leerness 1.35.9 → 1.35.11

package/CHANGELOG.md

@@ -1,5 +1,33 @@
 # Changelog
 
+## 1.35.11 — 2026-07-06 — codex 협업 contract verify 적대적 헌트: FP 3종 수정 ($ 필드 정규식 + bracket export + 코드펜스 예제)
+
+**사용자 지시 "codex와 협업" 라운드 ① — contract verify 적대적 헌트.** codex(gpt-5.5 xhigh 독립 분석)와 Claude(프로브+맹신X 검수) 병렬로 FN/FP/crash 사냥. codex 9건 제기 → 재현으로 검증: 3건 확정 수정, 3건 by-design/heuristic 한계(백로그), 3건은 이미 수정한 `$` 정규식 계열, 1건은 codex 환각(재현 기각).
+
+### 확정 FP (재현 확인 → 수정)
+- **① 필드명 `$` 정규식-앵커 오탐 (Claude 발견)**: `## Fields` 필드가 `new RegExp(\`\\b${f}\\b\`)` 로 impl 소스에 grep 되는데 JS 식별자에 유효한 `$` 가 **정규식 앵커로 해석**돼 `$scope`/`foo$bar` 실존 필드를 **항상 missing 오탐(exit 1)** → CI 계약이 compliant impl 거짓 차단. `\b` 도 `$`-접두 식별자 앞에서 경계 못 잡음. → 메타문자 이스케이프 + **식별자-경계 룩어라운드**(`(?<![\w$])x(?![\w$])`, Node≥18)로 교체. (함수 검사는 Set 멤버십이라 무관 — `$init` 정상.)
+- **② bracket export 미인식 (codex #8)**: `exports["foo"] = function(){}` 를 `_parseImplExports` 가 dot 표기만 인식해 미노출 → 실존 함수를 누락 오판. bracket 패턴 추가.
+- **③ 코드펜스 예제를 계약으로 오인 (codex #9)**: spec 의 ```` ```js function helper(){} ``` ```` 예제가 `_parseContractSpec` 에서 declared 로 잡혀 impl 에 helper 강제 → 예제 있는 정상 spec 거짓 차단. triple-backtick 블록 제거 후 선언/필드 추출.
+
+### 백로그 (heuristic 한계/by-design — 수정 안 함, UR-0016 AST)
+- 필드/함수가 주석·문자열에만 존재 → grep 통과(FN, codex #1): grep-presence 검사의 문서화된 한계. 함수를 stub/비함수값으로 export → 통과(codex #6): contract 는 presence, verify-claim 이 substance(설계상 분리). backtick 약언급 미게이팅(codex #5): 산문 FP 회피 위한 의도적 관대. codex #7(ESM export-list)는 **재현서 이미 인식됨을 확인 → 환각 기각**. 세 수정 모두 위 한계를 악화시키지 않음.
+
+### 검증
+- selftest **271** (신규: `_parseImplExports` bracket + `_parseContractSpec` 펜스제외 순수함수 행위검사; 자기참조 트랩 회피 위해 소스-grep→행위검사 전환). full e2e **384** (신규: $필드 실존→통과/진짜누락→감지 + bracket #8 + 펜스 #9 FP 3종). codex 독립 헌트 교차확인(맹신 X: 9건 중 3 확정·1 환각기각·나머지 한계).
+
+## 1.35.10 — 2026-07-06 — 자체 gate 적대적 헌트: 가드레일 검증(제품 결함 0) + 보안 동작 회귀 가드
+
+**verify-claim(1.35.9)에 이어 인접 가드레일 `gate` 를 적대적으로 검증** — README 가 "required CI check 로 만들라"고 권하는 표면이라 FN(거짓완료 PR 통과)/FP(정직한 PR 차단)가 최악. 게시본 1.35.9 에 8-프로브 매트릭스(FP 4: 클린 프로젝트·bare init·placeholder·done+evidence / FN 3: 커밋 시크릿·거짓완료 --claims·필수파일 삭제 / by-design 1) 실행.
+
+### 검증 결과 — **제품 결함 0**
+- FP 4/4 OK(클린 프로젝트/placeholder 모두 통과, 오탐 없음), FN 3/3 OK(시크릿·거짓완료·구조결함 차단). 프로브가 낸 "🚨 FN" 2건은 모두 **프로브 아티팩트**(1건은 문서상 by-design 기본 5체크, 1건은 내 프로브의 `--path` 누락으로 done task 미생성) — 맹신 X 로 3-경로 재현해 제품 정상(gate --claims 는 올바른 셋업에서 거짓완료 차단 확인) 판명. 지난 라운드에 이어 실패 신호를 제품 회귀로 오인하지 않음.
+
+### 회귀 가드 (유일 커버리지 갭)
+- 기존 e2e(B(1.33.3)/B(1.34.1))는 `--claims` 콘텐츠 차원 중심 → gate 를 **보안 가드레일**로 보는 관점(커밋된 실키 차단 / placeholder 오탐 없음)이 gate 레벨 전용 가드가 없었음. e2e B(1.35.10) 추가: 정상 `.env.example` placeholder → 오탐 없이 통과(exit 0), 커밋된 실 AWS 키 → 차단(exit 1, scan secrets step 실패). selftest 에 gate 5체크 조합 고정(verify/audit/scan secrets/encoding/lazy detect + --claims 6번째) — scan-step 리팩터가 가드레일 보안을 조용히 무너뜨리는 회귀 차단.
+
+### 검증
+- selftest **270** (신규: gate 조합 고정). full e2e **383** (신규: gate 보안 가드레일 행위). 8-프로브 매트릭스 게시본 재실증(FP 0/FN 0).
+
 ## 1.35.9 — 2026-07-03 — 자체 적대적 FP 헌트: declared-pass 게이트를 완전-통과(N/N) 주장으로 한정 (1.35.7 후속 하드닝)
 
 **1.35.7 에서 declared-pass 부풀림 게이팅을 넣은 뒤, 그 신규 게이트에 전용 FP/FN 헌트를 직접 돌림**(메모리 교훈: 「휴리스틱 적대적 하드닝 — 배포 전 bypass+FP 헌터」·「게시본 재실증」). 12-프로브 매트릭스(단일/`--json`/`--all`/`gate --claims` × 비율/카운트/spec·tap·jest 리포터/growth/lenient)를 게시본 1.35.8 에 실행 → **bypass(FN) 0, 정상 FP 0**, 단 1건의 진짜 false-positive 발견.

package/README.md

@@ -125,7 +125,7 @@ MIT
 <!-- leerness:project-readme:start -->
 ## Leerness Project Harness
 
-이 프로젝트는 Leerness v1.35.9 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
+이 프로젝트는 Leerness v1.35.11 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
 
 ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
 
@@ -179,7 +179,7 @@ leerness memory restore decision <date|title>
 
 ### MCP server (외부 AI 통합)
 
-Leerness v1.35.9는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **86개 도구**를 노출:
+Leerness v1.35.11는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **86개 도구**를 노출:
 
 ```jsonc
 // 카테고리별
@@ -200,7 +200,7 @@ Leerness v1.35.9는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code
 `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
 1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) stress-v* 신규 작성 + 누적 회귀 → 4) e2e 219/219 → 5) npm pack + git tag + GitHub release → 6) main 자동 push (1.9.140+) → 7) session close → 8) 다음 라운드 예약.
 
-현재 누적: **70 라운드 (1.9.40 → 1.35.9)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
+현재 누적: **70 라운드 (1.9.40 → 1.35.11)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
 
 ### 성능 가이드 (1.9.140 측정)
 
@@ -238,6 +238,6 @@ leerness release pack --close --auto-main-push
 - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
 - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
 
-Last synced by Leerness v1.35.9: 2026-07-03
+Last synced by Leerness v1.35.11: 2026-07-06
 <!-- leerness:project-readme:end -->
 

package/bin/leerness.js

@@ -32,7 +32,7 @@ const { _evidenceQuality, _parseEvidenceStats, _shellGuardAnalyze, _claimFileInG
 // 1.9.295 (UR-0025 4단계): 정적 데이터 카탈로그 모듈 분리 (비파괴, require-based).
 const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST, _DEFAULT_PLATFORM_CONSTRAINTS, _DEFAULT_DOMAIN_CATALOG, _TOOL_CATALOG, _LSP_LANG_PATTERNS, OPTIMISM_PATTERNS, BUILT_IN_PERSONAS, STRINGS, BUILTIN_CATALOG, ROADMAP_STATUS_LABEL, ROADMAP_STATUS_COLOR, SECRET_PATTERNS, MERGE_OVERWRITE_FILES, MINIMAL_SKIP_KEYS, REQUIRED_WORKSPACE_FILES, KEYWORD_STOPWORDS, SKILL_CATALOG_PRESETS } = require('../lib/catalogs');  // 1.9.344/368/369 (UR-0025): catalog 분리 · 1.11.4 (UR-0007): _TOOL_CATALOG
 
-const VERSION = '1.35.9';
+const VERSION = '1.35.11';
 
 // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
 //   이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -2925,6 +2925,24 @@ function _selfTestCases() {
       const honestLabel = src.includes('부분 비율 — advisory, 게이트 제외') && src.includes('partial ratio — advisory, not gated');
       return fullPassGuard && honestLabel;
     } },
+    { name: '자체 gate 적대적 헌트 (1.35.10): gate 5체크 조합 고정(verify/audit/scan secrets/encoding/lazy detect) + --claims 6번째 — 보안 step 누락 회귀 차단', run: () => {
+      const src = read(__filename);
+      const i = src.indexOf('function gate(root)');
+      if (i < 0) return false;
+      const body = src.slice(i, i + 2200);
+      // gate 가 5개 코어 체크를 모두 실행해야 함 — scan secrets 등 보안 step 이 리팩터로 조용히 빠지면 가드레일 무력화.
+      const has5 = ["step('verify'", "step('audit'", "step('scan secrets'", "step('encoding check'", "step('lazy detect'"].every(s => body.includes(s));
+      const claims6 = body.includes("step('verify-claims'") && body.includes("has('--claims')");
+      return has5 && claims6;
+    } },
+    { name: '자체 contract 적대적 헌트 + codex 교차 (1.35.11): _parseImplExports bracket(#8) + _parseContractSpec 코드펜스 예제 제외(#9) — FP 2종 행위검사($ 필드 FP는 e2e cvdollar 담당)', run: () => {
+      const p = require('../lib/pure-utils');
+      const bracket = p._parseImplExports('exports["foo"] = function(){};\n').includes('foo');          // #8: bracket export 인식
+      const dotStill = p._parseImplExports('exports.bar = 1;\n').includes('bar');                        // 회귀: dot 유지
+      const fenceExcluded = !p._parseContractSpec('# S\n```js\nfunction helper(){}\n```\n').declared.includes('helper');  // #9: 펜스 예제 제외
+      const realDecl = p._parseContractSpec('function realFn(){}\n').declared.includes('realFn');        // 회귀: 펜스 밖 선언 유지
+      return bracket && dotStill && fenceExcluded && realDecl;
+    } },
     { name: 'honesty-check: AI 인식론적 정직성 3차원 + MCP/CLI/strict 통합 (사용자명시 1.9.305)', run: () => { const h = _epistemicHonestyCheck; const d1 = h('이 기능은 항상 정상 동작합니다').findings.some(f => f.dim === 'pretend-knowledge'); const d2 = h('아마 될 것 같습니다. 구현 완료했습니다').findings.some(f => f.dim === 'premature-judgment'); const d3 = h('이 API 의 rate limit 은 초당 5회입니다').findings.some(f => f.dim === 'no-info-gathering'); const clean = h('src/api.js 수정, 12/12 통과 (Exit: 0)').ok === true; const src = read(__filename); const wired = require('../lib/mcp-tools').some(t => t.name === 'leerness_honesty_check') && /if \(cmd === 'honesty-check'\)/.test(src) && /honestyFindings = _epistemicHonestyCheck/.test(src); return d1 && d2 && d3 && clean && wired; } },
     { name: 'exit code 일관성: fail()→exitCode 1 행위 + unknown 명령 안내 (UR-0045 / CV-5 행위화 1.9.366)', run: () => { if (typeof fail !== 'function') return false; const saved = process.exitCode; const _w = process.stdout.write; let setOk = false; try { process.stdout.write = () => true; process.exitCode = 0; fail('selftest probe'); setOk = process.exitCode === 1; } finally { process.stdout.write = _w; process.exitCode = saved; } const src = read(__filename); const dispatchOk = /알 수 없는 명령: \$\{cmd\}/.test(src); return setOk && dispatchOk; } },
     { name: 'brief: 프로젝트 청사진 set/show/export + README 개요 섹션 (UR-0055 사용자명시 1.9.307)', run: () => { const src = read(__filename); const fnOk = typeof briefCmd === 'function' && typeof _loadBrief === 'function' && typeof _briefBlueprint === 'function' && _BRIEF_FIELDS.length === 10; const b = { project: 'X', intro: 'i', purpose: 'p', problem: '', features: ['f1', 'f2'], stack: ['s'], architecture: '', users: [], success: [], nonGoals: [], currentState: '' }; const bp = _briefBlueprint(b, VERSION); const bpOk = /Blueprint/.test(bp) && /소개 \(Intro\)/.test(bp) && /f1/.test(bp) && /신규 프로젝트 시작 가이드/.test(bp); const rb = _briefReadmeBlock(b); const rbOk = rb.includes(BRIEF_START) && rb.includes(BRIEF_END) && /프로젝트 개요/.test(rb) && /\*\*목적\*\*/.test(rb); return fnOk && bpOk && rbOk && /if \(cmd === 'brief'\)/.test(src); } },
@@ -19666,7 +19684,11 @@ function contractVerifyCmd(specPath, implPath) {
   }
   const fieldMissing = [];
   for (const f of fieldSpec) {
-    if (!new RegExp(`\\b${f}\\b`).test(implSrc)) fieldMissing.push(f);
+    // 1.35.11 (자체 contract 적대적 헌트 + codex 교차): 필드명을 raw 로 RegExp 에 넣던 FP 수정.
+    //   식별자에 유효한 `$` 가 정규식에서 앵커로 해석돼 `$scope`/`foo$bar` 같은 실존 필드를 항상 missing 오탐(exit 1) → CI 계약이 compliant impl 을 거짓 차단.
+    //   또 \b 는 비단어문자(`$`)-접두 식별자 앞에서 경계를 못 잡음. → 메타문자 이스케이프 + 식별자-경계 룩어라운드로 교체(Node≥18 lookbehind). 함수 검사는 Set 멤버십이라 무관.
+    const _fe = f.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
+    if (!new RegExp(`(?<![\\w$])${_fe}(?![\\w$])`).test(implSrc)) fieldMissing.push(f);
   }
   // 출력
   if (has('--json')) {

package/lib/pure-utils.js

@@ -953,6 +953,8 @@ function _parseImplExports(src) {
   }
   // 2) exports.foo = / module.exports.foo =
   for (const m of src.matchAll(/(?:module\.)?exports\.([A-Za-z_$][\w$]*)\s*=/g)) add(m[1]);
+  // 2b) 1.35.11 (codex 교차 헌트 #8): bracket 표기 exports["foo"] / module.exports['foo'] = ... — 종전 dot 표기만 인식해 bracket export 를 미노출(FP: contract 가 실존 함수를 누락으로 오판).
+  for (const m of src.matchAll(/(?:module\.)?exports\s*\[\s*['"]([A-Za-z_$][\w$]*)['"]\s*\]\s*=/g)) add(m[1]);
   // 3) ESM 선언: export [async] function*/const/let/var/class foo
   for (const m of src.matchAll(/export\s+(?:async\s+)?(?:function\s*\*?|const|let|var|class)\s+([A-Za-z_$][\w$]*)/g)) add(m[1]);
   // 4) ESM 목록/재export: export { foo, bar as baz } / export { default as X } from './m' → 외부이름(as 뒤) 우선.
@@ -1165,7 +1167,9 @@ function _migrationGuideText(version) {
 //   mentioned(약언급, 표시만): backtick `name(` — 산문 인라인 언급일 수 있어 누락검사 제외(기존 관대성 유지).
 //   fields: tick.name. bullet 패턴은 name 직후 '(' (공백 불허) → 산문 "- 합 (a+b)" 오탐 방지, ASCII 식별자만.
 function _parseContractSpec(specText) {
-  const s = specText || '';
+  // 1.35.11 (codex 교차 헌트 #9): 코드펜스(```...```) 안 예제 코드를 계약으로 오인하던 FP — 예: spec 의 ```js function helper(){} ``` 가 declared 로 잡혀 impl 에 helper 강제.
+  //   모든 선언/필드 추출은 펜스 제거본(펜스→개행 치환, 줄 구조 보존)에서 수행. 인라인 single-backtick 은 미영향(triple-backtick 블록만 제거).
+  const s = (specText || '').replace(/```[\s\S]*?```/g, '\n');
   const declared = new Set();
   const mentioned = new Set();
   const fields = new Set();

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.35.9",
+  "version": "1.35.11",
   "description": "Leerness: 비파괴 마이그레이션, 자동 버전 감지·업데이트, 계획/진행/핸드오프 자동화, 게으름·시크릿·인코딩 자동 가드, Claude Code 슬래시 통합을 갖춘 한국어 우선 AI 개발 하네스.",
   "keywords": [
     "leerness",

package/scripts/e2e.js

@@ -6016,6 +6016,40 @@ total++;
   if (!ok) failed++;
 }
 
+// 1.35.11 (자체 contract 적대적 헌트 + codex 교차): 필드명 $ 정규식-앵커 FP — $scope/foo$bar 실존 필드를 항상 missing 오탐하던 버그. 이스케이프+식별자 룩어라운드로 수정. 정규식 안전 + no-FN 회귀 가드.
+total++;
+{
+  let ok = false;
+  try {
+    const d = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-cvdollar-'));
+    cp.spawnSync(process.execPath, [CLI, 'init', d, '--yes', '--language', 'ko'], { encoding: 'utf8', timeout: 30000 });
+    fs.writeFileSync(path.join(d, 's.md'), '# S\n\n## Fields\n- $scope\n- foo$bar\n- userId\n');
+    // (1) FP 수정: $scope/foo$bar/userId 모두 impl 에 실존 → 통과(exit 0, missingFields 0)
+    fs.writeFileSync(path.join(d, 'ok.js'), 'const $scope=1; const foo$bar=2; const userId=3;\nmodule.exports={$scope,foo$bar,userId};\n');
+    const cok = cp.spawnSync(process.execPath, [CLI, 'contract', 'verify', path.join(d, 's.md'), path.join(d, 'ok.js'), '--json'], { encoding: 'utf8', timeout: 15000 });
+    let fpFixed = false; try { const j = JSON.parse(cok.stdout); fpFixed = cok.status === 0 && j.ok === true && (j.missingFields || []).length === 0; } catch {}
+    // (2) no-FN 회귀: $scope 진짜 누락 → 여전히 감지(exit 1, missingFields 에 $scope)
+    fs.writeFileSync(path.join(d, 'miss.js'), 'const foo$bar=2; const userId=3;\nmodule.exports={foo$bar,userId};\n');
+    const cmiss = cp.spawnSync(process.execPath, [CLI, 'contract', 'verify', path.join(d, 's.md'), path.join(d, 'miss.js'), '--json'], { encoding: 'utf8', timeout: 15000 });
+    let fnGuard = false; try { const j = JSON.parse(cmiss.stdout); fnGuard = cmiss.status === 1 && j.ok === false && (j.missingFields || []).includes('$scope') && !(j.missingFields || []).includes('foo$bar'); } catch {}
+    // (3) codex #8: bracket export(exports["foo"]) 실존 → 통과(exit 0)
+    fs.writeFileSync(path.join(d, 'b.md'), '- foo()\n');
+    fs.writeFileSync(path.join(d, 'b.js'), 'exports["foo"] = function(){};\n');
+    const cbrk = cp.spawnSync(process.execPath, [CLI, 'contract', 'verify', path.join(d, 'b.md'), path.join(d, 'b.js'), '--json'], { encoding: 'utf8', timeout: 15000 });
+    let bracketOk = false; try { const j = JSON.parse(cbrk.stdout); bracketOk = cbrk.status === 0 && j.ok === true; } catch {}
+    // (4) codex #9: 코드펜스 예제 함수는 계약 아님 → 통과(exit 0) + specFunctions 에 helper 없음
+    fs.writeFileSync(path.join(d, 'fen.md'), '# S\n```js\nfunction helper(){}\n```\n');
+    fs.writeFileSync(path.join(d, 'fen.js'), 'module.exports={};\n');
+    const cfen = cp.spawnSync(process.execPath, [CLI, 'contract', 'verify', path.join(d, 'fen.md'), path.join(d, 'fen.js'), '--json'], { encoding: 'utf8', timeout: 15000 });
+    let fenceOk = false; try { const j = JSON.parse(cfen.stdout); fenceOk = cfen.status === 0 && j.ok === true && !(j.specFunctions || []).includes('helper'); } catch {}
+    fs.rmSync(d, { recursive: true, force: true });
+    ok = fpFixed && fnGuard && bracketOk && fenceOk;
+    if (!ok) console.log(`   [cvdollar 디버그] fpFixed=${fpFixed} fnGuard=${fnGuard} bracket=${bracketOk} fence=${fenceOk}`);
+  } catch {}
+  console.log(ok ? '✓ B(1.35.11) 자체 contract 헌트 + codex 교차: $필드 정규식 안전화 + bracket export(#8) + 코드펜스 예제 제외(#9) FP 3종 + no-FN' : '✗ contract 헌트 FP 3종 수정 실패');
+  if (!ok) failed++;
+}
+
 // 1.9.418 회귀 (9th 외부평가 Codex P2, UR-0121 잔여): health 보안 정직화 + status scope
 total++;
 {
@@ -6469,6 +6503,31 @@ total++;
   if (!ok) failed++;
 }
 
+// 1.35.10 (자체 gate 적대적 헌트): gate 를 "보안 가드레일"로 검증 — 8-프로브 헌트(FP 4 + FN 3 + by-design 1) 결과 제품 결함 0 확인 후, 유일 커버리지 갭(gate 레벨 보안 동작)을 회귀 가드로 고정. 커밋된 실키 → 차단(exit 1, scan secrets step), 정상 .env.example placeholder → 오탐 없이 통과(exit 0). scan-step 리팩터가 가드레일 보안을 조용히 무너뜨리는 회귀 차단.
+total++;
+{
+  let ok = false;
+  try {
+    const d = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-gatesec-'));
+    const R = (a) => cp.spawnSync(process.execPath, [CLI, ...a, '--path', d], { encoding: 'utf8', timeout: 30000 });
+    cp.spawnSync(process.execPath, [CLI, 'init', d, '--yes'], { encoding: 'utf8', timeout: 30000 });
+    cp.spawnSync(process.execPath, [CLI, 'handoff', '', '--path', d], { encoding: 'utf8', timeout: 20000 });
+    // (a) 정상 placeholder(.env.example 교과서) → gate 오탐 없이 통과(exit 0)
+    fs.writeFileSync(path.join(d, '.env.example'), 'DATABASE_URL=postgres://user:password@localhost:5432/db\nAPI_KEY=your-api-key-here\n');
+    const gClean = R(['gate', '.', '--json']);
+    let cleanOk = false; try { const j = JSON.parse(gClean.stdout); cleanOk = gClean.status === 0 && j.ok === true; } catch {}
+    // (b) 커밋된 실 AWS 키(.js) → gate 차단(exit 1) + scan secrets check 실패
+    fs.writeFileSync(path.join(d, 'leak.js'), 'const k = "AKIAJQXMP7RZ2KL9WXYZ";\nmodule.exports = k;\n');
+    const gSecret = R(['gate', '.', '--json']);
+    let secretBlocked = false; try { const j = JSON.parse(gSecret.stdout); const sc = (j.checks || []).find(c => c.name === 'scan secrets'); secretBlocked = gSecret.status === 1 && j.ok === false && sc && sc.ok === false; } catch {}
+    fs.rmSync(d, { recursive: true, force: true });
+    ok = cleanOk && secretBlocked;
+    if (!ok) console.log(`   [gatesec 디버그] cleanExit0=${cleanOk} secretBlocked=${secretBlocked}`);
+  } catch (e) {}
+  console.log(ok ? '✓ B(1.35.10) gate 보안 가드레일: 정상 placeholder 오탐 없이 통과(exit 0) + 커밋된 실키 차단(exit 1, scan secrets step)' : '✗ gate 보안 가드레일 가드 실패');
+  if (!ok) failed++;
+}
+
 // 1.9.430 (10th 외부평가 UR-0130): health 보안 CRITICAL(커밋 시크릿)은 --strict 없이도 exit 1(CI 게이트). 클린은 exit 0.
 total++;
 {