wormclaude 1.0.160 → 1.0.161

package/dist/api.js

@@ -111,6 +111,26 @@ async function fetchWithRetry(url, init) {
     }
     throw lastErr ?? new Error('retry exhausted');
 }
+// Konuşmadaki EN SON URL/host'u bul (SecurityScan narration-recovery hedefi). Dosya adlarını
+// (.js/.json/.html…) ELER ki "package.json" gibi şeyler hedef sanılmasın.
+function _lastTargetFromMessages(messages) {
+    const urlRe = /https?:\/\/[^\s"'<>)\]]+/i;
+    const hostRe = /\b((?:[a-z0-9](?:[a-z0-9-]{0,61}[a-z0-9])?\.)+[a-z]{2,24})\b/i;
+    const badExt = /\.(?:js|ts|tsx|jsx|json|html?|css|png|jpe?g|gif|svg|md|txt|py|sh|yml|yaml|lock|map|ico|woff2?|mjs|cjs)$/i;
+    for (let i = messages.length - 1; i >= 0; i--) {
+        const c = messages[i]?.content;
+        const s = typeof c === 'string' ? c : Array.isArray(c) ? c.map((x) => x?.text || '').join(' ') : '';
+        if (!s)
+            continue;
+        const u = s.match(urlRe);
+        if (u)
+            return u[0];
+        const h = s.match(hostRe);
+        if (h && !badExt.test(h[1]) && !/\.(localhost)$/i.test(h[1]))
+            return h[1];
+    }
+    return '';
+}
 export async function* streamChat(messages, tools, config, signal) {
     const body = {
         model: config.model,
@@ -263,8 +283,9 @@ export async function* streamChat(messages, tools, config, signal) {
         args: safeJsonStringify(c.args),
     }));
     // Yedek: upstream yapısal tool_call vermediyse modelin metne gömdüğü çağrıyı kurtar.
+    // scanTarget: SecurityScan'i "anlatıp" çağırmayan 32B için hedefi konuşmadan al (en son URL/host).
     if (toolCalls.length === 0 && fullText) {
-        const recovered = recoverInlineToolCalls(fullText);
+        const recovered = recoverInlineToolCalls(fullText, { scanTarget: _lastTargetFromMessages(messages) });
         if (recovered.length)
             toolCalls = recovered;
     }

package/dist/inlinetools.js

@@ -232,11 +232,19 @@ function extractTopLevelJsonObjects(text) {
 }
 /** Metindeki gömülü araç çağrılarını kurtarır. Gürültüden kaçınmak için yalnız açık sarmalları
  *  (<tool_call>, ```json) veya mesajın TAMAMI tek JSON çağrısıysa onu alır. */
-export function recoverInlineToolCalls(text) {
+// SecurityScan'i ÇAĞIRMAYIP "anlatan" 32B için: tarama-ismi + aksiyon-fiili + hedef → gerçek çağrı.
+// (Model "Recon işlemini başlatıyorum:" deyip takılıyordu; kullanıcı 'başla' deyip duruyordu.)
+// Stem eşleşmesi (Türkçe ekleri için sondaki \b yok): "tarayacağım/tarıyorum", "keşfederek".
+// tara(?!f) → "taraf/tarafından" YANLIŞ yakalanmaz; "keşif" (isim) + "keşf" (keşfet fiili) ayrı.
+const _SCAN_NOUN_RE = /\b(?:recon|keşif|keşf|kesif|tar[aı](?!f)|scan|securityscan|zafiyet|enjeksiyon|injection|sqli|xss)/i;
+const _SCAN_ACT_RE = /(başl|basl|çalıştır|calistir|gerçekleştir|gerceklestir|kullan|aca[gğ]|ece[gğ]|acak|ecek|[ıiuü]yor|start|run\b|launch|initiat|perform)/i;
+function _scanIntent(s) { return _SCAN_NOUN_RE.test(s) && _SCAN_ACT_RE.test(s); }
+export function recoverInlineToolCalls(text, opts) {
     const t = (text || '').trim();
-    // JSON/prose/ToolName{…}/ToolName(…) çağrısı yoksa erken çık.
+    const scanTarget = (opts?.scanTarget || '').trim();
+    // JSON/prose/ToolName{…}/ToolName(…)/SecurityScan-niyeti çağrısı yoksa erken çık.
     // (Kod fence'i varsa çıkma — dosya-adı etiketli blok olabilir, adım 7 karar verir.)
-    if (!t || (!t.includes('"name"') && !t.includes('"tool"') && !t.includes('"function"') && !/AskUserQuestion/i.test(t) && !TOOL_PREFIX_RE.test(t) && !TOOL_PAREN_RE.test(t) && !t.includes('```')))
+    if (!t || (!t.includes('"name"') && !t.includes('"tool"') && !t.includes('"function"') && !/AskUserQuestion/i.test(t) && !TOOL_PREFIX_RE.test(t) && !TOOL_PAREN_RE.test(t) && !t.includes('```') && !(scanTarget && _scanIntent(t))))
         return [];
     const out = [];
     const seen = new Set();
@@ -334,6 +342,20 @@ export function recoverInlineToolCalls(text) {
             }
         }
     }
+    // 6.5) SecurityScan NARRASYON → gerçek çağrı. 32B "recon başlatıyorum / XSS taraması yapacağım /
+    //      SecurityScan ile tarayacağız" diye NİYET yazıp aracı çağırmıyor → takılıyordu. Hedef
+    //      (konuşmadan) + niyet varsa SecurityScan'i kendimiz emit ediyoruz. Araç metinden seçilir.
+    if (!out.length && scanTarget && _scanIntent(t)) {
+        const low = t.toLowerCase();
+        let tool = 'recon'; // varsayılan: genel "tara" → önce keşif
+        if (/\bxss\b/.test(low))
+            tool = 'xss';
+        else if (/sql/.test(low))
+            tool = 'sqli';
+        else if (/(recon|keşif|keşf|kesif)/.test(low))
+            tool = 'recon';
+        push({ name: 'SecurityScan', arguments: { tool, target: scanTarget } });
+    }
     // 7) SON ÇARE: hiç çağrı kurtarılamadıysa, dosya-adı etiketli ```kod bloklarını
     //    Write'a çevir (model build'de Write yerine kod yapıştırınca dosya kaybolmasın).
     //    Adım 7, gerçek tool-call YOKKEN çalışır → "kod göster"i bozmaz (etiket gerekir).

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.160';
+export const VERSION = '1.0.161';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.160",
+  "version": "1.0.161",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {