trustdex 0.5.1 → 0.7.0

package/docs/CLAUDE.md

@@ -10,7 +10,7 @@ upload your configuration. An ALLOW decision means the evidence matched your pol
 it does not prove that server code is safe.
 
 The Claude-specific commands are available in TrustDex 0.5.0 and later.
-Use `npx trustdex@0.5.0` in place of `node ./bin/trustdex.mjs` in the examples
+Use `npx trustdex@0.7.0` in place of `node ./bin/trustdex.mjs` in the examples
 below to run the published CLI, or use the commands directly from a source checkout.
 
 ## Supported configuration
@@ -91,6 +91,74 @@ Official references:
 [Claude Code MCP](https://code.claude.com/docs/en/mcp) and
 [CLI flags](https://code.claude.com/docs/en/cli-reference).
 
+## Claude Code permission settings
+
+MCP gating controls which external servers are exposed. Claude Code's own permission
+rules separately control which agent actions run without prompting. Inspect a user,
+project, local, or managed settings file as a separate step:
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings \
+  ./.claude/settings.json \
+  --pack strict \
+  --json
+```
+
+The adapter validates the documented `permissions` fields `allow`, `ask`, `deny`,
+`defaultMode`, `additionalDirectories`, `disableBypassPermissionsMode`,
+`disableAutoMode`, and `blockReadsOutsideWorkingDirectories`. Unknown permission
+fields, malformed rule arrays, empty rules, unsupported modes, unanchored wildcard
+allow rules, and parenthesized MCP rules fail closed.
+
+Automatic grants are classified by capability rather than echoing their values:
+
+| Observed setting | Strict result |
+| --- | --- |
+| narrow shell auto-approval | `BLOCK` |
+| broad shell, filesystem, network, or subagent auto-approval | `BLOCK` |
+| filesystem, network, MCP, or subagent auto-approval | at least `ASK` |
+| `bypassPermissions` default mode | `BLOCK` |
+| `auto` or `acceptEdits` default mode | at least `ASK` |
+| additional directories or explicitly unblocked outside reads | at least `ASK` |
+| hooks or an API-key helper | `BLOCK` |
+| environment, sandbox, plugin, or uninspected root settings | at least `ASK` |
+
+`ask` and `deny` rules are restrictive and do not add a risk signal by themselves.
+The report includes rule counts and capability categories, but not command patterns,
+paths, domains, hook bodies, helper commands, directory values, environment values,
+or plugin identifiers. For the same reason, this first adapter does not create a
+content fingerprint or signed review record for settings files.
+
+This command inspects one file at a time. Claude Code merges settings across scopes
+and command-line flags can add session permissions, so the result is not the effective
+runtime policy. Confirm loaded sources and permissions in Claude Code and use OS-level
+sandboxing for enforcement. Official references: [settings files and precedence](https://code.claude.com/docs/en/settings),
+[permissions](https://code.claude.com/docs/en/permissions), and
+[security](https://code.claude.com/docs/en/security).
+
+### Permission posture drift
+
+Create a baseline after review and compare a later settings state:
+
+```bash
+node ./bin/trustdex.mjs snapshot-claude-settings \
+  ./.claude/settings.json \
+  --pack strict \
+  --out .trustdex/claude-posture.json
+
+node ./bin/trustdex.mjs diff-permissions \
+  .trustdex/approved-claude-posture.json \
+  .trustdex/current-claude-posture.json
+```
+
+New automatic tool categories, added rules or directories, relaxed protective
+switches, a riskier default mode, new risk signals, or changed policy semantics return
+`NEEDS_REVIEW` and exit `1`. Restriction-only changes return `RESTRICTED` and exit `0`.
+The snapshot excludes source paths and every permission, hook, directory, domain,
+credential-helper, plugin, and environment value. Because it intentionally does not
+fingerprint redacted rule contents, a same-count change inside one capability category
+must still be covered by source review or runtime controls.
+
 ## Signed review and drift
 
 Keep the Claude adapter throughout a review workflow; generic MCP commands do not

package/docs/CODEX.ko.md

@@ -15,7 +15,7 @@ Codex 클라이언트는 `config.toml`(기본적으로 `~/.codex/` 아래)의 `[
 ### 1. 현재 설정 검사
 
 ```bash
-npx trustdex@0.4.4 inspect-codex ~/.codex/config.toml --pack strict
+npx trustdex@0.7.0 inspect-codex ~/.codex/config.toml --pack strict
 ```
 
 이 명령은 파일을 로컬에서 읽으며 네트워크 요청을 하지 않습니다. 출력에는 각 MCP 서버, 소스 유형, 신뢰 신호 및 ALLOW / ASK / BLOCK 결정이 표시됩니다. 환경 변수 이름은 표시될 수 있지만 값은 절대 표시되지 않습니다.
@@ -25,7 +25,7 @@ npx trustdex@0.4.4 inspect-codex ~/.codex/config.toml --pack strict
 ### 2. 게이트된 사본 작성
 
 ```bash
-npx trustdex@0.4.4 gate-codex ~/.codex/config.toml \
+npx trustdex@0.7.0 gate-codex ~/.codex/config.toml \
   --pack official-first \
   --trust-store ./trust-store.json \
   --out ./gated-config.toml
@@ -51,13 +51,59 @@ TrustDex는 `config.toml`을 직접 수정하지 않습니다. 원본 파일을
 
 TrustDex는 Codex MCP 섹션에 사용되는 TOML 구성만 파싱합니다. 지원하지 않는 MCP 키, 중첩 하위 섹션 또는 구문은 건너뛰지 않고 오류로 보고되므로 TrustDex가 완전히 읽을 수 없는 설정이 조용히 ALLOW가 되지 않습니다.
 
+## Codex 실행 권한 검사
+
+MCP 게이트는 외부 도구를 제어하고 Codex 승인·샌드박스 설정은 에이전트가 로컬에서 할 수 있는 일을 제어합니다. 이 설정을 별도로 검사하세요.
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings \
+  ./examples/codex.permissions.toml \
+  --pack strict \
+  --json
+```
+
+어댑터는 `approval_policy`, `approvals_reviewer`, `sandbox_mode`, `default_permissions`, `web_search` 및 문서화된 `sandbox_workspace_write` 키를 검증합니다. 다음을 보고합니다.
+
+- `danger-full-access`는 `BLOCK`
+- `workspace-write`, 외부 네트워크 접근, 추가 쓰기 가능 루트, 실시간 웹 검색, 자동 검토 및 `approval_policy = "never"`는 최소 `ASK`
+- 명시적인 멀티 에이전트 활성화, 사용자 정의 권한 프로필, 앱/플러그인 섹션 및 완전히 검사하지 않는 설정은 `ASK`
+
+보안 관련 값의 타입이나 열거 값이 지원되지 않으면 안전하게 실패합니다. 공식 설정 레퍼런스가 함께 사용하지 말라고 명시하므로 `default_permissions`와 기존 샌드박스 설정을 같이 사용해도 실패합니다. 쓰기 가능 루트 경로와 관련 없는 설정의 값은 보관·출력·지문화하지 않습니다.
+
+이 첫 번째 어댑터는 한 번에 파일 하나를 검사하며 사용자, 프로젝트, 프로필, 관리형, 시스템 또는 명령줄 설정을 하나의 실제 정책으로 병합하지 않습니다. 이는 정적 증거이며 Codex 샌드박스 자체가 아닙니다. 클라이언트에서 활성 권한 프로필을 확인하세요. 공식 OpenAI 문서는 샌드박스 경계와 승인 처리를 구분하며 `workspace-write`와 `on-request` 조합을 더 낮은 위험의 로컬 자동화 구성으로 안내합니다. [설정 레퍼런스](https://developers.openai.com/codex/config-reference)와 [샌드박스 가이드](https://developers.openai.com/codex/sandboxing)를 참고하세요.
+
+### 권한 상태 드리프트
+
+검토한 구조적 기준 상태를 생성해 커밋한 뒤 CI에서 현재 스냅샷을 만들고
+비교하세요.
+
+```bash
+node ./bin/trustdex.mjs snapshot-codex-settings \
+  ~/.codex/config.toml \
+  --pack strict \
+  --out .trustdex/codex-posture.json
+
+node ./bin/trustdex.mjs diff-permissions \
+  .trustdex/approved-codex-posture.json \
+  .trustdex/current-codex-posture.json \
+  --json
+```
+
+네트워크 활성화, 더 넓은 쓰기 범위, 더 약한 샌드박스나 승인 상태, 실시간 검색,
+서브에이전트 활성화, 새 위험 신호 및 정책 의미 변경은 검토를 요구하고 종료 코드
+`1`을 반환합니다. 제한적으로만 변한 경우 종료 코드 `0`을 반환합니다. 스냅샷은
+구조적 개수와 문서화된 열거 값만 저장하며 설정 파일 경로, 쓰기 가능 루트 경로,
+사용자 정의 프로필 값 또는 관련 없는 설정은 저장하지 않습니다. 다이제스트는
+우발적이거나 조정되지 않은 편집을 감지하지만 누구나 서명되지 않은 다이제스트를
+다시 계산할 수 있습니다. 인증이 아니며 Codex 런타임 샌드박스를 대체하지 않습니다.
+
 ### 스킬 및 플러그인
 
 에이전트 스킬과 플러그인 매니페스트도 같은 방법으로 검사할 수 있습니다.
 
 ```bash
-npx trustdex@0.4.4 inspect-skill ./path/to/SKILL.md --pack strict
-npx trustdex@0.4.4 inspect-plugin ./path/to/plugin.json --pack strict
+npx trustdex@0.7.0 inspect-skill ./path/to/SKILL.md --pack strict
+npx trustdex@0.7.0 inspect-plugin ./path/to/plugin.json --pack strict
 ```
 
 이 명령은 파이프로 연결된 셸 설치 프로그램, 민감한 경로 참조, 네트워크 URL 및 와일드카드 도구 범위와 같은 관찰 가능한 신호를 보고합니다. 스킬이나 플러그인이 안전하다는 것을 증명하지는 않습니다.

package/docs/CODEX.md

@@ -15,7 +15,7 @@ Codex clients read MCP server definitions from `[mcp_servers.<name>]` tables in
 ### 1. Inspect the current configuration
 
