@chrono-meta/fh-gate 3.0.0 → 3.1.0

package/scripts/test_outbound_query_hook_lanes.sh

@@ -0,0 +1,433 @@
+#!/usr/bin/env bash
+# test_outbound_query_hook_lanes.sh — known pairs for scripts/outbound_query_hook.sh.
+# 🟥 WRITTEN BEFORE THE HOOK. The fail-before run is recorded in
+#    tracks/_meta/dispatch/2026-09-05_outbound-hook/REPORT.md — a lane whose red was never
+#    observed is not an anchor ([[feedback_anchor_can_be_decorative]]).
+#
+# WHAT IS BEING GUARDED
+#   A session's WebSearch/WebFetch call is an OUTBOUND, IRREVERSIBLE act: once the query string
+#   leaves, it cannot be recalled. If the string names an internal asset, the query IS the leak
+#   (CLAUDE.md §Field-Harness Diagnostic: internal names never reach a log, a comment, or a paste;
+#   §Irreversibility Gates: an irreversible surface fails CLOSED).
+#   scripts/outbound_query_guard.sh has owned that lint since 2026-08-21 with ZERO callers. This
+#   hook is its wiring — and it is the FIRST hook in this repo that can emit `permissionDecision:
+#   "deny"`, so its degrade direction is the whole design, not a detail.
+#
+# THE TWO LAYERS (the reason this is not just "run the guard from a hook")
+#   The guard fail-closes when the operator's gitignored override layer is absent — correct for a
+#   CLI the operator invokes, and WRONG for a hook in a consumer install, where that layer is
+#   absent by construction. Blocking every consumer's WebSearch trains the hook OFF, which is the
+#   "bypass trainer" CLAUDE.md names. So the hook splits the verdict by LAYER:
+#     override-layer hit  → deny      (operator's own internal literals — the real leak class)
+#     defaults-layer hit  → advisory  (universal shapes; FP-prone, and a consumer has only this)
+#     no override present → advisory only + a once-per-session UNCALIBRATED notice
+#   The layer is decided MECHANICALLY: scan twice (full set, then defaults-only) and compare the
+#   hit COUNTS. A boolean would collapse "both layers hit" into "defaults hit" and silently
+#   downgrade a real deny ([[feedback_not_found_is_not_zero_family]]).
+#
+# 🟥 THE OUTPUT MUST NOT CARRY THE TOKEN. psa_scan_tagged prints `SEV leak — path: 'token'`.
+#    A deny reason or a log row echoing that would make the LEAK GUARD ITSELF the leak channel.
+#    H10 asserts the fixture token appears in NO output surface. That lane is load-bearing.
+set -uo pipefail
+FH="$(cd "$(dirname "$0")/.." && pwd)"
+H="$FH/scripts/outbound_query_hook.sh"
+PASS=0; FAIL=0
+chk(){ if [ "$2" = "$3" ]; then echo "  ✅ $1 → $2"; PASS=$((PASS+1));
+       else echo "  ❌ $1 → got=$2 expect=$3"; FAIL=$((FAIL+1)); fi; }
+
+# 🟥 subject-absent → the suite is NOT green. "skipped is not passed" — a suite that passes when
+#    its subject is missing is the decorative anchor this repo keeps re-finding.
+if [ ! -f "$H" ]; then
+  echo "🟥 SUBJECT ABSENT — $H"
+  echo "   skipped is not passed: with no hook there is nothing to anchor. exit 1."
+  exit 1
+fi
+
+T="$(mktemp -d -t oqh.XXXXXX)" || exit 3
+trap 'rm -rf "$T"' EXIT INT TERM
+
+# ── fixture tree: the REAL relative layout, under a temp root ─────────────────────────────────
+# 🟥 Deliberately NOT via PSA_*_FILE injection for the main lanes. Injecting every path would make
+#    a typo in the hook's own default path (→ N/A everywhere → silent fail-open) invisible to the
+#    whole suite. H14 exercises the injection point separately.
+mk_root(){  # $1=root  $2=with_override(1/0)  $3=defaults_content(optional)
+  rm -rf "$1"; mkdir -p "$1/.claude/rules"
+  printf '%s' "${3:-$(printf 'HIGH\tZZDEFAULTSTOKEN\n')}" > "$1/.claude/rules/.public-surface-patterns.defaults"
+  [ "$2" = 1 ] && printf 'HIGH\tZZOVERRIDETOKEN\n' > "$1/.claude/rules/.public-surface-patterns"
+  return 0
+}
+
+# run <root> <json> [extra env assignments...]  → sets OUT / RC / ERR
+run(){
+  local root="$1" json="$2"; shift 2
+  ERR="$T/err.txt"
+  OUT="$(printf '%s' "$json" | env CLAUDE_PROJECT_DIR="$root" "$@" bash "$H" 2>"$ERR")"; RC=$?
+  return 0
+}
+verdict(){  # classify the hook's stdout
+  if [ -z "${OUT:-}" ]; then echo none
+  elif printf '%s' "$OUT" | grep -q '"permissionDecision"[[:space:]]*:[[:space:]]*"deny"'; then echo deny
+  elif printf '%s' "$OUT" | grep -q 'additionalContext'; then echo advisory
+  else echo other; fi
+}
+logrow(){ [ -f "$1/.claude/.outbound_hook_events.tsv" ] && tail -1 "$1/.claude/.outbound_hook_events.tsv" || echo NOLOG; }
+logcol(){ logrow "$1" | awk -F'\t' -v n="$2" '{print $n}'; }
+logcount(){ [ -f "$1/.claude/.outbound_hook_events.tsv" ] && wc -l < "$1/.claude/.outbound_hook_events.tsv" | tr -d ' ' || echo 0; }
+
+WS(){ printf '{"session_id":"%s","tool_name":"WebSearch","tool_input":{"query":"%s"}}' "${2:-sessA}" "$1"; }
+WF(){ printf '{"session_id":"sessA","tool_name":"WebFetch","tool_input":{"url":"%s","prompt":"%s"}}' "$1" "$2"; }
+
+echo "── H1 known-POSITIVE — override 층 히트는 DENY 다 ──"
+R="$T/r1"; mk_root "$R" 1
+run "$R" "$(WS 'how do I fix ZZOVERRIDETOKEN in prod')"
+chk "H1 override 토큰 → deny"        "$(verdict)" deny
+chk "H1 exit 0 (JSON 이 판정을 나른다)" "$RC" 0
+chk "H1 로그 verdict=deny"           "$(logcol "$R" 3)" deny
+chk "H1 로그 layer=override"         "$(logcol "$R" 4)" override
+
+echo "── H2 LAYER CONTROL — defaults 층만 히트하면 ADVISORY, deny 아니다 ──"
+# 🟥 이것이 두 층 설계의 판별 레인이다. 여기서 deny 가 나오면 소비자 install 이 통째로 막힌다.
