@tyhld/conductor 0.11.15 → 0.12.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.11.15",
+  "version": "0.12.0",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/sales-template/install.sh

@@ -65,10 +65,16 @@ NODE_MAJOR_WANTED=24
 #   入らないまま古い版で回り続ける。どちらも 0.11.0 から入った物なので、下限をそこへ上げる。
 #   ★上げても手数は増えない。下限より古ければ、この台本が自分で
 #     `npm install -g @tyhld/conductor@latest` を打って新しくする（人の操作は不要）。
+# 【0.12.0 へ上げた理由（えふさん確定 2026-09-16・便 93b2fa03）】
+#   0.11.x までの番人は【読み取りを1件も判定していなかった】。`cat .env` は止まるのに、
+#   職人の読み取りの道具で同じファイルを開くのは素通りしていた（秘密が読める穴）。
+#   0.12.0 でその穴を塞いだが、下限が 0.11.0 のままだと 0.11.x が入っている機は
+#   「入っています」で飛ばされ、★穴の開いた番人のまま回り続ける。だから下限を 0.12.0 にする。
+#   ＝この行こそが「直しをお客さま機へ届ける唯一の道」なので、下げないこと。
 # ★食い違うと「入口は通したのに設置係が止める」が起きる。テストで同一を固定してある。
 # ★公開 npm の latest より新しい値を書かないこと（書くと全員が設置できなくなる）。
 #   package.json の版を超えていないことをテストで固定してある。
-MIN_CONDUCTOR_VERSION="0.11.0"
+MIN_CONDUCTOR_VERSION="0.12.0"
 
 # nvm の版は固定する（毎回ちがう版が降ってくると再現しない）。
 NVM_VERSION='v0.40.1'

package/sales-template/settings.json

@@ -2,6 +2,7 @@
   "_note": "采配くん販売用テンプレート — プロジェクトの .claude/settings.json に配置する。<PLACEHOLDER> を顧客環境に合わせて差し替えること。差し替え箇所は README.md の「プレースホルダ一覧」を参照。",
   "_note_guard": "★段2（2026-07-23）: 許可/確認の判定は番人（~/.tyhld/hooks の cc2_guard.py ほか3フック）が持つようになった。既定は allow（危険と関門だけを番人が deny/ask 相当で止め、それ以外は自走）。そのため settings 側の allow・ask 列挙は不要になり、空にしてある。番人フックはこのファイルではなく顧客PCの ~/.claude/settings.json に1本だけ登録する（setup.sh ⑤）。この現場ファイルには権限ルール（deny）と現場固有の sandbox だけを置く。",
   "_note_deny": "★deny は番人の allow 既定より常に先に効く（Claude Code の評価順 deny→ask→allow）。ここに残す床（.env/.ssh/鍵/.tyhld/settings.json/hooks と Supabase 書込3種など）は allow を空にしても当然そのまま優先される。deny は消さない。",
+  "_note_read": "★Read(…) の禁止は【二重の守りの外側】（便 93b2fa03・えふさん確定 2026-09-16）。秘密の読み取りを本当に判定しているのは番人（~/.tyhld/hooks の policy.py の secret_reason）で、そちらは Read だけでなく NotebookRead・Grep・Glob・MCP・file:// まで同じ境界で止める。この一覧は【番人が外された機体でも Read だけは止まる】ための保険なので、番人より粗い。粗さの実害は1つだけ: Read(**/*.env) は example.env のような前置きの雛形まで止める（.env.example は止まらない）。番人の方は雛形を通すので、番人が入っている機体では今までどおり雛形を読める。",
   "_note_network": "★外への通信は全部通す（allowedDomains: [\"*\"]・えふさん決定 2026-09-03＝甲）。販売版もお客さま機で自走するのが既定（2026-08-23 決定）。理由: サンドボックスの通信許可の問いは管制の3ボタンでは押せず（Claude Code 2.1.258 本体の作り・実測 2026-09-03）、端末に人が居ないと職人が止まったままになるため。★緩むのは『電話をかける』だけ。『金庫を持ち出す』（秘密の持ち出し）を止めるのは番人 cc2_guard.py の別判定で、通信設定とは独立に効き続ける。★下の deniedDomains は allowedDomains より先に判定されるので、本番DBへの直結禁止は \"*\" を入れても効いたまま（実測で確認）。この行を消すと本番DBが開くので消さないこと。",
   "permissions": {
     "defaultMode": "default",
@@ -68,7 +69,35 @@
       "Write(**/*.key)",
       "Edit(**/*.key)",
       "Write(**/.npmrc)",
-      "Edit(**/.npmrc)"
+      "Edit(**/.npmrc)",
+      "Read(**/.env)",
+      "Read(**/.env.local)",
+      "Read(**/.env.development)",
+      "Read(**/.env.production)",
+      "Read(**/.env.test)",
+      "Read(**/*.env)",
+      "Read(**/.ssh/**)",
+      "Read(**/.gnupg/**)",
+      "Read(**/.aws/**)",
+      "Read(**/.gcloud/**)",
+      "Read(**/.tyhld/**)",
+      "Read(**/*.pem)",
+      "Read(**/*.key)",
+      "Read(**/.npmrc)",
+      "Read(**/.netrc)",
+      "Read(**/.pypirc)",
+      "Read(**/id_rsa*)",
+      "Read(**/id_dsa*)",
+      "Read(**/id_ecdsa*)",
+      "Read(**/id_ed25519*)",
+      "Read(**/authorized_keys)",
+      "Read(**/known_hosts)",
+      "Read(**/credentials)",
+      "Read(**/credentials.json)",
+      "Read(**/.credentials.json)",
+      "Read(**/auth.json)",
+      "Read(**/*login.json)",
+      "Read(**/.config/gh/hosts.yml)"
     ]
   },
   "sandbox": {

package/sales-template/setup.sh

@@ -102,7 +102,7 @@ PROJECT_DIR="${2:-$HOME/projects/$SITE}"
 #   食い違うと「入口は通したのに設置係が止める」が起きる。テストで同一を固定してある。
 # ★公開 npm の latest より新しい値を書かないこと（書くと全員が設置できなくなる）。
 #   package.json の版を超えていないことをテストで固定してある。
-MIN_CONDUCTOR_VERSION="0.11.0"
+MIN_CONDUCTOR_VERSION="0.12.0"
 
 # ─── ヘルパ ───────────────────────────────────────────────────────────────────
 fail() { echo; echo "[setup] エラー: $1" >&2; exit 1; }

package/scripts/hooks/policy.py

@@ -752,6 +752,130 @@ def decide_write(file_path: str, cwd=None):
     return _r(ALLOW, 'no gate, no danger')
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# 入口: ファイル読み取りツール（Read / NotebookRead / 検索 / 未知の道具）
+#
+# 【なぜ足したか（実地の穴・便 b80b76c4 の緊急）】
+#   ここまでの判定は Bash と Write/Edit しか見ていなかった。`cat .env` は止まるのに、
+#   職人の【読み取りの道具】で同じファイルを開くのは素通りしていた。
+#   「秘密の名前を見分ける仕組み（secret_reason）」は既にあったのに、読む側から
+#   一度も呼ばれていなかった＝書き込みは守られ、読み取りは丸ごと開いていた。
+#
+# 【方針＝判定点は1つ】
+#   読み取りも書き込みも、止める理由は同じ `secret_reason(path)` から出す。
+#   ★ここに新しい秘密の一覧を作らない（写しを2つ持つと、片方に足してもう片方を
+#     忘れる事故が必ず起きる。この製品で繰り返した型）。
+#
+# 【迂回経路も同じ判定を通す】
+#   ・Read / NotebookRead      … file_path / notebook_path
+#   ・Grep / Glob              … path（探す場所）と pattern / glob（探す名前）
+#   ・★それ以外すべての道具    … 入力に「パスらしい項目」があれば同じ判定に掛ける。
+#     MCP の道具も、将来増える道具も、名前を知らないまま同じ境界で止まる。
+# ═════════════════════════════════════════════════════════════════════════════
+
+# 読み取り専用の道具（中身がそのまま返る）。
+READ_TOOLS = frozenset({'Read', 'NotebookRead'})
+
+# 探す道具（結果に中身が出る／名前だけ出る）。
+SEARCH_TOOLS = frozenset({'Grep', 'Glob'})
+
+# 入力の中で「1つのパス」を表す項目名。★どの道具でも同じ名前が使われる（実測）。
+PATH_KEYS = ('file_path', 'notebook_path', 'path', 'filePath', 'file', 'target_file')
+
+# 入力の中で「パスの並び」を表す項目名。
+PATH_LIST_KEYS = ('file_paths', 'paths', 'files')
+
+# 探す名前（glob）の中で使われる、パスの一部ではない記号。
+#   ★剥がしてから secret_reason に渡す＝判定は1つのまま。
+#     例 `**/.env` → `/.env` → 秘密／`**/*.ts` → `/.ts` → 秘密ではない。
+_GLOB_META_RE = re.compile(r'\[[^\]]*\]|[*?{}]')
+
+
+def strip_glob_meta(pattern: str) -> str:
+    """探す名前から、当てはめの記号だけを剥がして素の字面にする。
+
+    ★剥がすのは記号だけ。名前そのものは1文字も変えない（緩める方向の変更はしない）。
+      `.env*` → `.env`（秘密）／`*.env.example` → `.env.example`（雛形＝秘密ではない）。
+    """
+    return _GLOB_META_RE.sub('', pattern or '')
+
+
+def glob_secret_reason(pattern: str):
+    """探す名前が、秘密のファイルを名指ししているなら理由を返す。
+
+    ★判定は secret_reason ひとつ。ここでは記号を剥がして渡すだけ。
+    """
+    if not pattern or not isinstance(pattern, str):
+        return None
+    stripped = strip_glob_meta(pattern).strip()
+    if not stripped:
+        return None
+    return secret_reason(stripped)
+
+
+def decide_read(file_path: str, cwd=None):
+    """読み取り1件の判定。★書き込みと同じ `secret_reason` で決める。"""
+    if not file_path or not isinstance(file_path, str) or not file_path.strip():
+        return _r(ALLOW, 'empty file_path')
+    try:
+        path = norm_path(file_path, cwd)
+    except Exception:  # noqa: BLE001
+        return _r(DENY, 'danger: unnormalizable path')
+    sr = secret_reason(path)
+    if sr:
+        return _r(DENY, f'danger: read from {sr}')
+    return _r(ALLOW, 'no gate, no danger')
+
+
+def decide_search(tool_input, cwd=None):
+    """探す道具（Grep / Glob）の判定。
+
+    ★2つを見る。
+      ① 探す【場所】が秘密のファイルそのものなら止める（中身が結果に出るため）。
+      ② 探す【名前】が秘密を名指ししているなら止める。
+    ★普通の探し方（リポの中を *.ts で探す 等）は1つも止めない。
+    """
+    if not isinstance(tool_input, dict):
+        return _r(ALLOW, 'no tool_input')
+    where = tool_input.get('path')
+    if isinstance(where, str) and where.strip():
+        res = decide_read(where, cwd)
+        if res['decision'] == DENY:
+            return _r(DENY, res['reason'].replace('read from', 'search in'))
+    for key in ('glob', 'pattern'):
+        sr = glob_secret_reason(tool_input.get(key))
+        if sr:
+            return _r(DENY, f'danger: search for {sr}')
+    return _r(ALLOW, 'no gate, no danger')
+
+
+def decide_any_path(tool_input, cwd=None):
+    """★知らない道具の受け皿。入力に「パスらしい項目」があれば同じ判定に掛ける。
+
+    【なぜ要るか】道具は増える（MCP・新しい組み込み）。名前を1つずつ列挙する形だと、
+      増えたその日から素通りする。名前ではなく【入力の形】で捕まえれば、知らない道具でも
+      同じ秘密の境界で止まる。
+    ★止めるのは秘密に当たったときだけ。当たらなければ今までどおり自走する。
+    """
+    if not isinstance(tool_input, dict):
+        return _r(ALLOW, 'no tool_input')
+    for key in PATH_KEYS:
+        v = tool_input.get(key)
+        if isinstance(v, str) and v.strip():
+            res = decide_read(v, cwd)
+            if res['decision'] == DENY:
+                return _r(DENY, res['reason'].replace('read from', f'{key} points at'))
+    for key in PATH_LIST_KEYS:
+        v = tool_input.get(key)
+        if isinstance(v, (list, tuple)):
+            for item in v:
+                if isinstance(item, str) and item.strip():
+                    res = decide_read(item, cwd)
+                    if res['decision'] == DENY:
+                        return _r(DENY, res['reason'].replace('read from', f'{key} points at'))
+    return _r(ALLOW, 'no gate, no danger')
+
+
 # ═════════════════════════════════════════════════════════════════════════════
 # 入口: ネットワーク（WebFetch）
 #   ★既定 allow。取得そのものは自走してよい。止めるのは秘密の持ち出しだが、
@@ -761,6 +885,12 @@ def decide_write(file_path: str, cwd=None):
 def decide_network(url: str):
     if not url or not isinstance(url, str) or not url.strip():
         return _r(ALLOW, 'empty url')
+    # ★file:// は「取得」の顔をした【読み取り】。同じ秘密の境界を通す。
+    #   （便 b80b76c4 の緊急・迂回経路も同じ判定を通す）
+    if url.strip().lower().startswith('file:'):
+        sr = secret_reason(re.sub(r'^file:(//)?', '', url.strip(), flags=re.IGNORECASE))
+        if sr:
+            return _r(DENY, f'danger: read from {sr} (file url)')
     if _SECRET_ENV_RE.search(url):
         return _r(DENY, 'danger: secret in url')
     if re.search(r'[?&](token|secret|password|api_?key)=', url, re.IGNORECASE):
@@ -792,5 +922,13 @@ def decide_event(data):
         if not fp:
             return _r(ALLOW, 'no file_path')
         return decide_write(fp, data.get('cwd'))
-    # WebSearch / MCP / その他 … 調査や道具の呼び出しは自走してよい（既定 allow）。
-    return _r(ALLOW, 'no gate, no danger')
+    if tool in READ_TOOLS:
+        fp = tin.get('file_path') or tin.get('notebook_path') or ''
+        if not fp:
+            return _r(ALLOW, 'no file_path')
+        return decide_read(fp, data.get('cwd'))
+    if tool in SEARCH_TOOLS:
+        return decide_search(tin, data.get('cwd'))
+    # ★知らない道具（MCP・将来増える組み込み）も、入力にパスらしい項目があれば同じ判定を通す。
+    #   当たらなければ従来どおり自走する（WebSearch・道具の呼び出し等は1つも止まらない）。
+    return decide_any_path(tin, data.get('cwd'))

package/scripts/hooks/test_policy.py

@@ -1274,6 +1274,157 @@ for cmd in REDIRECT_DENY:
 for cmd in ['echo x > .env', 'y=$(echo x > .env)', 'echo x > "/home/fshim/.ssh/config"']:
     check(f'deny {cmd[:58]}', policy.decide_bash(cmd)['decision'], policy.DENY)
 
+# ─────────────────────────────────────────────────────────────────────────────
+# (g) ★秘密ファイルの【読み取り】が、経路を問わず止まる（便 93b2fa03・えふさん確定①）
+#
+#   原則: 秘密として分類されたファイル・パスは、職人から【内容を取得できない】。
+#         書き込み禁止と読み取り禁止を【同じ秘密境界】で強制する。迂回経路も同じ判定を通す。
+#   ★ここで使う名前はすべて【偽の置き場】（/tmp の下）。本物の秘密には1件も触れない。
+# ─────────────────────────────────────────────────────────────────────────────
+FAKE = '/tmp/claude-guard-test'   # ★存在しなくてよい。判定は名前とパスだけで決まる。
+
+# 秘密として止まるべきパス（名前・置き場の両方の型を1つずつ）。
+SECRET_PATHS = [
+    f'{FAKE}/.env',                       # そのもの
+    f'{FAKE}/.env.local',                 # .env. で始まる
+    f'{FAKE}/.fake-conductor.env',        # .env で【終わる】（2026-09-06 に塞いだ型）
+    f'{FAKE}/.ssh/config',                # 秘密のフォルダの中
+    f'{FAKE}/id_rsa',                     # 鍵そのもの
+    f'{FAKE}/server.pem',                 # 証明書
+    f'{FAKE}/site.key',                   # 鍵
+    f'{FAKE}/.npmrc',                     # 取得先の資格情報
+    f'{FAKE}/auth.json',                  # 道具のログイン
+    f'{FAKE}/.credentials.json',          # 職人のログイン
+    f'{FAKE}/some-login.json',            # ブラウザのログイン状態
+    f'{FAKE}/.config/gh/hosts.yml',       # 置き場と対で秘密になるもの
+]
+
+# 普通のファイル（★1つも止めてはいけない）。
+PLAIN_PATHS = [
+    f'{FAKE}/src/relay.ts',
+    f'{FAKE}/README.md',
+    f'{FAKE}/.env.example',               # 雛形は秘密ではない
+    f'{FAKE}/example.env',                # 前置きの雛形も秘密ではない
+    f'{FAKE}/package.json',
+    f'{FAKE}/docs/adr/ADR-001.md',
+]
+
+
+def ev(tool, tool_input, cwd=FAKE):
+    return policy.decide_event({'tool_name': tool, 'tool_input': tool_input, 'cwd': cwd})
+
+
+# (g-1) 直接の読み取り（Read / NotebookRead）
+for p in SECRET_PATHS:
+    check(f'read deny Read {p[len(FAKE):][:44]}', ev('Read', {'file_path': p})['decision'], policy.DENY)
+    check(f'read deny NotebookRead {p[len(FAKE):][:36]}',
+          ev('NotebookRead', {'notebook_path': p})['decision'], policy.DENY)
+for p in PLAIN_PATHS:
+    check(f'read allow Read {p[len(FAKE):][:44]}', ev('Read', {'file_path': p})['decision'], policy.ALLOW)
+
+# (g-2) 探す道具（Grep / Glob）— 探す場所が秘密そのもの／探す名前が秘密を名指し
+for p in SECRET_PATHS:
+    check(f'search deny Grep path {p[len(FAKE):][:38]}',
+          ev('Grep', {'pattern': 'x', 'path': p})['decision'], policy.DENY)
+for g in ['**/.env', '.env*', '**/*.pem', '**/id_rsa*', '**/.npmrc', '**/auth.json']:
+    check(f'search deny Grep glob {g:24}',
+          ev('Grep', {'pattern': 'x', 'path': FAKE, 'glob': g})['decision'], policy.DENY)
+    check(f'search deny Glob pattern {g:20}', ev('Glob', {'pattern': g})['decision'], policy.DENY)
+# ★普通の探し方は1つも止めない。
+for g in ['**/*.ts', 'src/**/*.tsx', '*', '**/*.md', '**/*.env.example']:
+    check(f'search allow Grep glob {g:23}',
+          ev('Grep', {'pattern': 'x', 'path': FAKE, 'glob': g})['decision'], policy.ALLOW)
+    check(f'search allow Glob pattern {g:19}', ev('Glob', {'pattern': g})['decision'], policy.ALLOW)
+check('search allow Grep path=リポの中',
+      ev('Grep', {'pattern': 'relayTick', 'path': f'{FAKE}/src'})['decision'], policy.ALLOW)
+
+# (g-3) ★知らない道具（MCP・将来の組み込み）も同じ境界で止まる
+for p in SECRET_PATHS[:4]:
+    check(f'unknown-tool deny path {p[len(FAKE):][:38]}',
+          ev('mcp__fs__read_text_file', {'path': p})['decision'], policy.DENY)
+    check(f'unknown-tool deny file_path {p[len(FAKE):][:33]}',
+          ev('SomeFutureReader', {'file_path': p})['decision'], policy.DENY)
+check('unknown-tool deny paths[]（並びの中の1つでも）',
+      ev('SomeFutureReader', {'paths': [f'{FAKE}/README.md', f'{FAKE}/.env']})['decision'], policy.DENY)
+check('unknown-tool allow 普通のパス',
+      ev('mcp__fs__read_text_file', {'path': f'{FAKE}/README.md'})['decision'], policy.ALLOW)
+check('unknown-tool allow パスの項目が無い', ev('WebSearch', {'query': '.env とは'})['decision'], policy.ALLOW)
+check('unknown-tool allow 説明文に字面があるだけ',
+      ev('Task', {'prompt': 'あとで .env の書き方を調べる'})['decision'], policy.ALLOW)
+
+# (g-4) file:// の取得は「取得の顔をした読み取り」
+check('webfetch deny file:// 秘密',
+      ev('WebFetch', {'url': f'file://{FAKE}/.env'})['decision'], policy.DENY)
+check('webfetch allow file:// 普通',
+      ev('WebFetch', {'url': f'file://{FAKE}/README.md'})['decision'], policy.ALLOW)
+check('webfetch allow 普通の取得',
+      ev('WebFetch', {'url': 'https://example.com/docs'})['decision'], policy.ALLOW)
+
+# (g-5) shell 経由は【従来どおり】止まる（退行していないことの確認）
+for cmd in ['cat .env', 'head -5 .env', 'tail .env', 'strings .env', 'xxd .env',
+            'base64 .env', 'grep TOKEN .env', 'sed -n 1p .env', 'awk "{print}" .env',
+            'cp .env /tmp/x', 'tar czf /tmp/x.tgz .env', 'bash -c "cat .env"',
+            'python3 -c "print(open(\'.env\').read())"']:
+    check(f'shell deny {cmd[:52]}', policy.decide_bash(cmd)['decision'], policy.DENY)
+# 普通の読み取りは止まらない。
+for cmd in ['cat README.md', 'grep -rn relayTick src', 'head -20 package.json',
+            'cat .env.example', 'sed -n 1,20p src/relay.ts']:
+    check(f'shell allow {cmd[:52]}', policy.decide_bash(cmd)['decision'], policy.ALLOW)
+
+# (g-6) ★書き込みの禁止が1つも変わっていない（判定点を1つにしても後退しない）
+for p in SECRET_PATHS:
+    check(f'write deny {p[len(FAKE):][:48]}', ev('Write', {'file_path': p})['decision'], policy.DENY)
+for p in PLAIN_PATHS:
+    check(f'write allow {p[len(FAKE):][:47]}', ev('Write', {'file_path': p})['decision'], policy.ALLOW)
+
+# (g-7) ★空振り確認＝判定点（secret_reason）を外すと、上の deny が全部 allow に落ちる
+#   これが落ちないなら「読み取りの禁止が secret_reason を通っていない」＝写しの一覧を
+#   どこかに作ってしまった合図。★判定が1か所であることを機械で固定する。
+_real_secret_reason = policy.secret_reason
+try:
+    policy.secret_reason = lambda path: None   # 判定点を無効化する
+    broke = []
+    for p in SECRET_PATHS:
+        if ev('Read', {'file_path': p})['decision'] != policy.ALLOW:
+            broke.append(f'Read {p}')
+        if ev('Write', {'file_path': p})['decision'] != policy.ALLOW:
+            broke.append(f'Write {p}')
+        if ev('Grep', {'pattern': 'x', 'path': p})['decision'] != policy.ALLOW:
+            broke.append(f'Grep {p}')
+        if ev('mcp__fs__read_text_file', {'path': p})['decision'] != policy.ALLOW:
+            broke.append(f'MCP {p}')
+    for g in ['**/.env', '**/*.pem']:
+        if ev('Glob', {'pattern': g})['decision'] != policy.ALLOW:
+            broke.append(f'Glob {g}')
+    if ev('WebFetch', {'url': f'file://{FAKE}/.env'})['decision'] != policy.ALLOW:
+        broke.append('WebFetch file://')
+    check('★空振り: 判定点を外すと読み書き探すが全部通る（＝判定は1か所）', broke, [])
+finally:
+    policy.secret_reason = _real_secret_reason
+
+# (g-8) ★空振り確認＝判定点を戻すと、また止まる（上の細工が残っていないこと）
+check('★空振り: 判定点を戻すと再び止まる',
+      ev('Read', {'file_path': f'{FAKE}/.env'})['decision'], policy.DENY)
+
+# (g-9) 実物のファイルで確かめる（★偽の秘密・偽の値。本物には触れない）
+_secret_dir = tempfile.mkdtemp(prefix='conductor-guard-read-')
+try:
+    _fake_env = os.path.join(_secret_dir, '.env')
+    with open(_fake_env, 'w', encoding='utf-8') as _f:
+        _f.write('FAKE_TOKEN=this-is-not-a-real-secret\n')
+    _plain = os.path.join(_secret_dir, 'notes.md')
+    with open(_plain, 'w', encoding='utf-8') as _f:
+        _f.write('ふつうの覚え書き\n')
+    check('実物: 偽の秘密は読めない（Read）', ev('Read', {'file_path': _fake_env})['decision'], policy.DENY)
+    check('実物: 偽の秘密は探せない（Grep）',
+          ev('Grep', {'pattern': 'FAKE_TOKEN', 'path': _fake_env})['decision'], policy.DENY)
+    check('実物: 偽の秘密は shell でも読めない',
+          policy.decide_bash(f'cat {_fake_env}')['decision'], policy.DENY)
+    check('実物: 同じ場所の普通のファイルは読める',
+          ev('Read', {'file_path': _plain})['decision'], policy.ALLOW)
+finally:
+    shutil.rmtree(_secret_dir, ignore_errors=True)
+
 # ─────────────────────────────────────────────────────────────────────────────
 print('\n' + '=' * 72)
 if failures: