feat(brain): Sicherheitsfilter blockiert nicht mehr das ganze Projekt

Anthropics Filter ("safeguards flagged this message", Details: [cyber]) trifft
genau unsere Themen — Ports, Tunnel, Zugangsdaten. Bisher war danach der
Projekt-Chat tot, und zwar aus einem Grund, den man der Meldung nicht ansieht:

Der Filter meldet sich NICHT als HTTP-Fehler. Die CLI liefert ein voellig
normales Ergebnis mit is_error=true und dem Fehlertext im content — also dort,
wo sonst ARIAs Antwort steht. proxy_client.py warf das Flag weg, der Agent
konnte Fehler und Antwort nicht unterscheiden und schrieb den Text per
conversation.add("assistant", ...) in den Verlauf. Weil der Verlauf bei jedem
Turn mitgeht, scheiterte ab da JEDE weitere Frage an derselben Stelle.

Zwei Stufen dagegen (aria-brain/safeguard.py):

1. Modellwechsel. Der Filter haengt am Modell ("Opus 5's safeguards ..."),
   Anthropic raet selbst zu "change your model". Derselbe Turn wird automatisch
   mit dem Ausweich-Modell neu gefragt; laeuft der Rest des Turns (Tool-Schritte)
   gleich mit darauf weiter. Der ausloesende Turn wird vermerkt, damit die
   naechsten Turns nicht erst wieder gegen die Wand laufen. Der Vermerk
   verfaellt von selbst, sobald der Turn aus dem Rolling Window gerollt ist —
   nichts muss aufgeraeumt werden, und das Projekt faellt von allein aufs
   Hauptmodell zurueck.

2. Quarantaene. Blockt auch das Ausweich-Modell, liegt es am Verlauf selbst.
   Dann faellt der ausloesende Turn aus dem Prompt-Fenster. NICHT geloescht: er
   bleibt in conversation.jsonl, steht mit Text in der Diagnostic und ist per
   Klick zurueckholbar. Der rohe Fehlertext wird nie persistiert — ARIA sagt in
   eigenen Worten, was passiert ist.

Der Zustand liegt in /data/safeguard.json, bewusst nicht in conversation.jsonl:
ein Markieren dort erzwaenge ein Rewrite, und das schreibt nur das In-Memory-
Window zurueck — alles schon Destillierte waere weg.

Erkennung bewusst zweistufig: mit is_error genuegt ein Marker, ohne muss der
Text mit "API Error" beginnen. Sonst wuerde eine Antwort, in der ARIA ueber den
Filter *spricht*, einen Modellwechsel ausloesen.

Mitgenommen:
- Das Memory-Destillat schickt denselben Verlauf nochmal durch und wurde
  genauso blockiert — nur fiel es dort als "unparsbares JSON" auf und
  wiederholte sich bei jedem Lauf. Weicht jetzt ebenfalls aus.
- clean_poisoned_turns.py raeumt die Altlasten: Fehlertexte, die vor diesem Fix
  schon im Verlauf stehen. Neu auch in Projekten (dort sterben sie ja), mit dem
  ausloesenden User-Turn desselben Kontexts, Dry-Run per Default.
- Diagnostic: Ausweich-Modell einstellbar (runtime.json, ohne Neustart, weil
  safeguard.py erst im Ernstfall liest) und ein Panel, das zeigt was blockiert
  wurde und ob es NOCH wirkt.

Tests: 35/35 fuer die Rettungskette gegen den echten agent.chat(), 16/16 fuer
das Aufraeum-Script.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -97,6 +97,7 @@ ARIA hat zwei Rollen:
 | Compute-Node(s) (STT/TTS/LLM) | 1..n GPU-Rechner | `cd xtts && cp .env.example .env && docker compose up -d` |
 | Satellit(en) 🛰️ (optional) | Fremdes Netz (Büro …) | `cd satellite && cp .env.example .env && docker compose up -d --build` |
 | Host-Agent(en) 💻 (optional) | Direkt auf einem Rechner | `cd host-agent && ./build.sh` → Binary + `.env` auf den Rechner, starten (Details unten & in [`host-agent/README.md`](host-agent/README.md)) |
+| Android-Agent 📱📺 (optional) | Handy, Tablet, Fire TV | `cd host-agent/android && ./build.sh` → APK, oder per Satellit via ADB ausrollen (Details unten) |
 | Android App | Stefans Handy | APK installieren (Auto-Update via RVS) |
 
 > Compute-Nodes sind optional: ohne sie faellt STT auf lokales Whisper (CPU,
@@ -463,6 +464,44 @@ manueller Diagnostic-Klick) gehoeren seed_rules zum Brain-Code und werden
 mit jedem Deploy ausgerollt. Editieren = `SEED_RULES`-Liste anpassen,
 Brain neu starten.
 
+### Beispiel: `flugwetter`
+
+Zeigt gut, wie ein Skill mit Zugangsdaten und mehreren Quellen aussieht —
+Briefing fuer **EDWI** (Wilhelmshaven-Mariensiel, Piste 02/20), nur mit
+Python-Bordmitteln, keine pip-Pakete.
+
+| Was | Woher | Kosten |
+|---|---|---|
+| METAR/TAF | aviationweather.gov | frei |
+| Wind, Boeen | Open-Meteo **ICON-D2** | frei |
+| Bedeckung, Sicht | DWD **MOSMIX** Station 10125 | frei |
+| GAFOR, Karten | **ftp.pcmet.de** | Stefans pc_met-Konto |
+
+Die pc_met-Zugangsdaten stehen in der **Skill-Konfiguration**
+(`pcmet_user` / `pcmet_password`), nie im Chat. `ftp.pcmet.de` ist die vom DWD
+dokumentierte Kundenschnittstelle — kein Nachbauen des Browser-Logins noetig.
+`action=discover` listet, was auf dem Server liegt; `action=fetch` holt eine
+Karte nach `/shared/uploads` und gibt sie als `[FILE:]`-Marker zurueck, sodass
+ARIA sie anzeigen oder an einen Agenten schicken kann.
+
+Zwei Dinge, die den Unterschied machen:
+
+- **Seitenwind statt nur Wind.** Gerechnet gegen Piste 02/20 und gegen Stefans
+  15-kt-Grenze (`crosswind_limit_kt`), bewertet werden die **Boeen**.
+- **Jede Zahl nennt ihre Herkunft.** Die Wolkenuntergrenze ist entweder
+  *gemessen* (METAR), ein ausdruecklich markierter *Schaetzwert*
+  (Temp/Taupunkt, 400-ft-Regel) oder *nicht verfuegbar* — dann steht da, dass
+  man ins GAFOR schauen muss. `CAVOK` wird als eigene Aussage behandelt und
+  unterdrueckt die Schaetzung, die sonst direkt widersprechen wuerde.
+  Genau daran war ein Briefing vorher gescheitert: METAR meldete `NCD`
+  (AUTO-Station), das Bodenmodell meldete bedeckt, und niemand wusste, was gilt.
+
+Oben im Ergebnis steht eine **KURZFASSUNG in ganzen Saetzen zum Vorlesen**
+(„fuenftausend Fuss", nicht „5000 ft") — eine vorgelesene Tabelle versteht
+niemand. Fuer die Ausgabe auf einem Geraet kombiniert ARIA:
+`run_flugwetter` → optional `action=fetch` → `host_notify(text=<Kurzfassung>,
+image_path=<Karte>, mode='both', seconds=0)`.
+
 ---
 
 ## Diagnostic — Selbstcheck-UI und Einstellungen
@@ -471,8 +510,8 @@ Erreichbar unter `http://<VM-IP>:3001`. Teilt das Netzwerk mit der Bridge.
 
 ### Tabs
 
-- **Main**: Brain/RVS/Proxy-Status, Chat-Test, "ARIA denkt..."-Indikator, **💭 Gedanken-Stream** (zentrales Modal, zeigt live alle Tool-Calls + Phasen mit Zeitstempel und Trennlinien bei langen Pausen), End-to-End-Trace, Container-Logs
-- **Gehirn**: Memory-Browser (Vector-DB), Suche mit zwei Modi (**📝 Wortlich** = Substring-Match Default + **🧠 Semantisch** mit Score-Threshold), **Advanced Search** (aufklappbares Panel, beliebig viele AND/OR-verknuepfte Felder, + Button fuer mehr Zeilen), Type+Pinned-Filter (greifen auch in der Suche), klappbare Type-Kategorien (Default eingeklappt), Add/Edit/Delete mit Category-Autosuggest, **📎 Anhaenge** pro Memory (Bilder/PDFs/...): Upload + Thumbnail-Vorschau + Lightbox + Lösch-Button, 📎N-Badge in der Liste, automatischer Cleanup beim Memory-Delete. ℹ-Info-Modal das erklaert welche Types FEST in den Prompt vs. Cold Memory wandern. **📄 Druckansicht** (Strg+P → PDF). Konversation-Status mit Destillat-Trigger, **Token/Call-Metrics mit Subscription-Quota-Tracking**, Bootstrap & Migration (3 Wiederherstellungs-Wege), Gehirn-Export/Import (tar.gz)
+- **Main**: Brain/RVS/Proxy-Status, Chat-Test mit **Kontext-Streifen** (Hauptchat + Projekte als Karten mit Status-Dot; Tap wechselt den Fokus, rechts daneben **„+ Projekt"** — legt an, aktiviert und fokussiert in einem Schritt, der Knopf steht ausserhalb des scrollenden Streifens damit er bei vielen Projekten erreichbar bleibt), "ARIA denkt..."-Indikator, **💭 Gedanken-Stream** (zentrales Modal, zeigt live alle Tool-Calls + Phasen mit Zeitstempel und Trennlinien bei langen Pausen), End-to-End-Trace, Container-Logs
+- **Gehirn**: Memory-Browser (Vector-DB), Suche mit zwei Modi (**📝 Wortlich** = Substring-Match Default + **🧠 Semantisch** mit Score-Threshold), **Advanced Search** (aufklappbares Panel, beliebig viele AND/OR-verknuepfte Felder, + Button fuer mehr Zeilen), Type+Pinned-Filter (greifen auch in der Suche), klappbare Type-Kategorien (Default eingeklappt), Add/Edit/Delete mit Category-Autosuggest, **📎 Anhaenge** pro Memory (Bilder/PDFs/...): Upload + Thumbnail-Vorschau + Lightbox + Lösch-Button, 📎N-Badge in der Liste, automatischer Cleanup beim Memory-Delete. ℹ-Info-Modal das erklaert welche Types FEST in den Prompt vs. Cold Memory wandern. **📄 Druckansicht** (Strg+P → PDF). **Datum/Uhrzeit pro Gedanke** („angelegt 03.10.26, 09:14 · geändert … (vor 3 Std)") — `created_at`/`updated_at` lagen immer schon in der DB und wurden nur nie angezeigt. Dazu **Sortierung** (nach Typ gruppiert oder Anlage/Aenderung auf-/absteigend; bei Zeit-Sortierung flach statt gruppiert) und ein **🕒 Zeitraum-Filter** (von/bis, umschaltbar angelegt/geaendert, Schnellwahl Heute / 7 / 30 Tage) der auch fuer Such-Treffer gilt. Konversation-Status mit Destillat-Trigger, **Token/Call-Metrics mit Subscription-Quota-Tracking**, Bootstrap & Migration (3 Wiederherstellungs-Wege), Gehirn-Export/Import (tar.gz)
 - **Skills**: Liste aller Skills mit Logs pro Run, Activate/Deactivate, Export/Import als tar.gz, "von ARIA"-Badge fuer selbst gebaute
 - **Trigger**: passive Aufweck-Quellen. **Timer** (einmalig, ISO-Timestamp oder via `in_seconds` als Server-Berechnung) + **Watcher** (recurring, mit Condition + Throttle). Liste aktiver Trigger + Logs pro Feuer-Event. Modal mit Type-Dropdown, Live-Anzeige aller verfuegbaren Condition-Variablen (`disk_free_gb`, `hour_of_day`, `current_lat/lon`, `last_user_message_ago_sec`, …). **Drei GPS-Funktionen** mit unterschiedlicher Semantik:
   - `near(lat, lon, r)` — SOLANGE im Radius (mit Throttle gegen Spam). Use-Case: „bin ich noch in der Nähe von X?"
@@ -482,11 +521,18 @@ Erreichbar unter `http://<VM-IP>:3001`. Teilt das Netzwerk mit der Bridge.
   Sicherer Condition-Parser via Python `ast` (Whitelist, kein `eval`). Der System-Prompt enthaelt zusaetzlich einen `## Aktuelle Zeit`-Block (UTC + Europa/Berlin) damit ARIA Timer-Zeitpunkte korrekt setzen kann.
 
   **Auflösung**: Background-Loop tickt alle 8s (vorher 30s — bei 100 km/h durch einen 300m-Radius war eine Vorbeifahrt nur ~22s drin und konnte verpasst werden). Plus event-getrieben: Bridge ruft nach jedem `location_update` von der App sofort einen `/triggers/check-now` im Brain — Watcher sehen die frische Position in Millisekunden statt im Polling-Takt. `near()`-Funktionen ignorieren GPS-Daten älter als 5 Minuten (verhindert Phantom-Fires bei abgeschaltetem Tracking).
+
+  **Projekt-Kontext**: ein Trigger merkt sich das Projekt, in dem er angelegt wurde (`project_id`), und die Antwort kommt beim Feuern **dort** zurueck. Ohne das landete jede Trigger-Antwort im Hauptchat — im Projekt-Thread blieb es still, und es sah aus wie „der Timer hat nicht gefeuert".
+
+  **Zustand ehrlich**: ein One-Shot-Timer wird nach dem Feuern automatisch deaktiviert. `trigger_list` zeigt darum ausdruecklich `SCHON GEFEUERT (Nx, zuletzt <Zeit>)` statt nur „DEAKTIVIERT" — sonst sind „hat sauber gefeuert" und „war nie an" nicht unterscheidbar, und ARIA berichtet guten Glaubens das Falsche.
+- **Integrationen → Jellyfin**: beliebig viele Server (`+`-Button) mit URL + API-Key. ARIA steuert die Wiedergabe ueber die **API** (`jellyfin_search` / `jellyfin_devices` / `jellyfin_play` / `jellyfin_control`) statt sich per `ui_tap` durch die Oberflaeche zu klicken — schneller und zuverlaessiger. Eine eingeschlafene Sitzung erkennt ARIA selbst und baut sie neu auf.
 - **Dateien**: Browser fuer `/shared/uploads/` mit Multi-Select + "Alle markieren" + Bulk-Download (ZIP bei 2+) + Bulk-Delete. Live-Update der Chat-Bubbles beim Delete.
 - **Einstellungen**: Reparatur (Container-Restart fuer Brain/Bridge/Qdrant), Komplett-Reset, Betriebsmodi, Sprachausgabe + Voice-Cloning + F5-TTS-Tuning + Voice Export/Import, **FLUX Bildgenerierung** (Default-Modell + Raw/Switch-Keywords + HF-Token), **OAuth-Apps** (Spotify Default, alle anderen Provider per ARIA on-demand oder "+ Custom"-Button mit auth_url/token_url/scopes) mit client_id+client_secret pro Service + One-Click-Autorisieren + Service-Loeschen, Whisper, Sprachmodell (brainModel), Onboarding-QR, App-Cleanup
 
 ### Was zusaetzlich noch drin steckt
 
+- **Agent-Historie** (Satelliten → Host-Agenten): pro Agent eine aufklappbare Historie der Befehle und Screenshots, gruppiert **pro User-Nachricht** — man sieht, welche Geraete-Aktionen zu welcher Frage gehoerten. Brain schickt dafuer je Host-Aktion ein `agent_history`-Event; die Bridge haelt es und antwortet auf `agent_history_query`.
+- **Auslastungs-Monitor** pro Compute-Box: Klick auf „Auslastung" zeigt **live `nvidia-smi`** (1s-Takt) plus zwei Verlaufs-Graphen (GPU-Last und Token-Verbrauch, 15s-Sampling, Ringpuffer ~2h) und ein Besen-Symbol zum Zuruecksetzen. Die **Historie liegt auf der Box**, nicht im Diagnostic — abgeholt per RVS (`node_stats_*`), kein SSH und kein Docker-Socket noetig.
 - **Disk-Voll Banner** mit copy-baren Cleanup-Befehlen (safe + aggressiv)
 - **Token/Call-Metrics**: pro Claude-Call ein Eintrag in `/data/metrics.jsonl` mit ts + Token-Schaetzung. Gehirn-Tab zeigt 1h/5h/24h/30d-Aggregat plus Progress-Bar gegen Plan-Limit (Pro / Max 5x / Max 20x / Custom). Warn-Schwelle 80%, kritisch 90%.
 - **Voice Cloning**: Audio-Samples hochladen, Whisper transkribiert den Ref-Text automatisch
@@ -497,7 +543,12 @@ Erreichbar unter `http://<VM-IP>:3001`. Teilt das Netzwerk mit der Bridge.
 - **Debug-API ohne SSH** (Diagnostic-Server, Port 3001):
   - `GET /api/chat-backup?lines=N` — letzte N Zeilen aus `chat_backup.jsonl` (Default 200, max 5000) als geparstes JSON. Hilfreich um nachzuvollziehen was ARIA tatsaechlich gemacht hat.
   - `GET /api/agent-stream?lines=N` — gleiche Mechanik fuer den persistierten Live-Stream (Tool-Calls + Inputs + Outputs).
-- **OAuth-Callback-Pipeline**: Caddy davor terminiert TLS via Let's Encrypt, RVS hat einen HTTP-Listener auf demselben Port wie der WebSocket. Provider (Spotify/Dropbox/Discord/...) redirecten den User an `https://{RVS_HOST}/oauth/callback/{service}` → RVS broadcastet als `oauth_callback`-WS-Message → aria-bridge forwarded an Brain → Brain matched `state`, tauscht `code` gegen Token, persistiert in `/shared/config/oauth_tokens.json`. Token-Refresh laeuft automatisch. ARIA hat vier Brain-Tools: **`oauth_register_provider`** (legt URLs eines neuen Providers wie Dropbox/Discord/Notion/... on-demand in `oauth_apps.json` an — Credentials bleiben Stefans Job), `oauth_authorize`, `oauth_get_token`, `oauth_revoke`
+- **OAuth-Callback-Pipeline**: Caddy davor terminiert TLS via Let's Encrypt, RVS hat einen HTTP-Listener auf demselben Port wie der WebSocket. Provider (Spotify/Dropbox/Discord/...) redirecten den User an `https://{RVS_HOST}/oauth/callback/{service}` → RVS broadcastet als `oauth_callback`-WS-Message → aria-bridge forwarded an Brain → Brain matched `state`, tauscht `code` gegen Token, persistiert in `/shared/config/oauth_tokens.json`. Token-Refresh laeuft automatisch. ARIA hat fuenf Brain-Tools: **`oauth_register_provider`** (legt URLs eines neuen Providers wie Dropbox/Discord/Notion/... on-demand in `oauth_apps.json` an — Credentials bleiben Stefans Job), `oauth_authorize`, `oauth_get_token`, **`oauth_call`**, `oauth_revoke`
+- **Sprachmodell**: die Auswahlliste kommt aus **Anthropics eigenem Modell-Katalog** (`downloads.claude.ai/model-catalog/v1/catalog.json`, Surface `cc`) — dieselbe Quelle, aus der sich Claude Code bedient. Oeffentlich, ohne API-Key. Oben die **Tier-Aliase** (opus/sonnet/haiku/fable), die automatisch der neuesten Version folgen; darunter die **exakten Versionen**, aeltere als solche markiert. „↻ Aktualisieren" holt frisch, sonst 6h-Cache mit Datei-Fallback fuer offline. **🔬 Testen** schickt eine echte Mini-Anfrage durch den ganzen Weg und zeigt, welches Modell tatsaechlich geantwortet hat (aus `modelUsage.canonicalModel` der CLI — das Modell selbst zu fragen waere unzuverlaessig). Vier Ergebnisse: Tier aufgeloest (gruen), exakte Version (gruen), **nicht erkannt** (gelb — der Proxy haette still `opus` eingesetzt), ungueltig (rot, mit CLI-Begruendung)
+- **Sicherheitsfilter-Rettung** (🛡 Sicherheitsfilter): Anthropics Filter („*... safeguards flagged this message*", `Details: [cyber]`) trifft gern genau die Themen, um die es hier geht — Ports, Tunnel, Zugangsdaten. Die Meldung kommt **nicht** als HTTP-Fehler: die CLI liefert ein normales Ergebnis mit `is_error:true` und dem Fehlertext im `content`, also genau dort, wo sonst ARIAs Antwort steht. Ungeprueft landete dieser Text als ARIAs Wort im Verlauf — und weil der Verlauf bei jedem Turn mitgeht, kippte danach **jede** weitere Frage im selben Projekt an derselben Stelle. Jetzt zwei Stufen: **(1)** derselbe Turn wird automatisch mit dem **Ausweich-Modell** neu gefragt (einstellbar unter Sprachmodell, Default: anderes Tier — der Filter haengt am Modell, Anthropic raet selbst zu „change your model"); der ausloesende Turn wird vermerkt, damit die naechsten Turns nicht erst wieder gegen die Wand laufen, und der Vermerk verfaellt von selbst, sobald der Turn aus dem Rolling Window gerollt ist. **(2)** Blockt auch das Ausweich-Modell, liegt es am Verlauf: der ausloesende Turn fliegt aus dem Prompt-Fenster (**Quarantaene**) — nicht geloescht, er bleibt in `conversation.jsonl`, steht mit Text im Panel und ist per „↩ Zurueckholen" wieder drin. Der rohe API-Fehlertext wird nie persistiert; ARIA sagt in eigenen Worten, was passiert ist. Das Panel zeigt pro Vorfall Projekt, Modell, Klassifikator-Code und ob die Blockade **noch wirkt** (= Turn liegt noch im Fenster). Zustand in `/data/safeguard.json`, Code in [`aria-brain/safeguard.py`](aria-brain/safeguard.py); gilt auch fuer das Memory-Destillat, das denselben Verlauf nochmal durchschickt. **Altlasten** — Fehlertexte, die vor diesem Fix schon in `conversation.jsonl` stehen und dort weiter vergiften — raeumt [`aria-brain/clean_poisoned_turns.py`](aria-brain/clean_poisoned_turns.py) einmalig weg (Dry-Run per Default, `--apply` schreibt mit Backup; findet jetzt beide Giftsorten und in Projekten genauso wie im Hauptchat)
+- **Datenschutz-Schalter**: die drei Kanaele, ueber die Claude Code zusaetzlich sendet (`DISABLE_ERROR_REPORTING`, `DISABLE_TELEMETRY`, `DISABLE_FEEDBACK_COMMAND`) pruefen und setzen. Geschrieben wird nach `~/.claude/settings.json` unter `env` — die CLI liest das bei jedem Aufruf, **kein Neustart noetig**. Geprueft wird, was wirklich im Prozess ankommt: eine per docker-compose gesetzte Variable gewinnt und wird als gesperrt angezeigt, statt einen wirkungslosen Haken anzubieten. **Nicht** dasselbe wie die Trainings-Einstellung — die steht im Anthropic-Konto (Link daneben)
+- **Warnung bei veralteten Proxy-Patches**: der Proxy kopiert `proxy-patches/` beim **Start**. Wer nach einem `git pull` nur neu startet — oder neu startet, bevor der Pull durch ist — laeuft still mit der alten Fassung. Nichts deutet darauf hin. Die Einstellungen vergleichen jetzt die Zeitstempel und zeigen den fertigen Befehl (`--force-recreate proxy`)
+- **Anhang-Limit** (System & Wartung): Groesse fuer Memory-Anhaenge, Default 64 MB. Liegt in `runtime.json`, das Brain liest es bei jedem Upload neu — greift sofort. Ueber 64 MB warnt die UI, weil die Handy-App darueber nichts mehr herunterlaedt
 
 ---
 
@@ -514,6 +565,9 @@ Erreichbar unter `http://<VM-IP>:3001`. Teilt das Netzwerk mit der Bridge.
 - **Wake-Word** (on-device, openWakeWord ONNX): "Hey Jarvis", "Alexa", "Hey Mycroft", "Hey Rhasspy" — Mikrofon hoert passiv mit, Konversation startet beim Schluesselwort. Komplett on-device via ONNX Runtime, kein API-Key, kein Cloud-Roundtrip, Audio verlaesst das Geraet nicht.
 - **VAD (Voice Activity Detection)**: Adaptive Schwelle (Baseline aus ersten 500ms Mic-Pegel + 6dB Offset). Konfigurierbare Stille-Toleranz (1.0–8.0s, Default 2.8s) bevor Auto-Stop greift. Max-Aufnahme einstellbar (1–30 min, Default 5 min)
 - **Nachricht anstellen statt abbrechen** (Queue pro Projekt): Schickst du eine zweite Nachricht waehrend ARIA noch am aktuellen Task arbeitet, wird sie **angestellt** statt den laufenden abzubrechen — laeuft der Reihe nach, pro Projekt unabhaengig. Wartende zeigen als `⏸`-Bubble (tippen entfernt sie aus der Warteschlange). Explizites Abbrechen laeuft ueber den Stop-Button am „ARIA denkt". Eine neue Sprachnachricht stoppt nur akustisch das TTS (sauberes Mikro), bricht die laufende Arbeit aber nicht mehr ab
+- **Zwischenruf** (📣): schiebt eine Korrektur in den **laufenden** Turn statt sie anzustellen — ohne Abbruch. Erscheint, sobald ARIA im Kontext arbeitet. Mit Text im Feld geht er sofort raus; **ohne Text schaltet er die naechste Aufnahme scharf**, dann geht der Zwischenruf per Sprache. Der laufende Turn wird dabei nicht gecancelt, nur die Wiedergabe gestoppt (sonst redet ARIA ins offene Mikro)
+- **Sprachnachricht zu Anhaengen**: Bild anhaengen und den Auftrag dazu **sprechen** statt tippen. Die Dateien gehen beim Antippen des Mikros sofort hoch (Upload laeuft parallel zum Reden); die Bridge fuehrt Anhang und gesprochenen Satz ueber die `clientMsgId` zu **einem** Turn zusammen und legt beides in **eine** Bubble. Ohne das sah ARIA ein Bild ohne Auftrag und danach einen Satz ohne Bild. Das Mikro ist darum immer sichtbar — auch mit Anhang oder getipptem Text
+- **Teilen-Ziel** (Android-Share): „Teilen → ARIA" aus WhatsApp, Galerie, Browser … → Dialog zeigt *was* geteilt wurde, dann *wohin* (Projekt oder Hauptchat), dann optional ein Text dazu (darf leer bleiben). Die native Seite kopiert die Dateien sofort in den App-Cache, weil die Leseerlaubnis einer `content://`-URI nur fuer diesen Intent gilt und nach der Projektauswahl schon erloschen waere
 - **Rueckfrage-Loop**: Stellt ARIA eine echte, blockierende Rueckfrage, **pausiert** die Queue und deine naechste Eingabe beantwortet sie — bis eine finale Antwort kommt, dann laeuft der naechste Queue-Eintrag (gleiches Muster). Banner „❓ ARIA fragt nach — deine Eingabe beantwortet das". ARIA signalisiert das ueber einen unsichtbaren `[[AWAIT]]`-Marker im Antworttext (das Modell deklariert den Zustand selbst, kein „endet-mit-?"-Raten; Brain strippt ihn und gibt `awaiting_reply` an App + Diagnostic durch)
 - **Pro-Projekt-Textfeld-Entwuerfe**: Der Feldinhalt bleibt beim Projektwechsel erhalten — in Projekt X tippen, zu Y wechseln (leeres Feld), zurueck zu X → dein Entwurf steht wieder da. Persistiert ueber Neustart. Gleiches Verhalten im Diagnostic
 - **Wake-Word waehrend TTS**: Du kannst "Computer" sagen waehrend ARIA noch redet — AcousticEchoCanceler verhindert dass ARIAs eigene Stimme das Wake-Word triggert
@@ -819,6 +873,24 @@ Jeder Dienst haengt an einem Compose-Profil. Ein Node startet ueber
 | `whisper` | aria-whisper-bridge          | STT-Fallback (faster-whisper CUDA) |
 | `f5tts`   | aria-f5tts-bridge            | TTS (F5-TTS Voice Cloning) |
 | `llm`     | aria-llama-swap + llm-adapter| Lokales LLM (llama-swap, OpenAI-kompat.) |
+| `openhands`| aria-openhands              | OpenHands gegen das lokale LLM (optional) |
+
+#### OpenAI-Endpunkt fuers lokale LLM
+
+Das lokale LLM ist zusaetzlich als **OpenAI-kompatibler Endpunkt** erreichbar —
+damit laesst sich z.B. OpenHands oder jedes andere OpenAI-SDK darauf richten.
+Port und Key kommen aus der `.env` der Box (`LLM_OPENAI_PORT`,
+`LLM_OPENAI_API_KEY`, siehe `xtts/.env.example`).
+
+> **Die `.env` gewinnt immer.** Steht der Wert dort, sind die Felder in der
+> Diagnostic **nur lesend** — sonst traegt man dort etwas ein, es wirkt nach dem
+> naechsten Container-Start nicht, und niemand versteht warum. Ist in der `.env`
+> nichts gesetzt, laesst sich der Key pro Box in der Diagnostic pflegen
+> (`llm_openai_config`).
+
+Der Port ist ein Docker-Port-Mapping und darum **nie** aus der Diagnostic
+aenderbar. Zur Absicherung nach aussen: SSH-Tunnel statt den Port im LAN
+aufzureissen (Details in [`xtts/README.md`](xtts/README.md)).
 
 ### Architektur (Aufteilung auf mehrere Nodes)
 
@@ -1004,6 +1076,112 @@ keine offenen Ports; alle Kommandos werden geloggt. Gibt **vollen** Rechnerzugri
 
 > Sichtbar in der Diagnostic unter **Satelliten → Host-Agenten 💻**.
 
+### GUI-Steuerung (Desktop)
+
+Auf Linux/Windows/macOS kann der Agent zusaetzlich die **grafische Oberflaeche**
+bedienen (`host_ui_tap` / `host_ui_text` / `host_ui_swipe` / `host_ui_key` /
+`host_app_launch`). Das ist **capability-gated**: der Agent meldet beim
+`host_hello` nur, was er wirklich kann — auf einem Linux-Server ohne X/Wayland
+fehlt die GUI-Faehigkeit einfach in der Liste, und ARIA sieht das. Eingabe-Weg
+je System: `windows` · `macos` · `xdotool` (X11) · `ydotool` (Wayland).
+
+---
+
+## Android-Agent 📱📺 — Handy, Tablet, Fire TV
+
+Dieselbe APK laeuft auf **Handy/Tablet** und auf **Fire TV / Android TV**
+(`host-agent/android/`). Sie ist das Android-Gegenstueck zum Host-Agenten:
+ausgehende Verbindung zum RVS, kein offener Port, erscheint in der Diagnostic
+unter **Satelliten → Host-Agenten 💻**.
+
+**Sehen** — Screenshot (MediaProjection) und Bildschirm-Inhalt als Struktur
+(`ui_dump` via Accessibility-Service, nur lesend). Beides geht auch bei
+gesperrtem Geraet.
+
+**Steuern** — `ui_tap` / `ui_text` / `ui_swipe` / `ui_key` / `app_launch` ueber
+den Accessibility-Service. **Nur bei entsperrtem Geraet** — Android laesst
+Gesten auf dem Sperrbildschirm nicht zu; der Agent sagt das klar, statt stumm
+nichts zu tun. Auf dem Fire TV gibt es keinen Touchscreen, dafuer das D-Pad.
+
+**Ausgeben** (v.a. Fire TV, dort ist ARIA ein echter Endpunkt):
+
+| Weg | Was passiert |
+|-----|--------------|
+| Einblendung | Text ueber dem laufenden Bild (Overlay, braucht „Ueber anderen Apps anzeigen") |
+| Sprache | ARIAs **echte** Stimme — der Agent fordert das Audio per `tts_request` ueber den normalen F5-TTS-Pfad an und spielt das PCM ab |
+| Einstellung | Overlay oder Sprache als Standard, pro Anfrage ueberschreibbar (`mode`) |
+| Bild + Text | `host_notify(image_path=/shared/uploads/...)` blendet ein Bild MIT Text ein — z.B. eine Wetterkarte |
+
+**Wie die Einblendung wieder weggeht.** Eine feste Anzeigedauer ist immer
+geraten: mal zu kurz zum Lesen, mal steht sie laengst im Weg. Darum bedeutet
+`seconds=0`: **bleibt, bis Stefan etwas tut.**
+
+- *Fernbedienung*: der Accessibility-Dienst bekommt `onKeyEvent` und raeumt die
+  Einblendung weg — gibt die Taste aber mit `return false` **weiter an den
+  Film**. Es geht kein Tastendruck verloren, der Player bleibt bedienbar.
+- *Touch*: `FLAG_WATCH_OUTSIDE_TOUCH` meldet eine Beruehrung daneben; die geht
+  dank `FLAG_NOT_TOUCHABLE` gleichzeitig an die App darunter.
+- *Notbremse*: nach 10 Minuten verschwindet sie in jedem Fall.
+
+> Bewusst **nicht** der naheliegende Weg (Overlay faengt Tasten selbst ab):
+> dafuer muessten `FLAG_NOT_FOCUSABLE` und `FLAG_NOT_TOUCHABLE` weg — und dann
+> nimmt die Einblendung dem laufenden Film JEDE Eingabe, solange sie steht.
+>
+> Der Accessibility-Dienst braucht dafuer `canRequestFilterKeyEvents`. Nach
+> einem Update also pruefen, ob er in den Bedienungshilfen noch aktiv ist —
+> Android schaltet Dienste bei geaenderter Konfiguration gern ab.
+
+> Fire TV Sticks haben oft **keine deutsche TTS-Engine**. Darum laeuft die
+> Sprachausgabe bewusst nicht ueber die Geraete-Stimme, sondern ueber ARIAs
+> eigene. Die Geraete-Stimme gibt es nur noch auf ausdrueckliche Anforderung
+> (`engine=device`).
+
+**Audio-Fokus** — bevor ARIA redet, wird der laufende Film leiser (`duck`) oder
+angehalten (`pause`); danach laeuft er weiter. Sonst redet ARIA mitten in
+Netflix hinein und man versteht beides nicht.
+
+**Sprachdialog** — der Agent kann auch *zuhoeren* (`listen` / `listen_stop`) und
+streamt das Mikrofon mit demselben Protokoll wie die App
+(`stt_stream_start` → `stt_audio_chunk` → `stt_stream_end`).
+
+> **Turn-Ownership:** der RVS ist ein Broadcast-Relay ohne Adressierung — jeder
+> Client im Raum bekommt jede Antwort. Ohne Filter wuerden Handy und Fire TV
+> dieselbe Antwort gleichzeitig vorlesen. Jedes Geraet gibt darum nur aus, was
+> aus *seiner* eigenen Frage entstanden ist (`audioRequestId` → `messageId`).
+
+### Bauen + ausrollen
+
+```bash
+cd host-agent/android && ./build.sh      # Docker (Android-SDK + Gradle)
+# -> dist/aria-android-agent.apk
+
+# Release mit allen Agent-Artefakten (Linux/Windows/Android) als Gitea-Assets:
+cd host-agent && ./release_agent.sh 0.0.1.4
+```
+
+Der Signaturschluessel liegt fest in `host-agent/android/aria-agent.keystore`
+(gitignored). Ohne ihn bekaeme jeder Build einen neuen Debug-Key, und Android
+verweigert die Installation mit *„Konflikt mit einem bestehenden Paket"* statt
+zu aktualisieren.
+
+### Ausrollen per Satellit (ohne Kabel, ohne Abtippen)
+
+Ein Satellit im selben Netz kann Android-Geraete per **ADB over Network**
+bespielen — besonders fuer den Fire TV, wo QR-Code-Scannen nicht geht:
+
+```
+Diagnostic → Satelliten → Geraet → „Agent ausrollen"
+```
+
+Der Satellit verbindet per ADB (Port 5555, wartet auf die Bestaetigung am
+Geraet — ein Klick genuegt), installiert die APK, erteilt die Berechtigungen per
+`appops`/`pm grant` und **provisioniert die RVS-Zugangsdaten per Intent** — man
+tippt am Fernseher nichts ein. Ein schon vergebener Geraetename wird dabei
+vorgeschlagen; nur wenn es keinen gibt, kommt der automatisch generierte.
+
+> Die Berechtigungen bleiben ueber Neustarts erhalten; die Bildschirm-Aufnahme
+> schaltet sich nach einem Reboot selbst wieder scharf.
+
 ---
 
 ## Docker Volumes
@@ -1032,6 +1210,40 @@ keine offenen Ports; alle Kommandos werden geloggt. Gibt **vollen** Rechnerzugri
 6. **Panic Button**: `docker compose down` → sofort stoppen
 7. **Alles loggen** — Stefan sieht immer was passiert
 
+### Secrets und was bei Anthropic landet
+
+ARIA laeuft ueber Claude Code auf einem Claude-Abo. **Alles, was ARIA sieht —
+auch jedes Tool-Ergebnis — wird uebertragen und gespeichert.** Bei Consumer-
+Plaenen (Free/Pro/Max) haengt es an einer Einstellung im Konto, ob daraus auch
+Trainingsdaten werden; die Aufbewahrung betraegt entsprechend 5 Jahre oder
+30 Tage ([claude.ai/settings/data-privacy-controls](https://claude.ai/settings/data-privacy-controls),
+Details in Anthropics [Data-usage-Doku](https://code.claude.com/docs/en/data-usage)).
+
+Daraus folgen drei Regeln:
+
+1. **Secrets nie in den Chat tippen.** Das ist der Weg, ueber den hier
+   tatsaechlich einmal ein `client_secret` abgeflossen ist — nicht ueber ein
+   Tool, sondern weil es eingetippt und von ARIA zurueckzitiert wurde. Der
+   System-Prompt und die seed_rules weisen ARIA inzwischen an, das abzulehnen
+   und ein Secret nie zu wiederholen.
+2. **Zugangsdaten gehoeren in eine Konfiguration, nicht in Code oder Chat.**
+   OAuth → Diagnostic → OAuth-Apps. Alles andere (Benutzername/Passwort,
+   API-Keys) → **Skill-Konfiguration** (`skill_set_config`), kommt zur Laufzeit
+   als `CFG_<NAME>` an und wird in der Oberflaeche maskiert.
+3. **ARIA bekommt Zugangstokens nicht mehr zu sehen.** `oauth_get_token` sagt
+   nur noch, OB authentifiziert ist. Fuer API-Aufrufe gibt es **`oauth_call`**:
+   das Brain haengt die Authorization selbst an, fuehrt den Request aus und
+   gibt nur die Antwort zurueck — der Token verlaesst den Brain-Prozess nicht.
+   Abgesichert durch eine Host-Sperre: nur https und nur Hosts, die zum
+   Provider gehoeren (Vergleich auf den letzten zwei Labels, **nicht** per
+   `endswith` — sonst waere `boesespotify.com` durchgerutscht).
+
+> Was ARIA NICHT schuetzt: sie laeuft mit Root im Proxy-Container und hat
+> `/shared` gemountet. Sie *kann* `/shared/config/*.json` lesen, wenn sie
+> hinschaut — und was sie liest, ist Tool-Ergebnis. Die Dateirechte (600)
+> helfen dagegen nicht. Behandle jedes dort erreichbare Secret als
+> „sichtbar, sobald ARIA hinschaut".
+
 ---
 
 ## Haeufige Befehle
@@ -1073,14 +1285,28 @@ docker exec aria-brain curl localhost:8080/memory/stats
   `Hey Rhasspy` funktionieren sofort, eigene Wake-Words muessen aktuell noch als
   `.onnx`-Datei ins App-Bundle gelegt + zur Liste in `wakeword.ts` hinzugefuegt werden.
   Die Diagnostic-Upload-UI ist Phase 2.
-- **Audio-Format**: App nimmt AAC/MP4 auf, Bridge konvertiert via FFmpeg zu 16kHz PCM.
+- **Audio-Format**: Die App streamt live 16 kHz mono s16le an die STT-Bridge
+  (`stt_stream_start` → `stt_audio_chunk` → `stt_stream_end`). Der alte Weg
+  (AAC/MP4 aufnehmen, Bridge konvertiert per FFmpeg) existiert noch als Fallback.
+- **Sprachaufnahme ist nicht wiederaufsetzbar**: Die Audio-Chunks gehen live
+  raus. Bricht die Verbindung mitten in der Aufnahme ab, fehlt dieses Stueck —
+  es wird nicht gepuffert und nicht nachgeschickt. Gleiches gilt fuer die
+  Sprachausgabe: F5-TTS streamt saetzeweise PCM, ein Abbruch verliert den Rest.
+  Lokal aufnehmen + wiederaufsetzbar hochladen (Queue mit Teil-Uebertragung)
+  waere der naechste Schritt, ist aber noch nicht gebaut.
 - **RVS Zombie-Connections**: WebSocket-Verbindungen sterben gelegentlich ohne Fehlermeldung.
   Bridge hat Ping-Check (5s), Diagnostic nutzt frische Verbindungen pro Request.
-- **Bildanalyse eingeschraenkt**: Bilder werden in `/shared/uploads/` gespeichert. ARIA kann
-  sie per Bash/Read-Tool oeffnen, aber Claude Vision (direkte Bildanalyse) ist ueber den
-  Proxy-Pfad (`claude --print`) noch nicht moeglich. ARIA sieht den Dateipfad, nicht das Bild.
-- **Dateigroesse**: Grosse Dateien (>5MB) koennen WebSocket-Limits ueberschreiten.
-  Bilder werden in der App auf max 1920x1920px @ 80% Qualitaet komprimiert.
+  App-seitig fragt die Aufnahme-Sperre den Socket statt den gemerkten Zustand.
+- **Dateigroesse**: Der RVS und alle Worker fahren `max_size` 1500 MB (≈1 GB
+  binaer plus base64-Overhead); groessere Dateien weist die Bridge aktiv ab,
+  statt die Verbindung reissen zu lassen. Die App holt ueber **25 MB** nichts
+  mehr ungefragt nach und bremst beim ausdruecklichen Antippen bei **64 MB** —
+  base64-in-JSON muss komplett in den Speicher, und ein 150-MB-Video hat das
+  Handy per OOM umgebracht. Bilder werden in der App auf max 1920x1920px @ 80%
+  Qualitaet komprimiert.
+- **Lautstarke Umgebung stoert die STT**: Laute Musik im Raum verschlechtert die
+  Erkennung messbar. Bewusst akzeptiert — Wake-Wort-Bestaetigung und der
+  Silero-Endpoint stehen als Opt-in bereit.
 
 ---
 
@@ -1190,6 +1416,52 @@ docker exec aria-brain curl localhost:8080/memory/stats
 - [x] **Bridge-Hang-Schutz + Voice-Speed persistent**: 3-Schichten-Watchdog (TCP-Keepalive + Asyncio-Watchdog + File-Based Liveness mit Self-Kill), TLS-Fallback klebt nicht mehr beim Reconnect. `xttsSpeed` jetzt im voice_config.json persistiert — greift auch bei Diagnostic-Chats und nach Bridge-Restart
 - [x] **Bubble-Aktionen in der App**: Long-Press oder ⎘-Icon auf einer Chat-Bubble → Aktions-Menu mit "📋 Ganzen Text teilen" plus pro extrahierte URL/E-Mail/Telefonnummer eine eigene Teilen-Option (System-Share-Sheet → Zwischenablage / Apps / Browser)
 
+### Phase C — ARIA greift auf echte Geraete durch (09–10/2026)
+
+- [x] **Host-Agenten** (Linux/Windows/macOS): Standalone-Binary, ausgehend zum RVS, steuert den Rechner auf dem es laeuft. Windows-Build per Docker+Wine samt `setup.exe` (NSIS + nssm) das einen Dienst installiert und seine `.env` aus ProgramData liest. Plus **GUI-Steuerung** capability-gated (`windows`/`macos`/`xdotool`/`ydotool`) — ein Server ohne X meldet die Faehigkeit einfach nicht
+- [x] **Android-Agent** (eine APK fuer Handy + Fire TV): sehen (Screenshot via MediaProjection, `ui_dump` via Accessibility), steuern (tap/text/swipe/key/app_launch, nur entsperrt), ausgeben (Overlay ueber dem laufenden Bild + ARIAs **echte** Stimme per `tts_request`, weil Fire TV Sticks oft keine deutsche TTS-Engine haben), Audio-Fokus (Film wird leiser/angehalten), Sprachdialog mit demselben STT-Protokoll wie die App. Fester Signaturschluessel, damit Builds als Update statt als Paket-Konflikt ankommen
+- [x] **Ausrollen per Satellit** (ADB over Network): APK installieren, Berechtigungen per `appops`/`pm grant` erteilen und die **RVS-Zugangsdaten per Intent provisionieren** — am Fire TV tippt man nichts ein, QR-Scannen geht dort nicht. Geraetename am PC vergeben, vorhandener Name wird vorgeschlagen
+- [x] **Agent-Historie** in der Diagnostic: Befehle + Screenshots pro Agent, gruppiert pro User-Nachricht, aufklappbar
+- [x] **Jellyfin-Integration**: mehrere Server mit API-Key, ARIA steuert die Wiedergabe ueber die API statt sich durch die Oberflaeche zu klicken; eingeschlafene Sitzungen baut sie selbst neu auf
+- [x] **Auslastungs-Monitor** pro Compute-Box: live `nvidia-smi` + Verlaufs-Graphen (GPU + Tokens) ueber RVS, Historie liegt auf der Box
+- [x] **OpenAI-Endpunkt fuers lokale LLM** (+ optionales `openhands`-Profil); `.env` gewinnt immer, Diagnostic-Felder dann nur lesend
+- [x] **Teilen-Ziel in der App** + **Sprachnachricht zu Anhaengen** + **Zwischenruf per Sprache**
+- [x] **Trigger mit Projekt-Kontext**: die Antwort kommt dort zurueck, wo der Timer gestellt wurde (vorher immer Hauptchat), und `trigger_list` unterscheidet „schon gefeuert" von „deaktiviert"
+- [x] **Modell-Liste von Anthropic** statt handgepflegt — und feste Versionen greifen wirklich. Vorher schmolz `extractModel` jeden unbekannten Namen still auf `opus` ein: eine bewusst gewaehlte Version wurde ohne Meldung durch eine andere ersetzt. Dazu ein **Test-Knopf**, der zeigt, welches Modell tatsaechlich geantwortet hat — moeglich wurde das erst, nachdem `normalizeModelName` aufhoerte, den echten Namen zu ueberschreiben
+- [x] **Datenschutz**: die drei Claude-Code-Sendekanaele in der Diagnostic pruef- und abschaltbar (ohne Neustart), **`oauth_call`** statt Token-Herausgabe, Secrets-Regeln in Prompt und seed_rules, Warnung bei veralteten Proxy-Patches
+- [x] **Anhang-Limit einstellbar** (Default 20 → 64 MB, greift sofort) und **Zeitstempel/Sortierung/Zeitraum** bei den Gedanken
+- [x] **Flugwetter-Skill** mit pc_met-Anbindung, Seitenwind gegen Pistenrichtung und Herkunftsangabe pro Zahl; Ausgabe als Einblendung + Sprache auf einem Agenten
+- [x] **Einblendung geht per Tastendruck weg** statt nach geratener Zeit — ueber `onKeyEvent` des Accessibility-Dienstes, der die Taste an den Film weiterreicht
+
+#### Jagd auf verlorene Sprachnachrichten (die lange Kette)
+
+Ein hartnaeckiges „die erste Sprachnachricht kommt nicht durch" waren am Ende
+**fuenf unabhaengige Ursachen** — hier dokumentiert, weil jede einzelne fuer
+sich plausibel aussah:
+
+- [x] **200-MB-Broadcast** — der RVS ist ein Broadcast-Relay: ein per
+  `file_request` nachgeladenes 150-MB-Video ging als ~200 MB base64 an **alle**
+  Clients. Die STT/TTS-Worker starben daran mit Code 1009 und nahmen die
+  laufende Aufnahme mit; die App starb am OOM und wurde von Android neu
+  gestartet → Auto-Re-Download → von vorn (Schleife alle ~70s). Fix dreifach:
+  Worker-`max_size` an den RVS angeglichen, **Datei-Antworten gehen nur noch an
+  den Fragenden** (requestId-Korrelation im RVS), und die App holt ueber 25 MB
+  nichts mehr ungefragt
+- [x] **`spawn E2BIG`** im Proxy — der System-Prompt lief als Kommandozeilen-
+  Argument gegen `ARG_MAX` (131072). Jetzt `--system-prompt-file`
+- [x] **RVS-Allow-List** verwarf fuenf Nachrichtentypen still (`stt_lease*`,
+  `chat_ack`, `stt_transcribe_*`) — jede Aufnahme startete verspaetet, erste
+  Silben weg
+- [x] **Whisper-Kaltstart** — Session wurde angelegt, bevor das Modell geladen
+  war; Audio lief ins Leere
+- [x] **Zombie-Verbindung** in der App — zeigte „getrennt", empfing aber weiter;
+  die Aufnahme-Sperre fragt jetzt den Socket statt den gemerkten Zustand
+- [x] **Lange Sprachnachrichten brachen mitten im Satz ab** — der Endpointer
+  zaehlte seine **eigene** Rechenzeit als Stille: der 200ms-Tick wartete auf die
+  Zwischen-Transkription, und die lief jedes Mal ueber den kompletten Buffer
+  (bei zwei Minuten mehrere Sekunden). Jetzt laeuft sie nebenher und sieht nur
+  die letzten 30s; der finale Text kommt unveraendert aus dem ganzen Buffer
+
 ### Phase 2 — ARIA wird produktiv
 
 - [ ] Erste Skills bauen lassen (yt-dlp, pdf-extract, etc. — durch normale Anfragen)

android/android/app/build.gradle

@@ -79,8 +79,8 @@ android {
         applicationId "com.ariacockpit"
         minSdkVersion rootProject.ext.minSdkVersion
         targetSdkVersion rootProject.ext.targetSdkVersion
-        versionCode 20504
-        versionName "0.2.5.4"
+        versionCode 20505
+        versionName "0.2.5.5"
         // Fallback fuer Libraries mit Product Flavors
         missingDimensionStrategy 'react-native-camera', 'general'
     }

android/package.json

@@ -1,6 +1,6 @@
 {
   "name": "aria-cockpit",
-  "version": "0.2.5.4",
+  "version": "0.2.5.5",
   "private": true,
   "scripts": {
     "android": "react-native run-android",

android/src/screens/ChatScreen.tsx

@@ -217,6 +217,13 @@ function formatDur(sec: number): string {
 //   TAP   — was sie auf ausdruecklichen Tipp holt. Hoeher, aber immer noch
 //           weit unter der Schmerzgrenze. Drueber gibt's eine ehrliche
 //           Meldung statt eines Absturzes.
+/** Signatur von sendPendingAttachments — fuer den Ref weiter unten. */
+type SendAttachmentsFn = (
+  messageText: string,
+  explicitAttachments?: { file: any; isPhoto: boolean }[],
+  voiceMode?: { audioRequestId: string; clientMsgId: string },
+) => Promise<void>;
+
 const AUTO_DL_MAX_BYTES = 25 * 1024 * 1024;
 const TAP_DL_MAX_BYTES = 64 * 1024 * 1024;
 
@@ -391,6 +398,16 @@ const ChatScreen: React.FC = () => {
   // Service-Status (AI-Box: F5-TTS / Whisper Lade-Status) + Banner-Sichtbarkeit
   const [serviceStatus, setServiceStatus] = useState<Record<string, {state: string, model?: string, loadSeconds?: number, error?: string, downloading?: boolean, freshlyDownloaded?: boolean}>>({});
   const [serviceBannerDismissed, setServiceBannerDismissed] = useState(false);
+  // Zwischenruf per Sprache: der 📣-Knopf ohne Text "spannt" die naechste
+  // Aufnahme als Zwischenruf. Mit Text schickt er sofort (wie bisher). Der Ref
+  // wird gelesen, wenn die Aufnahme startet — der State nur fuer die Optik.
+  const [interjectArmed, setInterjectArmed] = useState(false);
+  const interjectArmedRef = useRef(false);
+  // sendPendingAttachments ueber einen Ref: handleVoiceButtonStart steht weiter
+  // oben in der Datei und wuerde die Funktion sonst in ihrer Temporal Dead Zone
+  // greifen (TS2448 — siehe Kommentar an sendTextMessage). Umsortieren waere
+  // riskanter als dieser Ref, weil an der Reihenfolge mehrere Callbacks haengen.
+  const sendPendingAttachmentsRef = useRef<SendAttachmentsFn | null>(null);
   // Gerätelokale TTS-Config: globaler Toggle (aus Settings) + temporäres Muten (Mund-Button)
   const [ttsDeviceEnabled, setTtsDeviceEnabled] = useState(true);
   const [ttsMuted, setTtsMuted] = useState(false);
@@ -1324,7 +1341,11 @@ const ChatScreen: React.FC = () => {
             return;
           }
           setMessages(prev => {
-            const newText = `\uD83C\uDFA4 ${sttText}`;
+            // Zwischenruf per Sprache bekommt das Megafon statt des Mikros \u2014
+            // sonst sieht die Bubble wie eine normale Frage aus, obwohl sie in
+            // den laufenden Turn gegangen ist und keine eigene Antwort bekommt.
+            const isInterject = !!(message.payload as any).interject;
+            const newText = isInterject ? `\uD83D\uDCE3 Zwischenruf: ${sttText}` : `\uD83C\uDFA4 ${sttText}`;
             // Primaer: matche per audioRequestId (eindeutig pro Aufnahme).
             // So gibt's keine Verwechslung wenn zwei Audios kurz hintereinander
             // gesendet wurden und ihre STT-Results ueberlappen.
@@ -1339,7 +1360,9 @@ const ChatScreen: React.FC = () => {
             // Fallback: alte Bridge-Version ohne audioRequestId \u2014 match per Substring,
             // nimmt die ERSTE noch unaufgeloeste Placeholder.
             const idx = prev.findIndex(m =>
-              m.sender === 'user' && m.text.includes('Spracheingabe wird verarbeitet')
+              m.sender === 'user'
+              && (m.text.includes('Spracheingabe wird verarbeitet')
+                  || m.text.includes('Zwischenruf wird verarbeitet'))
             );
             if (idx >= 0) {
               const next = prev.slice();
@@ -2413,11 +2436,18 @@ const ChatScreen: React.FC = () => {
   // produziert das Brain weiter TTS, die ins offene Mikro laeuft → genau der
   // "Mischmasch" (ARIA antwortet weiter waehrend ich rede). Fuer bewusstes
   // Nicht-Abbrechen gibt es weiterhin den separaten Zwischenruf-Button (📣).
-  const interruptAriaIfBusy = useCallback(() => {
+  // forInterject: bei einem Zwischenruf darf der laufende Turn NICHT abgebrochen
+  // werden — das ist der ganze Sinn. Die Wiedergabe stoppen wir trotzdem, sonst
+  // redet ARIA in das offene Mikro hinein.
+  const interruptAriaIfBusy = useCallback((forInterject = false) => {
     if (audioService.isPlayingAudio()) {
-      audioService.haltAllPlayback('user startet Aufnahme — Interrupt');
-      rvs.send('cancel_request' as any, { hard: true, source: 'voice-interrupt' });
-      return true;
+      audioService.haltAllPlayback(forInterject
+        ? 'user ruft dazwischen — nur Wiedergabe stoppen'
+        : 'user startet Aufnahme — Interrupt');
+      if (!forInterject) {
+        rvs.send('cancel_request' as any, { hard: true, source: 'voice-interrupt' });
+      }
+      return !forInterject;
     }
     return false;
   }, []);
@@ -2430,18 +2460,35 @@ const ChatScreen: React.FC = () => {
   const handleVoiceButtonStart = useCallback(async (): Promise<boolean> => {
     const audioRequestId = `audio_${Date.now()}_${Math.floor(Math.random() * 100000)}`;
     rememberMyRequest(audioRequestId);
-    const wasInterrupted = interruptAriaIfBusy();
+    const asInterject = interjectArmedRef.current;
+    const wasInterrupted = interruptAriaIfBusy(asInterject);
     const location = await getCurrentLocation();
 
-    const userMsg: ChatMessage = {
-      id: nextId(),
-      sender: 'user',
-      text: '🎙 Spracheingabe wird verarbeitet...',
-      timestamp: Date.now(),
-      attachments: [{ type: 'audio', name: 'Sprachaufnahme' }],
-      audioRequestId,
-    };
-    setMessages(prev => capMessages([...prev, userMsg]));
+    // Warten Anhaenge? Dann sind sie das Thema dieser Aufnahme: sofort hochladen
+    // (laeuft parallel zum Reden) und der Bridge per clientMsgId sagen, dass der
+    // Satz dazu noch kommt. Die Bubble mit den Bildern macht
+    // sendPendingAttachments — sie traegt die audioRequestId und bekommt den
+    // gesprochenen Text spaeter eingesetzt. Also hier KEINE zweite Bubble.
+    let attachmentCmid = '';
+    if (pendingAttachments.length > 0 && !asInterject && sendPendingAttachmentsRef.current) {
+      attachmentCmid = nextClientMsgId();
+      const forVoice = pendingAttachments;
+      setPendingAttachments([]);
+      await sendPendingAttachmentsRef.current('', forVoice, {
+        audioRequestId, clientMsgId: attachmentCmid,
+      });
+    } else {
+      const userMsg: ChatMessage = {
+        id: nextId(),
+        sender: 'user',
+        text: asInterject ? '📣 Zwischenruf wird verarbeitet...'
+                          : '🎙 Spracheingabe wird verarbeitet...',
+        timestamp: Date.now(),
+        attachments: [{ type: 'audio', name: 'Sprachaufnahme' }],
+        audioRequestId,
+      };
+      setMessages(prev => capMessages([...prev, userMsg]));
+    }
 
     const { ok } = await audioService.startStreamingRecording({
       audioRequestId,
@@ -2456,15 +2503,37 @@ const ChatScreen: React.FC = () => {
       endpointMs: await loadSttEndpointMs(),
       hardCapMs: await loadMaxRecordingMs(),
       projectId: focusedProjectIdRef.current,
+      ...(attachmentCmid && { clientMsgId: attachmentCmid }),
+      ...(asInterject && { interject: true }),
     });
     if (!ok) {
+      if (attachmentCmid) {
+        // Die Anhaenge sind SCHON hochgeladen — die Bubble darf nicht weg,
+        // sonst verschwinden die Bilder aus der Ansicht, obwohl sie auf dem
+        // Server liegen. Stattdessen ehrlich kennzeichnen; der Nutzer kann den
+        // Auftrag einfach tippen.
+        setMessages(prev => prev.map(m => m.audioRequestId === audioRequestId
+          ? { ...m, text: '📎 Anhang gesendet — Mikro war belegt, bitte tippen',
+              audioRequestId: undefined }
+          : m));
+        if (Platform.OS === 'android') {
+          ToastAndroid.show('Mikro nicht verfügbar — Anhang ist aber da', ToastAndroid.LONG);
+        }
+        return false;
+      }
       // Mikro nicht verfuegbar (Anruf? OpenWakeWord blockiert?) — Bubble weg.
       setMessages(prev => prev.filter(m => m.audioRequestId !== audioRequestId));
       return false;
     }
+    // Zwischenruf-Scharfschaltung gilt genau fuer EINE Aufnahme.
+    if (asInterject) {
+      interjectArmedRef.current = false;
+      setInterjectArmed(false);
+    }
     scheduleStaleAudioCleanup(audioRequestId, 60000);
     return true;
-  }, [getCurrentLocation, interruptAriaIfBusy, scheduleStaleAudioCleanup]);
+  }, [getCurrentLocation, interruptAriaIfBusy, scheduleStaleAudioCleanup,
+      pendingAttachments]);
 
   // ARIA schliesst die Aufnahme SELBST — das programmatische Gegenstueck zum
   // Stop-Button. Aufgerufen nach einem stillen Steuerbefehl (speak=false): der
@@ -2570,6 +2639,11 @@ const ChatScreen: React.FC = () => {
     // Explizite Liste (Teilen-Weg): der State waere beim direkten Aufruf noch
     // nicht aktualisiert. Ohne Angabe wie bisher die Pending-Liste.
     explicitAttachments?: { file: any; isPhoto: boolean }[],
+    // Sprach-Modus: der Nutzer spricht die Beschreibung gerade erst ein. Dann
+    // gehen die Dateien SOFORT raus (der Upload laeuft parallel zum Reden),
+    // aber ohne Text — den liefert spaeter der stt_endpoint, und die Bridge
+    // merged beides ueber die clientMsgId zu einem Turn.
+    voiceMode?: { audioRequestId: string; clientMsgId: string },
   ) => {
     const atts = explicitAttachments ?? pendingAttachments;
     if (atts.length === 0) return;
@@ -2597,16 +2671,23 @@ const ChatScreen: React.FC = () => {
 
     // Chat-Nachricht mit allen Anhaengen. clientMsgId nur wenn Text dabei
     // ist — files selber haben (noch) kein ACK-Tracking auf der Bridge.
-    const cmid = messageText ? nextClientMsgId() : undefined;
+    // Im Sprach-Modus kommt sie von aussen: dieselbe ID muss am
+    // stt_stream_start haengen, damit die Bridge Anhang und Satz zusammenfuehrt.
+    const cmid = voiceMode ? voiceMode.clientMsgId : (messageText ? nextClientMsgId() : undefined);
     const activePid = focusedProjectIdRef.current;
     const userMsg: ChatMessage = {
       id: msgId,
       sender: 'user',
-      text: messageText || `${atts.length} Anhang/Anhaenge`,
+      // Im Sprach-Modus bekommt DIESE Bubble gleich den gesprochenen Text —
+      // via audioRequestId-Match, genau wie eine normale Sprachnachricht. So
+      // stehen Bild und Satz zusammen in einer Bubble statt in zwei.
+      text: voiceMode ? '🎙 Spracheingabe wird verarbeitet...'
+                      : (messageText || `${atts.length} Anhang/Anhaenge`),
       timestamp: Date.now(),
       attachments,
       projectId: activePid,
-      ...(cmid && {
+      ...(voiceMode && { audioRequestId: voiceMode.audioRequestId }),
+      ...(cmid && !voiceMode && {
         clientMsgId: cmid,
         deliveryStatus: connectionStateRef.current === 'connected' ? 'sending' : 'queued',
         sendAttempts: 1,
@@ -2644,6 +2725,9 @@ const ChatScreen: React.FC = () => {
         // die Datei genau DIESER Nachricht zuordnet — auch wenn Files (fire-
         // and-forget) und Text (ACK-getrackt, bei Queue verzoegert) desyncen.
         ...(cmid && { clientMsgId: cmid }),
+        // awaitVoice: die Bridge soll den Anhang NICHT nach 0.8s alleine ans
+        // Brain schicken, sondern auf die Sprachnachricht warten.
+        ...(voiceMode && { awaitVoice: true }),
         ...(isPhoto && file.width && { width: file.width, height: file.height }),
         ...(location && { location }),
       });
@@ -2651,8 +2735,8 @@ const ChatScreen: React.FC = () => {
 
     // Text als separate Nachricht (damit ARIA weiss was zu tun ist) — mit
     // dem clientMsgId der Bubble, damit Bridge+ACK die richtige Bubble
-    // adressieren.
-    if (messageText && cmid) {
+    // adressieren. Im Sprach-Modus gibt es hier noch keinen Text.
+    if (messageText && cmid && !voiceMode) {
       dispatchWithAck(cmid, 'chat', {
         text: messageText,
         voice: localXttsVoiceRef.current,
@@ -2665,6 +2749,9 @@ const ChatScreen: React.FC = () => {
     setPendingAttachments([]);
     setInputText('');
   }, [pendingAttachments, getCurrentLocation, dispatchWithAck]);
+  // Ref aktuell halten — handleVoiceButtonStart greift die Funktion von hier
+  // (steht weiter oben in der Datei, siehe sendPendingAttachmentsRef).
+  sendPendingAttachmentsRef.current = sendPendingAttachments;
 
   // Reine Text-Nachricht senden. Steht bewusst NACH interruptAriaIfBusy und
   // sendPendingAttachments — beide stehen in seinem deps-Array, und wenn es
@@ -3529,7 +3616,9 @@ const ChatScreen: React.FC = () => {
           style={styles.textInput}
           value={inputText}
           onChangeText={setInputText}
-          placeholder={pendingAttachments.length > 0 ? "Text zu den Anhaengen (optional)..." : "Nachricht an ARIA..."}
+          placeholder={pendingAttachments.length > 0
+            ? "Text zu den Anhaengen — oder einsprechen 🎤"
+            : "Nachricht an ARIA..."}
           placeholderTextColor="#555570"
           multiline
           maxLength={4000}
@@ -3537,29 +3626,52 @@ const ChatScreen: React.FC = () => {
           returnKeyType="send"
         />
 
