# Changelog ## 1.36.18 — 2026-07-14 — UR-0052: handoff --compact 단일경로 + ID 5자리+ 대응 (P2-6 주석 마스킹은 조사 후 이연) 1.36.17에서 백로그로 이연했던 UR-0052 3건 중 2건(P3-8·P1-2)을 재현·수정. P2-6(주석 마스킹)은 codex 7라운드 적대 재검 끝에 **파서 없이 안전 구현 불가**로 판단해 이연(하단 상세). 각 수정은 파일 스크립트 프로브 + selftest 케이스로 실증(맹신 X). - **P3-8 handoff `--compact` 단일 워크스페이스 무효**: `--compact`가 멀티(`_handoffWorkspace`)에만 있어 단일 `handoff . --compact`는 섹션 몇 개만 억제하고 본문 186줄 전량 출력 → 문서상 "~500자 요약"과 불일치. MCP handoff·REPL preview·agent-mode 등 내부 호출자 3곳이 단일 경로에 `--compact`를 써 preview 첫 3줄이 헤더/날짜/이름으로 무의미했음(재현: 186줄). → 단일 `handoff()`에 compact 단축 추가(subprocess 없이 파일 로더만으로 프로젝트/진척/메모리요약/다음액션/미답요청 3줄 압축, `_lineSafe`로 projectName 개행 주입 차단). 실측 186→3줄, `--json`은 여전히 full, preview 유의미화. - **P1-2 ID 리더 5자리+ 대응**: T-/M-/D-/R-/F- ID를 `\d{4}`(정확히 4자리)로 읽어, 10,000번째 ID(T-10000)부터 앞 4자리("1000")만 잡아 truncation/충돌(예: T-10000 뒤 `task add`가 T-1001 재발급)(재현확정). → letter-prefix ID의 `\d{4}`를 `\d{4,}`로 확장(bin 28·pure-utils 2·lib 9 = `feature.js`/`audit.js`/`health.js`/`session-close.js` 포함 — codex가 이 lib 누락을 지적). 판별자 `(?!-)`로 날짜 연도(`\d{4}-`)는 exactly-4 보존(불변 assert). `\d{4,}`는 4자리 ID도 매치해 무회귀. 실측: T-10000 뒤 add→**T-10001**, `feature show F-10000` 수용, 밀스톤 M-10000 카운트, 날짜 정상. - **P2-6 이연(조사 완료, 미채택)**: `contract verify`가 raw 소스를 훑어 주석처리된 `// module.exports = { fn }`을 실 구현으로 카운트하는 FN은 실재한다. 그러나 이를 고치려면 스캔 전 "주석만" 지워야 하고, JS에서 주석 경계를 정확히 찾으려면 정규식-리터럴/나눗셈/문자열/템플릿 보간(임의 코드)을 모두 렉싱해야 한다. 의존성 0(파서 금지) 제약 하에 손수 만든 마스커 3종(주석+문자열+정규식 마스킹 → 주석+문자열만 원문보존 → 줄머리 주석만)을 codex가 **7라운드 연속** 유효 JS에서 깨뜨렸다 — 특히 실코드를 지우는 **거짓 FAIL**(정당 계약을 CI에서 차단): `if(x) /[/*]/`의 `/*`를 유령 블록주석으로, `${/[}]/.test(x)?`\n/* ${f.field} */\n`:''}`의 정규식 `}`를 보간 종료로 오계수해 중첩 템플릿의 실 필드를 삭제 등. CI 게이트에서 거짓 FAIL(정당 계약 차단) > 거짓 PASS(주석 export 카운트)이므로, **니치한 FN을 위해 현실적 거짓 FAIL 위험을 들이는 것은 순손해**로 판단하고 미채택. 근본 해법은 실 JS 파서(제약 위반)라 이연. contract verify는 기존 raw-소스 동작 유지(무회귀). - **검증**: selftest 288/288(P1-2 케이스에 lib 확장 가드 포함; P2-6 케이스는 revert로 제거), P3-8/P1-2 파일 스크립트 프로브 + CLI E2E 실증, 게이트 e2e 386/386, 게시본 클린룸 재실증. ## 1.36.17 — 2026-07-14 — 렌즈-외 표면 버그헌트: 데이터손실 2 + gate FN + 아카이브 주입 + --json 에러경로 (codex, 재현확정) 게시본 1.36.16 대상, database 렌즈를 제외한 CLI 표면을 codex로 광범위 적대 헌트 → 8건 중 6건 수정(고영향 재현확정), 2건 백로그(UR-0052). - **P1 데이터손실 — `memory restore` (decisions/lessons)**: 복원이 MD 프로젝션에만 append 하고 canonical JSON을 안 고쳐, `list`엔 안 보이고 다음 add/save가 JSON→MD 재생성으로 복원분을 영구 삭제(재현확정). → 복원 후 MD를 canonical 파서로 재파싱해 `_saveDecisions`/`_saveLessons`로 JSON 재빌드. - **P2 데이터손실 — `plan remove`**: `### ` 만 블록 경계로 써서 마지막 마일스톤 뒤 사용자 h1/h2 섹션(`## Risks` 등)이 함께 삭제(재현확정). → 모든 헤딩(`#{1,3} `)을 경계로 분할, `### M-` 블록만 삭제. - **P2 gate FN — `verify-claim`**: FILE_RE/`_evidenceQuality`가 basename 첫 글자를 `[A-Za-z]`로만 잡아 `123.js` 같은 숫자시작 실파일 미추출 → 없는 파일 인용한 done 주장이 vacuous-pass(재현확정, 정상 done FP 회귀 없음 확인). → 첫 글자에 숫자 허용(prev-separator 가드 유지). - **P2 아카이브 주입**: lesson/decision drop이 사용자 텍스트를 archive MD에 raw 삽입 → 개행으로 `## 제거` 델리미터 위조(가짜 archive 엔트리)(재현확정). → 아카이브 필드에 `_lineSafe`. - **P2 --json 에러경로**: task update/drop·lesson/decision/plan/rule not-found 6경로가 `--json`에도 평문 출력 → JSON 소비자 파싱 실패. → `failJson(has('--json'), code, msg)`. - **백로그(UR-0052)**: P1-2(10k+ ID 고정폭 `\d{4}` 리더 ~20곳, 날짜 혼동 위험으로 신중한 일괄 필요), P2-6(contract verify 주석 마스킹), P3-8(handoff `--compact` 단일 워크스페이스 분기). - **검증**: selftest 287/287(신규 6수정 소스가드), 데이터손실 3건 재현→수정 후 재검, 게이트 e2e 386/386. ## 1.36.16 — 2026-07-13 — 게시본 1.36.15 클린룸 codex 9건 채택: database 렌즈 정직/정밀 + selftest·병합 하드닝 게시본 1.36.13~1.36.15 누적 신규 표면(문항 8→12, cap 16)을 codex 로 적대 리뷰 → 9건(P2/P3) 전부 재현/채택. clean 3축(i18n 패리티·앵커 유일성·크래시 없음). - **문항 정직화 5건(KO=EN)**: (Q6) MVCC "reads don't block writes"를 non-locking 한정으로·스냅샷 스코프는 격리수준 의존·lost update 는 PG READ COMMITTED 노출이고 PG REPEATABLE READ는 조용한 유실 아닌 직렬화 abort로 정정; SQLITE_BUSY_SNAPSHOT은 busy_timeout 이 아니라 롤백+재시작. (Q9) **자기모순 수정** — abort 장벽이 "세대 카운터를 걷어낸다"고 썼으나, 카운터는 오히려 유지·단조증가해야 stale continuation 을 거부(제거하면 ABA 재유입 — deadlock 라운드 shipped 수정과 정합). (Q11) 단일 락만으론 데드락 사이클 불가(다른 락과 얽힐 때)·파티션 co-location≠순서(in-flight 1+순서보존 프로듀서+sink 시퀀스 필요). (Q12) 상태-조건 UPDATE 만으로 비순환 전이 직렬화; 버전 조건은 상태만으로 stale 구분 불가할 때만. - **구조 4건**: (F6) 커스텀 병합 초과분 조용한 절단 → `_droppedCustom` 플래그 + lens 렌더 ⚠ 경고(내장 12는 앞이라 보존, 커스텀만 잘림). (F7) "병합이 12 안 자름" selftest 가 빈 custom 이라 slice 미실행(공허) → 넘치는 custom 주입해 내장12 보존+초과6 절단을 실제 검증. (F8) 단어 하나 앵커가 실질 문항 삭제를 못 잡음 → 문항별 다중절(clause) 판별로 강화(재현: 신 가드는 변이 포착, 구 가드는 놓침). (F9) selftest 이름 "11문항"→"12문항". - **검증**: selftest 286/286, F3/F6/F8 프로브 재현확정, 게이트 e2e 386/386, 게시본 클린룸 재실증. ## 1.36.15 — 2026-07-13 — database 렌즈 11→12문항 + Q6 확장: 매트릭스 partial 6요소 승격 - **왜(37-코퍼스 매트릭스 후속)**: v2 매트릭스가 partial(문항이 인접 개념만 언급)로 정직 기록한 16요소 중 실무 빈도 최상위 두 클러스터를 문항으로 승격. - **Q6 확장(KO+EN)**: dirty read(READ UNCOMMITTED 급) 명시 + MVCC/스냅샷 가시성("자기 시점 스냅샷, 읽기가 쓰기를 안 막음 — 그러나 스냅샷 격리 ≠ 직렬화, lost update 잔존") → 2-1 MVCC·2-2 Snapshot Isolation·격리 이상 열거 승격. - **추가 12번(KO+EN)**: 상태 전이 허용 목록(현재-상태+버전 조건 UPDATE, 0행=불법 전이), aggregate 별 시퀀스 순서(created_at 불신, 역전 이벤트), inbox 소비 멱등(중복=정상, exactly-once 는 좁은 조건), 멱등키 본문 불일치 거부 → 2-10 State Machine·2-16 Exactly/At-least-once·2-17 Ordering·2-21 Inbox 승격. - **병합 cap 12→16**: 내장 12문항 절단 방지 (slice 2곳). - **selftest**: 12문항(KO=EN) + 신규 앵커(허용 목록+inbox / allow-list+inbox / dirty read) + 병합 무절단 가드 12. - **잔여 partial(정직)**: 전파(2-11)·락 입도(2-3)·데드락 감지 내부(2-5)·2PC(2-20)·서킷브레이커(2-34)·bulkhead 풀 격리(2-35)·선형화(2-29)·최종적 정합성 수렴(2-15)·구분 개념(2-36) 등은 advisory 렌즈 범위 밖으로 유지 — kit 체크리스트가 담당. ## 1.36.14 — 2026-07-13 — database 렌즈 10→11문항: 37-코퍼스 검증 매트릭스가 측정한 커버리지 갭(hot row/부하 계열) 보강 - **왜(사용자 지시)**: leerness 설치 프로젝트(lens-validation, 신규)에서 로컬 SQLite 로 37개 코퍼스 요소를 14개 실행형 픽스처로 재현하고, 요소별 렌즈 작동을 행위 테스트(설치된 CLI 로 task→done→verify-claim 트리거 + lens 실렌더 문항 근거)로 측정 — 트리거 14/14 ✓·음성 대조(비-DB 파일) 무발화 ✓·redis-only 캐시 파일 트리거 ✓(_DB_IMPORT_RE 의 redis/ioredis). 유일한 측정 갭: **hot row·sharded counter·큐 직렬화·backpressure·bulkhead 5개 요소를 다루는 문항이 0개**. - **추가 11번(KO+EN)**: hot row 락 경합의 전파(대기→타임아웃→데드락→풀 고갈), 비정확 카운터의 샤딩(+재고/잔액엔 샤딩 금지 주의), 같은 키 경합의 큐 직렬화·예약 패턴(expires_at 회수), 유입>처리량 시 backpressure(큐 상한·rate limit·워커/풀 상한·bulkhead). - **selftest**: database 렌즈 케이스 11문항(KO=EN) + hot row/backpressure/bulkhead 앵커(EN 동형) + 병합 cap(12) 무절단 가드 갱신. - **검증**: selftest 286/286 + 매트릭스 재실행으로 f13 클러스터 '작동' 전환 확인(게시 후 lens-validation 에서 재실증). 정직 한계: 렌즈는 advisory 자기질문이며, 문항 존재 = 자동 감지가 아니다. ## 1.36.13 — 2026-07-13 — database 렌즈 8→10문항: 9라운드 dogfood playbook 역이식 - **왜**: stock-service 에서 코퍼스 9개 동시성 개념을 실구현-리뷰-재현 루프로 dogfood 한 결과(회고: db-safety-lens/review-playbook.md), 기존 8문항이 다루지 않는 결함 패밀리가 반복 확인됨 — 전부 "그린 테스트는 통과했는데 리뷰가 잡은" 실사건 기반. - **추가 9번(KO+EN)**: 감싼 사용자 콜백의 async 이탈(await 강제/thenable 거부 — 아웃박스 sent=1 유실·펜스 밖 늦은 쓰기), 추적 구조의 등록-후-실행(동기 throw 가 반초기화 상태를 보면 원본 에러 삼킴·키 영구 오염), abort 의 완전 장벽(대기열 엔트리·표식·세대 카운터까지; 세대 재검사 없는 중단 획득은 abort 뒤에도 진행), 정리의 identity 가드. - **추가 10번(KO+EN)**: 버전/토큰 불변식의 전-라이터 참여(INSERT OR REPLACE 버전 초기화 ABA), 토큰/키 식별자(무표식 LSN 교차-스토어 노출·객체 키 identity), 수량 경계 검증(음수 qty 의 가드 방향 역전), 테스트 정직성(자기보고 라벨 대신 분기 데이터 판별·no-op 변이 실행·활성성 timeout). - **병합 cap 8→12**: 내장이 10문항이 되면서 기존 커스텀-병합 cap(8)이 내장 질문을 자르는 잠복 회귀를 함께 제거 (slice 2곳). - **selftest**: database 렌즈 케이스를 10문항(KO=EN) + 신규 앵커(thenable/ABA, EN 동형) + "병합이 내장 10을 자르지 않음" 회귀 가드로 갱신. - **검증**: selftest 286/286, `lens database` 실렌더 10문항 확인. 정직 한계: 신규 2문항은 단일 코드베이스 field log 에서 온 휴리스틱 질문이지 정적 감지가 아니다(렌즈 전체가 advisory). ## 1.36.12 — 2026-07-12 — UR-0009 완결: selftest 견고화 불변식 메타가드 + .gitattributes LF 강제 커밋 **저순위 백로그 UR-0009 (1.12.0 클린룸 exact-match 실패 후속) 3파트 완결.** - **(1) 멀티라인 needle 전수 점검: CLEAN** — 실제 개행을 포함한 백틱 needle `.includes(` 0건(라인 히트 3건은 needle 텍스트에 이스케이프 `\n` 문자가 든 단일라인 — EOL 무관 견고). 1.12.1 정규식화 이후 재발 없음을 확인하고, **불변식을 메타가드 selftest 로 상시 강제**(실개행 needle 이 다시 생기면 selftest 실패; 스캔 정규식은 charCode 조립으로 self-ref 안전). - **(2) .gitattributes LF 강제 커밋** — 파일은 working tree 에 존재했으나 **미추적**이라 다른 클론엔 무효였음(git 은 untracked .gitattributes 도 읽으므로 로컬은 이미 유효 — 과거 커밋의 "CRLF will be replaced by LF" 경고가 증거). 커밋으로 모든 체크아웃에서 bin/lib LF 일관성 보장. - **(3) 1.12.0 실패 메커니즘** — 정확한 역사적 재현은 불가(당시 환경 소멸)를 정직 인정. 가설(체크아웃별 EOL/포맷 분산)은 (1) 불변식 강제 + (2) LF 정규화 커밋으로 **원인-계열 자체를 구조적으로 차단** — 증상(1.12.1)과 원인계열(1.36.12) 모두 닫힘. - selftest 286 + e2e 통과. ## 1.36.11 — 2026-07-09 — 17th 클린룸 리뷰 4/4 채택: deps --json 누수 + UNC 우회 + DB렌즈 prose FP + en 렌즈 i18n **게시본 1.36.10 을 codex 가 클린룸(fresh npm install)에서 행위로만 적대 검증(이 세션 7개 신규 표면) — P1×2, P2×2 전부 명령+출력 증거로 확정, 4/4 수정.** - **P1-A `deps --json` plain-text 누수** — 워크스페이스-없음 에러 경로가 failJson 미배선 → **설치본 selftest 283/284 실패**의 원인. dev 트리는 `_apps` 가 있어 이 분기를 안 타 게이트가 못 잡는 **환경 의존 경로**였음(클린룸 리뷰의 존재 이유를 재확인). → `no_workspace_projects` 구조화. - **P1-B UNC 접두 조용한 변환** — evidence `\\src\thing.mjs` 의 UNC 접두를 벗겨 무관한 로컬 `src/thing.mjs` 를 검증(존재검사 우회성). → 매치 직전이 경로 구분자면 "더 긴 경로의 꼬리"로 보고 추출 제외(드라이브 `C:\...`·URL 꼬리도 함께 차단). `파일:src/x.js` 정상 케이스는 유지. - **P2-A DB 렌즈 prose FP** — `// select from the menu where …`(주석)·JSX 텍스트가 렌즈를 발화. → 완결형 SQL 문장은 **대문자 키워드(case-sensitive) 또는 따옴표/백틱 문맥**일 때만 인정 — 실제 코드 SQL 은 거의 항상 둘 중 하나라 recall 손실 없음(인용 소문자·대문자 SQL recall 행위 검증). - **P2-B en 로케일 렌즈 한국어 누출** — verify-claim 렌즈 블록이 titleEn/questionsEn 미사용. → lensCmd 와 동일 규칙 적용. - codex 검증 통과 표면(수정 불요): handoff 넛지(부패 JSON·미래 타임스탬프·10만 history·--json 무오염·opt-out 전부 견딤), optimism [DB] 수정(빈 .sql 경계 포함), 정직화 문구 4종 잔존 과장 없음. - selftest 285 (신규: 4수정 행위+소스 가드) + e2e 통과. ## 1.36.10 — 2026-07-09 — FILE_RE Windows 백슬래시 경로 지원 (마지막 선재 백로그 소진) **verify-claim 의 주장-파일 추출이 Windows 백슬래시 경로를 잘라먹던 선재 결함(전 확장자 공통, codex 6차 core-diff 리뷰에서 지적 후 backlog).** - 증상(충실 재현): evidence `src\thing.mjs` → `thing.mjs` 로(디렉터리 소실 → 존재 검사 false-fail), `db\migrations\001_create.sql` → `create.sql` 로(숫자 시작 세그먼트까지 소실) 추출. - 수정: `FILE_RE` 구분자에 `\\` 허용 + 추출 직후 `/` 정규화(하류의 git diff 비교·렌즈 도메인 매핑은 `/` 기준이라 일관). - 검증: 백슬래시/다단/혼합 6케이스 전부 정확 추출·정규화, forward-슬래시 회귀 0, 버전 문자열(`1.36.9`)·확장자 없는 경로(`C:\Users\…`) FP 0. selftest 284 (신규 행위 케이스: 백슬래시 evidence done 주장이 files-missing 없이 통과) + e2e 통과. ## 1.36.9 — 2026-07-09 — optimism [DB] FP 수정: SQL-migration 프로젝트의 정직한 done 주장 무오탐 (dogfood 백로그) **stock-service 도그푸드에서 두 번 마주친 선재 FP 소진(깨끗한 1.36.2에서도 동일 재현 확인 — 이번 세션 회귀 아님).** - 증상: `.sql` 마이그레이션만으로 구성된 정직한 done 주장(evidence 에 `migration` 언급)이 verify-claim/lazy-detect 의 optimism 검사에서 `[DB] 주장 있는데 코드 호출 흔적 없음` 으로 오탐 → 기본 게이트 false-fail. - 원인(재현으로 확정): `_scanCodeForPatterns` 확장자 필터에 `.sql`/`.prisma` 부재(스캔 결과 0바이트) **그리고** DB codeRe 가 JS/ORM 관용구만 인식(raw SQL 미인식) — 둘 다 충족돼야 오탐이 사라짐. - 수정: 스캐너 확장자 `+= sql|prisma|mjs|cjs` · DB codeRe `+= CREATE TABLE|ALTER TABLE|INSERT INTO|node:sqlite|DatabaseSync|better-sqlite3` (검출 관대화 — 1.12.4 다언어 확장과 같은 안전 방향). - 정밀도 검증: 허위 DB 주장(코드에 DB 흔적 없음)은 여전히 `[DB]` 검출(FN 미발생, 행위 확인). selftest 283 (신규 행위 케이스: SQL 스캔 + 정직 무오탐 + 허위 검출 유지) + e2e 통과. - 부수: `_detectOptimism`/`_scanCodeForPatterns` export(테스트 가능성, require.main 가드 패턴). ## 1.36.8 — 2026-07-09 — 정직성 marginal 소진 + 넛지 확장 (심층 감사 P3 완결) **심층 정직성 감사(1.36.5)의 마지막 marginal P3 2건 소진 + handoff 넛지를 실사용 최다 명령으로 확장.** - **encoding "passed" 스코프 명시** — `passed` 는 전체 트리가 아니라 allowlist 텍스트 확장자(≤5MB)만 검사한 결과 → `encoding check passed (scope: allowlisted text extensions, files ≤5MB)`. - **"self-heal" 범위 정직화** — identity/about/README 의 `자동 감사 + self-heal` 이 secret 자동치유를 암시 → 실제 범위 명시: `self-heal: drift·idempotency --auto-fix, encoding --apply; secret 은 감지 전용`. - **넛지 확장** — `task update`(작업 중 최다 실행 명령)에도 handoff 넛지 노출(1.36.7 add 계열과 동일 가드/opt-out). - selftest 282 (신규 소스가드, split-literal self-ref 회피) + e2e 통과. 이로써 1.36.5 심층 감사가 확정한 20건 중 수정 대상 전부 소진(잔여는 과거 CHANGELOG/주석의 역사 기록 — 소급 수정 안 함). ## 1.36.7 — 2026-07-09 — handoff 넛지: 세션-시작 리추얼 사각지대 메꿈 (메타-테스트 도그푸드) **자기 행동 실측(세션 트랜스크립트 파싱)에서 드러난 사각지대를 leerness 기능으로 메꿈.** "세션이 길수록 leerness를 덜 참조하는가?" 가설을 트랜스크립트로 측정 → **반박**(workspace 사용은 세션 길이가 아니라 작업 종류에 종속). 단 실재 gap 1건: **compaction/resume 직후 세션-시작 `leerness handoff`를 건너뜀**(요약이 "resume mid-task"를 지시). 그 신호는 handoff 출력에만 떴는데 정작 handoff 를 안 돌리는 게 문제. - 신규: `_handoffNudgeState`/`_emitHandoffNudge` — `task add`/`decision add`(에이전트가 작업 중 실제로 실행하는 명령) 시, 마지막 handoff 가 오래됨(gap > 120분)이면 **한 줄 넛지**: `⚠ 마지막 handoff N시간 전 — 'leerness handoff .' 권장`. - FP 가드: **기록 있음 + gap > 임계**일 때만(신규 프로젝트=last-handoff.json 부재 → 넛지 안 함). `--json`/`--quiet` 오염 없음. opt-out `LEERNESS_NO_HANDOFF_NUDGE=1`. - 정본 `_getLastHandoffGap` 재사용(스키마 일관). selftest 281(행위: 오래됨→넛지·최근/부재→없음·opt-out) + e2e 통과. ## 1.36.6 — 2026-07-09 — 정직성 백로그 소진: 강제력/종합-health 문구 정직화 (심층 감사 P2/P3 후속) **1.36.5 심층 정직성 감사가 확인했으나 미수정으로 남긴 P2/P3 강제력·과장 문구를 정직화.** - **handoff `⚕ health` 토큰 → `🔐 .env`**: 이 헤드라인 토큰은 실제로 **.env 의 .gitignore 보호 여부만** 봤는데 "종합 health(보안+drift)"로 표기했다(주석까지 그렇게 거짓). 커밋된 시크릿/drift/상태무결성은 안 봄 → 라벨을 `🔐 .env` 로 정직화(종합 health 아님 명시). - **policy enforce "초과 명령 차단"** → `초과 명령 = 차단 판정 + exit 1 신호 · 실제 셸 실행을 가로채진 않음`: leerness 는 셸을 감싸지 않으므로 enforce ON 이어도 협조적 verdict/exit code 일 뿐, 하드 실행 차단이 아님을 명시. - **KO identity/about "허위 완료 차단" → "허위 완료 감지 (권고; CI 게이트 필수화 시 차단)"**: EN 설명은 이미 협조적(권고)임을 밝히는데 KO 정체성/about/README 는 하드 "차단"으로 과장 → EN 과 일치시킴(사용자 프로젝트 README 에 기록되는 고가시성 문구). - **README "measures the real count and rejects a mismatch"** → 기본은 **테스트 선언(정적 카운트)** 이 주장 초과 시 거부하는 것이지 "통과" 증명이 아님을 명시(+`--run-tests` 로 실제 실행 검증). - selftest 280 (신규 정직성 후속 소스가드, split-literal self-ref 회피) + e2e 통과. ## 1.36.5 — 2026-07-09 — 정직성 감사: 성숙도 판정 과장 보정 (심층 멀티에이전트 정직성 감사 채택) **게시본 1.36.4에 9개 사용자대면 표면 정직성 감사(멀티에이전트 35 + 적대적 반증) → 가장 강하게 수렴한 P1(성숙도 판정 과장) 보정.** - `leerness health` 6능력 매트릭스: `overall N% (production-ready)` 는 **소스 문자열 존재 + 의존성 설치 여부 휴리스틱**의 평균일 뿐(미설치 의존성도 부분점수). "측정된/독립 성숙도 판정"으로 오독되지 않도록 **인라인 캐비엇** 추가. - mcpTools 근거의 `CRUD 완성/CRUD complete` 제거 — 도구 수(≥50)는 기능적 CRUD 완결성을 증명하지 않음. - REPL 환영창의 **하드코딩된 "72% production-ready · MCP 54 도구"** 고정/구식 수치 제거 → `leerness health` 참조로 대체. - selftest 279 (신규 정직성 소스가드) + e2e 통과. self-ref 트랩 회피(split-literal). - 정직 고지: 감사가 확인한 나머지 P2/P3 문구(policy "차단" enforce-ON 협조성, KO identity "허위완료 차단" vs EN, README "measures the real count" 방향성, "독립 검수"↔cross-model, encoding "passed" 스코프)는 정직성 백로그로 추적 — 이번 릴리스는 최고 수렴 P1에 집중. ## 1.36.4 — 2026-07-09 — database 렌즈 recall: 내용 기반 DB 감지 (dogfood FN) — 평범한 이름의 DB 모듈도 렌즈 노출 **도그푸드에서 발견한 recall gap(FN) 소진.** 실사용(재고 서비스) 도중, `_lensDomainsForFiles` 가 **경로 휴리스틱**만 써서 `models/`·`.repository.`·`.sql` 등 관습적 이름의 파일만 `database` 도메인에 매핑함을 경험적으로 확인했다 — `inventory.safe.mjs`·`orders.occ.mjs` 처럼 실제로 SQLite 를 다루지만 이름에 단서가 없는 모듈은 `database` 렌즈가 **전혀 노출되지 않았다**(`["code"]` 로만 분류). - 신규: `_isDbContentText` / `_anyDbContentInFiles` / `_withDbDomain` — verify-claim 이 주장 파일의 **내용**에 실제 DB 드라이버 import(`node:sqlite`/`pg`/`mysql2`/`better-sqlite3`/`typeorm`/`prisma` 등) 또는 산문엔 거의 없는 완결형 SQL 문장(`SELECT…FROM…WHERE`/`UPDATE…SET…WHERE`/`CREATE TABLE`/`INSERT INTO`/`ON CONFLICT`/`BEGIN IMMEDIATE`)이 있으면 `database` 렌즈를 보강 노출. - FP 가드: 단일 키워드(`database`/`select`/`from`/`where` = 영어 단어)만으로는 안 켬 — 드라이버 import 또는 근접 다중 SQL 키워드 조합만. 산문/비-DB 코드 회귀 0(selftest 행위 검증). - 안전: 코드 파일(.js/.mjs/.ts/.py 등)만, 512KB 이하만 읽음. path-기반 매핑은 그대로 두고 **추가 보강**만(비파괴). advisory 렌즈라 게이트 아님. - codex FN검수 채택: **root 제한**(evidence 경로의 `../`·절대경로로 워크스페이스 밖 파일 읽기 차단, 심볼릭 링크 스킵 — P2) + **테스트 파일 제외**(SQL 담은 test 파일이 `test` 렌즈를 축출하지 않도록 — P3). - 알려진 한계(정직 고지): 드라이버 import 가 타 파일에 있는 ORM 메서드체인 파일은 단일파일 내용분석으론 여전히 미탐(P3); `SELECT…FROM…WHERE` 형태의 드문 산문은 advisory FP 가능(저해, 게이트 아님). - 검증: 실제 dogfood 4개 DB 모듈 전부 감지(전 false→true), 산문/README FP 0, ReDoS SAFE(<25ms @320KB), root 트래버설·테스트 제외 행위 검증. selftest 278 + full e2e 통과. ## 1.36.3 — 2026-07-08 — DB 안전성 렌즈 코어 승격 (race condition + ACID) — 사용자 명시 + codex 검수 채택 - 신규 내장 품질 렌즈 도메인 `database` (8 자기질문: lost update / check-then-act TOCTOU / atomicity / DB 제약 / isolation+retry / durability / distribution). `leerness lens database` 로 호출, verify-claim 이 DB 파일 변경 시 인라인 노출. - `_lensDomainsForFiles`: DB 파일(`.sql`/`.prisma`/migrations/schema/models/repositories/dao/db·database 디렉토리/data-source·drizzle.config 등) → `database` 도메인 우선 매핑. 테스트 파일은 test 렌즈 유지(제외). - `FILE_EXTS += sql|prisma` (verify-claim 파일 추출) + `_evidenceQuality += prisma` (파일 근거 인식) — `.sql`/`.prisma` 변경도 정상 검증. - 저작: 6차원 워크플로 → 적대적 비평 → codex 독립 검수(SHIP-WITH-FIXES 8채택/1반박) → 게시본 재실증 → node:sqlite 데모 자가검증. selftest 276 + e2e-core 42 통과. ## 1.36.2 — 2026-07-07 — 클린룸 후속: `feature add|show|link|impact` trailing positional path 존중 (조용한 cwd 오독 + stray `.harness` scaffold 차단) **독립 클린룸 리뷰(1.35.17 게시본)가 재현한 P2 결함 소진.** 비-프로젝트 디렉토리에서 `leerness feature add "이름" <프로젝트경로>` 를 실행하면 성공 메시지는 프로젝트 경로를 되울리지만(→ 처리된 척), 실제 feature 는 **CWD** 에 떨어지고 그 자리에 **stray `.harness` 가 조용히 scaffold** 됐다. 즉 지정한 프로젝트가 아니라 아무 폴더나 오염시켰다. `--path ` 는 정상 동작했다. ### 원인 - 디스패치(`bin/leerness.js`)가 `feature add` 를 `featureAddCmd(arg('--path', cwd), args.slice(2).filter(비-flag).join(' '))` 로 라우팅 — **모든 비-flag positional 이 NAME 으로 join** 되어 경로가 이름에 흡수되고 root 는 언제나 CWD. `feature list` 는 1.9.412(UR-0100)에서 `_resolveRoot(args[2])` 로 positional-path 를 이미 지원했지만 `add/show/link/impact` 는 갱신되지 않았다. - `featureAddCmd` 의 `_ensureFeatureGraph(root)` 가 **무조건** `.harness/feature-graph.md` 를 생성 → 미초기화 폴더도 조용히 반쪽 상태로 오염. ### 수정 — 두 겹 방어 (a) positional path 인식 (b) 미초기화 게이트 - **(a) trailing positional path 존중** — `add/show/link/impact` 모두 `--path > path-like positional(_taskPositionalPath) > cwd` 로 root 해석(기존 `task`/`rule add`/`feature list` 와 동일 규약). `add` 의 NAME 은 `_parseAddTitle(args, 2)` 로 첫 경로/플래그에서 절단해 경로 흡수를 차단(내부 슬래시 제목 `auth/login` 등은 선행 구분자만 경로로 보므로 보호). - **(b) 미초기화 scaffold 게이트** — `featureAddCmd` 가 `_ensureFeatureGraph` 전에 `_requireInit(root, 'feature add')` 통과를 요구(=`task add` 와 동일). 워크스페이스 마커(HARNESS_VERSION/guideline.md/AGENTS.md) 없는 디렉토리는 **scaffold 대신 exit 1 + 안내**, `--force` 우회. `show/link/impact` 는 read-only(그래프 없으면 not-found/빈결과 — scaffold 안 함). - **`_taskPositionalPath` 값-플래그 확장** — feature 값-플래그(`--files`/`--depends-on`/`--affects`/`--co-changes-with`)의 값이 path-like(`./src/x.js`)여도 root 로 오인하지 않도록 `_TASK_VALUE_FLAGS` 에 포함(예: `feature add "이름" --files ./src/a.js` 에서 `./src/a.js` 는 files 값이지 경로 아님). ### 검증 - selftest **275**(+1: `_featRoot`/`_parseAddTitle` 디스패치 배선 + `_requireInit` 게이트 + `_taskPositionalPath` 값-플래그 skip; split-literal 앵커로 자기참조 false-pass 회피). e2e-core **+5**(positional 등록·이름 clean / stray scaffold 없음 / 미초기화 게이트 / show positional / `--path` 우선). full e2e **+1 회귀 블록**(add/show/link/impact positional + 미초기화 게이트 + `--files` path-like 값 오인 없음). 클린룸 재현(비-프로젝트 cwd)으로 fix 전/후 대조 확정 → 게시본 재실증. ## 1.36.1 — 2026-07-07 — 클린룸 후속: 상태파일 JSON 무결성 체크 (health/check/audit false-negative 차단) **1.36.0 클린룸 리뷰가 남긴 후속 백로그 소진** — 독립 리뷰어 A(P2, fails-safe)가 재현한 false-negative: `.harness/manifest.json` 을 깨진 JSON(`{ this is : not valid json ]]]`)으로 덮어써도 `health`/`doctor`/`check`/`audit` 가 전부 **"healthy" / exit 0** 을 반환. 원인은 모든 상태파일 로더가 `try{JSON.parse}catch{빈 상태}` 로 그레이스풀 폴백해(=크래시 없음, 좋은 성질) **손상을 조용히 빈 상태로 대체**하는데, 어떤 진단 명령도 상태 JSON 무결성을 별도로 검증하지 않던 갭. ### 수정 — `.harness/*.json` JSON 무결성 검증 (신규 공유 헬퍼 `lib/state-integrity.js`) - **단일출처 `findCorruptedStateJson(root)`** — `.harness` 바로 아래 `*.json`(manifest/decisions/lessons/skills-lock/active-wakeups/user-requests/…)을 열거해 `JSON.parse` 시도, 실패 파일 목록 반환. 비-재귀(archive/api-skills/cache 제외)·존재 파일만·빈/공백 파일 무오탐·BOM strip·**비-크래시**(파서 예외 흡수). - **3 진단 표면에 배선** (심각도는 표면 성격에 맞춤): - **`audit`** — `corrupted_state_json` finding(**warning**, `--strict` 시 failure 승격). - **`health`** — `checks.stateIntegrity` + `issues` → `healthy:false`(**degraded 신호**, `--strict` 시 exit 1). - **`check`** — pre-action 게이트이므로 **하드 실패(exit 1)**. 손상 상태를 통과시키지 않음. - **`doctor` 는 무변경** — root 를 받지 않는 설치/환경 진단(selftest)이라 워크스페이스 상태 검증 범위 밖(설계상 분리). ### 검증 - selftest **274**(+1: `findCorruptedStateJson` 탐지/무오탐/공유 배선 직접 검증). e2e-core **37**(+6: 클린 무오탐 + 손상 manifest → audit/health/check 3표면 표면화). full e2e **385**(+1 회귀 블록: 클린 무오탐 + 손상 표면화 + `audit --strict` 승격). 재현 확정 → 게시본 재실증. ## 1.36.0 — 2026-07-07 — 🏁 안정 minor: gate 표면 전체 적대적 헌트 완주 (1.35.14~1.35.17 통합) + 독립 클린룸 검증 **codex 협업 7라운드로 gate 임베드 플래그십의 모든 체크 표면을 적대적 헌트 완주한 안정 릴리스**, 마지막으로 내 프레이밍 없는 **독립 블라인드 리뷰어 2명**으로 게시본(1.35.17)을 교차검증. 각 헌트 라운드 = 자체 프로브 + codex(gpt-5.5 xhigh) 독립 헌터 → 맹신 X 재현으로 확정만 수정 → FP-safe → 양-레벨 회귀가드(selftest+e2e-core) → 게시본 재실증. ### 이 minor 에 묶인 gate 표면 sweep (전부 이미 patch 배포됨 — 안정 marker + 통합) - **scan secrets (1.35.14):** 복합키(`DB_PASSWORD=`)/JSON 따옴표키(`"password":"x"`)/Django `SECRET_KEY`/개인키 변종 미탐 + 로컬 DB 기본자격·사전-단어 FP 억제. - **encoding check (1.35.15):** 🔴 파괴적 `--apply` 가 CP949 파일에 BOM 만 붙여 손상시키던 것 차단(유효-UTF-8 만 BOM) + 순수-ASCII `.bat` FP + `.cmd` 미스캔 FN + BOM+깨진본문 은폐 FN. - **lazy detect (1.35.16):** 안티-치트 우회 3종(status=completed evidence 회피, 아포스트로피/멀티라인 TODO 오판, 쓰레기 evidence) + 비-JS 테스트러너 FP. - **audit (1.35.17):** 유저-프로젝트 FP 4종(`readme_synced` category error, `.env*` glob 무지, "rest" 오인, threshold-0 footgun). ### 독립 클린룸 리뷰 반영 (블라인드 리뷰어 2명, 게시본 1.35.17 → 맹신 X 재현) - **`--json` 성공 경로 무결성 (리뷰어 B, P2).** `task update`/`plan add`/`rule verify`/`reuse find` 가 `--json` 이어도 **성공 시 평문** 출력(에러 경로는 이미 구조화) → JSON 소비 스크립트가 성공 경로에서만 크래시. `task add`(1.9.413) 와 동일 emitter 로 4곳 보강. 재현 확정. - **`migrate --force` 문구 정직화 (리뷰어 A, P2).** `--guide` 가 `--force` 를 "비파괴, 기존 내용 보존"이라 표기했으나 실제로는 관리 `.md` 를 템플릿으로 **교체**(기존 내용은 `.harness/archive` 백업, in-place 보존 아님) → 문구를 정직하게 수정(커스텀 보존은 `--force` 없이 migrate/`update --yes` 안내). 재현 확정. ### 클린룸 발견 — 1.36.1 후속 백로그 (재현 확정했으나 behavior 변경이라 안정 릴리스에 미포함) - **`feature add|show|link|impact` 가 positional `[path]` 무시 + CWD 에 stray `.harness` 스캐폴딩 (리뷰어 A, P2).** name 이 positional 이라 경로가 name 으로 흡수됨(`feature list` 는 1.9.412 로 이미 positional path 지원). arg-parsing 변경이라 focused 후속에서 처리. - **`health`/`doctor`/`check` 가 손상된 `.harness/*.json` 에도 healthy 보고 (리뷰어 A, P2, fails-safe).** 상태파일 JSON 무결성 미검증(크래시는 없음 — graceful) → 진단 명령에 무결성 체크 추가는 신규 기능이라 후속. ### 검증 - selftest 273. e2e-core **31**(플래그십 행위 + 클린룸 회귀). full e2e 384. 독립 리뷰어 2명이 확증: 에러경로 --json 무결성·exit code·injection·비파괴 마이그레이션(--force 제외)·team deploy 이중게이트 모두 **PASS**. 게시본 1.36.0 재실증. **R-0006 안정 marker.** ## 1.35.17 — 2026-07-07 — codex 협업 라운드 ⑦: audit 적대적 헌트 — 유저-프로젝트 FP 4종 (gate 표면 sweep 완결) **사용자 지시 "codex와 협업" 라운드 ⑦ — gate 임베드 마지막 미헌트 표면 `audit`.** audit 은 유저의 실제 프로젝트를 점검하므로 FP 가 `--strict` gate 를 거짓 실패시킴. 자체 프로브 + codex(gpt-5.5 xhigh) 교차. 재현으로 확정한 유저-프로젝트 FP 4종 수정. **이로써 gate 5체크(verify/audit/scan secrets/encoding/lazy detect) + gate 구성 + contract 전 표면 적대적 헌트 완주.** ### 확정 수정 (전부 유저-프로젝트 FP) - **`readme_synced_version_stale` 카테고리 오류.** README 관리블록의 "Last synced by Leerness vX" 는 readme sync 가 **leerness 도구 버전**(`v${VERSION}`)으로 쓰는데, audit 은 이를 **프로젝트의 package.json 버전**과 비교 → 도구≠프로젝트 버전인 **모든 유저 프로젝트에서 항상 오탐** + `--fix` 가 pkg.version 을 써 다음 readme sync(VERSION 기록)와 영구 충돌. → **현재 실행 중 leerness VERSION 과 비교**(= "오래된 leerness 로 sync 됨 → 재sync" 정확 감지, leerness 자기 repo 는 VERSION==pkg 라 무변화). 재현 확정. - **`gitignore_missing_secrets` glob 무지 (codex #11).