ummaya 0.2.4 → 0.2.6

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "ummaya",
-  "version": "0.2.4",
+  "version": "0.2.6",
   "description": "Conversational multi-agent harness for Korean public-service channels",
   "license": "Apache-2.0",
   "type": "module",
@@ -23,6 +23,8 @@
     "uv.lock",
     "docs/demo/**",
     "docs/plugins/security-review.md",
+    "specs/2803-document-production-hardening/contracts/document-tools.schema.json",
+    "tests/fixtures/documents/public_forms/baselines.yaml",
     "tests/fixtures/plugin_validation/checklist_manifest.yaml",
     "!**/.DS_Store",
     "!**/__pycache__/**",
@@ -70,38 +72,39 @@
   ],
   "dependencies": {
     "@alcalzone/ansi-tokenize": "^0.3.0",
-    "@anthropic-ai/claude-agent-sdk": "^0.2.119",
     "@anthropic-ai/mcpb": "^2.1.2",
     "@anthropic-ai/sandbox-runtime": "^0.0.49",
     "@anthropic-ai/sdk": "^0.37.0",
-    "@aws-sdk/client-bedrock-runtime": "^3.1036.0",
+    "@aws-sdk/client-bedrock-runtime": "^3.1072.0",
     "@commander-js/extra-typings": "^12.1.0",
     "@growthbook/growthbook": "^1.6.5",
-    "@grpc/grpc-js": "^1.14.3",
+    "@grpc/grpc-js": "^1.14.4",
     "@inkjs/ui": "^2.0.0",
     "@modelcontextprotocol/sdk": "^1.29.0",
     "@opentelemetry/api": "^1.9.1",
-    "@opentelemetry/api-logs": "^0.215.0",
-    "@opentelemetry/core": "^2.7.0",
-    "@opentelemetry/exporter-logs-otlp-grpc": "^0.216.0",
-    "@opentelemetry/exporter-logs-otlp-http": "^0.216.0",
-    "@opentelemetry/exporter-logs-otlp-proto": "^0.216.0",
-    "@opentelemetry/exporter-metrics-otlp-grpc": "^0.216.0",
-    "@opentelemetry/exporter-metrics-otlp-http": "^0.216.0",
-    "@opentelemetry/exporter-metrics-otlp-proto": "^0.216.0",
-    "@opentelemetry/exporter-trace-otlp-grpc": "^0.216.0",
-    "@opentelemetry/exporter-trace-otlp-http": "^0.216.0",
-    "@opentelemetry/exporter-trace-otlp-proto": "^0.216.0",
-    "@opentelemetry/resources": "^2.7.0",
-    "@opentelemetry/sdk-logs": "^0.215.0",
-    "@opentelemetry/sdk-metrics": "^2.7.0",
-    "@opentelemetry/sdk-trace-base": "^2.7.0",
+    "@opentelemetry/api-logs": "^0.219.0",
+    "@opentelemetry/core": "^2.8.0",
+    "@opentelemetry/exporter-logs-otlp-grpc": "^0.219.0",
+    "@opentelemetry/exporter-logs-otlp-http": "^0.219.0",
+    "@opentelemetry/exporter-logs-otlp-proto": "^0.219.0",
+    "@opentelemetry/exporter-metrics-otlp-grpc": "^0.219.0",
+    "@opentelemetry/exporter-metrics-otlp-http": "^0.219.0",
+    "@opentelemetry/exporter-metrics-otlp-proto": "^0.219.0",
+    "@opentelemetry/exporter-trace-otlp-grpc": "^0.219.0",
+    "@opentelemetry/exporter-trace-otlp-http": "^0.219.0",
+    "@opentelemetry/exporter-trace-otlp-proto": "^0.219.0",
+    "@opentelemetry/resources": "^2.8.0",
+    "@opentelemetry/sdk-logs": "^0.219.0",
+    "@opentelemetry/sdk-metrics": "^2.8.0",
+    "@opentelemetry/sdk-trace-base": "^2.8.0",
     "@opentelemetry/semantic-conventions": "^1.40.0",
     "@pdf-lib/fontkit": "^1.1.1",
+    "@rhwp/core": "^0.7.13",
+    "@ssabrojs/hwpxjs": "0.4.0",
     "ajv": "^8.18.0",
     "asciichart": "^1.5.25",
     "auto-bind": "^5.0.1",
-    "axios": "^1.15.2",
+    "axios": "^1.18.0",
     "bidi-js": "^1.0.3",
     "bundle": "file:./tui/src/runtime/bundle-package",
     "chalk": "^5.3.0",
@@ -131,14 +134,28 @@
     "react": "^19.2.0",
     "react-reconciler": "0.33.0",
     "semver": "^7.7.4",
-    "shell-quote": "^1.8.3",
+    "shell-quote": "^1.8.4",
     "supports-hyperlinks": "^4.4.0",
     "tree-kill": "^1.2.2",
-    "undici": "^8.1.0",
+    "undici": "^8.5.0",
     "usehooks-ts": "^3.1.1",
     "vscode-languageserver-protocol": "^3.17.5",
     "xss": "^1.0.15",
     "yaml": "^2.8.3",
     "zod": "^3.23.0"
+  },
+  "overrides": {
+    "fast-uri": "^3.1.2",
+    "fast-xml-builder": "^1.2.0",
+    "form-data": "^4.0.6",
+    "hono": "^4.12.26",
+    "ip-address": "^10.2.0",
+    "js-yaml": "^4.2.0",
+    "protobufjs": "^7.6.3",
+    "qs": "^6.15.2",
+    "shell-quote": "^1.8.4",
+    "tar": "^7.5.16",
+    "tmp": "^0.2.7",
+    "ws": "^8.21.0"
   }
 }

package/prompts/manifest.yaml

@@ -10,5 +10,5 @@ entries:
   path: session_guidance_v1.md
 - prompt_id: system_v1
   version: 1
-  sha256: f70d0e9a95a85c501f426c6d1376bbc953767ba474be2213f946f30b6b7e53aa
+  sha256: b25e6d153c299f0b9ea67081b191e38de7a11dcfadc14db33473e9b53d476e2c
   path: system_v1.md

package/prompts/system_v1.md

@@ -121,6 +121,7 @@ Use available tools when the citizen's request requires live data lookup.
 3. **결과를 받으면 다음 turn 에서 다시 짧은 진행 문장 → 다음 도구 호출** 또는 **충분한 정보가 모였으면 최종 답변**.
 4. 충분한 정보가 모인 turn 에는 도구 호출 없이 답변 paragraphs 만 작성합니다. 첫 paragraph 가 핵심 결론, 다음 paragraph 가 부연입니다.
 이 흐름의 핵심: 도구 호출 전에는 시민이 이해할 수 있는 짧은 진행 문장을 쓰고, 최종 답변에는 내부 단계명이나 메타 라벨을 붙이지 않습니다.
+**로컬 문서/파일 진행 문장 guard**: 시민이 로컬 경로, 다운로드 폴더, HWPX/HWP/DOCX/PDF/XLSX/PPTX 파일을 말하면 UMMAYA는 로컬 문서/작업공간 도구로 확인할 수 있습니다. 도구 호출 전에 "파일이 없다", "제공된 파일이 없다", "찾을 수 없다"처럼 존재 여부를 단정하지 말고, "문서 위치와 내용을 확인하겠습니다"처럼 확인 목적만 말하십시오. 파일 존재 여부는 도구 결과를 받은 뒤에만 말하십시오.
 **메타 라벨 금지**: 시민 응답에는 내부 단계명, 영어 메타 라벨, 함수 호출 형식 설명을 붙이지 말고 자연어 문장만 작성하십시오.
 **One tool per turn — 한 turn 안에서 도구는 정확히 한 개만 호출.** 같은 의도의 도구 (예: kma_current_observation + kma_forecast_fetch) 를 한 turn 에 여러 개 호출 금지. 첫 도구의 결과를 본 후에야 다음 도구가 필요한지 판단합니다. 부산 + 서울 같이 *완전히 독립* 인 같은 도구의 두 호출만 한 turn 에 parallel 가능.
 **Paragraph-cadence answer — K-EXAONE on FriendliAI 는 SSE chunk 를 *paragraph* 단위로 emit.** 답변을 짧은 paragraph (1-3 줄) 로 끊어서 작성. 한 paragraph 가 5+ 줄이면 시민이 받는 batch 가 너무 크고 다음 paragraph 까지 기다리는 spinner 도 길어집니다.

package/pyproject.toml

@@ -1,6 +1,6 @@
 [project]
 name = "ummaya"
-version = "0.2.4"
+version = "0.2.6"
 description = "Conversational multi-agent platform for Korean public APIs"
 readme = "README.md"
 license = "Apache-2.0"
@@ -52,6 +52,21 @@ dependencies = [
     # (`uv sync --frozen`) do not install dev/extras groups, so yaml MUST be
     # a core runtime dependency or those entrypoints crash at import.
     "pyyaml>=6.0.3",
+    "python-docx>=1.2.0",
+    "openpyxl>=3.1.5",
+    "python-pptx>=1.0.2",
+    "defusedxml>=0.7.1",
+    "pypdf>=6.13.3",
+    "pypdfium2>=5.9.0",
+    # spec 2802 — local-only read engine for legacy HWP inspection. Direct HWP
+    # writing remains blocked until a separate conversion/write ADR passes.
+    "unhwp>=0.5.0,<0.6",
+    # spec 2802 — pypdf uses fontTools to build embedded TrueType appearance
+    # streams for Korean AcroForm text without viewer-side regeneration.
+    "fonttools>=4.60",
+    # spec 2802 — ODF writer for bounded ODT/ODS/ODP public-form derivatives.
+    # LibreOffice layout-oracle rendering remains a separate optional bridge.
+    "odfdo>=3.22.8,<4",
 ]
 
 [project.scripts]
@@ -87,6 +102,7 @@ dev = [
     "pip-audit>=2.10.0",
     "vulture>=2.16",
     "pip-licenses>=5.0",
+    "httpx2>=2.4.0",
 ]
 # spec 026 FR-C09 — Langfuse Prompt Management is an OPT-IN integration.
 # It must never be a core runtime dependency (AGENTS.md hard rule: no new
@@ -97,6 +113,9 @@ langfuse = [
 ]
 gateway = [
     "fastapi>=0.115",
+    # Security floor for the ASGI layer; keep explicit even though FastAPI
+    # pulls Starlette transitively so vulnerability audits cannot resolve lower.
+    "starlette>=1.3.1",
     "uvicorn[standard]>=0.30",
 ]
 
@@ -112,6 +131,7 @@ include = [
     "/src/ummaya",
     "/prompts",
     "/docs/plugins/security-review.md",
+    "/specs/2803-document-production-hardening/contracts/document-tools.schema.json",
     "/tests/fixtures/plugin_validation/checklist_manifest.yaml",
 ]
 
@@ -131,6 +151,10 @@ packages = ["src/ummaya"]
 # (default packages= only ships src/ummaya; without this include the
 # ummaya.plugins import fails at module load).
 "docs/plugins/security-review.md" = "ummaya/_canonical/security-review.md"
+# Bundle the document production hardening tool contract so installed wheels
+# can register model-visible document tools without depending on the source tree.
+"specs/2803-document-production-hardening/contracts/document-tools.schema.json" = "ummaya/_canonical/document-tools.schema.json"
+"src/ummaya/_canonical/baselines.yaml" = "ummaya/_canonical/baselines.yaml"
 # Bundle the 50-item validation checklist YAML so ummaya-plugin-validate
 # CLI can find it without depending on the source-tree layout.
 "tests/fixtures/plugin_validation/checklist_manifest.yaml" = "ummaya/_canonical/checklist_manifest.yaml"
@@ -309,7 +333,7 @@ min_confidence = 80
 
 [tool.commitizen]
 name = "cz_conventional_commits"
-version = "0.2.4"
+version = "0.2.6"
 tag_format = "v$version"
 
 # PyTorch CPU-only wheel for Docker image size discipline (SC-1: ≤ 2 GB).
@@ -343,4 +367,5 @@ dev = [
     "vulture>=2.16",
     "pip-licenses>=5.0",
     "types-pyyaml>=6.0.12",
+    "reportlab>=4.5.1",
 ]