@cocorograph/hub-agent 0.7.7 → 0.7.8

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.7.7",
+  "version": "0.7.8",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-history.mjs

@@ -17,6 +17,13 @@ import { open, readFile, readdir, stat } from "node:fs/promises"
 import os from "node:os"
 import path from "node:path"
 
+import {
+  MASK_ENABLED,
+  collectToolUseNames,
+  maskMessageObject,
+  redactSecrets,
+} from "./tool-result-mask.mjs"
+
 export const MAX_HISTORY_LINES = 500
 
 /** UI 表示対象の SDK message type (それ以外は jsonl 内部メタなので除外)。 */
@@ -106,6 +113,20 @@ export async function readSessionHistory(filePath, { maxLines = MAX_HISTORY_LINE
   const truncated = total_lines > maxLines
   const slice = truncated ? lines.slice(-maxLines) : lines
 
+  // マスク (2026-06-23): tool_use 行が表示スライス外へ truncate されても tool_result の
+  // スキル判定が効くよう、全行を事前走査して tool_use_id→name を集めておく。
+  const toolNames = new Map()
+  if (MASK_ENABLED) {
+    for (const line of lines) {
+      if (!line.includes('"tool_use"')) continue
+      try {
+        collectToolUseNames(JSON.parse(line), toolNames)
+      } catch {
+        /* ignore */
+      }
+    }
+  }
+
   const events = []
   for (const line of slice) {
     let obj
@@ -117,7 +138,10 @@ export async function readSessionHistory(filePath, { maxLines = MAX_HISTORY_LINE
     if (!obj || typeof obj !== "object") continue
     if (!DISPLAY_TYPES.has(obj.type)) continue
     // SDK message と同じ shape にする (余分な meta は落とす)。整形は共通関数に集約。
-    events.push(normalizeHistoryEvent(obj))
+    let event = normalizeHistoryEvent(obj)
+    // 秘匿情報 / 非公開スキルプロンプト本文を hydrate 時にも伏せる (古いセッション再表示対策)。
+    if (MASK_ENABLED) event = maskMessageObject(event, toolNames)
+    events.push(event)
   }
   return { events, total_lines, truncated }
 }
@@ -226,7 +250,8 @@ async function extractPreview(filePath) {
         if (textBlock) str = textBlock.text
       }
       const preview = normalizePreviewText(str)
-      if (preview) return preview
+      // 一覧の preview にユーザーが貼った秘匿情報が出ないよう伏せる。
+      if (preview) return MASK_ENABLED ? redactSecrets(preview) : preview
     }
   }
   return ""

package/src/claude-stream-bridge.mjs

@@ -26,6 +26,11 @@ import path from "node:path"
 
 import { jsonlPath } from "./claude-history.mjs"
 import { watchSessionFile } from "./claude-history-watch.mjs"
+import {
+  MASK_ENABLED,
+  createEventMasker,
+  maskJsonlFileAtRest,
+} from "./tool-result-mask.mjs"
 
 /** browser 切断後、セッションを生かしたまま再接続を待つ idle TTL (ミリ秒)。これを過ぎ、
  *  かつ走行中でなければ撤去する。端末スリープ/長期離席後の再接続も吸収できるよう 7 日に
@@ -305,10 +310,62 @@ class ClaudeStreamSession {
     this._watcher = null
     /** watcher が監視中の session_id (変化時に張り替え) */
     this._watchedSessionId = null
+
+    /** マスク (2026-06-23): ライブ stream / watch 用のステートフル masker。tool_use_id→name を
+     *  蓄積し、tool_result の秘匿情報 / 非公開スキルプロンプト本文を表示・配信前に伏せる。
+     *  モデル消費後のコピーに作用するためスキル実行は壊れない。 */
+    this._eventMasker = createEventMasker()
+    /** オンディスク jsonl をマスク済みか (close 時の二重書き換えを防ぐ冪等ガード)。 */
+    this._jsonlMasked = false
+
     // resume セッションがあれば即 watch 開始 (閲覧中の外部進行をライブ反映)
     if (this.sessionId) this._ensureWatch()
   }
 
+  /** マスク済みイベントを onEvent へ流す共通経路。秘匿情報 / 非公開スキルプロンプト本文を
+   *  表示・WS 配信前に伏せる。マスク失敗時は素のイベントを流す (表示が止まるより素通し優先)。 */
+  _emit(event) {
+    if (!this.onEvent) return
+    let out = event
+    if (MASK_ENABLED) {
+      try {
+        out = this._eventMasker(event)
+      } catch (err) {
+        this.logger?.warn(
+          { err: err?.message, stream_id: this.stream_id },
+          "event mask failed",
+        )
+        out = event
+      }
+    }
+    this.onEvent(out)
+  }
+
+  /** セッション終了時にオンディスク jsonl をマスク書き換えする (冪等)。Claude CLI が当該
+   *  ファイルを掴んでいない「終了後」にのみ呼ぶこと (ライブ追記中の書き換えは会話本体を壊す)。
+   *  display は _emit で常時マスク済みのため、これは at-rest ファイルの掃除専用。 */
+  _maskJsonlAtRest() {
+    if (this._jsonlMasked || !MASK_ENABLED) return
+    if (!this.sessionId || !this.cwd) return
+    this._jsonlMasked = true
+    const filePath = jsonlPath({ cwd: this.cwd, session_id: this.sessionId })
+    maskJsonlFileAtRest(filePath, { logger: this.logger })
+      .then((changed) => {
+        if (changed) {
+          this.logger?.info(
+            { stream_id: this.stream_id, session_id: this.sessionId },
+            "jsonl masked at rest",
+          )
+        }
+      })
+      .catch((err) =>
+        this.logger?.warn(
+          { err: err?.message, stream_id: this.stream_id },
+          "mask jsonl at rest threw",
+        ),
+      )
+  }
+
   /** 現在の sessionId の jsonl を watch する (既に同じものを watch 中なら何もしない)。 */
   _ensureWatch() {
     if (this._closed || !this.sessionId || !this.cwd) return
@@ -333,7 +390,7 @@ class ClaudeStreamSession {
         // (二重表示防止)。ターン完了時に skipToEnd で読み飛ばす。
         if (this._busy) return
         try {
-          this.onEvent?.(event)
+          this._emit(event)
         } catch (err) {
           this.logger?.warn(
             { err: err.message, stream_id: this.stream_id },
@@ -690,7 +747,7 @@ class ClaudeStreamSession {
           if (typeof msg.session_id === "string") this.sessionId = msg.session_id
         }
         try {
-          this.onEvent?.(msg)
+          this._emit(msg)
         } catch (err) {
           this.logger?.warn(
             { err: err.message, stream_id: this.stream_id },
@@ -764,6 +821,10 @@ class ClaudeStreamSession {
         // 停止 (abort) 後も温存したキューはそのまま流す。
         this._drainPending()
       }
+      // マスク (2026-06-23): 走行中に外部 close されたターンの後始末。ターン完走後 (= CLI が
+      // jsonl を掴んでいない) のこの地点で、closed 済みならオンディスク jsonl をマスクする。
+      // reap 経路は上の close() 内で既にマスク済み (冪等ガードで二重実行されない)。
+      if (this._closed) this._maskJsonlAtRest()
     }
   }
 
@@ -978,7 +1039,7 @@ class ClaudeStreamSession {
           )
         }
         try {
-          this.onEvent?.(msg)
+          this._emit(msg)
         } catch (err) {
           this.logger?.warn(
             { err: err.message, stream_id: this.stream_id },
@@ -1028,6 +1089,9 @@ class ClaudeStreamSession {
         this._inputQueue.push(toSDKUserMessage(next.text))
         this._emitQueueState([next.text])
       }
+      // マスク (2026-06-23): 常駐 query 終了後 (= CLI が jsonl を掴んでいない) のこの地点で、
+      // closed 済みならオンディスク jsonl をマスクする。reap 経路は close() 内で実行済み。
+      if (this._closed) this._maskJsonlAtRest()
     }
   }
 
