ltcai 8.9.0 → 9.1.0

package/docs/LEGACY_COMPATIBILITY.md

@@ -1,6 +1,6 @@
 # Legacy Compatibility Map
 
-Current target: **8.9.0 — Scoped Memory & Tool Policy Hardening**.
+Current target: **9.1.0 — Code Review Completion & Fail-Closed Runtime**.
 
 Lattice AI is moving toward a smaller, modular architecture centered on
 `lattice_brain`, `latticeai.services`, `latticeai.api`, and `latticeai.runtime`.
@@ -56,14 +56,14 @@ standalone package:
 | `knowledge_graph.py` | `lattice_brain.graph` / `lattice_brain.knowledge` | Compatibility for older graph imports and historical tooling |
 | `knowledge_graph_api.py` | `latticeai.api.memory`, `latticeai.api.search`, graph-related API routers | Compatibility for older API import paths |
 | `kg_schema.py` | `lattice_brain` storage/schema modules | Compatibility for graph schema references |
-| `auto_setup.py` | setup/model recommendation services | Compatibility for zero-config setup probes and historical auto-setup commands |
+| `auto_setup.py` | `latticeai.setup.auto_setup` | Thin compatibility shim for zero-config setup probes and historical commands |
 | `llm_router.py` | `latticeai.models.router` | Compatibility for older local model routing imports |
 | `ltcai_cli.py` | package console entrypoint (`ltcai`) | Compatibility for the installed CLI contract |
 | `mcp_registry.py` | `latticeai.core.mcp_registry` and service-backed registries | Compatibility for MCP/skills lookup entrypoints |
-| `local_knowledge_api.py` | `lattice_brain.ingestion`, workspace capture APIs | Compatibility for local folder/file watcher flows |
+| `local_knowledge_api.py` | `latticeai.services.local_knowledge` | Thin compatibility shim for local folder/file watcher flows |
 | `p_reinforce.py` | gardener/maintenance service direction | Compatibility for existing Brain gardening runtime hooks |
 | `telegram_bot.py` | opt-in integration package or disabled-by-default connector | Compatibility only; Telegram must remain opt-in |
-| `setup_wizard.py` | setup and model recommendation services | Compatibility for first-run recommendation calls |
+| `setup_wizard.py` | `latticeai.setup.wizard` | Thin compatibility shim for first-run recommendation calls |
 | `server.py` | lazy proxy to `latticeai.server_app` / `latticeai.app_factory` | Preserves historical `server.app` imports without import-time construction |
 
 ## Inner Shim Layers (removed in 8.8.0)

package/docs/ONBOARDING.md

@@ -1,6 +1,6 @@
 # Lattice AI Onboarding
 
-Current release: **8.9.0 — Scoped Memory & Tool Policy Hardening**.
+Current release: **9.1.0 — Code Review Completion & Fail-Closed Runtime**.
 
 The first-run goal is a five-minute path from "I opened the app" to "my Brain
 has a source, a question, and proof." This page is the product contract behind
@@ -21,8 +21,16 @@ read the docs first.
 ## Product Promises
 
 - The user starts in the Brain, not in an admin dashboard.
+- The first screen asks what the user wants to do, then prioritizes one composer,
+  a few starters, and recent conversations over scores or system status.
+- Chat, Sources, Memory, and Work stay one visible navigation action away on
+  desktop and mobile; models and administration do not compete with them.
+- Memory starts with search. The connection map appears only when the user asks
+  to inspect relationships.
 - Empty states suggest one concrete next action without claiming proof that does
   not exist yet.
+- Core-service failures show an unavailable/error state and recovery guidance;
+  they are never presented as an empty or healthy Brain.
 - Upload, note, browser, and message ingestion all converge through the unified
   ingestion pipeline when it is available.
 - Workspace-scoped content must not leak or overwrite another workspace's graph
@@ -32,7 +40,7 @@ read the docs first.
 
 ## Release Gate
 
-8.9.0 treats onboarding as a release gate, not marketing copy. The current
+9.1.0 treats onboarding as a release gate, not marketing copy. The current
 machine-checkable product readiness report requires this five-minute contract,
 the Brain Home surface, setup helpers, graph ingestion tests, and exact release
 artifact documentation before the release can be called complete.

package/docs/OPERATIONS.md

@@ -1,10 +1,10 @@
-# Lattice AI — Operations Guide
+# Lattice AI — Operations Guide (v9.1.0)
 
 ## 1. 데이터 파일 위치
 
 | 파일 | 용도 |
 |------|------|
-| `~/.ltcai/users.json` | 사용자 계정 (bcrypt 해시 저장) |
+| `~/.ltcai/users.json` | 사용자 계정 (scrypt 해시 저장) |
 | `~/.ltcai/history.json` | 대화 히스토리 |
 | `~/.ltcai/audit.json` | 감사 로그 (agent 실행, 사용자 변경 등) |
 | `~/.ltcai/brain/` | Knowledge Graph 노드 (Markdown) |
@@ -95,7 +95,7 @@ Cookie: session_id=<admin-session>
 
 ### 5.3 비밀번호 정책
 - 최소 8자
-- bcrypt (cost 12) 해시로 저장
+- scrypt 해시로 저장
 - 평문은 저장되지 않음
 
 ## 6. 업그레이드 마이그레이션
@@ -120,11 +120,15 @@ pip install --upgrade ltcai
 공개 인터넷에 노출할 경우 반드시 확인:
 
 - [ ] `LATTICEAI_SECRET_KEY` 환경변수 설정 (32자 이상 랜덤 문자열)
+- [ ] `LATTICEAI_MODE=public` 및 HTTPS에서 Secure cookie 동작 확인
+- [ ] 초대 게이트 사용 시 랜덤 invite code 또는 생성된 설치별 secret 영구 보관
 - [ ] `LATTICEAI_ENABLE_GRAPH=false` (불필요 시 Graph 비활성화)
 - [ ] `HTTPS` 종단 프록시 설정 (nginx / Caddy)
 - [ ] `CSRF_TRUSTED_ORIGINS` 화이트리스트 설정
 - [ ] `ALLOWED_COMMANDS` 검토 — python3/node 등 불필요한 실행 도구 제거
-- [ ] 방화벽으로 8899 포트를 프록시만 접근 허용
+- [ ] 방화벽으로 4825 포트를 프록시만 접근 허용
+- [ ] Telegram 활성화 시 `LATTICEAI_TELEGRAM_ALLOWED_CHAT_IDS`와
+  `LATTICEAI_SERVER_SESSION_TOKEN` 설정
 
 ## 8. 사용자 데이터 격리
 

package/docs/PRODUCT_DIRECTION_REVIEW.md

@@ -21,6 +21,10 @@ Already aligned:
 - First launch follows Login -> Environment Analysis -> Recommended Models ->
   Install & Load -> Brain.
 - The post-setup home is the living Brain plus conversation.
+- The empty home presents the Brain, incoming sources, real relationship graph,
+  composer, and next grounded action in one viewport. Its life signal and motion
+  are driven by listening, recall, synthesis, and action state rather than being
+  a decorative loop; history and technical proof remain progressively disclosed.
 - The graph appears only after progressive depth: Brain -> Memories ->
   Knowledge -> Relationships -> Graph.
 - Brain Core, SQLite live local storage, optional PostgreSQL/pgvector

package/docs/ROADMAP_RECOMMENDATIONS.md

@@ -5,43 +5,12 @@ small release-sized work. The operating principle stays unchanged:
 
 > Models are temporary. Knowledge is durable. The Brain is the product.
 
-## 7.3.0 Applied Slice
+## Applied Release History
 
-7.3.0 implements the first narrow slice of the roadmap:
-
-- Runtime evolution: single-agent and multi-agent execution share
-  `agent-run-contract/v1`, making mode/status/timeline evidence inspectable.
-- Hybrid search optimization: the Brain quality gate now includes deterministic
-  recall and ranking regression thresholds.
-- Security and trust: run contracts distinguish runtime type and execution mode
-  so simulated output is not presented as real execution.
-
-## 7.4.0 Applied Slice
-
-7.4.0 completes the next roadmap slice without deferring it:
-
-- Runtime convergence: agent runs, workflow runs, audit events, and realtime
-  events all expose the `agent-run-contract/v1` family envelope while keeping
-  legacy top-level fields for compatibility.
-- Trust and operations: persisted run rows refresh their contract through
-  queued, running, terminal, cancelled, and interrupted states; audit events are
-  contracted only after secret redaction.
-- Retrieval quality and scale: the CI quality gate now seeds a real local
-  Knowledge Graph corpus and scores SearchService hybrid retrieval with judged
-  queries, recall, precision, NDCG, and must-include hit-rate thresholds.
-
-## 7.5.0 Applied Slice
-
-7.5.0 burns down the remaining 7.4.0 risk instead of deferring it:
-
-- Contract consumption: AgentRuntime and realtime feed APIs now emit compact
-  `contracts` views so UI, replay, admin, and export consumers can depend on the
-  shared family envelope directly.
-- Retrieval scale: the corpus fixture now runs against 250+ local records while
-  keeping judged queries, graded relevance, and must-include expectations.
-- Release trust: stale artifact mixing is handled through clean exact-version
-  artifact generation, npm audit findings are cleared, and the Tauri 2 stack is
-  updated past the old `block v0.1.6` future-incompatibility warning.
+Release-specific applied-slice history is now kept only for 8.0.0 and newer in
+[docs/CHANGELOG.md](CHANGELOG.md) and [RELEASE.md](../RELEASE.md). Pre-8.0.0
+release-history notes were removed from the tracked documentation surface during
+the 9.0.0 documentation cleanup.
 
 ## Near-Term Tracks
 
@@ -79,3 +48,59 @@ small release-sized work. The operating principle stays unchanged:
 - Interoperability with Obsidian, Notion, Email, Calendar, Git, Slack, and Teams.
 - Encrypted Brain Network sharing.
 - Plugin marketplace and public benchmarks.
+
+## Large-Scale Work Feasibility Assessment (2026-07-07)
+
+2026-07-07 코드베이스 검사 + 테스트 실행 결과 기반. (app_factory 1214줄, workspace_os 1391줄, 최근 AgentRuntime facade + KG mixin 분해 완료, 833 unit tests passed)
+
+### 1. Knowledge Graph / Retrieval at Large Corpus Scale (가장 추천, 기반 탄탄)
+- Incremental/background ingestion + advanced dedup(콘텐츠해시 이상), conflict resolution, merge.
+- Larger corpus benchmarks (현재 250+ → 수천~수만 아이템), latency budget, channel별 진단.
+- pgvector 풀 프로덕션 경로 + 마이그레이션.
+- **실행 가능성**: IngestionPipeline + provenance + vector mixin + benchmark fixtures 이미 존재. discovery/retrieval 분해 완료. hooks lifecycle 통합됨. 대형 작업으로 적합. 테스트: test_ingestion_pipeline.py 14/14 green.
+
+### 2. Multi-Modal Brain (스키마 준비됨, 구현 공백 큼)
+- 이미지: vision LLM describe + 임베딩, IMAGE/IMAGE_TEXT 노드 + CONTAINS_IMAGE 엣지 완성, UI 증거 표시.
+- 오디오(전사), 비디오(키프레임).
+- **실행 가능성**: schema.py에 IMAGE/IMAGE_TEXT/CONTAINS_IMAGE 정의됨. discovery_index.py에 PIL + pytesseract OCR (include_ocr) 부분 구현. embeddings.py / LLMRouter에 vision 지원 부재. retrieval도 이미지 노드 미처리. ingestion 라우팅 확장 필요. 대형 + 차별화 포인트.
+
+### 3. Server / Runtime Composition 완전화 (구조 부채 해소)
+- app_factory.py 잔여 로직 추가 추출 (더 많은 wiring → runtime/* 전용 모듈).
+- dict(locals()) 레거시 제거, 강력한 RuntimeContext / DI.
+- Config 중앙화 감사 및 강제 (core/config.py 이미 중앙).
+- **실행 가능성**: 최근 review0707 + decomp (1214줄로 감소, runtime/ 디렉토리 풍부) 후에도 여전히 1.2k 라인. AGENTS.md 우선순위 #3,4 정확히 매치. AgentRuntime은 lattice_brain/runtime/agent_runtime.py 로 facade 추출 완료. ToolRegistry도 core/ + services 분리 진행.
+
+### 4. Proactive Synthesis + Temporal / Contradiction (최근 작업 연장)
+- 백그라운드 합성 잡, 그래프 이력 기반 모순 검출, temporal 쿼리.
+- 최근 커밋(Brain synthesis memories, follow-up) 을 스케줄 + 자동화로 확장.
+- **실행 가능성**: MultiAgentOrchestrator + workflow_engine + IngestionPipeline + Brain Brief 이미 wired. hooks/audit 있음. agent synthesis UI 표면 최근 추가. 대형 기능으로 자연스러운 확장.
+
+### 5. Ecosystem / Interop + Plugin Marketplace (외부 연동 대형)
+- Obsidian/Notion/Email/Calendar import bridge (MCP 또는 전용 ingestion).
+- 서명된 플러그인, 원격 카탈로그, marketplace UI.
+- Brain Network (암호화 공유).
+- **실행 가능성**: plugins/ (hello-world, git-insights), mcp_registry, marketplace.py, core/plugins.py 존재. ingestion이 단일 관문. 하지만 실제 외부 브릿지/마켓플레이스 UI/보안 스캔은 대형.
+
+기타: Tauri auto-update + native scale, Workflow Designer 프론트엔드 완성, VSCode 확장 심화 통합 등.
+
+**검증 결과 (2026-07-07)**:
+- Core imports (Config, IngestionPipeline, AgentRuntime, ToolRegistry): OK
+- Unit tests: 833 passed (tests/unit/)
+- Ingestion specific: 14 passed
+- Agent runtime tests: 29 passed
+- Frontend lint: typecheck + privacy + OpenAPI 335 paths + lint all pass
+- Git: clean (inspection 시점)
+
+**2026-07-07 pts_grok 대형 후보 1~5 슬라이스 실행 결과 (자율 진행)**:
+- 1. KG/Retrieval: background ingestion queue seam, schedule_background, vector index scale diagnostics, backlog reasons/samples, coverage ratio, and rebuild latency budget.
+- 2. Multimodal: offline VisionStub describe/embed path and discovery_index vision_caption fallback so image files have searchable evidence without remote calls.
+- 3. Server decomp: explicit _RUNTIME_BUNDLE in app_factory as the migration contract toward DI while dict(locals()) compatibility remains.
+- 3a. Server decomp follow-up: filtered app_factory runtime namespace so internal scratch imports/runtime dicts no longer leak through lazy server_app compatibility; namespace reduced from 300 to 253 keys while legacy helpers remain, with typed RuntimeBundle added behind legacy _RUNTIME_BUNDLE.
+- 4. Proactive/Temporal: stronger MemoryQualityManager conflict detection, including pairwise opposite-preference and temporal-negation flags.
+- 4a. Proactive UX follow-up: Brain Brief now emits proactive_actions, and BrainHome renders one-click ask/delegate/review/graph action cards.
+- 4b. Proactive UX completion: BrainHome now keeps a local activity trail for suggested actions, showing whether Brain ask, Agent delegation, Review draft, or graph navigation actions are running, completed, or failed.
+- 5. Interop/Marketplace: ingestion_bridge marketplace templates and /marketplace/interop/bridges exposure for future Obsidian/Calendar-style connector imports through unified-ingestion.
+- 총 affected tests: 45 passed in the first targeted gate. Broader lint/static/doc checks are run before commit.
+- 남은: 각 슬라이스는 기반 확장. full background workers, real local VLM/image embeddings, full locals() removal, graph-level temporal queries, and production connector installs remain follow-up work.
+
+이 항목들은 "대형사이즈" 에도 할 만하며, mission (local-first, KG, AgentRuntime, security) 과 AGENTS 우선 리팩토링 순서에 부합. 작은 슬라이스로 시작 추천.

package/docs/TRUST_MODEL.md

@@ -1,6 +1,6 @@
 # Lattice AI Trust Model
 
-Current release: **8.9.0 — Scoped Memory & Tool Policy Hardening**.
+Current release: **9.1.0 — Code Review Completion & Fail-Closed Runtime**.
 
 Lattice AI is local-first, explicit about external communication, and honest
 when a capability is unavailable.
@@ -26,7 +26,8 @@ External communication requires configuration plus a user/admin action:
 
 - cloud model calls after keys are configured and a cloud model is selected;
 - model downloads from registries after install consent;
-- Telegram bridge after the integration is enabled;
+- Telegram bridge after the integration is enabled, the chat is allowlisted,
+  and a dedicated server session bearer is configured;
 - Brain Network peer actions after pairing;
 - Docker/Postgres setup after opt-in scale configuration;
 - update checks only when enabled;
@@ -49,6 +50,8 @@ Lattice AI should fail closed or show an unavailable state for:
 - dry-run versus real execution;
 - no graph/context evidence available;
 - unavailable external integration;
+- unknown or unreadable Knowledge Graph workspace scope;
+- missing Telegram chat allowlist or dedicated server session token;
 - wrong archive passphrase;
 - archive tampering, unsupported archive versions, or path traversal.
 

package/docs/WHY_LATTICE.md

@@ -1,6 +1,6 @@
 # Why Lattice AI Exists
 
-Current release: **8.9.0 — Scoped Memory & Tool Policy Hardening**.
+Current release: **9.1.0 — Code Review Completion & Fail-Closed Runtime**.
 
 **Lattice AI is a local-first Digital Brain that keeps your knowledge durable
 across any AI model.**
@@ -28,15 +28,20 @@ Lattice AI keeps conversations, documents, memories, decisions, relationships,
 and source provenance in a private local Brain. Models can be local, cloud,
 current, or future. The Brain remains.
 
-The graph matters, but it is not the product identity. The product identity is a
-local-first Digital Brain: a place where the user can talk, add sources, watch
-memory grow, and inspect the Knowledge Graph when they need proof.
-
-In 8.9.0 the first screen is intentionally not a dashboard. The living Brain,
-conversation composer, evidence-backed Brain Brief, scoped memory isolation,
-and five-minute onboarding
-path appear together so the user immediately knows what matters, what to add,
-and why the answer is grounded in local memory.
+The graph matters as visible proof, but a graph editor is not the product
+identity. The product identity is a local-first Digital Brain: the user talks or
+adds a source, watches it enter memory, sees the real relationships that emerge,
+and uses those memories to drive reviewed automation.
+
+The current main-branch experience is intentionally not a dashboard. The first
+screen leads with a living knowledge journey around the conversation composer:
+chat, file, folder, note, and web inputs flow into the Brain; a bounded real
+graph makes new connections visible; and grounded next actions explain which
+memory and evidence they use. Evidence-backed Brain Brief, deeper memory rings,
+and runtime detail remain available without turning the first screen into an
+operator console. Primary navigation follows human tasks — Chat, Sources,
+Memory, and Work — while models, workspace controls, and administration stay
+secondary.
 
 ## Practical Reasons To Use It
 

package/docs/WORKFLOW_DESIGNER.md

@@ -20,6 +20,28 @@ The engine version is exported as:
 WORKFLOW_ENGINE_VERSION = "2.2.0"
 ```
 
+## Memory-grounded Brain automation
+
+Brain Home turns recalled knowledge into suggested actions and automation
+recipes without silently enabling work. A recipe is first installed as a
+disabled, reviewable workflow draft. The user can inspect its memory focus,
+source, evidence, and agent roles, then explicitly enable the same workflow in
+place; activation does not create a duplicate recipe or replace the user's
+reviewed name, prompt, roles, or node edits.
+
+When an enabled recipe receives a successful workspace-scoped Brain ingestion
+event, the workflow runs a researcher-first agent chain:
+
+```text
+Brain event -> researcher recall -> planner -> executor -> reviewer -> review queue
+```
+
+The researcher receives scoped `MemoryService.recall` context. Trigger identity,
+workspace, source provenance, and run ID remain attached through execution and
+review. Chat, upload, local-folder, note, web, and compatible legacy ingestion
+events are normalized; failed ingestion never triggers a recipe. Generated work
+is staged for review rather than performing an unreviewed external action.
+
 ## v2.2 hardening
 
 - Agent node output is captured in workflow context and can flow into a later

package/docs/kg-schema.md

@@ -1,6 +1,6 @@
 # Knowledge Graph Schema
 
-Current release: **8.9.0 — Scoped Memory & Tool Policy Hardening**.
+Current release: **9.1.0 — Code Review Completion & Fail-Closed Runtime**.
 
 명세 출처: `lattice_ai_full_spec.pptx` 슬라이드 20·21·22
 구현: `kg_schema.py`
@@ -137,6 +137,10 @@ provenance(source_type, source_uri, content_hash, captured_at, modified_at,
 - 모든 콘텐츠 노드는 `SOURCE` 노드로 `INDEXED_FROM` 엣지를 가져 **출처를 항상 설명 가능**하다.
 - provenance 는 노드 `metadata.provenance` 에 임베드되며, 동시에 감사 가능한
   `ingestion_provenance` 테이블에 기록된다 (`KnowledgeGraphStore.get_provenance(node_id)`).
+- 로컬 폴더 수집은 Computer/Drive/Folder/File/Chunk/Concept/semantic 노드 전체에
+  동일한 `workspace_id`를 투영하고 신규 ID도 워크스페이스별로 분리한다. 기존
+  범위 없는 로컬 폴더는 개인 Brain으로 재투영하되 기존 노드 ID는 보존하며,
+  같은 폴더를 다른 워크스페이스로 조용히 재할당하지 않는다.
 
 구현: `lattice_brain/ingestion.py` (`IngestionPipeline`) 가 단일 진입점이며,
 파일/로컬폴더/URL/브라우저 탭/텍스트를 모두 이 형태로 정규화한다.
@@ -257,9 +261,16 @@ print(KGStoreV2(store.db_path).stats())
 
 ### v4 컬럼 (T3b/T3c)
 
-- `nodes_v2.workspace_id` — `NULL` = legacy-global (스코프 도입 이전 데이터)
+- `nodes_v2.workspace_id` — `NULL` = legacy-global (스코프 도입 이전 데이터).
+  9.1.0부터 일반 workspace 읽기에는 자동 포함하지 않으며
+  `include_legacy_global=True`를 명시한 호환 읽기에서만 포함
 - `nodes_v2.visibility` — 신규 스코프 쓰기는 `workspace`/`private`,
   스코프 없는 쓰기는 `legacy` (기존 공유 데이터를 몰래 private 으로
   만들지 않는다)
 - `nodes_v2.superseded_by` — 개정 체인 (`mark_superseded`)
 - `edge_occurrences` — 관계의 모든 관측 기록 (observed_at/weight/source)
+
+workspace projection 조회가 실패하거나 node의 scope를 확인할 수 없으면 해당
+node는 비공개로 취급해 빈 결과를 반환하거나 오류를 전파합니다. projection 장애를
+legacy-global로 해석해 다른 workspace에 노출하는 fail-open 경로는 허용하지
+않습니다.

package/docs/mcp-tools.md

@@ -1,4 +1,4 @@
-# MCP 도구 카탈로그
+# MCP 도구 카탈로그 (v9.1.0)
 
 Lattice AI는 MCP(Model Context Protocol) 서버로 동작하여 Claude Desktop, Cursor 등에서 직접 도구를 사용할 수 있습니다.
 
@@ -31,7 +31,7 @@ Lattice AI는 MCP(Model Context Protocol) 서버로 동작하여 Claude Desktop,
 
 | 도구 | 설명 | 위험도 |
 |------|------|--------|
-| `run_command` | 셸 명령 실행 (위험 패턴 차단) | 높음 |
+| `run_command` | shell 없이 고정 read-only 명령 allowlist 실행 | 높음 |
 | `run_terminal_command` | 터미널 명령 (별칭) | 높음 |
 
 ### 작업 관리
@@ -45,10 +45,11 @@ Lattice AI는 MCP(Model Context Protocol) 서버로 동작하여 Claude Desktop,
 
 | 도구 | 설명 | 위험도 |
 |------|------|--------|
-| `computer_screenshot` | 화면 캡처 | 낮음 |
+| `computer_screenshot` | 화면 캡처 (desktop-control capability 및 정책 승인 필요) | 높음 |
+| `computer_status` | 데스크톱 제어 상태 조회 (동일 capability/policy 적용) | 중간 |
 | `computer_open_app` | 앱 실행 | 중간 |
 | `computer_open_url` | URL 열기 | 낮음 |
-| `network_status` | IP, Wi-Fi 정보 | 낮음 |
+| `network_status` | IP, Wi-Fi 정보 (인증 및 ToolRegistry 정책 적용) | 중간 |
 
 ### 문서
 
@@ -91,13 +92,18 @@ curl -b "session=<token>" \
 curl -b "session=<token>" -X POST \
   http://localhost:4825/tools/run_command \
   -H "Content-Type: application/json" \
-  -d '{"command": "python -m pytest tests/ -v"}'
+  -d '{"command": "rg TODO ."}'
 ```
 
+`run_command`는 `pwd`, `ls`, `find`, `cat`, `head`, `tail`, `wc`, `rg`만 허용합니다.
+Python/Node/npm/npx/sed, shell operator, 실행 파일 경로, 절대 경로, `..` traversal,
+workspace 밖 symlink, `rg --pre`, `find -exec/-delete`는 거부됩니다. 빌드와 테스트는
+별도의 허용된 project-script 도구를 사용합니다.
+
 ## 도구 카탈로그 조회
 
 ```bash
-curl http://localhost:4825/mcp/tools
+curl -b "session=<token>" http://localhost:4825/mcp/tools
 ```
 
 응답:
@@ -114,3 +120,8 @@ curl http://localhost:4825/mcp/tools
   ]
 }
 ```
+
+도구 카탈로그는 인증이 필요하며 서버의 절대 `AGENT_ROOT`를 반환하지 않습니다.
+MCP/plugin dispatch도 각 도구의 사용자·workspace·capability·승인 정책을 우회할
+수 없습니다. knowledge/Obsidian 계열 읽기는 명시적 사용자 동의와 scope를
+사용합니다.

package/docs/privacy.md

@@ -2,7 +2,9 @@
 
 ## 요약
 
-**Lattice AI는 데이터를 수집하거나 외부 서버로 전송하지 않습니다.**
+**Lattice AI는 기본 상태에서 텔레메트리를 수집하거나 사용자 데이터를 외부로
+전송하지 않습니다.** 사용자가 명시적으로 선택한 클라우드 모델, 모델 다운로드,
+웹 페이지 읽기, Telegram/Brain Network 같은 외부 기능은 해당 대상과 통신합니다.
 
 모든 데이터는 사용자의 로컬 머신에만 저장됩니다.
 
@@ -11,7 +13,7 @@
 | 데이터 | 저장 위치 | 설명 |
 |--------|-----------|------|
 | 사용자 계정 | `~/.ltcai/users.json` | 이름, scrypt 해시 비밀번호, 역할 |
-| 세션 토큰 | `~/.ltcai/sessions.json` | UUID 토큰, 만료시간 |
+| 세션 토큰 | `~/.ltcai/sessions.json` | SHA-256 토큰 해시, 만료/갱신 시각(평문 bearer 미저장) |
 | 채팅 히스토리 | `~/.ltcai/chat_history.json` | 사용자-AI 대화 내용 |
 | 지식 그래프 | `~/.ltcai/knowledge_graph.sqlite` | 채팅/문서/웹/탭 노드·엣지, 프로비넌스 |
 | 업로드/수집 파일 | `~/.ltcai/knowledge_graph_blobs/` | 원본 PDF/DOCX/웹 텍스트 등 |
@@ -38,11 +40,25 @@
 
 Apple Silicon MLX 로컬 모델 사용 시에는 프롬프트가 외부로 전송되지 않습니다.
 
+## Telegram 및 권한 알림
+
+Telegram bridge는 사용자가 명시적으로 활성화하고 chat ID를
+`LATTICEAI_TELEGRAM_ALLOWED_CHAT_IDS`에 등록한 경우에만 해당 chat의 메시지와
+callback query를 처리합니다. 로컬 Lattice API 호출에는 전용
+`LATTICEAI_SERVER_SESSION_TOKEN`을 사용하며 세션 저장 파일에서 bearer를 찾지
+않습니다.
+
+Discord 등의 권한 요청 알림에는 전체 승인 토큰이 아닌 짧은 hint만 포함됩니다.
+운영자가 `LATTICEAI_PERMISSION_UI_URL`을 설정하면 검토 페이지 링크를 제공할 수
+있지만, 승인 토큰 자체는 메시지나 URL에 넣지 않습니다.
+
 ## 웹/브라우저 수집 (v3.6.0)
 
 - **URL 읽기**(`/api/browser/read-url`): 사용자가 명시적으로 요청한 URL을 **로컬
   런타임이 직접** 가져와 텍스트만 추출해 그래프에 색인합니다. Lattice AI가 임의로
-  크롤링하지 않으며, 가져온 페이지는 외부로 다시 전송되지 않습니다.
+  크롤링하지 않으며, 가져온 페이지는 외부로 다시 전송되지 않습니다. private/local
+  주소와 DNS rebinding을 차단하고 redirect마다 다시 검증하며 최대 4MB의 textual
+  응답만 스트리밍합니다.
 - **브라우저 탭 수집**(`/api/browser/ingest-current-tab`) 및 Manifest V3 확장:
   확장 프로그램은 **오직 `127.0.0.1`(로컬)** 로만 전송합니다. 클라우드 엔드포인트가
   존재하지 않습니다(`browser-extension/` 소스에서 단일 `fetch` 대상 확인 가능).

package/docs/public-deploy.md

@@ -7,7 +7,8 @@ Render, Fly.io, Railway, VPS 등 외부 서버에 Lattice AI를 배포할 때
 ```bash
 # 필수
 LATTICEAI_MODE=public
-LATTICEAI_INVITE_CODE=my-secret-invite-code   # 회원가입 시 필요한 초대 코드
+LATTICEAI_INVITE_GATE_ENABLED=true            # 초대 온보딩을 사용할 때만 활성화
+LATTICEAI_INVITE_CODE=my-random-invite-code   # 권장: 운영자가 생성한 랜덤 초대 코드
 
 # 클라우드 모델 (최소 하나 이상)
 OPENAI_API_KEY=sk-...
@@ -24,8 +25,33 @@ LATTICEAI_ENABLE_TELEGRAM=false               # Telegram 봇 비활성화
 LATTICEAI_ENABLE_GRAPH=false                  # Data Graph 비활성화
 LATTICEAI_DATA_DIR=/data                      # 데이터 디렉토리
 LATTICEAI_ADMIN_EMAILS=you@example.com        # 어드민 이메일 고정
+LATTICEAI_PERMISSION_UI_URL=https://example.com/admin/permissions  # 선택
 ```
 
+public/non-loopback 모드는 인증을 강제하고 공개 회원가입을 닫습니다. 초대
+온보딩이 필요할 때만 `LATTICEAI_INVITE_GATE_ENABLED=true`로 게이트를 켭니다.
+초대 게이트에는 공용 기본 코드가 없습니다. `LATTICEAI_INVITE_CODE`를 생략하면
+게이트 활성화 시 CSPRNG로 설치별 코드와 쿠키 서명 키를 만들고 데이터 디렉터리의
+권한 제한 파일에 보관합니다. 운영 환경에서는 직접 랜덤 값을 설정하거나 이 파일이
+영구 볼륨에 남도록 해야 합니다. `authorized=true` 같은 정적 쿠키는 인증되지 않습니다.
+서명된 초대 claim은 해당 회원가입 요청만 허용하며, claim 없는 `/register` 직접
+호출은 공개 회원가입이 닫힌 상태를 우회할 수 없습니다.
+
+Telegram을 의도적으로 활성화할 때만 아래 세 값을 모두 설정합니다.
+
+```bash
+LATTICEAI_ENABLE_TELEGRAM=true
+LATTICEAI_TELEGRAM_BOT_TOKEN=...
+LATTICEAI_TELEGRAM_ALLOWED_CHAT_IDS=123456789,987654321
+LATTICEAI_SERVER_SESSION_TOKEN=...
+```
+
+허용목록은 메시지와 callback query 모두에 등록보다 먼저 적용됩니다. 비어 있으면
+모든 chat을 거부합니다. `LATTICEAI_SERVER_SESSION_TOKEN`은 봇 전용 인증 세션의
+bearer이며 `sessions.json`에 저장된 해시를 복사해서는 안 됩니다.
+`LATTICEAI_PERMISSION_UI_URL`은 선택적인 승인 검토 페이지 링크일 뿐이며, 알림에는
+전체 승인 토큰이 포함되지 않습니다.
+
 ## Docker
 
 ```dockerfile
@@ -38,6 +64,7 @@ docker run --rm \
   -p 4825:4825 \
   -e LATTICEAI_MODE=public \
   -e OPENAI_API_KEY="$OPENAI_API_KEY" \
+  -e LATTICEAI_INVITE_GATE_ENABLED=true \
   -e LATTICEAI_INVITE_CODE="my-secret-code" \
   -v "$PWD/.data:/data" \
   lattice-ai
@@ -56,7 +83,7 @@ docker run --rm \
 
 ```bash
 fly launch
-fly secrets set LATTICEAI_MODE=public OPENAI_API_KEY=sk-... LATTICEAI_INVITE_CODE=secret
+fly secrets set LATTICEAI_MODE=public OPENAI_API_KEY=sk-... LATTICEAI_INVITE_GATE_ENABLED=true LATTICEAI_INVITE_CODE=secret
 fly volumes create ltcai_data --size 1
 fly deploy
 ```
@@ -117,13 +144,15 @@ yourdomain.com {
 ## 퍼블릭 배포 체크리스트
 
 - [ ] `LATTICEAI_MODE=public` 설정
-- [ ] `LATTICEAI_INVITE_CODE` 비공개 랜덤 값으로 설정
+- [ ] 초대 온보딩이 필요하면 `LATTICEAI_INVITE_GATE_ENABLED=true`와 비공개
+      랜덤 `LATTICEAI_INVITE_CODE` 설정(또는 생성된 설치별 secret 영구 보관)
 - [ ] HTTPS 리버스 프록시 구성 (nginx / Caddy)
 - [ ] 영구 볼륨 마운트 (`/data` 또는 `LATTICEAI_DATA_DIR`)
 - [ ] 방화벽에서 4825 포트 직접 노출 차단
 - [ ] `LATTICEAI_ALLOW_LOCAL_MODELS=false`
 - [ ] 최소 하나의 클라우드 API 키 설정
 - [ ] 첫 가입 후 어드민 계정 확인 (`http://yourdomain.com/admin`)
+- [ ] Telegram 활성화 시 chat ID 허용목록과 전용 서버 세션 토큰을 모두 설정
 
 ## 지원 클라우드 모델 프리픽스