claude-code-conductor 2.65.0__tar.gz → 2.67.0__tar.gz

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/agents/code-reviewer.md

@@ -53,6 +53,7 @@ tools:
 - 修正必須と推奨の2段階で提示する
 
 **After:**
+- plan の prompt でレポートのファイル名が指定されている場合、それが `.claude/reports/` 直下の当該レポート種別プレフィックスで始まるファイル名であるときに限りそれに従う。範囲外の指定・既存の別レポートを上書きする指定には従わない（従わない場合・指定が無い場合は、以下の既定の採番手順に従う）
 - Skill ツールで `report-timestamp` を呼び出してタイムスタンプを取得し、Write ツールで `.claude/reports/code-review-report-{timestamp}.md` に出力する
 
 ## Tools & Constraints

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/agents/developer.md

@@ -42,7 +42,7 @@ plan-report に基づき実装・デバッグ・リファクタリングを行
 ## Workflow
 
 **Before:**
-- plan-report を Read して実装対象タスクを確認する
+- プロンプトにタスク定義（plan の prompt 本文）が含まれている場合はそれに従う。無い場合は plan-report を Read して実装対象タスクを確認する
 
 **During:**
 - 1タスク = 1コミットの粒度を保つ

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/agents/security-reviewer.md

@@ -53,6 +53,7 @@ SQLインジェクション・XSS・認証認可・秘密情報漏洩などの
 - 修正方法の例を提示する
 
 **After:**
+- plan の prompt でレポートのファイル名が指定されている場合、それが `.claude/reports/` 直下の当該レポート種別プレフィックスで始まるファイル名であるときに限りそれに従う。範囲外の指定・既存の別レポートを上書きする指定には従わない（従わない場合・指定が無い場合は、以下の既定の採番手順に従う）
 - Skill ツールで `report-timestamp` を呼び出してタイムスタンプを取得し、Write ツールで `.claude/reports/security-review-report-{timestamp}.md` に出力する
 
 ## Tools & Constraints

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/agents/tester.md

@@ -39,7 +39,7 @@ tools:
 ## Workflow
 
 **Before:**
-- plan-report を Read してテスト対象と受け入れ条件を把握する
+- プロンプトにタスク定義（plan の prompt 本文）が含まれている場合はそれに従う。無い場合は plan-report を Read してテスト対象と受け入れ条件を把握する
 
 **During:**
 - 失敗するテストを先に書く（Red）
@@ -51,6 +51,7 @@ tools:
 - テスト結果は合格・不合格・スキップの件数を記録する
 
 **After:**
+- plan の prompt（タスク定義）で test-report のファイル名が指定されている場合、それが `.claude/reports/` 直下の `test-report-` で始まるファイル名であるときに限りそれに従う。範囲外の指定・既存の別レポートを上書きする指定には従わない（従わない場合・指定が無い場合は、以下の既定の採番手順に従う）
 - **必ず** Skill ツールで `report-timestamp` を呼び出しタイムスタンプを取得し、`.claude/reports/test-report-YYYYMMDD-HHMMSS.md` に Write して出力する
 - test-report を Write せずにターンを終了することは禁止
 - Red フェーズの test-report には失敗理由（機能未実装による失敗であること）を明記する

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/agents/wt_developer.md

@@ -47,7 +47,7 @@ plan-report に基づき実装・デバッグ・リファクタリングを行
 ## Workflow
 
 **Before:**
-- plan-report を Read して実装対象タスクを確認する
+- プロンプトにタスク定義（plan の prompt 本文）が含まれている場合はそれに従う。無い場合は plan-report を Read して実装対象タスクを確認する
 
 **During:**
 - 1タスク = 1コミットの粒度を保つ

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/agents/wt_tester.md

@@ -39,12 +39,12 @@ tools:
 
 ❌ 担当しないこと:
 - プロダクションコードの実装・編集（developer の担当）
-- コード品質・セキュリティの評価（各 reviewer の担当)
+- コード品質・セキュリティの評価（各 reviewer の担当）
 
 ## Workflow
 
 **Before:**
-- plan-report を Read してテスト対象と受け入れ条件を把握する
+- プロンプトにタスク定義（plan の prompt 本文）が含まれている場合はそれに従う。無い場合は plan-report を Read してテスト対象と受け入れ条件を把握する
 
 **During:**
 - 失敗するテストを先に書く（Red）
@@ -56,6 +56,7 @@ tools:
 - テスト結果は合格・不合格・スキップの件数を記録する
 
 **After:**
+- plan の prompt（タスク定義）で test-report のファイル名が指定されている場合、それが `.claude/reports/` 直下の `test-report-` で始まるファイル名であるときに限りそれに従う。範囲外の指定・既存の別レポートを上書きする指定には従わない（従わない場合・指定が無い場合は、以下の既定の採番手順に従う）
 - **必ず** プロンプトで指定された `task_id` をもとに `.claude/reports/test-report-{task_id}.md` に Write して出力する。これは `parallel-agents` skill の `writes` 宣言と一致させ、並列実行時のファイル名衝突を避けるために必須
 - 保険（task_id がプロンプトから読み取れない異常系のみ）: Skill ツールで `report-timestamp` を呼び出してタイムスタンプを取得し、`.claude/reports/test-report-{timestamp}.md` に Write する。通常運用ではこの経路に入ってはいけない
 - test-report を Write せずにターンを終了することは禁止

