dsh-perm-gate 0.2.0 → 0.2.1-beta.3

package/CHANGELOG.ja.md

@@ -7,23 +7,132 @@
 
 ## [Unreleased]
 
+## [0.2.1-beta.3] - 2026-09-10
+
 ### 追加
 
 - リスク判定 `llmAssist`：設定されたカスタム LLM（OpenAI 互換エンドポイント）が各 `ask` を
   `safe` / `risky:<カテゴリ>` で判定。ハードカテゴリ（deletion / credential / remote / system /
-  bulk）は常に人手へ、タイムアウトは 1 回リトライ、失敗は常に fail-closed。
+  bulk）は自動拒否、タイムアウトは 1 回リトライ、失敗は常に fail-closed。
 - 裁決学習（`riskLearning`、既定オフ、`riskThreshold` 1–10、既定 3）：人手で承認され実際に実行された
   neutral リスクをカウントし、指紋一致する同一操作のみ自動許可。`$DSH_HOME/perm-gate/learning.json`
   に永続化され、ユーザーの YAML ルールには書き込みません。
 - 決定イベントフィード：各決定を `$DSH_HOME/perm-gate/events.jsonl` に追記し、
   `GET /api/dsh-perm-gate/events?sessionId=&since=` で提供。ブラウザ側は入力欄上の通知バーで表示。
 - 権限ピッカーの盾アイコンが折りたたみトリガーにも表示されます。
+- 承認記録ページ：会話ビューに「承認記録」タブを追加し、セッション内のゲート判定を新しい順に
+  タイムライン表示（種類タグ・リスクカテゴリ・時刻付き）。設定カードの許可リストは行ごとに削除できる
+  編集可能なリスト＋一括編集トグルになりました。
+- dsh-approval-gate から継承したプリセット拒否キーワード（`DEFAULT_DENY_KEYWORDS`）：キーワード一致
+  （大小文字を区別しない部分一致）で許可リスト / 許可 / LLM より先に拒否。設定カードでリスト編集でき
+  プリセットタグとワンクリック復元に対応、未設定・空ならプリセットを適用（黑名単は常に有効）。
+- 学習沈殿（`riskSediment`、既定オン）：しきい値に達したキーの確認サンプルが決定論的な自動許可ルールに——
+  指紋の正確一致は LLM 呼び出しをスキップし、llmAssist オフでも継続。設定カードで一覧表示し、キー終止・
+  サンプル削除が可能（`GET/POST /api/dsh-perm-gate/learning`）。
+- 選択可能な llmAssist 受信先：**カスタム API**（OpenAI 互換、Xiaomi MiMo
+  `https://api.xiaomimimo.com/v1` を含むプリセット付き）または **DSH ホストモデルグループ**
+  （`llm` サービス + `agentDefaultModel.currentSelection`、provider/model 上書き可）に加え、
+  **健全性テスト**ボタン（`POST /api/dsh-perm-gate/health`）で最小 completion の応答とレイテンシを確認。設定カードは
+  `GET /api/dsh-perm-gate/receiver` 経由でライブのプロバイダー/モデルグループ一覧（ホスト
+  `llm.listProviders`/`listModels`、カスタムグループ含む）を取得し、実効的な選択を表示します。
+- **承認記録のレビュー面**：各決定が触れたファイルは変更前にスナップショットされ（≤5 ファイル、
+  各 ≤256 KB、`$DSH_HOME/perm-gate/snapshots/`）、**承認記録**タブでファイルチップから行 diff
+  （`GET /api/dsh-perm-gate/diff`）を開き、**取り消し**（`POST /api/dsh-perm-gate/revert`）で会話に
+  復元指示を送信できます。スナップショット管理バー（`GET /api/dsh-perm-gate/snapshots-stats` /
+  `POST /api/dsh-perm-gate/snapshots-clear`、セッション単位または全件）も追加。イベント行は
+  `files` / `justification` / `verdict` / `category` を持つようになりました。
+- **人手承認の終態記録**：人手に回した `ask` を追跡し、受動的な `approval/request` オブザーバで
+  実際の回答を記録します — `allowed-once` → 承認、`rejected` → 拒否、`cancelled` → キャンセル、
+  `unavailable` → 拒否（承認チャネルなし）。オブザーバが関連付けできない場合（`callId` 欠落、
+  approval サービスなし、上流リスナーの短絡）は `tools/result` がフォールバックとして同じ ask を
+  解決します（「解決時に削除」が唯一の重複排除ルール）。承認時には承認後の学習進捗（`n`/しきい値）を
+  表示し、通知バーは 3 つの終態をラベル表示します。
+
+### 削除
+
+- 廃止された **Auto** 権限ティアを `cordis.patch.yml` に再記載しなくなりました。DSH の bundle
+  patch は `permission.config.presets` マップ全体を**置換**するため、このファイルは残すべき
+  ティアをすべて記載する必要があり、`dsh-auto-mode` が提供していた `auto` も含まれていました。
+  同プラグインはアンインストール済みで、ノブは `workspace-write` と同一、説明文の
+  「自動レビュー / ワンショット承認」は実装ごと失われ、さらにこのゲートはそのティアでは
+  動作しません（`gatePresets` の既定は `['permissive']`）。ピッカーは組み込み 3 ティア
+  （`read-only` / `workspace-write` / `danger-full-access`、`@deepseek-ai/dsh-base/cordis.patch.yml`
+  から再記載）と本プラグインの `permissive` のみを提示します。
+- `test/patch-presets.spec.ts` がこのキー集合を固定し、組み込みティアの脱落や廃止ティアの
+  復活があればテストが失敗します。
 
 ### 変更
 
+- ゲートは **`gatePresets` に列挙したティアでのみ動作**します（既定 `['permissive']`、
+  このプラグインが追加するティア）。それ以外のティア（Read Only / Workspace Write / Auto /
+  Full access / `custom`）では判定フローは一切実行されません——許可・ask・拒否・P0 ハード拒否・
+  拒否キーワード遮断・監査イベントのいずれも行いません。`gatePresets: ['*']` で再び全体
+  （ハード拒否を含む）に適用できます。
 - `llmAssist` はリスクカテゴリプロトコルを使用（従来の allow/deny/ask 判定のスーパーセット）。
   `classifier.ts` はリスク判定器と OpenAI 互換トランスポート（`chatCompletion`）を共有します。
+  ハードリスクカテゴリ（`deletion` / `credential` / `remote` / `system` / `bulk`）は
+  **自動拒否**に変更（人手に渡すのではなく、明らかに危険な操作は確認不要）；`risky:neutral`
+  （不確実）のみ人手に渡ります。
+- `write` / `edit` に**パス感知のデフォルト**が追加され、ワークスペース内の書き込みは
+  `defaultAction`（通常 `allow`）に従い、ワークスペース外への書き込みはコンテンツ審査のため
+  `ask` に昇格。LLM 分類器が安全コンテンツを自動許可、有害コンテンツを自動拒否できるため、
+  不確実な操作のみポップアップが発生します。
+
+### 修正
+
+- **`llmAssist` の `safe` は記録されるだけで、実際には自動許可されていませんでした。**
+  `tools/pre-execute` リスナーは `ask` を即座に返してバックグラウンドで判定していましたが、ホストへ
+  渡した ask はすでに承認 answerer へ向かっており、DSH にはそれを取り消す API がありません
+  （リクエストの `signal` ができるのは `cancelled` での決着だけです）。そのためパネルは表示され続け、
+  フィードには `safe` の自動許可が出ているのに人手でのクリックが必須でした — さらにハードリスクの
+  `auto-deny` はホストにまったく届いていませんでした。リスナーは決定を返す**前に** `refineAsk` を
+  await するようになり（`makePreExecuteListener`）、`safe` は `next()` で委譲されパネルは出ず、
+  ハードカテゴリは自動拒否、`risky:neutral` / `unresolved` / 判定失敗のみが人手の ask を維持します
+  （fail-closed）。待機時間は `riskTimeoutMs`（既定 20 秒）で上限が決まり、すでにキャンセルされた
+  呼び出しは判定をスキップします。
+- **ユーザーが選んだ権限ティアをゲートが上書きしていました。** ゲートは独立した承認ティアを
+  持ちますが *すべての* プリセットで動作し、あらゆる越境が `ask` になって DSH 承認シームへ
+  転送され、`danger-full-access`（`approval: never`）ではそのシームが **どの answerer よりも
+  先に** `rejected` を返しました — パネルは一度も表示されず、read 専用以外のすべての呼び出しが
+  誤解を招く `the user rejected tool "..."` で失敗しました。ハード拒否と拒否キーワード層も同様に
+  ティアを無視していたため、`danger-full-access`（「承認プロンプトなしのフルアクセス」）が
+  黙って狭められていました。ゲート全体が `gatePresets` に限定され、範囲外では何も行わず記録も
+  しません。有効なティア内では、実効承認方針が `never` の場合 ask はパススルーに降格します。
+- **読み取り専用の検索とセッション内ツールが ask になっていました。** `web_search` /
+  `modlens_read_image` は読み取り専用クエリ、`todo_write` / `render_ui` / `validate_dsh_ui` /
+  `ask_user_question` / `exit_plan_mode` / `ralph` / `workflow` はセッション内の状態または
+  委譲でありながら自動許可の分類に含まれておらず、毎回 `ask`（`no rule matched; default action`
+  のポップアップ）になっていました。これらを自動許可に追加し、第三者製の読み取り専用ツール向けに
+  `autoAllowTools` 設定を新設しました。P0 ハード拒否と拒否キーワード層は先に実行されるため、
+  このリストが権限を広げることはありません。
+- **`write`/`edit` がワークスペース外のパスに静かに書き込んでいました。** `~/.bashrc` や
+  別ドライブへの書き込みに `defaultAction`（通常 `allow`）が適用され、審査なしで実行されて
+  いました。ルールが一致しない場合、`write`/`edit` ツールに対してパス感知のオーバーライドが
+  適用され、ワークスペース内の書き込みは `defaultAction` に従い、ワークスペース外の書き込みは
+  コンテンツ審査のために `ask` に昇格します。有害なコンテンツは拒否され、`llmAssist` が有効
+  な場合は正常な追加が自動許可されます。`deny` ルールはパス範囲に関係なく勝ち、`allow` ルール
+  は内部パスを許可できますが、外部パスの審査を回避することはできません。
+- **P0 の資格情報検出が文書本文まで走査していました。** トークン・秘密鍵・`credentials.yaml` を
+  単に *言及* したファイルの書き込み／編集までハード拒否されていました。操作自体を表す引数
+  （`command` / `file_path` など）のみを走査するよう変更し、拒否キーワード層の「ファイルの
+  テキストは操作そのものではない」という規則に揃えました。
+- **`$DSH_HOME/perm-gate/rules.yml` が読み込まれませんでした。** `rulesFile` に既定値がなく、
+  `config` を省略したプロファイルではルールセットが空＋`defaultAction: ask` になり、ユーザーの
+  `defaultAction: allow` と `allow:` ルールは黙って無視されていました。`rulesFile` は
+  `<dataDir>/rules.yml` を既定値とし、設定カードの許可リストもそこへ書き込みます。
+- **`format` が PowerShell の `Format-Table` を拒否していました。** ハイフンはコマンド識別子の
+  単語境界ではないため、キーワードの端を識別子文字（`[A-Za-z0-9_-]`）で判定するようにし、
+  `format C: /q` は引き続き検出しつつ `Format-Table` / `mkfs.ext4` は正しく扱われます。
+- 拒否キーワードのマッチングが、長い識別子の中に単に含まれるだけのキーワードを拒否しなくなり、
+  文書本文の引数（`content` / `new_string` / `old_string` / `text` など）は走査対象外になりました
+  — ファイルのテキストは操作そのものではありません。マッチングは単語境界を意識するようになり、
+  句読点で終わるキーワードや CJK キーワードも引き続き機能し、空白は圧縮されるため余分な空白を含む
+  コマンドも検出されます。
+
+### Fixed
 
