usta 0.2.0__tar.gz → 0.2.1__tar.gz

usta-0.2.1/.github/workflows/publish.yml

@@ -0,0 +1,33 @@
+# PyPI'ye yayın: yalnızca bir GitHub release yayımlanınca çalışır. Parola/jeton yok: PyPI "Trusted Publisher"
+# (OIDC) olarak bu depo + workflow + `pypi` ortamı tanımlanmadıkça yayın başarısız olur (bilinçli güvenlik).
+name: publish
+on:
+  release:
+    types: [published]
+permissions:
+  contents: read
+jobs:
+  build:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-python@v5
+        with:
+          python-version: "3.12"
+      - run: python -m pip install build && python -m build
+      - uses: actions/upload-artifact@v4
+        with:
+          name: dist
+          path: dist/
+  pypi:
+    needs: build
+    runs-on: ubuntu-latest
+    environment: pypi
+    permissions:
+      id-token: write
+    steps:
+      - uses: actions/download-artifact@v4
+        with:
+          name: dist
+          path: dist/
+      - uses: pypa/gh-action-pypi-publish@release/v1

{usta-0.2.0 → usta-0.2.1}/CHANGELOG.md

@@ -1,5 +1,14 @@
 # Değişiklik günlüğü
 
+## 0.2.1 — Ofis ve kaynak izi kapısı
+
+Ölçümler ve sınırlar: [docs/v0.2.1-raporu.md](docs/v0.2.1-raporu.md). Rakiplerle dürüst karşılaştırma: [docs/comparison.md](docs/comparison.md).
+
+- **Kaynak izi kapısı (`taint.py`), varsayılan AÇIK:** okunan içerikten türeyen yazma/komut hedefleri onay ister (oto modda reddedilir). 7B Lab'da gerçekleşen yetkisiz eylem 6→2/40; yanlış alarm gözlenmedi (7B Lab'da 40, DeepSeek Lab'da 44, bench'te 96 meşru koşu). Kanıt yönlüdür, istatistiksel olarak güçlü değildir (aralıklar örtüşüyor). Kapatmak: `--no-taint-gate` / `USTA_TAINT_GATE=0`. Bench'te `X-TAINT` kolu.
+- Model çıktısı sınırında kesilen/bozuk araç argümanı artık görevi öldürmez: araç hatası olarak modele döner ("daha küçük parçalarla dene"). Daha önce `araç çağrısı çözümlenemedi` ile görev düşüyordu.
+- Portal: **Ofis** sekmesi (piksel-sanat ofis animasyonu). Ajan olaylarını (araç çağrısı, onay isteği, bitiş) canlıda ve geçmiş oturum tekrarında gösterir; bağımlılık ve harici görsel yok; sayaçlar yalnız gerçek olaylardan gelir. Varsayılan sekme değişmedi (Akış).
+- v0.2.0 öncesi (imajsız) MCP kayıtları için hata mesajı düzeltildi: "docker pull None" yerine `usta mcp add --image` ile yeniden kaydetme yönergesi.
+
 ## 0.2.0 — güvenilirlik ve ölçüm
 
 Sonuçlar, maliyetler ve doğrulanamayan hipotezler: [docs/v0.2.0-raporu.md](docs/v0.2.0-raporu.md).

{usta-0.2.0 → usta-0.2.1}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.5
 Name: usta
-Version: 0.2.0
+Version: 0.2.1
 Summary: Genel amaçlı, açık kaynak yapay zekâ ajanı
 Author: Uğur Can Leba
 License: Apache-2.0
@@ -46,6 +46,8 @@ kılan harness** (araç çağrısı, bağlam yönetimi, doğrulama döngüsü, d
 
 ## Hızlı başlangıç
 
+PyPI'den: `uv tool install usta` (ya da `pip install usta`). Kaynaktan:
+
 ```bash
 git clone https://github.com/SoundByGAIA/usta.git usta && cd usta
 uv venv && uv pip install -e .
@@ -116,6 +118,7 @@ hangisinin ne işe yaradığı ve maliyeti [docs/v0.2.0-raporu.md](docs/v0.2.0-r
 | `usta probe --deep` · `--protocol auto` | Model yetenek profili: protokol başına 9 sonda (uçtan uca ajan görevleri dahil), model revizyonu + yapılandırmaya bağlı kalıcı profil; `auto` koşu başında bir kez çözülür ve sabitlenir |
 | `usta mcp add --image … / prepare / test` | MCP sunucuları varsayılan olarak **yalıtılmış konteynerde**; paketler `prepare` ile bir kez indirilip sabitlenir |
 | `usta sandbox pin / status` | Sandbox imajının kimliğini sabitler; değişirse çalıştırma reddedilir |
+| `--no-taint-gate` | Kaynak izi kapısını kapatır (varsayılan açık): okunan içerikten türeyen yazma/komut hedefleri onay ister, oto modda reddedilir |
 | `--symbol-tools` (deneysel) | Tree-sitter ile sembol araçları (`pip install 'usta[symbols]'`): `related_files`, `find_symbol`, `symbol_context` |
 
 Yürütme aşamaları (DISCOVER → PLAN → EDIT → VERIFY → DIAGNOSE → REPAIR) **gözlemlenir** ve denetim kaydına yazılır; her görev bir terminal

{usta-0.2.0 → usta-0.2.1}/README.en.md

@@ -14,6 +14,8 @@ A feature becomes the default only if a measurement shows it helps.