@@ -1105,6 +1169,10 @@ class ClaudeStreamSession {
       }
     }
     this._permissionResolvers.clear()
+    // マスク (2026-06-23): アイドル close (走行ターン無し = CLI が jsonl を掴んでいない) は
+    // ここで即マスクする。走行中 close (abortTurn 経由) は CLI 終了を待つため run-loop の
+    // finally 側でマスクする (上の _maskJsonlAtRest 冪等ガードで二重実行は防がれる)。
+    if (!this._busy) this._maskJsonlAtRest()
   }
 }
 

package/src/tool-result-mask.mjs

@@ -0,0 +1,319 @@
+/**
+ * ツールリザルト・メッセージ本文のマスク (秘匿情報 + 非公開スキルプロンプト本文)。
+ *
+ * 背景 (2026-06-23): Cockpit TUI チャットモードは hub-agent が Claude Agent SDK の
+ * stream を中継してブラウザに表示する。ターミナル版 Claude Code が持つ「シークレット
+ * 自動伏せ字」は **ハーネス側の機能** で、この独自経路には継承されていなかったため、
+ * tool_result に含まれる API キー / トークン / パスワード等が素のまま画面・WS 配信・
+ * jsonl へ流れていた。さらに Hub ナレッジに格納した **非公開スキルプロンプト本文**
+ * (`get_skill_prompt` MCP の戻り値) も毎回リザルトに露出していた。
+ *
+ * 本モジュールは「表示・配信・記録されるコピー」だけをマスクする。モデルが実際に受け取る
+ * 入力は SDK stream の上流 (Claude CLI) で確定しており、hub-agent に届くのは **モデルが
+ * 消費した後** のイベントなので、ここでマスクしてもモデルの動作・スキル実行は壊れない
+ * (詳細は claude-stream-bridge.mjs の emit 経路コメント参照)。
+ *
+ * 2 種類のマスク:
+ *  - 秘匿情報: 正規表現で既知トークン形 / sensitive な KEY=VALUE 代入を伏せ字化する。
+ *    モデルは元々不要なので、オンディスク jsonl をマスクしても resume は無傷。
+ *  - スキルプロンプト本文: `get_skill_prompt` (MCP 名前空間込み) の tool_result 本文を
+ *    まるごとプレースホルダへ置換する。tool_use → tool_result の id 対応が必要なため、
+ *    stream にはステートフルな masker (createEventMasker)、jsonl 一括には 1 パスの
+ *    maskJsonlText を用意する。
+ *
+ * ⚠️ 限定事項 (v1): includePartialMessages の **部分デルタ (stream_event)** はマスク
+ * しない。秘匿情報の主出所である tool_result / .env ダンプは完成済みメッセージとして
+ * 届くためここで捕捉でき、最終メッセージ・jsonl・hydrate も全てマスクされる。アシスタント
+ * が逐次生成する途中テキストにシークレットが現れる確率は低いと判断し v1 では対象外。
+ */
+import { readFile, rename, rm, stat, utimes, writeFile } from "node:fs/promises"
+
+/** env HUB_AGENT_TOOL_RESULT_MASK="0" で無効化 (既定 ON)。誤マスク時の即時ロールバック用。 */
+export const MASK_ENABLED = process.env.HUB_AGENT_TOOL_RESULT_MASK !== "0"
+
+/** 秘匿情報の置換マーカー (grep しやすい固定文字列)。 */
+export const SECRET_PLACEHOLDER = "[REDACTED]"
+
+/** スキルプロンプト本文の置換マーカー。再取得可能であることを明示する。 */
+export const SKILL_PROMPT_PLACEHOLDER =
+  "[get_skill_prompt の本文はマスクされています（必要なら再取得できます）]"
+
+/**
+ * 既知の秘匿情報パターン (誤検知を抑えるため、形が明確なトークンに限定する)。
+ * 各要素は global フラグ付き RegExp。replace で SECRET_PLACEHOLDER に置換する。
+ */
+const SECRET_PATTERNS = [
+  // PEM 秘密鍵ブロック (複数行)。RSA/EC/OPENSSH/DSA/PGP の修飾子に対応。
+  /-----BEGIN (?:RSA |EC |OPENSSH |DSA |PGP )?PRIVATE KEY-----[\s\S]*?-----END (?:RSA |EC |OPENSSH |DSA |PGP )?PRIVATE KEY-----/g,
+  // Anthropic / OpenAI 系 API キー (sk-ant-... を先に置換するため先頭に)。
+  /sk-ant-[A-Za-z0-9_-]{20,}/g,
+  /sk-[A-Za-z0-9]{20,}/g,
+  // AWS アクセスキー ID。
+  /\bAKIA[0-9A-Z]{16}\b/g,
+  // GitHub トークン (ghp_/gho_/ghu_/ghs_/ghr_ と fine-grained PAT)。
+  /\bgh[pousr]_[A-Za-z0-9]{20,}\b/g,
+  /\bgithub_pat_[A-Za-z0-9_]{20,}\b/g,
+  // Slack トークン。
+  /\bxox[baprs]-[A-Za-z0-9-]{10,}\b/g,
+  // Google API キー (固定長 35 のため末尾境界は課さない)。
+  /\bAIza[0-9A-Za-z_-]{35}/g,
