evot-agent 0.4.1 → 0.5.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "evot-agent",
-  "version": "0.4.1",
+  "version": "0.5.0",
   "type": "module",
   "description": "Local browser agent for evot — browses sites with Claude or Codex and appends results as cells.",
   "license": "MIT",

package/src/backends/claude.js

@@ -30,7 +30,26 @@ export async function runClaudeJob(job) {
         preset: "claude_code",
         append: SYSTEM_APPEND,
       },
-      disallowedTools: ["Bash", "Write", "Edit", "NotebookEdit"],
+      // 내장 툴을 전부 비운다. allowedTools는 "확인 없이 자동 승인할 목록"이지 제한이
+      // 아니라서(SDK: "To restrict which tools are available, use the `tools` option
+      // instead"), 예전처럼 allowedTools에만 mcp__playwright를 넣으면 Read·Grep·WebFetch·
+      // WebSearch가 그대로 살아 있고 bypassPermissions 탓에 확인도 없이 실행됐다.
+      // tools는 "내장" 툴 집합만 지정하며(SDK가 --tools ""로 전달), MCP 서버는 mcpServers로
+      // 따로 붙으므로 Playwright는 그대로 남는다.
+      tools: [],
+      // 이름 기준 이중 차단 — tools:[]가 이미 막지만, 상위 설정 변화에 대비해 남긴다.
+      disallowedTools: [
+        "Bash",
+        "Write",
+        "Edit",
+        "NotebookEdit",
+        "Read",
+        "Glob",
+        "Grep",
+        "WebFetch",
+        "WebSearch",
+        "Agent",
+      ],
       mcpServers: {
         playwright: {
           type: "stdio",
@@ -38,6 +57,7 @@ export async function runClaudeJob(job) {
           args: mcp.args,
         },
       },
+      // MCP 툴은 프롬프트 없이 실행되도록 자동 승인 유지.
       allowedTools: ["mcp__playwright"],
     },
   })) {

package/src/backends/common.js

@@ -63,13 +63,18 @@ export const SYSTEM_APPEND = [
  */
 export function buildPlaywrightMcp(headless) {
   const playwrightArgs = [
-    "@playwright/mcp",
+    // 버전 고정: readonly-proxy의 차단 목록은 이 버전의 툴 셋에 맞춰져 있다. 전역 설치(~/.evot-agent)
+    // 에서 npx는 로컬 node_modules가 없어 미고정 시 레지스트리 최신을 받으므로, 새 버전이 추가한
+    // 쓰기 툴이 차단을 우회할 수 있다. package.json의 @playwright/mcp 핀과 일치시킨다.
+    "@playwright/mcp@0.0.77",
     "--browser",
     "chrome",
     "--user-data-dir",
     PROFILE_DIR,
   ];
   if (headless) playwrightArgs.push("--headless");
+  // NOTE: posix(macOS/Linux) 기준. Windows에서는 프록시가 "npx"를 그대로 spawn하면
+  // ENOENT/.cmd 스폰 정책에 걸릴 수 있어 별도 검증이 필요하다(현재 미검증 — 백로그).
   return {
     command: process.execPath,
     args: [READONLY_PROXY_PATH, "npx", ...playwrightArgs],

package/src/browse.js

@@ -10,12 +10,22 @@ const BACKENDS = {
 
 /**
  * 실행 백엔드를 고른다. 우선순위: 명시 인자 > EVOT_AGENT_BACKEND > 기본 "claude".
+ *
+ * delegated(구독 위임 잡)면 codex를 거부한다. codex는 read-only 샌드박스라 쓰기·네트워크는
+ * 막아도 내장 shell의 읽기는 허용이라, 남의 지시로 내 머신에서 도는 잡에는 허용할 수 없다
+ * (claude는 tools:[]로 shell·Read가 아예 없다). 현재 서버가 위임 잡을 만들지 않아 항상
+ * false지만, 위임이 되살아나도 Codex 경로가 열리지 않도록 남겨둔 안전망이다.
  */
-export function resolveBackend(explicit) {
+export function resolveBackend(explicit, opts = {}) {
   const name = (explicit || process.env.EVOT_AGENT_BACKEND || "claude").toLowerCase();
   if (!BACKENDS[name]) {
     throw new Error(`Unknown backend "${name}". Use "claude" or "codex".`);
   }
+  if (opts.delegated && name === "codex") {
+    const err = new Error("Codex runtime is not allowed for delegated tasks.");
+    err.delegatedBackendBlocked = true;
+    throw err;
+  }
   return name;
 }
 
@@ -66,7 +76,7 @@ export function parseSegments(raw) {
  * 백엔드는 최종 텍스트만 책임지고, LOGIN_REQUIRED 마커·빈결과 판정·파싱은 여기서 공통 처리한다.
  */
 export async function runBrowseJob(job, opts = {}) {
-  const backend = resolveBackend(opts.backend);
+  const backend = resolveBackend(opts.backend, { delegated: opts.delegated });
   const finalText = await BACKENDS[backend](job);
 
   // 세션만료 마커: 모델이 로그인 벽에 막혀 정상 종료해도 실패로 다룬다.
@@ -102,8 +112,21 @@ function isSafeDomain(d) {
  * 잡 실패를 셀/텔레그램에 남길 사용자용 텍스트로 조립한다.
  * loginDomain(세션만료 마커)이 있으면 재로그인 절차를 안내한다.
  */
-export function describeJobFailure(err) {
+export function describeJobFailure(err, backend) {
   const msg = err?.message ?? "";
+  // 활성 백엔드(claude/codex). 미로그인 안내를 실제 실행 백엔드에 한해서만 내보내,
+  // 방문한 웹페이지의 "unauthorized/login" 문구를 CLI 미로그인으로 오인하는 것을 막는다.
+  const runtime = (backend || "claude").toLowerCase();
+
+  // 위임 잡인데 런타임이 Codex — 백엔드 선택 단계에서 거부된 경우.
+  if (err?.delegatedBackendBlocked) {
+    return [
+      "This task came from a Vot subscription, and the connected computer is set to the Codex runtime.",
+      "Subscription tasks only run on the Claude Code runtime for safety.",
+      "",
+      "To enable them, switch the runtime to Claude Code in Settings → Computer Use on that computer.",
+    ].join("\n");
+  }
 
   if (err?.loginDomain && isSafeDomain(err.loginDomain)) {
     return [
@@ -133,8 +156,8 @@ export function describeJobFailure(err) {
     ].join("\n");
   }
 
-  // Codex 백엔드 미로그인 — 유저 컴퓨터에 Codex가 없거나 로그인 안 된 상태로 실행한 경우.
-  if (/codex is not signed in|codex login/i.test(msg)) {
+  // Codex 백엔드 미로그인 — codex 실행일 때만. 유저 컴퓨터에 Codex가 없거나 미로그인.
+  if (runtime === "codex" && /not signed in|codex login/i.test(msg)) {
     return [
       "Codex is not signed in on the connected computer, so this task could not run.",
       "",
@@ -143,8 +166,10 @@ export function describeJobFailure(err) {
     ].join("\n");
   }
 
-  // Claude Code 백엔드 미로그인/인증 실패 — Codex 대칭 보강.
-  if (/not logged in|invalid api key|\/login|unauthorized|authentication|credential/i.test(msg)) {
+  // Claude Code 백엔드 미로그인/인증 실패 — claude 실행일 때만. 정규식은 SDK가 내는
+  // 인증 에러(로그인/API 키)에 한정한다. 웹페이지의 401 "unauthorized/authentication"을
+  // CLI 미로그인으로 오인하지 않도록 그런 범용 단어는 매칭에서 제외한다.
+  if (runtime === "claude" && /not logged in|invalid api key|please run.*\/login|\bno api key\b/i.test(msg)) {
     return [
       "Claude Code is not logged in on the connected computer, so this task could not run.",
       "",

package/src/readonly-proxy.js

@@ -27,9 +27,10 @@ const BLOCKED = new Set([
 ]);
 
 const BLOCK_MESSAGE =
-  "This tool is blocked: the evot agent is read-only and cannot perform write actions " +
-  "(form fill/submit, uploads, native <select>, drag/drop, dialogs, arbitrary JS). " +
-  "Read and summarize what is visible instead, or report that the task needs a write action.";
+  "This tool is blocked. The evot agent runs in a restricted mode: bulk form fill, " +
+  "file uploads, native <select>, drag/drop, dialogs, and arbitrary JS execution are " +
+  "disabled. Read and summarize what is visible instead, or report that the task needs " +
+  "one of these blocked actions.";
 
 const childArgs = process.argv.slice(2);
 if (childArgs.length === 0) {
@@ -42,11 +43,14 @@ const child = spawn(childArgs[0], childArgs.slice(1), {
   stdio: ["pipe", "pipe", "inherit"],
 });
 
-child.on("exit", (code) => process.exit(code ?? 0));
+child.on("exit", (code, signal) => process.exit(code ?? (signal ? 1 : 0)));
 child.on("error", (err) => {
   process.stderr.write(`readonly-proxy: failed to start child: ${err.message}\n`);
   process.exit(1);
 });
+// child가 먼저 종료된 뒤의 write는 EPIPE를 던진다 — 프록시 크래시 대신 조용히 무시
+// (파이프가 닫히면 클라이언트가 stdout 종료를 감지해 잡 에러로 표면화한다).
+child.stdin.on("error", () => {});
 
 function writeToClient(obj) {
   process.stdout.write(JSON.stringify(obj) + "\n");

package/src/sync.js

@@ -55,11 +55,13 @@ async function runJob(job, localBackend) {
         start_url: job.start_url ?? undefined,
         headless: true,
       },
-      { backend },
+      // delegated: 구독 위임 잡(내 지시가 아니라 구독자 지시로 내 머신에서 도는 잡).
+      // 현재 서버는 위임 잡을 만들지 않아 항상 false — 재도입 대비 안전망.
+      { backend, delegated: job.delegated === true },
     ));
   } catch (err) {
     console.error(`Job ${job.id} failed: ${err.message}`);
-    text = describeJobFailure(err);
+    text = describeJobFailure(err, backend);
     status = "error";
   }
   try {