j zdZddlmZddlZddlZddlZddlZddlmZm Z dZ dZ dZ dZ ehd Zd Zehd Zd Zd ZdZdZdZdZdZdZej4dZdZdZdBdZedGddZdddCdZ dDdZ!dd d!d" dEd#Z"dd$dFd%Z#eddd& dGd'Z$edd(dHd)Z%dHd*Z&dIdHd,Z'dJd-Z(dKd.Z)dLd/Z*dMd0Z+dNd1Z,dOd2Z-efdHd3Z.dPdQd4Z/dRd5Z0dSd6Z1dTd7Z2dUd8Z3Gd9d:e4Z5dVd;Z6dWd<Z7dddddd= dXd>Z8d+dd!de dddddddd? dYd@Z9gdAZ:y)ZaEKaefig-Profile fuer iso_exec.py. Zwei Profile: text (Default): Codex mit read-only-Sandbox; nur ephemere Arbeits-/CODEX_HOME-Baeume, kein Zugriff auf /home/aria, Netz nur TCP:443. Minimaler Baum (Codex ist statisch). tools ("B+", Owner-Entscheidung 24.10.): Codex mit abgeschalteter innerer Sandbox, darf GANZ /home/aria LESEN AUSSER Zugangsdaten, System (/usr,/etc) lesen+ ausfuehren, aber `claude` NIE ausfuehren/lesen; Netz TCP/UDP frei; AF_UNIX gesperrt. SCHREIBEN (E44 Option 2, Kais TG 12923, 25.10.2026): nur in den ephemeren Lauf- Verzeichnissen (Workspace, Lauf-Home, CODEX_HOME, TMPDIR; plus /dev/null und - nur mit codex_auth_writable - die auth-KOPIE) und in ausdruecklich konfigurierten Projektordnern (codex.tools_write_allowlist, Default leer, validate_write_allowlist). Damit kann Codex keine Datei mehr anlegen/aendern, die spaeter ein ungekaefigter Prozess ausfuehrt, ausser in einem bewusst freigegebenen Ordner. Landlock-Semantik (empirisch verifiziert, scratchpad/lane-codex): Rechte sind die UNION aller Regeln auf dem Pfad UND seinen Vorfahren. Eine spezifischere Regel kann Rechte nur ADDIEREN, nie entziehen. Daher wird jede Sperre (Secrets, claude, read-only-auth) per DESCENT gebaut: der verbotene Pfad bekommt KEINE Regel und KEINEN Rechte-gewaehrenden Vorfahren. M1 (auth read-only): das eine erlaubte Credential wird als KOPIE in ein read-only authdir gelegt (file_ro), NICHT als Symlink auf ~/.codex (Review M1: Symlink loeste auf das echte Inode mit RW auf). Im ephemeren CODEX_HOME liegt auth.json als Verweis (Symlink) auf die read-only-Kopie. Das echte ~/.codex ist NIE in der Allowlist. codex_auth_writable (Default False) macht nur die KOPIE schreibbar (wird mit dem Lauf verworfen); das echte Login kann der Kaefig in keinem Modus zerstoeren. ) annotationsN) dataclassfield)z/etc/ssl)z/etc/resolv.confz /etc/hostsz/etc/localtimez /dev/urandom)z/etc)z/usrz/home/aria/.localz/home/aria/.nvmz/home/aria/.bun>.npm.venv.cache.cargo.rustup .pnpm-store dist-packages site-packagesvenvtarget __pycache__ node_modules.bun.git.nvm)z.pemz.keyz.p12z.pfxz .keystorez.jksz.ovpnz.kdbx> .netrc.npmrc.my.cnf.pgpass.pypirc .zsh_history .bash_history.python_history.git-credentials)z.sshz.claudez.codexz .config/ghz.config/rclonez.gnupgz.awsz.kube)z .aria-chat.dbrz.docker/config.jsonz.cargo/credentialsz.cargo/credentials.tomlz .claude.json).bashrc.profile .bash_profile .bash_loginz .bash_logout.zshrc)z CLAUDE.mdz AGENTS.md)z.configscriptsz.localrrz .cargo/binbrainstate)z .cargo/env)rrr r!r"z=(?:^|[;&|{}()\s])\\?(?:\.|source)\s+(["\']?)([^"\';&|)\s]+)\1)z .gitconfigcg}|D]r}tjj|}tjj|sBtjj |rb|j |t|SN)ospathrealpathexistsislinkappend)pathsoutprps ?/home/aria/aria-v3-dev/python/aria_router/isolation/profiles.py_real_existingr4ls[ C  WW  a  77>>" bggnnR&8 JJrN Jc||j}tjj|\}}|dk(s"|j ds|j dryd|vry|t vry|j ds|j ds|dk(ry|tvry|j dr|j dsyy ) Nz.envT credentialz-secretsz.secretssecretsid_z.pubF)lowerr)r*splitextendswith startswith SECRET_EXT SECRET_NAMES)namelow_exts r3_is_secret_namerDus **,C WW  c "FAs v~f-1Hs j ||J3<< #;si?O | ~~eS\\&%9 r5T)frozencreZdZUdZded<ded<ded<ded<ded<ded<ed d Zed d Zy ) RunDirsz;Ephemere Pfade eines einzelnen Laufs (vom Runner angelegt).strroot workspacehome codex_homeauthdirtmpcVtjj|jdSNz auth.json)r)r*joinrMselfs r3 auth_copyzRunDirs.auth_copysww||DLL+66r5cVtjj|jdSrP)r)r*rQrLrRs r3codex_home_auth_linkzRunDirs.codex_home_auth_linksww||DOO[99r5N)returnrH)__name__ __module__ __qualname____doc____annotations__propertyrTrVr&r5r3rGrGsIE IN IO L H 77::r5rG home_overridecX|xs |jdd|j|jddS)N /usr/bin:/binzC.UTF-81)HOMEPATHLANGTMPDIR CODEX_HOMENO_COLOR)rKrNrL)dirsr_s r3base_envrjs/*((oo  r5cB|rg|jgfS|jggfS)zGibt (file_ro, file_rw) fuer die auth-KOPIE zurueck. authdir hat sonst KEINE Regel (kein rw-Vorfahr) -> Kopie ist im Default read-only.)rT)ri writable_auths r3 _auth_rulesrms+DNN### NN R r5F)i)rl tcp_portsmin_abic t||\}}tjj|}||j|gt t tt t t|zt d|z|j|j|j|jgt |t|t|d S)Nz /dev/null) rpcwdfile_xrofile_rofile_rwrw tcp_connectenvrlimits)rmr)r*r+rJlistr4SYSTEM_RO_DIRSSYSTEM_RO_FILESrKrLrNrjdict)ri codex_binr{rlrorprvrws r3 text_profilers"47GW  +I~~+>.12787B!.1G;~~tyy$//488DI~=  r5)follow_symlinksc# Ktjj|}||vs>tjj|rtjj |ry|g}|r]|j t fd|D}|s df0 ttj }|D]}tjj | |vr)tjj r|sK tjj xr tjj  }tjj xr tjj  }|r-t fd|Dr|j  df|s df |r\yy#t$rYmwxYw#t$rY,wxYww)zLiefert (abspath, is_dir) fuer Baeume/Dateien, die ganz freigegeben werden koennen, ohne einen blockierten Pfad einzuschliessen. Blockierte Pfade (und ihre Teilbaeume) bekommen KEINE Regel. Symlinks werden uebersprungen (N4 / kein Tree-Ausbruch).Nc3pK|]-}|k7xr"|jtjz/ywr(r=r)sep).0bds r3 z_descend..s.JQQ!V8 QZ 88J36Tc3pK|]-}|k(xs"|jtjz/ywr(r)rrcps r3rz_descend..s.MqBw;!,,rBFF{";;MrF) r)r*abspathisdirr-popanysortedlistdirOSErrorrQisfiler.) rIblockedrstackinsidenamesr@is_diris_filerrs @@r3_descendrs 77??4 D wbggmmD1RWW^^D5I FE  IIKJ'JJd)O  2::a=)E "Da&BW}ww~~b!