aiterm-mcp 0.45.1 → 0.45.2

package/CHANGELOG.md

@@ -7,6 +7,14 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.45.2] - 2026-10-01
+
+### 修正
+
+- WindowsのSteer設定を再実行すると、PowerShellのSet-Aclが監査ACLの権限まで要求し、Network Serviceで失敗していた。所有者とDACLの変更だけを.NETのAPIへ渡し、再実行時も追加権限を要求しない。
+- macOSのAqua外でmodel照会のCLIが応答前にエラー終了すると、標準入力を保持する処理が終了を認識せずtimeoutしていた。CLIの終了で入力保持も終え、元の終了コードとstderrを返す。
+- macOSの長いTMPDIRで`remote`呼び出しが`REMOTE_CONNECT_FAILED`（`ControlPath too long`）となっていた。POSIXのSSH共有ソケットを短い`/tmp`の専用領域へ置き、OpenSSHの作成時suffixまで含めて98 bytesに収める。state rootごとの分離、process間の接続共有と`ControlPersist=600`によるcleanupを保つ。共有領域の所有者・権限・種類が不正なら`REMOTE_CONTROL_DIR_INVALID`で止め、既存領域を変更しない。公開APIとstate schemaは変わらず、旧版への巻き戻しは通常のnpm installとMCP client再起動で行える。
+
 ## [0.45.1] - 2026-10-01
 
 ### 修正
@@ -1944,7 +1952,8 @@ prototype (preserved under `prototype/python/` as the porting source and referen
   `ubuntu-latest` for Node 18/20/22, publishing to npm on `v*` tags with
   provenance.
 
-[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.45.1...HEAD
+[Unreleased]: https://github.com/kitepon/aiterm-mcp/compare/v0.45.2...HEAD
+[0.45.2]: https://github.com/kitepon/aiterm-mcp/compare/v0.45.1...v0.45.2
 [0.45.1]: https://github.com/kitepon/aiterm-mcp/compare/v0.45.0...v0.45.1
 [0.45.0]: https://github.com/kitepon/aiterm-mcp/compare/v0.44.1...v0.45.0
 [0.44.1]: https://github.com/kitepon/aiterm-mcp/compare/v0.44.0...v0.44.1

package/README.ja.md

@@ -203,7 +203,7 @@ runtime-error store は canonical dotagents config の `collection.enabled: true
 場合だけ収集し、既定OFF、network送信は行いません。tag起点CIのnpm provenance（OIDC Trusted
 Publishing）で公開し、GitHub Release が Official MCP Registry を再登録します。
 
-**状態:** 開発継続中 · 現行公開版 **v0.45.1** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
+**状態:** 開発継続中 · 現行公開版 **v0.45.2** · 動作対象は Linux · WSL2 · macOS · Windows ネイティブ · MIT · [変更履歴](CHANGELOG.md)。
 
 ### 更新と巻き戻し
 
@@ -620,6 +620,7 @@ agent_launch({ "harness": "codex-cli", "remote": { "host": "rabbit" }, "cwd": "/
 - 以後の`pty_send`、`pty_read`、`pty_close`、`pty_observe`などにも同じ`remote`を付ける。session名は現地のもので、この端末の同名sessionとは別に扱う。
 - Codex／Claude Code／Cursor親には、この端末の子と同じく回答本文が自動で届く。完了は`ssh <host> aiterm-wait`で観測し、SSHが切れても同じcursorでつなぎ直す。それ以外の親には、sshを使う`wait_process`を返す。
 - 同じ接続先への呼び出しはControlMasterで1本のSSHに相乗りする。`remote`付きの`image`添付と`claude_turn issue`は未対応。
+- POSIXのSSH共有ソケットは長いTMPDIRでも動く短い専用領域に置く。state rootごとに分離し、無通信600秒後の接続終了とソケット削除はOpenSSHが行う。
 
 ### トークン削減
 

package/README.md

@@ -217,7 +217,7 @@ collection is off by default and performs no network I/O. It ships via
 tag-triggered CI with npm provenance (OIDC Trusted Publishing); the GitHub
 Release re-registers the Official MCP Registry entry.
 
-**Status:** actively maintained · current public release **v0.45.1** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
+**Status:** actively maintained · current public release **v0.45.2** · runs on Linux · WSL2 · macOS · native Windows (tmux on POSIX, the tmux-CLI-compatible [psmux](https://github.com/psmux/psmux) on native Windows — no WSL required) · MIT · see the [CHANGELOG](CHANGELOG.md).
 
 ### Update and rollback
 
@@ -666,6 +666,7 @@ agent_launch({ "harness": "codex-cli", "remote": { "host": "rabbit" }, "cwd": "/
 - Pass the same `remote` to later `pty_send`, `pty_read`, `pty_close`, `pty_observe`, and so on. Session names belong to the remote machine and never collide with local sessions of the same name.
 - Codex, Claude Code, and Cursor parents receive the answer automatically, as with a local child. Completion is observed with `ssh <host> aiterm-wait`, reconnecting at the same cursor if SSH drops. Other parents get an ssh-based `wait_process`.
 - Calls to the same destination share one SSH connection through ControlMaster. `image` attachments and `claude_turn issue` are not yet supported with `remote`.
+- POSIX SSH control sockets use a short private directory even with a long TMPDIR. Connections stay isolated by state root; OpenSSH closes idle masters and removes their sockets after 600 seconds.
 
 ### Token reduction
 

package/dist/remote.js

@@ -9,7 +9,8 @@ import { z } from "zod";
 import { Client } from "@modelcontextprotocol/sdk/client/index.js";
 import { StdioClientTransport } from "@modelcontextprotocol/sdk/client/stdio.js";
 import { AitermError, observeAgentDone, readAgentTranscriptResult, windowsStartProcessArgumentList } from "./core.js";
-import { ensureStateRoot } from "./agent-shared.js";
+import { ensureStateRoot, stateRoot } from "./agent-shared.js";
+import { currentUid } from "./state-root.js";
 const pkg = createRequire(import.meta.url)("../package.json");
 // ssh_configの接続名、DNS名、IPv4/IPv6。先頭の`-`はsshのoptionとして解釈されるため受け付けない。
 const hostPattern = /^(?!-)[A-Za-z0-9._%:\[\]-]{1,255}$/;
@@ -51,6 +52,19 @@ function remoteDir() {
     fs.mkdirSync(dir, { recursive: true, mode: 0o700 });
     return dir;
 }
+function controlPath() {
+    // TMPDIRやXDG_RUNTIME_DIRは長くなり得る。%Cの40字とOpenSSHの一時suffix（17字）を含めても
+    // macOSの104 byte制限に収まる短い領域へ、state rootごとに共有ソケットだけを置く。
+    const namespace = createHash("sha256").update(stateRoot()).digest("hex").slice(0, 20);
+    const dir = path.join("/tmp", `aiterm-ssh-${namespace}`);
+    fs.mkdirSync(dir, { recursive: true, mode: 0o700 });
+    // 共有/tmpに先に作られた他者の領域やsymlinkを使わず、既存領域の権限も変更しない。
+    const stat = fs.lstatSync(dir);
+    if (!stat.isDirectory() || stat.uid !== currentUid() || (stat.mode & 0o777) !== 0o700) {
+        throw new AitermError("REMOTE_CONTROL_DIR_INVALID: SSH共有ソケットの領域が自分所有の0700ディレクトリではありません", 2);
+    }
+    return path.join(dir, "cm-%C");
+}
 function askpassScript() {
     const file = path.join(remoteDir(), "askpass.sh");
     const body = "#!/bin/sh\nprintf '%s\\n' \"$AITERM_SSH_PASSPHRASE\"\n";
@@ -78,7 +92,7 @@ export function sshInvocation(target, remoteCommand, options = {}) {
     const args = ["-T", "-o", "ConnectTimeout=15", "-o", "ServerAliveInterval=15", "-o", "ServerAliveCountMax=4"];
     // 同じ接続先への後続呼び出しと完了待ちを一本のSSHに相乗りさせる。Windows版OpenSSHはControlMaster非対応。
     if (process.platform !== "win32") {
-        args.push("-o", "ControlMaster=auto", "-o", `ControlPath=${path.join(remoteDir(), "cm-%C")}`, "-o", "ControlPersist=600");
+        args.push("-o", "ControlMaster=auto", "-o", `ControlPath=${controlPath()}`, "-o", "ControlPersist=600");
     }
     const passphrase = options.passphrase === false ? null : passphraseFor(target);
     if (passphrase) {

package/dist/tmux-runtime.js

@@ -225,7 +225,8 @@ function runInMacGui(argv, env, cwd, timeoutMs, timeoutMessage, input, until) {
             fs.writeFileSync(inputFile, input, { mode: 0o600 });
             argv = until === undefined
                 ? ["/bin/sh", "-c", 'f=$1; shift; exec "$@" <"$f"', "aiterm-gui-input", inputFile, ...argv]
-                : ["/bin/sh", "-c", 'f=$1; m=$2; o=$3; shift 3; { cat "$f"; until grep -qF -- "$m" "$o" 2>/dev/null; do sleep 0.05; done; } | "$@"',
+                // CLIが応答前に終了した場合も入力の保持を終え、pipeline全体がCLIの終了コードを返す。
+                : ["/bin/sh", "-c", 'f=$1; m=$2; o=$3; shift 3; { cat "$f"; while [ ! -e "$f.done" ] && ! grep -qF -- "$m" "$o" 2>/dev/null; do sleep 0.05; done; } | { "$@"; r=$?; touch "$f.done"; exit "$r"; }',
                     "aiterm-gui-input", inputFile, until, path.join(dir, "out"), ...argv];
         }
         fs.writeFileSync(plist, macGuiTmuxPlist(label, dir, argv, env, cwd));

package/dist/windows-codex-state.js

@@ -32,7 +32,8 @@ $acl.SetOwner($sid)
 $acl.SetAccessRuleProtection($true, $false)
 $rule = [System.Security.AccessControl.FileSystemAccessRule]::new($sid, 'FullControl', '${directory ? "ContainerInherit, ObjectInherit" : "None"}', 'None', 'Allow')
 $acl.AddAccessRule($rule)
-Set-Acl -LiteralPath $target -AclObject $acl
+# Set-Aclは再実行時にSACL更新の権限まで要求する。所有者とDACLの変更だけを.NETへ渡す。
+[System.IO.FileSystemAclExtensions]::SetAccessControl([System.IO.${directory ? "DirectoryInfo" : "FileInfo"}]::new($target), $acl)
 $actual = Get-Acl -LiteralPath $target
 if ($actual.GetOwner([System.Security.Principal.SecurityIdentifier]).Value -ne $sid.Value -or !$actual.AreAccessRulesProtected) { throw 'ACLの適用を確認できません' }
 `);

package/docs/DESIGN.md

@@ -120,6 +120,8 @@ macOSの専用LaunchAgent、Windowsのユーザー環境変数、所有外の値
 `ready`は公式APIによるhook登録・承認の読戻しと、更新前processの終了を確認した状態である。
 Codexの通常起動はAitermのNode、module、socketに依存しない。
 Windowsでは公式Desktopが展開した実行ファイルを照合して配送用の公式APIへ接続する。Desktop更新後はsetupで再検出する。
+WindowsのSteer領域は所有者とDACLだけを.NETのFileSystemAclExtensionsで更新する。監査ACLは変更せず、
+再実行にSeSecurityPrivilegeを要求しない。所有者の照合と更新後の読戻しは維持する。
 LinuxのSteer選択はunsupportedとし、単品のキュー配送は全対応OSで維持する。
 
 `parent_delivery`は配送IDと状態を返し、自動配送時の`wait_process`／`wait_command`はnullとなる。
@@ -211,6 +213,12 @@ WindowsはユーザーのPATHで`aiterm-mcp`と`aiterm-wait`をそのまま呼
 `SSH_ASKPASS`でsshへ渡す。受け取っていない時は`BatchMode`で止め、端末での対話入力はしない。
 同じ接続先への呼び出しはControlMasterで1本のSSHに相乗りする。
 
+POSIXの共有ソケットは`/tmp/aiterm-ssh-<state rootのSHA-256先頭20桁>/cm-%C`に置く。
+TMPDIRやXDG_RUNTIME_DIRが長くても、OpenSSHが作成時に付ける17字のsuffix込みで98 bytesとなり、
+macOSの104 bytes制限に収まる。state rootごとの分離とprocess間の共有を維持し、askpassと配送記録の場所は変えない。
+共有`/tmp`の既存領域は、自分所有の0700ディレクトリだけを使い、それ以外は`REMOTE_CONTROL_DIR_INVALID`で止める。
+ソケットの寿命と削除は従来どおりOpenSSHの`ControlPersist=600`が所有する。判断はADR 0076。
+
 自動配送は`ParentDeliveryManager`を別インスタンスで使い、記録を`remote-`付きの保存場所へ分ける。
 旧版のreaderは`boundary.remote`を知らないため、同じ保存場所に置くと旧processの照会が壊れる。
 子の予約と照会の単位は`deliveryKey`で、接続先のhashを前置きして、この端末の同名sessionと衝突させない。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "aiterm-mcp",
-  "version": "0.45.1",
+  "version": "0.45.2",
   "mcpName": "io.github.kitepon/aiterm-mcp",
   "description": "Persistent terminal MCP with one harness-based launcher for Claude Code, Codex CLI, Grok CLI, and Cursor Agent CLI, plus durable PTYs for SSH, containers, and REPLs.",
   "keywords": [