@renoxar/koolie 1.25.0 → 2.0.0

package/.koolie/core/clients/claude-code/manifest.json

@@ -8,7 +8,7 @@
   "agents_dir": ".claude/agents",
   "pack_runtime_dir": ".claude/rules",
   "has_rule_triggers": true,
-  "core_skill_prefix": "fw-",
+  "core_skill_prefix": "koolie-",
   "core_paths": [
     ".claude/README.md"
   ],
@@ -58,7 +58,7 @@
     "skill_deny_field": "disallowed-tools",
     "_skill_deny_note": "Die Abbildung von permissions.deny (CR-2026-057, D-64/D-65). Gemessen am 2026-09-13 (tests/protocols/2026-09-13-erhebung-disallowed-tools.md): 'disallowed-tools' nimmt das Werkzeug aus dem Vorrat und schlaegt dabei sogar eine ausdrueckliche allow-Regel - ein Skill mit 'disallowed-tools: Write, Edit' konnte NICHT schreiben, obwohl Write in der allow-Liste stand; derselbe Skill ohne das Feld konnte es. Das ist genau das, was 'allowed-tools' nach B01 nicht ist. Die Werkzeugnamen kommen aus hook_tools dieses Manifests und NICHT aus skill_frontmatter.tool_names (D-28, CR-2026-057 E2): edit -> hook_tools.write, exec -> hook_tools.exec. Der Unterschied ist gewollt und gemessen - tool_names.edit fuehrt nur Edit und Write, hook_tools.write fuehrt zusaetzlich NotebookEdit; fuer eine Sperre waere das eine Luecke, und eine Luecke in der Liste ist ausnutzbar (Lauf E der Erhebung: mit gesperrtem Write, Edit schrieb der Skill ueber Bash).",
     "skill_deny_unmapped": "argumentmuster",
-    "_skill_deny_unmapped_note": "Was dieses Pack bewusst NICHT abbildet, deklariert statt verschwiegen (CR-2026-057 E3, Bauart wie hook_tools_absent nach D-47): befehlsgenaue Verbote der Form Exec(git push). Gemessen am 2026-09-13, Laeufe G' und G'' (tests/protocols/2026-09-13-erhebung-disallowed-tools.md Abschnitt 4.3): Ein Eintrag mit Klammer - 'disallowed-tools: Bash(echo verboten:*)' und ebenso die Schreibweise mit Leerzeichen - laesst den Befehl LAUTLOS durchlaufen, ohne Verweigerung und ohne Fehlermeldung; derselbe Skill mit 'disallowed-tools: Bash' wies beide Befehle ab. Wer ein Argumentmuster schreibt, hat deshalb GAR KEINE Schranke, nicht bloss eine groebere. Die Alternative - das ganze Werkzeug sperren - ist strenger als gemeint und macht die allow-Eintraege derselben Skills wirkungslos: fw-tests koennte seinen Testbefehl nicht mehr ausfuehren. Betroffen sind fuenf der zwoelf Quellskills, und sie sind NICHT gleich betroffen - nachgezaehlt an der erzeugten Fassung, nicht an der Quelle: DREI tragen ausschliesslich befehlsgenaue Verbote und bekommen deshalb GAR KEINE Schranke je Skill (fw-change-small, fw-refactor, fw-tests); ZWEI nennen daneben das grobe Verb edit und bekommen eine TEILWEISE Schranke - ihre Editierwerkzeuge sind gesperrt, ihre git-Verbote nicht (fw-mr-description, fw-review-support). Die uebrigen sieben sind vollstaendig abgebildet. Pruefung 33 weist jedes Argumentmuster in einer erzeugten Fassung ab.",
+    "_skill_deny_unmapped_note": "Was dieses Pack bewusst NICHT abbildet, deklariert statt verschwiegen (CR-2026-057 E3, Bauart wie hook_tools_absent nach D-47): befehlsgenaue Verbote der Form Exec(git push). Gemessen am 2026-09-13, Laeufe G' und G'' (tests/protocols/2026-09-13-erhebung-disallowed-tools.md Abschnitt 4.3): Ein Eintrag mit Klammer - 'disallowed-tools: Bash(echo verboten:*)' und ebenso die Schreibweise mit Leerzeichen - laesst den Befehl LAUTLOS durchlaufen, ohne Verweigerung und ohne Fehlermeldung; derselbe Skill mit 'disallowed-tools: Bash' wies beide Befehle ab. Wer ein Argumentmuster schreibt, hat deshalb GAR KEINE Schranke, nicht bloss eine groebere. Die Alternative - das ganze Werkzeug sperren - ist strenger als gemeint und macht die allow-Eintraege derselben Skills wirkungslos: koolie-tests koennte seinen Testbefehl nicht mehr ausfuehren. Betroffen sind fuenf der zwoelf Quellskills, und sie sind NICHT gleich betroffen - nachgezaehlt an der erzeugten Fassung, nicht an der Quelle: DREI tragen ausschliesslich befehlsgenaue Verbote und bekommen deshalb GAR KEINE Schranke je Skill (koolie-change-small, koolie-refactor, koolie-tests); ZWEI nennen daneben das grobe Verb edit und bekommen eine TEILWEISE Schranke - ihre Editierwerkzeuge sind gesperrt, ihre git-Verbote nicht (koolie-mr-description, koolie-review-support). Die uebrigen sieben sind vollstaendig abgebildet. Pruefung 33 weist jedes Argumentmuster in einer erzeugten Fassung ab.",
     "drop_fields": [
       "permissions",
       "triggers"
@@ -83,8 +83,8 @@
       "dst": "<RULES_DIR>/15-development-rules.md"
     },
     {
-      "src": "framework/runtime/agents/fw-reviewer.md",
-      "dst": "<AGENTS_DIR>/fw-reviewer.md"
+      "src": "framework/runtime/agents/koolie-reviewer.md",
+      "dst": "<AGENTS_DIR>/koolie-reviewer.md"
     },
     {
       "src": "templates/rules/21-overlay-TEMPLATE.md.template",
@@ -189,7 +189,7 @@
   "permission_name_tools": [
     "Skill"
   ],
-  "_permission_name_tools_note": "Werkzeuge, deren Regelargument kein Pfad ist, sondern ein Name. Fuer sie haengt die Abbildung weder das Wurzelpraefix (permission_path_prefix) noch das Praefixzeichen (permission_exec_suffix) an, und der Validator laesst sie neben permission_path_tools zu. Gemessen am 2026-09-14 (tests/protocols/2026-09-14-erhebung-skillaufruf.md, D-82): Der Skill-Aufruf ist bei diesem Client ein eigener Werkzeugaufruf mit dem Namen Skill und laeuft ohne allow-Regel in die Rueckfrage; das Argument wird WOERTLICH verglichen - Skill(fw-code-explain) laesst den Aufruf durch (Lauf C1), Skill(fw-*) nicht (Lauf D1), und Skill(fw-plan) weist fw-code-explain ab (Lauf E1, Kontrolllauf). Deshalb zwoelf woertliche Regeln statt eines Musters.",
+  "_permission_name_tools_note": "Werkzeuge, deren Regelargument kein Pfad ist, sondern ein Name. Fuer sie haengt die Abbildung weder das Wurzelpraefix (permission_path_prefix) noch das Praefixzeichen (permission_exec_suffix) an, und der Validator laesst sie neben permission_path_tools zu. Gemessen am 2026-09-14 (tests/protocols/2026-09-14-erhebung-skillaufruf.md, D-82): Der Skill-Aufruf ist bei diesem Client ein eigener Werkzeugaufruf mit dem Namen Skill und laeuft ohne allow-Regel in die Rueckfrage; das Argument wird WOERTLICH verglichen - Skill(koolie-code-explain) laesst den Aufruf durch (Lauf C1), Skill(koolie-*) nicht (Lauf D1), und Skill(koolie-plan) weist koolie-code-explain ab (Lauf E1, Kontrolllauf). Deshalb zwoelf woertliche Regeln statt eines Musters.",
   "mcp_permission_rule": {"werkzeug": "mcp__{server}__{werkzeug}", "pauschal": "mcp__*", "rueckfrage_schlaegt_freigabe": true},
   "_mcp_permission_rule_note": "Die Regelform eines MCP-Werkzeugs in der Berechtigungsdatei (Pruefung 101, D-459). Gemessen am 2026-09-28 mit Clientversion 2.1.283 (Vorpruefung zu 1.18.0): allow auf mcp__<server>__<werkzeug> laesst ein Lesewerkzeug im Druckmodus durch, ein Schreibwerkzeug auf ask wird abgewiesen (V4); steht mcp__* im ask-Korb - so erzeugt die Kernquelle die Datei -, wird auch das einzeln freigegebene Lesewerkzeug abgewiesen (V5). Die Freigabe zum Lesen ersetzt deshalb die Pauschale durch Einzelregeln.",
   "permission_tools_bare": [

package/.koolie/core/clients/claude-code/root-template/.claude/README.md

@@ -22,7 +22,7 @@ Die **Regeltexte sind inhaltlich identisch**. Abweichend ist nur, wie ihre Ladeb
 
 2. **Hooks stehen in `settings.json`**, nicht in einer eigenen Datei.
 
-Bis Framework-Release 0.14.0 stand hier ein dritter Unterschied – „Schreibschutz braucht zwei Regeln je Pfad". Er galt nie: Dieser Client wertet Pfadregeln ausschließlich für `Read` und `Edit` aus (AP2-CC-02, D-26).
+Bis Framework-Release 0.14.0 stand hier ein dritter Unterschied – „Schreibschutz braucht zwei Regeln je Pfad". Er galt nie: Dieser Client wertet Pfadregeln ausschließlich für `Read` und `Edit` aus (AP2-CC-02).
 
 ## Technology Packs
 
@@ -37,13 +37,13 @@ Zu beachten: Die Regel steht damit nicht schon zu Beginn der Aufgabe im Kontext,
 | `default` | Lesen automatisch; Schreiben und Befehle fragen | **Standard** für alle Kontrollstufen |
 | `acceptEdits` | Dateiänderungen automatisch; Befehle fragen | nur Kontrollstufe niedrig, nur mit Overlay-Freigabe |
 | `plan` | nur Analyse und Planung, keine Änderungen | zulässig; entspricht M1/M2 |
-| `bypassPermissions` | alles automatisch | **untersagt** (D-05) |
+| `bypassPermissions` | alles automatisch | **untersagt** |
 
 ## Regelablage (`rules/`)
 
 Die Regelablage enthält die Laufzeitfassung der Framework-Regeln. Die kanonische, werkzeugneutrale Langform liegt in `.koolie/core/framework/`. Bei Widersprüchen gilt die Langform; die Laufzeitfassung wird dann korrigiert. **Die Regeltexte sind inhaltlich identisch zu denen anderer Client Packs.** Abweichend ist ausschließlich, wie die Ladebedingung notiert wird.
 
-> **Warum dieser Abschnitt hier steht und nicht in `rules/`.** Bis 0.25.0 lag dort eine eigene README. Dieser Client lädt **jede** `.md`-Datei der Regelablage unbedingt – gemessen am 2026-09-11: Die Sitzung führte die Datei samt Inhaltsangabe in ihrem geladenen Bestand auf (K-26). Ein erklärender Text mit Belegvorbehalten hatte damit einen dauerhaften Platz im Kontext. Seit 0.26.0 gilt: **Die Regelablage enthält ausschließlich Regeln** (D-36).
+> **Warum dieser Abschnitt hier steht und nicht in `rules/`.** Bis 0.25.0 lag dort eine eigene README. Dieser Client lädt **jede** `.md`-Datei der Regelablage unbedingt – gemessen am 2026-09-11: Die Sitzung führte die Datei samt Inhaltsangabe in ihrem geladenen Bestand auf. Ein erklärender Text mit Belegvorbehalten hatte damit einen dauerhaften Platz im Kontext. Seit 0.26.0 gilt: **Die Regelablage enthält ausschließlich Regeln**.
 
 ### Mechanismus (Belegstatus)
 
@@ -54,7 +54,7 @@ Die Regelablage enthält die Laufzeitfassung der Framework-Regeln. Die kanonisch
 | Eine Regeldatei **ohne** `paths`-Feld wird beim Sitzungsstart unbedingt geladen – ohne Import | [DOK] (AP2, Clientversion 2.1.267) |
 | Eine Regeldatei **mit** `paths`-Feld lädt, sobald der Client eine Datei liest, die auf eines der Glob-Muster passt | [DOK] (AP2, Clientversion 2.1.267) |
 | `paths` nimmt mehrere Muster; Klammer-Expansion (`{ts,tsx}`) ist zulässig | [DOK] (AP2, Clientversion 2.1.267) |
-| `description` ist für Regeldateien **nicht** dokumentiert und steht deshalb nicht im Frontmatter (K-18) | [DOK] (AP2, Clientversion 2.1.267) |
+| `description` ist für Regeldateien **nicht** dokumentiert und steht deshalb nicht im Frontmatter | [DOK] (AP2, Clientversion 2.1.267) |
 | Zeichenlimit der Wurzel-Anweisung: 4 MiB je Datei; darüber wird sie übersprungen. Empfehlung: unter 200 Zeilen | [DOK] (AP2, Clientversion 2.1.267) |
 | **Ein HTML-Kommentar erreicht die Sitzung nicht.** Dieselbe Messmarke blieb unsichtbar, solange sie in Kommentarklammern stand, und war im Klartext sofort da – in der Wurzel-Anweisungsdatei **und** in der Regelablage | in einer Sitzung erhoben (2026-09-11, ERH-01) |
 
@@ -64,7 +64,7 @@ Bis Framework-Release 0.14.0 lag diese Ablage unter `.claude/framework/` und wur
 
 Nur das Feld `paths` ist zulässig, und nur bei Regeln, die an Dateimuster gebunden sind; es nimmt eine Liste von Glob-Mustern. Eine Regel ohne Frontmatter lädt unbedingt. Der Validator meldet jedes andere Feld – insbesondere ein aus der Kernquelle stehen gebliebenes `trigger:` oder `globs:`, das dieser Client nicht auswertet.
 
-Der erzeugte HTML-Kommentar oberhalb des Regeltextes nennt Zweck, Ladeverhalten und den Ladetrigger der Kernquelle. **Er ist die Auskunft an den Menschen, der die Datei öffnet; in den Kontext geht er bei diesem Client nicht** – gemessen am 2026-09-11 (ERH-01). Deshalb steht dort Herkunft und keine Anweisung: Ein normativer Satz im Kommentar wäre eine Regel, die niemanden erreicht (D-38). Prüfung 23 meldet normative Schlüsselwörter in solchen Kommentaren.
+Der erzeugte HTML-Kommentar oberhalb des Regeltextes nennt Zweck, Ladeverhalten und den Ladetrigger der Kernquelle. **Er ist die Auskunft an den Menschen, der die Datei öffnet; in den Kontext geht er bei diesem Client nicht** – gemessen am 2026-09-11 (ERH-01). Deshalb steht dort Herkunft und keine Anweisung: Ein normativer Satz im Kommentar wäre eine Regel, die niemanden erreicht. Prüfung 23 meldet normative Schlüsselwörter in solchen Kommentaren.
 
 ### Abbildung der Ladetrigger
 
@@ -76,7 +76,7 @@ Die Kernquelle kennt drei Ladetrigger, dieser Client eine Bedingung. Was womit a
 | `model_decision` | kein `paths`-Feld | bei jedem Sitzungsstart – **Verschärfung**, siehe unten |
 | `glob` mit Mustern | `paths:` mit denselben Mustern | sobald der Client eine passende Datei liest |
 
-Ein Ladetrigger ohne Eintrag in dieser Abbildung lässt die Installation scheitern; er wird nicht stillschweigend verworfen (D-26, D-27).
+Ein Ladetrigger ohne Eintrag in dieser Abbildung lässt die Installation scheitern; er wird nicht stillschweigend verworfen.
 
 ### Nummernschema und Ebenenzuordnung (Framework-Konvention `[KONZ]`)
 
@@ -101,7 +101,7 @@ Bei Clients mit einer modellentschiedenen Ladebedingung laden `10-` und `15-` nu
 - **Für die Regelwirkung:** eine Verschärfung. Mehr Regeln sind aktiv, nicht weniger.
 - **Für den Kontext:** rund 25.000 Zeichen sind ständig belegt (`CLAUDE.md` und die vier unbedingten Regeltexte einer frischen Installation zusammen). Das Prinzip Least Context wird damit schwächer eingehalten als bei einem Client mit modellentschiedener Bedingung. Least Context ist ein Prinzip zur Ergebnisqualität, keine Sicherheitszusage – die Abweichung ist deshalb vertretbar und in `CLIENT_PACK.md` Zeile R2 ausgewiesen.
 
-Wächst der ständige Kontext durch aktivierte Packs deutlich, ist zu prüfen, ob ein Pack an Dateimuster gebunden werden kann. Der Validator meldet einen Fehler, sobald die unbedingt geladenen Texte zusammen 40.000 Zeichen überschreiten (D-387).
+Wächst der ständige Kontext durch aktivierte Packs deutlich, ist zu prüfen, ob ein Pack an Dateimuster gebunden werden kann. Der Validator meldet einen Fehler, sobald die unbedingt geladenen Texte zusammen 40.000 Zeichen überschreiten.
 
 ### Grenzen dieser Ablage
 
@@ -109,11 +109,11 @@ Wächst der ständige Kontext durch aktivierte Packs deutlich, ist zu prüfen, o
 - **Eine Kernregel darf nicht an Dateimuster gebunden werden.** `00-`, `10-`, `15-` und `20-` gelten für jede Aufgabe; ein `paths`-Feld dort wäre eine Lockerung. Der Validator meldet es als Fehler.
 - **Ein ungültiges Muster trifft nichts.** Glob liest eine öffnende eckige Klammer als Beginn eines Klammerausdrucks; ein unausgeglichenes Muster trifft keine Datei, während die übrigen Muster derselben Regel weiter wirken. Eine literale Klammer wird mit vorangestelltem Rückstrich geschrieben.
 - **Klammer-Expansion hat ein Budget.** Die `paths`-Liste einer Regel teilt sich 1.000 expandierte Muster und 4 MiB; ein Muster darüber wird unexpandiert verwendet und trifft dann nichts.
-- **Nutzerlokal ausschließbar.** `claudeMdExcludes` in `.claude/settings.local.json` kann Regeldateien über ein Glob-Muster vom Laden ausnehmen. Das ist eine **Lockerung** und damit im Framework unzulässig (B9); technisch verhindert wird sie nicht. Der KI-Client selbst kann die Datei nicht schreiben – eine Verweigerungsregel auf die Laufzeitschicht steht in `deny` –, ein Mensch schon. Dasselbe Feld ist zugleich der Weg, eine Anweisungsdatei **außerhalb** des Projekts auszuschließen; das Framework liefert dafür keine Vorgabe aus (Zeile R6, D-37).
+- **Nutzerlokal ausschließbar.** `claudeMdExcludes` in `.claude/settings.local.json` kann Regeldateien über ein Glob-Muster vom Laden ausnehmen. Das ist eine **Lockerung** und damit im Framework unzulässig (B9); technisch verhindert wird sie nicht. Der KI-Client selbst kann die Datei nicht schreiben – eine Verweigerungsregel auf die Laufzeitschicht steht in `deny` –, ein Mensch schon. Dasselbe Feld ist zugleich der Weg, eine Anweisungsdatei **außerhalb** des Projekts auszuschließen; das Framework liefert dafür keine Vorgabe aus (Zeile R6).
 
 ### Regeln für die Regelablage
 
-- **Dort liegt nur, was Regel ist.** Ein erklärender Text gehört hierher, nicht dorthin (D-36). Der Validator meldet eine Datei in der Vorlage der Regelablage, die dem Nummernschema nicht folgt.
+- **Dort liegt nur, was Regel ist.** Ein erklärender Text gehört hierher, nicht dorthin. Der Validator meldet eine Datei in der Vorlage der Regelablage, die dem Nummernschema nicht folgt.
 - Änderungen an `00-`, `10-`, `15-` nur über einen Framework-Änderungsantrag; `20-` und `2N-` über den Overlay-Prozess des Projekts; `30-`, `40-` über den jeweiligen Modul-Owner.
 - Eine dort abgelegte Datei wirkt ohne weiteres Zutun. Eine Regel, die nicht wirken soll, gehört nicht in dieses Verzeichnis.
 - Dateien mit Endung `.template` sind Vorlagen; sie enden nicht auf `.md` und werden deshalb nicht geladen.

package/.koolie/core/clients/cursor/CLIENT_PACK.md

@@ -4,72 +4,70 @@
 |---|---|
 | Modul-ID | `CP-CU` |
 | Ebene | keine – Abbildungsschicht |
-| Version | 0.3.0 |
+| Version | 0.4.0 |
 | Status | pilot |
 | Owner (Rolle) | `<FRAMEWORK_OWNER>` |
-| Client | Cursor – Kommandozeile (`cursor-agent`, auch `agent`) und IDE; die Agenten in der Cloud des Anbieters fallen unter D-10 und nicht unter dieses Pack |
-| Verbindliche Zielversion | Kommandozeile `2026.09.x`; IDE `3.22.x` (D-112) |
-| Geprüfte Clientversion | Kommandozeile `2026.09.26-dd393fe` – vor dem Messen festgeschrieben (D-117). IDE `3.22.7` installiert, **an keiner Sitzung gemessen** (`K-175`). Konto: Free, Modell `auto` |
-| Stand der Produktbeobachtung | Quellenliste in Anhang 31.4.5 (`QU-1` bis `QU-8`), abgerufen am 2026-09-26. `FW-AK-01` ist für dieses Pack nicht gefahren |
-| Datum der Prüfung | **2026-09-26** – der Bau (`CR-2026-155`, `tests/protocols/2026-09-26-bau-cursor.md`): 24 Läufe an realen Installationen im Betrieb ohne Rückfragen, davon fünf Abnahmeläufe am installierten Pack; Free-Tarif, 0 USD |
+| Client | Cursor – Kommandozeile (`cursor-agent`, auch `agent`) und IDE; die Agenten in der Cloud des Anbieters sind nicht Gegenstand dieses Packs |
+| Verbindliche Zielversion | Kommandozeile `2026.09.x`; IDE `3.22.x` |
+| Geprüfte Clientversion | Kommandozeile `2026.09.26-dd393fe`. IDE `3.22.7` installiert, an keiner Sitzung gemessen. Konto: Free, Modell `auto` |
+| Stand der Produktbeobachtung | Quellenliste in Anhang 31.4.5 (`QU-1` bis `QU-8`), abgerufen am 2026-09-26; die Akzeptanzprüfung `FW-AK-01` ist für dieses Pack nicht gefahren |
+| Datum der Prüfung | 2026-09-26 (`tests/protocols/2026-09-26-bau-cursor.md`): 24 Läufe an realen Installationen im Betrieb ohne Rückfragen, davon fünf Abnahmeläufe am installierten Pack; Free-Tarif, 0 USD |
 
-> **Belegt, soweit gemessen (Stand 1.16.0).** Die Spalte „Einstufung" nennt die **vorgesehene** Durchsetzungstiefe, die Spalte „Beleg" ihren Nachweisstand: `gemessen` = an diesem Client beobachtet, `[DOK]` = aus der Herstellerdokumentation mit Quellenkennung, `[EMPF]` = Vorgabe des Frameworks, `BELEG OFFEN` = noch nicht belegt, mit Grund und Datum.
+> Die Spalte „Einstufung" nennt die vorgesehene Durchsetzungstiefe, die Spalte „Beleg" ihren Nachweisstand: `gemessen` = an diesem Client beobachtet, `[DOK]` = aus der Herstellerdokumentation mit Quellenkennung, `[EMPF]` = Vorgabe des Frameworks, `BELEG OFFEN` = noch nicht belegt, mit Grund und Datum.
 >
-> **Alle sechs Kernzusagen sind `[TECHNISCH]`** – gemessen unter **Windows** an der Kommandozeile. 🔴 **Die Schreibweise der Pfadmuster ist die Bedingung:** Der Client vergleicht ein Muster mit dem **absoluten** Pfad, und die Muster der Herstellerdokumentation (`Read(.env)`, `Read(**/.env)`) ließen den Köder unter Windows durch (Abschnitt 1b).
->
-> 🔴 **Drei Befunde stehen in keiner Dokumentation:** Ein weiterer Schlüssel in der Berechtigungsdatei lässt den Client nicht starten; ein durchsetzender Hook muss auch beim Durchlass antworten; die Hook-Eingabe beginnt unter Windows mit einem BOM (Abschnitt 1b, H2, H4).
->
-> **Wer das Pack einsetzt,** liest zuerst Abschnitt 1b und Abschnitt 6.
+> Alle sechs Kernzusagen sind `[TECHNISCH]`, gemessen unter Windows an der Kommandozeile – unter vier Bedingungen, die in keiner Herstellerdokumentation stehen (Abschnitt 1b). Wer das Pack einsetzt, liest zuerst Abschnitt 1b und Abschnitt 6.
 
 ## 1. Pfadabbildung
 
 | Rolle des Artefakts | Pfad bei diesem Client | Belegstatus |
 |---|---|---|
 | Wurzel-Anweisungsdatei | `AGENTS.md` | **gemessen** (2026-09-26): steht in jeder Sitzung im Kontext, auch im Betrieb ohne Rückfragen |
-| Regeldateien | `.cursor/rules/*.mdc`; Lademodus im Frontmatter (`alwaysApply`, `globs`) | **gemessen:** eine `.mdc`-Datei mit `alwaysApply: true` lädt in jeder Sitzung; 🔴 **eine `.md`-Datei in derselben Ablage lädt nie** |
+| Regeldateien | `.cursor/rules/*.mdc`; Lademodus im Frontmatter (`alwaysApply`, `globs`) | **gemessen:** eine `.mdc`-Datei mit `alwaysApply: true` lädt in jeder Sitzung; eine `.md`-Datei in derselben Ablage lädt nie |
 | Skills | `.cursor/skills/<name>/SKILL.md` | **gemessen:** ein Skill mit den Frontmatter-Feldern des Frameworks wurde gefunden und gelesen |
-| Subagentenprofile | `.cursor/agents/<name>.md` (Frontmatter `name`, `description`, `readonly`) | `[DOK]` **`QU-5`**; die Wirkung ist Gegenstand von A1 |
-| Berechtigungskonfiguration | `.cursor/cli.json` – **nur** der Schlüssel `permissions` mit `allow` und `deny` (erzeugt aus `framework/runtime/permissions.json`) | **gemessen:** ein `deny` darin weist ab (*„Blocked by permissions configuration"*), auch mit `--force` |
-| Ausschlussdatei | `.cursorignore` – Syntax von `.gitignore`, erzeugt aus den Leseverboten der Kernquelle | **gemessen:** sperrt Lesen **und Suchen**; die Berechtigungsdatei sperrt nur das Lesen (D-443) |
+| Subagentenprofile | `.cursor/agents/<name>.md` (Frontmatter `name`, `description`, `readonly`) | `[DOK]` `QU-5`; die Wirkung ist Gegenstand von A1 |
+| Berechtigungskonfiguration | `.cursor/cli.json` – nur der Schlüssel `permissions` mit `allow` und `deny` (erzeugt aus `framework/runtime/permissions.json`) | **gemessen:** ein `deny` darin weist ab (*„Blocked by permissions configuration"*), auch mit `--force` |
+| Ausschlussdatei | `.cursorignore` – Syntax von `.gitignore`, erzeugt aus den Leseverboten der Kernquelle | **gemessen:** sperrt Lesen und Suchen; die Berechtigungsdatei sperrt nur das Lesen |
 | Hook-Konfiguration | `.cursor/hooks.json`, Form `{version: 1, hooks: {ereignis: [...]}}` | **gemessen:** lädt auch im Betrieb ohne Rückfragen, in einem vertrauten Arbeitsbereich |
-| Planartefakt | **keines im Repositorium** – der Planmodus des Clients legt seinen Plan außerhalb ab | **gemessen:** `createPlan` mit leerer Ablageadresse; Träger des Plans ist die Planvorlage des Kerns (M4) |
-| MCP-Konfiguration | `.cursor/mcp.json` | `[DOK]` **`QU-2`**; das Framework liefert keinen Server aus. **Gemessen am 2026-09-28** (Stichprobe zu `1.18.0`, D-462): Ein Server mit `"url"` und `"headers"` lädt, die Kopfzeile `"Basic ${env:VARIABLE}"` wird aus der Umgebung gefüllt – die Datei trägt keinen Zugang. Ein Server der Projektdatei braucht eine Freigabe (`agent mcp list`: *needs approval*); `agent mcp enable` meldet sie, im Druckmodus stand der Server trotzdem nicht bereit – erst mit `--approve-mcps`, das **alle** Server freigibt |
-| Projektverzeichnis im Hook-Befehl | **keine Variable – das Arbeitsverzeichnis** | **gemessen:** der Hook-Prozess steht in der Projektwurzel. `CURSOR_PROJECT_DIR` steht in der Umgebung, aber unter Windows läuft das Kommando durch eine PowerShell-Hülle |
-| Nutzerlokale Überschreibung | **kein Mechanismus** | Der Hersteller dokumentiert keine nutzerlokale Wurzel-Anweisung; das Pack liefert keine Beispieldatei aus |
+| Planartefakt | keines im Repositorium – der Planmodus des Clients legt seinen Plan außerhalb ab | **gemessen:** `createPlan` mit leerer Ablageadresse; Träger des Plans ist die Planvorlage des Kerns (M4) |
+| MCP-Konfiguration | `.cursor/mcp.json` | `[DOK]` `QU-2`; das Framework liefert keinen Server aus. **Gemessen am 2026-09-28:** Ein Server mit `"url"` und `"headers"` lädt, die Kopfzeile `"Basic ${env:VARIABLE}"` wird aus der Umgebung gefüllt – die Datei trägt keinen Zugang. Ein Server der Projektdatei braucht eine Freigabe (`agent mcp list`: *needs approval*); im Druckmodus stand er erst mit `--approve-mcps` bereit, das alle Server freigibt |
+| Projektverzeichnis im Hook-Befehl | keine Variable – das Arbeitsverzeichnis | **gemessen:** der Hook-Prozess steht in der Projektwurzel. `CURSOR_PROJECT_DIR` steht in der Umgebung, aber unter Windows läuft das Kommando durch eine PowerShell-Hülle |
+| Nutzerlokale Überschreibung | kein Mechanismus | Der Hersteller dokumentiert keine nutzerlokale Wurzel-Anweisung; das Pack liefert keine Beispieldatei aus |
 
 ## 1a. Semantikabbildung der Berechtigungen
 
-Die Regelmenge liegt werkzeugneutral im Kern und wird bei der Installation übersetzt (D-18). Dieser Client kennt Regeln der Gestalt `Typ(Muster)` wie die erste Ausgabeform – **aber nur `allow` und `deny`**, und die Datei darf **keinen weiteren Schlüssel** tragen. Die Abbildung ist deshalb eine eigene Ausgabeform (`cursor-json`, D-440).
+Die Regelmenge liegt werkzeugneutral im Kern und wird bei der Installation übersetzt. Dieser Client kennt Regeln der Gestalt `Typ(Muster)`, aber nur `allow` und `deny`, und die Datei darf keinen weiteren Schlüssel tragen. Die Abbildung ist deshalb eine eigene Ausgabeform (`cursor-json`).
 
 | Neutrales Werkzeugverb | Regeltyp bei diesem Client | Anmerkung |
 |---|---|---|
-| `read` | `Read(…)` | Jedes Muster in **zwei Schreibweisen** mit führendem `*`: `Read(*/.env)` und `Read(*\.env)` (Abschnitt 1b) |
-| `search` | – | Kein Regeltyp. 🔴 **Das Suchwerkzeug wertet ein `Read`-Verbot nicht aus** – gemessen. Die Lesesperre für die Suche trägt `.cursorignore` (D-443) |
-| `write` | `Write(…)` | Zwei Schreibweisen wie `read`. Deckt das Löschwerkzeug mit – gemessen |
-| `exec` | `Shell(…)` ohne Stern | Das Muster trifft den Befehl und jeden, der mit ihm und einem Leerzeichen beginnt (Programmcode); verkettete Befehle zerlegt der Client – gemessen |
+| `read` | `Read(…)` | Jedes Muster in zwei Schreibweisen mit führendem `*`: `Read(*/.env)` und `Read(*\.env)` (Abschnitt 1b) |
+| `search` | – | Kein Regeltyp. Das Suchwerkzeug wertet ein `Read`-Verbot nicht aus (gemessen); die Lesesperre für die Suche trägt `.cursorignore` |
+| `write` | `Write(…)` | Zwei Schreibweisen wie `read`. Deckt das Löschwerkzeug mit (gemessen) |
+| `exec` | `Shell(…)` ohne Stern | Das Muster trifft den Befehl und jeden, der mit ihm und einem Leerzeichen beginnt (Programmcode); verkettete Befehle zerlegt der Client (gemessen) |
 | `fetch` | `WebFetch(*)` | Das Argument ist eine Domain |
 | `mcp` | – (nur Rückfrage) | Ein MCP-Werkzeug braucht die Freigabe seines Servers (`QU-2`) |
 | `skill` | – | Ein Skill ist bei diesem Client eine Datei, kein Werkzeug mit Berechtigung |
 
 | Weitere Eigenschaft | Wert |
 |---|---|
-| Rückfragekorb | **keiner** – die Rückfrageregeln der Kernquelle erklärt das Manifest (`permission_ask_ohne_korb`) statt sie zu erzeugen |
-| Ebenen | Die Projektdatei wird in die globale Konfiguration gemischt; **Listen ersetzen** dabei die globalen (Programmcode) |
+| Rückfragekorb | keiner – die Rückfrageregeln der Kernquelle erklärt das Manifest (`permission_ask_ohne_korb`), statt sie zu erzeugen |
+| Ebenen | Die Projektdatei wird in die globale Konfiguration gemischt; Listen ersetzen dabei die globalen (Programmcode) |
 | Hook-Werkzeugnamen | `Read`, `Grep`, `Shell`, `Write`, `Delete`; das Dateinamenwerkzeug `Glob` löst keinen Hook aus |
 | Pfadfelder der Hook-Eingabe | `file_path` (absolut); `Shell` führt `command` |
-| Sperrform des Schutz-Hooks | `permission-json`: `{"permission": "deny"}` und Exit 2, beim Durchlass `{}` (D-441) |
+| Sperrform des Schutz-Hooks | `permission-json`: `{"permission": "deny"}` und Exit 2, beim Durchlass `{}` |
 
 ## 1b. Die vier Bedingungen, unter denen das Pack trägt
 
-**1. Pfadmuster treffen nur mit führendem `*`.** Der Client vergleicht ein Muster **verankert mit dem absoluten Pfad**, und `*` steht dabei für eine beliebige Zeichenfolge über Trenner hinweg (Programmcode). Gemessen unter Windows: `Read(.env)` und `Read(**/.env)` ließen den Köder durch, `Read(*\.env)` und `Read(*.p12)` sperrten. Die Abbildung erzeugt deshalb jedes Pfadmuster zweimal, mit `/` für macOS und Linux und mit `\` für Windows. **Die Schreibweise mit `/` ist nicht gemessen** – sie folgt aus dem Programmcode (`K-176`). ⚠️ Der Preis: Das Muster ist **breiter** als das der Kernquelle – `Write(*/AGENTS.md)` sperrt auch ein `AGENTS.md` in einem Unterordner, und `Read(*/*secret*)` sperrt jede Datei, in deren Pfad `secret` vorkommt, **auch oberhalb des Projekts**. Bei einem Verbot ist das eine Verschärfung; ein Projekt unter einem solchen Pfad kann nichts mehr lesen und merkt es sofort.
+**1. Pfadmuster treffen nur mit führendem `*`.** Der Client vergleicht ein Muster verankert mit dem absoluten Pfad; `*` steht dabei für eine beliebige Zeichenfolge über Trenner hinweg (Programmcode). Unter Windows ließen `Read(.env)` und `Read(**/.env)` den Köder durch, `Read(*\.env)` und `Read(*.p12)` sperrten. Die Abbildung erzeugt deshalb jedes Pfadmuster zweimal: mit `/` für macOS und Linux (aus dem Programmcode, nicht gemessen) und mit `\` für Windows.
+
+Das Muster ist dadurch breiter als das der Kernquelle: `Write(*/AGENTS.md)` sperrt auch ein `AGENTS.md` in einem Unterordner, und `Read(*/*secret*)` sperrt jede Datei, in deren Pfad `secret` vorkommt, auch oberhalb des Projekts. Bei einem Verbot ist das eine Verschärfung; ein Projekt unter einem solchen Pfad kann nichts lesen und merkt es sofort.
 
-**2. Die Berechtigungsdatei trägt nur `permissions`.** Gemessen: Mit `_comment` und `_core_rules_integrity` brach der Client mit Exit 1 ab (*„Unrecognized key(s) in object"*), ebenso bei kaputtem JSON. Das ist **fail-closed** – der Client startet nicht, statt ohne Regeln zu laufen. **Prüfung 97** hält die Datei gegen die Kernquelle, weil sie ihre Kernregeln nicht selbst auflisten kann.
+**2. Die Berechtigungsdatei trägt nur `permissions`.** Mit einem weiteren Schlüssel (etwa `_comment`) oder kaputtem JSON bricht der Client mit Exit 1 ab (*„Unrecognized key(s) in object"*) – er startet nicht, statt ohne Regeln zu laufen. Weil die Datei ihre Kernregeln nicht selbst auflisten kann, hält Prüfung 97 sie gegen die Kernquelle.
 
-**3. Die Hooks brauchen einen vertrauten Arbeitsbereich und unter Windows den richtigen Start.** Sie laufen in jeder Sitzung, **auch ohne Rückfragen** – anders als bei `kiro`. Unter Windows reicht der Client die Eingabe durch eine PowerShell-Hülle weiter. 🔴 **Mit gesetzter Variable `SHELL`** (Start aus Git Bash) führt er diese Hülle in `bash` aus; sie scheitert, und ein Hook mit `failClosed` sperrt dann **jede** Operation – gemessen. Aus PowerShell oder `cmd` gestartet, laufen die Hooks.
+**3. Die Hooks brauchen einen vertrauten Arbeitsbereich und unter Windows den richtigen Start.** Sie laufen in jeder Sitzung, auch ohne Rückfragen. Unter Windows reicht der Client die Eingabe durch eine PowerShell-Hülle weiter. Ist die Variable `SHELL` gesetzt (Start aus Git Bash), führt er diese Hülle in `bash` aus; sie scheitert, und ein Hook mit `failClosed` sperrt dann **jede** Operation. Aus PowerShell oder `cmd` gestartet, laufen die Hooks.
 
-**4. Fremde Konfigurationen laden mit.** Der Client lädt standardmäßig Hooks von Claude Code aus `.claude/settings.json` **und `~/.claude/settings.json`**, Skills aus `.claude/skills/`, `.codex/skills/` und `~/.claude/skills/` und die Datei `CLAUDE.md` der Projektwurzel – gemessen. Der Schalter ist eine Einstellung der IDE (*Third-Party Imports*), nicht des Projekts. `install.py` meldet, was davon auf dem Arbeitsplatz belegt ist (R6).
+**4. Fremde Konfigurationen laden mit.** Der Client lädt standardmäßig Hooks von Claude Code aus `.claude/settings.json` und `~/.claude/settings.json`, Skills aus `.claude/skills/`, `.codex/skills/` und `~/.claude/skills/` und die Datei `CLAUDE.md` der Projektwurzel (gemessen). Der Schalter ist eine Einstellung der IDE (*Third-Party Imports*), nicht des Projekts. `install.py` meldet, was davon auf dem Arbeitsplatz belegt ist (R6).
 
-**Die IDE** liest `.cursor/cli.json` nach der Herstellerdokumentation nicht – sie ist als Konfiguration der Kommandozeile beschrieben (`QU-2`). Hooks, Regeln, Skills und `.cursorignore` gelten laut Dokumentation für beide. **An einer IDE-Sitzung ist nichts davon gemessen** (`K-175`).
+**Die IDE** liest `.cursor/cli.json` laut Herstellerdokumentation nicht – die Datei ist als Konfiguration der Kommandozeile beschrieben (`QU-2`). Hooks, Regeln, Skills und `.cursorignore` gelten laut Dokumentation für beide. An einer IDE-Sitzung ist nichts davon gemessen.
 
