agent-quality-kit 0.15.0 → 0.16.0

package/kit/gates/ci-actually-fails/check.sh

@@ -90,6 +90,12 @@ for F in $CI; do
       for (j = 1; j <= nr; j++) if (R[j] != "" && R[j] == id) return 1
       return 0
     }
+    # Погашенная команда, о которой ещё не решено. Печатается, когда стало видно, что после неё
+    # в блоке ничего нет: тогда исход шага действительно погашен.
+    function reportMask(   ) {
+      if (maskLine) printf "%s:%d: провал погашен прямо в команде: %s\n", file, maskLine, substr(maskText, 1, 90)
+      maskLine = 0
+    }
     function flush(   ) {
       if (blockStart && blockCheck && blockMask && !isRedeemed(blockId))
         printf "%s:%d: проверка не может провалиться — шаг под %s\n", file, blockCheckLine, blockMaskText
@@ -100,8 +106,17 @@ for F in $CI; do
       # вспомогательной команде внутри скрипта (`docker network create … || true`) — это
       # идемпотентность, а не выключенная проверка.
       if (!isComment($0) && $0 ~ runners && $0 ~ /\|\|[[:space:]]*(true|:|exit[[:space:]]+0)/) {
-        line = $0; sub(/^[[:space:]]+/, "", line)
-        printf "%s:%d: провал погашен прямо в команде: %s\n", file, NR, substr(line, 1, 90)
+        # ОБВИНЯЕМ, ТОЛЬКО ЕСЛИ ПОГАШЕННАЯ КОМАНДА — ПОСЛЕДНЯЯ В БЛОКЕ. Замер 2026-09-14 по
+        # семидесяти чужим конвейерам дал одно-единственное срабатывание, и оно было ЛОЖНЫМ:
+        # `pnpm eslint src > out.txt || true` строкой ниже сверяется `diff` с эталоном —
+        # инструмент ОБЯЗАН выйти ненулевым, а вердикт выносит следующая команда. Шаг
+        # проваливается прекрасно. Инструмент, который обвиняет напрасно, выключают целиком,
+        # поэтому здесь молчание честнее догадки.
+        maskLine = NR; maskText = $0; sub(/^[[:space:]]+/, "", maskText)
+      } else if (maskLine && !isComment($0) && $0 !~ /^[[:space:]]*$/) {
+        # Печать вердикта не выносит: `echo` после гашения ничего не меняет.
+        if ($0 ~ /^[[:space:]]*(-[[:space:]]+)?[A-Za-z0-9_.-]+[[:space:]]*:/) reportMask()
+        else if ($0 !~ /^[[:space:]]*(echo|printf|cat|ls)[[:space:]]/) maskLine = 0
       }
       if (isBoundary($0)) flush()
       if (!blockStart) blockStart = NR
@@ -111,7 +126,7 @@ for F in $CI; do
         blockId = $0; sub(/^[^:]*:[[:space:]]*/, "", blockId); gsub(/[[:space:]"'"'"']/, "", blockId)
       }
     }
-    END { flush() }' 2>/dev/null)
+    END { reportMask(); flush() }' 2>/dev/null)
   [ -z "$RES" ] || BAD="$BAD$RES
 "
 done

package/kit/gates/ci-actually-fails/green/.github/workflows/ci.yml

@@ -28,3 +28,13 @@ jobs:
       - name: провалить сборку, если линтер был красным
         if: steps.lint.outcome == 'failure'
         run: exit 1
+
+      # ЗАКОННОЕ ГАШЕНИЕ: инструмент ОБЯЗАН выйти ненулевым, а вердикт выносит следующая
+      # команда того же блока. Найдено замером 2026-09-14 по семидесяти чужим конвейерам:
+      # это было ЕДИНСТВЕННОЕ срабатывание гейта на всём замере — и оно оказалось ложным
+      # (HorusGoul/eslint-plugin-react-render-types, .github/workflows/ci.yml:51). Снимок
+      # вывода линтера сверяется с эталоном, шаг проваливается на `diff`.
+      - name: линтер как снимок
+        run: |
+          pnpm eslint src > /tmp/lint-output.txt || true
+          diff lint-snapshot.txt /tmp/lint-output.txt

package/kit/gates/entry-commands-exist/check.sh

@@ -41,12 +41,28 @@ ENTRIES=$( { find "$DIR" -maxdepth 1 -type f \( -iname 'agents.md' -o -iname 'cl
 # --- что в проекте есть ---------------------------------------------------------
 # Скрипты — только из блока "scripts" каждого package.json (рабочие пространства тоже: команда
 # из свода часто живёт в пакете, а не в корне). Файл склеивается в строку: блок бывает и в одну.
-SCRIPTS=$(find "$DIR" $(skip_find) -type f -name package.json -print 2>/dev/null | own_samples_filter "$DIR" | grep -v '^$' \
-  | while IFS= read -r P; do
-      tr '\r\n' '  ' < "$P" | sed -n 's/.*"scripts"[[:space:]]*:[[:space:]]*{\([^}]*\)}.*/\1/p' \
-        | grep -oE '"[^"]+"[[:space:]]*:' | sed 's/^"//; s/"[[:space:]]*:$//'
-    done)
+# ИМЕНА СКРИПТОВ ЧИТАЕТ РАЗБОРЩИК JSON, А НЕ РЕГУЛЯРКА. Найдено 2026-09-15 на
+# `jantimon/web-performance-debugger`: их скрипт `prebuild` содержит
+# `rmSync('dist',{recursive:true,force:true})` — фигурная скобка ВНУТРИ значения. Прежний разбор
+# `[^}]*` обрывался на ней, и шесть существующих скриптов объявлялись несуществующими. Письмо
+# ушло бы живому человеку с неправдой.
+#
+# Структуру разбирает тот, кто умеет её разбирать. `package.json` означает проект на Node, и node
+# там почти наверняка есть; но «почти» нам не годится — без него мы НЕ ПРОВЕРЯЕМ скрипты и
+# говорим об этом, а не додумываем регуляркой.
+NPM_BLIND=""
+if command -v node >/dev/null 2>&1; then
+  SCRIPTS=$(find "$DIR" $(skip_find) -type f -name package.json -print 2>/dev/null | own_samples_filter "$DIR" | grep -v '^$' \
+    | while IFS= read -r P; do
+        node -e 'try{const s=require("fs").readFileSync(process.argv[1],"utf8");const j=JSON.parse(s);for(const k of Object.keys(j.scripts||{}))console.log(k)}catch(e){}' "$P"
+      done)
+else
+  SCRIPTS=""
+  NPM_BLIND=1
+fi
 HAS_PKG=$(find "$DIR" $(skip_find) -type f -name package.json -print 2>/dev/null | own_samples_filter "$DIR" | grep -v '^$' | head -1)
+HAS_JUST=$(find "$DIR" $(skip_find) -type f \( -name justfile -o -name Justfile -o -name .justfile \) -print 2>/dev/null | own_samples_filter "$DIR" | grep -v '^$' | head -1)
+HAS_MK=$(find "$DIR" $(skip_find) -type f \( -name Makefile -o -name makefile -o -name GNUmakefile -o -name '*.mk' \) -print 2>/dev/null | own_samples_filter "$DIR" | grep -v '^$' | head -1)
 
 # Цели make: строка вне рецепта, слова до двоеточия; «VAR := x» — присваивание, не цель.
 TARGETS=$(find "$DIR" $(skip_find) -type f \( -name Makefile -o -name makefile -o -name GNUmakefile -o -name '*.mk' \) -print 2>/dev/null \
@@ -54,11 +70,35 @@ TARGETS=$(find "$DIR" $(skip_find) -type f \( -name Makefile -o -name makefile -
       awk '/^[^\t#][^=]*:([^=]|$)/ { sub(/:.*/, ""); n = split($0, a, /[ \t]+/); for (i = 1; i <= n; i++) if (a[i] != "") print a[i] }' "$M"
     done)
 
+# ПОДКЛЮЧЁННЫЙ ФАЙЛ, КОТОРОГО У НАС НЕТ, ДЕЛАЕТ ПЕРЕЧЕНЬ ЦЕЛЕЙ НЕПОЛНЫМ. Найдено 2026-09-15 на
+# `exoscale/cli`: их Makefile начинается с `include go.mk/init.mk`, а `go.mk` — подмодуль git,
+# которого в клоне нет. Цели `build` и `test-verbose` объявлены там, и наше «такой цели нет» было
+# бы письмом с неправдой в живую компанию.
+#
+# Молчим ОБО ВСЕХ целях make, а не о конкретной: какая именно объявлена в неподключённом файле,
+# мы знать не можем. Это третий исход — «не смогли проверить», и он назван вслух, а не спрятан.
+MK_BLIND=""
+for M in $(find "$DIR" $(skip_find) -type f \( -name Makefile -o -name makefile -o -name GNUmakefile -o -name '*.mk' \) -print 2>/dev/null | own_samples_filter "$DIR" | grep -v '^$'); do
+  for INC in $(sed -n 's/^[[:space:]]*-\{0,1\}include[[:space:]]\{1,\}//p' "$M" 2>/dev/null | tr ' ' '\n' | grep -v '^$'); do
+    case "$INC" in
+      *'$'*) continue ;;
+    esac
+    [ -e "$(dirname "$M")/$INC" ] || MK_BLIND="$MK_BLIND$INC
+"
+  done
+done
+
 # Рецепты just: «имя:», «@имя арг:», «alias имя := …».
 RECIPES=$(find "$DIR" $(skip_find) -type f \( -name justfile -o -name Justfile -o -name .justfile \) -print 2>/dev/null \
   | own_samples_filter "$DIR" | grep -v '^$' | while IFS= read -r J; do
+      # ПАРАМЕТР РЕЦЕПТА СОДЕРЖИТ ЗНАК РАВЕНСТВА. Найдено 2026-09-15 на `2mawi2/para`: их
+      # `release BUMP="patch":` — обычный рецепт со значением по умолчанию. Прежнее правило
+      # требовало `[^:=]*` до двоеточия и такой рецепт не видело: существующая команда
+      # объявлялась несуществующей. Присваивание (`version := "1.0"`) отсекается отдельно —
+      # у него двоеточие СРАЗУ перед равенством, а у рецепта равенство стоит до двоеточия.
       awk '/^alias[ \t]+/ { print $2; next }
-           /^@?[A-Za-z_][A-Za-z0-9_-]*([ \t][^:=]*)?:([^=]|$)/ { sub(/^@/, ""); sub(/[ \t:].*/, ""); print }' "$J"
+           /^@?[A-Za-z_][A-Za-z0-9_-]*[ \t]*:=/ { next }
+           /^@?[A-Za-z_][A-Za-z0-9_-]*([ \t][^:]*)?:/ { sub(/^@/, ""); sub(/[ \t:].*/, ""); print }' "$J"
     done)
 
