pi-codex-auto-review 0.1.2 → 0.1.3

package/dist/tools/executor.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"executor.js","sourceRoot":"","sources":["../../src/tools/executor.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,EAAE,OAAO,EAAE,IAAI,EAAE,SAAS,EAAE,MAAM,kBAAkB,CAAC;AACrF,OAAO,EACL,yBAAyB,EAAE,wBAAwB,EAAE,yBAAyB,EAC9E,wBAAwB,EAAE,wBAAwB,EAAE,wBAAwB,EAC5E,sBAAsB,GACvB,MAAM,iCAAiC,CAAC;AACzC,OAAO,EACL,UAAU,GAEX,MAAM,iBAAiB,CAAC;AAOzB,8EAA8E;AAC9E,MAAM,OAAO,UAAU;IACJ,OAAO,GAAG,IAAI,eAAe,EAAE,CAAC;IAChC,MAAM,GAAG,IAAI,GAAG,EAAoB,CAAC;IACtD,IAAI,qBAAqB,KAAa,OAAO,IAAI,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC;IAEhE,KAAK,CAAC,OAAO,CAAC,GAAc,EAAE,QAA2B,EAAE,MAAuB,EAAE,UAA4B,EAAE;QAChH,MAAM,MAAM,GAAG,WAAW,CAAC,GAAG,CAAC,CAAC,IAAI,CAAC,OAAO,CAAC,MAAM,EAAE,GAAG,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC;QACnG,MAAM,CAAC,cAAc,EAAE,CAAC;QACxB,MAAM,IAAI,GAAG,IAAI,CAAC,GAAG,CAAC,GAAG,EAAE,OAAO,EAAE,MAAM,CAAC,CAAC;QAC5C,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;QACtB,IAAI,CAAC;YAAC,OAAO,MAAM,IAAI,CAAC;QAAC,CAAC;gBAAS,CAAC;YAAC,IAAI,CAAC,MAAM,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC;QAAC,CAAC;IAClE,CAAC;IAEO,KAAK,CAAC,GAAG,CAAC,GAAc,EAAE,OAAyB,EAAE,MAAmB;QAC9E,IAAI,OAAO,CAAC,QAAQ;YAAE,OAAO,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC;QACtD,IAAI,GAAG,CAAC,IAAI,KAAK,OAAO,EAAE,CAAC;YACzB,MAAM,MAAM,GAAG,MAAM,yBAAyB,CAAC,EAAC,SAAS,EAAE,GAAG,CAAC,SAAS,EAAC,CAAC,CAAC,IAAI,CAAC,GAAG,CAAC,OAAO,EAAE,GAAG,CAAC,GAAG,EAAE;gBACpG,MAAM,EAAE,OAAO,EAAE,OAAO,CAAC,cAAc,IAAI,GAAG,CAAC,cAAc;gBAC7D,GAAG,EAAE,OAAO,CAAC,GAAG,IAAI,GAAG,CAAC,GAAG,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,IAAI,CAAC,GAAG,EAAE,GAAE,CAAC,CAAC;aAClE,CAAC,CAAC;YACH,OAAO,MAAyB,CAAC;QACnC,CAAC;QACD,IAAI,GAAG,CAAC,IAAI,KAAK,MAAM,EAAE,CAAC;YACxB,IAAI,MAAY,CAAC;YACjB,QAAQ,GAAG,CAAC,SAAS,EAAE,CAAC;gBACtB,KAAK,MAAM;oBAAE,MAAM,GAAG,EAAC,IAAI,EAAE,CAAC,MAAM,QAAQ,CAAC,GAAG,CAAC,IAAI,EAAC,EAAC,MAAM,EAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,QAAQ,CAAC,EAAC,CAAC;oBAAC,MAAM;gBAC5F,KAAK,OAAO;oBAAE,MAAM,SAAS,CAAC,GAAG,CAAC,IAAI,EAAE,GAAG,CAAC,OAAO,IAAI,EAAE,EAAE,EAAC,MAAM,EAAC,CAAC,CAAC;oBAAC,MAAM,GAAG,IAAI,CAAC;oBAAC,MAAM;gBAC3F,KAAK,OAAO;oBAAE,MAAM,KAAK,CAAC,GAAG,CAAC,IAAI,EAAC,EAAC,SAAS,EAAC,IAAI,EAAC,CAAC,CAAC;oBAAC,MAAM,GAAG,IAAI,CAAC;oBAAC,MAAM;gBAC3E,KAAK,QAAQ;oBAAE,MAAM,MAAM,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;oBAAC,MAAM,GAAG,IAAI,CAAC;oBAAC,MAAM;gBAC5D,KAAK,MAAM;oBAAE,MAAM,GAAG,EAAC,WAAW,EAAC,CAAC,MAAM,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,WAAW,EAAE,EAAC,CAAC;oBAAC,MAAM;gBAChF,KAAK,MAAM;oBAAE,MAAM,GAAG,MAAM,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;oBAAC,MAAM;gBACrD,OAAO,CAAC,CAAC,MAAM,IAAI,UAAU,CAAC,mBAAmB,EAAC,wBAAwB,CAAC,CAAC;YAC9E,CAAC;YACD,MAAM,CAAC,cAAc,EAAE,CAAC;YACxB,OAAO,MAAM,CAAC;QAChB,CAAC;QACD,MAAM,SAAS,GAAG;YAChB,IAAI,EAAE,wBAAwB,EAAE,KAAK,EAAE,yBAAyB;YAChE,IAAI,EAAE,wBAAwB,EAAE,IAAI,EAAE,wBAAwB;YAC9D,IAAI,EAAE,wBAAwB,EAAE,EAAE,EAAE,sBAAsB;SAC3D,CAAC;QACF,IAAI,GAAG,CAAC,IAAI,KAAK,MAAM;YAAE,MAAM,IAAI,UAAU,CAAC,mBAAmB,EAAC,8BAA8B,CAAC,CAAC;QAClG,MAAM,UAAU,GAAG,SAAS,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC,GAAG,EAAE,GAAG,CAAC,IAAI,KAAK,MAAM,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC;QAC/F,OAAO,MAAM,UAAU,CAAC,OAAO,CAAC,GAAG,CAAC,UAAU,EAAE,GAAG,CAAC,IAAa,EAAE,MAAM,EAAE,OAAO,CAAC,QAAiB,EAAE,SAAkB,CAAoB,CAAC;IAC/I,CAAC;IAED,KAAK,CAAC,KAAK;QACT,IAAI,CAAC,OAAO,CAAC,KAAK,CAAC,IAAI,UAAU,CAAC,WAAW,EAAC,wBAAwB,CAAC,CAAC,CAAC;QACzE,MAAM,OAAO,CAAC,UAAU,CAAC,CAAC,GAAG,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC;IAC7C,CAAC;CACF"}

package/dist/tools/mutation-queue.d.ts

@@ -0,0 +1 @@
+export declare function withApprovalMutationQueue<T>(path: string, execute: () => Promise<T>): Promise<T>;

package/dist/tools/mutation-queue.js

@@ -0,0 +1,16 @@
+// Keep approval and execution of one file action together. This queue is
+// separate from Pi's own filesystem queue so SDK calls cannot lock themselves.
+const pending = new Map();
+export async function withApprovalMutationQueue(path, execute) {
+    const previous = pending.get(path) ?? Promise.resolve();
+    const task = previous.catch(() => { }).then(execute);
+    pending.set(path, task);
+    try {
+        return await task;
+    }
+    finally {
+        if (pending.get(path) === task)
+            pending.delete(path);
+    }
+}
+//# sourceMappingURL=mutation-queue.js.map

package/dist/tools/mutation-queue.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"mutation-queue.js","sourceRoot":"","sources":["../../src/tools/mutation-queue.ts"],"names":[],"mappings":"AAAA,yEAAyE;AACzE,+EAA+E;AAC/E,MAAM,OAAO,GAAG,IAAI,GAAG,EAA4B,CAAC;AACpD,MAAM,CAAC,KAAK,UAAU,yBAAyB,CAAI,IAAY,EAAE,OAAyB;IACxF,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,IAAI,OAAO,CAAC,OAAO,EAAE,CAAC;IACxD,MAAM,IAAI,GAAG,QAAQ,CAAC,KAAK,CAAC,GAAG,EAAE,GAAE,CAAC,CAAC,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACpD,OAAO,CAAC,GAAG,CAAC,IAAI,EAAC,IAAI,CAAC,CAAC;IACvB,IAAI,CAAC;QAAC,OAAO,MAAM,IAAI,CAAC;IAAC,CAAC;YAAS,CAAC;QAAC,IAAI,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,KAAK,IAAI;YAAE,OAAO,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC;IAAC,CAAC;AAC9F,CAAC"}

