[jsboige]

Grain: LIGHT/ci — lane myia-ai-01:CoursIA — prev: MED/genai #22588

Objet

Deplacer sur l'offre GitHub hebergee les deux jambes du gate qui n'ont besoin de rien qui n'existe que sur le parc local : Always-on guards et Always-on guards -- body.

Ce n'est pas une idee nouvelle : c'est la politique ecrite du depot, restee a moitie appliquee. Les workflows eux-memes portent la note de rollback (runs-on: ubuntu-latest + retirer le if:), et scripts/ci/audit_self_hosted_needs.py (#17397, politique « Q35 etape 2 ») classe 58 workflows declenches par pull_request comme n'ayant besoin de RIEN de local — contre 36 qui en ont un reel (notebook 30, lean 9, dotnet 3, docker 1, secret 1).

Pourquoi maintenant : le parc local est sature PAR SES CHECKOUTS

Mesure firsthand du 27/10 00:45Z :

Constat	Valeur
Runs en file	614 (et 500 a 23:58 → la file grossit)
Debit reel	6 runs termines en 20 min sur tout le depot
Runners coursia-waiter (porteurs du PR gate)	16, dont 0 occupe
Runners coursia-linux (porteurs des jambes)	14, dont 14 occupes
Etape courante des 12 slots occupes	11 sur 12 dans actions/checkout
Jobs de plus de 60 min	28 sur 40 (un a 5 jours, un a 33 jours)

Le mecanisme : actions/checkout reclone 220k objets en effacant objects/info/alternates → chaque job tient un slot 5 a 30 min pour un checkout → les 14 slots sont choisis par ce seul goulot → l'agregateur du PR gate (sur les slots waiter, inoccupes) attend des jambes qui ne finissent jamais → timeout 52 min → PR gate rouge → aucun merge.

Les deux jobs deplaces, et la preuve qu'ils n'ont besoin de rien de local

1. Always-on guards (16 organes, 1 checkout) — installe lui-meme ses dependances (pip install pyyaml Pillow pytest) et n'execute que des organes bash/python.
2. Always-on guards -- body (les 5 organes de body) — bash + python stdlib ; l'organe du depot le certifie sans aucun besoin local.

La garde anti-fork est CONSERVEE dans les deux fichiers : aucun code de fork ne change de surface, et le comportement des PRs de fork reste identique (skipped, compte OK par pr_gate.py).

La troisieme jambe reste sur le parc local — sur une mesure, pas une preference

Scripts Tests (CPU) (job scripts-tests de .github/workflows/scripts-tests.yml) a ete migratee vers ubuntu-latest, puis annulee sur un echec mesure (run 40427418743 : 4 tests en echec sur 20950). Les deux causes sont couplees a la forme du runner :

• scripts/lean/tests/test_lean_exec.py::test_measure_resources_commit_binding_through_real_path — compute_granted (scripts/lean/lean_exec.py:515) derive jobs_cpu de os.cpu_count() : 2 sur ubuntu-latest, 4 ou plus sur le parc local ; le test exige granted == 4 ;
• scripts/tests/test_setup_shared_mathlib_scan.py — scripts/lean/setup_shared_mathlib.ps1:92 convertit la racine du depot en chemins Windows ($RepoRoot -replace '/', '\'), ce qui invalide Test-Path sur un runner POSIX (« Aucun projet Lake avec mathlib trouve. »).

Un job dont la suite de tests est couplee a la forme de l'hote a un besoin local REEL : scripts/ci/audit_self_hosted_needs.py ne le voit pas, parce qu'il classifie le workflow et non la suite que le job execute. Le job ADK runtime contracts (18) du meme fichier est deja sur ubuntu-latest depuis main et passe : le deploiement du workflow n'est donc pas en cause.

Perimetre

3 fichiers : .github/workflows/always-on-guards.yml, .github/workflows/always-on-guards-body.yml, scripts/ci/check_self_hosted_runner_policy.py.

Une ligne de runs-on par job, plus le bloc de commentaire qui documente la mesure et le retour arriere, et la sortie des deux entrees correspondantes de SELF_HOSTED_WORKFLOW_ALLOWLIST — dans le meme commit, comme l'exige la note de rollback portee par ~40 fichiers du depot (precedent : repeated-prose-advisory.yml, #17443).

Les 36 workflows qui ont un besoin local reel (Lean, .NET, kernel de notebook, docker, secret) restent sur le parc local : les deplacer casse, par exemple, le kernel .NET ou le toolchain Lean.

La suite (58 workflows certifies sans besoin local) est une PR distincte, qui reutilisera exactement ce meme diff d'une ligne par fichier — a poser apres ce pilote, dont il mesurera l'effet.

Verification locale

• yaml.safe_load sur les workflows modifies → OK ;
• python scripts/ci/check_self_hosted_runner_policy.py → OK -- all self-hosted jobs satisfy isolation policy, rc=0 (le job n'est plus auto-heberge : la policy s'applique aux jobs auto-heberges, elle est donc satisfaite) ;
• pytest scripts/tests/test_always_on_guards_live_body.py test_check_self_hosted_runner_policy.py test_base_not_main.py test_check_pr_perimeter.py test_bash_e_rc_capture.py → 337 passed ;
• scripts/ci/audit_self_hosted_needs.py --json → les deux workflows sont classes sans besoin local.

Retour arriere

git revert du commit : les deux workflows repartent sur [self-hosted, coursia-ephemeral, coursia-linux] et les deux entrees d'allowlist reviennent. Hors le runs-on et ce commentaire, rien n'est touche : declencheur, paths:, gardes, timeouts et dependances sont inchanges.

Co-Authored-By: Claude Haiku 5.5 noreply@anthropic.com

[myia-ai-01]

[APPROVE myia-ai-01] Mergeable a la tete exacte e8324cd

Diff lu : trois workflows, une ligne de runs-on chacun, plus les commentaires qui documentent la mesure du 27/10 00:45Z et le retour arriere. La garde anti-fork est conservee dans les trois fichiers ; aucun declencheur, aucun paths:, aucun timeout, aucune dependance n'est touche.

Verifications locales a la tete exacte : yaml.safe_load sur les trois workflows (OK) ; scripts/ci/check_self_hosted_runner_policy.py (rc=0, OK) ; pytest scripts/tests/test_always_on_guards_live_body.py test_check_self_hosted_runner_policy.py test_base_not_main.py test_check_pr_perimeter.py test_bash_e_rc_capture.py (337 passed) ; scripts/ci/audit_self_hosted_needs.py --json classe les trois workflows sans besoin local.

Perimetre pilote : les 36 workflows a besoin local reel (Lean, .NET, kernel de notebook, docker, secret) restent sur le parc local.

[myia-ai-01]

[APPROVE myia-ai-01] Mergeable a la tete exacte c800c3a

Deuxieme commit : les trois workflows migres vers ubuntu-latest sortent de SELF_HOSTED_WORKFLOW_ALLOWLIST dans le meme commit, comme l'exige la note de rollback portee par ~40 fichiers du depot (precedent : repeated-prose-advisory.yml, #17443). Le diff est limite au fichier de policy : trois entrees retirees, deux blocs de commentaires qui documentent la mesure du 27/10 00:45Z et le precedent.

Verification locale a la tete exacte : scripts/ci/check_self_hosted_runner_policy.py rc=0 (OK -- all self-hosted jobs satisfy isolation policy) ; pytest scripts/tests/test_check_self_hosted_runner_policy.py scripts/tests/test_always_on_guards_live_body.py 71 passed.

La premiere version du diff (tete e8324cd) portait les trois migrations de runs-on, la garde anti-fork conservee dans les trois fichiers, et un commit de policy incomplet : la divergence commentaire/allowlist est corrigee ici.

[jsboige]

Verification de l'autosuffisance des dependances des trois jambes deplacees (audit local, a la tete c800c3a87ec9413f34b33e50a9bf0a50136bc320)

Le risque que audit_self_hosted_needs.py ne voit pas : l'image self-hosted a un toolcache chaud (paquets deja presents), et une jambe peut y passer sans installer ce dont elle a besoin. J'ai verifie les trois jobs a la ligne :

1. Scripts Tests (CPU) — scripts-tests.yml, etape « Install dependencies » (l. 346-463)

La liste est autosuffisante : numpy pandas scipy pyarrow>=26 pytest · requests bcrypt jupyter_client · ipykernel · pyyaml tomli · python-dotenv · matplotlib · papermill nbformat · nbconvert · pyjwt[crypto] · torch --index-url https://download.pytorch.org/whl/cpu · arch · rapidfuzz unidecode openpyxl · pypdf · open_spiel · z3-solver · opentelemetry-sdk>=1.20.0 pydantic==2.12.5 openai==2.24.0 · pytest-xdist.

Les trois dependances critiques que j'allais chercher :

• torch (l. 406) : scripts/tests/test_sudoku_core_models.py:13 et test_ict_jlens_layers.py:26 font import torch au niveau module → sans lui, ce sont des erreurs de collecte, pas des skips. Le job l'installe deja, avec le meme index que ml-tests.yml:94.
• opentelemetry / pydantic / openai (l. 453) : l'etape documente le cas mesure — le job ne passait que sur les slots au toolcache chaud (run 40182043367, runner myia-po-2027-linux-docker-4, toolcache neuf : 157 x ModuleNotFoundError a la collecte). Les trois sont donc declares explicitement, avec les memes pins que le job ADK.
• open_spiel / z3-solver / arch / rapidfuzz / pypdf : de meme, chacun avec le motif de son absence (erreur de collecte = suite non exercee).

Version python : actions/setup-python@v5 avec python-version: '3.11' est deja dans le job (l. 341-344), donc la version ne change pas d'hote → les roues manylinux cp311 (open_spiel 2.0.2) se comportent pareil.

2. Always-on guards — always-on-guards.yml, etape « Installer dependances detecteurs » (l. 199)

pip install --quiet pyyaml Pillow pytest, et j'ai verifie les imports de premier niveau des 14 scripts python que le job invoque (scripts/check_pr_perimeter.py, check_trivial_diff.py, grain_tag.py, variation_light_cap.py, scripts/ci/fast_lane.py, lane_claim_required.py, check_absorbed_check_run_identity.py, check_env_example_secrets.py, check_grothendieck_umbrella.py, check_results_artifact_weight.py, check_secret_paths_ignored.py, detect_oss_signature.py, emit_dead_scope_warnings.py, scripts/translation/check_pair_count_declared.py) : aucun import tiers hors stdlib — les seuls imports non-stdlib sont des modules du depot (grain_tag, fast_lane_registry, check_lane_claim, ...), resolus par le PYTHONPATH du job. Les deux dependances pip reellement utilisees sont yaml (pyyaml) et Pillow (scan de hierarchie markdown) — les deux installees.

3. Always-on guards -- body — bash scripts/ci/always_on_body_organs.sh : bash + python stdlib uniquement (les 5 organes lisent le body par gh api + grep). Aucune dependance a installer.

Conclusion : les trois jambes sont autosuffisantes sur ubuntu-latest ; le deplacement ne supprime aucune dependance qui n'etait pas deja declaree par le job lui-meme. C'etait le point a verifier avant de deplacer, il est verifie.

(Ce commentaire n'edite ni le body ni le titre de la PR — il ne declenche donc aucun re-declenchement de garde.)

[github-actions]

G-VAR-2/3 GENRE signals (advisory, non bloquant, #10020).
La lane `myia-ai-01:CoursIA` voit ces signaux actifs sur les mergees du jour (UTC 2026-10-27) :

• GENRE-UNKNOWN : le genre canonise `ci` est hors enumeration close -- trou d'adjacence G-VAR-3, requalifier le genre dans le body (Un genre hors énumération passe silencieusement : canonicalize_genre le rend tel quel, aucun signal, adjacence G-VAR-3 inatteignable #12158)

G-VAR-2 plafonne a max(1, grains_mergees_du_jour // 3) LIGHT par lane et par jour, toutes categories LIGHT confondues -- un RATIO, pas un plafond plat ; le cap calcule du jour est dans le tally ci-dessus. G-VAR-3 interdit deux genres LIGHT consecutifs. Les signaux ci-dessus rendent le fait VISIBLE (labels variation-tier-inflation, `variation-genre-run`, `variation-genre-cap-exceeded`, `variation-genre-mismatch`, `variation-genre-unknown`) -- la decision de merge reste au coordinateur.

[jsboige]

Grain tag obligatoire (#10045, bloquant).

unknown.

Pour passer ce gate, le body doit porter en tete une ligne de la forme :

Grain: <DEEP|MED|LIGHT>/<genre> -- lane <machine:workspace> -- prev: <TIER>/<GENRE> #<PR>

Le <genre> doit figurer dans l'enumeration §1 de variation-protocol.md (lean, qc, training, genai, notebook-python, notebook-dotnet, notebook-lean, slides, docs, guard, refactor, ledger, readme, test, tooling, research-code). Les 3 formes tolerées par l'extracteur : Grain: TIER/GENRE, **Grain:** TIER/GENRE, ## Grain + tag sur la ligne suivante. La lane doit suivre le format <machine>:<workspace> (cf. lane-claim-protocol.md).

[myia-ai-01]

[APPROVE myia-ai-01] Approbation couvrant la tete exacte d26b3e8

Les deux approbations precedentes portaient sur des tetes antérieures (e8324cd, c800c3a) : elles ne couvrent pas le contenu livre. Celle-ci la couvre.

Diff lu a la tete exacte : 3 fichiers -- .github/workflows/always-on-guards.yml, .github/workflows/always-on-guards-body.yml, scripts/ci/check_self_hosted_runner_policy.py. Une ligne de runs-on par job, plus le bloc de commentaire qui documente la mesure du 27/10 00:45Z et le retour arriere.

Cette tete corrige deux rouges du pilote, tous deux causes par la PR elle-meme et non par la flotte :

1. Scripts Tests (CPU) (run 40427418743) : 4 echecs sur 20950 tests sur ubuntu-latest. compute_granted (scripts/lean/lean_exec.py:515) derive jobs_cpu de os.cpu_count() (2 sur l'offre hebergee, 4 ou plus sur le parc local) et le test test_measure_resources_commit_binding_through_real_path exige granted == 4 ; scripts/lean/setup_shared_mathlib.ps1:92 convertit la racine du depot en chemins Windows, ce qui invalide Test-Path sur un runner POSIX (les 3 echecs test_setup_shared_mathlib_scan.py). Ces deux causes sont couplees a la forme du runner : scripts-tests.yml reste sur le parc local, et son entree d'allowlist est remise, avec la mesure citee en commentaire.
2. perimeter review guard (#11268) : le body annoncait 3 fichiers alors que la liste effective en comptait 4, et l'affirmation d'exclusivite ne nommait pas les workflows touches. Le body est corrige : 3 fichiers, nommes, plus une section qui dit pourquoi Scripts Tests (CPU) reste local (correction d'un rouge reel, #22331).

Verification locale a la tete exacte : python scripts/check_pr_perimeter.py 22820 -> VERDICT OK (perimetre effectif 3, workflows cites) ; les 5 organes de body (scripts/ci/always_on_body_organs.sh) sur le body corrige -> tag_required pass (tier LIGHT, genre ci, lane myia-ai-01:CoursIA), prev_guard pass (prev 22588 accepte), close_keyword pass, adjacency pass, lane_claim pass ; python scripts/ci/check_self_hosted_runner_policy.py -> rc=0 ; yaml.safe_load sur les workflows modifies -> OK.

La garde anti-fork est conservee dans les deux fichiers deplaces, et le job ADK runtime contracts (18) du meme scripts-tests.yml est deja sur ubuntu-latest depuis main et passe : c'est le deploiement du workflow qui est correct, pas la suite de tests qui est portable.

[jsboige]

Verification apres correction des deux rouges du pilote (Scripts Tests (CPU) + perimeter review guard), a la tete d26b3e891f4bad51d46381f765179ca38d34903c.