-        {/* Senden oder Sprache */}
+        {/* Rechte Knopfreihe.
+            Das Mikro ist jetzt IMMER da \u2014 auch mit Anhang oder getipptem Text.
+            Vorher war es ein Entweder-oder: sobald etwas im Feld stand oder ein
+            Bild dranhing, verschwand das Mikro. Damit ging weder "Bild anhaengen
+            und den Auftrag dazu sprechen" noch ein Zwischenruf per Sprache.
+            Der Senden-Pfeil und die Mund-/Ohr-Knoepfe weichen dafuer je nach
+            Lage, damit die Zeile nicht ueberlaeuft. */}
+
+        {/* Zwischenruf \u2014 sichtbar, wenn ARIA im aktiven Kontext arbeitet (oder
+            noch scharf geschaltet ist). Mit Text: sofort abschicken, wie bisher.
+            Ohne Text: die naechste Aufnahme geht als Zwischenruf in den
+            laufenden Turn, statt sich als neue Anfrage anzustellen. */}
+        {interjectArmed || (agentActivityByCtx[focusedProjectId]?.activity || 'idle') !== 'idle' ? (
+          <TouchableOpacity
+            style={[styles.interjectButton, interjectArmed && styles.interjectButtonArmed]}
+            onPress={() => {
+              if (inputText.trim()) { sendInterject(); return; }
+              const next = !interjectArmedRef.current;
+              interjectArmedRef.current = next;
+              setInterjectArmed(next);
+              if (Platform.OS === 'android') {
+                ToastAndroid.show(
+                  next ? 'N\u00E4chste Aufnahme geht als Zwischenruf raus'
+                       : 'Zwischenruf abgew\u00E4hlt',
+                  ToastAndroid.SHORT);
+              }
+            }}
+            accessibilityLabel={inputText.trim() ? 'Zwischenruf senden' : 'Zwischenruf per Sprache'}
+          >
+            <Text style={styles.interjectIcon}>{'\uD83D\uDCE3'}</Text>
+          </TouchableOpacity>
+        ) : null}
+
+        <VoiceButton
+          onTapStart={handleVoiceButtonStart}
+          onTapStop={handleVoiceButtonStop}
+          disabled={connectionState !== 'connected'}
+          wakeWordActive={wakeWordActive}
+        />
+
         {inputText.trim() || pendingAttachments.length > 0 ? (
-          <>
-            {/* Zwischenruf: nur wenn ARIA im aktiven Kontext gerade arbeitet und
-                Text da ist. Schiebt die Korrektur in den laufenden Turn statt
-                sie anzustellen. */}
-            {inputText.trim() && (agentActivityByCtx[focusedProjectId]?.activity || 'idle') !== 'idle' ? (
-              <TouchableOpacity style={styles.interjectButton} onPress={sendInterject} accessibilityLabel="Zwischenruf">
-                <Text style={styles.interjectIcon}>{'\uD83D\uDCE3'}</Text>
-              </TouchableOpacity>
-            ) : null}
-            <TouchableOpacity style={styles.sendButton} onPress={sendTextMessage}>
-              <Text style={styles.sendIcon}>{'\u2B06\uFE0F'}</Text>
-            </TouchableOpacity>
-          </>
+          <TouchableOpacity style={styles.sendButton} onPress={sendTextMessage}>
+            <Text style={styles.sendIcon}>{'\u2B06\uFE0F'}</Text>
+          </TouchableOpacity>
         ) : (
           <>
-            <VoiceButton
-              onTapStart={handleVoiceButtonStart}
-              onTapStop={handleVoiceButtonStop}
-              disabled={connectionState !== 'connected'}
-              wakeWordActive={wakeWordActive}
-            />
             {/* Mund-Button: TTS auf diesem Geraet muten/aufheben.
                 Nur sichtbar wenn TTS in den Settings grundsaetzlich aktiv ist. */}
             {ttsDeviceEnabled && (
@@ -4085,6 +4197,13 @@ const styles = StyleSheet.create({
     justifyContent: 'center',
     marginRight: 6,
   },
+  // Scharf geschaltet: die naechste Aufnahme geht als Zwischenruf raus. Heller
+  // plus Rand, damit man das vor dem Sprechen sieht und nicht erst danach.
+  interjectButtonArmed: {
+    backgroundColor: '#FFB340',
+    borderWidth: 2,
+    borderColor: '#FFF',
+  },
   interjectIcon: {
     fontSize: 18,
   },

android/src/services/audio.ts

@@ -1141,6 +1141,13 @@ class AudioService {
      *  Leer = Hauptchat. Ohne Prefix / Sticky landet die STT-Nachricht damit
      *  automatisch in dem Kontext den Stefan gerade sieht. */
     projectId?: string;
+    /** clientMsgId wartender Anhaenge: diese Aufnahme ist ihre Beschreibung.
+     *  Die Bridge fuehrt Anhang + gesprochenen Satz darueber zu EINEM Turn
+     *  zusammen, statt das Bild ohne Auftrag und den Satz ohne Bild zu sehen. */
+    clientMsgId?: string;
+    /** Zwischenruf: der Text geht in den LAUFENDEN Turn, nicht als neue
+     *  Anfrage in die Warteschlange (Sprach-Gegenstueck zum 📣-Knopf). */
+    interject?: boolean;
   }): Promise<{ requestId: string; ok: boolean; error?: string }> {
     if (this.recordingState !== 'idle') {
       console.warn('[Audio] startStreamingRecording: bereits aktiv (state=%s)', this.recordingState);
@@ -1245,6 +1252,8 @@ class AudioService {
         sampleRate: 16000,
         projectId: opts.projectId || '',
         targetInstance: this.streamTargetInstance,
+        ...(opts.clientMsgId ? { clientMsgId: opts.clientMsgId } : {}),
+        ...(opts.interject ? { interject: true } : {}),
       });
 
       const started = await PcmStreamRecorder.start();

aria-brain/agent.py

@@ -38,6 +38,7 @@ import triggers as triggers_mod
 import watcher as watcher_mod
 import oauth as oauth_mod
 import projects as projects_mod
+import safeguard
 import project_vms as project_vms_mod
 
 BRIDGE_URL = os.environ.get("BRIDGE_URL", "http://aria-bridge:8090")
@@ -820,13 +821,13 @@ META_TOOLS = [
         "function": {
             "name": "oauth_get_token",
             "description": (
-                "Liefert das aktuelle access_token fuer einen Service. "
-                "Refresht automatisch wenn abgelaufen (oder < 60s Restzeit) "
-                "und der Provider einen refresh_token mitgegeben hat.\n\n"
-                "**Nutze das in Skills** wenn Du Provider-APIs callen willst — "
-                "der token kommt als Bearer-Header in Deinen HTTP-Request, "
-                "z.B. `Authorization: Bearer <token>`.\n\n"
-                "Wirft wenn Service noch nicht authentifiziert ist oder der "
+                "Prueft, ob ein Service authentifiziert ist, und wie lange der "
+                "Token noch gilt. Refresht dabei automatisch, wenn noetig.\n\n"
+                "GIBT DEN TOKEN NICHT HERAUS — und Du brauchst ihn auch nicht: "
+                "fuer API-Aufrufe nimm `oauth_call`, das Brain haengt die "
+                "Authorization selbst an. In einem Skill holst Du ihn zur "
+                "Laufzeit ueber {BRAIN_INTERNAL_URL}/oauth/<service>/token.\n\n"
+                "Wirft, wenn der Service noch nicht authentifiziert ist oder der "
                 "Refresh fehlschlaegt → dann erst `oauth_authorize` aufrufen."
             ),
             "parameters": {
@@ -838,6 +839,35 @@ META_TOOLS = [
             },
         },
     },
+    {
+        "type": "function",
+        "function": {
+            "name": "oauth_call",
+            "description": (
+                "Ruft eine Provider-API MIT dem hinterlegten Zugangstoken auf, "
+                "ohne dass Du den Token siehst. Das Brain haengt den "
+                "Authorization-Header an, fuehrt den Request aus und gibt Dir nur "
+                "die Antwort.\n\n"
+                "Nimm das fuer einzelne Aufrufe (z.B. Spotify-Wiedergabe steuern, "
+                "GitHub-Issue anlegen). Fuer etwas, das Du oefter brauchst, bau "
+                "lieber einen Skill.\n\n"
+                "Nur https, und nur Hosts, die zum Service gehoeren — eine fremde "
+                "Domain wird abgelehnt (sonst koennte der Token irgendwohin "
+                "geschickt werden). Antwort wird bei 200 KB gekuerzt."
+            ),
+            "parameters": {
+                "type": "object",
+                "properties": {
+                    "service": {"type": "string", "description": "z.B. spotify, github."},
+                    "url": {"type": "string", "description": "Vollstaendige https-URL der API."},
+                    "method": {"type": "string", "description": "GET (Default), POST, PUT, PATCH, DELETE."},
+                    "body": {"type": "string", "description": "Request-Body, meist JSON als String."},
+                    "content_type": {"type": "string", "description": "Default application/json."},
+                },
+                "required": ["service", "url"],
+            },
+        },
+    },
     {
         "type": "function",
         "function": {
@@ -1273,6 +1303,66 @@ META_TOOLS = [
             },
         },
     },
+    {
+        "type": "function",
+        "function": {
+            "name": "satellite_tunnel",
+            "description": (
+                "Macht einen Port aus dem Netz eines Satelliten HIER erreichbar. "
+                "Damit kommst Du an Dienste, die nur im fremden LAN lauschen — "
+                "z.B. ein FreeCAD-MCP auf Stefans Rechner, eine Web-App, ein "
+                "NAS-Interface.\n\n"
+                "op='open': Du bekommst eine Adresse wie `aria-bridge:19000` "
+                "zurueck. Die sprichst Du danach ganz normal an (http://..., "
+                "MCP, was auch immer) — als laege der Dienst nebenan.\n"
+                "op='list': welche Tunnel stehen gerade.\n"
+                "op='close': wieder zumachen (localPort angeben). Mach zu, was "
+                "Du nicht mehr brauchst — ein Tunnel ist ein offener Weg in ein "
+                "fremdes Netz.\n\n"
+                "target darf ein VERGEBENER GERAETENAME sein ('duffy-desktop') "
+                "oder eine IP. Namen stehen in satellite_devices im Feld 'name' "
+                "— das ist der bequeme Weg, Stefan spricht so ueber seine "
+                "Rechner.\n\n"
+                "Der Satellit muss das erlauben (TUNNEL_ENABLED, Faehigkeit "
+                "'tunnel' in satellite_list). Ohne Freigabe kommt eine klare "
+                "Fehlermeldung — dann Stefan Bescheid sagen, nicht herumprobieren."
+            ),
+            "parameters": {
+                "type": "object",
+                "properties": {
+                    "op": {"type": "string", "description": "open (Default) | list | close"},
+                    "satellite": {"type": "string", "description": "Satelliten-Name/ID."},
+                    "target": {"type": "string", "description": "Geraetename aus satellite_devices ODER IP."},
+                    "port": {"type": "integer", "description": "Port im fremden Netz, z.B. 8080."},
+                    "localPort": {"type": "integer", "description": "Optional fester lokaler Port (19000-19099); bei close Pflicht."},
+                },
+                "required": [],
+            },
+        },
+    },
+    {
+        "type": "function",
+        "function": {
+            "name": "satellite_name",
+            "description": (
+                "Gibt einem Geraet im Satelliten-Netz einen Namen, damit man es "
+                "danach ansprechen kann ('duffy-desktop' statt '192.168.1.47'). "
+                "Der Name haengt an der MAC, ueberlebt also einen IP-Wechsel. "
+                "Leerer Name = Zuordnung entfernen. "
+                "Nimm mac aus satellite_devices, wenn vorhanden — sonst ip."
+            ),
+            "parameters": {
+                "type": "object",
+                "properties": {
+                    "satellite": {"type": "string", "description": "Satelliten-Name/ID."},
+                    "mac": {"type": "string", "description": "MAC des Geraets (bevorzugt)."},
+                    "ip": {"type": "string", "description": "IP, falls keine MAC bekannt."},
+                    "name": {"type": "string", "description": "Der Name. Leer = entfernen."},
+                },
+                "required": ["satellite", "name"],
+            },
+        },
+    },
     {
         "type": "function",
         "function": {
@@ -1599,7 +1689,9 @@ META_TOOLS = [
                 "das NICHT ueber host_exec/adb (dort gibt es kein passendes Kommando). "
                 "mode: 'overlay' (einblenden), 'speech' (vorlesen) oder 'both'; ohne "
                 "Angabe gilt die Einstellung am Geraet. Braucht dort einmalig die "
-                "Berechtigung 'Ueber anderen Apps anzeigen'."
+                "Berechtigung 'Ueber anderen Apps anzeigen'. Mit image_path kann "
+                "ein BILD mit Text darueber eingeblendet werden (z.B. ein "
+                "generiertes Bild oder ein Screenshot) — nur bei Android-Agenten."
             ),
             "parameters": {
                 "type": "object",
@@ -1607,9 +1699,28 @@ META_TOOLS = [
                     "host": {"type": "string", "description": "Host-ID/Name (z.B. 'Fire-TV Schlafzimmer')."},
                     "text": {"type": "string", "description": "Der anzuzeigende Text."},
                     "title": {"type": "string", "description": "Ueberschrift (Default 'ARIA')."},
-                    "seconds": {"type": "integer", "description": "Anzeigedauer (Default 12)."},
+                    "seconds": {
+                        "type": "integer",
+                        "description": (
+                            "Anzeigedauer in Sekunden (Default 12). "
+                            "0 = stehen lassen, bis Stefan selbst wegdrueckt "
+                            "(Fernbedienung: beliebige Taste, Handy: daneben "
+                            "tippen). Nimm 0 fuer alles zum LESEN — Wetter, "
+                            "Listen, Zahlen: eine feste Dauer ist da immer "
+                            "geraten und meist zu kurz. Kurze Hinweise waehrend "
+                            "eines Films ruhig mit Dauer."
+                        ),
+                    },
                     "mode": {"type": "string", "description": "overlay | speech | both"},
                     "focus": {"type": "string", "description": "Bei Sprachausgabe: 'duck' (laufende Medien werden leiser, Standard) | 'pause' (Film/Musik anhalten) | 'none'."},
+                    "image_path": {
+                        "type": "string",
+                        "description": (
+                            "Optional: Pfad zu einem Bild (PNG/JPEG) unter "
+                            "/shared/uploads/, das MIT dem Text eingeblendet wird. "
+                            "Nur Android-Agenten koennen das."
+                        ),
+                    },
                 },
                 "required": ["host", "text"],
             },
@@ -2335,6 +2446,40 @@ class Agent:
     # 8 war zu knapp — ARIA brach mitten in laufender Arbeit ab. Env-tunebar.
     MAX_TOOL_ITERATIONS = int(os.getenv("MAX_TOOL_ITERATIONS", "20"))
 
+    def _llm_call(self, messages, tools, project_id: str, model: str,
+                  user_turn_ts: str):
+        """Ein Claude-Call, abgesichert gegen Anthropics Sicherheitsfilter.
+
+        Gibt (result, model) zurueck — das Modell kann sich dabei aendern, dann
+        laufen auch die restlichen Schritte dieses Turns darauf weiter. Sonst
+        wuerde der naechste Tool-Schritt wieder ins Messer laufen.
+
+        Der Filter ist modellspezifisch ("Opus 5's safeguards ...") und
+        Anthropic empfiehlt selbst "change your model" — genau das passiert
+        hier, nur ohne dass Stefan davon etwas merkt.
+        """
+        result = self.proxy.chat_full(messages, tools=tools, model=model,
+                                      project_id=project_id)
+        if not safeguard.looks_like_block(result.content, result.is_error):
+            return result, model
+
+        code = safeguard.detail_code(result.content)
+        fb = safeguard.fallback_for(model)
+        logger.warning("[safeguard] %s blockiert (code=%s) — zweiter Versuch mit %s",
+                       model, code or "?", fb)
+        safeguard.record_block(project_id, user_turn_ts, model, fb, result.content)
+
+        retry = self.proxy.chat_full(messages, tools=tools, model=fb,
+                                     project_id=project_id)
+        if not safeguard.looks_like_block(retry.content, retry.is_error):
+            safeguard.mark_recovered(user_turn_ts, model, fb)
+            logger.info("[safeguard] %s hat geantwortet — Turn gerettet, Verlauf heil", fb)
+            return retry, fb
+
+        # Zweites Modell auch blockiert → Stufe 2 in chat().
+        safeguard.record_block(project_id, user_turn_ts, fb, "", retry.content)
+        raise safeguard.Blocked([model, fb], retry.content)
+
     def chat(self, user_message: str, source: str = "",
              project_id: Optional[str] = None,
              pending_queue: Optional[list[str]] = None) -> tuple:
@@ -2422,9 +2567,12 @@ class Agent:
             # Fast-Path = reiner Steuerbefehl, nie eine Rueckfrage → awaiting=False.
             return fast_reply, "fast-path", speak, converse, False
 
-        # 1. User-Turn an die Konversation
-        self.conversation.add("user", user_message, source=source,
-                              project_id=active_project_id)
+        # 1. User-Turn an die Konversation. Den Zeitstempel behalten wir: er
+        # identifiziert diesen Turn, wenn Anthropics Sicherheitsfilter
+        # zuschlaegt (safeguard.py — Vermerk + ggf. Quarantaene).
+        _user_turn = self.conversation.add("user", user_message, source=source,
+                                           project_id=active_project_id)
+        user_turn_ts = getattr(_user_turn, "ts", "")
         if active_project_id:
             projects_mod.touch_project(active_project_id)
 
@@ -2572,9 +2720,28 @@ class Agent:
         # sieht der LLM nur die Projekt-Turns (sauberer Kontext); im Hauptthread
         # nur die nicht-getaggten Turns.
         window = self.conversation.window(project_id=active_project_id)
+        # Quarantaenierte Turns gehen NICHT mit zum Modell. Das sind die, an
+        # denen Anthropics Sicherheitsfilter schon zweimal haengen geblieben
+        # ist — bliebe so einer im Fenster, wuerde er jeden weiteren Turn
+        # dieses Projekts mit abschiessen. Gespeichert bleiben sie trotzdem.
+        window = safeguard.filter_window(window)
         for t in window:
             messages.append(ProxyMessage(role=t.role, content=t.content))
 
+        # Modellwahl fuer diesen Turn. Normalfall: das eingestellte Modell. Ist
+        # dieses Modell an einem Turn, der NOCH im Fenster liegt, schon am
+        # Filter gescheitert, nehmen wir direkt das Ausweich-Modell — sonst
+        # laeuft jeder Turn erst gegen dieselbe Wand. Rollt der Turn aus dem
+        # Fenster, gilt wieder das Hauptmodell; das verfaellt von selbst.
+        primary_model = self.proxy.model
+        turn_model = primary_model
+        _blocked = safeguard.blocked_models(active_project_id,
+                                            [t.ts for t in window])
+        if safeguard.norm_model(primary_model) in _blocked:
+            turn_model = safeguard.fallback_for(primary_model)
+            logger.warning("[safeguard] %s ist in diesem Fenster blockiert — "
+                           "Turn laeuft direkt auf %s", primary_model, turn_model)
+
         logger.info("chat: pinned=%d cold=%d skills=%d/%d window=%d project=%r prompt_chars=%d",
                     len(hot), len(cold), len(active_skills), len(all_skills),
                     len(window), active_project_id or "(main)", len(system_prompt))
@@ -2596,8 +2763,8 @@ class Agent:
         self._ear_control = None            # ear_control-Tool: 'off'|'on' oder None
         try:
             for iteration in range(self.MAX_TOOL_ITERATIONS):
-                result = self.proxy.chat_full(messages, tools=tools,
-                                              project_id=active_project_id)
+                result, turn_model = self._llm_call(
+                    messages, tools, active_project_id, turn_model, user_turn_ts)
                 if result.tool_calls:
                     # Assistant-Turn mit tool_calls in messages anhaengen (nicht in Conversation!)
                     messages.append(ProxyMessage(
@@ -2646,6 +2813,34 @@ class Agent:
             if not final_reply:
                 raise RuntimeError("Leerer Reply vom Proxy")
 
+        except safeguard.Blocked as exc:
+            # Stufe 2. Auch das Ausweich-Modell wurde blockiert — dann haengt es
+            # nicht am Modell, sondern am Verlauf. Der ausloesende Turn fliegt
+            # aus dem Prompt-Fenster, sonst scheitert ab jetzt JEDE Frage in
+            # diesem Projekt an derselben Stelle ("Projekt im Eimer").
+            # Geloescht wird nichts: der Turn bleibt in conversation.jsonl und
+            # ist in der Diagnostic mit einem Klick zurueckholbar.
+            #
+            # Der rohe API-Fehlertext wird NICHT persistiert. Genau das war der
+            # Kern des Problems: als Assistant-Turn gespeichert, vergiftet er
+            # jeden Folge-Turn. Stattdessen sagt ARIA in ihrer eigenen Stimme,
+            # was passiert ist.
+            safeguard.quarantine(user_turn_ts, active_project_id,
+                                 reason="Sicherheitsfilter: " + ", ".join(exc.models))
+            _code = safeguard.detail_code(exc.text)
+            logger.error("[safeguard] Auch %s blockiert (code=%s) — Turn %s in "
+                         "Quarantaene, Projekt %r bleibt nutzbar",
+                         exc.models[-1], _code or "?", user_turn_ts,
+                         active_project_id or "(main)")
+            final_reply = (
+                "Das kam nicht durch: Anthropics Sicherheitsfilter hat die Anfrage "
+                "blockiert" + (f" ({_code})" if _code else "") + " — mit "
+                f"{exc.models[0]} genauso wie mit {exc.models[-1]}. "
+                "Ich hab deine letzte Nachricht aus meinem Arbeitsgedaechtnis "
+                "genommen, damit der Rest vom Projekt weiterlaeuft. Sag's gern "
+                "nochmal anders, dann probieren wir's neu."
+            )
+
         except Exception as exc:
             # Conversation-Konsistenz: User-Turn ist drin (Schritt 1), Assistant
             # muss auch rein damit die Paarung stimmt. Wir schreiben einen
@@ -2672,6 +2867,7 @@ class Agent:
             logger.warning("[guard] Identity-Break in Antwort erkannt — Retry")
             try:
                 retry = self.proxy.chat_full(messages, tools=tools,
+                                             model=turn_model,
                                              project_id=active_project_id)
                 retry_text = (retry.content or "").strip()
             except Exception as exc:
@@ -3061,6 +3257,64 @@ class Agent:
         except Exception as exc:
             return f"FEHLER: Jellyfin-Aufruf fehlgeschlagen: {exc}"
 
+    def _dispatch_tunnel(self, arguments: dict) -> str:
+        """satellite_tunnel — Port aus einem Satelliten-LAN hier verfuegbar machen."""
+        op = (arguments.get("op") or "open").strip().lower()
+        body = {"op": op,
+                "satellite": (arguments.get("satellite") or "").strip(),
+                "target": (arguments.get("target") or "").strip(),
+                "port": int(arguments.get("port") or 0),
+                "localPort": int(arguments.get("localPort") or 0)}
+        try:
+            data = json.dumps(body).encode("utf-8")
+            req = urllib.request.Request(f"{BRIDGE_URL}/internal/tunnel", data=data,
+                                         method="POST",
+                                         headers={"Content-Type": "application/json"})
+            with urllib.request.urlopen(req, timeout=30) as resp:
+                res = json.loads(resp.read().decode("utf-8", "ignore"))
+        except Exception as exc:
+            return f"FEHLER: Bridge nicht erreichbar: {exc}"
+
+        if op == "list":
+            tunnels = res.get("tunnels") or []
+            if not tunnels:
+                return "Es steht gerade kein Tunnel offen."
+            return "Offene Tunnel:\n" + "\n".join(
+                f"- {t['address']} -> {t['satellite']}/{t['target']}:{t['port']}"
+                for t in tunnels)
+        if not res.get("ok"):
+            return f"FEHLER: {res.get('error')}"
+        if op == "close":
+            return f"OK — Tunnel auf Port {res.get('localPort')} geschlossen."
+        return (f"OK — {body['target']}:{body['port']} aus dem Netz von "
+                f"'{body['satellite']}' ist jetzt erreichbar unter "
+                f"**{res.get('address')}**.\n"
+                f"Sprich diese Adresse ganz normal an (http://{res.get('address')}/..., "
+                f"MCP, ...). Wenn Du fertig bist: "
+                f"satellite_tunnel(op='close', localPort={res.get('localPort')}).")
+
+    def _dispatch_sat_name(self, arguments: dict) -> str:
+        """satellite_name — Geraetenamen vergeben/entfernen."""
+        mac = (arguments.get("mac") or "").strip()
+        ip = (arguments.get("ip") or "").strip()
+        if not mac and not ip:
+            return "FEHLER: mac oder ip ist Pflicht (siehe satellite_devices)."
+        nm = (arguments.get("name") or "").strip()
+        body = {"satellite": (arguments.get("satellite") or "").strip(),
+                "mac": mac, "ip": ip, "name": nm}
+        try:
+            data = json.dumps(body).encode("utf-8")
+            req = urllib.request.Request(f"{BRIDGE_URL}/internal/satellite-name",
+                                         data=data, method="POST",
+                                         headers={"Content-Type": "application/json"})
+            urllib.request.urlopen(req, timeout=15).read()
+        except Exception as exc:
+            return f"FEHLER: Bridge nicht erreichbar: {exc}"
+        who = mac or ip
+        return (f"OK — {who} heisst jetzt '{nm}'. Du kannst es ab sofort so "
+                f"ansprechen (z.B. satellite_tunnel target='{nm}')."
+                if nm else f"OK — Name von {who} entfernt.")
+
     def _dispatch_host(self, name: str, arguments: dict) -> str:
         """Wrapper um _dispatch_host_inner: fuehrt die Host-Aktion aus und schreibt
         danach einen Historie-Eintrag an die Bridge (fuer die Diagnostic-Ansicht
@@ -3246,8 +3500,31 @@ class Agent:
             if name in _UI_ACTIONS:
                 action, keys = _UI_ACTIONS[name]
                 params = {k: arguments[k] for k in keys if arguments.get(k) is not None}
+                # Bild-Einblendung: ARIA gibt einen Pfad an (damit arbeitet sie
+                # sowieso), der Agent will base64. Hier umwandeln, statt ARIA
+                # megabyteweise base64 durch den Tool-Call schieben zu lassen.
+                img_path = (arguments.get("image_path") or "").strip()
+                if action == "notify" and img_path:
+                    if not img_path.startswith("/shared/uploads/"):
+                        return "FEHLER: image_path muss unter /shared/uploads/ liegen."
+                    if not os.path.isfile(img_path):
+                        return f"FEHLER: Bild nicht gefunden: {img_path}"
+                    # Overlay-Bilder ueber ~4 MB sind sinnlos gross fuer einen
+                    # Fernseher und blaehen die WS-Nachricht unnoetig auf.
+                    _img_size = os.path.getsize(img_path)
+                    if _img_size > 4 * 1024 * 1024:
+                        return (f"FEHLER: Bild zu gross fuer eine Einblendung "
+                                f"({_img_size // (1024 * 1024)} MB > 4 MB). "
+                                f"Vorher verkleinern.")
+                    with open(img_path, "rb") as _f:
+                        params["image_base64"] = _b64.b64encode(_f.read()).decode("ascii")
+                # Sprachausgabe braucht laenger: der Agent meldet erst Erfolg,
+                # wenn wirklich Ton laeuft (TTS-Render + Uebertragung). Mit den
+                # 20s der UI-Aktionen lief die ehrliche Antwort in den Timeout.
+                _timeout = 40 if action in ("speak", "notify") else 20
                 result = _post("/internal/host",
-                               {"host": host, "action": action, "params": params}, 20)
+                               {"host": host, "action": action, "params": params},
+                               _timeout)
                 if not result.get("ok"):
                     return f"FEHLER: {result.get('error')}"
                 r = result.get("result") or {}
@@ -3512,6 +3789,10 @@ class Agent:
                     fires_at_iso=fires_at_iso,
                     message=arguments["message"],
                     author="aria",
+                    # Projekt DIESES Requests mitnehmen: beim Feuern soll die
+                    # Antwort dort landen, wo der Timer gestellt wurde — nicht
+                    # im Hauptchat.
+                    project_id=project_id or "",
                 )
                 self._pending_events.append({
                     "type": "trigger_created",
@@ -3527,6 +3808,7 @@ class Agent:
                     check_interval_sec=int(arguments.get("check_interval_sec", 300)),
                     throttle_sec=int(arguments.get("throttle_sec", 3600)),
                     author="aria",
+                    project_id=project_id or "",
                 )
                 self._pending_events.append({
                     "type": "trigger_created",
@@ -3599,13 +3881,29 @@ class Agent:
                     return "(keine Trigger vorhanden)"
                 lines = []
                 for t in items:
-                    state = "aktiv" if t.get("active", True) else "DEAKTIVIERT"
-                    if t["type"] == "timer":
-                        lines.append(f"- {t['name']} (timer, {state}): feuert {t.get('fires_at')} — \"{t.get('message','')[:50]}\"")
-                    elif t["type"] == "watcher":
-                        lines.append(f"- {t['name']} (watcher, {state}): cond=\"{t.get('condition')}\", throttle={t.get('throttle_sec')}s")
+                    # WICHTIG: ein One-Shot-Timer wird NACH dem Feuern automatisch
+                    # deaktiviert. Stand hier nur "DEAKTIVIERT", sahen "hat sauber
+                    # gefeuert" und "war nie an" identisch aus — und genau das hat
+                    # schon zu einer falschen Auskunft gefuehrt ("ich habe
+                    # vergessen ihn zu aktivieren", obwohl er gefeuert hatte).
+                    # Darum: gefeuert IMMER explizit mit Zeitpunkt und Zaehler.
+                    fired_n = int(t.get("fire_count", 0) or 0)
+                    last_fired = t.get("last_fired_at") or ""
+                    if fired_n > 0:
+                        state = (f"SCHON GEFEUERT ({fired_n}x, zuletzt {last_fired})"
+                                 + ("" if t.get("active", True) else ", danach automatisch deaktiviert"))
+                    elif t.get("active", True):
+                        state = "aktiv, noch nicht gefeuert"
                     else:
-                        lines.append(f"- {t['name']} ({t['type']}, {state})")
+                        state = "DEAKTIVIERT, nie gefeuert"
+                    # Wohin die Antwort beim Feuern geht — leer = Hauptchat.
+                    where = f" [Kontext: {t.get('project_id') or 'Hauptchat'}]"
+                    if t["type"] == "timer":
+                        lines.append(f"- {t['name']} (timer, {state}){where}: feuert {t.get('fires_at')} — \"{t.get('message','')[:50]}\"")
+                    elif t["type"] == "watcher":
+                        lines.append(f"- {t['name']} (watcher, {state}){where}: cond=\"{t.get('condition')}\", throttle={t.get('throttle_sec')}s")
+                    else:
+                        lines.append(f"- {t['name']} ({t['type']}, {state}){where}")
                 return "\n".join(lines)
             if name == "oauth_register_provider":
                 svc = (arguments.get("service") or "").strip()
@@ -3669,15 +3967,47 @@ class Agent:
                     record = oauth_mod.get_token(svc)
                 except RuntimeError as exc:
                     return f"FEHLER: {exc}"
-                tok = record.get("access_token", "")
-                ttype = record.get("token_type", "Bearer")
                 exp = record.get("expires_at", 0)
                 remain = max(0, int(exp) - int(__import__("time").time()))
+                hosts = ", ".join(oauth_mod.allowed_hosts(svc)) or "(keine hinterlegt)"
+                # Der Token wird hier BEWUSST nicht mehr herausgegeben. Frueher
+                # stand er im Klartext in dieser Tool-Antwort und damit im
+                # Gespraechsprotokoll — also auch bei Anthropic. Fuer API-Aufrufe
+                # gibt es oauth_call: das Brain haengt den Header selbst an.
                 return (
-                    f"OK — Token fuer {svc} (Typ: {ttype}, gueltig noch {remain}s).\n"
-                    f"access_token: {tok}\n"
-                    f"Nutze als HTTP-Header: Authorization: {ttype} {tok}"
+                    f"OK — {svc} ist authentifiziert (Token gueltig noch {remain}s).\n"
+                    f"Der Token wird NICHT herausgegeben und ist dafuer auch nicht noetig:\n"
+                    f"- Einzelne API-Aufrufe: `oauth_call(service='{svc}', url=...)` — "
+                    f"das Brain haengt die Authorization an.\n"
+                    f"- In einem Skill: GET {{BRAIN_INTERNAL_URL}}/oauth/{svc}/token "
+                    f"zur Laufzeit holen, nie hartkodieren.\n"
+                    f"Erlaubte Hosts: {hosts}"
                 )
+            if name == "oauth_call":
+                svc = (arguments.get("service") or "").strip()
+                url = (arguments.get("url") or "").strip()
+                if not svc or not url:
+                    return "FEHLER: service und url sind Pflicht."
+                body = arguments.get("body")
+                if body is not None and not isinstance(body, str):
+                    body = json.dumps(body, ensure_ascii=False)
+                try:
+                    status, text = oauth_mod.call(
+                        svc, url,
+                        method=(arguments.get("method") or "GET"),
+                        body=body,
+                        content_type=(arguments.get("content_type") or "application/json"),
+                    )
+                except ValueError as exc:
+                    return f"FEHLER: {exc}"
+                except RuntimeError as exc:
+                    return f"FEHLER: {exc}"
+                except Exception as exc:
+                    logger.exception("oauth_call fehlgeschlagen")
+                    return f"FEHLER: Aufruf fehlgeschlagen: {exc}"
+                ok = 200 <= status < 300
+                head = f"HTTP {status}" + ("" if ok else " (Fehler)")
+                return f"{head}\n{text}" if text else head
             if name == "oauth_revoke":
                 svc = (arguments.get("service") or "").strip()
                 if not svc:
@@ -4049,6 +4379,10 @@ class Agent:
                 return f"OK — Projekt '{updated['name']}' ist wieder ein normaler Chat."
             if name in ("satellite_list", "satellite_devices", "satellite_command"):
                 return self._dispatch_satellite(name, arguments)
+            if name == "satellite_tunnel":
+                return self._dispatch_tunnel(arguments)
+            if name == "satellite_name":
+                return self._dispatch_sat_name(arguments)
             if name in ("jellyfin_search", "jellyfin_devices", "jellyfin_play",
                         "jellyfin_control"):
                 return self._dispatch_jellyfin(name, arguments)
@@ -4124,11 +4458,24 @@ class Agent:
             "Extrahiere die wichtigsten Fakten als JSON."
         )
 
+        distill_messages = [
+            ProxyMessage(role="system", content=system),
+            ProxyMessage(role="user", content=user),
+        ]
         try:
-            raw = self.proxy.chat([
-                ProxyMessage(role="system", content=system),
-                ProxyMessage(role="user", content=user),
-            ])
+            raw = self.proxy.chat(distill_messages)
+            # Auch hier kann Anthropics Filter zuschlagen — der Transcript
+            # enthaelt ja genau das Gespraech, das vorher schon blockiert
+            # wurde. Ohne diese Pruefung landet der Fehlertext in _parse_facts,
+            # scheitert dort als "unparsbares JSON", und das Destillat
+            # versucht es bei jedem Lauf aufs Neue erfolglos.
+            if safeguard.looks_like_block(raw, False):
+                fb = safeguard.fallback_for(self.proxy.model)
+                logger.warning("[safeguard] Destillat blockiert — zweiter Versuch mit %s", fb)
+                raw = self.proxy.chat(distill_messages, model=fb)
+                if safeguard.looks_like_block(raw, False):
+                    logger.error("[safeguard] Destillat auch mit %s blockiert — Turns bleiben", fb)
+                    return {"distilled": 0, "error": "Sicherheitsfilter blockiert das Destillat"}
         except Exception as exc:
             logger.warning("Destillat-Call fehlgeschlagen: %s — Turns bleiben", exc)
             return {"distilled": 0, "error": str(exc)}

aria-brain/background.py

@@ -36,7 +36,8 @@ TICK_SEC = 8
 BRIDGE_URL = os.environ.get("BRIDGE_URL", "http://aria-bridge:8090")
 
 
-def _push_to_bridge(reply: str, trigger_name: str, ttype: str, events: list) -> None:
+def _push_to_bridge(reply: str, trigger_name: str, ttype: str, events: list,
+                    project_id: str = "") -> None:
     """POSTed eine Trigger-Antwort an die Bridge fuer RVS-Broadcast + TTS.
 
