trustdex 0.6.0 → 0.8.0

package/docs/CLAUDE.md

@@ -10,7 +10,7 @@ upload your configuration. An ALLOW decision means the evidence matched your pol
 it does not prove that server code is safe.
 
 The Claude-specific commands are available in TrustDex 0.5.0 and later.
-Use `npx trustdex@0.6.0` in place of `node ./bin/trustdex.mjs` in the examples
+Use `npx trustdex@0.8.0` in place of `node ./bin/trustdex.mjs` in the examples
 below to run the published CLI, or use the commands directly from a source checkout.
 
 ## Supported configuration
@@ -129,13 +129,64 @@ paths, domains, hook bodies, helper commands, directory values, environment valu
 or plugin identifiers. For the same reason, this first adapter does not create a
 content fingerprint or signed review record for settings files.
 
-This command inspects one file at a time. Claude Code merges settings across scopes
-and command-line flags can add session permissions, so the result is not the effective
-runtime policy. Confirm loaded sources and permissions in Claude Code and use OS-level
-sandboxing for enforcement. Official references: [settings files and precedence](https://code.claude.com/docs/en/settings),
+Use the stack command when reviewing multiple active sources:
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict --json
+```
+
+TrustDex applies user, shared project, project-local, session, and managed precedence;
+permission lists combine, while supported scalar permission controls use the highest
+effective source. It also ignores `auto` and `bypassPermissions` defaults from project
+or local sources, matching the documented scope restriction. The report stores only
+fixed scope names and counts, never input paths or setting values.
+
+Sources must be passed explicitly. TrustDex does not discover settings, shell environment
+overrides, embedded-host policy, or server-delivered managed settings, so confirm loaded
+sources with `/status` and use OS-level sandboxing for enforcement. Official references:
+[settings files and precedence](https://code.claude.com/docs/en/settings),
 [permissions](https://code.claude.com/docs/en/permissions), and
 [security](https://code.claude.com/docs/en/security).
 
+### Permission posture drift
+
+Create a baseline after review and compare a later settings state:
+
+```bash
+node ./bin/trustdex.mjs snapshot-claude-settings \
+  ./.claude/settings.json \
+  --pack strict \
+  --out .trustdex/claude-posture.json
+
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
+node ./bin/trustdex.mjs diff-permissions \
+  .trustdex/approved-claude-posture.json \
+  .trustdex/current-claude-posture.json
+```
+
+New automatic tool categories, added rules or directories, relaxed protective
+switches, a riskier default mode, new risk signals, or changed policy semantics return
+`NEEDS_REVIEW` and exit `1`. Restriction-only changes return `RESTRICTED` and exit `0`.
+The snapshot excludes source paths and every permission, hook, directory, domain,
+credential-helper, plugin, and environment value. Because it intentionally does not
+fingerprint redacted rule contents, a same-count change inside one capability category
+must still be covered by source review or runtime controls.
+Merged-source snapshots use schema v2 and include only source-scope counts. Adding,
+removing, or reclassifying a source requires review even when the resulting structural
+permission posture is otherwise unchanged.
+
 ## Signed review and drift
 
 Keep the Claude adapter throughout a review workflow; generic MCP commands do not

package/docs/CODEX.ko.md

@@ -15,7 +15,7 @@ Codex 클라이언트는 `config.toml`(기본적으로 `~/.codex/` 아래)의 `[
 ### 1. 현재 설정 검사
 
 ```bash
-npx trustdex@0.6.0 inspect-codex ~/.codex/config.toml --pack strict
+npx trustdex@0.8.0 inspect-codex ~/.codex/config.toml --pack strict
 ```
 
