@tyhld/conductor 0.11.16 → 0.12.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.11.16",
+  "version": "0.12.1",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/sales-template/install.sh

@@ -65,10 +65,22 @@ NODE_MAJOR_WANTED=24
 #   入らないまま古い版で回り続ける。どちらも 0.11.0 から入った物なので、下限をそこへ上げる。
 #   ★上げても手数は増えない。下限より古ければ、この台本が自分で
 #     `npm install -g @tyhld/conductor@latest` を打って新しくする（人の操作は不要）。
+# 【0.12.0 へ上げた理由（えふさん確定 2026-09-16・便 93b2fa03）】
+#   0.11.x までの番人は【読み取りを1件も判定していなかった】。`cat .env` は止まるのに、
+#   職人の読み取りの道具で同じファイルを開くのは素通りしていた（秘密が読める穴）。
+#   0.12.0 でその穴を塞いだが、下限が 0.11.0 のままだと 0.11.x が入っている機は
+#   「入っています」で飛ばされ、★穴の開いた番人のまま回り続ける。だから下限を 0.12.0 にする。
+#   ＝この行こそが「直しをお客さま機へ届ける唯一の道」なので、下げないこと。
+# 【0.12.1 へ上げた理由（えふさん確定 2026-09-16・便 927da60e）】
+#   0.12.0 までの番人は、利用上限からの自動再開の知らせ3種を「知らない種類＝出す」に
+#   落としていた。もう自動で続いているのに【押せない確認カードが9分出たまま】になり
+#   （2026-09-16 11:01 に3現場で発生）、逆に本当に止まる2種（端末で Enter が要る／
+#   続きの指示が要る）も同じ文面で出るので、何をすればよいか分からなかった。
+#   0.12.1 で3種を分けた。下限を上げないと 0.12.0 の機に届かない。
 # ★食い違うと「入口は通したのに設置係が止める」が起きる。テストで同一を固定してある。
 # ★公開 npm の latest より新しい値を書かないこと（書くと全員が設置できなくなる）。
 #   package.json の版を超えていないことをテストで固定してある。
-MIN_CONDUCTOR_VERSION="0.11.0"
+MIN_CONDUCTOR_VERSION="0.12.1"
 
 # nvm の版は固定する（毎回ちがう版が降ってくると再現しない）。
 NVM_VERSION='v0.40.1'

package/sales-template/settings.json

@@ -2,6 +2,7 @@
   "_note": "采配くん販売用テンプレート — プロジェクトの .claude/settings.json に配置する。<PLACEHOLDER> を顧客環境に合わせて差し替えること。差し替え箇所は README.md の「プレースホルダ一覧」を参照。",
   "_note_guard": "★段2（2026-07-23）: 許可/確認の判定は番人（~/.tyhld/hooks の cc2_guard.py ほか3フック）が持つようになった。既定は allow（危険と関門だけを番人が deny/ask 相当で止め、それ以外は自走）。そのため settings 側の allow・ask 列挙は不要になり、空にしてある。番人フックはこのファイルではなく顧客PCの ~/.claude/settings.json に1本だけ登録する（setup.sh ⑤）。この現場ファイルには権限ルール（deny）と現場固有の sandbox だけを置く。",
   "_note_deny": "★deny は番人の allow 既定より常に先に効く（Claude Code の評価順 deny→ask→allow）。ここに残す床（.env/.ssh/鍵/.tyhld/settings.json/hooks と Supabase 書込3種など）は allow を空にしても当然そのまま優先される。deny は消さない。",
+  "_note_read": "★Read(…) の禁止は【二重の守りの外側】（便 93b2fa03・えふさん確定 2026-09-16）。秘密の読み取りを本当に判定しているのは番人（~/.tyhld/hooks の policy.py の secret_reason）で、そちらは Read だけでなく NotebookRead・Grep・Glob・MCP・file:// まで同じ境界で止める。この一覧は【番人が外された機体でも Read だけは止まる】ための保険なので、番人より粗い。粗さの実害は1つだけ: Read(**/*.env) は example.env のような前置きの雛形まで止める（.env.example は止まらない）。番人の方は雛形を通すので、番人が入っている機体では今までどおり雛形を読める。",
   "_note_network": "★外への通信は全部通す（allowedDomains: [\"*\"]・えふさん決定 2026-09-03＝甲）。販売版もお客さま機で自走するのが既定（2026-08-23 決定）。理由: サンドボックスの通信許可の問いは管制の3ボタンでは押せず（Claude Code 2.1.258 本体の作り・実測 2026-09-03）、端末に人が居ないと職人が止まったままになるため。★緩むのは『電話をかける』だけ。『金庫を持ち出す』（秘密の持ち出し）を止めるのは番人 cc2_guard.py の別判定で、通信設定とは独立に効き続ける。★下の deniedDomains は allowedDomains より先に判定されるので、本番DBへの直結禁止は \"*\" を入れても効いたまま（実測で確認）。この行を消すと本番DBが開くので消さないこと。",
   "permissions": {
     "defaultMode": "default",
@@ -68,7 +69,35 @@
       "Write(**/*.key)",
       "Edit(**/*.key)",
       "Write(**/.npmrc)",
-      "Edit(**/.npmrc)"
+      "Edit(**/.npmrc)",
+      "Read(**/.env)",
+      "Read(**/.env.local)",
+      "Read(**/.env.development)",
+      "Read(**/.env.production)",
+      "Read(**/.env.test)",
+      "Read(**/*.env)",
+      "Read(**/.ssh/**)",
+      "Read(**/.gnupg/**)",
+      "Read(**/.aws/**)",
+      "Read(**/.gcloud/**)",
+      "Read(**/.tyhld/**)",
+      "Read(**/*.pem)",
+      "Read(**/*.key)",
+      "Read(**/.npmrc)",
+      "Read(**/.netrc)",
+      "Read(**/.pypirc)",
+      "Read(**/id_rsa*)",
+      "Read(**/id_dsa*)",
+      "Read(**/id_ecdsa*)",
+      "Read(**/id_ed25519*)",
+      "Read(**/authorized_keys)",
+      "Read(**/known_hosts)",
+      "Read(**/credentials)",
+      "Read(**/credentials.json)",
+      "Read(**/.credentials.json)",
+      "Read(**/auth.json)",
+      "Read(**/*login.json)",
+      "Read(**/.config/gh/hosts.yml)"
     ]
   },
   "sandbox": {

package/sales-template/setup.sh

@@ -102,7 +102,7 @@ PROJECT_DIR="${2:-$HOME/projects/$SITE}"
 #   食い違うと「入口は通したのに設置係が止める」が起きる。テストで同一を固定してある。
 # ★公開 npm の latest より新しい値を書かないこと（書くと全員が設置できなくなる）。
 #   package.json の版を超えていないことをテストで固定してある。
-MIN_CONDUCTOR_VERSION="0.11.0"
+MIN_CONDUCTOR_VERSION="0.12.1"
 
 # ─── ヘルパ ───────────────────────────────────────────────────────────────────
 fail() { echo; echo "[setup] エラー: $1" >&2; exit 1; }

package/scripts/hooks/hook_datalink.py

@@ -221,21 +221,74 @@ def record_decision(tool_name, decision, gate=None, env=None):
     return _append_line(decision_log_path(env), line)
 
 
-def record_notification(notification_type, forwarded, reason='', env=None):
+# 通知の本文をどれだけ残すか（★短く切る。理由は下の record_notification を参照）。
+NOTIFICATION_DETAIL_CHARS = 120
+
+# 秘密らしき字面を伏せるための型。★「読めなくする」ためではなく「写さない」ため。
+#   ① 名前つきの代入・項目（TOKEN= / secret: / api_key= …）
+_SECRETISH_ASSIGN_RE = re.compile(
+    r'\b([A-Za-z0-9_]*(?:TOKEN|SECRET|PASSWORD|PASSWD|APIKEY|API_KEY|PRIVATE_KEY|CREDENTIAL)'
+    r'[A-Za-z0-9_]*)\s*[=:]\s*\S+',
+    re.IGNORECASE,
+)
+#   ② 認可ヘッダの値（Bearer xxx / Basic xxx）
+_BEARER_RE = re.compile(r'\b(bearer|basic)\s+\S+', re.IGNORECASE)
+#   ③ 見るからに乱数の長い塊（英数が混ざった32文字以上のひと続き）。
+#      ★英単語・パス・種別の名前（quota_auto_resume_disabled 等）は数字を含まないので当たらない。
+#      ★`/` と `.` を字の仲間に入れない＝パスやホスト名は区切りで千切れて短くなり、当たらない。
+_LONG_TOKEN_RE = re.compile(
+    r'\b(?=[A-Za-z0-9+_-]*\d)(?=[A-Za-z0-9+_-]*[A-Za-z])[A-Za-z0-9+_-]{32,}={0,2}'
+)
+
+
+def mask_secretish(text):
+    """秘密らしき字面を `***` に置き換える（★記録へ写す前に必ず通す）。
+
+    ★完全な見分けはできない。ここは「よくある形を写さない」ための最後の一拭きで、
+      本当の守りは『そもそも短くしか残さない』こと（NOTIFICATION_DETAIL_CHARS）。
+    """
+    if not text:
+        return ''
+    s = _SECRETISH_ASSIGN_RE.sub(lambda m: f'{m.group(1)}=***', str(text))
+    s = _BEARER_RE.sub(lambda m: f'{m.group(1)} ***', s)
+    return _LONG_TOKEN_RE.sub('***', s)
+
+
+def record_notification(notification_type, forwarded, reason='', env=None, detail=''):
     """Claude Code 自身の通知(Notification)を受けた1回を1行だけ残す（★ADR-016 の見張り）。
 
-    形: `<ISO時刻> Notification <種別> -> forwarded|skipped(<理由>)`
+    形: `<ISO時刻> Notification <種別> -> forwarded|skipped(<理由>) "<本文の先頭>"`
     【なぜ要るか】端末にだけ出て管制に出ない問いは、これまで「起きたことすら分からなかった」。
       2026-09-01（Playwright）と 2026-09-02（GitHub Actions）で同じ型が2回起きたのに、
       2回目も端末を見ていた人しか気づけなかった。種別だけでも残しておけば、
       新しい型が出たとき「いつから・どの種別が来ていたか」を後から数えられる。
-    ★秘密も本文も残さない: 通知の種別と、送ったか送らなかったか（と短い理由）だけ。
+
+    【★本文の先頭も残すようにした理由（便 927da60e）】
+      2026-09-16 11:01 に利用上限の通知が3現場へ来たとき、記録に残っていたのは【種別だけ】で、
+      実際に何と書いてあったのかを後から一度も確かめられなかった（調査便 68a6f75e で行き止まり）。
+      種別が同じでも本文で意味が変わる型（quota_auto_resume_disabled は理由が6通りある）が
+      あるので、種別だけでは足りない。
+
+    【★秘密が混ざり得る場合の扱い（この便で決めたこと）】
+      通知の本文は Claude Code が作る画面の文だが、止まった操作のコマンド行やホスト名が
+      混ざることがある（例: サンドボックスの通信許可）。そこにお客さまの鍵が載る道が
+      ゼロだとは言い切れない。よって次の2段で扱う。
+        (1) 写す前に mask_secretish を通す（名前つきの代入・Bearer・長い乱数の塊を `***` に）
+        (2) ★そのうえで先頭 NOTIFICATION_DETAIL_CHARS 文字だけに切る
+      ★見分けは完全ではない。だから「短くしか残さない」ことを本体の守りにしている。
+      ★それでも残したくない環境は、環境変数 CONDUCTOR_NOTIFY_LOG_DETAIL=0 で本文を落とせる。
     """
+    env = os.environ if env is None else env
     safe_type = str(notification_type or 'unknown').split()[0][:40]
     verdict = 'forwarded' if forwarded else 'skipped'
     suffix = f'({str(reason)[:32]})' if (reason and not forwarded) else ''
+    tail = ''
+    if (env.get('CONDUCTOR_NOTIFY_LOG_DETAIL') or '1').strip() != '0':
+        flat = ' '.join(mask_secretish(detail).split())[:NOTIFICATION_DETAIL_CHARS]
+        if flat:
+            tail = f' "{flat}"'
     line = (f'{time.strftime("%Y-%m-%dT%H:%M:%S%z")} Notification {safe_type} '
-            f'-> {verdict}{suffix}\n')
+            f'-> {verdict}{suffix}{tail}\n')
     return _append_line(decision_log_path(env), line)
 
 

package/scripts/hooks/notification_hook.py

@@ -22,9 +22,18 @@
 
 【この入口の役目】
   1. 受けた通知を必ず1行記録する（見張り。送った／送らなかったを後から数えられる）
-  2. 「人が端末で操作しないと進まない」種類だけを、管制へカードとして出す
-  3. カードには★答えを付けない。この問いは端末でしか押せないので、
-     「端末で押してください」と分かる形で出し、押されるまで出したままにする
+     ★本文の先頭も残す（伏せ字と長さの上限つき・便 927da60e）。種別だけでは、同じ種別で
+       意味が変わる型を後から確かめられなかった。
+  2. 「人が操作しないと進まない」種類だけを、管制へカードとして出す
+  3. カードには★答えを付けない。人は別の場所（端末か、管制からの便）で動かすので、
+     ★「何が止まっているか」と「何をすれば再開するか」を書いて出す（便 927da60e）
+
+【★利用上限からの自動再開は3種類に分ける（えふさん確定 2026-09-16③）】
+  自動再開した(fired)     → カードを出さない・履歴だけ
+  端末での操作待ち(stale) → 要操作カード（端末で Enter）
+  自動再開が切れている(disabled) → 要操作カード（続きの指示を送る）
+  ★以前は3つとも「知らない種別＝出す」に落ち、もう動いているのに押せないカードが
+    9分出たままになっていた（2026-09-16 11:01 に3現場で発生）。
 
 【★二重に出さない】
   PermissionRequest / Stop は自分でカードを出して待つ。その最中の通知は送らない
@@ -43,28 +52,93 @@ sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
 
 import hook_datalink  # noqa: E402
 
-# 人が【端末で】操作しないと先へ進まない通知の種別。ここだけを管制へ出す。
+# ─────────────────────────────────────────────────────────────────────────────
+# 利用上限からの自動再開の知らせ（★3種類・えふさん確定 2026-09-16③）
+#
+#   実測（便 68a6f75e・Claude Code 2.1.273 の中の文字列 ＋ 2026-09-16 11:01 の3現場）:
+#     fired    … 見出し「Usage limit reset」本文「continuing automatically」
+#                ＝もう自動で続いた。3現場とも【誰も答えずに】4〜8秒で職人が再開した。
+#     stale    … 本文「press enter to continue」
+#                ＝端末で Enter を1回押すまで止まる。
+#     disabled … 本文「this task will not resume on its own」「send a prompt to continue」
+#                ＝自動で続く仕組みが切れている。人が続きの指示を送るまで止まる。
+#
+#   ★名前が似ているだけで扱いは別。3つまとめて「お知らせ」にすると、止まったまま誰も
+#     気づけない（stale と disabled）。3つまとめて「カード」にすると、もう動いているのに
+#     押せないカードが9分出たままになる（fired・11:01 に実際に起きた）。
+# ─────────────────────────────────────────────────────────────────────────────
+QUOTA_RESUME_FIRED = 'quota_auto_resume_fired'
+QUOTA_RESUME_STALE = 'quota_auto_resume_stale'
+QUOTA_RESUME_DISABLED = 'quota_auto_resume_disabled'
+
+# 人が【操作しないと先へ進まない】通知の種別。ここだけを管制へ出す。
 #   permission_prompt        … 許可待ち（サンドボックスの通信許可もここに乗る）
 #   worker_permission_prompt … 手伝いの職人が許可待ち
 #   idle_prompt              … 入力待ちのまま止まっている
+#   quota_auto_resume_stale    … 利用上限から戻ったが自動で続かなかった（端末で Enter）
+#   quota_auto_resume_disabled … 自動で続く仕組みが切れている（続きの指示を送る）
 HUMAN_BLOCKING_TYPES = frozenset({
     'permission_prompt',
     'worker_permission_prompt',
     'idle_prompt',
+    QUOTA_RESUME_STALE,
+    QUOTA_RESUME_DISABLED,
 })
 
-# 進行の知らせで、人が何かする必要のないもの（＝出さない）。
+# 進行の知らせで、人が何かする必要のないもの（＝出さない・記録だけ）。
 #   ★「知らない種別は出す」側に倒す。新しい種別が増えたとき黙って見えなくなるより、
 #     1枚多く出るほうが害が小さい（見えない停止こそが今回の事故）。
+#   ★ここに入れてよいのは「実測で、誰も答えなくても先へ進むと確かめた種別」だけ。
 INFORMATIONAL_TYPES = frozenset({
     'agent_completed',
     'auth_success',
     'computer_use_exit',
-    'elicitation_complete',
-    'elicitation_response',
     'push_notification',
+    QUOTA_RESUME_FIRED,
 })
 
+# ★本体（Claude Code 2.1.273）が実際に出す種別の一覧（実測・便 68a6f75e）。
+#   上の2つの表に、本体に無い名前を書かないための突き合わせ用。
+#   【なぜ要るか】以前この表には elicitation_complete / elicitation_response という
+#     【本体に存在しない名前】が入っていた。届かない名前なので実害は出ていなかったが、
+#     表を読んだ人が「elicitation は出さない設定だ」と誤って理解する元になる。
+#     実在するのは elicitation_dialog / elicitation_url_dialog で、どちらも入力を求める
+#     画面なので「知らない種別＝出す」で正しくカードになる。
+KNOWN_NOTIFICATION_TYPES = frozenset({
+    'permission_prompt',
+    'idle_prompt',
+    'auth_success',
+    'elicitation_dialog',
+    'agent_needs_input',
+    'agent_completed',
+    'elicitation_url_dialog',
+    'worker_permission_prompt',
+    'push_notification',
+    'computer_use_enter',
+    'computer_use_exit',
+    QUOTA_RESUME_FIRED,
+    QUOTA_RESUME_STALE,
+    QUOTA_RESUME_DISABLED,
+    'model_refusal_fallback',
+})
+
+# 要操作カードの書き分け（★種別ごとに「何が止まっているか」「何をすれば再開するか」）。
+#   ここに無い種別は、従来どおりの共通の文面（端末でしか押せない問い）を使う。
+ACTION_GUIDE = {
+    QUOTA_RESUME_STALE: {
+        'summary': '利用上限から戻りましたが、自動では続いていません',
+        'stopped': '利用上限から戻りましたが、職人が自動で続かずに止まっています。',
+        'howto': 'その現場の職人の端末（黒い画面）で Enter を1回押すと続きます。',
+        'console': '★このカードは管制からは押せません（端末での操作が要ります）。',
+    },
+    QUOTA_RESUME_DISABLED: {
+        'summary': '自動で再開しない設定のため、続きの指示を待っています',
+        'stopped': '自動で続く仕組みが切れているため、利用上限から戻っても職人は自分では再開しません。',
+        'howto': 'その現場へ続きの指示を送ると動き出します（管制から便を出すか、端末で指示を打つ）。',
+        'console': '★このカードは管制から便を出せば解けます（端末で打っても構いません）。',
+    },
+}
+
 # カードを出したままにする上限（秒）。押されれば人は端末で先へ進む。
 #   ★フックの打ち切り(600秒)より先に切り上げ、後始末（カードを閉じる）を必ず走らせる。
 NOTIFY_WAIT_SEC = int(os.environ.get('CC2_NOTIFY_WAIT_SEC') or 540)
@@ -83,21 +157,43 @@ def should_forward(notification_type):
     return True, ''
 
 
+def notice_detail(data):
+    """通知の本文（見出し＋本文）を1つに畳んだ字面。記録にもカードにも同じものを使う。"""
+    message = (data.get('message') or '').strip()
+    title = (data.get('title') or '').strip()
+    return ' / '.join(x for x in (title, message) if x)
+
+
 def build_payload(data):
-    """管制へ出すカードの中身。★答えの選択肢は付けない（端末でしか押せないため）。"""
+    """管制へ出すカードの中身。★答えの選択肢は付けない（人が別の場所で操作するため）。
+
+    ★種別ごとの書き分け（ACTION_GUIDE にある種別）では、
+      「いま止まっているもの」「再開のしかた」を日本語で書く。
+    ★それ以外の種別の文面は1文字も変えない（従来どおり）。
+    """
     cwd = data.get('cwd') or ''
     site = os.environ.get('CONDUCTOR_SITE') or (cwd.rstrip('/').rsplit('/', 1)[-1] if cwd else '')
     machine = os.environ.get('CONDUCTOR_MACHINE') or os.uname().nodename
-    message = (data.get('message') or '').strip()
-    title = (data.get('title') or '').strip()
     kind = (data.get('notification_type') or '').strip() or 'unknown'
-    detail = ' / '.join(x for x in (title, message) if x)[:400]
-    lines = [
-        '★この確認は管制からは押せません。職人の端末（黒い画面）で選んでください。',
-        f'現場: {site or "不明"}／種別: {kind}',
-    ]
+    detail = notice_detail(data)[:400]
+    guide = ACTION_GUIDE.get(kind)
+    if guide:
+        where = site or '不明'
+        lines = [
+            f'いま止まっているもの: 現場「{where}」の職人が、{guide["stopped"]}',
+            f'再開のしかた: {guide["howto"]}',
+            guide['console'],
+            f'現場: {where}／種別: {kind}',
+        ]
+        summary = f'{guide["summary"]}（{site or "現場不明"}）'
+    else:
+        lines = [
+            '★この確認は管制からは押せません。職人の端末（黒い画面）で選んでください。',
+            f'現場: {site or "不明"}／種別: {kind}',
+        ]
+        summary = f'端末で操作が要ります（{site or "現場不明"}）'
     if detail:
-        lines.append(detail)
+        lines.append(f'知らせの中身: {detail}' if guide else detail)
     body = '\n'.join(lines)
     return {
         'site': site or 'unknown',
@@ -106,7 +202,7 @@ def build_payload(data):
         'sessionId': hook_datalink.stable_session_id(data.get('session_id'), machine, site),
         'kind': 'message',
         'question': body,
-        'summary': f'端末で操作が要ります（{site or "現場不明"}）',
+        'summary': summary,
         'waitMs': NOTIFY_WAIT_SEC * 1000,
     }
 
@@ -125,7 +221,10 @@ def run(data, cfg=None, datalink=hook_datalink):
     if forward and cfg is None:
         forward, reason = False, 'no-console'
 
-    datalink.record_notification(kind, forward, reason)   # ★出しても出さなくても必ず残す
+    # ★出しても出さなくても必ず残す。本文の先頭も一緒に残す（伏せ字と長さの上限は
+    #   record_notification が掛ける）。種別だけでは、同じ種別で意味が変わる型
+    #   （quota_auto_resume_disabled は理由が6通りある）を後から確かめられない。
+    datalink.record_notification(kind, forward, reason, detail=notice_detail(data))
     if not forward:
         return None
 
@@ -146,7 +245,8 @@ def run(data, cfg=None, datalink=hook_datalink):
         # ★時間切れ＝「まだ端末で押されていない可能性が高い」。見えなくして終わりにせず、
         #   後から数えられるように記録に残す（ADR-016 の見張り）。
         if answered is None:
-            datalink.record_notification(kind, False, 'timeout-still-stuck')
+            datalink.record_notification(kind, False, 'timeout-still-stuck',
+                                         detail=notice_detail(data))
     return request_id
 
 

package/scripts/hooks/policy.py

@@ -752,6 +752,130 @@ def decide_write(file_path: str, cwd=None):
     return _r(ALLOW, 'no gate, no danger')
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# 入口: ファイル読み取りツール（Read / NotebookRead / 検索 / 未知の道具）
+#
+# 【なぜ足したか（実地の穴・便 b80b76c4 の緊急）】
+#   ここまでの判定は Bash と Write/Edit しか見ていなかった。`cat .env` は止まるのに、
+#   職人の【読み取りの道具】で同じファイルを開くのは素通りしていた。
+#   「秘密の名前を見分ける仕組み（secret_reason）」は既にあったのに、読む側から
+#   一度も呼ばれていなかった＝書き込みは守られ、読み取りは丸ごと開いていた。
+#
+# 【方針＝判定点は1つ】
+#   読み取りも書き込みも、止める理由は同じ `secret_reason(path)` から出す。
+#   ★ここに新しい秘密の一覧を作らない（写しを2つ持つと、片方に足してもう片方を
+#     忘れる事故が必ず起きる。この製品で繰り返した型）。
+#
+# 【迂回経路も同じ判定を通す】
+#   ・Read / NotebookRead      … file_path / notebook_path
+#   ・Grep / Glob              … path（探す場所）と pattern / glob（探す名前）
+#   ・★それ以外すべての道具    … 入力に「パスらしい項目」があれば同じ判定に掛ける。
+#     MCP の道具も、将来増える道具も、名前を知らないまま同じ境界で止まる。
+# ═════════════════════════════════════════════════════════════════════════════
+
+# 読み取り専用の道具（中身がそのまま返る）。
+READ_TOOLS = frozenset({'Read', 'NotebookRead'})
+
+# 探す道具（結果に中身が出る／名前だけ出る）。
+SEARCH_TOOLS = frozenset({'Grep', 'Glob'})
+
+# 入力の中で「1つのパス」を表す項目名。★どの道具でも同じ名前が使われる（実測）。
+PATH_KEYS = ('file_path', 'notebook_path', 'path', 'filePath', 'file', 'target_file')
+
+# 入力の中で「パスの並び」を表す項目名。
+PATH_LIST_KEYS = ('file_paths', 'paths', 'files')
+
+# 探す名前（glob）の中で使われる、パスの一部ではない記号。
+#   ★剥がしてから secret_reason に渡す＝判定は1つのまま。
+#     例 `**/.env` → `/.env` → 秘密／`**/*.ts` → `/.ts` → 秘密ではない。
+_GLOB_META_RE = re.compile(r'\[[^\]]*\]|[*?{}]')
+
+
+def strip_glob_meta(pattern: str) -> str:
+    """探す名前から、当てはめの記号だけを剥がして素の字面にする。
+
+    ★剥がすのは記号だけ。名前そのものは1文字も変えない（緩める方向の変更はしない）。
+      `.env*` → `.env`（秘密）／`*.env.example` → `.env.example`（雛形＝秘密ではない）。
+    """
+    return _GLOB_META_RE.sub('', pattern or '')
+
+
+def glob_secret_reason(pattern: str):
+    """探す名前が、秘密のファイルを名指ししているなら理由を返す。
+
+    ★判定は secret_reason ひとつ。ここでは記号を剥がして渡すだけ。
+    """
+    if not pattern or not isinstance(pattern, str):
+        return None
+    stripped = strip_glob_meta(pattern).strip()
+    if not stripped:
+        return None
+    return secret_reason(stripped)
+
+
+def decide_read(file_path: str, cwd=None):
+    """読み取り1件の判定。★書き込みと同じ `secret_reason` で決める。"""
+    if not file_path or not isinstance(file_path, str) or not file_path.strip():
+        return _r(ALLOW, 'empty file_path')
+    try:
+        path = norm_path(file_path, cwd)
+    except Exception:  # noqa: BLE001
+        return _r(DENY, 'danger: unnormalizable path')
+    sr = secret_reason(path)
+    if sr:
+        return _r(DENY, f'danger: read from {sr}')
+    return _r(ALLOW, 'no gate, no danger')
+
+
+def decide_search(tool_input, cwd=None):
+    """探す道具（Grep / Glob）の判定。
+
+    ★2つを見る。
+      ① 探す【場所】が秘密のファイルそのものなら止める（中身が結果に出るため）。
+      ② 探す【名前】が秘密を名指ししているなら止める。
+    ★普通の探し方（リポの中を *.ts で探す 等）は1つも止めない。
+    """
+    if not isinstance(tool_input, dict):
+        return _r(ALLOW, 'no tool_input')
+    where = tool_input.get('path')
+    if isinstance(where, str) and where.strip():
+        res = decide_read(where, cwd)
+        if res['decision'] == DENY:
+            return _r(DENY, res['reason'].replace('read from', 'search in'))
+    for key in ('glob', 'pattern'):
+        sr = glob_secret_reason(tool_input.get(key))
+        if sr:
+            return _r(DENY, f'danger: search for {sr}')
+    return _r(ALLOW, 'no gate, no danger')
+
+
+def decide_any_path(tool_input, cwd=None):
+    """★知らない道具の受け皿。入力に「パスらしい項目」があれば同じ判定に掛ける。
+
+    【なぜ要るか】道具は増える（MCP・新しい組み込み）。名前を1つずつ列挙する形だと、
+      増えたその日から素通りする。名前ではなく【入力の形】で捕まえれば、知らない道具でも
+      同じ秘密の境界で止まる。
+    ★止めるのは秘密に当たったときだけ。当たらなければ今までどおり自走する。
+    """
+    if not isinstance(tool_input, dict):
+        return _r(ALLOW, 'no tool_input')
+    for key in PATH_KEYS:
+        v = tool_input.get(key)
+        if isinstance(v, str) and v.strip():
+            res = decide_read(v, cwd)
+            if res['decision'] == DENY:
+                return _r(DENY, res['reason'].replace('read from', f'{key} points at'))
+    for key in PATH_LIST_KEYS:
+        v = tool_input.get(key)
+        if isinstance(v, (list, tuple)):
+            for item in v:
+                if isinstance(item, str) and item.strip():
+                    res = decide_read(item, cwd)
+                    if res['decision'] == DENY:
+                        return _r(DENY, res['reason'].replace('read from', f'{key} points at'))
+    return _r(ALLOW, 'no gate, no danger')
+
+
 # ═════════════════════════════════════════════════════════════════════════════
 # 入口: ネットワーク（WebFetch）
 #   ★既定 allow。取得そのものは自走してよい。止めるのは秘密の持ち出しだが、
@@ -761,6 +885,12 @@ def decide_write(file_path: str, cwd=None):
 def decide_network(url: str):
     if not url or not isinstance(url, str) or not url.strip():
         return _r(ALLOW, 'empty url')
+    # ★file:// は「取得」の顔をした【読み取り】。同じ秘密の境界を通す。
+    #   （便 b80b76c4 の緊急・迂回経路も同じ判定を通す）
+    if url.strip().lower().startswith('file:'):
+        sr = secret_reason(re.sub(r'^file:(//)?', '', url.strip(), flags=re.IGNORECASE))
+        if sr:
+            return _r(DENY, f'danger: read from {sr} (file url)')
     if _SECRET_ENV_RE.search(url):
         return _r(DENY, 'danger: secret in url')
     if re.search(r'[?&](token|secret|password|api_?key)=', url, re.IGNORECASE):
@@ -792,5 +922,13 @@ def decide_event(data):
         if not fp:
             return _r(ALLOW, 'no file_path')
         return decide_write(fp, data.get('cwd'))
-    # WebSearch / MCP / その他 … 調査や道具の呼び出しは自走してよい（既定 allow）。
-    return _r(ALLOW, 'no gate, no danger')
+    if tool in READ_TOOLS:
+        fp = tin.get('file_path') or tin.get('notebook_path') or ''
+        if not fp:
+            return _r(ALLOW, 'no file_path')
+        return decide_read(fp, data.get('cwd'))
+    if tool in SEARCH_TOOLS:
+        return decide_search(tin, data.get('cwd'))
+    # ★知らない道具（MCP・将来増える組み込み）も、入力にパスらしい項目があれば同じ判定を通す。
+    #   当たらなければ従来どおり自走する（WebSearch・道具の呼び出し等は1つも止まらない）。
+    return decide_any_path(tin, data.get('cwd'))

package/scripts/hooks/test_policy.py

@@ -19,6 +19,7 @@ import tempfile
 sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
 
 import cc2_guard  # noqa: E402
+import hook_datalink  # noqa: E402
 import notification_hook  # noqa: E402
 import permission_request_hook  # noqa: E402
 import policy  # noqa: E402
@@ -543,6 +544,7 @@ class FakeDatalink:
         self.handoff = []          # 「管制が受け持っている」印の置き／消しの記録（ADR-016）
         self.handoff_is_active = False
         self.notifications = []    # 見張りの記録（種別, 出したか, 理由）
+        self.notice_details = []   # 見張りに渡した本文（便 927da60e）
 
     def load_config(self):
         return {'url': 'http://x', 'token': 't'}
@@ -558,8 +560,9 @@ class FakeDatalink:
     def handoff_active(self, session_id=''):
         return self.handoff_is_active
 
-    def record_notification(self, notification_type, forwarded, reason=''):
+    def record_notification(self, notification_type, forwarded, reason='', detail=''):
         self.notifications.append((notification_type, forwarded, reason))
+        self.notice_details.append(detail)
         return 'line'
 
     def last_failure_kind(self):
@@ -1025,8 +1028,7 @@ check('入口として実行権を付ける対象に入っている',
 # ② 出す／出さないの仕分け。★知らない種別は「出す」側（見えない停止を作らない）。
 for _t in ('permission_prompt', 'worker_permission_prompt', 'idle_prompt'):
     check(f'人が端末で押す種別は出す: {_t}', notification_hook.should_forward(_t)[0], True)
-for _t in ('agent_completed', 'auth_success', 'push_notification',
-           'elicitation_complete', 'elicitation_response', 'computer_use_exit'):
+for _t in ('agent_completed', 'auth_success', 'push_notification', 'computer_use_exit'):
     check(f'知らせるだけの種別は出さない: {_t}', notification_hook.should_forward(_t)[0], False)
 check('知らない種別は出す（安全側）', notification_hook.should_forward('brand_new_kind')[0], True)
 check('種別が空なら出さない', notification_hook.should_forward('')[0], False)
@@ -1274,6 +1276,317 @@ for cmd in REDIRECT_DENY:
 for cmd in ['echo x > .env', 'y=$(echo x > .env)', 'echo x > "/home/fshim/.ssh/config"']:
     check(f'deny {cmd[:58]}', policy.decide_bash(cmd)['decision'], policy.DENY)
 