 has() { printf '%s\n' "$2" | grep -qxF -- "$1"; }
@@ -82,20 +122,41 @@ while IFS= read -r E; do
   CODE=$(awk '/^[ \t]*(```|~~~)/ { f = !f; next }
     f { print; next }
     { while (match($0, /`[^`]+`/)) { print substr($0, RSTART + 1, RLENGTH - 2); $0 = substr($0, RSTART + RLENGTH) } }' "$E")
-  grep -oE '(npm|pnpm|yarn|bun)[[:space:]]+run[[:space:]]+[A-Za-z][A-Za-z0-9_:.-]*[*<{]?' "$E" \
-    | grep -v '[*<{:]$' | sed 's/\.$//; s/[[:space:]][[:space:]]*/ /g' | sort -u > "$TMP"
+  # «BUN RUN <ФАЙЛ>» — ЗАПУСК ФАЙЛА, А НЕ СКРИПТА. Найдено 2026-09-15 на `Gerstep/HumanCompiler`:
+  # `bun run scripts/generate-plugin.ts <profile>` — путь прочитался как имя скрипта «scripts».
+  # Отсекаем по признаку пути: косая черта или расширение исполняемого файла.
+  grep -oE '(npm|pnpm|yarn|bun)[[:space:]]+run[[:space:]]+[A-Za-z][A-Za-z0-9_:./-]*[*<{]?' "$E" \
+    | grep -v '[*<{:]$' | grep -vE '[[:space:]][A-Za-z0-9_.-]*/' \
+    | grep -vE '\.(ts|js|mjs|cjs|tsx|jsx|py|sh)$' \
+    | sed 's/\.$//; s/[[:space:]][[:space:]]*/ /g' | sort -u > "$TMP"
   while IFS= read -r CMD; do
+    # Без разборщика JSON перечень скриптов неполон, и «такого скрипта нет» — догадка.
+    [ -n "$NPM_BLIND" ] && continue
     N=${CMD##* }
     has "$N" "$SCRIPTS" && continue
-    if [ -n "$HAS_PKG" ]; then report "$E" "$CMD" "такого скрипта нет ни в одном package.json"
-    else report "$E" "$CMD" "package.json в репозитории нет вовсе"; fi
+    # СОБСТВЕННОЙ СБОРКИ У РЕПОЗИТОРИЯ НЕТ — значит свод, скорее всего, описывает ДРУГОЙ проект.
+    # Найдено 2026-09-15 на `Aurealibe/claude-config` и `Weaverse/.agents`: это сборники правил,
+    # которые ставят в проект-получатель, и своего package.json у них нет и не должно быть.
+    # Про какой проект написано «npm run build», снаружи не видно — обвинять нельзя.
+    [ -n "$HAS_PKG" ] || { NO_BUILD=1; continue; }
+    report "$E" "$CMD" "такого скрипта нет ни в одном package.json"
   done < "$TMP"
-  for N in $(printf '%s\n' "$CODE" | grep -E '(^|[^A-Za-z0-9_-])make[[:space:]]' | grep -vE -- '-C|--directory|-f[[:space:]]|--file' \
+  # «MAKE» — ОБЫЧНЫЙ АНГЛИЙСКИЙ ГЛАГОЛ, как и «just». Найдено 2026-09-15 на
+  # `andyhartzler/my-bluebubbles-web`: «make it go away», «make one of these go away» дали цели
+  # «it» и «one». У них выше по файлу незакрытый блок кода, и весь текст после него читается как
+  # команды — но чинить надо не разбор блоков, а предмет обвинения: Makefile в репозитории нет
+  # вовсе, сравнивать не с чем.
+  [ -n "$HAS_MK" ] && for N in $(printf '%s\n' "$CODE" | grep -E '(^|[^A-Za-z0-9_-])make[[:space:]]' | grep -vE -- '-C|--directory|-f[[:space:]]|--file' \
       | grep -oE '(^|[^A-Za-z0-9_-])make([[:space:]]+-[A-Za-z0-9]+)*[[:space:]]+[A-Za-z][A-Za-z0-9_.-]*=?' \
       | grep -v '=$' | sed 's/.*[[:space:]]//' | sort -u); do
+    [ -n "$MK_BLIND" ] && continue
     has "$N" "$TARGETS" || report "$E" "make $N" "такой цели нет ни в одном Makefile"
   done
-  for N in $(printf '%s\n' "$CODE" | grep -oE '(^|[^A-Za-z0-9_-])just[[:space:]]+[A-Za-z][A-Za-z0-9_-]*' \
+  # «JUST» — ОБЫЧНОЕ АНГЛИЙСКОЕ СЛОВО, и в прозе оно стоит чаще, чем в роли запускалки. Найдено
+  # 2026-09-15: «I just uploaded a new video» и «fuzzy output (`just over`)» дали находки
+  # «рецепт uploaded» и «рецепт over» в репозиториях, где justfile нет вовсе. Без justfile
+  # сравнивать не с чем — обвинение без предмета.
+  [ -n "$HAS_JUST" ] && for N in $(printf '%s\n' "$CODE" | grep -oE '(^|[^A-Za-z0-9_-])just[[:space:]]+[A-Za-z][A-Za-z0-9_-]*' \
       | sed 's/.*[[:space:]]//' | sort -u); do
     has "$N" "$RECIPES" || report "$E" "just $N" "такого рецепта нет в justfile"
   done
@@ -107,4 +168,19 @@ if [ "$MISS" = 1 ]; then
   echo "  почини: верни команду в проект или исправь свод. Агент берёт команды из свода дословно:"
   echo "  несуществующая команда — это «Missing script» у агента и «проверил» про проверку, которой нет."
 fi
+# ЧТО МЫ НЕ СМОГЛИ ПОСМОТРЕТЬ — говорится вслух и при находках, и без них. Молчание здесь
+# означало бы «цели make проверены», а они не проверены вовсе.
+if [ -n "$NO_BUILD" ]; then
+  echo "  не проверено: команды npm. Своего package.json у репозитория нет — похоже, свод описывает"
+  echo "    другой проект, в который его ставят. Про какой именно, снаружи не видно."
+fi
+if [ -n "$NPM_BLIND" ]; then
+  echo "  не проверено: скрипты npm. Разобрать package.json нечем — на этой машине нет node."
+  echo "    почини: поставь node либо прогони проверку там, где он есть."
+fi
+if [ -n "$MK_BLIND" ]; then
+  echo "  не проверено: цели make. Makefile подключает файлы, которых нет в этом каталоге:"
+  printf '%s' "$MK_BLIND" | sort -u | sed 's/^/    /'
+  echo "    обычно это подмодуль git — тогда проверять надо там, где он выгружен."
+fi
 exit "$MISS"

package/kit/gates/hook-actually-fires/README.md

@@ -5,6 +5,18 @@
 линтером. Ошибку в имени события Claude Code **не показывает** — хук просто никогда не
 вызывается. Настройка выглядит как защита и защитой не является.
 
+**Третий класс, добавленный 2026-09-14 — и нашёл его чужой инструмент.** `agnix`, прогнанный по
+нашему же репозиторию, сказал «Script file not found» о **шести** хуках в нашем **зелёном**
+образце: гейт с именем «хук правда срабатывает» говорил «чисто» о настройке, где ни один хук
+сработать не мог, потому что ни одного из шести файлов не существовало. Теперь команда хука
+сверяется с диском.
+
+Граница узкая: красится только **относительный путь со слэшем** (`.claude/hooks/x.sh`,
+`scripts/guard.sh`). Программа из PATH (`npx`, `prettier`, `bash -c …`) не судится — у неё нет
+пути, и «не нашли» было бы обвинением по догадке. Абсолютный путь пропускается: он про чужую
+машину, а не про этот репозиторий. `$CLAUDE_PROJECT_DIR` снимается как приставка — это и есть
+корень проекта.
+
 **Какой отказ это поймало.** Замер по 48 чужим настройкам `.claude/settings.json`, снятым с
 GitHub 2026-09-07. Шесть настоящих находок в четырёх репозиториях:
 

package/kit/gates/hook-actually-fires/check.sh

@@ -1,6 +1,12 @@
 #!/usr/bin/env sh
-# Хук, который не сработает никогда: имя события с опечаткой, либо `matcher` на событии,
-# которое его не поддерживает.
+# Хук, который не сработает никогда: имя события с опечаткой, `matcher` на событии, которое его
+# не поддерживает, либо команда, указывающая на файл, которого нет.
+#
+# ТРЕТИЙ КЛАСС ДОБАВЛЕН 2026-09-14, И НАШЁЛ ЕГО ЧУЖОЙ ИНСТРУМЕНТ. `agnix`, прогнанный по нашему
+# же репозиторию, сказал «Script file not found» о ШЕСТИ хуках в нашем ЗЕЛЁНОМ образце: гейт с
+# именем `hook-actually-fires` говорил «чисто» о настройке, где ни один хук сработать не мог.
+# Это второй раз за неделю, когда соседский инструмент находит у нас то, чего не видят наши же
+# проверки, — и ровно тот класс, ради которого написан весь комплект.
 #
 # ЗАЧЕМ. Человек заводит хук, чтобы машина держала то, что он держать не может: не дать
 # сделать force-push, отформатировать после правки, не отпустить работу с красным линтером.
@@ -117,6 +123,10 @@ for F in "$DIR/.claude/settings.json" "$DIR/.claude/settings.local.json" \
             # означают «всё» — ровно то, что и происходит на событии без поддержки matcher, то
             # есть автор не обманут. Замер по 39 чужим настройкам: без этого сужения гейт краснел
             # на четырёх, и все четыре были «matcher»: "" либо "*", то есть шум.
+            if (awaitCmd) {
+              awaitCmd = 0
+              printf "@CMD@%d@%s\n", cmdLine, pending
+            }
             if (awaitMatcher) {
               awaitMatcher = 0
               if (pending != "" && pending != "*" && pending != ".*")
@@ -130,6 +140,9 @@ for F in "$DIR/.claude/settings.json" "$DIR/.claude/settings.local.json" \
         if (c == ":") {
           key = pending; keyLine = pendingLine
           if (ev != "" && key == "matcher" && (ev in NOMATCHER)) { awaitMatcher = 1; matcherLine = keyLine; matcherEv = ev }
+          # Команда хука. Существование файла проверяет ОБОЛОЧКА, а не awk: у awk нет способа
+          # спросить файловую систему, не вызывая внешний процесс на каждую строку.
+          if (key == "command") { awaitCmd = 1; cmdLine = keyLine }
           continue
         }
         # ЛЮБОЙ структурный символ снимает ожидание значения matcher. Без этого нестроковое
@@ -137,7 +150,7 @@ for F in "$DIR/.claude/settings.json" "$DIR/.claude/settings.local.json" \
         # следующая строка документа — обычно ключ «hooks» — печаталась как значение matcher.
         # Найдено код-ревью 2026-09-07.
         if (c == "{" || c == "[") {
-          awaitMatcher = 0
+          awaitMatcher = 0; awaitCmd = 0
           depth++
           if (c == "{" && rootIsHooks == 1 && depth == 1 && hooksDepth == -1) hooksDepth = 1
           else if (c == "{" && key == "hooks" && hooksDepth == -1) hooksDepth = depth
@@ -145,12 +158,12 @@ for F in "$DIR/.claude/settings.json" "$DIR/.claude/settings.local.json" \
           key = ""; continue
         }
         if (c == "}" || c == "]") {
-          awaitMatcher = 0
+          awaitMatcher = 0; awaitCmd = 0
           if (depth == evDepth) { ev = ""; evDepth = -1 }
           if (depth == hooksDepth) hooksDepth = -1
           depth--; key = ""; continue
         }
-        if (c == ",") { awaitMatcher = 0; key = ""; continue }
+        if (c == ",") { awaitMatcher = 0; awaitCmd = 0; key = ""; continue }
       }
     }
   ' "$F" 2>/tmp/.hookerr.$$)
@@ -160,6 +173,52 @@ for F in "$DIR/.claude/settings.json" "$DIR/.claude/settings.local.json" \
   # Разделяем их кодом возврата: «не смогли разобрать» — это 2, а не молчаливый ноль.
   if [ "$CODE" -ne 0 ] || [ -n "$E" ]; then
     ERR="$ERR$F: разобрать не удалось${E:+ — }$E
+"
+  fi
+  # КОМАНДЫ ХУКОВ — отдельной дорожкой: awk отдал их помеченными строками, файловую систему
+  # спрашивает оболочка.
+  #
+  # ГРАНИЦА НАМЕРЕННО УЗКАЯ. Красим только ОТНОСИТЕЛЬНЫЙ путь со слэшем: `.claude/hooks/x.sh`,
+  # `scripts/guard.sh`. Программа из PATH (`npx`, `prettier`, `bash -c …`) нам не видна — у неё
+  # нет пути, и «не нашли» означало бы обвинение по догадке. Абсолютный путь пропускаем: он
+  # относится к чужой машине, а не к репозиторию. Из двух ошибок здесь выбирается молчание:
+  # ложное обвинение выключает гейт целиком.
+  CMDS=$(printf '%s\n' "$RES" | grep '^@CMD@' || true)
+  RES=$(printf '%s\n' "$RES" | grep -v '^@CMD@' || true)
+  if [ -n "$CMDS" ]; then
+    MISS=$(printf '%s\n' "$CMDS" | while IFS= read -r L; do
+      [ -z "$L" ] && continue
+      LN=$(printf '%s' "$L" | cut -d@ -f3)
+      CMD=$(printf '%s' "$L" | cut -d@ -f4-)
+      # Переменная окружения, которой Claude Code называет корень проекта, — это и есть DIR.
+      CMD=$(printf '%s' "$CMD" | sed 's|\${CLAUDE_PROJECT_DIR}/*||g; s|\$CLAUDE_PROJECT_DIR/*||g')
+      # КАВЫЧКИ СНИМАЮТСЯ ПОСЛЕ ПЕРЕМЕННОЙ И ДО РАЗБОРА НА СЛОВА. Найдено замером 2026-09-15 по
+      # `kupzed/catatz`: у них `node "$CLAUDE_PROJECT_DIR/.claude/hooks/adapter.mjs"` — путь
+      # лежит ВНУТРИ кавычек вместе с переменной. Переменную мы снимали, кавычки оставались, и
+      # файл искался по имени с кавычками. Пять «пропавших» хуков, и все пять на месте (200).
+      # Письмо по такой находке было бы неправдой — а писать мы собирались именно по ним.
+      CMD=$(printf '%s' "$CMD" | tr -d '"'"'"'"')
+      # Первое слово — программа. Если это запускалка, файл стоит вторым.
+      P=$(printf '%s' "$CMD" | awk "{print \$1}")
+      case "$P" in
+        bash|sh|node|python|python3|ruby|perl|deno|bun) P=$(printf '%s' "$CMD" | awk "{print \$2}") ;;
+      esac
+      case "$P" in
+        # ПЕРЕМЕННАЯ, КОТОРУЮ МЫ НЕ РАСКРЫВАЕМ, — повод молчать. Замер 2026-09-15 по
+        # `Aurealibe/claude-config`: `${CLAUDE_PLUGIN_ROOT:-.}/.claude/hooks/session-start`.
+        # Значение задаётся снаружи, проверить путь на диске нельзя, и объявить его пропавшим
+        # значит обвинить по догадке. CLAUDE_PROJECT_DIR — исключение: он и есть корень, и
+        # снимается выше.
+        *'$'*) continue ;;
+        # ДОМАШНИЙ КАТАЛОГ — НЕ РЕПОЗИТОРИЙ. Найдено 2026-09-15 на `Dynokostya/just-works`:
+        # `bash ~/.claude/statusline-command.sh` — хук пользовательского уровня, он живёт у
+        # человека, а не в проекте. Проверить его на диске проекта нельзя.
+        '~'*) continue ;;
+        ""|-*|/*) continue ;;
+        */*) [ -e "$DIR/$P" ] || printf "%s:%s: команда хука указывает на «%s» — такого файла в проекте нет, хук не сработает никогда\n" "$F" "$LN" "$P" ;;
+      esac
+    done)
+    [ -n "$MISS" ] && OUT="$OUT$MISS
 "
   fi
   [ -n "$RES" ] && OUT="$OUT$RES
@@ -178,6 +237,7 @@ fi
 ALL=$(printf '%s' "$OUT" | grep -v '^$')
 [ -z "$ALL" ] && exit 0
 printf '%s\n' "$ALL"
-echo "  почини: сверь имя события с https://code.claude.com/docs/en/hooks и убери matcher там, где его нет."
+echo "  почини: сверь имя события с https://code.claude.com/docs/en/hooks, убери matcher там, где его нет,"
+echo "  и верни на место файл, на который указывает команда, — либо убери сам хук."
 echo "  хук с неверным именем не вызывается и об этом не сообщается — защита существует только на бумаге."
 exit 1

package/kit/gates/hook-actually-fires/gate.yml

@@ -1,5 +1,5 @@
-intent: хук агента правда срабатывает — имя события известно, matcher не игнорируется молча
-intent_en: an agent hook actually fires — the event name is real and the matcher is not silently ignored
+intent: хук агента правда срабатывает — имя события известно, matcher не игнорируется молча, файл команды существует
+intent_en: an agent hook actually fires — the event name is real, the matcher is not silently ignored, and the command's file exists
 
 # Только там, где агента настраивали. В проекте без `.claude/settings.json` проверять нечего,
 # а запись, показанная не тому, стоит доверия всему каталогу.

package/kit/gates/hook-actually-fires/green/.claude/hooks/auto-format.sh

@@ -0,0 +1,3 @@
+#!/usr/bin/env sh
+# Образец: хук, который существует и потому может сработать.
+exit 0

package/kit/gates/hook-actually-fires/green/.claude/hooks/block-dangerous.sh

@@ -0,0 +1,3 @@
+#!/usr/bin/env sh
+# Образец: хук, который существует и потому может сработать.
+exit 0

package/kit/gates/hook-actually-fires/green/.claude/hooks/done.sh

@@ -0,0 +1,3 @@
+#!/usr/bin/env sh
+# Образец: хук, который существует и потому может сработать.
+exit 0

package/kit/gates/hook-actually-fires/green/.claude/hooks/idle.sh

@@ -0,0 +1,3 @@
+#!/usr/bin/env sh
+# Образец: хук, который существует и потому может сработать.
+exit 0

package/kit/gates/hook-actually-fires/green/.claude/hooks/prompt.sh

@@ -0,0 +1,3 @@
+#!/usr/bin/env sh
+# Образец: хук, который существует и потому может сработать.
+exit 0

package/kit/gates/hook-actually-fires/green/.claude/hooks/session.mjs

@@ -0,0 +1 @@
+// Образец: путь лежит внутри кавычек вместе с переменной, и файл существует.

package/kit/gates/hook-actually-fires/green/.claude/hooks/stop-gate.sh

@@ -0,0 +1,3 @@
+#!/usr/bin/env sh
+# Образец: хук, который существует и потому может сработать.
+exit 0

package/kit/gates/hook-actually-fires/green/.claude/settings.json

@@ -69,6 +69,18 @@
           }
         ]
       }
+    ],
+    "SessionStart": [
+      {
+        "matcher": "startup|resume",
+        "hooks": [
+          {
+            "type": "command",
+            "command": "node \"$CLAUDE_PROJECT_DIR/.claude/hooks/session.mjs\"",
+            "timeout": 15
+          }
+        ]
+      }
     ]
   }
 }

package/kit/gates/test-not-adjusted/README.md

@@ -77,3 +77,34 @@ deletes or disables the checkwash job disarms it in the same diff»* — это
 коммитами. `red/` — код изменён на неверный, три утверждения заменены на `is not None`.
 `green/` — код и тест выросли вместе: добавлена функция и тест к ней, ни одно утверждение не
 убрано и не ослаблено.
+
+## Известное ложное срабатывание: литерал `"\n"` читается как имя теста
+
+**Цена записи, названная вслух.** `checkwash` принимает строковый литерал `"\n"` за ИМЯ
+тестового юнита. Файл, где таких литералов два и больше, при ЛЮБОМ сдвиге строк получает
+`TEST_DISABLED — test unit disappeared` уровня **high** — даже если тронут один комментарий и
+ни одно утверждение не изменено.
+
+Воспроизведение, шесть строк (проверено 2026-09-16 на 0.2.13 и 0.3.4 — в обеих одинаково):
+
+```js
+import test from "node:test";
+test("единственный", (t) => {
+  const a = "x\ny".split("\n").slice(-1).join("\n");
+  const b = "p\nq".split("\n").slice(-1).join("\n");
+  t.assert.ok(a && b);
+});
+```
+
+Коммит «before» с этим файлом, коммит «after» с добавленной строкой комментария — и
+`checkwash check HEAD~1..HEAD` даёт `verdict: block`, `unit: "\n"`.
+
+`split("\n")` — обычнейшая конструкция в тестах, работающих с выводом команды. Мы наступили на
+это на собственном `tool/selfcheck/smoke/verdict.test.mjs`: гейт покраснел на добавленном
+комментарии. У себя обошли устранением настоящего повтора (хвост вывода вынесен в функцию
+фикстуры), но **это обход, а не лечение**: чинить может только автор инструмента.
+
+**Что это значит для того, кто ставит запись.** Приговор `TEST_DISABLED` на файле, где
+утверждения не менялись, стоит перепроверить глазами: посмотрите, есть ли в нём литералы
+`"\n"` и совпадает ли имя «исчезнувшего юнита» с настоящим именем теста. Имя вида `\n` — признак
+этого дефекта, а не подгонки теста. Остальные двадцать детекторов инструмента он не затрагивает.

package/llms.txt

@@ -1,11 +1,15 @@
 # AQK — Agent Quality Kit
 
-> A standard and a CLI that check whether a repository is ready to have its code written by AI
-> coding agents. Every rule the project promises to follow becomes a command with an exit code,
-> so a machine holds the promise instead of somebody's attention. Reports a level from AQK-0 to
-> AQK-3, computed by a run — never by a questionnaire and never by a model's opinion. One step
-> further than readiness scores: `probe` plants a known defect into a copy of the project and
-> checks whether the DECLARED guards go red. "Tests exist" and "tests catch" are different claims.
+> A CLI that answers one question: can the checks this repository declares actually fail? A check
+> that cannot fail looks exactly like a check that passes — `|| true`, `continue-on-error`, a
+> linter aimed at an empty directory, a test with no assertion, a hook nobody installed. AQK plants
+> a known defect into a COPY of the project and reports which declared guard noticed and which
+> stayed silent. It distinguishes three outcomes and never collapses them into two: clean ·
+> finding · COULD NOT CHECK. The third means the check itself failed; treating it as either of the
+> others is how a repository ends up protected by checks that cannot go red. Every rule the project
+> promises becomes a command with an exit code, so a machine holds the promise instead of somebody's
+> attention. Levels AQK-0..3 measure equipment, not quality, and are computed by a run — never by a
+> questionnaire and never by a model's opinion.
 
 Vendor-neutral: works with any coding agent (Claude Code, Codex, Cursor, Gemini CLI, GitHub
 Copilot, Windsurf, Aider, OpenCode) and with no AI at all. It calls no vendor API and needs no
@@ -50,6 +54,18 @@ Zero runtime dependencies. Node 18+ and an `sh` shell. MIT.
   ground rules on top, at most five items by weight (red gates, defects the probe planted and no
   check caught, the project's own checks to declare, rules Claude Code cannot see, catalog
   entries to propose), and for every item the command that proves it done. Nothing is run
+- Send the author one answer — the only payment the kit asks: `npx agent-quality-kit feedback`
+  prints a short report built from the last run and the probe (version, level, stack, what went
+  red, what it COULD NOT CHECK, which defect classes nothing here catches) with **no paths, no
+  code and no repository name**, plus a prefilled link. `feedback --send "your words"` posts it in
+  one command using the human's own `gh` account, as a comment in an open discussion. **Without
+  the flag nothing ever leaves the machine**, and a machine holds that claim, not this sentence.
+  An agent must show the text and ask before adding the flag
+- Install it into Claude Code as a plugin, from the kit's own marketplace, with nobody's approval
+  to wait for: `/plugin marketplace add arsen-ask-lx/Agent_Quality_Kit` then
+  `/plugin install aqk@agent-quality-kit`. The session-start hook puts the repository state into
+  the agent's context before its first action; two skills cover "can these checks fail" and "what
+  to fix first". A thin wrapper over the same CLI — no logic of its own
 - Check that the kit's own wiring is actually connected: `npx agent-quality-kit vitals` — are the
   tools the declared gates need installed, is the hook present in `.git/hooks` (a line in the
   config is an intention, not a guard), does the agent receive the state, is the version current.
@@ -76,7 +92,7 @@ Zero runtime dependencies. Node 18+ and an `sh` shell. MIT.
   the files `init` writes are owned by root, so you cannot edit your own manifest. Debian-based
   on purpose: the gates are `sh`, `grep`, `awk`, `find` — under alpine's busybox they behave
   differently, and an image where the gates behave differently is worse than no image
-- As a GitHub Action: `uses: arsen-ask-lx/Agent_Quality_Kit@v0.15.0` with `min: 1`
+- As a GitHub Action: `uses: arsen-ask-lx/Agent_Quality_Kit@v0.16.0` with `min: 1`
   (https://github.com/marketplace/actions/agent-quality-kit-aqk)
 
 ## What makes it different
@@ -95,6 +111,9 @@ Zero runtime dependencies. Node 18+ and an `sh` shell. MIT.
 - `.aqk.yml` — the manifest: entry, rules, docs, lang, gates as commands, covers (what a
   declared gate already holds, so it is not reported as debt), samples, ratchets, lessons
 - `.aqkignore` — paths the scanning checks must not read (brought-in code, vendored, generated)
+- `.aqk/last-run.md` — the short report of the last run, with three marks and not two: `✔` clean,
+  `✘` a finding, `?` COULD NOT CHECK. Readers (the context block, the task list, the feedback
+  report) must never collapse the third into either of the others
 
 ## Documentation
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "agent-quality-kit",
-  "version": "0.15.0",
+  "version": "0.16.0",
   "description": "Turns the rules an agent is supposed to follow into commands with exit codes, and reports which of them actually run. Zero dependencies.",
   "type": "module",
   "bin": {

package/tool/commands/context.mjs

@@ -257,7 +257,9 @@ async function readAdvice(man, probe) {
   const facts = await detectFacts(man);
   const catalog = await readCatalog();
   const { todo } = catalogBuckets(catalog, facts, coversOf(man).covered);
-  const adopt = declaredGates(man).length ? [] : proposeGates(await readAdoptFiles(CWD));
+  // Чужие проверки — и тогда, когда гейты уже объявлены: отсев идёт по КОМАНДЕ внутри
+  // `proposeGates`, а не по факту «манифест не пуст» (замер 2026-09-16, см. doctor-catalog).
+  const adopt = proposeGates(await readAdoptFiles(CWD), declaredGates(man).map(([, cmd]) => cmd));
   const blind = (probe?.classes || [])
     .filter((b) => !facts.gateKeys.includes(b.slug))
     .map((b) => ({ ...b, command: blindAdvice(catalog.find((r) => r.slug === b.slug), facts, {}).command }));

package/tool/commands/doctor-catalog.mjs

@@ -18,6 +18,34 @@ import { L } from "../i18n/index.mjs";
 
 // Обязательный минимум проекта — прогоном, а не по памяти. До сих пор это было единственное
 // место, где комплект просил верить на слово, что человек прочитал методичку и сверился.
+// ЧТО У ПРОЕКТА УЖЕ ЕСТЬ — отдельной функцией, а не ветками внутри вывода: выбор причины из
+// трёх плюс перебор плюс два условия давали вложенность 6 при пределе 5, и наш же гейт это
+// поймал. Печать — единственное, что здесь происходит; решение принято в `adopt.mjs`.
+function weakSay(weak) {
+  return weak.kind === "off" ? L.doctor.weakOff(weak.text)
+    : weak.kind === "zero" ? L.doctor.weakZero()
+    : L.doctor.weakStub(weak.text);
+}
+
+function printAdopted(found) {
+  if (!found.length) return;
+  console.log(`\n  ${c.bold(L.doctor.haveAlready(found.length))}`);
+  for (const g of found) {
+    // ВЫКЛЮЧЕННАЯ ПРОВЕРКА — ЭТО НАХОДКА, а не «посмотреть не смогли»: мы прочитали тело
+    // скрипта и знаем ответ. Поэтому крест, а не вопрос, и причина названа дословно — человек
+    // не поверит обвинению без строки, которую может найти у себя глазами.
+    console.log(`  ${g.weak ? c.red("✘") : c.green("✔")}  ${g.name.padEnd(12)} ${c.dim(`${g.cmd}   ← ${g.source}`)}`);
+    if (g.weak) console.log(`     ${c.red(weakSay(g.weak))}`);
+  }
+  // «Впишите в манифест» — ТОЛЬКО про рабочие. Строкой выше сказано, что слабую объявлять
+  // нельзя; предложить её тут же — это совет, противоречащий собственному предостережению,
+  // и человек послушает тот, что ближе к строке с командой.
+  const weak = found.filter((g) => g.weak).length;
+  const ok = found.filter((g) => !g.weak);
+  if (weak) console.log(c.dim(`     ${L.doctor.weakHow(weak)}`));
+  if (ok.length) console.log(c.dim(`     ${L.doctor.haveAlreadyHow(ok.map((g) => `${g.name}: "${g.cmd}"`).join("  "))}`));
+}
+
 async function reportBaseline(man, facts) {
   const { readdir, readFile } = await import("node:fs/promises");
   let files = [];
@@ -77,16 +105,13 @@ async function reportCatalog(man, facts, probe = null, verbose = true) {
   // только СВОИ записи, а чужие проверки не читали вовсе. С точки зрения владельца это
   // неправда, и первое, что он видел, было обвинением. Предлагаем, а не вписываем: гейт в
   // чужом манифесте без спроса — наше решение в чужом файле.
-  if (!declaredGates(man).length) {
-    const found = proposeGates(await readAdoptFiles(CWD));
-    if (found.length) {
-      console.log(`\n  ${c.bold(L.doctor.haveAlready(found.length))}`);
-      for (const g of found) {
-        console.log(`  ${c.green("✔")}  ${g.name.padEnd(12)} ${c.dim(`${g.cmd}   ← ${g.source}`)}`);
-      }
-      console.log(c.dim(`     ${L.doctor.haveAlreadyHow(found.map((g) => `${g.name}: "${g.cmd}"`).join("  "))}`));
-    }
-  }
+  //
+  // ПОКАЗЫВАЕТСЯ И ТОГДА, КОГДА ГЕЙТЫ ОБЪЯВЛЕНЫ. Прежде здесь стояло `!declaredGates(man).length`:
+  // чужие проверки читались только у того, у кого гейтов нет вовсе. Замер 2026-09-16 по двенадцати
+  // репозиториям: у шести зрелых блок исчезал целиком, стоило объявить ОДИН гейт, и итог говорил
+  // «держит машина 0» проекту с настоящим pre-commit и Makefile. Чем больше человек настроил, тем
+  // меньше мы о нём знали. Повтора не будет: уже объявленную команду `proposeGates` отсеивает сам.
+  printAdopted(proposeGates(await readAdoptFiles(CWD), declaredGates(man).map(([, cmd]) => cmd)));
 
   // ЧТО ВАШИ ПРОВЕРКИ ПРОПУСТИЛИ. Проба знала имена непойманных классов и писала в отметку одно
   // число; человек в `doctor` не видел ничего. Это самое конкретное, что мы знаем о проекте, —