+- **すべての読み取りクエリに手動承認が必要でした。** `read` / `read_image` / `grep` / `glob` / `ls` / `lsp`
+  はワークスペース内のみの読み取り操作で、変更を加えることはできません。これらは自動許可されました。
 
 ### Added
 - **Permissive モード（独立審批枠）** — read-only / workspace-write / full-access / whitelist と並ぶ独立モード。

package/CHANGELOG.ko.md

@@ -7,23 +7,130 @@
 
 ## [Unreleased]
 
+## [0.2.1-beta.3] - 2026-09-10
+
 ### 추가
 
 - 위험 등급 `llmAssist`: 설정된 사용자 지정 LLM(OpenAI 호환 엔드포인트)이 각 `ask`를
   `safe` / `risky:<카테고리>`로 판정합니다. 하드 카테고리(deletion / credential / remote / system /
-  bulk)는 항상 사람에게 전달되고, 시간 초과는 1회 재시도하며, 모든 실패는 fail-closed를 유지합니다.
+  bulk)는 자동 거부되고, 시간 초과는 1회 재시도하며, 모든 실패는 fail-closed를 유지합니다.
 - 판정 학습(`riskLearning`, 기본 꺼짐, `riskThreshold` 1–10, 기본 3): 사람이 승인하고 실제 실행된
   neutral 위험은 카운트되어 지문이 일치하는 동일 작업만 자동 허용 — `$DSH_HOME/perm-gate/learning.json`에
   영속화되며 사용자 YAML 규칙에는 기록되지 않습니다.
 - 결정 이벤트 피드: 모든 결정이 `$DSH_HOME/perm-gate/events.jsonl`에 추가되고
   `GET /api/dsh-perm-gate/events?sessionId=&since=`로 제공되며, 브라우저 절반이 입력창 위 알림 바로 표시합니다.
 - 권한 선택기 방패 아이콘이 축소된 트리거에도 표시됩니다.
+- 승인 기록 페이지: 대화 보기에「승인 기록」탭이 추가되어 세션의 게이트 판정을 최신 순 타임라인으로
+  표시합니다(종류 태그·위험 카테고리·시간 포함). 설정 카드의 허용 목록은 행별 삭제가 가능한 편집형
+  목록 + 일괄 편집 토글로 바뀌었습니다.
+- dsh-approval-gate에서 계승한 프리셋 거부 키워드(`DEFAULT_DENY_KEYWORDS`): 키워드 일치(대소문자 구분
+  없는 부분 일치) 시 허용 목록/권한/LLM보다 먼저 거부. 설정 카드에서 목록으로 편집 가능하며 프리셋 태그와
+  원클릭 복원을 지원하고, 미설정·빈 목록 시 프리셋이 적용됩니다(블랙리스트는 항상 활성).
+- 학습 침전(`riskSediment`, 기본 켜짐): 임계값에 도달한 키의 확인 샘플이 결정론적 자동 허용 규칙이 됩니다——
+  지문 정확 일치 시 LLM 호출을 건너뛰고 llmAssist가 꺼져도 유지됩니다. 설정 카드에 목록으로 표시되며 키
+  종료·샘플 삭제가 가능합니다(`GET/POST /api/dsh-perm-gate/learning`).
+- 선택 가능한 llmAssist 수신처: **사용자 지정 API**(OpenAI 호환, Xiaomi MiMo
+  `https://api.xiaomimimo.com/v1` 포함 프리셋) 또는 **DSH 호스트 모델 그룹**(`llm` 서비스 +
+  `agentDefaultModel.currentSelection`, provider/model 재정의 가능) — 그리고 **상태 테스트**
+  버튼(`POST /api/dsh-perm-gate/health`)으로 최소 completion 응답과 지연 시간을 확인. 설정 카드는 `GET /api/dsh-perm-gate/receiver`를 통해
+  라이브 프로바이더/모델 그룹 목록(호스트 `llm.listProviders`/`listModels`, 사용자 지정 그룹 포함)을
+  읽어 현재 적용 선택을 표시합니다.
+- **승인 기록 리뷰 화면**: 각 결정이 건드린 파일은 변경 전에 스냅샷되며(파일 ≤5개, 각 ≤256KB,
+  `$DSH_HOME/perm-gate/snapshots/`), **승인 기록** 탭에서 파일 칩을 눌러 줄 단위 diff
+  (`GET /api/dsh-perm-gate/diff`)를 열고 **되돌리기**(`POST /api/dsh-perm-gate/revert`)로 대화에
+  복원 지시를 보낼 수 있습니다. 스냅샷 관리 바(`GET /api/dsh-perm-gate/snapshots-stats` /
+  `POST /api/dsh-perm-gate/snapshots-clear`, 세션 단위 또는 전체)도 추가. 이벤트 행은 이제
+  `files` / `justification` / `verdict` / `category`를 가집니다.
+- **사람 승인 종결 기록**: 사람에게 넘긴 `ask`를 추적하고 수동적 `approval/request` 옵서버로
+  실제 응답을 기록합니다 — `allowed-once` → 승인, `rejected` → 거부, `cancelled` → 취소,
+  `unavailable` → 거부(승인 채널 없음). 옵서버가 연관시키지 못하는 경우(`callId` 누락,
+  approval 서비스 없음, 상류 리스너의 단락) `tools/result`가 폴백으로 같은 ask를 정산합니다
+  ("정산 시 삭제"가 유일한 중복 제거 규칙). 승인 시 승인 후 학습 진행률(`n`/임계값)을 표시하고,
+  알림 바는 세 가지 종결 상태를 라벨로 보여줍니다.
+
+### 제거
+
+- 폐기된 **Auto** 권한 티어를 더 이상 `cordis.patch.yml`에 다시 기재하지 않습니다. DSH의 bundle
+  patch는 `permission.config.presets` 맵 전체를 **교체**하므로 이 파일은 유지할 티어를 모두
+  기재해야 했고, `dsh-auto-mode`가 제공한 `auto`도 포함되어 있었습니다. 해당 플러그인은
+  제거되었고 노브는 `workspace-write`와 동일하며, 설명문의 "자동 검토 / 일회성 승인"은 구현과
+  함께 사라졌고, 이 게이트는 그 티어에서 동작하지 않습니다(`gatePresets` 기본값은
+  `['permissive']`). 피커는 내장 3개 티어(`read-only` / `workspace-write` / `danger-full-access`,
+  `@deepseek-ai/dsh-base/cordis.patch.yml`에서 재기재)와 이 플러그인의 `permissive`만 제공합니다.
+- `test/patch-presets.spec.ts`가 이 키 집합을 고정하므로 내장 티어가 빠지거나 폐기 티어가
+  되살아나면 테스트가 실패합니다.
 
 ### 변경
 
+- 게이트는 **`gatePresets`에 나열한 티어에서만 동작**합니다(기본 `['permissive']`,
+  이 플러그인이 추가하는 티어). 그 밖의 티어(Read Only / Workspace Write / Auto / Full access /
+  `custom`)에서는 판정 흐름이 전혀 실행되지 않습니다 — 허용·ask·거부·P0 하드 거부·거부 키워드
+  차단·감사 이벤트 모두 해당하지 않습니다. `gatePresets: ['*']`는 게이트를 다시 전역(하드 거부
+  포함)으로 적용합니다.
 - `llmAssist`는 위험 카테고리 프로토콜을 사용합니다(기존 allow/deny/ask 판정의 상위 집합).
   `classifier.ts`는 위험 판정기와 OpenAI 호환 전송 계층(`chatCompletion`)을 공유합니다.
+  하드 위험 카테고리(`deletion` / `credential` / `remote` / `system` / `bulk`)는 이제
+  **자동 거부**됩니다(사람에게 전달하지 않음 — 명백히 위험한 작업에는 확인 불필요)；
+  `risky:neutral`(불확실)만 사람에게 전달됩니다.
+- `write` / `edit` 도구에 **경로 인식 기본값**이 추가되어, 워크스페이스 내 쓰기는 `defaultAction`
+  (보통 `allow`)을 따르고, 워크스페이스 밖 쓰기는 콘텐츠 검토를 위해 `ask`로 승격됩니다.
+  LLM 분류기가 안전한 콘텐츠를 자동 허용하고 유해한 콘텐츠를 자동 거부할 수 있으므로, 불확실한
+  작업만 팝업이 발생합니다.
+
+### 수정
+
+- **`llmAssist`의 `safe`는 기록만 될 뿐 실제로 자동 허용되지 않았습니다.** `tools/pre-execute`
+  리스너가 `ask`를 즉시 반환하고 백그라운드에서 판정했지만, 호스트로 넘어간 ask는 이미 승인
+  answerer로 향하고 있고 DSH에는 이를 되돌릴 API가 없습니다(요청의 `signal`이 할 수 있는 일은
+  `cancelled`로 종결시키는 것뿐입니다). 그래서 패널은 계속 표시되었고, 피드에는 `safe` 자동 허용이
+  찍혔는데도 사람이 직접 클릭해야 했습니다 — 하드 위험의 `auto-deny`는 호스트에 아예 전달되지
+  않았습니다. 이제 리스너는 결정을 반환하기 **전에** `refineAsk`를 await하며
+  (`makePreExecuteListener`), `safe`는 `next()`로 위임되어 패널이 뜨지 않고, 하드 카테고리는 자동
+  거부되며, `risky:neutral` / `unresolved` / 판정 실패만 사람에게 ask로 남습니다(fail-closed).
+  대기 시간은 `riskTimeoutMs`(기본 20초)로 제한되며, 이미 취소된 호출은 판정을 건너뜁니다.
+- **사용자가 선택한 권한 티어를 게이트가 덮어썼습니다.** 게이트는 독립 승인 티어를 가지지만
+  *모든* 프리셋에서 동작했고, 모든 경계가 `ask`가 되어 DSH 승인 시임으로 전달되었으며,
+  `danger-full-access`(`approval: never`)에서는 그 시임이 **어떤 answerer보다도 먼저**
+  `rejected`를 반환했습니다 — 패널은 한 번도 표시되지 않았고 read 전용이 아닌 모든 호출이
+  오해를 부르는 `the user rejected tool "..."`로 실패했습니다. 하드 거부와 거부 키워드 계층도
+  티어를 무시했기에 `danger-full-access`("승인 프롬프트 없는 전체 접근")가 조용히 좁혀졌습니다.
+  이제 게이트 전체가 `gatePresets`로 한정되며 범위 밖에서는 아무것도 하지 않고 기록도 남기지
+  않습니다. 유효한 티어 안에서는 유효 승인 정책이 `never`이면 ask가 패스스루로 강등됩니다.
+- **읽기 전용 검색과 세션 내 도구가 ask로 처리되었습니다.** `web_search` /
+  `modlens_read_image`는 읽기 전용 질의이고 `todo_write` / `render_ui` / `validate_dsh_ui` /
+  `ask_user_question` / `exit_plan_mode` / `ralph` / `workflow`는 세션 내 상태 또는 위임인데도
+  자동 허용 분류에 없어 매번 `ask`(`no rule matched; default action` 팝업)가 발생했습니다.
+  이들을 자동 허용에 추가하고, 서드파티 읽기 전용 도구를 위한 `autoAllowTools` 설정을
+  신설했습니다. P0 하드 거부와 거부 키워드 계층이 먼저 실행되므로 이 목록이 권한을 넓히지
+  않습니다.
+- **`write`/`edit`이 워크스페이스 밖 경로로 조용히 쓰기 실행했습니다.** `~/.bashrc`나 다른
+  드라이브의 파일에 `defaultAction`(보통 `allow`)이 적용되어 검토 없이 실행되었습니다. 규칙이
+  일치하지 않을 때 `write`/`edit` 도구에 경로 인식 오버라이드가 적용되어, 워크스페이스 내 쓰기는
+  `defaultAction`을 따르고 바깥 쓰기는 콘텐츠 검토를 위해 `ask`로 승격됩니다. 유해한 콘텐츠는
+  거부되고, `llmAssist`가 켜져 있으면 정상적인 추가는 자동 허용됩니다. `deny` 규칙은 경로 범위와
+  관계없이 우선하고, `allow` 규칙은 내부 경로를 허용할 수 있지만 외부 경로의 검토를 우회할 수
+  없습니다.
+- **P0 자격 증명 검출이 문서 본문까지 스캔했습니다.** 토큰·개인 키·`credentials.yaml`을 단지
+  *언급*한 파일의 쓰기/편집까지 하드 거부되었습니다. 이제 동작 자체를 나타내는 인수
+  (`command` / `file_path` 등)만 스캔하며, 거부 키워드 계층의 "파일 텍스트는 동작이 아니다"라는
+  규칙과 일치합니다.
+- **`$DSH_HOME/perm-gate/rules.yml`이 로드되지 않았습니다.** `rulesFile`에 기본값이 없어
+  `config`를 생략한 프로필에서는 규칙 집합이 비고 `defaultAction: ask`가 되었으며, 사용자의
+  `defaultAction: allow`와 `allow:` 규칙은 조용히 무시되었습니다. `rulesFile`은 이제
+  `<dataDir>/rules.yml`을 기본값으로 하며 설정 카드의 허용 목록도 그곳에 기록됩니다.
+- **`format`이 PowerShell의 `Format-Table`을 거부했습니다.** 하이픈은 명령 식별자의 단어
+  경계가 아니므로 키워드 끝을 식별자 문자(`[A-Za-z0-9_-]`)로 판정하도록 바꿨습니다 —
+  `format C: /q`는 계속 탐지되고 `Format-Table` / `mkfs.ext4`는 올바르게 처리됩니다.
+- 거부 키워드 매칭이 긴 식별자 안에 단순히 포함된 키워드를 더 이상 거부하지 않으며,
+  문서 본문 인수(`content` / `new_string` / `old_string` / `text` 등)는 아예 검사 대상에서
+  제외됩니다 — 파일의 텍스트는 작업 자체가 아닙니다. 매칭은 이제 단어 경계를 인식하므로
+  구두점으로 끝나는 키워드와 CJK 키워드도 계속 동작하고, 공백이 압축되어 여분의 공백이 있는
+  명령도 탐지됩니다.
+
+### Fixed
 
+- **모든 읽기 쿼리에 수동 승인이 필요했습니다.** `read` / `read_image` / `grep` / `glob` / `ls` / `lsp`
+  은 워크스페이스 내의 읽기 전용 작업으로, 변경을 가할 수 없습니다. 이들은 자동 허용되었습니다.
 
 ### Added
 - **Permissive 모드(독립 승인 티어)** — read-only / workspace-write / full-access / whitelist와 나란한 독립 모드.

package/CHANGELOG.md

@@ -7,11 +7,13 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.2.1-beta.3] - 2026-09-10
+
 ### Added
 
 - Risk-graded `llmAssist`: the configured custom LLM (any OpenAI-compatible endpoint) grades each
   `ask` as `safe` / `risky:<category>`; hard categories (deletion / credential / remote / system /
-  bulk) always ask, timeouts retry once, and every failure stays fail-closed.
+  bulk) auto-deny, timeouts retry once, and every failure stays fail-closed.
 - Verdict learning (`riskLearning`, off by default; `riskThreshold` 1–10, default 3): neutral-risk
   asks confirmed by a human and actually executed count toward auto-allowing the exact same
   operation (fingerprint-matched) — persisted to `$DSH_HOME/perm-gate/learning.json`, never into
@@ -20,11 +22,167 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
   at `GET /api/dsh-perm-gate/events?sessionId=&since=`; the browser half shows the latest decision
   as a notice strip above the conversation input.
 - Permission-picker icon now also decorates the collapsed picker trigger.
+- Approval-records page: the conversation view gains an **Approvals** tab listing the session's
+  gate decisions newest-first (timeline with kind tags, risk category, and time); the settings
+  card's whitelist is now an editable rule list with per-row delete plus a bulk-edit toggle.
+- Learning sedimentation (`riskSediment`, default on): a threshold-reached key's confirmed samples
+  become deterministic auto-allow rules — exact fingerprint hits skip the LLM call entirely and
+  survive the llmAssist switch; the settings card lists them with per-key terminate and per-sample
+  remove (backed by `GET/POST /api/dsh-perm-gate/learning`).
+- Selectable llmAssist receiver: **custom API** (OpenAI-compatible, with endpoint presets
+  including Xiaomi MiMo `https://api.xiaomimimo.com/v1`) or the **DSH host model group**
+  (`llm` service + `agentDefaultModel.currentSelection`, provider/model overridable) — plus a
+  **health test** button (`POST /api/dsh-perm-gate/health`) that runs one minimal completion
+  and reports latency. The card reads the live provider/model-group catalog
+  (host `llm.listProviders`/`listModels` — user-configured custom groups included) via
+  `GET /api/dsh-perm-gate/receiver` and shows the effective provider/model selection.
+- Preset deny-keyword blacklist inherited from dsh-approval-gate (`DEFAULT_DENY_KEYWORDS`): a
+  case-insensitive keyword hit vetoes the call before whitelist / grants / LLM; editable as a
+  list in the settings card with preset tags and one-click restore; unset or empty applies the
+  preset (the blacklist never silently turns off).
+- **Approval-records review plane**: every decision's affected files are snapshotted before the
+  change lands (≤5 files, ≤256 KB each) under `$DSH_HOME/perm-gate/snapshots/`; the **Approvals**
+  tab turns those files into clickable chips that open a line diff (`GET /api/dsh-perm-gate/diff`)
+  with a **revert** action delivering a restore instruction into the conversation
+  (`POST /api/dsh-perm-gate/revert`), plus a snapshot inventory bar
+  (`GET /api/dsh-perm-gate/snapshots-stats`, `POST /api/dsh-perm-gate/snapshots-clear`,
+  session-scoped or all). Event rows now carry `files`, `justification`, `verdict`, and `category`.
+- **Manual-approval terminal records**: an `ask` routed to a human is tracked and settled with the
+  human's actual answer by a passive `approval/request` observer — `allowed-once` → approved,
+  `rejected` → rejected, `cancelled` → cancelled, `unavailable` → a denial (no approval channel).
+  `tools/result` settles the same ask as a fallback when the observer cannot correlate it (missing
+  `callId`, no approval service, or an earlier listener short-circuiting the waterfall);
+  "delete on settle" is the whole de-duplication rule. Approvals report the post-approval learning
+  progress (`n`/threshold), and the notice strip labels all three terminal states.
+
+### Removed
+
+- The retired **Auto** permission tier is no longer restated in `cordis.patch.yml`. The DSH bundle
+  patch replaces the whole `permission.config.presets` map, so this file had to carry every tier
+  that should survive — including `auto`, which `dsh-auto-mode` contributed. That plugin is
+  uninstalled: its knobs were identical to `workspace-write`, its "automatic review / one-shot
+  approval" description lost its implementation with it, and this gate is inactive in that tier
+  (`gatePresets` defaults to `['permissive']`). The picker now offers the three built-ins
+  (`read-only` / `workspace-write` / `danger-full-access`, restated from
+  `@deepseek-ai/dsh-base/cordis.patch.yml`) plus this plugin's `permissive`.
+- `test/patch-presets.spec.ts` pins that exact key set, so a built-in tier can no longer be dropped
+  (or a retired one resurrected) without failing the suite.
 
 ### Changed
 
+- **DSH dual-version support (0.1.0-rc.7 … 0.1.2-rc.1).** One artifact now covers both
+  `dsh-v0.1.1-rc.2` and `dsh-v0.1.2-rc.1` without a version check. `effectivePolicy` is a
+  **private** method of the user-approval service in both versions, so it is read behind a
+  `typeof` probe and a throwing/absent probe now degrades to “policy unknown” (the ask stands)
+  instead of failing the decision path. Settings registration keeps `ctx.settings.register`,
+  which exists in every supported version. `dsh.client.inject` no longer names
+  `@deepseek-ai/dsh-client-runtime` (removed in 0.1.2) or `@deepseek-ai/dsh-client-ui-slots`
+  (not a dynamic client row in either version); it now lists the real client rows it renders
+  into. Added `engines.dsh` and a version-compatibility table to the README.
+- The gate is **active only in the permission tiers listed in `gatePresets`** (default
+  `['permissive']`, the tier this plugin adds). In every other tier — Read Only, Workspace Write,
+  Auto, Full access, `custom` — its decision flow does not run at all: no allow, no ask, no deny,
+  no P0 hard-deny, no deny-keyword veto, and no audit event. `gatePresets: ['*']` makes the gate
+  global again (hard-deny included); an embedding that passes no scope keeps the legacy behaviour.
 - `llmAssist` now uses the risk-category protocol (superset of the previous allow/deny/ask verdicts);
   `classifier.ts` shares one OpenAI-compatible transport (`chatCompletion`) with the risk grader.
+  Hard-risk categories (`deletion` / `credential` / `remote` / `system` / `bulk`) now **auto-deny**
+  instead of routing to the human — the operation is clearly dangerous and no popup is needed;
+  only `risky:neutral` (uncertain) still reaches the human seam.
+- `write` / `edit` tools now have a **path-aware default**: workspace-internal writes follow the
+  configured `defaultAction` (typically `allow`); writes to paths outside the session workspace
+  escalate to `ask` so the content can be reviewed. The LLM classifier can then auto-allow safe
+  content or auto-deny harmful content, so only truly uncertain operations produce a popup.
+
+### Fixed
+
+- **`llmAssist` "safe" now actually auto-allows instead of only being recorded.** The
+  `tools/pre-execute` listener returned the `ask` immediately and graded the call in the
+  background, but an ask handed to the host is already on its way to the approval answerers and
+  DSH offers no API to retract it (the request's own `signal` can only settle it `cancelled`). The
+  panel therefore still appeared and the human still had to click, while the feed showed the
+  `safe` auto-allow — and a hard-risk `auto-deny` never reached the host at all. The listener now
+  awaits `refineAsk` **before** returning the decision (`makePreExecuteListener`): `safe` delegates
+  via `next()` with no panel, a hard-risk category auto-denies, and only `risky:neutral` /
+  `unresolved` / a grader failure keep the human ask (fail-closed). The wait is bounded by
+  `riskTimeoutMs` (default 20 s) and an already-cancelled call skips grading.
+- **The shell write-pattern layer never ran for DSH's primary shell tool.** `SHELL_TOOLS` listed
+  `bash` / `pwsh` / `sh` / `cmd` / `powershell` but not **`shell`** (DSH's own tool name) or
+  `terminal`, so `git push`, `chmod`, `tee`, redirects and every other write pattern fell through
+  to `defaultAction` instead of escalating to `ask`. The roster is now
+  `shell` / `terminal` / `bash` / `pwsh` / `sh` / `cmd` / `powershell`, and the duplicate copy in
+  `learning.ts` was removed (single source in `evaluate.ts`, so the decision path and the learning
+  fingerprint cannot drift again).
+- **Redirect and `tee` detection was too narrow.** Only `>>` matched, so `echo x > /tmp/out.txt`
+  and a bare `tee /tmp/log.txt` were treated as read-only. `> f` / `>> f` / `>f` now escalate while
+  the stderr idioms a read-only command uses (`2>&1`, `>&2`, `2>/dev/null`, `1>&2`) stay
+  read-only; `curl` / `wget` escalate only when they write a file (`-o` / `-O` / `>`).
+- **`decideRules` ignored `args.command`.** It read only the derived `ctx.commandText`, so any
+  caller that built a context by hand (tests, embedders) silently lost command inspection. It now
+  falls back to `args.command`, matching `PermGateRuntime.ctxFor`.
+- **The gate overruled the permission tier the user selected.** It owns an independent approval
+  tier, but it acted in *every* preset: any crossing became an `ask`, `dsh-tools` forwarded it to
+  the DSH approval seam, and under the `danger-full-access` preset (`approval: never`) that seam
+  returns `rejected` **before any answerer runs** — no panel was ever rendered and every
+  non-read-only call failed with the misleading `the user rejected tool "..."`. Its hard-deny and
+  deny-keyword layers likewise ignored the tier, so `danger-full-access` ("full access without
+  approval prompts") was silently narrowed. The whole gate is now scoped to `gatePresets`; outside
+  it the gate is inert and records nothing. Inside an active tier an `ask` is still degraded to
+  passthrough when the session's effective approval policy is `never`, so an unanswerable ask can
+  never become a denial.
+- **Read-only search and session-local tools were asked about.** `web_search` and
+  `modlens_read_image` are read-only queries and `todo_write` / `render_ui` / `validate_dsh_ui` /
+  `ask_user_question` / `exit_plan_mode` / `ralph` / `workflow` are session-local state or
+  delegation, but none were in the auto-allow classification, so each one raised an `ask` (the
+  `no rule matched; default action` popup). They are auto-allowed now, and a new `autoAllowTools`
+  config list extends the classification for third-party read-only tools. P0 hard-deny and the
+  deny-keyword layer still run first, so the list can never widen authority.
+- **`write` / `edit` to paths outside the workspace silently passed through.** A call that writes
+  to `~/.bashrc` or another drive's files received the configured `defaultAction` (typically `allow`)
+  and executed without review. A path-aware override now applies to write/edit tools when no rule
+  matches: workspace-internal writes follow the configured `defaultAction`, but any target path
+  outside the session's workspace escalates to `ask` so the content can be reviewed — harmful
+  content is denied; benign additions are auto-allowed when `llmAssist` is enabled. Explicit deny
+  rules still win regardless of path scope, and explicit allow rules can grant access to inside
+  paths but never bypass the review for outside ones.
+- **P0 credential detection scanned document bodies**, so writing or editing any file that merely
+  *mentioned* a token, a private key, or `credentials.yaml` was hard-denied. It now scans only the
+  arguments that describe the operation (`command`, `file_path`, …), matching the deny-keyword
+  layer's existing rule that a file's text is not the operation.
+- **A `$DSH_HOME/perm-gate/rules.yml` was never loaded.** `rulesFile` had no default, so a profile
+  entry that omitted `config` left the gate with an empty ruleset and `defaultAction: ask` — the
+  user's `defaultAction: allow` and `allow:` rules were silently ignored. `rulesFile` now defaults
+  to `<dataDir>/rules.yml` (like `eventsFile` / `learningFile`), and the settings card's whitelist
+  mirror actually writes there.
+- **`format` vetoed the PowerShell cmdlet `Format-Table`.** A hyphen is not a word boundary for a
+  command identifier, so the blacklist matched `Format-Table` / `Format-List`. Keyword edges now
+  match against identifier characters (`[A-Za-z0-9_-]`), so `format C: /q` is still caught while
+  `Format-Table` and `mkfs.ext4` behave as before.
+- **Every read query required manual approval.** `read` / `read_image` / `grep` / `glob` / `ls` / `lsp`
+  are workspace-only read operations that can't modify anything (P0 hard-deny still blocks reads
+  of sensitive paths outside the workspace root). They are now auto-allowed. The same applies to
+  all DSH internal coordination tools (`agent_teams_*`, `conversation_search`, `memory_*`,
+  `get_goal` / `update_goal` / `create_goal`, `taskboard_*`, `job_*`, `list_agents` /
+  `interrupt_agent` / `send_message`, `subagent` / `subagent_fork` / `terminal` / `skill`).
+
+- **The Approvals tab resolved no session id**, so it listed nothing while the snapshot bar showed
+  the global inventory. A `conversation.view` occupant receives the standard props at the top level
+  (`sessionId` / `useSessions`) — the shape `ConversationRoot` consumes — not under `slotsProps`;
+  the view and the notice strip now probe the top level, the nested shape, and the session-list hook.
+- **Events were recorded with an empty session id**, so the Approvals tab (which filters by the
+  current session) showed nothing even though `events.jsonl` was filling up. DSH's `ToolExecution`
+  carries the session on `agent.session.id` (workspace cwd on `agent.session.header.cwd`), not on
+  `exec.sessionId` / `exec.cwd`; both are now read from the agent when the direct fields are absent.
+- **The review page was silently dead on a default install**: with a profile entry that omits
+  `config`, `dshHome` was empty, so the data directory was `undefined` and the event log was never
+  constructed — no `events.jsonl`, no snapshots, no persisted learning, and a 404 on
+  `GET /api/dsh-perm-gate/events`. `dshHome` now resolves to an explicit value, else `$DSH_HOME`,
+  else `~/.dsh`, so `<dshHome>/perm-gate/{events.jsonl,learning.json,snapshots/}` is always written.
+- Deny-keyword matching no longer vetoes a keyword that merely appears inside a longer identifier,
+  and document-body arguments (`content`, `new_string`, `old_string`, `text`, …) are no longer
+  scanned at all — a file's text is not the operation. Matching is word-boundary aware now, so
+  punctuation-edged and CJK keywords keep working, and whitespace is collapsed so a command
+  written with extra spaces is still caught.
 
 
 ### Added

package/INSTALL.ja.md

@@ -12,7 +12,7 @@
 - [日本語 changelog](./CHANGELOG.ja.md)
 - [한국어 changelog](./CHANGELOG.ko.md)
 
-`dsh-perm-gate` バージョン **0.1.0**。判定チェーン、ルールファイル形式、Permissive
+`dsh-perm-gate` バージョン **0.2.1-beta.3**。判定チェーン、ルールファイル形式、Permissive
 ティアについては [日本語 README](./README.ja.md) を参照してください。
 
 ## 必要条件
@@ -52,7 +52,7 @@ profile の `cordis.yml` にプラグインを追加します：
 - id: dsh-perm-gate
   name: dsh-perm-gate
   config:
-    rulesFile: ./permissions.yaml   # 省略時は defaultAction にフォールバック
+    rulesFile: ./permissions.yaml   # 任意。既定は $DSH_HOME/perm-gate/rules.yml
     dshHome: $DSH_HOME              # 保護対象チェックのルート固定
     defaultAction: ask              # allow | ask | deny
 ```
@@ -84,7 +84,7 @@ dsh profile reload --profile web
    追加します。
 3. それらが提供していた preset の上書きを削除します。`cordis.patch.yml` は
    `permission.config.presets` を**丸ごと置換**するため、他プラグインの古い
-   key 単位パッチが Permissive / Auto ティアを黙って消すことがあります。
+   key 単位パッチが Permissive ティア（または組み込みティア）を黙って消すことがあります。
 4. profile を再読込し、後述の `--list` で検証します。
 
 ## 検証

package/INSTALL.ko.md

@@ -12,7 +12,7 @@
 - [日本語 changelog](./CHANGELOG.ja.md)
 - [한국어 changelog](./CHANGELOG.ko.md)
 
-`dsh-perm-gate` 버전 **0.1.0**. 결정 체인, 규칙 파일 형식, Permissive 티어는
+`dsh-perm-gate` 버전 **0.2.1-beta.3**. 결정 체인, 규칙 파일 형식, Permissive 티어는
 [한국어 README](./README.ko.md)를 참고하세요.
 
 ## 요구 사항
@@ -53,7 +53,7 @@ profile의 `cordis.yml`에 플러그인을 추가합니다:
 - id: dsh-perm-gate
   name: dsh-perm-gate
   config:
-    rulesFile: ./permissions.yaml   # 생략 시 defaultAction으로 폴백
+    rulesFile: ./permissions.yaml   # 선택. 기본값은 $DSH_HOME/perm-gate/rules.yml
     dshHome: $DSH_HOME              # 보호 대상 검사의 고정 루트
     defaultAction: ask              # allow | ask | deny
 ```
@@ -83,7 +83,7 @@ dsh profile reload --profile web
 2. 위 네 플러그인을 `cordis.yml`에서 제거하고 `dsh-perm-gate` 항목만 추가합니다.
 3. 해당 플러그인들이 제공하던 preset 재정의를 삭제합니다. `cordis.patch.yml`은
    `permission.config.presets`를 **전체 교체**하므로, 다른 플러그인의 오래된
-   key 단위 패치가 Permissive / Auto 티어를 조용히 없앨 수 있습니다.
+   key 단위 패치가 Permissive 티어(또는 내장 티어)를 조용히 없앨 수 있습니다.
 4. profile을 다시 불러오고 아래의 `--list`로 검증합니다.
 
 ## 검증

package/INSTALL.md

@@ -12,7 +12,7 @@
 - [日本語 changelog](./CHANGELOG.ja.md)
 - [한국어 changelog](./CHANGELOG.ko.md)
 
-`dsh-perm-gate` version **0.1.0**. Continue with the [README](./README.md) for the
+`dsh-perm-gate` version **0.2.1-beta.3**. Continue with the [README](./README.md) for the
 decision chain, the rules file format and the Permissive tier.
 
 ## Requirements
@@ -53,9 +53,10 @@ Add the plugin to your profile's `cordis.yml`:
 - id: dsh-perm-gate
   name: dsh-perm-gate
   config:
-    rulesFile: ./permissions.yaml   # optional; omit to fall back to defaultAction
+    rulesFile: ./permissions.yaml   # optional; defaults to $DSH_HOME/perm-gate/rules.yml
     dshHome: $DSH_HOME              # root pinned for protected-target checks
     defaultAction: ask              # allow | ask | deny
+    gatePresets: [permissive]       # tiers where the gate is active at all (default)
 ```
 
 Start from [examples/permissions.example.yaml](./examples/permissions.example.yaml),
@@ -85,7 +86,7 @@ and `dsh-movein-permissions`.
    entry above.
 3. Delete any preset overrides those plugins contributed — `cordis.patch.yml`
    **replaces** `permission.config.presets` wholesale, so stale per-key patches
-   from other plugins can silently drop the Permissive or Auto tier.
+   from other plugins can silently drop the Permissive tier (or a built-in one).
 4. Reload the profile and verify with `--list` (below).
 
 ## Verify

package/INSTALL.zh.md

@@ -12,7 +12,7 @@
 - [日本語 changelog](./CHANGELOG.ja.md)
 - [한국어 changelog](./CHANGELOG.ko.md)
 
-`dsh-perm-gate` 版本 **0.1.0**。裁决链、规则文件格式与 Permissive 档位请见
+`dsh-perm-gate` 版本 **0.2.1-beta.3**。裁决链、规则文件格式与 Permissive 档位请见
 [中文 README](./README.zh.md)。
 
 ## 前置条件
@@ -52,7 +52,7 @@ dsh plugin --profile web add .
 - id: dsh-perm-gate
   name: dsh-perm-gate
   config:
-    rulesFile: ./permissions.yaml   # 可选；留空则按 defaultAction 兜底
+    rulesFile: ./permissions.yaml   # 可选；默认 $DSH_HOME/perm-gate/rules.yml
     dshHome: $DSH_HOME              # 受保护目标检查的钉死根目录
     defaultAction: ask              # allow | ask | deny
 ```
@@ -82,7 +82,7 @@ dsh profile reload --profile web
 2. 从 `cordis.yml` 删除上述四个插件，只加入唯一的 `dsh-perm-gate` 条目。
 3. 删除这些插件贡献的 preset 覆盖 —— `cordis.patch.yml` 是**整体替换**
    `permission.config.presets`，其他插件遗留的逐 key 补丁可能静默抹掉
-   Permissive 或 Auto 档。
+   Permissive 档（或某个内置档）。
 4. 重载 profile，并用下面的 `--list` 验证。
 
 ## 验证