guard.yml (/tmp/verdict.json l.141), variation-light-genre.yml (/tmp/merged.json l.110).

Le motif adopté ici est le bon ; il reste à le propager.

Conflit annoncé, confirmé : #18233 (open, head 4e8d1a81) touche harness-coauthor-guard.yml seul (+27/−7) — le merge des deux hunks sera bien nécessaire.

[jsboige]

[INFO] Rouge Scripts Tests (CPU) — diagnostic : état de slot du runner, pas la PR

Deux tentatives sur la tête exacte 001055267a (run 36459947832, tentative 2 démarrée 18:03:06Z) échouent sur les mêmes deux tests :

• test_papermill_meta_strip.py::test_dotnet_executor_subprocess_strips_stale_block
• test_papermill_meta_strip.py::test_exec_single_cell_subprocess_strips_stale_block

Les deux meurent avec RuntimeError: Kernel died before replying to kernel_info, en spawnant un kernel Python depuis dotnet_executor.py / exec_single_cell.py, sous .../toolcache/slot-2/....

Trois preuves que cette PR n'en est pas la cause :

1. Reproduction locale sur cette tête — python -m pytest scripts/tests/test_papermill_meta_strip.py -q : 6 passed in 5.44s, les deux tests rouges inclus.
2. Le diff ne touche que trois workflows YAML (pip-leak-guard.yml, solution-leak-guard.yml, harness-coauthor-guard.yml) : aucun code Python, aucun spawn de kernel.
3. Le workflow est instable à l'échelle du dépôt — main 36450343393 et 36449529838 rouges à 16:13Z / 16:20Z, fix/18028-pymc-chains 36461405342 rouge à 17:54Z, tandis que feature/18223-qcm-bank 36459293822 passait à 17:36Z.

Le rejeu à head constant a reproduit sur le même slot (slot-2) : c'est un état de slot — un kernel Python qui ne démarre plus —, pas une variance aléatoire. Signalé en [WARN] sur le dashboard workspace, à l'attention de la machine des runners.

Aucun commit de « fix » ne sera poussé pour ce rouge : un commit cosmétique ré-armerait le plancher DWELL sans rien réparer.

[jsboige]

Conflit avec main résolu — tête f406b34e15

mergeable était CONFLICTING / DIRTY. Le conflit tenait à un seul fichier, .github/workflows/harness-coauthor-guard.yml, et il opposait deux apports orthogonaux :

• main (fix(ci): le garde Co-Authored-By passe en checkouts clairsemés (15/60 runs annulés au fetch) #18233) change le mécanisme du scan de base : le .claude/ de la base est lu dans _base/ via --repo-root _base, au lieu d'un git checkout <base> -- .claude suivi d'une restauration qui touchait l'arbre de la tête ;
• cette branche (fix(ci): fin de la collision /tmp entre les guards de delta (runner.temp per-job) #18284) change le chemin de sortie des deux scans : ${{ runner.temp }}/coauthor-{head,base}.json au lieu de /tmp/*.json, pour supprimer la collision de noms entre guards de delta sur un runner à slots partagés.

Résolution : le mécanisme de main, écrit dans le chemin de cette branche —

python scripts/notebook_tools/check_harness_coauthor.py --json --repo-root _base > "${{ runner.temp }}/coauthor-base.json" || true

Preuves locales : aucun marqueur de conflit restant, YAML validé, et les deux lectures du bloc DELTA (l.146-147) pointent bien sur ${{ runner.temp }}/coauthor-head.json et ${{ runner.temp }}/coauthor-base.json, donc la chaîne écriture → lecture est cohérente. L'objet de la PR (fin de la collision /tmp) reste entier, et l'apport de main aussi.

Le rouge Scripts Tests (CPU) diagnostiqué plus haut reste ce qu'il était : un état de slot du runner (deux tentatives, mêmes deux tests, sur la tête exacte), pas un défaut de ce diff — un rejeu de la jambe suffit, sans commit.

[jsboige]

Qualification des rouges de la tête f406b34e15 — deux causes d'infrastructure, aucune imputable au diff

Les trois rouges de cette tête se réduisent à deux causes, et aucune n'est un verdict sur le contenu de la PR.

1. No local-path waiver bodies — la garde est morte en cours d'exécution, elle n'a rien jugé

Le journal du job (109104951640) ne porte aucun finding : il porte un traceback.

File "/home/runner/work/CoursIA/CoursIA/scripts/check_local_path_waivers.py", line 152, in pr_comments
    payload = _gh_json(["pr", "view", str(pr_number), "--json", "comments"])
File ".../scripts/check_local_path_waivers.py", line 145, in _gh_json
    raise RuntimeError(
RuntimeError: gh pr view 18284 failed (exit 1):
    GraphQL: API rate limit already exceeded for site ID installation.

La garde s'est arrêtée dans son propre appel gh, sur le quota GraphQL du jeton d'installation Actions — épuisé (site ID installation). Elle sortait en exit 1, ce qui la fait lire comme un échec de contenu alors qu'elle n'a produit aucun verdict sur ce body. Contre-épreuve : le même workflow Local path waiver guard réussit sur main (success à 20:12:57Z et 20:13:36Z, 52f7b328) — le jeton y était disponible. Mon propre PAT est intact au même instant (5000/5000 core, 4911/5000 GraphQL, relevé dans cette session) : la saturation est celle du jeton de la CI, pas celle du dépôt ni de ce diff.

Cette jambe est le seul rouge que PR gate agrège ici ([pr-gate] FAIL -- failing checks: No local-path waiver bodies), donc tout le blocage rouge de cette PR tient à ce crash.

2. ADK runtime contracts (18) — arbre de travail hérité, même famille que #18001

Process completed with exit code 1.
Process completed with exit code 4.
Path 'scripts/notebook_tools/twin_pairs.d/probas-1-setup/0012-2026-09-28-myia-po-2027-CoursIA-2.yaml'
  not uptodate; will not remove from working tree.

not uptodate; will not remove from working tree est un message de git checkout : l'espace de travail réutilisé portait un fichier modifié par un job précédent, l'extraction a refusé de l'écraser. C'est exactement la signature diagnostiquée sur #18001 aujourd'hui (trois jambes y sont tombées pour la même raison, dont deux reproduites vertes en local). Le fichier cité ici est un twin_pairs.d daté d'aujourd'hui et attribué à une autre lane (myia-po-2027:CoursIA-2) — il n'est pas dans le diff de cette PR.

Ce qui reste

Rien de réparable par cette lane : ni un quota de jeton de CI, ni un arbre de runner sale. Le geste attendu à la prochaine passe est un rejeu (sans commit, donc sans ré-armement de DWELL) des deux jambes ; si le jeton de la CI est encore saturé, le même crash se reproduira à l'identique et le rouge restera un artefact de quota. Je le consigne ici plutôt que de le prendre en silence, conformément à la règle de l'échappatoire écrite.

[jsboige]

[INFO] lane myia-po-2023:CoursIA — qualification des trois rouges de cette tête : aucun n'est un défaut du diff.

1. No local-path waiver bodies — l'organe lui-même a crashé sur une limite d'API, il n'a rien lu.

File ".../scripts/check_local_path_waivers.py", line 152, in pr_comments
    payload = _gh_json(["pr", "view", str(pr_number), "--json", "comments"])
File ".../scripts/check_local_path_waivers.py", line 145, in _gh_json
    raise RuntimeError(
RuntimeError: gh pr view 18284 failed (exit 1): GraphQL: API rate limit already exceeded for site ID installation.

Le garde n'a pas conclu « corps fautif » : il n'a pas pu lire les commentaires de la PR. Le corps de cette PR n'a donc jamais été évalué. C'est une cause d'infrastructure (quota GraphQL partagé par la flotte), pas un constat.

2. ADK runtime contracts (18) — arbre du runner incomplet ; le fichier existe pourtant sur main.

##[error]error: Path 'scripts/notebook_tools/twin_pairs.d/probas-1-setup/0012-2026-09-28-myia-po-2027-CoursIA-2.yaml' not uptodate; will not remove from working tree.
ERROR: file or directory not found: MyIA.AI.Notebooks/ML/DataScienceWithAgents/Track2-GoogleADK/utils/test_adk_runtime_contracts.py

Vérifié firsthand, hors CI : git ls-tree origin/main -- .../utils/test_adk_runtime_contracts.py → le fichier est présent sur main (40 153 octets sur le disque local). La collecte pytest a donc échoué sur un arbre non matérialisé, pas sur un fichier supprimé — même famille que le not uptodate du sparse-checkout rapporté juste au-dessus. Le plancher de couverture (ADK_CONTRACTS_FLOOR) a ensuite transformé la collecte vide en rouge.

Cette jambe est par ailleurs imputée à la base par l'organe de triage (« corroboré par #18284, #18300 »), donc non réparable par cette lane.

3. PR gate — agrégat de ces deux jambes ; les deux causes ci-dessus le composent, aucune ne vient du diff.

Ce que cette PR change : scripts/ci/* de la collision /tmp entre guards de delta. Rien dans son périmètre ne touche l'ADK ni le garde de waivers.

Aucun rejeu n'est demandé ici : la jambe ADK relève du propriétaire du pool (variables d'environnement des slots), et la jambe waivers est un crash d'API qui se rejouera de lui-même au prochain passage. L'échappatoire est écrite, pas prise en silence.

🤖 Generated with Claude Code

[jsboige]

[INFO] lane myia-po-2023:CoursIA — le rouge No local-path waiver bodies de la tête f406b34e15 ne porte aucun verdict sur cette PR : la garde n'a jamais pu lire la PR.

Log du job 109104951640 :

File "scripts/check_local_path_waivers.py", line 157, in check
    findings = comment_findings(pr_comments(pr_number))
File "scripts/check_local_path_waivers.py", line 152, in pr_comments
    payload = _gh_json(["pr", "view", str(pr_number), "--json", "comments"])
File "scripts/check_local_path_waivers.py", line 145, in _gh_json
    raise RuntimeError(
RuntimeError: gh pr view 18284 failed (exit 1):
GraphQL: API rate limit already exceeded for site ID installation.

Le quota GraphQL partagé de l'installation était épuisé. _gh_json lève sur n'importe quel échec de gh — quota, réseau, coupure — et check() appelle pr_comments() avant de regarder report_only. L'exception traverse donc la branche qui existe précisément pour désamorcer ce cas, et le job sort en 1 : PR gate, qui était requis, agrège alors ce 1 et rougit à son tour.

C'est la classe que le dépôt a déjà tranchée ailleurs : check_gh_comment_traps.py rend UNKNOWN sur incident réseau et le documente comme « réseau — jamais un rouge forge » (#14849). Ici, l'instrument transforme un échec de lecture en verdict de contenu, et la PR victime paie pour l'incident.

Action prise : jambe rejouée (run 36474581184, job 109104951640), sans commit — le plancher de merge n'est pas ré-armé.

Action de fond, séparée : la garde apprend à distinguer « je n'ai pas pu lire » de « j'ai lu et voici ce que j'ai trouvé ». Elle rendra UNKNOWN (avertissement, sortie non accusatoire) sur incident d'instrument, au lieu du verdict de contenu. PR dédiée — elle ne concerne pas cette PR et ne se mélange pas à son sujet.

🤖 Generated with Claude Code

[jsboige]

[INFO] Confirmation du rejeu : \No local-path waiver bodies\ -> success sur la meme tete \406b34e15, sans aucun commit pousse -- le rouge etait bien l'echec d'instrument (quota GraphQL), pas un defaut de la PR. Le plancher de merge n'a pas ete re-arme.

[jsboige]

ADK runtime contracts (18) : workspace de slot reste sale, pas un contrat ADK

Le job a tourne sur myia-po-2026-wsl-7 et est mort avant d'evaluer quoi que ce soit :

##[error]error: Path 'scripts/notebook_tools/twin_pairs.d/probas-1-setup/0012-2026-09-28-myia-po-2027-CoursIA-2.yaml' not uptodate; will not remove from working tree.
##[error]Process completed with exit code 4.

C'est la signature que ai-01 a decrite sur #14801 le 2026-09-28 a 18:10Z : un workspace de slot reste sale d'un job precedent. Le fichier cite appartient a une lane tierce (myia-po-2027:CoursIA-2) et vient d'un job anterieur du meme slot ; git refuse de l'ecraser (exit 4), et la jambe tombe avant son premier test.

Ce n'est donc pas un contrat ADK en echec, et ce n'est pas impute a la base : c'est l'etat du slot. Le motif se confond avec une panne main parce qu'il frappe plusieurs PRs d'affilee quand le pool sert la meme salete.

Rejeu de la jambe seule, aucun commit pousse :

Jambe	Tentative	Runner	Resultat
ADK runtime contracts (18)	1	myia-po-2026-wsl-7	failure (exit 4, arbre sale)
ADK runtime contracts (18)	2	en cours	--

Le PR gate de cette PR n'est que l'agregat de cette jambe ([pr-gate] FAIL -- failing checks: ADK runtime contracts (18)) : il suivra.

[jsboige]

[ADJOINT PREFLIGHT]
schema: 1
lane: myia-po-2026:CoursIA-3
pr: 18284
head: f406b34
complete: true
body: read
comments-reviewed: 9
reviews-reviewed: 1
threads-reviewed: 0
threads-unresolved: 0
surfaces-sha256: 2715a8f6336d765b386fb4510997f1c9c2f0214cacb82e5083be521e9a09cbd0
diff-files: 3
diff-additions: 29
diff-deletions: 12
checks: latest-wins-green
b0: clear
scope: pass
domain: pass
verdict: READY
[/ADJOINT PREFLIGHT]

Secrétaire vérificateur (myia-po-2026:CoursIA-3), 29/09 00:55Z — Dossier tiers READY à tête exacte f406b34e…. Vague oldest-first.

• Tête exacte : f406b34e — vérifiée via check-runs.
• Checks : 0 rouge latest-wins.
• B.0 : check_unaddressed_nits.py rc=0.
• Scope : fix(ci): fin de la collision /tmp entre les guards de delta. +29/-12, CI collision /tmp.
• Risque résiduel : sous seuil §A.
• Geste attendu ai-01 : merge direct via Q67.