trustdex 0.6.0 → 0.8.0

package/README.ko.md

@@ -82,8 +82,8 @@ Node.js 20 이상이 필요합니다.
 npm에서 직접 실행:
 
 ```bash
-npx trustdex@0.6.0 --help
-npx trustdex@0.6.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
+npx trustdex@0.8.0 --help
+npx trustdex@0.8.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
 ```
 
 또는 소스 체크아웃에서 작업:
@@ -179,7 +179,17 @@ node ./bin/trustdex.mjs inspect-codex-settings \
   --pack strict
 ```
 
-이 명령은 승인 정책, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 보고합니다. 쓰기 가능 경로나 관련 없는 설정의 값은 보관하지 않으며, 모든 설정 범위를 하나의 실제 런타임 정책으로 병합하지 않습니다.
+이 명령은 승인 정책, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 보고합니다. 쓰기 가능 경로나 관련 없는 설정의 값은 보관하지 않습니다. 문서화된 병합 우선순위를 검사하려면 활성 소스를 명시적으로 제공하세요. `--project`는 저장소 루트에서 현재 디렉터리 방향으로 반복합니다.
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict
+```
 
 단계별 게이트 워크플로와 이 프로젝트가 자체 검토 과정에서 Codex를 사용하는 방법은 [Codex에서 TrustDex 사용하기](docs/CODEX.ko.md)를 참고하세요.
 
@@ -193,7 +203,7 @@ node ./bin/trustdex.mjs gate-claude ./.mcp.json --pack strict --out .trustdex/cl
 claude --strict-mcp-config --mcp-config .trustdex/claude-mcp.json
 ```
 
-Claude를 시작하기 전에 게이트의 결과를 확인하세요. 기본적으로 `ALLOW` 항목만 노출되며, `ASK` 항목에는 검토가 필요합니다. 어댑터는 검사할 수 없는 설정을 조용히 신뢰하지 않고 거부합니다. 이 명령은 npm 0.5.0 이상과 소스 체크아웃에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.6.0`을 사용하세요.
+Claude를 시작하기 전에 게이트의 결과를 확인하세요. 기본적으로 `ALLOW` 항목만 노출되며, `ASK` 항목에는 검토가 필요합니다. 어댑터는 검사할 수 없는 설정을 조용히 신뢰하지 않고 거부합니다. 이 명령은 npm 0.5.0 이상과 소스 체크아웃에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.8.0`을 사용하세요.
 
 지원되는 설정, PowerShell 오류 처리, 서명된 검토 및 Claude Desktop 워크플로는 [Claude에서 TrustDex 사용하기](docs/CLAUDE.ko.md)를 참고하세요.
 
@@ -205,7 +215,65 @@ node ./bin/trustdex.mjs inspect-claude-settings \
   --pack strict
 ```
 
-이 명령은 구조적인 기능 증거만 보고합니다. 권한 지정자, 디렉터리 값, 훅 명령, 도메인, 자격 증명 도우미 값 또는 환경 값을 출력하거나 지문에 포함하지 않습니다. 이는 정적 검토 도구이며 설정 병합기나 런타임 샌드박스가 아닙니다.
+이 명령은 구조적인 기능 증거만 보고합니다. 권한 지정자, 디렉터리 값, 훅 명령, 도메인, 자격 증명 도우미 값 또는 환경 값을 출력하거나 지문에 포함하지 않습니다. 문서화된 파일 우선순위와 목록 병합을 계산하려면 소스를 명시적으로 제공하세요.
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict
+```
+
+스택 검사는 여전히 정적 검토 도구이며 런타임 샌드박스가 아닙니다. 파일, 환경 변수 재정의 또는 조직 정책을 자동으로 찾지 않으며, 전달된 소스만 평가합니다.
+
+## 권한 상태 드리프트
+
+각 런타임에 대해 값이 제거된 구조적 기준 상태를 기록한 뒤 에이전트 또는 정책
+변경 후 상태와 비교할 수 있습니다.
+
+```bash
+node ./bin/trustdex.mjs snapshot-claude-settings \
+  ./.claude/settings.json \
+  --pack strict \
+  --out .trustdex/claude-posture.json
+
+node ./bin/trustdex.mjs snapshot-codex-settings \
+  ~/.codex/config.toml \
+  --pack strict \
+  --out .trustdex/codex-posture.json
+
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
+node ./bin/trustdex.mjs diff-permissions \
+  .trustdex/approved-posture.json \
+  .trustdex/current-posture.json \
+  --json
+```
+
+자동 허용, 쓰기 범위, 네트워크 접근, 서브에이전트, 정책 의미 또는 분류되지 않은
+설정이 확대되면 `diff-permissions`는 종료 코드 `1`을 반환합니다. 더 제한적으로만
+변한 경우에는 종료 코드 `0`과 `restricted` 상태를 반환합니다. 스냅샷에는 개수,
+문서화된 열거 값, 기능 범주, 위험 신호 및 정책 의미 다이제스트만 포함됩니다.
+입력 경로, 규칙 지정자, 쓰기 가능 경로, 도메인, 명령, 환경 변수 이름과 값 및
+관련 없는 설정 값은 제외합니다. 값이 제거된 규칙 내용이 같은 개수 안에서 바뀌면
+감지할 수 없으므로 이는 런타임 강제가 아니라 권고형 CI 검토 게이트입니다.
+
+기계 소비자는 `--json` 출력을
+[`schemas/permission-posture-v1.schema.json`](schemas/permission-posture-v1.schema.json)과
+[`schemas/permission-posture-diff-v1.schema.json`](schemas/permission-posture-diff-v1.schema.json)으로
+검증할 수 있습니다. 병합 소스 스냅샷과 차이는
+[`schemas/permission-posture-v2.schema.json`](schemas/permission-posture-v2.schema.json)과
+[`schemas/permission-posture-diff-v2.schema.json`](schemas/permission-posture-diff-v2.schema.json)을
+사용합니다. 스키마가 바뀌면 새로운 정수 `schemaVersion`을 사용하며 기존
+필드의 의미를 조용히 바꾸지 않습니다.
 
 ## 온라인 출처 관찰
 
@@ -352,7 +420,7 @@ node ./bin/trustdex.mjs verify .trustdex/trust-record.json \
 ```yaml
 - uses: actions/checkout@v4
 
-- uses: grigent/trustdex@v0.6.0
+- uses: grigent/trustdex@v0.8.0
   with:
     config: ./mcp.json
     pack: official-first

package/README.md

@@ -82,8 +82,8 @@ Requires Node.js 20+.
 Run directly from npm:
 
 ```bash
-npx trustdex@0.6.0 --help
-npx trustdex@0.6.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
+npx trustdex@0.8.0 --help
+npx trustdex@0.8.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
 ```
 
 Or work from a source checkout:
@@ -181,8 +181,19 @@ node ./bin/trustdex.mjs inspect-codex-settings \
 
 This reports approval policy, sandbox class, network access, additional writable-root
 count, web-search mode, and explicit subagent enablement. It does not retain writable
-paths or values from unrelated settings, and it does not merge every configuration
-scope into an effective runtime policy.
+paths or values from unrelated settings. To inspect the documented merged precedence,
+provide each active source explicitly; repeat `--project` from repository root toward
+the current directory:
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict
+```
 
 See [Using TrustDex with Codex](docs/CODEX.md) for a step-by-step gating workflow and for how this project uses Codex in its own review process.
 
@@ -201,7 +212,7 @@ claude --strict-mcp-config --mcp-config .trustdex/claude-mcp.json
 Check the gate's result before starting Claude. Only `ALLOW` entries are exposed by
 default; `ASK` entries require review. The adapter rejects settings it cannot
 inspect instead of silently trusting them. These commands are available in npm 0.5.0 and later, and from a source checkout.
-Use `npx trustdex@0.6.0` in place of `node ./bin/trustdex.mjs` to run the published CLI.
+Use `npx trustdex@0.8.0` in place of `node ./bin/trustdex.mjs` to run the published CLI.
 
