l.udZddlmZddlZddlmcmZddl Z ddl m Z ddl Z ddl Z e ejj dZedz Zedz Zedz Zhd Zd Zhd ZdGd ZefdHd ZdIdZdHdZdHdZdJdZdKdZdLdZdMdZ dIdZ!dIdZ"dNdZ#dOdZ$dZ%dZ&dZ'eDcgc] }e jP||jR"c}Z*dZ+dZ,e jZj]d e*d!Z/d"Z0d#Z1d$Z2e jZj]ded%Z3d&Z4d'Z5d(Z6d)Z7d*Z8d+Z9e:hd,Z;e:hd-Z<e jPdd.geDcgc] }e jP||jR"c}zZ=e jZj]d e=d/Z>d0Z?d1Z@e:hd2ZAd3ZBd4ZCd5ZDdd6hd7ZEd8ZFd9ZGd:ZHd;ZId<ZJd=ZKd>ZLd?ZMd@ZNdAdBdBdBdBdCdBidDZOdEZPdFZQycc}wcc}w)PuGate 0 policy-test pro `.kilo/` konfiguraci (F1). Cíl: dokázat deterministickým testem, že bezpečnostní hranice deklarovaná v `.kilo/kilo.jsonc` a `.kilo/agent/*.md` nelze obejít korektní konfigurací — stejně jako se testuje kód. Tento soubor je zcela samostatný: * importuje POUZE stdlib + `yaml` + `pytest`, * NEimportuje nic z `src/cyberbrain26` (pravidlo zadání), * čte pouze soubory v `.kilo/`, nic do repozitáře nezapisuje. Odkazy: D1—D10, ROADMAP_V6.md §14 (invarianty 1, 2, 3, 5, 6, 12), `.kilo/context/LESSONS_AND_DECISIONS.md` §1 V2 (predikát, který zruší test tím, že pak vypadá jako běžící). ) annotationsN)Pathz.kiloz kilo.jsoncagent>allprimarysubagent)bashexternal_directory agent_manager doom_loop>tester documenter implementer code-reviewer deep-researchthreat-modelersecurity-auditorpricing-researchercg}d}d}|jD]}g}d}|t|kr||}|r+|j||rd}n|dk(rd}n|dk(rd}|dz }@|dk(rd}|j||dz }^|dk(r|dzt|kr ||dzdk(rn%|j||dz }|t|kr|jdj|d j|S) uOdstraní `//` komentáře z JSONC textu. Scanner jde po řádcích a přeskočuje `//` mimo řetězce. ZNÁMÁ MEZERA: scanner neumí `//` uvnitř řetězce — pokud by hodnota obsahovala URL typu `"https://..."`, pokusil by se to označit za komentář. Pro `.kilo/kilo.jsonc` to nevadí (žádná hodnota neobsahuje `//`), ale je to známá mezera tohoto přístupu, kterou je nutné mít na paměti, pokud by schéma konfigurace rozšířilo o URL. Fr\T"r/ ) splitlineslenappendjoin)textout in_stringescapedlineresultichs >/home/oem/CyberBrain26-unified/tests/test_kilo_agent_policy.py_strip_jsonc_commentsr)3s CIG!$ #d)maB b!#G4Z"G3Y %IQSy  b!QSyQUSY.4A;#3E MM"  FA)#d)m* 2776?#1$4 99S>cb|jd}tjt|S)Nutf-8encoding) read_textjsonloadsr))pathraws r( _load_globalr4_s' ..'. *C ::+C0 11r*cxtjsgStdtjdDS)Nc3 K|]}|ywN.0ps r( z_agent_files..gs4!4s z*.md) AGENT_DIRis_dirsortedglobr8r*r( _agent_filesrAds-     4Y^^F34 44r*c~|jd}|jdsiS|jdd}t|dkriS t j |d}t|tr|SiS#tj $r4}t|jdt|jd|d }~wwxYw) uNačte YAML frontmatter z `.md` agenta. Vrací `{}` pokud frontmatter chybí — volající test to považuje za chybu. r,r----ru,: YAML frontmatter se nepodařilo parsovat (uY). Nekorektní YAML zničí soubor — viz .kilo/context/LESSONS_AND_DECISIONS.md §1 V1.N) r/ startswithsplitryaml safe_load YAMLError RuntimeErrornametype__name__ isinstancedict)r2r partsmetaes r( _load_agentrTjs >>7> +D ??5 ! JJua E 5zA~ ~~eAh' dD)41r1 >>yykEd1gFVFVEWXe e  s A55B</B77B<c>t|jdxsiSN permission)rTget)r2s r(_agent_permissionrYs t   . 4"4r*c<tjdxsiSrV)r4rXr8r*r(_global_permissionr[s >  l + 1r1r*toolcn|j|}t|trd|vrn||vr|S||vr||Sy)uEfektivní hodnota oprávnění nástroje (model Kilo merge). Hodnota agenta má přednost; chybí-li klíč v agentovi, zdědí se globální hodnota; chybí-li v obou, vrátí se `None` = nic není nastaveno (fail). *N)rXrOrP)r\agent_permissionglobal_permissionvalues r(_resolverbsO   &E%3e#3 ! !     && r*cg}t|||}|dk(r|j|d|dk7r|j|d|d||vr|j|d|S)uKontrolní logika pro meta-testy (G) — musí být schopna selhat. Vrací seznam porušení. Prázdný seznam = pravidlo dodrženo. allowz: resolved value is 'allow'denyz: resolved value is z, expected 'deny'z+: not explicitly denied in agent permission)rbr)r\ agent_perm global_permfoundresolveds r( _violationsrjsw Ej+6H7 v89:6 v1(=NOP : vHIJ Lr*c|dz }|jdd||dz }tjd||ddd}|jd|d d |S) NrT)parentsexist_ok.mdzFAKE agent pro meta-test) descriptionmoderW) sort_keys allow_unicodez--- z --- # fake r,r-)mkdirrH safe_dump write_text)rootrLrprW agent_dirmdfronts r(_write_fake_agentrzsjwI OOD4O0 vS\ !B NN2DPZ[ E MME%07MC Ir*c"t}|stjtddzddt j vstj |rtj|ndiz}ttj||S)uSeznam `.md` agentů, nebo HRUBÝ FAIL, když je prázdný. Nahrazuje přímé `_agent_files()` ve všech smyčkách, u nichž je uvnitř `assert`. Smyčka nad prázdnou kolekcí totiž neprovede žádný assert, a pytest to v reportu vypíše jako PASSED. u neobsahuje žádný '*.md' — smyčka by neprošla ani jednou iterací, žádný assert by se nevykonal a test by vypadal jako zelený (viz .kilo/context/LESSONS_AND_DECISIONS.md §1 V2) >assert %(py0)spy0files) rA @pytest_ar_format_assertmsgr= @py_builtinslocals_should_repr_global_name _safereprAssertionError_format_explanation)r~ @py_format1s r(_require_agent_filesrs NE ?.?-> +> >??9???'?&> ??6?Y ???,?+>?? Lr*cxtDcgc]"}t|jddk(s!|$c}Scc}w)uCAgenti s `mode: primary`, odvozeno z adresáře (nikoli hardcoded).rpr)rArTrXr;s r(_primary_agent_filesrs.#~ Q!Q););F)Cy)PA QQ Qs"77c|jd}t|ts tS|j Dchc] \}}|dk(s |c}}Scc}}w)uKlíče `task` s hodnotou `"allow"` — VČETNĚ wildcardu `"*"`. Záměrně NIC nefiltruje, aby kontrola mohla wildcard odhalit. Filtrující varianta je `_named_delegation_targets`. taskrd)rXrOrPsetitems)rWrkvs r(_task_allow_targetsrsG >>& !D dD !u **, 7$!Q!w,A 77 7s A AcHt|}|dhz }|stj|d|r t|ndddzddt j vstj |rtj|ndiz}ttj||S)uiCíle delegace POJMENOVANÉ; wildcard je vyřazen a PRÁZDNÁ MNOŽINA JE FAIL. [V2] Wildcard `{"*": "allow"}` není allowlist. Test, který píše `k != "*"` a pak iteruje, nevykoná ani jedno tvrzení a projde. Tento helper přesouvá ten predikát na jedno místo a vynucuje si NEPRÁZDNÝ seznam jmen, aby kontrola měla co ověřovat. r^u9: žádný POJMENOVANÝ cíl delegace (v `task` nalezeno nicu). Wildcard '"*"' není allowlist — predikát `k != "*"` zruší každou smyčku nad jmény agentů a test by prošel bez jediného ověřeného agenta, přestože vypadá jako zelený (viz .kilo/context/LESSONS_AND_DECISIONS.md §1 V2). Uveď jména agentů explicitně.r|r}named) rrrr?rrrrrr)rWwherer3rrs r(_named_delegation_targetsrs j )C 3%KE   'J6#;5 )*     i    Lr*cltj}|}|stjdtdzdt j vstj trtjtndtj|tj|dz}ttj|dx}}t}t|t}|s ddt j vstj trtjtnddt j vstj |rtj|ndd t j vstj trtjtnd tj|d z}ttj|d}d }||v}|stjd |fd ||ftj|dt j vstj |rtj|nddz}tjddzd|iz}ttj|dx}}y)u`.kilo/kilo.jsonc` existuje a parsuje se jako JSON po odečtení komentářů. Odůvodnění: invariant 1 (ROADMAP_V6.md §14.1) — konfigurace, která se nedá přečíst, je totéž co chybějící konfigurace, která by se tiše nahradila výchozími hodnotami. Parsing je tedy fail-closed kontrola, ne kosmetika. Viz `_strip_jsonc_comments` pro známou mezeru (URL ve stringu). chybí D >assert %(py4)s {%(py4)s = %(py2)s {%(py2)s = %(py0)s.is_file }() } GLOBAL_CONFIGr}py2py4Nz5assert %(py4)s {%(py4)s = %(py0)s(%(py1)s, %(py2)s) }rOcfgrPr}py1rrrWinz%(py1)s in %(py3)srpy3u(global config musí mít blok permission >assert %(py5)spy5)ris_filerrrrrrrrr4rOrP_call_reprcompare) @py_assert1 @py_assert3 @py_format5r @py_assert0 @py_assert2 @py_format4 @py_format6s r(test_global_config_parsesrsh  = "= "==gm_$=============== === "====== .C c4       :   :      c   c      4   4         J<3 JJJ<3JJJ<JJJJJJ3JJJ3JJJJ JJJJJJJr*c Tt}|D]}|jd}|j}d}||}|stj|j ddzdt jvstj|rtj|ndtj|tj|tj|dz}ttj|dx}x}}|jdd }t|}d }||k\} | stjd | fd ||fd t jvstjtrtjtnd dt jvstj|rtj|ndtj|tj|dz}tj|j ddzd|iz} ttj| dx}x} } tj |d} t/ t0}|s.tj|j ddzd t jvstjt.rtjt.nd d!t jvstj| rtj| nd!d"t jvstjt0rtjt0nd"tj|d#z}ttj|d}y#tj"$ri} t%| dd} | r#d| j&dzd| j(dzdnd}t+j,|j d|d| ddYd} ~ d} ~ wwxYw)$uKaždý `*.md` v `.kilo/agent/` musí mít parsovatelné YAML frontmatter. Odůvodnění: invariant 5 (§14) — žádné bezpečnostní rozhodnutí nesmí být pouze v promptu. Frontmatter je strojové načítané rozhodnutí; pokud se nedá parsovat, pravidla se tiše neuplatní a agent běží na výchozích hodnotách. Chybějící frontmatter = selhání. [V1] Nekorektní YAML nesmí shodit celý soubor testů. `yaml.safe_load` vyhazuje `yaml.YAMLError` a nepošle ho dál — chyba se převede na `pytest.fail` s názvem souboru a pozicí, aby výstup brány ukazoval KTERÝ agent je rozbitý, ne jen traceback helperu. r,r-rCu: chybí YAML frontmatterzN >assert %(py6)s {%(py6)s = %(py2)s {%(py2)s = %(py0)s.startswith }(%(py4)s) }r )r}rrpy6NrDrE)>=)z0%(py3)s {%(py3)s = %(py0)s(%(py1)s) } >= %(py6)srrQ)r}rrru: nedokončené frontmatterz >assert %(py8)spy8r problem_marku (řádek z , sloupec )ru*: YAML frontmatter se nepodařilo parsovat: uX. Nekorektní YAML zničí soubor — viz .kilo/context/LESSONS_AND_DECISIONS.md §1 V1.F)pytraceu: frontmatter není mapa7 >assert %(py4)s {%(py4)s = %(py0)s(%(py1)s, %(py2)s) }rOrRrPr)rr/rFrrrLrrrrrrrGrrrHrIrJgetattrr$columnpytestfailrOrP)r~r2r rr @py_assert5 @py_format7rQr @py_assert4 @py_format9rRrSmarkrrs r(.test_every_agent_has_parsable_yaml_frontmatterrs ! "EN~~w~/NuNu%N%NN$))4M'NNNNNNNtNNNtNNNNNNuNNN%NNNNNN 5!$5zIQIzQIIIzQIIIIIIsIIIsIIIIII5III5IIIzIIIQIII499+-H IIIIIIII >>%(+D$%M%MM$))4L'MMMMMMMzMMMzMMMMMM$MMM$MMMMMMMMMMMM%MMMMMMN~~ 1nd3DPTjQz$++/9J!LZ\E KK99+GwbQRPSTii   s N++P'>AP""P'c tD]}t|}d}||v}|stjd|fd||ftj|dt j vstj|rtj|nddz}tj|jddzd|iz}ttj|d x}}|d}|tv}|stjd|fd|tftj|d t j vstjtrtjtnd dz}tjd j|j|dttdzd|iz}ttj|d x}}y ) u`mode` agenta musí být jedna z {primary, subagent, all}. Odůvodnění: D6 / invariant 3 (§14.3) — role agenta určuje, kdo smí delegovat. Neplatná hodnota by znamenala tichý fallback na výchozí režim, což je invariant 1 (žádný tichý přechod). Kolekce je tu záměrně přes `_require_agent_files()`: bez ní by prázdný `.kilo/agent/` znamenal nula iterací a PASSED (viz §1 V2). rprrrRru: chybí klíč moderrN VALID_MODESu{}: mode={!r} není v {})rrTrrrrrrrrLrrrformatr?)r2rRrrrrs r(test_agent_mode_is_valid_enumr&sV%&:4 Av~AAAvAAAvAAAAAAAAAAAAA$)),@AAAAAAAF| :|{* :(9(9 :|{ : :09  : :396 : :!9!9 + : :09  + : :(9(9-G,M,M IItF|VK%8-: : : :&9&9 : ::r*)idc F t}|stjtddzdt j vstj trtjtndtj|dz}ttj|d}tstjddzdd t j vstj trtjtnd iz}ttj|tDcgc]}|jd k7s|j }}t|}t}t|}||k(}|stjd |fd ||fd t j vstj trtjtnd dt j vstj |rtj|ndtj|d t j vstj trtjtnd dt j vstj trtjtndtj|tj|dz} tjdt|dtdttddzd| iz} ttj| dx}x}x}}t|} t| } t|} | | k(}|stjd |fd| | fd t j vstj trtjtnd dt j vstj trtjtnddt j vstj |rtj|ndtj| tj| d t j vstj trtjtnd dt j vstj |rtj|ndtj| dz}tjdt!|dzd|iz}ttj|dx} x} x}} ycc}w)uParametrické testy MUSÍ mít neprázdnou množinu parametrů — jinak neexistují. Odůvodnění: `pytest.mark.parametrize` nad prázdným seznamem NEHLÁSÍ chybu. Test se vůbec nespustí a při běžném běhu vypadá jako zelená brána. [V2] je přesně tento tvar: brána, která neexistuje, ale vypadá jako brána, která prošla. Tento test je tedy kontrolou nad KONTROLAMI, ne nad `.kilo/`. Protože se parametrizace odvozuje z adresáře, nový agent v `.kilo/agent/*.md` do ní vstoupí automaticky — k vyloučení by byl nutný hardcoded seznam, a ten je přesně to, co se při přidání agenta tiše rozsype. u neobsahuje žádný '*.md' — parametrizované testy by měly nula parametrů, tj. by se nespustily vůbec, nikoli by selhaly (viz .kilo/context/LESSONS_AND_DECISIONS.md §1 V2)z' >assert %(py2)s {%(py2)s = %(py0)s() }rAr}rNu~sada