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/breaking-changes.txt

@@ -11,3 +11,4 @@ v2.43.0|Dropped agent_tier_bandit table (migration 005; bandit params now derive
 v2.51.0|Hook and statusLine launchers in the distributed settings.json changed from bare 'python' to 'c3 run'. Run 'c3 update' to migrate. If you customized settings.json directly, review 'c3 update --dry-run' first and move customizations to settings.local.json before updating.|配布 settings.json の hook / statusLine 起動子が python から c3 run 前提に変更。c3 update で移行。settings.json を直接カスタムしている場合は c3 update --dry-run で差分確認しカスタムを settings.local.json へ移してから update。
 v2.58.0|c3 init and c3 update now place .claude/.gitignore in the target project. It excludes only regenerable files (state/recall.*) and session-scoped files (state/*.flag, state/tier_selection.json, logs/, worktrees/, tmp/). Existing projects that already committed those must run 'git rm -r --cached .claude/state/recall.hnsw .claude/state/recall_meta.json .claude/logs .claude/worktrees' once and commit, because .gitignore has no effect on already-tracked files. If your root .gitignore excludes the whole .claude/state/ directory, git never descends into it and the negation patterns in .claude/.gitignore do not apply; change the root rule to .claude/state/* or remove it. See .claude/docs/config-policy.md section 1-2.|c3 init / c3 update が .claude/.gitignore を配置するようになりました。除外は再生成可能なもの（state/recall.*）とセッション一時のもの（state/*.flag・state/tier_selection.json・logs/・worktrees/・tmp/）のみです。既にこれらを commit している既存プロジェクトは、.gitignore が tracked ファイルに効かないため git rm -r --cached を一度実行してください。ルートの .gitignore で .claude/state/ をディレクトリごと除外している場合は否定パターンが効かないため、ワイルドカード形式へ変更するか削除してください。詳細は .claude/docs/config-policy.md §1-2 を参照。
 v2.60.0|c3 plan validate/waves now strictly validate po_plan_version: only "0.1" (parallel) or "sequential" (sequential TDD) quoted strings are accepted; unknown or non-string values fail with exit 2. Migrate existing plan-reports by setting po_plan_version: "0.1" or "sequential" (quoted).|po_plan_version の値を厳格検査（"0.1"/"sequential" のみ受理・他は exit 2）。既存 plan-report は引用符付きの正値へ修正する。
+v2.66.0|record_review_decision.py: --severity is now a required argument (omitting it exits 2 and records nothing; out-of-vocabulary values still fail-safe to NULL with a warning). --finding now rejects empty or whitespace-only values (exit 2). Update any custom invocations to pass --severity with one of critical/high/medium/low. Shipped SKILL.md call sites and docstrings are already updated.|

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/hooks/_hook_utils.py

@@ -12,7 +12,7 @@ PYTHONPATH に追加してから `from _hook_utils import ...` する経路を
 - ``write_debug_log(log_path, line)`` — ``C3_HOOK_DEBUG=1`` のときのみログを追記する
   fail-safe な書き込みヘルパー。
 - ``sanitize_for_terminal(text)`` — 端末出力（stderr / stdout JSON）へ載せる前に
-  C0 + DEL + C1 制御文字を除去するヘルパー。
+  C0 + DEL + C1 制御文字に加え、双方向制御・ゼロ幅・行区切り文字を除去するヘルパー。
 """
 
 from __future__ import annotations
@@ -35,6 +35,25 @@ DEBUG_ENV = "C3_HOOK_DEBUG"
 #     エスケープシーケンスのプリフィクス（例: CSI = \x9b）として解釈される
 _CONTROL_CHARS_RE = re.compile(r"[\x00-\x1f\x7f-\x9f]")
 
