trustdex 0.5.1 → 0.6.0

package/docs/DEFENSIVE_USE_CASE.ko.md

@@ -0,0 +1,85 @@
+# 방어적 AI 에이전트 보안 사용 사례
+
+<p align="right">
+  <a href="./DEFENSIVE_USE_CASE.md">English</a> | <strong>한국어</strong>
+</p>
+
+이 문서는 TrustDex의 합법적인 방어 목적과 운영 경계를 쉽게 검증할 수 있도록 정리한 증거 색인입니다. Anthropic의 보증, CVP 승인 또는 특정 운영자가 계정 수준 보안 요구사항을 충족한다는 진술이 아닙니다.
+
+## 해결하려는 문제
+
+코딩 에이전트의 자율성이 커질수록 실제 공격 표면은 모델에만 머물지 않습니다. 에이전트가 불러올 수 있는 도구, 별도 확인 없이 받는 권한, 도구가 참조하는 자격 증명, 시간이 지나면서 접근 범위를 조용히 넓힐 수 있는 설정 변경도 공격 표면에 포함됩니다.
+
+TrustDex는 이 표면에 대한 노출 전 통제를 연구하고 구현합니다. 현재 프로젝트는 두 가지 구체적인 질문을 다룹니다.
+
+1. 명시적인 로컬 정책에 따라 에이전트가 특정 MCP 서버, 스킬 또는 플러그인을 보고 호출하도록 허용해야 하는가?
+2. Claude Code 또는 Codex 설정이 자동 셸, 파일 시스템, 네트워크, MCP, 서브에이전트 또는 샌드박스 기능을 부여하여 검토나 차단이 필요한가?
+
+## 의도한 방어 작업
+
+이 프로젝트는 TrustDex 자체와 운영자가 소유하거나 명시적으로 테스트 허가를 받은 시스템에 대한 작업에 AI 지원을 사용합니다. 일반적인 작업은 다음과 같습니다.
+
+- 파서와 정책 코드에서 fail-open 동작 검토
+- 비활성 적대적 설정 픽스처 개발
+- 보고서, 스냅샷 및 지문에 비밀 값이 남지 않는지 확인
+- 권한 확장, 출처 대체 및 검토 드리프트 위협 모델링
+- 방어적 발견 사항과 완화책에 대한 회귀 테스트 작성
+- 민감 정보를 완전히 제거한 파일럿 피드백의 거짓 양성·거짓 음성 분석
+
+이 작업은 방어적 엔지니어링입니다. 자격 증명 탈취, 지속성 확보, 파괴 행위, 데이터 유출, 악성 코드 배포, 대량 악용 또는 무단 접근을 필요로 하지 않습니다.
+
+## 허가 및 데이터 경계
+
+- 테스트는 운영자 소유의 저장소와 계정, 명시적으로 허가된 시스템 및 격리된 로컬 테스트 환경으로 제한합니다.
+- 체크인된 적대적 입력은 비활성 데이터입니다. 예약된 `.invalid` 도메인, 존재하지 않는 패키지 식별자 및 자리표시자 값을 사용합니다.
+- 일반 검사는 로컬에서만 수행하며 검사 대상 MCP 서버, Claude 권한 규칙, 스킬, 플러그인 또는 훅을 실행하지 않습니다.
+- 명시적인 출처 명령은 공개 GitHub, npm 또는 MCP Registry 메타데이터를 조회할 수 있습니다. 별도의 사용자 작업 없이는 관찰 결과가 신뢰로 변환되지 않습니다.
+- 실제 자격 증명, 비공개 엔드포인트, 고객 데이터, 독점 프롬프트 및 공격용 자료는 공개 픽스처나 보고서에 포함하지 않습니다.
+
+## 이 저장소가 보여 주는 통제 증거
+
+| 통제 목표 | 공개 증거 |
+| --- | --- |
+| 검토되지 않은 도구를 에이전트에서 분리 | ALLOW/ASK/BLOCK 정책 엔진과 필터링된 MCP 게이트 |
+| 기능 범위 확장 감지 | MCP, Claude Code 및 Codex 설정 신호와 적대적 회귀 테스트 |
+| 조용한 파서 우회 방지 | 지원하지 않는 보안 관련 구문을 거부하는 전용 어댑터 |
+| 증거에서 비밀 값 제외 | 출력, 스냅샷 및 설정 지문에서 비밀 값을 제거하는 테스트 |
+| 승인 상태의 드리프트 표시 | 결정론적 스냅샷, Ed25519 검토 기록 및 재검사 명령 |
+| 공급망 모호성 감소 | 명시적 출처 관찰, 아티팩트 다이제스트 검증, 릴리스 체크섬, SBOM 및 빌드 증명 |
