trustdex 0.5.0 → 0.6.0

package/docs/EVALUATION.ko.md

@@ -0,0 +1,67 @@
+# 방어적 평가
+
+<p align="right">
+  <a href="./EVALUATION.md">English</a> | <strong>한국어</strong>
+</p>
+
+이 평가는 체크인된 적대적 픽스처로 강제되는 동작을 기록합니다. 재현하려면 `npm run test:research`를 실행하세요. 테스트는 로컬 정적 검사만 수행하며 설정된 서버를 실행하거나 연결하지 않습니다.
+
+## MCP 정책 사례
+
+사례는 `examples/adversarial/policy.json`의 작은 오버레이와 함께 기본 제공 `strict` 정책을 사용합니다.
+
+| 사례 | 필수 증거 | 예상 결정 | 이유 |
+| --- | --- | --- | --- |
+| `trusted-pinned-package` | 고정된 패키지, 명시적으로 신뢰된 패키지 이름 | `ALLOW` | 설정된 버전이 고정되어 있고 정책에 명시적인 패키지 신뢰 규칙이 있음 |
+| `floating-version` | `install-on-run`, `unbounded-version` | `BLOCK` | 유동 패키지 버전은 검토 없이 변경될 수 있음 |
+| `shell-launcher` | `shell-execution`, `filesystem-path` | `BLOCK` | 엄격한 정책이 셸 실행을 차단함 |
+| `credential-bearing-url` | `embedded-credentials`, `network-endpoint`, `url-query-parameters` | `BLOCK` | 호스트가 허용 목록에 있어도 URL에 포함된 자격 증명은 차단 신호임 |
+| `insecure-remote` | `insecure-transport`, `network-endpoint` | `BLOCK` | 호스트가 허용 목록에 있어도 평문 전송은 차단 신호임 |
+| `sensitive-local-env` | `filesystem-path`, `secret-env` | `ASK` | 비밀 정보로 보이는 환경 변수 이름을 사용하는 로컬 확장에는 검토가 필요함 |
+| `unknown-remote` | `network-endpoint` | `BLOCK` | 원격 호스트에 명시적인 허용 목록 또는 출처 증거가 없음 |
+
+예상 합계: `ALLOW` 1개, `ASK` 1개, `BLOCK` 5개.
+
+## 드리프트 사례
+
+드리프트 픽스처는 신뢰되는 고정 패키지에서 시작한 뒤 `API_TOKEN` 환경 키를 추가합니다. 회귀 테스트는 다음 변경을 모두 요구합니다.
+
+- `secret-env`에 대한 `signals-added`
+- `ALLOW`에서 `ASK`로의 `decision-changed`
+- `fingerprint-changed`
+
+자리표시자 값 자체는 검사 결과나 스냅샷 어디에도 나타나면 안 됩니다.
+
+## Claude Code 권한 사례
+
+`test/claude-settings.test.mjs`는 제한된 `settings.json` 경계를 검사합니다.
+
+| 사례 | 필수 증거 | 예상 결정 |
+| --- | --- | --- |
+| 제한적인 `ask`/`deny`, 계획 모드, 우회 비활성화 | 추가 위험 신호 없음 | 파일이 로컬 증거이므로 `ASK` |
+| 셸/파일 시스템/네트워크/서브에이전트 전체 허용과 우회 모드 | 광범위 자동 승인 및 우회 신호 | `BLOCK` |
+| 좁은 셸, 웹, MCP 및 서브에이전트 허용 | 기능별 자동 승인 신호 | 셸이 자동 승인되므로 `strict`에서 `BLOCK` |
+| 훅과 자격 증명 도우미 | 실행 가능한 인접 설정 신호 | `BLOCK` |
+| 지원하지 않는 권한 키 또는 잘못된 규칙 | 파서 오류 | 종료 코드 `2` |
+
+테스트는 명령, 도메인, 디렉터리, 훅, 도우미, 환경, 플러그인 및 알 수 없는 설정 필드에 자리표시자 값을 넣고 어떤 값도 검사 결과에 나타나지 않도록 요구합니다. 권한 설정 지문은 생성하지 않습니다.
+
+## Codex 권한 사례
+
+`test/codex-settings.test.mjs`는 `config.toml`의 승인 및 샌드박스 설정을 검사합니다.
+
+| 사례 | 필수 증거 | 예상 결정 |
+| --- | --- | --- |
+| `read-only`, `on-request`, 사용자 검토, 네트워크 비활성화 | 추가 위험 신호 없음 | 파일이 로컬 증거이므로 `ASK` |
+| `danger-full-access`, `never`, 자동 검토, 실시간 웹 검색 | 제한 없는 샌드박스와 줄어든 사람 검토 | `BLOCK` |
+| 작업 공간 쓰기, 네트워크 활성화, 추가 쓰기 가능 루트 | 제한된 기능 확장 신호 | `ASK` |
+| 사용자 정의 권한, 플러그인 또는 검사하지 않은 섹션 | 명시적인 미검사 표면 신호 | `ASK` |
+| 지원하지 않는 열거/타입, 혼합 권한 모델 또는 알 수 없는 샌드박스 키 | 파서 오류 | 종료 코드 `2` |
+
+쓰기 가능 루트 경로와 관련 없는 설정 값은 결과에 나타나면 안 됩니다. Codex 설정 지문은 생성하지 않습니다.
+
+## 이 평가가 측정하지 않는 것
+
+이 벤치마크는 의도적으로 범위가 좁습니다. 런타임 동작, 샌드박스 탈출, 임의의 악성 코드, 모든 형태의 프롬프트 인젝션, 게시자 신원 소유권 또는 전이 의존성의 취약점을 측정하지 않습니다. 모든 Claude 또는 Codex 설정 범위를 병합하거나 세션 명령줄 재정의를 검사하거나 보고된 샌드박스가 실제로 활성화되었음을 증명하지 않습니다. 특히 이미 실행 중인 MCP 서버가 동적으로 반환하는 도구 설명은 현재 정적 설정 경계 밖에 있습니다.
+
+이 작은 픽스처 집합은 회귀 기준선이지 탐지 정확도에 대한 통계적 주장이 아닙니다. 거짓 양성과 거짓 음성 비율을 측정하려면 민감 정보를 제거한 실제 설정으로 구성되고 독립적으로 검토된 더 큰 코퍼스가 필요합니다.

package/docs/EVALUATION.md

@@ -1,5 +1,9 @@
 # Defensive evaluation
 
+<p align="right">
+  <strong>English</strong> | <a href="./EVALUATION.ko.md">한국어</a>
+</p>
+
 This evaluation records the behavior enforced by the checked-in adversarial fixtures. Run `npm run test:research` to reproduce it. The test performs local static inspection only and does not execute or contact any configured server.
 
 ## MCP policy cases
@@ -28,8 +32,39 @@ The drift fixture begins with the trusted pinned package and then introduces an
 
 The placeholder value itself must not appear in either inspection result or snapshot.
 
+## Claude Code permission cases
+
+`test/claude-settings.test.mjs` exercises a focused `settings.json` boundary.
+
+| Case | Required evidence | Expected decision |
+| --- | --- | --- |
+| restrictive `ask`/`deny`, plan mode, bypass disabled | no added risk signal | `ASK` because the file is local evidence |
+| bare shell/filesystem/network/subagent allows plus bypass mode | broad auto-approval and bypass signals | `BLOCK` |
+| narrow shell, web, MCP, and subagent allows | capability-specific auto-approval signals | `BLOCK` under `strict` because shell is auto-approved |
+| hooks and credential helper | executable adjacent-setting signals | `BLOCK` |
+| unsupported permission key or malformed rule | parser error | exit `2` |
+
+The tests place placeholder values in command, domain, directory, hook, helper,
+environment, plugin, and unknown settings fields and require that none appear in the
+inspection result. No permission-settings fingerprint is created.
+
+## Codex permission cases
+
+`test/codex-settings.test.mjs` exercises approval and sandbox settings in `config.toml`.
+
+| Case | Required evidence | Expected decision |
+| --- | --- | --- |
+| `read-only`, `on-request`, user review, network disabled | no added risk signal | `ASK` because the file is local evidence |
+| `danger-full-access`, `never`, auto-review, live web search | unrestricted sandbox plus reduced human review | `BLOCK` |
+| workspace write, network enabled, additional writable root | bounded capability-expansion signals | `ASK` |
+| custom permission, plugin, or uninspected sections | explicit uninspected-surface signals | `ASK` |
+| unsupported enum/type, mixed permission models, or unknown sandbox key | parser error | exit `2` |
+
+Writable-root paths and unrelated setting values must not appear in results. No
+Codex-settings fingerprint is created.
+
 ## What this does not measure
 
-This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
+This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. It does not merge every Claude or Codex settings scope, inspect session command-line overrides, or prove that the reported sandbox is active. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
 
 The small fixture set is a regression baseline, not a statistical claim about detection accuracy. False-positive and false-negative rates require a larger, independently reviewed corpus of redacted real-world configurations.

