trustdex 0.7.0 → 0.9.0

package/docs/ARCHITECTURE.md

@@ -13,7 +13,7 @@ TrustDex is a dependency-free Node.js CLI that separates observation, policy, ga
 3. Optional trust-store claims attach explicit provenance evidence.
 4. The policy engine produces ALLOW, ASK, or BLOCK.
 5. A gate emits only the approved configuration.
-6. MCP snapshots, permission posture snapshots, and signed trust records make later drift reviewable.
+6. MCP snapshots, permission posture snapshots, provenance-permission binding snapshots, and signed trust records make later drift reviewable.
 
 The gate is the enforcement boundary. Reports alone do not prevent an agent from loading an unreviewed extension.
 
@@ -32,6 +32,7 @@ The gate is the enforcement boundary. Reports alone do not prevent an agent from
 | src/gate.mjs | Output only approved MCP entries |
 | src/snapshot.mjs | Deterministic trust-relevant state and drift |
 | src/posture.mjs | Value-free Claude/Codex permission posture snapshots and autonomy-expansion classification |
+| src/bindings.mjs | Value-free MCP source/provenance to automatic-tool-grant bindings and drift classification |
 | src/trust-record.mjs | Ed25519 review-record signing and verification |
 | src/review.mjs | Signed-baseline comparison |
 
@@ -41,15 +42,25 @@ The gate is the enforcement boundary. Reports alone do not prevent an agent from
 - Secret values must not be printed or stored in snapshots.
 - Permission rule values, writable-root paths, hook/helper bodies, and unrelated settings values must not be retained in agent-settings reports.
 - Permission posture snapshots must omit source paths and setting values; new autonomy or changed policy semantics must require review.
+- Binding snapshots must omit permission specifiers and tool names; an automatic grant to ASK/BLOCK, wildcard expansion, provenance change, or ambiguous/unbound rule must never appear as safely bound.
 - Unknown evidence must not become trust.
 - A blocking signal must not be lowered by provenance.
 - Unsupported security-relevant syntax must fail closed.
 - Network lookup is explicit and observation is not approval.
 - ALLOW is a policy result, not a safety certification.
 
-Settings inspection is currently advisory. It reads one source file at a time and does
-not calculate the merged effective runtime policy. MCP gates remain the implemented
-enforcement boundary; operating-system and runtime sandboxes enforce agent actions.
+Settings inspection is advisory. It can read one source file or an explicitly supplied
+Claude/Codex source stack and calculate the documented precedence for the supported
+security fields. It does not discover active files, profiles, environment overrides,
+requirements, or server-delivered policy, and it does not prove the reported policy is
+active. MCP gates remain the implemented enforcement boundary; operating-system and
+runtime sandboxes enforce agent actions.
+
+Binding snapshots compose two static projections: MCP inspection/policy results and
+automatic tool grants parsed from explicitly supplied runtime settings. They do not
+discover effective settings or intercept tool calls. A `bound` result means the
+observed scoped grant points to an ALLOW source under the supplied evidence, not that
+the tool implementation is safe or that the runtime loaded those files.
 
 ## Dependency policy
 

package/docs/CLAUDE.ko.md

@@ -6,7 +6,7 @@
 
 TrustDex는 Claude Code 또는 Claude Desktop이 MCP JSON을 받기 전에 이를 검사할 수 있습니다. 설정 증거를 로컬에서 평가하고, MCP 서버를 시작하지 않으며, 설정을 업로드하지 않습니다. ALLOW 결정은 증거가 정책과 일치한다는 뜻이며 서버 코드가 안전하다는 것을 증명하지 않습니다.
 
-Claude 전용 명령은 TrustDex 0.5.0 이상에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 아래 예제의 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.7.0`을 사용하거나, 소스 체크아웃에서 명령을 직접 사용하세요.
+Claude 전용 명령은 TrustDex 0.5.0 이상에서 사용할 수 있습니다. 게시된 CLI를 실행하려면 아래 예제의 `node ./bin/trustdex.mjs` 대신 `npx trustdex@0.9.0`을 사용하거나, 소스 체크아웃에서 명령을 직접 사용하세요.
 
 ## 지원되는 설정
 
@@ -89,7 +89,21 @@ node ./bin/trustdex.mjs inspect-claude-settings \
 
 `ask`와 `deny` 규칙은 제한적이므로 그 자체로 위험 신호를 추가하지 않습니다. 보고서에는 규칙 개수와 기능 범주가 포함되지만 명령 패턴, 경로, 도메인, 훅 본문, 도우미 명령, 디렉터리 값, 환경 값 또는 플러그인 식별자는 포함되지 않습니다. 같은 이유로 이 첫 번째 어댑터는 설정 파일용 콘텐츠 지문이나 서명된 검토 기록을 만들지 않습니다.
 
