@cocorograph/hub-agent 0.7.37 → 0.7.42

package/src/sibling-inject.mjs

@@ -0,0 +1,150 @@
+/**
+ * sibling-inject (同一 cwd の claude⇄codex 相互依頼) の受信ブリッジ (2026-07-04)。
+ *
+ * ask-sibling スキル経由の `cockpit_orch.py` (Cockpit ブラウザの WS 接続を持たない、
+ * Bash tool 経由で動く別プロセス) が、同一マシン上で稼働中の hub-agent デーモンへ
+ * 「この cwd の生きているチャットセッション (claude/codex) へ新規ターンを注入して
+ * ほしい」と頼むための受信口。
+ *
+ * 設計 (WHY): hub-agent はローカル HTTP/Unix ソケットサーバを持たないため、既存の
+ * ファイル IPC 前例 (tui-permission-bridge.mjs 等、`/tmp/cockpit_*` + fs.watch +
+ * atomic write) と同じパターンに揃える。
+ *
+ * ⚠️ セキュリティ設計 (2026-07-04 セッションでユーザー承認済み): この機構は
+ * 「生きている自律エージェント (シェル/API/MCP ツールへのフルアクセス権を持つ)
+ * へ外部プロセスから新規指示を注入する」という強い書き込み権限を持つため、
+ * `src/sibling-token.mjs` の cwd スコープ capability トークンによる検証を必須とする。
+ * トークンが一致しない要求は無視し (実行せず削除)、warn ログのみ残す。
+ *
+ * 契約: request file `<request_id>.json` = `{cwd, target_cli_kind, text, token}`。
+ * 処理後は必ず削除し (成否問わず)、呼び出し側が待ち受けられるよう
+ * `<request_id>.result.json` = `{ok, error?}` を書く。
+ */
+
+import { watch } from "node:fs"
+import { mkdir, readFile, writeFile, rename, unlink, readdir } from "node:fs/promises"
+import path from "node:path"
+
+import { verifySiblingToken } from "./sibling-token.mjs"
+
+export const SIBLING_REQUESTS_DIR =
+  process.env.COCKPIT_SIBLING_REQUESTS_DIR || "/tmp/cockpit_sibling_requests"
+
+export class SiblingInjectBridge {
+  /**
+   * @param {{dir?: string, claudeBridge?: object, codexBridge?: object, logger?: object}} [opts]
+   */
+  constructor({ dir = SIBLING_REQUESTS_DIR, claudeBridge, codexBridge, logger } = {}) {
+    this.dir = dir
+    this.claudeBridge = claudeBridge
+    this.codexBridge = codexBridge
+    this.logger = logger
+    /** @type {Set<string>} 二重処理防止 (request_id) */
+    this._seen = new Set()
+    this._watcher = null
+  }
+
+  /** 監視ディレクトリを作成し、既存要求を sweep してから fs.watch を張る。 */
+  async start() {
+    await mkdir(this.dir, { recursive: true })
+    await this._sweep()
+    try {
+      this._watcher = watch(this.dir, (_event, filename) => {
+        if (filename && filename.endsWith(".json") && !filename.endsWith(".result.json")) {
+          this._ingest(filename).catch((err) => {
+            this.logger?.warn({ err: err?.message, filename }, "sibling-inject ingest failed")
+          })
+        }
+      })
+    } catch (err) {
+      this.logger?.warn(
+        { err: err?.message },
+        "sibling-inject watcher: fs.watch failed, watcher disabled",
+      )
+    }
+  }
+
+  /** 起動時 / 取りこぼし保険: dir 内の全要求ファイルを読む。 */
+  async _sweep() {
+    let names = []
+    try {
+      names = await readdir(this.dir)
+    } catch {
+      return
+    }
+    for (const n of names) {
+      if (n.endsWith(".json") && !n.endsWith(".result.json")) {
+        await this._ingest(n).catch((err) => {
+          this.logger?.warn({ err: err?.message, filename: n }, "sibling-inject sweep failed")
+        })
+      }
+    }
+  }
+
+  /**
+   * 要求ファイル 1 件を読み、トークン検証後に対象 cwd のセッションへ注入する。
+   * 成否によらず要求ファイルは削除し、結果ファイルを書く。
+   * @param {string} filename `<request_id>.json`
+   */
+  async _ingest(filename) {
+    const request_id = filename.slice(0, -".json".length)
+    if (this._seen.has(request_id)) return
+    this._seen.add(request_id)
+    const fp = path.join(this.dir, filename)
+    let body
+    try {
+      body = JSON.parse(await readFile(fp, "utf-8"))
+    } catch {
+      // partial write / 既に消えた → 次の watch イベントで拾い直す (seen から外す)。
+      this._seen.delete(request_id)
+      return
+    }
+
+    const { cwd, target_cli_kind, text, token } = body || {}
+    let result
+    if (!cwd || !text || (target_cli_kind !== "claude" && target_cli_kind !== "codex")) {
+      result = { ok: false, error: "invalid_request" }
+    } else if (!verifySiblingToken(cwd, token)) {
+      this.logger?.warn({ cwd, request_id }, "sibling-inject: token mismatch, request denied")
+      result = { ok: false, error: "invalid_token" }
+    } else {
+      const bridge = target_cli_kind === "codex" ? this.codexBridge : this.claudeBridge
+      const sent = bridge?.sendToCwd?.(cwd, text) ?? false
+      result = sent
+        ? { ok: true }
+        : { ok: false, error: "no_live_session_for_cwd" }
+    }
+
+    await this._writeResult(request_id, result)
+    // 要求ファイルは処理後に必ず削除する (成否問わず、再処理させないため)。
+    try {
+      await unlink(fp)
+    } catch {
+      /* 既に無ければ no-op */
+    }
+  }
+
+  /** 結果ファイルを atomic write する (呼び出し側 CLI がポーリングする)。 */
+  async _writeResult(request_id, result) {
+    const fp = path.join(this.dir, `${request_id}.result.json`)
+    const tmp = `${fp}.tmp`
+    try {
+      await writeFile(tmp, JSON.stringify(result))
+      await rename(tmp, fp)
+    } catch (err) {
+      this.logger?.warn({ err: err?.message, request_id }, "sibling-inject result write failed")
+    }
+  }
+
+  /** watcher を閉じる。 */
+  stop() {
+    try {
+      this._watcher?.close()
+    } catch {
+      /* ignore */
+    }
+    this._watcher = null
+  }
+}
+
+export default SiblingInjectBridge