package/docs/RELEASING.ko.md

@@ -0,0 +1,70 @@
+# TrustDex 릴리스
+
+<p align="right">
+  <a href="./RELEASING.md">English</a> | <strong>한국어</strong>
+</p>
+
+TrustDex는 두 개의 작은 GitHub Actions 워크플로를 사용합니다.
+
+- `release.yml`은 테스트 통과 후 GitHub 태그와 릴리스를 생성합니다.
+- `publish.yml`은 바로 그 태그를 npm에 게시합니다.
+
+이 분리는 GitHub 릴리스 생성과 레지스트리 자격 증명을 분리합니다.
+
+## 최초 게시
+
+일회성 토큰 기반 최초 게시는 완료되었습니다. 일반 릴리스에서 반복하지 마세요.
+
+단기 `NPM_TOKEN`은 신뢰할 수 있는 게시를 설정하고 검증할 때까지만 유지할 수 있습니다. 최초 OIDC 게시에 성공한 즉시 npm 토큰과 GitHub 저장소 비밀을 모두 삭제하세요.
+
+npm 자격 증명을 이슈, 풀 리퀘스트, 소스 파일, 로그 또는 채팅에 붙여 넣지 마세요.
+
+## npm 신뢰할 수 있는 게시
+
+패키지가 만들어진 뒤 다음 값으로 npm 신뢰할 수 있는 게시를 설정합니다.
+
+- GitHub 사용자/조직: `grigent`
+- 저장소: `trustdex`
+- 워크플로 파일 이름: `publish.yml`
+- 허용 작업: 직접 `npm publish`
+
+워크플로는 `contents: read`와 `id-token: write`만 부여합니다. 그러면 npm은 장기 쓰기 토큰 대신 OIDC로 GitHub 호스팅 작업을 인증할 수 있습니다.
+
+신뢰할 수 있는 게시가 작동하면 `NPM_TOKEN` 저장소 비밀을 제거하고 npm에서 최초 게시 토큰을 폐기합니다. npm이 OIDC 인증을 선택할 수 있도록 워크플로는 의도적으로 표준 `npm publish` 명령을 계속 사용합니다.
+
+두 릴리스 워크플로는 `npm pkg fix`를 실행하고 패킹 또는 게시 전에 깨끗한 `package.json` 차이를 요구합니다. 이렇게 하면 npm이 CLI 진입점 같은 중요한 메타데이터를 조용히 정규화해 없애는 것을 방지합니다.
+
+## 출처 및 릴리스 증거
+
+저장소와 패키지가 공개이므로 GitHub 호스팅 게시는 npm 출처를 생성할 수 있습니다. 워크플로는 `--provenance`도 명시적으로 전달합니다.
+
+출처는 게시된 아티팩트를 해당 소스/빌드 환경과 연결합니다. 패키지에 악성 동작이 없다는 것을 증명하지는 않습니다.
+
+GitHub 릴리스 워크플로는 다음도 생성하고 업로드합니다.
+
+- 릴리스 커밋에서 빌드한 npm 패키지 tarball
+- CycloneDX JSON SBOM
+- tarball과 SBOM을 포함하는 `SHA256SUMS` 파일
+- tarball용 GitHub 빌드 출처 증명
+- SBOM을 tarball에 연결하는 GitHub SBOM 증명
+
+릴리스를 다운로드한 뒤 검사 또는 설치하기 전에 체크섬과 GitHub 증명을 검증하세요.
+
+```bash
+shasum -a 256 -c SHA256SUMS
+gh attestation verify trustdex-<version>.tgz --repo grigent/trustdex
+```
+
+npm 출처 진술과 GitHub 증명은 서로 다른 게시 경로를 다룹니다. 어느 쪽도 악성 코드 분석이 아니며 릴리스 콘텐츠와 문서화된 신뢰 경계를 검토하는 일을 대신하지 않습니다.
+
+## 버전 체크리스트
+
+각 릴리스 전에:
+
+1. `package.json` 버전 업데이트
+2. 해당 변경 기록 섹션을 `Unreleased` 밖으로 이동
+3. CI가 통과하는지 확인
+4. 정확히 `v<package version>`으로 릴리스 워크플로 실행
+5. 바로 그 릴리스 태그에 대해 게시 워크플로 실행
+
+게시 워크플로는 최신 브랜치 HEAD가 아니라 태그 SHA를 체크아웃하므로 npm 아티팩트에 이후 커밋이 조용히 포함될 수 없습니다.

package/docs/RELEASING.md

@@ -1,5 +1,9 @@
 # Releasing TrustDex
 
+<p align="right">
+  <strong>English</strong> | <a href="./RELEASING.ko.md">한국어</a>
+</p>
+
 TrustDex uses two small GitHub Actions workflows:
 
 - `release.yml` creates a GitHub tag and release after tests pass.