 이 명령은 파일을 로컬에서 읽으며 네트워크 요청을 하지 않습니다. 출력에는 각 MCP 서버, 소스 유형, 신뢰 신호 및 ALLOW / ASK / BLOCK 결정이 표시됩니다. 환경 변수 이름은 표시될 수 있지만 값은 절대 표시되지 않습니다.
@@ -25,7 +25,7 @@ npx trustdex@0.6.0 inspect-codex ~/.codex/config.toml --pack strict
 ### 2. 게이트된 사본 작성
 
 ```bash
-npx trustdex@0.6.0 gate-codex ~/.codex/config.toml \
+npx trustdex@0.8.0 gate-codex ~/.codex/config.toml \
   --pack official-first \
   --trust-store ./trust-store.json \
   --out ./gated-config.toml
@@ -70,15 +70,63 @@ node ./bin/trustdex.mjs inspect-codex-settings \
 
 보안 관련 값의 타입이나 열거 값이 지원되지 않으면 안전하게 실패합니다. 공식 설정 레퍼런스가 함께 사용하지 말라고 명시하므로 `default_permissions`와 기존 샌드박스 설정을 같이 사용해도 실패합니다. 쓰기 가능 루트 경로와 관련 없는 설정의 값은 보관·출력·지문화하지 않습니다.
 
-이 첫 번째 어댑터는 한 번에 파일 하나를 검사하며 사용자, 프로젝트, 프로필, 관리형, 시스템 또는 명령줄 설정을 하나의 실제 정책으로 병합하지 않습니다. 이는 정적 증거이며 Codex 샌드박스 자체가 아닙니다. 클라이언트에서 활성 권한 프로필을 확인하세요. 공식 OpenAI 문서는 샌드박스 경계와 승인 처리를 구분하며 `workspace-write`와 `on-request` 조합을 더 낮은 위험의 로컬 자동화 구성으로 안내합니다. [설정 레퍼런스](https://developers.openai.com/codex/config-reference)와 [샌드박스 가이드](https://developers.openai.com/codex/sandboxing)를 참고하세요.
+문서화된 설정 우선순위를 적용하려면 스택 명령을 사용하세요. `--project`는 저장소 루트에서 현재 디렉터리 방향으로 반복하며 가장 가까운 프로젝트 파일이 우선합니다.
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --managed ./review/managed.toml \
+  --user ./review/user.toml \
+  --profile ./review/profile.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict --json
+```
+
+스택은 시스템부터 CLI 우선순위까지 지원되는 보안 필드별로 병합됩니다. 높은 소스가 재정의하더라도 어떤 소스에 지원하지 않는 구문이 있으면 안전하게 실패합니다. 보고서에는 고정된 소스 범위 개수만 남고 설정 경로나 관련 없는 값은 남지 않습니다. 소스는 명시적 입력이며 신뢰된 프로젝트, 활성 프로필, 클라우드 관리 기본값, 요구사항 또는 CLI 플래그를 자동으로 찾지 않습니다. 이는 정적 증거이며 Codex 샌드박스 자체가 아닙니다. 클라이언트에서 활성 권한 프로필을 확인하세요. 공식 OpenAI 문서는 샌드박스 경계와 승인 처리를 구분합니다. [설정 레퍼런스](https://developers.openai.com/codex/config-reference)와 [설정 우선순위](https://developers.openai.com/codex/config-basic)를 참고하세요.
+
+### 권한 상태 드리프트
+
+검토한 구조적 기준 상태를 생성해 커밋한 뒤 CI에서 현재 스냅샷을 만들고
+비교하세요.
+
+```bash
+node ./bin/trustdex.mjs snapshot-codex-settings \
+  ~/.codex/config.toml \
+  --pack strict \
+  --out .trustdex/codex-posture.json
+
+node ./bin/trustdex.mjs snapshot-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/project.toml \
+  --pack strict \
+  --out .trustdex/codex-stack-posture.json
+
+node ./bin/trustdex.mjs diff-permissions \
+  .trustdex/approved-codex-posture.json \
+  .trustdex/current-codex-posture.json \
+  --json
+```
+
+네트워크 활성화, 더 넓은 쓰기 범위, 더 약한 샌드박스나 승인 상태, 실시간 검색,
+서브에이전트 활성화, 새 위험 신호 및 정책 의미 변경은 검토를 요구하고 종료 코드
+`1`을 반환합니다. 제한적으로만 변한 경우 종료 코드 `0`을 반환합니다. 스냅샷은
+구조적 개수와 문서화된 열거 값만 저장하며 설정 파일 경로, 쓰기 가능 루트 경로,
+사용자 정의 프로필 값 또는 관련 없는 설정은 저장하지 않습니다. 다이제스트는
+우발적이거나 조정되지 않은 편집을 감지하지만 누구나 서명되지 않은 다이제스트를
+다시 계산할 수 있습니다. 인증이 아니며 Codex 런타임 샌드박스를 대체하지 않습니다.
+병합 소스 스냅샷은 스키마 v2를 사용합니다. 최종 구조 설정이 같더라도 소스 범위 개수가
+바뀌면 분류되지 않은 변경으로 처리되어 `NEEDS_REVIEW`를 반환합니다.
 
 ### 스킬 및 플러그인
 
 에이전트 스킬과 플러그인 매니페스트도 같은 방법으로 검사할 수 있습니다.
 
 ```bash
-npx trustdex@0.6.0 inspect-skill ./path/to/SKILL.md --pack strict
-npx trustdex@0.6.0 inspect-plugin ./path/to/plugin.json --pack strict
+npx trustdex@0.8.0 inspect-skill ./path/to/SKILL.md --pack strict
+npx trustdex@0.8.0 inspect-plugin ./path/to/plugin.json --pack strict
 ```
 
 이 명령은 파이프로 연결된 셸 설치 프로그램, 민감한 경로 참조, 네트워크 URL 및 와일드카드 도구 범위와 같은 관찰 가능한 신호를 보고합니다. 스킬이나 플러그인이 안전하다는 것을 증명하지는 않습니다.

package/docs/CODEX.md

@@ -15,7 +15,7 @@ Codex clients read MCP server definitions from `[mcp_servers.<name>]` tables in
 ### 1. Inspect the current configuration
 
 ```bash
-npx trustdex@0.6.0 inspect-codex ~/.codex/config.toml --pack strict
+npx trustdex@0.8.0 inspect-codex ~/.codex/config.toml --pack strict
 ```
 
 This reads the file locally and makes no network request. The output lists each MCP server, its source type, trust signals, and an ALLOW / ASK / BLOCK decision. Environment variable names may appear; their values never do.
@@ -25,7 +25,7 @@ Use `--json` for machine-readable output and `--trust-store ./trust-store.json`
 ### 2. Write a gated copy
 
 ```bash
-npx trustdex@0.6.0 gate-codex ~/.codex/config.toml \
+npx trustdex@0.8.0 gate-codex ~/.codex/config.toml \
   --pack official-first \
   --trust-store ./trust-store.json \
   --out ./gated-config.toml
@@ -76,21 +76,73 @@ Security-relevant values fail closed when their type or enum value is unsupporte
 the official configuration reference says not to combine them. Writable-root paths
 and values from unrelated settings are not retained, printed, or fingerprinted.
 
-This first adapter inspects one file at a time; it does not merge user, project,
-profile, managed, system, or command-line configuration into an effective policy.
-It is static evidence, not the Codex sandbox itself. Confirm the active permission
-profile in the client. The official OpenAI documentation distinguishes the sandbox
-boundary from approval handling and documents `workspace-write` plus `on-request`
-as the lower-risk local automation combination. See the [configuration reference](https://developers.openai.com/codex/config-reference)
-and [sandbox guide](https://developers.openai.com/codex/sandboxing).
+Use the stack command to apply the documented configuration precedence. Repeat
+`--project` from the repository root toward the current directory; the closest project
+file wins:
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --managed ./review/managed.toml \
+  --user ./review/user.toml \
+  --profile ./review/profile.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict --json
+```
+
+The stack is merged from system through CLI precedence, one supported security field
+at a time. Unsupported syntax in any source fails closed even when a higher source
+would override it. Reports retain fixed source-scope counts but not config paths or
+unrelated values. Sources are explicit inputs: the command does not discover trusted
+projects, active profiles, cloud-managed defaults, requirements, or CLI flags itself.
+It is static evidence, not the Codex sandbox. Confirm the active permission profile
+in the client. The official OpenAI documentation distinguishes the sandbox boundary
+from approval handling. See the [configuration reference](https://developers.openai.com/codex/config-reference)
+and [configuration precedence](https://developers.openai.com/codex/config-basic).
+
+### Permission posture drift
+
+Create and commit a reviewed structural baseline, then generate a current snapshot in
+CI and compare them:
+
+```bash
+node ./bin/trustdex.mjs snapshot-codex-settings \
+  ~/.codex/config.toml \
+  --pack strict \
+  --out .trustdex/codex-posture.json
+
+node ./bin/trustdex.mjs snapshot-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/project.toml \
+  --pack strict \
+  --out .trustdex/codex-stack-posture.json
+
+node ./bin/trustdex.mjs diff-permissions \
+  .trustdex/approved-codex-posture.json \
+  .trustdex/current-codex-posture.json \
+  --json
+```
+
+Network enablement, broader writable scope, a weaker sandbox or approval posture,
+live search, subagent enablement, new risk signals, and policy-semantic changes require
+review and exit `1`. Restriction-only changes exit `0`. The snapshot stores structural
+counts and documented enums, not the config path, writable-root paths, custom profile
+values, or unrelated settings. Its digest detects accidental or unreconciled edits,
+but anyone can recompute an unsigned digest; it is not authentication or a replacement
+for the Codex runtime sandbox.
+Merged-source snapshots use schema v2. A source-scope count change is unclassified
+and therefore returns `NEEDS_REVIEW`, even when the final structural settings match.
 
 ### Skills and plugins
 
 Agent skills and plugin manifests can be inspected the same way:
 
 ```bash
-npx trustdex@0.6.0 inspect-skill ./path/to/SKILL.md --pack strict
-npx trustdex@0.6.0 inspect-plugin ./path/to/plugin.json --pack strict
+npx trustdex@0.8.0 inspect-skill ./path/to/SKILL.md --pack strict
+npx trustdex@0.8.0 inspect-plugin ./path/to/plugin.json --pack strict
 ```
 
 These report observable signals such as piped shell installers, references to sensitive paths, network URLs, and wildcard tool scopes. They do not prove a skill or plugin is safe.

package/docs/DEFENSIVE_USE_CASE.ko.md

@@ -54,9 +54,9 @@ ALLOW 결과는 여전히 관찰된 증거에 대한 정책 결과일 뿐입니
 
 `inspect-claude-settings`는 문서화된 `permissions` 객체를 검사하고 셸, 파일 시스템, 네트워크, MCP 및 서브에이전트 기능의 자동 승인을 보고합니다. 또한 훅, 자격 증명 도우미, 환경 설정, 샌드박스 설정 및 플러그인 로딩의 존재를 값은 보관하지 않은 채 드러냅니다.
 
-이는 정적 증거이지 런타임 강제 적용이 아닙니다. 모든 Claude 설정 범위를 병합하거나, 명령줄 플래그를 검사하거나, 관리형 설정이 세션에 실제 적용되었음을 증명하거나, Claude Code 샌드박싱을 대체하지 않습니다. 운영자는 실제 런타임 설정을 별도로 확인해야 합니다.
+`inspect-claude-settings-stack`은 명시적으로 전달된 사용자, 프로젝트, 로컬, 세션 및 관리형 소스에 문서화된 우선순위를 적용합니다. 이는 정적 증거이지 런타임 강제 적용이 아닙니다. 소스를 자동으로 찾거나 관리형 설정이 세션에 실제 적용되었음을 증명하지 않으며 Claude Code 샌드박싱을 대체하지 않습니다. 운영자는 실제 런타임 설정을 별도로 확인해야 합니다.
 
-`inspect-codex-settings`는 Codex 승인 정책, 검토자 선택, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 평가합니다. 완전히 파싱하지 않는 사용자 정의 권한, 앱 및 플러그인 표면은 값은 보관하지 않고 보고합니다. 마찬가지로 모든 Codex 설정 계층을 병합하거나 활성 Codex 샌드박스를 대체하지 않습니다.
+`inspect-codex-settings`는 Codex 승인 정책, 검토자 선택, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 평가합니다. 완전히 파싱하지 않는 사용자 정의 권한, 앱 및 플러그인 표면은 값은 보관하지 않고 보고합니다. `inspect-codex-settings-stack`은 전달된 파일에 시스템부터 CLI까지의 문서화된 우선순위와 순서가 있는 프로젝트 계층을 적용합니다. 활성 계층을 자동으로 찾거나 요구사항을 강제하거나 활성 Codex 샌드박스를 대체하지 않습니다.
 
 ## CVP 신청 경계
 

package/docs/DEFENSIVE_USE_CASE.md

@@ -54,13 +54,15 @@ An ALLOW result is still only a policy result over observed evidence. TrustDex i
 
 `inspect-claude-settings` examines the documented `permissions` object and reports automatic approval of shell, filesystem, network, MCP, and subagent capabilities. It also surfaces the presence of hooks, credential helpers, environment settings, sandbox configuration, and plugin loading without retaining their values.
 
-This is static evidence, not runtime enforcement. It does not merge every Claude settings scope, inspect command-line flags, prove that managed settings reached a session, or replace Claude Code sandboxing. The operator must confirm the effective runtime configuration separately.
+`inspect-claude-settings-stack` applies documented precedence to explicitly supplied user, project, local, session, and managed sources. This is static evidence, not runtime enforcement. It does not discover sources or prove that managed settings reached a session, and it does not replace Claude Code sandboxing. The operator must confirm the effective runtime configuration separately.
 
 `inspect-codex-settings` evaluates Codex approval policy, reviewer choice, sandbox
 class, network access, additional writable-root count, web-search mode, and explicit
 subagent enablement. It reports custom permission, app, and plugin surfaces that it
-does not fully parse without retaining their values. It likewise does not merge every
-Codex configuration layer or replace the active Codex sandbox.
+does not fully parse without retaining their values. `inspect-codex-settings-stack`
+applies documented system-through-CLI precedence to supplied files, including ordered
+project layers. It does not discover the active layers, enforce requirements, or replace
+the active Codex sandbox.
 
 ## CVP application boundary
 

package/docs/EVALUATION.ko.md

@@ -60,8 +60,36 @@
 
 쓰기 가능 루트 경로와 관련 없는 설정 값은 결과에 나타나면 안 됩니다. Codex 설정 지문은 생성하지 않습니다.
 
+## 권한 상태 드리프트 사례
+
+`examples/adversarial/permissions/`에는 두 런타임의 제한적 설정과 확대된 설정이
+쌍으로 포함됩니다. `test/posture.test.mjs`는 다음을 요구합니다.
+
+- 제한적인 기준 상태는 안전 인증을 의미하지 않는 `ASK`로 유지
+- 자동 셸/네트워크/서브에이전트 권한 및 더 넓은 파일 시스템 범위가 위험을 높임
+- 자율성 확대와 정책 변경에 대해 `diff-permissions`가 `needs-review`를 반환
+- 제한적으로만 변한 경우 실패 종료 코드 없이 `restricted`를 반환
+- 구조적 다이제스트를 계산한 스냅샷이 소스 경로, 규칙 값, 쓰기 가능 경로,
+  도메인, 명령, 환경 변수 이름과 값 및 인접 설정 값을 제외
+- 내용이 다이제스트와 더 이상 일치하지 않는 스냅샷은 안전하게 실패
+
+다이제스트는 내부 일관성을 확인할 뿐 서명자 신원을 인증하지 않습니다. 값이
+제거된 권한 규칙 안에서 개수는 같고 내용만 바뀌는 경우는 이 구조적 비교의
+범위 밖입니다.
+
+## 병합 설정 스택 사례
+
+`test/settings-stack.test.mjs`는 두 런타임의 명시적 소스 스택을 검사합니다. 다음을 요구합니다.
+
+- Claude 권한 목록을 결합하면서 관리형/세션/로컬/프로젝트/사용자 스칼라 우선순위를 유지
+- 프로젝트 또는 로컬 Claude 소스가 `auto`나 `bypassPermissions` 기본 모드를 활성화하지 않음
+- Codex 시스템/관리형/사용자/프로필/프로젝트/CLI 우선순위와 가장 가까운 프로젝트 순서 적용
+- 높은 소스가 설정을 대체하더라도 잘못된 낮은 우선순위 입력은 실패
+- 스키마 v2 스냅샷은 고정된 범위 개수만 보관하고 소스 구성 변경에 재검토 요구
+- 소스 경로, 규칙, 도메인, 명령, 쓰기 가능 경로, 환경 변수 이름과 값을 계속 제외
+
 ## 이 평가가 측정하지 않는 것
 
-이 벤치마크는 의도적으로 범위가 좁습니다. 런타임 동작, 샌드박스 탈출, 임의의 악성 코드, 모든 형태의 프롬프트 인젝션, 게시자 신원 소유권 또는 전이 의존성의 취약점을 측정하지 않습니다. 모든 Claude 또는 Codex 설정 범위를 병합하거나 세션 명령줄 재정의를 검사하거나 보고된 샌드박스가 실제로 활성화되었음을 증명하지 않습니다. 특히 이미 실행 중인 MCP 서버가 동적으로 반환하는 도구 설명은 현재 정적 설정 경계 밖에 있습니다.
+이 벤치마크는 의도적으로 범위가 좁습니다. 런타임 동작, 샌드박스 탈출, 임의의 악성 코드, 모든 형태의 프롬프트 인젝션, 게시자 신원 소유권 또는 전이 의존성의 취약점을 측정하지 않습니다. 스택 사례는 테스트에 명시적으로 전달된 소스만 병합하며 활성 설정, 요구사항, 환경 변수 재정의 또는 서버 관리 정책을 자동으로 찾지 않고 보고된 샌드박스가 실제로 활성화되었음도 증명하지 않습니다. 특히 이미 실행 중인 MCP 서버가 동적으로 반환하는 도구 설명은 현재 정적 설정 경계 밖에 있습니다.
 
 이 작은 픽스처 집합은 회귀 기준선이지 탐지 정확도에 대한 통계적 주장이 아닙니다. 거짓 양성과 거짓 음성 비율을 측정하려면 민감 정보를 제거한 실제 설정으로 구성되고 독립적으로 검토된 더 큰 코퍼스가 필요합니다.

package/docs/EVALUATION.md

@@ -63,8 +63,35 @@ inspection result. No permission-settings fingerprint is created.
 Writable-root paths and unrelated setting values must not appear in results. No
 Codex-settings fingerprint is created.
 
+## Permission posture drift cases
+
+`examples/adversarial/permissions/` contains paired restrictive and expanded settings
+for both runtimes. `test/posture.test.mjs` requires:
+
+- the restrictive baseline to remain `ASK`, without implying certification
+- automatic shell/network/subagent grants and broader filesystem scope to raise risk
+- `diff-permissions` to return `needs-review` for autonomy expansion and policy changes
+- restriction-only changes to return `restricted` without a failure exit code
+- snapshots with recomputed structural digests to omit source paths, rule values,
+  writable paths, domains, commands, environment names and values, and adjacent-setting values
+- a snapshot whose contents no longer match its digest to fail closed
+
+The digest checks internal consistency, not signer identity. Same-count changes inside
+redacted permission rules remain outside this structural comparison.
+
+## Merged settings stack cases
+
+`test/settings-stack.test.mjs` exercises explicit source stacks for both runtimes. It requires:
+
+- Claude permission lists to combine while managed/session/local/project/user scalar precedence is preserved
+- project or local Claude sources not to activate `auto` or `bypassPermissions` default modes
+- Codex system/managed/user/profile/project/CLI precedence and closest-project ordering
+- invalid lower-precedence input to fail even when a higher source would replace the setting
+- schema-v2 snapshots to retain only fixed scope counts and to require review when source topology changes
+- source paths, rules, domains, commands, writable paths, environment names, and values to remain absent
+
 ## What this does not measure
 
-This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. It does not merge every Claude or Codex settings scope, inspect session command-line overrides, or prove that the reported sandbox is active. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
+This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. The stack cases merge only sources explicitly supplied to the test; they do not discover active settings, requirements, environment overrides, or server-managed policy, and they do not prove that the reported sandbox is active. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
 
 The small fixture set is a regression baseline, not a statistical claim about detection accuracy. False-positive and false-negative rates require a larger, independently reviewed corpus of redacted real-world configurations.

package/docs/ROADMAP.ko.md

@@ -6,10 +6,19 @@
 
 TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴리스를 약속하지 않습니다.
 
+## 진행 상황
+
+- TrustDex 0.6.0은 Claude Code와 Codex 권한의 안전한 실패 검사를 추가했습니다.
+- TrustDex 0.7.0은 값이 제거되고 자체 일관성을 검증하는 권한 상태 스냅샷,
+  자율성 확대 검토 게이트, 버전 지정 JSON 스키마 및 공개 적대적 권한 픽스처를
+  추가합니다.
+- TrustDex 0.8.0은 문서화된 Claude Code 및 Codex 우선순위를 위한 명시적 병합 소스
+  검사, 스키마 v2 소스 구성 증거 및 안전하게 실패하는 스택 테스트를 추가합니다.
+
 ## 현재: 경계 강화
 
 - MCP JSON, Codex TOML, 스킬 및 플러그인 매니페스트의 적대적 픽스처 확장
-- Claude Code와 Codex 모두의 적대적 권한 픽스처 확장
+- Claude Code와 Codex 모두의 적대적 권한 픽스처를 계속 확장
 - 사람이 읽을 수 있는 모든 출력에 비밀 값이 계속 포함되지 않는지 검증
 - 크로스 플랫폼 소스 및 경로 정규화 개선
 - 안정적인 정책 및 스냅샷 스키마 규칙 문서화
@@ -17,11 +26,10 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
 
 ## 다음: 에이전트 행동 경계를 검토 가능하게 만들기
 
-- 명령, 경로, 도메인 또는 자격 증명 값을 보관하지 않고 병합된 설정 소스 검사
-- 시간에 따른 권한 상태를 비교하고 에이전트 자율성이 넓어지면 재검토 요구
 - 승인된 도구 출처와 해당 도구에 부여된 행동 권한 연결
-- 오케스트레이터와 CI용 기계 판독 가능 결정 출력 정의
+- 버전이 지정된 권한 상태 JSON 스키마를 추가 결정 및 런타임으로 확장
 - 권고형 설정 검사가 런타임 및 운영체제 샌드박스와 결합되는 방식 문서화
+- 비공개 파일을 조용히 찾지 않으면서 런타임이 생성한 실제 설정 증거 추가
 
 ## 그다음: 무결성 증명
 

package/docs/ROADMAP.md

@@ -6,10 +6,19 @@
 
 TrustDex is early-stage. This roadmap communicates direction and is not a release commitment.
 
+## Progress
+
+- TrustDex 0.6.0 added fail-closed Claude Code and Codex permission inspection.
+- TrustDex 0.7.0 adds value-free, self-validating permission posture snapshots,
+  autonomy-expansion review gates, versioned JSON schemas, and public adversarial
+  permission fixtures.
+- TrustDex 0.8.0 adds explicit merged-source inspection for documented Claude Code
+  and Codex precedence, schema-v2 source topology evidence, and fail-closed stack tests.
+
 ## Now: harden the boundary
 
 - expand adversarial fixtures for MCP JSON, Codex TOML, skills, and plugin manifests
-- expand adversarial permission fixtures for both Claude Code and Codex
+- keep expanding adversarial permission fixtures for both Claude Code and Codex
 - verify that all human-readable output remains free of secret values
 - improve cross-platform source and path normalization
 - document stable policy and snapshot schema rules
@@ -17,11 +26,10 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
 
 ## Next: make agent action boundaries reviewable
 
-- inspect merged settings sources without retaining commands, paths, domains, or credential values
-- compare permission posture over time and require review when agent autonomy expands
 - connect approved tool provenance to the action permissions granted to that tool
-- define machine-readable decision output for orchestrators and CI
+- extend the versioned permission-posture JSON schemas to additional decisions and runtimes
 - document how advisory settings checks compose with runtime and operating-system sandboxes
+- add runtime-produced effective-setting evidence without silently discovering private files
 
