oh-my-customcode 2.0.8 → 2.0.9

package/dist/cli/index.js

@@ -335,7 +335,7 @@ var init_package = __esm(() => {
     workspaces: [
       "packages/*"
     ],
-    version: "2.0.8",
+    version: "2.0.9",
     description: "Batteries-included agent harness for Claude Code",
     type: "module",
     bin: {

package/dist/index.js

@@ -2927,7 +2927,7 @@ var package_default = {
   workspaces: [
     "packages/*"
   ],
-  version: "2.0.8",
+  version: "2.0.9",
   description: "Batteries-included agent harness for Claude Code",
   type: "module",
   bin: {

package/package.json

@@ -3,7 +3,7 @@
   "workspaces": [
     "packages/*"
   ],
-  "version": "2.0.8",
+  "version": "2.0.9",
   "description": "Batteries-included agent harness for Claude Code",
   "type": "module",
   "bin": {

package/templates/.claude/hooks/hooks.json

@@ -505,7 +505,7 @@
         "description": "Advisory cost cap monitoring — warn when session cost approaches configurable limit"
       },
       {
-        "matcher": "tool == \"Read\"",
+        "matcher": "tool == \"Read\" || tool == \"Edit\" || tool == \"Write\"",
         "hooks": [
           {
             "type": "command",

package/templates/.claude/hooks/scripts/agent-teams-advisor.sh

@@ -7,7 +7,11 @@ command -v jq >/dev/null 2>&1 || exit 0
 # Agent Teams Advisor Hook
 # Trigger: PreToolUse, tool == "Task" || tool == "Agent"
 # Purpose: Track Agent/Task tool usage count per session and warn when Agent Teams may be more appropriate
-# Protocol: stdin JSON -> process -> stdout pass-through, exit 0 always (advisory only)
+# Protocol: stdin JSON -> process -> exit 0 always (advisory only)
+# Once per session (#1885): each distinct advisory key is shown at most once, claimed atomically via a
+# per-key marker dir under /tmp/.claude-teams-advisory-shown-${PPID}.d/ (parallel-hook safe).
+# Channel (#1885): exit-0 stderr never reaches the model (CC 2.1.310 probe, #1775 comment 6405197553);
+#   the advisory is delivered as stdout JSON hookSpecificOutput.additionalContext. No stdin passthrough.
 
 input=$(cat)
 
@@ -25,7 +29,6 @@ ENV_STATUS="/tmp/.claude-env-status-${PPID}"
 if [ -f "$ENV_STATUS" ]; then
   teams_status=$(grep "agent_teams=" "$ENV_STATUS" 2>/dev/null | cut -d= -f2 || echo "unknown")
   if [ "$teams_status" != "enabled" ]; then
-    printf '%s\n' "$input"
     exit 0
   fi
 fi
@@ -36,6 +39,9 @@ BATCH_ISSUES=0
 WORKFLOW_FILE=$(ls /tmp/.claude-workflow-*-"${PPID}".json 2>/dev/null | head -1 || true)
 if [ -n "$WORKFLOW_FILE" ] && [ -f "$WORKFLOW_FILE" ]; then
   BATCH_ISSUES=$(jq -r '.issue_count // 0' "$WORKFLOW_FILE" 2>/dev/null || echo 0)
+  # Sanitize before arithmetic: non-numeric/over-long -> 0; 10# avoids base-8 errors on leading zeros.
+  case "$BATCH_ISSUES" in ''|*[!0-9]*|??????????*) BATCH_ISSUES=0 ;; esac
+  BATCH_ISSUES=$((10#$BATCH_ISSUES))
 fi
 
 # Also check release-plan context (existence only — if file exists, treat as batch)
@@ -48,38 +54,57 @@ fi
 
 # Extract task info from input
 agent_type=$(printf '%s\n' "$input" | jq -r '.tool_input.subagent_type? // "unknown"')
-prompt_preview=$(printf '%s\n' "$input" | jq -r '.tool_input.description? // ""' | head -c 60)
+prompt_preview=$(printf '%s\n' "$input" | jq -r '(.tool_input.description? // "") | tostring | .[0:60]')
 
 # Session-scoped counter using parent PID as session identifier
 COUNTER_FILE="/tmp/.claude-task-count-${PPID}"
 
 # Read and increment counter
 if [ -f "$COUNTER_FILE" ]; then
-  COUNT=$(cat "$COUNTER_FILE")
+  COUNT=$(cat "$COUNTER_FILE" 2>/dev/null || echo 0)
+  case "$COUNT" in ''|*[!0-9]*|??????????*) COUNT=0 ;; esac
+  COUNT=$((10#$COUNT))
   COUNT=$((COUNT + 1))
 else
   COUNT=1
 fi
-echo "$COUNT" > "$COUNTER_FILE"
+{ echo "$COUNT" > "$COUNTER_FILE"; } 2>/dev/null || true
+
+SHOWN_DIR="/tmp/.claude-teams-advisory-shown-${PPID}.d"
+# fresh KEY: atomic claim via mkdir of a per-key marker dir (hash of KEY; no shared file, so no
+# check-then-append race and no newline pollution). Success => emit. State failures are silent;
+# if the marker dir itself is unusable we fail open (emit) rather than lose the advisory.
+fresh() {
+  { mkdir -p "$SHOWN_DIR"; } 2>/dev/null || true
+  [ -d "$SHOWN_DIR" ] || return 0
+  local h
+  h=$(printf '%s' "$1" | cksum | cut -d' ' -f1) || h=""
+  [ -n "$h" ] || return 0
+  if { mkdir "$SHOWN_DIR/$h"; } 2>/dev/null; then return 0; fi
+  return 1
+}
 
 # Warn when batch context detected (even on first call) or from 2nd call onward
-if [ "$BATCH_ISSUES" -ge 3 ] && [ "$COUNT" -eq 1 ]; then
-  echo "" >&2
-  echo "--- [R018 Advisor] Batch context detected (${BATCH_ISSUES} issues) ---" >&2
-  echo "  RECOMMENDATION: Use Agent Teams (TeamCreate) for this batch." >&2
-  echo "  Current: Agent(${agent_type}) -- ${prompt_preview}" >&2
-  echo "-----------------------------------------------------------" >&2
-elif [ "$COUNT" -ge 2 ]; then
-  echo "" >&2
-  echo "--- [R018 Advisor] Agent/Task tool call #${COUNT} in this session ---" >&2
-  echo "  WARNING: Multiple Task calls detected. Consider Agent Teams if:" >&2
-  echo "    * 3+ agents needed for this work" >&2
-  echo "    * Review -> fix -> re-review cycle exists" >&2
-  echo "    * Agents need shared state or coordination" >&2
-  echo "  Current: Agent(${agent_type}) -- ${prompt_preview}" >&2
-  echo "-----------------------------------------------------------" >&2
+ctx=""
+if [ "$BATCH_ISSUES" -ge 3 ] && [ "$COUNT" -eq 1 ] && fresh "batch:${BATCH_ISSUES}"; then
+  ctx="
+--- [R018 Advisor] Batch context detected (${BATCH_ISSUES} issues) ---
+  RECOMMENDATION: Use Agent Teams (TeamCreate) for this batch.
+  Current: Agent(${agent_type}) -- ${prompt_preview}
+-----------------------------------------------------------"
+elif [ "$COUNT" -ge 2 ] && fresh "repeat"; then
+  ctx="
+--- [R018 Advisor] Agent/Task tool call #${COUNT} in this session ---
+  WARNING: Multiple Task calls detected. Consider Agent Teams if:
+    * 3+ agents needed for this work
+    * Review -> fix -> re-review cycle exists
+    * Agents need shared state or coordination
+  Current: Agent(${agent_type}) -- ${prompt_preview}
+-----------------------------------------------------------"
 fi
 
-# Always pass through -- advisory only, never blocks
-printf '%s\n' "$input"
+# Advisory only, never blocks: emit additionalContext when there is something to say
+if [ -n "$ctx" ]; then
+  jq -cn --arg ctx "$ctx" '{hookSpecificOutput:{hookEventName:"PreToolUse",additionalContext:$ctx}}'
+fi
 exit 0

package/templates/.claude/hooks/scripts/content-hash-validator.sh

@@ -1,11 +1,22 @@
 #!/bin/bash
 # Content-Hash Validator — Detect stale file state for Edit operations
-# Trigger: PostToolUse on Read (stores hashes), PreToolUse on Edit (validates)
-# Purpose: Advisory warning when file content changed between Read and Edit
-# Protocol: stdin JSON -> validate -> stdout pass-through
+# Trigger: PostToolUse on Read/Edit/Write (stores or refreshes the hash), PreToolUse on Edit (validates)
+# Purpose: Advisory warning when file content changed outside the model's own Read/Edit/Write
+# Protocol (#1885, per event):
+#   PostToolUse (Read|Edit|Write): store/refresh hash of .tool_input.file_path, stdin pass-through to stdout.
+#   PreToolUse (Edit): validate; stdout is one JSON line (hookSpecificOutput.additionalContext) or nothing.
+#     No stderr, no passthrough (exit-0 stderr never reaches the model; measured CC 2.1.310, #1775).
+#   Missing hook_event_name: Read and Write store, Edit VALIDATES (Edit was historically PreToolUse-only).
+# Store: per-path atomic files in /tmp/.claude-content-hashes-${PPID}.d/<cksum of path>
+#   (line 1 = hash, line 2 = path). Each entry is written to a unique temp file in the same dir, then
+#   mv -f'd onto the entry, so parallel hook calls never share a read-modify-write file. No ring buffer:
+#   the directory is session-scoped (PPID) and entries are tiny. Every state operation is wrapped so a
+#   failure never aborts or leaks stderr.
+# Known limitation: a file rewritten after its hash was stored (a parallel PostToolUse formatter hook such
+#   as prettier/gofmt/ruff, or a Bash edit) can still trigger the warning on the next Edit.
 # Always exits 0 (advisory only, never blocks)
 
-set -euo pipefail
+set -uo pipefail
 
 # Dependency check: exit silently if jq not available
 command -v jq >/dev/null 2>&1 || exit 0
@@ -13,67 +24,73 @@ command -v jq >/dev/null 2>&1 || exit 0
 input=$(cat)
 
 # Guard: non-object stdin (non-JSON / JSON array / empty) — swallow and exit 0.
-# Hooks must never crash (R021); jq parse errors would otherwise abort under `set -e`. (#1650)
+# Hooks must never crash (R021). (#1650)
 printf '%s' "$input" | jq -e 'type=="object"' >/dev/null 2>&1 || exit 0
 
-# Hash store (PPID-scoped, session-only)
-HASH_STORE="/tmp/.claude-content-hashes-${PPID}"
-
-tool_name=$(printf '%s\n' "$input" | jq -r '.tool_name // "unknown"')
+STORE_DIR="/tmp/.claude-content-hashes-${PPID}.d"
+
+ctx=""
+add() { if [ -z "$ctx" ]; then ctx="$1"; else ctx="${ctx}"$'\n'"$1"; fi; }
+
+tool_name=$(printf '%s\n' "$input" | jq -r '.tool_name // "unknown"' 2>/dev/null || echo unknown)
+event=$(printf '%s\n' "$input" | jq -r '.hook_event_name // ""' 2>/dev/null || echo "")
+file_path=$(printf '%s\n' "$input" | jq -r '.tool_input.file_path? // ""' 2>/dev/null || echo "")
+
+mode="other"
+if [ "$event" = "PreToolUse" ]; then
+  [ "$tool_name" = "Edit" ] && mode="validate"
+elif [ "$event" = "" ]; then
+  case "$tool_name" in
+    Edit) mode="validate" ;;
+    Read|Write) mode="store" ;;
+  esac
+else
+  case "$tool_name" in Read|Edit|Write) mode="store" ;; esac
+fi
 
-case "$tool_name" in
-  "Read")
-    # Store content hash for the file that was just read
-    file_path=$(printf '%s\n' "$input" | jq -r '.tool_input.file_path? // ""')
+file_hash() { md5 -q "$1" 2>/dev/null || md5sum "$1" 2>/dev/null | cut -d' ' -f1 || echo "unknown"; }
+entry_for() { printf '%s' "$1" | cksum | cut -d' ' -f1; }
 
+case "$mode" in
+  "store")
     if [ -n "$file_path" ] && [ -f "$file_path" ]; then
-      content_hash=$(md5 -q "$file_path" 2>/dev/null || md5sum "$file_path" 2>/dev/null | cut -d' ' -f1 || echo "unknown")
-      timestamp=$(date -u +%Y-%m-%dT%H:%M:%SZ)
-
-      # Store hash entry (overwrite previous for same file)
-      if [ -f "$HASH_STORE" ]; then
-        # Remove old entry for this file
-        grep -v "\"path\":\"${file_path}\"" "$HASH_STORE" > "${HASH_STORE}.tmp" 2>/dev/null || true
-        mv "${HASH_STORE}.tmp" "$HASH_STORE" 2>/dev/null || true
-      fi
-
-      jq -cn \
-        --arg path "$file_path" \
-        --arg hash "$content_hash" \
-        --arg ts "$timestamp" \
-        '{path: $path, hash: $hash, stored_at: $ts}' >> "$HASH_STORE" 2>/dev/null || true
+      {
+        content_hash=$(file_hash "$file_path")
+        mkdir -p "$STORE_DIR"
+        tmp=$(mktemp "$STORE_DIR/.tmp.XXXXXX")
+        printf '%s\n%s\n' "$content_hash" "$file_path" > "$tmp"
+        mv -f "$tmp" "$STORE_DIR/$(entry_for "$file_path")"
+      } 2>/dev/null || true
     fi
     ;;
 
-  "Edit")
-    # Validate that file hasn't changed since last Read
-    file_path=$(printf '%s\n' "$input" | jq -r '.tool_input.file_path? // ""')
-
-    if [ -n "$file_path" ] && [ -f "$HASH_STORE" ] && [ -f "$file_path" ]; then
-      stored_hash=$(grep "\"path\":\"${file_path}\"" "$HASH_STORE" 2>/dev/null | tail -1 | jq -r '.hash // ""' 2>/dev/null || echo "")
+  "validate")
+    if [ -n "$file_path" ] && [ -f "$file_path" ]; then
+      entry="$STORE_DIR/$(entry_for "$file_path")"
+      stored_hash=""
+      stored_path=""
+      { stored_hash=$(sed -n 1p "$entry"); stored_path=$(sed -n 2p "$entry"); } 2>/dev/null || true
 
-      if [ -n "$stored_hash" ] && [ "$stored_hash" != "unknown" ]; then
-        current_hash=$(md5 -q "$file_path" 2>/dev/null || md5sum "$file_path" 2>/dev/null | cut -d' ' -f1 || echo "unknown")
+      if [ -n "$stored_hash" ] && [ "$stored_hash" != "unknown" ] && [ "$stored_path" = "$file_path" ]; then
+        current_hash=$(file_hash "$file_path")
 
         if [ "$current_hash" != "unknown" ] && [ "$stored_hash" != "$current_hash" ]; then
-          echo "[Content-Hash] WARNING: $(basename "$file_path") may have changed since last Read" >&2
-          echo "[Content-Hash] Stored hash: ${stored_hash:0:8}... Current: ${current_hash:0:8}..." >&2
-          echo "[Content-Hash] Advisory: re-read the file before editing if unsure" >&2
+          add "[Content-Hash] WARNING: $(basename "$file_path") may have changed since last Read"
+          add "[Content-Hash] Stored hash: ${stored_hash:0:8}... Current: ${current_hash:0:8}..."
+          add "[Content-Hash] Advisory: re-read the file before editing if unsure"
         fi
       fi
     fi
     ;;
 esac
 
-# Ring buffer: keep last 200 entries
-if [ -f "$HASH_STORE" ]; then
-  line_count=$(wc -l < "$HASH_STORE" 2>/dev/null || echo "0")
-  if [ "$line_count" -gt 200 ]; then
-    tail -200 "$HASH_STORE" > "${HASH_STORE}.tmp"
-    mv "${HASH_STORE}.tmp" "$HASH_STORE"
+if [ "$mode" = "validate" ]; then
+  # Emit advisory to the model (#1885); silent when nothing to advise.
+  if [ -n "$ctx" ]; then
+    jq -cn --arg ctx "$ctx" '{hookSpecificOutput:{hookEventName:"PreToolUse",additionalContext:$ctx}}'
   fi
+else
+  # PostToolUse paths and others: unchanged pass-through
+  printf '%s\n' "$input"
 fi
-
-# Always pass through
-printf '%s\n' "$input"
 exit 0

package/templates/.claude/hooks/scripts/destructive-git-guard.sh

@@ -1,7 +1,9 @@
 #!/bin/bash
 # R001/R021 destructive git guard hook
 # Warns before commands that can discard working tree, untracked files, or branches.
-# Advisory tier only: emits stderr guidance, records PPID-scoped warnings, exits 0.
+# Advisory tier only: emits guidance, records PPID-scoped warnings, exits 0.
+# Channel (#1885): exit-0 stderr never reaches the model; advice is delivered via stdout JSON
+# hookSpecificOutput.additionalContext (measured CC 2.1.310, #1775). No stdin passthrough, no stderr.
 #
 # PPID Scoping Convention:
 #   Session-scoped temp files MUST use $PPID (Claude Code parent PID), not $$.
@@ -26,35 +28,48 @@ fi
 
 VIOLATION_FILE="/tmp/.claude-destructive-git-guard-${PPID}"
 matched=""
+ctx=""
+# Optional `-C <path>` / `-c <k=v>` option pairs between `git` and the subcommand (L10).
+GIT_PFX='(^|[;&|[:space:]])git([[:space:]]+(-C[[:space:]]+("[^"]*"|'"'"'[^'"'"']*'"'"'|[^[:space:]]+)|-c[[:space:]]+[^[:space:]]+))*[[:space:]]+'
+add() { if [ -z "$ctx" ]; then ctx="$1"; else ctx="${ctx}"$'\n'"$1"; fi; }
 
-if printf '%s\n' "$command_text" | grep -Eq '(^|[;&|[:space:]])git[[:space:]]+reset[[:space:]]+--hard([[:space:]]|$)'; then
+if printf '%s\n' "$command_text" | grep -Eq "${GIT_PFX}reset[[:space:]]+--hard([[:space:]]|$)"; then
   matched="git reset --hard"
-elif printf '%s\n' "$command_text" | grep -Eq '(^|[;&|[:space:]])git[[:space:]]+clean[[:space:]]+([^;&|]*[[:space:]])?-f(dx|xd|d|x)?([[:space:]]|$)'; then
+elif printf '%s\n' "$command_text" | grep -Eq "${GIT_PFX}clean[[:space:]]+([^;&|]*[[:space:]])?(-[A-Za-z]*f[A-Za-z]*|--force)([[:space:]]|$)"; then
   matched="git clean"
-elif printf '%s\n' "$command_text" | grep -Eq '(^|[;&|[:space:]])git[[:space:]]+restore([[:space:]]+--[^;&|[:space:]]+)*([[:space:]]+(\.|\*|/|--worktree|--staged))*([[:space:]]|$)'; then
+elif printf '%s\n' "$command_text" | grep -Eq "${GIT_PFX}restore([[:space:]]+--[^;&|[:space:]]+)*([[:space:]]+(\.|\*|/|--worktree|--staged))*([[:space:]]|$)"; then
   matched="git restore"
-elif printf '%s\n' "$command_text" | grep -Eq '(^|[;&|[:space:]])git[[:space:]]+checkout[[:space:]]+--[[:space:]]+(\.|\*|/)([[:space:]]|$)'; then
+elif printf '%s\n' "$command_text" | grep -Eq "${GIT_PFX}checkout[[:space:]]+--[[:space:]]+(\.|\*|/)([[:space:]]|$)"; then
   matched="git checkout -- ."
-elif printf '%s\n' "$command_text" | grep -Eq '(^|[;&|[:space:]])git[[:space:]]+branch[[:space:]]+-D([[:space:]]|$)'; then
+elif printf '%s\n' "$command_text" | grep -Eq "${GIT_PFX}branch[[:space:]]+-D([[:space:]]|$)"; then
   matched="git branch -D"
 fi
 
 if [ -n "$matched" ]; then
-  echo "[Hook] DESTRUCTIVE GIT WARNING: detected '$matched' in Bash command" >&2
-  echo "[Hook] Advisory only (R021): command is not blocked, but it may discard local work." >&2
-  echo "[Hook] Before proceeding, verify git status and preserve work with git stash or a WIP commit." >&2
-  echo "[Hook] Recovery: use 'git reflog' to find prior HEADs; for deleted branches, check 'git reflog --all'." >&2
+  add "[Hook] DESTRUCTIVE GIT WARNING: detected '$matched' in Bash command"
+  add "[Hook] Advisory only (R021): command is not blocked, but it may discard local work."
+  add "[Hook] Before proceeding, verify git status and preserve work with git stash or a WIP commit."
+  add "[Hook] Recovery: use 'git reflog' to find prior HEADs; for deleted branches, check 'git reflog --all'."
 
-  if printf '%s\n' "$command_text" | grep -Eq '(^|[;&|[:space:]])git[[:space:]]+branch[[:space:]]+-D([[:space:]]|$)'; then
-    echo "[Hook] Branch deletion note: prefer 'git branch -d' first so Git checks for unmerged commits." >&2
+  if printf '%s\n' "$command_text" | grep -Eq "${GIT_PFX}branch[[:space:]]+-D([[:space:]]|$)"; then
+    add "[Hook] Branch deletion note: prefer 'git branch -d' first so Git checks for unmerged commits."
   fi
 
-  printf '%s %s\n' "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "$matched" >> "$VIOLATION_FILE"
+  # State writes are silent and non-fatal (no stderr, no abort).
+  { printf '%s %s\n' "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "$matched" >> "$VIOLATION_FILE"; } 2>/dev/null || true
   violation_count=$(wc -l < "$VIOLATION_FILE" 2>/dev/null | tr -d ' ')
-  if [ "${violation_count:-0}" -ge 3 ]; then
-    echo "[Hook] Destructive git warnings: ${violation_count} this session — R021 promotion threshold reached" >&2
+  # Count line once per session: count >= 3 AND the atomic marker mkdir wins (parallel-safe).
+  if [ "${violation_count:-0}" -ge 3 ] && { mkdir "/tmp/.claude-destructive-git-threshold-${PPID}"; } 2>/dev/null; then
+    add "[Hook] Destructive git warnings: ${violation_count} this session (advisory telemetry; R021 promotion needs user approval)"
   fi
 fi
 
-# Always pass through - this hook is advisory only.
-printf '%s\n' "$input"
+# Emit advisory to the model (#1885); silent when nothing matched.
+if [ -n "$ctx" ]; then
+  if command -v jq >/dev/null 2>&1; then
+    jq -cn --arg ctx "$ctx" '{hookSpecificOutput:{hookEventName:"PreToolUse",additionalContext:$ctx}}'
+  elif command -v python3 >/dev/null 2>&1; then
+    CTX="$ctx" python3 -c 'import json,os; print(json.dumps({"hookSpecificOutput":{"hookEventName":"PreToolUse","additionalContext":os.environ["CTX"]}}))'
+  fi
+fi
+exit 0

package/templates/.claude/hooks/scripts/git-delegation-guard.sh

@@ -1,7 +1,69 @@
 #!/bin/bash
-# R010 git-delegation-guard hook
-# Warns when git operations are delegated to a non-mgr-gitnerd agent via Agent/Task tool.
-# WARN only - does NOT block (exit 0, passes input through).
+# git-delegation-guard.sh — PreToolUse(Task|Agent): R010 git 위임 감지 (advisory, #1885)
+#
+# Warns when a delegation prompt to a non-mgr-gitnerd agent mentions git write keywords.
+# Advisory only: always exit 0, never blocks, never modifies tool input.
+#
+# Delivery (#1885): exit 0 + stderr never reaches the model (measured, #1775 comment
+#   6405197553). The warning is therefore emitted as ONE stdout JSON line
+#   hookSpecificOutput.additionalContext; nothing is written to stderr and the input is
+#   no longer echoed back. No warning -> no output.
+#
+# Precision (#1885): a keyword occurrence does NOT count when (case-insensitive, LC_ALL=C bytes;
+#   U+2019 is folded to `'`; `git -C <path>` / `git -c k=v` option groups are stripped first so
+#   `git -C /repo commit` is treated like `git commit`):
+#   (a) a negation token appears BEFORE it on the same line. English tokens are whole words
+#       (`-` and `_` stay inside words, so `--no-rebase`, `no-op`, `not_found` do not count):
+#       not, never, no, don't, avoid, without, forbidden, prohibited (so "do not" is covered);
+#       Korean substrings 금지, 말 것, 하지 마 (bare "않" was removed: too broad);
+#   (b) it sits in a prohibition block. Header words (word-bounded, after list/markdown markers):
+#       Forbidden, Prohibited, Do not, Don't, Never, Avoid, 금지, 하지 말 것.
+#       - colon header: a line starting with a header word whose `:` or full-width `：` ends the
+#         header phrase (at most 4 words before it). The block runs to the next blank line
+#         or the next non-prohibition label line (`Allowed: …`, `Steps:`, `**Steps**:`); a
+#         prohibition label (`Never: …`) continues it.
+#       - markdown heading (`#`..`######` + space; `#1885` is not a heading) starting with a header
+#         word (colon optional). The block covers only the FIRST paragraph or list after the
+#         heading: blank lines directly after the heading are skipped, then it runs through
+#         consecutive non-blank lines and ends at the next blank line, heading, or label line
+#         (`**Bold**` or a non-list line ending in a colon);
+#       - header colons count only when followed by whitespace/end of line (`https://x`, `10:30`
+#         do not); Korean header words need a boundary (whitespace, colon or end: `금지어` is not
+#         a header). Lines inside ``` fences never open or close blocks (fence lines themselves
+#         count as block content);
+#   (c) it is a read-only query:
+#       - `git branch` followed by --list, -l, --show-current, --contains, --all, --merged,
+#         --no-merged, -a, -r, -v or -vv, unless the same command also has -d/-D/--delete/-m/-M/
+#         -c/-C (`git branch -r -d origin/x` is a write and fires);
+#       - `git tag` followed by --list, -l, --contains, --points-at or --sort;
+#       - bare `git tag` / `git branch` used as a noun: followed by end of line, punctuation, `+`,
+#         a backtick, an opening bracket, or whitespace + a common prose word (is/the/and/...).
+#         `git branch feature-x` / `git tag v1` are creations and still fire.
+#   Keyword boundary: a keyword matches only if the next char is not [A-Za-z0-9_-] and the
+#   previous char is not [A-Za-z0-9_] (`git merge-base` does not match `git merge`; "legit
+#   commit" does not match `git commit`). Quoted `-C "/my repo"` / `-c 'k=v w'` arguments with
+#   spaces are stripped like unquoted ones.
+#   Warn only if at least one occurrence survives. The keyword set and the mgr-gitnerd
+#   exemption are unchanged. A non-string prompt is treated as empty; a missing subagent_type
+#   is shown as (unspecified).
+#
+# Measured precision: replay (8 newest main transcripts, dedup by tool_use id; subagent
+#   transcripts carry no Agent calls): old 167 -> 23 of 752 inputs; 0 clear true positives found
+#   in this repo's corpus. The hook stays model-visible (additionalContext, worded as a
+#   conditional advisory) because the base rate in installed projects differs [가설].
+#
+# Known false negatives (accepted trade-offs):
+#   - a real command after a negation word on the same line ("Do not skip this: git commit now"
+#     is read as a colon header and skipped with its block);
+#   - a real command inside a prohibition block not separated by a blank line (colon header) or
+#     placed in the first paragraph/list under a Forbidden heading;
+#   - prose "git tag"/"git branch" followed by a stop-listed word is treated as a noun.
+#   Known false positive (SOV trade-off): Korean "git commit 금지" (token after the keyword) is
+#   NOT excluded by (a) unless it sits in a block (b), so it still warns.
+#
+# State writes (violation file, threshold marker) are best-effort: failures are silent and never
+#   abort or leak to stderr. The per-session count line is emitted once, when the count is >= 3
+#   and the atomic marker dir /tmp/.claude-r010-threshold-${PPID} is created by this firing.
 #
 # PPID Scoping Convention:
 #   All session-scoped temp files MUST use $PPID (Claude Code parent PID),
@@ -14,22 +76,18 @@ command -v jq >/dev/null 2>&1 || exit 0
 
 input=$(cat)
 
-# Guard: non-object stdin (non-JSON / JSON array / empty) — swallow and exit 0
-# instead of reflecting garbage back on stdout. The sibling hooks (audit-log.sh,
-# model-escalation-advisor.sh, task-outcome-recorder.sh) all carry this guard;
-# this one did not, so a non-object payload was echoed through verbatim. (#1656 F)
+# Guard: non-object stdin (non-JSON / JSON array / empty) — swallow and exit 0. (#1656 F)
 printf '%s' "$input" | jq -e 'type=="object"' >/dev/null 2>&1 || exit 0
 
-# `?` suppresses jq's "Cannot index <type> with string" when tool_input arrives as a
-# scalar/array instead of an object (measured #1656 A: the bare form leaked a jq error to
-# stderr on every non-object tool_input). 2>/dev/null + `|| echo ""` keep the hook silent
-# and advisory-only even if jq itself fails for an unrelated reason.
-agent_type=$(printf '%s\n' "$input" | jq -r '.tool_input.subagent_type? // ""' 2>/dev/null || echo "")
-prompt=$(printf '%s\n' "$input" | jq -r '.tool_input.prompt? // ""' 2>/dev/null || echo "")
+# `?` suppresses jq errors when tool_input is a scalar/array (#1656 A).
+agent_type=$(printf '%s\n' "$input" | jq -r '(.tool_input.subagent_type? | strings) // ""' 2>/dev/null || echo "")
+prompt=$(printf '%s\n' "$input" | jq -r '(.tool_input.prompt? | strings) // ""' 2>/dev/null || echo "")
 
 # R010 violation tracking file (PPID-scoped for session persistence)
 VIOLATION_FILE="/tmp/.claude-r010-violations-${PPID}"
 
+ctx=""
+
 # Only warn when the delegated agent is NOT mgr-gitnerd
 if [ "$agent_type" != "mgr-gitnerd" ]; then
   git_keywords=(
@@ -45,23 +103,116 @@ if [ "$agent_type" != "mgr-gitnerd" ]; then
     "git cherry-pick"
     "git tag"
   )
+  kw_list=$(IFS='|'; printf '%s' "${git_keywords[*]}")
 
-  for keyword in "${git_keywords[@]}"; do
-    if echo "$prompt" | grep -qi "$keyword"; then
-      echo "[Hook] WARNING: R010 violation detected - git operation ('$keyword') delegated to '$agent_type' instead of 'mgr-gitnerd'" >&2
-      echo "[Hook] Per R010, all git operations (commit/push/branch/merge/etc.) MUST be delegated to mgr-gitnerd" >&2
+  # First keyword (in list order) with at least one surviving occurrence.
+  keyword=$(printf '%s\n' "$prompt" | LC_ALL=C awk -v kws="$kw_list" '
+    function hw(x) {
+      return (x ~ /^(forbidden|prohibited|do not|don.t|never|avoid)([^a-z0-9_]|$)/ || x ~ /^(금지|하지 말 것)([ \t:]|$|\357\274\232)/)
+    }
+    # header colon: ":" or full-width "：" followed by whitespace/end of line, at most 4 words before it
+    function colon_header(x,   i, len, ch, pre, k, tmp) {
+      len = length(x)
+      for (i = 1; i <= len; i++) {
+        ch = substr(x, i, 1)
+        if (ch == ":" && (i == len || substr(x, i + 1, 1) ~ /[ \t]/)) break
+        if (substr(x, i, 3) == "\357\274\232" && (i + 2 == len || substr(x, i + 3, 1) ~ /[ \t]/)) break
+      }
+      if (i > len) return 0
+      pre = substr(x, 1, i - 1)
+      k = split(pre, tmp, /[ \t]+/)
+      return (k <= 4)
+    }
+    BEGIN {
+      n = split(kws, K, "|")
+      inblock = 0; btype = ""; hstate = ""; infence = 0
+      neg = " (not|never|no|don.t|avoid|without|forbidden|prohibited) "
+      prose = "(is|was|are|and|or|the|a|an|to|of|in|on|at|for|with|before|after|then|that|which|when|if|as|from|by|name|names|first|output|result|state|you|we|it)"
+    }
+    {
+      l = tolower($0)
+      gsub(/\342\200\231/, "\047", l)
+      gsub(/git[ \t]+(-[cC][ \t]+([\"][^\"]*[\"]|\047[^\047]*\047|[^ \t]+)[ \t]+)+/, "git ", l)
+      isfence = (l ~ /^[ \t]*```/)
+      if (isfence) infence = !infence
+      if (l ~ /^[ \t\r]*$/) {
+        if (inblock && !infence) {
+          if (btype == "C") inblock = 0
+          else if (hstate == "body") inblock = 0
+        }
+        next
+      }
+      s = l
+      sub(/^[ \t>*#+_`-]+/, "", s)
+      sub(/^[0-9]+[.)][ \t]+/, "", s)
+      sub(/^[*_`]+/, "", s)
+      if (!isfence && !infence) {
+        if (l ~ /^[ \t]*(#|##|###|####|#####|######)[ \t]/) {
+          # heading: ends any block; a prohibition heading opens an H block (first paragraph/list only)
+          if (hw(s)) { inblock = 1; btype = "H"; hstate = "lead"; next }
+          inblock = 0; btype = ""
+        } else {
+          # a NEW colon-header line that is not itself a prohibition header ends a colon block
+          if (inblock && btype == "C" && colon_header(s) && !hw(s)) { inblock = 0; btype = "" }
+          # a label line (**Bold** or "text:") ends an H block
+          if (inblock && btype == "H" && (l ~ /^[ \t]*\*\*[^*]+\*\*[ \t]*[:：]?[ \t]*$/ || (l !~ /^[ \t]*([-*+]|[0-9]+[.)])[ \t]/ && l ~ /(:|\357\274\232)[ \t]*$/))) { inblock = 0; btype = "" }
+          if (!inblock && hw(s) && colon_header(s)) { inblock = 1; btype = "C"; next }
+        }
+      }
+      if (inblock) { if (btype == "H") hstate = "body"; next }
+      for (i = 1; i <= n; i++) {
+        kw = K[i]
+        if (kw in surv) continue
+        off = 0
+        rest = l
+        while ((p = index(rest, kw)) > 0) {
+          pos = off + p
+          pre = substr(l, 1, pos - 1)
+          post = substr(l, pos + length(kw))
+          rest = substr(l, pos + 1)
+          off = pos
+          if (post ~ /^[a-z0-9_-]/) continue
+          if (pos > 1 && substr(l, pos - 1, 1) ~ /[a-z0-9_]/) continue
+          w = pre
+          gsub(/[^a-z0-9\047_-]/, " ", w)
+          w = " " w " "
+          if (w ~ neg) continue
+          if (index(pre, "금지") || index(pre, "말 것") || index(pre, "하지 마")) continue
+          if (kw == "git branch" || kw == "git tag") {
+            cmd = post
+            sub(/[;&|].*$/, "", cmd)
+            if (kw == "git branch" && cmd ~ /(^|[ \t])(--delete|-[a-z]*[dmc][a-z]*)([ \t]|$)/) { surv[kw] = 1; break }
+            if (kw == "git branch" && post ~ /^[ \t]+(--list|-l|--show-current|--contains|--all|--merged|--no-merged|-a|-r|-v|-vv)([^a-z0-9-]|$)/) continue
+            if (kw == "git tag" && post ~ /^[ \t]+(--list|-l|--contains|--points-at|--sort)([^a-z0-9-]|$)/) continue
+            if (post ~ /^[ \t]*$/ || post ~ /^[+`.,;:)\]\047"!?|\/]/ || post ~ /^[ \t]+[(\[]/ || post ~ ("^[ \t]+" prose "([^a-z0-9_-]|$)")) continue
+          }
+          surv[kw] = 1
+          break
+        }
+      }
+    }
+    END {
+      for (i = 1; i <= n; i++) if (K[i] in surv) { print K[i]; exit }
+    }
+  ')
 
-      # Record violation for R021 promotion tracking
-      echo "$(date -u +%Y-%m-%dT%H:%M:%SZ) $keyword $agent_type" >> "$VIOLATION_FILE"
-      violation_count=$(wc -l < "$VIOLATION_FILE" 2>/dev/null | tr -d ' ')
-      if [ "$violation_count" -ge 3 ]; then
-        echo "[Hook] R010 violations: ${violation_count} this session — R021 promotion threshold reached" >&2
-      fi
+  if [ -n "$keyword" ]; then
+    if [ -n "$agent_type" ]; then shown="'$agent_type'"; else shown="(unspecified)"; fi
+    ctx="[Hook] ADVISORY: delegation prompt to $shown mentions '$keyword' — if this delegates a git operation, route it to mgr-gitnerd (R010)."
+    ctx="$ctx"$'\n'"[Hook] Per R010, all git operations (commit/push/branch/merge/etc.) MUST be delegated to mgr-gitnerd"
 
-      break
+    # Record mention for R021 promotion tracking (best-effort, silent on failure)
+    { echo "$(date -u +%Y-%m-%dT%H:%M:%SZ) $keyword ${agent_type:-(unspecified)}" >> "$VIOLATION_FILE"; } 2>/dev/null || true
+    violation_count=$({ wc -l < "$VIOLATION_FILE" | tr -d ' '; } 2>/dev/null || true)
+    # Count line once: count >= 3 AND the atomic marker dir is created by this firing.
+    if [ "${violation_count:-0}" -ge 3 ] 2>/dev/null && { mkdir "/tmp/.claude-r010-threshold-${PPID}"; } 2>/dev/null; then
+      ctx="$ctx"$'\n'"[Hook] R010 git-keyword mentions: ${violation_count} this session (advisory telemetry; R021 promotion needs user approval)"
     fi
-  done
+  fi
+fi
+
+if [ -n "$ctx" ]; then
+  jq -cn --arg ctx "$ctx" '{hookSpecificOutput:{hookEventName:"PreToolUse",additionalContext:$ctx}}'
 fi
 
-# Always pass through - this hook is advisory only
-printf '%s\n' "$input"
+exit 0

package/templates/.claude/hooks/scripts/model-escalation-advisor.sh

@@ -7,7 +7,13 @@ command -v jq >/dev/null 2>&1 || exit 0
 # Model Escalation Advisor Hook
 # Trigger: PreToolUse, tool == "Task" || tool == "Agent"
 # Purpose: Advise model escalation when failure patterns detected
-# Protocol: stdin JSON -> process -> stdout pass-through, exit 0 always
+# Protocol: stdin JSON -> process -> exit 0 always
+# Once per session (#1885): each distinct advisory key is shown at most once, claimed atomically via a
+# per-key marker dir under /tmp/.claude-model-advisory-shown-${PPID}.d/ (parallel-hook safe).
+# De-escalation is opt-in (OMCUSTOM_MODEL_DEESCALATION=on): task-outcome-recorder.sh records every
+# SubagentStop as outcome=success (no error signal), so "N consecutive successes" only means N agents finished (#1885).
+# Channel (#1885): exit-0 stderr never reaches the model; advice is delivered via stdout JSON
+# hookSpecificOutput.additionalContext (measured CC 2.1.310, #1775). No stdin passthrough, no stderr.
 
 input=$(cat)
 
@@ -24,10 +30,25 @@ OUTCOME_FILE="/tmp/.claude-task-outcomes-${PPID}"
 
 # Skip if no history
 if [ ! -f "$OUTCOME_FILE" ]; then
-  printf '%s\n' "$input"
   exit 0
 fi
 
+ctx=""
+SHOWN_DIR="/tmp/.claude-model-advisory-shown-${PPID}.d"
+# fresh KEY: atomic claim via mkdir of a per-key marker dir (hash of KEY; no shared file, so no
+# check-then-append race and no newline pollution). Success => emit. State failures are silent;
+# if the marker dir itself is unusable we fail open (emit) rather than lose the advisory.
+fresh() {
+  { mkdir -p "$SHOWN_DIR"; } 2>/dev/null || true
+  [ -d "$SHOWN_DIR" ] || return 0
+  local h
+  h=$(printf '%s' "$1" | cksum | cut -d' ' -f1) || h=""
+  [ -n "$h" ] || return 0
+  if { mkdir "$SHOWN_DIR/$h"; } 2>/dev/null; then return 0; fi
+  return 1
+}
+add() { if [ -z "$ctx" ]; then ctx="$1"; else ctx="${ctx}"$'\n'"$1"; fi; }
+
 # Thresholds
 FAILURE_THRESHOLD=2
 CONSECUTIVE_THRESHOLD=3
@@ -85,20 +106,20 @@ if [ -n "$next_model" ]; then
     reason="${consecutive_failures} consecutive failures"
   fi
 
-  if [ "$should_advise" = true ]; then
-    echo "" >&2
-    echo "--- [Model Escalation Advisory] ---" >&2
-    echo "  Agent type: ${agent_type}" >&2
-    echo "  Current model: ${current_model}" >&2
-    echo "  ⚡ Recommended: Escalate to ${next_model}" >&2
-    echo "  Cost impact: ${cost_multiplier} per task" >&2
-    echo "  Reason: ${reason}" >&2
-    echo "------------------------------------" >&2
+  if [ "$should_advise" = true ] && fresh "esc:${agent_type}:${current_model}->${next_model}"; then
+    add ""
+    add "--- [Model Escalation Advisory] ---"
+    add "  Agent type: ${agent_type}"
+    add "  Current model: ${current_model}"
+    add "  ⚡ Recommended: Escalate to ${next_model}"
+    add "  Cost impact: ${cost_multiplier} per task"
+    add "  Reason: ${reason}"
+    add "------------------------------------"
   fi
 fi
 
 # De-escalation check
-if [ "$current_model" != "haiku" ] && [ "$current_model" != "inherit" ] && [ "$current_model" != "" ]; then
+if [ "${OMCUSTOM_MODEL_DEESCALATION:-}" = "on" ] && [ "$current_model" != "haiku" ] && [ "$current_model" != "inherit" ] && [ "$current_model" != "" ]; then
   # Same `grep -c` hygiene as above (#1656 E).
   recent_successes=$(tail -${COOLDOWN} "$OUTCOME_FILE" 2>/dev/null | grep -c '"outcome":"success"' 2>/dev/null || true)
   recent_successes=${recent_successes:-0}
@@ -111,16 +132,18 @@ if [ "$current_model" != "haiku" ] && [ "$current_model" != "inherit" ] && [ "$c
       sonnet) lower_model="haiku" ;;
     esac
 
-    if [ -n "$lower_model" ]; then
-      echo "" >&2
-      echo "--- [Model De-escalation Advisory] ---" >&2
-      echo "  ↓ Consider: ${current_model} → ${lower_model}" >&2
-      echo "  ${recent_successes} consecutive successes" >&2
-      echo "--------------------------------------" >&2
+    if [ -n "$lower_model" ] && fresh "deesc:${current_model}->${lower_model}"; then
+      add ""
+      add "--- [Model De-escalation Advisory] ---"
+      add "  ↓ Consider: ${current_model} → ${lower_model}"
+      add "  ${recent_successes} consecutive successes"
+      add "--------------------------------------"
     fi
   fi
 fi
 
-# Pass through
-printf '%s\n' "$input"
+# Emit advisory to the model (#1885); silent when nothing to advise.
+if [ -n "$ctx" ]; then
+  jq -cn --arg ctx "$ctx" '{hookSpecificOutput:{hookEventName:"PreToolUse",additionalContext:$ctx}}'
+fi
 exit 0

package/templates/.claude/hooks/scripts/schema-validator.sh

@@ -2,8 +2,10 @@
 # Schema Validator Hook — PreToolUse input validation
 # Trigger: PreToolUse on Write, Edit, Bash
 # Purpose: Validate tool inputs against JSON Schema definitions
-# Phase 1: Advisory only (exit 0 with stderr warning)
-# Protocol: stdin JSON -> validate -> stdout pass-through
+# Phase 1: Advisory only (exit 0; warnings via stdout JSON additionalContext, #1885)
+# Protocol: stdin JSON -> validate -> exit 0
+# Channel (#1885): exit-0 stderr never reaches the model (CC 2.1.310 probe, #1775 comment 6405197553);
+#   warnings are delivered as stdout JSON hookSpecificOutput.additionalContext. No stdin passthrough.
 
 set -euo pipefail
 
@@ -29,7 +31,6 @@ SCHEMA_FILE="$ROOT/.claude/schemas/tool-inputs.json"
 
 # Skip if schema file doesn't exist
 if [ ! -f "$SCHEMA_FILE" ]; then
-  printf '%s\n' "$input"
   exit 0
 fi
 
@@ -72,7 +73,7 @@ case "$tool_name" in
     fi
 
     # Check dangerous patterns
-    if echo "$command" | grep -qE 'rm\s+-rf\s+/[^.]'; then
+    if echo "$command" | grep -qE 'rm\s+-rf\s+["'"'"']?/["'"'"']?(\s|\*|[;&|)]|$)'; then
       warnings+=("[Schema] Bash: DANGER — recursive delete from root detected")
     fi
     if echo "$command" | grep -qE '^\s*sudo\s+'; then
@@ -102,14 +103,10 @@ case "$tool_name" in
     ;;
 esac
 
-# Output warnings (advisory only)
+# Output warnings (advisory only) via additionalContext
 if [ ${#warnings[@]} -gt 0 ]; then
-  for w in "${warnings[@]}"; do
-    echo "$w" >&2
-  done
-  echo "[Schema] Phase 1: advisory only — not blocking" >&2
+  ctx=$(printf '%s\n' "${warnings[@]}"; printf '%s' "[Schema] Phase 1: advisory only — not blocking")
+  jq -cn --arg ctx "$ctx" '{hookSpecificOutput:{hookEventName:"PreToolUse",additionalContext:$ctx}}'
 fi
 
-# Always pass through (Phase 1)
-printf '%s\n' "$input"
 exit 0

package/templates/.claude/rules/MUST-agent-design.md

@@ -212,10 +212,6 @@ source:                    # For external agents
   origin: github | npm
   url: https://...
   version: 1.0.0
-escalation:              # Model escalation policy (optional)
-  enabled: true          # Enable auto-escalation advisory
-  path: haiku → sonnet → opus  # Escalation sequence (Tier-3 Agent-tool aliases only)
-  threshold: 2           # Failures before advisory
 soul: true                 # Enable SOUL.md identity injection
 isolation: worktree | sandbox  # worktree = git worktree, sandbox = restricted bash
 sandboxFailIfUnavailable: true  # Exit if sandbox unavailable (v2.1.83+)
@@ -422,13 +418,7 @@ The `limitations` field declares what an agent explicitly CANNOT or SHOULD NOT d
 
 ### Escalation Policy
 
-When `escalation.enabled: true`, the model-escalation hooks will track outcomes for this agent type and advise escalation when failures exceed the threshold. This is advisory-only — the orchestrator decides whether to accept the recommendation.
-
-| Field | Default | Description |
-|-------|---------|-------------|
-| `enabled` | false | Enable escalation tracking for this agent |
-| `path` | haiku → sonnet → opus | Model upgrade sequence (Tier-3 Agent-tool aliases only) |
-| `threshold` | 2 | Failure count before escalation advisory |
+Model escalation is not configured via agent frontmatter; thresholds are hard-coded in model-escalation-advisor.sh; see the model-escalation skill.
 -->
 
 ## Memory Scopes

package/templates/.claude/rules/MUST-enforcement-policy.md

@@ -19,7 +19,7 @@ oh-my-customcode uses an **advisory-first enforcement model**. Most rules are en
 | Hard Block | PreToolUse hook, exit 2 | stage-blocker, rule-deletion-guard | Prevents tool execution |
 | Soft Block | Stop hook prompt | R011 session-end saves | Auto-performs then approves |
 | Conversation Block | PostToolUse hook + `continueOnBlock` (CC v2.1.139+), exit 2 | stuck-detector, context-budget-advisor, cost-cap-advisor | Feeds rejection reason into conversation; Claude continues with awareness |
-| Advisory | PostToolUse hooks | R007, R008, R009, R010, R018 | Warns via stderr, never blocks |
+| Advisory | PreToolUse + PostToolUse + SubagentStop hooks | R007, R008, R009, R010, R018 | Warns via stderr or stdout `additionalContext`, never blocks |
 | Advisory (proactive) | UserPromptSubmit + SubagentStop + PostToolUse hooks | R007, R008 (`r007-r008-drift-advisor.sh` — #1229 UserPromptSubmit, #1545 SubagentStop, #1553 PostToolUse) | Reads last assistant turn; emits advisory if header/prefix absent. SubagentStop wiring (#1545) covers subagent stops in no-user-input loops (`/fsd`); PostToolUse (#1553) covers the orchestrator-only stretch before the first subagent spawn. Complements retroactive Stop-hook (`session-reflection.sh`, #1190). **v1.1.43부터 실제 발화**(파서 셀렉터 `.role`→`.message.role` 수정 — 상세는 Read 도구로 원문 주석 참조). v1.1.49부터 역방향(announce > tool_use) 신호 포함, 기본 off 옵트인 (#1595 #6). v1.1.73의 narration 채널 분리 옵션(`OMCUSTOM_R008_NARRATION`, #1701 #2)은 실 세션 5건(CC 2.1.233~2.1.274) 실측에서 narration 마커 매칭 0/354·판정 on/off 동일로 전제가 성립하지 않아 v1.1.74에서 은퇴했습니다(#1703) — R008 누락은 채널 오선택이 아니라 마커 미직렬화 형태입니다. **v1.1.62(#1650 D)부터 서브에이전트 세션에서는 침묵**: hook stdin의 `agent_id`(CC 스키마상 서브에이전트 내부 발화에만 존재)가 있으면 exit 0 — 단 `SubagentStart`/`SubagentStop`은 `agent_id`가 대상 식별자라 예외(판정 수행). 중첩 서브에이전트 안의 SubagentStop은 억제 못 함(R010 정책상 도달 불가 경로). 완료 보고가 advisory 응답으로 대체되던 훅 피드백 잠식(R020 8항, #1652 #3)의 advisory 계열 차단. |
 | Advisory (telemetry + advisory) | PostToolUseFailure hook | — (계측+어드바이저리, 규칙 강제 없음) | `failure-ledger.sh` (#1561, v1.1.44) — 실패를 JSONL 원장에 append, 무출력(모델 미도달)·비차단. 같은 이벤트의 `subagent-failure-advisor.sh`(Agent/Task)는 additionalContext advisory 전달 |
 | Advisory (proactive) | UserPromptSubmit hook | R020 (원인 진단) | `fail-axis-cause-advisor.sh` (#1561, v1.1.44) — 원장에 실패 기록이 있는데 원인 진술 없는 재촉 프롬프트가 오면 `hookSpecificOutput.additionalContext`로 "원인 가설 되묻기" advisory 전달. 원장 부재 시 조용히 통과 |
@@ -80,14 +80,14 @@ oh-my-customcode uses an **advisory-first enforcement model**. Most rules are en
 3. **Composability**: External skills and internal rules can coexist without deadlocks
 4. **Post-compact reinforcement**: R007/R008/R009/R010/R018 are re-injected after context compaction via `SessionStart`(matcher `*`/`compact`) — not via the PostCompact event itself[^postcompact]
 
-## Hard Enforcement Candidates — R010 git-delegation-guard (conditional), R007/R008 advisory **implemented & firing** (#1229 UserPromptSubmit, proactive) + **#1545 SubagentStop** (covers subagent stops) + **#1553 PostToolUse** + retroactive Stop-hook (#1190); `additionalContext` 전달 경로는 #1547(v1.1.40)에서 구현됐으나 파서 셀렉터 결함으로 v1.1.42까지 **양 계층 모두 미발화**였고, **v1.1.43에서 수정 완료·발화 확인**(#1553); hard-block variant still candidate if advisory insufficient (#1096). Promoted: rule-deletion-guard.sh (2026-04-08). See details via Read tool.
+## Hard Enforcement Candidates — R007/R008 advisory **implemented & firing** (#1229 UserPromptSubmit, proactive) + **#1545 SubagentStop** (covers subagent stops) + **#1553 PostToolUse** + retroactive Stop-hook (#1190); `additionalContext` 전달 경로는 #1547(v1.1.40)에서 구현됐으나 파서 셀렉터 결함으로 v1.1.42까지 **양 계층 모두 미발화**였고, **v1.1.43에서 수정 완료·발화 확인**(#1553); hard-block variant still candidate if advisory insufficient (#1096). Promoted: rule-deletion-guard.sh (2026-04-08). See details via Read tool.
 
 <!-- DETAIL: Hard Enforcement Candidates (Future)
 If advisory enforcement proves insufficient for specific rules, these are candidates for promotion to hard-block:
 
 | Rule | Candidate Hook | Status | Condition for Promotion |
 |------|---------------|--------|------------------------|
-| R010 | git-delegation-guard.sh | Candidate | If orchestrator-direct-write violations exceed 3/session |
+| R010 | git-delegation-guard.sh | Advisory (not a candidate) | Flags git keywords in delegation prompts to non-mgr-gitnerd agents; does not detect orchestrator direct writes; transcript replays found no clear true positive among residual fires (five borderline), so hard-block promotion is not supported (#1885) |
 | R007/R008 | `r007-r008-drift-advisor.sh` (UserPromptSubmit #1229 + SubagentStop #1545 + PostToolUse #1553) | **Advisory implemented and firing** — proactive pre-response check wired to three trigger points; the SubagentStop leg (#1545) covers subagent stops in no-user-input loops (`/fsd`), and the PostToolUse leg (#1553) covers the orchestrator-only stretch before the first subagent spawn. Retroactive: `session-reflection.sh` (Stop, #1190). Two-layer drift detection: proactive (#1229/#1545/#1553) + retroactive (#1190). **Historical defect (v1.1.40–v1.1.42): delivery path implemented but never fired** — #1547 (v1.1.40) switched delivery from stderr (never model-visible on exit 0) to `hookSpecificOutput.additionalContext` on JSON stdout, non-blocking (no top-level `decision`/`continue`/`stopReason`), but both scripts short-circuited BEFORE emitting: `jq -r '.role'` read a key absent at transcript top level (it is `.message.role`), so `last_assistant` was always empty and the script exited 0 silently. Measured then: 0 `"additionalContext":` occurrences across 771 transcripts; live probe emitted 0 bytes on both streams. **Resolved in v1.1.43** — parser fix on both layers + `PostToolUse` wiring, first fire confirmed by live probe (#1553). Follow-ups: v1.1.44 turn-level R008 prefix counting (#1563), v1.1.45 Skill-tool exemption (#1569), v1.1.49 reverse signal — announce > tool_use, own anchored regex, fires only when ALL tool_use blocks (Skill included) are 0, opt-in via `OMCUSTOM_R008_REVERSE=on` and NOT replicated into `session-reflection.sh` (#1595 #6). | Promote to hard-block if advisory proves insufficient (#1096) |
 
 Promotion requires: (1) measured violation rate data, (2) user approval, (3) rollback plan.
@@ -103,6 +103,6 @@ Promotion requires: (1) measured violation rate data, (2) user approval, (3) rol
 
 | Rule | Interaction |
 |------|-------------|
-| R010 | git-delegation-guard.sh is advisory; could promote to blocking |
+| R010 | git-delegation-guard.sh is model-visible advisory (#1885) |
 | R016 | Violations trigger rule updates, not enforcement changes |
 | SessionStart (compact re-entry) | Re-injects critical rules to combat context compaction amnesia — see [^postcompact] |

package/templates/.claude/settings.json

@@ -510,7 +510,7 @@
             "command": "bash \"${CLAUDE_PROJECT_DIR:-.}/.claude/hooks/scripts/content-hash-validator.sh\""
           }
         ],
-        "matcher": "Read",
+        "matcher": "Read|Edit|Write",
         "description": "Store content hashes for Read operations — enables Edit staleness detection"
       },
       {

package/templates/.claude/skills/model-escalation/SKILL.md

@@ -19,33 +19,37 @@ haiku → sonnet → opus
 
 | Condition | Action |
 |-----------|--------|
-| 2+ failures with same model for same agent type | Advise escalation |
-| 3+ consecutive failures across any agent type | Advise global escalation |
-| Sustained success after escalation | Advise de-escalation |
+| 2+ recorded failures for the same agent type (any model; evaluated only for haiku/sonnet spawns) | Advise escalation |
+| 3+ consecutive failures across any agent type | Advise escalation (per spawn, not global; only when the spawn's `model` parameter is haiku or sonnet) |
+| Sustained success after escalation | Advise de-escalation (opt-in: `OMCUSTOM_MODEL_DEESCALATION=on`) |
 
 ## Thresholds
 
-| Parameter | Default | Description |
-|-----------|---------|-------------|
-| `failure_threshold` | 2 | Failures before escalation advisory |
-| `consecutive_threshold` | 3 | Consecutive failures for global advisory |
-| `cooldown_tasks` | 5 | Successes before de-escalation advisory |
+Hard-coded in `model-escalation-advisor.sh` (not configurable via frontmatter or settings):
+
+| Constant | Value | Description |
+|----------|-------|-------------|
+| `FAILURE_THRESHOLD` | 2 | Failures before escalation advisory |
+| `CONSECUTIVE_THRESHOLD` | 3 | Consecutive failures for the per-spawn advisory |
+| `COOLDOWN` | 5 | Successes before de-escalation advisory (opt-in only) |
+
+Each distinct advisory is shown at most once per session (atomic per-key marker dir `/tmp/.claude-model-advisory-shown-${PPID}.d/`). De-escalation is off by default because `task-outcome-recorder.sh` records every subagent completion as success, so consecutive successes carry no signal.
 
 ## Cost Guard
 
 - Advisory includes estimated cost multiplier
-- De-escalation suggested after sustained success at higher tier
+- De-escalation (opt-in via `OMCUSTOM_MODEL_DEESCALATION=on`) suggested after sustained success at higher tier
 - Cost tracked per session via PPID-scoped temp file
 
 ## Architecture
 
 ```
-PostToolUse (Task) → task-outcome-recorder.sh
-  Records: agent_type, model, success/failure, error_summary
+SubagentStop → task-outcome-recorder.sh (the only wiring; not PostToolUse)
+  Records: agent_type, model ("inherit"), outcome (always success; no failure signal, so the escalation advisory is currently unreachable)
   Storage: /tmp/.claude-task-outcomes-$PPID (JSON lines, max 50)
 
 PreToolUse (Task) → model-escalation-advisor.sh
-  Reads outcomes → counts failures → advises escalation via stderr
+  Reads outcomes → counts failures → advises escalation via additionalContext
   Advisory only — never blocks, never modifies tool input
 ```
 

package/templates/guides/claude-code/15-version-compatibility.md

@@ -2029,7 +2029,7 @@ Opus 4.8에서 thinking blocks가 수정되어 API 오류가 발생하던 버그
 ### 권한 · 훅 · 도구 입력
 
 - CHANGELOG 원문: "Security: Fixed PreToolUse hook approvals and auto mode bypassing the permission prompt for file reads from network (UNC) paths"
-  (292) PreToolUse 훅의 승인과 auto mode가 네트워크(UNC) 경로의 파일 읽기에서 권한 프롬프트를 우회하던 보안 결함이 수정되었습니다. 관측한 범위에서 이 저장소의 훅은 승인 결정 필드를 출력하지 않습니다(`git grep -n permissionDecision -- .claude/hooks` 결과 0건 — 추적되지 않은 `bash-cd-advisor.sh`는 `git grep`에 잡히지 않으며 커밋 후에는 이 필드를 출력하지 않는다고 밝히는 주석 `:30` 1줄이 걸립니다, `.claude/settings.json` 인라인 훅도 `command grep -c permissionDecision` 0; 훅 출력의 `hookSpecificOutput`은 `.claude/hooks/scripts/`의 `claude-md-reinject.sh:74`, `fail-axis-cause-advisor.sh:132`, `r007-r008-drift-advisor.sh:457`, `user-prompt-preprocessor.sh:99`의 jq 출력 식 4곳(v2.0.7 기준)에 더해 v2.0.8에서 `subagent-failure-advisor.sh:60`, `bash-cd-advisor.sh:169`의 jq 출력 식과 `.claude/hooks/hooks.json:20`의 dev-server 인라인 명령 출력이 추가되어 출력 생성 지점은 7곳이며, 모두 `additionalContext` 전달에만 씁니다; `git grep -n hookSpecificOutput -- .claude/hooks`는 작업 트리에서 주석과 `.claude/hooks/hooks.json:249`의 description을 포함해 16줄을 반환하고(v2.0.7: 13줄), 추적되지 않은 `bash-cd-advisor.sh`의 2줄(`:25`, `:169`)을 포함하는 `grep -rn hookSpecificOutput .claude/hooks`는 18줄이므로 커밋 후에는 18줄이 적용됩니다). 또한 이 저장소 실행 환경은 macOS이며 UNC 경로 사용은 관측하지 못했습니다 [가설 — UNC 경로 사용 여부 미관측]. 영향이 없을 것으로 봅니다.
+  (292) PreToolUse 훅의 승인과 auto mode가 네트워크(UNC) 경로의 파일 읽기에서 권한 프롬프트를 우회하던 보안 결함이 수정되었습니다. 관측한 범위에서 이 저장소의 훅은 승인 결정 필드를 출력하지 않습니다(`git grep -n permissionDecision -- .claude/hooks` 결과 0건 — 추적되지 않은 `bash-cd-advisor.sh`는 `git grep`에 잡히지 않으며 커밋 후에는 이 필드를 출력하지 않는다고 밝히는 주석 `:30` 1줄이 걸립니다, `.claude/settings.json` 인라인 훅도 `command grep -c permissionDecision` 0; 훅 출력의 `hookSpecificOutput`은 `.claude/hooks/scripts/`의 `claude-md-reinject.sh:74`, `fail-axis-cause-advisor.sh:132`, `r007-r008-drift-advisor.sh:457`, `user-prompt-preprocessor.sh:99`의 jq 출력 식 4곳(v2.0.7 기준)에 더해 v2.0.8에서 `subagent-failure-advisor.sh:60`, `bash-cd-advisor.sh:169`의 jq 출력 식과 `.claude/hooks/hooks.json:20`의 dev-server 인라인 명령 출력이 추가되어 출력 생성 지점은 7곳이며, 모두 `additionalContext` 전달에만 씁니다; `git grep -n hookSpecificOutput -- .claude/hooks`는 작업 트리에서 주석과 `.claude/hooks/hooks.json:249`의 description을 포함해 16줄을 반환하고(v2.0.7: 13줄), 추적되지 않은 `bash-cd-advisor.sh`의 2줄(`:25`, `:169`)을 포함하는 `grep -rn hookSpecificOutput .claude/hooks`는 18줄이므로 커밋 후에는 18줄이 적용됩니다). 또한 이 저장소 실행 환경은 macOS이며 UNC 경로 사용은 관측하지 못했습니다 [가설 — UNC 경로 사용 여부 미관측]. 영향이 없을 것으로 봅니다. v2.0.9(#1885)에서 PreToolUse advisory 훅 6종이 `additionalContext` 출력으로 바뀌었으므로 위 수치는 v2.0.8 시점의 스냅샷으로 남기고, 현재 값은 2026-10-26 작업 트리에서 다시 쟀습니다: `git ls-files --others --exclude-standard .claude/hooks`가 출력 없음이라 `bash-cd-advisor.sh`는 이제 추적되며, `git grep -n hookSpecificOutput -- .claude/hooks`와 `grep -rn hookSpecificOutput .claude/hooks`가 모두 31줄이고 `git grep -l hookSpecificOutput -- .claude/hooks/scripts`는 스크립트 12개입니다. 출력 생성 지점은 스크립트 12개의 jq 출력 식 12곳과 `.claude/hooks/hooks.json:20` 인라인 명령 1곳을 합해 13곳입니다(v2.0.8의 7곳에 v2.0.9의 6곳이 더해진 값이며, `destructive-git-guard.sh`에는 jq가 없을 때를 위한 python3 대체 출력 식이 `:72`에 1줄 더 있습니다). `git grep -n permissionDecision -- .claude/hooks .claude/settings.json templates/.claude/settings.json`의 히트는 출력하지 않는다고 밝히는 `bash-cd-advisor.sh:30` 주석 1줄뿐입니다.
 - CHANGELOG 원문: "Fixed a skill's or slash command's `allowed-tools` rule coming back in a later turn when you leave auto mode or plan mode partway through that turn"
   (292) auto mode나 plan mode를 턴 도중에 벗어날 때 스킬·슬래시 커맨드의 `allowed-tools` 규칙이 이후 턴에 다시 돌아오던 결함이 수정되었습니다. 관측한 범위(`git grep -n '^allowed-tools:' -- '.claude/skills/*/SKILL.md'`)에서 `allowed-tools`를 선언한 스킬은 2개입니다(`.claude/skills/diagram-design/SKILL.md:12`, `.claude/skills/profile/SKILL.md:7`). 영향 범위가 작고 규칙 문안은 바뀌지 않습니다.
 - CHANGELOG 원문: "Improved hook output handling: `<system-reminder>` tags written in a hook's output are escaped before they reach Claude"
@@ -2246,7 +2246,7 @@ Opus 4.8에서 thinking blocks가 수정되어 API 오류가 발생하던 버그
 - CHANGELOG 원문: "Fixed PostToolUse hooks in managed settings not applying `updatedMCPToolOutput` in some sessions"
   (296) managed settings의 PostToolUse 훅이 일부 세션에서 `updatedMCPToolOutput`을 적용하지 못하던 결함이 수정되었습니다. 이 저장소의 `playwright-compress` 훅이 `updatedMCPToolOutput`을 씁니다(`.claude/hooks/scripts/playwright-compress.sh:81`, 배선 `.claude/settings.json`의 `playwright-compress.sh` 훅 항목). 다만 그 훅은 managed가 아니라 프로젝트 settings에 있으므로 이 수정의 대상이 아닙니다. 프로젝트 settings 경로에서 같은 증상이 있었는지는 관측하지 못했습니다 [가설 — 증상이 managed 한정이라는 CHANGELOG 문구를 따르면 영향 없음]. 또한 이 훅은 입력 JSON 전체를 되돌려 주면서 `updatedMCPToolOutput`을 최상위 키로 넣으며(`.claude/hooks/scripts/playwright-compress.sh:81`의 jq 식), 다른 훅이 쓰는 `hookSpecificOutput` 객체 형태(예: `.claude/hooks/scripts/claude-md-reinject.sh:74`)와 다릅니다. CC가 최상위 위치의 이 키를 적용하는지는 실측하지 않았습니다 [가설 — 훅 적용 전후 MCP 도구 결과를 비교하면 판정].
 - CHANGELOG 원문: "Fixed hook output being altered when it contained text resembling a plugin hint tag"
-  (296) 훅 출력에 플러그인 힌트 태그와 비슷한 텍스트가 있으면 출력이 변형되던 결함이 수정되었습니다. 이 저장소의 advisory 훅은 stdout·stderr로 규칙 경고를 전달하므로(R021 Advisory 계층) 이론상 해당될 수 있으나, 관측한 범위에서 저장소에 `plugin hint` 문자열은 0건입니다(`git grep -n 'plugin hint' -- . ':!guides/claude-code/15-version-compatibility.md' ':!templates/guides/claude-code/15-version-compatibility.md'` rc=1). 훅 출력이 실행 시점에 이런 텍스트를 포함하는지는 관측하지 않았으므로, 영향은 없을 것으로 보되 [가설 — 실제 훅 출력 내용으로 판정]입니다.
+  (296) 훅 출력에 플러그인 힌트 태그와 비슷한 텍스트가 있으면 출력이 변형되던 결함이 수정되었습니다. 이 저장소의 advisory 훅은 stdout·stderr로 규칙 경고를 전달하므로(R021 Advisory 계층) 이론상 해당될 수 있으나, 관측한 범위에서 저장소에 `plugin hint` 문자열은 0건입니다(`git grep -n 'plugin hint' -- . ':!guides/claude-code/15-version-compatibility.md' ':!templates/guides/claude-code/15-version-compatibility.md'` rc=1). 훅 출력이 실행 시점에 이런 텍스트를 포함하는지는 관측하지 않았으므로, 영향은 없을 것으로 보되 [가설 — 실제 훅 출력 내용으로 판정]입니다. 다만 v2.0.9(#1885)부터 PreToolUse advisory 훅 6종은 stderr가 아니라 stdout JSON `additionalContext`로만 경고하므로 위 "stdout·stderr" 서술 중 이 6종에 대한 부분은 v2.0.8까지의 상태입니다(상세는 `claude_code.safety_event` OpenTelemetry 이벤트를 다룬 (307) 항목 끝의 v2.0.9 설명). 다른 훅 스크립트 27개는 여전히 `>&2`를 씁니다(`git grep -l '>&2' -- .claude/hooks/scripts | wc -l` = 27).
 - CHANGELOG 원문: "Fixed Esc or an interrupt during a `UserPromptSubmit` hook or a mod's `prompt.submit` hook ending headless sessions, clearing the typed prompt, or letting the unchecked prompt through"
   (296) `UserPromptSubmit` 훅이나 mod의 `prompt.submit` 훅이 실행되는 동안의 Esc·인터럽트가 headless 세션을 끝내거나 입력한 프롬프트를 지우거나 검사되지 않은 프롬프트를 통과시키던 결함이 수정되었습니다. 이 저장소는 `UserPromptSubmit` 훅 4개(`user-prompt-preprocessor.sh`, `r007-r008-drift-advisor.sh`, `session-autofix-prompt.sh`, `fail-axis-cause-advisor.sh`)를 배선합니다(`.claude/settings.json`의 `UserPromptSubmit` 블록). 특히 R007/R008 drift advisor와 원인 되묻기 advisor가 이 이벤트에 걸려 있으므로, 구버전의 인터럽트 시 "검사되지 않은 프롬프트 통과"는 advisory 전달 누락의 가능한 경로였습니다 [가설 — 해당 인터럽트 시나리오의 실제 발생은 미관측]. 룰 변경은 필요하지 않습니다.
 - CHANGELOG 원문: "Fixed SessionStart hooks of a plugin loaded after a headless session starts being skipped when a different plugin with the same name, or another spelling of it, had already run"
@@ -2777,7 +2777,7 @@ Opus 4.8에서 thinking blocks가 수정되어 API 오류가 발생하던 버그
 ### 텔레메트리
 
 - CHANGELOG 원문: "Added the `claude_code.safety_event` OpenTelemetry event for each tool call a permission rule, auto mode, a safety check, a hook or the sandbox stopped, prompted or sent back"
-  (307) 권한 규칙·auto mode·안전 검사·훅·샌드박스가 도구 호출을 멈추거나, 확인을 요청하거나, 되돌려 보낼 때마다 발생하는 `claude_code.safety_event` OpenTelemetry 이벤트가 추가되었습니다. 이 저장소의 `monitoring-setup` 스킬은 2.1.307이 속하는 「2.1.282 이상」 갈래(`.claude/skills/monitoring-setup/SKILL.md:58`)에서 `CLAUDE_CODE_ENABLE_TELEMETRY`·`OTEL_METRICS_EXPORTER`·`OTEL_LOGS_EXPORTER`를 console로 켜는 env 블록(`:66`~`:68`)을 user-scope 설정이나 셸 export로 배치하도록 안내합니다(`:73`~`:74`). 원문은 이 이벤트가 어느 exporter로 나가는지 밝히지 않으므로, 그 절차로 켠 console 출력에 이 이벤트가 나타나는지는 [가설 — 텔레메트리를 켠 세션에서 훅 차단 1건을 일으켜 console 출력에 `claude_code.safety_event`가 찍히는지 확인하면 판정 가능]입니다. R021 표는 Hard Block 훅으로 stage-blocker, dev-server tmux, rule-deletion-guard를 들었습니다(v2.0.7 기준 `.claude/rules/MUST-enforcement-policy.md:19`, 보이는 텍스트; v2.0.8부터 dev-server는 이 행에서 빠져 현재 `:19`는 stage-blocker, rule-deletion-guard입니다). 이 중 `exit 2`로 끝나는 차단 경로가 코드에서 확인되는 것은 `.claude/hooks/scripts/stage-blocker.sh:13`과 `.claude/hooks/scripts/rule-deletion-guard.sh`의 `exit 2` 경로(`legacy_check`의 차단 분기들과 분석기 차단 분기, 내용 앵커)이며(`git show HEAD:.claude/hooks/scripts/stage-blocker.sh | grep -n 'exit 2'`, `git grep -n 'exit 2' -- .claude/hooks/scripts/rule-deletion-guard.sh`), 이 이벤트는 이 두 훅이 도구 호출을 멈춘 경우를 세는 결정론적 소스 후보입니다. dev-server tmux 훅은 `.claude/settings.json`의 dev-server 인라인 명령(v2.0.7 기준 `:52`)이 `exit 1`로 끝나므로(`git show 060613cd:.claude/settings.json | awk 'NR==52' | grep -o -E 'exit [0-9]+'` = `exit 1`; v2.0.8에서 이 훅은 항상 `exit 0`인 advisory로 바뀌어 도구 호출을 멈추지 않고, 포그라운드 dev server가 tmux·run_in_background·nohup·`&` 밖에서 명령 위치로 시작될 때만 모델에 `additionalContext`를 전달하며 R021 Hard Block 행에서 빠집니다) 실제로 도구 호출을 멈추는지는 #1775 코멘트(https://github.com/baekenough/oh-my-customcode/issues/1775#issuecomment-6404861043)에서 실측되었습니다: PreToolUse 훅 `exit 1`은 도구가 실행되었고 훅 stderr는 모델에 전달되지 않았습니다(CC 2.1.310, `claude -p`, haiku, 1회 실행 — 조건이 좁은 단일 관측). 이 이벤트가 그 훅에 대해 기록되는지는 [가설 — 텔레메트리를 켠 세션에서 판정 가능]입니다. R010 「Subagent Scope-Creep STOP Protocol」의 2회 trip 계수(`.claude/rules/MUST-orchestrator-coordination.md:262`, 보이는 텍스트)에도 쓸 수 있을지는, 이 이벤트가 서브에이전트의 classifier trip을 다른 차단과 구분해 기록하는지 원문이 밝히지 않으므로 [가설 — 이벤트 속성에 차단 주체와 에이전트 식별자가 있는지 확인하면 판정 가능]입니다. R021 표의 `failure-ledger.sh`(`.claude/rules/MUST-enforcement-policy.md:24`, 보이는 텍스트)는 PostToolUseFailure 훅으로 도구 실패를 원장에 남기는 별도 장치이며, 관측한 범위(`git grep -n safety_event HEAD -- . ':!guides/claude-code/15-version-compatibility.md' ':!templates/guides/claude-code/15-version-compatibility.md'` 0건)에서 이 저장소는 아직 이 이벤트를 참조하지 않습니다.
+  (307) 권한 규칙·auto mode·안전 검사·훅·샌드박스가 도구 호출을 멈추거나, 확인을 요청하거나, 되돌려 보낼 때마다 발생하는 `claude_code.safety_event` OpenTelemetry 이벤트가 추가되었습니다. 이 저장소의 `monitoring-setup` 스킬은 2.1.307이 속하는 「2.1.282 이상」 갈래(`.claude/skills/monitoring-setup/SKILL.md:58`)에서 `CLAUDE_CODE_ENABLE_TELEMETRY`·`OTEL_METRICS_EXPORTER`·`OTEL_LOGS_EXPORTER`를 console로 켜는 env 블록(`:66`~`:68`)을 user-scope 설정이나 셸 export로 배치하도록 안내합니다(`:73`~`:74`). 원문은 이 이벤트가 어느 exporter로 나가는지 밝히지 않으므로, 그 절차로 켠 console 출력에 이 이벤트가 나타나는지는 [가설 — 텔레메트리를 켠 세션에서 훅 차단 1건을 일으켜 console 출력에 `claude_code.safety_event`가 찍히는지 확인하면 판정 가능]입니다. R021 표는 Hard Block 훅으로 stage-blocker, dev-server tmux, rule-deletion-guard를 들었습니다(v2.0.7 기준 `.claude/rules/MUST-enforcement-policy.md:19`, 보이는 텍스트; v2.0.8부터 dev-server는 이 행에서 빠져 현재 `:19`는 stage-blocker, rule-deletion-guard입니다). 이 중 `exit 2`로 끝나는 차단 경로가 코드에서 확인되는 것은 `.claude/hooks/scripts/stage-blocker.sh:13`과 `.claude/hooks/scripts/rule-deletion-guard.sh`의 `exit 2` 경로(`legacy_check`의 차단 분기들과 분석기 차단 분기, 내용 앵커)이며(`git show HEAD:.claude/hooks/scripts/stage-blocker.sh | grep -n 'exit 2'`, `git grep -n 'exit 2' -- .claude/hooks/scripts/rule-deletion-guard.sh`), 이 이벤트는 이 두 훅이 도구 호출을 멈춘 경우를 세는 결정론적 소스 후보입니다. dev-server tmux 훅은 `.claude/settings.json`의 dev-server 인라인 명령(v2.0.7 기준 `:52`)이 `exit 1`로 끝나므로(`git show 060613cd:.claude/settings.json | awk 'NR==52' | grep -o -E 'exit [0-9]+'` = `exit 1`; v2.0.8에서 이 훅은 항상 `exit 0`인 advisory로 바뀌어 도구 호출을 멈추지 않고, 포그라운드 dev server가 tmux·run_in_background·nohup·`&` 밖에서 명령 위치로 시작될 때만 모델에 `additionalContext`를 전달하며 R021 Hard Block 행에서 빠집니다) 실제로 도구 호출을 멈추는지는 #1775 코멘트(https://github.com/baekenough/oh-my-customcode/issues/1775#issuecomment-6404861043)에서 실측되었습니다: PreToolUse 훅 `exit 1`은 도구가 실행되었고 훅 stderr는 모델에 전달되지 않았습니다(CC 2.1.310, `claude -p`, haiku, 1회 실행 — 조건이 좁은 단일 관측). 이 이벤트가 그 훅에 대해 기록되는지는 [가설 — 텔레메트리를 켠 세션에서 판정 가능]입니다. R010 「Subagent Scope-Creep STOP Protocol」의 2회 trip 계수(`.claude/rules/MUST-orchestrator-coordination.md:262`, 보이는 텍스트)에도 쓸 수 있을지는, 이 이벤트가 서브에이전트의 classifier trip을 다른 차단과 구분해 기록하는지 원문이 밝히지 않으므로 [가설 — 이벤트 속성에 차단 주체와 에이전트 식별자가 있는지 확인하면 판정 가능]입니다. R021 표의 `failure-ledger.sh`(`.claude/rules/MUST-enforcement-policy.md:24`, 보이는 텍스트)는 PostToolUseFailure 훅으로 도구 실패를 원장에 남기는 별도 장치이며, 관측한 범위(`git grep -n safety_event HEAD -- . ':!guides/claude-code/15-version-compatibility.md' ':!templates/guides/claude-code/15-version-compatibility.md'` 0건)에서 이 저장소는 아직 이 이벤트를 참조하지 않습니다. v2.0.9(#1885)에서는 위 #1775 후속 프로브(https://github.com/baekenough/oh-my-customcode/issues/1775#issuecomment-6405197553, CC 2.1.310, `claude -p`, haiku, 1회 실행 — 조건이 좁은 단일 관측)와 공식 문서의 "Claude never sees stderr from a hook that exits 0."를 근거로, exit 0 stderr로만 경고하던 PreToolUse advisory 훅 6종(`destructive-git-guard.sh`, `model-escalation-advisor.sh`, `content-hash-validator.sh`의 Edit 경로, `agent-teams-advisor.sh`, `schema-validator.sh`, `git-delegation-guard.sh`)이 경고할 때 stdout JSON 1줄 `hookSpecificOutput.additionalContext`를 내도록 바뀌었습니다. 경고할 것이 없으면 아무것도 출력하지 않고, PreToolUse 경로의 stdin 패스스루는 없앴으며, 종료 코드는 계속 0입니다. 전환 전 발화 빈도는 최근 8개 세션의 메인 트랜스크립트를 샌드박스에서 재생해 쟀습니다. 첫 스냅샷은 도구 호출 2347건(Bash 입력 1187건, Bash·Write·Edit 입력 1196건)이었고, 이 값은 트랜스크립트가 자라기 전의 첫 스냅샷으로만 읽어야 합니다. `git-delegation-guard.sh`는 트랜스크립트가 늘어난 시점마다 같은 8개 세션의 메인 트랜스크립트로 다시 쟀습니다. 이력은 162/736(첫 실행, 중복 제거 없음), 163/740, 165/747 → 22(`tool_use` id로 중복 제거)이고, 현재 값은 최종 스크립트의 재생 결과인 전환 전 167 → 전환 후 23(입력 752건 중)입니다. 23건은 오탐 18건과 경계 사례 5건이고 명백한 진양성은 0건입니다. 오탐 18건은 산문·인용문·예시 14건, 이 훅의 머리말 문구를 다룬 브리프 1건, 버전 측정 참조로 쓴 `git tag` 2건, 키워드가 뒤에 오는 어순의 금지문 "(`git add`, `reset`, `restore` 금지)" 1건입니다. 경계 사례 5건은 에이전트에게 임시 픽스처·프로브 저장소 안에서 git commit/add를 실행하라고 한 경우입니다. 서브에이전트 트랜스크립트 746개에는 Agent 호출이 0건이므로 이 훅의 코퍼스는 성질상 메인 트랜스크립트뿐입니다. 전환 전 발화는 대부분 이 저장소가 위임 프롬프트에 요구하는 금지 목록과 `git branch --list` 사전 실측 리터럴에 반응한 것이었습니다. 제외 분류는 스크립트 머리말 기준으로 (a) 같은 줄에서 키워드 앞의 부정 토큰(영어 not·never·no·don't·avoid·without·forbidden·prohibited는 단어 단위이고 `--no-rebase`·`no-op` 같은 하이픈·밑줄 포함 단어는 제외하며, 한국어는 금지·말 것·하지 마 부분 문자열, 과하게 넓었던 단독 "않"은 뺐습니다), (b) 금지 블록(Forbidden·Prohibited·Do not·Don't·Never·Avoid·금지·하지 말 것으로 시작하는 머리말; 콜론 머리말은 콜론 뒤가 공백이나 줄 끝일 때만 인정하고 다음 빈 줄 또는 다음 비금지 라벨 줄(`Allowed: …`, `Steps:`, `**Steps**:`)까지이며 `Never: …` 같은 금지 라벨은 블록을 잇고(757건 재생에서 이 보강으로 결과가 바뀐 입력은 0건, 마지막 전체 측정은 167 → 23/752), 같은 단어로 시작하는 마크다운 제목은 제목 직후 빈 줄을 건너뛴 첫 문단 또는 목록만 덮고 빈 줄·다음 제목·라벨 줄에서 끝납니다; 한국어 머리말 단어는 경계가 필요해 `금지어`는 머리말이 아니며, ``` 펜스 안의 줄은 블록을 열거나 닫지 않습니다), (c) 읽기 전용 조회(`git branch --list|-l|--show-current|--contains|--all|--merged|--no-merged|-a|-r|-v|-vv`는 같은 명령에 -d·-D·--delete·-m·-M·-c·-C가 없을 때만, `git tag --list|-l|--contains|--points-at|--sort`, 그리고 명사로 쓰인 맨 `git tag`·`git branch`)입니다. 키워드는 앞뒤 경계를 요구해 `git merge-base`는 `git merge`에 걸리지 않고 "legit commit"은 `git commit`에 걸리지 않으며, 공백이 든 따옴표 인자를 포함한 `git -C <path>`·`git -c k=v` 옵션 묶음은 먼저 벗겨 `git -C /repo commit`을 `git commit`과 같게 다룹니다. 알려진 위음성(부정어 뒤 같은 줄의 실제 명령, 빈 줄 없는 콜론 금지 블록이나 Forbidden 제목 아래 첫 문단·목록 안의 실제 명령)과 알려진 오탐("git commit 금지" 어순)은 스크립트 머리말이 수용된 절충으로 적고 있습니다. 경고 문구는 조건형("… mentions '<keyword>' — if this delegates a git operation, route it to mgr-gitnerd (R010)")으로 바꿨습니다. 명백한 진양성이 없는데도 모델에 보이게 둔 이유는 설치된 프로젝트의 기저 비율이 이 저장소와 다르기 때문이라는 것이며 [가설 — 설치 프로젝트의 위임 프롬프트 분포 미측정]입니다. 세션 누적 횟수 줄은 횟수가 3 이상이고 원자적 마커 디렉터리 `/tmp/.claude-r010-threshold-${PPID}`를 이번 발화가 만들었을 때 세션당 한 번만 나옵니다. 상태가 필요 없는 훅의 메인 트랜스크립트 첫 스냅샷 결과는 `destructive-git-guard.sh` 0/1187(Bash 입력), `schema-validator.sh` 0/1196(Bash·Write·Edit 입력)이며, 이 "측정된 0"은 메인 트랜스크립트에 한정됩니다. 서브에이전트 트랜스크립트(Bash·Write·Edit 호출 9,875건)에서 재생하면 `destructive-git-guard.sh`는 4건 발화했고 그중에 실제 `git branch -D`가 있었으며, `schema-validator.sh`는 17건 발화했는데 15건이 일반 절대 경로에 걸린 "recursive delete from root" 오탐이었습니다. v2.0.9는 이 패턴을 루트 자체로 좁혔습니다(`rm\s+-rf\s+["']?/["']?(\s|\*|[;&|)]|$)`, 곧 선택적 따옴표로 감싼 `/`와 `/*`이며 `/tmp/x` 같은 일반 절대 경로는 계속 무시합니다). `destructive-git-guard.sh`는 `git reset --hard`, 단축 플래그 묶음에 `f`가 든 `git clean`(`-f`·`-df`·`-xdf`·`-fdX` 등)과 `--force`, `checkout -- .`·`*`·`/`, `branch -D`를 감지하고, `git restore`는 경로 하나만 준 형태를 포함해 어떤 형태든 감지합니다(R001이 `--source` 없는 `git restore <path>`를 파괴적으로 보기 때문입니다). `git clean -nf`도 git은 dry run으로 다루지만 보수적으로 발화하고, `-n`·`--dry-run`·`-nd`는 조용합니다. 모든 형태가 따옴표 경로를 포함한 `git -C <path>`·`git -c k=v`를 받으며, 횟수 줄은 `/tmp/.claude-destructive-git-threshold-${PPID}` 마커로 같은 방식으로 한 번만 냅니다. 문구는 "(advisory telemetry; R021 promotion needs user approval)"이며 승격을 주장하지 않습니다. 나머지 3종의 0회는 샌드박스 재생이 세션 상태를 심지 않아 생긴 산물이지 측정이 아닙니다. `model-escalation-advisor.sh`는 `/tmp/.claude-task-outcomes-$PPID`가 있어야 발화합니다. `agent-teams-advisor.sh`는 env-status 파일(`/tmp/.claude-env-status-$PPID`)이 있으면서 `agent_teams=enabled`가 아닐 때만 건너뛰고 파일이 없으면 진행하므로, 재생에 없던 상태는 PPID별 작업 카운터(2번째 호출부터)나 workflow·release-plan 파일입니다. `content-hash-validator.sh`는 앞선 Read가 남긴 해시 저장소가 필요합니다. `content-hash-validator.sh`는 이제 PostToolUse의 Read·Edit·Write가 모두 해시를 갱신하므로 Edit·Write 도구로 한 모델 자신의 편집은 더 이상 경고를 일으키지 않습니다. 리뷰어의 모델 기반 추정으로는 Edit의 약 55%가 이 오탐 조건이었습니다 [가설 — 모델 기반 추정, 트랜스크립트 실측 아님]. 이후 파일을 다시 쓰는 병렬 PostToolUse 포매터 훅이나 Bash 편집은 여전히 경고를 일으킬 수 있습니다. 저장소는 경로별 원자적 파일 `/tmp/.claude-content-hashes-${PPID}.d/<cksum>`(1행 해시, 2행 경로, 임시 파일 후 `mv`)이며 링 버퍼는 없습니다. 병렬 저장이 exit 1·stderr 누출·항목 유실을 일으키던 문제는 리뷰어 측정으로 전 68/240 실패에서 후 0/240이 되었습니다. 이벤트명이 없는 Edit도 검증하고, 대조는 고정 문자열이며, hooks.json의 description은 소유 키라서 바꾸지 않았습니다. `model-escalation-advisor.sh`와 `agent-teams-advisor.sh`는 서로 다른 advisory를 세션당 최대 한 번만 보입니다. 같은 세션에서 `model-escalation-advisor`가 동일한 강등 advisory("sonnet → haiku, 5 consecutive successes")를 연속 Agent 스폰 4건 모두에 낸 관측이 이유입니다. 키에는 횟수를 넣지 않으며 `model-escalation-advisor.sh`의 키는 `esc:<agent>:<from>-><to>`와 `deesc:<from>-><to>`, `agent-teams-advisor.sh`의 키는 `batch:<N>`과 `repeat`입니다. 보인 키는 키별 원자적 마커 디렉터리 `/tmp/.claude-model-advisory-shown-${PPID}.d/<cksum>`, `/tmp/.claude-teams-advisory-shown-${PPID}.d/<cksum>`로 기록합니다. 한 파일에 줄을 덧붙이던 초기 방식을 대체해 병렬 이중 발화와 개행 키 오염을 없앴습니다. "세션당 한 번"은 마커 디렉터리가 있거나 만들 수 있을 때 성립하며, 만들 수 없으면 advisory가 반복되는 fail-open이고 이미 있는 읽기 전용 마커 디렉터리는 advisory를 조용하게 만듭니다. 강등 advisory는 `OMCUSTOM_MODEL_DEESCALATION=on`일 때만 나옵니다. `task-outcome-recorder`가 SubagentStop에서만 돌며 모든 완료를 success로 기록하므로 "연속 N회 성공"은 에이전트 N개가 끝났다는 뜻일 뿐이기 때문입니다. 승격 advisory는 haiku·sonnet 스폰에서만 평가되고 기록기는 실패를 남기지 않으므로 현재는 도달할 수 없습니다. `agent-teams-advisor.sh`는 손상된 숫자 상태를 정리한 뒤 계산합니다. 이 세션에서 작업 트리 변경 후 오케스트레이터 모델은 `model-escalation-advisor`의 강등 advisory(강등 옵트인 변경 전의 중간 작업 트리에서 받은 것이며, 최종 코드의 기본 설정에서는 승격이 도달 불가이고 강등이 옵트인이라 이 훅은 어떤 advisory도 내지 못합니다. 이 반복이 중복 제거와 옵트인 도입의 계기였습니다)와 `git-delegation-guard`의 advisory를 두 차례 훅 additional context로 받았고(`git reset`이 든 arch-documenter 브리프, `git add`가 든 mgr-updater 브리프), 이후 스폰에서도 같은 종류가 더 전달되었으며 정확한 총 횟수는 세지 않았습니다. 서브에이전트 1개는 `schema-validator`의 advisory를 받았습니다(나머지 3종의 모델 도달은 직접 관측하지 않았습니다). `git-delegation-guard`의 이 전달들은 모두 산문 언급에 걸린 오탐이었습니다. 위 (292) 항목(UNC 경로 읽기 우회 수정)의 `hookSpecificOutput` 줄 수·생성 지점 수는 이 변경으로 v2.0.8 시점 스냅샷이 되었고 현재 값은 그 항목 끝에 다시 적었습니다.
 
 기타 31건 — 이 저장소 비해당으로 판단한 항목입니다: Claude API 코드를 API 버전 `2026-10-21`로 옮기는 옵트인 명령 `/claude-api api-version`, 맞춤 `ANTHROPIC_BASE_URL` 게이트웨이 뒤와 Foundry에서의 `prompt-caching-scope` 헤더(저장소가 추적하는 `.claude/settings.json`·`templates/.claude/settings.json`에 `ANTHROPIC_BASE_URL` 0건, `git grep -c ANTHROPIC_BASE_URL HEAD -- .claude/settings.json templates/.claude/settings.json` rc=1), Agent SDK 전용 항목(백그라운드 작업이 도는 동안 턴이 때때로 SDK MCP 서버의 최신 도구 없이 시작되던 결함, API 확인이 5초를 넘을 때의 `setModel()` 대기), cloud sessions·self-hosted runner 전용 항목(재시작 뒤 `/autocompact` 창 유지, 재시작 시 `/clear`한 대화가 때때로 되살아나던 결함, 웹 검색 403 사유 표시, 데스크톱 앱 MCP 연결 실패 시의 첫 응답 지연, checkout 훅·인증서·git proxy 등), Claude apps gateway 전용 항목(`CLAUDE_STREAM_FIRST_BYTE_TIMEOUT_MS`, Desktop 텔레메트리), 앱·도구 연동 세부(Cowork cloud 세션의 WebFetch, 데스크톱 앱 Code 탭의 GitHub MCP 양식, Artifact 도구 읽기의 연결 재사용), CLI 브라우저 로그인 성공 페이지가 뜨는 시점, 큰 붙여넣기 이미지·PDF 읽기가 든 세션의 Remote Control 연결 시간, `/help`·`/` 메뉴의 번들 스킬 설명 표시, WebSearch 예산 소진 안내 문구, VSCode·Cloud sessions·Code Review 전용 항목. 기능어 표본 검색(`git grep -l -i -E 'api-version|prompt-caching-scope|setModel|createSdkMcpServer|CLAUDE_STREAM_FIRST_BYTE_TIMEOUT_MS|OTEL_EXPORTER_OTLP_HEADERS|Cowork|remote.control|checkout-hook|use-anthropic-git-proxy|self-hosted|WebSearch budget' HEAD -- .claude CLAUDE.md .github package.json`)의 히트 파일은 `.claude/rules/` 아래 8개와 `.github/scripts/send-report.ts` 하나이며, 후자의 히트는 GitHub REST 요청 헤더 `X-GitHub-Api-Version`(`:44`)의 부분 문자열 일치입니다. 룰 파일 8개의 히트는 문맥별로 판정하지 않았고, 기능어가 없는 표시·성능 항목도 검색으로 판정하지 않았습니다. 항목별 저장소 측정은 위 본문 항목에 한해 실행했으므로, 이 31건의 비해당 분류는 [가설 — 룰 파일 8개 히트의 문맥과 기능어 없는 항목의 관련 경로를 항목별로 읽으면 판정 가능]입니다. 실측: `gh release view v2.1.307 --repo anthropics/claude-code --json body --jq .body | grep -c '^- '` = 43건 중 위 본문 12건을 다뤘으므로 43 − 12 = 31건입니다. 계수 범위는 해당 릴리즈 노트의 최상위 불릿 줄(`- `로 시작하는 줄)입니다.
 

package/templates/guides/git-safety/README.md

@@ -94,4 +94,7 @@ safe_reset() {
 
 ### Destructive op detection (advisory)
 
-See `.claude/hooks/scripts/git-delegation-guard.sh` for the existing R010 advisory pattern. A future `destructive-git-guard.sh` (T2 from #1146, deferred) will add R001 destructive-op-specific warnings.
+Two advisory PreToolUse hooks cover this area; both always exit 0 and never block. Since #1885 each delivers its warning as stdout JSON `hookSpecificOutput.additionalContext` (visible to the model) and prints nothing when silent.
+
+- `.claude/hooks/scripts/destructive-git-guard.sh` (T2 from #1146) warns before Bash commands that can discard work (R001): `git reset --hard`, `git clean` with any short-flag cluster containing `f` (`-f`, `-df`, `-xdf`, ...) or `--force`, `git restore` in any form (R001 treats even `git restore <path>` without `--source` as destructive), `git checkout -- .`/`*`/`/`, and `git branch -D`. All forms accept `git -C <path>` (quoted paths too) and `git -c k=v`. `git clean -nf` also fires (conservative); `-n`, `--dry-run` and `-nd` stay silent. The count line (`/tmp/.claude-destructive-git-threshold-${PPID}` marker) appears once per session when the count reaches 3.
+- `.claude/hooks/scripts/git-delegation-guard.sh` flags git write keywords (commit, branch, checkout, merge, tag, ...) in delegation prompts sent to agents other than `mgr-gitnerd` (R010). It skips keywords after a negation on the same line, keywords inside a prohibition block (a `Forbidden:`-style colon header runs to the next blank line or the next non-prohibition label line such as `Allowed:` or `Steps:`, while a prohibition label like `Never:` continues it; a `Forbidden`-style markdown heading covers only its first paragraph or list), read-only `git branch`/`git tag` queries (`--list`, `-l`, `--contains`, `--show-current`, `-a`, `-r`, `-v`, ...; for `git branch` only, not when the same command also has `-d`/`-D`/`--delete`/`-m`/`-M`/`-c`/`-C`), and bare `git tag`/`git branch` used as a noun. ``` fences never open or close blocks. `git -C <path>` and `git -c k=v` (quoted arguments too) are stripped first, and keywords need word boundaries (`git merge-base` and "legit commit" do not match). The count line appears once per session when the count reaches 3.

package/templates/guides/middleware-patterns/README.md

@@ -25,9 +25,9 @@ LangChain이 정의한 6개의 lifecycle hook은 다음과 같습니다. 각 단
 | `before_agent` | 에이전트 전체 실행 시작 전 | `SessionStart`, `UserPromptSubmit` hook | MEMORY.md 자동 주입 |
 | `before_model` | 모델 호출 직전 (매 추론 루프마다) | `PreToolUse(Agent)`, pre-generation-arch-check | pre-generation-arch-check 스킬 |
 | `wrap_model_call` | 모델 호출 자체를 래핑 (실제 호출 제어) | Tier 4 permission approval (Bash/WebFetch) | permission hooks, bypassPermissions 게이트 |
-| `wrap_tool_call` | 도구 호출을 래핑 (전후 모두 제어) | `PreToolUse(*) + PostToolUse(*)` | action-validator, task-outcome-recorder |
+| `wrap_tool_call` | 도구 호출을 래핑 (전후 모두 제어) | `PreToolUse(*) + PostToolUse(*)` | action-validator |
 | `after_model` | 모델 응답 수신 직후 | `PostToolUse(Agent)`, result-aggregation | result-aggregation 스킬, evaluator-optimizer |
-| `after_agent` | 에이전트 전체 실행 완료 후 | `Stop`, `SubagentStop`, post-release-followup | SubagentStop 어드바이저리 훅 (omcustom-loop 참조) |
+| `after_agent` | 에이전트 전체 실행 완료 후 | `Stop`, `SubagentStop`, post-release-followup | SubagentStop 어드바이저리 훅 (omcustom-loop 참조), task-outcome-recorder.sh |
 
 ### 매핑 해설
 
@@ -158,9 +158,8 @@ oh-my-customcode에서 이 패턴은 R004의 재시도 정책으로 명문화되
 | `PreToolUse(*)` | 훅 이벤트 | 모든 도구 호출 직전 검증 |
 | `PostToolUse(*)` | 훅 이벤트 | 모든 도구 호출 직후 결과 기록 |
 | `action-validator` | 스킬 | 에이전트가 선언된 도구 범위 내에서 실행하는지 pre-flight 검사 |
-| `task-outcome-recorder` | 스킬 | 도구 호출 결과를 구조화된 형식으로 기록 |
 | rule-deletion-guard.sh | 훅 스크립트 | 규칙 파일 삭제 시도 하드 블록 (exit 2) |
-| `git-delegation-guard.sh` | 훅 스크립트 | git 직접 실행 시도 감지 및 경고 |
+| `git-delegation-guard.sh` | 훅 스크립트 | mgr-gitnerd 외 에이전트로 보내는 위임 프롬프트의 git 쓰기 키워드(commit, branch, checkout 등) 감지 및 어드바이저리 전달 (additionalContext, 차단 없음) |
 
 ### after_model 단계
 
@@ -178,6 +177,7 @@ oh-my-customcode에서 이 패턴은 R004의 재시도 정책으로 명문화되
 |---|---|---|
 | `Stop` hook | 훅 이벤트 | 세션 종료 시 메모리 저장 권고 |
 | `SubagentStop` hook | 훅 이벤트 | 서브에이전트 완료 후 결과 기록·어드바이저리 출력 (오케스트레이터 워크플로 계속 프롬프트 주입 없음) |
+| `task-outcome-recorder.sh` | 훅 스크립트 (SubagentStop) | 서브에이전트 완료 기록(항상 outcome=success) |
 | `omcustom-loop` | 스킬 | SubagentStop 훅 어드바이저리 안내 (오케스트레이터 워크플로 계속 프롬프트 주입 없음) |
 | sys-memory-keeper | 에이전트 | 세션 종료 시 MEMORY.md 업데이트 |
 | `SubagentStart` hook | 훅 이벤트 | 서브에이전트 시작 시 HUD 이벤트 발행 |

package/templates/guides/multi-model-routing/README.md

@@ -117,13 +117,7 @@ When a task fails at a lower model tier, escalate. Escalation is executed by re-
 haiku → sonnet → opus
 ```
 
-Configuration in agent frontmatter:
-```yaml
-escalation:
-  enabled: true
-  path: haiku → sonnet → opus
-  threshold: 2  # failures before escalation advisory
-```
+There is no agent-frontmatter switch for escalation: `model-escalation-advisor.sh` reads no frontmatter, its thresholds are hard-coded constants in the script, and it evaluates every haiku/sonnet spawn. It is currently unreachable because the outcome recorder never writes failures. See the `model-escalation` skill.
 
 ## Fast Mode Interaction
 

package/templates/manifest.json

@@ -1,5 +1,5 @@
 {
-  "version": "2.0.8",
+  "version": "2.0.9",
   "lastUpdated": "2026-10-06",
   "omcustomMinClaudeCode": "2.1.121",
   "omcustomMinClaudeCodeReason": "Sensitive-path direct Write/Edit on .claude/** under bypassPermissions (R010 deprecation, #1101)",