trustdex 0.5.1 → 0.7.0

package/docs/SECURITY_RESEARCH.ko.md

@@ -17,6 +17,9 @@ TrustDex는 AI 에이전트가 서드파티 도구에 접근하기 전에 내리
 - 소스, 출처, 결정, 지문 및 기능 드리프트
 - 서명된 검토 기록과 신뢰 관련 변경 후 재검토
 - 지원하지 않는 구문에서 안전하게 실패해야 하는 파서 동작
+- Claude Code 권한 설정의 자동 행동 권한
+- Codex 샌드박스, 승인, 네트워크, 쓰기 가능 루트, 웹 검색 및 서브에이전트 설정
+- 구조적 권한 상태 드리프트 및 에이전트 자율성 확대 시 재검토
 
 의도한 결과물은 재현 가능한 픽스처, 회귀 테스트, 문서화된 제한 사항 및 에이전트 개발자와 운영자를 위한 실용적인 완화책입니다.
 
@@ -57,7 +60,11 @@ TrustDex 연구는 관련 없는 공개 시스템을 테스트할 권한을 부
 ## 현재 재현 가능한 증거
 
 - [적대적 MCP 픽스처](../examples/adversarial/README.ko.md)
+- [Claude Code 권한 픽스처](../examples/claude.settings.json)
+- [Codex 권한 픽스처](../examples/codex.permissions.toml)
+- [적대적 Claude 및 Codex 권한 상태 픽스처](../examples/adversarial/permissions/README.ko.md)
 - [평가 기록](EVALUATION.ko.md)
+- [방어적 AI 에이전트 보안 사용 사례](DEFENSIVE_USE_CASE.ko.md)
 - [위협 모델](THREAT_MODEL.ko.md)
 - [보안 정책](../SECURITY.ko.md)
 

package/docs/SECURITY_RESEARCH.md

@@ -17,6 +17,9 @@ The research asks whether observable configuration, provenance, integrity, and c
 - source, provenance, decision, fingerprint, and capability drift
 - signed review records and re-review after trust-relevant change
 - parser behavior that must fail closed on unsupported syntax
+- automatic action grants in Claude Code permission settings
+- Codex sandbox, approval, network, writable-root, web-search, and subagent settings
+- structural permission posture drift and review when agent autonomy expands
 
 The intended outputs are reproducible fixtures, regression tests, documented limitations, and practical mitigations for agent developers and operators.
 
@@ -57,7 +60,11 @@ Public reports must remove credentials, private endpoints, proprietary prompts,
 ## Current reproducible evidence
 
 - [Adversarial MCP fixtures](../examples/adversarial/README.md)
+- [Claude Code permission fixture](../examples/claude.settings.json)
+- [Codex permission fixture](../examples/codex.permissions.toml)
+- [Adversarial Claude and Codex permission posture fixtures](../examples/adversarial/permissions/README.md)
 - [Evaluation record](EVALUATION.md)
+- [Defensive AI-agent security use case](DEFENSIVE_USE_CASE.md)
 - [Threat model](THREAT_MODEL.md)
 - [Security policy](../SECURITY.md)
 

package/docs/THREAT_MODEL.ko.md

@@ -6,7 +6,7 @@
 
 TrustDex는 하나의 좁은 질문을 다룹니다.
 
-> **사용자의 정책에 따라 에이전트가 이 확장을 보고 호출하도록 허용해야 하는가?**
+> **사용자의 정책에 따라 에이전트가 이 확장을 보거나 이 자동 행동 권한을 받도록 허용해야 하는가?**
 
 ## 범위 내
 
@@ -19,6 +19,10 @@ TrustDex는 하나의 좁은 질문을 다룹니다.
 - 검토된 레지스트리 무결성 메타데이터와 일치하지 않는 패키지 바이트로의 대체
 - 설정된 패키지 버전이 무결성 검증된 아티팩트 버전에서 벗어남
 - 서명된 신뢰 기록이 있을 때 검토된 스냅샷의 변조
+- 광범위한 셸, 파일 시스템, 네트워크, MCP 또는 서브에이전트 작업을 조용히 자동 승인하는 Claude Code 권한 규칙
+- 샌드박스를 제거하거나 승인을 생략하거나 네트워크 접근 또는 쓰기 가능 루트를 추가하는 Codex 설정
+- 명시적인 검토 없이 변경되는 행동 권한 설정
+- 값이 제거된 구조적 기준 상태보다 확대되는 Claude 또는 Codex 권한 상태
 
