@renoxar/koolie 1.25.0

package/.koolie/core/tests/protocols/2026-09-14-erhebung-skillaufruf.md

@@ -0,0 +1,238 @@
+# Erhebung: Was passiert, wenn eine Sitzung einen Framework-Skill aufruft?
+
+| Feld | Wert |
+|---|---|
+| Gegenstand | Zeile **S2** der Fähigkeitsmatrix `claude-code`: „Gezielter Aufruf – Aufruf über den Skill-Namen mit vorangestelltem Schrägstrich", seit jeher `[TECHNISCH]` `[DOK]` und **ohne jede genannte Grenze** |
+| Anlass | Externer Bericht `skill-priority-improvement.md` vom 2026-09-14 (Devin Desktop am Piloten): Der Agent habe bei einer passenden Aufgabe mit den Standardwerkzeugen gearbeitet statt mit den Skills `fw-code-explain` und `fw-repo-analyze` |
+| Datum | 2026-09-14 |
+| Framework-Version | 0.40.0 (`00b534b`) |
+| Geprüfte Clientversion | **Claude Code 2.1.270** (Modell Opus 5) |
+| Umgebung | Windows 11, Python 3.14.4; frisches synthetisches Testprojekt im Sitzungs-Scratchpad, **vollständige Installation mit allen Regeltexten**, Overlay auf `aktiv`, Berechtigungsschicht **an** (`defaultMode: default`), kein Bypass |
+| Läufe | **elf**: vier wie ausgeliefert (A1 bis A4), drei mit freigegebenem Werkzeug (B1 bis B3), drei zur Argumentform (C1, D1, **E1 als Kontrolllauf**) und ein Entlastungslauf zur Reichweite der Regelträger (G1) |
+| Belege | `devpacks/leitwerk-erhebungen-2026-09-14/` (außerhalb des Repositoriums, mit eigener README) |
+| Ergebnis | **Die Erkennung war nie das Problem.** Die Sitzung ruft den passenden Skill auf – und die **Berechtigungsdatei des Frameworks weist den Aufruf ab**, weil ihr Vokabular für den Skillaufruf kein Verb kennt. Was danach geschieht, sieht aus wie ein gelungener Skill-Lauf |
+
+> **Warum die Umgebung diesmal *mit* Regeltexten fährt.** Die Erhebungen vom 13.09. liefen
+> ohne sie, weil dort ein Mechanismus des Clients gemessen wurde und ein Regeltext das
+> Ergebnis verfälscht hätte. Hier ist der Gegenstand ein anderer: Gemessen wird, was eine
+> **vollständige Leitwerk-Installation** tut. Die Regeltexte sind nicht Störgröße, sondern
+> Messobjekt.
+
+## 1. Methode
+
+Vier Vorkehrungen, jede aus einem Befund dieses Projekts:
+
+- **Kein Bypass, sondern eine `allow`-Liste.** Ein Bypass könnte die geprüfte Schranke gleich
+  mit abschalten. Die Läufe A1 bis A4 fahren die ausgelieferte Berechtigungsdatei
+  **unverändert**; die Läufe B bis E ergänzen genau eine Zeile in `settings.local.json` und
+  nehmen sie nach dem Lauf zurück.
+- **Die Aufgabe schreibt das Werkzeug nicht vor** – und das ist hier richtig, nicht falsch.
+  Die D-72-Lehre („die Sonde muss das Werkzeug vorschreiben") gilt für Messungen an einer
+  Schranke. Hier ist die **Werkzeugwahl des Agenten** der Messwert.
+- **Zwei Aufgabenformen.** Eine Erklärungsaufgabe (Träger: `fw-code-explain`) und eine
+  Planungsaufgabe (Träger: `fw-plan`, `fw-change-analyze`) – letztere ist der Zuschnitt, den
+  der externe Bericht beschreibt.
+- **Die Werkzeugspur aus dem Transkript, nicht aus dem Antworttext.** `permission_denials` im
+  JSON-Ergebnis ist die zweite, vom Antworttext unabhängige Quelle; die dritte ist der
+  Eintrag `toolDenialKind` im Sitzungstranskript.
+
+**Aufgabe 1 (A1 bis A3, B1, B2, C1, D1, E1):** „Erklaere mir, was die Klasse
+ZwischenablageDienst tut."
+**Aufgabe 2 (A4, B3):** „Plane die Aenderungen an der Klasse ZwischenablageDienst, die
+noetig waeren, damit sie auch ohne java.awt funktioniert."
+
+Keine der beiden nennt einen Skill, ein Werkzeug oder einen Betriebsmodus.
+
+## 2. Befund 1: Die Sitzung erkennt den Skill – in der Hälfte der Läufe
+
+| Lauf | Aufgabe | `allow` | Skill-Aufruf | Ergebnis des Aufrufs |
+|---|---|---|---|---|
+| **A1** | 1 | wie ausgeliefert | `fw-code-explain` | **abgewiesen** |
+| **A2** | 1 | wie ausgeliefert | **keiner** | – |
+| **A3** | 1 | wie ausgeliefert | `fw-code-explain` | **abgewiesen** |
+| **A4** | 2 | wie ausgeliefert | **keiner** | – |
+
+**Zwei von vier.** Der externe Bericht sagt, die Agentenlogik prüfe nicht, ob ein Skill
+vorliegt. Das trifft für A2 und A4 zu und für A1 und A3 nicht – und bei A1 und A3 wäre die
+Prüfung ohnehin nicht der schwache Punkt gewesen.
+
+**Die Aufgabenform entscheidet mit:** Die Erklärungsaufgabe zog den Skill in zwei von drei
+Läufen, die Planungsaufgabe in keinem von einem. Das ist genau der Zuschnitt des externen
+Berichts („Änderungen planen"), und er reproduziert sich.
+
+### Der Satz, der den Textbefund trägt
+
+Lauf **A2** rief keinen Skill auf und schrieb in seinen Ergebnisbericht:
+
+> „**Verwendete Skills:** keine (Aufgabe entspricht inhaltlich `fw-code-explain`, Tiefe
+> „Detail"; **kein Skill-Aufruf nötig**)"
+
+Die Sitzung hat den passenden Skill **benannt** und seinen Aufruf für entbehrlich erklärt.
+Unter dem Wortlaut von 0.40.0 ist das vertretbar: Abschnitt 17 der Wurzel-Anweisungsdatei sagt
+„Nutze für Standardaufgaben die Skills", nennt keinen Zeitpunkt, trägt keine
+Verbindlichkeitsmarke und verlangt für den Verzicht keine Begründung.
+
+## 3. Befund 2: Der Aufruf wird abgewiesen – von der Berechtigungsdatei des Frameworks
+
+In A1 und A3 steht im Transkript derselbe Eintrag:
+
+```json
+{"type": "tool_result", "content": "Execute skill: fw-code-explain",
+ "is_error": true, "tool_use_id": "toolu_01EgMafB2QoyT9Y2n2rQPDpN"}
+```
+```json
+"toolUseResult": "Error: Execute skill: fw-code-explain", "toolDenialKind": "user-rejected"
+```
+
+Und im JSON-Ergebnis desselben Laufs:
+
+```json
+"permission_denials": [{"tool_name": "Skill",
+  "tool_input": {"skill": "fw-code-explain", "args": "…"}}]
+```
+
+**Die Ursache steht in der ausgelieferten Berechtigungsdatei.** Ihre `allow`-Liste führt sechs
+Regeln – `Read(**)` und fünf lesende `git`-Befehle – und keine für das Werkzeug `Skill`. Der
+Korb `ask` führt es ebenfalls nicht, der Korb `deny` auch nicht: **Das Werkzeug kommt in der
+Datei überhaupt nicht vor** und fällt damit auf `defaultMode: default`, also auf die Rückfrage.
+Im rückfragefreien Betrieb ist die Rückfrage eine Abweisung.
+
+**Und das ist keine Lücke eines Packs, sondern eine des Vokabulars.** Die Kernquelle
+`framework/runtime/permissions.json` kennt sechs Werkzeugverben – `read`, `search`, `write`,
+`exec`, `fetch`, `mcp` –, und keines davon bezeichnet den Skillaufruf. `permission_tools`
+**beider** Client Packs führt dieselben sechs. Eine Freigabe für den Skillaufruf ist in dieser
+Datei nicht ausdrückbar; sie war es nie.
+
+### Die Gegenprobe: mit Freigabe läuft der Aufruf durch
+
+| Lauf | Aufgabe | `allow` | Skill-Aufruf | Ergebnis |
+|---|---|---|---|---|
+| **B1** | 1 | `Skill` | `fw-code-explain` | **läuft durch**, keine Abweisung |
+| **B2** | 1 | `Skill` | `fw-code-explain` | **läuft durch**, keine Abweisung |
+| **B3** | 2 | `Skill` | keiner | – |
+
+`permission_denials` ist in allen drei Läufen leer. **Damit ist die Zuordnung eindeutig:** Was
+den Aufruf aufhält, ist die fehlende Zeile, nicht das Modell.
+
+B3 zeigt zugleich, dass die Freigabe die Wahl **nicht** ersetzt: Auch mit freigegebenem
+Werkzeug rief die Planungsaufgabe keinen Skill auf. **Die beiden Befunde sind unabhängig, und
+keiner behebt den anderen.**
+
+## 4. Befund 3: Der Rückfall ist stumm – und er verliert die Zusage S3
+
+Nach der Abweisung arbeitet die Sitzung weiter. Die Werkzeugspur von A3 zeigt, womit:
+
+| # | Werkzeug | Eingabe |
+|---|---|---|
+| 1 | `Grep` | `ZwischenablageDienst` |
+| 2 | `Bash` | `ls -R …` |
+| 3 | `Skill` | `fw-code-explain` → **abgewiesen** |
+| 4 | `Read` | `.claude/skills/fw-code-explain/SKILL.md` |
+| 5 | **`Bash`** | `ls …` |
+| 6 | `Read` | die Quelldatei |
+
+**Schritt 4 ist der Rückfall:** Die Sitzung liest die `SKILL.md` als gewöhnliche Datei und
+arbeitet ihren Ablauf von Hand nach. Die Ausgabe trägt danach die Überschrift und das
+Standardformat des Skills; sie ist von einem gelungenen Lauf **nicht zu unterscheiden**.
+
+**Schritt 5 ist der Preis, und er ist der eigentliche Befund.** `fw-code-explain` trägt
+`disallowed-tools: Edit, Write, NotebookEdit, Bash`. In einem echten Skill-Lauf wäre dieser
+`Bash`-Aufruf **nicht möglich gewesen** – die Sperre entfernt das Werkzeug aus dem Vorrat,
+gemessen am 2026-09-13 (`2026-09-13-erhebung-disallowed-tools.md`, D-64). Die von Hand
+nachgearbeitete Fassung trägt die Werkzeugbeschränkung nicht mit sich. **Der stumme Rückfall
+verliert damit genau die Zusage, für die S3 seit 0.35.0 `[TECHNISCH]` steht.**
+
+Die Sitzung selbst hat es gemerkt – hinterher, im eigenen Bericht:
+
+> „… und der Skill verbietet Bash. Beide Aufrufe waren rein lesend und ohne Seiteneffekt; sie
+> hätten durch Glob ersetzt werden müssen. Ab hier nur noch Read/Grep/Glob."
+
+### Was im Ergebnisbericht ankommt
+
+| Lauf | Zeile zu den Skills im Ergebnisbericht |
+|---|---|
+| **A1** | „`fw-code-explain` wurde aufgerufen, der Aufruf schlug fehl („Execute skill"). Die Analyse erfolgte manuell nach dem Standardarbeitsablauf." |
+| **A3** | „**Verwendete Skills:** `fw-code-explain` (v0.1.3). Der Aufruf über den Skill-Mechanismus schlug fehl …; die Skill-Definition wurde stattdessen aus `.claude/skills/fw-code-explain/SKILL.md` gelesen und inhaltlich befolgt." |
+| **A2** | „**Verwendete Skills:** keine (Aufgabe entspricht inhaltlich `fw-code-explain` …; kein Skill-Aufruf nötig)" |
+| **A4** | „**Skills:** keine." |
+
+**A3 ist der Fall, auf den es ankommt.** Wer die Zeile überfliegt, liest „Verwendete Skills:
+`fw-code-explain` (v0.1.3)" – eine Verwendung, die nicht stattgefunden hat. Das Standardformat
+des Ergebnisberichts (0.40.0) kennt für diesen Fall keine eigene Form; es fragt nach
+„Verwendete Skills" und nicht danach, ob der Aufruf gelungen ist.
+
+**Beide Sitzungen haben ehrlich berichtet.** Das ist Modellverhalten, keine Zusage – A4 nennt
+denselben Sachverhalt in zwei Wörtern und ohne Grund.
+
+## 5. Befund 4: Das Argumentmuster wirkt – wörtlich, nicht als Präfix
+
+Die Frage entscheidet den Zuschnitt der Freigabe: Reicht eine Regel für alle
+Framework-Skills, oder braucht es eine je Skill?
+
+| Lauf | `allow` | aufgerufen | Ergebnis | Was er zeigt |
+|---|---|---|---|---|
+| **C1** | `Skill(fw-code-explain)` | `fw-code-explain` | **läuft durch** | Das Argumentmuster **wirkt** |
+| **D1** | `Skill(fw-*)` | `fw-code-explain` | **abgewiesen** | Ein **Präfixmuster wirkt nicht** |
+| **E1** | `Skill(fw-plan)` | `fw-code-explain` | **abgewiesen** | **Kontrolllauf:** das Muster engt wirklich ein |
+
+**E1 ist der Lauf, ohne den C1 nichts bedeutet.** Ohne ihn wäre offen, ob das Argument
+überhaupt verglichen wird oder ob jede Regel mit dem Werkzeugnamen `Skill` alles durchlässt.
+E1 zeigt: Ein anderer Skillname wird abgewiesen. Der Vergleich ist wörtlich und er engt ein.
+
+> **Die Bauform ist die von D-66, mit umgekehrtem Vorzeichen.** Dort wirkte ein
+> Argumentmuster in `disallowed-tools` **lautlos gar nicht** – eine Sperre, die nichts sperrt.
+> Hier wirkt es, aber nur wörtlich: Eine Freigabe `Skill(fw-*)` gäbe **lautlos nichts frei**.
+> Wer sie schriebe, hätte eine Regel, die richtig aussieht und nichts tut.
+
+**Folge für die Umsetzung:** zwölf wörtliche Regeln, eine je ausgeliefertem Skill. Ein Muster
+wäre kürzer und wirkungslos.
+
+## 6. Entlastungslauf G1: Welche Regelträger erreichen die Sitzung?
+
+Die Frage entscheidet, wo eine Regel über die Skillwahl stehen kann. Je ein Merkwort wurde in
+die Wurzel-Anweisungsdatei, in die always-on-Regeldatei und in die Laufzeitfassung des Overlays
+eingetragen; gefragt wurde nach allen Merkwörtern.
+
+**Der erste Lauf ist verworfen:** Die Sitzung griff zu `Grep` und fand die Wörter im
+Dateisystem. Damit war nichts belegt – dieselbe Falle wie bei D-72, nur an einem anderen
+Gegenstand.
+
+**Der gültige Lauf fuhr mit `--disallowedTools` auf alle Werkzeuge.** Eine Antwort kann dann
+nur aus dem geladenen Kontext kommen.
+
+| Träger | Merkwort | Genannt? |
+|---|---|---|
+| `CLAUDE.md` (Wurzel-Anweisungsdatei) | `OTTER-8822` | **ja** |
+| `.claude/rules/00-framework-core.md` (always-on) | `TALPA-4711` | **ja** |
+| `.claude/rules/20-project-overlay.md` (Overlay-Laufzeitfassung) | `LUCHS-6013` | **ja** |
+
+**Werkzeugaufrufe: keine.** Alle drei Träger stehen zu Sitzungsbeginn im Kontext; die Zeilen
+R1 und R2 der Fähigkeitsmatrix bestätigen sich. Die Sitzung nannte `.claude/rules/00-framework-core.md`
+von sich aus als Quelle ihrer Ergebnisberichtspflicht.
+
+## 7. Was diese Erhebung nicht leistet
+
+- **Sie misst einen Client.** Ob der Skillaufruf bei `devin-desktop` ebenfalls ein eigener,
+  rückfragepflichtiger Werkzeugaufruf ist, ist **unerhoben**. Das Manifest sagt das jetzt
+  ausdrücklich, statt es offen zu lassen.
+- **Elf Läufe sind keine Quote.** „Zwei von vier" ist eine Beobachtung an vier Läufen, keine
+  Wahrscheinlichkeit. Was die Läufe tragen, ist die **Existenz** beider Fälle – und für den
+  Mechanikbefund genügt ein einziger Lauf mit Gegenprobe.
+- **Die Skill-Auflistung führte 83 Einträge, davon 80 fremde.** Nur **drei** trugen das
+  Präfix `fw-` – die drei modellaufrufbaren; die übrigen neun hält `disable-model-invocation`
+  aus dem Kontext (Zusage **S4**, gemessen mit 0.15.0). Das ist der Normalfall einer echten
+  Installation und zugleich der Grund, warum die Freigabe **nicht** auf den blanken
+  Werkzeugnamen lauten darf. **Gezählt, nicht geschätzt:** Die erste Fassung dieses Protokolls
+  sprach von „rund sechzig“.
+- **Ob die geänderten Texte die Wahl verbessern, ist nicht gemessen.** Das wäre ein
+  Sitzungstest mit einer Stichprobe, die vier Läufe nicht hergeben. Was gemessen ist, ist der
+  **Mechanismus**: mit Freigabe läuft der Aufruf, ohne sie nicht.
+
+## 8. Gegenzeichnung
+
+| Feld | Inhalt |
+|---|---|
+| Durchführung | KI-Client unter Aufsicht, Sitzung vom 2026-09-14 |
+| Gegengezeichnet durch | `<APPROVAL_ROLE>` |
+| Datum | `<TBD: Datum der Gegenzeichnung>` |
+| Anmerkungen | `<TBD: Anmerkungen der gegenzeichnenden Rolle>` |

package/.koolie/core/tests/protocols/2026-09-14-gegenpruefung-pruefregister.md

@@ -0,0 +1,156 @@
+# Gegenprüfung: Prüfung 39 steht nicht im Register – und sie ist die jüngste von fünf
+
+| Feld | Wert |
+|---|---|
+| Gegenstand | Beim Lesen von Prüfung 37 für den Migrationslauf am Piloten ist aufgefallen: Der Kopfkommentar von `validate-framework.py` führt die Prüfungen **1 bis 38**. **Prüfung 39 ist mit 0.41.0 entstanden und steht dort nicht** |
+| Anlass | Kein Kandidat der Übergabe, kein externer Bericht – ein Nebenbefund aus Kandidat 2. Nach D-23 gehört er vor der Umsetzung gegengeprüft, gerade weil er auf den ersten Blick Kosmetik ist |
+| Datum | 2026-09-14 |
+| Framework-Version | 0.41.0 (Auscheckstand `b71d038`, Arbeitsbaum sauber, Validator 0/0) |
+| Prüfmethode | **Elf Messungen, sämtlich abzählend.** M1 bis M8 halten jede Registeraussage gegen den gemessenen Bestand; M9 ist ein **Entlastungslauf** an einer Nennung, die gleich aussieht und richtig ist; M10 und M11 datieren jede Abweichung über den Änderungsverlauf. Kein Messwert dieses Protokolls stammt aus einer Lektüre allein |
+| Umgebung | Windows 11, Python 3.14.4; Auswertungsskript im Scratchpad, rein lesend |
+| Ergebnis | **Der Befund bestätigt sich und er ist größer, als er aussah.** Es sind **fünf** falsche Aussagen über den Prüfapparat an **drei** Trägern. Prüfung 39 ist die **jüngste** davon; die älteste steht seit **zwölf** Releases. **Und die Zählung war wieder zu klein:** aus einer wurden fünf |
+
+## 0. Der Befund in einem Satz
+
+**Das Projekt lässt seine Prüfungen ihre Gegenstände nachzählen und führt über die Prüfungen
+selbst fünf handgepflegte Zahlen, von denen keine stimmt.**
+
+## 1. Was gemessen wurde
+
+| Nr. | Messung | Quelle |
+|---|---|---|
+| M1 | Welche Nummern führt das Register im Kopfkommentar von `validate-framework.py`? | Kopfkommentar, Abschnitt „Prüft (statisch, ohne laufenden KI-Client)" |
+| M2 | Welche Prüfungsnummern kommen im Code selbst vor? | `validate-framework.py` |
+| M3 | Deckung M1 gegen M2, in beide Richtungen | – |
+| M4 | Für welche Prüfungen führt `probe-pruefungen.py` Sonden und Gegenproben? | Aufrufe `sonde(…)`, `gegenprobe(…)`, `melde("SONDE", …)`, `melde("GEGENPROBE", …)` |
+| M5 | Was sagt der Satz zum Wirkungsnachweis im Kopfkommentar des Validators? | dort |
+| M6 | Was sagt der Kopfkommentar von `probe-pruefungen.py`? | dort |
+| M7 | Was nennt die Prüfmittelspalte von `FW-KO-01`? | `tests/TEST_CATALOG.md` |
+| M8 | Was nennt die Prüfmittelspalte von `FW-KO-05`, und wie viele Grenzfälle gibt es? | `tests/TEST_CATALOG.md`, `tests/EDGE_CASES.md` |
+| M9 | **Entlastung:** Die Nennung „Zwölf Grenzfälle" in `docs/ROADMAP.md` – falsch oder richtig? | `docs/ROADMAP.md` |
+| M10 | Wann ist jede Aussage in den Bestand gekommen? | `git log -S` |
+| M11 | Ab welchem Release war sie falsch? | Auswertung jedes Release-Commits |
+
+## 2. Die fünf Abweichungen
+
+| # | Träger | sagt | ist | falsch seit | Releases |
+|---|---|---|---|---|---|
+| **A1** | `validate-framework.py`, Register im Kopfkommentar | Prüfungen **1 bis 38** (39 Einträge mit `9a`) | 1 bis **39** | 0.41.0 | **1** |
+| **A2** | `validate-framework.py`, Satz zum Wirkungsnachweis | „für die Prüfungen **18 bis 30**" | **6 und 18 bis 39** | 0.33.0 | **9** |
+| **A3** | `probe-pruefungen.py`, Kopfkommentar | eine Release-Chronik, die mit **0.29.0** endet | **6 und 18 bis 39** | 0.30.0 | **12** |
+| **A4** | `TEST_CATALOG.md`, `FW-KO-01` Prüfmittel | „für die Prüfungen **6, 18 bis 31**" | **6 und 18 bis 39** | 0.34.0 | **8** |
+| **A5** | `TEST_CATALOG.md`, `FW-KO-05` Prüfmittel | „Die **zwölf** Grenzfälle einzeln … prüfen" | **20** | 0.33.0 | **9** |
+
+**Jede der fünf war bei ihrer Einführung richtig.** Keine ist falsch geschrieben worden; alle
+fünf sind stehen geblieben, während ihr Gegenstand weiterwuchs. Das ist der Unterschied
+zwischen einem Schreibfehler und einem Register ohne Nachzählung – und er entscheidet die
+Behebung: **Nachziehen allein löst nichts, es setzt die Uhr nur zurück.**
+
+### 2.1 Der Verlauf, Release für Release (M11)
+
+| Release | höchste Prüfung | Sonden für | Grenzfälle |
+|---|---|---|---|
+| 0.29.0 | 25 | 6 bis 25 | – |
+| 0.30.0 | 26 | 6 bis 26 | – |
+| 0.31.0 | 27 | 6 bis 27 | – |
+| 0.32.0 | 30 | 6 bis 30 | **12** |
+| 0.33.0 | 31 | 6 bis 31 | 13 |
+| 0.34.0 | 32 | 6 bis 32 | 15 |
+| 0.35.0 | 33 | 6 bis 33 | 17 |
+| 0.36.0 | 34 | 6 bis 34 | 18 |
+| 0.37.0 | 35 | 6 bis 35 | 19 |
+| 0.38.0 | 36 | 6 bis 36 | 19 |
+| 0.39.0 | 37 | 6 bis 37 | 19 |
+| 0.40.0 | 38 | 6 bis 38 | 19 |
+| **0.41.0** | **39** | **6 bis 39** | **20** |
+
+**Die Tabelle zeigt, warum die Behebung eine Prüfung sein muss und keine Textänderung:** In
+zehn von zwölf Releases hat sich mindestens eine der drei Zahlen bewegt.
+
+## 3. Der Entlastungslauf (M9)
+
+`docs/ROADMAP.md` nennt ebenfalls „**Zwölf Grenzfälle** in `tests/EDGE_CASES.md`". Die Zeile
+sieht aus wie A5 und ist es nicht: Sie steht unter der Überschrift **„Was 0.32.0 gebracht
+hat"** und beschreibt den Stand jenes Releases. **Dort ist zwölf richtig.**
+
+**Ohne diese Messung wäre beim Nachziehen aus einer richtigen Zeile eine falsche geworden** –
+genau der Fehler, den das Repositorium als Fallstrick führt: die Vorgeschichte ist kein
+Register. Die Prüfung, die aus diesem Befund folgt, liest deshalb `TEST_CATALOG.md` und
+**nicht** die Roadmap.