parametrů pro kontrolu shody `mode` je prázdná — test_agent_mode_declared_in_config_matches_markdown by se nespustilr|r}_AGENT_MODE_PARAMSglobal==)zg%(py3)s {%(py3)s = %(py0)s(%(py1)s) } == %(py10)s {%(py10)s = %(py5)s(%(py8)s {%(py8)s = %(py6)s() }) }ragent_scope_ids)r}rrrrrpy10u.scope parametrů pro cyberbrain26_* pokrývá u agentů, ale v z je uR — parametrizace nesleduje adresář, takže nový agent by do brány nevstoupil >assert %(py12)spy12)zn%(py6)s {%(py6)s = %(py0)s(%(py4)s {%(py4)s = %(py1)s(%(py2)s) }) } == %(py11)s {%(py11)s = %(py8)s(%(py9)s) }r)r}rrrrrpy9py11u.duplicitní parametry v cyberbrain26_* scope: z >assert %(py13)spy13)rArrr=rrrrrrr_CYBERBRAIN26_SCOPE_PARAMSrrrrr?)r @py_format3rr;rr @py_assert7 @py_assert9r @py_format11 @py_format13rr @py_assert10 @py_format12 @py_format14s r('test_agent_parametrization_is_not_emptyr;s >?>?.?-> +> >??9???'?&> ??6?Y ??6?Y ???,?+>?? O=N=N NOOHNOO6N6N OOENY OOO;N;NOO&@T1448CSqttTOT  K|~K3~#6K #6 6KK:K9JK #6KKEKFKK3K2J KKBK KKEKFKK3K2JKKBKKKBK KKEKFKK3K2J$'KKBK$'KKEKFKK3K2J(4KKBK(4KKBK(6KKBK$7KK:K9J 9_9M8NO#D\^)<(=>J JKKK8K7JKKK ?#T3# $TO(<T $(< <TTBSBST $(<TTMSVTT;S;S TTJS) TTMSVTT;S;STTJS)TTMSVTT;S;S#TTJS)#TTJS)$TTJS) %TTMSVTT;S;S),TTJS)),TTMSVTT;S;S-<TTJS)-<TTJS))=TTBSBS 89P8QRTTT@S@STTT Us >VVc btj}|}|stjdtdzdt j vstj trtjtndtj|tj|dz}ttj|dx}}tdtjdD}| }|stjtd|Dcgc] }t|jt"c}d d zd d t j vstj |rtj|nd iz}ttj|d}ycc}w) u`.kilo/agent/` musí být PLOCHÝ. Odůvodnění: Kilo skenuje `{agent,agents}/**/*.md` REKURZIVNĚ, zatímco `_agent_files()` používá `glob("*.md")` NEREKURZIVNĚ. Vložený `.md` do podadresáře by se načetl jako ŽIVÝ agent, ale Gate 0 by ho neviděl — a neviděný agent se nechodí. To je [V2] v podobě neviditelného agenta: nevymizí, jen není pokrytý bránou. Dvě řešení: plochá struktura (tento test), nebo rekurze v `_agent_files()`. Bez rozhodnutí vlastníka zůstává to první, protože `_agent_files()` se používá i v sekcích B a C, kde by rekurze zahrnula i zálohy a pracovní artefakty. rzC >assert %(py4)s {%(py4)s = %(py2)s {%(py2)s = %(py0)s.is_dir }() }r=rNc3BK|]}|js|ywr7)r>r9s r(r<z7test_agent_dir_has_no_subdirectories..jsC1 QCsr^u obsahuje podadresáře: u. Kilo skenuje '{agent,agents}/**/*.md' rekurzivně, ale '_agent_files()' jen nerekurzivně — soubor v podadresáři by byl živý agent, kterého Gate 0 netestuje. >assert not %(py0)sr}subdirs)r=r>rrrrrrrrr?rglobstr relative_to)rrrrr; @py_format2s r($test_agent_dir_has_no_subdirectoriesr[s7   4  4 44 444444494449444 444 444444C  4CCG;;  +.3: ;aC i( ) ; <=  v   I    ;s%F, agent_pathc  |j}tjd}t|t}|sGt j tjdt|jdzdtjvst jtrt jtnddtjvst j|rt j|nddtjvst jtrt jtndt j|dz}tt j |d}||v}|st j"d |fd ||fd tjvst j|rt j|nd dtjvst j|rt j|ndd z}t j d |dtjddzd|iz}tt j |d}||}g}t|t}|} |rd} | |v} | } | sddtjvst jtrt jtnddtjvst j|rt j|nddtjvst jtrt jtndt j|dz} |j%| |rt j"d  fd |ft j| dtjvst j|rt j|nddz} dd| iz}|j%|t j&|diz}t j d |dtjddzd|iz}tt j |dx} x}x}x} } |d}t)|jd}||k(}|st j"d|fd ||fd!tjvst j|rt j|nd!d"tjvst j|rt j|nd"d z}t j d |d#tjd$|d%|jd&|d' dzd|iz}tt j |d}|t*v}|st j"d |fd |t*fd!tjvst j|rt j|nd!d(tjvst jt*rt jt*nd(d z}t j |d)|d*t-t*dzd|iz}tt j |d}y)+u`mode` agenta musí být explicitně deklarováno V KONFIGURACI a musí souhlasit s frontmatterem `.md`. Odůvodnění: [OVĚŘENO] Kilo přiřadí markdown frontmatter k agentovi POUZE tehdy, když `agent.` v JSON mapě ještě neexistuje. Pokud existuje (např. v globálním `~/.config/kilo/kilo.jsonc`, kde je `agent.orchestrator`), JSON vyhrává a frontmatter se TIŠE zahazuje. Orchestrátor tak resolveoval jako `all` místo `primary` — a `all` by při `task: allow` na orchestrátoru znamenal více delegátorů, tedy obchod D6 ("Orchestrátor je jediný delegátor"). Rozdíl je tichý, tedy invariant 1 (žádný tichý přechod): proto se shoda kontroluje deklarativně na obou místech, bez výjimky. r$: 'agent' musí být mapa, dostáno rrO agents_cfgrPrNrz%(py0)s in %(py2)srLrzagent '' chybí v mapě 'agent' v uT — mode se pak načítá jinde (globální config) a frontmatter se tiše zahazuje >assert %(py4)srrp.%(py6)s {%(py6)s = %(py2)s(%(py3)s, %(py4)s) }entryrrrrz%(py9)s in %(py11)srr%(py13)srr': v uJ chybí explicitní 'mode' — bez něj se mode řídí jinou konfigurací >assert %(py16)spy16rz%(py0)s == %(py2)s config_modemd_modeu': nesoulad mode — =z, frontmatter v z .md mode=u/; vyhrává JSON, frontmatter se tiše zahazujerz: config mode=u není v )stemr4rXrOrPrrrrLrMrNrrrrrrrr_format_booloprTrr?)rrLrrrrrrrr @py_assert8rrrr @py_format15 @py_format17rrs r(3test_agent_mode_declared_in_config_matches_markdownrss ??D##G,J j$ '` '`N_N_=   B4 CSC\C\B]^``Y_Y_``G_G_ ``V_V_ ``Y_Y_``G_G_!``V_V_!``Y_Y_``G_G_#'``V_V_#'``V_V_ (```L_L_`` : ?->->?4:??8>??&>&> ??5>Y ??8>??&>&>??5>Y??->-> $2=3E3E2FG> >???+>+>?? t E:eT " " "vvv I vIv"I"I #v #  vI(.v27I27v~   $u]//01   -K*%))&1G ' !99'8'89;'9928&99 8 8 99/8y 9928&99 8 8"99/8y"99'8'8 $,]-?-?,@+P`akapap`qqz|C{FF8 8999%8%899 + %kkk;+kkkkkk;kkk;kkkkkk+kkk+kkkk$~k_IV\]hViUj'kkkkkkkr*ctjd}t|t}|s3t j dt jddzdtjvst jtrt jtnddtjvst j|rt j|nddtjvst jtrt jtndt j|dz}tt j|d }tDchc]}|j}}|st j d t d zd d tjvst j|rt j|nd iz}tt j|t#|}t%||z }| }|st j dt jdt jd|dzd dtjvst j|rt j|ndiz} tt j| d }t%||z } | }|st j dt jdt jd| dzd dtjvst j| rt j| ndiz} tt j| d }y cc}w)uMapa `agent` v `.kilo/kilo.jsonc` a soubory `.kilo/agent/*.md` se musí shodovat V OBA SMĚRECH. Odůvodnění: invariant 1 (žádný tichý přechod). V jednom směru chybí deklarace = `mode` agenta se načítá z jiného zdroje a frontmatter se zahazuje (viz `test_agent_mode_declared_in_config_matches_markdown`); ve druhém směru zápis bez `.md` je mrtvá konfigurace — deklaruje agenta, kterého v repu není, takže pravidlo vypadá zajištěné, ale není použitelné. Zde není výjimka typu „chybí do F4" (viz `F4_EXPECTED_PENDING`): mrtvý zápis je stejně nebezpečný jako chybějící, proto je tvrdý assert. rzv u, chybí mapa 'agent' s deklarovanými agentyrrOrrPrNužádný agent v r|r}md_namesz agenti s u# ale bez zápisu v mapě 'agent' v rrmissing_in_configzmapa 'agent' v z deklaruje agenty bez u souboru (mrtvá konfigurace): dead_entries)r4rXrOrPrrrrLrrrrrrrArr=rr?) rrrr;rr cfg_namesrrrrs r(&test_global_config_declares_all_agentsr s##G,J j$ 'O 'O=N=N"]   LMOOHNOO6N6N OOENY OOHNOO6N6N!OOENY!OOHNOO6N6N#'OOENY#'OOENY (OOO;N;NOO!-/1/H/ 44( 44444448444844444JIx)34 r r`q`q)INN##F}GYGYFZZ\]n\oprrkqkqrrYqYq!rrhqhq!rrr^q^qrr)h./L ) )(( -,,--CINNCST% ())"(&))(())(y)))(())0s.M=ctD]=}t|jd}d}||u}|stjd|fd||fdt j vstj|rtj|ndtj|dz}tj|jddzd |iz}ttj|dx}}t|t}|sCtj|jd t|j d zd t j vstjtrtjtnd dt j vstj|rtj|ndd t j vstjtrtjtnd tj|dz}ttj|d}@y)u{`permission` agenta musí být objekt, ne skalární hodnota. Odůvodnění: skalární `permission` by znamenalo, že deklarativní pravidla agenta nejsou aplikovatelná — veškerá granularita (bash deny, task allowlist) by zmizela a zbylo by jedno slovo. To je fail-open. Kolekce přes `_require_agent_files()` — prázdný adresář = FAIL, ne PASS. rWN)is not)z%(py0)s is not %(py3)spermr}ru: chybí permissionrru': permission musí být dict, dostáno rrOrPr)rrTrXrrrrrrrrLrrrOrPrMrN)r2r rrrrrrs r(*test_agent_permission_is_object_not_scalarrsK%&r4 $$\2Bt4BBBt4BBBBBBtBBBtBBB4BBBDII;.A!BBBBBBB$%q%qq$))4[\`ae\f\o\o[p'qqqqqqqzqqqzqqqqqq$qqq$qqqqqqqqqqqq%qqqqqqrr*c Pt}|j}d}||}d}||k(}|stjd|fd||fdt j vstj trtjtndtj|tj|tj|tj|tj|dz}dd|iz}ttj|d x}x}x}x}x}}y ) u,Globálně `permission.bash == "deny"`. Odůvodnění: D3 a invariant 6 (§14.6) — `bash: deny` je vynuceno dvěma nezávislými mechanismy (globální konfigurace + frontmatter agenta). Vynechání globálního pravidla by nebylo „výchozí ask", ale chybějící pojistka. r rerza%(py8)s {%(py8)s = %(py4)s {%(py4)s = %(py2)s {%(py2)s = %(py0)s() }.get }(%(py6)s) } == %(py11)sr[r}rrrrrassert %(py13)srN) r[rXrrrrrrrrrrrrrrrrs r(test_global_bash_deniedrs  5  # #5F5 #F +5v5 +v 5555 +v555555 555 555 555 #555F555 +555v55555555r*c tD]}t|}|j|ftvr$||v}|st j d|fd||fdt jvst j|rt j|nddt jvst j|rt j|nddz}t j|jd|ddzd |iz}tt j|d }||}d }||k(}|st j d |fd ||ft j|t j|dz}t j|jd|d||ddzd|iz} tt j| d x}x}}y )uKaždý agent musí `tool` explicitně uvádět jako `"deny"`. Odůvodnění: D3 / invariant 6. Chybějící klíč = selhání, protože tichá dědičnost je přesně to, co tato kontrola chytá. Dva nezávislé zápisy ( `kilo.jsonc` + frontmatter) jsou záměrem: kdyby jeden chyběl, druhý drží hranici, a tato kontrola to odhalí dřív než člověk. Kolekce přes `_require_agent_files()`: prázdný adresář by znamenal nula iterací a PASSED bez jediného ověřeného agenta (viz §1 V2). rrr\r rz: 'u1' není explicitně uveden — tichá dědičnostrrNrerz%(py1)s == %(py4)srrrru, očekáváno 'deny' >assert %(py6)sr)rrYrPRIMARY_TOOL_ALLOW_EXCEPTIONSrrrrrrrrLrr) r\r2r rrrrrrrs r('test_every_agent_bash_explicitly_deniedrs0%&` & IIt  = = t|eeetteeeeeeteeeteeeeeeteeeteeee {#dV3deeeeeeeDz_V_zV#___zV___z___V___ {"TF!DJ>I^%________ `r*c t}dtfg}||Dcgc]}|jt|fc}z }|D]A\}}|j d}t |t s)|j}d}||}d} || k(} | stjd| fd|| fdtjvstj|rtj|ndtj|tj|tj|tj| dz} tj|d |d zd | iz} ttj| d x}x}x}x} } Dy cc}w) uPokud je `bash` hodnotou dict místo stringu, musí obsahovat `"*": "deny"`. Odůvodnění: pravidla se vyhodnocují v konfiguračním pořadí a vyhrává POSLEDNÍ SHODA (komentář v `kilo.jsonc`, ROADMAP_V6.md §14.1). `bash: {foo: allow}` bez `"*"` by propustilo cokoliv jiného — globální deny by byl přepsán. Kolekce přes `_require_agent_files()` — bez ní by kontrola běžela jen nad globálním scope a přehlédla by formu dict u libovolného agenta. rr r^rerzI%(py6)s {%(py6)s = %(py2)s {%(py2)s = %(py0)s.get }(%(py4)s) } == %(py9)srar}rrrru-: bash dict musí mít '*': 'deny', dostáno  >assert %(py11)srN)rr[rLrYrXrOrPrrrrrrrrr) r~scopesr;rr rarrrrr @py_format10rs r(&test_bash_dict_form_contains_star_denyr"s ! "E+-. /F u=!)!,-==FR t  eT "99 RS R9S> RV R>V+ R@Q@Q R>V R RKQ6 R R9Q9Q R RHQ  R RHQ  R RHQ ! R RHQ " R RHQ &, R R@Q@Q5'FuiP R R R>Q>Q R R RR>sFc tD]}t|}|jdftvr$|j}d}||}t |t }| }|sptj|jd|dddzdtjvstjt rtjt nddtjvstj|rtj|ndtj|tj|tj|dtjvstjt rtjt ndtj|dz}ttj|d x}x}x}x}}y ) uAgent, který tvrdí `bash` výjimku, musí mít `bash` jako SKALÁRNÍ `allow`. Proč je tenhle test: `test_bash_dict_form_contains_star_deny` nad dictem *prohází*, takže korektně zapsaný nefunkční grant vypadá jako splněná pojistka. Když je takový agent zároveň v `PRIMARY_TOOL_ALLOW_EXCEPTIONS`, testy zaznamenají výjimku, která v runtime nemusí existovat — falsný doklad o bezpečnostním stavu, přesně to, co tento soubor má chránit (viz `test_detector_rejects_bash_allow`). **OPRAVA TVRZENÍ 2026-10-05.** Tento test původně tvrdil „dict nedává nástroj (změřeno: `EXIT=126`)". To **nebylo prokázáno**. Dřívější závěr vznikl z jediného měření a později vyšel najevo jako chybný: | kdy | agent | `bash` | výsledek | |---|---|---|---| | dřív v téže session | `security-auditor` | `allow` (skalár) | `EXIT=0`, `PROBE_OK` | | později v téže session | `security-auditor` | `allow` (skalár) | `EXIT=127`, nástroj nedostupný | Stejný agent, stejný grant, stejný příkaz, jiný výsledek. **Dostupnost `bash` v této session je nedeterministická**, takže nelze z jediného probe dedukovat, že dict tvar nefunguje a skalár funguje. Tento test proto **nesoudí o dict tvaru vůbec**. Vyžaduje jedině to, co je bezpečné v obou směrech deklarativně: kdo tvrdí výjimku pro `bash`, ať ji má zapsanou jako skalární `allow`, protože to je jediná forma, kterou tento soubor umí přesně ověřit. Chybějící `PRIMARY_TOOL_ALLOW_EXCEPTIONS` zůstává BLOCKER nezávisle na tom, jestli dict funguje. r zD: je v PRIMARY_TOOL_ALLOW_EXCEPTIONS pro 'bash', ale 'bash' je dict u. Výjimka musí být zapsána jako skalární 'allow' — jinak test nemůže ověřit, co výjimka ve skutečnosti dělá, a záznam se stane falsným dokladem.zt >assert not %(py10)s {%(py10)s = %(py0)s(%(py7)s {%(py7)s = %(py3)s {%(py3)s = %(py1)s.get }(%(py5)s) }, %(py8)s) }rOr rP)r}rrrpy7rrN)rrYrrrXrOrPrrrLrrrrrr)r2r rr @py_assert6r @py_assert11rs r(Dtest_bash_dict_grant_is_not_usable_so_it_must_not_claim_an_exceptionr's<%&   & IIv &C C "hh v hv. :.5 55 5 yykF|&'4 4   6         6   #   #   '   (.   /   6   15   15   6       r*c tDchc]+}t|jddk(r |j-}}t |t Dchc] \}}|dk(s |c}}z }| }|st jd|ddzddtjvst j|rt j|ndiz}tt j|d}ycc}wcc}}w) uKdo má `bash: allow` — seznam nesmí růst tiše. Odůvodnění: každý agent s během na hostovi je samostatné bezpečnostní rozhodnutí a musí být evidovaný výjimkou, ne tichou vlastností souboru. Tento test neomezuje koho přidat — to je rozhodnutí vlastníka — ale zabraňuje tomu, aby přídavný `bash: allow` prošel bez zápisu do `PRIMARY_TOOL_ALLOW_EXCEPTIONS`. r rduFagenti s bash: allow, kteří nejsou v PRIMARY_TOOL_ALLOW_EXCEPTIONS: uH — běh na hostovi musí být evidovaná výjimka, ne tichá vlastnostrr} undeclaredN)rrYrXrr?rrrrrrrrr)r2allowedatr)rrs r(7test_agents_claiming_bash_are_exactly_the_measured_onesr-%s)*  T " & &v .' 9 G 1N"^ARSW]R]1"^^_J>a>aO`O` Q ,^ `aaZ`Z`aaH`H`aaW`W`aaaM`M`aa  #_s0C1 C6 C6 c t}|jDchc] \}}|dk(s |}}}|stjtj ddzddt jvstj|rtj|ndiz}ttj|tD]}t|}|jD]\}}|dk7r |j|ftvr"g}||v} | } | s||} d} | | k7} | } | s~tj d| fd||fd t jvstj|rtj|nd d t jvstj|rtj|nd d z}d d |iz}|j#|| s_tj d fd  ftj| tj| dz}dd|iz}|j#|tj$|diz}tj|j d|ddzd|iz}ttj|dx} x}x} x} x} } t'|j)|t*s||} | j(}d}||}d}||k7} | stj d| fd||ftj| tj|tj|tj|tj|dz}tj|j d|ddzd|iz}ttj|dx} x}x}x}x} } ycc}}w)uAgent nesmí být méně přísný než globál: kde globál říká `deny`, agent nesmí říct `allow`. Přísnější (`ask`/`deny`) je v pořádku, opačně ne. Odůvodnění: ROADMAP_V6.md §14 — bezpečnostní pořadí identita → politika → oprávnění. Globální `deny` je podlaha; agent frontmatter je deklarativní vrstva nad ní a nesmí ji podkopat. DVA předpoklady, oba nyní tvrdé asserty, protože bez nich je smyčka uvnitř no-op (viz §1 V2): (a) globální permission musí obsahovat alespoň jedno `deny`, jinak se vnitřní smyčka neprovede; (b) kolekce agentů nesmí být prázdná. reu: globální `permission` nemá žádný klíč s hodnotou 'deny' — podlaha, kterou by tato kontrola podkopávala, neexistuje, a smyčka uvnitř by neprošla ani jednou iteracír|r} glob_deniesrdnot in)z%(py2)s not in %(py4)sr\r )rrz%(py6)sr!=)z%(py9)s != %(py12)s)rrz%(py14)spy14rru3='allow' je méně přísné než globální 'deny' >assert %(py17)spy17Nr^)zJ%(py7)s {%(py7)s = %(py3)s {%(py3)s = %(py1)s.get }(%(py5)s) } != %(py10)s)rrrr$ru+ dict '*'='allow' obchází globální denyrr)r[rrrrrLrrrrrrrrYrrrrrrOrXrP)r@r\rar/rr2r gvaluerrrrr&rrrrr @py_format16 @py_format18rrr%rrs r()test_agent_permission_is_subset_of_globalr:<s  D+/::<KKD%5F?4KKK <+<*;    ; ;<<6^su&#$((0I i &O &OO,ym;(OOOOOOO:OOO:OOOOOOiOOOiOOOOOOOOOOOO &OOOOOO ==ZZ= ZZ  'ZZZ ZZZZZZ9ZZZ9ZZZ=ZZZZZZ ZZZZZZ+KI=XY)ZZZZZZZZ$& [ &**62$%O%OO$))GD8;'OOOOOOOzOOOzOOOOOO$OOO$OOOOOOOOOOOO%OOOOOO IIv "? ? xx [ [x} [ [}& [IZIZ [} [ [TZTZ [ [BZBZ [ [QZQZ [ [QZQZ [ [QZQZ [ [QZQZ [ [QZQZ!' [ [IZIZtyyk4TH scoutoverseerrr promptmasterrr gate3-auditorrrr>rverifier orchestratorrc|dn |j}| tn t|}|jd}d}||k7}|st j d|fd||fdt jvst j|rt j|ndt j|dz}t j|d d zd |iz}tt j|dx}}y) uP`cyberbrain26_*` NESMí bít `"allow"` v žádném scope — globálně ani u žádného agenta. Odúvodnění: invariant 5 (ROADMAP_V6.md §14.5) a D3. `allow` by obešlo lidské schválení — nástroj by se dostal k `AuthorizedExecutionService` bez člověka v řetězcci `identity → policy → approval → sandbox`. Bezpečnostní rozhodnutí nesmí být vydáno konfigurací ani promptem. Toto je JEDINÝ globální invariant pro `cyberbrain26_*`. Pravidlo `deny` vs. `ask` je rolově závislé a kontroluje ho `test_cyberbrain26_role_appropriate`. Nrcyberbrain26_*rdr2z%(py0)s != %(py3)srarM: cyberbrain26_*='allow' obejde lidské schválení (invariant 5, §14.5, D3)rr) rLr[rYrXrrrrrrrrr)rrr rarrrrs r(test_cyberbrain26_never_allowrOs#*H E#-#5  ;LZ;XD HH% &E%5G %$$%5G%%$f%% $ $ %%$9 %%$9%%$$ '$ $%%%$$%%r*c  tjd}d}||k(}|stjd|fd||fdt j vstj |rtj|ndtj|dz}tjd|dd zd |iz}ttj|d x}}g}g}tD]}|j} t|jd} | tvrd }| |v}|stjd |fd| |fdt j vstj | rtj| ndtj|dz}tj| d| dd zd |iz}ttj|d x}}| dk(r|j| dn| t vrd}| |k(}|stjd|fd| |fdt j vstj | rtj| ndtj|dz}tj| d| dd zd |iz}ttj|d x}}n|j| d| dd}| |k7}|stjd|fd| |fdt j vstj | rtj| ndtj|dz}tj| dd zd |iz}ttj|d x}}|j#5t%dt%d|dt'tt zD]Z} t(| dz } | j+rt| jdnd } | tvrdnd} t%d | d!| d"| \|D]}t%d#||D]}t%d$|d%|s |s t%d&d d d y #1swYy xYw)'upHodnota `cyberbrain26_*` musí odpovídat deklarované roli agenta. Pravidla: * globál v `.kilo/kilo.jsonc` = `"ask"`, * `NON_EXECUTING_AGENTS` = `"deny"` NEBO `"ask"`, nikdy `"allow"`. Pokud má `"ask"`, vypíše se to jako VAROVÁNÍ (ne selhání) — `ask` není chyba, jen slabší varianta. * `EXECUTION_PATH_AGENTS` = `"ask"`. `deny` by tu byl skutečná chyba, protože tito agenti `cyberbrain26_*` potřebují volat — `deny` by udělalo řetězec nedosažitelným. * jakákoli jiná hodnota (např. `allow`) je chyba, * agent mimo obě množiny se VYPÍŠE jako `unclassified_agent` a test NESELEHÁ — v F4 přibydou exekuční subagenti. Test nesmí cpát dopředu budoucí konfiguraci. TENTO TEST JE ZÁMĚRNĚ NEFAILUJÍCÍ, proto jako doplněk existuje tvrdý `test_every_agent_is_classified_for_cyberbrain26`. Záměr: role-aware kontrola hodnot zůstává měkká (aby nezastavila postup projektu), ale ÚPLNOST registrace rolí je tvrdá. Do té doby je `unclassified_agent` jen text v logu, ne porušení. rLaskrz%(py0)s == %(py3)s glob_valuerzglobal cyberbrain26_*=u, očekáváno 'ask'rrN)rerQr)z%(py0)s in %(py3)sraz: cyberbrain26_*=u> — očekáváno 'deny' nebo 'ask', 'allow' je nepřípustnéu: cyberbrain26_*='ask' — přípustné, ale pro neexekuční agenta je 'deny' silnější hranice (D6 by šlo schválením obejít)ur — agent je na exekuční cestě a cyberbrain26_* POTŘEBUJE volat; 'deny' by řetězec udělal nedosažitelným (cyberbrain26_*=rrdr2rMrNz0 [Gate 0/F1] cyberbrain26_* role-aware kontrola:z global = u (očekáváno 'ask')rnz non-executingzexecution-pathz rz -> u VAROVÁNÍ: z unclassified_agent: uK — není v NON_EXECUTING_AGENTS ani EXECUTION_PATH_AGENTS, doplň při F4u. (bez varování, bez nezařazených agentů))r[rXrrrrrrrrrrrrYNON_EXECUTING_AGENTSrEXECUTION_PATH_AGENTSdisabledprintr?r=r)capsysrSrrrrwarnings unclassifiedr2rLraagent_mdshownkindwus r("test_cyberbrain26_role_appropriateras,$%))*:;JE: E3D3DE:EE>DfEE,D,D EE;D9 EE;D9EE3D3D .BCEEE1D1DEEHL$&)yy!$'++,<= ' '+ -5O+ -,, -5O - -&,f - -,, - -#,9 - -#,9, - -,,&)%3,, - - -,, - -~f,,-* *! $5E> $$# $5E $ $$V $ $ $ # $ $$) $ $$)" $ $$#&)%3## $ $ $$# $ $   4&(9%! D E  )u )(( )u ) )"(& ) )(( ) )(y ) )(y  ) )((f( ( ) ) )(( ) )-)4  D AB J>)>?@/2GGH 4D dV3</H ((*'x0445EF04 '+/C'CO)  BtfBtfD 2 3  4 (A N1#& ' ( ;A *1#.:: ; ; B C!DDDs +CQ<<Rct}ttz}|s{tjddzddt j vstj|rtj|ndiz}ttj|ttz}| }|stjdtttzddzdt j vstjtrtjtndd t j vstjtrtjtnd d z}ttj|d x}}g}|D]B}|j}||vr|j|d t|jd dD| } | stjddj!t|zdzdzddt j vstj|rtj|ndiz} ttj| d } y )uNKAŽDÝ agent musí mít deklarovanou roli pro `cyberbrain26_*`. Odůvodnění: invariant 5 (§14.5) — bezpečnostní rozhodnutí nesmí být vydáno konfigurací, ale musí být VYNUCENO kódem. K `cyberbrain26_*` se rozhoduje Kilo podle `permission`, a rozdíl `deny` vs. `ask` je rolově závislý: bez deklarované role není čím zdůvodnit, proč je tenhle agent na `ask` a tenhle na `deny`. [V2] v podobě tichého průchodu: `test_cyberbrain26_role_appropriate` vypíše nezařazeného agenta jako `unclassified_agent` a NESELEHÁ. Osm z jedenácti agentů tak bylo „neklasifikovaných" a brána přitom hlásila PASSED — v reportu to vypadá jako otázka k doplnění, ve skutečnosti to je neprokázaná hodnota `ask` u agenta, jehož role nikdo neurčil. Tento test je TVRDÚ: doplnit roli, nebo přepsat allowlist tak, aby byl každý agent pokrytý. `tester`, `implementer` aj ostatní čtenářští subagenti jsou `NON_EXECUTING_AGENTS`, pokud nepotřebují volat `cyberbrain26_*`; `deny` je pro ně správná volba. urNON_EXECUTING_AGENTS i EXECUTION_PATH_AGENTS jsou prázdné — kontrola úplnosti registrace by neověřovala nicr|r} classifieduDagent je současně v NON_EXECUTING_AGENTS i EXECUTION_PATH_AGENTS: uM — role musí být jednoznačná, jinak se pravidlo určuje dvěma způsobyz >assert not (%(py0)s & %(py1)s)rUrV)r}rNrTrLru3agenti bez deklarované role pro `cyberbrain26_*`: z, uT. Zařaď každého do NON_EXECUTING_AGENTS (čtenářský/nekontrolující agent, správná hodnota je 'deny') nebo do EXECUTION_PATH_AGENTS (agent na security plane, musí mít 'ask'). Dokud jsou nezařazení, `test_cyberbrain26_role_appropriate` je pro ně jen nefailující informační výpis a hodnota 'ask' není ničím podložená.rr[)rrUrVrrrrrrrrr?rrrYrXr) r~rcrrrrr[r2rLrrs r(/test_every_agent_is_classified_for_cyberbrain26rd.s( ! "E%(==J 5#4#4 455.4f5544 55+49 555!4!455%'<<D< =D =D3D2C O &)>> ? @AC CDD>DVDD,D+C%DD;D)%DD>DVDD,D+C(=DD;D)(=DDD1D0CDD LZyy :  f%&7&=&A&ABR&S%VVW X Z Z J J9J8I > ))F<( ) * I IJJDJ6JJ2J1IJJAJ JJJ7J6IJJr*> rr rIr rJr rJeditrJrrJr rr rHr rr c|tD]}t|}|jddk7r$|jdftvr9t |}d}||v}|st jd|fd||ft j|dtjvst j|rt j|nddz}t j|jdd zd |iz}tt j|d x}}|d}d }||k(}|st jd |fd||ft j|t j|dz}t j|jddzd|iz} tt j| d x}x}}y )u7Agent s `mode: primary` musí mít `edit: "deny"`, s výjimkou `PRIMARY_TOOL_ALLOW_EXCEPTIONS` (D14 — Orchestrátor má `edit: allow`). Odůvodnění: D6 / invariant 3 — primární agenti jsou vstupní brána (`uživatel → PromptMaster → Orchestrátor`), ne autor změn. Kdyby primární agent editoval soubory, změna by se děla mimo bezpečnostní řetězec (`AuthorizedExecutionService`), tedy mimo Gate 1/2. Výjimka pro Orchestrátora je výslovně schválená rozhodnutím D14 a NEZnamená obecné povolení k editaci. rprrirrr ru: primary agent (mimo výjimku D14) musí mít v `permission` explicitně nastavený `edit: 'deny'` — nikoli děděný z globálu (fail-closed proti tiché dědičnosti)rrNrerrru': primary agent musí mít edit: 'deny'rr)rArTrXrrrYrrrrrrrrLrr) r2rRr rrrrrrrs r(test_primary_agents_cannot_editrps C4  88F y (  IIv "? ?  & 7v~ 7&7%6 7v 7 7.7Y 7 717 7 776 7 7.7Y 7 7&7%6yyk6 6 7 7 7$7#6 7 7F| Cv C|v% C1B1B C|v C C9B C C9B & C C1B1Btyyk@ A C C C/B/B C C C Cr*c Pt}|j}d}||}d}||k(}|stjd|fd||fdt j vstj trtjtndtj|tj|tj|tj|tj|dz}dd|iz}ttj|d x}x}x}x}x}}y ) ur`subagent_depth == 3`. Odůvodnění: invariant 12 (§14.12) — tvrdý invariant hloubky 3; orchestrátor deleguje do tří vrstev subagentů (vrstva 1 → vrstva 2 → vrstva 3). Výchozí hodnota Kilo je 1, ale byla změněna na 3 výslovným rozhodnutím vlastníka (2026-11-03), protože konfigurace je předmět auditu (ROADMAP_V6.md §14.1). subagent_depthrErrr4rrrN) r4rXrrrrrrrrrs r(test_subagent_depth_is_onerss >4>  4.4 . /414 /1 4444 /1444444<444<444>444 444.444 /444144444444r*c  t}|jd}|stjtj ddzddt jvstj|rtj|ndiz}ttj||jd}t|t}|sGtjtj dt|jdzdt jvstjtrtjtndd t jvstj|rtj|nd d t jvstjtrtjtnd tj|d z}ttj|d }||v}|stj d |fd||fdt jvstj|rtj|ndd t jvstj|rtj|nd dz}tjd|dtj ddzd|iz}ttj|d }||}g}t|t} | } | rd} | |v} | } | sddt jvstjtrtjtnddt jvstj|rtj|ndd t jvstjtrtjtnd tj| dz} |j#| | rtj d  fd |ftj| dt jvstj|rtj|nddz}dd|iz}|j#|tj$|diz}tjd|dtj dd zd!|iz}ttj|d x} x}x} x} } |d}d"}||k(}|stj d#|fd$||fd%t jvstj|rtj|nd%tj|d&z}tjd|d'|d(tj d)d*zd+|iz}ttj|d x}}y ),u`default_agent` musí být agentem deklarovaným v mapě `agent` v `.kilo/kilo.jsonc` s `mode: primary` (ne `all`). Odůvodnění: D11 (vstupní bod je PromptMaster, nikoli Orchestrátor) a invariant 3 (§14.3) — jeden primary agent, jediný delegátor. Test neurčuje konkrétní jméno (D11 ho změnil), proto ověřuje invariant: defaultní agent je primární. `mode: all` by při `task: allow` otevřilo delegaci i jiným agentům a obešlo D6. default_agentu: chybí 'default_agent'r|r}rrrrOrrPrNrrrzdefault_agent 'ruJ — efektivní mode se pak řídí jinak a může skýtat tichý přechodrrrpr default_entryrrrrrrruP chybí explicitní 'mode' — efektivní mode se pak řídí jinou konfiguracírrrrrReffective_moderu': efektivní mode=z (z uX), očekáváno 'primary' — 'all' by otevřilo delegaci i jiným agentům a obešlo D6rr)r4rXrrrrLrrrrrrrOrPrMrNrrr)rrurrrrrrrvrrrrrrrrrrwrrrs r(.test_default_agent_is_a_declared_primary_agentrxs .CGGO,M 9'8'8=   679928&99 8 8 99/8y 999%8%899!J j$ '` '`N_N_=   B4 CSC\C\B]^``Y_Y_``G_G_ ``V_V_ ``Y_Y_``G_G_!``V_V_!``Y_Y_``G_G_#'``V_V_#'``V_V_ (```L_L_`` J &>,=,=>=J>>7=v>>%=%= >>4=I >>7=v>>%=%='>>4=I'>>,=,= -(CMDVDVCWX= =>>>*=*=>>}-M-:mT *- *- *v-v/F--&,f--,, --#,9 --&,f--,,$--#,9$--&,f--,,&*--#,9&*--#,9 +--&,f-&, +-,,-v--#,906--&,f--,,:G--#,9:G---&,f-&,-,n--,, -m.@.@-AB, ,---,,---#6*N&J>Y &J8I8IJ>YJJCI6JJ1I1I JJ@I  JJ@I 'JJ8I8I -(;N;MTR_RdRdQefI IJJJ6I6IJJr*r)rJrc tD]\}t|jdxsi}|jDchc] \}}|dk(s |}}}|jt vr| }|st j|jdt|dzddtjvst j|rt j|ndiz}tt j|d}t |j}||s{t jdd zddtjvst j|rt j|ndiz}tt j|d } | |v} | st jd | fd | |ft j| dtjvst j|rt j|ndd z} t j|jddzd| iz} tt j| dx} } ||k(}|st jd|fd||fdtjvst j|rt j|nddtjvst j|rt j|nddz} t j|jdt|dt|dzd| iz}tt j|d}_ycc}}w)u^Delegovat smí POUZE dvojice z `AGENT_DELEGATION_ALLOWLIST`. Odůvodnění: D6 / invariant 3 — žádná paralelní orchestration cesta. Kdyby mohl delegovat kdokoli, existovaly by dva delegátory a dva řetězce; tato kontrola je přesně ta, která to odmítne. Výjimka pro `implementer` (schválena vlastníkem 2026-10-02) je omezená na JEDINÝ cíl `tester` a navázaná na funkci, ne na `mode`. Kdyby někdo přidal `implementer` → jiný cíl, nebo povolil delegaci třetímu agentovi, tato kontrola SELHÁ — nesmí se zjednodušit na `if path.stem in {...}`. rrduX: nesmí delegovat vůbec (D6 — jediný delegátor je orchestrator), nalezené allow: rr}rCNu8orchestrator musí mít alespoň jedno task: allow (D14)r|r^r0rBru<: wildcard '*' je výhradně výjimka D14 pro orchestrátorarrrrallowed_targetsru: smí delegovat POUZE u, nalezené allow: rr)rArYrXrrAGENT_DELEGATION_ALLOWLISTrrr?rrrrrrr)r2rrrrCrrrzrrrrrrrs r(#test_only_orchestrator_may_delegater|s12 &**628b $ =1W !== 996 6: H: H6G6G99+66Gi H H H4G4G H H 4TYY?  " L:K:KJ L LEKV L L3K3K L LBK) L L L8K8K L L  s&     s&  Y    !  Y!    yyk        ( 2 2 1 1 2v 2 2+16 2 211 2 2(1  2 2+16 2 211) 2 2(1 ) 2 2 1 1yyk01H0IJ &v/ 1 2 2 211 2 2%2=s M,M,cttdz jdxsi}|jDcgc] \}}|dk(s |}}}|s{t j ddzddt jvst j|rt j|ndiz}tt j||D]}t|dz }|js t|jd }d }||k(} | st jd | fd ||fd t jvst j|rt j|nd t j|d z} t j |d|ddzd| iz} tt j| dx} }ycc}}w)uKaždý agent z orchestrátorova allowlistu, který už má `.md`, musí mít `mode: subagent`. Odůvodnění: invariant 3 + 12 — primary agent spuštěný jako subagent by obejel hloubku delegace 1 (dostal by vlastní `task` pravidla) a zmnožil by orchestration path. KONTROLA SE VZTAHUJE JEN NA AGENCY, KTEŘÍ ONAČD EXISTUJÍ — viz `test_allowlist_agents_pending_f4`. r@rrdu>orchestrator allowlist je prázdný — test by nic netestovalr|r} allowlistrnrpr rrRru/.md je v orchestrátorovu allowlistu, ale mode=u (musí být 'subagent')rrN)rYr=rXrrrrrrrrrrrTr) rrrr~rrLr2rprrrrs r(0test_allowlisted_agents_that_exist_are_subagentsrs} Y):: ; ? ? G M2D#zz|&7> "&y%&8& "&8 8&&%%& "&8&&%v&& % % &&%I &&%I &&%I"&&%I #&&%I'9&&%% CII GGN # %&&&%%&&&r*ct}dD]}||v}|stjd|fd||fdtjvstj |rtj |nddtjvstj |rtj |nddz}tjd|dzd |iz}ttj|d }g}d }||v}|}|s|d }t|t} | }|stjd|fd ||ftj |dtjvstj |rtj |ndd z} dd| iz} |j| |sddtjvstj trtj tndtj dtjvstj trtj tndtj  dz} |j| tj|diz} tjddzd| iz}ttj|d x}x}x}x}x}} y )uKonfigurace nesmí obsahovat `permissions`, `features` ani top-level `mode` jako řetězec. Odůvodnění: invariant 1 (žádný tichý přechod) — `Config` má `additionalProperties: false`, takže CLI by takovou konfiguraci odmítlo; případné tiché ignorování neznámého klíče by znamenalo, že autor pravidla se mýlí, ale test mlčel. `mode` na top-level je objekt označený `@deprecated` — řetězec tam nepatří. ) permissionsfeaturesr0)z%(py0)s not in %(py2)sbadrruneplatný top-level klíč: rrNrp)z%(py3)s not in %(py5)s)rrz%(py7)sr$z2%(py14)s {%(py14)s = %(py9)s(%(py11)s, %(py12)s) }rOrP)rrrr4ruLtop-level 'mode' jako řetězec je neplatný (schema má objekt @deprecated)r5r6)r4rrrrrrrrrrOrPrr)rrrrrrrrr @py_assert13r @py_format8rr8r9s r(test_no_invalid_top_level_keysrAsp .C*F#~EEEs#EEEEEEsEEEsEEEEEE#EEE#EEEE!=cWEEEEEEEFX6X6 X3v;X ; =X =XXFWFWX6XXNWi XXQWQWXX?W?WXXNWiXXXQWQWXQWXXQWQWXX?W?W!+XXNWi!+XXNWi,7XXQWQWXX?W?W9=XXNWi9=XXNWi!>XXQWQWXQWXIWXXFWFWVXXXDWDWXXXr*c >d}ddi}ddi}t|||}d}||k(}|stjd|fd||fdtjvstj trtj tndtj |tj |tj |tj |tj |dz}dd |iz}ttj|d x}x}x}x}x}}y ) uA(a) Agent má hodnotu → vyhrává agent, globál se nepoužije.r rQrerzC%(py8)s {%(py8)s = %(py0)s(%(py2)s, %(py4)s, %(py6)s) } == %(py11)srbrrrN rbrrrrrrrrrs r(test_resolve_agent_value_winsrVsGVUOGff-=G8FO-= >G%G >% GGGG >%GGGGGG8GGG8GGGFGGGOGGG-=GGG >GGG%GGGGGGGGr*c >d}ddi}ddi}t|||}d}||k(}|stjd|fd||fdtjvstj trtj tndtj |tj |tj |tj |tj |dz}dd |iz}ttj|d x}x}x}x}x}}y ) u7(b) Klíč v agentovi chybí → zdědí se z globálu.rir rerrrbrrrNrrs r(4test_resolve_inherits_from_global_when_agent_missingr[sIVV,Ivv.>I8F,.> ?I6I ?6 IIII ?6IIIIII8III8IIIFIII,III.>III ?III6IIIIIIIIr*c <d}ddi}ddi}t|||}d}||u}|stjd|fd||fdtjvstj trtj tndtj |tj |tj |tj |tj |dz}d d |iz}ttj|dx}x}x}x}x}}y) ut(c) Chybí v obou → `None` = nic není nastaveno (fail), ne výchozí hodnota zachycená tichou dědičností.r rireN)is)zC%(py8)s {%(py8)s = %(py0)s(%(py2)s, %(py4)s, %(py6)s) } is %(py11)srbrrrrrs r(.test_resolve_returns_none_when_missing_in_bothr`sGVV,Gvv.>G8F,.> ?G4G ?4 GGGG ?4GGGGGG8GGG8GGGFGGG,GGG.>GGG ?GGG4GGGGGGGGr*cvtddddiiddi}d}||k(}|stjd|fd||fdtjvstj |rtj |ndtj |dz}d d |iz}ttj|d x}}y ) u(d) `bash` jako dict v agentovi `{...}` s chybějícím `"*"` padá na globál — `"*"` je catch-all a bez něj dict není úplný, takže nesmí přepsat globální deny. Efektivní hodnota je zde globální deny. r gitrQrerrR effectiverzassert %(py5)srNr)rrrrrs r(>test_resolve_agent_bash_dict_without_star_falls_back_to_globalrfsy &5%.!9FF;KLI9 999r*rQrer^)r^r r r r rctt}d|d<t|dd|}|j}|}|st j ddzdt jvst j|rt j|ndt j|t j|dz}tt j|d x}}td|t}|s{t j d d zd d t jvst j|rt j|nd iz}tt j|d|D}t|}|st j |dzdt jvst jtrt jtndt j|t j|dz}tt j|d x}}tj|j!dj#ddd}|dd} d}| |k(} | slt j$d| fd| |ft j| t j|dz}dd|iz} tt j| d x} x} }d}|d}t||t} | sddt jvst jtrt jtndt j|t j|dt jvst jtrt jtndt j| dz} tt j| d x}x}} y ) u&Meta-test: falešný agent s `bash: allow` musí být odmítnut. Odůvodnění: bráníme Gate 0 před tichým průchodem. Kdyby kontrolní logika nedělala nic, všechny ostatní testy by byly zelené bez jakékoli pojistky. `tmp_path` zajišťuje, že se do repa nezapisuje. rdr z fake-allowerr u9meta-test fixtures musí být zapisovány jen do tmp_pathrrxrNu@detekce bash: allow MUSÍ selhat (jinak Gate 0 nic nekontroluje)r|r} violationsc3$K|]}d|v yw)z'allow'Nr8r:rs r(r<z3test_detector_rejects_bash_allow..s2!yA~2. >assert %(py4)s {%(py4)s = %(py0)s(%(py2)s) }anyr,r-rCrDrrWrrrzassert %(py6)srz>assert %(py7)s {%(py7)s = %(py0)s(%(py2)s, %(py4)s, %(py5)s) }rj_GLOBAL_DENY_BASELINE)r}rrrr$)rPrrzrrrrrrrrrrjrrHrIr/rGr)tmp_pathrfrxrrrrrreloadedrrrr%rs r( test_detector_rejects_bash_allowr}sX+,J Jv 8^Z LB ::T:<T<TTTTTTTTT2TTT2TTT:TTT<TTTTTTVZ1FGJ YYYYYYYYY:YYY:YYYYY2z2>32 2> 2>>J>>>>>>3>>>3>>>2>>> 2>>>>>>~~bllGl<BB5!LQOPH L !& )4W4 )W 4444 )W444 )444W4444444Mx 5M;v57L MM MMMMMM;MMM;MMMvMMM5MMMMMM7LMMM7LMMM MMMMMMMr*c tt}|d=t|dd|}|j}|}|sddt j vst j|rt j|ndt j|t j|dz}tt j|dx}}td|t}d|D}t|}|st j|d zd t j vst jtrt jtnd t j|t j|dz}tt j|dx}}d}t||t}d }||k(} | sSt jd | fd ||fdt j vst jtrt jtndt j|dt j vst j|rt j|nddt j vst jtrt jtndt j|t j|dz} dd| iz} tt j| dx}x}x} }t!j"|j%dj'ddd} d} | d}| |v}|st jd|fd| |ft j| t j|dz}t jddzd|iz}tt j|dx} x}}y) uMeta-test: agent s chybějícím `bash` (tichá dědičnost) musí být odmítnut. Odůvodnění: totéž co výše, ale pro druhý způsob selhání — klíč `bash` ve frontmatteru vůbec není, takže by se spoléhalo na dědičnost z globálu. Dva nezávislé zápisy jsou záměr, ale chybějící zápis musí být viditelný už v Gate 0, ne až při auditu. r z fake-silentr zBassert %(py4)s {%(py4)s = %(py2)s {%(py2)s = %(py0)s.is_file }() }rxrNc3$K|]}d|v yw)znot explicitly deniedNr8rs r(r<z5test_detector_rejects_missing_bash..s@&!+@rrrrer)zB%(py6)s {%(py6)s = %(py0)s(%(py2)s, %(py3)s, %(py4)s) } == %(py9)srbrfr)r}rrrrrzassert %(py11)srr,r-rCrDrrWr0)z%(py1)s not in %(py4)sru%fixture musí opravdu postrádat bashrr)rPrrzrrrrrrrrrjrrrbrrHrIr/rG)rrfrxrrrrrrrr!rrrrrs r("test_detector_rejects_missing_bashrsH+,J6 8]J KB :::<<22:<VZ1FGJ@Z@L3@ @L @LL*LLLLLL3LLL3LLL@LLL @LLLLLLH8FJ(= >H&H >& HHHH >&HHHHHH8HHH8HHHFHHHHHHJHHHJHHHHHH(=HHH(=HHH >HHH&HHHHHHH~~bllGl<BB5!LQOPH X,/X6/ /XXX6/XXX6XXX/XXX1XXXXXXXXr*)r rreturnr)r2rrrP)rlist)rrP)r\rr_rPr`rP)r\rrfrPrgrPrr) rvrrLrrprrWrPrr)rWrPrr)rWrPrrrr)R__doc__ __future__rbuiltinsr_pytest.assertion.rewrite assertionrewriterr0pathlibrrrH__file__resolverl REPO_ROOTKILO_DIRrr=rMUST_BE_EXPLICIT_DENYrr)r4rArTrYr[rbrjrzrrrrrrrparamrrrrr parametrizerr rrrr"r'r-r:r>rD frozensetrUrVrrOrardrrprsrxr{r|rrrrrrrrrrrrs0r(rs #  N " " $ , ,Q / w <' w  , U )X,2 5 2*52$  , R 80 KN@:$;G.IQlfll10IT@0'9:l;lD)< r&6!67`8`&R*' Ta.WD"[J$bV! " ""#V\\$8$%)58A\V\\!89 'AB%C%(GDT-JH!*+!$C<5JR: 2F'.R8 & X*H J H     &M N.YyJf 9s ,%H*%H