 ## 2. Fähigkeitsmatrix
 
@@ -82,9 +80,9 @@ Einstufung je Zusage: `[TECHNISCH]` erzwungen · `[TEXTUELL]` nur Anweisung · `
 | R1 | Wurzel-Anweisungsdatei wird ungefragt geladen | `AGENTS.md` steht in jeder Sitzung im Kontext | `[TECHNISCH]` | **gemessen** (2026-09-26): Kennwort aus `AGENTS.md` ohne Werkzeugaufruf genannt; im installierten Pack mit Pfad aufgezählt |
 | R2 | Regeldateien mit Ladebedingungen | `.cursor/rules/*.mdc`, Frontmatter `alwaysApply` und `globs` | `[TECHNISCH]` | **gemessen:** `alwaysApply: true` lädt immer; die vier Regeln des Frameworks standen im installierten Pack im Kontext. 🔴 **Eine `.md`-Datei in der Ablage lädt nie** – die Regeln heißen deshalb `.mdc` (`QU-1`). `model_decision` bildet auf unbedingtes Laden ab – eine Verschärfung |
 | R3 | Regeln an Dateimuster bindbar | `alwaysApply: false` mit `globs` als Liste | `[TECHNISCH]` | **gemessen mit Gegenprobe:** Eine Regel mit `**/*.xyz` stand nach dem Lesen von `probe.xyz` im Kontext, mit `**/*.abc` nicht |
-| R4 | Bekanntes Zeichenlimit | **Vorgabe des Frameworks** – höchstens 40.000 Zeichen für das stets Geladene (D-387) | `[TEXTUELL]` | `[EMPF]`. Der Hersteller empfiehlt Regeln unter 500 Zeilen (`QU-1`); ein Limit ist nicht dokumentiert. Gemessen ist die Last: 13.612 Eingabetoken einer Sitzung mit installiertem Pack gegenüber 10.190 im Minimalbaum |
+| R4 | Bekanntes Zeichenlimit | Vorgabe des Frameworks – höchstens 40.000 Zeichen für das stets Geladene | `[TEXTUELL]` | `[EMPF]`. Der Hersteller empfiehlt Regeln unter 500 Zeilen (`QU-1`); ein Limit ist nicht dokumentiert. Gemessen ist die Last: 13.612 Eingabetoken einer Sitzung mit installiertem Pack gegenüber 10.190 im Minimalbaum |
 | R5 | Die geladenen Regelquellen sind vollständig aufzählbar | Keine Aufzählung des Clients in der Ausgabe; die Sitzung nennt ihre Quellen auf Nachfrage | `[TEXTUELL]` | **gemessen ist nur die Selbstauskunft** der Sitzung (Pfade aller fünf Träger). Eine Auskunft des Modells, keine des Clients |
-| R6 | Keine Importe fremder Werkzeugformate | **Kein Schalter im Projekt.** Der Import von Claude Code (Hooks, Skills, `CLAUDE.md`) ist eine Einstellung der IDE mit Standard „an" | `[NICHT ABBILDBAR]` | **gemessen:** `CLAUDE.md` lud in jeder Sitzung; die Hooks aus `~/.claude/settings.json` liefen an der Kommandozeile mit. **Ersatz, geliefert:** die Meldung von `install.py` über belegte Quellen, einschließlich der nur global abschaltbaren Commit-Attribution, und der Nachschritt zur Einstellung der IDE (Abschnitt 7) |
+| R6 | Keine Importe fremder Werkzeugformate | Kein Schalter im Projekt. Der Import von Claude Code (Hooks, Skills, `CLAUDE.md`) ist eine Einstellung der IDE mit Standard „an" | `[NICHT ABBILDBAR]` | **gemessen:** `CLAUDE.md` lud in jeder Sitzung; die Hooks aus `~/.claude/settings.json` liefen an der Kommandozeile mit. **Ersatz, geliefert:** die Meldung von `install.py` über belegte Quellen, einschließlich der nur global abschaltbaren Commit-Attribution, und der Nachschritt zur Einstellung der IDE (Abschnitt 7) |
 
 ### S – Skills
 
@@ -92,13 +90,13 @@ Einstufung je Zusage: `[TECHNISCH]` erzwungen · `[TEXTUELL]` nur Anweisung · `
 |---|---|---|---|---|
 | S1 | Versionierte Skills im Repository | `.cursor/skills/<name>/SKILL.md` | `[TECHNISCH]` | **gemessen:** ein Skill der Ablage wurde gefunden und gelesen, auch mit den Frontmatter-Feldern des Frameworks |
 | S2 | Gezielter Aufruf | `/<name>` in der Sitzung | `[TECHNISCH]` | `[DOK]` **`QU-4`**; gemessen ist nur der Aufruf beim Namen im Auftrag – die Sitzung las den Skill |
-| S3 | Werkzeugbeschränkung je Skill | **Kein Feld.** `allowed-tools`, `permissions` und `triggers` werden angenommen und nicht ausgewertet | `[TEXTUELL]` | **gemessen:** Ein Skill mit `permissions: deny: [edit]` war geladen, und das Schreiben blieb im selben Lauf erlaubt. Was trägt, ist die globale Schicht |
+| S3 | Werkzeugbeschränkung je Skill | Kein Feld. `allowed-tools`, `permissions` und `triggers` werden angenommen und nicht ausgewertet | `[TEXTUELL]` | **gemessen:** Ein Skill mit `permissions: deny: [edit]` war geladen, und das Schreiben blieb im selben Lauf erlaubt. Was trägt, ist die globale Schicht |
 | S4 | Schreibende Skills nur benutzergetriggert | `disable-model-invocation: true`, übersetzt aus `triggers` | `[TECHNISCH]` | `[DOK]` **`QU-4`**; `BELEG OFFEN` (2026-09-26): die Wirkung des Feldes ist nicht gemessen |
 | S5 | Die geladenen Skills sind aufzählbar | Selbstauskunft der Sitzung | `[TEXTUELL]` | `BELEG OFFEN` (2026-09-26): Die Ausgabe ohne Rückfragen führt keine Liste der Skills |
 
 ### B – Berechtigungen
 
-> **`[TECHNISCH]` heißt in diesem Block:** Der Client setzt die Regel durch, **auch im Betrieb, der Rückfragen überspringt** – gemessen: Jedes `deny` hielt mit `--force`. Für dieses Pack kommen **zwei gemessene Bedingungen** hinzu: **die Schreibweise der Pfadmuster** (Abschnitt 1b, Punkt 1) und **eine Datei, mit der der Client startet** (Punkt 2). Die Berechtigungsdatei ist eine Konfiguration der **Kommandozeile**; für die IDE ist sie nicht dokumentiert (`K-175`). **Die zweite Linie ist der Schutz-Hook, die dritte für Lesen und Suchen `.cursorignore`.**
+> `[TECHNISCH]` heißt in diesem Block: Der Client setzt die Regel durch, auch im Betrieb, der Rückfragen überspringt – jedes `deny` hielt mit `--force`. Dazu kommen zwei Bedingungen aus Abschnitt 1b: die Schreibweise der Pfadmuster (Punkt 1) und eine Datei, mit der der Client startet (Punkt 2). Die Berechtigungsdatei ist eine Konfiguration der Kommandozeile; für die IDE ist sie nicht dokumentiert. Die zweite Linie ist der Schutz-Hook, die dritte für Lesen und Suchen `.cursorignore`.
 
 Die mit **Kern** markierten Zeilen entsprechen den Kernzusagen der Kernquelle; Prüfung 97 hält die Datei gegen sie, weil die Datei sie nicht selbst auflisten darf.
 
