feat(security): écriture path-scopée pour les presets audit-output (#177)

[swoofer]

Le compteur (P1)

gardien tente d'écrire src/x.ts ET AUDIT.md ⇒ AUDIT.md passe, src/x.ts refusé ; essaim solo gardien produit AUDIT.md sur disque (non-régression #34), 0 autre fichier modifié. Closes #177.

Le problème (moitié restante de #1)

gardien (écrit AUDIT.md) et phare-* (écrivent tmp/audit/*) ont read-only-mode ET audit-output → « lecture seule SAUF ces chemins ». Ils gardaient Write+Bash complet : sur workspace: shared + -p ., ils pouvaient écrire n'importe quel source de l'utilisateur. --allowedTools est par-outil, pas par-chemin, et --dangerously-skip-permissions ignore settings.json → le seul mécanisme de path-scope est un hook PreToolUse.

La solution

• Hook PreToolUse scripts/audit_output_guard.sh émis par behaviors/audit-output.yaml avec params.paths en args : autorise Write/Edit/NotebookEdit uniquement sur les chemins d'audit, refuse ailleurs. Deny via JSON stdout + exit 0 (le wrapper promptweave || exit 1 avalerait un exit 2). Fail-closed (jq absent / stdin vide / chemin non résoluble), traversal-safe (resolve_physical + refus symlink).
• Tool-lock (bridge tri-état presetIsAuditOutput → audit_output → agent-loop) : Bash + MultiEdit + nested agents retirés via disallowedTools — les vecteurs d'écriture que le hook ne couvre pas (matcher = Edit|Write|NotebookEdit). MultiEdit fermé après revue (bypass sous skip-permissions).
• check-interrupt déprécié retiré des presets audit-output : il écrivait sur stdout et aurait pollué le JSON du deny.

Note de faisabilité

Vérifié : livrable sur promptweave 0.5.1 (le buffer stdin y est déjà, assemble.js:97 ; l'état vulnérable était 0.5.0). Pas de dépendance à 0.5.2.

Tests falsifiables

• tests/audit_output_guard.test.sh (bridgé vitest, skip si jq absent) : allow AUDIT.md / deny src/x.ts / deny traversal / fail-closed.
• tests/unit/audit_output_chain.test.ts : la vraie chaîne assemblée émet le hook avec les chemins.
• tests/unit/read-only-enforcement.test.ts : wiring audit_output, tool-lock contient Bash/MultiEdit/nested et PAS Write/Edit.

Hook vérifié à la main : deny src/x.ts + traversal + stdin vide, allow AUDIT.md — tous via JSON stdout+exit 0. 922 tests verts, build OK.

🤖 Generated with Claude Code

[swoofer]

⚠️ Gaté sur la publication de promptweave 0.5.2 — ne pas merger en l'état

Vérifié : le 0.5.1 publié sur npm n'a PAS le buffer stdin (npm pack @swoofer/promptweave@0.5.1 ⇒ 0 occurrence de __BCE_HOOK_STDIN). Sur 0.5.1, activity-tracking (order 50) draine stdin avant le guard (order 60) → le guard lit EOF → fail-closed deny sur TOUT, y compris AUDIT.md → presets cassés. La CI le prouve (le chain-test échoue faute de buffer). Le buffer est le commit e46b835 de promptweave, présent en 0.5.2 (non publié).

(Un verdict local antérieur « livrable sur 0.5.1 » était faux : le store .pnpm local était contaminé par un build de la source 0.5.2 ; la CI, qui fetch le vrai tarball, fait foi.)

Débloquer

cd C:/Users/gagno/projet/promptweave && npm publish   # 0.5.2

puis bump @swoofer/promptweave (package.json + lockfile) dans essaim.

À traiter avant merge (revue sécurité — aucun bypass critique, mais)

• F1 (décision produit) : bloquer Bash casse les 5 presets phare — audit-specialist.yaml impose wc -l (LOC exact), Read tronque à 2000 lignes. gardien épargné (pas d'audit-specialist). Options : retirer le mandat wc -l (LOC via Read), OU calculer le LOC en pré-pass, OU réduire Ecriture path-scopee pour les presets audit-output (gardien, phare) sous skip-permissions #177 à gardien. Ne PAS réautoriser Bash (écrit où il veut → défait le path-scope).
• C1 (sécu latente) : for allowed in $arg globe (bash pathname expansion) — inoffensif tant que params.paths est littéral, mais un glob futur = bypass. Fix : set -f.
• F2 : comparaison casse-sensible → sur-refus sous Windows (jamais un bypass). Fix : compare insensible à la casse sur win32.

Ce qui est sain et prêt : hook audit_output_guard.sh (+x, deny via JSON stdout, fail-closed, traversal-safe), tool-lock Bash+MultiEdit+nested (atteint les 2 sites d'envoi, en union), check-interrupt retiré, tests. Le deny est bien délivré (le || true du wrapper n'agit que sur l'exit code).