oh-my-customcode 1.1.57 → 1.1.59

package/dist/cli/index.js

@@ -243,7 +243,7 @@ var init_package = __esm(() => {
     workspaces: [
       "packages/*"
     ],
-    version: "1.1.57",
+    version: "1.1.59",
     description: "Batteries-included agent harness for Claude Code",
     type: "module",
     bin: {
@@ -291,7 +291,7 @@ var init_package = __esm(() => {
       yaml: "^2.8.2"
     },
     devDependencies: {
-      "@anthropic-ai/sdk": "^0.117.1",
+      "@anthropic-ai/sdk": "^0.122.0",
       "@biomejs/biome": "^2.3.12",
       "@types/bun": "^1.3.6",
       "@types/js-yaml": "^4.0.9",

package/dist/index.js

@@ -2539,7 +2539,7 @@ var package_default = {
   workspaces: [
     "packages/*"
   ],
-  version: "1.1.57",
+  version: "1.1.59",
   description: "Batteries-included agent harness for Claude Code",
   type: "module",
   bin: {
@@ -2587,7 +2587,7 @@ var package_default = {
     yaml: "^2.8.2"
   },
   devDependencies: {
-    "@anthropic-ai/sdk": "^0.117.1",
+    "@anthropic-ai/sdk": "^0.122.0",
     "@biomejs/biome": "^2.3.12",
     "@types/bun": "^1.3.6",
     "@types/js-yaml": "^4.0.9",

package/package.json

@@ -3,7 +3,7 @@
   "workspaces": [
     "packages/*"
   ],
-  "version": "1.1.57",
+  "version": "1.1.59",
   "description": "Batteries-included agent harness for Claude Code",
   "type": "module",
   "bin": {
@@ -51,7 +51,7 @@
     "yaml": "^2.8.2"
   },
   "devDependencies": {
-    "@anthropic-ai/sdk": "^0.117.1",
+    "@anthropic-ai/sdk": "^0.122.0",
     "@biomejs/biome": "^2.3.12",
     "@types/bun": "^1.3.6",
     "@types/js-yaml": "^4.0.9",

package/templates/.claude/agents/mgr-gitnerd.md

@@ -50,6 +50,27 @@ Types: feat, fix, docs, style, refactor, test, chore
 - ALWAYS check `git reflog` before declaring work lost — most destructive ops are recoverable for 30 days
 - Reference: R001 Destructive Git Commands section, #1146 (v0.136.0 working tree loss incident)
 
+## Commit Timeout Budget (#1645)
+
+`.husky/pre-commit` 는 **메인 워크트리**에서 typecheck + `bun run lint` + `bun test --coverage`
+전체 스위트(실측 약 **165초**) + 커버리지 임계값 + CLAUDE.md 카운트 검증까지 순차 실행한다.
+Bash 도구 기본 타임아웃은 **120000ms(2분)** 이라 `git commit` 이 훅 실행 도중
+**exit 143(SIGTERM)** 으로 끊긴다.
+
+| 상황 | Bash `timeout` |
+|---|---|
+| 메인 워크트리에서 `git commit` | **≥ 400000** (약 6.7분) |
+| git worktree 에서 `git commit` | 기본값으로 충분 (`.husky/pre-commit` **7-12행**이 `[ -f .git ]` 로 분기해 `bun run typecheck` 만 실행하고 `exit 0` — 전체 스위트는 CI 담당) |
+| `git push` / `gh pr` 등 훅 없는 명령 | 기본값 |
+
+**금지**: 타임아웃 회피 목적의 `--no-verify` 사용. 품질 게이트 우회는 상시 금지이며
+오케스트레이터의 사전 승인이 있을 때만 예외다(R010 「품질 게이트 우회 금지」).
+훅이 차단하면 우회하지 말고 **차단 사실과 원인을 보고하고 대기**한다.
+
+**타임아웃으로 끊긴 경우**: exit 143 은 "커밋 실패"의 증거가 아니다 — 훅이 통과한 뒤
+커밋이 성사됐을 수도 있다. 재시도 전 `git log -1 --format=%H%n%s` 로 **실제 HEAD 를 실측**하라
+(R020 「Failure/Interrupt Report ≠ Actual Failure」).
+
 ## Push Rules (R016)
 
 All pushes require prior mgr-sauron:watch verification. If sauron was not run, REFUSE the push.

package/templates/.claude/hooks/scripts/r007-r008-drift-advisor.sh

@@ -304,8 +304,33 @@ if [ -n "$turn_uuid" ] && [ -f "$MARKER_FILE" ]; then
   fi
 fi
 
-advisory_text=$(printf '[R007/R008 Advisory] 직전 응답에서 식별 누락 감지 (R007 헤더=%s, R008 접두사=%s). 이번 응답은 ┌─ Agent: 헤더로 시작하고, 모든 도구 호출에 [agent][model] → Tool: 접두사를 포함하십시오.' \
-  "$r007_violations" "$r008_violations")
+# ── 위반 문구 조립 (#1643 — 판정 로직 불변, 레이블 의미를 문구 자체가 드러내도록 정정) ──
+# 이전 문구 "R007 헤더=%s, R008 접두사=%s"의 %s는 위반 "건수"(0=컴플라이언트)였는데, 레이블
+# "헤더"/"접두사"가 "개수"로 오독되어 "R007 헤더=0"이 "헤더가 없다"로 잘못 읽혔다(#1643 진단
+# 확정 — 실제로는 헤더가 정상 존재하는 컴플라이언트 상태였다). 값이 위반 건수라는 것을 문구
+# 자체가 드러내도록 "누락 N건"으로 표현하고, 위반이 없는 차원은 문구에서 아예 제외한다 — 0건인
+# 차원을 언급하면 그 차원도 위반처럼 오독될 수 있기 때문이다.
+violation_desc=""
+instruction=""
+if [ "$r007_violations" -gt 0 ]; then
+  violation_desc="R007 에이전트 식별 헤더 누락 ${r007_violations}건"
+  instruction="이번 응답은 ┌─ Agent: 헤더로 시작하십시오."
+fi
+if [ "$r008_violations" -gt 0 ]; then
+  if [ -n "$violation_desc" ]; then
+    violation_desc="${violation_desc}, R008 도구 식별 접두사 누락 ${r008_violations}건"
+    instruction="이번 응답은 ┌─ Agent: 헤더로 시작하고, 모든 도구 호출에 [agent][model] → Tool: 접두사를 포함하십시오."
+  else
+    violation_desc="R008 도구 식별 접두사 누락 ${r008_violations}건"
+    instruction="모든 도구 호출에 [agent][model] → Tool: 접두사를 포함하십시오."
+  fi
+fi
+
+if [ -n "$violation_desc" ]; then
+  advisory_text="[R007/R008 Advisory] 직전 응답에서 ${violation_desc} 감지. ${instruction}"
+else
+  advisory_text="[R007/R008 Advisory]"
+fi
 
 if [ "$r008_reverse" -gt 0 ]; then
   advisory_text="${advisory_text} [R009 Self-Check #6] 직전 턴은 도구 호출 ${r008_reverse}건을 예고하고도 tool_use 블록 없이 종료했습니다 — 예고한 호출을 지금 실행하거나, 실행하지 않기로 한 사유를 명시하십시오."

package/templates/.claude/hooks/scripts/session-autofix.sh

@@ -96,18 +96,66 @@ if [ -d "wiki" ]; then
 fi
 
 # ─── Check 6: Broken skill references (lightweight) ───
+# Parses BOTH frontmatter forms (#1640):
+#   inline : skills: [a, b]
+#   block  : skills:
+#              - a
+#              - b
+# Emits one skill name per line. Scans the YAML frontmatter only (stops at the
+# closing "---"), so a "skills:" line in the agent body is never parsed.
+parse_agent_skills() {
+  awk '
+    BEGIN {
+      SQ = sprintf("%c", 39); DQ = sprintf("%c", 34)
+      infm = 0; inskills = 0
+    }
+    function clean(s) {
+      sub(/[[:space:]]*#.*$/, "", s)
+      gsub(SQ, "", s); gsub(DQ, "", s)
+      gsub(/[[:space:]]/, "", s)
+      return s
+    }
+    NR == 1 { if ($0 ~ /^---[[:space:]]*$/) infm = 1; next }
+    infm == 0 { exit }
+    /^---[[:space:]]*$/ { exit }
+    inskills == 1 {
+      if ($0 ~ /^[[:space:]]+-[[:space:]]*/) {
+        item = $0
+        sub(/^[[:space:]]+-[[:space:]]*/, "", item)
+        item = clean(item)
+        if (item != "") print item
+        next
+      }
+      if ($0 ~ /^[[:space:]]*$/) next
+      inskills = 0
+    }
+    /^skills:/ {
+      rest = $0
+      sub(/^skills:[[:space:]]*/, "", rest)
+      sub(/[[:space:]]*#.*$/, "", rest)
+      if (rest ~ /^\[/) {
+        sub(/^\[/, "", rest); sub(/\][[:space:]]*$/, "", rest)
+        n = split(rest, arr, ",")
+        for (i = 1; i <= n; i++) {
+          s = clean(arr[i])
+          if (s != "") print s
+        }
+      } else if (rest == "") {
+        inskills = 1
+      }
+      next
+    }
+  ' "$1"
+}
+
 broken_refs=0
 for agent in .claude/agents/*.md; do
-  skills_line=$(grep -E '^skills:' "$agent" 2>/dev/null | head -1)
-  if [ -n "$skills_line" ]; then
-    skills=$(echo "$skills_line" | sed 's/skills: *\[//;s/\]//;s/,/ /g;s/"//g' | tr -d "'")
-    for skill in $skills; do
-      skill=$(echo "$skill" | tr -d ' ')
-      if [ -n "$skill" ] && [ ! -f ".claude/skills/${skill}/SKILL.md" ]; then
-        broken_refs=$((broken_refs + 1))
-      fi
-    done
-  fi
+  [ -f "$agent" ] || continue
+  while IFS= read -r skill; do
+    if [ -n "$skill" ] && [ ! -f ".claude/skills/${skill}/SKILL.md" ]; then
+      broken_refs=$((broken_refs + 1))
+    fi
+  done <<< "$(parse_agent_skills "$agent")"
 done
 if [ "$broken_refs" -gt 0 ]; then
   add_issue "broken-refs:${broken_refs} broken skill reference(s) in agent frontmatter"

package/templates/.claude/hooks/scripts/stuck-detector.sh

@@ -44,6 +44,23 @@ is_readonly_single_command() {
   local w2="${parts[1]:-}"
   local w3="${parts[2]:-}"
 
+  # Variable assignment prefix: "VAR=value" or "VAR=value cmd args".
+  # A bare assignment has no side effect outside the shell; when followed by a
+  # command, classify that command instead. Command substitutions inside the
+  # RHS were already validated and replaced by is_readonly_bash_command (#1641).
+  case "$w1" in
+    [A-Za-z_]*=*)
+      if [ "${#parts[@]}" -le 1 ]; then
+        echo "true"
+        return 0
+      fi
+      local rest_cmd="${cmd#*"$w1"}"
+      rest_cmd="$(printf '%s' "$rest_cmd" | sed -e 's/^[[:space:]]*//')"
+      is_readonly_single_command "$rest_cmd"
+      return 0
+      ;;
+  esac
+
   case "$w1" in
     ls|cat|head|tail|grep|rg|wc|jq|md5|md5sum|type|command|which|echo|printf|pwd|date)
       echo "true"
@@ -77,7 +94,7 @@ is_readonly_single_command() {
               *) ok="false" ;;
             esac
           done
-          echo "$ok"
+          printf '%s\n' "$ok"
           ;;
         *)
           # fetch and all other subcommands (checkout/merge/rebase/push/...) => write
@@ -116,29 +133,172 @@ is_readonly_single_command() {
   esac
 }
 
+# Maximum recursion depth for nested command substitution / loop bodies.
+_RO_MAX_DEPTH=5
+# Maximum command length that is parsed at all (see Step 0 below).
+_RO_MAX_COMMAND_LEN=4000
+
 is_readonly_bash_command() {
   local cmd="$1"
+  local depth="${2:-0}"
+
+  if [ "$depth" -gt "$_RO_MAX_DEPTH" ]; then
+    echo "false"
+    return 0
+  fi
+
+  # --- Step 0: length cap (M-4). The "$(...)" balance scan below walks the
+  # remainder of the command ONE CHARACTER AT A TIME and rebuilds "$inner" on
+  # every iteration, which is O(n^2) in the substitution's length (measured:
+  # 5 KB => 0.9 s, 20 KB => 13.6 s of latency on a PostToolUse hook).
+  # "$raw_command" is the only unbounded field left after the cap on
+  # target_key, so cap it here. Nothing legitimately read-only is 4 KB long;
+  # anything over the cap is classified as a write, i.e. the conservative side
+  # (a read-only classification only ever RELAXES blocking).
+  if [ "${#cmd}" -gt "$_RO_MAX_COMMAND_LEN" ]; then
+    echo "false"
+    return 0
+  fi
+
   cmd="$(printf '%s' "$cmd" | sed -e 's/^[[:space:]]*//' -e 's/[[:space:]]*$//')"
   if [ -z "$cmd" ]; then
     echo "false"
     return 0
   fi
 
-  # Truly ambiguous constructs: redirection, command/process substitution, or
-  # "||" (conditional-OR — intentionally NOT decomposed into segments, since
-  # its branch that actually runs depends on the first segment's exit code)
-  # => always treated as write.
+  # --- Step 1: process substitution "<(...)" stays ambiguous => write. ---
+  case "$cmd" in
+    *'<('*)
+      echo "false"
+      return 0
+      ;;
+  esac
+
+  # --- Step 2: command substitution "$(...)" / backticks.
+  # Rather than treating them as an automatic write (#1641), extract the inner
+  # command, classify it RECURSIVELY, and replace the substitution with the
+  # inert placeholder "SUBST". A write inside the substitution (e.g.
+  # "$(rm -rf /tmp/x)", "$(git push)") still makes the whole command a write.
+  while :; do
+    case "$cmd" in
+      *'$('*)
+        local before="${cmd%%'$('*}"
+        local after="${cmd#*'$('}"
+        # Balance-aware scan for the matching ")".
+        local inner="" rest="" d=1 i ch
+        for ((i = 0; i < ${#after}; i++)); do
+          ch="${after:$i:1}"
+          if [ "$ch" = "(" ]; then
+            d=$((d + 1))
+          elif [ "$ch" = ")" ]; then
+            d=$((d - 1))
+            if [ "$d" -eq 0 ]; then
+              rest="${after:$((i + 1))}"
+              break
+            fi
+          fi
+          inner="${inner}${ch}"
+        done
+        if [ "$d" -ne 0 ]; then
+          # Unbalanced => unparseable => conservative write.
+          echo "false"
+          return 0
+        fi
+        if [ "$(is_readonly_bash_command "$inner" $((depth + 1)))" != "true" ]; then
+          echo "false"
+          return 0
+        fi
+        cmd="${before}SUBST${rest}"
+        ;;
+      *'`'*)
+        # Backticks do not nest; take the text between the first pair.
+        local b_before="${cmd%%'`'*}"
+        local b_after="${cmd#*'`'}"
+        case "$b_after" in
+          *'`'*) ;;
+          *) echo "false"; return 0 ;;
+        esac
+        local b_inner="${b_after%%'`'*}"
+        local b_rest="${b_after#*'`'}"
+        if [ "$(is_readonly_bash_command "$b_inner" $((depth + 1)))" != "true" ]; then
+          echo "false"
+          return 0
+        fi
+        cmd="${b_before}SUBST${b_rest}"
+        ;;
+      *)
+        break
+        ;;
+    esac
+  done
+
+  # --- Step 3: strip harmless redirections BEFORE the ">" write check.
+  # "2>&1", ">/dev/null", "2>/dev/null", "1>/dev/null", "&>/dev/null" produce no
+  # observable side effect. Any OTHER ">" (a real file write) remains a write.
+  local stripped
+  stripped="$(printf '%s' "$cmd" \
+    | sed -E 's/[0-9]?>&[0-9]/ /g; s#[0-9]?&?>[[:space:]]*/dev/null# #g')"
+  case "$stripped" in
+    *'>'*)
+      echo "false"
+      return 0
+      ;;
+  esac
+  cmd="$stripped"
+
+  # --- Step 4: "||" is still NOT decomposed (which branch runs depends on the
+  # first segment's exit code) => write. Preserved from #1629.
   case "$cmd" in
-    *'>'*|*'||'*|*'$('*|*'`'*|*'<('*)
+    *'||'*)
       echo "false"
       return 0
       ;;
   esac
 
-  # Compound command: split on "&&", ";", or a single "|" into segments and
+  # --- Step 5: for / while loops (#1641).
+  # Normalize ";do" / ";done" spacing, then classify the header and the
+  # "do ... done" body separately. Both must be read-only.
+  case "$cmd" in
+    for\ *|while\ *)
+      local norm
+      norm="$(printf '%s' "$cmd" | sed -E 's/;[[:space:]]*do([[:space:]]|$)/ ; do /g; s/;[[:space:]]*done/ ; done/g')"
+      case "$norm" in
+        *' do '*'done'*) ;;
+        *) echo "false"; return 0 ;;
+      esac
+      local head="${norm%% do *}"
+      local tail_part="${norm#* do }"
+      local body="${tail_part%done*}"
+      head="$(printf '%s' "$head" | sed -e 's/[[:space:]]*;[[:space:]]*$//')"
+      body="$(printf '%s' "$body" | sed -e 's/[[:space:]]*;[[:space:]]*$//')"
+
+      case "$head" in
+        # "for VAR in <words>" — pure iteration, no side effect. The <words>
+        # already had any substitution validated in Step 2.
+        for\ [A-Za-z_]*\ in\ *)
+          ;;
+        while\ *)
+          # The while CONDITION is a real command — classify it.
+          local wcond="${head#while }"
+          if [ "$(is_readonly_bash_command "$wcond" $((depth + 1)))" != "true" ]; then
+            echo "false"
+            return 0
+          fi
+          ;;
+        *)
+          echo "false"
+          return 0
+          ;;
+      esac
+
+      is_readonly_bash_command "$body" $((depth + 1))
+      return 0
+      ;;
+  esac
+
+  # --- Step 6: compound command — split on "&&", ";", or a single "|" and
   # require EVERY segment to be read-only (#1629). An empty segment (e.g. a
-  # trailing separator) is treated as ambiguous => write, same as any
-  # segment that fails single-command classification.
+  # trailing separator) is ambiguous => write.
   if [[ "$cmd" == *'&&'* || "$cmd" == *';'* || "$cmd" == *'|'* ]]; then
     local normalized="$cmd"
     normalized="${normalized//&&/$'\n'}"
@@ -167,15 +327,67 @@ input=$(cat)
 
 # Extract tool info
 tool_name=$(printf '%s' "$input" | jq -r '.tool_name // "unknown"')
-# 300 (not 120): a 120-char cutoff let two genuinely different long Bash
-# commands collide on their shared 120-char prefix, causing a false-positive
-# same-path/same-tool+target hard-block. 300 chars covers the vast majority
-# of real commands without their differing tail being cut off (#1629).
-file_path=$(printf '%s' "$input" | jq -r '.tool_input.file_path // .tool_input.command // ""' | head -c 300)
+# Bash commands are NOT files. Feeding tool_input.command into file_path made
+# the hard-block message report a command fragment as a "file" and let Check 1
+# ("Same file ... edited") fire on Bash at all (#1641). Keep the command text in
+# a SEPARATE field (target_key) so tool+target repetition detection (Check 3 /
+# Signal 3) still works, while the file-oriented checks see nothing for Bash.
+#
+# 1000 (was 300, originally 120): a short cutoff let two genuinely different
+# long Bash commands collide on their shared prefix, causing a false-positive
+# same-path/same-tool+target hard-block (#1629). Truncation alone can never
+# remove that collision class, so truncate_key() ALSO appends the ORIGINAL
+# length: two values that share the capped prefix but differ in total length
+# no longer produce the same key (M-3).
+TARGET_KEY_CAP=1000
+
+truncate_key() {
+  local v="$1"
+  if [ "${#v}" -gt "$TARGET_KEY_CAP" ]; then
+    printf '%s' "${v:0:$TARGET_KEY_CAP}#len=${#v}"
+  else
+    printf '%s' "$v"
+  fi
+}
+
+if [ "$tool_name" = "Bash" ]; then
+  file_path=""
+  # ".tool_input.file_path" is a defensive fallback only: the real Bash tool has
+  # no file_path parameter, but a caller (or a test fixture) may still supply one
+  # as the target identifier. The command text wins whenever it is present.
+  target_key=$(truncate_key "$(printf '%s' "$input" | jq -r '.tool_input.command // .tool_input.file_path // ""')")
+else
+  file_path_full=$(printf '%s' "$input" | jq -r '.tool_input.file_path // ""')
+  # file_path is display/guard only (basename in the messages); target_key is
+  # the value matched against history, so only it carries the length tag.
+  file_path=$(printf '%s' "$file_path_full" | head -c "$TARGET_KEY_CAP")
+  target_key=$(truncate_key "$file_path_full")
+fi
 is_error=$(printf '%s' "$input" | jq -r '.tool_output.is_error // false')
 output_preview=$(printf '%s' "$input" | jq -r '.tool_output.output // ""' | head -c 200)
 raw_command=$(printf '%s' "$input" | jq -r '.tool_input.command // ""')
 
+# Distinguish "the same file edited 3 times with DIFFERENT content" (a normal
+# incremental-edit workflow — the #1641 false positive) from "the same edit
+# repeated 3 times" (a genuine stuck loop). Only the latter should hard-block.
+# Alphanumerics-only + length cap: deterministic, platform-independent (no
+# md5sum, absent on macOS) and safe to embed in a grep pattern.
+edit_hash=""
+if [ "$tool_name" = "Edit" ] || [ "$tool_name" = "Write" ]; then
+  edit_hash=$(printf '%s' "$input" \
+    | jq -r '(.tool_input.old_string // .tool_input.content // .tool_input.new_string // "")
+             | gsub("[^A-Za-z0-9]"; "") | .[0:120]')
+fi
+
+# History entries are written by jq, so their "path" values are JSON-ENCODED.
+# Matching them requires the SAME encoding, not the raw text: a raw value
+# containing a quote (common in Bash commands) can never match the encoded
+# form. The previous BRE escaping was doubly broken — in POSIX BRE "( ) + ? { |"
+# are literals, so escaping them turned them INTO operators and silently
+# stopped matching. Encode once here and match with grep -F (fixed string).
+target_key_json=$(jq -n --arg v "$target_key" '$v')
+path_match="\"path\":${target_key_json}"
+
 is_readonly="false"
 if [ "$tool_name" = "Bash" ]; then
   is_readonly=$(is_readonly_bash_command "$raw_command")
@@ -190,18 +402,22 @@ timestamp=$(date -u +%Y-%m-%dT%H:%M:%SZ)
 # Generate error hash for deduplication (first 50 chars of error)
 error_hash=""
 if [ "$is_error" = "true" ]; then
-  error_hash=$(echo "$output_preview" | head -c 50 | md5sum 2>/dev/null | cut -d' ' -f1 || echo "unknown")
+  error_hash=$(printf '%s' "$output_preview" | head -c 50 | md5sum 2>/dev/null | cut -d' ' -f1 || printf '%s\n' "unknown")
 fi
 
+# "path" holds $target_key — a file path for file tools, the command text for
+# Bash (#1641). Keeping Bash commands in this field preserves Check 3 / Signal 3
+# repetition detection while file_path stays empty for Bash.
 entry=$(jq -cn \
   --arg ts "$timestamp" \
   --arg tool "$tool_name" \
-  --arg path "$file_path" \
+  --arg path "$target_key" \
   --arg err "$is_error" \
   --arg hash "$error_hash" \
+  --arg ehash "$edit_hash" \
   --arg preview "$output_preview" \
   --arg readonly "$is_readonly" \
-  '{timestamp: $ts, tool: $tool, path: $path, is_error: $err, error_hash: $hash, preview: $preview, readonly: $readonly}')
+  '{timestamp: $ts, tool: $tool, path: $path, is_error: $err, error_hash: $hash, edit_hash: $ehash, preview: $preview, readonly: $readonly}')
 
 printf '%s\n' "$entry" >> "$HISTORY_FILE"
 
@@ -237,7 +453,7 @@ recovery=""
 
 # Signal 1: Repeated error (same error_hash 3+ times in last 10 entries)
 if [ "$is_error" = "true" ] && [ -n "$error_hash" ]; then
-  error_repeat=$(tail -10 "$HISTORY_FILE" | grep -c "\"error_hash\":\"${error_hash}\"" 2>/dev/null || echo "0")
+  error_repeat=$(tail -10 "$HISTORY_FILE" | grep -c "\"error_hash\":\"${error_hash}\"" 2>/dev/null || printf '%s\n' "0")
   if [ "$error_repeat" -ge 3 ]; then
     stuck_detected=true
     signal_type="Repeated error"
@@ -251,12 +467,12 @@ fi
 # Signal 2: Edit loop (same file edited 3+ times in last 8 entries)
 if [ "$stuck_detected" = false ] && { [ "$tool_name" = "Edit" ] || [ "$tool_name" = "Write" ]; }; then
   if [ -n "$file_path" ]; then
-    escaped_path=$(echo "$file_path" | sed 's/[.[\*^$()+?{|]/\\&/g')
-    edit_repeat=$(tail -8 "$HISTORY_FILE" | grep -c "\"path\":\"${escaped_path}\"" 2>/dev/null || echo "0")
+    edit_repeat=$(tail -8 "$HISTORY_FILE" | grep -cF -e "$path_match" 2>/dev/null || true)
+    [ -n "$edit_repeat" ] || edit_repeat=0
     if [ "$edit_repeat" -ge 3 ]; then
       stuck_detected=true
       signal_type="Edit loop"
-      pattern_desc="$(basename "$file_path") edited ${edit_repeat} times in last 8 calls"
+      pattern_desc="$(basename -- "$file_path") edited ${edit_repeat} times in last 8 calls"
       occurrence_count=$edit_repeat
       threshold=3
       recovery="Try a different file or approach instead of re-editing"
@@ -271,7 +487,7 @@ fi
 # calls (git status / gh view / ls / ...) doesn't inflate the "same tool
 # called N times" advisory.
 if [ "$stuck_detected" = false ] && [ "$is_readonly" != "true" ]; then
-  tool_repeat=$(tail -8 "$HISTORY_FILE" | grep -v "\"readonly\":\"true\"" | grep -c "\"tool\":\"${tool_name}\"" 2>/dev/null || echo "0")
+  tool_repeat=$(tail -8 "$HISTORY_FILE" | grep -v "\"readonly\":\"true\"" | grep -c "\"tool\":\"${tool_name}\"" 2>/dev/null || printf '%s\n' "0")
   if [ "$tool_repeat" -ge 5 ]; then
     stuck_detected=true
     signal_type="Tool loop"
@@ -302,38 +518,64 @@ hard_block_reason=""
 
 if [ -f "$HISTORY_FILE" ]; then
   last_n=$(tail -"$HARD_BLOCK_THRESHOLD" "$HISTORY_FILE" 2>/dev/null)
-  last_n_count=$(echo "$last_n" | wc -l | tr -d ' ')
+  last_n_count=$(printf '%s\n' "$last_n" | wc -l | tr -d ' ')
 
   if [ "$last_n_count" -ge "$HARD_BLOCK_THRESHOLD" ]; then
-    # Check 1: Same file edited HARD_BLOCK_THRESHOLD+ times consecutively
+    # Check 1: Same file edited with the SAME content HARD_BLOCK_THRESHOLD+
+    # times consecutively. Narrowed in #1641: three DIFFERENT edits to one file
+    # is a normal incremental workflow (observed repeatedly on wiki/rule/doc
+    # files), not a stuck loop — only an IDENTICAL repeated edit blocks. Both
+    # the path AND the edit_hash must match.
     # (skip when current call is a read-only Bash command — repeated read-only
     # polling of the same target is not a stuck-loop signal; see #1625)
+    # Bash never reaches here — file_path is empty for Bash (#1641), and
+    # edit_hash is empty too; repeated Bash commands are handled by Check 3
+    # via target_key instead.
     if [ "$is_readonly" != "true" ] && [ -n "$file_path" ]; then
-      escaped_path=$(echo "$file_path" | sed 's/[.[\*^$()+?{|]/\\&/g')
-      consecutive_file=$(echo "$last_n" | grep -c "\"path\":\"${escaped_path}\"" 2>/dev/null || echo "0")
+      consecutive_file=$(printf '%s\n' "$last_n" \
+        | grep -F -e "$path_match" \
+        | grep -cF -e "\"edit_hash\":\"${edit_hash}\"" 2>/dev/null || true)
+      [ -n "$consecutive_file" ] || consecutive_file=0
       if [ "$consecutive_file" -ge "$HARD_BLOCK_THRESHOLD" ]; then
         hard_block=true
-        hard_block_reason="Same file ($(basename "$file_path")) edited ${consecutive_file} consecutive times"
+        hard_block_reason="Same file ($(basename -- "$file_path")) received the identical edit ${consecutive_file} consecutive times"
       fi
     fi
 
     # Check 2: Same error repeated HARD_BLOCK_THRESHOLD+ times consecutively
     if [ "$hard_block" = false ] && [ "$is_error" = "true" ] && [ -n "$error_hash" ]; then
-      consecutive_error=$(echo "$last_n" | grep -c "\"error_hash\":\"${error_hash}\"" 2>/dev/null || echo "0")
+      consecutive_error=$(printf '%s\n' "$last_n" | grep -c "\"error_hash\":\"${error_hash}\"" 2>/dev/null || printf '%s\n' "0")
       if [ "$consecutive_error" -ge "$HARD_BLOCK_THRESHOLD" ]; then
         hard_block=true
         hard_block_reason="Same error repeated ${consecutive_error} consecutive times"
       fi
     fi
 
-    # Check 3: Same tool+target combination HARD_BLOCK_THRESHOLD+ times consecutively
+    # Check 3: Same tool+target combination HARD_BLOCK_THRESHOLD+ times
+    # consecutively. Uses target_key (a file path for file tools, the command
+    # text for Bash) so repeated identical Bash commands are still blocked
+    # after file_path was emptied for Bash (#1641).
     # (skip when current call is a read-only Bash command — see Check 1 note)
-    if [ "$hard_block" = false ] && [ "$is_readonly" != "true" ] && [ -n "$file_path" ]; then
-      escaped_path=$(echo "$file_path" | sed 's/[.[\*^$()+?{|]/\\&/g')
-      consecutive_tool_target=$(echo "$last_n" | grep "\"tool\":\"${tool_name}\"" | grep -c "\"path\":\"${escaped_path}\"" 2>/dev/null || echo "0")
+    # The edit_hash filter mirrors Check 1's #1641 narrowing: without it this
+    # check re-creates the very false positive Check 1 was narrowed to remove
+    # (tool=Edit + same path fires at 3 regardless of content). For Bash the
+    # filter is a no-op — every Bash history entry carries edit_hash "".
+    if [ "$hard_block" = false ] && [ "$is_readonly" != "true" ] && [ -n "$target_key" ]; then
+      consecutive_tool_target=$(printf '%s\n' "$last_n" \
+        | grep -F -e "\"tool\":\"${tool_name}\"" \
+        | grep -F -e "$path_match" \
+        | grep -cF -e "\"edit_hash\":\"${edit_hash}\"" 2>/dev/null || true)
+      [ -n "$consecutive_tool_target" ] || consecutive_tool_target=0
       if [ "$consecutive_tool_target" -ge "$HARD_BLOCK_THRESHOLD" ]; then
         hard_block=true
-        hard_block_reason="${tool_name} called on $(basename "$file_path") ${consecutive_tool_target} consecutive times"
+        # Do NOT call basename() on a Bash target: a command is not a path, and
+        # basename() on command text produced the misleading "Same file (pr)"
+        # style message reported in #1641.
+        if [ "$tool_name" = "Bash" ]; then
+          hard_block_reason="Identical Bash command repeated ${consecutive_tool_target} times: $(printf '%s' "$target_key" | head -c 60)"
+        else
+          hard_block_reason="${tool_name} called on $(basename -- "$target_key") ${consecutive_tool_target} consecutive times"
+        fi
       fi
     fi
   fi

package/templates/.claude/rules/MAY-optimization.md

@@ -56,6 +56,8 @@
 
 > **v2.1.233+**: Linux에서 Bash 도구 명령에 **memory cgroup**을 걸 수 있게 되어(`CLAUDE_CODE_TOOL_MEMORY_LIMIT`, opt-in) 폭주하는 빌드가 세션을 마비시키지 못합니다. 이 변수가 설정된 환경에서는 대용량 빌드·테스트가 **OOM으로 죽을 수 있으므로**, 실패를 코드 결함으로 특성화하기 전에 이 변수 설정 여부를 확인합니다(R020 Read-Before-Characterize). 같은 릴리즈에서 **샌드박스 활성 Linux의 유휴 세션이 CPU 코어 1개를 100% 점유하던 문제**도 수정되었습니다 — 구버전 Linux에서 병렬 배치의 CPU 포화·타임아웃 실패를 "부하 의존"으로 귀속하기 전에 유휴 세션의 상시 점유를 배제해야 했습니다(cross-ref R009 「파일 disjoint ≠ 자원 disjoint」). 이 저장소의 기본 실행 환경은 Darwin이므로 두 항목 모두 **현재 미적용**이며, Linux CI·컨테이너 실행에만 해당합니다.
 
+> **v2.1.252+/v2.1.257+**: (252) 일부 Mac에서 Bash 명령이 "task output swap refused (tasks dir moved or linked)"로 실패하던 결함 수정 — Darwin이 이 저장소 기본 실행 환경이므로 직접 해당하며, 구버전에서 이 문구의 Bash 실패는 명령 결함이 아니라 플랫폼 tasks 디렉토리 처리 결함이었습니다(R020 Read-Before-Characterize). (257) `timeout`/`setsid`로 셸에서 분리된 background 명령이 task stop·CC 종료 후에도 살아남던 결함 수정, background 명령을 tasks 패널에서 중지하면 이제 Claude에 통지됨, `claude -p --input-format stream-json`에 비-JSONL 입력 시 무한 메모리 증가 대신 즉시 실패. 위 macOS `gtimeout` 노트(#1327)와 결합하면, `gtimeout`으로 감싼 백그라운드 명령이 세션 종료 후 잔존하던 관측은 이 결함의 산물일 수 있습니다.
+
 ### Capability-Aware Tool Scheduling
 
 When dispatching parallel tool calls, consider per-tool capabilities to optimize scheduling:

package/templates/.claude/rules/MUST-agent-design.md

@@ -47,6 +47,7 @@ Model values resolve differently depending on WHERE they are written. Mixing tie
 | `claude-opus-4-8` | Opus, previous generation; supports xhigh effort |
 | `claude-opus-5` | Latest Opus (GA); native 1M context, fast mode at $10/$50 per Mtok |
 | `claude-fable-5` | Mythos-class; tier above Opus (access via CC v2.1.170+) |
+| `claude-fable-5-1` | Mythos-class; Fable 5.1 — v2.1.257부터 기본 Fable 모델, 1M context |
 
 Full IDs are valid ONLY in agent frontmatter — the Agent tool's `model:` spawn parameter does NOT accept them (see Tier 3). Writing the full ID directly (not a project-invented shorthand) pins the agent regardless of future CC default changes. This is the recommended way to opt into Sonnet 5 / Opus 5 / Fable 5 explicitly rather than riding CC's Tier-1 default resolution.
 
@@ -76,8 +77,12 @@ Skill/rule text instructing "spawn with `model: opus`" refers to this tier — a
 
 > **v2.1.251+**: `CLAUDE_CODE_SUBAGENT_MODEL`이 이제 "모든 것을 override"가 아니라 **기본 subagent 모델만 설정**합니다 — 에이전트 정의의 `model:`(Tier 1/2)과 spawn 시점 명시적 `model`(Tier 3)이 이 env보다 **우선**합니다. 이 저장소는 다수 에이전트가 Tier-2 full ID로 model을 pin하므로, v2.1.251부터는 이 env var가 project의 model pin을 더 이상 깨뜨릴 수 없습니다(단, 이전 버전에서 실행된 세션은 여전히 영향받았을 수 있습니다).
 
+> **v2.1.257+**: `CLAUDE_CODE_SUBAGENT_MODEL_FORCE`가 신설되어, 설정 시 `CLAUDE_CODE_SUBAGENT_MODEL`(또는 메인 모델)을 **모든** 서브에이전트에 강제 적용하며 per-spawn(Tier 3)과 agent-definition(Tier 1/2) model override를 무시합니다. 즉 위 v2.1.251 노트의 "이 env var가 project의 model pin을 더 이상 깨뜨릴 수 없다"는 서술은 **FORCE 미설정 시에 한해** 참으로 좁혀집니다. FORCE가 설정된 환경에서는 frontmatter의 model이 실행 모델의 증거가 아니므로(R020 "attempt ≠ outcome"의 모델 각도, v2.1.223 강등 경고 노트와 같은 계열) 무인 실행 전 `env | grep -c CLAUDE_CODE_SUBAGENT_MODEL_FORCE`처럼 값 노출 없이 **설정 여부만** 확인합니다.
+
 > **Claude Fable 5 (access via CC v2.1.170+)**: Mythos-class model, GA on the Claude API and positioned as a tier above Opus — its capabilities exceed any previously GA model. CC v2.1.170 is the client version that adds access (the model's GA is an API/platform property, not a CC-release milestone). Available via frontmatter full ID `claude-fable-5` (Tier 2) or Agent tool `model: fable` (Tier 3) — NOT via a Tier-1 frontmatter alias. Reserve for the most complex reasoning where its capability premium is warranted; `sonnet` remains the default for general tasks and `opus` for architecture (cost/latency awareness, R005). CC v2.1.170 also fixes session transcripts not saving (and not appearing in `--resume`) when launched from a VS Code integrated terminal or any shell inheriting Claude Code env vars — relevant to transcript-dependent skills (`homework`, `episodic-memory`). Closes #1352.
 
+> **v2.1.257+**: Claude Fable 5.1(`claude-fable-5-1`)이 추가되어 **기본 Fable 모델**이 되었습니다 — 1M context, $10/$50 per Mtok(캐시 읽기 $0.25/Mtok). Tier-3 `model: fable` alias는 이제 Fable 5.1로 해석됩니다(단 Claude apps gateway 세션은 게이트웨이가 아직 Fable 5.1을 미지원해 당분간 Fable 5로 유지됩니다 — `/model`에서 명시 선택해야 Fable 5.1 사용 가능). frontmatter에서 확정하려면 Tier-2 full ID `claude-fable-5-1`을 쓰고, 기존 `claude-fable-5` pin은 그대로 Fable 5에 남습니다 — Tier-1 alias 해석 주체는 CC라는 위 원칙(v2.1.219/222 노트와 동일 계열)의 재확인입니다.
+
 <!-- ARCHIVED CC version notes (historical):
 > **v2.1.173+**: Fable 5 model IDs carrying a `[1m]` suffix are now auto-normalized (the suffix is stripped) because Fable 5 includes 1M context by default. Use `claude-fable-5` / `model: fable` WITHOUT a `[1m]` suffix — appending it is redundant and normalized away. (The `[1m]` suffix remains meaningful for Opus/Sonnet IDs.)
 
@@ -509,6 +514,8 @@ Key optional fields: `scope`, `context`, `version`, `effort`, `model`, `agent`,
 
 > **v2.1.228+**: claude.ai에서 동기화된 스킬이 하드닝되었습니다 — 로컬 커맨드·MCP prompt를 **shadow하지 않고**, description이 sanitize·labeling되며, 로컬 머신에서 그 본문이 `!` 명령을 실행하거나 `@` 파일 참조를 확장하지 **않습니다**. 즉 외부 출처 스킬은 로컬 `.claude/skills/` 스킬과 **동일한 실행 능력을 갖지 않으므로**, 동기화 스킬에 `!`/`@` 동작을 전제한 본문을 작성하면 무음 미실행이 됩니다. 구버전에서는 동기화 스킬이 로컬 커맨드를 가릴 수 있어 같은 이름 호출이 어느 정의로 해소되는지 결정론적이지 않았습니다.
 
+> **v2.1.257+**: `/add-dir`이 현재 작업 디렉토리 **내부**의 디렉토리를 거부하던 문제가 수정되어, 이제 startup 시 `--add-dir`와 동일하게 그 디렉토리의 skills/commands/agents를 로드합니다. 구버전에서는 세션 중 `/add-dir`로 하위 디렉토리의 스킬 트리를 추가 로드할 수 없었으므로, 서브디렉토리 단위 스킬 확장 워크플로우가 이 버전부터 가능해집니다.
+
 <!-- DETAIL: Skill Optional Fields (full yaml block)
 ```yaml
 scope: core                # core | harness | package (default: core)

package/templates/.claude/rules/MUST-agent-teams.md

@@ -430,6 +430,8 @@ Cross-reference: R020 ("actual outcome ≠ attempt" — verifying that a command
 
 > **v2.1.234+**: `/config`의 "Default teammate model" 설정이 **제거**되어, agent-team teammate는 이제 spawn이 모델을 지정하지 않는 한 **leader의 모델**을 사용합니다. 이전에는 teammate 모델을 전역 설정값으로 지정할 수 있었으므로, 과거 세션의 "teammate가 어떤 모델로 실행됐는지" 서술은 이 변경 이전 버전 기준일 수 있습니다.
 
+> **v2.1.257+**: 세 건이 함께 수정되었습니다. (a) leader의 mailbox 쓰기가 잠시 잠긴 사이 teammate permission request가 **두 번 응답**되던 결함 수정 — v2.1.224/251 SendMessage·inbox 신뢰성 계열의 연장이며, 구버전에서 승인이 2회 적용된 흔적은 이중 승인 의도의 증거가 아닙니다. (b) tmux/iTerm2 pane의 teammate가 shutdown 확인 후에도 열려 있던 결함 수정 — 위 Lifecycle의 `TeamDelete` 이후 pane 잔존은 더 이상 정상이 아닙니다. (c) `/fork`가 원 대화의 prompt cache를 새 background 세션에서 유지하도록 개선(worktree briefing이 system-prompt 변경 대신 메시지로 도착) — R009 fork 컨텍스트 상속 노트의 비용 각도. 이 저장소는 `TeamCreate` 미등록으로 R018이 dormant이므로 (a)(b)는 기록용, (c)는 fork 사용 시 즉시 해당합니다.
+
 <!-- ARCHIVED CC version note (historical):
 > **CC v2.1.162+**: `claude agents --json` now includes a `waitingFor` field showing what a waiting session is blocked on (e.g. a permission prompt). Use it as an additional deterministic ground-truth signal — a member with a non-empty `waitingFor` is blocked on input (needs unblocking), NOT silently stalled (reassign per stall handling below). This distinguishes the two failure modes the verification is meant to separate.
 

package/templates/.claude/rules/MUST-completion-verification.md

@@ -145,6 +145,8 @@ Cross-reference: R018 (Member Completion Verification), `feedback_release_delega
 | 리서치 위임이 수집을 끝낸 뒤 일괄 기록 | 첫 2턴 내 골격 Write + 증분 Edit |
 | "대기 중" 보고를 미완료로 단정 | 훅 피드백 잠식 가능성 포함해 ground-truth로 완료 여부 판정 |
 
+> **v2.1.257+**: 서브에이전트가 컴퓨터 절전·연결 끊김·서버 오류로 응답이 mid-stream 절단될 때 불완전 응답으로 그대로 종료하던 동작이 **자동 이어감**으로 수정되었습니다. 즉 "판정 없이 종료" 증상의 원인 축 중 **네트워크/서버 절단 축은 v2.1.257부터 소멸**하며, 남는 실재 원인은 `maxTurns` 한도(위 실증)·위임 경계 미분할·에이전트 자체 판단 종료·훅 피드백 잠식(8항)입니다. 따라서 v2.1.257+ 환경에서 mid-step 종료를 관측하면 네트워크 절단을 원인 후보에서 먼저 제외하고 `maxTurns` partial 표시 유무를 확인합니다 — 단 원인 축 하나가 사라졌다고 ground-truth 실측 원칙을 낮추지 않습니다. 같은 릴리즈에서 턴을 백그라운드로 보낼 때(`←`/Ctrl+B) 실행 중이던 도구가 거부된 것으로 처리되던 결함도 수정되어, 구버전 background 세션의 "도구 거부됨" 기록은 실제 거부의 증거가 아닐 수 있습니다.
+
 Cross-reference: R018 (v2.1.246 maxTurns partial-marking 노트), R009 (Member Prompt Size Cap — 프롬프트 토큰 상한과 별개로 턴 수 상한도 위임 크기 설계 변수임을 추가).
 
 <!--
@@ -408,6 +410,8 @@ Origin: #1269 ① (R020 self-violation, session 106).
 | **v2.1.246+**: 헤드리스/원격 세션에서 수신 메시지로 인터럽트된 MCP 도구 호출이 "출력 없이 완료됨"으로 보고됨(v2.1.246 이전) | 실제로는 **인터럽트**됐다 — 정상 완료가 아니었다 | v2.1.246+는 명시적 interrupted 에러로 보고하도록 수정됨; 구버전 세션의 "빈 출력 완료"는 무음 인터럽트였을 수 있음 |
 | **v2.1.246+**: 실행 중 인터럽트된 셸 명령이 "Ran 1 shell command"로만 표시(잘렸다는 표시 없음, v2.1.246 이전) | 명령이 **완주하지 못했다** | 출력 완결성을 별도로 확인(예상 출력 패턴 대조) 없이 "실행됨"만으로 성공 단정 금지 |
 
+> **v2.1.252/257/258+**: 실패/중단 관련 보고 무결성 결함 3건이 추가로 수정되었습니다. (252) 매우 큰 실패 출력(디스크 풀 상태의 git 오류 등)을 실은 background task 알림이 대화를 API 요청 크기 한도 밖으로 밀어내던 결함 — R021 v2.1.247 훅 출력 폭주 계열의 background task 각도이며, 구버전에서 "Prompt is too long"으로 세션이 멈춘 것은 작업 자체의 실패가 아니라 실패 **알림의 크기** 때문일 수 있었습니다. (257) `claude -p`가 모델이 armed한 Monitor가 아직 도는 중인데도 최종 결과 약 5초 뒤 종료하던 결함이 수정되어, 이제 감시가 발화하거나 타임아웃될 때까지 대기합니다 — 무인 `-p` 실행에서 Monitor 결과 부재는 이제 "감시 미발화"로 해석하며 "조기 종료"로 오판하지 않습니다. (258) 원격·예약 세션이 재전송된 permission approval을 적용하지 못한 뒤 "user messages must have non-empty content"로 실패하던 결함이 수정되었습니다 — R010 v2.1.234 "background subagent 승인·거부가 드롭될 수 있던 결함" 계열의 원격 세션 각도이며, 구버전 `/schedule`·remote 세션의 이 오류 문구는 프롬프트 자체의 결함이 아니라 승인 채널의 결함이었습니다.
+
 > **v2.1.234+**: print/SDK 모드에서 SIGTERM 수신 시 더 이상 interrupted turn이나 synthetic tool denial을 기록하지 않는다(명령은 여전히 종료되고 프로세스는 exit code 143). 무인 실행(`-p` 모드) 강제 종료 후 트랜스크립트를 완료 판정 근거로 쓸 때, v2.1.234+에서는 SIGTERM에 의한 중단이 트랜스크립트 상에 "interrupted"로 남지 않는다는 점을 전제해야 한다 — 트랜스크립트가 깨끗해 보여도 실제로는 SIGTERM으로 잘렸을 수 있다.
 
 **교훈**: 위 Core Rule("actual outcome ≠ attempt")은 방향이 없다 — 도구가 성공을 보고하든 실패를 보고하든, 보고 자체는 ground-truth가 아니다. 실패 보고를 받았다고 곧바로 재시도·롤백에 들어가지 말고, 먼저 실제 산출물 상태를 확인한다.

package/templates/.claude/rules/MUST-orchestrator-coordination.md

@@ -428,7 +428,17 @@ The Agent tool defaults to `mode: "acceptEdits"`, which overrides agent frontmat
 ### Self-Check
 
 Before spawning any agent:
-1. Does the Agent tool call include `mode: "bypassPermissions"`? → YES: proceed → NO: add it
+1. **유효 permission mode 확인** — per-call `mode` 파라미터는 v2.1.212+ 에서 무시되고,
+   **프로젝트 scope `permissions.defaultMode` 는 v2.1.257+ 에서도 무시된다(#1644)**.
+   무인 실행 전 실측할 것: `jq -r '.permissions.defaultMode // "unset"' ~/.claude/settings.json`
+   (user scope) — 이 값 또는 `--permission-mode` 실행 플래그만이 유효하다.
+   bypassPermissions 가 아니면 프롬프트 발생을 전제로 계획한다.
+   하위 호환을 위해 per-call `mode: "bypassPermissions"` 는 계속 포함하되,
+   **그 존재를 무인 실행의 증거로 삼지 않는다**(R020 "attempt ≠ outcome").
+   실측(2026-09-03, `claude -p --debug-file`): `[WARN] settings defaultMode "bypassPermissions"
+   ignored — only policy/user/flag settings may grant bypass mode (projectSettings and
+   localSettings are repo-controllable)` — 무시 동작이 직접 실증되었다. 프로젝트 settings에는
+   `permissions._comment_defaultMode` 안내 키가 추가되었다(v1.1.59).
 2. Is this a new skill that spawns agents? → Add Permission Mode section
 
 ### Common Violation
@@ -504,6 +514,8 @@ Before spawning any agent:
 
 > **v2.1.234+**: background task 알림(턴 사이에 전달되는 것)이 이제 mid-turn 전달과 동일하게 `<system-reminder>` 태그 안에 담겨 모델에 전달됩니다. 오케스트레이터가 background 에이전트 완료 통지를 받는 경로가 이것이므로, 그 통지는 **시스템 메시지이지 사용자 입력이 아닙니다** — R015 "다른 에이전트의 메시지는 결코 사용자의 승인이 아니다" 원칙과 마찬가지로, background 통지 역시 사용자 승인의 증거로 인용하지 않습니다. 이전에는 턴 사이 알림 형식이 mid-turn과 달라 이 구분이 덜 명확했습니다.
 
+> **★ v2.1.257+**: 프로젝트 스코프 `.claude/settings.json`/`.claude/settings.local.json`의 `defaultMode: "bypassPermissions"`가 이제 **무시**됩니다(`"auto"`와 동일 취급) — user 또는 managed settings에 설정하거나 `--permission-mode` 플래그로 전달해야 합니다. 이 섹션은 v2.1.212+에서 "통제점은 부모 세션의 permission mode"라고 규정했는데, 그 부모 세션 mode를 프로젝트 settings로는 더 이상 켤 수 없으므로 통제점이 **user/managed settings 또는 `--permission-mode` 플래그**로 한 단계 더 밀려납니다. 이 저장소 실측(2026-09-02): `.claude/settings.json`과 `.claude/settings.local.json` 둘 다 `permissions.defaultMode = "bypassPermissions"`였으나 `~/.claude/settings.json`(user)은 `"auto"`였고, 세션 훅 컨텍스트도 "auto mode is active"를 보고했습니다 — 즉 v2.1.257 이후 "bypass로 무인 실행 중"이라는 전제가 **조용히 깨져 있었습니다**. 무인 루프(`/fsd`) 착수 전에는 user settings의 `permissions.defaultMode`를 조회하거나 `--permission-mode bypassPermissions`를 명시적으로 전달해 유효 모드를 확인합니다 — R002/R006의 이 섹션 canonical 참조는 그대로 유지합니다. 같은 릴리즈에서 agent view(`←`)로 dispatch된 세션이 원본 세션의 permission mode를 강제 상속하던 결함도 수정되어, 대상 디렉토리의 `defaultMode`와 agent의 `permissionMode`가 이제 존중됩니다.
+
 > **cross-ref (v1.1.50 실측)**: R018의 `maxTurns` partial 표시(v2.1.246)가 R020 「Verification-Delegation Non-Termination」 mid-step 종료 패턴의 **실재 원인 중 하나로 확정**되었다 — 위임 프롬프트에 종료 금지 clause를 아무리 강화해도, 절단 주체가 플랫폼 turn 한도이면 에이전트에 닿지 않는다. 위임 경계를 단일 목표로 분할하는 것(R020 해당 조항)이 여전히 1차 방어선인 이유다. 상세는 R018 (MUST-agent-teams.md) Member Completion Verification 섹션.
 
 ## Agent Capability Pre-Check

package/templates/.claude/rules/MUST-permissions.md

@@ -77,6 +77,8 @@ Use a `"*"` deny rule in `settings.json` to enforce a deny-by-default posture, t
 
 > **v2.1.214+**: 단일 세그먼트 `dir/**` allow rule(예: `Edit(src/**)`)이 트리 어디에나 있는 중첩 `dir/`까지 auto-approve하던 버그가 수정되어 이제 `<cwd>/dir`에만 매칭됩니다(hook `if:` 조건도 동일 — 임의 깊이 매칭이 필요하면 `**/dir/**`로 작성). **`deny`/`ask` permission rule은 any-depth 매칭을 유지**(allow만 `<cwd>`로 좁아짐). settings.json 스코프 설계 시 이 비대칭(allow 좁게 / deny·ask 넓게)을 전제로 삼습니다. 위 v2.1.210 `Edit(path)`/`Read(path)` matcher 권고의 연장선.
 
+> **v2.1.252/257+**: 두 건이 allow 규칙 저장·반영 신뢰성을 보강합니다. (252) `.claude/settings.local.json`이 아직 없는 프로젝트에서 "always allow"를 눌러도 저장되지 않던 결함이 수정되었습니다 — 구버전에서 "always allow를 눌렀는데 다시 묻는다"는 관측은 이 파일 부재가 원인일 수 있었습니다. (257) 세션 시작 후 새로 생성된 `.claude/` 폴더의 settings가 재시작 전까지 반영되지 않던 결함이 수정되었습니다 — R021 「훅 배선 경로」가 서술하는 settings 재생성 흐름에서, 세션 중 생성한 settings 파일이 이제 즉시 로드됩니다.
+
 > **v2.1.221/222+**: 세 건이 Tier-3/4 권한 흐름에 영향을 줍니다.
 > 1. **(v2.1.221) Bash 도구 권한 검사 우회 수정** — zsh가 `[[ ]]` 정규식 조건문 안에서 숨겨진 명령을 실행할 수 있었고, 해당 명령들은 이제 권한 프롬프트를 발생시킵니다. **이 저장소의 Claude Code Bash 도구 실행 셸이 zsh**이므로(R005 #1540), `[[ ... =~ ... ]]` 안에 명령을 포함하는 형태는 Tier-4 프롬프트 대상이며 무인 흐름의 새 프롬프트 발생원이 될 수 있습니다. Windows의 따옴표 포함 경로 PowerShell 권한 검사도 같은 방향으로 수정되었습니다.
 > 2. **(v2.1.221) auto mode 병렬 권한 검사 최적화** — 병렬 tool call의 권한 검사가 cache-efficient해지고 캐시된 대화 prefix 재사용으로 비용이 감소했습니다(R009 병렬 배치의 부담 완화). 검사 대기 중 모드를 전환하면 stale 결과를 적용하지 않고 재프롬프트합니다.
@@ -98,9 +100,13 @@ Use a `"*"` deny rule in `settings.json` to enforce a deny-by-default posture, t
 
 > **v2.1.247~251 재도입 여부 확인 (실측)**: 위 「일반 교훈」이 언급하는 v2.1.233 롤백 2건(Windows Git Bash의 Cygwin-style symlink 우회, Bash 입력 리다이렉션 `< file`)의 "좁힌 형태 재도입"은 v2.1.247~251 CHANGELOG 범위에서 **확인되지 않았습니다** — "Cygwin"이라는 단어도 `< file` 입력 리다이렉션 언급도 4개 릴리즈 어디에도 없습니다. 대신 v2.1.251에 위 5건의 (c)(d)처럼 **메커니즘이 다른** 별개의 심링크·경로 우회 수정이 새로 등장했습니다 — 같은 "심링크 우회"라는 결과이지만 원인 버그는 다릅니다. 따라서 위 "233에서 롤백됨" 서술은 이 시점까지 **여전히 유효**하며, 재도입이 확인되면 이 노트를 갱신합니다.
 
+> **v2.1.257+ (재도입 확인)**: v2.1.233에서 롤백됐던 2건 중 **`< file` 입력 리다이렉션 권한검사가 v2.1.257에서 재도입**됐습니다 — Bash `Read()`/`Edit()` deny 규칙이 이제 `< file` 리다이렉트와 `tac`/`egrep` 같은 reader 명령에도 적용되어, 인자나 리다이렉트 대상 중 하나라도 deny에 걸리면 명령이 거부됩니다. 232 원본("인자 표기와 동일하게 검사")보다 넓은 형태입니다. Windows Git Bash의 Cygwin-style symlink 우회 건은 v2.1.257/258 CHANGELOG에도 여전히 언급이 없어 **미재도입 상태로 유지**합니다. 위 「`< file` 회고적 함의(버전 무관 유지)」 문단은 이제 **v2.1.257 미만 버전에 한정**해 읽습니다 — v2.1.257 이후로는 `< file`이 다시 검사 대상입니다.
+
+> **v2.1.257+**: 권한검사 보강 5건이 추가로 확인되었습니다. (a) auto mode에서 `permissions.ask` 규칙이 매칭 명령이 복합 명령·서브셸 내부에서 실행될 때 건너뛰어지던 결함이 수정되어 확인 프롬프트 없이 실행되지 않습니다 — 위 「allow ≠ classifier」 계열의 ask 층 보강입니다. (b) zsh가 bash와 다르게 파싱하는 `[[ ]]` 조건문을 auto-approve하던 결함이 추가로 수정되었습니다 — v2.1.221/238에 이은 3번째 보강이며, 이 저장소의 Bash 도구 실행 셸이 zsh이므로 직접 해당합니다. (c) `permissions.blockReadsOutsideWorkingDirectories` 설정이 신설되어, auto mode에서 작업 디렉토리 밖 첫 파일 읽기 전 1회 프롬프트를 표시하고 그런 읽기를 차단하는 옵션을 제공합니다. (d) `allowManagedPermissionRulesOnly`가 활성 상태일 때 첫 settings reload 이후 `--disallowedTools`와 세션 deny 규칙이 탈락하던 결함이 수정되었습니다. (e) 워크트리 격리 세션이 git을 건드리지 않는 Bash 루프·`$VAR` 읽기·`"$(…)"`·heredoc을 "too complex to verify that it stays inside the worktree"로 거부하던 결함이 수정되었습니다 — R009 워크트리 병렬 위임 시 이런 복합 명령의 거부를 더 이상 격리 결함으로 진단하지 않습니다.
+
 > **v2.1.238+**: Bash 도구의 permission 검사가 zsh 전용 조건문(shell conditional) 문법에 대해 추가로 개선되었습니다. 이는 위 v2.1.221 "zsh `[[ ]]` 정규식 조건문 안에서 숨겨진 명령이 권한 검사를 우회"의 **직접 연장선**입니다 — "개선"으로만 기술되어 있어 v2.1.221 수정이 완전 해결이 아니었거나 추가 우회 벡터가 있었음을 시사합니다. 이 저장소의 Bash 도구 실행 셸이 zsh이므로(R005 #1540 실측) 직접 관련됩니다.
 
-> **v2.1.246/248+**: (246) 끝에 매달린 `&&`/`||`가 있는 손상된(malformed) 명령에 대해 Bash 권한검사가 이제 **항상 승인을 요구**합니다 — 구버전에서는 이런 형태가 검사를 우회할 수 있었습니다. (248) `--restricted`(또는 `CLAUDE_CODE_RESTRICTED=1`) 모드가 신설되어 명령/코드 실행 도구와 `WebFetch`를 제거하고(`--tools`에 명시 시 예외), 파일 도구를 작업 디렉토리 내부로 제한하며, `bypassPermissions`를 거부하고, user/project/local settings 파일을 무시합니다. 이 저장소는 기본적으로 `bypassPermissions`를 쓰므로(R010 Universal bypassPermissions) `--restricted`와는 **상호 배타적**입니다 — 이 저장소 워크플로우에는 적용하지 않되, 신규 안전 모드 옵션으로 존재를 기록합니다.
+> **v2.1.246/248+**: (246) 끝에 매달린 `&&`/`||`가 있는 손상된(malformed) 명령에 대해 Bash 권한검사가 이제 **항상 승인을 요구**합니다 — 구버전에서는 이런 형태가 검사를 우회할 수 있었습니다. (248) `--restricted`(또는 `CLAUDE_CODE_RESTRICTED=1`) 모드가 신설되어 명령/코드 실행 도구와 `WebFetch`를 제거하고(`--tools`에 명시 시 예외), 파일 도구를 작업 디렉토리 내부로 제한하며, `bypassPermissions`를 거부하고, user/project/local settings 파일을 무시합니다. 이 저장소는 프로젝트 settings에 `bypassPermissions`를 선언하지만 v2.1.257부터 그 선언은 무시되므로(R010 Universal bypassPermissions의 ★ v2.1.257 노트 — 2026-09-02 실측 유효 모드는 user settings `auto`), `--restricted`와의 상호 배타성은 **user/managed scope에서 bypass를 켠 경우에 한해** 성립합니다 — 이 저장소 워크플로우에는 적용하지 않되, 신규 안전 모드 옵션으로 존재를 기록합니다.
 
 ### Todo/Task 도구 기본 제거 (v2.1.233+) — 위 표의 †
 
@@ -127,3 +133,10 @@ Origin: #1582. Cross-ref: R018(Member TaskUpdate Discipline 대체 규약), R020
 > Canonical source: R010 (MUST-orchestrator-coordination.md) "Universal bypassPermissions" owns the full requirement, rationale, self-check, and version history. Core rule: always pass `mode: "bypassPermissions"` explicitly on every Agent tool call — the Agent tool's default `mode` (`acceptEdits`) overrides agent frontmatter `permissionMode` and causes prompts during unattended execution. Skills that spawn agents MUST include this in their Agent tool call instructions. See R010 for details.
 
 > **v2.1.212+**: CC가 Agent(구 Task) tool의 `mode` 파라미터를 deprecated 처리했습니다(이제 무시) — subagent는 부모 세션의 permission mode를 기본 상속합니다. 위 canonical 요약의 default `mode`(`acceptEdits`)가 frontmatter `permissionMode`를 override한다는 서술 및 항상 `mode: "bypassPermissions"`를 넘기라는 요건은 이 버전부터 stale이며(파라미터가 무시됨), 무인 실행의 실질 게이트는 부모 세션의 permission mode입니다. 요건 재조정은 R010 "Universal bypassPermissions"가 canonical — R002는 이 flag만 유지합니다.
+
+> **v2.1.257+**: 프로젝트 scope `permissions.defaultMode` 가 무시됩니다(user/managed scope 또는
+> `--permission-mode` 플래그만 유효). 위 v2.1.212 노트가 "무인 실행의 실질 게이트는 부모 세션의
+> permission mode"라고 정정했는데, **그 부모 세션 모드를 프로젝트 settings로 지정하는 경로가 이
+> 버전에서 끊겼습니다** — 이 파일 상단 「Deny Rule Glob Patterns」의 v2.1.214 노트(allow 규칙만
+> `<cwd>`로 좁아진 비대칭)와 같은 계열의 **project-scope 축소** 흐름입니다. Canonical owner 는
+> R010 "Universal bypassPermissions" — 상세와 실측 절차는 그쪽을 참조합니다. Origin: #1644.

package/templates/.claude/rules/MUST-safety.md

@@ -131,6 +131,8 @@ Cross-reference: R010 Subagent Scope-Creep STOP Protocol, R002 (permission tiers
 
 > **v2.1.232+**: 시크릿·격리 보호가 확장되었습니다 — GitLab 토큰 계열(`glrt-`/`gloas-`/`glptt-`/`glagent-`/`glimt-`/`glsoat-`/`glcbt-`/`glft-`/`glffct-`) redaction 추가와 routable `glpat-`/`gldt-` 전체 redaction, `glab` CLI config가 `gh`와 동일한 샌드박스·자격증명 경로 보호를 받습니다. 또한 공유 `/tmp`의 cross-session messaging 소켓 디렉토리가 사전에 심어진 symlink나 타 사용자 소유 디렉토리를 **사용 대신 거부**하도록, Linux 파일시스템 샌드박스가 protected-path 우회에 대해 하드닝되었습니다. **구버전에서 GitLab 토큰은 redaction 대상이 아니었으므로 트랜스크립트·에이전트 출력에 원문 노출이 가능했습니다** — 과거 세션 로그를 공유하기 전 이 점을 전제합니다. 위 표의 "자격증명 저장소 덤프 금지"는 플랫폼 redaction과 무관하게 유지합니다(redaction은 최후 방어선이지 1차 방어선이 아님).
 
+> **v2.1.257+**: 시크릿·격리 보호가 4건 추가로 강화되었습니다. (a) auto mode에 **Containment Escape** 규칙이 신설되어, 클라우드 메타데이터 자격증명 조회·egress 회피·cross-tenant 접근이 환경이 "expected"로 명시하지 않는 한 더 이상 auto-approve되지 않습니다 — 이 섹션의 "자격증명 저장소 덤프 금지" 원칙과 R010 Subagent Scope-Creep STOP Protocol의 플랫폼 측 대응이며, 인프라 위임 서브에이전트가 이 규칙에 걸리면 R010의 trip 계수 대상으로 취급합니다. (b) Remote Control 동의 프롬프트를 Esc 또는 `n`으로 닫은 것이 **동의로 계상**되어 다음 요청이 확인 없이 연결되던 결함이 수정되었습니다 — 위 v2.1.223/234/236/238 승인 다이얼로그 표시 무결성 계열의 다섯 번째 사례로, 단발 결함이 아니라 구조적 계열임을 재확인시킵니다. (c) 자격증명 전송·노출 경계 4건도 함께 수정되었습니다 — Foundry API-key 모드에서 잔여 Anthropic API 키/토큰이 함께 전송되던 결함, 게이트웨이가 Foundry/Vertex/Bedrock에 stray host `Authorization`·프로필 헤더를 보내던 결함, MCP 연결·OAuth 디버그/에러 로그의 URL·헤더 자격증명 미redaction, 샌드박스 `deniedDomains`가 후행 점(`example.com.`)이 붙은 호스트를 차단하지 못하고 "don't ask again"도 무한 재프롬프트되던 결함 — 위 v2.1.246/251 자격증명 전송 경계 노트와 같은 위협 클래스입니다. (d) 플러그인이 선언된 command/agent/skill/hooks 경로가 symlink일 때 이를 따라가 자기 디렉토리 밖 파일을 읽던 결함이 수정되어 이제 에러로 거부되며, Cowork·claude.ai cloud 세션에서 자신의 것이 아닌 artifact를 읽는 동작은 auto mode에서도 항상 먼저 확인을 거치도록 변경되었습니다.
+
 ## Required Before Destructive Operations
 
 Verify target, assess impact scope, check recoverability, get user approval.

package/templates/.claude/rules/SHOULD-error-handling.md

@@ -27,6 +27,8 @@ Recommended: {action1}, {action2}
 
 > **v2.1.246+**: 비대화형 세션(`-p`, SDK, 클라우드 세션)에서 서버 오류·연결 끊김·정체로 중간에 끊긴 응답을 이제 **자동으로 이어서 완료**한다 — 이전에는 오류로 종료됐다. `/fsd` 등 무인 자율 루프의 신뢰성에 직접 영향 — 구버전에서는 네트워크 일시 장애가 자율 루프 전체를 조기 종료시킬 수 있었다. 위 표의 "Retryable" 재시도 전략이 이제 이 경로에서는 플랫폼이 자동 수행하므로, 무인 루프 중단을 관측했을 때 "재시도 로직 부재"로 오진하기 전에 이 자동-이어짐 경계(오류 종류·세션 종류)를 먼저 확인한다.
 
+> **v2.1.257+**: v2.1.246의 자동 이어감이 **서브에이전트**로 확장되어, 절전·연결 끊김·서버 오류로 mid-stream 절단된 서브에이전트 응답이 불완전 종료 대신 자동으로 이어집니다. 위 Retryable 재시도 전략이 서브에이전트 경로에서도 플랫폼이 수행하므로, 위임 에이전트의 중간 종료를 진단할 때 네트워크 절단 축은 후순위로 두고 R020 「maxTurns 절단 실증」의 turn 한도를 먼저 확인합니다(R020 해당 노트 cross-ref).
+
 ## Validation
 
 | When | Checks |

package/templates/.claude/skills/fsd/SKILL.md

@@ -169,6 +169,22 @@ If any of those underlying skills evolve, FSD automatically benefits — its onl
 
 When this skill delegates work via Agent tool calls, ALL Agent tool calls MUST include `mode: "bypassPermissions"` per R010 Universal bypassPermissions.
 
+⚠ **그 파라미터는 CC v2.1.212+ 에서 무시되며, 프로젝트 scope `permissions.defaultMode` 역시
+CC v2.1.257+ 에서 무시된다(#1644).** 즉 위 지시를 지켰다는 사실은 **무인 실행의 증거가 아니다**.
+자율 루프 진입 전에 유효 모드를 실측한다:
+
+```bash
+jq -r '.permissions.defaultMode // "unset"' ~/.claude/settings.json 2>/dev/null || echo unset
+```
+
+`bypassPermissions` 가 아니면 루프 도중 permission 프롬프트로 정지할 수 있으므로,
+`--permission-mode bypassPermissions` 로 재시작하거나 사람이 지켜보는 실행임을 전제한다.
+(파이프라인 쪽 배선은 `pipeline auto-dev` 의 pre-triage Phase 0.5 가 담당한다.)
+
+⚠ **커밋 위임 타임아웃 (#1645)**: 메인 워크트리의 `.husky/pre-commit` 이 전체 테스트
+스위트(약 165초)를 돌리므로, `git commit` 을 위임할 때는 Bash `timeout: 400000` 을 명시한다.
+기본값 120000ms 로는 exit 143(SIGTERM)으로 끊긴다. `--no-verify` 우회는 금지(R010).
+
 ## Artifact Output
 
 Artifacts from each iteration follow the conventions of the constituent skills:

package/templates/.claude/skills/pipeline/workflows/auto-dev.yaml

@@ -54,6 +54,30 @@ steps:
               "[pre-triage] WARNING: Issue #N references vX.Y.Z (not in git tags) — body may be stale"
             - Output all warnings as advisory log; do NOT halt
 
+      Phase 0.5 — Measure the EFFECTIVE permission mode (advisory, do NOT halt).
+
+      Why: CC v2.1.257 stopped honoring `permissions.defaultMode` declared in PROJECT scope
+      (`.claude/settings.json` / `.claude/settings.local.json`). Only user/managed scope or an
+      explicit `--permission-mode` flag takes effect. R010 「Universal bypassPermissions」 assumes
+      the parent session runs unattended under bypassPermissions; if that assumption is silently
+      false, this pipeline stalls on a permission prompt mid-run with no diagnostic (#1644).
+
+      1. Read the user-scope setting (project scope is NOT authoritative on v2.1.257+):
+         user_mode=$(jq -r '.permissions.defaultMode // "unset"' ~/.claude/settings.json 2>/dev/null || echo "unset")
+
+      2. The `--permission-mode` launch flag cannot be read from inside the session. Treat it as
+         UNKNOWN — never infer that it was passed.
+
+      3. Report and, when not bypassPermissions, warn:
+         - user_mode == "bypassPermissions":
+           report: "[pre-triage] effective permission mode: bypassPermissions (user scope)"
+         - otherwise:
+           stderr warning: "[pre-triage] WARNING: effective permission mode is <user_mode>; unattended run may prompt. Project-scope permissions.defaultMode is IGNORED on CC v2.1.257+ (#1644). To run unattended, launch with --permission-mode bypassPermissions or set it in user-scope ~/.claude/settings.json."
+         - Do NOT halt (advisory only — a prompted run still completes with a human present).
+
+      4. Do NOT read, echo, or modify any credential material while checking settings — read the
+         single `permissions.defaultMode` field only (R001).
+
       Phase 1 — Ensure required labels exist, then scan issues.
 
       1. Create labels if missing (idempotent):
@@ -297,6 +321,14 @@ steps:
          develop-bound commit auto-closes the issue on push — BEFORE release/tag/publish (observed v1.1.38,
          07:49:26Z). Close keywords belong ONLY in the release-stage PR body (see release step 3.b) — auto-tag.yml
          greps the PR body, not commit messages, to decide which issues to close.
+             ⚠ Bash timeout (#1645): the main-worktree `.husky/pre-commit` runs typecheck + lint +
+             the FULL `bun test --coverage` suite (~165s measured) before the commit lands. The Bash
+             tool's default timeout is 120000ms, so a `git commit` delegation with the default budget
+             is killed mid-hook with exit 143 (SIGTERM). Delegate `git commit` with an explicit
+             `timeout: 400000` (≈6.7 min). Do NOT work around a timeout with `--no-verify` — that
+             bypasses the quality gate and is on the standing deny list (R010).
+             Note: git worktrees run typecheck only (`.husky/pre-commit` lines 7-12 branch on
+             `[ -f .git ]` and exit 0), so the long budget matters most on the MAIN worktree.
       6. On success: remove in-progress, add verify-ready
       7. On failure: remove in-progress, add needs-review, comment error summary
 
@@ -425,6 +457,9 @@ steps:
               ⚠ do NOT add Closes/Fixes/Resolves keywords to this commit message (#1542) — this commit merges into
               develop later via the release PR; a close keyword here bypasses the PR-body mechanism auto-tag.yml
               relies on (see step 3.b below). Use `Refs #N` if a cross-reference is needed.
+               ⚠ Bash timeout (#1645): delegate this commit with an explicit `timeout: 400000` — the
+               main-worktree pre-commit hook runs the full test suite (~165s) and the Bash default of
+               120000ms kills it with exit 143. `--no-verify` is NOT an acceptable workaround (R010).
            h. mgr-gitnerd push release/v{NEW} to origin — NEVER push this commit to develop directly. Pushing to
               develop here reproduces the diff=0 PR failure this reordering fixes (#1542).
            i. mandatory verification (with existence guard for partial-update safety), run on release/v{NEW}:

package/templates/manifest.json

@@ -1,6 +1,6 @@
 {
-  "version": "1.1.57",
-  "lastUpdated": "2026-07-14T00:00:00.000Z",
+  "version": "1.1.59",
+  "lastUpdated": "2026-09-03",
   "omcustomMinClaudeCode": "2.1.121",
   "omcustomMinClaudeCodeReason": "Sensitive-path direct Write/Edit on .claude/** under bypassPermissions (R010 deprecation, #1101)",
   "components": [

package/templates/workflows/auto-dev.yaml

@@ -54,6 +54,30 @@ steps:
               "[pre-triage] WARNING: Issue #N references vX.Y.Z (not in git tags) — body may be stale"
             - Output all warnings as advisory log; do NOT halt
 
+      Phase 0.5 — Measure the EFFECTIVE permission mode (advisory, do NOT halt).
+
+      Why: CC v2.1.257 stopped honoring `permissions.defaultMode` declared in PROJECT scope
+      (`.claude/settings.json` / `.claude/settings.local.json`). Only user/managed scope or an
+      explicit `--permission-mode` flag takes effect. R010 「Universal bypassPermissions」 assumes
+      the parent session runs unattended under bypassPermissions; if that assumption is silently
+      false, this pipeline stalls on a permission prompt mid-run with no diagnostic (#1644).
+
+      1. Read the user-scope setting (project scope is NOT authoritative on v2.1.257+):
+         user_mode=$(jq -r '.permissions.defaultMode // "unset"' ~/.claude/settings.json 2>/dev/null || echo "unset")
+
+      2. The `--permission-mode` launch flag cannot be read from inside the session. Treat it as
+         UNKNOWN — never infer that it was passed.
+
+      3. Report and, when not bypassPermissions, warn:
+         - user_mode == "bypassPermissions":
+           report: "[pre-triage] effective permission mode: bypassPermissions (user scope)"
+         - otherwise:
+           stderr warning: "[pre-triage] WARNING: effective permission mode is <user_mode>; unattended run may prompt. Project-scope permissions.defaultMode is IGNORED on CC v2.1.257+ (#1644). To run unattended, launch with --permission-mode bypassPermissions or set it in user-scope ~/.claude/settings.json."
+         - Do NOT halt (advisory only — a prompted run still completes with a human present).
+
+      4. Do NOT read, echo, or modify any credential material while checking settings — read the
+         single `permissions.defaultMode` field only (R001).
+
       Phase 1 — Ensure required labels exist, then scan issues.
 
       1. Create labels if missing (idempotent):
@@ -297,6 +321,14 @@ steps:
          develop-bound commit auto-closes the issue on push — BEFORE release/tag/publish (observed v1.1.38,
          07:49:26Z). Close keywords belong ONLY in the release-stage PR body (see release step 3.b) — auto-tag.yml
          greps the PR body, not commit messages, to decide which issues to close.
+             ⚠ Bash timeout (#1645): the main-worktree `.husky/pre-commit` runs typecheck + lint +
+             the FULL `bun test --coverage` suite (~165s measured) before the commit lands. The Bash
+             tool's default timeout is 120000ms, so a `git commit` delegation with the default budget
+             is killed mid-hook with exit 143 (SIGTERM). Delegate `git commit` with an explicit
+             `timeout: 400000` (≈6.7 min). Do NOT work around a timeout with `--no-verify` — that
+             bypasses the quality gate and is on the standing deny list (R010).
+             Note: git worktrees run typecheck only (`.husky/pre-commit` lines 7-12 branch on
+             `[ -f .git ]` and exit 0), so the long budget matters most on the MAIN worktree.
       6. On success: remove in-progress, add verify-ready
       7. On failure: remove in-progress, add needs-review, comment error summary
 
@@ -425,6 +457,9 @@ steps:
               ⚠ do NOT add Closes/Fixes/Resolves keywords to this commit message (#1542) — this commit merges into
               develop later via the release PR; a close keyword here bypasses the PR-body mechanism auto-tag.yml
               relies on (see step 3.b below). Use `Refs #N` if a cross-reference is needed.
+               ⚠ Bash timeout (#1645): delegate this commit with an explicit `timeout: 400000` — the
+               main-worktree pre-commit hook runs the full test suite (~165s) and the Bash default of
+               120000ms kills it with exit 143. `--no-verify` is NOT an acceptable workaround (R010).
            h. mgr-gitnerd push release/v{NEW} to origin — NEVER push this commit to develop directly. Pushing to
               develop here reproduces the diff=0 PR failure this reordering fixes (#1542).
            i. mandatory verification (with existence guard for partial-update safety), run on release/v{NEW}: