@renoxar/koolie 1.25.0

package/.koolie/core/clients/devin-desktop/CLIENT_PACK.md

@@ -0,0 +1,251 @@
+# Client Pack `devin-desktop`
+
+| Attribut | Wert |
+|---|---|
+| Modul-ID | `CP-DD` |
+| Ebene | keine – Abbildungsschicht |
+| Version | 0.14.8 |
+| Status | pilot |
+| Owner (Rolle) | `<FRAMEWORK_OWNER>` |
+| Client | Devin Desktop (Devin Local) |
+| Verbindliche Zielversion | `3.9.x`, Agent-CLI `3000.10.x` (D-112). Die Spanne ist der Geltungsbereich dieses Packs; der gemessene Punktwert steht in der Zeile darunter (D-113). **Das ausgelieferte Produkt hat die Spanne verlassen:** Der Changelog weist am 2026-09-16 **3.10.31** aus, die 3.10-Reihe beginnt am 2026-09-10 (`FW-AK-01`, 2026-09-18). Die Spanne bleibt der *geprüfte* Geltungsbereich, nicht der aktuelle Produktstand, und wird ohne Messung gegen 3.10.x nicht gehoben (D-157) |
+| Geprüfte Clientversion | 3.9.19 (Agent-CLI 3000.10.21) – gemessen am 2026-09-16, `.koolie/core/tests/protocols/2026-09-16-AP2-zielversion-devin-desktop.md` Läufe E1 und E2; **am 2026-09-22 unverändert nachgemessen** und Grundlage der 70 Sitzungsläufe des `AP2`-Restes. Modell aller Läufe: `SWE-1.6 Slow`, Konto `Devin Free` |
+| Stand der Produktbeobachtung | **2026-09-18** (`FW-AK-01`, `tests/protocols/2026-09-18-FW-AK-01.md`). Alle siebzehn Quellen `QD-1` bis `QD-17` und der Produkt-Changelog bis 3.10.31 sind abgeglichen. **Vier Befunde:** die verlassene Zielspanne (oben), drei Quellen, die einen **entfernten** Agenten belegen (`R1`, `R4`), die Unüberschreibbarkeit der Organisationsebene innerhalb der Zielspanne (`M2`, CVE-2026-81376) und die Skillquellen (`S1`, `X2`, `K-64`) |
+| Datum der Prüfung | **2026-09-22** – der Rest von `AP2`: 70 Sitzungsläufe an einer Installation, siebzehn Messbäume, vier Marker aufgelöst (`.koolie/core/tests/protocols/2026-09-22-ap2-rest-devin-desktop.md`, `CR-2026-120`). Zuvor 2026-09-16 – Erhebung der Pfadabbildung; die Belege zur Berechtigungsdatei stammen vom 2026-09-11 und vom 2026-09-14 und liegen in der Zielspanne (D-114) |
+
+> **Belegt, soweit gemessen (Stand 0.86.0).** Die Spalte „Einstufung" nennt die **vorgesehene** Durchsetzungstiefe, die Spalte „Beleg" ihren Nachweisstand: `[DOK]` = in der Herstellerdokumentation beschrieben, `[EMPF]` = Empfehlung des Frameworks, `BELEG OFFEN` = noch nicht belegt, mit Grund und Datum in der Zelle – ohne Frist (D-291). Die Zielspanne ist mit D-112 festgelegt, und die Pfadabbildung ist gegen sie erhoben (`.koolie/core/tests/protocols/2026-09-16-AP2-zielversion-devin-desktop.md`).
+>
+> **`AP2` ist abgeschlossen** (`CR-2026-120`, `tests/protocols/2026-09-22-ap2-rest-devin-desktop.md`): **S3**, **B3**, **B10** und **A1** sind an einer Installation gemessen – S3 und A1 tragen, B10 ist widerlegt, B3 trägt mit benannter Grenze (D-277 bis D-287). Beobachtet sind außerdem H1, H2, R5, R6 und S5. **Genau eine Zeile sagt `BELEG OFFEN`, und dauerhaft – `X2`** (`K-20`, D-292): Was ein Client indexiert und wohin er es gibt, ist von außen nicht zu beobachten.
+>
+> **Wer das Pack einsetzt,** liest zuerst Abschnitt 6 (Installation), die Vorbemerkung des B-Blocks (in welchen Betriebsmodi die Berechtigungsschicht trägt) und Abschnitt 5 (bekannte Abweichungen, darunter die Benutzerkonfiguration, die eine projektseitige Verschärfung aufheben kann).
+
+## 1. Pfadabbildung
+
+| Rolle des Artefakts | Pfad bei diesem Client | Belegstatus |
+|---|---|---|
+| Wurzel-Anweisungsdatei | `AGENTS.md` | `[DOK]` |
+| Regeldateien | `.devin/rules/*.md` mit `trigger`-Frontmatter | `[DOK]` |
+| Skills | `.devin/skills/<name>/SKILL.md` | `[DOK]` (`QD-9`, Stand 2026-09-18). **Der Client durchsucht sechs Ablagen je Repositorium, nicht zwei:** `.agents/skills/` (vom Hersteller empfohlen), `.devin/skills/`, `.github/skills/`, `.claude/skills/`, `.cognition/skills/` und `.windsurf/skills/` – *„all six paths are scanned in every repo"*. **Eine davon ist die Ablage des Schwesterpacks.** Für vier der sechs greift die Importsteuerung (`read_config_from`: `cursor`, `windsurf`, `claude` und – dokumentiert, abgerufen am 2026-09-26 – `copilot` für `.github/skills/`), für `.cognition/skills/` ist **kein Schalter dokumentiert**. Seit `1.12.1` steht `windsurf` auf `true` (D-411) – `.windsurf/skills/` ist damit eine Ablage, die lädt; `.github/skills/` lud am 2026-09-26 (3000.11.3) auch **ohne** abschaltenden Schalter nicht, die Wirkung von `copilot: false` ist deshalb nicht gemessen. Das Framework schreibt nur `.devin/skills/`; die übrigen sind Gegenstand der Auskunft nach D-34. `K-12` bleibt offen: Ob der Desktop-Client `.agents/skills/` **tatsächlich** so liest, ist nicht beobachtet |
+| Skills, die das Modell erreicht | `triggers: model` im Frontmatter | **Erhoben am 2026-09-22** (D-288): Der Sitzungsschritt `<available_skills>` führt **drei** der zwölf `fw-*`-Skills – genau die drei mit `triggers: user, model` –, dazu **zwei eingebaute Skills des Clients** (`declarative-repo-setup`, `upload-secrets`, je `source: builtin:…`). Die übrigen neun meldet das Modell als **nicht vorhanden**; sie sind Schrägstrich-Befehle für einen Menschen. Das ist `K-57` für diesen Client, und es ist schärfer als dort: Beim Schwesterpack ist der gesperrte Skill über den Prompt erreichbar. ⚠️ **`devin skills list` auf der Kommandozeile zeigt dagegen alle zwölf** – eine Auflistung, die etwas zeigt, was die Sitzung nicht sieht. Der eingebaute `upload-secrets` hat dieselbe Dateiklasse zum Gegenstand, die `B3` schützt (`K-94`). **Geklärt am 2026-09-30** (D-503): Er lädt über `devin cloud drs secret-create`; die CLI liest die Werte selbst, ein `deny Read` trifft diesen Weg also nicht, und mit `--from-env` steht kein Pfad im Befehl. Seit `1.20.2` sperrt der Schutz-Hook den Befehl, gemessen ohne Regeltext und mit `--permission-mode dangerous`; im Standardmodus lehnte schon die Regelschicht ab (K3, nicht delegierbar) |
+| Startwerkzeug für Unteragenten | `run_subagent` (Argument `profile`) | **Am 2026-09-22 erhoben** (D-284): Die Mitschrift führt es unter `agent.tool_definitions`, und der Client stellt der Sitzung neben `fw-reviewer` zwei eigene Profile bereit (`subagent_explore` lesend, `subagent_general` mit vollem Schreibzugriff). **Die Mitschrift führt die Werkzeugaufrufe des Unteragenten nicht** (D-282) – wer ihn misst, braucht einen Aufzeichnungs-Hook. **Der Schutz-Hook und der `deny`-Korb erfassen ihn** (Lauf `A1-DENY2`) |
+| Subagentenprofile | `.devin/agents/<name>.md` | `[DOK]` |
+| Berechtigungskonfiguration | `.devin/config.json` (erzeugt aus `framework/runtime/permissions.json`) | **In Sitzungen erhoben.** Der Client liest die Datei und weist aus ihrem `deny`-Korb ab – und benennt dabei selbst die Quelle: *„Read access … was denied by a deny rule in the project settings"* (2026-09-14, Läufe P4 und W1; am 2026-09-22 in zwölf Läufen bestätigt). Der `hooks`-Block wird aus derselben Datei ausgeführt, aus einer eigenen Hook-Datei nicht (2026-09-11, `AP2-DD-10`). **Die Körbe `ask` und `allow` sind am 2026-09-22 erhoben, und das Ergebnis ist eine Enthaltung** (D-280): Im **nicht-interaktiven** Betrieb sind sie von der Voreinstellung des Clients **nicht zu unterscheiden** – im Modus `auto` weist der Client jeden Schreibaufruf auch **ohne** Regel ab, im Modus `accept-edits` läuft jeder auch **mit** Regel durch, und `allow: Exec(git status)` verhält sich wie der leere Baum. **Der interaktive Betrieb ist nicht gemessen und wird nicht behauptet** – eine Rückfrage an einen Menschen lässt sich nicht-interaktiv nicht messen. **Der `deny`-Korb dagegen ist zurechenbar**: `Exec(git push)` wird im Regelbaum abgewiesen und im leeren ausgeführt. ⚠️ **`--permission-mode dangerous` hebt den `deny`-Korb auf** (D-281, Vorbemerkung B-Block) |
+| Hook-Konfiguration | `.devin/config.json` unter `hooks` (erzeugt aus `framework/runtime/hooks.json`) | **In einer Sitzung erhoben** (AP2, 3.9.19 / CLI 3000.10.21): Aus `.devin/hooks.v1.json` wird kein Hook ausgeführt, aus `config.json` sofort. Eingabeschema belegt, einschließlich des undokumentierten Feldes `tool_use_id` |
+| MCP-Konfiguration | `.devin/mcp_config.json` (Vorlage: `.devin/mcp_config.json.example`) | **Am Client erhoben** (2026-09-16, Läufe E5 und E6): Der Container heißt `mcpServers`, ein Eintrag trägt `command`, `args` und `transport`. Drei Ablageorte, und **der Standard ist der unversionierte**: `.devin/mcp_config.local.json` (`local`), `.devin/mcp_config.json` (`project`), die Benutzerkonfiguration (`user`). **Gemessen ist allein der `stdio`-Fall**; der Lauf für einen `http`-Server brach ohne Ausgabe ab. 🟢 **Stichprobe des Owners zu `1.18.0`** (2026-09-28, D-468): der Atlassian-Server als `stdio`-Eintrag über `npx mcp-remote <Adresse des offiziellen Remote-Servers>` in `.devin/mcp_config.local.json`, Anmeldung per OAuth im Browser – **trägt**; die Seitenwerkzeuge liefern die Version, anders als bei `claude-code` (D-464). Den Kommentar in ein Ticket verweigerte die Regelschicht (Zweck *lesen*), bevor die Rückfrage auf das Schreibwerkzeug anlaufen konnte. Die git-ignorierte `mcp_config.local.json` las der Client nicht: *„matched by an ignore file … not allowed to read or modify ignored files“* |
+| Projektverzeichnis-Variable in Hooks | `DEVIN_PROJECT_DIR` | **Im Hook-Prozess erhoben** (2026-09-11, fünf Aufzeichnungen, ausgewertet am 2026-09-16 als Lauf E8): gesetzt, und der Wert zeigt auf das Projektverzeichnis |
+| Nutzerlokale Überschreibung | `AGENTS.local.md`, `.devin/config.local.json`, `*.local.md` neben Regeln | `[DOK]` |
+
+Legacy: `.windsurf/` wird nicht gepflegt; `.devin/` hat Vorrang `[DOK]`.
+
+## 1a. Semantikabbildung der Berechtigungen und Hooks
+
+Die Regelmenge liegt werkzeugneutral im Kern (`.koolie/core/framework/runtime/permissions.json`, `hooks.json`) und wird bei der Installation in die Werkzeuge dieses Clients übersetzt (D-18). Was dabei abgebildet wird, steht maschinenlesbar im `manifest.json`; diese Tabelle ist die menschenlesbare Fassung.
+
+| Neutrales Werkzeugverb | Werkzeug bei diesem Client | Anmerkung |
+|---|---|---|
+| `read` | `Read(muster)` | |
+| `search` | – | **zwei Suchwerkzeuge, `grep` und `find_file_by_name`** (erhoben 2026-09-14, D-87). Eine eigene `allow`-Regel entfällt trotzdem: Die Klasse `Read(...)` dieses Clients umfasst die Suche mit – ein `deny Read(**/.env)` weist einen `grep`-Aufruf auf dieselbe Datei ab |
+| `write` | `Write(muster)` | ein Werkzeug für Ändern und Anlegen |
+| `exec` | `Exec(befehl)` | wörtliche Form; die Präfixform der Quelle wird nicht gebraucht |
+| `fetch` | `Fetch(muster)` | |
+| `mcp` | `mcp__*` | ohne Muster |
+
+| Weitere Eigenschaft | Wert |
+|---|---|
+| Name ohne Verzeichnisanteil | ohne Wurzelangabe (`.env`) |
+| Hook-Werkzeugnamen | `exec`, `edit`, `write` |
+| Projektverzeichnis im Hook-Befehl | `$DEVIN_PROJECT_DIR` |
+
+Die Abbildung ist kein freies Feld: Eine `deny`- oder `ask`-Regel, für die dieser Client kein Werkzeug kennt, lässt die Installation scheitern. Nur bei `allow` darf eine Regel entfallen – dort ist das Weglassen eine Verschärfung.
