trustdex 0.6.0 → 0.7.0

package/docs/SECURITY_RESEARCH.ko.md

@@ -19,6 +19,7 @@ TrustDex는 AI 에이전트가 서드파티 도구에 접근하기 전에 내리
 - 지원하지 않는 구문에서 안전하게 실패해야 하는 파서 동작
 - Claude Code 권한 설정의 자동 행동 권한
 - Codex 샌드박스, 승인, 네트워크, 쓰기 가능 루트, 웹 검색 및 서브에이전트 설정
+- 구조적 권한 상태 드리프트 및 에이전트 자율성 확대 시 재검토
 
 의도한 결과물은 재현 가능한 픽스처, 회귀 테스트, 문서화된 제한 사항 및 에이전트 개발자와 운영자를 위한 실용적인 완화책입니다.
 
@@ -61,6 +62,7 @@ TrustDex 연구는 관련 없는 공개 시스템을 테스트할 권한을 부
 - [적대적 MCP 픽스처](../examples/adversarial/README.ko.md)
 - [Claude Code 권한 픽스처](../examples/claude.settings.json)
 - [Codex 권한 픽스처](../examples/codex.permissions.toml)
+- [적대적 Claude 및 Codex 권한 상태 픽스처](../examples/adversarial/permissions/README.ko.md)
 - [평가 기록](EVALUATION.ko.md)
 - [방어적 AI 에이전트 보안 사용 사례](DEFENSIVE_USE_CASE.ko.md)
 - [위협 모델](THREAT_MODEL.ko.md)

package/docs/SECURITY_RESEARCH.md

@@ -19,6 +19,7 @@ The research asks whether observable configuration, provenance, integrity, and c
 - parser behavior that must fail closed on unsupported syntax
 - automatic action grants in Claude Code permission settings
 - Codex sandbox, approval, network, writable-root, web-search, and subagent settings
+- structural permission posture drift and review when agent autonomy expands
 
 The intended outputs are reproducible fixtures, regression tests, documented limitations, and practical mitigations for agent developers and operators.
 
@@ -61,6 +62,7 @@ Public reports must remove credentials, private endpoints, proprietary prompts,
 - [Adversarial MCP fixtures](../examples/adversarial/README.md)
 - [Claude Code permission fixture](../examples/claude.settings.json)
 - [Codex permission fixture](../examples/codex.permissions.toml)
+- [Adversarial Claude and Codex permission posture fixtures](../examples/adversarial/permissions/README.md)
 - [Evaluation record](EVALUATION.md)
 - [Defensive AI-agent security use case](DEFENSIVE_USE_CASE.md)
 - [Threat model](THREAT_MODEL.md)

package/docs/THREAT_MODEL.ko.md

@@ -22,6 +22,7 @@ TrustDex는 하나의 좁은 질문을 다룹니다.
 - 광범위한 셸, 파일 시스템, 네트워크, MCP 또는 서브에이전트 작업을 조용히 자동 승인하는 Claude Code 권한 규칙
 - 샌드박스를 제거하거나 승인을 생략하거나 네트워크 접근 또는 쓰기 가능 루트를 추가하는 Codex 설정
 - 명시적인 검토 없이 변경되는 행동 권한 설정
+- 값이 제거된 구조적 기준 상태보다 확대되는 Claude 또는 Codex 권한 상태
 
 ## 신뢰 경계
 
@@ -46,6 +47,7 @@ TrustDex는 익숙한 프로젝트 이름, 스타 수, 패키지 이름 또는
 - 도난당한 서명 비공개 키로부터 보호
 - 모든 사용자, 프로젝트, 프로필, 관리형, 시스템, 환경 및 명령줄 소스를 병합한 실제 설정 계산
 - Claude Code 또는 Codex 행동 권한의 런타임 강제 적용
+- 서명되지 않은 권한 상태 스냅샷 작성자의 인증
 
 ## 중요한 실패 모드
 

package/docs/THREAT_MODEL.md

@@ -22,6 +22,7 @@ TrustDex addresses one narrow question:
 - Claude Code permission rules that silently auto-approve broad shell, filesystem, network, MCP, or subagent actions
 - Codex configurations that remove the sandbox, suppress approvals, enable network access, or add writable roots
 - action-permission settings changing without an explicit review
+- Claude or Codex permission posture expanding relative to a value-free structural baseline
 
 ## Trust boundaries
 
@@ -46,6 +47,7 @@ TrustDex does **not** treat a familiar project name, star count, package name, o
 - protecting a stolen signing private key
 - calculating the effective configuration after every user, project, profile, managed, system, environment, and command-line source is merged
 - enforcing Claude Code or Codex action permissions at runtime
+- authenticating the author of an unsigned permission posture snapshot
 
 ## Important failure mode
 

package/examples/adversarial/permissions/README.ko.md

@@ -0,0 +1,15 @@
+# 적대적 권한 상태 픽스처
+
+이 픽스처는 Claude Code와 Codex의 제한적인 기준 상태와 이후의 자율성 확대를
+모델링합니다. 모든 자격 증명, 명령 인수, 경로 및 호스트명은 비활성 테스트
+데이터입니다. `.invalid` 호스트명은 공개 인터넷에서 해석될 수 없습니다.
+
+평가는 다음을 검증합니다.
+
+- 제한적 설정도 안전 인증으로 표현하지 않고 검토 가능한 상태로 유지
+- 자동 셸, 네트워크, 파일 시스템 및 서브에이전트 권한 확대 감지
+- 권한 상태 비교가 `needs-review`를 반환
+- 검사, 스냅샷 또는 차이 출력에 설정 값과 경로 값이 나타나지 않음
+
+이 픽스처는 외부 시스템에 대한 보안 테스트를 허가하지 않으며 실제 사용자
+설정을 재현하지 않습니다.

package/examples/adversarial/permissions/README.md

@@ -0,0 +1,15 @@
+# Adversarial permission posture fixtures
+
+These fixtures model a restrictive baseline and a later autonomy expansion for
+Claude Code and Codex. Every credential, command argument, path, and hostname is
+inert test data. The `.invalid` hostname cannot resolve on the public Internet.
+
+The evaluation asserts that:
+
+- restrictive settings remain reviewable without being described as certified safe
+- automatic shell, network, filesystem, and subagent expansion is detected
+- permission posture comparison returns `needs-review`
+- settings values and path values never appear in inspection, snapshot, or diff output
+
+The fixtures do not authorize security testing against any external system and do
+not reproduce a real user configuration.

package/examples/adversarial/permissions/claude-expanded.settings.json

@@ -0,0 +1,30 @@
+{
+  "permissions": {
+    "allow": [
+      "Bash(reviewer --token INERT_CLAUDE_PERMISSION_SECRET)",
+      "WebFetch(domain:research.invalid)",
+      "Agent(Explore)",
+      "mcp__reviewed__*"
+    ],
+    "defaultMode": "auto",
+    "additionalDirectories": [
+      "../INERT_CLAUDE_PERMISSION_PATH"
+    ],
+    "blockReadsOutsideWorkingDirectories": false
+  },
+  "env": {
+    "API_TOKEN": "INERT_CLAUDE_PERMISSION_SECRET"
+  },
+  "hooks": {
+    "PreToolUse": [
+      {
+        "hooks": [
+          {
+            "type": "command",
+            "command": "printf INERT_CLAUDE_HOOK_SECRET"
+          }
+        ]
+      }
+    ]
+  }
+}

package/examples/adversarial/permissions/claude-restrictive.settings.json

@@ -0,0 +1,16 @@
+{
+  "permissions": {
+    "ask": [
+      "Bash(git status)",
+      "Agent(Explore)"
+    ],
+    "deny": [
+      "WebFetch",
+      "mcp__unreviewed__*"
+    ],
+    "defaultMode": "plan",
+    "disableBypassPermissionsMode": "disable",
+    "disableAutoMode": "disable",
+    "blockReadsOutsideWorkingDirectories": true
+  }
+}

package/examples/adversarial/permissions/codex-expanded.toml

@@ -0,0 +1,13 @@
+approval_policy = "never"
+approvals_reviewer = "auto_review"
+sandbox_mode = "danger-full-access"
+web_search = "live"
+
+[sandbox_workspace_write]
+network_access = true
+writable_roots = ["../INERT_CODEX_PERMISSION_PATH"]
+exclude_slash_tmp = false
+exclude_tmpdir_env_var = false
+
+[agents]
+enabled = true

package/examples/adversarial/permissions/codex-restrictive.toml

@@ -0,0 +1,13 @@
+approval_policy = "on-request"
+approvals_reviewer = "user"
+sandbox_mode = "read-only"
+web_search = "disabled"
+
+[sandbox_workspace_write]
+network_access = false
+writable_roots = []
+exclude_slash_tmp = true
+exclude_tmpdir_env_var = true
+
+[agents]
+enabled = false

package/examples/adversarial/permissions/expected.json

@@ -0,0 +1,18 @@
+{
+  "claude": {
+    "restrictiveAction": "ask",
+    "expandedAction": "block",
+    "diffStatus": "needs-review"
+  },
+  "codex": {
+    "restrictiveAction": "ask",
+    "expandedAction": "block",
+    "diffStatus": "needs-review"
+  },
+  "forbiddenOutputMarkers": [
+    "INERT_CLAUDE_PERMISSION_SECRET",
+    "INERT_CLAUDE_PERMISSION_PATH",
+    "INERT_CLAUDE_HOOK_SECRET",
+    "INERT_CODEX_PERMISSION_PATH"
+  ]
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "trustdex",
-  "version": "0.6.0",
+  "version": "0.7.0",
   "description": "A local-first trust, provenance, and review gate for AI agent tools, MCP servers, skills, and plugins.",
   "type": "module",
   "bin": {
@@ -8,8 +8,8 @@
   },
   "scripts": {
     "test": "node --test",
-    "test:research": "node --test test/research-fixtures.test.mjs test/claude-settings.test.mjs test/codex-settings.test.mjs",
-    "check": "node --check bin/trustdex.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/claude-settings.mjs && node --check src/codex-config.mjs && node --check src/codex-settings.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
+    "test:research": "node --test test/research-fixtures.test.mjs test/claude-settings.test.mjs test/codex-settings.test.mjs test/posture.test.mjs",
+    "check": "node --check bin/trustdex.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/claude-settings.mjs && node --check src/codex-config.mjs && node --check src/codex-settings.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/posture.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
     "prepublishOnly": "npm test && npm run check"
   },
   "engines": {
@@ -39,6 +39,7 @@
     "src",
     "docs",
     "examples",
+    "schemas",
     "README.md",
     "SECURITY.md",
     "LICENSE"

package/schemas/permission-posture-diff-v1.schema.json

@@ -0,0 +1,78 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/permission-posture-diff-v1.schema.json",
+  "title": "TrustDex permission posture diff v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "runtime",
+    "status",
+    "baselineDigest",
+    "currentDigest",
+    "summary",
+    "changes"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 1 },
+    "runtime": { "enum": ["claude", "codex"] },
+    "status": { "enum": ["unchanged", "restricted", "needs-review"] },
+    "baselineDigest": { "$ref": "#/$defs/digest" },
+    "currentDigest": { "$ref": "#/$defs/digest" },
+    "summary": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["expansions", "restrictions", "reviews"],
+      "properties": {
+        "expansions": { "$ref": "#/$defs/count" },
+        "restrictions": { "$ref": "#/$defs/count" },
+        "reviews": { "$ref": "#/$defs/count" }
+      }
+    },
+    "changes": {
+      "type": "array",
+      "items": { "$ref": "#/$defs/change" }
+    }
+  },
+  "$defs": {
+    "digest": {
+      "type": "string",
+      "pattern": "^[a-f0-9]{64}$"
+    },
+    "count": {
+      "type": "integer",
+      "minimum": 0
+    },
+    "scalar": {
+      "type": ["string", "number", "boolean", "null"]
+    },
+    "change": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["impact", "type", "field"],
+      "properties": {
+        "impact": { "enum": ["expansion", "restriction", "review"] },
+        "type": {
+          "enum": [
+            "policy-changed",
+            "items-added",
+            "items-removed",
+            "decision-changed",
+            "count-changed",
+            "boolean-changed",
+            "value-changed"
+          ]
+        },
+        "field": { "type": "string" },
+        "before": { "$ref": "#/$defs/scalar" },
+        "after": { "$ref": "#/$defs/scalar" },
+        "items": {
+          "type": "array",
+          "minItems": 1,
+          "uniqueItems": true,
+          "items": { "type": "string" }
+        }
+      }
+    }
+  }
+}

package/schemas/permission-posture-v1.schema.json

@@ -0,0 +1,162 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/permission-posture-v1.schema.json",
+  "title": "TrustDex permission posture snapshot v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "kind",
+    "createdAt",
+    "runtime",
+    "policyDigest",
+    "posture",
+    "digest"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 1 },
+    "kind": { "const": "agent-permission-posture" },
+    "createdAt": { "type": "string", "format": "date-time" },
+    "runtime": { "enum": ["claude", "codex"] },
+    "policyDigest": { "$ref": "#/$defs/digest" },
+    "digest": { "$ref": "#/$defs/digest" },
+    "posture": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["action", "signals", "metadata"],
+      "properties": {
+        "action": { "enum": ["allow", "ask", "block"] },
+        "signals": {
+          "type": "array",
+          "uniqueItems": true,
+          "items": { "type": "string" }
+        },
+        "metadata": { "type": "object" }
+      }
+    }
+  },
+  "allOf": [
+    {
+      "if": { "properties": { "runtime": { "const": "claude" } } },
+      "then": {
+        "properties": {
+          "posture": {
+            "properties": {
+              "metadata": { "$ref": "#/$defs/claudeMetadata" }
+            }
+          }
+        }
+      }
+    },
+    {
+      "if": { "properties": { "runtime": { "const": "codex" } } },
+      "then": {
+        "properties": {
+          "posture": {
+            "properties": {
+              "metadata": { "$ref": "#/$defs/codexMetadata" }
+            }
+          }
+        }
+      }
+    }
+  ],
+  "$defs": {
+    "digest": {
+      "type": "string",
+      "pattern": "^[a-f0-9]{64}$"
+    },
+    "count": {
+      "type": "integer",
+      "minimum": 0
+    },
+    "claudeMetadata": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "defaultMode",
+        "allowRuleCount",
+        "askRuleCount",
+        "denyRuleCount",
+        "allowCategories",
+        "additionalDirectoryCount",
+        "bypassDisabled",
+        "autoModeDisabled",
+        "outsideReadsBlocked",
+        "uninspectedRootKeyCount"
+      ],
+      "properties": {
+        "defaultMode": {
+          "type": ["string", "null"],
+          "enum": [null, "default", "manual", "acceptEdits", "plan", "dontAsk", "bypassPermissions", "auto"]
+        },
+        "allowRuleCount": { "$ref": "#/$defs/count" },
+        "askRuleCount": { "$ref": "#/$defs/count" },
+        "denyRuleCount": { "$ref": "#/$defs/count" },
+        "allowCategories": {
+          "type": "array",
+          "uniqueItems": true,
+          "items": { "enum": ["filesystem", "mcp", "network", "other", "shell", "subagent"] }
+        },
+        "additionalDirectoryCount": { "$ref": "#/$defs/count" },
+        "bypassDisabled": { "type": "boolean" },
+        "autoModeDisabled": { "type": "boolean" },
+        "outsideReadsBlocked": { "type": "boolean" },
+        "uninspectedRootKeyCount": { "$ref": "#/$defs/count" }
+      }
+    },
+    "codexMetadata": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "approvalPolicy",
+        "granularPromptCategories",
+        "approvalsReviewer",
+        "sandboxMode",
+        "defaultPermissionsKind",
+        "webSearch",
+        "networkAccess",
+        "additionalWritableRootCount",
+        "tempRootsExcluded",
+        "subagentsEnabled",
+        "uninspectedAgentKeyCount",
+        "uninspectedRootKeyCount",
+        "uninspectedSectionKindCount"
+      ],
+      "properties": {
+        "approvalPolicy": {
+          "type": ["string", "null"],
+          "enum": [null, "on-request", "never", "granular"]
+        },
+        "granularPromptCategories": {
+          "type": "array",
+          "uniqueItems": true,
+          "items": { "enum": ["mcp_elicitations", "request_permissions", "rules", "sandbox_approval", "skill_approval"] }
+        },
+        "approvalsReviewer": {
+          "type": ["string", "null"],
+          "enum": [null, "user", "auto_review"]
+        },
+        "sandboxMode": {
+          "type": ["string", "null"],
+          "enum": [null, "read-only", "workspace-write", "danger-full-access"]
+        },
+        "defaultPermissionsKind": {
+          "type": ["string", "null"],
+          "enum": [null, ":read-only", ":workspace", ":danger-full-access", "custom"]
+        },
+        "webSearch": {
+          "type": ["string", "null"],
+          "enum": [null, "disabled", "cached", "indexed", "live"]
+        },
+        "networkAccess": { "type": "boolean" },
+        "additionalWritableRootCount": { "$ref": "#/$defs/count" },
+        "tempRootsExcluded": { "type": "boolean" },
+        "subagentsEnabled": { "type": "boolean" },
+        "uninspectedAgentKeyCount": { "$ref": "#/$defs/count" },
+        "uninspectedRootKeyCount": { "$ref": "#/$defs/count" },
+        "uninspectedSectionKindCount": { "$ref": "#/$defs/count" }
+      }
+    }
+  }
+}