Jj dZddlmZddlZddlmcmZddl Z ddl m Z ddl Z e e jjddz dz Zd dZdd Zdd Zdd Zdd Zy)uDeterministické kontroly injektáže přes procesy v `src/`. Proč tento soubor existuje: 5. 10. 2026 spustil `agent-audit` (arXiv:2603.22853) a reportoval 4 CRITICAL findings „LangChain Tool Input Not Sanitized“ na `model_layer/ollama_client.py` a `llama_cpp_client.py`. Ty jsou **falešné pozitivy** — v těchto souborech není ani `@tool`, ani `langchain`: grep -nE "@tool|langchain" src/cyberbrain26/model_layer/ollama_client.py # (prázdné) Jeho vlastní pravidlo `AGENT-034` pak u 7 míst s `subprocess.run` tvrdilo „chybí validace vstupu“, což je formálně pravda a prakticky bez dopadu — všechna volání jsou list argv s konstantními flagy. Co z toho plyne: `agent-audit` má jinou hranici než tahle. Jeho nálezy jsou podklad k triage, ne náhrada kontroly. Kontrola, která je tady, je **deterministická a úplná**: kontroluje přesně tu vlastnost, která injektáži umožňuje, místo toho, aby hádala její strukturu. ) annotationsN)Pathsrc cyberbrain26ctjstjtdt tj d}|st jtddzddtjvst j|rt j|ndiz}tt j||S)Nun neexistuje — sada by neprošla ani jednou iterací a test by vypadal jako zelený, aniž by cokoli ověřilz*.pyu1 neobsahuje žádný '*.py' — vakuová kontrola >assert %(py0)spy0files)SRCis_dirpytestfailsortedrglob @pytest_ar_format_assertmsg @py_builtinslocals_should_repr_global_name _safereprAssertionError_format_explanation)r @py_format1s E/home/oem/CyberBrain26-unified/tests/test_process_injection_guards.py_python_sourcesrs ::< e= =  399V$ %E KKSEJKKKKKKK5KKK5KKKKK Lc g}|D]}|jd}t|jdD]T\}}|j|s|j |j t jjd|V|S)uGVrať `soubor:řádek` pro každý výskyt. Prázdný seznam = čisté.zutf-8)encodingr)start:) read_text enumerate splitlinessearchappend relative_tor parent)r patternhitspathtextnumberlines r_linesr/*sDO~~w~/%doo&7qA OLFD~~d# t// 0A0ABC1VHMN OO Krc^tttjd}| }|st j d|ddzddt jvst j|rt j|ndiz}tt j|d}y)u`subprocess` nesmí nikde používat `shell=True`. `shell=True` je jediné, co z proměnné udělá příkaz: bez něj je každý prvek listu předaný jako jeden argv element a metacharaktery v hodnotě nejsou interpretovány. To je vlastnost, která injektázi přes proces umožňuje, a proto se kontroluje přímo místo odhadování tvaru volání. V repozitáři je 14 call-siteů `subprocess` a všechny jsou list argv. Tento test existuje, aby to zůstalo tak. z\bshell\s*=\s*TrueuWsubprocess s shell=True — argumenty se interpretují jako příkaz, ne jako hodnoty: uV. Použij list argv, viz execution_plane/bubblewrap_provider.py pro referenční tvar. >assert not %(py0)sr r*N r/rrecompilerrrrrrrrr* @py_assert1 @py_format2s rtest_no_shell_true_anywherer85s /#RZZ0E%F GD88  6"H H    rc\tttjd}| }|s~t j d|dzddt jvst j|rt j|ndiz}tt j|d}y)u`os.system`, `eval` a `exec` jsou v `src/` zakázané. Všechny tři vykonají řetězec kódem. `eval`/`exec` navíc nejsou v tomto kódu potřeba — deklarativní JSON/YAML se načítá přes `json.loads`. z \bos\.system\(|\beval\(|\bexec\(u)dynamické vykonávání kódu nalezeno: r1r r*Nr2r5s r"test_no_dynamic_process_evaluationr:Hsn  67 D8G8GG@GGGGGGGtGGGtGGGGGGrcLtttjd}|s{t j ddzddt jvst j|rt j|ndiz}tt j|y)uKontrola výše nesmí hlídat nulu. Bez tohoto testu by `test_no_shell_true_anywhere` prošla i v repu, kde by neexistoval ani jeden `subprocess` call — tedy by hlídala vlastnost, která je triviálně pravdivá a proti níž je nic chráněno. Je to V2 z `.kilo/context/LESSONS_AND_DECISIONS.md`: predikát, který zruší tvrzení, takže pak vypadá jako běžící. z\bsubprocess\.uv src/ není žádný subprocess call-site — test_no_shell_true_anywhere by pak hlídala triviálně pravdivou vlastnost. Buď je refaktoroval někdo, nebo je zdrojová cesta jiná; obě je třeba promyslet, ne přehlédnout.r r r*Nr2)r*rs r=test_subprocess_calls_exist_so_the_guard_above_is_not_vacuousr<Us /#RZZ0A%B CD  ]    4r)return list[Path])r r>r)zre.Pattern[str]r=z list[str])r=None)__doc__ __future__rbuiltinsr_pytest.assertion.rewrite assertionrewriterr3pathlibrr__file__resolveparentsr rr/r8r:r<rrrKs](#   8n&&q)E1NB& Hr