@@ -106,11 +104,11 @@ Die mit **Kern** markierten Zeilen entsprechen den Kernzusagen der Kernquelle; P
 |---|---|---|---|---|---|
 | B1 | Berechtigungen versioniert im Repository | ja | `.cursor/cli.json` und `.cursorignore` im Projekt | `[TECHNISCH]` | **gemessen:** beide Träger liegen im Projekt und wirken ohne Schalter. Mit einem fremden Schlüssel oder kaputtem JSON startet der Client nicht (fail-closed) |
 | B2 | Verweigern vor Rückfragen vor Erlauben | ja | `deny` vor `allow`; was kein `allow` deckt, fragt bei Befehlen zurück | `[TECHNISCH]` | **gemessen:** `deny` auf `.env` schlägt `allow` auf `Read(**)`. Einen Rückfragekorb gibt es nicht (B7) |
-| B3 | Secret-Dateien per Pfadmuster lesegeschützt | ja | `deny Read` in zwei Schreibweisen **und** `.cursorignore` | `[TECHNISCH]` | **gemessen an einer realen Installation:** `.env` und `secrets/pw.txt` abgewiesen, `probe.txt` gelesen – mit der Berechtigungsdatei allein, ohne Hook. 🔴 **Das Suchwerkzeug beachtet das `Read`-Verbot nicht** (Köder aus `secrets/` gefunden); mit `.cursorignore` war die Suche ausgefiltert, und der Schutz-Hook sperrte sie ebenfalls. Groß- und Kleinschreibung unterscheidet das Muster, der Hook nicht |
-| B4 | Framework- und Overlay-Artefakte schreibgeschützt | ja | `deny Write` auf `AGENTS.md`, `.cursor/**`, `.koolie/core/**`; `.cursorignore` schützt der Client selbst. **Das Overlay sperrt seit `1.17.0` allein der Schutz-Hook** (D-448); die Berechtigungsdatei führt es nicht mehr – nachgezählt an einer Installation am 2026-09-29 (D-468) | `[TECHNISCH]` | **gemessen:** Schreiben auf `AGENTS.md`, in `.koolie/core/` und `.cursor/rules/` abgewiesen, Löschen von `OVERLAY.md` abgewiesen (mit `1.16.0`, noch mit der statischen Sperre – über den Hook allein nicht nachgemessen), `neu.txt` angelegt. ⚠️ **Grenze, nicht gemessen:** ein freigegebener lesender `git`-Befehl mit schreibender Option (`git diff --output=<pfad>`) |
+| B3 | Secret-Dateien per Pfadmuster lesegeschützt | ja | `deny Read` in zwei Schreibweisen und `.cursorignore` | `[TECHNISCH]` | **gemessen an einer realen Installation:** `.env` und `secrets/pw.txt` abgewiesen, `probe.txt` gelesen – mit der Berechtigungsdatei allein, ohne Hook. 🔴 **Das Suchwerkzeug beachtet das `Read`-Verbot nicht** (Köder aus `secrets/` gefunden); mit `.cursorignore` war die Suche ausgefiltert, und der Schutz-Hook sperrte sie ebenfalls. Groß- und Kleinschreibung unterscheidet das Muster, der Hook nicht |
+| B4 | Framework- und Overlay-Artefakte schreibgeschützt | ja | `deny Write` auf `AGENTS.md`, `.cursor/**`, `.koolie/core/**`; `.cursorignore` schützt der Client selbst. Das Overlay sperrt allein der Schutz-Hook; die Berechtigungsdatei führt es nicht | `[TECHNISCH]` | **gemessen:** Schreiben auf `AGENTS.md`, in `.koolie/core/` und `.cursor/rules/` abgewiesen, Löschen von `OVERLAY.md` abgewiesen (mit `1.16.0`, noch mit der statischen Sperre – über den Hook allein nicht nachgemessen), `neu.txt` angelegt. ⚠️ **Grenze, nicht gemessen:** ein freigegebener lesender `git`-Befehl mit schreibender Option (`git diff --output=<pfad>`) |
 | B5 | CI-, Quality-Gate- und Lockdateien schreibgeschützt | ja | `deny Write` mit den Lockmustern und den Schlitzen `<CI_CONFIG_PATHS>`, `<QUALITY_GATE_CONFIG_PATHS>` | `[TECHNISCH]` | **gemessen am Mechanismus** (Pfadmuster im `deny`, B4); die Schlitze füllt der Overlay Owner in beiden Schreibweisen, die Lockmuster sind nicht einzeln angefahren |
 | B6 | Befehle per Muster verweigerbar | ja | `deny Shell(git push)` und die übrigen Befehlsverbote | `[TECHNISCH]` | **gemessen:** `git push origin main` abgewiesen, auch in `git status && git push origin main`; `rm probe.txt` abgewiesen. ⚠️ **Grenze wie bei allen Packs:** `git -C . push origin main` trifft das Muster nicht – es fiel in die **Rückfrage** und wurde ohne Rückfragekanal abgewiesen |
-| B7 | Schreiboperationen fragen zurück | – | **Kein Rückfragekorb; Dateien im Arbeitsbereich schreibt der Client ohne Rückfrage** | `[NICHT ABBILDBAR]` | **gemessen:** `neu2.txt` angelegt, auch **ohne** `--force`; der Hersteller sagt es selbst (`QU-8`). **Ersatz:** die Schreibverbote (B4, B5), der Schutz-Hook und die Sichtprüfung im Merge Request – eine Rückfrage vor jedem Schreiben gibt es bei diesem Client nicht |
+| B7 | Schreiboperationen fragen zurück | – | Kein Rückfragekorb; Dateien im Arbeitsbereich schreibt der Client ohne Rückfrage | `[NICHT ABBILDBAR]` | **gemessen:** `neu2.txt` angelegt, auch **ohne** `--force`; der Hersteller sagt es selbst (`QU-8`). **Ersatz:** die Schreibverbote (B4, B5), der Schutz-Hook und die Sichtprüfung im Merge Request – eine Rückfrage vor jedem Schreiben gibt es bei diesem Client nicht |
 | B8 | Netzwerkzugriff standardmäßig unterbunden | – | `deny WebFetch(*)` und `deny Shell` auf `curl`, `wget`, `ssh`, `scp` | `[TECHNISCH]` für das Web-Werkzeug und diese vier Programme; `[TEXTUELL]` darüber hinaus | **gemessen:** `curl` abgewiesen; der Webabruf abgewiesen – ob durch das Verbot oder die Rückfrage, sagt die Meldung nicht. ⚠️ Jedes andere netzfähige Programm fragt zurück, ist aber nicht verboten |
 | B9 | Nutzerlokale Konfiguration kann nur verschärfen | – | Die Projektdatei ersetzt die Listen der globalen Konfiguration; ein `deny` gilt in jedem Betriebsmodus | `[TECHNISCH]` | **gemessen:** das `deny` des Projekts hielt mit `--force`; die Ersetzung der Listen ist aus dem Programmcode. ⚠️ **Ein `deny` des Arbeitsplatzes gilt in diesem Projekt nicht mehr**, und die globale Einstellung `approvalMode: unrestricted` überspringt die Rückfragen (M2) |
 | B10 | Externer Abruf auf freigegebene Domains beschränkbar | – | `WebFetch(<domain>)` | `[TECHNISCH]` | `[DOK]` **`QU-2`**. Das Framework nutzt die strengste Form – alles verboten (B8, D-59) |
@@ -119,16 +117,16 @@ Die mit **Kern** markierten Zeilen entsprechen den Kernzusagen der Kernquelle; P
 
 | ID | Zusage des Frameworks | Mechanismus beim Client | Einstufung | Beleg |
 |---|---|---|---|---|
-| H1 | Prüfung vor Werkzeugausführung | `preToolUse` in `.cursor/hooks.json`, Matcher als regulärer Ausdruck über die Werkzeugnamen, seit `1.20.0` mit `MCP:.*`. Bei einem MCP-Werkzeug prüft der Hook den Inhalt gegen die Secret-Muster und die Pfadfelder gegen die Secret-Pfade (D-486); jede Entscheidung steht in `.git/koolie-hook.jsonl`, ohne Inhalt und Pfad (D-487) | `[TECHNISCH]` | **gemessen:** Der Hook läuft bei jedem Lese-, Such-, Schreib-, Lösch- und Shell-Aufruf, **auch ohne Rückfragen**. Bedingungen: ein vertrauter Arbeitsbereich und unter Windows ein Start ohne `SHELL` (Abschnitt 1b). **MCP gemessen am 2026-09-29** (2026.09.28, `tests/protocols/2026-09-29-schutzschicht.md`): Ein MCP-Aufruf löst `preToolUse` aus, `tool_name` ist `MCP:<werkzeug>`; ohne den Matcher erreichte ein Köderwert den Server, mit ihm sperrte der Hook, und eine harmlose Notiz kam an. Daneben feuert `beforeMCPExecution`, das der Hook nicht braucht |
+| H1 | Prüfung vor Werkzeugausführung | `preToolUse` in `.cursor/hooks.json`, Matcher als regulärer Ausdruck über die Werkzeugnamen, mit `MCP:.*`. Bei einem MCP-Werkzeug prüft der Hook den Inhalt gegen die Secret-Muster und die Pfadfelder gegen die Secret-Pfade; jede Entscheidung steht in `.git/koolie-hook.jsonl`, ohne Inhalt und Pfad | `[TECHNISCH]` | **gemessen:** Der Hook läuft bei jedem Lese-, Such-, Schreib-, Lösch- und Shell-Aufruf, **auch ohne Rückfragen**. Bedingungen: ein vertrauter Arbeitsbereich und unter Windows ein Start ohne `SHELL` (Abschnitt 1b). **MCP gemessen am 2026-09-29** (2026.09.28, `tests/protocols/2026-09-29-schutzschicht.md`): Ein MCP-Aufruf löst `preToolUse` aus, `tool_name` ist `MCP:<werkzeug>`; ohne den Matcher erreichte ein Köderwert den Server, mit ihm sperrte der Hook, und eine harmlose Notiz kam an. Daneben feuert `beforeMCPExecution`, das der Hook nicht braucht |
 | H2 | Prüfung kann **blockieren** | `{"permission": "deny"}` und Exit 2; beim Durchlass `{}`; `failClosed: true` | `[TECHNISCH]` | 🔴 **Gemessen, und der schwerste Befund des Hooks** (D-441): Exit 2 sperrt – aber ohne `failClosed` lässt ein Hook, der scheitert, die Operation **durch**, und mit `failClosed` wertet der Client einen Hook **ohne Ausgabe** als gescheitert: Er sperrte jede Operation, auch das Lesen von `probe.txt`. Mit der Form `permission-json` gesperrt: `.env` über Lese-, Such- und Shell-Werkzeug, `AGENTS.md`, `.koolie/core/`, `.cursor/rules/`, `OVERLAY.md`; durchgelassen: `probe.txt`. **Prüfung 86** misst beide Hälften |
 | H3 | Statusmeldung beim Sitzungsstart | `sessionStart` mit `hook-overlay-status.py` | `[TECHNISCH]` | **gemessen:** Framework-Version und Overlay-Status standen wörtlich im Kontext, und die Sitzung arbeitete danach im Modus M1. Die Ausgabe in der Form von Claude Code (`hookSpecificOutput`) übersetzt der Client |
-| H4 | Eingabeschema und Pfadidentität des Schutz-Hooks | Ereignisprüfung, Pfadfeld `file_path`, BOM-feste Eingabe, alle Muster ohne Rücksicht auf Groß-/Kleinschreibung; `hook_fail_closed` steht auf `true`. **Grenze:** Ein Hook prüft **vor** dem Zugriff (D-397) | `[TECHNISCH]` für die Musterprüfung, **mit der Zeitlücke** | **gemessen:** das Schema von `preToolUse` für fünf Werkzeuge. 🔴 **Die Eingabe beginnt unter Windows mit einem UTF-8-BOM** – der Hook scheiterte daran, bis er sie als UTF-8 mit BOM las (D-441). ⚠️ Das Dateinamenwerkzeug `Glob` löst keinen Hook aus; es liefert Namen, keine Inhalte |
+| H4 | Eingabeschema und Pfadidentität des Schutz-Hooks | Ereignisprüfung, Pfadfeld `file_path`, BOM-feste Eingabe, alle Muster ohne Rücksicht auf Groß-/Kleinschreibung; `hook_fail_closed` steht auf `true`. Grenze: Ein Hook prüft vor dem Zugriff | `[TECHNISCH]` für die Musterprüfung, **mit der Zeitlücke** | **gemessen:** das Schema von `preToolUse` für fünf Werkzeuge. 🔴 **Die Eingabe beginnt unter Windows mit einem UTF-8-BOM** – der Hook scheiterte daran, bis er sie als UTF-8 mit BOM las (D-441). ⚠️ Das Dateinamenwerkzeug `Glob` löst keinen Hook aus; es liefert Namen, keine Inhalte |
 
 ### A – Agentenprofile
 
 | ID | Zusage des Frameworks | Mechanismus beim Client | Einstufung | Beleg |
 |---|---|---|---|---|
-| A1 | Rein lesendes Reviewprofil | `.cursor/agents/fw-reviewer.md` mit `readonly: true` | `[TECHNISCH]` | `[DOK]` **`QU-5`** (*„no file edits, no state-changing shell commands"*); `BELEG OFFEN` (2026-09-26): Der Start eines Subagenten ist nicht gemessen |
+| A1 | Rein lesendes Reviewprofil | `.cursor/agents/koolie-reviewer.md` mit `readonly: true` | `[TECHNISCH]` | `[DOK]` **`QU-5`** (*„no file edits, no state-changing shell commands"*); `BELEG OFFEN` (2026-09-26): Der Start eines Subagenten ist nicht gemessen |
 | A2 | Rein lesendes Analyseprofil für Modus M1 | Modus `ask` (`--mode ask`, *„read-only"*) | `[TEXTUELL]` | `[DOK]` **`QU-6`**; `BELEG OFFEN` (2026-09-26) für seine Wirkung |
 
 ### M – Modi und Sitzungsfreigaben
@@ -138,7 +136,7 @@ Die mit **Kern** markierten Zeilen entsprechen den Kernzusagen der Kernquelle; P
 | M1 | Standardmodus fragt bei Schreiben und Befehlen zurück | Befehle außerhalb von `allow` fragen zurück; **Schreiben im Arbeitsbereich nicht** | `[NICHT ABBILDBAR]` für das Schreiben, `[TECHNISCH]` für Befehle | **gemessen:** ohne Rückfragekanal wurden `python --version` und `git log` abgewiesen, `neu2.txt` angelegt. **Ersatz:** wie B7 |
 | M2 | Modus ohne Rückfragen ausschließbar | **Kein Ausschluss.** `--force` (`--yolo`) und die globale Einstellung `approvalMode: unrestricted` überspringen Rückfragen; ein `deny` gilt weiter | `[TEXTUELL]` | **gemessen:** jedes `deny` hielt mit `--force`. Das ist mehr als bei den meisten Packs, aber keine Sperre des Modus |
 | M3 | Freigabe auf die Sitzung begrenzbar | Die Freigabe einer Rückfrage kann in die Freigabeliste übernommen werden | `[TEXTUELL]` | `BELEG OFFEN` (2026-09-26): Eine Rückfrage an einen Menschen ist ohne Rückfragekanal nicht messbar. ⚠️ Nach dem Programmcode schreibt die Übernahme in die Konfiguration – über die Sitzung hinaus |
-| M4 | Eigener Planungsmodus für Modus M2 | Modus `plan` (`--plan`); der Plan geht an ein eigenes Werkzeug und liegt **nicht im Repositorium** | `[TEXTUELL]` | **gemessen:** Die Sitzung las, schrieb nichts und legte einen Plan mit leerer Ablageadresse an. Der Träger des Plans ist deshalb die Planvorlage des Kerns (`fw-plan`); anders als bei `kiro` liefert das Pack keine Regel für ein clienteigenes Planartefakt |
+| M4 | Eigener Planungsmodus für Modus M2 | Modus `plan` (`--plan`); der Plan geht an ein eigenes Werkzeug und liegt nicht im Repositorium | `[TEXTUELL]` | **gemessen:** Die Sitzung las, schrieb nichts und legte einen Plan mit leerer Ablageadresse an. Der Träger des Plans ist deshalb die Planvorlage des Kerns (`koolie-plan`); anders als bei `kiro` liefert das Pack keine Regel für ein clienteigenes Planartefakt |
 | M6 | Modus mit selbsttätiger Übernahme von Dateiänderungen begrenzbar | Änderungen im Arbeitsbereich übernimmt der Client **immer** selbsttätig | `[NICHT ABBILDBAR]` | **gemessen** (B7) und `[DOK]` **`QU-8`** (*„Changes save immediately to disk"*). **Ersatz:** wie B7 |
 | M7 | Modus, der selbst beurteilt, was sicher ist, begrenzbar | `--auto-review` und `approvalMode: auto-review` (ein Klassifikator des Anbieters) | `[TEXTUELL]` | `[DOK]` **`QU-2`**; `BELEG OFFEN` (2026-09-26) für seine Begrenzbarkeit. Der Hersteller nennt die Modi *„best-effort guardrails rather than a hard security boundary"* (`QU-8`) |
 
@@ -151,7 +149,7 @@ Die mit **Kern** markierten Zeilen entsprechen den Kernzusagen der Kernquelle; P
 
 ## 3. Zusammenfassung der Durchsetzungstiefe
 
-> **Zählregel (normativ für diese Tabelle):** Eine Zeile zählt bei ihrer **schwächsten** Einstufung (D-47). Prüfung 31 rechnet die Summen aus der Matrix nach.
+> **Zählregel (normativ für diese Tabelle):** Eine Zeile zählt bei ihrer schwächsten Einstufung. Prüfung 31 rechnet die Summen aus der Matrix nach.
 
 | Klasse | Anzahl | davon Kernzusagen |
 |---|---|---|
@@ -159,21 +157,21 @@ Die mit **Kern** markierten Zeilen entsprechen den Kernzusagen der Kernquelle; P
 | `[TEXTUELL]` | **10 von 35** | 0 von 6 |
 | `[NICHT ABBILDBAR]` | **5 von 35** | 0 von 6 |
 
-**Belegstand:** `BELEG OFFEN` sagen **S4**, **S5**, **A1**, **A2**, **M3**, **M7** und **X1**, dazu **X2** dauerhaft. Gemessen ist an der Kommandozeile unter Windows; die Zeilen der IDE stehen auf der Dokumentation (`K-175`), die Schreibweise der Pfadmuster für macOS und Linux auf dem Programmcode (`K-176`).
+`BELEG OFFEN` sagen S4, S5, A1, A2, M3, M7 und X1, dazu X2 dauerhaft. Gemessen ist an der Kommandozeile unter Windows; die Zeilen der IDE stehen auf der Dokumentation, die Schreibweise der Pfadmuster für macOS und Linux auf dem Programmcode.
 
 ## 4. Kernzusagen ohne technische Durchsetzung
 
-**Keine.** Alle sechs Kernzusagen sind `[TECHNISCH]` – unter den Bedingungen aus Abschnitt 1b, die in der Vorbemerkung des B-Blocks stehen, weil sie keine Zeile einzeln betreffen.
+Keine. Alle sechs Kernzusagen sind `[TECHNISCH]`, unter den Bedingungen aus Abschnitt 1b; die Vorbemerkung des B-Blocks nennt sie.
 
 ## 5. Bekannte Abweichungen im Verhalten
 
-- **Die Berechtigungsdatei trägt nur `permissions`** (`permissions_format` `cursor-json`, D-440). Sie ist JSON mit Regeln der Gestalt `Typ(Muster)`, aber ohne `_core_rules_integrity`, ohne `ask` und mit einer eigenen Musterschreibweise. Deshalb erreichen dieses Pack nicht: **Prüfung 2**, **Prüfung 37**, **Prüfung 42**, **Prüfung 43**, **Prüfung 54** und **Prüfung 72**; nur zum Teil **Prüfung 59** und **Prüfung 89** (ihr Gegenstand (c), die Pfade des Overlays im `deny`, entfällt). An ihre Stelle tritt die Prüfung der Berechtigungsdatei gegen die Kernquelle (Abschnitt 1b, Punkt 2). Der Prüfapparat hält diese Liste gegen seine eigene Liste der formatgebundenen Prüfungen.
+- **Die Berechtigungsdatei trägt nur `permissions`** (`permissions_format` `cursor-json`): Regeln der Gestalt `Typ(Muster)`, aber ohne `_core_rules_integrity`, ohne `ask` und mit eigener Musterschreibweise. Dieses Pack erreichen deshalb nicht: Prüfung 2, Prüfung 37, Prüfung 42, Prüfung 43, Prüfung 54 und Prüfung 72; nur zum Teil Prüfung 59 und Prüfung 89 (ihr Gegenstand (c), die Pfade des Overlays im `deny`, entfällt). An ihre Stelle tritt die Prüfung der Berechtigungsdatei gegen die Kernquelle (Abschnitt 1b, Punkt 2). Der Prüfapparat hält diese Liste gegen seine eigene Liste der formatgebundenen Prüfungen.
 - **Kein Rückfragekorb, und Schreiben im Arbeitsbereich fragt nicht zurück** (B7). Die Rückfrageregeln der Kernquelle erklärt das Manifest; die Befehlsschlitze des Overlays gehören nicht unter `allow`.
 - **Jedes Pfadmuster steht zweimal** und ist breiter als das der Kernquelle (Abschnitt 1b). Ein Projekt, das einen eigenen Pfad sperrt, schreibt ihn ebenso: `Read(*/<pfad>)` und `Read(*\<pfad>)`. Der Validator warnt bei einem Pfadverbot, das nie trifft.
-- **Die Lesesperre steht zweimal**, in der Berechtigungsdatei und in `.cursorignore` – die zweite, weil das Suchwerkzeug die erste nicht beachtet (D-443).
-- **Der Schutz-Hook antwortet auch beim Durchlass** und liest seine Eingabe BOM-fest (D-441).
-- **Regeldateien heißen `.mdc`**; eigene Regeln des Projekts ebenso (`rule_file_ext`).
-- **Die Commit-Attribution lässt sich nur global abschalten** (`attribution.attributeCommitsToAgent` in `~/.cursor/cli-config.json`). Gemessen: Mit dem Standard hängte die Sitzung jedem Commit `Co-authored-by: Cursor <…>` an – gegen Q5; mit `false` nicht.
+- **Die Lesesperre steht zweimal**, in der Berechtigungsdatei und in `.cursorignore`, weil das Suchwerkzeug die erste nicht beachtet.
+- **Der Schutz-Hook antwortet auch beim Durchlass** und liest seine Eingabe BOM-fest.
+- **Regeldateien heißen `.mdc`**, eigene Regeln des Projekts ebenso (`rule_file_ext`).
+- **Die Commit-Attribution lässt sich nur global abschalten** (`attribution.attributeCommitsToAgent` in `~/.cursor/cli-config.json`). Mit dem Standard hängt die Sitzung jedem Commit `Co-authored-by: Cursor <…>` an – gegen Q5; mit `false` nicht.
 
 ## 6. Installation und Prüfung
 
@@ -182,13 +180,20 @@ python .koolie/core/install.py --target /pfad/zum/projekt --client cursor
 python .koolie/core/tests/scripts/validate-framework.py
 ```
 
-🔴 **Danach:** Unter Windows die Kommandozeile aus PowerShell oder `cmd` starten, nicht aus Git Bash. Beim ersten Start dem Arbeitsbereich vertrauen. Die Commit-Attribution global auf `false` setzen. Den Import fremder Konfigurationen in der IDE prüfen. `install.py` nennt diese Schritte nach der Installation und meldet belegte fremde Quellen; nach jeder Hebung nennt es, dass `.cursor/cli.json` und `.cursorignore` Saat sind und nicht angefasst werden.
+Danach:
+
+1. Unter Windows die Kommandozeile aus PowerShell oder `cmd` starten, **nicht aus Git Bash** – sonst sperrt der Schutz-Hook jede Operation (Abschnitt 1b, Punkt 3).
+2. Beim ersten Start dem Arbeitsbereich vertrauen.
+3. Die Commit-Attribution global auf `false` setzen.
+4. Den Import fremder Konfigurationen in der IDE prüfen.
+
+`install.py` nennt diese Schritte nach der Installation und meldet belegte fremde Quellen. Nach jeder Hebung erinnert es daran, dass `.cursor/cli.json` und `.cursorignore` Saat sind und nicht angefasst werden.
 
 Vor der ersten produktiven Nutzung sind die Basistests des Testkatalogs gegen diesen Client zu fahren und zu protokollieren.
 
 ## 7. Anweisungs- und Konfigurationsquellen außerhalb des Projekts
 
-**Pflichtabschnitt** (D-34). Solche Quellen haben nach Regel 2.6 der Prioritätshierarchie **keine Ebene**.
+Pflichtabschnitt. Solche Quellen haben nach Regel 2.6 der Prioritätshierarchie keine Ebene.
 
 **Erhebungsstand: 2026-09-26**, Kommandozeile `2026.09.26-dd393fe`, erhoben mit der Herstellerdokumentation (`QU-1` bis `QU-5`), dem Programmcode der Kommandozeile, Messläufen mit dem echten und einem leeren Benutzerprofil und `install.py` (`import_channels_report`).
 
@@ -200,24 +205,24 @@ Vor der ersten produktiven Nutzung sind die Basistests des Testkatalogs gegen di
 | Hooks in `.claude/settings.json` und `~/.claude/settings.json` | in jeder Sitzung, neben den Hooks des Projekts (Drittimport) | **gemessen** – sie liefen mit, und unter Git Bash sperrten sie jede Operation | Auskunft; `install.py` meldet sie, wenn die Datei Hooks führt |
 | `~/.claude/skills/`, `~/.codex/skills/`, `.claude/skills/`, `.codex/skills/` | in jeder Sitzung verfügbar (Drittimport) | `[DOK]` `QU-4` | Auskunft; `install.py` meldet sie |
 | `~/.cursor/skills/`, `~/.agents/skills/`, `~/.cursor/agents/` | in jeder Sitzung verfügbar | `[DOK]` `QU-4`, `QU-5` | Auskunft; `install.py` meldet sie |
-| Nutzerregeln und Teamregeln | in jeder Sitzung, in den Einstellungen gepflegt, keine Datei | `[DOK]` `QU-1` | **keine** – nicht aus dem Projekt erreichbar |
-| Eingebaute Skills des Clients (`/create-rule`, `/review` …) | in jeder Sitzung zur Wahl | `[DOK]` `QU-4` | **keine** – nicht abschaltbar |
+| Nutzerregeln und Teamregeln | in jeder Sitzung, in den Einstellungen gepflegt, keine Datei | `[DOK]` `QU-1` | keine – nicht aus dem Projekt erreichbar |
+| Eingebaute Skills des Clients (`/create-rule`, `/review` …) | in jeder Sitzung zur Wahl | `[DOK]` `QU-4` | keine – nicht abschaltbar |
 
 ### 7.2 Konfigurationsquellen
 
 | Quelle | Wirkung | Belegstatus |
 |---|---|---|
-| `~/.cursor/cli-config.json` | globale Konfiguration der Kommandozeile; ihre Listen **ersetzt** die Projektdatei. Führt `approvalMode`, `sandbox` und die **Commit-Attribution** | Programmcode; Attribution **gemessen** |
+| `~/.cursor/cli-config.json` | globale Konfiguration der Kommandozeile; ihre Listen ersetzt die Projektdatei. Führt `approvalMode`, `sandbox` und die Commit-Attribution | Programmcode; Attribution **gemessen** |
 | `~/.cursor/hooks.json` | Hooks des Arbeitsplatzes; laufen neben denen des Projekts, ein `deny` gewinnt | `[DOK]` `QU-3` |
 | `~/.cursor/mcp.json` | MCP-Server des Arbeitsplatzes | `[DOK]` `QU-2` |
 | Hooks der Organisation (`C:\ProgramData\Cursor\hooks.json` und Entsprechungen) | höchste Priorität; ein `deny` gewinnt | `[DOK]` `QU-3` |
-| `.cursor/cli.json` in einem **Elternverzeichnis** des Projekts | wird ebenfalls gelesen und eingemischt | Programmcode |
+| `.cursor/cli.json` in einem Elternverzeichnis des Projekts | wird ebenfalls gelesen und eingemischt | Programmcode |
 
 ### 7.3 Was dieser Abschnitt nicht leistet
 
-**Eine Auskunft ist keine Schranke**, und ein **Abwesenheitsbeleg altert**. Prüfung 19 prüft die Anwesenheit dieser Auskunft, nicht ihre Richtigkeit.
+Eine Auskunft ist keine Schranke, und ein Abwesenheitsbeleg altert. Prüfung 19 prüft, ob diese Auskunft da ist, nicht ob sie stimmt.
 
-**Das Entscheidungsprotokoll des Schutz-Hooks ist kein Nachweis gegen den Agenten** (`K-200`, D-487): Es liegt unter `.git/`, der Agent kann es über die Shell ändern, und eine Eingabe, die der Hook nicht lesen kann, hinterlässt keine Zeile.
+Das Entscheidungsprotokoll des Schutz-Hooks ist kein Nachweis gegen den Agenten: Es liegt unter `.git/`, der Agent kann es über die Shell ändern, und eine Eingabe, die der Hook nicht lesen kann, hinterlässt keine Zeile.
 
 ## 8. Änderungsverlauf
 
@@ -227,3 +232,4 @@ Vor der ersten produktiven Nutzung sind die Basistests des Testkatalogs gegen di
 | 0.2.0 | 2026-09-28 | **Die MCP-Anbindung ist als Stichprobe gemessen** (`CR-2026-157`, D-459, D-462, D-463). Zeile MCP-Konfiguration: `${env:VARIABLE}` in der Kopfzeile, im Druckmodus nur mit `--approve-mcps`. Zeile X1: Freigabe je Werkzeug trägt, ein Schreibwerkzeug ohne `allow` wird abgewiesen. 🔴 Dabei gefunden: Die Hook-Eingabe kam mit **zwei** BOM; der Schutz-Hook entfernte eines und sperrte fail-closed jede Operation – berichtigt für alle Packs (D-463). Das Manifest führt `mcp_permission_rule` (Prüfung 101) | `<FRAMEWORK_OWNER>` |
 | 0.2.1 | 2026-09-29 | Zeile B4 folgt dem Erzeugnis: Die Berechtigungsdatei sperrt das Overlay seit `1.17.0` nicht mehr, das tut allein der Schutz-Hook (D-448); die Zeile nannte die alte Sperre weiter (`CR-2026-158`, D-468) | `<FRAMEWORK_OWNER>` |
 | 0.3.0 | 2026-09-29 | **MCP-Aufrufe erreichen den Schutz-Hook** (`CR-2026-162`, D-486, D-487, `K-184`, `K-192`). Manifest: `hook_tools.mcp` mit `MCP:.*` und `hook_mcp_prefixes`. Zeile H1: MCP über `preToolUse`, gemessen mit einem Köderserver, und das Entscheidungsprotokoll; Abschnitt 7.3: seine Grenze (`K-200`) | `<FRAMEWORK_OWNER>` |
+| 0.4.0 | 2026-10-02 | Sprachlich überarbeitet; Zusagen, Einstufungen und Belege unverändert | `<FRAMEWORK_OWNER>` |

package/.koolie/core/clients/cursor/manifest.json

@@ -14,7 +14,7 @@
   "agents_dir": ".cursor/agents",
   "pack_runtime_dir": ".cursor/rules",
   "has_rule_triggers": true,
-  "core_skill_prefix": "fw-",
+  "core_skill_prefix": "koolie-",
   "core_paths": [
     ".cursor/README.md"
   ],
@@ -159,8 +159,8 @@
       "dst": "<RULES_DIR>/15-development-rules.mdc"
     },
     {
-      "src": "framework/runtime/agents/fw-reviewer.md",
-      "dst": "<AGENTS_DIR>/fw-reviewer.md"
+      "src": "framework/runtime/agents/koolie-reviewer.md",
+      "dst": "<AGENTS_DIR>/koolie-reviewer.md"
     },
     {
       "src": "templates/rules/21-overlay-TEMPLATE.md.template",

package/.koolie/core/clients/cursor/root-template/.cursor/README.md

@@ -1,6 +1,6 @@
 # Laufzeitschicht `.cursor/` – was hier liegt und wem es gehört
 
-Diese Ablage ist die **Laufzeitform** des Frameworks für den Client `cursor`. Die kanonische, werkzeugneutrale Langform steht in `.koolie/core/framework/`; was hier liegt, ist daraus erzeugt (D-02). **Inhaltliche Änderungen gehören in den Kern und laufen als Änderungsantrag** (`.koolie/core/governance/CHANGE_REQUEST_TEMPLATE.md`).
+Diese Ablage ist die **Laufzeitform** des Frameworks für den Client `cursor`. Die kanonische, werkzeugneutrale Langform steht in `.koolie/core/framework/`; was hier liegt, ist daraus erzeugt. **Inhaltliche Änderungen gehören in den Kern und laufen als Änderungsantrag** (`.koolie/core/governance/CHANGE_REQUEST_TEMPLATE.md`).
 
 ## Was hier liegt
 
@@ -12,8 +12,8 @@ Diese Ablage ist die **Laufzeitform** des Frameworks für den Client `cursor`. D
 | `rules/40-tech-*.mdc`, `rules/30-*.mdc` | Technology und Role Packs (Ebenen 5 und 6); eine an Dateimuster gebundene Regel trägt `alwaysApply: false` und `globs` | Projekt |
 | `cli.json` | **Berechtigungen** des Frameworks, dazu die Projektwerte | Projekt (aus dem Kern erzeugt) |
 | `hooks.json` | Schutz-Hook und Statusmeldung | Framework |
-| `agents/fw-reviewer.md` | Nur lesender Review-Subagent (`readonly: true`) | Framework |
-| `skills/fw-*/` | Skills des Frameworks | Framework |
+| `agents/koolie-reviewer.md` | Nur lesender Review-Subagent (`readonly: true`) | Framework |
+| `skills/koolie-*/` | Skills des Frameworks | Framework |
 
 ## Vier Dinge, die bei diesem Client anders sind