     Synchron via urllib — wird per run_in_executor aus dem async-Loop
@@ -47,6 +48,10 @@ def _push_to_bridge(reply: str, trigger_name: str, ttype: str, events: list) ->
         "trigger_name": trigger_name,
         "type": ttype,
         "events": events or [],
+        # Kontext, in dem der Trigger angelegt wurde. Leer = Hauptchat. Ohne das
+        # landete JEDE Trigger-Antwort im Hauptchat, auch wenn der Timer mitten
+        # in einem Projekt-Thread gestellt wurde.
+        "projectId": project_id or "",
     }).encode("utf-8")
     url = f"{BRIDGE_URL}/internal/trigger-fired"
     try:
@@ -156,17 +161,23 @@ async def _fire(trigger: dict, agent_factory) -> None:
         # Executor auslagern, damit der Event-Loop frei bleibt.
         loop = asyncio.get_running_loop()
 
+        # Projekt, in dem der Trigger angelegt wurde — der Turn laeuft darin, und
+        # die Antwort geht auch dorthin zurueck (statt immer in den Hauptchat).
+        trigger_pid = str(trigger.get("project_id") or "")
+
         def _run_turn():
             a = agent_factory()
-            rep, *_rest = a.chat(prompt, source="trigger")
+            rep, *_rest = a.chat(prompt, source="trigger", project_id=trigger_pid)
             return rep, a.pop_events()
 
         reply, events = await loop.run_in_executor(None, _run_turn)
-        logger.info("[trigger] %s gefeuert → ARIA-Reply: %s", name, reply[:80])
+        logger.info("[trigger] %s gefeuert (project=%s) → ARIA-Reply: %s",
+                    name, trigger_pid or "(main)", reply[:80])
         triggers_mod.append_log(name, {"event": "reply", "text": reply[:500]})
         # Reply an die Bridge pushen, damit App + Diagnostic + TTS sie kriegen.
         # Ohne diesen Push wuerde die Antwort nur im Brain-Log landen.
-        await loop.run_in_executor(None, _push_to_bridge, reply, name, ttype, events)
+        await loop.run_in_executor(None, _push_to_bridge, reply, name, ttype,
+                                   events, trigger_pid)
     except Exception as e:
         logger.exception("Trigger %s feuern fehlgeschlagen: %s", name, e)
         triggers_mod.append_log(name, {"event": "error", "error": str(e)[:300]})

aria-brain/clean_poisoned_turns.py

@@ -13,11 +13,27 @@ Haltung fort (Self-Grounding rueckwaerts). Der --system-prompt-Fix verhindert
 NEUE Vergiftung, aber die bestehenden Gift-Turns muessen einmalig raus, sonst
 zieht die History das Modell weiter aus der Rolle.
 
+Zweite Giftquelle: Anthropics Sicherheitsfilter
+----------------------------------------------
+Dasselbe Muster, anderer Auslöser. Der Filter ("... safeguards flagged this
+message", `Details: [cyber]`) antwortet nicht mit einem HTTP-Fehler: die CLI
+liefert ein normales Ergebnis mit is_error=true und dem Fehlertext im content.
+Vor dem safeguard.py-Fix wurde dieser Text als ARIAs Antwort persistiert — und
+die ausloesende Frage steht direkt davor. Beides geht bei jedem Folge-Turn
+wieder mit, also greift der Filter wieder: das Projekt ist tot.
+
+Neue Vorfaelle faengt das Brain jetzt selbst ab (Modellwechsel, im Notfall
+Quarantaene). Was VORHER schon in der Datei steht, muss einmalig raus — dafuer
+ist dieses Script da. Diese Sorte wird in ALLEN Kontexten gesucht, nicht nur im
+Hauptthread: Projekt-Chats sind genau die, die daran sterben.
+
 Was das Script tut
 ------------------
 - Findet Hauptthread-Assistant-Turns (KEIN project_id), deren Inhalt eindeutig
   eine Rollen-Ablehnung ist: enthaelt "claude code" UND einen zweiten Marker
   (injiz/inject/fabriz/fabricat/adoptier/adopting/prompt injection/keine echten).
+- Findet in JEDEM Kontext Assistant-Turns, die der Fehlertext des
+  Sicherheitsfilters sind.
 - Entfernt diese Assistant-Turns PLUS den unmittelbar davor stehenden
   Hauptthread-User-Turn (die ausloesende Frage) — also den ganzen Fehl-Dialog.
 - Laesst ALLES andere unangetastet: projekt-getaggte Turns, distill-Marker,
@@ -61,10 +77,39 @@ _BREAK = re.compile(
 )
 
 
+# Der Fehlertext des Sicherheitsfilters. Gleiche Marker wie safeguard.py; hier
+# dupliziert, damit das Script ohne Brain-Imports auf dem Host laeuft.
+# Verlangt wird ZWEIERLEI: der Text muss mit "API Error" beginnen UND einen
+# Filter-Marker enthalten. Sonst traefe es auch Turns, in denen ARIA ueber den
+# Filter *spricht* — und eine Erklaerung ist kein Gift.
+_FILTER_MARKERS = (
+    "safeguards flagged this message",
+    "anthropic.com/legal/aup",
+    "can't respond to this message with",
+    "cannot respond to this message with",
+    "try rephrasing the request in a new session",
+)
+
+
 def is_poison(content: str) -> bool:
     return bool(_BREAK.search(content or ""))
 
 
+def is_filter_error(content: str) -> bool:
+    t = (content or "").strip().lower()
+    if not t.startswith("api error"):
+        return False
+    return any(m in t for m in _FILTER_MARKERS)
+
+
+def project_of(obj: dict) -> str:
+    """Projekt-Tag eines Turns. Brain nutzt 'project_id', UI/Bridge 'projectId'."""
+    pid = obj.get("project_id")
+    if pid is None:
+        pid = obj.get("projectId")
+    return str(pid or "").strip()
+
+
 def get_content(obj: dict) -> str:
     """conversation.jsonl nutzt 'content', chat_backup.jsonl nutzt 'text'."""
     v = obj.get("content")
@@ -112,24 +157,38 @@ def main() -> int:
             continue
         if obj.get("op") == "distill":
             continue
-        if obj.get("role") != "assistant" or not is_main_thread(obj):
+        if obj.get("role") != "assistant":
             continue
         content = get_content(obj)
-        if not content or not is_poison(content):
+        if not content:
+            continue
+        # Zwei Giftsorten mit unterschiedlichem Geltungsbereich:
+        #   Rollen-Ablehnung — nur Hauptthread (so war es immer; in Projekten
+        #       waere das Risiko eines False Positive hoeher als der Nutzen).
+        #   Sicherheitsfilter — ueberall, denn genau Projekt-Chats sterben daran.
+        if is_filter_error(content):
+            reason = "Sicherheitsfilter"
+        elif is_main_thread(obj) and is_poison(content):
+            reason = "Rollen-Ablehnung"
+        else:
             continue
         # Gift-Assistant-Turn -> droppen
         drop[i] = True
         user_idx = None
-        # Unmittelbar davor stehenden Hauptthread-User-Turn (die Frage) mit weg.
+        pid = project_of(obj)
+        # Unmittelbar davor stehenden User-Turn DESSELBEN Kontexts (die
+        # ausloesende Frage) mit weg — sonst bleibt der Ausloeser im Fenster.
         for j in range(i - 1, -1, -1):
             pj = parsed[j][1]
             if not isinstance(pj, dict) or pj.get("op") == "distill":
                 continue
-            if pj.get("role") == "user" and is_main_thread(pj):
+            if project_of(pj) != pid:
+                continue  # fremder Kontext — ueberspringen, nicht abbrechen
+            if pj.get("role") == "user":
                 drop[j] = True
                 user_idx = j
-            break  # nur der direkt vorangehende Turn
-        poisoned_pairs.append((i, user_idx))
+            break  # nur der direkt vorangehende Turn dieses Kontexts
+        poisoned_pairs.append((i, user_idx, reason, pid))
 
     n_drop = sum(drop)
     if n_drop == 0:
@@ -138,12 +197,13 @@ def main() -> int:
 
     print(f"Gefundene Fehl-Dialoge: {len(poisoned_pairs)} "
           f"(insgesamt {n_drop} Zeilen zu entfernen)\n")
-    for a_idx, u_idx in poisoned_pairs:
+    for a_idx, u_idx, reason, pid in poisoned_pairs:
+        print(f"  [{reason}] Kontext: {pid or 'Hauptchat'}")
         if u_idx is not None:
             uq = get_content(parsed[u_idx][1] or {})
-            print(f"  Frage   (Zeile {u_idx + 1}): {uq[:90]!r}")
+            print(f"  Frage    (Zeile {u_idx + 1}): {uq[:90]!r}")
         ac = get_content(parsed[a_idx][1] or {})
-        print(f"  Ablehng (Zeile {a_idx + 1}): {ac[:90]!r}")
+        print(f"  Antwort  (Zeile {a_idx + 1}): {ac[:90]!r}")
         print()
 
     if not apply:

aria-brain/main.py

@@ -38,6 +38,7 @@ import watcher as watcher_mod
 import background as background_mod
 import oauth as oauth_mod
 import seed_rules as seed_rules_mod
+import safeguard as safeguard_mod
 import projects as projects_mod
 import project_vms as project_vms_mod
 
@@ -398,6 +399,19 @@ def memory_delete(point_id: str):
 
 # ─── Memory-Anhaenge ──────────────────────────────────────────────────
 
+@app.get("/attachments/limit")
+def memory_attachments_limit():
+    """Aktuelles Groessen-Limit fuer Memory-Anhaenge.
+
+    Die Oberflaechen zeigen damit die ECHTE Zahl an statt eines fest
+    eingetippten "max 20 MB" — das stand vorher im HTML und stimmte nicht mehr,
+    sobald jemand das Limit anhob.
+    """
+    import memory_attachments as mem_att
+    limit = mem_att.max_bytes()
+    return {"maxBytes": limit, "maxMb": round(limit / 1024 / 1024, 1)}
+
+
 @app.get("/memory/{point_id}/attachments")
 def memory_attachments_list(point_id: str):
     """Liste der Anhaenge zum Memory. Source-of-Truth ist das Payload
@@ -1199,6 +1213,58 @@ def conversation_distill_now():
     return agent().distill_old_turns()
 
 
+# ─── Sicherheitsfilter (Anthropic) ──────────────────────────────────
+# Der Filter antwortet mit is_error=true und dem Fehlertext im content. Das
+# Brain erkennt das (safeguard.py), weicht aufs Ausweich-Modell aus und nimmt
+# im Notfall den ausloesenden Turn aus dem Prompt-Fenster. Hier nur die
+# Sichtbarkeit fuer die Diagnostic.
+
+@app.get("/safeguard/status")
+def safeguard_status(limit: int = 25):
+    """Vorfaelle + Quarantaene. Fuer das Panel in der Diagnostic."""
+    data = safeguard_mod.status(limit=limit)
+    # Welche Turns noch im Fenster liegen (= wirken noch) — sonst sieht man in
+    # der Liste nicht, ob eine Blockade noch aktiv ist oder nur Historie.
+    conv = conversation()
+    live = {t.ts for t in conv.turns}
+    for inc in data.get("incidents", []):
+        inc["in_window"] = bool(inc.get("turn_ts") and inc["turn_ts"] in live)
+    for q in data.get("quarantine", []):
+        q["in_window"] = bool(q.get("turn_ts") and q["turn_ts"] in live)
+        # Den Text dazu zeigen, damit Stefan sieht, WAS blockiert wurde.
+        q["content"] = next((t.content[:400] for t in conv.turns
+                             if t.ts == q.get("turn_ts")), "")
+    return data
+
+
+class SafeguardTurnBody(BaseModel):
+    turn_ts: str
+
+
+@app.post("/safeguard/unquarantine")
+def safeguard_unquarantine(body: SafeguardTurnBody):
+    """Einen quarantaenierten Turn wieder in den Verlauf aufnehmen.
+
+    Danach geht er wieder mit zum Modell — wenn er wirklich der Ausloeser war,
+    blockt der Filter erneut. Deshalb einzeln und von Hand."""
+    ok = safeguard_mod.unquarantine(body.turn_ts)
+    if not ok:
+        raise HTTPException(404, "Kein quarantaenierter Turn mit diesem Zeitstempel")
+    return {"ok": True}
+
+
+class SafeguardClearBody(BaseModel):
+    project_id: Optional[str] = None
+
+
+@app.post("/safeguard/clear")
+def safeguard_clear(body: SafeguardClearBody):
+    """Vorfallsliste leeren. Hebt damit auch den Modell-Vermerk auf — der
+    naechste Turn laeuft wieder aufs Hauptmodell. Quarantaene bleibt."""
+    removed = safeguard_mod.clear(body.project_id)
+    return {"ok": True, "removed": removed}
+
+
 # ─── Call-Metrics (Token / Quota-Monitoring) ────────────────────────
 
 @app.get("/metrics/calls")

aria-brain/memory_attachments.py

@@ -16,6 +16,7 @@ selbst hat in Stufe A kein Tool zum Upload.
 from __future__ import annotations
 
 import base64
+import json
 import logging
 import mimetypes
 import os
@@ -27,9 +28,41 @@ from typing import List, Optional
 logger = logging.getLogger(__name__)
 
 ROOT = Path(os.environ.get("MEMORY_ATTACHMENTS_DIR", "/shared/memory-attachments"))
-MAX_BYTES = int(os.environ.get("MEMORY_ATTACHMENT_MAX_BYTES", str(20 * 1024 * 1024)))  # 20 MB
 SAFE_NAME_RE = re.compile(r"[^A-Za-z0-9._\-]")
 
+RUNTIME_CONFIG_FILE = Path("/shared/config/runtime.json")
+# 64 MB: so viel holt die App auch auf ausdruecklichen Tipp noch herunter
+# (TAP_DL_MAX_BYTES in ChatScreen.tsx). Ein hoeheres Limit wuerde Anhaenge
+# erlauben, die das Handy anschliessend nicht mehr laden kann.
+_DEFAULT_MAX_BYTES = 64 * 1024 * 1024
+
+
+def max_bytes() -> int:
+    """Aktuelles Groessen-Limit fuer Anhaenge.
+
+    Reihenfolge: runtime.json (Diagnostic → System & Wartung) > ENV > Default.
+    Wird bei JEDEM Aufruf gelesen, damit eine Aenderung in der Diagnostic sofort
+    greift — ein Brain-Neustart nur fuers Anheben einer Zahl waere Unsinn.
+    """
+    try:
+        with RUNTIME_CONFIG_FILE.open() as f:
+            mb = json.load(f).get("memoryAttachmentMaxMb")
+        if mb is not None:
+            val = int(float(mb) * 1024 * 1024)
+            if val > 0:
+                return val
+    except FileNotFoundError:
+        pass
+    except Exception as exc:
+        logger.warning("runtime.json lesen fehlgeschlagen: %s", exc)
+    env = os.environ.get("MEMORY_ATTACHMENT_MAX_BYTES")
+    if env:
+        try:
+            return int(env)
+        except ValueError:
+            logger.warning("MEMORY_ATTACHMENT_MAX_BYTES ist keine Zahl: %r", env)
+    return _DEFAULT_MAX_BYTES
+
 
 def _safe_filename(name: str) -> str:
     """Macht aus einem User-Namen einen filesystem-sicheren String —
@@ -78,8 +111,12 @@ def save_attachment(memory_id: str, filename: str, data: bytes) -> dict:
     Ueberschreibt eine bestehende Datei mit gleichem Namen."""
     if not memory_id:
         raise ValueError("memory_id ist Pflicht")
-    if len(data) > MAX_BYTES:
-        raise ValueError(f"Anhang zu gross ({len(data)} > {MAX_BYTES} Byte)")
+    limit = max_bytes()
+    if len(data) > limit:
+        raise ValueError(
+            f"Anhang zu gross ({len(data) // (1024 * 1024)} MB > "
+            f"{limit // (1024 * 1024)} MB). Das Limit steht in der Diagnostic "
+            f"unter System & Wartung.")
     safe = _safe_filename(filename)
     d = memory_dir(memory_id)
     d.mkdir(parents=True, exist_ok=True)
@@ -165,8 +202,12 @@ def attach_from_path(memory_id: str, source_path: str) -> dict:
     if not src.is_file():
         raise ValueError(f"Datei nicht gefunden: {source_path}")
     size = src.stat().st_size
-    if size > MAX_BYTES:
-        raise ValueError(f"Datei zu gross ({size} > {MAX_BYTES} Byte)")
+    limit = max_bytes()
+    if size > limit:
+        raise ValueError(
+            f"Datei zu gross ({size // (1024 * 1024)} MB > "
+            f"{limit // (1024 * 1024)} MB). Das Limit steht in der Diagnostic "
+            f"unter System & Wartung.")
     # Reuse save_attachment damit Filename-Sanitization + Logging konsistent
     data = src.read_bytes()
     return save_attachment(memory_id, src.name, data)

aria-brain/oauth.py

@@ -28,6 +28,7 @@ import logging
 import os
 import secrets
 import time
+import urllib.error
 import urllib.parse
 import urllib.request
 from pathlib import Path
@@ -129,7 +130,8 @@ def register_provider(service: str, auth_url: str, token_url: str,
                       scopes: Optional[list[str]] = None,
                       client_auth: str = "body",
                       extra_auth_params: Optional[dict] = None,
-                      accept_header: Optional[str] = None) -> dict:
+                      accept_header: Optional[str] = None,
+                      api_hosts: Optional[list[str]] = None) -> dict:
     """Schreibt einen neuen Provider-Eintrag in oauth_apps.json. KEINE
     Credentials hier — die bleiben Stefans Job (Diagnostic / App-UI). Wird
     vom Brain-Tool `oauth_register_provider` gerufen.
@@ -158,6 +160,12 @@ def register_provider(service: str, auth_url: str, token_url: str,
         entry["extra_auth_params"] = extra_auth_params
     if accept_header is not None:
         entry["accept_header"] = accept_header
+    if api_hosts is not None:
+        # Zusaetzliche API-Hosts, an die oauth_call den Token schicken darf.
+        # Noetig, wenn die API auf einer anderen Domain liegt als der Login
+        # (z.B. github.com -> api.github.com waere noch dieselbe Basis, aber
+        # manche Provider nutzen voellig andere Namen).
+        entry["api_hosts"] = [str(h).strip().lower() for h in api_hosts if str(h).strip()]
     apps[svc] = entry
     _save_json(APPS_FILE, apps)
     logger.info("[oauth] Provider '%s' registriert (auth=%s, token=%s, scopes=%d)",
@@ -416,6 +424,108 @@ def revoke(service: str) -> bool:
     return True
 
 
+def allowed_hosts(service: str) -> list[str]:
+    """Hosts, an die ein Token dieses Services geschickt werden darf.
+
+    SICHERHEITSKERN von `call()`: ohne diese Liste koennte ein Aufruf den
+    Zugangstoken an einen beliebigen Server schicken — die Anfrage-URL kommt
+    schliesslich vom Modell. Darum wird nur zugelassen, was zum Provider selbst
+    gehoert: die Hosts aus auth_url/token_url plus optional eingetragene
+    api_hosts. Subdomains desselben registrierbaren Namens zaehlen mit
+    (accounts.spotify.com -> api.spotify.com), fremde Domains nie.
+    """
+    cfg = _provider_config(service)
+    hosts: set[str] = set()
+    for key in ("auth_url", "token_url"):
+        u = cfg.get(key) or ""
+        try:
+            h = urllib.parse.urlparse(u).hostname or ""
+        except Exception:
+            h = ""
+        if h:
+            hosts.add(h.lower())
+    for h in (cfg.get("api_hosts") or []):
+        h = str(h).strip().lower()
+        if h:
+            hosts.add(h)
+    return sorted(hosts)
+
+
+def _host_allowed(host: str, allowed: list[str]) -> bool:
+    """True, wenn host zu einem der erlaubten Hosts gehoert.
+
+    Verglichen wird auf den letzten ZWEI Labels (spotify.com). Ein reiner
+    endswith-Vergleich waere angreifbar: 'boesespotify.com' endet auch auf
+    'spotify.com'.
+    """
+    h = (host or "").lower().strip(".")
+    if not h:
+        return False
+
+    def base(x: str) -> str:
+        parts = x.lower().strip(".").split(".")
+        return ".".join(parts[-2:]) if len(parts) >= 2 else x.lower()
+
+    hb = base(h)
+    return any(h == a or hb == base(a) for a in allowed)
+
+
+def call(service: str, url: str, method: str = "GET",
+         body: Optional[str] = None, content_type: str = "application/json",
+         timeout: float = 20.0, max_bytes: int = 200_000) -> tuple[int, str]:
+    """Fuehrt einen HTTP-Aufruf MIT dem Zugangstoken aus — ohne ihn herauszugeben.
+
+    Das ist der Ersatz fuer "gib mir den Token, ich rufe selbst": der Token
+    verlaesst den Brain-Prozess nicht und kann damit auch nicht in einem
+    Gespraechsprotokoll landen.
+
+    Returns (status_code, text). Wirft ValueError bei unerlaubter URL.
+    """
+    svc = (service or "").strip()
+    if not svc:
+        raise ValueError("service ist Pflicht")
+    u = (url or "").strip()
+    if not u.startswith("https://"):
+        # Kein http:// — der Token ginge im Klartext ueber die Leitung.
+        raise ValueError("url muss mit https:// beginnen")
+    host = urllib.parse.urlparse(u).hostname or ""
+    allowed = allowed_hosts(svc)
+    if not allowed:
+        raise ValueError(
+            f"Fuer '{svc}' sind keine Hosts hinterlegt — erst oauth_register_provider aufrufen.")
+    if not _host_allowed(host, allowed):
+        raise ValueError(
+            f"Host '{host}' gehoert nicht zu '{svc}'. Erlaubt: {', '.join(allowed)}")
+
+    m = (method or "GET").upper()
+    if m not in ("GET", "POST", "PUT", "PATCH", "DELETE"):
+        raise ValueError(f"Methode nicht erlaubt: {method}")
+
+    record = get_token(svc)          # refresht bei Bedarf
+    token = record.get("access_token", "")
+    ttype = record.get("token_type") or "Bearer"
+
+    data = body.encode("utf-8") if body else None
+    req = urllib.request.Request(u, data=data, method=m)
+    req.add_header("Authorization", f"{ttype} {token}")
+    req.add_header("Accept", "application/json")
+    if data is not None:
+        req.add_header("Content-Type", content_type)
+    try:
+        with urllib.request.urlopen(req, timeout=timeout) as resp:
+            raw = resp.read(max_bytes + 1)
+            status = resp.status
+    except urllib.error.HTTPError as exc:
+        raw = exc.read(max_bytes + 1) if hasattr(exc, "read") else b""
+        status = exc.code
+    truncated = len(raw) > max_bytes
+    text = raw[:max_bytes].decode("utf-8", "replace")
+    if truncated:
+        text += "\n…(gekuerzt)"
+    logger.info("[oauth] call %s %s %s -> %s (%d Byte)", svc, m, host, status, len(raw))
+    return status, text
+
+
 def list_services() -> list[dict]:
     """Diagnostik: zeigt fuer jeden konfigurierten Service ob Token da ist
     + Ablaufzeit. Wird von Diagnostic genutzt."""

aria-brain/prompts.py

@@ -457,8 +457,22 @@ def build_oauth_section(oauth_services: list[dict] | None,
         "",
         "Du kannst Spotify, Google, GitHub, Strava, Microsoft (und custom-konfigurierte) "
         "Services via OAuth2 ansprechen. Workflow ist IMMER:",
-        "1. `oauth_get_token(service)` versuchen — Token vorhanden? → benutzen.",
+        "1. `oauth_get_token(service)` fragen — sagt nur OB authentifiziert ist.",
         "2. Wirft 'Kein Token gespeichert'? → `oauth_authorize(service)` aufrufen, URL an Stefan, warten, dann nochmal `oauth_get_token`.",
+        "3. API ansprechen mit `oauth_call(service, url, ...)` — das Brain haengt "
+        "die Authorization selbst an.",
+        "",
+        "**Du bekommst den Zugangstoken NICHT zu sehen — und brauchst ihn nicht.** "
+        "Das ist Absicht: alles was Du siehst, steht im Gespraechsprotokoll. Frag "
+        "also nicht danach und versuche nicht, ihn aus Dateien oder Umgebungs"
+        "variablen zu lesen. Fuer etwas, das oefter gebraucht wird, bau einen Skill "
+        "— der holt sich den Token zur Laufzeit ueber "
+        "`{BRAIN_INTERNAL_URL}/oauth/<service>/token`, serverseitig.",
+        "",
+        "**Secrets gehoeren nie in den Chat.** Wenn Stefan Dir ein Passwort, einen "
+        "API-Key oder ein client_secret schicken will: NICHT hier abtippen lassen. "
+        "Verweise ihn auf Diagnostic → OAuth-Apps bzw. die Skill-Konfiguration. "
+        "Und wiederhole ein Secret niemals in Deiner Antwort.",
         "",
         f"**Callback-URL (fest, NICHT raten):** `{base}`",
         "Diese URL muss Stefan EINMAL pro Service im Provider-Dashboard als gueltige "

aria-brain/proxy_client.py

@@ -66,6 +66,13 @@ class ProxyResult(BaseModel):
     content: str = ""
     tool_calls: list = []  # je: {"id", "name", "arguments" (dict)}
     finish_reason: str = ""
+    # ARIA-Zusatzfelder des Proxys (cli-to-openai.js). Wichtig: ein Fehler der
+    # CLI kommt NICHT als HTTP-Fehler, sondern als normale Antwort mit
+    # is_error=true und dem Fehlertext im content. Ohne dieses Flag kann der
+    # Agent einen Fehlertext nicht von einer Antwort unterscheiden — genau so
+    # landete die Meldung des Sicherheitsfilters als ARIAs Antwort im Verlauf.
+    is_error: bool = False
+    model_used: str = ""   # Modell, das tatsaechlich geantwortet hat
 
 
 class ProxyClient:
@@ -177,7 +184,13 @@ class ProxyClient:
         # Call-Metric anhaengen — Token-Schaetzung fuer Quota-Monitoring
         metrics.log_call(payload["model"], messages, content or "")
 
-        return ProxyResult(content=content or "", tool_calls=tool_calls, finish_reason=finish_reason)
+        return ProxyResult(
+            content=content or "",
+            tool_calls=tool_calls,
+            finish_reason=finish_reason,
+            is_error=bool(data.get("aria_error")),
+            model_used=str(data.get("aria_model") or ""),
+        )
 
     def close(self):
         try:

aria-brain/safeguard.py

@@ -0,0 +1,310 @@
+"""Anthropics Sicherheitsfilter — erkennen, ausweichen, Verlauf heil halten.
+
+Der Filter ("... safeguards flagged this message", `Details: [cyber]`) meldet
+sich NICHT als HTTP-Fehler. Die CLI liefert ein voellig normales Ergebnis mit
+is_error=true, und der Fehlertext steht im `content` — also genau dort, wo
+sonst ARIAs Antwort steht. Ungeprueft passiert deshalb Folgendes:
+
+  1. Der Fehlertext landet per conversation.add("assistant", ...) im Verlauf.
+  2. Jeder Folge-Turn schickt den Verlauf samt der ausloesenden Nachricht wieder
+     mit — der Filter greift erneut.
+  3. Das Projekt ist tot: jede weitere Frage scheitert an derselben Stelle.
+
+Dagegen zwei Rettungsstufen:
+
+  Stufe 1 — Modellwechsel. Der Filter ist modellspezifisch ("Opus 5's
+  safeguards ..."), Anthropic empfiehlt selbst "change your model". Derselbe
+  Turn wird mit dem Ausweich-Modell neu gefragt. Der ausloesende Turn wird
+  vermerkt, damit die naechsten Turns des Projekts nicht erst wieder gegen die
+  Wand laufen. Der Vermerk verfaellt von selbst, sobald der Turn aus dem
+  Rolling Window gerollt ist — nichts muss aufgeraeumt werden.
+
+  Stufe 2 — Quarantaene. Blockt auch das Ausweich-Modell, liegt es am Verlauf
+  selbst. Dann wird der ausloesende Turn aus dem Prompt-Fenster genommen.
+  NICHT geloescht: er bleibt in conversation.jsonl, bleibt in der Diagnostic
+  sichtbar und ist mit einem Klick zurueckholbar. Das Projekt ist damit im
+  naechsten Turn wieder benutzbar.
+
+Der Zustand liegt in /data/safeguard.json — bewusst NICHT in
+conversation.jsonl: ein Markieren wuerde dort ein Rewrite erzwingen, und das
+schreibt nur das In-Memory-Window zurueck (alles schon Destillierte waere weg).
+"""
+
+from __future__ import annotations
+
+import json
+import logging
+import os
+import re
+import threading
+from datetime import datetime, timezone
+from pathlib import Path
+from typing import Iterable, Optional
+
+logger = logging.getLogger(__name__)
+
+STATE_FILE = Path(os.environ.get("SAFEGUARD_STATE_FILE", "/data/safeguard.json"))
+RUNTIME_CONFIG_FILE = Path(os.environ.get("RUNTIME_CONFIG_FILE", "/shared/config/runtime.json"))
+
+# Wie viele Vorfaelle wir aufbewahren. Reicht fuer die Diagnostic-Anzeige und
+# haelt die Datei klein.
+MAX_INCIDENTS = 200
+
+_lock = threading.Lock()
+
+
+class Blocked(Exception):
+    """Auch das Ausweich-Modell wurde blockiert.
+
+    Dann hilft kein Modellwechsel mehr — es liegt am Verlauf selbst. Der Agent
+    faengt das und geht auf Stufe 2 (Quarantaene).
+    """
+
+    def __init__(self, models, text: str = ""):
+        self.models = [m for m in models if m]
+        self.text = text or ""
+        super().__init__("Sicherheitsfilter blockiert: " + ", ".join(self.models))
+
+# Textmarker des Filters. Englisch und stabil — der Text kommt von Anthropic,
+# nicht von uns. Mehrere, weil die Formulierung sich aendern kann.
+_MARKERS = (
+    "safeguards flagged this message",
+    "anthropic.com/legal/aup",
+    "can't respond to this message with",
+    "cannot respond to this message with",
+    "try rephrasing the request in a new session",
+)
+
+_DETAIL_RE = re.compile(r"details:\s*`?\[([a-z0-9_-]+)\]`?", re.IGNORECASE)
+
+
+def _now() -> str:
+    return datetime.now(timezone.utc).isoformat()
+
+
+def norm_model(model: str) -> str:
+    """Modellnamen vergleichbar machen (Gross/Klein, CLI-Prefix, Leerzeichen)."""
+    m = (model or "").strip().lower()
+    if m.startswith("claude-code-cli/"):
+        m = m[len("claude-code-cli/"):]
+    return m
+
+
+# ── Erkennung ───────────────────────────────────────────────────────
+
+def looks_like_block(text: str, is_error: bool = False) -> bool:
+    """True, wenn dieser Antworttext der Sicherheitsfilter ist.
+
+    Zwei Wege, absichtlich unterschiedlich streng:
+
+    * is_error=true (die CLI sagt selbst "das war ein Fehler") — ein Marker
+      genuegt.
+    * Ohne is_error muss der Text mit "API Error" ANFANGEN. Sonst wuerde die
+      Erkennung auch dann zuschlagen, wenn ARIA ueber den Filter *spricht*
+      ("der Fehler hiess: safeguards flagged ...") — eine Antwort ueber den
+      Fehler ist kein Fehler.
+    """
+    t = (text or "").strip()
+    if not t:
+        return False
+    low = t.lower()
+    hits = sum(1 for m in _MARKERS if m in low)
+    if hits == 0:
+        return False
+    if is_error:
+        return True
+    return low.startswith("api error") and len(t) <= 2000
+
+
+def detail_code(text: str) -> str:
+    """Der Klassifikator-Code aus "Details: `[cyber]`" — nur fuer die Anzeige."""
+    m = _DETAIL_RE.search(text or "")
+    return m.group(1) if m else ""
+
+
+# ── Ausweich-Modell ─────────────────────────────────────────────────
+
+def _runtime_cfg() -> dict:
+    try:
+        if RUNTIME_CONFIG_FILE.exists():
+            return json.loads(RUNTIME_CONFIG_FILE.read_text(encoding="utf-8")) or {}
+    except Exception as exc:
+        logger.warning("[safeguard] runtime.json lesen fehlgeschlagen: %s", exc)
+    return {}
+
+
+def fallback_for(model: str) -> str:
+    """Welches Modell beim naechsten Versuch.
+
+    Vorrang hat `brainFallbackModel` aus runtime.json (Diagnostic). Zeigt das
+    auf dasselbe Modell, ist es wertlos — dann faellt es auf die automatische
+    Wahl zurueck: ein ANDERES Tier, denn der Filter haengt am Modell.
+
+    Pro Aufruf gelesen, nicht beim Import: eine Aenderung in der Diagnostic
+    greift so ohne Brain-Neustart.
+    """
+    want = str(_runtime_cfg().get("brainFallbackModel") or "").strip()
+    primary = norm_model(model)
+    if want and norm_model(want) != primary:
+        return want
+    if "sonnet" in primary:
+        return "opus"
+    # Opus, Fable, Haiku und alles Unbekannte → Sonnet. Sonnet ist das
+    # breiteste Tier im Max-Abo und ein anderer Filter-Kontext als Opus.
+    return "sonnet"
+
+
+# ── Zustand ─────────────────────────────────────────────────────────
+
+def _load() -> dict:
+    try:
+        if STATE_FILE.exists():
+            data = json.loads(STATE_FILE.read_text(encoding="utf-8")) or {}
+            if isinstance(data, dict):
+                data.setdefault("incidents", [])
+                data.setdefault("quarantine", [])
+                return data
+    except Exception as exc:
+        logger.warning("[safeguard] Zustand lesen fehlgeschlagen: %s", exc)
+    return {"incidents": [], "quarantine": []}
+
+
+def _save(data: dict) -> None:
+    try:
+        STATE_FILE.parent.mkdir(parents=True, exist_ok=True)
+        tmp = STATE_FILE.with_suffix(".json.tmp")
+        tmp.write_text(json.dumps(data, ensure_ascii=False, indent=2), encoding="utf-8")
+        tmp.replace(STATE_FILE)
+    except Exception as exc:
+        logger.warning("[safeguard] Zustand schreiben fehlgeschlagen: %s", exc)
+
+
+def record_block(project_id: str, turn_ts: str, model: str, fallback: str,
+                 text: str = "", recovered: bool = False) -> None:
+    """Einen Vorfall vermerken. turn_ts = der User-Turn, der mitlief."""
+    with _lock:
+        data = _load()
+        data["incidents"].append({
+            "at": _now(),
+            "project_id": project_id or "",
+            "turn_ts": turn_ts or "",
+            "model": model or "",
+            "fallback": fallback or "",
+            "recovered": bool(recovered),
+            "code": detail_code(text),
+            "snippet": (text or "").strip()[:300],
+        })
+        data["incidents"] = data["incidents"][-MAX_INCIDENTS:]
+        _save(data)
+
+
+def mark_recovered(turn_ts: str, model: str, fallback_used: str) -> None:
+    """Nachtragen, dass der Ausweichversuch geklappt hat (nur Anzeige)."""
+    with _lock:
+        data = _load()
+        for inc in reversed(data["incidents"]):
+            if inc.get("turn_ts") == turn_ts and norm_model(inc.get("model", "")) == norm_model(model):
+                inc["recovered"] = True
+                inc["fallback"] = fallback_used
+                break
+        _save(data)
+
+
+def blocked_models(project_id: str, turn_timestamps: Iterable[str]) -> set:
+    """Modelle, die an den Turns DIESES Fensters schon gescheitert sind.
+
+    Der Abgleich laeuft ueber die Turn-Zeitstempel: rollt der ausloesende Turn
+    aus dem Fenster, taucht er hier nicht mehr auf und das Projekt darf wieder
+    aufs Hauptmodell. Kein Aufraeumen, kein Ablaufdatum von Hand.
+    """
+    want = set(turn_timestamps or ())
+    if not want:
+        return set()
+    pid = project_id or ""
+    out = set()
+    for inc in _load()["incidents"]:
+        if (inc.get("project_id") or "") != pid:
+            continue
+        ts = inc.get("turn_ts") or ""
+        if ts and ts in want:
+            m = norm_model(inc.get("model", ""))
+            if m:
+                out.add(m)
+    return out
+
+
+# ── Quarantaene ─────────────────────────────────────────────────────
+
+def quarantine(turn_ts: str, project_id: str = "", reason: str = "") -> None:
+    if not turn_ts:
+        return
+    with _lock:
+        data = _load()
+        if any(q.get("turn_ts") == turn_ts for q in data["quarantine"]):
+            return
+        data["quarantine"].append({
+            "turn_ts": turn_ts, "project_id": project_id or "",
+            "at": _now(), "reason": reason or "",
+        })
+        _save(data)
+    logger.warning("[safeguard] Turn %s in Quarantaene (Projekt %r)", turn_ts, project_id or "(main)")
+
+
+def unquarantine(turn_ts: str) -> bool:
+    with _lock:
+        data = _load()
+        before = len(data["quarantine"])
+        data["quarantine"] = [q for q in data["quarantine"] if q.get("turn_ts") != turn_ts]
+        changed = len(data["quarantine"]) != before
+        if changed:
+            _save(data)
+    if changed:
+        logger.info("[safeguard] Quarantaene aufgehoben: %s", turn_ts)
+    return changed
+
+
+def quarantined_ts() -> set:
+    return {q.get("turn_ts") for q in _load()["quarantine"] if q.get("turn_ts")}
+
+
+def filter_window(turns: list) -> list:
+    """Quarantaenierte Turns aus dem Prompt-Fenster nehmen.
+
+    Greift NUR auf dem Weg zum Modell. Gespeichert bleibt alles — die
+    Diagnostic und jeder Export sehen den Turn weiter.
+    """
+    q = quarantined_ts()
+    if not q:
+        return turns
+    return [t for t in turns if getattr(t, "ts", "") not in q]
+
+
+# ── Diagnostic ──────────────────────────────────────────────────────
+
+def status(limit: int = 25) -> dict:
+    data = _load()
+    inc = data["incidents"][-limit:][::-1]
+    return {
+        "incidents": inc,
+        "total": len(data["incidents"]),
+        "quarantine": data["quarantine"],
+        "fallback_model": str(_runtime_cfg().get("brainFallbackModel") or "").strip(),
+        "state_file": str(STATE_FILE),
+    }
+
+
+def clear(project_id: Optional[str] = None) -> int:
+    """Vorfaelle loeschen (Anzeige + Taint). Quarantaene bleibt — die wird
+    einzeln aufgehoben, damit nicht ein Klick alle Blockaden zurueckholt."""
+    with _lock:
+        data = _load()
+        before = len(data["incidents"])
+        if project_id is None:
+            data["incidents"] = []
+        else:
+            pid = project_id or ""
+            data["incidents"] = [i for i in data["incidents"]
+                                 if (i.get("project_id") or "") != pid]
+        removed = before - len(data["incidents"])
+        _save(data)
+    return removed

aria-brain/seed_rules.py

@@ -185,11 +185,21 @@ SEED_RULES: List[dict] = [
         "category": "skills",
         "content": (
             "Schreibe NIEMALS API-Keys, Tokens, Passwoerter, client_id oder "
-            "client_secret direkt in den Skill-Code. Fuer OAuth-Services "
-            "(Spotify, Google, GitHub etc.) nutze das Brain-Tool "
-            "`oauth_get_token('<service>')` — das macht Auto-Refresh und "
-            "haelt den Token frisch. Stefan muss sich sonst alle 60 Minuten "
-            "manuell neu einloggen, das nervt."
+            "client_secret direkt in den Skill-Code — und schreibe sie auch "
+            "NIE in eine Chat-Antwort. Alles was im Gespraech steht, wird "
+            "uebertragen und gespeichert.\n"
+            "\n"
+            "Fuer OAuth-Services (Spotify, Google, GitHub etc.):\n"
+            "- Im Gespraech: `oauth_call('<service>', url, ...)` — das Brain "
+            "haengt die Authorization an, Du siehst den Token nie.\n"
+            "- Im Skill-Code: den Token zur Laufzeit holen ueber "
+            "GET {BRAIN_INTERNAL_URL}/oauth/<service>/token. Der Aufruf macht "
+            "Auto-Refresh; Stefan muss sich sonst alle 60 Minuten neu "
+            "einloggen, das nervt.\n"
+            "- Zugangsdaten, die kein OAuth sind (Benutzername/Passwort, "
+            "API-Key): in die SKILL-KONFIGURATION (`skill_set_config`), nicht "
+            "in den Code und nicht in den Chat. Der Skill bekommt sie zur "
+            "Laufzeit als CFG_<NAME>-Umgebungsvariable."
         ),
     },
     {
@@ -235,9 +245,11 @@ SEED_RULES: List[dict] = [
         "content": (
             "Wenn ein API-Call gegen einen OAuth-Service 401 / 'unauthorized' / "
             "'token expired' zurueckgibt: RUFE ZUERST "
-            "`oauth_get_token('<service>')`. Brain holt entweder den noch "
-            "gueltigen Token oder refresht ihn automatisch ueber den "
-            "gespeicherten refresh_token. In 99% der Faelle reicht das.\n"
+            "`oauth_get_token('<service>')`. Das refresht automatisch ueber den "
+            "gespeicherten refresh_token und sagt Dir, ob wieder alles gueltig "
+            "ist (den Token selbst bekommst Du bewusst nicht — "
+            "`oauth_call` nutzt ihn fuer Dich). In 99% der Faelle reicht das: "
+            "danach denselben Aufruf einfach nochmal.\n"
             "\n"
             "Nur wenn `oauth_get_token` selbst einen Fehler wirft "
             "('refresh failed', 'no refresh_token', 'service nicht "

aria-brain/triggers.py

@@ -146,6 +146,7 @@ def create_timer(
     fires_at_iso: str,
     message: str,
     author: str = "aria",
+    project_id: str = "",
 ) -> dict:
     _safe_name(name)
     if _path(name).exists():
@@ -164,11 +165,16 @@ def create_timer(
         "created_at": _now_iso(),
         "fires_at": fires_at_iso,
         "message": message,
+        # Projekt, in dem der Trigger angelegt wurde. Ohne das landete die
+        # Antwort beim Feuern IMMER im Hauptchat — auch wenn der Timer mitten
+        # in einem Projekt-Thread gestellt wurde. Leer = Hauptchat.
+        "project_id": project_id or "",
         "fire_count": 0,
         "last_fired_at": None,
     }
     write(name, data)
-    logger.info("Trigger angelegt: %s (timer, fires_at=%s)", name, fires_at_iso)
+    logger.info("Trigger angelegt: %s (timer, fires_at=%s, project=%s)",
+                name, fires_at_iso, project_id or "(main)")
     return data
 
 
@@ -179,6 +185,7 @@ def create_watcher(
     check_interval_sec: int = 300,
     throttle_sec: int = 3600,
     author: str = "aria",
+    project_id: str = "",
 ) -> dict:
     _safe_name(name)
     if _path(name).exists():
@@ -200,12 +207,15 @@ def create_watcher(
         "check_interval_sec": int(check_interval_sec),
         "throttle_sec": int(throttle_sec),
         "message": message,
+        # Siehe create_timer: ohne Projekt landet die Antwort im Hauptchat.
+        "project_id": project_id or "",
         "fire_count": 0,
         "last_fired_at": None,
         "last_checked_at": None,
     }
     write(name, data)
-    logger.info("Trigger angelegt: %s (watcher, cond='%s')", name, condition)
+    logger.info("Trigger angelegt: %s (watcher, cond='%s', project=%s)",
+                name, condition, project_id or "(main)")
     return data
 
 

bridge/aria_bridge.py

@@ -739,6 +739,14 @@ class ARIABridge:
         # weder Meta-Kommando noch Prefix ist und der Sticky abgelaufen,
         # nutzen wir das als Default (Voice folgt dem sichtbaren Kontext).
         self._stt_stream_projects: dict[str, str] = {}
+        # Zusatz-Absicht pro Stream, auch von stt_stream_start:
+        #   cmid      — clientMsgId der Anhaenge, die zu DIESER Aufnahme gehoeren
+        #               (Sprachnachricht als Beschreibung zu einem Bild/Video).
+        #   interject — die Aufnahme ist ein Zwischenruf in den laufenden Turn,
+        #               keine neue Anfrage.
+        # Getrennt von _stt_stream_projects gehalten: der Fokus-Default greift
+        # auch fuer alte App-Versionen, die diese Felder nicht mitschicken.
+        self._stt_stream_meta: dict[str, dict] = {}
         # Voice-Override aus letzter Chat-Nachricht einer App.
         # Wird fuer die direkt folgende ARIA-Antwort genutzt und dann zurueckgesetzt.
         # So kann jedes Geraet seine bevorzugte Stimme bekommen (pro Request).
@@ -757,6 +765,17 @@ class ARIABridge:
         # "task": asyncio.Task}. Wir bruecken rohes RFB-TCP (QEMU-VNC auf dem
         # Host) <-> RVS (vnc_data/vnc_input, Base64-in-JSON).
         self._vnc_sessions: dict[str, dict] = {}
+        # ── Satelliten-Port-Tunnel ───────────────────────────────────
+        # ARIA sitzt hier, der Dienst steht in einem fremden LAN. Der Satellit
+        # haelt dorthin die Verbindung; wir machen daraus einen GANZ NORMALEN
+        # lokalen Port. Damit kann alles im Stack einfach draufzugreifen
+        # (MCP-Client, curl, Browser) statt eine Sonder-API zu brauchen.
+        #   _tunnel_listeners: port -> {"server", "satellite", "target", "port"}
+        #   _tunnel_conns:     tunnelId -> {"writer", "opened" (Future)}
+        self._tunnel_listeners: dict[int, dict] = {}
+        self._tunnel_conns: dict[str, dict] = {}
+        self._TUNNEL_PORT_BASE = int(os.environ.get("TUNNEL_PORT_BASE", "19000"))
+        self._TUNNEL_PORT_MAX = int(os.environ.get("TUNNEL_PORT_MAX", "19099"))
         # VNC-Host: das aria-net-Gateway (dort bindet der Brain QEMUs VNC).
         # host.docker.internal zeigt faelschlich auf docker0 (172.17.0.1) → refused.
         self._vnc_host: str = (os.environ.get("ARIA_VNC_HOST")
@@ -808,6 +827,18 @@ class ARIABridge:
         # Projekt landen statt im Hauptchat.
         self._pending_files_project_id: str = ""
         self._PENDING_FILES_WINDOW_SEC: float = 0.8
+        # Wartet ein Upload auf eine SPRACHNACHRICHT als Beschreibung, reichen
+        # 0.8s nicht: der Nutzer spricht erst, und Whisper braucht danach noch
+        # ein paar Sekunden fuers Final-Transkript. Mit dem kurzen Fenster waere
+        # der Anhang laengst alleine rausgegangen ("warte auf seine Anweisung"),
+        # und der gesprochene Text kaeme als zweiter, unverbundener Turn.
+        # Das lange Fenster ist nur eine Notbremse gegen Haengenbleiben, falls
+        # gar kein Endpoint mehr kommt — der Normalfall ist der Merge im
+        # stt_endpoint-Handler. Es MUSS ueber dem Aufnahme-Hard-Cap der App
+        # liegen (Default 5 Minuten) plus Whisper-Final, sonst waeren die
+        # Anhaenge bei einer langen Aufnahme vorher alleine rausgegangen.
+        self._PENDING_FILES_VOICE_WINDOW_SEC: float = 420.0
+        self._pending_files_await_voice: bool = False
 
     def initialize(self) -> None:
         """Initialisiert alle Komponenten.
@@ -1879,6 +1910,13 @@ class ARIABridge:
         return (f"Stefan hat dir {n} {anhang} geschickt:\n{files_summary}\n\n"
                 f"Warte auf seine Anweisung was du damit tun sollst.")
 
+    def _pending_files_window(self) -> float:
+        """Wie lange auf den zugehoerigen Text gewartet wird, bevor die Anhaenge
+        alleine rausgehen. Lang, wenn eine Sprachnachricht unterwegs ist."""
+        return (self._PENDING_FILES_VOICE_WINDOW_SEC
+                if self._pending_files_await_voice
+                else self._PENDING_FILES_WINDOW_SEC)
+
     async def _flush_pending_files_after(self, delay: float) -> None:
         """Wenn nach `delay`s kein chat-Text gekommen ist: alle noch gepufferten
         Files alleine an aria-core senden ('warte auf Anweisung'-Variante)."""
@@ -1892,13 +1930,15 @@ class ARIABridge:
         text = self._build_pending_files_message("", files)
         self._pending_files = []
         self._pending_files_flush_task = None
+        self._pending_files_await_voice = False
         pid = self._pending_files_project_id
         self._pending_files_project_id = ""
         await self.send_to_core(text, source="app-file", project_id=pid)
 
     async def _flush_pending_files_with_text(self, user_text: str,
                                              project_id: str = "",
-                                             client_msg_id: str = "") -> bool:
+                                             client_msg_id: str = "",
+                                             require_match: bool = False) -> bool:
         """Wenn ein chat-Text reinkommt waehrend Files gepuffert sind:
         Files + Text zu einer einzigen aria-core-Nachricht mergen.
         Returns True wenn gemerged wurde (Caller soll dann nicht nochmal senden).
@@ -1913,12 +1953,20 @@ class ARIABridge:
 
         project_id: Projekt-Kontext aus dem chat-Payload (der sichtbare Focus
         beim Absenden). Faellt auf den beim File-Upload gemerkten Kontext zurueck.
+
+        require_match: nur mergen, wenn die cmid wirklich passt. Der Sprach-Pfad
+        nutzt das — sonst wuerde eine Sprachnachricht, die zufaellig waehrend
+        eines fremden Uploads fertig wird, dessen Anhaenge an sich reissen. Beim
+        Text-Pfad bleibt der Fallback (alles mergen) wie bisher, damit nie ein
+        Bild verloren geht.
         """
         if not self._pending_files:
             return False
         cmid = (client_msg_id or "").strip()
         matching = [f for f in self._pending_files if cmid and f[6] == cmid]
         if not matching:
+            if require_match:
+                return False
             # Kein cmid-Treffer → altes Verhalten: alle gepufferten Files mergen.
             matching = list(self._pending_files)
             remaining: list = []
@@ -1935,10 +1983,11 @@ class ARIABridge:
         self._pending_files_flush_task = None
         if remaining:
             self._pending_files_flush_task = asyncio.create_task(
-                self._flush_pending_files_after(self._PENDING_FILES_WINDOW_SEC)
+                self._flush_pending_files_after(self._pending_files_window())
             )
         else:
             self._pending_files_project_id = ""
+            self._pending_files_await_voice = False
         # create_task statt await — sonst blockt der RVS-recv-Loop bis Brain
         # fertig ist (siehe chat-handler oben).
         asyncio.create_task(self.send_to_core(text, source="app-file+chat", project_id=pid))
@@ -2752,10 +2801,17 @@ class ARIABridge:
             # genau SEINER Nachricht zu (Queue-Korrelation, s. _flush_*).
             file_cmid = str(payload.get("clientMsgId") or "")
             self._pending_files.append((file_path, file_name, file_type, size_kb, int(width or 0), int(height or 0), file_cmid))
+            # awaitVoice: der Nutzer spricht gerade die Beschreibung zu diesem
+            # Anhang ein. Dann NICHT nach 0.8s alleine rausschicken, sondern auf
+            # den stt_endpoint warten (siehe _PENDING_FILES_VOICE_WINDOW_SEC).
+            if payload.get("awaitVoice"):
+                self._pending_files_await_voice = True
+                logger.info("[rvs] Anhang wartet auf Sprachnachricht: %s (cmid=%s)",
+                            file_name, file_cmid[:12] or "?")
             if self._pending_files_flush_task and not self._pending_files_flush_task.done():
                 self._pending_files_flush_task.cancel()
             self._pending_files_flush_task = asyncio.create_task(
-                self._flush_pending_files_after(self._PENDING_FILES_WINDOW_SEC)
+                self._flush_pending_files_after(self._pending_files_window())
             )
 
             try:
@@ -3324,8 +3380,18 @@ class ARIABridge:
             focused_pid = str(payload.get("projectId") or "")
             if req_id:
                 self._stt_stream_projects[req_id] = focused_pid
-                logger.info("[rvs] stt_stream_start id=%s focus=%s",
-                            req_id[:12], focused_pid or "(main)")
+                # Absicht dieser Aufnahme: gehoert sie zu wartenden Anhaengen,
+                # und ist sie ein Zwischenruf statt einer neuen Anfrage?
+                att_cmid = str(payload.get("clientMsgId") or "")
+                is_interject = bool(payload.get("interject"))
+                if att_cmid or is_interject:
+                    self._stt_stream_meta[req_id] = {
+                        "cmid": att_cmid, "interject": is_interject,
+                    }
+                logger.info("[rvs] stt_stream_start id=%s focus=%s%s%s",
+                            req_id[:12], focused_pid or "(main)",
+                            f" anhang-cmid={att_cmid[:12]}" if att_cmid else "",
+                            " [ZWISCHENRUF]" if is_interject else "")
             return
 
         elif msg_type == "stt_stream_end":
@@ -3340,10 +3406,10 @@ class ARIABridge:
             if req_id:
                 try:
                     loop = asyncio.get_event_loop()
-                    loop.call_later(
-                        20.0,
-                        lambda rid=req_id: self._stt_stream_projects.pop(rid, None),
-                    )
+                    def _drop(rid: str = req_id) -> None:
+                        self._stt_stream_projects.pop(rid, None)
+                        self._stt_stream_meta.pop(rid, None)
+                    loop.call_later(20.0, _drop)
                 except Exception:
                     # Kein laufender Loop (sollte im ws-Handler nie passieren) —
                     # dann lieber gar nicht aufraeumen als crashen.
@@ -3427,11 +3493,36 @@ class ARIABridge:
             # App-Version die projectId noch nicht mitschickt: leer = Hauptchat).
             stream_req_id = payload.get("requestId", "") or ""
             focused_pid = self._stt_stream_projects.pop(stream_req_id, "")
+            meta = self._stt_stream_meta.pop(stream_req_id, {})
+
+            # Zwischenruf per Sprache: in den LAUFENDEN Turn schieben, nicht als
+            # neue Anfrage anstellen. Gleicher Weg wie der 📣-Knopf mit Text.
+            if meta.get("interject"):
+                logger.info("[rvs] stt_endpoint ist ein Zwischenruf → project=%s: %s",
+                            focused_pid or "(main)", text[:80])
+                asyncio.create_task(
+                    self._interject_proxy_for_project(focused_pid, text))
+                # Den erkannten Text trotzdem broadcasten, damit die
+                # Sprach-Bubble in der App ihren Text bekommt statt ewig auf
+                # "wird verarbeitet..." zu stehen.
+                asyncio.create_task(self._send_to_rvs({
+                    "type": "chat",
+                    "payload": {
+                        "text": text,
+                        "sender": "stt",
+                        "audioRequestId": audio_request_id,
+                        "projectId": focused_pid,
+                        "interject": True,
+                    },
+                    "timestamp": int(asyncio.get_event_loop().time() * 1000),
+                }))
+                return
 
             asyncio.create_task(self._process_endpoint_text(
                 text, interrupted, audio_request_id, location,
                 client_msg_id=client_msg_id,
-                focused_project_id=focused_pid))
+                focused_project_id=focused_pid,
+                attachment_client_msg_id=str(meta.get("cmid") or "")))
             return
 
         elif msg_type == "oauth_callback":
@@ -3519,6 +3610,42 @@ class ARIABridge:
             asyncio.create_task(self._check_desktop(session, port))
             return
 
+        elif msg_type == "sat_tunnel_opened":
+            # Antwort des Satelliten auf unseren Verbindungswunsch.
+            tid = (payload.get("tunnelId") or "").strip()
+            conn = self._tunnel_conns.get(tid)
+            fut = conn.get("opened") if conn else None
+            if fut is not None and not fut.done():
+                fut.set_result(payload)
+            return
+
+        elif msg_type == "sat_tunnel_data":
+            # LAN -> lokaler Socket. Der Satellit schickt dasselbe Feld in die
+            # andere Richtung; unterschieden wird ueber die tunnelId, die nur
+            # hier bekannt ist.
+            tid = (payload.get("tunnelId") or "").strip()
+            conn = self._tunnel_conns.get(tid)
+            if conn:
+                try:
+                    conn["writer"].write(base64.b64decode(payload.get("b64") or ""))
+                except Exception as exc:
+                    logger.warning("[tunnel] schreiben (%s) fehlgeschlagen: %s", tid[:8], exc)
+            return
+
+        elif msg_type == "sat_tunnel_closed":
+            tid = (payload.get("tunnelId") or "").strip()
+            conn = self._tunnel_conns.pop(tid, None)
+            if conn:
+                fut = conn.get("opened")
+                if fut is not None and not fut.done():
+                    fut.set_result({"ok": False,
+                                    "error": payload.get("reason") or "geschlossen"})
+                try:
+                    conn["writer"].close()
+                except Exception:
+                    pass
+            return
+
         elif msg_type == "vnc_open":
             session = str(payload.get("session") or "main")
             try:
@@ -3891,7 +4018,8 @@ class ARIABridge:
                                       audio_request_id: str = "",
                                       location: Optional[dict] = None,
                                       client_msg_id: Optional[str] = None,
-                                      focused_project_id: str = "") -> None:
+                                      focused_project_id: str = "",
+                                      attachment_client_msg_id: str = "") -> None:
         """Phase-2 Brain-Shortcut: Streaming-Whisper hat den finalen Text
         schon ermittelt — wir uebernehmen den Pfad ab broadcast-STT + brain.
 
@@ -3960,6 +4088,18 @@ class ARIABridge:
         except Exception as e:
             logger.warning("[rvs] STT-Text (endpoint) konnte nicht broadcastet werden: %s", e)
 
+        # Sprachnachricht als Beschreibung zu Anhaengen: die liegen schon
+        # gepuffert (awaitVoice) und warten genau auf diesen Text — beides geht
+        # als EIN Turn ans Brain, sonst sieht ARIA ein Bild ohne Auftrag und
+        # danach einen Satz ohne Bild.
+        if attachment_client_msg_id and await self._flush_pending_files_with_text(
+                cleaned, project_id=project_id,
+                client_msg_id=attachment_client_msg_id,
+                require_match=True):
+            logger.info("[rvs] Sprachnachricht mit ihren Anhaengen gemerged (cmid=%s)",
+                        attachment_client_msg_id[:12])
+            return
+
         core_text = self._build_core_text(cleaned, interrupted, location)
         await self.send_to_core(core_text,
                                 source="app-voice-stream" + (" [barge-in]" if interrupted else ""),
@@ -4525,11 +4665,15 @@ class ARIABridge:
                     trigger_name = data.get("trigger_name", "")
                     ttype = data.get("type", "trigger")
                     events = data.get("events") or []
-                    logger.info("[bridge ← brain] Trigger '%s' (%s) gefeuert, reply=%d chars, events=%d",
-                                trigger_name, ttype, len(reply), len(events))
+                    trigger_pid = str(data.get("projectId") or "")
+                    logger.info("[bridge ← brain] Trigger '%s' (%s) gefeuert, reply=%d chars, "
+                                "events=%d, project=%s",
+                                trigger_name, ttype, len(reply), len(events),
+                                trigger_pid or "(main)")
                     # Async-spawn — HTTP-Antwort nicht durch RVS-Broadcast blockieren
                     asyncio.create_task(
-                        self._handle_trigger_fired(reply, trigger_name, ttype, events)
+                        self._handle_trigger_fired(reply, trigger_name, ttype, events,
+                                                   trigger_pid)
                     )
                     await _send_response(writer, 200, {"ok": True})
                 elif method == "POST" and path == "/internal/agent-activity":
@@ -4603,6 +4747,57 @@ class ARIABridge:
                 elif method in ("GET", "POST") and path == "/internal/worker-list":
                     # Diagnostic/Brain fragt: welche Compute-Worker sind online (Flotte).
                     await _send_response(writer, 200, {"ok": True, "workers": self._worker_list()})
+                elif method == "POST" and path == "/internal/tunnel":
+                    # Brain-Tool: Port aus einem Satelliten-LAN lokal verfuegbar
+                    # machen. body: {op: open|close|list, satellite, target,
+                    #                port, localPort?}
+                    try:
+                        data = json.loads(body.decode("utf-8", "ignore"))
+                    except Exception as exc:
+                        await _send_response(writer, 400, {"error": f"bad json: {exc}"})
+                        return
+                    op = (data.get("op") or "open").strip()
+                    if op == "list":
+                        await _send_response(writer, 200, {"ok": True, "tunnels": self.tunnel_list()})
+                    elif op == "close":
+                        res = await self.tunnel_stop(int(data.get("localPort") or 0))
+                        await _send_response(writer, 200, res)
+                    else:
+                        res = await self.tunnel_listen(
+                            (data.get("satellite") or "").strip(),
+                            (data.get("target") or "").strip(),
+                            int(data.get("port") or 0),
+                            int(data.get("localPort") or 0))
+                        await _send_response(writer, 200, res)
+                elif method == "POST" and path == "/internal/display-name":
+                    # Anzeigename fuer einen Host-Agenten oder Satelliten.
+                    # body: {kind: host|satellite, id, name}
+                    try:
+                        data = json.loads(body.decode("utf-8", "ignore"))
+                    except Exception as exc:
+                        await _send_response(writer, 400, {"error": f"bad json: {exc}"})
+                        return
+                    res = self._display_name_set((data.get("kind") or "").strip(),
+                                                 (data.get("id") or "").strip(),
+                                                 data.get("name") or "")
+                    await _send_response(writer, 200, res)
+                elif method == "POST" and path == "/internal/satellite-name":
+                    # Brain/Diagnostic: Geraetenamen vergeben. body: {satellite, mac|ip, name}
+                    try:
+                        data = json.loads(body.decode("utf-8", "ignore"))
+                    except Exception as exc:
+                        await _send_response(writer, 400, {"error": f"bad json: {exc}"})
+                        return
+                    await self._send_to_rvs({
+                        "type": "sat_name_set",
+                        "payload": {"satellite": data.get("satellite") or "",
+                                    "mac": data.get("mac") or "",
+                                    "ip": data.get("ip") or "",
+                                    "name": data.get("name") or "",
+                                    "requestId": uuid.uuid4().hex},
+                        "timestamp": int(time.time() * 1000),
+                    })
+                    await _send_response(writer, 200, {"ok": True})
                 elif method == "POST" and path == "/internal/host-list":
                     # Brain fragt: welche Host-Agenten (Rechner) sind online + Capabilities.
                     await _send_response(writer, 200, {"ok": True, "hosts": self._host_list()})
@@ -4806,6 +5001,107 @@ class ARIABridge:
             "timestamp": int(time.time() * 1000),
         })
 
+    # ── Satelliten-Port-Tunnel ──────────────────────────────────────
+
+    async def tunnel_listen(self, satellite: str, target: str, port: int,
+                            local_port: int = 0) -> dict:
+        """Macht aus <satellite>/<target>:<port> einen lokalen Port.
+
+        Jede eingehende Verbindung auf dem lokalen Port wird einzeln durch den
+        Satelliten zum Ziel gefuehrt — mehrere parallele Verbindungen sind also
+        kein Problem (ein Browser oeffnet gern sechs).
+        """
+        if local_port and not (self._TUNNEL_PORT_BASE <= local_port <= self._TUNNEL_PORT_MAX):
+            return {"ok": False, "error":
+                    f"localPort muss zwischen {self._TUNNEL_PORT_BASE} und "
+                    f"{self._TUNNEL_PORT_MAX} liegen."}
+        if not local_port:
+            for p in range(self._TUNNEL_PORT_BASE, self._TUNNEL_PORT_MAX + 1):
+                if p not in self._tunnel_listeners:
+                    local_port = p
+                    break
+            if not local_port:
+                return {"ok": False, "error": "Keine freien Tunnel-Ports mehr."}
+        if local_port in self._tunnel_listeners:
+            await self.tunnel_stop(local_port)
+
+        async def on_client(reader: asyncio.StreamReader, writer: asyncio.StreamWriter) -> None:
+            tid = uuid.uuid4().hex
+            opened: asyncio.Future = asyncio.get_event_loop().create_future()
+            self._tunnel_conns[tid] = {"writer": writer, "opened": opened}
+            await self._send_to_rvs({
+                "type": "sat_tunnel_open",
+                "payload": {"satellite": satellite, "tunnelId": tid,
+                            "target": target, "port": port},
+                "timestamp": int(time.time() * 1000),
+            })
+            try:
+                res = await asyncio.wait_for(opened, timeout=20)
+            except asyncio.TimeoutError:
+                res = {"ok": False, "error": "Satellit antwortet nicht"}
+            if not res.get("ok"):
+                logger.warning("[tunnel] %s:%d nicht erreichbar: %s",
+                               target, port, res.get("error"))
+                self._tunnel_conns.pop(tid, None)
+                try:
+                    writer.close()
+                except Exception:
+                    pass
+                return
+            try:
+                while True:
+                    data = await reader.read(32768)
+                    if not data:
+                        break
+                    await self._send_to_rvs({
+                        "type": "sat_tunnel_data",
+                        "payload": {"tunnelId": tid,
+                                    "b64": base64.b64encode(data).decode("ascii")},
+                        "timestamp": int(time.time() * 1000),
+                    })
+            except Exception:
+                pass
+            finally:
+                self._tunnel_conns.pop(tid, None)
+                await self._send_to_rvs({
+                    "type": "sat_tunnel_close",
+                    "payload": {"satellite": satellite, "tunnelId": tid},
+                    "timestamp": int(time.time() * 1000),
+                })
+                try:
+                    writer.close()
+                except Exception:
+                    pass
+
+        try:
+            server = await asyncio.start_server(on_client, "0.0.0.0", local_port)
+        except Exception as exc:
+            return {"ok": False, "error": f"Port {local_port} nicht belegbar: {exc}"}
+        self._tunnel_listeners[local_port] = {
+            "server": server, "satellite": satellite, "target": target, "port": port}
+        logger.info("[tunnel] lokal :%d -> %s/%s:%d", local_port, satellite, target, port)
+        # Adresse aus Sicht der ANDEREN Container (Brain/Proxy liegen im selben
+        # Docker-Netz) — damit ARIA weiss, was sie ansprechen soll.
+        return {"ok": True, "localPort": local_port,
+                "address": f"aria-bridge:{local_port}",
+                "satellite": satellite, "target": target, "port": port}
+
+    async def tunnel_stop(self, local_port: int) -> dict:
+        entry = self._tunnel_listeners.pop(int(local_port), None)
+        if not entry:
+            return {"ok": False, "error": f"Auf Port {local_port} laeuft kein Tunnel."}
+        try:
+            entry["server"].close()
+        except Exception:
+            pass
+        logger.info("[tunnel] lokal :%s geschlossen", local_port)
+        return {"ok": True, "localPort": int(local_port)}
+
+    def tunnel_list(self) -> list[dict]:
+        return [{"localPort": p, "address": f"aria-bridge:{p}",
+                 "satellite": e["satellite"], "target": e["target"], "port": e["port"]}
+                for p, e in sorted(self._tunnel_listeners.items())]
+
     async def _vnc_open(self, session: str, port: int) -> None:
         """Oeffnet die TCP-Verbindung zur QEMU-VNC und streamt RFB-Bytes als
         vnc_data ueber RVS. Bestehende Session wird vorher geschlossen."""
@@ -4872,15 +5168,37 @@ class ARIABridge:
     def _satellite_list(self) -> list[dict]:
         """Bekannte Satelliten (frisch = in den letzten 5 Min gesehen)."""
         now = time.time()
+        aliases = self._display_names("satellite")
         out = []
         for s in self._satellites.values():
+            own = s.get("location") or s["id"]
+            alias = aliases.get(s["id"], "")
             out.append({
-                "id": s["id"], "location": s.get("location") or s["id"],
+                "id": s["id"], "location": alias or own,
+                "agentName": own, "alias": alias,
                 "caps": s.get("caps") or [], "control": bool(s.get("control")),
                 "online": (now - s.get("last_seen", 0)) < 300,
             })
         return out
 
+    def _resolve_satellite(self, who: str) -> str:
+        """Anzeigename ODER echte Kennung -> echte Kennung.
+
+        Gleicher Grund wie bei _resolve_host: der Satellit vergleicht die
+        Adresse gegen seine eigene ID/Location und kennt den Alias nicht.
+        """
+        w = (who or "").strip()
+        if not w or w in self._satellites:
+            return w
+        wl = w.lower()
+        for sid, alias in self._display_names("satellite").items():
+            if alias.strip().lower() == wl:
+                return sid
+        for sid, s in self._satellites.items():
+            if (s.get("location") or "").strip().lower() == wl:
+                return sid
+        return w
+
     # worker_ping kommt alle ~10s; nach 35s ohne Ping gilt ein Worker als offline.
     WORKER_OFFLINE_S = 35
 
@@ -4944,6 +5262,8 @@ class ARIABridge:
         Muster identisch zu _flux_generate (requestId → Future)."""
         if self.ws_rvs is None:
             return {"ok": False, "error": "RVS-Verbindung nicht aktiv"}
+        # Anzeigename -> echte Kennung, sonst erkennt sich der Satellit nicht.
+        satellite = self._resolve_satellite(satellite)
         request_id = str(uuid.uuid4())
         loop = asyncio.get_event_loop()
         future: asyncio.Future = loop.create_future()
@@ -4971,15 +5291,113 @@ class ARIABridge:
         finally:
             self._pending_sat.pop(request_id, None)
 
+    # ── Anzeigenamen fuer Host-Agenten ───────────────────────────────
+    #
+    # Der Name eines Agenten kommt von ihm selbst: beim Desktop-Agenten aus
+    # HOST_NAME in seiner .env, beim Android-Agenten aus der App-Konfiguration.
+    # Umbenennen hiesse also: auf den Rechner, Datei aendern, neu starten — bzw.
+    # beim Fire TV neu provisionieren.
+    #
+    # Darum hier ein Alias: hostId -> Anzeigename, zentral in der Bridge. Wirkt
+    # sofort und fuer JEDEN schon ausgerollten Agenten, ohne ihn anzufassen.
+    #
+    # WICHTIG: der Alias wird beim Adressieren wieder aufgeloest (siehe
+    # _resolve_host). Sonst koennte man einen Agenten zwar umbenennen, ihn unter
+    # dem neuen Namen aber nicht mehr ansprechen — er vergleicht intern gegen
+    # seine EIGENE Kennung.
+    # Eine Datei fuer beides: {"host": {id: name}, "satellite": {id: name}}
+    _DISPLAY_NAMES_FILE = "/shared/config/display_names.json"
+
+    def _display_names(self, kind: str) -> dict:
+        try:
+            with open(self._DISPLAY_NAMES_FILE) as f:
+                data = json.load(f)
+            sub = (data or {}).get(kind)
+            return sub if isinstance(sub, dict) else {}
+        except FileNotFoundError:
+            return {}
+        except Exception as exc:
+            logger.warning("[names] display_names.json unlesbar: %s", exc)
+            return {}
+
+    def _display_name_set(self, kind: str, ident: str, name: str) -> dict:
+        ident = (ident or "").strip()
+        if kind not in ("host", "satellite"):
+            return {"ok": False, "error": "kind muss host oder satellite sein"}
+        if not ident:
+            return {"ok": False, "error": "id ist Pflicht"}
+        try:
+            with open(self._DISPLAY_NAMES_FILE) as f:
+                data = json.load(f)
+            if not isinstance(data, dict):
+                data = {}
+        except Exception:
+            data = {}
+        sub = data.get(kind) if isinstance(data.get(kind), dict) else {}
+        if (name or "").strip():
+            sub[ident] = (name or "").strip()[:60]
+        else:
+            sub.pop(ident, None)
+        data[kind] = sub
+        try:
+            # Verzeichnis aus dem Dateipfad ableiten statt fest zu verdrahten —
+            # sonst laesst sich _DISPLAY_NAMES_FILE nicht umbiegen (Test, anderes
+            # Deployment) und das Schreiben scheitert stillschweigend.
+            os.makedirs(os.path.dirname(self._DISPLAY_NAMES_FILE) or ".", exist_ok=True)
+            tmp = self._DISPLAY_NAMES_FILE + ".tmp"
+            with open(tmp, "w") as f:
+                json.dump(data, f, indent=2)
+            os.replace(tmp, self._DISPLAY_NAMES_FILE)
+        except Exception as exc:
+            return {"ok": False, "error": str(exc)}
+        logger.info("[names] %s %s -> %r", kind, ident, sub.get(ident) or "(entfernt)")
+        return {"ok": True, "kind": kind, "id": ident, "name": sub.get(ident, "")}
+
+    def _host_names(self) -> dict:
+        return self._display_names("host")
+
+    def _resolve_host(self, who: str) -> str:
+        """Anzeigename ODER echte Kennung -> echte Kennung.
+
+        Ohne das waere ein umbenannter Agent nicht mehr ansprechbar: er
+        vergleicht die Adresse gegen seine eigene HOST_ID/HOST_NAME und kennt
+        den Alias nicht.
+        """
+        w = (who or "").strip()
+        if not w:
+            return w
+        if w in self._hosts:
+            return w
+        wl = w.lower()
+        for hid, alias in self._host_names().items():
+            if alias.strip().lower() == wl:
+                return hid
+        for hid, h in self._hosts.items():
+            if (h.get("name") or "").strip().lower() == wl:
+                return hid
+        return w
+
     def _host_list(self) -> list[dict]:
         """Bekannte Host-Agenten (frisch = in den letzten 5 Min gesehen)."""
         now = time.time()
-        return [{
-            "hostId": h["hostId"], "name": h.get("name") or h["hostId"],
-            "os": h.get("os") or "", "caps": h.get("caps") or [],
-            "control": bool(h.get("control")),
-            "online": (now - h.get("last_seen", 0)) < 300,
-        } for h in self._hosts.values()]
+        aliases = self._host_names()
+        out = []
+        for h in self._hosts.values():
+            hid = h["hostId"]
+            own = h.get("name") or hid
+            alias = aliases.get(hid, "")
+            out.append({
+                "hostId": hid,
+                "name": alias or own,
+                # Eigener Name des Agenten — damit in der Oberflaeche sichtbar
+                # bleibt, dass da ein Alias drueberliegt.
+                "agentName": own,
+                "alias": alias,
+                "os": h.get("os") or "", "caps": h.get("caps") or [],
+                "control": bool(h.get("control")),
+                "online": (now - h.get("last_seen", 0)) < 300,
+            })
+        return out
 
     _AGENT_HISTORY_DIR = "/shared/config/agent_history"
     _AGENT_HISTORY_MAX = 200
@@ -5033,6 +5451,8 @@ class ARIABridge:
         host_result. Muster identisch zu _satellite_request."""
         if self.ws_rvs is None:
             return {"ok": False, "error": "RVS-Verbindung nicht aktiv"}
+        # Anzeigename -> echte Kennung, sonst erkennt sich der Agent nicht.
+        host = self._resolve_host(host)
         request_id = str(uuid.uuid4())
         loop = asyncio.get_event_loop()
         future: asyncio.Future = loop.create_future()
@@ -5140,7 +5560,8 @@ class ARIABridge:
         return {"ok": True, "role": role, "content_preview": content[:80]}
 
     async def _handle_trigger_fired(self, reply: str, trigger_name: str,
-                                    ttype: str, events: list) -> None:
+                                    ttype: str, events: list,
+                                    project_id: str = "") -> None:
         """Spiegelt eine Brain-Trigger-Antwort wie eine normale ARIA-Antwort.
 
         Side-Channel-Events zuerst (trigger_created, location_tracking, ...),
@@ -5192,7 +5613,12 @@ class ARIABridge:
         try:
             await self._process_core_response(
                 reply,
-                {"metadata": {"trigger_name": trigger_name, "trigger_type": ttype}},
+                {"metadata": {"trigger_name": trigger_name, "trigger_type": ttype},
+                 # Ohne projectId landete jede Trigger-Antwort im Hauptchat —
+                 # auch wenn der Timer in einem Projekt-Thread gestellt wurde.
+                 # Stefan sah dann im Projekt nichts und hielt den Timer fuer
+                 # nicht gefeuert.
+                 "projectId": project_id or ""},
             )
         except Exception:
             logger.exception("[trigger-fire] _process_core_response fehlgeschlagen")

diagnostic/server.js

@@ -268,6 +268,13 @@ const RUNTIME_CONFIG_FIELDS = [
   "RVS_HOST", "RVS_PORT", "RVS_TLS", "RVS_TOKEN",
   "ARIA_AUTH_TOKEN", "WHISPER_MODEL", "WHISPER_LANGUAGE",
   "brainModel",
+  // Ausweich-Modell, wenn Anthropics Sicherheitsfilter das Hauptmodell blockt.
+  // Das Brain liest es PRO Vorfall aus derselben Datei — Aenderung greift ohne
+  // Neustart. Leer = automatisch (anderes Tier als das Hauptmodell).
+  "brainFallbackModel",
+  // Groessen-Limit fuer Memory-Anhaenge in MB. Das Brain liest es pro Upload
+  // aus derselben Datei — Aenderung greift ohne Neustart.
+  "memoryAttachmentMaxMb",
 ];
 function readRuntimeConfig() {
   const envDefaults = {
@@ -616,13 +623,50 @@ function broadcastState() {
   broadcast({ type: "state", state });
 }
 
+// ── Anzeigenamen fuer Satelliten + Host-Agenten ──────────────────
+//
+// Ein Agent/Satellit nennt sich selbst so, wie es in SEINER .env steht.
+// Umbenennen hiesse also: auf den Rechner, Datei aendern, neu starten — beim
+// Fire TV sogar neu provisionieren. Darum ein Alias, der hier zentral liegt.
+//
+// Dieselbe Datei nutzt auch die Bridge (sie liegt im geteilten /shared), und
+// die loest den Alias beim Adressieren wieder auf. Sonst koennte man etwas
+// umbenennen, es danach aber nicht mehr ansprechen.
+const DISPLAY_NAMES_FILE = "/shared/config/display_names.json";
+
+function readDisplayNames() {
+  try {
+    const d = JSON.parse(fs.readFileSync(DISPLAY_NAMES_FILE, "utf-8"));
+    return (d && typeof d === "object") ? d : {};
+  } catch { return {}; }
+}
+
+function setDisplayName(kind, id, name) {
+  if (!["host", "satellite"].includes(kind)) throw new Error("kind muss host oder satellite sein");
+  if (!id) throw new Error("id ist Pflicht");
+  const data = readDisplayNames();
+  const sub = (data[kind] && typeof data[kind] === "object") ? data[kind] : {};
+  const clean = String(name || "").trim().slice(0, 60);
+  if (clean) sub[id] = clean; else delete sub[id];
+  data[kind] = sub;
+  fs.mkdirSync("/shared/config", { recursive: true });
+  const tmp = DISPLAY_NAMES_FILE + ".tmp";
+  fs.writeFileSync(tmp, JSON.stringify(data, null, 2));
+  fs.renameSync(tmp, DISPLAY_NAMES_FILE);
+  log("info", "server", `Anzeigename ${kind} ${id} -> ${clean || "(entfernt)"}`);
+  return clean;
+}
+
 // ── Satelliten-Registry (Aussenposten in fremden Netzen) ──────────
 const satellites = new Map(); // id → {id, location, caps, control, last_seen}
 
 function satelliteList() {
   const now = Date.now();
+  const alias = readDisplayNames().satellite || {};
   return Array.from(satellites.values()).map(s => ({
-    id: s.id, location: s.location, caps: s.caps, control: s.control, net: s.net || null,
+    id: s.id, location: alias[s.id] || s.location,
+    agentName: s.location, alias: alias[s.id] || "",
+    caps: s.caps, control: s.control, net: s.net || null,
     online: (now - (s.last_seen || 0)) < 300000,
   }));
 }
@@ -636,8 +680,11 @@ const hosts = new Map(); // hostId → {hostId, name, os, caps, control, last_se
 
 function hostList() {
   const now = Date.now();
+  const alias = readDisplayNames().host || {};
   return Array.from(hosts.values()).map(h => ({
-    hostId: h.hostId, name: h.name, os: h.os, caps: h.caps, control: h.control,
+    hostId: h.hostId, name: alias[h.hostId] || h.name,
+    agentName: h.name, alias: alias[h.hostId] || "",
+    os: h.os, caps: h.caps, control: h.control,
     ip: h.ip || "", online: (now - (h.last_seen || 0)) < 300000,
   }));
 }
@@ -2201,22 +2248,27 @@ const server = http.createServer((req, res) => {
       res.end(JSON.stringify({ ok: false, error: err.message }));
     }
     return;
-  } else if (req.url === "/api/models-list" && req.method === "GET") {
+  } else if (req.url.startsWith("/api/models-list") && req.method === "GET") {
     // Kuratierte Model-Liste vom Proxy (/v1/models) — Tier-Auswahl fuers
     // Sprachmodell-Dropdown. ARIA laeuft ueber das Max-Abo/CLI, waehlbar ist
     // der Tier (opus/sonnet/haiku), keine feste Version.
     (async () => {
       try {
-        const r = await fetch(`${PROXY_URL}/v1/models`);
+        // ?refresh=1 weiterreichen: der Proxy umgeht damit seinen Katalog-Cache
+        // und holt die Liste frisch von Anthropic („↻ Aktualisieren").
+        const refresh = /[?&]refresh=1\b/.test(req.url) ? "?refresh=1" : "";
+        const r = await fetch(`${PROXY_URL}/v1/models${refresh}`);
         const d = await r.json();
         const models = (d.data || []).map(m => ({
           id: m.id,
           tier: m.tier || m.id,
           displayName: m.display_name || m.id,
           description: m.description || "",
+          // section: tier | main | overflow — die UI gruppiert danach.
+          section: m.section || "tier",
         }));
         res.writeHead(200, { "Content-Type": "application/json" });
-        res.end(JSON.stringify({ ok: true, models }));
+        res.end(JSON.stringify({ ok: true, models, catalogOk: d.catalog_ok !== false }));
       } catch (err) {
         res.writeHead(502, { "Content-Type": "application/json" });
         res.end(JSON.stringify({ ok: false, error: String(err && err.message || err) }));
@@ -2997,6 +3049,23 @@ wss.on("connection", (ws) => {
         sendToRVS_raw({ type: "sat_discover",
                         payload: { satellite: msg.satellite || "", force: true },
                         timestamp: Date.now() });
+      } else if (msg.action === "set_display_name") {
+        // Anzeigename fuer einen Satelliten oder Host-Agenten.
+        try {
+          setDisplayName(msg.kind, msg.id, msg.name);
+          if (msg.kind === "satellite") broadcastSatellites(); else broadcastHosts();
+        } catch (err) {
+          ws.send(JSON.stringify({ type: "log", level: "error", source: "server",
+                                   message: "Umbenennen: " + err.message }));
+        }
+      } else if (msg.action === "sat_name_set") {
+        // Geraetename vergeben/entfernen. Der Satellit haengt ihn an die MAC,
+        // damit ein IP-Wechsel den Namen nicht verliert.
+        sendToRVS_raw({ type: "sat_name_set",
+                        payload: { satellite: msg.satellite || "", mac: msg.mac || "",
+                                   ip: msg.ip || "", name: msg.name || "",
+                                   requestId: "dn_" + Date.now() },
+                        timestamp: Date.now() });
       } else if (msg.action === "sat_creds_list") {
         sendToRVS_raw({ type: "sat_creds_list",
                         payload: { satellite: msg.satellite || "", requestId: "dc_" + Date.now() },
@@ -3207,6 +3276,20 @@ wss.on("connection", (ws) => {
         handleGetModel(ws);
       } else if (msg.action === "set_model") {
         handleSetModel(ws, msg.model);
+      } else if (msg.action === "test_model") {
+        handleTestModel(ws, msg.model);
+      } else if (msg.action === "set_fallback_model") {
+        handleSetFallbackModel(ws, msg.model);
+      } else if (msg.action === "check_proxy_patches") {
+        handleCheckProxyPatches(ws);
+      } else if (msg.action === "get_privacy_flags") {
+        handleGetPrivacyFlags(ws);
+      } else if (msg.action === "set_privacy_flags") {
+        handleSetPrivacyFlags(ws, msg.flags);
+      } else if (msg.action === "get_attachment_limit") {
+        handleGetAttachmentLimit(ws);
+      } else if (msg.action === "set_attachment_limit") {
+        handleSetAttachmentLimit(ws, msg.maxMb);
       } else if (msg.action === "voice_id_status") {
         // An whisper-bridge weiterleiten + Antwort an Browser zurueck
         const reqId = `vid_${Date.now().toString(36)}`;
@@ -3603,6 +3686,7 @@ function handleGetModel(clientWs) {
     clientWs.send(JSON.stringify({
       type: "model_info",
       model,
+      fallbackModel: (cfg.brainFallbackModel || "").trim(),
       info: "Brain-Model (runtime.json) — bei Aenderung: aria-brain restarten",
     }));
   } catch (err) {
@@ -3610,6 +3694,29 @@ function handleGetModel(clientWs) {
   }
 }
 
+// Ausweich-Modell fuer Anthropics Sicherheitsfilter. Leerer String =
+// automatisch (das Brain nimmt dann ein anderes Tier als das Hauptmodell).
+// Anders als brainModel braucht das KEINEN Neustart: safeguard.py liest die
+// Datei erst, wenn der Filter wirklich zuschlaegt.
+function handleSetFallbackModel(clientWs, model) {
+  try {
+    const val = typeof model === "string" ? model.trim() : "";
+    writeRuntimeConfig({ brainFallbackModel: val });
+    log("info", "server", `Ausweich-Model gesetzt: ${val || "(automatisch)"}`);
+    const cfg = readRuntimeConfig();
+    clientWs.send(JSON.stringify({
+      type: "model_info",
+      model: (cfg.brainModel || "").trim() || "claude-sonnet-4",
+      fallbackModel: val,
+      info: val
+        ? `Ausweich-Model: ${val} — greift sofort, kein Neustart noetig`
+        : "Ausweich-Model: automatisch (anderes Tier als das Hauptmodell)",
+    }));
+  } catch (err) {
+    clientWs.send(JSON.stringify({ type: "model_info", error: err.message }));
+  }
+}
+
 function handleSetModel(clientWs, model) {
   if (!model || typeof model !== "string") {
     clientWs.send(JSON.stringify({ type: "model_info", error: "Kein Model angegeben" }));
@@ -3629,6 +3736,284 @@ function handleSetModel(clientWs, model) {
   return;
 }
 
+// ── Laufen im Proxy die aktuellen Patches? ──────────────────────────
+//
+// Der Proxy kopiert proxy-patches/*.js beim START ueber den npm-Code (siehe
+// docker-compose.yml, command:). Wer nach einem git pull nur `restart` macht —
+// oder neu startet, BEVOR der Pull durch ist — laeuft still mit der alten
+// Fassung weiter. Das faellt sonst nirgends auf: der Container ist "Up", die
+// Oberflaeche sieht normal aus, nur wirkt die Aenderung nicht.
+//
+// Darum: Zeitstempel der Quelldateien gegen die eingespielten vergleichen.
+const PROXY_PATCH_MAP = [
+  ["routes.js", "server/routes.js"],
+  ["manager.js", "subprocess/manager.js"],
+  ["openai-to-cli.js", "adapter/openai-to-cli.js"],
+  ["cli-to-openai.js", "adapter/cli-to-openai.js"],
+];
+
+async function handleCheckProxyPatches(clientWs) {
+  try {
+    const dist = "/usr/local/lib/node_modules/claude-max-api-proxy/dist";
+    const pairs = PROXY_PATCH_MAP
+      .map(([src, dst]) => `/proxy-patches/${src} ${dist}/${dst}`).join(" ");
+    // %Y = mtime als Unix-Zeit, %n = Dateiname
+    const out = await dockerExec("aria-proxy", `stat -c '%Y %n' ${pairs} 2>/dev/null || true`);
+    const mtime = {};
+    for (const line of String(out || "").split("\n")) {
+      const m = line.trim().match(/^(\d+)\s+(.+)$/);
+      if (m) mtime[m[2]] = parseInt(m[1], 10);
+    }
+    const stale = [];
+    for (const [src, dst] of PROXY_PATCH_MAP) {
+      const a = mtime[`/proxy-patches/${src}`];
+      const b = mtime[`${dist}/${dst}`];
+      if (a == null || b == null) continue;
+      // Toleranz 5s: Quelle und Kopie entstehen beim Start kurz nacheinander.
+      if (a > b + 5) stale.push({ file: src, srcAt: a * 1000, activeAt: b * 1000 });
+    }
+    clientWs.send(JSON.stringify({ type: "proxy_patch_state", stale }));
+  } catch (err) {
+    // Kein Alarm bei einem Pruef-Fehler — sonst steht da eine Warnung, die
+    // gar nichts ueber die Patches aussagt.
+    clientWs.send(JSON.stringify({ type: "proxy_patch_state", stale: [], error: String((err && err.message) || err) }));
+  }
+}
+
+// ── Einstellungen: Datenschutz-Schalter von Claude Code ─────────────
+//
+// Drei Kanaele, ueber die Claude Code von sich aus Daten an Anthropic bzw. an
+// einen Fehler-Dienst schickt. Sie liegen als Umgebungsvariablen vor und lassen
+// sich in ~/.claude/settings.json unter "env" setzen — die Datei ist in den
+// Proxy-Container gemountet, also koennen wir sie von hier aus pflegen, ohne
+// die docker-compose.yml anzufassen.
+//
+// WICHTIG: gesetzt wird in settings.json. Steht dieselbe Variable ZUSAETZLICH
+// als echte Container-Umgebungsvariable (docker-compose), gewinnt die — darum
+// prueft "Pruefen" beides und sagt, was tatsaechlich im Prozess ankommt.
+const PRIVACY_FLAGS = [
+  { key: "DISABLE_ERROR_REPORTING",
+    label: "Fehlerberichte",
+    info: "Stacktraces an einen Fehler-Dienst. Bei Pro/Max ab CLI 2.1.198 standardmäßig AN." },
+  { key: "DISABLE_TELEMETRY",
+    label: "Nutzungs-Metriken",
+    info: "Latenz/Zuverlässigkeit. Enthält laut Anthropic nie Code, Prompts oder Pfade." },
+  { key: "DISABLE_FEEDBACK_COMMAND",
+    label: "/feedback-Versand",
+    info: "Sendet sonst auf Zuruf die ganze Unterhaltung inkl. Code — 5 Jahre Aufbewahrung." },
+];
+const CLAUDE_SETTINGS_PATH = "/root/.claude/settings.json";
+
+function _shq(s) { return "'" + String(s).replace(/'/g, "'\\''") + "'"; }
+
+async function handleGetPrivacyFlags(clientWs) {
+  try {
+    // 1) Was kommt im PROZESS wirklich an? Das ist die Wahrheit.
+    const envOut = await dockerExec("aria-proxy",
+      "env | grep -E '^(DISABLE_ERROR_REPORTING|DISABLE_TELEMETRY|DISABLE_FEEDBACK_COMMAND|CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC)=' || true");
+    const liveEnv = {};
+    for (const line of String(envOut || "").split("\n")) {
+      const i = line.indexOf("=");
+      if (i > 0) liveEnv[line.slice(0, i).trim()] = line.slice(i + 1).trim();
+    }
+    // 2) Was steht in settings.json?
+    const settingsRaw = await dockerExec("aria-proxy",
+      `cat ${CLAUDE_SETTINGS_PATH} 2>/dev/null || echo '{}'`);
+    let settingsEnv = {};
+    try { settingsEnv = (JSON.parse(settingsRaw || "{}").env) || {}; } catch (_) {}
+
+    const isOn = (v) => v === "1" || String(v).toLowerCase() === "true";
+    const flags = PRIVACY_FLAGS.map(f => {
+      const fromEnv = liveEnv[f.key];
+      const fromSettings = settingsEnv[f.key];
+      // Container-Env gewinnt gegen settings.json.
+      const effective = fromEnv !== undefined ? isOn(fromEnv) : isOn(fromSettings);
+      return {
+        key: f.key, label: f.label, info: f.info,
+        disabled: effective,
+        source: fromEnv !== undefined ? "container" : (fromSettings !== undefined ? "settings" : "none"),
+      };
+    });
+    const bulk = isOn(liveEnv.CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC);
+    clientWs.send(JSON.stringify({ type: "privacy_flags", flags, bulkDisabled: bulk }));
+  } catch (err) {
+    clientWs.send(JSON.stringify({ type: "privacy_flags", error: String((err && err.message) || err) }));
+  }
+}
+
+async function handleSetPrivacyFlags(clientWs, wanted) {
+  try {
+    const keys = PRIVACY_FLAGS.map(f => f.key);
+    const raw = await dockerExec("aria-proxy",
+      `cat ${CLAUDE_SETTINGS_PATH} 2>/dev/null || echo '{}'`);
+    let cfg = {};
+    try { cfg = JSON.parse(raw || "{}"); } catch (_) { cfg = {}; }
+    if (!cfg.env || typeof cfg.env !== "object") cfg.env = {};
+    for (const k of keys) {
+      if (wanted && wanted[k]) cfg.env[k] = "1";
+      else delete cfg.env[k];
+    }
+    if (Object.keys(cfg.env).length === 0) delete cfg.env;
+
+    // Atomar schreiben (temp + mv), damit eine laufende CLI nie eine halbe
+    // Datei liest.
+    const json = JSON.stringify(cfg, null, 2);
+    await dockerExec("aria-proxy",
+      `printf '%s' ${_shq(json)} > ${CLAUDE_SETTINGS_PATH}.tmp && mv ${CLAUDE_SETTINGS_PATH}.tmp ${CLAUDE_SETTINGS_PATH}`);
+    log("info", "server", `Datenschutz-Schalter gesetzt: ${JSON.stringify(wanted || {})}`);
+    clientWs.send(JSON.stringify({
+      type: "privacy_flags_saved",
+      info: "Gespeichert. Gilt für JEDE neue Anfrage — ein laufender Turn nutzt noch die alte Einstellung.",
+    }));
+    await handleGetPrivacyFlags(clientWs);
+  } catch (err) {
+    clientWs.send(JSON.stringify({ type: "privacy_flags_saved", error: String((err && err.message) || err) }));
+  }
+}
+
+// ── Einstellungen: Model-Test ───────────────────────────────────────
+//
+// Schickt eine winzige ECHTE Anfrage durch den kompletten Weg
+// (Diagnostic -> Proxy -> extractModel -> claude CLI -> Anthropic) und meldet,
+// welches Modell tatsaechlich geantwortet hat.
+//
+// Wichtig: wir fragen NICHT das Modell selbst ("welche Version bist du?") —
+// darauf kann man sich nicht verlassen, Modelle kennen ihren eigenen
+// Versionsstring oft nicht und raten. Die Wahrheit kommt aus modelUsage der
+// CLI (Feld canonicalModel): das ist der Name, unter dem der Call wirklich
+// lief. Bei einem Alias sieht man damit die aufgeloeste Version
+// ("opus" -> "claude-opus-5-5"), bei einem ungueltigen Namen den Fehler.
+function handleTestModel(clientWs, model) {
+    const m = String(model || "").trim();
+    if (!m) {
+        clientWs.send(JSON.stringify({
+            type: "model_test_result", error: "Kein Modell angegeben" }));
+        return;
+    }
+    const started = Date.now();
+    (async () => {
+        try {
+            const r = await fetch(`${PROXY_URL}/v1/chat/completions`, {
+                method: "POST",
+                headers: { "Content-Type": "application/json" },
+                body: JSON.stringify({
+                    model: m,
+                    // Kurz halten: der Test soll Sekunden kosten, nicht Minuten.
+                    messages: [{ role: "user", content: "Antworte nur mit: OK" }],
+                    max_tokens: 16,
+                }),
+                signal: AbortSignal.timeout(180000),
+            });
+            const d = await r.json().catch(() => null);
+            if (!r.ok || !d) {
+                throw new Error(`Proxy antwortete HTTP ${r.status}`);
+            }
+            const tookMs = Date.now() - started;
+            const reply = (d.choices && d.choices[0] && d.choices[0].message
+                && d.choices[0].message.content) || "";
+            // Kein Modell in modelUsage ODER is_error => der Call kam nie
+            // zustande. Die CLI legt ihre Begruendung dann in den Text.
+            if (d.aria_error || !d.aria_model) {
+                clientWs.send(JSON.stringify({
+                    type: "model_test_result",
+                    requested: m,
+                    error: (reply || "Modell hat nicht geantwortet").slice(0, 400),
+                    tookMs,
+                }));
+                return;
+            }
+            clientWs.send(JSON.stringify({
+                type: "model_test_result",
+                requested: m,
+                actual: d.aria_model,
+                contextWindow: d.aria_context_window || 0,
+                maxOutput: d.aria_max_output || 0,
+                reply: reply.slice(0, 120),
+                tookMs,
+            }));
+            log("info", "server", `Model-Test: ${m} -> ${d.aria_model} (${tookMs}ms)`);
+        } catch (err) {
+            const msg = err && err.name === "TimeoutError"
+                ? "Zeitüberschreitung (3 min) — Proxy oder CLI antwortet nicht"
+                : String((err && err.message) || err);
+            clientWs.send(JSON.stringify({
+                type: "model_test_result", requested: m, error: msg,
+                tookMs: Date.now() - started,
+            }));
+        }
+    })();
+}
+
+// ── Einstellungen: Groessen-Limit fuer Memory-Anhaenge ──────────────
+// Steht in runtime.json als `memoryAttachmentMaxMb`. Das Brain liest es bei
+// JEDEM Upload neu (memory_attachments.max_bytes()) — eine Aenderung greift
+// also sofort, ohne aria-brain neu zu starten.
+//
+// Obergrenze mit Bedacht: der Anhang geht als base64-in-JSON zur App, die muss
+// ihn komplett in den Speicher nehmen. Ueber ~64 MB laedt das Handy ihn nicht
+// mehr (TAP_DL_MAX_BYTES in ChatScreen.tsx) — dann liegt er zwar sauber auf dem
+// Server, ist mobil aber nur noch per Dateimanager erreichbar. Darum warnen wir
+// darueber, verbieten es aber nicht.
+const ATTACHMENT_LIMIT_SOFT_MB = 64;
+const ATTACHMENT_LIMIT_MAX_MB = 1024;
+
+function handleGetAttachmentLimit(clientWs) {
+  // Das Brain ist die Wahrheit — es kennt auch den ENV-Fallback, den der
+  // Diagnostic-Container nicht sieht.
+  const brain = process.env.BRAIN_URL || "http://aria-brain:8080";
+  const req = http.get(`${brain}/attachments/limit`, { timeout: 5000 }, (r) => {
+    let body = "";
+    r.on("data", (c) => { body += c; });
+    r.on("end", () => {
+      let maxMb = null;
+      try { maxMb = JSON.parse(body).maxMb; } catch (_) {}
+      clientWs.send(JSON.stringify({
+        type: "attachment_limit_info",
+        maxMb,
+        softMb: ATTACHMENT_LIMIT_SOFT_MB,
+        hardMb: ATTACHMENT_LIMIT_MAX_MB,
+        error: maxMb == null ? "Brain antwortet nicht verwertbar" : undefined,
+      }));
+    });
+  });
+  req.on("error", (err) => {
+    clientWs.send(JSON.stringify({ type: "attachment_limit_info", error: err.message }));
+  });
+  req.on("timeout", () => { req.destroy(new Error("Brain antwortet nicht")); });
+}
+
+function handleSetAttachmentLimit(clientWs, maxMb) {
+  const n = Number(maxMb);
+  if (!isFinite(n) || n <= 0) {
+    clientWs.send(JSON.stringify({
+      type: "attachment_limit_info", error: "Bitte eine Zahl groesser 0 angeben (MB)" }));
+    return;
+  }
+  if (n > ATTACHMENT_LIMIT_MAX_MB) {
+    clientWs.send(JSON.stringify({
+      type: "attachment_limit_info",
+      error: `Maximal ${ATTACHMENT_LIMIT_MAX_MB} MB — darueber reisst der WebSocket-Transport` }));
+    return;
+  }
+  try {
+    writeRuntimeConfig({ memoryAttachmentMaxMb: n });
+    log("info", "server", `Anhang-Limit gesetzt: ${n} MB`);
+    clientWs.send(JSON.stringify({
+      type: "attachment_limit_info",
+      maxMb: n,
+      softMb: ATTACHMENT_LIMIT_SOFT_MB,
+      hardMb: ATTACHMENT_LIMIT_MAX_MB,
+      info: n > ATTACHMENT_LIMIT_SOFT_MB
+        ? `${n} MB gesetzt (greift sofort). Hinweis: ueber ${ATTACHMENT_LIMIT_SOFT_MB} MB `
+          + `laedt die Handy-App Anhaenge nicht mehr herunter — sie liegen dann nur `
+          + `noch auf dem Server.`
+        : `${n} MB gesetzt — greift sofort, kein Neustart noetig.`,
+    }));
+  } catch (err) {
+    clientWs.send(JSON.stringify({ type: "attachment_limit_info", error: err.message }));
+  }
+}
+
 // OpenClaw-Config-Handler entfernt — aria-core ist raus.
 
 // ── Start ───────────────────────────────────────────────

host-agent/android/app/build.gradle

@@ -11,8 +11,8 @@ android {
         applicationId 'de.hackersoft.ariaagent'
         minSdk 26
         targetSdk 33            // 33 vermeidet die Foreground-Service-Typ-Pflicht von 34
-        versionCode 102
-        versionName '0.0.1.2'
+        versionCode 105
+        versionName '0.0.1.5'
     }
 
     // Fester Signaturschlüssel: jeder Build signiert mit DEMSELBEN Key, damit

host-agent/android/app/src/main/java/de/hackersoft/ariaagent/AriaAccessibilityService.kt

@@ -44,6 +44,29 @@ class AriaAccessibilityService : AccessibilityService() {
     override fun onAccessibilityEvent(event: AccessibilityEvent?) { /* passiv */ }
     override fun onInterrupt() { /* passiv */ }
 
+    /**
+     * Steht eine Einblendung offen, raeumt sie der naechste Tastendruck weg.
+     *
+     * Der Trick: wir geben IMMER `false` zurueck. Damit laeuft die Taste ganz
+     * normal weiter an den Film/die App — die Einblendung schluckt nichts. Sie
+     * muss dafuer auch nicht fokussierbar sein, kann also weiterhin ueber einem
+     * laufenden Video stehen, ohne die Fernbedienung zu blockieren.
+     *
+     * Deshalb dieser Weg und nicht "Overlay faengt Tasten selbst ab": ein
+     * fokussierbares Fenster wuerde der App darunter JEDE Eingabe nehmen,
+     * solange es steht.
+     *
+     * Eine feste Anzeigedauer ist naemlich immer falsch — mal zu kurz zum
+     * Lesen, mal steht sie ewig im Bild.
+     */
+    override fun onKeyEvent(event: android.view.KeyEvent?): Boolean {
+        if (event != null && event.action == android.view.KeyEvent.ACTION_DOWN
+            && OverlayView.isShowing()) {
+            OverlayView.hide(applicationContext)
+        }
+        return false   // Taste NICHT verbrauchen
+    }
+
     /** Strukturierter Baum des aktiven Fensters. Shape: {ok, result:{package,count,nodes[]}}. */
     fun dump(): JSONObject {
         val root = rootInActiveWindow

host-agent/android/app/src/main/java/de/hackersoft/ariaagent/OverlayView.kt

@@ -25,13 +25,33 @@ import android.widget.TextView
  *
  * Nicht fokussierbar (FLAG_NOT_FOCUSABLE) — die Fernbedienung steuert weiter die
  * App darunter, die Einblendung schluckt keine Tastendruecke.
+ *
+ * WEGBEKOMMEN ohne feste Anzeigedauer (seconds = 0):
+ *  - Fernbedienung: der Accessibility-Dienst sieht den naechsten Tastendruck und
+ *    raeumt die Einblendung weg — er gibt die Taste trotzdem an den Film weiter
+ *    (siehe AriaAccessibilityService.onKeyEvent).
+ *  - Touch: FLAG_WATCH_OUTSIDE_TOUCH meldet uns eine Beruehrung AUSSERHALB der
+ *    Einblendung. Die Beruehrung geht gleichzeitig an die App darunter — es
+ *    geht also kein Tipp verloren.
+ *  - Notbremse: nach HARD_CAP_SEC verschwindet sie in jedem Fall. Ohne das
+ *    koennte eine vergessene Einblendung dauerhaft im Bild stehen.
+ *
+ * Eine feste Dauer ist naemlich immer falsch geraten — mal zu kurz zum Lesen,
+ * mal steht sie laengst im Weg.
  */
 object OverlayView {
 
+    /** Auch eine "bleibt stehen"-Einblendung geht spaetestens danach weg. */
+    private const val HARD_CAP_SEC = 600
+
     private val main = Handler(Looper.getMainLooper())
     private var root: LinearLayout? = null
     private var hideRunnable: Runnable? = null
 
+    /** Steht gerade eine Einblendung? Der Accessibility-Dienst fragt das, bevor
+     *  er auf einen Tastendruck hin aufraeumt. */
+    fun isShowing(): Boolean = root != null
+
     /** Hat der Nutzer "Ueber anderen Apps anzeigen" erlaubt? */
     fun canDraw(ctx: Context): Boolean =
         if (Build.VERSION.SDK_INT >= 23) Settings.canDrawOverlays(ctx) else true
@@ -98,6 +118,10 @@ object OverlayView {
                     type,
                     WindowManager.LayoutParams.FLAG_NOT_FOCUSABLE or
                         WindowManager.LayoutParams.FLAG_NOT_TOUCHABLE or
+                        // Meldet uns Beruehrungen AUSSERHALB, ohne sie zu
+                        // schlucken — damit raeumt ein Tipp aufs Video die
+                        // Einblendung weg und steuert trotzdem den Player.
+                        WindowManager.LayoutParams.FLAG_WATCH_OUTSIDE_TOUCH or
                         WindowManager.LayoutParams.FLAG_LAYOUT_IN_SCREEN,
                     android.graphics.PixelFormat.TRANSLUCENT,
                 ).apply {
@@ -107,13 +131,23 @@ object OverlayView {
                     width = (ctx.resources.displayMetrics.widthPixels * 0.42f).toInt()
                 }
 
+                // Beruehrung ausserhalb -> wegraeumen. Die Beruehrung selbst
+                // geht dank FLAG_NOT_TOUCHABLE weiter an die App darunter.
+                box.setOnTouchListener { _, ev ->
+                    if (ev.action == android.view.MotionEvent.ACTION_OUTSIDE) hideNow(ctx)
+                    false
+                }
+
                 wm.addView(box, lp)
                 root = box
 
-                if (seconds > 0) {
-                    hideRunnable = Runnable { hideNow(ctx) }
-                    main.postDelayed(hideRunnable!!, seconds * 1000L)
-                }
+                // seconds > 0 : feste Dauer wie gehabt.
+                // seconds == 0: bleibt stehen, bis der Nutzer etwas tut
+                //               (Taste via Accessibility-Dienst / Tipp daneben)
+                //               — mit Notbremse, damit sie nie haengen bleibt.
+                val cap = if (seconds > 0) seconds else HARD_CAP_SEC
+                hideRunnable = Runnable { hideNow(ctx) }
+                main.postDelayed(hideRunnable!!, cap * 1000L)
             } catch (_: Exception) {
                 root = null
             }

host-agent/android/app/src/main/java/de/hackersoft/ariaagent/RvsClient.kt

@@ -36,7 +36,7 @@ class RvsClient(
     /** Sprachdialog mit ARIA (Mikro rein, Sprache/Einblendung raus). */
     val voice: VoiceSession by lazy {
         VoiceSession(appCtx, config,
-            send = { t, p -> ws?.let { send(it, t, p) } },
+            send = { t, p -> ws?.let { send(it, t, p) } ?: false },
             onEvent = { msg -> onStatus(true, msg) })
     }
 
@@ -112,12 +112,21 @@ class RvsClient(
         }.start()
     }
 
-    private fun send(webSocket: WebSocket, type: String, payload: JSONObject) {
+    /**
+     * Verschickt eine Nachricht. Gibt zurueck, ob der Socket sie ANGENOMMEN hat.
+     *
+     * Wichtig: OkHttps `send()` WIRFT NICHT, sondern gibt `false` zurueck, wenn
+     * die Verbindung zu ist oder der Ausgangspuffer voll ist. Dieser Rueckgabe-
+     * wert wurde vorher verworfen — ein Senden ins Leere sah damit aus wie ein
+     * Erfolg. Genau daran ist die Fire-TV-Sprachausgabe lautlos gescheitert und
+     * hat trotzdem "gesprochen" gemeldet.
+     */
+    private fun send(webSocket: WebSocket, type: String, payload: JSONObject): Boolean {
         val o = JSONObject()
         o.put("type", type)
         o.put("payload", payload)
         o.put("timestamp", System.currentTimeMillis())
-        try { webSocket.send(o.toString()) } catch (_: Exception) {}
+        return try { webSocket.send(o.toString()) } catch (_: Exception) { false }
     }
 
     private fun sendHello(webSocket: WebSocket) {
@@ -178,6 +187,31 @@ class RvsClient(
 
         val action = payload.optString("action")
         val params = payload.optJSONObject("params") ?: JSONObject()
+
+        fun reply(r: JSONObject) {
+            r.put("requestId", payload.optString("requestId"))
+            r.put("hostId", config.hostId())
+            r.put("action", action)
+            send(webSocket, "host_result", r)
+        }
+
+        // Alles, was SPRECHEN kann, laeuft in einem EIGENEN Thread. Es muss
+        // abwarten, bis wirklich Ton kommt — und dieses handle() laeuft auf dem
+        // Lese-Thread des WebSockets. Wuerden wir hier warten, kaeme das
+        // erwartete audio_pcm nie an (wir blockieren ja selbst das Lesen) und
+        // jede Sprachausgabe liefe garantiert in den Timeout.
+        if (action in SPEAKING_ACTIONS && config.controlEnabled) {
+            Thread {
+                val r = try {
+                    if (action == "speak") doSpeak(params) else doNotify(params)
+                } catch (t: Throwable) {
+                    err("Fehler bei '$action': ${t.javaClass.simpleName}: ${t.message}")
+                }
+                reply(r)
+            }.also { it.isDaemon = true }.start()
+            return
+        }
+
         // WICHTIG: JEDE Aktion muss ein host_result liefern — auch bei Exception
         // ODER OutOfMemoryError (Throwable!). Sonst bekommt ARIA statt einer
         // Fehlermeldung nur einen Timeout (kein Result kommt zurueck).
@@ -210,15 +244,16 @@ class RvsClient(
         } catch (t: Throwable) {
             err("Fehler bei '$action': ${t.javaClass.simpleName}: ${t.message}")
         }
-        result.put("requestId", payload.optString("requestId"))
-        result.put("hostId", config.hostId())
-        result.put("action", action)
-        send(webSocket, "host_result", result)
+        reply(result)
     }
 
     /** Steuer-Aktionen, die ein entsperrtes Gerät brauchen. */
     private val CONTROL_ACTIONS = setOf("ui_tap", "ui_text", "ui_swipe", "ui_key", "app_launch")
 
+    /** Aktionen, die sprechen koennen — laufen abseits des WS-Lese-Threads,
+     *  weil sie auf das eintreffende audio_pcm warten (siehe handle()). */
+    private val SPEAKING_ACTIONS = setOf("speak", "notify")
+
     /** Message-Typen des ARIA-Sprachdialogs (kein host_command). */
     private val VOICE_TYPES = setOf(
         "chat", "audio_pcm", "stt_endpoint", "stt_stream_done", "stt_partial")
@@ -368,7 +403,12 @@ class RvsClient(
             return Speaker.play(appCtx, audio, p.optString("audio_format", "wav"), focus)
         if (p.optString("engine") == "device")
             return Speaker.speak(appCtx, text, focus)
-        return runCatching { voice.requestTts(text); Unit }
+        // Nicht nur abschicken, sondern abwarten bis wirklich Ton kommt —
+        // sonst meldet der Agent Erfolg und der Fernseher bleibt stumm.
+        return runCatching {
+            val mid = voice.requestTts(text)
+            voice.awaitSpeechStart(mid)
+        }
     }
 
     private fun doVolume(p: JSONObject): JSONObject {

host-agent/android/app/src/main/java/de/hackersoft/ariaagent/VoiceSession.kt

@@ -33,7 +33,8 @@ import kotlin.random.Random
 class VoiceSession(
     private val appCtx: Context,
     private val config: AgentConfig,
-    private val send: (type: String, payload: JSONObject) -> Unit,
+    /** Gibt zurueck, ob der Socket die Nachricht angenommen hat (false = ins Leere). */
+    private val send: (type: String, payload: JSONObject) -> Boolean,
     private val onEvent: (String) -> Unit = {},
 ) {
     companion object {
@@ -191,15 +192,39 @@ class VoiceSession(
                 expectedAudio.iterator().let { if (it.hasNext()) { it.next(); it.remove() } }
             }
         }
-        send("tts_request", JSONObject().apply {
+        val accepted = send("tts_request", JSONObject().apply {
             put("text", text)
             put("messageId", mid)
             put("voice", "")
             put("speed", 1.0)
         })
+        if (!accepted) {
+            expectedAudio.remove(mid)
+            throw IllegalStateException(
+                "Keine Verbindung zum Server — TTS-Anfrage ging nicht raus")
+        }
         return mid
     }
 
+    /**
+     * Wartet, bis fuer [mid] wirklich der erste Ton kommt.
+     *
+     * Ohne das meldete `host_speak` Erfolg, sobald die Anfrage im Socket lag —
+     * ARIA sagte "erledigt", und der Fernseher blieb still. Hier wird erst
+     * geantwortet, wenn tatsaechlich Audio laeuft, sonst mit klarem Grund.
+     */
+    fun awaitSpeechStart(mid: String, timeoutMs: Long = 20000) {
+        val deadline = System.currentTimeMillis() + timeoutMs
+        while (System.currentTimeMillis() < deadline) {
+            if (playingMessageId == mid) return            // Ton laeuft
+            if (!expectedAudio.contains(mid)) return        // schon fertig gesprochen
+            try { Thread.sleep(100) } catch (_: InterruptedException) { return }
+        }
+        expectedAudio.remove(mid)
+        throw IllegalStateException(
+            "Server hat kein Audio geliefert (TTS-Dienst erreichbar? Stimme gesetzt?)")
+    }
+
     /** Text direkt an ARIA schicken (ohne Mikrofon) — Antwort landet hier genauso. */
     fun ask(text: String): JSONObject {
         if (text.isBlank()) return JSONObject().put("ok", false).put("error", "leerer Text")

host-agent/android/app/src/main/res/xml/accessibility_config.xml

@@ -2,8 +2,9 @@
 <accessibility-service xmlns:android="http://schemas.android.com/apk/res/android"
     android:accessibilityEventTypes="typeWindowStateChanged|typeWindowContentChanged"
     android:accessibilityFeedbackType="feedbackGeneric"
-    android:accessibilityFlags="flagRetrieveInteractiveWindows|flagReportViewIds"
+    android:accessibilityFlags="flagRetrieveInteractiveWindows|flagReportViewIds|flagRequestFilterKeyEvents"
     android:canRetrieveWindowContent="true"
     android:canPerformGestures="true"
+    android:canRequestFilterKeyEvents="true"
     android:notificationTimeout="100"
     android:description="@string/accessibility_desc" />

host-agent/host_agent.py

@@ -162,7 +162,7 @@ OUT_MAX_CHARS_HARD = int(os.environ.get("OUT_MAX_CHARS_HARD", "200000") or "2000
 FILE_MAX_BYTES = int(os.environ.get("FILE_MAX_BYTES", str(10 * 1024 * 1024)) or str(10 * 1024 * 1024))
 
 # Version (wird von release_agent.sh beim Release gesetzt).
-AGENT_VERSION = "0.0.1.2"
+AGENT_VERSION = "0.0.1.5"
 
 HEARTBEAT_SEC = 25
 

proxy-patches/cli-to-openai.js

@@ -100,9 +100,13 @@ function _parseToolCalls(text) {
 }
 
 export function cliResultToOpenai(result, requestId) {
-    const modelName = result.modelUsage
-        ? Object.keys(result.modelUsage)[0]
-        : "claude-sonnet-4";
+    // modelUsage ist die Wahrheit: die CLI tragt dort den Namen ein, unter dem
+    // der Request wirklich lief — bei einem Alias also die aufgeloeste Version
+    // ("opus" -> "claude-opus-5-5"). Leer bleibt es, wenn gar kein Call
+    // zustande kam (z.B. unbekanntes Modell).
+    const usage = result.modelUsage || {};
+    const usedKey = Object.keys(usage)[0];
+    const modelName = (usedKey && (usage[usedKey]?.canonicalModel || usedKey)) || "";
 
     const rawText = result.result || "";
     const { tool_calls, rest } = _parseToolCalls(rawText);
@@ -134,13 +138,32 @@ export function cliResultToOpenai(result, requestId) {
             total_tokens:
                 (result.usage?.input_tokens || 0) + (result.usage?.output_tokens || 0),
         },
+        // ARIA-Zusatzfelder (ausserhalb des OpenAI-Schemas, Clients ignorieren
+        // sie). Damit kann die Diagnostic pruefen, ob ein Modell wirklich
+        // gelaufen ist: bei einem unbekannten Namen kommt die CLI gar nicht bis
+        // zum Call, dann ist modelUsage leer und is_error gesetzt. Ohne das
+        // koennte man einen Fehlschlag nicht von einer Antwort unterscheiden —
+        // die Fehlermeldung steht naemlich einfach im content.
+        aria_model: modelName,
+        aria_error: result.is_error === true,
+        aria_context_window: (usedKey && usage[usedKey]?.contextWindow) || 0,
+        aria_max_output: (usedKey && usage[usedKey]?.maxOutputTokens) || 0,
     };
 }
 
+/**
+ * Modellname fuer die Antwort.
+ *
+ * Hier wurde der Name FRUEHER umgeschrieben: alles mit "opus" drin wurde zu
+ * "claude-opus-4", Sonnet zu "claude-sonnet-4" usw. Damit log das Feld — die
+ * CLI liefert in modelUsage den tatsaechlich benutzten Namen (z.B.
+ * "claude-opus-5-5"), und genau der wurde weggeworfen. Im OpenAI-Protokoll
+ * soll `model` das Modell nennen, das geantwortet HAT; ein erfundener Name
+ * macht jede Ueberpruefung unmoeglich ("welches Modell lief gerade?").
+ *
+ * Jetzt bleibt der echte Name stehen; nur wenn gar keiner da ist, gibt es
+ * einen neutralen Platzhalter.
+ */
 function normalizeModelName(model) {
-    const m = model || "claude-sonnet-4";
-    if (m.includes("opus")) return "claude-opus-4";
-    if (m.includes("sonnet")) return "claude-sonnet-4";
-    if (m.includes("haiku")) return "claude-haiku-4";
-    return m;
+    return model || "unknown";
 }

proxy-patches/openai-to-cli.js

@@ -15,29 +15,47 @@
  * (siehe docker-compose.yml proxy-Block).
  */
 
+// NUR echte Tier-Aliase. Die CLI loest sie selbst auf die aktuelle Version des
+// Tiers auf.
+//
+// Hier standen frueher auch volle Versionen (claude-opus-5 → "opus",
+// claude-fable-5 → "fable", ...). Das war falsch: wer bewusst eine BESTIMMTE
+// Version waehlte, bekam still das Tier-Default — also unter Umstaenden ein
+// ganz anderes Modell als ausgewaehlt. Volle Namen gehen jetzt unveraendert an
+// die CLI (siehe extractModel), die versteht sie.
 const MODEL_MAP = {
-    "claude-opus-4": "opus",
-    "claude-sonnet-4": "sonnet",
-    "claude-haiku-4": "haiku",
-    "claude-code-cli/claude-opus-4": "opus",
-    "claude-code-cli/claude-sonnet-4": "sonnet",
-    "claude-code-cli/claude-haiku-4": "haiku",
     "opus": "opus",
     "sonnet": "sonnet",
     "haiku": "haiku",
     "fable": "fable",
-    "claude-fable-5": "fable",
+    "claude-code-cli/opus": "opus",
+    "claude-code-cli/sonnet": "sonnet",
+    "claude-code-cli/haiku": "haiku",
     "claude-code-cli/fable": "fable",
-    // Volle aktuelle IDs (falls die App/Diagnostic sie mal direkt setzt)
-    "claude-opus-5": "opus",
-    "claude-sonnet-5": "sonnet",
-    "claude-haiku-4-5": "haiku",
 };
 
+// Echte Claude-Modellnamen: claude-<familie>-<zahlen/suffixe>.
+// Die CLI nimmt laut `claude --help` "an alias for the latest model (e.g.
+// 'fable', 'opus', or 'sonnet') or a model's full name" — exakte Versionen
+// darf man also direkt durchreichen.
+const FULL_MODEL_RE = /^claude-[a-z]+-[0-9][0-9a-z.-]*$/;
+
 export function extractModel(model) {
     if (MODEL_MAP[model]) return MODEL_MAP[model];
     const stripped = (model || "").replace(/^claude-code-cli\//, "");
     if (MODEL_MAP[stripped]) return MODEL_MAP[stripped];
+    // Exakte Version durchreichen statt sie auf einen Tier einzuschmelzen.
+    //
+    // Vorher landete JEDER unbekannte Name still auf "opus". Damit war eine
+    // neuere Version faktisch nicht waehlbar: wer "claude-opus-5-5" setzte,
+    // bekam ohne jede Meldung das Tier-Default — die Einstellung sah gesetzt
+    // aus und tat nichts. Kennt die CLI den Namen nicht, sagt SIE das deutlich
+    // ("isn't described by this version's model catalog"), und das ist die
+    // ehrlichere Antwort als ein stilles Downgrade.
+    if (FULL_MODEL_RE.test(stripped)) return stripped;
+    if (stripped) {
+        console.error(`[aria-model] Unbekannter Modellname ${JSON.stringify(stripped)} — nutze 'opus'`);
+    }
     return "opus";
 }
 

proxy-patches/routes.js

@@ -552,19 +552,144 @@ function _loadModels() {
     return DEFAULT_MODELS;
 }
 
-export function handleModels(_req, res) {
+// ── Echte Modell-Liste von Anthropic ────────────────────────────────
+//
+// Anthropic veroeffentlicht einen signierten Modell-Katalog, aus dem auch
+// Claude Code selbst seinen Modell-Auswaehler fuellt. Oeffentlich erreichbar,
+// KEIN API-Key noetig (die Models-API /v1/models braucht einen; mit dem
+// Max-Abo gibt es keinen).
+//
+// Warum ueberhaupt: die handgepflegte Liste hier veraltete garantiert. Sie
+// kannte Opus 5 — waehrend im Katalog laengst Opus 5.5, Sonnet 5.5 und
+// Fable 5.1 standen. Ein "↻ Aktualisieren"-Knopf, der nur eine lokale Datei
+// neu liest, aktualisiert nichts.
+//
+// Struktur: surfaces.<surface>.model_selector_config[].models[]
+//           = { id, name, short_name, description, section }
+// 'cc' ist die Claude-Code-Oberflaeche — genau die, durch die ARIA laeuft.
+// section 'main' = die vorgeschlagenen, 'overflow' = aeltere/weitere.
+const CATALOG_URL = process.env.ARIA_MODEL_CATALOG_URL
+    || "https://downloads.claude.ai/model-catalog/v1/catalog.json";
+const CATALOG_CACHE_FILE = "/shared/config/model_catalog_cache.json";
+const CATALOG_TTL_MS = 6 * 60 * 60 * 1000;   // 6h — der Katalog gilt eine Woche
+const CATALOG_SURFACE = "cc";
+
+let _catalogMem = null;      // { at, models }
+
+function _parseCatalog(doc) {
+    const out = [];
+    const surfaces = (doc && doc.surfaces && doc.surfaces[CATALOG_SURFACE]) || null;
+    const configs = surfaces && surfaces.model_selector_config;
+    if (!Array.isArray(configs)) return out;
+    for (const cfg of configs) {
+        for (const m of (cfg.models || [])) {
+            if (!m || typeof m.id !== "string") continue;
+            out.push({
+                id: m.id,
+                tier: m.short_name ? String(m.short_name).toLowerCase() : m.id,
+                display_name: m.name || m.id,
+                description: m.description || "",
+                section: m.section || "main",
+            });
+        }
+    }
+    return out;
+}
+
+function _readCatalogCache() {
+    try {
+        const c = JSON.parse(fs.readFileSync(CATALOG_CACHE_FILE, "utf-8"));
+        if (Array.isArray(c.models) && c.models.length) return c;
+    } catch (_) { /* kein Cache */ }
+    return null;
+}
+
+/**
+ * Liefert die Katalog-Modelle. `force` umgeht den TTL (Diagnostic-Knopf).
+ * Schlaegt der Abruf fehl, gilt der Cache — auch ein abgelaufener, denn eine
+ * etwas alte echte Liste ist besser als gar keine.
+ */
+async function _catalogModels(force) {
+    const now = Date.now();
+    if (!force && _catalogMem && (now - _catalogMem.at) < CATALOG_TTL_MS) {
+        return _catalogMem.models;
+    }
+    if (!force) {
+        const cached = _readCatalogCache();
+        if (cached && (now - (cached.at || 0)) < CATALOG_TTL_MS) {
+            _catalogMem = { at: cached.at, models: cached.models };
+            return cached.models;
+        }
+    }
+    try {
+        const ctl = AbortSignal.timeout ? AbortSignal.timeout(10000) : undefined;
+        const r = await fetch(CATALOG_URL, { signal: ctl });
+        if (!r.ok) throw new Error(`HTTP ${r.status}`);
+        const doc = await r.json();
+        const models = _parseCatalog(doc);
+        if (!models.length) throw new Error("Katalog enthaelt keine Modelle fuer Surface " + CATALOG_SURFACE);
+        _catalogMem = { at: now, models };
+        try {
+            fs.mkdirSync("/shared/config", { recursive: true });
+            fs.writeFileSync(CATALOG_CACHE_FILE, JSON.stringify({
+                at: now, version: doc.version, expires_at: doc.expires_at, models,
+            }, null, 2));
+        } catch (e) {
+            console.error("[aria-models] Katalog-Cache schreiben fehlgeschlagen:", e && e.message);
+        }
+        console.error(`[aria-models] Katalog geladen: ${models.length} Modelle (Version ${doc.version})`);
+        return models;
+    } catch (e) {
+        console.error("[aria-models] Katalog-Abruf fehlgeschlagen:", e && e.message);
+        const cached = _readCatalogCache();
+        if (cached) {
+            console.error("[aria-models] nutze Cache vom " + new Date(cached.at || 0).toISOString());
+            _catalogMem = { at: cached.at, models: cached.models };
+            return cached.models;
+        }
+        return [];
+    }
+}
+
+export async function handleModels(req, res) {
     const created = Math.floor(Date.now() / 1000);
-    const models = _loadModels();
+    const force = !!(req && req.query && (req.query.refresh === "1" || req.query.refresh === "true"));
+
+    // 1) Tier-Aliase zuerst: sie zeigen IMMER auf die aktuelle Version ihres
+    //    Tiers, ganz ohne Pflege. Fuer den Alltag die richtige Wahl.
+    const tiers = _loadModels().map(m => ({
+        id: m.id,
+        tier: m.tier || m.id,
+        display_name: m.display_name || m.id,
+        description: m.description || "",
+        section: "tier",
+    }));
+
+    // 2) Danach die exakten Versionen aus dem Anthropic-Katalog.
+    const catalog = await _catalogModels(force);
+    const seen = new Set(tiers.map(t => t.id));
+    const exact = catalog.filter(m => !seen.has(m.id)).map(m => ({
+        id: m.id,
+        tier: m.tier,
+        display_name: m.display_name
+            + (m.section === "main" ? "" : " (ältere Version)"),
+        description: m.description
+            || (m.section === "main" ? "" : "Aeltere Version — nur waehlen wenn gewollt."),
+        section: m.section,
+    }));
+
     res.json({
         object: "list",
-        data: models.map(m => ({
+        catalog_ok: catalog.length > 0,
+        data: [...tiers, ...exact].map(m => ({
             id: m.id,
             object: "model",
             owned_by: "anthropic",
             created,
-            tier: m.tier || m.id,
-            display_name: m.display_name || m.id,
-            description: m.description || "",
+            tier: m.tier,
+            display_name: m.display_name,
+            description: m.description,
+            section: m.section,
         })),
     });
 }

rvs/server.js

@@ -84,6 +84,14 @@ const ALLOWED_TYPES = new Set([
   // (SNMP/HTTP/FritzBox), der Satellit speichert sie verschluesselt.
   "sat_creds_set", "sat_creds_delete", "sat_creds_list",
   "sat_creds_result", "sat_creds_list_result",
+  // Port-Tunnel: ARIA erreicht ueber den Satelliten einen beliebigen Port im
+  // fremden LAN (FreeCAD-MCP, Web-App ...). Die Bridge macht daraus einen
+  // lokalen Port. sat_tunnel_data laeuft in BEIDE Richtungen — unterschieden
+  // wird ueber die tunnelId. Plus sat_name_* fuer vergebene Geraetenamen,
+  // damit ARIA "duffy-desktop" sagen kann statt einer IP.
+  "sat_tunnel_open", "sat_tunnel_opened", "sat_tunnel_data",
+  "sat_tunnel_close", "sat_tunnel_closed",
+  "sat_name_set", "sat_name_result",
   // Host-Agenten: ein Agent laeuft direkt auf einem Rechner, meldet sich mit
   // host_hello/host_ping und fuehrt host_command aus (exec/read/write/info/
   // screenshot) -> host_result. ARIA steuert so Rechner auch hinter NAT.

satellite/.env.example

@@ -89,3 +89,34 @@ HTTP_MAX_CHARS=20000       # Default-Body-Ausschnitt (offset/max_chars pro Reque
 SCAN_INTERVAL_SEC=300      # Hintergrund-Rescan-Intervall
 DISCOVER_TIMEOUT_SEC=6     # Dauer eines Sweeps (mDNS + SSDP)
 DEVICE_CACHE_TTL_SEC=120   # wie lange ein Inventar als "frisch" gilt
+
+# ── Port-Tunnel ──────────────────────────────────────────────────────
+# ARIA erreicht ueber den Satelliten einen beliebigen Port im LAN — z.B. ein
+# FreeCAD-MCP auf einem Rechner oder eine Web-App, die nur hier lauscht. Die
+# Bridge macht daraus einen lokalen Port (aria-bridge:19000...).
+#
+# DEFAULT AUS: das ist ein Weg in dein Netz, den schaltet man bewusst ein.
+# Soll der Rechner, auf dem der Satellit laeuft, SELBST in der Geraeteliste
+# auftauchen? Er wird per mDNS/ARP nicht gefunden (man findet sich nicht
+# selbst), ist aber oft der interessanteste Host — dort laufen typischerweise
+# weitere Dienste (FreeCAD-MCP, Web-App, Dateiserver). Er erscheint dann als
+# normales Geraet, zusaetzlich mit 🛰️ gekennzeichnet, und laesst sich genauso
+# ansprechen. Nebeneffekt: er gilt damit als "gefunden" und ist ohne Eintrag in
+# TUNNEL_ALLOW tunnelbar.
+LIST_SELF=true
+
+TUNNEL_ENABLED=false
+
+# Welche Ziele sind erlaubt? LEER = nur Geraete, die der Satellit bei der Suche
+# auch wirklich gefunden hat (dann aber jeder Port). Damit kann der Tunnel
+# nichts ansteuern, was nicht ohnehin im LAN sichtbar ist — insbesondere nichts
+# im Internet. Sonst Liste aus host oder host:port, * als Platzhalter:
+#   TUNNEL_ALLOW=192.168.1.50:8080,192.168.1.60,*:5000
+TUNNEL_ALLOW=
+
+TUNNEL_MAX=8               # gleichzeitig offene Verbindungen
+TUNNEL_IDLE_SEC=900        # ungenutzte Tunnel nach 15 min schliessen
+
+# Geraete-Namen ("duffy-desktop" statt 192.168.1.47). Schluessel ist die MAC,
+# damit ein IP-Wechsel per DHCP den Namen nicht verliert.
+DEVICE_NAMES_PATH=/data/device_names.json

satellite/satellite.py

@@ -28,6 +28,7 @@ CONTROL_ENABLED + Allowlist. Discovery ist read-only. Keine offenen Ports.
 from __future__ import annotations
 
 import asyncio
+import base64
 import json
 import logging
 import os
@@ -139,6 +140,32 @@ CONTROL_ALLOWLIST = [
     if a.strip()
 ]
 
+# ── Port-Tunnel ──────────────────────────────────────────────────────
+#
+# ARIA sitzt woanders und kommt nicht ins fremde Netz. Der Satellit kann aber
+# beides: er sieht das LAN und haelt eine ausgehende Verbindung zum RVS. Also
+# reicht er eine TCP-Verbindung durch — wie der VNC-Tunnel, nur fuer beliebige
+# Ports. Damit erreicht ARIA z.B. einen FreeCAD-MCP oder eine Web-App, die nur
+# im Buero-Netz lauscht.
+#
+# DEFAULT AUS. Das ist ein Loch in ein fremdes Netz — das schaltet man bewusst
+# ein, nicht aus Versehen.
+TUNNEL_ENABLED = _env_bool("TUNNEL_ENABLED", False)
+
+# Soll der Rechner, auf dem der Satellit laeuft, selbst in der Geraeteliste
+# auftauchen? Default JA — meist ist er ein ganz normaler Host mit weiteren
+# Diensten. Wer den Satelliten-Rechner bewusst heraushalten will, setzt das
+# auf false.
+LIST_SELF = _env_bool("LIST_SELF", True)
+# Welche Ziele? Leer = nur Geraete, die der Satellit bei der Suche auch
+# wirklich GEFUNDEN hat (beliebiger Port). Damit kann der Tunnel nichts
+# ansteuern, was nicht ohnehin im LAN sichtbar ist — insbesondere nichts im
+# Internet. Sonst Liste aus "host" oder "host:port", * als Platzhalter:
+#   TUNNEL_ALLOW=192.168.1.50:8080,192.168.1.60,*:5000
+TUNNEL_ALLOW = [a.strip() for a in os.environ.get("TUNNEL_ALLOW", "").split(",") if a.strip()]
+TUNNEL_MAX = int(os.environ.get("TUNNEL_MAX", "8") or 8)
+TUNNEL_IDLE_SEC = int(os.environ.get("TUNNEL_IDLE_SEC", "900") or 900)
+
 # adb.*: Android-Geraete (v.a. Fire TV) im LAN per Netzwerk-Debugging erreichen.
 # install dauert lange (APK laden + uebertragen + installieren) -> grosszuegiger
 # Timeout. APK-Cache in /data (persistentes Volume), damit N Sticks nur EINEN
@@ -288,9 +315,12 @@ MDNS_TYPES = [
     "_androidtvremote2._tcp.local.",  # Android TV Remote
 ]
 
-CAPABILITIES = ["discover"]
+CAPABILITIES = ["discover", "name"]
 if CONTROL_ENABLED:
     CAPABILITIES += CONTROL_ALLOWLIST
+if TUNNEL_ENABLED:
+    # Macht in Diagnostic/ARIA sichtbar, dass dieser Satellit Ports durchreicht.
+    CAPABILITIES.append("tunnel")
 
 
 # ─── Netz-Kontext / Selbstdiagnose ──────────────────────────────────
@@ -589,13 +619,150 @@ def _merge_devices(*lists) -> list[dict]:
                 merged = {**d, **{k: v for k, v in cur.items() if v}}
                 if order.get(d.get("via"), 0) >= order.get(cur.get("via"), 0):
                     merged.update({k: v for k, v in d.items() if v})
-                # DIAL-URL / mac aus beiden behalten
-                for key in ("dialAppUrl", "mac", "model", "manufacturer"):
+                # DIAL-URL / mac aus beiden behalten. isSatellite/satelliteId
+                # muessen mit: der Satellit findet sich selbst auch per mDNS,
+                # und dann duerfte die Kennzeichnung nicht verlorengehen.
+                for key in ("dialAppUrl", "mac", "model", "manufacturer",
+                            "isSatellite", "satelliteId", "hostname"):
                     merged[key] = d.get(key) or cur.get(key) or merged.get(key)
                 by_ip[ip] = {k: v for k, v in merged.items() if v not in (None, "")}
     return list(by_ip.values()) + loose
 
 
+# ─── Geraete-Namen ──────────────────────────────────────────────────
+#
+# "duffy-desktop" ist ansprechbar, "192.168.1.47" nicht. Darum kann Stefan
+# jedem gefundenen Geraet einen Namen geben; ARIA adressiert danach.
+#
+# Schluessel ist die MAC, nicht die IP: per DHCP wandert die IP, die MAC
+# bleibt. Nur wenn keine MAC bekannt ist, faellt es auf die IP zurueck.
+NAMES_PATH = os.environ.get("DEVICE_NAMES_PATH", "/data/device_names.json")
+_names: dict = {}
+
+
+def _names_load() -> None:
+    global _names
+    try:
+        with open(NAMES_PATH) as f:
+            data = json.load(f)
+        _names = data if isinstance(data, dict) else {}
+    except FileNotFoundError:
+        _names = {}
+    except Exception as exc:
+        logger.warning("device_names.json unlesbar (%s) — starte leer", exc)
+        _names = {}
+
+
+def _names_save() -> None:
+    try:
+        os.makedirs(os.path.dirname(NAMES_PATH), exist_ok=True)
+        tmp = NAMES_PATH + ".tmp"
+        with open(tmp, "w") as f:
+            json.dump(_names, f, indent=2)
+        os.replace(tmp, NAMES_PATH)
+    except Exception as exc:
+        logger.warning("device_names.json schreiben fehlgeschlagen: %s", exc)
+
+
+def _self_device() -> dict:
+    """Der Rechner, auf dem der Satellit SELBST laeuft, als normales Geraet.
+
+    Er taucht in der Suche nicht auf (man findet sich nicht per mDNS/ARP
+    selbst), ist aber oft der interessanteste Host im Netz: hier laufen
+    typischerweise noch andere Dienste — ein FreeCAD-MCP, eine Web-App, ein
+    Dateiserver. Ohne diesen Eintrag waere ausgerechnet der Rechner unsichtbar,
+    auf dem ARIA schon eine Verbindung hat.
+
+    `isSatellite` kennzeichnet ihn; ansonsten ist er ein Geraet wie jedes
+    andere und laesst sich genauso ansprechen.
+    """
+    ip = (NET or {}).get("primary_ip") or ""
+    if not ip:
+        return {}
+    d = {
+        "ip": ip,
+        "mac": (NET or {}).get("mac") or "",
+        "via": "self",
+        "isSatellite": True,
+        "satelliteId": SATELLITE_ID,
+        "type": "host",
+    }
+    try:
+        d["hostname"] = socket.gethostname()
+    except Exception:
+        pass
+    return {k: v for k, v in d.items() if v not in (None, "")}
+
+
+def _name_key(dev: dict) -> str:
+    mac = (dev.get("mac") or "").strip().lower()
+    return mac if mac else (dev.get("ip") or "").strip()
+
+
+def _apply_names(devices: list[dict]) -> list[dict]:
+    """Haengt den vergebenen Namen an jedes Geraet (Feld 'name')."""
+    for d in devices:
+        n = _names.get(_name_key(d))
+        if n:
+            d["name"] = n
+    return devices
+
+
+def _resolve_target(target: str, devices: list[dict]) -> str:
+    """Name ODER IP ODER Hostname -> IP.
+
+    Erlaubt ARIA, "duffy-desktop" zu sagen statt eine Adresse zu kennen.
+    Vergleich case-insensitive; eine direkt angegebene IP geht unveraendert
+    durch.
+    """
+    t = (target or "").strip()
+    if not t:
+        return ""
+    if re.match(r"^\d{1,3}(\.\d{1,3}){3}$", t):
+        return t
+    tl = t.lower()
+    for d in devices:
+        if (d.get("name") or "").strip().lower() == tl:
+            return d.get("ip") or ""
+    # Zweite Runde: Hostname aus der Suche (mDNS liefert oft einen)
+    for d in devices:
+        for field in ("hostname", "host", "model"):
+            if (d.get(field) or "").strip().lower().rstrip(".") == tl:
+                return d.get("ip") or ""
+    return ""
+
+
+# ─── Port-Tunnel ────────────────────────────────────────────────────
+
+def _tunnel_allowed(ip: str, port: int, devices: list[dict]) -> tuple[bool, str]:
+    """Darf zu ip:port getunnelt werden?
+
+    Ohne TUNNEL_ALLOW gilt: nur Geraete, die bei der Suche tatsaechlich
+    gefunden wurden. Damit kann der Tunnel nichts ansteuern, was nicht ohnehin
+    im LAN sichtbar ist — und schon gar nichts im Internet.
+    """
+    if not TUNNEL_ENABLED:
+        return False, "Tunnel ist an diesem Satelliten aus (TUNNEL_ENABLED=false)."
+    if not ip:
+        return False, "Ziel nicht aufloesbar (Name unbekannt?)."
+    if not (0 < port < 65536):
+        return False, f"Port {port} ist ungueltig."
+    if TUNNEL_ALLOW:
+        for rule in TUNNEL_ALLOW:
+            rhost, _, rport = rule.partition(":")
+            if rhost not in ("*", ip):
+                continue
+            if rport and rport != "*" and rport != str(port):
+                continue
+            return True, ""
+        return False, f"{ip}:{port} steht nicht in TUNNEL_ALLOW."
+    known = {d.get("ip") for d in devices if d.get("ip")}
+    if ip in known:
+        return True, ""
+    return False, (f"{ip} wurde im Netz nicht gefunden. Erst 'Geraete suchen', "
+                   f"oder {ip} in TUNNEL_ALLOW eintragen.")
+
+
 # ─── Control ────────────────────────────────────────────────────────
 
 async def _control(action: str, params: dict, devices: list[dict]) -> dict:
@@ -1630,6 +1797,8 @@ class Satellite:
         self._devices: list[dict] = []
         self._devices_ts: float = 0.0
         self._scanning = False
+        # Offene Port-Tunnel: tunnelId -> {"writer", "task", "last", "ziel"}
+        self._tunnels: dict[str, dict] = {}
 
     async def _scan(self, force: bool = False) -> list[dict]:
         fresh = (time.time() - self._devices_ts) < DEVICE_CACHE_TTL_SEC
@@ -1648,7 +1817,9 @@ class Satellite:
             mdns = await loop.run_in_executor(None, _discover_mdns, DISCOVER_TIMEOUT_SEC)
             ssdp = await loop.run_in_executor(None, _discover_ssdp, DISCOVER_TIMEOUT_SEC)
             arp = await loop.run_in_executor(None, _discover_arp)
-            self._devices = _merge_devices(mdns, ssdp, arp)
+            _self = [_self_device()] if LIST_SELF else []
+            _self = [d for d in _self if d]
+            self._devices = _apply_names(_merge_devices(mdns, ssdp, arp, _self))
             if SNMP_DISCOVERY:
                 await self._enrich_snmp(self._devices)
             await self._enrich_adb(self._devices)
@@ -1739,6 +1910,110 @@ class Satellite:
             logger.info("sat_hello gesendet: id=%s location=%s caps=%s",
                         SATELLITE_ID, SATELLITE_LOCATION, CAPABILITIES)
 
+    # ── Port-Tunnel ──────────────────────────────────────────────────
+
+    async def _tunnel_open(self, payload: dict) -> None:
+        """Oeffnet eine TCP-Verbindung ins LAN und streamt sie zur Bridge.
+
+        Gegenstueck: die Bridge haelt einen lokalen Lauscher, damit ARIA ganz
+        normal gegen eine Adresse sprechen kann (z.B. http://aria-bridge:19001).
+        """
+        tid = (payload.get("tunnelId") or "").strip()
+        if not tid:
+            return
+        target = (payload.get("target") or payload.get("host") or "").strip()
+        try:
+            port = int(payload.get("port") or 0)
+        except (TypeError, ValueError):
+            port = 0
+
+        async def fail(msg: str) -> None:
+            await self._send({
+                "type": "sat_tunnel_opened",
+                "payload": {"tunnelId": tid, "satellite": SATELLITE_ID,
+                            "ok": False, "error": msg},
+                "timestamp": int(time.time() * 1000),
+            })
+
+        if len(self._tunnels) >= TUNNEL_MAX:
+            await fail(f"Zu viele offene Tunnel ({TUNNEL_MAX}).")
+            return
+        devices = await self._scan()
+        ip = _resolve_target(target, devices)
+        ok, why = _tunnel_allowed(ip, port, devices)
+        if not ok:
+            await fail(why)
+            return
+        try:
+            reader, writer = await asyncio.wait_for(
+                asyncio.open_connection(ip, port), timeout=10)
+        except Exception as exc:
+            await fail(f"Verbindung zu {ip}:{port} fehlgeschlagen: {exc}")
+            return
+
+        task = asyncio.create_task(self._tunnel_reader(tid, reader))
+        self._tunnels[tid] = {"writer": writer, "task": task,
+                              "last": time.time(), "ziel": f"{ip}:{port}"}
+        logger.info("Tunnel auf: %s -> %s:%d (%s)", tid[:8], ip, port, target or ip)
+        await self._send({
+            "type": "sat_tunnel_opened",
+            "payload": {"tunnelId": tid, "satellite": SATELLITE_ID, "ok": True,
+                        "ip": ip, "port": port, "target": target},
+            "timestamp": int(time.time() * 1000),
+        })
+
+    async def _tunnel_reader(self, tid: str, reader: asyncio.StreamReader) -> None:
+        """LAN -> RVS. Endet, wenn die Gegenstelle zumacht."""
+        try:
+            while True:
+                data = await reader.read(32768)
+                if not data:
+                    break
+                t = self._tunnels.get(tid)
+                if t:
+                    t["last"] = time.time()
+                await self._send({
+                    "type": "sat_tunnel_data",
+                    "payload": {"tunnelId": tid,
+                                "b64": base64.b64encode(data).decode("ascii")},
+                    "timestamp": int(time.time() * 1000),
+                })
+        except asyncio.CancelledError:
+            raise
+        except Exception as exc:
+            logger.info("Tunnel %s Lesefehler: %s", tid[:8], exc)
+        finally:
+            await self._tunnel_close(tid, reason="Gegenstelle hat geschlossen")
+
+    async def _tunnel_close(self, tid: str, reason: str = "") -> None:
+        t = self._tunnels.pop(tid, None)
+        if not t:
+            return
+        try:
+            t["task"].cancel()
+        except Exception:
+            pass
+        try:
+            t["writer"].close()
+        except Exception:
+            pass
+        logger.info("Tunnel zu: %s (%s) %s", tid[:8], t.get("ziel", "?"), reason)
+        await self._send({
+            "type": "sat_tunnel_closed",
+            "payload": {"tunnelId": tid, "satellite": SATELLITE_ID, "reason": reason},
+            "timestamp": int(time.time() * 1000),
+        })
+
+    async def _tunnel_reaper(self) -> None:
+        """Raeumt Tunnel weg, durch die lange nichts mehr geht. Ohne das bleibt
+        eine vergessene Verbindung offen, bis der Satellit neu startet."""
+        while True:
+            await asyncio.sleep(60)
+            now = time.time()
+            for tid in [k for k, v in self._tunnels.items()
+                        if now - v.get("last", now) > TUNNEL_IDLE_SEC]:
+                await self._tunnel_close(tid, reason=f"seit {TUNNEL_IDLE_SEC}s ungenutzt")
+
     def _for_me(self, payload: dict) -> bool:
         target = (payload.get("satellite") or "").strip().lower()
         if not target or target in ("all", "*"):
@@ -1766,6 +2041,50 @@ class Satellite:
                 "timestamp": int(time.time() * 1000),
             })
 
+        elif mtype == "sat_tunnel_open":
+            if not self._for_me(payload):
+                return
+            await self._tunnel_open(payload)
+
+        elif mtype == "sat_tunnel_data":
+            # Kein _for_me: die tunnelId ist eindeutig, und ein fremder
+            # Satellit kennt sie nicht.
+            tid = (payload.get("tunnelId") or "").strip()
+            t = self._tunnels.get(tid)
+            if t:
+                try:
+                    t["writer"].write(base64.b64decode(payload.get("b64") or ""))
+                    t["last"] = time.time()
+                except Exception as exc:
+                    logger.warning("Tunnel %s schreiben fehlgeschlagen: %s", tid[:8], exc)
+                    await self._tunnel_close(tid, reason=str(exc)[:80])
+
+        elif mtype == "sat_tunnel_close":
+            await self._tunnel_close((payload.get("tunnelId") or "").strip(),
+                                     reason="von ARIA geschlossen")
+
+        elif mtype == "sat_name_set":
+            if not self._for_me(payload):
+                return
+            key = (payload.get("mac") or payload.get("ip") or "").strip().lower()
+            name = (payload.get("name") or "").strip()[:60]
+            req_id = payload.get("requestId", "")
+            if key:
+                if name:
+                    _names[key] = name
+                else:
+                    _names.pop(key, None)
+                _names_save()
+                _apply_names(self._devices)
+                logger.info("Geraetename: %s -> %r", key, name or "(entfernt)")
+            await self._send({
+                "type": "sat_name_result",
+                "payload": {"requestId": req_id, "satellite": SATELLITE_ID,
+                            "ok": bool(key), "key": key, "name": name,
+                            "error": "" if key else "mac oder ip noetig"},
+                "timestamp": int(time.time() * 1000),
+            })
+
         elif mtype == "sat_command":
             if not self._for_me(payload):
                 return
@@ -1866,7 +2185,10 @@ class Satellite:
             logger.error("RVS_HOST und RVS_TOKEN sind Pflicht (siehe .env.example).")
             return
         _creds_load()
+        _names_load()
         asyncio.create_task(self._periodic_scan())
+        if TUNNEL_ENABLED:
+            asyncio.create_task(self._tunnel_reaper())
         backoff = 1
         # use_tls kann bei Fehlschlag einmal auf ws:// fallen (RVS_TLS_FALLBACK),
         # danach wieder zurueck auf RVS_TLS (kein Sticky-Fallback). Bei TLS+RVS_SNI

xtts/whisper/bridge.py

@@ -99,6 +99,12 @@ STREAM_SPEAKER_CHECK_MS = 1500        # Mindest-Audio fuer Speaker-ID-Pruefung
 STREAM_DEFAULT_ENDPOINT_MS = 1500     # nach 1.5s ohne neuen Text → Endpoint
 STREAM_DEFAULT_HARD_CAP_MS = 60000    # nach 60s Audio: harter Cut egal was
 STREAM_MIN_AUDIO_MS = 600             # erst transkribieren wenn min 600ms Audio da
+# Zwischen-Transkriptionen sehen nur die letzten N Sekunden an. Sonst waechst
+# ihre Rechenzeit mit der Aufnahmelaenge (jedes Mal der ganze Buffer): bei 2min
+# Sprechen dauerte eine Zwischen-Transkription mehrere Sekunden, blockierte die
+# GPU und machte die Live-Anzeige traege. Der FINALE Text entsteht weiterhin aus
+# dem gesamten Buffer (beam_size=5) — es geht also kein Wort verloren.
+STREAM_PARTIAL_WINDOW_MS = 30000
 STREAM_SESSION_TTL_S = 120            # tote Sessions nach 2 min aufraeumen
 
 # Akustisches Endpointing (ergaenzt die rein-semantische Stagnation).
@@ -387,6 +393,10 @@ class StreamSession:
     speaker_checked: bool = False
     speaker_match: Optional[bool] = None
     speaker_similarity: float = 0.0
+    # Laufende Zwischen-Transkription. Die laeuft NEBENHER, nicht im Tick —
+    # sonst stand der Endpointer waehrend des Transkribierens, und die
+    # Rechenzeit wurde als Stille gezaehlt (siehe _tick_session).
+    partial_task: Optional[asyncio.Task] = None
 
 
 class SessionManager:
@@ -479,7 +489,11 @@ class SessionManager:
         return session
 
     def drop(self, request_id: str) -> None:
-        self._sessions.pop(request_id, None)
+        sess = self._sessions.pop(request_id, None)
+        # Nicht als Waise weiterlaufen lassen — sie haelt sonst den GPU-Lock
+        # fuer eine Sitzung, die es nicht mehr gibt.
+        if sess is not None and sess.partial_task is not None and not sess.partial_task.done():
+            sess.partial_task.cancel()
 
     async def run_endpointer(self) -> None:
         """Background-Loop: alle ~200ms ueber alle Sessions iterieren."""
@@ -660,38 +674,78 @@ class SessionManager:
         if since_last < STREAM_TRANSCRIBE_INTERVAL_MS:
             return
 
+        # Zwischen-Transkription NEBENHER starten, nicht hier abwarten.
+        #
+        # WARUM: dieser Tick laeuft alle 200ms und ist die einzige Stelle, die
+        # akustische Sprach-Energie misst (last_voice_at). Wurde hier auf das
+        # Transkribieren gewartet, stand der Endpointer solange — und beim
+        # naechsten Tick war `now - last_voice_at` um die gesamte Rechenzeit
+        # groesser. Die Rechenzeit zaehlte also als STILLE.
+        #
+        # Das skaliert mit der Aufnahmelaenge, weil jede Zwischen-Transkription
+        # den KOMPLETTEN Buffer neu durchlaeuft: bei 10s Audio harmlos, bei 2min
+        # dauert sie mehrere Sekunden und reisst damit die endpoint_ms-Grenze —
+        # mitten im Satz. Genau das war "lange Texte hoeren irgendwann auf,
+        # obwohl ich weiterrede".
+        if sess.partial_task is not None and not sess.partial_task.done():
+            return   # vorige laeuft noch — Tick bleibt frei fuers Messen
         sess.last_transcribe_at = now
-        try:
-            audio = pcm_s16le_to_float32(bytes(sess.pcm_buffer))
-        except Exception:
-            logger.exception("Stream %s: PCM-Decode fehlgeschlagen", sess.request_id[:8])
-            return
+        sess.partial_task = asyncio.create_task(self._partial_transcribe(sess, ws))
 
+    async def _partial_transcribe(self, sess: StreamSession, ws) -> None:
+        """Zwischen-Transkription fuer Live-Text + Wachstums-Erkennung.
+
+        Laeuft als eigener Task (siehe _tick_session). Der finale Text entsteht
+        in _finalize aus dem GESAMTEN Buffer mit beam_size=5 — hier darf also
+        gekuerzt und ungenau gearbeitet werden, ohne dass Text verloren geht.
+        """
         try:
+            # Nur das Ende des Buffers ansehen. Sonst waechst die Rechenzeit mit
+            # der Aufnahmelaenge, bindet die GPU und die Live-Anzeige wird immer
+            # traeger. Fuer "waechst der Text noch?" reicht der Schluss.
+            tail_bytes = int(STREAM_PARTIAL_WINDOW_MS / 1000.0 * sess.sample_rate) * 2
+            buf = bytes(sess.pcm_buffer)
+            windowed = len(buf) > tail_bytes
+            try:
+                audio = pcm_s16le_to_float32(buf[-tail_bytes:] if windowed else buf)
+            except Exception:
+                logger.exception("Stream %s: PCM-Decode fehlgeschlagen", sess.request_id[:8])
+                return
+
             # Kleinere beam_size fuer Streaming-Partials — wir wollen Latenz,
             # nicht maximale Genauigkeit. Final-Transcribe (in _finalize) faehrt
             # dann mit beam_size=5.
-            text, _dur = await self.runner.transcribe(audio, sess.language, beam_size=1, vad_filter=True)
-        except Exception:
-            logger.exception("Stream %s: Partial-Transcribe crashed", sess.request_id[:8])
-            return
+            try:
+                text, _dur = await self.runner.transcribe(
+                    audio, sess.language, beam_size=1, vad_filter=True)
+            except asyncio.CancelledError:
+                raise
+            except Exception:
+                logger.exception("Stream %s: Partial-Transcribe crashed", sess.request_id[:8])
+                return
 
-        text = text.strip()
-        grew = bool(text) and text != sess.last_partial
-        if grew:
-            sess.last_partial = text
-            sess.last_growth_at = now
-            # Optional: stt_partial broadcasten fuer UI-Feedback. Wir schicken's
-            # mit damit Diagnostic / ChatScreen Live-Text zeigen kann.
-            await _send(ws, "stt_partial", {
-                "requestId": sess.request_id,
-                "audioRequestId": sess.audio_request_id,
-                "text": text,
-            })
-            await _debug_log(ws, "stream.partial",
-                f"id={sess.request_id[:12]} text={text[:80]!r}")
-        # else: kein neuer Text — die Endpoint-Entscheidung (akustisch +
-        # semantischer Backstop) laeuft oben pro Tick, hier nichts mehr zu tun.
+            if sess.endpoint_sent or sess.closed:
+                return   # Session ist durch — Partial nicht mehr nachschicken
+            text = text.strip()
+            grew = bool(text) and text != sess.last_partial
+            if grew:
+                sess.last_partial = text
+                sess.last_growth_at = time.time()
+                # Optional: stt_partial broadcasten fuer UI-Feedback. Wir schicken's
+                # mit damit Diagnostic / ChatScreen Live-Text zeigen kann.
+                await _send(ws, "stt_partial", {
+                    "requestId": sess.request_id,
+                    "audioRequestId": sess.audio_request_id,
+                    "text": text,
+                    # Nur der Schluss der Aufnahme — der volle Text kommt final.
+                    "windowed": windowed,
+                })
+                await _debug_log(ws, "stream.partial",
+                    f"id={sess.request_id[:12]}{' [tail]' if windowed else ''} text={text[:80]!r}")
+            # else: kein neuer Text — die Endpoint-Entscheidung (akustisch +
+            # semantischer Backstop) laeuft im Tick, hier nichts mehr zu tun.
+        except asyncio.CancelledError:
+            pass
 
     def _buffer_duration_ms(self, sess: StreamSession) -> float:
         # 16-bit s16le mono → 2 bytes pro Sample
@@ -743,6 +797,11 @@ class SessionManager:
         if sess.endpoint_sent:
             return
         sess.endpoint_sent = True
+        # Laufende Zwischen-Transkription abbrechen: sie haelt den GPU-Lock und
+        # der finale Text muesste sonst hinter ihr warten — bei langen Aufnahmen
+        # mehrere Sekunden zusaetzliche Verzoegerung fuer nichts.
+        if sess.partial_task is not None and not sess.partial_task.done():
+            sess.partial_task.cancel()
         audio = pcm_s16le_to_float32(bytes(sess.pcm_buffer))
         if audio.size == 0:
             logger.info("Stream %s: leere Audio-Daten — final text leer", sess.request_id[:8])