@dusky-bluehour/agent-service 0.6.6 → 0.6.8

package/codex/skills/cmd-sec-dependency-audit/SKILL.md

@@ -0,0 +1,43 @@
+---
+name: cmd-sec-dependency-audit
+description: 의존성 취약점 감사 명령 계약을 Codex 스킬 형태로 실행한다.
+---
+
+# 시작 전 체크리스트
+
+- [필수] 락파일
+- [필수] 취약점 DB 결과
+- [필수] 패치 가능 버전
+- [선택] 호환성 테스트 결과
+
+# 실행 절차
+
+1. 명령 계약을 확인한다: CMD-SEC-DEPENDENCY-AUDIT (의존성 취약점 감사)
+2. 치명도 기준으로 취약점을 분류한다.
+3. 즉시 조치 항목부터 패치한다.
+4. 업데이트 후 회귀 테스트를 실행한다.
+5. 미조치 항목은 만료일과 보완 통제를 기록한다.
+6. 품질 게이트를 검증한다.
+7. 산출물과 핸드오프를 보고한다.
+
+# 결과 보고 형식
+
+- 실행 명령: CMD-SEC-DEPENDENCY-AUDIT
+- 입력 검증: 필수 입력 충족 여부 / 누락 항목
+- 품질 게이트: 치명적 취약점은 배포 전 0건이어야 한다. | 미조치 항목은 예외 승인 기록이 있어야 한다.
+- 산출물: 취약점 감사 리포트, 패치 PR, 예외 승인 목록
+- 핸드오프: 다음 역할 qa-engineer, sre-release-engineer
+
+# 중단 조건
+
+- 필수 입력이 누락된 경우
+- 품질 게이트를 충족하지 못한 경우
+- 치명적 취약점 잔존
+- 회귀 테스트 실패
+
+# 품질 규칙
+
+- 검증되지 않은 추정은 사실과 분리해서 기록한다.
+- 품질 게이트를 우회하지 않는다.
+- 치명적 취약점은 배포 전 0건이어야 한다.
+- 미조치 항목은 예외 승인 기록이 있어야 한다.

package/codex/skills/cmd-sec-dependency-audit/agents/openai.yaml

@@ -0,0 +1,4 @@
+skill:
+  display_name: "의존성 취약점 감사"
+  short_description: "보안 · security-engineer"
+  default_prompt: "CMD-SEC-DEPENDENCY-AUDIT 명령 계약을 준수해 실행해줘."

package/codex/skills/cmd-sec-threat-model/SKILL.md

@@ -0,0 +1,43 @@
+---
+name: cmd-sec-threat-model
+description: 위협 모델링 명령 계약을 Codex 스킬 형태로 실행한다.
+---
+
+# 시작 전 체크리스트
+
+- [필수] 시스템 경계
+- [필수] 자산 목록
+- [필수] 인증/인가 흐름
+- [선택] 규제 준수 기준
+
+# 실행 절차
+
+1. 명령 계약을 확인한다: CMD-SEC-THREAT-MODEL (위협 모델링)
+2. 자산 가치를 등급화한다.
+3. 신뢰 경계를 기준으로 공격 시나리오를 도출한다.
+4. 위협별 완화 통제를 지정한다.
+5. 잔여 위험 수용 여부를 의사결정한다.
+6. 품질 게이트를 검증한다.
+7. 산출물과 핸드오프를 보고한다.
+
+# 결과 보고 형식
+
+- 실행 명령: CMD-SEC-THREAT-MODEL
+- 입력 검증: 필수 입력 충족 여부 / 누락 항목
+- 품질 게이트: 고위험 위협에 대응 통제가 반드시 있어야 한다. | 수용 위험은 책임자와 만료일이 있어야 한다.
+- 산출물: 위협 모델 문서, 통제 매핑표, 잔여 위험 등록부
+- 핸드오프: 다음 역할 sre-release-engineer, code-reviewer
+
+# 중단 조건
+
+- 필수 입력이 누락된 경우
+- 품질 게이트를 충족하지 못한 경우
+- 고위험 무대응
+- 책임자 미지정
+
+# 품질 규칙
+
+- 검증되지 않은 추정은 사실과 분리해서 기록한다.
+- 품질 게이트를 우회하지 않는다.
+- 고위험 위협에 대응 통제가 반드시 있어야 한다.
+- 수용 위험은 책임자와 만료일이 있어야 한다.

package/codex/skills/cmd-sec-threat-model/agents/openai.yaml

@@ -0,0 +1,4 @@
+skill:
+  display_name: "위협 모델링"
+  short_description: "보안 · security-engineer"
+  default_prompt: "CMD-SEC-THREAT-MODEL 명령 계약을 준수해 실행해줘."

package/codex/skills/cmd-test-unit-integration/SKILL.md

@@ -0,0 +1,43 @@
+---
+name: cmd-test-unit-integration
+description: 단위/통합 테스트 고정 명령 계약을 Codex 스킬 형태로 실행한다.
+---
+
+# 시작 전 체크리스트
+
+- [필수] 기능 변경 목록
+- [필수] 리스크 경로
+- [필수] 테스트 기준
+- [선택] 실패 이력
+
+# 실행 절차
+
+1. 명령 계약을 확인한다: CMD-TEST-UNIT-INTEGRATION (단위/통합 테스트 고정)
+2. 핵심 경로를 우선순위로 테스트 케이스화한다.
+3. 단위와 통합 테스트 책임을 분리한다.
+4. 불안정 테스트를 제거하거나 안정화한다.
+5. CI에서 실패 시 즉시 차단하도록 설정한다.
+6. 품질 게이트를 검증한다.
+7. 산출물과 핸드오프를 보고한다.
+
+# 결과 보고 형식
+
+- 실행 명령: CMD-TEST-UNIT-INTEGRATION
+- 입력 검증: 필수 입력 충족 여부 / 누락 항목
+- 품질 게이트: 신규 결함 경로에 테스트가 존재해야 한다. | 테스트 결과가 재현 가능해야 한다.
+- 산출물: 테스트 코드, 실행 리포트, 결함 회귀 목록
+- 핸드오프: 다음 역할 code-reviewer, sre-release-engineer
+
+# 중단 조건
+
+- 필수 입력이 누락된 경우
+- 품질 게이트를 충족하지 못한 경우
+- 불안정 테스트 지속
+- 핵심 경로 미커버
+
+# 품질 규칙
+
+- 검증되지 않은 추정은 사실과 분리해서 기록한다.
+- 품질 게이트를 우회하지 않는다.
+- 신규 결함 경로에 테스트가 존재해야 한다.
+- 테스트 결과가 재현 가능해야 한다.

package/codex/skills/cmd-test-unit-integration/agents/openai.yaml

@@ -0,0 +1,4 @@
+skill:
+  display_name: "단위/통합 테스트 고정"
+  short_description: "검증 · qa-engineer"
+  default_prompt: "CMD-TEST-UNIT-INTEGRATION 명령 계약을 준수해 실행해줘."

package/common/settings/security-policy.json

@@ -0,0 +1,221 @@
+{
+  "schema_version": "1.0.0",
+  "policy_id": "strict-dev",
+  "description_ko": "프로젝트 단위 자동화 실행을 위한 보안 중심 권한 정책",
+  "shared_permissions": {
+    "read_all": true,
+    "edit_all": true,
+    "allow_bash": [
+      "mkdir *",
+      "touch *",
+      "ls *",
+      "cat *",
+      "grep *",
+      "find *",
+      "echo *",
+      "cd *",
+      "pwd",
+      "tail *",
+      "head *",
+      "git status",
+      "git log *",
+      "git diff *",
+      "git branch",
+      "node *",
+      "npx *",
+      "npm *",
+      "pnpm *",
+      "yarn *",
+      "jest *",
+      "vitest *",
+      "pytest *",
+      "docker ps *",
+      "docker images *",
+      "docker logs *",
+      "docker run *",
+      "docker build *",
+      "docker-compose up *",
+      "docker-compose build *"
+    ],
+    "ask_bash": [
+      "git add *",
+      "git commit *",
+      "git push *",
+      "git pull *",
+      "git fetch *",
+      "git merge *",
+      "git rebase *",
+      "git reset *",
+      "git clean *",
+      "git checkout .",
+      "git restore .",
+      "git branch -D *",
+      "git push --force *",
+      "git push -f *",
+      "rm *",
+      "rm -r *",
+      "rm -rf *",
+      "rm -f *",
+      "mv *",
+      "cp *",
+      "cp -r *",
+      "docker rm *",
+      "docker rmi *",
+      "docker system prune *",
+      "docker volume rm *",
+      "docker network rm *",
+      "docker-compose down *"
+    ],
+    "deny_bash": [
+      "npm install -g *",
+      "npm i -g *",
+      "pnpm add -g *",
+      "pnpm install -g *",
+      "yarn global add *",
+      "brew install *",
+      "brew uninstall *",
+      "pip install *",
+      "pip uninstall *",
+      "sudo *",
+      "su *",
+      "chmod *",
+      "chown *",
+      "chgrp *",
+      "kill *",
+      "killall *",
+      "pkill *",
+      "shutdown *",
+      "reboot*",
+      "halt*",
+      "poweroff*",
+      "ifconfig *",
+      "route *",
+      "iptables *",
+      "pfctl *",
+      "diskutil *",
+      "hdiutil *",
+      "dd *",
+      "format *",
+      "curl * | bash",
+      "curl * | sh",
+      "curl * | zsh",
+      "wget * | bash",
+      "wget * | sh",
+      "* | sudo *",
+      "security *",
+      "defaults write *",
+      "launchctl *",
+      "scutil *",
+      "nvram *",
+      "csrutil *",
+      "softwareupdate *",
+      "xcode-select *"
+    ],
+    "deny_read": [
+      "//System/**",
+      "//Library/**",
+      "//bin/**",
+      "//sbin/**",
+      "//usr/**",
+      "//etc/**",
+      "//var/**",
+      "//private/**",
+      "//tmp/**",
+      "//opt/**",
+      "~/.ssh/**",
+      "~/.aws/**",
+      "~/.config/gcloud/**",
+      "~/.docker/**",
+      "~/.kube/**",
+      "~/.npmrc",
+      "~/.gitconfig",
+      "~/.zshrc",
+      "~/.bashrc",
+      "~/.bash_profile",
+      "~/.zprofile",
+      "~/Library/Safari/**",
+      "~/Library/Application Support/Google/Chrome/**",
+      "~/Library/Keychains/**",
+      "~/Library/Mail/**",
+      "//usr/local/Cellar/**",
+      "//opt/homebrew/**",
+      "./.env",
+      "./.env.*",
+      "./secrets/**",
+      "./config/credentials.json"
+    ],
+    "deny_edit": [
+      "//System/**",
+      "//Library/**",
+      "//bin/**",
+      "//sbin/**",
+      "//usr/**",
+      "//etc/**",
+      "//var/**",
+      "//private/**",
+      "//tmp/**",
+      "//opt/**",
+      "~/.ssh/**",
+      "~/.aws/**",
+      "~/.config/gcloud/**",
+      "~/.docker/**",
+      "~/.kube/**",
+      "~/.npmrc",
+      "~/.gitconfig",
+      "~/.zshrc",
+      "~/.bashrc",
+      "~/.bash_profile",
+      "~/.zprofile",
+      "~/Library/Safari/**",
+      "~/Library/Application Support/Google/Chrome/**",
+      "~/Library/Keychains/**",
+      "~/Library/Mail/**",
+      "//usr/local/Cellar/**",
+      "//opt/homebrew/**",
+      "./.env",
+      "./.env.*",
+      "./secrets/**",
+      "./config/credentials.json"
+    ]
+  },
+  "claude_code": {
+    "default_mode": "acceptEdits",
+    "disable_bypass_permissions_mode": "disable",
+    "additional_directories": [],
+    "enabled_plugins": {
+      "code-review@claude-code-plugins": true,
+      "frontend-design@claude-code-plugins": true,
+      "commit-commands@claude-code-plugins": true
+    },
+    "local_overrides": {
+      "ask_bash": [
+        "git push *",
+        "docker-compose down *"
+      ],
+      "additional_directories": []
+    }
+  },
+  "gemini": {
+    "editor_settings": {
+      "autonomy_level": "balanced",
+      "require_approval": {
+        "destructive_shell": true,
+        "git_write": true,
+        "filesystem_delete": true
+      },
+      "blocked_tool_groups": [
+        "system-admin",
+        "credential-files"
+      ]
+    }
+  },
+  "codex": {
+    "runtime_policy": {
+      "sandbox_mode": "workspace-write",
+      "network_access": "restricted",
+      "git_write_actions": "ask",
+      "destructive_shell": "deny",
+      "global_package_installs": "deny"
+    }
+  }
+}