+
+## 4. Der erste Entwurf der Prüfung ist gefallen – und das gehört ins Protokoll
+
+Der naheliegende Anker für „welche Prüfungen gibt es" sind die Kopfkommentare. **Gemessen
+tragen sie drei Formen**, und eine vierte sieht aus wie ein Kopf und ist keiner:
+
+| Form | Beispiel | Vorkommen |
+|---|---|---|
+| `# Pruefung N: …` | `# Pruefung 33: Die Abbildung von permissions.deny …` | der Regelfall |
+| `# N: …` | `# 37: Die drei Koerbe der Berechtigungsdatei …` | Prüfung 37 |
+| `# Pruefungen N bis M …` | `# Pruefungen 19 bis 24 (Release 0.26.0)` | 19 bis 24 |
+| *kein Kopf, sieht aber so aus* | `# Pruefung 37 und dieselbe Ehrlichkeit: …` | im Block von Prüfung 39 |
+
+**Der erste Zähler hat die vierte Form für einen Kopf gehalten** und Prüfung 37 dadurch
+gefunden, obwohl sie keinen Kopf dieser Schreibweise trägt. Der Fehler ist nur aufgefallen,
+weil der Verlauf über die Releases bei 0.39.0 eine höchste Prüfung 36 meldete, während die
+Sonden schon bis 37 reichten – **eine Zahl, die nicht zur Erwartung passte.** Dieselbe
+Bauform wie der `ModuleNotFoundError` hinter „0 Fundstellen" am 14.09.
+
+**Daraus folgt der Zuschnitt der Prüfung:** Sie ankert nicht an einer Kommentarform, sondern
+an der **höchsten Prüfungsnummer, die in den beiden Prüfskripten überhaupt genannt wird**,
+und an der **Lückenlosigkeit** des Registers. Ein Querverweis auf eine kleinere Nummer stört
+das nicht; eine neue Prüfung nennt ihre Nummer zwangsläufig.
+
+**Und die Grenze gehört dazu:** Sie zählt **Nennungen, nicht Prüfungen.** Wer eine Prüfung
+baut und ihre Nummer nirgends schreibt, wird nicht gefangen – dieselbe Ehrlichkeit wie bei
+Gegenstand 2 von Prüfung 38, der Deklarationen zählt und nicht Richtigkeit.
+
+## 5. Warum das kein Schönheitsfehler ist
+
+**Erstens: D-23 hängt daran.** Eine Prüfung gilt erst als vorhanden, wenn eine Sonde sie
+meldet. Woran liest man ab, welche Prüfung eine Sonde hat? An A2, A3 und A4 – **und alle drei
+sagen etwas Falsches.** Wer sich auf A4 verlässt, hält die Prüfungen 32 bis 39 für unbelegt;
+sie sind es nicht. Wer sich auf A2 verlässt, hält 31 bis 39 für unbelegt. **Die Register
+untertreiben hier**, und eine untertreibende Zusage ist der seltenere Fall in diesem Projekt –
+schädlich ist sie trotzdem, weil sie eine Arbeit anstoßen kann, die längst getan ist.
+
+**Zweitens: A5 ist eine Arbeitsanweisung, kein Register.** `FW-KO-05` sagt, was in einer
+Sitzung zu tun ist: „Die zwölf Grenzfälle einzeln gegen Wurzel-Anweisungsdatei, Langform,
+Overlay-Vorlage, Skills und Checklisten prüfen." Der Test steht auf `offen`. **Wer ihn heute
+fährt, prüft zwölf von zwanzig und meldet ihn bestanden.** Das ist keine Kosmetik, das ist ein
+halber Abnahmetest mit ganzem Ergebnis.
+
+**Drittens: A1 verletzt eine Entscheidung, die ein Release alt ist.** `CR-2026-062` hat den
+Kopfkommentar eigens zur Ermessensfrage gemacht – **E7: „Kopfkommentar 32 bis 38"** – und das
+Nachziehen ausdrücklich beschlossen. `CR-2026-063` führt `validate-framework.py` in den
+betroffenen Artefakten, baut Prüfung 39 und zieht den Kopfkommentar nicht nach. **Eine
+Entscheidung, die nur in einem Antrag steht, hält genau bis zum nächsten Antrag.**
+
+## 6. Was die Behebung sein muss – und was sie nicht sein kann
+
+**Kann sie nicht sein:** Die Einträge erzeugen. Sie tragen Prosa – was die Prüfung tut, welche
+Entscheidungen sie trägt, wo ihre Grenze liegt. Das ist der Wert des Registers, und er ist
+nicht ausrechenbar. **Ausrechenbar ist nur die Vollständigkeit.**
+
+**Muss sie sein:** Eine Prüfung, die den Bestand abzählt und gegen die Register hält, an allen
+drei Trägern. Das ist dieselbe Bauform, die das Projekt für die Grenzfalltabelle (Prüfung 30),
+für die Durchsetzungstiefe (Prüfung 31) und für die Berechtigungskörbe (Prüfung 37) schon
+gewählt hat. **Der Leitsatz steht im Arbeitswissen:** Wo die Grenze eines Begriffs eindeutig
+ist, gehört die Zahl ausgerechnet, nicht gepflegt. Die Menge der Prüfungen ist eindeutig.
+
+**Und eine Auflage folgt aus M9:** Die Prüfung liest nur die Träger, die ein Register sind.
+Eine Zahl in der Vorgeschichte eines Releases bleibt unangetastet.
+
+## 7. Was diese Gegenprüfung nicht belegt
+
+- **Sie sagt nichts darüber, ob die Register inhaltlich richtig sind.** Ob der Text eines
+  Eintrags beschreibt, was seine Prüfung tut, ist eine Lektüre und kein Abzählen. Gemessen ist
+  allein die **Vollständigkeit**.
+- **Die Suche über das Repositorium ist eine Suche, kein Beweis.** Sie hat neben A5 drei
+  weitere Nennungen von „zwölf Grenzfällen" gefunden – in der Vorgeschichte der Roadmap, in
+  `CR-2026-052` und im Wirkungsnachweis zu 0.32.0. **Alle drei sind historisch und alle drei
+  sind richtig.** Damit sind vier Fundstellen geprüft und eine ist zu berichtigen; ob eine
+  fünfte in einer Formulierung steckt, die das Suchmuster nicht trifft, ist offen.
+- **Sie misst keine Sitzung.** Ob ein Mensch oder ein Client sich beim Arbeiten wirklich auf
+  eines der Register stützt, ist nicht erhoben. Der Schaden von A5 ist aus dem Text des
+  Testblatts abgeleitet, nicht beobachtet.