package/docs/publishing.md

@@ -14,7 +14,7 @@ Node.js 24.14.0과 pnpm 10을 사용할 수 있는 터미널에서 저장소 루
 npm ci --ignore-scripts
 ```
 
-의존성 설치와 CI 빌드는 기존 `package-lock.json`을 사용합니다. `pnpm`은 릴리스 스크립트의 실행 진입점으로 사용하며, `pnpm-lock.yaml`로 설치 방식을 바꾸지 않습니다. 기존 npm 의존성 보정과 배포 시 의존성 묶음을 유지하기 위한 선택입니다.
+의존성 설치와 CI 빌드는 기존 `package-lock.json`을 사용합니다. `pnpm`은 릴리스 스크립트의 실행 진입점으로 사용하며, `pnpm-lock.yaml`로 설치 방식을 바꾸지 않습니다. 현재 패키지는 샌드박스 의존성을 묶지 않고 Pi 호스트를 peer dependency로 사용합니다.
 
 ### npm Trusted Publisher
 
@@ -57,13 +57,13 @@ pnpm release
 
 1. `macos-14` ARM64와 `ubuntu-22.04` x64에서 같은 커밋의 Rust 규칙 엔진을 Rust 1.95.0으로 빌드합니다.
 2. 패키지 작업은 태그와 `package.json` 버전이 일치하고 태그 커밋이 `origin/master`에 포함되는지 확인합니다.
-3. npm 잠금 파일로 의존성을 설치하고 두 실행 파일을 취합합니다. `npm pack`의 `prepack`이 TypeScript와 실행 파일 형식·CPU·소스 해시, 보정된 의존성 및 필수 배포 파일을 검사합니다.
+3. npm 잠금 파일로 의존성을 설치하고 두 실행 파일을 취합합니다. `npm pack`의 `prepack`이 TypeScript와 실행 파일 형식·CPU·소스 해시, 필수 배포 파일을 검사합니다. 삭제한 샌드박스 빌드 결과를 정리하고 `dist/sandbox`·`node_modules`가 압축 파일에 없는지도 검사합니다.
 4. 검증한 `pi-codex-auto-review-<버전>.tgz`를 `npm-package` 결과물에 보관합니다.
 5. 별도 게시 작업이 같은 결과물을 내려받아 OIDC로 npm에 게시합니다.
 
 **Actions → npm 배포 → Run workflow**로 수동 실행하면 압축 패키지 준비만 수행하며 게시 작업은 생략합니다. 태그 게시에는 같은 워크플로의 태그 실행을 사용합니다.
 
-Linux 실행 파일은 Ubuntu 22.04의 GNU 환경에서 빌드합니다. Alpine 등 musl 환경과 macOS x64·Linux ARM64는 이 배포의 지원 대상에 포함하지 않습니다. 격리·승인 동작의 플랫폼 검증은 [검증 안내](testing/auto-review-protection.md)를 따릅니다.
+Linux 규칙 엔진은 Ubuntu 22.04의 GNU 환경에서 빌드합니다. Alpine 등 musl 환경과 macOS x64·Linux ARM64는 이 규칙 엔진 배포의 지원 대상에 포함하지 않습니다. 승인 동작의 검증은 [검증 안내](testing/auto-review-protection.md)를 따릅니다.
 
 ## 중단과 실패 후 확인
 
@@ -81,16 +81,16 @@ git ls-remote origin refs/heads/master 'refs/tags/v*'
 
 ## 게시 결과와 Pi 설치 확인
 
-`0.1.2` 게시 후 다음 명령으로 확인합니다.
+`0.1.3` 게시 후 다음 명령으로 확인합니다.
 