 See [Using TrustDex with Claude](docs/CLAUDE.md) for supported settings, PowerShell
 error handling, signed review, and the Claude Desktop workflow.
@@ -217,7 +228,68 @@ node ./bin/trustdex.mjs inspect-claude-settings \
 
 The command reports structural capability evidence only. It does not print or fingerprint
 permission specifiers, directory values, hook commands, domains, credential-helper values,
-or environment values. It is a static review aid, not a settings merger or runtime sandbox.
+or environment values. To calculate the documented file precedence and list merging, pass
+the sources explicitly:
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict
+```
+
+The stack inspector remains a static review aid, not a runtime sandbox. It does not discover
+files, environment overrides, or organization policy automatically; only supplied sources
+are evaluated.
+
+## Permission posture drift
+
+Record a value-free structural baseline for either runtime, then compare it after an
+agent or policy change:
+
+```bash
+node ./bin/trustdex.mjs snapshot-claude-settings \
+  ./.claude/settings.json \
+  --pack strict \
+  --out .trustdex/claude-posture.json
+
+node ./bin/trustdex.mjs snapshot-codex-settings \
+  ~/.codex/config.toml \
+  --pack strict \
+  --out .trustdex/codex-posture.json
+
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
+node ./bin/trustdex.mjs diff-permissions \
+  .trustdex/approved-posture.json \
+  .trustdex/current-posture.json \
+  --json
+```
+
+`diff-permissions` exits `1` when automatic grants, writable scope, network access,
+subagents, policy semantics, or another unclassified setting expands. A change that
+is only more restrictive exits `0` with status `restricted`. Snapshots contain counts,
+documented enums, capability categories, risk signals, and a policy-semantics digest;
+they omit input paths, rule specifiers, writable paths, domains, commands, environment
+names and values, and unrelated setting values. Same-count changes to redacted rule
+contents cannot be detected, so this is an advisory CI review gate rather than runtime
+enforcement.
+
+Machine consumers can validate `--json` output against
+[`schemas/permission-posture-v1.schema.json`](schemas/permission-posture-v1.schema.json)
+and [`schemas/permission-posture-diff-v1.schema.json`](schemas/permission-posture-diff-v1.schema.json).
+Merged-source snapshots and their diffs use
+[`schemas/permission-posture-v2.schema.json`](schemas/permission-posture-v2.schema.json)
+and [`schemas/permission-posture-diff-v2.schema.json`](schemas/permission-posture-diff-v2.schema.json).
+Schema changes require a new integer `schemaVersion`; fields are not silently repurposed.
 
 ## Online provenance observations
 
@@ -364,7 +436,7 @@ The private key should never be committed.
 ```yaml
 - uses: actions/checkout@v4
 
-- uses: grigent/trustdex@v0.6.0
+- uses: grigent/trustdex@v0.8.0
   with:
     config: ./mcp.json
     pack: official-first

package/bin/trustdex.mjs

@@ -6,9 +6,9 @@ import process from 'node:process';
 
 import { inspectMcpConfig } from '../src/inspect.mjs';
 import { parseCodexMcpToml, gateCodexToml } from '../src/codex-config.mjs';
-import { inspectCodexSettingsText } from '../src/codex-settings.mjs';
+import { inspectCodexSettingsStack, inspectCodexSettingsText } from '../src/codex-settings.mjs';
 import { parseClaudeMcpConfig } from '../src/claude-config.mjs';
-import { inspectClaudeSettings } from '../src/claude-settings.mjs';
+import { inspectClaudeSettings, inspectClaudeSettingsStack } from '../src/claude-settings.mjs';
 import { inspectSkillText, inspectPluginManifest } from '../src/extensions.mjs';
 import { evaluateAll } from '../src/policy.mjs';
 import { getPolicyPack, mergePolicy } from '../src/policy-packs.mjs';
@@ -23,6 +23,10 @@ import {
   verifyArtifactBytes
 } from '../src/provenance-online.mjs';
 import { createSnapshot, diffSnapshots } from '../src/snapshot.mjs';
+import {
+  createPermissionPostureSnapshot,
+  diffPermissionPostureSnapshots
+} from '../src/posture.mjs';
 import { gateMcpConfig } from '../src/gate.mjs';
 import { assessReview } from '../src/review.mjs';
 import {
@@ -46,6 +50,10 @@ Usage:
   trustdex inspect-codex <config.toml> [--pack ...] [--policy policy.json]
       [--trust-store trust-store.json] [--json]
   trustdex inspect-codex-settings <config.toml> [--pack ...] [--policy policy.json] [--json]
+  trustdex snapshot-codex-settings <config.toml> --out posture.json [--pack ...]
+  trustdex inspect-codex-settings-stack [--system file] [--managed file] [--user file]
+      [--profile file] [--project file ...] [--cli file] [--json]
+  trustdex snapshot-codex-settings-stack [same source flags] --out posture.json
 
   trustdex gate <mcp.json> --out gated.json [--pack ...] [--policy policy.json]
       [--trust-store trust-store.json] [--include-ask] [--json]
@@ -54,6 +62,10 @@ Usage:
 
   trustdex inspect-claude <.mcp.json> [--pack ...] [--policy policy.json] [--json]
   trustdex inspect-claude-settings <settings.json> [--pack ...] [--policy policy.json] [--json]
+  trustdex snapshot-claude-settings <settings.json> --out posture.json [--pack ...]
+  trustdex inspect-claude-settings-stack [--user file] [--project file] [--local file]
+      [--session file] [--managed file] [--json]
+  trustdex snapshot-claude-settings-stack [same source flags] --out posture.json
   trustdex gate-claude <.mcp.json> --out gated.json [--pack ...] [--policy policy.json]
   trustdex snapshot-claude <.mcp.json> --out snapshot.json [--pack ...]
   trustdex approve-claude <.mcp.json> --private key.pem --dir review [--pack ...]
@@ -79,6 +91,7 @@ Usage:
       [--policy policy.json] [--trust-store trust-store.json]
 
   trustdex diff <before.json> <after.json> [--json]
+  trustdex diff-permissions <before.json> <after.json> [--json]
   trustdex policy <strict|official-first|development>
 
   trustdex keygen --private trustdex-private.pem --public trustdex-public.pem
@@ -115,6 +128,17 @@ function getFlag(args, name) {
   return index >= 0 ? args[index + 1] : null;
 }
 
+function getFlags(args, name) {
+  const values = [];
+  for (let index = 0; index < args.length; index += 1) {
+    if (args[index] !== name) continue;
+    const value = args[index + 1];
+    if (!value || value.startsWith('--')) throw new Error(`${name} requires a file path.`);
+    values.push(value);
+  }
+  return values;
+}
+
 function hasFlag(args, name) {
   return args.includes(name);
 }
@@ -199,6 +223,56 @@ async function inspectSingle(item, args) {
   setInspectExitCode(results);
 }
 
+async function evaluateClaudeSettings(settingsPath, args) {
+  let settings;
+  try { settings = await readJson(settingsPath); } catch (error) {
+    if (error instanceof SyntaxError) throw new Error('Invalid Claude settings JSON.');
+    throw error;
+  }
+  const policy = await loadPolicy(args);
+  const [result] = evaluateAll([inspectClaudeSettings(settings, settingsPath)], policy);
+  return { policy, result };
+}
+
+async function evaluateCodexSettings(configPath, args) {
+  const policy = await loadPolicy(args);
+  const [result] = evaluateAll([
+    inspectCodexSettingsText(await fs.readFile(configPath, 'utf8'), configPath)
+  ], policy);
+  return { policy, result };
+}
+
+async function evaluateClaudeSettingsStack(args) {
+  const layers = [];
+  for (const scope of ['user', 'project', 'local', 'session', 'managed']) {
+    for (const file of getFlags(args, `--${scope}`)) {
+      let settings;
+      try { settings = await readJson(file); } catch (error) {
+        if (error instanceof SyntaxError) throw new Error(`Invalid Claude ${scope} settings JSON.`);
+        throw error;
+      }
+      layers.push({ scope, settings });
+    }
+  }
+  if (!layers.length) throw new Error('Claude settings stack requires at least one source flag.');
+  const policy = await loadPolicy(args);
+  const [result] = evaluateAll([inspectClaudeSettingsStack(layers)], policy);
+  return { policy, result };
+}
+
+async function evaluateCodexSettingsStack(args) {
+  const layers = [];
+  for (const scope of ['system', 'managed', 'user', 'profile', 'project', 'cli']) {
+    for (const file of getFlags(args, `--${scope}`)) {
+      layers.push({ scope, text: await fs.readFile(file, 'utf8') });
+    }
+  }
+  if (!layers.length) throw new Error('Codex settings stack requires at least one source flag.');
+  const policy = await loadPolicy(args);
+  const [result] = evaluateAll([inspectCodexSettingsStack(layers)], policy);
+  return { policy, result };
+}
+
 function printObservation(observation, asJson) {
   if (asJson) {
     console.log(JSON.stringify(observation, null, 2));
@@ -224,6 +298,24 @@ function printChanges(changes) {
   }
 }
 
+function printPermissionPostureDiff(diff) {
+  if (diff.status === 'unchanged') {
+    console.log('UNCHANGED: permission posture matches the baseline.');
+    return;
+  }
+  if (diff.status === 'restricted') {
+    console.log('RESTRICTED: permission posture became more restrictive.');
+  } else {
+    console.log('NEEDS_REVIEW: permission posture expanded or changed in an unclassified way.');
+  }
+  for (const change of diff.changes) {
+    const details = change.items
+      ? ` (${change.items.join(', ')})`
+      : Object.hasOwn(change, 'before') ? ` (${String(change.before)} -> ${String(change.after)})` : '';
+    console.log(`${change.impact.toUpperCase()} ${change.type}: ${change.field}${details}`);
+  }
+}
+
 async function main() {
   const args = process.argv.slice(2);
   const command = args[0];
@@ -270,12 +362,16 @@ async function main() {
   if (command === 'inspect-claude-settings') {
     const settingsPath = args[1];
     if (!settingsPath) throw new Error('inspect-claude-settings requires a path to Claude settings JSON.');
-    let settings;
-    try { settings = await readJson(settingsPath); } catch (error) {
-      if (error instanceof SyntaxError) throw new Error('Invalid Claude settings JSON.');
-      throw error;
-    }
-    await inspectSingle(inspectClaudeSettings(settings, settingsPath), args);
+    const { result } = await evaluateClaudeSettings(settingsPath, args);
+    printResults([result], hasFlag(args, '--json'));
+    setInspectExitCode([result]);
+    return;
+  }
+
+  if (command === 'inspect-claude-settings-stack') {
+    const { result } = await evaluateClaudeSettingsStack(args);
+    printResults([result], hasFlag(args, '--json'));
+    setInspectExitCode([result]);
     return;
   }
 
@@ -291,7 +387,54 @@ async function main() {
   if (command === 'inspect-codex-settings') {
     const configPath = args[1];
     if (!configPath) throw new Error('inspect-codex-settings requires a path to Codex config.toml.');
-    await inspectSingle(inspectCodexSettingsText(await fs.readFile(configPath, 'utf8'), configPath), args);
+    const { result } = await evaluateCodexSettings(configPath, args);
+    printResults([result], hasFlag(args, '--json'));
+    setInspectExitCode([result]);
+    return;
+  }
+
+  if (command === 'inspect-codex-settings-stack') {
+    const { result } = await evaluateCodexSettingsStack(args);
+    printResults([result], hasFlag(args, '--json'));
+    setInspectExitCode([result]);
+    return;
+  }
+
+  if (['snapshot-claude-settings', 'snapshot-codex-settings',
+    'snapshot-claude-settings-stack', 'snapshot-codex-settings-stack'].includes(command)) {
+    const isStack = command.endsWith('-stack');
+    const configPath = isStack ? null : args[1];
+    const out = getFlag(args, '--out');
+    if ((!isStack && !configPath) || !out) {
+      throw new Error(isStack
+        ? `${command} requires source flags and --out <posture.json>.`
+        : `${command} requires a settings path and --out <posture.json>.`);
+    }
+    let evaluated;
+    if (command === 'snapshot-claude-settings') evaluated = await evaluateClaudeSettings(configPath, args);
+    else if (command === 'snapshot-codex-settings') evaluated = await evaluateCodexSettings(configPath, args);
+    else if (command === 'snapshot-claude-settings-stack') evaluated = await evaluateClaudeSettingsStack(args);
+    else evaluated = await evaluateCodexSettingsStack(args);
+    const { policy, result } = evaluated;
+    const snapshot = createPermissionPostureSnapshot(result, policy);
+    await writeFileSafe(out, `${JSON.stringify(snapshot, null, 2)}\n`);
+    console.log(`Wrote ${out}\nDigest: ${snapshot.digest}`);
+    return;
+  }
+
+  if (command === 'diff-permissions') {
+    const beforePath = args[1];
+    const afterPath = args[2];
+    if (!beforePath || !afterPath) {
+      throw new Error('diff-permissions requires <before.json> <after.json>.');
+    }
+    const diff = diffPermissionPostureSnapshots(
+      await readJson(beforePath),
+      await readJson(afterPath)
+    );
+    if (hasFlag(args, '--json')) console.log(JSON.stringify(diff, null, 2));
+    else printPermissionPostureDiff(diff);
+    if (diff.status === 'needs-review') process.exitCode = 1;
     return;
   }
 

package/docs/ARCHITECTURE.ko.md

@@ -13,7 +13,7 @@ TrustDex는 관찰, 정책, 게이트 및 검토 증거를 분리하는 의존
 3. 선택적인 신뢰 저장소 주장이 명시적인 출처 증거를 연결합니다.
 4. 정책 엔진이 ALLOW, ASK 또는 BLOCK을 생성합니다.
 5. 게이트가 승인된 설정만 출력합니다.
-6. 스냅샷과 서명된 신뢰 기록을 통해 이후 드리프트를 검토할 수 있습니다.
+6. MCP 스냅샷, 권한 상태 스냅샷 및 서명된 신뢰 기록을 통해 이후 드리프트를 검토할 수 있습니다.
 
 게이트가 강제 적용 경계입니다. 보고서만으로는 에이전트가 검토되지 않은 확장을 불러오는 것을 막을 수 없습니다.
 
@@ -31,6 +31,7 @@ TrustDex는 관찰, 정책, 게이트 및 검토 증거를 분리하는 의존
 | `src/policy.mjs` | 단조로운 정책 평가. 신호는 심각도를 높일 수 있음 |
 | `src/gate.mjs` | 승인된 MCP 항목만 출력 |
 | `src/snapshot.mjs` | 결정론적 신뢰 관련 상태 및 드리프트 |
+| `src/posture.mjs` | 값이 제거된 Claude/Codex 권한 상태 스냅샷 및 자율성 확대 분류 |
 | `src/trust-record.mjs` | Ed25519 검토 기록 서명 및 검증 |
 | `src/review.mjs` | 서명된 기준선 비교 |
 
@@ -39,13 +40,14 @@ TrustDex는 관찰, 정책, 게이트 및 검토 증거를 분리하는 의존
 - 검사는 검사 대상 확장을 실행해서는 안 됩니다.
 - 비밀 값은 출력하거나 스냅샷에 저장해서는 안 됩니다.
 - 권한 규칙 값, 쓰기 가능 루트 경로, 훅/도우미 본문 및 관련 없는 설정 값은 에이전트 설정 보고서에 보관해서는 안 됩니다.
+- 권한 상태 스냅샷은 소스 경로와 설정 값을 제외해야 하며, 새 자율성 또는 정책 의미 변경은 검토를 요구해야 합니다.
 - 알 수 없는 증거가 신뢰로 바뀌어서는 안 됩니다.
 - 차단 신호의 심각도를 출처 정보로 낮춰서는 안 됩니다.
 - 지원하지 않는 보안 관련 구문은 안전하게 실패해야 합니다.
 - 네트워크 조회는 명시적으로 수행하며, 관찰은 승인이 아닙니다.
 - ALLOW는 정책 결과이지 안전 인증이 아닙니다.
 
-설정 검사는 현재 권고 기능입니다. 한 번에 설정 소스 파일 하나를 읽으며 병합된 실제 런타임 정책을 계산하지 않습니다. MCP 게이트는 구현된 강제 적용 경계로 유지되고, 에이전트 작업은 운영체제 및 런타임 샌드박스가 강제합니다.
+설정 검사는 권고 기능입니다. 소스 파일 하나 또는 명시적으로 전달된 Claude/Codex 소스 스택을 읽고 지원되는 보안 필드에 대해 문서화된 우선순위를 계산할 수 있습니다. 활성 파일, 프로필, 환경 변수 재정의, 요구사항 또는 서버 전달 정책을 자동으로 찾지 않으며 보고된 정책이 실제로 활성화되었다는 것도 증명하지 않습니다. MCP 게이트는 구현된 강제 적용 경계로 유지되고, 에이전트 작업은 운영체제 및 런타임 샌드박스가 강제합니다.
 
 ## 의존성 정책
 

package/docs/ARCHITECTURE.md

@@ -13,7 +13,7 @@ TrustDex is a dependency-free Node.js CLI that separates observation, policy, ga
 3. Optional trust-store claims attach explicit provenance evidence.
 4. The policy engine produces ALLOW, ASK, or BLOCK.
 5. A gate emits only the approved configuration.
-6. Snapshots and signed trust records make later drift reviewable.
+6. MCP snapshots, permission posture snapshots, and signed trust records make later drift reviewable.
 
 The gate is the enforcement boundary. Reports alone do not prevent an agent from loading an unreviewed extension.
 
@@ -31,6 +31,7 @@ The gate is the enforcement boundary. Reports alone do not prevent an agent from
 | src/policy.mjs | Monotonic policy evaluation; signals may raise severity |
 | src/gate.mjs | Output only approved MCP entries |
 | src/snapshot.mjs | Deterministic trust-relevant state and drift |
+| src/posture.mjs | Value-free Claude/Codex permission posture snapshots and autonomy-expansion classification |
 | src/trust-record.mjs | Ed25519 review-record signing and verification |
 | src/review.mjs | Signed-baseline comparison |
 
@@ -39,15 +40,19 @@ The gate is the enforcement boundary. Reports alone do not prevent an agent from
 - Inspection must not execute the inspected extension.
 - Secret values must not be printed or stored in snapshots.
 - Permission rule values, writable-root paths, hook/helper bodies, and unrelated settings values must not be retained in agent-settings reports.
+- Permission posture snapshots must omit source paths and setting values; new autonomy or changed policy semantics must require review.
 - Unknown evidence must not become trust.
 - A blocking signal must not be lowered by provenance.
 - Unsupported security-relevant syntax must fail closed.
 - Network lookup is explicit and observation is not approval.
 - ALLOW is a policy result, not a safety certification.
 
-Settings inspection is currently advisory. It reads one source file at a time and does
-not calculate the merged effective runtime policy. MCP gates remain the implemented
-enforcement boundary; operating-system and runtime sandboxes enforce agent actions.
+Settings inspection is advisory. It can read one source file or an explicitly supplied
+Claude/Codex source stack and calculate the documented precedence for the supported
+security fields. It does not discover active files, profiles, environment overrides,
+requirements, or server-delivered policy, and it does not prove the reported policy is
+active. MCP gates remain the implemented enforcement boundary; operating-system and
+runtime sandboxes enforce agent actions.
 
 ## Dependency policy
 

package/docs/CLAUDE.ko.md

@@ -6,7 +6,7 @@
 
 TrustDex는 Claude Code 또는 Claude Desktop이 MCP JSON을 받기 전에 이를 검사할 수 있습니다. 설정 증거를 로컬에서 평가하고, MCP 서버를 시작하지 않으며, 설정을 업로드하지 않습니다. ALLOW 결정은 증거가 정책과 일치한다는 뜻이며 서버 코드가 안전하다는 것을 증명하지 않습니다.
 
-Claude 전용 명령은 TrustDex 0.5.0 이상에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 아래 예제의 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.6.0`을 사용하거나, 소스 체크아웃에서 명령을 직접 사용하세요.
+Claude 전용 명령은 TrustDex 0.5.0 이상에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 아래 예제의 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.8.0`을 사용하거나, 소스 체크아웃에서 명령을 직접 사용하세요.
 
 ## 지원되는 설정
 
@@ -89,7 +89,53 @@ node ./bin/trustdex.mjs inspect-claude-settings \
 
 `ask`와 `deny` 규칙은 제한적이므로 그 자체로 위험 신호를 추가하지 않습니다. 보고서에는 규칙 개수와 기능 범주가 포함되지만 명령 패턴, 경로, 도메인, 훅 본문, 도우미 명령, 디렉터리 값, 환경 값 또는 플러그인 식별자는 포함되지 않습니다. 같은 이유로 이 첫 번째 어댑터는 설정 파일용 콘텐츠 지문이나 서명된 검토 기록을 만들지 않습니다.
 
-이 명령은 한 번에 파일 하나만 검사합니다. Claude Code는 여러 범위의 설정을 병합하고 명령줄 플래그가 세션 권한을 추가할 수 있으므로 이 결과가 실제 런타임 정책은 아닙니다. Claude Code에서 로드된 소스와 권한을 확인하고 강제 적용에는 운영체제 수준 샌드박싱을 사용하세요. 공식 참고 자료: [설정 파일 및 우선순위](https://code.claude.com/docs/en/settings), [권한](https://code.claude.com/docs/en/permissions), [보안](https://code.claude.com/docs/en/security).
+여러 활성 소스를 검토할 때는 스택 명령을 사용하세요.
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict --json
+```
+
+TrustDex는 사용자, 공유 프로젝트, 프로젝트 로컬, 세션 및 관리형 우선순위를 적용합니다. 권한 목록은 결합하고 지원되는 스칼라 권한 제어는 가장 높은 유효 소스를 사용합니다. 문서화된 범위 제한에 맞춰 프로젝트 또는 로컬 소스의 `auto`와 `bypassPermissions` 기본 모드는 무시합니다. 보고서에는 고정된 소스 범위 이름과 개수만 저장하며 입력 경로나 설정 값은 저장하지 않습니다.
+
+소스는 명시적으로 전달해야 합니다. TrustDex는 설정, 셸 환경 변수 재정의, 임베딩 호스트 정책 또는 서버 전달 관리형 설정을 자동으로 찾지 않습니다. `/status`로 로드된 소스를 확인하고 강제 적용에는 운영체제 수준 샌드박싱을 사용하세요. 공식 참고 자료: [설정 파일 및 우선순위](https://code.claude.com/docs/en/settings), [권한](https://code.claude.com/docs/en/permissions), [보안](https://code.claude.com/docs/en/security).
+
+### 권한 상태 드리프트
+
+검토 후 기준 상태를 만들고 나중의 설정 상태와 비교하세요.
+
+```bash
+node ./bin/trustdex.mjs snapshot-claude-settings \
+  ./.claude/settings.json \
+  --pack strict \
+  --out .trustdex/claude-posture.json
+
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
+node ./bin/trustdex.mjs diff-permissions \
+  .trustdex/approved-claude-posture.json \
+  .trustdex/current-claude-posture.json
+```
+
+새 자동 도구 범주, 추가 규칙이나 디렉터리, 완화된 보호 스위치, 더 위험한 기본
+모드, 새 위험 신호 또는 정책 의미 변경은 `NEEDS_REVIEW`와 종료 코드 `1`을
+반환합니다. 제한적으로만 변한 경우 `RESTRICTED`와 종료 코드 `0`을 반환합니다.
+스냅샷은 소스 경로와 모든 권한, 훅, 디렉터리, 도메인, 자격 증명 도우미,
+플러그인 및 환경 값을 제외합니다. 제거된 규칙 내용을 의도적으로 지문화하지
+않으므로 같은 기능 범주 안에서 규칙 개수는 같고 내용만 바뀌는 경우에는 소스
+검토나 런타임 제어가 계속 필요합니다.
+병합 소스 스냅샷은 스키마 v2를 사용하고 소스 범위 개수만 포함합니다. 최종 구조적
+권한 상태가 같더라도 소스 추가, 제거 또는 범위 변경에는 재검토가 필요합니다.
 
 ## 서명된 검토 및 드리프트