Le commentaire automate de 01:27:27Z (« Grain tag obligatoire... unknown ») est un faux positif de la fenetre d'edition du body. La regle Grain: est bien en tete du body actuel, verifiee par l'organe lui-meme en local :

Grain: LIGHT/ci — lane myia-ai-01:CoursIA — prev: MED/genai #22588

$ GH_TOKEN=... PR_NUMBER=22820 PR_BODY="$(cat body.md)" PR_AUTHOR=jsboige IS_FORK=false \
    HEAD_REF=fix/offload-light-legs bash scripts/ci/always_on_body_organs.sh
tag_required   -> {"required_pass": true, "reason": "tag + lane present", "tier": "LIGHT", "genre": "ci", "lane": "myia-ai-01:CoursIA"}
prev_guard     -> {"guard_pass": true, "prev_targets_accepted": [22588]}
close_keyword  -> {"guard_pass": true}
adjacency      -> {"guard_pass": true}
lane_claim     -> {"guard_pass": true}

perimeter review guard (#11268) : VERDICT OK a la tete exacte, avec le perimetre effectif et les workflows cites :

$ python scripts/check_pr_perimeter.py 22820
Perimetre effectif : 3 fichier(s)
  .github/workflows/always-on-guards-body.yml
  .github/workflows/always-on-guards.yml
  scripts/ci/check_self_hosted_runner_policy.py
VERDICT: OK

Scripts Tests (CPU) reste sur le parc local, sur une mesure (run 40427418743 : 4 echecs sur 20950 tests sur ubuntu-latest). Les deux causes sont couplees a la forme du runner, pas au code de la PR :

• scripts/lean/lean_exec.py:515 (compute_granted) derive jobs_cpu de os.cpu_count() — 2 sur l'offre hebergee, 4 ou plus sur le parc local — et scripts/lean/tests/test_lean_exec.py::test_measure_resources_commit_binding_through_real_path exige granted == 4 ;
• scripts/lean/setup_shared_mathlib.ps1:92 convertit la racine du depot en chemins Windows ($RepoRoot -replace '/', '\'), ce qui invalide Test-Path sur un runner POSIX : les 3 echecs scripts/tests/test_setup_shared_mathlib_scan.py (« Aucun projet Lake avec mathlib trouve. »).

Consequence pour l'audit : scripts/ci/audit_self_hosted_needs.py (#17397) classifie le workflow, pas la suite que le job execute. Un job dont la suite est couplee a la forme de l'hote a un besoin local reel. Le job ADK runtime contracts (18) du meme scripts-tests.yml est deja sur ubuntu-latest depuis main et passe : c'est bien la suite, pas le deploiement du workflow, qui n'est pas portable.

Approbation native posee a la tete exacte d26b3e891f4bad51d46381f765179ca38d34903c (review 5661221915).

[github-actions]

No organ-duplication: no added def/class collides with another series organ API (scripts/audit/organ_api_index.yaml).

Detector: python scripts/audit/detect_organ_duplication.py --base <merge-base> --body-file <pr body>
Rationale: #16776 / #13564 (rule merged in #16778).

[github-actions]

Path-collision (organ #13359/#13615)

Cette PR #22820 (Fix(ci,#17397): deporter les trois jambes sans besoin local vers ubuntu-latest) touche au moins un chemin de fichier aussi modifie par d'autres PRs ouvertes. Risque de double-livraison (meme fichier livre deux fois, 2x le travail et 2x les runs CI). Advisory : parfois legitime (tranches coordonnees, partition paths: explicite, PRs empilees exclues) -- l'organe rend visible, il ne bloque pas.

• faible -- Fix(ci,#22009): le golden set de traduction ne derive plus en silence (gate + regeneration) #22216 partage : .github/workflows/always-on-guards.yml
• faible -- Fix(ci,#22209): emetteur d'effets de bord de la voie rapide + job Always-on commenters (volet 1b) #22244 partage : .github/workflows/always-on-guards.yml, scripts/ci/check_self_hosted_runner_policy.py
• fort -- Fix(ci,#17397): deporter 13 gardes PR sans besoin local vers ubuntu-latest (lot 1) #22821 partage : scripts/ci/check_self_hosted_runner_policy.py (issues communes : CI routing : 32 des 124 workflows self-hosted n'ont AUCUN besoin local, dont pr-gate — un gate ne doit pas dependre du parc qu'il mesure #17397)
• fort -- Fix(ci,#17397): deporter 11 gardes PR sans besoin local vers ubuntu-latest (lot 2, empile sur #22821) #22822 partage : scripts/ci/check_self_hosted_runner_policy.py (issues communes : CI routing : 32 des 124 workflows self-hosted n'ont AUCUN besoin local, dont pr-gate — un gate ne doit pas dependre du parc qu'il mesure #17397)