package/docs/ROADMAP.ko.md

@@ -0,0 +1,46 @@
+# 로드맵
+
+<p align="right">
+  <a href="./ROADMAP.md">English</a> | <strong>한국어</strong>
+</p>
+
+TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴리스를 약속하지 않습니다.
+
+## 현재: 경계 강화
+
+- MCP JSON, Codex TOML, 스킬 및 플러그인 매니페스트의 적대적 픽스처 확장
+- Claude Code와 Codex 모두의 적대적 권한 픽스처 확장
+- 사람이 읽을 수 있는 모든 출력에 비밀 값이 계속 포함되지 않는지 검증
+- 크로스 플랫폼 소스 및 경로 정규화 개선
+- 안정적인 정책 및 스냅샷 스키마 규칙 문서화
+- CI, CodeQL 및 릴리스 자동화를 재현 가능하고 검토 가능한 상태로 유지
+
+## 다음: 에이전트 행동 경계를 검토 가능하게 만들기
+
+- 명령, 경로, 도메인 또는 자격 증명 값을 보관하지 않고 병합된 설정 소스 검사
+- 시간에 따른 권한 상태를 비교하고 에이전트 자율성이 넓어지면 재검토 요구
+- 승인된 도구 출처와 해당 도구에 부여된 행동 권한 연결
+- 오케스트레이터와 CI용 기계 판독 가능 결정 출력 정의
+- 권고형 설정 검사가 런타임 및 운영체제 샌드박스와 결합되는 방식 문서화
+
+## 그다음: 무결성 증명
+
+- 레지스트리가 암호학적 해시를 제공할 때 변경 불가능한 패키지 아티팩트 검증
+- 레지스트리 관찰을 정확한 패키지 버전 및 저장소 신원과 연결
+- TrustDex 릴리스용 체크섬 또는 더 강력한 출처 게시
+- 소유권 이전, 삭제된 릴리스, 게시 취소된 패키지 및 레지스트리 드리프트용 픽스처 추가
+
+## 향후: 상호 운용성 확장
+
+- 서명된 스냅샷, 승인 및 재검사 워크플로를 Codex `config.toml`로 확장
+- 추가 에이전트 런타임 및 레지스트리용 어댑터 추가
+- 테스트에 근거한 호환성 매트릭스 게시
+- 조직 관리형 신뢰 저장소 및 검토 키 교체 탐색
+
+## 도입 목표
+
+프로젝트는 거짓 양성, 거짓 음성, 설정 형식 및 유지관리자 워크플로에 대해 민감하지 않은 피드백을 공유할 파일럿 사용자를 찾고 있습니다. 사용 관련 주장은 검증할 수 있을 때만 문서화합니다. 스타 수, 브랜딩 및 패키지 이름은 절대 보안 증거로 취급하지 않습니다.
+
+## 참여 방법
+
+실제 설정에서 TrustDex를 실행했다면 **Pilot feedback** 이슈 양식이 결과를 보고하는 가장 빠른 방법입니다. 그렇지 않으면 사용 사례와 민감 정보를 제거한 설정 형태를 설명하는 범위가 명확한 이슈를 여세요. 보안에 민감한 제안에는 예상 신뢰 경계와 우회 사례를 포함하세요.

package/docs/ROADMAP.md

@@ -1,16 +1,29 @@
 # Roadmap
 
+<p align="right">
+  <strong>English</strong> | <a href="./ROADMAP.ko.md">한국어</a>
+</p>
+
 TrustDex is early-stage. This roadmap communicates direction and is not a release commitment.
 
 ## Now: harden the boundary
 
 - expand adversarial fixtures for MCP JSON, Codex TOML, skills, and plugin manifests
+- expand adversarial permission fixtures for both Claude Code and Codex
 - verify that all human-readable output remains free of secret values
 - improve cross-platform source and path normalization
 - document stable policy and snapshot schema rules
 - keep CI, CodeQL, and release automation reproducible and reviewable
 
-## Next: prove integrity
+## Next: make agent action boundaries reviewable
+
+- inspect merged settings sources without retaining commands, paths, domains, or credential values
+- compare permission posture over time and require review when agent autonomy expands
+- connect approved tool provenance to the action permissions granted to that tool
+- define machine-readable decision output for orchestrators and CI
+- document how advisory settings checks compose with runtime and operating-system sandboxes
+
+## Then: prove integrity
 
 - verify immutable package artifacts when registries expose cryptographic hashes
 - connect registry observations to exact package versions and repository identities
@@ -22,7 +35,6 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
 - extend signed snapshot, approval, and recheck workflows to Codex `config.toml`
 - add adapters for additional agent runtimes and registries
 - publish a compatibility matrix backed by tests
-- define machine-readable decision output for CI and policy tooling
 - explore organization-managed trust stores and review-key rotation
 
