feat(providers): allow trusted encrypted V2 task passthrough

docs-site/src/content/docs/fr/guides/sub-agent-surface.md

@@ -116,27 +116,39 @@ pendant un temps de recharge, il manque un compte Codex poolé utilisable ou au-
 Les sondes de disponibilité sont mises en cache pendant `subagentModelFallbackPollMs` (60 secondes par défaut).
 
 La solution de secours ne rend pas lisibles les tâches chiffrées incompatibles. Lorsque la tâche enfant est chiffrée pour
-ChatGPT, la sélection est restreinte aux cibles ChatGPT natives canoniques même si un modèle externe
-apparaît plus tôt dans la chaîne.
+ChatGPT, la sélection est restreinte aux cibles capables de recevoir ce chiffrage : les cibles ChatGPT natives
+canoniques ou un fournisseur Responses avec l'option explicite `allowEncryptedV2AgentTasks: true`, lorsque le wire final
+reste `openai-responses`. Une surcharge `modelAdapters` qui résout le modèle vers `openai-chat` reste non admissible.
 
 ## Livraison de tâches v2 cryptées
 
-Codex peut envoyer une tâche enfant v2 native vers routé uniquement sous forme `encrypted_content` chiffrée par le backend. Cette
-charge utile peut être lue par le backend natif ChatGPT, mais pas par un fournisseur externe. C'est la
+Codex peut envoyer une tâche enfant v2 native vers routé uniquement sous forme `encrypted_content` chiffrée par le backend. Le
+backend natif ChatGPT peut consommer cette charge utile ; certains relais compatibles peuvent aussi la transmettre à un
+backend capable de la consommer. opencodex ne peut pas déduire cette capacité du nom du fournisseur ou de son Base URL. C'est la
 limitation connue [#92](https://github.com/lidge-jun/opencodex/issues/92).
 
-opencodex échoue en toute sécurité au lieu de transférer une tâche vide ou illisible :
+opencodex échoue en toute sécurité au lieu de transférer une tâche vide ou illisible. Les règles de routage sont les suivantes :
 
-- Une route directe non native renvoie HTTP 400 avec
+- Une route directe non native inéligible renvoie HTTP 400 avec
   `error.code = "unreadable_encrypted_agent_task"` et ne fait pas écho au texte chiffré.
-- Un combo considère uniquement les cibles ChatGPT natives canoniques pour cette tâche, y compris les tentatives. Si aucun
-  est disponible, il renvoie la même erreur 400.
+- Un combo considère uniquement les cibles ChatGPT natives canoniques et les cibles Responses explicitement approuvées pour
+  cette tâche lorsque leur wire final reste `openai-responses`, y compris les tentatives. Si aucune n'est disponible, il
+  renvoie la même erreur 400.
 - Une tâche lisible en texte clair conserve la route normale et le comportement de repli.
 
 Les options de récupération consistent à sélectionner un enfant ChatGPT natif, à ajouter une cible ChatGPT native au combo, à utiliser
 v1 pour la délégation de fournisseurs hétérogènes, ou renvoyer la tâche en texte brut v2 `agent_message`
 contenu lorsque vous contrôlez l’appelant.
 
+Si un endpoint Responses non canonique a été vérifié pour consommer ou relayer ce chiffrage, activez l’option **Passer les tâches
+d’agent V2 chiffrées** dans les paramètres de ce fournisseur, ou définissez `allowEncryptedV2AgentTasks: true` dans sa
+configuration. Cette option est désactivée par défaut et n'est valide que lorsque le wire final du modèle sélectionné est
+`openai-responses` ; une surcharge `modelAdapters` vers `openai-chat` reste donc non admissible. La charge utile opaque est
+transmise sans modification : opencodex ne la déchiffre pas, ne la traduit pas et ne la récupère pas, et cette option ne prouve
+pas la compatibilité du fournisseur. La cible ChatGPT canonique est toujours admissible sans cette option. Une cible ayant activé
+le relais opaque ignore `agentTaskRecovery` pour cette route, car la récupération et le relais opaque sont deux modes de confiance
+distincts.
+
 L’option expérimentale `agentTaskRecovery`, désactivée par défaut, peut récupérer cette forme précise de
 tâche native envoyée vers une route externe. Elle utilise un transfert Responses brut vers le point de
 terminaison ChatGPT `/responses` fixe et la forme d’identification entrante du fournisseur canonique
@@ -154,8 +166,8 @@ récupéré, la fidélité octet par octet n’est pas garantie. Les appelants g
 sont rejetés, et tout échec conserve l’erreur `unreadable_encrypted_agent_task`. Consultez
 [Configuration de l'agent : récupération de tâche chiffrée v2](/fr/reference/configuration/agents/#récupération-des-tâches-v2-chiffrées)
 pour la limite de confiance complète et la configuration.
-Le routage des combinaisons reste inchangé et continue de considérer uniquement les cibles ChatGPT natives
-canoniques pour les tâches chiffrées.
+Le routage des combinaisons applique les mêmes règles d’admissibilité : il considère les cibles ChatGPT natives canoniques et les
+cibles Responses explicitement approuvées pour les tâches chiffrées.
 
