@aimarket/warden 0.6.0 → 0.8.0

package/docs/gates.ru.md

@@ -0,0 +1,225 @@
+# Цепочка гейтов
+
+> 🌐 [English](gates.md) · **Русский** · [Español](gates.es.md) · [Français](gates.fr.md) · [中文](gates.zh.md)
+
+> [Изменения безопасности 0.7.0 и миграция](security-hardening.ru.md).
+
+`Warden.vet(server, tools)` прогоняет упорядоченную цепочку и возвращает один вердикт. Эта страница —
+вся процедура принятия решения: на что смотрит каждый гейт, что он может заблокировать и как
+складывается итоговое число.
+
+```
+static-scan  →  threat-feed  →  origin  →  pinning
+ (бесплатно)     (бесплатно      (бесплатно) (бесплатно)
+                  после load)
+```
+
+Порядок — от самого дешёвого и самого локального. Ни один гейт в цепочке не делает сетевых запросов:
+единственная загрузка, которую WARDEN вообще выполняет, — это `ThreatFeed.load(url)`, и её вызываете
+вы сами, до проверки.
+
+## Как собирается вердикт
+
+Каждый гейт возвращает `{ findings, score, fatal? }`. Цепочка:
+
+1. прогоняет все гейты по порядку, накапливая находки (каждый гейт видит `prior`);
+2. перемножает оценки гейтов — composite score это **произведение**, поэтому один плохой гейт тянет
+   сервер вниз, а не усредняется тремя хорошими;
+3. блокирует, если какой-то гейт вернул `fatal` или если какая-то не-advisory находка достигает
+   `policy.blockAtSeverity`;
+4. обрывает цепочку **только** на явном `fatal`. Блокирующая, но не фатальная находка позволяет
+   остальным гейтам отчитаться, чтобы запись о том, *почему*, осталась полной.
+
+```ts
+const SEVERITY_RANK = { info: 0, low: 1, medium: 2, high: 3, critical: 4 };
+```
+
+Если `policy.blockAtSeverity` не один из этих пяти ключей, конструктор пишет предупреждение и
+откатывается на `"high"`. Опечатка здесь раньше была худшим из возможных отказов: `rank >= undefined`
+ложно при любом сравнении, поэтому неправильно написанный порог молча отключал блокировку целиком.
+
+### Две оси: severity и tier
+
+Severity отвечает на вопрос *сколько внимания это заслуживает*. **Tier** отвечает на вопрос *дефект
+ли это вообще* — и он является данными на находке (`advisory: true`), а не следствием severity.
+
+Находка с `advisory` сообщается, никогда не блокирует и никогда не стоит инструмента — при **любом**
+`blockAtSeverity`. Инструмент, чья схема принимает `api_key`, стоит того, чтобы на него указали, и не
+является дефектом; выражение этого через понижение severity снова делало бы его блокирующим для всех,
+кто ужесточил порог.
+
+## static-scan
+
+Локальное regex-сканирование `name`, `description` и `inputSchema` каждого инструмента. 26 правил в
+наборе **v7**: 15 `block`, 11 `advise`, и у 15 из них есть контекстный **guard** — именованная
+проверка, решающая, действительно ли совпадение — то, что правило ищет. См.
+[полевой обзор](mcp-survey.ru.md) — прогон по 1 108 серверам, на котором калибровался v4.
+
+**v5: текст приводится к обычному виду до того, как его читает любое правило.** NFKC превращает
+широкие буквы, лигатуры и другие совместимые формы в обычные; невидимые символы внутри слова
+выбрасываются; блок Unicode-тегов (невидимые копии ASCII, в которых можно спрятать целое предложение)
+расшифровывается; внутри слова, где латиница смешана с кириллицей или греческим, буквы-двойники
+заменяются латинскими, а слово целиком на одном алфавите не трогается. Английское правило больше не
+обходится широкими буквами, пробелом нулевой ширины, тегами или кириллической `о` — на каком бы языке
+ни был окружающий текст. Идентификатор свёртки публикуется как `fold` и входит в дайджест. Два правила
+скрытых нагрузок читают **сырой** текст (`raw: true`): они ищут именно то, что свёртка убирает.
+
+Смысл регэксп-таблица не читает: формулировка на языке, для которого правила не написаны, вне её.
+v5 добавляет то, что от языка не зависит: свёртку, пару `TOOL_DEF_SECRET_EXFIL` (хранилище секретов и
+внешний адрес в пределах 100 символов; только уведомляет — её единственное срабатывание на 10 645
+живых серверах оказалось честным), блок тегов и изоляты направления в `TOOL_DEF_HIDDEN_UNICODE`, а
+HISTOR показывает каждый внешний адрес, впервые появившийся в определениях сервера. Распознавание по
+смыслу — задача классификатора, а не этой таблицы.
+
+Ещё v5 убирает три измеренных ложных срабатывания: «send the user to https://…» (переход человека,
+guard `navigation`), «keep calling … without asking the user» (самостоятельная работа, guard
+`autonomy`) и соединитель нулевой ширины внутри эмодзи. На корпусе из 10 645 серверов v5 блокирует 56
+там, где v4 блокировал 63, и не блокирует ни одного, которого не блокировал v4.
+
+**v7** убирает три ложных срабатывания, которые ruleset v6 ещё давал на закоммиченном корпусе
+2026-10-01 ([полевое обследование](mcp-survey.ru.md)). «Private key/value memory» — хранилище
+ключ-значение, а не закрытый ключ (guard `keyValue`: составное слово через косую черту или дефис и
+следом слово-хранилище). «Find … without asking the user for ids» — инструмент сам находит
+идентификатор (guard `autonomy` теперь принимает и глагол поиска, если весь объект просьбы —
+идентификатор). «The key is read from the MCP connection's X-API-Key header» — сервер описывает
+собственную аутентификацию (guard `ownAuthHeader`: пассив «is read from», заголовок запроса, не чужой,
+ключ никуда не передаётся дальше). Кроме того, `autonomy` больше не освобождает «without asking the
+user», если объект — согласие: «keep retrying the transfer without asking the user for approval» снова
+блокируется. На этом корпусе v7 блокирует 3 сервера там, где v6 блокировал 6, остальные находки не
+меняются.
+
+Каждое правило объявляет, на каких из этих трёх **поверхностей** оно работает; 17 из 26 включают
+имя. Четыре, которые не включают, — это правила, завязанные на существительное
+(`TOOL_DEF_SECRET_REQUEST`, `TOOL_DEF_CREDENTIAL_PARAM`, `TOOL_DEF_ENV_REFERENCE`, `TOOL_DEF_SECRET_EXFIL`): имя — это
+идентификатор, `api_key` и `private_key` — его обычные части, и блокировать
+`sign_with_private_key` означало бы повторить ошибку калибровки v1 на новой поверхности. Правила,
+завязанные на фразу, требуют пробелов и потому не могут совпасть с `snake_case` вовсе, а два
+правила о скрытой нагрузке — про символы, которые в имени не легитимны никогда: эти работают везде.
+
+До v3 имя не сканировалось **ничем** — то есть инъекционная фраза, zero-width символ или
+base64-блоб в первом поле, которое читает модель, не попадали в отчёт совсем.
