dsh-perm-gate 2.1.0 → 2.6.1

package/README.ja.md

@@ -27,7 +27,8 @@
 > | DSH バージョン | ブランチ | バージョン | npm タグ |
 > | --- | --- | --- | --- |
 > | 0.1.0-rc.7 ~ 0.1.1-rc.x | `legacy` | `1.x` | `@legacy` |
-> | 0.1.2-alpha.1+（0.1.5-rc.2を含む） | `main` | `2.x` | `@latest` / `@dsh-0.1.2` （`@2.x` は範囲） |
+> | 0.1.2-alpha.1 ~ 0.1.5-rc.0 | `main` | `2.x` | `@latest` / `@dsh-0.1.2` （`@2.x` は範囲） |
+> | 0.1.5-rc.1+ | `sync/0.1.5-from-main`（=`compat/0.1.5`） | `3.x` | GitHub ref インストール（dist-tag 未公開） |
 >
 > バージョン系列は **DSH ライン**を追います（`1.x` = DSH ≤ 0.1.1、`2.x` = DSH 0.1.2+）。
 > メジャー同士が互いを遮断するため、`^1.x` のインストールが `2.x` を解決することは
@@ -45,7 +46,7 @@
 > メソッドであるため、`typeof` プロブで読み取り、欠落時やエラー時には「ポリシー
 > 不明」にフォールバックします。
 
-バージョン **2.0.0** — 変更履歴は [日本語 changelog](./CHANGELOG.ja.md) を参照。
+バージョン **2.6.1** — 変更履歴は [日本語 changelog](./CHANGELOG.ja.md) を参照。
 
 DeepSeek Harness 向けの、単一・自己完結・決定論優先・fail-closed な権限ゲートです。
 
@@ -86,13 +87,38 @@ DSH の安全まわりのエコシステムでは、この役割が `dsh-permiss
   モード**。汎用の「自動承認」でもなく、包括的な権限付与でもありません。フロントが露出する
   のは**単一スイッチ**（`permissive`）だけで、バックエンドの 4 つの戦略は**組み合わせ
   可能**でプラグイン設定から制御されます。P0 に対しては依然 fail-closed です。
-  権限ピッカーと設定行はいずれも製品名「自动审查」で表示し、アイコンは描きません。
+  権限ピッカーと設定行はいずれも製品名「自动审查」で表示します。アイコンについては後述（組み込みティアは標準装備、プラグイン提供ティアはパッチが必要）。
 - **サンドボックス昇格の自動回答**（`trustEscalation`）— サンドボックス昇格は shell /
    pwsh / edit ツールの**内部**（`tools/pre-execute` 後）から発生するためゲートはそれを
    見ておらず、ゲートが自動許可した呼び出しでも確認プロンプトが表示されます。この戦略を
    オンにすると、ゲートが許可した呼び出しを `callId` で正確に一致させてここで直接回答
    します。
 
+## スクリーンショット
+
+**設定カード — 自动审查ティア**：フロントが露出するのは単一スイッチのみで、バックエンドの
+4 戦略は組み合わせ可能です。`LlmAssist` はセッションの現在のモデルに追従するか、
+Provider / Model を固定でき、ヘルスチェックと裁決学習を備えます：
+
+![設定カード — 自动审查ティア](assets/setting-head.png)
+![LlmAssist — Provider / Model / API Key](assets/llms.png)
+
+**ゲートが実際に読み込んだルール** — `dsh-perm-gate-rules` 設定名前空間から直接読み出した
+読み取り専用ビューです。パネルからは変更できません：
+
+![組み込みルール（読み取り専用）](assets/setting-rules.png)
+
+**権限承認記録** — このセッションのすべての裁決を新しい順に、モデルが見た理由つきで表示します：
+
+![権限承認記録](assets/permlist.png)
+
+**裁決ストリップ** — 自動許可は根拠（読み取り専用ツール、または LLM の `safe` 判定）を明示し、
+ゲートの停止も決して無言では起きません：
+
+![ALLOW ストリップ — 読み取り専用ツール](assets/allow1.png)
+![ALLOW ストリップ — llm-assist が safe](assets/allow2.png)
+![GATE OFF ストリップ — ゲート停止](assets/gateoff.png)
+
 ## インストール
 
 [DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness) が導入済みである
@@ -117,7 +143,7 @@ dsh plugin --profile web add dsh-perm-gate
     rulesFile: ./permissions.yaml   # 任意。既定は $DSH_HOME/perm-gate/rules.yml
     dshHome: $DSH_HOME              # 保護対象チェックのルート固定
     defaultAction: ask              # allow | ask | deny
-    gatePresets: [permissive]       # ゲートが有効なティア（既定）
+    gatePresets: [permissive, permissive-full]   # ゲートが有効なティア（既定）
 ```
 
 ### ルール ファイル
@@ -147,18 +173,100 @@ permissions:
 
 完全な例: [examples/permissions.example.yaml](./examples/permissions.example.yaml)
 
+### ネットワークポリシー（任意で有効化）
+
+ローカル HTTP/CONNECT プロキシです。**同じルールファイル**で **shell サブプロセス**の
+外向き通信を審査し、どのルールにも該当しない宛先には承認経路を提供します。**既定は無効** ——
+有効にするとループバックポートを確保し、子プロセスのプロキシ環境変数を書き換えるため、
+暗黙に有効化されることはありません。
+
+```yaml
+- id: dsh-perm-gate
+  config:
+    networkEnabled: false          # マスタースイッチ（既定 false）
+    networkMode: whitelist         # deny-all | whitelist | allow-all
+    networkUnlisted: ask           # ask | deny —— 未登録の宛先の扱い
+    networkUnattributed: allow     # allow | deny —— shell 帰属のない通信
+    networkInjectEnv: true         # 子プロセスに HTTP(S)_PROXY / ALL_PROXY を注入
+    networkAskTimeoutMs: 120000    # 承認待ちの上限。超過時は拒否
+    networkGrantTtlMs: 1800000     # 1 回の承認が有効なセッション期間
+```
+
+**段階的な動作**：許可ルールがなければ、どの宛先にも到達できません。未登録の宛先は、
+その接続を開いた shell コマンドのセッションに対して対話的承認へエスカレートし、承認すると
+その宛先が当該セッションで許可されます。**`deny` ルールが承認に回ることはありません** ——
+承認は「どのルールも禁止していない宛先」の到達性を広げられますが、禁止しているルールを
+覆すことはできません。
+
+**境界 —— 依存する前に必ず読んでください**：このプロキシは**協調型**のポリシー層であり、
+強制境界ではありません。プロキシ環境変数を**読む**クライアントの通信しか見えません。
+
+| クライアント | 遮断できるか |
+|--------------|--------------|
+| `curl`、`wget`、`git`、Go `net/http`、Python `requests` | ✅ |
+| **Node.js `http` / `https` / `fetch`** | ❌ **直接接続。プロキシから見えない** |
+| Java（`-D` プロキシ指定なし）、.NET `HttpClient` | ❌ |
+| 生ソケット、独自 TCP | ❌ |
+| DNS、QUIC/HTTP3、非 HTTP プロトコル | ❌ |
+| リテラル IP への接続 | ❌ |
+
+したがって `node -e "require('http').get('http://host/')"` のようなコマンドは**遮断されません**。
+これは「誤操作を防ぐガードレールであり、意図を宣言する場所」と考えてください。密閉された
+サンドボックスではありません。
+
+DSH **自身**の通信 —— 組み込みネットワークツールと LLM トランスポート —— は意図的に対象外
+です。これらの接続には shell 帰属がなく、`networkUnattributed: allow`（既定）がそのまま
+通します。審査するとホストが**自分自身を遮断**してしまい、取り逃すよりはるかに悪い障害に
+なります。ホストのクライアントがプロキシ環境変数を読まないと確信できる場合のみ `deny` に
+してください。
+
+稼働状態の照会：`GET /api/dsh-perm-gate/network`（モード / バインド / ポート / プロキシ稼働 /
+環境注入状態 / 遮断カウンタ / 直近の遮断）。
+
 ## 自动审查ティア（マシン値 `permissive`）
 
 自动审查は権限ピッカーの中で 読み取り専用 / ワークスペース内変更 / 完全権限 /
 許可リストと並ぶ**独立した承認ティア**です。汎用の「自動承認」ではなく、包括的な権限を
 発行することもありません。人間/LLM のシーム**の前**で判定を狭めたり広めたりする
-だけで、P0 ハード拒否は単調かつ交渉不能のままです。
-
-ピッカーの表示名は**ホストが供給する製品名**で、言語別辞書の項目ではありません。DSH 0.1.2 は
+だけで、P0 ハード拒否は**ゲート自身のスコープ内で**単調かつ交渉不能のままです。
+
+> **P0 はスコープ付きであり、グローバルではありません。** このゲートはセッションの権限プリセットが
+> `gatePresets`(既定は `permissive` / `permissive-full`)のいずれかである間だけ動作します。それ以外の
+> プリセット —— 読み取り専用 / ワークスペース内変更 / 完全権限 —— では **P0 ハード拒否を含むゲート
+> 全体が停止**し、選択されたティア自身のポリシーがそのセッションを統治します。これは意図的な設計です
+> (設定表の `gatePresets` を参照)が、「P0 は交渉不能」は**ゲートのティア内**で成立するものであり、
+> すべてのティアに跨るものではありません。停止は**沈黙しません**: セッション/プリセットの遷移ごとに
+> `stand-down` イベントを 1 件記録し、ブラウザは入力欄の上に **GATE OFF** の常駐ストリップを表示します。
+> `gatePresets: ['*']` に設定すると P0 は再びグローバルになります。
+
+**2 つのバリアントを同梱します。** プリセットの `sandbox` と `approval` は**独立した**ノブであり、
+両者を結び付けると悪いトレードオフを強いられるためです。
+
+| ピッカーの表示名 | マシン値 | sandbox | approval |
+|------------------|----------|---------|----------|
+| 自动审查 | `permissive` | `workspace-write` | `ask` |
+| 自动审查（高権限） | `permissive-full` | `danger-full-access` | `ask` |
+
+通常のティアは組み込みのファイルサンドボックスを維持します。そのサンドボックスは子プロセスの
+起動に必要な名前付きパイプも拒否するため、`git clone`、MSYS2/Cygwin の `sh.exe`、ConPTY は
+`Win32 error 5` / `couldn't create signal pipe` で失敗します。しかもゲートは
+**`gatePresets` に列挙したティアでしか動作しない**ため、ゲートを使いたい場合はこの制限を受け入れる
+必要がありました。「自动审查（高権限）」はこの結合を解きます —— **承認動作は同一のまま、ファイル
+サンドボックスの制限だけを外します**。どちらも既定の `gatePresets` に含まれるため、どちらを選んでも
+P0–P4 の全チェーンが動作します。ゲートはプリセットの**名前**だけを読み、sandbox モードは読みません。
+
+ピッカーの表示名は**ホストが供給する製品名**で、言語別辞書の項目ではありません。DSH は
 プラグイン提供ティアの `name:` を 2 つの権限サーフェス（一般設定の既定行と入力欄のピッカー）で
 そのまま描画し、自前のローカライズ済みラベルは 3 つの組み込み値にしか与えないため、
-`cordis.patch.yml` は全セッション共通で中国語ラベルを配布します。このティアは**アイコンを
-描きません** —— ピッカーのグリフは組み込み値にのみ紐づきます。
+`cordis.patch.yml` は全セッション共通で中国語ラベルを配布します。
+
+**アイコンは別の話です。** 入力欄のグリフ表は閉じており、その表自身のコメントが規則を述べています：
+*host-configured names outside the design set get none*。どちらのティアも組み込み値ではないため、
+アイコンは `npx dsh-perm-gate-patch-glyph` がその表に 2 項目を足すことで初めて付きます ——
+「自动审查」は `workspace-write` の盾＋鉛筆を、「自动审查（高权限）」は `danger-full-access` の
+盾＋感嘆符をコピーし、それぞれが実際に共有するファイルサンドボックスのグリフになります。このパッチは
+**ホスト**パッケージを書き換えるため、DSH アップグレードのたびに失われます ——
+[DSH アップグレード後：入力欄アイコンのパッチを再適用](./INSTALL.ja.md) を参照してください。
 
 `cordis.yml` では：
 
@@ -221,11 +329,13 @@ never` パススルー — は人手に変更なく委譲されるため、将
 セッションの権限ピッカーには「auto-approval」ではなく、**独立して選択できる承認
 ティア**として「自动审查」が並びます。
 
-ゲートが動作するのは **`gatePresets` に列挙したティアの中だけ**です（既定 `['permissive']`、
-このプラグインが追加するティア）。それ以外のティア（Read Only / Workspace Write /
+ゲートが動作するのは **`gatePresets` に列挙したティアの中だけ**です（既定
+`['permissive', 'permissive-full']`、このプラグインが追加する 2 つのティア）。それ以外のティア（Read Only / Workspace Write /
 Full access / `custom`）では、ゲートの判定フローは**一切実行されません**——許可も、ask も、
-拒否も、P0 ハード拒否も、拒否キーワードの遮断も、監査イベントの記録も行いません。選択された
-ティア自身の方針が呼び出しを決めます。`danger-full-access` の定義は「承認プロンプトなしの
+拒否も、P0 ハード拒否も、拒否キーワードの遮断も行いません。選択された
+ティア自身の方針が呼び出しを決めます。ただし**沈黙はしません**: セッション/プリセットの遷移ごとに
+`stand-down` イベントを 1 件だけ記録し（判定ではなく通知です）、ブラウザは入力欄の上に
+**GATE OFF** の常駐ストリップを表示します。`danger-full-access` の定義は「承認プロンプトなしの
 フルアクセス」であり、そこを ask で上書きしても意味がありません（その方針では DSH の承認シームが
 **どの answerer よりも先に** `rejected` を返し、転送された ask はパネルを一度も表示せず
 `the user rejected tool "..."` にしかなりません）。ハード拒否で上書きするのも、ユーザーが選んだ
@@ -247,7 +357,8 @@ Full access / `custom`）では、ゲートの判定フローは**一切実行
 `llmAssist` 有効時、設定された LLM（OpenAI 互換エンドポイントなら任意——`classifierEndpoint` / `classifierModel` / `classifierApiKey` を自分の API に向けてください）が構造化プロトコルで `ask` を 1 件ずつ判定します。**判定はゲートの `tools/pre-execute` ウォーターフォール内、決定がホストへ返る前に行われます**：`safe` はそのまま委譲されるため承認パネルは一切表示されず、本当に判断できない判定だけが人手に回ります。
 
 - `safe` → 自動許可（監査ソースは `classifier`）。パネルは表示されません。
-- `risky` + **ハードリスクカテゴリ**（`deletion`、`credential`、`remote`、`system`、`bulk`）→ **自動拒否**、パネルなし。ハードリスクは自動許可も学習もされません。
+- `risky` + **ハードリスクカテゴリ**（`deletion`、`credential`、`remote`、`system`、`bulk`）→ **人間への確認（ask）を維持**します。分類器は**決して拒否しません**。拒否は決定論的レイヤー（P0 ハード拒否、拒否キーワードのブラックリスト、明示的な `deny:` ルール）だけに属するため、誤判定されたカテゴリは常に交渉可能で、異議を唱えられないブロックにはなりません。ハードカテゴリが `neutral` と異なる重要な点は一つだけです: **決して学習されない**ため、承認を繰り返しても自動許可に沈殿しません。
+  （モデルの判断を拒否の根拠にした結果は実測済みです: 無害な `git commit -F …` が `remote` と判定され、パネルも再試行用の grant もない自動拒否が発生しました。）
 - `risky:neutral` → `riskLearning` 有効時（設定カード内、既定オフ）、人手で承認され実際に実行された neutral リスクは `tool|カテゴリ` ごとにカウントされ、`riskThreshold`（既定 3）到達かつ新呼び出しの操作指紋（コマンド語＋対象の基底名）が確認済みサンプルに一致した場合、**同一操作のみ**自動許可されます。学習沈殿（`riskSediment`、既定オン）を有効にすると、しきい値に達したキーの確認サンプルは**決定論的な許可ルール**になります：指紋の正確一致は LLM を経由せず自動許可——llmAssist オフでも継続し、沈殿ルールは設定カードで確認・管理（終止 / サンプル削除）できます。
 - タイムアウト（`riskTimeoutMs`、既定 20 秒、1 回リトライ）、通信失敗、プロトコル外出力は元の `ask` を維持します。
 
@@ -258,8 +369,11 @@ Full access / `custom`）では、ゲートの判定フローは**一切実行
 人手に回した `ask` は回答が返るまで追跡されます。受動的な `approval/request` オブザーバが閉じた結果を記録し（`allowed-once` → **承認**、`rejected` → **拒否**、`cancelled` → **キャンセル**、`unavailable` → 拒否＝承認チャネルなし）、オブザーバが関連付けできない場合（`callId` 欠落・approval サービスなし・上流リスナーの短絡）は `tools/result` が同じ ask をフォールバックとして解決します。承認時には承認後の学習進捗（`n`/しきい値）を表示し、通知バーも 3 つの終態にラベルを付けます。
 
 さらにプリセットの**拒否キーワード黑名単**（dsh-approval-gate の `DEFAULT_DENY_KEYWORDS` を継承：`rm -rf`、`push --force`、`drop table`、`mkfs`、`git reset --hard`、`docker system prune` など）を備え、テキストがキーワードを含む呼び出し（大小文字を区別しない部分一致）は許可リスト / 許可 / LLM より先に拒否します。設定カードでリストとして編集でき（プリセット項目にはタグ付き、ワンクリック復元対応）、未設定・空ならプリセットを適用します——黑名単が静かに無効化されることはありません。
-このティアは権限ピッカーに**アイコンを表示しません** —— ピッカーのグリフは組み込み 3 値にのみ
-紐づき、プラグイン提供ティアはテキストのみです。
+「自动审查」と「自动审查（高权限）」はどちらもピッカーにアイコンを描きます —— インストール
+ガイドに書かれたホストパッチが、それぞれが共有するファイルサンドボックスのティア
+（`workspace-write` と `danger-full-access`）からコピーしたものです。そのパッチが
+ない場合、両ティアはどのサーフェスでもテキストのみになります。ラベルとゲートは影響を
+受けません。
 
 
 ## CLI（スタンドアロン dry-run）

package/README.ko.md

@@ -27,7 +27,8 @@
 > | DSH 버전 | 브랜치 | 버전 | npm 태그 |
 > | --- | --- | --- | --- |
 > | 0.1.0-rc.7 ~ 0.1.1-rc.x | `legacy` | `1.x` | `@legacy` |
-> | 0.1.2-alpha.1+ (0.1.5-rc.2 포함) | `main` | `2.x` | `@latest` / `@dsh-0.1.2` (`@2.x`는 범위) |
+> | 0.1.2-alpha.1 ~ 0.1.5-rc.0 | `main` | `2.x` | `@latest` / `@dsh-0.1.2` (`@2.x`는 범위) |
+> | 0.1.5-rc.1+ | `sync/0.1.5-from-main` (=`compat/0.1.5`) | `3.x` | GitHub ref 설치 (dist-tag 미게시) |
 >
 > 버전 계열은 **DSH 라인**을 따릅니다(`1.x` = DSH ≤ 0.1.1, `2.x` = DSH 0.1.2+). 메이저
 > 버전이 서로를 차단하므로 `^1.x` 설치가 `2.x`를 해석하는 일은 없고 그 반대도
@@ -43,7 +44,7 @@
 > 모두에서 user-approval 서비스의 **개인** 메소드이므로 `typeof` 프로브를 통해
 > 읽으며, 누락되거나 예외 발생 시 "정책_unknown"으로 후퇴합니다.
 
-버전 **2.0.0** — 변경 내역은 [한국어 changelog](./CHANGELOG.ko.md)를 참고하세요.
+버전 **2.6.1** — 변경 내역은 [한국어 changelog](./CHANGELOG.ko.md)를 참고하세요.
 
 DeepSeek Harness용 단일·자족적·결정론 우선·fail-closed 권한 게이트입니다.
 
@@ -84,12 +85,37 @@ DSH 안전 생태계에서는 이 역할이 `dsh-permission-rules` / `dsh-auto-m
   모드**. 범용 "자동 승인"도 아니고 포괄적 권한 부여도 아닙니다. 프론트는 **단일 스위치**
   (`permissive`)만 노출하고, 백엔드의 네 가지 전략은 **조합 가능**하며 플러그인
   설정으로 제어됩니다. P0에 대해서는 여전히 fail-closed입니다.
-  권한 선택기와 설정 행 모두 제품명 「自动审查」로 표시하며 아이콘은 그리지 않습니다.
+  권한 선택기와 설정 행 모두 제품명 「自动审查」로 표시합니다. 아이콘은 아래를 참고하세요(내장 티어는 기본 제공, 플러그인 티어는 패치 필요).
 - **샌드박스 승격 자동 응답** (`trustEscalation`) — 샌드박스 승격은 shell / pwsh /
    edit 도구의 **내부**(`tools/pre-execute` 이후)에서 발생하므로 게이트가 이를 볼 수
    없고, 게이트가 자동 허용한 호출에도 확인 프롬프트가 나타납니다. 이 전략을 켜면 게이트가
    `callId`로 이미 허용한 호출을 정확히 매칭하여 여기서 직접 응답합니다.
 
+## 스크린샷
+
+**설정 카드 — 自动审查 티어**: 프론트는 단일 스위치만 노출하고, 백엔드의 네 전략은 조합
+가능합니다. `LlmAssist`는 세션의 현재 모델을 따르거나 Provider / Model을 고정할 수 있으며,
+헬스 테스트와 판정 학습을 갖춥니다:
+
+![설정 카드 — 自动审查 티어](assets/setting-head.png)
+![LlmAssist — Provider / Model / API Key](assets/llms.png)
+
+**게이트가 실제로 로드한 규칙** — `dsh-perm-gate-rules` 설정 네임스페이스에서 직접 읽은
+읽기 전용 뷰입니다. 패널에서는 바꿀 수 없습니다:
+
+![내장 규칙(읽기 전용)](assets/setting-rules.png)
+
+**권한 승인 기록** — 이 세션의 모든 판정을 최신순으로, 모델이 본 이유와 함께 표시합니다:
+
+![권한 승인 기록](assets/permlist.png)
+
+**판정 스트립** — 자동 허용은 근거(읽기 전용 도구 또는 LLM의 `safe` 판정)를 밝히고,
+게이트 정지도 결코 조용히 일어나지 않습니다:
+
+![ALLOW 스트립 — 읽기 전용 도구](assets/allow1.png)
+![ALLOW 스트립 — llm-assist safe](assets/allow2.png)
+![GATE OFF 스트립 — 게이트 정지](assets/gateoff.png)
+
 ## 설치
 
 [DeepSeek Harness](https://github.com/deepseek-ai/deepseek-harness)가 설치되어 있어야
@@ -114,7 +140,7 @@ dsh plugin --profile web add dsh-perm-gate
     rulesFile: ./permissions.yaml   # 선택. 기본값은 $DSH_HOME/perm-gate/rules.yml
     dshHome: $DSH_HOME              # 보호 대상 검사의 고정 루트
     defaultAction: ask              # allow | ask | deny
-    gatePresets: [permissive]       # 게이트가 활성화되는 티어(기본)
+    gatePresets: [permissive, permissive-full]   # 게이트가 활성화되는 티어(기본)
 ```
 
 ### 규칙 파일
@@ -144,18 +170,98 @@ permissions:
 
 전체 예시: [examples/permissions.example.yaml](./examples/permissions.example.yaml)
 
+### 네트워크 정책(선택적 활성화)
+
+로컬 HTTP/CONNECT 프록시입니다. **동일한 규칙 파일**로 **shell 서브프로세스**의 아웃바운드
+트래픽을 심사하고, 어떤 규칙에도 해당하지 않는 대상에는 승인 경로를 제공합니다. **기본값은
+비활성** —— 활성화하면 루프백 포트를 바인딩하고 자식 프로세스의 프록시 환경 변수를 다시 쓰기
+때문에 암묵적으로 켜지지 않습니다.
+
+```yaml
+- id: dsh-perm-gate
+  config:
+    networkEnabled: false          # 마스터 스위치(기본 false)
+    networkMode: whitelist         # deny-all | whitelist | allow-all
+    networkUnlisted: ask           # ask | deny —— 미등록 대상 처리
+    networkUnattributed: allow     # allow | deny —— shell 귀속 없는 트래픽
+    networkInjectEnv: true         # 자식 프로세스에 HTTP(S)_PROXY / ALL_PROXY 주입
+    networkAskTimeoutMs: 120000    # 승인 대기 상한, 초과 시 거부
+    networkGrantTtlMs: 1800000     # 승인 1회가 유효한 세션 기간
+```
+
+**단계적 동작**: 허용 규칙이 없으면 어떤 대상도 나갈 수 없습니다. 미등록 대상은 해당 연결을
+연 shell 명령의 세션에 대해 대화형 승인으로 에스컬레이션되고, 승인하면 그 대상이 해당
+세션에서 허용됩니다. **`deny` 규칙은 승인으로 올라가지 않습니다** —— 승인은 "어떤 규칙도
+금지하지 않은 대상"의 도달 범위를 넓힐 수 있지만, 금지하는 규칙을 뒤집을 수는 없습니다.
+
+**경계 —— 의존하기 전에 반드시 읽으십시오**: 이 프록시는 **협조형** 정책 계층이며 강제
+경계가 아닙니다. 프록시 환경 변수를 **읽는** 클라이언트의 트래픽만 볼 수 있습니다.
+
+| 클라이언트 | 차단 가능? |
+|------------|------------|
+| `curl`, `wget`, `git`, Go `net/http`, Python `requests` | ✅ |
+| **Node.js `http` / `https` / `fetch`** | ❌ **직접 연결. 프록시가 보지 못함** |
+| Java(`-D` 프록시 미지정), .NET `HttpClient` | ❌ |
+| 원시 소켓, 직접 구현한 TCP | ❌ |
+| DNS, QUIC/HTTP3, 비 HTTP 프로토콜 | ❌ |
+| 리터럴 IP 연결 | ❌ |
+
+따라서 `node -e "require('http').get('http://host/')"` 같은 명령은 **차단되지 않습니다**.
+이것을 "실수를 막는 가드레일이자 의도를 선언하는 지점"으로 보십시오. 밀폐된 샌드박스가
+아닙니다.
+
+DSH **자신**의 트래픽 —— 내장 네트워크 도구와 LLM 전송 —— 은 의도적으로 대상에서 제외됩니다.
+이 연결들은 shell 귀속이 없고, `networkUnattributed: allow`(기본값)가 그대로 통과시킵니다.
+심사하면 호스트가 **스스로를 차단**하게 되며, 이는 놓치는 것보다 훨씬 나쁜 장애입니다.
+호스트의 클라이언트가 프록시 환경 변수를 읽지 않는다고 확신할 때만 `deny`로 바꾸십시오.
+
+실시간 상태 조회: `GET /api/dsh-perm-gate/network`(모드 / 바인드 / 포트 / 프록시 활성 /
+환경 주입 상태 / 차단 카운터 / 최근 차단).
+
 ## 自动审查 티어(머신 값 `permissive`)
 
 自动审查는 권한 선택기에서 읽기 전용 / 워크스페이스 내 수정 / 완전 권한 / 허용 목록과
 나란한 **독립 승인 티어**입니다. 범용 "자동 승인"이 아니며 포괄적 권한을 발행하지도 않습니다.
-사람/LLM 심 **이전에** 판정을 좁히거나 넓힐 뿐이고, P0 하드 거부는 단조롭고 협상
-불가능하게 유지됩니다.
-
-선택기의 표시 이름은 **호스트가 공급하는 제품명**이며 언어별 사전 항목이 아닙니다. DSH 0.1.2는
+사람/LLM 심 **이전에** 판정을 좁히거나 넓힐 뿐이고, P0 하드 거부는 **게이트 자체 범위 안에서**
+단조롭고 협상 불가능하게 유지됩니다.
+
+> **P0는 범위가 있으며 전역이 아닙니다.** 이 게이트는 세션 권한 프리셋이 `gatePresets`(기본값
+> `permissive` / `permissive-full`) 중 하나일 때만 동작합니다. 그 밖의 프리셋 —— 읽기 전용 /
+> 워크스페이스 내 수정 / 완전 권한 —— 에서는 **P0 하드 거부를 포함한 게이트 전체가 정지**하고,
+> 선택된 티어 자체의 정책이 그 세션을 통치합니다. 의도된 설계이지만(설정 표의 `gatePresets` 참조),
+> "P0는 협상 불가"는 **게이트의 티어 안에서** 성립하는 것이지 모든 티어에 걸친 것이 아닙니다.
+> 정지는 **침묵하지 않습니다**: 세션/프리셋 전환마다 `stand-down` 이벤트 1건을 기록하고 브라우저는
+> 입력창 위에 **GATE OFF** 상시 표시줄을 띄웁니다. `gatePresets: ['*']`로 설정하면 P0는 다시
+> 전역이 됩니다.
+
+**두 가지 변형을 함께 제공합니다.** 프리셋의 `sandbox`와 `approval`은 **독립된** 노브이며, 둘을
+묶으면 나쁜 트레이드오프를 강요받기 때문입니다.
+
+| 선택기 표시 이름 | 머신 값 | sandbox | approval |
+|------------------|---------|---------|----------|
+| 自动审查 | `permissive` | `workspace-write` | `ask` |
+| 自动审查(고권한) | `permissive-full` | `danger-full-access` | `ask` |
+
+일반 티어는 내장 파일 샌드박스를 유지합니다. 그 샌드박스는 자식 프로세스 시작에 필요한 이름 있는
+파이프도 거부하므로 `git clone`, MSYS2/Cygwin의 `sh.exe`, ConPTY가 `Win32 error 5` /
+`couldn't create signal pipe`로 실패합니다. 게다가 게이트는 **`gatePresets`에 나열한 티어에서만
+동작**하므로, 게이트를 쓰려면 이 제한을 받아들여야 했습니다. 「自动审查(고권한)」는 이 결합을
+풉니다 —— **승인 동작은 동일하게 유지하고 파일 샌드박스 제한만 해제합니다**. 둘 다 기본
+`gatePresets`에 포함되므로 어느 쪽을 선택해도 P0–P4 전체 체인이 동작합니다. 게이트는 프리셋의
+**이름**만 읽고 sandbox 모드는 읽지 않습니다.
+
+선택기의 표시 이름은 **호스트가 공급하는 제품명**이며 언어별 사전 항목이 아닙니다. DSH는
 플러그인 티어의 `name:`을 두 권한 화면(일반 설정 기본 행과 입력창 선택기)에 그대로 렌더링하고
 자체 지역화 라벨은 세 가지 내장 값에만 부여하므로, `cordis.patch.yml`이 모든 세션에 중국어
-라벨을 배포합니다. 이 티어는 **아이콘을 그리지 않습니다** —— 선택기의 글리프는 내장 값에만
-연결됩니다.
+라벨을 배포합니다.
+
+**아이콘은 다른 이야기입니다.** 입력창의 글리프 표는 닫혀 있고, 그 표 자체의 주석이 규칙을
+말합니다: *host-configured names outside the design set get none*. 두 티어 모두 내장 값이 아니므로
+아이콘은 `npx dsh-perm-gate-patch-glyph`가 그 표에 항목 두 개를 넣어야 생깁니다 ——
+「自动审查」는 `workspace-write`의 방패+연필을, 「自动审查（高权限）」는 `danger-full-access`의
+방패+느낌표를 복사해 각자가 실제로 공유하는 파일 샌드박스의 글리프를 갖습니다.
+이 패치는 **호스트** 패키지를 고치므로 DSH 업그레이드마다 사라집니다 ——
+[DSH 업그레이드 후: 입력창 아이콘 패치 재적용](./INSTALL.ko.md)을 참고하세요.
 
 `cordis.yml`에서:
 
@@ -221,11 +327,13 @@ never` 패스스루 — 는 사람에 그대로 위임되므로 향후 DSH 변
 선택기에는 "auto-approval"이 아니라 **독립적으로 선택 가능한 승인 티어**인
 「自动审查」가 놓입니다.
 
-게이트가 동작하는 범위는 **`gatePresets`에 나열한 티어 안뿐**입니다(기본 `['permissive']`,
-이 플러그인이 추가하는 티어). 그 밖의 티어(Read Only / Workspace Write / Full access /
+게이트가 동작하는 범위는 **`gatePresets`에 나열한 티어 안뿐**입니다(기본
+`['permissive', 'permissive-full']`, 이 플러그인이 추가하는 두 티어). 그 밖의 티어(Read Only / Workspace Write / Full access /
 `custom`)에서는 게이트의 판정 흐름이 **전혀 실행되지 않습니다** — 허용도, ask도, 거부도,
-P0 하드 거부도, 거부 키워드 차단도, 감사 이벤트 기록도 하지 않습니다. 선택한 티어의 자체 정책이
-호출을 결정합니다. `danger-full-access`의 정의는 "승인 프롬프트 없는 전체 접근"이며, 이를 ask로
+P0 하드 거부도, 거부 키워드 차단도 하지 않습니다. 선택한 티어의 자체 정책이
+호출을 결정합니다. 다만 **침묵하지는 않습니다**: 세션/프리셋 전환마다 `stand-down` 이벤트를 1건만
+기록하고(판정이 아니라 알림입니다), 브라우저는 입력창 위에 **GATE OFF** 상시 표시줄을 띄웁니다.
+`danger-full-access`의 정의는 "승인 프롬프트 없는 전체 접근"이며, 이를 ask로
 덮어써도 의미가 없습니다(그 정책에서는 DSH 승인 시임이 **어떤 answerer보다도 먼저** `rejected`를
 반환해 전달된 ask는 패널을 한 번도 띄우지 못하고 `the user rejected tool "..."`만 남습니다).
 하드 거부로 덮어쓰는 것 역시 사용자가 고른 티어를 조용히 뒤집는 일입니다.
@@ -245,7 +353,8 @@ host는 네임스페이스를 live로 읽으므로 변경은 재시작 없이
 `llmAssist`가 켜져 있으면 설정된 LLM(OpenAI 호환 엔드포인트라면 무엇이든 — `classifierEndpoint` / `classifierModel` / `classifierApiKey`을 자신의 API로 지정)이 구조화된 프로토콜로 `ask`를 하나씩 판정합니다. **판정은 게이트의 `tools/pre-execute` 워터폴 안에서, 결정이 호스트로 반환되기 전에 이루어집니다**: `safe`는 곧바로 위임되므로 승인 패널이 아예 표시되지 않고, 정말로 판단할 수 없는 판정만 사람에게 전달됩니다.
 
 - `safe` → 자동 허용(감사 소스 `classifier`), 패널 없음.
-- `risky` + **하드 위험 카테고리**(`deletion`, `credential`, `remote`, `system`, `bulk`) → **자동 거부**, 패널 없음. 하드 위험은 자동 허용도 학습도 되지 않습니다.
+- `risky` + **하드 위험 카테고리**(`deletion`, `credential`, `remote`, `system`, `bulk`) → **사람 확인(ask)을 유지**합니다. 분류기는 **결코 거부하지 않습니다**. 거부는 결정론적 계층(P0 하드 거부, 거부 키워드 블랙리스트, 명시적 `deny:` 규칙)에만 속하므로, 잘못 판정된 카테고리는 언제나 협상 가능하며 이의를 제기할 수 없는 차단이 되지 않습니다. 하드 카테고리가 `neutral`과 다른 중요한 점은 하나뿐입니다: **결코 학습되지 않으므로** 승인을 반복해도 자동 허용으로 침전되지 않습니다.
+  (모델의 판단을 거부 근거로 삼은 결과는 실측되었습니다: 무해한 `git commit -F …`가 `remote`로 판정되어 패널도, 재시도용 grant도 없는 자동 거부가 발생했습니다.)
 - `risky:neutral` → `riskLearning` 활성 시(설정 카드, 기본 꺼짐), 사람이 승인하고 실제 실행된 neutral 위험은 `tool|카테고리` 키로 카운트되며, `riskThreshold`(기본 3) 도달 및 새 호출의 작업 지문(명령어 단어 + 대상 기본 이름)이 확인된 샘플과 일치하면 **동일 작업만** 자동 허용됩니다. 학습 침전(`riskSediment`, 기본 켜짐)을 사용하면 임계값에 도달한 키의 확인 샘플이 **결정론적 허용 규칙**이 됩니다: 지문이 정확히 일치하면 LLM 호출 없이 바로 허용——llmAssist가 꺼져도 유지되며, 침전 규칙은 설정 카드에서 확인·관리(종료 / 샘플 삭제)할 수 있습니다.
 - 시간 초과(`riskTimeoutMs`, 기본 20초, 1회 재시도), 전송 실패, 프로토콜 외 출력은 원래 `ask`를 유지합니다.
 
@@ -261,8 +370,10 @@ host는 네임스페이스를 live로 읽으므로 변경은 재시작 없이
 카드에서 목록으로 편집할 수 있고(프리셋 항목에는 태그 표시, 원클릭 복원 지원) 미설정·빈 목록 시 프리셋이
 적용됩니다——블랙리스트가 조용히 꺼지지 않습니다.
 블랙리스트가 조용히 꺼지는 일은 없습니다.
-이 티어는 권한 선택기에 **아이콘을 표시하지 않습니다** —— 선택기의 글리프는 내장 세 값에만
-연결되고, 플러그인 티어는 텍스트만입니다.
+「自动审查」와 「自动审查（高权限）」는 둘 다 선택기에 아이콘을 그립니다 — 설치 안내에 적힌
+호스트 패치가 각자가 공유하는 파일 샌드박스 티어(`workspace-write`와 `danger-full-access`)에서
+복사한 것입니다. 그 패치가 없으면 두 티어 모두 모든 화면에서 텍스트만 표시됩니다.
+라벨과 게이트는 영향을 받지 않습니다.
 
 
 ## CLI(독립 실행 dry-run)