 ## Adoption goals

package/docs/SECURITY_RESEARCH.ko.md

@@ -0,0 +1,69 @@
+# 방어적 보안 연구
+
+<p align="right">
+  <a href="./SECURITY_RESEARCH.md">English</a> | <strong>한국어</strong>
+</p>
+
+TrustDex는 AI 에이전트가 서드파티 도구에 접근하기 전에 내리는 신뢰 결정에 관한 합법적인 방어적 연구를 위해 개발됩니다. 이 문서는 해당 작업의 승인, 안전 및 공개 경계를 정의합니다.
+
+## 목적
+
+이 연구는 사람이 또는 정책이 명시적으로 신뢰할 때까지 확장을 사용할 수 없게 유지하는 데 관찰 가능한 설정, 출처, 무결성 및 기능 증거가 충분한지 묻습니다. 현재 작업은 다음에 중점을 둡니다.
+
+- 고정되지 않았거나 대체된 패키지
+- 실행 시 설치 및 셸 런처
+- URL에 포함된 자격 증명과 안전하지 않은 원격 전송
+- 값을 보관하지 않고 비밀 정보를 포함하는 환경 변수 이름 감지
+- 소스, 출처, 결정, 지문 및 기능 드리프트
+- 서명된 검토 기록과 신뢰 관련 변경 후 재검토
+- 지원하지 않는 구문에서 안전하게 실패해야 하는 파서 동작
+- Claude Code 권한 설정의 자동 행동 권한
+- Codex 샌드박스, 승인, 네트워크, 쓰기 가능 루트, 웹 검색 및 서브에이전트 설정
+
+의도한 결과물은 재현 가능한 픽스처, 회귀 테스트, 문서화된 제한 사항 및 에이전트 개발자와 운영자를 위한 실용적인 완화책입니다.
+
+## 승인 경계
+
+연구는 다음으로 제한됩니다.
+
+- 연구자가 소유한 시스템과 계정 또는
+- 연구자가 테스트할 명시적인 승인을 받은 시스템 그리고
+- 민감하지 않은 픽스처를 사용하는 격리된 로컬 또는 연구 전용 테스트 환경
+
+TrustDex 연구는 관련 없는 공개 시스템을 테스트할 권한을 부여하지 않습니다. 자격 증명 탈취, 지속성 확보, 파괴적 작업, 데이터 유출, 대규모 악용, 무단 접근, 악성 코드 배포 및 다른 사람의 보호 조치 우회는 제외됩니다.
+
+## 안전한 테스트 데이터
+
+체크인된 적대적 픽스처는 비활성 설정 문서입니다. 예약된 `.invalid` 도메인, 존재하지 않는 패키지 네임스페이스 및 명백한 자리표시자 값을 사용합니다. TrustDex는 검사 중에 MCP 서버를 실행하지 않습니다.
+
+테스트는 비밀 정보로 보이는 값, URL 자격 증명, 쿼리 값 및 비공개 경로가 검사 결과에 나타나지 않는지 확인합니다. 실제 자격 증명, 비공개 엔드포인트, 개인 데이터 또는 프로덕션 서비스가 필요한 픽스처는 이 저장소에서 허용되지 않습니다.
+
+## 방법
+
+각 연구 사례에는 다음이 포함되어야 합니다.
+
+1. 최소한의 검토 가능한 입력 픽스처
+2. 예상 신뢰 관련 신호
+3. 이름이 지정된 정책에서 예상되는 `ALLOW`, `ASK` 또는 `BLOCK` 결정
+4. 자동화된 회귀 테스트
+5. 문서화된 제한 사항 또는 가능한 우회 조건
+
+`ALLOW` 결과는 관찰된 증거가 선택한 정책과 일치한다는 의미일 뿐입니다. 임의의 코드가 안전하다는 증거로 표현해서는 안 됩니다.
+
+## 발견 사항 처리
+
+사용자를 위험에 빠뜨릴 수 있는 잠재적인 TrustDex 취약점은 [SECURITY.ko.md](../SECURITY.ko.md)를 따라야 합니다. 다른 프로젝트에서 발견한 사항은 해당 프로젝트의 승인된 보안 채널을 통해 공개해야 하며, 합리적인 공동 공개 절차가 끝나기 전에 게시해서는 안 됩니다.
+
+공개 보고서에서는 자격 증명, 비공개 엔드포인트, 독점 프롬프트, 개인 데이터 및 불필요한 위험을 만드는 악용 세부 정보를 제거해야 합니다. 연구 노트는 문제를 재현하고 수정하는 데 필요한 최소한의 증거를 우선해야 합니다.
+
+## 현재 재현 가능한 증거
+
+- [적대적 MCP 픽스처](../examples/adversarial/README.ko.md)
+- [Claude Code 권한 픽스처](../examples/claude.settings.json)
+- [Codex 권한 픽스처](../examples/codex.permissions.toml)
+- [평가 기록](EVALUATION.ko.md)
+- [방어적 AI 에이전트 보안 사용 사례](DEFENSIVE_USE_CASE.ko.md)
+- [위협 모델](THREAT_MODEL.ko.md)
+- [보안 정책](../SECURITY.ko.md)
+
+프로젝트는 저장소의 Pilot feedback 이슈 양식을 통해 거짓 양성과 거짓 음성을 포함한 검증 가능한 파일럿 피드백을 환영합니다. 인기도, 브랜딩 및 검증할 수 없는 사용 후기는 보안 증거로 취급하지 않습니다.

package/docs/SECURITY_RESEARCH.md

@@ -1,5 +1,9 @@
 # Defensive security research
 
+<p align="right">
+  <strong>English</strong> | <a href="./SECURITY_RESEARCH.ko.md">한국어</a>
+</p>
+
 TrustDex is developed for legitimate defensive research into trust decisions made before AI agents receive access to third-party tools. This document defines the authorization, safety, and disclosure boundaries for that work.
 
 ## Purpose
@@ -13,6 +17,8 @@ The research asks whether observable configuration, provenance, integrity, and c
 - source, provenance, decision, fingerprint, and capability drift
 - signed review records and re-review after trust-relevant change
 - parser behavior that must fail closed on unsupported syntax
+- automatic action grants in Claude Code permission settings
+- Codex sandbox, approval, network, writable-root, web-search, and subagent settings
 
 The intended outputs are reproducible fixtures, regression tests, documented limitations, and practical mitigations for agent developers and operators.
 
@@ -53,7 +59,10 @@ Public reports must remove credentials, private endpoints, proprietary prompts,
 ## Current reproducible evidence
 
 - [Adversarial MCP fixtures](../examples/adversarial/README.md)
+- [Claude Code permission fixture](../examples/claude.settings.json)
+- [Codex permission fixture](../examples/codex.permissions.toml)
 - [Evaluation record](EVALUATION.md)
+- [Defensive AI-agent security use case](DEFENSIVE_USE_CASE.md)
 - [Threat model](THREAT_MODEL.md)
 - [Security policy](../SECURITY.md)
 

package/docs/THREAT_MODEL.ko.md

@@ -0,0 +1,56 @@
+# 위협 모델
+
+<p align="right">
+  <a href="./THREAT_MODEL.md">English</a> | <strong>한국어</strong>
+</p>
+
+TrustDex는 하나의 좁은 질문을 다룹니다.
+
+> **사용자의 정책에 따라 에이전트가 이 확장을 보거나 이 자동 행동 권한을 받도록 허용해야 하는가?**
+
+## 범위 내
+
+- 알 수 없거나 승인되지 않은 MCP 소스
+- 검토 없이 변경될 수 있는 유동 패키지 버전
+- 검토된 스냅샷 사이의 소스 변경
+- 출처 주장의 변경 또는 소멸
+- 새로 관찰된 셸, 파일 시스템, 네트워크, 설치, 와일드카드 도구 또는 비밀 환경 신호
+- 정책 회귀로 발생하는 안전하지 않은 도구 노출
+- 검토된 레지스트리 무결성 메타데이터와 일치하지 않는 패키지 바이트로의 대체
+- 설정된 패키지 버전이 무결성 검증된 아티팩트 버전에서 벗어남
+- 서명된 신뢰 기록이 있을 때 검토된 스냅샷의 변조
+- 광범위한 셸, 파일 시스템, 네트워크, MCP 또는 서브에이전트 작업을 조용히 자동 승인하는 Claude Code 권한 규칙
+- 샌드박스를 제거하거나 승인을 생략하거나 네트워크 접근 또는 쓰기 가능 루트를 추가하는 Codex 설정
+- 명시적인 검토 없이 변경되는 행동 권한 설정
+
+## 신뢰 경계
+
+TrustDex가 신뢰하는 것:
+
+- 자체 정책/설정을 읽을 수 있을 정도의 로컬 호스트
+- 사용자가 명시적으로 설정한 정책
+- 신뢰 저장소 유지관리자가 검토한 범위 내의 출처 증거
+- 사용자가 신뢰할 수 있는 채널을 통해 얻은 경우에만 공개 키
+
+TrustDex는 익숙한 프로젝트 이름, 스타 수, 패키지 이름 또는 로고를 출처로 취급하지 **않습니다**.
+
+## 범위 밖
+
+- 임의의 서드파티 코드가 악성이 아님을 증명
+- 도구 실행 샌드박싱
+- 모든 프롬프트 인젝션 기법 탐지
+- 모든 전이 의존성의 취약점 검사
+- 무결성이 일치하는 패키지 바이트가 악성이 아님을 증명
+- 로컬 신뢰 저장소 주장만으로 게시자 소유권을 독립적으로 증명
+- 완전히 침해된 호스트 보호
+- 도난당한 서명 비공개 키로부터 보호
+- 모든 사용자, 프로젝트, 프로필, 관리형, 시스템, 환경 및 명령줄 소스를 병합한 실제 설정 계산
+- Claude Code 또는 Codex 행동 권한의 런타임 강제 적용
+
+## 중요한 실패 모드
+
+유효한 서명은 신뢰 기록이 해당 비공개 키로 서명되었고 연결된 스냅샷 다이제스트가 변경되지 않았음을 증명합니다. 원래 검토가 정확했다는 것은 증명하지 않습니다.
+
+## 설계 원칙
+
+TrustDex는 누락된 증거를 신뢰로 변환해서는 안 됩니다. 알 수 없는 출처는 추측할 이유가 아니라 정책 입력입니다.

