claude-spotter 1.4.17 → 1.4.19

package/CHANGELOG.md

@@ -1,5 +1,82 @@
 # Changelog
 
+## 1.4.19
+
+親セッションの暴走を誘発できたHook出力の信頼境界を修正する。監査用AIは内部で構造化判定を返すだけとし、
+その自由文やprovider出力を親モデルへ渡さない。親向け出力はSpotterプログラムが検証済みtool IDから
+決定論的に生成する、採否を親が独立判断できる非命令形の助言へ限定する。
+
+### 変更点
+
+- **共通parent-output projector**: Claude / Codexの両Hookが同じprojectorを使う。tool IDは
+  ASCII grammar、160文字、5件、重複排除、安定sort、助言全体2,000文字の上限を持ち、改行・制御文字・
+  backtick・Markdown・超長大IDを拒否する。監査用AIの`reason` / `raw`はAPI入力に持たない。
+- **非命令形のUserPrompt助言**: `additionalContext`はcatalog照合済みtool IDと固定テンプレートだけから
+  作る。「使え」「補正せよ」「ユーザーへ伝えよ」といった命令や監査用AIの説明文を含めない。
+- **failure分離**: backend codeをallow-list済みの固定状態へ写像し、固定`systemMessage`・固定stderr・
+  構造Hook eventへ出す。backend message、provider stdout / stderr、未知code本文を反射しない。この保証は
+  Hook出力生成までで、全Codex App/background面でのUI可視性は未保証。
+- **Stop持ち越し廃止**: finding / failureを`.spotter/pending/`へ新規保存せず、次の無関係な
+  UserPromptSubmitへ配送しない。findingは構造Hook event、failureは固定診断として当該Stopで完結する。
+  旧same-session pendingは内容を読まずにunlinkし、`ENOENT`以外の失敗も固定診断だけにする。
+- **安全性維持**: `decision:"block"`、Stop継続、UserPromptSubmit exit 2の範囲拡大は行わず、既存の
+  再帰Hook / daemon proliferation防止、marker、short prompt、non-blocking failure契約を維持する。
+
+### 検証
+
+projector / Claude / Codexのtargeted testとfull suiteを実行し、447件中445 pass・0 fail・既存2 skip。
+AI/backend/provider sentinel、unsafe ID、legacy pending非読取unlink、Stop次turn非配送、catalog/transcript
+読込例外の固定degradationを確認した。敵対的再監査は初回BLOCKER 2件（Codex読込例外の境界外、
+UI可視性の過剰主張）を検出・修正し、再監査BLOCKER 0。`npm pack --dry-run`は62 files、global
+`spotter 1.4.19`へlocal installし、projector smoke・Hook diagnostics・global UserPromptSubmit smokeを
+確認した。公開前release gateとしてfull test、pack、秘密混入、CI、registry tarballを再検証し、
+`v1.4.19` tag・npm `latest`・GitHub Release・global installを同一versionへ揃える。
+
+## 1.4.18
+
+auditor model の更新を model 名の場当たり的な置換から切り離し、versioned policy と再現可能な比較 eval を
+導入する。反復評価24/24 exactの `gpt-5.6-terra × medium` をowner裁定でproductionへ昇格した。
+`latest` aliasやCodex CLIの暗黙既定、失敗時fallback、eval artifactからの自動昇格は使わない。
+
+### 変更点
+
+- **model policy**: 意味論的な auditor role、production selection、`gpt-5.6-luna × low` /
+  `gpt-5.6-terra × low` / `gpt-5.6-terra × medium` の評価 profile、policy version、検証状態を
+  単一 module に集約した。medium追加時にpolicy versionを2、production昇格時に3へ上げた。
+- **backend / diagnostics**: model と reasoning effort を backend 生成時に一度だけ解決し、成功・失敗の
+  structured result と diagnostics に effective selection、選択元、policy version、検証状態を残す。
+  model invocation が失敗しても別 model へ retry しない。
+- **比較 eval**: `spotter auditor model-matrix` を追加した。同じ versioned fixture を固定順序で実行し、
+  fixture hash、Codex CLI version、schema / exact match、false positive / negative、p50 / p95、timeout、
+  catalog 外 name と anomaly を bounded artifact に記録する。Codex JSONL `turn.completed.usage` から
+  token数だけを抽出し、raw event本文は保存しない。ChatGPTプランの金額costはAPI価格で代用せず
+  `not-available-chatgpt-plan` とし、artifact自身がmodel昇格を許可することはない。
+- **usage-limit diagnostics**: Codex CLIが実測済みの利用上限文言で非ゼロ終了した場合をgenericな
+  `E_CODEX_CLI_EXIT` から `E_CODEX_CLI_USAGE_LIMIT` へ分離した。認証失効を先に判定し、一般的な429は
+  誤分類しない。Hookはリセット時刻まで待つかCodexプランを確認する復旧案内を表示し、fallbackは行わない。
+- **model unavailable diagnostics**: Codex CLIが指定modelをChatGPTアカウントで利用できないと返した場合を
+  `E_CODEX_CLI_MODEL_UNAVAILABLE`へ分離した。認証・利用上限を優先し、providerのstdout/stderrはredact、
+  effective selectionとexit codeは診断用に保持する。別modelへのfallbackは行わない。
+- **公式model更新監視**: OpenAI公式のlatest-model / ChatGPT pricing Markdownの両方に揃った完全3種familyだけを
+  数値版比較し、週次workflowが評価提案Issueを重複なく作る。policy書換え・model呼出・自動昇格は行わない。
+- **運用SLO / Stop実測**: UserPromptSubmit / Stopのp50・p95・timeout率と品質gateを日本語で正本化した。
+  CLIのStop continuationはmax-1を確認した一方、App background/app-server taskはStop非発火だったため、
+  active Appのblock挙動が未確認のまま既存契約を変えず、pending deliveryを維持する。
+
+### 検証
+
+`auditor-model-matrix-cmd` / `auditor-cmd` / `cli` の targeted test 29 / 29 pass、全体
+439 / 437 pass / 0 fail / 2 skip。
+循環・非文字列 backend 応答、model selection 不一致、version 出力の秘密混入、dirty fixture、filtered
+hallucination を敵対的に再検証し、blocker 0 を確認した。代表 fixture の repeat=1 operational smoke は
+baseline / Luna / Terra の全12件が Codex CLI usage limit で `E_CODEX_CLI_EXIT` となったため、model 品質・
+latency・availability の比較には使わなかった。Pro20回復後のrepeat=3を2回実行し、Terra lowは合算
+23/24 exactでbaseline 18/24、Luna low 17/24より最良。usage対応runではtoken usageを36/36取得した。
+Terra lowにも見逃しが1件出たためmediumを追加評価した。Terra mediumは2回のrepeat=3で合計24/24 exact、
+FP/FN 0、timeout 0となり、owner裁定でproductionへ採用した。ChatGPTプランの金額costは取得不能として
+明示した。採用runは全体p95 4.361秒で、stage別SLOとtimeout/workload感度も
+[`docs/04_operational-slo.md`](https://github.com/kitepon-rgb/Spotter/blob/main/docs/04_operational-slo.md)へ固定した。
+
 ## 1.4.17
 
 v1.4.16 で実装済みだった stale Unix socket recovery を、v1.4.16 tag を改変せずこの patch の実配布候補に含める。
@@ -25,8 +102,10 @@ daemon 異常死後の orphan socket を次回起動前に安全に除去する
 
 `1c67698` の clean worktree から npm pack / temp prefix install / CLI version / Hook install・reinstall を
 smoke し、`node --test` は 383 / 381 pass / 0 fail / 2 skip。targeted test と adversarial review も
-blocker 0。OS CI matrix は macOS / Linux / Windows × Node 22.5.0 / 22.x の全6件が green。
-publish 後の npm / GitHub Release / fresh global install 三者一致確認は残る。
+blocker 0。v1.4.17-only README / CHANGELOG を載せた local release candidate は `6ea6a2b`。
+CLI help、58-entry pack、同じ full suite を再確認した。OS CI matrix はmacOS / Linux / Windows ×
+Node 22.5.0 / 22.xの全6件がgreen。最終 SHA `7987f2a`をtag / npm / GitHub Releaseへ公開し、
+npm `latest`とfresh global installの三者一致を確認した。
 
 ## 1.4.16
 

package/README.ja.md

@@ -15,7 +15,7 @@
 
 Claude には「使えるツールがあるのに、使うべきタイミングで使わない」という構造的な弱点があります。記録すべき決定を memory / caveat MCP に残さない、docs lookup MCP を呼ばずに古い知識で応答する、ブラウザ自動化 MCP で確認せず UI 状態を推測する — **「分からないと自覚できない」から、ツールを取りに行けない**。
 
-Spotter はツールカタログを完全に把握した別の監査エージェントで、ユーザー入力と主役 AI の応答を並走監査します。自動選択では Claude host は Codex CLI があればそれを、なければ session-scoped Haiku を選び、Codex host は Codex CLI を既定にします。明示 backend override は host より優先しますが、runtime failure で別 backend へ黙って切り替えません。見落としは透明化された指摘として次に利用できる文脈へ届けます。**主役 AI が自覚して自己監査する**設計は本プロダクトの存在意義を破壊するため、hook 経由でその意思と独立に検出します。
+Spotter はツールカタログを完全に把握した別の監査エージェントで、ユーザー入力と主役 AI の応答を並走監査します。自動選択では Claude host は Codex CLI があればそれを、なければ session-scoped Haiku を選び、Codex host は Codex CLI を既定にします。明示 backend override は host より優先しますが、runtime failure で別 backend へ黙って切り替えません。応答前は検証済みtool IDだけを固定・非命令形の助言へ変換でき、応答後のfindingは構造eventに留めて後続turnへ注入しません。監査用AIの自由文が親セッションへ入ることはありません。**主役 AI が自覚して自己監査する**設計は本プロダクトの存在意義を破壊するため、hook 経由でその意思と独立に検出します。
 
