@hoilab/ada-cli 0.84.21 → 0.85.0

package/dist/core/estructural/tools.js

@@ -0,0 +1,100 @@
+/**
+ * `ast_search` y `ast_edit`: la búsqueda y la edición estructural, como tools
+ * del agente.
+ *
+ * El renderizado se deja al genérico (`ToolDefinition.renderCall/renderResult`
+ * son opcionales): igual que `crearBrowserTools`, la caja de texto por
+ * defecto ya vale para lo que devuelven estas dos.
+ */
+import { Type } from "typebox";
+import { resolveToCwd } from "../tools/path-utils.js";
+import { buscarEstructural } from "./buscar.js";
+import { editarEstructural } from "./editar.js";
+const AYUDA_PATRON = 'Patrón estructural "tipo:nombre". tipo es uno de: funcion, clase, tipo, llamada, import, propiedad. ' +
+    'Ejemplos: "funcion:procesarPedido", "clase:Cliente", "llamada:fetch", "import:react", "propiedad:id".';
+function rutasDe(pathParam, cwd) {
+    const crudas = (pathParam ?? ".")
+        .split(";")
+        .map((p) => p.trim())
+        .filter((p) => p.length > 0);
+    return (crudas.length > 0 ? crudas : ["."]).map((p) => resolveToCwd(p, cwd));
+}
+function texto(t) {
+    return { content: [{ type: "text", text: t }], details: undefined };
+}
+function avisoNoCubiertos(noCubiertos) {
+    if (noCubiertos.length === 0)
+        return "";
+    return `\n\nSin cobertura estructural (no es .ts/.tsx/.js/.jsx), no se han mirado: ${noCubiertos.join(", ")}`;
+}
+const astSearchSchema = Type.Object({
+    pat: Type.String({ description: AYUDA_PATRON }),
+    path: Type.Optional(Type.String({ description: 'Fichero o directorio a buscar; varios separados por ";" (default: ".")' })),
+});
+function crearAstSearchTool(cwd) {
+    return {
+        name: "ast_search",
+        label: "Búsqueda estructural",
+        promptSnippet: "buscar una declaración/llamada/import por su FORMA en el AST, no por texto (evita comentarios y cadenas)",
+        description: "Busca en código TypeScript/JavaScript por estructura sintáctica, no por texto: encuentra la declaración de una " +
+            "función/clase/tipo, una llamada, un import o una propiedad SIN que un comentario o una cadena que mencionen el " +
+            `mismo nombre cuenten como coincidencia. ${AYUDA_PATRON} Solo cubre .ts/.tsx/.js/.jsx (y variantes de módulo); ` +
+            "para otros lenguajes de programación lo dice explícitamente en vez de devolver cero resultados.",
+        parameters: astSearchSchema,
+        async execute(_toolCallId, { pat, path }) {
+            const raices = rutasDe(path, cwd);
+            const resultado = buscarEstructural(pat, raices, cwd);
+            if (resultado === null) {
+                throw new Error(`No se entiende el patrón "${pat}". ${AYUDA_PATRON}`);
+            }
+            const { coincidencias, noCubiertos } = resultado;
+            const cuerpo = coincidencias.length === 0
+                ? "No hay coincidencias estructurales."
+                : coincidencias.map((c) => `${c.ruta}:${c.linea}: ${c.fragmento}`).join("\n");
+            return texto(cuerpo + avisoNoCubiertos(noCubiertos));
+        },
+    };
+}
+const astEditSchema = Type.Object({
+    pat: Type.String({ description: AYUDA_PATRON }),
+    out: Type.String({
+        description: "Texto que sustituye a CADA nodo que coincida, completo (por ejemplo la declaración entera con el nuevo " +
+            "nombre). Las líneas 2+ se reindentan a la indentación del sitio.",
+    }),
+    path: Type.Optional(Type.String({ description: 'Fichero o directorio a editar; varios separados por ";" (default: ".")' })),
+});
+function crearAstEditTool(cwd) {
+    return {
+        name: "ast_edit",
+        label: "Edición estructural",
+        promptSnippet: "sustituir una declaración/llamada por su FORMA en el AST, sin tocar cadenas/comentarios que compartan el mismo texto",
+        description: "Reemplaza en código TypeScript/JavaScript el nodo que coincide con un patrón estructural (ver ast_search) " +
+            "por el texto de `out`, sin tocar cadenas ni comentarios que mencionen el mismo nombre porque no son ese nodo. " +
+            "Útil para renombrar una declaración con precisión donde un buscar-y-reemplazar de texto rompería otras cosas. " +
+            "Escribe los ficheros que cambian. Solo cubre .ts/.tsx/.js/.jsx; para otros lenguajes lo dice en vez de fingir que no había nada que cambiar.",
+        parameters: astEditSchema,
+        async execute(_toolCallId, { pat, out, path }) {
+            const raices = rutasDe(path, cwd);
+            const resultado = editarEstructural(pat, out, raices, cwd, { aplicar: true });
+            if (resultado === null) {
+                throw new Error(`No se entiende el patrón "${pat}". ${AYUDA_PATRON}`);
+            }
+            const { cambios, noCubiertos, rompieronParseo } = resultado;
+            if (cambios.length === 0) {
+                return texto(`No hay coincidencias estructurales; ningún fichero se ha tocado.${avisoNoCubiertos(noCubiertos)}`);
+            }
+            const cuerpo = cambios.map((c) => `${c.ruta}:${c.linea}:\n- ${c.antes}\n+ ${c.despues}`).join("\n\n");
+            const avisoRoto = rompieronParseo.length > 0
+                ? `\n\n⚠ Estos ficheros han quedado sintácticamente rotos tras la edición: ${rompieronParseo.join(", ")}. Arréglalos antes de seguir.`
+                : "";
+            return texto(`${cambios.length} cambio(s) aplicados.\n\n${cuerpo}${avisoRoto}${avisoNoCubiertos(noCubiertos)}`);
+        },
+    };
+}
+export function crearEstructuralTools(cwd) {
+    return {
+        ast_search: crearAstSearchTool(cwd),
+        ast_edit: crearAstEditTool(cwd),
+    };
+}
+//# sourceMappingURL=tools.js.map

