trustdex 0.10.0 → 0.11.0

package/docs/ROADMAP.ko.md

@@ -18,6 +18,9 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
   연결, 버전 지정 스키마, 드리프트 검토 및 비활성 픽스처를 추가합니다.
 - TrustDex 0.10.0은 명시적인 값 없는 런타임 인벤토리 계약, 실제 경계 대조,
   노출 드리프트 검토, 버전 지정 스키마 및 픽스처를 추가합니다.
+- TrustDex 0.11.0은 정확한 런타임 인벤토리의 Ed25519 생성자 인증, 제한된 만료/캡처
+  나이, 스키마 v2 인증 상태와 재사용·다른 키·미래 시각·변조·미인증 증거를
+  안전하게 실패시키는 테스트를 추가합니다.
 
 ## 현재: 경계 강화
 
@@ -31,7 +34,8 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
 ## 다음: 실제 런타임 증거 강화
 
 - 런타임이 권한 있는 안정적 인터페이스를 제공할 때만 구체적인 옵트인 어댑터 게시
-- 장기 공유 비밀 없이 인벤토리 생성자와 전송 인증
+- 배포용 공개 키 허용 목록, 교체 및 폐기 연결 지점 추가
+- 메시지 수준 생성자 서명 주변의 전송 보호 문서화
 - 값 없는 보고서를 유지하면서 MCP 표시 범위 밖으로 실제 증거 확장
 - 지원하는 어댑터/런타임 버전의 테스트 기반 호환성 매트릭스 게시
 

package/docs/ROADMAP.md

@@ -18,6 +18,9 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
   results and automatic tool grants, versioned schemas, drift review, and inert fixtures.
 - TrustDex 0.10.0 adds an explicit value-free runtime inventory contract, effective
   boundary reconciliation, exposure-drift review, versioned schemas, and fixtures.
+- TrustDex 0.11.0 adds Ed25519 producer authentication for exact runtime inventories,
+  bounded expiry/capture age, schema-v2 authentication state, and fail-closed tests for
+  replay, wrong-key, future-time, mutation, and unauthenticated evidence.
 
 ## Now: harden the boundary
 
@@ -31,7 +34,8 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
 ## Next: strengthen effective-runtime evidence
 
 - ship concrete opt-in adapters only where a runtime exposes an authorized stable interface
-- authenticate inventory producers and transports without introducing long-lived shared secrets
+- add deployment-facing public-key allowlists, rotation, and revocation hooks
+- document transport hardening around the message-level producer signature
 - extend effective evidence beyond MCP visibility while retaining value-free reports
 - publish a tested compatibility matrix for supported adapter/runtime versions
 

package/docs/RUNTIME_EVIDENCE.ko.md

@@ -0,0 +1,89 @@
+# 인증된 런타임 증거
+
+<p align="right">
+  <a href="./RUNTIME_EVIDENCE.md">English</a> | <strong>한국어</strong>
+</p>
+
+TrustDex는 권한이 있는 Claude 또는 Codex 통합이 생성한 값 없는 런타임 인벤토리를
+인증할 수 있습니다. 인증은 고정된 어떤 Ed25519 키가 정확한 인벤토리에 서명했는지와
+수명이 짧은 증명이 신선한지를 확인합니다. 어댑터가 침해되지 않았거나 인벤토리가
+완전하거나 런타임이 검토된 정책을 강제했다는 사실까지 증명하지는 않습니다.
+
+## 종단 간 워크플로
+
+전용 생성자 키 쌍을 한 번 만드세요. 비공개 키는 어댑터에 보관하고, 공개 키는
+신뢰할 수 있는 채널을 통해 각 검증자에게 배포합니다.
+
+```bash
+node ./bin/trustdex.mjs keygen \
+  --private .trustdex/runtime-producer-private.pem \
+  --public .trustdex/runtime-producer-public.pem
+```
+
+권한 있는 어댑터는 런타임, 캡처 시각/방식, 서버 이름 및 서버별 도구 개수만 담은
+`agent-runtime-tool-inventory` JSON을 작성합니다. 그 파일에 즉시 서명하세요. 기본
+수명은 5분이고 최대 수명은 24시간입니다.
+
+```bash
+node ./bin/trustdex.mjs sign-runtime-inventory \
+  ./runtime-tool-inventory.json \
+  --private .trustdex/runtime-producer-private.pem \
+  --out .trustdex/runtime-attestation.json \
+  --ttl-seconds 300
+```
+
+대조 전에 생성자 신원, 서명, 만료 및 캡처 신선도를 검증합니다.
+
+```bash
+node ./bin/trustdex.mjs verify-runtime-inventory \
+  ./runtime-tool-inventory.json \
+  --attestation .trustdex/runtime-attestation.json \
+  --public .trustdex/runtime-producer-public.pem \
+  --max-age-seconds 120 \
+  --json
+
+node ./bin/trustdex.mjs snapshot-runtime-tools \
+  .trustdex/claude-bindings.json \
+  ./runtime-tool-inventory.json \
+  --attestation .trustdex/runtime-attestation.json \
+  --public .trustdex/runtime-producer-public.pem \
+  --max-age-seconds 120 \
+  --require-authenticated \
+  --out .trustdex/runtime-tools.json
+```
+
+잘못되거나 만료되거나 오래되거나 미래 시각이거나 다른 키를 사용하거나 인벤토리와
+불일치하는 증명은 종료 코드 `2`를 반환합니다. 인증하지 않은 스키마 v2 실제 증거는
+항상 최소 `needs-review`가 되며, 관찰된 차단/미설정 서버는 계속 `block`이 됩니다.
+
+## 서명 범위
+
+Ed25519 서명은 스키마/알고리즘 식별자, 정규 인벤토리 다이제스트, 런타임, 캡처
+시각과 방식, 생성자 공개 키 ID, 생성 시각 및 만료 시각을 포함합니다. 키 ID는 공개
+SPKI 바이트의 SHA-256 다이제스트입니다. 별도 인벤토리 스키마가 원시 도구 목록과
+임의 필드를 거부하므로 증명과 실제 보고서에는 도구 이름, 엔드포인트, 자격 증명 또는
+비공개 키 자료가 포함되지 않습니다.
+
+선택적인 `--max-age-seconds`는 증명 만료와 별개입니다. 만료는 서명 사용 가능 시간을,
+최대 나이는 원본 캡처의 허용 나이를 제한합니다. TrustDex는 제한된 시계 오차만
+허용하기 위해 5분보다 먼 미래의 캡처와 증명도 거부합니다.
+
+## 운영 및 키 교체
+
+- 생성자 전용 키를 사용하고 비공개 파일을 최소 권한으로 보호하며 커밋하지 마세요.
+  일반 검토 기록 키도 암호학적으로 작동하지만 운영 역할은 분리해야 합니다.
+- 예상 공개 키는 인벤토리/증명 채널 밖에서 고정하세요. 공격자가 증거와 공개 키를
+  모두 바꿀 수 있다면 서명은 신원 주장이 아닙니다.
+- 감사 보존이 필요하면 인벤토리, 증명, 고정 키 ID, 결합 스냅샷 및 실제 보고서를
+  함께 보관하세요. 실제 보고서는 자체 일관성을 확인하지만 독립적으로 서명되지는 않습니다.
+- 키 교체 시 새 공개 키를 먼저 배포하고, 제한된 중첩 기간 동안 오케스트레이션에서
+  이전 또는 새 고정 키를 허용한 뒤 생성자를 전환하고 이전 키를 폐기하세요. TrustDex는
+  호출당 전달된 키 하나를 검증하며 키 허용 목록과 폐기는 배포 환경의 책임입니다.
+- `producer-key-changed`와 `inventory-authentication-changed` 차이를 검토 이벤트로
+  취급하세요. 비공개 키 탈취가 의심되면 검증자에서 키를 제거하고 새 키로 증거를 다시 발급하세요.
+
+계약은
+[`runtime-tool-inventory-v1.schema.json`](../schemas/runtime-tool-inventory-v1.schema.json),
+[`runtime-tool-inventory-attestation-v1.schema.json`](../schemas/runtime-tool-inventory-attestation-v1.schema.json),
+[`effective-runtime-tools-v2.schema.json`](../schemas/effective-runtime-tools-v2.schema.json),
+[`effective-runtime-tools-diff-v2.schema.json`](../schemas/effective-runtime-tools-diff-v2.schema.json)에 정의되어 있습니다.

package/docs/RUNTIME_EVIDENCE.md

@@ -0,0 +1,96 @@
+# Authenticated runtime evidence
+
+<p align="right">
+  <strong>English</strong> | <a href="./RUNTIME_EVIDENCE.ko.md">한국어</a>
+</p>
+
+TrustDex can authenticate a value-free runtime inventory produced by an authorized
+Claude or Codex integration. Authentication proves which pinned Ed25519 key signed the
+exact inventory and whether the short-lived attestation is fresh. It does not prove
+that the adapter is uncompromised, that the inventory is complete, or that the runtime
+enforced the reviewed policy.
+
+## End-to-end workflow
+
+Generate a dedicated producer key pair once. Keep the private key with the adapter and
+distribute the public key through a trusted channel to each verifier:
+
+```bash
+node ./bin/trustdex.mjs keygen \
+  --private .trustdex/runtime-producer-private.pem \
+  --public .trustdex/runtime-producer-public.pem
+```
+
+The authorized adapter writes `agent-runtime-tool-inventory` JSON containing only the
+runtime, capture time/method, server names, and per-server tool counts. Sign that exact
+file immediately; the default lifetime is five minutes and the maximum is 24 hours:
+
+```bash
+node ./bin/trustdex.mjs sign-runtime-inventory \
+  ./runtime-tool-inventory.json \
+  --private .trustdex/runtime-producer-private.pem \
+  --out .trustdex/runtime-attestation.json \
+  --ttl-seconds 300
+```
+
+Verify producer identity, signature, expiry, and capture freshness before reconciliation:
+
+```bash
+node ./bin/trustdex.mjs verify-runtime-inventory \
+  ./runtime-tool-inventory.json \
+  --attestation .trustdex/runtime-attestation.json \
+  --public .trustdex/runtime-producer-public.pem \
+  --max-age-seconds 120 \
+  --json
+
+node ./bin/trustdex.mjs snapshot-runtime-tools \
+  .trustdex/claude-bindings.json \
+  ./runtime-tool-inventory.json \
+  --attestation .trustdex/runtime-attestation.json \
+  --public .trustdex/runtime-producer-public.pem \
+  --max-age-seconds 120 \
+  --require-authenticated \
+  --out .trustdex/runtime-tools.json
+```
+
+An invalid, expired, stale, future-dated, wrong-key, or inventory-mismatched attestation
+exits `2`. Without authentication, schema-v2 effective evidence is always at least
+`needs-review`; observed blocked or unconfigured servers still produce `block`.
+
+## What is signed
+
+The Ed25519 signature covers the schema and algorithm identifiers, canonical inventory
+digest, runtime, capture time and method, producer public-key ID, creation time, and
+expiry. The key ID is the SHA-256 digest of the public SPKI bytes. The separate inventory
+schema rejects raw tool lists and arbitrary fields, so neither the attestation nor the
+effective report contains tool names, endpoints, credentials, or private-key material.
+
+The optional `--max-age-seconds` limit is independent of attestation expiry: expiry caps
+how long the signature is usable, while maximum age caps how old the underlying capture
+may be. TrustDex also rejects captures and attestations more than five minutes in the
+future to tolerate only bounded clock skew.
+
+## Operations and key rotation
+
+- Use a producer-specific key, protect the private file with least privilege, and never
+  commit it. A generic review-record key may work cryptographically but should remain a
+  separate operational role.
+- Pin the expected public key outside the inventory/attestation channel. A signature is
+  not an identity claim if an attacker can replace both the evidence and its public key.
+- Archive the inventory, attestation, pinned key ID, binding snapshot, and effective
+  report together when audit retention is required. The effective report is
+  self-consistent but is not independently signed.
+- For rotation, distribute the new public key first, update orchestration to accept the
+  old or new pinned key during a bounded overlap, then switch the producer and retire the
+  old key. TrustDex verifies one supplied key per invocation; key allowlists and revocation
+  remain deployment responsibilities.
+- Treat `producer-key-changed` and `inventory-authentication-changed` diffs as review
+  events. If a private key is suspected to be stolen, remove that key from verifiers and
+  reissue evidence with a new key.
+
+The contracts are defined by
+[`runtime-tool-inventory-v1.schema.json`](../schemas/runtime-tool-inventory-v1.schema.json),
+[`runtime-tool-inventory-attestation-v1.schema.json`](../schemas/runtime-tool-inventory-attestation-v1.schema.json),
+[`effective-runtime-tools-v2.schema.json`](../schemas/effective-runtime-tools-v2.schema.json),
+and [`effective-runtime-tools-diff-v2.schema.json`](../schemas/effective-runtime-tools-diff-v2.schema.json).
+

package/docs/THREAT_MODEL.ko.md

@@ -28,6 +28,7 @@ TrustDex는 하나의 좁은 질문을 다룹니다.
 - 실제 도구 경계를 가리는 와일드카드, 일치하지 않거나 모호한 권한
 - 차단·검토 필요·미설정 MCP 서버를 노출한다고 명시적으로 보고한 런타임 인벤토리
 - 서버 표시 범위 또는 도구 개수로 확대되는 실제 런타임 인벤토리
+- 서명된 런타임 인벤토리의 변조, 만료/캡처 나이 이후 재사용, 미래 시각 지정 또는 다른 키 대체
 
 ## 신뢰 경계
 
@@ -56,13 +57,17 @@ TrustDex는 익숙한 프로젝트 이름, 스타 수, 패키지 이름 또는
 - 서명되지 않은 권한 상태 스냅샷 작성자의 인증
 - 결합 스냅샷이 실행 중인 에이전트가 실제로 불러온 파일을 반영함을 증명하는 것
 - 개별 MCP 도구 호출을 런타임에서 가로채거나 강제하는 것
-- 인벤토리 생성자 인증, 인벤토리 완전성 증명 또는 침해된 어댑터의 거짓 보고 방지
+- 인벤토리 완전성 증명 또는 침해된 어댑터나 탈취된 생성자 키의 거짓 증거 서명 방지
 - 실제 Claude/Codex 세션을 자동으로 찾거나 비공개 상태를 읽는 것
 
 ## 중요한 실패 모드
 
 유효한 서명은 신뢰 기록이 해당 비공개 키로 서명되었고 연결된 스냅샷 다이제스트가 변경되지 않았음을 증명합니다. 원래 검토가 정확했다는 것은 증명하지 않습니다.
 
+마찬가지로 유효한 런타임 인벤토리 증명은 고정된 생성자 키가 검사된 시간 제한 안에서
+정확한 값 없는 인벤토리에 서명했음을 증명합니다. 생성자가 로드된 모든 도구를
+관찰했거나 런타임을 진실하게 보고했다는 사실은 증명하지 않습니다.
+
 ## 설계 원칙
 
 TrustDex는 누락된 증거를 신뢰로 변환해서는 안 됩니다. 알 수 없는 출처는 추측할 이유가 아니라 정책 입력입니다.

package/docs/THREAT_MODEL.md

@@ -28,6 +28,7 @@ TrustDex addresses one narrow question:
 - wildcard, unmatched, or ambiguous grants that hide the effective tool boundary
 - explicitly reported runtime inventories that expose blocked, review-required, or unconfigured MCP servers
 - effective runtime inventories expanding by server visibility or tool count
+- mutation, replay past expiry/capture-age limits, future dating, or wrong-key substitution of signed runtime inventories
 
 ## Trust boundaries
 
@@ -56,13 +57,17 @@ TrustDex does **not** treat a familiar project name, star count, package name, o
 - authenticating the author of an unsigned permission posture snapshot
 - proving that a binding snapshot reflects the files actually loaded by a running agent
 - intercepting or enforcing individual MCP tool calls at runtime
-- authenticating an inventory producer, proving inventory completeness, or preventing a compromised adapter from lying
+- proving inventory completeness or preventing a compromised adapter or stolen producer key from signing false evidence
 - discovering live Claude/Codex sessions or reading their private state automatically
 
 ## Important failure mode
 
 A valid signature proves that a trust record was signed by the corresponding private key and that its bound snapshot digest has not changed. It does not prove that the original review was correct.
 
+Likewise, a valid runtime-inventory attestation proves that the pinned producer key
+signed the exact value-free inventory within the checked time limits. It does not prove
+that the producer observed every loaded tool or reported the runtime truthfully.
+
 ## Design principle
 
 TrustDex should never convert missing evidence into trust. Unknown provenance is a policy input, not a reason to guess.

package/examples/adversarial/bindings/expected.json

@@ -13,7 +13,7 @@
     "blockedCount": 1
   },
   "runtimeBefore": {
-    "status": "restricted",
+    "status": "needs-review",
     "observedServerCount": 1,
     "matchedCount": 1,
     "notObservedCount": 1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "trustdex",
-  "version": "0.10.0",
+  "version": "0.11.0",
   "description": "A local-first trust, provenance, and review gate for AI agent tools, MCP servers, skills, and plugins.",
   "type": "module",
   "bin": {
@@ -8,8 +8,8 @@
   },
   "scripts": {
     "test": "node --test",
-    "test:research": "node --test test/research-fixtures.test.mjs test/claude-settings.test.mjs test/codex-settings.test.mjs test/posture.test.mjs test/settings-stack.test.mjs test/bindings.test.mjs test/runtime-evidence.test.mjs",
-    "check": "node --check bin/trustdex.mjs && node --check src/bindings.mjs && node --check src/runtime-evidence.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/claude-settings.mjs && node --check src/codex-config.mjs && node --check src/codex-settings.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/posture.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
+    "test:research": "node --test test/research-fixtures.test.mjs test/claude-settings.test.mjs test/codex-settings.test.mjs test/posture.test.mjs test/settings-stack.test.mjs test/bindings.test.mjs test/runtime-evidence.test.mjs test/runtime-attestation.test.mjs",
+    "check": "node --check bin/trustdex.mjs && node --check src/bindings.mjs && node --check src/runtime-evidence.mjs && node --check src/runtime-attestation.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/claude-settings.mjs && node --check src/codex-config.mjs && node --check src/codex-settings.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/posture.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
     "prepublishOnly": "npm test && npm run check"
   },
   "engines": {

package/schemas/effective-runtime-tools-diff-v2.schema.json

@@ -0,0 +1,51 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/effective-runtime-tools-diff-v2.schema.json",
+  "title": "TrustDex authenticated effective runtime tool boundary diff v2",
+  "type": "object",
+  "additionalProperties": false,
+  "required": ["schemaVersion", "runtime", "status", "baselineDigest", "currentDigest", "summary", "changes"],
+  "properties": {
+    "schemaVersion": { "const": 2 },
+    "runtime": { "enum": ["claude", "codex"] },
+    "status": { "enum": ["unchanged", "restricted", "needs-review"] },
+    "baselineDigest": { "$ref": "#/$defs/digest" },
+    "currentDigest": { "$ref": "#/$defs/digest" },
+    "summary": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["expansions", "restrictions", "reviews"],
+      "properties": {
+        "expansions": { "$ref": "#/$defs/count" },
+        "restrictions": { "$ref": "#/$defs/count" },
+        "reviews": { "$ref": "#/$defs/count" }
+      }
+    },
+    "changes": {
+      "type": "array",
+      "items": {
+        "type": "object",
+        "additionalProperties": false,
+        "required": ["impact", "type", "name", "field", "before", "after"],
+        "properties": {
+          "impact": { "enum": ["expansion", "restriction", "review"] },
+          "type": {
+            "enum": [
+              "bindings-changed", "capture-method-changed", "inventory-authentication-changed",
+              "producer-key-changed", "server-added", "server-removed", "observation-changed",
+              "tool-count-changed", "binding-state-changed", "server-status-changed"
+            ]
+          },
+          "name": { "oneOf": [{ "type": "string", "minLength": 1 }, { "type": "null" }] },
+          "field": { "type": "string", "minLength": 1 },
+          "before": {},
+          "after": {}
+        }
+      }
+    }
+  },
+  "$defs": {
+    "digest": { "type": "string", "pattern": "^[a-f0-9]{64}$" },
+    "count": { "type": "integer", "minimum": 0 }
+  }
+}

package/schemas/effective-runtime-tools-v2.schema.json

@@ -0,0 +1,98 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/effective-runtime-tools-v2.schema.json",
+  "title": "TrustDex authenticated effective runtime tool boundary v2",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion", "kind", "createdAt", "runtime", "capturedAt", "captureMethod",
+    "bindingDigest", "inventoryDigest", "inventoryAuthentication", "producerKeyId",
+    "attestationDigest", "status", "summary", "servers", "digest"
+  ],
+  "allOf": [
+    {
+      "if": {
+        "properties": { "inventoryAuthentication": { "const": "verified" } },
+        "required": ["inventoryAuthentication"]
+      },
+      "then": {
+        "properties": {
+          "producerKeyId": { "$ref": "#/$defs/digest" },
+          "attestationDigest": { "$ref": "#/$defs/digest" }
+        }
+      },
+      "else": {
+        "properties": {
+          "producerKeyId": { "type": "null" },
+          "attestationDigest": { "type": "null" }
+        }
+      }
+    },
+    {
+      "if": {
+        "properties": { "inventoryAuthentication": { "const": "unverified" } },
+        "required": ["inventoryAuthentication"]
+      },
+      "then": {
+        "properties": { "status": { "enum": ["needs-review", "block"] } }
+      }
+    }
+  ],
+  "properties": {
+    "schemaVersion": { "const": 2 },
+    "kind": { "const": "agent-effective-tool-boundary" },
+    "createdAt": { "type": "string", "format": "date-time" },
+    "runtime": { "enum": ["claude", "codex"] },
+    "capturedAt": { "type": "string", "format": "date-time" },
+    "captureMethod": { "enum": ["runtime-export", "runtime-adapter"] },
+    "bindingDigest": { "$ref": "#/$defs/digest" },
+    "inventoryDigest": { "$ref": "#/$defs/digest" },
+    "inventoryAuthentication": { "enum": ["unverified", "verified"] },
+    "producerKeyId": { "oneOf": [{ "$ref": "#/$defs/digest" }, { "type": "null" }] },
+    "attestationDigest": { "oneOf": [{ "$ref": "#/$defs/digest" }, { "type": "null" }] },
+    "status": { "enum": ["matched", "restricted", "needs-review", "block"] },
+    "summary": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "configuredServerCount", "observedServerCount", "observedToolCount", "matchedCount",
+        "reviewCount", "blockedCount", "unexpectedCount", "notObservedCount"
+      ],
+      "properties": {
+        "configuredServerCount": { "$ref": "#/$defs/count" },
+        "observedServerCount": { "$ref": "#/$defs/count" },
+        "observedToolCount": { "$ref": "#/$defs/count" },
+        "matchedCount": { "$ref": "#/$defs/count" },
+        "reviewCount": { "$ref": "#/$defs/count" },
+        "blockedCount": { "$ref": "#/$defs/count" },
+        "unexpectedCount": { "$ref": "#/$defs/count" },
+        "notObservedCount": { "$ref": "#/$defs/count" }
+      }
+    },
+    "servers": { "type": "array", "items": { "$ref": "#/$defs/server" } },
+    "digest": { "$ref": "#/$defs/digest" }
+  },
+  "$defs": {
+    "digest": { "type": "string", "pattern": "^[a-f0-9]{64}$" },
+    "count": { "type": "integer", "minimum": 0 },
+    "server": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "name", "configured", "observed", "toolCount", "sourceDecision", "provenanceStatus",
+        "automaticGrant", "bindingStatus", "status"
+      ],
+      "properties": {
+        "name": { "type": "string", "minLength": 1 },
+        "configured": { "type": "boolean" },
+        "observed": { "type": "boolean" },
+        "toolCount": { "oneOf": [{ "$ref": "#/$defs/count" }, { "type": "null" }] },
+        "sourceDecision": { "oneOf": [{ "enum": ["allow", "ask", "block"] }, { "type": "null" }] },
+        "provenanceStatus": { "oneOf": [{ "enum": ["unknown", "verified", "mismatch"] }, { "type": "null" }] },
+        "automaticGrant": { "oneOf": [{ "enum": ["none", "scoped", "all"] }, { "type": "null" }] },
+        "bindingStatus": { "oneOf": [{ "enum": ["not-granted", "bound", "needs-review", "blocked"] }, { "type": "null" }] },
+        "status": { "enum": ["matched", "not-observed", "needs-review", "blocked", "unexpected"] }
+      }
+    }
+  }
+}

package/schemas/runtime-tool-inventory-attestation-v1.schema.json

@@ -0,0 +1,27 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/runtime-tool-inventory-attestation-v1.schema.json",
+  "title": "TrustDex signed runtime tool inventory attestation v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion", "kind", "algorithm", "inventoryDigest", "runtime", "capturedAt",
+    "captureMethod", "producerKeyId", "createdAt", "expiresAt", "signature"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 1 },
+    "kind": { "const": "agent-runtime-tool-inventory-attestation" },
+    "algorithm": { "const": "ed25519" },
+    "inventoryDigest": { "$ref": "#/$defs/digest" },
+    "runtime": { "enum": ["claude", "codex"] },
+    "capturedAt": { "type": "string", "format": "date-time" },
+    "captureMethod": { "enum": ["runtime-export", "runtime-adapter"] },
+    "producerKeyId": { "$ref": "#/$defs/digest" },
+    "createdAt": { "type": "string", "format": "date-time" },
+    "expiresAt": { "type": "string", "format": "date-time" },
+    "signature": { "type": "string", "pattern": "^[A-Za-z0-9+/]{86}==$" }
+  },
+  "$defs": {
+    "digest": { "type": "string", "pattern": "^[a-f0-9]{64}$" }
+  }
+}