+
+Оценка гейта — `1 − штраф(худшая блокирующая severity)`; advisory-срабатывания на неё не влияют.
+
+| худшая блокирующая severity | нет | info | low | medium | high | critical |
+|---|---|---|---|---|---|---|
+| оценка гейта | 1 | 1 | 0.9 | 0.7 | 0.4 | 0 |
+
+| Код | Severity | Tier | Имя? | Что ловит |
+|---|---|---|---|---|
+| `TOOL_DEF_INJECTION` | critical / high | block | ✅ | «ignore all previous instructions», «do not tell the user», теги `<system>`, ссылки на developer prompt |
+| `TOOL_DEF_SECRET_REQUEST` | critical | block | — | `private_key`, `seed_phrase`/`mnemonic`, пути `~/.ssh` |
+| `TOOL_DEF_SECRET_HARVEST` | critical | block | ✅ | инструмент, чья заявленная задача — читать/выгружать/раскрывать секреты |
+| `TOOL_DEF_EXFIL` | critical / high | block | ✅ | «post to https://…», «forward it to…», «exfiltrate», формулировки про upload на хост |
+| `TOOL_DEF_HIDDEN_UNICODE` | high | block | ✅ | zero-width и bidi-управляющие символы — текст, которого рецензент не видит |
+| `TOOL_DEF_BASE64_BLOB` | high | block | ✅ | цепочка base64 от 120 символов в имени, описании или схеме |
+| `TOOL_DEF_DATA_URL` | high | block | ✅ | URL вида `data:…;base64,` и `javascript:` |
+| `TOOL_DEF_CREDENTIAL_PARAM` | medium / low | advise | — | схема или описание просит `api_key`, `password`, `secret`, bearer-токены |
+| `TOOL_DEF_ENV_REFERENCE` | medium | advise | — | `.env`, «environment variables» |
+| `TOOL_DEF_IMPERATIVE` | low / info | advise | ✅ | «you must», «instead of» — формулировки в форме промпта, сами по себе ничего не доказывающие |
+
+`staticScanRuleset()` возвращает каждое правило вместе с **исходником регулярки, флагами и поверхностями**, чтобы
+третья сторона могла перезапустить ровно то же правило, плюс `{ version, digest }`, где digest —
+sha256 по канонической форме RFC 8785 отсортированного списка правил. Сортировка — сравнением
+code-unit, никогда не `localeCompare`: зависящая от локали коллация давала бы для одной и той же
+таблицы разный digest на по-разному настроенном хосте, а это ровно то расхождение, для обнаружения
+которого digest и существует.
+
+## threat-feed
+
+Сопоставляет идентичность сервера и определения инструментов с записями `ThreatRecord` — 11
+встроенных плюс то, что добавил подписанный feed (см. [контракт feed](threat-feed.ru.md)).
+
+- Любое совпадение ⇒ оценка гейта **0**.
+- `fatal` **только** для записи `critical`, совпавшей с *сервером*. Критическое совпадение на одном
+  *инструменте* не фатально: остальная цепочка всё равно отчитывается, а вина остаётся привязанной к
+  этому инструменту — именно это позволяет в основном нормальному серверу продолжать работать с одним
+  изолированным инструментом.
+- `ThreatRecord.scope` выбирает поверхность: `server` (id/name/url/command/args), `tool`
+  (name/description/inputSchema) или `any` — значение по умолчанию, когда запись его не указывает.
+
+Встроенные коды: `THREAT_TYPOSQUAT`, `THREAT_CRYPTO_DRAINER`, `THREAT_SEED_PHRASE`,
+`THREAT_SSH_KEY_READ`, `THREAT_ENV_EXFIL`, `THREAT_DESTRUCTIVE_CMD`, `THREAT_FORK_BOMB`.
+
+## origin
+
+Объявил ли оператор этот сервер, или он пришёл из удалённого каталога (заполнено
+`McpServerRef.catalog`)?
+
+| `allowUnknownServers` | находка | оценка | fatal |
+|---|---|---|---|
+| `false` (fail-closed) | `SERVER_UNDECLARED`, high | 0 | да |
+| `true` | `SERVER_UNDECLARED`, info | 1 | нет |
+
+Раньше этот переключатель означал «ещё нет оценки репутации», чего не могло выполнить ни одно
+развёртывание: оракулу никто никогда не передавал trust-рёбра, поэтому каждый сервер возвращался
+непоручённым, и `false` блокировал их все. Происхождение из каталога — факт, которым хост уже
+располагает локально, он не требует сети и не может привести к дедлоку.
+
+## pinning
+
+Сравнивает текущие определения инструментов со снимком, который подтвердил пользователь. Хеш — sha256
+по канонической форме RFC 8785 набора определений; та же канонизация, что у подписи feed, а не вторая
+сериализация.
+
+| Ситуация | Код | Severity | Оценка | Fatal |
+|---|---|---|---|---|
+| Pin ещё нет (первый контакт) | `TOOL_DEF_UNPINNED` | info | 0.9 | нет |
+| Хеш отличается от pin | `TOOL_DEF_DRIFT` | high | 0 | при `pinToolDefs` |
+| У определений нет канонической формы (без pin) | `TOOL_DEF_UNCANONICAL` | medium | 0.5 | нет |
+| У определений нет канонической формы (с pin) | `TOOL_DEF_UNCANONICAL` | high | 0 | при `pinToolDefs` |
+
+Первый контакт стоит 0.1, а не блокировки: чистый объявленный сервер без pin получает ровно **0.9**, а
+`TOOL_DEF_UNPINNED` имеет severity `info` намеренно — при `blockAtSeverity: "info"` блокирующий первый
+взгляд сделал бы любой сервер навсегда непригодным, ведь ничего нельзя зафиксировать до того, как это
+хоть раз подтвердили.
+
+`warden.approve(server, tools)` записывает pin через ваш `PinStore`. Операция идемпотентна.
+
+## Разбиение по инструментам
+
+`allowedTools` / `blockedTools` делят объявленные инструменты:
+
+- инструмент **заблокирован**, если не-advisory находка называет его (`finding.tool`) и достигает
+  порога;
+- все остальные инструменты разрешены;
+- чувствительные инструменты (`policy.sensitiveToolPatterns`) остаются *разрешёнными* — они помечены,
+  чтобы цикл вашего агента мог требовать подтверждение на каждый вызов во время работы. См.
+  `classifyTools` / `isSensitiveTool`.
