@hoilab/ada-cli 0.84.21 → 0.85.0

package/dist/core/aprobacion/politica.js

@@ -0,0 +1,375 @@
+/**
+ * Aprobación por herramienta.
+ *
+ * Antes de esto no había política ninguna: `beforeToolCall` disparaba los hooks
+ * del usuario y las extensiones, y `permissions.level` —que existe en settings
+ * desde siempre— solo lo leían los propios hooks. Ninguna tool se consultaba
+ * contra él. Es decir, el nivel de permisos no gobernaba los permisos.
+ *
+ * El orden de las comprobaciones ES la propiedad de seguridad, y por eso está
+ * escrito de arriba abajo en `decidir()` y no repartido:
+ *
+ *   1. Rutas protegidas   — denegado SIEMPRE, incluso en `yolo`, no configurable
+ *   2. Deny del usuario   — denegado SIEMPRE, incluso en `yolo`
+ *   3. Modo de la sesión  — plan / manual / auto / yolo
+ *
+ * Que 1 y 2 vayan por delante del modo es lo que hace que el argumento de
+ * cumplimiento se sostenga: una política que el propio agente puede desactivar
+ * pidiendo `yolo` no es una política, es una sugerencia.
+ *
+ * Lo desconocido cuenta como ejecución. Una tool de MCP o de una extensión que
+ * nadie ha clasificado no puede colarse por el carril de lectura por no estar
+ * en ninguna lista.
+ */
+import { readFileSync } from "node:fs";
+import { homedir } from "node:os";
+import { CONFIG_DIR_NAME } from "../../config.js";
+import { DIR_INDICE, DIR_SESION } from "../audit/rutas.js";
+import { suplantadaPor } from "../extensiones/suplantacion.js";
+import { marcaDeGenerado, motivoDeGenerado } from "./generados.js";
+import { politicaDeMaquina, recortarModo } from "./politica-de-maquina.js";
+/**
+ * Segmento `.../<CONFIG_DIR_NAME>/agent/` de CUALQUIER instalación de Ada,
+ * no solo `agentDir` (que es la de ESTE equipo).
+ *
+ * Con `--remoto` los argumentos de `read`/`write`/`bash` pueden nombrar un
+ * `auth.json` o un `vault/` que viven en OTRA máquina — el destino de SSH,
+ * el contenedor de Docker, la distro de WSL — con su propio `$HOME` y por
+ * tanto un `agentDir` que `rutaProtegida` nunca conoce. Comprobar el
+ * segmento en vez del prefijo completo protege ambos sin necesitar el
+ * `agentDir` del destino, que esta política no tiene forma de calcular.
+ */
+const SEGMENTO_AGENTE_ADA = `/${CONFIG_DIR_NAME}/agent/`;
+/** Tools que solo miran. */
+const LECTURA = new Set([
+    "read",
+    "ls",
+    "find",
+    "grep",
+    "ast_search",
+    "session_search",
+    "web_fetch",
+    "web_search",
+    "memory_search",
+    "memory_list",
+    "graph_query",
+    "ask_user_question",
+    "todo_read",
+]);
+/** Tools que cambian estado nuestro, pero no ejecutan nada del sistema. */
+const ESCRITURA = new Set([
+    "edit",
+    "write",
+    "ast_edit",
+    "memory_add",
+    "memory_replace",
+    "memory_remove",
+    "update_project_memory",
+    "scratchpad",
+    "todo",
+    "todo_write",
+    "graph_add",
+]);
+/**
+ * ¿Este nombre es de una tool NUESTRA cuyo nivel de confianza da esta política?
+ *
+ * Lo consulta el registro de extensiones para saber si `registerTool` está
+ * suplantando una builtin. `bash` va aparte porque no está en ninguna de las dos
+ * listas —lo desconocido ya es ejecución— pero suplantarlo importa igual: el
+ * usuario tiene que ver que el `bash` que corre no es el nuestro.
+ */
+export function esNombreDeToolNuestra(tool) {
+    return LECTURA.has(tool) || ESCRITURA.has(tool) || tool === "bash";
+}
+/**
+ * El nivel de una herramienta. Lo que no está clasificado es ejecución.
+ *
+ * Falla cerrado a propósito: el coste de equivocarse hacia arriba es una
+ * pregunta de más; hacia abajo, es una tool desconocida corriendo sola.
+ */
+export function nivelDe(tool) {
+    // Una builtin suplantada por una extensión NO hereda su nivel.
+    //
+    // Comprobado ejecutando: una extensión registra `read`, el loader la pone
+    // encima de la nuestra y el modelo sigue creyendo que llama a la de Ada. Con
+    // `LECTURA.has("read")` por delante, ese `read` —que puede hacer lo que
+    // quiera— se permitía siempre y en cualquier modo. Devolver "ejecucion" lo
+    // devuelve al carril de lo desconocido, que es lo que es.
+    if (suplantadaPor(tool))
+        return "ejecucion";
+    if (LECTURA.has(tool))
+        return "lectura";
+    if (ESCRITURA.has(tool))
+        return "escritura";
+    return "ejecucion";
+}
+/** Un directorio protegido aparece como segmento completo de la ruta. */
+function contieneSegmento(texto, segmento) {
+    return texto.includes(`/${segmento}/`);
+}
+/**
+ * ¿El texto nombra el directorio `dir` colgado de `base`, con barra final o sin
+ * ella?
+ *
+ * La comprobación anterior solo miraba `base/dir/`, y por ahí se colaba justo el
+ * caso peor. Comprobado ejecutando `decidir`:
+ *
+ *   rm -rf <agentDir>/vault/   -> denegada  ruta-protegida
+ *   rm -rf <agentDir>/vault    -> PERMITIDA modo-yolo
+ *
+ * Es decir, el borrado entero del vault con un comando, porque el nombre de un
+ * directorio no lleva barra al final cuando se lo pasas a `rm`. Se arregla aquí,
+ * en la comprobación compartida, y no en cada llamada: la misma trampa valía
+ * para el vault, para el libro y para cualquier directorio que se añada mañana.
+ *
+ * El caso sin barra se mide sobre el token y con el final exacto para no
+ * llevarse por delante `vault-ejemplo` ni `sesiones/`. Se recorta la puntuación
+ * de shell del final porque `rm -rf x/vault;` y `rm -rf x/vault)` son el mismo
+ * comando con otro adorno.
+ */
+function nombraDirectorio(texto, base, dir) {
+    if (texto.includes(`${base}${dir}/`))
+        return true;
+    return texto.split(/[\s"'`]+/).some((t) => t.replace(/[;,)&|>]+$/, "").endsWith(`${base}${dir}`));
+}
+/**
+ * Deja la ruta en la forma con la que se compara.
+ *
+ * Sin esto la política era papel mojado, y se descubrió EJECUTANDO el producto:
+ * el modelo escribe `~/.ada/agent/vault/…`, la tool expande la tilde por dentro
+ * y abre el fichero, mientras que la política —que solo ve los argumentos
+ * crudos— comparaba contra la ruta absoluta y no reconocía nada. El vault se
+ * leyó entero con la política activada y todas las pruebas en verde, porque
+ * todas usaban rutas absolutas.
+ *
+ * Se sustituye en TODO el texto y no solo al principio porque `bash` recibe una
+ * línea entera, donde el `~` va detrás del comando.
+ */
+function normalizar(texto, home) {
+    return texto.replaceAll("$HOME/", `${home}/`).replaceAll("~/", `${home}/`);
+}
+/**
+ * Si el texto nombra algo que no se puede tocar, devuelve por qué.
+ *
+ * Se mira el texto y no una "ruta" porque los argumentos no tienen un nombre
+ * común (`path`, `file_path`, `command`…) y porque `bash` recibe una línea de
+ * shell entera. Para `bash` esto es MEJOR ESFUERZO y hay que decirlo: quien
+ * contiene de verdad un comando es el sandbox del sistema operativo, no esta
+ * comprobación. Aquí se para lo evidente, que es lo que hace un agente
+ * despistado; lo deliberado lo para el kernel.
+ */
+function rutaProtegida(texto, agentDir, escribiendo) {
+    if (nombraDirectorio(texto, `${agentDir}/`, "vault"))
+        return "el vault cifrado";
+    // Generaliza lo de arriba a un vault de Ada en OTRA máquina (ver
+    // `SEGMENTO_AGENTE_ADA`): mismo motivo, sin depender del `agentDir` local.
+    if (nombraDirectorio(texto, SEGMENTO_AGENTE_ADA, "vault"))
+        return "el vault cifrado (de este equipo o de un destino remoto)";
+    // El libro de auditoría y su índice.
+    //
+    // Agujero real, y el más grave que hemos tenido: la política protegía el
+    // vault y el `auth.json` y dejaba al agente escribir y BORRAR libremente en
+    // `<agentDir>/sesion/`, que es donde está el registro de lo que ha hecho. Es
+    // decir, el sujeto de la auditoría tenía permiso de escritura sobre la
+    // auditoría. Comprobado ejecutando `decidir`: `rm -rf <agentDir>/sesion/`
+    // salía `permitida`.
+    //
+    // Denegado también para LEER, igual que el vault: el libro guarda hashes y
+    // rutas de todo lo que ha pasado por la sesión, y no hay ninguna tarea
+    // legítima del agente que necesite leerlo por el sistema de ficheros. Quien
+    // tiene que verlo lo ve por `ada-cli audit show`, por `audit://` o por el
+    // panel, que no pasan por esta política porque no son el agente.
+    for (const dir of [DIR_SESION, DIR_INDICE]) {
+        if (nombraDirectorio(texto, `${agentDir}/`, dir))
+            return "el libro de auditoría de la sesión";
+        if (nombraDirectorio(texto, SEGMENTO_AGENTE_ADA, dir)) {
+            return "el libro de auditoría de la sesión (de este equipo o de un destino remoto)";
+        }
+    }
+    // Las credenciales de los proveedores, que viven EN CLARO en `auth.json`.
+    //
+    // Agujero real y propio: la primera versión de esta política protegía el
+    // vault, las claves SSH, AWS y los `.env`, y dejaba abierto justo el fichero
+    // donde están las claves con las que corre el agente. Se comprobó
+    // ejecutando el producto y las leyó todas. Proteger la caja fuerte y dejar
+    // las llaves encima no protege nada.
+    //
+    // Se compara con el nombre de fichero COMPLETO para no llevarse por delante
+    // `auth.json.example`, `auth-storage.ts` ni `auth.md`, que son código y
+    // documentación que el agente sí tiene que poder leer.
+    for (const parte of texto.split(/[\s"'`]+/)) {
+        const base = parte.slice(parte.lastIndexOf("/") + 1);
+        if (parte.includes(`${agentDir}/`) && base === "auth.json")
+            return "las credenciales de los proveedores";
+        // Igual, pero para el `auth.json` de un Ada corriendo en el DESTINO de
+        // `--remoto`: no comparte `agentDir` con este equipo, así que el
+        // segmento genérico es la única forma de reconocerlo.
+        if (parte.includes(SEGMENTO_AGENTE_ADA) && base === "auth.json") {
+            return "las credenciales de los proveedores (de este equipo o de un destino remoto)";
+        }
+        // Y las de las otras herramientas: están en el mismo portátil y sirven
+        // para lo mismo. Si el agente no ve las nuestras, no hay motivo para que
+        // vea las de Claude Code, Codex, gh, Docker o kubectl.
+        if (base === ".credentials.json" || base === ".netrc")
+            return "credenciales de otra herramienta";
+        if (contieneSegmento(parte, ".codex") && base === "auth.json")
+            return "las credenciales de Codex";
+        if (contieneSegmento(parte, "gh") && base === "hosts.yml")
+            return "las credenciales de GitHub CLI";
+        if (contieneSegmento(parte, ".docker") && base === "config.json")
+            return "las credenciales de Docker";
+        if (contieneSegmento(parte, ".kube") && base === "config")
+            return "el acceso al clúster de Kubernetes";
+    }
+    if (contieneSegmento(texto, ".ssh"))
+        return "las claves SSH";
+    if (contieneSegmento(texto, ".gnupg"))
+        return "las claves GPG";
+    if (contieneSegmento(texto, ".aws"))
+        return "las credenciales de AWS";
+    // `.env` como nombre de fichero completo, no como prefijo: `.environment.ts`
+    // es código normal y denegarlo dejaría medio proyecto ilegible sin que nadie
+    // entendiera por qué.
+    for (const parte of texto.split(/[\s"'`]+/)) {
+        const base = parte.slice(parte.lastIndexOf("/") + 1);
+        if (base === ".env" || base.startsWith(".env."))
+            return "un fichero de entorno";
+    }
+    // La configuración del agente se puede LEER pero no escribir. El
+    // CVE-2026-25725 de Claude Code fue exactamente esto: código dentro del
+    // sandbox creaba un settings.json e inyectaba hooks `SessionStart` que
+    // corrían FUERA. Nuestro settings.json también ejecuta hooks.
+    if (escribiendo && (texto.includes(`${agentDir}/settings.json`) || texto.includes(`${agentDir}/hooks`))) {
+        return "la configuración del agente, que ejecuta hooks";
+    }
+    return null;
+}
+/** Todas las cadenas de los argumentos, a cualquier profundidad. */
+function cadenasDe(valor, acumulado = []) {
+    if (typeof valor === "string")
+        acumulado.push(valor);
+    else if (Array.isArray(valor))
+        for (const v of valor)
+            cadenasDe(v, acumulado);
+    else if (valor && typeof valor === "object")
+        for (const v of Object.values(valor))
+            cadenasDe(v, acumulado);
+    return acumulado;
+}
+/**
+ * Lee `permissions.denied` de la configuración, tolerando que no exista.
+ *
+ * El bloque `permissions` es un `Record<string, unknown>` en settings, así que
+ * lo que hay ahí no está tipado y puede ser cualquier cosa: se filtra a cadenas
+ * en vez de confiar. Una entrada mal escrita tiene que perderse ella sola, no
+ * tumbar la política entera y con ella la sesión.
+ */
+export function leerDenegadas(config) {
+    const lista = config?.permissions?.denied;
+    return Array.isArray(lista) ? lista.filter((x) => typeof x === "string") : [];
+}
+export function decidir({ tool, args, modo, agentDir, home, denegadas, maquina: maquinaDada, }) {
+    const casa = home ?? homedir();
+    const nivel = nivelDe(tool);
+    // 1. Rutas protegidas. Por delante de todo lo demás, incluido `yolo`.
+    //    `ejecucion` cuenta como escritura: un `bash` puede reescribir el
+    //    settings.json igual de bien que un `write`.
+    const escribiendo = nivel !== "lectura";
+    for (const cadena of cadenasDe(args)) {
+        const que = rutaProtegida(normalizar(cadena, casa), agentDir, escribiendo);
+        if (que) {
+            return {
+                veredicto: "denegada",
+                politica: "ruta-protegida",
+                motivo: `Denegado: ${que}. No es configurable y no cambia con el modo de permisos. Si el usuario necesita ese dato, pídeselo.`,
+            };
+        }
+    }
+    // 2. Ficheros generados. Escribir en uno es trabajo que desaparece en la
+    //    siguiente regeneración, y entre medias deja la fuente y el generado
+    //    diciendo cosas distintas.
+    //
+    //    Va después de las rutas protegidas y antes del modo, porque no es
+    //    negociable por comodidad — pero sí lo levanta el usuario diciéndolo, y
+    //    el mensaje se lo explica al modelo para que lo pida en vez de insistir.
+    if (escribiendo) {
+        for (const cadena of cadenasDe(args)) {
+            // El filtro es "se puede abrir", no "parece una ruta".
+            //
+            // La versión anterior exigía una barra, y con eso `edit` sobre
+            // `api.pb.go` —sin directorio— se colaba entera: la guarda estaba
+            // puesta, las pruebas en verde, y el fichero generado se editó igual.
+            // Solo salió ejecutando el CLI de verdad.
+            //
+            // Lo que sí se descarta antes de tocar el disco es lo que no puede ser
+            // un nombre de fichero: contenido con saltos de línea (el `new_string`
+            // de una edición) o cadenas absurdamente largas.
+            if (cadena.length === 0 || cadena.length > 400 || cadena.includes("\n"))
+                continue;
+            let contenido;
+            try {
+                contenido = readFileSync(normalizar(cadena, casa), "utf-8");
+            }
+            catch {
+                continue; // no existe o no es un fichero: no hay nada que proteger
+            }
+            const marca = marcaDeGenerado(contenido);
+            if (marca) {
+                return { veredicto: "denegada", politica: "fichero-generado", motivo: motivoDeGenerado(cadena, marca) };
+            }
+        }
+    }
+    // 3. Lo que el usuario ha denegado. También sobrevive a `yolo`: si no,
+    //    "denegar" significaría "denegar hasta que al agente le convenga".
+    if (denegadas?.includes(tool)) {
+        return {
+            veredicto: "denegada",
+            politica: "deny-de-usuario",
+            motivo: `Denegado: el usuario ha desactivado \`${tool}\` en su configuración.`,
+        };
+    }
+    // 4. La política de MÁQUINA, que el usuario no puede editar.
+    //
+    //    Va aquí y no en cada llamante porque `decidir()` la invocan siete
+    //    sitios: un techo que haya que acordarse de poner en cada uno no es un
+    //    techo. Y va antes del modo porque su único poder es recortarlo.
+    //
+    //    Los dos ámbitos que había —global y proyecto— son ficheros del propio
+    //    usuario, así que la línea con la que el CISO prohíbe `yolo` la borraba
+    //    él mismo con un editor de texto. Ver `politica-de-maquina.ts`.
+    const maquina = maquinaDada ?? politicaDeMaquina();
+    if (maquina.politica?.denegadas?.includes(tool)) {
+        return {
+            veredicto: "denegada",
+            politica: "deny-de-maquina",
+            motivo: `Denegado: \`${tool}\` está desactivada por la política de este equipo` +
+                (maquina.politica.motivo ? `: ${maquina.politica.motivo}` : ".") +
+                " No la levanta el modo de permisos ni la configuración del usuario.",
+        };
+    }
+    const efectivo = recortarModo(modo, maquina);
+    // 5. El modo de la sesión, ya recortado.
+    if (nivel === "lectura")
+        return { veredicto: "permitida", politica: `modo-${efectivo}`, motivo: "" };
+    // Que el recorte se NOMBRE en `politica` no es cosmético: ese campo va al
+    // libro de sesión, así que un auditor puede ver que la decisión la tomó la
+    // política del equipo y no la preferencia del usuario.
+    const sufijo = efectivo === modo ? "" : "-por-politica-de-maquina";
+    switch (efectivo) {
+        case "plan":
+            return {
+                veredicto: "denegada",
+                politica: `modo-plan${sufijo}`,
+                motivo: "En modo plan no se actúa: propón el cambio en vez de aplicarlo.",
+            };
+        case "manual":
+            return { veredicto: "preguntar", politica: `modo-manual${sufijo}`, motivo: "" };
+        case "auto":
+            return nivel === "escritura"
+                ? { veredicto: "permitida", politica: `modo-auto${sufijo}`, motivo: "" }
+                : { veredicto: "preguntar", politica: `modo-auto${sufijo}`, motivo: "" };
+        default:
+            return { veredicto: "permitida", politica: `modo-yolo${sufijo}`, motivo: "" };
+    }
+}
+//# sourceMappingURL=politica.js.map

package/dist/core/aprobacion/politica.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"politica.js","sourceRoot":"","sources":["../../../src/core/aprobacion/politica.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;GAsBG;AAEH,OAAO,EAAE,YAAY,EAAE,MAAM,SAAS,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,MAAM,SAAS,CAAC;AAClC,OAAO,EAAE,eAAe,EAAE,MAAM,iBAAiB,CAAC;AAClD,OAAO,EAAE,UAAU,EAAE,UAAU,EAAE,MAAM,mBAAmB,CAAC;AAC3D,OAAO,EAAE,aAAa,EAAE,MAAM,gCAAgC,CAAC;AAC/D,OAAO,EAAE,eAAe,EAAE,gBAAgB,EAAE,MAAM,gBAAgB,CAAC;AACnE,OAAO,EAA0B,iBAAiB,EAAE,YAAY,EAAE,MAAM,0BAA0B,CAAC;AAEnG;;;;;;;;;;GAUG;AACH,MAAM,mBAAmB,GAAG,IAAI,eAAe,SAAS,CAAC;AAczD,4BAA4B;AAC5B,MAAM,OAAO,GAAG,IAAI,GAAG,CAAC;IACvB,MAAM;IACN,IAAI;IACJ,MAAM;IACN,MAAM;IACN,YAAY;IACZ,gBAAgB;IAChB,WAAW;IACX,YAAY;IACZ,eAAe;IACf,aAAa;IACb,aAAa;IACb,mBAAmB;IACnB,WAAW;CACX,CAAC,CAAC;AAEH,2EAA2E;AAC3E,MAAM,SAAS,GAAG,IAAI,GAAG,CAAC;IACzB,MAAM;IACN,OAAO;IACP,UAAU;IACV,YAAY;IACZ,gBAAgB;IAChB,eAAe;IACf,uBAAuB;IACvB,YAAY;IACZ,MAAM;IACN,YAAY;IACZ,WAAW;CACX,CAAC,CAAC;AAEH;;;;;;;GAOG;AACH,MAAM,UAAU,qBAAqB,CAAC,IAAY,EAAW;IAC5D,OAAO,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,IAAI,SAAS,CAAC,GAAG,CAAC,IAAI,CAAC,IAAI,IAAI,KAAK,MAAM,CAAC;AAAA,CACnE;AAED;;;;;GAKG;AACH,MAAM,UAAU,OAAO,CAAC,IAAY,EAAa;IAChD,gEAA+D;IAC/D,EAAE;IACF,2EAA0E;IAC1E,6EAA6E;IAC7E,0EAAwE;IACxE,8EAA2E;IAC3E,0DAA0D;IAC1D,IAAI,aAAa,CAAC,IAAI,CAAC;QAAE,OAAO,WAAW,CAAC;IAC5C,IAAI,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC;QAAE,OAAO,SAAS,CAAC;IACxC,IAAI,SAAS,CAAC,GAAG,CAAC,IAAI,CAAC;QAAE,OAAO,WAAW,CAAC;IAC5C,OAAO,WAAW,CAAC;AAAA,CACnB;AAED,yEAAyE;AACzE,SAAS,gBAAgB,CAAC,KAAa,EAAE,QAAgB,EAAW;IACnE,OAAO,KAAK,CAAC,QAAQ,CAAC,IAAI,QAAQ,GAAG,CAAC,CAAC;AAAA,CACvC;AAED;;;;;;;;;;;;;;;;;;;GAmBG;AACH,SAAS,gBAAgB,CAAC,KAAa,EAAE,IAAY,EAAE,GAAW,EAAW;IAC5E,IAAI,KAAK,CAAC,QAAQ,CAAC,GAAG,IAAI,GAAG,GAAG,GAAG,CAAC;QAAE,OAAO,IAAI,CAAC;IAClD,OAAO,KAAK,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,OAAO,CAAC,YAAY,EAAE,EAAE,CAAC,CAAC,QAAQ,CAAC,GAAG,IAAI,GAAG,GAAG,EAAE,CAAC,CAAC,CAAC;AAAA,CAClG;AAED;;;;;;;;;;;;GAYG;AACH,SAAS,UAAU,CAAC,KAAa,EAAE,IAAY,EAAU;IACxD,OAAO,KAAK,CAAC,UAAU,CAAC,QAAQ,EAAE,GAAG,IAAI,GAAG,CAAC,CAAC,UAAU,CAAC,IAAI,EAAE,GAAG,IAAI,GAAG,CAAC,CAAC;AAAA,CAC3E;AAED;;;;;;;;;GASG;AACH,SAAS,aAAa,CAAC,KAAa,EAAE,QAAgB,EAAE,WAAoB,EAAiB;IAC5F,IAAI,gBAAgB,CAAC,KAAK,EAAE,GAAG,QAAQ,GAAG,EAAE,OAAO,CAAC;QAAE,OAAO,kBAAkB,CAAC;IAChF,kEAAiE;IACjE,2EAA2E;IAC3E,IAAI,gBAAgB,CAAC,KAAK,EAAE,mBAAmB,EAAE,OAAO,CAAC;QACxD,OAAO,0DAA0D,CAAC;IAEnE,uCAAqC;IACrC,EAAE;IACF,4EAAyE;IACzE,4EAA4E;IAC5E,8EAA6E;IAC7E,yEAAuE;IACvE,2EAA0E;IAC1E,sBAAqB;IACrB,EAAE;IACF,4EAA2E;IAC3E,wEAAuE;IACvE,6EAA4E;IAC5E,0EAA0E;IAC1E,kEAAiE;IACjE,KAAK,MAAM,GAAG,IAAI,CAAC,UAAU,EAAE,UAAU,CAAC,EAAE,CAAC;QAC5C,IAAI,gBAAgB,CAAC,KAAK,EAAE,GAAG,QAAQ,GAAG,EAAE,GAAG,CAAC;YAAE,OAAO,sCAAoC,CAAC;QAC9F,IAAI,gBAAgB,CAAC,KAAK,EAAE,mBAAmB,EAAE,GAAG,CAAC,EAAE,CAAC;YACvD,OAAO,8EAA4E,CAAC;QACrF,CAAC;IACF,CAAC;IAED,0EAA0E;IAC1E,EAAE;IACF,4EAAyE;IACzE,6EAA6E;IAC7E,oEAAkE;IAClE,4EAA2E;IAC3E,qCAAqC;IACrC,EAAE;IACF,4EAA4E;IAC5E,yEAAwE;IACxE,yDAAuD;IACvD,KAAK,MAAM,KAAK,IAAI,KAAK,CAAC,KAAK,CAAC,UAAU,CAAC,EAAE,CAAC;QAC7C,MAAM,IAAI,GAAG,KAAK,CAAC,KAAK,CAAC,KAAK,CAAC,WAAW,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC;QACrD,IAAI,KAAK,CAAC,QAAQ,CAAC,GAAG,QAAQ,GAAG,CAAC,IAAI,IAAI,KAAK,WAAW;YAAE,OAAO,qCAAqC,CAAC;QACzG,uEAAuE;QACvE,kEAAiE;QACjE,wDAAsD;QACtD,IAAI,KAAK,CAAC,QAAQ,CAAC,mBAAmB,CAAC,IAAI,IAAI,KAAK,WAAW,EAAE,CAAC;YACjE,OAAO,6EAA6E,CAAC;QACtF,CAAC;QACD,yEAAuE;QACvE,yEAAyE;QACzE,uDAAuD;QACvD,IAAI,IAAI,KAAK,mBAAmB,IAAI,IAAI,KAAK,QAAQ;YAAE,OAAO,kCAAkC,CAAC;QACjG,IAAI,gBAAgB,CAAC,KAAK,EAAE,QAAQ,CAAC,IAAI,IAAI,KAAK,WAAW;YAAE,OAAO,2BAA2B,CAAC;QAClG,IAAI,gBAAgB,CAAC,KAAK,EAAE,IAAI,CAAC,IAAI,IAAI,KAAK,WAAW;YAAE,OAAO,gCAAgC,CAAC;QACnG,IAAI,gBAAgB,CAAC,KAAK,EAAE,SAAS,CAAC,IAAI,IAAI,KAAK,aAAa;YAAE,OAAO,4BAA4B,CAAC;QACtG,IAAI,gBAAgB,CAAC,KAAK,EAAE,OAAO,CAAC,IAAI,IAAI,KAAK,QAAQ;YAAE,OAAO,qCAAoC,CAAC;IACxG,CAAC;IAED,IAAI,gBAAgB,CAAC,KAAK,EAAE,MAAM,CAAC;QAAE,OAAO,gBAAgB,CAAC;IAC7D,IAAI,gBAAgB,CAAC,KAAK,EAAE,QAAQ,CAAC;QAAE,OAAO,gBAAgB,CAAC;IAC/D,IAAI,gBAAgB,CAAC,KAAK,EAAE,MAAM,CAAC;QAAE,OAAO,yBAAyB,CAAC;IAEtE,6EAA6E;IAC7E,+EAA6E;IAC7E,uBAAsB;IACtB,KAAK,MAAM,KAAK,IAAI,KAAK,CAAC,KAAK,CAAC,UAAU,CAAC,EAAE,CAAC;QAC7C,MAAM,IAAI,GAAG,KAAK,CAAC,KAAK,CAAC,KAAK,CAAC,WAAW,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC;QACrD,IAAI,IAAI,KAAK,MAAM,IAAI,IAAI,CAAC,UAAU,CAAC,OAAO,CAAC;YAAE,OAAO,uBAAuB,CAAC;IACjF,CAAC;IAED,kEAAiE;IACjE,yEAAwE;IACxE,uEAAuE;IACvE,gEAA8D;IAC9D,IAAI,WAAW,IAAI,CAAC,KAAK,CAAC,QAAQ,CAAC,GAAG,QAAQ,gBAAgB,CAAC,IAAI,KAAK,CAAC,QAAQ,CAAC,GAAG,QAAQ,QAAQ,CAAC,CAAC,EAAE,CAAC;QACzG,OAAO,iDAAgD,CAAC;IACzD,CAAC;IACD,OAAO,IAAI,CAAC;AAAA,CACZ;AAED,oEAAoE;AACpE,SAAS,SAAS,CAAC,KAAc,EAAE,SAAS,GAAa,EAAE,EAAY;IACtE,IAAI,OAAO,KAAK,KAAK,QAAQ;QAAE,SAAS,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC;SAChD,IAAI,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC;QAAE,KAAK,MAAM,CAAC,IAAI,KAAK;YAAE,SAAS,CAAC,CAAC,EAAE,SAAS,CAAC,CAAC;SACzE,IAAI,KAAK,IAAI,OAAO,KAAK,KAAK,QAAQ;QAAE,KAAK,MAAM,CAAC,IAAI,MAAM,CAAC,MAAM,CAAC,KAAK,CAAC;YAAE,SAAS,CAAC,CAAC,EAAE,SAAS,CAAC,CAAC;IAC3G,OAAO,SAAS,CAAC;AAAA,CACjB;AA8BD;;;;;;;GAOG;AACH,MAAM,UAAU,aAAa,CAAC,MAA6D,EAAY;IACtG,MAAM,KAAK,GAAI,MAAM,EAAE,WAAgD,EAAE,MAAM,CAAC;IAChF,OAAO,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,EAAe,EAAE,CAAC,OAAO,CAAC,KAAK,QAAQ,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;AAAA,CAC3F;AAED,MAAM,UAAU,OAAO,CAAC,EACvB,IAAI,EACJ,IAAI,EACJ,IAAI,EACJ,QAAQ,EACR,IAAI,EACJ,SAAS,EACT,OAAO,EAAE,WAAW,GACH,EAAY;IAC7B,MAAM,IAAI,GAAG,IAAI,IAAI,OAAO,EAAE,CAAC;IAC/B,MAAM,KAAK,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC;IAE5B,uEAAsE;IACtE,sEAAsE;IACtE,iDAAiD;IACjD,MAAM,WAAW,GAAG,KAAK,KAAK,SAAS,CAAC;IACxC,KAAK,MAAM,MAAM,IAAI,SAAS,CAAC,IAAI,CAAC,EAAE,CAAC;QACtC,MAAM,GAAG,GAAG,aAAa,CAAC,UAAU,CAAC,MAAM,EAAE,IAAI,CAAC,EAAE,QAAQ,EAAE,WAAW,CAAC,CAAC;QAC3E,IAAI,GAAG,EAAE,CAAC;YACT,OAAO;gBACN,SAAS,EAAE,UAAU;gBACrB,QAAQ,EAAE,gBAAgB;gBAC1B,MAAM,EAAE,aAAa,GAAG,uGAAsG;aAC9H,CAAC;QACH,CAAC;IACF,CAAC;IAED,yEAAyE;IACzE,0EAAyE;IACzE,+BAA+B;IAC/B,EAAE;IACF,wEAAuE;IACvE,gFAA4E;IAC5E,6EAA6E;IAC7E,IAAI,WAAW,EAAE,CAAC;QACjB,KAAK,MAAM,MAAM,IAAI,SAAS,CAAC,IAAI,CAAC,EAAE,CAAC;YACtC,uDAAuD;YACvD,EAAE;YACF,iEAA+D;YAC/D,sEAAkE;YAClE,uEAAsE;YACtE,2CAA0C;YAC1C,EAAE;YACF,wEAAuE;YACvE,wEAAuE;YACvE,kDAAiD;YACjD,IAAI,MAAM,CAAC,MAAM,KAAK,CAAC,IAAI,MAAM,CAAC,MAAM,GAAG,GAAG,IAAI,MAAM,CAAC,QAAQ,CAAC,IAAI,CAAC;gBAAE,SAAS;YAClF,IAAI,SAAiB,CAAC;YACtB,IAAI,CAAC;gBACJ,SAAS,GAAG,YAAY,CAAC,UAAU,CAAC,MAAM,EAAE,IAAI,CAAC,EAAE,OAAO,CAAC,CAAC;YAC7D,CAAC;YAAC,MAAM,CAAC;gBACR,SAAS,CAAC,yDAAyD;YACpE,CAAC;YACD,MAAM,KAAK,GAAG,eAAe,CAAC,SAAS,CAAC,CAAC;YACzC,IAAI,KAAK,EAAE,CAAC;gBACX,OAAO,EAAE,SAAS,EAAE,UAAU,EAAE,QAAQ,EAAE,kBAAkB,EAAE,MAAM,EAAE,gBAAgB,CAAC,MAAM,EAAE,KAAK,CAAC,EAAE,CAAC;YACzG,CAAC;QACF,CAAC;IACF,CAAC;IAED,wEAAuE;IACvE,wEAAuE;IACvE,IAAI,SAAS,EAAE,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC;QAC/B,OAAO;YACN,SAAS,EAAE,UAAU;YACrB,QAAQ,EAAE,iBAAiB;YAC3B,MAAM,EAAE,yCAAyC,IAAI,0BAAyB;SAC9E,CAAC;IACH,CAAC;IAED,+DAA6D;IAC7D,EAAE;IACF,wEAAuE;IACvE,2EAA2E;IAC3E,sEAAqE;IACrE,EAAE;IACF,iFAA2E;IAC3E,+EAA4E;IAC5E,qEAAoE;IACpE,MAAM,OAAO,GAAG,WAAW,IAAI,iBAAiB,EAAE,CAAC;IACnD,IAAI,OAAO,CAAC,QAAQ,EAAE,SAAS,EAAE,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC;QACjD,OAAO;YACN,SAAS,EAAE,UAAU;YACrB,QAAQ,EAAE,iBAAiB;YAC3B,MAAM,EACL,eAAe,IAAI,sDAAoD;gBACvE,CAAC,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC,CAAC,KAAK,OAAO,CAAC,QAAQ,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC;gBAChE,sEAAqE;SACtE,CAAC;IACH,CAAC;IACD,MAAM,QAAQ,GAAG,YAAY,CAAC,IAAI,EAAE,OAAO,CAAC,CAAC;IAE7C,0CAAyC;IACzC,IAAI,KAAK,KAAK,SAAS;QAAE,OAAO,EAAE,SAAS,EAAE,WAAW,EAAE,QAAQ,EAAE,QAAQ,QAAQ,EAAE,EAAE,MAAM,EAAE,EAAE,EAAE,CAAC;IAErG,2EAA0E;IAC1E,+EAA2E;IAC3E,wDAAuD;IACvD,MAAM,MAAM,GAAG,QAAQ,KAAK,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,0BAA0B,CAAC;IAEnE,QAAQ,QAAQ,EAAE,CAAC;QAClB,KAAK,MAAM;YACV,OAAO;gBACN,SAAS,EAAE,UAAU;gBACrB,QAAQ,EAAE,YAAY,MAAM,EAAE;gBAC9B,MAAM,EAAE,mEAAiE;aACzE,CAAC;QACH,KAAK,QAAQ;YACZ,OAAO,EAAE,SAAS,EAAE,WAAW,EAAE,QAAQ,EAAE,cAAc,MAAM,EAAE,EAAE,MAAM,EAAE,EAAE,EAAE,CAAC;QACjF,KAAK,MAAM;YACV,OAAO,KAAK,KAAK,WAAW;gBAC3B,CAAC,CAAC,EAAE,SAAS,EAAE,WAAW,EAAE,QAAQ,EAAE,YAAY,MAAM,EAAE,EAAE,MAAM,EAAE,EAAE,EAAE;gBACxE,CAAC,CAAC,EAAE,SAAS,EAAE,WAAW,EAAE,QAAQ,EAAE,YAAY,MAAM,EAAE,EAAE,MAAM,EAAE,EAAE,EAAE,CAAC;QAC3E;YACC,OAAO,EAAE,SAAS,EAAE,WAAW,EAAE,QAAQ,EAAE,YAAY,MAAM,EAAE,EAAE,MAAM,EAAE,EAAE,EAAE,CAAC;IAChF,CAAC;AAAA,CACD","sourcesContent":["/**\n * Aprobación por herramienta.\n *\n * Antes de esto no había política ninguna: `beforeToolCall` disparaba los hooks\n * del usuario y las extensiones, y `permissions.level` —que existe en settings\n * desde siempre— solo lo leían los propios hooks. Ninguna tool se consultaba\n * contra él. Es decir, el nivel de permisos no gobernaba los permisos.\n *\n * El orden de las comprobaciones ES la propiedad de seguridad, y por eso está\n * escrito de arriba abajo en `decidir()` y no repartido:\n *\n *   1. Rutas protegidas   — denegado SIEMPRE, incluso en `yolo`, no configurable\n *   2. Deny del usuario   — denegado SIEMPRE, incluso en `yolo`\n *   3. Modo de la sesión  — plan / manual / auto / yolo\n *\n * Que 1 y 2 vayan por delante del modo es lo que hace que el argumento de\n * cumplimiento se sostenga: una política que el propio agente puede desactivar\n * pidiendo `yolo` no es una política, es una sugerencia.\n *\n * Lo desconocido cuenta como ejecución. Una tool de MCP o de una extensión que\n * nadie ha clasificado no puede colarse por el carril de lectura por no estar\n * en ninguna lista.\n */\n\nimport { readFileSync } from \"node:fs\";\nimport { homedir } from \"node:os\";\nimport { CONFIG_DIR_NAME } from \"../../config.ts\";\nimport { DIR_INDICE, DIR_SESION } from \"../audit/rutas.ts\";\nimport { suplantadaPor } from \"../extensiones/suplantacion.ts\";\nimport { marcaDeGenerado, motivoDeGenerado } from \"./generados.ts\";\nimport { type LecturaDePolitica, politicaDeMaquina, recortarModo } from \"./politica-de-maquina.ts\";\n\n/**\n * Segmento `.../<CONFIG_DIR_NAME>/agent/` de CUALQUIER instalación de Ada,\n * no solo `agentDir` (que es la de ESTE equipo).\n *\n * Con `--remoto` los argumentos de `read`/`write`/`bash` pueden nombrar un\n * `auth.json` o un `vault/` que viven en OTRA máquina — el destino de SSH,\n * el contenedor de Docker, la distro de WSL — con su propio `$HOME` y por\n * tanto un `agentDir` que `rutaProtegida` nunca conoce. Comprobar el\n * segmento en vez del prefijo completo protege ambos sin necesitar el\n * `agentDir` del destino, que esta política no tiene forma de calcular.\n */\nconst SEGMENTO_AGENTE_ADA = `/${CONFIG_DIR_NAME}/agent/`;\n\nexport type NivelTool = \"lectura\" | \"escritura\" | \"ejecucion\";\nexport type ModoPermiso = \"plan\" | \"manual\" | \"auto\" | \"yolo\";\nexport type VeredictoAprobacion = \"permitida\" | \"denegada\" | \"preguntar\";\n\nexport interface Decision {\n\tveredicto: VeredictoAprobacion;\n\t/** Qué regla decidió. Va al libro de sesión, así que tiene que ser estable. */\n\tpolitica: string;\n\t/** Texto para el modelo y para el usuario. Vacío cuando no hay nada que explicar. */\n\tmotivo: string;\n}\n\n/** Tools que solo miran. */\nconst LECTURA = new Set([\n\t\"read\",\n\t\"ls\",\n\t\"find\",\n\t\"grep\",\n\t\"ast_search\",\n\t\"session_search\",\n\t\"web_fetch\",\n\t\"web_search\",\n\t\"memory_search\",\n\t\"memory_list\",\n\t\"graph_query\",\n\t\"ask_user_question\",\n\t\"todo_read\",\n]);\n\n/** Tools que cambian estado nuestro, pero no ejecutan nada del sistema. */\nconst ESCRITURA = new Set([\n\t\"edit\",\n\t\"write\",\n\t\"ast_edit\",\n\t\"memory_add\",\n\t\"memory_replace\",\n\t\"memory_remove\",\n\t\"update_project_memory\",\n\t\"scratchpad\",\n\t\"todo\",\n\t\"todo_write\",\n\t\"graph_add\",\n]);\n\n/**\n * ¿Este nombre es de una tool NUESTRA cuyo nivel de confianza da esta política?\n *\n * Lo consulta el registro de extensiones para saber si `registerTool` está\n * suplantando una builtin. `bash` va aparte porque no está en ninguna de las dos\n * listas —lo desconocido ya es ejecución— pero suplantarlo importa igual: el\n * usuario tiene que ver que el `bash` que corre no es el nuestro.\n */\nexport function esNombreDeToolNuestra(tool: string): boolean {\n\treturn LECTURA.has(tool) || ESCRITURA.has(tool) || tool === \"bash\";\n}\n\n/**\n * El nivel de una herramienta. Lo que no está clasificado es ejecución.\n *\n * Falla cerrado a propósito: el coste de equivocarse hacia arriba es una\n * pregunta de más; hacia abajo, es una tool desconocida corriendo sola.\n */\nexport function nivelDe(tool: string): NivelTool {\n\t// Una builtin suplantada por una extensión NO hereda su nivel.\n\t//\n\t// Comprobado ejecutando: una extensión registra `read`, el loader la pone\n\t// encima de la nuestra y el modelo sigue creyendo que llama a la de Ada. Con\n\t// `LECTURA.has(\"read\")` por delante, ese `read` —que puede hacer lo que\n\t// quiera— se permitía siempre y en cualquier modo. Devolver \"ejecucion\" lo\n\t// devuelve al carril de lo desconocido, que es lo que es.\n\tif (suplantadaPor(tool)) return \"ejecucion\";\n\tif (LECTURA.has(tool)) return \"lectura\";\n\tif (ESCRITURA.has(tool)) return \"escritura\";\n\treturn \"ejecucion\";\n}\n\n/** Un directorio protegido aparece como segmento completo de la ruta. */\nfunction contieneSegmento(texto: string, segmento: string): boolean {\n\treturn texto.includes(`/${segmento}/`);\n}\n\n/**\n * ¿El texto nombra el directorio `dir` colgado de `base`, con barra final o sin\n * ella?\n *\n * La comprobación anterior solo miraba `base/dir/`, y por ahí se colaba justo el\n * caso peor. Comprobado ejecutando `decidir`:\n *\n *   rm -rf <agentDir>/vault/   -> denegada  ruta-protegida\n *   rm -rf <agentDir>/vault    -> PERMITIDA modo-yolo\n *\n * Es decir, el borrado entero del vault con un comando, porque el nombre de un\n * directorio no lleva barra al final cuando se lo pasas a `rm`. Se arregla aquí,\n * en la comprobación compartida, y no en cada llamada: la misma trampa valía\n * para el vault, para el libro y para cualquier directorio que se añada mañana.\n *\n * El caso sin barra se mide sobre el token y con el final exacto para no\n * llevarse por delante `vault-ejemplo` ni `sesiones/`. Se recorta la puntuación\n * de shell del final porque `rm -rf x/vault;` y `rm -rf x/vault)` son el mismo\n * comando con otro adorno.\n */\nfunction nombraDirectorio(texto: string, base: string, dir: string): boolean {\n\tif (texto.includes(`${base}${dir}/`)) return true;\n\treturn texto.split(/[\\s\"'`]+/).some((t) => t.replace(/[;,)&|>]+$/, \"\").endsWith(`${base}${dir}`));\n}\n\n/**\n * Deja la ruta en la forma con la que se compara.\n *\n * Sin esto la política era papel mojado, y se descubrió EJECUTANDO el producto:\n * el modelo escribe `~/.ada/agent/vault/…`, la tool expande la tilde por dentro\n * y abre el fichero, mientras que la política —que solo ve los argumentos\n * crudos— comparaba contra la ruta absoluta y no reconocía nada. El vault se\n * leyó entero con la política activada y todas las pruebas en verde, porque\n * todas usaban rutas absolutas.\n *\n * Se sustituye en TODO el texto y no solo al principio porque `bash` recibe una\n * línea entera, donde el `~` va detrás del comando.\n */\nfunction normalizar(texto: string, home: string): string {\n\treturn texto.replaceAll(\"$HOME/\", `${home}/`).replaceAll(\"~/\", `${home}/`);\n}\n\n/**\n * Si el texto nombra algo que no se puede tocar, devuelve por qué.\n *\n * Se mira el texto y no una \"ruta\" porque los argumentos no tienen un nombre\n * común (`path`, `file_path`, `command`…) y porque `bash` recibe una línea de\n * shell entera. Para `bash` esto es MEJOR ESFUERZO y hay que decirlo: quien\n * contiene de verdad un comando es el sandbox del sistema operativo, no esta\n * comprobación. Aquí se para lo evidente, que es lo que hace un agente\n * despistado; lo deliberado lo para el kernel.\n */\nfunction rutaProtegida(texto: string, agentDir: string, escribiendo: boolean): string | null {\n\tif (nombraDirectorio(texto, `${agentDir}/`, \"vault\")) return \"el vault cifrado\";\n\t// Generaliza lo de arriba a un vault de Ada en OTRA máquina (ver\n\t// `SEGMENTO_AGENTE_ADA`): mismo motivo, sin depender del `agentDir` local.\n\tif (nombraDirectorio(texto, SEGMENTO_AGENTE_ADA, \"vault\"))\n\t\treturn \"el vault cifrado (de este equipo o de un destino remoto)\";\n\n\t// El libro de auditoría y su índice.\n\t//\n\t// Agujero real, y el más grave que hemos tenido: la política protegía el\n\t// vault y el `auth.json` y dejaba al agente escribir y BORRAR libremente en\n\t// `<agentDir>/sesion/`, que es donde está el registro de lo que ha hecho. Es\n\t// decir, el sujeto de la auditoría tenía permiso de escritura sobre la\n\t// auditoría. Comprobado ejecutando `decidir`: `rm -rf <agentDir>/sesion/`\n\t// salía `permitida`.\n\t//\n\t// Denegado también para LEER, igual que el vault: el libro guarda hashes y\n\t// rutas de todo lo que ha pasado por la sesión, y no hay ninguna tarea\n\t// legítima del agente que necesite leerlo por el sistema de ficheros. Quien\n\t// tiene que verlo lo ve por `ada-cli audit show`, por `audit://` o por el\n\t// panel, que no pasan por esta política porque no son el agente.\n\tfor (const dir of [DIR_SESION, DIR_INDICE]) {\n\t\tif (nombraDirectorio(texto, `${agentDir}/`, dir)) return \"el libro de auditoría de la sesión\";\n\t\tif (nombraDirectorio(texto, SEGMENTO_AGENTE_ADA, dir)) {\n\t\t\treturn \"el libro de auditoría de la sesión (de este equipo o de un destino remoto)\";\n\t\t}\n\t}\n\n\t// Las credenciales de los proveedores, que viven EN CLARO en `auth.json`.\n\t//\n\t// Agujero real y propio: la primera versión de esta política protegía el\n\t// vault, las claves SSH, AWS y los `.env`, y dejaba abierto justo el fichero\n\t// donde están las claves con las que corre el agente. Se comprobó\n\t// ejecutando el producto y las leyó todas. Proteger la caja fuerte y dejar\n\t// las llaves encima no protege nada.\n\t//\n\t// Se compara con el nombre de fichero COMPLETO para no llevarse por delante\n\t// `auth.json.example`, `auth-storage.ts` ni `auth.md`, que son código y\n\t// documentación que el agente sí tiene que poder leer.\n\tfor (const parte of texto.split(/[\\s\"'`]+/)) {\n\t\tconst base = parte.slice(parte.lastIndexOf(\"/\") + 1);\n\t\tif (parte.includes(`${agentDir}/`) && base === \"auth.json\") return \"las credenciales de los proveedores\";\n\t\t// Igual, pero para el `auth.json` de un Ada corriendo en el DESTINO de\n\t\t// `--remoto`: no comparte `agentDir` con este equipo, así que el\n\t\t// segmento genérico es la única forma de reconocerlo.\n\t\tif (parte.includes(SEGMENTO_AGENTE_ADA) && base === \"auth.json\") {\n\t\t\treturn \"las credenciales de los proveedores (de este equipo o de un destino remoto)\";\n\t\t}\n\t\t// Y las de las otras herramientas: están en el mismo portátil y sirven\n\t\t// para lo mismo. Si el agente no ve las nuestras, no hay motivo para que\n\t\t// vea las de Claude Code, Codex, gh, Docker o kubectl.\n\t\tif (base === \".credentials.json\" || base === \".netrc\") return \"credenciales de otra herramienta\";\n\t\tif (contieneSegmento(parte, \".codex\") && base === \"auth.json\") return \"las credenciales de Codex\";\n\t\tif (contieneSegmento(parte, \"gh\") && base === \"hosts.yml\") return \"las credenciales de GitHub CLI\";\n\t\tif (contieneSegmento(parte, \".docker\") && base === \"config.json\") return \"las credenciales de Docker\";\n\t\tif (contieneSegmento(parte, \".kube\") && base === \"config\") return \"el acceso al clúster de Kubernetes\";\n\t}\n\n\tif (contieneSegmento(texto, \".ssh\")) return \"las claves SSH\";\n\tif (contieneSegmento(texto, \".gnupg\")) return \"las claves GPG\";\n\tif (contieneSegmento(texto, \".aws\")) return \"las credenciales de AWS\";\n\n\t// `.env` como nombre de fichero completo, no como prefijo: `.environment.ts`\n\t// es código normal y denegarlo dejaría medio proyecto ilegible sin que nadie\n\t// entendiera por qué.\n\tfor (const parte of texto.split(/[\\s\"'`]+/)) {\n\t\tconst base = parte.slice(parte.lastIndexOf(\"/\") + 1);\n\t\tif (base === \".env\" || base.startsWith(\".env.\")) return \"un fichero de entorno\";\n\t}\n\n\t// La configuración del agente se puede LEER pero no escribir. El\n\t// CVE-2026-25725 de Claude Code fue exactamente esto: código dentro del\n\t// sandbox creaba un settings.json e inyectaba hooks `SessionStart` que\n\t// corrían FUERA. Nuestro settings.json también ejecuta hooks.\n\tif (escribiendo && (texto.includes(`${agentDir}/settings.json`) || texto.includes(`${agentDir}/hooks`))) {\n\t\treturn \"la configuración del agente, que ejecuta hooks\";\n\t}\n\treturn null;\n}\n\n/** Todas las cadenas de los argumentos, a cualquier profundidad. */\nfunction cadenasDe(valor: unknown, acumulado: string[] = []): string[] {\n\tif (typeof valor === \"string\") acumulado.push(valor);\n\telse if (Array.isArray(valor)) for (const v of valor) cadenasDe(v, acumulado);\n\telse if (valor && typeof valor === \"object\") for (const v of Object.values(valor)) cadenasDe(v, acumulado);\n\treturn acumulado;\n}\n\nexport interface EntradaDecision {\n\ttool: string;\n\targs: Record<string, unknown>;\n\tmodo: ModoPermiso;\n\tagentDir: string;\n\t/**\n\t * Directorio del usuario, para resolver `~` y `$HOME` antes de comparar.\n\t *\n\t * Opcional y con `homedir()` por defecto para que el punto de llamada no\n\t * tenga que importarlo: `agent-session.ts` es de upstream y está en el tope\n\t * del presupuesto de fork, donde un `import` nuevo cuesta un hunk. Las\n\t * pruebas lo pasan siempre, así que siguen siendo deterministas.\n\t */\n\thome?: string;\n\t/** Tools que el usuario ha denegado explícitamente en su configuración. */\n\tdenegadas?: string[];\n\t/**\n\t * La política de máquina, para las pruebas.\n\t *\n\t * Opcional, y por defecto la del sistema. NO se lee de una variable de\n\t * entorno a propósito: una variable la pone el propio usuario, así que sería\n\t * la puerta trasera que anula toda la política de un `export`. Quien ya\n\t * ejecuta código en este proceso puede saltársela igual —la frontera es el\n\t * proceso, no esta función—, pero no debe haber un camino cómodo.\n\t */\n\tmaquina?: LecturaDePolitica;\n}\n\n/**\n * Lee `permissions.denied` de la configuración, tolerando que no exista.\n *\n * El bloque `permissions` es un `Record<string, unknown>` en settings, así que\n * lo que hay ahí no está tipado y puede ser cualquier cosa: se filtra a cadenas\n * en vez de confiar. Una entrada mal escrita tiene que perderse ella sola, no\n * tumbar la política entera y con ella la sesión.\n */\nexport function leerDenegadas(config: { permissions?: Record<string, unknown> } | undefined): string[] {\n\tconst lista = (config?.permissions as { denied?: unknown } | undefined)?.denied;\n\treturn Array.isArray(lista) ? lista.filter((x): x is string => typeof x === \"string\") : [];\n}\n\nexport function decidir({\n\ttool,\n\targs,\n\tmodo,\n\tagentDir,\n\thome,\n\tdenegadas,\n\tmaquina: maquinaDada,\n}: EntradaDecision): Decision {\n\tconst casa = home ?? homedir();\n\tconst nivel = nivelDe(tool);\n\n\t// 1. Rutas protegidas. Por delante de todo lo demás, incluido `yolo`.\n\t//    `ejecucion` cuenta como escritura: un `bash` puede reescribir el\n\t//    settings.json igual de bien que un `write`.\n\tconst escribiendo = nivel !== \"lectura\";\n\tfor (const cadena of cadenasDe(args)) {\n\t\tconst que = rutaProtegida(normalizar(cadena, casa), agentDir, escribiendo);\n\t\tif (que) {\n\t\t\treturn {\n\t\t\t\tveredicto: \"denegada\",\n\t\t\t\tpolitica: \"ruta-protegida\",\n\t\t\t\tmotivo: `Denegado: ${que}. No es configurable y no cambia con el modo de permisos. Si el usuario necesita ese dato, pídeselo.`,\n\t\t\t};\n\t\t}\n\t}\n\n\t// 2. Ficheros generados. Escribir en uno es trabajo que desaparece en la\n\t//    siguiente regeneración, y entre medias deja la fuente y el generado\n\t//    diciendo cosas distintas.\n\t//\n\t//    Va después de las rutas protegidas y antes del modo, porque no es\n\t//    negociable por comodidad — pero sí lo levanta el usuario diciéndolo, y\n\t//    el mensaje se lo explica al modelo para que lo pida en vez de insistir.\n\tif (escribiendo) {\n\t\tfor (const cadena of cadenasDe(args)) {\n\t\t\t// El filtro es \"se puede abrir\", no \"parece una ruta\".\n\t\t\t//\n\t\t\t// La versión anterior exigía una barra, y con eso `edit` sobre\n\t\t\t// `api.pb.go` —sin directorio— se colaba entera: la guarda estaba\n\t\t\t// puesta, las pruebas en verde, y el fichero generado se editó igual.\n\t\t\t// Solo salió ejecutando el CLI de verdad.\n\t\t\t//\n\t\t\t// Lo que sí se descarta antes de tocar el disco es lo que no puede ser\n\t\t\t// un nombre de fichero: contenido con saltos de línea (el `new_string`\n\t\t\t// de una edición) o cadenas absurdamente largas.\n\t\t\tif (cadena.length === 0 || cadena.length > 400 || cadena.includes(\"\\n\")) continue;\n\t\t\tlet contenido: string;\n\t\t\ttry {\n\t\t\t\tcontenido = readFileSync(normalizar(cadena, casa), \"utf-8\");\n\t\t\t} catch {\n\t\t\t\tcontinue; // no existe o no es un fichero: no hay nada que proteger\n\t\t\t}\n\t\t\tconst marca = marcaDeGenerado(contenido);\n\t\t\tif (marca) {\n\t\t\t\treturn { veredicto: \"denegada\", politica: \"fichero-generado\", motivo: motivoDeGenerado(cadena, marca) };\n\t\t\t}\n\t\t}\n\t}\n\n\t// 3. Lo que el usuario ha denegado. También sobrevive a `yolo`: si no,\n\t//    \"denegar\" significaría \"denegar hasta que al agente le convenga\".\n\tif (denegadas?.includes(tool)) {\n\t\treturn {\n\t\t\tveredicto: \"denegada\",\n\t\t\tpolitica: \"deny-de-usuario\",\n\t\t\tmotivo: `Denegado: el usuario ha desactivado \\`${tool}\\` en su configuración.`,\n\t\t};\n\t}\n\n\t// 4. La política de MÁQUINA, que el usuario no puede editar.\n\t//\n\t//    Va aquí y no en cada llamante porque `decidir()` la invocan siete\n\t//    sitios: un techo que haya que acordarse de poner en cada uno no es un\n\t//    techo. Y va antes del modo porque su único poder es recortarlo.\n\t//\n\t//    Los dos ámbitos que había —global y proyecto— son ficheros del propio\n\t//    usuario, así que la línea con la que el CISO prohíbe `yolo` la borraba\n\t//    él mismo con un editor de texto. Ver `politica-de-maquina.ts`.\n\tconst maquina = maquinaDada ?? politicaDeMaquina();\n\tif (maquina.politica?.denegadas?.includes(tool)) {\n\t\treturn {\n\t\t\tveredicto: \"denegada\",\n\t\t\tpolitica: \"deny-de-maquina\",\n\t\t\tmotivo:\n\t\t\t\t`Denegado: \\`${tool}\\` está desactivada por la política de este equipo` +\n\t\t\t\t(maquina.politica.motivo ? `: ${maquina.politica.motivo}` : \".\") +\n\t\t\t\t\" No la levanta el modo de permisos ni la configuración del usuario.\",\n\t\t};\n\t}\n\tconst efectivo = recortarModo(modo, maquina);\n\n\t// 5. El modo de la sesión, ya recortado.\n\tif (nivel === \"lectura\") return { veredicto: \"permitida\", politica: `modo-${efectivo}`, motivo: \"\" };\n\n\t// Que el recorte se NOMBRE en `politica` no es cosmético: ese campo va al\n\t// libro de sesión, así que un auditor puede ver que la decisión la tomó la\n\t// política del equipo y no la preferencia del usuario.\n\tconst sufijo = efectivo === modo ? \"\" : \"-por-politica-de-maquina\";\n\n\tswitch (efectivo) {\n\t\tcase \"plan\":\n\t\t\treturn {\n\t\t\t\tveredicto: \"denegada\",\n\t\t\t\tpolitica: `modo-plan${sufijo}`,\n\t\t\t\tmotivo: \"En modo plan no se actúa: propón el cambio en vez de aplicarlo.\",\n\t\t\t};\n\t\tcase \"manual\":\n\t\t\treturn { veredicto: \"preguntar\", politica: `modo-manual${sufijo}`, motivo: \"\" };\n\t\tcase \"auto\":\n\t\t\treturn nivel === \"escritura\"\n\t\t\t\t? { veredicto: \"permitida\", politica: `modo-auto${sufijo}`, motivo: \"\" }\n\t\t\t\t: { veredicto: \"preguntar\", politica: `modo-auto${sufijo}`, motivo: \"\" };\n\t\tdefault:\n\t\t\treturn { veredicto: \"permitida\", politica: `modo-yolo${sufijo}`, motivo: \"\" };\n\t}\n}\n"]}

package/dist/core/arranque/atajos.d.ts

@@ -0,0 +1,46 @@
+/**
+ * Arranque del CLI con atajos: decide qué grafo de módulos hay que cargar ANTES
+ * de cargarlo.
+ *
+ * Por qué existe. Medido en este árbol (Node 22, macOS, caché caliente):
+ *
+ *     node dist/cli.js --version   ->  1,65 s  y  1927 módulos cargados
+ *     node -e ""                   ->  0,03 s
+ *
+ * (contados con un hook `load` de `node:module`; con `module.register()`, que va
+ * en otro hilo y no ve algunas cargas, salen 1315 — el número de la puerta
+ * `scripts/check-arranque.mjs` es el primero, para que se puedan comparar.)
+ *
+ * De esos 1927 módulos, 660 son de `typebox` (los esquemas de todas las tools),
+ * 206 de `core/` y 171 de `packages/ai`. Ninguno hace falta para imprimir una
+ * cadena de versión. El coste no era del lenguaje —Bun tardaba lo mismo— sino de
+ * que `cli.ts` importaba `main.ts` de forma estática, y `main.ts` importa
+ * ávidamente TODO su grafo (sdk, modos, extensiones, proveedores, motor de
+ * control del ordenador) antes de mirar el primer argumento.
+ *
+ * Lo mismo pasaba con los subcomandos que ya estaban escritos para ser
+ * perezosos: `runServeCommand` (audit, discover, banco, review, commit, wiki,
+ * usage…) carga sus dependencias con `await import()`, pero se llamaba desde
+ * dentro de `main()`, o sea DESPUÉS de haber pagado el grafo entero. La pereza
+ * estaba construida y desenchufada.
+ *
+ * Enganche en upstream: UN solo hunk, el final de `src/cli.ts`. El resto vive
+ * aquí, en un fichero nuestro.
+ */
+/**
+ * ¿Es una invocación que solo pide la versión y nada más?
+ *
+ * Se exige que sea el ÚNICO argumento a propósito. `ada-cli update --version`
+ * lo consume `handlePackageCommand` dentro de `main()` con otro significado (la
+ * versión a instalar), y atajarlo aquí cambiaría lo que hace ese comando. Un
+ * atajo que se lleva por delante un caso legítimo es peor que no tener atajo.
+ */
+export declare function esSoloVersion(args: readonly string[]): boolean;
+/**
+ * Punto de entrada real del CLI. Devuelve cuando el trabajo ha terminado.
+ *
+ * Sin `options`: `cli.ts` nunca las pasó y el SDK no entra por aquí, sino por
+ * `createAgentSession`. Un parámetro que nadie rellena es una mentira con tipo.
+ */
+export declare function arrancar(args: string[]): Promise<void>;
+//# sourceMappingURL=atajos.d.ts.map

package/dist/core/arranque/atajos.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"atajos.d.ts","sourceRoot":"","sources":["../../../src/core/arranque/atajos.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA4BG;AAoBH;;;;;;;GAOG;AACH,wBAAgB,aAAa,CAAC,IAAI,EAAE,SAAS,MAAM,EAAE,GAAG,OAAO,CAE9D;AAED;;;;;GAKG;AACH,wBAAsB,QAAQ,CAAC,IAAI,EAAE,MAAM,EAAE,GAAG,OAAO,CAAC,IAAI,CAAC,CAyC5D","sourcesContent":["/**\n * Arranque del CLI con atajos: decide qué grafo de módulos hay que cargar ANTES\n * de cargarlo.\n *\n * Por qué existe. Medido en este árbol (Node 22, macOS, caché caliente):\n *\n *     node dist/cli.js --version   ->  1,65 s  y  1927 módulos cargados\n *     node -e \"\"                   ->  0,03 s\n *\n * (contados con un hook `load` de `node:module`; con `module.register()`, que va\n * en otro hilo y no ve algunas cargas, salen 1315 — el número de la puerta\n * `scripts/check-arranque.mjs` es el primero, para que se puedan comparar.)\n *\n * De esos 1927 módulos, 660 son de `typebox` (los esquemas de todas las tools),\n * 206 de `core/` y 171 de `packages/ai`. Ninguno hace falta para imprimir una\n * cadena de versión. El coste no era del lenguaje —Bun tardaba lo mismo— sino de\n * que `cli.ts` importaba `main.ts` de forma estática, y `main.ts` importa\n * ávidamente TODO su grafo (sdk, modos, extensiones, proveedores, motor de\n * control del ordenador) antes de mirar el primer argumento.\n *\n * Lo mismo pasaba con los subcomandos que ya estaban escritos para ser\n * perezosos: `runServeCommand` (audit, discover, banco, review, commit, wiki,\n * usage…) carga sus dependencias con `await import()`, pero se llamaba desde\n * dentro de `main()`, o sea DESPUÉS de haber pagado el grafo entero. La pereza\n * estaba construida y desenchufada.\n *\n * Enganche en upstream: UN solo hunk, el final de `src/cli.ts`. El resto vive\n * aquí, en un fichero nuestro.\n */\n\n/**\n * Prepara el proceso igual que hacía `cli.ts`: título, variables de entorno que\n * leen otros módulos y silenciado de avisos de Node.\n *\n * `configureHttpDispatcher()` NO se llama aquí: es el único trozo del preámbulo\n * que cuesta (carga `undici`, 221 módulos medidos) y solo hace falta cuando algo\n * va a hablar por red. Se llama justo antes de `main()` —donde `runAuthCommand`\n * ya usa la red— y dentro de `runServeCommand`, después de los subcomandos que\n * solo leen ficheros.\n */\nasync function prepararProceso(): Promise<void> {\n\tconst { APP_NAME } = await import(\"../../config.ts\");\n\tprocess.title = APP_NAME;\n\tprocess.env.PI_CODING_AGENT = \"true\";\n\tprocess.env.AI_AGENT = \"pi\";\n\tprocess.emitWarning = (() => {}) as typeof process.emitWarning;\n}\n\n/**\n * ¿Es una invocación que solo pide la versión y nada más?\n *\n * Se exige que sea el ÚNICO argumento a propósito. `ada-cli update --version`\n * lo consume `handlePackageCommand` dentro de `main()` con otro significado (la\n * versión a instalar), y atajarlo aquí cambiaría lo que hace ese comando. Un\n * atajo que se lleva por delante un caso legítimo es peor que no tener atajo.\n */\nexport function esSoloVersion(args: readonly string[]): boolean {\n\treturn args.length === 1 && (args[0] === \"--version\" || args[0] === \"-v\");\n}\n\n/**\n * Punto de entrada real del CLI. Devuelve cuando el trabajo ha terminado.\n *\n * Sin `options`: `cli.ts` nunca las pasó y el SDK no entra por aquí, sino por\n * `createAgentSession`. Un parámetro que nadie rellena es una mentira con tipo.\n */\nexport async function arrancar(args: string[]): Promise<void> {\n\tawait prepararProceso();\n\n\t// Atajo 1: la versión. `VERSION` sale de config.ts, que ya está cargado.\n\tif (esSoloVersion(args)) {\n\t\tconst { VERSION } = await import(\"../../config.ts\");\n\t\tconsole.log(VERSION);\n\t\treturn;\n\t}\n\n\t// `--offline` tiene que estar puesto en el entorno antes de que cualquier\n\t// módulo lo lea. Es lo mismo que hace `main()` en sus primeras líneas; se\n\t// repite aquí porque los subcomandos del atajo 2 ya no pasan por allí.\n\tif (args.includes(\"--offline\") || esBanderaVerdadera(process.env.PI_OFFLINE)) {\n\t\tprocess.env.PI_OFFLINE = \"1\";\n\t\tprocess.env.PI_SKIP_VERSION_CHECK = \"1\";\n\t}\n\n\t// Atajo 2: los subcomandos que no abren el TUI (audit, discover, banco,\n\t// review, commit, usage, wiki, serve, sessions, attach…). Ya cargaban sus\n\t// dependencias de forma perezosa; lo que se gana es no pagar el grafo de\n\t// `main.ts` para llegar hasta ellos.\n\t//\n\t// El orden respecto a `runAuthCommand` (que sigue dentro de `main()`) no\n\t// importa: `auth` no está en la lista de `isServeCommand`, así que los dos\n\t// conjuntos de argumentos son disjuntos.\n\t//\n\t// No se filtra con `isServeCommand` aquí: `runServeCommand` ya empieza por esa\n\t// misma comprobación y devuelve false. Repetirla solo abría la puerta a que\n\t// las dos listas se separaran.\n\tconst { runServeCommand } = await import(\"../../cli/serve-command.ts\");\n\tif (await runServeCommand(args)) return;\n\n\t// Camino normal: el CLI completo. El dispatcher se configura aquí y no antes\n\t// porque `undici` son 221 módulos medidos y los subcomandos que solo leen\n\t// ficheros no los necesitan. Tiene que ser ANTES de `main()`: `runAuthCommand`\n\t// usa la red en las primeras líneas de main, antes de su propia llamada.\n\tconst { configureHttpDispatcher } = await import(\"../http-dispatcher.ts\");\n\tconfigureHttpDispatcher();\n\tconst { main } = await import(\"../../main.ts\");\n\tawait main(args);\n}\n\n/**\n * Copia local de la lectura de banderas de entorno de `main.ts`. Son cuatro\n * líneas y traerlas desde allí obligaría a cargar `main.ts`, que es justo lo que\n * este fichero existe para evitar.\n */\nfunction esBanderaVerdadera(value: string | undefined): boolean {\n\tif (!value) return false;\n\treturn value === \"1\" || value.toLowerCase() === \"true\" || value.toLowerCase() === \"yes\";\n}\n"]}

package/dist/core/arranque/atajos.js

@@ -0,0 +1,113 @@
+/**
+ * Arranque del CLI con atajos: decide qué grafo de módulos hay que cargar ANTES
+ * de cargarlo.
+ *
+ * Por qué existe. Medido en este árbol (Node 22, macOS, caché caliente):
+ *
+ *     node dist/cli.js --version   ->  1,65 s  y  1927 módulos cargados
+ *     node -e ""                   ->  0,03 s
+ *
+ * (contados con un hook `load` de `node:module`; con `module.register()`, que va
+ * en otro hilo y no ve algunas cargas, salen 1315 — el número de la puerta
+ * `scripts/check-arranque.mjs` es el primero, para que se puedan comparar.)
+ *
+ * De esos 1927 módulos, 660 son de `typebox` (los esquemas de todas las tools),
+ * 206 de `core/` y 171 de `packages/ai`. Ninguno hace falta para imprimir una
+ * cadena de versión. El coste no era del lenguaje —Bun tardaba lo mismo— sino de
+ * que `cli.ts` importaba `main.ts` de forma estática, y `main.ts` importa
+ * ávidamente TODO su grafo (sdk, modos, extensiones, proveedores, motor de
+ * control del ordenador) antes de mirar el primer argumento.
+ *
+ * Lo mismo pasaba con los subcomandos que ya estaban escritos para ser
+ * perezosos: `runServeCommand` (audit, discover, banco, review, commit, wiki,
+ * usage…) carga sus dependencias con `await import()`, pero se llamaba desde
+ * dentro de `main()`, o sea DESPUÉS de haber pagado el grafo entero. La pereza
+ * estaba construida y desenchufada.
+ *
+ * Enganche en upstream: UN solo hunk, el final de `src/cli.ts`. El resto vive
+ * aquí, en un fichero nuestro.
+ */
+/**
+ * Prepara el proceso igual que hacía `cli.ts`: título, variables de entorno que
+ * leen otros módulos y silenciado de avisos de Node.
+ *
+ * `configureHttpDispatcher()` NO se llama aquí: es el único trozo del preámbulo
+ * que cuesta (carga `undici`, 221 módulos medidos) y solo hace falta cuando algo
+ * va a hablar por red. Se llama justo antes de `main()` —donde `runAuthCommand`
+ * ya usa la red— y dentro de `runServeCommand`, después de los subcomandos que
+ * solo leen ficheros.
+ */
+async function prepararProceso() {
+    const { APP_NAME } = await import("../../config.js");
+    process.title = APP_NAME;
+    process.env.PI_CODING_AGENT = "true";
+    process.env.AI_AGENT = "pi";
+    process.emitWarning = (() => { });
+}
+/**
+ * ¿Es una invocación que solo pide la versión y nada más?
+ *
+ * Se exige que sea el ÚNICO argumento a propósito. `ada-cli update --version`
+ * lo consume `handlePackageCommand` dentro de `main()` con otro significado (la
+ * versión a instalar), y atajarlo aquí cambiaría lo que hace ese comando. Un
+ * atajo que se lleva por delante un caso legítimo es peor que no tener atajo.
+ */
+export function esSoloVersion(args) {
+    return args.length === 1 && (args[0] === "--version" || args[0] === "-v");
+}
+/**
+ * Punto de entrada real del CLI. Devuelve cuando el trabajo ha terminado.
+ *
+ * Sin `options`: `cli.ts` nunca las pasó y el SDK no entra por aquí, sino por
+ * `createAgentSession`. Un parámetro que nadie rellena es una mentira con tipo.
+ */
+export async function arrancar(args) {
+    await prepararProceso();
+    // Atajo 1: la versión. `VERSION` sale de config.ts, que ya está cargado.
+    if (esSoloVersion(args)) {
+        const { VERSION } = await import("../../config.js");
+        console.log(VERSION);
+        return;
+    }
+    // `--offline` tiene que estar puesto en el entorno antes de que cualquier
+    // módulo lo lea. Es lo mismo que hace `main()` en sus primeras líneas; se
+    // repite aquí porque los subcomandos del atajo 2 ya no pasan por allí.
+    if (args.includes("--offline") || esBanderaVerdadera(process.env.PI_OFFLINE)) {
+        process.env.PI_OFFLINE = "1";
+        process.env.PI_SKIP_VERSION_CHECK = "1";
+    }
+    // Atajo 2: los subcomandos que no abren el TUI (audit, discover, banco,
+    // review, commit, usage, wiki, serve, sessions, attach…). Ya cargaban sus
+    // dependencias de forma perezosa; lo que se gana es no pagar el grafo de
+    // `main.ts` para llegar hasta ellos.
+    //
+    // El orden respecto a `runAuthCommand` (que sigue dentro de `main()`) no
+    // importa: `auth` no está en la lista de `isServeCommand`, así que los dos
+    // conjuntos de argumentos son disjuntos.
+    //
+    // No se filtra con `isServeCommand` aquí: `runServeCommand` ya empieza por esa
+    // misma comprobación y devuelve false. Repetirla solo abría la puerta a que
+    // las dos listas se separaran.
+    const { runServeCommand } = await import("../../cli/serve-command.js");
+    if (await runServeCommand(args))
+        return;
+    // Camino normal: el CLI completo. El dispatcher se configura aquí y no antes
+    // porque `undici` son 221 módulos medidos y los subcomandos que solo leen
+    // ficheros no los necesitan. Tiene que ser ANTES de `main()`: `runAuthCommand`
+    // usa la red en las primeras líneas de main, antes de su propia llamada.
+    const { configureHttpDispatcher } = await import("../http-dispatcher.js");
+    configureHttpDispatcher();
+    const { main } = await import("../../main.js");
+    await main(args);
+}
+/**
+ * Copia local de la lectura de banderas de entorno de `main.ts`. Son cuatro
+ * líneas y traerlas desde allí obligaría a cargar `main.ts`, que es justo lo que
+ * este fichero existe para evitar.
+ */
+function esBanderaVerdadera(value) {
+    if (!value)
+        return false;
+    return value === "1" || value.toLowerCase() === "true" || value.toLowerCase() === "yes";
+}
+//# sourceMappingURL=atajos.js.map

package/dist/core/arranque/atajos.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"atajos.js","sourceRoot":"","sources":["../../../src/core/arranque/atajos.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA4BG;AAEH;;;;;;;;;GASG;AACH,KAAK,UAAU,eAAe,GAAkB;IAC/C,MAAM,EAAE,QAAQ,EAAE,GAAG,MAAM,MAAM,CAAC,iBAAiB,CAAC,CAAC;IACrD,OAAO,CAAC,KAAK,GAAG,QAAQ,CAAC;IACzB,OAAO,CAAC,GAAG,CAAC,eAAe,GAAG,MAAM,CAAC;IACrC,OAAO,CAAC,GAAG,CAAC,QAAQ,GAAG,IAAI,CAAC;IAC5B,OAAO,CAAC,WAAW,GAAG,CAAC,GAAG,EAAE,CAAC,EAAC,CAAC,CAA+B,CAAC;AAAA,CAC/D;AAED;;;;;;;GAOG;AACH,MAAM,UAAU,aAAa,CAAC,IAAuB,EAAW;IAC/D,OAAO,IAAI,CAAC,MAAM,KAAK,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,KAAK,WAAW,IAAI,IAAI,CAAC,CAAC,CAAC,KAAK,IAAI,CAAC,CAAC;AAAA,CAC1E;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,QAAQ,CAAC,IAAc,EAAiB;IAC7D,MAAM,eAAe,EAAE,CAAC;IAExB,2EAAyE;IACzE,IAAI,aAAa,CAAC,IAAI,CAAC,EAAE,CAAC;QACzB,MAAM,EAAE,OAAO,EAAE,GAAG,MAAM,MAAM,CAAC,iBAAiB,CAAC,CAAC;QACpD,OAAO,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;QACrB,OAAO;IACR,CAAC;IAED,0EAA0E;IAC1E,4EAA0E;IAC1E,yEAAuE;IACvE,IAAI,IAAI,CAAC,QAAQ,CAAC,WAAW,CAAC,IAAI,kBAAkB,CAAC,OAAO,CAAC,GAAG,CAAC,UAAU,CAAC,EAAE,CAAC;QAC9E,OAAO,CAAC,GAAG,CAAC,UAAU,GAAG,GAAG,CAAC;QAC7B,OAAO,CAAC,GAAG,CAAC,qBAAqB,GAAG,GAAG,CAAC;IACzC,CAAC;IAED,wEAAwE;IACxE,4EAA0E;IAC1E,yEAAyE;IACzE,qCAAqC;IACrC,EAAE;IACF,yEAAyE;IACzE,6EAA2E;IAC3E,yCAAyC;IACzC,EAAE;IACF,gFAA+E;IAC/E,8EAA4E;IAC5E,+BAA+B;IAC/B,MAAM,EAAE,eAAe,EAAE,GAAG,MAAM,MAAM,CAAC,4BAA4B,CAAC,CAAC;IACvE,IAAI,MAAM,eAAe,CAAC,IAAI,CAAC;QAAE,OAAO;IAExC,8EAA6E;IAC7E,2EAA0E;IAC1E,+EAA+E;IAC/E,0EAAyE;IACzE,MAAM,EAAE,uBAAuB,EAAE,GAAG,MAAM,MAAM,CAAC,uBAAuB,CAAC,CAAC;IAC1E,uBAAuB,EAAE,CAAC;IAC1B,MAAM,EAAE,IAAI,EAAE,GAAG,MAAM,MAAM,CAAC,eAAe,CAAC,CAAC;IAC/C,MAAM,IAAI,CAAC,IAAI,CAAC,CAAC;AAAA,CACjB;AAED;;;;GAIG;AACH,SAAS,kBAAkB,CAAC,KAAyB,EAAW;IAC/D,IAAI,CAAC,KAAK;QAAE,OAAO,KAAK,CAAC;IACzB,OAAO,KAAK,KAAK,GAAG,IAAI,KAAK,CAAC,WAAW,EAAE,KAAK,MAAM,IAAI,KAAK,CAAC,WAAW,EAAE,KAAK,KAAK,CAAC;AAAA,CACxF","sourcesContent":["/**\n * Arranque del CLI con atajos: decide qué grafo de módulos hay que cargar ANTES\n * de cargarlo.\n *\n * Por qué existe. Medido en este árbol (Node 22, macOS, caché caliente):\n *\n *     node dist/cli.js --version   ->  1,65 s  y  1927 módulos cargados\n *     node -e \"\"                   ->  0,03 s\n *\n * (contados con un hook `load` de `node:module`; con `module.register()`, que va\n * en otro hilo y no ve algunas cargas, salen 1315 — el número de la puerta\n * `scripts/check-arranque.mjs` es el primero, para que se puedan comparar.)\n *\n * De esos 1927 módulos, 660 son de `typebox` (los esquemas de todas las tools),\n * 206 de `core/` y 171 de `packages/ai`. Ninguno hace falta para imprimir una\n * cadena de versión. El coste no era del lenguaje —Bun tardaba lo mismo— sino de\n * que `cli.ts` importaba `main.ts` de forma estática, y `main.ts` importa\n * ávidamente TODO su grafo (sdk, modos, extensiones, proveedores, motor de\n * control del ordenador) antes de mirar el primer argumento.\n *\n * Lo mismo pasaba con los subcomandos que ya estaban escritos para ser\n * perezosos: `runServeCommand` (audit, discover, banco, review, commit, wiki,\n * usage…) carga sus dependencias con `await import()`, pero se llamaba desde\n * dentro de `main()`, o sea DESPUÉS de haber pagado el grafo entero. La pereza\n * estaba construida y desenchufada.\n *\n * Enganche en upstream: UN solo hunk, el final de `src/cli.ts`. El resto vive\n * aquí, en un fichero nuestro.\n */\n\n/**\n * Prepara el proceso igual que hacía `cli.ts`: título, variables de entorno que\n * leen otros módulos y silenciado de avisos de Node.\n *\n * `configureHttpDispatcher()` NO se llama aquí: es el único trozo del preámbulo\n * que cuesta (carga `undici`, 221 módulos medidos) y solo hace falta cuando algo\n * va a hablar por red. Se llama justo antes de `main()` —donde `runAuthCommand`\n * ya usa la red— y dentro de `runServeCommand`, después de los subcomandos que\n * solo leen ficheros.\n */\nasync function prepararProceso(): Promise<void> {\n\tconst { APP_NAME } = await import(\"../../config.ts\");\n\tprocess.title = APP_NAME;\n\tprocess.env.PI_CODING_AGENT = \"true\";\n\tprocess.env.AI_AGENT = \"pi\";\n\tprocess.emitWarning = (() => {}) as typeof process.emitWarning;\n}\n\n/**\n * ¿Es una invocación que solo pide la versión y nada más?\n *\n * Se exige que sea el ÚNICO argumento a propósito. `ada-cli update --version`\n * lo consume `handlePackageCommand` dentro de `main()` con otro significado (la\n * versión a instalar), y atajarlo aquí cambiaría lo que hace ese comando. Un\n * atajo que se lleva por delante un caso legítimo es peor que no tener atajo.\n */\nexport function esSoloVersion(args: readonly string[]): boolean {\n\treturn args.length === 1 && (args[0] === \"--version\" || args[0] === \"-v\");\n}\n\n/**\n * Punto de entrada real del CLI. Devuelve cuando el trabajo ha terminado.\n *\n * Sin `options`: `cli.ts` nunca las pasó y el SDK no entra por aquí, sino por\n * `createAgentSession`. Un parámetro que nadie rellena es una mentira con tipo.\n */\nexport async function arrancar(args: string[]): Promise<void> {\n\tawait prepararProceso();\n\n\t// Atajo 1: la versión. `VERSION` sale de config.ts, que ya está cargado.\n\tif (esSoloVersion(args)) {\n\t\tconst { VERSION } = await import(\"../../config.ts\");\n\t\tconsole.log(VERSION);\n\t\treturn;\n\t}\n\n\t// `--offline` tiene que estar puesto en el entorno antes de que cualquier\n\t// módulo lo lea. Es lo mismo que hace `main()` en sus primeras líneas; se\n\t// repite aquí porque los subcomandos del atajo 2 ya no pasan por allí.\n\tif (args.includes(\"--offline\") || esBanderaVerdadera(process.env.PI_OFFLINE)) {\n\t\tprocess.env.PI_OFFLINE = \"1\";\n\t\tprocess.env.PI_SKIP_VERSION_CHECK = \"1\";\n\t}\n\n\t// Atajo 2: los subcomandos que no abren el TUI (audit, discover, banco,\n\t// review, commit, usage, wiki, serve, sessions, attach…). Ya cargaban sus\n\t// dependencias de forma perezosa; lo que se gana es no pagar el grafo de\n\t// `main.ts` para llegar hasta ellos.\n\t//\n\t// El orden respecto a `runAuthCommand` (que sigue dentro de `main()`) no\n\t// importa: `auth` no está en la lista de `isServeCommand`, así que los dos\n\t// conjuntos de argumentos son disjuntos.\n\t//\n\t// No se filtra con `isServeCommand` aquí: `runServeCommand` ya empieza por esa\n\t// misma comprobación y devuelve false. Repetirla solo abría la puerta a que\n\t// las dos listas se separaran.\n\tconst { runServeCommand } = await import(\"../../cli/serve-command.ts\");\n\tif (await runServeCommand(args)) return;\n\n\t// Camino normal: el CLI completo. El dispatcher se configura aquí y no antes\n\t// porque `undici` son 221 módulos medidos y los subcomandos que solo leen\n\t// ficheros no los necesitan. Tiene que ser ANTES de `main()`: `runAuthCommand`\n\t// usa la red en las primeras líneas de main, antes de su propia llamada.\n\tconst { configureHttpDispatcher } = await import(\"../http-dispatcher.ts\");\n\tconfigureHttpDispatcher();\n\tconst { main } = await import(\"../../main.ts\");\n\tawait main(args);\n}\n\n/**\n * Copia local de la lectura de banderas de entorno de `main.ts`. Son cuatro\n * líneas y traerlas desde allí obligaría a cargar `main.ts`, que es justo lo que\n * este fichero existe para evitar.\n */\nfunction esBanderaVerdadera(value: string | undefined): boolean {\n\tif (!value) return false;\n\treturn value === \"1\" || value.toLowerCase() === \"true\" || value.toLowerCase() === \"yes\";\n}\n"]}