@runeya/runeya 2.0.118 → 2.0.119

package/agent/index.js

@@ -439,9 +439,21 @@ var VariableSlotSchema = z7.object({
   pre: z7.string().max(8192).default(""),
   post: z7.string().max(8192).default(""),
   isSecret: z7.boolean().default(false),
-  // When true, this variable is injected into the process environment of AI
-  // agents (Claude Code, Codex, …) spawned while this environment is active.
-  // Opt-in: defaults to false so secrets are never leaked to AI agents by default.
+  // Deux décisions distinctes, et il ne faut pas les confondre :
+  //
+  // - `shareWithAi` est une permission de **lecture** : une IA (le chat de
+  //   Runeya, un agent par le serveur MCP) peut voir la valeur de ce secret.
+  //   Une variable publique est lisible de toute façon, le drapeau ne la
+  //   concerne pas.
+  // - `injectIntoAi` est une **exécution** : la variable est posée dans
+  //   l'environnement du process des agents (Claude Code, Codex, …) lancés
+  //   depuis Runeya pendant que cet environnement est actif.
+  //
+  // Les deux sont opt-in : sans rien cocher, aucun secret ne part vers une IA.
+  // Injecter implique lire (ce que le process reçoit, l'agent le voit), donc
+  // la lecture accepte l'un OU l'autre : voir `isSharedWithAi`, qui est le seul
+  // endroit où cette règle s'écrit.
+  shareWithAi: z7.boolean().default(false),
   injectIntoAi: z7.boolean().default(false),
   // Une variable obligatoire doit avoir une valeur finale non vide avant qu'un
   // service de cet environnement puisse démarrer. Le démarrage est refusé