+  // JWT (header.payload.signature)。
+  /\beyJ[A-Za-z0-9_-]{10,}\.eyJ[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}/g,
+  // Authorization ヘッダ (Bearer / Basic)。値だけでなくスキームごと伏せる。
+  /\bBearer\s+[A-Za-z0-9._~+/-]{12,}=*/gi,
+  /\bBasic\s+[A-Za-z0-9+/]{12,}=*/g,
+]
+
+/**
+ * sensitive な名前の KEY=VALUE / KEY: VALUE 代入を伏せ字化する。キー名は残し値だけ消す
+ * (例: `DB_PASSWORD=hunter2` → `DB_PASSWORD=[REDACTED]`)。.env ダンプ / 環境変数出力対策。
+ * 値は 4 文字以上のとき対象 (短い値の誤検知回避)。引用符は維持する。
+ */
+const ASSIGN_PATTERN =
+  /\b([A-Za-z0-9_]*(?:PASSWORD|PASSWD|SECRET|TOKEN|API[_-]?KEY|ACCESS[_-]?KEY|PRIVATE[_-]?KEY|CLIENT[_-]?SECRET|AUTH[_-]?TOKEN)[A-Za-z0-9_]*)(\s*[=:]\s*)(['"]?)([^\s'"]{4,})\3/gi
+
+/**
+ * 文字列中の秘匿情報を伏せ字化する。マスク対象が無ければ同一文字列をそのまま返す。
+ * @param {string} text
+ * @returns {string}
+ */
+export function redactSecrets(text) {
+  if (typeof text !== "string" || text.length === 0) return text
+  let out = text
+  for (const re of SECRET_PATTERNS) {
+    out = out.replace(re, SECRET_PLACEHOLDER)
+  }
+  out = out.replace(
+    ASSIGN_PATTERN,
+    (_m, key, sep, quote, _val) => `${key}${sep}${quote}${SECRET_PLACEHOLDER}${quote}`,
+  )
+  return out
+}
+
+/**
+ * tool 名が非公開スキルプロンプト取得ツールか判定する。MCP 名前空間が付くため
+ * (`mcp__hub__get_skill_prompt` / `mcp__hub_staff__get_skill_prompt`)、末尾一致でも拾う。
+ * @param {unknown} name
+ * @returns {boolean}
+ */
+export function isSkillPromptTool(name) {
+  return (
+    typeof name === "string" &&
+    (name === "get_skill_prompt" || name.endsWith("__get_skill_prompt"))
+  )
+}
+
+/** tool_result の content (string | block[]) をプレースホルダ 1 本へ潰す。 */
+function skillPlaceholderContent() {
+  return [{ type: "text", text: SKILL_PROMPT_PLACEHOLDER }]
+}
+
+/** content blocks 配列の text を redactSecrets で処理した新配列を返す (非破壊)。 */
+function redactBlocks(blocks) {
+  if (!Array.isArray(blocks)) return blocks
+  return blocks.map((b) => {
+    if (b && b.type === "text" && typeof b.text === "string") {
+      const masked = redactSecrets(b.text)
+      return masked === b.text ? b : { ...b, text: masked }
+    }
+    return b
+  })
+}
+
+/**
+ * SDK message 形 (jsonl 1 行 / live event) のオブジェクトをマスクした **コピー** を返す。
+ * 変更が無ければ元オブジェクトをそのまま返す (参照同一で「変化なし」を呼び出し側が判定可)。
+ *
+ * @param {Record<string, unknown>} obj  type: 'assistant' | 'user' | ... を持つメッセージ
+ * @param {Map<string,string>} toolNames  tool_use_id → tool 名。assistant を通すたびに更新する。
+ * @returns {Record<string, unknown>}
+ */
+export function maskMessageObject(obj, toolNames) {
+  if (!obj || typeof obj !== "object") return obj
+  const message = obj.message
+  if (!message || typeof message !== "object") return obj
+  const content = message.content
+
+  // assistant: tool_use の id→name を記録しつつ text ブロックの秘匿情報を伏せる。
+  if (obj.type === "assistant") {
+    if (Array.isArray(content)) {
+      for (const b of content) {
+        if (b && b.type === "tool_use" && typeof b.id === "string") {
+          toolNames.set(b.id, b.name)