+
+## 2. Fähigkeitsmatrix
+
+**Zur Belegspalte.** Jede `[DOK]`-Zeile nennt die **Quellenkennung** der Liste in Anhang 31.4.1 (`QD-1` bis `QD-17`). Die Kennung ist die verbindliche Form, weil allein sie gegen die Liste gehalten werden kann; ein Seitenpfad darf danebenstehen. **Prüfung 73 setzt es durch.** Eine Zelle, die auf eine andere Zeile verweist (*„wie B3"*), erbt deren Kennung – die Prüfung löst den Verweis auf (D-266). `B4`, `B5`, `B6` und `B8` hängen auf diese Weise an `B3`.
+
+**Was der Zusatz `(Zuordnung K-62)` sagt – und was er nicht sagt.** Die Zuordnung ist am 22.09.2026 **aus dem Bestand** gewonnen: aus der Quellenliste und den Protokollen zu AP2 und `FW-AK-01`, **nicht aus einem eigenen Abruf.** Der Recherchestand der Seiten bleibt deshalb der von `FW-AK-01` (18.09.2026) – eine Zuordnung ist keine Aktualitätsaussage (D-156, D-263).
+
+### R – Regelladung
+
+| ID | Zusage des Frameworks | Mechanismus beim Client | Einstufung | Beleg |
+|---|---|---|---|---|
+| R1 | Wurzel-Anweisungsdatei wird ungefragt geladen | `AGENTS.md` wird als always-on-Regel in die Regel-Engine eingespeist | `[TECHNISCH]` | `[DOK]` **`QD-6`** (`cli/extensibility/rules`), Stand 2026-09-18: `QD-6` führt `AGENTS.md` als Regeldatei ohne Bindung an einen Agenten. `QD-5`, die Seite, die diese Zusage wörtlich hergibt, beschreibt das Laden als Einspeisung in den Systemprompt des **Cascade**-Agenten – und der Changelog sagt zu 3.9.19 (2026-09-08): *„Cascade has been removed. Devin Local is now the only agent available in Devin Desktop."* `QD-5` trägt die Zeile deshalb nicht (`FW-AK-01`, D-159) |
+| R2 | Regeldateien mit Ladebedingungen | Frontmatter `trigger`: `always_on`, `model_decision`, `manual`, `agent` | `[TECHNISCH]` | `[DOK]` **`QD-6`** (Zuordnung `K-62`). ⚠️ **Vorbehalt aus AP2** (`AP2-DD-09`, 2026-09-11): Die Seite stellt die Frontmatter-Aktivierungswerte **im Zusammenhang importierter Fremdformate** dar und sagt nicht ausdrücklich, dass `.devin/rules/*.md` dieselben Werte trägt. 🟢 **`K-156` beantwortet mit `1.12.1` (D-411):** Mit `read_config_from.windsurf: false` lädt Devin CLI die Regelablage nicht – mit 3000.11.1 und 3000.11.3, **gegen die Herstellerdokumentation**, die `.devin/rules/` als eigenen Ablageort unabhängig von der Importsteuerung führt. Das Pack setzt `windsurf: true` (Zeile `R6`). Gemessen am 2026-09-26 mit 3000.11.3 an Kennworten je Kanal: `always_on` lädt; `model_decision` erscheint mit seiner Beschreibung unter den verfügbaren Regeln. 🔴 **Eine Regel mit `trigger: glob` lädt nicht** – weder aufgeführt noch nach dem Lesen einer passenden Datei, mit und ohne Anführungszeichen um das Muster, drei Läufe (`K-161`). Die Einstufung gilt damit für `always_on` und `model_decision`, für `glob` steht sie unter diesem Vorbehalt |
+| R3 | Regeln an Dateimuster bindbar | Frontmatter `trigger: glob` mit `globs` – Grundlage der Technology Packs | `[TECHNISCH]` | `[DOK]` **`QD-6`** (Zuordnung `K-62`) |
+| R4 | Bekanntes Zeichenlimit | Wurzel-Anweisung und Regeln mit `always_on` zusammen höchstens 40.000 (verbindlich, D-387); 12.000 je Workspace-Regel, 6.000 global als SOLL-Grenzen – **Vorgabe des Frameworks, keine Produkteigenschaft** | `[TEXTUELL]` | `[EMPF]`. Die Zahlen stammen aus der Cascade-Dokumentation (QD-7); für Devin Local nennt der Hersteller **keine** Grenze. Zweimal unabhängig geprüft am 2026-09-11 gegen Devin Desktop 3.9.19 (`cli/extensibility/rules`, ERH-10); K-19 bleibt offen. **Nachtrag 2026-09-18 (`FW-AK-01`): Die Herkunft der Zahlen ist Altbestand.** Der Changelog sagt zu 3.9.19, Cascade sei **entfernt**; `QD-7` schreibt selbst *„Memories apply to the legacy Cascade agent only"*. Die Zahlen bleiben in Kraft – **als Vorgabe des Frameworks**; ihre Herkunft ist nur keine Aussage über das ausgelieferte Produkt mehr. ⚠️ **Die Herstellerdoku widerspricht sich:** `QD-2` sagt weiter *„The existing Cascade agent remains available through July"*, `QD-5`, `QD-7` und `QD-8` sprechen im Präsens von Cascade |
+| R5 | Die geladenen Regelquellen sind vollständig aufzählbar | `devin rules list` und `devin rules show <name>` führen die Regeln samt Herkunftspfad und Aktivierung; `devin rules paths` nennt die Ablageorte. Die vollständige Auskunft des Frameworks steht in Abschnitt 7 dieses Packs | `[TEXTUELL]` | **Beobachtet – und mit gemessenem Vorbehalt.** Die Kommandos laufen und listen (K-21). Ihre Aufzählung ist aber **nicht deckungsgleich mit dem, was lädt**: Mit `windsurf: false` führt `devin rules list` die abgeschaltete Quelle unverändert auf, obwohl ihr Inhalt nicht mehr im Kontext steht (ERH-02), und `devin rules paths` nennt `~/.claude/skills/` nicht, obwohl 67 von 81 Skills von dort stammen (ERH-03). Die Zusage ist damit **nicht technisch getragen**: Das Register ist eine Auskunft des Clients über seine Konfiguration, kein Abbild des Kontexts. Wer die Wirkung prüfen will, misst den Kontext |
+| R6 | Keine Importe fremder Werkzeugformate | `read_config_from` in der Berechtigungsdatei: `cursor`, `claude`, `copilot`, `opencode` und `zed` auf `false`; **`windsurf` steht seit `1.12.1` auf `true`** (siehe unten), **`agents_standard` bleibt `true`** – das ist bei diesem Client das Format der **eigenen** Wurzel-Anweisungsdatei; es abzuschalten hieße, das Framework abzuschalten. Erzeugt von `clientmap.py` aus dem Manifest (D-37) | `[TEXTUELL]` | **Wirkung gemessen, Durchsetzung widerlegt.** Am 2026-09-11 gemessen: Mit abgeschalteten Fremdformaten verschwinden 67 fremde Skills (69 → 2) und der Inhalt der fremden Regel aus dem Kontext (K-21, K-23). Ebenso gemessen: Die Benutzerkonfiguration hat in **beide** Richtungen Vorrang (K-27, ERH-11) – die Einstellung ist damit ein Standard, den jede Arbeitsstation still aufheben kann, wirksam dort, wo die Benutzerkonfiguration schweigt. Prüfung 22 hält die Abbildung fest, nicht ihre Wirkung. **Am 2026-09-22 ein zweites Mal gemessen, und diesmal an der Menge:** In **sieben** Läufen im Baum **ohne** `config.json` lädt die Sitzung eine Anweisungsdatei aus dem Benutzerprofil als `<rules type="always-on">` – `…\.codeium\windsurf\memories\global_rules.md`; in **sechzig** Läufen mit `read_config_from.windsurf: false` erscheint sie in **keiner** Mitschrift. Sieben gegen sechzig, derselbe Arbeitsplatz, derselbe Tag (D-290). ⚠️ **Der Kanal existiert also und liegt außerhalb jedes Projektverzeichnisses** – die Datei war hier leer; dass sie es bleibt, sagt niemand zu 🔴 **Seit `1.12.1` steht `windsurf` auf `true` – eine Abwägung, kein Versehen (D-411, `K-156`):** Mit `false` lädt der Client die **eigene** Regelablage nicht (3000.11.1 und 3000.11.3, siehe `R2`). Der Preis ist der Kanal aus D-290: Gemessen am 2026-09-26 mit Kennworten je Kanal lädt mit `true` die Anweisungsdatei im Benutzerprofil **und** `.windsurf/rules/` im Projekt; laut Dokumentation dazu Skills und MCP-Server aus Windsurf. `install.py` nennt die Kanäle nach Installation und Hebung, wenn sie belegt sind (`import_channels_report`) – eine Auskunft, keine Schranke. `copilot`, `opencode` und `zed` sind dokumentierte Schlüssel mit Standard `true` (abgerufen am 2026-09-26); das Pack setzt sie auf `false`, ihre Wirkung ist nicht gemessen |
+
+**Der HTML-Kommentar einer Regeldatei geht bei diesem Client in den Kontext ein.** Gemessen am
+2026-09-12 (K-28, `.koolie/core/tests/protocols/2026-09-12-erhebungen-K28-S5-B9-bypass.md`):
+Der Kommentar steht **wörtlich** in dem Regelblock, den der Client selbst bildet – die
+Mitschrift führt ihn samt Kommentarklammern, und die Sitzung gab eine Marke aus dem Kommentar
+zurück, ohne eine Datei zu lesen. **Das ist das Gegenteil des Befunds beim anderen Pack**
+(ERH-01). Wer hier einen Kommentar schreibt, schreibt in den Sitzungskontext.
+
+Normative Sätze gehören trotzdem in den Fließtext (D-38) – und zwar gerade deshalb: Was gilt,
+darf nicht davon abhängen, mit welchem Werkzeug gearbeitet wird.
+
+### S – Skills
+
+| ID | Zusage des Frameworks | Mechanismus beim Client | Einstufung | Beleg |
+|---|---|---|---|---|
+| S1 | Versionierte Skills im Repository | `.devin/skills/<name>/SKILL.md` mit Frontmatter | `[TECHNISCH]` | `[DOK]` **`QD-9`, `QD-10`** (Zuordnung `K-62`) – die Skill-Suchpfade nennen beide Seiten |
+| S2 | Gezielter Aufruf | **Zwei Wege, beide erhoben (2026-09-14):** ein Werkzeugaufruf `skill` mit dem Skillnamen im Argument – **und** die Slash-Form `/name`, die die CLI **clientseitig** in den Prompt expandiert, bevor das Modell sie sieht | `[TECHNISCH]` | `[DOK]` **`QD-10`** (Zuordnung `K-62`: Aufruf `/skill-name`). **Der zweite Weg ist kein Werkzeugaufruf** und von einer Werkzeugschranke deshalb nicht erreichbar. Und die Berechtigungsdatei erreicht auch den ersten nicht: `Skill(name)` und `skill(name)` im `deny` laufen beide durch, während `Read(**/.env)` in denselben Läufen abweist (K-34) |
+| S3 | Werkzeugbeschränkung je Skill | Frontmatter `allowed-tools`, `permissions`. **Beide Felder erreichen die installierte Fassung unverändert** – dieses Pack führt sie nicht in `drop_fields`, anders als das andere | `[TECHNISCH]`, **unter der Bedingung aus der Belegspalte** | **Erhoben am 2026-09-22 an einer Installation, und die Zusage trägt** (`tests/protocols/2026-09-22-ap2-rest-devin-desktop.md`, D-287). **Sechs von sechs Läufen mit einem aktiven Skill, der `edit` in beiden Feldern ausschließt, wurden abgewiesen; acht von acht ohne diese Kombination liefen durch**, und die Kontrolle ohne Skillaufruf im **selben** Baum ebenfalls. **Die Bedingung ist der Messwert:** `allowed-tools` **allein** wirkt nicht (vier Läufe), `permissions` **allein** wirkt nicht (zwei Läufe) – **die Einschränkung greift nur, wenn `edit` aus `allowed-tools` fehlt und ein `permissions`-Block dasteht.** Gemessen an vier Bäumen, die sich **nur** im Frontmatter eines Sondenskills unterscheiden, und am ausgelieferten `fw-code-explain`. **Alle dreizehn ausgelieferten Skills führen beide Felder** – die Bedingung ist im Bestand erfüllt. ⚠️ **Zwei Grenzen:** Die Abweisung nennt den **Arbeitsbereich** als Grund, nicht den Skill – wer sie am Wortlaut zurechnet, rechnet sie falsch zu; und **ein Skill, der nur eines der beiden Felder trägt, bekommt keine Einschränkung und keine Meldung** (`K-93`). Der Gegenbefund beim Schwesterpack bleibt davon unberührt (B01, `CR-2026-050`, D-50). 🟢 **Auch für `exec` belegt** (Stichprobe des Owners, 2026-09-28, D-468, `K-187`): Unter `fw-change-analyze` wurden `git status` und `find` mit *„Permission denied for this tool.“* abgewiesen, obwohl die Berechtigungsdatei `Exec(git status)` freigibt – auch diese Meldung nennt den Skill nicht. Ausgelesen aus der Sitzungsdatenbank des Clients (`sessions.db`, Tabelle `tool_call_state`) |
+| S4 | Schreibende Skills nur benutzergetriggert | Frontmatter `triggers` – Framework-Konvention, statisch geprüft durch `.koolie/core/tests/scripts/validate-framework.py` | `[TEXTUELL]` | `[EMPF]`; die Laufzeitwirkung ist Modellverhalten. **Reichweite:** Die Zusage gilt für die Skill-Ablage, die das Framework schreibt. Skills aus Ablagen außerhalb des Repositoriums unterliegen diesen Konventionen nicht; sie sind nach Regel 2.6 der Prioritätshierarchie ebenenlos und dürfen den Handlungsspielraum nur einschränken (`AP2-DD-16`, `CR-2026-032`) |
+| S5 | Die geladenen Skills sind vollständig aufzählbar, samt Herkunft und Aufrufbarkeit | `devin skills list --json` führt je Skill `provider`, `base_dir` und `triggers`; `devin skills paths` nennt die Suchpfade | `[TEXTUELL]` | **Beobachtet – mit demselben Vorbehalt wie R5.** Am 2026-09-11 führte die Liste 81 Skills, davon 67 aus `~\.claude\skills\` mit `[user,model]` (`AP2-DD-16`, K-24). `devin skills paths` nennt diese Ablage jedoch **nicht** (ERH-03): Die Aufzählung der Skills ist vollständig, die der Pfade nicht. Aufzählbarkeit ist zudem keine Kontrolle – die Liste entsteht nur, wenn ein Mensch das Kommando ausführt. **Zweiter Befund am 2026-09-12 (ERH-17):** Der Block `<available_skills>`, den der Client in den Sitzungskontext stellt, **nennt je Skill den vollen Quellpfad** – die Auskunft existiert also, nur nicht in dem Kommando, das sie verspricht. Als Ersatz für die fehlende Pfadangabe von `devin skills paths` steht daneben `install.py --list-skills` (`CR-2026-041` E3), das den Teil aufzählt, für den das Framework einstehen kann. **Am 2026-09-22 ist die Grenze dieser Aufzählung gemessen** (D-288): `devin skills list` führt **alle zwölf** Skills des Frameworks, der Sitzungsschritt `<available_skills>` führt **drei** – die mit `triggers: model` – und dazu **zwei eingebaute Skills des Clients**, die in keiner Auflistung des Projekts stehen. Die Auflistung zeigt etwas, was die Sitzung nicht sieht, und verschweigt etwas, was sie sieht. **Wer die Skillmenge einer Sitzung wissen will, liest die Mitschrift, nicht die Kommandozeile** |
+
+### B – Berechtigungen
+
+> **`[TECHNISCH]` heißt in diesem Block:** Die Engine setzt die Regel durch, **solange der Betriebsmodus die Berechtigungsprüfung nicht abschaltet** (D-35). 🔴 **`--permission-mode dangerous` hebt den gesamten `deny`-Korb auf** (D-281, gemessen am 2026-09-22): `Read(.env)` wurde gelesen, `Exec(git push)` ausgeführt – beide stehen unter `_core_rules_integrity.deny_must_contain`, also in der Liste, die das Projekt nicht entfernen darf. Sie sind nicht entfernt, sondern von außen abgeschaltet worden, ohne die Datei anzufassen. **Alle Einstufungen `[TECHNISCH]` dieses Blocks gelten deshalb für die Betriebsmodi `auto`, `accept-edits` und `smart`** – gemessen sind `auto`, `accept-edits`, `smart` und `dangerous`. **Im Modus `dangerous` trägt die zweite Linie:** Der Schutz-Hook hat denselben Lesezugriff blockiert, den die Berechtigungsschicht durchließ (Lauf `H-D`, Baum ohne Berechtigungsregeln; zuvor beobachtet am 2026-09-11 im Modus `Bypass`, `AP2-DD-12`). Erste und zweite Linie fallen unter verschiedenen Bedingungen – das ist die empirische Rechtfertigung des Hooks. ⚠️ Diesen Satz setzt keine Prüfung durch (dieselbe Bauform wie `K-41`).
+>
+> **Und nur für eine Sitzung, die im Verzeichnis der Installation startet** (D-408, gemessen am 2026-09-26 mit Clientversion 3000.11.1, `tests/protocols/2026-09-26-mehrprojekt-tokenlast.md`). Startet die Sitzung in einem Unterverzeichnis mit eigenem git-Repositorium, lädt der Client **weder die Wurzel-Anweisung der Elternebene noch deren Berechtigungsdatei und Hooks**: Ein Kennwort aus der Wurzel-Anweisung kannte die Sitzung nicht, ein aufzeichnender Hook lief nicht, und eine durch `Write(**/*.lock)` gesperrte Datei wurde im Modus `accept-edits` angelegt. In der Wurzel lief der Hook und blockierte den Lesezugriff auf `.env`. ⚠️ **Ein Kontrolllauf für genau diese `deny`-Regel in der Wurzel fehlt:** Das Modell hat den Schreibaufruf dort nicht abgesetzt, weil die Statusmeldung das Overlay als nicht aktiv auswies. **Eine eigene Installation im Unterverzeichnis trägt** – ihr Schutz-Hook blockierte, und nur ihre Wurzel-Anweisung lädt. **Nichts meldet einen falschen Startort** (`K-159`).
+
+| ID | Zusage des Frameworks | Kern | Mechanismus beim Client | Einstufung | Beleg |
+|---|---|---|---|---|---|
+| B1 | Berechtigungen versioniert im Repository | ja | `.devin/config.json` | `[TECHNISCH]` | `[DOK]` **`QD-12`** (Zuordnung `K-62`) |
+| B2 | Verweigern vor Rückfragen vor Erlauben | ja | Zusammenführung über Ebenen | `[TECHNISCH]` | `[DOK]` **`QD-11`** (Zuordnung `K-62`) |
+| B3 | Secret-Dateien per Pfadmuster lesegeschützt | ja | Verweigerungsregeln auf `.env`, `**/*.pem`, `**/secrets/**` und weitere. **Je Kanal:** direktes Lesen **wirkt** (Regel und Hook); Shell **wirkt** über den Schutz-Hook; **Suche wirkt über beide Schichten** (D-87) – ohne die Suchklasse im Hook-Matcher kam in einer Umgebung mit nur diesem Hook ein Secret über `grep` wörtlich heraus (gemessen 2026-09-14, `tests/protocols/2026-09-14-erhebung-devin-werkzeuge.md`, Läufe H1 und H2; wie ausgeliefert trug die Berechtigungsschicht, Läufe P4 und W1); **Notebook-Lesen wirkt nachweislich** (2026-09-22) – die Klasse `Read(…)` dieses Clients umfasst auch `notebook_read` (D-278, Lauf `KA-NB-P`), obwohl das Manifest es nicht nennt; **Notebook-Schreiben und Unterprozess nicht nachgewiesen**. Im untersagten Betriebsmodus greift die Regel nicht und allein der Hook trägt (`AP2-DD-12`, D-35; am 2026-09-22 für `--permission-mode dangerous` nachgemessen, Läufe `KA-D-P3` und `H-D`) | `[TECHNISCH]` für Lesen, Suche, Notebook-Lesen und Shell; `[TEXTUELL]` für den Unterprozess | Mechanismus `[DOK]` **`QD-11`** (Zuordnung `K-62`). **Muster-Semantik erhoben am 2026-09-22 in neun Läufen** (D-277): `**/` trifft **null** Verzeichnisse (`server.pem` auf Wurzelebene fällt unter `Read(**/*.pem)`) **und mehrere** (`unter/tief/gold.pem`); ein Präfixmuster ohne `**/` wirkt (`Read(deploy/**)`). 🔴 **Grenze, gemessen: Die Muster unterscheiden Groß- und Kleinschreibung.** `Read(**/*secret*)` weist `klein/notiz.secret` ab und lässt `UNTEN/Notiz.SECRET` durch – zweimal gefahren –, während NTFS beide Schreibweisen als **dieselbe Datei** führt. **Der Schutz-Hook tut das Gegenteil** (Zeile `H4`), **und seine Semantik gilt** (`K-92`, D-492): Die Berechtigungsschicht gehört dem Client und lässt sich nicht angleichen; für das direkte Lesen trägt deshalb der Hook die Zusage in jeder Schreibweise, die Regel nur in der des Musters. Beim Pack `claude-code` unterscheidet die Berechtigungsschicht nicht (gemessen am 2026-09-30). **Reichweite je Kanal**: Der Befund B04 ist am Schutz-Hook gemessen (`tests/protocols/2026-09-12-B04-B05-gegenpruefung.md`); der Hook ist bei beiden Packs derselbe, die Berechtigungsschicht nicht |
+| B4 | Framework- und Overlay-Artefakte schreibgeschützt | ja | Verweigerungsregeln auf `AGENTS.md`, `.devin/` und das **gesamte** Kernverzeichnis (`.koolie/core/**`, `CR-2026-012`). **Das Overlay sperrt seit `1.17.0` allein der Schutz-Hook** (D-448); die Berechtigungsdatei führt es nicht mehr – nachgezählt an einer Installation am 2026-09-29 (D-468). **Je Kanal:** direktes Schreiben **wirkt**; **Shell und Unterprozess wirken nicht** – die Berechtigungsdatei führt für `exec` ausschließlich Befehlsverbote und keine Pfadregel, und der Schutz-Hook prüft das Kernverzeichnis nur bei schreibenden Werkzeugen. Was den Shell-Schreibweg aufhält, ist die Regelschicht | `[TECHNISCH]` für das direkte Schreiben; **`[TEXTUELL]` für Shell und Unterprozess** | wie B3. **Reichweite je Kanal**: Der Befund B04 ist am Schutz-Hook gemessen (`tests/protocols/2026-09-12-B04-B05-gegenpruefung.md`); der Hook ist bei beiden Packs derselbe, die Berechtigungsschicht nicht (Läufe B04-1 bis B04-3) |
+| B5 | CI-, Quality-Gate- und Lockdateien schreibgeschützt | ja | Verweigerungsregeln auf Lockdateien und die Overlay-Platzhalterpfade. **Je Kanal wie B4:** direktes Schreiben wirkt, Shell und Unterprozess nicht | `[TECHNISCH]` für das direkte Schreiben; **`[TEXTUELL]` für Shell und Unterprozess** | wie B4 |
+| B6 | Befehle per Muster verweigerbar | ja | Verweigerungsregeln auf Push-, Merge-, Lösch- und Rechteausweitungsbefehle | `[TECHNISCH]` | wie B3 |
+| B7 | Schreiboperationen fragen zurück | – | Rückfrageregel auf alle Schreiboperationen | `[TECHNISCH]` | `[DOK]` **`QD-11`** (Zuordnung `K-62`) |
+| B8 | Netzwerkzugriff standardmäßig unterbunden | – | Verweigerungsregeln auf das Abrufwerkzeug sowie auf die Befehle `curl`, `wget`, `ssh` und `scp`. **Je Kanal:** das Abrufwerkzeug **wirkt**; der Shell-Kanal **nur für diese vier Programme** – jedes andere netzfähige Programm ist nicht erfasst, und die Liste wird bewusst nicht verlängert | `[TECHNISCH]` für das Abrufwerkzeug; **`[TEXTUELL]` für den Shell-Kanal** | wie B3. **Reichweite je Kanal**: Der Befund B04 ist am Schutz-Hook gemessen (`tests/protocols/2026-09-12-B04-B05-gegenpruefung.md`); der Hook ist bei beiden Packs derselbe, die Berechtigungsschicht nicht (Lauf B04-6) |
+| B9 | Nutzerlokale Konfiguration kann nur verschärfen | – | `.devin/config.local.json` und die Benutzerkonfiguration `%APPDATA%\devin\config.json` – **Framework-Regel, keine Produkteigenschaft** | `[TEXTUELL]` | `[EMPF]`. **Der Client verhindert eine Lockerung nicht.** Gemessen am 2026-09-11 in beiden Richtungen (K-27, ERH-11): Der Wert der Benutzerkonfiguration setzt sich gegen den projektseitigen durch – auch dann, wenn der projektseitige der strengere ist. Eine projektseitige Verschärfung ist damit ein Standard, den jede Arbeitsstation still aufheben kann, wirksam dort, wo die Benutzerkonfiguration schweigt (der Normalfall). Bei `claude-code` ist die Lage anders, gemessen am 2026-09-12 (`tests/protocols/2026-09-12-erhebungen-K28-S5-B9-bypass.md`, Abschnitt 2.3): Dort setzt sich eine Verweigerung von jeder Ebene durch – die Benutzerkonfiguration kann verschärfen, nicht lockern, und auch ein nutzerglobales `defaultMode: bypassPermissions` blieb wirkungslos. **Dieselbe Frage, zwei Clients, entgegengesetzte Antworten** |
+| B10 | Externer Abruf auf freigegebene Domains beschränkbar | – | **Erhoben am 2026-09-22: Die Berechtigungsdatei erreicht den Abrufkanal dieses Clients in keiner Richtung** (D-279). **Das Abrufwerkzeug heißt `webfetch`; `Fetch` ist kein Werkzeugname dieses Clients** – die Mitschrift führt die 25 Werkzeuge unter `agent.tool_definitions`. Acht Läufe über sechs Bäume, drei Schreibweisen und drei Betriebsmodi: `deny: Fetch(*)`, kein Korb, `allow: Fetch(*)`, `allow: Fetch(example.com)` und **`allow: webfetch`** führen zum selben Ausgang wie der leere Korb – der Aufruf scheitert am **Betriebsmodus**, und der Client nennt in keinem Lauf eine Regel als Quelle. Damit ist die Frage nach der Domain-Angabe beantwortet, ohne gestellt zu werden: Ein Argument kann nicht ausgewertet werden, wenn schon der Werkzeugname nicht trifft. Die Regel `Fetch(*)` bleibt in der werkzeugneutralen Regelmenge des Kerns und ist bei diesem Client **mechanisch unwirksam** – dieselbe Bauform wie `AP2-CC-02`, nur dass dieser Client sie beim Sitzungsstart nicht einmal meldet. **Ersatz: keiner durch das Framework, und das ist eine Aussage und kein Rest.** Der Kern sagt die Beschränkung nicht zu (B11, D-59); was den Kanal bei diesem Client steuert, ist allein der **Betriebsmodus** – `auto`, `accept-edits` und `smart` weisen jeden Abruf ab, `dangerous` lässt jeden durch. **Der organisatorische Ersatz** ist die Freigabezeile des Overlays, und sie hat nach D-65 keine technische Seite | `[NICHT ABBILDBAR]` | **gemessen**, `tests/protocols/2026-09-22-ap2-rest-devin-desktop.md` Abschnitt 6. Der Kern sagt diese Beschränkung nicht zu (B11, D-59); die Zeile hält fest, warum sie es auch nicht könnte |
+
+### H – Hooks
+
+| ID | Zusage des Frameworks | Mechanismus beim Client | Einstufung | Beleg |
+|---|---|---|---|---|
+| H1 | Prüfung vor Werkzeugausführung | `hooks.PreToolUse` in `.devin/config.json`; Matcher auf lesende, schreibende und ausführende Werkzeuge | `[TECHNISCH]` | **beobachtet** (AP2, `tests/protocols/2026-09-11-AP2-devin-desktop.md`). Die Hooks stehen in der Berechtigungsdatei, weil der Client eine eigene Hook-Datei nicht liest (D-32) |
+| H2 | Prüfung kann **blockieren** | Exit-Code 2 des Hook-Befehls bricht die Operation ab. **Fail-closed** (`hook_fail_closed: true`): Das Eingabeschema ist gegen eine Installation belegt, damit ist die Bedingung aus D-31 erfüllt | `[TECHNISCH]` | **beobachtet**: Ein Lesezugriff auf eine Secret-Datei wurde blockiert – in einer Umgebung ohne Regeltexte und bei ausgeschalteter Berechtigungsschranke, dort kann nichts als Anweisung gewirkt haben |
+| H3 | Statusmeldung beim Sitzungsstart | `SessionStart` mit `hook-overlay-status.py` in `.devin/config.json` | `[TECHNISCH]` | `[DOK]` **`QD-13`** Mechanismus (Zuordnung `K-62`); **die Meldung selbst ist nicht beobachtet**. Der Agent nannte den Overlay-Status zwar, konnte ihn aber aus den Regeltexten haben (AP2-DD-10) |
+| H4 | Eingabeschema und Pfadidentität des Schutz-Hooks | Wie beim Pack `claude-code`: Ereignisprüfung, **unprüfbar** als eigener Ausgang (blockiert, weil dieses Pack `hook_fail_closed: true` führt), Prüfung der Operation statt des Umschlags, Pfadidentität über den aufgelösten Pfad, alle Pfadmuster ohne Rücksicht auf Groß-/Kleinschreibung. Eine Angabe `/c/…` löst der Hook unter Windows in beiden Lesarten auf – dieser Client liest sie als `C:\c\…` (D-285), eine MSYS-Shell als `C:\…` (D-491, `K-96`). **Grenze:** Ein Hook prüft **vor** dem Zugriff; eine zwischenzeitlich umgebogene Verknüpfung kann er nicht ausschließen (`CR-2026-047` E5) | `[TECHNISCH]`, mit benannter Zeitlücke | **Gemessen am 2026-09-13** (`tests/protocols/2026-09-13-B06-gegenpruefung.md`, Befund **B06**): Die fünf Hook-Aufzeichnungen dieses Packs führen `hook_event_name`, `prompt_id`, `session_id`, `tool_input`, `tool_name`, `tool_use_id` – **kein** `transcript_path` und **kein** `cwd`. Der Fehlblockade-Befund des anderen Packs tritt hier deshalb nicht auf; **das ist eine Eigenschaft dieses Schemas, keine des Hooks** |
+
+### A – Agentenprofile
+
+| ID | Zusage des Frameworks | Mechanismus beim Client | Einstufung | Beleg |
+|---|---|---|---|---|
+| A1 | Rein lesendes Reviewprofil | `.devin/agents/fw-reviewer.md` | `[TECHNISCH]` | **Profilwirkung erhoben am 2026-09-22 und belegt** (D-284, `tests/protocols/2026-09-22-ap2-rest-devin-desktop.md` Abschnitt 7): Das `allowed-tools` eines Subagentenprofils **bestimmt den Werkzeugbestand des Unteragenten.** Das Vollzugriffsprofil des Clients ruft `exec` und `write` auf; eine synthetische Sonde mit `read, grep, glob` und neutralem Rollentext ruft **kein** Werkzeug auf, und `fw-reviewer` verhält sich wie die Sonde. **Das Profil steht in der Sitzung**, mit seiner eigenen Beschreibung und vor den beiden eingebauten Profilen des Clients. **Der Beleg kommt nicht aus der Mitschrift:** `--export` führt den Unteragenten nicht (D-282) – gemessen über einen Aufzeichnungs-Hook mit Positivkontrolle. **Grenze:** Belegt ist der **Werkzeugbestand**, nicht die Reichweite je Werkzeug. Mechanismus `[DOK]` **`QD-14`** (Zuordnung `K-62`); Startwerkzeug `run_subagent`, erhoben am selben Tag |
+| A2 | Rein lesendes Analyseprofil für Modus M1 | Subagent-Profil `subagent_explore` | `[TECHNISCH]` | `[DOK]` **`QD-14`** (Zuordnung `K-62`: eingebaute Profile); übernommen mit `CR-2026-025` |
+
+### M – Modi und Sitzungsfreigaben
+
+| ID | Zusage des Frameworks | Mechanismus beim Client | Einstufung | Beleg |
+|---|---|---|---|---|
+| M1 | Standardmodus fragt bei Schreiben und Befehlen zurück | Modus `Normal` (CLI: `auto`) | `[TECHNISCH]` | `[DOK]` (QD-11); die CLI-Namen abgeglichen am 2026-09-11 gegen 3.9.19 (ERH-08) |
+| M2 | Modus ohne Rückfragen ausschließbar | `Bypass` (CLI: `dangerous`, auch über `DEVIN_PERMISSION_MODE`) ist per D-05 untersagt. **Eine Sperre des Modus selbst ist bei diesem Client nicht dokumentiert; was es gibt, ist die Begrenzung seiner Wirkung** durch die Terminal Permissions der Organisationsebene, die laut Team-Dokumentation den höchsten Vorrang haben und von lokalen wie projektseitigen Konfigurationen nicht überschrieben werden – sie greifen also auch bei gewähltem Bypass | `[TEXTUELL]` | `[DOK]` für die Wirkungsbegrenzung (QD-16); **nicht beobachtet** – ohne Team-Plan mit Admin-Kontrollen nicht beobachtbar (K-05). Abgeglichen am 2026-09-11 gegen 3.9.19. Bei `claude-code` ist die Modus-Sperre selbst dokumentiert und belegt (AP2-CC-05) – die Packs unterscheiden sich hier. 🔴 **Nachtrag 2026-09-18 (`FW-AK-01`), und er trifft die tragende Hälfte dieser Zeile:** Die Wirkungsbegrenzung steht und fällt damit, dass die Organisationsebene **unüberschreibbar** ist – `QD-12` sagt das unverändert (*„Organization-level (enterprise) settings can **never** be overridden by project or user config"*). **In der verbindlichen Zielspanne dieses Packs galt es nicht.** Der Changelog weist zu 3.10.31 (2026-09-16) aus: *„Restricted Mode blocks restricted workspace settings written in nested object form, not just the dotted form (CVE-2026-81376)."* Bis einschließlich 3.10.27 wurde dieselbe eingeschränkte Einstellung also **je nach Schreibweise** durchgesetzt oder nicht – und `QD-12` verwendet in seinen Beispielen die verschachtelte Form und nennt den Restricted Mode mit keinem Wort. **Die Zielspanne `3.9.x` liegt vollständig vor der Behebung.** Das ist die Bauform von D-150 im Produkt: dieselbe Regel in zwei Ausdrucksformen, durchgesetzt nur in einer. Das Framework hat die eigene Entsprechung mit Prüfung 54 geschlossen (D-155) |
+| M3 | Freigabe auf die Sitzung begrenzbar | Sitzungsfreigaben „einmalig" und „für die Sitzung" | `[TECHNISCH]` | `[DOK]` **`QD-11`** (Zuordnung `K-62`: Sitzungs-Grant-Stufen). Dieselbe Zusage beim Schwesterpack ist **nicht** zugeordnet – dort führt keine der sechs Seiten die Grant-Stufen (`K-62`) |
+| M4 | Eigener Planungsmodus für Modus M2 | Plan-Modus mit persistenter Plan-Datei unter `~/.devin/plans/plan-<session>.md`; die Datei liegt außerhalb des Repositorys | `[TECHNISCH]` | `[DOK]` **`QD-3`, `QD-4`** (Zuordnung `K-62`: der Modus aus `QD-3`, die persistente Plan-Datei aus `QD-4`); übernommen mit `CR-2026-025` |
+| M5 | Eigener Nur-Lese-Modus für Modus M1 | Plan-Modus („read-only research“) | `[TECHNISCH]` | `[DOK]` **`QD-3`** (Zuordnung `K-62`); übernommen mit `CR-2026-025` |
+| M6 | Modus mit selbsttätiger Übernahme von Dateiänderungen begrenzbar | `Accept Edits` (CLI: `accept-edits`) genehmigt Dateiänderungen im Workspace ohne Rückfrage; nach D-05 nur über dokumentierte Ausnahme bei Kontrollstufe niedrig zulässig. Eine Abschaltung des Modus ist nicht dokumentiert; wirksam ist auch hier allein die Wirkungsbegrenzung der Organisationsebene | `[TEXTUELL]` | `[DOK]` für den Modus (QD-11), `[EMPF]` für die Beschränkung; **nicht beobachtet** (K-05) |
+| M7 | Selbst beurteilender Modus begrenzbar | `Smart` (CLI: `smart`) genehmigt Workspace-Änderungen selbsttätig und beurteilt die übrigen Aktionen nach eigener Sicherheitseinschätzung; nach D-05 nur über dokumentierte Ausnahme bei Kontrollstufe niedrig zulässig. **Ein Modus, der selbst beurteilt, was sicher ist, ersetzt die menschliche Freigabe durch Modellverhalten** – das Framework lässt ihn deshalb nur als Ausnahme zu. Abschaltung nicht dokumentiert; Wirkungsbegrenzung wie M2 | `[TEXTUELL]` | `[DOK]` für den Modus (QD-11), `[EMPF]` für die Beschränkung; **nicht beobachtet** (K-05) |
+
+### X – Externe Anbindung
+
+| ID | Zusage des Frameworks | Mechanismus beim Client | Einstufung | Beleg |
+|---|---|---|---|---|
+| X1 | Keine externe Anbindung ohne Einzelfreigabe | Keine MCP-Konfiguration ausgeliefert, nur die `.example`-Vorlage; Rückfrageregel auf alle MCP-Werkzeuge | `[TECHNISCH]`, **mit zwei benannten Grenzen** | `[DOK]` (`QD-11`, `QD-12`), Stand 2026-09-18. **Erste Grenze:** Der Mechanismus deckt die Werkzeuganbindung. Das **fremde Agentenprotokoll**, das D-10 ebenfalls standardmäßig deaktiviert stellt, deckt er nicht – und der clientseitige Schalter ist entfallen: Changelog 3.10.23 (2026-09-10), *„ACP is always enabled — the Enable ACP toggle is gone."* Die Freigabezeile des Overlays bleibt als **organisatorische Auflage** in Kraft und hat für diesen Client keine technische Seite mehr (`K-65`). **Zweite Grenze:** Die organisationsseitige Skillquelle (`QD-9`, *„Indexed repos"*) speist Skills aus allen angebundenen Repositorien in **jede** Sitzung ein, bevor überhaupt geklont wird. Sie liegt außerhalb jeder Datei, die das Framework schreibt, und die Teameinstellungen (`QD-16`) nennen sie nicht (`K-64`) |
+| X2 | Art und Ort der Codebasis-Indexierung bekannt | Kein Mechanismus zur Steuerung bekannt | `[NICHT ABBILDBAR]` | `BELEG OFFEN (dauerhaft)` – von außen nicht zu beobachten, Stand 2026-09-22 (`K-20`, D-292). **Kein Ersatz durch das Framework:** Was ein Client indexiert und wohin er es gibt, ist von außen nicht zu beobachten – weder die Installation noch der Validator sehen es. Die Zusage entfällt für diesen Client; K-20 hält die Frage ohne Frist offen. Nach D-41 eine **Fähigkeitszusage**, keine Kernzusage. **Nachtrag 2026-09-18 (`FW-AK-01`): der erste dokumentierte Datenpunkt, und er ist schmal.** `QD-9` sagt: *„Devin discovers skills from two sources, merged together at the start of every session: 1. Indexed repos — Devin's backend indexes `SKILL.md` files across all repositories connected to your organization."* Damit ist für **einen** Gegenstand – Skilldateien – gesagt, dass eine serverseitige Indexierung stattfindet und woher sie speist. **Über die Codebasis sagt es nichts**, der Beleg bleibt offen, und ein Steuerungsmechanismus ist weiter nicht dokumentiert (`K-64`) |
+
+## 3. Zusammenfassung der Durchsetzungstiefe
+
+> **Zählregel (normativ für diese Tabelle):** Eine Zeile zählt bei ihrer **schwächsten** Einstufung. Trägt sie zwei Angaben je Zugriffskanal – `[TECHNISCH]` für direktes Lesen und Schreiben, `[TEXTUELL]` für Shell und Unterprozess –, zählt sie als `[TEXTUELL]`. Das folgt D-47: Zugesagt wird je Kanal, was gemessen ist; eine Zeile, deren Zusage in einem Kanal nur als Anweisung trägt, ist nicht technisch durchgesetzt. Prüfung 31 rechnet die Summen aus der Matrix nach (D-60).
+
+| Klasse | Anzahl | davon Kernzusagen |
+|---|---|---|
+| `[TECHNISCH]` | **21 von 36** | 3 von 6 (B1, B2, B6) |
+| `[TEXTUELL]` | **13 von 36** | 3 von 6 (B3, B4, B5 – Shell und Unterprozess) |
+| `[NICHT ABBILDBAR]` | **2 von 36** | 0 |
+
+**Belegstand:** Genau eine Zeile sagt `BELEG OFFEN` – **X2**, und dauerhaft (`K-20`, D-292): Was ein Client indexiert, ist von außen nicht zu beobachten. Ein Verweisbeleg (*„wie B3"*) erbt den Beleg seines Ziels (D-266); B4, B5, B6 und B8 sind deshalb mit `B3` belegt (D-297). ⚠️ Diese Angabe rechnet keine Prüfung nach. **Gegen eine Installation geprüft sind** S3, B3, B10 und A1 (2026-09-22, `CR-2026-120`, D-277 bis D-287: S3 und A1 tragen, B10 ist widerlegt, B3 trägt mit benannter Grenze) sowie H1, H2 (AP2) und R5, R6, S5 (2026-09-11). R4 und B9 sind zum Schlechteren, M2 durch den richtigen Mechanismus aufgelöst.
+
+## 4. Kernzusagen ohne technische Durchsetzung
+
+Alle sechs Kernzusagen (B1 bis B6) sind als `[TECHNISCH]` vorgesehen; B3, B4 und B5 sind es für den direkten Zugriff, für Shell und Unterprozess `[TEXTUELL]` (Abschnitt 3). `AP2` hat **keine** der sechs zurückgenommen – `B3` ist an neun Läufen bestätigt, mit der Mustergrenze aus D-277. Ein Eintrag in diesem Abschnitt ist damit **nicht erforderlich.** ⚠️ **Zwei Grenzen gehören dazu und stehen in der Vorbemerkung des B-Blocks:** Der Modus `--permission-mode dangerous` hebt den `deny`-Korb auf (D-281) – dort trägt der Schutz-Hook –, und die Pfadmuster der Berechtigungsschicht unterscheiden Groß- und Kleinschreibung (D-277, `K-92`).
+
+Ergibt eine Prüfung, dass eine der sechs Zusagen nicht technisch durchgesetzt wird, ist sie hier einzutragen und nach der Regel in `.koolie/core/clients/README.md` Abschnitt 4 durch `<SECURITY_CONTACT>` freizugeben.
+
+## 5. Bekannte Abweichungen im Verhalten
+
+- **Der Schutz-Hook läuft fail-closed** (`hook_fail_closed: true`, D-31): Das Eingabeschema ist gegen eine Installation belegt (Zeile H2). Die Hook-Aufzeichnungen dieses Clients führen weder `transcript_path` noch `cwd`; der Fehlblockade-Befund des Packs `claude-code` tritt deshalb nicht auf (Zeile H4, Befund B06). Prüfung 17 hält die Zusage an ihrer Wirkung fest.
+- **Der nicht-interaktive Lauf bricht still ab.** Braucht ein Lauf eine Rückfrage, endet er gelegentlich **ohne jede Ausgabe mit Erfolgscode** (`AP2-DD-13`, am 2026-09-11 erneut aufgetreten: ERH-05). Ein leeres Ergebnis ist damit nicht unbedingt ein leeres Ergebnis. **Folge für die in Abschnitt 6 vorgeschriebene Prüfung:** Jeder Nachweislauf bekommt `--export <pfad>` mit – die Mitschrift führt alle Schritte, auch wenn stdout leer bleibt –, und jeder Nachweis aus dem Ausbleiben einer Wirkung trägt eine Positivkontrolle im selben Lauf (Testkatalog Nr. 7).
+- **Die Vertrauensschranke greift im nicht-interaktiven Betrieb.** In einem unbestätigten Verzeichnis scheitert der Print-Modus, solange die Vertrauensprüfung nicht abgeschaltet ist (`--respect-workspace-trust false`) (`AP2-DD-14`). **Folge für Abschnitt 6:** Die vorgeschriebene Prüfung läuft in einem frischen Verzeichnis erst nach dieser Bestätigung. Ein Nachweis, der dafür die Schranke abschaltet, bleibt zulässig, gilt aber nicht für den Normalbetrieb und weist die Bedingung im Protokoll aus (Testkatalog Nr. 7).
+- **Nutzerlokale Konfiguration kann lockern – B9 gilt bei diesem Client nicht.** Die Benutzerkonfiguration (`%APPDATA%\devin\config.json`) setzt sich gegen die projektseitige durch, in beide Richtungen gemessen (K-27, ERH-11). Eine projektseitige Verschärfung ist damit ein Standard, den jede Arbeitsstation still aufheben kann – in einer Datei, die außerhalb des Repositoriums liegt und die niemand im Projekt sieht. Wirksam bleibt sie, wo die Benutzerkonfiguration schweigt; das ist der Normalfall, aber es ist keine Zusage. Was das Framework dagegen setzen kann, steht auf Ebene 2 (Organisation), nicht im Repositorium.
+- **Sechs Skill-Ablagen je Repositorium** (Abschnitt 1, `QD-9`). Das Framework schreibt `.devin/skills/`; `.agents/skills/` empfiehlt der Hersteller. Welche Ablagen der Desktop-Client tatsächlich liest, ist unbestätigt (K-12).
+- **Keine Workflows, keine Memories.** Beides wird vom Client nicht unterstützt `[DOK]`; Skills und versionierte Regeln übernehmen diese Funktion. Für ein Client Pack mit Memory-Mechanismus wäre zu klären, wie das Framework verhindert, dass Wissen an den versionierten Regeln vorbei entsteht.
+- **Sandbox nicht auf allen Betriebssystemen.** Laut Dokumentation unter Windows nicht verfügbar (K-11); der Modus `Autonomous` – in der CLI kein eigener Modus, sondern das Flag `--sandbox` (ERH-08) – ist damit dort nicht absicherbar. D-05 lässt ihn nur zu, wo die Sandbox verfügbar ist; auf der Zielplattform ist er untersagt. Er bekommt **keine** Matrixzeile, weil das Framework hier keine Zusage abbildet, sondern eine Beschränkung benennt, deren Träger auf dieser Plattform fehlt.
+- **Die Modusnamen der Oberfläche und der CLI weichen voneinander ab.** Oberfläche: `Normal`, `Accept Edits`, `Smart`, `Bypass`. CLI (`devin --help`, 2026-09-11): `auto`, `accept-edits`, `smart`, `dangerous`. Die Matrixzeilen M1, M2, M6 und M7 führen beide Namensräume; D-05 nennt die der Oberfläche.
+
+## 6. Installation und Prüfung
+
+Die Starter `install.cmd` (Windows) und `install.command` (macOS) in der Wurzel des Archivs fragen Projekt, Client und Overlay-Muster im Dialog ab und rufen `install.py --target` auf. Ohne Dialog, aus dem entpackten Archiv:
+
+```text
+python .koolie/core/install.py --target /pfad/zum/projekt --client devin-desktop
+```
+
+Danach im Projekt:
+
+```text
+python .koolie/core/tests/scripts/validate-framework.py
+```
+
+Ohne `--client` erkennt `install.py` das installierte Pack; bei einer Erstinstallation ist `devin-desktop` der Standard. Ein Projekt, das den Kern schon trägt, wird mit `--update` gehoben.
+
+## 7. Anweisungs- und Konfigurationsquellen außerhalb des Projekts
+
+Was dieser Client aus Ablagen **außerhalb des Repositoriums** lädt. Solche Quellen haben nach Regel 2.6 der Prioritätshierarchie **keine Ebene**: Sie dürfen einschränken, nie über die Ebenen 1 bis 4 hinaus erweitern und keine Governance-, Datenschutz- oder Sicherheitsregeln setzen (D-34).
+
+**Erhebungsstand: 2026-09-11**, Devin Desktop 3.9.19 / CLI 3000.10.21, erhoben mit `devin rules list`, `devin rules show <name>`, `devin rules paths`, `devin skills list --json`, `devin skills paths` und `devin doctor`, dazu gemessene Kontextläufe in einer Installation ohne Regeltexte (`tests/protocols/2026-09-11-erhebungen-K21-K26.md`).
+
+### 7.1 Anweisungsquellen
+
+| Quelle | Ladebedingung | Belegstatus | Maßnahme des Frameworks |
+|---|---|---|---|
+| `~\.codeium\windsurf\memories\global_rules.md` | always-on, in **jedem** Projekt – auch in einem ohne jeden Regeltext | **Gemessen** (`AP2-DD-15`, K-21 Lauf A): Der Inhalt stand wörtlich im Kontext einer Sitzung in einem Verzeichnis ohne Regeltexte | bis `1.12.0` abgeschaltet über `read_config_from.windsurf: false` (R6, gemessen K-21 Lauf B); **seit `1.12.1` zugelassen** (D-411, `K-156`) – gemessen am 2026-09-26: ein Kennwort in der Datei erreicht die Sitzung. `install.py` meldet die Datei, wenn sie nicht leer ist |
+| `.windsurf/` im Projekt (Regeln, Skills); MCP-Server aus Windsurf (`~\.codeium\windsurf\mcp_config.json`) | Regeln always-on nach ihrem Frontmatter | Regeln **gemessen** am 2026-09-26 (Kennwort in `.windsurf/rules/` lädt mit `windsurf: true`); Skills und MCP-Server `[DOK]`, der Ablageort der MCP-Datei nach Windsurf-Konvention, nicht erhoben | seit `1.12.1` zugelassen (D-411); `install.py` meldet `.windsurf/` im Projekt und eine vorhandene `mcp_config.json` |
+| `~\.claude\skills\` | 67 von 81 Skills, Aufrufbarkeit `[user,model]` | **Gemessen** (`AP2-DD-16`, K-24): Ein Skill von dort läuft; seine Werkzeugaufrufe erreichen Berechtigungsschranke und Schutz-Hook | abgeschaltet über `read_config_from.claude: false` (R6); gemessen 69 → 2 Skills (K-23) |
+| `%APPDATA%\devin\AGENTS.md`, `~\.devin\rules\*.md`, `~\.devin\global_rules.md`, `~\.claude\CLAUDE.md` | laut Herstellerdokumentation weitere Ablageorte für Regeln | `[DOK]` (ERH-09); **auf dieser Arbeitsstation nicht erhoben** – die ersten drei sind das eigene Format des Clients und von `read_config_from` **nicht** erfasst | keine; sie bleiben Auskunft |
+
+### 7.2 Konfigurationsquellen
+
+Berechtigungen, Hooks und Einstellungen außerhalb des Repositoriums betreffen genau die Linien, auf denen B1 bis B6 stehen.
+
+| Quelle | Wirkung | Belegstatus |
+|---|---|---|
+| `%APPDATA%\devin\config.json` (Benutzerkonfiguration) | führt dieselben Schlüssel wie die Projektdatei – Berechtigungen, Hooks, `read_config_from` – und **hat Vorrang**, auch gegenüber einer projektseitigen Verschärfung | **Gemessen in beiden Richtungen** (K-27, ERH-11). Damit ist B9 bei diesem Pack widerlegt |
+| `.devin/config.local.json` | nutzerlokale Überschreibung im Projekt, nicht versioniert | `[DOK]`; dieselbe Lage wie oben |
+
+### 7.3 Was dieser Abschnitt nicht leistet
+
+**Eine Auskunft ist keine Schranke, und die Abschaltung ist ein Standard, keine Sperre.** Was in `read_config_from` steht, kann die Benutzerkonfiguration aufheben (7.2) – wirksam ist die Einstellung dort, wo jene schweigt, und das ist der Normalfall.
+
+**Ein Abwesenheitsbeleg altert.** Der Erhebungsstand oben ist am Tag der nächsten Clientversion eine Aussage über die Vergangenheit. Prüfung 19 sieht den Unterschied nicht: Sie prüft die **Anwesenheit** dieser Auskunft, nicht ihre Richtigkeit.
+
+**Das Register des Clients ist keine zweite Quelle.** Es zeigt mehr, als lädt (ERH-02), und seine Pfadauskunft weniger, als es gibt (ERH-03). Maßgeblich ist dieser Abschnitt, gestützt auf gemessene Kontextläufe.
+
+## 8. Änderungsverlauf
+
+| Version | Datum | Änderung | Autor (Rolle) |
+|---|---|---|---|
+| 0.1.0 | 2026-09-10 | angelegt aus dem Ist-Zustand der Laufzeitschicht (`CR-2026-002`) | `<FRAMEWORK_OWNER>` |
+| 0.2.0 | 2026-09-10 | Berechtigungen und Hooks aus dem Pack in den Kern; Semantikabbildung ergänzt (`CR-2026-008`) | `<FRAMEWORK_OWNER>` |
+| 0.3.0 | 2026-09-10 | Overlay-Laufzeitregel und die beiden Vorlagen in den Kern; Pack umfasst vier Dateien (`CR-2026-010`) | `<FRAMEWORK_OWNER>` |
+| 0.3.2 | 2026-09-11 | **Fail-open ausgewiesen statt vorausgesetzt (`CR-2026-026`, D-31).** Das Manifest führt `hook_fail_closed: false`; der Schutz-Hook dieses Packs lässt eine nicht lesbare Eingabe weiter durch, weil das Eingabeschema unbestätigt ist (V3). Prüfung 17 hält die Zusage an ihrer Wirkung fest. Das Pack `claude-code` führt seit diesem Release `true` – die Abweichung steht jetzt in der Matrix, statt aus dem Fehlen einer Angabe zu folgen | `<FRAMEWORK_OWNER>` |
+| 0.3.3 | 2026-09-11 | **Die Hooks liegen in der Berechtigungsdatei (`CR-2026-029`, D-32) und der Schutz-Hook läuft fail-closed (`CR-2026-026`, D-31).** AP2 hat gezeigt, dass aus `.devin/hooks.v1.json` kein Hook ausgeführt wird – H1 bis H3 waren wirkungslos. Mit dem belegten Eingabeschema ist auch die Bedingung für fail-closed erfüllt. H1 und H2 sind jetzt **beobachtet**, nicht nur dokumentiert; H3 bleibt unbeobachtet. Der Matcher deckt zusätzlich das Lesewerkzeug ab (`CR-2026-030`, D-33) | `<FRAMEWORK_OWNER>` |
+| 0.4.0 | 2026-09-11 | **Fünf Zusagen mehr, drei VERIFY-Marker aufgelöst – zwei davon zum Schlechteren.** Neu: R5 und S5 (Aufzählbarkeit der Regelquellen und Skills, beobachtet, mit dem Vorbehalt aus ERH-02/ERH-03), R6 (Importsteuerung, `CR-2026-038`/D-37), M6 und M7 (die beiden Modi, die D-05 regelt und die Matrix nicht führte, `CR-2026-028`). Aufgelöst: **R4** – für diesen Client ist kein Zeichenlimit dokumentiert, die Zahlen bleiben als Vorgabe des Frameworks (`CR-2026-027`); **B9** – die Benutzerkonfiguration hebt eine projektseitige Verschärfung auf, gemessen in beide Richtungen (ERH-11); **M2** – eine Modus-Sperre ist nicht dokumentiert, wirksam ist die Wirkungsbegrenzung der Organisationsebene. Neuer Abschnitt 7 mit den Anweisungs- und Konfigurationsquellen außerhalb des Projekts. **Die Zeilenzahl der Zusammenfassung ist nachgezählt worden: Sie führte „von 26", während die Matrix 29 Zeilen trug** | `<FRAMEWORK_OWNER>` |
+| 0.8.0 | 2026-09-13 | **Neue Zeile H4 und eine Berichtigung, die neun Releases überfällig war (`CR-2026-056`, D-61 bis D-63, Befund B06).** H4 trägt Eingabeschema, Pfadidentität und die Zeitlücke des Schutz-Hooks. Der Fehlblockade-Befund des Packs `claude-code` tritt hier nicht auf – die fünf Hook-Aufzeichnungen dieses Packs führen **kein** `transcript_path` und **kein** `cwd`; das ist eine Eigenschaft des Schemas, keine des Hooks. Abschnitt 5 behauptete seit 0.25.0 fail-open und einen Manifestwert `false`, während Zeile H2 derselben Tabelle das Gegenteil sagte | `<FRAMEWORK_OWNER>` |
+| 0.9.0 | 2026-09-13 | **Das Startwerkzeug für Unteragenten ist als unerhoben deklariert, und der Belegstand war um eine Zeile zu klein (`CR-2026-058`, D-70).** Das Manifest führt `agent_start_tools_absent: ["unerhoben"]` samt Begründung – die leere Liste ist eine Aussage über den **Belegstand**, nicht über den Client; dieses Pack führt Subagenten als Vorschaufunktion (`QD-14`), gemessen ist dort nichts. Prüfung 34 verlangt künftig Nennung oder Erklärung. **Berichtigt:** Der Belegstand nannte **8** offene VERIFY-Marker und zählte B10 nicht mit, obwohl es seinen Marker seit 0.33.0 trägt – es sind **9** | `<FRAMEWORK_OWNER>` |
+| 0.10.0 | 2026-09-13 | **Die nicht abgebildeten Werkzeugverben des Frontmatters sind deklariert – und ein Widerspruch dieses Manifests ist festgehalten (`CR-2026-062`, D-78).** Beide `tool_names`-Blöcke führen `tool_names_unmapped` mit allen fünf Verben des Vokabulars samt Begründung: Dieses Pack bildet die Frontmatter-Werkzeugnamen nicht ab, und wie der Client sie wirklich nennt, ist **unerhoben** – Zeile S3 sagt es seit 0.7.0 selbst. Bis 0.39.0 war die Abwesenheit nur eine leere Abbildung, und ein unbekanntes Verb wurde wörtlich als Werkzeugname durchgereicht. **Festgehalten, nicht behoben:** Dasselbe Manifest erklärt unter `hook_tools_absent`, dieser Client führe kein eigenes Suchwerkzeug – und jede installierte Skilldatei trägt `grep` und `glob` als Werkzeugnamen. Beides kann nicht stimmen; welche Seite falsch ist, entscheidet eine Erhebung | `<FRAMEWORK_OWNER>` |
+| 0.11.0 | 2026-09-14 | **Der Werkzeugbestand dieses Clients ist erhoben, und der Widerspruch aus 0.10.0 ist entschieden (`CR-2026-065`, D-87 bis D-89).** Falsch war `hook_tools_absent`: Der Client führt **zwei** Suchwerkzeuge, `grep` und `find_file_by_name`; der erzeugte Hook-Matcher kannte die Klasse deshalb nicht, und ein Secret kam über `grep` heraus, wo ein `read` blockiert wurde (Läufe H1/H2). Seit diesem Release führt `hook_tools` die Suchklasse, und derselbe Aufruf wird abgewiesen. **Richtig war `glob` im Frontmatter:** Dieser Client führt dort ein **eigenes, normalisiertes Vokabular** (`read, grep, glob, edit, exec, web_search`), das mit seinen Laufzeitnamen nicht übereinstimmt – ein erster Entwurf trug `find_file_by_name` ein, und der Client verwarf es lautlos. Die Abbildung ist deshalb die **Identität**, der Namensraum ist deklariert, und Prüfung 38 ist namensraumbewusst. **Der Skillaufruf ist ein Werkzeugaufruf** (`skill`), über die Berechtigungsdatei aber nicht adressierbar – **K-33 geschlossen, K-34 neu** | `<FRAMEWORK_OWNER>` |
+| 0.11.0 | 2026-09-16 | *(Unter derselben Nummer wie die Zeile davor eingetragen – ein Versehen; die Nummer bleibt stehen, weil der Verlauf nicht umgeschrieben wird, D-397.)* **Die verbindliche Zielversion ist festgelegt, drei Marker der Pfadabbildung sind aufgelöst, und das Pack ist abgenommen (`CR-2026-075`, D-112 bis D-114).** Der Steckbrief führt seit diesem Release **zwei** Versionsangaben statt einer: die verbindliche Zielspanne `3.9.x` (Geltungsbereich) und den gemessenen Punktwert `3.9.19` (Messwert). Beides in einer Zelle zu führen, hat beim Schwesterpack die Festlegung neben dem Messwert verloren gehen lassen. Aufgelöst: **Schemadetails der Berechtigungskonfiguration** (der Client liest `permissions.deny` und führt den `hooks`-Block aus derselben Datei aus; `ask` und `allow` bleiben ungemessen), **Struktur der MCP-Konfiguration** (am Client erzeugt und verglichen) und **`DEVIN_PROJECT_DIR`** (im Hook-Prozess aufgezeichnet). **Zwei der drei Belege lagen seit dem 2026-09-11 beziehungsweise 2026-09-14 in diesem Repositorium** – ein offener Marker ist eine Aussage über den eigenen Belegstand, und auch die veraltet. Der Status geht von `entwurf` auf `pilot`; damit steht kein Modulträger des Frameworks mehr auf `entwurf` | `<FRAMEWORK_OWNER>` |
+| 0.12.0 | 2026-09-18 | **Produktbeobachtung `FW-AK-01` gegen den Stand 3.10.31** (`CR-2026-087`). Alle siebzehn Quellen und der Changelog seit 3.8.20 abgeglichen – **der erste vollständige Abgleich dieses Teils; er stand seit 0.1.0 aus.** Vier Befunde: **Die verbindliche Zielspanne `3.9.x` deckt das ausgelieferte Produkt nicht mehr** und wird nicht stillschweigend mitgezogen (D-157). **Drei der siebzehn Quellen belegen einen Agenten, den der Hersteller zum 2026-09-08 entfernt hat** – `R1` bekommt deshalb den tragfähigen Beleg `QD-6` statt des Cascade-gebundenen `QD-5` (D-159). **`M2` stützt sich auf die Unüberschreibbarkeit der Organisationsebene, und die galt in der Zielspanne dieses Packs nicht** (CVE-2026-81376, behoben erst in 3.10.31) – dieselbe Bauform wie D-150, im Produkt. **Sechs Skill-Suchpfade statt zwei**, zwei davon ohne dokumentierten Schalter, dazu eine organisationsseitige Skillquelle außerhalb jeder Datei des Frameworks (`K-64`, `K-65`) | `<FRAMEWORK_OWNER>` |
+| 0.13.0 | 2026-09-22 | **`AP2` ist zu Ende gefahren – vier Marker aufgelöst, einer bleibt dauerhaft** (`CR-2026-120`, D-277 bis D-289; 70 Sitzungsläufe, siebzehn Messbäume, 0,4718 USD). **S3** zum Schlechteren: Die Frontmatter-Felder erreichen die installierte Datei und begrenzen den Werkzeuggebrauch **nicht** (neun Läufe, in sieben lief `edit` durch). **B10** zum Schlechteren und auf `[NICHT ABBILDBAR]`: Das Abrufwerkzeug heißt `webfetch`, und die Berechtigungsdatei erreicht den Kanal in **keiner** Richtung (acht Läufe, sechs Bäume, drei Schreibweisen). **A1** zum Besseren: Das `allowed-tools` eines Subagentenprofils bestimmt den Werkzeugbestand des Unteragenten. **B3** mit benannter Grenze: `**/` trifft null bis mehrere Ebenen, und die Muster **unterscheiden Groß- und Kleinschreibung**, während NTFS es nicht tut. **Neu in der Vorbemerkung des B-Blocks:** `--permission-mode dangerous` hebt den `deny`-Korb auf; der Schutz-Hook trägt dort weiter. **Neu in der Pfadabbildung:** die Enthaltung zu `ask`/`allow`, das Startwerkzeug `run_subagent` und die drei von zwölf Skills, die das Modell erreichen | `<FRAMEWORK_OWNER>` |
+| 0.14.0 | 2026-09-22 | **Die Markerform ist abgeschafft; die Belegspalte trägt den Nachweisstand** (`CR-2026-121`, D-291, D-292). Zeile `X2` sagt `BELEG OFFEN (dauerhaft)` statt eines fristgebundenen Markers – **die Frage bleibt offen (`K-20`), die Marke nicht**; *eine Frist auf eine Frage, die dauerhaft nicht beobachtbar ist, war nie einlösbar, und die Zeile hat sie achtundneunzig Releases lang getragen.* **Und der Belegstand dieses Packs war seit `0.86.0` falsch** (D-297): Er sagte *„5 der 36"* und zählte B4, B5, B6 und B8 über den Verweis *„wie B3"* mit – **`B3` ist mit `0.86.0` aufgelöst**, und *ein Verweisbeleg erbt den Beleg seines Ziels* (D-266). **Richtig ist 1 von 36**, und die Übersicht in `clients/README.md` sagte das seit `0.86.0`: *zwei Träger desselben Hauses, zwei Zahlen* | `<FRAMEWORK_OWNER>` |
+| 0.14.4 | 2026-09-26 | Vorbemerkung des B-Blocks: **die Startort-Bedingung**, gemessen mit Clientversion 3000.11.1 – im Unterverzeichnis mit eigenem Repositorium laden weder Wurzel-Anweisung noch Berechtigungen und Hooks; eine eigene Installation dort trägt (D-408). 🔴 **`R2` und `R6`: Befund `K-156`** – mit `read_config_from.windsurf: false` lädt der Client die Regelablage `.devin/rules/` nicht (`CR-2026-148`) | `<FRAMEWORK_OWNER>` |
+| 0.14.5 | 2026-09-26 | 🟢 **`K-156` beantwortet: `windsurf` steht auf `true`** (D-411, `CR-2026-149`) – mit `false` lädt die Regelablage auch unter 3000.11.3 nicht. Der Preis, gemessen an Kennworten je Kanal: die Anweisungsdatei im Benutzerprofil und `.windsurf/rules/` laden; `install.py` meldet belegte Kanäle. `copilot`, `opencode`, `zed` auf `false`. `R2`: `always_on` und `model_decision` gemessen, **`glob` lädt nicht** (`K-161`). Feste Last mit Regelablage 8.344 Token | `<FRAMEWORK_OWNER>` |
+| 0.14.6 | 2026-09-29 | Zeile B4 folgt dem Erzeugnis: Das Overlay sperrt seit `1.17.0` allein der Schutz-Hook (D-448). Zeile MCP-Konfiguration: die Stichprobe des Owners zu `1.18.0` – `stdio` über `mcp-remote` trägt, die Seitenversion kommt an. Zeile S3: die Werkzeugsperre eines Skills wirkt auch für `exec` (`K-187`). `CR-2026-158`, D-468 | `<FRAMEWORK_OWNER>` |
+| 0.14.8 | 2026-09-30 | **Der eingebaute Skill `upload-secrets` ist eingestuft** (`CR-2026-164`, D-503, `K-94`): Er lädt über die CLI, die die Werte selbst liest; der Schutz-Hook sperrt `cloud drs secret-create`, gemessen in zwei Läufen | `<FRAMEWORK_OWNER>` |
+| 0.14.7 | 2026-09-30 | **Die Schreibweise der Muster ist entschieden** (`CR-2026-163`, D-491, D-492, `K-92`, `K-96`). Zeile B3: Die Semantik des Schutz-Hooks gilt, die Grenze der Berechtigungsschicht bleibt benannt. Zeile H4: `/c/…` in beiden Lesarten | `<FRAMEWORK_OWNER>` |

package/.koolie/core/clients/devin-desktop/manifest.json

@@ -0,0 +1,163 @@
+{
+  "_comment": "Maschinenlesbare Pfadabbildung dieses Client Packs. Die menschenlesbare Fassung mit Fähigkeitsmatrix steht in CLIENT_PACK.md. install.py und validate-framework.py lesen diese Datei; ohne sie ist ein Client Pack nicht installierbar.",
+  "client": "devin-desktop",
+  "runtime_dir": ".devin",
+  "root_instruction_file": "AGENTS.md",
+  "permissions_file": ".devin/config.json",
+  "skills_dir": ".devin/skills",
+  "agents_dir": ".devin/agents",
+  "pack_runtime_dir": ".devin/rules",
+  "has_rule_triggers": true,
+  "core_skill_prefix": "fw-",
+  "core_paths": [
+    ".devin/README.md"
+  ],
+  "seed_paths": [],
+  "project_owned_hint": [
+    ".devin/rules/2N-overlay-<name>.md   (Overlay-Regelerweiterungen)",
+    ".devin/rules/40-tech-<name>.md      (Packs ohne Quelle im Kern)",
+    ".devin/skills/prj-*/                (projektspezifische Skills)",
+    ".koolie/project-overlay/tech-packs/**       (projekteigene Packs)",
+    ".koolie/project-overlay/**                  (das gesamte Overlay)"
+  ],
+  "runtime_placeholders": {
+    "<RUNTIME_DIR>": ".devin",
+    "<ROOT_INSTRUCTION_FILE>": "AGENTS.md",
+    "<ROOT_INSTRUCTION_LOCAL>": "AGENTS.local.md",
+    "<PERMISSIONS_FILE>": ".devin/config.json",
+    "<SKILLS_DIR>": ".devin/skills",
+    "<RULES_DIR>": ".devin/rules",
+    "<AGENTS_DIR>": ".devin/agents",
+    "<HOOKS_FILE>": ".devin/config.json",
+    "<MCP_FILE>": ".devin/mcp_config.json",