 ```bash
-npx trustdex@0.4.4 inspect-codex ~/.codex/config.toml --pack strict
+npx trustdex@0.7.0 inspect-codex ~/.codex/config.toml --pack strict
 ```
 
 This reads the file locally and makes no network request. The output lists each MCP server, its source type, trust signals, and an ALLOW / ASK / BLOCK decision. Environment variable names may appear; their values never do.
@@ -25,7 +25,7 @@ Use `--json` for machine-readable output and `--trust-store ./trust-store.json`
 ### 2. Write a gated copy
 
 ```bash
-npx trustdex@0.4.4 gate-codex ~/.codex/config.toml \
+npx trustdex@0.7.0 gate-codex ~/.codex/config.toml \
   --pack official-first \
   --trust-store ./trust-store.json \
   --out ./gated-config.toml
@@ -51,13 +51,71 @@ The signed `snapshot`, `approve`, and `recheck` drift workflow in the [README](.
 
 TrustDex parses only the TOML constructs used by Codex MCP sections. An unsupported MCP key, nested subsection, or syntax is reported as an error instead of being skipped, so a configuration TrustDex cannot fully read never silently becomes ALLOW.
 
+## Inspect Codex execution permissions
+
+MCP gating controls external tools, while Codex approval and sandbox settings control
+what the agent can do locally. Inspect those settings separately:
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings \
+  ./examples/codex.permissions.toml \
+  --pack strict \
+  --json
+```
+
+The adapter validates `approval_policy`, `approvals_reviewer`, `sandbox_mode`,
+`default_permissions`, `web_search`, and the documented
+`sandbox_workspace_write` keys. It reports:
+
+- `danger-full-access` as `BLOCK`
+- `workspace-write`, outbound network access, additional writable roots, live web search, automatic review, and `approval_policy = "never"` as at least `ASK`
+- explicit multi-agent enablement, custom permission profiles, app/plugin sections, and settings it does not fully inspect as `ASK`
+
+Security-relevant values fail closed when their type or enum value is unsupported.
+`default_permissions` also fails when combined with the legacy sandbox settings, as
+the official configuration reference says not to combine them. Writable-root paths
+and values from unrelated settings are not retained, printed, or fingerprinted.
+
+This first adapter inspects one file at a time; it does not merge user, project,
+profile, managed, system, or command-line configuration into an effective policy.
+It is static evidence, not the Codex sandbox itself. Confirm the active permission
+profile in the client. The official OpenAI documentation distinguishes the sandbox
+boundary from approval handling and documents `workspace-write` plus `on-request`
+as the lower-risk local automation combination. See the [configuration reference](https://developers.openai.com/codex/config-reference)
+and [sandbox guide](https://developers.openai.com/codex/sandboxing).
+
+### Permission posture drift
+
+Create and commit a reviewed structural baseline, then generate a current snapshot in
+CI and compare them:
+
+```bash
+node ./bin/trustdex.mjs snapshot-codex-settings \
+  ~/.codex/config.toml \
+  --pack strict \
+  --out .trustdex/codex-posture.json
+
+node ./bin/trustdex.mjs diff-permissions \
+  .trustdex/approved-codex-posture.json \
+  .trustdex/current-codex-posture.json \
+  --json
+```
+
+Network enablement, broader writable scope, a weaker sandbox or approval posture,
+live search, subagent enablement, new risk signals, and policy-semantic changes require
+review and exit `1`. Restriction-only changes exit `0`. The snapshot stores structural
+counts and documented enums, not the config path, writable-root paths, custom profile
+values, or unrelated settings. Its digest detects accidental or unreconciled edits,
+but anyone can recompute an unsigned digest; it is not authentication or a replacement
+for the Codex runtime sandbox.
+
 ### Skills and plugins
 
 Agent skills and plugin manifests can be inspected the same way:
 
 ```bash
-npx trustdex@0.4.4 inspect-skill ./path/to/SKILL.md --pack strict
-npx trustdex@0.4.4 inspect-plugin ./path/to/plugin.json --pack strict
+npx trustdex@0.7.0 inspect-skill ./path/to/SKILL.md --pack strict
+npx trustdex@0.7.0 inspect-plugin ./path/to/plugin.json --pack strict
 ```
 
 These report observable signals such as piped shell installers, references to sensitive paths, network URLs, and wildcard tool scopes. They do not prove a skill or plugin is safe.

package/docs/DEFENSIVE_USE_CASE.ko.md

@@ -0,0 +1,85 @@
+# 방어적 AI 에이전트 보안 사용 사례
+
+<p align="right">
+  <a href="./DEFENSIVE_USE_CASE.md">English</a> | <strong>한국어</strong>
+</p>
+
+이 문서는 TrustDex의 합법적인 방어 목적과 운영 경계를 쉽게 검증할 수 있도록 정리한 증거 색인입니다. Anthropic의 보증, CVP 승인 또는 특정 운영자가 계정 수준 보안 요구사항을 충족한다는 진술이 아닙니다.
+
+## 해결하려는 문제
+
+코딩 에이전트의 자율성이 커질수록 실제 공격 표면은 모델에만 머물지 않습니다. 에이전트가 불러올 수 있는 도구, 별도 확인 없이 받는 권한, 도구가 참조하는 자격 증명, 시간이 지나면서 접근 범위를 조용히 넓힐 수 있는 설정 변경도 공격 표면에 포함됩니다.
+
+TrustDex는 이 표면에 대한 노출 전 통제를 연구하고 구현합니다. 현재 프로젝트는 두 가지 구체적인 질문을 다룹니다.
+
+1. 명시적인 로컬 정책에 따라 에이전트가 특정 MCP 서버, 스킬 또는 플러그인을 보고 호출하도록 허용해야 하는가?
+2. Claude Code 또는 Codex 설정이 자동 셸, 파일 시스템, 네트워크, MCP, 서브에이전트 또는 샌드박스 기능을 부여하여 검토나 차단이 필요한가?
+
+## 의도한 방어 작업
+
+이 프로젝트는 TrustDex 자체와 운영자가 소유하거나 명시적으로 테스트 허가를 받은 시스템에 대한 작업에 AI 지원을 사용합니다. 일반적인 작업은 다음과 같습니다.
+
+- 파서와 정책 코드에서 fail-open 동작 검토
+- 비활성 적대적 설정 픽스처 개발
+- 보고서, 스냅샷 및 지문에 비밀 값이 남지 않는지 확인
+- 권한 확장, 출처 대체 및 검토 드리프트 위협 모델링
+- 방어적 발견 사항과 완화책에 대한 회귀 테스트 작성
+- 민감 정보를 완전히 제거한 파일럿 피드백의 거짓 양성·거짓 음성 분석
+
+이 작업은 방어적 엔지니어링입니다. 자격 증명 탈취, 지속성 확보, 파괴 행위, 데이터 유출, 악성 코드 배포, 대량 악용 또는 무단 접근을 필요로 하지 않습니다.
+
+## 허가 및 데이터 경계
+
+- 테스트는 운영자 소유의 저장소와 계정, 명시적으로 허가된 시스템 및 격리된 로컬 테스트 환경으로 제한합니다.
+- 체크인된 적대적 입력은 비활성 데이터입니다. 예약된 `.invalid` 도메인, 존재하지 않는 패키지 식별자 및 자리표시자 값을 사용합니다.
+- 일반 검사는 로컬에서만 수행하며 검사 대상 MCP 서버, Claude 권한 규칙, 스킬, 플러그인 또는 훅을 실행하지 않습니다.
+- 명시적인 출처 명령은 공개 GitHub, npm 또는 MCP Registry 메타데이터를 조회할 수 있습니다. 별도의 사용자 작업 없이는 관찰 결과가 신뢰로 변환되지 않습니다.
+- 실제 자격 증명, 비공개 엔드포인트, 고객 데이터, 독점 프롬프트 및 공격용 자료는 공개 픽스처나 보고서에 포함하지 않습니다.
+
+## 이 저장소가 보여 주는 통제 증거
+
+| 통제 목표 | 공개 증거 |
+| --- | --- |
+| 검토되지 않은 도구를 에이전트에서 분리 | ALLOW/ASK/BLOCK 정책 엔진과 필터링된 MCP 게이트 |
+| 기능 범위 확장 감지 | MCP, Claude Code 및 Codex 설정 신호와 적대적 회귀 테스트 |
+| 조용한 파서 우회 방지 | 지원하지 않는 보안 관련 구문을 거부하는 전용 어댑터 |
+| 증거에서 비밀 값 제외 | 출력, 스냅샷 및 설정 지문에서 비밀 값을 제거하는 테스트 |
+| 승인 상태의 드리프트 표시 | 결정론적 스냅샷, Ed25519 검토 기록 및 재검사 명령 |
+| 공급망 모호성 감소 | 명시적 출처 관찰, 아티팩트 다이제스트 검증, 릴리스 체크섬, SBOM 및 빌드 증명 |
+| 연구 재현성 유지 | 비활성 픽스처, 문서화된 기대 결과, 크로스 플랫폼 CI 및 CodeQL |
+
+ALLOW 결과는 여전히 관찰된 증거에 대한 정책 결과일 뿐입니다. TrustDex는 샌드박스, 악성 코드 스캐너 또는 서드파티 코드가 안전하다는 증명이 아닙니다.
+
+## Claude Code 및 Codex 권한 연구
+
+`inspect-claude-settings`는 문서화된 `permissions` 객체를 검사하고 셸, 파일 시스템, 네트워크, MCP 및 서브에이전트 기능의 자동 승인을 보고합니다. 또한 훅, 자격 증명 도우미, 환경 설정, 샌드박스 설정 및 플러그인 로딩의 존재를 값은 보관하지 않은 채 드러냅니다.
+
+이는 정적 증거이지 런타임 강제 적용이 아닙니다. 모든 Claude 설정 범위를 병합하거나, 명령줄 플래그를 검사하거나, 관리형 설정이 세션에 실제 적용되었음을 증명하거나, Claude Code 샌드박싱을 대체하지 않습니다. 운영자는 실제 런타임 설정을 별도로 확인해야 합니다.
+
+`inspect-codex-settings`는 Codex 승인 정책, 검토자 선택, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 평가합니다. 완전히 파싱하지 않는 사용자 정의 권한, 앱 및 플러그인 표면은 값은 보관하지 않고 보고합니다. 마찬가지로 모든 Codex 설정 계층을 병합하거나 활성 Codex 샌드박스를 대체하지 않습니다.
+
+## CVP 신청 경계
+
+Anthropic의 현재 Cyber Verification Program 신청은 검증 가능한 개인 또는 조직 정보, 보안 작업 설명 및 요청 티어에 해당하는 통제 준수 확인을 요구합니다. 이 저장소는 보안 작업 설명을 뒷받침할 수 있지만, 저장소 변경만으로 운영자 신원을 증명하거나 계정·기기 통제를 충족할 수는 없습니다.
+
+개인 신청자는 신청 전에 최신 요구사항을 공식 문서에서 직접 확인해야 합니다. 2026년 10월 기준 Anthropic은 개인에게 Defense Access만 제공하며, 공유 세션이 아닌 개인 접근, MFA 활성화, 공개된 기한까지 피싱 방지 MFA 전환 및 장기 자격 증명 중단을 요구한다고 안내합니다. Claude Code의 OAuth 로그인이 퍼스트파티 사용 경로입니다. 공식 [Cyber Verification Program](https://support.claude.com/en/articles/14604842-cyber-verification-program)과 [CVP 보안 요구사항](https://support.claude.com/en/articles/17202708-cyber-verification-program-security-requirements)을 확인하세요.
+
+실제로 구현되어 있고 증거를 제시할 수 있는 통제만 신청서에 기재하세요. 내부 작업용 CVP 접근 권한은 고객 대상 보안 서비스나 제품을 자동으로 허가하지 않습니다.
+
+## 재현 가능한 증거
+
+```bash
+npm test
+npm run check
+npm run test:research
+
+node ./bin/trustdex.mjs inspect-claude-settings \
+  ./examples/claude.settings.json \
+  --pack strict
+
+node ./bin/trustdex.mjs inspect-codex-settings \
+  ./examples/codex.permissions.toml \
+  --pack strict
+```
+
+Claude 명령은 예제에 셸 자동 승인 규칙이 포함되어 있어 의도적으로 종료 코드 `2`를 반환합니다. Codex 명령은 제한된 작업 공간 쓰기 기능에도 검토가 필요하므로 종료 코드 `1`을 반환합니다. 예상 결과와 한계는 [방어적 평가](EVALUATION.ko.md), [보안 연구](SECURITY_RESEARCH.ko.md) 및 [위협 모델](THREAT_MODEL.ko.md)을 참고하세요.

package/docs/DEFENSIVE_USE_CASE.md

@@ -0,0 +1,89 @@
+# Defensive AI-agent security use case
+
+<p align="right">
+  <strong>English</strong> | <a href="./DEFENSIVE_USE_CASE.ko.md">한국어</a>
+</p>
+
+This document makes the legitimate defensive purpose and operating boundary of TrustDex easy to verify. It is an evidence index, not an Anthropic endorsement, a CVP approval, or an attestation that any particular operator satisfies account-level security requirements.
+
+## Problem being addressed
+
+As coding agents become more autonomous, their effective attack surface includes more than the model. It also includes the tools they can load, the permissions they receive without a prompt, the credentials those tools can reference, and the configuration changes that may silently widen access over time.
+
+TrustDex researches and implements pre-exposure controls for that surface. The current project asks two concrete questions:
+
+1. Should an agent be allowed to see and invoke a particular MCP server, skill, or plugin under an explicit local policy?
+2. Do Claude Code or Codex settings grant automatic shell, filesystem, network, MCP, subagent, or sandbox capabilities that need review or blocking?
+
+## Intended defensive work
+
+The project uses AI assistance for work on TrustDex itself and other systems the operator owns or is explicitly authorized to test. Typical tasks include:
+
+- reviewing parsers and policy code for fail-open behavior
+- developing inert adversarial configuration fixtures
+- checking that reports, snapshots, and fingerprints do not retain secret values
+- threat modeling permission expansion, provenance substitution, and review drift
+- writing regression tests for defensive findings and proposed mitigations
+- analyzing false positives and false negatives from fully redacted pilot feedback
+
+This work is defensive engineering. It does not require credential theft, persistence, destructive actions, data exfiltration, malware deployment, mass exploitation, or unauthorized access.
+
+## Authorization and data boundary
+
+- Testing is limited to the operator's own repositories and accounts, explicitly authorized systems, and isolated local test environments.
+- Checked-in adversarial inputs are inert data. They use reserved `.invalid` domains, nonexistent package identities, and placeholder values.
+- Normal inspection is local-only and does not execute inspected MCP servers, Claude permission rules, skills, plugins, or hooks.
+- Explicit provenance commands may query public GitHub, npm, or MCP Registry metadata. Observation is never converted into trust without a separate user action.
+- Real credentials, private endpoints, customer data, proprietary prompts, and exploit material do not belong in public fixtures or reports.
+
+## Controls evidenced by this repository
+
+| Control objective | Public evidence |
+| --- | --- |
+| Keep unreviewed tools away from the agent | ALLOW/ASK/BLOCK policy engine and filtered MCP gates |
+| Detect capability expansion | MCP, Claude Code, and Codex settings signals plus adversarial regression tests |
+| Avoid silent parser bypass | focused adapters reject unsupported security-relevant syntax |
+| Keep secrets out of evidence | tests for redaction from output, snapshots, and configuration fingerprints |
+| Make approval drift visible | deterministic snapshots, Ed25519 review records, and recheck commands |
+| Reduce supply-chain ambiguity | explicit provenance observations, artifact digest verification, release checksums, SBOMs, and build attestations |
+| Keep research reproducible | inert fixtures, documented expectations, cross-platform CI, and CodeQL |
+
+An ALLOW result is still only a policy result over observed evidence. TrustDex is not a sandbox, malware scanner, or proof that third-party code is safe.
+
+## Claude Code and Codex permission research
+
+`inspect-claude-settings` examines the documented `permissions` object and reports automatic approval of shell, filesystem, network, MCP, and subagent capabilities. It also surfaces the presence of hooks, credential helpers, environment settings, sandbox configuration, and plugin loading without retaining their values.
+
+This is static evidence, not runtime enforcement. It does not merge every Claude settings scope, inspect command-line flags, prove that managed settings reached a session, or replace Claude Code sandboxing. The operator must confirm the effective runtime configuration separately.
+
+`inspect-codex-settings` evaluates Codex approval policy, reviewer choice, sandbox
+class, network access, additional writable-root count, web-search mode, and explicit
+subagent enablement. It reports custom permission, app, and plugin surfaces that it
+does not fully parse without retaining their values. It likewise does not merge every
+Codex configuration layer or replace the active Codex sandbox.
+
+## CVP application boundary
+
+Anthropic's current Cyber Verification Program application asks for verifiable identity or organization details, a description of security work, and an attestation to the controls for the requested tier. This repository can support the security-work description, but repository changes cannot establish the operator's identity or satisfy account and device controls by themselves.
+
+An individual applicant should verify current requirements directly before applying. As of October 2026, Anthropic states that individuals are eligible for Defense Access only, must use personal access rather than shared sessions, must enable MFA, and must transition to phishing-resistant MFA and away from long-lived credentials by the published cutoff. Claude Code's OAuth sign-in is the intended first-party path. See the official [Cyber Verification Program](https://support.claude.com/en/articles/14604842-cyber-verification-program) and [CVP security requirements](https://support.claude.com/en/articles/17202708-cyber-verification-program-security-requirements).
+
+Do not claim a control in an application unless it is actually implemented and can be evidenced. CVP access for internal work does not automatically authorize a customer-facing security service or product.
+
+## Reproducible evidence
+
+```bash
+npm test
+npm run check
+npm run test:research
+
+node ./bin/trustdex.mjs inspect-claude-settings \
+  ./examples/claude.settings.json \
+  --pack strict
+
+node ./bin/trustdex.mjs inspect-codex-settings \
+  ./examples/codex.permissions.toml \
+  --pack strict
+```
+
+The Claude command intentionally exits with code `2` because its example contains a shell auto-approval rule. The Codex command exits with code `1` because bounded workspace-write capabilities still require review. See [Defensive evaluation](EVALUATION.md), [Security research](SECURITY_RESEARCH.md), and the [Threat model](THREAT_MODEL.md) for the expected results and limitations.

package/docs/EVALUATION.ko.md

@@ -32,8 +32,53 @@
 
 자리표시자 값 자체는 검사 결과나 스냅샷 어디에도 나타나면 안 됩니다.
 
+## Claude Code 권한 사례
+
+`test/claude-settings.test.mjs`는 제한된 `settings.json` 경계를 검사합니다.
+
+| 사례 | 필수 증거 | 예상 결정 |
+| --- | --- | --- |
+| 제한적인 `ask`/`deny`, 계획 모드, 우회 비활성화 | 추가 위험 신호 없음 | 파일이 로컬 증거이므로 `ASK` |
+| 셸/파일 시스템/네트워크/서브에이전트 전체 허용과 우회 모드 | 광범위 자동 승인 및 우회 신호 | `BLOCK` |
+| 좁은 셸, 웹, MCP 및 서브에이전트 허용 | 기능별 자동 승인 신호 | 셸이 자동 승인되므로 `strict`에서 `BLOCK` |
+| 훅과 자격 증명 도우미 | 실행 가능한 인접 설정 신호 | `BLOCK` |
+| 지원하지 않는 권한 키 또는 잘못된 규칙 | 파서 오류 | 종료 코드 `2` |
+
+테스트는 명령, 도메인, 디렉터리, 훅, 도우미, 환경, 플러그인 및 알 수 없는 설정 필드에 자리표시자 값을 넣고 어떤 값도 검사 결과에 나타나지 않도록 요구합니다. 권한 설정 지문은 생성하지 않습니다.
+
+## Codex 권한 사례
+
+`test/codex-settings.test.mjs`는 `config.toml`의 승인 및 샌드박스 설정을 검사합니다.
+
+| 사례 | 필수 증거 | 예상 결정 |
+| --- | --- | --- |
+| `read-only`, `on-request`, 사용자 검토, 네트워크 비활성화 | 추가 위험 신호 없음 | 파일이 로컬 증거이므로 `ASK` |
+| `danger-full-access`, `never`, 자동 검토, 실시간 웹 검색 | 제한 없는 샌드박스와 줄어든 사람 검토 | `BLOCK` |
+| 작업 공간 쓰기, 네트워크 활성화, 추가 쓰기 가능 루트 | 제한된 기능 확장 신호 | `ASK` |
+| 사용자 정의 권한, 플러그인 또는 검사하지 않은 섹션 | 명시적인 미검사 표면 신호 | `ASK` |
+| 지원하지 않는 열거/타입, 혼합 권한 모델 또는 알 수 없는 샌드박스 키 | 파서 오류 | 종료 코드 `2` |
+
+쓰기 가능 루트 경로와 관련 없는 설정 값은 결과에 나타나면 안 됩니다. Codex 설정 지문은 생성하지 않습니다.
+
+## 권한 상태 드리프트 사례
+
+`examples/adversarial/permissions/`에는 두 런타임의 제한적 설정과 확대된 설정이
+쌍으로 포함됩니다. `test/posture.test.mjs`는 다음을 요구합니다.
+
+- 제한적인 기준 상태는 안전 인증을 의미하지 않는 `ASK`로 유지
+- 자동 셸/네트워크/서브에이전트 권한 및 더 넓은 파일 시스템 범위가 위험을 높임
+- 자율성 확대와 정책 변경에 대해 `diff-permissions`가 `needs-review`를 반환
+- 제한적으로만 변한 경우 실패 종료 코드 없이 `restricted`를 반환
+- 구조적 다이제스트를 계산한 스냅샷이 소스 경로, 규칙 값, 쓰기 가능 경로,
+  도메인, 명령, 환경 변수 이름과 값 및 인접 설정 값을 제외
+- 내용이 다이제스트와 더 이상 일치하지 않는 스냅샷은 안전하게 실패
+
+다이제스트는 내부 일관성을 확인할 뿐 서명자 신원을 인증하지 않습니다. 값이
+제거된 권한 규칙 안에서 개수는 같고 내용만 바뀌는 경우는 이 구조적 비교의
+범위 밖입니다.
+
 ## 이 평가가 측정하지 않는 것
 
-이 벤치마크는 의도적으로 범위가 좁습니다. 런타임 동작, 샌드박스 탈출, 임의의 악성 코드, 모든 형태의 프롬프트 인젝션, 게시자 신원 소유권 또는 전이 의존성의 취약점을 측정하지 않습니다. 특히 이미 실행 중인 MCP 서버가 동적으로 반환하는 도구 설명은 현재 정적 설정 경계 밖에 있습니다.
+이 벤치마크는 의도적으로 범위가 좁습니다. 런타임 동작, 샌드박스 탈출, 임의의 악성 코드, 모든 형태의 프롬프트 인젝션, 게시자 신원 소유권 또는 전이 의존성의 취약점을 측정하지 않습니다. 모든 Claude 또는 Codex 설정 범위를 병합하거나 세션 명령줄 재정의를 검사하거나 보고된 샌드박스가 실제로 활성화되었음을 증명하지 않습니다. 특히 이미 실행 중인 MCP 서버가 동적으로 반환하는 도구 설명은 현재 정적 설정 경계 밖에 있습니다.
 
 이 작은 픽스처 집합은 회귀 기준선이지 탐지 정확도에 대한 통계적 주장이 아닙니다. 거짓 양성과 거짓 음성 비율을 측정하려면 민감 정보를 제거한 실제 설정으로 구성되고 독립적으로 검토된 더 큰 코퍼스가 필요합니다.

package/docs/EVALUATION.md

@@ -32,8 +32,55 @@ The drift fixture begins with the trusted pinned package and then introduces an
 
 The placeholder value itself must not appear in either inspection result or snapshot.
 
+## Claude Code permission cases
+
+`test/claude-settings.test.mjs` exercises a focused `settings.json` boundary.
+
+| Case | Required evidence | Expected decision |
+| --- | --- | --- |
+| restrictive `ask`/`deny`, plan mode, bypass disabled | no added risk signal | `ASK` because the file is local evidence |
+| bare shell/filesystem/network/subagent allows plus bypass mode | broad auto-approval and bypass signals | `BLOCK` |
+| narrow shell, web, MCP, and subagent allows | capability-specific auto-approval signals | `BLOCK` under `strict` because shell is auto-approved |
+| hooks and credential helper | executable adjacent-setting signals | `BLOCK` |
+| unsupported permission key or malformed rule | parser error | exit `2` |
+
+The tests place placeholder values in command, domain, directory, hook, helper,
+environment, plugin, and unknown settings fields and require that none appear in the
+inspection result. No permission-settings fingerprint is created.
+
+## Codex permission cases
+
+`test/codex-settings.test.mjs` exercises approval and sandbox settings in `config.toml`.
+
+| Case | Required evidence | Expected decision |
+| --- | --- | --- |
+| `read-only`, `on-request`, user review, network disabled | no added risk signal | `ASK` because the file is local evidence |
+| `danger-full-access`, `never`, auto-review, live web search | unrestricted sandbox plus reduced human review | `BLOCK` |
+| workspace write, network enabled, additional writable root | bounded capability-expansion signals | `ASK` |
+| custom permission, plugin, or uninspected sections | explicit uninspected-surface signals | `ASK` |
+| unsupported enum/type, mixed permission models, or unknown sandbox key | parser error | exit `2` |
+
+Writable-root paths and unrelated setting values must not appear in results. No
+Codex-settings fingerprint is created.
+
+## Permission posture drift cases
+
+`examples/adversarial/permissions/` contains paired restrictive and expanded settings
+for both runtimes. `test/posture.test.mjs` requires:
+
+- the restrictive baseline to remain `ASK`, without implying certification
+- automatic shell/network/subagent grants and broader filesystem scope to raise risk
+- `diff-permissions` to return `needs-review` for autonomy expansion and policy changes
+- restriction-only changes to return `restricted` without a failure exit code
+- snapshots with recomputed structural digests to omit source paths, rule values,
+  writable paths, domains, commands, environment names and values, and adjacent-setting values
+- a snapshot whose contents no longer match its digest to fail closed
+
+The digest checks internal consistency, not signer identity. Same-count changes inside
+redacted permission rules remain outside this structural comparison.
+
 ## What this does not measure
 
-This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
+This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. It does not merge every Claude or Codex settings scope, inspect session command-line overrides, or prove that the reported sandbox is active. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
 
 The small fixture set is a regression baseline, not a statistical claim about detection accuracy. False-positive and false-negative rates require a larger, independently reviewed corpus of redacted real-world configurations.

package/docs/ROADMAP.ko.md

@@ -6,15 +6,31 @@
 
 TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴리스를 약속하지 않습니다.
 
+## 진행 상황
+
+- TrustDex 0.6.0은 Claude Code와 Codex 권한의 안전한 실패 검사를 추가했습니다.
+- TrustDex 0.7.0은 값이 제거되고 자체 일관성을 검증하는 권한 상태 스냅샷,
+  자율성 확대 검토 게이트, 버전 지정 JSON 스키마 및 공개 적대적 권한 픽스처를
+  추가합니다.
+
 ## 현재: 경계 강화
 
 - MCP JSON, Codex TOML, 스킬 및 플러그인 매니페스트의 적대적 픽스처 확장
+- Claude Code와 Codex 모두의 적대적 권한 픽스처를 계속 확장
 - 사람이 읽을 수 있는 모든 출력에 비밀 값이 계속 포함되지 않는지 검증
 - 크로스 플랫폼 소스 및 경로 정규화 개선
 - 안정적인 정책 및 스냅샷 스키마 규칙 문서화
 - CI, CodeQL 및 릴리스 자동화를 재현 가능하고 검토 가능한 상태로 유지
 
-## 다음: 무결성 증명
+## 다음: 에이전트 행동 경계를 검토 가능하게 만들기
+
+- 명령, 경로, 도메인 또는 자격 증명 값을 보관하지 않고 병합된 설정 소스 검사
+- 초기 단일 파일 권한 상태 비교를 병합 설정 소스로 확장
+- 승인된 도구 출처와 해당 도구에 부여된 행동 권한 연결
+- 버전이 지정된 권한 상태 JSON 스키마를 추가 결정 및 런타임으로 확장
+- 권고형 설정 검사가 런타임 및 운영체제 샌드박스와 결합되는 방식 문서화
+
+## 그다음: 무결성 증명
 
 - 레지스트리가 암호학적 해시를 제공할 때 변경 불가능한 패키지 아티팩트 검증
 - 레지스트리 관찰을 정확한 패키지 버전 및 저장소 신원과 연결
@@ -26,7 +42,6 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
 - 서명된 스냅샷, 승인 및 재검사 워크플로를 Codex `config.toml`로 확장
 - 추가 에이전트 런타임 및 레지스트리용 어댑터 추가
 - 테스트에 근거한 호환성 매트릭스 게시
-- CI 및 정책 도구용 기계 판독 가능 결정 출력 정의
 - 조직 관리형 신뢰 저장소 및 검토 키 교체 탐색
 
 ## 도입 목표

package/docs/ROADMAP.md

@@ -6,15 +6,31 @@
 
 TrustDex is early-stage. This roadmap communicates direction and is not a release commitment.
 
+## Progress
+
+- TrustDex 0.6.0 added fail-closed Claude Code and Codex permission inspection.
+- TrustDex 0.7.0 adds value-free, self-validating permission posture snapshots,
+  autonomy-expansion review gates, versioned JSON schemas, and public adversarial
+  permission fixtures.
+
 ## Now: harden the boundary
 
 - expand adversarial fixtures for MCP JSON, Codex TOML, skills, and plugin manifests
+- keep expanding adversarial permission fixtures for both Claude Code and Codex
 - verify that all human-readable output remains free of secret values
 - improve cross-platform source and path normalization
 - document stable policy and snapshot schema rules
 - keep CI, CodeQL, and release automation reproducible and reviewable
 
-## Next: prove integrity
+## Next: make agent action boundaries reviewable
+
+- inspect merged settings sources without retaining commands, paths, domains, or credential values
+- extend the initial single-file posture comparison to merged settings sources
+- connect approved tool provenance to the action permissions granted to that tool
+- extend the versioned permission-posture JSON schemas to additional decisions and runtimes
+- document how advisory settings checks compose with runtime and operating-system sandboxes
+
+## Then: prove integrity
 
 - verify immutable package artifacts when registries expose cryptographic hashes
 - connect registry observations to exact package versions and repository identities
@@ -26,7 +42,6 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
 - extend signed snapshot, approval, and recheck workflows to Codex `config.toml`
 - add adapters for additional agent runtimes and registries
 - publish a compatibility matrix backed by tests
-- define machine-readable decision output for CI and policy tooling
 - explore organization-managed trust stores and review-key rotation
 
 ## Adoption goals