+        }
+      }
+      const masked = redactBlocks(content)
+      if (masked !== content && masked.some((b, i) => b !== content[i])) {
+        return { ...obj, message: { ...message, content: masked } }
+      }
+    } else if (typeof content === "string") {
+      const masked = redactSecrets(content)
+      if (masked !== content) {
+        return { ...obj, message: { ...message, content: masked } }
+      }
+    }
+    return obj
+  }
+
+  // user: tool_result をスキル判定 or 秘匿情報マスク。素のテキスト発言も秘匿情報を伏せる。
+  if (obj.type === "user") {
+    if (Array.isArray(content)) {
+      let changed = false
+      const next = content.map((b) => {
+        if (b && b.type === "tool_result") {
+          const name = toolNames.get(b.tool_use_id)
+          if (isSkillPromptTool(name)) {
+            changed = true
+            return { ...b, content: skillPlaceholderContent() }
+          }
+          // 非スキル tool_result: 中身 (string | block[]) の秘匿情報を伏せる。
+          if (typeof b.content === "string") {
+            const masked = redactSecrets(b.content)
+            if (masked !== b.content) {
+              changed = true
+              return { ...b, content: masked }
+            }
+            return b
+          }
+          if (Array.isArray(b.content)) {
+            const mc = redactBlocks(b.content)
+            if (mc.some((x, i) => x !== b.content[i])) {
+              changed = true
+              return { ...b, content: mc }
+            }
+            return b
+          }
+          return b
+        }
+        if (b && b.type === "text" && typeof b.text === "string") {
+          const masked = redactSecrets(b.text)
+          if (masked !== b.text) {
+            changed = true
+            return { ...b, text: masked }
+          }
+        }
+        return b
+      })
+      if (changed) return { ...obj, message: { ...message, content: next } }
+    } else if (typeof content === "string") {
+      const masked = redactSecrets(content)
+      if (masked !== content) {
+        return { ...obj, message: { ...message, content: masked } }
+      }
+    }
+    return obj
+  }
+
+  return obj
+}
+
+/**
+ * assistant メッセージ obj から tool_use の id→name を toolNames Map へ記録する
+ * (マスクはしない)。履歴 hydrate で「tool_use 行が表示スライスの外へ truncate されても
+ * tool_result のスキル判定が効く」よう、全行を事前走査して id→name を集めるのに使う。
+ * @param {Record<string, unknown>} obj
+ * @param {Map<string,string>} toolNames
+ */
+export function collectToolUseNames(obj, toolNames) {
+  if (obj?.type === "assistant" && Array.isArray(obj.message?.content)) {
+    for (const b of obj.message.content) {
+      if (b && b.type === "tool_use" && typeof b.id === "string") {
+        toolNames.set(b.id, b.name)
+      }
+    }
+  }
+}
+
+/**
+ * ライブ stream / watch 用のステートフル masker を生成する。tool_use → tool_result が
+ * 別イベントで届くため、id→name を内部 Map に蓄積しながら 1 イベントずつマスクする。
+ * 1 セッション 1 インスタンスで使う (stream と watch は同一セッション内で直列化される)。
+ *
+ * @returns {(event: object) => object} マスク済みイベント (変化なしなら同一参照)
+ */
+export function createEventMasker() {
+  const toolNames = new Map()
+  return function maskEvent(event) {
+    if (!MASK_ENABLED) return event
+    return maskMessageObject(event, toolNames)
+  }
+}
+
+/**
+ * jsonl ファイル全文 (改行区切り JSON) を 1 パスでマスクした文字列を返す。
+ * tool_use を先に通すと id→name が貯まるので、行順 (assistant→user) のまま走査すれば
+ * tool_result のスキル判定が成立する。マスク対象が 1 件も無ければ null を返す
+ * (呼び出し側が「書き換え不要」を判定して mtime を温存できる)。
+ *
+ * @param {string} text  jsonl 全文
+ * @returns {string|null} マスク後の全文 (末尾改行は入力に合わせる)。変化なしは null。
+ */
+export function maskJsonlText(text) {
+  if (!MASK_ENABLED || typeof text !== "string" || text.length === 0) return null
+  const toolNames = new Map()
+  const hadTrailingNewline = text.endsWith("\n")
+  const rawLines = text.split("\n")
+  // 末尾の空要素 (trailing newline 由来) は出力時に再付与するので走査から外す。
+  if (hadTrailingNewline) rawLines.pop()
+  let changed = false
+  const outLines = rawLines.map((line) => {
+    if (!line) return line
+    let obj
+    try {
+      obj = JSON.parse(line)
+    } catch {
+      return line // パース不能行はそのまま (壊さない)
+    }
+    const masked = maskMessageObject(obj, toolNames)
+    if (masked !== obj) {
+      changed = true
+      return JSON.stringify(masked)
+    }
+    return line
+  })
+  if (!changed) return null
+  return outLines.join("\n") + (hadTrailingNewline ? "\n" : "")
+}
+
+/**
+ * オンディスク jsonl をマスク書き換えする (セッション終了時に呼ぶ)。
+ *
+ * ⚠️ 呼び出しタイミングは「Claude CLI がそのファイルを掴んでいない (= セッション終了後)」
+ * に限ること。ライブ追記中に書き換えると会話本体を壊しセッションが死ぬ (jsonl は CLI が
+ * 追記オーナー)。終了後なら誰も掴んでいないので tmp 書き出し → rename で安全に置換できる。
+ *
+ * mtime を温存する: listSessions が mtime 降順でセッションを並べるため、マスク書き換えで
+ * 古いセッションが「最新」へ浮上する誤表示を防ぐ。マスク対象が無ければ書き込まない (no-op)。
+ *
+ * @param {string} filePath
+ * @param {{logger?: import('pino').Logger}} [opts]
+ * @returns {Promise<boolean>} 実際に書き換えたら true
+ */
+export async function maskJsonlFileAtRest(filePath, { logger } = {}) {
+  if (!MASK_ENABLED || !filePath) return false
+  let text
+  let st
+  try {
+    st = await stat(filePath)
+    text = await readFile(filePath, "utf-8")
+  } catch (err) {
+    if (err?.code !== "ENOENT") {
+      logger?.warn({ err: err?.message, filePath }, "mask jsonl read failed")
+    }
+    return false
+  }
+  const masked = maskJsonlText(text)
+  if (masked == null) return false // マスク対象なし → 触らない (mtime 温存)
+  const tmp = `${filePath}.mask-tmp-${process.pid}`
+  try {
+    await writeFile(tmp, masked, "utf-8")
+    await rename(tmp, filePath)
+    // rename 後の新ファイルは現在時刻 mtime になるので、元の atime/mtime へ戻す。
+    await utimes(filePath, st.atime, st.mtime).catch(() => {})
+    return true
+  } catch (err) {
+    logger?.warn({ err: err?.message, filePath }, "mask jsonl write failed")
+    await rm(tmp, { force: true }).catch(() => {})
+    return false
+  }
+}