Единственная железная гарантия — данные пользователя не теряются

Из всех возможных гарантий (атомарный апдейт, forward-совместимость конфигов, недействие агента вовне без санкции владельца) статус нерушимой получает одна: память, vault, история и конфиги пользователя не теряются никогда — ни при апдейте, ни при откате, ни при краше агента. Нарушение этой гарантии блокирует релиз без обсуждения. Остальные гарантии — цель и best effort: объявить их железными сегодня значило бы выписать чек, который кодовая база пока не обналичит (13 инцидентов iva update за 7 недель; sanitizer/outbound-контур не достроен). По мере готовности механизмов отдельные гарантии могут повышаться до железных новым ADR.

При загрузке очереди Telegram версия документа новее поддерживаемой останавливает приём с причиной в журнале; файл и .ack-pending сохраняются как были. Элемент более новой версии копируется целиком в существующий карантин одной записи .damaged-*.json, остальные элементы обрабатываются. Следующее сохранение очереди убирает этот элемент из рабочего файла; для восстановления нужна сохранённая копия и совместимая Ива.