+R="$T/r2"; mk_root "$R" 1
+run "$R" "$(WS 'why does ZZDEFAULTSTOKEN appear here')"
+chk "H2 defaults 토큰(override 존재) → advisory" "$(verdict)" advisory
+chk "H2 exit 0"                                   "$RC" 0
+chk "H2 로그 verdict=advisory"                    "$(logcol "$R" 3)" advisory
+chk "H2 로그 layer=defaults"                      "$(logcol "$R" 4)" defaults
+
+echo "── H3 known-NEGATIVE — 평범한 질의는 아무 출력도 없다 (과차단 방지) ──"
+R="$T/r3"; mk_root "$R" 1
+run "$R" "$(WS 'bash printf portability posix')"
+chk "H3 일반 질의 → 무음"      "$(verdict)" none
+chk "H3 exit 0"                "$RC" 0
+chk "H3 로그 verdict=clean"    "$(logcol "$R" 3)" clean
+
+echo "── H4 N/A — FH 체크아웃이 아니면 무음이고, 그 트리에 파일을 만들지 않는다 ──"
+R="$T/r4"; rm -rf "$R"; mkdir -p "$R"
+run "$R" "$(WS 'ZZOVERRIDETOKEN and ZZDEFAULTSTOKEN')"
+chk "H4 defaults 부재 → 무음"          "$(verdict)" none
+chk "H4 exit 0"                        "$RC" 0
+chk "H4 남의 트리에 .claude 를 안 만든다" "$( [ -e "$R/.claude" ] && echo created || echo untouched )" untouched
+
+echo "── H4b N/A + 트리에 .claude 가 이미 있어도 아무것도 쓰지 않는다 (codex #7 — 사용자 수준 훅은 모든 레포에서 돈다) ──"
+R="$T/r4b"; rm -rf "$R"; mkdir -p "$R/.claude"
+run "$R" "$(WS 'anything')"
+chk "H4b defaults 부재 + .claude 존재 → 무음" "$(verdict)" none
+chk "H4b 이벤트 파일을 만들지 않는다"          "$( [ -e "$R/.claude/.outbound_hook_events.tsv" ] && echo written || echo untouched )" untouched
+
+echo "── H5 🟥 계기 불완전 = 미측정 = DENY (통과가 아니다) ──"
+# 🟥 이 레인은 «판정»만이 아니라 «어느 가지가 냈는지»를 본다. 되돌림 프로브(2026-09-05)에서
+#    PSA_BAD_ROWS 검사를 지웠는데 47/47 이 그대로 초록이었다 — 라이브러리 자신의 같은 검사가
+#    rc=3 으로 잡아 «같은 deny» 를 냈기 때문이다. 판정만 보는 앵커는 그래서 장식이었다
+#    ([[feedback_anchor_can_be_decorative]] · [[feedback_three_reasons_a_lane_is_green]]).
+#    사유 문구를 박아야 가지가 갈린다.
+reason(){ printf '%s' "$OUT" | python3 -c 'import json,sys
+try: print(json.load(sys.stdin).get("hookSpecificOutput",{}).get("permissionDecisionReason",""))
+except Exception: print("")' 2>/dev/null; }
+R="$T/r5"; mk_root "$R" 1 "$(printf 'HIGH_NO_TAB_ROW\nHIGH\tZZDEFAULTSTOKEN\n')"
+run "$R" "$(WS 'a perfectly innocent question')"
+chk "H5 패턴 형식오류 행 → deny"  "$(verdict)" deny
+chk "H5 사유가 «형식오류 행» 가지" "$(reason | /usr/bin/grep -c '형식오류 행' || true)" 1
+chk "H5 로그 verdict=deny"        "$(logcol "$R" 3)" deny
+chk "H5 로그 layer=-(미측정)"      "$(logcol "$R" 4)" -
+
+echo "── H5b 🟥 라이브러리가 «안 보는» 가지 — defaults 가 비었는데 override 는 있다 ──"
+# psa_scan_tagged 는 PSA_STREAM 이 비었는지·BAD_ROWS 가 있는지는 보지만 **PSA_DEFAULTS_OK 는
+# 안 본다**. override 만 실린 스트림은 비어 있지 않으므로 라이브러리는 그대로 «스캔»하고,
+# 보편 패턴층이 통째로 빠진 결과를 «깨끗»으로 렌더한다 — 호출자만 막을 수 있는 fail-open 이다.
+R="$T/r5b"; mk_root "$R" 1 "$(printf '# only a comment, no rows\n')"
+run "$R" "$(WS 'a perfectly innocent question')"
+chk "H5b defaults 공백 + override 존재 → deny" "$(verdict)" deny
+chk "H5b 사유가 «공용 패턴층» 가지"             "$(reason | /usr/bin/grep -c '공용 패턴층' || true)" 1
+
+echo '── H6 opt-out — (# noqa: outbound) 는 통과시키되 «로그를 남긴다» ──'
+# 🟥 게임 가능한 채널이다. 그래서 보이지 않는 우회로가 되지 않도록 행이 남는다.
+R="$T/r6"; mk_root "$R" 1
+run "$R" "$(WS 'ZZOVERRIDETOKEN please # noqa: outbound')"
+chk "H6 noqa → 무음 통과"      "$(verdict)" none
+chk "H6 exit 0"                "$RC" 0
+chk "H6 로그 verdict=noqa"     "$(logcol "$R" 3)" noqa
+
+echo "── H6b CONTROL — 남의 트리에서는 noqa 규율이 «발동조차» 안 한다 ──"
+# 🟥 순서가 하중이다. opt-out 이 적용성보다 «앞»에 있으면, FH 가 아닌 트리에서 noqa 질의가
+#    로그를 쓰려다 실패하고 → fail-closed 규칙이 **남의 레포 호출을 막는다.** 과차단이다.
+R="$T/r6b"; rm -rf "$R"; mkdir -p "$R"
+run "$R" "$(WS 'anything # noqa: outbound')"
+chk "H6b 비-FH 트리 + noqa → 무음"          "$(verdict)" none
+chk "H6b exit 0"                             "$RC" 0
+chk "H6b 그 트리에 .claude 를 안 만든다"     "$( [ -e "$R/.claude" ] && echo created || echo untouched )" untouched
+
+echo "── H7 WebFetch — url 과 prompt 를 «둘 다» 본다 (prompt 쪽 토큰 적발) ──"
+R="$T/r7"; mk_root "$R" 1
+run "$R" "$(WF 'https://example.com/docs' 'summarize how ZZOVERRIDETOKEN is wired')"
+chk "H7 WebFetch prompt 토큰 → deny" "$(verdict)" deny
+chk "H7 로그 tool=WebFetch"          "$(logcol "$R" 2)" WebFetch
+
+echo "── H7b WebFetch — url 쪽 토큰도 본다 ──"
+R="$T/r7b"; mk_root "$R" 1
+run "$R" "$(WF 'https://example.com/ZZOVERRIDETOKEN/x' 'summarize')"
+chk "H7b WebFetch url 토큰 → deny" "$(verdict)" deny
+
+echo "── H8 🟥 개행+탭 우회 — 토큰을 path 필드에 숨길 수 없다 ──"
+R="$T/r8"; mk_root "$R" 1
+run "$R" '{"session_id":"sessA","tool_name":"WebSearch","tool_input":{"query":"safe question\nZZOVERRIDETOKEN\tdecoy"}}'
+chk "H8 개행+탭 뒤 토큰 → deny" "$(verdict)" deny
+
+echo "── H9 CONTROL — 대상이 아닌 도구는 건드리지 않는다 (무음 · 로그도 없음) ──"
+R="$T/r9"; mk_root "$R" 1
+run "$R" '{"session_id":"sessA","tool_name":"Bash","tool_input":{"command":"echo ZZOVERRIDETOKEN"}}'
+chk "H9 Bash → 무음"        "$(verdict)" none
+chk "H9 Bash → 로그 0행"    "$(logcount "$R")" 0
+
+echo "── H10 🟥 유출 금지 — 어떤 출력면에도 토큰 «값» 이 없다 ──"
+# 이 레인이 이 훅의 존재 이유를 지킨다: 유출 가드가 유출 채널이 되면 안 된다.
+R="$T/r10"; mk_root "$R" 1
+run "$R" "$(WS 'leak ZZOVERRIDETOKEN and ZZDEFAULTSTOKEN together')"
+ALL="$OUT
+$(cat "$ERR" 2>/dev/null)
+$(cat "$R/.claude/.outbound_hook_events.tsv" 2>/dev/null)"
+chk "H10 stdout+stderr+로그에 override 토큰 없음" \
+    "$(printf '%s' "$ALL" | /usr/bin/grep -c 'ZZOVERRIDETOKEN' || true)" 0
+chk "H10 stdout+stderr+로그에 defaults 토큰 없음" \
+    "$(printf '%s' "$ALL" | /usr/bin/grep -c 'ZZDEFAULTSTOKEN' || true)" 0
+chk "H10 그래도 판정은 deny (침묵이 아니라 무해한 사유)" "$(verdict)" deny
+
+echo "── H11 CONTROL — 스캐너 라이브러리가 없으면 DENY (미측정) ──"
+R="$T/r11"; mk_root "$R" 1
+run "$R" "$(WS 'harmless')" PSA_LIB_FILE="$T/does_not_exist.sh"
+chk "H11 라이브러리 부재 → deny" "$(verdict)" deny
+
+echo "── H12 소비자 install — override 층 부재: advisory 만, 그리고 UNCALIBRATED 1회 ──"
+R="$T/r12"; mk_root "$R" 0
+run "$R" "$(WS 'about ZZDEFAULTSTOKEN' sess1)"
+chk "H12 override 부재 + defaults 히트 → advisory(deny 아님)" "$(verdict)" advisory
+chk "H12 첫 호출에 UNCALIBRATED 고지" \
+    "$(printf '%s' "$OUT" | /usr/bin/grep -c 'UNCALIBRATED' || true)" 1
+run "$R" "$(WS 'about ZZDEFAULTSTOKEN again' sess1)"
+chk "H12 같은 세션 2번째 → 고지 없음(세션당 1회)" \
+    "$(printf '%s' "$OUT" | /usr/bin/grep -c 'UNCALIBRATED' || true)" 0
+run "$R" "$(WS 'about ZZDEFAULTSTOKEN again' sess2)"
+chk "H12 다른 세션 → 고지 다시" \
+    "$(printf '%s' "$OUT" | /usr/bin/grep -c 'UNCALIBRATED' || true)" 1
+chk "H12 로그 layer=defaults" "$(logcol "$R" 4)" defaults
+
+echo "── H12b 소비자 install + 깨끗한 질의 → 완전 무음 (고지도 안 뜬다) ──"
+# 🟥 고지를 히트에만 붙인다. 모든 WebSearch 에 붙이면 그게 소음이고, 소음은 훅을 끄게 만든다.
+R="$T/r12b"; mk_root "$R" 0
+run "$R" "$(WS 'bash printf portability' sess9)"
+chk "H12b 소비자 + 깨끗 → 무음" "$(verdict)" none
+chk "H12b 로그 verdict=clean"   "$(logcol "$R" 3)" clean
+
+echo "── H13 DEGRADE — 파싱 불가 payload 는 무음 통과 (죽은 해석기가 도구를 막지 않는다) ──"
+R="$T/r13"; mk_root "$R" 1
+run "$R" 'this is not json at all {{{'
+chk "H13 비-JSON → 무음" "$(verdict)" none
+chk "H13 exit 0"         "$RC" 0
+
+echo "── H14 주입점 — PSA_DEFAULTS_FILE / PSA_OVERRIDE_FILE 가 실제로 먹는다 ──"
+R="$T/r14"; rm -rf "$R"; mkdir -p "$R/.claude"
+printf 'HIGH\tZZINJECTED\n' > "$T/inj_def"
+printf 'HIGH\tZZINJOVR\n'   > "$T/inj_ovr"
+run "$R" "$(WS 'contains ZZINJOVR here')" PSA_DEFAULTS_FILE="$T/inj_def" PSA_OVERRIDE_FILE="$T/inj_ovr"
+chk "H14 주입된 override 토큰 → deny" "$(verdict)" deny
+
+echo "── H15 CONTROL — 빈 질의는 막지 않는다 ──"
+R="$T/r15"; mk_root "$R" 1
+run "$R" '{"session_id":"sessA","tool_name":"WebSearch","tool_input":{"query":"   "}}'
+chk "H15 빈 질의 → 무음" "$(verdict)" none
+chk "H15 exit 0"         "$RC" 0
+
+echo "── H16 🟥 미지의 tool_input 키 형태에서도 스캔한다 (문서 미기재 = 하드코딩 금지) ──"
+# 공식 hooks 문서는 WebSearch/WebFetch 의 tool_input 키 이름을 «명시하지 않는다»(2026-09-05 확인).
+# 키 이름을 박으면 스키마가 바뀌는 순간 조용히 fail-OPEN 한다 — 그래서 «모든 문자열 값»을 본다.
+R="$T/r16"; mk_root "$R" 1
+run "$R" '{"session_id":"sessA","tool_name":"WebSearch","tool_input":{"q":"ZZOVERRIDETOKEN","opts":{"deep":["also ZZOVERRIDETOKEN"]}}}'
+chk "H16 미지 키 안의 토큰 → deny" "$(verdict)" deny
+
+echo "── H17 CONTROL — deny 사유가 «비어 있지 않다» (침묵 deny 금지) ──"
+R="$T/r17"; mk_root "$R" 1
+run "$R" "$(WS 'ZZOVERRIDETOKEN')"
+chk "H17 permissionDecisionReason 비어있지 않음" \
+    "$(printf '%s' "$OUT" | python3 -c 'import json,sys;
+try:
+    d=json.load(sys.stdin); r=d.get("hookSpecificOutput",{}).get("permissionDecisionReason","")
+    print("nonempty" if isinstance(r,str) and len(r.strip())>10 else "empty")
+except Exception: print("unparseable")' 2>/dev/null)" nonempty
+chk "H17 hookEventName 이 PreToolUse" \
+    "$(printf '%s' "$OUT" | python3 -c 'import json,sys;
+try: print(json.load(sys.stdin).get("hookSpecificOutput",{}).get("hookEventName",""))
+except Exception: print("unparseable")' 2>/dev/null)" PreToolUse
+
+echo "── H18 🟥 렌더 못 한 DENY 는 무음 통과가 되면 안 된다 (fail-closed 2차 채널) ──"
+# degrade_direction_scan S1 이 `_emit` 의 `|| true` 를 지목했고 **진짜였다**: JSON 을 못 만들면
+# 출력이 비고, 이 훅에서 «출력 없음» 은 곧 ALLOW 다. OQH_PY 로 렌더러만 죽여 그 가지에 도달한다
+# (파싱은 진짜 python3 로 그대로 돈다 — 변수는 하나다).
+R="$T/r18"; mk_root "$R" 1
+run "$R" "$(WS 'ZZOVERRIDETOKEN')" OQH_PY="$T/not_an_interpreter"
+chk "H18 렌더 실패 → exit 2 (차단)"        "$RC" 2
+chk "H18 사유가 stderr 로 나간다"          "$( [ -s "$ERR" ] && echo nonempty || echo empty )" nonempty
+chk "H18 stdout 은 비어 있다(허용 아님)"   "$(verdict)" none
+chk "H18 🟥 그 stderr 에도 토큰 값은 없다" \
+    "$(/usr/bin/grep -c 'ZZOVERRIDETOKEN' "$ERR" || true)" 0
+
+echo "── H18b CONTROL — 같은 렌더 실패라도 ADVISORY 는 막지 않는다 (잃은 것은 경고뿐) ──"
+R="$T/r18b"; mk_root "$R" 1
+run "$R" "$(WS 'ZZDEFAULTSTOKEN')" OQH_PY="$T/not_an_interpreter"
+chk "H18b advisory 렌더 실패 → exit 0" "$RC" 0
+chk "H18b 로그는 advisory 로 남는다"    "$(logcol "$R" 3)" advisory
+
+echo "── H19 🟥 기록 못 하는 opt-out 은 통과시키지 않는다 ──"
+# noqa 의 정당성은 «행이 남는다» 하나뿐이다. 못 남기면 보이지 않는 우회가 된다.
+R="$T/r19"; mk_root "$R" 1
+chmod 500 "$R/.claude"
+run "$R" "$(WS 'ZZOVERRIDETOKEN # noqa: outbound')"
+chmod 700 "$R/.claude"
+chk "H19 로그 불가 + noqa → deny"     "$(verdict)" deny
+chk "H19 사유가 «기록» 가지"          "$(reason | /usr/bin/grep -c '기록 못 하는 우회' || true)" 1
+
+echo "── H19b CONTROL — 쓸 수 있으면 같은 질의가 통과한다 (H19 가 chmod 때문만은 아니다) ──"
+R="$T/r19b"; mk_root "$R" 1
+run "$R" "$(WS 'ZZOVERRIDETOKEN # noqa: outbound')"
+chk "H19b 로그 가능 + noqa → 무음 통과" "$(verdict)" none
+chk "H19b 로그 verdict=noqa"            "$(logcol "$R" 3)" noqa
+
+echo "── H20 🟥 session_id 가 없어도 필드가 밀리지 않는다 (IFS 접힘 회귀 앵커) ──"
+# `IFS=$'"'"'\t'"'"' read` 였다면 빈 session_id 에서 KEYS 가 SESS 자리로 밀려 로그 5번째 칼럼이
+# 비고 판정 입력이 통째로 어긋난다 ([[feedback_ifs_read_collapses_empty_fields]]).
+R="$T/r20"; mk_root "$R" 1
+run "$R" '{"tool_name":"WebSearch","tool_input":{"query":"ZZOVERRIDETOKEN"}}'
+chk "H20 session_id 부재 → 여전히 deny" "$(verdict)" deny
+chk "H20 KEYS 칼럼이 제자리(query)"      "$(logcol "$R" 5)" query
+chk "H20 tool 칼럼이 제자리"             "$(logcol "$R" 2)" WebSearch
+
+echo "── H21 CONTROL — 필드가 3탭이 아니면 무음 (조립 실패를 판정으로 읽지 않는다) ──"
+R="$T/r21"; mk_root "$R" 1
+run "$R" '{"tool_name":"WebSearch","tool_input":{"query":"ZZOVERRIDETOKEN"}}' OQH_PY=python3
+chk "H21 정상 payload 는 여전히 deny (컨트롤이 살아 있다)" "$(verdict)" deny
+
+echo "── H22 🟥 심각도 «라벨» 도 운영자가 쓴 텍스트다 — 그대로 내보내지 않는다 ──"
+# 패턴 파일 1열은 관례가 HIGH/MED/LOW 일 뿐 강제되지 않는다. 사유 문구에 그 열을 그대로 실으면
+# 토큰 값은 안 나가도 «라벨» 로 내부 낱말이 새어나갈 수 있다. 평범한 ASCII 대문자 1~8자가
+# 아니면 `?` 로 렌더한다. 되돌림 프로브 M13 이 이 레인 없이 초록이었다 — 그래서 생겼다.
+R="$T/r22"; rm -rf "$R"; mkdir -p "$R/.claude/rules"
+printf 'HIGH\tZZDEFAULTSTOKEN\n' > "$R/.claude/rules/.public-surface-patterns.defaults"
+printf 'ZZ_SEC1\tZZOVERRIDETOKEN\n' > "$R/.claude/rules/.public-surface-patterns"
+run "$R" "$(WS 'ZZOVERRIDETOKEN')"
+chk "H22 이상한 라벨 → deny 는 그대로"   "$(verdict)" deny
+chk "H22 라벨이 사유에 안 실린다"        "$(reason | /usr/bin/grep -c 'ZZ_SEC1' || true)" 0
+chk "H22 대신 ? 로 렌더된다"             "$(reason | /usr/bin/grep -c '? x1' || true)" 1
+
+echo "── H22b CONTROL — 정상 라벨은 그대로 보인다 (H22 가 «전부 ?» 라서 통과한 게 아니다) ──"
+R="$T/r22b"; mk_root "$R" 1
+run "$R" "$(WS 'ZZOVERRIDETOKEN')"
+chk "H22b HIGH 라벨은 사유에 그대로" "$(reason | /usr/bin/grep -c 'HIGH x1' || true)" 1
+
+echo "── H22c 전부-글자 라벨도 enum(HIGH/MED/LOW) 밖이면 ? (codex #5 — «8자 이하 글자» 규칙으로는 내부 낱말이 샌다) ──"
+R="$T/r22c"; rm -rf "$R"; mkdir -p "$R/.claude/rules"
+printf 'HIGH\tZZDEFAULTSTOKEN\n' > "$R/.claude/rules/.public-surface-patterns.defaults"
+printf 'ACMEKEY\tZZOVERRIDETOKEN\n' > "$R/.claude/rules/.public-surface-patterns"
+run "$R" "$(WS 'ZZOVERRIDETOKEN')"
+chk "H22c ACMEKEY 라벨 → deny 그대로"   "$(verdict)" deny
+chk "H22c 라벨이 사유에 안 실린다"       "$(reason | /usr/bin/grep -c 'ACMEKEY' || true)" 0
+chk "H22c ? 로 렌더"                     "$(reason | /usr/bin/grep -c '? x1' || true)" 1
+
+echo "── H23 🟥 «패딩으로 우회» 금지 — 긴 질의가 훅을 죽여서 통과하면 안 된다 ──"
+# 실측 2026-09-05: 필드 개수 검증을 `${_META//[!\t]/}` 로 하던 초판은 bash 3.2 에서 10,000자에
+# **47.7초**가 걸렸다(라이브러리는 같은 크기를 0.15초에 처리한다 — 비용은 가드였다).
+# settings 의 `"timeout": 5` 에 걸려 훅이 **죽고**, 죽은 PreToolUse 훅은 non-blocking error 라
+# **도구가 그대로 실행된다** — override 도 필요 없고 로그도 안 남는 우회다. 시간 상한을 박는다.
+# 🟥 The lane runs the hook under the SAME timeout the shipped snippet configures — a lane that
+#    allowed 15s while production kills at 5s would pass a hook that production lets through
+#    (codex finding 10, 2026-09-05). The value is READ from the snippet, and H23c pins it.
+SNIP_TO="$(python3 -c 'import json,sys
+d=json.load(open(sys.argv[1]))
+for h in d["project_settings_json"]["hooks"]["PreToolUse"]:
+    if h.get("matcher")=="WebSearch|WebFetch": print(h["hooks"][0]["timeout"]); break' "$FH/templates/settings.PreToolUse.snippet.json" 2>/dev/null)"
+chk "H23c 스니펫의 이 훅 timeout 을 읽었다(레인은 그 값으로 잰다)" "$SNIP_TO" 5
+[ -n "$SNIP_TO" ] || SNIP_TO=5
+LONG="$(python3 -c 'print("lorem ipsum dolor sit amet "*800)')"
+mkjson(){ python3 -c 'import json,sys; print(json.dumps({"session_id":"sX","tool_name":"WebSearch","tool_input":{"query":sys.argv[1]}}))' "$1"; }
+R="$T/r23"; mk_root "$R" 1
+t0=$(date +%s)
+OUT="$(mkjson "$LONG" | env CLAUDE_PROJECT_DIR="$R" timeout "$SNIP_TO" bash "$H" 2>"$T/err23")"; RC=$?
+t1=$(date +%s)
+chk "H23 21KB 깨끗한 질의 → 스니펫 timeout(${SNIP_TO}s) 안에 끝난다(죽지 않음)" "$( [ "$RC" -ne 124 ] && echo alive || echo KILLED )" alive
+chk "H23 그리고 판정은 clean(무음)"                        "$(verdict)" none
+chk "H23 로그 verdict=clean"                               "$(logcol "$R" 3)" clean
+echo "     (측정: $((t1-t0))초)"
+
+echo "── H23b CONTROL — 길다고 스캔을 건너뛰지 않는다 (패딩 뒤의 토큰도 잡는다) ──"
+R="$T/r23b"; mk_root "$R" 1
+OUT="$(mkjson "$LONG ZZOVERRIDETOKEN" | env CLAUDE_PROJECT_DIR="$R" timeout "$SNIP_TO" bash "$H" 2>"$T/err23b")"; RC=$?
+chk "H23b 21KB 패딩 + 토큰 → deny"      "$(verdict)" deny
+chk "H23b 죽어서 통과한 게 아니다"       "$( [ "$RC" -ne 124 ] && echo alive || echo KILLED )" alive
+
+echo "── H24 같은 토큰이 두 층에 다 있어도 deny — 계수 비교가 dedup 에 안 무너진다 (codex #11 을 실측으로 반증하고 고정) ──"
+R="$T/r24"; rm -rf "$R"; mkdir -p "$R/.claude/rules"
+printf 'HIGH\tZZSAMETOKEN\n' > "$R/.claude/rules/.public-surface-patterns.defaults"
+printf 'HIGH\tZZSAMETOKEN\n' > "$R/.claude/rules/.public-surface-patterns"
+run "$R" "$(WS 'hello ZZSAMETOKEN')"
+chk "H24 양층 동일 토큰 → deny"  "$(verdict)" deny
+chk "H24 로그 layer=override"     "$(logcol "$R" 4)" override
+
+echo "── H25 tool_input 이 객체가 아니라 문자열이어도 스캔한다 (codex #1) ──"
+R="$T/r25"; mk_root "$R" 1
+run "$R" '{"tool_name":"WebSearch","tool_input":"ZZOVERRIDETOKEN"}'
+chk "H25 문자열 tool_input 의 토큰 → deny" "$(verdict)" deny
+
+echo "── H26 깊이 8 초과 = «못 봤다» = deny (codex #2) · CONTROL 깊이 3 은 정상 판정 ──"
+R="$T/r26"; mk_root "$R" 1
+run "$R" '{"tool_name":"WebSearch","tool_input":{"a":{"b":{"c":{"d":{"e":{"f":{"g":{"h":{"i":{"j":"ZZOVERRIDETOKEN"}}}}}}}}}}}'
+chk "H26 깊이 10 토큰 → deny"                          "$(verdict)" deny
+chk "H26 사유 = 추출 한계(미측정)"                      "$(reason | /usr/bin/grep -c '추출 한계' || true)" 1
+run "$R" '{"tool_name":"WebSearch","tool_input":{"a":{"b":{"query":"ZZOVERRIDETOKEN"}}}}'
+chk "H26 CONTROL 깊이 3 토큰 → deny(override 층)"       "$(logcol "$R" 4)" override
+run "$R" '{"tool_name":"WebSearch","tool_input":{"a":{"b":{"c":{"d":{"e":{"f":{"g":{"h":{"i":{"j":"clean"}}}}}}}}}}}'
+chk "H26 깊이 10 «깨끗한» 값도 deny — 못 본 것은 깨끗한 것이 아니다" "$(verdict)" deny
+
+echo "── H27 값 4096 개 초과 → deny (codex #3) · CONTROL 101 개는 정상 ──"
+R="$T/r27"; mk_root "$R" 1
+MANY="$(python3 -c 'import json; print(json.dumps({"tool_name":"WebSearch","tool_input":{"query":["x"]*4100+["ZZOVERRIDETOKEN"]}}))')"
+run "$R" "$MANY"
+chk "H27 4101 값, 토큰이 맨 뒤 → deny"   "$(verdict)" deny
+chk "H27 사유 = 추출 한계"                "$(reason | /usr/bin/grep -c '추출 한계' || true)" 1
+FEW="$(python3 -c 'import json; print(json.dumps({"tool_name":"WebSearch","tool_input":{"query":["x"]*100+["fine"]}}))')"
+run "$R" "$FEW"
+chk "H27 CONTROL 101 값 깨끗 → 무음"      "$(verdict)" none
+
+echo "── H28 키 이름도 스캔하고, 로그에는 원문 키를 안 남긴다 (codex #4) ──"
+R="$T/r28"; mk_root "$R" 1
+run "$R" '{"tool_name":"WebSearch","tool_input":{"ZZOVERRIDETOKEN":"benign"}}'
+chk "H28 토큰이 키 자리 → deny"                "$(verdict)" deny
+chk "H28 로그 행에 토큰 없음"                   "$(logrow "$R" | /usr/bin/grep -c 'ZZOVERRIDETOKEN' || true)" 0
+chk "H28 로그 5열은 other"                      "$(logcol "$R" 5)" other
+run "$R" '{"tool_name":"WebSearch","tool_input":{"query":"fine","extra_key":"fine"}}'
+chk "H28 CONTROL 아는 키는 이름 그대로 · 모르는 키는 other" "$(logcol "$R" 5)" other,query
+
+echo "── H30 tr 없는 PATH 에서도 판정이 산다 (codex #6) — 빈 값 판정이 외부 명령에 안 기댄다 ──"
+SHADOW_NOTR="$T/shadow_notr"; mkdir -p "$SHADOW_NOTR"
+IFS=':' read -r -a _pdirs <<< "$PATH"
+for _d in "${_pdirs[@]}"; do
+  [ -d "$_d" ] || continue
+  for _f in "$_d"/*; do
+    [ -x "$_f" ] && [ ! -d "$_f" ] || continue
+    _b="${_f##*/}"; [ "$_b" = tr ] && continue
+    [ -e "$SHADOW_NOTR/$_b" ] || ln -s "$_f" "$SHADOW_NOTR/$_b"
+  done
+done
+if PATH="$SHADOW_NOTR" command -v tr >/dev/null 2>&1; then
+  chk "H30-FIXTURE shadow PATH 에서 tr 이 숨었다" visible hidden
+else
+  R="$T/r30"; mk_root "$R" 1
+  run "$R" "$(WS 'ZZOVERRIDETOKEN')" PATH="$SHADOW_NOTR"
+  chk "H30 tr 부재 + 토큰 → deny (clean 으로 안 접힌다)" "$(verdict)" deny
+  # 🟥 control shape = an EMPTY tool_input — not a whitespace query. Key names are scanned too
+  #    (H28), so a WebSearch call with a `query` key is never an empty scan text; the emptiness path
+  #    is reachable only when there is nothing at all to scan.
+  run "$R" '{"tool_name":"WebSearch","tool_input":{}}' PATH="$SHADOW_NOTR"
+  chk "H30 CONTROL tr 부재 + 빈 tool_input → 무음(clean, 라이브러리를 안 거친다)" "$(verdict)" none
+  chk "H30 CONTROL 로그 verdict=clean"                     "$(logcol "$R" 3)" clean
+fi
+
+echo
+if [ "$FAIL" -eq 0 ]; then echo "════ outbound-query-hook lanes: $PASS passed · 0 failed ════"; exit 0
+else echo "🟥 outbound-query-hook lanes: $FAIL 실패 / $((PASS+FAIL))"; exit 1; fi

package/scripts/test_outbound_query_lanes.sh

@@ -0,0 +1,87 @@
+#!/usr/bin/env bash
+# test_outbound_query_lanes.sh — outbound_query_guard.sh 의 known-pair 앵커.
+# 🟥 게이트는 «막나» 만이 아니라 «정상 질의를 안 막나» 도 같이 재야 한다 — 과차단은 override 를
+# 반사로 만들고, 그 순간 가드가 장식이 된다(psa_scan_lib.sh 헤더가 같은 이유로 LOW allowlist 를 갖는다).
+set -uo pipefail
+FH="$(cd "$(dirname "$0")/.." && pwd)"
+G="$FH/scripts/outbound_query_guard.sh"
+PASS=0; FAIL=0
+chk(){ if [ "$2" = "$3" ]; then echo "  ✅ $1 → $2"; PASS=$((PASS+1));
+       else echo "  ❌ $1 → got=$2 expect=$3"; FAIL=$((FAIL+1)); fi; }
+
+T="$(mktemp -d -t oqg.XXXXXX)" || exit 3
+# 🟥 L7 이 실제 라이브러리를 «옮긴다». 중단·실패가 그 사이에 나면 레포에 스캐너가 사라진다
+# (cross-family HIGH: "LIBBAK 은 복구에 쓰이지도 않는다"). trap 으로 무조건 되돌린다.
+trap 'rm -rf "$T"' EXIT INT TERM
+# 픽스처 패턴 파일 — 실제 운영자 토큰을 레인에 넣지 않는다(그 자체가 유출이다)
+printf 'HIGH\tZZFIXTURETOKEN\nLOW\tzzlowtok\n' > "$T/defaults"
+# override 층은 «있어야» 한다 — 부재는 이제 BLOCK 이다(L8). 내용은 픽스처 전용.
+printf 'HIGH\tZZOVERRIDETOKEN\n' > "$T/override"
+
+run(){ PSA_DEFAULTS_FILE="$1" PSA_OVERRIDE_FILE="$2" bash "$G" "$3" >/dev/null 2>&1; echo $?; }
+
+echo "── L1 known-POSITIVE — 내부 토큰이 실린 질의는 막힌다 ──"
+chk "L1 내부 토큰 → BLOCK(1)" "$(run "$T/defaults" "$T/override" 'how do I fix ZZFIXTURETOKEN here')" 1
+
+echo "── L2 known-NEGATIVE — 일반 질의는 안 막힌다 (과차단 방지) ──"
+chk "L2 일반 질의 → CLEAN(0)" "$(run "$T/defaults" "$T/override" 'harness creator skill prior art')" 0
+
+echo "── L3 🟥 계기 불완전 = 미측정. 통과가 아니라 차단이다 ──"
+# defaults 가 없으면 «유출 없음» 이 아니라 «못 쟀다». 커밋 caller 는 경고하지만 외부 질의는 비가역.
+chk "L3 defaults 부재 → BLOCK(3), CLEAN 아님" "$(run "$T/nope" "$T/override" 'harmless query')" 3
+
+echo "── L4 override 채널 — 존중되고, 로그가 남는다 ──"
+# 🟥 로그도 주입점으로 뺀다(2026-09-05). 박힌 경로였을 때 이 레인은 ⓐ 매 selfcheck 마다 실제
+# tracks/_meta 에 행을 쌓았고 ⓑ tracks/ 가 없는 트리(npm 설치본)에서 **`+1` 이 0 이 되어
+# 빨개졌다** — 실측으로 확인했고, 그게 이 가드가 출하 목록 밖에 있던 실제 이유였다.
+LOG="$T/override_log"
+before=$( [ -f "$LOG" ] && wc -l < "$LOG" || echo 0 )
+rc=$(PSA_DEFAULTS_FILE="$T/defaults" PSA_OVERRIDE_FILE="$T/override" OUTBOUND_QUERY_OK=1 \
+     OUTBOUND_QUERY_LOG="$LOG" bash "$G" 'ZZFIXTURETOKEN 강행' >/dev/null 2>&1; echo $?)
+after=$( [ -f "$LOG" ] && wc -l < "$LOG" || echo 0 )
+chk "L4 override → 통과(0)" "$rc" 0
+chk "L4 override → 로그 +1 (보이지 않는 우회로 금지)" "$((after-before))" 1
+
+echo "── L5 CONTROL — 자리표시자가 «뒤에 오는» 진짜 토큰을 가리지 못한다 ──"
+# 🟥 초판 L5 는 같은 토큰을 두 번 넣었을 뿐이라 `head -1` 뮤턴트도 첫 매치에서 막혀 **초록이었다**
+# = 장식이었다(cross-family 지목). 진짜 형태: 라이브러리 PSA_PLACEHOLDER 에 걸리는 값이 **먼저**
+# 오고 진짜 토큰이 **뒤에** 와야 «모든 매치를 보는가» 가 갈린다.
+chk "L5 자리표시자 먼저 + 진짜 토큰 뒤 → BLOCK(1)" \
+    "$(run "$T/defaults" "$T/override" 'e.g. YOUR_TOKEN_HERE then ZZFIXTURETOKEN')" 1
+
+echo "── L6 빈 질의 — 스캔할 것이 없으면 막지 않는다 ──"
+chk "L6 빈 질의 → 0" "$(run "$T/defaults" "$T/override" '   ')" 0
+
+echo "── L7 CONTROL — 라이브러리 자체가 없으면 차단 ──"
+# 🟥 실물 라이브러리를 **안 옮긴다** — 주입점으로 «없는 경로» 를 준다(레포 무결).
+rc7=$(PSA_LIB_FILE="$T/does_not_exist.sh" PSA_DEFAULTS_FILE="$T/defaults" \
+      PSA_OVERRIDE_FILE="$T/override" bash "$G" 'anything' >/dev/null 2>&1; echo $?)
+chk "L7 스캐너 라이브러리 부재 → BLOCK(3)" "$rc7" 3
+
+echo "── L8 🟥 override 층 부재 → 미측정이므로 차단 (HIGH#1 앵커) ──"
+chk "L8 override 부재 → BLOCK(3), CLEAN 아님" "$(run "$T/defaults" "$T/nope_ov" 'harmless')" 3
+
+echo "── L9 🟥 개행+탭 우회 — 토큰을 path 필드에 숨길 수 없다 (HIGH#3 앵커) ──"
+chk "L9 개행+탭 뒤의 토큰 → BLOCK(1)" \
+    "$(run "$T/defaults" "$T/override" "$(printf 'safe question\nZZFIXTURETOKEN\tdecoy')")" 1
+
+echo "── L10 CONTROL — 상태값이 오염돼도 fail-open 하지 않는다 (MED#2 앵커) ──"
+# `[ -ne ]` 였으면 비수치 값에서 셸 에러 후 조건 false → 통과했다. `case` 는 안 그렇다.
+# psa_load 가 진입 시 상태를 리셋하므로 env 주입으론 이 분기에 **도달할 수 없다**.
+# 가짜 레인을 만들지 않고, 주입점으로 «오염 상태를 남기는 라이브러리» 를 넣어 실제로 도달시킨다.
+cat > "$T/badlib.sh" <<'STUB'
+psa_load(){ PSA_DEFAULTS_OK=oops; PSA_BAD_ROWS=0; PSA_OVERRIDE_PRESENT=1; return 0; }
+psa_require_live(){ return 0; }
+# 🟥 **테스트 더블이다 — psa 회귀를 구조적으로 못 잡는다** (2026-08-21 배선 리뷰 S-2).
+# 이 레인의 대상은 outbound-guard 의 «질의 평탄화·override·로깅» 이지 스캐너가 아니다.
+# 단위 경계로서는 정당하지만 **«psa 전수 커버»에 세면 안 된다** — 실물이 아니라 더블을 잰다
+# ([[feedback_anchor_can_be_decorative]]). 스캐너 회귀는 test_psa_singlefile_lanes.sh 가 잡는다.
+psa_scan_tagged(){ cat >/dev/null; return 0; }
+STUB
+rc10=$(PSA_LIB_FILE="$T/badlib.sh" PSA_DEFAULTS_FILE="$T/defaults" PSA_OVERRIDE_FILE="$T/override" \
+       bash "$G" 'harmless' >/dev/null 2>&1; echo $?)
+chk "L10 상태값 비수치 → BLOCK(3)" "$rc10" 3
+
+echo
+if [ "$FAIL" -eq 0 ]; then echo "════ outbound-query lanes: $PASS passed · 0 failed ════"; exit 0
+else echo "🟥 outbound-query lanes: $FAIL 실패 / $((PASS+FAIL))"; exit 1; fi

package/scripts/test_pipe_verdict_guard_lanes.sh

@@ -56,6 +56,22 @@ expect "R2 tail then \$?"                  HIT   'bash gate.sh | tail -20; echo
 expect "R2 head then \$?"                  HIT   'make test | head -40; rc=$?'
 expect "R2 cat then \$?"                   HIT   'run.sh | cat; if [ $? -ne 0 ]; then echo bad; fi'
 
+echo "-- R2 «바로 다음 문장» 좁힘 (2026-09-06, 운영자 실사용 신고) --"
+# 🟥 종전 꼬리 `[;&].*\$\?` 는 파이프 뒤 **어디든** `$?` 가 있으면 잡았다 — 그게 다른
+#   명령의 것이어도. 한 호출에 문장이 여럿인 실사용 커맨드는 거의 항상 걸렸고, 그건
+#   «100% FP 는 정작 중요한 한 건을 무시하도록 훈련시킨다» 는 이 훅 자신의 경고 그대로다.
+expect "R2 좁힘: 사이에 다른 명령이 끼면 그 \$? 는 그 명령의 것" CLEAN \
+       'out=$(a 2>&1); rc=$?; echo "$out" | tail -1; b; echo $?'
+expect "R2 좁힘: 두 문장 뒤의 \$? 도 아니다"                    CLEAN \
+       'pytest | tail -2; echo done; echo $?'
+expect "R2 좁힘: 파이프 앞에서 잡은 rc 는 원래 정상"             CLEAN \
+       'out=$(pytest 2>&1); rc=$?; echo "$out" | tail -2 | head -1; echo "rc=$rc"'
+# 짝 — 좁히다가 진짜 결함을 죽이면 그게 과교정이다
+expect "R2 좁힘 짝: 직후 문장의 \$? 는 여전히 잡는다"           HIT \
+       'pytest 2>&1 | tail -2; echo "rc=$?"'
+expect "R2 좁힘 짝: && 로 이어진 직후 읽기도 잡는다"             HIT \
+       'make test | head -5 && echo $?'
+
 echo "-- R2 false-positive lanes: the 7 shapes this repo actually ships --"
 # Every one of these was hand-verified on 2026-07-31 as CORRECT: the final stage IS the command
 # whose status is wanted. A detector that flags these is noise, and noise trains dismissal.
@@ -226,6 +242,16 @@ else
   printf '  ❌ %-52s rc=%s out=%s\n' "C4 ascii-codec env: JSON still delivered" "$c_rc" "$c_out"; fail=$((fail+1))
 fi
 
+# ── R3 — redirection-only statement (zsh NULLCMD=cat reads an open-pipe stdin). Measured 2026-09-04:
+# nine `git commit -q -F - <<'CEOF' … CEOF ⏎ 2>&1)` tasks in two sessions hung after the commit landed.
+# Fixtures are the measured shape verbatim (P), the same shape with the redirect moved onto the
+# command line (N1 — the one-token fix), and a one-word markdown blockquote INSIDE the heredoc body
+# (N2 — data, not a redirection; must stay CLEAN or the guard fires on every quoted commit message).
+expect "R3 measured shape: bare 2>&1 line closes \$( )" HIT   $'out=$(git commit -q -F - <<\'CEOF\'\nfix: x\n\nbody\nCEOF\n2>&1); rc=$?; echo "commit rc=$rc"'
+expect "R3 bare > file line after a heredoc"           HIT   $'cat <<\'EOF\'\nhello\nEOF\n> out.txt\necho done'
+expect "R3 fixed: 2>&1 on the command line"            CLEAN $'out=$(git commit -q -F - 2>&1 <<\'CEOF\'\nfix: x\n\nbody\nCEOF\n); rc=$?; echo "commit rc=$rc"'
+expect "R3 blockquote inside heredoc body is data"     CLEAN $'out=$(git commit -q -F - 2>&1 <<\'CEOF\'\nfix: x\n\n> 정본\n> see also)\nCEOF\n); rc=$?'
+
 echo
 if [ "$fail" -eq 0 ]; then
   echo "[pipe-verdict-guard] ✅ all $pass known pairs hold"; exit 0