@chrono-meta/fh-gate 2.6.0 → 2.7.0

package/scripts/prior_art_prompt.sh

@@ -0,0 +1,168 @@
+#!/usr/bin/env bash
+# prior_art_prompt.sh — T2 «새로 짓기 시작» 시점에 **내 컨텍스트로** 한 줄을 넣는다.
+#
+# ── 왜 이 자리인가 (2026-08-21, 챔버 런 consolidation-path-gate) ──
+# 운영자 실경험이 준 두 시점: T1 착수(세션 갓 시작) · **T2 컨텍스트가 길어진 뒤 또 새로 빌드업할 때**.
+# 이 훅이 T2 다. PreToolUse(Write) 는 «새 파일을 쓰기 직전» 이라 그 경계와 정확히 겹친다.
+#
+# ── 왜 산문이 아니라 훅인가 (실측) ──
+# 같은 날 sim: **명시 지시 3/3 · advisory 0/3 · 프레이밍 0/3**. CLAUDE.md 에 규율을 더 적는 것은
+# 프레이밍이라 0/3 자리다. `additionalContext` 는 훅이 **모델 컨텍스트에 지시로** 넣는 유일한
+# 채널이고([[feedback_advisory_invisible_to_actor]]), 그게 3/3 자리다.
+#
+# ── 왜 서브에이전트가 아닌가 ──
+# 같은 날 먼저 지은 `persona-innovator` Mode X 는 **불렀을 때** 돈다. 남에게 시킨 숙고는 그 순간의
+# 세션을 안 바꾼다 — 오늘 자력 적발 0 · 외부(운영자5·codex·challenger·레인·CI) 적발 10+ 이 그 증거다.
+#
+# ── 이건 브레이크가 아니라 곱셈기다 (운영자, 2026-08-21) ──
+# *"충분히 세상을 찾아봤으면 그 이후에는 가진 능력을 활용해서 개발을 해내야 한다. 이때 내부의
+#  능력을 100% 활용해야지. 조합하면 배수는 지수적으로 올라갈 수 있고. 그게 가능한 이유는 바깥의
+#  문제를 풀어낸 데이터들과 내부의 능력 오케스트레이션이 서로 엮이고 곱해지기 때문이다."*
+# ⇒ 이 훅의 목적은 «짓지 마라» 가 아니라 «바깥을 입력으로 삼아 안을 100% 써라» 다.
+# 금지로 읽히면 무시당하고, 곱셈기로 읽히면 쓰인다. 문안이 그렇게 끝나야 한다.
+#
+# ── 새 판단 0줄 ──
+# 🟥 «명명 어휘» 가 이 훅의 실제 기전이다 (2026-08-21 실측). 같은 날 sim 에서 양팔 다 검색했는데
+# 힌트 쥔 쪽만 정답에 닿았다(2/3 vs 0/3) — 차이는 검색 의지가 아니라 **무엇을 찾을지 이름 붙이는
+# 능력**이었다. 운영자: *"늘 책을 읽는 사람이 AI 를 더 잘 다루어낸다."* 독서가 주는 것이 명명
+# 어휘이고, 이 훅은 그걸 그 순간에 빌려주는 것이다. 그래서 문안이 «찾아라» 가 아니라
+# «일반 어휘로 이름 붙여 찾아라» 로 끝난다.
+#
+# ── 사다리지 체크리스트가 아니다 (운영자, 2026-08-21) ──
+# *"근처에 있는 책장 찾기 > 책장에도 없으면 도서관 가기"* — 순서가 하중이다. 셋이 그 순서를 지지한다:
+# 코퍼스(ⓑ내부미조회 9 > ⓐ외부미조회 6) · 이 세션 sim(내부 부재판정 오류 6/6) · SAAS 2605.29796
+# («internal knowledge suffices 인데 무턱대고 검색 = severe over-search»). 평평한 목록은 그 순서를
+# 못 준다. 그리고 FH 자산 이름이 이미 `deep_research_capability_ladder` 다 — 사다리가 원래 형태다.
+#
+# 내용은 **이미 있는 스킬 넷을 가리키기만** 한다(운영자: *"우리 안에 그 스킬들이 있고 그 스킬들을
+# 발휘하면 세계에 닿겠지"*). 내부=asset-placement-gate Step 0.6 · CATALOG · novelty_claim_check ·
+# 외부=deep_research_capability_ladder · 숙고=fh-commons:deliberation.
+#
+# ── degrade ──
+# 가역 표면(파일 쓰기)이라 **절대 안 막는다.** exit 0 고정, permissionDecision 없음.
+# 판정도 안 한다 — 한 줄 제안이다. 조용한 실패(파싱 불가·python3 부재)는 무음 통과.
+set -uo pipefail
+RAW=$(cat 2>/dev/null || true)
+# file_path 와 session_id 를 한 번에 뽑는다(파이프 두 번 안 탄다).
+PARSED=$(printf '%s' "$RAW" | python3 -c '
+import json,sys
+try: d=json.load(sys.stdin)
+except Exception: sys.exit(0)
+ti=d.get("tool_input",{}) or {}
+fp=(ti.get("file_path","") or "")
+cmd=(ti.get("command","") or "").replace("\t"," ").replace("\n"," ")
+sid=(d.get("session_id","") or "")
+sys.stdout.buffer.write((fp+"\t"+sid+"\t"+cmd).encode("utf-8"))
+' 2>/dev/null) || exit 0
+FILE="${PARSED%%$'\t'*}"
+_REST="${PARSED#*$'\t'}"
+SID="${_REST%%$'\t'*}"
+CMD="${_REST#*$'\t'}"
+[ "$CMD" = "$_REST" ] && CMD=""
+
+# ── 🟥 Bash 경로 (2026-08-21, 첫 실사용이 «비발화» 로 났다) ──
+# 초판 matcher 는 `Write` 뿐이었다. 그런데 auto-mode 는 파일 생성을 **Bash 의 리다이렉트/heredoc**
+# 으로 한다(이 저장소 CLAUDE.md 가 그렇게 지시한다: *"make file changes with sed, heredocs…"*).
+# 즉 이 훅이 겨냥한 «새 메커니즘을 짓기 직전» 이 **구조적으로 Write 를 안 탄다.**
+# ⇒ matcher 에 Bash 를 넣고, `file_path` 가 없으면 **명령의 리다이렉트 대상**에서 뽑는다.
+#
+# 🟥 heredoc 을 파싱하지 않는다 — 리다이렉트 «대상 경로» 만 본다. `cat > x.sh <<EOF` 든
+#    `printf … > x.sh` 든 대상은 `> ` 뒤에 있고, 본문은 볼 필요가 없다. 놓치는 형태
+#    (`tar x` · 에디터 · `cp`)는 **명시된 잔여**다 — 이 훅은 판정이 아니라 제안이라 미발화의
+#    비용이 오발화보다 싸다.
+if [ -z "$FILE" ] && [ -n "$CMD" ]; then
+  # 🟥 cross-family 4 HIGH 를 받고 다시 지었다 (2026-08-21). 넷 다 **오발화**였고,
+  #    이 훅에서 오발화는 미발화보다 훨씬 비싸다(소음 = 자기무력화 경로).
+  #      ① `[[:space:]]tee` 에 **뒤 경계가 없어** `rg tee_probe.py` 가 tee 대상으로 읽혔다
+  #      ② `>>?` 가 **`2>` 안의 `>`** 를 잡아 `pytest 2> /tmp/errors.sh` 가 발화했다
+  #      ③ `git diff > /tmp/review_delta.sh` — 리포트인데 이름이 `.sh` 라 발화했다
+  #      ④ `"$LOG_DIR/x.sh"` — 변수가 안 풀려 리터럴 `$LOG_DIR/...` 로 존재검사를 통과했다
+  #    수리 셋: ⓐ 리다이렉트는 **앞이 «줄머리 또는 공백»** 이어야 한다(→ `2>`·`1>`·`&>` 배제)
+  #             ⓑ `tee` 는 **앞뒤 공백**을 요구한다  ⓒ 대상은 **이 프로젝트 안**이어야 한다
+  #    ⓒ 가 ②③ 의 현실적 형태를 함께 죽인다 — 새 «메커니즘» 은 /tmp 에 안 산다.
+  for _c in $(printf '%s' "$CMD" \
+      | grep -oE '(^|[[:space:]])(>>?|tee[[:space:]])[[:space:]]*"?'"'"'?[^ "'"'"'|;&)<>]+' 2>/dev/null \
+      | sed -E 's/^[[:space:]]*(>>?|tee[[:space:]])[[:space:]]*//; s/^["'"'"']//'); do
+    case "$_c" in
+      ''|/dev/*|\&*|-) continue ;;
+      *'$'*) continue ;;                       # ④ 미확장 변수 — 리터럴로 판정하면 거짓이다
+      *..*) continue ;;                        # 상위 탈출 경로는 «이 프로젝트 안» 이 아니다
+    esac
+    # ⓒ 프로젝트 밖 절대경로는 대상이 아니다. 상대경로는 프로젝트 기준이라 통과시킨다.
+    case "$_c" in
+      /*) case "$_c" in
+            "${CLAUDE_PROJECT_DIR:-/nonexistent-project-dir}"/*) ;;
+            *) continue ;;
+          esac ;;
+    esac
+    case "$_c" in
+      *.sh|*/SKILL.md|*/SKILL_detail.md|*/agents/*.md|*/rules/*.md|*.py|*.js|*.ts) FILE="$_c"; break ;;
+    esac
+  done
+fi
+[ -n "$FILE" ] || exit 0
+
+# ── 발동 조건 — 소음이 이 능력을 죽인다(냉독자 «자기무력화 경로») ──
+# ① 이미 있는 파일 편집은 «새로 짓기» 가 아니다
+[ -e "$FILE" ] && exit 0
+# ② 기록·산출물은 대상이 아니다. «메커니즘» 만.
+# 🟥 상대경로도 잡아야 한다 (2026-08-21 레인 D4). 초판 제외는 `*/tracks/*` 뿐이라
+#    **절대경로만** 걸렀다 — Write 는 절대경로를 주지만 **Bash 는 상대경로를 준다**
+#    (`cat > tracks/_meta/note.sh`). Bash 팔을 붙이면서 이 비대칭이 드러났고,
+#    제외가 안 먹으면 이 훅은 산출물마다 뜨는 소음이 된다(=자기무력화 경로).
+case "$FILE" in
+  tracks/*|logs/*|.git/*|node_modules/*) exit 0 ;;
+  */tracks/*|*/logs/*|*.log|*.json|*.lock|*/node_modules/*|*/.git/*) exit 0 ;;
+esac
+case "$FILE" in
+  *.sh|*/SKILL.md|*/SKILL_detail.md|*/agents/*.md|*/rules/*.md|*.py|*.js|*.ts) ;;
+  *) exit 0 ;;
+esac
+# ③ **세션당** 한 번. 매 Write 마다 뜨면 3회 거절로 조용히 죽는다.
+# 🟥 초판은 스탬프를 **날짜**로 잡았다 — 주석은 «세션당» 인데 구현은 «하루당» 이었고, 하루에 세션을
+# 여럿 도는 환경(이 운영자가 그렇다)에서는 **첫 세션만 뜨고 나머지는 전부 침묵**한다. 내 레인도
+# 못 잡았다: 디렉터리만 갈랐지 날짜 의미론을 안 쟀다. 훅 입력의 `session_id` 로 고친다.
+# session_id 가 없으면(구버전·수동 호출) 날짜로 degrade — 침묵이 아니라 «덜 자주» 쪽이다.
+# 🟥 `session_id` 는 **신뢰할 수 없는 입력**이다 (cross-family HIGH#5). 실측: `x/../../../name`
+#    이 접두 검사를 통과해 프로젝트 밖에 파일을 만들었고, 끝에 `/` 를 붙이면 스탬프가 아예
+#    안 써져 **매번 발화**했다(세션당 1회가 무력화). 화이트리스트로 좁힌다 — 빈 값이 되면
+#    날짜로 degrade(침묵이 아니라 «덜 자주» 쪽).
+_SID_SAFE=$(printf '%s' "${SID:-}" | tr -cd 'A-Za-z0-9_-')
+STAMP="${CLAUDE_PROJECT_DIR:-.}/.claude/.prior_art_prompted_${_SID_SAFE:-$(date +%Y%m%d)}"
+[ -f "$STAMP" ] && exit 0
+mkdir -p "$(dirname "$STAMP")" 2>/dev/null || true
+: > "$STAMP" 2>/dev/null || true
+
+MSG="🔎 새 메커니즘을 쓰려는 참이다 ($(basename "$FILE")). 짓기 전에 **책장부터, 없으면 도서관** —
+안 했으면 지금 하고, 했으면 이 줄은 무시해라.
+
+  ① 책장    바로 옆에 있나. **여기가 대부분이다.**
+            우리 안 : CATALOG.md · .claude/registry/ · plugins/**/SKILL.md · scripts/ 를 실제로 grep
+            옆 칸   : LOCAL_SKILL_REGISTRY · scripts/cluster_capability_scan.sh · §Cross-Project Skill Bus
+                     🟥 여기서 나오면 «찾아온 것» 이 아니라 **바로 호출 가능한 능력**이다
+            🟥 «grep 0건» 을 «없다» 로 확정하지 마라 — 오늘 실측에서 세션 6/6 이 이 자리에서 틀렸다.
+               내 어휘로만 두드렸을 가능성을 먼저 의심해라.
+
+  ② 도서관  **책장에 없을 때만** 간다. 있는데 가면 그건 over-search 다(arXiv 2605.29796 이 명명한 실패모드).
+            갈 때는 문제를 **일반 어휘로 이름 붙여서** — 내부 어휘로는 세계에 안 닿는다.
+            경로: knowledge/shared/harness-core/deep_research_capability_ladder.md
+
+  ③ 숙고    ①②를 놓고 갈랐나 — fh-commons:deliberation (제안→반론→종합)
+
+  ④ 짓기    🟥 **탐색은 끝이 아니라 입력이다.** 찾았으면 거기서 멈추지 말고 **가진 능력을 100% 써서
+            지어라** — 바깥이 푼 데이터 × 내부 오케스트레이션은 더해지는 게 아니라 **곱해진다**
+            (arXiv 2607.06906 실측: 품질/달러 +82%, 백만토큰당 완수 54.9→92.0).
+            합주 형식은 이미 있다: CLAUDE.md §Intent Marshaling.
+
+안 밟은 칸이 있으면 한 줄로 물어라: «이 문제 이름이 X 같은데 확인해볼까?»
+판정이 아니라 제안이다. 이미 밟았으면 진행해라 — 단, 진행할 때 **내부 능력을 덜 쓰지 마라.**"
+
+if json_out=$(printf '%s' "$MSG" | PYTHONIOENCODING=utf-8 python3 -c '
+import json,sys
+h=sys.stdin.read()
+print(json.dumps({"hookSpecificOutput":{"hookEventName":"PreToolUse","additionalContext":h}}))
+' 2>/dev/null) && [ -n "$json_out" ]; then
+  printf '%s\n' "$json_out"; exit 0
+fi
+printf '%s\n' "$MSG" >&2
+exit 0

package/scripts/psa_scan_lib.sh

@@ -112,7 +112,19 @@ psa_low_allowlisted() {
 # Prints diagnostics for every degraded state; sets the flags above. NEVER exits — the caller owns
 # the degrade direction, because it differs by surface (see the header).
 psa_load() {
-  local defaults="$1" override="$2" raw ov
+  local defaults="$1" override="$2" raw ov _tabtest
+  # 🟥 R5-3: 이 라이브러리는 `$'\t'` (ANSI-C quoting) 에 의존한다 — **POSIX 가 아니다.**
+  #    dash 에서는 리터럴 `$\t` 로 읽혀 정상 행이 «TAB 없음» 으로 떨어지고, 스트림이 통째로
+  #    비면서 **bad=1 · stream=[] 로 조용히 무력화**됐다(cross-family 실측). 그건 미측정이지
+  #    「패턴이 없다」가 아니다. 지원 범위는 bash/zsh 이고, 그걸 산문이 아니라 여기서 확인한다.
+  #    판별은 길이다 — 실측: bash/zsh `len=1`(진짜 TAB) · dash `len=3`(리터럴 `$\t`).
+  _tabtest=$'\t'
+  if [ "${#_tabtest}" -ne 1 ]; then
+    echo "  ❌ INSTRUMENT DEAD — this shell does not support \$'\\t' (ANSI-C quoting)." >&2
+    echo "     psa_scan_lib.sh requires bash or zsh. Re-run under one of them; NOT SCANNED." >&2
+    PSA_STREAM=""; PSA_DEFAULTS_OK=0; PSA_OVERRIDE_PRESENT=0; PSA_BAD_ROWS=1
+    return 3
+  fi
   PSA_STREAM=""; PSA_DEFAULTS_OK=0; PSA_OVERRIDE_PRESENT=0; PSA_BAD_ROWS=0
 
   # Layer 1 — committed defaults. This file ships with the repo, so missing/unreadable/empty is a
@@ -156,11 +168,23 @@ $ov"; PSA_OVERRIDE_PRESENT=1
       echo "  ❌ unusable pattern row (no TAB between severity and regex): ${line%%$'\t'*}"
       PSA_BAD_ROWS=$((PSA_BAD_ROWS+1)); continue
     fi
-    printf '' | grep -E "$re" >/dev/null 2>&1; rc=$?    # 0/1 = compiled; >=2 = regex error
+    # 🟥 R4-1: 여기도 `cmd; rc=$?` 였다 — P3 를 스캔 경로에서만 고치고 **로더 경로로 전파를 안 봤다**.
+    #    정상 패턴은 빈 입력에 rc=1 을 내므로 `set -e` 호출자는 psa_load 에서 죽는다(선재, 양 셸 실측).
+    if printf '' | grep -E "$re" >/dev/null 2>&1; then rc=0; else rc=$?; fi    # >=2 = regex error
     if [ "$rc" -ge 2 ]; then
       echo "  ❌ unusable pattern (invalid regex) — this detector would match nothing: [${line%%$'\t'*}]"
       PSA_BAD_ROWS=$((PSA_BAD_ROWS+1)); continue
     fi
+    # 🟥 P4 (선재 결함): 판별력 없는 패턴을 거부한다 — 빈 패턴 · `^` · `a*` · `SECRET|^$`.
+    #    모든 입력에 매치하므로 검출기로 **쓸 수 없는데** 초판 로더는 유효로 받아들였다.
+    #    🟥 그리고 이 검사는 **위의 컴파일 검사로는 못 한다**: `printf ''` 는 줄을 0개 주므로
+    #    grep 이 매치할 대상 자체가 없어 **어떤 패턴이든 rc=1** 이다(실측). 위 주석의
+    #    「0 = 컴파일됨」은 도달 불가능한 값을 서술한 것이었다. 빈 «줄» 을 따로 먹인다.
+    if printf '\n' | grep -E "$re" >/dev/null 2>&1; then rc=0; else rc=$?; fi
+    if [ "$rc" -eq 0 ]; then
+      echo "  ❌ unusable pattern (matches the EMPTY string — no discrimination): [${line%%$'\t'*}]"
+      PSA_BAD_ROWS=$((PSA_BAD_ROWS+1)); continue
+    fi
     valid="$valid
 $line"
   done <<PSA_ROWS
@@ -208,31 +232,128 @@ psa_detect_operator_context() {
 # Why path-tagged input: the LOW allowlist is per FILE, so a scanner that flattens content loses the
 # only information needed to apply it. The push copy did exactly that and blocked its own first real
 # push on a companion-store name inside the script whose job is to sync to the companion store.
+# _psa_in_selftest — «지금 psa_require_live 안에서 불린 것인가»를 **호출 스택**으로 판별한다.
+# 🟥 변수 표식을 쓰면 안 된다: 외부가 `_PSA_IN_SELFTEST=1` 을 미리 export 하는 것만으로
+#    자가검사가 통째로 생략된다(cross-family 반례 1b, 실행 재현). 전역 상태를 권한 표식처럼
+#    믿는 형태다. 호출 스택은 **호출자가 미리 심을 수 없다.**
+# bash=FUNCNAME · zsh=funcstack. 둘 다 없으면 판별 불가이므로 **재진입이 아니라고 답한다** —
+# 그러면 자가검사가 한 번 더 돌 뿐(무한재귀는 psa_require_live 가 이 함수를 한 겹만 부르므로
+# 발생하지 않는다), 반대로 «재진입이다」로 접으면 그게 fail-open 이다.
+_psa_in_selftest() {
+  local _st=""
+  # shellcheck disable=SC2154
+  if [ -n "${FUNCNAME[*]:-}" ]; then _st=" ${FUNCNAME[*]} "
+  elif [ -n "${funcstack[*]:-}" ]; then _st=" ${funcstack[*]} "
+  else return 1; fi
+  case "$_st" in *" psa_require_live "*) return 0 ;; esac
+  return 1
+}
+
 psa_scan_tagged() {
-  local input hit=0 row sev re path body tok
-  input=$(cat)
+  # 🟥 `path` 를 지역선언하지 마라 — zsh 에서 `path` 는 `PATH` 와 **tied 된 특수 배열**이라
+  #    `local path` 하는 순간 그 스코프의 `PATH` 가 빈 문자열이 되고, 바로 다음 줄의
+  #    `$(cat)` 부터 `command not found: cat` 으로 죽는다. 그런데 이 함수의 계약이
+  #    「빈 입력 = 신고할 것 없음 = return 0」이라 **계기 사망이 «깨끗한 스캔»과 바이트 단위로
+  #    같은 출력**이 된다 — 이 저장소가 이름 붙인 «미측정을 0으로 렌더» 의 가장 조용한 얼굴이다.
+  #    실측 2026-08-21: zsh 에서 known-positive·known-negative 가 **둘 다 rc=0** 이었다.
+  #    형제 특수변수(`fpath` `status` `argv` `cdpath` …)도 같은 함정이다.
+  local input hit=0 row sev re _psa_path body tok _line_hits _tok_hits _lg _tg
+
+  # ── E: 진입 생존성 가드 (2026-08-21, cross-family FAIL 판정 후 재작성) ─────────────
+  # 🟥 **초판 E 는 fail-open 을 못 닫았다.** codex/gpt-5.6-sol 이 반례 6개를 전부 실행으로
+  #    재현했고 판정은 FAIL 이었다. 초판의 구조적 맹점: **«자가검사가 한 번 통과했다»를
+  #    «그 뒤의 실제 스캔도 실행됐다»로 확장**한 것. 그 사이엔 시간·전역상태·파이프라인
+  #    상태라는 단절점이 셋 있다. 재작성이 닫는 것과 못 닫는 것을 아래에 이름으로 적는다.
+  #
+  # 🟥 **캐시 제거.** 초판은 `_PSA_LIVE_OK` 로 프로세스당 1회만 검사했다 — 첫 양성 뒤
+  #    grep 을 죽이면 같은 양성이 rc=0 이 됐다(codex 재현). 그리고 **캐시는 뚫린 쪽(긴
+  #    스킬 세션)에서만 위험하고 안전한 쪽(짧은 훅)에서만 이득**이라 방향이 반대였다.
+  #    비용은 **실측했다: psa_require_live 1회 ≈ 64ms** (훅 경로 최대 4회 = 0.26초).
+  #    초판은 이 비용을 **안 재고** 캐시를 정당화했다 — 그게 진짜 결함이었다.
+  #
+  # 🟥 **재진입 표식은 `local` 로 «동적 스코프»에 둔다.** 초판은 전역 변수를 권한 표식처럼
+  #    믿어서, 외부가 `_PSA_IN_SELFTEST=1` 을 미리 export 하면 자가검사가 **통째로 생략**됐다
+  #    (codex 재현: `grep(){ return 127; }` 상태에서 known-positive 가 rc=0 무출력).
+  #    `local` 선언은 외부 값을 **가리고**, 함수가 끝나면 **자동 복구**된다 — unset 실패나
+  #    시그널·트랩으로 값이 남는 경로가 없어진다.
+  if ! _psa_in_selftest; then
+    # 🟥 실제 패턴 스트림을 여기서 본다. 자가검사는 PSA_STREAM 을 카나리아로 **바꿔치기**
+    #    하므로 «진짜 패턴이 비었거나 깨졌는지»를 구조적으로 못 본다(codex 반례 3).
+    if [ -z "${PSA_STREAM:-}" ]; then
+      echo "  ❌ INSTRUMENT DEAD — PSA_STREAM is empty; nothing to match against. NOT SCANNED."
+      echo "  ❌ INSTRUMENT DEAD — PSA_STREAM is empty; NOT SCANNED (call psa_load first)." >&2
+      return 3
+    fi
+    # 🟥 R4-6: **부분 로드된 패턴 집합으로 «깨끗»을 말하지 않는다.** 초판은 이것을 «호출자
+    #    계약»으로 두었고(헤더가 그렇게 적어뒀다), cross-family 가 그 계약을 안 지키는 호출자를
+    #    실측 재현했다 — `SECRET|^$` 한 행이 떨어져 나간 집합으로 `SECRET` 입력이 rc=0 «깨끗».
+    #    산문 계약을 라이브러리 층으로 내린다: 안 실린 검출기가 있으면 그건 미측정이다.
+    #    (psa_load 를 안 부른 호출자는 PSA_BAD_ROWS 가 미설정이고, 그 경로는 위 빈-스트림
+    #     검사가 이미 잡는다. `case` 로 보는 이유는 비수치 오염에서 fail-open 하지 않기 위해서다.)
+    case "${PSA_BAD_ROWS:-0}" in
+      0) ;;
+      *) echo "  ❌ INSTRUMENT DEAD — ${PSA_BAD_ROWS} pattern row(s) were dropped; the detector set is PARTIAL. NOT SCANNED."
+         echo "  ❌ INSTRUMENT DEAD — ${PSA_BAD_ROWS} pattern row(s) dropped — a partial set cannot report clean." >&2
+         return 3 ;;
+    esac
+    if ! psa_require_live >/dev/null 2>&1; then
+      echo "  ❌ INSTRUMENT DEAD — psa_scan_tagged self-test failed. NOT SCANNED."
+      echo "  ❌ INSTRUMENT DEAD — psa_scan_tagged self-test failed. NOT SCANNED." >&2
+      echo "     A 0 from this scanner is UNMEASURED, not clean. Re-run under bash." >&2
+      return 3
+    fi
+  fi
+
+  # 🟥 `cat` 의 상태를 버리지 마라 (codex 반례 1). 초판은 `input=$(cat)` 로 대입만 하고
+  #    rc 를 버려서, cat 이 죽어 입력이 비면 그게 곧 «신고할 것 없음»이 됐다.
+  if ! input=$(cat); then
+    echo "  ❌ INSTRUMENT DEAD — could not read stdin. NOT SCANNED."
+    echo "  ❌ INSTRUMENT DEAD — could not read stdin. NOT SCANNED." >&2
+    return 3
+  fi
   [ -n "$input" ] || return 0
   while IFS= read -r row; do
     case "$row" in ''|\#*) continue;; esac
     re="${row#*$'\t'}"; [ "$re" = "$row" ] && continue
     sev="${row%%$'\t'*}"
+    # 🟥 grep 상태를 «매치 없음» 으로 접지 마라 (cross-family 반례 2, 2026-08-21).
+    #    `2>/dev/null || true` 는 rc 0(매치)·1(없음)·**2 이상(계기 오류)**을 하나로 뭉갠다.
+    #    실측 도달 경로: 패턴 파일에 **깨진 정규식**이 한 줄 있으면 그 행만 조용히 아무것도
+    #    안 잡고 스캔은 rc=0 «깨끗» 을 낸다. 자가검사는 자기 카나리아 패턴을 쓰므로
+    #    **진짜 패턴의 깨짐을 구조적으로 못 본다** — 그래서 여기서 봐야 한다.
+    # 🟥 P3 동형: grep 의 정상 «미매치»(rc=1)가 `set -e` 호출자를 죽인다.
+    if _line_hits=$(printf '%s\n' "$input" | grep -iE "$re" 2>/dev/null); then _lg=0; else _lg=$?; fi
+    if [ "$_lg" -gt 1 ]; then
+      echo "  ❌ INSTRUMENT DEAD — grep failed (rc=$_lg) on pattern: $re"
+      echo "  ❌ INSTRUMENT DEAD — grep failed (rc=$_lg) on pattern: $re" >&2
+      echo "     A broken pattern row scans NOTHING and reads as clean. NOT SCANNED." >&2
+      return 3
+    fi
     while IFS= read -r line; do
       [ -z "$line" ] && continue
-      path="${line%%$'\t'*}"; body="${line#*$'\t'}"
+      _psa_path="${line%%$'\t'*}"; body="${line#*$'\t'}"
       # EVERY match on the line. Taking only the first let a documented placeholder earlier on the
       # line shield a real token later on it.
+      if _tok_hits=$(printf '%s' "$body" | grep -oiE "$re" 2>/dev/null); then _tg=0; else _tg=$?; fi
+      if [ "$_tg" -gt 1 ]; then
+        echo "  ❌ INSTRUMENT DEAD — grep -o failed (rc=$_tg) on pattern: $re"
+        echo "  ❌ INSTRUMENT DEAD — grep -o failed (rc=$_tg) on pattern: $re" >&2
+        return 3
+      fi
       while IFS= read -r tok; do
         [ -z "$tok" ] && continue
         printf '%s' "$tok" | grep -qiE "$PSA_PLACEHOLDER" && continue
-        if [ "$sev" = "LOW" ] && psa_low_allowlisted "$path"; then continue; fi
-        if psa_pair_allowlisted "$path" "$tok"; then continue; fi
-        echo "  ❌ $sev leak — ${path}: '$tok'"
+        if [ "$sev" = "LOW" ] && psa_low_allowlisted "$_psa_path"; then continue; fi
+        if psa_pair_allowlisted "$_psa_path" "$tok"; then continue; fi
+        # 🟥 P5: zsh 의 `echo` 는 백슬래시를 해석한다 — 경로 `dir\two` 가 탭으로 변해
+        #    증거 문자열이 손상됐다(실측). fail-open 은 아니나 증거는 증거여야 한다.
+        printf '  ❌ %s leak — %s: \x27%s\x27\n' "$sev" "${_psa_path}" "$tok"
         hit=1
       done <<PSA_TOK
-$(printf '%s' "$body" | grep -oiE "$re" 2>/dev/null || true)
+$_tok_hits
 PSA_TOK
     done <<PSA_LINES
-$(printf '%s\n' "$input" | grep -iE "$re" 2>/dev/null || true)
+$_line_hits
 PSA_LINES
   done <<PSA_PAT
 $PSA_STREAM
@@ -285,15 +406,42 @@ _psa_can_assign() {
 #     the caller's shell before the restore line. Status capture is now inside an `if`.
 psa_require_live() {
   local saved_stream saved_allow saved_stream_set saved_allow_set tmpd out rc _canary
+  local _nonce _tag_rc
   saved_stream="${PSA_STREAM-}"; saved_allow="${PSA_ALLOWLIST-}"
   saved_stream_set=""; saved_allow_set=""
   [ "${PSA_STREAM+x}" = "x" ] && saved_stream_set=1
   [ "${PSA_ALLOWLIST+x}" = "x" ] && saved_allow_set=1
   tmpd=$(mktemp -d 2>/dev/null) || { echo "  ❌ INSTRUMENT DEAD — mktemp unavailable." >&2; return 1; }
+  # 🟥 P1 (cross-family 3라운드): 카나리아가 **고정 문자열**이면, 입력을 읽지도 않고
+  #    그 문자열을 rc=0 으로 뱉는 위조 생산자가 자가검사를 통과한다. 세 라운드가 공유한
+  #    얼굴 —「상태(rc=0)를 의미(생산이 유효하다)로 확장」— 의 마지막 잔재다.
+  #    실행마다 새 nonce 를 만들면 **하드코딩된 위조는 그 값을 알 수 없다.**
+  _nonce=$(head -c 12 /dev/urandom 2>/dev/null | od -An -tx1 2>/dev/null | tr -d ' \n')
+  # 🟥 **신뢰 경계 — 여기서 라운드를 멈추는 이유(2026-08-21, 6라운드 후 판정).**
+  #    이 자가검사가 막는 것: 생산자가 **깨졌거나**(awk 부재·crash·출력 훼손), **PATH 로
+  #    가려졌거나**(외부 바이너리 shadowing), 입력을 **안 읽고** 고정/유도값을 뱉는 경우.
+  #    이 자가검사가 **못** 막는 것: 이 라이브러리를 **소싱한 셸 안에서 함수를 정의할 수 있는**
+  #    상대. 그 상대는 `psa_scan_tagged(){ return 0; }` 한 줄이면 끝이라 nonce·cmp·심링크를
+  #    아무리 조여도 소용이 없다 — **이미 신뢰 안쪽**이다. 6라운드 반례 둘이 정확히 그 부류였고
+  #    (`cmp(){ return 0; }` · `ln -sf` 로 tagged 바꿔치기), 값싼 두 수리(`command cmp` ·
+  #    심링크 거부)는 했지만 **그 축을 닫았다고 주장하지 않는다.**
+  # 🟥 R5-1: **fallback 을 없앴다.** 5라운드 실측 —
+  #      `${tmpd##*/}` 파생 → 생산자가 경로를 인자로 받으므로 유도 가능 (4라운드에서 교체)
+  #      `${RANDOM}${RANDOM}$$${SECONDS}` → **생산자가 같은 셸에서 그대로 재계산해 통과**(zsh 실측 rc=0),
+  #      `RANDOM`/`SECONDS` 가 unset 이면 사실상 `$$` 하나라 `ps` 로도 읽힌다(bash 실측 rc=0)
+  #    ⇒ 「예측 불가한 값」은 **커널 엔트로피에서만** 나온다. 못 얻으면 그건 약한 nonce 가 아니라
+  #      **미측정**이다. 두 번째 출처(openssl)까지 시도하고, 그것도 없으면 fail-closed.
+  [ -n "$_nonce" ] || _nonce=$(openssl rand -hex 12 2>/dev/null | tr -cd 'A-Za-z0-9')
+  if [ -z "$_nonce" ]; then
+    echo "  ❌ INSTRUMENT DEAD — no kernel entropy source (/dev/urandom, openssl); cannot mint an unguessable nonce." >&2
+    echo "     A guessable nonce is not a weaker probe, it is NO probe — a producer can replay it." >&2
+    rm -rf "$tmpd" 2>/dev/null || :
+    return 1
+  fi
   # Round 4 refuted the round-3 fix: `|| :` does NOT rescue an assignment to a readonly variable —
   # bash aborts the shell before the `||` is ever considered. So the only safe move is to REFUSE
   # before mutating anything. Detected, reported as DEAD, and the caller survives.
-  _canary=$(printf 'HIGH\tPSA_SELFTEST_CANARY')
+  _canary=$(printf 'HIGH\tPSA_SELFTEST_CANARY_%s' "$_nonce")
   if ! _psa_can_assign PSA_STREAM "$_canary" || ! _psa_can_assign PSA_ALLOWLIST /dev/null; then
     echo "  ❌ INSTRUMENT DEAD — PSA_STREAM/PSA_ALLOWLIST cannot take the values the self-test needs." >&2
     echo "     (readonly, or an attribute such as \`declare -i\` that rejects the value)" >&2
@@ -303,9 +451,47 @@ psa_require_live() {
   fi
   PSA_STREAM="$_canary"
   PSA_ALLOWLIST=/dev/null
-  printf 'PSA_SELFTEST_CANARY\n' > "$tmpd/canary" 2>/dev/null
-  # Same pipeline shape as psa_scan_file: awk tags the file, psa_scan_tagged matches it.
-  if out=$(awk -v P="psa/selftest" '{print P "\t" $0}' "$tmpd/canary" 2>&1 | psa_scan_tagged 2>&1); then
+  printf 'PSA_SELFTEST_CANARY_%s\n' "$_nonce" > "$tmpd/canary" 2>/dev/null
+  # 🟥 생산자와 매처를 **분리해서** 상태를 각각 본다 (cross-family 반례 4, 2026-08-21).
+  #    초판은 `awk … | psa_scan_tagged` 한 파이프의 최종 rc 만 봤는데, 그러면
+  #    **«생산자 실패의 rc=1»** 과 **«스캐너가 유출을 찾음의 rc=1»** 이 같은 값으로 합쳐진다.
+  #    실측 위조: 실패하는 `awk` 가 카나리아 행을 인쇄하고 `return 1` 하게 만들면
+  #    양 셸에서 `psa_require_live` 가 **rc=0(살아있음)** 을 냈다. 즉 자가검사 판정 자체가
+  #    위조 가능했다. 태깅 결과를 먼저 **물질화**하고 그 rc 를 따로 확인한다.
+  # 🟥 P3: `x=$(cmd); rc=$?` 는 `set -e` 아래서 **셸을 즉시 죽인다** — 아래 복원문과
+  #    `rm -rf` 에 도달하지 못하고 PSA_STREAM 이 **카나리아인 채로 남는다**(실측, bash).
+  #    조건문 안의 대입은 errexit 면제다.
+  # 🟥 R4-3: `$(...)` 는 **후행 개행을 지운다** — 정답 줄 뒤에 빈 줄을 아무리 붙여도
+  #    문자열 비교가 통과했다(실측 rc=0). 「정확한 문자열 대조」라고 적어놓고 정확하지 않았다.
+  #    생산자 출력을 **파일로 물질화**해서 `cmp` 로 바이트 비교한다. stderr 는 따로 받는다.
+  if awk -v P="psa/selftest" '{print P "\t" $0}' "$tmpd/canary" > "$tmpd/tagged" 2>"$tmpd/err"; then _tag_rc=0; else _tag_rc=$?; fi
+  # 🟥 P1: 상태(rc)만이 아니라 **내용**을 대조한다. 생산자가 «입력을 읽어서 태깅했는가» 는
+  #    rc 로 알 수 없고, nonce 를 포함한 정확한 문자열 일치로만 알 수 있다.
+  # 🟥 R5-2: 초판은 기대값도 `$tmpd/expect` 파일에 뒀는데, **생산자는 `$tmpd/canary` 를 인자로
+  #    받으므로 `$tmpd` 를 알고 expect 를 덮어쓸 수 있다** — 틀린 바이트를 양쪽에 써넣으면
+  #    `cmp` 가 통과했다(양 셸 실측 rc=0). 기대값은 **프로세스 안에만** 두고 파이프로 먹인다.
+  #    (`cmp file -` 는 stdin 을 두 번째 피연산자로 읽는다. cmp 부재는 rc≠0 → fail-closed, 실측.)
+  # 🟥 R6-1: `cmp` 를 셸이 해석하면 **함수로 가려진다** — `cmp(){ return 0; }` 하나로 대조가
+  #    통째로 무력화됐다(양 셸 실측 rc=0). `command` 는 함수를 건너뛴다.
+  # 🟥 R6-2: 생산자는 `$tmpd` 를 알므로 stdout 에는 틀린 바이트를 쓰고 `tagged` 를 **정답 파일로
+  #    가는 심링크로 바꿔치기**할 수 있다(양 셸 실측 rc=0). 비교 대상이 «awk 가 실제로 쓴 파일»
+  #    인지 먼저 확인한다 — 심링크가 아닌 보통 파일이어야 한다.
+  if [ -L "$tmpd/tagged" ] || [ ! -f "$tmpd/tagged" ]; then
+    rm -rf "$tmpd" 2>/dev/null || :
+    if [ -n "${saved_stream_set:-}" ]; then PSA_STREAM="$saved_stream"; else unset PSA_STREAM; fi
+    if [ -n "${saved_allow_set:-}" ]; then PSA_ALLOWLIST="$saved_allow"; else unset PSA_ALLOWLIST; fi
+    echo "  ❌ INSTRUMENT DEAD — the self-test output was replaced (symlink or non-regular file)." >&2
+    return 1
+  fi
+  if [ "$_tag_rc" -ne 0 ] || ! printf 'psa/selftest\tPSA_SELFTEST_CANARY_%s\n' "$_nonce" | command cmp -s "$tmpd/tagged" -; then
+    rm -rf "$tmpd" 2>/dev/null || :
+    if [ -n "${saved_stream_set:-}" ]; then PSA_STREAM="$saved_stream"; else unset PSA_STREAM; fi
+    if [ -n "${saved_allow_set:-}" ]; then PSA_ALLOWLIST="$saved_allow"; else unset PSA_ALLOWLIST; fi
+    echo "  ❌ INSTRUMENT DEAD — the self-test PRODUCER did not tag this run's nonce (rc=$_tag_rc)." >&2
+    echo "     A canary printed by a failing — or input-ignoring — producer is not evidence the matcher ran." >&2
+    return 1
+  fi
+  if out=$(psa_scan_tagged < "$tmpd/tagged" 2>&1); then
     rc=0
   else
     rc=$?
@@ -317,7 +503,7 @@ psa_require_live() {
   if [ -n "${saved_stream_set:-}" ]; then PSA_STREAM="$saved_stream"; else unset PSA_STREAM; fi
   if [ -n "${saved_allow_set:-}" ]; then PSA_ALLOWLIST="$saved_allow"; else unset PSA_ALLOWLIST; fi
   case "$out" in
-    *PSA_SELFTEST_CANARY*) [ "$rc" -eq 1 ] && return 0 ;;
+    *"PSA_SELFTEST_CANARY_$_nonce"*) [ "$rc" -eq 1 ] && return 0 ;;
   esac
   echo "  ❌ INSTRUMENT DEAD — the scanner did not report a synthetic known-positive." >&2
   echo "     self-test rc=$rc out=[$out]" >&2