@chrono-meta/fh-gate 3.0.0 → 3.1.0

package/scripts/outbound_query_hook.sh

@@ -0,0 +1,373 @@
+#!/usr/bin/env bash
+# outbound_query_hook.sh — PreToolUse(WebSearch|WebFetch): the WIRING for the outbound-query
+# hygiene lint. 🟥 This is the FIRST hook in this repo that can emit a `deny`, so its degrade
+# direction is the design, not a footnote.
+#
+# ── WHY A HOOK, AND WHY NOW ────────────────────────────────────────────────────────────────────
+# `scripts/outbound_query_guard.sh` has owned this lint since 2026-08-21 and its own header says
+# it "is wired to no outbound executor at all". A lint with zero callers is prose in a .sh file
+# ([[feedback_built_but_not_wired]]); the question «did it work» was answered by EXISTENCE, which
+# is the half-externalization shape ([[feedback_half_externalization_slot_without_consumer]]).
+# The session's own WebSearch/WebFetch call IS the outbound executor, and PreToolUse is the only
+# place that sits ON that path — a repo scanner never reads an interactively-composed query
+# ([[feedback_instrument_not_on_the_path]], same reasoning as pipe_verdict_guard's).
+#
+# ── WHY IT IS NOT «just run the guard» ─────────────────────────────────────────────────────────
+# The guard fail-closes (exit 3) when the operator's gitignored override layer is absent. That is
+# RIGHT for a CLI the operator types, and WRONG for a hook: in a consumer install that layer is
+# absent BY CONSTRUCTION, so importing the guard's contract would deny every consumer's WebSearch.
+# CLAUDE.md: «a gate that blocks every new install is not a strict gate, it is a bypass trainer»,
+# and the bypass it trains is disabling hooks — the same channel the destructive-op and
+# confidentiality gates ride on. So the verdict is split BY LAYER:
+#
+#   override layer hit  → deny      the operator's own internal literals. This is the leak class
+#                                   the guard exists for, and it is irreversible once sent.
+#   defaults layer hit  → advisory  universal shapes (emails, home paths, key formats). FP-prone,
+#                                   and it is ALL a consumer has — blocking on it would be the
+#                                   over-block above.
+#   no override present → advisory only, plus a once-per-session UNCALIBRATED notice: a
+#                                   defaults-only scan CANNOT say «no internal tokens», it can
+#                                   only say «no universal shapes» ([[feedback_not_found_is_not_zero_family]]).
+#   instrument incomplete → deny    (lib absent · defaults broken · dropped pattern rows · dead
+#                                   canary · scanner returned a non-verdict). NOT SCANNED is not
+#                                   clean, and this surface is irreversible
+#                                   (CLAUDE.md §Irreversibility Gates: fail CLOSED).
+#   not an FH checkout   → silent   applicability is MECHANICAL (is the tracked defaults file
+#                                   here?), never self-judged — and in that tree we create nothing.
+#
+# 🟥 THE LAYER IS DECIDED BY COUNTS, NOT BY A BOOLEAN. Scan twice — full set, then defaults-only —
+#    and compare hit COUNTS. With booleans, «both layers hit» is indistinguishable from «defaults
+#    hit», which silently downgrades a real deny to an advisory. `n_full < n_def` is impossible
+#    (the full stream is a superset) and is therefore treated as instrument anomaly → deny.
+#
+# 🟥 THE OUTPUT MUST NEVER CARRY THE TOKEN VALUE. psa_scan_tagged prints `SEV leak — path: 'tok'`.
+#    Echoing that into a deny reason, a systemMessage, or the event log would make the leak guard
+#    the leak channel — and CLAUDE.md's residency rule names logs and comments explicitly. Only
+#    the COUNT and the SEVERITY LABEL leave this script, and a label that is not plain ASCII
+#    letters is rendered `?`. Lane H10 asserts the fixture token appears on no output surface.
+#
+# ── STDIN SHAPE: WHY KEY NAMES ARE NOT HARDCODED ───────────────────────────────────────────────
+# The official hooks reference (code.claude.com/docs/en/hooks-guide.md, read 2026-09-05) documents
+# `tool_name` and `tool_input` but does NOT document WebSearch's / WebFetch's `tool_input` keys.
+# Hardcoding `query` / `url` / `prompt` on an unverified schema fails SILENTLY OPEN the day the
+# schema changes. So every STRING VALUE in `tool_input` is collected recursively and scanned as
+# one record. The key NAMES (schema, never user content) are recorded in the event log so the
+# real shape becomes measured rather than assumed.
+#   MEASURED 2026-09-05, disposable clone, sonnet, real WebSearch call: the logged key column read
+#   `query` — so WebSearch's key is `query` today. Recorded as an OBSERVATION, not as a contract to
+#   depend on: the scan still walks every string value, so a renamed or added key stays covered.
+#
+# ── WHAT A CLEAN-CLONE RUN FOUND THAT THE LANES COULD NOT ──────────────────────────────────────
+# First run: both evidence files landed as UNTRACKED paths and the runner flagged tree
+# contamination — .gitignore had explicit entries for the other hooks' event files and none for
+# these two. Every lane passed throughout; nothing in a fixture tree can see a repo's .gitignore.
+# That is the «adversarial review is not a substitute for first use» shape
+# ([[feedback_adversarial_review_not_substitute_for_first_use]]). Fixed in .gitignore, and the
+# consumer-facing twin of it is called out in templates/settings.PreToolUse.snippet.json.
+#
+# ── DEGRADE CONTRACT ───────────────────────────────────────────────────────────────────────────
+#   unparseable payload / python3 absent → SILENT exit 0. A dead interpreter must not block tool
+#   calls (same contract as pipe_verdict_guard / proposal_hook). This is the one place where
+#   «cannot measure» does not deny, and it is deliberate: the failure is in OUR harness, it is
+#   loud in no direction, and denying on it would take the session's web access away whenever
+#   python3 hiccups. Named as a residual, not defended as complete.
+#   Every other «cannot measure» state DENIES, because there the scanner ran and did not certify.
+#   exit code is ALWAYS 0 — the JSON carries the verdict (docs: "Exit 0 with JSON output: parsed
+#   JSON controls behavior"). exit 2 would work too but discards the structured reason.
+#
+# Opt out on one call by putting `# noqa: outbound` in the query. 🟥 That channel is gameable —
+# which is exactly why it writes a log row. An invisible bypass is worse than a recorded one.
+#
+# Wiring: templates/settings.PreToolUse.snippet.json (SIXTH GUARD). Lanes:
+#   bash scripts/test_outbound_query_hook_lanes.sh
+# Manual smoke:
+#   printf '%s' '{"tool_name":"WebSearch","tool_input":{"query":"hello"}}' | bash scripts/outbound_query_hook.sh
+set -uo pipefail
+
+# 🟥 TWO ROOTS, AND THEY ARE NOT THE SAME ROOT. The library ships NEXT TO this script, so it is
+# resolved from $0 — a hook is invoked by absolute path and must find its own scanner regardless
+# of what CLAUDE_PROJECT_DIR points at. The pattern layers and the event log belong to the
+# PROJECT being guarded, so they are resolved from CLAUDE_PROJECT_DIR. In a normal install the
+# two coincide; conflating them made every lane fixture (project root ≠ repo root) deny on
+# "library absent" — caught by the lanes on the first run, which is what they are for.
+SELF_DIR="$(cd "$(dirname "$0")" && pwd)"
+FH="${CLAUDE_PROJECT_DIR:-}"
+[ -n "$FH" ] || FH="$(cd "$SELF_DIR/.." && pwd)"
+# Injection points — the lanes must not move the real library or the real pattern files
+# (test_outbound_query_lanes.sh L7 learned that the hard way).
+LIB="${PSA_LIB_FILE:-$SELF_DIR/psa_scan_lib.sh}"
+DEFAULTS="${PSA_DEFAULTS_FILE:-$FH/.claude/rules/.public-surface-patterns.defaults}"
+OVERRIDE="${PSA_OVERRIDE_FILE:-$FH/.claude/rules/.public-surface-patterns}"
+EVDIR="$FH/.claude"
+EVFILE="$EVDIR/.outbound_hook_events.tsv"
+SENTINEL="$EVDIR/.outbound_hook_uncalibrated_notice"
+# A path that can never exist: /dev/null is not a directory, so any child of it is ENOTDIR.
+NO_OVERRIDE="/dev/null/__fh_no_override__"
+
+TOOL=""; SESS=""; KEYS=""; FLAGS=""; QTEXT=""
+
+_py_extract() { cat <<'PY'
+import json,sys,re
+def out(a,b,c,f,d):
+    # ONE line, exactly four TABs. `text` is flattened below, so no field can contain a TAB and
+    # the split in bash is exact. A temp file used to carry this; mktemp's failure branch was a
+    # silent `exit 0` on an outbound call (degrade_direction_scan S1, 2026-09-05) — removing the
+    # file removed the branch rather than arguing about it.
+    sys.stdout.write("OQH2\t"+a+"\t"+b+"\t"+c+"\t"+f+"\t"+d+"\n"); sys.exit(0)
+try:
+    d=json.load(sys.stdin)
+except Exception:
+    out("","","","-","")
+if not isinstance(d,dict): out("","","","-","")
+tn=re.sub(r"[^A-Za-z0-9_-]","",str(d.get("tool_name","") or ""))[:32]
+sid=re.sub(r"[^A-Za-z0-9_-]","",str(d.get("session_id","") or ""))[:64]
+ti=d.get("tool_input",{})
+# A non-object tool_input is NOT replaced by {} — a bare string is still an outbound value and is
+# scanned like any other (codex finding 1, 2026-09-05). Key NAMES: the log carries only the KNOWN
+# schema names; anything else renders as `other`, so a token used as a key never lands in the
+# event file (finding 4) — and keys are scanned too (walk below), because they leave as well.
+keys=""
+if isinstance(ti,dict):
+    keys=",".join(sorted(set(k if k in ("query","url","prompt") else "other" for k in map(str,ti.keys()))))
+vals=[]; trunc=[False]
+def walk(x,depth):
+    # Past the limits the extractor STOPS and SAYS SO — a token below the cut would otherwise leave
+    # as "clean" (findings 2·3). bash turns the flag into a deny (unmeasured), never a partial scan.
+    if depth>8 or len(vals)>4096:
+        trunc[0]=True; return
+    if isinstance(x,str): vals.append(x)
+    elif isinstance(x,dict):
+        for k,v in x.items():
+            if isinstance(k,str): vals.append(k)
+            walk(v,depth+1)
+    elif isinstance(x,list):
+        for v in x: walk(v,depth+1)
+walk(ti,0)
+text=re.sub(r"[\r\n\t]"," "," ".join(vals))
+out(tn,sid,keys,("T" if trunc[0] else "-"),text)
+PY
+}
+
+_py_json() { cat <<'PY'
+import json,sys
+mode=sys.argv[1]; msg=sys.argv[2]
+h={"hookEventName":"PreToolUse"}
+if mode=="deny":
+    h["permissionDecision"]="deny"; h["permissionDecisionReason"]=msg
+else:
+    h["additionalContext"]=msg
+print(json.dumps({"hookSpecificOutput":h,"systemMessage":msg},ensure_ascii=False))
+PY
+}
+
+_log() {   # $1=verdict $2=layer
+  mkdir -p "$EVDIR" 2>/dev/null || return 1
+  # Returns 1 when the row could not be written. Only the noqa path acts on that (see below):
+  # for every other verdict a lost log line is a lost record, not a lost block.
+  if printf '%s\t%s\t%s\t%s\t%s\n' \
+       "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "${TOOL:-?}" "$1" "$2" "${KEYS:-}" >> "$EVFILE" 2>/dev/null
+  then return 0; else return 1; fi
+}
+
+# 🟥 A DENY THAT CANNOT BE RENDERED MUST NOT BECOME A SILENT ALLOW.
+#    The first build ended this function with `|| true`, so a failed JSON build emitted nothing —
+#    and "no output" is how this hook says ALLOW. degrade_direction_scan S1 flagged the line and
+#    it was a real default-toward-PASS on an irreversible surface, not a false positive.
+#    Fallback is the documented second channel: "Exit 2: blocks action, uses stderr as reason".
+#    An ADVISORY that cannot be rendered is a lost warning, not a lost block — it stays exit 0.
+# OQH_PY exists so that branch is ANCHORED rather than asserted: the lane points it at a
+# non-interpreter while the parse above still runs on the real python3. Same justification as
+# PSA_LIB_FILE in outbound_query_guard.sh — a branch no lane can reach is decorative.
+_emit() {  # $1=deny|advisory $2=message
+  local _j
+  _j="$("${OQH_PY:-python3}" -c "$(_py_json)" "$1" "$2" 2>/dev/null)" || _j=""
+  if [ -n "$_j" ]; then printf '%s\n' "$_j"; return 0; fi
+  if [ "$1" = deny ]; then
+    printf '%s\n' "$2" >&2
+    exit 2
+  fi
+  return 0
+}
+
+# Severity histogram with NO token values. The label is the pattern file's first column, so it is
+# operator-authored text: anything that is not 1-8 plain ASCII letters is rendered `?`.
+_sev_summary() {  # $1 = raw scan output
+  printf '%s\n' "$1" \
+    | grep -F ' leak — ' 2>/dev/null \
+    | awk '{ s=$2; if (s=="HIGH" || s=="MED" || s=="LOW") print s; else print "?" }' \
+    | sort | uniq -c \
+    | awk '{ printf "%s x%s ", $2, $1 }'
+  return 0
+}
+_hits() {  # $1 = raw scan output → count of reportable hit lines
+  # noqa: degrade — `grep -c` exits 1 when the count is ZERO, which is the normal clean case, and
+  # it still PRINTS "0". The `|| true` protects the function's rc, not its value; a genuine grep
+  # error prints NOTHING, and the empty value fails closed at the `case` guard below. Verified by
+  # reading both paths, 2026-09-05; the guard it lands on is labelled unanchored there.
+  printf '%s\n' "$1" | grep -cF ' leak — ' 2>/dev/null || true   # noqa: degrade (see above)
+}
+
+_deny_unmeasured() {  # $1 = what is incomplete (no token values, ever)
+  _log deny -
+  _emit deny "🚫 outbound 차단 — 미측정(계기 불완전: $1). 나가는 질의는 되돌릴 수 없으므로 «못 쟀다»를 «깨끗하다»로 접지 않는다(CLAUDE.md §Irreversibility Gates). 고쳐야 할 것: 위 계기. 확인 후 강행하려면 질의에 '# noqa: outbound' 를 넣어라 — 통과하지만 로그에 남는다."
+  exit 0
+}
+
+# ── 1. parse ───────────────────────────────────────────────────────────────────────────────────
+# python3 absent / crashed / payload unparseable → empty → silent exit 0. That is the ONE named
+# fail-open in this script (see DEGRADE CONTRACT above): a dead interpreter is our defect, not the
+# session's, and taking web access away on it would train the hook off.
+_META="$(python3 -c "$(_py_extract)" 2>/dev/null)"
+[ -n "$_META" ] || exit 0
+# 🟥 Do NOT use `IFS=$'\t' read` here: TAB is an IFS whitespace character, so consecutive
+#    separators MERGE and an empty field SHIFTS every later field left — a session with no
+#    session_id would silently read its KEYS as SESS ([[feedback_ifs_read_collapses_empty_fields]]).
+#    Positional splits cannot collapse. (An earlier draft said "exact-count validation, then
+#    positional splits"; the count is gone — see the next paragraph — and leaving that sentence
+#    would be a rule describing a machine it no longer has.)
+# 🟥 VALIDATE WITH A PREFIX, NOT BY COUNTING — the count was a DoS that degraded into a BYPASS.
+#    The first build validated the field count with `_TABS="${_META//[!$'\t']/}"`. Measured on
+#    bash 3.2 (macOS /bin/bash, the shell this hook actually runs under): that ONE substitution
+#    takes **47.7s on a 10,000-char line**, and the whole hook went 0.23s @0.5KB → 6.6s @5KB →
+#    49.7s @10KB. With `"timeout": 5` in settings the hook is KILLED, and a killed PreToolUse hook
+#    is a non-blocking error — **the tool proceeds**. So a long enough query walked straight past
+#    the guard: a bypass by PADDING, needing no override and leaving no row. The library was never
+#    the cost (psa_scan_tagged does the same 10,000 chars in 0.15s); the guard was.
+#    The extractor already builds the line and controls every field, so the invariant belongs
+#    there: it emits a magic first field, and bash checks a PREFIX (O(1)) instead of scanning the
+#    whole string. Positional splits are 0.02s at the same size. Anchored by lane H23.
+case "$_META" in "OQH2"$'\t'*) ;; *) exit 0 ;; esac
+_R0="${_META#*$'\t'}"
+TOOL="${_R0%%$'\t'*}";  _R1="${_R0#*$'\t'}"
+SESS="${_R1%%$'\t'*}";  _R2="${_R1#*$'\t'}"
+KEYS="${_R2%%$'\t'*}";  _R3="${_R2#*$'\t'}"
+FLAGS="${_R3%%$'\t'*}"; QTEXT="${_R3#*$'\t'}"
+
+# ── 2. scope: only the two outbound tools, and nothing else is logged ──────────────────────────
+case "$TOOL" in WebSearch|WebFetch) ;; *) exit 0 ;; esac
+
+# ── 3. applicability — MECHANICAL, never self-judged (CLAUDE.md §Surface-Class Degrade) ────────
+# The tracked defaults layer ships with this repo. Absent ⇒ this is not an FH-derived checkout,
+# so the guard has no target here. `applicable-but-tooling-down` is handled below, not here.
+# 🟥 THIS RUNS BEFORE THE OPT-OUT, and the order is load-bearing. With the opt-out first, a
+#    `# noqa: outbound` query in a NON-FH tree would try to write a log row, and the fail-closed
+#    rule below would then DENY a call this hook has no business judging at all — over-blocking a
+#    stranger's repo. Applicability first means the bypass rule only binds where the guard is live.
+# N/A is silent AND unrecorded — an earlier build appended an `na` row whenever `.claude/` already
+# existed, which is every Claude Code project, so a user-level hook wrote into stranger repos
+# (codex finding 7, 2026-09-05). Lane H4b now asserts the file is NOT created.
+[ -r "$DEFAULTS" ] || exit 0
+
+# ── 4. opt-out, recorded ───────────────────────────────────────────────────────────────────────
+if printf '%s' "$QTEXT" | grep -qE '#[[:space:]]*noqa:?[[:space:]]*outbound' 2>/dev/null; then
+  # 🟥 THE RECORD IS THE PRICE OF THE BYPASS. This channel is gameable by design; what keeps it
+  #    honest is that it leaves a row. If the row cannot be written, the bypass becomes INVISIBLE,
+  #    and an unrecorded bypass on an irreversible surface is worse than no bypass at all — so the
+  #    opt-out itself fails closed here. Every other verdict tolerates a lost log line.
+  _log noqa - && exit 0
+  _deny_unmeasured "opt-out(# noqa: outbound)을 기록할 수 없다 — 기록 못 하는 우회는 보이지 않는 우회다"
+fi
+
+# ── 5. nothing to scan ─────────────────────────────────────────────────────────────────────────
+# 🟥 The extractor reports TRUNCATION (nesting deeper than 8, or more than 4096 string values) as a
+#    flag instead of scanning what it could reach — a token below the cut would leave as "clean"
+#    (codex findings 2·3). Unmeasured ⇒ deny, like every other incomplete-instrument branch. H26/H27.
+case "$FLAGS" in *T*) _deny_unmeasured "입력 구조가 추출 한계(깊이 8 · 값 4096)를 넘어 일부를 못 봤다" ;; esac
+# Emptiness is a bash pattern, not an external `tr`: on a PATH without `tr` the substitution came
+# back empty and that read as "nothing to scan" = clean allow (codex finding 6). Lane H30.
+case "$QTEXT" in *[![:space:]]*) ;; *) _log clean -; exit 0 ;; esac
+
+# ── 6. instrument ──────────────────────────────────────────────────────────────────────────────
+[ -r "$LIB" ] || _deny_unmeasured "스캐너 라이브러리 부재"
+# shellcheck source=/dev/null
+. "$LIB" 2>/dev/null || _deny_unmeasured "스캐너 라이브러리 로드 실패"
+# Pin the allowlist root: without it psa_pair_allowlisted falls back to `git rev-parse` or `.`,
+# which in a hook can resolve to a DIFFERENT repo than the one being scanned.
+PSA_REPO_ROOT="$FH"; export PSA_REPO_ROOT
+
+# 🟥 FLATTENING LIVES IN THE EXTRACTOR, NOT HERE — measured, and the belt was dead.
+#    psa_scan_tagged reads `path<TAB>body` per LINE, so a newline+tab in the query would push the
+#    token into the PATH field and out of the scan (the bypass test_outbound_query_lanes.sh L9
+#    pins for the CLI). A `tr` belt stood here; a revert probe removed it and lane H8 stayed
+#    GREEN (mutant M7) — the extractor's `re.sub` had already done it. Removing THAT (M8) turned
+#    H8 into `none`, i.e. SILENT pass-through, because the 4-line read protocol below also
+#    depends on the text being one line. One owner, anchored by H8. The duplicate is deleted
+#    rather than kept as reassurance ([[feedback_anchor_can_be_decorative]]).
+QFLAT="$QTEXT"
+
+_load_and_check() {  # $1=defaults $2=override ; state via case, never [ -ne ] (non-numeric → fail-open)
+  psa_load "$1" "$2" >/dev/null 2>&1 || true
+  case "${PSA_DEFAULTS_OK:-}" in 1) ;; *) return 1 ;; esac
+  case "${PSA_BAD_ROWS:-}" in 0) ;; *) return 2 ;; esac
+  return 0
+}
+
+_load_and_check "$DEFAULTS" "$OVERRIDE"; _lc=$?
+case "$_lc" in
+  0) ;;
+  1) _deny_unmeasured "공용 패턴층(defaults)이 비었거나 못 읽는다" ;;
+  *) _deny_unmeasured "패턴 파일에 형식오류 행이 있어 검출기 집합이 부분적이다" ;;
+esac
+OVR="${PSA_OVERRIDE_PRESENT:-0}"
+psa_require_live >/dev/null 2>&1 || _deny_unmeasured "psa_require_live 실패 — 스캐너가 알려진 토큰도 못 잡는다"
+
+if FULL="$(printf 'outbound-query\t%s' "$QFLAT" | psa_scan_tagged 2>&1)"; then FRC=0; else FRC=$?; fi
+case "$FRC" in 0|1) ;; *) _deny_unmeasured "스캐너가 측정값을 안 냈다 (rc=$FRC)" ;; esac
+printf '%s' "$FULL" | grep -qF 'INSTRUMENT DEAD' 2>/dev/null && _deny_unmeasured "스캐너가 INSTRUMENT DEAD 를 보고했다"
+N_FULL="$(_hits "$FULL")"
+
+# ── 7. defaults-only re-scan → which LAYER produced the hits ───────────────────────────────────
+if [ "$OVR" = 1 ]; then
+  _load_and_check "$DEFAULTS" "$NO_OVERRIDE"; _lc=$?
+  [ "$_lc" -eq 0 ] || _deny_unmeasured "defaults 전용 재로드 실패 (층 판별 불가)"
+  if DEFONLY="$(printf 'outbound-query\t%s' "$QFLAT" | psa_scan_tagged 2>&1)"; then DRC=0; else DRC=$?; fi
+  case "$DRC" in 0|1) ;; *) _deny_unmeasured "defaults 전용 스캔이 측정값을 안 냈다 (rc=$DRC)" ;; esac
+  N_DEF="$(_hits "$DEFONLY")"
+else
+  DEFONLY="$FULL"; N_DEF="$N_FULL"
+fi
+# ⚠️ UNANCHORED, DELIBERATELY KEPT (measured 2026-09-05, mutant M11): removing both lines leaves
+#    all 64 lanes green. The only realistic way `_hits` returns a non-number is a broken grep, and
+#    `psa_require_live` above dies on that first — so this branch is unreachable today. Kept as the
+#    guard for a refactor that removes the canary; labelled, because an unlabelled unreachable
+#    guard reads as a control it is not ([[feedback_anchor_can_be_decorative]]).
+case "$N_FULL" in ''|*[!0-9]*) _deny_unmeasured "히트 계수 실패(full)" ;; esac
+case "$N_DEF"  in ''|*[!0-9]*) _deny_unmeasured "히트 계수 실패(defaults)" ;; esac
+# A superset cannot produce fewer hits than its subset. If it did, the two scans did not see the
+# same instrument — that is an anomaly, and an anomaly on an irreversible surface is a deny.
+[ "$N_FULL" -ge "$N_DEF" ] || _deny_unmeasured "층 비교 이상 (full=$N_FULL < defaults=$N_DEF)"
+
+# ── 8. once-per-session UNCALIBRATED notice (consumer installs) ────────────────────────────────
+_uncal_due() {
+  local key cur
+  key="${SESS:-}"; [ -n "$key" ] || key="$(date -u +%Y-%m-%d)"
+  cur=""; [ -r "$SENTINEL" ] && cur="$(cat "$SENTINEL" 2>/dev/null || true)"
+  [ "${cur%% *}" = "$key" ] && return 1
+  mkdir -p "$EVDIR" 2>/dev/null || true
+  # noqa: degrade — a failed sentinel write makes the UNCALIBRATED notice REPEAT on every call.
+  # That degrades toward more noise, never toward silence, so the permissive short-circuit is in
+  # the safe direction here. (Contrast `_log` on the noqa path, where the same shape was NOT safe
+  # and was changed to fail closed.)
+  printf '%s %s\n' "$key" "$(date -u +%Y-%m-%d)" > "$SENTINEL" 2>/dev/null || true   # noqa: degrade (see above)
+  return 0
+}
+UNCAL=""
+if [ "$OVR" != 1 ]; then
+  if _uncal_due; then
+    UNCAL=" 🟥 UNCALIBRATED — 운영자 내부 패턴층(.claude/rules/.public-surface-patterns)이 이 설치에 없다. 공용 층만 본 결과라 «내부 토큰 없음»은 말할 수 없다(미측정). 이 고지는 세션당 1회."
+  fi
+fi
+
+# ── 9. verdict ─────────────────────────────────────────────────────────────────────────────────
+if [ "$N_FULL" -eq 0 ]; then
+  _log clean -
+  exit 0
+elif [ "$N_FULL" -gt "$N_DEF" ]; then
+  _log deny override
+  _emit deny "🚫 outbound 차단 — 나가는 질의에 «운영자 내부 패턴층» 히트 $N_FULL 건 (심각도: $(_sev_summary "$FULL")). 🟥 토큰 값은 여기 적지 않는다 — 유출 가드가 유출 채널이 되면 안 되니까. 나간 질의는 되돌릴 수 없다. 고쳐라: 내부 이름 대신 그 이름이 가리키는 «형태»를 일반 어휘로 써라 (예: «우리 X 게이트가…» → «커밋 전에 근거 필드를 강제하는 훅 패턴»). 확인 후 강행: 질의에 '# noqa: outbound' 를 넣어라 — 통과하지만 로그에 남는다."
+  exit 0
+else
+  _log advisory defaults
+  _emit advisory "⚠️ outbound 위생 — 나가는 질의가 «공용(defaults)» 패턴에 $N_DEF 건 걸린다 (심각도: $(_sev_summary "$DEFONLY")). 차단은 안 한다: 공용 층은 보편 형태라 오탐이 잦고, 여기서 막으면 훅을 끄게 만든다. 토큰 값은 적지 않는다 — 질의를 사람 눈으로 한 번 보고, 내부 이름이면 일반 어휘로 바꿔 다시 불러라.$UNCAL"
+  exit 0
+fi

package/scripts/package_coverage_check.sh

@@ -39,18 +39,33 @@ cd "$REPO_ROOT" || exit 1
 #   scripts/sync_to_be_lanes.sh             — forward-path lane suite for sync-to-be.sh, itself
 #       ACCEPTED_ABSENT above; added 2026-08-14, pmh-dev#69.
 ACCEPTED_ABSENT=(
-  # 🟥 나가는 질의 위생 린트와 그 레인 — **일부러 출하하지 않는다.**
-  # 이 가드는 운영자 내부 패턴층(`.claude/rules/.public-surface-patterns`, gitignored)이 없으면
-  # fail-closed 로 막는다. 그 층은 소비자에게 안 나가므로, 출하하면 **신선한 설치는 100% 차단**된다
-  # — CLAUDE.md 가 «모든 새 install 을 막는 게이트는 엄격한 게이트가 아니라 우회 훈련기» 라 못박은
-  # 그 형태다. 소비자용으로 열려면 override 부재 시의 degrade 를 따로 설계해야 하고, 안 했다.
-  # `selfcheck.sh` 는 대상 부재 시 `_absent_subject_verdict` 로 빠지므로 패키지 모드에서 옳게 degrade 한다.
+  # 🟥 2026-09-05 — outbound 가드와 그 레인은 **이 목록에서 나갔다(= 이제 출하한다).**
+  # 종전 사유는 «override 층이 없으면 fail-closed 라 신선 설치를 100% 차단한다» 였는데,
+  # 그 문장은 **두 가지를 뭉쳤다**: 가드가 fail-closed 인 것은 맞지만 **신선 설치에서 그 가드를
+  # 부르는 것이 아무것도 없었다**(호출부 0개 — 그게 이 파일의 존재 이유였다). selfcheck 가
+  # 도는 것은 가드가 아니라 **레인**이고, 레인은 픽스처 주입점으로만 돈다.
+  # 실제로 막고 있던 것은 다른 것이었고, 실측으로 잡았다: 레인 L4 가 로그 경로를 박아 둬서
+  # `tracks/` 가 없는 트리(= npm 설치본)에서 «+1» 단언이 0 이 되어 **빨개졌다.** 그 한 줄을
+  # 주입점으로 바꾸자(OUTBOUND_QUERY_LOG) 소비자 형태 트리에서 11/11 초록이다.
+  # 이제 출하하는 이유: `scripts/outbound_query_hook.sh`(PreToolUse WebSearch|WebFetch)가
+  # 소비자에게 나가는데, 그 훅은 **WebSearch/WebFetch 만** 덮는다. Bash 로 나가는 질의
+  # (curl·외부 CLI)는 사람이 손으로 이 CLI 를 부르는 것 말고 커버가 없다 — 훅만 내보내고
+  # 가드를 빼면 소비자에게 «반쪽만» 준다.
+  # ⚠️ 정직한 성질 하나: override 층이 없는 소비자가 이 CLI 를 직접 부르면 exit 3(미측정)이다.
+  #    쓰려면 `.claude/rules/.public-surface-patterns` 를 만들어야 한다. 훅 쪽은 그 상태에서
+  #    advisory + UNCALIBRATED 로 degrade 하므로 **소비자 세션이 막히지는 않는다.**
   # 🟥 2026-09-01 — 아래 여섯은 «출하 문서가 이름을 대지만 selfcheck 가 실행하지 않는» 것들이다.
   #    판별은 실측이다: `bash <경로>` 형태의 호출을 selfcheck 에서 센 결과 watermark 만 3회이고
   #    나머지는 0회다 — 그래서 watermark 는 files[] 로 갔고 이 여섯은 여기 남는다.
   #    🟥 소비자가 «필요로 하지 않는다»가 아니라 «이 레포의 연구·감사 계기다»가 이유다.
   #    출하하면 소비자 트리에 안 도는 스크립트가 늘고, 그게 orphan 스캔의 소음이 된다.
   "scripts/stray_path_scan.sh"          # 이 레포 경로 위생 스캐너 — 소비자 트리 구조가 다르다
+  # 🟥 2026-09-05 — docs/map 은 레포·Pages 표면이다(렌더 산출물 ~4 MB + «노드 = 실재 경로» 계약이
+  #    .github/·tests/ 등 출하하지 않는 경로를 가리킨다). npm 에는 README 의 포인터만 나간다 —
+  #    지도를 출하하면 그 레인이 소비자 트리에서 «부재」로 빨개지고, 그건 결함이 아니라 표면 차이다.
+  "docs/map/FH_MAP.md"                  # 리더용 지도 산문 — 레포/Pages 에서 읽는다
+  "docs/map/fh_assets.architecture.json" # 지도 소스(노드 = 레포 경로 계약) — 이 레포 계기의 입력
+  "scripts/test_fh_map_paths_lanes.sh"  # 그 계약의 레인 — 이 레포에서만 돈다
   "scripts/test_stray_path_lanes.sh"    # 위 레인
   "scripts/test_fixture_guard_lanes.sh" # 픽스처 가드 레인 — 가드 자체(fixture_guard_lib)는 출하한다
   "scripts/test_marker_first_use_lanes.sh"  # 4축 마커 first-use 레인 — 이 레포 마커 규약 전용
@@ -66,9 +81,9 @@ ACCEPTED_ABSENT=(
   "scripts/round/gatecheck_qset.sh"          # 같은 이유 — 회차 개시 게이트, 소비자 표면 아님 (2026-09-02 짝표 등재로 참조가 생겼다)
   "scripts/test_round_instruments_lanes.sh"
   "scripts/fixtures/isolation_assembly_BROKEN_2026-08-30_ccrun7.json"  # 역사 산출물(등급표가 증거로 인용)
-  "scripts/outbound_query_guard.sh"
-  "scripts/test_outbound_query_lanes.sh"
-  # 🟥 영혼(judgment-circuit) 3종 — **일부러 출하하지 않는다.** 위 outbound 가드와 같은 이유다.
+  # 🟥 영혼(judgment-circuit) 3종 — **일부러 출하하지 않는다.**
+  # (종전 «위 outbound 가드와 같은 이유»라는 포인터는 2026-09-05 에 끊겼다 — outbound 는 출하로
+  #  갔다. 여기 사유는 그것과 무관하게 아래 자기 근거로 선다.)
   # 이 셋은 `.claude/soul_tenets.txt`(=**이 레포의** 심지 원칙 등록부)를 전제로 하는데, 그 파일은
   # 소비자에게 안 나간다 — 소비자의 tenet 은 소비자가 쓰는 것이지 우리가 주는 것이 아니다
   # (`.claude/regression/probes.md` 가 이미 같은 논리로 미출하다).
@@ -85,7 +100,10 @@ ACCEPTED_ABSENT=(
   "scripts/soul_trace.sh"
   # 🟥 sim 경로격리 레인 — 출하 안 한다. `sim_isolated_run.sh` 는 이 레포의 측정 도구이고
   #    이 레인은 «그 러너가 클론에 무엇을 써넣는가»를 본다. 소비자에게 그 러너가 없으면
-  #    레인이 HARNESS-ERROR 로 죽고, 그건 신선 설치를 막는 형태가 된다(위 outbound 와 동일 논리).
+  #    레인이 HARNESS-ERROR 로 죽고, 그건 신선 설치를 막는 형태가 된다.
+  #    ⚠️ 종전에 여기 «위 outbound 와 동일 논리» 라는 포인터가 있었는데 2026-09-05 에 끊었다 —
+  #    outbound 는 출하로 갔고, 그 블록의 종전 사유는 실측으로 물러졌다. 이 블록의 사유는
+  #    그것과 무관하게 **자기 자신으로 선다**: 여기서는 대상(러너)이 소비자 트리에 정말 없다.
   "scripts/test_sim_path_isolation_lanes.sh"
   ".claude/registry/LOCAL_SKILL_REGISTRY.md"
   ".claude/regression/probes.md"
@@ -193,18 +211,39 @@ ACCEPTED_ABSENT=(
   #       경로로 적는데 **이 파일 자신이 shipped 문서**라, 「안 싣는 이유」를 설명한 행위가
   #       곧 「shipped 문서가 미출하 경로를 가리킴」이 됐다. 계기가 자기 수리를 잡은 것이고,
   #       위 블록이 예고한 형태(*전체 경로를 shipped 파일에 쓰면 팬텀이 된다*)의 **3차 재현**이다.
-  #       주체 자신도 같은 사유로 등재한다 — 신규 게이트 둘은 **이 레포 전용**이다(추가 파일을
-  #       이 레포 레인 코퍼스에 대고 판정한다). 소비자 트리엔 판정 대상이 없다.
-  "scripts/residency_closure_scan.py"
-  "scripts/test_residency_closure_lanes.sh"
+  #       (이 문단이 이어서 「주체 자신도 같은 사유로 등재한다」고 residency_closure_scan.py 를
+  #       여기 넣었었다 — 그 등재는 2026-09-05 **철회했다**. 아래 참조.)
+  # 🟥 **철회 (2026-09-05) — `residency_closure_scan.py` / `test_residency_closure_lanes.sh` 가
+  #    ACCEPTED_ABSENT 였던 이유(「이 레포 전용 감사 도구, 소비자 트리엔 판정 대상 없음」)는
+  #    운영자 승인 하에 뒤집혔다: `plugins/fh-meta/skills/auto-decorrelation/SKILL.md` §Step 4.5
+  #    가 이제 **소비자의 세션**더러 cross-family dispatch 직전마다 이 스캐너를 돌리라고 지시하고,
+  #    `templates/.git-hooks/pre-commit` 의 `validate_crossfamily_leg` 가 그 결과(`residency=
+  #    CLEAN|TAINTED|NOT_SCANNED(...)`)를 `crossfamily:` 근거 안 타입 토큰으로 검사한다
+  #    (`RESIDENCY_TOKEN_GRACE_DATE`, 소급 없음). 즉 「이 레포 자신의 커밋 이력을 감사하는 도구」
+  #    에서 「모든 소비자가 실제로 실행하는 배선의 일부」로 성격이 바뀌었다 — 안 실으면 shipped
+  #    SKILL.md 가 소비자에게 없는 스크립트를 돌리라고 지시하는 꼴이 되고, 그건 이 검사기 자신이
+  #    막으려는 바로 그 결함(«출하 문서가 미출하 경로를 가리킴»)이다.
+  #    ⚠️ **패턴층도 같이 실었다** — `.claude/rules/.residency-patterns.defaults`
+  #    (일반형 패턴만, 회사 리터럴 없음; gitignored 운영자 override `.residency-patterns` 는
+  #    여전히 미출하). 이게 없으면 스캐너는 "defaults 패턴 파일이 없다" 로 exit 10 — 스캐너
+  #    자신의 **의도된** fail-closed(운영자 override 부재)보다 더 나쁜, 설치 결함성 원인으로
+  #    신선 설치 100% 를 막는 형태였다. `.public-surface-patterns.defaults`(바로 위 줄)와 같은
+  #    2층 패턴 관례를 그대로 따른다.
+  #    남은 사실: 운영자 override 없는 신선 설치는 여전히 exit 10 이 **기본**이다 — 이건 결함이
+  #    아니라 스캐너 자신의 문서화된 설계이고(§Step 4.5 가 명시), auto-decorrelation 은 그 결과를
+  #    `residency=NOT_SCANNED(...)` 로 정직하게 적고 `DEGRADED_*` 로 내려간다 — panel(...) 을
+  #    조용히 못 쓰게 될 뿐 커밋을 막지는 않는다.
   # ── caller-zero-ratchet, 2026-08-22. 셋 다 **싣는 것이 틀렸다** — 「아직 안 실었다」가 아니다 ──
   # 이 게이트는 「production 스크립트에 디스패처가 있나」를 **이 레포의 러너 표면**에 대고 판정한다.
   # 그 표면의 하나가 `.github/workflows/**` 이고, **워크플로 디렉터리는 files[] 에 없다.** 그러므로
   # 소비자 트리에서 이 검사기를 돌리면 워크플로에서만 디스패치되는 스크립트들이 전부 caller 0 으로
   # 떨어지고, 그것들은 소비자의 `caller_zero_baseline.txt` 에 선언돼 있지 않으므로 **UNDECLARED →
   # exit 1**. 즉 출하하면 **모든 신선한 설치에서 100% 적색**이다 — CLAUDE.md 가 「모든 새 install 을
-  # 막는 게이트는 엄격한 게이트가 아니라 우회 훈련기」라고 못박은 그 형태이고, 바로 위
-  # outbound_query_guard 블록과 **같은 사유**다.
+  # 막는 게이트는 엄격한 게이트가 아니라 우회 훈련기」라고 못박은 그 형태다.
+  # ⚠️ 종전에 여기 «바로 위 outbound_query_guard 블록과 같은 사유» 라고 적혀 있었다. 2026-09-05
+  # 에 끊는다 — outbound 는 출하로 갔고, 그쪽 사유는 «가드를 부르는 것이 없었다»는 사실 확인으로
+  # 물러졌다. **이 블록의 사유는 그대로 유효하다**: 여기는 검사기가 실제로 소비자 트리에서
+  # 돌면서 100% 적색을 낸다(위 outbound 는 애초에 아무도 안 불렀다). 같은 결론, 다른 기전.
   # 앵커도 같이 안 나간다. 주체 부재라는 짝 규칙 말고 **자기 자신의 사유가 하나 더 있다**: 마지막
   # 레인(L27)이 `.github/workflows/caller-zero-ratchet.yml` 을 읽어 워크플로가 리졸버를 인라인으로
   # 되돌리지 않았는지 본다. 그 파일이 없는 트리에서 그 레인은 **부재를 결함으로 읽어 적색**이 된다.

package/scripts/pipe_verdict_guard.sh

@@ -138,14 +138,54 @@ if ! printf '%s' "$NORM" | grep -qE 'set -o pipefail|set -[a-zA-Z]*o[a-zA-Z]* pi
   # Branch (b)'s optional `([^|&]*;)?` prefix keeps `| (sort; tail -5); echo $?` caught — the
   # filter need not be the group's FIRST command, only its LAST — while the `;` requirement keeps
   # the filter at a statement start, so `| (echo cat); rc=$?` does not match through a bare word.
+  # 🟥 «바로 다음 문장» 으로 좁힌다 (2026-09-06, 운영자 실사용 신고 + known-pair 재현).
+  #   종전 꼬리는 `[;&].*\$\?` 라 파이프 뒤 **어디든** `$?` 가 있으면 잡았다 — 그게 **다른
+  #   명령의** `$?` 여도. 한 호출에 문장이 여럿인 실사용 커맨드는 거의 항상 걸린다.
+  #   실측 4팔: ①`out=$(c); rc=$?; echo "$out"|tail` 안 터짐(정상) ②`c|tail; echo $?` 터짐
+  #   (known-positive) ③표시전용 안 터짐 ④`out=$(a); rc=$?; echo "$out"|tail; b; echo $?`
+  #   **터짐 = 오탐**. ④의 `$?` 는 `b` 의 것이라 안 잡는 것이 옳다.
+  #   ⇒ 꼬리를 `[;&]&?[^;&|]*\$\?` 로 — 파이프라인 **직후 한 문장** 안에서만 읽는다.
+  #   `&?` 는 `cmd | tail && echo $?`(진짜 결함)를 살리기 위한 것이다.
+  #   이 좁힘의 재현율 손실은 사실상 0 이다: 사이에 명령이 끼면 `$?` 는 그 명령의 것이므로
+  #   원래 **잡으면 안 되는** 자리다. 훅 자기 주석이 «100% FP 는 정작 중요한 한 건을
+  #   무시하도록 훈련시킨다» 고 적었고, 운영자 신고가 정확히 그 신호였다.
   _F='(tail|head|cat|less|more)'
   if printf '%s' "$NORM" \
-     | grep -qE "\|&?[[:space:]]*(${_F}([[:space:]][^|;&]*)?|[({]([^|&]*;)?[[:space:]]*${_F}([[:space:]][^|;&()}]*)?[[:space:]]*;?[[:space:]]*[)}])[[:space:]]*[;&].*\\\$\?"; then
+     | grep -qE "\|&?[[:space:]]*(${_F}([[:space:]][^|;&]*)?|[({]([^|&]*;)?[[:space:]]*${_F}([[:space:]][^|;&()}]*)?[[:space:]]*;?[[:space:]]*[)}])[[:space:]]*[;&]&?[^;&|]*\\\$\?"; then
     add "R2 \$? after a display filter" \
         "\$? holds the filter's status (tail/head/cat almost always succeed), not the command's — a FAILED check reads as 0. Capture first: \`out=\$(cmd 2>&1); rc=\$?\` then print \"\$out\" | tail."
   fi
 fi
 
+# ── R3 — a line that is ONLY redirections (`2>&1` alone on the line after a heredoc). ─────────
+# zsh runs a redirection-only line as `$NULLCMD` (= `cat` by default) — measured 2026-09-04 with
+# `zsh -x`: `+zsh:1> cat`. That `cat` reads STDIN until EOF. In this Bash tool, stdin is `/dev/null`
+# ONLY when the harness appends `< /dev/null`, and it does NOT append it when the top-level command
+# already carries a stdin redirect (`<` or a `<<` heredoc) — then stdin is a pipe held open for the
+# life of the command, and `cat` never returns. Measured 2026-09-04: 9 tasks in two sessions, all of
+# the shape `out=$(git commit -q -F - <<'CEOF' … CEOF ⏎ 2>&1)`: every commit landed within 4 s, no
+# push ever started, the shell sat in `$( )` with no git child, killed later (exit 144). The
+# pre-push hook never ran — it was blamed for a hang that happened before it.
+# Heredoc BODIES are stripped first: a one-word markdown blockquote line (`> 정본`) inside a commit
+# message is data, not a redirection. Deterministic on the remaining lines; zero-FP by construction
+# (a redirection-only line is never what the author meant outside a heredoc body).
+_R3_HIT=$(printf '%s\n' "$CMD" | awk '
+  BEGIN { inhd = 0; d = "" }
+  inhd { if ($0 == d || $0 ~ ("^[[:space:]]*" d "$")) { inhd = 0 }; next }
+  {
+    if (match($0, /<<-?[[:space:]]*["'"'"']?[A-Za-z_][A-Za-z_0-9]*["'"'"']?/)) {
+      d = substr($0, RSTART, RLENGTH); sub(/^<<-?[[:space:]]*/, "", d); gsub(/["'"'"']/, "", d); inhd = 1
+    }
+    # a STATEMENT at line start made only of redirections, ended by `)`, `;`, `}`, `&&`, `||` or EOL —
+    # the measured shape is `2>&1); rc=$?`, where `)` closes the `$( )` and the last statement inside
+    # it is the bare `2>&1`.
+    if ($0 ~ /^[[:space:]]*[0-9]*(>>?|<)(&[0-9]+|[[:space:]]*[^[:space:];|&<>()]+)?([[:space:]]+[0-9]*(>>?|<)(&[0-9]+|[[:space:]]*[^[:space:];|&<>()]+)?)*[[:space:]]*([;)}]|&&|\|\||$)/) { print NR ": " $0; exit }
+  }')
+if [ -n "$_R3_HIT" ]; then
+  add "R3 redirection-only line runs \`cat\` on stdin (line ${_R3_HIT})" \
+      "zsh executes a line that is only redirections as \$NULLCMD=cat, which reads stdin to EOF. This command carries a top-level \`<\`/\`<<\`, so the harness leaves stdin as an OPEN PIPE — that cat never returns and everything after it (the push) never starts. Put the redirection on the command line: \`out=\$(git commit -q -F - 2>&1 <<'"'"'CEOF'"'"'\`."
+fi
+
 [ -n "$hits" ] || exit 0
 
 if [ "${FH_PIPE_VERDICT_BLOCK:-0}" = "1" ]; then