 ## 신뢰 경계
 
@@ -41,6 +45,9 @@ TrustDex는 익숙한 프로젝트 이름, 스타 수, 패키지 이름 또는
 - 로컬 신뢰 저장소 주장만으로 게시자 소유권을 독립적으로 증명
 - 완전히 침해된 호스트 보호
 - 도난당한 서명 비공개 키로부터 보호
+- 모든 사용자, 프로젝트, 프로필, 관리형, 시스템, 환경 및 명령줄 소스를 병합한 실제 설정 계산
+- Claude Code 또는 Codex 행동 권한의 런타임 강제 적용
+- 서명되지 않은 권한 상태 스냅샷 작성자의 인증
 
 ## 중요한 실패 모드
 

package/docs/THREAT_MODEL.md

@@ -6,7 +6,7 @@
 
 TrustDex addresses one narrow question:
 
-> **Should an agent be allowed to see and invoke this extension under the user's policy?**
+> **Should an agent see this extension or receive this automatic action capability under the user's policy?**
 
 ## In scope
 
@@ -19,6 +19,10 @@ TrustDex addresses one narrow question:
 - substitution of package bytes that do not match reviewed registry integrity metadata
 - configured package versions drifting from an integrity-verified artifact version
 - tampering with a reviewed snapshot when a signed trust record is available
+- Claude Code permission rules that silently auto-approve broad shell, filesystem, network, MCP, or subagent actions
+- Codex configurations that remove the sandbox, suppress approvals, enable network access, or add writable roots
+- action-permission settings changing without an explicit review
+- Claude or Codex permission posture expanding relative to a value-free structural baseline
 
 ## Trust boundaries
 
@@ -41,6 +45,9 @@ TrustDex does **not** treat a familiar project name, star count, package name, o
 - independently proving publisher ownership from a local trust-store claim
 - protecting a fully compromised host
 - protecting a stolen signing private key
+- calculating the effective configuration after every user, project, profile, managed, system, environment, and command-line source is merged
+- enforcing Claude Code or Codex action permissions at runtime
+- authenticating the author of an unsigned permission posture snapshot
 
 ## Important failure mode
 

package/examples/adversarial/README.ko.md

@@ -0,0 +1,31 @@
+# 비활성 적대적 픽스처
+
+<p align="right">
+  <a href="./README.md">English</a> | <strong>한국어</strong>
+</p>
+
+이 파일들은 TrustDex 정책 경계의 재현 가능한 방어적 테스트를 제공합니다.
+
+- `mcp-config.json`에는 정적인 MCP 설정 사례 7개가 포함되어 있습니다.
+- `policy.json`은 소스 허용 목록과 독립적으로 차단 신호를 테스트할 수 있도록 픽스처 패키지 1개와 픽스처 호스트 2개를 명시적으로 신뢰합니다.
+- `expected.json`은 필수 결정과 최소 신호를 기록합니다.
+- `drift-before.json`과 `drift-after.json`은 검토된 패키지에 비밀 정보를 포함하는 환경 키가 추가되는 상황을 모델링합니다.
+
+모든 패키지 이름은 가상이며, 모든 원격 엔드포인트는 예약된 `.invalid` 최상위 도메인을 사용하고, 자격 증명으로 보이는 모든 값은 자리표시자입니다. 이를 실제 값으로 바꾸지 마세요. TrustDex는 이 파일을 읽지만 나열된 명령을 실행하거나 나열된 엔드포인트에 연결하지 않습니다.
+
+강제 평가 실행:
+
+```bash
+npm run test:research
+```
+
+사람이 읽을 수 있는 결정을 직접 검사:
+
+```bash
+node ./bin/trustdex.mjs inspect \
+  ./examples/adversarial/mcp-config.json \
+  --pack strict \
+  --policy ./examples/adversarial/policy.json
+```
+
+차단 사례가 있으므로 두 번째 명령은 종료 코드 `2`를 반환합니다. 예상 결과와 제한 사항은 [평가 기록](../../docs/EVALUATION.ko.md)을 참고하세요.

package/examples/adversarial/README.md

@@ -0,0 +1,31 @@
+# Inert adversarial fixtures
+
+<p align="right">
+  <strong>English</strong> | <a href="./README.ko.md">한국어</a>
+</p>
+
+These files provide a reproducible defensive test of TrustDex's policy boundary.
+
+- `mcp-config.json` contains seven static MCP configuration cases.
+- `policy.json` explicitly trusts one fixture package and two fixture hosts so blocking signals can be tested independently of source allowlisting.
+- `expected.json` records the required decisions and minimum signals.
+- `drift-before.json` and `drift-after.json` model a reviewed package gaining a secret-bearing environment key.
+
+All package names are fictional, all remote endpoints use the reserved `.invalid` top-level domain, and all apparent credentials are placeholders. Do not replace them with real values. TrustDex reads these files but never executes the listed commands or contacts the listed endpoints.
+
+Run the enforced evaluation:
+
+```bash
+npm run test:research
+```
+
+Inspect the human-readable decisions directly:
+
+```bash
+node ./bin/trustdex.mjs inspect \
+  ./examples/adversarial/mcp-config.json \
+  --pack strict \
+  --policy ./examples/adversarial/policy.json
+```
+
+The second command exits with code `2` because blocking cases are present. See [the evaluation record](../../docs/EVALUATION.md) for the expected results and limitations.

package/examples/adversarial/drift-after.json

@@ -0,0 +1,11 @@
+{
+  "mcpServers": {
+    "reviewed-package": {
+      "command": "npx",
+      "args": ["-y", "@trustdex-fixtures/reviewed-server@1.2.3"],
+      "env": {
+        "API_TOKEN": "NOT_A_REAL_SECRET"
+      }
+    }
+  }
+}

package/examples/adversarial/drift-before.json

@@ -0,0 +1,8 @@
+{
+  "mcpServers": {
+    "reviewed-package": {
+      "command": "npx",
+      "args": ["-y", "@trustdex-fixtures/reviewed-server@1.2.3"]
+    }
+  }
+}

package/examples/adversarial/expected.json

@@ -0,0 +1,30 @@
+{
+  "trusted-pinned-package": {
+    "action": "allow",
+    "signals": ["install-on-run"]
+  },
+  "floating-version": {
+    "action": "block",
+    "signals": ["install-on-run", "unbounded-version"]
+  },
+  "shell-launcher": {
+    "action": "block",
+    "signals": ["filesystem-path", "shell-execution"]
+  },
+  "credential-bearing-url": {
+    "action": "block",
+    "signals": ["embedded-credentials", "network-endpoint", "url-query-parameters"]
+  },
+  "insecure-remote": {
+    "action": "block",
+    "signals": ["insecure-transport", "network-endpoint"]
+  },
+  "sensitive-local-env": {
+    "action": "ask",
+    "signals": ["filesystem-path", "secret-env"]
+  },
+  "unknown-remote": {
+    "action": "block",
+    "signals": ["network-endpoint"]
+  }
+}

package/examples/adversarial/mcp-config.json

@@ -0,0 +1,32 @@
+{
+  "mcpServers": {
+    "trusted-pinned-package": {
+      "command": "npx",
+      "args": ["-y", "@trustdex-fixtures/reviewed-server@1.2.3"]
+    },
+    "floating-version": {
+      "command": "npx",
+      "args": ["-y", "@trustdex-fixtures/floating-server@latest"]
+    },
+    "shell-launcher": {
+      "command": "bash",
+      "args": ["-lc", "./fixture-server.mjs"]
+    },
+    "credential-bearing-url": {
+      "url": "https://fixture-user:fixture-password@credentials.fixture.invalid/mcp?token=fixture-token"
+    },
+    "insecure-remote": {
+      "url": "http://insecure.fixture.invalid/mcp"
+    },
+    "sensitive-local-env": {
+      "command": "node",
+      "args": ["./fixture-server.mjs"],
+      "env": {
+        "SERVICE_API_TOKEN": "NOT_A_REAL_SECRET"
+      }
+    },
+    "unknown-remote": {
+      "url": "https://unknown.fixture.invalid/mcp"
+    }
+  }
+}

package/examples/adversarial/permissions/README.ko.md

@@ -0,0 +1,15 @@
+# 적대적 권한 상태 픽스처
+
+이 픽스처는 Claude Code와 Codex의 제한적인 기준 상태와 이후의 자율성 확대를
+모델링합니다. 모든 자격 증명, 명령 인수, 경로 및 호스트명은 비활성 테스트
+데이터입니다. `.invalid` 호스트명은 공개 인터넷에서 해석될 수 없습니다.
+
+평가는 다음을 검증합니다.
+
+- 제한적 설정도 안전 인증으로 표현하지 않고 검토 가능한 상태로 유지
+- 자동 셸, 네트워크, 파일 시스템 및 서브에이전트 권한 확대 감지
+- 권한 상태 비교가 `needs-review`를 반환
+- 검사, 스냅샷 또는 차이 출력에 설정 값과 경로 값이 나타나지 않음
+
+이 픽스처는 외부 시스템에 대한 보안 테스트를 허가하지 않으며 실제 사용자
+설정을 재현하지 않습니다.

package/examples/adversarial/permissions/README.md

@@ -0,0 +1,15 @@
+# Adversarial permission posture fixtures
+
+These fixtures model a restrictive baseline and a later autonomy expansion for
+Claude Code and Codex. Every credential, command argument, path, and hostname is
+inert test data. The `.invalid` hostname cannot resolve on the public Internet.
+
+The evaluation asserts that:
+
+- restrictive settings remain reviewable without being described as certified safe
+- automatic shell, network, filesystem, and subagent expansion is detected
+- permission posture comparison returns `needs-review`
+- settings values and path values never appear in inspection, snapshot, or diff output
+
+The fixtures do not authorize security testing against any external system and do
+not reproduce a real user configuration.

package/examples/adversarial/permissions/claude-expanded.settings.json

@@ -0,0 +1,30 @@
+{
+  "permissions": {
+    "allow": [
+      "Bash(reviewer --token INERT_CLAUDE_PERMISSION_SECRET)",
+      "WebFetch(domain:research.invalid)",
+      "Agent(Explore)",
+      "mcp__reviewed__*"
+    ],
+    "defaultMode": "auto",
+    "additionalDirectories": [
+      "../INERT_CLAUDE_PERMISSION_PATH"
+    ],
+    "blockReadsOutsideWorkingDirectories": false
+  },
+  "env": {
+    "API_TOKEN": "INERT_CLAUDE_PERMISSION_SECRET"
+  },
+  "hooks": {
+    "PreToolUse": [
+      {
+        "hooks": [
+          {
+            "type": "command",
+            "command": "printf INERT_CLAUDE_HOOK_SECRET"
+          }
+        ]
+      }
+    ]
+  }
+}

package/examples/adversarial/permissions/claude-restrictive.settings.json

@@ -0,0 +1,16 @@
+{
+  "permissions": {
+    "ask": [
+      "Bash(git status)",
+      "Agent(Explore)"
+    ],
+    "deny": [
+      "WebFetch",
+      "mcp__unreviewed__*"
+    ],
+    "defaultMode": "plan",
+    "disableBypassPermissionsMode": "disable",
+    "disableAutoMode": "disable",
+    "blockReadsOutsideWorkingDirectories": true
+  }
+}

package/examples/adversarial/permissions/codex-expanded.toml

@@ -0,0 +1,13 @@
+approval_policy = "never"
+approvals_reviewer = "auto_review"
+sandbox_mode = "danger-full-access"
+web_search = "live"
+
+[sandbox_workspace_write]
+network_access = true
+writable_roots = ["../INERT_CODEX_PERMISSION_PATH"]
+exclude_slash_tmp = false
+exclude_tmpdir_env_var = false
+
+[agents]
+enabled = true

package/examples/adversarial/permissions/codex-restrictive.toml

@@ -0,0 +1,13 @@
+approval_policy = "on-request"
+approvals_reviewer = "user"
+sandbox_mode = "read-only"
+web_search = "disabled"
+
+[sandbox_workspace_write]
+network_access = false
+writable_roots = []
+exclude_slash_tmp = true
+exclude_tmpdir_env_var = true
+
+[agents]
+enabled = false

package/examples/adversarial/permissions/expected.json

@@ -0,0 +1,18 @@
+{
+  "claude": {
+    "restrictiveAction": "ask",
+    "expandedAction": "block",
+    "diffStatus": "needs-review"
+  },
+  "codex": {
+    "restrictiveAction": "ask",
+    "expandedAction": "block",
+    "diffStatus": "needs-review"
+  },
+  "forbiddenOutputMarkers": [
+    "INERT_CLAUDE_PERMISSION_SECRET",
+    "INERT_CLAUDE_PERMISSION_PATH",
+    "INERT_CLAUDE_HOOK_SECRET",
+    "INERT_CODEX_PERMISSION_PATH"
+  ]
+}

package/examples/adversarial/policy.json

@@ -0,0 +1,10 @@
+{
+  "version": 1,
+  "trustedPackages": [
+    "@trustdex-fixtures/reviewed-server"
+  ],
+  "allowedRemoteHosts": [
+    "credentials.fixture.invalid",
+    "insecure.fixture.invalid"
+  ]
+}

package/examples/claude.mcp.json

@@ -0,0 +1,24 @@
+{
+  "mcpServers": {
+    "reviewed": {
+      "type": "http",
+      "url": "https://reviewed.invalid/mcp"
+    },
+    "unknown": {
+      "type": "http",
+      "url": "https://unknown.invalid/mcp"
+    },
+    "helper": {
+      "type": "http",
+      "url": "https://reviewed.invalid/mcp",
+      "headersHelper": "INERT_HELPER_NOT_EXECUTED"
+    },
+    "needsReview": {
+      "type": "http",
+      "url": "https://reviewed.invalid/mcp",
+      "headers": {
+        "Authorization": "Bearer ${EXAMPLE_API_TOKEN}"
+      }
+    }
+  }
+}

package/examples/claude.policy.json

@@ -0,0 +1,6 @@
+{
+  "version": 1,
+  "allowedRemoteHosts": [
+    "reviewed.invalid"
+  ]
+}

package/examples/claude.settings.json

@@ -0,0 +1,26 @@
+{
+  "$schema": "https://json.schemastore.org/claude-code-settings.json",
+  "permissions": {
+    "allow": [
+      "Bash(npm test)",
+      "WebFetch(domain:docs.example.invalid)",
+      "mcp__reviewed__read_*",
+      "Agent(Explore)"
+    ],
+    "ask": [
+      "Edit",
+      "Bash(git push *)"
+    ],
+    "deny": [
+      "Read(./.env)",
+      "WebFetch(domain:*)"
+    ],
+    "defaultMode": "default",
+    "additionalDirectories": [
+      "../shared-read-only"
+    ],
+    "disableBypassPermissionsMode": "disable",
+    "disableAutoMode": "disable",
+    "blockReadsOutsideWorkingDirectories": true
+  }
+}

package/examples/codex.config.toml

@@ -0,0 +1,16 @@
+model = "gpt-5.6-sol"
+
+[mcp_servers.filesystem]
+command = "npx"
+args = ["-y", "@modelcontextprotocol/server-filesystem@1.2.3", "./workspace"]
+env_vars = ["LOCAL_TOKEN"]
+
+[mcp_servers.remote-example]
+url = "https://mcp.example.com/mcp"
+bearer_token_env_var = "MCP_BEARER_TOKEN"
+
+[mcp_servers.remote-example.http_headers]
+X-Region = "us-east-1"
+
+[features]
+example = true

package/examples/codex.permissions.toml

@@ -0,0 +1,13 @@
+approval_policy = "on-request"
+approvals_reviewer = "user"
+sandbox_mode = "workspace-write"
+web_search = "cached"
+
+[sandbox_workspace_write]
+network_access = false
+writable_roots = ["../reviewed-shared"]
+exclude_slash_tmp = true
+exclude_tmpdir_env_var = true
+
+[agents]
+enabled = false

package/examples/mcp.json

@@ -0,0 +1,22 @@
+{
+  "mcpServers": {
+    "filesystem": {
+      "command": "npx",
+      "args": [
+        "-y",
+        "@modelcontextprotocol/server-filesystem@1.2.3",
+        "./workspace"
+      ]
+    },
+    "unknown-calendar": {
+      "command": "npx",
+      "args": [
+        "-y",
+        "calendar-helper@latest"
+      ],
+      "env": {
+        "CALENDAR_API_TOKEN": "${CALENDAR_API_TOKEN}"
+      }
+    }
+  }
+}

package/examples/trust-store.example.json

@@ -0,0 +1,16 @@
+{
+  "version": 1,
+  "claims": [
+    {
+      "type": "package",
+      "subject": "example-mcp-server",
+      "publisher": "Example Publisher",
+      "status": "verified",
+      "evidence": {
+        "kind": "manual-review",
+        "reference": "https://example.invalid/security-review",
+        "checkedAt": "2026-09-19T00:00:00Z"
+      }
+    }
+  ]
+}

package/examples/trustdex.policy.json

@@ -0,0 +1,14 @@
+{
+  "version": 1,
+  "unknownAction": "block",
+  "localAction": "ask",
+  "sensitiveAction": "ask",
+  "unpinnedAction": "ask",
+  "shellAction": "block",
+  "trustedPackages": [
+    "@modelcontextprotocol/server-filesystem"
+  ],
+  "allowedRemoteHosts": [
+    "mcp.example.com"
+  ]
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "trustdex",
-  "version": "0.5.1",
+  "version": "0.7.0",
   "description": "A local-first trust, provenance, and review gate for AI agent tools, MCP servers, skills, and plugins.",
   "type": "module",
   "bin": {
@@ -8,8 +8,8 @@
   },
   "scripts": {
     "test": "node --test",
-    "test:research": "node --test test/research-fixtures.test.mjs",
-    "check": "node --check bin/trustdex.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/codex-config.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
+    "test:research": "node --test test/research-fixtures.test.mjs test/claude-settings.test.mjs test/codex-settings.test.mjs test/posture.test.mjs",
+    "check": "node --check bin/trustdex.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/claude-settings.mjs && node --check src/codex-config.mjs && node --check src/codex-settings.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/posture.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
     "prepublishOnly": "npm test && npm run check"
   },
   "engines": {
@@ -38,6 +38,8 @@
     "bin",
     "src",
     "docs",
+    "examples",
+    "schemas",
     "README.md",
     "SECURITY.md",
     "LICENSE"

package/schemas/permission-posture-diff-v1.schema.json

@@ -0,0 +1,78 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/permission-posture-diff-v1.schema.json",
+  "title": "TrustDex permission posture diff v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "runtime",
+    "status",
+    "baselineDigest",
+    "currentDigest",
+    "summary",
+    "changes"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 1 },
+    "runtime": { "enum": ["claude", "codex"] },
+    "status": { "enum": ["unchanged", "restricted", "needs-review"] },
+    "baselineDigest": { "$ref": "#/$defs/digest" },
+    "currentDigest": { "$ref": "#/$defs/digest" },
+    "summary": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["expansions", "restrictions", "reviews"],
+      "properties": {
+        "expansions": { "$ref": "#/$defs/count" },
+        "restrictions": { "$ref": "#/$defs/count" },
+        "reviews": { "$ref": "#/$defs/count" }
+      }
+    },
+    "changes": {
+      "type": "array",
+      "items": { "$ref": "#/$defs/change" }
+    }
+  },
+  "$defs": {
+    "digest": {
+      "type": "string",
+      "pattern": "^[a-f0-9]{64}$"
+    },
+    "count": {
+      "type": "integer",
+      "minimum": 0
+    },
+    "scalar": {
+      "type": ["string", "number", "boolean", "null"]
+    },
+    "change": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["impact", "type", "field"],
+      "properties": {
+        "impact": { "enum": ["expansion", "restriction", "review"] },
+        "type": {
+          "enum": [
+            "policy-changed",
+            "items-added",
+            "items-removed",
+            "decision-changed",
+            "count-changed",
+            "boolean-changed",
+            "value-changed"
+          ]
+        },
+        "field": { "type": "string" },
+        "before": { "$ref": "#/$defs/scalar" },
+        "after": { "$ref": "#/$defs/scalar" },
+        "items": {
+          "type": "array",
+          "minItems": 1,
+          "uniqueItems": true,
+          "items": { "type": "string" }
+        }
+      }
+    }
+  }
+}