package/docs/THREAT_MODEL.md

@@ -1,8 +1,12 @@
 # Threat model
 
+<p align="right">
+  <strong>English</strong> | <a href="./THREAT_MODEL.ko.md">한국어</a>
+</p>
+
 TrustDex addresses one narrow question:
 
-> **Should an agent be allowed to see and invoke this extension under the user's policy?**
+> **Should an agent see this extension or receive this automatic action capability under the user's policy?**
 
 ## In scope
 
@@ -15,6 +19,9 @@ TrustDex addresses one narrow question:
 - substitution of package bytes that do not match reviewed registry integrity metadata
 - configured package versions drifting from an integrity-verified artifact version
 - tampering with a reviewed snapshot when a signed trust record is available
+- Claude Code permission rules that silently auto-approve broad shell, filesystem, network, MCP, or subagent actions
+- Codex configurations that remove the sandbox, suppress approvals, enable network access, or add writable roots
+- action-permission settings changing without an explicit review
 
 ## Trust boundaries
 
@@ -37,6 +44,8 @@ TrustDex does **not** treat a familiar project name, star count, package name, o
 - independently proving publisher ownership from a local trust-store claim
 - protecting a fully compromised host
 - protecting a stolen signing private key
+- calculating the effective configuration after every user, project, profile, managed, system, environment, and command-line source is merged
+- enforcing Claude Code or Codex action permissions at runtime
 
 ## Important failure mode
 

package/docs/TRUST_STORE.ko.md

@@ -0,0 +1,93 @@
+# 신뢰 저장소와 출처
+
+<p align="right">
+  <a href="./TRUST_STORE.md">English</a> | <strong>한국어</strong>
+</p>
+
+TrustDex는 패키지 이름, GitHub 스타 수 또는 브랜딩으로 게시자가 "공식"인지 추측하지 않습니다.
+
+사용자 또는 조직이 로컬 신뢰 저장소에 명시적인 주장을 배치한 경우에만 소스에 `verified` 출처 주장을 부여할 수 있습니다.
+
+## 형식
+
+```json
+{
+  "version": 1,
+  "claims": [
+    {
+      "type": "package",
+      "subject": "example-mcp-server",
+      "publisher": "Example Publisher",
+      "status": "verified",
+      "evidence": {
+        "kind": "manual-review",
+        "reference": "https://example.invalid/security-review",
+        "checkedAt": "2026-09-19T00:00:00Z"
+      }
+    }
+  ]
+}
+```
+
+지원되는 주장 유형:
+
+- `package` - npm/Python 형식의 패키지 주체
+- `remote` - 원격 MCP 호스트 이름
+- `repository` - 향후 저장소 어댑터용 저장소 신원
+
+`verified`라는 단어는 **신뢰 저장소 유지관리자가 기록한 증거에 따라 검증됨**을 의미합니다. OpenAI, TrustDex, GitHub, npm 또는 다른 플랫폼이 확장을 인증했다는 의미가 아닙니다.
+
+## 사용하기
+
+```bash
+node ./bin/trustdex.mjs inspect ./examples/mcp.json \
+  --pack official-first \
+  --trust-store ./examples/trust-store.example.json
+```
+
+알 수 없는 서드파티 소스는 `official-first`에서 계속 차단됩니다. 검증된 출처 주장은 초기 신뢰를 설정할 수 있지만 셸 실행과 같은 차단 기능 신호는 여전히 해당 신뢰보다 우선할 수 있습니다.
+
+## 권장 사례
+
+- 팀 정책인 신뢰 저장소는 소스 관리에 보관
+- 각 주장을 지속 가능한 증거에 연결
+- 가능한 경우 패키지 버전 또는 소스 커밋 고정
+- 소유권이나 기능이 변경되면 주장을 재검토
+- 증거 필드에 자격 증명, 토큰, 비공개 URL 또는 비밀을 기록하지 않음
+
+## 무결성 기반 패키지 증거
+
+`trust-source npm` 및 `trust-source mcp`의 선택적 `--artifact` 플래그는 아티팩트 증거를 기록하기 전에 사용자가 제공한 파일을 검증합니다.
+
+- npm 관찰에는 SHA-256, SHA-384 또는 SHA-512를 사용하는 SRI 값이 필요합니다.
+- MCP Registry 관찰에는 SHA-256 다이제스트가 있는 단일 패키지가 필요합니다.
+- 파일은 로컬에서 읽으며 실행하거나 업로드하지 않습니다.
+- 신뢰 저장소 주장은 레지스트리 식별자, 버전, 예상 무결성 메타데이터, 계산된 다이제스트 및 검증 시간을 기록합니다.
+- 설정된 패키지 버전은 검증된 아티팩트 버전과 일치해야 합니다.
+
+증거 형식 예시:
+
+```json
+{
+  "kind": "npm-registry",
+  "reference": "https://www.npmjs.com/package/example-mcp-server",
+  "checkedAt": "2026-09-19T00:00:00Z",
+  "artifact": {
+    "registryType": "npm",
+    "identifier": "example-mcp-server",
+    "version": "1.2.3",
+    "integrity": "sha512-..."
+  },
+  "artifactVerification": {
+    "verified": true,
+    "algorithm": "sha512",
+    "digest": "...",
+    "encoding": "base64",
+    "version": "1.2.3",
+    "identifier": "example-mcp-server",
+    "verifiedAt": "2026-09-19T00:00:01Z"
+  }
+}
+```
+
+아티팩트 무결성은 제공된 바이트가 해당 시점에 관찰된 레지스트리 메타데이터와 일치한다는 것만 증명합니다. 바이트가 안전하다는 것, 레지스트리 계정이 침해되지 않았다는 것 또는 게시자 이름이 합법적이라는 것은 증명하지 않습니다.

package/docs/TRUST_STORE.md

@@ -1,5 +1,9 @@
 # Trust store and provenance
 
+<p align="right">
+  <strong>English</strong> | <a href="./TRUST_STORE.ko.md">한국어</a>
+</p>
+
 TrustDex does not guess whether a publisher is "official" from a package name, GitHub stars, or branding.
 
 A source can receive a `verified` provenance assertion only when the user or an organization places an explicit claim in a local trust store.

package/examples/adversarial/README.ko.md

@@ -0,0 +1,31 @@
+# 비활성 적대적 픽스처
+
+<p align="right">
+  <a href="./README.md">English</a> | <strong>한국어</strong>
+</p>
+
+이 파일들은 TrustDex 정책 경계의 재현 가능한 방어적 테스트를 제공합니다.
+
+- `mcp-config.json`에는 정적인 MCP 설정 사례 7개가 포함되어 있습니다.
+- `policy.json`은 소스 허용 목록과 독립적으로 차단 신호를 테스트할 수 있도록 픽스처 패키지 1개와 픽스처 호스트 2개를 명시적으로 신뢰합니다.
+- `expected.json`은 필수 결정과 최소 신호를 기록합니다.
+- `drift-before.json`과 `drift-after.json`은 검토된 패키지에 비밀 정보를 포함하는 환경 키가 추가되는 상황을 모델링합니다.
+
+모든 패키지 이름은 가상이며, 모든 원격 엔드포인트는 예약된 `.invalid` 최상위 도메인을 사용하고, 자격 증명으로 보이는 모든 값은 자리표시자입니다. 이를 실제 값으로 바꾸지 마세요. TrustDex는 이 파일을 읽지만 나열된 명령을 실행하거나 나열된 엔드포인트에 연결하지 않습니다.
+
+강제 평가 실행:
+
+```bash
+npm run test:research
+```
+
+사람이 읽을 수 있는 결정을 직접 검사:
+
+```bash
+node ./bin/trustdex.mjs inspect \
+  ./examples/adversarial/mcp-config.json \
+  --pack strict \
+  --policy ./examples/adversarial/policy.json
+```
+
+차단 사례가 있으므로 두 번째 명령은 종료 코드 `2`를 반환합니다. 예상 결과와 제한 사항은 [평가 기록](../../docs/EVALUATION.ko.md)을 참고하세요.

package/examples/adversarial/README.md

@@ -0,0 +1,31 @@
+# Inert adversarial fixtures
+
+<p align="right">
+  <strong>English</strong> | <a href="./README.ko.md">한국어</a>
+</p>
+
+These files provide a reproducible defensive test of TrustDex's policy boundary.
+
+- `mcp-config.json` contains seven static MCP configuration cases.
+- `policy.json` explicitly trusts one fixture package and two fixture hosts so blocking signals can be tested independently of source allowlisting.
+- `expected.json` records the required decisions and minimum signals.
+- `drift-before.json` and `drift-after.json` model a reviewed package gaining a secret-bearing environment key.
+
+All package names are fictional, all remote endpoints use the reserved `.invalid` top-level domain, and all apparent credentials are placeholders. Do not replace them with real values. TrustDex reads these files but never executes the listed commands or contacts the listed endpoints.
+
+Run the enforced evaluation:
+
+```bash
+npm run test:research
+```
+
+Inspect the human-readable decisions directly:
+
+```bash
+node ./bin/trustdex.mjs inspect \
+  ./examples/adversarial/mcp-config.json \
+  --pack strict \
+  --policy ./examples/adversarial/policy.json
+```
+
+The second command exits with code `2` because blocking cases are present. See [the evaluation record](../../docs/EVALUATION.md) for the expected results and limitations.