 ## Changer le mode
 

docs-site/src/content/docs/guides/providers.md

@@ -87,6 +87,10 @@ what powers the [web-search and vision sidecars](/guides/sidecars/).
 The ChatGPT passthrough catalog also layers in the bare GPT-5.6 Sol/Terra/Luna slugs
 (`gpt-5.6-sol`, `gpt-5.6-terra`, `gpt-5.6-luna`) for accounts that can use them.
 
+For encrypted V2 child tasks, canonical ChatGPT forwarding is trusted implicitly. The
+destination-bound opt-in, final-wire eligibility, and fail-closed behavior for non-canonical
+Responses providers are defined in the [provider configuration reference](/reference/configuration/providers/).
+
 ## 2. Account login (OAuth)
 
 Eight provider presets use OAuth login — plus GitHub Copilot via an experimental unofficial

docs-site/src/content/docs/guides/sub-agent-surface.md

@@ -117,27 +117,37 @@ inside a cooldown, missing a usable pooled Codex account, or beyond the configur
 Availability probes are cached for `subagentModelFallbackPollMs` (60 seconds by default).
 
 Fallback does not make incompatible encrypted tasks readable. When the child task is encrypted for
-ChatGPT, selection is restricted to canonical native ChatGPT targets even if an external model
-appears earlier in the chain.
+ChatGPT, selection is restricted to targets that can receive that ciphertext: canonical native
+ChatGPT or a Responses provider with an explicit `allowEncryptedV2AgentTasks: true` opt-in.
 
 ## Encrypted v2 task delivery
 
-Codex may send a v2 native-to-routed child task only as backend-encrypted `encrypted_content`. That
-payload can be read by the native ChatGPT backend, but not by an external provider. This is the
-known [#92 limitation](https://github.com/lidge-jun/opencodex/issues/92).
+Codex may send a v2 native-to-routed child task only as backend-encrypted `encrypted_content`. The
+native ChatGPT backend can consume that payload; some compatible relays may also be able to pass it
+to a backend that can. OpenCodex cannot infer that capability from a provider name or Base URL. This
+is the known [#92 limitation](https://github.com/lidge-jun/opencodex/issues/92).
 
 opencodex fails safely instead of forwarding an empty or unreadable task:
 
-- A direct non-native route returns HTTP 400 with
+- An ineligible direct non-native route returns HTTP 400 with
   `error.code = "unreadable_encrypted_agent_task"` and does not echo the ciphertext.
-- A combo considers only canonical native ChatGPT targets for that task, including retries. If none
-  is available, it returns the same 400 error.
+- A combo considers only canonical native ChatGPT targets and explicitly trusted Responses targets
+  for that task, including retries. If none is available, it returns the same 400 error.
 - A readable plaintext task keeps the normal route and fallback behavior.
 
 Recovery options are to select a native ChatGPT child, add a native ChatGPT target to the combo, use
 v1 for heterogeneous-provider delegation, or resend the task as plaintext v2 `agent_message`
 content when you control the caller.
 
+If a non-canonical Responses endpoint has been verified to consume or relay this ciphertext, enable
+**Providers → Settings → Pass through encrypted V2 agent tasks** for that provider, or set
+`allowEncryptedV2AgentTasks: true` in its provider config. The option is disabled by default and is
+valid only when the selected model's final wire is `openai-responses`; a `modelAdapters` override to
+`openai-chat` remains ineligible. It passes the opaque task through unchanged; it does not decrypt,
+translate, or recover plaintext, and it does not prove provider compatibility. The canonical ChatGPT
+forward provider is always eligible and needs no flag. A provider opted into passthrough skips
+`agentTaskRecovery` for that route because recovery and opaque forwarding are separate trust modes.
+
 An experimental, disabled-by-default `agentTaskRecovery` option can recover this specific native-
 to-routed shape through a raw Responses passthrough to the fixed ChatGPT `/responses` endpoint using
 the incoming credential shape used by the canonical `openai` provider with `authMode: "forward"`.
@@ -151,8 +161,8 @@ byte-for-byte fidelity is not guaranteed. It rejects generic/API-key proxy calle
 `unreadable_encrypted_agent_task` on any failure. See
 [Agent configuration: Encrypted v2 task recovery](/reference/configuration/agents/#encrypted-v2-task-recovery)
 for the full trust boundary and configuration.
-Combo routing remains unchanged and continues to consider only canonical native ChatGPT targets for
-encrypted tasks.
+Combo routing applies the same eligibility rule and considers canonical native ChatGPT targets plus
+Responses targets with the explicit provider opt-in.
 