-이 명령은 한 번에 파일 하나만 검사합니다. Claude Code는 여러 범위의 설정을 병합하고 명령줄 플래그가 세션 권한을 추가할 수 있으므로 이 결과가 실제 런타임 정책은 아닙니다. Claude Code에서 로드된 소스와 권한을 확인하고 강제 적용에는 운영체제 수준 샌드박싱을 사용하세요. 공식 참고 자료: [설정 파일 및 우선순위](https://code.claude.com/docs/en/settings), [권한](https://code.claude.com/docs/en/permissions), [보안](https://code.claude.com/docs/en/security).
+여러 활성 소스를 검토할 때는 스택 명령을 사용하세요.
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict --json
+```
+
+TrustDex는 사용자, 공유 프로젝트, 프로젝트 로컬, 세션 및 관리형 우선순위를 적용합니다. 권한 목록은 결합하고 지원되는 스칼라 권한 제어는 가장 높은 유효 소스를 사용합니다. 문서화된 범위 제한에 맞춰 프로젝트 또는 로컬 소스의 `auto`와 `bypassPermissions` 기본 모드는 무시합니다. 보고서에는 고정된 소스 범위 이름과 개수만 저장하며 입력 경로나 설정 값은 저장하지 않습니다.
+
+소스는 명시적으로 전달해야 합니다. TrustDex는 설정, 셸 환경 변수 재정의, 임베딩 호스트 정책 또는 서버 전달 관리형 설정을 자동으로 찾지 않습니다. `/status`로 로드된 소스를 확인하고 강제 적용에는 운영체제 수준 샌드박싱을 사용하세요. 공식 참고 자료: [설정 파일 및 우선순위](https://code.claude.com/docs/en/settings), [권한](https://code.claude.com/docs/en/permissions), [보안](https://code.claude.com/docs/en/security).
 
 ### 권한 상태 드리프트
 
@@ -101,6 +115,13 @@ node ./bin/trustdex.mjs snapshot-claude-settings \
   --pack strict \
   --out .trustdex/claude-posture.json
 
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-claude-posture.json \
   .trustdex/current-claude-posture.json
@@ -113,6 +134,30 @@ node ./bin/trustdex.mjs diff-permissions \
 플러그인 및 환경 값을 제외합니다. 제거된 규칙 내용을 의도적으로 지문화하지
 않으므로 같은 기능 범주 안에서 규칙 개수는 같고 내용만 바뀌는 경우에는 소스
 검토나 런타임 제어가 계속 필요합니다.
+병합 소스 스냅샷은 스키마 v2를 사용하고 소스 범위 개수만 포함합니다. 최종 구조적
+권한 상태가 같더라도 소스 추가, 제거 또는 범위 변경에는 재검토가 필요합니다.
+
+### MCP 출처와 자동 권한 연결
+
+각 `.mcp.json` 서버의 정책/출처 결과와 이를 호출할 수 있는 병합 Claude
+`permissions.allow` 권한을 하나의 자체 검증 기록으로 연결합니다.
+
+```bash
+node ./bin/trustdex.mjs snapshot-claude-bindings ./.mcp.json \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --trust-store ./trust-store.json \
+  --out .trustdex/claude-bindings.json
+```
+
+설정 파일 하나에는 `--settings <file>`을 사용합니다. 범위가 제한된 규칙은
+`ALLOW` 소스에 연결할 수 있습니다. 와일드카드 권한, ASK/BLOCK 소스의 권한,
+일치하지 않는 규칙 및 모호한 서버 이름 일치는 검토 또는 차단 대상으로 표시합니다.
+스냅샷은 서버 이름과 권한 형태만 기록하며 권한 지정자와 도구 이름은 제외합니다.
+따라서 범위가 제한된 도구가 같은 개수 안에서 바뀌는 경우에는 소스 검토가 필요합니다.
+검토본과 현재 기록은 `diff-bindings`로 비교하며, 확대 또는 출처/정책 드리프트는
+종료 코드 `1`을 반환합니다.
 
 ## 서명된 검토 및 드리프트
 

package/docs/CLAUDE.md

@@ -10,7 +10,7 @@ upload your configuration. An ALLOW decision means the evidence matched your pol
 it does not prove that server code is safe.
 
 The Claude-specific commands are available in TrustDex 0.5.0 and later.
-Use `npx trustdex@0.7.0` in place of `node ./bin/trustdex.mjs` in the examples
+Use `npx trustdex@0.9.0` in place of `node ./bin/trustdex.mjs` in the examples
 below to run the published CLI, or use the commands directly from a source checkout.
 
 ## Supported configuration
@@ -129,10 +129,28 @@ paths, domains, hook bodies, helper commands, directory values, environment valu
 or plugin identifiers. For the same reason, this first adapter does not create a
 content fingerprint or signed review record for settings files.
 
-This command inspects one file at a time. Claude Code merges settings across scopes
-and command-line flags can add session permissions, so the result is not the effective
-runtime policy. Confirm loaded sources and permissions in Claude Code and use OS-level
-sandboxing for enforcement. Official references: [settings files and precedence](https://code.claude.com/docs/en/settings),
+Use the stack command when reviewing multiple active sources:
+
+```bash
+node ./bin/trustdex.mjs inspect-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --local ./.claude/settings.local.json \
+  --session ./review/session.settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict --json
+```
+
+TrustDex applies user, shared project, project-local, session, and managed precedence;
+permission lists combine, while supported scalar permission controls use the highest
+effective source. It also ignores `auto` and `bypassPermissions` defaults from project
+or local sources, matching the documented scope restriction. The report stores only
+fixed scope names and counts, never input paths or setting values.
+
+Sources must be passed explicitly. TrustDex does not discover settings, shell environment
+overrides, embedded-host policy, or server-delivered managed settings, so confirm loaded
+sources with `/status` and use OS-level sandboxing for enforcement. Official references:
+[settings files and precedence](https://code.claude.com/docs/en/settings),
 [permissions](https://code.claude.com/docs/en/permissions), and
 [security](https://code.claude.com/docs/en/security).
 
@@ -146,6 +164,13 @@ node ./bin/trustdex.mjs snapshot-claude-settings \
   --pack strict \
   --out .trustdex/claude-posture.json
 
+node ./bin/trustdex.mjs snapshot-claude-settings-stack \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --pack strict \
+  --out .trustdex/claude-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-claude-posture.json \
   .trustdex/current-claude-posture.json
@@ -158,6 +183,30 @@ The snapshot excludes source paths and every permission, hook, directory, domain
 credential-helper, plugin, and environment value. Because it intentionally does not
 fingerprint redacted rule contents, a same-count change inside one capability category
 must still be covered by source review or runtime controls.
+Merged-source snapshots use schema v2 and include only source-scope counts. Adding,
+removing, or reclassifying a source requires review even when the resulting structural
+permission posture is otherwise unchanged.
+
+### Bind MCP provenance to automatic grants
+
+Create a self-validating record that joins each `.mcp.json` server's policy/provenance
+result to the merged Claude `permissions.allow` grant that can invoke it:
+
+```bash
+node ./bin/trustdex.mjs snapshot-claude-bindings ./.mcp.json \
+  --user ./review/user.settings.json \
+  --project ./.claude/settings.json \
+  --managed ./review/managed-settings.json \
+  --trust-store ./trust-store.json \
+  --out .trustdex/claude-bindings.json
+```
+
+For one settings file, use `--settings <file>`. Scoped rules can bind to an `ALLOW`
+source; wildcard grants, grants to ASK/BLOCK sources, unmatched rules, and ambiguous
+server-name matches are surfaced for review or blocking. The snapshot records server
+names and grant shape only. It omits permission specifiers and tool names, so same-count
+changes among scoped tools remain a source-review responsibility. Compare reviewed and
+current records with `diff-bindings`; expansion or provenance/policy drift exits `1`.
 
 ## Signed review and drift
 

package/docs/CODEX.ko.md

@@ -15,7 +15,7 @@ Codex 클라이언트는 `config.toml`(기본적으로 `~/.codex/` 아래)의 `[
 ### 1. 현재 설정 검사
 
 ```bash
-npx trustdex@0.7.0 inspect-codex ~/.codex/config.toml --pack strict
+npx trustdex@0.9.0 inspect-codex ~/.codex/config.toml --pack strict
 ```
 
