vipcode 0.2.0 → 0.2.2

package/dist/labels.js

@@ -0,0 +1,20 @@
+// Cómo se cuenta cada herramienta en pantalla y en las conversaciones guardadas
+const TOOL_LABEL = {
+    read_file: "Lee",
+    write_file: "Escribe",
+    edit_file: "Edita",
+    list_dir: "Lista",
+    glob: "Busca ficheros",
+    grep: "Busca",
+    bash: "Ejecuta",
+    webfetch: "Abre",
+    websearch: "Busca en internet",
+    todowrite: "Tareas",
+    todoread: "Tareas",
+    diagnostics: "Diagnósticos",
+    task: "Subagente",
+    skill: "Skill",
+};
+export function toolLabel(name) {
+    return TOOL_LABEL[name] || name;
+}

package/dist/markdown.js

@@ -1,6 +1,7 @@
 import hljs from "highlight.js/lib/common";
 import { marked } from "marked";
 import pc from "picocolors";
+import { stripControl } from "./sanitize.js";
 // Colores de resaltado de código por clase de highlight.js
 const CODE_COLORS = {
     keyword: pc.magenta,
@@ -249,11 +250,13 @@ function blocks(tokens, width, depth = 0) {
 }
 // Markdown → texto con colores para la terminal
 export function renderMarkdown(text, width = 80) {
+    // El texto del modelo no puede llevar secuencias de la terminal: los colores los ponemos nosotros
+    const clean = stripControl(text);
     try {
-        const tokens = marked.lexer(text, { gfm: true });
+        const tokens = marked.lexer(clean, { gfm: true });
         return blocks(tokens, width).replace(/\n{3,}/g, "\n\n");
     }
     catch {
-        return text;
+        return clean;
     }
 }

package/dist/paths.js

@@ -1,5 +1,7 @@
+import fs from "node:fs";
 import os from "node:os";
 import path from "node:path";
+import { fileURLToPath } from "node:url";
 // Carpeta de datos de vipcode (VIPCODE_HOME permite usar otra, por ejemplo en pruebas)
 export const HOME_DIR = process.env.VIPCODE_HOME || path.join(os.homedir(), ".vipcode");
 export const CONFIG_PATH = path.join(HOME_DIR, "config.json");
@@ -15,6 +17,8 @@ export const HISTORY_PATH = path.join(HOME_DIR, "history.jsonl");
 export const NOTICES_PATH = path.join(HOME_DIR, "notices.json");
 // Última comprobación de versiones nuevas en GitHub
 export const UPDATE_PATH = path.join(HOME_DIR, "update.json");
+// Carpetas en las que confías para usar la configuración que traen
+export const TRUST_PATH = path.join(HOME_DIR, "trusted.json");
 export const SESSIONS_DIR = path.join(HOME_DIR, "sessions");
 export const SNAPSHOTS_DIR = path.join(HOME_DIR, "snapshots");
 export const EXPORTS_DIR = path.join(HOME_DIR, "exports");
@@ -25,3 +29,25 @@ export const GLOBAL_SKILLS_DIR = path.join(HOME_DIR, "skills");
 // Instrucciones que se aplican a todos tus proyectos
 export const GLOBAL_INSTRUCTIONS_PATH = path.join(HOME_DIR, "AGENTS.md");
 export const DEBUG_LOG_PATH = path.join(HOME_DIR, "debug.log");
+// La carpeta de datos guarda claves y conversaciones: solo la puede abrir tu usuario
+export function ensureHomeDir() {
+    fs.mkdirSync(HOME_DIR, { recursive: true, mode: 0o700 });
+    try {
+        fs.chmodSync(HOME_DIR, 0o700);
+    }
+    catch {
+        // en Windows o en carpetas que no son tuyas no se puede: no pasa nada
+    }
+}
+// Carpeta donde está instalado vipcode (la que contiene dist/)
+export const INSTALL_DIR = path.resolve(path.dirname(fileURLToPath(import.meta.url)), "..");
+// Lo que el agente no puede tocar: los datos de vipcode (claves, configuración, carpetas de confianza) ni leerlos,
+// y su propio código no modificarlo. Quien desarrolle vipcode con vipcode puede permitir lo segundo con
+// VIPCODE_ALLOW_SELF_EDIT=1.
+export function protectedDirs() {
+    const dirs = [{ dir: HOME_DIR, read: true }];
+    if (process.env.VIPCODE_ALLOW_SELF_EDIT !== "1") {
+        dirs.push({ dir: INSTALL_DIR, read: false });
+    }
+    return dirs;
+}

package/dist/permissions.js

@@ -1,5 +1,8 @@
+import os from "node:os";
+import path from "node:path";
 import { deepMerge } from "./config.js";
 import { wildcardMatch } from "./match.js";
+import { HOME_DIR, INSTALL_DIR } from "./paths.js";
 const STRICTNESS = { allow: 0, ask: 1, deny: 2 };
 function strictest(a, b) {
     if (STRICTNESS[b] > STRICTNESS[a]) {
@@ -27,9 +30,13 @@ export function matchRules(rules, subject, fallback) {
     return fallback;
 }
 // Parte "a && b | c; d" en comandos sueltos para que "git status && rm -rf x" no pase como "git status"
+// Redirecciones que no escriben ficheros (2>&1, >/dev/null): no cuentan como separadores ni como escritura
+const HARMLESS_REDIRECTS = /\d*>&\d+|&>\s*\/dev\/null|\d*>>?\s*\/dev\/null/g;
 export function splitCommand(command) {
+    // Un & suelto (segundo plano) también separa: «ls & rm -rf ~» son dos comandos
     return command
-        .split(/&&|\|\||;|\||\n/)
+        .replace(HARMLESS_REDIRECTS, " ")
+        .split(/&&|\|\||;|\||\n|&/)
         .map((part) => part.trim())
         .filter((part) => part.length > 0);
 }
@@ -55,7 +62,10 @@ export function evaluate(config, kind, subject) {
         result = strictest(result, matchRules(config.bash, part, "ask"));
     }
     // Una sustitución $(...) o `...` puede esconder cualquier cosa
-    if (/\$\(|`/.test(subject)) {
+    // Sustituciones, escribir en ficheros (> o --output) y saltos de línea raros siempre se preguntan,
+    // aunque el comando esté permitido (si no, «ls > ~/.zshrc» pasaría por «ls*»)
+    const writes = /[<>]\(|>/.test(subject.replace(HARMLESS_REDIRECTS, " ")) || /--output\b|\r/.test(subject);
+    if (/\$\(|`/.test(subject) || writes) {
         result = strictest(result, "ask");
     }
     return result;
@@ -106,12 +116,26 @@ export class SessionGrants {
     }
 }
 // Decide si una acción se permite sola, se bloquea o hay que preguntar
+// Un comando que nombra la carpeta de datos de vipcode o su instalación (para leer tus claves, cambiar la
+// configuración o tocar su propio código) se pregunta siempre: no vale ninguna regla allow ni «sí a todo»
+export function touchesVipcode(command) {
+    const home = os.homedir();
+    const names = [HOME_DIR, INSTALL_DIR, "lib/node_modules/vipcode"];
+    if (HOME_DIR.startsWith(home + path.sep)) {
+        const inHome = HOME_DIR.slice(home.length + 1);
+        names.push(`~/${inHome}`, `$HOME/${inHome}`, `\${HOME}/${inHome}`);
+    }
+    return names.some((name) => command.includes(name));
+}
 export function createAsker(getConfig, grants, prompt) {
     return async (request) => {
         const action = evaluate(getConfig(), request.kind, request.subject);
         if (action === "deny") {
             return { allow: false, feedback: "bloqueado por la configuración de permisos (deny)" };
         }
+        if (request.kind === "bash" && touchesVipcode(request.subject)) {
+            return prompt({ ...request, title: `${request.title} (toca la carpeta de vipcode)` });
+        }
         if (action === "allow" || grants.allows(request.kind, request.subject)) {
             return { allow: true };
         }

package/dist/ranking.js

@@ -1,7 +1,7 @@
 import fs from "node:fs";
 import { readAuth } from "./auth.js";
 import { debugLog } from "./debug.js";
-import { HOME_DIR, RANKING_PATH } from "./paths.js";
+import { RANKING_PATH, ensureHomeDir } from "./paths.js";
 const WEIGHTS = {
     coding: { code: 0.4, agents: 0.3, tools: 0.15, general: 0.15 },
     general: { general: 1 },
@@ -223,7 +223,7 @@ export async function refreshRanking(apiKey, signal) {
         throw new Error("la API no devolvió puntuaciones que vipcode sepa leer");
     }
     const data = { updated: new Date().toISOString().slice(0, 10), source: "https://llm-stats.com (API)", models: rated };
-    fs.mkdirSync(HOME_DIR, { recursive: true });
+    ensureHomeDir();
     fs.writeFileSync(RANKING_PATH, JSON.stringify(data));
     debugLog("ranking actualizado", rated.length);
     return { count: rated.length };

package/dist/sanitize.js

@@ -0,0 +1,38 @@
+// Lo que llega del modelo, de las herramientas o de los proveedores no puede mover el cursor, borrar la pantalla,
+// cambiar el portapapeles (OSC 52) ni disfrazar un comando en el diálogo de permiso
+// Secuencias completas (CSI, OSC, DCS…) y escapes sueltos
+const SEQUENCES = /\x1b\[[0-?]*[ -/]*[@-~]|\x1b\][^\x07\x1b]*(?:\x07|\x1b\\)?|\x1b[PX^_][^\x1b]*(?:\x1b\\)?|\x1b[@-Z\\-_]?/g;
+// Caracteres de control salvo el tabulador y el salto de línea (incluye \r y los C1, como el CSI de un byte)
+const CONTROLS = /[\x00-\x08\x0b-\x1f\x7f-\x9f]/g;
+// Colores y estilos (SGR): son inofensivos salvo «oculto» (8), que escondería texto
+const SGR = /\x1b\[([0-9;]*)m/g;
+// Para enseñar texto que no es nuestro
+export function stripControl(text) {
+    return String(text).replace(SEQUENCES, "").replace(CONTROLS, "");
+}
+// Para nuestros propios bloques (tablas con colores) que llevan dentro datos de fuera: deja solo los colores
+export function stripUnsafe(text) {
+    const input = String(text);
+    let result = "";
+    let last = 0;
+    for (const match of input.matchAll(SGR)) {
+        result += stripControl(input.slice(last, match.index));
+        if (!match[1].split(";").includes("8")) {
+            result += match[0];
+        }
+        last = (match.index || 0) + match[0].length;
+    }
+    return result + stripControl(input.slice(last));
+}
+// Para lo que vas a aprobar (comandos, rutas, diffs): los caracteres de control se ven en vez de actuar
+export function showControl(text) {
+    return String(text).replace(CONTROLS, (char) => {
+        if (char === "\x1b") {
+            return "␛";
+        }
+        if (char === "\r") {
+            return "␍";
+        }
+        return `\\x${char.charCodeAt(0).toString(16).padStart(2, "0")}`;
+    });
+}

package/dist/session.js

@@ -1,6 +1,8 @@
 import fs from "node:fs";
 import path from "node:path";
-import { EXPORTS_DIR, HISTORY_PATH, HOME_DIR, SESSIONS_DIR } from "./paths.js";
+import { toolLabel } from "./labels.js";
+import { EXPORTS_DIR, HISTORY_PATH, SESSIONS_DIR, ensureHomeDir } from "./paths.js";
+import { describeCall } from "./tools.js";
 export function newSession(cwd) {
     const now = new Date();
     // id legible y ordenable: 20261029-174512-k3x
@@ -18,26 +20,98 @@ export function newSession(cwd) {
         redo: [],
         epoch: 0,
         usage: { prompt: 0, completion: 0 },
+        log: [],
     };
 }
+function contentText(content) {
+    if (typeof content === "string") {
+        return content;
+    }
+    if (Array.isArray(content)) {
+        return content
+            .map((part) => {
+            if (part.type === "text") {
+                return part.text;
+            }
+            if (part.type === "image_url") {
+                return "[imagen]";
+            }
+            return "";
+        })
+            .join("\n");
+    }
+    return "";
+}
+// Lo que escribiste, sin los ficheros adjuntos con @ ni las notas que añade vipcode
+function userText(text) {
+    let clean = text;
+    const attached = clean.indexOf("\n\nFicheros adjuntos con @");
+    if (attached >= 0) {
+        const names = [...clean.slice(attached).matchAll(/<(?:fichero|carpeta) ruta="([^"]+)">/g)].map((match) => match[1]);
+        clean = `${clean.slice(0, attached)}\n\n_Adjuntos: ${names.join(", ")}_`;
+    }
+    return clean.replace(/^\((?:Nota|El usuario ha ejecutado)[\s\S]*?\)\n\n/, "").replace(/^\[Mensaje nuevo del usuario mientras trabajabas\] /, "");
+}
+// Las sesiones de antes no tenían historial: se saca de los mensajes que quedan
+function logFromMessages(messages, time) {
+    const log = [];
+    const results = new Map();
+    for (const message of messages) {
+        if (message.role === "tool") {
+            results.set(String(message.tool_call_id), contentText(message.content));
+        }
+    }
+    for (const message of messages) {
+        if (message.role === "user") {
+            const text = contentText(message.content);
+            if (/^(Continúa con la tarea pendiente\.|Has hecho la misma llamada|Has repetido la misma llamada|Imágenes devueltas por las herramientas:)/.test(text)) {
+                continue;
+            }
+            if (text.startsWith("Resumen de la conversación anterior:")) {
+                log.push({ role: "info", text: "Conversación resumida para ahorrar contexto (lo anterior al resumen ya no se guardaba entonces).", time });
+                continue;
+            }
+            log.push({ role: "user", text: userText(text), time });
+        }
+        else if (message.role === "assistant") {
+            const text = contentText(message.content);
+            if (text.trim() !== "" && text !== "Entendido, sigo desde aquí.") {
+                log.push({ role: "assistant", text, time });
+            }
+            for (const call of (message.tool_calls || [])) {
+                const name = String(call.function?.name || "");
+                const output = results.get(String(call.id)) || "";
+                log.push({ role: "tool", text: output.slice(0, 4000), time, tool: { name, summary: describeCall(name, call.function?.arguments || ""), isError: output.startsWith("Error") } });
+            }
+        }
+    }
+    return log;
+}
 // Las sesiones de la versión anterior no tenían todos los campos
 function normalize(data) {
+    const messages = Array.isArray(data.messages) ? data.messages : [];
     return {
         id: String(data.id),
         title: data.title || "(sin título)",
         cwd: data.cwd || "",
         created: data.created || data.updated || Date.now(),
         updated: data.updated || Date.now(),
-        messages: Array.isArray(data.messages) ? data.messages : [],
+        messages,
         todos: Array.isArray(data.todos) ? data.todos : [],
         turns: Array.isArray(data.turns) ? data.turns : [],
         redo: Array.isArray(data.redo) ? data.redo : [],
         epoch: data.epoch || 0,
         usage: data.usage || { prompt: 0, completion: 0 },
         agent: data.agent,
+        log: Array.isArray(data.log) ? data.log : logFromMessages(messages, data.updated || Date.now()),
     };
 }
 function firstUserText(session) {
+    // Lo que escribiste (por ejemplo «/review»), mejor que el mensaje ya expandido
+    const logged = session.log.find((entry) => entry.role === "user");
+    if (logged) {
+        return logged.text;
+    }
     const first = session.messages.find((m) => m.role === "user");
     if (!first) {
         return "";
@@ -65,6 +139,16 @@ export function saveSession(session) {
         }
     }
     fs.writeFileSync(path.join(SESSIONS_DIR, `${session.id}.json`), JSON.stringify(session));
+    // Y la conversación entera en Markdown, para leerla cuando quieras
+    try {
+        fs.writeFileSync(sessionMarkdownPath(session), exportMarkdown(session));
+    }
+    catch {
+        // no es grave: lo importante es el .json
+    }
+}
+export function sessionMarkdownPath(session) {
+    return path.join(SESSIONS_DIR, `${session.id}.md`);
 }
 export function listSessions(cwd) {
     if (!fs.existsSync(SESSIONS_DIR)) {
@@ -80,6 +164,10 @@ export function listSessions(cwd) {
             if (!cwd || data.cwd === cwd) {
                 sessions.push(data);
             }
+            // Las conversaciones de antes de que existiera el .md también lo tienen
+            if (data.log.length > 0 && !fs.existsSync(sessionMarkdownPath(data))) {
+                fs.writeFileSync(sessionMarkdownPath(data), exportMarkdown(data));
+            }
         }
         catch {
             // sesión corrupta: la ignoramos
@@ -102,75 +190,57 @@ export function deleteSession(id) {
         return false;
     }
     fs.rmSync(file);
+    fs.rmSync(path.join(SESSIONS_DIR, `${id}.md`), { force: true });
     return true;
 }
-function contentText(content) {
-    if (typeof content === "string") {
-        return content;
-    }
-    if (Array.isArray(content)) {
-        return content
-            .map((part) => {
-            if (part.type === "text") {
-                return part.text;
-            }
-            if (part.type === "image_url") {
-                return "[imagen]";
-            }
-            return "";
-        })
-            .join("\n");
-    }
-    return "";
+// Un bloque de código que no se rompe aunque el texto lleve ```
+function fence(text, lang = "") {
+    const longest = Math.max(2, ...[...text.matchAll(/`+/g)].map((match) => match[0].length));
+    const ticks = "`".repeat(longest + 1);
+    return [`${ticks}${lang}`, text, ticks];
 }
-// La conversación en Markdown, para guardarla o compartirla
+// En español aunque el sistema no diga el idioma: 29/10/2026, 20:06:06
+function when(time) {
+    return new Date(time).toLocaleString("es-ES");
+}
+// La conversación entera en Markdown (sale del historial, que no se resume nunca)
 export function exportMarkdown(session) {
     const lines = [
         `# ${session.title}`,
         "",
         `- Carpeta: \`${session.cwd}\``,
-        `- Empezada: ${new Date(session.created).toLocaleString()}`,
-        `- Última actividad: ${new Date(session.updated).toLocaleString()}`,
+        `- Empezada: ${when(session.created)} · Última actividad: ${when(session.updated)}`,
         `- Tokens: ${session.usage.prompt} de entrada, ${session.usage.completion} de salida`,
         "",
+        "---",
+        "",
     ];
-    for (const message of session.messages) {
-        if (message.role === "system") {
-            continue;
+    for (const entry of session.log) {
+        if (entry.role === "user") {
+            const images = entry.images ? ` · ${entry.images} imagen${entry.images > 1 ? "es" : ""}` : "";
+            lines.push(`### Tú · ${when(entry.time)}${images}`, "", entry.text, "");
         }
-        if (message.role === "user") {
-            let text = contentText(message.content);
-            const attached = text.indexOf("\n\nFicheros adjuntos con @");
-            if (attached >= 0) {
-                const names = [...text.slice(attached).matchAll(/<(?:fichero|carpeta) ruta="([^"]+)">/g)].map((match) => match[1]);
-                text = `${text.slice(0, attached)}\n\n_Adjuntos: ${names.join(", ")}_`;
-            }
-            lines.push("## Tú", "", text, "");
+        else if (entry.role === "assistant") {
+            lines.push(`### vipcode${entry.model ? ` · ${entry.model}` : ""}`, "", entry.text, "");
         }
-        else if (message.role === "assistant") {
-            const text = contentText(message.content);
-            lines.push("## vipcode", "");
-            if (text.trim() !== "") {
-                lines.push(text, "");
+        else if (entry.role === "tool" && entry.tool) {
+            const summary = entry.tool.summary ? ` \`${entry.tool.summary.replace(/`/g, "'")}\`` : "";
+            lines.push(`- **${toolLabel(entry.tool.name)}**${summary}${entry.tool.isError ? " — ✗ falló" : ""}`);
+            if (entry.tool.display) {
+                lines.push("", ...fence(entry.tool.display, "diff"), "");
             }
-            const calls = message.tool_calls || [];
-            for (const call of calls) {
-                let args = call.function?.arguments || "";
-                if (args.length > 600) {
-                    args = `${args.slice(0, 600)}…`;
+            else if (entry.tool.isError || entry.tool.name === "bash") {
+                const output = entry.text.split("\n").slice(0, 15).join("\n");
+                if (output.trim() !== "") {
+                    lines.push("", ...fence(output), "");
                 }
-                lines.push(`> 🔧 **${call.function?.name}** \`${args.replace(/`/g, "'")}\``, "");
             }
         }
-        else if (message.role === "tool") {
-            let text = contentText(message.content);
-            if (text.length > 2000) {
-                text = `${text.slice(0, 2000)}\n[…]`;
-            }
-            lines.push("<details><summary>Resultado</summary>", "", "```", text.replace(/```/g, "'''"), "```", "", "</details>", "");
+        else if (entry.role === "info") {
+            lines.push("", `_${entry.text}_`, "");
         }
     }
-    return lines.join("\n");
+    return `${lines.join("\n").replace(/\n{3,}/g, "\n\n").trimEnd()}\n`;
 }
 export function saveExport(session) {
     fs.mkdirSync(EXPORTS_DIR, { recursive: true });
@@ -204,7 +274,7 @@ export function appendHistory(text) {
         return;
     }
     try {
-        fs.mkdirSync(HOME_DIR, { recursive: true });
+        ensureHomeDir();
         fs.appendFileSync(HISTORY_PATH, `${JSON.stringify(text)}\n`);
         // De vez en cuando lo recortamos para que no crezca sin fin
         const stat = fs.statSync(HISTORY_PATH);

package/dist/skills.js

@@ -278,7 +278,8 @@ export function installSkills(source, root, options = {}) {
                 throw new Error(`No encuentro ${source}: pon la ruta de una carpeta con SKILL.md o la dirección de un repositorio git.`);
             }
             temp = fs.mkdtempSync(path.join(os.tmpdir(), "vipcode-skill-"));
-            const args = ["clone", "--depth", "1", ...(git.ref ? ["--branch", git.ref] : []), git.url, temp];
+            // Con «--» un origen que empiece por - no se toma como una opción de git (por ejemplo --upload-pack)
+            const args = ["clone", "--depth", "1", ...(git.ref ? [`--branch=${git.ref}`] : []), "--", git.url, temp];
             const clone = spawnSync("git", args, { encoding: "utf8", timeout: 120000, env: { ...process.env, GIT_TERMINAL_PROMPT: "0" } });
             if (clone.error || clone.status !== 0) {
                 throw new Error(`No he podido descargar ${git.url}: ${(clone.stderr || clone.error?.message || "").trim().split("\n").pop()}`);

package/dist/tools.js

@@ -3,6 +3,8 @@ import path from "node:path";
 import { spawn, spawnSync } from "node:child_process";
 import fg from "fast-glob";
 import { isImagePath, toDataUrl } from "./images.js";
+import { stripControl } from "./sanitize.js";
+import { protectedDirs } from "./paths.js";
 const IGNORE = ["**/node_modules/**", "**/.git/**", "**/dist/**", "**/build/**", "**/.next/**", "**/vendor/**"];
 const MAX_OUTPUT = 20000;
 export function truncate(text, max = MAX_OUTPUT) {
@@ -13,7 +15,31 @@ export function truncate(text, max = MAX_OUTPUT) {
     return `${text.slice(0, half)}\n\n[… ${text.length - max} caracteres omitidos …]\n\n${text.slice(-half)}`;
 }
 // Convierte una ruta relativa en absoluta y comprueba que no sale del proyecto
-export function resolvePath(root, p) {
+// Ruta real siguiendo los enlaces simbólicos, aunque el destino (o parte de él) todavía no exista
+function realPathOf(file, depth = 0) {
+    try {
+        return fs.realpathSync(file);
+    }
+    catch {
+        // no existe (todavía) o es un enlace roto
+    }
+    if (depth < 40) {
+        try {
+            if (fs.lstatSync(file).isSymbolicLink()) {
+                return realPathOf(path.resolve(path.dirname(file), fs.readlinkSync(file)), depth + 1);
+            }
+        }
+        catch {
+            // no existe
+        }
+    }
+    const parent = path.dirname(file);
+    if (parent === file || depth >= 40) {
+        return file;
+    }
+    return path.join(realPathOf(parent, depth + 1), path.basename(file));
+}
+export function resolvePath(root, p, options = {}) {
     let input = p;
     if (!input) {
         input = ".";
@@ -22,8 +48,36 @@ export function resolvePath(root, p) {
     if (abs !== root && !abs.startsWith(root + path.sep)) {
         throw new Error(`La ruta ${p} está fuera del proyecto (${root})`);
     }
+    // Un enlace simbólico dentro del proyecto tampoco puede llevar fuera (por ejemplo a ~/.ssh o a tus claves)
+    const real = realPathOf(abs);
+    const realRoot = realPathOf(root);
+    if (real !== realRoot && !real.startsWith(realRoot + path.sep)) {
+        throw new Error(`La ruta ${p} es un enlace que lleva fuera del proyecto (${real})`);
+    }
+    // vipcode no puede tocarse a sí mismo: ni sus datos (claves, configuración) ni, para escribir, su instalación
+    for (const { dir, read } of protectedDirs()) {
+        const realDir = realPathOf(dir);
+        if ((read || options.write) && (real === realDir || real.startsWith(realDir + path.sep))) {
+            if (read) {
+                throw new Error(`La ruta ${p} está en la carpeta de datos de vipcode (${dir}), que guarda tus claves y tu configuración: no se puede leer ni cambiar desde aquí.`);
+            }
+            throw new Error(`La ruta ${p} es parte de la instalación de vipcode (${dir}): vipcode no puede modificarse a sí mismo.`);
+        }
+    }
     return abs;
 }
+// Patrones para que glob y grep no recorran la carpeta de datos de vipcode si está dentro del proyecto
+function protectedIgnore(root) {
+    const realRoot = realPathOf(root);
+    const patterns = [];
+    for (const { dir, read } of protectedDirs()) {
+        const relative = path.relative(realRoot, realPathOf(dir));
+        if (read && relative && !relative.startsWith("..") && !path.isAbsolute(relative)) {
+            patterns.push(`${relative.split(path.sep).join("/")}/**`);
+        }
+    }
+    return patterns;
+}
 export function rel(root, abs) {
     const r = path.relative(root, abs);
     if (r === "") {
@@ -284,7 +338,7 @@ const writeFile = {
     permission: "write",
     readOnly: false,
     async run(args, ctx) {
-        const file = resolvePath(ctx.root, args.path);
+        const file = resolvePath(ctx.root, args.path, { write: true });
         const content = String(args.content ?? "");
         const exists = fs.existsSync(file);
         let previous = null;
@@ -415,7 +469,7 @@ const editFile = {
     permission: "write",
     readOnly: false,
     async run(args, ctx) {
-        const file = resolvePath(ctx.root, args.path);
+        const file = resolvePath(ctx.root, args.path, { write: true });
         if (!fs.existsSync(file)) {
             return { output: `Error: ${args.path} no existe. Para crear un fichero usa write_file.`, isError: true };
         }
@@ -491,7 +545,7 @@ const globTool = {
     readOnly: true,
     async run(args, ctx) {
         const cwd = resolvePath(ctx.root, args.path);
-        const files = await fg(String(args.pattern), { cwd, ignore: IGNORE, dot: true, onlyFiles: true });
+        const files = await fg(String(args.pattern), { cwd, ignore: [...IGNORE, ...protectedIgnore(cwd)], dot: true, onlyFiles: true, followSymbolicLinks: false });
         if (files.length === 0) {
             return "Sin resultados.";
         }
@@ -563,6 +617,9 @@ const grepTool = {
             if (args.include) {
                 rgArgs.push("-g", String(args.include));
             }
+            for (const pattern of protectedIgnore(ctx.root)) {
+                rgArgs.push("-g", `!${pattern}`);
+            }
             rgArgs.push(".");
             const found = await ripgrep(rgArgs, ctx.root, ctx.signal);
             if (found) {
@@ -594,7 +651,7 @@ const grepTool = {
         if (args.include) {
             include = String(args.include);
         }
-        const files = await fg(include, { cwd: ctx.root, ignore: IGNORE, dot: false, onlyFiles: true });
+        const files = await fg(include, { cwd: ctx.root, ignore: [...IGNORE, ...protectedIgnore(ctx.root)], dot: false, onlyFiles: true, followSymbolicLinks: false });
         const results = [];
         for (const file of files) {
             const abs = path.join(ctx.root, file);
@@ -628,6 +685,11 @@ const grepTool = {
         return results.join("\n");
     },
 };
+// Un .git/config con core.fsmonitor ejecutaría un programa en cada «git status» (que se aprueba solo)
+function gitSafetyEnv() {
+    const count = Number(process.env.GIT_CONFIG_COUNT) || 0;
+    return { GIT_CONFIG_COUNT: String(count + 1), [`GIT_CONFIG_KEY_${count}`]: "core.fsmonitor", [`GIT_CONFIG_VALUE_${count}`]: "false" };
+}
 const bashTool = {
     name: "bash",
     description: "Ejecuta un comando de shell en la raíz del proyecto (tests, git, instalar dependencias…). No lo uses para leer o editar ficheros: para eso están las otras herramientas. No es interactivo: evita comandos que esperen que escribas algo.",
@@ -665,7 +727,7 @@ const bashTool = {
             }
             const child = spawn(shell, shellArgs, {
                 cwd: ctx.root,
-                env: { ...process.env, VIPCODE: "1", GIT_TERMINAL_PROMPT: "0", GIT_PAGER: "cat", PAGER: "cat" },
+                env: { ...process.env, ...gitSafetyEnv(), VIPCODE: "1", GIT_TERMINAL_PROMPT: "0", GIT_PAGER: "cat", PAGER: "cat" },
                 stdio: ["ignore", "pipe", "pipe"],
                 // Grupo de procesos propio para poder matar también a los hijos (npm test, servidores…)
                 detached: process.platform !== "win32",
@@ -916,7 +978,7 @@ export function formatTodos(todos) {
     if (todos.length === 0) {
         return "(lista de tareas vacía)";
     }
-    return todos.map((todo) => `${STATUS_ICON[todo.status] || "[ ]"} ${todo.content}`).join("\n");
+    return todos.map((todo) => `${STATUS_ICON[todo.status] || "[ ]"} ${stripControl(String(todo.content))}`).join("\n");
 }
 const todoWrite = {
     name: "todowrite",
@@ -1184,7 +1246,9 @@ export function projectFiles(root) {
     }
     let files = [];
     try {
-        files = fg.sync("**/*", { cwd: root, ignore: IGNORE, dot: true, onlyFiles: false, markDirectories: true, deep: 8, suppressErrors: true }).slice(0, 20000);
+        files = fg
+            .sync("**/*", { cwd: root, ignore: [...IGNORE, ...protectedIgnore(root)], dot: true, onlyFiles: false, markDirectories: true, deep: 8, suppressErrors: true, followSymbolicLinks: false })
+            .slice(0, 20000);
     }
     catch {
         files = [];