+| 연구 재현성 유지 | 비활성 픽스처, 문서화된 기대 결과, 크로스 플랫폼 CI 및 CodeQL |
+
+ALLOW 결과는 여전히 관찰된 증거에 대한 정책 결과일 뿐입니다. TrustDex는 샌드박스, 악성 코드 스캐너 또는 서드파티 코드가 안전하다는 증명이 아닙니다.
+
+## Claude Code 및 Codex 권한 연구
+
+`inspect-claude-settings`는 문서화된 `permissions` 객체를 검사하고 셸, 파일 시스템, 네트워크, MCP 및 서브에이전트 기능의 자동 승인을 보고합니다. 또한 훅, 자격 증명 도우미, 환경 설정, 샌드박스 설정 및 플러그인 로딩의 존재를 값은 보관하지 않은 채 드러냅니다.
+
+이는 정적 증거이지 런타임 강제 적용이 아닙니다. 모든 Claude 설정 범위를 병합하거나, 명령줄 플래그를 검사하거나, 관리형 설정이 세션에 실제 적용되었음을 증명하거나, Claude Code 샌드박싱을 대체하지 않습니다. 운영자는 실제 런타임 설정을 별도로 확인해야 합니다.
+
+`inspect-codex-settings`는 Codex 승인 정책, 검토자 선택, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 평가합니다. 완전히 파싱하지 않는 사용자 정의 권한, 앱 및 플러그인 표면은 값은 보관하지 않고 보고합니다. 마찬가지로 모든 Codex 설정 계층을 병합하거나 활성 Codex 샌드박스를 대체하지 않습니다.
+
+## CVP 신청 경계
+
+Anthropic의 현재 Cyber Verification Program 신청은 검증 가능한 개인 또는 조직 정보, 보안 작업 설명 및 요청 티어에 해당하는 통제 준수 확인을 요구합니다. 이 저장소는 보안 작업 설명을 뒷받침할 수 있지만, 저장소 변경만으로 운영자 신원을 증명하거나 계정·기기 통제를 충족할 수는 없습니다.
+
+개인 신청자는 신청 전에 최신 요구사항을 공식 문서에서 직접 확인해야 합니다. 2026년 10월 기준 Anthropic은 개인에게 Defense Access만 제공하며, 공유 세션이 아닌 개인 접근, MFA 활성화, 공개된 기한까지 피싱 방지 MFA 전환 및 장기 자격 증명 중단을 요구한다고 안내합니다. Claude Code의 OAuth 로그인이 퍼스트파티 사용 경로입니다. 공식 [Cyber Verification Program](https://support.claude.com/en/articles/14604842-cyber-verification-program)과 [CVP 보안 요구사항](https://support.claude.com/en/articles/17202708-cyber-verification-program-security-requirements)을 확인하세요.
+
+실제로 구현되어 있고 증거를 제시할 수 있는 통제만 신청서에 기재하세요. 내부 작업용 CVP 접근 권한은 고객 대상 보안 서비스나 제품을 자동으로 허가하지 않습니다.
+
+## 재현 가능한 증거
+
+```bash
+npm test
+npm run check
+npm run test:research
+
+node ./bin/trustdex.mjs inspect-claude-settings \
+  ./examples/claude.settings.json \
+  --pack strict
+
+node ./bin/trustdex.mjs inspect-codex-settings \
+  ./examples/codex.permissions.toml \
+  --pack strict
+```
+
+Claude 명령은 예제에 셸 자동 승인 규칙이 포함되어 있어 의도적으로 종료 코드 `2`를 반환합니다. Codex 명령은 제한된 작업 공간 쓰기 기능에도 검토가 필요하므로 종료 코드 `1`을 반환합니다. 예상 결과와 한계는 [방어적 평가](EVALUATION.ko.md), [보안 연구](SECURITY_RESEARCH.ko.md) 및 [위협 모델](THREAT_MODEL.ko.md)을 참고하세요.

package/docs/DEFENSIVE_USE_CASE.md

@@ -0,0 +1,89 @@
+# Defensive AI-agent security use case
+
+<p align="right">
+  <strong>English</strong> | <a href="./DEFENSIVE_USE_CASE.ko.md">한국어</a>
+</p>
+
+This document makes the legitimate defensive purpose and operating boundary of TrustDex easy to verify. It is an evidence index, not an Anthropic endorsement, a CVP approval, or an attestation that any particular operator satisfies account-level security requirements.
+
+## Problem being addressed
+
+As coding agents become more autonomous, their effective attack surface includes more than the model. It also includes the tools they can load, the permissions they receive without a prompt, the credentials those tools can reference, and the configuration changes that may silently widen access over time.
+
+TrustDex researches and implements pre-exposure controls for that surface. The current project asks two concrete questions:
+
+1. Should an agent be allowed to see and invoke a particular MCP server, skill, or plugin under an explicit local policy?
+2. Do Claude Code or Codex settings grant automatic shell, filesystem, network, MCP, subagent, or sandbox capabilities that need review or blocking?
+
+## Intended defensive work
+
+The project uses AI assistance for work on TrustDex itself and other systems the operator owns or is explicitly authorized to test. Typical tasks include:
+
+- reviewing parsers and policy code for fail-open behavior
+- developing inert adversarial configuration fixtures
+- checking that reports, snapshots, and fingerprints do not retain secret values
+- threat modeling permission expansion, provenance substitution, and review drift
+- writing regression tests for defensive findings and proposed mitigations
+- analyzing false positives and false negatives from fully redacted pilot feedback
+
+This work is defensive engineering. It does not require credential theft, persistence, destructive actions, data exfiltration, malware deployment, mass exploitation, or unauthorized access.
+
+## Authorization and data boundary
+
+- Testing is limited to the operator's own repositories and accounts, explicitly authorized systems, and isolated local test environments.
+- Checked-in adversarial inputs are inert data. They use reserved `.invalid` domains, nonexistent package identities, and placeholder values.
+- Normal inspection is local-only and does not execute inspected MCP servers, Claude permission rules, skills, plugins, or hooks.
+- Explicit provenance commands may query public GitHub, npm, or MCP Registry metadata. Observation is never converted into trust without a separate user action.
+- Real credentials, private endpoints, customer data, proprietary prompts, and exploit material do not belong in public fixtures or reports.
+
+## Controls evidenced by this repository
+
+| Control objective | Public evidence |
+| --- | --- |
+| Keep unreviewed tools away from the agent | ALLOW/ASK/BLOCK policy engine and filtered MCP gates |
+| Detect capability expansion | MCP, Claude Code, and Codex settings signals plus adversarial regression tests |
+| Avoid silent parser bypass | focused adapters reject unsupported security-relevant syntax |
+| Keep secrets out of evidence | tests for redaction from output, snapshots, and configuration fingerprints |
+| Make approval drift visible | deterministic snapshots, Ed25519 review records, and recheck commands |
+| Reduce supply-chain ambiguity | explicit provenance observations, artifact digest verification, release checksums, SBOMs, and build attestations |
+| Keep research reproducible | inert fixtures, documented expectations, cross-platform CI, and CodeQL |
+
+An ALLOW result is still only a policy result over observed evidence. TrustDex is not a sandbox, malware scanner, or proof that third-party code is safe.
+
+## Claude Code and Codex permission research
+
+`inspect-claude-settings` examines the documented `permissions` object and reports automatic approval of shell, filesystem, network, MCP, and subagent capabilities. It also surfaces the presence of hooks, credential helpers, environment settings, sandbox configuration, and plugin loading without retaining their values.
+
+This is static evidence, not runtime enforcement. It does not merge every Claude settings scope, inspect command-line flags, prove that managed settings reached a session, or replace Claude Code sandboxing. The operator must confirm the effective runtime configuration separately.
+
+`inspect-codex-settings` evaluates Codex approval policy, reviewer choice, sandbox
+class, network access, additional writable-root count, web-search mode, and explicit
+subagent enablement. It reports custom permission, app, and plugin surfaces that it
+does not fully parse without retaining their values. It likewise does not merge every
+Codex configuration layer or replace the active Codex sandbox.
+
+## CVP application boundary
+
+Anthropic's current Cyber Verification Program application asks for verifiable identity or organization details, a description of security work, and an attestation to the controls for the requested tier. This repository can support the security-work description, but repository changes cannot establish the operator's identity or satisfy account and device controls by themselves.
+
+An individual applicant should verify current requirements directly before applying. As of October 2026, Anthropic states that individuals are eligible for Defense Access only, must use personal access rather than shared sessions, must enable MFA, and must transition to phishing-resistant MFA and away from long-lived credentials by the published cutoff. Claude Code's OAuth sign-in is the intended first-party path. See the official [Cyber Verification Program](https://support.claude.com/en/articles/14604842-cyber-verification-program) and [CVP security requirements](https://support.claude.com/en/articles/17202708-cyber-verification-program-security-requirements).
+
+Do not claim a control in an application unless it is actually implemented and can be evidenced. CVP access for internal work does not automatically authorize a customer-facing security service or product.
+
+## Reproducible evidence
+
+```bash
+npm test
+npm run check
+npm run test:research
+
+node ./bin/trustdex.mjs inspect-claude-settings \
+  ./examples/claude.settings.json \
+  --pack strict
+
+node ./bin/trustdex.mjs inspect-codex-settings \
+  ./examples/codex.permissions.toml \
+  --pack strict
+```
+
+The Claude command intentionally exits with code `2` because its example contains a shell auto-approval rule. The Codex command exits with code `1` because bounded workspace-write capabilities still require review. See [Defensive evaluation](EVALUATION.md), [Security research](SECURITY_RESEARCH.md), and the [Threat model](THREAT_MODEL.md) for the expected results and limitations.

package/docs/EVALUATION.ko.md

@@ -32,8 +32,36 @@
 
 자리표시자 값 자체는 검사 결과나 스냅샷 어디에도 나타나면 안 됩니다.
 
