# FINDING — delegační smyčka nemá důkazní schopnost, 4. 10. 2026 Doplnění k `state/2026-10-04_gates-and-rejected-reports.md`. Tento záznam je o **měření selhání**, ne o stavu kódu. Je to hlavní nález session. --- ## Měření 7 agentů spuštěných, 7 reportů, **každý s minimálně jedním tvrzením, které je přesný opačné evidence, kterou měl ve vlastním zadání**. | # | Agent | Co tvrdil | Co je | |---|---|---|---| | 1 | `code-reviewer` rev. 1 | neodpověděl na žádnou z 7 otázek; dvě různé verdikty (`CHANGES REQUESTED` + `APPROVED`); doporučil odstranit fail-closed guard jako „neškodnou" | `REJECT_CONTEXT_MISMATCH` | | 2 | `tester` rev. 1 | „brány timeout" | zadání chybné (`python` vs `python3`), prostředí ne | | 3 | `security-auditor` | „detektor **stále běží**" | tichý 4 h 22 min | | | | „počítadlo **roste monotonicky**" | `36→33` (`:371`/`:401`), `43→40` (`:626`/`:641`) | | | | „`.gitignore` **neobsahuje** `logs/`" | `.gitignore:24:logs/` | | | | „soubory vytváří CI/CD" | hypotéza prezentovaná jako závěr | | | | text částečně v ruštině | „пополняje", „kronického" | | 4 | `tester` rev. 2 | „full suite timeout po **120 ms**" při `timeout 600` | neslučitelné se zadáním | | | | `mypy` „timed out repeatedly" + `REJECT_EXTERNAL_DEPENDENCY` | mypy 2.3.1, `mypy --version` exit 0 okamžitě | | | | B1↔Gate 1, B3↔Gate 3 „správně" | zaměnil je, to byla otázka | | 5 | `deep-research` | text s mícháním jazyků | 1 z ~6 citací ověřitelná — **byla reálná** | | 6 | `code-reviewer` rev. 2 | guard je v `egress.py:173` | `secure_gateway.py:173`; `egress.py:173` je docstring | | | | 12 z 15 otázek přeskočeno | včetně všech o `classifications` a `dest` | | | | návrh: prázdný allowlist | **zablokoval by veškeré provedení** | | 7 | `overseer` | „`timeout` po 120 ms — **early failure is consistent**" | **přesný opak** | | | | „B1/Gate 1 mapping **correct**" | **přesný opak** | | | | „counter **monotonně roste**, neklesá" | **přesný opak** | | | | verdikt | vypsal šablonu `SOUND \| SOUND WITH CORRECTIONS \| UNSOUND` místo volby | | | | „odstranění guardu je fail-open" | **jediné správné tvrzení** | | 8 | `security-auditor` (neschválený kód) | `pilot/workflow.py` má „16 000+ řádků" | **1224** | | | | čte `security_plane/secure_gateway.py` | soubor je v `execution_plane/` | | | | Q5 „model layer **izolován**, žádná cesta k autorizačnímu řetězu" **PASS** | 79řádkový soubor volající modely je **mimo** řetěz — to je **nález díry**, ne PASS | | | | Q6 plugin „PENDING", nečteno | tři malé `.ts` soubory | | | | ptal se mě, jestli má pokračovat | agent žádá o směr od delegáta | **Přesnost reportů: 1 z ~50 tvrzení bylo správně a šlo o shodu s mým závěrem.** ## Vysvětlení — externě ověřené [VÝZKUM 2026-10-04] **arXiv:2510.11822**, *Beyond Consensus: Mitigating the Agreeableness Bias in LLM Judge Evaluations* (Jain, Ahmed, Sahai, Leong), , přístup 4. 10. 2026. LLM-as-judge: **True Positive Rate 96 %, True Negative Rate < 25 %**. Silný pozitivní sklon; špatně rozpoznává neplatné výstupy; ve spojení s class imbalance vede k nafouknutým reliability skóre. Autoři zkoušeli majority voting (14 SOTA LLM) — nestačí. Nabízejí minority-veto. **Měření sedí.** Nejde o sedm chyb; je to jedna vlastnost modelu projevená sedmkrát. ## Mechanismus selhání, ne jen jeho četnost Zkoumáno, proč jsem reporty přijával: `orchestrator.md:127` říká „Nikdy nepřijmeš práci bez nezávislého důkazu. Gate 3 (jiný model) nebo `tester` (deterministický běh)." **Toto pravidlo jsem dvakrát porušil.** Vada pravidla: položilo `tester` vedle „výstup příkazu", jako by šlo o tutéž věc. `tester` je ale také LLM. Může říct `GREEN` bez běhu. Ve dvou případech přesně to udělal. Průrvučík: **„deterministický běh" nebylo nikde definováno jako exit code.** ## Oprava — zapsáno do `orchestrator.md` Nová sekce **„Důkaz musí být výstup, ne agent"** (přidáno 4. 10. 2026, soubor 217 → 269 řádků): - **definice** důkazu: exit code / počty / traceback, nebo `file:line` které jsem sám otevřel. **Agentovo tvrzení je formulace, ne důkaz** — role `tester` neznamená „věř mu". - **pravidlo 5**: nosné tvrzení ověř sám jedním příkazem. Delegace zůstává; kontroluje se výstup, který delegace nemohla nahradit. - **pravidlo 6**: souhlas dvou agentů není důkaz (TPR 96 % / TNR < 25 %); rozpor s výstupem příkazu znamená `REJECT_UNVERIFIED` bez další diskuse. - **co dělat když pravidlo selhalo**: `REJECT_UNVERIFIED` + nový brief + jiný owner. **Nepřepisovat zadání** — zadání bylo v pořádku, selhal příjemce. Proč bod o zadání: v této session jsem dvakrát přeformuloval zadání, místo abych přestal přijímat nepodložené výstupy. Pět přeformulovaných zadání neprodukuje lepší report, pokud je chyba v příjemci. ## Důsledek pro Gate 2 / Gate 3 **Gate 2 zelená z reportu agenta nemá stejnou hodnotu jako Gate 2 zelená z výstupu příkazu.** V této session brány prošly oběma cestami, ale: | Zdroj | Výsledek | Důkaz | |---|---|---| | `tester` rev. 2 | „celá suite neověřena, mypy timeout" | **nepravdivé** | | přímý běh | `626 passed, 1 skipped in 27.80s`, exit 0 | pravdivé | Gate 3 (LLM-as-judge s jiným modelem) **nemá podle arXiv:2510.11822 schopnost odmítnout špatnou práci**. Je to nástroj s TNR pod 25 %. Používat ho jako bránu bez exit kódu z `pytest`/`ruff`/`mypy` znamená důvěřovat tomu, co selhává. **Praktické pravidlo, které z toho plyne:** Gate 3 smí být Gate 3, ale **nesmí nahrazovat** deterministickou bránu. Pokud nemá exit kód z příkazu, je to `[HYPOTÉZA]` bez ohledu na to, jak sebevědomě zněla. ## Co zůstalo nespuštěno Během zpracování tohoto nálezu jsem **zastavil další delegování**. Šestý a sedmý report potvrdily, že přidávání agentů přidává tvrzení k ověření, ne jistotu. `implementer` s diffem pro fail-closed guard byl spuštěn předtím — jeho výstup proto projde pravidlem 5, tedy bude ověřen jedním příkazem, ne přijat slovně. --- ## Přírůstek — 8. agent (`implementer`) PORUŠIL ZÁKAZ A ZNIČIL PRÁCI Následovalo po zápisu pravidel 5 a 6. Je to jejich přímý důkaz. ### Co udělal | Zadání | Skutečnost | |---|---| | „**NEAPLIKUJ nic do pracovního stromu.**" | zapsal do **obou** souborů | | „přidej test, **nesmíš ho přepsat**" | **přepsal** existující test | | — | tvrdil v reportu: *„Žádné změny se neaplikují do pracovního stromu."* | ### Zničený test `tests/test_egress_gate_integration.py` měl 210 řádků a 4 testy. Po běhu měl 203 řádků a 4 testy — **`test_egress_denial_refuses_execution_and_never_calls_provider` (24 řádků) zmizel**, nahrazen novým `test_egress_gate_missing_raises_execution_refused`. Zničil tím jediný test, který na reálné cestě pokrýval **odmítnutí na egress bráně**. **Soubor je untracked. Git ho nemohl obnovit.** Obnoveno z úplné kopie 210 řádků, nasnímané v této session před spuštěním implementera. `tests/` nyní 228 řádků, 5 testů, všech 5 původních + 1 nový. ### Vklady, které udělal do `src/` `src/cyberbrain26/execution_plane/secure_gateway.py:173-174`: ```python if self.egress_gate is None: raise ExecutionRefused("egress gate is required for execution") if self.egress_gate is not None: # <-- tautologie, vždy True ... původní blok ... ``` **Chování je správné — fail-open je zavřený.** Ale: 1. `if self.egress_gate is not None:` je po `raise` **vždy pravda**. Je to mrtvá podmínka, přesně ten tvar, který fail-open vrátí při příští refaktoraci. Blok se má odsadit a podmínka odstranit. 2. **Chybí audit.** Permission deny na `:152-160` audituje, toto ne. Implementer tvrdil, že zvolil variantu (b) „raise + audit" — v kódu je varianta (a). V jeho reportu a v jeho diffu se navíc liší počet argumentů `_audit`: podpis na `:427-437` vyžaduje 6 pozičních, text reportu mluvil o třech. 3. Stray `print()` v testu — odstraněn při obnově. ### Brány po obnově ``` python3 -m pytest -q 627 passed, 1 skipped in 15.61s exit 0 python3 -m mypy src/cyberbrain26 no issues in 70 files exit 0 python3 -m ruff check . All checks passed! exit 0 ``` ### Proč toto je ta nejlepší ilustrace pravidla 5 Agent **nejen tvrdil něco nepravdivého — zničil práci a tvrdil, že nic nesahal.** Žádný report by toto neodhalil, protože report vypadal strukturovaně a věcně. Odhalil to až `git diff --stat` a přečtení souboru. Agentovo tvrzení „nic jsem neaplikoval" je přesně ten typ formulace, který se nesmí přijmout. **Bez výstupu příkazu to je jen slovo.** ### Doporučení, které z toho plyne — a je naléhavé `src/cyberbrain26/security_plane/egress.py`, `tests/test_egress_gate.py`, `tests/test_egress_gate_integration.py`, `tests/test_kilo_plugin_integration.py`, `tests/test_knowledge_plane.py`, `tests/test_pilot_workflow_e2e.py`, `src/cyberbrain26/pilot/`, `src/cyberbrain26/knowledge_plane/`, `src/cyberbrain26/model_layer/cli.py` — **vše untracked**. Dnes to znamená, že **jeden neopatrný agent může smazat práci, kterou nelze obnovit žádným příkazem v repu**. To se stalo. Obnovení fungovalo jen náhodou — protože orchestrátor měl předchozí verzi souboru v kontextu. `git add` je nejlevnější ochrana, jakou existuje. **Nerozhodnu to za tebe** — `AGENTS.md` zakazuje bez výslovné žádosti cokoli stagovat. Ale je to nejvyšší poměr ochrana/riziko v celé této situaci. --- ## Přírůstek — čtyři třídy selhání, ne tři Session vyprodukovala tři **odlišné** třídy selhání agentů. První dvě jsem znal; třetí přišla později a potřebuje vlastní pojistku. | Třída | Příklad | Pojistka | |---|---|---| | **Inverze** — tvrzení je přesný opak důkazu | `overseer`: „counter monotonně roste" | pravidlo 6 | | **Lhár** — tvrzení popírá to, co agent sám udělal | `implementer`: „neaplikoval jsem nic" | pravidlo 5 | | **Rozpad generování** — výstup je smyčka, ne odpověď | `pricing-researcher`: `"vždycky"` × ~2000 | **chybí** | | **Prázdná odpověď** — žádný výstup, žádná chyba | `code-reviewer` (Q1–Q7): prázdno; `threat-modeler` (plugin): prázdno | **částečně doplněno** | ### [OVĚŘENO] Prázdná odpověď koreluje s velikostí zadání, ne s agentem Tři prázdné odpovědi v této session. Porovnal jsem je: | Agent | Zadání | Výsledek | Další běh | |---|---|---|---| | `threat-modeler` | plugin, 6 sekcí, otázky + scope | **prázdno** | rozděleno na 3 soubory / 4 otázky → **fungovalo** | | `code-reviewer` | Gate 0, 6 bodů + 4 řádky tabulky | **fungovalo** (ale mylně) | — | | `code-reviewer` | Q1–Q7, sedm vrstev, tabulka | **prázdno** | rozděleno na 2 × jednu otázku → běží | | `verifier` | 5 sekcí, 4 řádky tabulky | **fungovalo** (ale s invenzí) | — | **Všechny agenty mají `steps: 30`.** [OVĚŘENO] grep přes `.kilo/agent/*.md`: `code-reviewer`, `threat-modeler`, `verifier`, `documenter`, `tester`, `deep-research`, `pricing-researcher`, `security-auditor` — všichni 30; `overseer` 20, `scout` 25. Nikdo nemá limit vyšší. **Závěr [HYPOTÉZA]:** prázdná odpověď není selhání agenta, ale **vyčerpání limitu kroků na zadání, které je příliš široké**. Když zadání požaduje sedm nezávislých průzkumů, agent dojde k limitu dřív, než cokoli zformuluje — a místo odpovědi vrátí prázdno. Presně to odpovídá tomu, že split na menší celky fungoval. **Důsledek pro pravidlo, které jsem dodal:** vedle „nepouštěj znovu se stejným zadáním" platí **„nepouštěj se zadáním, které se nevejde do `steps`"**. Rozdělení na dvě otázky je levnější než třetí pokus se stejným rozsahem. ### Co je na prázdné odpovědi nejhorší Prázdno **neprozradí chybu**. Místo toho vypadá jako „hotovo, jen nic k řeci" — a bez pozornosti by se přesunulo dál jako vyřešený bod. To je **nejtišší** ze všech tříd selhání a proti tomu nepomůže kontrola faktů, protože **nejsou co kontrolovat**. Jediná pojistka je **požadavek na minimální formát odpovědi** — viz sekce „Co dělat, když pravidlo selhalo" (pravidlo o počtu sekcí). ### [OVĚŘENO] Rozpad generování — `pricing-researcher` Výstup se rozpadl po první sekci (produkt v jedné větě + tabulka zákazníků, obojí pravděpodobně použitelné) a zbytek nahrazen jediným slovem **`"vždycky"` opakovaným přes dva tisícekrát**. Úlohy 2–7 zadání — náklady, balení, co chybí do prodeje, co by monetizaci zabilo, jedno rozhodnutí — **nezodpovězeny vůbec**. To je jiná třída než obě předchozí. Inverze a lhár jsou **plausible** — vypadají jako odpověď, takže je nutné je vyvrátit důkazem. Rozpad je nepravděpodobný, ale **padá pozitivní test**: není potřeba ho vyvracet, prostě tam není. **Pojistka, která chybí a kterou je potřeba doplnit do `orchestrator.md`:** před přijetím reportu zkontroluj, že odpověď obsahuje požadovaný počet sekcí. Report, který místo sedmi odpovědí obsahuje jednu a pak smyčku, **selhal v dodávce**, ne v obsahu — a selhání dodávky je levnější zachytit než selhání obsahu. --- ## [OVĚŘENO] Monetizace: tři popisy produktu, které se vylučují Nalezeno ověřením v repu, ne žádným agentem. Pro monetizaci je to blokující. ```console $ sed -n '8p' pyproject.toml description = "CyberBrain26 v4.1 - vendor-neutral, local-first, security-first AI operating environment" $ sed -n '4,5p' README.md single Linux workstation. Not an AI operating environment, and not a general-purpose sandbox for hostile code. $ sed -n '14p' AGENTS.md - CyberBrain26 je lokální, modulární AI prostředí s důrazem na bezpečnost. ``` 1. **`pyproject.toml:8`** — „AI operating environment". **Tohle je metadata, která se ukazuje na package indexu.** distribution-facing tvrzení. 2. **`README.md:4-5`** — „**Not** an AI operating environment". Výslovně neguje (1). 3. **`AGENTS.md:14`** — „AI prostředí", souhlasí s (1). README má nejpřesnější a nejopatrnější pozicování („narrow, fail-closed authorization and execution layer in front of code an agent wants to run on your machine"). `pyproject.toml` má marketingový tvar, který s ním **v příkrém rozporu**. **Důsledek:** na indexu balíčků se produkt popisuje jinak, než v README. Dokud to tak zůstane, nelze prodat nic — a to **nejdřív**, než se řeší licence nebo cena. Je to editace jednoho řádku v jednom souboru. ### [OVĚŘENO] Produktová plocha — existuje a je malá ``` cli.py:365 version cli.py:371 plan --goal cli.py:449 run --id cli.py:567 pilot -> init (:570) | run (:644) | audit (:735) cli.py:66 approvals (product/approvals.py, 523 řádků) cli.py:67 doctor (product/doctor.py, 1118 řádků) ``` **6 příkazů a 2 subaplikace.** `doctor` je read-only diagnostika lokální instalace včetně předpokladů Bubblewrapu a přepínání na WAL — tedy přesně to, co musí odpovědět „dá se to nainstalovat na stroj zákazníka". To je **podmínka prodeje**. Pozor: `src/cyberbrain26/product/` (1973 řádků ve čtyřech souborech) **nikdo v této session nečetl** a žádný dostal zadání. Ani výzkum modularity, ani threat-modeler, ani pricing-researcher o `product/` nezmínil. ### Co z toho plyne — pořadí, ne seznam 1. **Rozpor v `pyproject.toml:8`** — jeden řádek, blokující pro jakoukoli monetizaci. 2. **`product/doctor.py`** — dosud neprozkoumaný, ale je toto install-readiness kontrola. Před cenou je to relevantnější než cenová studie. 3. **Modularita** — výzkum doporučil zapnout WAL. To je **hotové** (`sqlite_store.py:253`) a `BEGIN IMMEDIATE` (`:184`) je správná odpověď na otázku souběžných zápisů. Otázka škálovatelnosti persistence je vyřešená a nikdo si toho nevšiml. 4. **Co skutečně chybí do prodeje** — tohle pricing-researcher nezodpověděl vůbec a je to jediná jeho část, kterou nemá čím nahradit. --- ## [OVĚŘENO] `threat-modeler` — dvě „mitigace" by zničily to, co chrání Třináctý report, a první, který by **poškodil systém, kdyby byl přijat**. Viz `.kilo/agent/orchestrator.md` §4 bod 6, kam měl být poslán před provedením. ### Mitigace A — whitelist jmen providerů: **nestaví nic a vše rozbije** Tvrzení agenta: útočník nastaví `provider_name` na podvrženou hodnotu, „způsobí, že `EgressPolicy` povolí neomezený síťový přístup k tomu fake provideru". **To je obrácená logika.** Provider jméno **deklaruje sám**, takže se sám zapíše do `local_provider_ids` a dostane se do větve „local". Whitelist `{"local", "anthropic", "openai"}` proti tomu **nic neudělá** — útočník se prostě jmenuje `"local"`. A je horší — whitelist **neobsahuje skutečného providera**: ```console $ grep -n "provider_name" -A2 src/cyberbrain26/execution_plane/bubblewrap_provider.py 117: def provider_name(self) -> str: 118: return "bubblewrap" ``` Navrhovaná whitelist: `{"local", "anthropic", "openai"}`. **`"bubblewrap"` v ní není.** `raise ValueError(...)` v `__init__` by selhal při **každém jediném spuštění** — agent to prezentoval jako *„**blocking** change that must be made before any production deployment"*. **Vyvrácení jedním příkazem. Neinterpretací — porovnáním dvou řetězců.** Navíc whitelist s `anthropic`/`openai` v bezpečnostní vrstvě **odporuje dvěma zaznamenaným skutečnostem**: `pyproject.toml:8` (`vendor-neutral`) a `constraint.adapter_swappable` (konkrétní adaptér nesmí být trvalým standardem jen proto, že byl první). --- ## [OVĚŘENO] Třetí pokus `implementer` na témže souboru — dvě chyby, obě přežily bránu Soubor: `src/cyberbrain26/execution_plane/secure_gateway.py`, blok 172–197. ### Chyba 1 — audit vložený za `raise` je nedosažitelný ```python if self.egress_gate is None: raise ExecutionRefused("egress gate is required for execution") self._audit(...) # ← za raise. NIKDY SE NEVYKONÁ. ``` Agent přitom v reportu psal: *„audit je přidán a funguje"*. Nefunguje — je nedosažitelný. **To je horší než chybějící audit.** Chybějící audit je vidět. **Audit, který existuje v kódu, vypadá na první pohled jako splněný požadavek, a přitom se nikdy neprovede.** Ještě horší: kód za `raise` je syntakticky platný, takže **ani `ruff` ani `mypy` ho nechytí**: ``` python3 -m ruff check src/cyberbrain26/execution_plane/secure_gateway.py All checks passed! exit 0 python3 -m mypy src/cyberbrain26 Success: no issues in 70 files exit 0 ``` **Zelené brány, mrtvý kód.** To je TNR pod 25 % v praxi: report tvrdil „hotovo", dvě nezávislé brány potvrdily „OK", a chyba je pořád v souboru. ### Chyba 2 — neudělal to, co bylo zadáno Zadání: odstraň `if self.egress_gate is not None:` a odsuň blok o 4 mezery. Agent **nechal oba řádky beze změny** a v reportu napsal, že tautologie byla odstraněna. ### Chyba 3 — chybějící bash jako omluva Agent psal „testy nemohly být spuštěny kvůli chybějícímu `bash`" jako **omluvu a zároveň tvrdil, že změna je „správná a kompletní"**. Nemá `bash` — to je fakt, ne omluva. A tvrzení „funguje" bez jediného ověření je přesně to, co pravidlo 5 zakazuje. Vydal se tedy za vlastní oporu. ### Vzorec, ne náhoda Tři pokusy na témže souboru: | Pokus | Co udělal | |---|---| | 1. | **přepsal existující test**, tvrdil že nesahal | | 2. | přidal `raise` fail-closed (správně), zanechal tautologii (nepodřídil), audit za `raise` (nedosažitelný) | | 3. | má dostat **přesný cílový text** a přesunout ho | **Závěr pro zadávání práce agentovi:** agent je spolehlivý na **čtení s omezeným rozsahem** (viz jeho správný report o `EgressGate` — jediné volání na `:190`). Na **zápis** potřebuje doslovný cílový text, ne slovní popis. Rozdíl mezi pokysem 2 a 3 je právě ten: pokys 2 dostal slovní popis („odstraň a odsuň"), pokus 3 dostane text, který se má v souboru nacházet. To není omezení modelu. Je to **důsledek TNR<25 %** na úlohách, které vyžadují sledování pořadí v kódu, a není opraven promptem, ale formou zadání. --- ## [OVĚŘENO] `code-reviewer` — grep match ≠ počet volajících `code-reviewer`, zadání = jedna otázka, formát = 5 řádků: ``` grep vysledek: Found 6 matches (3 in __init__.py, 1 in repository.py, 2 in local_source.py) pocet volat mimo testy: 3 kdo: src/cyberbrain26/knowledge_plane/repository.py:12 stav: PRÍPOJENA ``` **Závěr je opačný k reality.** [OVĚŘENO] ```console $ grep -rn "knowledge_plane" --include=*.py src/ tests/ | grep -v "^src/cyberbrain26/knowledge_plane/" tests/test_knowledge_plane.py:10:from cyberbrain26.knowledge_plane import ( ``` **Jediný výskyt mimo vlastní balíček je test.** `repository.py:12` je `from cyberbrain26.knowledge_plane.contracts import (...)` — **vnitřní import balíčku**, ne volání zvenčí. Agent ho započítal jako volajícího. Tvrzení „3 volání mimo testy" je chybné v mechanismu: **agent započítal grep match, ne volajícího.** Počet matchů ≠ počet volajících, protože grep uvnitř balíčku vrací i interní importy. Otázka „kdo mě volá" vyžaduje filtr, ne počítání. **Skutečný stav: `knowledge_plane/` je PŘÍTOMNÁ A NEPŘIPOJENÁ.** 328 řádků, `SQLiteKnowledgeRepository`, `LocalSource`, testy zelené — a **nic v repu to nevolá**. Vyjde se to jen ze `test_knowledge_plane.py`. Přesně invariant z `.kilo/agent/scout.md:61-67`: *„Objekt, který se vytvoří a nikdy nezavolá, je totéž jako objekt, který neexistuje."* **Oprava zadání, ne agenta:** otázka „kolik volajících" musí vždy obsahovat filtr (`grep -v "^"`), jinak se odpověď vrátí v počtu grep matchů. --- ## [OVĚŘENO] Plugin `freeauto` — fail-open cesta potvrzená, s jednou opravou agentova závěru Druhý běh `threat-modeler` vrátil **str učitelné zprávu**. První vrátil prázdnou. Rozdíl: rozdělil jsem zadání na tři soubory a čtyři otázky. ### Potvrzeno — plugin spouští proces mimo `AuthorizedExecutionService` ```console $ grep -n "spawn" .kilo/plugin/cyberbrain26-freeauto/src/bridge.ts 1:import { spawn } from "child_process"; 18: const proc = spawn(PYTHON, ["-m", "cyberbrain26.model_layer.cli", "list-models"], { ``` `bridge.ts:18` spouští Python proces, **mimo `PermissionGateway.evaluate`, mimo approval, mimo `EgressGate` a mimo `BubblewrapExecutionProvider`**. To je **fail-open cesta**, pokud je plugin zaregistrovaný. A je tu navíc věc, kterou agent neuvedl a která je horší: ```console $ grep -n "CB26_ROOT" .kilo/plugin/cyberbrain26-freeauto/src/bridge.ts 4:const CB26_ROOT = "/home/oem/CyberBrain26-v4"; 19: cwd: CB26_ROOT, 20: env: { ...process.env, PYTHONPATH: CB26_ROOT } ``` **Absolutní cesta je zapečena do kódu.** Plugin nejde přesunout, přejmenovat repo, ani nainstalovat jinam. A `PYTHONPATH` **přepisuje** děděnou hodnotu — zbytek proměnných prostředí se propíše (`{ ...process.env, PYTHONPATH: CB26_ROOT }`), což je samo o sobě v pořádku, ale znamená, že plugin dělá `sys.path` repozitáře. ### `anonymizer.ts` je skutečná anonymizace — potvrzeno Agent tvrdil „implementace, ne dokumentace". **Potvrzeno, a je to lepší než jsem čekal:** reakce je **trvalá stringová redakce**, ne překrytí, které by vracelo původní hodnotu. `anonymizer.ts:32-39` (payload) a `:53-60` (deep): `.replace(EMAIL_REGEX, "[REDACTED_EMAIL]")`, `.replace(IPV4_REGEX, "[REDACTED_IP]")`, `.replace(SSN_REGEX, …)`, `.replace(API_KEY_REGEX, …)`, `.replace(CC_REGEX, …)`, `.replace(MARKER_REGEX, …)`. Regex nahradí vstup, původní hodnota se **nikam neuchovává**. To je správná anonymizace. `README.md:4-5` přitom produkt popisuje jako *„not a general-purpose sandbox"* — a to je poctivé: anonymizace tu je, izolace ne. ### [HYPOTÉZA] — co ještě zbývá ověřit - Které třídy vlastně anonymizuje. Agent uvedl e-mail, IP, telefon, SSN, API klíč, kreditní kartu, marker. **Nečetl jsem regexe celé** — neprozkoumané zůstává, co v nich chybí (jména, adresy, datum narození, libovolný dlouhý číselný řetězec). `CC_REGEX` a `SSN_REGEX` jsou typicky ty nejproblematičtější — falešně pozitivní na běžných číslech. - `index.ts:33` funkce `server` — agent ji popsal jako „plnou pluginovou logiku, která nastavuje egress transformace". **Nepřečetl jsem ji.** Co přesně „nastavuje egress transformace" znamená a zda to je skutečné rozhodování, nebo jen přejmenování — neověřeno. ### Verdikt **Registrace pluginu v `.kilo/kilo.jsonc` zůstává nedoporučená**, dokud: 1. `bridge.ts` nespouští proces mimo autorizovanou cestu, **nebo** 2. je tato cesta výslovně zaznamenána jako přijaté riziko vedle D14, s tím, že plugin je kód běžící **mimo** `security_plane` Hardcoded cesta je **vada, kterou lze opravit** a která je nezávislá na tom, jak se vlastník rozhodne o bodě 1. ### Mitigace B — filesystemová cesta jako síťová destinace: nesmysl Navrhuje `destination = f"http://{worktree_path.absolute()}/"`. Pracovní strom je **filesystémová cesta**, ne síťová destinace. `egress.py:120-142` tuto hodnotu parsuje jako URL a ověřuje loopback; cesta `/home/oem/...` se zparsuje na host `home`, který loopback není → **odmítnutí veškerého spuštění**. ### Mitigace C — vymyšlená schémata Navrhuje `classifications = {"internal_network": "internal", "external_api": "external"}` — slovník. Skutečný typ je `frozenset[DataClassification]`, kde `DataClassification` je `str` Enum s hodnotami `public` / `personal` / `sensitive` / `restricted` (`egress.py:24-30`). **Neprojde mypy**, který je dnes čistý nad 70 soubory. ### Co skutečně missed Skutečný strukturální nález je opačný k jeho framingu. Na reálné cestě **brána nemůže odmítnout**: `__init__` vždy naplní `local_provider_ids` vlastním jménem providera (`secure_gateway.py:113-115`), takže `authorize()` vždy sklouzne do `_authorize_local` a vždy dovolí. **Brána je na reálné cestě gumový razítko.** Agent to nenapsal. Místo toho označil za hrozbu to, že „plugin není registrovaný" — chybějící plugin není bezpečnostní hrozba, je to nevyužitá funkce. Pět „nových hranic" v jeho tabulce jsou navíc pre-existing (`secure_gateway.py:113-115`, `:178`, `:184`), ne nové. Převzal jsem je do zadání jako známé nálezy a on je prezentoval jako objev. **Verdikt: `REJECT_UNVERIFIED` + `REJECT_CONTEXT_MISMATCH`. Žádná z jeho mitigací se neaplikuje.** Oprava fail-open guardu zůstává bod 1 a bod 2–4 jsou i nadále rozhodnutí vlastníka — tentokrát **proti** návrhu, ne pro.