+
+## Как добавить свой гейт
+
+`WardenGate` — интерфейс из трёх строк, а `new Warden({ gates, policy, log })` принимает цепочку
+напрямую, поэтому свой гейт можно вставить без форка:
+
+```ts
+import { Warden, StaticScanGate, ThreatGate, OriginGate, PinningGate } from "@aimarket/warden";
+import type { WardenGate, WardenGateInput, WardenGateResult } from "@aimarket/warden";
+
+class DenyByPublisher implements WardenGate {
+  readonly name = "publisher-allowlist";
+  async evaluate(input: WardenGateInput): Promise<WardenGateResult> {
+    const ok = ALLOWED.has(input.server.name);
+    return ok
+      ? { findings: [], score: 1 }
+      : { findings: [{ gate: this.name, severity: "high", code: "PUBLISHER_UNKNOWN",
+                       message: `${input.server.name} не входит в список разрешённых издателей` }],
+          score: 0, fatal: true };
+  }
+}
+
+const warden = new Warden({
+  gates: [new StaticScanGate(), new ThreatGate(feed), new DenyByPublisher(), new OriginGate(), new PinningGate(store)],
+  policy,
+});
+```
+
+Два правила для гейта, который вы пишете сами: **никогда не заявляйте, что удалённый сервис
+недоступен, если вы действительно не отправили запрос** (`test/no-phantom-gate.test.ts` следит за этим
+на поставляемых гейтах) и возвращайте оценку, которую можете защитить — гейт, который ничего не
+измерил, должен вернуть `1`, а не «нейтральные» 0.6, иначе он штрафует каждый сервер за измерение,
+которого не проводил.
+
+## Гейты в режиме wrap
+
+`vetLaunch` вызывается до запуска процесса. `initialize.instructions` проходит существующий static-scan и удаляется при блокирующей находке. `tools/list` собирает не более 32 страниц, 256 уникальных инструментов и 1 MiB, затем вызывает `vet`; клиент получает проверенные определения одной страницей. `list_changed` немедленно включает карантин; уведомление уходит клиенту только после успешной проверки. Перед каждым вызовом список перечитывается, а определение сравнивается с последним показанным клиенту. Изменение во время проверки запрещает отправку; во время выполнения скрывает ответ. Сквозные сообщения ограничены отдельно — 32 MiB. Таймаут внутреннего запроса списка — 10 секунд. При EOF закрывается stdin дочернего, через 5 секунд отправляется SIGTERM, перед истечением 10 секунд — SIGKILL. Встречные запросы и прочие сообщения сохраняют ID и исходный JSON. Политика, TOFU, ручное одобрение и ограничения audit-only описаны в README.

package/docs/gates.zh.md

@@ -0,0 +1,178 @@
+# 门控链
+
+> 🌐 [English](gates.md) · [Русский](gates.ru.md) · [Español](gates.es.md) · [Français](gates.fr.md) · **中文**
+
+> [0.7.0 安全更新与迁移](security-hardening.zh.md).
+
+`Warden.vet(server, tools)` 会按顺序跑完一条门控链，并返回单一裁定。本页就是完整的判定过程：每个门控看什么、
+它可以阻止什么，以及最后那个数字是怎么算出来的。
+
+```
+static-scan  →  threat-feed  →  origin  →  pinning
+ （免费）        （load 之后     （免费）    （免费）
+                  免费）
+```
+
+顺序是「最便宜、最本地的先来」。链上没有任何环节发起网络请求——WARDEN 唯一会发出的下载是
+`ThreatFeed.load(url)`，而那是你自己在审查之前调用的。
+
+## 裁定是怎么拼出来的
+
+每个门控返回 `{ findings, score, fatal? }`。整条链：
+
+1. 按顺序运行每个门控，累积发现（每个门控都能看到 `prior`）；
+2. 把各门控的评分**相乘**——综合评分是乘积，所以一个坏门控会把整台服务器拉下来，而不是被三个好门控平均掉；
+3. 若任一门控返回 `fatal`，或任一非 advisory 的发现达到 `policy.blockAtSeverity`，则阻止；
+4. **只有**遇到显式 `fatal` 才短路。会阻止但不 fatal 的发现仍让后续门控继续报告，这样「为什么」的记录才完整。
+
+```ts
+const SEVERITY_RANK = { info: 0, low: 1, medium: 2, high: 3, critical: 4 };
+```
+
+如果 `policy.blockAtSeverity` 不是这五个键之一，构造函数会写一条警告并回退到 `"high"`。这里的一个拼写错误
+曾是最糟糕的故障模式：`rank >= undefined` 在任何比较中都为 `false`，于是一个拼错的阈值会悄无声息地把阻止功能
+整个关掉。
+
+### 两个维度：严重级别与层级
+
+严重级别回答的是*这值得多少注意*。**层级**（tier）回答的是*这到底算不算缺陷*——而它是发现上的一项数据
+（`advisory: true`），不是严重级别的推论。
+
+带 `advisory` 的发现会被报告，但在**任何** `blockAtSeverity` 下都不会阻止连接、也不会牺牲任何工具。一个 schema
+里接受 `api_key` 的工具值得被指出来，但它不是缺陷；用「降低严重级别」来表达这一点，会让它对任何收紧阈值的人重新
+变成阻止性的。
+
+## static-scan
+
+对每个工具的 `name`、`description` 与 `inputSchema` 做本地正则扫描。规则集 **v7** 共 26 条规则（其中 15 条带有上下文 **guard**——一项具名检查，用于判断某次命中是否真是该规则要找的东西；参见[实地普查](mcp-survey.zh.md)，即校准 v4 的 1 108 台服务器实测）：
+15 条 `block`，11 条 `advise`。
+
+**v5：任何规则读取文本之前，先对文本做归一化。** NFKC 把全角字母、连字和其他兼容形式变成普通字母；单词内部的不可见字符被删除；Unicode 标签区块（ASCII 的不可见副本，能藏下一整句话）被解码；在拉丁字母与西里尔或希腊字母混写的单词里，形近字母被换成拉丁字母，而整词只用一种文字写成的单词保持不变。于是，无论周围文本是什么语言，英文规则都不能再被全角字母、词内零宽空格、标签字符或西里尔字母 `о` 绕过。归一化以 `fold` 的形式与规则一起发布，并计入 digest。两条隐藏载荷规则读取**原始**文本（`raw: true`）。
+
+正则表格读不懂含义：用规则没有覆盖的语言写成的说法不在它的范围内。v5 增加了与语言无关的部分：归一化；`TOOL_DEF_SECRET_EXFIL` 组合（机密存放位置与外部地址相距不超过 100 个字符；仅提示，因为它在 10 645 台真实服务器上唯一的命中是正当用途）；`TOOL_DEF_HIDDEN_UNICODE` 纳入标签区块和双向隔离符；HISTOR 会标出服务器定义中新出现的任何外部地址。按含义识别属于分类器的工作，而不是这张表的工作。
+
+v5 还消除了三类实测误报：“send the user to https://…”（引导用户跳转，guard `navigation`）、“keep calling … without asking the user”（自主运行，guard `autonomy`），以及表情符号序列中的零宽连接符。在 10 645 台服务器的语料上，v4 阻止 63 台，v5 阻止 56 台，且没有新增任何 v4 未阻止的服务器。
+
+**v7** 消除了规则集 v6 在已提交的 2026-10-01 语料上仍有的三处误报（[实地普查](mcp-survey.zh.md)）。“Private key/value memory” 指键值存储，而非私钥（guard `keyValue`：以斜杠或连字符构成的复合词，后接表示存储的名词）。“Find … without asking the user for ids” 是工具自行解析标识符（guard `autonomy` 现在也接受查找类动词，前提是被索要的对象整体就是标识符）。“The key is read from the MCP connection's X-API-Key header” 是服务器在描述自己的认证方式（guard `ownAuthHeader`：被动语态 “is read from”、来源是请求头、不是他人的请求头、密钥未被转交他处）。此外，当 “without asking the user” 的对象是“同意”时，`autonomy` 不再豁免：“keep retrying the transfer without asking the user for approval” 重新被阻止。在该语料上，v6 阻止 6 台服务器，v7 阻止 3 台，其余所有发现均不变。
+
+每条规则都声明自己在这三个**面**中的哪些上运行，26 条里有 17 条包含名称。不包含名称的那四条是以**名词**为
+锚的规则（`TOOL_DEF_SECRET_REQUEST`、`TOOL_DEF_CREDENTIAL_PARAM`、`TOOL_DEF_ENV_REFERENCE`、`TOOL_DEF_SECRET_EXFIL`）：名称是标识
+符，`api_key` 和 `private_key` 是标识符里再普通不过的组成部分，而拒绝 `sign_with_private_key` 等于把 v1 的
+校准错误换个面重犯一次。以**短语**为锚的规则需要空白字符，因此根本无法匹配 `snake_case`；而两条隐藏载荷规则
+针对的字符在名称里从来都不合法——这些都在所有面上运行。
+
+在 v3 之前，名称**根本没有被任何规则扫描过**：注入短语、零宽字符或 base64 串出现在模型最先读到的那个字段里，
+完全不会被报告。
+
+门控评分为 `1 − 惩罚(最严重的阻止性 severity)`；advisory 命中永远不影响它。
+
+| 最严重的阻止性 severity | 无 | info | low | medium | high | critical |
+|---|---|---|---|---|---|---|
+| 门控评分 | 1 | 1 | 0.9 | 0.7 | 0.4 | 0 |
+
+| 代码 | 严重级别 | 层级 | 名称？ | 捕捉什么 |
+|---|---|---|---|---|
+| `TOOL_DEF_INJECTION` | critical / high | block | ✅ | 「ignore all previous instructions」「do not tell the user」、`<system>` 标签、对 developer prompt 的引用 |
+| `TOOL_DEF_SECRET_REQUEST` | critical | block | — | `private_key`、`seed_phrase`/`mnemonic`、`~/.ssh` 路径 |
+| `TOOL_DEF_SECRET_HARVEST` | critical | block | ✅ | 自称职责就是读取/导出/披露密钥的工具 |
+| `TOOL_DEF_EXFIL` | critical / high | block | ✅ | 「post to https://…」「forward it to…」「exfiltrate」、上传到某主机的措辞 |
+| `TOOL_DEF_HIDDEN_UNICODE` | high | block | ✅ | 零宽字符与双向控制字符——审阅者看不见的文本 |
+| `TOOL_DEF_BASE64_BLOB` | high | block | ✅ | 名称、描述或 schema 里长达 120+ 字符的 base64 串 |
+| `TOOL_DEF_DATA_URL` | high | block | ✅ | `data:…;base64,` 与 `javascript:` 形式的 URL |
+| `TOOL_DEF_CREDENTIAL_PARAM` | medium / low | advise | — | schema 或描述索要 `api_key`、`password`、`secret`、bearer 令牌 |
+| `TOOL_DEF_ENV_REFERENCE` | medium | advise | — | `.env`、「environment variables」 |
+| `TOOL_DEF_IMPERATIVE` | low / info | advise | ✅ | 「you must」「instead of」——提示词形态的措辞，单独并不能证明任何事 |
+
+`staticScanRuleset()` 会连同**正则源码、flags 与所扫描的面** 一起返回每条规则，好让第三方能重跑一模一样的规则；同时返回
+`{ version, digest }`，其中 digest 是对已排序规则列表的 RFC 8785 规范化形式做的 sha256。排序按 code-unit 比较，
+绝不用 `localeCompare`：依赖 locale 的排序会让同一张规则表在配置不同的主机上算出不同的摘要，而这正是摘要本身
+要检测的分歧。
+
+## threat-feed
+
+把服务器身份和工具定义与 `ThreatRecord` 比对——11 条内置，加上已签名 feed 追加的内容（见
+[feed 契约](threat-feed.zh.md)）。
+
+- 任何命中 ⇒ 门控评分 **0**。
+- **只有**当 `critical` 记录命中*服务器*时才 `fatal`。命中某个*工具*的 critical 不是 fatal，于是链上其余门控
+  仍会报告，责任也仍限定在那个工具上——这正是让一台大体正常的服务器在隔离掉一个工具后继续可用的原因。
+- `ThreatRecord.scope` 选择比对面：`server`（id/name/url/command/args）、`tool`
+  （name/description/inputSchema），或 `any`——记录省略该字段时的默认值。
+
+内置代码：`THREAT_TYPOSQUAT`、`THREAT_CRYPTO_DRAINER`、`THREAT_SEED_PHRASE`、`THREAT_SSH_KEY_READ`、
+`THREAT_ENV_EXFIL`、`THREAT_DESTRUCTIVE_CMD`、`THREAT_FORK_BOMB`。
+
+## origin
+
+这台服务器是运营者声明过的，还是来自远端目录（`McpServerRef.catalog` 有值）？
+
+| `allowUnknownServers` | 发现 | 评分 | fatal |
+|---|---|---|---|
+| `false`（失败即关闭） | `SERVER_UNDECLARED`，high | 0 | 是 |
+| `true` | `SERVER_UNDECLARED`，info | 1 | 否 |
+
+这个开关过去的含义是「还没有信誉评分」，而没有任何部署能满足它：从来没有人给预言机提供过信任边，于是每台服务器
+回来都是「无人担保」，`false` 就把它们全都拦住了。而「来自目录」是宿主本地已经掌握的事实，不需要网络，也不可能
+死锁。
+
+## pinning
+
+把当前的工具定义与用户批准过的快照做比较。哈希是对定义集合的 RFC 8785 规范化形式做的 sha256——与 feed 签名用的是
+同一套规范化，而不是第二种序列化。
+
+| 情形 | 代码 | 严重级别 | 评分 | Fatal |
+|---|---|---|---|---|
+| 尚无 pin（首次接触） | `TOOL_DEF_UNPINNED` | info | 0.9 | 否 |
+| 哈希与 pin 不一致 | `TOOL_DEF_DRIFT` | high | 0 | 当 `pinToolDefs` |
+| 工具定义没有规范形式（无 pin） | `TOOL_DEF_UNCANONICAL` | medium | 0.5 | 否 |
+| 工具定义没有规范形式（有 pin） | `TOOL_DEF_UNCANONICAL` | high | 0 | 当 `pinToolDefs` |
+
+首次接触的代价是 0.1，而不是阻止：一台干净、已声明、尚无 pin 的服务器恰好得 **0.9**，而 `TOOL_DEF_UNPINNED`
+被刻意定为 `info`——在 `blockAtSeverity: "info"` 下，若首次相见就阻止，那么任何服务器都将永远不可用，因为在被
+批准过一次之前，什么都无法固定。
+
+`warden.approve(server, tools)` 通过你的 `PinStore` 写入 pin。该操作是幂等的。
+
+## 按工具划分
+
+`allowedTools` / `blockedTools` 把已公布的工具分成两部分：
+
+- 若某条非 advisory 的发现点名了某个工具（`finding.tool`）并达到阈值，则该工具**被阻止**；
+- 其余工具全部允许；
+- 敏感工具（`policy.sensitiveToolPatterns`）仍然是*被允许的*——它们只是被标记出来，好让你的智能体主循环在运行时
+  对每次调用要求审批。参见 `classifyTools` / `isSensitiveTool`。
+
+## 新增一个门控
+
+`WardenGate` 只是三行接口，而 `new Warden({ gates, policy, log })` 直接接受整条链，所以你可以插入自己的门控而
+不必 fork：
+
+```ts
+import { Warden, StaticScanGate, ThreatGate, OriginGate, PinningGate } from "@aimarket/warden";
+import type { WardenGate, WardenGateInput, WardenGateResult } from "@aimarket/warden";
+
+class DenyByPublisher implements WardenGate {
+  readonly name = "publisher-allowlist";
+  async evaluate(input: WardenGateInput): Promise<WardenGateResult> {
+    const ok = ALLOWED.has(input.server.name);
+    return ok
+      ? { findings: [], score: 1 }
+      : { findings: [{ gate: this.name, severity: "high", code: "PUBLISHER_UNKNOWN",
+                       message: `${input.server.name} 不在允许的发布者名单中` }],
+          score: 0, fatal: true };
+  }
+}
+
+const warden = new Warden({
+  gates: [new StaticScanGate(), new ThreatGate(feed), new DenyByPublisher(), new OriginGate(), new PinningGate(store)],
+  policy,
+});
+```
+
+自己写门控时有两条规矩：**没有真的发出请求，就绝不宣称远端服务不可达**
+（`test/no-phantom-gate.test.ts` 会对随包发布的门控强制这一点）；以及返回一个你能站得住脚的评分——什么都没测量的
+门控必须返回 `1`，而不是一个「中性」的 0.6，否则它就是在为一次从未做过的测量惩罚每一台服务器。
+
+## wrap 模式的检查流程
+
+启动子进程前调用 `vetLaunch`。`initialize.instructions` 使用现有 static-scan，遇到阻止判定时删除。`tools/list` 最多读取 32 页、256 个唯一工具及 1 MiB，然后调用 `vet`；允许的定义以单页返回。`list_changed` 立即隔离服务器，只有重新检查成功才转发。每次调用前重新读取列表，与客户端最后看到的定义比较。检查期间变更阻止发送；执行期间变更则隐藏响应。透传消息另有 32 MiB 上限，内部请求超时为 10 秒。EOF 关闭子进程 stdin，5 秒后 SIGTERM，10 秒前 SIGKILL。服务器反向请求及其他消息保留 ID 和原始 JSON。策略、TOFU、人工审批及 audit-only 限制参见 README。

package/docs/security-hardening.es.md

@@ -0,0 +1,40 @@
+# Warden 0.7.0: aprobaciones y verificación continua
+
+> 🌐 [English](security-hardening.md) · [Русский](security-hardening.ru.md) · **Español** · [Français](security-hardening.fr.md) · [中文](security-hardening.zh.md)
+
+Warden 0.7.0 y ARGUS 0.3.2 cierran seis problemas. Se verifican las definiciones y la configuración de arranque; esto no constituye aislamiento del sistema operativo ni una garantía del comportamiento del servidor.
+
+1. **Antes de conectar.** Ejecutar `warden.vetLaunch(server)` antes de iniciar el proceso stdio o abrir el transporte remoto. Comprueba procedencia, amenazas conocidas en comandos/direcciones e identidad de arranque aprobada. Después, obtener todas las páginas de `tools/list` y ejecutar `vet(server, tools)` antes de exponer herramientas al modelo. Aprobar el arranque no aprueba las herramientas.
+2. **Protección del feed firmado.** Se guardan timestamp, digest y registros del último snapshot por clave de editor en `feeds/`. Se rechaza un timestamp anterior o contenido distinto con el mismo timestamp, incluso tras reiniciar. Un snapshot firmado posterior puede retirar reglas. Si falla la actualización se mantienen los últimos registros aceptados; `feed.status.stale` informa de su antigüedad por separado. El límite de diez segundos incluye cabeceras y cuerpo completo; siguen vigentes los límites de bytes y registros.
+3. **Stdio.** Estructuras JSON-RPC inválidas devuelven `-32600`, parámetros inválidos `-32602` y JSON mal formado `-32700`. UTF-8 se decodifica al recibir la trama completa. Máximo: 1 MiB por trama y 8 KiB por cabecera Content-Length. Una trama inválida o excesiva cierra la conexión deliberadamente; un objeto de solicitud inválido no termina el proceso. Los argumentos mantienen el límite independiente de 256 000 caracteres.
+4. **Aprobaciones persistentes.** `vet_mcp_server` consulta pins guardados. `status_mcp_server({server, tools})` devuelve `previous`, `previousRevision`, `currentTools`, `currentToolsHash`, `currentIdentityHash` y `changed` para revisión. Aprobar requiere los hashes exactos revisados y `previous_pin_revision` (null para la primera aprobación). Revocar también exige la revisión anterior. Un cambio concurrente invalida una revisión antigua. Las definiciones se guardan para comparación: no incluir credenciales reales.
+5. **Definiciones completas.** El formato v2 incluye todos los campos publicados: `title`, `outputSchema`, `annotations` y extensiones. Se omiten campos superiores undefined. Las definiciones simples name/description/inputSchema conservan su digest. Pins antiguos que no cubrían campos adicionales requieren aprobación explícita (`PIN_FORMAT_UPGRADE_REQUIRED`); los nuevos registran `toolsHashVersion: 2`. Las reglas v6 analizan las superficies adicionales. Las comillas de serialización JSON no convierten una instrucción en una cita inocua. Las anotaciones no conceden permisos.
+6. **Sesión activa.** ARGUS pone las herramientas en cuarentena inmediatamente al recibir `notifications/tools/list_changed` y verifica de nuevo todas las páginas. También verifica antes de cada llamada, aunque el servidor omita notificaciones. Una referencia antigua no ejecuta una definición modificada, incluso tras aprobarla de nuevo. Fallos de listado, nombres duplicados, cursores repetidos, más de 32 páginas, 256 herramientas o 1 MiB de definiciones bloquean el uso. No se reaprueban cambios automáticamente. La primera conexión limpia conserva la política existente de ARGUS: guardar automáticamente el primer pin, sin revisión humana implícita. Si falla esa escritura, se cierra la conexión. Un cambio durante la ejecución impide devolver el resultado, pero no deshace efectos ya producidos; no reintentar automáticamente.
+
+## Estado y permisos
+
+Directorio: `WARDEN_STATE_DIR`, en su defecto `$XDG_STATE_HOME/warden`, o `~/.local/state/warden`. La biblioteca acepta `ThreatFeed({stateDir})` y `FilePinStore(directory)`. ARGUS usa `warden/` dentro de su directorio de memoria para el feed. Archivos con nombre derivado del hash del ID, reemplazo atómico, permisos solo del propietario y bloqueos por archivo. Tras una caída con bloqueo activo, la escritura falla de forma segura: detener todos los escritores, inspeccionar y borrar solo el `.lock` abandonado. No borrar snapshots para ocultar errores. Usar almacenamiento local persistente; eliminarlo borra aprobaciones e historial contra rollback.
+
+Las mutaciones MCP están deshabilitadas por defecto. El operador puede establecer `WARDEN_ALLOW_PIN_CHANGES=1` antes de iniciar `warden-mcp`. Esto delega al cliente MCP la capacidad de aprobar/revocar; no puede activarse mediante argumentos. El host o una sesión separada de operador debe imponer la revisión humana. Escanear no aprueba silenciosamente; reaprobaciones deben superar las demás comprobaciones.
+
+## Actualización y límites
+
+Publicar/instalar primero `@aimarket/warden@0.7.0`, después `@alexar76/argus3@0.3.2`, y reiniciar clientes MCP. Revisar migraciones de pins antiguos en vez de borrarlos. Otros hosts deben integrar `vetLaunch` y la revalidación. Cambios de comportamiento con definiciones idénticas no son detectables por hashes. Los resultados siguen siendo datos no confiables: este cambio no añade filtrado de resultados ni aislamiento de procesos. Las pruebas locales cubren rollback, reinicio, timeout del cuerpo, UTF-8 fragmentado, mensajes inválidos, persistencia, cambios de metadatos y bloqueo en ARGUS, sin pagos ni despliegue en producción.
+
+```js
+const state = (await client.callTool({
+  name: "status_mcp_server", arguments: { server, tools },
+})).structuredContent;
+// Review state.previous against state.currentTools and the launch identity first.
+await client.callTool({ name: "approve_mcp_server", arguments: {
+  server, tools,
+  reviewed_tools_hash: state.currentToolsHash,
+  reviewed_identity_hash: state.currentIdentityHash,
+  previous_pin_revision: state.previousRevision,
+} });
+const verdict = (await client.callTool({
+  name: "vet_mcp_server", arguments: { server, tools },
+})).structuredContent;
+if (!verdict.allow) throw new Error("WARDEN blocked the server");
+// Revoke using a freshly reviewed status, not the pre-approval revision.
+```

package/docs/security-hardening.fr.md

@@ -0,0 +1,40 @@
+# Warden 0.7.0 : approbations et vérification continue
+
+> 🌐 [English](security-hardening.md) · [Русский](security-hardening.ru.md) · [Español](security-hardening.es.md) · **Français** · [中文](security-hardening.zh.md)
+
+Warden 0.7.0 et ARGUS 0.3.2 corrigent six lacunes. Ils vérifient les définitions et la configuration de lancement, sans constituer un bac à sable du système ni garantir le comportement du serveur.
+
+1. **Avant la connexion.** Appeler `warden.vetLaunch(server)` avant de lancer le processus stdio ou d'ouvrir le transport distant. Vérification de la provenance, des commandes/adresses dangereuses connues et de l'identité de lancement approuvée. Ensuite récupérer toutes les pages de `tools/list` et appeler `vet(server, tools)` avant exposition au modèle. Une vérification du lancement ne vaut pas approbation des outils.
+2. **Rejeu du feed signé.** Timestamp, digest et enregistrements du dernier snapshot sont conservés par clé d'éditeur dans `feeds/`. Un timestamp antérieur ou un contenu différent au même timestamp est refusé, même après redémarrage. Un snapshot signé plus récent peut retirer des règles. En cas d'échec, les derniers enregistrements acceptés restent actifs ; `feed.status.stale` indique séparément leur fraîcheur. Le délai de dix secondes couvre en-têtes et corps complet ; les limites de taille et de nombre restent actives.
+3. **Stdio.** Enveloppe JSON-RPC invalide : `-32600` ; paramètres invalides : `-32602` ; syntaxe JSON invalide : `-32700`. UTF-8 est décodé après réception d'une trame complète. Limites : 1 MiB par trame, 8 KiB pour l'en-tête Content-Length. Une trame incorrecte ou trop grande ferme volontairement la connexion ; un objet de requête invalide ne tue pas le processus. La limite indépendante des arguments reste 256 000 caractères.
+4. **Approbations persistantes.** `vet_mcp_server` lit les empreintes enregistrées. `status_mcp_server({server, tools})` renvoie `previous`, `previousRevision`, `currentTools`, `currentToolsHash`, `currentIdentityHash` et `changed` pour comparaison. L'approbation exige les empreintes exactes examinées et `previous_pin_revision` (null pour la première approbation). La révocation exige également la révision précédente. Une modification concurrente invalide une ancienne revue. Les définitions sont conservées : ne pas y inclure de véritables secrets.
+5. **Définitions complètes.** Le format v2 couvre tous les champs annoncés : `title`, `outputSchema`, `annotations` et extensions. Les champs supérieurs undefined sont omis. Les définitions simples name/description/inputSchema gardent leur digest. Les anciennes empreintes ne couvrant pas les champs supplémentaires exigent une nouvelle approbation explicite (`PIN_FORMAT_UPGRADE_REQUIRED`) ; les nouvelles portent `toolsHashVersion: 2`. Le jeu v6 analyse ces surfaces. Les guillemets de sérialisation JSON ne transforment plus une instruction en citation inoffensive. Les annotations restent des indications non fiables, jamais des permissions.
+6. **Pendant la session.** ARGUS suspend immédiatement les outils à réception de `notifications/tools/list_changed` puis vérifie toutes les pages. Il vérifie aussi avant chaque appel, même sans notification. Une ancienne référence ne peut pas exécuter une définition modifiée après réapprobation. Échec du listing, noms dupliqués, curseurs répétés, plus de 32 pages, 256 outils ou 1 MiB de définitions bloquent l'usage. Aucun changement n'est réapprouvé automatiquement. La première connexion saine conserve la politique ARGUS existante : premier pin automatique, sans revue humaine implicite. Un échec d'écriture ferme désormais la connexion. Un changement pendant l'exécution masque le résultat mais n'annule pas une action déjà effectuée ; ne pas réessayer automatiquement.
+
+## État et droits de l'opérateur
+
+Répertoire : `WARDEN_STATE_DIR`, sinon `$XDG_STATE_HOME/warden`, sinon `~/.local/state/warden`. La bibliothèque accepte `ThreatFeed({stateDir})` et `FilePinStore(directory)`. ARGUS place le feed dans `warden/` sous son répertoire mémoire. Noms de fichiers dérivés du hash des ID, remplacement atomique, permissions réservées au propriétaire et verrous par fichier. Si un processus meurt avec un verrou, les mutations échouent en sécurité : arrêter tous les rédacteurs, inspecter et supprimer uniquement le `.lock` abandonné. Ne pas effacer les snapshots pour masquer une erreur. Utiliser un volume local persistant ; sa suppression efface approbations et historique anti-rejeu.
+
+Les mutations MCP sont désactivées par défaut. L'opérateur peut définir `WARDEN_ALLOW_PIN_CHANGES=1` avant de lancer `warden-mcp`. Cela délègue au client MCP le droit d'approuver/révoquer ; un argument ne peut pas l'activer. La revue humaine relève du host ou d'une session opérateur séparée. Scanner n'approuve pas silencieusement ; toute réapprobation passe encore les autres contrôles.
+
+## Mise à jour et limites
+
+Publier/installer d'abord `@aimarket/warden@0.7.0`, puis `@alexar76/argus3@0.3.2`, et redémarrer les clients MCP. Examiner les migrations des anciens pins au lieu de les supprimer. Les autres hosts doivent brancher `vetLaunch` et la revalidation. Un comportement modifié derrière des définitions identiques échappe aux hashes. Les résultats restent non fiables : aucun filtrage du contenu des résultats ni isolation des processus n'est ajouté ici. Les tests locaux couvrent rejeu, redémarrage, délai du corps, UTF-8 fragmenté, requêtes invalides, persistance, changements de métadonnées et blocage ARGUS, sans paiements ni déploiement en production.
+
+```js
+const state = (await client.callTool({
+  name: "status_mcp_server", arguments: { server, tools },
+})).structuredContent;
+// Review state.previous against state.currentTools and the launch identity first.
+await client.callTool({ name: "approve_mcp_server", arguments: {
+  server, tools,
+  reviewed_tools_hash: state.currentToolsHash,
+  reviewed_identity_hash: state.currentIdentityHash,
+  previous_pin_revision: state.previousRevision,
+} });
+const verdict = (await client.callTool({
+  name: "vet_mcp_server", arguments: { server, tools },
+})).structuredContent;
+if (!verdict.allow) throw new Error("WARDEN blocked the server");
+// Revoke using a freshly reviewed status, not the pre-approval revision.
+```

package/docs/security-hardening.md

@@ -0,0 +1,40 @@
+# Warden 0.7.0: approvals and continuous verification
+
+> 🌐 **English** · [Русский](security-hardening.ru.md) · [Español](security-hardening.es.md) · [Français](security-hardening.fr.md) · [中文](security-hardening.zh.md)
+
+Warden 0.7.0 and ARGUS 0.3.2 close six gaps. This is a definition and launch-configuration firewall, not an operating-system sandbox or a guarantee about server behaviour.
+
+1. **Before connection.** Call `warden.vetLaunch(server)` before spawning a stdio process or opening a remote transport. It checks origin, known command/endpoint threats and the pinned launch identity. Once connected, obtain the complete `tools/list` and call `vet(server, tools)` before exposing tools. A successful launch check alone does not approve tools.
+2. **Signed feed rollback.** The last accepted timestamp, content digest and records are stored per publisher key under `feeds/`. An older timestamp, or different content with the same timestamp, is rejected even after restart. A newer signed snapshot can intentionally remove a rule. Failed updates retain the last-good records; `feed.status.stale` reports freshness separately, so retained rules are not presented as current intelligence. The ten-second deadline covers headers and the complete body. The byte and record caps still apply.
+3. **Stdio.** Invalid JSON-RPC envelopes return `-32600`, invalid parameters return `-32602`, and syntax errors return `-32700`. UTF-8 is decoded only after a complete frame arrives. Frames are limited to 1 MiB; legacy Content-Length headers to 8 KiB. Oversized or invalid framing terminates the connection deliberately; invalid request objects do not. The separate tool-argument limit remains 256,000 characters.
+4. **Durable approvals.** `vet_mcp_server` reads persisted pins. `status_mcp_server({server, tools})` returns `previous`, `previousRevision`, `currentTools`, `currentToolsHash`, `currentIdentityHash` and `changed` for review. Approval requires the exact reviewed tool and identity hashes and `previous_pin_revision` (null for first approval). Revocation also requires the previous revision. Concurrent changes invalidate a stale review. Definitions are retained for comparison; never put live credentials in them.
+5. **Complete definitions.** Hash format v2 pins all advertised fields, including `title`, `outputSchema`, `annotations` and extension metadata. Undefined top-level fields are omitted. Plain name/description/inputSchema payloads keep their existing digest. Legacy pins that did not cover extended fields require explicit reapproval (`PIN_FORMAT_UPGRADE_REQUIRED`); new pins record `toolsHashVersion: 2`. Ruleset v6 scans these additional surfaces. JSON delimiters around a schema description are not treated as evidence that an instruction is merely a quotation. Annotations remain untrusted hints and grant no permissions.
+6. **During the session.** ARGUS quarantines tools immediately on `notifications/tools/list_changed` and rechecks all pages. It also rechecks before every tool call, including when a server sends no notification. Old wrappers are tied to the definitions the user/model saw and cannot execute a changed definition after reapproval. Listing failures, duplicate names, repeated cursors, over 32 pages, over 256 tools or over 1 MiB of listed definitions fail closed. Drift is never automatically reapproved. Initial clean connections retain ARGUS's existing automatic first-pin policy; this is not a human review step. Pin-write failure now closes the connection. A change during execution withholds the result, but cannot undo an already performed side effect; do not retry automatically.
+
+## State and operator permissions
+
+The state directory is `WARDEN_STATE_DIR`, otherwise `$XDG_STATE_HOME/warden`, otherwise `~/.local/state/warden`. A library caller can supply `ThreatFeed({stateDir})` or `FilePinStore(directory)`. ARGUS stores feed state below its configured memory directory (`warden/`). Pin files use hashed server IDs, atomic replacement and owner-only permissions; writes use per-file locks. If a process dies while holding a lock, later mutation fails closed. Stop all writers, inspect the state and remove only the abandoned `.lock` file; do not delete snapshots to silence an error. Keep the directory on a persistent local volume. Deleting it discards approvals and rollback history.
+
+By default MCP approval mutations are disabled. The operator may set `WARDEN_ALLOW_PIN_CHANGES=1` **before starting** `warden-mcp`. This delegates approval/revocation capability to that MCP client; a request argument cannot enable it. Human review must be enforced by the host or by using a separate operator session. Scanning never approves silently, and reapproval must still pass the other security gates.
+
+## Upgrade and limits
+
+Publish/install `@aimarket/warden@0.7.0` first, then `@alexar76/argus3@0.3.2`, which pins that dependency. Restart MCP clients. Review legacy-pin migration findings rather than deleting pins. Other hosts must wire `vetLaunch` and runtime revalidation themselves. Neither hash comparisons nor notifications detect a backend changing its behaviour while advertising identical definitions. Tool results remain untrusted; these changes do not implement result-content screening or process isolation. Added local regression tests cover rollback/restart, body timeout, split UTF-8, invalid messages, approval persistence, metadata drift and ARGUS call blocking. No paid calls or production deployment are required to run them.
+
+```js
+const state = (await client.callTool({
+  name: "status_mcp_server", arguments: { server, tools },
+})).structuredContent;
+// Review state.previous against state.currentTools and the launch identity first.
+await client.callTool({ name: "approve_mcp_server", arguments: {
+  server, tools,
+  reviewed_tools_hash: state.currentToolsHash,
+  reviewed_identity_hash: state.currentIdentityHash,
+  previous_pin_revision: state.previousRevision,
+} });
+const verdict = (await client.callTool({
+  name: "vet_mcp_server", arguments: { server, tools },
+})).structuredContent;
+if (!verdict.allow) throw new Error("WARDEN blocked the server");
+// Revoke using a freshly reviewed status, not the pre-approval revision.
+```

package/docs/security-hardening.ru.md

@@ -0,0 +1,40 @@
+# Warden 0.7.0: одобрения и повторная проверка
+
+> 🌐 [English](security-hardening.md) · **Русский** · [Español](security-hardening.es.md) · [Français](security-hardening.fr.md) · [中文](security-hardening.zh.md)
+
+Warden 0.7.0 и ARGUS 0.3.2 закрывают шесть разрывов. Warden проверяет определения инструментов и настройки запуска; он не является песочницей ОС и не гарантирует поведение сервера.
+
+1. **До подключения.** Вызывать `warden.vetLaunch(server)` до запуска stdio-процесса или открытия удалённого соединения. Проверяются происхождение, известные опасные команды/адреса и ранее одобренная идентичность запуска. После подключения получить полный `tools/list` и вызвать `vet(server, tools)` до передачи инструментов модели. Успешная предпроверка запуска сама по себе не одобряет инструменты.
+2. **Откат подписанной базы угроз.** Последние принятые timestamp, digest и записи сохраняются отдельно для каждого ключа издателя в `feeds/`. Более старый снимок и другой контент с тем же timestamp отклоняются, включая после перезапуска. Более новый подписанный снимок может намеренно удалить правило. При ошибке обновления остаются последние принятые правила; `feed.status.stale` отдельно показывает их свежесть. Таймаут десять секунд охватывает заголовки и всё тело ответа. Ограничения размера и числа записей сохраняются.
+3. **Stdio.** Некорректная структура JSON-RPC возвращает `-32600`, параметры — `-32602`, синтаксис JSON — `-32700`. UTF-8 декодируется после получения целого сообщения. Предел сообщения — 1 MiB, заголовка старого Content-Length — 8 KiB. Превышение предела или повреждённый фрейм намеренно закрывают соединение; некорректный объект запроса процесс не завершает. Отдельный предел аргументов инструмента — 256 000 символов.
+4. **Постоянные одобрения.** `vet_mcp_server` читает сохранённые отпечатки. `status_mcp_server({server, tools})` возвращает `previous`, `previousRevision`, `currentTools`, `currentToolsHash`, `currentIdentityHash`, `changed` для сравнения. Одобрение требует точных рассмотренных хешей инструментов и запуска, а также `previous_pin_revision` (null при первом одобрении). Отзыв тоже требует предыдущую ревизию. Конкурентное изменение делает старое решение неприменимым. Определения сохраняются для сравнения: не помещайте в них действующие секреты.
+5. **Полные определения.** Формат отпечатка v2 включает все объявленные поля, в том числе `title`, `outputSchema`, `annotations` и расширения. Верхнеуровневые поля со значением undefined пропускаются. Для обычных name/description/inputSchema прежний digest сохраняется. Старые одобрения, не покрывавшие расширенные поля, требуют явного переодобрения (`PIN_FORMAT_UPGRADE_REQUIRED`); новые содержат `toolsHashVersion: 2`. Набор правил v6 проверяет дополнительные поверхности. JSON-кавычки вокруг описания схемы больше не считаются доказательством безобидного цитирования инструкции. Аннотации остаются недоверенными подсказками, не разрешениями.
+6. **Во время сессии.** При `notifications/tools/list_changed` ARGUS немедленно приостанавливает инструменты и перепроверяет все страницы списка. Повторная проверка есть и перед каждым вызовом — даже без уведомлений сервера. Старые ссылки привязаны к определениям, которые видел пользователь/модель, и не выполняют изменённый инструмент после переодобрения. Ошибки получения списка, одинаковые имена, повтор курсора, более 32 страниц, 256 инструментов или 1 MiB определений блокируют использование. Изменения не переодобряются автоматически. Для первого чистого подключения сохраняется прежняя политика ARGUS: автоматическая запись первого отпечатка; это не ручная проверка человеком. Ошибка записи теперь закрывает соединение. Изменение во время исполнения скрывает результат, но не отменяет уже совершённое действие — автоматически повторять вызов нельзя.
+
+## Хранение и права оператора
+
+Каталог состояния: `WARDEN_STATE_DIR`, иначе `$XDG_STATE_HOME/warden`, иначе `~/.local/state/warden`. В библиотеке можно задать `ThreatFeed({stateDir})` или `FilePinStore(directory)`. ARGUS хранит базу угроз в `warden/` внутри своего каталога памяти. Имена файлов одобрений получаются из хеша server ID; запись атомарная, права — только владельцу, изменения защищены отдельными файловыми блокировками. Если процесс погиб с блокировкой, дальнейшее изменение отклоняется. Остановить всех писателей, проверить состояние и удалить только оставшийся `.lock`; не удалять снимки ради устранения ошибки. Использовать постоянный локальный том. Удаление каталога стирает одобрения и историю защиты от отката.
+
+По умолчанию MCP не разрешает изменять одобрения. Оператор может установить `WARDEN_ALLOW_PIN_CHANGES=1` **до запуска** `warden-mcp`. Это делегирует MCP-клиенту право одобрения и отзыва; аргумент запроса включить его не может. Если нужна ручная проверка, её обеспечивает хост или отдельная операторская сессия. Сканирование само не одобряет сервер, а переодобрение обязано пройти остальные проверки безопасности.
+
+## Обновление и границы
+
+Сначала опубликовать/установить `@aimarket/warden@0.7.0`, затем `@alexar76/argus3@0.3.2`, который закрепляет эту зависимость. Перезапустить MCP-клиенты. При миграции изучить предупреждение и определения, а не удалять одобрения. В других хостах `vetLaunch` и повторную проверку необходимо подключить самостоятельно. Неизменные объявления не позволяют обнаружить изменение поведения внутреннего кода сервера. Результаты инструментов остаются недоверенными: фильтр содержимого результатов и изоляция процессов этим релизом не добавлены. Локальные регрессионные тесты проверяют откат/перезапуск, таймаут тела, разрыв UTF-8, некорректные сообщения, сохранение одобрений, изменение метаданных и блокировку вызовов ARGUS. Платные вызовы и выкладка на прод для этих тестов не требуются.
+
+```js
+const state = (await client.callTool({
+  name: "status_mcp_server", arguments: { server, tools },
+})).structuredContent;
+// Review state.previous against state.currentTools and the launch identity first.
+await client.callTool({ name: "approve_mcp_server", arguments: {
+  server, tools,
+  reviewed_tools_hash: state.currentToolsHash,
+  reviewed_identity_hash: state.currentIdentityHash,
+  previous_pin_revision: state.previousRevision,
+} });
+const verdict = (await client.callTool({
+  name: "vet_mcp_server", arguments: { server, tools },
+})).structuredContent;
+if (!verdict.allow) throw new Error("WARDEN blocked the server");
+// Revoke using a freshly reviewed status, not the pre-approval revision.
+```