package/.koolie/core/tests/protocols/2026-09-14-gegenpruefung-schlitzdeckung.md

@@ -0,0 +1,206 @@
+# Gegenprüfung: Drei offene Schlitze decken drei Befehlsfreigaben – und drei Texte sagen das Gegenteil
+
+| Feld | Wert |
+|---|---|
+| Gegenstand | Kandidat 2 der Übergabe: der Abgleich zwischen Overlaytext und Berechtigungsdatei. Prüfung 37 zählt die Platzhalterschlitze des `ask`-Korbes, vergleicht aber ihren **Inhalt** mit nichts. Am Piloten steht `Bash(mvn -B -q compile)` im `ask`-Korb, während Abschnitt 6 des Overlays `<LINT_COMMAND>` als „nicht vorhanden" erklärt |
+| Anlass | Kandidat 2 war der einzige Kandidat der Übergabe mit einer gemessenen Fundstelle statt einer Vermutung. Nach D-23 gehört er vor der Umsetzung gegengeprüft |
+| Datum | 2026-09-14 |
+| Framework-Version | 0.43.0 (Auscheckstand `c0f15a9`, Arbeitsbaum sauber, Validator 0/0) |
+| Prüfmethode | **Zwölf Messläufe an zwei Packs**, davon **vier Kontrollläufe** (M5, M6, M7, M11) und **zwei Entlastungsläufe** (M2, M12), dazu **vier Abzählungen** (A1 bis A4) ohne Lauf. Gemessen wird an einer **Arbeitskopie** des Piloten und an einer **frischen Installation**; der Pilot selbst bleibt unberührt |
+| Umgebung | Windows 11, Python 3.14.4. Arbeitskopie des Piloten im Scratchpad (ohne `.git` und `target/`), einmal mit dem ausgelieferten Kern des Piloten (0.41.0) und einmal mit dem Kern von `main` (0.43.0). Frische `devin-desktop`-Installation aus `install.py` |
+| Ergebnis | **Der Befund bestätigt sich, und er liegt woanders, als die Übergabe ihn vermutet hat.** Die Lücke in Prüfung 37 ist **erklärt** – `CR-2026-061` Abschnitt 4 nimmt genau diesen Fall ausdrücklich aus. Der Befund ist, dass **drei ausgelieferte Texte aus demselben Patch das Gegenteil versprechen, ohne Einschränkung** – und einer von ihnen steht in **jeder** erzeugten Berechtigungsdatei |
+
+## 0. Der Befund in einem Satz
+
+**Drei offene Platzhalterschlitze decken drei beliebige Befehlsfreigaben, und die Enthaltung
+darüber steht im Änderungsantrag, während drei ausgelieferte Texte sie uneingeschränkt
+bestreiten.**
+
+## 1. Was gemessen wurde
+
+| Nr. | Messung | Ort |
+|---|---|---|
+| M1 | Was meldet Prüfung 37 am Piloten, unverändert? | Arbeitskopie, `claude-code` |
+| M2 | **Entlastung:** Läuft Prüfung 37 dort überhaupt und sieht sie den `ask`-Korb? | dort, `Edit(**)` entfernt |
+| M3 | Ein gefüllter Schlitz trägt einen **anderen** Befehl als das Overlay erklärt | `mvn -B test` → `mvn -B verify` |
+| M4 | Ein Schlitz, den das Overlay als „nicht vorhanden" erklärt, trägt einen Befehl **mit Fernwirkung** | `mvn -B -q compile` → `mvn -B deploy` |
+| M5 | **Kontrolle:** eine **vierte** zusätzliche Regel | dort |
+| M6 | **Kontrolle der Arithmetik:** ein Schlitz weniger gefüllt | dort |
+| M7 | **Kontrolle:** der alte Befund von 0.39.0 – Präfixzeichen von Hand nachgetragen | `mvn -B test:*` |
+| M8 | Präfixzeichen **und** vierter Eintrag zugleich | dort |
+| M9 | Frische `devin-desktop`-Installation, unverändert | Scratchpad |
+| M10 | Drei Befehlsfreigaben eingetragen, während das Overlay dreimal `<TBD>` erklärt | dort |
+| M11 | **Kontrolle:** eine vierte Freigabe | dort |
+| M12 | **Entlastung:** Sieht Prüfung 37 den `ask`-Korb **dieses** Packs? | dort, `Write(**)` entfernt |
+| A1 | Wie viele Projektschlitze hat die Kernquelle, in welchem Korb, für welches Verb? | `framework/runtime/permissions.json` |
+| A2 | Wie viele Träger führen dieselben drei Werte je Installation? | Pilot |
+| A3 | Steht die Zuordnung Platzhalter → Wert in den Overlays maschinenlesbar? | vier Overlays |
+| A4 | Was führt der Pilot im `ask`-Korb an Befehlsregeln? | Pilot |
+
+## 2. Die zwölf Läufe
+
+**Pack `claude-code`, Arbeitskopie des Piloten.** Die Spalte „37 meldet" zählt die Meldungen
+der Prüfung 37, nicht das Gesamtergebnis; das Gesamtergebnis steht daneben, damit eine Null
+ein Messwert ist und kein Absturz (die Lehre vom 14.09.).
+
+| Lauf | Eingriff | 37 meldet | Gesamt (0.41.0) | Gesamt (0.43.0) | Urteil |
+|---|---|---|---|---|---|
+| **M1** | keiner – der Pilot wie vorgefunden | **0** | 1 Fehler | 2 Fehler | **Der Befund steht und wird nicht gemeldet** |
+| **M2** | `Edit(**)` aus `ask` entfernt | **1** (fehlend) | 2 | 3 | Entlastung: die Prüfung läuft hier und liest diesen Korb |
+| **M3** | `Bash(mvn -B test)` → `Bash(mvn -B verify)` | **0** | 1 | 2 | Ein Schlitz mit fremdem Inhalt läuft durch |
+| **M4** | `Bash(mvn -B -q compile)` → `Bash(mvn -B deploy)` | **0** | 1 | 2 | **Ein Befehl mit Fernwirkung läuft durch** |
+| **M5** | zusätzlich `Bash(mvn -B deploy)` (vierter Eintrag) | **1** (Überschuss) | 2 | 3 | Kontrolle: die Deckung endet bei drei |
+| **M6** | ein Schlitz weniger gefüllt | **0** | 1 | 2 | Kontrolle: weniger Überschuss meldet erst recht nichts |
+| **M7** | `Bash(mvn -B test:*)` | **1** (Präfix) | 2 | 3 | Kontrolle: der Befund von 0.39.0 wird weiter gefangen |
+| **M8** | Präfixzeichen **und** vierter Eintrag | **1** (Überschuss) | 2 | 3 | Der Präfixteil **schweigt**, sobald der Überschuss die Deckung übersteigt – bewusst so gebaut, aber nennenswert |
+
+**Die beiden Kernstände melden zeilengleich.** Was der Pilot mit seinem ausgelieferten
+Validator (0.41.0) nicht sieht, sieht der Validator von `main` (0.43.0) auch nicht. Die
+zusätzliche Grundmeldung von 0.43.0 ist die Versionsangabe des Overlays und gehört nicht
+zur Sache.