 <p align="center">
   <img src=".github/concept.svg" alt="Claude が答え、Spotter が見ている" width="80%">
@@ -62,6 +62,7 @@ Codex 側では現行の `[features].hooks = true` を有効化し、互換の
 Spotter が所有する Codex handler は現行の同期 command schema で生成します。install / upgrade 後は `/hooks` で review して新しい Codex session を開いてください。`spotter codex-hook diagnostics` は登録と readiness を診断しますが、trust を内部状態から推測しません。
 
 Spotter を upgrade した後、release note で hook 設定変更が案内されている場合は、各 install 済みプロジェクトで `spotter install` を再実行してください。global package update でコード経路は変わりますが、既存 `.claude/settings.json` の timeout 値は自動では書き換わりません。
+`v1.4.19`はruntimeの出力変換だけを変更するため、install済みprojectで`spotter install`をやり直す必要はありません。global packageを更新し、新しいClaude/Codexセッションを開いてください。
 
 ```bash
 spotter uninstall        # このプロジェクトの hook 登録を解除
@@ -88,20 +89,19 @@ spotter codex-hook install
 
 ### 1 ターンの監査フロー
 
-Claude Code と Codex では `Stop` の受け口が違います。下の図は Claude host の流れです。
-Codex native `Stop` は遅延配送で、不足ツールの指摘を queue し、次の same-session
-`UserPromptSubmit` で提示します。
+Claude Code と Codex は同じ安全なparent-output projectorを使います。監査用AIの自由文は内部に留め、
+`UserPromptSubmit`では検証済みtool IDだけを固定・非命令形の助言へ変換します。`Stop` findingは
+構造eventに記録し、後のturnへ注入しません。
 
 ```mermaid
 flowchart TD
     U([User 発話]) --> UPH[UserPromptSubmit hook<br/>Spotter が発話とカタログから一次判定]
-    UPH --> BT[Claude Thinking<br/>Spotter の推奨を<br/>additionalContext で受信]
+    UPH --> BT[Host model<br/>検証済みtool IDの<br/>固定助言を受け取る場合がある]
     BT --> BA([Claude の最初の応答])
     BA --> SH[Stop hook<br/>応答と使用済みツールから最終チェック]
     SH --> DEC{見落とし<br/>あり?}
     DEC -->|なし| DONE([完了])
-    DEC -->|あり| SB[.spotter/pending/ に積む<br/>v1.4.8 deferred delivery]
-    SB --> NEXT([次の UserPromptSubmit で<br/>additionalContext として配信])
+    DEC -->|あり| EVT[構造Hook eventへ記録<br/>次turnへは注入しない]
 ```
 
 ### カタログの収集経路
@@ -172,6 +172,8 @@ spotter codex-hook install
                          # Codex native hooks の修復 / 明示登録 (通常は spotter install が実行)
 spotter codex-hook diagnostics
                          # Codex hook の登録/readiness を診断。trust は /hooks で review
+spotter auditor model-matrix --fixtures test/fixtures/auditor-model-matrix.v1.json
+                         # pinned auditor model profile を再現可能に比較する experimental eval
 spotter uninstall        # hook 登録を解除 (~/.spotter は残す)
 ```
 
@@ -190,9 +192,11 @@ Primary auditor backend policy: Claude hooks の auto selection は PATH に Cod
 `SPOTTER_AUDITOR_BACKEND` の明示 override はどちらの host でも優先し、runtime failure では別 backend へ
 hidden fallback しません。
 Codex 側の SessionStart hook は `.spotter/tool-db.codex.json` を bg refresh し、Claude DB には触れません。
-Codex CLI auditor の子プロセスは、hook 判定を安く速く保つため既定で `gpt-5.4-mini` と
-`model_reasoning_effort="low"` を明示指定します。実測や制御された実験では
-`SPOTTER_CODEX_CLI_MODEL` / `SPOTTER_CODEX_CLI_REASONING_EFFORT` で上書きできます。
+Codex CLI auditor は versioned product policy を使い、production は反復 fixture 評価を通過した
+`gpt-5.6-terra × medium`。`gpt-5.6-luna × low` / `gpt-5.6-terra × low` は比較 profile として残し、
+profile から production へ自動昇格しません。`latest` alias や
+親 Codex の default を暗黙継承せず、失敗時に別 model へ retry しません。制御された実験では
+`SPOTTER_CODEX_CLI_MODEL` / `SPOTTER_CODEX_CLI_REASONING_EFFORT` で上書きでき、diagnostics は unverified と表示します。
 明示 smoke には `SPOTTER_AUDITOR_BACKEND=codex-sidecar` も使えます。
 
