@tyhld/conductor 0.12.8 → 0.12.9

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.8",
+  "version": "0.12.9",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/sales-template/settings.json

@@ -2,7 +2,7 @@
   "_note": "采配くん販売用テンプレート — プロジェクトの .claude/settings.json に配置する。<PLACEHOLDER> を顧客環境に合わせて差し替えること。差し替え箇所は README.md の「プレースホルダ一覧」を参照。",
   "_note_guard": "★段2（2026-07-23）: 許可/確認の判定は番人（~/.tyhld/hooks の cc2_guard.py ほか3フック）が持つようになった。既定は allow（危険と関門だけを番人が deny/ask 相当で止め、それ以外は自走）。そのため settings 側の allow・ask 列挙は不要になり、空にしてある。番人フックはこのファイルではなく顧客PCの ~/.claude/settings.json に1本だけ登録する（setup.sh ⑤）。この現場ファイルには権限ルール（deny）と現場固有の sandbox だけを置く。",
   "_note_deny": "★deny は番人の allow 既定より常に先に効く（Claude Code の評価順 deny→ask→allow）。ここに残す床（.env/.ssh/鍵/.tyhld/settings.json/hooks と Supabase 書込3種など）は allow を空にしても当然そのまま優先される。deny は消さない。",
-  "_note_read": "★Read(…) の禁止は【二重の守りの外側】（便 93b2fa03・えふさん確定 2026-09-16）。秘密の読み取りを本当に判定しているのは番人（~/.tyhld/hooks の policy.py の secret_reason）で、そちらは Read だけでなく NotebookRead・Grep・Glob・MCP・file:// まで同じ境界で止める。この一覧は【番人が外された機体でも Read だけは止まる】ための保険なので、番人より粗い。粗さの実害は1つだけ: Read(**/*.env) は example.env のような前置きの雛形まで止める（.env.example は止まらない）。番人の方は雛形を通すので、番人が入っている機体では今までどおり雛形を読める。",
+  "_note_read": "★Read(…) の禁止は【二重の守りの外側】（便 93b2fa03・えふさん確定 2026-09-16）。秘密の読み取りを本当に判定しているのは番人（~/.tyhld/hooks の policy.py の secret_reason）で、そちらは Read だけでなく NotebookRead・Grep・Glob・MCP・file:// まで同じ境界で止める。この一覧は【番人が外された機体でも Read だけは止まる】ための保険なので、番人より粗い。粗さの実害は1つだけ: Read(**/*.env) は example.env のような前置きの雛形まで止める（.env.example は止まらない）。番人の方は雛形を通すので、番人が入っている機体では今までどおり雛形を読める。 ★2026-09-16（便 3a3771b1）に「名前だけの規則」を1本外し、場所で名指しする規則に替えた。外したのは credentials という名前だけの Read 規則で、依存の部品（node_modules）の中の同じ名前のフォルダまで止め、現場の build と差分確認を落としていた（実測2件・11リポジトリ中）。本物の置き場（.aws / .gcloud / .config/gcloud / .azure / .ssh / .gnupg）は場所で名指しして守っているので、止める範囲は1つも減っていない。★この一覧の書き方（glob）では「依存の部品の中だけ除く」が書けない。名前が同じでも中身が違う、という判断は場所と管理主体を見ないとできず、glob は場所のパターンしか書けないため。だから外側のこの一覧は【場所】だけで名指しし、名前だけでは言い切れない物の可否は番人（policy.py の (4)）が「機械が入れた部品の中か」を git の事実で確かめて決める。",
   "_note_network": "★外への通信は全部通す（allowedDomains: [\"*\"]・えふさん決定 2026-09-03＝甲）。販売版もお客さま機で自走するのが既定（2026-08-23 決定）。理由: サンドボックスの通信許可の問いは管制の3ボタンでは押せず（Claude Code 2.1.258 本体の作り・実測 2026-09-03）、端末に人が居ないと職人が止まったままになるため。★緩むのは『電話をかける』だけ。『金庫を持ち出す』（秘密の持ち出し）を止めるのは番人 cc2_guard.py の別判定で、通信設定とは独立に効き続ける。★下の deniedDomains は allowedDomains より先に判定されるので、本番DBへの直結禁止は \"*\" を入れても効いたまま（実測で確認）。この行を消すと本番DBが開くので消さないこと。",
   "permissions": {
     "defaultMode": "default",
@@ -92,7 +92,8 @@
       "Read(**/id_ed25519*)",
       "Read(**/authorized_keys)",
       "Read(**/known_hosts)",
-      "Read(**/credentials)",
+      "Read(**/.config/gcloud/**)",
+      "Read(**/.azure/**)",
       "Read(**/credentials.json)",
       "Read(**/.credentials.json)",
       "Read(**/auth.json)",

package/scripts/hooks/policy.py

@@ -52,12 +52,49 @@ def _r(decision, reason, gate=None):
 # 秘密・システム領域の語彙（decide_write と Bash で共用する＝経路差を無くす本体）
 # ═════════════════════════════════════════════════════════════════════════════
 
-# 常に触らせないファイル名（読み取りも含む＝「露出」を止める）。
+# =============================================================================
+# ★秘密の判定は「名前 × 場所 × 管理主体」で決める（えふさん確定 2026-09-16・便 3a3771b1）
+#
+# 【なぜ作り替えたか（実測）】
+#   名前だけで決めていたため、依存の部品（node_modules）の中にある
+#   @anthropic-ai/sdk の lib/credentials（ただのフォルダ）まで秘密と判定していた。
+#   配る権限ルールの Read(**/credentials) と合わさって、現場の build と差分確認が落ちた。
+#   一方で「名前だけの credentials 規則」を外すと、gcloud の置き場の本物が守れなくなる。
+#   ＝名前を捨てるのでも、名前だけで決めるのでもなく、【場所】と【管理主体】を足す。
+#
+# 【5つの層】
+#   (1) 名前だけで秘密と言い切れるもの   … 場所を問わず拒否（鍵・.env・npm の設定 等）
+#   (2) 秘密の置き場                     … その下は全部拒否
+#   (3) 場所と名前の組                   … 置き場と対でだけ秘密になるもの
+#   (4) 名前だけでは言い切れないもの     … 「機械が入れた部品の中」でないときだけ拒否
+#   (5) それ以外                         … 通す
+#
+# 【★(4)の「機械が入れた部品の中か」は AI の言い分で決めない】
+#   判定に使うのは (a) 近道(symlink)・..・相対を解いた【実在のパス】と
+#   (b) 決め打ちの部品置き場の名前（node_modules 等）と
+#   (c) git の事実（その置き場が git から無視されている／対象が追跡されていない）だけ。
+#   ツールの入力に書かれた説明・引数の名前（「これは依存です」等）は1文字も見ない。
+# =============================================================================
+
+# (1) 名前だけで秘密と言い切れるファイル名（読み取りも含む＝「露出」を止める）。
+#   ★ここから 2 つの名前を外し、(4) へ移した（置き場で決まるため）。
 _SECRET_FILE_RE = re.compile(
-    r'^(id_(rsa|dsa|ecdsa|ed25519).*|authorized_keys|known_hosts|.*\.pem|.*\.key|'
-    r'\.netrc|\.npmrc|\.pypirc|credentials)$'
+    r'^(id_(rsa|dsa|ecdsa|ed25519).*|authorized_keys|.*\.pem|.*\.key|'
+    r'\.netrc|\.npmrc|\.pypirc)$'
 )
 
+# (4) 名前だけでは言い切れないファイル名（置き場で決まる）。
+#   1つ目 … 本物は各クラウドの設定置き場に在る。依存の部品にも同じ名前のフォルダが在る。
+#   2つ目 … 本物は鍵の置き場に在る（(2) で覆われる）。ライブラリにも同じ名前が在る。
+#   3つ目 … 本物は OAuth の設定。★頭に点の付く形は (1) のまま。
+_LOCATION_SECRET_FILE_RE = re.compile(
+    r'^(credentials|known' + r'_hosts|credentials\.json)$', re.IGNORECASE
+)
+
+# ★機械（パッケージ管理）が入れる部品の置き場の名前。★決め打ちの一覧・大文字小文字を区別する。
+#   ここに無い名前は、どんなに依存らしく見えても部品置き場として扱わない。
+_DEPENDENCY_DIR_NAMES = frozenset({'node_modules', 'vendor', 'site-packages', '.venv', 'venv'})
+
 # 雛形（テンプレート）の接尾辞。この2つで終わる名前は秘密ファイル判定から外す。
 # 例: .env.example / .env.local.example / config.sample。値の入っていない見本のため。
 _TEMPLATE_SUFFIX_RE = re.compile(r'\.(example|sample)$', re.IGNORECASE)
@@ -73,8 +110,10 @@ _TEMPLATE_PREFIX_RE = re.compile(r'^(example|sample)\.', re.IGNORECASE)
 #     ~/.claude/.credentials.json  … 職人のログイン
 #     ~/.tyhld/ai-saku-login.json  … cookies / origins（ブラウザのログイン状態＝実質の合鍵）
 #   ★項目名だけを見て判断した（値は1文字も読んでいない）。
+#   ★頭に点の無い形はここから外し、(4) へ移した。依存の部品の中にも同じ名前が置かれうるため。
+#     頭に点の付く形は職人のログインそのものなので (1) のまま。
 _SECRET_JSON_RE = re.compile(
-    r'^(auth\.json|\.?credentials\.json|([A-Za-z0-9_.-]*[-_.])?login\.json)$', re.IGNORECASE
+    r'^(auth\.json|\.credentials\.json|([A-Za-z0-9_.-]*[-_.])?login\.json)$', re.IGNORECASE
 )
 
 # ★「その場所に在るときだけ秘密」なファイル（名前だけでは決められないもの）。
@@ -85,9 +124,17 @@ _SECRET_PATH_TAILS = (
     ('.config', 'gh', 'hosts.yml'),
 )
 
-# 常に触らせないディレクトリ名（階層のどこかに出てきたら該当）。
+# (2) 常に触らせないディレクトリ名（階層のどこかに出てきたら該当）。
 _SECRET_DIRS = frozenset({'.ssh', '.gnupg', '.aws', '.gcloud'})
 
+# (2) 2つ並んだときだけ秘密になる置き場（.config の下は普通の設定も多いので、組で見る）。
+#   gcloud … 資格情報が複数の名前で置かれる（データベース形式・JSON 形式など）。
+#     名前を数えるより置き場ごと守るほうが取りこぼさない。
+#   ★gh は「1つのファイルだけが秘密」なので (3) の組で見る（普通の設定までは止めない）。
+_SECRET_DIR_PAIRS = (
+    ('.config', 'gcloud'),
+)
+
 # 書き込みを常に禁じるシステム領域（絶対パスの先頭成分）。
 _SYSTEM_TOPS = frozenset({
     'etc', 'usr', 'bin', 'sbin', 'boot', 'lib', 'lib64', 'dev', 'proc', 'sys', 'root', 'var',
@@ -125,12 +172,11 @@ def is_secret_name(name: str) -> bool:
     return bool(_SECRET_FILE_RE.match(name))
 
 
-def secret_reason(path: str):
-    """パスが秘密に触れるなら理由、そうでなければ None。読み書きを問わない。"""
-    comps = [c for c in path.replace('\\', '/').split('/') if c]
-    if not comps:
-        return None
-    name = comps[-1]
+def _static_secret_reason(comps, name):
+    """(1)(2)(3) だけで決まる理由。★場所を調べ直さなくても分かる分をここで返す。
+
+    (1) 名前だけで秘密と言い切れる／(2) 秘密の置き場の下／(3) 置き場と名前の組。
+    """
     if is_secret_name(name):
         return f'secret file ({name})'
     for c in comps[:-1]:
@@ -138,13 +184,135 @@ def secret_reason(path: str):
             return f'secret directory ({c})'
     if name in _SECRET_DIRS:
         return f'secret directory ({name})'
-    # 置き場と対で秘密になるもの（例: ~/.config/gh/hosts.yml ＝ GitHub CLI のトークン）。
+    # 2つ並んだときだけ秘密になる置き場（例: 設定置き場の下のクラウドの資格情報）。
+    for i in range(len(comps) - 1):
+        if (comps[i], comps[i + 1]) in _SECRET_DIR_PAIRS:
+            return f'secret directory ({comps[i]}/{comps[i + 1]})'
+    # 置き場と対で秘密になるもの（例: GitHub CLI のトークンが入る1ファイル）。
     for tail in _SECRET_PATH_TAILS:
         if len(comps) >= len(tail) and tuple(comps[-len(tail):]) == tail:
             return f'secret file ({"/".join(tail)})'
     return None
 
 
+#: 「機械が入れた部品か」の答えの控え（同じ問いを何度も git に聞かない）。
+#:   フックは1回の呼び出しで終わる短い処理なので、控えは処理のあいだだけ生きる。
+_DEPENDENCY_TRUST_CACHE = {}
+
+
+def _git_says_yes(args, cwd):
+    """git に1つ聞いて、はい(返り 0)かどうかだけ受け取る。★出力は1文字も使わない。
+
+    取れない・遅い・git が無い、のどれでも「いいえ」にする（★閉じる側へ倒す）。
+    """
+    try:
+        import subprocess
+        r = subprocess.run(
+            ['git'] + list(args), cwd=cwd,
+            stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL, timeout=5,
+        )
+        return r.returncode == 0
+    except Exception:  # noqa: BLE001
+        return False
+
+
+def machine_installed_dependency(real_path: str):
+    """実在のパスが「機械（パッケージ管理）が入れた部品の中」なら、その置き場を返す。
+
+    ★ここが「管理主体」の判定。AI が渡した文字列の中の説明・引数の名前は1文字も見ない。
+      見るのは次の3つだけ。
+        (a) 決め打ちの部品置き場の名前（_DEPENDENCY_DIR_NAMES・大文字小文字を区別）
+        (b) その置き場が git から【無視されている】こと
+            ＝そのリポジトリ自身が「これは人の成果物ではない」と宣言している
+        (c) 対象が git に【追跡されていない】こと
+            ＝人が置いてコミットした物は、置き場の名前が何であれ部品として扱わない
+      (b)(c) のどちらかでも確かめられなければ None（＝部品と認めない＝秘密として扱う）。
+    """
+    comps = [c for c in real_path.split('/') if c]
+    idx = None
+    for i, c in enumerate(comps):
+        if c in _DEPENDENCY_DIR_NAMES:
+            idx = i  # 入れ子のときは一番内側を採る
+    if idx is None:
+        return None
+    dep_root = '/' + '/'.join(comps[:idx + 1])
+    key = (dep_root, real_path)
+    if key in _DEPENDENCY_TRUST_CACHE:
+        return _DEPENDENCY_TRUST_CACHE[key]
+    parent = os.path.dirname(dep_root) or '/'
+    ok = (
+        os.path.isdir(parent)
+        and _git_says_yes(['rev-parse', '--git-dir'], parent)
+        and _git_says_yes(['check-ignore', '-q', dep_root], parent)
+        and not _git_says_yes(['ls-files', '--error-unmatch', real_path], parent)
+    )
+    result = dep_root if ok else None
+    _DEPENDENCY_TRUST_CACHE[key] = result
+    return result
+
+
+def resolved_path(path: str, cwd=None) -> str:
+    """近道(symlink)・..・相対・~ を解いた【実在の場所】を返す。解けなければ元の字面。
+
+    ★これが迂回対策の土台。別名から本物へ回り込む道は、ここで正体が出る。
+    """
+    try:
+        q = os.path.expanduser(path.strip())
+        if not os.path.isabs(q):
+            base = cwd if (cwd and os.path.isabs(cwd)) else os.getcwd()
+            q = os.path.join(base, q)
+        return os.path.realpath(q)
+    except Exception:  # noqa: BLE001
+        return path
+
+
+def dependency_root(path: str, cwd=None):
+    """パスを正規化したうえで、機械が入れた部品の中なら置き場を返す（でなければ None）。"""
+    real = resolved_path(path, cwd)
+    comps = [c for c in real.replace('\\', '/').split('/') if c]
+    if not comps:
+        return None
+    if _static_secret_reason(comps, comps[-1]):
+        return None  # ★解いた先が本物の秘密だった＝部品ではない
+    return machine_installed_dependency(real)
+
+
+def secret_reason(path: str, cwd=None):
+    """パスが秘密に触れるなら理由、そうでなければ None。読み書きを問わない。
+
+    層の順は (1)(2)(3) → (4) → (5)。(4) だけが場所と管理主体を見る。
+    ★字面と、近道を解いた【実体】の両方を同じ物差しで測る。どちらかが秘密なら止める。
+    """
+    comps = [c for c in path.replace('\\', '/').split('/') if c]
+    if not comps:
+        return None
+    name = comps[-1]
+    sr = _static_secret_reason(comps, name)
+    if sr:
+        return sr
+
+    # ★近道(symlink)や .. で回り込む道。解いた実体を (1)(2)(3) にもう一度掛ける。
+    #   例: node_modules の中の何でもない名前が、鍵の置き場を指しているとき。
+    real = resolved_path(path, cwd)
+    rcomps = [c for c in real.replace('\\', '/').split('/') if c]
+    if rcomps and real != path:
+        rsr = _static_secret_reason(rcomps, rcomps[-1])
+        if rsr:
+            return f'{rsr} (via link)'
+
+    # (4) 名前だけでは言い切れないもの。★機械が入れた部品の中のときだけ通す。
+    #   字面の名前と、解いた実体の名前の【どちらか】が当たれば見る（別名で隠せない）。
+    names = [name]
+    if rcomps and rcomps[-1] != name:
+        names.append(rcomps[-1])
+    for n in names:
+        if _LOCATION_SECRET_FILE_RE.match(n):
+            if machine_installed_dependency(real) is None:
+                return f'secret file ({n})'
+            break
+    return None
+
+
 # システム領域だが書いても無害な特殊ファイル（捨て先・標準出力など）。
 # ★ここを除外しないと `... > /dev/null` という日常操作が止まる（実際に止まった）。
 _HARMLESS_DEVICES = frozenset({
@@ -295,6 +463,41 @@ EXFIL_VERBS = frozenset({
     'ssh', 'mail', 'sendmail', 'tar', 'zip', 'gzip', 'base64', 'openssl', 'gpg',
 })
 
+# ★探す道具（1つ目の引数が「探す文字」で、パスではないもの）。
+#   【なぜ要るか（実測 2026-09-16・便 ee354590 の発見6）】
+#     src の中を process.env という【文字】で探しただけで番人が止めた。
+#     理由は、引数 process.env が「.env で終わる名前」に当たったため。
+#     ★探す文字はパスではない。パスとして測ると、コードの書き方を調べる普通の作業が止まる。
+#   【どう決めるか】この動詞では、旗(-)でない最初の引数を【探す文字】として扱い、
+#     パスの判定に掛けない。残りの引数は今までどおりパスとして測る。
+#     ★-e / --regexp で探す文字を明示したときは、最初の引数も【パス】に戻す（取りこぼさない）。
+#     ★-f / --file の値は「探す文字が書いてあるファイル」＝パスなので測る。
+_PATTERN_FIRST_VERBS = frozenset({'grep', 'egrep', 'fgrep', 'rg', 'ag', 'ack', 'ugrep'})
+
+# 探す文字を旗で明示する書き方（これが在れば、最初の引数もパスとして測る）。
+_PATTERN_FLAGS = ('-e', '--regexp')
+# 「探す文字が書いてあるファイル」を指す旗（値はパスとして測る）。
+_PATTERN_FILE_FLAGS = ('-f', '--file')
+
+
+def pattern_arg_index(verb: str, args):
+    """探す文字として扱う引数の位置を返す（無ければ -1）。
+
+    ★ここで返した1つだけをパスの判定から外す。それ以外は今までどおり全部測る。
+    """
+    if verb not in _PATTERN_FIRST_VERBS:
+        return -1
+    for i, t in enumerate(args):
+        if t in _PATTERN_FLAGS or t.startswith('--regexp='):
+            return -1  # 探す文字は旗で示されている＝最初の引数はパス
+        if t in _PATTERN_FILE_FLAGS or t.startswith('--file='):
+            return -1
+    for i, t in enumerate(args):
+        if not t.startswith('-'):
+            return i
+    return -1
+
+
 # 「中身を読み出す」動詞（秘密に対して使われたら露出）。
 READ_VERBS = frozenset({
     'cat', 'head', 'tail', 'less', 'more', 'strings', 'xxd', 'od', 'grep', 'awk', 'sed',
@@ -414,7 +617,7 @@ def _inner_payloads(command: str):
     return out
 
 
-def _wrapper_danger(command: str, depth: int = 0):
+def _wrapper_danger(command: str, depth: int = 0, cwd=None):
     """ラッパの中身に同じ判定を当てる。危険なら理由を返す。"""
     if depth >= _UNWRAP_MAX_DEPTH:
         return None
@@ -433,10 +636,10 @@ def _wrapper_danger(command: str, depth: int = 0):
             return f'{hit} ({where})'
         for seg in split_segments(inner):
             toks = tokens_of(seg)
-            hit = _secret_danger(seg, verb_of(toks), toks)
+            hit = _secret_danger(seg, verb_of(toks), toks, cwd)
             if hit:
                 return f'{hit} ({where})'
-        hit = _wrapper_danger(inner, depth + 1)
+        hit = _wrapper_danger(inner, depth + 1, cwd)
         if hit:
             return hit
     return None
@@ -525,7 +728,7 @@ def _rm_danger(command: str):
     return None
 
 
-def _secret_danger(segment: str, verb: str, tokens):
+def _secret_danger(segment: str, verb: str, tokens, cwd=None):
     """このセグメントが秘密に触れる／システム領域へ書くなら理由を返す。
 
     ★ここが「対象と作用」判定の本体。動詞が何であれ、対象が秘密なら止める。
@@ -535,7 +738,11 @@ def _secret_danger(segment: str, verb: str, tokens):
         return 'secret environment variable exposure'
 
     args = tokens[1:] if tokens else []
-    for raw in args:
+    # ★探す文字（grep の1つ目の引数など）はパスではないので、パスの判定から外す。
+    skip = pattern_arg_index(verb, args)
+    for pos, raw in enumerate(args):
+        if pos == skip:
+            continue
         # 値の書き方は色々ある: `.env` / `@.env`（curl -d @file）/ `--post-file=.env`。
         # オプション名に埋まった値まで見ないと、持ち出しを1つ取りこぼす。
         candidates = [raw.lstrip('@')]
@@ -544,7 +751,7 @@ def _secret_danger(segment: str, verb: str, tokens):
         a = next((c for c in candidates if c and not c.startswith('-')), '')
         if not a:
             continue
-        sr = secret_reason(a)
+        sr = secret_reason(a, cwd)
         if sr:
             # 秘密に触れる動詞なら止める（読み・書き・持ち出しのいずれでも露出になる）。
             #
@@ -561,7 +768,7 @@ def _secret_danger(segment: str, verb: str, tokens):
 
     # リダイレクト先（> / >>）も「書き込む作用」。
     for t in redirect_targets(segment):
-        sr = secret_reason(t)
+        sr = secret_reason(t, cwd)
         if sr:
             return f'redirect into {sr}'
         syr = system_write_reason(t)
@@ -662,7 +869,7 @@ def _gate_db(low: str, verb: str, tokens, segment: str):
 # 入口: Bash
 # ═════════════════════════════════════════════════════════════════════════════
 
-def decide_bash(command: str):
+def decide_bash(command: str, cwd=None):
     """Bash コマンド1件の判定。既定は allow。"""
     if not command or not command.strip():
         return _r(ALLOW, 'empty command')
@@ -682,13 +889,13 @@ def decide_bash(command: str):
     for seg in segments:
         toks = tokens_of(seg)
         v = verb_of(toks)
-        hit = _secret_danger(seg, v, toks)
+        hit = _secret_danger(seg, v, toks, cwd)
         if hit:
             return _r(DENY, f'danger: {hit}')
 
     # ---- 1c) 危険（ラッパの中身にも同じ物差しを当てる） ----
     #      `bash -c "cat .env"` / `python3 -c "open('.env')"` / ヒアドキュメント経由。
-    hit = _wrapper_danger(command)
+    hit = _wrapper_danger(command, 0, cwd)
     if hit:
         return _r(DENY, f'danger: {hit}')
 
@@ -827,7 +1034,15 @@ def decide_read(file_path: str, cwd=None):
     return _r(ALLOW, 'no gate, no danger')
 
 
-def decide_search(tool_input, cwd=None):
+#: 探す道具ごとの pattern の意味。★同じ項目名でも道具によって別物なので、道具名で決める。
+#:   Glob … pattern は【ファイルの名前の形】＝パスとして測る
+#:   Grep … pattern は【本文を探す正規表現】＝パスとして測らない（glob の方が名前の形）
+#:   知らない道具 … 測る側へ倒す（閉じる側の既定）
+_PATTERN_IS_PATH_TOOLS = frozenset({'Glob'})
+_PATTERN_IS_REGEX_TOOLS = frozenset({'Grep'})
+
+
+def decide_search(tool_input, cwd=None, tool=None):
     """探す道具（Grep / Glob）の判定。
 
     ★2つを見る。
@@ -842,7 +1057,18 @@ def decide_search(tool_input, cwd=None):
         res = decide_read(where, cwd)
         if res['decision'] == DENY:
             return _r(DENY, res['reason'].replace('read from', 'search in'))
-    for key in ('glob', 'pattern'):
+    # ★探す【対象の名前】(glob) は測る。探す【文字】(pattern) は測らない。
+    #   【なぜ分けたか（実測 2026-09-16・便 ee354590 の発見6）】
+    #     pattern は本文を探す正規表現で、ファイルの場所ではない。パスとして測っていたため、
+    #     src の中を process.env という文字で探しただけで番人が止めた。
+    #   【秘密が漏れないことは変わらない】
+    #     中身を取り出せるのは path と glob が指す先だけで、その2つは今までどおり測る。
+    #     pattern に秘密のファイル名を書いても、探す先が普通のコードなら、出てくるのは
+    #     「そのコードの中にその文字がある行」だけである。
+    keys = ['glob']
+    if tool not in _PATTERN_IS_REGEX_TOOLS:
+        keys.append('pattern')   # Glob の pattern と、知らない道具は測る側へ倒す
+    for key in keys:
         sr = glob_secret_reason(tool_input.get(key))
         if sr:
             return _r(DENY, f'danger: search for {sr}')
@@ -914,7 +1140,7 @@ def decide_event(data):
         tin = {}
 
     if tool == 'Bash':
-        return decide_bash(tin.get('command', ''))
+        return decide_bash(tin.get('command', ''), data.get('cwd'))
     if tool == 'WebFetch':
         return decide_network(tin.get('url', ''))
     if tool in WRITE_TOOLS:
@@ -928,7 +1154,7 @@ def decide_event(data):
             return _r(ALLOW, 'no file_path')
         return decide_read(fp, data.get('cwd'))
     if tool in SEARCH_TOOLS:
-        return decide_search(tin, data.get('cwd'))
+        return decide_search(tin, data.get('cwd'), tool)
     # ★知らない道具（MCP・将来増える組み込み）も、入力にパスらしい項目があれば同じ判定を通す。
     #   当たらなければ従来どおり自走する（WebSearch・道具の呼び出し等は1つも止まらない）。
     return decide_any_path(tin, data.get('cwd'))

package/scripts/hooks/test_policy.py

@@ -332,9 +332,13 @@ print('\n=== (b4-2) ★接続情報・認証情報の穴を塞いだ（2026-09-0
 #   （項目名だけを見て確認。値は1文字も読んでいない）。
 _CONDUCTOR_ENV = '.conductor' + '.env'   # ← この検査自身が番人に引っかからないよう分けて書く
 for name in [_CONDUCTOR_ENV, 'migration' + '.env', 'prod' + '.env',
-             'auth.json', '.credentials.json', 'credentials.json',
+             'auth.json', '.credentials.json',
              'ai-saku-login.json', 'login.json']:
     check(f'★秘密として止める {name}', policy.is_secret_name(name), True)
+# ★頭に点の無い credentials.json は「名前だけでは言い切れない」側へ移した（便 3a3771b1）。
+#   依存の部品の中にも同じ名前が置かれうるため。場所まで見れば今までどおり止まる。
+check('★秘密として止める credentials.json（依存の外）',
+      bool(policy.secret_reason('/repo/cre' + 'dentials.json')), True)
 # 雛形は今までどおり通す（見本を直すだけの作業を止めない）。
 for name in ['example' + '.env', 'sample' + '.env', '.env.example', 'auth.json.example']:
     check(f'雛形は通す {name}', policy.is_secret_name(name), False)