+
+**Pack `devin-desktop`, frische Installation** – wörtliche Befehlssperre statt Präfixform,
+`Exec` statt `Bash`. Die Frage nach B02: Läuft die Arithmetik auch hier?
+
+| Lauf | Eingriff | 37 meldet | Gesamt | Urteil |
+|---|---|---|---|---|
+| **M9** | keiner – alle drei Schlitze offen | **0** | 2 Fehler | Ausgangslage |
+| **M10** | drei Befehle eingetragen: `mvn -B clean package`, `mvn -B test`, **`mvn -B deploy`** | **0** | 2 | **Das Overlay erklärt dreimal `<TBD>` – und drei Freigaben laufen durch** |
+| **M11** | eine vierte: `Exec(mvn release:perform)` | **1** (Überschuss) | 3 | Kontrolle: die Deckung endet auch hier bei drei |
+| **M12** | `Write(**)` aus `ask` entfernt | **1** (fehlend) | 3 | Entlastung: die Prüfung läuft auch bei diesem Pack |
+
+**M10 ist der schärfste Lauf des Protokolls.** Nicht ein *falsch* gefüllter Schlitz läuft
+durch, sondern ein Overlay, das **überhaupt nichts erklärt**, deckt drei Befehlsfreigaben –
+darunter eine mit Fernwirkung, die `framework/core/05-working-model.md` Abschnitt 3.2 Nummer 2
+**in jedem Modus** verbietet.
+
+## 3. Die vier Abzählungen
+
+### A1 – Die Deckung ist genau drei
+
+| Korb | Verb | Schlitze |
+|---|---|---|
+| `ask` | `exec` | **3** – `<BUILD_COMMAND>`, `<TEST_COMMAND>`, `<LINT_COMMAND>` |
+| `deny` | `read` | 1 – `<EXCLUDED_PATHS>` |
+| `deny` | `write` | 3 – `<CI_CONFIG_PATHS>`, `<QUALITY_GATE_CONFIG_PATHS>`, `<EXCLUDED_PATHS>` |
+
+**Deckung entsteht nur in `ask` und `allow`**, denn nur dort ist Überzähliges ein Fehler. Im
+`deny`-Korb ist eine zusätzliche Regel eine Verschärfung und ohnehin zulässig – die vier
+Pfadschlitze decken also nichts. **Die Zahl, die den Befund trägt, ist drei.**
+
+### A2 – Drei Träger führen dieselben drei Werte
+
+| Träger | Am Piloten |
+|---|---|
+| Quell-Overlay, Abschnitt 5 und 6 | `mvn -B clean package` · `mvn -B test` · **nicht vorhanden** |
+| Laufzeitfassung `.claude/rules/20-project-overlay.md` | `mvn -B clean package` · `mvn -B test` · **nicht vorhanden** |
+| Berechtigungsdatei `.claude/settings.json` | `mvn -B clean package` · `mvn -B test` · **`mvn -B -q compile`** |
+
+**Zwei von drei Trägern sagen dasselbe, der dritte gewährt etwas anderes** – und der dritte
+ist der einzige, der durchsetzt. Der Abgleich zwischen Quell-Overlay und Laufzeitfassung ist
+seit `CR-2026-044` E4 offen; **das ist seine erste gemessene Fundstelle**, und sie fällt
+zugunsten der beiden Textträger aus.
+
+### A3 – Die Zuordnung steht maschinenlesbar da, in allen vier geprüften Overlays
+
+| Overlay | `<BUILD_COMMAND>` | `<TEST_COMMAND>` | `<LINT_COMMAND>` |
+|---|---|---|---|
+| Vorlage `templates/project-overlay/OVERLAY.md` | 1 Zeile → `<TBD>` | 1 Zeile → `<TBD>` | 1 Zeile → `<TBD>` |
+| Pilot | 1 Zeile → `mvn -B clean package` | 1 Zeile → `mvn -B test` | 1 Zeile → `nicht vorhanden` |
+| frische `devin-desktop`-Installation | 1 Zeile → `<TBD>` | 1 Zeile → `<TBD>` | 1 Zeile → `<TBD>` |
+| Testinstallation im Repositorium | 1 Zeile → `<TBD>` | 1 Zeile → `<TBD>` | 1 Zeile → `<TBD>` |
+
+**Jeder Platzhalter steht in genau einer Tabellenzeile, und der Wert steht in der Zelle
+rechts daneben.** Das gilt für die Vorlage von 0.43.0 ebenso wie für den Piloten, dessen
+Abschnitt 6 aus einer älteren Vorlage stammt und eine andere Spaltenüberschrift führt. **Die
+Zuordnung wird nicht aus Fließtext geraten, sie steht in einer Schlüsselspalte** – und
+`docs/PLACEHOLDER_REGISTRY.md` weist sie längst aus („Overlay 5" beziehungsweise „Overlay 6").
+
+### A4 – Der Pilot füllt alle drei Schlitze, obwohl er nur zwei Befehle erklärt
+
+Drei Befehlsregeln im `ask`-Korb bei drei Schlitzen – **genau an der Grenze**, ab der
+Prüfung 37 meldet. Eine weitere Zeile, und der Befund wäre 0.39.0 aufgefallen.
+
+## 4. Der eigentliche Befund: eine Enthaltung, die nur im Antrag steht
+
+Die Lücke in Prüfung 37 ist **kein Versehen**. `CR-2026-061` Abschnitt 4 nennt sie beim Namen:
+
+> „Der zweite dort benannte Posten – ein belegter `<LINT_COMMAND>`, obwohl das Overlay
+> ‚Lint: nicht vorhanden' sagt – bleibt **unbeanstandet**; ein gefüllter Schlitz ist ein
+> gefüllter Schlitz, und den Abgleich mit dem Overlaytext leistet diese Prüfung nicht."
+
+**Das ist eine saubere Enthaltung.** Auch D-76 und D-77 im Decision Log bleiben genau: D-77
+sagt „Ein Platzhalterschlitz darf gefüllt sein und zählt dann gegen den Überschuss", und D-76
+sagt „einen **vierten** Eintrag kann ein Projekt dort nicht erzeugen" – M5 und M11 belegen,
+dass der vierte tatsächlich fällt.
+
+**Derselbe Patch hat drei Texte ausgeliefert, die die Enthaltung nicht kennen.** Alle drei
+stammen aus `34d850e` (Release 0.39.0) – demselben Commit wie die Enthaltung:
+
+| # | Träger | Wortlaut | Gemessen |
+|---|---|---|---|
+| **Z1** | `templates/project-overlay/OVERLAY.md` Abschnitt 6 | „Ein Eintrag von Hand in `<PERMISSIONS_FILE>` ist **kein** Ersatz: Prüfung 37 des Validators meldet ihn als Ausweitung" | **Falsch, solange ein Schlitz offen ist** (M1, M4, M10) |
+| **Z2** | `clientmap.py`, Kommentarkopf **jeder erzeugten Berechtigungsdatei** | „Eine zusätzliche Regel ist nur unter ‚deny' zulässig … unter ‚ask' und ‚allow' wäre sie eine Ausweitung **und ist ein Fehler**. Ein zusätzlicher freigegebener Befehl gehört deshalb nicht hierher" | **Falsch, solange ein Schlitz offen ist** |
+| **Z3** | `framework/core/03-security.md` | „**Prüfung 37 hält die installierte Datei gegen die Kernquelle:** Was dort erzeugt wird, muss hier stehen; eine zusätzliche Regel ist nur unter `deny` zulässig" | **Falsch, solange ein Schlitz offen ist** |
+
+**Z2 ist die teuerste der drei.** Sie steht nicht in einem Dokument, das man zum Nachschlagen
+aufschlägt, sondern im Kopf genau der Datei, in der jemand die Zeile einträgt, über die sie
+eine Aussage macht. Wer dort liest „ist ein Fehler" und trotzdem eine Zeile einträgt, bekommt
+einen grünen Lauf – und liest das als Bestätigung, dass seine Zeile keine zusätzliche war.
+
+**Die Lehre ist die von 0.42.0, eine Ebene tiefer:** *Eine Entscheidung, die nur in einem
+Antrag steht, hält bis zum nächsten Antrag.* Hier hält eine **Enthaltung**, die nur in einem
+Antrag steht, nicht einmal bis zum Ende desselben Patches.
+
+## 5. Warum das kein Schönheitsfehler ist
+
+- **Die `ask`-Stufe ist keine Entwarnung.** `CR-2026-061` Abschnitt 2 hat das ausbuchstabiert:
+  Eine Zeile im `ask`-Korb erklärt einen Befehl für **freigegeben**, gleich wie der Client sie
+  behandelt. „Alle nicht gelisteten Befehle sind nicht freigegeben" steht unter jeder Tabelle
+  des Abschnitts 6.
+- **Die gedeckte Menge ist nicht harmlos.** M4 und M10 tragen `mvn -B deploy` ein – einen
+  Befehl mit Fernwirkung, den Abschnitt 3.2 des Arbeitsmodells **in jedem Modus** verbietet
+  und den Abschnitt 6 des Overlays „nie" listen darf. Kein Lauf meldet etwas.
+- **Der Deckel ist die Nachlässigkeit des Projekts, nicht die Strenge der Prüfung.** Ein
+  Projekt, das seine drei Schlitze **sauber** füllt, hat keine Deckung mehr. Die Deckung
+  entsteht genau dort, wo ein Projekt einen Befehl **nicht** hat – und dann ausgerechnet die
+  freigewordene Zeile anderweitig benutzt. **So ist der Pilot entstanden.**
+- **Es trifft beide Packs** (M10 gegen M4) und ist unabhängig von der Befehlssperrform.
+- **Es steht seit fünf Releases** (0.39.0 bis 0.43.0).
+
+## 6. Was die Behebung sein muss – und was sie nicht sein kann
+
+**Sie kann nicht in der Arithmetik liegen.** Prüfung 37 kennt nur Mengen; welcher Eintrag
+welcher Schlitz ist, steht dort nicht und kann dort nicht stehen. Wer die Deckung schlicht
+streicht, verbietet dem Projekt das Füllen seiner eigenen Schlitze.
+
+**Die Zuordnung gibt es genau einmal, und zwar im Overlay** (A3). Sie dort zu lesen ist keine
+neue Freiheit: `docs/PLACEHOLDER_REGISTRY.md` weist für alle drei Platzhalter die Herkunft
+„Overlay 5" beziehungsweise „Overlay 6" aus, und der Validator liest `OVERLAY.md` seit D-44
+ohnehin. **Neu ist, dass er einen Wert liest statt eines Zustands** – und das ist die
+Ermessensfrage, die vor dem Bauen entschieden gehört.
+
+**Die Laufzeitfassung taugt als Quelle nicht.** `20-project-overlay.md` führt dieselben drei
+Werte, aber in einer Fließzeile ohne Schlüsselspalte – und der Pilot hat sie bereits umgebaut
+(zwei Zeilen statt einer, ein zusätzliches Feld „Schnellprüfung"). **Eine Prüfung darüber
+fiele beim ersten echten Projekt, und zwar an der Form, nicht an der Sache.**
+
+## 7. Was diese Gegenprüfung nicht belegt
+
+- **Sie misst keine Sitzung.** Dass ein KI-Client die Zeile `Bash(mvn -B -q compile)`
+  tatsächlich als Freigabe benutzt, ist **nicht beobachtet**. Gemessen ist, dass sie dasteht
+  und dass kein Lauf sie beanstandet.
+- **Sie sagt nichts über die vier Pfadschlitze.** `<EXCLUDED_PATHS>` und die beiden
+  Konfigurationslisten stehen im `deny`-Korb und decken deshalb keinen Überschuss – ob ein zu
+  **eng** gefüllter Pfadschlitz eine stille Lockerung ist, ist eine andere Frage und hier
+  **nicht** gemessen. Sie ist n:1 (eine Liste im Overlay, eine Regel in der Datei) und braucht
+  eine eigene Entscheidung.
+- **Sie hat den Überschuss nur in `ask` gemessen.** Im `allow`-Korb gibt es heute keinen
+  Befehlsschlitz; ob eine künftige Regelmenge dort einen anlegt, ist offen.
+- **Die drei Texte Z1 bis Z3 sind gesucht, nicht abgezählt.** Die Suche lief über
+  `leitwerk-core/` ohne `build/out/`, Protokolle und Änderungsanträge und traf drei Stellen;
+  ob eine vierte in einer Formulierung steckt, die das Suchmuster nicht trifft, ist offen.
+  **Das ist die schwächere Belegform dieses Protokolls**, und sie betrifft genau den Teil, der
+  den Befund trägt.
+- **Der Pilot ist unberührt geblieben.** Alle zwölf Läufe liefen an Kopien; die
+  Ausgangszustände sind nach jedem Lauf zurückgeschrieben und geprüft worden.