 ## 設計ドキュメント
@@ -205,15 +209,16 @@ Codex CLI auditor の子プロセスは、hook 判定を安く速く保つため
 
 ## 既知の制約
 
-- v1.4.8 以降、Claude / Codex 両 host で `Stop` hook は **遅延配送 (deferred delivery)** に統一されています。`Stop` で見落としツールを検出した場合、Spotter は `<projectRoot>/.spotter/pending/<sessionId>.json` に指摘を積み、次の same-session `UserPromptSubmit` で `additionalContext` として配信します。当ターンの最初の応答は transcript にそのまま残ります
-- pending ファイルは Claude / Codex が同じパス (`.spotter/pending/`) を共有します。host-neutral 設計です
-- **Haiku の JSON スキーマ違反は v0.5.0 以降「想定済み異常」として session renew + `role_collapse_reset` で回復**します。**v1.4.15 以降、auditor/daemon の失敗はプロンプトをブロックしません**: `UserPromptSubmit` は `[Spotter からの警告]` を出して exit 0。v1.4.17 では `Stop` 失敗も warning pending に積み、次の same-session prompt で1回配信します。直後に session が終わる場合だけ、配送先となる次 prompt がありません
+- `Stop` hookは最初の応答がstream済みになった後で発火します。v1.4.19以降は応答の書換え・継続強制・次turnへの監査文配送をせず、findingを構造Hook eventへ記録します。pre-responseの`UserPromptSubmit`精度が引き続き主軸です
+- `UserPromptSubmit.additionalContext`は受動的metadataではなくモデル可視contextです。v1.4.19以降はcatalog一致・grammar検証済みtool IDだけから決定論的に生成し、監査用AIのreason、backend message、provider stdout/stderrを反射しません
+- **Haiku の JSON スキーマ違反は v0.5.0 以降「想定済み異常」として session renew + `role_collapse_reset` で回復**します。**v1.4.19以降、auditor/daemonの失敗はモデルcontextにせずnon-blockingを維持**します。allow-list済み固定`systemMessage`・固定stderr・構造Hook eventだけを出してexit 0にします
 
 <details>
 <summary><strong>📋 最近のハイライト</strong></summary>
 
+- **親出力をルールベース化** (v1.4.19) — 監査用AIの自由文は親セッションへ入りません。検証済みtool IDだけがUserPromptSubmitの任意助言になり、Stop findingは無関係な次turnへ持ち越されません
 - **daemon は異常死しても復活する** (v1.4.16) — daemon が graceful shutdown を経ず死んでも (マシンスリープ / 強制終了 / `SessionEnd` 前の crash)、残った Unix socket が以後の起動を塞がなくなった。`startDaemon` が bind 前に orphan socket を除去するので、次の `UserPromptSubmit` の auto-resurrect が `EADDRINUSE` で crash-loop せずに成功し、「そのセッションが永久に未監査」になる事態を防ぐ
-- **失敗は声に出して縮退、host を固めない** (v1.4.15) — auditor backend が失敗したとき (例: codex のログイン失効) も、`UserPromptSubmit` hook はプロンプトを黙って消さずに `[Spotter からの警告]` を出して通す。codex ログイン失効時は直し方 (`codex login`) を明示する
+- **失敗は声に出して縮退、hostを固めない** (v1.4.15) — この版でbackend failureによるpromptのsilent消去を止めた。v1.4.19以降もnon-blocking挙動は維持し、旧model可視警告文は固定`systemMessage`・stderr・構造event診断へ置換した
 - **プラグイン形式の MCP サーバー対応** — `plugin:everything-claude-code:context7` のように名前に内部コロンを含むサーバーを正しくパースし、配下のツールをカタログに取り込めるようになった (旧版はこの形式のサーバーをすべて単一の `"plugin"` に潰して、Claude の監査から silent に脱落させていた)
 - **プロジェクト単位の監査隔離** — daemon が監査に使うのはローカル DB のみ。グローバル DB は description 再利用キャッシュに役割限定。**他プロジェクト**でインストールしたツールが現プロジェクトの監査に混入することはない
 - **手放しでカタログ維持** — `spotter install` が Claude DB を自動 seed、Claude / Codex それぞれの SessionStart が host-local DB を bg refresh する。手書き管理は一切不要

package/README.md

@@ -15,7 +15,7 @@
 
 Claude has a structural blind spot: **it can't reach for a tool it doesn't realize it needs**. It may skip a project memory MCP when a decision should be recorded, answer from stale memory instead of a docs-lookup MCP, or reason about UI state without a browser-automation MCP. The model can't always tell when it doesn't know — so the tool stays unused.
 