package/dist/core/estructural/tools.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"tools.js","sourceRoot":"","sources":["../../../src/core/estructural/tools.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG;AAEH,OAAO,EAAE,IAAI,EAAE,MAAM,SAAS,CAAC;AAE/B,OAAO,EAAE,YAAY,EAAE,MAAM,wBAAwB,CAAC;AACtD,OAAO,EAAE,iBAAiB,EAAE,MAAM,aAAa,CAAC;AAChD,OAAO,EAAE,iBAAiB,EAAE,MAAM,aAAa,CAAC;AAEhD,MAAM,YAAY,GACjB,uGAAsG;IACtG,uGAAuG,CAAC;AAEzG,SAAS,OAAO,CAAC,SAA6B,EAAE,GAAW,EAAY;IACtE,MAAM,MAAM,GAAG,CAAC,SAAS,IAAI,GAAG,CAAC;SAC/B,KAAK,CAAC,GAAG,CAAC;SACV,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;SACpB,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC;IAC9B,OAAO,CAAC,MAAM,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,YAAY,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC,CAAC;AAAA,CAC7E;AAED,SAAS,KAAK,CAAC,CAAS,EAA4B;IACnD,OAAO,EAAE,OAAO,EAAE,CAAC,EAAE,IAAI,EAAE,MAAe,EAAE,IAAI,EAAE,CAAC,EAAE,CAAC,EAAE,OAAO,EAAE,SAAS,EAAE,CAAC;AAAA,CAC7E;AAED,SAAS,gBAAgB,CAAC,WAAqB,EAAU;IACxD,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC;QAAE,OAAO,EAAE,CAAC;IACxC,OAAO,8EAA8E,WAAW,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;AAAA,CAC9G;AAED,MAAM,eAAe,GAAG,IAAI,CAAC,MAAM,CAAC;IACnC,GAAG,EAAE,IAAI,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,YAAY,EAAE,CAAC;IAC/C,IAAI,EAAE,IAAI,CAAC,QAAQ,CAClB,IAAI,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,wEAAwE,EAAE,CAAC,CACtG;CACD,CAAC,CAAC;AAEH,SAAS,kBAAkB,CAAC,GAAW,EAA0C;IAChF,OAAO;QACN,IAAI,EAAE,YAAY;QAClB,KAAK,EAAE,uBAAsB;QAC7B,aAAa,EACZ,2GAA0G;QAC3G,WAAW,EACV,oHAAiH;YACjH,kHAAiH;YACjH,2CAA2C,YAAY,0DAAyD;YAChH,mGAAiG;QAClG,UAAU,EAAE,eAAe;QAC3B,KAAK,CAAC,OAAO,CAAC,WAAW,EAAE,EAAE,GAAG,EAAE,IAAI,EAAE,EAAqC;YAC5E,MAAM,MAAM,GAAG,OAAO,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC;YAClC,MAAM,SAAS,GAAG,iBAAiB,CAAC,GAAG,EAAE,MAAM,EAAE,GAAG,CAAC,CAAC;YACtD,IAAI,SAAS,KAAK,IAAI,EAAE,CAAC;gBACxB,MAAM,IAAI,KAAK,CAAC,8BAA6B,GAAG,MAAM,YAAY,EAAE,CAAC,CAAC;YACvE,CAAC;YACD,MAAM,EAAE,aAAa,EAAE,WAAW,EAAE,GAAG,SAAS,CAAC;YACjD,MAAM,MAAM,GACX,aAAa,CAAC,MAAM,KAAK,CAAC;gBACzB,CAAC,CAAC,qCAAqC;gBACvC,CAAC,CAAC,aAAa,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,IAAI,CAAC,CAAC,KAAK,KAAK,CAAC,CAAC,SAAS,EAAE,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;YAChF,OAAO,KAAK,CAAC,MAAM,GAAG,gBAAgB,CAAC,WAAW,CAAC,CAAC,CAAC;QAAA,CACrD;KACD,CAAC;AAAA,CACF;AAED,MAAM,aAAa,GAAG,IAAI,CAAC,MAAM,CAAC;IACjC,GAAG,EAAE,IAAI,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,YAAY,EAAE,CAAC;IAC/C,GAAG,EAAE,IAAI,CAAC,MAAM,CAAC;QAChB,WAAW,EACV,0GAAyG;YACzG,oEAAkE;KACnE,CAAC;IACF,IAAI,EAAE,IAAI,CAAC,QAAQ,CAClB,IAAI,CAAC,MAAM,CAAC,EAAE,WAAW,EAAE,wEAAwE,EAAE,CAAC,CACtG;CACD,CAAC,CAAC;AAEH,SAAS,gBAAgB,CAAC,GAAW,EAAwC;IAC5E,OAAO;QACN,IAAI,EAAE,UAAU;QAChB,KAAK,EAAE,sBAAqB;QAC5B,aAAa,EACZ,uHAAsH;QACvH,WAAW,EACV,8GAA4G;YAC5G,gHAAgH;YAChH,oHAAgH;YAChH,+IAA8I;QAC/I,UAAU,EAAE,aAAa;QACzB,KAAK,CAAC,OAAO,CAAC,WAAW,EAAE,EAAE,GAAG,EAAE,GAAG,EAAE,IAAI,EAAE,EAAqC;YACjF,MAAM,MAAM,GAAG,OAAO,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC;YAClC,MAAM,SAAS,GAAG,iBAAiB,CAAC,GAAG,EAAE,GAAG,EAAE,MAAM,EAAE,GAAG,EAAE,EAAE,OAAO,EAAE,IAAI,EAAE,CAAC,CAAC;YAC9E,IAAI,SAAS,KAAK,IAAI,EAAE,CAAC;gBACxB,MAAM,IAAI,KAAK,CAAC,8BAA6B,GAAG,MAAM,YAAY,EAAE,CAAC,CAAC;YACvE,CAAC;YACD,MAAM,EAAE,OAAO,EAAE,WAAW,EAAE,eAAe,EAAE,GAAG,SAAS,CAAC;YAC5D,IAAI,OAAO,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;gBAC1B,OAAO,KAAK,CACX,oEAAmE,gBAAgB,CAAC,WAAW,CAAC,EAAE,CAClG,CAAC;YACH,CAAC;YACD,MAAM,MAAM,GAAG,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,IAAI,CAAC,CAAC,KAAK,QAAQ,CAAC,CAAC,KAAK,OAAO,CAAC,CAAC,OAAO,EAAE,CAAC,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC;YACtG,MAAM,SAAS,GACd,eAAe,CAAC,MAAM,GAAG,CAAC;gBACzB,CAAC,CAAC,+EAA2E,eAAe,CAAC,IAAI,CAAC,IAAI,CAAC,gCAA+B;gBACtI,CAAC,CAAC,EAAE,CAAC;YACP,OAAO,KAAK,CACX,GAAG,OAAO,CAAC,MAAM,4BAA4B,MAAM,GAAG,SAAS,GAAG,gBAAgB,CAAC,WAAW,CAAC,EAAE,CACjG,CAAC;QAAA,CACF;KACD,CAAC;AAAA,CACF;AAED,MAAM,UAAU,qBAAqB,CAAC,GAAW,EAAkC;IAClF,OAAO;QACN,UAAU,EAAE,kBAAkB,CAAC,GAAG,CAAmB;QACrD,QAAQ,EAAE,gBAAgB,CAAC,GAAG,CAAmB;KACjD,CAAC;AAAA,CACF","sourcesContent":["/**\n * `ast_search` y `ast_edit`: la búsqueda y la edición estructural, como tools\n * del agente.\n *\n * El renderizado se deja al genérico (`ToolDefinition.renderCall/renderResult`\n * son opcionales): igual que `crearBrowserTools`, la caja de texto por\n * defecto ya vale para lo que devuelven estas dos.\n */\n\nimport { Type } from \"typebox\";\nimport type { AgentToolResult, ToolDefinition } from \"../extensions/types.ts\";\nimport { resolveToCwd } from \"../tools/path-utils.ts\";\nimport { buscarEstructural } from \"./buscar.ts\";\nimport { editarEstructural } from \"./editar.ts\";\n\nconst AYUDA_PATRON =\n\t'Patrón estructural \"tipo:nombre\". tipo es uno de: funcion, clase, tipo, llamada, import, propiedad. ' +\n\t'Ejemplos: \"funcion:procesarPedido\", \"clase:Cliente\", \"llamada:fetch\", \"import:react\", \"propiedad:id\".';\n\nfunction rutasDe(pathParam: string | undefined, cwd: string): string[] {\n\tconst crudas = (pathParam ?? \".\")\n\t\t.split(\";\")\n\t\t.map((p) => p.trim())\n\t\t.filter((p) => p.length > 0);\n\treturn (crudas.length > 0 ? crudas : [\".\"]).map((p) => resolveToCwd(p, cwd));\n}\n\nfunction texto(t: string): AgentToolResult<unknown> {\n\treturn { content: [{ type: \"text\" as const, text: t }], details: undefined };\n}\n\nfunction avisoNoCubiertos(noCubiertos: string[]): string {\n\tif (noCubiertos.length === 0) return \"\";\n\treturn `\\n\\nSin cobertura estructural (no es .ts/.tsx/.js/.jsx), no se han mirado: ${noCubiertos.join(\", \")}`;\n}\n\nconst astSearchSchema = Type.Object({\n\tpat: Type.String({ description: AYUDA_PATRON }),\n\tpath: Type.Optional(\n\t\tType.String({ description: 'Fichero o directorio a buscar; varios separados por \";\" (default: \".\")' }),\n\t),\n});\n\nfunction crearAstSearchTool(cwd: string): ToolDefinition<typeof astSearchSchema> {\n\treturn {\n\t\tname: \"ast_search\",\n\t\tlabel: \"Búsqueda estructural\",\n\t\tpromptSnippet:\n\t\t\t\"buscar una declaración/llamada/import por su FORMA en el AST, no por texto (evita comentarios y cadenas)\",\n\t\tdescription:\n\t\t\t\"Busca en código TypeScript/JavaScript por estructura sintáctica, no por texto: encuentra la declaración de una \" +\n\t\t\t\"función/clase/tipo, una llamada, un import o una propiedad SIN que un comentario o una cadena que mencionen el \" +\n\t\t\t`mismo nombre cuenten como coincidencia. ${AYUDA_PATRON} Solo cubre .ts/.tsx/.js/.jsx (y variantes de módulo); ` +\n\t\t\t\"para otros lenguajes de programación lo dice explícitamente en vez de devolver cero resultados.\",\n\t\tparameters: astSearchSchema,\n\t\tasync execute(_toolCallId, { pat, path }): Promise<AgentToolResult<unknown>> {\n\t\t\tconst raices = rutasDe(path, cwd);\n\t\t\tconst resultado = buscarEstructural(pat, raices, cwd);\n\t\t\tif (resultado === null) {\n\t\t\t\tthrow new Error(`No se entiende el patrón \"${pat}\". ${AYUDA_PATRON}`);\n\t\t\t}\n\t\t\tconst { coincidencias, noCubiertos } = resultado;\n\t\t\tconst cuerpo =\n\t\t\t\tcoincidencias.length === 0\n\t\t\t\t\t? \"No hay coincidencias estructurales.\"\n\t\t\t\t\t: coincidencias.map((c) => `${c.ruta}:${c.linea}: ${c.fragmento}`).join(\"\\n\");\n\t\t\treturn texto(cuerpo + avisoNoCubiertos(noCubiertos));\n\t\t},\n\t};\n}\n\nconst astEditSchema = Type.Object({\n\tpat: Type.String({ description: AYUDA_PATRON }),\n\tout: Type.String({\n\t\tdescription:\n\t\t\t\"Texto que sustituye a CADA nodo que coincida, completo (por ejemplo la declaración entera con el nuevo \" +\n\t\t\t\"nombre). Las líneas 2+ se reindentan a la indentación del sitio.\",\n\t}),\n\tpath: Type.Optional(\n\t\tType.String({ description: 'Fichero o directorio a editar; varios separados por \";\" (default: \".\")' }),\n\t),\n});\n\nfunction crearAstEditTool(cwd: string): ToolDefinition<typeof astEditSchema> {\n\treturn {\n\t\tname: \"ast_edit\",\n\t\tlabel: \"Edición estructural\",\n\t\tpromptSnippet:\n\t\t\t\"sustituir una declaración/llamada por su FORMA en el AST, sin tocar cadenas/comentarios que compartan el mismo texto\",\n\t\tdescription:\n\t\t\t\"Reemplaza en código TypeScript/JavaScript el nodo que coincide con un patrón estructural (ver ast_search) \" +\n\t\t\t\"por el texto de `out`, sin tocar cadenas ni comentarios que mencionen el mismo nombre porque no son ese nodo. \" +\n\t\t\t\"Útil para renombrar una declaración con precisión donde un buscar-y-reemplazar de texto rompería otras cosas. \" +\n\t\t\t\"Escribe los ficheros que cambian. Solo cubre .ts/.tsx/.js/.jsx; para otros lenguajes lo dice en vez de fingir que no había nada que cambiar.\",\n\t\tparameters: astEditSchema,\n\t\tasync execute(_toolCallId, { pat, out, path }): Promise<AgentToolResult<unknown>> {\n\t\t\tconst raices = rutasDe(path, cwd);\n\t\t\tconst resultado = editarEstructural(pat, out, raices, cwd, { aplicar: true });\n\t\t\tif (resultado === null) {\n\t\t\t\tthrow new Error(`No se entiende el patrón \"${pat}\". ${AYUDA_PATRON}`);\n\t\t\t}\n\t\t\tconst { cambios, noCubiertos, rompieronParseo } = resultado;\n\t\t\tif (cambios.length === 0) {\n\t\t\t\treturn texto(\n\t\t\t\t\t`No hay coincidencias estructurales; ningún fichero se ha tocado.${avisoNoCubiertos(noCubiertos)}`,\n\t\t\t\t);\n\t\t\t}\n\t\t\tconst cuerpo = cambios.map((c) => `${c.ruta}:${c.linea}:\\n- ${c.antes}\\n+ ${c.despues}`).join(\"\\n\\n\");\n\t\t\tconst avisoRoto =\n\t\t\t\trompieronParseo.length > 0\n\t\t\t\t\t? `\\n\\n⚠ Estos ficheros han quedado sintácticamente rotos tras la edición: ${rompieronParseo.join(\", \")}. Arréglalos antes de seguir.`\n\t\t\t\t\t: \"\";\n\t\t\treturn texto(\n\t\t\t\t`${cambios.length} cambio(s) aplicados.\\n\\n${cuerpo}${avisoRoto}${avisoNoCubiertos(noCubiertos)}`,\n\t\t\t);\n\t\t},\n\t};\n}\n\nexport function crearEstructuralTools(cwd: string): Record<string, ToolDefinition> {\n\treturn {\n\t\tast_search: crearAstSearchTool(cwd) as ToolDefinition,\n\t\tast_edit: crearAstEditTool(cwd) as ToolDefinition,\n\t};\n}\n"]}

package/dist/core/experimental.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"experimental.d.ts","sourceRoot":"","sources":["../../src/core/experimental.ts"],"names":[],"mappings":"AAEA,wBAAgB,8BAA8B,IAAI,OAAO,CAExD;AAED,wBAAgB,2BAA2B;;;cAE1C","sourcesContent":["const PREFER_STRICT_TOOL_SAMPLING = { type: \"json_schema\", strict: \"prefer\" } as const;\n\nexport function areExperimentalFeaturesEnabled(): boolean {\n\treturn process.env.PI_EXPERIMENTAL === \"1\";\n}\n\nexport function getExperimentalToolSampling() {\n\treturn areExperimentalFeaturesEnabled() ? PREFER_STRICT_TOOL_SAMPLING : undefined;\n}\n"]}
+{"version":3,"file":"experimental.d.ts","sourceRoot":"","sources":["../../src/core/experimental.ts"],"names":[],"mappings":"AAIA,wBAAgB,8BAA8B,IAAI,OAAO,CAExD;AAED,wBAAgB,2BAA2B;;;cAU1C","sourcesContent":["import { muestreoRestringidoActivo } from \"./muestreo-restringido.ts\";\n\nconst PREFER_STRICT_TOOL_SAMPLING = { type: \"json_schema\", strict: \"prefer\" } as const;\n\nexport function areExperimentalFeaturesEnabled(): boolean {\n\treturn process.env.PI_EXPERIMENTAL === \"1\";\n}\n\nexport function getExperimentalToolSampling() {\n\t// La decodificación restringida tiene su PROPIO interruptor desde\n\t// `core/muestreo-restringido.ts`. Antes solo se encendía con\n\t// `PI_EXPERIMENTAL=1`, que activa todo lo experimental a la vez: quien\n\t// quisiera probar solo esto tenía que aceptar lo demás, y en un equipo con\n\t// control de cambios eso significa no probarlo nunca.\n\t//\n\t// El defecto no cambia —sigue apagada— porque no está medida de punta a\n\t// punta. Ver el comentario de cabecera de ese fichero, con lo que sí se midió.\n\treturn muestreoRestringidoActivo() ? PREFER_STRICT_TOOL_SAMPLING : undefined;\n}\n"]}

package/dist/core/experimental.js

@@ -1,8 +1,17 @@
+import { muestreoRestringidoActivo } from "./muestreo-restringido.js";
 const PREFER_STRICT_TOOL_SAMPLING = { type: "json_schema", strict: "prefer" };
 export function areExperimentalFeaturesEnabled() {
     return process.env.PI_EXPERIMENTAL === "1";
 }
 export function getExperimentalToolSampling() {
-    return areExperimentalFeaturesEnabled() ? PREFER_STRICT_TOOL_SAMPLING : undefined;
+    // La decodificación restringida tiene su PROPIO interruptor desde
+    // `core/muestreo-restringido.ts`. Antes solo se encendía con
+    // `PI_EXPERIMENTAL=1`, que activa todo lo experimental a la vez: quien
+    // quisiera probar solo esto tenía que aceptar lo demás, y en un equipo con
+    // control de cambios eso significa no probarlo nunca.
+    //
+    // El defecto no cambia —sigue apagada— porque no está medida de punta a
+    // punta. Ver el comentario de cabecera de ese fichero, con lo que sí se midió.
+    return muestreoRestringidoActivo() ? PREFER_STRICT_TOOL_SAMPLING : undefined;
 }
 //# sourceMappingURL=experimental.js.map

package/dist/core/experimental.js.map

@@ -1 +1 @@
-{"version":3,"file":"experimental.js","sourceRoot":"","sources":["../../src/core/experimental.ts"],"names":[],"mappings":"AAAA,MAAM,2BAA2B,GAAG,EAAE,IAAI,EAAE,aAAa,EAAE,MAAM,EAAE,QAAQ,EAAW,CAAC;AAEvF,MAAM,UAAU,8BAA8B,GAAY;IACzD,OAAO,OAAO,CAAC,GAAG,CAAC,eAAe,KAAK,GAAG,CAAC;AAAA,CAC3C;AAED,MAAM,UAAU,2BAA2B,GAAG;IAC7C,OAAO,8BAA8B,EAAE,CAAC,CAAC,CAAC,2BAA2B,CAAC,CAAC,CAAC,SAAS,CAAC;AAAA,CAClF","sourcesContent":["const PREFER_STRICT_TOOL_SAMPLING = { type: \"json_schema\", strict: \"prefer\" } as const;\n\nexport function areExperimentalFeaturesEnabled(): boolean {\n\treturn process.env.PI_EXPERIMENTAL === \"1\";\n}\n\nexport function getExperimentalToolSampling() {\n\treturn areExperimentalFeaturesEnabled() ? PREFER_STRICT_TOOL_SAMPLING : undefined;\n}\n"]}
+{"version":3,"file":"experimental.js","sourceRoot":"","sources":["../../src/core/experimental.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,yBAAyB,EAAE,MAAM,2BAA2B,CAAC;AAEtE,MAAM,2BAA2B,GAAG,EAAE,IAAI,EAAE,aAAa,EAAE,MAAM,EAAE,QAAQ,EAAW,CAAC;AAEvF,MAAM,UAAU,8BAA8B,GAAY;IACzD,OAAO,OAAO,CAAC,GAAG,CAAC,eAAe,KAAK,GAAG,CAAC;AAAA,CAC3C;AAED,MAAM,UAAU,2BAA2B,GAAG;IAC7C,mEAAkE;IAClE,8DAA6D;IAC7D,uEAAuE;IACvE,6EAA2E;IAC3E,sDAAsD;IACtD,EAAE;IACF,6EAAwE;IACxE,iFAA+E;IAC/E,OAAO,yBAAyB,EAAE,CAAC,CAAC,CAAC,2BAA2B,CAAC,CAAC,CAAC,SAAS,CAAC;AAAA,CAC7E","sourcesContent":["import { muestreoRestringidoActivo } from \"./muestreo-restringido.ts\";\n\nconst PREFER_STRICT_TOOL_SAMPLING = { type: \"json_schema\", strict: \"prefer\" } as const;\n\nexport function areExperimentalFeaturesEnabled(): boolean {\n\treturn process.env.PI_EXPERIMENTAL === \"1\";\n}\n\nexport function getExperimentalToolSampling() {\n\t// La decodificación restringida tiene su PROPIO interruptor desde\n\t// `core/muestreo-restringido.ts`. Antes solo se encendía con\n\t// `PI_EXPERIMENTAL=1`, que activa todo lo experimental a la vez: quien\n\t// quisiera probar solo esto tenía que aceptar lo demás, y en un equipo con\n\t// control de cambios eso significa no probarlo nunca.\n\t//\n\t// El defecto no cambia —sigue apagada— porque no está medida de punta a\n\t// punta. Ver el comentario de cabecera de ese fichero, con lo que sí se midió.\n\treturn muestreoRestringidoActivo() ? PREFER_STRICT_TOOL_SAMPLING : undefined;\n}\n"]}

package/dist/core/extensiones/suplantacion.d.ts

@@ -0,0 +1,49 @@
+/**
+ * Registro de tools de builtin SUPLANTADAS por una extensión.
+ *
+ * Módulo hoja a propósito: no importa nada. `aprobacion/politica.ts` lo consulta
+ * en `nivelDe()` y `extensiones/vigilancia.ts` lo escribe; si el registro
+ * viviera en cualquiera de los dos habría un ciclo de imports entre ellos.
+ *
+ * El defecto que motiva esto se comprobó ejecutando: una extensión llama
+ * `pi.registerTool({ name: "read", … })`, el loader hace `tools.set("read", …)`
+ * sin mirar nada, y `agent-session._refreshToolRegistry()` la pone ENCIMA de la
+ * builtin (`toolRegistry.set(tool.name, tool)` después de las builtin). A partir
+ * de ahí:
+ *
+ *   - el modelo cree que llama a nuestro `read`, que solo lee;
+ *   - `politica.nivelDe("read")` devolvía "lectura", así que la política la
+ *     dejaba pasar SIEMPRE, en cualquier modo, sin preguntar;
+ *   - y el usuario no veía ninguna diferencia en pantalla.
+ *
+ * Es decir: un `read` que en realidad escribe, con el nivel de confianza de un
+ * `read`. Lo que se anota aquí es lo que quita ese nivel heredado.
+ *
+ * Se registra el nombre y QUIÉN lo suplanta: un aviso sin la ruta de la
+ * extensión no es accionable, y lo que no se puede accionar se ignora.
+ */
+/**
+ * Anota que `nombre` ya no es la builtin, sino lo que trae `rutaExtension`.
+ *
+ * Idempotente por (nombre, ruta): recargar extensiones vuelve a pasar por aquí.
+ */
+export declare function anotarSuplantacion(nombre: string, rutaExtension: string): void;
+/**
+ * Olvida lo que anotó una extensión concreta.
+ *
+ * Hace falta porque las extensiones se recargan en caliente (`ctx.reload()`):
+ * sin esto, quitar la extensión dejaría la marca puesta para siempre y el aviso
+ * pasaría a ser un falso positivo — exactamente el fallo que vuelve inútil un
+ * detector.
+ */
+export declare function olvidarSuplantacionesDe(rutaExtension: string): void;
+/** Quién suplanta `nombre`, o `undefined` si nadie. */
+export declare function suplantadaPor(nombre: string): string | undefined;
+/** Todo lo suplantado, para enseñarlo. */
+export declare function suplantacionesActivas(): Array<{
+    nombre: string;
+    extension: string;
+}>;
+/** Vacía el registro. Solo para pruebas: el estado es de proceso. */
+export declare function olvidarSuplantaciones(): void;
+//# sourceMappingURL=suplantacion.d.ts.map

package/dist/core/extensiones/suplantacion.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"suplantacion.d.ts","sourceRoot":"","sources":["../../../src/core/extensiones/suplantacion.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AAKH;;;;GAIG;AACH,wBAAgB,kBAAkB,CAAC,MAAM,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,GAAG,IAAI,CAE9E;AAED;;;;;;;GAOG;AACH,wBAAgB,uBAAuB,CAAC,aAAa,EAAE,MAAM,GAAG,IAAI,CAInE;AAED,wDAAuD;AACvD,wBAAgB,aAAa,CAAC,MAAM,EAAE,MAAM,GAAG,MAAM,GAAG,SAAS,CAEhE;AAED,2CAA0C;AAC1C,wBAAgB,qBAAqB,IAAI,KAAK,CAAC;IAAE,MAAM,EAAE,MAAM,CAAC;IAAC,SAAS,EAAE,MAAM,CAAA;CAAE,CAAC,CAEpF;AAED,sEAAqE;AACrE,wBAAgB,qBAAqB,IAAI,IAAI,CAE5C","sourcesContent":["/**\n * Registro de tools de builtin SUPLANTADAS por una extensión.\n *\n * Módulo hoja a propósito: no importa nada. `aprobacion/politica.ts` lo consulta\n * en `nivelDe()` y `extensiones/vigilancia.ts` lo escribe; si el registro\n * viviera en cualquiera de los dos habría un ciclo de imports entre ellos.\n *\n * El defecto que motiva esto se comprobó ejecutando: una extensión llama\n * `pi.registerTool({ name: \"read\", … })`, el loader hace `tools.set(\"read\", …)`\n * sin mirar nada, y `agent-session._refreshToolRegistry()` la pone ENCIMA de la\n * builtin (`toolRegistry.set(tool.name, tool)` después de las builtin). A partir\n * de ahí:\n *\n *   - el modelo cree que llama a nuestro `read`, que solo lee;\n *   - `politica.nivelDe(\"read\")` devolvía \"lectura\", así que la política la\n *     dejaba pasar SIEMPRE, en cualquier modo, sin preguntar;\n *   - y el usuario no veía ninguna diferencia en pantalla.\n *\n * Es decir: un `read` que en realidad escribe, con el nivel de confianza de un\n * `read`. Lo que se anota aquí es lo que quita ese nivel heredado.\n *\n * Se registra el nombre y QUIÉN lo suplanta: un aviso sin la ruta de la\n * extensión no es accionable, y lo que no se puede accionar se ignora.\n */\n\n/** nombre de la tool → ruta de la extensión que la suplanta. */\nconst suplantadas = new Map<string, string>();\n\n/**\n * Anota que `nombre` ya no es la builtin, sino lo que trae `rutaExtension`.\n *\n * Idempotente por (nombre, ruta): recargar extensiones vuelve a pasar por aquí.\n */\nexport function anotarSuplantacion(nombre: string, rutaExtension: string): void {\n\tsuplantadas.set(nombre, rutaExtension);\n}\n\n/**\n * Olvida lo que anotó una extensión concreta.\n *\n * Hace falta porque las extensiones se recargan en caliente (`ctx.reload()`):\n * sin esto, quitar la extensión dejaría la marca puesta para siempre y el aviso\n * pasaría a ser un falso positivo — exactamente el fallo que vuelve inútil un\n * detector.\n */\nexport function olvidarSuplantacionesDe(rutaExtension: string): void {\n\tfor (const [nombre, ruta] of suplantadas) {\n\t\tif (ruta === rutaExtension) suplantadas.delete(nombre);\n\t}\n}\n\n/** Quién suplanta `nombre`, o `undefined` si nadie. */\nexport function suplantadaPor(nombre: string): string | undefined {\n\treturn suplantadas.get(nombre);\n}\n\n/** Todo lo suplantado, para enseñarlo. */\nexport function suplantacionesActivas(): Array<{ nombre: string; extension: string }> {\n\treturn [...suplantadas].map(([nombre, extension]) => ({ nombre, extension }));\n}\n\n/** Vacía el registro. Solo para pruebas: el estado es de proceso. */\nexport function olvidarSuplantaciones(): void {\n\tsuplantadas.clear();\n}\n"]}

package/dist/core/extensiones/suplantacion.js

@@ -0,0 +1,61 @@
+/**
+ * Registro de tools de builtin SUPLANTADAS por una extensión.
+ *
+ * Módulo hoja a propósito: no importa nada. `aprobacion/politica.ts` lo consulta
+ * en `nivelDe()` y `extensiones/vigilancia.ts` lo escribe; si el registro
+ * viviera en cualquiera de los dos habría un ciclo de imports entre ellos.
+ *
+ * El defecto que motiva esto se comprobó ejecutando: una extensión llama
+ * `pi.registerTool({ name: "read", … })`, el loader hace `tools.set("read", …)`
+ * sin mirar nada, y `agent-session._refreshToolRegistry()` la pone ENCIMA de la
+ * builtin (`toolRegistry.set(tool.name, tool)` después de las builtin). A partir
+ * de ahí:
+ *
+ *   - el modelo cree que llama a nuestro `read`, que solo lee;
+ *   - `politica.nivelDe("read")` devolvía "lectura", así que la política la
+ *     dejaba pasar SIEMPRE, en cualquier modo, sin preguntar;
+ *   - y el usuario no veía ninguna diferencia en pantalla.
+ *
+ * Es decir: un `read` que en realidad escribe, con el nivel de confianza de un
+ * `read`. Lo que se anota aquí es lo que quita ese nivel heredado.
+ *
+ * Se registra el nombre y QUIÉN lo suplanta: un aviso sin la ruta de la
+ * extensión no es accionable, y lo que no se puede accionar se ignora.
+ */
+/** nombre de la tool → ruta de la extensión que la suplanta. */
+const suplantadas = new Map();
+/**
+ * Anota que `nombre` ya no es la builtin, sino lo que trae `rutaExtension`.
+ *
+ * Idempotente por (nombre, ruta): recargar extensiones vuelve a pasar por aquí.
+ */
+export function anotarSuplantacion(nombre, rutaExtension) {
+    suplantadas.set(nombre, rutaExtension);
+}
+/**
+ * Olvida lo que anotó una extensión concreta.
+ *
+ * Hace falta porque las extensiones se recargan en caliente (`ctx.reload()`):
+ * sin esto, quitar la extensión dejaría la marca puesta para siempre y el aviso
+ * pasaría a ser un falso positivo — exactamente el fallo que vuelve inútil un
+ * detector.
+ */
+export function olvidarSuplantacionesDe(rutaExtension) {
+    for (const [nombre, ruta] of suplantadas) {
+        if (ruta === rutaExtension)
+            suplantadas.delete(nombre);
+    }
+}
+/** Quién suplanta `nombre`, o `undefined` si nadie. */
+export function suplantadaPor(nombre) {
+    return suplantadas.get(nombre);
+}
+/** Todo lo suplantado, para enseñarlo. */
+export function suplantacionesActivas() {
+    return [...suplantadas].map(([nombre, extension]) => ({ nombre, extension }));
+}
+/** Vacía el registro. Solo para pruebas: el estado es de proceso. */
+export function olvidarSuplantaciones() {
+    suplantadas.clear();
+}
+//# sourceMappingURL=suplantacion.js.map

package/dist/core/extensiones/suplantacion.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"suplantacion.js","sourceRoot":"","sources":["../../../src/core/extensiones/suplantacion.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AAEH,mEAAgE;AAChE,MAAM,WAAW,GAAG,IAAI,GAAG,EAAkB,CAAC;AAE9C;;;;GAIG;AACH,MAAM,UAAU,kBAAkB,CAAC,MAAc,EAAE,aAAqB,EAAQ;IAC/E,WAAW,CAAC,GAAG,CAAC,MAAM,EAAE,aAAa,CAAC,CAAC;AAAA,CACvC;AAED;;;;;;;GAOG;AACH,MAAM,UAAU,uBAAuB,CAAC,aAAqB,EAAQ;IACpE,KAAK,MAAM,CAAC,MAAM,EAAE,IAAI,CAAC,IAAI,WAAW,EAAE,CAAC;QAC1C,IAAI,IAAI,KAAK,aAAa;YAAE,WAAW,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC;IACxD,CAAC;AAAA,CACD;AAED,wDAAuD;AACvD,MAAM,UAAU,aAAa,CAAC,MAAc,EAAsB;IACjE,OAAO,WAAW,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;AAAA,CAC/B;AAED,2CAA0C;AAC1C,MAAM,UAAU,qBAAqB,GAAiD;IACrF,OAAO,CAAC,GAAG,WAAW,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,MAAM,EAAE,SAAS,CAAC,EAAE,EAAE,CAAC,CAAC,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC,CAAC,CAAC;AAAA,CAC9E;AAED,sEAAqE;AACrE,MAAM,UAAU,qBAAqB,GAAS;IAC7C,WAAW,CAAC,KAAK,EAAE,CAAC;AAAA,CACpB","sourcesContent":["/**\n * Registro de tools de builtin SUPLANTADAS por una extensión.\n *\n * Módulo hoja a propósito: no importa nada. `aprobacion/politica.ts` lo consulta\n * en `nivelDe()` y `extensiones/vigilancia.ts` lo escribe; si el registro\n * viviera en cualquiera de los dos habría un ciclo de imports entre ellos.\n *\n * El defecto que motiva esto se comprobó ejecutando: una extensión llama\n * `pi.registerTool({ name: \"read\", … })`, el loader hace `tools.set(\"read\", …)`\n * sin mirar nada, y `agent-session._refreshToolRegistry()` la pone ENCIMA de la\n * builtin (`toolRegistry.set(tool.name, tool)` después de las builtin). A partir\n * de ahí:\n *\n *   - el modelo cree que llama a nuestro `read`, que solo lee;\n *   - `politica.nivelDe(\"read\")` devolvía \"lectura\", así que la política la\n *     dejaba pasar SIEMPRE, en cualquier modo, sin preguntar;\n *   - y el usuario no veía ninguna diferencia en pantalla.\n *\n * Es decir: un `read` que en realidad escribe, con el nivel de confianza de un\n * `read`. Lo que se anota aquí es lo que quita ese nivel heredado.\n *\n * Se registra el nombre y QUIÉN lo suplanta: un aviso sin la ruta de la\n * extensión no es accionable, y lo que no se puede accionar se ignora.\n */\n\n/** nombre de la tool → ruta de la extensión que la suplanta. */\nconst suplantadas = new Map<string, string>();\n\n/**\n * Anota que `nombre` ya no es la builtin, sino lo que trae `rutaExtension`.\n *\n * Idempotente por (nombre, ruta): recargar extensiones vuelve a pasar por aquí.\n */\nexport function anotarSuplantacion(nombre: string, rutaExtension: string): void {\n\tsuplantadas.set(nombre, rutaExtension);\n}\n\n/**\n * Olvida lo que anotó una extensión concreta.\n *\n * Hace falta porque las extensiones se recargan en caliente (`ctx.reload()`):\n * sin esto, quitar la extensión dejaría la marca puesta para siempre y el aviso\n * pasaría a ser un falso positivo — exactamente el fallo que vuelve inútil un\n * detector.\n */\nexport function olvidarSuplantacionesDe(rutaExtension: string): void {\n\tfor (const [nombre, ruta] of suplantadas) {\n\t\tif (ruta === rutaExtension) suplantadas.delete(nombre);\n\t}\n}\n\n/** Quién suplanta `nombre`, o `undefined` si nadie. */\nexport function suplantadaPor(nombre: string): string | undefined {\n\treturn suplantadas.get(nombre);\n}\n\n/** Todo lo suplantado, para enseñarlo. */\nexport function suplantacionesActivas(): Array<{ nombre: string; extension: string }> {\n\treturn [...suplantadas].map(([nombre, extension]) => ({ nombre, extension }));\n}\n\n/** Vacía el registro. Solo para pruebas: el estado es de proceso. */\nexport function olvidarSuplantaciones(): void {\n\tsuplantadas.clear();\n}\n"]}

package/dist/core/extensiones/vigilancia.d.ts

@@ -0,0 +1,54 @@
+/**
+ * Todo lo que Ada añade a la API que reciben las extensiones, en un punto.
+ *
+ * Dos agujeros comprobados EJECUTANDO una extensión de prueba (la salida está en
+ * `test/extensiones-vigilancia.test.ts`, que reproduce las dos):
+ *
+ * 1. `pi.exec` no pasaba por NADA. Llamaba a `execCommand` directo, así que una
+ *    extensión leía `~/.ada/agent/vault/` y `auth.json` con un `cat` y no
+ *    quedaba ni una línea en el libro de sesión. La política le deniega el vault
+ *    al AGENTE y una extensión lo leía sin registro: una puerta lateral que
+ *    vacía el argumento de cumplimiento entero.
+ *
+ * 2. `pi.registerTool` aceptaba el nombre de una builtin sin decir nada, y
+ *    `agent-session._refreshToolRegistry()` la pone encima de la nuestra. Un
+ *    `read` que en realidad escribe, con el nivel de confianza de un `read`.
+ *
+ * Se engancha en UN SOLO punto de upstream (`extensions/loader.ts`, en el
+ * `return api` de `createExtensionAPI`) en vez de parchear cada método por
+ * separado. La cuenta: parchear `exec` y `registerTool` en su sitio son dos
+ * hunks más el import; envolver el objeto al salir es uno más el import, y
+ * cualquier guarda futura sobre la API de extensiones ya no paga ninguno.
+ *
+ * Lo que esto NO es: un sandbox. Una extensión es código con `require` que puede
+ * llamar a `node:child_process` por su cuenta y saltarse esto entero. Lo que
+ * `pi.exec` sí puede dar —y no daba— es que el camino OFICIAL respete la política
+ * y quede registrado. La contención de verdad la pone el sistema operativo.
+ */
+import type { LibroDeSesion } from "../audit/libro.ts";
+import type { Extension, ExtensionAPI } from "../extensions/types.ts";
+/**
+ * `RegistroDeSesion` publica aquí su libro para que `pi.exec` escriba en el
+ * MISMO fichero que las llamadas del agente.
+ *
+ * Se publica un getter y no el libro porque `RegistroDeSesion.libro()` es
+ * perezoso a propósito: crear el directorio de una sesión que no hace nada
+ * borraría la diferencia entre "no hay registro" y "no hizo nada".
+ */
+export declare function publicarLibroDeSesion(getter: () => LibroDeSesion): void;
+/** Solo para pruebas: vuelve al estado "no hay sesión publicada". */
+export declare function olvidarLibroDeSesion(): void;
+export declare function publicarAgentDir(dir: string): void;
+/** Solo para pruebas: vuelve al agentDir global. */
+export declare function olvidarAgentDir(): void;
+/**
+ * Envuelve la API de una extensión. Punto único de enganche con upstream.
+ *
+ * Las extensiones EN LÍNEA (`<inline:…>`, `<sdk:…>`) se dejan pasar sin marcar:
+ * son código del propio programa que incrusta Ada —el SDK que personaliza `bash`
+ * con `createBashTool`, el escritorio— no un fichero que un tercero ha dejado en
+ * `.ada/extensions/`. Marcarlas sería un falso positivo, y un detector que grita
+ * sobre el caso benigno vuelve indistinguible el caso real.
+ */
+export declare function vigilarExtension(api: ExtensionAPI, extension: Extension, cwd: string, agentDir: string): ExtensionAPI;
+//# sourceMappingURL=vigilancia.d.ts.map

package/dist/core/extensiones/vigilancia.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"vigilancia.d.ts","sourceRoot":"","sources":["../../../src/core/extensiones/vigilancia.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AAGH,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,mBAAmB,CAAC;AAGvD,OAAO,KAAK,EAAE,SAAS,EAAE,YAAY,EAAkB,MAAM,wBAAwB,CAAC;AAkBtF;;;;;;;GAOG;AACH,wBAAgB,qBAAqB,CAAC,MAAM,EAAE,MAAM,aAAa,GAAG,IAAI,CAEvE;AAED,sEAAqE;AACrE,wBAAgB,oBAAoB,IAAI,IAAI,CAG3C;AAuBD,wBAAgB,gBAAgB,CAAC,GAAG,EAAE,MAAM,GAAG,IAAI,CAElD;AAED,oDAAoD;AACpD,wBAAgB,eAAe,IAAI,IAAI,CAEtC;AA8GD;;;;;;;;GAQG;AACH,wBAAgB,gBAAgB,CAAC,GAAG,EAAE,YAAY,EAAE,SAAS,EAAE,SAAS,EAAE,GAAG,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,GAAG,YAAY,CAwBrH","sourcesContent":["/**\n * Todo lo que Ada añade a la API que reciben las extensiones, en un punto.\n *\n * Dos agujeros comprobados EJECUTANDO una extensión de prueba (la salida está en\n * `test/extensiones-vigilancia.test.ts`, que reproduce las dos):\n *\n * 1. `pi.exec` no pasaba por NADA. Llamaba a `execCommand` directo, así que una\n *    extensión leía `~/.ada/agent/vault/` y `auth.json` con un `cat` y no\n *    quedaba ni una línea en el libro de sesión. La política le deniega el vault\n *    al AGENTE y una extensión lo leía sin registro: una puerta lateral que\n *    vacía el argumento de cumplimiento entero.\n *\n * 2. `pi.registerTool` aceptaba el nombre de una builtin sin decir nada, y\n *    `agent-session._refreshToolRegistry()` la pone encima de la nuestra. Un\n *    `read` que en realidad escribe, con el nivel de confianza de un `read`.\n *\n * Se engancha en UN SOLO punto de upstream (`extensions/loader.ts`, en el\n * `return api` de `createExtensionAPI`) en vez de parchear cada método por\n * separado. La cuenta: parchear `exec` y `registerTool` en su sitio son dos\n * hunks más el import; envolver el objeto al salir es uno más el import, y\n * cualquier guarda futura sobre la API de extensiones ya no paga ninguno.\n *\n * Lo que esto NO es: un sandbox. Una extensión es código con `require` que puede\n * llamar a `node:child_process` por su cuenta y saltarse esto entero. Lo que\n * `pi.exec` sí puede dar —y no daba— es que el camino OFICIAL respete la política\n * y quede registrado. La contención de verdad la pone el sistema operativo.\n */\n\nimport { decidir, esNombreDeToolNuestra } from \"../aprobacion/politica.ts\";\nimport type { LibroDeSesion } from \"../audit/libro.ts\";\nimport { LibroDeSesion as LibroDeSesionClase } from \"../audit/libro.ts\";\nimport { type ExecOptions, type ExecResult, execCommand } from \"../exec.ts\";\nimport type { Extension, ExtensionAPI, ToolDefinition } from \"../extensions/types.ts\";\nimport { anotarSuplantacion, olvidarSuplantacionesDe } from \"./suplantacion.ts\";\n\n/**\n * Código de salida de una llamada denegada.\n *\n * 126 es el que usa el shell para \"existe pero no se puede ejecutar\", que es\n * exactamente esto. Cero no valdría: la extensión leería un `stdout` vacío como\n * \"el fichero está vacío\" en vez de como \"no me han dejado\", y ese es justo el\n * fallo-que-parece-éxito que perseguimos.\n */\nconst CODIGO_DENEGADO = 126;\n\n/** El libro de la sesión viva. Lo publica `audit/registro-sesion.ts` al construirse. */\nlet obtenerLibroDeSesion: (() => LibroDeSesion) | undefined;\n/** Libro de respaldo, si una extensión ejecuta algo sin sesión (durante la carga). */\nlet libroSuelto: LibroDeSesion | undefined;\n\n/**\n * `RegistroDeSesion` publica aquí su libro para que `pi.exec` escriba en el\n * MISMO fichero que las llamadas del agente.\n *\n * Se publica un getter y no el libro porque `RegistroDeSesion.libro()` es\n * perezoso a propósito: crear el directorio de una sesión que no hace nada\n * borraría la diferencia entre \"no hay registro\" y \"no hizo nada\".\n */\nexport function publicarLibroDeSesion(getter: () => LibroDeSesion): void {\n\tobtenerLibroDeSesion = getter;\n}\n\n/** Solo para pruebas: vuelve al estado \"no hay sesión publicada\". */\nexport function olvidarLibroDeSesion(): void {\n\tobtenerLibroDeSesion = undefined;\n\tlibroSuelto = undefined;\n}\n\n/**\n * El `agentDir` que hay que proteger, cuando NO es el global.\n *\n * `vigilarExtension` recibe uno, pero quien lo llama —`createExtensionAPI` en\n * `extensions/loader.ts`— no lo tiene en ámbito y pasa `getAgentDir()`. Eso vale\n * para el CLI, donde los dos coinciden, y falla justo donde importa para\n * empresa: quien embeba el SDK con un `agentDir` propio (un servicio\n * multi-inquilino, una prueba, un contenedor por cliente) tendría la guarda\n * protegiendo el directorio EQUIVOCADO — denegaría el vault de la máquina y\n * dejaría abierto el del inquilino.\n *\n * Medido: con un agentDir temporal, una extensión leyó la clave del vault y el\n * `auth.json` enteros; con el real, las dos lecturas salen denegadas.\n *\n * Se resuelve publicando, y no pasándolo por parámetro, porque enhebrarlo por\n * `loadExtension` → `loadExtensionFromFactory` → `createExtensionAPI` costaba 4\n * hunks del presupuesto de fork (121 → 125) y esto cuesta 0: `vigilancia.ts` es\n * nuestro y `discoverAndLoadExtensions` SÍ tiene el agentDir en ámbito.\n */\nlet agentDirPublicado: string | undefined;\n\nexport function publicarAgentDir(dir: string): void {\n\tagentDirPublicado = dir;\n}\n\n/** Solo para pruebas: vuelve al agentDir global. */\nexport function olvidarAgentDir(): void {\n\tagentDirPublicado = undefined;\n}\n\n/**\n * El libro donde anotar.\n *\n * Si no hay sesión publicada —una extensión que ejecuta algo en su factory, un\n * proceso sin `AgentSession`— se abre uno propio con id `extension` en vez de no\n * anotar. \"No hay sesión\" no puede significar \"no hay registro\": es la excusa\n * con la que un agujero se queda sin rastro.\n */\nfunction libro(agentDir: string): LibroDeSesion {\n\tif (obtenerLibroDeSesion) return obtenerLibroDeSesion();\n\tlibroSuelto ??= new LibroDeSesionClase(agentDir, \"extension\");\n\treturn libroSuelto;\n}\n\n/**\n * `pi.exec` con la política y el libro del agente.\n *\n * Se reutiliza `decidir()` en vez de escribir otra lista de rutas: dos listas de\n * lo que no se puede tocar divergen, y la que se queda corta es la que se usa.\n *\n * `modo: \"yolo\"` NO es un descuido y es la única decisión discutible de aquí. En\n * `decidir()` el modo solo gobierna el paso 4; los pasos 1 a 3 —rutas\n * protegidas, ficheros generados y el deny del usuario— van por delante y no los\n * levanta ningún modo. Eso es justo lo que hace falta: lo que el modo decide es\n * si se le PREGUNTA al usuario, y una extensión ejecutando código en su factory\n * no tiene a quién preguntar. Pasar el modo real convertiría `manual` (preguntar\n * siempre) en \"denegar toda extensión\", que rompe las extensiones legítimas sin\n * cerrar ningún agujero.\n */\nasync function ejecutarVigilado(\n\trutaExtension: string,\n\tagentDir: string,\n\tcommand: string,\n\targs: string[],\n\tcwd: string,\n\toptions?: ExecOptions,\n): Promise<ExecResult> {\n\tconst argv = [command, ...args];\n\tconst decision = decidir({\n\t\t// Nombre propio y no \"bash\": en el libro hay que poder separar lo que\n\t\t// ejecutó una extensión de lo que ejecutó el modelo. `nivelDe` no lo\n\t\t// conoce, así que cae en \"ejecucion\", que es lo correcto.\n\t\ttool: \"pi.exec\",\n\t\targs: { command, args, cwd: options?.cwd ?? cwd },\n\t\tmodo: \"yolo\",\n\t\tagentDir,\n\t});\n\n\tif (decision.veredicto === \"denegada\") {\n\t\tawait libro(agentDir).anotar({\n\t\t\ttipo: \"comando\",\n\t\t\targv,\n\t\t\tcodigo: CODIGO_DENEGADO,\n\t\t\tsandbox: \"bloqueado\",\n\t\t\tviolaciones: [decision.politica],\n\t\t\torigen: \"extension\",\n\t\t\textension: rutaExtension,\n\t\t});\n\t\treturn {\n\t\t\tstdout: \"\",\n\t\t\t// El motivo va en `stderr` y no en una excepción para que la extensión\n\t\t\t// pueda enseñarlo tal cual; el código distinto de cero es lo que impide\n\t\t\t// leerlo como éxito.\n\t\t\tstderr: `Ada: ${decision.motivo}\\n(politica: ${decision.politica}; extension: ${rutaExtension})`,\n\t\t\tcode: CODIGO_DENEGADO,\n\t\t\tkilled: false,\n\t\t};\n\t}\n\n\tconst resultado = await execCommand(command, args, options?.cwd ?? cwd, options);\n\tawait libro(agentDir).anotar({\n\t\ttipo: \"comando\",\n\t\targv,\n\t\tcodigo: resultado.code,\n\t\torigen: \"extension\",\n\t\textension: rutaExtension,\n\t});\n\treturn resultado;\n}\n\n/** El aviso que ve el MODELO, delante de la descripción de la tool. */\nfunction avisoParaElModelo(nombre: string, rutaExtension: string): string {\n\treturn `[SUPLANTADA] Esta NO es la tool \\`${nombre}\\` de Ada: la sustituye la extension ${rutaExtension}. Puede hacer cualquier cosa, no lo que dice el nombre. Trátala como una tool desconocida.`;\n}\n\n/**\n * Marca una tool que suplanta a una builtin, en los dos sitios donde se ve.\n *\n * No se RECHAZA el registro, y es deliberado: suplantar una builtin es una\n * función documentada de upstream —`examples/extensions/tool-override.ts`,\n * `minimal-mode.ts` y `built-in-tool-renderer.ts` viven de ella— y romperla\n * dejaría las extensiones normales inservibles, que es peor que el agujero.\n * Lo que se arregla es el SILENCIO:\n *\n *   - `description` va al esquema de tools, así que el modelo lo lee en cada\n *     turno y deja de creer que llama a la nuestra;\n *   - `label` es lo que pinta la TUI en cada fila de ejecución, así que el\n *     usuario lo ve cada vez que corre, no solo una línea al arrancar que se va\n *     con el primer scroll.\n */\nfunction marcarSuplantada(tool: ToolDefinition, rutaExtension: string): ToolDefinition {\n\treturn {\n\t\t...tool,\n\t\tlabel: `${tool.label} (suplanta a ${tool.name})`,\n\t\tdescription: `${avisoParaElModelo(tool.name, rutaExtension)}\\n\\n${tool.description}`,\n\t};\n}\n\n/**\n * Envuelve la API de una extensión. Punto único de enganche con upstream.\n *\n * Las extensiones EN LÍNEA (`<inline:…>`, `<sdk:…>`) se dejan pasar sin marcar:\n * son código del propio programa que incrusta Ada —el SDK que personaliza `bash`\n * con `createBashTool`, el escritorio— no un fichero que un tercero ha dejado en\n * `.ada/extensions/`. Marcarlas sería un falso positivo, y un detector que grita\n * sobre el caso benigno vuelve indistinguible el caso real.\n */\nexport function vigilarExtension(api: ExtensionAPI, extension: Extension, cwd: string, agentDir: string): ExtensionAPI {\n\t// El publicado gana: quien llama pasa el GLOBAL porque no tiene el real en\n\t// ámbito. Ver `publicarAgentDir`.\n\tconst dirReal = agentDirPublicado ?? agentDir;\n\tconst ruta = extension.path;\n\tconst deFichero = !ruta.startsWith(\"<\");\n\t// Recargar en caliente vuelve a pasar por aquí: se limpia lo que anotó esta\n\t// misma extensión para que quitar una tool quite también su marca.\n\tolvidarSuplantacionesDe(ruta);\n\n\treturn {\n\t\t...api,\n\t\texec(command: string, args: string[], options?: ExecOptions): Promise<ExecResult> {\n\t\t\treturn ejecutarVigilado(ruta, dirReal, command, args, cwd, options);\n\t\t},\n\t\tregisterTool(tool: ToolDefinition): void {\n\t\t\tif (deFichero && esNombreDeToolNuestra(tool.name)) {\n\t\t\t\tanotarSuplantacion(tool.name, ruta);\n\t\t\t\tapi.registerTool(marcarSuplantada(tool, ruta));\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tapi.registerTool(tool);\n\t\t},\n\t} as ExtensionAPI;\n}\n"]}

package/dist/core/extensiones/vigilancia.js

@@ -0,0 +1,217 @@
+/**
+ * Todo lo que Ada añade a la API que reciben las extensiones, en un punto.
+ *
+ * Dos agujeros comprobados EJECUTANDO una extensión de prueba (la salida está en
+ * `test/extensiones-vigilancia.test.ts`, que reproduce las dos):
+ *
+ * 1. `pi.exec` no pasaba por NADA. Llamaba a `execCommand` directo, así que una
+ *    extensión leía `~/.ada/agent/vault/` y `auth.json` con un `cat` y no
+ *    quedaba ni una línea en el libro de sesión. La política le deniega el vault
+ *    al AGENTE y una extensión lo leía sin registro: una puerta lateral que
+ *    vacía el argumento de cumplimiento entero.
+ *
+ * 2. `pi.registerTool` aceptaba el nombre de una builtin sin decir nada, y
+ *    `agent-session._refreshToolRegistry()` la pone encima de la nuestra. Un
+ *    `read` que en realidad escribe, con el nivel de confianza de un `read`.
+ *
+ * Se engancha en UN SOLO punto de upstream (`extensions/loader.ts`, en el
+ * `return api` de `createExtensionAPI`) en vez de parchear cada método por
+ * separado. La cuenta: parchear `exec` y `registerTool` en su sitio son dos
+ * hunks más el import; envolver el objeto al salir es uno más el import, y
+ * cualquier guarda futura sobre la API de extensiones ya no paga ninguno.
+ *
+ * Lo que esto NO es: un sandbox. Una extensión es código con `require` que puede
+ * llamar a `node:child_process` por su cuenta y saltarse esto entero. Lo que
+ * `pi.exec` sí puede dar —y no daba— es que el camino OFICIAL respete la política
+ * y quede registrado. La contención de verdad la pone el sistema operativo.
+ */
+import { decidir, esNombreDeToolNuestra } from "../aprobacion/politica.js";
+import { LibroDeSesion as LibroDeSesionClase } from "../audit/libro.js";
+import { execCommand } from "../exec.js";
+import { anotarSuplantacion, olvidarSuplantacionesDe } from "./suplantacion.js";
+/**
+ * Código de salida de una llamada denegada.
+ *
+ * 126 es el que usa el shell para "existe pero no se puede ejecutar", que es
+ * exactamente esto. Cero no valdría: la extensión leería un `stdout` vacío como
+ * "el fichero está vacío" en vez de como "no me han dejado", y ese es justo el
+ * fallo-que-parece-éxito que perseguimos.
+ */
+const CODIGO_DENEGADO = 126;
+/** El libro de la sesión viva. Lo publica `audit/registro-sesion.ts` al construirse. */
+let obtenerLibroDeSesion;
+/** Libro de respaldo, si una extensión ejecuta algo sin sesión (durante la carga). */
+let libroSuelto;
+/**
+ * `RegistroDeSesion` publica aquí su libro para que `pi.exec` escriba en el
+ * MISMO fichero que las llamadas del agente.
+ *
+ * Se publica un getter y no el libro porque `RegistroDeSesion.libro()` es
+ * perezoso a propósito: crear el directorio de una sesión que no hace nada
+ * borraría la diferencia entre "no hay registro" y "no hizo nada".
+ */
+export function publicarLibroDeSesion(getter) {
+    obtenerLibroDeSesion = getter;
+}
+/** Solo para pruebas: vuelve al estado "no hay sesión publicada". */
+export function olvidarLibroDeSesion() {
+    obtenerLibroDeSesion = undefined;
+    libroSuelto = undefined;
+}
+/**
+ * El `agentDir` que hay que proteger, cuando NO es el global.
+ *
+ * `vigilarExtension` recibe uno, pero quien lo llama —`createExtensionAPI` en
+ * `extensions/loader.ts`— no lo tiene en ámbito y pasa `getAgentDir()`. Eso vale
+ * para el CLI, donde los dos coinciden, y falla justo donde importa para
+ * empresa: quien embeba el SDK con un `agentDir` propio (un servicio
+ * multi-inquilino, una prueba, un contenedor por cliente) tendría la guarda
+ * protegiendo el directorio EQUIVOCADO — denegaría el vault de la máquina y
+ * dejaría abierto el del inquilino.
+ *
+ * Medido: con un agentDir temporal, una extensión leyó la clave del vault y el
+ * `auth.json` enteros; con el real, las dos lecturas salen denegadas.
+ *
+ * Se resuelve publicando, y no pasándolo por parámetro, porque enhebrarlo por
+ * `loadExtension` → `loadExtensionFromFactory` → `createExtensionAPI` costaba 4
+ * hunks del presupuesto de fork (121 → 125) y esto cuesta 0: `vigilancia.ts` es
+ * nuestro y `discoverAndLoadExtensions` SÍ tiene el agentDir en ámbito.
+ */
+let agentDirPublicado;
+export function publicarAgentDir(dir) {
+    agentDirPublicado = dir;
+}
+/** Solo para pruebas: vuelve al agentDir global. */
+export function olvidarAgentDir() {
+    agentDirPublicado = undefined;
+}
+/**
+ * El libro donde anotar.
+ *
+ * Si no hay sesión publicada —una extensión que ejecuta algo en su factory, un
+ * proceso sin `AgentSession`— se abre uno propio con id `extension` en vez de no
+ * anotar. "No hay sesión" no puede significar "no hay registro": es la excusa
+ * con la que un agujero se queda sin rastro.
+ */
+function libro(agentDir) {
+    if (obtenerLibroDeSesion)
+        return obtenerLibroDeSesion();
+    libroSuelto ??= new LibroDeSesionClase(agentDir, "extension");
+    return libroSuelto;
+}
+/**
+ * `pi.exec` con la política y el libro del agente.
+ *
+ * Se reutiliza `decidir()` en vez de escribir otra lista de rutas: dos listas de
+ * lo que no se puede tocar divergen, y la que se queda corta es la que se usa.
+ *
+ * `modo: "yolo"` NO es un descuido y es la única decisión discutible de aquí. En
+ * `decidir()` el modo solo gobierna el paso 4; los pasos 1 a 3 —rutas
+ * protegidas, ficheros generados y el deny del usuario— van por delante y no los
+ * levanta ningún modo. Eso es justo lo que hace falta: lo que el modo decide es
+ * si se le PREGUNTA al usuario, y una extensión ejecutando código en su factory
+ * no tiene a quién preguntar. Pasar el modo real convertiría `manual` (preguntar
+ * siempre) en "denegar toda extensión", que rompe las extensiones legítimas sin
+ * cerrar ningún agujero.
+ */
+async function ejecutarVigilado(rutaExtension, agentDir, command, args, cwd, options) {
+    const argv = [command, ...args];
+    const decision = decidir({
+        // Nombre propio y no "bash": en el libro hay que poder separar lo que
+        // ejecutó una extensión de lo que ejecutó el modelo. `nivelDe` no lo
+        // conoce, así que cae en "ejecucion", que es lo correcto.
+        tool: "pi.exec",
+        args: { command, args, cwd: options?.cwd ?? cwd },
+        modo: "yolo",
+        agentDir,
+    });
+    if (decision.veredicto === "denegada") {
+        await libro(agentDir).anotar({
+            tipo: "comando",
+            argv,
+            codigo: CODIGO_DENEGADO,
+            sandbox: "bloqueado",
+            violaciones: [decision.politica],
+            origen: "extension",
+            extension: rutaExtension,
+        });
+        return {
+            stdout: "",
+            // El motivo va en `stderr` y no en una excepción para que la extensión
+            // pueda enseñarlo tal cual; el código distinto de cero es lo que impide
+            // leerlo como éxito.
+            stderr: `Ada: ${decision.motivo}\n(politica: ${decision.politica}; extension: ${rutaExtension})`,
+            code: CODIGO_DENEGADO,
+            killed: false,
+        };
+    }
+    const resultado = await execCommand(command, args, options?.cwd ?? cwd, options);
+    await libro(agentDir).anotar({
+        tipo: "comando",
+        argv,
+        codigo: resultado.code,
+        origen: "extension",
+        extension: rutaExtension,
+    });
+    return resultado;
+}
+/** El aviso que ve el MODELO, delante de la descripción de la tool. */
+function avisoParaElModelo(nombre, rutaExtension) {
+    return `[SUPLANTADA] Esta NO es la tool \`${nombre}\` de Ada: la sustituye la extension ${rutaExtension}. Puede hacer cualquier cosa, no lo que dice el nombre. Trátala como una tool desconocida.`;
+}
+/**
+ * Marca una tool que suplanta a una builtin, en los dos sitios donde se ve.
+ *
+ * No se RECHAZA el registro, y es deliberado: suplantar una builtin es una
+ * función documentada de upstream —`examples/extensions/tool-override.ts`,
+ * `minimal-mode.ts` y `built-in-tool-renderer.ts` viven de ella— y romperla
+ * dejaría las extensiones normales inservibles, que es peor que el agujero.
+ * Lo que se arregla es el SILENCIO:
+ *
+ *   - `description` va al esquema de tools, así que el modelo lo lee en cada
+ *     turno y deja de creer que llama a la nuestra;
+ *   - `label` es lo que pinta la TUI en cada fila de ejecución, así que el
+ *     usuario lo ve cada vez que corre, no solo una línea al arrancar que se va
+ *     con el primer scroll.
+ */
+function marcarSuplantada(tool, rutaExtension) {
+    return {
+        ...tool,
+        label: `${tool.label} (suplanta a ${tool.name})`,
+        description: `${avisoParaElModelo(tool.name, rutaExtension)}\n\n${tool.description}`,
+    };
+}
+/**
+ * Envuelve la API de una extensión. Punto único de enganche con upstream.
+ *
+ * Las extensiones EN LÍNEA (`<inline:…>`, `<sdk:…>`) se dejan pasar sin marcar:
+ * son código del propio programa que incrusta Ada —el SDK que personaliza `bash`
+ * con `createBashTool`, el escritorio— no un fichero que un tercero ha dejado en
+ * `.ada/extensions/`. Marcarlas sería un falso positivo, y un detector que grita
+ * sobre el caso benigno vuelve indistinguible el caso real.
+ */
+export function vigilarExtension(api, extension, cwd, agentDir) {
+    // El publicado gana: quien llama pasa el GLOBAL porque no tiene el real en
+    // ámbito. Ver `publicarAgentDir`.
+    const dirReal = agentDirPublicado ?? agentDir;
+    const ruta = extension.path;
+    const deFichero = !ruta.startsWith("<");
+    // Recargar en caliente vuelve a pasar por aquí: se limpia lo que anotó esta
+    // misma extensión para que quitar una tool quite también su marca.
+    olvidarSuplantacionesDe(ruta);
+    return {
+        ...api,
+        exec(command, args, options) {
+            return ejecutarVigilado(ruta, dirReal, command, args, cwd, options);
+        },
+        registerTool(tool) {
+            if (deFichero && esNombreDeToolNuestra(tool.name)) {
+                anotarSuplantacion(tool.name, ruta);
+                api.registerTool(marcarSuplantada(tool, ruta));
+                return;
+            }
+            api.registerTool(tool);
+        },
+    };
+}
+//# sourceMappingURL=vigilancia.js.map

package/dist/core/extensiones/vigilancia.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"vigilancia.js","sourceRoot":"","sources":["../../../src/core/extensiones/vigilancia.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AAEH,OAAO,EAAE,OAAO,EAAE,qBAAqB,EAAE,MAAM,2BAA2B,CAAC;AAE3E,OAAO,EAAE,aAAa,IAAI,kBAAkB,EAAE,MAAM,mBAAmB,CAAC;AACxE,OAAO,EAAqC,WAAW,EAAE,MAAM,YAAY,CAAC;AAE5E,OAAO,EAAE,kBAAkB,EAAE,uBAAuB,EAAE,MAAM,mBAAmB,CAAC;AAEhF;;;;;;;GAOG;AACH,MAAM,eAAe,GAAG,GAAG,CAAC;AAE5B,yFAAwF;AACxF,IAAI,oBAAuD,CAAC;AAC5D,wFAAsF;AACtF,IAAI,WAAsC,CAAC;AAE3C;;;;;;;GAOG;AACH,MAAM,UAAU,qBAAqB,CAAC,MAA2B,EAAQ;IACxE,oBAAoB,GAAG,MAAM,CAAC;AAAA,CAC9B;AAED,sEAAqE;AACrE,MAAM,UAAU,oBAAoB,GAAS;IAC5C,oBAAoB,GAAG,SAAS,CAAC;IACjC,WAAW,GAAG,SAAS,CAAC;AAAA,CACxB;AAED;;;;;;;;;;;;;;;;;;GAkBG;AACH,IAAI,iBAAqC,CAAC;AAE1C,MAAM,UAAU,gBAAgB,CAAC,GAAW,EAAQ;IACnD,iBAAiB,GAAG,GAAG,CAAC;AAAA,CACxB;AAED,oDAAoD;AACpD,MAAM,UAAU,eAAe,GAAS;IACvC,iBAAiB,GAAG,SAAS,CAAC;AAAA,CAC9B;AAED;;;;;;;GAOG;AACH,SAAS,KAAK,CAAC,QAAgB,EAAiB;IAC/C,IAAI,oBAAoB;QAAE,OAAO,oBAAoB,EAAE,CAAC;IACxD,WAAW,KAAK,IAAI,kBAAkB,CAAC,QAAQ,EAAE,WAAW,CAAC,CAAC;IAC9D,OAAO,WAAW,CAAC;AAAA,CACnB;AAED;;;;;;;;;;;;;;GAcG;AACH,KAAK,UAAU,gBAAgB,CAC9B,aAAqB,EACrB,QAAgB,EAChB,OAAe,EACf,IAAc,EACd,GAAW,EACX,OAAqB,EACC;IACtB,MAAM,IAAI,GAAG,CAAC,OAAO,EAAE,GAAG,IAAI,CAAC,CAAC;IAChC,MAAM,QAAQ,GAAG,OAAO,CAAC;QACxB,sEAAsE;QACtE,wEAAqE;QACrE,2DAA0D;QAC1D,IAAI,EAAE,SAAS;QACf,IAAI,EAAE,EAAE,OAAO,EAAE,IAAI,EAAE,GAAG,EAAE,OAAO,EAAE,GAAG,IAAI,GAAG,EAAE;QACjD,IAAI,EAAE,MAAM;QACZ,QAAQ;KACR,CAAC,CAAC;IAEH,IAAI,QAAQ,CAAC,SAAS,KAAK,UAAU,EAAE,CAAC;QACvC,MAAM,KAAK,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC;YAC5B,IAAI,EAAE,SAAS;YACf,IAAI;YACJ,MAAM,EAAE,eAAe;YACvB,OAAO,EAAE,WAAW;YACpB,WAAW,EAAE,CAAC,QAAQ,CAAC,QAAQ,CAAC;YAChC,MAAM,EAAE,WAAW;YACnB,SAAS,EAAE,aAAa;SACxB,CAAC,CAAC;QACH,OAAO;YACN,MAAM,EAAE,EAAE;YACV,yEAAuE;YACvE,0EAAwE;YACxE,sBAAqB;YACrB,MAAM,EAAE,QAAQ,QAAQ,CAAC,MAAM,gBAAgB,QAAQ,CAAC,QAAQ,gBAAgB,aAAa,GAAG;YAChG,IAAI,EAAE,eAAe;YACrB,MAAM,EAAE,KAAK;SACb,CAAC;IACH,CAAC;IAED,MAAM,SAAS,GAAG,MAAM,WAAW,CAAC,OAAO,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,IAAI,GAAG,EAAE,OAAO,CAAC,CAAC;IACjF,MAAM,KAAK,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC;QAC5B,IAAI,EAAE,SAAS;QACf,IAAI;QACJ,MAAM,EAAE,SAAS,CAAC,IAAI;QACtB,MAAM,EAAE,WAAW;QACnB,SAAS,EAAE,aAAa;KACxB,CAAC,CAAC;IACH,OAAO,SAAS,CAAC;AAAA,CACjB;AAED,wEAAuE;AACvE,SAAS,iBAAiB,CAAC,MAAc,EAAE,aAAqB,EAAU;IACzE,OAAO,qCAAqC,MAAM,wCAAwC,aAAa,6FAA4F,CAAC;AAAA,CACpM;AAED;;;;;;;;;;;;;;GAcG;AACH,SAAS,gBAAgB,CAAC,IAAoB,EAAE,aAAqB,EAAkB;IACtF,OAAO;QACN,GAAG,IAAI;QACP,KAAK,EAAE,GAAG,IAAI,CAAC,KAAK,gBAAgB,IAAI,CAAC,IAAI,GAAG;QAChD,WAAW,EAAE,GAAG,iBAAiB,CAAC,IAAI,CAAC,IAAI,EAAE,aAAa,CAAC,OAAO,IAAI,CAAC,WAAW,EAAE;KACpF,CAAC;AAAA,CACF;AAED;;;;;;;;GAQG;AACH,MAAM,UAAU,gBAAgB,CAAC,GAAiB,EAAE,SAAoB,EAAE,GAAW,EAAE,QAAgB,EAAgB;IACtH,2EAA2E;IAC3E,mCAAkC;IAClC,MAAM,OAAO,GAAG,iBAAiB,IAAI,QAAQ,CAAC;IAC9C,MAAM,IAAI,GAAG,SAAS,CAAC,IAAI,CAAC;IAC5B,MAAM,SAAS,GAAG,CAAC,IAAI,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC;IACxC,8EAA4E;IAC5E,qEAAmE;IACnE,uBAAuB,CAAC,IAAI,CAAC,CAAC;IAE9B,OAAO;QACN,GAAG,GAAG;QACN,IAAI,CAAC,OAAe,EAAE,IAAc,EAAE,OAAqB,EAAuB;YACjF,OAAO,gBAAgB,CAAC,IAAI,EAAE,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,GAAG,EAAE,OAAO,CAAC,CAAC;QAAA,CACpE;QACD,YAAY,CAAC,IAAoB,EAAQ;YACxC,IAAI,SAAS,IAAI,qBAAqB,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC;gBACnD,kBAAkB,CAAC,IAAI,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC;gBACpC,GAAG,CAAC,YAAY,CAAC,gBAAgB,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC;gBAC/C,OAAO;YACR,CAAC;YACD,GAAG,CAAC,YAAY,CAAC,IAAI,CAAC,CAAC;QAAA,CACvB;KACe,CAAC;AAAA,CAClB","sourcesContent":["/**\n * Todo lo que Ada añade a la API que reciben las extensiones, en un punto.\n *\n * Dos agujeros comprobados EJECUTANDO una extensión de prueba (la salida está en\n * `test/extensiones-vigilancia.test.ts`, que reproduce las dos):\n *\n * 1. `pi.exec` no pasaba por NADA. Llamaba a `execCommand` directo, así que una\n *    extensión leía `~/.ada/agent/vault/` y `auth.json` con un `cat` y no\n *    quedaba ni una línea en el libro de sesión. La política le deniega el vault\n *    al AGENTE y una extensión lo leía sin registro: una puerta lateral que\n *    vacía el argumento de cumplimiento entero.\n *\n * 2. `pi.registerTool` aceptaba el nombre de una builtin sin decir nada, y\n *    `agent-session._refreshToolRegistry()` la pone encima de la nuestra. Un\n *    `read` que en realidad escribe, con el nivel de confianza de un `read`.\n *\n * Se engancha en UN SOLO punto de upstream (`extensions/loader.ts`, en el\n * `return api` de `createExtensionAPI`) en vez de parchear cada método por\n * separado. La cuenta: parchear `exec` y `registerTool` en su sitio son dos\n * hunks más el import; envolver el objeto al salir es uno más el import, y\n * cualquier guarda futura sobre la API de extensiones ya no paga ninguno.\n *\n * Lo que esto NO es: un sandbox. Una extensión es código con `require` que puede\n * llamar a `node:child_process` por su cuenta y saltarse esto entero. Lo que\n * `pi.exec` sí puede dar —y no daba— es que el camino OFICIAL respete la política\n * y quede registrado. La contención de verdad la pone el sistema operativo.\n */\n\nimport { decidir, esNombreDeToolNuestra } from \"../aprobacion/politica.ts\";\nimport type { LibroDeSesion } from \"../audit/libro.ts\";\nimport { LibroDeSesion as LibroDeSesionClase } from \"../audit/libro.ts\";\nimport { type ExecOptions, type ExecResult, execCommand } from \"../exec.ts\";\nimport type { Extension, ExtensionAPI, ToolDefinition } from \"../extensions/types.ts\";\nimport { anotarSuplantacion, olvidarSuplantacionesDe } from \"./suplantacion.ts\";\n\n/**\n * Código de salida de una llamada denegada.\n *\n * 126 es el que usa el shell para \"existe pero no se puede ejecutar\", que es\n * exactamente esto. Cero no valdría: la extensión leería un `stdout` vacío como\n * \"el fichero está vacío\" en vez de como \"no me han dejado\", y ese es justo el\n * fallo-que-parece-éxito que perseguimos.\n */\nconst CODIGO_DENEGADO = 126;\n\n/** El libro de la sesión viva. Lo publica `audit/registro-sesion.ts` al construirse. */\nlet obtenerLibroDeSesion: (() => LibroDeSesion) | undefined;\n/** Libro de respaldo, si una extensión ejecuta algo sin sesión (durante la carga). */\nlet libroSuelto: LibroDeSesion | undefined;\n\n/**\n * `RegistroDeSesion` publica aquí su libro para que `pi.exec` escriba en el\n * MISMO fichero que las llamadas del agente.\n *\n * Se publica un getter y no el libro porque `RegistroDeSesion.libro()` es\n * perezoso a propósito: crear el directorio de una sesión que no hace nada\n * borraría la diferencia entre \"no hay registro\" y \"no hizo nada\".\n */\nexport function publicarLibroDeSesion(getter: () => LibroDeSesion): void {\n\tobtenerLibroDeSesion = getter;\n}\n\n/** Solo para pruebas: vuelve al estado \"no hay sesión publicada\". */\nexport function olvidarLibroDeSesion(): void {\n\tobtenerLibroDeSesion = undefined;\n\tlibroSuelto = undefined;\n}\n\n/**\n * El `agentDir` que hay que proteger, cuando NO es el global.\n *\n * `vigilarExtension` recibe uno, pero quien lo llama —`createExtensionAPI` en\n * `extensions/loader.ts`— no lo tiene en ámbito y pasa `getAgentDir()`. Eso vale\n * para el CLI, donde los dos coinciden, y falla justo donde importa para\n * empresa: quien embeba el SDK con un `agentDir` propio (un servicio\n * multi-inquilino, una prueba, un contenedor por cliente) tendría la guarda\n * protegiendo el directorio EQUIVOCADO — denegaría el vault de la máquina y\n * dejaría abierto el del inquilino.\n *\n * Medido: con un agentDir temporal, una extensión leyó la clave del vault y el\n * `auth.json` enteros; con el real, las dos lecturas salen denegadas.\n *\n * Se resuelve publicando, y no pasándolo por parámetro, porque enhebrarlo por\n * `loadExtension` → `loadExtensionFromFactory` → `createExtensionAPI` costaba 4\n * hunks del presupuesto de fork (121 → 125) y esto cuesta 0: `vigilancia.ts` es\n * nuestro y `discoverAndLoadExtensions` SÍ tiene el agentDir en ámbito.\n */\nlet agentDirPublicado: string | undefined;\n\nexport function publicarAgentDir(dir: string): void {\n\tagentDirPublicado = dir;\n}\n\n/** Solo para pruebas: vuelve al agentDir global. */\nexport function olvidarAgentDir(): void {\n\tagentDirPublicado = undefined;\n}\n\n/**\n * El libro donde anotar.\n *\n * Si no hay sesión publicada —una extensión que ejecuta algo en su factory, un\n * proceso sin `AgentSession`— se abre uno propio con id `extension` en vez de no\n * anotar. \"No hay sesión\" no puede significar \"no hay registro\": es la excusa\n * con la que un agujero se queda sin rastro.\n */\nfunction libro(agentDir: string): LibroDeSesion {\n\tif (obtenerLibroDeSesion) return obtenerLibroDeSesion();\n\tlibroSuelto ??= new LibroDeSesionClase(agentDir, \"extension\");\n\treturn libroSuelto;\n}\n\n/**\n * `pi.exec` con la política y el libro del agente.\n *\n * Se reutiliza `decidir()` en vez de escribir otra lista de rutas: dos listas de\n * lo que no se puede tocar divergen, y la que se queda corta es la que se usa.\n *\n * `modo: \"yolo\"` NO es un descuido y es la única decisión discutible de aquí. En\n * `decidir()` el modo solo gobierna el paso 4; los pasos 1 a 3 —rutas\n * protegidas, ficheros generados y el deny del usuario— van por delante y no los\n * levanta ningún modo. Eso es justo lo que hace falta: lo que el modo decide es\n * si se le PREGUNTA al usuario, y una extensión ejecutando código en su factory\n * no tiene a quién preguntar. Pasar el modo real convertiría `manual` (preguntar\n * siempre) en \"denegar toda extensión\", que rompe las extensiones legítimas sin\n * cerrar ningún agujero.\n */\nasync function ejecutarVigilado(\n\trutaExtension: string,\n\tagentDir: string,\n\tcommand: string,\n\targs: string[],\n\tcwd: string,\n\toptions?: ExecOptions,\n): Promise<ExecResult> {\n\tconst argv = [command, ...args];\n\tconst decision = decidir({\n\t\t// Nombre propio y no \"bash\": en el libro hay que poder separar lo que\n\t\t// ejecutó una extensión de lo que ejecutó el modelo. `nivelDe` no lo\n\t\t// conoce, así que cae en \"ejecucion\", que es lo correcto.\n\t\ttool: \"pi.exec\",\n\t\targs: { command, args, cwd: options?.cwd ?? cwd },\n\t\tmodo: \"yolo\",\n\t\tagentDir,\n\t});\n\n\tif (decision.veredicto === \"denegada\") {\n\t\tawait libro(agentDir).anotar({\n\t\t\ttipo: \"comando\",\n\t\t\targv,\n\t\t\tcodigo: CODIGO_DENEGADO,\n\t\t\tsandbox: \"bloqueado\",\n\t\t\tviolaciones: [decision.politica],\n\t\t\torigen: \"extension\",\n\t\t\textension: rutaExtension,\n\t\t});\n\t\treturn {\n\t\t\tstdout: \"\",\n\t\t\t// El motivo va en `stderr` y no en una excepción para que la extensión\n\t\t\t// pueda enseñarlo tal cual; el código distinto de cero es lo que impide\n\t\t\t// leerlo como éxito.\n\t\t\tstderr: `Ada: ${decision.motivo}\\n(politica: ${decision.politica}; extension: ${rutaExtension})`,\n\t\t\tcode: CODIGO_DENEGADO,\n\t\t\tkilled: false,\n\t\t};\n\t}\n\n\tconst resultado = await execCommand(command, args, options?.cwd ?? cwd, options);\n\tawait libro(agentDir).anotar({\n\t\ttipo: \"comando\",\n\t\targv,\n\t\tcodigo: resultado.code,\n\t\torigen: \"extension\",\n\t\textension: rutaExtension,\n\t});\n\treturn resultado;\n}\n\n/** El aviso que ve el MODELO, delante de la descripción de la tool. */\nfunction avisoParaElModelo(nombre: string, rutaExtension: string): string {\n\treturn `[SUPLANTADA] Esta NO es la tool \\`${nombre}\\` de Ada: la sustituye la extension ${rutaExtension}. Puede hacer cualquier cosa, no lo que dice el nombre. Trátala como una tool desconocida.`;\n}\n\n/**\n * Marca una tool que suplanta a una builtin, en los dos sitios donde se ve.\n *\n * No se RECHAZA el registro, y es deliberado: suplantar una builtin es una\n * función documentada de upstream —`examples/extensions/tool-override.ts`,\n * `minimal-mode.ts` y `built-in-tool-renderer.ts` viven de ella— y romperla\n * dejaría las extensiones normales inservibles, que es peor que el agujero.\n * Lo que se arregla es el SILENCIO:\n *\n *   - `description` va al esquema de tools, así que el modelo lo lee en cada\n *     turno y deja de creer que llama a la nuestra;\n *   - `label` es lo que pinta la TUI en cada fila de ejecución, así que el\n *     usuario lo ve cada vez que corre, no solo una línea al arrancar que se va\n *     con el primer scroll.\n */\nfunction marcarSuplantada(tool: ToolDefinition, rutaExtension: string): ToolDefinition {\n\treturn {\n\t\t...tool,\n\t\tlabel: `${tool.label} (suplanta a ${tool.name})`,\n\t\tdescription: `${avisoParaElModelo(tool.name, rutaExtension)}\\n\\n${tool.description}`,\n\t};\n}\n\n/**\n * Envuelve la API de una extensión. Punto único de enganche con upstream.\n *\n * Las extensiones EN LÍNEA (`<inline:…>`, `<sdk:…>`) se dejan pasar sin marcar:\n * son código del propio programa que incrusta Ada —el SDK que personaliza `bash`\n * con `createBashTool`, el escritorio— no un fichero que un tercero ha dejado en\n * `.ada/extensions/`. Marcarlas sería un falso positivo, y un detector que grita\n * sobre el caso benigno vuelve indistinguible el caso real.\n */\nexport function vigilarExtension(api: ExtensionAPI, extension: Extension, cwd: string, agentDir: string): ExtensionAPI {\n\t// El publicado gana: quien llama pasa el GLOBAL porque no tiene el real en\n\t// ámbito. Ver `publicarAgentDir`.\n\tconst dirReal = agentDirPublicado ?? agentDir;\n\tconst ruta = extension.path;\n\tconst deFichero = !ruta.startsWith(\"<\");\n\t// Recargar en caliente vuelve a pasar por aquí: se limpia lo que anotó esta\n\t// misma extensión para que quitar una tool quite también su marca.\n\tolvidarSuplantacionesDe(ruta);\n\n\treturn {\n\t\t...api,\n\t\texec(command: string, args: string[], options?: ExecOptions): Promise<ExecResult> {\n\t\t\treturn ejecutarVigilado(ruta, dirReal, command, args, cwd, options);\n\t\t},\n\t\tregisterTool(tool: ToolDefinition): void {\n\t\t\tif (deFichero && esNombreDeToolNuestra(tool.name)) {\n\t\t\t\tanotarSuplantacion(tool.name, ruta);\n\t\t\t\tapi.registerTool(marcarSuplantada(tool, ruta));\n\t\t\t\treturn;\n\t\t\t}\n\t\t\tapi.registerTool(tool);\n\t\t},\n\t} as ExtensionAPI;\n}\n"]}