 이 명령은 파일을 로컬에서 읽으며 네트워크 요청을 하지 않습니다. 출력에는 각 MCP 서버, 소스 유형, 신뢰 신호 및 ALLOW / ASK / BLOCK 결정이 표시됩니다. 환경 변수 이름은 표시될 수 있지만 값은 절대 표시되지 않습니다.
@@ -25,7 +25,7 @@ npx trustdex@0.7.0 inspect-codex ~/.codex/config.toml --pack strict
 ### 2. 게이트된 사본 작성
 
 ```bash
-npx trustdex@0.7.0 gate-codex ~/.codex/config.toml \
+npx trustdex@0.9.0 gate-codex ~/.codex/config.toml \
   --pack official-first \
   --trust-store ./trust-store.json \
   --out ./gated-config.toml
@@ -70,7 +70,21 @@ node ./bin/trustdex.mjs inspect-codex-settings \
 
 보안 관련 값의 타입이나 열거 값이 지원되지 않으면 안전하게 실패합니다. 공식 설정 레퍼런스가 함께 사용하지 말라고 명시하므로 `default_permissions`와 기존 샌드박스 설정을 같이 사용해도 실패합니다. 쓰기 가능 루트 경로와 관련 없는 설정의 값은 보관·출력·지문화하지 않습니다.
 
-이 첫 번째 어댑터는 한 번에 파일 하나를 검사하며 사용자, 프로젝트, 프로필, 관리형, 시스템 또는 명령줄 설정을 하나의 실제 정책으로 병합하지 않습니다. 이는 정적 증거이며 Codex 샌드박스 자체가 아닙니다. 클라이언트에서 활성 권한 프로필을 확인하세요. 공식 OpenAI 문서는 샌드박스 경계와 승인 처리를 구분하며 `workspace-write`와 `on-request` 조합을 더 낮은 위험의 로컬 자동화 구성으로 안내합니다. [설정 레퍼런스](https://developers.openai.com/codex/config-reference)와 [샌드박스 가이드](https://developers.openai.com/codex/sandboxing)를 참고하세요.
+문서화된 설정 우선순위를 적용하려면 스택 명령을 사용하세요. `--project`는 저장소 루트에서 현재 디렉터리 방향으로 반복하며 가장 가까운 프로젝트 파일이 우선합니다.
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --managed ./review/managed.toml \
+  --user ./review/user.toml \
+  --profile ./review/profile.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict --json
+```
+
+스택은 시스템부터 CLI 우선순위까지 지원되는 보안 필드별로 병합됩니다. 높은 소스가 재정의하더라도 어떤 소스에 지원하지 않는 구문이 있으면 안전하게 실패합니다. 보고서에는 고정된 소스 범위 개수만 남고 설정 경로나 관련 없는 값은 남지 않습니다. 소스는 명시적 입력이며 신뢰된 프로젝트, 활성 프로필, 클라우드 관리 기본값, 요구사항 또는 CLI 플래그를 자동으로 찾지 않습니다. 이는 정적 증거이며 Codex 샌드박스 자체가 아닙니다. 클라이언트에서 활성 권한 프로필을 확인하세요. 공식 OpenAI 문서는 샌드박스 경계와 승인 처리를 구분합니다. [설정 레퍼런스](https://developers.openai.com/codex/config-reference)와 [설정 우선순위](https://developers.openai.com/codex/config-basic)를 참고하세요.
 
 ### 권한 상태 드리프트
 
@@ -83,6 +97,13 @@ node ./bin/trustdex.mjs snapshot-codex-settings \
   --pack strict \
   --out .trustdex/codex-posture.json
 
+node ./bin/trustdex.mjs snapshot-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/project.toml \
+  --pack strict \
+  --out .trustdex/codex-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-codex-posture.json \
   .trustdex/current-codex-posture.json \
@@ -96,14 +117,37 @@ node ./bin/trustdex.mjs diff-permissions \
 사용자 정의 프로필 값 또는 관련 없는 설정은 저장하지 않습니다. 다이제스트는
 우발적이거나 조정되지 않은 편집을 감지하지만 누구나 서명되지 않은 다이제스트를
 다시 계산할 수 있습니다. 인증이 아니며 Codex 런타임 샌드박스를 대체하지 않습니다.
+병합 소스 스냅샷은 스키마 v2를 사용합니다. 최종 구조 설정이 같더라도 소스 범위 개수가
+바뀌면 분류되지 않은 변경으로 처리되어 `NEEDS_REVIEW`를 반환합니다.
+
+### MCP 출처와 자동 권한 연결
+
+Codex는 한 MCP 서버가 노출한 모든 도구를 자동 승인할 수 있습니다. 이 권한을
+서버의 정책 및 출처 결과와 함께 검토합니다.
+
+```bash
+node ./bin/trustdex.mjs snapshot-codex-bindings ~/.codex/config.toml \
+  --trust-store ./trust-store.json \
+  --pack strict \
+  --out .trustdex/codex-bindings.json
+
+node ./bin/trustdex.mjs diff-bindings \
+  .trustdex/approved-codex-bindings.json \
+  .trustdex/current-codex-bindings.json
+```
+
+`default_tools_approval_mode = "approve"`는 전체 도구 자동 권한이므로 ALLOW
+소스에서도 검토가 필요합니다. 와일드카드 도구 범위는 불리언으로 기록하며 도구
+이름, 엔드포인트 경로 및 관련 없는 값은 제외합니다. 이 정적 연결은 설정이 실제로
+로드되었음을 증명하거나 Codex 런타임 샌드박스를 강제하지 않습니다.
 
 ### 스킬 및 플러그인
 
 에이전트 스킬과 플러그인 매니페스트도 같은 방법으로 검사할 수 있습니다.
 
 ```bash
-npx trustdex@0.7.0 inspect-skill ./path/to/SKILL.md --pack strict
-npx trustdex@0.7.0 inspect-plugin ./path/to/plugin.json --pack strict
+npx trustdex@0.9.0 inspect-skill ./path/to/SKILL.md --pack strict
+npx trustdex@0.9.0 inspect-plugin ./path/to/plugin.json --pack strict
 ```
 
 이 명령은 파이프로 연결된 셸 설치 프로그램, 민감한 경로 참조, 네트워크 URL 및 와일드카드 도구 범위와 같은 관찰 가능한 신호를 보고합니다. 스킬이나 플러그인이 안전하다는 것을 증명하지는 않습니다.

package/docs/CODEX.md

@@ -15,7 +15,7 @@ Codex clients read MCP server definitions from `[mcp_servers.<name>]` tables in
 ### 1. Inspect the current configuration
 
 ```bash
-npx trustdex@0.7.0 inspect-codex ~/.codex/config.toml --pack strict
+npx trustdex@0.9.0 inspect-codex ~/.codex/config.toml --pack strict
 ```
 
 This reads the file locally and makes no network request. The output lists each MCP server, its source type, trust signals, and an ALLOW / ASK / BLOCK decision. Environment variable names may appear; their values never do.
@@ -25,7 +25,7 @@ Use `--json` for machine-readable output and `--trust-store ./trust-store.json`
 ### 2. Write a gated copy
 
 ```bash
-npx trustdex@0.7.0 gate-codex ~/.codex/config.toml \
+npx trustdex@0.9.0 gate-codex ~/.codex/config.toml \
   --pack official-first \
   --trust-store ./trust-store.json \
   --out ./gated-config.toml
@@ -76,13 +76,31 @@ Security-relevant values fail closed when their type or enum value is unsupporte
 the official configuration reference says not to combine them. Writable-root paths
 and values from unrelated settings are not retained, printed, or fingerprinted.
 