** 필수 시크릿 패턴(`.env`/`.env.local`/…)을 **정확-일치**로만 검사 → 흔한 `.env*`/`.env.*` 광역 패턴(git 이 실제로 .env 패밀리 전체 ignore)을 쓰면 "누락" 오탐(`--strict` 시 failure). trailing-star prefix 커버리지 인식 추가(git 동작 일치, 신규 FN 0). 재현 확정. - **`api_skill_missing` 이 영어 단어 "rest" 오인 (codex #15).** 키워드 정규식이 `/…|REST|…/i` 라 대소문자 무관 → **"clean up the rest of the module"** 같은 평범한 task 를 REST API 로 오판. API/REST 약어를 대소문자-민감으로 분리(서술형 endpoint/graphql/oauth/webhook/url 은 무관 유지). 재현 확정. - **`strict_promoted` threshold 0 footgun (codex #12).** `--strict --threshold 0`(또는 음수)이면 `warnings>=0` 이 항상 참 → **경고 0인 clean 프로젝트도 실패**. `warnings>0 &&` 가드 추가. ### 맹신 X / 미채택 - codex "malformed package.json crash" → **반증**: 해당 블록이 `try{…JSON.parse…}catch{}` 로 감싸져 크래시 아님(조용히 skip). badge 다중매칭(#6)/design-system 템플릿 포맷(#5)/npm_cve --strict 노이즈(#4)/env local-only(#11)/milestone future(#10)/current-state 타임존(#7)은 저빈도·by-design·--fix 상호작용 복잡으로 미채택(문서화). ### 검증 - selftest 273. e2e-core **27**(신규 audit 픽스처 3: readme_synced/gitignore-glob/rest-word). full e2e **384**. 게시본 1.35.17 재실증. ## 1.35.16 — 2026-07-07 — codex 협업 라운드 ⑥: lazy detect(안티-치트) 적대적 헌트 — 우회/FP/FN 5종 수정 **사용자 지시 "codex와 협업" 라운드 ⑥ — gate 임베드 `lazy detect`(안티-게으름/안티-치트) 적대적 헌트.** 이 체크의 주 사용자는 AI 에이전트 자신이라 **우회 인센티브가 직접적**. 자체 프로브 + codex(gpt-5.5 xhigh) 독립 헌터로 바이패스(FN)+FP 양방향 사냥. 재현으로 확정한 것만 수정. ### 확정 수정 - **FP — `no_test_run` 이 비-JS 프로젝트를 오탐.** `hasTestRun` 정규식이 JS+pytest 중심 → **Go/Rust/Ruby/PHP/.NET/Java/Elixir/Swift/Dart/C 프로젝트가 `cargo test`/`go test`/`rspec`/`phpunit`/`dotnet test`/`mvn`/`gradle` 등으로 실제 테스트를 돌려도** no_test_run 발화. done 작업이 있는 active 프로젝트에선 **blocking → gate 거짓 실패**. 러너 목록 확장(negative finding 억제라 FP-safe). 재현 확정. - **FN #6 + FP #10 — TODO 스캐너 따옴표 상태 오판.** 구 `isInsideQuote`(per-line 따옴표 패리티)가 (a) 큰따옴표 안의 아포스트로피(`"don't"`)를 여는-따옴표로 세어 **뒤의 진짜 TODO 를 스킵(FN·고의 우회 벡터)**, (b) **여러 줄 템플릿 리터럴 안의 TODO 를 문자열 밖으로 오판(FP·blocking)**. 파일 전체를 문자 단위로 걸으며 실제 문자열 경계를 추적(백틱은 줄 넘김, `'`/`"`는 개행 종료)하는 상태머신으로 교체 — 문자열 밖 TODO 만 카운트. 둘 다 재현 확정. - **우회 #3 — `evidence_missing` 이 status 를 `=== 'done'` 로만 검사.** `_hasDoneWork` 는 `/^(done|completed|verified)$/i` 인데 evidence 검사는 정확-`'done'` 만 → **`status=completed`(유효한 CLI 값)로 두면 done-work 로는 세면서 evidence 는 검사 안 하던 우회**. 동일 done-집합(대소문자무관)으로 정합. 재현 확정. - **우회 #4 — 쓰레기 evidence 통과.** trivial evidence 토큰(`n/a`/`tbd`/`todo`/`wip`/`none`/`x`/점·물음표만) 추가 — 비-empty 껍데기 문자열로 통과하던 구멍 축소(lazy 는 lenient, verify-claim 이 strict 담당이므로 최소한만). - **우회 #9 — blocked 행 좁은 검사.** status 대소문자무관(`Blocked`) + nextAction trivial 토큰(빈값/`-`/`n/a`/`none`/`tbd`)도 `blocker_no_next_action` 으로 감지. ### 미채택 (by-design / 저빈도) - 대소문자 TODO(`todo`/`@todo`)는 `const todo` 등 FP 위험으로 대소문자-민감 유지(codex #7 동의). 무-done 회피(#5)는 fresh-프로젝트 leniency(1.9.323)의 의도된 트레이드오프. TODO 파일경로 substring 억제(#8)는 coarse-but-intended. ### 검증 - selftest 273. e2e-core **24**(신규 lazy 픽스처 4). full e2e **384**. 게시본 1.35.16 재실증. ## 1.35.15 — 2026-07-07 — codex 협업 라운드 ⑤: encoding check 적대적 헌트 — 파괴적 --apply + FP/FN 5종 수정 **사용자 지시 "codex와 협업" 라운드 ⑤ — gate 임베드 `encoding check` + 변형 `env encoding-check --apply` 적대적 헌트.** 한국어-우선 사용자에게 CP949 오손은 실사용 영향이 큼. 자체 프로브 + 실제 cmd.exe 런타임 실측 + codex(gpt-5.5 xhigh, 웹검색 포함) 독립 헌터 교차. ### 확정 수정 (자체 프로브 — 읽기전용 gate 체크) - **FP — 순수-ASCII `.bat` 이 gate 를 거짓 실패.** `.bat missing chcp 65001` 이 내용과 무관하게 모든 `.bat` 에 발화 → `@echo off` 만 있는 ASCII 배치도 exit 1. 비-ASCII 바이트가 있을 때만 경고하도록 게이팅(CP949 오손 위험이 실제로 있을 때만). - **FN — `.cmd` 가 gate 에서 미스캔.** `.cmd` 가 `SCAN_TEXT_EXT` 에 없어 encodingCheck/scanSecrets 가 `.cmd` 를 전혀 안 봄(반면 `env encoding-check` 는 `.cmd` 스캔 → 불일치). `.cmd` 추가 + `.bat` 와 동일 규칙(chcp 검사 · BOM 예외) 적용. ### 확정 수정 (codex 독립 헌터 교차 — 재현 후 채택) - **codex #4 DESTRUCTIVE — `--apply` 가 CP949 파일을 손상.** `env encoding-check --apply` 가 비-ASCII+no-BOM 파일에 transcode 없이 UTF-8 BOM 만 붙임 → CP949 본문에 BOM 을 붙이면 'UTF-8 이라 주장하는 CP949' 손상본(mojibake 악화). **재현 확정**(CP949 `.ps1` → BOM+CP949). 수정: **유효 UTF-8 본문일 때만 BOM 추가**, 비-UTF-8 은 skip(수동 transcode 안내). 추가로 `.bat/.cmd` 는 BOM 이 cmd.exe 코드페이지를 안 바꾸므로 skip(첫 줄 `chcp 65001` 안내) — 이제 `--apply` 는 유효-UTF-8 `.ps1`(PS5.1 이 BOM 으로 UTF-8 인식) 에만 작용. `.sh`/shebang 가드(1.9.409)와 동류. - **codex #7 FN — BOM 이 roundtrip 경고를 억제.** 읽기전용 체크의 `&& !hasBOM` 가 BOM+깨진본문(예: 위 --apply 가 만든 손상본)을 통째 통과시킴. 제거 → BOM 있어도 본문이 invalid UTF-8 이면 탐지(유효 UTF-8+BOM 은 byte-exact roundtrip 이라 오탐 0, 실증). - **codex #6 FN — NUL 을 첫 4096B 만 검사.** 전체 버퍼(≤5MB, 이미 로드됨) 스캔으로 확대 — 긴 ASCII 헤더 뒤 NUL 미탐 차단. ### 맹신 X 반증 / 미채택 - codex #2 "BOM 이 cmd.exe 첫 명령을 깨뜨림"(구형 Windows SuperUser 인용) → **실제 Win11 cmd.exe 실측 결과 BOM 있는 .bat 정상 실행**(refuted, 플랫폼 의존). 파괴적 아님 → --apply 의 .bat/.cmd 는 BOM 미추가로 정리(무익하고 구형에선 위험할 수 있어서, 파괴 근거로는 미채택). #8(C2A1 우연 유효-UTF-8)은 CP949 디코더 없이 불가(0-deps) → by-design. ### 검증 - selftest 273. e2e-core **20**(신규 CLI 픽스처 4: 순수-ASCII .bat clean · mojibake .cmd 탐지 · --apply CP949 무손상 · --apply 유효 .ps1 BOM). full e2e **384**. 게시본 1.35.15 재실증. ## 1.35.14 — 2026-07-06 — codex 협업 라운드 ④: scan secrets 적대적 헌트 — 하드코딩 자격증명 FN 2종 수정 **사용자 지시 "codex와 협업" 라운드 ④ — 보안-임계 `scan secrets` 적대적 FP/FN 헌트.** gate 에 임베드된 보안 가드라 FN=시크릿 유출, FP=정직 빌드 파손. codex(gpt-5.5 xhigh)를 독립 헌터로 백그라운드 실행하고, Claude 자체 프로브 매트릭스(24 픽스처)를 로컬 스캐너에 병렬로 돌려 교차. **하드코딩 자격증명 패턴의 고빈도 FN·FP 5종 확정·수정.** ### 확정 수정 (자체 프로브 — FN 2종 + 결합 FP) - **FN #1 — 복합 env 키 미탐.** `Hardcoded credential (unquoted)` / `password assignment` 정규식의 선두 `\b` 가 `_` 앞(word-word 경계)에서 안 걸려 **`DB_PASSWORD=` / `REDIS_PASSWORD=` / `JWT_SECRET=` / `MY_API_KEY=` 같은 복합키(.env 관례)를 전부 미탐**. `\b` → `(?`·`${}` 포함시켜도 유효 JS 유지 확인. ### 검증 - selftest **264** · lib/graph.js 템플릿만 변경(데이터/엣지 로직 무변경)이라 기존 graph selftest(데이터/XSS/dedup/빈하네스) 유지. patch — npm 미배포(R-0011). ## 1.35.1 — 2026-06-27 — graph 후속(1.35.0 게시 후): README Visualize 문서 + 빈-하네스 방어가드 **1.35.0 게시본 클린룸 재실증 후 정합 패치(정직성)**: 게시본 1.35.0(selftest 262)에서 `graph --html`(7노드 생성) + `LEERNESS_AUTO_GRAPH=1` 자동생성이 정상 동작 확인됨. 게시 시점 직후 추가된 변경 2건(README 문서 · 방어가드)이 git 상 1.35.0과 버전이 겹쳐, **1.35.1로 정합 분리**(같은 버전에 두 내용 공존 방지). 런타임 동작 무변경. ### 변경 (문서 + 테스트만 — 런타임 무변경) - **README "Visualize" 항목**: `graph --html`(자기완결 온톨로지 그래프, 노드 클릭 조회) + 자동갱신(`LEERNESS_AUTO_GRAPH=1`)을 60초 투어에 문서화(관리영역 밖 손편집 → readme sync 무영향). - **방어가드 selftest +1**: `graph --html` 빈/미초기화 하네스 무크래시 + 유효 빈 HTML(0노드·단일 script 닫힘) 회귀가드 — 신규 프로젝트 init 직후 시나리오, deps 미주입 worst-case 포함. ### 검증 - selftest **263** · 동작 무변경(문서/테스트 only)이라 e2e 무영향(381 유지). patch — npm 미배포(R-0011, 다음 묶음 게시). ## 1.35.0 — 2026-06-27 — 🕸️ [안정화/Stable] 온톨로지 그래프(graph --html + 자동생성) 안정 minor **신규 기능 minor**: leerness 적용 프로젝트의 하네스(5 메모리 표면 + skills + feature-graph)를 인터랙티브 온톨로지 그래프 HTML(`leerness.html`)로 표면화하는 기능을 도입하고, 누적 수정(1.34.1~1.34.4)을 묶어 안정화. 0 런타임 의존 자기완결 vanilla JS — 노드 클릭으로 하네스 내용을 손쉽게 조회. ### 이번 minor 통합 (1.34.1~1.34.4) - **🕸️ leerness graph --html (1.34.3)**: 프로젝트 루트에 `leerness.html`(Obsidian graph-view 스타일 force-directed 캔버스) 생성. 노드=task(status색)/plan/decision/lesson/rule/skill/feature, 엣지=`M-####`·`[TURDL]-####`·`[[wikilink]]`·feature-graph. 기존 `graph`(mermaid 코드그래프)는 비파괴 유지(`--html` 분기). 새 모듈 `lib/graph.js`(DI). 맹신X: 엣지 이중계수 dedup + (자가발견)U+2028-in-regex SyntaxError 회귀를 중첩 spawn 재현으로 반증·revert. - **📊 graph 자동생성 (1.34.4)**: `LEERNESS_AUTO_GRAPH=1`(기본 OFF, Always-Off Opt-In) 시 `handoff` 마다 `leerness.html` 자동 갱신. dispatch 래퍼 격리 + `quiet` 모드. 맹신X: `handoff --json` notice 오염 차단(`!has('--json')`). - **🔬 gate --claims 정직화 (1.34.1)**: gate 정밀성 문구 정직화 + 판별 케이스 e2e 가드. - **🐶 scan secrets FP 억제 (1.34.2)**: dogfood(leerness Gate) 발견 — 'test' 픽스처 토큰 FP 억제(FN-safe, 실키 회귀 0). ### 안정화 표시 (R-0006) - annotated tag `v1.35.0` (Stable) · GitHub release · npm dist-tag `stable` — 게시 단계에서 수행. - **배포 대기**: `npm publish` 는 2FA OTP 필요 → 사용자 게시 후 게시본 클린룸 재실증(graph --html 행위 포함, re-verify-published-artifact 교훈). ### 검증 (회귀 0) - selftest **262** · full **e2e 381/381**. **게시본 클린룸 재실증(1.35.0)**: 버전 1.35.0 · lib/graph.js 게시 포함 · selftest 262 · `graph --html` 7노드 생성 + `LEERNESS_AUTO_GRAPH=1` auto-gen 동작 OK. bin+package.json 동시 bump 일치. ## 1.34.4 — 2026-06-27 — 📊 graph 자동생성(opt-in): handoff 시 leerness.html 자동 갱신 **T-0077 후속(사용자 비전 "자동으로 작성되게" 충족)**: `leerness graph --html`(1.34.3)은 수동이었음. 이제 `leerness handoff` 시 leerness.html 을 자동 재생성하는 opt-in 훅 추가 — 매 세션 시작마다 온톨로지 그래프가 최신 상태로 유지. ### 기능 (Always-Off Opt-In) - 환경변수 `LEERNESS_AUTO_GRAPH=1` 일 때만 동작(기본 OFF — 1.9.213 "Always-Off Opt-In" 원칙). handoff 출력 끝에 `_maybeAutoGraph(root)` 가 leerness.html 을 조용히(quiet) 재생성하고 한 줄 알림. - 비치명: dispatch 래퍼에서 `handoffCmd()` 반환 후 호출 → `.harness` 미존재/오류 시 try/catch 로 handoff 본문 무영향. `--quiet`/`--compact` 시 알림 생략. - `lib/graph.js`: `graphHtmlCmd` 에 `quiet` 옵션 추가(자동생성 시 사람용 3줄 로그 억제). 거대 handoff 본문 미수정(격리). ### 검증 (회귀 0) - selftest **262** (신규: handoff opt-in 배선 grep[split-literal 자기참조 회피] + quiet 모드 무로그 행위). - **end-to-end**: init 한 임시 하네스에서 `handoff` — env 미설정 → leerness.html 미생성(기본 off 증명), `LEERNESS_AUTO_GRAPH=1` → 생성 + 알림 라인 확인. - full **e2e 381/381**(711s, 기본 off → 기본경로 무영향) · bin+package.json 동시 bump. patch(1.34.4) — npm 미배포(R-0011). ## 1.34.3 — 2026-06-26 — 🕸️ leerness graph --html: 하네스 온톨로지 그래프(leerness.html) 자동 생성 **사용자 요청 신규 기능(T-0077)**: leerness 적용 프로젝트 루트에 인터랙티브 온톨로지 그래프 HTML(`leerness.html`)을 생성. Obsidian graph-view 스타일 force-directed 캔버스로 5 메모리 표면(task/plan/decision/lesson/rule) + skills + feature-graph 를 노드/엣지로 시각화하고, 노드 클릭 → 내용 패널로 하네스를 손쉽게 조회. **0 런타임 의존 자기완결 vanilla JS**(차트 라이브러리 X). codex 와 설계 협업(통합 지점·데이터 재사용·DI 배치), 검수는 메인. ### 기능 - `leerness graph [path] --html [--out ] [--json]` — 기존 `graph`(mermaid 코드 의존성 그래프)는 기본 동작 유지, `--html` 분기로 온톨로지 HTML 생성(비파괴). - 데이터: in-process 로더 주입(`_roadmapData`·`_loadDecisions`·`_loadLessons`) — 자식 프로세스 셸링 0. 노드: task(status별 색상)/plan/decision/lesson/rule/skill/feature. 엣지: `M-####`·`[TURDL]-####` 참조 · `[[wikilink]]` · `feature-graph.md`. - 새 모듈 `lib/graph.js`(DI 패턴 — lib/diagnostics 류와 일관). bin/leerness.js 는 thin wrapper + dispatch 분기 + help 만. - 임베드 안전: 모든 `<` → `<` 치환으로 ``·`` 가짜 마커·` ``` ` break-out 이 모두 펜스 안 리터럴로 무력화(구조 위조 차단). content 자체는 보존(참조용). - **src 경로 개행 strip**: `(from ${src})` 의 경로에서 CR/LF 제거(병리적 디렉토리명 주입 방어). - **맹신X 확인**: `inherited-from-parent.md` 는 leerness 런타임이 구조 파싱하지 않음(AI 참조 전용, 소비자는 adopt writer + e2e 존재확인뿐) → fencing 이 어떤 파서도 깨지 않음. ### 검증 (회귀 0) - **행위(적대적 부모)**: 부모 design-system 에 가짜 `## INJECTEDHEADER` + 가짜 마커 + ` ``` ` 주입 → adopt --apply → 자식 doc 에서 적대 콘텐츠가 fence 안 격리(injIdx/spoofIdx > fenceOpen) · 동적펜스 ≥4(백틱런 차단) · 실제 top 마커 1개 보존 · content('normal design tokens') 보존. - **selftest 257** (VERSION↔package.json 가드가 한쪽-bump 실수 즉시 포착 — 1.30.2 교훈 작동) · **E2E 376→377**: 새 가드 B(1.32.3). - 비파괴(자식 design-system.md 무변경)·PARENT_LINK.json(JSON.stringify) 무영향 hold. - patch(1.32.3) — npm 미배포(R-0011). bin+package.json 동시 bump + 일치 가드 통과. ## 1.32.2 — 2026-06-17 — 🪞 정직성 calibration (웹 Opus 4.8 외부리뷰 후속, 맹신X) **🪞 외부 리뷰(웹 Opus 4.8, README-skim 기준)가 지적한 과장을 직접 검증해 진짜 갭만 calibrate.** *false-"done"을 막는 도구가 자기 자신에 대해 과장하면 모순* — 도구 thesis 와의 일관성을 위한 정직성 라운드. 맹신X 양방향: 리뷰가 과장이라 본 항목 다수가 README/docs 에 이미 정직했음을 확인(미수정), 진짜 잔여 갭만 수정. ### 맹신X 검증 결과 (리뷰 주장 vs 실제) - **이미 정직(미수정)**: ① 강제력 — README "Guidance vs enforcement (be honest about this)" 섹션이 *cooperative / 작정한 에이전트는 skip 가능 / 진짜 강제는 CI gate + 필수 branch protection (guideline vs guardrail)* 를 이미 명시. ② clean-room 자기보고 — `docs/clean-room-evaluations.md` 가 *"NOT third-party human audits or peer review · AI clean-room · checkable rather than marketing line"* + "한계(정직)" 섹션을 이미 명시. → 리뷰가 README-skim 으로 과장 평가한 부분(맹신X 기각). - **진짜 갭(수정)**: clean-room "independent" 표현이 본문 인라인에서 제3자처럼 읽힐 여지 + 성숙도 upfront 라벨 부재. ### 변경 (정직성) - **clean-room "self-administered" 인라인 명시**: README.md "independent clean-room evaluations" → "self-administered clean-room evaluations (AI agents, fresh install, behavior-only — **not third-party human audits or peer review**)". README.ko.md 동일("독립" → "자체 수행 AI 클린룸 평가, 제3자 감사 아님"). - **ko "객관 리뷰" 과장 교정**: README.ko.md 의 "외부 다중 모델…**객관 리뷰**" → "AI 다중 모델…클린룸 리뷰(행위 기반 — 제3자 인간 객관 감사 아님)". - **성숙도 정직 라벨 신규** (en+ko): *early·largely solo-maintained·대부분 자율 AI 라운드 self-dev·외부채택 미미* 를 upfront 공개 + 낮은 exit-cost 비대칭(MIT·0 deps·평문파일·lock-in 거의 0)으로 *차별화 슬라이스(verify-claim + CI gate)만 의존* 권고. 시크릿 스캔은 gitleaks/trufflehog 등 전용도구 권장(편의 가드지 대체재 아님) 명시. ### 검증 - 헤로(README 관리블록 밖) 편집만 — selftest README 가드(ASCII 배너 일치)·clean-room doc 가드 무영향(미접촉). **selftest 257** + README 데모 명령(task/verify-claim) 스모크 무회귀. - **doc-only**(CLI 행위 무변경) — 전체 e2e 무영향이라 생략(정직 표기). patch(1.32.2) — npm 미배포(R-0011), GitHub README(리뷰 1차 표면)는 push 즉시 반영. ## 1.32.1 — 2026-06-16 — 🔍 15번째 외부/멀티에이전트 리뷰 후속: parent/constraints --json 에러 구조화 + --select 정합 **🔍 15번째 외부/멀티에이전트 리뷰(게시본 1.32.0 신규 표면 3차원) — 발견 전건 맹신X 양방향 재현검증 후 확정분만 수정.** i18n 차원은 clean(영어화 견고 재확인). parent/constraints/사이트 verify-deploy 에서 확정 발견 수정. 보안/비파괴 핵심 보장은 모두 hold. ### 변경 (15th리뷰 확정 발견) - **C2 (P2) `--json` 에러 경로 구조화**: `constraints check/add` + `constraints`/`parent` unknown-subcommand 가 `--json` 에서도 plain text 를 출력하던 것을 `failJson(has('--json'), code, msg)` 로 통일(1.9.398 convention 과 일관). JSON 소비자가 stdout 파싱 가능. human 경로(`✗`+exit1) 보존. - **A1 (P2) parent adopt `--json` 에러 비공백**: `adopt --apply --json` 이 쓰기 오류 시 **빈 stdout+exit1**(JSON 소비자 크래시)을 내던 catch 를 구조화 1객체 `{applied:false, error}` 로 교정. - **A2 (P3) `--select` 정합**: 알 수 없는 `--select` kind(예: `garbage`)를 무시(필터)하고, **적용 후보 0건이면 기록하지 않음 + applied:false**(빈/거짓 `PARENT_LINK.json` 지속 차단, dry-run 과 일관). `adoptedKinds` 는 요청 kinds 가 아닌 **실제 채택분(cand)**만 기록. - **사이트 verify-deploy.cjs (별도 레포 커밋)**: C1(P1) 버전 정규식 좌측 경계 누락 → stale 사이트 false-pass(green-but-stale) 위험 교정(`(? 필요. 예: …`(+쌍둥이 `optimism-check`) 를 `_uiLang(root)` 분기로 영어(` required. ex: …`). plain + `--json` 모두. ### 검증 (회귀 0) - **selftest 257** — 단, F4 가 `missing_args` 라인을 en/ko 로 늘려 1.9.400 소스가드의 `{0,400}` 윈도가 `not_found` 에 못 미쳐 1건 실패 → **윈도 `{0,700}` 확대로 복구**(라인 길이 늘 때 윈도형 소스가드가 깨지는 패턴, 즉시 적발·수정). - **행위(맹신 X)**: `handoff --language en` 워크플로 가이드(4줄 영어, 한글 0) + 메모리 변동 영어 · `handoff` ko 보존 · verify-claim/optimism-check en 영어(`required. ex:`) + ko 보존(`필요. 예:`). OVERALL PASS. - **E2E 372/372**: 기존 i18n 행위 케이스에 가드 ⑫ 확장(워크플로 가이드 + verify-claim en/ko) — 케이스 추가가 아닌 어서션 확장이라 총수 유지. - patch(1.30.5) — npm 미배포(R-0011). bin+package.json 동시 bump + 일치 가드 통과. ### 잔여 (UR-0010 백로그) - 팀 스케줄 reminder 본문(pure-utils `_teamHandoffReminders`, 팀 정의 시만 노출) · capabilities/commands/constraints/install-safety · init en seed 템플릿. ### 🎉 14th 외부리뷰 7/7 완료 F1/F2 보안정직성(1.30.1) · F3/F4 i18n(1.30.5) · F5/F6/F7 cli-ux(1.30.4) — 14번째 외부 멀티모델 리뷰의 재현·확인된 7 발견 전부 수정 완료. ## 1.30.4 — 2026-06-16 — cli-ux 일관성: add류 dedup + 빈입력 --json + bogus subcommand (14th 외부리뷰 F5+F6+F7) **🧹 14번째 외부 리뷰가 재현·확인한 cli-ux 일관성 3종(P2/P2/P3) 수정.** add 계열 명령들이 서로 다르게 동작하던 비일관성을 정리. ### 변경 (14th 외부리뷰 F5+F6+F7) - **F5 (P2) decision/lesson dedup**: `decision add` / `lesson save` 가 동일 입력을 무조건 append 해 중복 누적되던 것을 `task add`/`rule add` 와 일관되게 **dedup**(동일 title/text 존재 시 `exists (skip)`, `--force` 우회). `--json` 시 `{ok:true,skipped:true}`. - **F6 (P2) rule/lesson 빈입력 --json 구조화**: `rule add "" --json` / `lesson save "" --json` 가 평문 `✗` 를 출력하던 것을 `decision/task add` 와 일관되게 **구조화 JSON**(`{ok:false,code:empty_title|empty_text}` + exit 1). dispatch 레이어에 failJson 가드 추가. 성공 경로 JSON 무회귀. - **F7 (P3) bogus subcommand 토큰 명시**: `task frobnicate` / `rule frobnicate` 가 top-level `unknown_command: task/rule`(유효 부모명 오인) 를 출력하던 것을, **잘못된 토큰을 명시 + usage**(`알 수 없는 task 하위명령: frobnicate — leerness task list|add|...`) + exit 1 로 수정. decision 의 usage 출력과 일관. ### 검증 (회귀 0) - **selftest 257** (변동 없음 — 행위 변경이라 e2e 로 검증). - **행위(맹신 X)**: F5 decision/lesson 1 copy + --force→2 · F6 rule/lesson 빈입력 구조화 JSON+exit1 & 성공경로 JSON 유지 · F7 task/rule 잘못된 토큰 명시+exit1 & 유효 하위명령 무회귀. 3/3 PASS. - **E2E 371→372**: 새 가드 B(1.30.4). - patch(1.30.4) — npm 미배포(R-0011). bin+package.json 동시 bump(1.30.2 교훈) + 일치 가드 통과. ### 14th 외부리뷰 잔여 - **#156** F3+F4 i18n(handoff 본문 en 누출 + verify-claim 에러) — 다음 라운드. → 14th 리뷰 7건 중 F1/F2(1.30.1)+F5/F6/F7(1.30.4) 완료, F3/F4 남음. ## 1.30.3 — 2026-06-16 — 🔗 parent adopt: 부모 자산 게이트형 적용 (dry-run 기본·비파괴) (#158 사용자명시) **🔗 1.30.2(탐지)의 후속 — 부모 자산을 자식 프로젝트에 '적용'하는 단계.** 사용자 결정 게이트: dry-run 기본, `--apply`(사용자 명시 결정) 시에만 기록하며, **자식 원본 design-system.md 를 변형하지 않고 별도 참조 파일에만 기록(비파괴)**. ### 변경 (#158) - **`leerness parent adopt [--select ] [--apply] [--json]`** (신규): - **dry-run 기본**(--apply 없음): 적용 후보(design-system/reuse-map/conventions)를 보여주고 **아무 파일도 쓰지 않음**. "실제 적용하려면 --apply" 안내. - **`--apply`(사용자 명시 결정)**: 부모 자산을 자식-로컬 `.harness/inherited-from-parent.md`(참조) + `.harness/PARENT_LINK.json`(마커)로 기록. **자식 design-system.md/reuse-map.md 직접 변형 안 함**(additive·비파괴·되돌리기 쉬움). - `--select design-system,reuse-map,conventions`(기본 all) — 적용 자산 선택. - intent expand(1.9.213) 안전 모델 동일: Always-Off Opt-In + Dry-run 기본 + 명시 결정. - **handoff 헤드라인 adopt 상태 반영**: 자식에 `PARENT_LINK.json` 있으면 `🔗 부모 프로젝트 (N 자산·adopted)`, 없으면 `·미적용`(en: adopted / not applied). 게이트 상태 가시화. - commands 카탈로그 `parent detect|adopt` 갱신. ### 검증 (회귀 0) - **selftest 256→257** (adopt 게이트/비파괴 소스가드). - **행위(맹신 X)**: dry-run→쓰기 0 · `--apply`→inherited+marker 기록 · **자식 design-system.md 무변경 확인** · linkOk · handoff 헤드라인 adopted(ko/en) · `--json applied:true`. OVERALL PASS. - **E2E 370→371**: 새 가드 B(1.30.3) — dry-run 쓰기0 + --apply 비파괴 + handoff adopted + --json. - patch(1.30.3) — npm 미배포(R-0011). VERSION bump bin+package.json 동시(1.30.2 교훈) + 일치 가드 통과. ### #157~158 정리 - 하위 프로젝트 부모 자산: **탐지(1.30.2, read-only) → adopt(1.30.3, 게이트형 비파괴)** 2 슬라이스 완료. 외부 codex 리뷰는 비동기(미반영) — 도착 시 후속 보강. ## 1.30.2 — 2026-06-16 — 🔗 하위 프로젝트: 상위 leerness 부모 탐지(read-only) — 자산 재사용은 사용자 결정 게이트 (#157 사용자명시) **🔗 leerness 프로젝트 하위에 신규 하위프로젝트로 이어 개발할 때, 부모의 자산(design-system/reuse-map/컨벤션)을 어떻게 다룰지** 에 대한 사용자 명시 요청(#157). **외부AI(codex)+Claude(Plan) 교차검토**로 방향을 정하고 첫 슬라이스 구현. ### 방향 결정 (교차검토 + 사용자 제약) - 사용자 하드 제약: **부모 자산 재활용은 자동이 아니라 사용자 결정 게이트**(묻거나 지시에 따라 톤/스타일 적용). - 검토 결과 → **방향 C "탐지 + 게이트"**: (A 자동상속)은 사용자 제약·leerness intent-expand 안전모델 위배, (B 독립 nested)는 재사용 목표 폐기. **C = 부모를 탐지해 AI 에게 '재사용 후보'로 노출만 하고, 실제 적용은 사용자 결정 게이트**(intent expand 1.9.213 / migrate-workspace-dir 1.9.211 과 동일 철학: 탐지·노출 ≠ 적용). ### 변경 (첫 슬라이스 — read-only 탐지) - **`_findParentWorkspace(root)` 순수 헬퍼**: root 상위로 올라가며 가장 가까운 leerness 부모(`.harness`/`.leerness`)를 탐지. FP/안전 가드: root 자신 제외 + 깊이 상한(8) + 실제 워크스페이스 디렉토리만. 부모 자산(design-system/reuse-map/AGENTS/skills) 존재 여부 + assetCount 반환. - **`leerness parent detect [--json]`** (신규, read-only): 부모 경로 + 재사용 가능 자산 + **"⚠ 자동 적용 안 함 — 사용자 결정 게이트"** 경고 + 부모 design-system/reuse-find 포인터. 아무 파일도 쓰지 않음(`applied:false`). ko/en. - **handoff 헤드라인 토큰 `🔗 부모 프로젝트 (N 자산·미적용)`** (en: `🔗 parent project (N assets, not applied)`): AI 가 세션 시작 즉시 부모 컨텍스트를 인지(재발명 방지)하되 '미적용' 표기로 게이트 명확. read-only. - commands 카탈로그 등재(표면 일관성). ### 후속 (다음 슬라이스, 별도 라운드) - **`leerness parent adopt --select tone|tokens|conventions --apply`** (dry-run 기본, 사용자 명시 confirm 시에만 적용): 부모 톤/스타일을 자식-로컬 `inherited-from-parent.md` + `PARENT_LINK` 마커로 기록(자식 design-system.md 직접 변형 X). intent expand 게이트 패턴 재사용. ### 검증 (회귀 0) - **selftest 254→256** (① parent detect 행위: 부모 탐지·assetCount·독립 null·read-only 소스마커 ② **VERSION ↔ package.json 일치 가드**). - **행위**: subproject→부모탐지(4자산)·standalone→독립·`--json applied:false`·handoff 헤드라인 🔗(ko/en 미적용)·read-only(파일쓰기 0) 확인. - **E2E 369→370**: 새 가드 B(1.30.2) — parent detect/--json/standalone-null/handoff-headline/read-only. - **🐛 버전 불일치 자체수정 + 영구가드**: 이 라운드에서 `bin VERSION` 만 1.30.2 로 bump 하고 `package.json` 을 1.30.1 로 둔 실수 → 배너가 v1.30.2 인데 package.json 1.30.1 라 banner e2e 가 결정적 실패. 처음엔 flake 로 오인했으나 **격리 5회 재현(맹신 X)** 으로 결정적 실 버그임을 확인·수정. 재발 방지로 `VERSION === package.json.version` selftest 가드 추가(11분 e2e 대신 2초 차단). - **e2e flake 하드닝(1.9.375 계열)**: agents dispatch(3 spawn)·--version --banner subprocess timeout 10s→30s — 전체 e2e 부하 하 간헐 빈-stdout 오판 방지(동작 무변경). dispatch 는 실제 flake, banner 는 위장한 실버그였음(위 항목). - patch(1.30.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). > 교차검토 메모: Claude Plan 에이전트는 방향 C + 첫 슬라이스(탐지+헤드라인)를 권고. 외부 codex 에이전트 리뷰는 비동기 진행(완료 시 후속 adopt 슬라이스에 반영). 방향 C 는 사용자 제약·Plan·leerness 기존 안전모델이 모두 가리켜 overdetermined. ## 1.30.1 — 2026-06-16 — 🔒 보안 정직성: audit/handoff 보안요약이 커밋된 시크릿 노출 (14th 외부리뷰 F1+F2) **🔒 도구가 보안 상태를 정직하게 보고하도록 수정.** 14번째 외부 리뷰가 재현·확인한 정직성 갭 2건(P2): `audit`/handoff 보안요약이 소스에 커밋된 실 시크릿을 노출하지 못해, `scan secrets`(exit 1)와 모순되게 healthy 를 반환하던 문제. 정직성 테마(1.9.415/1.9.418/1.27.1 계열) 연장. ### 변경 (14th 외부리뷰 F1+F2) - **🔒 F1 — audit 커밋 시크릿 failure 승격**: `audit`/`check` 가 `_collectSecretFindings` 콘텐츠 스캔을 돌려 **committed 시크릿을 failure 로 승격**(healthy:false / exit 1) — `scan secrets` 와 일관. 기존엔 `.gitignore` 패턴/`.env` 동기화만 검사해, un-gitignored `.env` + 실 AWS/GitHub 키에 healthy:true/exit 0 을 반환(audit 기반 CI 게이트가 노출 시크릿을 통과)하던 갭. **gitignored 보관 시크릿은 committed 에서 제외 → FP 0**. 끄기: `--no-secret-scan`. (lib/audit.js, DI `_collectSecretFindings` 주입.) - **🔒 F2 — handoff 보안요약이 committed 시크릿 노출**: `## 🔒 보안 요약` 섹션이 headline 의 `🚨 시크릿 N건` 과 일관되게 **커밋된 시크릿을 노출**. 기존엔 `.env`/`.gitignore` 만 검사 + `envExists` 단독 게이팅이라 `.env` 없으면 섹션 통째 생략(헤드라인은 시크릿 N건인데 상세 섹션 부재). 이제 committed 시크릿이 있으면 `.env` 없어도 섹션 표시 + 파일 위치(`file:line`) 노출(값 snippet 은 미출력 — handoff 로그로의 시크릿 유출 방지). ko/en 양쪽. ### 검증 (회귀 0) - **selftest 254/254** (audit 위임/FP-FN 가드 유지). - **행위 검증**: F1 un-gitignored .env+실키 → audit exit 1/healthy:false(=scan 일관) · **FP 0**(gitignored .env+키 → healthy:true · 클린 → healthy:true) · F2 committed 시크릿(.env 없음) → 보안요약 섹션 노출(ko) + en 영어(섹션 한글 0, Node 탐지). - **E2E i18n+보안가드 신규 B(1.30.1)**: F1 승격/FP0 + F2 ko/en 노출을 e2e 에 못박음. **368→369**. - patch(1.30.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ### 14th 외부리뷰 잔여 백로그 (다음 라운드) - F5+F6+F7 cli-ux 일관성(decision/lesson dedup · rule/lesson 빈입력 --json 구조화 · bogus subcommand 토큰) · F3+F4 UR-0010 잔여 i18n(handoff 본문 en 누출 · verify-claim 에러). ## 1.30.0 — 2026-06-16 — 🛡️ [안정화/Stable] handoff 본문 i18n 4종 안정 minor **🛡️ 안정화(Stable) minor — handoff 본문 4블록 영어화 + i18n-coupling 감사 + 블록-스코프 t 회귀수정을 npm 공개.** 직전 minor(1.29.0) 이후 누적된 패치 4건(1.29.1~1.29.4)을 검증·통합해 배포. R-0011 정책의 21번째 stable minor. 한국어 우선 기본은 그대로. ### 이번 minor 통합 (1.29.1~1.29.4) - **🔒🌐 보안 요약 섹션 영어화 + i18n-coupling 감사 (1.29.1)**: 영어 사용자가 커밋된 시크릿을 가질 때 정확히 노출되는 handoff 보안 요약 섹션(`## 🔒 보안 요약` / issues / `🚨 CRITICAL` / 자동회복 / `💡 자동 실행 옵션`)을 영어화. lib/ 전수로 1.28.1 `hasSecurityFired` 류 라벨-결합 버그 추가 탐색 → 0건. **블록-스코프 t 회귀 자체수정**: headline `t()` 스코프 밖이라 `ReferenceError → try 삼킴 → 섹션 증발` 회귀를 심었다가 **행위 검증**으로 적발(소스가드는 통과)·수정. - **🌐 env-detect 블록 영어화 (1.29.2)**: `🖥 실행 환경` PATH 누락/변동 감지 + `→ 상세` 안내 영어화. - **🌐 shell-guard 블록 영어화 (1.29.3)**: `🐚 터미널 셸 가드` 헤더 + 환경 버전 변동 재검토 + 최근 셸 실패 + 명령 실행 전 점검 영어화. - **🌐 CLI 에이전트 슬래시 블록 영어화 (1.29.4)**: `🤖 CLI 에이전트 슬래시 명령` 헤더 + 활성 에이전트 + (하위명령) + 전체/기록/최신화 영어화. - **공통**: 4블록 모두 headline `t()` 스코프 밖 → 블록 로컬 `t()`/`_uiLang(root)` 정의(1.29.1 교훈 적용). 