-Spotter runs a separate auditor with the full tool catalog and checks both the user's prompt and the primary agent's reply. Automatic selection uses Codex CLI on a Claude host when available, otherwise the session-scoped Haiku path; on a Codex host it defaults to Codex CLI. An explicit backend override takes precedence, but a runtime failure never silently switches backend. When Spotter finds a missed tool, it injects a transparent recommendation into the next available context. **The primary agent is never asked to self-audit** — that would defeat the premise. Detection happens through hooks, independent of the primary agent's intent.
+Spotter runs a separate auditor with the full tool catalog and checks both the user's prompt and the primary agent's reply. Automatic selection uses Codex CLI on a Claude host when available, otherwise the session-scoped Haiku path; on a Codex host it defaults to Codex CLI. An explicit backend override takes precedence, but a runtime failure never silently switches backend. Before the primary reply, validated tool IDs may become fixed, non-directive advice; after the reply, findings remain structured events and are not injected into a later turn. Auditor prose never enters the parent session. **The primary agent is never asked to self-audit** — that would defeat the premise. Detection happens through hooks, independent of the primary agent's intent.
 
 <p align="center">
   <img src=".github/concept.svg" alt="Claude answers · Spotter watches" width="80%">
@@ -62,6 +62,7 @@ For Codex, install enables the current `[features].hooks = true` flag and still
 Installer-owned Codex handlers use the current synchronous command schema. After install or upgrade, review them with `/hooks`, then open a fresh Codex session; `spotter codex-hook diagnostics` reports registration/readiness but does not guess hook trust.
 
 After upgrading Spotter, re-run `spotter install` in each installed project when release notes mention hook setting changes. The global package update changes the code path, but existing `.claude/settings.json` timeout values are not rewritten automatically.
+`v1.4.19` changes runtime output projection only, so already installed projects do not need another `spotter install`; update the global package and open a fresh Claude/Codex session.
 
 ```bash
 spotter uninstall        # remove hooks from this project
@@ -88,20 +89,19 @@ spotter codex-hook install
 
 ### Audit flow per turn
 
-Claude Code and Codex have different `Stop` surfaces. The diagram below is the Claude
-host flow. Codex native `Stop` uses deferred delivery: findings are queued and shown on
-the next same-session `UserPromptSubmit`.
+Claude Code and Codex share the same safe parent-output projector. Auditor prose stays
+internal; only validated tool IDs can become fixed, non-imperative advice on
+`UserPromptSubmit`. `Stop` records structured findings without injecting them into a later turn.
 
 ```mermaid
 flowchart TD
     U([User prompt]) --> UPH[UserPromptSubmit hook<br/>Spotter audits prompt against catalog]
-    UPH --> BT[Claude thinking<br/>receives Spotter's recommendations<br/>as additionalContext]
+    UPH --> BT[Host model<br/>may receive fixed advisory<br/>with validated tool IDs]
     BT --> BA([Claude's first answer])
     BA --> SH[Stop hook<br/>Spotter re-audits answer + tools used]
     SH --> DEC{Missed<br/>tool?}
     DEC -->|No| DONE([Done])
-    DEC -->|Yes| SB[Queue finding to .spotter/pending/<br/>v1.4.8 deferred delivery]
-    SB --> NEXT([Surfaces as additionalContext<br/>on next UserPromptSubmit])
+    DEC -->|Yes| EVT[Record structured Hook event<br/>no next-turn injection]
 ```
 
 ### Catalog discovery
@@ -173,6 +173,8 @@ spotter codex-hook install
                          # repair / explicitly register Codex native hooks (normally handled by spotter install)
 spotter codex-hook diagnostics
                          # check Codex hook registration/readiness; trust is reviewed with /hooks
+spotter auditor model-matrix --fixtures test/fixtures/auditor-model-matrix.v1.json
+                         # experimental reproducible comparison of pinned auditor model profiles
 spotter uninstall        # remove hooks from this project (leaves ~/.spotter intact)
 ```
 
@@ -191,10 +193,12 @@ otherwise the Haiku-compatible path. Codex native hooks automatically select Cod
 `SPOTTER_AUDITOR_BACKEND` override wins on either host; runtime failure never triggers a hidden fallback.
 The Codex SessionStart hook refreshes `.spotter/tool-db.codex.json` in the background
 without touching the Claude DB.
-Codex CLI auditor child processes explicitly use `gpt-5.4-mini` with
-`model_reasoning_effort="low"` by default so hook checks stay cheap and fast;
+Codex CLI auditor child processes use a versioned product policy. The production selection is
+`gpt-5.6-terra × medium`, promoted after repeated fixture evaluation. `gpt-5.6-luna × low` and
+`gpt-5.6-terra × low` remain comparison profiles; profiles never trigger automatic upgrades.
+Spotter does not inherit a `latest` alias or the parent Codex default, and an invocation failure never retries another model.
 `SPOTTER_CODEX_CLI_MODEL` and `SPOTTER_CODEX_CLI_REASONING_EFFORT` can override
-those values for smoke tests or controlled experiments.
+the production values for controlled experiments; diagnostics mark overrides as unverified.
 `SPOTTER_AUDITOR_BACKEND=codex-sidecar` is available for explicit sidecar auditor smoke.
 
 ## Design docs
@@ -207,15 +211,16 @@ those values for smoke tests or controlled experiments.
 
 ## Known limitations
 
-- The `Stop` hook fires **after** the first answer has already been streamed. Spotter therefore queues a finding for the next same-session prompt instead of rewriting that answer. Detection accuracy in `UserPromptSubmit` (the *pre-response* stage) remains the primary quality axis
-- `Stop` hook is **deferred** for both Claude and Codex hosts as of v1.4.8. When Spotter finds a missed tool at `Stop`, it appends the finding to `<projectRoot>/.spotter/pending/<sessionId>.json` and surfaces it on the next same-session `UserPromptSubmit` as `additionalContext`. The original assistant message stays as the turn's final transcript entry — no `decision:"block"` re-generation cycle. The same pending file is shared by Claude and Codex (host-neutral path)
-- **Since v0.5.0, JSON schema violations from Haiku are treated as expected anomalies** (session renew + `role_collapse_reset`). **Since v1.4.15, an auditor/daemon failure no longer blocks the prompt**: `UserPromptSubmit` emits a loud `[Spotter からの警告]` and exits 0. In v1.4.17, a `Stop` failure is queued as the same kind of warning and delivered once on the next same-session prompt. If the session ends immediately, no later prompt exists and that final warning cannot be surfaced
+- The `Stop` hook fires **after** the first answer has already been streamed. Spotter records a structured finding but does not rewrite the answer, force a continuation, or inject auditor text into the next prompt. Detection accuracy in `UserPromptSubmit` (the *pre-response* stage) remains the primary quality axis
+- `UserPromptSubmit.additionalContext` is model-visible context, not passive metadata. Since v1.4.19 it is generated only by a deterministic projector from catalog-matched, grammar-checked tool IDs. Auditor reasons, backend messages, and provider stdout/stderr are never reflected into it
+- **Since v0.5.0, JSON schema violations from Haiku are treated as expected anomalies** (session renew + `role_collapse_reset`). **Since v1.4.19, an auditor/daemon failure remains non-blocking without becoming model context**: Claude and Codex emit only an allow-listed fixed `systemMessage`, fixed stderr, and a structured Hook event, then exit 0
 
 <details>
 <summary><strong>📋 Recent highlights</strong></summary>
 
+- **Rule-based parent output boundary** (v1.4.19) — auditor AI prose cannot enter parent-session Hook output. Validated tool IDs become optional fixed advice on `UserPromptSubmit`; `Stop` findings stay structured and are never carried into an unrelated next turn
 - **Daemon recovers after an ungraceful death** (v1.4.16) — if the daemon dies without graceful shutdown (machine sleep, force-quit, crash before `SessionEnd`), the Unix socket it leaves behind no longer bricks every restart. `startDaemon` removes the orphaned socket before binding, so the next `UserPromptSubmit` auto-resurrect succeeds instead of crash-looping on `EADDRINUSE` and leaving the session permanently unaudited
-- **Failures degrade loudly, never freeze the host** (v1.4.15) — when the auditor backend fails (e.g. codex login expired), the `UserPromptSubmit` hook surfaces a `[Spotter からの警告]` and lets your prompt through instead of silently erasing it. codex login expiry names the one-line fix (`codex login`)
+- **Failures degrade loudly, never freeze the host** (v1.4.15) — this release stopped backend failure from silently erasing a prompt. Since v1.4.19, the non-blocking behavior remains but the old model-visible warning text is replaced by fixed `systemMessage`, stderr, and structured event diagnostics
 - **Plugin-scoped MCP servers** — names like `plugin:everything-claude-code:context7` (with internal colons) are now parsed correctly and their tools enter the catalog. Earlier versions silently collapsed all plugin MCP servers into a single literal `"plugin"`, dropping their tools from Claude's audit
 - **Per-project / per-host audit isolation** — the daemon audits against the local DB only; global DBs are host-specific description caches. Tools discovered in *other* projects or another host can never bleed into this project's audit set
 - **Zero-touch catalog** — `spotter install` seeds the Claude DB automatically; Claude and Codex SessionStart hooks keep their host-local DBs fresh in the background. You never have to maintain the tool list by hand

package/bin/spotter.mjs

@@ -50,6 +50,8 @@ Usage:
                                         (experimental) run primary auditor backend once
   spotter auditor matrix --stage STAGE --input FILE
                                         (experimental) compare primary auditor backend matrix
+  spotter auditor model-matrix --fixtures FILE
+                                        (experimental) evaluate pinned Codex auditor profiles
   spotter daemon start --session-id ID  (internal) run session daemon
   spotter hook <event>                  (internal) hook dispatch
                                         events: session-start | user-prompt |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "claude-spotter",
-  "version": "1.4.17",
+  "version": "1.4.19",
   "description": "Audit agent running alongside Claude Code that catches missed tool calls — 気づく役と実行する役の分離",
   "type": "module",
   "bin": {

package/scripts/check-codex-model-policy.mjs

@@ -0,0 +1,151 @@
+import { CODEX_AUDITOR_MODEL_POLICY } from '../src/core/codex-auditor-model-policy.mjs';
+
+export const LATEST_MODELS_URL = 'https://developers.openai.com/api/docs/guides/latest-model.md';
+export const PRICING_URL = 'https://learn.chatgpt.com/docs/pricing.md';
+export const MAX_BODY_BYTES = 1024 * 1024;
+export const FETCH_TIMEOUT_MS = 15_000;
+
+const ROLES = ['sol', 'terra', 'luna'];
+const PROPOSAL = '同じfixtureでLuna low/Terra lowを比較し、品質不足時のみTerra mediumを評価する。productionの自動昇格・書換えは行わない。';
+
+export class ModelPolicyCheckError extends Error {
+  constructor(code) {
+    super(code);
+    this.name = 'ModelPolicyCheckError';
+    this.code = code;
+  }
+}
+
+function fail(code) { throw new ModelPolicyCheckError(code); }
+
+function versionKey(major, minor) { return `${Number(major)}.${Number(minor)}`; }
+
+export function compareVersions(left, right) {
+  const [leftMajor, leftMinor] = left.split('.').map(Number);
+  const [rightMajor, rightMinor] = right.split('.').map(Number);
+  return leftMajor - rightMajor || leftMinor - rightMinor;
+}
+
+export function extractCompleteFamilies(text, source) {
+  const regex = source === 'latest'
+    ? /\bgpt-(\d+)\.(\d+)-(sol|terra|luna)\b/gi
+    : /\bGPT-(\d+)\.(\d+)\s+(Sol|Terra|Luna)\b/g;
+  const byVersion = new Map();
+  for (const match of text.matchAll(regex)) {
+    const version = versionKey(match[1], match[2]);
+    const roles = byVersion.get(version) ?? new Set();
+    roles.add(match[3].toLowerCase());
+    byVersion.set(version, roles);
+  }
+  return [...byVersion.entries()]
+    .filter(([, roles]) => ROLES.every((role) => roles.has(role)))
+    .map(([version]) => ({ version, models: ROLES.map((role) => `gpt-${version}-${role}`) }))
+    .sort((a, b) => compareVersions(a.version, b.version));
+}
+
+async function readBoundedBody(response) {
+  const declaredLength = Number(response.headers?.get?.('content-length'));
+  if (Number.isFinite(declaredLength) && declaredLength > MAX_BODY_BYTES) fail('E_MODEL_POLICY_CHECK_BODY_TOO_LARGE');
+  if (!response.body?.getReader) {
+    const text = await response.text();
+    if (Buffer.byteLength(text) > MAX_BODY_BYTES) fail('E_MODEL_POLICY_CHECK_BODY_TOO_LARGE');
+    return text;
+  }
+  const reader = response.body.getReader();
+  const chunks = [];
+  let size = 0;
+  try {
+    for (;;) {
+      const { done, value } = await reader.read();
+      if (done) break;
+      size += value.byteLength;
+      if (size > MAX_BODY_BYTES) {
+        await reader.cancel();
+        fail('E_MODEL_POLICY_CHECK_BODY_TOO_LARGE');
+      }
+      chunks.push(value);
+    }
+  } finally {
+    reader.releaseLock?.();
+  }
+  return new TextDecoder().decode(Buffer.concat(chunks));
+}
+
+export async function fetchMarkdown(url, { fetchFn = fetch, timeoutMs = FETCH_TIMEOUT_MS } = {}) {
+  const controller = new AbortController();
+  const timeout = setTimeout(() => controller.abort(), timeoutMs);
+  try {
+    let response;
+    try {
+      response = await fetchFn(url, { signal: controller.signal, headers: { accept: 'text/markdown,text/plain;q=0.9' } });
+    } catch {
+      fail('E_MODEL_POLICY_CHECK_FETCH_FAILED');
+    }
+    if (!response || response.status !== 200) fail('E_MODEL_POLICY_CHECK_HTTP_STATUS');
+    return await readBoundedBody(response);
+  } finally {
+    clearTimeout(timeout);
+  }
+}
+
+function policyProduction(policy) {
+  const model = policy?.production?.model;
+  const match = typeof model === 'string' && /^gpt-(\d+)\.(\d+)-(sol|terra|luna)$/.exec(model);
+  if (!match) fail('E_MODEL_POLICY_CHECK_INVALID_POLICY');
+  return { model, version: versionKey(match[1], match[2]) };
+}
+
+export async function runModelPolicyCheck({
+  fetchFn = fetch,
+  now = () => new Date(),
+  policy = CODEX_AUDITOR_MODEL_POLICY,
+  timeoutMs = FETCH_TIMEOUT_MS,
+} = {}) {
+  const production = policyProduction(policy);
+  const [latestMarkdown, pricingMarkdown] = await Promise.all([
+    fetchMarkdown(LATEST_MODELS_URL, { fetchFn, timeoutMs }),
+    fetchMarkdown(PRICING_URL, { fetchFn, timeoutMs }),
+  ]);
+  const latestFamilies = extractCompleteFamilies(latestMarkdown, 'latest');
+  const pricingFamilies = extractCompleteFamilies(pricingMarkdown, 'pricing');
+  if (latestFamilies.length === 0 || pricingFamilies.length === 0) fail('E_MODEL_POLICY_CHECK_REQUIRED_FAMILY_MISSING');
+  const latestDetected = latestFamilies.at(-1);
+  const pricingDetected = pricingFamilies.at(-1);
+  if (latestDetected.version !== pricingDetected.version) fail('E_MODEL_POLICY_CHECK_SOURCE_MISMATCH');
+  const pricingVersionSet = new Set(pricingFamilies.map(({ version }) => version));
+  const commonFamilies = latestFamilies.filter(({ version }) => pricingVersionSet.has(version));
+  const detectedFamily = latestDetected;
+  const status = compareVersions(detectedFamily.version, production.version) > 0 ? 'update-available' : 'current';
+  const diagnostics = status === 'current'
+    && commonFamilies.some(({ version }) => version !== production.version)
+    ? ['E_MODEL_POLICY_CHECK_NON_PRODUCTION_CANDIDATE_PRESENT']
+    : [];
+  return {
+    schema: 'spotter.codex_model_update_check.v1',
+    checkedAt: now().toISOString(),
+    policy: { version: policy.policyVersion, production: policy.production.model },
+    sources: [LATEST_MODELS_URL, PRICING_URL],
+    detectedFamily,
+    candidates: commonFamilies,
+    status,
+    proposal: status === 'update-available' ? PROPOSAL : null,
+    diagnostics,
+  };
+}
+
+export async function main({ stdout = process.stdout, stderr = process.stderr, run = runModelPolicyCheck } = {}) {
+  try {
+    const artifact = await run();
+    stdout.write(`${JSON.stringify(artifact)}\n`);
+    return 0;
+  } catch (error) {
+    const code = error instanceof ModelPolicyCheckError ? error.code : 'E_MODEL_POLICY_CHECK_UNEXPECTED';
+    stderr.write(`${code}\n`);
+    return 1;
+  }
+}
+
+if (import.meta.url === new URL(process.argv[1], 'file:').href) {
+  const exitCode = await main();
+  process.exitCode = exitCode;
+}

package/src/cli/auditor-cmd.mjs

@@ -2,6 +2,7 @@ import { readFile } from 'node:fs/promises';
 import { resolve } from 'node:path';
 import { createAuditorBackend } from '../core/auditor-backend.mjs';
 import { readLocal } from '../tool-db/refresh.mjs';
+import { runAuditorModelMatrixCommand } from './auditor-model-matrix-cmd.mjs';
 
 const AUDITOR_USAGE = `spotter auditor — experimental primary auditor smoke commands
 
@@ -10,6 +11,8 @@ Usage:
                         [--project DIR] [--host-agent claude|codex|automation|unknown]
                         [--backend haiku|codex-cli|codex-sidecar|auto]
   spotter auditor matrix --stage user_input|turn_end --input FILE [--project DIR]
+  spotter auditor model-matrix --fixtures FILE [--profile baseline|luna|terra|terra-medium]...
+                               [--repeat N] [--project DIR] [--output FILE]
 
 Input JSON:
   user_input: {"user_input":"..."} or {"userInput":"..."}
@@ -32,6 +35,14 @@ export async function runAuditorCommand({ argv = process.argv.slice(2) } = {}) {
     await runAuditorMatrixCommand({ argv: argv.slice(1) });
     return;
   }
+  if (sub === 'model-matrix') {
+    if (argv.slice(1).includes('--help') || argv.slice(1).includes('-h')) {
+      process.stdout.write(`Usage: spotter auditor model-matrix --fixtures FILE [--profile baseline|luna|terra|terra-medium]...\n       [--repeat N] [--project DIR] [--output FILE]\n`);
+      return;
+    }
+    await runAuditorModelMatrixCommand({ argv: argv.slice(1) });
+    return;
+  }
   process.stderr.write(`unknown auditor subcommand: ${sub}\n${AUDITOR_USAGE}`);
   process.exit(2);
 }