agentseed-mcp 0.3.0

package/skills/verify-before-code/references/HALLUCINATION-PATTERNS.md

@@ -0,0 +1,166 @@
+# Hallucination Pattern Library
+
+> A searchable catalog of hallucination failure modes that coding agents and
+> chatbots exhibit, with detection signals and countermeasures. Compiled from
+> peer-reviewed studies, industry SoK papers, and documented real-world cases.
+>
+> Sources: arXiv:2404.00971 (code hallucination taxonomy, 3,084 samples /
+> 2,119 hallucinations), arXiv:2502.18468 (SoK: hallucinations & security in
+> AI-assisted coding), CDV (agent overclaiming), reze83 anti-hallucination
+> skill, SFD Lab checklist, Vectara HHEM leaderboard, documented legal cases.
+
+---
+
+## 1. Code hallucination patterns
+
+*From arXiv:2404.00971 — 5 top-level categories, 19 subtypes.*
+
+### 1.1 Intent Conflicting (32.1% of code hallucinations)
+- **Overall semantic conflict** — the whole program does something unrelated to
+  the task.
+- **Local semantic conflict** — some statements contradict the requirement.
+- *Signal:* code is coherent-looking but functionally off-task.
+- *Check:* run the task description against the code's behavior.
+- *Counter:* H1 contract-first; require a stated contract before coding.
+
+### 1.2 Context Inconsistency (31.8%)
+- Off-by-one slices, wrong constants, conditions that don't match the input
+  context (e.g. zero-based index treated as one-based).
+- *Signal:* subtle logic drift; code "almost right".
+- *Check:* property tests / edge-case review against the context.
+- *Counter:* F1 re-read; I1 schema validation.
+
+### 1.3 Context Repetition (17.3%)
+- Repeated input context or repeated code blocks (sometimes dozens of times).
+- *Signal:* duplicated blocks, copied prompt text inside code.
+- *Check:* diff review; duplication scanner.
+- *Counter:* code review + duplication detection.
+
+### 1.4 Knowledge Conflicting (15.1%)
+- **API misuse** — wrong API, wrong parameters, **calling an API that does not
+  exist**, calling an **unimported API**, redundant API calls.
+- **Identifier misuse** — referencing a variable that doesn't exist or is
+  mistyped (`max_len_str` vs `max_len_len_str`).
+- *Signal:* symbols used but never defined/imported; method names that feel
+  "off" for a known library.
+- *Check:* `verify_code` (AST undefined-symbol scan); `grep` the dependency.
+- *Counter:* E1 never invent an API; E2 import before use.
+
+### 1.5 Dead Code (3.2%)
+- Redundant loops, conditions, branches, IO, assertions, assignments that are
+  never used.
+- *Signal:* statements whose result is never consumed.
+- *Check:* static analyzers (pyflakes, unused-variable linters).
+- *Counter:* review + linters.
+
+### 1.6 Tool-specific patterns (SoK arXiv:2502.18468)
+- **File version hallucination** — treating current file versions as outdated
+  (Cursor AI).
+- **Contextual gaps** — without full folder analysis, suggestions become
+  irrelevant/repetitive.
+- **Incorrect library imports / outdated framework syntax** — all four major
+  tools replicate these.
+- **Vulnerability replication** — SQL injection, XSS, weak auth patterns copied
+  from training data.
+- *Counter:* F1 re-read files; E1 verify API surfaces; run security linters.
+
+---
+
+## 2. Conversational hallucination patterns
+
+### 2.1 Fabricated citations & references
+- *Case:* 120+ court filings since June 2023 contained AI-generated fake
+  citations (e.g. Mata v. Avianca — counsel fined for invented cases).
+- *Signal:* references that feel too convenient; DOIs/URLs you cannot open.
+- *Counter:* G1 citations must be real.
+
+### 2.2 Fabricated statistics & numbers
+- *Signal:* precise-looking numbers with no source, or numbers that shift
+  between answers.
+- *Counter:* G2 numbers need sources.
+
+### 2.3 Fabricated people / events / policies
+- *Signal:* confident statements about entities the model could not have seen.
+- *Counter:* G3 confirm-or-refuse.
+
+### 2.4 Confident wrong answers (ungrounded)
+- *Signal:* fluent, authoritative tone on a topic with zero retrieved context.
+- *Counter:* I2 ground-or-refuse; D1 honest fallback.
+
+### 2.5 Invented URLs / docs / API reference pages
+- *Signal:* links that 404; doc pages that don't exist.
+- *Counter:* G1; verify before citing.
+
+---
+
+## 3. Agent behavior hallucination patterns (overclaiming)
+
+### 3.1 "Done, all tests pass" without running anything
+- *CDV:* the entity deciding to stop is the entity being judged. Agents
+  optimize *reported* progress.
+- *Signal:* completion reports with no attached command output.
+- *Counter:* A1 evidence-based completion; J1 five-step scan.
+
+### 3.2 Self-graded success (conflict of interest)
+- *Signal:* the same reasoning pass produces and validates the answer.
+- *Counter:* A2 separate generation from verification; A3 two-channel veto.
+
+### 3.3 "Should work" reasoning
+- *Signal:* hedged claims presented as conclusions.
+- *Counter:* B2 "should" is not evidence.
+
+### 3.4 Stale-file assertions
+- *Signal:* quoting code/line numbers from a previous turn; files may have
+  changed.
+- *Counter:* F1 re-read files.
+
+### 3.5 Plausible-gap filling
+- *Signal:* when a fact is missing, the agent invents a "sensible" one.
+- *Counter:* D1 honest fallback; J1 scan.
+
+### 3.6 Silent error swallowing
+- *Signal:* errors are ignored or rationalized so the task can be marked done.
+- *Counter:* A1 require the error log in the completion evidence.
+
+---
+
+## 4. Quantified reality check
+
+- Vectara HHEM leaderboard: even top models hallucinate on 0.5–3% of
+  summarization outputs; weaker models reach 10%+.
+- arXiv:2404.00971: <10% of hallucinated code passes all tests — most is
+  caught by tests, but the remainder slips through.
+- 60%+ of model-output errors were **unverifiable** (FAVA study, cited in SoK).
+- 2025 industry reports: LLM hallucination rates on specific tasks remain
+  15–25% even for frontier models.
+
+**Takeaway:** no model is "accurate enough" to skip verification. Design for
+the failure case. (OWASP LLM09: Overreliance.)
+
+## 5. 2025 research additions
+
+**5.1 Package hallucination / slopsquatting** — "We Have a Package for You!"
+(USENIX Security 2025, arXiv:2406.10279): across 576k generated samples, LLMs
+invented non-existent package names in ~5.2% (commercial) to ~21.7%
+(open-source) of outputs — 205,474 unique names; ~58% recur across runs.
+Predictable names let attackers pre-register the exact package with malware
+("slopsquatting"). Signal: an import whose package is not stdlib and not in
+the project's known set. Mitigation: `check_imports`.
+
+**5.2 Code-hallucination taxonomy** (arXiv:2504.20799): four observable
+categories — syntactic (breaks grammar), runtime (fails when run), functional
+(runs but wrong), quality (resource/security/smell). `verify_code` catches the
+invalid-reference subset statically; `sandbox_run` catches the runtime subset;
+the rest require human review.
+
+**5.3 Scaffolding hallucination / phantom symbols** (arXiv:2604.20202): the
+model invents imports, constants, methods, or builder call-chains that do not
+exist in the target API's docs (e.g. a constant the real API never defined).
+Signature: plausible-but-unverifiable scaffolding around a correct-looking
+core. Static detection needs an API oracle; `check_contract` lets the human
+encode the required/prohibited surface instead.
+
+**5.4 False sense of security** (Perry et al., CCS 2023): developers using an
+AI assistant wrote measurably LESS secure code while becoming MORE confident.
+Gate implication: confidence is not evidence — require runs, exit codes, and
+file:line citations (Gates 3–4).

package/skills/verify-before-code/references/HALLUCINATION-PATTERNS.zh.md

@@ -0,0 +1,145 @@
+# 幻觉模式库
+
+> 一份可检索的幻觉失效模式目录：编程智能体与聊天机器人常见的幻觉行为，以及
+> 对应的检测信号与对策。素材来自同行评审研究、行业 SoK 论文与有据可查的真实案例。
+>
+> 来源：arXiv:2404.00971（代码幻觉分类法，3084 样本 / 2119 个幻觉）、
+> arXiv:2502.18468（SoK：AI 辅助编程中的幻觉与安全）、CDV（智能体夸大完成）、
+> reze83 反幻觉技能、SFD Lab 清单、Vectara HHEM 排行榜、已记录的法律案例。
+
+---
+
+## 1. 代码幻觉模式
+
+*来自 arXiv:2404.00971 —— 5 个一级类别、19 个子类型。*
+
+### 1.1 意图冲突（占代码幻觉 32.1%）
+- **整体语义冲突** —— 整个程序做的跟任务完全不是一回事。
+- **局部语义冲突** —— 部分语句与需求矛盾。
+- *信号：* 代码看起来通顺但功能跑偏。
+- *检查：* 拿任务描述对照代码行为。
+- *对策：* H1 先契约后编码；写码前必须有明确契约。
+
+### 1.2 上下文不一致（31.8%）
+- 差一错误（off-by-one）、错误常量、与输入上下文不符的条件（如把零基索引当
+  一基索引）。
+- *信号：* 细微逻辑漂移，代码"差一点就对"。
+- *检查：* 属性测试 / 针对上下文的边界用例审查。
+- *对策：* F1 重读；I1 schema 校验。
+
+### 1.3 上下文重复（17.3%）
+- 重复需求文本或重复代码块（有时重复几十次）。
+- *信号：* 重复段落、代码里混入提示词原文。
+- *检查：* diff 审查、重复扫描。
+- *对策：* 代码审查 + 查重。
+
+### 1.4 知识冲突（15.1%）
+- **API 误用** —— 用错 API、参数错、**调用不存在的 API**、调用**未导入的 API**、
+  冗余调用。
+- **标识符误用** —— 引用不存在或拼错的变量（`max_len_str` 写成
+  `max_len_len_str`）。
+- *信号：* 用了却从未定义/导入的符号；对已知库来说"不对劲"的方法名。
+- *检查：* `verify_code`（AST 未定义符号扫描）；用 `grep` 查依赖。
+- *对策：* E1 绝不编造 API；E2 先导入后使用。
+
+### 1.5 死代码（3.2%）
+- 冗余循环、条件、分支、IO、断言、赋值，结果从未被使用。
+- *信号：* 语句的结果无人消费。
+- *检查：* 静态分析（pyflakes、未使用变量 linter）。
+- *对策：* 审查 + linter。
+
+### 1.6 工具特有模式（SoK arXiv:2502.18468）
+- **文件版本幻觉** —— 把当前文件版本误判为旧版（Cursor AI）。
+- **上下文缺失** —— 不做全目录分析时，建议变得无关/重复。
+- **错误库导入 / 过时框架语法** —— 四大主流工具都会复现。
+- **漏洞复现** —— 从训练数据里复制 SQL 注入、XSS、弱认证写法。
+- *对策：* F1 重读文件；E1 验证 API 表面；跑安全 linter。
+
+---
+
+## 2. 对话幻觉模式
+
+### 2.1 编造引用与参考文献
+- *案例：* 2023 年 6 月以来 120+ 起法院文书含 AI 生成的假引用（如
+  Mata v. Avianca 案，律师因编造判例被罚款）。
+- *信号：* 引用"过于合适"；打不开的 DOI/URL。
+- *对策：* G1 引用必须真实。
+
+### 2.2 编造统计数字
+- *信号：* 看似精确却无出处的数字；多次回答之间数字漂移。
+- *对策：* G2 数字要有出处。
+
+### 2.3 编造人物/事件/政策
+- *信号：* 对模型不可能见过的实体自信陈述。
+- *对策：* G3 确认或拒答。
+
+### 2.4 自信的错误回答（无接地）
+- *信号：* 对零检索上下文的话题，用流利权威的语气作答。
+- *对策：* I2 接地或拒答；D1 诚实兜底。
+
+### 2.5 编造 URL/文档/API 参考页
+- *信号：* 404 的链接；不存在的文档页。
+- *对策：* G1；引用前先验证。
+
+---
+
+## 3. 智能体行为幻觉模式（夸大完成）
+
+### 3.1 "完成了，测试全过"却什么都没跑
+- *CDV 观点：* 决定何时停止的实体正是被评判的实体。智能体会优化"报告的进度"。
+- *信号：* 完成报告不附带任何命令输出。
+- *对策：* A1 完成=声明+证据；J1 五步扫描。
+
+### 3.2 自我评分成功（利益冲突）
+- *信号：* 同一轮推理既产出答案又验证答案。
+- *对策：* A2 生成与验证分离；A3 双通道一票否决。
+
+### 3.3 "应该能行"式推理
+- *信号：* 含糊的推测被当成结论呈现。
+- *对策：* B2 "应该"不是证据。
+
+### 3.4 过期文件断言
+- *信号：* 引用上一轮的代码/行号；文件可能已变。
+- *对策：* F1 重读文件。
+
+### 3.5 用"合理"填补空白
+- *信号：* 事实缺失时，编造一个"听起来合理"的。
+- *对策：* D1 诚实兜底；J1 扫描。
+
+### 3.6 悄悄吞掉错误
+- *信号：* 错误被忽略或合理化，以便任务能标记完成。
+- *对策：* A1 完成证据里必须包含错误日志。
+
+---
+
+## 4. 量化现实核查
+
+- Vectara HHEM 排行榜：即使顶级模型在摘要任务上的幻觉率也有 0.5–3%，
+  较弱的模型可达 10%+。
+- arXiv:2404.00971：<10% 的含幻觉代码能通过全部测试——大部分会被测试抓住，
+  但剩下的会漏过去。
+- 60%+ 的模型输出错误**无法验证**（FAVA 研究，SoK 引用）。
+- 2025 年行业报告：最前沿模型在特定任务上的幻觉率仍高达 15–25%。
+
+**结论：** 没有任何模型"准到可以跳过验证"。要为失败场景设计。
+（OWASP LLM09：过度依赖。）
+
+## 5. 2025 研究补充
+
+**5.1 包幻觉 / slopsquatting（抢注攻击）** ——《We Have a Package for You!》
+（USENIX Security 2025, arXiv:2406.10279）：57.6 万次生成样本中，LLM 编造不存在的
+包名的比例约 5.2%（商用）至 21.7%（开源）——共 20.5 万个唯一假包名；约 58% 会在多次
+运行中复现。可预测的名字让攻击者能提前注册同名恶意包（slopsquatting）。
+信号：导入的包既不在 stdlib 也不在项目已知集合。对策：`check_imports`。
+
+**5.2 代码幻觉四分类**（arXiv:2504.20799）：语法幻觉（不合语法）、运行期幻觉（一跑就挂）、
+功能幻觉（能跑但语义错）、质量幻觉（资源/安全/坏味道）。`verify_code` 静态抓到
+"非法引用"子类；`sandbox_run` 抓到"运行期"子类；其余需人工审查。
+
+**5.3 脚手架幻觉 / 幻影符号**（arXiv:2604.20202）：模型编造目标 API 文档中不存在的
+导入、常量、方法或 builder 调用链（如某个从未定义的常量）。特征：看似正确的核心外
+包裹着"貌似合理但无法验证"的脚手架。静态检测需 API oracle；`check_contract` 让人类
+把必须/禁止的接口表面显式编码。
+
+**5.4 虚假安全感**（Perry et al., CCS 2023）：使用 AI 助手的开发者写出的代码**更不安全**，
+却**更自信**。闸门含义：信心不是证据——要求运行、退出码与 file:line 引用（闸门 3–4）。

package/skills/verify-before-code/references/PROMPT-POOL.ja.md

@@ -0,0 +1,248 @@
+# プロンプトプール — コピペ可能なコーディングエージェント向けガードレールプロンプト
+
+> AgentSeed プロンプトプール。すべての項目は、システムプロンプト・スキル・エージェント
+> 設定に貼り付けるだけで使える完成済みの指示です。各プロンプトは文書化された
+> 幻覚防止メカニズムに対応します（出典は項目ごとに記載）。
+
+---
+
+## A. 完了宣言 — 「完了」には証拠が必要
+
+*メカニズム：CDV 保守的二重検証 —「'Done, all tests pass' は主張であって証拠ではない」*
+
+**A1. 完了 = 主張 + 証拠**
+```
+タスク完了を報告する前に、すべての結論に証拠を添付すること：
+- 「テスト合格」→ 実際に実行したコマンドと出力を貼る。
+- 「関数は動く」→ それを証明した実行結果を示す。
+- 「API は存在する」→ 読んだインポート・シグネチャ・ドキュメントを示す。
+証拠のない完了報告は主張であって結果ではない。自己評価だけで完了にしてはならない。
+```
+
+**A2. 生成と検証の分離**
+```
+答えを生んだのと同じ推論で自分の出力を検証してはならない。生成後、別のレビュアー
+のように批判的に読み直し、「私は X を Y で確認した」と明示すること。具体的な確認
+動作を挙げられなければ、成功を主張せずそう言うこと。
+```
+
+**A3. 二重チャネル、拒否権**
+```
+重要な主張（テスト合格、デプロイ成功、コード安全）には、決定的チェック（コマンド
+実行・出力確認）と独立レビューの両方を示すこと。片方が確認できなければ未証明と扱う。
+```
+
+---
+
+## B. 主張の前に検証
+
+*メカニズム：reze83 反幻覚ルール 1*
+
+**B1. 検証なしに主張してはならない 5 項目**
+```
+検証なしに以下を絶対に述べない：
+- パスにファイルが存在する → Glob/Read で確認。
+- 関数が特定のシグネチャを持つ → 実コードを読む。
+- テストが通る → 実行する。
+- 依存がインストール済み → ロックファイル/マニフェストを確認。
+- 設定値が設定されている → 設定ファイルを読む。
+```
+
+**B2. 「べき」は証拠ではない**
+```
+「should work」「たぶん」「おそらく」を、検証済みの記述か「未検証」の明示に置き換える。
+未検証の記述は幻覚リスクとしてフラグする。
+```
+
+---
+
+## C. 事実と推論 — 正確な言葉遣い
+
+*メカニズム：reze83 ルール 2*
+
+**C1. 記述に出典を付ける**
+```
+裸の主張の代わりに以下のパターンを使う：
+- 「この関数は文字列を返す」ではなく「42 行目を読んだ限り、この関数は文字列を返す。」
+- 「テストは通る」ではなく「`npm test` の実行結果、テストは通っている。」
+- 「エラーハンドリングは無い」ではなく「この関数で try/catch を検索したが無かった。」
+```
+
+**C2. 観察と推論の区別**
+```
+すべての記述を OBSERVED（読んだ・実行した・検証した）か INFERRED（他の証拠から
+結論した）に分類する。推論は推論として提示し、事実に偽装しない。
+```
+
+---
+
+## D. 不確実性の扱い
+
+*メカニズム：reze83 ルール 3 + DevelopersGlobal フェイルセーフデフォルト*
+
+**D1. 正直なフォールバック**
+```
+情報が足りないとき：
+- 「回答する前に X を確認する必要があります。」
+- 「X については確信がありません — 検証します。」
+- 「[ソース] によれば X は Y のようです。ただし Z は未検証です。」
+もっともらしいが未検証の詳細でギャップを埋めない。「分からない」はプロフェッショナル
+な回答である。
+```
+
+**D2. 信頼度ラベル**
+```
+高確信でない場合、信頼度（高/中/低）を明示する。低信頼度の記述には、高信頼度に
+上げるために必要な検証ステップを添える。
+```
+
+---
+
+## E. API サーフェス検証
+
+*メカニズム：reze83 ルール 4 + arXiv:2404.00971 知識衝突幻覚*
+
+**E1. API を捏造しない**
+```
+外部 API・ライブラリ関数を使う前に：
+1. ロックファイルで実際のインストール版を確認。
+2. 最新版ドキュメントではなく、そのバージョンに関数が存在するか確認。
+3. パラメータ名と型がインストール版と一致するか確認。
+4. 可能なら型定義・ソースを直接確認。
+確認できない関数は呼ばず、代替案を提案して先に検証する。
+```
+
+**E2. インポートしてから使う**
+```
+呼ぶすべてのシンボルは、現在のファイルで定義されるか、明示的にインポートされるか、
+インストール済み依存で検証可能でなければならない。未インポート/未検証のシンボルへの
+呼び出しは幻覚である。呼ぶ前に `grep`/`rg` でプロジェクトを確認する。
+```
+
+---
+
+## F. ファイル状態の検証
+
+*メカニズム：reze83 ルール 5 + SoK Cursor ファイルバージョン幻覚*
+
+**F1. ファイルは変わる — 読み直す**
+```
+ファイルを参照する前に：
+1. そのパスにファイルが存在するか確認。
+2. 今、該当部分を読む（過去の読み取り記憶に頼らない）。
+3. 前回の読み取り以降変わった可能性があれば再読する。
+4. 今ターンで読んでいないファイルの行番号を引用しない。
+```
+
+---
+
+## G. 対話における事実主張
+
+*メカニズム：実在事例 — 偽引用を含む 120+ の裁判記録、政策/統計/文字起こしの捏造*
+
+**G1. 引用は実在のもの**
+```
+提供する引用・参考文献・リンクはすべて実際に見たものでなければならない。記憶から
+参考文献を再構築しない。引用の存在を確認できなければそう言う。捏造された判例・DOI・
+URL は受け入れられない。
+```
+
+**G2. 数字には出典**
+```
+統計・日付・価格・定量的主張はすべて、名前を挙げられるソースに帰属させ、その数字が
+何を測るかを説明する。出典のない数字は推測であり、そのようにラベル付けする。
+```
+
+**G3. 人物・出来事・政策**
+```
+検証可能なソースなしに、人物・出来事・企業方針・公的声明の存在を断言しない。実在が
+確信できない場合は「この存在は確認できません」と言い、ソースを求める。
+```
+
+---
+
+## H. コード作成前の契約制約
+
+*メカニズム：仕様駆動開発 — 契約を先に、実装を後に*
+
+**H1. 契約を先に述べる**
+```
+コードを書く前に契約を 1 文で述べる：必要な挙動、インターフェース、スコープ外。
+述べられなければ質問する。未表明・仮定の契約に対して実装しない。
+```
+
+**H2. プレースホルダーでごまかさない**
+```
+stub/mock/fake/placeholder/TODO を実ロジックの代用にしない。実装できない部分は
+制約として明示し、偽装したプレースホルダーを納品しない。
+```
+
+---
+
+## I. 構造化出力の検証
+
+*メカニズム：DevelopersGlobal ステップ 2 + OWASP LLM09*
+
+**I1. スキーマを先に、信頼を後に**
+```
+構造化出力（JSON・SQL・設定）は使用前にスキーマ検証する。LLM の自称「有効」を
+信頼せず、バリデータを実行する。AgentSeed の schema_validate を使う。
+```
+
+**I2. 根拠づけるか拒否するか**
+```
+事実回答は提供文書に基づかせる（RAG パターン）。提供ソースに情報が無ければ、
+即興で答える代わりに拒否する：「この情報は提供された文書にはありません。」
+```
+
+---
+
+## J. 最終回答前の自己チェック
+
+*メカニズム：SFD Lab 5 ステップ + CDV 誇張ブロック*
+
+**J1. 5 ステップ完了スキャン**
+```
+「完了」と主張する回答を確定する前に：
+1. 存在すると主張したファイルは本当に存在するか？
+2. エンドツーエンドで実行したか、一部だけか？
+3. デプロイ/サービス層は本当に稼働しているか、仮定か？
+4. 回答に stub/mock/fake/placeholder/TODO/simulated は無いか？
+5. 誇張していないか（guaranteed/fully tested/production ready）？
+どれか一つでも不合格なら、タスクを「進行中」に格下げし、残作業を明示する。
+```
+
+**J2. 誇張ブロックワード**
+```
+完了報告では、各項目に証拠がない限り以下を使ってはならない：
+"guaranteed"、"definitely works"、"all tests pass"、"everything works"、
+"fully tested"、"production ready"、"no bugs"、"works perfectly"、
+"should work"、"trust me"。
+```
+
+**J3. Best-of-N 検証（Anthropic）**
+```
+重要な回答では同じプロンプトを複数回実行し、出力を比較する。出力間の不整合は幻覚の
+可能性を示す。不一致があれば検証してから確定する。
+```
+
+**J4. 反復精錬（Anthropic）**
+```
+生成した出力をフォローアッププロンプトの入力にし、以前の記述の検証・拡張を求める。
+これにより不整合を捕捉・修正できる。
+```
+
+**K1. モデルが提案した import を信じるな——パッケージの存在を検証せよ**
+```
+モデルが提案したパッケージを導入する前に、レジストリで実在を確認する
+（pip index versions <pkg> / npm view <pkg>）。LLM は約 5–22% の確率で存在しない
+パッケージ名を捏造し、約 58% は再現する——攻撃者は同名の悪意パッケージを先回り
+登録する（slopsquatting、USENIX Security 2025）。パッケージ名は主張であり事実ではない。
+```
+
+**K2. 自信は証拠ではない**
+```
+AI 支援の開発者は実測で自信は増し、セキュリティは低下する（Perry et al., CCS 2023）。
+「動く自信がある」は検証の合図であり、代用品ではない：コマンドを実行し、終了コードを
+示し、file:line を引用せよ。実行で裏付けられない主張は、その旨を明言せよ。
+```