+# ─────────────────────────────────────────────────────────────────────────────
+# (h) ★利用上限からの自動再開は3種類に分ける（便 927da60e・えふさん確定 2026-09-16③）
+#
+#   自動再開した(fired)            → カードを出さない・履歴だけ
+#   端末での操作待ち(stale)        → 要操作カード（端末で Enter）
+#   自動再開が切れている(disabled) → 要操作カード（続きの指示を送る）
+# ─────────────────────────────────────────────────────────────────────────────
+_NH = notification_hook
+
+# (h-1) 仕分け
+check('自動再開した(fired)はカードを出さない', _NH.should_forward(_NH.QUOTA_RESUME_FIRED),
+      (False, 'informational'))
+check('端末での操作待ち(stale)はカードを出す', _NH.should_forward(_NH.QUOTA_RESUME_STALE)[0], True)
+check('自動再開が切れている(disabled)はカードを出す',
+      _NH.should_forward(_NH.QUOTA_RESUME_DISABLED)[0], True)
+
+# (h-2) 3種類の置き場が正しい表に入っている
+check('fired はお知らせの表に入っている', _NH.QUOTA_RESUME_FIRED in _NH.INFORMATIONAL_TYPES, True)
+check('fired は要操作の表に入っていない', _NH.QUOTA_RESUME_FIRED in _NH.HUMAN_BLOCKING_TYPES, False)
+check('stale は要操作の表に入っている', _NH.QUOTA_RESUME_STALE in _NH.HUMAN_BLOCKING_TYPES, True)
+check('disabled は要操作の表に入っている', _NH.QUOTA_RESUME_DISABLED in _NH.HUMAN_BLOCKING_TYPES, True)
+check('stale はお知らせの表に入っていない', _NH.QUOTA_RESUME_STALE in _NH.INFORMATIONAL_TYPES, False)
+check('disabled はお知らせの表に入っていない',
+      _NH.QUOTA_RESUME_DISABLED in _NH.INFORMATIONAL_TYPES, False)
+
+# (h-3) ★表に「本体に実在しない名前」が入っていない（外した2つの再発防止）
+check('お知らせの表は実在する種別だけ',
+      sorted(_NH.INFORMATIONAL_TYPES - _NH.KNOWN_NOTIFICATION_TYPES), [])
+check('要操作の表は実在する種別だけ',
+      sorted(_NH.HUMAN_BLOCKING_TYPES - _NH.KNOWN_NOTIFICATION_TYPES), [])
+check('外した名前はもう表に無い(elicitation_complete)',
+      'elicitation_complete' in _NH.INFORMATIONAL_TYPES, False)
+check('外した名前はもう表に無い(elicitation_response)',
+      'elicitation_response' in _NH.INFORMATIONAL_TYPES, False)
+# ★外しても動きは変わらない: 実在する elicitation は今までどおり「知らない種別＝出す」でカードになる。
+for _t in ('elicitation_dialog', 'elicitation_url_dialog'):
+    check(f'実在する elicitation は今までどおり出す: {_t}', _NH.should_forward(_t)[0], True)
+
+# (h-4) 要操作カードの文面（★何が止まっているか／何をすれば再開するか）
+_QEV = {'hook_event_name': 'Notification', 'notification_type': _NH.QUOTA_RESUME_STALE,
+        'title': 'Usage limit has reset', 'message': 'press enter to continue',
+        'cwd': '/home/fshim/projects/kenzokun', 'session_id': 'sess-q'}
+_qp = _NH.build_payload(_QEV)
+check('stale: 何が止まっているかが書いてある', 'いま止まっているもの' in _qp['question'], True)
+check('stale: 現場名が本文に入る', '「kenzokun」' in _qp['question'], True)
+check('stale: 再開のしかたが書いてある', '再開のしかた' in _qp['question'], True)
+check('stale: 端末で Enter と書いてある', 'Enter' in _qp['question'], True)
+check('stale: 通知の本文の先頭も添える', 'press enter to continue' in _qp['question'], True)
+check('stale: 要点が日本語で分かる', '自動では続いていません' in _qp['summary'], True)
+check('stale: 答えの選択肢は付けない', 'choices' in _qp, False)
+
+_DEV = dict(_QEV, notification_type=_NH.QUOTA_RESUME_DISABLED,
+            title='Automatic continue was turned off',
+            message='this task will not resume on its own')
+_dp = _NH.build_payload(_DEV)
+check('disabled: 何が止まっているかが書いてある', 'いま止まっているもの' in _dp['question'], True)
+check('disabled: 続きの指示を送ると書いてある', '続きの指示' in _dp['question'], True)
+check('disabled: 通知の本文の先頭も添える',
+      'this task will not resume on its own' in _dp['question'], True)
+check('disabled: 要点が日本語で分かる', '続きの指示を待っています' in _dp['summary'], True)
+# ★disabled は管制から便を出せば解ける＝「管制からは押せません」とは書かない。
+check('disabled: 「管制からは押せません」とは書かない',
+      '管制からは押せません' in _dp['question'], False)
+check('stale: こちらは端末でしか押せないと書く', '管制からは押せません' in _qp['question'], True)
+
+# (h-5) ★他の種別の文面は1文字も変えない
+_pp = _NH.build_payload({'hook_event_name': 'Notification', 'notification_type': 'permission_prompt',
+                         'message': 'Claude needs your permission to use Bash',
+                         'cwd': '/home/fshim/projects/devlog-tracker', 'session_id': 's'})
+check('他の種別: 共通の文面のまま',
+      _pp['question'].startswith('★この確認は管制からは押せません。職人の端末（黒い画面）で選んでください。'), True)
+check('他の種別: 要点も従来どおり', _pp['summary'], '端末で操作が要ります（devlog-tracker）')
+check('他の種別: 「いま止まっているもの」は付けない', 'いま止まっているもの' in _pp['question'], False)
+
+# (h-6) 実際の出し分け（管制へ出す／出さない）と記録
+fd = FakeDatalink(None)
+check('fired は管制へ出さない', _NH.run(dict(_QEV, notification_type=_NH.QUOTA_RESUME_FIRED,
+                                              title='Usage limit reset',
+                                              message='continuing automatically'), datalink=fd), None)
+check('fired も記録には残す', fd.notifications[0][1:], (False, 'informational'))
+check('fired の記録に本文の先頭が入る',
+      'continuing automatically' in fd.notice_details[0], True)
+
+fd = FakeDatalink(None)
+check('stale は管制へ出す', _NH.run(dict(_QEV), cfg={'url': 'http://x', 'token': 't'},
+                                     datalink=fd), 'req-1')
+check('stale の記録に本文の先頭が入る', 'press enter to continue' in fd.notice_details[0], True)
+
+fd = FakeDatalink(None)
+check('disabled は管制へ出す', _NH.run(dict(_DEV), cfg={'url': 'http://x', 'token': 't'},
+                                        datalink=fd), 'req-1')
+
+# (h-7) 記録の本文＝伏せ字と長さの上限
+check('記録: 名前つきの代入は伏せる',
+      'sk-abcdefghij' in hook_datalink.mask_secretish('API_KEY=sk-abcdefghij'), False)
+check('記録: 名前つきの代入は名前だけ残す',
+      hook_datalink.mask_secretish('API_KEY=sk-abcdefghij'), 'API_KEY=***')
+check('記録: 認可ヘッダの値は伏せる',
+      hook_datalink.mask_secretish('Authorization: Bearer abc.def.ghi'),
+      'Authorization: Bearer ***')
+check('記録: 長い乱数の塊は伏せる',
+      hook_datalink.mask_secretish('x ' + ('a1B2c3D4' * 5) + ' y'), 'x *** y')
+check('記録: 普通の英文は変えない',
+      hook_datalink.mask_secretish('Usage limit reset / continuing automatically'),
+      'Usage limit reset / continuing automatically')
+check('記録: 種別の名前は伏せない（数字を含まないので当たらない）',
+      hook_datalink.mask_secretish('quota_auto_resume_disabled fired'),
+      'quota_auto_resume_disabled fired')
+check('記録: パスは伏せない', hook_datalink.mask_secretish('/home/fshim/projects/conductor/src'),
+      '/home/fshim/projects/conductor/src')
+_log_dir = tempfile.mkdtemp(prefix='conductor-notify-log-')
+try:
+    _log = os.path.join(_log_dir, 'guard.log')
+    _env = {'CONDUCTOR_GUARD_LOG': _log}
+    hook_datalink.record_notification('quota_auto_resume_stale', True, '',
+                                      env=_env, detail='Usage limit has reset / ' + ('あ' * 300))
+    _line = open(_log, encoding='utf-8').read()
+    check('記録: 本文の先頭が1行に入る', 'Usage limit has reset' in _line, True)
+    check('記録: 長さの上限で切る（1行が短いまま）', len(_line) < 260, True)
+    hook_datalink.record_notification('quota_auto_resume_fired', False, 'informational',
+                                      env=dict(_env, CONDUCTOR_NOTIFY_LOG_DETAIL='0'),
+                                      detail='continuing automatically')
+    _line2 = open(_log, encoding='utf-8').read().splitlines()[-1]
+    check('記録: 本文を残さない設定なら残さない', 'continuing automatically' in _line2, False)
+    check('記録: その場合も種別と結果は残る',
+          'quota_auto_resume_fired -> skipped(informational)' in _line2, True)
+finally:
+    shutil.rmtree(_log_dir, ignore_errors=True)
+
+# (h-8) ★空振り確認＝仕分けを元に戻すと落ちる
+_orig_info = _NH.INFORMATIONAL_TYPES
+_orig_block = _NH.HUMAN_BLOCKING_TYPES
+try:
+    # ① fired を「出す側」へ戻すと、カードを出さない約束が崩れる。
+    _NH.INFORMATIONAL_TYPES = _orig_info - {_NH.QUOTA_RESUME_FIRED}
+    check('★空振り: fired を出す側に戻すと、出さない約束が崩れる',
+          _NH.should_forward(_NH.QUOTA_RESUME_FIRED)[0], True)
+    _NH.INFORMATIONAL_TYPES = _orig_info
+    # ② stale と disabled を「お知らせ」に入れると、要操作カードが出なくなる。
+    _NH.INFORMATIONAL_TYPES = _orig_info | {_NH.QUOTA_RESUME_STALE, _NH.QUOTA_RESUME_DISABLED}
+    check('★空振り: stale をお知らせに入れるとカードが消える',
+          _NH.should_forward(_NH.QUOTA_RESUME_STALE)[0], False)
+    check('★空振り: disabled をお知らせに入れるとカードが消える',
+          _NH.should_forward(_NH.QUOTA_RESUME_DISABLED)[0], False)
+    # ③ 書き分けの表を空にすると、要操作カードの文面が共通の文面へ戻る。
+    _orig_guide = _NH.ACTION_GUIDE
+    _NH.ACTION_GUIDE = {}
+    check('★空振り: 書き分けの表を空にすると「いま止まっているもの」が消える',
+          'いま止まっているもの' in _NH.build_payload(_QEV)['question'], False)
+    _NH.ACTION_GUIDE = _orig_guide
+finally:
+    _NH.INFORMATIONAL_TYPES = _orig_info
+    _NH.HUMAN_BLOCKING_TYPES = _orig_block
+
+# (h-9) 戻したら元どおり動く（上の細工が残っていないこと）
+check('★空振り: 戻すと fired は再び出さない', _NH.should_forward(_NH.QUOTA_RESUME_FIRED)[0], False)
+check('★空振り: 戻すと stale は再び出す', _NH.should_forward(_NH.QUOTA_RESUME_STALE)[0], True)
+check('★空振り: 戻すと書き分けの文面も再び出る',
+      'いま止まっているもの' in _NH.build_payload(_QEV)['question'], True)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (g) ★秘密ファイルの【読み取り】が、経路を問わず止まる（便 93b2fa03・えふさん確定①）
+#
+#   原則: 秘密として分類されたファイル・パスは、職人から【内容を取得できない】。
+#         書き込み禁止と読み取り禁止を【同じ秘密境界】で強制する。迂回経路も同じ判定を通す。
+#   ★ここで使う名前はすべて【偽の置き場】（/tmp の下）。本物の秘密には1件も触れない。
+# ─────────────────────────────────────────────────────────────────────────────
+FAKE = '/tmp/claude-guard-test'   # ★存在しなくてよい。判定は名前とパスだけで決まる。
+
+# 秘密として止まるべきパス（名前・置き場の両方の型を1つずつ）。
+SECRET_PATHS = [
+    f'{FAKE}/.env',                       # そのもの
+    f'{FAKE}/.env.local',                 # .env. で始まる
+    f'{FAKE}/.fake-conductor.env',        # .env で【終わる】（2026-09-06 に塞いだ型）
+    f'{FAKE}/.ssh/config',                # 秘密のフォルダの中
+    f'{FAKE}/id_rsa',                     # 鍵そのもの
+    f'{FAKE}/server.pem',                 # 証明書
+    f'{FAKE}/site.key',                   # 鍵
+    f'{FAKE}/.npmrc',                     # 取得先の資格情報
+    f'{FAKE}/auth.json',                  # 道具のログイン
+    f'{FAKE}/.credentials.json',          # 職人のログイン
+    f'{FAKE}/some-login.json',            # ブラウザのログイン状態
+    f'{FAKE}/.config/gh/hosts.yml',       # 置き場と対で秘密になるもの
+]
+
+# 普通のファイル（★1つも止めてはいけない）。
+PLAIN_PATHS = [
+    f'{FAKE}/src/relay.ts',
+    f'{FAKE}/README.md',
+    f'{FAKE}/.env.example',               # 雛形は秘密ではない
+    f'{FAKE}/example.env',                # 前置きの雛形も秘密ではない
+    f'{FAKE}/package.json',
+    f'{FAKE}/docs/adr/ADR-001.md',
+]
+
+
+def ev(tool, tool_input, cwd=FAKE):
+    return policy.decide_event({'tool_name': tool, 'tool_input': tool_input, 'cwd': cwd})
+
+
+# (g-1) 直接の読み取り（Read / NotebookRead）
+for p in SECRET_PATHS:
+    check(f'read deny Read {p[len(FAKE):][:44]}', ev('Read', {'file_path': p})['decision'], policy.DENY)
+    check(f'read deny NotebookRead {p[len(FAKE):][:36]}',
+          ev('NotebookRead', {'notebook_path': p})['decision'], policy.DENY)
+for p in PLAIN_PATHS:
+    check(f'read allow Read {p[len(FAKE):][:44]}', ev('Read', {'file_path': p})['decision'], policy.ALLOW)
+
+# (g-2) 探す道具（Grep / Glob）— 探す場所が秘密そのもの／探す名前が秘密を名指し
+for p in SECRET_PATHS:
+    check(f'search deny Grep path {p[len(FAKE):][:38]}',
+          ev('Grep', {'pattern': 'x', 'path': p})['decision'], policy.DENY)
+for g in ['**/.env', '.env*', '**/*.pem', '**/id_rsa*', '**/.npmrc', '**/auth.json']:
+    check(f'search deny Grep glob {g:24}',
+          ev('Grep', {'pattern': 'x', 'path': FAKE, 'glob': g})['decision'], policy.DENY)
+    check(f'search deny Glob pattern {g:20}', ev('Glob', {'pattern': g})['decision'], policy.DENY)
+# ★普通の探し方は1つも止めない。
+for g in ['**/*.ts', 'src/**/*.tsx', '*', '**/*.md', '**/*.env.example']:
+    check(f'search allow Grep glob {g:23}',
+          ev('Grep', {'pattern': 'x', 'path': FAKE, 'glob': g})['decision'], policy.ALLOW)
+    check(f'search allow Glob pattern {g:19}', ev('Glob', {'pattern': g})['decision'], policy.ALLOW)
+check('search allow Grep path=リポの中',
+      ev('Grep', {'pattern': 'relayTick', 'path': f'{FAKE}/src'})['decision'], policy.ALLOW)
+
+# (g-3) ★知らない道具（MCP・将来の組み込み）も同じ境界で止まる
+for p in SECRET_PATHS[:4]:
+    check(f'unknown-tool deny path {p[len(FAKE):][:38]}',
+          ev('mcp__fs__read_text_file', {'path': p})['decision'], policy.DENY)
+    check(f'unknown-tool deny file_path {p[len(FAKE):][:33]}',
+          ev('SomeFutureReader', {'file_path': p})['decision'], policy.DENY)
+check('unknown-tool deny paths[]（並びの中の1つでも）',
+      ev('SomeFutureReader', {'paths': [f'{FAKE}/README.md', f'{FAKE}/.env']})['decision'], policy.DENY)
+check('unknown-tool allow 普通のパス',
+      ev('mcp__fs__read_text_file', {'path': f'{FAKE}/README.md'})['decision'], policy.ALLOW)
+check('unknown-tool allow パスの項目が無い', ev('WebSearch', {'query': '.env とは'})['decision'], policy.ALLOW)
+check('unknown-tool allow 説明文に字面があるだけ',
+      ev('Task', {'prompt': 'あとで .env の書き方を調べる'})['decision'], policy.ALLOW)
+
+# (g-4) file:// の取得は「取得の顔をした読み取り」
+check('webfetch deny file:// 秘密',
+      ev('WebFetch', {'url': f'file://{FAKE}/.env'})['decision'], policy.DENY)
+check('webfetch allow file:// 普通',
+      ev('WebFetch', {'url': f'file://{FAKE}/README.md'})['decision'], policy.ALLOW)
+check('webfetch allow 普通の取得',
+      ev('WebFetch', {'url': 'https://example.com/docs'})['decision'], policy.ALLOW)
+
+# (g-5) shell 経由は【従来どおり】止まる（退行していないことの確認）
+for cmd in ['cat .env', 'head -5 .env', 'tail .env', 'strings .env', 'xxd .env',
+            'base64 .env', 'grep TOKEN .env', 'sed -n 1p .env', 'awk "{print}" .env',
+            'cp .env /tmp/x', 'tar czf /tmp/x.tgz .env', 'bash -c "cat .env"',
+            'python3 -c "print(open(\'.env\').read())"']:
+    check(f'shell deny {cmd[:52]}', policy.decide_bash(cmd)['decision'], policy.DENY)
+# 普通の読み取りは止まらない。
+for cmd in ['cat README.md', 'grep -rn relayTick src', 'head -20 package.json',
+            'cat .env.example', 'sed -n 1,20p src/relay.ts']:
+    check(f'shell allow {cmd[:52]}', policy.decide_bash(cmd)['decision'], policy.ALLOW)
+
+# (g-6) ★書き込みの禁止が1つも変わっていない（判定点を1つにしても後退しない）
+for p in SECRET_PATHS:
+    check(f'write deny {p[len(FAKE):][:48]}', ev('Write', {'file_path': p})['decision'], policy.DENY)
+for p in PLAIN_PATHS:
+    check(f'write allow {p[len(FAKE):][:47]}', ev('Write', {'file_path': p})['decision'], policy.ALLOW)
+
+# (g-7) ★空振り確認＝判定点（secret_reason）を外すと、上の deny が全部 allow に落ちる
+#   これが落ちないなら「読み取りの禁止が secret_reason を通っていない」＝写しの一覧を
+#   どこかに作ってしまった合図。★判定が1か所であることを機械で固定する。
+_real_secret_reason = policy.secret_reason
+try:
+    policy.secret_reason = lambda path: None   # 判定点を無効化する
+    broke = []
+    for p in SECRET_PATHS:
+        if ev('Read', {'file_path': p})['decision'] != policy.ALLOW:
+            broke.append(f'Read {p}')
+        if ev('Write', {'file_path': p})['decision'] != policy.ALLOW:
+            broke.append(f'Write {p}')
+        if ev('Grep', {'pattern': 'x', 'path': p})['decision'] != policy.ALLOW:
+            broke.append(f'Grep {p}')
+        if ev('mcp__fs__read_text_file', {'path': p})['decision'] != policy.ALLOW:
+            broke.append(f'MCP {p}')
+    for g in ['**/.env', '**/*.pem']:
+        if ev('Glob', {'pattern': g})['decision'] != policy.ALLOW:
+            broke.append(f'Glob {g}')
+    if ev('WebFetch', {'url': f'file://{FAKE}/.env'})['decision'] != policy.ALLOW:
+        broke.append('WebFetch file://')
+    check('★空振り: 判定点を外すと読み書き探すが全部通る（＝判定は1か所）', broke, [])
+finally:
+    policy.secret_reason = _real_secret_reason
+
+# (g-8) ★空振り確認＝判定点を戻すと、また止まる（上の細工が残っていないこと）
+check('★空振り: 判定点を戻すと再び止まる',
+      ev('Read', {'file_path': f'{FAKE}/.env'})['decision'], policy.DENY)
+
+# (g-9) 実物のファイルで確かめる（★偽の秘密・偽の値。本物には触れない）
+_secret_dir = tempfile.mkdtemp(prefix='conductor-guard-read-')
+try:
+    _fake_env = os.path.join(_secret_dir, '.env')
+    with open(_fake_env, 'w', encoding='utf-8') as _f:
+        _f.write('FAKE_TOKEN=this-is-not-a-real-secret\n')
+    _plain = os.path.join(_secret_dir, 'notes.md')
+    with open(_plain, 'w', encoding='utf-8') as _f:
+        _f.write('ふつうの覚え書き\n')
+    check('実物: 偽の秘密は読めない（Read）', ev('Read', {'file_path': _fake_env})['decision'], policy.DENY)
+    check('実物: 偽の秘密は探せない（Grep）',
+          ev('Grep', {'pattern': 'FAKE_TOKEN', 'path': _fake_env})['decision'], policy.DENY)
+    check('実物: 偽の秘密は shell でも読めない',
+          policy.decide_bash(f'cat {_fake_env}')['decision'], policy.DENY)
+    check('実物: 同じ場所の普通のファイルは読める',
+          ev('Read', {'file_path': _plain})['decision'], policy.ALLOW)
+finally:
+    shutil.rmtree(_secret_dir, ignore_errors=True)
+
 # ─────────────────────────────────────────────────────────────────────────────
 print('\n' + '=' * 72)
 if failures: