trustdex 0.8.0 → 0.9.0

package/docs/DEFENSIVE_USE_CASE.md

@@ -45,6 +45,7 @@ This work is defensive engineering. It does not require credential theft, persis
 | Avoid silent parser bypass | focused adapters reject unsupported security-relevant syntax |
 | Keep secrets out of evidence | tests for redaction from output, snapshots, and configuration fingerprints |
 | Make approval drift visible | deterministic snapshots, Ed25519 review records, and recheck commands |
+| Reconcile source trust with automatic grants | value-free Claude/Codex binding snapshots, schemas, diffs, and inert fixtures |
 | Reduce supply-chain ambiguity | explicit provenance observations, artifact digest verification, release checksums, SBOMs, and build attestations |
 | Keep research reproducible | inert fixtures, documented expectations, cross-platform CI, and CodeQL |
 
@@ -64,6 +65,11 @@ applies documented system-through-CLI precedence to supplied files, including or
 project layers. It does not discover the active layers, enforce requirements, or replace
 the active Codex sandbox.
 
+`snapshot-claude-bindings` and `snapshot-codex-bindings` connect each inspected MCP
+source decision/provenance state to its automatic tool-grant shape. This makes broad
+or blocked grants reviewable without retaining tool names or permission specifiers.
+It remains static evidence and does not enforce runtime calls.
+
 ## CVP application boundary
 
 Anthropic's current Cyber Verification Program application asks for verifiable identity or organization details, a description of security work, and an attestation to the controls for the requested tier. This repository can support the security-work description, but repository changes cannot establish the operator's identity or satisfy account and device controls by themselves.

package/docs/EVALUATION.ko.md

@@ -77,6 +77,23 @@
 제거된 권한 규칙 안에서 개수는 같고 내용만 바뀌는 경우는 이 구조적 비교의
 범위 밖입니다.
 
+## 도구 출처와 권한 결합 사례
+
+`examples/adversarial/bindings/`와 `test/bindings.test.mjs`는 MCP 정책/출처 결과를
+Claude 및 Codex 자동 도구 권한과 연결합니다. 회귀 테스트는 다음을 요구합니다.
+
+- ALLOW 소스에 대한 범위 제한 Claude 권한은 `bound`
+- 와일드카드/전체 도구 권한 및 ASK 소스의 권한은 재검토
+- BLOCK 소스 또는 출처 불일치의 권한은 `blocked`
+- 일치하지 않거나 모호한 Claude 규칙은 값을 보관하지 않고 개수만 기록
+- 정책, 출처, 신뢰 저장소 및 권한 확대 드리프트는 재검토
+- 변조된 요약, 상태 또는 다이제스트는 안전하게 실패
+- 엔드포인트 경로, 권한 지정자, 도구 이름 및 비활성 마커 값을 계속 제외
+
+스냅샷 스키마는 안정적인 보고서 형태를 검증합니다. 서명된 신뢰 기록은 검토된
+스냅샷을 인증할 수 있지만 스키마나 서명 모두 런타임 강제 또는 도구 안전성을
+증명하지 않습니다.
+
 ## 병합 설정 스택 사례
 
 `test/settings-stack.test.mjs`는 두 런타임의 명시적 소스 스택을 검사합니다. 다음을 요구합니다.

package/docs/EVALUATION.md

@@ -79,6 +79,23 @@ for both runtimes. `test/posture.test.mjs` requires:
 The digest checks internal consistency, not signer identity. Same-count changes inside
 redacted permission rules remain outside this structural comparison.
 
+## Tool provenance and permission binding cases
+
+`examples/adversarial/bindings/` and `test/bindings.test.mjs` join MCP policy/provenance
+results to Claude and Codex automatic tool grants. The regression requires:
+
+- a scoped Claude grant to an ALLOW source to be `bound`
+- wildcard or all-tool grants and grants to ASK sources to require review
+- grants to BLOCK sources or provenance mismatches to be `blocked`
+- unmatched and ambiguous Claude rules to be counted without retaining their values
+- policy, provenance, trust-store, and grant expansion drift to require review
+- tampered summaries, statuses, or digests to fail closed
+- endpoint paths, permission specifiers, tool names, and inert marker values to remain absent
+
+The snapshot schemas validate the stable report shape. A signed trust record can
+authenticate a reviewed snapshot, but neither the schema nor signature proves runtime
+enforcement or tool safety.
+
 ## Merged settings stack cases
 
 `test/settings-stack.test.mjs` exercises explicit source stacks for both runtimes. It requires:

package/docs/ROADMAP.ko.md

@@ -14,6 +14,8 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
   추가합니다.
 - TrustDex 0.8.0은 문서화된 Claude Code 및 Codex 우선순위를 위한 명시적 병합 소스
   검사, 스키마 v2 소스 구성 증거 및 안전하게 실패하는 스택 테스트를 추가합니다.
+- TrustDex 0.9.0은 MCP 정책/출처 결과와 자동 도구 권한 사이의 값 없는 Claude/Codex
+  연결, 버전 지정 스키마, 드리프트 검토 및 비활성 픽스처를 추가합니다.
 
 ## 현재: 경계 강화
 
@@ -24,12 +26,12 @@ TrustDex는 초기 단계입니다. 이 로드맵은 방향을 공유하며 릴
 - 안정적인 정책 및 스냅샷 스키마 규칙 문서화
 - CI, CodeQL 및 릴리스 자동화를 재현 가능하고 검토 가능한 상태로 유지
 
-## 다음: 에이전트 행동 경계를 검토 가능하게 만들기
+## 다음: 실제 런타임 증거 강화
 
-- 승인된 도구 출처와 해당 도구에 부여된 행동 권한 연결
 - 버전이 지정된 권한 상태 JSON 스키마를 추가 결정 및 런타임으로 확장
 - 권고형 설정 검사가 런타임 및 운영체제 샌드박스와 결합되는 방식 문서화
 - 비공개 파일을 조용히 찾지 않으면서 런타임이 생성한 실제 설정 증거 추가
+- 호출을 가로채지 않고 런타임이 생성한 MCP/도구 목록을 받는 옵트인 어댑터 추가
 
 ## 그다음: 무결성 증명
 

package/docs/ROADMAP.md

@@ -14,6 +14,8 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
   permission fixtures.
 - TrustDex 0.8.0 adds explicit merged-source inspection for documented Claude Code
   and Codex precedence, schema-v2 source topology evidence, and fail-closed stack tests.
+- TrustDex 0.9.0 adds value-free Claude/Codex bindings between MCP policy/provenance
+  results and automatic tool grants, versioned schemas, drift review, and inert fixtures.
 
 ## Now: harden the boundary
 
@@ -24,12 +26,12 @@ TrustDex is early-stage. This roadmap communicates direction and is not a releas
 - document stable policy and snapshot schema rules
 - keep CI, CodeQL, and release automation reproducible and reviewable
 
-## Next: make agent action boundaries reviewable
+## Next: strengthen effective-runtime evidence
 
-- connect approved tool provenance to the action permissions granted to that tool
 - extend the versioned permission-posture JSON schemas to additional decisions and runtimes
 - document how advisory settings checks compose with runtime and operating-system sandboxes
 - add runtime-produced effective-setting evidence without silently discovering private files
+- add opt-in adapters for runtime-produced MCP/tool inventories without intercepting calls
 
 ## Then: prove integrity
 

package/docs/THREAT_MODEL.ko.md

@@ -24,6 +24,8 @@ TrustDex는 하나의 좁은 질문을 다룹니다.
 - 명시적인 검토 없이 변경되는 행동 권한 설정
 - 값이 제거된 구조적 기준 상태보다 확대되는 Claude 또는 Codex 권한 상태
 - 명시적으로 전달된 Claude 또는 Codex 설정 소스 사이의 우선순위 변경
+- 서버의 정책/출처 결과와 더 이상 일치하지 않는 자동 MCP 도구 권한
+- 실제 도구 경계를 가리는 와일드카드, 일치하지 않거나 모호한 권한
 
 ## 신뢰 경계
 
@@ -50,6 +52,8 @@ TrustDex는 익숙한 프로젝트 이름, 스타 수, 패키지 이름 또는
 - 명시적으로 병합한 설정 투영이 런타임에서 활성화된 정책임을 증명하는 것
 - Claude Code 또는 Codex 행동 권한의 런타임 강제 적용
 - 서명되지 않은 권한 상태 스냅샷 작성자의 인증
+- 결합 스냅샷이 실행 중인 에이전트가 실제로 불러온 파일을 반영함을 증명하는 것
+- 개별 MCP 도구 호출을 런타임에서 가로채거나 강제하는 것
 
 ## 중요한 실패 모드
 

package/docs/THREAT_MODEL.md

@@ -24,6 +24,8 @@ TrustDex addresses one narrow question:
 - action-permission settings changing without an explicit review
 - Claude or Codex permission posture expanding relative to a value-free structural baseline
 - precedence changes across explicitly supplied Claude or Codex settings sources
+- automatic MCP tool grants that no longer match the server's policy/provenance result
+- wildcard, unmatched, or ambiguous grants that hide the effective tool boundary
 
 ## Trust boundaries
 
@@ -50,6 +52,8 @@ TrustDex does **not** treat a familiar project name, star count, package name, o
 - proving that the explicitly merged settings projection is the policy active at runtime
 - enforcing Claude Code or Codex action permissions at runtime
 - authenticating the author of an unsigned permission posture snapshot
+- proving that a binding snapshot reflects the files actually loaded by a running agent
+- intercepting or enforcing individual MCP tool calls at runtime
 
 ## Important failure mode
 

package/examples/adversarial/README.ko.md

@@ -10,6 +10,8 @@
 - `policy.json`은 소스 허용 목록과 독립적으로 차단 신호를 테스트할 수 있도록 픽스처 패키지 1개와 픽스처 호스트 2개를 명시적으로 신뢰합니다.
 - `expected.json`은 필수 결정과 최소 신호를 기록합니다.
 - `drift-before.json`과 `drift-after.json`은 검토된 패키지에 비밀 정보를 포함하는 환경 키가 추가되는 상황을 모델링합니다.
+- [`permissions/`](permissions/README.ko.md)는 값이 제거된 Claude/Codex 권한 상태 드리프트를 다룹니다.
+- [`bindings/`](bindings/README.ko.md)는 MCP 출처와 자동 권한의 연결을 다룹니다.
 
 모든 패키지 이름은 가상이며, 모든 원격 엔드포인트는 예약된 `.invalid` 최상위 도메인을 사용하고, 자격 증명으로 보이는 모든 값은 자리표시자입니다. 이를 실제 값으로 바꾸지 마세요. TrustDex는 이 파일을 읽지만 나열된 명령을 실행하거나 나열된 엔드포인트에 연결하지 않습니다.
 

package/examples/adversarial/README.md

@@ -10,6 +10,8 @@ These files provide a reproducible defensive test of TrustDex's policy boundary.
 - `policy.json` explicitly trusts one fixture package and two fixture hosts so blocking signals can be tested independently of source allowlisting.
 - `expected.json` records the required decisions and minimum signals.
 - `drift-before.json` and `drift-after.json` model a reviewed package gaining a secret-bearing environment key.
+- [`permissions/`](permissions/README.md) covers value-free Claude/Codex permission posture drift.
+- [`bindings/`](bindings/README.md) covers MCP provenance-to-automatic-grant bindings.
 
 All package names are fictional, all remote endpoints use the reserved `.invalid` top-level domain, and all apparent credentials are placeholders. Do not replace them with real values. TrustDex reads these files but never executes the listed commands or contacts the listed endpoints.
 

package/examples/adversarial/bindings/README.ko.md

@@ -0,0 +1,24 @@
+# 도구 출처와 권한 결합 픽스처
+
+이 비활성 픽스처는 MCP 서버의 정책/출처 결과와 해당 서버에 부여된 자동 도구
+권한을 값 없이 연결하는 TrustDex 동작을 검증합니다. 예약된 `.invalid` 도메인과
+자리표시자 마커만 사용하며, 검사는 서버에 연결하거나 서버를 실행하지 않습니다.
+
+```bash
+node ../../../bin/trustdex.mjs snapshot-claude-bindings ./claude.mcp.json \
+  --settings ./claude.settings.json \
+  --trust-store ./trust-store.json \
+  --out ./claude.bindings.json
+
+node ../../../bin/trustdex.mjs snapshot-codex-bindings ./codex.toml \
+  --trust-store ./trust-store.json \
+  --out ./codex.bindings.json
+```
+
+검토된 Claude 서버의 범위 제한 승인은 `ALLOW` 결과와 결합됩니다. 출처를 알 수
+없는 서버의 와일드카드 승인은 `BLOCK` 결과와 결합됩니다. 일치하지 않는 Claude
+권한 규칙은 개수만 기록하고 값은 보관하지 않습니다. Codex의 검토된 서버도
+`default_tools_approval_mode = "approve"`가 모든 도구를 승인하므로 재검토가 필요합니다.
+
+생성된 보고서는 엔드포인트 경로, 권한 지정자, 도구 이름 및 마커 값을 의도적으로
+제외합니다. `expected.json`은 안정적인 구조적 결과만 기록합니다.

package/examples/adversarial/bindings/README.md

@@ -0,0 +1,25 @@
+# Tool provenance and permission binding fixtures
+
+These inert fixtures exercise TrustDex's value-free link between an MCP server's
+policy/provenance result and the automatic tool permission granted to that server.
+They use reserved `.invalid` domains and placeholder markers; inspection never
+contacts or launches either server.
+
+```bash
+node ../../../bin/trustdex.mjs snapshot-claude-bindings ./claude.mcp.json \
+  --settings ./claude.settings.json \
+  --trust-store ./trust-store.json \
+  --out ./claude.bindings.json
+
+node ../../../bin/trustdex.mjs snapshot-codex-bindings ./codex.toml \
+  --trust-store ./trust-store.json \
+  --out ./codex.bindings.json
+```
+
+The reviewed Claude server has a scoped grant bound to an `ALLOW` result. Its
+unknown peer has a wildcard grant bound to a `BLOCK` result. The unmatched Claude
+permission is counted but not retained. Codex's reviewed server still requires
+review because `default_tools_approval_mode = "approve"` grants every tool.
+
+Generated reports intentionally omit endpoint paths, permission specifiers, tool
+names, and marker values. `expected.json` records only stable structural outcomes.

package/examples/adversarial/bindings/claude.mcp.json

@@ -0,0 +1,12 @@
+{
+  "mcpServers": {
+    "reviewed": {
+      "type": "http",
+      "url": "https://reviewed-bindings.invalid/mcp/INERT_BINDING_URL_MARKER"
+    },
+    "unknown": {
+      "type": "http",
+      "url": "https://unknown-bindings.invalid/mcp/INERT_BINDING_URL_MARKER"
+    }
+  }
+}

package/examples/adversarial/bindings/claude.settings.json

@@ -0,0 +1,9 @@
+{
+  "permissions": {
+    "allow": [
+      "mcp__reviewed__read_INERT_BINDING_TOOL_MARKER",
+      "mcp__unknown__*",
+      "mcp__missing__INERT_BINDING_UNBOUND_MARKER"
+    ]
+  }
+}

package/examples/adversarial/bindings/codex.toml

@@ -0,0 +1,9 @@
+[mcp_servers.reviewed]
+url = "https://reviewed-bindings.invalid/mcp/INERT_BINDING_URL_MARKER"
+default_tools_approval_mode = "approve"
+enabled_tools = ["read_INERT_BINDING_TOOL_MARKER"]
+
+[mcp_servers.unknown]
+url = "https://unknown-bindings.invalid/mcp/INERT_BINDING_URL_MARKER"
+default_tools_approval_mode = "approve"
+enabled_tools = ["*"]

package/examples/adversarial/bindings/expected.json

@@ -0,0 +1,15 @@
+{
+  "claude": {
+    "status": "block",
+    "automaticGrantCount": 2,
+    "boundCount": 1,
+    "blockedCount": 1,
+    "unboundAutomaticGrantCount": 1
+  },
+  "codex": {
+    "status": "block",
+    "automaticGrantCount": 2,
+    "reviewCount": 1,
+    "blockedCount": 1
+  }
+}

package/examples/adversarial/bindings/trust-store.json

@@ -0,0 +1,15 @@
+{
+  "version": 1,
+  "claims": [
+    {
+      "type": "remote",
+      "subject": "reviewed-bindings.invalid",
+      "publisher": "Inert Reviewed Publisher",
+      "status": "verified",
+      "evidence": {
+        "kind": "manual-review",
+        "reference": "https://evidence.invalid/trustdex/bindings-review"
+      }
+    }
+  ]
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "trustdex",
-  "version": "0.8.0",
+  "version": "0.9.0",
   "description": "A local-first trust, provenance, and review gate for AI agent tools, MCP servers, skills, and plugins.",
   "type": "module",
   "bin": {
@@ -8,8 +8,8 @@
   },
   "scripts": {
     "test": "node --test",
-    "test:research": "node --test test/research-fixtures.test.mjs test/claude-settings.test.mjs test/codex-settings.test.mjs test/posture.test.mjs test/settings-stack.test.mjs",
-    "check": "node --check bin/trustdex.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/claude-settings.mjs && node --check src/codex-config.mjs && node --check src/codex-settings.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/posture.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
+    "test:research": "node --test test/research-fixtures.test.mjs test/claude-settings.test.mjs test/codex-settings.test.mjs test/posture.test.mjs test/settings-stack.test.mjs test/bindings.test.mjs",
+    "check": "node --check bin/trustdex.mjs && node --check src/bindings.mjs && node --check src/canonical.mjs && node --check src/claude-config.mjs && node --check src/claude-settings.mjs && node --check src/codex-config.mjs && node --check src/codex-settings.mjs && node --check src/extensions.mjs && node --check src/gate.mjs && node --check src/inspect.mjs && node --check src/policy.mjs && node --check src/policy-packs.mjs && node --check src/posture.mjs && node --check src/provenance.mjs && node --check src/provenance-online.mjs && node --check src/review.mjs && node --check src/snapshot.mjs && node --check src/trust-record.mjs",
     "prepublishOnly": "npm test && npm run check"
   },
   "engines": {

package/schemas/tool-permission-bindings-diff-v1.schema.json

@@ -0,0 +1,70 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/tool-permission-bindings-diff-v1.schema.json",
+  "title": "TrustDex tool provenance and permission binding diff v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "runtime",
+    "status",
+    "baselineDigest",
+    "currentDigest",
+    "summary",
+    "changes"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 1 },
+    "runtime": { "enum": ["claude", "codex"] },
+    "status": { "enum": ["unchanged", "restricted", "needs-review"] },
+    "baselineDigest": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/digest" },
+    "currentDigest": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/digest" },
+    "summary": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["expansions", "restrictions", "reviews"],
+      "properties": {
+        "expansions": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/count" },
+        "restrictions": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/count" },
+        "reviews": { "$ref": "tool-permission-bindings-v1.schema.json#/$defs/count" }
+      }
+    },
+    "changes": {
+      "type": "array",
+      "items": { "$ref": "#/$defs/change" }
+    }
+  },
+  "$defs": {
+    "value": { "type": ["string", "boolean", "number", "null"] },
+    "change": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": ["impact", "type", "name", "field", "before", "after"],
+      "properties": {
+        "impact": { "enum": ["expansion", "restriction", "review"] },
+        "type": {
+          "enum": [
+            "policy-changed",
+            "trust-store-changed",
+            "count-changed",
+            "binding-added",
+            "binding-removed",
+            "source-decision-changed",
+            "provenance-changed",
+            "grant-changed",
+            "wildcard-changed"
+          ]
+        },
+        "name": {
+          "oneOf": [
+            { "type": "string", "minLength": 1 },
+            { "type": "null" }
+          ]
+        },
+        "field": { "type": "string", "minLength": 1 },
+        "before": { "$ref": "#/$defs/value" },
+        "after": { "$ref": "#/$defs/value" }
+      }
+    }
+  }
+}

package/schemas/tool-permission-bindings-v1.schema.json

@@ -0,0 +1,94 @@
+{
+  "$schema": "https://json-schema.org/draft/2020-12/schema",
+  "$id": "https://github.com/grigent/trustdex/blob/main/schemas/tool-permission-bindings-v1.schema.json",
+  "title": "TrustDex tool provenance and permission bindings v1",
+  "type": "object",
+  "additionalProperties": false,
+  "required": [
+    "schemaVersion",
+    "kind",
+    "createdAt",
+    "runtime",
+    "policyDigest",
+    "trustStoreDigest",
+    "status",
+    "summary",
+    "bindings",
+    "digest"
+  ],
+  "properties": {
+    "schemaVersion": { "const": 1 },
+    "kind": { "const": "agent-tool-permission-bindings" },
+    "createdAt": { "type": "string", "format": "date-time" },
+    "runtime": { "enum": ["claude", "codex"] },
+    "policyDigest": { "$ref": "#/$defs/digest" },
+    "trustStoreDigest": {
+      "oneOf": [
+        { "$ref": "#/$defs/digest" },
+        { "type": "null" }
+      ]
+    },
+    "status": { "enum": ["clear", "bound", "needs-review", "block"] },
+    "summary": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "serverCount",
+        "automaticGrantCount",
+        "boundCount",
+        "reviewCount",
+        "blockedCount",
+        "unboundAutomaticGrantCount",
+        "ambiguousAutomaticGrantCount"
+      ],
+      "properties": {
+        "serverCount": { "$ref": "#/$defs/count" },
+        "automaticGrantCount": { "$ref": "#/$defs/count" },
+        "boundCount": { "$ref": "#/$defs/count" },
+        "reviewCount": { "$ref": "#/$defs/count" },
+        "blockedCount": { "$ref": "#/$defs/count" },
+        "unboundAutomaticGrantCount": { "$ref": "#/$defs/count" },
+        "ambiguousAutomaticGrantCount": { "$ref": "#/$defs/count" }
+      }
+    },
+    "bindings": {
+      "type": "array",
+      "items": { "$ref": "#/$defs/binding" }
+    },
+    "digest": { "$ref": "#/$defs/digest" }
+  },
+  "$defs": {
+    "digest": {
+      "type": "string",
+      "pattern": "^[a-f0-9]{64}$"
+    },
+    "count": {
+      "type": "integer",
+      "minimum": 0
+    },
+    "binding": {
+      "type": "object",
+      "additionalProperties": false,
+      "required": [
+        "name",
+        "sourceDecision",
+        "provenanceStatus",
+        "integrityVerified",
+        "automaticGrant",
+        "grantRuleCount",
+        "toolScopeWildcard",
+        "status"
+      ],
+      "properties": {
+        "name": { "type": "string", "minLength": 1 },
+        "sourceDecision": { "enum": ["allow", "ask", "block"] },
+        "provenanceStatus": { "enum": ["unknown", "verified", "mismatch"] },
+        "integrityVerified": { "type": "boolean" },
+        "automaticGrant": { "enum": ["none", "scoped", "all"] },
+        "grantRuleCount": { "$ref": "#/$defs/count" },
+        "toolScopeWildcard": { "type": "boolean" },
+        "status": { "enum": ["not-granted", "bound", "needs-review", "blocked"] }
+      }
+    }
+  }
+}