@cocorograph/hub-agent 0.7.37 → 0.7.39

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.7.37",
+  "version": "0.7.39",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-stream-bridge.mjs

@@ -31,6 +31,25 @@ import {
   createEventMasker,
   maskJsonlFileAtRest,
 } from "./tool-result-mask.mjs"
+import { getOrCreateSiblingToken } from "./sibling-token.mjs"
+
+/**
+ * sibling-inject (2026-07-04) 用: spawn する claude プロセス自身の環境変数に、
+ * この cwd の capability トークンを乗せる。ディスクには書かず、プロセス環境変数
+ * としてのみ渡す (src/sibling-token.mjs のコメント参照)。
+ * @param {string} cwd
+ * @returns {{COCKPIT_SIBLING_TOKEN: string, COCKPIT_SIBLING_CWD: string}}
+ */
+function siblingEnvFor(cwd) {
+  return {
+    ...process.env,
+    COCKPIT_SIBLING_TOKEN: getOrCreateSiblingToken(cwd),
+    COCKPIT_SIBLING_CWD: cwd,
+    // ask-sibling スキル (cockpit_orch.py) が「自分は claude/codex どちらか」を
+    // 環境変数から確実に判定できるようにする (ヒューリスティック不要)。
+    COCKPIT_SIBLING_SELF_KIND: "claude",
+  }
+}
 
 /** browser 切断後、セッションを生かしたまま再接続を待つ idle TTL (ミリ秒)。これを過ぎ、
  *  かつ走行中でなければ撤去する。端末スリープ/長期離席後の再接続も吸収できるよう 7 日に
@@ -709,6 +728,7 @@ class ClaudeStreamSession {
 
     const options = {
       cwd: this.cwd,
+      env: siblingEnvFor(this.cwd),
       canUseTool: (toolName, input) => this._canUseTool(toolName, input),
       includePartialMessages: true,
       abortController: this._abortController,
@@ -1017,6 +1037,7 @@ class ClaudeStreamSession {
   async _runResidentQuery() {
     const options = {
       cwd: this.cwd,
+      env: siblingEnvFor(this.cwd),
       canUseTool: (toolName, input) => this._canUseTool(toolName, input),
       includePartialMessages: true,
     }
@@ -1678,6 +1699,50 @@ export class ClaudeStreamBridge extends EventEmitter {
     return best
   }
 
+  /**
+   * 指定 cwd でライブなセッションへメッセージを直接注入する (sibling-inject 用、
+   * 2026-07-04)。同一マシン内の別プロセス (ask-sibling スキル経由の cockpit_orch.py)
+   * が、Cockpit ブラウザの WS 接続を経由せず、hub-agent デーモンへローカル IPC
+   * (src/sibling-inject.mjs) 経由でこの cwd の生きているチャットセッションへ新規
+   * ターンを開始させる。liveSessionIdForCwd と同じ走査ロジックだが、返すのは
+   * sessionId 文字列ではなく session オブジェクト自体 (sendMessage を直接呼べるように
+   * するため)。同一 cwd に複数ライブセッションがある場合は最終アクティビティが最も
+   * 新しいものを採用する。
+   *
+   * ⚠️ このメソッド自体は認証を行わない (呼び出し元の sibling-inject.mjs が
+   * src/sibling-token.mjs の capability トークンで入力元を検証する前提)。
+   *
+   * @param {string} cwd
+   * @param {string} text
+   * @returns {boolean} 送信できたか (対象セッションが見つからなければ false)
+   */
+  sendToCwd(cwd, text) {
+    if (!cwd || !text) return false
+    let best = null
+    let bestAt = -1
+    const seen = new Set()
+    for (const session of this.sessions.values()) {
+      if (seen.has(session) || session.cwd !== cwd) continue
+      seen.add(session)
+      let at = 0
+      for (const t of session.lastActivityByStream.values()) {
+        if (t > at) at = t
+      }
+      if (at >= bestAt) {
+        bestAt = at
+        best = session
+      }
+    }
+    if (!best) return false
+    best.sendMessage({ role: "user", content: text }).catch((err) => {
+      this.logger?.error(
+        { cwd, err: err?.message },
+        "sendToCwd: sendMessage threw unexpectedly",
+      )
+    })
+    return true
+  }
+
   /**
    * `mcpServerStatus()` の結果に、needs-auth キャッシュにあるが結果へ含まれない
    * サーバーを `needs-auth` として補完する。

package/src/codex-stream-bridge.mjs

@@ -34,6 +34,26 @@
 import { EventEmitter } from "node:events"
 
 import { CodexAppServerClient } from "./codex-appserver-client.mjs"
+import { getOrCreateSiblingToken } from "./sibling-token.mjs"
+
+/**
+ * sibling-inject (2026-07-04) 用: spawn する codex app-server プロセス自身の
+ * 環境変数に、この cwd の capability トークンを乗せる。ディスクには書かず、
+ * プロセス環境変数としてのみ渡す (src/sibling-token.mjs のコメント参照、
+ * claude-stream-bridge.mjs の同名ヘルパーと対)。
+ * @param {string} cwd
+ * @returns {NodeJS.ProcessEnv}
+ */
+function siblingEnvFor(cwd) {
+  return {
+    ...process.env,
+    COCKPIT_SIBLING_TOKEN: getOrCreateSiblingToken(cwd),
+    COCKPIT_SIBLING_CWD: cwd,
+    // ask-sibling スキル (cockpit_orch.py) が「自分は claude/codex どちらか」を
+    // 環境変数から確実に判定できるようにする (ヒューリスティック不要)。
+    COCKPIT_SIBLING_SELF_KIND: "codex",
+  }
+}
 
 // detach 後、非 busy なセッションを生かしておく猶予。claude 側 (7 日) と違い短くする:
 // Slice 2 は in-memory reattach 非対応のため、browser の WS 再接続ごとに新 stream_id で
@@ -89,7 +109,12 @@ export class CodexStreamBridge extends EventEmitter {
     if (this.sessions.has(stream_id)) {
       throw new Error(`stream_id already attached: ${stream_id}`)
     }
-    const client = this._clientFactory({ cwd, codexCmd: this.codexCmd, logger: this.logger })
+    const client = this._clientFactory({
+      cwd,
+      codexCmd: this.codexCmd,
+      logger: this.logger,
+      env: siblingEnvFor(cwd),
+    })
     const session = {
       stream_id,
       cwd,
@@ -317,6 +342,35 @@ export class CodexStreamBridge extends EventEmitter {
     return null
   }
 
+  /**
+   * 指定 cwd でライブなセッションへメッセージを直接注入する (sibling-inject 用、
+   * 2026-07-04)。Claude 版 `sendToCwd` の対。同一 cwd に複数ライブセッションがある
+   * 場合は `threadIdForCwd` と同じく先に見つかったものを使う。
+   *
+   * ⚠️ このメソッド自体は認証を行わない (呼び出し元の sibling-inject.mjs が
+   * src/sibling-token.mjs の capability トークンで入力元を検証する前提)。
+   *
+   * @param {string} cwd
+   * @param {string} text
+   * @returns {boolean} 送信できたか (対象セッションが見つからなければ false)
+   */
+  sendToCwd(cwd, text) {
+    if (!cwd || !text) return false
+    for (const session of this.sessions.values()) {
+      if (session.cwd !== cwd) continue
+      this.input({ stream_id: session.stream_id, message: { role: "user", content: text } }).catch(
+        (err) => {
+          this.logger?.error(
+            { cwd, err: err?.message },
+            "sendToCwd: input threw unexpectedly",
+          )
+        },
+      )
+      return true
+    }
+    return false
+  }
+
   _maybeReapAfterIdle(session) {
     if (session.activeTurnId) return // 完走まで待つ (turn/completed で再評価される)
     this._clearDetachTimer(session)

package/src/main.mjs

@@ -93,6 +93,7 @@ import {
 import { TuiPermissionBridge } from "./tui-permission-bridge.mjs"
 import { TuiViewerRegistry } from "./tui-viewer-registry.mjs"
 import { JsonlLiveWatchers } from "./jsonl-live-watchers.mjs"
+import { SiblingInjectBridge } from "./sibling-inject.mjs"
 import {
   boundSessionId,
   codexSessionUsages,
@@ -868,6 +869,14 @@ export async function startDaemon({ version, ptyModule, claudeSdk } = {}) {
   await tuiViewerRegistry.start()
   ctx.tuiViewerRegistry = tuiViewerRegistry
 
+  // sibling-inject (ask-sibling スキル, 2026-07-04): 同一 cwd の claude⇄codex
+  // 相互依頼のためのローカル IPC 受信口。cwd スコープ capability トークン
+  // (src/sibling-token.mjs) で検証した要求のみ claudeBridge/codexBridge.sendToCwd()
+  // へ橋渡しする。
+  const siblingInjectBridge = new SiblingInjectBridge({ claudeBridge, codexBridge, logger })
+  await siblingInjectBridge.start()
+  ctx.siblingInjectBridge = siblingInjectBridge
+
   // jsonl ライブ追従 (T04784 逐次表示): TUI チャットの閲覧ハートビートを起点に対象
   // session の jsonl を tail し、追記行を claude.jsonl.event として逐次 push する。
   // これで session.event 合図 → 全体再 hydrate + 2.5s ポーリングの「どさっと」を廃せる。
@@ -926,6 +935,7 @@ export async function startDaemon({ version, ptyModule, claudeSdk } = {}) {
     tuiPermissionBridge.stop()
     tuiViewerRegistry.stop()
     jsonlLiveWatchers.stop()
+    siblingInjectBridge.stop()
     ptyBridge.shutdown()
     claudeBridge?.shutdown?.()
     codexBridge?.shutdown?.()
@@ -3299,6 +3309,58 @@ async function dispatch(msg, ctx) {
         }
         return
       }
+      case "codex.upload": {
+        // B4 (T05699 残タスク, 2026-07-04): Cockpit Codexチャットの添付ファイル受信
+        // (チャンク1件)。claude.upload と同じ UploadManager を再利用する (cwd ベースで
+        // CLI 非依存の実装のため無改修で流用可能)。全チャンク到着で cwd 配下の
+        // .cockpit-uploads/<日付>/ に保存し、保存パスを browser へ返す。browser は
+        // そのパスを codex.input 本文に載せ、Codex がシェル/ファイルツールで読む
+        // (Claude 版と同じ「パス参照方式」、Codex 側の model/effort 分離と同様に
+        // アカウント/プロトコルが違うだけでファイル保存の仕組みは共有する)。
+        if (!ctx.uploadManager) {
+          ctx.client.send({
+            type: "codex.upload.done",
+            stream_id: msg.stream_id,
+            upload_id: msg.upload_id,
+            ok: false,
+            error: "upload_unavailable",
+          })
+          return
+        }
+        try {
+          const res = await ctx.uploadManager.addChunk({
+            upload_id: msg.upload_id,
+            filename: msg.filename,
+            media_type: msg.media_type,
+            total_size: msg.total_size,
+            total_chunks: msg.total_chunks,
+            chunk_index: msg.chunk_index,
+            data: msg.data,
+            cwd: msg.cwd || ctx.config?.claude_cwd || undefined,
+          })
+          if (res.done) {
+            ctx.client.send({
+              type: "codex.upload.done",
+              stream_id: msg.stream_id,
+              upload_id: msg.upload_id,
+              ok: true,
+              path: res.path,
+              filename: res.filename,
+              media_type: res.media_type,
+              size: res.size,
+            })
+          }
+        } catch (err) {
+          ctx.client.send({
+            type: "codex.upload.done",
+            stream_id: msg.stream_id,
+            upload_id: msg.upload_id,
+            ok: false,
+            error: err?.message || String(err),
+          })
+        }
+        return
+      }
       case "codex.input":
         // model/effort: turn/start (非 busy 時) にのみ反映される override。turn/steer
         // (busy 時) は公式スキーマ上 model/effort 非対応のため、その場合は

package/src/sibling-inject.mjs

@@ -0,0 +1,150 @@
+/**
+ * sibling-inject (同一 cwd の claude⇄codex 相互依頼) の受信ブリッジ (2026-07-04)。
+ *
+ * ask-sibling スキル経由の `cockpit_orch.py` (Cockpit ブラウザの WS 接続を持たない、
+ * Bash tool 経由で動く別プロセス) が、同一マシン上で稼働中の hub-agent デーモンへ
+ * 「この cwd の生きているチャットセッション (claude/codex) へ新規ターンを注入して
+ * ほしい」と頼むための受信口。
+ *
+ * 設計 (WHY): hub-agent はローカル HTTP/Unix ソケットサーバを持たないため、既存の
+ * ファイル IPC 前例 (tui-permission-bridge.mjs 等、`/tmp/cockpit_*` + fs.watch +
+ * atomic write) と同じパターンに揃える。
+ *
+ * ⚠️ セキュリティ設計 (2026-07-04 セッションでユーザー承認済み): この機構は
+ * 「生きている自律エージェント (シェル/API/MCP ツールへのフルアクセス権を持つ)
+ * へ外部プロセスから新規指示を注入する」という強い書き込み権限を持つため、
+ * `src/sibling-token.mjs` の cwd スコープ capability トークンによる検証を必須とする。
+ * トークンが一致しない要求は無視し (実行せず削除)、warn ログのみ残す。
+ *
+ * 契約: request file `<request_id>.json` = `{cwd, target_cli_kind, text, token}`。
+ * 処理後は必ず削除し (成否問わず)、呼び出し側が待ち受けられるよう
+ * `<request_id>.result.json` = `{ok, error?}` を書く。
+ */
+
+import { watch } from "node:fs"
+import { mkdir, readFile, writeFile, rename, unlink, readdir } from "node:fs/promises"
+import path from "node:path"
+
+import { verifySiblingToken } from "./sibling-token.mjs"
+
+export const SIBLING_REQUESTS_DIR =
+  process.env.COCKPIT_SIBLING_REQUESTS_DIR || "/tmp/cockpit_sibling_requests"
+
+export class SiblingInjectBridge {
+  /**
+   * @param {{dir?: string, claudeBridge?: object, codexBridge?: object, logger?: object}} [opts]
+   */
+  constructor({ dir = SIBLING_REQUESTS_DIR, claudeBridge, codexBridge, logger } = {}) {
+    this.dir = dir
+    this.claudeBridge = claudeBridge
+    this.codexBridge = codexBridge
+    this.logger = logger
+    /** @type {Set<string>} 二重処理防止 (request_id) */
+    this._seen = new Set()
+    this._watcher = null
+  }
+
+  /** 監視ディレクトリを作成し、既存要求を sweep してから fs.watch を張る。 */
+  async start() {
+    await mkdir(this.dir, { recursive: true })
+    await this._sweep()
+    try {
+      this._watcher = watch(this.dir, (_event, filename) => {
+        if (filename && filename.endsWith(".json") && !filename.endsWith(".result.json")) {
+          this._ingest(filename).catch((err) => {
+            this.logger?.warn({ err: err?.message, filename }, "sibling-inject ingest failed")
+          })
+        }
+      })
+    } catch (err) {
+      this.logger?.warn(
+        { err: err?.message },
+        "sibling-inject watcher: fs.watch failed, watcher disabled",
+      )
+    }
+  }
+
+  /** 起動時 / 取りこぼし保険: dir 内の全要求ファイルを読む。 */
+  async _sweep() {
+    let names = []
+    try {
+      names = await readdir(this.dir)
+    } catch {
+      return
+    }
+    for (const n of names) {
+      if (n.endsWith(".json") && !n.endsWith(".result.json")) {
+        await this._ingest(n).catch((err) => {
+          this.logger?.warn({ err: err?.message, filename: n }, "sibling-inject sweep failed")
+        })
+      }
+    }
+  }
+
+  /**
+   * 要求ファイル 1 件を読み、トークン検証後に対象 cwd のセッションへ注入する。
+   * 成否によらず要求ファイルは削除し、結果ファイルを書く。
+   * @param {string} filename `<request_id>.json`
+   */
+  async _ingest(filename) {
+    const request_id = filename.slice(0, -".json".length)
+    if (this._seen.has(request_id)) return
+    this._seen.add(request_id)
+    const fp = path.join(this.dir, filename)
+    let body
+    try {
+      body = JSON.parse(await readFile(fp, "utf-8"))
+    } catch {
+      // partial write / 既に消えた → 次の watch イベントで拾い直す (seen から外す)。
+      this._seen.delete(request_id)
+      return
+    }
+
+    const { cwd, target_cli_kind, text, token } = body || {}
+    let result
+    if (!cwd || !text || (target_cli_kind !== "claude" && target_cli_kind !== "codex")) {
+      result = { ok: false, error: "invalid_request" }
+    } else if (!verifySiblingToken(cwd, token)) {
+      this.logger?.warn({ cwd, request_id }, "sibling-inject: token mismatch, request denied")
+      result = { ok: false, error: "invalid_token" }
+    } else {
+      const bridge = target_cli_kind === "codex" ? this.codexBridge : this.claudeBridge
+      const sent = bridge?.sendToCwd?.(cwd, text) ?? false
+      result = sent
+        ? { ok: true }
+        : { ok: false, error: "no_live_session_for_cwd" }
+    }
+
+    await this._writeResult(request_id, result)
+    // 要求ファイルは処理後に必ず削除する (成否問わず、再処理させないため)。
+    try {
+      await unlink(fp)
+    } catch {
+      /* 既に無ければ no-op */
+    }
+  }
+
+  /** 結果ファイルを atomic write する (呼び出し側 CLI がポーリングする)。 */
+  async _writeResult(request_id, result) {
+    const fp = path.join(this.dir, `${request_id}.result.json`)
+    const tmp = `${fp}.tmp`
+    try {
+      await writeFile(tmp, JSON.stringify(result))
+      await rename(tmp, fp)
+    } catch (err) {
+      this.logger?.warn({ err: err?.message, request_id }, "sibling-inject result write failed")
+    }
+  }
+
+  /** watcher を閉じる。 */
+  stop() {
+    try {
+      this._watcher?.close()
+    } catch {
+      /* ignore */
+    }
+    this._watcher = null
+  }
+}
+
+export default SiblingInjectBridge

package/src/sibling-token.mjs

@@ -0,0 +1,62 @@
+/**
+ * sibling-inject (同一 cwd の claude⇄codex 相互依頼) 用の cwd スコープ capability
+ * トークンストア (2026-07-04)。
+ *
+ * 設計の背景 (WHY):
+ * hub-agent はローカル HTTP/Unix ソケットサーバを持たず、既存のローカル IPC は
+ * すべて `/tmp/cockpit_*` 配下のファイルベース (tui-permission-bridge.mjs 等) で、
+ * 認証機構を持たない (同一 UID なら誰でも読み書きできる想定)。
+ *
+ * sibling-inject はこの上に「生きているチャットセッションへ新規ターンを注入する」
+ * という強い書き込み権限を追加するため、無認証のままだと「同一マシン上の無関係な
+ * 別プロセス (npm postinstall スクリプト等) が自律エージェント (シェル/API/MCP
+ * ツールへのフルアクセス権を持つ) へ任意の指示を注入できる」という新しい攻撃面に
+ * なる (2026-07-04 セッションで実装時に確認済みの懸念、ユーザー承認済み)。
+ *
+ * 対策: cwd ごとにランダムな capability トークンを発行し、hub-agent がそのセッション
+ * (claude/codex いずれも) を spawn する際に **そのプロセス自身の環境変数にのみ**
+ * 渡す (`COCKPIT_SIBLING_TOKEN`、ディスクには書かない)。sibling-inject の受信側は
+ * このトークンが一致した場合のみ注入を実行する。これにより「/tmp を書き換えられる
+ * 全プロセス」ではなく「そのセッション自身の環境変数を読めるプロセス (= 既に
+ * hub-agent が spawn した agent 自身、またはその子プロセス)」だけが注入できる設計に
+ * 絞り込める。Hub ユーザートークン (agent 全体を認証する、より広い権限を持つ鍵) を
+ * 転用しない理由: ディスク保存されるため同じ攻撃者から結局読める上、漏洩時の被害
+ * 範囲がこの cwd 限定トークンより大きくなるため。
+ */
+
+import { randomBytes } from "node:crypto"
+
+/** @type {Map<string, string>} cwd -> token */
+const tokensByCwd = new Map()
+
+/**
+ * 指定 cwd の capability トークンを返す (無ければ新規発行)。
+ * @param {string} cwd
+ * @returns {string}
+ */
+export function getOrCreateSiblingToken(cwd) {
+  if (!cwd) throw new Error("getOrCreateSiblingToken: cwd is required")
+  let token = tokensByCwd.get(cwd)
+  if (!token) {
+    token = randomBytes(32).toString("hex")
+    tokensByCwd.set(cwd, token)
+  }
+  return token
+}
+
+/**
+ * 指定 cwd に対して提示されたトークンが正しいか検証する。
+ * @param {string} cwd
+ * @param {string} token
+ * @returns {boolean}
+ */
+export function verifySiblingToken(cwd, token) {
+  if (!cwd || !token) return false
+  const expected = tokensByCwd.get(cwd)
+  return typeof expected === "string" && expected === token
+}
+
+/** テスト用: トークンストアを全クリアする。 */
+export function _resetSiblingTokens() {
+  tokensByCwd.clear()
+}