 ## Changing the mode
 

docs-site/src/content/docs/ja/guides/providers.md

@@ -82,6 +82,10 @@ ChatGPT パススルーカタログには GPT-5.6 Sol/Terra/Luna の名前空間
 (`gpt-5.6-sol`、`gpt-5.6-terra`、`gpt-5.6-luna`)も含まれます。実際の呼び出し可否はアカウント権限に
 依存します。
 
+暗号化された V2 子タスクでは、正規の ChatGPT 転送は暗黙に信頼されます。非正規 Responses
+プロバイダーの宛先バインド opt-in、最終 wire の適格性、フェイルクローズ動作については、
+[プロバイダー設定リファレンス](/ja/reference/configuration/providers/)を参照してください。
+
 ## 2. アカウントログイン(OAuth)
 
 OAuth ログインを使うプロバイダープリセットは 8 つで、これに実験的な非公式デバイスフロー

docs-site/src/content/docs/ja/guides/sub-agent-surface.md

@@ -72,18 +72,17 @@ v1 では、opencodex は、`max` または `ultra` の取り組みでアップ
 
 重複するモデル ID は、最初に出現したモデル ID を保持しながら削除されます。選択中、opencodex は、無効になっている、ルーティングできない、無効なプロバイダーによってサポートされている、異常とマークされている、クールダウン中、使用可能なプールされた Codex アカウントがない、または設定されたクォータしきい値を超えている候補をスキップします。可用性プローブは `subagentModelFallbackPollMs` に対してキャッシュされます (デフォルトでは 60 秒)。
 
-フォールバックでは、互換性のない暗号化タスクは読み取り可能になりません。子タスクが ChatGPT 用に暗号化されている場合、外部モデルがチェーンの前の方に表示されている場合でも、選択は正規のネイティブ ChatGPT ターゲットに制限されます。
+フォールバックでは、互換性のない暗号化タスクは読み取り可能になりません。子タスクが ChatGPT 用に暗号化されている場合、外部モデルがチェーンの前の方に表示されていても、選択は正規のネイティブ ChatGPT ターゲットまたは、解決後の最終 wire adapter が `openai-responses` のままである `allowEncryptedV2AgentTasks: true` を明示した Responses プロバイダーに制限されます。
 
 ## 暗号化された v2 タスク配信
 
-Codex は、v2 ネイティブからルーティングされた子タスクを、バックエンドで暗号化された `encrypted_content` としてのみ送信できます。そのペイロードは、ネイティブ ChatGPT バックエンドによって読み取ることができますが、外部プロバイダーによっては読み取ることができません。これは既知の [#92限定](https://github.com/lidge-jun/opencodex/issues/92) です。
+Codex は、v2 ネイティブからルーティングされた子タスクを、バックエンドで暗号化された `encrypted_content` としてのみ送信できます。そのペイロードは、ネイティブ ChatGPT バックエンドで処理されるか、互換性を確認して明示的に許可された Responses プロバイダーによって不透明なまま処理または中継されます。これは既知の [#92 の制限](https://github.com/lidge-jun/opencodex/issues/92) です。
 
 opencodex は、空のタスクまたは読み取り不可能なタスクを転送するのではなく、安全に失敗します。
 
-- 直接の非ネイティブ ルートは HTTP 400 を返します。
+- 対象外の直接非ネイティブ ルートは HTTP 400 を返します。
 `error.code = "unreadable_encrypted_agent_task"` であり、暗号文はエコーされません。
-- コンボでは、再試行を含む、そのタスクの正規のネイティブ ChatGPT ターゲットのみが考慮されます。何もない場合
-が利用可能な場合は、同じ 400 エラーが返されます。
+- コンボでは、再試行を含め、そのタスクの正規のネイティブ ChatGPT ターゲットと、最終 wire adapter が `openai-responses` のままである明示的に許可された Responses ターゲットだけが考慮されます。利用可能なターゲットがない場合は、同じ 400 エラーが返されます。
 - 読み取り可能なプレーンテキストのタスクは、通常のルートとフォールバック動作を維持します。
 
