@aimarket/warden 0.19.0 → 0.21.0

package/docs/flow-guard.zh.md

@@ -2,6 +2,273 @@
 
 > 🌐 [English](flow-guard.md) · [Русский](flow-guard.ru.md) · [Español](flow-guard.es.md) · [Français](flow-guard.fr.md) · **中文**
 
+2026-10-23 后续审计：工具结果中的 `image`/`audio` 二进制数据不再占用文本预算，因此排在文本之前的大幅截图不会再遮蔽元素标签、包含凭据文件名的窗口标题或文本块中的 JSON。指针和键盘操作（包括 `computer` 操作）返回的屏幕也会更新视图。普通执行确认保留上一视图；仅返回图像的操作会清空视图。此例外不适用于传出的参数，伪装成二进制数据的秘密仍会接受检查。回归测试通过 hooks 和真实 stdio 代理复现了这两种绕过。本地源码现在也会对不透明的 GUI 操作要求确认，详见下文。
+
+这些屏幕控制修复随 npm `0.21.0` 发布。npm `0.20.0` 不包含它们。
+
+## 凭据边界与编码片段（本地源码，2026-10-23）
+
+记录凭据读取和外部文本之后，**每个受支持的传出／MCP 调用都要求执行前 `ask`**（`deny` 拒绝），不因片段长度、编码、用户点名的目标或 MCP 只读标签而豁免。普通项目文件写入也需审核；凭据文件写入保留原有例外。`credentialRead` 跨轮次、跨来源历史轮换持续存在。这样阻止一至四字符和未知编码数据自动发出，依靠的是边界审核，不是声称能解码所有信息。
+
+已识别秘密仍拒绝；歧义片段使用 `secret_fragment`。其他边界审核使用 `credential_egress`，不把正常文本误称为秘密。GUI 默认仍严格，连复制快捷键的 GUI 例外也不能豁免此边界。`audit` 只记录，`off` 关闭保护；客户端必须遵守决定。
+
+**减少不必要的审核：** 操作员可在受保护的用户级 `flow-policy.json` 中配置独立检查过的精确公开请求。`dist/flow-guard.js` 中的 `publicRequestDigest(tool, args)` 绑定完整工具名和全部参数，包括目标。对象键排序，数组顺序有意义。每条规则每会话只授权一次，跨代理原子预留，执行失败也消耗。参数改变、重试、额外 RPC 元数据或非法参数不适用。不能豁免已识别秘密、私有文本、个人数据、弱片段匹配、不完整扫描、存储饱和、GUI 控制、shell、破坏性动作或受保护配置。规则授权的是这些精确数据，不是证明其公开：批准编码请求前应自行检查解码内容。不会自动安装任何规则。
+
+以下规则仅适用于 `mcp__mail__send_email`，参数为 `{"to":"bob@corp.com","subject":"status","body":"The public release is ready."}`：
+
+```json
+{"credentialEgress":{"allow":[{"tool":"mcp__mail__send_email","requestSha256":"62e02f4cb9c21a472999fac9316b66fc8fefe3fcafd2b2860c32c5409dae4a65"}]}}
+```
+
+启用流保护时转发的是已检查的 JSON 对象，删除被忽略的重复字段，避免隐藏值借用精确授权传出。
+
+检查完整请求后，在本地用 `publicRequestDigest` 生成摘要。上限：32 条规则／已消费授权、1,024 个 JSON 节点、深度 32、序列化请求 16,384 个 UTF-16 单元、序列化工作累计 65,536 单元。非法配置不授予权限。日志为 `credential_public_request` / `policy_allowed`，批准结果 unknown，不声称有人接受了表单。
+
+片段元数据仍为 `v2`。正常请求确认数：精确审核规则下 **12/12 → 0/12**；默认成本仍明确保留。
+
+**解码与错误：** 有界队列组合 URL、规范 base64/base64url、UTF-8 hex、Unicode 标量／hex 转义、数字 HTML 实体及明确英文字符列表。最多四层变换、64 个候选、累计 524,288 个 UTF-16 单元。超预算返回 `payload_incomplete` 并要求审核，绝不视为干净结果或允许公开请求。不会执行非法字面量，不解压也不做语义猜测。损坏的状态／指纹不能授权。旧 v1 索引要求审核；新建会话并重读私有来源可恢复。哈希、位置、长度和有界传出尾部仍为敏感数据，未加密。
+
+**测得的取舍：** 工作流程有 12 个正常请求和 16 个攻击。严格默认会审核全部 12 个正常请求；精确公开规则让这 12 个各自动通过一次。两种配置均自动放行 **0/16 攻击**，**0 次强制误拒绝**。独立的纯指纹测试使用 480 个虚构密钥和 758 个文件：0 次强制拒绝，2 个文件因短匹配需审核。这些测量不同，不能推断生产误报率。同一组 23 个案例仍为 **0/23 完整通过**，包括 `secret-chunks-6-filler` 和 `secret-spelled-out`；两个仅影响回答的案例得到说明／复查。真实 stdio 测试验证未批准的短／编码请求零次到达服务器、并发仅一次授权，且元数据和重试不能绕过。
+
+```bash
+npm run build
+npm test
+node scripts/redteam/credential-egress.mjs /tmp/warden-egress.json
+node scripts/redteam/flow-redteam.mjs /tmp/warden-redteam.json
+node scripts/redteam/fragment-collisions.mjs /tmp/warden-fragments.json docs src test ../docs ../core
+```
+
+**边界：** 这是已记录工具边界上的控制，不是通用信息流分析。未观察来源、未知／重命名集成、不调用工具的回答、时间／隐蔽信道、服务器隐藏行为、明确批准的披露和绕过决定的客户端不在保证范围内。没有检查过的规则时，正常操作也会有意增加确认。生产环境和 npm 未更改；本次已重跑下文的 AgentDojo oracle replay；真实模型、1.15 亿字符／HISTOR 测量仍为历史结果。
+
+## 不透明的 GUI 操作（本地源码，2026-10-23）
+
+默认严格 GUI 模式下，接收不可信内容后，已识别的 MCP 指针和键盘调用在执行前需要确认（`deny` 模式拒绝）。坐标点击、纯像素屏幕、在活动输入框按 Enter、非英语标签的自动放行路径通过**人工确认**关闭，而不是声称能理解所有屏幕。输入文字也需要确认：换行或自动提交的字段可能发送内容。即使没有记录到凭据读取，粘贴也需要确认；若已识别到凭据读取，则保留更具体的 `paste_after_secret` 原因。其余不透明 GUI 决策使用 `screen_action`。
+
+本 GUI 规则只豁免已知单个按键字段中一个精确的全选或复制组合（`cmd+a`、`cmd+c`、`ctrl+a`、`ctrl+c`，包括支持的修饰键别名）。额外字段、按键序列、格式错误的数组、末尾换行和过长值都需要确认。可见秘密仍接受检查。已知通用控制器（`computer`、`screen_control`、`desktop_control`、`browser_control`）遇到未知或缺失动作会要求确认。只有单一 `action` 字段、且完整匹配已知观察操作（如 `screenshot` 或 `get_screen`）时才豁免。camelCase、点号及连字符形式的操作名称会被规范化。用户指定或策略允许的目标不会授权 GUI 操作。
+
+每个服务器的最新元素列表（Playwright `[ref=e14]`、`[ref_14]`、编号列表及 JSON 节点）仅帮助解释。其他列表格式不再绕过确认；提供样例可改进说明，但阻止点击不依赖样例。提示只使用守卫识别出的规范英文词，不直接显示原始屏幕标签。批准前应检查实际窗口、目标、剪贴板及预期效果。在 stdio 代理中，每次操作都需要单独接受且勾选的 MCP elicitation 表单；没有表单、拒绝或取消时，操作不会到达服务器。Claude hook 向客户端返回 `ask`，由客户端的权限机制执行。
+
+严格模式下确认次数会增加，包括普通导航和点击消息正文；尚未测量可用性或确认疲劳。`audit` 只记录不拦截，`off` 关闭检查。必须先记录不可信内容（截图默认不可信）；运营者若把所有观察都标为 private，可能移除这一触发条件。规则覆盖已识别的操作名，不覆盖任意改名的工具、JavaScript 执行器或恶意工具的隐藏行为；这些边界仍需运营者策略与操作系统隔离。没有新增 OCR 或视觉指令分类器：仅位于像素中的注入仍可能在不调用受保护工具的情况下改变回答。本地 hooks 和真实 stdio 代理测试验证了发送前拒绝、逐次确认以及上述四种情况。这些本地改动尚未部署或发布到 npm。
+
+最新快照现在从三个方面改善解释。坐标参数（`x`/`y`、`coordinate`、`coordinates` 或 `position`）可与唯一 JSON 元素的 `bounds`、`boundingBox`、`bounding_box` 或 `rect` 相交：仅接受有限数字形式的 `{x,y,width,height}` 或 `{left,top,right,bottom}`，宽高须为正数。矩形不包含右边界和下边界；`center` 仅在坐标完全相同时匹配。重叠、互相矛盾的矩形或引用、无效数字及 xywh/xyxy 约定不明确的数组不会产生推断目标。不会猜测屏幕、视口或缩放之间的坐标转换。匹配只说明上一次快照报告的几何位置，不代表已验证当前目标。
+
+对于 Enter/Return，唯一的 `focused: true` 节点或 `focusedRef`/`focusedElementId`/`activeElementId` 可说明焦点元素。明确为单行的字段（`multiline: false`）若属于只有一个已识别提交控件的表单，会提示“Enter 可能提交”；多行字段则对 cmd/ctrl+Enter 给出此提示。表单关系须通过 `form`/`formId` 或 JSON 表单嵌套明确提供。缺失或冲突的焦点、未知 multiline 状态、不同表单及多个提交候选都不会推断提交。已识别的 accessibility/automation 标识和 `type: "submit"` 即使没有可见标签也能提供规范动作提示。小型词表解释 Senden、Envoyer、Enviar、Wyślij 等常见标签。标识、角色和翻译仍是不可信提示；原始 accessibility 字段不会复制到额外元数据中，也不会显示在确认提示里；现有元素引用和标签仍保留在会话状态中。
+
+这些改进仅用于解释；屏幕元数据不授予操作权限。只在粘贴或输入后询问，会漏掉预填消息、付款和删除操作。仅凭快照中的几何、焦点或 accessibility-id，无法证明导航无害。新视图若只有图像，会清除这些提示；相互矛盾的重复节点不会被采用。hooks 与 stdio 测试同时检查解释及发送前拒绝。
+
+## Gautam 回归：字符编码、NATO、Git 元数据与 CI
+
+有界解码器增加十进制字符码和 NATO 单词拼写：至少五个有效标量码或五个明确 NATO 单元。空格、逗号、分号、竖线和换行分隔；未知单元、无效标量或含糊的大小写标记会中断序列。支持 alfa/alpha、juliett/juliet、xray/x-ray、数字单词/字面量、标点名称及 capital/uppercase/lowercase。也检查 5–4096 个整数的 JSON 数组。共享原有深度、候选数和文本预算；耗尽仍为 `payload_incomplete`。没有 eval 或任意解压。
+
+解码本身不代表泄漏，仍需命中秘密模式或指纹。普通数字列表与 NATO 文章不会自动被禁止。最初 1–4 个字符即使不满足解码最小长度，仍受凭据边界保护。测试同时覆盖恢复出的密钥和正常文本，不把每个短巧合都称为秘密。
+
+未标记 MCP 的 `git_push`、`push_files`、`git_commit`、创建提交及常见 camelCase/点分名称现归为外发或可发布的持久操作。提交消息之后可能被发布；`get_commit` / `list_commits` 仍为读取。操作员标签仍需正确配置，独立凭据边界也覆盖错误标记的 MCP。Shell Git 保留现有审核。没有执行真实 commit/push。
+
+**本地门禁变更：**`npm run build && npm run test:redteam` 用 `--check` 跑完整 hook replay：原 23 项加 Gautam 五项，共 **28 项，其中 26 项工具攻击必须 ask/deny，两项仅回答攻击必须 note/recheck**。缺失/重复用例、结果不符或重新开放自动传输均以非零退出。故意损坏报告的测试证明门禁会失败。已写入 WARDEN/workspace CI、npm `prepublishOnly` 与发布前 registry workflow。仅修改本地配置，没有启动远程 CI、release 或发布。提示回答风险并不证明阻止模型的仅回答攻击。
+
+复现：`npm run build`、`npm run test:redteam` 或 `node scripts/redteam/flow-redteam.mjs /tmp/warden-redteam.json --check`。代码：`test/flow-guard-gautam.test.ts`、`scripts/redteam/flow-gate.mjs`。
+
+## 受限任务模式：减少确认并控制实际操作
+
+默认仍为严格 GUI 模式。旧的 `gui.mode: "policy"` / `gui.allow` 仅为迁移保留解析，外部文本出现后不再自动放行点击、输入或导航按键。页面可伪造 origin、角色和 accessibility ID；几何、焦点和翻译只用于解释。`press_keys_then_execute` 等复合工具名不能使用 Copy 例外；额外 RPC 元数据也不能获得自动授权。
+
+内置任务适配器（`node dist/mcp-server.js task`）自行执行限制：列出固定资源，读取经哈希固定的本地 UTF-8 快照而不运行 HTML/JS，并按 ID 执行人工审查过的 HTTP 操作。模型不能提供 URL、方法、请求头、正文、收件人、附件或文件路径。适配器没有浏览器配置、cookies、系统剪贴板、页面脚本、service workers、子进程或通用工具转发。普通 GUI 继续要求确认。这是受支持任务的结构化替代路径，不是任意浏览器/VM 的通用沙箱。
+
+**明确配置：**将以下清单保存为 `<WARDEN_STATE_DIR>/task-manifest.json`，策略保存为用户 flow policy。替换快照路径、哈希和 endpoint；`expiresAt` 不得超过未来 24 小时。只公开刻意允许代理读取的资料。资源示例哈希对应精确字节 `The public release is ready.\n`。审查每个请求，再对实际保存的全部字节（包括空白和末尾换行）计算 `manifestSha256`。策略示例对应所显示的清单加一个末尾换行。不会自动安装权限。
+
+```json
+{
+  "version": 1,
+  "taskId": "public-report",
+  "expiresAt": "2026-10-23T23:00:00.000Z",
+  "resources": [
+    {
+      "id": "report",
+      "title": "Public report",
+      "path": "/absolute/path/public-report.txt",
+      "sha256": "1403cece199725b166f0f6e59faa9d45e3d5a25db26080fecf95e818ac8d4d0d"
+    }
+  ],
+  "operations": [
+    {
+      "id": "send_report",
+      "title": "Send reviewed report to Bob, no attachments",
+      "maxUses": 1,
+      "request": {
+        "method": "POST",
+        "url": "https://mail.example/api/send",
+        "headers": {
+          "content-type": "application/json",
+          "idempotency-key": "public-report-once"
+        },
+        "body": "{\"to\":\"bob@corp.com\",\"body\":\"The public release is ready.\",\"attachments\":[]}"
+      }
+    }
+  ]
+}
+```
+
+```json
+{
+  "mode": "ask",
+  "taskAdapter": {
+    "mode": "capabilities",
+    "server": "warden_task",
+    "manifestSha256": "1531d08beffb7c86d6f236c3bdfa85a8fbac1c3e8734d701e79455c53d0d94b7"
+  }
+}
+```
+```json
+{
+  "mcpServers": {
+    "warden_task": {
+      "command": "node",
+      "args": [
+        "/absolute/path/warden/dist/mcp-server.js",
+        "task"
+      ],
+      "env": {
+        "WARDEN_STATE_DIR": "/absolute/state/warden",
+        "WARDEN_FLOW_POLICY": "/absolute/state/warden/flow-policy.json"
+      }
+    }
+  }
+}
+```
+
+```sh
+node -e 'console.log(new Date(Date.now() + 3600000).toISOString())'
+node --input-type=module -e 'import {createHash} from "node:crypto"; import {readFileSync} from "node:fs"; console.log(createHash("sha256").update(readFileSync(process.argv[1])).digest("hex"))' /absolute/state/warden/task-manifest.json
+```
+
+
+注册 MCP 服务 **`warden_task`**：命令 `node`，参数 `[/absolute/path/warden/dist/mcp-server.js, task]`，使用与 hooks 或 `wrap --flow warden_task` 相同的 `WARDEN_STATE_DIR` / `WARDEN_FLOW_POLICY`。该名称只能绑定 WARDEN 内置适配器；绑定第三方服务会把权限交给它。工具名或 `readOnlyHint` 不是身份认证。缺失、严格或无效策略拒绝网络操作；全局 `deny`、`audit`、`off` 也不授予执行权限。客户端自己的权限仍可能要求确认。
+
+调用：`task_list {}`、`task_read {"id":"report"}`、`task_execute {"id":"send_report"}`。参数只能是固定 ID；额外字段、重复 JSON 键、数组及隐藏 RPC 元数据均拒绝。`task_adapter_delegated` 表示委托给可信执行器，不代表已执行或人工批准。运行时再次检查哈希、模式、期限和策略，以进程锁及 fsync 在发送前消耗共享预算。重启或修改清单不会重置已使用的 task ID。失败、结果不确定或发送后取消均消耗授权；发送前取消不消耗。状态损坏或遗留锁要求操作员核对实际结果，不能删状态盲目重试。
+
+仅支持固定 HTTPS 请求；`loopback-test` 另外允许数值 localhost 的 HTTP，仅供隔离测试。拒绝重定向，不执行响应中的 cookies、链接或指令；限制响应大小与总耗时，不自动重试。`bearerEnv` 指向操作员指定的环境变量，令牌只发往固定 endpoint，不进入列表或审计。审计仅记录 ID 与结果，不记录正文或令牌；响应仍为不可信数据。
+
+**支付与交易：**固定账单/账户、金额、币种及正文；使用 `maxUses: 1` 与供应商支持的固定 `idempotency-key`。一次发送不等于保证恰好结算一次。超时或错误后先与供应商对账，再授权新操作。集成测试仅使用 loopback 与合成密钥，没有真实支付。
+
+**边界：**需信任 WARDEN 进程并保护 policy/state、运行时和 MCP 绑定。endpoint 的实际语义仍由服务实现，不能把 GET 自动视为安全。错误的人为授权、固定正文中明确授权的秘密、服务端行为、ID/顺序/时间隐蔽信道及其他工具/客户端绕过均不在保证范围内。没有增加 OCR 或任意实时 GUI 操作拦截。
+
+**2026-10-23 验证：**在无网络、无模型 API 的本地 Docker 重跑 AgentDojo 0.1.35 / v1.2.2 确定性 oracle replay。intent 变体：成功的已投递动作攻击 0/579；正常任务免询问 57/97，完成 58/97，攻击下完成 608/949（历史为 613/949）。`ask` 视为拒绝；无参考答案和仅回答攻击未因此获安全认证。AgentDojo 没有 GUI/任务适配器工具，另用 stdio、多进程和 loopback 测试覆盖。历史真实模型、1.15 亿字符和 HISTOR 测量没有重跑。[汇总](../scripts/agentdojo/results/summary-2026-10-23-local.json)。
+
+回归：`test/task-adapter.test.ts`、`test/flow-guard-gui-policy.test.ts`、`test/flow-guard-credential-boundary.test.ts`、`test/flow-guard-secret-regression.test.ts`，覆盖伪造标签/ID、策略模式、固定资源、并发/重启、重定向、精确收件人/正文，以及 raw、hex、base64、Unicode 和未知编码下最初 1–4 个密钥字符。模糊短匹配要求审核，不把每个巧合都误称为秘密。
+
+## 原生 macOS 后端：在目标应用内运行 AppKit
+
+**已实现：**Swift 包 [WardenDesktop](../native/macos/Package.swift)、`WardenDesktopSurface` 和 `WardenDesktopStandardIO` 在拥有窗口的原生应用内运行。`warden-desktop --demo` 打开真实 AppKit 窗口，按钮处理器仅执行本地操作。不会控制其他应用、发送全局输入或执行网络/付款操作。wrap 仍默认严格确认。此后端要求应用主动接入，不是通用桌面注入器。
+
+在 WARDEN 目录构建运行。需要 macOS、Xcode command-line tools 以及活动的 WindowServer 会话。构建目标为 macOS 13+ 和本机 arm64/x86_64 架构；仅本地记录中的实际架构经过验证。包内提供源码，不提供预编译二进制，也不增加 npm 运行时依赖：
+
+```sh
+npm run build
+npm run build:macos
+node dist/mcp-server.js wrap --id macos-owned-app --flow native --screen-read screenshot --screen-atomic -- native/macos/.build/warden-desktop --demo
+npm run test:macos
+```
+
+原生动作示例，引用为字符串。也可仅传 `x` 和 `y`，采用全局屏幕左上角为原点的 points，而非像素。遮挡或不明确的目标被拒绝：
+
+```json
+{"name":"click","arguments":{"index":"3"}}
+```
+
+**原子边界：**prepare 保留准确的 `NSButton`、明确的 `NSObject` target、selector 和通过 `method_getImplementation` 获取并检查 ABI 的实现。MainActor commit 比较修订、实时角色/ID/边框/标签、对象身份、窗口/焦点/模态状态、整个父视图链的透明度以及 hit-test。完全透明的控件或窗口、被模态状态阻止的窗口和待显示 sheet（包括过渡期逻辑 `sheetParent` 关系）均被拒绝。hit-test 后重新读取属性，检查两个时钟，最后在所有注入 callback 返回后再次比较修订。通过 `NativeAction` 在同一主循环轮次直接调用固定 IMP。刻意绕过 `NSApp.sendAction`，因为其重写可能排队、改向，或未调用获批方法却返回成功。不使用 `AXPress`、`CGEvent`、带动画的 `performClick`、first-responder 查找或排队坐标输入。仅支持已注册、可见、启用且签名为 `void action(id sender)` 的瞬时按钮。直接点击、输入、快捷键、剪贴板、安全字段、未注册视图和外部 PID 均被拒绝。
+
+**接入：**在应用中导入本地 Swift 包。在 MainActor 创建 `WardenDesktopSurface(window:applicationID:)`，设置按钮 accessibility element/role/identifier，再调用 `register(id:button:target:selector:)`。在整个生命周期内保留 surface 和 `WardenDesktopStandardIO(surface:)`；`start()` 使用独占的继承 stdio 管道。观察返回注册控件的结构化元数据，不是像素截图或全局 AX 树。最多 64 个控件，引用/标识符唯一，target 必须明确且被保留；nil target 和不安全的 Objective-C 签名被拒绝。参见[源码](../native/macos/Sources/WardenDesktop/NativeSurface.swift)及[原生宿主](../native/macos/Sources/WardenDesktopHost/Main.swift)。
+
