evot-agent 0.4.0 → 0.5.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "evot-agent",
-  "version": "0.4.0",
+  "version": "0.5.0",
   "type": "module",
   "description": "Local browser agent for evot — browses sites with Claude or Codex and appends results as cells.",
   "license": "MIT",

package/src/backends/claude.js

@@ -1,6 +1,6 @@
 import { query } from "@anthropic-ai/claude-agent-sdk";
 import { AGENT_DIR } from "../config.js";
-import { SYSTEM_APPEND, buildMcpArgs } from "./common.js";
+import { SYSTEM_APPEND, buildPlaywrightMcp } from "./common.js";
 
 /**
  * 잡을 Claude Agent SDK + Playwright MCP(전용 프로필)로 실행하고 최종 텍스트를 돌려준다.
@@ -12,7 +12,7 @@ export async function runClaudeJob(job) {
   const prompt = promptParts.join("\n");
 
   const headless = job.headless !== false;
-  const mcpArgs = buildMcpArgs(headless);
+  const mcp = buildPlaywrightMcp(headless);
   console.log(headless ? "Browsing headlessly (no window)." : "Browsing with a visible window.");
 
   let finalText = "";
@@ -30,14 +30,34 @@ export async function runClaudeJob(job) {
         preset: "claude_code",
         append: SYSTEM_APPEND,
       },
-      disallowedTools: ["Bash", "Write", "Edit", "NotebookEdit"],
+      // 내장 툴을 전부 비운다. allowedTools는 "확인 없이 자동 승인할 목록"이지 제한이
+      // 아니라서(SDK: "To restrict which tools are available, use the `tools` option
+      // instead"), 예전처럼 allowedTools에만 mcp__playwright를 넣으면 Read·Grep·WebFetch·
+      // WebSearch가 그대로 살아 있고 bypassPermissions 탓에 확인도 없이 실행됐다.
+      // tools는 "내장" 툴 집합만 지정하며(SDK가 --tools ""로 전달), MCP 서버는 mcpServers로
+      // 따로 붙으므로 Playwright는 그대로 남는다.
+      tools: [],
+      // 이름 기준 이중 차단 — tools:[]가 이미 막지만, 상위 설정 변화에 대비해 남긴다.
+      disallowedTools: [
+        "Bash",
+        "Write",
+        "Edit",
+        "NotebookEdit",
+        "Read",
+        "Glob",
+        "Grep",
+        "WebFetch",
+        "WebSearch",
+        "Agent",
+      ],
       mcpServers: {
         playwright: {
           type: "stdio",
-          command: "npx",
-          args: mcpArgs,
+          command: mcp.command,
+          args: mcp.args,
         },
       },
+      // MCP 툴은 프롬프트 없이 실행되도록 자동 승인 유지.
       allowedTools: ["mcp__playwright"],
     },
   })) {

package/src/backends/codex.js

@@ -2,7 +2,7 @@ import { homedir } from "node:os";
 import { join } from "node:path";
 import { mkdir, copyFile, chmod } from "node:fs/promises";
 import { AGENT_DIR, PROFILE_DIR } from "../config.js";
-import { SYSTEM_APPEND, buildMcpArgs } from "./common.js";
+import { SYSTEM_APPEND, buildPlaywrightMcp } from "./common.js";
 
 // ChatGPT 계정에서 쓸 수 있는 모델(사용자 config.toml 기본값 gpt-5.3-codex 등은 미지원).
 // 중간급(밸런스) 기본값. 더 강한/약한 모델이 필요하면 EVOT_AGENT_CODEX_MODEL로 교체
@@ -57,7 +57,7 @@ export async function runCodexJob(job) {
   const prompt = promptParts.join("\n");
 
   const headless = job.headless !== false;
-  const mcpArgs = buildMcpArgs(headless);
+  const mcp = buildPlaywrightMcp(headless);
   console.log(headless ? "Browsing headlessly (no window)." : "Browsing with a visible window.");
 
   // ChatGPT 로그인 크리덴셜 강제: API 키가 있으면 로그인 흐름과 충돌(이슈 #3286).
@@ -72,8 +72,8 @@ export async function runCodexJob(job) {
     config: {
       mcp_servers: {
         playwright: {
-          command: "npx",
-          args: mcpArgs,
+          command: mcp.command,
+          args: mcp.args,
           default_tools_approval_mode: "approve",
         },
       },

package/src/backends/common.js

@@ -1,5 +1,9 @@
+import { fileURLToPath } from "node:url";
 import { PROFILE_DIR } from "../config.js";
 
+// 읽기 전용 프록시 절대 경로(src/readonly-proxy.js). backends/에서 상위 src/로.
+const READONLY_PROXY_PATH = fileURLToPath(new URL("../readonly-proxy.js", import.meta.url));
+
 // 백엔드(claude/codex)가 공유하는 프롬프트·상수. 순환 import을 피하려고
 // browse.js가 아니라 이 leaf 모듈에 둔다(config.js에만 의존).
 
@@ -19,6 +23,14 @@ export const SYSTEM_APPEND = [
   "  LOGIN_REQUIRED: <domain>",
   '  (e.g. "LOGIN_REQUIRED: news.ycombinator.com"). No other text.',
   "",
+  "YOUTUBE:",
+  "- Do NOT play the video. Open the description (\"more\"/\"더보기\") and click",
+  '  "Show transcript"("스크립트 표시") — the FULL transcript loads into the panel at',
+  "  once; read it with a single snapshot (scroll the transcript panel only if the",
+  "  snapshot is truncated). Summarize from that text.",
+  "- If no transcript exists, fall back to metadata only: title, channel, description,",
+  "  and chapters — and say the summary is metadata-based.",
+  "",
   "MISSION FIDELITY:",
   "- Complete exactly what the user asked. Do not narrow the scope on your own or",
   "  substitute a different deliverable — e.g. do NOT return only text/metadata when",
@@ -44,17 +56,27 @@ export const SYSTEM_APPEND = [
 ].join("\n");
 
 /**
- * Playwright MCP(stdio) 실행 인자. 기본은 headless(창 없이),
- * headless === false면 창을 띄운다(봇차단 폴백). 전용 프로필을 재사용한다.
+ * Playwright MCP(stdio) 서버 스펙 { command, args }을 만든다.
+ * 읽기 전용 프록시(readonly-proxy.js)를 앞단에 끼워 쓰기 계열 툴을 물리 차단한다:
+ *   command = 현재 node 실행파일, args = [proxy.js, "npx", "@playwright/mcp", ...]
+ * 기본은 headless(창 없이), headless === false면 창을 띄운다(봇차단 폴백). 전용 프로필 재사용.
  */
-export function buildMcpArgs(headless) {
-  const args = [
-    "@playwright/mcp",
+export function buildPlaywrightMcp(headless) {
+  const playwrightArgs = [
+    // 버전 고정: readonly-proxy의 차단 목록은 이 버전의 툴 셋에 맞춰져 있다. 전역 설치(~/.evot-agent)
+    // 에서 npx는 로컬 node_modules가 없어 미고정 시 레지스트리 최신을 받으므로, 새 버전이 추가한
+    // 쓰기 툴이 차단을 우회할 수 있다. package.json의 @playwright/mcp 핀과 일치시킨다.
+    "@playwright/mcp@0.0.77",
     "--browser",
     "chrome",
     "--user-data-dir",
     PROFILE_DIR,
   ];
-  if (headless) args.push("--headless");
-  return args;
+  if (headless) playwrightArgs.push("--headless");
+  // NOTE: posix(macOS/Linux) 기준. Windows에서는 프록시가 "npx"를 그대로 spawn하면
+  // ENOENT/.cmd 스폰 정책에 걸릴 수 있어 별도 검증이 필요하다(현재 미검증 — 백로그).
+  return {
+    command: process.execPath,
+    args: [READONLY_PROXY_PATH, "npx", ...playwrightArgs],
+  };
 }

package/src/browse.js

@@ -10,12 +10,22 @@ const BACKENDS = {
 
 /**
  * 실행 백엔드를 고른다. 우선순위: 명시 인자 > EVOT_AGENT_BACKEND > 기본 "claude".
+ *
+ * delegated(구독 위임 잡)면 codex를 거부한다. codex는 read-only 샌드박스라 쓰기·네트워크는
+ * 막아도 내장 shell의 읽기는 허용이라, 남의 지시로 내 머신에서 도는 잡에는 허용할 수 없다
+ * (claude는 tools:[]로 shell·Read가 아예 없다). 현재 서버가 위임 잡을 만들지 않아 항상
+ * false지만, 위임이 되살아나도 Codex 경로가 열리지 않도록 남겨둔 안전망이다.
  */
-export function resolveBackend(explicit) {
+export function resolveBackend(explicit, opts = {}) {
   const name = (explicit || process.env.EVOT_AGENT_BACKEND || "claude").toLowerCase();
   if (!BACKENDS[name]) {
     throw new Error(`Unknown backend "${name}". Use "claude" or "codex".`);
   }
+  if (opts.delegated && name === "codex") {
+    const err = new Error("Codex runtime is not allowed for delegated tasks.");
+    err.delegatedBackendBlocked = true;
+    throw err;
+  }
   return name;
 }
 
@@ -66,7 +76,7 @@ export function parseSegments(raw) {
  * 백엔드는 최종 텍스트만 책임지고, LOGIN_REQUIRED 마커·빈결과 판정·파싱은 여기서 공통 처리한다.
  */
 export async function runBrowseJob(job, opts = {}) {
-  const backend = resolveBackend(opts.backend);
+  const backend = resolveBackend(opts.backend, { delegated: opts.delegated });
   const finalText = await BACKENDS[backend](job);
 
   // 세션만료 마커: 모델이 로그인 벽에 막혀 정상 종료해도 실패로 다룬다.
@@ -102,7 +112,22 @@ function isSafeDomain(d) {
  * 잡 실패를 셀/텔레그램에 남길 사용자용 텍스트로 조립한다.
  * loginDomain(세션만료 마커)이 있으면 재로그인 절차를 안내한다.
  */
-export function describeJobFailure(err) {
+export function describeJobFailure(err, backend) {
+  const msg = err?.message ?? "";
+  // 활성 백엔드(claude/codex). 미로그인 안내를 실제 실행 백엔드에 한해서만 내보내,
+  // 방문한 웹페이지의 "unauthorized/login" 문구를 CLI 미로그인으로 오인하는 것을 막는다.
+  const runtime = (backend || "claude").toLowerCase();
+
+  // 위임 잡인데 런타임이 Codex — 백엔드 선택 단계에서 거부된 경우.
+  if (err?.delegatedBackendBlocked) {
+    return [
+      "This task came from a Vot subscription, and the connected computer is set to the Codex runtime.",
+      "Subscription tasks only run on the Claude Code runtime for safety.",
+      "",
+      "To enable them, switch the runtime to Claude Code in Settings → Computer Use on that computer.",
+    ].join("\n");
+  }
+
   if (err?.loginDomain && isSafeDomain(err.loginDomain)) {
     return [
       `The agent is signed out of ${err.loginDomain}, so this task could not be completed.`,
@@ -121,5 +146,43 @@ export function describeJobFailure(err) {
       "with the site you want to collect from, sign in once, then ask the Vot to retry.",
     ].join("\n");
   }
-  return `The agent could not complete this task.\n\nReason: ${err?.message ?? "unknown"}`;
+
+  // 실행 시간 초과(Codex 벽시계 타임아웃 등) — 무엇을 하라고 명확히 안내.
+  if (err?.name === "AbortError" || /\baborted?\b|timed out|timeout/i.test(msg)) {
+    return [
+      "The task timed out on the connected computer before it finished.",
+      "",
+      "Try a narrower or simpler request, then ask the Vot to retry.",
+    ].join("\n");
+  }
+
+  // Codex 백엔드 미로그인 — codex 실행일 때만. 유저 컴퓨터에 Codex가 없거나 미로그인.
+  if (runtime === "codex" && /not signed in|codex login/i.test(msg)) {
+    return [
+      "Codex is not signed in on the connected computer, so this task could not run.",
+      "",
+      "To fix it, run `codex login` in a terminal on that computer, then ask the Vot to retry.",
+      "Or switch the runtime to Claude Code in Settings → Computer Use.",
+    ].join("\n");
+  }
+
+  // Claude Code 백엔드 미로그인/인증 실패 — claude 실행일 때만. 정규식은 SDK가 내는
+  // 인증 에러(로그인/API 키)에 한정한다. 웹페이지의 401 "unauthorized/authentication"을
+  // CLI 미로그인으로 오인하지 않도록 그런 범용 단어는 매칭에서 제외한다.
+  if (runtime === "claude" && /not logged in|invalid api key|please run.*\/login|\bno api key\b/i.test(msg)) {
+    return [
+      "Claude Code is not logged in on the connected computer, so this task could not run.",
+      "",
+      "To fix it, run `claude` in a terminal on that computer and log in with `/login`,",
+      "then ask the Vot to retry (this is separate from the Claude desktop app login).",
+    ].join("\n");
+  }
+
+  return [
+    "The agent could not complete this task.",
+    "",
+    `Reason: ${msg || "unknown"}`,
+    "",
+    "Check the connected computer and the agent status in Settings → Computer Use.",
+  ].join("\n");
 }

package/src/login.js

@@ -37,7 +37,28 @@ export async function runLogin(url) {
       "When you're done, just close the browser window.\n",
   );
 
-  // 유저가 창을 닫을 때까지 대기.
-  await new Promise((resolve) => context.on("close", resolve));
+  // 유저가 모든 탭을 닫으면 완료로 간주하고, 데몬이 직접 context.close()로 마무리한다.
+  // context.on("close") 하나에만 의존하면 macOS에서 창의 빨간 X를 눌러도 CDP 파이프가 남아
+  // Chrome 프로세스가 죽지 않고(=close 미발화) CLI가 행 + 프로필 SingletonLock을 계속 쥔다.
+  // 이후 browse 잡이 프로필 락 충돌로 실패하는 걸 막으려면 여기서 확실히 닫아야 한다.
+  await new Promise((resolve) => {
+    let done = false;
+    const finish = async () => {
+      if (done) return;
+      done = true;
+      try {
+        await context.close(); // Chrome 프로세스·프로필 락을 확실히 해제
+      } catch {
+        // 이미 닫힌 경우 무시
+      }
+      resolve();
+    };
+    const onPageClose = () => {
+      if (context.pages().length === 0) void finish();
+    };
+    for (const p of context.pages()) p.on("close", onPageClose);
+    context.on("page", (p) => p.on("close", onPageClose));
+    context.on("close", () => void finish()); // 프로세스가 정상 종료되는 경우도 처리
+  });
   console.log("Login session saved. You can now run jobs against those sites.");
 }

package/src/readonly-proxy.js

@@ -0,0 +1,109 @@
+// evot 로컬 에이전트 읽기 전용 MCP 프록시.
+// Claude/Codex ↔ @playwright/mcp 사이 stdio JSON-RPC(NDJSON) 파이프 중간에 끼어:
+//   - tools/list 응답에서 쓰기 계열 툴을 제거 → 모델이 아예 목록에서 못 본다.
+//   - 혹시 이름으로 직접 tools/call 하더라도 하위 서버로 전달하지 않고 isError로 즉시 거절.
+// allowlist가 없는 Codex 백엔드에서도 쓰기 동작이 물리적으로 차단된다(프롬프트에만 의존 X).
+// 의존성 0(node 내장만). MCP stdio는 줄 단위 JSON이라 readline으로 충분하다.
+//
+// 실행: node readonly-proxy.js <child-command> [child-args...]
+//   예) node readonly-proxy.js npx @playwright/mcp --browser chrome --user-data-dir <dir>
+
+import { spawn } from "node:child_process";
+import { createInterface } from "node:readline";
+
+// 상태를 바꿀 수 있는 툴 — 물리 차단.
+// click/type/press_key/navigate/snapshot/hover 등 읽기·탐색에 필요한 툴은 허용한다
+// (더보기·transcript 클릭, 검색어 입력, 쿠키 배너 닫기 등). 폼 일괄 작성·파일 업로드·
+// 임의 JS 실행·네이티브 select·드래그·다이얼로그 승인 등 쓰기의 핵심 경로만 막는다.
+const BLOCKED = new Set([
+  "browser_fill_form",
+  "browser_file_upload",
+  "browser_select_option",
+  "browser_drag",
+  "browser_drop",
+  "browser_evaluate",
+  "browser_run_code_unsafe",
+  "browser_handle_dialog",
+]);
+
+const BLOCK_MESSAGE =
+  "This tool is blocked. The evot agent runs in a restricted mode: bulk form fill, " +
+  "file uploads, native <select>, drag/drop, dialogs, and arbitrary JS execution are " +
+  "disabled. Read and summarize what is visible instead, or report that the task needs " +
+  "one of these blocked actions.";
+
+const childArgs = process.argv.slice(2);
+if (childArgs.length === 0) {
+  process.stderr.write("readonly-proxy: missing child command\n");
+  process.exit(1);
+}
+
+const child = spawn(childArgs[0], childArgs.slice(1), {
+  // stderr는 그대로 흘려보내 하위 MCP 서버 로그를 보존한다(디버깅).
+  stdio: ["pipe", "pipe", "inherit"],
+});
+
+child.on("exit", (code, signal) => process.exit(code ?? (signal ? 1 : 0)));
+child.on("error", (err) => {
+  process.stderr.write(`readonly-proxy: failed to start child: ${err.message}\n`);
+  process.exit(1);
+});
+// child가 먼저 종료된 뒤의 write는 EPIPE를 던진다 — 프록시 크래시 대신 조용히 무시
+// (파이프가 닫히면 클라이언트가 stdout 종료를 감지해 잡 에러로 표면화한다).
+child.stdin.on("error", () => {});
+
+function writeToClient(obj) {
+  process.stdout.write(JSON.stringify(obj) + "\n");
+}
+function writeToServer(line) {
+  child.stdin.write(line + "\n");
+}
+
+// 클라이언트(Claude/Codex) → 서버: 차단 툴 호출은 가로채 즉시 거절, 나머진 원문 그대로 전달.
+const fromClient = createInterface({ input: process.stdin });
+fromClient.on("line", (line) => {
+  if (!line.trim()) return;
+  let msg;
+  try {
+    msg = JSON.parse(line);
+  } catch {
+    writeToServer(line); // 파싱 불가 → 원문 전달(프로토콜 훼손 방지)
+    return;
+  }
+  if (msg?.method === "tools/call" && BLOCKED.has(msg?.params?.name)) {
+    writeToClient({
+      jsonrpc: "2.0",
+      id: msg.id,
+      result: { content: [{ type: "text", text: BLOCK_MESSAGE }], isError: true },
+    });
+    return;
+  }
+  writeToServer(line);
+});
+fromClient.on("close", () => {
+  try {
+    child.stdin.end();
+  } catch {
+    // 이미 닫힌 경우 무시
+  }
+});
+
+// 서버 → 클라이언트: tools/list 응답에서 차단 툴을 제거, 나머진 원문 그대로 전달.
+// tools/list 응답은 result.tools 배열 형태로 고유 식별되므로 요청 id 추적이 불필요하다.
+const fromServer = createInterface({ input: child.stdout });
+fromServer.on("line", (line) => {
+  if (!line.trim()) return;
+  let msg;
+  try {
+    msg = JSON.parse(line);
+  } catch {
+    process.stdout.write(line + "\n"); // 파싱 불가 → 원문 전달
+    return;
+  }
+  if (msg?.result && Array.isArray(msg.result.tools)) {
+    msg.result.tools = msg.result.tools.filter((tool) => !BLOCKED.has(tool?.name));
+    writeToClient(msg);
+    return;
+  }
+  process.stdout.write(line + "\n");
+});

package/src/sync.js

@@ -55,11 +55,13 @@ async function runJob(job, localBackend) {
         start_url: job.start_url ?? undefined,
         headless: true,
       },
-      { backend },
+      // delegated: 구독 위임 잡(내 지시가 아니라 구독자 지시로 내 머신에서 도는 잡).
+      // 현재 서버는 위임 잡을 만들지 않아 항상 false — 재도입 대비 안전망.
+      { backend, delegated: job.delegated === true },
     ));
   } catch (err) {
     console.error(`Job ${job.id} failed: ${err.message}`);
-    text = describeJobFailure(err);
+    text = describeJobFailure(err, backend);
     status = "error";
   }
   try {