pi-codex-auto-review 0.1.0

package/dist/tools/mcp.js

@@ -0,0 +1,186 @@
+import { randomUUID } from 'node:crypto';
+import { join } from 'node:path';
+import { createMcpExtension } from '@earendil-works/pi-coding-agent';
+import { canonicalJson, digest, GuardError } from '../contracts.js';
+import { externalInvocations } from './external.js';
+export function guardedExternalExtension(input, controller) {
+    const factory = typeof input.extension === 'function' ? input.extension : input.extension.factory;
+    const guarded = api => factory(new Proxy(api, { get(target, key, receiver) {
+            if (key === 'registerTool')
+                return (definition) => target.registerTool(controller().wrapExternalTool(definition, () => input.identifyTool(definition)));
+            return Reflect.get(target, key, receiver);
+        } }));
+    return typeof input.extension === 'function' ? guarded : { ...input.extension, factory: guarded };
+}
+function record(value) { return value && typeof value === 'object' && !Array.isArray(value) ? value : {}; }
+function optionalText(value) { return typeof value === 'string' && value.length ? value : undefined; }
+function guardedTransport(base, server, registration, catalog, policies) {
+    const pending = new Map();
+    const active = new Map();
+    let generation = 0;
+    const captureTools = (tools) => {
+        if (!Array.isArray(tools))
+            throw new GuardError('INVALID_MCP_CATALOG', 'MCP tools/list did not return tools');
+        for (const raw of tools) {
+            const tool = record(raw), meta = record(tool._meta);
+            if (typeof tool.name !== 'string' || !tool.name)
+                throw new GuardError('INVALID_MCP_CATALOG', 'MCP tool has no identity');
+            const override = policies[`${server}/${tool.name}`];
+            const identity = {
+                kind: 'mcp',
+                server, tool: tool.name, registration: `${registration}:${generation}:${digest(JSON.parse(JSON.stringify(tool)))}`,
+                ...(optionalText(meta.connector_id) ? { connectorId: meta.connector_id } : {}),
+                ...(optionalText(meta.account) ? { account: meta.account } : {}),
+                ...(override?.approvalMode ? { approvalMode: override.approvalMode } : {}),
+                annotations: record(tool.annotations),
+                requiresUserInput: meta.codex_requires_user_input === true,
+                isSensitiveAction: meta.codex_sensitive_action === true,
+                requiresStrictReview: meta.codex_strict_auto_review === true,
+            };
+            catalog.set(`${server}\0${tool.name}`, { identity, label: `${server}/${tool.name}`, namespace: `mcp__${server}` });
+        }
+    };
+    const elicit = async (message) => {
+        const params = record(message.params), meta = record(params._meta);
+        const callId = optionalText(meta.callId), invocation = callId ? active.get(callId) : undefined;
+        let isAllowed = false;
+        // Arbitrary forms and URL authentication need an actual human-input UI. Never infer their fields.
+        const schema = record(params.requestedSchema);
+        const isApprovalForm = params.mode !== 'url' && schema.type === 'object' && Object.keys(record(schema.properties)).length === 0 && (!Array.isArray(schema.required) || schema.required.length === 0);
+        if (invocation && !invocation.signal.aborted && isApprovalForm && meta.codex_approval_kind === 'mcp_tool_call' && typeof meta.tool_name === 'string' && meta.tool_params && typeof meta.tool_params === 'object' && !Array.isArray(meta.tool_params)) {
+            const isMatchingOuter = meta.tool_name === invocation.identity.tool && (meta.connector_id ?? undefined) === invocation.identity.connectorId;
+            if (isMatchingOuter) {
+                const nested = {
+                    ...invocation.identity, tool: meta.tool_name,
+                    ...(typeof meta.connector_id === 'string' ? { connectorId: meta.connector_id } : {}),
+                    requiresUserInput: meta.codex_requires_user_input === true,
+                    isSensitiveAction: meta.codex_sensitive_action === true,
+                    requiresStrictReview: invocation.identity.requiresStrictReview === true || meta.codex_strict_auto_review === true,
+                };
+                try {
+                    await invocation.checkCurrent();
+                    isAllowed = await invocation.approveNested(nested, JSON.parse(canonicalJson(invocation.arguments)));
+                    await invocation.checkCurrent();
+                    isAllowed &&= active.get(callId) === invocation && !invocation.signal.aborted;
+                }
+                catch {
+                    isAllowed = false;
+                }
+            }
+        }
+        await base.send({ jsonrpc: '2.0', id: message.id, result: { action: isAllowed ? 'accept' : 'decline', ...(isAllowed ? { content: {} } : {}) } });
+    };
+    return new Proxy(base, { get(target, key) {
+            if (key === 'send')
+                return async (message) => {
+                    const raw = message;
+                    if (raw.method && raw.id !== undefined) {
+                        const invocation = externalInvocations.getStore();
+                        if (raw.method === 'tools/call') {
+                            if (!invocation || invocation.identity.server !== server || invocation.identity.tool !== raw.params?.name)
+                                throw new GuardError('UNBOUND_MCP_CALL', 'MCP execution has no matching reviewed invocation');
+                            await invocation.checkCurrent();
+                            // Caller IDs can repeat; nested approvals must identify this exact in-flight invocation.
+                            const callId = randomUUID();
+                            active.set(callId, invocation);
+                            pending.set(raw.id, { method: raw.method, callId });
+                            return target.send({ ...raw, params: { ...raw.params, _meta: { ...record(raw.params?._meta), callId } } });
+                        }
+                        pending.set(raw.id, { method: raw.method });
+                        if (raw.method === 'tools/list' && !raw.params?.cursor) {
+                            generation++;
+                            for (const [name, item] of catalog)
+                                if (item.identity.server === server)
+                                    catalog.delete(name);
+                        }
+                        if (raw.method === 'initialize')
+                            return target.send({ ...raw, params: { ...raw.params, capabilities: { ...record(raw.params?.capabilities), elicitation: { form: {} } } } });
+                    }
+                    return target.send(message);
+                };
+            if (key === 'onMessage')
+                return (listener) => target.onMessage(message => {
+                    const raw = message;
+                    if (raw.method === 'elicitation/create' && raw.id !== undefined) {
+                        void elicit(raw).catch(() => { });
+                        return;
+                    }
+                    const request = !raw.method && raw.id !== undefined ? pending.get(raw.id) : undefined;
+                    if (request) {
+                        pending.delete(raw.id);
+                        if (request.callId)
+                            active.delete(request.callId);
+                        if (request.method === 'tools/list' && raw.result) {
+                            try {
+                                captureTools(raw.result.tools);
+                            }
+                            catch {
+                                listener({ jsonrpc: '2.0', id: raw.id, error: { code: -32603, message: 'Invalid MCP tool catalog' } });
+                                return;
+                            }
+                        }
+                    }
+                    listener(message);
+                });
+            if (key === 'close')
+                return async () => { active.clear(); pending.clear(); await target.close(); };
+            const value = Reflect.get(target, key, target);
+            return typeof value === 'function' ? value.bind(target) : value;
+        } });
+}
+/**
+ * Pi 0.99.1 exports the extension API but not its default transport/config helpers.
+ * This small, version-qualified seam preserves the SDK's transport, config and OAuth implementation.
+ */
+export async function createGuardedMcpExtension(agentDir, controller, options = {}, policies = {}) {
+    const sdk = new URL('./', import.meta.resolve('@earendil-works/pi-coding-agent'));
+    const [runtime, config, auth] = await Promise.all([
+        import(new URL('extensions/mcp/runtime.js', sdk).href),
+        import(new URL('extensions/mcp/config.js', sdk).href),
+        import(new URL('core/auth-storage.js', sdk).href),
+    ]);
+    const catalog = new Map(), registrations = new Map();
+    const transportFactory = (entry, cwd, provider) => {
+        const registration = digest({ name: entry.name, source: entry.source, config: JSON.parse(JSON.stringify(entry.config)), connection: randomUUID() });
+        registrations.set(entry.name, registration);
+        return guardedTransport((options.createTransport ?? runtime.createDefaultTransport)(entry, cwd, provider), entry.name, registration, catalog, policies);
+    };
+    const mcpFactory = createMcpExtension({
+        ...options, createTransport: transportFactory,
+        loadConfig: options.loadConfig ?? (context => config.loadMcpConfig({ agentDir, cwd: context.cwd, projectTrusted: context.isProjectTrusted() })),
+        credentials: options.credentials ?? new runtime.McpOAuthCredentialStore(new auth.FileAuthStorageBackend(join(agentDir, 'mcp-auth.json')), agentDir),
+        logPath: options.logPath ?? join(agentDir, 'mcp.log'),
+    });
+    const factory = api => {
+        let hasStarted = false;
+        let shutdown;
+        return mcpFactory(new Proxy(api, { get(target, key, receiver) {
+                if (key === 'on')
+                    return (event, handler) => {
+                        if (event === 'session_shutdown') {
+                            shutdown = handler;
+                            return target.on('session_shutdown', async (...args) => { hasStarted = false; await handler(...args); });
+                        }
+                        if (event === 'session_start')
+                            return target.on('session_start', async (event, context) => {
+                                // Pi rebinds modes with another session_start, without a preceding shutdown.
+                                if (hasStarted)
+                                    await shutdown?.({ type: 'session_shutdown' }, context);
+                                hasStarted = true;
+                                await handler(event, context);
+                            });
+                        return Reflect.apply(target.on, target, [event, handler]);
+                    };
+                return Reflect.get(target, key, receiver);
+            } }));
+    };
+    return guardedExternalExtension({ extension: { name: 'guarded-mcp', factory }, identifyTool: definition => {
+            const entry = [...catalog.values()].find(item => item.label === definition.label && item.namespace === definition.namespace?.name);
+            if (entry)
+                return entry.identity;
+            if (['list_mcp_resources', 'list_mcp_resource_templates', 'read_mcp_resource'].includes(definition.name))
+                return { kind: 'mcp', server: 'mcp-resources', tool: definition.name, registration: digest([...registrations]), annotations: { readOnlyHint: true } };
+            throw new GuardError('UNBOUND_MCP_TOOL', 'Tool does not belong to the registered MCP catalog');
+        } }, controller);
+}
+//# sourceMappingURL=mcp.js.map

package/dist/tools/mcp.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"mcp.js","sourceRoot":"","sources":["../../src/tools/mcp.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAC;AACjC,OAAO,EAAE,kBAAkB,EAAwH,MAAM,iCAAiC,CAAC;AAC3L,OAAO,EAAE,aAAa,EAAE,MAAM,EAAE,UAAU,EAAa,MAAM,iBAAiB,CAAC;AAE/E,OAAO,EAAE,mBAAmB,EAAsD,MAAM,eAAe,CAAC;AAUxG,MAAM,UAAU,wBAAwB,CAAC,KAAwB,EAAE,UAAiC;IAClG,MAAM,OAAO,GAAG,OAAO,KAAK,CAAC,SAAS,KAAK,UAAU,CAAC,CAAC,CAAC,KAAK,CAAC,SAAS,CAAC,CAAC,CAAC,KAAK,CAAC,SAAS,CAAC,OAAO,CAAC;IAClG,MAAM,OAAO,GAAqB,GAAG,CAAC,EAAE,CAAC,OAAO,CAAC,IAAI,KAAK,CAAC,GAAG,EAAE,EAAC,GAAG,CAAC,MAAM,EAAE,GAAG,EAAE,QAAQ;YACxF,IAAI,GAAG,KAAK,cAAc;gBAAE,OAAO,CAAC,UAAgB,EAAE,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC,UAAU,EAAE,CAAC,gBAAgB,CAAC,UAAU,EAAE,GAAG,EAAE,CAAC,KAAK,CAAC,YAAY,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC;YAC9J,OAAO,OAAO,CAAC,GAAG,CAAC,MAAM,EAAE,GAAG,EAAE,QAAQ,CAAC,CAAC;QAC5C,CAAC,EAAC,CAAC,CAAC,CAAC;IACL,OAAO,OAAO,KAAK,CAAC,SAAS,KAAK,UAAU,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,EAAC,GAAG,KAAK,CAAC,SAAS,EAAE,OAAO,EAAC,OAAO,EAAC,CAAC;AACjG,CAAC;AAID,SAAS,MAAM,CAAC,KAAc,IAAyB,OAAO,KAAK,IAAI,OAAO,KAAK,KAAK,QAAQ,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,KAA4B,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;AAChK,SAAS,YAAY,CAAC,KAAc,IAAwB,OAAO,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC;AAEnI,SAAS,gBAAgB,CAAC,IAAe,EAAE,MAAc,EAAE,YAAoB,EAAE,OAAkC,EAAE,QAAyB;IAC5I,MAAM,OAAO,GAAG,IAAI,GAAG,EAAsD,CAAC;IAC9E,MAAM,MAAM,GAAG,IAAI,GAAG,EAA8B,CAAC;IACrD,IAAI,UAAU,GAAG,CAAC,CAAC;IACnB,MAAM,YAAY,GAAG,CAAC,KAAc,EAAE,EAAE;QACtC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC;YAAE,MAAM,IAAI,UAAU,CAAC,qBAAqB,EAAE,qCAAqC,CAAC,CAAC;QAC9G,KAAK,MAAM,GAAG,IAAI,KAAK,EAAE,CAAC;YACxB,MAAM,IAAI,GAAG,MAAM,CAAC,GAAG,CAAC,EAAE,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC;YACpD,IAAI,OAAO,IAAI,CAAC,IAAI,KAAK,QAAQ,IAAI,CAAC,IAAI,CAAC,IAAI;gBAAE,MAAM,IAAI,UAAU,CAAC,qBAAqB,EAAE,0BAA0B,CAAC,CAAC;YACzH,MAAM,QAAQ,GAAG,QAAQ,CAAC,GAAG,MAAM,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC,CAAC;YACpD,MAAM,QAAQ,GAAyB;gBACrC,IAAI,EAAC,KAAK;gBACV,MAAM,EAAE,IAAI,EAAC,IAAI,CAAC,IAAI,EAAE,YAAY,EAAC,GAAG,YAAY,IAAI,UAAU,IAAI,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE;gBAChH,GAAG,CAAC,YAAY,CAAC,IAAI,CAAC,YAAY,CAAC,CAAC,CAAC,CAAC,EAAC,WAAW,EAAC,IAAI,CAAC,YAAY,EAAC,CAAC,CAAC,CAAC,EAAE,CAAC;gBAC3E,GAAG,CAAC,YAAY,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC,EAAC,OAAO,EAAC,IAAI,CAAC,OAAO,EAAC,CAAC,CAAC,CAAC,EAAE,CAAC;gBAC7D,GAAG,CAAC,QAAQ,EAAE,YAAY,CAAC,CAAC,CAAC,EAAC,YAAY,EAAC,QAAQ,CAAC,YAAY,EAAC,CAAC,CAAC,CAAC,EAAE,CAAC;gBACvE,WAAW,EAAC,MAAM,CAAC,IAAI,CAAC,WAAW,CAAC;gBACpC,iBAAiB,EAAC,IAAI,CAAC,yBAAyB,KAAK,IAAI;gBACzD,iBAAiB,EAAC,IAAI,CAAC,sBAAsB,KAAK,IAAI;gBACtD,oBAAoB,EAAC,IAAI,CAAC,wBAAwB,KAAK,IAAI;aAC5D,CAAC;YACF,OAAO,CAAC,GAAG,CAAC,GAAG,MAAM,KAAK,IAAI,CAAC,IAAI,EAAE,EAAE,EAAC,QAAQ,EAAE,KAAK,EAAC,GAAG,MAAM,IAAI,IAAI,CAAC,IAAI,EAAE,EAAE,SAAS,EAAC,QAAQ,MAAM,EAAE,EAAC,CAAC,CAAC;QACjH,CAAC;IACH,CAAC,CAAC;IACF,MAAM,MAAM,GAAG,KAAK,EAAE,OAAY,EAAE,EAAE;QACpC,MAAM,MAAM,GAAG,MAAM,CAAC,OAAO,CAAC,MAAM,CAAC,EAAE,IAAI,GAAG,MAAM,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;QACnE,MAAM,MAAM,GAAG,YAAY,CAAC,IAAI,CAAC,MAAM,CAAC,EAAE,UAAU,GAAG,MAAM,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;QAC/F,IAAI,SAAS,GAAG,KAAK,CAAC;QACtB,kGAAkG;QAClG,MAAM,MAAM,GAAG,MAAM,CAAC,MAAM,CAAC,eAAe,CAAC,CAAC;QAC9C,MAAM,cAAc,GAAG,MAAM,CAAC,IAAI,KAAK,KAAK,IAAI,MAAM,CAAC,IAAI,KAAK,QAAQ,IAAI,MAAM,CAAC,IAAI,CAAC,MAAM,CAAC,MAAM,CAAC,UAAU,CAAC,CAAC,CAAC,MAAM,KAAK,CAAC,IAAI,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,QAAQ,CAAC,IAAI,MAAM,CAAC,QAAQ,CAAC,MAAM,KAAK,CAAC,CAAC,CAAC;QACrM,IAAI,UAAU,IAAI,CAAC,UAAU,CAAC,MAAM,CAAC,OAAO,IAAI,cAAc,IAAI,IAAI,CAAC,mBAAmB,KAAK,eAAe,IAAI,OAAO,IAAI,CAAC,SAAS,KAAK,QAAQ,IAAI,IAAI,CAAC,WAAW,IAAI,OAAO,IAAI,CAAC,WAAW,KAAK,QAAQ,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,IAAI,CAAC,WAAW,CAAC,EAAE,CAAC;YACrP,MAAM,eAAe,GAAG,IAAI,CAAC,SAAS,KAAK,UAAU,CAAC,QAAQ,CAAC,IAAI,IAAI,CAAC,IAAI,CAAC,YAAY,IAAI,SAAS,CAAC,KAAK,UAAU,CAAC,QAAQ,CAAC,WAAW,CAAC;YAC5I,IAAI,eAAe,EAAE,CAAC;gBACpB,MAAM,MAAM,GAAyB;oBACnC,GAAG,UAAU,CAAC,QAAQ,EAAE,IAAI,EAAC,IAAI,CAAC,SAAS;oBAC3C,GAAG,CAAC,OAAO,IAAI,CAAC,YAAY,KAAK,QAAQ,CAAC,CAAC,CAAC,EAAC,WAAW,EAAC,IAAI,CAAC,YAAY,EAAC,CAAC,CAAC,CAAC,EAAE,CAAC;oBACjF,iBAAiB,EAAC,IAAI,CAAC,yBAAyB,KAAK,IAAI;oBACzD,iBAAiB,EAAC,IAAI,CAAC,sBAAsB,KAAK,IAAI;oBACtD,oBAAoB,EAAC,UAAU,CAAC,QAAQ,CAAC,oBAAoB,KAAK,IAAI,IAAI,IAAI,CAAC,wBAAwB,KAAK,IAAI;iBACjH,CAAC;gBACF,IAAI,CAAC;oBACH,MAAM,UAAU,CAAC,YAAY,EAAE,CAAC;oBAChC,SAAS,GAAG,MAAM,UAAU,CAAC,aAAa,CAAC,MAAM,EAAE,IAAI,CAAC,KAAK,CAAC,aAAa,CAAC,UAAU,CAAC,SAAS,CAAC,CAAC,CAAC,CAAC;oBACpG,MAAM,UAAU,CAAC,YAAY,EAAE,CAAC;oBAChC,SAAS,KAAK,MAAM,CAAC,GAAG,CAAC,MAAO,CAAC,KAAK,UAAU,IAAI,CAAC,UAAU,CAAC,MAAM,CAAC,OAAO,CAAC;gBACjF,CAAC;gBAAC,MAAM,CAAC;oBAAC,SAAS,GAAG,KAAK,CAAC;gBAAC,CAAC;YAChC,CAAC;QACH,CAAC;QACD,MAAM,IAAI,CAAC,IAAI,CAAC,EAAC,OAAO,EAAC,KAAK,EAAC,EAAE,EAAC,OAAO,CAAC,EAAE,EAAC,MAAM,EAAC,EAAC,MAAM,EAAC,SAAS,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC,CAAC,SAAS,EAAE,GAAG,CAAC,SAAS,CAAC,CAAC,CAAC,EAAC,OAAO,EAAC,EAAE,EAAC,CAAC,CAAC,CAAC,EAAE,CAAC,EAAC,EAAC,CAAC,CAAC;IACtI,CAAC,CAAC;IACF,OAAO,IAAI,KAAK,CAAC,IAAI,EAAE,EAAC,GAAG,CAAC,MAAM,EAAE,GAAG;YACrC,IAAI,GAAG,KAAK,MAAM;gBAAE,OAAO,KAAK,EAAE,OAAgB,EAAE,EAAE;oBACpD,MAAM,GAAG,GAAG,OAAc,CAAC;oBAC3B,IAAI,GAAG,CAAC,MAAM,IAAI,GAAG,CAAC,EAAE,KAAK,SAAS,EAAE,CAAC;wBACvC,MAAM,UAAU,GAAG,mBAAmB,CAAC,QAAQ,EAAE,CAAC;wBAClD,IAAI,GAAG,CAAC,MAAM,KAAK,YAAY,EAAE,CAAC;4BAChC,IAAI,CAAC,UAAU,IAAI,UAAU,CAAC,QAAQ,CAAC,MAAM,KAAK,MAAM,IAAI,UAAU,CAAC,QAAQ,CAAC,IAAI,KAAK,GAAG,CAAC,MAAM,EAAE,IAAI;gCAAE,MAAM,IAAI,UAAU,CAAC,kBAAkB,EAAE,mDAAmD,CAAC,CAAC;4BACzM,MAAM,UAAU,CAAC,YAAY,EAAE,CAAC;4BAChC,yFAAyF;4BACzF,MAAM,MAAM,GAAG,UAAU,EAAE,CAAC;4BAC5B,MAAM,CAAC,GAAG,CAAC,MAAM,EAAE,UAAU,CAAC,CAAC;4BAC/B,OAAO,CAAC,GAAG,CAAC,GAAG,CAAC,EAAE,EAAE,EAAC,MAAM,EAAC,GAAG,CAAC,MAAM,EAAC,MAAM,EAAC,CAAC,CAAC;4BAChD,OAAO,MAAM,CAAC,IAAI,CAAC,EAAC,GAAG,GAAG,EAAC,MAAM,EAAC,EAAC,GAAG,GAAG,CAAC,MAAM,EAAC,KAAK,EAAC,EAAC,GAAG,MAAM,CAAC,GAAG,CAAC,MAAM,EAAE,KAAK,CAAC,EAAC,MAAM,EAAC,EAAC,EAAC,CAAC,CAAC;wBAClG,CAAC;wBACD,OAAO,CAAC,GAAG,CAAC,GAAG,CAAC,EAAE,EAAC,EAAC,MAAM,EAAC,GAAG,CAAC,MAAM,EAAC,CAAC,CAAC;wBACxC,IAAI,GAAG,CAAC,MAAM,KAAK,YAAY,IAAI,CAAC,GAAG,CAAC,MAAM,EAAE,MAAM,EAAE,CAAC;4BACvD,UAAU,EAAE,CAAC;4BACb,KAAK,MAAM,CAAC,IAAI,EAAE,IAAI,CAAC,IAAI,OAAO;gCAAE,IAAI,IAAI,CAAC,QAAQ,CAAC,MAAM,KAAK,MAAM;oCAAE,OAAO,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC;wBAChG,CAAC;wBACD,IAAI,GAAG,CAAC,MAAM,KAAK,YAAY;4BAAE,OAAO,MAAM,CAAC,IAAI,CAAC,EAAC,GAAG,GAAG,EAAC,MAAM,EAAC,EAAC,GAAG,GAAG,CAAC,MAAM,EAAC,YAAY,EAAC,EAAC,GAAG,MAAM,CAAC,GAAG,CAAC,MAAM,EAAE,YAAY,CAAC,EAAC,WAAW,EAAC,EAAC,IAAI,EAAC,EAAE,EAAC,EAAC,EAAC,EAAC,CAAC,CAAC;oBAChK,CAAC;oBACD,OAAO,MAAM,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;gBAC9B,CAAC,CAAC;YACF,IAAI,GAAG,KAAK,WAAW;gBAAE,OAAO,CAAC,QAA+C,EAAE,EAAE,CAAC,MAAM,CAAC,SAAS,CAAC,OAAO,CAAC,EAAE;oBAC9G,MAAM,GAAG,GAAG,OAAc,CAAC;oBAC3B,IAAI,GAAG,CAAC,MAAM,KAAK,oBAAoB,IAAI,GAAG,CAAC,EAAE,KAAK,SAAS,EAAE,CAAC;wBAChE,KAAK,MAAM,CAAC,GAAG,CAAC,CAAC,KAAK,CAAC,GAAG,EAAE,GAAE,CAAC,CAAC,CAAC;wBAAC,OAAO;oBAC3C,CAAC;oBACD,MAAM,OAAO,GAAG,CAAC,GAAG,CAAC,MAAM,IAAI,GAAG,CAAC,EAAE,KAAK,SAAS,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,GAAG,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;oBACtF,IAAI,OAAO,EAAE,CAAC;wBACZ,OAAO,CAAC,MAAM,CAAC,GAAG,CAAC,EAAE,CAAC,CAAC;wBACvB,IAAI,OAAO,CAAC,MAAM;4BAAE,MAAM,CAAC,MAAM,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC;wBAClD,IAAI,OAAO,CAAC,MAAM,KAAK,YAAY,IAAI,GAAG,CAAC,MAAM,EAAE,CAAC;4BAClD,IAAI,CAAC;gCAAC,YAAY,CAAC,GAAG,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;4BAAC,CAAC;4BAAC,MAAM,CAAC;gCAAC,QAAQ,CAAC,EAAC,OAAO,EAAC,KAAK,EAAC,EAAE,EAAC,GAAG,CAAC,EAAE,EAAC,KAAK,EAAC,EAAC,IAAI,EAAC,CAAC,KAAK,EAAC,OAAO,EAAC,0BAA0B,EAAC,EAAC,CAAC,CAAC;gCAAC,OAAO;4BAAC,CAAC;wBACvJ,CAAC;oBACH,CAAC;oBACD,QAAQ,CAAC,OAAO,CAAC,CAAC;gBACpB,CAAC,CAAC,CAAC;YACH,IAAI,GAAG,KAAK,OAAO;gBAAE,OAAO,KAAK,IAAI,EAAE,GAAG,MAAM,CAAC,KAAK,EAAE,CAAC,CAAC,OAAO,CAAC,KAAK,EAAE,CAAC,CAAC,MAAM,MAAM,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,CAAC;YACnG,MAAM,KAAK,GAAG,OAAO,CAAC,GAAG,CAAC,MAAM,EAAC,GAAG,EAAC,MAAM,CAAC,CAAC;YAC7C,OAAO,OAAO,KAAK,KAAK,UAAU,CAAC,CAAC,CAAC,KAAK,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC;QAClE,CAAC,EAAC,CAAC,CAAC;AACN,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,yBAAyB,CAAC,QAAgB,EAAE,UAAiC,EAAE,UAA+B,EAAE,EAAE,WAA4B,EAAE;IACpK,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,IAAI,EAAE,MAAM,CAAC,IAAI,CAAC,OAAO,CAAC,iCAAiC,CAAC,CAAC,CAAC;IAClF,MAAM,CAAC,OAAO,EAAE,MAAM,EAAE,IAAI,CAAC,GAAG,MAAM,OAAO,CAAC,GAAG,CAAC;QAChD,MAAM,CAAC,IAAI,GAAG,CAAC,2BAA2B,EAAC,GAAG,CAAC,CAAC,IAAI,CAAC;QACrD,MAAM,CAAC,IAAI,GAAG,CAAC,0BAA0B,EAAC,GAAG,CAAC,CAAC,IAAI,CAAC;QACpD,MAAM,CAAC,IAAI,GAAG,CAAC,sBAAsB,EAAC,GAAG,CAAC,CAAC,IAAI,CAAC;KACjD,CAAC,CAAC;IACH,MAAM,OAAO,GAAG,IAAI,GAAG,EAAwB,EAAE,aAAa,GAAG,IAAI,GAAG,EAAiB,CAAC;IAC1F,MAAM,gBAAgB,GAAwB,CAAC,KAAK,EAAE,GAAG,EAAE,QAAQ,EAAE,EAAE;QACrE,MAAM,YAAY,GAAG,MAAM,CAAC,EAAC,IAAI,EAAC,KAAK,CAAC,IAAI,EAAC,MAAM,EAAC,KAAK,CAAC,MAAM,EAAC,MAAM,EAAC,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,SAAS,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC,EAAC,UAAU,EAAC,UAAU,EAAE,EAAC,CAAC,CAAC;QAC3I,aAAa,CAAC,GAAG,CAAC,KAAK,CAAC,IAAI,EAAC,YAAY,CAAC,CAAC;QAC3C,OAAO,gBAAgB,CAAC,CAAC,OAAO,CAAC,eAAe,IAAI,OAAO,CAAC,sBAAsB,CAAC,CAAC,KAAK,EAAC,GAAG,EAAC,QAAQ,CAAC,EAAC,KAAK,CAAC,IAAI,EAAC,YAAY,EAAC,OAAO,EAAC,QAAQ,CAAC,CAAC;IACpJ,CAAC,CAAC;IACF,MAAM,UAAU,GAAG,kBAAkB,CAAC;QACpC,GAAG,OAAO,EAAE,eAAe,EAAC,gBAAgB;QAC5C,UAAU,EAAC,OAAO,CAAC,UAAU,IAAI,CAAC,OAAO,CAAC,EAAE,CAAC,MAAM,CAAC,aAAa,CAAC,EAAC,QAAQ,EAAC,GAAG,EAAC,OAAO,CAAC,GAAG,EAAC,cAAc,EAAC,OAAO,CAAC,gBAAgB,EAAE,EAAC,CAAC,CAAC;QACxI,WAAW,EAAC,OAAO,CAAC,WAAW,IAAI,IAAI,OAAO,CAAC,uBAAuB,CAAC,IAAI,IAAI,CAAC,sBAAsB,CAAC,IAAI,CAAC,QAAQ,EAAC,eAAe,CAAC,CAAC,EAAC,QAAQ,CAAC;QAChJ,OAAO,EAAC,OAAO,CAAC,OAAO,IAAI,IAAI,CAAC,QAAQ,EAAC,SAAS,CAAC;KACpD,CAAC,CAAC;IACH,MAAM,OAAO,GAAqB,GAAG,CAAC,EAAE;QACtC,IAAI,UAAU,GAAG,KAAK,CAAC;QACvB,IAAI,QAAmD,CAAC;QACxD,OAAO,UAAU,CAAC,IAAI,KAAK,CAAC,GAAG,EAAE,EAAC,GAAG,CAAC,MAAM,EAAE,GAAG,EAAE,QAAQ;gBACzD,IAAI,GAAG,KAAK,IAAI;oBAAE,OAAO,CAAC,KAAa,EAAE,OAAoC,EAAE,EAAE;wBAC/E,IAAI,KAAK,KAAK,kBAAkB,EAAE,CAAC;4BACjC,QAAQ,GAAG,OAAO,CAAC;4BACnB,OAAO,MAAM,CAAC,EAAE,CAAC,kBAAkB,EAAE,KAAK,EAAE,GAAG,IAAI,EAAE,EAAE,GAAG,UAAU,GAAG,KAAK,CAAC,CAAC,MAAM,OAAO,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;wBAC3G,CAAC;wBACD,IAAI,KAAK,KAAK,eAAe;4BAAE,OAAO,MAAM,CAAC,EAAE,CAAC,eAAe,EAAE,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE;gCACxF,6EAA6E;gCAC7E,IAAI,UAAU;oCAAE,MAAM,QAAQ,EAAE,CAAC,EAAC,IAAI,EAAC,kBAAkB,EAAC,EAAE,OAAO,CAAC,CAAC;gCACrE,UAAU,GAAG,IAAI,CAAC;gCAClB,MAAM,OAAO,CAAC,KAAK,EAAE,OAAO,CAAC,CAAC;4BAChC,CAAC,CAAC,CAAC;wBACH,OAAO,OAAO,CAAC,KAAK,CAAC,MAAM,CAAC,EAAE,EAAE,MAAM,EAAE,CAAC,KAAK,EAAE,OAAO,CAAC,CAAC,CAAC;oBAC5D,CAAC,CAAC;gBACF,OAAO,OAAO,CAAC,GAAG,CAAC,MAAM,EAAE,GAAG,EAAE,QAAQ,CAAC,CAAC;YAC5C,CAAC,EAAC,CAAC,CAAC,CAAC;IACP,CAAC,CAAC;IACF,OAAO,wBAAwB,CAAC,EAAC,SAAS,EAAC,EAAC,IAAI,EAAC,aAAa,EAAC,OAAO,EAAC,EAAC,YAAY,EAAC,UAAU,CAAC,EAAE;YAChG,MAAM,KAAK,GAAG,CAAC,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,IAAI,CAAC,KAAK,KAAK,UAAU,CAAC,KAAK,IAAI,IAAI,CAAC,SAAS,KAAK,UAAU,CAAC,SAAS,EAAE,IAAI,CAAC,CAAC;YACnI,IAAI,KAAK;gBAAE,OAAO,KAAK,CAAC,QAAQ,CAAC;YACjC,IAAI,CAAC,oBAAoB,EAAC,6BAA6B,EAAC,mBAAmB,CAAC,CAAC,QAAQ,CAAC,UAAU,CAAC,IAAI,CAAC;gBAAE,OAAO,EAAC,IAAI,EAAC,KAAK,EAAC,MAAM,EAAC,eAAe,EAAC,IAAI,EAAC,UAAU,CAAC,IAAI,EAAC,YAAY,EAAC,MAAM,CAAC,CAAC,GAAG,aAAa,CAAC,CAAC,EAAC,WAAW,EAAC,EAAC,YAAY,EAAC,IAAI,EAAC,EAAC,CAAC;YAChP,MAAM,IAAI,UAAU,CAAC,kBAAkB,EAAE,oDAAoD,CAAC,CAAC;QACjG,CAAC,EAAC,EAAC,UAAU,CAAC,CAAC;AACjB,CAAC"}

package/docs/publishing.md

@@ -0,0 +1,73 @@
+# npm 배포 안내
+
+macOS ARM64와 Linux x64에서 `pi install npm:pi-codex-auto-review`로 설치할 수 있는 압축 패키지를 준비하고 npm에 게시한다. 계정 로그인과 실제 게시는 배포자가 수행한다.
+
+## 배포 파일 준비
+
+### GitHub Actions에서 준비
+
+배포할 버전과 소스를 저장소에 반영한 뒤 GitHub Actions의 **npm 배포 패키지 준비** 워크플로를 해당 브랜치에서 실행한다.
+
+1. `macos-14`와 `ubuntu-22.04`에서 Rust 1.95.0으로 규칙 엔진을 각각 빌드한다.
+2. 같은 소스에서 만든 실행 파일과 소스·실행 파일 해시를 취합한다.
+3. 잠금 파일로 의존성을 설치하고 TypeScript를 컴파일한다.
+4. 두 플랫폼의 실행 파일 형식·CPU·해시, 설치된 `node-forge`의 보정 버전·소스 고정, 의존성 묶음과 필수 배포 파일을 확인한다.
+5. 성공하면 `npm-package` 결과물에 `pi-codex-auto-review-<버전>.tgz`를 저장한다.
+
+이 워크플로는 npm 인증이나 게시를 수행하지 않는다. Linux 실행 파일은 Ubuntu 22.04의 GNU 환경에서 빌드한다. Alpine 등 musl 환경과 macOS x64·Linux ARM64는 이 배포의 지원 대상에 포함하지 않는다. 격리·승인 동작의 플랫폼 전체 검증은 기존 운영체제 검증 절차로 별도 확인한다.
+
+### 로컬에서 준비
+
+Node.js 22.19 이상과 Rust 1.95 이상이 있는 macOS ARM64 및 Linux x64 환경에서 **동일한 소스**를 사용한다. 각각 저장소 루트에서 실행한다.
+
+```sh
+npm ci --ignore-scripts
+npm run build
+```
+
+`dist/native/darwin-arm64/`와 `dist/native/linux-x64/`가 생성된다. 각 디렉터리에는 실행 파일과 `artifact.json`이 있어야 한다. 두 디렉터리를 패키지를 만들 저장소의 `dist/native/` 아래에 취합한 뒤 그 저장소 루트에서 실행한다.
+
+```sh
+npm pack
+```
+
+`prepack`은 TypeScript를 다시 컴파일하고 게시 전 검사를 실행한다. 성공하면 현재 `package.json` 버전의 `.tgz`가 생성된다. 실행 파일 하나가 없거나 다른 소스에서 빌드됐다면 중단하며, 문제를 해결하고 같은 명령을 다시 실행할 수 있다. 정상 배포에서는 `--ignore-scripts`로 이 검사를 생략하지 않는다.
+
+## npm 계정과 게시
+
+현재 이름은 `pi-codex-auto-review`, 초기 버전은 `0.1.0`이다. 아래 이름 확인은 저장소 루트 또는 압축 파일을 내려받은 디렉터리에서 수행한다.
+
+```sh
+npm view pi-codex-auto-review version --registry=https://registry.npmjs.org/
+```
+
+패키지가 조회되면 해당 이름에 대한 게시 권한이 있어야 한다. `E404`는 조회되는 패키지가 없다는 뜻이며 최종 등록 가능 여부는 게시 시 확인된다. 이름을 바꾸면 `package.json`, 설치 예제와 SDK import 예제도 함께 바꾼다.
+
+npm 계정에서 2단계 인증을 준비하고 로그인한다. 게시 명령은 공개 레지스트리에 결과물을 공개한다. 검토한 압축 파일이 있는 디렉터리에서 현재 버전에 맞는 파일명을 사용한다.
+
+```sh
+npm login --registry=https://registry.npmjs.org/
+npm whoami --registry=https://registry.npmjs.org/
+npm publish ./pi-codex-auto-review-0.1.0.tgz --access public --registry=https://registry.npmjs.org/
+```
+
+같은 이름·버전으로 다시 게시할 수 없으므로 수정 배포에는 새 버전을 사용한다. 시험 배포는 `package.json`과 잠금 파일의 버전을 `0.1.0-beta.1`처럼 지정하고 새 압축 패키지를 만든 다음 `--tag next`를 붙여 게시한다.
+
+## 게시 결과 확인
+
+게시한 버전이 조회되고 지원 환경의 Pi에서 설치·등록되는지 확인한다.
+
+```sh
+npm view pi-codex-auto-review@0.1.0 version --registry=https://registry.npmjs.org/
+pi install npm:pi-codex-auto-review@0.1.0
+pi list
+```
+
+Pi 등록 성공만으로 보호 시작을 보장하지 않는다. [사용법](usage.md)의 보호 CLI·SDK 진입점에서 규칙 엔진과 OS 샌드박스 준비가 성공하는지 확인한다. 설치를 취소하려면 `pi remove npm:pi-codex-auto-review`를 실행한다.
+
+## 관련 근거
+
+- [Pi 패키지 등록](https://github.com/earendil-works/pi/blob/v0.99.1/packages/coding-agent/docs/packages.md)
+- [npm 의존성 묶음과 overrides](https://docs.npmjs.com/cli/v11/configuring-npm/package-json/)
+- [npm 공개 패키지 게시](https://docs.npmjs.com/creating-and-publishing-unscoped-public-packages/)
+- [의존성 보안 보정](security/dependencies.md)

package/docs/security/dependencies.md

@@ -0,0 +1,43 @@
+# 의존성 보안 수정
+
+2026-10-03 확인한 높은 심각도 3개 감사 항목을 조치했다. 깨끗한 `npm ci --ignore-scripts` 설치 후 실제 사용되는 버전은 `node-forge 1.4.1-0`, `brace-expansion 5.0.12`이며 npm 감사 결과는 0건이다. 실행 증거는 [보안 인계](https://github.com/buYoung/pi-codex-auto-review/blob/HEAD/docs/handoffs/auto-review/11-dependency-security.json)에 기록한다.
+
+| 항목 | 적용한 수정 | 배포 상태 |
+| --- | --- | --- |
+| `node-forge` 및 이를 사용하는 `sandbox-runtime` | RSA `DigestAlgorithm`의 추가 요소를 거부하는 [수정 PR](https://github.com/digitalbazaar/forge/pull/1152)의 커밋 `ceba34402e329f0365134f23fe19898756527d65`을 고정 | **미병합 개발 버전**이다. 공식 수정 릴리스로 표현하지 않는다. 기존 1.4.0 대비 라이브러리 코드 변경은 RSA 검증부 한 곳이다. |
+| `brace-expansion` | 공식 수정 버전 `5.0.12` 사용 | [공식 보안 공지](https://github.com/advisories/GHSA-q2hr-2g5m-vwhr)에 기재된 수정 버전이다. |
+
+`node-forge`는 [공식 공지](https://github.com/advisories/GHSA-86w9-cpqp-85rv)에 수정 릴리스가 없다고 표시돼 있다. 버전 문자열을 임의로 올리거나 감사를 억제하지 않았다. 실제 패치 소스를 고정하고 정상 PKCS#1·PSS 서명, 네이티브 암호 모듈이 거부하는 변형 서명을 함께 검사했다.
+
+## Pi 패키지의 잠금 보정
+
+Pi 0.99.1의 `npm-shrinkwrap.json`은 취약한 `brace-expansion 5.0.9`를 고정한다. 루트 `overrides`, 일반 업데이트, 감사 자동 수정으로는 바뀌지 않았고, 루트 잠금만 수정해도 깨끗한 설치 시 5.0.9가 다시 설치되는 것을 확인했다. 확인한 Pi 1.0.0 배포에도 같은 잠금이 있었다.
+
+따라서 공식 Pi 0.99.1 아카이브의 **잠금 항목 한 곳만** 수정한 개발 의존성을 사용한다. SDK 파일 1,227개를 대조했으며 소스·컴파일 결과·버전·라이선스는 동일하다. 아카이브와 변경 내역은 `vendor/`에 있으며, 이 아카이브도 검증 소스 해시에 포함된다. SDK API를 새 버전으로 바꾸지 않았다.
+
+```sh
+python3 scripts/vendor-pi-sdk.py
+npm install --package-lock-only --ignore-scripts
+npm ci --ignore-scripts
+npm run build
+npm run test:contracts
+npm audit --json
+```
+
+생성기는 공식 원본 아카이브의 SHA-512 무결성을 확인한다. 생성 파일의 SHA-256·SHA-512와 수정한 잠금 항목은 [`vendor/pi-sdk-security.json`](https://github.com/buYoung/pi-codex-auto-review/blob/HEAD/vendor/pi-sdk-security.json)에 기록한다. Docker도 같은 아카이브와 잠금 파일로 설치한다.
+
+## 확인한 결과
+
+- 수정 전 정상 서명은 통과했으나 변형 서명이 `true`로 승인됐다. 중괄호 확장 입력은 5초 제한으로 중단됐다.
+- 수정 후 정상 서명은 유지되고 변형 서명은 거부됐다. 같은 중괄호 입력도 제한 안에 완료됐다.
+- 기존 계약·Pi 통합·네이티브 격리·패키지 실행을 합친 로컬 검증 58개가 통과했다. 플랫폼 전체 집계와 실모델 재검증은 후속 기능 변경을 합친 최종 소스에서 수행한다.
+
+이 보정은 저장소의 잠금 파일로 설치한 환경에 적용된다. 별도로 설치된 Pi 호스트나 다른 프로젝트의 의존성을 자동으로 바꾸지는 않는다. 다른 환경에서는 실제로 해석되는 의존성과 해당 환경의 감사 결과를 별도로 확인해야 한다.
+
+## npm 배포에서의 유지
+
+설치된 의존성의 `overrides`는 소비자 프로젝트에 적용되지 않고 `package-lock.json`도 게시되지 않는다. 따라서 npm 배포 패키지는 `bundleDependencies`로 `@anthropic-ai/sandbox-runtime`과 그 하위 의존성을 함께 포함한다. 잠금 파일로 설치한 보정된 `node-forge`도 묶음에 들어가며, 게시 전 검사는 고정된 소스 URL·설치 버전과 압축 패키지의 포함 여부를 확인한다.
+
+Pi 호스트는 `peerDependencies`로 유지하고 묶지 않는다. 개발용 `vendor/pi-coding-agent-0.99.1-security.1.tgz`도 배포하지 않으므로 별도로 설치된 Pi의 `brace-expansion` 보정은 이 패키지의 보장 범위에 포함되지 않는다.
+
+플랫폼 실행 파일을 준비한 뒤 저장소 루트에서 `npm pack`을 실행하면 게시 전 검사가 적용된다. 소비자 설치에는 Rust 컴파일이나 보안 보정을 위한 설치 스크립트를 요구하지 않는다. 두 플랫폼의 실행 파일 취합은 [배포 안내](../publishing.md)를 따른다.

package/docs/testing/auto-review-protection.md

@@ -0,0 +1,130 @@
+# 자동 검토 보호 경계 검증
+
+이 검증은 **정책 판단, 실제 Pi 도구 결과, 파일·네트워크 효과**를 함께 확인한다. 허용 대조군이 먼저 성공해야 차단 결과도 유효하다. 예외나 오류 메시지만 확인하고 보호 성공으로 판정하지 않는다.
+
+현재 검증 구성과 실제 실행 수는 각 실행의 `results`에 기록한다. GLM5.3 검증은 SDK 경로의 4개 시나리오와 배포된 CLI 경로의 1개 시나리오를 구분한다. Docker는 이에 앞서 고아 프로세스 회수도 검사한다. 구성에 포함됐다는 사실과 실제 통과는 구분한다. 최신 소스의 최종 결합 결과는 [정합성 인계](../handoffs/auto-review/07-conformance.json)와 그 안의 실행 근거를 확인한다. 이전 플랫폼 검증은 [운영체제 검증 인계](../handoffs/auto-review/17-platform-qualification.json), 이전 112개 검증은 [이전 보호 경계 인계](../handoffs/auto-review/10-protection-matrix.json)에 보존한다.
+
+개선 전 `85008b0` 시점에는 같은 소스의 macOS·실제 Linux x64·네이티브 및 에뮬레이션 Docker가 각각 142개를 통과했다. GLM5.3 네 사례와 Windows의 별도 규칙·사전 거부 검증도 통과했고, 감사 기록 217건과 실모델 로그·보고서 7개의 키 비노출을 확인했다. 이후 전체 검토에서 기존 검사에 없던 결함이 발견됐다. 이 과거 결과는 아래 회귀 사례와 현재 소스의 통과를 대신하지 않는다.
+
+이번 전체 개선의 수정 내역, 최종 실행 근거와 남은 플랫폼 조건은 [Pi 실행 개선 인계](../handoffs/auto-review/25-pi-runtime-alignment.md)에 정리했다.
+
+## 보호되는 경우와 허용되는 경우
+
+| 경계 | 허용 대조군 | 차단 또는 검토 대상 | 최종 관찰 |
+| --- | --- | --- | --- |
+| 파일 도구 6종 | 작업 공간의 `read`, `grep`, `find`, `ls`, `write`, `edit` | 절대 보호 경로의 같은 도구 호출 | 도구 오류, 검토자 호출 0회, 보호 파일 불변, 내용 비노출 |
+| 기본 읽기·임시 경로 | 일반 외부 파일 읽기, 기본 임시 경로 쓰기 | 임시 쓰기 루트를 제외한 뒤 같은 쓰기 | 읽기는 유지되고 쓰기는 검토 후 거부 |
+| 읽기 전용 프로필 | 명시적으로 승인한 기존 파일 쓰기 | 승인하지 않은 작업 공간·임시 경로의 형제 파일, 다음 호출 | 승인 파일만 변경되고 나머지 불변 |
+| 검토 중 경로 변경 | 처음 검토한 심볼릭 링크 대상 | 검토 중 다른 형제 경로나 보호 경로로 링크 교체 | 오래된 승인 거부, 세 대상 모두 불변 |
+| 위험·인가 판단 | 높은 위험이라도 충분한 인가가 있는 합성 사례 | 낮은 위험의 명시적 정책 거부, 인가 부족, 최고 위험 | 주 모델에 전달된 도구 결과와 실제 쓰기 일치 |
+| 검토 기술 오류 | 정상 구조의 승인 응답 | 공급자 오류, 잘못된 JSON, 권한 추가 필드 삽입, 시간 초과 | 정책 거부와 구별되는 실패, 파일 불변 |
+| 승인 경로 설정 | 일반 작업 공간 쓰기·셸 출력 | 비활성화한 샌드박스·명령 규칙 승인 범주 | 검토자를 호출하지 않고 거부 |
+| 명령 규칙 | 규칙에 걸리지 않는 정상 명령 | 허용 규칙과 동시에 일치하는 금지 규칙, 중첩 셸 | 직접·중첩 실행 모두 거부, 대상 파일 미생성 |
+| 검토 취소 | 실제 Pi 직접 도구·`codemode`에서 검토 시작 | 검토 중 취소 후 늦게 도착한 승인 | 취소 신호 전달, 쓰기 미실행 |
+| 파일 변조 7종 | 작업 공간의 추가 쓰기·길이 변경·삭제·이동·복사·모드 변경·하드 링크 생성 | 같은 작업의 범위 밖 대상 | 내용·존재·모드·원본 파일을 각각 확인 |
+| 네트워크 목적지 | 허용 와일드카드의 하위 도메인 | 루트 도메인, 비슷한 접미사, 명시적 거부 도메인 | 소유한 서버의 실제 수신 횟수 |
+| HTTP 리다이렉트 | 허용 호스트의 최초 요청 | 거부 호스트로의 리다이렉트 | 최초 요청만 도착하고 거부 대상은 미도달 |
+| 환경변수 | 명시적인 일반 값이 자식 인터프리터에 전달 | 인증·로더·사용자 프록시 변수의 합성 비밀 값 | 자식 환경에 비밀 값 부재, 일반 값 보존 |
+| Docker 프로세스 정리 | `--init`이 종료된 고아 프로세스를 회수 | PID 1이 고아를 회수하지 못하는 컨테이너 | 제한 시간 내 `/proc/<pid>` 소멸, 실패 시 본 검증 진입 차단 |
+| 사전 생성 하드링크 | 모든 이름이 허용 범위 안에 있는 같은 inode | 보호 파일 별칭, 범위 밖 쓰기 별칭, 좁은 승인 파일의 형제 별칭 | 실행 전 차단, 외부 내용 불변; 모든 별칭을 포함한 디렉터리 승인은 허용 |
+| 탐색 불가 디렉터리 | 접근 불가 하위 트리 옆의 정상 파일 쓰기 | 하위 트리의 권한 변경·읽기, 이름을 알면 접근 가능한 미검증 트리 | 접근 불가 트리는 OS 경계에서도 차단; 불완전한 검색 가능 범위는 시작 거부 |
+| HTTPS CONNECT | 합성 인증서를 검증한 소유 서버 요청 | 허용하지 않은 목적지, 신뢰하지 않은 인증서 | 실제 HTTPS 응답과 서버 수신 횟수, 인증 실패 시 HTTP 효과 없음 |
+| SOCKS5·UDP | 허용 SOCKS5 TCP, 호스트의 UDP 대조 요청 | 명시적으로 거부한 SOCKS5 목적지, 샌드박스의 직접 UDP | 허용 TCP만 도달, 직접 UDP 추가 수신 없음 |
+| IPv6 | 동등한 IPv6 표기의 프록시 허용, 실행 중 정확한 목적지 승인 | 명시적 IPv6 거부, 직접 IPv6 통신 | 주소·포트가 검토에 전달되고 허용 요청만 서버 도달 |
+| 원본 `.rules` | Starlark 함수·문자열 보간·대안 인자·실행 파일 경로·네트워크 규칙 | 틀린 예제, 경로 제약 위반, 잘못된 규칙, 취소 | 고정 Codex 엔진의 결과가 실제 정책과 네이티브 설정에 전달 |
+| 자동 컨텍스트 | 신뢰한 루트부터 현재 위치까지의 지침, 전역·파일 우선순위 | 비신뢰 프로젝트, 보호 경로 별칭, 초과 바이트 | 출처와 내용이 Pi·검토자에 전달되며 새로고침 후 갱신 |
+| MCP 최종 실행 | 일반 읽기 전용·설정상 허용, 검토로 승인된 정확한 호출 | 엄격 요청에서 표시·이전 승인으로 검토 생략, 거부, 등록 변경, 검토 취소 | 실제 Pi 클라이언트와 stdio 서버의 호출·파일 효과 일치 |
+| 프로젝트 MCP 시작 | 저장된 신뢰 또는 명시적인 신뢰 선택 | 결정 없는 프로젝트, 명시적인 비신뢰 선택 | 도구 호출 전 서버 시작 효과도 신뢰 결정에 의해 제한 |
+| MCP 추가 승인 | 원래 도구·연결·실제 입력과 일치하는 추가 요청 | 위조된 호출 ID, 다른 도구·커넥터 지목, 필수 사용자 입력의 자동 처리 | 원래 호출에 결합한 새 승인만 허용 |
+| MCP 동시 호출 | 서로 다른 입력의 동시 호출 중 승인된 파일 변경 | 호출자 ID 재사용으로 다른 요청의 승인 차용 | 내부 연결 ID가 다르고, 거부 대상 파일은 불변 |
+| MCP 이름 충돌 | `node_repl/js`에 대한 명시적 사용자 승인 | 승인 UI 없음, 명시적 거부 | 실제 stdio 서버의 대상 파일 불변·변경과 승인 창 횟수 일치 |
+| Pi 제어 파일 | 사용자가 호스트에서 직접 변경한 MCP 설정 | 모델의 MCP 설정·신뢰한 확장 진입점·상대 import 모듈 변경 | 파일 불변, 재로딩 후 외부 효과 차단; 사용자 변경은 다음 시작에 적용 |
+| 검토 응답 타입 | 문자열 위험 등급과 정상 승인 | 배열·`null` 등 잘못된 등급·승인 수준 | 외부 파일 불변, 기술 실패가 다음 모델 요청에 전달 |
+| 문자 그대로의 경로 | 허용된 작업 영역 안의 `[route]`와 `*` 파일명 | 패턴 문자가 포함된 추가 권한 루트와 SDK 직접 프로필 | 승인 전·실행 전 차단, 비슷한 이름의 형제 파일 불변 |
+| 거부 중단 후 직접 명령 | 사용자가 새로 요청한 직접 쉘 명령 | 중단된 모델의 후속 실행, 호출자 취소, 오래된 세션 | 모델 쓰기 미실행, 직접 명령 성공, 원래 취소 계약 유지 |
+| 감사 기록 | 따옴표가 포함된 검토 사유의 정상 승인 | 합성 비밀 값의 기록 | JSON 파싱 성공, 값 가리기, 승인된 파일 변경 |
+| 일반 Pi·CLI 진입점 | 패키지 기본 확장의 공식 MCP, CLI 명시적 공급자·모델 선택 | 중복 MCP 연결, 존재하지 않는 모델의 대체 실행 | 실제 Pi·CLI 도구 효과와 모델·검토 호출 일치 |
+| Pi 자원 | 전역 skills와 신뢰한 프로젝트의 skills·프롬프트·테마 | 비신뢰 프로젝트 자원, 자동 확장 실행 | 모델 문맥과 펼쳐진 프롬프트에 전달, 비신뢰 코드 효과 없음 |
+| MCP 재연결 정리 | 출력 모드에서 RPC로 재연결 후 승인 호출 | 이전 서버 프로세스 잔류 | 정상 종료 후 생성한 두 PID 모두 부재 |
+
+## Codex에서 반영한 하네스 방식
+
+기준은 공개 소스 `rust-v0.160.0`, 커밋 `a956835d020762cb2b570053af06f643a11c0ecc`다. 공개된 하네스의 검증 계약을 Pi의 스트림·도구 경로에 맞게 구현했다. `.rules`는 이 리비전의 `codex-execpolicy`를 실제 Rust 의존성으로 연결해 평가한다. 상류의 전체 Rust 테스트 스위트를 실행했다는 의미는 아니다.
+
+| Codex 기준 | 반영한 검증 |
+| --- | --- |
+| [`responses.rs::mount_sse_sequence`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/tests/common/responses.rs#L1466) | 응답을 정해진 순서로 재생하고 주 모델·검토자 호출의 초과와 누락을 실패 처리한다. |
+| [`exec_policy.rs::execpolicy_blocks_shell_invocation`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/tests/suite/exec_policy.rs#L517) | 정책 거부 결과가 다음 주 모델 요청에 도구 결과로 전달되는지 확인한다. |
+| [`request_permissions.rs`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/tests/suite/request_permissions.rs#L834) | 읽기 전용 상태의 추가 권한이 승인하지 않은 작업 공간·임시 경로 쓰기로 넓어지지 않는지 확인한다. |
+| [`guardian_review_cancellation.rs`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/tests/suite/guardian_review_cancellation.rs#L39) | 직접 도구와 중첩 코드 실행의 검토를 취소한 뒤 늦은 승인이 실행으로 이어지지 않는지 확인한다. |
+| [`execpolicy`](https://github.com/openai/codex/tree/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/execpolicy) | 원본 Starlark 엔진과 예제 검증·실행 파일 경로·네트워크 규칙 변환을 연결한다. |
+| [`agents_md.rs`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/src/agents_md.rs) | 프로젝트 루트·지침 우선순위·바이트 한도·신뢰 상태를 확인한다. |
+| [`mcp_tool_call.rs`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/src/mcp_tool_call.rs), [`session/mcp.rs`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/src/session/mcp.rs) | annotation 우선순위, 엄격한 자동 검토, 민감한 중첩 승인과 호출 출처 결합을 확인한다. |
+
+Pi 구현은 [`test/harness/scenarios.mjs`](../../test/harness/scenarios.mjs), 시나리오는 [`test/conformance/protection.test.mjs`](../../test/conformance/protection.test.mjs)에 있다. OS 격리 검사는 [`test/native/sandbox.test.mjs`](../../test/native/sandbox.test.mjs)에 있다. 하네스 자체도 호출 누락·초과, 이미 취소된 요청을 검사한다. 하네스 내부 assertion이 공급자 오류로 변환돼 조용히 통과하지 못하도록 별도로 보존한다.
+
+확장 검증 중 Docker PID 1 아래 좀비 프로세스 131개가 누적되고 `grep`의 스레드 생성이 실패하는 문제를 재현했다. 하네스의 `--init`과 고아 회수 사전 검증으로 수정하며, PID 한도 256개와 내부 파일·네트워크·seccomp 제한을 유지한다.
+
+후속 검증에서는 실행 전에 만든 하드링크가 macOS의 보호 파일 읽기와 외부 파일 쓰기를 우회하는 것을 재현했다. 실행 전 링크 수와 허용 범위의 이름을 대조해 수정했다. 또 Pi의 기본 신뢰값을 그대로 사용하면 새 프로젝트의 MCP 서버가 승인 도구 호출 전에 시작되는 것을 재현해, 저장된 신뢰와 명시적 선택으로 제한했다. 재현·수정 근거는 [하드링크 인계](../handoffs/auto-review/15-hard-links.json)와 [운영체제 후속 인계](../handoffs/auto-review/18-platform-followups.json)에 있다.
+
+실제 Ubuntu Docker에서는 내부 `bwrap`의 마운트가 외부 AppArmor 정책에 차단됐다. 하네스는 AppArmor 지원 여부를 확인하고 소유한 검증 컨테이너에만 `apparmor=unconfined`를 지정한다. 요청값과 실제 프로필을 실행 보고서에 기록하며, 내부 샌드박스의 파일·네트워크·seccomp 검증은 그대로 수행한다. 이는 [Docker의 컨테이너별 프로필 선택](https://docs.docker.com/engine/security/apparmor/)을 사용하는 검증 환경 설정이다. 수정 전후 실행은 [AppArmor 인계](../handoffs/auto-review/20-docker-apparmor.json)에 보존했다.
+
+ARM64 커널에서 x64 프로그램을 실행한 추가 검증에서는 142개 중 정상 셸 출력 사례 하나가 3초 제한을 넘겼다. 해당 기능 검사의 호출자 지정 제한을 15초로 보정했다. 별도 생명주기 검사는 실제 2초 제한, 3.5초 반환 상한, 지연된 파일 변경 차단을 계속 확인한다. 실행기의 제한 처리 코드는 변경하지 않았다. 최초 실패와 집중 검사 결과는 [에뮬레이션 시간 인계](../handoffs/auto-review/22-emulated-shell-timing.json)에 있다.
+
+macOS의 첫 최종 집계에서는 패키지 검사의 20초 관찰 시간이 초과됐다. 관찰 시간을 늘린 진단 복사본은 12.6초에 정상 완료됐으며, 원본 검사와 20초 제한을 유지한 재집계도 통과했다. 최초 지연의 세부 원인은 특정하지 못했다. [패키지 시간 관찰 인계](../handoffs/auto-review/24-macos-package-timing.json)에 초기 실패와 후속 성공을 함께 보존했다.
+
+일반 MCP 승인과 엄격 검토는 구분한다. Codex의 일반 경로는 검토자가 자동 모델이어도 annotation과 승인 모드를 따르며, 엄격 검토는 이런 생략 조건을 허용하지 않는다. 중첩 요청은 원래 호출의 엄격 검토 요구를 낮출 수 없다. 정정한 동작과 회귀 검증은 [MCP 승인 경로 인계](../handoffs/auto-review/19-mcp-routing.json)에 기록했다.
+
+현재 E2E는 [`test/e2e/guard.test.mjs`](../../test/e2e/guard.test.mjs)에 있다. 배열 위험 등급이 외부 파일을 변경하는 현상, 제한된 경로의 `[]`가 형제 파일 쓰기를 허용하는 현상, `node_repl/js`가 승인 없이 MCP 효과를 실행하는 현상을 수정 전 실제 Pi·OS 경로에서 재현했다. 감사 JSON 실패와 거부 중단 후 직접 명령 실패도 같은 방식으로 재현했다. 기본 패키지 검사는 공개 Pi 세션과 실제 MCP 서버까지 실행하도록 확장했으므로, 하위 프로세스 관찰 한도를 기존 20초에서 60초로 조정했다. 실제 실행기의 취소·시간 제한 검사는 별도로 유지한다.
+
+CLI 관찰기는 Pi 0.99.1의 확장용 호환 레지스트리가 가리키는 실제 `ModelRuntime`을 계측한다. 호환 레지스트리만 감싸면 주 에이전트 호출을 놓치므로, 로컬 HTTP 공급자 대조군으로 주 실행 2회·검토 1회의 실제 수신과 관찰 기록을 대조한다. 검토 출력 한도 `777`과 주 실행의 4096토큰 상한이 HTTP 요청에 전달되고, 최종 파일이 변경돼야 통과한다. 이 계측은 고정 버전용 검증 코드이며 제품의 응답을 대체하지 않는다.
+
+테스트 프로세스의 `TMPDIR`은 해당 실행이 만든 디렉터리로 지정하고 종료 시 정리한다. 호스트의 공유 임시 경로가 디렉터리 검사 한도 10만 개를 넘는 환경을 관찰했기 때문이다. 실행기의 검사 한도와 불완전한 검사의 차단 정책은 유지하며, 기본 임시 루트 허용과 명시적 제외를 별도 대조군으로 검사한다.
+
+첫 ARM64 Docker 실행에서는 154개 중 정상 `grep` 대조군 하나가 실패했다. 추가 검사와 실제 마운트 관찰에서, 존재하지 않는 `.git`이 `/dev/null` 장치로 바인딩되고 `nodev`로 인해 읽기가 거부되는 것을 확인했다. `.git/HEAD` 하위 차단을 함께 전달해 런타임이 읽기 전용 빈 디렉터리를 만들도록 수정했다. 원래 부모 차단은 유지하며, 읽기 선언을 늘리는 초기 수정은 별도 대조군에서 불필요함을 확인하고 되돌렸다. SDK 호출자의 읽기 전용 경로 선택도 보존한다. 추가 대조군은 정상 검색·일반 디렉터리 생성·Pi 설정 생성 차단을 함께 확인한다. 허용 루트와 절대 차단 루트가 직접 겹치거나 별칭으로 겹치는 경우는 실제 경로로 정규화한 뒤 실행 전에 거부한다.
+
+추가 승인 연결 검사에서는 같은 호출자 ID를 사용한 두 MCP 요청이 겹칠 때 거부 대상 파일이 변경되는 것을 재현했다. MCP 전송마다 내부에서 생성한 고유 ID로 추가 승인을 연결하도록 수정했다. 실제 Pi에 등록된 도구를 동시에 실행해, 두 검토 입력이 각각 보존되고 승인된 파일만 변경되는지 확인한다.
+
+## 검증이 보장하는 범위
+
+- 주 모델과 검토자를 재생하는 시나리오는 실제 Pi와 OS 샌드박스를 사용한다. 이 결과를 실제 GLM5.3의 판단 정확도로 표시하지 않는다. 실모델 SDK 4개와 CLI 1개 사례는 별도 실행·집계한다. 통합 판정에는 CLI의 실제 검토 호출·파일 변경·자격 증명 미기록도 필요하다.
+- 기본 임시 디렉터리 쓰기와 일반 외부 파일 읽기는 기본 프로필이 허용하는 동작이다. 작업 공간 밖이라는 이유만으로 항상 차단된다고 가정하지 않는다.
+- 셸 실행은 트랜잭션이 아니다. 허용된 첫 번째 쓰기 뒤 두 번째 쓰기가 거부되어도 첫 번째 변경은 남는다. 이 부분 효과도 테스트에서 명시적으로 확인한다.
+- Linux에서 새 파일 생성은 승인할 부모 디렉터리 범위가 필요할 수 있다. 좁은 기존 파일 승인과 새 파일 생성의 범위를 구분한다.
+- 사전 생성 하드링크와 좁은 승인 파일의 다른 이름을 검사한다. 실행 중 격리 밖의 호스트 프로그램이 동시에 링크 구조를 바꾸는 공격까지 보장하지 않는다. 검사 실패·한도 초과는 실행 차단으로 처리한다.
+- Linux x64 호스트 실행과 ARM64 커널의 x64 실행은 기록을 분리한다. 최종 집계에는 같은 소스의 실제 Linux x64 호스트 결과가 필요하다.
+- Windows는 실제 운영체제에서 원본 규칙 엔진·승인 정책과 미지원 네이티브 실행의 사전 거부를 확인하는 별도 검증이다. Windows 네이티브 격리의 성공을 뜻하지 않는다.
+- 외부 MCP 실행기는 신뢰한 통합 계층이다. 이미 외부 서버에 전송된 요청의 취소 효과나 모든 공급자의 계정 식별·부수 효과를 보장하지 않는다. 비어 있는 승인 폼은 처리하지만 일반 입력 폼·URL elicitation은 거부한다. Pi에 없는 Computer Use 분류와 승인 예외는 제거했다.
+- 패턴 문자가 들어간 네이티브 권한 루트는 런타임에서 문자 그대로 표현할 수 없어 차단한다. 일반 작업 영역 안의 특수문자 파일명 지원과 구분한다. 신뢰한 확장의 디렉터리는 제어 코드로 보호하지만, 임의의 신뢰 확장이 그 밖의 파일을 실행하거나 import하는 모든 의존 관계를 자동 분석하지는 않는다.
+- HTTPS CONNECT·SOCKS5 TCP·IPv6와 직접 UDP 차단을 검사한다. SOCKS5 UDP 및 모든 네트워크 프로토콜을 지원·검증했다고 주장하지 않는다.
+- 독점 Codex 모델과의 모든 판단 동일성은 보장하지 않는다. 공개 정책·흐름과 선택한 GLM5.3의 관찰 결과를 구분한다.
+
+## 실행
+
+저장소 루트에서 실행한다. 아래 명령은 모두 실제 자격 증명을 사용하지 않는다.
+
+```sh
+npm run build
+npm run test:conformance
+npm run test:native
+npm run verify:docker -- --mode offline --platform linux/amd64
+```
+
+실모델 검증은 `OLLAMA_API_KEY`가 export된 셸에서 실행한다. `.zshrc`에 저장했다면 해당 셸에서 먼저 불러온다. 키 값은 명령 인자에 넣지 않는다. 앞선 오프라인 실행의 출력에서 확인한 이미지 식별자를 사용한다.
+
+```sh
+export OLLAMA_API_KEY
+npm run verify:docker -- --mode conformance --platform linux/amd64 --model glm-5.3 --image <imageDigest>
+npm run verify:guard
+```
+
+`verify:platform`은 실행한 운영체제의 전체 결과를 남기고, Windows의 `verify:windows`는 이식 가능한 엔진과 사전 거부 결과만 남긴다. GitHub Actions에는 Ollama 키를 보내지 않는다. 검증한 Docker 이미지를 가져온 뒤 로컬 환경변수로 실모델 검증을 수행한다.
+
+Docker 엔진에 따라 이미지를 내보낼 때와 불러온 뒤의 ID가 다를 수 있다. 이번 실행에서는 CI의 설정 해시를 로컬 매니페스트가 참조하고, 19개 레이어가 모두 같음을 확인했다. 이 경우에는 `docker image load`가 반환한 ID로 오프라인 검증을 다시 실행하고, 같은 ID로 실모델 검증을 실행한다.
+
+```sh
+npm run verify:docker -- --mode offline --platform linux/amd64 --image <loadedImageID>
+npm run verify:docker -- --mode conformance --platform linux/amd64 --model glm-5.3 --image <loadedImageID>
+```
+
+`verify:guard`는 같은 소스·플랫폼·이미지의 결과만 합친다. 이번 작업의 초기 실패와 후속 성공 기록도 `.reports/pi-guard/runs/`에 별도로 남긴다.