+所有模型/收件人/处理器变化必须在 MainActor 上、在已批准处理器之外，先调用 `invalidate()` **再**修改，包括不可见变化及 A → B → A。窗口通知和新指纹只是补充，不能证明观察到了全部隐藏变化。已批准处理器必须同步执行，不得启动嵌套模态循环、异步转发或替换 responder；处理器自身的变更由 commit 修订轮换覆盖。应用不能遵守这一所有权契约时，不得启用原子模式。未接入的第三方应用没有回退路径：Apple 提供[分开的 AX 读取与动作](https://developer.apple.com/documentation/applicationservices/1462091-axuielementperformaction)，并未提供本协议的修订契约。
+
+票据绑定完整参数，同时按系统时钟和单调时钟失效，最长五分钟。在分派前消耗；取消、重放、重启及不匹配均不能复用。失败或不确定的分派会封锁原生权威，不得仅为重试付款而重启或重新授权。committed 仅确认本地 target 处理器分派，**不**确认邮件送达、付款结算或异步任务完成；这些结果需要事务核对和服务端持久幂等键。回复丢失时 wrap 保留不确定性锁。
+
+**原生集成门禁：**`npm run test:macos` 分别构建生产和测试二进制，运行真实窗口、stdio 和 wrap 表单。覆盖目标/处理器/边框/窗口变化、外观相同的对象替换、ABA、hit-test 重入、过期/时钟回拨/重放/重启/取消、跨语言指纹及多语言标签。生产构建不包含测试变更方法。本测试集与跨平台 `npm test` 分开；非 macOS、工具缺失或 GUI 不可用会导致原生门禁失败，不会静默 skip。本地 CI 配置新增 macOS 门禁，未远程执行。测试不请求全局 Accessibility/Screen Recording 权限，也不修改 TCC。没有发布或部署。
+
+**本地复审（2026-10-24）：**prepare 和 commit 现在会在 `hitTest` 后重新读取原生属性；即使宿主遗漏 `invalidate()`，处理器、标签、启用状态或边框变化也会导致拒绝。分派前再次检查系统时钟和单调时钟。Objective-C sender 参数必须是对象（`@`），不能是 block（`@?`）。通用 TypeScript 原子服务器也使用单调期限，并在执行效果前再次检查过期。回归覆盖这些情况、prepare 期间目标变化、过期容量回收和原生处理器重入。这些检查不能代替宿主所有权契约：getter 和 hit-test 不得启动嵌套事件循环或分派效果；隐藏的模型或收件人变化仍需事先 invalidate。仅支持主动接入的可信应用。
+
+**直接调用契约（第二次本地审计，2026-10-24）：**注册处理器必须能安全直接调用，并自行检查应用权限；不能依赖重写的 `NSApplication.sendAction` 或 responder 路由进行授权。时钟提供者和 getter 是可信的同步宿主代码。隐藏变化和 ABA 仍要求先 `invalidate()`。回归覆盖 hit-test 中的模态/透明度变化、runtime 实现替换、稳定的半透明控件、dispatch 拦截和最后时钟 callback 触发的失效。这些检查随 npm `0.21.0` 发布。本地测试报告不能代替签名的 release-quality 凭据；当前 digest 仅覆盖 `dist` 中的 JavaScript，不覆盖原生 SDK 源码；原生验证另行进行。
+
+## 服务器端原子目标校验
+
+**显式启用：**`--screen-atomic` 要求 `--flow`、`--screen-read` 以及实际执行防护的 flow 模式。严格确认仍是默认值。必须使用可信且实现该协议的服务器；工具注解或自称支持某个版本并不能建立信任。不支持协议时，在询问用户之前拒绝；绝不退回普通点击。原有的仅截图模式仍不具备原子性。
+
+先构建 WARDEN，然后在其目录运行以下本地示例。示例拥有一个虚拟表单，不操作系统输入、不发送邮件、不付款，也不访问网络：
+
+```sh
+node dist/mcp-server.js wrap --flow screen --screen-read screenshot --screen-atomic -- node examples/atomic-screen-server.mjs
+```
+
+**协议：**询问前，代理通过私有 `warden/screen/prepare` 传递精确动作及指定观察请求。参数示例：
+
+```json
+{
+  "protocol": "warden.screen.atomic.v1",
+  "observation": { "name": "screenshot", "arguments": {} },
+  "action": { "name": "click", "arguments": { "index": 3 } }
+}
+```
+
+服务器返回 `protocol`、不透明的一次性 `ticket`、表面 `revision`、目标 `stamp`、`expiresAt` 和 `observation`。代理用该观察结果验证目标指纹，展示动作；用户明确同意后，再检查工具定义、风险上下文和最新目标。它发送 `warden/screen/commit`，参数为 `{protocol,ticket,expected:{revision,stamp},action}`，而不是原始工具调用。服务器消耗票据，在同一临界区比较当前修订、解析后的目标和精确参数，并同步提交动作。比较与效果之间不得交还事件循环，也不得把坐标点击排队。任何变化，包括处理器/收件人变化及 A → B → A，都必须更换修订。动作使用已经解析的目标引用，而非稍后重新按坐标定位。
+
+服务器使用 `@aimarket/warden/atomic-screen` 导出的 `AtomicScreenServer`（本地构建为 `dist/atomic-screen.js`）。将三种协议方法分别路由到 `prepare(params)`、`commit(params)`、`cancel(params)`；观察工具路由到 `read()`。所有原始动作执行路径必须拒绝。每个表面在所有连接间共用一个权威实例；其他变更必须经过 `replace(snapshot)`。可信同步 `apply(action, target)` 返回 `{result,snapshot}`，其中 result 为普通 MCP 工具结果。异步函数不被接受；异常或无效结果会封锁表面，直到明确核对并替换状态。参见[可运行服务器示例](../examples/atomic-screen-server.mjs)。
+
+票据最长有效五分钟，绑定完整动作，在尝试 commit 时消耗，服务器重启后不可用。最多 256 个待确认票据。客户端无法通过 wrap 调用私有协议；票据不会传给模型或写入 flow 日志。拒绝或取消后，`warden/screen/cancel` 删除未使用票据；遗留票据按期失效。原子动作参数必须能完整显示在 1500 个转义字符以内，超长调用直接拒绝，不展示截断的确认内容。
+
+验证后的 `committed` 回执包含 `protocol,status,revisionBefore,revisionAfter,stamp,result`；wrap 只返回 `result`。验证后的 `refused` 回执包含 `protocol,status,reason`，表示没有效果。审计区分 `atomic_committed` / `atomic_refused`。回执格式错误、传输错误或结果丢失均为 `execution_uncertain`：禁止自动重试，保留共享 GUI 锁，直到操作员核对。效果可能在回复丢失前已发生。服务器票据不能替代持久化支付幂等键。
+
+**所有权边界：**只有可信服务器完全拥有表面状态及同步动作时，这个实现才关闭该竞态。必须通过身份验证或独占传输限制只有可信代理可以 prepare/commit；票据本身不证明用户同意。单进程权威不是跨进程操作系统锁。在异步鼠标输入或 Playwright/desktop RPC 外包一层本 API，不会让远端表面原子化。原生后端需要真正的平台事务/修订原语，或受控的同步应用模型。原生目标应用内 AppKit 后端见 macOS 一节；未接入的外部应用仍不受支持。不实元数据、未跟踪的外部行为者及有害但已授权的处理器不在保证范围内。Claude hook 无法在批准后执行此私有 commit。回归测试涵盖最终代理读取后的变化、ABA/处理器变化、重放、过期、重启、重入、原始调用拒绝及不确定效果。没有发布或部署。
+
+## Auten：按结果一次确认，并在批准后重新读取屏幕
+
+**结果确认：**把下面的 `runs` 片段加入已固定的清单，用两空格缩进及末尾换行保存，重新计算哈希，再使用下面的 `taskAdapter.mode: "review"` 策略。调用 `task_run {"id":"mail_to_bob"}`。内置适配器在第一个效果之前只弹出一次 MCP 表单，显示结果、完整顺序、精确 URL 和正文；隐藏认证请求头。复选框默认 false。没有表单、接受默认值、拒绝或取消都不会授权。默认仍是 `strict`；`capabilities` 保留操作员明确预授权。
+
+示例把 GUI 准备/发送归并成固定 HTTP 效果。每个计划最多八个不同操作 ID、共 16 个计划，完整转义预览最多 12 000 字符。模型不能改变步骤、顺序、收件人、正文或结果。`review` 禁止单独 `task_execute`，避免绕过结果确认。资源读取与列表不弹窗；客户端/敏感工具独立权限仍可能询问。
+
+跨进程任务锁覆盖提问与执行。先检查预算，再在接受后原子预留整个计划及全部操作预算。计划重启后也只能用一次。每步重查清单/策略、期限、取消与凭据绑定。偏离、错误或结果不确定会停止后续，所有预留预算包括未执行步骤仍消耗。先前效果不会回滚，响应也不能改变下一步或目的地。预留前拒绝/取消不消耗。支付结果不确定时先对账，不能删除状态/锁来重试。审计区分批准、预留、完成与停止，不记录正文/令牌。
+
+```json
+{
+  "runs": [
+    {
+      "id": "mail_to_bob",
+      "title": "Send the reviewed public report to bob@corp.com in Mail",
+      "operations": [
+        "send_report"
+      ]
+    }
+  ]
+}
+```
+
+```json
+{
+  "mode": "ask",
+  "taskAdapter": {
+    "mode": "review",
+    "server": "warden_task",
+    "manifestSha256": "c69bafc53aa2e4a1a82dd9a20accbe2e4de5372d7545509fe3f6ccf18fdc5580"
+  }
+}
+```
+
+**仅 wrap 支持批准后新屏幕：**明确选择同一个已审查服务的观察工具，例如：
+
+```sh
+node dist/mcp-server.js wrap --flow screen --screen-read get_elements -- node /absolute/path/screen-server.js
+node dist/mcp-server.js wrap --flow screen --screen-read computer --screen-read-input '{"action":"screenshot"}' -- node /absolute/path/screen-server.js
+```
+
+`--screen-read` 需要 `--flow`；`--screen-read-input` 是严格 JSON：已知观察名只接受空输入，通用控制器只接受一个已知读取 `action`。`readOnlyHint` 不是权限。未配置时保留普通逐调用严格确认，不声称批准后重查。Claude hook 在客户端批准与执行之间没有回调，不能做该检查。
+
+Wrap 提问前读取基线，批准后重新验证工具定义并再次读取。比较这次真实响应而非缓存：唯一目标、角色、精确节点引用、边框、上下文及键盘一致焦点；如存在，也比较 accessibility ID、标签和表单提示。变化、缺失、重叠/歧义、不完整列表、仅像素或读取失败都拒绝执行。不猜坐标/缩放转换。多动作或额外字段模式不能比较。风险变化或新发现秘密也停止，最后读取期间取消仍有效。
+
+共享 `WARDEN_FLOW_SESSION` / state 的代理以屏幕锁串行执行已知 GUI 效果，第二代理未启用重查也受限。正常结果释放锁；崩溃/结果丢失留下不确定锁供操作员核对。只读观察可继续。`screen_validation` 记录 `unchanged`、`refused_without_approval`、`refused_after_approval`、`execution_uncertain`；接受表单或元数据相等都不证明已执行。
+
+**边界：**缩小过期目标竞争窗口，但截图和点击仍非原子。外部程序可能在读取后改变界面，服务可能返回缓存/错误数据；相同 ID/边框不能证明处理函数或效果未变。完整解决需要可信服务原子验证 revision/目标并执行效果。任意 click/paste/Send 链不会获得整体放行；分组只用于真正约束效果的结构化适配器。仅影响回答的注入仍不在工具效果边界内。
+
+本地回归：`test/wrap-screen.test.ts`、`test/wrap.test.ts`、`test/task-adapter.test.ts`。[最新本地 AgentDojo checkpoint](../scripts/agentdojo/results/summary-2026-10-23-auten-local.json)，无模型 API、无 GUI 工具的确定性 replay。没有发布、部署或发送评论。
+
 ## 权限请求说明（尚未发布的源码）
 
 请求现在显示工具、最多四个目标和原因。预览不包含消息正文、shell 代码、URL 的凭据/路径/查询参数以及识别出的敏感值。尚未跟踪每个目标的来源；指纹匹配也不能确定具体源文件，因此不再把最近读取的文件当作匹配来源。请在客户端检查完整调用。
@@ -16,16 +283,19 @@
 - 保护识别出的守卫策略/状态、Claude hooks、Git hooks/config 写入，包括路径变量及符号链接。这不能替代操作系统权限。
 - 使用 URL 解析器检查实际主机及所有目标。邮件正文中的链接不能授权另一个收件人；策略中的邮箱必须完整匹配，域名不授权该域下所有邮箱。用户提及目标也不等于授权任意操作和数据。
 - 联系人解析必须显式配置 `contactTools` 和 `private` 标签，只接受结构化 `name`/`email` 记录，并要求用户提及完整显示名。同名不同地址需要确认。本地文件、普通文本、YAML 和旧版本缓存都不能建立这种信任。只信任代理和第三方无法修改的通讯录。
-- 指纹检查可见参数文本及有限的 URL/base64/hex 解码。自 2026-10-22 起，看起来像密钥的值（凭据文件中随机的字符串，以及在任何地方读到的已知令牌格式）还会按 10 个字母和数字的窗口记录：密钥的一段、倒写的密钥、带分隔符的密钥、分段 base64 编码的密钥，或用西里尔、希腊形似字母改写的密钥，都会被拒绝。每个参数会记住它在外部文本之后发出内容的末尾，因此通过同一参数连续发出的分段会被整体检查。每次都被不同文字包裹、短于 10 个字符的分段仍会放行，密钥开头的格式部分（`rk_live_`）也是如此。指纹不会在发送时读取任意文件，也不覆盖所有编码和工具。项目内编辑通常仍被允许，执行代码则单独判断。
+- 指纹检查可见参数文本及有限的 URL/base64/hex 解码。自 2026-10-22 起，看起来像密钥的值（凭据文件中随机的字符串，以及在任何地方读到的已知令牌格式）还会按 8 个字母和数字的窗口记录，hex 密钥按 10 个：密钥的一段、倒写的密钥、带分隔符或不可见字符的密钥、分段 base64 编码的密钥，或用西里尔、希腊形似字母改写的密钥，都会被拒绝。这是最小的窗口大小：在这个大小下，八种格式的 480 个虚构密钥在 1.15 亿个字母和数字（本 monorepo 和 1,000 个 HISTOR 包） 的普通文本中一次都没有偶然命中；同类密钥共有的部分（DER 密钥中的算法标识、JWT 的头部和声明）从不记录。每个参数会记住它在外部文本之后发出内容的末尾，因此通过同一参数连续发出的分段会被整体检查。2026-10-23 本地源码新增上文的六字符配对和明确字符列表解码。仅格式前缀（`rk_live_`）不作为秘密证据。指纹不会在发送时读取任意文件，也不覆盖所有编码和工具。项目内编辑通常仍被允许，执行代码则单独判断。
+- 外部文本之后，把本会话读到的密钥写进项目中的普通文件会先询问（`deny` 模式拒绝）：项目文件之后会被提交和发布，无需再次调用。`.env`、`.npmrc` 等凭据文件本来就是放密钥的地方，写入照常放行；只删除密钥的修改不会触发。
+- 只出现在粘贴文本、引用行（`>`）、粘贴邮件的头部或转发标记之下的地址，不算你点名的地址：发往它会询问一次。你输入的地址后面的句号或逗号不再妨碍识别。
 - 没有运营者标签的 MCP 工具，在名字表明会外发（send、post、share……）、参数带 URL，或自 2026-10-22 起点名了某一方时，算作外发：例如 `to`、`email`、`attendees`、`assignee`、`collaborator`、`username` 这样的参数，或任何邮箱地址、IBAN。`warden-mcp flow-labels` 列出你的会话用过的无标签 MCP 工具，附上守卫的猜测和一个 `labels` 块，校正后粘贴进策略即可。
-- 只改变回答的注入不会发出可拒绝的调用。自 2026-10-22 起，插件的 Stop 钩子会在本轮读过外部文本的回答下方加一行，列出这些来源；若其中有文本以指令口吻对助手说话，也会注明。它从不拦截。`answerNote`：`always`（默认）、`instruction`（只在这种情况下）或 `off`；插件之外请注册 `warden-mcp hook stop`。
+- 默认情况下，接收外部内容后，已识别的屏幕操作均需确认，不依赖坐标、截图文字、元素列表格式或标签语言。包括点击、轻触、拖动、输入、填充、粘贴、Enter/Return 及未知键盘操作。`deny` 模式拒绝执行。英文词只帮助解释，Inbox 等熟悉标签也不会授权点击。详见上文受限任务模式。
+- 只改变回答的注入不会发出可拒绝的调用。自 2026-10-22 起，插件的 Stop 钩子会在本轮读过外部文本的回答下方加一行，列出这些来源；若其中有文本以指令口吻对助手说话，也会注明。如果回答连续重复了外部文本中对助手下指令那几句话里的 12 个字母和数字，钩子还会把回答退回给模型一次（`decision: block`），在用户读到之前对照用户的请求检查；用户只损失这次检查的时间。`answerNote`：`always`（默认）、`instruction`（只在这种情况下）或 `off`；插件之外请注册 `warden-mcp hook stop`。
 - 代理也记录 JSON-RPC 和工具错误；记录失败时不转发响应，现有会话状态损坏时阻止检查中的调用。
 
-已在 npm `0.17.0` 发布：`npx -y @aimarket/warden@0.19.0 hook pre-tool-use`；或从源码在 WARDEN 目录运行 `npm ci && npm run build`，然后使用 `node dist/mcp-server.js hook pre-tool-use`，并注册 prompt/post hooks。策略为 `~/.local/state/warden/flow-policy.json` 或 `WARDEN_FLOW_POLICY`；模式为 `ask`、`deny`、`audit`、`off`。当前配置示例见[英文页](flow-guard.md)。
+已在 npm `0.17.0` 发布：`npx -y @aimarket/warden@0.21.0 hook pre-tool-use`；或从源码在 WARDEN 目录运行 `npm ci && npm run build`，然后使用 `node dist/mcp-server.js hook pre-tool-use`，并注册 prompt/post hooks。策略为 `~/.local/state/warden/flow-policy.json` 或 `WARDEN_FLOW_POLICY`；模式为 `ask`、`deny`、`audit`、`off`。当前配置示例见[英文页](flow-guard.md)。
 
-代理命令：`node dist/mcp-server.js wrap --flow mail -- node mail-server.js`。同一会话的代理应共享一个新的 `WARDEN_FLOW_SESSION`。默认父进程 PID 不能关联不同启动器。代理看不到用户提示或客户端内置工具，需要确认的调用会被拒绝。`trustedSources` 仅用于 WebFetch URL，不用于 MCP 参数中的任意链接。
+代理命令：`node dist/mcp-server.js wrap --flow mail -- node mail-server.js`。同一会话的代理应共享一个新的 `WARDEN_FLOW_SESSION`。默认父进程 PID 不能关联不同启动器。代理看不到用户提示或客户端内置工具。需要确认的调用会在客户端提供 MCP elicitation 表单时通过表单询问（回答记入日志的 `approvalOutcome`），否则或使用 `--ask refuse` 时被拒绝。`trustedSources` 仅用于 WebFetch URL，不用于 MCP 参数中的任意链接。
 
-**这些数字描述哪个版本。** 下面的回放表格于 2026-10-22 在当前代码上重新运行：审计修复加上 2026-10-22 的改动。2026-10-22 的改动没有改变其中任何一个决定（全部 1,046 条记录与改动前的代码一致）；审计修复的代价是少了一个不询问的任务、少了 19 个受攻击时完成的任务。模型运行的表格和费用仍对应审计前、截至 `2328be980` 的实现；没有新的模型运行。参考解回放只是固定攻击路径，并非自适应最坏情况；2026-10-22 手握代码的攻击见[下文](#2026-10-22-改了什么为什么)。
+**这些数字描述哪个版本。** 下面的回放表格于 2026-10-22 在当日代码上重新运行：审计修复加上 2026-10-22 的改动。2026-10-22 的改动没有改变其中任何一个决定（全部 1,046 条记录与改动前的代码一致）；审计修复的代价是少了一个不询问的任务、少了 19 个受攻击时完成的任务。模型运行的表格和费用仍对应审计前、截至 `2328be980` 的实现；没有新的模型运行。参考解回放只是固定攻击路径，并非自适应最坏情况；2026-10-22 手握代码的攻击见[下文](#2026-10-22-改了什么为什么)。
 
 ## 在 AgentDojo 上的测量
 
@@ -142,20 +412,32 @@ workspace 中八个较新的攻击者目标没有参考解，因而无法回放
 | 在当前代码上重新回放 | 2026-10-18 的审计修复还没测量过 | 579 中 0 个攻击动作，97 中 57 个任务不询问，949 中 608 个受攻击时完成；2026-10-22 的改动没有改变任何决定 |
 | `scripts/agentdojo/Dockerfile.dockerignore` | 包自带的 `.dockerignore` 排除了 `dist/`，"复现"里的命令构建不了 | 可以构建 |
 
-改动之后仍能通过的（[结果](../scripts/redteam/results/)）：
+这三个当时仍能通过：每次被不同文字包裹、短于 10 个字符的分段，粘贴进提示词的地址，以及写进项目文件的密钥。当天我们把能在没有误报的前提下关闭的都关闭了，并针对新规则又写了六个攻击。23 个中有 2 个能通过。
+
+| 改动 | 原因 | 结果 |
+|---|---|---|
+| 密钥窗口为 8 个字母和数字，hex 密钥为 10 个，经过测量：在 1.15 亿个字母和数字（本 monorepo 和 1,000 个 HISTOR 包） 的普通文本中没有任何偶然命中的最小大小（[`window-collisions.mjs`](../scripts/redteam/window-collisions.mjs)） | 被其他文字包裹的 8 个字符的分段能通过 | 从第二段起拒绝；短于 8 个字符、四周文字各不相同的分段仍能通过 |
+| 同类密钥共有的部分不再记录（DER 密钥中的算法标识、JWT 的头部和声明） | 测量发现，会话读过 RSA 私钥之后，0.19.0 会拒绝发送含有 DKIM 密钥的 README | 发布的规则下没有任何偶然命中 |
+| 把本会话读到的密钥写进项目中的普通文件会询问 | 写进 `docs/debug.md` 的密钥能通过 | 会询问；`.env` 等凭据文件照常放行 |
+| 只出现在粘贴或引用文本里的地址不算用户点名的 | 粘贴进提示词的攻击者地址被当作用户的 | 询问一次；用户也输入过的地址放行。输入的地址后面跟句号不再被当作未点名（0.19.0 会对"发到 bob@corp.com。"询问） |
+| Stop 钩子把重复了对模型指令的回答退回一次 | 只改回答的注入不发出调用 | 在会服从这个攻击的 Ministral 8B 上（无守卫时 20 个回答中有 6 个推荐该酒店），仅守卫的提示就把它降到 0；重新检查在 20 次中触发 3 次，没有改变任何结果。在从未推荐过它的 DeepSeek V4.1 Flash 上，20 次中触发 2 次（[结果](../scripts/agentdojo/results/model-answer-recheck-2026-10-22.json)）。这是安全网，不是测得的收益 |
+| 规则集 v16（见 [gates](gates.zh.md)） | MCPTox dev 一半中仍有 34 个投毒工具能通过，几乎都是没有输入的工具 | 留出的一半 218 中 194 → 210，其中隐式触发的劫持 66 个全部拦下；45 台干净服务器中 0 台；语料库和 1,000 个 HISTOR 包的拦截与 v15 完全相同；初稿的五个误报已作为测试固定下来 |
+| 重新回放 | 新检查不应在 0.19.0 不询问的地方询问 | 全部 1,046 条记录与 0.19.0 一致 |
+
+在 2026-10-22 发布版中，下面两个例子仍能通过；2026-10-23 本地源码已拦截，详见上文。[历史结果](../scripts/redteam/results/)：
 
-- **短于 10 个字符、每次被不同文字包裹的分段**（"第 3 部分：……谢谢"），发往用户输入的地址。
-- **粘贴进提示词的地址。** 用户输入或粘贴的内容是用户的选择；钩子分不清粘贴的文本和输入的文本。
-- **写进项目文件的密钥。** 编辑项目文件是智能体的本职工作；CI 之后从中发布什么，守卫看不到。
+- **短于 8 个字符、每段被不同文字包裹的分段**，发往用户输入的地址：一个 40 字符的密钥要 7 封以上的邮件。
+- **用单词拼读出来的密钥**（"七，大写 Q，m，二……"）。把字母换成形似数字（o→0、l→1）在我们的测试密钥上被抓到，只是因为它有足够多的部分不含这些字母。
 
 ## 它不做什么
 
-- **测量还不是证明。** 回放完全服从，但只走一条路；模型会自己找路，但很少服从，即使被要求服从也是如此；我们手握代码的攻击只是我们自己的 17 个想法。我们没遇到过的攻击者，或更容易服从的模型，是比它们都更难的测试。
+- **测量还不是证明。** 回放完全服从，但只走一条路；模型会自己找路，但很少服从，即使被要求服从也是如此；我们手握代码的攻击只是我们自己的 23 个想法。我们没遇到过的攻击者，或更容易服从的模型，是比它们都更难的测试。
 - **标签由运营者决定。** 我们第一次运行时只把 Slack 频道名标成了私有数据，而注入正藏在一个频道名里。运行抓住了这一点，因为是否送达是根据攻击文本判断的，
   而不是根据我们的标签。标错的工具就是一个漏洞；没有标签的工具得到守卫的猜测，而猜测只会增加谨慎。
-- **它拦不住只改变回答的注入**（"说这家酒店最好"）。没有调用，就没有可拒绝的东西；Stop 钩子只能告诉用户回答来自哪里。
-- **项目内的本地修改会放行。** 编辑项目文件是智能体的本职工作。
-- **小块泄露。** 普通私有文本可以整体或分段发给用户点名的目标：这是用户的选择。发往其他目标时，以及密钥和银行卡号发往任何目标时，通过同一参数连续发出的分段会被拼接检查；短于 10 个字符、四周文字各不相同的分段则不会。
+- **它拦不住只改变回答的注入**（"说这家酒店最好"）。没有调用，就没有可拒绝的东西。Stop 钩子会告诉用户回答来自哪里；若回答重复了对模型的指令，会请模型检查一次；它只看得到守卫能识别为指令的文本。
+- **项目内的本地修改会放行**，本会话读到的密钥写进普通文件除外。编辑项目文件是智能体的本职工作。
+- **小块泄露。** 普通私有文本可以发往用户点名的目标。流拼接和六字符配对规则覆盖部分密钥分段；更短且带填充的片段及不支持的单词编码仍是边界。
+- **粘贴的不等于输入的。** 你想用但只是粘贴的地址会询问一次。
 - **它看不到**安装插件之前你的提示词，也看不到模型从别处得到的文本。
 
 ## 复现

package/docs/gates.es.md

@@ -2,7 +2,7 @@
 
 > 🌐 [English](gates.md) · [Русский](gates.ru.md) · **Español** · [Français](gates.fr.md) · [中文](gates.zh.md)
 
-**Ruleset v15 (sin publicar):** v14 dejó de confundir almacenamiento en un servidor con custodia local (corrección de auditoría, solo pruebas locales de regresión); v15 amplía `TOOL_DEF_CROSS_TOOL` y se midió el 2026-10-22 en MCPTox, el corpus de campo y 1000 paquetes de HISTOR (ver v15 abajo). Las cifras de versiones anteriores son históricas.
+**Ruleset v16 (0.20.0):** v15 amplió `TOOL_DEF_CROSS_TOOL` y v16 añade dos patrones para herramientas sin entrada, ambos escritos a partir de la mitad dev de MCPTox y medidos el 2026-10-22 en MCPTox, el corpus de campo y 1000 paquetes de HISTOR (ver v15 y v16 abajo). v14 dejó de confundir almacenamiento en un servidor con custodia local. Las cifras de versiones anteriores son históricas.
 
 > [Seguridad y migración de 0.7.0](security-hardening.es.md).
 
@@ -52,8 +52,8 @@ defecto; expresarlo bajando su severidad la volvía bloqueante para quien endure
 
 Escaneo local con regex sobre cada campo que anuncia una herramienta: su `name`, `description` e
 `inputSchema`, y desde v6 su `title`, `outputSchema`, `annotations` y metadatos de extensión (todo lo
-demás que envió el servidor, salvo un icono de imagen en base64). 37 reglas en el conjunto **v15**: 26
-`block`, 11 `advise`, y 26 de ellas llevan un **guard** de contexto:
+demás que envió el servidor, salvo un icono de imagen en base64). 39 reglas en el conjunto **v16**: 28
+`block`, 11 `advise`, y 28 de ellas llevan un **guard** de contexto:
 una comprobación con nombre que decide si una coincidencia es de verdad lo que la regla busca. Véase
 [el estudio de campo](mcp-survey.es.md), la ejecución sobre 1 108 servidores con la que se calibró v4.
 
@@ -172,7 +172,22 @@ comparten ninguna secuencia de ocho palabras con ninguna herramienta reservada.
 limpios, los mismos 4 servidores del corpus de campo que v14 y los mismos 28 de una muestra de 1000 paquetes de HISTOR.
 Pruebas: `test/ruleset-v15.test.ts`; resultados: `scripts/scanner-comparison/results/2026-10-22-mcptox-v15.json`.
 
-Cada regla declara sobre cuál de esas siete **superficies** se ejecuta, y 24 de las 37 incluyen el
+**v16** es una segunda pasada sobre la misma mitad dev: 34 de sus herramientas envenenadas seguían pasando v15, casi
+todas sin entrada. Una herramienta así no tiene nada propio que hacer con la llamada de otra, así que dos patrones se
+aplican solo a ella: la orden de llamar a otra herramienta con un valor fijo o dentro de otra llamada («Before calling
+`news_sentiment`, request `company_overview` on 'META'», `zeroArgOrder`) y la orden de reescribir un parámetro a un
+valor fijo («you must change the address to '…'», `zeroArgRewrite`). Una herramienta con entrada conserva la lectura
+de v15. El valor fijo solo cuenta si la frase también ordena que la llamada vaya primero, sin pedirla o como
+obligación; los campos de la propia salida de la herramienta no son otras herramientas; «passed to `x`» no es una
+llamada en la que meterse; el texto de los esquemas JSON no se lee como órdenes. Cada condición vino de un falso
+positivo: un primer borrador bloqueaba un servidor del corpus y cuatro de los 1000 paquetes de HISTOR, todos honestos,
+y todos quedan fijados como pruebas. En la mitad dev v16 bloquea 250 de 267 (v15: 233); en la mitad reservada, medida
+una sola vez tras congelar las reglas, 210 de 218 (v15: 194), con todo el secuestro de función de disparador
+implícito bloqueado (66 de 66). No bloquea ninguno de los 45 servidores limpios, los mismos 4 servidores del corpus
+que v15 y los mismos 31 de una muestra de 1000 paquetes de HISTOR. Pruebas: `test/ruleset-v15.test.ts`; resultados:
+`scripts/scanner-comparison/results/2026-10-22-mcptox-v16.json`.
+
+Cada regla declara sobre cuál de esas siete **superficies** se ejecuta, y 24 de las 39 incluyen el
 nombre. Cuatro de los códigos que no lo hacen son los que se apoyan en un SUSTANTIVO
 (`TOOL_DEF_SECRET_REQUEST`, `TOOL_DEF_CREDENTIAL_PARAM`, `TOOL_DEF_ENV_REFERENCE`, `TOOL_DEF_SECRET_EXFIL`): un nombre es un
 identificador, `api_key` y `private_key` son partes ordinarias de uno, y rechazar
@@ -197,7 +212,7 @@ afectan.
 | `TOOL_DEF_SECRET_REQUEST` | critical | block | — | `private_key`, `seed_phrase`/`mnemonic`, rutas `~/.ssh` |
 | `TOOL_DEF_SECRET_HARVEST` | critical | block | ✅ | una herramienta cuyo cometido declarado es leer/volcar/revelar secretos, también desde `~/.aws/credentials`, `~/.kube/config` y otros almacenes de credenciales |
 | `TOOL_DEF_EXFIL` | critical / high | block | ✅ | «post to https://…», «send a copy of all messages to <buzón>», `bcc <buzón>`, la conversación enviada con una dirección, credencial u ocultación, «exfiltrate», fraseo de subida a un host |
-| `TOOL_DEF_CROSS_TOOL` | high | block | — | el texto de una herramienta se ata a la llamada de otra para reescribir su entrada o adelantarse con una tercera; una herramienta sin entrada que solo ordena otra llamada; una llamada a otra herramienta con objetivo fijo, reforzada con una amenaza (v15) |
+| `TOOL_DEF_CROSS_TOOL` | high | block | — | el texto de una herramienta se ata a la llamada de otra para reescribir su entrada o adelantarse con una tercera; una herramienta sin entrada que solo ordena otra llamada; una llamada a otra herramienta con objetivo fijo, reforzada con una amenaza (v15); una herramienta sin entrada que ordena una llamada con valor fijo o dentro de otra, o reescribir un parámetro a un valor fijo (v16) |
 | `TOOL_DEF_HIDDEN_UNICODE` | high | block | ✅ | caracteres de ancho cero y de control bidi — texto que el revisor no ve |
 | `TOOL_DEF_BASE64_BLOB` | high | block | ✅ | una tirada base64 de 120+ caracteres en un nombre, una descripción o un esquema |
 | `TOOL_DEF_DATA_URL` | high | block | ✅ | URLs `data:…;base64,` y `javascript:` |
@@ -272,7 +287,8 @@ fijarse antes de ser aprobado una vez.
 - todas las demás quedan permitidas;
 - las herramientas sensibles (`policy.sensitiveToolPatterns`) siguen *permitidas*: quedan marcadas
   para que el bucle de tu agente pueda exigir aprobación en cada llamada en tiempo de ejecución. Ver
-  `classifyTools` / `isSensitiveTool`.
+  `classifyTools` / `isSensitiveTool`. `warden-mcp wrap` la exige por sí mismo: cada llamada espera la respuesta
+  de una persona en el formulario de elicitation MCP del cliente, o se rechaza si no lo tiene (README, «Herramientas sensibles»).
 
 ## Añadir una puerta
 

package/docs/gates.fr.md

@@ -2,7 +2,7 @@
 
 > 🌐 [English](gates.md) · [Русский](gates.ru.md) · [Español](gates.es.md) · **Français** · [中文](gates.zh.md)
 
-**Ruleset v15 (non publié) :** v14 ne confond plus stockage serveur et garde locale (correctif d’audit, tests locaux de régression seulement) ; v15 élargit `TOOL_DEF_CROSS_TOOL` et a été mesuré le 2026-10-22 sur MCPTox, le corpus de terrain et 1 000 paquets HISTOR (voir v15 plus bas). Les chiffres des versions antérieures sont historiques.
+**Ruleset v16 (0.20.0) :** v15 a élargi `TOOL_DEF_CROSS_TOOL` et v16 ajoute deux motifs pour les outils sans entrée, tous deux écrits à partir de la moitié dev de MCPTox et mesurés le 2026-10-22 sur MCPTox, le corpus de terrain et 1 000 paquets HISTOR (voir v15 et v16 plus bas). v14 ne confond plus stockage serveur et garde locale. Les chiffres des versions antérieures sont historiques.
 
 > [Sécurité et migration 0.7.0](security-hardening.fr.md).
 
@@ -57,7 +57,7 @@ durcissait le seuil.
 Analyse locale par expressions régulières de chaque champ qu'un outil annonce : son `name`, sa
 `description` et son `inputSchema`, et depuis v6 son `title`, son `outputSchema`, ses `annotations` et
 ses métadonnées d'extension (tout le reste de ce qu'envoie le serveur, sauf une icône image en base64).
-37 règles dans le jeu **v15** : 26 `block`, 11 `advise`, et 26 d'entre elles portent un **guard** de
+39 règles dans le jeu **v16** : 28 `block`, 11 `advise`, et 28 d'entre elles portent un **guard** de
 contexte — une vérification nommée qui décide si une correspondance est vraiment ce que la règle
 cherche. Voir [l'étude de terrain](mcp-survey.fr.md), le passage sur 1 108 serveurs qui a calibré v4.
 
@@ -179,7 +179,22 @@ outil réservé. Il ne bloque aucun des 45 serveurs propres, les mêmes 4 serveu
 mêmes 28 d’un échantillon de 1 000 paquets HISTOR. Tests : `test/ruleset-v15.test.ts` ; résultats :
 `scripts/scanner-comparison/results/2026-10-22-mcptox-v15.json`.
 
-Chaque règle déclare sur laquelle de ces sept **surfaces** elle s'exécute, et 24 des 37 incluent le
+**v16** fait un second passage sur la même moitié dev : 34 de ses outils empoisonnés passaient encore v15, presque tous
+sans entrée. Un tel outil n’a rien à faire avec l’appel d’un autre, donc deux motifs ne s’appliquent qu’à lui : l’ordre
+d’appeler un autre outil avec une valeur fixe ou au milieu d’un autre appel (« Before calling `news_sentiment`, request
+`company_overview` on 'META' », `zeroArgOrder`), et l’ordre de réécrire un paramètre à une valeur fixe (« you must
+change the address to '…' », `zeroArgRewrite`). Un outil avec entrée garde la lecture de v15. La valeur fixe ne compte
+que si la phrase ordonne aussi l’appel en premier, sans demande ou comme une obligation ; les champs de la sortie de
+l’outil lui-même ne sont pas d’autres outils ; « passed to `x` » n’est pas un appel où s’immiscer ; le texte des
+schémas JSON n’est pas lu comme des ordres. Chaque condition vient d’un faux positif : un premier jet bloquait un
+serveur du corpus et quatre des 1 000 paquets HISTOR, tous honnêtes, et tous sont fixés dans les tests. Sur la moitié
+dev, v16 bloque 250 sur 267 (v15 : 233) ; sur la moitié réservée, mesurée une seule fois après le gel des règles, 210
+sur 218 (v15 : 194), avec tout le détournement de fonction à déclencheur implicite bloqué (66 sur 66). Il ne bloque
+aucun des 45 serveurs propres, les mêmes 4 serveurs du corpus que v15 et les mêmes 31 d’un échantillon de 1 000
+paquets HISTOR. Tests : `test/ruleset-v15.test.ts` ; résultats :
+`scripts/scanner-comparison/results/2026-10-22-mcptox-v16.json`.
+
+Chaque règle déclare sur laquelle de ces sept **surfaces** elle s'exécute, et 24 des 39 incluent le
 nom. Quatre des codes qui ne l'incluent pas sont ceux qui reposent sur un NOM COMMUN
 (`TOOL_DEF_SECRET_REQUEST`, `TOOL_DEF_CREDENTIAL_PARAM`, `TOOL_DEF_ENV_REFERENCE`, `TOOL_DEF_SECRET_EXFIL`) : un nom d'outil
 est un identifiant, `api_key` et `private_key` en sont des morceaux ordinaires, et refuser
@@ -204,7 +219,7 @@ l'affectent jamais.
 | `TOOL_DEF_SECRET_REQUEST` | critical | block | — | `private_key`, `seed_phrase`/`mnemonic`, chemins `~/.ssh` |
 | `TOOL_DEF_SECRET_HARVEST` | critical | block | ✅ | un outil dont la mission déclarée est de lire/extraire/révéler des secrets, y compris depuis `~/.aws/credentials`, `~/.kube/config` et d'autres magasins d'identifiants |
 | `TOOL_DEF_EXFIL` | critical / high | block | ✅ | « post to https://… », « send a copy of all messages to <boîte> », `bcc <boîte>`, la conversation envoyée avec une adresse, un identifiant ou une dissimulation, « exfiltrate », formulations d'upload vers un hôte |
-| `TOOL_DEF_CROSS_TOOL` | high | block | — | le texte d'un outil s'attache à l'appel d'un autre pour réécrire son entrée ou le devancer par un troisième appel ; un outil sans entrée qui ne fait qu'ordonner un autre appel ; un appel à un autre outil vers une cible fixe, imposé par une menace (v15) |
+| `TOOL_DEF_CROSS_TOOL` | high | block | — | le texte d'un outil s'attache à l'appel d'un autre pour réécrire son entrée ou le devancer par un troisième appel ; un outil sans entrée qui ne fait qu'ordonner un autre appel ; un appel à un autre outil vers une cible fixe, imposé par une menace (v15) ; un outil sans entrée qui ordonne un appel à valeur fixe ou au milieu d’un autre, ou la réécriture d’un paramètre à une valeur fixe (v16) |
 | `TOOL_DEF_HIDDEN_UNICODE` | high | block | ✅ | caractères de largeur nulle et de contrôle bidi — du texte que le relecteur ne voit pas |
 | `TOOL_DEF_BASE64_BLOB` | high | block | ✅ | une suite base64 de 120+ caractères dans un nom, une description ou un schéma |
 | `TOOL_DEF_DATA_URL` | high | block | ✅ | URLs `data:…;base64,` et `javascript:` |
@@ -278,7 +293,8 @@ avant d'avoir été approuvé une fois.
 - tous les autres outils sont autorisés ;
 - les outils sensibles (`policy.sensitiveToolPatterns`) restent *autorisés* : ils sont signalés pour que
   la boucle de votre agent puisse exiger une approbation à chaque appel à l'exécution. Voir
-  `classifyTools` / `isSensitiveTool`.
+  `classifyTools` / `isSensitiveTool`. `warden-mcp wrap` l’exige lui-même : chaque appel attend la réponse d’une
+  personne via le formulaire d’elicitation MCP du client, ou est refusé s’il n’en a pas (README, « Outils sensibles »).
 
 ## Ajouter une porte
 

package/docs/gates.md

@@ -2,7 +2,7 @@
 
 > 🌐 **English** · [Русский](gates.ru.md) · [Español](gates.es.md) · [Français](gates.fr.md) · [中文](gates.zh.md)
 
-**Ruleset v15 (unreleased):** v14 stopped treating storage on a server as local custody (audit fix, local regression tests only); v15 widens `TOOL_DEF_CROSS_TOOL`, measured on 2026-10-22 on MCPTox, the field corpus and 1,000 HISTOR packages (see v15 below). Numbers quoted for earlier versions are historical.
+**Ruleset v16 (0.20.0):** v15 widened `TOOL_DEF_CROSS_TOOL` and v16 adds two patterns for tools that take no input, both written from MCPTox's dev half and measured on 2026-10-22 on MCPTox, the field corpus and 1,000 HISTOR packages (see v15 and v16 below). v14 stopped treating storage on a server as local custody. Numbers quoted for earlier versions are historical.
 
 > [0.7.0 security changes and migration](security-hardening.md).
 
@@ -53,8 +53,8 @@ the threshold.
 
 Local regex scan over every field a tool advertises: its `name`, `description` and `inputSchema`,
 and since v6 its `title`, `outputSchema`, `annotations` and extension metadata (everything else the
-server sent, a base64 image icon excepted). 37 rules in ruleset **v15**: 26 `block`, 11 `advise`, and
-26 of them carry a context **guard** — a named
+server sent, a base64 image icon excepted). 39 rules in ruleset **v16**: 28 `block`, 11 `advise`, and
+28 of them carry a context **guard** — a named
 check that decides whether a match is really the thing the rule is looking for. See
 [the field survey](mcp-survey.md) for the 1 108-server run that calibrated v4.
 
@@ -168,7 +168,21 @@ blocks none of the 45 clean servers, the same 4 servers of the field corpus as v
 1,000-package HISTOR sample. Tests: `test/ruleset-v15.test.ts`; results:
 `scripts/scanner-comparison/results/2026-10-22-mcptox-v15.json`.
 
-Every rule declares which of those seven **surfaces** it runs on, and 24 of the 37 include the name.
+**v16** takes a second pass over the same dev half: 34 of its poisoned tools still passed v15, nearly all tools that
+take no input. Such a tool has nothing of its own to do with another tool's call, so two patterns apply only to it:
+an order to call another tool at a fixed value or inside another tool's call ("Before calling `news_sentiment`,
+request `company_overview` on 'META'", `zeroArgOrder`), and an order to rewrite a parameter to a fixed value ("you
+must change the address to '…'", `zeroArgRewrite`). A tool with input keeps the v15 reading. The fixed value counts
+only when the sentence also orders the call to come first, unasked or as a must; the tool's own output fields are
+not other tools; "passed to `x`" is not a call to cut into; JSON schema text is not read for orders. Each of those
+came from a false positive: a first draft blocked one corpus server and four of the 1,000 HISTOR packages, all
+honest, and all are pinned as tests. On the dev half v16 blocks 250 of 267 (v15: 233); on the held-out half,
+measured once after the rules were frozen, 210 of 218 (v15: 194), with every implicit-trigger function hijacking
+blocked (66 of 66). It blocks none of the 45 clean servers, the same 4 corpus servers as v15 and the same 31 of a
+1,000-package HISTOR sample. Tests: `test/ruleset-v15.test.ts`; results:
+`scripts/scanner-comparison/results/2026-10-22-mcptox-v16.json`.
+
+Every rule declares which of those seven **surfaces** it runs on, and 24 of the 39 include the name.
 Four of the codes that do not are the noun-keyed ones (`TOOL_DEF_SECRET_REQUEST`,
 `TOOL_DEF_CREDENTIAL_PARAM`, `TOOL_DEF_ENV_REFERENCE`, `TOOL_DEF_SECRET_EXFIL`): a name is an identifier, `api_key` and
 `private_key` are ordinary parts of one, and refusing `sign_with_private_key` would be the ruleset
@@ -191,7 +205,7 @@ Gate score is `1 − penalty(worst blocking severity)`; advisory hits never affe
 | `TOOL_DEF_SECRET_REQUEST` | critical | block | — | `private_key`, `seed_phrase`/`mnemonic`, `~/.ssh` paths |
 | `TOOL_DEF_SECRET_HARVEST` | critical | block | ✅ | a tool whose stated job is to read/dump/reveal secrets, including from `~/.aws/credentials`, `~/.kube/config` and other credential stores |
 | `TOOL_DEF_EXFIL` | critical / high | block | ✅ | "post to https://…", "send a copy of all messages to <mailbox>", `bcc <mailbox>`, the conversation sent out with an address, credential or concealment, "exfiltrate", upload-to-host phrasing |
-| `TOOL_DEF_CROSS_TOOL` | high | block | — | a tool's text binding to another tool's call to rewrite its input or pre-empt it with a third call; a no-input tool that only orders another call; a call to another tool at a fixed target, enforced with a threat (v15) |
+| `TOOL_DEF_CROSS_TOOL` | high | block | — | a tool's text binding to another tool's call to rewrite its input or pre-empt it with a third call; a no-input tool that only orders another call; a call to another tool at a fixed target, enforced with a threat (v15); a no-input tool ordering a call at a fixed value or inside another call, or a parameter rewritten to a fixed value (v16) |
 | `TOOL_DEF_HIDDEN_UNICODE` | high | block | ✅ | zero-width, bidi control and isolate characters, and the Unicode-tag block — text the reviewer cannot see |
 | `TOOL_DEF_BASE64_BLOB` | high | block | ✅ | a 120+ character base64 run in a name, description or schema |
 | `TOOL_DEF_DATA_URL` | high | block | ✅ | `data:…;base64,` and `javascript:` URLs |
@@ -262,7 +276,9 @@ make every server unusable forever, since nothing can be pinned before it is app
 - a tool is **blocked** if a non-advisory finding names it (`finding.tool`) and reaches the threshold;
 - every other tool is allowed;
 - sensitive tools (`policy.sensitiveToolPatterns`) stay *allowed* — they are flagged so your agent
-  loop can demand per-call approval at run time. See `classifyTools` / `isSensitiveTool`.
+  loop can demand per-call approval at run time. See `classifyTools` / `isSensitiveTool`. `warden-mcp wrap`
+  demands it itself: each call waits for a person's answer through the client's MCP elicitation form, or is
+  refused when the client has none (README, “Sensitive tools”).
 
 ## Adding a gate