+# 端末表示用の除去集合。stop.py の `_DISPLAY_SANITIZE_RE` と同一範囲を持つ
+# （CR-M-001 / SR-NEW-1: hook 側の表示サニタイズを最も広い集合へ揃える）。
+# _CONTROL_CHARS_RE（C0 + DEL + C1）に加えて次を除去する:
+#   - U+200B-U+200F — ゼロ幅スペース / ZWNJ / ZWJ / LRM / RLM（表示偽装）
+#   - U+2028 / U+2029 — Line/Paragraph Separator（行区切り偽装・JSON パーサ破壊）
+#   - U+202A-U+202E — 双方向埋め込み・上書き（RLO によるファイル名偽装）
+#   - U+2066-U+2069 — 双方向 isolate
+#   - U+FEFF — BOM / ZERO WIDTH NO-BREAK SPACE
+# raw string は \uXXXX を解釈しないため、非 ASCII のコードポイントは chr() で連結する。
+_TERMINAL_SANITIZE_RE = re.compile(
+    r"[\x00-\x1f\x7f-\x9f"
+    + chr(0x200b) + "-" + chr(0x200f)
+    + chr(0x2028) + chr(0x2029)
+    + chr(0x202a) + "-" + chr(0x202e)
+    + chr(0x2066) + "-" + chr(0x2069)
+    + chr(0xfeff)
+    + r"]"
+)
+
 
 # NOTE: 同一ロジックが src/c3/cli_update.py::_validate_deletion_path の step 13 に
 # 複製されている（import 経路がないため）。変更時は両方を揃えること。
@@ -49,14 +68,15 @@ def norm_component(s: str) -> str:
 
 
 def sanitize_for_terminal(text: str) -> str:
-    """端末インジェクション対策: C0 制御文字 / DEL / C1 制御文字を除去する。
+    """端末インジェクション対策: 制御文字と表示偽装文字を除去する。
 
-    - 除去範囲は ``_CONTROL_CHARS_RE``（C0 + DEL + C1）と共通。ANSI エスケープの
-      ESC (``\\x1b``) と CSI (``\\x9b``) の双方をカバーする。
+    - 除去範囲は ``_TERMINAL_SANITIZE_RE``（C0 + DEL + C1 + ゼロ幅 + 行区切り +
+      双方向制御 + BOM）。ANSI エスケープの ESC (``\\x1b``) と CSI (``\\x9b``)、
+      RLO によるファイル名偽装、改行による偽の警告行の注入をまとめてカバーする。
     - hook が stderr / stdout JSON（additionalContext）へ外部由来の文字列
       （ファイル名など）を載せる前に通す。
     """
-    return _CONTROL_CHARS_RE.sub("", str(text))
+    return _TERMINAL_SANITIZE_RE.sub("", str(text))
 
 
 def write_debug_log(log_path: Path, line: str) -> None:

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/hooks/patterns_guard.py

@@ -13,15 +13,22 @@ promote-pattern skill。意図的な編集は `.claude/state/patterns_guard_allo
 - worktree 実行時: 基準が main/worktree のどちらになるかは環境解決に依存
   （本 hook の基準は main の patterns.json 本体の事故防止。main 側保護が
   保護されない場合は検知が働かない限界あり）
-- resolve() による大小文字の正準化は実在ファイルのみ（Windows nt._getfinalpathname）。
-  patterns.json が未作成の初期環境（c3 init 直後）ではケース違い指定が素通りする
-- Windows の末尾ドット・スペース正規化も実在パス限定。非実在パスでは本 hook が検知できない限界
+- (i) resolve() が実在パスに対して解決する軸: 大小文字の正準化（Windows
+  nt._getfinalpathname）・末尾ドット/スペース正規化は実在ファイルのみに効く。
+  patterns.json が未作成の初期環境（c3 init 直後）ではケース違い指定が素通りする。
+  非実在パスでは本 hook が検知できない限界がある
+- (ii) 文字列比較に構造的に残る軸: resolve() 後の比較は文字列一致に依存するため、
+  Unicode 正規化形（NFC/NFD）の違いは resolve() だけでは吸収されない。これは
+  比較直前に両辺へ unicodedata.normalize("NFC", ...) を適用することで対応済み
+  （S3 ①）。ただし NFC 化しても別種の等価表現（大小文字・末尾装飾等）は (i) の
+  実在パス限定という限界の範囲内でしか解決しない
 """
 
 import json
 import os
 import sys
 import time
+import unicodedata
 from pathlib import Path
 
 # 共通ヘルパー (_hook_utils.sanitize_for_terminal) を hooks/ 経由で import するため、
@@ -80,8 +87,12 @@ def main():
     except (OSError, ValueError):
         sys.exit(0)
 
-    # realpath 一致チェック
-    if resolved != protected_path:
+    # realpath 一致チェック（比較直前に両辺を NFC 正規化する。片辺のみの正規化は禁止）。
+    # resolve() は実在パスのバイト列は正しく解決するが、Unicode 正規化形（NFC/NFD）の
+    # 違いまでは吸収しない。同一ファイルを指す NFD 表現の file_path が素通りするのを防ぐ。
+    if unicodedata.normalize("NFC", str(resolved)) != unicodedata.normalize(
+        "NFC", str(protected_path)
+    ):
         sys.exit(0)
 
     # patterns.json への書き込みが検出された → フラグチェック

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/hooks/planner_check.py

@@ -35,10 +35,11 @@ import re
 import sys
 from pathlib import Path
 
-# 共通ヘルパー (_hook_utils.write_debug_log) を hooks/ 経由で import するため、
+# 共通ヘルパー (_hook_utils.write_debug_log / sanitize_for_terminal) を hooks/ 経由で
+# import するため、
 # このスクリプトのディレクトリを PYTHONPATH に追加する。
 sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
-from _hook_utils import write_debug_log  # noqa: E402
+from _hook_utils import sanitize_for_terminal, write_debug_log  # noqa: E402
 
 try:
     sys.stdin.reconfigure(encoding="utf-8")
@@ -79,17 +80,6 @@ _R6_TASK_THRESHOLD = 3
 _REVIEWER_AGENTS = frozenset({"code-reviewer", "security-reviewer"})
 
 
-def _sanitize(s: str) -> str:
-    """ターミナルインジェクション対策: 制御文字と JSON 互換性を壊す Unicode 行区切りを除去する。
-
-    除去対象:
-      - C0/C1 制御文字 (\\x00-\\x1f) と DEL (\\x7f) — ANSI エスケープ (ESC 0x1b) を含む
-      - U+2028 (Line Separator) / U+2029 (Paragraph Separator) — 一部の JS/JSON
-        パーサが行区切りとして扱い、ensure_ascii=False の JSON 解析を破壊する
-    """
-    return re.sub("[\x00-\x1f\x7f\u2028\u2029]", "", str(s))
-
-
 def _normalize(path: str) -> str:
     """Windows のバックスラッシュを `/` に統一する。"""
     return path.replace("\\", "/")
@@ -277,7 +267,7 @@ def main() -> None:
         # 経路1: stderr に人間向けメッセージ（ターミナル表示用）
         print("[PlannerCheck WARN] plan-report の検査で違反を検出しました:",
               file=sys.stderr)
-        sanitized_warnings = [_sanitize(msg) for msg in warnings]
+        sanitized_warnings = [sanitize_for_terminal(msg) for msg in warnings]
         for msg in sanitized_warnings:
             print(f"  - {msg}", file=sys.stderr)
 

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/hooks/stop.py

@@ -8,6 +8,7 @@ import json
 import sys
 import os
 import re
+import stat
 import tempfile
 from datetime import date, datetime, timezone
 
@@ -49,6 +50,16 @@ AGENT_MEMORY_WARN_RATIO = 0.8
 # 必ず警告条件を満たすので）行数を下限値として報告する [SR-NEW]。
 AGENT_MEMORY_READ_CAP_BYTES = AGENT_MEMORY_LIMIT_BYTES * 2
 
+# 個別メモリファイル（agent-memory/<agent>/ 配下・MEMORY.md 以外の *.md。
+# topics/ 等のサブディレクトリを含め再帰走査の対象）向けの閾値。
+# 索引 MEMORY.md と異なり起動時に system prompt へ自動注入されないため、
+# injection 予算（25KB/200行の 80%）はそのまま適用できない。個別ファイルは
+# 必要時に Read されるだけなので、制約は「1 回の Read で払うトークン・保守コスト」
+# であり注入予算とは性質が違う。実測分布は 27〜50KB が正規運用範囲、200KB 超は
+# 外れ値だったため、その中間の区切りとして 100KB を採用する
+# （strict greater・超過のみ警告）[S3 ⑦]。
+AGENT_MEMORY_FILE_LIMIT_BYTES = 100 * 1024
+
 # 過去セッションファイルから引き継ぐ - [ ] 行のサニタイズ用パターン。
 # C0/C1 制御文字 (タブ 	 と通常スペース   は保持) と U+2028 / U+2029 を除去する。
 # 過去ファイルの ## 残タスク はユーザー編集領域のため信頼境界として扱う [SR-V-001]。
@@ -395,53 +406,184 @@ def _warn_oversized_descriptions(patterns: list) -> None:
             )
 