+## Claude Code 권한 사례
+
+`test/claude-settings.test.mjs`는 제한된 `settings.json` 경계를 검사합니다.
+
+| 사례 | 필수 증거 | 예상 결정 |
+| --- | --- | --- |
+| 제한적인 `ask`/`deny`, 계획 모드, 우회 비활성화 | 추가 위험 신호 없음 | 파일이 로컬 증거이므로 `ASK` |
+| 셸/파일 시스템/네트워크/서브에이전트 전체 허용과 우회 모드 | 광범위 자동 승인 및 우회 신호 | `BLOCK` |
+| 좁은 셸, 웹, MCP 및 서브에이전트 허용 | 기능별 자동 승인 신호 | 셸이 자동 승인되므로 `strict`에서 `BLOCK` |
+| 훅과 자격 증명 도우미 | 실행 가능한 인접 설정 신호 | `BLOCK` |
+| 지원하지 않는 권한 키 또는 잘못된 규칙 | 파서 오류 | 종료 코드 `2` |
+
+테스트는 명령, 도메인, 디렉터리, 훅, 도우미, 환경, 플러그인 및 알 수 없는 설정 필드에 자리표시자 값을 넣고 어떤 값도 검사 결과에 나타나지 않도록 요구합니다. 권한 설정 지문은 생성하지 않습니다.
+
+## Codex 권한 사례
+
+`test/codex-settings.test.mjs`는 `config.toml`의 승인 및 샌드박스 설정을 검사합니다.
+
+| 사례 | 필수 증거 | 예상 결정 |
+| --- | --- | --- |
+| `read-only`, `on-request`, 사용자 검토, 네트워크 비활성화 | 추가 위험 신호 없음 | 파일이 로컬 증거이므로 `ASK` |
+| `danger-full-access`, `never`, 자동 검토, 실시간 웹 검색 | 제한 없는 샌드박스와 줄어든 사람 검토 | `BLOCK` |
+| 작업 공간 쓰기, 네트워크 활성화, 추가 쓰기 가능 루트 | 제한된 기능 확장 신호 | `ASK` |
+| 사용자 정의 권한, 플러그인 또는 검사하지 않은 섹션 | 명시적인 미검사 표면 신호 | `ASK` |
+| 지원하지 않는 열거/타입, 혼합 권한 모델 또는 알 수 없는 샌드박스 키 | 파서 오류 | 종료 코드 `2` |
+
+쓰기 가능 루트 경로와 관련 없는 설정 값은 결과에 나타나면 안 됩니다. Codex 설정 지문은 생성하지 않습니다.
+
 ## 이 평가가 측정하지 않는 것
 
-이 벤치마크는 의도적으로 범위가 좁습니다. 런타임 동작, 샌드박스 탈출, 임의의 악성 코드, 모든 형태의 프롬프트 인젝션, 게시자 신원 소유권 또는 전이 의존성의 취약점을 측정하지 않습니다. 특히 이미 실행 중인 MCP 서버가 동적으로 반환하는 도구 설명은 현재 정적 설정 경계 밖에 있습니다.
+이 벤치마크는 의도적으로 범위가 좁습니다. 런타임 동작, 샌드박스 탈출, 임의의 악성 코드, 모든 형태의 프롬프트 인젝션, 게시자 신원 소유권 또는 전이 의존성의 취약점을 측정하지 않습니다. 모든 Claude 또는 Codex 설정 범위를 병합하거나 세션 명령줄 재정의를 검사하거나 보고된 샌드박스가 실제로 활성화되었음을 증명하지 않습니다. 특히 이미 실행 중인 MCP 서버가 동적으로 반환하는 도구 설명은 현재 정적 설정 경계 밖에 있습니다.
 
 이 작은 픽스처 집합은 회귀 기준선이지 탐지 정확도에 대한 통계적 주장이 아닙니다. 거짓 양성과 거짓 음성 비율을 측정하려면 민감 정보를 제거한 실제 설정으로 구성되고 독립적으로 검토된 더 큰 코퍼스가 필요합니다.

package/docs/EVALUATION.md

@@ -32,8 +32,39 @@ The drift fixture begins with the trusted pinned package and then introduces an
 
 The placeholder value itself must not appear in either inspection result or snapshot.
 
+## Claude Code permission cases
+
+`test/claude-settings.test.mjs` exercises a focused `settings.json` boundary.
+
+| Case | Required evidence | Expected decision |
+| --- | --- | --- |
+| restrictive `ask`/`deny`, plan mode, bypass disabled | no added risk signal | `ASK` because the file is local evidence |
+| bare shell/filesystem/network/subagent allows plus bypass mode | broad auto-approval and bypass signals | `BLOCK` |
+| narrow shell, web, MCP, and subagent allows | capability-specific auto-approval signals | `BLOCK` under `strict` because shell is auto-approved |
+| hooks and credential helper | executable adjacent-setting signals | `BLOCK` |
+| unsupported permission key or malformed rule | parser error | exit `2` |
+
+The tests place placeholder values in command, domain, directory, hook, helper,
+environment, plugin, and unknown settings fields and require that none appear in the
+inspection result. No permission-settings fingerprint is created.
+
+## Codex permission cases
+
+`test/codex-settings.test.mjs` exercises approval and sandbox settings in `config.toml`.
+
+| Case | Required evidence | Expected decision |
+| --- | --- | --- |
+| `read-only`, `on-request`, user review, network disabled | no added risk signal | `ASK` because the file is local evidence |
+| `danger-full-access`, `never`, auto-review, live web search | unrestricted sandbox plus reduced human review | `BLOCK` |
+| workspace write, network enabled, additional writable root | bounded capability-expansion signals | `ASK` |
+| custom permission, plugin, or uninspected sections | explicit uninspected-surface signals | `ASK` |
+| unsupported enum/type, mixed permission models, or unknown sandbox key | parser error | exit `2` |
+
+Writable-root paths and unrelated setting values must not appear in results. No
+Codex-settings fingerprint is created.
+
 ## What this does not measure
 
-This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
+This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. It does not merge every Claude or Codex settings scope, inspect session command-line overrides, or prove that the reported sandbox is active. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
 
 The small fixture set is a regression baseline, not a statistical claim about detection accuracy. False-positive and false-negative rates require a larger, independently reviewed corpus of redacted real-world configurations.

package/docs/ROADMAP.ko.md

@@ -9,12 +9,21 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
 ## 현재: 경계 강화
 
 - MCP JSON, Codex TOML, 스킬 및 플러그인 매니페스트의 적대적 픽스처 확장
+- Claude Code와 Codex 모두의 적대적 권한 픽스처 확장
 - 사람이 읽을 수 있는 모든 출력에 비밀 값이 계속 포함되지 않는지 검증
 - 크로스 플랫폼 소스 및 경로 정규화 개선
 - 안정적인 정책 및 스냅샷 스키마 규칙 문서화
 - CI, CodeQL 및 릴리스 자동화를 재현 가능하고 검토 가능한 상태로 유지
 
-## 다음: 무결성 증명
+## 다음: 에이전트 행동 경계를 검토 가능하게 만들기
+
+- 명령, 경로, 도메인 또는 자격 증명 값을 보관하지 않고 병합된 설정 소스 검사
+- 시간에 따른 권한 상태를 비교하고 에이전트 자율성이 넓어지면 재검토 요구
+- 승인된 도구 출처와 해당 도구에 부여된 행동 권한 연결
+- 오케스트레이터와 CI용 기계 판독 가능 결정 출력 정의
+- 권고형 설정 검사가 런타임 및 운영체제 샌드박스와 결합되는 방식 문서화
+
+## 그다음: 무결성 증명
 
 - 레지스트리가 암호학적 해시를 제공할 때 변경 불가능한 패키지 아티팩트 검증
 - 레지스트리 관찰을 정확한 패키지 버전 및 저장소 신원과 연결
@@ -26,7 +35,6 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
 - 서명된 스냅샷, 승인 및 재검사 워크플로를 Codex `config.toml`로 확장
 - 추가 에이전트 런타임 및 레지스트리용 어댑터 추가
 - 테스트에 근거한 호환성 매트릭스 게시
-- CI 및 정책 도구용 기계 판독 가능 결정 출력 정의
 - 조직 관리형 신뢰 저장소 및 검토 키 교체 탐색
 
 ## 도입 목표

package/docs/ROADMAP.md

@@ -9,12 +9,21 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
 ## Now: harden the boundary
 
 - expand adversarial fixtures for MCP JSON, Codex TOML, skills, and plugin manifests
+- expand adversarial permission fixtures for both Claude Code and Codex
 - verify that all human-readable output remains free of secret values
 - improve cross-platform source and path normalization
 - document stable policy and snapshot schema rules
 - keep CI, CodeQL, and release automation reproducible and reviewable
 
-## Next: prove integrity
+## Next: make agent action boundaries reviewable
+
+- inspect merged settings sources without retaining commands, paths, domains, or credential values
+- compare permission posture over time and require review when agent autonomy expands
+- connect approved tool provenance to the action permissions granted to that tool
+- define machine-readable decision output for orchestrators and CI
+- document how advisory settings checks compose with runtime and operating-system sandboxes
+
+## Then: prove integrity
 
 - verify immutable package artifacts when registries expose cryptographic hashes
 - connect registry observations to exact package versions and repository identities
@@ -26,7 +35,6 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
 - extend signed snapshot, approval, and recheck workflows to Codex `config.toml`
 - add adapters for additional agent runtimes and registries
 - publish a compatibility matrix backed by tests
-- define machine-readable decision output for CI and policy tooling
 - explore organization-managed trust stores and review-key rotation
 
 ## Adoption goals

package/docs/SECURITY_RESEARCH.ko.md

@@ -17,6 +17,8 @@ TrustDex는 AI 에이전트가 서드파티 도구에 접근하기 전에 내리
 - 소스, 출처, 결정, 지문 및 기능 드리프트
 - 서명된 검토 기록과 신뢰 관련 변경 후 재검토
 - 지원하지 않는 구문에서 안전하게 실패해야 하는 파서 동작
+- Claude Code 권한 설정의 자동 행동 권한
+- Codex 샌드박스, 승인, 네트워크, 쓰기 가능 루트, 웹 검색 및 서브에이전트 설정
 
 의도한 결과물은 재현 가능한 픽스처, 회귀 테스트, 문서화된 제한 사항 및 에이전트 개발자와 운영자를 위한 실용적인 완화책입니다.
 
@@ -57,7 +59,10 @@ TrustDex 연구는 관련 없는 공개 시스템을 테스트할 권한을 부
 ## 현재 재현 가능한 증거
 
 - [적대적 MCP 픽스처](../examples/adversarial/README.ko.md)
+- [Claude Code 권한 픽스처](../examples/claude.settings.json)
+- [Codex 권한 픽스처](../examples/codex.permissions.toml)
 - [평가 기록](EVALUATION.ko.md)
+- [방어적 AI 에이전트 보안 사용 사례](DEFENSIVE_USE_CASE.ko.md)
 - [위협 모델](THREAT_MODEL.ko.md)
 - [보안 정책](../SECURITY.ko.md)
 

package/docs/SECURITY_RESEARCH.md

@@ -17,6 +17,8 @@ The research asks whether observable configuration, provenance, integrity, and c
 - source, provenance, decision, fingerprint, and capability drift
 - signed review records and re-review after trust-relevant change
 - parser behavior that must fail closed on unsupported syntax
+- automatic action grants in Claude Code permission settings
+- Codex sandbox, approval, network, writable-root, web-search, and subagent settings
 
 The intended outputs are reproducible fixtures, regression tests, documented limitations, and practical mitigations for agent developers and operators.
 
@@ -57,7 +59,10 @@ Public reports must remove credentials, private endpoints, proprietary prompts,
 ## Current reproducible evidence
 
 - [Adversarial MCP fixtures](../examples/adversarial/README.md)
+- [Claude Code permission fixture](../examples/claude.settings.json)
+- [Codex permission fixture](../examples/codex.permissions.toml)
 - [Evaluation record](EVALUATION.md)
+- [Defensive AI-agent security use case](DEFENSIVE_USE_CASE.md)
 - [Threat model](THREAT_MODEL.md)
 - [Security policy](../SECURITY.md)
 

package/docs/THREAT_MODEL.ko.md

@@ -6,7 +6,7 @@
 
 TrustDex는 하나의 좁은 질문을 다룹니다.
 
-> **사용자의 정책에 따라 에이전트가 이 확장을 보고 호출하도록 허용해야 하는가?**
+> **사용자의 정책에 따라 에이전트가 이 확장을 보거나 이 자동 행동 권한을 받도록 허용해야 하는가?**
 
 ## 범위 내
 
@@ -19,6 +19,9 @@ TrustDex는 하나의 좁은 질문을 다룹니다.
 - 검토된 레지스트리 무결성 메타데이터와 일치하지 않는 패키지 바이트로의 대체
 - 설정된 패키지 버전이 무결성 검증된 아티팩트 버전에서 벗어남
 - 서명된 신뢰 기록이 있을 때 검토된 스냅샷의 변조
+- 광범위한 셸, 파일 시스템, 네트워크, MCP 또는 서브에이전트 작업을 조용히 자동 승인하는 Claude Code 권한 규칙
+- 샌드박스를 제거하거나 승인을 생략하거나 네트워크 접근 또는 쓰기 가능 루트를 추가하는 Codex 설정
+- 명시적인 검토 없이 변경되는 행동 권한 설정
 
 ## 신뢰 경계
 
@@ -41,6 +44,8 @@ TrustDex는 익숙한 프로젝트 이름, 스타 수, 패키지 이름 또는
 - 로컬 신뢰 저장소 주장만으로 게시자 소유권을 독립적으로 증명
 - 완전히 침해된 호스트 보호
 - 도난당한 서명 비공개 키로부터 보호
+- 모든 사용자, 프로젝트, 프로필, 관리형, 시스템, 환경 및 명령줄 소스를 병합한 실제 설정 계산
+- Claude Code 또는 Codex 행동 권한의 런타임 강제 적용
 
 ## 중요한 실패 모드
 

package/docs/THREAT_MODEL.md

@@ -6,7 +6,7 @@
 
 TrustDex addresses one narrow question:
 
-> **Should an agent be allowed to see and invoke this extension under the user's policy?**
+> **Should an agent see this extension or receive this automatic action capability under the user's policy?**
 
 ## In scope
 
@@ -19,6 +19,9 @@ TrustDex addresses one narrow question:
 - substitution of package bytes that do not match reviewed registry integrity metadata
 - configured package versions drifting from an integrity-verified artifact version
 - tampering with a reviewed snapshot when a signed trust record is available
+- Claude Code permission rules that silently auto-approve broad shell, filesystem, network, MCP, or subagent actions
+- Codex configurations that remove the sandbox, suppress approvals, enable network access, or add writable roots
+- action-permission settings changing without an explicit review
 
 ## Trust boundaries
 
@@ -41,6 +44,8 @@ TrustDex does **not** treat a familiar project name, star count, package name, o
 - independently proving publisher ownership from a local trust-store claim
 - protecting a fully compromised host
 - protecting a stolen signing private key
+- calculating the effective configuration after every user, project, profile, managed, system, environment, and command-line source is merged
+- enforcing Claude Code or Codex action permissions at runtime
 
 ## Important failure mode
 

package/examples/adversarial/README.ko.md

@@ -0,0 +1,31 @@
+# 비활성 적대적 픽스처
+
+<p align="right">
+  <a href="./README.md">English</a> | <strong>한국어</strong>
+</p>
+
+이 파일들은 TrustDex 정책 경계의 재현 가능한 방어적 테스트를 제공합니다.
+
+- `mcp-config.json`에는 정적인 MCP 설정 사례 7개가 포함되어 있습니다.
+- `policy.json`은 소스 허용 목록과 독립적으로 차단 신호를 테스트할 수 있도록 픽스처 패키지 1개와 픽스처 호스트 2개를 명시적으로 신뢰합니다.
+- `expected.json`은 필수 결정과 최소 신호를 기록합니다.
+- `drift-before.json`과 `drift-after.json`은 검토된 패키지에 비밀 정보를 포함하는 환경 키가 추가되는 상황을 모델링합니다.
+
+모든 패키지 이름은 가상이며, 모든 원격 엔드포인트는 예약된 `.invalid` 최상위 도메인을 사용하고, 자격 증명으로 보이는 모든 값은 자리표시자입니다. 이를 실제 값으로 바꾸지 마세요. TrustDex는 이 파일을 읽지만 나열된 명령을 실행하거나 나열된 엔드포인트에 연결하지 않습니다.
+
+강제 평가 실행:
+
+```bash
+npm run test:research
+```
+
+사람이 읽을 수 있는 결정을 직접 검사:
+
+```bash
+node ./bin/trustdex.mjs inspect \
+  ./examples/adversarial/mcp-config.json \
+  --pack strict \
+  --policy ./examples/adversarial/policy.json
+```
+
+차단 사례가 있으므로 두 번째 명령은 종료 코드 `2`를 반환합니다. 예상 결과와 제한 사항은 [평가 기록](../../docs/EVALUATION.ko.md)을 참고하세요.

package/examples/adversarial/README.md

@@ -0,0 +1,31 @@
+# Inert adversarial fixtures
+
+<p align="right">
+  <strong>English</strong> | <a href="./README.ko.md">한국어</a>
+</p>
+
+These files provide a reproducible defensive test of TrustDex's policy boundary.
+
+- `mcp-config.json` contains seven static MCP configuration cases.
+- `policy.json` explicitly trusts one fixture package and two fixture hosts so blocking signals can be tested independently of source allowlisting.
+- `expected.json` records the required decisions and minimum signals.
+- `drift-before.json` and `drift-after.json` model a reviewed package gaining a secret-bearing environment key.
+
+All package names are fictional, all remote endpoints use the reserved `.invalid` top-level domain, and all apparent credentials are placeholders. Do not replace them with real values. TrustDex reads these files but never executes the listed commands or contacts the listed endpoints.
+
+Run the enforced evaluation:
+
+```bash
+npm run test:research
+```
+
+Inspect the human-readable decisions directly:
+
+```bash
+node ./bin/trustdex.mjs inspect \
+  ./examples/adversarial/mcp-config.json \
+  --pack strict \
+  --policy ./examples/adversarial/policy.json
+```
+
+The second command exits with code `2` because blocking cases are present. See [the evaluation record](../../docs/EVALUATION.md) for the expected results and limitations.

package/examples/adversarial/drift-after.json

@@ -0,0 +1,11 @@
+{
+  "mcpServers": {
+    "reviewed-package": {
+      "command": "npx",
+      "args": ["-y", "@trustdex-fixtures/reviewed-server@1.2.3"],
+      "env": {
+        "API_TOKEN": "NOT_A_REAL_SECRET"
+      }
+    }
+  }
+}

package/examples/adversarial/drift-before.json

@@ -0,0 +1,8 @@
+{
+  "mcpServers": {
+    "reviewed-package": {
+      "command": "npx",
+      "args": ["-y", "@trustdex-fixtures/reviewed-server@1.2.3"]
+    }
+  }
+}

package/examples/adversarial/expected.json

@@ -0,0 +1,30 @@
+{
+  "trusted-pinned-package": {
+    "action": "allow",
+    "signals": ["install-on-run"]
+  },
+  "floating-version": {
+    "action": "block",
+    "signals": ["install-on-run", "unbounded-version"]
+  },
+  "shell-launcher": {
+    "action": "block",
+    "signals": ["filesystem-path", "shell-execution"]
+  },
+  "credential-bearing-url": {
+    "action": "block",
+    "signals": ["embedded-credentials", "network-endpoint", "url-query-parameters"]
+  },
+  "insecure-remote": {
+    "action": "block",
+    "signals": ["insecure-transport", "network-endpoint"]
+  },
+  "sensitive-local-env": {
+    "action": "ask",
+    "signals": ["filesystem-path", "secret-env"]
+  },
+  "unknown-remote": {
+    "action": "block",
+    "signals": ["network-endpoint"]
+  }
+}

package/examples/adversarial/mcp-config.json

@@ -0,0 +1,32 @@
+{
+  "mcpServers": {
+    "trusted-pinned-package": {
+      "command": "npx",
+      "args": ["-y", "@trustdex-fixtures/reviewed-server@1.2.3"]
+    },
+    "floating-version": {
+      "command": "npx",
+      "args": ["-y", "@trustdex-fixtures/floating-server@latest"]
+    },
+    "shell-launcher": {
+      "command": "bash",
+      "args": ["-lc", "./fixture-server.mjs"]
+    },
+    "credential-bearing-url": {
+      "url": "https://fixture-user:fixture-password@credentials.fixture.invalid/mcp?token=fixture-token"
+    },
+    "insecure-remote": {
+      "url": "http://insecure.fixture.invalid/mcp"
+    },
+    "sensitive-local-env": {
+      "command": "node",
+      "args": ["./fixture-server.mjs"],
+      "env": {
+        "SERVICE_API_TOKEN": "NOT_A_REAL_SECRET"
+      }
+    },
+    "unknown-remote": {
+      "url": "https://unknown.fixture.invalid/mcp"
+    }
+  }
+}

package/examples/adversarial/policy.json

@@ -0,0 +1,10 @@
+{
+  "version": 1,
+  "trustedPackages": [
+    "@trustdex-fixtures/reviewed-server"
+  ],
+  "allowedRemoteHosts": [
+    "credentials.fixture.invalid",
+    "insecure.fixture.invalid"
+  ]
+}

package/examples/claude.mcp.json

@@ -0,0 +1,24 @@
+{
+  "mcpServers": {
+    "reviewed": {
+      "type": "http",
+      "url": "https://reviewed.invalid/mcp"
+    },
+    "unknown": {
+      "type": "http",
+      "url": "https://unknown.invalid/mcp"
+    },
+    "helper": {
+      "type": "http",
+      "url": "https://reviewed.invalid/mcp",
+      "headersHelper": "INERT_HELPER_NOT_EXECUTED"
+    },
+    "needsReview": {
+      "type": "http",
+      "url": "https://reviewed.invalid/mcp",
+      "headers": {
+        "Authorization": "Bearer ${EXAMPLE_API_TOKEN}"
+      }
+    }
+  }
+}

package/examples/claude.policy.json

@@ -0,0 +1,6 @@
+{
+  "version": 1,
+  "allowedRemoteHosts": [
+    "reviewed.invalid"
+  ]
+}

package/examples/claude.settings.json

@@ -0,0 +1,26 @@
+{
+  "$schema": "https://json.schemastore.org/claude-code-settings.json",
+  "permissions": {
+    "allow": [
+      "Bash(npm test)",
+      "WebFetch(domain:docs.example.invalid)",
+      "mcp__reviewed__read_*",
+      "Agent(Explore)"
+    ],
+    "ask": [
+      "Edit",
+      "Bash(git push *)"
+    ],
+    "deny": [
+      "Read(./.env)",
+      "WebFetch(domain:*)"
+    ],
+    "defaultMode": "default",
+    "additionalDirectories": [
+      "../shared-read-only"
+    ],
+    "disableBypassPermissionsMode": "disable",
+    "disableAutoMode": "disable",
+    "blockReadsOutsideWorkingDirectories": true
+  }
+}