trustdex 0.7.0 → 0.9.0

package/README.ko.md

@@ -70,6 +70,7 @@ TrustDex는 이름, 스타 수 또는 브랜딩만으로 "공식" 여부를 추
 - 지원하지 않는 Codex MCP 키와 하위 섹션을 발견하면 안전하게 실패
 - 사용자가 제공한 패키지 바이트를 npm SRI 또는 MCP Registry SHA-256 메타데이터와 대조해 검증
 - 무결성 기반 신뢰 증거를 설정된 패키지 버전에 연결하고 불일치 차단
+- 각 Claude/Codex MCP 소스의 결정·출처 상태를 도구 이름이나 규칙 값 없이 자동 도구 권한과 연결
 
 ## 호환성
 
@@ -82,8 +83,8 @@ Node.js 20 이상이 필요합니다.
 npm에서 직접 실행:
 
 ```bash
-npx trustdex@0.7.0 --help
-npx trustdex@0.7.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
+npx trustdex@0.9.0 --help
+npx trustdex@0.9.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
 ```
 
 또는 소스 체크아웃에서 작업:
@@ -179,7 +180,17 @@ node ./bin/trustdex.mjs inspect-codex-settings \
   --pack strict
 ```
 
-이 명령은 승인 정책, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 보고합니다. 쓰기 가능 경로나 관련 없는 설정의 값은 보관하지 않으며, 모든 설정 범위를 하나의 실제 런타임 정책으로 병합하지 않습니다.
+이 명령은 승인 정책, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 보고합니다. 쓰기 가능 경로나 관련 없는 설정의 값은 보관하지 않습니다. 문서화된 병합 우선순위를 검사하려면 활성 소스를 명시적으로 제공하세요. `--project`는 저장소 루트에서 현재 디렉터리 방향으로 반복합니다.
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict
+```
 
 단계별 게이트 워크플로와 이 프로젝트가 자체 검토 과정에서 Codex를 사용하는 방법은 [Codex에서 TrustDex 사용하기](docs/CODEX.ko.md)를 참고하세요.
 
@@ -193,7 +204,7 @@ node ./bin/trustdex.mjs gate-claude ./.mcp.json --pack strict --out .trustdex/cl
 claude --strict-mcp-config --mcp-config .trustdex/claude-mcp.json
 ```
 
-Claude를 시작하기 전에 게이트의 결과를 확인하세요. 기본적으로 `ALLOW` 항목만 노출되며, `ASK` 항목에는 검토가 필요합니다. 어댑터는 검사할 수 없는 설정을 조용히 신뢰하지 않고 거부합니다. 이 명령은 npm 0.5.0 이상과 소스 체크아웃에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.7.0`을 사용하세요.
+Claude를 시작하기 전에 게이트의 결과를 확인하세요. 기본적으로 `ALLOW` 항목만 노출되며, `ASK` 항목에는 검토가 필요합니다. 어댑터는 검사할 수 없는 설정을 조용히 신뢰하지 않고 거부합니다. 이 명령은 npm 0.5.0 이상과 소스 체크아웃에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.9.0`을 사용하세요.
 
 지원되는 설정, PowerShell 오류 처리, 서명된 검토 및 Claude Desktop 워크플로는 [Claude에서 TrustDex 사용하기](docs/CLAUDE.ko.md)를 참고하세요.
 
@@ -205,7 +216,19 @@ node ./bin/trustdex.mjs inspect-claude-settings \
   --pack strict
 ```
 
-이 명령은 구조적인 기능 증거만 보고합니다. 권한 지정자, 디렉터리 값, 훅 명령, 도메인, 자격 증명 도우미 값 또는 환경 값을 출력하거나 지문에 포함하지 않습니다. 이는 정적 검토 도구이며 설정 병합기나 런타임 샌드박스가 아닙니다.
+이 명령은 구조적인 기능 증거만 보고합니다. 권한 지정자, 디렉터리 값, 훅 명령, 도메인, 자격 증명 도우미 값 또는 환경 값을 출력하거나 지문에 포함하지 않습니다. 문서화된 파일 우선순위와 목록 병합을 계산하려면 소스를 명시적으로 제공하세요.
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict
+```
+
+스택 검사는 여전히 정적 검토 도구이며 런타임 샌드박스가 아닙니다. 파일, 환경 변수 재정의 또는 조직 정책을 자동으로 찾지 않으며, 전달된 소스만 평가합니다.
 
 ## 권한 상태 드리프트
 
@@ -223,6 +246,13 @@ node ./bin/trustdex.mjs snapshot-codex-settings \
   --pack strict \
   --out .trustdex/codex-posture.json
 
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-posture.json \
   .trustdex/current-posture.json \
@@ -240,9 +270,42 @@ node ./bin/trustdex.mjs diff-permissions \
 기계 소비자는 `--json` 출력을
 [`schemas/permission-posture-v1.schema.json`](schemas/permission-posture-v1.schema.json)과
 [`schemas/permission-posture-diff-v1.schema.json`](schemas/permission-posture-diff-v1.schema.json)으로
-검증할 수 있습니다. 스키마가 바뀌면 새로운 정수 `schemaVersion`을 사용하며 기존
+검증할 수 있습니다. 병합 소스 스냅샷과 차이는
+[`schemas/permission-posture-v2.schema.json`](schemas/permission-posture-v2.schema.json)과
+[`schemas/permission-posture-diff-v2.schema.json`](schemas/permission-posture-diff-v2.schema.json)을
+사용합니다. 스키마가 바뀌면 새로운 정수 `schemaVersion`을 사용하며 기존
 필드의 의미를 조용히 바꾸지 않습니다.
 
+## 도구 출처와 자동 권한 연결
+
+MCP 소스와 해당 소스에 부여된 자동 권한을 하나의 값 없는 기록으로 검토합니다.
+
+```bash
+node ./bin/trustdex.mjs snapshot-claude-bindings ./.mcp.json \
+  --settings ./.claude/settings.json \
+  --trust-store ./trust-store.json \
+  --out .trustdex/claude-bindings.json
+
+node ./bin/trustdex.mjs snapshot-codex-bindings ~/.codex/config.toml \
+  --trust-store ./trust-store.json \
+  --out .trustdex/codex-bindings.json
+
+node ./bin/trustdex.mjs diff-bindings \
+  .trustdex/approved-bindings.json \
+  .trustdex/current-bindings.json \
+  --json
+```
+
+Claude에서는 `--settings` 대신 스택 소스 플래그를 사용할 수 있습니다. 범위가
+제한된 권한은 MCP 소스가 `ALLOW`일 때만 `bound`가 될 수 있습니다. 와일드카드/전체
+도구 권한, ASK 소스, 출처 변경, 일치하지 않는 규칙 및 모호한 서버 이름 일치는
+재검토 또는 차단 대상입니다. Codex의 `default_tools_approval_mode = "approve"`는
+전체 도구 권한으로 취급합니다. 보고서는 서버 이름과 구조적 개수만 보관하고
+엔드포인트 경로, 권한 지정자 및 도구 이름은 제외합니다.
+[`schemas/tool-permission-bindings-v1.schema.json`](schemas/tool-permission-bindings-v1.schema.json)과
+[`schemas/tool-permission-bindings-diff-v1.schema.json`](schemas/tool-permission-bindings-diff-v1.schema.json)으로
+검증할 수 있습니다. 이는 검토 증거이며 런타임 권한 강제 기능이 아닙니다.
+
 ## 온라인 출처 관찰
 
 일반 검사는 계속 로컬에서만 수행됩니다. 다음 명령은 명시적으로 실행할 때만 네트워크 조회를 수행합니다.
@@ -388,7 +451,7 @@ node ./bin/trustdex.mjs verify .trustdex/trust-record.json \
 ```yaml
 - uses: actions/checkout@v4
 
-- uses: grigent/trustdex@v0.7.0
+- uses: grigent/trustdex@v0.9.0
   with:
     config: ./mcp.json
     pack: official-first
@@ -410,7 +473,7 @@ node ./bin/trustdex.mjs verify .trustdex/trust-record.json \
 
 ## 로드맵
 
-공개 로드맵은 [docs/ROADMAP.ko.md](docs/ROADMAP.ko.md)에서 관리합니다. 단기 작업은 레지스트리 무결성 검증, 재현 가능한 릴리스, 추가 에이전트 런타임 어댑터 및 실제 파일럿 피드백에 중점을 둡니다. 로드맵 항목은 계획이며 약속이 아닙니다.
+공개 로드맵은 [docs/ROADMAP.ko.md](docs/ROADMAP.ko.md)에서 관리합니다. 단기 작업은 실제 런타임 증거, 추가 에이전트 런타임 어댑터, 재현 가능한 통제 및 실제 파일럿 피드백에 중점을 둡니다. 로드맵 항목은 계획이며 약속이 아닙니다.
 
 ## 보안
 

package/README.md

@@ -70,6 +70,7 @@ TrustDex deliberately does not infer "official" status from names, stars, or bra
 - fail closed on unsupported Codex MCP keys and subsections
 - verify user-supplied package bytes against npm SRI or MCP Registry SHA-256 metadata
 - bind integrity-backed trust evidence to the configured package version and block mismatches
+- bind each Claude/Codex MCP source decision and provenance state to its automatic tool grant without retaining tool names or rule values
 
 ## Compatibility
 
@@ -82,8 +83,8 @@ Requires Node.js 20+.
 Run directly from npm:
 
 ```bash
-npx trustdex@0.7.0 --help
-npx trustdex@0.7.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
+npx trustdex@0.9.0 --help
+npx trustdex@0.9.0 inspect ./mcp.json --pack strict --policy ./trustdex.policy.json
 ```
 
 Or work from a source checkout:
@@ -181,8 +182,19 @@ node ./bin/trustdex.mjs inspect-codex-settings \
 
 This reports approval policy, sandbox class, network access, additional writable-root
 count, web-search mode, and explicit subagent enablement. It does not retain writable
-paths or values from unrelated settings, and it does not merge every configuration
-scope into an effective runtime policy.
+paths or values from unrelated settings. To inspect the documented merged precedence,
+provide each active source explicitly; repeat `--project` from repository root toward
+the current directory:
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict
+```
 
 See [Using TrustDex with Codex](docs/CODEX.md) for a step-by-step gating workflow and for how this project uses Codex in its own review process.
 
@@ -201,7 +213,7 @@ claude --strict-mcp-config --mcp-config .trustdex/claude-mcp.json
 Check the gate's result before starting Claude. Only `ALLOW` entries are exposed by
 default; `ASK` entries require review. The adapter rejects settings it cannot
 inspect instead of silently trusting them. These commands are available in npm 0.5.0 and later, and from a source checkout.
-Use `npx trustdex@0.7.0` in place of `node ./bin/trustdex.mjs` to run the published CLI.
+Use `npx trustdex@0.9.0` in place of `node ./bin/trustdex.mjs` to run the published CLI.
 
 See [Using TrustDex with Claude](docs/CLAUDE.md) for supported settings, PowerShell
 error handling, signed review, and the Claude Desktop workflow.
@@ -217,7 +229,22 @@ node ./bin/trustdex.mjs inspect-claude-settings \
 
 The command reports structural capability evidence only. It does not print or fingerprint
 permission specifiers, directory values, hook commands, domains, credential-helper values,
-or environment values. It is a static review aid, not a settings merger or runtime sandbox.
+or environment values. To calculate the documented file precedence and list merging, pass
+the sources explicitly:
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict
+```
+
+The stack inspector remains a static review aid, not a runtime sandbox. It does not discover
+files, environment overrides, or organization policy automatically; only supplied sources
+are evaluated.
 
 ## Permission posture drift
 
@@ -235,6 +262,13 @@ node ./bin/trustdex.mjs snapshot-codex-settings \
   --pack strict \
   --out .trustdex/codex-posture.json
 
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-posture.json \
   .trustdex/current-posture.json \
@@ -253,8 +287,41 @@ enforcement.
 Machine consumers can validate `--json` output against
 [`schemas/permission-posture-v1.schema.json`](schemas/permission-posture-v1.schema.json)
 and [`schemas/permission-posture-diff-v1.schema.json`](schemas/permission-posture-diff-v1.schema.json).
+Merged-source snapshots and their diffs use
+[`schemas/permission-posture-v2.schema.json`](schemas/permission-posture-v2.schema.json)
+and [`schemas/permission-posture-diff-v2.schema.json`](schemas/permission-posture-diff-v2.schema.json).
 Schema changes require a new integer `schemaVersion`; fields are not silently repurposed.
 
+## Tool provenance and automatic permission bindings
+
+Review an MCP source and the automatic permission granted to it as one value-free record:
+
+```bash
+node ./bin/trustdex.mjs snapshot-claude-bindings ./.mcp.json \
+  --settings ./.claude/settings.json \
+  --trust-store ./trust-store.json \
+  --out .trustdex/claude-bindings.json
+
+node ./bin/trustdex.mjs snapshot-codex-bindings ~/.codex/config.toml \
+  --trust-store ./trust-store.json \
+  --out .trustdex/codex-bindings.json
+
+node ./bin/trustdex.mjs diff-bindings \
+  .trustdex/approved-bindings.json \
+  .trustdex/current-bindings.json \
+  --json
+```
+
+Claude stack source flags can replace `--settings`. A scoped grant can be `bound` only
+when its MCP source is `ALLOW`; wildcard/all-tool grants, ASK sources, changed
+provenance, unmatched rules, and ambiguous server-name matches require review or are
+blocked. Codex `default_tools_approval_mode = "approve"` is treated as an all-tool
+grant. Reports retain server names and structural counts, but omit endpoint paths,
+permission specifiers, and tool names. Validate them with
+[`schemas/tool-permission-bindings-v1.schema.json`](schemas/tool-permission-bindings-v1.schema.json)
+and [`schemas/tool-permission-bindings-diff-v1.schema.json`](schemas/tool-permission-bindings-diff-v1.schema.json).
+This is review evidence, not runtime permission enforcement.
+
 ## Online provenance observations
 
 Normal inspection remains local-only. These commands perform an explicit network lookup only when invoked:
@@ -400,7 +467,7 @@ The private key should never be committed.
 ```yaml
 - uses: actions/checkout@v4
 
-- uses: grigent/trustdex@v0.7.0
+- uses: grigent/trustdex@v0.9.0
   with:
     config: ./mcp.json
     pack: official-first
@@ -422,7 +489,7 @@ For production CI, pin the action to a reviewed commit SHA rather than a moving
 
 ## Roadmap
 
-The public roadmap is maintained in [docs/ROADMAP.md](docs/ROADMAP.md). Near-term work focuses on registry integrity verification, reproducible releases, additional agent-runtime adapters, and real-world pilot feedback. Roadmap items are intentions, not promises.
+The public roadmap is maintained in [docs/ROADMAP.md](docs/ROADMAP.md). Near-term work focuses on effective-runtime evidence, additional agent-runtime adapters, reproducible controls, and real-world pilot feedback. Roadmap items are intentions, not promises.
 
 ## Security
 

package/bin/trustdex.mjs

@@ -6,9 +6,13 @@ import process from 'node:process';
 
 import { inspectMcpConfig } from '../src/inspect.mjs';
 import { parseCodexMcpToml, gateCodexToml } from '../src/codex-config.mjs';
-import { inspectCodexSettingsText } from '../src/codex-settings.mjs';
+import { inspectCodexSettingsStack, inspectCodexSettingsText } from '../src/codex-settings.mjs';
 import { parseClaudeMcpConfig } from '../src/claude-config.mjs';
-import { inspectClaudeSettings } from '../src/claude-settings.mjs';
+import {
+  inspectClaudeMcpPermissionBindings,
+  inspectClaudeSettings,
+  inspectClaudeSettingsStack
+} from '../src/claude-settings.mjs';
 import { inspectSkillText, inspectPluginManifest } from '../src/extensions.mjs';
 import { evaluateAll } from '../src/policy.mjs';
 import { getPolicyPack, mergePolicy } from '../src/policy-packs.mjs';
@@ -27,6 +31,11 @@ import {
   createPermissionPostureSnapshot,
   diffPermissionPostureSnapshots
 } from '../src/posture.mjs';
+import {
+  codexAutomaticGrantProjection,
+  createToolPermissionBindingSnapshot,
+  diffToolPermissionBindingSnapshots
+} from '../src/bindings.mjs';
 import { gateMcpConfig } from '../src/gate.mjs';
 import { assessReview } from '../src/review.mjs';
 import {
@@ -51,6 +60,9 @@ Usage:
       [--trust-store trust-store.json] [--json]
   trustdex inspect-codex-settings <config.toml> [--pack ...] [--policy policy.json] [--json]
   trustdex snapshot-codex-settings <config.toml> --out posture.json [--pack ...]
+  trustdex inspect-codex-settings-stack [--system file] [--managed file] [--user file]
+      [--profile file] [--project file ...] [--cli file] [--json]
+  trustdex snapshot-codex-settings-stack [same source flags] --out posture.json
 
   trustdex gate <mcp.json> --out gated.json [--pack ...] [--policy policy.json]
       [--trust-store trust-store.json] [--include-ask] [--json]
@@ -60,6 +72,13 @@ Usage:
   trustdex inspect-claude <.mcp.json> [--pack ...] [--policy policy.json] [--json]
   trustdex inspect-claude-settings <settings.json> [--pack ...] [--policy policy.json] [--json]
   trustdex snapshot-claude-settings <settings.json> --out posture.json [--pack ...]
+  trustdex inspect-claude-settings-stack [--user file] [--project file] [--local file]
+      [--session file] [--managed file] [--json]
+  trustdex snapshot-claude-settings-stack [same source flags] --out posture.json
+  trustdex snapshot-claude-bindings <.mcp.json> --settings file --out bindings.json
+      [--trust-store trust-store.json] [--pack ...]
+  trustdex snapshot-claude-bindings <.mcp.json> [Claude stack source flags]
+      --out bindings.json [--trust-store trust-store.json] [--pack ...]
   trustdex gate-claude <.mcp.json> --out gated.json [--pack ...] [--policy policy.json]
   trustdex snapshot-claude <.mcp.json> --out snapshot.json [--pack ...]
   trustdex approve-claude <.mcp.json> --private key.pem --dir review [--pack ...]
@@ -86,6 +105,9 @@ Usage:
 
   trustdex diff <before.json> <after.json> [--json]
   trustdex diff-permissions <before.json> <after.json> [--json]
+  trustdex snapshot-codex-bindings <config.toml> --out bindings.json
+      [--trust-store trust-store.json] [--pack ...]
+  trustdex diff-bindings <before.json> <after.json> [--json]
   trustdex policy <strict|official-first|development>
 
   trustdex keygen --private trustdex-private.pem --public trustdex-public.pem
@@ -122,6 +144,17 @@ function getFlag(args, name) {
   return index >= 0 ? args[index + 1] : null;
 }
 
+function getFlags(args, name) {
+  const values = [];
+  for (let index = 0; index < args.length; index += 1) {
+    if (args[index] !== name) continue;
+    const value = args[index + 1];
+    if (!value || value.startsWith('--')) throw new Error(`${name} requires a file path.`);
+    values.push(value);
+  }
+  return values;
+}
+
 function hasFlag(args, name) {
   return args.includes(name);
 }
@@ -164,8 +197,8 @@ function setInspectExitCode(results) {
   else if (results.some((result) => result.action === 'ask')) process.exitCode = 1;
 }
 
-async function evaluateMcp(configPath, args) {
-  const isClaude = args[0].endsWith('-claude');
+async function evaluateMcp(configPath, args, options = {}) {
+  const isClaude = options.claude === true || args[0].endsWith('-claude');
   let config;
   try { config = await readJson(configPath); } catch (error) {
     if (isClaude && error instanceof SyntaxError) throw new Error('Invalid Claude MCP JSON.');
@@ -225,6 +258,68 @@ async function evaluateCodexSettings(configPath, args) {
   return { policy, result };
 }
 
+async function evaluateClaudeSettingsStack(args) {
+  const layers = [];
+  for (const scope of ['user', 'project', 'local', 'session', 'managed']) {
+    for (const file of getFlags(args, `--${scope}`)) {
+      let settings;
+      try { settings = await readJson(file); } catch (error) {
+        if (error instanceof SyntaxError) throw new Error(`Invalid Claude ${scope} settings JSON.`);
+        throw error;
+      }
+      layers.push({ scope, settings });
+    }
+  }
+  if (!layers.length) throw new Error('Claude settings stack requires at least one source flag.');
+  const policy = await loadPolicy(args);
+  const [result] = evaluateAll([inspectClaudeSettingsStack(layers)], policy);
+  return { policy, result };
+}
+
+async function evaluateCodexSettingsStack(args) {
+  const layers = [];
+  for (const scope of ['system', 'managed', 'user', 'profile', 'project', 'cli']) {
+    for (const file of getFlags(args, `--${scope}`)) {
+      layers.push({ scope, text: await fs.readFile(file, 'utf8') });
+    }
+  }
+  if (!layers.length) throw new Error('Codex settings stack requires at least one source flag.');
+  const policy = await loadPolicy(args);
+  const [result] = evaluateAll([inspectCodexSettingsStack(layers)], policy);
+  return { policy, result };
+}
+
+async function loadClaudeBindingLayers(args) {
+  const single = getFlags(args, '--settings');
+  const stackScopes = ['user', 'project', 'local', 'session', 'managed'];
+  const hasStack = stackScopes.some((scope) => getFlags(args, `--${scope}`).length);
+  if (single.length > 1 || (single.length && hasStack)) {
+    throw new Error('Claude bindings accept one --settings file or stack source flags, not both.');
+  }
+  if (single.length) {
+    let settings;
+    try { settings = await readJson(single[0]); } catch (error) {
+      if (error instanceof SyntaxError) throw new Error('Invalid Claude settings JSON.');
+      throw error;
+    }
+    return [{ scope: 'session', settings }];
+  }
+
+  const layers = [];
+  for (const scope of stackScopes) {
+    for (const file of getFlags(args, `--${scope}`)) {
+      let settings;
+      try { settings = await readJson(file); } catch (error) {
+        if (error instanceof SyntaxError) throw new Error(`Invalid Claude ${scope} settings JSON.`);
+        throw error;
+      }
+      layers.push({ scope, settings });
+    }
+  }
+  if (!layers.length) throw new Error('Claude bindings require --settings or stack source flags.');
+  return layers;
+}
+
 function printObservation(observation, asJson) {
   if (asJson) {
     console.log(JSON.stringify(observation, null, 2));
@@ -268,6 +363,23 @@ function printPermissionPostureDiff(diff) {
   }
 }
 
+function printBindingDiff(diff) {
+  if (diff.status === 'unchanged') {
+    console.log('UNCHANGED: tool permission bindings match the baseline.');
+    return;
+  }
+  console.log(diff.status === 'restricted'
+    ? 'RESTRICTED: automatic tool permissions became more restrictive.'
+    : 'NEEDS_REVIEW: tool provenance or automatic permissions changed.');
+  for (const change of diff.changes) {
+    const subject = change.name ? `${change.name}.` : '';
+    const details = change.before !== null || change.after !== null
+      ? ` (${String(change.before)} -> ${String(change.after)})`
+      : '';
+    console.log(`${change.impact.toUpperCase()} ${change.type}: ${subject}${change.field}${details}`);
+  }
+}
+
 async function main() {
   const args = process.argv.slice(2);
   const command = args[0];
@@ -320,6 +432,13 @@ async function main() {
     return;
   }
 
+  if (command === 'inspect-claude-settings-stack') {
+    const { result } = await evaluateClaudeSettingsStack(args);
+    printResults([result], hasFlag(args, '--json'));
+    setInspectExitCode([result]);
+    return;
+  }
+
   if (command === 'inspect-codex') {
     const configPath = args[1];
     if (!configPath) throw new Error('inspect-codex requires a path to Codex config.toml.');
@@ -338,21 +457,79 @@ async function main() {
     return;
   }
 
-  if (command === 'snapshot-claude-settings' || command === 'snapshot-codex-settings') {
-    const configPath = args[1];
+  if (command === 'inspect-codex-settings-stack') {
+    const { result } = await evaluateCodexSettingsStack(args);
+    printResults([result], hasFlag(args, '--json'));
+    setInspectExitCode([result]);
+    return;
+  }
+
+  if (['snapshot-claude-settings', 'snapshot-codex-settings',
+    'snapshot-claude-settings-stack', 'snapshot-codex-settings-stack'].includes(command)) {
+    const isStack = command.endsWith('-stack');
+    const configPath = isStack ? null : args[1];
     const out = getFlag(args, '--out');
-    if (!configPath || !out) {
-      throw new Error(`${command} requires a settings path and --out <posture.json>.`);
+    if ((!isStack && !configPath) || !out) {
+      throw new Error(isStack
+        ? `${command} requires source flags and --out <posture.json>.`
+        : `${command} requires a settings path and --out <posture.json>.`);
     }
-    const { policy, result } = command === 'snapshot-claude-settings'
-      ? await evaluateClaudeSettings(configPath, args)
-      : await evaluateCodexSettings(configPath, args);
+    let evaluated;
+    if (command === 'snapshot-claude-settings') evaluated = await evaluateClaudeSettings(configPath, args);
+    else if (command === 'snapshot-codex-settings') evaluated = await evaluateCodexSettings(configPath, args);
+    else if (command === 'snapshot-claude-settings-stack') evaluated = await evaluateClaudeSettingsStack(args);
+    else evaluated = await evaluateCodexSettingsStack(args);
+    const { policy, result } = evaluated;
     const snapshot = createPermissionPostureSnapshot(result, policy);
     await writeFileSafe(out, `${JSON.stringify(snapshot, null, 2)}\n`);
     console.log(`Wrote ${out}\nDigest: ${snapshot.digest}`);
     return;
   }
 
+  if (command === 'snapshot-claude-bindings') {
+    const configPath = args[1];
+    const out = getFlag(args, '--out');
+    if (!configPath || !out) {
+      throw new Error('snapshot-claude-bindings requires <.mcp.json>, settings sources, and --out <bindings.json>.');
+    }
+    const { policy, store, results } = await evaluateMcp(configPath, args, { claude: true });
+    const projection = inspectClaudeMcpPermissionBindings(
+      await loadClaudeBindingLayers(args),
+      results.map((result) => result.name)
+    );
+    const snapshot = createToolPermissionBindingSnapshot({
+      runtime: 'claude',
+      results,
+      grants: projection.grants,
+      policy,
+      trustStore: store,
+      unboundAutomaticGrantCount: projection.unboundAllowRuleCount,
+      ambiguousAutomaticGrantCount: projection.ambiguousAllowRuleCount
+    });
+    await writeFileSafe(out, `${JSON.stringify(snapshot, null, 2)}\n`);
+    console.log(`Wrote ${out}\nStatus: ${snapshot.status}\nDigest: ${snapshot.digest}`);
+    return;
+  }
+
+  if (command === 'snapshot-codex-bindings') {
+    const configPath = args[1];
+    const out = getFlag(args, '--out');
+    if (!configPath || !out) {
+      throw new Error('snapshot-codex-bindings requires <config.toml> and --out <bindings.json>.');
+    }
+    const { policy, store, results } = await evaluateCodex(configPath, args);
+    const snapshot = createToolPermissionBindingSnapshot({
+      runtime: 'codex',
+      results,
+      grants: codexAutomaticGrantProjection(results),
+      policy,
+      trustStore: store
+    });
+    await writeFileSafe(out, `${JSON.stringify(snapshot, null, 2)}\n`);
+    console.log(`Wrote ${out}\nStatus: ${snapshot.status}\nDigest: ${snapshot.digest}`);
+    return;
+  }
+
   if (command === 'diff-permissions') {
     const beforePath = args[1];
     const afterPath = args[2];
@@ -369,6 +546,22 @@ async function main() {
     return;
   }
 
+  if (command === 'diff-bindings') {
+    const beforePath = args[1];
+    const afterPath = args[2];
+    if (!beforePath || !afterPath) {
+      throw new Error('diff-bindings requires <before.json> <after.json>.');
+    }
+    const diff = diffToolPermissionBindingSnapshots(
+      await readJson(beforePath),
+      await readJson(afterPath)
+    );
+    if (hasFlag(args, '--json')) console.log(JSON.stringify(diff, null, 2));
+    else printBindingDiff(diff);
+    if (diff.status === 'needs-review') process.exitCode = 1;
+    return;
+  }
+
   if (command === 'gate-codex') {
     const configPath = args[1];
     const out = getFlag(args, '--out');

package/docs/ARCHITECTURE.ko.md

@@ -13,7 +13,7 @@ TrustDex는 관찰, 정책, 게이트 및 검토 증거를 분리하는 의존
 3. 선택적인 신뢰 저장소 주장이 명시적인 출처 증거를 연결합니다.
 4. 정책 엔진이 ALLOW, ASK 또는 BLOCK을 생성합니다.
 5. 게이트가 승인된 설정만 출력합니다.
-6. MCP 스냅샷, 권한 상태 스냅샷 및 서명된 신뢰 기록을 통해 이후 드리프트를 검토할 수 있습니다.
+6. MCP 스냅샷, 권한 상태 스냅샷, 출처–권한 결합 스냅샷 및 서명된 신뢰 기록을 통해 이후 드리프트를 검토할 수 있습니다.
 
 게이트가 강제 적용 경계입니다. 보고서만으로는 에이전트가 검토되지 않은 확장을 불러오는 것을 막을 수 없습니다.
 
@@ -32,6 +32,7 @@ TrustDex는 관찰, 정책, 게이트 및 검토 증거를 분리하는 의존
 | `src/gate.mjs` | 승인된 MCP 항목만 출력 |
 | `src/snapshot.mjs` | 결정론적 신뢰 관련 상태 및 드리프트 |
 | `src/posture.mjs` | 값이 제거된 Claude/Codex 권한 상태 스냅샷 및 자율성 확대 분류 |
+| `src/bindings.mjs` | 값이 제거된 MCP 소스/출처와 자동 도구 권한의 연결 및 드리프트 분류 |
 | `src/trust-record.mjs` | Ed25519 검토 기록 서명 및 검증 |
 | `src/review.mjs` | 서명된 기준선 비교 |
 
@@ -41,13 +42,20 @@ TrustDex는 관찰, 정책, 게이트 및 검토 증거를 분리하는 의존
 - 비밀 값은 출력하거나 스냅샷에 저장해서는 안 됩니다.
 - 권한 규칙 값, 쓰기 가능 루트 경로, 훅/도우미 본문 및 관련 없는 설정 값은 에이전트 설정 보고서에 보관해서는 안 됩니다.
 - 권한 상태 스냅샷은 소스 경로와 설정 값을 제외해야 하며, 새 자율성 또는 정책 의미 변경은 검토를 요구해야 합니다.
+- 결합 스냅샷은 권한 지정자와 도구 이름을 제외해야 하며, ASK/BLOCK 소스의 자동 권한, 와일드카드 확대, 출처 변경 또는 모호하거나 연결되지 않은 규칙을 안전한 연결로 표시해서는 안 됩니다.
 - 알 수 없는 증거가 신뢰로 바뀌어서는 안 됩니다.
 - 차단 신호의 심각도를 출처 정보로 낮춰서는 안 됩니다.
 - 지원하지 않는 보안 관련 구문은 안전하게 실패해야 합니다.
 - 네트워크 조회는 명시적으로 수행하며, 관찰은 승인이 아닙니다.
 - ALLOW는 정책 결과이지 안전 인증이 아닙니다.
 
-설정 검사는 현재 권고 기능입니다. 한 번에 설정 소스 파일 하나를 읽으며 병합된 실제 런타임 정책을 계산하지 않습니다. MCP 게이트는 구현된 강제 적용 경계로 유지되고, 에이전트 작업은 운영체제 및 런타임 샌드박스가 강제합니다.
+설정 검사는 권고 기능입니다. 소스 파일 하나 또는 명시적으로 전달된 Claude/Codex 소스 스택을 읽고 지원되는 보안 필드에 대해 문서화된 우선순위를 계산할 수 있습니다. 활성 파일, 프로필, 환경 변수 재정의, 요구사항 또는 서버 전달 정책을 자동으로 찾지 않으며 보고된 정책이 실제로 활성화되었다는 것도 증명하지 않습니다. MCP 게이트는 구현된 강제 적용 경계로 유지되고, 에이전트 작업은 운영체제 및 런타임 샌드박스가 강제합니다.
+
+결합 스냅샷은 MCP 검사/정책 결과와 명시적으로 전달된 런타임 설정에서 파싱한
+자동 도구 권한이라는 두 정적 투영을 합성합니다. 실제 설정을 자동으로 찾거나 도구
+호출을 가로채지 않습니다. `bound`는 관찰된 범위 제한 권한이 전달된 증거 아래에서
+ALLOW 소스를 가리킨다는 뜻이며, 도구 구현이 안전하거나 런타임이 해당 파일을
+로드했다는 뜻이 아닙니다.
 
 ## 의존성 정책