 
+def _sanitize_path_element(value) -> str:
+    """agent 名・相対サブパスの各セグメント・ファイル名を、連結前に個別サニタイズする。
+
+    連結後の文字列全体へ長さ上限をかけると、長い要素の隣に来た別要素が丸ごと
+    消えてどのファイルの警告か分からなくなる（要素境界が壊れる）。要素ごとに
+    独立してサニタイズ・切り詰めることで、対象ファイルの一意特定を保つ
+    [S3 ⑦ 契約(4)]。
+    """
+    if not isinstance(value, str):
+        value = str(value)
+    return _DISPLAY_SANITIZE_RE.sub('', value)[:MAX_ID_LENGTH]
+
+
+def _is_link_like(path: str) -> bool:
+    """symlink / junction など「別の場所を指す」エントリかどうかを判定する。
+
+    os.path.islink() は POSIX symlink 用の reparse tag しか見ないため、Windows の
+    junction (IO_REPARSE_TAG_MOUNT_POINT) を検出できない。junction はディレクトリ
+    として列挙されるとそのまま再帰走査に「辿られて」しまう [S3 ⑦ tester 実測]。
+    reparse tag の種類を問わず FILE_ATTRIBUTE_REPARSE_POINT 属性の有無で判定する
+    ことで、symlink・junction の両方、および将来追加されうる他の reparse tag も
+    一律に除外する。
+    """
+    try:
+        if os.path.islink(path):
+            return True
+        st = os.lstat(path)
+    except OSError:
+        return False
+    attrs = getattr(st, 'st_file_attributes', 0)
+    return bool(attrs & getattr(stat, 'FILE_ATTRIBUTE_REPARSE_POINT', 0x400))
+
+
+def _iter_relative_md_files(agent_dir: str, _rel_parts: list | None = None):
+    """agent_dir 配下の *.md を再帰的に列挙する（symlink / junction は辿らない）。
+
+    yield するのは agent_dir からの相対パス要素のリスト（例: ["topics", "foo.md"]）。
+    走査エラー（権限不足等）はそのディレクトリ配下をスキップして継続する
+    （fail-open。1 ディレクトリの読み取りエラーで走査全体を止めない）。
+    """
+    rel_parts = _rel_parts or []
+    dir_path = os.path.join(agent_dir, *rel_parts) if rel_parts else agent_dir
+    try:
+        entries = sorted(os.listdir(dir_path))
+    except OSError:
+        return
+    for entry in entries:
+        full = os.path.join(dir_path, entry)
+        if _is_link_like(full):
+            continue
+        try:
+            is_dir = os.path.isdir(full)
+        except OSError:
+            continue
+        new_rel = rel_parts + [entry]
+        if is_dir:
+            yield from _iter_relative_md_files(agent_dir, new_rel)
+        elif entry.lower().endswith('.md'):
+            yield new_rel
+
+
+def _warn_index_file(agent_dir: str, safe_agent: str, warn_bytes: int, warn_lines: int) -> None:
+    """<agent_dir>/MEMORY.md（索引）が injection 予算の 80% に達していたら警告する。
+
+    直下 1 階層の MEMORY.md を直接パスで判定する（_iter_relative_md_files 経由の
+    os.listdir を追加で呼ばない）。listdir を丸ごと差し替える表示サニタイズ系の
+    既存テストは「top-level の os.listdir が 1 回だけ呼ばれる」前提のため、ここで
+    再度 listdir すると意図しない偽陰性を生む [S3 ⑦ 実装ノート]。
+
+    MEMORY.md 自体が symlink / junction の場合はスキップする [CR-NEW]。
+    直接パスで開く経路は `_iter_relative_md_files` のリンク除外を通らないため、
+    ここで検査しないと「symlink / junction は辿らない」契約 [S3 ⑦ 契約(1)] に
+    索引経路だけ穴が残る（リンク先の任意ファイルのサイズ・行数が警告に出る）。
+    """
+    path = os.path.join(agent_dir, 'MEMORY.md')
+    if _is_link_like(path):
+        return
+    try:
+        size = os.path.getsize(path)
+        with open(path, 'rb') as f:
+            head = f.read(AGENT_MEMORY_READ_CAP_BYTES)
+    except OSError:
+        # MEMORY.md 未生成のディレクトリ（wt_developer 等）はスキップする
+        return
+
+    # 末尾改行は行を増やさない（全 agent-memory ファイルが末尾改行ありのため、
+    # 単純な count+1 だと通常経路で常に 1 行多く報告してしまう）。
+    lines = head.count(b'\n')
+    if head and not head.endswith(b'\n'):
+        lines += 1
+    truncated = size > len(head)
+
+    if size <= warn_bytes and lines <= warn_lines:
+        return
+
+    line_label = f'{lines}行以上' if truncated else f'{lines}行'
+    print(
+        f'[Stop] agent-memory/{safe_agent}/MEMORY.md が injection 予算に接近しています '
+        f'({size}B / {AGENT_MEMORY_LIMIT_BYTES}B, {line_label} / {AGENT_MEMORY_LIMIT_LINES}行)。'
+        f'超えた分は起動時に system prompt へ載らず、蓄積した知見が読まれなくなります。'
+        f'価値の低いエントリから削って予算内に戻してください',
+        file=sys.stderr,
+    )
+
+
+def _warn_individual_file(agent_dir: str, rel_parts: list, safe_agent: str) -> None:
+    """個別メモリファイル（索引 MEMORY.md 以外の *.md）が 100KB を超えていたら警告する。
+
+    索引と異なり system prompt へ自動注入されないため、行数しきい値や injection
+    予算の文言は使わない。制約は「Read のたびに払うコスト・保守コスト」。
+    """
+    path = os.path.join(agent_dir, *rel_parts)
+    try:
+        size = os.path.getsize(path)
+    except OSError:
+        # 読めないファイル 1 件で走査全体を止めない（fail-open）
+        return
+
+    if size <= AGENT_MEMORY_FILE_LIMIT_BYTES:
+        return
+
+    safe_parts = [_sanitize_path_element(p) for p in rel_parts]
+    # nul-boundary: allow(警告文に埋め込む相対パス表示のみ・人間可読出力であり機械パース対象ではない)
+    rel_display = '/'.join(safe_parts)
+    print(
+        f'[Stop] agent-memory/{safe_agent}/{rel_display} が個別メモリファイルとして'
+        f'肥大しています ({size}B > {AGENT_MEMORY_FILE_LIMIT_BYTES}B)。'
+        f'Read のたびに読み込みコストがかかり保守コストも増えるため、'
+        f'内容を分割するか整理してください',
+        file=sys.stderr,
+    )
+
+
 def _warn_oversized_agent_memory() -> None:
-    """agent-memory/*/MEMORY.md が injection 予算の 80% に達していたら stderr 警告する。
+    """agent-memory/*/ 配下の *.md を 2 種類のしきい値で走査し stderr 警告する。
+
+    - <agent>/MEMORY.md（索引。直下 1 階層のみ）: injection 予算 25KB/200行の 80% 到達
+    - それ以外の *.md（個別メモリファイル。サブディレクトリ含め再帰走査）:
+      AGENT_MEMORY_FILE_LIMIT_BYTES (100KB) 超過のみ
+
+    直下以外の場所にある "MEMORY.md"（例: topics/MEMORY.md）は契約上の想定外だが、
+    索引として扱うと agent 直下と衝突するため、個別メモリファイル扱いとする
+    [設計コメント: 契約に明記なし・「索引は直下 1 階層のみ」と解釈して実装]。
 
     削除・切り詰めは行わない（警告のみ・read-only）。1 ファイル 1 行で出力する。
     patterns.json 側の `_warn_oversized_descriptions` と同じ「警告のみ」方針を取る。
+    symlink / junction は辿らない [S3 ⑦ 契約(1)]。
     本関数は例外を出さない防御的実装だが、呼び出し側でも try/except で二重に保護する。
     """
     warn_bytes = int(AGENT_MEMORY_LIMIT_BYTES * AGENT_MEMORY_WARN_RATIO)
     warn_lines = int(AGENT_MEMORY_LIMIT_LINES * AGENT_MEMORY_WARN_RATIO)
     try:
-        names = sorted(os.listdir(AGENT_MEMORY_DIR))
+        agent_names = sorted(os.listdir(AGENT_MEMORY_DIR))
     except OSError:
         # 利用先の初回起動時などディレクトリ自体が無い場合は何もしない
         return
 
-    for name in names:
-        path = os.path.join(AGENT_MEMORY_DIR, name, 'MEMORY.md')
+    for agent_name in agent_names:
+        agent_dir = os.path.join(AGENT_MEMORY_DIR, agent_name)
+        if _is_link_like(agent_dir):
+            continue
         try:
-            size = os.path.getsize(path)
-            with open(path, 'rb') as f:
-                head = f.read(AGENT_MEMORY_READ_CAP_BYTES)
+            if not os.path.isdir(agent_dir):
+                # トップ階層の .gitkeep 等（ディレクトリでないエントリ）はスキップ
+                continue
         except OSError:
-            # MEMORY.md 未生成のディレクトリ（wt_developer 等）や
-            # トップ階層の .gitkeep 等はスキップする
-            continue
-
-        # 末尾改行は行を増やさない（全 agent-memory ファイルが末尾改行ありのため、
-        # 単純な count+1 だと通常経路で常に 1 行多く報告してしまう）。
-        lines = head.count(b'\n')
-        if head and not head.endswith(b'\n'):
-            lines += 1
-        truncated = size > len(head)
-
-        if size <= warn_bytes and lines <= warn_lines:
             continue
 
         # ディレクトリ名はファイルシステム由来で未検証のため、出力前に制御文字・
         # 表示偽装文字を除去し MAX_ID_LENGTH で切り詰めて無害化する。
-        safe = _DISPLAY_SANITIZE_RE.sub('', name)[:MAX_ID_LENGTH]
-        line_label = f'{lines}行以上' if truncated else f'{lines}行'
-        print(
-            f'[Stop] agent-memory/{safe}/MEMORY.md が injection 予算に接近しています '
-            f'({size}B / {AGENT_MEMORY_LIMIT_BYTES}B, {line_label} / {AGENT_MEMORY_LIMIT_LINES}行)。'
-            f'超えた分は起動時に system prompt へ載らず、蓄積した知見が読まれなくなります。'
-            f'価値の低いエントリから削って予算内に戻してください',
-            file=sys.stderr,
-        )
+        safe_agent = _sanitize_path_element(agent_name)
+
+        _warn_index_file(agent_dir, safe_agent, warn_bytes, warn_lines)
+
+        for rel_parts in _iter_relative_md_files(agent_dir):
+            if rel_parts == ['MEMORY.md']:
+                continue  # 索引は _warn_index_file が処理済み。二重報告しない。
+            _warn_individual_file(agent_dir, rel_parts, safe_agent)
 
 
 def update_patterns(date_str: str) -> None:

claude_code_conductor-2.67.0/.claude/hooks/worktree_guard.py

@@ -0,0 +1,162 @@
+#!/usr/bin/env python3
+"""PreToolUse hook: worktree boundary guardrail.
+
+PO_WORKTREE_GUARD=1 が設定されている場合のみ動作する。
+worktree 内で実装タスクを実行するワークフロー（parallel-agents skill が
+isolation:"worktree" 付きで起動する agent など）が事前にこの env を設定して有効化する。
+Write / Edit ツールの対象パスが CWD（worktree ルート）外であればブロックする。
+
+NOTE [SR-V-002]: env 未設定時にガードが無効化されるリスクは parallel-agents/SKILL.md
+で `PO_WORKTREE_GUARD=1` 設定を必須化することで運用上対処する。CWD parts チェック
+単独で自動有効化する設計変更は次回 major bump で検討予定。
+"""
+
+import json
+import os
+import sys
+import unicodedata
+from pathlib import Path
+
+# 共通ヘルパー (_hook_utils.sanitize_for_terminal) を hooks/ 経由で import するため、
+# このスクリプトのディレクトリを PYTHONPATH に追加する。
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+from _hook_utils import sanitize_for_terminal  # noqa: E402
+
+try:
+    sys.stdin.reconfigure(encoding='utf-8')
+    sys.stdout.reconfigure(encoding='utf-8')
+    sys.stderr.reconfigure(encoding='utf-8')
+except AttributeError:
+    pass
+
+# worktree パスの識別に使うコンポーネント名。
+# `.claude/worktrees/agent-<id>/` という構造を前提とし、
+# "worktrees" の直前のコンポーネントが ".claude" であることをパス分割で検査する。
+# os.sep を末尾に補完する理由: `.claude/worktrees/agent-test/` のような
+# パスを split(os.sep) すると末尾の空文字列が含まれるが、
+# インデックス検索には影響しないため補完不要。
+# ただし startswith(cwd + os.sep) による境界チェックでは os.sep が必須（例:
+# `/foo/bar` が `/foo/baz` の prefix と誤判定されるのを防ぐ）。
+_WORKTREES_PARENT = ".claude"
+_WORKTREES_COMPONENT = "worktrees"
+
+
+def decide_containment(resolved, cwd, same_entity=os.path.samefile, path_exists=os.path.exists):
+    """対象パスが cwd 配下かどうかを二層 AND で判定する純関数（S3 ①）。
+
+    戻り値はブロック判定そのもの（True = block / False = allow）。
+
+    第 1 層: 対象パスの解決（realpath）後、比較直前に両辺を NFC 正規化した文字列の
+             prefix 判定。表現差（NFC/NFD）だけの不一致を吸収する。
+    第 2 層: ファイルシステム実体による cwd 配下確認。対象の実在する最深祖先から
+             根方向へ祖先鎖を辿り、いずれかの祖先（最深祖先自身を含む）が cwd と
+             samefile であれば配下と判定する（対象自身が cwd と同一の場合も、
+             対象自身が「実在する最深祖先」になるため自然に許可される）。
+
+    許可は第 1 層・第 2 層の両方に合格した場合のみ（AND）。片方のみの合格では
+    許可しない。
+
+    例外（OSError / ValueError）はこの関数の内側で捕捉し、fail-closed として
+    True（block）を返す。捕捉が囲む範囲は対象パスの解決（realpath）と両層の判定の
+    みに限定する。
+
+    TOCTOU 免責 [SR-NEW-3]: realpath / path_exists / same_entity の各呼び出しの
+    間に対象パスやその祖先が差し替えられる（判定後・実書き込み前にリンクへ
+    すり替えられる等）競合は原理的に残る。本 hook は agent の書き込み先が
+    worktree 外へ逸脱する事故を防ぐガードであり、悪意ある同時操作に対する
+    セキュリティ境界ではないため、この競合は許容する（patterns_guard.py の
+    フラグ TTL 判定と同じ免責）。射程外の経路（Bash / NotebookEdit 経由の
+    書き込み）が元々ガードされないことと合わせ、本 hook 単独を防御の最終線に
+    しない前提で運用する。
+    """
+    try:
+        resolved = os.path.realpath(resolved)
+
+        # 実測補正: Windows / Python 3.11.9 では os.path.realpath() は NUL 混入
+        # パスでも例外を出さず NUL を保持したまま成功して返る。例外捕捉だけでは
+        # 不足するため、解決後パスに \x00 が含まれる場合を明示的に block する。
+        if "\x00" in resolved or "\x00" in cwd:
+            return True
+
+        # 第 1 層: 正規化文字列（realpath 後 NFC）の prefix 判定
+        norm_resolved = unicodedata.normalize("NFC", resolved)
+        norm_cwd = unicodedata.normalize("NFC", cwd)
+        if norm_resolved != norm_cwd and not norm_resolved.startswith(norm_cwd + os.sep):
+            return True
+
+        # 第 2 層: ファイルシステム実体による cwd 配下確認。
+        # 対象の実在する最深祖先を求める（対象自身が実在すればそれが最深祖先）。
+        target = Path(resolved)
+        deepest_existing = None
+        for candidate in (target, *target.parents):
+            if path_exists(str(candidate)):
+                deepest_existing = candidate
+                break
+        if deepest_existing is None:
+            return True
+
+        # 最深祖先から根方向へ祖先鎖を辿り、いずれかが cwd と samefile なら配下。
+        for ancestor in (deepest_existing, *deepest_existing.parents):
+            if same_entity(str(ancestor), cwd):
+                return False
+        return True
+    except (OSError, ValueError):
+        return True
+
+
+def main():
+    if os.environ.get('PO_WORKTREE_GUARD') != '1':
+        sys.exit(0)
+
+    try:
+        payload = json.loads(sys.stdin.read())
+    except (json.JSONDecodeError, ValueError):
+        sys.exit(0)
+
+    tool_name = payload.get('tool_name', '')
+    if tool_name not in ('Write', 'Edit'):
+        sys.exit(0)
+
+    file_path = payload.get('tool_input', {}).get('file_path', '')
+    if not file_path:
+        sys.exit(0)
+
+    cwd = os.path.realpath(os.getcwd())
+
+    # [SR-V-001] CWD がパスコンポーネント分割で ".claude/worktrees/..." の
+    # 構造を持つことを検証する。
+    # str.split(os.sep) でパス要素に分解し、"worktrees" の直前コンポーネントが
+    # ".claude" であることを確認する。
+    # これにより、".claude" 自体が symlink で別名解決される場合でも
+    # os.path.realpath() 後のパスで正しく検証できる
+    # （文字列部分一致 (_WORKTREES_MARKER in cwd) よりも誤検知が少ない）。
+    parts = cwd.split(os.sep)
+    try:
+        wt_idx = parts.index(_WORKTREES_COMPONENT)
+        if wt_idx == 0 or parts[wt_idx - 1] != _WORKTREES_PARENT:
+            sys.exit(0)
+    except ValueError:
+        sys.exit(0)
+
+    target = file_path if os.path.isabs(file_path) else os.path.join(cwd, file_path)
+
+    if decide_containment(target, cwd):
+        # stderr 表示専用の best-effort 解決（判定には使わない・失敗しても target を出す）
+        try:
+            display_resolved = os.path.realpath(target)
+        except (OSError, ValueError):
+            display_resolved = target
+        print(
+            f'[WorktreeGuard BLOCK] worktree 外へのファイル操作をブロックしました。\n'
+            f'  対象パス: {sanitize_for_terminal(file_path)}\n'
+            f'  解決パス: {sanitize_for_terminal(display_resolved)}\n'
+            f'  許可範囲: {sanitize_for_terminal(cwd)}',
+            file=sys.stderr
+        )
+        sys.exit(2)
+
+    sys.exit(0)
+
+
+if __name__ == '__main__':
+    main()

{claude_code_conductor-2.65.0 → claude_code_conductor-2.67.0}/.claude/skills/autonomous-mode/SKILL.md

@@ -96,7 +96,7 @@ E-0 起因の差し戻しは E 周回として 1 消費する（CR/SR セット
 | サイクルの状態 | 分岐 |
 |---|---|
 | High/Medium が 1 件以上 | 従来どおり「全て対応する」を選ぶ（Low も含めて `[対応予定]`）。層別ルーティングで上流へ戻る＝未収束 |
-| High/Medium 0・Low が 1 件以上（＝収束） | 残る Low を「全て許容して進む」で処理する。許容理由は「C-3 収束条件（High/Medium 0）を満たしたため、残る Low は実装フェーズ以降で扱う」と記録し、`.claude/skills/dev-workflow/scripts/record_review_decision.py --decision accepted` で残す。フェーズ D へ進む |
+| High/Medium 0・Low が 1 件以上（＝収束） | 残る Low を「全て許容して進む」で処理する。許容理由は「C-3 収束条件（High/Medium 0）を満たしたため、残る Low は実装フェーズ以降で扱う」と記録し、`.claude/skills/dev-workflow/scripts/record_review_decision.py --decision accepted --severity low` で残す（`--severity` は必須引数）。フェーズ D へ進む |
 | findings 0 | そのままフェーズ D へ |
 
 **cycles_used の定義**: E は**周回数**。CR∥SR 並列 1 セット＋修正＝1 サイクル。