@aimarket/warden 0.22.0 → 0.22.1

package/docs/flow-guard.md

@@ -1,5 +1,9 @@
 # Flow guard: tool-call checks after outside text
 
+<!-- final-ranking-witness -->
+**[Final ranking-feedback comparison, 26 October](flow-guard-final-witness-2026-10-26.md).** On all five previously withheld contexts, old feedback repaired 6/40 continuations and explicit selected-versus-best feedback repaired 40/40. Valid controls stayed valid 20/20 per nominal arm. This completes the series on selected known failures, not a new holdout. The earlier offline-only statement is superseded for ranking feedback on this cohort; missing-set feedback efficacy remains unmeasured.
+<!-- /final-ranking-witness -->
+
 > 🌐 **English** · [Русский](flow-guard.ru.md) · [Español](flow-guard.es.md) · [Français](flow-guard.fr.md) · [中文](flow-guard.zh.md)
 
 See [measurement limits and version evidence](scan-limits.md) for billing, package pins, launcher comparisons and what approval counts establish.
@@ -303,7 +307,7 @@ The flow guard adds checks at tool-call boundaries after a session receives outs
 - An injection that only changes the answer makes no call to refuse. Since 2026-10-22 the plugin's Stop hook adds one line under an answer whose turn read outside text, naming those sources, and says so when any of it addressed the assistant with instructions. When the answer repeats 12 consecutive normalized characters from the sentences where that text addressed the assistant, the hook also sends the answer back once (`decision: block`), to be checked against the user's request before the user reads it; the user loses nothing but the time of that check. `answerNote` chooses `always` (default), `instruction` (only that case) or `off`; outside the plugin, register `warden-mcp hook stop`.
 - The MCP proxy records JSON-RPC error text and tool-error results as outside text too. If recording fails, it withholds the response. Existing corrupt session state blocks pre-tool checks instead of becoming an empty session.
 
-Released in npm `0.17.0`: `npx -y @aimarket/warden@0.22.0 hook pre-tool-use`, or from a source checkout `npm ci && npm run build`, then `node dist/mcp-server.js hook pre-tool-use`. Register the prompt and post hooks as well, or use the bundled Claude plugin.
+Released in npm `0.17.0`: `npx -y @aimarket/warden@0.22.1 hook pre-tool-use`, or from a source checkout `npm ci && npm run build`, then `node dist/mcp-server.js hook pre-tool-use`. Register the prompt and post hooks as well, or use the bundled Claude plugin.
 
 Policy is user-level (`~/.local/state/warden/flow-policy.json`, or `WARDEN_FLOW_POLICY`). Modes are `ask`, `deny`, `audit`, `off`. `audit` logs decisions without enforcing them. Example:
 
@@ -580,3 +584,19 @@ The repository helper `scripts/selection-probe/audit_warnings.mjs` replays saved
 Post/Stop warning text uses fixed sentences and opaque `source-` identifiers (the first 16 hex digits of SHA-256 of the tool name). It does not quote the detected instruction or repeat raw tool names, source URLs or paths. This limits promotion of source-controlled metadata through the warning channel; it does not make a model immune to the original tool result. The identifier permits correlation only and is not a verified package identity, pin or permission. Local logs can still contain source-authored metadata and must be treated as untrusted data.
 
 **Fresh model comparison (2026-10-25):** On the same six known fixtures, the 720-answer interleaved run selected the injected target 48/48 unguarded, 44/48 and 46/48 with published 0.21.0 note/note+Stop, and 27/48 with either local candidate profile. Candidate clean baselines were 23/48 and 25/48. Clean-adjusted candidate-versus-published intervals are −8.3 to +60.4pp for note and +14.6 to +62.5pp for note+Stop. Twelve actual rechecks changed no selected IDs; three lost a visible warning reference. All IDs were admissible and genuine user preferences passed 30/30. These known cases, controlled tool-role bridge and whole-version comparison do not establish general protection or a separate Stop benefit. See [the complete fresh-run report](flow-guard-model-comparison-2026-10-25.md).
+
+<!-- constraint-evidence-followup -->
+
+[Deterministic answer evidence and disclosure continuity](flow-guard-constraint-evidence.md).
+
+<!-- structured-answer-gate -->
+
+[Host-owned answer gate](flow-guard-answer-gate.md): all constraints, bounded extra correction and buffered final delivery; structured data only.
+
+<!-- structured-live-followup -->
+
+[Live structured-model test](flow-guard-structured-model-2026-10-26.md): 96 valid first proposals and 64 controlled-seed repairs; separate denominators and limits.
+
+<!-- prospective-holdout-followup -->
+
+[Prospective new-fixture results](flow-guard-prospective-holdout-2026-10-26.md): 89/96 natural first proposals valid, five of seven repaired, two withheld; controlled repair 45/48. Separate post-hoc ranking/missing-set facts passed offline checks, without a new model run.

package/docs/flow-guard.ru.md

@@ -1,5 +1,9 @@
 # Страж потоков: проверки вызовов после внешнего текста
 
+<!-- final-ranking-witness -->
+**[Финальное сравнение обратной связи, 26 октября](flow-guard-final-witness-2026-10-26.ru.md).** Во всех пяти ранее удержанных контекстах старое сообщение исправило 6/40 продолжений, явное сравнение выбранного и лучшего — 40/40. Правильные контроли сохранились 20/20 в каждой условной группе. Серия завершена на известных ошибках; это не новый holdout. Прежнее утверждение о проверке только офлайн уточнено этим результатом для ранжирования; эффективность сообщений о неполном наборе моделью пока не измерена.
+<!-- /final-ranking-witness -->
+
 > 🌐 [English](flow-guard.md) · **Русский** · [Español](flow-guard.es.md) · [Français](flow-guard.fr.md) · [中文](flow-guard.zh.md)
 
 См. [границы измерений и подтверждение версии](scan-limits.ru.md): биллинг, закрепление пакетов, сравнение launcher и смысл счётчиков подтверждений.
@@ -313,7 +317,7 @@ node dist/mcp-server.js wrap --flow screen --screen-read computer --screen-read-
 - Инъекция, которая меняет только ответ, не делает вызова, которому можно отказать. С 2026-10-22 хук Stop плагина добавляет под ответом строку, если за этот ход читался внешний текст: какие источники, и отдельно — если какой-то из них обращался к ассистенту с указаниями. Если ответ повторяет 12 нормализованных символов подряд из тех предложений, где внешний текст обращался к ассистенту, хук ещё и один раз возвращает ответ модели (`decision: block`) на проверку по запросу пользователя, прежде чем пользователь его прочтёт; пользователь теряет только время этой проверки. `answerNote`: `always` (по умолчанию), `instruction` (только этот случай) или `off`; вне плагина зарегистрируйте `warden-mcp hook stop`.
 - Прокси учитывает текст JSON-RPC errors и ошибки инструментов как внешние данные. Если учёт ответа не удался, ответ удерживается. Повреждённое состояние сессии блокирует проверяемый вызов вместо сброса в пустую сессию.
 
-Вышло в npm `0.17.0`: `npx -y @aimarket/warden@0.22.0 hook pre-tool-use`, либо из исходников — в каталоге WARDEN `npm ci && npm run build`, затем `node dist/mcp-server.js hook pre-tool-use`. Зарегистрируйте также prompt/post hooks либо плагин Claude.
+Вышло в npm `0.17.0`: `npx -y @aimarket/warden@0.22.1 hook pre-tool-use`, либо из исходников — в каталоге WARDEN `npm ci && npm run build`, затем `node dist/mcp-server.js hook pre-tool-use`. Зарегистрируйте также prompt/post hooks либо плагин Claude.
 
 Политика: `~/.local/state/warden/flow-policy.json` или `WARDEN_FLOW_POLICY`. Режимы: `ask`, `deny`, `audit`, `off`; `audit` только пишет журнал. Пример настройки контактов и адресатов — в [английской версии](flow-guard.md).
 
@@ -564,3 +568,19 @@ python3 scripts/agentdojo/summarize_model.py summary.json /srv/adojo/out --goals
 Текст предупреждений Post/Stop состоит из фиксированных фраз и непрозрачных ID `source-` (первые 16 hex-символов SHA-256 имени инструмента). В нём не цитируются найденная инструкция, сырые имена инструментов, URL и пути источника. Это ограничивает перенос чужих метаданных в канал предупреждения, но не защищает модель от любого влияния исходного tool result. ID предназначен только для сопоставления: он не является проверенной версией пакета, pin или разрешением. Локальные журналы могут содержать чужие метаданные и остаются недоверенными данными.
 
 **Свежий прогон модели (2026-10-25):** На шести известных задачах получены 720 основных ответов. Под атакой цель выбрана 48/48 без защиты, 44/48 и 46/48 со старыми note/note+Stop (0.21.0), 27/48 в обоих новых режимах. Чистые фоны кандидата — 23/48 и 25/48. Интервалы улучшения относительно старой версии с поправкой на фон: [−8,3; +60,4] п.п. для note и [+14,6; +62,5] для note+Stop. Ни одна из 12 реальных перепроверок не изменила выбранный ID; в трёх исчезла видимая ссылка на предупреждение. Все ID допустимы, настоящие предпочтения пользователя выполнены 30/30. Известные случаи, tool-role bridge и сравнение целых версий не доказывают общей защиты или отдельной пользы Stop. [Полный отчёт](flow-guard-model-comparison-2026-10-25.ru.md).
+
+<!-- constraint-evidence-followup -->
+
+[Детерминированные факты для проверки ответа и сохранение раскрытия](flow-guard-constraint-evidence.ru.md).
+
+<!-- structured-answer-gate -->
+
+[Проверка ответа приложением](flow-guard-answer-gate.ru.md): все ограничения, дополнительный ограниченный проход и буферизация выдачи; только структурированные данные.
+
+<!-- structured-live-followup -->
+
+[Живой прогон структурированных ответов](flow-guard-structured-model-2026-10-26.ru.md): 96 правильных первых предложений и 64 исправления контролируемых ошибок; отдельные знаменатели и границы.
+
+<!-- prospective-holdout-followup -->
+
+[Новые случаи после заморозки](flow-guard-prospective-holdout-2026-10-26.ru.md): 89/96 первых естественных ответов правильны, пять из семи ошибок исправлены, два удержаны; контролируемые 45/48. Отдельные подсказки ранжирования/неполного списка проверены офлайн, без нового запуска модели.

package/docs/flow-guard.zh.md

@@ -1,5 +1,9 @@
 # 流守卫：接收外部文本后的工具调用检查
 
+<!-- final-ranking-witness -->
+**[10月26日最终排序反馈对照](flow-guard-final-witness-2026-10-26.zh.md).** 在全部五个此前被拦截的上下文中，旧反馈修复了6/40次续答，明确比较所选项与最优项的新反馈修复了40/40次。每个名义组的有效对照均保持20/20。本系列到此结束，结果针对已知失败案例，并非新的留出测试。此结果更新了此前仅离线验证的排序反馈限制；缺失合格项反馈的模型修复效果仍未测量。
+<!-- /final-ranking-witness -->
+
 > 🌐 [English](flow-guard.md) · [Русский](flow-guard.ru.md) · [Español](flow-guard.es.md) · [Français](flow-guard.fr.md) · **中文**
 