 ```sh
-npm view pi-codex-auto-review@0.1.2 version --registry=https://registry.npmjs.org/
-pi install npm:pi-codex-auto-review@0.1.2
+npm view pi-codex-auto-review@0.1.3 version --registry=https://registry.npmjs.org/
+pi install npm:pi-codex-auto-review@0.1.3
 pi list
 pi
 ```
 
-다음 릴리스부터는 선택한 버전으로 명령을 바꿉니다. Pi 등록 성공만으로 보호 시작을 보장하지 않습니다. [사용법](usage.md)의 보호 CLI·SDK 진입점에서 규칙 엔진과 OS 샌드박스 준비가 성공하는지 확인합니다.
+다음 릴리스부터는 선택한 버전으로 명령을 바꿉니다. `0.1.2`는 샌드박스를 포함한 이전 구조이며, `0.1.3`은 샌드박스를 제거하고 승인 설정 명령을 추가한 버전입니다. 설치 후 `/approve`와 `/approve-model`이 표시되고 저장한 선택이 재시작 후 유지되는지 확인합니다. 설정 파일과 SDK 진입점은 [사용법](usage.md)을 따릅니다.
 
 ## 로컬에서 압축 패키지만 준비
 

package/docs/security/dependencies.md

@@ -1,6 +1,16 @@
 # 의존성 보안 수정
 
-2026-10-03 확인한 높은 심각도 3개 감사 항목을 조치했다. 깨끗한 `npm ci --ignore-scripts` 설치 후 실제 사용되는 버전은 `node-forge 1.4.1-0`, `brace-expansion 5.0.12`이며 npm 감사 결과는 0건이다. 실행 증거는 [보안 인계](https://github.com/buYoung/pi-codex-auto-review/blob/HEAD/docs/handoffs/auto-review/11-dependency-security.json)에 기록한다.
+현재 소스는 `@anthropic-ai/sandbox-runtime`, 그 하위 `node-forge`, `bundleDependencies`를 제거했다. 배포 패키지에 `node_modules`를 포함하지 않으며 Pi 호스트는 peer dependency로 사용한다. 설치된 Pi의 의존성을 이 확장이 교체하지 않는다.
+
+## 0.1.3 배포 전 감사
+
+2026-10-04 잠금 파일 기준으로 `npm audit --omit=dev --audit-level=high`는 취약점 0건이다. 개발 의존성을 포함한 `npm audit --audit-level=high`는 `release-it 21.0.1`의 `basic-ftp`·`undici` 하위 의존성과 그 상위 경로에서 높은 심각도 6건을 보고했다. 이 개발 도구들은 배포 압축 파일에 포함되지 않는다.
+
+`npm audit fix --force`가 제안하는 조치는 `release-it 20.2.0`으로의 주요 버전 변경이므로 이번 릴리스에서 적용하지 않았다. 개발 도구의 감사 항목은 미해결로 남기며, 배포 의존성의 감사 통과와 구분한다.
+
+## 이전 샌드박스 버전의 조치 기록
+
+아래는 샌드박스 제거 전의 기록이다. 당시 높은 심각도 3개 감사 항목을 조치했고, 설치된 `node-forge 1.4.1-0`, `brace-expansion 5.0.12`와 감사 0건을 기록했다. 현재 개발 의존성 전체의 감사 결과를 뜻하지 않는다. 원래 근거는 [보안 인계](https://github.com/buYoung/pi-codex-auto-review/blob/HEAD/docs/handoffs/auto-review/11-dependency-security.json)에 보존한다.
 
 | 항목 | 적용한 수정 | 배포 상태 |
 | --- | --- | --- |
@@ -34,9 +44,9 @@ npm audit --json
 
 이 보정은 저장소의 잠금 파일로 설치한 환경에 적용된다. 별도로 설치된 Pi 호스트나 다른 프로젝트의 의존성을 자동으로 바꾸지는 않는다. 다른 환경에서는 실제로 해석되는 의존성과 해당 환경의 감사 결과를 별도로 확인해야 한다.
 
-## npm 배포에서의 유지
+## 현재 npm 배포
 
-설치된 의존성의 `overrides`는 소비자 프로젝트에 적용되지 않고 `package-lock.json`도 게시되지 않는다. 따라서 npm 배포 패키지는 `bundleDependencies`로 `@anthropic-ai/sandbox-runtime`과 그 하위 의존성을 함께 포함한다. 잠금 파일로 설치한 보정된 `node-forge`도 묶음에 들어가며, 게시 전 검사는 고정된 소스 URL·설치 버전과 압축 패키지의 포함 여부를 확인한다.
+설치된 의존성의 `overrides`는 소비자 프로젝트에 적용되지 않고 `package-lock.json`도 게시되지 않는다. 이전 패키지에 묶었던 샌드박스 런타임은 현재 소스에서 제거했다. 게시 전 검사는 샌드박스 코드와 `node_modules`가 압축 파일에 남지 않는지 확인한다.
 
 Pi 호스트는 `peerDependencies`로 유지하고 묶지 않는다. 개발용 `vendor/pi-coding-agent-0.99.1-security.1.tgz`도 배포하지 않으므로 별도로 설치된 Pi의 `brace-expansion` 보정은 이 패키지의 보장 범위에 포함되지 않는다.
 

package/docs/testing/auto-review-protection.md

@@ -2,13 +2,33 @@
 
 이 검증은 **정책 판단, 실제 Pi 도구 결과, 파일·네트워크 효과**를 함께 확인한다. 허용 대조군이 먼저 성공해야 차단 결과도 유효하다. 예외나 오류 메시지만 확인하고 보호 성공으로 판정하지 않는다.
 
-현재 검증 구성과 실제 실행 수는 각 실행의 `results`에 기록한다. GLM5.3 검증은 SDK 경로의 4개 시나리오와 배포된 CLI 경로의 1개 시나리오를 구분한다. Docker는 이에 앞서 고아 프로세스 회수도 검사한다. 구성에 포함됐다는 사실과 실제 통과는 구분한다. 최신 소스의 최종 결합 결과는 [정합성 인계](../handoffs/auto-review/07-conformance.json)와 그 안의 실행 근거를 확인한다. 이전 플랫폼 검증은 [운영체제 검증 인계](../handoffs/auto-review/17-platform-qualification.json), 이전 112개 검증은 [이전 보호 경계 인계](../handoffs/auto-review/10-protection-matrix.json)에 보존한다.
+현재 소스는 승인 보조 확장이다. OS 격리·네트워크 프록시·재귀 디렉터리 검사를 수행하지 않는다. 승인된 도구는 원래 Pi 실행기를 사용한다. 아래 이전 샌드박스 검증 기록을 현재 실행 구조의 보장으로 사용하지 않는다.
+
+## 현재 승인·실행 검증
+
+| 대상 | 확인하는 결과 |
+| --- | --- |
+| `/approve` | 모델 검토와 사용자 승인이 실제 원래 파일 도구에 적용되고 선택이 저장됨 |
+| `/approve-model` | 검색·선택·취소·재로딩, 보조 모델 최종 적용, 주 모델 유지 |
+| 설정 변경 | 동시 선택 병합, 저장 실패 시 기존 설정 유지, 이전 검토의 늦은 승인 차단 |
+| Pi 실행 | 원래 SDK 실행, cwd·환경·출력·시간 제한·취소 신호 유지 |
+| 시작 | 관계없는 탐색 불가 디렉터리가 있어도 전수 탐색 없이 실행 |
+| 보호·거부 | 직접 보호 경로·금지 규칙은 검토 전 거부, 실패·취소·시간 초과는 실행으로 이어지지 않음 |
+| 배포 패키지 | 실제 Pi 로더로 시작, 샌드박스 빌드 결과와 묶인 의존성 부재 |
+
+검토자·UI를 재생하는 검증은 실제 Pi와 파일 결과를 사용하지만 실모델의 판단 정확도를 증명하지 않는다. 승인된 셸 내부의 간접 파일 접근, 하드링크와 실행 중 네트워크 변경은 OS가 제한하지 않는다. 호출자의 환경은 실행에 유지하고 검토 증거에서만 인증 변수를 제외한다.
+
+`verify:guard`는 현재 운영체제의 결과와 소스 해시·감사 기록을 저장한다. 다른 운영체제와 실모델 실행은 별도 결과이며 수행하지 않은 범위를 통과로 표시하지 않는다.
+
+## 이전 OS 격리 검증 기록
+
+다음 기록은 샌드박스가 있던 `v0.1.2` 및 이전 소스에 관한 것이다. GLM5.3 검증은 SDK 경로 4개와 CLI 1개 사례를 구분했다. 이전 플랫폼 검증은 [운영체제 검증 인계](../handoffs/auto-review/17-platform-qualification.json), 이전 112개 검증은 [이전 보호 경계 인계](../handoffs/auto-review/10-protection-matrix.json)에 보존한다. 새 소스의 실행 결과는 소스 해시가 일치하는 최신 실행 기록으로 확인한다.
 
 개선 전 `85008b0` 시점에는 같은 소스의 macOS·실제 Linux x64·네이티브 및 에뮬레이션 Docker가 각각 142개를 통과했다. GLM5.3 네 사례와 Windows의 별도 규칙·사전 거부 검증도 통과했고, 감사 기록 217건과 실모델 로그·보고서 7개의 키 비노출을 확인했다. 이후 전체 검토에서 기존 검사에 없던 결함이 발견됐다. 이 과거 결과는 아래 회귀 사례와 현재 소스의 통과를 대신하지 않는다.
 
 이번 전체 개선의 수정 내역, 최종 실행 근거와 남은 플랫폼 조건은 [Pi 실행 개선 인계](../handoffs/auto-review/25-pi-runtime-alignment.md)에 정리했다.
 
-## 보호되는 경우와 허용되는 경우
+### 이전 구조에서 보호되는 경우와 허용되는 경우
 
 | 경계 | 허용 대조군 | 차단 또는 검토 대상 | 최종 관찰 |
 | --- | --- | --- | --- |
@@ -47,7 +67,7 @@
 | Pi 자원 | 전역 skills와 신뢰한 프로젝트의 skills·프롬프트·테마 | 비신뢰 프로젝트 자원, 자동 확장 실행 | 모델 문맥과 펼쳐진 프롬프트에 전달, 비신뢰 코드 효과 없음 |
 | MCP 재연결 정리 | 출력 모드에서 RPC로 재연결 후 승인 호출 | 이전 서버 프로세스 잔류 | 정상 종료 후 생성한 두 PID 모두 부재 |
 
-## Codex에서 반영한 하네스 방식
+### 이전 구조에서 Codex를 참고한 하네스 방식
 
 기준은 공개 소스 `rust-v0.160.0`, 커밋 `a956835d020762cb2b570053af06f643a11c0ecc`다. 공개된 하네스의 검증 계약을 Pi의 스트림·도구 경로에 맞게 구현했다. `.rules`는 이 리비전의 `codex-execpolicy`를 실제 Rust 의존성으로 연결해 평가한다. 상류의 전체 Rust 테스트 스위트를 실행했다는 의미는 아니다.
 
@@ -61,7 +81,7 @@
 | [`agents_md.rs`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/src/agents_md.rs) | 프로젝트 루트·지침 우선순위·바이트 한도·신뢰 상태를 확인한다. |
 | [`mcp_tool_call.rs`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/src/mcp_tool_call.rs), [`session/mcp.rs`](https://github.com/openai/codex/blob/a956835d020762cb2b570053af06f643a11c0ecc/codex-rs/core/src/session/mcp.rs) | annotation 우선순위, 엄격한 자동 검토, 민감한 중첩 승인과 호출 출처 결합을 확인한다. |
 
-Pi 구현은 [`test/harness/scenarios.mjs`](../../test/harness/scenarios.mjs), 시나리오는 [`test/conformance/protection.test.mjs`](../../test/conformance/protection.test.mjs)에 있다. OS 격리 검사는 [`test/native/sandbox.test.mjs`](../../test/native/sandbox.test.mjs)에 있다. 하네스 자체도 호출 누락·초과, 이미 취소된 요청을 검사한다. 하네스 내부 assertion이 공급자 오류로 변환돼 조용히 통과하지 못하도록 별도로 보존한다.
+현재 재생 하네스는 [`test/harness/scenarios.mjs`](../../test/harness/scenarios.mjs), 시나리오는 [`test/conformance/protection.test.mjs`](../../test/conformance/protection.test.mjs)에 있다. 이전 OS 격리 검사는 [`v0.1.2`의 테스트](https://github.com/buYoung/pi-codex-auto-review/blob/v0.1.2/test/native/sandbox.test.mjs)에 보존했다. 하네스 자체도 호출 누락·초과, 이미 취소된 요청을 검사한다.
 
 확장 검증 중 Docker PID 1 아래 좀비 프로세스 131개가 누적되고 `grep`의 스레드 생성이 실패하는 문제를 재현했다. 하네스의 `--init`과 고아 회수 사전 검증으로 수정하며, PID 한도 256개와 내부 파일·네트워크·seccomp 제한을 유지한다.
 
@@ -85,7 +105,7 @@ CLI 관찰기는 Pi 0.99.1의 확장용 호환 레지스트리가 가리키는
 
 추가 승인 연결 검사에서는 같은 호출자 ID를 사용한 두 MCP 요청이 겹칠 때 거부 대상 파일이 변경되는 것을 재현했다. MCP 전송마다 내부에서 생성한 고유 ID로 추가 승인을 연결하도록 수정했다. 실제 Pi에 등록된 도구를 동시에 실행해, 두 검토 입력이 각각 보존되고 승인된 파일만 변경되는지 확인한다.
 
-## 검증이 보장하는 범위
+### 이전 OS 격리 검증이 보장했던 범위
 
 - 주 모델과 검토자를 재생하는 시나리오는 실제 Pi와 OS 샌드박스를 사용한다. 이 결과를 실제 GLM5.3의 판단 정확도로 표시하지 않는다. 실모델 SDK 4개와 CLI 1개 사례는 별도 실행·집계한다. 통합 판정에는 CLI의 실제 검토 호출·파일 변경·자격 증명 미기록도 필요하다.
 - 기본 임시 디렉터리 쓰기와 일반 외부 파일 읽기는 기본 프로필이 허용하는 동작이다. 작업 공간 밖이라는 이유만으로 항상 차단된다고 가정하지 않는다.
@@ -106,7 +126,7 @@ CLI 관찰기는 Pi 0.99.1의 확장용 호환 레지스트리가 가리키는
 ```sh
 npm run build
 npm run test:conformance
-npm run test:native
+npm run test:execution
 npm run verify:docker -- --mode offline --platform linux/amd64
 ```
 
@@ -118,7 +138,7 @@ npm run verify:docker -- --mode conformance --platform linux/amd64 --model glm-5
 npm run verify:guard
 ```
 
-`verify:platform`은 실행한 운영체제의 전체 결과를 남기고, Windows의 `verify:windows`는 이식 가능한 엔진과 사전 거부 결과만 남긴다. GitHub Actions에는 Ollama 키를 보내지 않는다. 검증한 Docker 이미지를 가져온 뒤 로컬 환경변수로 실모델 검증을 수행한다.
+`verify:platform`은 실행한 운영체제의 전체 결과를 남기고, Windows의 `verify:windows`는 규칙 엔진·파일 실행·취소 결과를 남긴다. GitHub Actions에는 Ollama 키를 보내지 않는다.
 
 Docker 엔진에 따라 이미지를 내보낼 때와 불러온 뒤의 ID가 다를 수 있다. 이번 실행에서는 CI의 설정 해시를 로컬 매니페스트가 참조하고, 19개 레이어가 모두 같음을 확인했다. 이 경우에는 `docker image load`가 반환한 ID로 오프라인 검증을 다시 실행하고, 같은 ID로 실모델 검증을 실행한다.
 
@@ -127,4 +147,4 @@ npm run verify:docker -- --mode offline --platform linux/amd64 --image <loadedIm
 npm run verify:docker -- --mode conformance --platform linux/amd64 --model glm-5.3 --image <loadedImageID>
 ```
 
-`verify:guard`는 같은 소스·플랫폼·이미지의 결과만 합친다. 이번 작업의 초기 실패와 후속 성공 기록도 `.reports/pi-guard/runs/`에 별도로 남긴다.
+`verify:guard`는 현재 운영체제에서 같은 소스의 결과를 기록한다. 다른 플랫폼·이미지·실모델 결과를 로컬 통과로 대신하지 않는다. 실행 기록은 `.reports/pi-guard/runs/`에 별도로 남긴다.

package/docs/usage.md

@@ -4,7 +4,9 @@ pi-codex-auto-review를 Pi 확장으로 등록하는 방법과 CLI·SDK·정책
 
 ## npm에서 설치
 
-npm에 게시된 버전은 Node.js 22.19 이상과 Pi 0.99.1 또는 1.0.0에서 설치합니다. 배포 대상은 macOS ARM64와 Linux x64이며, 패키지에 두 플랫폼의 규칙 엔진을 포함하므로 설치할 때 Rust가 필요하지 않습니다. 운영체제 샌드박스가 사용할 수 있는 환경이어야 하며 Windows의 네이티브 격리는 지원하지 않습니다.
+npm에 게시된 버전은 Node.js 22.19 이상과 Pi 0.99.1 또는 1.0.0에서 설치합니다. 배포 대상은 macOS ARM64와 Linux x64이며, 패키지에 두 플랫폼의 규칙 엔진을 포함하므로 설치할 때 Rust가 필요하지 않습니다.
+
+현재 소스의 샌드박스 제거와 `/approve`·`/approve-model` 메뉴 변경은 아직 새 npm 버전으로 게시되지 않았습니다. 아래 `0.1.2` 설치는 이전 실행 구조를 설치합니다. 변경된 동작은 소스 빌드 후 로컬 등록으로 확인합니다.
 
 ```sh
 pi install npm:pi-codex-auto-review@0.1.2
@@ -14,9 +16,9 @@ pi remove npm:pi-codex-auto-review
 
 `--local`을 추가하면 현재 프로젝트의 `.pi/settings.json`에 등록합니다. 프로젝트 패키지는 해당 프로젝트의 신뢰 결정 후 로드됩니다. 버전을 명시한 설치는 그 버전으로 고정됩니다.
 
-0.1.0에서 `Cannot find package '@earendil-works/pi-coding-agent'`로 시작에 실패하면 0.1.2로 업데이트합니다. Pi는 관리하는 확장에 호스트 SDK의 물리적 복사본을 설치하지 않습니다. 0.1.1부터 Pi의 공개 경로 API로 호스트 SDK를 찾고, 그 절대 경로를 격리 워커에도 전달합니다. 별도의 SDK 복사본이나 심볼릭 링크를 추가할 필요가 없습니다.
+Pi는 관리하는 확장에 호스트 SDK의 물리적 복사본을 설치하지 않습니다. 확장은 Pi의 공개 경로 API로 호스트 SDK를 찾으므로 별도의 SDK 복사본이나 심볼릭 링크를 추가할 필요가 없습니다.
 
-0.1.1에서 `Directory metadata scope is too large to qualify safely`로 시작에 실패해도 0.1.2로 업데이트합니다. 0.1.2는 별도 프로세스에서 디렉터리 메타데이터를 탐색하며, 10만 개 제한을 제거합니다. 기본 `/tmp`·`TMPDIR`의 쓰기 범위와 하드링크 보호, 30초 검사 제한 및 취소 처리는 유지합니다. 검사에 실패하거나 제한 시간을 초과하면 실행을 차단합니다.
+기존 버전의 `Directory metadata scope is too large to qualify safely`와 시작 지연은 샌드박스의 디렉터리 검사 경로에서 발생했습니다. 현재 소스에서는 이 실행 경로와 `@anthropic-ai/sandbox-runtime` 의존성을 제거했습니다.
 
 기본 설치 위치인 `.pi/agent/npm` 안에서도 실행에 필요한 확장 코드와 의존성을 읽을 수 있습니다. 에이전트 설정과 자격 증명 경로의 보호는 유지합니다.
 
@@ -74,7 +76,7 @@ node dist/cli.js \
 
 ## SDK
 
-보호 실행은 `pi-codex-auto-review` 진입점이나 `pi-codex-auto-review/startup`의 `createGuardedRuntime()`을 사용합니다. 도구와 샌드박스 준비 상태를 검사하고, 모드 재연결과 직접 사용자 쉘 호출에도 같은 검사를 적용합니다.
+승인 제어가 준비되지 않으면 시작을 거부해야 하는 실행은 `pi-codex-auto-review/startup`의 `createGuardedRuntime()`을 사용합니다. 확장과 승인 제어기 상태를 검사하고, 모드 재연결과 직접 사용자 셸 호출에도 같은 검사를 적용합니다.
 
 ```ts
 import { createGuardedRuntime } from 'pi-codex-auto-review/startup';
@@ -106,6 +108,8 @@ try {
 
 `--policy` 또는 SDK의 `settings`·`settingsPath`로 지정합니다.
 
+일반 Pi 설치에서는 `<agentDir>/guard/settings.json`을 사용합니다. `/approve`에서 **Approve for me** 또는 **Ask for approval**을 선택하고, `/approve-model`에서 등록된 모델을 검색해 보조 모델을 선택합니다. **현재 Pi 모델 사용**은 `reviewModel: null`에 해당합니다. 주 모델은 바뀌지 않으며 Esc로 취소하면 저장하지 않습니다. 명시한 `settingsPath`가 있으면 메뉴도 그 파일에 저장합니다.
+
 ```json
 {
   "mode": "workspace-write",
@@ -127,7 +131,7 @@ try {
 | 필드 | 기본값 | 설명 |
 | --- | --- | --- |
 | `mode` | `workspace-write` | `read-only` 또는 `workspace-write` |
-| `approvalPolicy` | `on-request` | `"on-request"`, `"never"`, 또는 `{"sandbox": true, "rules": false, "mcp_elicitations": true}`. 기존 두 필드 구성도 지원하며 생략한 `mcp_elicitations`는 허용하지 않습니다. `never`와 꺼진 범주의 경계 요청은 검토 없이 차단합니다 |
+| `approvalPolicy` | `on-request` | `"on-request"`, `"never"`, 또는 `{"sandbox": true, "rules": false, "mcp_elicitations": true}`. `sandbox` 키는 기존 파일 호환성을 위한 일반 승인 범주의 이름이며 OS 격리를 뜻하지 않습니다. 생략한 `mcp_elicitations`는 허용하지 않습니다. `never`와 꺼진 범주의 요청은 검토 없이 차단합니다 |
 | `approvalsReviewer` | `auto_review` | `"user"`면 사용자 검토 |
 | `reviewModel` | `null` | 현재 모델 대신 사용할 등록 모델 (`{"provider": "ollama-cloud", "id": "glm-5.3"}`). 해당 공급자를 먼저 등록해야 합니다 |
 | `ruleFiles` | `[]` | 아래 규칙 파일 경로 |
@@ -147,16 +151,16 @@ try {
 - Starlark 함수·조건식·컴프리헨션·문자열 보간, `prefix_rule`, `host_executable`, `network_rule`, `match`·`not_match` 검증을 지원합니다.
 - 복합 명령에는 가장 강한 규칙을 적용합니다.
 - Codex의 네트워크 규칙 변환처럼 프로토콜 표시는 호스트 허용·거부 목록으로 합쳐지며, 별도 프로토콜별 권한으로 분리하지 않습니다.
-- 해석하지 못하는 쉘 구문은 접두사 허용을 빌려 쓰지 않고 기본 격리에서 실행합니다.
+- 해석하지 못하는 셸 구문은 신뢰한 전체 명령 규칙이 허용하지 않으면 검토합니다.
 - 신뢰한 `allow` 규칙은 일치하는 명령의 권한을 넓힐 수 있으므로 필요한 명령에만 지정합니다.
 
 ## 동작 상세
 
 ### 명령 검토와 승인
 
-- 일반 명령과 인터프리터는 현재 OS 격리 안에서 실행합니다.
-- 경계를 넘는 파일 접근, 명시적 권한 상승 요청, 검토 규칙, 실행 중 새 네트워크 목적지는 별도 검토를 거칩니다.
-- 구조화된 자동 승인은 검토한 권한을 한 호출에 적용합니다. `additional_permissions`로 범위를 지정할 수 있고, 명시적 전체 명령 승인은 더 넓은 명령 권한을 부여합니다.
+- 승인된 도구는 Pi의 원래 SDK 실행기로 실행합니다. 셸의 최종 명령·작업 디렉터리·환경·시간 제한·취소 신호를 유지합니다.
+- 일반 범위를 넘는 파일 접근, 명시적 승인 요청, 검토 규칙, 해석하지 못하는 명령은 실행 전에 검토합니다.
+- `additional_permissions`는 검토할 범위의 설명입니다. 승인된 명령은 호스트 권한으로 실행하며 이 범위를 OS 접근 제한으로 강제하지 않습니다. 실행 중 네트워크 목적지를 가로채거나 별도 프록시를 만들지 않습니다.
 - TUI·RPC 승인 창에서 한 번, 세션, 규칙 저장을 선택할 수 있습니다. 전체 명령 권한은 한 번만 승인할 수 있습니다. 저장 승인은 정확한 도구·입력·작업 디렉터리·호출 경로·정책·권한에 묶이며, 정책 변경 시 기존 승인을 무효화합니다.
 - 모델 작업이 반복 거부로 중단돼도 이후 사용자가 직접 입력한 쉘 명령은 독립적으로 평가합니다.
 
@@ -167,7 +171,7 @@ try {
 - 조사는 읽기 전용 파일·디렉터리 도구로 제한합니다.
 - 연속 3회 또는 최근 50회 중 10회 거부되면 실제 Pi 작업을 중단합니다.
 - 오류와 시간 초과는 승인으로 바뀌지 않으며, 잘못된 위험 등급·승인 수준 응답도 검토 실패로 처리합니다.
-- `/approve` 또는 `/approve <거부 ID>`는 최근 거부한 정확한 동작 하나를 다시 검토합니다. 치명적 위험이나 절대 차단을 해제하지는 않습니다.
+- `/approve`는 승인 방식 설정이고 `/approve-model`은 보조 모델 선택입니다. 설정 변경은 저장 후 즉시 적용하며 이전 정책의 대기 검토와 저장 승인을 무효화합니다.
 
 ### 컨텍스트 파일
 
@@ -183,19 +187,18 @@ try {
 - `codex_requires_user_input`은 모델이 대신 승인하지 않습니다. 빈 승인 폼은 처리하지만, 입력 필드가 있는 일반 폼과 URL 인증 요청은 이 어댑터에서 거부합니다.
 - `node_repl/js` 이름에도 같은 승인 규칙을 적용합니다. 추가 승인 요청은 살아 있는 원래 호출의 도구·연결·실제 입력에 결합하며, 다른 도구나 커넥터를 대신 지목하면 거부합니다.
 
-### 특수 경로와 링크
+### 실행 범위
 
-- 권한 루트 이름에 `*`, `?`, `[`, `]`가 들어가면 패턴으로 해석하므로, 이 문자가 들어간 새 권한 범위는 승인 전에 차단합니다. 허용된 작업 디렉터리 안의 파일·폴더 이름은 그대로 사용할 수 있습니다.
-- Linux에서 아직 없는 파일을 만드는 쓰기는 상위 디렉터리 권한을 검토 요청에 함께 포함합니다.
-- 선언된 권한 밖의 런타임 기본 임시·로그 경로도 차단합니다.
-- 실행 전 하드링크를 검사해 범위 밖 별칭은 차단합니다.
+- 검토 입력의 경로는 문자 그대로 정규화합니다. 별도의 OS 권한 패턴으로 변환하지 않습니다.
+- 시작과 도구 실행 전에 디렉터리 트리나 하드링크를 전수 탐색하지 않습니다.
+- 직접 도구 경로와 해석 가능한 명령의 보호 경로는 승인 전에 거부합니다. 승인된 인터프리터 내부의 간접 접근, 하드링크 별칭, 실행 중 네트워크 변경을 격리하지 않습니다.
 
 ## Docker에서 Ollama Cloud 검증
 
 ### 준비
 
 - 저장소 루트에서 Docker 엔진이 실행 중이어야 합니다. 로컬 Ollama 서버는 설치하지 않습니다.
-- 이미지는 Node 24.14.0, Pi 0.99.1, `pi-ollama-cloud` 0.12.2, `sandbox-runtime` 0.0.78, `fd` 10.3.0의 해시를 고정합니다. 하네스는 컨테이너 격리를 약화하는 구성(호스트 디렉터리·소켓 마운트, 포트 공개, 격리 완화 옵션)을 허용하지 않습니다.
+- 이미지는 Node 24.14.0, Pi 0.99.1, `pi-ollama-cloud` 0.12.2, `fd` 10.3.0을 고정합니다. 호스트 디렉터리·소켓을 마운트하거나 포트를 공개하지 않으며 Docker의 기본 보안 제한을 유지합니다.
 - 처음 이미지 빌드에만 네트워크가 필요하고, 검증 컨테이너는 네트워크 없이 실행합니다.
 
 ### 키 없는 검증

package/package.json

@@ -1,12 +1,12 @@
 {
   "name": "pi-codex-auto-review",
-  "version": "0.1.2",
+  "version": "0.1.3",
   "description": "Codex의 ‘Approve for me’에서 영감을 받은 Pi용 자동 실행 승인 검토 확장. 규칙과 Pi의 현재 모델로 도구 실행을 검토하고, 필요한 경우 사용자 승인을 요청합니다.",
   "license": "Apache-2.0",
   "keywords": [
     "pi-package",
     "pi-extension",
-    "sandbox",
+    "approval",
     "auto-review"
   ],
   "repository": {
@@ -38,13 +38,13 @@
   },
   "scripts": {
     "release": "node scripts/release.mjs",
-    "build": "tsc && node scripts/build-execpolicy.mjs",
-    "prepack": "tsc && node scripts/check-package.mjs",
+    "build": "node scripts/clean-build.mjs && tsc && node scripts/build-execpolicy.mjs",
+    "prepack": "node scripts/clean-build.mjs && tsc && node scripts/check-package.mjs",
     "test:contracts": "node scripts/run-tests.mjs contracts",
     "test:policy": "node scripts/run-tests.mjs policy",
     "test:reviewer": "node scripts/run-tests.mjs reviewer",
     "test:approvals": "node scripts/run-tests.mjs approvals",
-    "test:native": "node scripts/run-tests.mjs native",
+    "test:execution": "node scripts/run-tests.mjs execution",
     "test:integration": "node scripts/run-tests.mjs integration",
     "test:e2e": "node scripts/run-tests.mjs e2e",
     "test:conformance": "node scripts/run-tests.mjs conformance",
@@ -53,17 +53,15 @@
     "verify:windows": "node scripts/verify-windows.mjs",
     "verify:docker": "node scripts/verify-docker.mjs"
   },
-  "dependencies": {
-    "@anthropic-ai/sandbox-runtime": "0.0.78"
-  },
-  "bundleDependencies": [
-    "@anthropic-ai/sandbox-runtime"
-  ],
   "peerDependencies": {
-    "@earendil-works/pi-coding-agent": "0.99.1 || 1.0.0"
+    "@earendil-works/pi-ai": ">=0.86.1",
+    "@earendil-works/pi-coding-agent": ">=0.86.1",
+    "@earendil-works/pi-tui": ">=0.86.1"
   },
   "devDependencies": {
+    "@earendil-works/pi-ai": "0.99.1",
     "@earendil-works/pi-coding-agent": "file:vendor/pi-coding-agent-0.99.1-security.1.tgz",
+    "@earendil-works/pi-tui": "0.99.1",
     "@inquirer/prompts": "8.5.2",
     "@sinclair/typebox": "0.34.52",
     "@types/node": "24.0.0",
@@ -76,8 +74,7 @@
     "@earendil-works/pi-ai": "0.99.1",
     "@earendil-works/pi-agent-core": "0.99.1",
     "@earendil-works/pi-tui": "0.99.1",
-    "brace-expansion": "5.0.12",
-    "node-forge": "https://codeload.github.com/digitalbazaar/forge/tar.gz/ceba34402e329f0365134f23fe19898756527d65"
+    "brace-expansion": "5.0.12"
   },
   "engines": {
     "node": ">=22.19.0"