 回復オプションは、ネイティブ ChatGPT 子の選択、コンボへのネイティブ ChatGPT ターゲットの追加、異種プロバイダーの委任に v1 を使用する、または呼び出し元を制御するときにタスクをプレーンテキスト v2 `agent_message` コンテンツとして再送信することです。

docs-site/src/content/docs/ja/reference/adapters.md

@@ -103,6 +103,12 @@ HTTP リトライ ループの対象外です。
 - `key` provider は検証済みの相対 `responsesPath` を設定できます。adapter は `baseUrl` 末尾の `/` を 1 つ除き、`{trimmedBaseUrl}{responsesPath}` に送信します。Ark Agent Plan では `baseUrl: "https://ark.cn-beijing.volces.com/api/plan/v3"` と `responsesPath: "/responses"` を使います。
 - `forward` モードでは安全なヘッダー許可リスト（`FORWARD_HEADERS`）だけを中継します。authorization、ChatGPT account id、OpenAI beta/originator/session ヘッダーが対象です。この ChatGPT ログイン経路は [サイドカー](/ja/guides/sidecars/) にも使われます。
 
+暗号化された V2 子タスクの暗号文はこのアダプター上でも不透明なままです。バイト単位で転送
+され、復号・翻訳・復元は行われません。正規の ChatGPT 転送は暗黙に信頼されますが、非正規の
+Responses プロバイダーは互換性を確認したうえで `allowEncryptedV2AgentTasks: true` を明示的に
+設定する必要があります。オプションはデフォルトで無効で、最終 wire が `openai-responses` の場合
+だけ有効です。`openai-chat` への override は対象外です。
+
 ## `anthropic`
 
 **対象:** Anthropic **Messages**（`/v1/messages`）。

docs-site/src/content/docs/ja/reference/proxy-formats.md

@@ -221,7 +221,7 @@ Responses-family および Chat リクエストは、プロバイダーまたは
 | 401 | `authentication_error` |必要なプロキシ アドミッション資格情報が見つからないか無効です。
 | 403 | `origin_rejected` | Responses/OpenAI データプレーン リクエストまたは WebSocket アップグレードが、許可されていないオリジンから送信されました。
 | 503 | `combo_unavailable` |選択したコンボ内のすべてのターゲットは使用不可、クールダウン中、無効、またはその他の理由で不適格です。
-| 400 | `unreadable_encrypted_agent_task` |暗号化された v2 ワーカー タスクには、それを使用できる適格なネイティブ ChatGPT ターゲットがありません。
+| 400 | `unreadable_encrypted_agent_task` |暗号化された v2 ワーカー タスクに、それを不透明なまま処理または中継できる適格なネイティブ ChatGPT 消費者、または最終 wire adapter が `openai-responses` のままである明示的に許可された Responses ターゲットがありません。 |
 | 426 | `upgrade_required` |応答 WebSocket トランスポートが無効になっているか、アップグレードが失敗しました。 HTTP を使用する |
 
 Anthropic オリジンの失敗は Anthropic のエラー エンベロープでレンダリングされるため、オリジンの拒否は OpenAI スタイルの `origin_rejected` 本体ではなく、その方言上の 403 `permission_error` になります。
@@ -230,4 +230,4 @@ Anthropic オリジンの失敗は Anthropic のエラー エンベロープで
 
 プロキシは、本物のバックエンド暗号文を不透明なものとして扱います。構造的に有効な暗号文はバイト単位で保存されます。opencodex は暗号文を復号したり、その内容を変換したり、別のプロバイダー用に再暗号化したりしません。
 
-一部のエージェント フックはこれまで、プレーンテキストの制御テキストを `encrypted_content` スロットに配置していました。互換性を確保するために、プロキシは、構造的に有効な Fernet の実行を変更せずに保持しながら、プレーンテキストをテキスト部分に分割します。 `agent_message` が修復中にすべての暗号化された部分を失った場合、それは通常のユーザー メッセージになります。現在の v2 タスクが完全に暗号化されたままであるが、選択したルーティングされたターゲットがネイティブ ChatGPT 暗号文を読み取ることができない場合、opencodex は読み取り不能なバイトをそのプロバイダーに送信する代わりに `unreadable_encrypted_agent_task` で失敗します。ワーカー タスクに関するクライアントの動作については、[サブエージェントサーフェス](/guides/sub-agent-surface/) を参照してください。
+一部のエージェント フックはこれまで、プレーンテキストの制御テキストを `encrypted_content` スロットに配置していました。互換性を確保するために、プロキシは、構造的に有効な Fernet の実行を変更せずに保持しながら、プレーンテキストをテキスト部分に分割します。`agent_message` が修復中にすべての暗号化された部分を失った場合、それは通常のユーザー メッセージになります。現在の v2 タスクが完全に暗号化されたままで、利用可能な正規の ChatGPT 消費者または最終 wire adapter が `openai-responses` のままである明示的に許可された Responses ターゲットがない場合、opencodex は読み取り不能なバイトをプロバイダーに送信する代わりに `unreadable_encrypted_agent_task` で失敗します。ワーカー タスクに関するクライアントの動作については、[サブエージェントサーフェス](/ja/guides/sub-agent-surface/) を参照してください。