/ r*E277>>"3E/E''..,GRWW^^B5G1GMWMMLL$t*$5k!# "      s\BG+G 9A G+BG 1G+< G+ G+ GG+GG+ G($G+'G((G+ prune_namesextra_prune_pathswant_gitc"tjj|}|Dchc]!}tjj|#}}tt}}tj|ddD]\}} } |rd| vrtjj |d} tjj | dtjj | d} } tjj | r0tjj| s|j| tjj| r0tjj| s|j| | Dcgc]*}||vr$tjj |||vr|,c}| dd| D]=}t|s|jtjj ||?||fScc}wcc}w)aEIN Durchlauf ueber home_root. Liefert (secret_files, git_protect): secret_files : Pfade nach Namensmuster verdaechtiger Dateien (NIE Inhalt). git_protect : /.git/hooks-Verzeichnisse und /.git/config-Dateien (Startschutz H1). node_modules/.git/.cache/.cargo... werden fuer den Secret-Scan ausgelassen (haelt die Allowlist klein); .git wird aber VOR dem Prunen fuer git_protect ausgewertet.TF)topdown followlinksrhooksconfigN) r)r*rsetwalkrQrr-addrrD) home_rootrrrr1 prune_pathssecretgitdirpathdirnames filenamesgrcfgrfns r3scan_home_profilers *I/@A!277??1%AKA%CF(* 4UZ([ 6$9 (* Wf-Aa1277<<83L3Eww}}U#BGGNN5,Aww~~c"277>>#+> "*`Q;.277<<3KS^3^`  6Br" 277<<45 6 6 3;B`s &H /H )rrc&t|||ddS)zTRueckwaertskompatible Schnittstelle: nur die Secret-Pfade (siehe scan_home_profile).Frr)r)rrrs r3scan_secret_filesrs# YK/@5 RRS UUr5ctjj|}t}tt zD]}tjjtjj ||}|j|tjj|sq|jtjj||S)zHART gesperrte Credential-Pfade. Fuer Symlinks wird ZUSAETZLICH das realpath-Ziel gesperrt, damit ein Symlink (z. B. ~/.ssh -> ~/keystore) nicht am Ziel vorbei Zugriff gewaehrt (Review #5).) r)r*rrHARD_CREDENTIAL_DIRSHARD_CREDENTIAL_FILESrQrlexistsr+)rr0relr1s r3hard_credential_blocklistrs *I %C#&;;) GGOOBGGLLC8 9  77??1  GGBGG$$Q' ( ) Jr5 /home/ariacftjj|}dtjj|dtjj|dtjj|dddg}t }|D]}tjj |s#|j tjj|tjj|}tjj |s|j ||S)zPfade, die im tools-Profil WEDER lesbar NOCH ausfuehrbar sein duerfen: der produktive claude (ein Start toetet das Telegram-Plugin). Alle Varianten + realpath-Ziele.z#/usr/lib/node_modules/@anthropic-aiz.local/share/claudez.local/state/claudez.local/bin/claudez/usr/bin/claudez /bin/claude)r)r*rrQrrrr+)rcandrr1r2s r3claude_blocklistrs *I-  Y 56  Y 56  Y 34=  DeG   77??1  KK* +!!!$Bwwr" B  Nr5cdgg}}t||D]\}}|r|n|j|||fS)zAbstieg ueber root ohne die gesperrten Pfade: (ganz freigebbare Teilbaeume, Einzeldateien). Welches Recht die Eintraege bekommen (ro oder rw), entscheidet der Aufrufer.)rr.)rIr tree_dirs tree_filesr*rs r3 build_treer*sDzI w/; f*44T:; j  r5ct||S)zHistorischer Name: bis E44 wurde damit das ganze Home rw gewaehrt. Seit Option 2 nutzt tools_profile build_tree fuer den LESE-Baum des Homes und je Allowlist-Ordner fuer dessen rw-Baum; der Helfer bleibt als reiner Abstieg erhalten (Descent-Test).)r)rrs r3 build_home_rwr3s i ))r5cgg}}|D]K}tjj|s#t||D]\}}|r|n|j |M||fSr()r)r*rrr.) exec_rootsrrx_dirsx_filesrIr*rs r3 build_exec_rxr:sf2WG:ww}}T" $T73 :LD&WG 3 3D 9 :: G r5ctt}}|Dcgc]"}tjj||$c}t |z}|D]}tjj |s#tjj |}tjj|sbtjj|r|n|j|||fScc}w)uLoest read-only-Ziele auf realpaths auf (N4: keine Symlinks in der Konfig). Liefert (ro_dir_targets, ro_file_target_paths) — jeweils existierende, symlink-freie realpaths.) rr)r*rQr|rr+r,rr) rrelsabsesro_dirsro_filesrrr1r2s r3_resolve_ro_targetsrDssuXG04 51BGGLLA & 5U CD =wwq!  WW  a ww~~b! GGMM"%888< = H  6s'C+cftjj|}t} tj|}|D]}|j d}|s |tvrtjj||}tjj|stjj|s~|r t|rtjj||vr|jtjj||S#t $r|cYSwxYw)aRe-Review 2, 1a: ALLE regulaeren Top-Level-Dotfiles (Name beginnt mit '.') plus die Anweisungsdateien CLAUDE.md/AGENTS.md als read-only. Ausgenommen: Secrets (bleiben HART gesperrt, nicht nur ro -> sonst waeren sie lesbar) und bereits hart gesperrte Pfade (.claude.json/.aria-chat.db). Symlinks werden uebersprungen (N4). Nicht existierende Namen (z. B. latentes .bash_aliases) koennen gar nicht neu angelegt werden, weil home_root selbst keine rw-/MAKE_REG-Regel erhaelt (siehe tools_profile)..) r)r*rrrrr=STARTUP_RO_TOPLEVELrQr-rrDr)r hard_blockr0rr@is_dotr1s r3top_level_startup_filesrSs  *I %C 9% $%$&99  GGLLD ) 77>>! BGGNN1$5  od+  77??1  +  "# $ J  sD"" D0/D0cP|jjdjdj}|sy|dk(s |dk(s|dk(r|SdD]A}|j|stjj ||t |dcS|jdrJtjj |}||k(s"|j|tjzr|SdSd |vs|jdrytjj ||S) zLoest ~/$HOME/absolute/relative Shell-Tokens auf home_root auf. KEINE Shell-Auswertung: unaufloesbare Variablen ($NVM_DIR o. ae.) -> None (uebersprungen, robust)."'N~z$HOMEz${HOME})z~/z$HOME/z${HOME}//$)stripr=r)r*rQlenrr)rawrprefaps r3_resolve_home_tokenrns ))+  C & &s + 1 1 3C  czSG^si'7,< >>$ 77<< 3s4yz?; ;< ~~c WW__S !9_ i"&&6H(IrStS czS^^C( 77<< 3 ''r5ctjj|}t}|D]}tjj ||}tjj |stjj |sc t|ddd5}|j}dddjD]}|jjdr#tj|D]}t|j!d|} | tjj | r@tjj| } | |k(s#| j|tj"zstjj | s|j%| |S#1swYxYw#t$rYwxYw)z1d: parst `.`/`source ` aus den Shell-Startdateien, loest ~/$HOME auf, liefert existierende, symlink-freie, absolute Datei-Ziele unter home_root. Einfach und robust, kein eval.rutf-8replaceencodingerrorsN#)r)r*rrrQr-ropenreadr splitlineslstripr= _SOURCE_REfinditerrgrouprr) r startup_filesr0rsffhtextlinemtgtrs r3parse_sourced_pathsrsk *I %C  WW\\)S ) 77>>" RWW^^B%7  b# B !bwwy !OO% D{{}'',((. )!''!*i@;"''.."5WW__S))Or}}Y5G'Hbggnn]_N`GGBK    & J ! !   s*GG0GG G GGc> tjddgd|dddi}|j d k7rgd fS|jjd d jd fS#ttjf$r$}gdt |j fcYd }~Sd }~wwxYw) a#`crontab -l` des aufrufenden Users AUSSERHALB des Kaefigs. Liefert (zeilen, warnung_oder_None). 'no crontab for ...' (rc!=0) ist KEINE Warnung (leeres Ergebnis); ein echter Fehler (Timeout/ENOENT) ergibt leere Menge + Warnung (Owner-Vorgabe: NICHT fail-closed, aber sichtbar machen).z/usr/bin/crontabz-lTFrdra)capture_outputtimeoutcheckrzzcrontab_read_failed:Nrrr) subprocessrunrTimeoutExpiredtyperX returncodestdoutdecoder)rr1excs r3read_user_crontabrs? NN.5dT[!&V_,E G ||q4x 88??7I . 9 9 ;T AA Z.. /?)$s)*<*<)=>>>?sAB8BBBctjj|}g}|!t\}}|r|j |n t |}t t }}tjtj|dz}|D]>}|j} | r| jdr(|j|D]} | jdjd} | rtjj| rFtjj| } | |k(s'| |k(s#| j|tj zstjj#| } tjj%| stjj'| r|n|j)| A|||fS)a1e: extrahiert absolute Pfade unter home_root aus den Crontab-Befehlszeilen und klassifiziert sie nach Existenz (Verzeichnis -> ro-dir, u. a. `cd `; Datei -> ro-file). cron_targets injizierbar (Tests); None -> echtes `crontab -l`. Liefert (ro_dirs, ro_files, warnings).z(?:/[^\s;:"\'`|&><)]*)?rrr)r)r*rrr.r|rrecompileescaperr=rrrstripr-rr+r,rr)r cron_targetswarningslineswarnrrtoken_rersrrrr2s r3resolve_cron_targetsrst *IH') t  OOD !\"suXGzz"))I.1KKLHA JJLALL% ""4( AA''!*##C(C"''..-%BYrY"-- TVTZTZHZ:[!!"%B77>>"% b)Wx < '), sonst None (kein Worktree, Hauptcheckout mit .git-Verzeichnis, Symlink, oder Fehler).rNrrrrzgitdir:) r)r*rQr-rrreadlinerrr=r+r)r*gfrrs r3_worktree_gitdirrs dF #B 77>>" RWW^^B%7 "cGI > )";;=&&(D ) y!wwS^_ 5 ; ; =>>   ) ) s/>C.!C.0C"C."C+'C.. C:9C:ctjj|d}tjj|r\tjj |s=tjj tjj|dSt |}|rCtjj|}tjj|dk(r|Sy)z/.git/worktrees als realpath - egal ob repo_root der Hauptcheckout (.git-Verzeichnis) oder selbst ein Worktree (.git-Datei zeigt auf .../.git/worktrees/) ist.r worktreesN) r)r*rQrr-r+rdirnamebasename) repo_rootrgdparents r3_worktrees_containerrs  Y'A ww}}Qq 1ww Q <== ) $B $ 77  F #{ 2M r5c&tjj|}|s tSt |}tjj|}d}|rtjj tjj |}tjj |}d|vr|jdddn|}t|dk\rM|}nJttjj |dk\rtjj |}t} tj|} | D]/} tjj|| } tjj| rtjj| rctjj| |k(rt| } t| xr6t|xr)| |k(xs"| j!|tj"z} t|xr| |k(xs| j!|dz}| s|s|j%tjj| 2|S#t$r|cYSwxYw)as1g (+ Re-Review-2-Erweiterung): Geschwister-Repos direkt unter home_root wie repo_root hart sperren. Zwei Erkennungswege: (a) echte Git-Worktrees: `.git` ist eine DATEI, die auf /.git/worktrees/ zeigt. (b) Namens-Stamm des Hauptrepos: Geschwister ohne .git (z. B. manuelle Kopie aria-v3-shadow-test) teilen den Stamm des Hauptrepo-Namens (aria-v3-dev -> Stamm 'aria-v3'); alle home-Kinder 'aria-v3-*' sind Repo-Kopien/-Zustaende und werden gesperrt. Heuristik bewusst konservativ (Stamm >= 3 Zeichen), dokumentiert in docs/SICHERHEIT.md. repo_root selbst ist self_block.N-r)r)r*rrrrrrsplitrrrrQrr-rboolr=rr)rr container repo_root_absstem main_repobaserr0rr@rr is_worktree is_familys r3sibling_worktreesr-s *I u $Y/IGGOOI.M DGGOOBGGOOI$>? ww *),t{{3"1%$ t9>D RWW  m , - 2ww . %C 9% ( GGLLD )ww}}Q277>>!#4  77??1  .  a 2hm4 ?mi8l2==YbegekekYkKl JPDDL$ODOOD3J4O ) GGBGGOOA& ' ( J  s6J JJceZdZdZy)WriteAllowlistErrorzUnzulaessiger Eintrag in codex.tools_write_allowlist. Immer fail-closed: kein Lauf, keine stille Korrektur (ein still wirkungsloser oder zu weiter Eintrag waere schlimmer als ein Fehler).N)rXrYrZr[r&r5r3r/r/sir5r/cT||k(xs"|j|tjzSr(r)r*rIs r3_inside_or_equalr1s" 4< 94??4"&&=99r5c*t}|D]}|stjj|}|j |tjj |sV|j tjj ||Sr()rr)r*rrrr+)r/r0r1rs r3_with_realpathsr3 sm %C *  WW__Q   77??2  GGBGG$$R( ) * Jr5) state_dirr runs_rootr read_onlyc tjjt|tt fst|t tfs td|syttzt||fztfdtDzt|z|Dchc]!}tjj|#c}z}|Dchc]!}tjj|#} }t|f} g} |D]i} t| tr| rd| vr tdtjj| st| dtjj| | k7rt| d| k(rt| d| j!tj"zst| d t%d tjj'| j)tj"Drt| d  tj*| } t3j4| j6rt| dt3j8| j6st| dtjj;| | k7rt| dt=|D]}t?| |st| d|t=| D]}t?| |st| d|t=| D]+}t?| |s t?|| st| d|d| | vsY| jA| lt| Scc}wcc}w#t,$r*}t| d t/|j0d |d}~wwxYw)aE44 Option 2: prueft die ausdruecklich freigegebenen Schreib-Ordner des tools-Profils und liefert sie (ohne Duplikate, Reihenfolge erhalten) zurueck. Jede Verletzung -> WriteAllowlistError. Ein Eintrag muss sein: str, absolut, kanonisch (normpath-gleich: kein '..', '.', '//' oder abschliessender '/'), ECHT unterhalb von home_root (nie home_root selbst, nichts ausserhalb, weil das tools-Profil ausserhalb des Homes keinen Lesezugriff gewaehrt), ohne versteckte Komponente ('.ssh', '.config', '.cache', '.git', '.venv' ... sind Zugangsdaten/Konfiguration/Caches/Hooks, keine Projektordner), existierendes Verzeichnis, weder selbst Symlink noch mit Symlink im Pfad (realpath-gleich). Er darf weder gleich noch unterhalb eines gesperrten Bereichs liegen: harte Credential-Sperren (inkl. Symlink-Ziele), claude, state_dir, laufendes Repo und Geschwister (aria-v3-*), die Startschutz-Verzeichnisse (STARTUP_RO_DIRS: scripts, brain, state, ...), sowie die beim Profilbau ermittelten `blocked`/`read_only`-Mengen (Secrets, Lauf-Root, Cron-Ziele, Hooks). Eine rw-Regel auf einem Unterordner eines gesperrten Bereichs wuerde ihn per Landlock-Union wieder oeffnen - darum ist "darunter" verboten; ein Eintrag OBERHALB gesperrter Pfade ist erlaubt (der Abstieg in tools_profile schneidet sie heraus). runs_root (codex.workspace_root): weder gleich noch darin noch darueber - sonst waeren die Lauf-Verzeichnisse paralleler Laeufe schreibbar.z)list of absolute directory paths expectedr&c3^K|]$}tjj|&ywr()r)r*rQ)rrrs r3rz+validate_write_allowlist..Fs "[C277<< 3#?"[s*-znon-empty path strings expectedz: absolute path expectedz>: canonical path expected (no '..', '.', '//' or trailing '/')z$: home_root itself is never writablez: must lie below home_root c3>K|]}|jdyw)rN)r=)rparts r3rz+validate_write_allowlist..Ws^ts#^szX: hidden path component rejected (credentials/config/caches/.git are no project folders)z: does not exist ()Nz: symlink rejectedz: directory expectedz: path contains a symlinkz: inside blocked area z": inside read-only protected area z: overlaps the run container z (codex.workspace_root))!r)r*r isinstancerHbytesr|tupler/rrr3STARTUP_RO_DIRSr-isabsnormpathr=rrrelpathsplitlstatrrrXstatS_ISLNKst_modeS_ISDIRr+rr1r.)entriesrr4rr5rr6r1 protected ro_protectedrunsr0rstrs ` r3validate_write_allowlistrO,s& *I'C<( 7T5M0R!"MNN *958H8SS"Iy#9:;""[?"[[\%Y :;1881BGGOOA&8 9I 1::1BGGOOA&:L: I< (DC"#s#3&C-%&GH Hww}}S!%-E&FG G 77  C C '%-k&lm m ) %-Q&RS S~~i"&&01%-H &TU U ^Y0O0U0UVXV\V\0]^ ^%.`'`a a `#B << #%-?&@A A||BJJ'%-A&BC C 77  C C '%-F&GH H " MAQ')SE1Gs*KLL M % YAQ')SE1STUSV*WXX Y kAQ'+;As+C)SE1NqcQh*ijj k c> JJsOE"F :O9:& `%-?S @R@R?SST&UV\_ _ `s$)&N&N 3N O%OO) rrlrp secret_filesrr4rprotect_startup startup_gitr write_allowlistr5ctjj|}tjj|}t |}t |}|| 0t ||jg| \}}||}| | r|n t} g}t}|| fD]}|stjj||k7s)|jtjj|tjj|sw|jtjj|| r|t|| z}t||zt|z|ztjj|jhz}t|td\}}| rt|tt zt"zt$zt&\}}||z}||z}|t)||z}|t+|z}t-|| \}}}||z}||z}||z }| D]q}tjj/|r#tjj1|r|n|jtjj|s||z}t3||\} }!t5| ||| |||}"gg}$}#|"D]'}%t3|%t||z\}&}'|#|&z }#|$|'z }$)gg})}(t7|D]+}*t9|*|D]\}+},|,r|(n|)j;|+-t7|t|)z}-t=||\}.}/t?||\}0}1||j@tCtEtFt7t| t|(zz|.|/|gzt7|tCtEtH|0zt7t|!t|-zztEd|1zt7t|$zt7t|#|j@|jJ|jL|jNhztQ||tS||d }2|2S)aB+-Profil. secret_files/startup_git koennen fuer Tests injiziert werden; sonst wird gescannt. state_dir/repo_root: Gateway-Zustand (Budget/Nonces/Schluessel) und das laufende V3-Repo werden komplett gesperrt (Selbstmodifikation/Abrechnungs-Umgehung, Review #6). Die ephemeren Lauf- Verzeichnisse liegen zwar unter state_dir, werden aber per expliziter rw-Regel wieder gewaehrt. protect_startup (Owner TG 12861, Default an): Startdateien/Hooks/Brain read-only (Review H1). write_allowlist (E44 Option 2, Default leer): die EINZIGEN Home-Ordner mit Schreibrecht. Das Home ist sonst nur lesbar; geschrieben wird nur in den ephemeren Lauf-Verzeichnissen (Workspace, Lauf-Home, CODEX_HOME, TMPDIR), /dev/null und - mit writable_auth - der auth-KOPIE. Jeder Eintrag wird HIER erneut gegen die beim Profilbau ermittelten Sperren geprueft (validate_write_allowlist, Fehler -> WriteAllowlistError); gesperrte/ro-Pfade darunter werden aus seinem rw-Baum geschnitten. runs_root: Container der Lauf-Verzeichnisse (codex.workspace_root); kein Allowlist-Eintrag darf ihn ueberlappen (vom CagedCodexRunner gesetzt).)rrr&)rr4rr5rr6rrr^) rprsrurxrtno_xrvrwrxrzr{r)*r)r*rr+rrrrIrrrr- frozensetr GITCONFIG_ROSTARTUP_RO_FILESr@STARTUP_RO_FILESETrSTARTUP_RO_ABSrrrr-rrrOrrr.rrmrJr|r4TOOLS_SYSTEM_RO_DIRSr~rKrLrNrjr)3rirr{rrlrprPrr4rrQrRr rSr5claudehardscanned_secret scanned_gitr self_blockr1rro_dir_targetsro_file_targetsrfcron_dcron_f cron_warnrro_block home_ro_dirs home_ro_filesallowrw_dirsrw_filesentry entry_dirs entry_filesrro_files_from_dirsrIr*r ro_file_listrrrvrwrs3 r3 tools_profilersrsD( *I  +I i (F $Y /D{2&7 VZV_V_U`AP'R#  )L  )8+ceKHJ #4 #y0 NN277??1- .wwq!rww//23 4 ' 9== 6D=3|+<.PSe.e%8/9:HJ1!129jII.y99$8L$Q! & 6!I ^Aww~~a !ww}}Q/^_ I I"''//Z[J\ ] ^/H #-Y "CL- %_ U^/8I-78 MEBXG ",UIj8>S4T"U K:K #%b G~&E$T:6 ELD&W$6 > >t D EE/C0B,CCDL%Z<GW"47GW~~>"6786#lBSVYZaVbBb;ccYK'v89GCS/#l2CCDE".1G;fS]>SS S\T^^TYYQUQYQY$ZZ[I6=+ C0 Jr5)rGrrsrjrrrrrrrrrrrr-r/rOr}r~TOOLS_EXEC_ROOTS)r@rHrWr%)rirGr_ str | NonerWr)rirGrlr%rWtuple[list, list]) rirGrrHr{rrlr%rpintrWr)rIrHrrWrr%)rrHrr%rWtuple[set, set])rrHrWr)r)rIrHrrWrWrv)rrHrrWrWrv)rrWrWrv)rrHrWrx)rrHrrWrWr)rrHrrHrWru)g@)rfloatrWztuple[list, str | None])rrHr  list | NonerWztuple[set, set, list])r*rHrWru)rrHrWru)rrHrrurWr)r*rHrIrHrWr%)rWr) rrHr4rurrur5rurWztuple[str, ...])rirGrrHr{rrrHrlr%rprwrP set | Noner4rurrurQr%rRr{r rzr5rurWr);r[ __future__rr)r rFr dataclassesrrr}r~r\rtrWPRUNE_DIR_NAMESr>r?rrrYrr@rZr[STARTUP_PARSE_FILESr rrXr4rDrGrjrmrrrrrrrrrrrrrrrrrr- ValueErrorr/r1r3rOrs__all__r&r5r3rs~4# (V VU  e0c$W RZZX Y  $ $:::$<@ (-q $ILUY*HM#"L6EXZ'+ $0?46EXZU *!* 6(&7J6 B'@  *^i*i : RV59SW%'2C(2CFPC:ICLUa(-a-1>N*.*.$.2B*. A!%A8;A *A(AH A !, A ( A 48 AH r5