feat(update): scaffold MAJ silencieuse + canary par machine (DETTE-022, gated OFF, swap encore stub)

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

agent_v0/server_v1/api_stream.py

@@ -7848,6 +7848,9 @@ async def lea_screen_analyze(payload: _Phase25ScreenRequest, request: Request):
 # client + Lea.bat).
 # =========================================================================
 from .update_check import decide_update as _decide_update  # noqa: E402
+from .update_policy import (  # noqa: E402
+    resolve_target_version_from_env as _resolve_target_version_from_env,
+)
 
 
 def _auto_update_server_enabled() -> bool:
@@ -7857,14 +7860,25 @@ def _auto_update_server_enabled() -> bool:
     )
 
 
-def _latest_agent_version() -> str:
-    """Dernière version d'agent disponible côté serveur.
+def _latest_agent_version(machine_id: Optional[str] = None) -> str:
+    """Version d'agent cible POUR CE POSTE (canary-aware, DETTE-022 v2).
 
-    Source de vérité minimale (POC) : variable d'environnement
-    RPA_AGENT_LATEST_VERSION. Permet de piloter la fleet sans rebuild. Une
-    évolution future pourra la lire d'un manifeste/DB (cf. design).
+    ⭐ SÉCURITÉ flotte ⭐ — la version servie est résolue PAR MACHINE via la
+    politique canary (`update_policy.resolve_target_version_from_env`) : un
+    poste canary (Émilie `lea-4zbgwxty`) reçoit la nouvelle version en premier ;
+    tous les autres restent sur le floor stable. Piloté 100 % par env, sans
+    rebuild :
+        RPA_AGENT_STABLE_VERSION   (défaut 1.0.1) — servi à toute la flotte.
+        RPA_AGENT_CANARY_VERSION   — servi AUX SEULS postes canary.
+        RPA_AGENT_CANARY_MACHINES  — allow-list CSV des machine_id canary.
+
+    Rétrocompat : si `RPA_AGENT_LATEST_VERSION` (ancienne var globale) est
+    positionnée, elle prime — évite toute régression d'un déploiement existant.
     """
-    return os.environ.get("RPA_AGENT_LATEST_VERSION", "1.0.1")
+    legacy = os.environ.get("RPA_AGENT_LATEST_VERSION")
+    if legacy:
+        return legacy
+    return _resolve_target_version_from_env(machine_id)
 
 
 @app.get("/api/v1/agents/update/check")
@@ -7877,6 +7891,10 @@ async def check_agent_update(
 
     Réponse : {update_available, latest_version, update_type, url}.
 
+    La version cible est résolue PAR MACHINE (canary) : voir
+    `_latest_agent_version`. Un poste hors canary ne se voit JAMAIS proposer la
+    version canary (blast radius borné à la liste canary).
+
     GATED : si RPA_AUTO_UPDATE_SERVER_ENABLED n'est pas positionné → 503
     (aucun effet sur le pipeline existant — anti-régression). Auth Bearer
     requise (dépendance globale `_verify_token`).
@@ -7891,7 +7909,7 @@ async def check_agent_update(
         )
     return _decide_update(
         current_version=current_version,
-        latest_version=_latest_agent_version(),
+        latest_version=_latest_agent_version(machine_id),
         update_type=update_type,
         machine_id=machine_id,
     )