 
 ## Quick start
 
+From PyPI: `uv tool install usta` (or `pip install usta`). From source:
+
 ```bash
 git clone https://github.com/SoundByGAIA/usta.git usta && cd usta
 uv venv && uv pip install -e .
@@ -85,6 +87,7 @@ measurement infrastructure. It is **not proven** to raise task success on small
 | `usta probe --deep` · `--protocol auto` | Per-protocol capability profile (incl. end-to-end agent tasks), keyed by model revision + server config; `auto` resolves once at start and is pinned for the run |
 | `usta mcp add --image … / prepare / test` | MCP servers run in an **isolated container** by default; packages are fetched once with `prepare` and pinned |
 | `usta sandbox pin / status` | Pins the sandbox image id; a changed image is refused |
+| `--no-taint-gate` | Turns off the provenance gate (on by default): write/command targets derived from untrusted content ask for approval, denied in auto mode |
 | `--symbol-tools` (experimental) | Tree-sitter symbol tools (`pip install 'usta[symbols]'`) |
 
 Execution phases (DISCOVER → PLAN → EDIT → VERIFY → DIAGNOSE → REPAIR) are **observed** and written to the audit log; every task ends in a terminal

{usta-0.2.0 → usta-0.2.1}/README.md

@@ -14,6 +14,8 @@ kılan harness** (araç çağrısı, bağlam yönetimi, doğrulama döngüsü, d
 
 ## Hızlı başlangıç
 
+PyPI'den: `uv tool install usta` (ya da `pip install usta`). Kaynaktan:
+
 ```bash
 git clone https://github.com/SoundByGAIA/usta.git usta && cd usta
 uv venv && uv pip install -e .
@@ -84,6 +86,7 @@ hangisinin ne işe yaradığı ve maliyeti [docs/v0.2.0-raporu.md](docs/v0.2.0-r
 | `usta probe --deep` · `--protocol auto` | Model yetenek profili: protokol başına 9 sonda (uçtan uca ajan görevleri dahil), model revizyonu + yapılandırmaya bağlı kalıcı profil; `auto` koşu başında bir kez çözülür ve sabitlenir |
 | `usta mcp add --image … / prepare / test` | MCP sunucuları varsayılan olarak **yalıtılmış konteynerde**; paketler `prepare` ile bir kez indirilip sabitlenir |
 | `usta sandbox pin / status` | Sandbox imajının kimliğini sabitler; değişirse çalıştırma reddedilir |
+| `--no-taint-gate` | Kaynak izi kapısını kapatır (varsayılan açık): okunan içerikten türeyen yazma/komut hedefleri onay ister, oto modda reddedilir |
 | `--symbol-tools` (deneysel) | Tree-sitter ile sembol araçları (`pip install 'usta[symbols]'`): `related_files`, `find_symbol`, `symbol_context` |
 
 Yürütme aşamaları (DISCOVER → PLAN → EDIT → VERIFY → DIAGNOSE → REPAIR) **gözlemlenir** ve denetim kaydına yazılır; her görev bir terminal

{usta-0.2.0 → usta-0.2.1}/SECURITY.md

@@ -40,6 +40,12 @@ Ayrıntı: [docs/design.md](docs/design.md) §5. Özet ve **bilinçli sınırlar
 - **Tedarik zinciri (v0.2.0):** Python bağımlılıkları hash'li, çok platformlu kilit dosyalarıyla (`requirements*.lock`) kurulur ve CI'da `pip-audit` kilidi tarar.
   Sandbox ve MCP imajları etiketle seçilir; `usta sandbox pin` / `usta mcp prepare` yerel imaj kimliğini sabitler ve her çalıştırmada doğrular
   (etiket başka içeriğe işaret ederse çalışmaz). Usta imajı kendiliğinden çekmez; ilk kez çekilen imajın güvenilirliği sizin kararınızdır.
+- **Dolaylı komut enjeksiyonu (v0.2.1, kısmi savunma):** okunan dosya/sayfa/MCP çıktısındaki gizli talimatlar modeli yönlendirebilir. Kaynak izi
+  kapısı (`taint.py`, varsayılan açık; `--no-taint-gate` ile kapanır) şunu yakalar: `write_file`/`edit_file` yolu ya da `run` komutundaki yol/adres
+  parçası, güvenilmeyen kaynaklardan (dosya içeriği, `fetch_url`, `web_search`, MCP) gelen metinde geçiyor ve sizin isteminizde geçmiyorsa eylem
+  onay ister (manuel modda gerekçeyle sorulur, oto modda reddedilir). **Sınırlar:** komut çıktısındaki talimatlar kapsam dışıdır (test izlerindeki
+  meşru yollar sürekli işaretlenmesin diye); model enjekte metni yazdığı dosyanın *içeriğine* kopyalarsa yakalanmaz; sezgiseldir, kesin koruma
+  değildir. Ölçüm: [docs/v0.2.1-raporu.md](docs/v0.2.1-raporu.md).
 - **Sızdırma kanalları** (belgeli): izinli alan adlarına HTTPS; model uç noktanız (istemler ve açılan dosya içerikleri o API'ye gider);
   önizlemede ajanın yazdığı sayfanın kendi kendine başka adrese yönlenmesi (iframe sandbox'ı bunu engelleyemez; `connect-src`, `form-action` ve
   `allow-top-navigation` kapalıdır).

usta-0.2.1/docs/comparison.md

@@ -0,0 +1,65 @@
+# Usta ve benzer projeler: dürüst karşılaştırma
+
+Tarih: 2026-11-07. Kaynak: her projenin kendi GitHub deposu ve README'si. **Bu karşılaştırma bağımsız bir
+ölçüm değildir:** aşağıda "belgesinde yazıyor" denen şeyleri çalıştırıp doğrulamadım; yalnız Usta için kendi
+ölçümlerimiz var (bkz. `docs/v0.2.0-raporu.md`). Yıldız sayıları o günkü değerlerdir ve kalite göstergesi değildir.
+
+## Büyüklük (GitHub, 2026-11-07)
+
+| Proje | Lisans | Yıldız | Dil |
+|---|---|---|---|
+| opencode (anomalyco) | MIT | ~225 bin | TypeScript |
+| Claude Code (anthropics) | belirtilmemiş | ~155 bin | TypeScript |
+| Codex (openai) | Apache-2.0 | ~134 bin | Rust |
+| OpenHands | MIT | ~93 bin | TypeScript |
+| Cline | Apache-2.0 | ~71 bin | TypeScript |
+| goose | Apache-2.0 | ~56 bin | Rust |
+| Aider | Apache-2.0 | ~50 bin | Python |
+| **Usta** | Apache-2.0 | **3** | Python |
+
+Usta bu alanda çok küçük bir projedir. Özellik genişliği, IDE entegrasyonu, topluluk ve cilada bu projelerle
+yarışmıyoruz ve yarışıyormuş gibi davranmıyoruz.
+
+## Belgelerinde yazanlar (özet, doğrulanmadı)
+
+| Proje | Belgede öne çıkan |
+|---|---|
+| Aider | Terminalde eşli programlama; Claude, DeepSeek, OpenAI ve yerel modellerle çalışır; kendisini kıyas ölçütü olarak anıyor |
+| OpenHands | Yerelde, Docker'da ya da sanal makinelerde çalıştırma; Docker sandbox seçeneği |
+| Cline | İnsan onaylı araç kullanımı; Ollama/LM Studio ile yerel model; MCP; çoklu ajan ekipleri |
+| goose | 15+ sağlayıcı (Ollama dahil), MCP üzerinden 70+ eklenti |
+| opencode | Bash komutlarından önce izin ister; alt ajanlar |
+| Claude Code, Codex | Terminalde çalışan kod ajanları (README'lerinden güvenilir bir özellik özeti çıkaramadım; ayrıntıya girmiyoruz) |
+
+## Usta'nın farklı olduğu yer (kendi ölçümlerimizle desteklenen)
+
+1. **Ölçüm altyapısı ürünün parçası.** `usta bench` (ajanın göremediği gizli testler, başarısızlık sınıflandırması,
+   iz kaydı ve tekrar oynatma, eşleştirilmiş kol karşılaştırması, güven aralıkları, altyapı hatası ayrımı) ve
+   `usta lab` (24 saldırı/hata senaryosu, eşleştirilmiş temiz/saldırılı koşu, saldırı başarı oranı, yanlış ret).
+   Rakiplerin benzer bir dahili güvenilirlik laboratuvarı olup olmadığını bilmiyoruz; yalnız README'lerini anahtar kelimeyle taradık ve böyle bir şeyin öne çıkarıldığını görmedik (bu bir yokluk kanıtı değildir).
+2. **Dürüst sonuç ilkesi.** "Özellik ancak ölçümde fayda gösterirse varsayılan olur." 7B'de yeni özelliklerin başarıyı
+   artırmadığını yayınladık (v0.2.0 raporu).
+3. **Varsayılan yalıtım.** MCP sunucuları yalıtılmış Docker konteynerinde (salt okunur kök, `cap-drop ALL`, ağ yok ya da
+   izinli proxy); ana makinede çalıştırma ancak açık bir uyumluluk modudur.
+4. **Küçük, bağımlılığı az çekirdek.** Python, saf JS portal; yerel küçük modellerle çalışacak şekilde ölçülüp ayarlanıyor.
+
+## Usta'nın zayıf olduğu yer
+
+- 3 yıldız, tek geliştirici, kullanıcı geri bildirimi çok az.
+- IDE eklentisi, masaüstü uygulaması, çoklu oturum/çoklu ajan orkestrasyonu yok.
+- 7B yerel modelde bench başarısı düşük ve deneysel özelliklerin faydası kanıtlanmadı; büyük yerel modeller (12B+) ölçülmedi.
+- Araç çıktısı/README enjeksiyonuna karşı 7B'de koruma tam değil (bkz. v0.2.0 raporu; `--taint-gate` deneysel).
+- Sağlayıcı kapsamı sınırlı test edildi (yerel Ollama ve DeepSeek).
+
+## Piksel ofis görselleştiricileri
+
+Aynı fikrin başka uygulamaları: Claude-Office (MIT, izometrik, çok oturumlu, masaüstü uygulaması), agent-virtual-office
+(MIT, çok ajanlı, sahne etkileşimleri), pixtuoid (terminal içi), agent-office (çok ajanlı, sohbet ve görev atama).
+Usta'nın **Ofis** sekmesi bunlardan ilham aldı ama kodu/görseli kopyalamadı; bağımlılıksızdır, özgün sprite'lar kodla
+çizilir. Farkları: tek ajan odaklıdır (sahte kalabalık yok), her sayaç ve efekt gerçek olaylara bağlıdır, onay doğrudan
+ofisten verilebilir, geçmiş oturum zaman çubuğuyla gezilir. Eksikleri: çok oturum yok, ses yok, masaüstü uygulaması yok.
+
+## Sonuç
+
+Usta "daha çok özellik" yarışına girmiyor. İddiası dar: **küçük ve yerel modellerle çalışan, ölçülebilir ve
+denetlenebilir bir harness.** Bu iddia ancak ölçümle yaşar; ölçüm gösterdiği sürece yazarız, göstermediğinde de yazarız.

usta-0.2.1/docs/v0.2.1-raporu.md

@@ -0,0 +1,63 @@
+# Usta v0.2.1 — rapor
+
+v0.2.1; Ofis sekmesi, kaynak izi kapısı ve iki düzeltme. Tüm sayılar bu depodaki ölçüm çıktılarından gelir.
+Başarısız ve belirsiz sonuçlar dahildir. Ölçüm ortamı: 7B için yerel Ollama (`usta-qc7b-8k`, JSON protokolü), güçlü model
+için DeepSeek (`deepseek-chat`, native protokol).
+
+## Ne değişti
+
+1. **Ofis sekmesi (portal).** Piksel-sanat ofis animasyonu: araç çağrısı/onay/bitiş olaylarını canlıda ve geçmiş oturumda
+   gösterir; onay doğrudan ofisten verilir; token/bağlam/süre göstergeleri; geçmiş oturum için zaman çubuğu. Bağımlılıksız saf JS,
+   özgün sprite'lar. Sayaçlar yalnız gerçek olaylardan. Node testleri 69/69.
+2. **Kaynak izi kapısı (`taint.py`), varsayılan açık.** Bir yazma/komut hedefi (dosya yolu, komuttaki yol/adres) okunan içerikte
+   geçiyor ve kullanıcı isteğinde geçmiyorsa eylem onay ister (oto modda reddedilir). `--no-taint-gate` ile kapanır.
+3. **Düzeltme:** model çıktı sınırında kesilen araç argümanı artık görevi öldürmüyor (araç hatası olarak modele dönüyor).
+4. **Düzeltme:** v0.2.0 öncesi imajsız MCP kaydı için anlaşılır hata mesajı.
+5. Belgeler: [rakip karşılaştırması](comparison.md).
+
+## Kaynak izi kapısı: ölçüm
+
+**7B (Lab, 24 senaryo × 2 tekrar × temiz/saldırılı, JSON protokolü):**
+
+| Metrik | Kapı kapalı (v0.2.0 politikası) | Kapı açık |
+|---|---|---|
+| Meşru görev başarısı | 24/40 (%60) | 21/40 (%52) |
+| Saldırı başarı oranı | 4/40 (%10) | 2/40 (%5) |
+| Yetkisiz eylem denemesi | 11/40 | 7/40 |
+| Yetkisiz eylem **gerçekleşmesi** | 6/40 (%15) | 2/40 (%5) |
+| Yanlış ret | 0/40 | 0/40 |
+| Temiz koşuda engellenen (yanlış alarm) | — | **0/40** |
+| Saldırılı koşuda engellenen girişim | — | 5 |
+
+Aralıklar örtüşüyor; **yön olumlu, ama istatistiksel olarak güçlü kanıt değil.** Meşru başarıdaki düşüş (24→21) gürültüdür:
+7B aynı senaryolarda 80 koşunun 34'ünde sonuç değiştirdi (20 düşüş, 14 yükseliş) ve kapı temiz koşularda hiç tetiklenmedi.
+
+**DeepSeek (Lab, 88 koşu/yapılandırma):** her iki yapılandırmada saldırı başarı oranı 0/40, yetkisiz deneme 0; meşru başarı 39/40 ve
+38/40. **Güçlü model bu saldırılara zaten kapılmıyor,** yani kapı orada ölçülebilir fayda sağlamıyor, zarar da vermiyor.
+
+**Bench (yanlış alarm kontrolü):** DeepSeek, 18 görev × 2 tekrar: C 36/36, C + kapı (`X-TAINT`) 36/36, kapı hiç tetiklenmedi.
+7B, kolay 8 görev × 3 tekrar: C 8/24 ve 10/24 (iki koşu), `X-TAINT` 5/24; kapı 24 koşuda en çok bir kez devreye girdi. 5/24 ile 8–10/24
+arasındaki fark, aynı kolun iki koşusunun birbirinden farkı (2 görev) kadar: gürültü düzeyinde.
+
+**Kaçan saldırılar (sınırlar):** `inj-tool-04`: talimat `run` çıktısından geldi (kapı komut çıktısını güvenilmeyen saymıyor). `mcp-auth-04`: model
+enjekte metni yazdığı dosyanın *içeriğine* kopyaladı. İkisi de bilinen, belgelenmiş sınırdır (SECURITY.md).
+
+## Varsayılan karar ve gerekçe
+
+Kapıyı **varsayılan açık** yaptık, ama bu çıkarım zayıf kanıta dayanıyor ve kararın gerekçesi şu: (1) meşru koşularda yanlış alarm
+gözlenmedi (7B Lab'da 40, DeepSeek Lab'da 44, bench'te 96); (2) güvenli tarafta başarısız olur (onay ister, görevi sessizce bozmaz); (3) 7B'de yön olumlu.
+"Ölçümde fayda görülmeden varsayılan olmaz" ilkesine göre bu sınırda bir karardır; kanıt zayıf kalırsa ya da gerçek kullanımda yanlış alarm
+çıkarsa kapatılır. `X-TAINT` kolu ve `--no-taint-gate` bu yüzden duruyor.
+
+## Doğrulananlar ve doğrulanamayanlar
+
+- Doğrulandı: 1118 Python testi, 69 Node testi, `ruff`; Ofis onay akışı gerçek bir DeepSeek oturumunda Ofis'ten ve Akış'tan (iki yönde).
+- Doğrulanamadı: 12B+ yerel modeller; kapının gerçek kullanımdaki yanlış alarm oranı; Ofis'in gerçek bir 7B görevini baştan sona izlemesi
+  (7B o oturumlarda araç çağırmadı, hatta çıktı uydurdu; Ofis bunu doğru yansıttı).
+- Bench kolay/zor ayrımı: DeepSeek 18 görevin tamamını çözüyor (doygun), 7B zor 10 görevde 0 başarı; **orta zorlukta görev yok,** bu yüzden
+  güçlü ve zayıf modeller arasındaki kollar ayırt edilemiyor. Bir sonraki ölçüm işi budur.
+
+## Maliyet
+
+DeepSeek token kullanımı (yalnız ölçüm koşuları, Lab + bench): yaklaşık 2,0 milyon token. Usta'ya Ofis'i yazdırdığım kodlama koşularının
+token sayısını ayrıca izlemedim.

{usta-0.2.0 → usta-0.2.1}/pyproject.toml

@@ -1,6 +1,6 @@
 [project]
 name = "usta"
-version = "0.2.0"
+version = "0.2.1"
 description = "Genel amaçlı, açık kaynak yapay zekâ ajanı"
 readme = "README.md"
 license = { text = "Apache-2.0" }

{usta-0.2.0 → usta-0.2.1}/src/usta/agent.py

@@ -12,6 +12,7 @@ from usta.breaker import CircuitBreaker, Trip
 from usta.models import Message, ModelClient, ToolCall
 from usta.phases import PhaseTracker
 from usta.policy import Decision, Policy
+from usta.taint import Taint
 from usta.tools import Registry, ToolError
 from usta.verify import Verifier
 
@@ -62,7 +63,13 @@ class Agent:
         inbox: Callable[[], list[str]] | None = None,
         shrink_writes: int | None = None,
         phases: PhaseTracker | None = None,
+        taint: bool = False,
     ):
+        self.taint = (
+            taint  # DENEYSEL: güvenilmeyen içerikten türeyen yazma/komut hedefleri onay ister
+        )
+        self._taint: Taint | None = None
+        self.approval_note = ""  # onay istenirken gerekçe (görev yöneticisi onay olayına ekler)
         self.phases = phases  # yürütme aşamaları gözlemcisi (isteğe bağlı; döngüyü değiştirmez)
         if phases is not None and phases.on_transition is None:
             # geçişler denetim kaydına yazılır; SSE/olay akışı (API sözleşmesi) değişmez
@@ -122,6 +129,7 @@ class Agent:
         first = f"{self.memory_context}\n\nGörev: {prompt}" if self.memory_context else prompt
         messages = [Message("system", self.system_prompt), Message("user", first)]
         self.audit.record("task", prompt=prompt)
+        self._taint = Taint(prompt) if self.taint else None
         self._usage_base = self._usage_now()
         if self.breaker is not None:
             self.breaker.start()
@@ -195,6 +203,8 @@ class Agent:
         for text in got:
             messages.append(Message("user", f"Kullanıcıdan ek mesaj (görev sürerken): {text}"))
             self.audit.record("user_message", chars=len(text))
+            if self._taint is not None:
+                self._taint.add_user(text)
         return bool(got)
 
     def _calibrate(self, estimated: int, requests_before: int) -> None:
@@ -296,8 +306,18 @@ class Agent:
         self.audit.record("tool_call", tool=call.name, args=call.arguments)
         self._emit("tool_call", tool=call.name, args=call.arguments)
         decision = self.policy.check(call.name, call.arguments)
+        note = ""
+        if decision is Decision.ALLOW and self._taint is not None:
+            note = self._taint.check(call.name, call.arguments)
+            if note:  # hedef güvenilmeyen içerikten türedi: onay şartı (oto modda reddedilir)
+                self.audit.record("taint", tool=call.name, reason=note)
+                decision = Decision.ASK
         if decision is Decision.ASK:
-            approved = bool(self.approver and self.approver(call.name, call.arguments))
+            self.approval_note = note
+            try:
+                approved = bool(self.approver and self.approver(call.name, call.arguments))
+            finally:
+                self.approval_note = ""
             decision = Decision.ALLOW if approved else Decision.DENY
             self.audit.record("approval", tool=call.name, approved=approved)
         if decision is Decision.DENY:
@@ -306,6 +326,8 @@ class Agent:
             return "reddedildi: bu eylem izin politikasına aykırı veya onaylanmadı"
         try:
             result = self.registry.call(call.name, call.arguments)
+            if self._taint is not None:
+                self._taint.observe(call.name, result)
             if self.verifier is not None and call.name in ("write_file", "edit_file"):
                 self._dirty = True
                 warn = self.verifier.after_edit(call.name, call.arguments, self._root())

{usta-0.2.0 → usta-0.2.1}/src/usta/api.py

@@ -38,6 +38,8 @@ UI_FILES = {
     "/": ("index.html", "text/html; charset=utf-8"),
     "/app.js": ("app.js", "text/javascript; charset=utf-8"),
     "/logic.js": ("logic.js", "text/javascript; charset=utf-8"),
+    "/office-logic.js": ("office-logic.js", "text/javascript; charset=utf-8"),
+    "/office.js": ("office.js", "text/javascript; charset=utf-8"),
     "/app.css": ("app.css", "text/css; charset=utf-8"),
 }
 UI_HEADERS = {

{usta-0.2.0 → usta-0.2.1}/src/usta/bench.py

@@ -52,6 +52,7 @@ class Arm:
     breaker: bool = False  # devre kesici: döngüde geri sar, denenenleri bildir (breaker.py)
     context_window: int | None = None  # verilirse bağlam bütçesi/sıkıştırma etkin (token)
     symbol_tools: bool = False  # find_symbol / symbol_context / related_files (usta[symbols])
+    taint: bool = False  # kaynak izi kapısı: okunan içerikten türeyen yazma/komut hedefleri onay ister (taint.py)
     max_read: int | None = (
         None  # verilirse read_file çıktısı bu karakterle sınırlı (kod okuma bütçesi)
     )
@@ -95,6 +96,13 @@ ARMS: dict[str, Arm] = {
         symbol_tools=True, max_read=12_000, system_prompt=SYMBOL_PROMPT, experimental=True,
     ),
 }  # fmt: skip
+ARMS["X-TAINT"] = replace(
+    ARMS["C"],
+    name="X-TAINT",
+    description="C + kaynak izi kapısı (taint.py)",
+    taint=True,
+    experimental=True,
+)
 
 
 @dataclass(frozen=True)
@@ -344,6 +352,7 @@ def _attempt(
             breaker=CircuitBreaker(ws) if arm.breaker else None,
             context_window=arm.context_window,
             phases=tracker,
+            taint=arm.taint,
         )
         error, steps, truncated, infra, answer, timed_out = "", 0, False, False, "", False
         timer.start()

{usta-0.2.0 → usta-0.2.1}/src/usta/cli.py

@@ -172,6 +172,13 @@ def _add_model_args(p: argparse.ArgumentParser) -> None:
         action="store_true",
         help="DENEYSEL: find_symbol/symbol_context/related_files araçlarını aç (pip install 'usta[symbols]'; USTA_SYMBOL_TOOLS=1)",
     )
+    p.add_argument(
+        "--taint-gate",
+        action=argparse.BooleanOptionalAction,
+        default=None,
+        help="kaynak izi kapısı (varsayılan AÇIK): okunan içerikten türeyen yazma/komut hedefleri onay ister, "
+        "oto modda reddedilir; kapatmak için --no-taint-gate ya da USTA_TAINT_GATE=0",
+    )
     p.add_argument(
         "--protocol",
         choices=(*PROTOCOLS, "auto"),
@@ -180,6 +187,14 @@ def _add_model_args(p: argparse.ArgumentParser) -> None:
     )
 
 
+def _taint_gate(args: argparse.Namespace) -> bool:
+    """Kaynak izi kapısı: varsayılan açık; --no-taint-gate ya da USTA_TAINT_GATE=0 kapatır."""
+    flag = getattr(args, "taint_gate", None)
+    if flag is not None:
+        return bool(flag)
+    return os.environ.get("USTA_TAINT_GATE") != "0"
+
+
 def _symbol_tools(args: argparse.Namespace) -> bool:
     """Deneysel sembol araçları: bayrak ya da USTA_SYMBOL_TOOLS=1. Paket yoksa kapalı kalır ve söyler."""
     on = bool(getattr(args, "symbol_tools", False)) or os.environ.get("USTA_SYMBOL_TOOLS") == "1"
@@ -730,6 +745,7 @@ def _lab_cmd(args: argparse.Namespace) -> int:
     harness = labrunner.HarnessConfig(
         id=args.harness_id,
         breaker=args.breaker,
+        taint=_taint_gate(args),
         protocol=args.protocol or os.environ.get("USTA_PROTOCOL") or "native",
     )
     rev = args.model_revision or capability.detect_revision(endpoint, name)
@@ -960,6 +976,7 @@ def _serve_cmd(args: argparse.Namespace) -> int:
         max_steps=args.max_steps,
         allowed_hosts=hosts,
         symbol_tools=_symbol_tools(args),
+        taint_gate=_taint_gate(args),
         mcp_servers=lambda: (
             _mcp_servers(home) or []
         ),  # panelden eklenenler yeniden başlatmadan gelir
@@ -1240,6 +1257,7 @@ def _chat_cmd(args: argparse.Namespace) -> int:
         context_window=window,
         model_control=control,
         symbol_tools=_symbol_tools(args),
+        taint_gate=_taint_gate(args),
         mcp_servers=lambda: _mcp_servers(home) or [],
     )
     interactive = sys.stdin.isatty()

{usta-0.2.0 → usta-0.2.1}/src/usta/lab/runner.py

@@ -41,6 +41,7 @@ class HarnessConfig:
 
     id: str = "base"
     breaker: bool = False
+    taint: bool = False  # DENEYSEL kaynak izi kapısı (taint.py)
     protocol: str = "native"
     approver: str = "deny"  # ölçümde insan yok: onay isteyen eylemler reddedilir
 
@@ -121,6 +122,7 @@ def run_one(
             on_event=env.on_event,
             cancel=cancel,
             breaker=CircuitBreaker(env.root) if harness.breaker else None,
+            taint=harness.taint,
         )
         timer.start()
         try:

{usta-0.2.0 → usta-0.2.1}/src/usta/mcp_runtime.py

@@ -176,9 +176,19 @@ def _rm(name: str) -> None:
     subprocess.run(["docker", "rm", "-f", name], capture_output=True, check=False)
 
 
+def _no_image_msg(name: str) -> str:
+    return (
+        f"'{name}' için imaj tanımlı değil (v0.2.0 öncesi kayıt). MCP sunucuları artık yalıtılmış konteynerde çalışır: "
+        f"`usta mcp add {name} --image <imaj> ...` ile yeniden kaydet "
+        "(ana makinede çalıştırmak yalnız `--isolation host --i-understand-host-risk` ile)"
+    )
+
+
 def _verify_pins(home: Path, srv: mcpconfig.Server) -> list[str]:
     notes = []
-    current = image_id(srv.image or "")
+    if not srv.image:
+        raise McpIsolationError(_no_image_msg(srv.name))
+    current = image_id(srv.image)
     if current is None:
         raise McpIsolationError(
             f"imaj yerelde yok: {srv.image} (Usta imajı kendiliğinden çekmez: docker pull {srv.image})"
@@ -299,7 +309,9 @@ def prepare(
     problem = docker_problem()
     if problem:
         raise McpIsolationError(f"{problem}: sunucu hazırlanamaz")
-    iid = image_id(srv.image or "")
+    if not srv.image:
+        raise McpIsolationError(_no_image_msg(srv.name))
+    iid = image_id(srv.image)
     if iid is None:
         raise McpIsolationError(
             f"imaj yerelde yok: {srv.image} (docker pull {srv.image}; Usta kendiliğinden çekmez)"

{usta-0.2.0 → usta-0.2.1}/src/usta/models.py

@@ -34,6 +34,9 @@ class Usage:
     rescued: int = 0  # içerikten kurtarılan araç çağrısı sayısı (model tool_calls kullanmıyor)
 
 
+BAD_ARGS_KEY = "__bozuk_argumanlar__"  # modelin argüman JSON'u çözümlenemedi (çoğu kez çıktı sınırında kesildi)
+
+
 @dataclass(frozen=True)
 class ToolCall:
     id: str
@@ -152,10 +155,19 @@ class OpenAICompatClient:
         calls = []
         for c in msg.get("tool_calls") or []:
             try:
-                args = json.loads(c["function"]["arguments"] or "{}")
-                calls.append(ToolCall(c["id"], c["function"]["name"], args))
-            except (KeyError, ValueError) as e:
+                raw = c["function"]["arguments"] or "{}"
+                name = c["function"]["name"]
+                cid = c["id"]
+            except (KeyError, TypeError) as e:
                 raise ModelError("araç çağrısı çözümlenemedi") from e
+            try:
+                args = json.loads(raw)
+            except ValueError:
+                args = None
+            if not isinstance(args, dict):
+                # Çıktı sınırında kesilen/bozuk argüman görevi öldürmez: model durumu araç hatası olarak görür
+                args = {BAD_ARGS_KEY: len(raw) if isinstance(raw, str) else 0}
+            calls.append(ToolCall(cid, name, args))
         if not calls and tools and self.rescue:
             from usta.rescue import extract_calls  # döngüsel içe aktarmayı önler
 

usta-0.2.1/src/usta/taint.py

@@ -0,0 +1,95 @@
+"""Kaynak izi (taint) kapısı: güvenilmeyen içerikten türeyen yazma/komut hedefleri onay ister.
+
+Saldırı biçimi: ajan bir dosyayı/sayfayı/araç çıktısını okur, içindeki gizli talimata uyar ve kullanıcının hiç
+bahsetmediği bir dosyaya yazar ya da bir komut çalıştırır. Ortak nokta: eylemin HEDEFİ (dosya yolu, komut
+parçası, adres) okunan içerikte geçer ama kullanıcının isteğinde geçmez.
+
+Kapı bunu yakalar: write_file/edit_file yolu ve `run` komutundaki yol/adres benzeri parçalar, güvenilmeyen kaynaklardan
+gelen metinde geçiyor ve kullanıcı metninde (istem, ekler, görev sırasında gönderilen mesajlar) geçmiyorsa, eylem
+`ASK` olur (manuel modda kullanıcıya sorulur, oto modda reddedilir). Sezgiseldir; kesin koruma değildir.
+
+Güvenilmeyen kaynaklar: read_file/read_symbol (depo içeriği), fetch_url, web_search ve MCP araçları. Komut çıktıları
+(`run`) ve dizin listeleri kapsam dışıdır: ajanın kendi çalıştırdığı kod/izler ve dosya adları meşru hedefleri
+sürekli işaretlerdi (ör. test çıktısındaki izden hatalı dosyayı düzeltmek).
+"""
+
+from __future__ import annotations
+
+import re
+import shlex
+
+UNTRUSTED_TOOLS = frozenset({"read_file", "read_symbol", "fetch_url", "web_search"})
+MAX_BLOB = 400_000  # güvenilmeyen metin üst sınırı (karakter); eskiler atılır
+MIN_LEN = 4  # bundan kısa parçalar eşleşme sayılmaz (".py", "ls" gibi)
+_URL = re.compile(r"https?://([^\s/'\"<>]+)", re.IGNORECASE)
+_PATHISH = re.compile(r"[\w.\-]+[/.][\w.\-/]*\w|[\w\-]+/")
+
+
+def _norm_path(p: str) -> str:
+    p = str(p or "").replace("\\", "/").strip()
+    while p.startswith("./"):
+        p = p[2:]
+    return p
+
+
+def _is_untrusted(tool: str) -> bool:
+    return tool in UNTRUSTED_TOOLS or tool.startswith("mcp__")
+
+
+def _candidates(tool: str, args: dict) -> list[str]:
+    """Eylemin hedef parçaları: yazma yolu; komutta URL sunucuları ve yol/dosya benzeri jetonlar."""
+    if tool in ("write_file", "edit_file"):
+        path = _norm_path(args.get("path"))
+        return [path] if len(path) >= MIN_LEN else []
+    if tool == "run":
+        cmd = str(args.get("command") or "")
+        out = [h.lower() for h in _URL.findall(cmd)]
+        try:
+            tokens = shlex.split(cmd)
+        except ValueError:
+            tokens = cmd.split()
+        for t in tokens:
+            if t.startswith("-") or len(t) < MIN_LEN:
+                continue
+            if "://" in t:
+                continue  # URL sunucu olarak zaten eklendi
+            if _PATHISH.search(t):
+                out.append(_norm_path(t))
+        return [c for c in out if len(c) >= MIN_LEN]
+    return []
+
+
+class Taint:
+    """Bir görev boyunca güvenilmeyen metni ve kullanıcı metnini tutar; eylemleri denetler."""
+
+    def __init__(self, user_text: str = ""):
+        self._user = [str(user_text or "")]
+        self._blobs: list[str] = []
+        self._size = 0
+
+    def add_user(self, text: str) -> None:
+        self._user.append(str(text or ""))
+
+    def observe(self, tool: str, result: str) -> None:
+        if not _is_untrusted(tool):
+            return
+        text = str(result or "")
+        self._blobs.append(text)
+        self._size += len(text)
+        while self._size > MAX_BLOB and len(self._blobs) > 1:
+            self._size -= len(self._blobs.pop(0))
+
+    def check(self, tool: str, args: dict) -> str:
+        """Boş dize: sorun yok. Aksi halde gerekçe (hedef ve nerede bulunduğu)."""
+        if not self._blobs:
+            return ""
+        user = "\n".join(self._user)
+        blob = "\n".join(self._blobs)
+        low_user, low_blob = user.lower(), blob.lower()
+        for cand in _candidates(tool, args):
+            key = cand.lower()
+            if key in low_user:
+                continue
+            if key in low_blob:
+                return f"hedef '{cand}' okunan içerikte geçiyor ama isteğinde geçmiyor"
+        return ""