proofbundle 5.0.0__tar.gz → 5.1.0__tar.gz

{proofbundle-5.0.0 → proofbundle-5.1.0}/MANIFEST.in

@@ -25,6 +25,32 @@ graft conformance
 graft formal
 graft docs/readiness_pack
 include docs/adr/renewal_policy.example.json
+
+# PB-2026-0831-01: the receipt-envelope profile and its vectors landed on main in #159, but the
+# profile document itself was NOT in the sdist and NOT in the wheel — measured, 0 hits in both.
+# NO prune or exclude rule removed it. MANIFEST.in is an allowlist and the file was simply not on
+# any line; it was missing by absence, not by exclusion. That distinction matters: looking for the
+# offending prune rule would have found nothing and left the file out.
+#
+# The vectors under conformance/envelope_profile/ were already shipped by `graft conformance`
+# (21 of 21 files, 10 of 10 case.json, measured). Only the prose document was missing, and it is
+# the half a reader needs to know what the vectors prove.
+#
+# Named by exact path rather than `graft docs`, for the same reason the ADR example above is: a
+# blanket graft would also ship documents whose internal links point at pruned repo files, which
+# breaks test_docs_truth from the sdist.
+include docs/RECEIPT_ENVELOPE_PROFILE.md
+# Same reason, measured 01.09.2026: 14 conformance cases under conformance/agent_review/
+# cite this file NORMATIVELY (`specRef`), and it was not shipped — the corpus referred to a
+# document the installed package did not contain. It carries no local links, so it cannot
+# break test_docs_truth the way a `graft docs` would.
+include docs/AGENT_REVIEW_PREDICATE.md
+# PB-2026-0902-01: der sdist enthielt `conformance/` (94 Faelle, `graft conformance`), aber NICHT
+# das Makefile, ueber das die Doku den Korpus fahren laesst. Wer den sdist auspackt und
+# `make conformance` ruft, bekommt "No rule to make target" — der Korpus ist da und
+# unerreichbar. Gefunden von der as-shipped-Linse des Tiefen-Gates am 02.09.2026. Wie schon bei
+# `RECEIPT_ENVELOPE_PROFILE.md`: keine prune-Regel entfernte es, es stand auf keiner Zeile.
+include Makefile
 graft scripts
 
 # Never ship: the Rust verifier + build artifacts, repo/CI meta, caches, VCS, big review packs.

proofbundle-5.1.0/Makefile

@@ -0,0 +1,71 @@
+.PHONY: test lint typecheck demo tamper-demo persample-demo full-demo mutation examples conformance conformance-crossimpl all coverage
+
+PYTHON ?= python3
+
+# EIN ZIEL, DAS IM AUSGELIEFERTEN ZUSTAND NICHT LAUFEN KANN, MUSS DAS SAGEN — nicht scheitern.
+#
+# GEMESSEN am 02.09.2026 (adversariale as-shipped-Linse): `include Makefile` machte alle 13 Ziele
+# zu ausgelieferten Versprechen. Sieben laufen aus dem sdist nicht, und `conformance-crossimpl`
+# scheiterte an einem fehlenden Verzeichnis, waehrend sein Kommentar "needs cargo" sagte — die
+# falsche Vorbedingung. `prune tools` ist richtig; die MELDUNG war es nicht.
+#
+# Der Wachtposten ist EINE Zeile je Ziel und nennt die Vorbedingung im Klartext, statt eine
+# Shell-Fehlermeldung ueber ein fehlendes Verzeichnis zu produzieren.
+# EIN SHELL-AUFRUF, kein zweizeiliger Wachtposten.
+#
+# Die erste Fassung war eine EIGENE Rezeptzeile mit `|| { echo …; exit 0; }`. Gemessen aus dem
+# entpackten sdist: sie meldete die Vorbedingung KORREKT — und make fuhr die naechste Zeile
+# trotzdem, weil jede Rezeptzeile ihre eigene Shell hat und `exit 0` nur diese verlaesst. Das Ziel
+# scheiterte danach genau wie vorher, jetzt nur mit einer beruhigenden Zeile davor. Ein Riegel,
+# der ankuendigt und dann durchlaesst, ist schlimmer als keiner. Deshalb umschliesst die Bedingung
+# den GANZEN Rumpf in EINER Zeile.
+CHECKOUT_FEHLT = echo "== $@: skipped — needs a source checkout, not the shipped package."; \
+	echo "   Why:  tools/ and .github/ are deliberately pruned from the sdist (MANIFEST.in)."; \
+	echo "   How:  run this target from a source checkout of the repository."
+
+test:  ## needs pytest (in the [test] extra) — it is the only runner that sees this suite
+	$(PYTHON) -m pytest -q
+
+lint:  ## needs `pip install ruff` — deliberately NOT in the [test] extra
+	ruff check .
+
+typecheck:  ## needs `pip install mypy` — deliberately NOT in the [test] extra
+	$(PYTHON) -m mypy src
+
+demo:  ## pip-only, offline: honest receipt verifies, tampers fail, sample swap caught (in memory)
+	PYTHONPATH=src $(PYTHON) -m proofbundle.cli demo
+
+tamper-demo:  ## the demo with an exit-code contract (fails if any guarantee breaks)
+	bash scripts/demo_tamper.sh
+
+persample-demo:  ## offline forced-random-sample audit walkthrough
+	$(PYTHON) examples/persample_audit.py
+
+full-demo:  ## real eval logs -> signed receipts -> verified OK (needs [eval,inspect] extras)
+	bash scripts/demo.sh
+
+mutation:  ## anti-Goodhart gate: the tests must KILL broken implementations (needs a source checkout: it walks the tracked file list)
+	@if [ -d tools ] && [ -d .github ]; then $(PYTHON) scripts/mutation_check.py; \
+	else $(CHECKOUT_FEHLT); fi
+
+coverage:  ## line coverage of the core over the test suite (needs `pip install coverage`)
+	$(PYTHON) -m coverage run -m pytest -q
+	$(PYTHON) -m coverage report -m --include="src/proofbundle/*"
+
+examples:  ## run every offline example (those without optional extras)
+	@for f in examples/make_example.py examples/lm_eval_receipt.py examples/eee_receipt.py \
+	          examples/intoto_dsse_export.py examples/checkpoint_example.py \
+	          examples/tlog_proof_example.py examples/rekor_interop.py \
+	          examples/persample_audit.py; do \
+		echo "== $$f =="; PYTHONPATH=src $(PYTHON) $$f || exit 1; done
+
+conformance:  ## offline conformance corpus (anchor sub-checks need the [anchors] extra)
+	PYTHONPATH=src $(PYTHON) conformance/run_conformance.py
+
+conformance-crossimpl:  ## cross-impl acceptance gate: the independent Rust second-verifier must AGREE with Python over the verifier core (needs a source checkout AND cargo; #55 S2)
+	@if [ -d tools ] && [ -d .github ]; then \
+		( cd tools/pb_verify_rs && cargo build --release ) && \
+		PYTHONPATH=src $(PYTHON) tools/pb_verify_rs/crosscheck.py; \
+	else $(CHECKOUT_FEHLT); fi
+
+all: lint typecheck test  ## needs ruff + mypy; from the shipped package run `make test` alone

{proofbundle-5.0.0/src/proofbundle.egg-info → proofbundle-5.1.0}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: proofbundle
-Version: 5.0.0
+Version: 5.1.0
 Summary: Emit and verify portable cryptographic evidence bundles, offline: Ed25519 + RFC 6962 Merkle + optional SD-JWT.
 Author: Konrad Gruszka
 License: MIT
@@ -51,7 +51,7 @@ Requires-Dist: jsonschema>=4; extra == "test"
 Requires-Dist: sd-jwt>=0.10; extra == "test"
 Requires-Dist: rfc8785>=0.1.4; extra == "test"
 Provides-Extra: inspect
-Requires-Dist: inspect_ai<=0.3.260,>=0.3.112; extra == "inspect"
+Requires-Dist: inspect_ai<=0.3.261,>=0.3.112; extra == "inspect"
 Provides-Extra: dev
 Requires-Dist: pytest>=7; extra == "dev"
 Requires-Dist: ruff<0.17,>=0.5; extra == "dev"
@@ -62,7 +62,7 @@ Requires-Dist: hypothesis>=6; extra == "dev"
 Requires-Dist: rfc8785>=0.1.4; extra == "dev"
 Requires-Dist: sd-jwt>=0.10; extra == "dev"
 Requires-Dist: PyYAML>=6; extra == "dev"
-Requires-Dist: inspect_ai<=0.3.260,>=0.3.112; extra == "dev"
+Requires-Dist: inspect_ai<=0.3.261,>=0.3.112; extra == "dev"
 Dynamic: license-file
 
 <div align="center">

proofbundle-5.1.0/conformance/agent_review/_generator/build_vectors.py

@@ -0,0 +1,362 @@
+"""Konformitaets-Vektoren fuer agent-review/v0.1 — nach dem Hausmuster von conformance/envelope_profile."""
+import copy
+import json
+import os
+import pathlib
+import sys
+sys.path.insert(0, "src")
+from cryptography.hazmat.primitives.asymmetric.ed25519 import Ed25519PrivateKey
+from proofbundle import agent_review as AR
+
+# Das Ziel ist ueberschreibbar, damit ein Test den Korpus NEBEN den echten erzeugen und beide
+# bytegenau vergleichen kann. Ohne diesen Schalter muesste ein solcher Test in den echten Korpus
+# schreiben — und genau das hat am 01.09.2026 einen von Hand nachgetragenen Fix (K-D, die fehlende
+# expectedSubjectDigest-Erwartung) STILL GELOESCHT, weil die Aenderung am ERZEUGTEN Artefakt und
+# nicht an seiner Quelle gemacht worden war. Ein Pruefwerkzeug, das seinen Prueflig veraendert,
+# ist selbst ein Risiko.
+ROOT = pathlib.Path(os.environ.get("AGENT_REVIEW_CORPUS_ROOT") or "conformance/agent_review")
+# Deterministischer Schluessel: ein Vektorkorpus, dessen Bytes sich bei jedem Lauf aendern, ist
+# kein Korpus — er waere bei jedem Regenerieren ein Diff ohne inhaltlichen Anlass.
+sk = Ed25519PrivateKey.from_private_bytes(bytes(range(32)))
+pk = sk.public_key().public_bytes_raw()
+
+BODY = ("# Title\n\nSome PR text.\n\n" + AR.DISCLOSURE_BEGIN + "\n- **X:** y\n"
+        + AR.DISCLOSURE_END + "\n\nTail.\n")
+FINDINGS = [
+    {"id": "F1", "severity": "high", "title": "unbalanced marker accepted",
+     "disposition": "fixed", "fixCommit": "a" * 40},
+    {"id": "F2", "severity": "low", "title": "wording too broad",
+     "disposition": "dismissed", "reason": "covered by the limitations block"},
+]
+BASE = {
+    "schemaVersion": "0.1.0",
+    "reviewId": "agent-review-conformance-01",
+    "subjectContext": {
+        "kind": "githubPullRequest", "forge": "github.com",
+        "repositoryId": "R_kgDOAbCdEf", "pullRequestNodeId": "PR_kwDOAbCdEf",
+        "headSha": "b" * 40, "baseSha": "c" * 40,
+        "reviewedDiffDigest": "d" * 64,
+        "bodyCoreDigest": AR.body_core_digest(BODY),
+    },
+    "declaration": {
+        "authoring": [{"assurance": "selfDeclared", "assertedBy": "an agent"}],
+        "reviewRuns": [{"assurance": "selfDeclared", "assertedBy": "an agent, second pass"}],
+        "findings": FINDINGS,
+        "findingsTotal": len(FINDINGS),
+        "findingsRoot": AR.findings_root(FINDINGS),
+        "nonClaims": ["does not prove the named agent was involved"],
+    },
+    "coverage": {"status": "PARTIAL", "observedRuns": 2, "expectedRuns": None,
+                 "knownGaps": ["runs outside this session are not visible"]},
+    "times": {"declaredAt": "2026-08-31T17:00:00Z", "observedAt": None,
+              "signedAt": "2026-08-31T17:00:01Z", "anchoredAt": None},
+    "limitations": ["offline verification cannot establish currency"],
+}
+
+def schreibe(case_id, role, rule, expected, rationale, *, envelope=None, obj=None,
+             input_name, params=None, attribution=None, spec_refs=None):
+    d = ROOT / case_id
+    d.mkdir(parents=True, exist_ok=True)
+    payload = envelope if envelope is not None else obj
+    (d / input_name).write_text(json.dumps(payload, indent=2, sort_keys=True) + "\n", encoding="utf-8")
+    (d / "case.json").write_text(json.dumps({
+        "caseId": case_id, "kind": "agent_review_predicate", "rule": rule, "role": role,
+        "input": input_name,
+        "attribution": attribution or (
+            "agent-review/v0.1 — built 31.08.2026 against the external adversarial read "
+            "(18 findings). Rule ids are that read's finding ids."),
+        "expected": expected,
+        **({"params": params} if params is not None else {}),
+        "specRefs": spec_refs or ["docs/AGENT_REVIEW_PREDICATE.md",
+                                 "src/proofbundle/agent_review.py"],
+        "rationale": rationale,
+    }, indent=2, sort_keys=True) + "\n", encoding="utf-8")
+    return d
+
+# 1 — Positivkontrolle
+env = AR.emit_agent_review(BASE, sk)
+schreibe("agent-review-positive-control-valid-self-declared", "positive_control", "F01",
+         {"classification": "valid"},
+         "A well-formed v0.1 receipt verifies and reports selfDeclared. If this vector ever fails, the "
+         "emit or verify path changed shape and every counter-proof below becomes unreadable. It "
+         "SUPPLIES the expected subject digest, because that is what a real relying party does: it "
+         "knows which pull request it is looking at. Since the second review round, `ok` is only true "
+         "when that question was actually asked — a receipt can be internally sound and still belong "
+         "to something else, and a control that never asks would pass on the weaker statement.",
+         envelope=env, input_name="envelope.json",
+         params={"expectedSubjectDigest": AR._subject_digest(BASE)})
+
+# 2 — Gegenprobe: Assurance hochgestuft
+p = copy.deepcopy(BASE)
+p["declaration"]["authoring"][0]["assurance"] = "independentlyWitnessed"
+schreibe("agent-review-counter-proof-assurance-cannot-be-self-raised", "counter_proof", "F01",
+         {"classification": "refused"},
+         "The whole point of the predicate: a producer must not be able to label its own claim as "
+         "independently witnessed. This is rejected at EMIT time, not merely reported at verify — a "
+         "receipt that cannot be produced cannot be shown to anyone.",
+         obj=p, input_name="predicate.json")
+
+# 3 — Gegenprobe: findingsRoot deckt die Liste nicht mehr
+p = copy.deepcopy(BASE)
+p["declaration"]["findings"] = FINDINGS[:1]
+env3 = AR.emit_agent_review(p, sk)   # Erzeugen erlaubt: die Root ist dann schlicht falsch
+schreibe("agent-review-counter-proof-findings-root-covers-the-list", "counter_proof", "F09",
+         {"classification": "invalid"},
+         "Removing a finding after the root was taken must be detectable. A receipt that reports "
+         "'3 findings, 2 fixed' without a root binding is an aggregate anyone can rewrite.\n\n"
+         "NACHTRAG 01.09.2026, Tiefen-Gate 5.1.0: dieser Fall KONNTE NICHT KIPPEN. Ohne "
+         "params.expectedSubjectDigest ist subject_expectation=not_supplied, damit ok=False fuer "
+         "JEDE Eingabe, damit ist die Klassifikation immer die erwartete 'invalid' — der Fall "
+         "bestand auch mit abgeschalteter findingsRoot-Pruefung, und die ganze Strecke blieb rc=0. "
+         "Zwei unabhaengige Linsen haben das mit je eigenen Mutanten gemessen. F09 war zudem die "
+         "einzige Regel MIT Gegenbeweis und OHNE Positivkontrolle, es gab also keinen zweiten "
+         "Faenger. Die Erwartung ist derselbe Wert, den die zwei Geschwister-Faelle bereits "
+         "tragen; damit faellt der Fall wieder auf SEINER eigenen Achse.",
+         envelope=env3, input_name="envelope.json",
+         params={"expectedSubjectDigest": AR._subject_digest(BASE)})
+
+# 4 — Gegenprobe: anchoredAt ohne Beleg
+p = copy.deepcopy(BASE)
+p["times"]["anchoredAt"] = "2026-08-31T17:00:02Z"
+schreibe("agent-review-counter-proof-anchored-time-needs-evidence", "counter_proof", "F06",
+         {"classification": "refused"},
+         "A signature proves the signed bytes contain a time value, not that the value is externally "
+         "true. v0.1 carries no anchor evidence, so it refuses the claim instead of passing it through.",
+         obj=p, input_name="predicate.json")
+
+# 5 — Gegenprobe: COMPLETE ohne genannte Erwartung
+p = copy.deepcopy(BASE)
+p["coverage"] = {"status": "COMPLETE", "observedRuns": 2}
+schreibe("agent-review-counter-proof-complete-needs-an-expectation", "counter_proof", "F07",
+         {"classification": "refused"},
+         "Without a stated expectation, 'complete' means 'I saw everything I happened to see' and "
+         "cannot be falsified. Unobserved work must appear as a gap, never as a zero count.",
+         obj=p, input_name="predicate.json")
+
+# 6 — Gegenprobe: Receipt auf einen anderen PR kopiert
+p = copy.deepcopy(BASE)
+p["subjectContext"]["pullRequestNodeId"] = "PR_kwDOZZZZZZ"
+env6 = AR.emit_agent_review(p, sk)
+schreibe("agent-review-counter-proof-receipt-does-not-travel-between-subjects", "counter_proof", "F02",
+         {"classification": "invalid"},
+         "A valid signature on the wrong object is the failure mode this binding exists for. Verified "
+         "against the original subject digest, this receipt must fail — it is cryptographically sound "
+         "and bound to something else.",
+         envelope=env6, input_name="envelope.json",
+         params={"expectedSubjectDigest": AR._subject_digest(BASE)})
+
+# 7 — Gegenprobe: duplizierter Offenlegungsblock
+schreibe("agent-review-counter-proof-duplicate-disclosure-block-fails-closed", "counter_proof", "F03",
+         {"classification": "refused"},
+         "An attacker who may append a second block could otherwise choose which one defines the "
+         "digest. Two blocks is not a body we can reduce to one canonical form, so the digest is "
+         "refused rather than guessed.",
+         obj={"body": BODY + AR.render_disclosure_block(BASE)}, input_name="body.json")
+
+# 8 — Positivkontrolle: Block neu gerendert, Digest stabil
+blk = AR.render_disclosure_block(BASE, receipt_digest="e" * 64)
+neu = BODY[:BODY.index(AR.DISCLOSURE_BEGIN)] + blk + BODY[BODY.index(AR.DISCLOSURE_END) + len(AR.DISCLOSURE_END):]
+schreibe("agent-review-positive-control-rerendered-block-keeps-body-core", "positive_control", "F03",
+         {"bodyCoreStable": True},
+         "Re-rendering the machine-managed block from the same canonical receipt must not move the "
+         "body core digest. If it did, every disclosure update would look like body tampering and the "
+         "binding would be unusable in practice.",
+         obj={"bodyBefore": BODY, "bodyAfter": neu}, input_name="bodies.json")
+
+
+# 9 — Gegenprobe: die Luecken-Pflicht durch Weglassen abschalten
+p = copy.deepcopy(BASE)
+del p["declaration"]["findingsTotal"]
+p["declaration"]["findings"] = FINDINGS[:1]
+schreibe("agent-review-counter-proof-gap-duty-cannot-be-switched-off", "counter_proof", "F07",
+         {"classification": "refused"},
+         "THE ATTACK AN EXTERNAL REVIEW ACTUALLY RAN (31.08.2026) AND THAT SUCCEEDED. While "
+         "findingsTotal was optional, a producer could list one finding of eight, omit the field, "
+         "leave knownGaps empty — and the validator reported ZERO errors. A duty that switches off "
+         "by omitting a field is not a duty. The field is now required.",
+         obj=p, input_name="predicate.json")
+
+# 10 — Gegenprobe: PARTIAL ohne benannte Luecke (Nachbar derselben Klasse)
+p = copy.deepcopy(BASE)
+p["coverage"] = {"status": "PARTIAL", "observedRuns": 2, "knownGaps": []}
+schreibe("agent-review-counter-proof-partial-must-name-its-gap", "counter_proof", "F07",
+         {"classification": "refused"},
+         "The neighbour of the case above, closed in the same pass. COMPLETE had to state its "
+         "expectation; PARTIAL had to state nothing at all and was therefore just as unfalsifiable — "
+         "'incomplete, but I will not say in what' is not a statement about coverage.",
+         obj=p, input_name="predicate.json")
+
+# 11 — Positivkontrolle: ohne Erwartung wird die Grenze GEMELDET, nicht verschwiegen
+env11 = AR.emit_agent_review(BASE, sk)
+schreibe("agent-review-positive-control-absent-expectation-is-reported", "positive_control", "F02",
+         {"subjectExpectation": "not_supplied"},
+         "A CORRECTION TO A CLAIM WE MADE OURSELVES. We wrote that a receipt copied onto another "
+         "pull request fails the subject check. It does not: derived and claimed both come from the "
+         "same signed subjectContext, so they always agree unless someone hand-builds the statement. "
+         "Without an expectation supplied from outside, this is a CONSISTENCY check, not a binding "
+         "to the object the reader is looking at. The absence is now reported instead of passing "
+         "silently.",
+         envelope=env11, input_name="envelope.json")
+
+
+# 12 — Gegenprobe: die EINFUEHRUNG des ersten Blocks bewegt den Digest sehr wohl
+roh = "# Title\n\nSome PR text.\n\n### Agent review\n\n- Passes: 2\n"
+schreibe("agent-review-counter-proof-introducing-the-first-block-moves-the-digest", "counter_proof",
+         "F03", {"bodyCoreStable": False},
+         "THE ORDERING DEFECT, FOUND WHILE ADDING A REAL DISCLOSURE LINE TO A LIVE PULL REQUEST "
+         "(31.08.2026). Changing a block leaves the core digest alone; INTRODUCING the first one "
+         "does not, because a body without a block and the same body with an empty one differ by "
+         "the token's own bytes. A receipt emitted over the pre-block body binds a body that stops "
+         "existing the moment its own disclosure line is added. This case pins the difference so "
+         "nobody assumes the stable case covers both.",
+         obj={"bodyBefore": roh,
+              "bodyAfter": AR.prepare_body_for_disclosure(roh, anchor="### Agent review")},
+         input_name="bodies.json")
+
+# 13 — Positivkontrolle: prepare, dann replace — der Digest darf sich NICHT bewegen
+vorbereitet = AR.prepare_body_for_disclosure(roh, anchor="### Agent review")
+gefuellt = AR.replace_disclosure_block(
+    vorbereitet, AR.DISCLOSURE_BEGIN + "\n- **Receipt:** sha256:" + "f" * 64 + "\n" + AR.DISCLOSURE_END)
+schreibe("agent-review-positive-control-prepare-then-fill-keeps-the-digest", "positive_control",
+         "F03", {"bodyCoreStable": True},
+         "The correct order, pinned as a control. Prepare the body, take the digest over THAT, emit, "
+         "then fill the prepared position. The last step cannot move the digest because the block's "
+         "content is replaced by the token either way — which is the entire reason the markers "
+         "exist. Without this control the counter-proof above could be satisfied by a verifier that "
+         "simply reports instability for everything.",
+         obj={"bodyBefore": vorbereitet, "bodyAfter": gefuellt}, input_name="bodies.json")
+
+
+# 14 — Positivkontrolle: der ECHTE Emit-Verify-Roundtrip
+#
+# NACHGETRAGEN 01.09.2026. Dieser Fall wurde am selben Tag von Hand angelegt und stand danach auf
+# der Platte UND im Manifest, aber NICHT hier — ein Neulauf des Generators haette ihn nicht
+# erzeugt, und damit waere der Korpus nicht mehr aus seiner Quelle reproduzierbar gewesen. Die
+# Gegenlese Runde 2 verlangt unter P0.5.1 ausdruecklich reproduzierbare Fixtures.
+#
+# Das Praedikat ist bewusst NICHT von BASE abgeleitet: es soll den positiven Zweig unabhaengig
+# treffen, und ein Ableger haette dieselben Werte noch einmal behauptet statt sie zu pruefen.
+ROUNDTRIP = {
+    "coverage": {
+        "knownGaps": [
+            "nur ein Lauf erfasst"
+        ],
+        "status": "PARTIAL"
+    },
+    "declaration": {
+        "authoring": [
+            {
+                "assertedBy": "agent",
+                "assurance": "selfDeclared"
+            }
+        ],
+        "findings": [
+            {
+                "disposition": "dismissed",
+                "id": "F1",
+                "reason": "im Kontext nicht anwendbar",
+                "severity": "low",
+                "title": "ein Fund"
+            }
+        ],
+        "findingsRoot": "a9315babdef60590b291d47617a6dade99f407e3d66d5edf8e98a2d851e876e2",
+        "findingsTotal": 1,
+        "nonClaims": [
+            "kein Nachweis von Unabhaengigkeit"
+        ],
+        "reviewRuns": []
+    },
+    "limitations": [
+        "Tier 1, selbst deklariert, kein externer Zeuge"
+    ],
+    "reviewId": "roundtrip-positive-control",
+    "schemaVersion": "0.1.0",
+    "subjectContext": {
+        "baseSha": "bbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbb",
+        "bodyCoreDigest": "2de5900a45b84d021dfb8cf9850be84c0c848f92bf780516ce9edf74383f7365",
+        "forge": "github.com",
+        "headSha": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "kind": "githubPullRequest",
+        "pullRequestNodeId": "PR_kwDOroundtrip",
+        "repositoryId": "R_kgDOroundtrip",
+        "reviewedDiffDigest": "cccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccc"
+    },
+    "times": {
+        "declaredAt": "2026-09-01T09:00:00Z"
+    }
+}
+schreibe("agent-review-positive-control-emit-verify-roundtrip", "positive_control", "PBF08",
+         {"classification": "valid"},
+         "OHNE DIESEN FALL MISST DIE UMSTELLUNG NICHTS, und das ist gemessen: alle fuenf bisherigen predicate.json-Faelle erwarten `refused`, also wurde der `valid`-Zweig nie erreicht. Ein eingepflanzter Defekt, der die Validierung besteht und erst im Verifier faellt (Statement mit falschem Subject-Digest), liess die Strecke gruen — mit der Umstellung UND ohne sie. Dieser Fall fuehrt den positiven Roundtrip: das Praedikat wird mit dem deterministischen Korpus-Schluessel wirklich EMITTIERT und das erzeugte Envelope danach verifiziert. `valid` heisst hier also 'erzeugt und wieder gelesen', nicht 'bestand die Validierung'.",
+         obj=ROUNDTRIP, input_name="predicate.json", params={},
+         attribution="agent-review/v0.1 — ergaenzt 01.09.2026 nach der Gegenlese Runde 2 (N06 / P0.5): die Strecke rief fuer Praedikat-Faelle den VALIDATOR, nicht den Erzeuger.",
+         spec_refs=["docs/AGENT_REVIEW_PREDICATE.md", "src/proofbundle/agent_review.py", "conformance/run_conformance.py"])
+
+
+# ── Test 19: Supersession ───────────────────────────────────────────────────────────────────────
+# Die Gegenlese Runde 2 fuehrt Test 19 ZWEIMAL als "WIDERLEGT als gefahrene Mutation": der
+# Erstanwendungsbericht nannte ihn gefahren, und in der vollstaendigen Fall-Liste existierte
+# ueberhaupt kein Supersessions-Fall. Diese drei schliessen das.
+#
+# Der Angreiferschluessel ist ebenso deterministisch wie der Korpusschluessel und ausdruecklich
+# NICHT der unsere — ein Uebernahmeversuch, der mit unserem Schluessel signiert, waere kein
+# Uebernahmeversuch, sondern wir selbst.
+angreifer_sk = Ed25519PrivateKey.from_private_bytes(bytes(range(32, 64)))
+
+alt = copy.deepcopy(BASE)
+alt["reviewId"] = "agent-review-conformance-01-erste-fassung"
+env_alt = AR.emit_agent_review(alt, sk)
+digest_alt = AR.receipt_digest(env_alt)
+
+neu_p = copy.deepcopy(BASE)
+neu_p["reviewId"] = "agent-review-conformance-01-zweite-fassung"
+neu_p["supersession"] = {"supersedes": [
+    {"priorDigest": {"sha256": digest_alt},
+     "reason": "die erste Fassung zaehlte einen Fund doppelt"}]}
+env_neu = AR.emit_agent_review(neu_p, sk)
+digest_neu = AR.receipt_digest(env_neu)
+
+# 15 — Positivkontrolle: die Kette benennt genau einen aktuellen Beleg
+schreibe("agent-review-positive-control-supersession-names-the-current-receipt", "positive_control",
+         "F15", {"currentReceipt": digest_neu},
+         "Ohne diese Kontrolle misst die Gegenprobe darunter nichts: ein Resolver, der IMMER "
+         "None liefert, bestuende jeden Fall, der nur Abwehr prueft. Zwei Belege, der zweite "
+         "benennt den ersten als ueberholt — genau einer darf danach aktuell sein, und es muss "
+         "der zweite sein. Ein ueberholtes Receipt wird dabei nicht ungueltig, es ist nur nicht "
+         "mehr der Stand, auf den ein oeffentlicher Verweis zeigen soll.",
+         obj={"envelopes": [env_alt, env_neu]}, input_name="chain.json")
+
+# 16 — Gegenprobe: ein fremd signierter Umschlag darf die Kette NICHT uebernehmen
+uebernahme = copy.deepcopy(BASE)
+uebernahme["reviewId"] = "uebernahme-versuch"
+uebernahme["supersession"] = {"supersedes": [
+    {"priorDigest": {"sha256": digest_alt},
+     "reason": "behauptet, unseren Beleg zu ersetzen"}]}
+env_fremd = AR.emit_agent_review(uebernahme, angreifer_sk)
+schreibe("agent-review-counter-proof-a-foreign-key-cannot-supersede-our-receipt", "counter_proof",
+         "F15", {"unverifiedSupersessionClaim": AR.receipt_digest(env_fremd)},
+         "DER ANGRIFF, DEN DER RESOLVER ABWEHREN MUSS. Ein Angreifer mit EIGENEM Schluessel legt "
+         "einen Umschlag dazu, der unseren Beleg als ueberholt benennt. Wuerde die Ordnung vor "
+         "der Signaturpruefung entstehen, zeigte `current` danach auf SEIN Receipt und unseres "
+         "stuende unter `corrected` — bei gueltiger Signatur, denn seine ist gueltig, nur nicht "
+         "unsere. Der Laeufer prueft deshalb jeden Umschlag SELBST und uebergibt nur die "
+         "bestandenen; der fremde faellt heraus und darf danach nichts mehr korrigieren.\n\n"
+         "DIE ACHSE IST BEWUSST NICHT `current`. Gemessen 01.09.2026: nach der Abwehr sind ZWEI "
+         "Belege unkorrigiert, also meldet der Resolver ehrlich `current=None` statt zu raten — "
+         "und genau dasselbe kaeme heraus, wenn er Supersession gar nicht ansaehe. Ein Fall auf "
+         "`current` bestuende also auch bei einem blinden Resolver. Die unterscheidende Aussage "
+         "ist der GEMELDETE Anspruch: er belegt, dass der Versuch gesehen und verworfen wurde. "
+         "Zusaetzlich wird geprueft, dass gar nichts korrigiert wurde.",
+         obj={"envelopes": [env_alt, env_fremd]}, input_name="chain.json")
+
+# 17 — Gegenprobe: ein ueberholter Vorgaenger, der nicht mehr vorliegt, bricht die Kette
+schreibe("agent-review-counter-proof-a-superseded-predecessor-must-still-be-present", "counter_proof",
+         "F15", {"chainIntegrity": False},
+         "Verschwindet der ueberholte Beleg, ist die Korrektur nicht mehr nachvollziehbar: der "
+         "Leser sieht nur noch die neue Fassung und kann nicht pruefen, WAS korrigiert wurde. "
+         "Jedes einzelne Stueck bleibt dabei kryptografisch gueltig — die Kette ist trotzdem "
+         "kaputt, und das ist die Aussage, die `integrity_ok` traegt und `crypto_ok` nicht.",
+         obj={"envelopes": [env_neu]}, input_name="chain.json")
+
+(ROOT / "publickey.hex").write_text(pk.hex() + "\n", encoding="utf-8")
+print(f"{len(list(ROOT.glob('*/case.json')))} Vektoren geschrieben nach {ROOT}")