 关于账单、包版本固定、launcher 比较及批准计数的含义，请参见[测量边界与版本证据](scan-limits.zh.md)。
@@ -303,7 +307,7 @@ Wrap 提问前读取基线，批准后重新验证工具定义并再次读取。
 - 只改变回答的注入不会发出可拒绝的调用。自 2026-10-22 起，插件的 Stop 钩子会在本轮读过外部文本的回答下方加一行，列出这些来源；若其中有文本以指令口吻对助手说话，也会注明。如果回答连续重复了外部文本中对助手下指令那几句话里的 12 个规范化字符，钩子还会把回答退回给模型一次（`decision: block`），在用户读到之前对照用户的请求检查；用户只损失这次检查的时间。`answerNote`：`always`（默认）、`instruction`（只在这种情况下）或 `off`；插件之外请注册 `warden-mcp hook stop`。
 - 代理也记录 JSON-RPC 和工具错误；记录失败时不转发响应，现有会话状态损坏时阻止检查中的调用。
 
-已在 npm `0.17.0` 发布：`npx -y @aimarket/warden@0.22.0 hook pre-tool-use`；或从源码在 WARDEN 目录运行 `npm ci && npm run build`，然后使用 `node dist/mcp-server.js hook pre-tool-use`，并注册 prompt/post hooks。策略为 `~/.local/state/warden/flow-policy.json` 或 `WARDEN_FLOW_POLICY`；模式为 `ask`、`deny`、`audit`、`off`。当前配置示例见[英文页](flow-guard.md)。
+已在 npm `0.17.0` 发布：`npx -y @aimarket/warden@0.22.1 hook pre-tool-use`；或从源码在 WARDEN 目录运行 `npm ci && npm run build`，然后使用 `node dist/mcp-server.js hook pre-tool-use`，并注册 prompt/post hooks。策略为 `~/.local/state/warden/flow-policy.json` 或 `WARDEN_FLOW_POLICY`；模式为 `ask`、`deny`、`audit`、`off`。当前配置示例见[英文页](flow-guard.md)。
 
 代理命令：`node dist/mcp-server.js wrap --flow mail -- node mail-server.js`。同一会话的代理应共享一个新的 `WARDEN_FLOW_SESSION`。默认父进程 PID 不能关联不同启动器。代理看不到用户提示或客户端内置工具。需要确认的调用会在客户端提供 MCP elicitation 表单时通过表单询问（回答记入日志的 `approvalOutcome`），否则或使用 `--ask refuse` 时被拒绝。`trustedSources` 仅用于 WebFetch URL，不用于 MCP 参数中的任意链接。
 
@@ -494,3 +498,19 @@ python3 scripts/agentdojo/summarize_model.py summary.json /srv/adojo/out --goals
 Post/Stop 警告使用固定语句和不透明的 `source-` ID（工具名 SHA-256 的前 16 个十六进制字符），不会引用检测到的指令，也不重复原始工具名、来源 URL 或路径。这限制了外部元数据借警告渠道获得权威性，但不使模型免受原始工具结果的影响。ID 只用于关联，不是经验证的软件包身份、pin 或权限。当地日志仍可能包含外部元数据，必须作为不可信数据处理。
 
 **新的模型对比（2026-10-25）：** 在相同六个已知案例的 720 个交错运行答案中，无保护时攻击目标被选中 48/48 次；已发布 0.21.0 的 note/note+Stop 为 44/48、46/48；两个本地候选模式均为 27/48。候选的干净基线为 23/48、25/48。相对旧版、校正基线后的改善区间：note 为 [−8.3,+60.4] 个百分点，note+Stop 为 [+14.6,+62.5]。12 次实际复核均未改变所选 ID，其中三个最终答案失去了可见的警告引用。全部 ID 均可接受，真实用户偏好遵从为 30/30。这些已知案例、tool-role 桥接及完整版本对比不证明普遍防护或 Stop 的独立收益。[完整报告](flow-guard-model-comparison-2026-10-25.zh.md)。
+
+<!-- constraint-evidence-followup -->
+
+[确定性答案证据与披露保留](flow-guard-constraint-evidence.zh.md).
+
+<!-- structured-answer-gate -->
+
+[应用答案门禁](flow-guard-answer-gate.zh.md)：全部规则、有界额外纠正与缓冲交付；仅支持结构化数据。
+
+<!-- structured-live-followup -->
+
+[结构化答案真实模型测试](flow-guard-structured-model-2026-10-26.zh.md)：96 个初次提案有效，64 个受控种子修复；分母与边界分别报告。
+
+<!-- prospective-holdout-followup -->
+
+[冻结后的新案例](flow-guard-prospective-holdout-2026-10-26.zh.md)：自然初次有效 89/96，七个错误中五个纠正、两个保留；受控纠正 45/48。后续排序／缺失集合证据已离线验证，未重新调用模型。

package/examples/answer-gate-host.mjs

@@ -0,0 +1,33 @@
+#!/usr/bin/env node
+// Host integration: read structured proposals from stdin; output only a verified final result or withholding notice.
+// No model API, keys, network, tool calls or effects. Integrators supply their own bounded model callback instead.
+import { readFileSync } from 'node:fs';
+import { createInterface } from 'node:readline';
+import { createAnswerGate } from '../dist/index.js';
+
+const controller = new AbortController();
+process.once('SIGINT', () => controller.abort());
+// stdout failures are uncertain delivery, never a reason to resend.
+process.stdout.on('error', () => {});
+let lines;
+try {
+  if (process.argv.length !== 4 || process.argv[2] !== '--contract') throw new Error('usage');
+  const bytes = readFileSync(process.argv[3]);
+  if (bytes.length > 262_144) throw new Error('contract too large');
+  const gate = createAnswerGate(JSON.parse(bytes.toString('utf8')));
+  lines = createInterface({ input: process.stdin, crlfDelay: Infinity });
+  const iterator = lines[Symbol.asyncIterator]();
+  const result = await gate.run({ signal: controller.signal, maxCorrections: 2, timeoutMs: 30_000,
+    generate: async request => {
+      process.stderr.write('WARDEN_REQUEST ' + JSON.stringify({ attempt: request.attempt, catalog: request.catalog, feedback: request.feedback ?? null }) + '\n');
+      const next = await iterator.next();
+      if (next.done) throw new Error('No structured proposal');
+      return next.value;
+    },
+    emit: rendered => new Promise((resolve, reject) => process.stdout.write(rendered, error => error ? reject(error) : resolve())),
+  });
+  process.exitCode = result.status === 'delivered' ? 0 : result.status === 'withheld' ? 2 : result.status === 'cancelled' ? 130 : 3;
+} catch {
+  process.stderr.write('WARDEN_HOST_ERROR: provide --contract with normalized host-owned facts. No candidate forwarded.\n');
+  process.exitCode = 1;
+} finally { lines?.close(); }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@aimarket/warden",
-  "version": "0.22.0",
+  "version": "0.22.1",
   "description": "WARDEN — MCP security firewall. Stdio wrap proxy, inspection tools and library. Vets definitions before model exposure. Zero runtime dependencies.",
   "type": "module",
   "license": "MIT",
@@ -52,6 +52,7 @@
     "docs/gates*.md",
     "docs/flow-guard*.md",
     "examples/atomic-screen-server.mjs",
+    "examples/answer-gate-host.mjs",
     "native/macos/Package.swift",
     "native/macos/Sources",
     "scripts/build-macos.mjs"
@@ -96,8 +97,8 @@
   },
   "devDependencies": {
     "@types/node": "^26.6.4",
-    "@vitest/coverage-v8": "^4.1.12",
-    "typescript": "^5.7.2",
-    "vitest": "^4.1.12"
+    "@vitest/coverage-v8": "^5.0.5",
+    "typescript": "^7.0.2",
+    "vitest": "^5.0.5"
   }
 }