+    "<CLIENT_NAME>": "Devin Desktop"
+  },
+  "skill_frontmatter": {
+    "tools_format": "list",
+    "tool_names": {"read": ["read"], "grep": ["grep"], "glob": ["glob"], "edit": ["edit"], "exec": ["exec"]},
+    "tool_names_namespace": "eigen",
+    "_tool_names_note": "ERHOBEN am 2026-09-14 (tests/protocols/2026-09-14-erhebung-devin-werkzeuge.md, CR-2026-065, D-87, D-88). Die Abbildung ist die IDENTITAET, und das ist ein Messergebnis, kein Nichtstun: Dieser Client fuehrt fuer das Frontmatter ein EIGENES, normalisiertes und geschlossenes Vokabular, das mit seinen Laufzeit-Werkzeugnamen nicht uebereinstimmt. Gemessen an einer Sondendatei, die zwoelf Namen anbot: angenommen wurden read, grep, glob, edit, exec und web_search (Read und Grep gross geschrieben ebenfalls, auf Kleinschreibung normalisiert); VERWORFEN wurden find_file_by_name, write, skill und ein erfundener Name. Das heisst: glob ist hier RICHTIG, obwohl der Client kein Laufzeugwerkzeug dieses Namens fuehrt - das glob-foermige heisst zur Laufzeit find_file_by_name und steht deshalb in hook_tools, nicht hier. Ein erster Entwurf dieses Releases hat genau das verwechselt und find_file_by_name eingetragen; der Client verwarf den Eintrag lautlos, und die Vorabfreigabe schrumpfte von drei Namen auf zwei. Beim Pack claude-code fallen beide Namensraeume zusammen - deshalb ist der Unterschied bis 0.42.0 niemandem aufgefallen. GRENZE: Gemessen ist, welche Namen der Client ANNIMMT, nicht was er mit ihnen tut - Zeile S3 sagt es.",
+    "drop_fields": []
+  },
+  "shared_core": [
+    {
+      "src": "framework/runtime/root-instruction.md",
+      "dst": "<ROOT_INSTRUCTION_FILE>"
+    },
+    {
+      "src": "framework/runtime/rules/00-framework-core.md",
+      "dst": "<RULES_DIR>/00-framework-core.md"
+    },
+    {
+      "src": "framework/runtime/rules/10-privacy-security.md",
+      "dst": "<RULES_DIR>/10-privacy-security.md"
+    },
+    {
+      "src": "framework/runtime/rules/15-development-rules.md",
+      "dst": "<RULES_DIR>/15-development-rules.md"
+    },
+    {
+      "src": "framework/runtime/agents/fw-reviewer.md",
+      "dst": "<AGENTS_DIR>/fw-reviewer.md"
+    },
+    {
+      "src": "templates/rules/21-overlay-TEMPLATE.md.template",
+      "dst": "<RULES_DIR>/21-overlay-TEMPLATE.md.template"
+    },
+    {
+      "src": "templates/rules/40-tech-TEMPLATE.md.template",
+      "dst": "<RULES_DIR>/40-tech-TEMPLATE.md.template"
+    },
+    {
+      "src": "framework/runtime/root-instruction-local.example.md",
+      "dst": "<ROOT_INSTRUCTION_LOCAL>.example"
+    },
+    {
+      "src": "framework/runtime/mcp-config.example.json",
+      "dst": "<MCP_FILE>.example"
+    }
+  ],
+  "shared_seed": [
+    {
+      "src": "framework/runtime/permissions.json",
+      "dst": "<PERMISSIONS_FILE>"
+    },
+    {
+      "src": "framework/runtime/rules/20-project-overlay.md",
+      "dst": "<RULES_DIR>/20-project-overlay.md"
+    },
+    {
+      "src": "templates/project-overlay",
+      "dst": ".koolie/project-overlay"
+    }
+  ],
+  "rule_frontmatter": "yaml",
+  "root_instruction_imports": [],
+  "agent_frontmatter": {
+    "tools_field": "allowed-tools",
+    "tools_format": "list",
+    "tool_names": {"read": ["read"], "grep": ["grep"], "glob": ["glob"], "edit": ["edit"], "exec": ["exec"]},
+    "tool_names_namespace": "eigen",
+    "_tool_names_note": "Wie skill_frontmatter - dasselbe eigene Frontmatter-Vokabular an der zweiten Stelle, an der es abgebildet wird (2026-09-14, tests/protocols/2026-09-14-erhebung-devin-werkzeuge.md, D-88). Das Agentenprofil fw-reviewer traegt danach unveraendert 'allowed-tools: read, grep, glob'; und seit dem 2026-09-22 ist gemessen, dass dieser Client damit die Zusage A1 EINLOEST: Ein Unteragent mit diesem Profil ruft kein schreibendes Werkzeug auf, das Vollzugriffsprofil des Clients ruft exec und write (D-284). GRENZE: Belegt ist der Werkzeugbestand, nicht die Reichweite je Werkzeug."
+  },
+  "agent_start_tools": ["run_subagent"],
+  "agent_start_tools_absent": [],
+  "_agent_start_tools_absent_note": "ERHOBEN am 2026-09-22 (tests/protocols/2026-09-22-ap2-rest-devin-desktop.md, CR-2026-120, D-284). Das Startwerkzeug heisst run_subagent; die Mitschrift fuehrt es unter agent.tool_definitions, und sein Pflichtargument 'profile' nennt das Subagentenprofil. Bis 0.85.2 stand hier ['unerhoben'] mit der Begruendung, der Name sei fuer diesen Client NICHT gemessen und die Erhebung vom 2026-09-13 betreffe ausschliesslich claude-code - das war richtig und ist jetzt eingeloest. Gemessen ist auch die WIRKUNG des Profils: allowed-tools bestimmt den Werkzeugbestand des Unteragenten (Laeufe A1-GH, A1-SH, A1-RH, ueber einen Aufzeichnungs-Hook mit Positivkontrolle, weil --export die Werkzeugaufrufe eines Unteragenten NICHT fuehrt, D-282). Der Client stellt zwei eigene Profile: subagent_explore (lesend) und subagent_general (voller Schreibzugriff). Zeile A1 des Packs traegt damit keinen offenen VERIFY-Marker mehr. GRENZE: Belegt ist der Werkzeugbestand, nicht die Reichweite je Werkzeug.",
+  "permission_tools": {
+    "read": [
+      "Read"
+    ],
+    "search": [],
+    "write": [
+      "Write"
+    ],
+    "exec": [
+      "Exec"
+    ],
+    "fetch": [
+      "Fetch"
+    ],
+    "mcp": [
+      "mcp__*"
+    ],
+    "skill": []
+  },
+  "_permission_tools_skill_note": "ERHOBEN am 2026-09-14 (tests/protocols/2026-09-14-erhebung-devin-werkzeuge.md, CR-2026-065, D-89; Klaerungspunkt K-33 damit geschlossen). Der Skill-Aufruf IST bei diesem Client ein eigener Werkzeugaufruf: Das Werkzeug heisst skill, der Skillname steht im Argument skill (Laeufe K1, K1b, P2, P3). Die Liste bleibt trotzdem leer, und der Grund ist ein anderer als bisher: Es ist keine Schreibweise bekannt, mit der eine Regel dieser Datei den Aufruf erreicht. Skill(fw-code-explain) laeuft durch (P2), skill(fw-code-explain) laeuft durch (P3) - waehrend Read(**/.env) in derselben Datei und denselben Laeufen abweist (P1b, Kontrolllauf). Eine Regel zu schreiben, die nichts tut, waere die Bauform von D-66 und D-82. ZWEITER WEG, nicht gesucht: Die Slash-Form /fw-name wird CLIENTSEITIG in den Prompt expandiert - im user-Schritt der Mitschrift steht der Inhalt der SKILL.md, nicht der Befehl (K1b). Eine Schranke auf dem Werkzeug erreicht diesen Weg ohnehin nicht. Offen als K-34: ob dieser Client eine wirksame Schreibweise kennt.",
+  "permission_tools_bare": [
+    "mcp__*"
+  ],
+  "permission_path_prefix": "",
+  "permission_exec_match": "literal",
+  "permissions_extra": {},
+  "settings_extra": {},
+  "_settings_extra_note": "Ausdrueckliche Abwesenheit, keine Luecke (CR-2026-087, D-155). Fuer diesen Client ist keine Einstellung bekannt, die das Framework auf der obersten Ebene der Berechtigungsdatei als Verschaerfung ausliefern muesste: Die Gegenstuecke des Schwesterpacks gibt es hier nicht in dieser Form - Devin Local persistiert keine Memories (docs.devin.ai/desktop/cascade/memories: 'The Devin Local agent - the default agent for new tabs - does not persist memories'), und die organisationsseitige Skillquelle ('Indexed repos', docs.devin.ai/product-guides/skills) kennt keinen clientseitigen Schalter (K-64). Pruefung 54 laesst ein Pack mit leerem Objekt durchlaufen; sie meldet einen Schluessel, der deklariert ist und in der erzeugten Datei fehlt oder auf der falschen Ebene steht.",
+  "permissions_note": "Die allow-Regel fuer Suchen entfaellt bei diesem Client und faellt damit auf den strengeren Standard zurueck - NICHT, weil es keine Suche gaebe (das stand hier bis 0.42.0 und ist gemessen falsch), sondern weil die Berechtigungsklasse Read(...) dieses Clients die Suchwerkzeuge mit umfasst: Ein deny Read(**/.env) weist einen grep-Aufruf auf dieselbe Datei ab, gemessen am 2026-09-14 in den Laeufen P4 und W1 (tests/protocols/2026-09-14-erhebung-devin-werkzeuge.md, D-87). Eine eigene Search-Regel waere damit eine zweite Schreibweise fuer dieselbe Zusage.",
+  "hook_path_fields": ["file_path", "path"],
+  "_hook_path_fields_note": "Wie beim Pack claude-code, an der eigenen Aufzeichnung belegt: Die Hook-Eingaben dieses Clients fuehren tool_input mit file_path. path steht daneben, weil ein zusaetzlich erkanntes Feld eine Verschaerfung ist und die Aufloesung sonst an einer Namensvariante vorbeilaeuft (CR-2026-056 E6).",
+  "hook_tools": {"read": ["read"], "search": ["grep", "find_file_by_name"], "exec": ["exec"], "write": ["edit", "write"]},
+  "hook_tools_unerhoben": ["mcp"],
+  "_hook_tools_unerhoben_note": "Das Verb mcp der Kernquelle (seit 1.20.0, K-184, D-486) ist fuer diesen Client NICHT gemessen: Weder der Werkzeugname eines MCP-Aufrufs in der Hook-Eingabe noch das Ereignis, das ihn traegt, sind an einer Installation aufgezeichnet. Ein Matcher auf eine ungemessene Form waere eine Zusage ohne Mechanismus (D-78); das Verb steht deshalb hier und nicht unter hook_tools_absent. Bis zu einer Messung fragt jeder MCP-Aufruf den Menschen, wo die Berechtigungsschicht es verlangt (D-459); der Inhalt wird vom Schutz-Hook nicht geprueft.",
+  "_hook_tools_note": "Die Suchklasse ist ERHOBEN am 2026-09-14 (tests/protocols/2026-09-14-erhebung-devin-werkzeuge.md, CR-2026-065, D-87) und seither hier gefuehrt. Bis 0.42.0 stand sie unter hook_tools_absent mit der Begruendung, dieser Client fuehre kein eigenes Suchwerkzeug - das ist gemessen FALSCH: Er fuehrt zwei, grep (ripgrep) und find_file_by_name (Glob-Muster). Die Folge war gemessen: Der erzeugte Matcher lautete read|exec|edit|write, und in einer Umgebung mit nur diesem Hook kam derselbe Secret-Wert, den ein read-Aufruf nicht bekam, ueber einen grep-Aufruf woertlich heraus (Laeufe H1 und H2). Das Hook-Skript selbst blockiert beides - es wurde nicht gefragt. Entlastung: Wie ausgeliefert trug die Berechtigungsschicht, weil die Klasse Read(...) dieses Clients die Suche mit umfasst (Laeufe P4 und W1); die fail-closed-Schicht (D-31) trug sie nicht, und sie ist die, die eine bearbeitete Berechtigungsdatei ueberleben soll (D-77).",
+  "hook_project_dir_var": "DEVIN_PROJECT_DIR",
+  "import_control": {
+    "key": "read_config_from",
+    "value": {
+      "agents_standard": true,
+      "cursor": false,
+      "windsurf": true,
+      "claude": false,
+      "copilot": false,
+      "opencode": false,
+      "zed": false
+    }
+  },
+  "_import_control_note": "D-37: Das Framework importiert keine Regel- und Skillquellen fremder Werkzeugformate. agents_standard bleibt true - das ist bei diesem Client das Format der eigenen Wurzel-Anweisungsdatei; es abzuschalten hiesse, das Framework abzuschalten. Wirkung gemessen am 2026-09-11 (K-21, K-23): 67 fremde Skills und der Inhalt einer fremden Regel verschwinden aus dem Kontext. Einstufung [TEXTUELL], nicht [TECHNISCH]: Die Benutzerkonfiguration hat in beide Richtungen Vorrang (K-27, ERH-11). WINDSURF STEHT SEIT 1.12.1 AUF true, UND DAS IST EINE ABWAEGUNG, KEIN VERSEHEN (K-156, D-411): Mit windsurf false laedt Devin CLI 3000.11.1 und 3000.11.3 die EIGENE Regelablage .devin/rules/ nicht - gegen die Herstellerdokumentation, gemessen im Minimalbaum mit Kennworten je Kanal am 2026-09-26. Der Preis: Mit true laden auch .windsurf/rules/ im Projekt und ~/.codeium/windsurf/memories/global_rules.md aus dem Benutzerprofil (D-290), laut Dokumentation dazu Skills und MCP-Server aus Windsurf. Diese Kanaele nennt install.py nach Installation und Hebung, wenn sie auf dem Arbeitsplatz belegt sind (import_channels_report). copilot, opencode und zed sind seit 1.12.1 dokumentierte Schluessel mit Standard true und stehen auf false; die Wirkung von copilot ist NICHT gemessen - .github/skills/ lud im Minimalbaum auch ohne den Schalter nicht.",
+  "import_channels_report": [
+    {"path": "~/.codeium/windsurf/memories/global_rules.md", "scope": "user", "when": "nonempty", "what": "globale Windsurf-Regel - laedt in JEDER Sitzung als immer aktive Regel (gemessen, K-156)"},
+    {"path": "~/.codeium/windsurf/mcp_config.json", "scope": "user", "when": "exists", "what": "MCP-Server aus Windsurf - laut Herstellerdokumentation importiert, Ablageort nach Windsurf-Konvention, nicht erhoben"},
+    {"path": ".windsurf", "scope": "project", "when": "exists", "what": "Windsurf-Ablage im Projekt - Regeln laden als Regeln des Projekts (gemessen, K-156)"}
+  ],
+  "_import_channels_report_note": "Auskunft, keine Schranke (D-411): Die Kanaele, die windsurf true oeffnet, meldet install.py, wenn sie belegt sind - eine nicht leere Datei, eine vorhandene Datei oder ein vorhandenes Verzeichnis. Was darin steht, beurteilt der Mensch.",
+  "hook_fail_closed": true,
+  "_hook_fail_closed_note": "Das Eingabeschema dieses Clients ist seit 0.25.0 gegen eine Installation belegt: In einer AP2-Sitzung aufgezeichnet wurden die Felder hook_event_name, tool_name, tool_input, session_id, prompt_id und das in der Dokumentation nicht genannte tool_use_id (tests/protocols/2026-09-11-AP2-devin-desktop.md). Damit ist die Bedingung aus D-31 erfuellt und der durchsetzende Hook wird mit --fail-closed aufgerufen. Beobachtet ist auch das Blockieren selbst: Ein Lesezugriff auf eine Secret-Datei wurde abgebrochen - in einer Umgebung ohne Regeltexte und bei ausgeschalteter Berechtigungsschranke."
+}

package/.koolie/core/clients/devin-desktop/root-template/.devin/README.md

@@ -0,0 +1,79 @@
+# `.devin/` – Laufzeitschicht für Devin Desktop (Devin Local)
+
+Dieses Verzeichnis enthält alles, was Devin Local aus dem Repository liest. Es ist die einzige Devin-spezifische Schicht des Frameworks (Tool Independence). Alle Inhalte sind Konkretisierungen der werkzeugneutralen Regeln in `.koolie/core/framework/`.
+
+| Datei / Verzeichnis | Zweck | Belegstatus |
+|---|---|---|
+| `rules/*.md` | Regeldateien mit `trigger`-Frontmatter (Kurzfassungen von Core, Overlay, Packs) | `[DOK]` Mechanismus |
+| `skills/<name>/SKILL.md` | Skills, Aufruf `/name`; Frontmatter `name`, `description`, `argument-hint`, `allowed-tools`, `permissions`, `triggers` | `[DOK]` |
+| `agents/<name>.md` | Subagent-Profile (hier: nur lesender Reviewer) | `[DOK]` |
+| `config.json` | Berechtigungen `deny` / `ask` / `allow` (projektweit, versioniert) **und Lebenszyklus-Hooks** (`PreToolUse`-Secret- und Pfadprüfung, `SessionStart`-Statusmeldung). Erzeugt aus `.koolie/core/framework/runtime/permissions.json` und `hooks.json`; hier trägt das Projekt nur die Platzhalterwerte ein. Dass die Hooks in dieser Datei stehen und nicht in einer eigenen, folgt D-32: In einer Sitzung wurde erhoben, dass der Client aus einer eigenen Hook-Datei (`hooks.v1.json`) **keinen** Hook ausführt, aus `config.json` sofort (`AP2-DD-10`) | `[DOK]` Mechanismus; Hook-Ort **in einer Sitzung erhoben** (AP2, 3.9.19); Regelmenge `[EMPF]`; **Schemadetails in Sitzungen erhoben** – der Client liest `permissions.deny` aus dieser Datei und führt den `hooks`-Block aus ihr aus (2026-09-11 und 2026-09-14, Abschnitt 1 des Client Packs). Ungemessen bleibt die Wirkung von `ask` und `allow` |
+| `config.local.json` (nicht versioniert) | persönliche Überschreibungen; im Framework nur zum Verschärfen zulässig | `[DOK]`; **eine Lockerung verhindert der Client nicht** (ERH-11, Zeile B9 des Packs) |
+| `mcp_config.json.example` | Vorlage für MCP-Server (Standard: keine) | `[DOK]` Dateiname; **Struktur am Client erhoben** (2026-09-16): Container `mcpServers`, je Eintrag `command`, `args` und `transport`. **Der Standardablageort des Clients ist der unversionierte** `mcp_config.local.json` – wer einen Server ohne Angabe des Geltungsbereichs hinzufügt, schreibt nicht in die versionierte Datei |
+
+## Nicht enthalten (bewusst)
+
+- `workflows/` – Cascade-Workflows werden von Devin Local nicht unterstützt `[DOK]`; Skills übernehmen diese Funktion.
+- `memories` – Devin Local persistiert keine Memories `[DOK]`; Wissen wird ausschließlich über versionierte Regeln, Overlay-Dokumente und Skills bereitgestellt.
+- `.windsurf/` – Legacy-Pfad, wird nicht gepflegt (`.gitignore`).
+- `hooks.v1.json` – seit 0.25.0 **nicht mehr erzeugt** (D-32). Der Client führt aus dieser Datei keinen Hook aus; die Hook-Konfiguration steht in `config.json`. Eine Installation von vor 0.25.0 trägt die Datei weiterhin: `install.py --update` legt die neue Fassung an, **löscht die verwaiste Datei aber nicht**. Sie ist von Hand zu entfernen; der Validator meldet sie bis dahin als Warnung.
+
+## Berechtigungsmodi (Permission Modes) und Framework-Vorgabe
+
+| Modus laut Dokumentation `[DOK]` | Verhalten | Framework-Vorgabe |
+|---|---|---|
+| Normal | Lesen automatisch; Schreiben und Befehle fragen | **Standard** für alle Kontrollstufen |
+| Accept Edits | Workspace-Änderungen automatisch; Shell fragt | nur Kontrollstufe niedrig, nur mit Overlay-Freigabe |
+| Smart | Änderungen automatisch; „sichere" Aktionen automatisch | untersagt (D-05), Ausnahme nur über Ausnahmeprozess |
+| Bypass | alles automatisch | **untersagt** (D-05) |
+| Autonomous (mit Sandbox) | Shell und Fetch automatisch im Sandkasten; Dateiänderungen fragen | nur über Ausnahmeprozess und mit Sandbox-Nachweis |
+
+## Sitzungsfreigaben
+
+Beim Bestätigen einer Anfrage bietet Devin Local an, die Freigabe einmalig, für die Sitzung, für das Projekt, lokal für das Projekt oder global zu speichern `[DOK]`. Im Framework sind nur **einmalig** und **für die Sitzung** zulässig. Projekt- und globale Freigaben verändern `.devin/config.json` beziehungsweise die Benutzerkonfiguration und erfordern einen Änderungsantrag.
+
+## Regelablage (`rules/`)
+
+Die Regelablage enthält die clientspezifische Laufzeitfassung der Framework-Regeln. Die kanonische, werkzeugneutrale Langform liegt in `.koolie/core/framework/`. Bei Widersprüchen gilt die Langform; die Laufzeitfassung wird dann korrigiert.
+
+> **Warum dieser Abschnitt hier steht und nicht in `rules/`.** Der Client führt **jede** Datei der Regelablage in seinem Regelregister und macht sie damit ladbar – auch eine, die keine Regel ist. Bis 0.25.0 lag dort eine eigene README; der Client führte sie mit Trigger `manual` (`AP2-DD-17`). Seit 0.26.0 gilt: **Die Regelablage enthält ausschließlich Regeln** (D-36). Registriert wird, was *in* der Ablage liegt, nicht was daneben liegt.
+
+### Mechanismus (Belegstatus)
+
+| Aussage | Status |
+|---|---|
+| Devin Local liest Regeldateien aus `.devin/rules/*.md` (bevorzugt) und aus dem Legacy-Pfad `.windsurf/rules/` | `[DOK]` |
+| `AGENTS.md` im Workspace-Root wird als always-on-Regel behandelt und in dieselbe Regel-Engine eingespeist | `[DOK]` |
+| Frontmatter-Felder `description`, `trigger` (`always_on`, `manual`, `model_decision`, `agent`, `glob`), `globs` | `[DOK]` |
+| Root-Regeln werden beim Sitzungsstart geladen, Regeln in Unterverzeichnissen erst beim Zugriff auf das Verzeichnis | `[DOK]` |
+| `.devin/` hat Vorrang vor `.windsurf/`; persönliche `*.local.md`-Dateien überschreiben geteilte Pendants | `[DOK]` |
+| Eine Datei **ohne** Frontmatter führt der Client mit Aktivierung `manual` – gemessen mit `devin rules show` (K-25) | in einer Sitzung erhoben (2026-09-11) |
+| Zeichenlimits: `AGENTS.md` und die Regeln mit `always_on` zusammen höchstens 40.000 Zeichen (verbindlich, D-387); 12.000 Zeichen je Regeldatei, 6.000 Zeichen für `20-project-overlay.md` als SOLL-Grenzen – **Vorgabe des Frameworks, keine Produkteigenschaft** | `[EMPF]`. Die Zahlen stammen aus der Cascade-Dokumentation; für Devin Local nennt der Hersteller **keine** Grenze (zweimal geprüft am 2026-09-11 gegen 3.9.19, `CR-2026-027`). Der Validator prüft weiter dagegen |
+| Bedeutung der Trigger: `always_on` = vollständiger Inhalt in jedem Prompt; `model_decision` = nur Beschreibung im Prompt, Inhalt bei Relevanz; `glob` = bei Lesen/Ändern passender Dateien; `manual` = nur bei ausdrücklicher Erwähnung | `[DOK]` |
+
+### Nummernschema und Ebenenzuordnung (Framework-Konvention `[KONZ]`)
+
+| Präfix | Ebene der Prioritätshierarchie | Trigger | Pflege |
+|---|---|---|---|
+| `00-` | 3 Framework Core | `always_on` | Framework Owner |
+| `10-` | 3 Framework Core (Datenschutz/Sicherheit) | `model_decision` | Framework Owner |
+| `15-` | 3 Framework Core (Entwicklungsregeln) | `model_decision` | Framework Owner |
+| `20-` | 4 Project Overlay | `always_on` | Projekt (Overlay Owner) |
+| `30-` | 6 Role Packs | `model_decision` | Modul-Owner |
+| `40-` | 5 Technology Packs | `glob` | Modul-Owner |
+
+Die Nummern bilden die Ladereihenfolge im Dateisystem ab, nicht die Priorität. Die Priorität regelt `AGENTS.md` Abschnitt 2 beziehungsweise `.koolie/core/governance/PRIORITY_HIERARCHY.md`.
+
+### Regeln für die Regelablage
+
+- **Dort liegt nur, was Regel ist.** Ein erklärender Text gehört hierher, nicht dorthin (D-36). Der Validator meldet eine Datei in der Vorlage der Regelablage, die dem Nummernschema nicht folgt.
+- `AGENTS.md` und die Regeln mit `always_on` bleiben zusammen unter 40.000 Zeichen (verbindlich, D-387). Jede Datei SOLL unter 12.000 Zeichen bleiben, `20-project-overlay.md` unter 6.000 Zeichen, damit die Summe der always-on-Inhalte klein bleibt (Least Context).
+- Dateien mit Endung `.template` sind Vorlagen und werden nicht als Regeln gelesen (Konvention des Frameworks; der Client liest laut Dokumentation `*.md`).
+- Änderungen an `00-`, `10-`, `15-` nur über Framework-Änderungsantrag; `20-` über den Overlay-Prozess des Projekts; `30-`, `40-` über den jeweiligen Modul-Owner.
+- `.koolie/core/tests/scripts/validate-framework.py` prüft Frontmatter, Zeichenlimits und verbotene Inhalte.
+
+**Migration aus einer Installation vor 0.26.0:** `install.py --update` legt diese Fassung an, **löscht die alte README der Regelablage aber nicht.** Sie ist von Hand zu entfernen; solange sie liegt, führt der Client sie weiterhin als Regel.
+
+## Validierung
+
+`python3 .koolie/core/tests/scripts/validate-framework.py` prüft dieses Verzeichnis (JSON-Gültigkeit, Kernregeln in `config.json`, Frontmatter der Regeln und Skills, Zeichenlimits, verbotene Inhalte).