 ## Then: prove integrity
 

package/docs/SECURITY_RESEARCH.ko.md

@@ -19,6 +19,7 @@ TrustDex는 AI 에이전트가 서드파티 도구에 접근하기 전에 내리
 - 지원하지 않는 구문에서 안전하게 실패해야 하는 파서 동작
 - Claude Code 권한 설정의 자동 행동 권한
 - Codex 샌드박스, 승인, 네트워크, 쓰기 가능 루트, 웹 검색 및 서브에이전트 설정
+- 구조적 권한 상태 드리프트 및 에이전트 자율성 확대 시 재검토
 
 의도한 결과물은 재현 가능한 픽스처, 회귀 테스트, 문서화된 제한 사항 및 에이전트 개발자와 운영자를 위한 실용적인 완화책입니다.
 
@@ -61,6 +62,7 @@ TrustDex 연구는 관련 없는 공개 시스템을 테스트할 권한을 부
 - [적대적 MCP 픽스처](../examples/adversarial/README.ko.md)
 - [Claude Code 권한 픽스처](../examples/claude.settings.json)
 - [Codex 권한 픽스처](../examples/codex.permissions.toml)
+- [적대적 Claude 및 Codex 권한 상태 픽스처](../examples/adversarial/permissions/README.ko.md)
 - [평가 기록](EVALUATION.ko.md)
 - [방어적 AI 에이전트 보안 사용 사례](DEFENSIVE_USE_CASE.ko.md)
 - [위협 모델](THREAT_MODEL.ko.md)

package/docs/SECURITY_RESEARCH.md

@@ -19,6 +19,7 @@ The research asks whether observable configuration, provenance, integrity, and c
 - parser behavior that must fail closed on unsupported syntax
 - automatic action grants in Claude Code permission settings
 - Codex sandbox, approval, network, writable-root, web-search, and subagent settings
+- structural permission posture drift and review when agent autonomy expands
 
 The intended outputs are reproducible fixtures, regression tests, documented limitations, and practical mitigations for agent developers and operators.
 
@@ -61,6 +62,7 @@ Public reports must remove credentials, private endpoints, proprietary prompts,
 - [Adversarial MCP fixtures](../examples/adversarial/README.md)
 - [Claude Code permission fixture](../examples/claude.settings.json)
 - [Codex permission fixture](../examples/codex.permissions.toml)
+- [Adversarial Claude and Codex permission posture fixtures](../examples/adversarial/permissions/README.md)
 - [Evaluation record](EVALUATION.md)
 - [Defensive AI-agent security use case](DEFENSIVE_USE_CASE.md)
 - [Threat model](THREAT_MODEL.md)

package/docs/THREAT_MODEL.ko.md

@@ -22,6 +22,8 @@ TrustDex는 하나의 좁은 질문을 다룹니다.
 - 광범위한 셸, 파일 시스템, 네트워크, MCP 또는 서브에이전트 작업을 조용히 자동 승인하는 Claude Code 권한 규칙
 - 샌드박스를 제거하거나 승인을 생략하거나 네트워크 접근 또는 쓰기 가능 루트를 추가하는 Codex 설정
 - 명시적인 검토 없이 변경되는 행동 권한 설정
+- 값이 제거된 구조적 기준 상태보다 확대되는 Claude 또는 Codex 권한 상태
+- 명시적으로 전달된 Claude 또는 Codex 설정 소스 사이의 우선순위 변경
 
 ## 신뢰 경계
 
@@ -44,8 +46,10 @@ TrustDex는 익숙한 프로젝트 이름, 스타 수, 패키지 이름 또는
 - 로컬 신뢰 저장소 주장만으로 게시자 소유권을 독립적으로 증명
 - 완전히 침해된 호스트 보호
 - 도난당한 서명 비공개 키로부터 보호
-- 모든 사용자, 프로젝트, 프로필, 관리형, 시스템, 환경 및 명령줄 소스를 병합한 실제 설정 계산
+- 모든 활성 설정 소스, 프로필, 환경 변수 재정의, 요구사항 또는 서버 전달 정책의 자동 탐색
+- 명시적으로 병합한 설정 투영이 런타임에서 활성화된 정책임을 증명하는 것
 - Claude Code 또는 Codex 행동 권한의 런타임 강제 적용
+- 서명되지 않은 권한 상태 스냅샷 작성자의 인증
 
 ## 중요한 실패 모드
 

package/docs/THREAT_MODEL.md

@@ -22,6 +22,8 @@ TrustDex addresses one narrow question:
 - Claude Code permission rules that silently auto-approve broad shell, filesystem, network, MCP, or subagent actions
 - Codex configurations that remove the sandbox, suppress approvals, enable network access, or add writable roots
 - action-permission settings changing without an explicit review
+- Claude or Codex permission posture expanding relative to a value-free structural baseline
+- precedence changes across explicitly supplied Claude or Codex settings sources
 
 ## Trust boundaries
 
@@ -44,8 +46,10 @@ TrustDex does **not** treat a familiar project name, star count, package name, o
 - independently proving publisher ownership from a local trust-store claim
 - protecting a fully compromised host
 - protecting a stolen signing private key
-- calculating the effective configuration after every user, project, profile, managed, system, environment, and command-line source is merged
+- automatically discovering every active settings source, profile, environment override, requirement, or server-delivered policy
+- proving that the explicitly merged settings projection is the policy active at runtime
 - enforcing Claude Code or Codex action permissions at runtime
+- authenticating the author of an unsigned permission posture snapshot
 
 ## Important failure mode
 

package/examples/adversarial/permissions/README.ko.md

@@ -0,0 +1,15 @@
+# 적대적 권한 상태 픽스처
+
+이 픽스처는 Claude Code와 Codex의 제한적인 기준 상태와 이후의 자율성 확대를
+모델링합니다. 모든 자격 증명, 명령 인수, 경로 및 호스트명은 비활성 테스트
+데이터입니다. `.invalid` 호스트명은 공개 인터넷에서 해석될 수 없습니다.
+
+평가는 다음을 검증합니다.
+
+- 제한적 설정도 안전 인증으로 표현하지 않고 검토 가능한 상태로 유지
+- 자동 셸, 네트워크, 파일 시스템 및 서브에이전트 권한 확대 감지
+- 권한 상태 비교가 `needs-review`를 반환
+- 검사, 스냅샷 또는 차이 출력에 설정 값과 경로 값이 나타나지 않음
+
+이 픽스처는 외부 시스템에 대한 보안 테스트를 허가하지 않으며 실제 사용자
+설정을 재현하지 않습니다.

package/examples/adversarial/permissions/README.md

@@ -0,0 +1,15 @@
+# Adversarial permission posture fixtures
+
+These fixtures model a restrictive baseline and a later autonomy expansion for
+Claude Code and Codex. Every credential, command argument, path, and hostname is
+inert test data. The `.invalid` hostname cannot resolve on the public Internet.
+
+The evaluation asserts that:
+
+- restrictive settings remain reviewable without being described as certified safe
+- automatic shell, network, filesystem, and subagent expansion is detected
+- permission posture comparison returns `needs-review`
+- settings values and path values never appear in inspection, snapshot, or diff output
+
+The fixtures do not authorize security testing against any external system and do
+not reproduce a real user configuration.

package/examples/adversarial/permissions/claude-expanded.settings.json

@@ -0,0 +1,30 @@
+{
+  "permissions": {
+    "allow": [
+      "Bash(reviewer --token INERT_CLAUDE_PERMISSION_SECRET)",
+      "WebFetch(domain:research.invalid)",
+      "Agent(Explore)",
+      "mcp__reviewed__*"
+    ],
+    "defaultMode": "auto",
+    "additionalDirectories": [
+      "../INERT_CLAUDE_PERMISSION_PATH"
+    ],
+    "blockReadsOutsideWorkingDirectories": false
+  },
+  "env": {
+    "API_TOKEN": "INERT_CLAUDE_PERMISSION_SECRET"
+  },
+  "hooks": {
+    "PreToolUse": [
+      {
+        "hooks": [
+          {
+            "type": "command",
+            "command": "printf INERT_CLAUDE_HOOK_SECRET"
+          }
+        ]
+      }
+    ]
+  }
+}

package/examples/adversarial/permissions/claude-restrictive.settings.json

@@ -0,0 +1,16 @@
+{
+  "permissions": {
+    "ask": [
+      "Bash(git status)",
+      "Agent(Explore)"
+    ],
+    "deny": [
+      "WebFetch",
+      "mcp__unreviewed__*"
+    ],
+    "defaultMode": "plan",
+    "disableBypassPermissionsMode": "disable",
+    "disableAutoMode": "disable",
+    "blockReadsOutsideWorkingDirectories": true
+  }
+}

package/examples/adversarial/permissions/codex-expanded.toml

@@ -0,0 +1,13 @@
+approval_policy = "never"
+approvals_reviewer = "auto_review"
+sandbox_mode = "danger-full-access"
+web_search = "live"
+
+[sandbox_workspace_write]
+network_access = true
+writable_roots = ["../INERT_CODEX_PERMISSION_PATH"]
+exclude_slash_tmp = false
+exclude_tmpdir_env_var = false
+
+[agents]
+enabled = true