proofbundle-5.1.0/conformance/agent_review/agent-review-counter-proof-a-foreign-key-cannot-supersede-our-receipt/case.json

@@ -0,0 +1,16 @@
+{
+  "attribution": "agent-review/v0.1 \u2014 built 31.08.2026 against the external adversarial read (18 findings). Rule ids are that read's finding ids.",
+  "caseId": "agent-review-counter-proof-a-foreign-key-cannot-supersede-our-receipt",
+  "expected": {
+    "unverifiedSupersessionClaim": "32fc4455e730b23436216c3f98e414f564aeb63a254abe2c24183f4c07f83e2e"
+  },
+  "input": "chain.json",
+  "kind": "agent_review_predicate",
+  "rationale": "DER ANGRIFF, DEN DER RESOLVER ABWEHREN MUSS. Ein Angreifer mit EIGENEM Schluessel legt einen Umschlag dazu, der unseren Beleg als ueberholt benennt. Wuerde die Ordnung vor der Signaturpruefung entstehen, zeigte `current` danach auf SEIN Receipt und unseres stuende unter `corrected` \u2014 bei gueltiger Signatur, denn seine ist gueltig, nur nicht unsere. Der Laeufer prueft deshalb jeden Umschlag SELBST und uebergibt nur die bestandenen; der fremde faellt heraus und darf danach nichts mehr korrigieren.\n\nDIE ACHSE IST BEWUSST NICHT `current`. Gemessen 01.09.2026: nach der Abwehr sind ZWEI Belege unkorrigiert, also meldet der Resolver ehrlich `current=None` statt zu raten \u2014 und genau dasselbe kaeme heraus, wenn er Supersession gar nicht ansaehe. Ein Fall auf `current` bestuende also auch bei einem blinden Resolver. Die unterscheidende Aussage ist der GEMELDETE Anspruch: er belegt, dass der Versuch gesehen und verworfen wurde. Zusaetzlich wird geprueft, dass gar nichts korrigiert wurde.",
+  "role": "counter_proof",
+  "rule": "F15",
+  "specRefs": [
+    "docs/AGENT_REVIEW_PREDICATE.md",
+    "src/proofbundle/agent_review.py"
+  ]
+}

proofbundle-5.1.0/conformance/agent_review/agent-review-counter-proof-a-foreign-key-cannot-supersede-our-receipt/chain.json

@@ -0,0 +1,22 @@
+{
+  "envelopes": [
+    {
+      "payload": "eyJfdHlwZSI6Imh0dHBzOi8vaW4tdG90by5pby9TdGF0ZW1lbnQvdjEiLCJwcmVkaWNhdGUiOnsiY292ZXJhZ2UiOnsiZXhwZWN0ZWRSdW5zIjpudWxsLCJrbm93bkdhcHMiOlsicnVucyBvdXRzaWRlIHRoaXMgc2Vzc2lvbiBhcmUgbm90IHZpc2libGUiXSwib2JzZXJ2ZWRSdW5zIjoyLCJzdGF0dXMiOiJQQVJUSUFMIn0sImRlY2xhcmF0aW9uIjp7ImF1dGhvcmluZyI6W3siYXNzZXJ0ZWRCeSI6ImFuIGFnZW50IiwiYXNzdXJhbmNlIjoic2VsZkRlY2xhcmVkIn1dLCJmaW5kaW5ncyI6W3siZGlzcG9zaXRpb24iOiJmaXhlZCIsImZpeENvbW1pdCI6ImFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWEiLCJpZCI6IkYxIiwic2V2ZXJpdHkiOiJoaWdoIiwidGl0bGUiOiJ1bmJhbGFuY2VkIG1hcmtlciBhY2NlcHRlZCJ9LHsiZGlzcG9zaXRpb24iOiJkaXNtaXNzZWQiLCJpZCI6IkYyIiwicmVhc29uIjoiY292ZXJlZCBieSB0aGUgbGltaXRhdGlvbnMgYmxvY2siLCJzZXZlcml0eSI6ImxvdyIsInRpdGxlIjoid29yZGluZyB0b28gYnJvYWQifV0sImZpbmRpbmdzUm9vdCI6ImY3NjNjMzg2NGZkYTBkYzY5NWUwMzAwNmVjOWE2NTczNDY1ZjU0NmNjMGMzMTZjNDUxMTI2N2RhODBjMWFmMDYiLCJmaW5kaW5nc1RvdGFsIjoyLCJub25DbGFpbXMiOlsiZG9lcyBub3QgcHJvdmUgdGhlIG5hbWVkIGFnZW50IHdhcyBpbnZvbHZlZCJdLCJyZXZpZXdSdW5zIjpbeyJhc3NlcnRlZEJ5IjoiYW4gYWdlbnQsIHNlY29uZCBwYXNzIiwiYXNzdXJhbmNlIjoic2VsZkRlY2xhcmVkIn1dfSwibGltaXRhdGlvbnMiOlsib2ZmbGluZSB2ZXJpZmljYXRpb24gY2Fubm90IGVzdGFibGlzaCBjdXJyZW5jeSJdLCJyZXZpZXdJZCI6ImFnZW50LXJldmlldy1jb25mb3JtYW5jZS0wMS1lcnN0ZS1mYXNzdW5nIiwic2NoZW1hVmVyc2lvbiI6IjAuMS4wIiwic3ViamVjdENvbnRleHQiOnsiYmFzZVNoYSI6ImNjY2NjY2NjY2NjY2NjY2NjY2NjY2NjY2NjY2NjY2NjY2NjY2NjY2MiLCJib2R5Q29yZURpZ2VzdCI6ImFkM2RkOThjODc4Mjk5NWQ0NjY1ZmEwYmZlYjJlNGJmMTdkNzhjZjZkZjM5MmRhMDg3OGQyMDUyY2RhYTVhOWEiLCJmb3JnZSI6ImdpdGh1Yi5jb20iLCJoZWFkU2hhIjoiYmJiYmJiYmJiYmJiYmJiYmJiYmJiYmJiYmJiYmJiYmJiYmJiYmJiYiIsImtpbmQiOiJnaXRodWJQdWxsUmVxdWVzdCIsInB1bGxSZXF1ZXN0Tm9kZUlkIjoiUFJfa3dET0FiQ2RFZiIsInJlcG9zaXRvcnlJZCI6IlJfa2dET0FiQ2RFZiIsInJldmlld2VkRGlmZkRpZ2VzdCI6ImRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGRkZGQifSwidGltZXMiOnsiYW5jaG9yZWRBdCI6bnVsbCwiZGVjbGFyZWRBdCI6IjIwMjYtMDgtMzFUMTc6MDA6MDBaIiwib2JzZXJ2ZWRBdCI6bnVsbCwic2lnbmVkQXQiOiIyMDI2LTA4LTMxVDE3OjAwOjAxWiJ9fSwicHJlZGljYXRlVHlwZSI6Imh0dHBzOi8vYjduMGRlLmNvbS9wcm9vZmJ1bmRsZS9wcmVkaWNhdGVzL2FnZW50LXJldmlldy92MC4xIiwic3ViamVjdCI6W3siZGlnZXN0Ijp7InNoYTI1NiI6ImYyZmNhOGFjMTQ2YjMyMzZjOGYzNzUzMzg5MGY0MjM1MGE4NTYyYTY0MjZlYzdkOTZjMTI5ZTA0ZGUzYzY2MmEifSwibmFtZSI6ImdpdGh1Yi1wcjpSX2tnRE9BYkNkRWY6UFJfa3dET0FiQ2RFZiJ9XX0=",
+      "payloadType": "application/vnd.in-toto+json",
+      "signatures": [
+        {
+          "sig": "YigIGymu0qG7rltPZLCrPGY8egz/1jZ6P0jnL4afabEJpALAgQ4dPFLUh3lqRWwrbJ2n9n5jaJ1f+3PfCjm/Bg=="
+        }
+      ]
+    },
+    {
+      "payload": "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",
+      "payloadType": "application/vnd.in-toto+json",
+      "signatures": [
+        {
+          "sig": "WMPWrAdOCX7T4h88UxALJoLUwWN00kT26CMmOkYuti8ml57oux7yWE6ZBEHr7CeCU5GYeCUzR5GN5B08M7lYDQ=="
+        }
+      ]
+    }
+  ]
+}

proofbundle-5.1.0/conformance/agent_review/agent-review-counter-proof-a-superseded-predecessor-must-still-be-present/case.json

@@ -0,0 +1,16 @@
+{
+  "attribution": "agent-review/v0.1 \u2014 built 31.08.2026 against the external adversarial read (18 findings). Rule ids are that read's finding ids.",
+  "caseId": "agent-review-counter-proof-a-superseded-predecessor-must-still-be-present",
+  "expected": {
+    "chainIntegrity": false
+  },
+  "input": "chain.json",
+  "kind": "agent_review_predicate",
+  "rationale": "Verschwindet der ueberholte Beleg, ist die Korrektur nicht mehr nachvollziehbar: der Leser sieht nur noch die neue Fassung und kann nicht pruefen, WAS korrigiert wurde. Jedes einzelne Stueck bleibt dabei kryptografisch gueltig \u2014 die Kette ist trotzdem kaputt, und das ist die Aussage, die `integrity_ok` traegt und `crypto_ok` nicht.",
+  "role": "counter_proof",
+  "rule": "F15",
+  "specRefs": [
+    "docs/AGENT_REVIEW_PREDICATE.md",
+    "src/proofbundle/agent_review.py"
+  ]
+}

proofbundle-5.1.0/conformance/agent_review/agent-review-counter-proof-a-superseded-predecessor-must-still-be-present/chain.json

@@ -0,0 +1,13 @@
+{
+  "envelopes": [
+    {
+      "payload": "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",
+      "payloadType": "application/vnd.in-toto+json",
+      "signatures": [
+        {
+          "sig": "4w+gfp/rXpjfvlnExl4yQLdNDrMYn40fBTgHseYCzW+Gtd/v/JsZGJYWzMiMETPPlqSgqngfYGgA7p+BA9HfBQ=="
+        }
+      ]
+    }
+  ]
+}

proofbundle-5.1.0/conformance/agent_review/agent-review-counter-proof-anchored-time-needs-evidence/case.json

@@ -0,0 +1,16 @@
+{
+  "attribution": "agent-review/v0.1 \u2014 built 31.08.2026 against the external adversarial read (18 findings). Rule ids are that read's finding ids.",
+  "caseId": "agent-review-counter-proof-anchored-time-needs-evidence",
+  "expected": {
+    "classification": "refused"
+  },
+  "input": "predicate.json",
+  "kind": "agent_review_predicate",
+  "rationale": "A signature proves the signed bytes contain a time value, not that the value is externally true. v0.1 carries no anchor evidence, so it refuses the claim instead of passing it through.",
+  "role": "counter_proof",
+  "rule": "F06",
+  "specRefs": [
+    "docs/AGENT_REVIEW_PREDICATE.md",
+    "src/proofbundle/agent_review.py"
+  ]
+}