package/dist/sandbox/broker.d.ts

@@ -1 +0,0 @@
-export {};

package/dist/sandbox/broker.js

@@ -1,139 +0,0 @@
-import { spawn } from 'node:child_process';
-import { fileURLToPath } from 'node:url';
-import { StringDecoder } from 'node:string_decoder';
-import { randomUUID } from 'node:crypto';
-import { isAbsolute } from 'node:path';
-import { SandboxManager } from '@anthropic-ai/sandbox-runtime';
-import { GuardError, validateWorkerFrame } from '../contracts.js';
-import { shellQuote, workloadEnvironment } from './config.js';
-let workload, isExecuting = false;
-const cancellation = new AbortController();
-const networkRequests = new Map();
-cancellation.signal.addEventListener('abort', () => { for (const resolve of networkRequests.values())
-    resolve(false); networkRequests.clear(); });
-const send = (frame) => { if (process.connected)
-    process.send?.(frame); };
-function killGroup(signal) {
-    if (!workload?.pid)
-        return;
-    try {
-        process.kill(-workload.pid, signal);
-    }
-    catch (error) {
-        if (error.code !== 'ESRCH')
-            throw error;
-    }
-}
-process.on('disconnect', () => { cancellation.abort(); killGroup('SIGKILL'); void SandboxManager.reset().finally(() => process.exit(1)); });
-process.on('message', raw => {
-    const message = raw;
-    if (message?.type === 'network-response') {
-        const response = raw;
-        if (response.schemaVersion !== 1 || typeof response.requestId !== 'string' || typeof response.isAllowed !== 'boolean') {
-            cancellation.abort();
-            killGroup('SIGKILL');
-            return;
-        }
-        networkRequests.get(response.requestId)?.(response.isAllowed && !cancellation.signal.aborted);
-        networkRequests.delete(response.requestId);
-        return;
-    }
-    if (message?.type === 'cancel') {
-        cancellation.abort();
-        killGroup('SIGTERM');
-        setTimeout(() => killGroup('SIGKILL'), 300).unref();
-        return;
-    }
-    if (message?.type !== 'execute' || isExecuting) {
-        send({ schemaVersion: 1, type: 'error', code: 'INVALID_IPC', message: 'Invalid broker request' });
-        process.exitCode = 1;
-        return;
-    }
-    isExecuting = true;
-    void run(message).catch(error => send({ schemaVersion: 1, type: 'error', code: error.code ?? 'BACKEND_FAILED', message: error.message })).finally(async () => {
-        killGroup('SIGKILL');
-        await SandboxManager.reset();
-        // Wait for IPC delivery before dropping the controller channel.
-        process.disconnect();
-    });
-});
-async function run({ commandId, config, job }) {
-    if (!job || !['shell', 'tool', 'file'].includes(job.kind) || typeof job.cwd !== 'string')
-        throw new GuardError('INVALID_IPC', 'Invalid workload');
-    const piSDKEntryPath = process.argv[2];
-    if (!piSDKEntryPath || !isAbsolute(piSDKEntryPath) || piSDKEntryPath.includes('\0'))
-        throw new GuardError('INVALID_IPC', 'Expected a trusted absolute Pi SDK entry');
-    await SandboxManager.initialize(config, config.network.strictAllowlist === false ? async (destination) => {
-        if (cancellation.signal.aborted || !process.connected || networkRequests.size >= 32)
-            return false;
-        const requestId = randomUUID();
-        return new Promise(resolve => {
-            networkRequests.set(requestId, resolve);
-            process.send?.({ schemaVersion: 1, type: 'network-request', requestId, destination });
-        });
-    } : undefined, false);
-    cancellation.signal.throwIfAborted();
-    if (!SandboxManager.isSandboxingEnabled() || !await SandboxManager.waitForNetworkInitialization())
-        throw new GuardError('BACKEND_UNAVAILABLE', 'Native filesystem/network sandbox is unavailable');
-    if (process.platform === 'linux') {
-        // SRT emits bridge mounts before filesystem masks. Restore only this
-        // invocation's proxy sockets when a restrictive read profile masks /tmp.
-        const sockets = [SandboxManager.getLinuxHttpSocketPath(), SandboxManager.getLinuxSocksSocketPath()].filter((path) => !!path);
-        SandboxManager.updateConfig({ ...config, filesystem: { ...config.filesystem, allowRead: [...(config.filesystem.allowRead ?? []), ...sockets] } });
-    }
-    const command = `${shellQuote(process.execPath)} ${shellQuote(fileURLToPath(new URL('./worker.js', import.meta.url)))} ${shellQuote(piSDKEntryPath)}`;
-    const wrapped = await SandboxManager.wrapWithSandboxArgv(command, '/bin/bash', undefined, cancellation.signal, job.cwd, { commandId });
-    cancellation.signal.throwIfAborted();
-    if (!wrapped.argv.length || !wrapped.argv.some(arg => arg.includes('sandbox-exec') || arg.includes('bwrap')))
-        throw new GuardError('BACKEND_UNAVAILABLE', 'Runtime did not return a native isolation command');
-    await new Promise((resolve, reject) => {
-        let buffer = '', stderr = '', hasTerminal = false, parseError;
-        const decoder = new StringDecoder('utf8');
-        workload = spawn(wrapped.argv[0], wrapped.argv.slice(1), { cwd: job.cwd, detached: true, env: { ...workloadEnvironment(job.kind === 'shell' ? job.env : {}), ...wrapped.env }, stdio: ['pipe', 'pipe', 'pipe'] });
-        if (workload.pid && process.connected)
-            process.send?.({ schemaVersion: 1, type: 'workload-started', processGroupId: workload.pid });
-        workload.on('error', reject);
-        workload.stderr?.on('data', data => { stderr = (stderr + data.toString()).slice(-8192); });
-        workload.stdout?.on('data', chunk => {
-            buffer += decoder.write(chunk);
-            if (Buffer.byteLength(buffer, 'utf8') > 32 * 1024 * 1024) {
-                parseError = new GuardError('INVALID_IPC', 'Worker frame exceeds size limit');
-                killGroup('SIGKILL');
-                return;
-            }
-            for (;;) {
-                const end = buffer.indexOf('\n');
-                if (end < 0)
-                    break;
-                const line = buffer.slice(0, end);
-                buffer = buffer.slice(end + 1);
-                try {
-                    if (hasTerminal)
-                        throw new GuardError('INVALID_IPC', 'Duplicate terminal frame');
-                    const frame = validateWorkerFrame(JSON.parse(line));
-                    if (frame.type === 'result' || frame.type === 'error')
-                        hasTerminal = true;
-                    send(frame);
-                }
-                catch (error) {
-                    parseError = error;
-                    killGroup('SIGKILL');
-                }
-            }
-        });
-        workload.once('close', (code) => {
-            buffer += decoder.end();
-            if (parseError)
-                reject(parseError);
-            else if (cancellation.signal.aborted)
-                reject(new GuardError('CANCELLED', 'Workload cancelled'));
-            else if (!hasTerminal || buffer.trim())
-                reject(new GuardError(/sandbox_init|Operation not permitted|bwrap:/.test(stderr) ? 'ENVIRONMENT_BLOCKED' : 'WORKER_FAILED', `Native worker failed (${code}): ${stderr || 'missing IPC result'}`));
-            else
-                resolve();
-        });
-        workload.stdin?.on('error', () => { });
-        workload.stdin?.end(JSON.stringify(job) + '\n');
-    });
-}
-//# sourceMappingURL=broker.js.map

package/dist/sandbox/broker.js.map

@@ -1 +0,0 @@
-{"version":3,"file":"broker.js","sourceRoot":"","sources":["../../src/sandbox/broker.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,KAAK,EAAqB,MAAM,oBAAoB,CAAC;AAC9D,OAAO,EAAE,aAAa,EAAE,MAAM,UAAU,CAAC;AACzC,OAAO,EAAE,aAAa,EAAE,MAAM,qBAAqB,CAAC;AACpD,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,UAAU,EAAE,MAAM,WAAW,CAAC;AACvC,OAAO,EAAE,cAAc,EAA6B,MAAM,+BAA+B,CAAC;AAC1F,OAAO,EAAE,UAAU,EAAE,mBAAmB,EAAoC,MAAM,iBAAiB,CAAC;AACpG,OAAO,EAAE,UAAU,EAAE,mBAAmB,EAAE,MAAM,aAAa,CAAC;AAE9D,IAAI,QAAkC,EAAE,WAAW,GAAG,KAAK,CAAC;AAC5D,MAAM,YAAY,GAAG,IAAI,eAAe,EAAE,CAAC;AAC3C,MAAM,eAAe,GAAG,IAAI,GAAG,EAAsC,CAAC;AACtE,YAAY,CAAC,MAAM,CAAC,gBAAgB,CAAC,OAAO,EAAE,GAAG,EAAE,GAAG,KAAK,MAAM,OAAO,IAAI,eAAe,CAAC,MAAM,EAAE;IAAE,OAAO,CAAC,KAAK,CAAC,CAAC,CAAC,eAAe,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;AAClJ,MAAM,IAAI,GAAG,CAAC,KAAkB,EAAE,EAAE,GAAG,IAAI,OAAO,CAAC,SAAS;IAAE,OAAO,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC;AACvF,SAAS,SAAS,CAAC,MAAsB;IACvC,IAAI,CAAC,QAAQ,EAAE,GAAG;QAAE,OAAO;IAC3B,IAAI,CAAC;QAAC,OAAO,CAAC,IAAI,CAAC,CAAC,QAAQ,CAAC,GAAG,EAAE,MAAM,CAAC,CAAC;IAAC,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QAAC,IAAK,KAA+B,CAAC,IAAI,KAAK,OAAO;YAAE,MAAM,KAAK,CAAC;IAAC,CAAC;AACpI,CAAC;AACD,OAAO,CAAC,EAAE,CAAC,YAAY,EAAE,GAAG,EAAE,GAAG,YAAY,CAAC,KAAK,EAAE,CAAC,CAAC,SAAS,CAAC,SAAS,CAAC,CAAC,CAAC,KAAK,cAAc,CAAC,KAAK,EAAE,CAAC,OAAO,CAAC,GAAG,EAAE,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;AAC5I,OAAO,CAAC,EAAE,CAAC,SAAS,EAAE,GAAG,CAAC,EAAE;IAC1B,MAAM,OAAO,GAAG,GAAwF,CAAC;IACzG,IAAI,OAAO,EAAE,IAAI,KAAK,kBAAkB,EAAE,CAAC;QACzC,MAAM,QAAQ,GAAG,GAAwE,CAAC;QAC1F,IAAI,QAAQ,CAAC,aAAa,KAAK,CAAC,IAAI,OAAO,QAAQ,CAAC,SAAS,KAAK,QAAQ,IAAI,OAAO,QAAQ,CAAC,SAAS,KAAK,SAAS,EAAE,CAAC;YAAC,YAAY,CAAC,KAAK,EAAE,CAAC;YAAC,SAAS,CAAC,SAAS,CAAC,CAAC;YAAC,OAAO;QAAC,CAAC;QAC9K,eAAe,CAAC,GAAG,CAAC,QAAQ,CAAC,SAAS,CAAC,EAAE,CAAC,QAAQ,CAAC,SAAS,IAAI,CAAC,YAAY,CAAC,MAAM,CAAC,OAAO,CAAC,CAAC;QAC9F,eAAe,CAAC,MAAM,CAAC,QAAQ,CAAC,SAAS,CAAC,CAAC;QAC3C,OAAO;IACT,CAAC;IACD,IAAI,OAAO,EAAE,IAAI,KAAK,QAAQ,EAAE,CAAC;QAAC,YAAY,CAAC,KAAK,EAAE,CAAC;QAAC,SAAS,CAAC,SAAS,CAAC,CAAC;QAAC,UAAU,CAAC,GAAG,EAAE,CAAC,SAAS,CAAC,SAAS,CAAC,EAAE,GAAG,CAAC,CAAC,KAAK,EAAE,CAAC;QAAC,OAAO;IAAC,CAAC;IAC5I,IAAI,OAAO,EAAE,IAAI,KAAK,SAAS,IAAI,WAAW,EAAE,CAAC;QAAC,IAAI,CAAC,EAAE,aAAa,EAAE,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,aAAa,EAAE,OAAO,EAAE,wBAAwB,EAAE,CAAC,CAAC;QAAC,OAAO,CAAC,QAAQ,GAAG,CAAC,CAAC;QAAC,OAAO;IAAC,CAAC;IACpL,WAAW,GAAG,IAAI,CAAC;IACnB,KAAK,GAAG,CAAC,OAAO,CAAC,CAAC,KAAK,CAAC,KAAK,CAAC,EAAE,CAAC,IAAI,CAAC,EAAE,aAAa,EAAE,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAG,KAAoB,CAAC,IAAI,IAAI,gBAAgB,EAAE,OAAO,EAAG,KAAe,CAAC,OAAO,EAAE,CAAC,CAAC,CAAC,OAAO,CAAC,KAAK,IAAI,EAAE;QACtL,SAAS,CAAC,SAAS,CAAC,CAAC;QACrB,MAAM,cAAc,CAAC,KAAK,EAAE,CAAC;QAC7B,gEAAgE;QAChE,OAAO,CAAC,UAAU,EAAE,CAAC;IACvB,CAAC,CAAC,CAAC;AACL,CAAC,CAAC,CAAC;AACH,KAAK,UAAU,GAAG,CAAC,EAAE,SAAS,EAAE,MAAM,EAAE,GAAG,EAAuE;IAChH,IAAI,CAAC,GAAG,IAAI,CAAC,CAAC,OAAO,EAAE,MAAM,EAAE,MAAM,CAAC,CAAC,QAAQ,CAAC,GAAG,CAAC,IAAI,CAAC,IAAI,OAAO,GAAG,CAAC,GAAG,KAAK,QAAQ;QAAE,MAAM,IAAI,UAAU,CAAC,aAAa,EAAE,kBAAkB,CAAC,CAAC;IAClJ,MAAM,cAAc,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IACvC,IAAI,CAAC,cAAc,IAAI,CAAC,UAAU,CAAC,cAAc,CAAC,IAAI,cAAc,CAAC,QAAQ,CAAC,IAAI,CAAC;QAAE,MAAM,IAAI,UAAU,CAAC,aAAa,EAAE,0CAA0C,CAAC,CAAC;IACrK,MAAM,cAAc,CAAC,UAAU,CAAC,MAAM,EAAE,MAAM,CAAC,OAAO,CAAC,eAAe,KAAK,KAAK,CAAC,CAAC,CAAC,KAAK,EAAC,WAAW,EAAC,EAAE;QACrG,IAAI,YAAY,CAAC,MAAM,CAAC,OAAO,IAAI,CAAC,OAAO,CAAC,SAAS,IAAI,eAAe,CAAC,IAAI,IAAI,EAAE;YAAE,OAAO,KAAK,CAAC;QAClG,MAAM,SAAS,GAAG,UAAU,EAAE,CAAC;QAC/B,OAAO,IAAI,OAAO,CAAU,OAAO,CAAC,EAAE;YACpC,eAAe,CAAC,GAAG,CAAC,SAAS,EAAE,OAAO,CAAC,CAAC;YACxC,OAAO,CAAC,IAAI,EAAE,CAAC,EAAC,aAAa,EAAC,CAAC,EAAC,IAAI,EAAC,iBAAiB,EAAC,SAAS,EAAC,WAAW,EAAC,CAAC,CAAC;QACjF,CAAC,CAAC,CAAC;IACL,CAAC,CAAC,CAAC,CAAC,SAAS,EAAE,KAAK,CAAC,CAAC;IACtB,YAAY,CAAC,MAAM,CAAC,cAAc,EAAE,CAAC;IACrC,IAAI,CAAC,cAAc,CAAC,mBAAmB,EAAE,IAAI,CAAC,MAAM,cAAc,CAAC,4BAA4B,EAAE;QAAE,MAAM,IAAI,UAAU,CAAC,qBAAqB,EAAE,kDAAkD,CAAC,CAAC;IACnM,IAAI,OAAO,CAAC,QAAQ,KAAK,OAAO,EAAE,CAAC;QACjC,qEAAqE;QACrE,yEAAyE;QACzE,MAAM,OAAO,GAAG,CAAC,cAAc,CAAC,sBAAsB,EAAE,EAAE,cAAc,CAAC,uBAAuB,EAAE,CAAC,CAAC,MAAM,CAAC,CAAC,IAAI,EAAkB,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;QAC7I,cAAc,CAAC,YAAY,CAAC,EAAC,GAAG,MAAM,EAAE,UAAU,EAAE,EAAC,GAAG,MAAM,CAAC,UAAU,EAAE,SAAS,EAAE,CAAC,GAAG,CAAC,MAAM,CAAC,UAAU,CAAC,SAAS,IAAI,EAAE,CAAC,EAAE,GAAG,OAAO,CAAC,EAAC,EAAC,CAAC,CAAC;IAChJ,CAAC;IACD,MAAM,OAAO,GAAG,GAAG,UAAU,CAAC,OAAO,CAAC,QAAQ,CAAC,IAAI,UAAU,CAAC,aAAa,CAAC,IAAI,GAAG,CAAC,aAAa,EAAE,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,UAAU,CAAC,cAAc,CAAC,EAAE,CAAC;IACtJ,MAAM,OAAO,GAAG,MAAM,cAAc,CAAC,mBAAmB,CAAC,OAAO,EAAE,WAAW,EAAE,SAAS,EAAE,YAAY,CAAC,MAAM,EAAE,GAAG,CAAC,GAAG,EAAE,EAAE,SAAS,EAAE,CAAC,CAAC;IACvI,YAAY,CAAC,MAAM,CAAC,cAAc,EAAE,CAAC;IACrC,IAAI,CAAC,OAAO,CAAC,IAAI,CAAC,MAAM,IAAI,CAAC,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,CAAC,QAAQ,CAAC,cAAc,CAAC,IAAI,GAAG,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC;QAAE,MAAM,IAAI,UAAU,CAAC,qBAAqB,EAAE,mDAAmD,CAAC,CAAC;IAC/M,MAAM,IAAI,OAAO,CAAO,CAAC,OAAO,EAAE,MAAM,EAAE,EAAE;QAC1C,IAAI,MAAM,GAAG,EAAE,EAAE,MAAM,GAAG,EAAE,EAAE,WAAW,GAAG,KAAK,EAAE,UAA6B,CAAC;QACjF,MAAM,OAAO,GAAC,IAAI,aAAa,CAAC,MAAM,CAAC,CAAC;QACxC,QAAQ,GAAG,KAAK,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAE,EAAE,OAAO,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,EAAE,GAAG,EAAE,GAAG,CAAC,GAAG,EAAE,QAAQ,EAAE,IAAI,EAAE,GAAG,EAAE,EAAE,GAAG,mBAAmB,CAAC,GAAG,CAAC,IAAI,KAAK,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,GAAG,OAAO,CAAC,GAAG,EAAE,EAAE,KAAK,EAAE,CAAC,MAAM,EAAE,MAAM,EAAE,MAAM,CAAC,EAAE,CAAC,CAAC;QACnN,IAAG,QAAQ,CAAC,GAAG,IAAI,OAAO,CAAC,SAAS;YAAC,OAAO,CAAC,IAAI,EAAE,CAAC,EAAC,aAAa,EAAC,CAAC,EAAC,IAAI,EAAC,kBAAkB,EAAC,cAAc,EAAC,QAAQ,CAAC,GAAG,EAAC,CAAC,CAAC;QAC3H,QAAQ,CAAC,EAAE,CAAC,OAAO,EAAE,MAAM,CAAC,CAAC;QAC7B,QAAQ,CAAC,MAAM,EAAE,EAAE,CAAC,MAAM,EAAE,IAAI,CAAC,EAAE,GAAG,MAAM,GAAG,CAAC,MAAM,GAAG,IAAI,CAAC,QAAQ,EAAE,CAAC,CAAC,KAAK,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;QAC3F,QAAQ,CAAC,MAAM,EAAE,EAAE,CAAC,MAAM,EAAE,KAAK,CAAC,EAAE;YAClC,MAAM,IAAI,OAAO,CAAC,KAAK,CAAC,KAAK,CAAC,CAAC;YAC/B,IAAI,MAAM,CAAC,UAAU,CAAC,MAAM,EAAC,MAAM,CAAC,GAAG,EAAE,GAAG,IAAI,GAAG,IAAI,EAAE,CAAC;gBAAC,UAAU,GAAG,IAAI,UAAU,CAAC,aAAa,EAAE,iCAAiC,CAAC,CAAC;gBAAC,SAAS,CAAC,SAAS,CAAC,CAAC;gBAAC,OAAO;YAAC,CAAC;YACzK,SAAS,CAAC;gBACR,MAAM,GAAG,GAAG,MAAM,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC;gBAAC,IAAI,GAAG,GAAG,CAAC;oBAAE,MAAM;gBACrD,MAAM,IAAI,GAAG,MAAM,CAAC,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC;gBAAC,MAAM,GAAG,MAAM,CAAC,KAAK,CAAC,GAAG,GAAG,CAAC,CAAC,CAAC;gBAClE,IAAI,CAAC;oBACH,IAAI,WAAW;wBAAE,MAAM,IAAI,UAAU,CAAC,aAAa,EAAE,0BAA0B,CAAC,CAAC;oBACjF,MAAM,KAAK,GAAG,mBAAmB,CAAC,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,CAAC;oBACpD,IAAI,KAAK,CAAC,IAAI,KAAK,QAAQ,IAAI,KAAK,CAAC,IAAI,KAAK,OAAO;wBAAE,WAAW,GAAG,IAAI,CAAC;oBAC1E,IAAI,CAAC,KAAK,CAAC,CAAC;gBACd,CAAC;gBAAC,OAAO,KAAK,EAAE,CAAC;oBAAC,UAAU,GAAG,KAAc,CAAC;oBAAC,SAAS,CAAC,SAAS,CAAC,CAAC;gBAAC,CAAC;YACxE,CAAC;QACH,CAAC,CAAC,CAAC;QACH,QAAQ,CAAC,IAAI,CAAC,OAAO,EAAE,CAAC,IAAI,EAAE,EAAE;YAC9B,MAAM,IAAE,OAAO,CAAC,GAAG,EAAE,CAAC;YACtB,IAAI,UAAU;gBAAE,MAAM,CAAC,UAAU,CAAC,CAAC;iBAC9B,IAAI,YAAY,CAAC,MAAM,CAAC,OAAO;gBAAE,MAAM,CAAC,IAAI,UAAU,CAAC,WAAW,EAAE,oBAAoB,CAAC,CAAC,CAAC;iBAC3F,IAAI,CAAC,WAAW,IAAI,MAAM,CAAC,IAAI,EAAE;gBAAE,MAAM,CAAC,IAAI,UAAU,CAAC,6CAA6C,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,qBAAqB,CAAC,CAAC,CAAC,eAAe,EAAE,yBAAyB,IAAI,MAAM,MAAM,IAAI,oBAAoB,EAAE,CAAC,CAAC,CAAC;;gBACrO,OAAO,EAAE,CAAC;QACjB,CAAC,CAAC,CAAC;QACH,QAAQ,CAAC,KAAK,EAAE,EAAE,CAAC,OAAO,EAAE,GAAG,EAAE,GAAE,CAAC,CAAC,CAAC;QACtC,QAAQ,CAAC,KAAK,EAAE,GAAG,CAAC,IAAI,CAAC,SAAS,CAAC,GAAG,CAAC,GAAG,IAAI,CAAC,CAAC;IAClD,CAAC,CAAC,CAAC;AACL,CAAC"}

package/dist/sandbox/config.d.ts

@@ -1,5 +0,0 @@
-import type { SandboxRuntimeConfig } from '@anthropic-ai/sandbox-runtime';
-import { type PermissionDelta, type PermissionProfile, type ExecutionAuthority } from '../contracts.js';
-export declare function shellQuote(text: string): string;
-export declare function workloadEnvironment(caller?: NodeJS.ProcessEnv, ambient?: NodeJS.ProcessEnv): NodeJS.ProcessEnv;
-export declare function nativeConfig(profile: PermissionProfile, delta: PermissionDelta, cwd: string, authority?: ExecutionAuthority, piSDKEntryPath?: string): Promise<SandboxRuntimeConfig>;