package/src/sibling-token.mjs

@@ -0,0 +1,62 @@
+/**
+ * sibling-inject (同一 cwd の claude⇄codex 相互依頼) 用の cwd スコープ capability
+ * トークンストア (2026-07-04)。
+ *
+ * 設計の背景 (WHY):
+ * hub-agent はローカル HTTP/Unix ソケットサーバを持たず、既存のローカル IPC は
+ * すべて `/tmp/cockpit_*` 配下のファイルベース (tui-permission-bridge.mjs 等) で、
+ * 認証機構を持たない (同一 UID なら誰でも読み書きできる想定)。
+ *
+ * sibling-inject はこの上に「生きているチャットセッションへ新規ターンを注入する」
+ * という強い書き込み権限を追加するため、無認証のままだと「同一マシン上の無関係な
+ * 別プロセス (npm postinstall スクリプト等) が自律エージェント (シェル/API/MCP
+ * ツールへのフルアクセス権を持つ) へ任意の指示を注入できる」という新しい攻撃面に
+ * なる (2026-07-04 セッションで実装時に確認済みの懸念、ユーザー承認済み)。
+ *
+ * 対策: cwd ごとにランダムな capability トークンを発行し、hub-agent がそのセッション
+ * (claude/codex いずれも) を spawn する際に **そのプロセス自身の環境変数にのみ**
+ * 渡す (`COCKPIT_SIBLING_TOKEN`、ディスクには書かない)。sibling-inject の受信側は
+ * このトークンが一致した場合のみ注入を実行する。これにより「/tmp を書き換えられる
+ * 全プロセス」ではなく「そのセッション自身の環境変数を読めるプロセス (= 既に
+ * hub-agent が spawn した agent 自身、またはその子プロセス)」だけが注入できる設計に
+ * 絞り込める。Hub ユーザートークン (agent 全体を認証する、より広い権限を持つ鍵) を
+ * 転用しない理由: ディスク保存されるため同じ攻撃者から結局読める上、漏洩時の被害
+ * 範囲がこの cwd 限定トークンより大きくなるため。
+ */
+
+import { randomBytes } from "node:crypto"
+
+/** @type {Map<string, string>} cwd -> token */
+const tokensByCwd = new Map()
+
+/**
+ * 指定 cwd の capability トークンを返す (無ければ新規発行)。
+ * @param {string} cwd
+ * @returns {string}
+ */
+export function getOrCreateSiblingToken(cwd) {
+  if (!cwd) throw new Error("getOrCreateSiblingToken: cwd is required")
+  let token = tokensByCwd.get(cwd)
+  if (!token) {
+    token = randomBytes(32).toString("hex")
+    tokensByCwd.set(cwd, token)
+  }
+  return token
+}
+
+/**
+ * 指定 cwd に対して提示されたトークンが正しいか検証する。
+ * @param {string} cwd
+ * @param {string} token
+ * @returns {boolean}
+ */
+export function verifySiblingToken(cwd, token) {
+  if (!cwd || !token) return false
+  const expected = tokensByCwd.get(cwd)
+  return typeof expected === "string" && expected === token
+}
+
+/** テスト用: トークンストアを全クリアする。 */
+export function _resetSiblingTokens() {
+  tokensByCwd.clear()
+}