leerness 1.9.311 → 1.9.312

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.
Files changed (5) hide show
  1. package/CHANGELOG.md +23 -0
  2. package/README.md +5 -5
  3. package/bin/harness.js +14 -5
  4. package/package.json +1 -1
  5. package/scripts/e2e.js +30 -0
package/CHANGELOG.md CHANGED
@@ -1,5 +1,28 @@
1
1
  # Changelog
2
2
 
3
+ ## 1.9.312 — 2026-06-04 — UR-0050: secret 스캐너 현대 키 패턴 (설치리뷰 3중수렴 high)
4
+
5
+ **🔒 `scan secrets` 가 modern OpenAI/Anthropic 키를 놓치던 보안 결함 수정 — 노출돼도 탐지 안 되던 위험.**
6
+
7
+ ### 배경 (설치리뷰)
8
+ 실측: 가짜 키 7종 스캔 시 **legacy `sk-...` 1건만 검출**, 나머지 전부 통과 —
9
+ - `sk-proj-...`/`sk-svcacct-...` (modern OpenAI 프로젝트/서비스 키): 기존 패턴 `sk-[A-Za-z0-9]{32,}` 이 **하이픈에서 끊겨** 미검출.
10
+ - `sk-ant-api03-..._...` (실제 Anthropic 키): 기존 `sk-ant-[A-Za-z0-9-]{20,}\b` 가 **언더스코어 미포함 + 후행 `\b`** 로 실제 키(언더스코어 사용)를 미검출.
11
+ - `gho_`/`ghu_`/`ghs_`/`ghr_` (GitHub PAT 외 변종), Stripe, npm, Google OAuth, AWS 임시(ASIA): 패턴 부재.
12
+
13
+ ### 구현 (UR-0050)
14
+ `SECRET_PATTERNS` 9종 → 13종 확장:
15
+ 1. **OpenAI modern** `sk-(proj|svcacct|admin)-[A-Za-z0-9_-]{20,}` (신규) + legacy 유지.
16
+ 2. **Anthropic** 패턴 `_` 포함 + 후행 `\b` 제거 — 실제 `sk-ant-api03-` 키 호환.
17
+ 3. **GitHub** `gh[pousr]_` 통합 (ghp_/gho_/ghu_/ghs_/ghr_).
18
+ 4. **신규**: Stripe(`sk_|rk_(live|test)_`), npm(`npm_`), Google OAuth(`ya29.`), AWS 임시(`ASIA`).
19
+ 5. selftest 59→60 · e2e 256→257.
20
+
21
+ ### 검증
22
+ - **selftest 60/60 PASS** · **E2E 257/257 PASS** (회귀 0).
23
+ - 실측: 7종 키 모두 검출 + exit 1 · clean dir → exit 0(오탐 0) · **repo 자체 `scan secrets .` clean**(self-flag 없음).
24
+ - false-positive 가드: `userName`/URL 등 평범한 문자열 미검출.
25
+
3
26
  ## 1.9.311 — 2026-06-04 — UR-0047: init 가드 (설치리뷰 3중수렴 high)
4
27
 
5
28
  **🛡 미초기화 디렉토리에서 write 명령이 부분 `.harness`(progress-tracker·cache·runs)만 생성해 "반쪽 설치" 상태를 만들던 결함 수정.**
package/README.md CHANGED
@@ -3,7 +3,7 @@
3
3
  > **AI 코딩 에이전트의 거짓 완료·중복·망각·충돌을 막아주는 검수·기억·협업 CLI 하네스.**
4
4
  > **A CLI harness that stops AI coding agents from faking completion, duplicating work, forgetting context, and colliding.**
5
5
 
6
- [![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.311-green)]() [![tests](https://img.shields.io/badge/e2e-256%2F256-success)]() [![selftest](https://img.shields.io/badge/selftest-59-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-83-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
6
+ [![npm](https://img.shields.io/badge/npm-leerness-blue)](https://www.npmjs.com/package/leerness) [![version](https://img.shields.io/badge/version-1.9.312-green)]() [![tests](https://img.shields.io/badge/e2e-257%2F257-success)]() [![selftest](https://img.shields.io/badge/selftest-60-success)]() [![mcp](https://img.shields.io/badge/MCP--tools-83-brightgreen)]() [![providers](https://img.shields.io/badge/AI_providers-10-brightgreen)]() [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
7
7
 
8
8
  ```
9
9
  ╔══════════════════════════════════════════════════════════════╗
@@ -471,7 +471,7 @@ MIT — © leerness contributors
471
471
  <!-- leerness:project-readme:start -->
472
472
  ## Leerness Project Harness
473
473
 
474
- 이 프로젝트는 Leerness v1.9.311 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
474
+ 이 프로젝트는 Leerness v1.9.312 하네스를 사용합니다. AI 에이전트는 작업 전 `leerness handoff`로 컨텍스트를 적재하고, 작업 후 `leerness check`/`leerness audit`/`leerness session close`를 수행해야 합니다.
475
475
 
476
476
  ### 정체성 — AI 에이전트 운영 레이어 (UR-0030)
477
477
 
@@ -525,7 +525,7 @@ leerness memory restore decision <date|title>
525
525
 
526
526
  ### MCP server (외부 AI 통합)
527
527
 
528
- Leerness v1.9.311는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **83개 도구**를 노출:
528
+ Leerness v1.9.312는 stdio JSON-RPC MCP server를 내장합니다 — Claude Code · Cursor · Codex CLI 등 외부 AI에 **83개 도구**를 노출:
529
529
 
530
530
  ```jsonc
531
531
  // 카테고리별
@@ -546,7 +546,7 @@ Leerness v1.9.311는 stdio JSON-RPC MCP server를 내장합니다 — Claude Cod
546
546
  `<<autonomous-loop-dynamic>>` 신호만 보내면 AI가:
547
547
  1) 다음 라운드 후보 선정 → 2) 코드 변경 → 3) stress-v* 신규 작성 + 누적 회귀 → 4) e2e 219/219 → 5) npm pack + git tag + GitHub release → 6) main 자동 push (1.9.140+) → 7) session close → 8) 다음 라운드 예약.
548
548
 
549
- 현재 누적: **70 라운드 (1.9.40 → 1.9.311)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
549
+ 현재 누적: **70 라운드 (1.9.40 → 1.9.312)** · 매 라운드 GitHub release/태그 생성 · _reports/는 비공개 보존.
550
550
 
551
551
  ### 성능 가이드 (1.9.140 측정)
552
552
 
@@ -584,6 +584,6 @@ leerness release pack --close --auto-main-push
584
584
  - `.harness/session-handoff.md`: 다음 세션 인수인계 (자동 작성)
585
585
  - `.harness/lessons.md` / `decisions.md` / `rules.md`: 영구 메모리 (5 surface)
586
586
 
587
- Last synced by Leerness v1.9.311: 2026-06-04
587
+ Last synced by Leerness v1.9.312: 2026-06-04
588
588
  <!-- leerness:project-readme:end -->
589
589
 
package/bin/harness.js CHANGED
@@ -14,7 +14,7 @@ const { _evidenceQuality, _parseEvidenceStats, _shellGuardAnalyze, _claimFileInG
14
14
  // 1.9.295 (UR-0025 4단계): 정적 데이터 카탈로그 모듈 분리 (비파괴, require-based).
15
15
  const { CAPABILITY_SURFACE, POWERFUL_COMMANDS, ADAPTERS, REUSE_CATEGORIES, REUSE_CHECKLIST } = require('../lib/catalogs');
16
16
 
17
- const VERSION = '1.9.311';
17
+ const VERSION = '1.9.312';
18
18
 
19
19
  // 1.9.290 (UR-0037, Codex gpt-5.5 #4 수렴): CLI 전용 부작용은 require 시 실행하지 않는다.
20
20
  // 이전: warning listener 제거 / NODE_OPTIONS 변경 / chcp IIFE 가 top-level 즉시 실행 → require('harness') 시 호스트 프로세스 오염.
@@ -3083,6 +3083,7 @@ function _selfTestCases() {
3083
3083
  { name: 'verify-claim: done 주장 evidence 기본강제 + --lenient + MCP/json 도달 (UR-0048 설치리뷰 critical 1.9.309)', run: () => { const src = read(__filename); const def = /const mustHaveEvidence = !has\('--lenient'\) && \(isDoneClaim \|\| has\('--require-evidence'\)\)/.test(src); const threshold = /has\('--require-evidence'\) \? evq\.ok : \(evq\.hasFile \|\| evq\.hasTest \|\| evq\.hasLog\)/.test(src); const jsonWired = /evidenceComplete:/.test(src) && /!evidenceQualityOk\) return process\.exit\(1\)/.test(src); const mcpLenient = !!require('../lib/mcp-tools').find(t => t.name === 'leerness_verify_claim').inputSchema.properties.lenient; return def && threshold && jsonWired && mcpLenient; } },
3084
3084
  { name: '입력 스키마 검증: task status/rule trigger 무효값 거부 + every-round 보존 (UR-0046 설치리뷰 1.9.310)', run: () => { const src = read(__filename); const sets = TASK_STATUSES.has('done') && TASK_STATUSES.has('in-progress') && !TASK_STATUSES.has('nonsense') && RULE_TRIGGERS.has('every-round') && RULE_TRIGGERS.has('every-update') && !RULE_TRIGGERS.has('not-a-trigger'); const helper = typeof _validateChoice === 'function' && _validateChoice('done', TASK_STATUSES, 'x') === true; const wired = /_validateChoice\(arg\('--status', null\), TASK_STATUSES/.test(src) && /_validateChoice\(trigger, RULE_TRIGGERS/.test(src); return sets && helper && wired; } },
3085
3085
  { name: 'init 가드: 미초기화 write 차단 + 다중마커 판별 + --force 우회 (UR-0047 설치리뷰 1.9.311)', run: () => { const src = read(__filename); const fnOk = typeof _isInitialized === 'function' && typeof _requireInit === 'function'; const liveOk = _isInitialized('.') === true; const emptyOk = _isInitialized(path.join(os.tmpdir(), '__leerness_noinit_marker__')) === false; const wired = ["task add", "task update", "plan add", "decision add", "rule add", "lesson save", "brief set"].every(l => src.includes(`_requireInit(root, '${l}')`)) && !src.includes("_requireInit(root, 'state " + "start')"); const force = /if \(_isInitialized\(root\) \|\| has\('--force'\)\) return true/.test(src); return fnOk && liveOk && emptyOk && wired && force; } },
3086
+ { name: 'secret 스캐너 현대 키: OpenAI proj/svcacct·Anthropic api03(_)·GitHub 변종·Stripe·npm 검출 + 오탐 가드 (UR-0050 설치리뷰 1.9.312)', run: () => { const hit = (s) => SECRET_PATTERNS.some(p => { p.re.lastIndex = 0; return p.re.test(s); }); const named = (s, nm) => SECRET_PATTERNS.some(p => { p.re.lastIndex = 0; return p.re.test(s) && p.name === nm; }); const A = 'A'.repeat(40); const projKey = 'sk-' + 'proj-' + A + '_' + A; const svcKey = 'sk-' + 'svcacct-' + A; const antKey = 'sk-' + 'ant-api03-' + A + '_' + A; const ghoKey = 'gho_' + 'a1B2'.repeat(9); const stripeKey = 'sk_' + 'live_' + A; const npmKey = 'npm_' + 'a1B2'.repeat(9); const asiaKey = 'ASIA' + 'ABCD1234EFGH5678'; const legacy = 'sk-' + A; const hits = hit(projKey) && hit(svcKey) && hit(antKey) && hit(ghoKey) && hit(stripeKey) && hit(npmKey) && hit(asiaKey) && hit(legacy); const names = named(projKey, 'OpenAI project/service key') && named(antKey, 'Anthropic API key') && named(stripeKey, 'Stripe secret key') && named(npmKey, 'npm token'); const clean = !hit('const userName = "john' + '_doe_2024";') && !hit('https://example.com/path/to/page'); return hits && names && clean; } },
3086
3087
  { name: 'VERSION 형식 (x.y.z)', run: () => /^\d+\.\d+\.\d+$/.test(VERSION) }
3087
3088
  ];
3088
3089
  }
@@ -7338,13 +7339,21 @@ function audit(root, opts = {}) {
7338
7339
  if (failures) process.exitCode = 1;
7339
7340
  }
7340
7341
 
7342
+ // 1.9.312 (UR-0050, 설치리뷰 3중수렴): secret 스캐너 현대 키 패턴 보강.
7343
+ // 배경: 기존 OpenAI 패턴 `sk-[A-Za-z0-9]{32,}` 은 하이픈에서 끊겨 sk-proj-/sk-svcacct- (modern 프로젝트/서비스 키)를 놓침.
7344
+ // Anthropic 패턴은 `_` 미포함 + 후행 \b 로 실제 sk-ant-api03- 키(언더스코어 사용)를 놓침.
7345
+ // 보강: OpenAI modern(proj/svcacct/admin) · GitHub 변종(gho_/ghu_/ghs_/ghr_) · Stripe · npm · Google OAuth · AWS 임시(ASIA).
7341
7346
  const SECRET_PATTERNS = [
7342
- { name: 'AWS Access Key', re: /\bAKIA[0-9A-Z]{16}\b/g },
7343
- { name: 'GitHub PAT', re: /\bghp_[A-Za-z0-9]{36}\b/g },
7347
+ { name: 'AWS Access Key', re: /\b(?:AKIA|ASIA)[0-9A-Z]{16}\b/g }, // ASIA=임시 자격증명 추가
7348
+ { name: 'GitHub token', re: /\bgh[pousr]_[A-Za-z0-9]{36,}\b/g }, // ghp_/gho_/ghu_/ghs_/ghr_ 통합
7344
7349
  { name: 'GitHub fine-grained PAT', re: /\bgithub_pat_[A-Za-z0-9_]{40,}\b/g },
7345
- { name: 'OpenAI API key', re: /\bsk-[A-Za-z0-9]{32,}\b/g },
7346
- { name: 'Anthropic API key', re: /\bsk-ant-[A-Za-z0-9-]{20,}\b/g },
7350
+ { name: 'OpenAI project/service key', re: /\bsk-(?:proj|svcacct|admin)-[A-Za-z0-9_-]{20,}/g }, // modern (하이픈/언더스코어 포함)
7351
+ { name: 'OpenAI API key', re: /\bsk-[A-Za-z0-9]{32,}\b/g }, // legacy
7352
+ { name: 'Anthropic API key', re: /\bsk-ant-[A-Za-z0-9_-]{20,}/g }, // _ 포함 + 후행 \b 제거 (실제 키 호환)
7353
+ { name: 'Stripe secret key', re: /\b(?:sk|rk)_(?:live|test)_[A-Za-z0-9]{20,}\b/g },
7354
+ { name: 'npm token', re: /\bnpm_[A-Za-z0-9]{36}\b/g },
7347
7355
  { name: 'Google API key', re: /\bAIza[0-9A-Za-z_\-]{35}\b/g },
7356
+ { name: 'Google OAuth token', re: /\bya29\.[A-Za-z0-9_-]{20,}/g },
7348
7357
  { name: 'Slack token', re: /\bxox[baprs]-[A-Za-z0-9-]{10,}\b/g },
7349
7358
  { name: 'Generic private key', re: /-----BEGIN (?:RSA |OPENSSH |EC |DSA |PGP )?PRIVATE KEY-----/g },
7350
7359
  { name: 'Hardcoded password assignment', re: /\b(?:password|passwd|pwd|secret|api_key|apikey)\s*[:=]\s*["'][^"'\s]{6,}["']/gi },
package/package.json CHANGED
@@ -1,6 +1,6 @@
1
1
  {
2
2
  "name": "leerness",
3
- "version": "1.9.311",
3
+ "version": "1.9.312",
4
4
  "description": "Leerness: 비파괴 마이그레이션, 자동 버전 감지·업데이트, 계획/진행/핸드오프 자동화, 게으름·시크릿·인코딩 자동 가드, Claude Code 슬래시 통합을 갖춘 한국어 우선 AI 개발 하네스.",
5
5
  "keywords": [
6
6
  "leerness",
package/scripts/e2e.js CHANGED
@@ -3639,5 +3639,35 @@ total++;
3639
3639
  if (!ok) failed++;
3640
3640
  }
3641
3641
 
3642
+ // 1.9.312 회귀 (UR-0050 설치리뷰): secret 스캐너 현대 키 — sk-proj-/sk-ant-api03-(_)/gho_/Stripe/npm 검출 + exit 1
3643
+ // 주의: e2e.js 는 scan 대상이라 키는 문자열 연결로 구성(리터럴 금지 — 자기 repo scan 오탐 방지)
3644
+ total++;
3645
+ {
3646
+ let ok = false;
3647
+ try {
3648
+ const sd = fs.mkdtempSync(path.join(os.tmpdir(), 'leerness-secmod-'));
3649
+ const A = 'A'.repeat(40);
3650
+ const lines = [
3651
+ 'const a = "' + 'sk-' + 'proj-' + A + '_' + A + '";', // modern OpenAI project (기존 패턴 놓침)
3652
+ 'const b = "' + 'sk-' + 'ant-api03-' + A + '_' + A + '";', // Anthropic api03 (언더스코어 — 기존 놓침)
3653
+ 'const c = "' + 'gho_' + 'a1B2'.repeat(9) + '";', // GitHub OAuth token (ghp_ 외 변종)
3654
+ 'const d = "' + 'sk_' + 'live_' + A + '";', // Stripe
3655
+ 'const e = "' + 'npm_' + 'a1B2'.repeat(9) + '";', // npm token
3656
+ ];
3657
+ fs.writeFileSync(path.join(sd, 'cfg.js'), lines.join('\n') + '\n');
3658
+ const r = cp.spawnSync(process.execPath, [CLI, 'scan', 'secrets', sd], { encoding: 'utf8', timeout: 20000 });
3659
+ const out = r.stdout || '';
3660
+ ok = r.status === 1
3661
+ && /OpenAI project\/service key/.test(out)
3662
+ && /Anthropic API key/.test(out)
3663
+ && /GitHub token/.test(out)
3664
+ && /Stripe secret key/.test(out)
3665
+ && /npm token/.test(out);
3666
+ fs.rmSync(sd, { recursive: true, force: true });
3667
+ } catch {}
3668
+ console.log(ok ? '✓ B(1.9.312) secret 스캐너 현대 키: sk-proj/sk-ant-api03(_)/gho_/Stripe/npm 검출 + exit 1 (UR-0050)' : '✗ secret 현대 키 실패');
3669
+ if (!ok) failed++;
3670
+ }
3671
+
3642
3672
  console.log(`\nE2E result: ${total - failed}/${total} passed · ${((Date.now() - _e2eStart) / 1000).toFixed(0)}s`);
3643
3673
  if (failed > 0) process.exit(1);