-This first adapter inspects one file at a time; it does not merge user, project,
-profile, managed, system, or command-line configuration into an effective policy.
-It is static evidence, not the Codex sandbox itself. Confirm the active permission
-profile in the client. The official OpenAI documentation distinguishes the sandbox
-boundary from approval handling and documents `workspace-write` plus `on-request`
-as the lower-risk local automation combination. See the [configuration reference](https://developers.openai.com/codex/config-reference)
-and [sandbox guide](https://developers.openai.com/codex/sandboxing).
+Use the stack command to apply the documented configuration precedence. Repeat
+`--project` from the repository root toward the current directory; the closest project
+file wins:
+
+```bash
+node ./bin/trustdex.mjs inspect-codex-settings-stack \
+  --system ./review/system.toml \
+  --managed ./review/managed.toml \
+  --user ./review/user.toml \
+  --profile ./review/profile.toml \
+  --project ./review/root-project.toml \
+  --project ./review/closest-project.toml \
+  --cli ./review/cli-overrides.toml \
+  --pack strict --json
+```
+
+The stack is merged from system through CLI precedence, one supported security field
+at a time. Unsupported syntax in any source fails closed even when a higher source
+would override it. Reports retain fixed source-scope counts but not config paths or
+unrelated values. Sources are explicit inputs: the command does not discover trusted
+projects, active profiles, cloud-managed defaults, requirements, or CLI flags itself.
+It is static evidence, not the Codex sandbox. Confirm the active permission profile
+in the client. The official OpenAI documentation distinguishes the sandbox boundary
+from approval handling. See the [configuration reference](https://developers.openai.com/codex/config-reference)
+and [configuration precedence](https://developers.openai.com/codex/config-basic).
 
 ### Permission posture drift
 
@@ -95,6 +113,13 @@ node ./bin/trustdex.mjs snapshot-codex-settings \
   --pack strict \
   --out .trustdex/codex-posture.json
 
+node ./bin/trustdex.mjs snapshot-codex-settings-stack \
+  --system ./review/system.toml \
+  --user ./review/user.toml \
+  --project ./review/project.toml \
+  --pack strict \
+  --out .trustdex/codex-stack-posture.json
+
 node ./bin/trustdex.mjs diff-permissions \
   .trustdex/approved-codex-posture.json \
   .trustdex/current-codex-posture.json \
@@ -108,14 +133,37 @@ counts and documented enums, not the config path, writable-root paths, custom pr
 values, or unrelated settings. Its digest detects accidental or unreconciled edits,
 but anyone can recompute an unsigned digest; it is not authentication or a replacement
 for the Codex runtime sandbox.
+Merged-source snapshots use schema v2. A source-scope count change is unclassified
+and therefore returns `NEEDS_REVIEW`, even when the final structural settings match.
+
+### Bind MCP provenance to automatic grants
+
+Codex can automatically approve every tool exposed by one MCP server. Review that
+grant together with the server's policy and provenance result:
+
+```bash
+node ./bin/trustdex.mjs snapshot-codex-bindings ~/.codex/config.toml \
+  --trust-store ./trust-store.json \
+  --pack strict \
+  --out .trustdex/codex-bindings.json
+
+node ./bin/trustdex.mjs diff-bindings \
+  .trustdex/approved-codex-bindings.json \
+  .trustdex/current-codex-bindings.json
+```
+
+`default_tools_approval_mode = "approve"` is an all-tool automatic grant and therefore
+requires review even for an ALLOW source. Wildcard tool scope is recorded as a boolean;
+tool names, endpoint paths, and unrelated values are omitted. This static binding does
+not prove the configuration is loaded or enforce the Codex runtime sandbox.
 
 ### Skills and plugins
 
 Agent skills and plugin manifests can be inspected the same way:
 
 ```bash
-npx trustdex@0.7.0 inspect-skill ./path/to/SKILL.md --pack strict
-npx trustdex@0.7.0 inspect-plugin ./path/to/plugin.json --pack strict
+npx trustdex@0.9.0 inspect-skill ./path/to/SKILL.md --pack strict
+npx trustdex@0.9.0 inspect-plugin ./path/to/plugin.json --pack strict
 ```
 
 These report observable signals such as piped shell installers, references to sensitive paths, network URLs, and wildcard tool scopes. They do not prove a skill or plugin is safe.

package/docs/DEFENSIVE_USE_CASE.ko.md

@@ -45,6 +45,7 @@ TrustDex는 이 표면에 대한 노출 전 통제를 연구하고 구현합니
 | 조용한 파서 우회 방지 | 지원하지 않는 보안 관련 구문을 거부하는 전용 어댑터 |
 | 증거에서 비밀 값 제외 | 출력, 스냅샷 및 설정 지문에서 비밀 값을 제거하는 테스트 |
 | 승인 상태의 드리프트 표시 | 결정론적 스냅샷, Ed25519 검토 기록 및 재검사 명령 |
+| 소스 신뢰와 자동 권한 조정 | 값이 제거된 Claude/Codex 결합 스냅샷, 스키마, 차이 및 비활성 픽스처 |
 | 공급망 모호성 감소 | 명시적 출처 관찰, 아티팩트 다이제스트 검증, 릴리스 체크섬, SBOM 및 빌드 증명 |
 | 연구 재현성 유지 | 비활성 픽스처, 문서화된 기대 결과, 크로스 플랫폼 CI 및 CodeQL |
 
@@ -54,9 +55,14 @@ ALLOW 결과는 여전히 관찰된 증거에 대한 정책 결과일 뿐입니
 
 `inspect-claude-settings`는 문서화된 `permissions` 객체를 검사하고 셸, 파일 시스템, 네트워크, MCP 및 서브에이전트 기능의 자동 승인을 보고합니다. 또한 훅, 자격 증명 도우미, 환경 설정, 샌드박스 설정 및 플러그인 로딩의 존재를 값은 보관하지 않은 채 드러냅니다.
 
-이는 정적 증거이지 런타임 강제 적용이 아닙니다. 모든 Claude 설정 범위를 병합하거나, 명령줄 플래그를 검사하거나, 관리형 설정이 세션에 실제 적용되었음을 증명하거나, Claude Code 샌드박싱을 대체하지 않습니다. 운영자는 실제 런타임 설정을 별도로 확인해야 합니다.
+`inspect-claude-settings-stack`은 명시적으로 전달된 사용자, 프로젝트, 로컬, 세션 및 관리형 소스에 문서화된 우선순위를 적용합니다. 이는 정적 증거이지 런타임 강제 적용이 아닙니다. 소스를 자동으로 찾거나 관리형 설정이 세션에 실제 적용되었음을 증명하지 않으며 Claude Code 샌드박싱을 대체하지 않습니다. 운영자는 실제 런타임 설정을 별도로 확인해야 합니다.
 
-`inspect-codex-settings`는 Codex 승인 정책, 검토자 선택, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 평가합니다. 완전히 파싱하지 않는 사용자 정의 권한, 앱 및 플러그인 표면은 값은 보관하지 않고 보고합니다. 마찬가지로 모든 Codex 설정 계층을 병합하거나 활성 Codex 샌드박스를 대체하지 않습니다.
+`inspect-codex-settings`는 Codex 승인 정책, 검토자 선택, 샌드박스 종류, 네트워크 접근, 추가 쓰기 가능 루트 개수, 웹 검색 모드 및 명시적인 서브에이전트 활성화를 평가합니다. 완전히 파싱하지 않는 사용자 정의 권한, 앱 및 플러그인 표면은 값은 보관하지 않고 보고합니다. `inspect-codex-settings-stack`은 전달된 파일에 시스템부터 CLI까지의 문서화된 우선순위와 순서가 있는 프로젝트 계층을 적용합니다. 활성 계층을 자동으로 찾거나 요구사항을 강제하거나 활성 Codex 샌드박스를 대체하지 않습니다.
+
+`snapshot-claude-bindings`와 `snapshot-codex-bindings`는 검사된 각 MCP 소스의
+결정/출처 상태를 자동 도구 권한 형태와 연결합니다. 도구 이름이나 권한 지정자를
+보관하지 않고 광범위하거나 차단된 권한을 검토할 수 있게 합니다. 이는 정적
+증거이며 런타임 호출을 강제하지 않습니다.
 
 ## CVP 신청 경계
 

package/docs/DEFENSIVE_USE_CASE.md

@@ -45,6 +45,7 @@ This work is defensive engineering. It does not require credential theft, persis
 | Avoid silent parser bypass | focused adapters reject unsupported security-relevant syntax |
 | Keep secrets out of evidence | tests for redaction from output, snapshots, and configuration fingerprints |
 | Make approval drift visible | deterministic snapshots, Ed25519 review records, and recheck commands |
+| Reconcile source trust with automatic grants | value-free Claude/Codex binding snapshots, schemas, diffs, and inert fixtures |
 | Reduce supply-chain ambiguity | explicit provenance observations, artifact digest verification, release checksums, SBOMs, and build attestations |
 | Keep research reproducible | inert fixtures, documented expectations, cross-platform CI, and CodeQL |
 
@@ -54,13 +55,20 @@ An ALLOW result is still only a policy result over observed evidence. TrustDex i
 
 `inspect-claude-settings` examines the documented `permissions` object and reports automatic approval of shell, filesystem, network, MCP, and subagent capabilities. It also surfaces the presence of hooks, credential helpers, environment settings, sandbox configuration, and plugin loading without retaining their values.
 
-This is static evidence, not runtime enforcement. It does not merge every Claude settings scope, inspect command-line flags, prove that managed settings reached a session, or replace Claude Code sandboxing. The operator must confirm the effective runtime configuration separately.
+`inspect-claude-settings-stack` applies documented precedence to explicitly supplied user, project, local, session, and managed sources. This is static evidence, not runtime enforcement. It does not discover sources or prove that managed settings reached a session, and it does not replace Claude Code sandboxing. The operator must confirm the effective runtime configuration separately.
 
 `inspect-codex-settings` evaluates Codex approval policy, reviewer choice, sandbox
 class, network access, additional writable-root count, web-search mode, and explicit
 subagent enablement. It reports custom permission, app, and plugin surfaces that it
-does not fully parse without retaining their values. It likewise does not merge every
-Codex configuration layer or replace the active Codex sandbox.
+does not fully parse without retaining their values. `inspect-codex-settings-stack`
+applies documented system-through-CLI precedence to supplied files, including ordered
+project layers. It does not discover the active layers, enforce requirements, or replace
+the active Codex sandbox.
+
+`snapshot-claude-bindings` and `snapshot-codex-bindings` connect each inspected MCP
+source decision/provenance state to its automatic tool-grant shape. This makes broad
+or blocked grants reviewable without retaining tool names or permission specifiers.
+It remains static evidence and does not enforce runtime calls.
 
 ## CVP application boundary
 

package/docs/EVALUATION.ko.md

@@ -77,8 +77,36 @@
 제거된 권한 규칙 안에서 개수는 같고 내용만 바뀌는 경우는 이 구조적 비교의
 범위 밖입니다.
 
+## 도구 출처와 권한 결합 사례
+
+`examples/adversarial/bindings/`와 `test/bindings.test.mjs`는 MCP 정책/출처 결과를
+Claude 및 Codex 자동 도구 권한과 연결합니다. 회귀 테스트는 다음을 요구합니다.
+
+- ALLOW 소스에 대한 범위 제한 Claude 권한은 `bound`
+- 와일드카드/전체 도구 권한 및 ASK 소스의 권한은 재검토
+- BLOCK 소스 또는 출처 불일치의 권한은 `blocked`
+- 일치하지 않거나 모호한 Claude 규칙은 값을 보관하지 않고 개수만 기록
+- 정책, 출처, 신뢰 저장소 및 권한 확대 드리프트는 재검토
+- 변조된 요약, 상태 또는 다이제스트는 안전하게 실패
+- 엔드포인트 경로, 권한 지정자, 도구 이름 및 비활성 마커 값을 계속 제외
+
+스냅샷 스키마는 안정적인 보고서 형태를 검증합니다. 서명된 신뢰 기록은 검토된
+스냅샷을 인증할 수 있지만 스키마나 서명 모두 런타임 강제 또는 도구 안전성을
+증명하지 않습니다.
+
+## 병합 설정 스택 사례
+
+`test/settings-stack.test.mjs`는 두 런타임의 명시적 소스 스택을 검사합니다. 다음을 요구합니다.
+
+- Claude 권한 목록을 결합하면서 관리형/세션/로컬/프로젝트/사용자 스칼라 우선순위를 유지
+- 프로젝트 또는 로컬 Claude 소스가 `auto`나 `bypassPermissions` 기본 모드를 활성화하지 않음
+- Codex 시스템/관리형/사용자/프로필/프로젝트/CLI 우선순위와 가장 가까운 프로젝트 순서 적용
+- 높은 소스가 설정을 대체하더라도 잘못된 낮은 우선순위 입력은 실패
+- 스키마 v2 스냅샷은 고정된 범위 개수만 보관하고 소스 구성 변경에 재검토 요구
+- 소스 경로, 규칙, 도메인, 명령, 쓰기 가능 경로, 환경 변수 이름과 값을 계속 제외
+
 ## 이 평가가 측정하지 않는 것
 
-이 벤치마크는 의도적으로 범위가 좁습니다. 런타임 동작, 샌드박스 탈출, 임의의 악성 코드, 모든 형태의 프롬프트 인젝션, 게시자 신원 소유권 또는 전이 의존성의 취약점을 측정하지 않습니다. 모든 Claude 또는 Codex 설정 범위를 병합하거나 세션 명령줄 재정의를 검사하거나 보고된 샌드박스가 실제로 활성화되었음을 증명하지 않습니다. 특히 이미 실행 중인 MCP 서버가 동적으로 반환하는 도구 설명은 현재 정적 설정 경계 밖에 있습니다.
+이 벤치마크는 의도적으로 범위가 좁습니다. 런타임 동작, 샌드박스 탈출, 임의의 악성 코드, 모든 형태의 프롬프트 인젝션, 게시자 신원 소유권 또는 전이 의존성의 취약점을 측정하지 않습니다. 스택 사례는 테스트에 명시적으로 전달된 소스만 병합하며 활성 설정, 요구사항, 환경 변수 재정의 또는 서버 관리 정책을 자동으로 찾지 않고 보고된 샌드박스가 실제로 활성화되었음도 증명하지 않습니다. 특히 이미 실행 중인 MCP 서버가 동적으로 반환하는 도구 설명은 현재 정적 설정 경계 밖에 있습니다.
 
 이 작은 픽스처 집합은 회귀 기준선이지 탐지 정확도에 대한 통계적 주장이 아닙니다. 거짓 양성과 거짓 음성 비율을 측정하려면 민감 정보를 제거한 실제 설정으로 구성되고 독립적으로 검토된 더 큰 코퍼스가 필요합니다.

package/docs/EVALUATION.md

@@ -79,8 +79,36 @@ for both runtimes. `test/posture.test.mjs` requires:
 The digest checks internal consistency, not signer identity. Same-count changes inside
 redacted permission rules remain outside this structural comparison.
 
+## Tool provenance and permission binding cases
+
+`examples/adversarial/bindings/` and `test/bindings.test.mjs` join MCP policy/provenance
+results to Claude and Codex automatic tool grants. The regression requires:
+
+- a scoped Claude grant to an ALLOW source to be `bound`
+- wildcard or all-tool grants and grants to ASK sources to require review
+- grants to BLOCK sources or provenance mismatches to be `blocked`
+- unmatched and ambiguous Claude rules to be counted without retaining their values
+- policy, provenance, trust-store, and grant expansion drift to require review
+- tampered summaries, statuses, or digests to fail closed
+- endpoint paths, permission specifiers, tool names, and inert marker values to remain absent
+
+The snapshot schemas validate the stable report shape. A signed trust record can
+authenticate a reviewed snapshot, but neither the schema nor signature proves runtime
+enforcement or tool safety.
+
+## Merged settings stack cases
+
+`test/settings-stack.test.mjs` exercises explicit source stacks for both runtimes. It requires:
+
+- Claude permission lists to combine while managed/session/local/project/user scalar precedence is preserved
+- project or local Claude sources not to activate `auto` or `bypassPermissions` default modes
+- Codex system/managed/user/profile/project/CLI precedence and closest-project ordering
+- invalid lower-precedence input to fail even when a higher source would replace the setting
+- schema-v2 snapshots to retain only fixed scope counts and to require review when source topology changes
+- source paths, rules, domains, commands, writable paths, environment names, and values to remain absent
+
 ## What this does not measure
 
-This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. It does not merge every Claude or Codex settings scope, inspect session command-line overrides, or prove that the reported sandbox is active. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
+This benchmark is intentionally narrow. It does not measure runtime behavior, sandbox escape, arbitrary malware, every form of prompt injection, publisher identity ownership, or vulnerabilities in transitive dependencies. The stack cases merge only sources explicitly supplied to the test; they do not discover active settings, requirements, environment overrides, or server-managed policy, and they do not prove that the reported sandbox is active. In particular, tool descriptions returned dynamically by an already-running MCP server are outside the current static configuration boundary.
 
 The small fixture set is a regression baseline, not a statistical claim about detection accuracy. False-positive and false-negative rates require a larger, independently reviewed corpus of redacted real-world configurations.

package/docs/ROADMAP.ko.md

@@ -12,6 +12,10 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
 - TrustDex 0.7.0은 값이 제거되고 자체 일관성을 검증하는 권한 상태 스냅샷,
   자율성 확대 검토 게이트, 버전 지정 JSON 스키마 및 공개 적대적 권한 픽스처를
   추가합니다.
+- TrustDex 0.8.0은 문서화된 Claude Code 및 Codex 우선순위를 위한 명시적 병합 소스
+  검사, 스키마 v2 소스 구성 증거 및 안전하게 실패하는 스택 테스트를 추가합니다.
+- TrustDex 0.9.0은 MCP 정책/출처 결과와 자동 도구 권한 사이의 값 없는 Claude/Codex
+  연결, 버전 지정 스키마, 드리프트 검토 및 비활성 픽스처를 추가합니다.
 
 ## 현재: 경계 강화
 
@@ -22,13 +26,12 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
 - 안정적인 정책 및 스냅샷 스키마 규칙 문서화
 - CI, CodeQL 및 릴리스 자동화를 재현 가능하고 검토 가능한 상태로 유지
 
-## 다음: 에이전트 행동 경계를 검토 가능하게 만들기
+## 다음: 실제 런타임 증거 강화
 
-- 명령, 경로, 도메인 또는 자격 증명 값을 보관하지 않고 병합된 설정 소스 검사
-- 초기 단일 파일 권한 상태 비교를 병합 설정 소스로 확장
-- 승인된 도구 출처와 해당 도구에 부여된 행동 권한 연결
 - 버전이 지정된 권한 상태 JSON 스키마를 추가 결정 및 런타임으로 확장
 - 권고형 설정 검사가 런타임 및 운영체제 샌드박스와 결합되는 방식 문서화
+- 비공개 파일을 조용히 찾지 않으면서 런타임이 생성한 실제 설정 증거 추가
+- 호출을 가로채지 않고 런타임이 생성한 MCP/도구 목록을 받는 옵트인 어댑터 추가
 
 ## 그다음: 무결성 증명
 

package/docs/ROADMAP.md

@@ -12,6 +12,10 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
 - TrustDex 0.7.0 adds value-free, self-validating permission posture snapshots,
   autonomy-expansion review gates, versioned JSON schemas, and public adversarial
   permission fixtures.
+- TrustDex 0.8.0 adds explicit merged-source inspection for documented Claude Code
+  and Codex precedence, schema-v2 source topology evidence, and fail-closed stack tests.
+- TrustDex 0.9.0 adds value-free Claude/Codex bindings between MCP policy/provenance
+  results and automatic tool grants, versioned schemas, drift review, and inert fixtures.
 
 ## Now: harden the boundary
 
@@ -22,13 +26,12 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
 - document stable policy and snapshot schema rules
 - keep CI, CodeQL, and release automation reproducible and reviewable
 
-## Next: make agent action boundaries reviewable
+## Next: strengthen effective-runtime evidence
 
-- inspect merged settings sources without retaining commands, paths, domains, or credential values
-- extend the initial single-file posture comparison to merged settings sources
-- connect approved tool provenance to the action permissions granted to that tool
 - extend the versioned permission-posture JSON schemas to additional decisions and runtimes
 - document how advisory settings checks compose with runtime and operating-system sandboxes
+- add runtime-produced effective-setting evidence without silently discovering private files
+- add opt-in adapters for runtime-produced MCP/tool inventories without intercepting calls
 
 ## Then: prove integrity