trustdex 0.7.0 → 0.9.0

package/docs/THREAT_MODEL.ko.md

@@ -23,6 +23,9 @@ TrustDex는 하나의 좁은 질문을 다룹니다.
 - 샌드박스를 제거하거나 승인을 생략하거나 네트워크 접근 또는 쓰기 가능 루트를 추가하는 Codex 설정
 - 명시적인 검토 없이 변경되는 행동 권한 설정
 - 값이 제거된 구조적 기준 상태보다 확대되는 Claude 또는 Codex 권한 상태
+- 명시적으로 전달된 Claude 또는 Codex 설정 소스 사이의 우선순위 변경
+- 서버의 정책/출처 결과와 더 이상 일치하지 않는 자동 MCP 도구 권한
+- 실제 도구 경계를 가리는 와일드카드, 일치하지 않거나 모호한 권한
 
 ## 신뢰 경계
 
@@ -45,9 +48,12 @@ TrustDex는 익숙한 프로젝트 이름, 스타 수, 패키지 이름 또는
 - 로컬 신뢰 저장소 주장만으로 게시자 소유권을 독립적으로 증명
 - 완전히 침해된 호스트 보호
 - 도난당한 서명 비공개 키로부터 보호
-- 모든 사용자, 프로젝트, 프로필, 관리형, 시스템, 환경 및 명령줄 소스를 병합한 실제 설정 계산
+- 모든 활성 설정 소스, 프로필, 환경 변수 재정의, 요구사항 또는 서버 전달 정책의 자동 탐색
+- 명시적으로 병합한 설정 투영이 런타임에서 활성화된 정책임을 증명하는 것
 - Claude Code 또는 Codex 행동 권한의 런타임 강제 적용
 - 서명되지 않은 권한 상태 스냅샷 작성자의 인증
+- 결합 스냅샷이 실행 중인 에이전트가 실제로 불러온 파일을 반영함을 증명하는 것
+- 개별 MCP 도구 호출을 런타임에서 가로채거나 강제하는 것
 
 ## 중요한 실패 모드
 

package/docs/THREAT_MODEL.md

@@ -23,6 +23,9 @@ TrustDex addresses one narrow question:
 - Codex configurations that remove the sandbox, suppress approvals, enable network access, or add writable roots
 - action-permission settings changing without an explicit review
 - Claude or Codex permission posture expanding relative to a value-free structural baseline
+- precedence changes across explicitly supplied Claude or Codex settings sources
+- automatic MCP tool grants that no longer match the server's policy/provenance result
+- wildcard, unmatched, or ambiguous grants that hide the effective tool boundary
 
 ## Trust boundaries
 
@@ -45,9 +48,12 @@ TrustDex does **not** treat a familiar project name, star count, package name, o
 - independently proving publisher ownership from a local trust-store claim
 - protecting a fully compromised host
 - protecting a stolen signing private key
-- calculating the effective configuration after every user, project, profile, managed, system, environment, and command-line source is merged
+- automatically discovering every active settings source, profile, environment override, requirement, or server-delivered policy
+- proving that the explicitly merged settings projection is the policy active at runtime
 - enforcing Claude Code or Codex action permissions at runtime
 - authenticating the author of an unsigned permission posture snapshot
+- proving that a binding snapshot reflects the files actually loaded by a running agent
+- intercepting or enforcing individual MCP tool calls at runtime
 
 ## Important failure mode
 

package/examples/adversarial/README.ko.md

@@ -10,6 +10,8 @@
 - `policy.json`은 소스 허용 목록과 독립적으로 차단 신호를 테스트할 수 있도록 픽스처 패키지 1개와 픽스처 호스트 2개를 명시적으로 신뢰합니다.
 - `expected.json`은 필수 결정과 최소 신호를 기록합니다.
 - `drift-before.json`과 `drift-after.json`은 검토된 패키지에 비밀 정보를 포함하는 환경 키가 추가되는 상황을 모델링합니다.
+- [`permissions/`](permissions/README.ko.md)는 값이 제거된 Claude/Codex 권한 상태 드리프트를 다룹니다.
+- [`bindings/`](bindings/README.ko.md)는 MCP 출처와 자동 권한의 연결을 다룹니다.
 
 모든 패키지 이름은 가상이며, 모든 원격 엔드포인트는 예약된 `.invalid` 최상위 도메인을 사용하고, 자격 증명으로 보이는 모든 값은 자리표시자입니다. 이를 실제 값으로 바꾸지 마세요. TrustDex는 이 파일을 읽지만 나열된 명령을 실행하거나 나열된 엔드포인트에 연결하지 않습니다.
 

package/examples/adversarial/README.md

@@ -10,6 +10,8 @@ These files provide a reproducible defensive test of TrustDex's policy boundary.
 - `policy.json` explicitly trusts one fixture package and two fixture hosts so blocking signals can be tested independently of source allowlisting.
 - `expected.json` records the required decisions and minimum signals.
 - `drift-before.json` and `drift-after.json` model a reviewed package gaining a secret-bearing environment key.
+- [`permissions/`](permissions/README.md) covers value-free Claude/Codex permission posture drift.
+- [`bindings/`](bindings/README.md) covers MCP provenance-to-automatic-grant bindings.
 
 All package names are fictional, all remote endpoints use the reserved `.invalid` top-level domain, and all apparent credentials are placeholders. Do not replace them with real values. TrustDex reads these files but never executes the listed commands or contacts the listed endpoints.
 

package/examples/adversarial/bindings/README.ko.md

@@ -0,0 +1,24 @@
+# 도구 출처와 권한 결합 픽스처
+
+이 비활성 픽스처는 MCP 서버의 정책/출처 결과와 해당 서버에 부여된 자동 도구
+권한을 값 없이 연결하는 TrustDex 동작을 검증합니다. 예약된 `.invalid` 도메인과
+자리표시자 마커만 사용하며, 검사는 서버에 연결하거나 서버를 실행하지 않습니다.
+
+```bash
+node ../../../bin/trustdex.mjs snapshot-claude-bindings ./claude.mcp.json \
+  --settings ./claude.settings.json \
+  --trust-store ./trust-store.json \
+  --out ./claude.bindings.json
+
+node ../../../bin/trustdex.mjs snapshot-codex-bindings ./codex.toml \
+  --trust-store ./trust-store.json \
+  --out ./codex.bindings.json
+```
+
+검토된 Claude 서버의 범위 제한 승인은 `ALLOW` 결과와 결합됩니다. 출처를 알 수
+없는 서버의 와일드카드 승인은 `BLOCK` 결과와 결합됩니다. 일치하지 않는 Claude
+권한 규칙은 개수만 기록하고 값은 보관하지 않습니다. Codex의 검토된 서버도
+`default_tools_approval_mode = "approve"`가 모든 도구를 승인하므로 재검토가 필요합니다.
+
+생성된 보고서는 엔드포인트 경로, 권한 지정자, 도구 이름 및 마커 값을 의도적으로
+제외합니다. `expected.json`은 안정적인 구조적 결과만 기록합니다.

package/examples/adversarial/bindings/README.md

@@ -0,0 +1,25 @@
+# Tool provenance and permission binding fixtures
+
+These inert fixtures exercise TrustDex's value-free link between an MCP server's
+policy/provenance result and the automatic tool permission granted to that server.
+They use reserved `.invalid` domains and placeholder markers; inspection never
+contacts or launches either server.
+
+```bash
+node ../../../bin/trustdex.mjs snapshot-claude-bindings ./claude.mcp.json \
+  --settings ./claude.settings.json \
+  --trust-store ./trust-store.json \
+  --out ./claude.bindings.json
+
+node ../../../bin/trustdex.mjs snapshot-codex-bindings ./codex.toml \
+  --trust-store ./trust-store.json \
+  --out ./codex.bindings.json
+```
+
+The reviewed Claude server has a scoped grant bound to an `ALLOW` result. Its
+unknown peer has a wildcard grant bound to a `BLOCK` result. The unmatched Claude
+permission is counted but not retained. Codex's reviewed server still requires
+review because `default_tools_approval_mode = "approve"` grants every tool.
+
+Generated reports intentionally omit endpoint paths, permission specifiers, tool
+names, and marker values. `expected.json` records only stable structural outcomes.

package/examples/adversarial/bindings/claude.mcp.json

@@ -0,0 +1,12 @@
+{
+  "mcpServers": {
+    "reviewed": {
+      "type": "http",
+      "url": "https://reviewed-bindings.invalid/mcp/INERT_BINDING_URL_MARKER"
+    },
+    "unknown": {
+      "type": "http",
+      "url": "https://unknown-bindings.invalid/mcp/INERT_BINDING_URL_MARKER"
+    }
+  }
+}

package/examples/adversarial/bindings/claude.settings.json

@@ -0,0 +1,9 @@
+{
+  "permissions": {
+    "allow": [
+      "mcp__reviewed__read_INERT_BINDING_TOOL_MARKER",
+      "mcp__unknown__*",
+      "mcp__missing__INERT_BINDING_UNBOUND_MARKER"
+    ]
+  }
+}

package/examples/adversarial/bindings/codex.toml

@@ -0,0 +1,9 @@
+[mcp_servers.reviewed]
+url = "https://reviewed-bindings.invalid/mcp/INERT_BINDING_URL_MARKER"
+default_tools_approval_mode = "approve"
+enabled_tools = ["read_INERT_BINDING_TOOL_MARKER"]
+
+[mcp_servers.unknown]
+url = "https://unknown-bindings.invalid/mcp/INERT_BINDING_URL_MARKER"
+default_tools_approval_mode = "approve"
+enabled_tools = ["*"]

package/examples/adversarial/bindings/expected.json

@@ -0,0 +1,15 @@
+{
+  "claude": {
+    "status": "block",
+    "automaticGrantCount": 2,
+    "boundCount": 1,
+    "blockedCount": 1,
+    "unboundAutomaticGrantCount": 1
+  },
+  "codex": {
+    "status": "block",
+    "automaticGrantCount": 2,
+    "reviewCount": 1,
+    "blockedCount": 1
+  }
+}

package/examples/adversarial/bindings/trust-store.json

@@ -0,0 +1,15 @@
+{
+  "version": 1,
+  "claims": [
+    {
+      "type": "remote",
+      "subject": "reviewed-bindings.invalid",
+      "publisher": "Inert Reviewed Publisher",
+      "status": "verified",
+      "evidence": {
+        "kind": "manual-review",
+        "reference": "https://evidence.invalid/trustdex/bindings-review"
+      }
+    }
+  ]
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "trustdex",
-  "version": "0.7.0",
+  "version": "0.9.0",
   "description": "A local-first trust, provenance, and review gate for AI agent tools, MCP servers, skills, and plugins.",
   "type": "module",
   "bin": {
@@ -8,8 +8,8 @@
   },
   "scripts": {
     "test": "node --test",
-    "test:research": "node --test test/research-fixtures.test.mjs test/claude-settings.test.mjs test/codex-settings.test.mjs test/posture.test.mjs",
-    "check": "node --check bin/trustdex.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/claude-settings.mjs && node --check src/codex-config.mjs && node --check src/codex-settings.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/posture.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
+    "test:research": "node --test test/research-fixtures.test.mjs test/claude-settings.test.mjs test/codex-settings.test.mjs test/posture.test.mjs test/settings-stack.test.mjs test/bindings.test.mjs",
+    "check": "node --check bin/trustdex.mjs && node --check src/bindings.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/claude-settings.mjs && node --check src/codex-config.mjs && node --check src/codex-settings.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/posture.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
     "prepublishOnly": "npm test && npm run check"
   },
   "engines": {

package/schemas/permission-posture-diff-v2.schema.json

@@ -0,0 +1,37 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/permission-posture-diff-v2.schema.json",
+  "title": "TrustDex merged permission posture diff v2",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "runtime",
+    "status",
+    "baselineDigest",
+    "currentDigest",
+    "summary",
+    "changes"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 2 },
+    "runtime": { "enum": ["claude", "codex"] },
+    "status": { "enum": ["unchanged", "restricted", "needs-review"] },
+    "baselineDigest": { "$ref": "permission-posture-diff-v1.schema.json#/$defs/digest" },
+    "currentDigest": { "$ref": "permission-posture-diff-v1.schema.json#/$defs/digest" },
+    "summary": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["expansions", "restrictions", "reviews"],
+      "properties": {
+        "expansions": { "$ref": "permission-posture-diff-v1.schema.json#/$defs/count" },
+        "restrictions": { "$ref": "permission-posture-diff-v1.schema.json#/$defs/count" },
+        "reviews": { "$ref": "permission-posture-diff-v1.schema.json#/$defs/count" }
+      }
+    },
+    "changes": {
+      "type": "array",
+      "items": { "$ref": "permission-posture-diff-v1.schema.json#/$defs/change" }
+    }
+  }
+}

package/schemas/permission-posture-v2.schema.json

@@ -0,0 +1,117 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/permission-posture-v2.schema.json",
+  "title": "TrustDex merged permission posture snapshot v2",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "kind",
+    "createdAt",
+    "runtime",
+    "policyDigest",
+    "posture",
+    "sources",
+    "digest"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 2 },
+    "kind": { "const": "agent-permission-posture" },
+    "createdAt": { "type": "string", "format": "date-time" },
+    "runtime": { "enum": ["claude", "codex"] },
+    "policyDigest": { "$ref": "permission-posture-v1.schema.json#/$defs/digest" },
+    "digest": { "$ref": "permission-posture-v1.schema.json#/$defs/digest" },
+    "posture": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["action", "signals", "metadata"],
+      "properties": {
+        "action": { "enum": ["allow", "ask", "block"] },
+        "signals": {
+          "type": "array",
+          "uniqueItems": true,
+          "items": { "type": "string" }
+        },
+        "metadata": { "type": "object" }
+      }
+    },
+    "sources": { "type": "object" }
+  },
+  "allOf": [
+    {
+      "if": { "properties": { "runtime": { "const": "claude" } } },
+      "then": {
+        "properties": {
+          "posture": {
+            "properties": {
+              "metadata": { "$ref": "permission-posture-v1.schema.json#/$defs/claudeMetadata" }
+            }
+          },
+          "sources": { "$ref": "#/$defs/claudeSources" }
+        }
+      }
+    },
+    {
+      "if": { "properties": { "runtime": { "const": "codex" } } },
+      "then": {
+        "properties": {
+          "posture": {
+            "properties": {
+              "metadata": { "$ref": "permission-posture-v1.schema.json#/$defs/codexMetadata" }
+            }
+          },
+          "sources": { "$ref": "#/$defs/codexSources" }
+        }
+      }
+    }
+  ],
+  "$defs": {
+    "count": {
+      "type": "integer",
+      "minimum": 0
+    },
+    "claudeSources": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["sourceCount", "activeSourceCount", "sourceCounts"],
+      "properties": {
+        "sourceCount": { "$ref": "#/$defs/count" },
+        "activeSourceCount": { "$ref": "#/$defs/count" },
+        "sourceCounts": {
+          "type": "object",
+          "additionalProperties": false,
+          "required": ["user", "project", "local", "session", "managed"],
+          "properties": {
+            "user": { "$ref": "#/$defs/count" },
+            "project": { "$ref": "#/$defs/count" },
+            "local": { "$ref": "#/$defs/count" },
+            "session": { "$ref": "#/$defs/count" },
+            "managed": { "$ref": "#/$defs/count" }
+          }
+        }
+      }
+    },
+    "codexSources": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["sourceCount", "activeSourceCount", "sourceCounts"],
+      "properties": {
+        "sourceCount": { "$ref": "#/$defs/count" },
+        "activeSourceCount": { "$ref": "#/$defs/count" },
+        "sourceCounts": {
+          "type": "object",
+          "additionalProperties": false,
+          "required": ["system", "managed", "user", "profile", "project", "cli"],
+          "properties": {
+            "system": { "$ref": "#/$defs/count" },
+            "managed": { "$ref": "#/$defs/count" },
+            "user": { "$ref": "#/$defs/count" },
+            "profile": { "$ref": "#/$defs/count" },
+            "project": { "$ref": "#/$defs/count" },
+            "cli": { "$ref": "#/$defs/count" }
+          }
+        }
+      }
+    }
+  }
+}

package/schemas/tool-permission-bindings-diff-v1.schema.json

@@ -0,0 +1,70 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/tool-permission-bindings-diff-v1.schema.json",
+  "title": "TrustDex tool provenance and permission binding diff v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "runtime",
+    "status",
+    "baselineDigest",
+    "currentDigest",
+    "summary",
+    "changes"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 1 },
+    "runtime": { "enum": ["claude", "codex"] },
+    "status": { "enum": ["unchanged", "restricted", "needs-review"] },
+    "baselineDigest": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/digest" },
+    "currentDigest": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/digest" },
+    "summary": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["expansions", "restrictions", "reviews"],
+      "properties": {
+        "expansions": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/count" },
+        "restrictions": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/count" },
+        "reviews": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/count" }
+      }
+    },
+    "changes": {
+      "type": "array",
+      "items": { "$ref": "#/$defs/change" }
+    }
+  },
+  "$defs": {
+    "value": { "type": ["string", "boolean", "number", "null"] },
+    "change": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["impact", "type", "name", "field", "before", "after"],
+      "properties": {
+        "impact": { "enum": ["expansion", "restriction", "review"] },
+        "type": {
+          "enum": [
+            "policy-changed",
+            "trust-store-changed",
+            "count-changed",
+            "binding-added",
+            "binding-removed",
+            "source-decision-changed",
+            "provenance-changed",
+            "grant-changed",
+            "wildcard-changed"
+          ]
+        },
+        "name": {
+          "oneOf": [
+            { "type": "string", "minLength": 1 },
+            { "type": "null" }
+          ]
+        },
+        "field": { "type": "string", "minLength": 1 },
+        "before": { "$ref": "#/$defs/value" },
+        "after": { "$ref": "#/$defs/value" }
+      }
+    }
+  }
+}

package/schemas/tool-permission-bindings-v1.schema.json

@@ -0,0 +1,94 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/tool-permission-bindings-v1.schema.json",
+  "title": "TrustDex tool provenance and permission bindings v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "kind",
+    "createdAt",
+    "runtime",
+    "policyDigest",
+    "trustStoreDigest",
+    "status",
+    "summary",
+    "bindings",
+    "digest"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 1 },
+    "kind": { "const": "agent-tool-permission-bindings" },
+    "createdAt": { "type": "string", "format": "date-time" },
+    "runtime": { "enum": ["claude", "codex"] },
+    "policyDigest": { "$ref": "#/$defs/digest" },
+    "trustStoreDigest": {
+      "oneOf": [
+        { "$ref": "#/$defs/digest" },
+        { "type": "null" }
+      ]
+    },
+    "status": { "enum": ["clear", "bound", "needs-review", "block"] },
+    "summary": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "serverCount",
+        "automaticGrantCount",
+        "boundCount",
+        "reviewCount",
+        "blockedCount",
+        "unboundAutomaticGrantCount",
+        "ambiguousAutomaticGrantCount"
+      ],
+      "properties": {
+        "serverCount": { "$ref": "#/$defs/count" },
+        "automaticGrantCount": { "$ref": "#/$defs/count" },
+        "boundCount": { "$ref": "#/$defs/count" },
+        "reviewCount": { "$ref": "#/$defs/count" },
+        "blockedCount": { "$ref": "#/$defs/count" },
+        "unboundAutomaticGrantCount": { "$ref": "#/$defs/count" },
+        "ambiguousAutomaticGrantCount": { "$ref": "#/$defs/count" }
+      }
+    },
+    "bindings": {
+      "type": "array",
+      "items": { "$ref": "#/$defs/binding" }
+    },
+    "digest": { "$ref": "#/$defs/digest" }
+  },
+  "$defs": {
+    "digest": {
+      "type": "string",
+      "pattern": "^[a-f0-9]{64}$"
+    },
+    "count": {
+      "type": "integer",
+      "minimum": 0
+    },
+    "binding": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "name",
+        "sourceDecision",
+        "provenanceStatus",
+        "integrityVerified",
+        "automaticGrant",
+        "grantRuleCount",
+        "toolScopeWildcard",
+        "status"
+      ],
+      "properties": {
+        "name": { "type": "string", "minLength": 1 },
+        "sourceDecision": { "enum": ["allow", "ask", "block"] },
+        "provenanceStatus": { "enum": ["unknown", "verified", "mismatch"] },
+        "integrityVerified": { "type": "boolean" },
+        "automaticGrant": { "enum": ["none", "scoped", "all"] },
+        "grantRuleCount": { "$ref": "#/$defs/count" },
+        "toolScopeWildcard": { "type": "boolean" },
+        "status": { "enum": ["not-granted", "bound", "needs-review", "blocked"] }
+      }
+    }
+  }
+}