한국어 verbatim 보존. ### 핵심 교훈 (defense-in-depth) - **소스가드(문자열 존재) ≠ 동작**: 번역 헬퍼를 다른 섹션의 블록 스코프에 두면 `ReferenceError` 가 `try/catch` 에 삼켜져 표면 전체가 (양 언어 모두) 사라진다. selftest 소스가드는 통과하지만 런타임 출력이 0. **행위 검증 + e2e 가드**로만 잡힌다. ### 검증 (회귀 0) - **selftest 250→254** (4블록 영어/한국어 보존 소스가드, split-literal 로 self-reference 회피). - **E2E 368/368** — i18n 행위가드 **⑧~⑪ 신규**: 보안요약(.env+미흡 gitignore) / env-detect(스냅샷 변동) / shell-guard(셸실패+스냅샷변동) / agent-slash(env flag 활성) 4 시나리오를 실제 발동시켜 en 영어(블록 한글 0, Node 탐지) + ko 보존 검증. - minor(1.30.0) — npm 배포(R-0011 stable) + annotated tag(Stable) + GitHub release(latest) + 게시본 클린룸 재실증. ### 잔여 (UR-0010 백로그) - capabilities/commands/constraints/install-safety 영어화 · init en seed 템플릿 i18n · handoff 본문 잔여 표면(팀 스케줄/요청 자동완료/비정상종료) 점진 영어화. ## 1.29.4 — 2026-06-16 — handoff CLI 에이전트 슬래시 명령 블록 영어화 (UR-0010) **🌐 handoff CLI 에이전트 슬래시 명령 블록을 영어화.** 1.29.3 잔여 백로그. 외부 CLI 에이전트(codex/claude/agy/copilot/ollama)가 env flag 로 활성일 때 노출되는 sub-agent 슬래시 명령 요약을 `--language en` 에서 영어로. 한국어 기본 보존. ### 변경 (UR-0010) - **🌐 agent-slash 블록 4줄 영어화**: `## 🤖 CLI agent slash commands (UR-0021)` 헤더 + `N active agent(s) — use each one's slash commands when invoking a sub-agent:` + ` (subcommand)` 접미사 + `→ full list / record / refresh: leerness slash-commands [agent] [--record]`. 에이전트별 명령 라인(`id cmd…`)은 데이터라 무변경. ko verbatim 보존. - **블록-스코프 t 함정 회피(1.29.1 교훈)**: 이 블록도 headline `t()` 스코프 밖 → 블록 로컬 `t()`/`_uiLang(root)` 정의. ### 검증 (회귀 0) - **selftest 253→254** (agent-slash 영어/한국어 보존 소스가드, split-literal). - **행위 검증(1.29.1 교훈)**: `LEERNESS_ENABLE_CODEX=1`+`LEERNESS_ENABLE_CLAUDE=1` 로 블록 발동 → `handoff --language en` 영어 렌더(블록 라인 한글 0, Node 탐지) / `handoff` ko 보존. - **E2E i18n 행위가드 ⑪ 추가**: agent-slash en/ko 를 env flag 활성 시나리오로 e2e 에 못박음. - patch(1.29.4) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ### 잔여 (UR-0010 백로그) - capabilities/commands/constraints/install-safety 영어화 · init en seed 템플릿 i18n · handoff 본문 잔여 표면(팀 스케줄/요청 자동완료/비정상종료 등) 점진 영어화. ## 1.29.3 — 2026-06-16 — handoff shell-guard 블록 영어화 (UR-0010) **🌐 handoff 터미널 셸 가드 블록을 영어화.** 1.29.2 probe 에서 관측한 인접 en-leak. 과거 셸 실패(예: PowerShell 5.1 `&&` 미지원) + 환경 버전 변동 알림을 `--language en` 에서 영어로. 한국어 기본 보존. ### 변경 (UR-0010) - **🌐 shell-guard 블록 4줄 영어화**: `## 🐚 Terminal shell guard (UR-0020)` 헤더 + `⚠ Environment version changed — review past shell failures:` + `N recent shell failure(s) (showing up to 3):` + `→ check before running a command: leerness shell-guard ""`. data 라인(`what: from → to`, `cmd (exit=…, shell)`)은 이미 영어라 무변경. ko verbatim 보존. - **블록-스코프 t 함정 회피(1.29.1 교훈)**: 이 블록도 headline `t()` 스코프 밖 → 블록 로컬 `t()`/`_uiLang(root)` 정의하고 영어화(회귀 사전 차단). ### 검증 (회귀 0) - **selftest 252→253** (shell-guard 영어/한국어 보존 소스가드, split-literal). - **행위 검증(1.29.1 교훈)**: `.harness/shell-failures.json` 시드 + 스냅샷 변동으로 hasFailures/hasDrift 양쪽 발동 → `handoff --language en` 4줄 영어 렌더(블록 라인 한글 0, Node 탐지) / `handoff` ko 보존. - **E2E i18n 행위가드 ⑩ 추가**: shell-guard en/ko 를 셸실패+스냅샷변동 시나리오로 e2e 에 못박음. - patch(1.29.3) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ### 잔여 (UR-0010 백로그) - handoff CLI 에이전트 슬래시 명령 블록(`## 🤖 CLI 에이전트 슬래시 명령`/`활성 에이전트 N개`) en-leak(외부 에이전트 활성 시 노출, 다음 라운드) · capabilities/commands/constraints/install-safety 영어화 · init en seed 템플릿 i18n. ## 1.29.2 — 2026-06-16 — handoff env-detect 블록 영어화 (UR-0010) **🌐 handoff 실행 환경 변동/PATH 누락 알림을 영어화.** 1.29.1 감사 중 발견한 인접 en-leak. `🖥 실행 환경` 헤더 2종(PATH 누락 / 변동 감지) + `→ 상세` 안내를 `--language en` 에서 영어로. 변동 설명(`os.platform`/`node`/`tool added` 등)은 이미 영어라 source 무변경. 한국어 기본 보존. ### 변경 (UR-0010) - **🌐 env-detect 블록 3줄 영어화**: `🖥 Runtime environment: ⚠ N PATH tool(s) missing — npm run may fail` / `🖥 Runtime environment: N change(s) detected` / `→ details: leerness env detect . --json`. ko verbatim 보존. - **블록-스코프 t 함정 회피(1.29.1 교훈 적용)**: env-detect 블록도 headline 의 `t()` 스코프 밖이라, 처음부터 블록 로컬 `t()`/`_uiLang(root)` 를 정의하고 영어화 — `ReferenceError → try 삼킴 → 블록 증발` 회귀를 사전 차단. ### 검증 (회귀 0) - **selftest 251→252** (env-detect 영어/한국어 보존 소스가드, split-literal). - **행위 검증(1.29.1 교훈)**: 스냅샷 `node.version` 인위 변경으로 블록 강제 발동 → `handoff --language en` 이 영어 렌더(블록 라인 한글 0, Node 탐지) / `handoff` ko 보존 확인. - **E2E i18n 행위가드 ⑨ 추가**: env-detect en/ko 를 스냅샷 변동 시나리오로 e2e 에 못박음. - patch(1.29.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ### 잔여 (UR-0010 백로그) - handoff shell-failures 재검토 알림(`⚠ 환경 버전 변동 — 과거 셸 실패 기록 재검토 권장`) en-leak(env 변동 시 동반 노출, 다음 라운드) · capabilities/commands/constraints/install-safety 영어화 · init en seed 템플릿 i18n. ## 1.29.1 — 2026-06-16 — i18n-coupling 감사(clean) + handoff 보안 요약 섹션 영어화 (UR-0010) **🔒🌐 영어 사용자가 커밋된 시크릿을 가질 때 정확히 노출되는 handoff 보안 요약 섹션을 영어화.** 1.28.1 의 `hasSecurityFired` 라벨-결합 버그 클래스를 lib/ 전수 감사(추가 결합 버그 0)한 뒤, 감사 중 발견한 마지막 en-leak(보안 요약 본문)을 영어화. 한국어 우선 기본 보존. ### 감사 (i18n-coupling, clean) - **lib/ 전수**: 번역된 라벨에 내부 로직이 string-match 로 결합된 곳(1.28.1 류) 추가 탐색 → **0 건**. drift `level === '🔴 critical'` 은 언어-안정(미번역), analyzer 조건은 bilingual-by-design, audit/pure-utils 한국어 조건은 미번역 템플릿 매칭, agents 조건은 안정 status 필드. 교차명령(handoff en headline 이 내부 ko-spawn `--json` 을 안정 필드로 파싱)도 견고. ### 변경 (UR-0010) - **🌐 handoff 보안 요약 섹션 영어화**: `## 🔒 보안 요약` 헤더 + 2 issue(`.env→.env.example` / `.gitignore` 시크릿 누락) + `자동 수정` 안내 + `🚨 CRITICAL` + 자동 회복 3줄 + `💡 자동 실행 옵션` 을 `t(ko,en)` 으로 영어 opt-in. 한국어 verbatim 보존. - **🐛 회귀 자체수정(같은 라운드)**: 영어화 첫 시도에서 이 블록이 headline 의 `t()` 스코프 밖이라 `t` 가 미정의 → `ReferenceError` 가 블록의 `try`/`catch` 에 **삼켜져 보안 요약 섹션 전체가 (양 언어 모두) 사라지는** 회귀를 심었다. 소스가드(문자열 존재)는 통과했지만 **행위 검증**에서 적발(맹신 X) → 블록 로컬 `t()` 정의로 수정. 같은 함정의 [[lesson-selftest-self-reference-trap]] / [[lesson-reverify-published-artifact]] 계열. ### 검증 (회귀 0) - **selftest 250→251** (보안 요약 영어/한국어 보존 소스가드, split-literal 로 self-reference 회피) · **행위**: `.env`+미흡 `.gitignore` 시나리오에서 `handoff --language en` 보안 요약 영어 렌더(섹션 라인 한글 0, Node 탐지) / `handoff` ko 보존. - **E2E i18n 행위가드 ⑧ 추가**: handoff 보안 요약 en/ko 를 e2e 로 못박음 — 소스가드가 못 잡는 "블록-스코프 t 누락 → 섹션 증발" 회귀를 행위로 차단(defense-in-depth). - patch(1.29.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ### 잔여 (UR-0010 백로그) - handoff env-detect 블록(`🖥 실행 환경`/`→ 상세: leerness env detect`) en-leak(다음 라운드) · capabilities/commands/constraints/install-safety 영어화 · init en seed 템플릿 i18n. ## 1.29.0 — 2026-06-16 — 🛡️ [안정화/Stable] drift auto-fix·진단 명령 영어화 안정 minor **🛡️ 안정화(Stable) minor — drift 완전 영어화(버그수정 포함) + 진단 3종 영어화를 npm 공개.** 직전 minor(1.28.0) 이후 누적된 패치 2건(1.28.1 + 1.28.2)을 검증·통합해 배포. R-0011 정책의 20번째 stable minor. 한국어 우선 기본은 그대로. ### 이번 minor 통합 (1.28.1~1.28.2) - **🐛+🌐 drift --auto-fix 영어화 + 보안신호 판정 버그수정 (1.28.1)**: 1.27.2 가 보안 신호 라벨을 언어화하며 내부 `hasSecurityFired` 가 한국어 라벨 정규식에 결합돼 `--language en` 에서 보안 auto-fix 가 미발동하던 잠복 버그를 언어-안정 필드(`f.file`)로 수정. drift `--auto-fix` 진행 로그 ~21줄 영어화 → `drift check` 완전 영어(출력 + auto-fix). - **🌐 진단 모듈 영어화 (1.28.2)**: `doctor`(설치/환경)·`which`(버전 충돌·npx 캐시)·`whats-new`(CHANGELOG 차분) 3종을 영어 opt-in. 기존 위임 가드 보존. - **한국어 우선 기본 보존**: 영어는 명시 opt-in. 한국어 출력/내부 호출 무영향(e2e 무회귀). ### 잔여 (UR-0010 백로그) - capabilities/commands/constraints/install-safety 영어화 · init en seed 템플릿 i18n. ### 검증 (회귀 0) - **selftest 250/250** · **E2E 368/368** (i18n 행위가드 lens/health/drift/doctor en/ko) · 게시본 클린룸 재실증. - minor(1.29.0) — npm 배포(R-0011 stable) + annotated tag(Stable) + GitHub release(latest). ## 1.28.2 — 2026-06-16 — CLI 영어화 Phase 10c: 진단 모듈(doctor/which/whats-new) 완전 영어화 (UR-0010) **🌐 설치/버전 진단 3종을 영어로.** 문제 해결 시 자주 쓰는 진단 명령 `doctor`(설치/환경)·`which`(버전 충돌·npx 캐시)·`whats-new`(버전 변경 요약)를 한 모듈(lib/diagnostics.js)에서 완전 영어화. ### 변경 (UR-0010 Phase 10c) - **lib/diagnostics.js 3 명령 영어화 (DI uiLang)**: doctor(설치/환경 진단·설치 경로·MCP 도구·selftest 통과/실패·셸·정상/문제), which(현재 실행·버전·npm 환경·글로벌 설치·PATH 후보·진단·강제 최신 방법), whats-new(버전 파악 실패/CHANGELOG 없음 에러·신규 명령·플래그·파일·버전별 헤드라인·권장 행동). `t(ko,en)`, ko 인자 verbatim. - **3 DI 호출에 uiLang 주입**: doctorCmd/whichCmd(`_uiLang(arg('--path', cwd))`) + whatsNewCmd(`_uiLang(root)`). 기존 1.9.392/1.9.394 위임 가드 문자열 보존(selftest 무회귀). - **한국어 기본 유지**: 영어는 명시 opt-in. ko/내부 호출 무영향. ### 잔여 (UR-0010 백로그) - capabilities/commands/constraints/install-safety 영어화 · init en seed 템플릿 i18n. ### 검증 (회귀 0) - **selftest 249→250** (진단 영어/한국어 보존 + uiLang 주입 소스가드) · 행위(doctor/which/whats-new `--language en` 한글 0 [Node 탐지] / ko 보존) · **E2E 368/368** (i18n 행위가드에 doctor en/ko 추가). - patch(1.28.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.28.1 — 2026-06-16 — Phase 10b: drift --auto-fix 로그 영어화 + 보안신호 판정 버그 수정 (UR-0010) **🐛+🌐 drift 를 완전 영어로 + 직전 라운드가 심은 버그 수정.** `drift check --auto-fix` 진행 로그를 영어화하면서, 1.27.2 가 보안 신호 라벨을 언어화하며 함께 심은 **내부 판정 버그**를 발견·수정. ### 변경 - **🐛 hasSecurityFired 언어-결합 버그 수정**: 1.27.2 에서 보안 신호 `label` 을 `t(ko,en)` 로 언어화했는데, 내부 `hasSecurityFired` 가 한국어 라벨 정규식(`/보안 위험 \(1\.9\.78\)/`)으로 매칭하고 있어 **`drift check --auto-fix --language en` 에서 보안 auto-fix 가 발동하지 않던** 잠복 버그. 언어-안정 필드(`f.file === '.env / .gitignore'`)로 매칭 변경 → en/ko 모두 정상 발동. (번역된 라벨에 내부 로직이 결합되면 안 된다는 교훈 — [[lesson-adversarial-harden-heuristic]] 의 'valueGroup' 류와 동일.) - **🌐 drift --auto-fix 로그 영어화 (~21줄)**: 보안/인코딩/delivered/idempotency/release-cleanup/session-close 자동회복 진행 로그를 `t(ko,en)`. 이로써 `drift check` 가 **완전히** 영어 지원(출력 + auto-fix). - **한국어 기본 유지**: 영어는 명시 opt-in. ko 로그/내부 호출 무영향. ### 검증 (회귀 0) - **selftest 248→249** (afLog 영어/한국어 + 버그수정 소스가드) · 행위(보안 auto-fix en/ko 모두 발동 + en 로그 한글 0 [Node 탐지] + ko 보존) · **E2E 368/368**. - patch(1.28.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.28.0 — 2026-06-15 — 🛡️ [안정화/Stable] 정직성 후속 + drift 영어화 안정 minor **🛡️ 안정화(Stable) minor — 13번째 외부리뷰 정직성 수정 + drift 진단 영어화를 npm 공개.** 직전 minor(1.27.0) 이후 누적된 패치 2건(1.27.1 + 1.27.2)을 검증·통합해 배포. R-0011 정책의 19번째 stable minor. 한국어 우선 기본은 그대로. ### 이번 minor 통합 (1.27.1~1.27.2) - **🔎 정직성 후속 수정 (1.27.1)**: `audit <미초기화경로>` 가 "미초기화" 선언 후 없는 하네스에 design/reuse 체크를 보고하던 모순 출력 차단(요약/JSON 직행). `verify-claim --run-tests` 가 비-테스트 `--test-cmd`(exit 0, 미파싱)를 `✓ all passed` 로 거짓표기하던 것을 `✓ ran (exit 0) — test count unconfirmed` 로 정직 표기(판정/exit 불변 → FP=0). - **🌐 drift check 출력 영어화 (1.27.2)**: `drift check` 기본 출력(경로/상태/신호 표/보안 신호/권장 조치)을 영어 opt-in. `--auto-fix` 진행 로그는 Phase 10b 백로그. 내부 호출(handoff/health)은 ko 기본이라 무영향. - **한국어 우선 기본 보존**: 영어는 명시 opt-in. 한국어 출력/내부 JSON 은 그대로(e2e 무회귀). ### 잔여 (백로그) - drift `--auto-fix` 로그(Phase 10b) · capabilities/commands/doctor/install-safety/constraints 영어화 · init en seed 템플릿 i18n. ### 검증 (회귀 0) - **selftest 248/248** · **E2E 368/368** (정직성 후속 가드 + i18n 행위가드 lens/health/drift en/ko) · 게시본 클린룸 재실증. - minor(1.28.0) — npm 배포(R-0011 stable) + annotated tag(Stable) + GitHub release(latest). ## 1.27.2 — 2026-06-15 — CLI 영어화 Phase 10: drift check 출력 영어화 (UR-0010) **🌐 drift 진단 출력을 영어로.** 고빈도 진단 `drift check` 의 **기본 출력**(경로/상태/신호 표/보안 신호/권장 조치)을 영어 opt-in 으로. `--auto-fix` 진행 로그(~25줄)는 정직하게 Phase 10b 로 분리(반쪽 주장 회피). ### 변경 (UR-0010 Phase 10) - **drift check 출력 영어화 (lib/drift.js, DI uiLang)**: 경로 없음 에러, 표 헤더(`신호/임계/가중치/발화`→`signal/threshold/weight/fired`), 신호 라벨 8종(`session close 누락`→`session close missing`, `current-state 갱신 없음`, `task update 없음`, `progress-tracker 비어있음`, `task-log 갱신 없음`, `보안 위험`→`security risk`, `Feature Graph 미정리`→`unlinked`, `task 0건 sub-app`), 보안 issue 2종, `권장 조치` 블록. `t(ko,en)`, ko 인자 verbatim. - **내부 호출 무영향**: handoff/health 가 drift 를 내부 spawn(LEERNESS_INTERNAL, `--language` 없음)할 땐 ko 기본 라벨 — 한국어 출력/JSON 파싱 그대로(무회귀). 라벨은 `--json` 값도 언어 따름(en 시 영어). ### 잔여 (UR-0010 Phase 10b+, 백로그) - drift `--auto-fix` 진행 로그(~25줄) + capabilities/commands/doctor/install-safety/constraints + init en seed 템플릿 i18n. ### 검증 (회귀 0) - **selftest 247→248** (drift 영어/한국어 보존 + uiLang 주입 소스가드) · 행위(drift `--language en` 한글 0 / ko 보존 / 내부호출 ko 유지) · **E2E 368/368** (i18n 행위가드에 drift en/ko 추가). - patch(1.27.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.27.1 — 2026-06-15 — 13번째 외부리뷰 정직성 후속: audit 미초기화 모순출력 + verify-claim no-parse 표기 **🔎 13번째 외부리뷰의 정직성 잔여 P2/P3 2건 수정(맹신 X 양방향 재현).** 둘 다 leerness 핵심 정체성(정직한 보고)을 직접 건드리는 출력 문제. ### 변경 - **audit 미초기화 경로 모순 출력 차단 (#2)**: `audit <미초기화경로>` 가 "미초기화" 를 선언한 직후 design/reuse 체크를 **없는 하네스에 대해** 보고하던 모순(예: "✓ no duplicate design guide candidates")을 차단 — 미초기화 감지 시 요약/JSON 으로 직행 후 종료. exit code(1)·`--json` 페이로드(not_initialized finding)는 종전과 동일, **정상 프로젝트 audit 은 무영향**(모든 체크 계속). - **verify-claim --run-tests no-parse 정직 표기 (#3)**: 비-테스트 `--test-cmd`(예: `echo hi`)가 exit 0 이면서 테스트 비율을 못 파싱한 경우 `✓ all passed` 로 거짓표기하던 것을 `✓ ran (exit 0) — test count unconfirmed`(실행됨, 테스트 수 미확인)로 정직 표기. **메시지만 변경, 판정/exit 불변** → 출력 포맷이 다른 정상 테스트러너의 통과 주장을 거부하지 않음(FP=0). 진짜 N/N 테스트는 계속 `✓ all passed`, 실패(exit≠0)는 계속 `✗ FAIL`. ### 검증 (회귀 0) - **selftest 246→247** (소스가드; 기존 1.9.421 "audit body=lib" 가드와 자기참조 충돌을 코멘트 앵커로 회피 — [[lesson-selftest-self-reference-trap]] 적용) · 행위(맹신 X 양방향) · **E2E 367→368** (정직성 후속 회귀가드 1건). - patch(1.27.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). 잔여(init en seed=대형 템플릿 i18n, Phase 10 진단 영어화)는 백로그. ## 1.27.0 — 2026-06-15 — 🛡️ [안정화/Stable] 보안 수정 안정 minor (개인키 스캔 FN + placeholder FP) **🛡️ 안정화(Stable) minor — 13번째 외부리뷰에서 확인된 보안 수정을 조기 npm 공개.** 직전 minor(1.26.0) 이후 1.26.1 패치 1건이지만, **보안 FN/FP(거짓 "보안 OK" + CI 파손)는 패치 누적을 기다리기보다 조기 공개가 합리적**이라 단독 minor 로 게시. R-0011 정책의 18번째 stable minor. ### 이번 minor 통합 (1.26.1) - **🔒 개인키 파일 스캔 FN 차단**: `scan secrets` 가 `.pem`/`.key`/`.crt`/`.p8`/`.pfx` 등을 확장자 allow-list 누락으로 건너뛰어 **커밋된 개인키 미탐 + handoff 가 "보안 OK" 거짓보증**하던 문제 수정(basename 오버라이드). gitignore 된 키는 종전대로 info. - **🔒 DB placeholder 오탐(FP) 차단**: `.env.example` 의 `user:password@`·`root:root` 등 교과서 placeholder 를 커밋 시크릿으로 오탐해 `gate`/CI 를 깨뜨리던 문제 수정(valueGroup + placeholder 마커). 진짜 고엔트로피 비밀번호는 계속 탐지(FN=0). - **🔧 retro --json NaN 계약**: 비숫자 `--days` 가 plain text 를 `--json` 소비자에게 흘리던 문제 → 숫자 가드 + 클램프(failJson 구조화). ### 잔여 (외부리뷰 백로그) - init `--language en` seed 데이터 i18n(= 전체 `.harness/` 템플릿 i18n 필요, 대형) · verify-claim `--test-cmd` no-parse 하드닝(FP 회귀 위험으로 신중) · audit 미초기화 출력 정합(cosmetic) · 진단명령 영어화 Phase 10. ### 검증 (회귀 0) - **selftest 246/246** · **E2E 367/367** (개인키 스캔 FN차단 + placeholder FP차단/FN유지 + retro --json 행위 회귀가드 포함) · 게시본 클린룸 재실증. - minor(1.27.0) — npm 배포(R-0011 stable) + annotated tag(Stable) + GitHub release(latest). ## 1.26.1 — 2026-06-15 — 13번째 외부리뷰 P2 수정: 개인키파일 스캔 FN + DB placeholder FP + retro --json NaN **🔎 13번째 외부 멀티모델 리뷰(1.26.0 게시본)에서 확인된 P2 3건 수정.** 3 에이전트 클린룸 리뷰 → 맹신 X 양방향 직접 재현으로 진짜만 채택 → 보안 2건 + --json 계약 1건 수정. ### 변경 (확인된 P2 3건) - **🔒 개인키 파일 스캔 FN 차단 (보안)**: `scan secrets` 가 `.pem`/`.key`/`.crt`/`.p8`/`.pfx` 등 개인키·인증서 확장자를 스캔 allow-list 누락으로 건너뛰어 **커밋된 개인키를 미탐 + handoff 가 "보안 OK" 거짓보증**하던 문제 → basename 오버라이드(env-family 패턴 미러)로 강제 스캔. (gitignore 된 키는 종전대로 info 강등.) - **🔒 DB placeholder 오탐(FP) 차단 (보안/CI)**: `.env.example` 의 `postgres://user:password@`·`root:root`·`yourpassword` 같은 교과서 placeholder 가 커밋 시크릿으로 오탐돼 `gate`/CI 를 깨뜨리던 문제 → DB URI 정규식에 비밀번호 capture group(`valueGroup`) 추가 + placeholder 마커(`root`/`admin`/`user`/`yourpassword` 등 전체-값 정확 일치)로 차단. **진짜 고엔트로피 비밀번호는 계속 탐지(FN=0)**. - **🔧 retro --json NaN 크래시 (계약)**: `retro --days <비숫자>` 가 `new Date(Invalid)` throw 로 `--json` 소비자에게 plain text(`✗ Invalid time value`)를 흘리던 문제 → 숫자 가드 + 음수/오버플로 클램프(`failJson` 구조화, insights/round-history 와 일관). ### 검증 (회귀 0) - **selftest 245→246** (소스가드) · 행위(맹신 X 양방향: 개인키 .key 탐지 + .crt 무오탐, placeholder 스킵 + 실비번 탐지, retro --json 구조화 + 정상동작) · **E2E 367/367** (신규 행위 회귀가드 1건). - patch(1.26.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). 잔여 리뷰 발견(audit 미초기화 출력 정합 P2, verify-claim --test-cmd no-parse 하드닝 P3, init en seed 데이터 i18n, 진단명령 영어화 Phase 10)은 백로그. ## 1.26.0 — 2026-06-15 — 🛡️ [안정화/Stable] i18n 행위가드 + health 진단 영어화 안정 minor **🛡️ 안정화(Stable) minor — i18n 레이어 견고성 검증·가드 + health 진단 영어화를 npm 공개.** 직전 minor(1.25.0) 이후 누적된 패치 2건(1.25.1 + 1.25.2)을 검증·통합해 배포. R-0011 정책의 17번째 stable minor. 한국어 우선 기본은 그대로. ### 이번 minor 통합 (1.25.1~1.25.2) - **🔬 22번째 버그헌트(i18n 레이어) + 행위 e2e 회귀가드 (1.25.1)**: 8 phase 영어화 레이어를 통째 적대 검증 → 런타임 버그 0(맹신 X 양방향). uiLang 크래시안전·`--language` positional 무누출·`--language=en` 문법·`--json` 유효·flag>manifest 우선순위 확인. 소스가드만 있던 공백(1.23.0 과장 통과 원인)을 **행위 e2e 가드**로 보강. - **🌐 health 진단 완전 영어화 (1.25.2)**: 고빈도 진단 `health` 를 렌더 라벨 + 능력 매트릭스 evidence(16종) + issues + summary 까지 완전 영어화(반쪽 번역 회피). `--language en` opt-in. - **한국어 우선 기본 보존**: 영어는 명시 opt-in. 한국어 출력/매트릭스는 한 글자도 안 바뀜(e2e 무회귀). ### 잔여 (UR-0010 Phase 10+, 백로그) - capabilities/commands/drift check/install-safety/constraints/doctor + 메모리 CRUD 빈상태 + handoff 본문 — en-leak 우선순위순. ### 검증 (회귀 0) - **selftest 245/245** · **E2E 366/366** (i18n 행위가드: lens/health en 한글 0 + ko 기본 보존 + positional 무누출 포함). - minor(1.26.0) — npm 배포(R-0011 stable) + annotated tag(Stable) + GitHub release(latest) + 게시본 클린룸 재실증. ## 1.25.2 — 2026-06-15 — CLI 영어화 Phase 9: health 진단 완전 영어화 (UR-0010) **🌐 health 진단을 통째로 영어로.** en-leak 스캔 우선순위에서 고빈도 진단인 `health` 를 — 렌더 라벨만이 아니라 **능력 매트릭스 evidence·issues·요약까지 완전히** — 영어화. 반쪽 번역(1.23.0 과장)의 재발을 피하려 한 모듈(lib/health.js)의 모든 한국어를 한 번에 처리. ### 변경 (UR-0010 Phase 9) - **health 완전 영어화 (lib/health.js, DI uiLang 주입)**: 렌더 라벨(`## 보안`→`## Security`, skills/usage/tasks, `6능력 매트릭스`→`6-capability matrix`, `자동 회복`→`auto-recover`) + **능력 매트릭스 evidence 16종**(웹/PC/멀티/REPL/MCP/LSP 각 점수대) + summary + 보안 issues 4종 + path-not-found 에러. `t(ko,en)` 분기, ko 인자 verbatim. - **bin DI**: `healthCmd` 호출에 `uiLang: _uiLang(root)` 주입(session-close/health 동일 패턴). - **한국어 기본 유지**: 영어는 명시 opt-in. `health`/`health --json` 기본은 한국어 그대로(e2e 무회귀). `--json` 값도 언어 따름(en 시 영어 evidence). ### 잔여 (UR-0010 Phase 10+, 백로그) - capabilities(24)/commands(90)/drift check/install-safety/constraints/doctor + 메모리 CRUD 빈상태 메시지 + handoff 본문 — en-leak 우선순위순. ### 검증 (회귀 0) - **selftest 244→245** (health 영어/한국어 보존 + uiLang 주입 소스가드) · 행위(health `--language en` 한글 0 / ko 16줄 보존 / en --json 유효) · **E2E 366/366** (i18n 행위가드에 health en/ko 추가). - patch(1.25.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.25.1 — 2026-06-15 — 22번째 버그헌트(i18n 레이어 검증) + i18n 행위 e2e 회귀가드 (UR-0010) **🔬 8 phase 영어화 레이어를 통째로 적대 검증.** uiLang/`_tx`/`_t` 머신을 cross-cutting 레이어로 한 번에 점검 — **런타임 버그 0** (맹신 X 양방향 확인). 다만 그동안 i18n 은 *소스가드(문자열 존재)* 만 있고 *행위 e2e* 가 없었는데, 이 공백이 1.23.0 "완전 영어" 과장(런타임 누출)을 통과시킨 근본 원인이었음 → 행위 회귀가드로 보강. ### 검증 결과 (런타임 버그 없음, 레이어 견고 확인) - `_uiLang` 크래시 안전(try/catch + String 가드, malformed manifest/빈 값 → ko 폴백). - arg 상호작용: `--language en` 값이 positional 로 누출 안 됨(앞/뒤 위치 모두), `task add "텍스트" --language en` 보존. - `--language=en` equals 문법 동작, `--json` 출력 en 에서도 유효 JSON, flag > env > manifest 우선순위(en 프로젝트에서 `--language ko` 가 ko 강제). ### 변경 (defense-in-depth) - **i18n 행위 e2e 회귀가드 1건 추가** (e2e 365→366): ① ko 프로젝트 기본 lens 한글 보존 ② `--language en` 런타임 영어 렌더 + 한글 0 ③ `--language` positional 무누출 ④ status path-not-found 에러 en/ko 분기. 소스가드가 못 잡는 *런타임 누출* 을 행위로 차단. ### 검증 (회귀 0) - **selftest 244/244** · **E2E 366/366** (신규 i18n 행위가드 포함, ko 기본 무회귀). - patch(1.25.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.25.0 — 2026-06-15 — 🛡️ [안정화/Stable] 마감 본문 정직성 + lens 플래그십 영어화 안정 minor **🛡️ 안정화(Stable) minor — 자가 검증으로 잡은 정직성 수정 + 품질 렌즈 영어화를 npm 공개.** 직전 minor(1.24.0) 이후 누적된 패치 2건(1.24.1 + 1.24.2)을 검증·통합해 배포. R-0011 정책의 16번째 stable minor. 한국어 우선 기본은 그대로. ### 이번 minor 통합 (1.24.1~1.24.2) - **🔎 session close 보고 본문 정직성 수정 (1.24.1)**: 게시된 모든 영어 표면을 `--language en` 으로 실행해 한글 누출을 자동 스캔(맹신 X — 내 'CLOSED' 주장 재실증)한 결과, 1.23.0 "session close 완전 영어" 가 과장임을 발견 → 보고 본문 잔여 영어화(`- 없음`→`- none`, `완료/결정 누적`→`done/decisions accumulated`, roadmap `자동 갱신`→`auto-updated`). - **🌐 lens 품질 렌즈 플래그십 영어화 (1.24.2)**: 분야별 자기질문 품질 렌즈 5 도메인(code/design/docs/test/security)에 영어 병렬 카탈로그 추가 + `--language en` 렌더. 영어권 사용자도 완료 선언 전 자가 점검 + 분야간 인과를 활용. - **한국어 우선 기본 보존**: 영어는 명시 opt-in. 한국어 원문/렌즈 질문은 한 글자도 안 바뀜(e2e 무회귀). ### 잔여 (UR-0010 Phase 9+, 백로그) - 진단/정보 명령 본문(health/capabilities/commands/doctor/drift/install-safety/constraints) + 메모리 CRUD 빈상태 메시지 + handoff 본문 + init starter 데이터 — en-leak 스캔 우선순위순 단계적 확대. ### 검증 (회귀 0) - **selftest 244/244** (정직성 + lens 영어/한국어 보존 소스가드 포함) · 행위(en-leak 스캔: session close 본문·lens en 한글 0 / ko 보존) · **E2E 365/365**. - minor(1.25.0) — npm 배포(R-0011 stable) + annotated tag(Stable) + GitHub release(latest) + 게시본 클린룸 재실증. ## 1.24.2 — 2026-06-15 — CLI 영어화 Phase 8: lens(품질 렌즈 플래그십) 영어화 (UR-0010) **🌐 품질 렌즈를 영어로.** 남은 한국어 표면을 en-leak 스캔으로 매핑한 뒤, 가장 가치 높은 플래그십 — **분야별 자기질문 품질 렌즈(`leerness lens`)** — 를 영어화. 영어권 사용자도 "완료 선언 전 자가 점검" + 분야간 인과관계를 그대로 활용할 수 있습니다. ### 변경 (UR-0010 Phase 8) - **lens 영어 병렬 카탈로그**: `LENS_CATALOG` 5 도메인(code/design/docs/test/security)에 `titleEn`/`personaEn`/`questionsEn`/`affectsNoteEn` 추가. 한국어 원문(`questions`/`persona` 등)은 **한 글자도 안 바꿈** — selftest `userVerbatim` 가드 + e2e(ko) 안전. - **lensCmd 영어 렌더**: `--language en` 시 헤더/부제/페르소나/질문/↔인과/푸터/unknown 에러 모두 영어. 프로젝트 커스텀 렌즈(.harness/quality-lenses.json)는 영어 필드가 없으면 작성된 텍스트로 graceful fallback, builtin 도메인에 추가한 커스텀 질문은 `questionsEn` 개수 기준으로 분리해 영어 렌더에 append. - **한국어 기본 유지**: 영어는 명시 opt-in. 플래그 없으면 한국어 그대로(e2e 무회귀). ### 잔여 (UR-0010 Phase 9+, 백로그) - 진단/정보 명령 본문(health/capabilities/commands/doctor/drift check/install-safety/constraints) + 메모리 CRUD 빈상태 메시지 + handoff 본문 + init starter 데이터 — en-leak 스캔 우선순위순 단계적 확대. ### 검증 (회귀 0) - **selftest 243→244** (lens 영어 병렬필드 + ko verbatim + 렌더 영어 분기 소스가드) · 행위(en-leak 재스캔: `lens --language en` 한글 0 / ko 29줄 보존 / unknown 에러 en·ko) · **E2E 365/365**. - patch(1.24.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.24.1 — 2026-06-15 — 정직성 수정: session close 보고 본문 잔여 한국어 영어화 (UR-0010) **🔎 자가 검증으로 발견한 과장 주장 교정.** 게시된 모든 영어 표면을 `--language en` 으로 직접 실행해 한국어(가-힣) 누출을 스캔(맹신 X — 내 'CLOSED' 주장 재실증)한 결과: help/status/group help 는 깨끗했지만, **session close 보고 본문**은 1.23.0 에서 "완전 영어"로 배포했음에도 일부 한국어가 남아 있었습니다. 그 잔여를 영어화. ### 변경 (UR-0010) - **session close 보고 본문 영어화**: 빈 섹션 표시 `- 없음`→`- none`(rowsToList, 헤더는 이미 영어라 정합↑), 진행 요약 한 줄 `완료 N/M · 결정 N건 누적`→`done N/M · decisions N accumulated`(`_retroOneLine` 에 선택적 lang), roadmap 자동 갱신 로그 `자동 갱신`→`auto-updated`(`_autoRoadmap`, `_uiLang(root)` 기반). - **한국어 기본 불변**: 모든 변경은 en 분기에만. ko 는 한 글자도 안 바뀜(e2e 무회귀). `_retroOneLine` 의 기존 호출부(retro 명령)는 lang 미전달 → ko 유지. - **검증 방법 공개**: en-leak 스캔(Node `[가-힣]` 탐지 — grep `\x{}` 빌드 한계 우회)으로 재실증. 남은 2줄은 seeded T-0001 + task-add 기본 next-action 값(데이터, Phase 8). ### 잔여 (UR-0010 Phase 8+, 백로그) - handoff 본문 + 메모리 CRUD/진단 명령 본문(task/decision/audit/gate/scan 사람용 메시지) + init starter 콘텐츠/task-add 기본값 — 단계적 확대. ### 검증 (회귀 0) - **selftest 242→243** (보고 본문 영어/한국어 보존 소스가드) · 행위(en fresh: `- none / done 0/1 · decisions 0 accumulated / roadmap.html auto-updated`, ko fresh: `- 없음 / 완료 0/1 · 결정 0건 누적 / 자동 갱신`) · **E2E 365/365**. - patch(1.24.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.24.0 — 2026-06-15 — 🛡️ [안정화/Stable] help 표면 전체 영어화 안정 minor **🛡️ 안정화(Stable) minor — `leerness --help` 와 모든 도움말 표면을 영어로 공개.** 직전 minor(1.23.0) 이후 누적된 패치 2건(1.23.1 Phase 6 + 1.23.2 Phase 7)을 검증·통합해 npm 배포. R-0011 정책의 15번째 stable minor. 이제 영어 사용자가 **메인 도움말 → 명령군 그룹 도움말 → 사용법 힌트**까지 막힘없이 읽을 수 있습니다. 한국어 우선 기본은 그대로. ### 이번 minor 통합 (1.23.1~1.23.2) - **🌐 메인 help 영어 큐레이트판 (Phase 6)**: `--language en` 시 8개 카테고리(Setup·Diagnostics·Verification·Security·Handoff·Memory·Skills·Agents·Reuse·Release·More)로 정리된 영어 도움말. 레거시 버전태그 군더더기를 빼 영어 사용자가 읽기 쉬움. status 잔여(경로 없음/healthyMeaning) + subcommand_required 에러도 영어화. - **🌐 그룹 help + 사용법 힌트 영어화 (Phase 7)**: requests/constraints/wakeup-interval/idempotency/intent 의 bare-command 도움말 + `_GROUP_USAGE` 자리표시자(``/``/``/``, 병렬 영어맵). - **한국어 우선 기본 보존**: 영어는 명시 opt-in(`--language en`/`LEERNESS_LANG=en`/en init 프로젝트). 플래그 없으면 한국어 — 한국어 help/맵은 한 글자도 안 바뀜(e2e 무회귀로 검증). ### 잔여 (UR-0010 Phase 8+, 백로그) - 메모리 CRUD/진단 명령 본문 출력(task/decision/audit/gate/scan 등 사람용 메시지) + session-handoff.md 본문 — 단계적 확대. ### 검증 (회귀 0) - **selftest 242/242** (Phase 6·7 영어/한국어 보존 소스가드 포함) · 행위(en: `SETUP & UPDATE / 5 group headers / `, ko 기본: `Usage: / 한국어 그룹 헤더 / <키>`) · **E2E 365/365**. - minor(1.24.0) — npm 배포(R-0011 stable) + annotated tag(Stable) + GitHub release(latest) + 게시본 클린룸 재실증. ## 1.23.2 — 2026-06-15 — CLI 영어화 Phase 7: group help 5종 + _GROUP_USAGE 자리표시자 영어화 (UR-0010) **🌐 도움말 표면 패밀리 완성.** Phase 6(메인 `--help`)에 이어, 명령군을 하위명령 없이 부를 때 나오는 **그룹 도움말**과 **사용법 힌트의 자리표시자**까지 영어화 — 메인 help + group help + usage hint 가 모두 언어 선택을 따른다. ### 변경 (UR-0010 Phase 7) - **group help 5종 영어화**: `requests` / `constraints` / `wakeup-interval` / `idempotency` / `intent` 를 하위명령 없이(또는 `help`) 부를 때의 도움말을 `_t(ko,en)` 분기. - **_GROUP_USAGE 자리표시자 영어화**: `<텍스트>`→``, `<트리거>`→``, `<키>`→``, `<이름>`→`` — `_GROUP_USAGE_EN` 병렬맵으로(한국어 맵은 한 글자도 안 바꿔 e2e 안전), subcommand_required 에러가 언어별 정확한 사용법 표시. - **한국어 기본 유지**: 영어는 명시 opt-in. 플래그 없으면 기존 한국어 그대로(e2e 무회귀). ### 잔여 (UR-0010 Phase 8+, 백로그) - 메모리 CRUD/진단 명령 본문 출력(task/decision/audit/gate/scan 등 사람용 메시지) + session-handoff.md 본문 — 단계적 확대. ### 검증 (회귀 0) - **selftest 241→242** (group help 5종 영어+한국어 보존, _GROUP_USAGE_EN 존재 + ko 맵 불변 소스가드) · 행위(en: 5종 영어 헤더 + ``/``, ko 기본: 5종 한국어 헤더 + `<키>`/`<텍스트>`) · **E2E 365/365**. - patch(1.23.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.23.1 — 2026-06-15 — CLI 영어화 Phase 6: help(영어 큐레이트판) + status/subcommand 에러 영어화 (UR-0010) **🌐 `leerness --help` 와 흔한 에러를 영어로.** 영어 사용자가 가장 먼저 보는 도움말을 — 레거시 버전태그를 줄별로 번역하는 대신 — **카테고리별로 정리한 별도 영어 도움말**로 제공. 한국어 도움말은 그대로 둬서 한국어 기본 경로는 한 글자도 안 바뀜. ### 변경 (UR-0010 Phase 6) - **help 영어 큐레이트판 (`_helpEn`)**: `--language en`/`LEERNESS_LANG=en` 시 8개 카테고리(Setup·Diagnostics·Verification·Security·Handoff·Memory·Skills·Agents·Reuse·Release·More)로 정리된 영어 도움말. 전체 전수 목록은 `leerness commands` 안내(드리프트 방지). - **status 잔여 영어화**: 경로 없음 에러(`path not found`), `--json` 의 `healthyMeaning`(`install-file presence only …`). - **subcommand_required 에러 영어화**: 명령군(rule/skill/feature/memory)을 하위명령 없이 부를 때의 `subcommand required — usage: …`. - **한국어 기본 유지**: 영어는 명시 opt-in. 플래그 없으면 기존 한국어 도움말/에러 그대로(e2e 무회귀). ### 잔여 (UR-0010 Phase 7+, 백로그) - `_GROUP_USAGE` 내부 자리표시자(`<텍스트>`/`<트리거>`) + 명령별 하위 help 블록(group help) + session-handoff.md 본문 — 단계적 확대. ### 검증 (회귀 0) - **selftest 240→241** (help 영어판 존재+핵심 카테고리 포함, ko help 분기 보존, status/subcommand 영어/한국어 소스가드) · 행위(en: `SETUP & UPDATE / path not found / subcommand required`, ko 기본: `Usage: / 경로 없음 / 하위명령 필요`) · **E2E 365/365**. - patch(1.23.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.23.0 — 2026-06-15 — 🛡️ [안정화/Stable] session close 영어 완전화 안정 minor **🛡️ 안정화(Stable) minor — 세션 마감 화면 전체를 영어로 공개.** 직전 minor(1.22.0) 이후 누적된 패치 2건(1.22.1 Phase 4 + 1.22.2 Phase 5)을 검증·통합해 npm 배포. R-0011 정책의 14번째 stable minor. 이로써 **핵심 세션 라이프사이클 — 설치(init) → 시작(handoff) → 검증(verify-claim) → 마감(session close) — 전체가 영어 opt-in 으로 일관**됩니다. 한국어 우선 기본은 그대로. ### 이번 minor 통합 (1.22.1~1.22.2) - **🌐 session close 마감 보고 영어화 (Phase 4)**: 항상-표시되는 마감 라인 — 완료 정직성/마감 보안 advisory, `활성 룰 없음`→`no active rules`, Required final response sections, `🔚 자동 통합 보고`→`integrated report`(사용자 요청·pre-wake·멱등성·셸 실패 포함). DI 로 `uiLang` 주입. - **🌐 session close --suggest/진행요약/cleanup 영어화 (Phase 5)**: 다음 라운드 추천(skill 후보·`drift 상태`→`drift status`·`가장 많이 쓴 명령`→`Most-used commands`·MCP/skill-query 통계), `진행 요약`→`Progress summary`(archive·마일스톤·회고·워크스페이스), 운영 자동정리(release cleanup·인코딩 BOM). - **가벼움 정리**: MCP 통계 줄의 `t` 헬퍼 셰도잉(`.map(([t,n])…)` → `[tool,n]`) 제거. - **한국어 우선 기본 보존**: 영어는 명시 opt-in(`--language en`/`LEERNESS_LANG=en`/en init 프로젝트). 플래그 없으면 한국어 — e2e 무회귀로 검증. ### 잔여 (UR-0010 Phase 6+, 백로그) - session-handoff.md / current-state.md 본문(파일에 기록되는 한국어 메모리 아티팩트) + help + status + 그 외 명령 본문 — 단계적 확대. ### 검증 (회귀 0) - **selftest 240/240** (Phase 4·5 영어/한국어 보존 소스가드 포함) · 행위(en: `integrated report / Next-round suggestions / Progress summary`, ko 기본: `자동 통합 보고 / 다음 라운드 추천 / 진행 요약`) · **E2E 365/365**. - minor(1.23.0) — npm 배포(R-0011 stable) + annotated tag(Stable) + GitHub release(latest) + 게시본 클린룸 재실증. ## 1.22.2 — 2026-06-15 — CLI 영어화 Phase 5: session close --suggest/진행요약/cleanup 영어화 (UR-0010) **🌐 마감 보고의 나머지 절반까지 영어로.** Phase 4 가 "항상 표시되는" 마감 라인을 영어화했다면, Phase 5 는 **다음 라운드 추천(`--suggest`)·진행 요약·운영 자동정리** 출력을 영어 opt-in 으로 — 마감 화면 전체가 언어 선택을 따른다. ### 변경 (UR-0010 Phase 5) - **`--suggest` 다음 라운드 추천 영어화**: `다음 라운드 추천`→`Next-round suggestions`, 신규 skill 후보, `drift 상태`→`drift status`, `가장 많이 쓴 명령`→`Most-used commands`, MCP 호출/드문 호출, skill match query 누적 — 전부 `t(ko,en)` 분기. - **진행 요약 영어화**: `진행 요약`→`Progress summary`, archive 누적, N세션 마일스톤/자동 회고, 워크스페이스 안내, retro 요약 실패 메시지. - **운영 자동정리 영어화**: release/* 정리(`--auto-cleanup-branches`), 셸 스크립트 인코딩 위험 자동 BOM(`--auto-fix-encoding`) 안내. - **가벼움 정리**: MCP 통계 줄에서 `t` 헬퍼와 충돌하던 `.map(([t, n]) => …)` 지역 변수를 `tool` 로 rename — 셰도잉 제거(가독성). - **한국어 기본 유지**: 영어는 `--language en`/`LEERNESS_LANG=en`/en init 프로젝트에서만. 플래그 없으면 한국어(ko 원문은 `t()` ko 인자로 보존). ### 잔여 (UR-0010 Phase 6+, 백로그) - session-handoff.md / current-state.md 본문(파일에 기록되는 한국어 메모리 아티팩트) + help + status + 그 외 명령 본문 — 단계적 확대. ### 검증 (회귀 0) - **selftest 239→240** (Phase 5 영어/한국어 보존 + 셰도잉 제거 소스가드) · 행위(en: `Next-round suggestions / drift status / Most-used commands / Progress summary`, ko 기본: `다음 라운드 추천 / drift 상태 / 가장 많이 쓴 명령 / 진행 요약`) · **E2E 365/365**. - patch(1.22.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.22.1 — 2026-06-15 — CLI 영어화 Phase 4: session close 마감 보고 영어화 (UR-0010) **🌐 세션을 마칠 때 보는 마지막 출력을 영어로.** init 배너(P1)→handoff 헤드라인(P2)→verify-claim(P3)에 이어 **session close 의 항상-표시 마감 보고**를 영어 opt-in 으로 — 핵심 세션 라이프사이클(시작→작업→검증→마감)이 영어로 일관. ### 변경 (UR-0010 Phase 4) - **session close 마감 보고 영어화 (DI uiLang 주입)**: `_uiLang(root)` 를 session-close DI deps 로 주입 후 항상-표시 라인 `t(ko,en)` 분기 — 완료 정직성/마감 보안 advisory, `활성 룰 없음`→`no active rules`, Required final response sections 목록, `🔚 자동 통합 보고`→`integrated report`(사용자 요청/pre-wake/멱등성/셸 실패 결과 포함). 한국어 기본 유지(영어 명시 opt-in). - **한국어 무회귀**: e2e 는 `--language` 없이 ko 로 실행 → 마감 보고 한국어 유지(검증). ko 원문은 `t()` ko 인자로 보존. ### 잔여 (UR-0010 Phase 5+, 백로그) - session close `--suggest` 상세(skill 후보·drift·MCP/skill-query 통계·진행 요약) + help + status + 그 외 명령 본문 — 단계적 확대. ### 검증 (회귀 0) - **selftest 238→239** (session close uiLang 주입 + 영어/한국어 보존 소스가드) · 행위(en: `integrated report / no active rules / no user requests`, ko 기본: `자동 통합 보고 / 활성 룰 없음`) · **E2E 365/365**. - patch(1.22.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.22.0 — 2026-06-15 — 🛡️ [안정화/Stable] 확장된 영어 지원(헤드라인 + verify-claim) 안정 minor **🛡️ 안정화(Stable) minor — 영어 CLI 커버리지를 핵심 검증 흐름까지 확장해 npm 공개.** 직전 minor(1.21.0) 이후 누적된 패치 2건(1.21.1~1.21.2)을 검증·통합해 배포. R-0011 정책의 13번째 stable minor. 영어 opt-in 표면이 첫 화면(1.21.0)에서 **handoff 헤드라인 + verify-claim 플래그십**까지 확장 — 한국어 우선 기본은 그대로. ### 이번 minor 통합 (1.21.1~1.21.2) - **🌐 handoff 헤드라인 항목 라벨 영어화 (Phase 2)**: 매 세션 가장 많이 보는 출력 — `--language en` 시 `📊 Headline: drift healthy · security OK · N skills · health · mem …` 완전 영어. 보안/시크릿/미답요청/비정상종료/플랫폼제약 등 전 항목. - **🌐 verify-claim 출력 영어화 (Phase 3, 플래그십)**: 완료 검증 시 보는 핵심 출력 ~30 문자열 영어화 — File check / Test count / Summary / implementation substance / test-impl link / git diff cross-check / optimism+honesty / final verdict. - **한국어 우선 기본 보존**: 영어는 명시 opt-in(`--language en`/`LEERNESS_LANG=en`/en init 프로젝트). 플래그 없으면 한국어 — e2e 무회귀로 검증. ### 잔여 (UR-0010 Phase 4+, 백로그) - session close 마감 보고(~117 문자열) + help + status — 단계적 확대. ### 검증 (회귀 0) - **selftest 236→238** · **E2E 365/365** · en/ko 헤드라인·verify-claim 행위 + 게시본 재실증. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag (Stable) · GitHub release (`--latest`) · npm dist-tag `stable` 시도. ## 1.21.2 — 2026-06-15 — CLI 영어화 Phase 3: verify-claim(플래그십) 출력 영어화 (UR-0010) **🌐 플래그십 명령 출력을 영어로.** 사용자가 "완료됐나?"를 확인할 때 보는 `verify-claim` 의 human 출력 전체를 영어 opt-in 으로 — 온보딩 다음으로 영향 큰 표면. 한국어 기본 유지(영어 명시 opt-in). ### 변경 (UR-0010 Phase 3) - **verify-claim 출력 영어화**: human 렌더(–json 제외) 시작에서 `_uiLang(root)` 1회 해석 후 전 출력을 `t(ko,en)` 분기 — `📂 파일 검증`→`File check`, `🧪 테스트 카운트`→`Test count`, `🚦 실행`→`run`, `종합`→`Summary`, `파일 모두 존재`→`all files exist`, `구현 실체`→`implementation substance`, `테스트-구현 연결`→`test-impl link`, `git diff 교차검증`→`git diff cross-check`, `낙관적 표시+정직성`→`optimism+honesty`, evidence 완전성/외과적 변경/한계/최종 판정까지 ~30 문자열. 품질 렌즈 advisory 헤더도 영어. - **한국어 기본 무회귀**: e2e 는 `--language` 없이 실행되며 init 이 이 환경에서 manifest.language=`ko` 로 저장(검증함) → verify-claim 기본 출력 한국어 유지. ko 원문은 `t()` 의 ko 인자로 소스에 보존. ### 잔여 (UR-0010 Phase 4+, 백로그) - session close 마감 보고 + help + status + 그 외 명령 본문 영어화 — 단계적 확대. ### 검증 (회귀 0) - **selftest 237→238** (verify-claim t() 경유 + 한국어 보존 소스가드) · 행위(en: `## Summary / all files exist / evidence claim matches`, ko 기본: `## 종합 / 파일 모두 존재`) · **E2E 365/365**. - patch(1.21.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.21.1 — 2026-06-15 — CLI 영어화 Phase 2: handoff 헤드라인 항목 라벨 영어화 (UR-0010) **🌐 매 세션 가장 많이 보는 출력(handoff 헤드라인)을 영어로 완성.** Phase 1(배너 + 헤드라인 프리픽스)에 이어, 헤드라인의 **항목 라벨 전체**를 영어 opt-in 으로. 비한국어 사용자가 세션마다 보던 한국어 토막들(보안 OK·미답 요청·비정상종료·플랫폼 제약 등)이 사라짐. ### 변경 (UR-0010 Phase 2) - **handoff 헤드라인 항목 라벨 영어화**: 블록 1회 `_uiLang(root)` 해석 후 각 항목을 `t(ko,en)` 분기 — `🔒 보안 OK`→`security OK`, `🚨 시크릿 N건`→`N secret(s)`, `🚨 .env 미무시`→`.env not ignored`, `🔌 MCP N회`→`MCP Nx`, `📒 skill query N회`, `🪄 slash 24h N회`, `📥 미답 요청 N건`→`N unanswered request(s)`, `📥 요청 N (tracked)`, `📥 자동완료가능 N건`→`N auto-completable`, `🔌 비정상종료`→`abnormal-exit`, `🚦 N 플랫폼 제약`→`N platform constraint(s)`, `R N남음`→`N left`. **한국어 기본 유지**(영어 opt-in). - 행위 확인: en → `📊 Headline: drift healthy · 🔒 security OK · 📚 N skills · ⚕ health: ✓ · 🧠 mem …` 완전 영어 / 플래그 없음 → `📊 헤드라인`(한국어). ### 잔여 (UR-0010 Phase 3+, 백로그) - session close 마감 보고 + verify-claim 출력 + help + status 등 명령 본문 영어화 — 단계적 확대. ### 검증 (회귀 0) - **selftest 236→237** (헤드라인 t() 경유 소스가드) · 행위(en 헤드라인 완전 영어 + ko 기본) · **E2E 365/365**. - patch(1.21.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.21.0 — 2026-06-15 — 🛡️ [안정화/Stable] 영어 온보딩 첫걸음 + 검증 강화 안정 minor **🛡️ 안정화(Stable) minor — 비한국어 사용자에게 영어 온보딩을 실제로 전달.** 직전 minor(1.20.0) 이후 누적된 패치 2건(1.20.1~1.20.2)을 검증·통합해 npm 공개. R-0011 정책의 12번째 stable minor. 핵심: **영어 첫 화면(opt-in)** 이 npm 사용자에게 닿고, 검증 플래그십의 정적 우회가 닫힘. ### 이번 minor 통합 (1.20.1~1.20.2) - **🌐 CLI 영어화 Phase 1 (UR-0010, 사용자 지정 방향)**: 영어 README 정문 ↔ 한국어 CLI 불일치(외부평가 #1 병목) 해소 시작. `--language en` / `LEERNESS_LANG=en` / en 으로 init 된 프로젝트에서 **init 시작하기 배너 전체 + handoff 헤드라인 라벨**이 영어로. 한국어 우선 정체성은 **기본값 유지**(영어는 명시 opt-in, system locale 미사용). 순수 `_uiLang`/`_tx`. - **🛡️ 장식 no-op 정적 우회 차단 (검증)**: `"use strict"; module.exports={}` · `{}; //c` · `void 0;` · `;;;;` · `0;` 같은 "실로직 0" 파일이 정적 verify-claim 을 통과하던 우회를 차감식 residue 검사로 폐쇄(FP 0). - **📄 README 플래그십 데모 정합**: task-id(T-0002) + "실파일 쓰면 같은 명령 통과" 정정 — 신규 유저 복붙이 실제로 동작. lens 헤더 동적 버전. - **🔬 신뢰 투명성/렌즈 완전판** (1.19.x 누적 — 1.20.0 에 포함됨, 본 minor 는 1.20.x 패치 묶음). ### 잔여 (UR-0010 Phase 2+, 백로그) - handoff 헤드라인 **항목 라벨**(drift·보안·skills·health·mem 등 ~20종) + session close·verify-claim·help·status 출력 영어화 — 단계적 확대. ### 검증 (회귀 0) - **selftest 235→236** · **E2E 365/365** · 영어 배너/헤드라인 행위 + no-op 우회 차단 + 게시본 재실증. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag (Stable) · GitHub release (`--latest`) · npm dist-tag `stable` 시도. ## 1.20.2 — 2026-06-15 — CLI 영어화 Phase 1: 첫 화면(init 배너·handoff 헤드라인) 영어 opt-in (UR-0010) **🌐 "어떤 언어, 어떤 AI 에이전트로 작업하든"의 실질 첫걸음.** 외부평가가 꼽은 단일 최대 병목 — 영어 README 정문 ↔ 한국어 CLI 불일치 — 를 단계적으로 해소 시작. 한국어 우선 정체성은 기본값으로 유지하고, **영어는 명시 opt-in**. ### 변경 (UR-0010 Phase 1) - **UI 언어 해석 `_uiLang(root)`**: 우선순위 `--language` 플래그 > `LEERNESS_LANG` env > `.harness/manifest.json` 의 language(init 선택) > **`ko`(기본)**. system locale 은 의도적으로 미사용(영어 OS 한국 사용자 놀람 방지) — 영어는 항상 명시 opt-in. - **init 시작하기 배너 영어화**: `--language en`(또는 LEERNESS_LANG=en, 또는 en 으로 init 된 프로젝트)에서 "Get started (3 steps)" + 메모리/인과/보안/MCP/release 섹션 전체 영어로. 비한국어 신규 유저의 첫 화면이 더 이상 한국어 벽이 아님. - **handoff 헤드라인 라벨 영어화**: `📊 헤드라인 (버전태그…)` → 영어 시 `📊 Headline`(버전태그 노이즈 제거). - 순수 함수 `_uiLang`/`_tx` 분리(단위 테스트). **한국어 기본 회귀 0**(플래그/env/manifest 없으면 그대로 한국어). ### 잔여 (UR-0010 Phase 2+, 백로그) - handoff 헤드라인 **항목 라벨**(보안 OK·skills·health…) 영어화, 그 외 명령(session close·verify-claim 출력·help·status 등) 영어화 — 단계적 확대. Phase 1 은 첫인상 표면(배너+헤드라인 프리픽스)에 한정. ### 검증 (회귀 0) - **selftest 235→236** (`_uiLang` 해석 4종 + `_tx` + 첫화면 분기 소스가드) · 행위: `--language en` → 영어 배너/헤드라인, 플래그 없음 → 한국어 유지 · **E2E 365/365**. - patch(1.20.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.20.1 — 2026-06-15 — 1.20.0 외부평가 채택: 장식 no-op 우회 차단 + README 데모 정합 **🔎 게시본 1.20.0 신규 멀티모델 클린룸 평가(5축) 채택 — 맹신 X로 재현된 것만.** 검증(8)·정직성/보안(9)·품질렌즈(8)는 GPT-5.5 대비 뚜렷이 상승했고, 평가가 찾은 재현 가능한 P2 두 가지(검증 정적모드 우회 + README 데모 부정확)를 닫음. ### 변경 (1.20.0 외부평가 재현 채택) - **🛡️ 장식된 no-op 정적 우회 차단 (검증, P2)**: 빈껍데기 검출이 순수 빈-export 형태만 잡던 것 — `"use strict"; module.exports={}`·`{}; // comment`·`module.exports={}; void 0;`·`;;;;`·`0;` 같은 "실로직 0" 파일이 정적 `verify-claim`을 exit 0 통과하던 우회 폐쇄. `_vcImplIsEmpty` 에 **차감식(residue) 검사** 추가 — 디렉티브 프롤로그 + 빈 export + no-op 리터럴/문을 제거하고 의미 토큰이 하나도 안 남으면 스텁. FP 0(실코드·`require` 재노출·이름붙은 export·`module.exports=0` 같은 의도적 값은 통과). `let x=1` 류 무의미 선언은 식별자가 남아 통과 — AST 토큰화 필요(백로그). - **📄 README 플래그십 데모 정합 (온보딩, P2)**: ① task-id 수정 — init 이 T-0001(계획 task)을 차지하므로 `task add` 는 T-0002 생성, 데모를 실제 흐름(출력된 id 사용)으로. ② "실파일+실테스트 쓰면 같은 명령 통과" 정정 — evidence 의 테스트 개수 주장은 실측과 대조되므로(거짓이면 거부) 정직한 evidence + `--run-tests --test-cmd` 안내로 교체. 신규 유저 복붙이 실제로 동작. - **🔖 lens 헤더 버전 정합 (P3)**: 하드코딩 `(1.18.3)` → 동적 `(v${VERSION})`. ### 백로그 등록 (평가 추천 우선순위, 이번 라운드 미포함) - **UR-0010 (최우선)**: CLI UX 영어화 — `--language en` 이 템플릿 파일만 바꾸고 CLI 자체 출력(init 배너·handoff 헤드라인·help)은 한국어 유지. 영어 README 정문 ↔ 한국어 CLI 불일치가 비한국어 시장의 단일 최대 병목(거대 작업, UR-0042 잔여 통합). - **UR-0011**: 표면 core-vs-extended 티어링 — 84커맨드+85툴 평면 노출, banner/about/commands/help 의 "start here" 4종 불일치 → 핵심8 표준화 + `--help` 정리. - **UR-0012**: secret scan AWS AKIA 키 ID + 추가 prefix 커버리지. ### 검증 (회귀 0) - **selftest 235** (no-op 우회 6종 차단 + FP 가드 3종 행위) · 5종 우회 재현 차단·FP 0 확인 · README 데모 재현(task-id·count 정합) · **E2E 365/365**. - patch(1.20.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.20.0 — 2026-06-15 — 🛡️ [안정화/Stable] 품질 렌즈 완전판 + 신뢰 투명성 안정 minor **🛡️ 안정화(Stable) minor — "AI가 스스로 질문하고 행동하도록" 완성.** 직전 minor(1.19.0) 이후 누적된 패치 3건(1.19.1~1.19.3)을 검증·통합해 npm 공개. R-0011 정책의 11번째 stable minor. 핵심 테마: **사용자 자기질문 품질 렌즈를 정적 명령에서 완전한 워크플로 기능으로** + 신뢰 투명성(클린룸 평가 공개). ### 이번 minor 통합 (1.19.1~1.19.3) - **🧭 품질 렌즈 완전판 (UR-0003, 사용자 핵심 철학)**: 1.18.3 의 정적 `lens` 명령을 3단계로 완성 — - **v2 (1.19.2)**: `verify-claim` 이 완료를 검증하는 바로 그 순간, 주장된 파일 확장자로 관련 렌즈 질문을 advisory 로 노출(결정적 매핑, 게이트 아님). 코드: "선임 개발자가 복잡하다 느끼지 않을까?" / 디자인: "이쁘고 직관적인가?". - **v3 (1.19.3)**: 프로젝트별 커스텀 렌즈 `.harness/quality-lenses.json` — 게임은 "60fps 끊김?", 웹은 접근성을 자기 기준에 추가. 내장+커스텀 불변 병합(읽기만, 쓰기 명령 없음). - lens 도메인 대소문자/공백 정규화(1.19.1). - **🔬 신뢰 투명성 (GPT-5.5 #5, UR-0009, 1.19.1)**: `docs/clean-room-evaluations.md` 공개 — README "독립 클린룸 평가" 주장을 확인 가능하게(방법론·4개 평가·**정직한 한계**). 과대였던 "5개" 수치를 검증 가능한 서술로 교체. - **🛡️ 19th 버그헌트 (1.19.1)**: 1.18.x 신규 표면(권한 술어·빈껍데기 정규식·lens·audit) 엣지 14종 + 크래시 벡터 — 견고 확인(버그 0, lens 정규화만 수정). ### 검증 (회귀 0) - **selftest 231→235** · **E2E 365/365** · 렌즈 v2/v3 행위 재현 + 클린룸 문서 + 게시본 재실증. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag (Stable) · GitHub release (`--latest`) · npm dist-tag `stable` 시도. ## 1.19.3 — 2026-06-14 — 품질 렌즈 완전판 v3: 프로젝트별 커스텀 렌즈 (UR-0003) **🧭 렌즈를 "프로젝트 인지"로.** 내장 5종(code/design/docs/test/security)에 더해, 프로젝트가 자기 품질 기준을 추가할 수 있습니다 — 게임 프로젝트는 "60fps에서 끊기지 않나?", 웹 프로젝트는 접근성("키보드만으로 모든 기능 가능?")을 자기질문에 넣습니다. 사용자의 "각 분야 고려" 철학을 프로젝트 맥락까지 확장. ### 변경 (UR-0003 렌즈 완전판 v3) - **프로젝트 커스텀 렌즈**: `.harness/quality-lenses.json` 을 `lens` 와 verify-claim advisory 가 내장 catalog 와 **병합**. 포맷 `{ "domains": { "code": { "questions": ["..."] }, "a11y": { "title":"접근성", "persona":"...", "questions":[...] } } }`. 기존 도메인 → 질문 추가(dedup, 최대 8), 신규 도메인 → 추가. 표시에 `[프로젝트]`/`[+프로젝트 질문]` 라벨. - **읽기-병합만, 쓰기 명령 없음 (R-0006 보수)**: leerness 는 JSON 을 읽어 병합·표시만 함(쓰기 경로 위험 0). JSON 은 AI/사용자가 편집 — 커스텀 없으면 편집 방법을 `lens` 가 안내. 순수 함수 `_mergeLensCatalog`(불변, 내장 catalog 미오염) + `_loadProjectLenses`. - 잔여(UR-0003 완전판): handoff 힌트, MCP 노출, 인과관계 자동 추론 — 백로그. ### 검증 (회귀 0) - **selftest 234→235** (병합 행위: 기존 도메인 질문 추가·신규 도메인·잘못된 입력 무시·내장 불변성) · 프로젝트 커스텀 렌즈 행위 재현(게임 fps + a11y 도메인 병합 표시) · **E2E 365/365**. - patch(1.19.3) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.19.2 — 2026-06-14 — 품질 렌즈 완전판 v2: verify-claim 완료-검증 순간에 분야별 자기질문 (UR-0003) **🧭 렌즈를 "수동 참조 명령"에서 "완료 검증 흐름의 일부"로.** 1.18.3 의 `leerness lens` 는 AI 가 직접 호출해야만 보였습니다. 이제 `verify-claim` 이 **완료를 검증하는 바로 그 순간**(사용자 표현: "완료 선언 전 자기질문") 주장된 파일의 종류에 맞는 렌즈 질문을 advisory 로 노출 — AI 의 자기질문이 수동 습관이 아니라 워크플로의 일부가 됩니다. ### 변경 (UR-0003 렌즈 완전판 v2) - **verify-claim 렌즈 advisory**: done 주장 검증 시, 주장된 파일 확장자로 관련 렌즈 도메인을 **결정적으로** 판정(`_lensDomainsForFiles` — 퍼지 키워드 추론 아님)해 해당 분야 질문을 노출. 예: `pay.js + app.css` → `code`(선임 개발자가 복잡하다 느끼지 않을까?) + `design`(이쁘고 직관적인가?). 매핑: UI/스타일(css/scss/tsx/jsx/vue/html)→design, 문서(md/mdx/rst)→docs, 테스트파일→test, 실코드(js/ts/py/…)→code. 최대 2개(클러터 방지), 고정 순서(code 먼저). - **advisory 전용** — 게이트가 아님(exit code 불변). 기계검증(파일/테스트/스텁)을 통과해도 "사람이 보기에 좋은가"는 별개라는 점을 완료 순간에 상기. `--json` 경로엔 영향 없음(human 출력 한정). - 잔여(UR-0003 완전판): 프로젝트별 커스텀 렌즈(`.harness/quality-lenses.json`), handoff 힌트, MCP 노출, 인과관계 자동 추론 — 백로그. ### 검증 (회귀 0) - **selftest 233→234** (`_lensDomainsForFiles` 행위: 단일/혼합/문서/테스트/빈/최대2 매핑) · verify-claim advisory 행위 재현(혼합 파일 → code+design) · **E2E 365/365**. - patch(1.19.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.19.1 — 2026-06-14 — 19th 버그헌트(신규 표면 견고 확인) + 클린룸 평가 공개 (GPT-5.5 #5) **🔬 갓 배포한 1.19.0의 신규 표면을 적대적으로 헌트 — 표면은 견고, 사소 1건만 수정 + 신뢰증거 공개.** 1.18.x 추가분(권한 술어·빈껍데기 정규식·lens·audit)을 엣지케이스로 직접 탐침: 순수 술어 14종 + CLI 크래시/주입 벡터 — **크래시·스택트레이스·오판 0**. 유일 발견은 `lens` 도메인 대소문자 미정규화. ### 변경 - **🧭 lens 도메인 정규화 (19th 헌트)**: `leerness lens Code` / `lens CODE ` 도 인식(trim + toLowerCase). 이전엔 정확한 소문자만 허용해 사소한 오류. - **🔬 클린룸 평가 공개 (GPT-5.5 #5, UR-0009)**: `docs/clean-room-evaluations.md` 신설 — README 의 "독립 클린룸 평가로 검증" 주장을 **확인 가능하게**. 방법론(게시본 npm 설치·행위 검증·적대 시도), 수행한 4개 평가(5축 현장조사·1.18.0/1.19.0 게시본 재실증·1.18.2 적대 스텁 워크플로), 그리고 **정직한 한계**(휴리스틱이지 의미검증 아님 / 커버리지·mutation·제3자 재현은 미해결)를 명시. README(영/한)에서 링크. 과대홍보였던 "5개" 수치를 검증 가능한 서술로 교체. - 잔여(UR-0009): 코드 커버리지/mutation testing 은 spawn 기반 e2e 특성상 별도 작업으로 백로그. ### 검증 (회귀 0) - **selftest 231→233** (lens 정규화 + 클린룸 문서 행위 가드) · 순수 술어 14종 엣지 통과 · 크래시 벡터 0 · **E2E 365/365**. - patch(1.19.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.19.0 — 2026-06-14 — 🛡️ [안정화/Stable] 검증 하네스 강화 + 정직한 프레이밍 안정 minor **🛡️ 안정화(Stable) minor — "거짓 완료를 못 하게" 만드는 검증 계층을 한층 더 단단하게.** 직전 minor(1.18.0) 이후 누적된 패치 4건(1.18.1~1.18.4)을 검증·통합해 npm 공개. R-0011 정책의 10번째 stable minor. 핵심 테마: **검증 계층 강화(비-JS 거짓FAIL 해소 + 위장 스텁 차단) + AI 자기질문 품질 렌즈 + 정직한 프레이밍(협조 vs 강제, 영문 우선)**. ### 이번 minor 통합 (1.18.1~1.18.4) - **🌐 비-JS `--test-cmd` 거짓 FAIL 해소 (P1, 1.18.1)**: 기본 권한(basic)이 `python/pytest` 등 사용자 명시 테스트 명령을 막아(exit 126) 초록 프로젝트를 "주장 불일치 FAIL"로 오판하던 것 — 명시 `--test-cmd`/config `testCommand`는 명시 권한으로 실행 허용(cwd jail 유지), 차단 시엔 FAIL 아닌 skip. + task update 위치인자 status 무시 차단 + 종합 라벨 정직화. - **🛡️ 위장 스텁 차단 (P2, 1.18.2)**: `module.exports = {}` 같은 빈 export 껍데기가 "구현 실체 ✓"를 통과하던 우회 폐쇄. 적대 워크플로로 한-단어 우회 9종(Object.freeze/new Object/async fn/exports.default/인라인 주석/`()=>({})`/class{}) 재발견·차단. 과탐 0(이름붙은 export·재노출·실코드 통과). `.java/.php/.mjs/.cjs` 추출 정합. - **🧭 분야별 자기질문 품질 렌즈 (1.18.3)**: `leerness lens [code|design|docs|test|security]` — 완료 선언 전 AI가 스스로 답하는 질문(코드: "선임 개발자가 복잡하다 느끼지 않을까?" / 디자인: "선임 디자이너+일반 사용자가 이쁘고 직관적인가?") + 분야간 인과관계. AGENTS.md/anti-lazy 정책 통합. README 영문 우선 재작성(README.ko.md 분리) + 설치 직후 REPL 문항 제거. - **🔒 보안 제보 비공개화 + 자기정합 (1.18.4)**: SECURITY.md를 GitHub Private Vulnerability Reporting + 보안 이메일로(공개 이슈 안내 모순 해소). README 관리블록 버전 자기정합 + audit가 동적 배지 README의 관리블록 lag도 감지. README "Guidance vs enforcement"(협조형 기본, `ci init`+branch protection으로 강제) + `init --minimal` 노출. ### 검증 (회귀 0) - **selftest 222→231** · **E2E 365/365** · 각 패치 행위 재현(공격 차단 + 정직 작업 과탐 0) + 위장 스텁 적대 워크플로 + 게시본 재실증(1.18.1 P1) 완료. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag (Stable) · GitHub release (`--latest`) · npm dist-tag `stable` 시도. ## 1.18.4 — 2026-06-14 — GPT-5.5 외부평가 채택: 보안 제보 비공개화 + 자기정합 + 정직한 강제 프레이밍 **🔎 외부평가(GPT-5.5)를 맹신 X로 검증해 진짜 결함만 채택.** 8개 한계 지적을 리포지토리에서 직접 확인 — #3(오케스트레이션 과대홍보)은 현 포지셔닝상 **기각**(이미 "operations/verification layer"), #6(채택 증거)은 범위 밖. 검증된 결함을 이번 패치에 반영. ### 변경 (채택) - **🔒 SECURITY.md 비공개 제보 채널 (#8, P1, UR-0005)**: "비공개로 알려주세요" 하면서 **공개** GitHub Issues+보안라벨로 안내하던 모순 해소(공개 이슈는 모두에게 노출). → **GitHub Private Vulnerability Reporting**(`/security/advisories/new`) + 보안 이메일(`[leerness security]`)로 교체, "공개 이슈 금지" 명시 + 책임 있는 공개 안내. 권한 큰 하네스의 기본 위생. - **🪞 README 자기정합 (#7, P2, UR-0006)**: 관리블록 버전이 package.json(1.18.x)과 어긋나던 것(v1.18.0 표기) 해소 — `readme sync` 로 1.18.4 재스탬프. 게다가 audit 이 **동적 npm 배지 README 에서 못 잡던 갭**을 닫음: 배지뿐 아니라 "Last synced by Leerness vX" 관리블록 버전도 package.json 과 대조(`readme_synced_version_stale`, `--fix` 자동). 정합성 관리 도구가 자기 정합부터. - **🛡️ 정직한 강제 프레이밍 (#2, P2, UR-0007)**: README 에 "Guidance vs enforcement" 섹션 — leerness 는 **기본 협조형**(에이전트가 자발 실행)이며, **강제**하려면 `leerness ci init`(PR 게이트 워크플로) + branch protection required check 로 검증 건너뛴 PR 머지 차단. 가이드라인과 가드레일의 차이를 솔직히 명시. - **🪶 가벼운 진입 (#4, P2, UR-0008)**: README 30초 퀵스타트에 `init --minimal`(핵심 메모리+검증 파일만) 노출 — 사용자 "가볍게" 철학과 정합. 핵심8 vs 플러그인 경계 분리는 백로그. - 백로그(UR-0009): 클린룸 평가 요약 공개 + 커버리지 측정. ### 검증 (회귀 0) - **selftest 229→231** (SECURITY.md 비공개 채널 행위 + audit 관리블록 lag 소스 가드) · audit 행위 재현(인위적 stale → 감지+`--fix`) · **E2E 365/365**. - patch(1.18.4) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.18.3 — 2026-06-12 — 품질 렌즈(분야별 자기질문) + README 영문 우선 + 설치 REPL 문항 제거 (사용자 명시 3종) **🧭 "AI가 스스로 질문하고 행동하도록".** 사용자 명시 지시 3종을 한 패치로: (1) 분야별 자기질문 품질 렌즈, (2) README 영어권 우선 재작성, (3) 설치 직후 REPL 진입 문항 제거. ### 변경 - **`leerness lens [code|design|docs|test|security]` 신설 (UR-0003)**: 완료 선언 전 AI가 스스로 답하는 분야별 질문 + **분야간 인과관계**(↔ affects). 사용자 원문 그대로 — 코드: *"선임 개발자가 이 코드를 보고 복잡하다고 느끼지 않을까?"* / 디자인: *"선임 디자이너와 일반 사용자가 봤을 때 이쁘고 편하고 직관적이며 헷갈리지 않는가?"* / 문서: *"30초 안에 뭘 해보면 되지?"*. "그렇다(통과)"라고 답할 수 없으면 완료가 아님. `--json` 지원. AGENTS.md 템플릿 Required behavior + anti-lazy-work-policy 규칙 7로 통합(새 init 워크스페이스부터 AI가 자동으로 읽음). - **README 영어권 우선 재작성 (UR-0004)**: 첫 화면 영문 — *Try it in 30 seconds*(즉시 해볼 명령) / *No terminal? Let your AI run it*(비개발자: AI에게 붙여넣는 한 문단 + MCP 85 도구) / *Why leerness?*(자체 하네스 대비 차별점 표 — "기억은 말한 것, leerness는 한 것을 검증"). 한국어 전문은 `README.ko.md` 분리. 관리 블록(project-readme) 보존. - **설치 직후 REPL agent 모드 진입 문항 제거 (사용자 명시)**: REPL은 완성도가 올라가면 구현 예정 — 설치 흐름에서 질문·자동 진입 삭제(수동 `leerness agent`는 유지). 설치 문항이 한 개 줄어 더 단순. - **운영**: leerness 영상(쇼츠) 생성 당분간 중지 — site release-pipeline의 렌더/검증/업로드 3단계에 `LEERNESS_VIDEO_ENABLED` 가드(레포 변수로 재개). 룰 R-0006(토큰 예산 고려)/R-0007(영상 중지) 등록. ### 기록만 (토큰 예산 고려 — 다음 라운드 후보, UR-0003 완전판) - 렌즈 워크스페이스 커스텀(`.harness/quality-lenses.json` — 프로젝트별 질문 추가/수정), handoff 헤드라인에 in-progress task 키워드 → 관련 렌즈 자동 힌트, verify-claim/session close에 렌즈 자가답변 기록(advisory), MCP `leerness_lens` 노출, 인과관계 그래프 자동 추론(변경 파일 확장자 → 영향 분야 매핑). ### 검증 (회귀 0) - **selftest 227→229** (카탈로그 무결성·사용자 원문·affects 상호참조 행위 + 표면 등재/REPL 제거 소스 가드 — 자기참조 함정 1건 즉시 수정) · **E2E 365/365** · lens 행위 확인(유효/무효 도메인 exit 0/1). - patch(1.18.3) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.18.2 — 2026-06-11 — 위장 스텁(빈 export 껍데기) 차단 — 거짓완료 우회 폐쇄 + 적대 강화 **🛡️ "거짓완료 차단"의 위장 스텁 우회 폐쇄 — 적대 워크플로로 강화.** 1.18.1 재실증에서 정직한 한계로 남겼던 위장 스텁을 닫고, 적대 헌터(우회·오탐 병렬)로 1차 수정의 우회를 재발견해 함께 폐쇄. `module.exports = {};` 한 줄 "빈 껍데기 구현"이 `verify-claim` "구현 실체 ✓"를 통과하고 `require` 만 하는 가짜 테스트와 결합하면 **`--strict-claims` 에서도 exit 0** 으로 통과하던 우회(맹신 X 클린룸 케이스 B). ### 변경 (재실증 후속 + 적대 강화) - **빈 export 껍데기 = 스텁 판정**: 비주석 코드가 빈 값(zero-logic) producer 뿐이면 스텁 → done 주장 기본 게이팅 FAIL. 순수 함수 `_vcImplIsEmpty` 분리(단위 테스트). 적대 헌터가 찾은 우회형까지 포함: `{}`·`[]`·`Object.freeze({})`·`new Object()`·`(async) function(){}`·`(async)()=>{}`·`()=>({})`·`class {}`·`export default {}`·`export {}`·`exports.default = {}`·`pass`, TS 캐스트(`{} as any`) 허용. - **인라인 주석 우회 차단**: 같은 줄 트레일링 주석(`module.exports = {}; // ...`)이 앵커를 깨던 가장 사소한 누수 — 줄별 인라인 `//` 제거(따옴표 없는 줄 한정, 문자열 보호) 후 판정. - **확장자 정합(`FILE_EXTS`)**: `java`·`php`·`mjs`·`cjs` 추가 — 이전엔 `.java`/`.php` 임플 주장이 추출조차 안 돼 스텁/존재 검사를 무검사 통과하던 불일치 버그 해소. - **과탐 0(오탐 헌터 ~45 합법패턴 확인)**: 이름붙은 export(`{ a, b }`)·재노출(`require('./x')`/`export * from`)·멤버 객체(`{ port: 3000 }`)·`Object.freeze({a:1})`·메서드 있는 클래스·비어있지 않은 화살표(`(a,b)=>a+b`)·`class Foo {}` + 별도 export(스펙 FP-가드)는 전부 정상 통과. - 참고: 재실증이 의심했던 "테스트-구현 연결 OR 우회"는 **실재하지 않음**(내용 기반 검사가 미연결 테스트를 정확히 잡음 — 클린룸 케이스 A strict=exit 1). - 정직한 잔여(백로그): 호출식 다중 인자(`Object.assign({},{})`), Python def/class-wrapped `pass`·`...`·`raise NotImplementedError`, 다언어(Ruby/Go/Rust `todo!()`) 빈 본문 — 정규식 누적보다 경량 토큰/AST 기반 "빈 컨테이너" 재설계로 미룸. ### 검증 (회귀 0) - **selftest 225→227** (빈 껍데기 기본+우회형 8종+정상 10종 행위 단위 + 소스/확장자 가드) · **E2E 365/365** · **적대 워크플로 2회**(우회 9건 isReal 재현 → 수정 → CLI 행위 14/14 재확인; 오탐 0). - **행위 재현(맹신 X)**: Object.freeze/new Object/async fn/exports.default/=>({})/class{}/인라인주석/리터럴 8종 → strict exit 1(이전 0); 진짜 구현·배럴·freeze({a:1})·메서드 클래스·설정 객체 6종 → exit 0(오탐 0). - patch(1.18.2) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). ## 1.18.1 — 2026-06-11 — 재실증 후속: --test-cmd 비-JS 거짓차단 해소 (P1) + 정합 구멍 2건 **🔁 1.18.0 을 게시본에서 다시 검증(맹신 X)했더니, "범용" 약속의 핵심인 비-JS 사용자에게 새 P1 이 보였다.** 독립 클린룸 3곳(파이썬 재개발·적대 재공격·Node 회귀)으로 1.18.0 의 5격차를 재실증한 결과 4건은 닫혔으나, `verify-claim --run-tests --test-cmd "python ..."` 이 권한 차단(126)으로 막혀 **초록 프로젝트에 거짓 "✗ 불일치 FAIL"**(exit 1)을 내던 것을 발견·수정. ### 변경 (재실증 발견) - **🌐 --test-cmd 비-JS 인터프리터 거짓차단 해소 (P1)**: `leerness init` 기본 권한(basic, `shell.exec=false`)의 allowList 가 JS 도구(git/npm/node…)만 허용해 `python/py/pytest/uv` 등이 status 126 으로 막히고, 그게 "테스트 실패→주장 불일치" 거짓 판정으로 둔갑했음. 이제 **사용자가 명시한 `--test-cmd`/설정 `testCommand` 는 명시 권한(userAuthorized)** 으로 인터프리터 실행 허용(cwd jail 은 유지). 추가 방어: 권한/jail 로 막힌 실행은 **"테스트 실패"가 아니라 "측정 불가(skip, 불일치 판정 아님)"** 로 처리 — 차단이 절대 거짓 FAIL 로 바뀌지 않음. - **🔚 task update 위치인자 status 무시 차단 (P2)**: `task update T-0003 done` 처럼 상태를 위치인자로 주면 조용히 무시되고 "✓ updated"가 출력돼 **done 이 안 되고 verify-claim/마감 정직성 검사가 통째로 건너뛰던** 데이터 정합 구멍 해소 — id 뒤 떠도는 positional 거부 + did-you-mean(`--status done`). 정상 `--status`/`--next` 는 과탐 0. - **🏷 종합 라벨 정직화 (P3)**: 커스텀 `--test-cmd` 인데도 종합 줄이 "npm test 실행"으로 하드코딩되던 것 → 실제 실행 명령 표기. ### 검증 (회귀 0) - **selftest 222→225** (권한 결정 `_isCommandPermitted` 행위 단위 + 정합 가드) · **E2E 365/365** (대기 중 갱신). - **행위 재현(맹신 X)**: 초록 파이썬 프로젝트에서 `verify-claim --run-tests --test-cmd "python test_todo.py"` → exit 0 + "python test_todo.py 실행: ✓ all passed" + 일치 판정(이전: 126/거짓 FAIL/exit 1). `task update T-0001 done` → 명확 에러+exit 1, status 는 그대로(done 아님), `--status done`/`--next` 정상. - patch(1.18.1) — npm 미배포(R-0011, GitHub/CHANGELOG 누적). 다음 minor 때 묶음 공개. ## 1.18.0 — 2026-06-10 — 🛡️ [안정화/Stable] 범용 검증 하네스 안정 minor **🛡️ 안정화(Stable) minor — "범용 AI 코딩 하네스" 실증 격차 전부 해소.** 5개 독립 클린룸 실사용 평가(Python/Node/Rust 실개발·에이전트 교대·적대 공격)가 찾은 P1 2건 + P2 3건(1.17.2~1.17.6)을 검증·통합해 npm 공개. R-0011 정책의 9번째 minor. 새 포지셔닝: **"어떤 언어, 어떤 AI 에이전트로 작업하든 — 증거 없이는 끝났다고 말할 수 없게."** ### 이번 minor 통합 (1.17.1~1.17.6) - **🌐 테스트 명령 해석 체인 (P1)**: `verify-claim --run-tests` 가 npm test 하드코딩 → `--test-cmd` > 설정 `testCommand` > 실제 npm test(placeholder 제외) > skip. 파이썬 프로젝트 오판 해소 + pytest 출력 파싱. - **🛡️ 빈껍데기·가짜 테스트 차단 (P1)**: 주석뿐 구현(비주석 코드 0줄) done 게이팅 FAIL + 테스트-구현 연결 검사(12개 언어, 파이썬 `#` 스텁 포함). `--json implementationSubstance/testImplLink`. - **🧪 테스트 카운트 정직화 (P2)**: pytest·루트 `*.test.*` 관례 인식 + 측정불가="검증 미수행"(통과 위장 금지) + 한국어 "테스트 N개" 주장 추출(부풀린 주장 차단). - **🔗 unknown flag 거부 (P2)**: `task update --next-action` 같은 미존재 옵션이 값을 조용히 버리던 것 → 거부 + did-you-mean(인수인계 유실 차단). - **🔚 마감 정합 (P2)**: session close 가 done 낙관 의심·살아있는 시크릿을 재확인해 표면화 — 마감이 마지막 관문 역할. - **plan add 공백제목 손상 수정** + milestone 파서 개행 미흡수(1.17.1). ### 검증 (회귀 0) - **selftest 222 PASS** · **E2E 365/365 PASS** · npm gate=minor_bump. 각 격차 행위 재현(공격 차단 + 정직 작업 과탐 0) 완료. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag (Stable) · GitHub release (Stable) · npm dist-tag `stable` 시도. ## 1.17.6 — 2026-06-10 — 범용성⑤(P2 완결): session close 마감 정합 (UR-0049) **🔚 마감이 "마지막 관문" 역할을 하도록.** 5축 실증에서 — verify-claim 이 거짓으로 판정했던 task 가 마감 보고서에 평범한 "done"으로, gate 가 시크릿으로 실패 중인데 "clean (sleep 안전)"으로 선언되던 정합 문제 해소. **이로써 5축 격차(P1 2건 + P2 3건) 전부 닫힘.** ### 변경 (UR-0049) - **done 낙관 재확인**: 마감 시 done task 들의 evidence 를 코드 흔적과 재대조(`_detectOptimism`) — verify-claim 을 건너뛴 거짓 주장(예: "DB 저장 구현" 인데 코드에 DB 호출 없음)을 `⚠ 낙관 의심 미해소` 로 표면화. `--json completionHonesty.optimismUnresolved`. - **마감 보안 재확인**: 커밋 대상 시크릿이 살아있으면 `🚨 마감 보안: N건 미해소 — clean 아님` 표면화. `--json closeSecurity.committedSecrets`. - advisory(차단 X) — 마감 흐름은 유지하되 거짓/위험이 조용히 통과하지 않음. ### 검증 (회귀 0) - **selftest 221→222** · **E2E 365/365** · 행위 3종: 거짓 DB 주장 done + 시크릿 → 두 경고 표면화 ✓ · --json 필드 ✓ · 진짜 구현+시크릿 제거 → 경고 0(과탐 0) ✓. - patch(1.17.6) — npm 미배포(R-0011, GitHub). **다음: 1.18.0 [Stable] "범용 검증 하네스" minor(1.17.1~1.17.6 묶음 공개).** ## 1.17.5 — 2026-06-10 — 범용성④: 모르는 옵션 조용히 무시 차단 (UR-0048) **🔗 인수인계 유실의 최악 양식 차단.** 5축 실증에서 — `task update --next-action "..."` 처럼 존재하지 않는 옵션을 줘도 "✓ task updated"만 출력하고 값을 버려, **쓴 에이전트는 기록됐다고 믿고 다음 에이전트는 placeholder 를 받던** P2 해소. ### 변경 (UR-0048) - **`task update` unknown flag 거부**: 지원 외 `--플래그` 발견 시 exit 1 + **did-you-mean**(`--next-action` → "혹시 `--next`?") + 지원 플래그/사용법 안내. `--json` 은 `{code:'unknown_flag'}` 구조화. - 전역 플래그(`--path/--json/--force/--lenient`)는 항상 허용 — 과탐 0. 재사용 가능한 `_rejectUnknownFlags` 헬퍼(다른 쓰기 명령 확대 여지). ### 검증 (회귀 0) - **selftest 220→221** · **E2E 365/365** · 행위 4종: `--next-action` 거부+제안 ✓ · `--json` 구조화 ✓ · 올바른 `--next` 정상 저장 ✓ · 전역 플래그 통과 ✓. - patch(1.17.5) — npm 미배포(R-0011, GitHub). 잔여: UR-0049(마감 정합) → 완료 시 1.18.0 "범용 검증" minor. ## 1.17.4 — 2026-06-10 — 범용성③: 테스트 카운트 "측정실패=통과" 역전 해소 (UR-0047) **🧪 5개 클린룸 리포트가 공통 지적한 P2.** "실측: 테스트 파일 못 찾음"이라면서 바로 아래 "✓ pass (실측 ≥ 주장)"로 통과시키던 모순 — 부풀린 테스트 주장("cargo test 12개", "테스트 50개")이 검증을 헛통과하던 것 해소. ### 변경 (UR-0047) - **관례 확대**: 주장된 테스트 파일 우선 합산 + 글롭(pytest `test_*.py`·`*_test.py` / 루트·tests/ 의 `*.test.*`·`*.spec.*`) — 이전엔 `tests/test.js` 등 3개 하드코딩. 파이썬은 `def test_` 개수로 카운트. - **측정불가 = 검증 미수행**: 테스트 파일을 못 찾으면 "⊘ 측정 불가 — 주장 N개 검증 미수행 (pass 아님)" 정직 표기 + verdict `testCountMatch: null`(게이팅 미기여 — false 만 FAIL). - **🐛 주장 추출 보강(맹신 X 행위검증 중 발견)**: "테스트 50개"(한국어 자연어순)를 못 잡아 **부풀린 주장이 카운트 검증을 아예 안 탔음** → `테스트 N개` 패턴 추가. ### 검증 (회귀 0) - **selftest 219→220** · **E2E 365/365** · 행위 4종: pytest 실측(2개) ✓ · **부풀린 "테스트 50개"(실측 2) exit 1 차단**(이전 헛통과) · 측정불가 정직 표기 ✓ · 루트 `*.test.js` 인식(실측 3) ✓ · 정직 주장 exit 0(과탐 0). - patch(1.17.4) — npm 미배포(R-0011, GitHub). 잔여: UR-0048(unknown flag)·UR-0049(마감 정합). ## 1.17.3 — 2026-06-10 — 범용성②: 빈껍데기 구현·가짜 테스트 차단 (UR-0046) **🛡️ 간판 기능 "거짓완료 차단"의 상한선 끌어올리기.** 5축 실증 분석의 Attack C — 주석뿐인 구현 파일 + 아무것도 검사하지 않는 `assert(true)` 테스트가 `verify-claim` 을 **exit 0 으로 완전 통과**하던 P1 — 을 차단. ### 변경 (UR-0046) - **구현 실체(스텁) 검사**: 주장된 구현 파일(테스트 제외, js/ts/py/go/rs 등 12종 확장자)의 **비주석 코드줄이 0** 이면 done 게이팅 FAIL — "주석/TODO 뿐인 빈껍데기"를 확실 신호만으로 차단(과탐 0). - **테스트-구현 연결 검사**: 구현+테스트가 함께 주장됐는데 어떤 테스트도 구현 파일명을 참조하지 않으면 "빈 테스트 의심" advisory ⚠ (`--strict-claims` 시 FAIL). - `--json` verdict 에 `implementationSubstance` / `testImplLink` + `stubFiles` 노출(머신 경로 동일 게이팅). ### 검증 (회귀 0) - **selftest 218→219** · **E2E 365/365** · Attack C 재현: 스텁+가짜테스트 **exit 0→1 차단** · 진짜 구현 exit 0(과탐 0) · **파이썬 스텁(#주석뿐)도 차단**(언어중립) · --json verdict 노출. - patch(1.17.3) — npm 미배포(R-0011, GitHub). 잔여 격차: UR-0047(테스트카운트 역전)·0048(unknown flag)·0049(마감 정합). ## 1.17.2 — 2026-06-10 — 범용성①: verify-claim 테스트 명령 해석 체인 (UR-0045) **🌐 "범용 AI 코딩 하네스" 5축 실증 분석의 P1 1호 해소.** `verify-claim --run-tests` 가 `npm test` 하드코딩이라 — 테스트가 전부 통과한 파이썬 프로젝트(npm init 잔재 placeholder 존재)를 "주장 불일치 FAIL"로 오판하던 범용성 정면 반례를 수정. ### 변경 (UR-0045) - **테스트 명령 해석 체인**: `--test-cmd "<명령>"` > `.harness/leerness-config.json` 의 `"testCommand"` > package.json 의 **실제** test 스크립트(npm placeholder "no test specified" 는 테스트가 아니므로 제외) > **skip 표기**(불일치 판정 금지). - **pytest 출력 파싱**: "N passed in …s" 형식 인식(파이썬 러너 pass/fail 비율 표시). - 신규 value-flag `--test-cmd` 를 `nonFlagArgs` withValue 에 등록(1.14.2 교훈 적용 — 제목 흡수 차단). ### 검증 (회귀 0) - **selftest 217→218** · **E2E 365/365** · 행위 재현: ① placeholder-only 파이썬 프로젝트 `--run-tests` → skip + exit 0(오판 해소, 이전 exit 1) ② `--test-cmd "node mytest.js"` → 실행+파싱(2/2 passed)+주장 대조 ✓ ③ config testCommand 경유 동작 ④ 실제 npm test 스크립트는 기존대로 ⑤ 실패 명령은 정직하게 exit 1. - patch(1.17.2) — npm 미배포(R-0011, GitHub). 다음: UR-0046(스텁/연결 검사 — 빈껍데기 구현 차단). ## 1.17.1 — 2026-06-09 — 17번째 버그헌트: plan add 공백제목 데이터 손상 차단 **🔬 17번째 버그헌트(이번 세션 신규코드 회귀 + 광역 스윕).** 신규코드(gate --json stdout-swap·memory --json·_GROUP_USAGE·scan break·_cellSafe)는 **0 결함**(5000키 664ms 등 입증). plan add 입력검증 1건 발견·수정. ### 수정 (재현 검증) - **🟠 plan add 공백 제목 → plan.md 손상 (P2)**: `plan add " "`(공백만)이 `|| 기본값`을 우회(truthy)해 빈 제목으로 기록 → milestone 파서의 `\s*` 가 개행을 흡수해 **다음 줄 `Status: planned` 를 제목으로 오인**. 2중 수정: ① dispatch 에서 `.trim()` 후 판정(공백→기본값 '새 계획'), ② 파서 `\.\s*` → `\.[ \t]*`(개행 미흡수, 5곳 + pure-utils) — 손상 클래스 차단. ### 검증 (회귀 0) - **selftest 216→217** · **E2E 365/365** · `plan add " "` → '새 계획'(손상 없음)·정상 제목 보존 행위 재현. - patch(1.17.1) — npm 미배포(R-0011, GitHub). (P3 plan add 빈-인자 기본값은 의도된 동작 — trim 으로 안전화.) ## 1.17.0 — 2026-06-09 — 🛡️ [안정화/Stable] 외부 클린룸 일관성 안정 minor **🛡️ 안정화(Stable) minor.** 외부 클린룸 리뷰(게시본 무README 신규사용자 관점)에서 도출한 --json·CLI 일관성 개선(1.16.1~1.16.2)을 검증·통합해 npm 공개. R-0011 정책의 8번째 minor. 영상은 HyperFrames "문제→해소" 디자인. ### 이번 minor 통합 (1.16.1~1.16.2) - **gate `--json` 단일 객체화**: 텍스트+단계JSON 혼재로 파싱 불가하던 것 → `{ok,total,failed,checks}` 단일 JSON(CI/에이전트 소비 가능). - **memory search `--json`**: 플래그 무시하던 것 → `{query,total,results}` 구조화. - **명령그룹 무인자 일관화**: `rule`/`skill`/`feature`/`memory` 를 하위명령 없이 부르면 "알 수 없는 명령" 대신 **사용법 힌트**(decision/lesson 과 일관, `--json` 구조화). - **문서 정합**: `about` 의 메모리 경로 `.leerness/` → `.harness/`(기본 워크스페이스) 정정. ### 검증 (회귀 0) - **selftest 216 PASS** · **E2E 365/365 PASS** · npm gate=minor_bump. gate/memory --json valid JSON + bare-group 사용법 힌트 행위 재현. (맹신 X: scan --json exit·AKIA 는 비-버그로 판정해 제외.) ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag (Stable) · GitHub release (Stable) · npm dist-tag `stable` 시도. ## 1.16.2 — 2026-06-09 — CLI 일관성: 명령그룹 무인자 → 사용법 힌트 (외부클린룸 UR-0042) **🧭 명령그룹을 하위명령 없이 부르면 친절한 사용법 안내.** 외부 클린룸 리뷰가 지적: `rule`/`skill`/`feature`/`memory` 를 하위명령 없이 부르면 "알 수 없는 명령"(유효 그룹인데 혼란)이 떴음 — `decision`/`lesson` 처럼 사용법 힌트로 통일. ### 변경 (UR-0042) - bare `rule`/`skill`/`feature`/`memory` → `subcommand_required` + 실제 하위명령 사용법 표시(예: `memory search "<키>" | memory status | …`). `--json` 도 구조화 출력. - 기존 동작 보존: 하위명령이 있는 호출(`memory search` 등)은 그대로. ### 검증 (회귀 0) - **selftest 215→216** · **E2E 365/365** · 4개 그룹 bare 호출 → 사용법 힌트, `memory --json` → `{code:'subcommand_required'}` 행위 재현. - patch(1.16.2) — npm 미배포(R-0011, GitHub). 잔여: bare `leerness` 자동 init·hook(UR-0041, 설계 재검토), `--language en` 런타임(UR-0042 잔여). ## 1.16.1 — 2026-06-09 — 외부 클린룸 리뷰: --json 일관성 + 문서 정합 **🔬 외부 클린룸 리뷰(게시본 1.16.0 설치·README/소스 미참조·신규 사용자 관점, 2모델).** 발굴된 지적을 직접 재현해 진짜만 수정(맹신 X — 비-버그/의도된 동작은 제외). ### 수정 (전부 재현 검증) - **gate `--json` 단일 객체화 (C2)**: 이전엔 텍스트 헤더 + 단계별 JSON 이 섞여 파싱 불가. 이제 `{ok, total, failed, checks:[{name,ok}]}` 단일 객체(하위 출력 억제). CI/에이전트 소비 가능. - **memory search `--json` (C3)**: `--json` 을 무시하고 텍스트만 내던 것 → `{query, total, results:[{file,line,text}]}` 구조화(전 명령 일관). - **about 문서 정합 (C4)**: `about` 의 메모리 설명이 `.leerness/` 라 했으나 기본 워크스페이스는 `.harness/` → 정정(선택 state substrate 만 .leerness/). ### 비-버그 판정 (맹신 X — 재현했으나 수정 안 함) - **scan secrets `--json` exit 코드**: 리뷰는 exit 0 라 했으나 재현 결과 committed 발견 시 exit 1 정상(코드도 `if(committed.length) process.exitCode=1`). gitignored-only(안전) → exit 0 은 의도된 동작. - **AWS AKIA 미탐지**: `...EXAMPLE` 포함은 placeholder 가드로 스킵(의도) — 실 키(EXAMPLE 없음)는 정상 탐지. ### 잔여(백로그): bare `leerness`(무인자) 자동 init·hook / `--language en` 런타임 미적용 / 서브명령그룹 무인자 동작 일관화. ### 검증 (회귀 0) - **selftest 214→215** · **E2E 365/365** · gate/memory --json valid JSON + about .harness 행위 재현. - patch(1.16.1) — npm 미배포(R-0011, GitHub). ## 1.16.0 — 2026-06-09 — 🛡️ [안정화/Stable] 16번째 버그헌트 안정 minor **🛡️ 안정화(Stable) minor.** 16번째 멀티에이전트 버그헌트(8건 발굴·전부 직접 재현)의 코어 수정(1.15.1)을 검증·통합해 npm 공개. R-0011 정책의 7번째 minor. **이 릴리스 영상부터 개선된 "문제→해소" 디자인**(짧은 인트로 + 이전/이제 모션 + 의미 보존 하이라이트)으로 제작됩니다. ### 이번 minor 통합 (1.15.1 — 전부 재현 검증) - **🔴 시크릿 스캐너 FN 차단**: 한 파일에 같은 패턴 시크릿이 2개 이상이면 첫 번째만 보고하고 나머지를 놓치던 문제(루프 break) 수정 → 모두 탐지. - **🟠 task/rule list 표 정렬**: 제목에 파이프(`|`)가 있으면 마크다운 표 칼럼이 깨지던 표시 버그 → `_cellSafe` 적용. - **📖 문서 정합**: `encoding check` 도움말이 실제 미검사 항목(CRLF)을 광고하던 것 정정. - (사이트 영상 파이프라인 4버그 — 큐 키/빈 제목/빈 WAV 통과/check-only 부작용 — 도 동시 수정.) ### 검증 (회귀 0) - **selftest 214 PASS** · **E2E 365/365 PASS** · npm gate=minor_bump. 시크릿 멀티매치·표 파이프·도움말 정합 행위 재현. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag annotation (Stable) · GitHub release (Stable) · npm dist-tag `stable` 시도. ## 1.15.1 — 2026-06-09 — 16번째 버그헌트: 시크릿 스캐너 FN + 표 파이프 + 문서정합 **🔬 멀티에이전트 버그헌트(신규코드 0건·코어 4건·사이트 4건 발굴) → 8건 전부 직접 재현 후 진짜만 수정.** 맹신 X: 각 지적을 temp 에서 직접 재현하고, 의도된 동작은 수정 제외. ### 수정 (코어 3건 — 전부 재현 검증) - **🔴 시크릿 스캐너 FN (F1)**: 한 파일에 같은 패턴의 시크릿이 2개 이상(예: `secret:` 와 `api_key:` 둘 다 'Hardcoded password' 패턴)이면 **첫 번째만 잡고 나머지 누락**(루프 `break`). break 제거 + zero-width 가드 → 모두 탐지. - **🟠 task/rule list 표 깨짐 (F2)**: 항목 제목에 파이프(`|`)가 있으면 마크다운 표 칼럼이 어긋남(저장은 안전했으나 list **표시**가 raw). 표시도 `_cellSafe` 적용(`\|`). - **문서정합 (F3)**: `encoding check` 도움말이 'CRLF 검사'를 광고했으나 실제 미검사(정책은 BOM/NUL/.bat/roundtrip). 도움말을 실제 동작과 일치하게 정정. ### 의도된 동작(수정 안 함 — 맹신 X) - `status --json` 가 `healthy:false` 여도 exit 0: **설계상 정보성 명령**(`scope:'install'` + `healthyMeaning` 명시, 게이트는 `verify`/`gate`). 버그 아님. ### 검증 (회귀 0) - **selftest 213→214** · **E2E 365/365** · F1(2건 탐지)·F2(파이프 `\|` 이스케이프)·F3(help CRLF 제거) 행위 재현. (사이트 파이프라인 4건은 leerness-site 에서 별도 수정.) - patch(1.15.1) — npm 미배포(R-0011, GitHub). ## 1.15.0 — 2026-06-09 — 🛡️ [안정화/Stable] Karpathy 가이드라인 정렬 3부작 안정 minor **🛡️ 안정화(Stable) minor.** Andrej Karpathy 코딩 가이드라인(생각하고 코딩 / 단순성 / 외과적 변경 / 목표 주도) 대비 외부 에이전트 검토에서 도출한 정렬 작업(1.14.1~1.14.3)을 검증·통합해 npm 공개. R-0011 정책의 6번째 minor. 영상은 HyperFrames 파이프라인 제작. ### 이번 minor 통합 (1.14.1~1.14.3) — Karpathy 4원칙 정렬 - **원칙1·2 (생각하고 코딩 / 단순성)**: `review-request` 가 요청의 **범위 과대 신호**(전체·모두·리팩토링·재구성·rewrite/refactor everything)와 **투기적 신호**(나중에·확장 가능·유연하게·범용화·추상화·future-proof)를 탐지해 "더 작게 쪼갤 수 있나? 요청 범위만" 환기(advisory). `--json simplicitySignals`. - **원칙4 (목표 주도 — 검증가능한 완료)**: `plan add --done-when "<조건>"` 로 milestone 에 성공 기준을 1급 필드(`Done-When`)로 저장 · `plan list` 표시 + `--json doneWhen` · 미정 시 환기. (부수: `--done-when` 값이 제목에 흡수되던 잠복 버그 수정.) - **원칙2 (자기적용)**: 정적 분석으로 호출 0·동적참조 0 인 **죽은 함수 5개 제거**(무행위변경). 함수 476→471. ### 검증 (회귀 0) - **selftest 213 PASS** · **E2E 365/365 PASS** · npm gate=minor_bump. 각 기능 행위 재현(신호 탐지/오탐0, done-when 저장·표시, dead 제거 후 재스캔 0). ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag annotation (Stable) · GitHub release (Stable) · npm dist-tag `stable` 시도. ## 1.14.3 — 2026-06-09 — Karpathy 정렬④(완결): 자체 단순화 — 죽은 코드 제거 (원칙2) **🧹 leerness 가 자신의 원칙2(단순성)를 자신에게 적용.** 정적 분석으로 "정의됐으나 호출 0 + 동적(문자열) 참조 0" 인 함수만 골라 제거 — 무행위변경(검증가능) 단순화. ### 변경 (UR-0033) - **죽은 함수 5개 제거**: `_isAutoLoopActive` · `_invalidateSkillsCache` · `_currentLang` · `_typewrite` · `_writeDomainCatalog` (전부 호출처 0, 과거 리팩토링/대체로 고립된 잔재). 함수 476→471, bin 19561줄. - 제거 후 **재스캔 = 새 고아 0** (각 함수가 쓰던 헬퍼는 다른 곳에서도 사용 중 — 연쇄 dead 없음). - 막연한 "큰 파일 줄이기"가 아닌, **검증가능·무행위변경** 범위로 한정(Karpathy 원칙3 외과적 변경 준수). ### 검증 (회귀 0) - **selftest 213 PASS** · **E2E 365/365 PASS** (행위 동일 — dead 코드라 출력/동작 불변). 제거 전 각 후보의 전체 참조(bin+lib+scripts+test)=정의 1줄만 직접 확인(맹신 X). - patch(1.14.3) — npm 미배포(R-0011, GitHub). **Karpathy 백로그(UR-0031/0032/0033) 완결.** ## 1.14.2 — 2026-06-09 — Karpathy 정렬③: plan --done-when 검증가능 완료조건 (원칙4) **🎯 milestone 에 "성공 기준"을 1급 필드로.** Karpathy 원칙4(목표 주도 실행 — 검증가능한 완료 정의)의 빠진 절반. plan 에 done-criteria 개념이 없어 "언제 끝인지" 가 모호했던 것을 보강. ### 변경 (UR-0032) - **plan add `--done-when "<조건>"`**: milestone 에 `Done-When:` 라인으로 검증가능 완료조건 저장. 미지정 시 `(미정)`. - **plan list 표시 + `--json doneWhen`**: 각 milestone 의 완료기준 노출. 누락(legacy/미정) 시 `⚠ 미정 — --done-when 권장 (Karpathy 원칙4)` 환기. - **🐛 잠복 버그 수정(맹신 X)**: `nonFlagArgs()` 의 value-flag 집합(`withValue`)에 `--done-when` 이 없어, 값이 positional 로 누출돼 **milestone 제목에 흡수**(예: "결제 연동" → "결제 연동 Stripe e2e…")되던 것 차단. 행위 재현으로 발견·수정. ### 검증 (회귀 0) - **selftest 212→213**, 행위: `plan add "결제 연동" --done-when "Stripe e2e 통과"` → 제목="결제 연동"(흡수 없음)·Done-When 분리 저장·plan list/json 노출; 미지정 → (미정)+환기. - patch(1.14.2) — npm 미배포(R-0011, GitHub). 잔여 Karpathy: UR-0033(자체 단순화). ## 1.14.1 — 2026-06-09 — Karpathy 정렬②: review-request 범위과대/투기적 신호 (원칙1+2) **🤔 사전 검토 게이트에 "생각하고 코딩" + "단순성 우선" 신호 추가.** Karpathy 리뷰가 가장 약한 원칙으로 꼽은 1(트레이드오프 표면화)·2(단순성)를, 가장 많이 쓰는 `review-request`(작업 전 자동 호출)에서 보강. ### 변경 (UR-0031) - **review-request 단순성/범위 신호**: 요청 텍스트에서 **범위 과대 동사**(전체·모두·리팩토링·재구성·rewrite/refactor everything 등)와 **투기적 신호**(나중에·확장 가능·유연하게·범용화·추상화·future-proof 등)를 탐지해 `efficiencyHints` + `--json simplicitySignals` 로 표면화. "더 작게 쪼갤 수 있나? 요청 범위만" 환기. advisory(차단 X — 표면화만, Karpathy 원칙1). - 신규 명령 0 — 기존 명령 확장(leerness 자신의 원칙2 준수). ### 검증 (회귀 0) - **selftest 211→212**, 행위 재현: "전체 코드베이스 리팩토링 + 나중에 유연하게 확장 가능하게 추상화" → broad=[전체,리팩토링] spec=[나중에,유연하게,확장 가능,추상화]; 단순 요청 → 0(오탐 없음). - patch(1.14.1) — R-0011 정책상 npm 미배포(GitHub). 잔여 Karpathy 백로그: UR-0032(plan --done-when 성공기준), UR-0033(자체 단순화). ## 1.14.0 — 2026-06-09 — 🛡️ [안정화/Stable] 블라인드 리뷰 수정 + Karpathy 정렬 안정 minor **🛡️ 안정화(Stable) minor.** 블라인드 3-모델 리뷰(codex/Sonnet/Opus) 수정 + Karpathy 가이드라인 정렬(1.13.1~1.13.2)을 검증·통합해 npm 공개. R-0011 정책의 5번째 minor. (이 릴리스의 소개 영상부터 **HyperFrames 파이프라인**으로 자동 제작됩니다.) ### 이번 minor 통합 (1.13.1~1.13.2) - **🔴 memory search 5종 표면 복구** (블라인드 Sonnet P1): `memory search` 가 lessons.md/rules.md 를 누락해 저장한 교훈·룰을 못 찾던 문제 → 추가. - **🔴 옵션-only 무명령의 묵시적 init 쓰기 차단** (블라인드 codex P1): `leerness --json` 처럼 명령 없이 옵션만 주면 cwd 에 `.harness` 가 생성되던 부작용 → help 처리(명시 init 만 쓰기). - **📖 README 블라인드 재구성**: 3모델이 코드/행위만으로 파악한 정체성 반영(거짓완료 차단 전면화·다언어·경로규칙·한국어 우선). - **🔬 verify-claim scope-creep 표면화** (Karpathy 원칙3 "외과적 변경"): git 에 변경됐으나 evidence/주장에 없는 파일(요청 범위 밖 변경)을 advisory 로 노출(`--json scopeCreep`). - doctor 문구 + selftest README exists 가드 (블라인드 P3). ### 검증 (회귀 0) - **selftest 211 PASS** · **E2E 365/365 PASS** · npm gate=minor_bump. scope-creep 행위(claim A + change A,B→[B]), memory search 5종 검색, --json-무명령 비쓰기 재현. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag annotation (Stable) · GitHub release (Stable) · npm dist-tag `stable` 시도. ## 1.13.2 — 2026-06-09 — Karpathy 가이드라인 정렬: verify-claim scope-creep 표면화 (외과적 변경) **🔬 외부 에이전트(Sonnet/Opus) 가 leerness 를 Andrej Karpathy 4대 코딩 가이드라인 대비 검토.** 두 리뷰가 수렴: leerness 는 원칙4(목표주도/검증루프)는 최강이나, **원칙3(외과적 변경)이 최대 갭** — 변경 파일이 요청 범위 내인지 검사가 없었음. 최고가치·최저노력 항목을 즉시 구현(신규 명령 0 — leerness 자신의 원칙2 위반 악화 방지). ### 변경 (UR-0030, Karpathy 원칙3) - **verify-claim 역방향 git 교차검증**: 기존엔 "주장한 파일이 git 변경에 있는가"(한 방향)만 봤음. 이제 **"git 에 변경됐으나 evidence/주장에 없는 파일"(scope-creep / 요청 범위 밖 변경 신호)** 도 표면화 — `--json scopeCreep` + 사람용 advisory(`🔬 외과적 변경 점검`). 하네스 자체 기록(.harness/.git/node_modules 등) 제외, 오탐 방지 위해 advisory(기본 FAIL 아님). 이미 계산하던 `gitChanged` Set 재사용 — 최소 변경. ### 검증 (회귀 0) - **selftest 210→211**, 행위 재현: claim a.js + change a.js,b.js → `scopeCreep={count:1,files:["b.js"]}` (.harness 정확 제외). - 백로그(기존 명령 확장 권장): review-request scope/단순성 신호(원칙1+2, UR-0031) · plan `--done-when` 성공기준(원칙4, UR-0032) · leerness 자체 단순화 검토(원칙2, UR-0033). - patch(1.13.2) — R-0011 정책상 npm 미배포(GitHub). ## 1.13.1 — 2026-06-09 — 블라인드 3-모델 리뷰 수정 + README 재구성 (codex gpt-5.5 · Sonnet 4.8 · Opus 4.8) **🔍 블라인드 멀티모델 리뷰**: 3개 모델(codex gpt-5.5 외부 CLI + Claude Sonnet/Opus 4.8 서브에이전트)이 **leerness 소개 없이, README 를 물리적으로 제거(숨김)한 클린룸**에서 npm 최신본(1.13.0)을 코드·CLI·행위만으로 분석. 발견을 맹신 X로 직접 재현·검증해 수정하고, 그 리뷰 내용으로 README 를 재구성. ### 버그 수정 (전부 재현 검증) - **🔴 memory search 가 lessons/rules 누락** (Sonnet P1): `memory search` 가 5종 메모리 표면을 표방하나 `lessons.md`/`rules.md` 를 검색 못 해(저장한 교훈·룰이 'no matches') 모순감지 핵심 용도가 훼손됐음 → 두 파일 추가. (검증: lesson/rule/decision 3종 모두 검색됨) - **🔴 옵션-only 무명령의 묵시적 init 쓰기** (codex P1): `leerness --json` 처럼 명령 없이 옵션만 주면 cwd 에 `.harness` 가 의도치 않게 생성되던 쓰기 부작용 → 무명령+옵션만은 help 로 처리(명시 `init` 만 쓰기). bare `leerness` 온보딩은 유지. - **doctor 문구 + selftest README 의존** (Sonnet/codex/Opus P3): doctor 가 pass 수에 '실패' 를 붙여 "209/210 실패"(=209건 실패로 오독)되던 것 → "통과 N/M (K건 실패)". selftest 의 README 배너 케이스에 `exists` 가드 추가 → 문서가 없는(pruned) 설치에서도 코어 무결성 진단 통과. ### README 재구성 (블라인드 리뷰 기반) 3모델이 코드/행위만으로 파악한 정체성("AI 코딩 에이전트 운영/신뢰성 하네스, 코드를 대신 쓰지 않음")을 반영 — **거짓 완료 차단(핵심 차별점) 섹션 신설**(verify-claim 다언어 인식 포함), selftest 카운트 정정(→210), 경로 규칙(메모리 명령은 `--path`/`./dir`)·한국어-우선 출력 명시. ### 검증 / 잔여 - **selftest 210 PASS** · E2E 365/365. 백로그: bare relative dir cwd-fallback(codex P2, README 경로규칙으로 문서화 + pure 함수 계약 변경은 후속). - patch(1.13.1, 같은 minor) — R-0011 정책상 npm 미배포(GitHub). Opus 가 "버그처럼 보였으나 자기 테스트 데이터 오류"로 정직하게 철회한 항목은 수정 안 함(과수정 회피). ## 1.13.0 — 2026-06-09 — 🛡️ [안정화/Stable] verify-claim 다언어 + 정직성·자원·보안 안정화 **🛡️ 안정화(Stable) minor. 헤드라인 = verify-claim 다언어 지원(비-JS 개발자 핵심 회귀 수정).** 15번째 멀티에이전트 버그헌트 성과(1.12.2~1.12.5)를 검증·통합해 npm 공개. R-0011 정책의 4번째 minor. ### ⚠️ 동작 변경 (중요) - **verify-claim 기본 게이트가 Python·Ruby·Go·C#·Java·PHP·Rust 등 비-JS 구현을 인식**합니다(1.12.0 의 게이트는 JS 패턴만 알아 비-JS 정상 완료를 오차단했음). 정직하게 구현한 완료는 언어 무관 통과, 가짜 완료는 여전히 차단. ### 이번 minor 통합 (1.12.2~1.12.5) - **🌐 verify-claim 다언어 지원** (UR-0014): `OPTIMISM_PATTERNS.codeRe` 에 교차언어 idiom 추가 — 비-JS 정상 done-claim 오차단(exit 1) 제거. 1.12.0 핵심가치의 비-JS 회귀 수정. - **🔒 MCP 정직성** (UR-0181): unknown tool 호출의 임의경로 쓰기 차단(사용통계 기록을 도구 검증 후로). path-타게팅은 generic 서버 설계로 확인(맹신 X — 과수정 회피). - **🔍 탐지 정직성** (UR-0182/0183): lazy detect TODO 파일별 추적(무관 task 의 'TODO' 글자 전역 억제 제거) + session close 완료 정직성 advisory(증거 없는 done 노출). - **🧹 견고성/자원/정확성** (UR-0015~0021): glossary 표 파이프 escape · MCP _chunkSize 클램프(무한루프 데이터손실) · api-skill CRLF/BOM · shell-guard 공백없는 `&&` · 대형파일 stat-before-read(메모리 2배 스파이크) · 중첩 skip-dir 시크릿 오탐 · requirements pip 디렉티브. ### 검증 (회귀 0) - **selftest 210 PASS** · **E2E 365/365 PASS** · npm gate=minor_bump. Python API done-claim→exit 0, 중첩 node_modules 시크릿 제외, MCP unknown tool 쓰기 차단 등 행위 재현. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag annotation (Stable) · GitHub release (Stable) · npm dist-tag `stable` 시도. ## 1.12.5 — 2026-06-09 — 15th 버그헌트 잔여 5종: CRLF·shell-guard·메모리·skip-dir·requirements **🧹 15번째 버그헌트 잔여 클러스터(UR-0017~0021) 일괄 처리 — 견고성/자원/정확성.** ### 변경 - **api-skill CRLF/BOM 복구** (UR-0017, P2): `_loadAPISkill` 가 raw readFileSync 라 CRLF 파일에서 frontmatter 전부 유실 + `api-skill match` 크래시(body undefined). `read()`(BOM strip) + `\r\n`/`\r` 정규화 + fallback 에 `body` 추가(1.9.408 SKILL.md 수정 누락분). - **shell-guard 공백없는 `&&`/`||` 탐지** (UR-0018, P2): `/\s&&\s/` 가 양쪽 공백을 요구해 `npm run build&&npm test`(PS5.1 에서 실패하는 흔한 형태) 미탐 → 공백 무관 토큰 매칭. - **대형 파일 stat-before-read** (UR-0019, P2): `_scanCodeForPatterns`·`scan secrets`·`encoding check` 가 size-cap 을 read() **후** 검사해 대형 파일 1개가 메모리 2배 스파이크(200MB→RSS 464MB) → 읽기 **전** stat 으로 초과 파일 건너뜀. verify-claim/gate 메모리 안정화. - **중첩 skip-dir 제외** (UR-0020, P3): `isSkippedRel` 가 root-anchored 만 매칭해 중첩 `node_modules`/`.git`/`dist` 가 스캔돼 오탐 → 경로 세그먼트 매칭(SCAN_SKIP_DIRS Set). - **requirements.txt 디렉티브 skip** (UR-0021, P3): `-e`/`-r`/`--hash` pip 디렉티브를 패키지로 파싱하던 것 → `-` 라인 skip + 영숫자 시작 요구. ### 검증 (회귀 0) - **selftest 209→210**, 행위 재현: api-skill CRLF→"Real Name"+match exit 0, scan secrets 중첩 node_modules/dist/.git 제외(root.js 만 탐지), requirements `["requests","flask"]`. - 개발 중 발견·수정: `SCAN_SKIP_DIRS` 는 Set(.has) — `.includes` 오용을 selftest 가 배포 전 차단(handoff 보안 스캔 회귀 포함). - patch(1.12.5, 같은 minor) — R-0011 정책상 npm 미배포. **15번째 버그헌트(UR-0014~0021) 전부 처리 완료.** ## 1.12.4 — 2026-06-09 — 🌐 verify-claim 다언어 지원 + glossary 표/MCP 페이지네이션 (15th 버그헌트 P1/P2) **🔴 핵심 회귀 수정: verify-claim 기본 게이트가 非JS 정상 완료를 오차단하던 문제.** 15번째 멀티에이전트 버그헌트(크로스플랫폼·최신기능·성능 3관점) 결과 중 즉시-수정 가능한 고가치 3건. ### 변경 - **🔴 verify-claim 다언어 지원** (UR-0014, P1): 1.12.0 의 optimism 기본 게이트가 `OPTIMISM_PATTERNS.codeRe` 를 **JS 전용**으로 두고도 코드 스캐너는 13개 언어를 읽어, Python(`requests`)·Ruby(`Net::HTTP`)·Go(`http.Get`)·C#(`HttpClient`)·Java·PHP·Rust 로 정직하게 구현한 done-claim 을 "호출 흔적 없음"으로 **오차단(exit 1)** 했음. 각 codeRe 에 교차언어 idiom 추가 → 非JS 정상 완료 통과. (검출 관대화 = 정직한 작업 오차단 제거; 과탐보다 안전.) - **glossary.md 표 파이프 escape** (UR-0015, P2): 표 셀에 `_lineSafe`(개행만 제거) 대신 `_cellSafe`(파이프 escape) 적용 — 의존성 description 의 `|` 가 표 칼럼을 깨뜨리던 문제(node_modules description fallback 벡터). - **MCP 페이지네이션 _chunkSize 클램프** (UR-0016, P2): 음수/소수 `_chunkSize` → 빈 출력 무한 루프(데이터 손실)였음 → 양의 정수로 클램프. ### 검증 (회귀 0) - **selftest 207→209**, 행위 재현: Python API done-claim 기본 verify-claim **exit 0**(false-fail 제거), glossary `|`→`\|`, _chunkSize 음수 클램프. - patch(1.12.4, 같은 minor) — R-0011 정책상 npm 미배포. 15th 잔여(UR-0017~0021): _loadAPISkill CRLF, shell-guard 공백없는 &&, 대형파일 stat-before-read, 중첩 skip-dir, requirements `-` — 후속. ## 1.12.3 — 2026-06-09 — 정직성 마무리: lazy TODO 파일별 추적 + session close 완료 정직성 (14th 버그헌트, UR-0182/0183) **🔍 14번째 버그헌트 잔여 2건 — 정직성 탐지 정밀화.** ### 변경 - **lazy detect TODO 파일별 추적** (UR-0182): `todo_untracked` 가 아무 task 의 request/evidence 에 'TODO' 글자만 있어도 모든 코드 TODO 경보를 **전역 억제**(무관한 task 1개가 전부 묵음)하던 문제 → 해당 TODO 의 **파일을 참조하는 task 가 없는 것만** 미추적으로 경보. `--auto-track` 도 미추적 TODO 만 등록. - **session close 완료 정직성 advisory** (UR-0183): 마감 시 done 인데 evidence 가 비었거나 placeholder 인 task 를 노출(`completionHonesty` JSON 필드 + `⚠ 완료 정직성` 라인). 차단하지 않는 advisory(session close 의 advisory 철학) — verify-claim 권장 환기. ### 검증 (회귀 0) - **selftest 206→208**, 행위 재현: 무관 task 의 'TODO' 글자에도 코드 TODO 경보 유지(untracked=1), session close `completionHonesty.doneWithoutEvidence` 노출. - patch(1.12.3, 같은 minor) — R-0011 정책상 npm 미배포. **14번째 버그헌트 백로그(UR-0175~0183) 전부 처리 완료.** ## 1.12.2 — 2026-06-09 — MCP unknown-tool 임의경로 쓰기 차단 (14th 버그헌트, UR-0181) **🧹 MCP 사용통계 기록을 도구 검증 후로 — unknown tool 의 임의 경로 쓰기 차단.** ### 조사 정정 (맹신 X) 외부 에이전트가 "MCP `path` 인자가 서버 루트를 탈출(traversal/정책 우회)"을 P2 보안으로 보고했으나, **직접 조사 + e2e 로 확인 결과 MCP 서버는 generic 설계**임: `mcp serve` 는 cwd 에서 실행되고 각 `tools/call` 의 `path` 로 대상 프로젝트를 지정(의도된 기능 — e2e 가 temp 경로 타게팅을 검증). policy 도 대상-프로젝트별로 path 에서 로드(올바름). 즉 **path-타게팅 자체는 취약점이 아니라 설계**(신뢰된 로컬 MCP 모델). 처음 적용한 "루트 가둠"은 이 설계를 깨 e2e 5건 실패 → **revert**. ### 진짜 버그 수정 - `_bumpMcpUsage`(사용 통계 쓰기)가 **unknown-tool 검증 전**에 실행돼, 미등록 도구 호출로도 임의 경로에 `.harness/cache` 가 생성됐음 → **검증 후(알려진 도구만)로 이동**. ### 검증 (회귀 0) - **selftest 206→207** (bump 위치 와이어), e2e 365/365. 프로젝트-scoped 가둠은 opt-in 플래그로 별도 검토(backlog). - patch(1.12.2, 같은 minor) — R-0011 정책상 npm 미배포. 14th 잔여: UR-0182(lazy TODO)·UR-0183(session close 정직성). ## 1.12.1 — 2026-06-08 — 🩹 [Stable hotfix] 클린룸 selftest false-alarm 수정 (UR-0008) **1.12.0 직후 발견된 사용자-노출 결함 핫픽스 — npm 배포(예외).** ### 문제 (게시본 클린룸 검증으로 발견) `npm i leerness@1.12.0` 후 `leerness selftest` 실행 시 **"1/206 실패 — 설치 손상 의심"** false-alarm. 패키지는 정상 동작(모든 명령 기능 OK)이나, 무결성 게이트인 selftest 가 거짓 경보 → 정직성이 핵심인 도구의 신뢰 훼손. ### 원인 + 수정 - UR-0151 selftest 케이스가 소스 자기검증에 **멀티라인 exact-string `includes("…\n …")`**(줄바꿈+정확 4공백)를 사용 → 공백/줄바꿈/환경에 취약(repo 통과, 클린룸 실패). - → **공백 유연 정규식 `\s+`** 으로 견고화. 로컬 tarball 클린룸 설치 후 **selftest 206/206 통과** 검증(게시 전). ### 배포 정책 예외 (R-0011) - R-0011(patch 는 npm 미배포)의 **예외 — 직전 게시 minor(1.12.0)의 사용자-노출 결함 안정성 핫픽스**라 npm 배포. dist-tag `stable` 유지. ### 검증 (회귀 0) - selftest 206(repo) + **206(클린룸 tarball)** · E2E 365/365. ## 1.12.0 — 2026-06-08 — 🛡️ [안정화/Stable] 핵심가치(증거-우선 완료) 복원 + 용어집 안정 minor **🛡️ 안정화(Stable) minor. 헤드라인 = verify-claim 기본 모드가 허위완료를 차단하도록 복원(동작 변경).** 14번째 멀티에이전트 버그헌트 성과(1.11.1~1.11.4)를 검증·통합해 npm 공개. R-0011 정책의 3번째 minor. ### ⚠️ 동작 변경 (중요) - **`verify-claim` 기본 모드가 done 주장의 evidence↔코드 일치(optimism)를 게이팅**합니다(이전엔 `--strict-claims` 옵트인). 거짓 코드+빈 테스트로 "완료" 선언 시 **exit 1**로 차단. 정상 코드는 통과(오탐 없음). 기존의 느슨한 동작이 필요하면 **`--lenient`**. ### 이번 minor 통합 (1.11.1~1.11.4) - **🔴 verify-claim 허위완료 차단** (UR-0175): 기본 모드 fail-open 수정 — leerness 정체성("증거 없으면 완료 불가") 복원. optimism 전체 프로젝트 스캔 + `--json` claimsConsistent/gitCrossCheck 노출 + `--lenient` 탈출. - **📖 leerness glossary** (UR-0007): 의존성 용어집 — package.json/requirements 라이브러리를 비개발자용 한 줄 설명(한/영)으로. 큐레이션 카탈로그(~40) + node_modules fallback + AI 보완 프롬프트. 외부 3-에이전트 평가 설계. - **데이터 무결성** (UR-0176/0177): nextId 라인앵커(셀 토큰 오인 행손실 차단) + feature-graph 노드 위조 차단. - **일관성/무결성** (UR-0178/0179/0180): completed/verified→done 집계 정규화 + rule archive 셀 안전화 + rule ID 재사용 방지. ### 검증 (회귀 0) - **selftest 206 PASS** · **E2E 365/365 PASS** · npm gate=minor_bump. 허위완료→exit 1, 정상완료→exit 0, glossary 5/5. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag annotation (Stable) · GitHub release (Stable) · npm dist-tag `stable` 시도. ## 1.11.4 — 2026-06-08 — 📖 leerness glossary: 의존성 용어집 (UR-0007, 외부 3-에이전트 평가 설계) **🙂 바이브 코딩 지원 — 프로젝트가 쓰는 라이브러리를 비개발자도 알 수 있게 한 줄로.** ### 배경 외부 AI 3-에이전트(제품/기술/회의) 평가 종합: 가이드·기능맵·프로젝트설명은 기존 brief/feature-graph/context-map 와 ~70-80% 중복 → 제외. **유일한 진짜 공백 = 의존성 용어집**(비개발자가 package.json 의 라이브러리를 이해하지 못함). 회의론자의 "무LLM 저품질" 우려는 코드-식별자 추출에만 해당 → **큐레이션 카탈로그**(손작성 고품질)로 해소. ### 신규 `leerness glossary [build|show]` - `package.json`(deps/devDeps/peerDeps) + `requirements.txt` 의존성을 **큐레이션 도구 카탈로그(`_TOOL_CATALOG`, ~40개)**의 plain-ko/plain-en 한 줄 설명으로 매칭 → `.harness/glossary.md`(이중언어, marker-wrapped, drift-aware) + `glossary.json`. - 카탈로그 없는 의존성은 **`node_modules/` 로컬 description fallback**(오프라인, 네트워크 X). - 미정의 의존성은 **AI 에이전트가 채울 보완 프롬프트** 생성(leerness 는 LLM 미호출 원칙). - `--lang ko|en|both`, `--json`. 0 deps, 무LLM, 오프라인. ### 검증 (회귀 0) - **selftest 205→206** (순수코어 _matchTool/_parsePackageJsonDeps/_buildGlossary/_renderGlossaryMd + 카탈로그 ~40), 행위 재현: 실 deps 픽스처 → 5/5 정의(카탈로그 4 + description fallback 1), 이중언어 출력, --json. - patch(1.11.4, 같은 minor) — R-0011 정책상 npm 미배포. Phase 2(handoff/MCP/audit 연동, brief --plain)는 후속. ## 1.11.3 — 2026-06-08 — 14th 버그헌트 데이터 일관성 P2 클러스터 (UR-0178/0179/0180) **🐛 task 집계 일관성 + rule 아카이브 무결성 + ID 재사용 방지.** ### 변경 - **completed/verified 집계 정규화** (UR-0178): `task --status completed|verified` 가 TASK_STATUSES(입력 수락)엔 있으나 STATUSES(집계/버킷 단일출처)엔 없어 total 엔 잡히고 buckets/done% 엔 누락(lazy-detect/idempotency 는 이미 done 취급 — 내부 불일치)됐음 → 저장 시 canonical `done` 으로 정규화(`_normTaskStatus`). 모든 집계 일관. - **rule 아카이브 셀 안전화** (UR-0179): `rule remove` 가 `rules.archive.md` 에 trigger/rule 을 raw 기록 → 파이프(`|`) 포함 룰이 아카이브 표를 깨뜨렸음(rules.md 는 이미 `_cellSafe`) → 아카이브에도 `_cellSafe`. - **rule ID 재사용 방지** (UR-0180): `nextRuleId` 가 활성 rules 만 스캔 → `rule remove` 후 같은 R-id 가 다른 룰에 재발급(아카이브 ID 충돌)됐음 → 아카이브의 R-id 도 카운트. ### 검증 (회귀 0) - **selftest 204→205**, 행위 재현: `--status completed`→저장 `done`+plan progress 집계 일치, rule remove 파이프→아카이브 `\|` escape, rule remove 후 재추가→R-0002(재사용 X). - patch(1.11.3, 같은 minor) — R-0011 정책상 npm 미배포. ### 비고 (정직) - stray 테스트 커밋 복구(1.11.2) 과정의 `reset --hard` 가 repo 자체 `.harness/user-requests.json`(한 번도 커밋 안 된 누적 working state)을 비웠음. UR 정본은 CHANGELOG+git 커밋이라 비치명적. 14th 잔여(MCP path/lazy TODO/session close 정직성)는 백로그 유지. ## 1.11.2 — 2026-06-08 — 🔴 핵심가치: verify-claim 기본 모드 허위완료 차단 (14th 버그헌트 P1-CRITICAL, UR-0175) **🛡️ leerness 정체성 복원 — "증거 없으면 완료 불가"가 기본값에서 작동.** (동작 변경) ### 문제 (직접 재현) `verify-claim --run-tests`(문서화된 기본 흐름)가 **허위 완료를 통과**시켰음(exit 0): stub 코드 + 아무것도 검증 안 하는 테스트 + 낙관적 evidence → 통과. 허위를 잡는 optimism/git 교차검증이 `--strict-claims` 옵트인일 때만 작동했고, `--json`(에이전트/MCP 경로)은 git 신호조차 누락해 머신 경로가 더 위험했음. ### 변경 - **done 주장 기본 게이팅**: optimism(evidence 주장↔코드 호출 흔적) + 정직성(근거없는 단정) 검사를 done 완료 주장에 **기본 적용**(이전 `--strict-claims` 옵트인 → 이제 done 기본). 완화: `--lenient`. `--json`/human 양 경로 동일 계산 공유. - **optimism 전체 프로젝트 스캔**: 기존 `src/bin/lib/scripts` 한정 → 루트부터 walk(무거운 디렉토리/예산 상한). routes/app/pages 등 비표준 위치 코드도 인식 → FP(legit 차단)·FN(허위 통과) 동시 해소. - **--json 신호 노출**: `verdict.claimsConsistent`(optimism+정직성) + `verdict.gitCrossCheck` + `claims`/`git` 상세 → 머신 경로도 human 과 동일하게 정직. - **git strongMismatch 는 advisory**(기본 게이트 제외, `--strict-claims` 시만 FAIL): 커밋 후 검증(정상 흐름)에서 커밋된 파일이 working-tree 변경에 없어 false-fail 하므로. 기본 게이트는 신뢰도 높은 optimism 이 담당. ### 검증 (회귀 0) - **selftest 203→204**, 행위 재현: 허위완료(stub) 기본 **exit 1**(차단), 정상완료(실코드) 기본 **exit 0**(false-fail 없음), `--lenient` **exit 0**(탈출), `--json` claimsConsistent/gitCrossCheck 노출. - patch(1.11.2, 같은 minor) — R-0011 정책상 npm 미배포. **이 동작 변경은 1.12 안정 minor 의 핵심 헤드라인이 됨.** ### 14th 잔여 백로그 UR-0178 completed 집계 · 0179 rule archive escape · 0180 rule ID 재사용 · 0181 MCP path 탈출 · 0182 lazy TODO 억제 · 0183 session close 정직성 게이트. ## 1.11.1 — 2026-06-08 — 데이터 무결성 P1 (14번째 멀티에이전트 버그헌트, UR-0176/0177) **🐛 데이터 손실·메모리 위조 차단 — leerness 가 보존하는 기록의 무결성 강화.** ### 변경 - **ID 생성 충돌·행 손실 차단** (UR-0176, P1): `nextId` 가 Request 셀 안의 `T-9999` 같은 텍스트 토큰까지 ID 로 매칭 → 다음 ID 가 `T-10000`(5자리)이 되어 4자리 행 정규식에 안 잡혀 **행이 보이지 않게 사라지고 ID 가 중복**되던 문제. 이제 실제 행/헤더(라인 시작) ID 만 카운트 + width-무관 인식. - **feature 그래프 노드 위조 차단** (UR-0177, P1): `_featureBlock` 가 title/notes/input/output 을 raw 기록 → `title="X\n## F-9999 …"` 로 가짜 노드(헤더) 위조가 가능(메모리 기판 prompt-injection)했음. 모든 보간 값에 `_lineSafe`(개행→공백) — decisions/lessons(UR-0108)와 동일 정책. ### 14번째 버그헌트 — 후속 등록 (이번 미수정, 백로그) - **UR-0175 (P1-CRITICAL 핵심가치)** verify-claim 기본 모드 fail-open(허위 완료 통과) → 다음 전용 라운드(동작변경·e2e 분석). · UR-0178 completed/verified 미집계 · UR-0179 rule archive 미escape · UR-0180 rule ID 재사용 · UR-0181 MCP path 탈출 · UR-0182 lazy TODO 억제 · UR-0183 session close 정직성 게이트 + feature lock/init-guard 잔여. ### 검증 (회귀 0) - **selftest 201→203** (nextId 라인앵커 + _featureBlock 주입차단), 행위 재현: T-9999 텍스트 후 ID T-0003/0004(손실 0, list=disk), feature 주입 2노드(위조 차단). - patch(1.11.1, 같은 minor) — R-0011 정책상 npm 미배포, GitHub 만 갱신. ## 1.11.0 — 2026-06-08 — 🛡️ [안정화/Stable] CLI 견고성 + --json 에이전트 계약 안정 minor **🛡️ 안정화(Stable) minor — 13번째 멀티에이전트 버그헌트로 발견·수정한 patch(1.10.1~1.10.5)를 검증·통합해 npm 에 안정 공개.** R-0011 배포 정책의 2번째 minor 릴리스. ### 이번 minor 에 담긴 개선 (1.10.1~1.10.5, 그동안 GitHub 에만 누적) - **시크릿 스캐너 정밀화** (UR-0144): AWS 공식 예제키 `AKIA…EXAMPLE`(접미사) 오탐 차단, 중간 example 실키는 보존(FN 정책 유지). - **--json 에이전트 계약 하드닝** (UR-0146/0173/0174): `init --json` 순수 JSON(배너/진행바/대화 메뉴 억제, io quiet 모드) + `scan secrets`/`encoding check`/`lazy detect`/`deps` 잘못된 경로 구조화 에러(`failJson`, exit 1). - **정직성·견고성** (UR-0167): `session close <파일>` 가 실패를 성공(exit 0)으로 오판하던 문제 → 구조화 에러 + exit 1. - **CLI 인자 견고성** (UR-0169): `arg()` 가 값 없이 끝나면 `true` 누출 / 다음 `--flag` 흡수하던 문제 → def 반환(음수값 보존). - **표·출력 안전화** (UR-0170/0168/0171): plan drop 표셀 `_cellSafe`, handoff --json 배너 억제, env encoding-check positional 디렉토리 존중. ### 검증 (회귀 0) - **selftest 201 PASS** · **E2E 365/365 PASS** · npm gate=minor_bump(배포) 확인. 13번째 버그헌트 8건 중 7건 수정 + 2건 by-design(UR-0142 intent classify, audit --fix). ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag annotation (Stable) · GitHub release (Stable) · npm dist-tag `stable` 시도. ## 1.10.5 — 2026-06-08 — arg() 플래그 흡수 방지 + handoff --json 배너 억제 (13th 버그헌트 잔여, UR-0168/0169) **🧰 CLI 인자 견고성 + --json 순수성 마무리.** ### 변경 - **arg() 값 플래그 흡수 방지** (UR-0169, P3): `arg(name)` 가 값 없이 끝나면 boolean `true` 를 누출(`--reason` 가 plan.md 에 'true' 기록)하거나, 다음 토큰이 `--flag` 면 그것을 값으로 흡수(`--target --path` → target='--path')하던 문제 → 다음 토큰이 없거나 `--` 장식 플래그면 `def` 반환. **음수 값(`--x -5` 등 단일 `-`)은 보존**. - **handoff --json 미-init 배너 억제** (UR-0168, P2): `handoff --json` 이 미-init 디렉토리에서 사람용 "init 미실행" 경고를 JSON 앞에 출력(비-JSON)하던 문제 → `--json` 시 배너 억제(순수 JSON). ### 검증 (회귀 0) - **selftest 199→201** (arg: 흡수방지+음수보존+정상값, handoff 배너 와이어), 행위 재현: `export --target --path` 미흡수, `--reason`(끝) true 누출 없음, `handoff --json` 미-init 순수 JSON. - arg() 는 코어 함수 → **E2E 365 전수**가 회귀 안전망. patch(1.10.5, 같은 minor) — R-0011 정책상 npm 미배포. (13th 잔여: UR-0172 시크릿 prefix FP — FN 회귀 위험으로 신중 검토 예정) ## 1.10.4 — 2026-06-08 — 13번째 버그헌트 후속 P2/P3 클러스터 (UR-0167/0170/0171) **🐛 정직성·견고성: 실패 오판 + 표 손상 + 무시되던 인자 수정.** ### 변경 - **session close 디렉토리 가드** (UR-0167, P2-정직성): `session close <파일경로>` 가 `mkdir /.harness` 에서 ENOTDIR 크래시 + **exit 0(실패를 성공으로 오판)** 하던 문제 → 경로 없음/디렉토리 아님이면 `failJson(code:'path_not_found')` + exit 1. - **plan drop 표셀 안전화** (UR-0170, P3): `plan drop` 의 text/`--reason` 에 든 파이프(`|`)·개행이 plan.md 마크다운 표 칼럼을 깨뜨리던 문제 → `_cellSafe`(task/rule UR-0104 와 동일, round-trip 가능) 적용. - **env encoding-check positional 디렉토리** (UR-0171, P3): `env encoding-check ` 가 positional 인자를 무시하고 cwd 를 스캔(→ 잘못된 디렉토리 false 'no risk') 하던 문제 → 형제 `env check/sync/detect` 와 동일하게 positional 존중. ### 검증 (회귀 0) - **selftest 198→199**, 행위 재현: session close 파일경로 → exit 1 + JSON, plan drop 파이프 → `\|` escape(round-trip OK), env encoding-check `` → scanned 정상. - patch(1.10.4, 같은 minor) — R-0011 정책상 npm 미배포, GitHub 만 갱신. (13th 잔여: UR-0168 handoff 배너 · UR-0169 arg 값흡수 · UR-0172 시크릿 prefix FP) ## 1.10.3 — 2026-06-08 — --json 순수성 하드닝 (13번째 멀티에이전트 버그헌트, UR-0173/0174) **🤖 에이전트 계약 강화: `--json` 이 항상 기계 파싱 가능한 출력만 내도록.** ### 변경 - **init --json TTY 누출 차단** (UR-0173, 1.10.2 회귀): 인터랙티브 터미널에서 `init --json` 이 배너/진행바/언어선택 메뉴를 JSON 앞에 출력하던 문제 → 배너·진행바(`isTty`)에 `!opts.json` 게이트 + `nonInteractive` 적용. 비-TTY(파이프/CI)는 기존에도 정상. - **walk 기반 스캐너 --json 경로 오류 구조화** (UR-0174): `scan secrets` / `encoding check` / `lazy detect` 가 없는/파일 경로에서 `walk()` throw → 사람용 `✗ ENOENT/ENOTDIR` 텍스트(비-JSON)를 뱉던 문제 → `status()` 패턴(path 가드 + `failJson(code:'path_not_found')`, exit 1) 통일. - **deps --json 인자누락 구조화** (UR-0174): `deps --json` 의 capability 누락이 사람용 텍스트 → `failJson(code:'missing_arg')`. ### 13번째 버그헌트 — 후속 등록 (이번 미수정, 백로그) - UR-0167 session close --json 파일경로 exit 0 오판 · UR-0168 handoff --json 미-init 배너 누출 · UR-0169 arg() 값없는 플래그 흡수 · UR-0170 plan drop 파이프 표 깨짐 · UR-0171 env encoding-check positional 무시 · UR-0172 시크릿 prefix+단어 placeholder FP(검토). ### 검증 (회귀 0) - **selftest 196→198** (4종 --json 구조화 에러 spawn 검증 + init 게이트 와이어), 행위 재현: 4종 모두 `{ok:false,code}` exit 1, init --json TTY 순수 JSON. - patch(1.10.3, 같은 minor) — R-0011 정책상 npm 미배포, GitHub 만 갱신. ## 1.10.2 — 2026-06-08 — init --json 순수 JSON 출력 (12th 외부평가 Codex P3, UR-0146) **🤖 `init --json` 이 사람용 출력 대신 순수 JSON 요약 1개 — AI 에이전트가 JSON.parse 가능.** ### 변경 - `leerness init --json` 이 기존엔 `--json` 을 silent ignore 하고 배너+15줄 사람용 로그를 출력 → 이제 **순수 JSON 요약**: `{ ok, action:'init', version, path, harnessFiles, dryRun, minimal }`. - io 에 **quiet 모드(`setQuiet`)** 추가 — `log/ok/warn`(사람용)만 묵음, `fail/failJson`(오류)은 항상 노출. init(install) 큰 핸들러 내부 다중 log 게이팅(침투적) 없이 비침투적 묵음. - init 디스패치가 `--json` 시 `setQuiet(true)` → install → `finally setQuiet(false)` → JSON 1개 emit (배너/공지 누출 0). ### 검증 (회귀 0) - **selftest 195→196** (setQuiet: log/ok 묵음 + fail 노출 + 와이어), 행위 재현: `init --json` → 파싱 가능 JSON, 배너 누출 없음. - patch(1.10.2, 같은 minor) — R-0011 정책상 npm 미배포, GitHub 만 갱신. ## 1.10.1 — 2026-06-08 — 시크릿 스캐너 AWS …EXAMPLE 키 오탐 수정 (12th 외부평가 Opus P3, UR-0144) **🔒 AWS 공식 예제키(AKIA…EXAMPLE) 오탐 차단 — 실키 FN 정책은 보존.** ### 변경 - `_isPlaceholderSecret`: 값이 **'example' 로 끝나면(접미사)** placeholder 로 판정 — AWS 문서 표준 예제키 `AKIAIOSFODNN7EXAMPLE` 등 오탐(FP) 차단. - **중간에 'example' 이 있는 실키**(`sk-EXAMPLEab12…`, `sk-proj-realKEYexample…`)는 접미사가 아니라 미해당 → 실키-FN 정책(UR-0105) 보존. 실키가 'example' 로 끝날 확률 0. - 직전 시도(1.9.440)에서 'example' 통째 매칭이 FN 정책과 충돌해 보류했던 것을 접미사 한정으로 정밀 해결. ### 함께 종결 (코드 변경 없음) - **UR-0142** intent classify 항상 default → **by-design**: intent classify 는 precise/broad scope 분류이며 default 는 scope 신호 없는 입력의 정상 중립 결과(맹신 X 직접 재현: "정확히"→precise, "전체 다양한"→broad). 리뷰의 task-type 기대는 오해. ### 검증 (회귀 0) - **selftest 194→195** (AWS EXAMPLE placeholder + 중간 example 실키 real + 진짜키 탐지), 기존 FN 정책 셀프테스트(UR-0106/0109) 유지. - patch(1.10.1, 같은 minor) — R-0011 정책상 npm 미배포, GitHub 만 갱신. ## 1.10.0 — 2026-06-08 — 🛡️ [안정화/Stable] 1.10 안정 minor (배포 정책 첫 minor 릴리스) **🛡️ 안정화(Stable) minor — patch 누적(1.9.446~449)을 검증·통합해 npm 에 안정 버전으로 공개.** R-0011 배포 정책(patch 는 누적, minor 만 npm 공개)의 첫 minor 릴리스. ### 이번 minor 에 담긴 개선 (1.9.446~449, 그동안 GitHub 에만 누적) - **npm 배포 minor-gate** (UR-0160): patch 는 npm 미배포, minor/major 변동 시에만 안정 배포. `release sync-main . --publish-npm` 강제 옵션. - **plan progress 읽기전용 요약** (UR-0145): 완료율% + 상태별 + `--json` + 변경의도 인자 경고(silent ignore 제거). - **export/prompt = adapter 별칭** (UR-0154, GPT-5.5 §6.6): `export --target claude|cursor|codex|agents-md`. - **plan drop 역할 분리** (UR-0143): scope 드랍을 plan.md(Out of Scope)에만 기록, progress-tracker phantom task 제거. ### 직전 안정(1.9.x)부터의 핵심 (참고) - evidence-first 완료 게이트 `completion_claim_allowed` (UR-0153, GPT-5.5 §6.3), CI/PR 턴키 `ci init` (UR-0152, §6.7), task/add-family positional path (UR-0141/0151), 시크릿 스캐너 prefix placeholder 가드(12th 리뷰 Opus P2), README ASCII 배너. ### 검증 (회귀 0) - **selftest 194 PASS** · **E2E 365/365 PASS** · npm gate=minor_bump(배포) 확인. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag annotation (Stable) · GitHub release (Stable) · npm dist-tag `stable` 시도. ## 1.9.449 — 2026-06-08 — plan drop: progress-tracker T- 행 미생성 (12th 외부평가 Sonnet P3, UR-0143) **🐛 plan↔progress 역할 분리: scope 드랍이 phantom task 를 만들던 문제.** ### 변경 - `plan drop` 이 progress-tracker 에 `dropped` 상태의 `T-` task 행을 만들던 동작 제거 — 이제 plan.md `## Out of Scope / Dropped`(D-) 에만 기록. scope 드랍의 단일 출처 = plan.md. - 기존엔 scope 드랍 1건이 plan.md D- + progress-tracker T- 양쪽에 생겨 plan↔progress 역할 혼선 + `task list` 노이즈(실제 작업 아닌 phantom T-) 발생. ### 검증 (회귀 0) - **selftest 193→194** (planDrop 에 dropped-task upsert 없음 + ok 메시지가 plan.md 가리킴), 행위 재현: plan drop → D-0001 기록 + progress T- 행 미증가. - patch(1.9.449, 같은 minor) — R-0011 정책상 npm 미배포, GitHub 만 갱신. ## 1.9.448 — 2026-06-08 — export/prompt = adapter 별칭 (GPT-5.5 전략리뷰 §6.6/7.3, UR-0154) **🔌 GPT-5.5 권고 표면명 정합: `leerness export/prompt --target `.** ### 변경 - 신규 `export --target ` / `prompt --target ` — 기존 `adapter ` 의 별칭(도구별 지침/계약 파일 생성: claude/cursor/codex/copilot/goose). `--target` 플래그 또는 positional 모두 지원, 미지정 시 list. - `agents-md`/`agents`/`agent` → `codex`(AGENTS.md 생성) 별칭 매핑 — GPT-5.5 가 권고한 `export --target agents-md` 가 그대로 동작. - GPT-5.5 전략리뷰가 권고한 명령 표면명(`export`/`prompt --target`)을 기존 adapter 위에 제공 → 외부 사용자 발견성↑. ### 검증 (회귀 0) - **selftest 192→193** (와이어), 행위 재현: `export --target claude`→CLAUDE.md, `export --target agents-md`→AGENTS.md. - patch(1.9.448, 같은 minor) — R-0011 정책상 npm 미배포, GitHub 만 갱신. ### 보류 메모 - UR-0146(init --json 순수화): init=install 큰 핸들러의 다중 log(~15) quiet-mode 게이팅 필요 — P3 대비 침투적이라 quiet-mode 리팩터 라운드로 보류. audit --fix --json 의 fixApplied(=fix모드)/fixed(=카운트)는 의미상 일관(by-design). ## 1.9.447 — 2026-06-08 — plan progress 읽기전용 요약 명확화 (12th 외부평가 Codex P3, UR-0145) **🐛 명령명-동작 불일치 해소: `plan progress` 가 인자를 silent ignore 하던 문제.** ### 변경 - `plan progress` 를 읽기 전용 진행 요약으로 명확화 — **완료율%**(done/total) + 상태별 카운트 + 마일스톤 수 출력. `--json` 구조화 지원. - `plan progress M-0002 --status … --progress …` 처럼 변경 의도 인자가 오면 **읽기 전용임을 경고**(기존: silent ignore) — 상태/진행 변경은 `task update`/`plan add|drop` 안내. - 기존엔 task status 카운트만 출력하며 명령명이 milestone 변경처럼 오인됨. ### 검증 (회귀 0) - **selftest 191→192** (richer 출력 + --json + 변경의도 경고 와이어), 행위 재현: 완료율 1/3(33%)·--json(total/done/percent)·M-id+--status 시 경고. - patch(1.9.447, 같은 minor) — R-0011 정책상 npm 미배포, GitHub 만 갱신. ## 1.9.446 — 2026-06-08 — npm 배포 minor-gate (R-0011/UR-0160) **📦 배포 정책 도구화: npm 배포는 minor(x.x) 변동 시에만 — patch(x.x.x) 는 자동 스킵.** ### 변경 - 순수 `_shouldPublishNpm(current, published, force)` + `_minorKey` (pure-utils): npm latest 와 major.minor 비교 → minor/major ↑ 면 배포, 같은 minor 내 patch 면 스킵. 최초/force 는 배포. - `_publishToNpm` 에 minor-gate 추가(1.5단계): `npm view version` 으로 latest 확인 후, 같은 minor patch 면 npm publish 스킵(GitHub 커밋·CHANGELOG 는 유지). `release sync-main . --publish-npm` 으로 강제 배포. - 사용자 정책(R-0011): 자잘한 patch 는 npm 미배포로 누적, 안정화되면 minor 올려 안정 버전만 npm 노출 → npm latest 안정성 향상. ### 검증 (회귀 0) - **selftest 190→191** (순수 7케이스 + 와이어): 1.9.446 vs 1.9.445=스킵(same_minor), 1.10.0=배포(minor_bump), 2.0.0=배포, force/최초=배포. - 본 패치(1.9.446)부터 정책 적용 — npm 미배포(같은 minor), GitHub 만 갱신. ## 1.9.445 — 2026-06-08 — add-family positional path 일관화 (UR-0151, UR-0141 후속) **🐛 데이터 오염 일관화: `decision/lesson/rule add` 도 positional path 인식 (task 와 동일).** ### 변경 - `decision add`, `lesson save`, `rule add` 가 positional path 를 인식 — `--path` > path-like positional > cwd. 1.9.442(task)에서 도입한 순수 `_taskPositionalPath` 재사용 → 제목/내용은 경로로 오인 안 함(선행 구분자 only), 값-플래그값(`--reason`/`--trigger`/`--tag` 등) 제외. - `_TASK_VALUE_FLAGS` 에 add-family 값-플래그(`--trigger`/`--tag`) 추가. - 기존엔 블록 root 가 `arg('--path', cwd)` 만 사용 → 비-루트 cwd 에서 add 시 cwd 오염(멀티프로젝트). 이제 task 와 일관. ### 검증 (회귀 0) - **selftest 189→190** (와이어 3종 + --trigger 값 제외), **E2E 신규 B(1.9.445)**: 다른 cwd 에서 decision/lesson/rule add `` → ws 저장 + cwd 오염 0. ## 1.9.444 — 2026-06-08 — CI/PR 턴키: leerness ci init (GPT-5.5 전략리뷰 §6.7, UR-0152) **⚙️ leerness 를 팀/CI 품질 게이트로 확장 — PR 마다 `leerness gate` 를 실행하는 GitHub Actions 워크플로 1-커맨드 생성.** ### 변경 - 신규 `leerness ci init [path] [--force] [--json]`: `.github/workflows/leerness-gate.yml` 생성 — `on: pull_request` 에서 `npx -y leerness gate .` 실행. gate = verify + audit + scan secrets + encoding + lazy. **exit 1 시 PR 체크 실패** → 증거 없는 완료·커밋 시크릿·인코딩 깨짐·규칙 위반을 CI 에서 차단. - 워크플로 상단에 **exit-code 정책 주석** 명시(통과=0 / 실패=1). 멱등(이미 존재 시 경고, `--force` 로 덮어쓰기). `--json` 구조화 출력. ### 검증 (회귀 0) - **selftest 188→189** (워크플로 콘텐츠 + 와이어), **E2E 신규 B(1.9.444)**: `ci init` → 파일 생성 + 핵심 라인(name/pull_request/gate) 포함 + 재실행 멱등. - 행위 재현: 임시 워크스페이스에 워크플로 생성·내용 검증·멱등 확인. ## 1.9.443 — 2026-06-08 — evidence-first 완료 게이트 completion_claim_allowed (GPT-5.5 전략리뷰 §6.3/6.4, UR-0153) **🔒 leerness 최대 차별점 강화: 증거로부터 "완료 주장 가능 여부"를 파생·노출.** ### 변경 - 순수 `_completionClaimAllowed(record)` (pure-utils): run-record 증거 기반 완료 게이트 — **변경 파일 존재 + 검증 실행(tests/commands) + 미해결 errors 0 + verification_result === 'pass'** 일 때만 `allowed:true`. 미검증/실패/증거부족은 사유(reasons)와 함께 불허. - `state show`(text + `--json`), `state verify --json`, `state handoff`(latest.json + .md + --json) 에 `completion_claim_allowed` 노출 → 다음 에이전트/PR 리뷰어가 증거 게이트를 직접 읽음. - GPT-5.5 전략리뷰가 evidence-first 를 핵심 차별점으로 명시 — run-record 14필드 스키마(기존)에 완료 가능성 판정을 더해 "완료 주장 ↔ 증거" 연결을 표면화. ### 검증 (회귀 0) - **selftest 187→188** (순수 6케이스 + state/handoff 와이어), **E2E 신규 B(1.9.443)**: 증거 없음 → no(사유), 증거+verify pass → allowed. - 행위 재현: state start→show(no) → record+verify pass → show(--json allowed=true, reasons=[]). ## 1.9.442 — 2026-06-08 — task 계열 positional path 지원 (12th 외부평가 Sonnet P1, UR-0141) **🐛 P1 데이터 오염 수정: `task add "제목" ./경로` / `task list /경로` 가 무시되고 cwd 에 저장되던 문제.** ### 변경 - `task list/add/update/drop/...` 가 positional path 를 인식 — `--path` > path-like positional > cwd 우선순위. 기존엔 `arg('--path', cwd)` 만 사용해 positional 경로를 무시 → 프로젝트 루트가 아닌 cwd 에서 실행 시 엉뚱한 곳에 메모리 생성(멀티프로젝트 오염). - 순수 `_taskPositionalPath(args, startIdx)` (pure-utils): `_parseAddTitle` 과 동일한 path-like 판정(선행 구분자 `/ ./ ../ C:\`)으로 **제목/ID/맨이름은 경로로 오인하지 않음**(`task add "fix src/auth bug"` 의 내부 슬래시 제목 보호). **값-취하는 플래그의 값**(`--evidence /abs/log`)도 경로 후보에서 제외. ### 검증 (회귀 0) - **selftest 186→187** (순수 7케이스 + 와이어), **E2E 신규 B(1.9.442)**: 다른 cwd 에서 `task add "x" ` → ws 에 저장 + cwd 오염 0. - 행위 재현으로 확인: positional 경로 저장 + cwd `.harness` 미생성. `--path` 최우선·내부슬래시 제목·Windows 경로(`C:\`,`C:/`)·boolean 플래그 뒤 경로 전부 정상. ## 1.9.441 — 2026-06-08 — README ASCII 배너 추가 **🎨 README 최상단에 LEERNESS ASCII 아트 배너 추가(CLI `_banner` 와 동일 아트).** ### 변경 - `README.md` 상단에 LEERNESS 블록레터 ASCII 배너를 코드블록으로 표시 — CLI init 배너(`_banner`)와 동일한 아트로 브랜드 일관성. - selftest: README ↔ CLI `_banner` 동일 배너 라인 검증. ### 검증 (회귀 0) - **selftest 185→186 PASS** · **E2E 무회귀**. ## 1.9.440 — 2026-06-08 — 🛡️ [안정화/Stable] 시크릿 스캐너 prefix 패턴 placeholder 가드 (12th 외부평가 Opus P2, UR-0140) **🛡️ 안정화 릴리스(Stable) — 보안 스캐너 False-Positive 가 CI 를 깨던 문제 수정.** ### 변경 (12th 외부 멀티모델 리뷰 Opus P2) - **`scan secrets`/`gate`/`audit` 시크릿 스캐너**: placeholder 가드(`_isPlaceholderSecret`)가 `valueGroup` 있는 2개 패턴에만 적용돼, **AWS/GitHub 등 19개 prefix 패턴은 가드를 우회**(1.9.436 픽스가 그들에겐 dead code). → `.env.example`(placeholder 전용, gitignore 대상 아님)의 더미 토큰(`AKIAXXXX…`/`ghp_XXXX…`)이 커밋 시크릿으로 오탐 → `scan/gate/audit` 실패(exit 1) → CI 파손. - **수정**: `valueGroup` 없으면 전체 매치(`m[0]`)로 placeholder 판정 — 19 prefix 패턴도 8연속 더미/마커 가드 적용. `requireSecretLike` 는 valueGroup 한정 유지. **진짜 키(고엔트로피)는 그대로 탐지**(회귀 0), `sk-EXAMPLE…` 류 실키-FN 정책도 유지. - 통합 갭 방지: selftest 가 순수 함수만이 아닌 **스캐너 경로**도 검증(Opus 지적), E2E B(1.9.440) 추가(.env.example 더미 미탐 + 진짜 탐지). ### 검증 (회귀 0) - **selftest 184→185** + **E2E 신규 B(1.9.440)**: 더미 prefix 토큰 미탐(exit 0) + 진짜 AWS 키 탐지(exit 1) + sk-EXAMPLE 실키 유지. - 맹신 X: 내 1.9.436 의 불완전성(prefix 패턴 미적용)을 12th 리뷰가 적발, 직접 재현·수정. P3(AWS …EXAMPLE 키 FP)는 기존 FN 정책 충돌로 UR-0144 분리. ### 안정화 표시 (R-0006) CHANGELOG [안정화/Stable] · git tag/GitHub release (Stable) · npm dist-tag `stable`. ## 1.9.439 — 2026-06-08 — drift --auto-fix --json 순수성 (10th 외부평가 Codex P1, UR-0135 완결) **📐 `drift check --auto-fix --json` 이 dirty 워크스페이스에서 진행로그를 stdout 에 섞던 비-순수 JSON 해소.** ### 변경 - **`lib/drift.js`**: `--json` 시 auto-fix 진행로그(보안회복/인코딩/delivered/idempotency/release ~28건)를 `afLog`(no-op)로 무음화. depth 가드(1.9.432)로 재귀가 auto-fix 블록을 건너뛰고 최종 JSON 만 출력 → stdout 순수 JSON 보장. 텍스트 모드는 진행로그 그대로 유지(최종 JSON 출력 `log()` 는 불변). ### 검증 (회귀 0) - dirty WS(보안 신호 발화) `drift --auto-fix --json` → 순수 JSON 파싱 성공. 텍스트 모드 진행로그 3건 유지. - **selftest 183→184** + **E2E 신규 B(1.9.439)**. → 10th 외부평가 Codex P1(--json 전 경로 순수성) 완결. ## 1.9.438 — 2026-06-08 — contract impl ESM re-export 인식 (11th 외부평가 Sonnet P3, UR-0139 완결) **🧩 `export { default as X } from './m'` 재export 의 별칭 X 를 named export 로 인식.** ### 변경 - **`_parseImplExports` ESM 목록 파서**: `default as X` 는 별칭 X 가 named export 이므로 `as` 별칭을 먼저 채택(이전엔 `default` 시작이라 통째로 스킵 → contract verify false negative). `export { foo, bar as baz } from './x'` 도 정상. 단독 `export default`/`type X` 는 제외 유지. `export * from`(이름 정적 불가)은 미지원(문서화). ### 검증 (회귀 0) - `export { default as getUserById } from` → `[getUserById]`; `foo, bar as baz` → `[foo,baz]`; 단독 default → `[]`; 일반 ESM 무회귀. - **selftest 182→183 PASS** · **E2E 무회귀**. → UR-0139(AKIA placeholder + ESM re-export) 완결. ## 1.9.437 — 2026-06-08 — --json 에러 전역화: unknown command + 무효 choice (11th 외부평가 Codex P2/P3, UR-0138) **📐 자동화(CI/MCP)가 모든 에러 경로를 JSON.parse 할 수 있도록 중앙 에러 2종을 순수 JSON 화.** ### 변경 - **중앙 unknown command 폴백**: `알 수 없는 명령` → `--json` 시 `failJson(..., 'unknown_command', …)` (`{ok:false,error,code}`). - **`_validateChoice`**(task update/plan status 등 공용): 무효값 거부도 `--json` 시 `failJson(..., 'invalid_choice', …)`. 한 곳 수정으로 status/trigger 등 전 검증 경로 커버. - 텍스트 모드 출력 무변경. ### 검증 (회귀 0) - `bogus-cmd --json` → `code:unknown_command`; `task update --status nonsense --json` → `code:invalid_choice`. 텍스트 모드 동일. - **selftest 181→182 PASS** · **E2E 무회귀**. ### UR-0138 잔여 일부 명령별 ad-hoc 에러(plan add 등) + lazy/audit --fix --json stale 는 후속(중앙 핸들러화 점진). ## 1.9.436 — 2026-06-08 — 시크릿 스캐너 all-X/0 placeholder FP 차단 (11th 외부평가 Opus P3, UR-0139) **🔑 `AKIAXXXXXXXXXXXXXXXX`(전부 X 더미)를 실키로 오탐하던 FP — prefix 보다 우선하는 더미 가드.** ### 변경 - **`_isPlaceholderSecret`**: 본문(alnum)에 **동일문자 8+연속**(`XXXXXXXX`/`00000000`/`aaaaaaaa`)이 있으면 실키 prefix(akia/sk- 등) 여부와 무관하게 placeholder 로 판정. 암호학적 실키는 고엔트로피라 8연속이 없어 무영향. - 기존 `hasRealPrefix → 실키` 규칙보다 앞에 배치(AKIA 등 prefix + 더미 본문 FP 해소). ### 검증 (회귀 0) - AKIA all-X / sk-0000… → placeholder(미탐). 실키스러움/`sk-test-…`/`ghp_…` 토큰 → 탐지 유지. - **selftest 180→181 PASS** · **E2E 무회귀**. ### UR-0139 잔여 contract impl ESM re-export(`export {default as X} from`/`export *`) 인식 + encoding CRLF 미탐지는 후속. ## 1.9.435 — 2026-06-08 — agents dispatch task flag-value 흡수 차단 (11th 외부평가 Codex P2, UR-0137) **🧹 `agents dispatch "" --to codex` 의 생성 명령에 `codex`(또는 경로)가 task 본문으로 섞이던 문제.** ### 변경 - **`lib/agents.js` dispatch/multi `_taskArg`**: 상위(bin)에서 `--to` flag 는 제거되나 그 값(codex)은 positional 로 남아 기존 `filter(!startsWith('-'))` 가 task 에 흡수시켰음. → 첫 flag 에서 break + lib 가 소비하는 값-flag(`--to`/`--model`/`--role`/`--only`) 값을 task 에서 제외. 명시 task 는 `--task` 폴백. - 결과: `dispatch "REVIEWTASK" --to codex --path X` → 생성 명령 `codex exec … "REVIEWTASK"`(codex/경로 미흡수). 양쪽 인자 순서 안전. ### 검증 (회귀 0) - **selftest 179→180** + **E2E 신규 B(1.9.435)**: dispatch task 에 `--to`/경로 값 흡수 없음. ## 1.9.434 — 2026-06-08 — health/drift/status 미존재 경로 exit 1 통일 (11th 외부평가 Opus P2, UR-0136) **🚧 존재하지 않는 경로를 "healthy"로 위조 보고하던 문제 — CI 게이트 안전성.** ### 변경 - **`health` / `drift check` / `status`**: 진입부에서 `!exists(root)` 면 `failJson(has('--json'), 'path_not_found', …)` + **exit 1**(audit/verify 와 일치). 기존엔 phantom 경로를 exit 0 + healthy 로 보고 → 오타 경로/미초기화 디렉토리를 CI가 통과시킴. - 유효하지만 미초기화(.harness 없는 기존 디렉토리)는 종전대로 정상 보고(가드는 디렉토리 존재만 확인). ### 검증 (회귀 0) - 미존재 경로: health/drift/status 전부 exit 1, `--json` 은 `{ok:false, code:"path_not_found"}` 순수 JSON. 클린/미초기화 WS: exit 0 유지. - **selftest 178→179 PASS** · **E2E 무회귀**. ## 1.9.433 — 2026-06-08 — 11번째 외부평가: contract verify backtick-bullet 강선언 FN 수정 (UR-0136~0139) **🔍 11번째 외부 멀티모델 리뷰(Codex/Sonnet/Opus, README 미참조, 1.9.432). 5개 회귀항목 전부 정상 확인 + contract verify P1 신규 적발.** ### 수정 (확정·맹신 X 직접 재현) - **[P1] contract verify backtick-bullet 강선언 우회(FN)** (Codex+Opus 교차확인): CLI 자체 관례인 `` - `name()` 필요 `` / `` - `field`: 설명 `` 표기가 **약언급(mentioned)으로 분류돼 누락검사 우회** → 구현에 없어도 ok:true/exit 0. `_parseContractSpec` 의 강선언 bullet regex(함수·필드)에 **bullet 시작 backtick 허용**. 인라인 산문 backtick 은 약언급 유지(관대성), 공백+괄호 산문(`- result (total)`) FP 가드 유지. ### 검증 (회귀 0) - **selftest 177→178 PASS** (backtick 함수/필드 강선언 + 산문 약언급 + FP 가드). contract verify e2e: 누락 함수/필드 → ok:false/exit 1. - **E2E 무회귀**. ### 5개 회귀항목 독립 검증 — 전부 정상 health memorySurface(STATUSES) · check/plan show/review-request --json 순수성 · contract 멀티라인/ESM · health 보안 exit 1 · drift 재귀 종료성. ### 맹신 X — 기각 2건 (직접 재현으로 반증) - Sonnet "동시 task add 데이터 유실(P1)" → node 정밀 재현 **3/3 무손실·dup 0**(bash `&` 아티팩트). e2e B(1.9.303) + CPU포화 5/5 와 일치. - Sonnet "GitHub 토큰(ghp_/github_pat_) 미탐지(P2)" → **정상 탐지·exit 1** 확인. ### 후속 백로그 (UR-0136~0139) nonexistent path exit 통일 · agents dispatch flag bleed(_parseAddTitle) · --json 에러 전역화 · ESM re-export/encoding CRLF/AKIA placeholder. ## 1.9.432 — 2026-06-08 — drift --auto-fix 재귀 depth 가드 (10th 외부평가 Opus latent, UR-0131 잔여) **🛡️ drift --auto-fix 재귀의 잠재적 무한재귀 방어(방어적 — 현재 신호 타입에선 미발현 확인).** ### 변경 - **`lib/drift.js`**: `autoFix = has('--auto-fix') && !opts._noAutoFix`. 두 재귀점이 `{ ...opts, _noAutoFix: true }` 전달 → 재귀는 auto-fix 블록 재진입 금지(명시 1회 보장). - 기존엔 재귀가 `has('--auto-fix')`(전역 argv)를 재독해 auto-fix 분기에 재진입, 종료가 "audit --fix가 보안 신호를 항상 지운다"는 취약 불변식에 의존. 미래에 audit이 못 고치는 신호 타입이 추가되면 무한재귀 위험. ### 검증 (맹신 X) - Opus의 "infinite recursion" 우려를 직접 재현 시도 → **현재 미발현**(보안 신호는 gitignore 기반이라 audit --fix가 항상 해소). 그러나 불변식 의존은 취약 → 방어적 가드는 정당. - **selftest 176→177 PASS**(depth 가드 소스 + 기존 1.9.422 재귀 케이스 갱신) · 발화 케이스 정상 종료(exit 0) 확인 · **E2E 무회귀**. ### 분리 (UR-0135) drift --auto-fix --json 비순수(dirty WS 진행로그)는 재귀가 auto-fix 블록 내부라 stdout 캡처 재구조화 필요 → 신중한 별도 라운드로 분리. ## 1.9.431 — 2026-06-08 — health exit code 정책: 보안 CRITICAL CI 게이트 (10th 외부평가 UR-0130) > 1.9.430(npm 게시)에서 e2e 테스트 픽스처가 `sk_live_` 패턴(Stripe 실키 형태)이라 GitHub push-protection에 막혀 git 미반영. 픽스처를 코드베이스 관례인 `sk-test-`(GitHub-safe + leerness 탐지)로 교체하고 1.9.431로 정리(git=npm=tag 정합). 동작 동일. ### 변경 (1.9.430 + 픽스처 패턴 수정) **🚦 health 를 CI 게이트로 쓸 때 하드코딩 시크릿을 놓치던 문제 — exit code 정책 명확화.** ### 변경 - **`health`**: 보안 CRITICAL(커밋 대상 하드코딩 시크릿 / `.env` 가 `.gitignore` 미포함)이면 **`--strict` 없이도 exit 1**. `scan secrets` 와 exit code 일치 → health 만으로도 시크릿 유출을 CI에서 차단. - 비-CRITICAL issue(drift·env.example 누락 등)는 종전대로 exit 0(게이트는 `--strict`). JSON 에 `criticalSecurity` 노출. - 맹신 X 판단: 3개 명령(health/audit/drift) 전부 exit 1로 바꾸면 기존 non-strict 워크플로가 깨지므로, **방어 가능한 보안-크리티컬 케이스(health)만** 변경. audit/drift 는 메타/정보성이라 `gate` 가 하드 게이트 역할 유지. ### 검증 (회귀 0) - **selftest 175→176 PASS** + **E2E 신규 B(1.9.430)**: 커밋 시크릿 → exit 1, 클린 → exit 0. ### e2e 락 테스트 flake 하드닝 (dev 전용, 패키지 무영향) - 락 제품 로직은 **CPU 포화 하 독립 5/5 무결**(dup=0/sep=1) 검증됨. 전체 e2e 자원압박 시 6개 async `cp.spawn` 일부가 EAGAIN 미기동 → found positional > cwd)로 전환: `absRoot(_resolveRoot(args[2]))`. team 은 `sub==='list'` 일 때만(preview/deploy 의 args[2]=id 와 분리). - add/show/drop/preview 의 positional(title/id)은 별도 브랜치라 불변(회귀 0). ### 검증 (회귀 0) - **selftest 157→158 PASS** (5개 list 디스패치 _resolveRoot 와이어). - **E2E 350→351 PASS** (decision/feature list positional → 해당 워크스페이스 데이터 + --path 보존 + add title/show id 회귀 없음). ## 1.9.411 — 2026-06-07 — lazy detect --auto-track 배치화 O(N²)→O(N) (8번째 버그헌트, UR-0115) **⚡ 성능 — `lazy detect --auto-track` 가 TODO 마다 progress-tracker 전체 read-modify-write 하던 O(T×N) 을 단일 RMW O(N+T) 로.** ### 배경 (2차 버그헌트 ReDoS/perf 차원) `--auto-track` 은 새 TODO 마다 `nextId`(plan+progress 전체 스캔) + `upsertProgress`(락+전체 read+write)를 호출 → T개 TODO 시 O(T × tracker크기). AI 가 생성/대량 코드에 실행 시 다수 TODO 자동등록이 느려짐(병리적 입력에서 행걸림). ### 구현 - 락 1회 안에서 rows 1회 읽기 → 최대 T-id 1회 계산 → 전부 push → 1회 write. 순차 ID·필드·멱등 동작 보존(동시성 안전 _withLock 유지). ### 검증 (회귀 0) - **selftest 156→157 PASS** (배치 구조 + per-TODO upsert 제거 확인). - **E2E 349→350 PASS** (6 TODO --auto-track 순차 ID 무중복 등록). - 실측: 8 TODO → T-0002~0009 순차, 단일 RMW. ## 1.9.410 — 2026-06-07 — 값 없는 --path raw TypeError 크래시 차단 (8번째 버그헌트, UR-0114) **🛡 견고성 — `--path`(값 없이) 같은 비-문자열 인자가 `path.resolve(true)` raw Node TypeError 로 크래시하던 것을 cwd 폴백으로 차단.** ### 배경 (2차 버그헌트 arg-boundary) 값 없는 `--path` 플래그는 `arg()` 가 boolean `true` 를 반환 → `absRoot(p) = path.resolve(p || cwd)` 에서 `true || cwd = true`(truthy) → `path.resolve(true)` → "The paths[0] argument must be of type string. Received type boolean (true)" raw 크래시. absRoot 를 쓰는 모든 명령(status/audit/handoff/…)에 영향. ### 구현 - `absRoot(p)`: `(typeof p === 'string' && p.trim()) ? p : process.cwd()` — 비-문자열/빈/공백 입력은 cwd 폴백(`--path=` 빈값 동작과 일관). 실제 문자열 경로는 그대로 보존. ### 검증 (회귀 0) - **selftest 155→156 PASS** (true/''/undefined/공백 → cwd, 실경로 보존 5케이스). - **E2E 348→349 PASS** (`status --path` raw TypeError 누출 안 됨 + cwd 폴백 정상 실행). ## 1.9.409 — 2026-06-07 — encoding-check --apply 가 .sh/shebang 깨뜨리던 것 차단 (8번째 버그헌트, UR-0113) **🐚 인코딩 도구 자기모순 수정 — `env encoding-check --apply` 가 .sh(shebang) 파일에 BOM 을 추가해 스크립트 실행을 깨뜨리던 것 차단.** ### 배경 (2차 버그헌트 encoding 차원) `--apply` 는 비-ASCII + no-BOM "위험" 파일에 UTF-8 BOM 을 추가하는데, `.sh`(예: `#!/bin/bash`) 에 BOM(EF BB BF)이 shebang 앞에 붙으면 커널이 `#!` 를 인식 못 해 스크립트 실행 불가. leerness 자체 인코딩 도구가 .sh 를 깨뜨리는 모순. ### 구현 - `--apply` 루프: `.sh` 확장자 또는 첫 2바이트가 `#!`(shebang)인 파일은 BOM 추가 스킵(`action: skipped-shebang`). .ps1/.bat 등은 기존대로 BOM 추가. ### 검증 (회귀 0) - **selftest 154→155 PASS** (.sh shebang 보존 + .ps1 BOM 추가 행위검증). - **E2E 347→348 PASS** (CLI --apply: .sh 첫바이트 `#!` 보존(BOM 없음) + .ps1 BOM 추가). ## 1.9.408 — 2026-06-07 — CRLF/CR SKILL.md frontmatter 파싱 복구 (8번째 버그헌트, UR-0112) **🪟 Windows 호환 — CRLF/CR 줄바꿈의 SKILL.md frontmatter 가 통째로 소실돼 `skill install` 이 "name 필수" 로 실패하던 것 수정.** ### 배경 (2차 버그헌트 encoding 차원 · Windows 직격) `_parseSkillMd` 의 frontmatter 값 정규식 `(.+)$` 의 `.` 은 CR(`\r`)을 매칭하지 못함 → `name: x\r` 라인이 통째로 매칭 실패 → CRLF SKILL.md(Windows/Notepad 기본)의 meta 가 `{}` 로 소실 → `skill install` 이 frontmatter 의 name 을 못 찾아 "name 필수" 로 실패. 직접 재현: LF 는 정상, CRLF 는 meta={}. ### 구현 - `_parseSkillMd` 상단에서 BOM strip 후 `replace(/\r\n?/g, '\n')` 로 CRLF/CR → LF 정규화. 모든 줄바꿈 스타일(LF/CRLF/CR/BOM+CRLF) 동일 파싱. ### 검증 (회귀 0) - **selftest 153→154 PASS** (LF/CRLF/CR/BOM+CRLF 4종 meta 파싱). - **E2E 346→347 PASS** (CRLF SKILL.md `skill install` exit0 + skill list 에 등록 확인). ## 1.9.407 — 2026-06-07 — MCP feature_link 권한경계 + NaN --limit 가드 (8번째 버그헌트, UR-0111) **🛡 MCP 권한경계 — read-only로 잘못 선언된 그래프-변경 도구 수정 + NaN --limit 가 결과를 조용히 숨기던 것 차단.** ### 배경 (2차 버그헌트 mcp-parity/arg-boundary) - **feature_link**: `requiredTier: 'read-only'` 인데 실제로는 feature 그래프에 엣지를 **추가(mutate)** → read-only tier로 제한된 에이전트가 예기치 않게 상태 변경 가능(권한경계 위반). 형제 `feature_add` 는 올바르게 `safe-write`. (감사: read-only 59종 중 mutation 키워드 7건 의심 → 비판검토로 feature_link 만 진짜, 나머지는 조회/등록된/DELETE archive 등 read 문맥 false-positive.) - **NaN --limit**: `--limit abc` → `parseInt('abc')=NaN` → `slice(0,NaN)=[]` → 모든 결과를 조용히 숨김(음수/0도 동일). ### 구현 - feature_link `requiredTier` → `safe-write` (feature_add 와 일관). - `_parseLimit(raw, def)` 순수 헬퍼(NaN/음수/0 → 기본값) → lessons/memory search/reuse find/lsp search 4개 호출부 적용. ### 검증 (회귀 0) - **selftest 152→153 PASS** (_parseLimit 5케이스 + feature_link safe-write tier). - **E2E 345→346 PASS** (feature_link tier + lessons --limit abc 결과 은폐 안 됨). ## 1.9.406 — 2026-06-07 — rule/decision/lesson add 동시쓰기 lost-update 차단 (8번째 버그헌트, UR-0110) **🔒 멀티에이전트 데이터 무결성 — rule/decision/lesson add 의 read-modify-write 가 락 없이 실행돼 동시 쓰기 시 항목이 조용히 유실되던 것 차단(UR-0043 락 정책의 커버리지 갭 메움).** ### 배경 (2차 버그헌트 concurrency 차원) 1.9.303(UR-0043)이 task/plan add 의 동시 lost-update 를 _withLock 으로 막았으나, rule add / decision add / lesson save 는 누락. 2차 버그헌트가 실측 재현: 14개 동시 rule add → 11~13개만 잔존(2~3개 영구 유실), 12 동시 decision add → 10개. atomic write 라 파일은 무손상이나 개수 무결성 깨짐(늦은 writer 가 이른 항목 덮어씀). ### 구현 - ruleAdd / decisionAdd / lessonSave 의 RMW 전체를 `_withLock(rulesPath/decisionsJsonPath/lessonsJsonPath, () => {...})` 로 직렬화(task add 와 동일 패턴). ruleAdd 는 멱등 skip 을 락 내 반환값으로 처리. ### 검증 (회귀 0) - **selftest 151→152 PASS** (3함수 _withLock 와이어). - **E2E 344→345 PASS** (락 리팩터 멱등성/정확성 보존: dup skip + 순차 카운트). - 실측 동시성: 14 rule / 12 decision / 10 lesson 동시 add → 전부 무손실 + stale lock 없음. ## 1.9.405 — 2026-06-07 — 시크릿 placeholder FP 회귀수정 (8번째 버그헌트, UR-0109) **🔧 자기 회귀 수정 — 1.9.401 의 looksReal 가드가 긴 서술형 placeholder를 실키로 오탐(FP)하던 것 차단.** ### 배경 (2차 버그헌트가 1.9.401 회귀 발견 — "맹신 X"가 자기 수정도 검증) 1.9.401 이 'sk-EXAMPLE..' 같은 실키 FN 을 고치려 entropy 가드(영숫자24+ & 고유12+)를 추가했는데, `your-super-secret-api-key-example-value`(len 33, 고유 16) 같은 긴 서술형 placeholder 가 가드를 넘어 실키로 오탐(FP) → .env.example 의 명백한 placeholder 를 시크릿으로 잘못 보고. 2차 적대적 버그헌트가 직접 재현 검출. ### 구현 - `_isPlaceholderSecret` 순서 재정렬: ① 실키 prefix(sk-/AKIA/ghp_ 등) → 실키(마커 무시, FN 방지). ② placeholder 마커 단어(example/your-/changeme/<…) 있으면 → placeholder(고엔트로피여도, FP 방지). ③ prefix·마커 없는 고엔트로피 → 실키. ### 검증 (회귀 0) - **selftest 150→151 PASS** (긴 서술형 placeholder 3종 FP 차단 + sk- 실키 2종 FN 유지 + 고엔트로피 실키 + 짧은 placeholder). - **E2E 343→344 PASS** (서술형 placeholder cfg.txt → exit0 미탐 / sk-proj-EXAMPLE 실키 → exit1 탐지). - 실측 9/9. ## 1.9.404 — 2026-06-07 — reuse autodetect / creds check --json 에러 구조화 (7번째 버그헌트 P2, UR-0105 잔여) **🔌 reuse autodetect / creds check 의 빈·에러 --json 경로도 구조화 JSON — failJson 와이어 확대.** ### 배경 버그헌트가 여러 명령의 --json 에러 누출을 지적. UR-0099/0105 에서 핵심(contract/feature/anti-laziness)을 고쳤고, 이번에 reuse autodetect(스캔 디렉토리 없음)·creds check(등록 서비스 없음)를 추가. ### 구현 - reuse autodetect: `no_scan_dir`, creds check: `no_service` 를 `failJson(has('--json'), ...)` 로. 사람용 출력 보존. ### 검증 (회귀 0) - **selftest 149→150 PASS** + **E2E 342→343 PASS** (reuse/creds --json → {ok:false,code} + 사람용 텍스트 보존). ## 1.9.403 — 2026-06-07 — api-skill 에러 exit code 1 (7번째 버그헌트 P2, UR-0107) **🚦 api-skill show/drop 의 실패가 성공(exit 0)으로 보고되던 것 수정 — AI 에이전트의 exit-code 게이트 신뢰성.** ### 배경 (7번째 버그헌트 P2 · 비판검토 후 선별) 버그헌트가 여러 exit-code 비일관을 지적. 직접 재현 + **비판 판단**: - **수정(명확)**: api-skill show/drop 없는 ID + 인자 누락이 `✗ ...` 출력하면서 exit 0 → 실패를 성공으로 오판(데이터 op 에러). exit 1 로 수정. - **미수정(by-design 판단)**: roles/policy/state 의 unknown-subcommand 가 catalog(default list)를 보여주며 exit 0 → `cmd`(no sub)와 동일한 lenient-default 라 defensible. 과엄격 변경 위험으로 제외. web/pc check 의 "미설치" exit 0 도 opt-in 정보성이라 정당(미수정). ### 구현 - api-skill show(id 누락/not-found), drop(id 누락/not-found), add(url 누락) 에러에 `process.exitCode = 1` 추가. 정상 list/show 는 exit 0 보존. ### 검증 (회귀 0) - **selftest 148→149 PASS** (api-skill show/drop/add 에러 exit-code 와이어). - **E2E 341→342 PASS** (show/drop NOPE + show id누락 → exit1, list → exit0). ## 1.9.402 — 2026-06-07 — decisions/lessons MD projection 개행 주입 차단 (7번째 버그헌트 P1-A 잔여, UR-0108) **🛡 데이터 무결성 완결 — decision/lesson 텍스트의 개행이 decisions.md/lessons.md projection 에 위조 블록을 주입하던 것 차단(테이블셀 injection 클러스터 마무리).** ### 배경 1.9.399 가 progress-tracker/rules(파이프 테이블)를 보호. decisions/lessons 는 canonical JSON(raw 안전) + MD projection(`### date — title` / `- field:`) 인데, title/text 의 개행이 MD projection 에 가짜 `### ` 블록을 주입 → JSON 부재(MD-fallback) 시 위조 결정/레슨 증식. 직접 재현 확인(### 4개). ### 구현 - **`_lineSafe(s)`** 순수 헬퍼(개행→공백, 파이프는 보존 — 표 아님): `_renderDecisionsMd`/`_renderLessonsMd` 의 head + 각 필드에 적용. canonical JSON 은 raw 유지(다줄 보존), MD projection 만 단일라인화 → 위조 블록 주입 차단. ### 검증 (회귀 0) - **selftest 147→148 PASS** (_lineSafe + 개행 title 렌더→reparse 1개 + 별도 ### 헤더 부재 + lessons 동일). - **E2E 340→341 PASS** (decision add 개행 → decisions.md 별도 ### 2099 헤더 없음 + MD-fallback context 결정 1개). - 실측: ### 4→2(위조 0), reparse 1개, title 'a\\nb'→'a b'. ### 테이블셀 injection 클러스터(UR-0104/0108) 완결: task/rule(파이프+개행) + decisions/lessons(개행). ## 1.9.401 — 2026-06-07 — 시크릿 스캐너 FN 2종: gitignore 부정(!) + placeholder substring 정밀화 (7번째 버그헌트 P1-C, UR-0106) **🔐 보안 — 커밋되는 파일의 실제 시크릿을 놓치던 false-negative 2종 수정.** ### 배경 (7번째 버그헌트 P1-C · 직접 재현 검증) 1. **gitignore 부정(!) 미처리**: `*.example` + `!.env.example` 일 때 git 은 `.env.example` 을 커밋(! 해제)하지만, leerness 는 `!` 라인을 무시해 `.env.example` 을 "gitignored(안전)"로 오분류 → 그 안의 실제 시크릿을 비실패(info)로 강등 = FN. 2. **placeholder substring 오억제**: `_isPlaceholderSecret` 가 `value.includes('example')` 등 부분문자열로 판정 → `sk-EXAMPLEab12...`, `sk-proj-realKEYexample99..` 같은 **실제 키**가 'example' 포함만으로 placeholder 로 억제 = FN. ### 구현 - **`_gitignoreMatch`**: 부정(`!`) 패턴 + last-match-wins(git 실제 동작) 구현. `!` 매칭은 un-ignore. → `!.env.example` 커밋대상 정확 판정. - **`_isPlaceholderSecret`**: 실키 가드 추가 — 알려진 키 prefix(sk-/AKIA/ghp_/xox../AIza/glpat-/-----begin) 또는 고엔트로피(영숫자 24+ & 고유문자 12+)면 substring placeholder 신호 무시. 반복문자/짧은 placeholder 는 그대로 억제. ### 검증 (회귀 0) - **selftest 146→147 PASS** (gitignore 부정/last-match + placeholder 7케이스 실키↔placeholder 구분). - **E2E 339→340 PASS** (!.env.example 시크릿 탐지 exit1 + 'EXAMPLE' 포함 실키 비억제 탐지). - 실측: git check-ignore 교차확인 + 기존 동작(.env 강등) 보존. ### #25(per-pattern break 다중시크릿 under-count, P2)는 후속. ## 1.9.400 — 2026-06-07 🎉 — anti-laziness 명령 --json 에러 구조화 (7번째 버그헌트 P1-B, UR-0105) **🔌 verify-claim / optimism-check / honesty-check 의 `--json` 에러도 구조화 JSON — AI 에이전트 self-gate 검증 명령의 자동화 신뢰성.** ### 배경 (7번째 버그헌트 P1-B · failJson 패턴 확대) 버그헌트: 위 3개 anti-laziness 검증 명령(AI 에이전트가 자기 검증에 사용)이 없는 T-ID 에 `--json` 으로 호출 시 `✗ ... 없음` 텍스트를 stdout 에 출력 → JSON.parse 크래시. 1.9.398 의 failJson 헬퍼를 이들에 확대 적용. ### 구현 - verify-claim / optimism-check: missing_args / not_found 를 `failJson(_j, ...)` 로. - honesty-check: T-ID not_found 를 failJson 로. - 사람용 출력(--json 없을 때) 무변경. ### 검증 (회귀 0) - **selftest 145→146 PASS** (3개 명령 failJson 와이어 소스 확인). - **E2E 338→339 PASS** (3개 --json 에러 → {ok:false,code:not_found} exit1 + 사람용 ✗ 텍스트 보존). ## 1.9.399 — 2026-06-07 — 테이블셀 injection 차단: task/rule 파이프·개행 (7번째 버그헌트 P1-A, UR-0104) **🛡 데이터 무결성 — task/rule 텍스트의 파이프(|)·개행(\\n)이 progress-tracker/rules.md 표를 손상·가짜행 주입·멱등성 무력화하던 것을 차단(셀 이스케이프).** ### 배경 (7번째 — 내부 멀티에이전트 버그헌트, 외부리뷰 초월) 38 에이전트 포괄 버그헌트(31후보→confirmed 30/refuted 1)가 외부 리뷰(codex/Opus)가 못 본 **테이블셀 injection 클래스**를 발견. 직접 재현 검증: - `task add 'fix login | bypass'` → progress-tracker 행 컬럼 시프트, update 시 영구 절단(JSON 백업 없음). - `task add '...\\n| T-9999 | done | ...'` → 가짜 done 행 주입 + 실제 task 무성 소실. - `rule add 'a | b'` → rules.md 컬럼 밀림 + dedup(1.9.212) 무력화로 중복 룰 무한 생성. ### 구현 - **`_cellSafe`/`_cellUnescape`** 순수 헬퍼(lib/pure-utils.js): 쓰기 시 개행→공백 + `|`→`\\|`, 읽기 시 비이스케이프 파이프(`/(?"`**: 팀에 사용자 설정 배포 명령(예: `firebase deploy --only hosting`, `npm run deploy`) 저장. 2. **`team deploy [--yes]`** + **`_teamDeployGate`**(순수, 4-mode): - **dry-run**(기본, --yes 없음): 명령 표시만, 실행 X. - **gated**(--yes 만, env 없음): **거부** — `LEERNESS_TEAM_DEPLOY=1` 필요. - **execute**(--yes + `LEERNESS_TEAM_DEPLOY=1`): shell-guard advisory 점검 후 팀 root 에서 spawn. - no-command: deployCommand 미설정 안내. 3. **2중 게이트 안전**: 실행은 명시 플래그(`--yes`) AND 명시 env opt-in(`LEERNESS_TEAM_DEPLOY=1`) 동시 충족 시에만. (전역 지침 "deploy 신중" 준수.) 4. _renderTeamsMd/show + commands/help 에 deploy 반영. ### 검증 (회귀 0) - **selftest 121→122 PASS** (행위: `_teamDeployGate` 4-mode no-command/dry-run/gated/execute). - **E2E 320→321 PASS** (행위: dry-run 실행 X marker 없음 · --yes만 거부 marker 없음 · --yes+env 실행 marker 생성). - 실측: 3개 게이트 경로 정확 + 배포 명령 spawn 검증. ### 🎉 UR-0073 에이전트 팀 umbrella 완결 A(정의 레지스트리)·B(preview dry-run)·C(스케줄 알림)·**D(배포 2중 게이트)** 전 단계 완료. 모두 opt-in/dry-run/게이트 안전 위에 구축. ## 1.9.375 — 2026-06-06 — UR-0084: 동시성 락 하드닝 (e2e flake 제거 + lost-update 창 축소) **🛠 고부하 시 간헐 flake 한 락 테스트 + `_withLock` fail-open 창 하드닝.** ### 배경 1.9.374 e2e(561s 고부하)에서 "lost-update 락" 테스트가 1회 flake(UR-0084). 근원: `_withLock` 이 `maxWaitMs`(5s) 초과 시 **락 없이 진행**(fail-open) → 극단 경합 시 lost-update 창. + e2e 폴 60s 가 CPU 포화 시 6 병렬 spawn 완료에 빠듯. ### 구현 1. **`_withLock` maxWaitMs 5s→10s**: fail-open(락 없이 쓰기) 전 인내 2배 — 고부하 경합에서 lost-update 창 축소(fail-open 정책은 유지, 무한 차단 방지). 2. **e2e lost-update 폴 60s→120s**: CPU 포화 헤드룸 2배(격리 실측 0.4s 라 대폭 여유). 3. **`_withLock` 행위 selftest 추가**: 실제 락 획득(lock 파일 존재)→재진입(중첩 호출 42)→해제(cleanup) + maxWaitMs 하드닝 확인. ### 검증 (회귀 0) - **selftest 120→121 PASS** (신규: _withLock 실호출 행위). **E2E 320/320 PASS**(락 테스트 강건화). - 실측: _withLock 획득/재진입/해제 정상, 락 파일 정리. ## 1.9.374 — 2026-06-06 — UR-0074: release cadence 진단 (외부리뷰 케이던스 가시화) **🧩 외부 리뷰가 반복 지적한 "릴리스 케이던스 과다"를 측정·가시화 — `leerness release cadence`.** ### 배경 3개 모델 + GPT-5.5 외부 리뷰 모두 300+ 버전의 높은 릴리스 빈도를 신뢰 저하 요인으로 지적(UR-0074). 케이던스를 **측정 가능하게** 만들어 자기 인지 + batched-minor 전환 근거를 제공. ### 구현 1. **`_cadenceAssessment(perDay, total, daysActive)`**(순수): releases/day → 수준(very-high ≥5 / high ≥2 / moderate ≥0.5 / healthy) + 권장(batched minor·stable 채널 등). 2. **`leerness release cadence [path] [--json]`**: git tag(`_computeRoundHistory` 재사용)로 누적/활동일/빈도 산출 → 평가 출력. 읽기 전용. 3. commands(release) + help 등재. ### 검증 (회귀 0) - **selftest 119→120 PASS** (행위: 임계값 4구간 + 권장 비어있지 않음). - **E2E 319→320 PASS** (행위: `release cadence --json` level∈집합 + releasesPerDay number + recommendation string). - 실측: 본 저장소 330 릴리스 / 28일 = **11.79/day → very-high**(외부리뷰 우려를 그대로 정량 확인) → batched minor 권장. ## 1.9.373 — 2026-06-06 — UR-0073 Phase C: handoff 팀 스케줄 알림 (opt-out · 실행 트리거 아님) **🧩 정의된 비-manual 팀을 세션 시작(handoff)에서 미리보기 안내 — 스케줄 인지.** (UR-0073 Phase C) ### 구현 1. **`_teamHandoffReminders(teams)`**(순수): `schedule !== 'manual'` 이고 `status==='active'` 인 팀만 → `🤝 () · N명 — 미리보기: leerness team preview ` 라인. 2. **handoff 통합**: 정의된 팀이 있으면 `## 🤝 에이전트 팀 스케줄` 섹션 노출. **opt-out**(`--no-team-reminders` / `LEERNESS_NO_TEAM_REMINDERS=1` / `--compact`/`--quiet`). 3. **안전**: 알림은 **미리보기 안내만** — 실행/dispatch/배포 트리거 아님. manual·paused 팀 제외. ### 검증 (회귀 0) - **selftest 118→119 PASS** (행위: every-session/active 만 알림, manual·paused 제외, `team preview` 링크 포함, 모듈 reference equality). - **E2E 318→319 PASS** (행위: handoff 가 every-session 팀 노출 + manual 제외 + `LEERNESS_NO_TEAM_REMINDERS=1` opt-out). - 실측: handoff 에 rev(every-session) 노출, man(manual) 미표시, opt-out 동작. ### UR-0073 로드맵: A(정의)·B(preview)·**C(스케줄 알림)** 완료. D(배포 통합)는 향후 권한 게이트. ## 1.9.372 — 2026-06-06 — UR-0073 Phase B: team preview — dry-run 실행 계획 미리보기 **🧩 정의된 팀의 작업을 실제 실행 없이 미리보기 — `leerness team preview`.** (UR-0073 Phase B, 안전 게이트: dry-run 전용) ### 구현 1. **`leerness team preview [--task "..."]`** + `_composeTeamPlan(team, task)`(순수): 팀의 members × personas × task 로 **멤버별 dispatch 명령 문자열**을 생성. `--task` 미지정 시 팀 purpose 를 기본 작업으로. 2. **dry-run 전용 안전**: 실제 spawn/dispatch/배포 **없음**, 파일 변경 0. 출력은 검토용 제안 명령(`leerness agents dispatch "..." --to `)만. `--json` 은 `{ dryRun:true, task, steps:[{member,personas,dispatchPrompt,suggestedCommand}] }`. 3. commands/help 에 preview 반영. ### 검증 (회귀 0) - **selftest 117→118 PASS** (행위: `_composeTeamPlan` 멤버별 step/persona 주입/purpose 기본값/빈 members + 모듈 reference equality). - **E2E 317→318 PASS** (행위: team add→preview `--json`(dryRun true, steps 2, dispatch 명령) + preview 후 teams.json mtime 불변=파일변경 0). - 실측: preview 가 dispatch 계획만 출력, 실행/변경 없음. ### UR-0073 로드맵: Phase A(정의) → **B(preview dry-run)** 완료. C(스케줄 트리거)/D(배포 통합)는 향후 opt-in 게이트. ## 1.9.371 — 2026-06-06 — UR-0073 Phase A: 에이전트 팀 정의 레지스트리 (opt-in · 정의 전용) **🧩 페르소나 기반 에이전트 팀 비전 착수 — `leerness team` 정의 레지스트리.** (UR-0073 Phase A, 안정화 완료 후 opt-in 신규 비전) ### 배경 사용자 비전(UR-0073): 페르소나 기반 영속 에이전트 팀(리뷰/배포/블로그 팀)이 세션/주기적으로 자동 작업. 방향 설계대로 **코어 안정화 완료 후 opt-in 으로 착수**. Phase A 는 **정의 레지스트리(persistence layer)** 만 — 자동 실행은 향후 단계로 게이트. ### 구현 1. **`leerness team list|add|show|remove `** + 옵션(`--name --purpose --personas a,b --members claude,codex --schedule manual|every-session|daily|weekly`). 2. **canonical JSON 패턴**: `teams.json`(주) + `teams.md`(projection, `_renderTeamsMd` 순수 렌더러 → pure-utils). `_loadTeams`/`_saveTeams` I/O. 3. **안전**: 정의 전용 — **자동 실행 없음**(메타데이터만). id 정규화(영숫자/._-, traversal sanitize). dedup. schedule 화이트리스트. 4. **표면 정합(CV-7 규율)**: commands ops 카테고리 + help 등재. ### 검증 (회귀 0) - **selftest 116→117 PASS** (행위: `_renderTeamsMd` 출력 + `_saveTeams`/`_loadTeams` round-trip + JSON/MD 생성). - **E2E 316→317 PASS** (행위: team add→list(--json count/personas/schedule)→canonical JSON+MD 생성→remove→count 0). - 실측: add/list/show/remove + teams.json/teams.md 생성 + id sanitize. ### UR-0073 다단계 — Phase A(정의 레지스트리) 완료, 실행/스케줄/배포 단계는 향후 opt-in (open 유지). ## 1.9.370 — 2026-06-06 — UR-0025 모듈화: archive/skill-catalog 순수 파서 분리 **🧩 순수 파서 2종을 lib/pure-utils 로 분리 — 인라인 ~65줄 제거.** ### 구현 1. **`_parseArchiveBlocks(text)`**(pure-utils): memory archive 블록 파서 — `## 제거 DATE (target: "...")` → `{date,target,originalHeader}[]`. 2. **`_parseSkillCatalog(body, sourceUrl)`**(pure-utils): skill 카탈로그 파서 — JSON/RSS·Atom/markdown 링크/llms.txt 4형식 → `{name,url,description,format}[]`. 3. harness 인라인 정의(~65줄) 제거 → import 대체. consumer(`memory archive list`/`skill discover`) 무변경. ### 검증 (회귀 0) - **selftest 115→116 PASS** (행위: archive 블록 파싱 + markdown/json skill 파싱 + 모듈 reference equality). - **E2E 315→316 PASS** (행위: lib/pure-utils 직접 호출로 두 파서 출력 검증). - 실측: `memory archive list` consumer 무크래시. ## 1.9.369 — 2026-06-06 — UR-0025 모듈화: _parseSkillsValue + MINIMAL_SKIP_KEYS 분리 **🧩 install 설정 로직/데이터 모듈화 — --skills 파서 순수화(catalog 주입) + --minimal 제외목록 catalogs 응집.** ### 구현 1. **`_parseSkillsValue(v, catalog)`**(pure-utils): `--skills` 값 파싱(all/recommended/csv) + catalog 필터. skillCatalog 를 인자 주입해 harness 모듈 상태와 비결합. harness `parseSkillsValue(v)` = 얇은 래퍼. 2. **`MINIMAL_SKIP_KEYS`**(catalogs): `init --minimal` 제외 키목록(에디터통합/가이드/템플릿 등 비핵심). harness import. ### 검증 (회귀 0) - **selftest 114→115 PASS** (행위: `_parseSkillsValue('all',cat)`/`'recommended'`/`'office,bar'`→catalog 필터 + 모듈 reference equality + `MINIMAL_SKIP_KEYS` 보유). - **E2E 314→315 PASS** (행위: `init --minimal` → architecture.md 제외 + plan.md 유지 · `init --skills recommended` → office 스킬 설치). - 실측: 위 시나리오 확인. ## 1.9.368 — 2026-06-06 — UR-0025 모듈화: README/managed 머지 + MERGE_OVERWRITE_FILES 분리 **🧩 마이그레이션 머지 안전 핵심을 모듈화 — README/관리파일 머지 순수 코어 → pure-utils, overwrite 파일목록 → catalogs.** ### 구현 1. **`_mergeReadmeSection(existing, block, START, END)`**(pure-utils): README 관리섹션 마커 사이 교체/append. 마커는 인자 주입(harness 상수 비결합). 2. **`_managedMerge(file, next, previous, archiveRel, overwriteSet)`**(pure-utils): 관리 파일 마이그레이션 머지 — 이전 내용을 `` 블록으로 보존(데이터/인덱스 파일은 overwrite). archiveRel(사전계산)+overwriteSet 주입 → path/process/상수 비결합(순수). 3. **`MERGE_OVERWRITE_FILES`** → lib/catalogs (데이터 응집). 4. **harness**: `mergeReadmeSection`/`managedMerge` 은 마커/archiveRel/set 만 주입하는 얇은 래퍼. ### 검증 (회귀 0) - **selftest 113→114 PASS** (행위: `_mergeReadmeSection('','BLOCK',..)`==='# Project\n\nBLOCK' / `_managedMerge` preserved 블록 생성 / overwrite-set→NEW만 / 동일내용→NEW / 모듈 reference equality). - **E2E 313→314 PASS** (행위: init → AGENTS.md 사용자 편집 → migrate → migration-preserved 블록에 편집 보존). - 실측: AGENTS.md 편집 후 migrate → marker + preserved 블록 보존. init/migrate/check smoke 정상. ## 1.9.367 — 2026-06-06 — UR-0025 모듈화: env/line 머지 순수 코어 분리 **🧩 안정화 마일스톤 이후 모듈화(UR-0025) 재개 — `.env`/라인 머지 순수 코어를 lib/pure-utils 로 분리, harness 는 얇은 I/O 래퍼.** ### 배경 외부 리뷰가 지목한 코드 품질(5.8) 개선 방향 = 21k줄 단일 harness.js 모듈화. 비파괴 추출 패턴(데이터→catalogs, 순수 로직→pure-utils, harness 얇은 래퍼) 지속. ### 구현 1. **`_mergeLines(currentText, lines)`**(pure-utils): 기존 텍스트에 없는 라인만 append (substring 중복 방지). 2. **`_mergeEnvLines(currentText, lines)`**(pure-utils): `.env` key-aware 머지 — 기존 KEY 값 보존(덮어쓰기 X), 신규 KEY/주석만 append. 사용자가 편집한 토큰을 절대 덮어쓰지 않는 핵심 로직. 3. **harness `mergeLinesFile`/`mergeEnvFile`**: 순수 코어 + `read`/`writeUtf8` 만 남긴 얇은 I/O 래퍼. ### 검증 (회귀 0) - **selftest 112→113 PASS** (행위: `_mergeLines('a\n',['a','b'])==='a\nb\n'` / `_mergeEnvLines('FOO=keep\n',['FOO=new'])==='FOO=keep\n'`(보존) / 신규 KEY append + 모듈 reference equality). - **E2E 312→313 PASS** (행위: init → `.env` 토큰 편집 → migrate → 사용자 값 key-aware 보존). - 실측: init→토큰편집→migrate→`LEERNESS_NPM_TOKEN` 사용자 값 보존. ## 1.9.366 — 2026-06-06 — 안정화⑥(완결) 외부리뷰 CV-5: selftest 행위화 + 외부리뷰 7 finding 전량 해소 🎉 **🛠 외부 멀티모델 리뷰 안정화 시리즈 최종 6탄 — selftest 동어반복 source-grep 핵심 케이스를 행위 검증으로 전환. CV-1~7 + 4번째 외부평가 전량 해소로 안정화 마일스톤.** ### 배경 — 외부 리뷰 CV-5 (3개 모델 합의) selftest ~13/106 케이스가 소스 문자열 grep(`src.includes`)이라 동작이 깨져도 통과(EINVAL 버그가 selftest 106/106 통과한 근본 원인). 권고: 구조 무결성(selftest) vs 행위(e2e) 분리 + 핵심 source-grep 을 행위 검증으로. ### 구현 1. **핵심 동어반복 케이스 행위 전환**: - `writeUtf8`: 소스 grep → **실제 호출**(중첩 dir 에 한글 UTF-8 쓰기 → round-trip 내용 일치 + `.tmp-` 잔존 0 검증). - `exit code(fail)`: 소스 grep → **실제 호출**(stdout 억제 + exitCode save/restore 로 `fail()` → `process.exitCode===1` 단언). 2. **구조 vs 행위 분리 원칙 확립**: 구조 케이스(dispatch 와이어/등록 존재 — 빠른 sync)는 selftest 유지, 행위 케이스(로직 출력 정확성)는 함수 직접 호출. **안정화 시리즈(1.9.360~366) 신규 케이스는 전부 행위 기반**(argv 주입/prune/placeholder/secret-like/quiet 등). 3. **selftest 무결성 e2e 가드**: 설치 패키지 관점 `selftest --json` 전부 통과(pass===total, fail===0) 단언. ### 검증 (회귀 0) - **selftest 112/112 PASS**(2건 행위 전환, 카운트 유지). **E2E 311→312 PASS**(selftest --json 무결성 가드). ### 🎉 외부 리뷰 안정화 마일스톤 3개 모델 클린룸 리뷰(1.9.359) 교차검증 7 finding + 4번째 외부평가(web) 9.3 **전량 해소**: | finding | 버전 | |---|---| | CV-2 EINVAL | 1.9.360 | | CV-1 --path · CV-3 audit | 1.9.361 | | CV-4 archive retention | 1.9.362 | | CV-7 commands/help drift | 1.9.363 | | 4th평가 9.3 auto-update 비침투 | 1.9.364 | | CV-6 스캐너 FP/FN | 1.9.365 | | CV-5 selftest 행위화 | 1.9.366 | 다음: 모듈화(UR-0025) → 에이전트 팀(UR-0073) → 릴리스 케이던스(UR-0074). ## 1.9.365 — 2026-06-06 — 안정화⑤ 외부리뷰 CV-6: 시크릿 스캐너 FP/FN 정밀도 (UR-0081) **🛠 외부 멀티모델 리뷰 안정화 시리즈 5탄 — 시크릿 스캐너 오탐(placeholder/자기 .env) 억제 + 미탐(unquoted) 보강.** ### 배경 — 외부 리뷰 CV-6 (Opus+Sonnet) - **FP**: `secret: "change-me"` 같은 placeholder 경보(Opus), 사용자가 토큰 채운 gitignored `.env` 경보(Sonnet, 설계 모순 — .env 는 gitignored 안전 보관소). - **FN**: 따옴표 없는 `KEY=secret123` 미탐(Opus, 패턴이 따옴표 강제). - provider 19종 정탐 6/6 양호(FP 없음). ### 구현 1. **placeholder FP 억제** — `_isPlaceholderSecret(value)`(pure): change-me/your-*/<...>/example/${...} 등 명백한 예시값은 시크릿 아님. assignment 패턴(valueGroup)의 **값에만** 적용(provider 형식 키엔 미적용 → FN 방지). 2. **unquoted FN 보강** — 신규 패턴 `KEY=value`(따옴표 없음) + `_looksSecretLike`(숫자포함 8+/24+ 만 후보 → camelCase 코드 식별자 오탐 억제). charset 이 `.` 제외 → `process.env.X` 등 var-ref 자동 제외. 3. **gitignored 강등** — `_isLikelyGitignored`(간이 .gitignore 매칭): gitignored 파일(.env 계열)의 발견은 **info 로 강등**(커밋 제외 = 설계상 안전), 커밋되는 파일 발견만 실패. `.env` 미-gitignore 시엔 정상 실패. 4. SECRET_PATTERNS 19→20. ### 검증 (회귀 0) - **selftest 111→112 PASS** (행위: `_isPlaceholderSecret`/`_looksSecretLike` 직접 호출 단언). **E2E 310→311 PASS** (행위: placeholder no-fail / unquoted 탐지 / gitignored info 강등 3시나리오). - 실측: `{secret:"change-me"}` no-fail · `password=hunter2realsecret` 탐지 · gitignored `.env`(토큰) exit 0 + info, 미-gitignore 시 fail. ## 1.9.364 — 2026-06-06 — 4번째 외부평가 반영: auto-update hook 비침투화 (UR-0083) **🛠 4번째 외부평가(web, 1.9.361 대상) 9.3 반영 — SessionStart 자동업데이트 hook 매세션 노이즈 제거.** ### 배경 4번째 외부평가가 "Claude 세션 시작마다 `leerness update --check` 가 실행돼 부담"을 지적(9.3). Codex CV-2 후속 권고(hook 비침투화)와 일치. `--no-auto-update`(opt-out)는 이미 존재하나, 기본 ON 상태의 hook 이 매 세션 출력하는 점이 문제. ### 구현 1. **`update --check --quiet` 모드**(신규): up-to-date 시 **완전 무음**, 업데이트 가능 시에만 1줄 통지. 헤더/네트워크 로그 전부 억제. 2. **SessionStart hook 명령 → `leerness update --check --quiet`**: 새 설치는 quiet hook. 3. **기존 비-quiet hook 자동 업그레이드**: autoUpdateInstall 재실행(migrate 포함) 시 기존 `leerness update --check`(비-quiet)를 quiet 버전으로 교체 → 기존 사용자도 노이즈 제거. 4. **opt-out 가시화**: hook 설치 안내에 "최신이면 무음" 명시 + `--no-auto-update` 끄기 안내 유지. ### 검증 (회귀 0) - **selftest 110→111 PASS** (quiet 모드 + hook --quiet + 업그레이드 로직 가드). **E2E 309→310 PASS** (행위: up-to-date `update --check --quiet` 무음 + hook 명령 --quiet 확인). - 실측: up-to-date 프로젝트 `update --check --quiet` → 출력 0 chars. 기존 비-quiet hook → 재설치 시 `--quiet` 로 업그레이드. ## 1.9.363 — 2026-06-06 — 안정화④ 외부리뷰 CV-7: commands/help 표면 drift 해소 (UR-0082) **🛠 외부 멀티모델 리뷰 안정화 시리즈 4탄 — `--help`/`commands` 에서 누락됐던 명령군 전수 등재.** ### 배경 — 외부 리뷰 CV-7 (Codex+Opus) `install-safety`(1.9.359) + 8개 명령군(feature/creds/incident/webhook/deploy/runs/permissions/whats-new) + 이번 세션 신규 `migrate audit|apply|plan` 이 `--help`/`commands` 에 노출 안 됨(문서-동작 drift). phantom(문서O구현X) 명령은 0(양호). ### 구현 1. **`commands` 카탈로그 확장** (60→77 명령): `config` 에 migrate 서브커맨드+가이드, doctor/selftest/install-safety/env/shell-guard/path-setup 추가. 신규 **`ops` 카테고리**(feature/permissions/capabilities/creds/incident/webhook/deploy/runs/whats-new). 카테고리 9→10, 푸터 카테고리 수 동적화. 2. **`help()` 보강**: 누락 명령군 블록 추가 + "`commands` 로 전수 확인" 안내. 3. **표면 drift 가드**: selftest(commandsCmd+help 본문에 누락 명령군 존재 단언) + e2e(`commands --json` 전수 등재 + total>=70) — 재발 차단. ### 검증 (회귀 0) - **selftest 109→110 PASS** · **E2E 308→309 PASS**. - 실측: `commands --json` total 77 / 10 카테고리 / 누락 명령 10종 전부 등재. `--help` 에도 반영. ## 1.9.362 — 2026-06-06 — 안정화③ 외부리뷰 CV-4: archive retention (무한 누적 차단, UR-0079) **🛠 외부 멀티모델 리뷰 안정화 시리즈 3탄 — init/migrate 재실행 시 archive 무한 누적 차단.** ### 배경 — 외부 리뷰 CV-4 (Opus P1 / Sonnet P3) init/migrate 가 변경 유무와 무관하게 매 실행마다 전체 archive 스냅샷을 생성하나 retention 이 없어 무한 누적(Opus: 5회 재실행 → `.harness` 1.7M 중 1.5M 이 중복 archive). createBackup(709)이 prune 없이 copy 만. ### 구현 1. **`_pruneArchives(root, keep)`**(신규): `.harness/archive/leerness-*` 디렉토리를 **mtime 기준** 정렬해 최신 `keep` 개만 유지, 오래된 스냅샷 prune. (이름의 버전 문자열은 zero-pad 안 돼 사전순 부정확 → mtime 사용.) 2. **createBackup 통합**: 새 스냅샷 기록 후 `_pruneArchives(root, keep)` 호출. `keep` = `--keep N`(기본 10). init/migrate/update 전부 자동 bounded. ### 검증 (회귀 0) - **selftest 108→109 PASS** (행위: 임시 archive 5개 생성 → `_pruneArchives(root,2)` → pruned 3 / 남은 2 단언). **E2E 307→308 PASS** (행위: `init --keep 2` + `migrate --keep 2` x3 = 4 스냅샷 → archive 2개 상한). - 실측: `--keep 2` 로 init+migrate x3 후 archive 정확히 2개. ## 1.9.361 — 2026-06-06 — 안정화② 외부리뷰 CV-1 --path 라우팅 통일 + CV-3 audit 가드 (UR-0076/0078) **🛠 외부 멀티모델 리뷰 안정화 시리즈 2탄 — 3개 모델 합의 #1 finding(--path 불일치) + audit 오판 수정.** ### 배경 - **CV-1 (P1, 3/3 모델 + 자체검증)**: 다수 명령이 positional / `--path=값` 을 무시하고 cwd 로 silent fallback. 특히 `session close --path X` 가 cwd 에 써서 **wrong-root 쓰기**(데이터 정합 위험). - **CV-3 (P1, 2/3 + 자체재현)**: `audit` 가 미초기화/존재하지 않는 경로를 `healthy:true` 로 오판(verify 는 올바르게 exit 1). ### 구현 1. **`arg()` `--path=값` 등호형 지원** (이전엔 `--path 값` 공백형만 — Opus 지적). 전 `arg('--path',...)` 명령에 일괄 적용. 2. **공통 `_resolveRoot(positional)` 헬퍼**: `--path`(=값 포함) > 유효 positional > cwd. silent cwd fallback 방지. 3. **적용**: `session close`(wrong-root 쓰기 해소)·`lazy detect`(--path 무시 해소)·`context`·`pulse`·`milestones`·`round-history`(positional 무시 해소). (`health`/`whats-new`/`drift`/`usage` 등 `args[N] || arg('--path',cwd)` 형은 이미 양쪽 처리 → arg() 보강만으로 등호형까지 정상.) 4. **CV-3**: `audit` 시작부에 root/.harness/AGENTS.md 존재 가드 → 미초기화는 failure 승격(healthy=false, exit 1) — verify 와 일관. ### 검증 (회귀 0) - **selftest 107→108 PASS** (CV-1 행위 검증: argv 주입으로 `arg('--path=값')` + `_resolveRoot` 우선순위 4종 단언). **E2E 305→307 PASS** (CV-1 행위: cwd=B 에서 `session close --path A` → A 의 handoff 재생성·`context --path=` 등호형 정타깃 / CV-3: 미초기화 audit healthy=false). - 실측: `context --path A`/`--path=A`/positional A 모두 A 읽음(cwd 아님). audit 미초기화 → healthy:false failures:1. ### 잔여 (후속 라운드) 나머지 `arg('--path',cwd)` 명령(verify-claim/deps/persona/review 등 — positional 이 path 아닌 인자)은 그대로 두되, --path 등호형은 이제 전체 동작. CV-4(멱등/retention)·CV-5(selftest 행위화 추가)·CV-6(스캐너 FP/FN)·CV-7(help registry) 후속. ## 1.9.360 — 2026-06-05 — 안정화① 외부리뷰 CV-2: fetchNpmLatest 신형 Node Windows EINVAL 회피 (UR-0077) **🛠 외부 멀티모델 리뷰(1.9.359) 안정화 시리즈 1탄.** `update --check` 가 신형 Node Windows 에서 `spawn EINVAL` 로 실패하던 회귀를 수정. (Codex+Sonnet 교차검증 + 자체 재현 Node v26.3.0) ### 배경 — 외부 리뷰 CV-2 (P1, 2/3 모델 + 자체 재현) Node 18.20.2+/20.12.2+/21.7.3+/22+/26 은 `shell:true` 없이 `.cmd` 파일을 spawn 하면 `EINVAL` 을 던진다(CVE-2024-27980 수정 부작용). UR-0066(1.9.352)이 셸 주입 표면 제거를 위해 `npm.cmd` 를 직접 `execFile` 하도록 바꾼 것이 이 환경에서 회귀를 유발 → `update --check` 무력화. 게다가 init 이 SessionStart hook 으로 `update --check` 를 기본 설치하므로 **매 세션 `✗ spawn EINVAL`** 가 출력됐다. 자체 재현: Node v26.3.0 에서 `update --check` → `✗ spawn EINVAL`. ### 구현 1. **`fetchNpmLatest` win 경로 교체**: `npm.cmd` 직접 execFile → **`cmd.exe /d /s /c npm view version`**. cmd.exe 는 `.exe` 라 EINVAL 없음, `shell:true` 미사용이라 DEP0190(deprecation) 도 회피. pkg 는 charset 검증(메타문자 0)이라 cmd 주입 불가. 2. **동기 throw 흡수**: execFile 동기 EINVAL throw 를 `try/catch` 로 `resolve(null)` (이전엔 Promise reject 누수). ### 검증 (회귀 0) - **selftest 106→107 PASS** (UR-0040/UR-0066 케이스를 cmd.exe args 형태로 갱신 + CV-2 EINVAL 회피 가드 추가). **E2E 304→305 PASS** (행위 가드: `update --check` 가 EINVAL 없이 exit 0). - 실측: 수정 후 `update --check` → `npm leerness latest: 1.9.360 → up to date` (EINVAL 소멸). ## 1.9.359 — 2026-06-05 — UR-0074: install-safety — 설치 안전 프로필 투명 공개 (공급망 신뢰) **🧩 `leerness install-safety` — 0 런타임 의존성 · 0 install-time 스크립트라는 핵심 안전 속성을 사실 그대로 보고 + 안전 설치 워크플로 안내. 외부리뷰 "설치/릴리스 신뢰성" 우려 선제 대응.** (UR-0074, 안정화 배포 직전) ### 배경 GPT-5.5 웹 리뷰(UR-0074)가 "릴리스 케이던스 과다 + 설치 안전성"을 지적하며 `npm_config_ignore_scripts=true` + branch+diff 워크플로를 권고했다. leerness 는 이미 **런타임 의존성 0 · install-time 스크립트 0**(공급망 노출 0)이므로, 이 사실을 투명하게 공개하는 것이 신뢰의 핵심이다. 곧 이어질 안정화 배포의 신뢰 근거이기도 하다. ### 구현 1. **`installSafetyCmd(opts)`**(신규) + **`leerness install-safety [--json]`**: 패키지 `package.json` 을 읽어 `runtimeDeps`(0) · `installScripts`(preinstall/install/postinstall 0) · `node` engines · offline-first 여부 + 안전 설치 4단계(branch → ignore-scripts `migrate plan`(읽기전용 비교) → `update --yes` → `git diff`) 보고. 2. **회귀 가드 겸용**: selftest + e2e 가 `runtimeDeps===0 && hasInstallScripts===false` 를 단언 — 누군가 런타임 deps/install hook 를 추가하면 테스트가 실패시켜 **의식적 결정을 강제**(공급망 안전 회귀 방지). ### 검증 - **selftest 105→106 PASS** · **E2E 303→304 PASS** (회귀 0). - 실측: `--json` → `runtimeDeps:0, hasInstallScripts:false, node:">=18", safeInstall:4단계`. human 출력 정상. ## 1.9.358 — 2026-06-05 — UR-0075 Phase D: migrate plan — 임시폴더 설치 후 비교 마이그레이션 플랜 (umbrella 완결) **🧩 `leerness migrate plan` — 임시폴더에 현재 버전을 설치한 뒤 프로젝트의 .harness 코어 파일과 비교해 정확한 마이그레이션 플랜을 산출. 읽기 전용. UR-0075 마이그레이션 umbrella 완결.** (UR-0075 Phase D) ### 배경 사용자 비전: "임시 폴더에 leerness 설치 후 기존 프로젝트의 내용을 정확하게 마이그레이션." Phase A(가이드)·B(audit 진단)·C(apply 적용)에 이어, Phase D는 그 비전의 핵심인 **임시폴더 설치 기반 정밀 비교**를 구현한다. 임시폴더에 현재 버전을 실제로 설치(서브프로세스 격리)해 "최신 버전이 생성하는 관리 파일 집합"을 확보하고, 프로젝트의 현재 파일과 비교해 누락 파일을 정확히 식별한다. ### 구현 1. **`migratePlanCmd(root, opts)`**(신규) + **`leerness migrate plan [--path

] [--json]`**: - **임시폴더 설치**: `mkdtempSync` → `cp.spawnSync(node, [harness, init, , --yes, --language , --no-banner])` (서브프로세스 격리 — stdout 미오염, 부작용 격리). e2e 검증 패턴 재사용. - **비교**: 임시폴더 `.harness` 코어 파일(depth-1) + `AGENTS.md`/`CLAUDE.md` 중 프로젝트에 **없는** 파일 → `missing-file`. - **통합**: `version-drift`(compareVer) + `canonical-pending`(decisions/lessons MD-without-JSON) 합산. 2. **완전 읽기 전용**: 프로젝트 미변경 — 임시폴더만 사용 후 `rmSync` 자동 정리. 3. `--json`: `{ projectVersion, versionDrift, canonicalPending[], missingFiles[], tempInstallOk, willChange }`. 각 finding 에 적용 명령 안내(`update --yes` / `migrate apply --yes`). ### 검증 - **selftest 104→105 PASS** · **E2E 302→303 PASS** (회귀 0). - 실측: clean → `willChange:0` `tempInstallOk:true`. 코어 파일(reuse-map.md) 삭제 → `missingFiles` 에 정확 감지 · `willChange:1`. 플랜 실행 후 프로젝트 미변경(읽기 전용 확인). ### UR-0075 umbrella 완결 Phase A(가이드) · B(audit 진단) · C(apply 적용) · **D(plan 임시폴더 비교)** 4단계 완료. 크로스버전 마이그레이션 워크플로: `migrate plan`(진단) → `migrate apply --yes`(canonical) / `update --yes`(버전) → `migrate audit`(재확인). ## 1.9.357 — 2026-06-05 — UR-0075 Phase C: migrate apply — canonical 백필 비파괴 적용 **🧩 `leerness migrate apply` — `migrate audit` 가 찾은 '안전 항목'(canonical 백필)만 실제로 적용하는 실행 짝. 기본 dry-run, `--yes` 로 적용, 멱등.** (UR-0075 Phase C) ### 배경 Phase B(`migrate audit`)는 무엇이 어긋났는지 **진단(읽기 전용)** 만 했다. Phase C는 그중 **안전하게 자동 적용 가능한 항목**(canonical-pending: MD-only → canonical JSON 백필)을 실제로 처리한다. version-drift(npm 재설치 필요)·missing-file(재초기화 필요)는 in-place 자동 처리가 안전하지 않으므로 apply 범위에서 제외하고 수동 안내만 한다. ### 구현 1. **`migrateApplyCmd(root, opts)`**(신규) + **`leerness migrate apply [--path

] [--json] [--yes]`**: - **canonical-pending** → `_loadX(root)`(MD 백필) → `_saveX(root, arr)`(canonical JSON + MD 정규화). UR-0053/0058 라운드트립이라 **멱등**(재실행 시 변경 0). - **version-drift / missing-file** → apply 범위 외 → "수동 필요"로 분류 + 조치 명령 안내(`update --yes` / `migrate`). 2. **기본 dry-run(비파괴)** — `--yes` 없으면 변경 0, "적용 예정" 만 표시(전역 지침 "Dry-run 기본" 준수). `--yes` 시에만 실제 백필. 3. `--json`: `{ dryRun, appliedCount, applied:[], skipped:[] }` 구조화 출력. ### 검증 - **selftest 103→104 PASS** · **E2E 301→302 PASS** (회귀 0). - 실측: dry-run → `decisions.json` 미생성(비파괴). `--yes` → 생성. 재실행 → `applied 0`(멱등). clean → "적용할 항목 없음". ## 1.9.356 — 2026-06-05 — UR-0075 Phase B: migrate audit — 비파괴 스키마 drift 리포트 **🧩 `leerness migrate audit` — 임시설치/변형 없이 프로젝트의 마이그레이션 필요 항목만 진단하는 비파괴 dry-run 리포트.** (UR-0075 Phase B — Phase A 가이드 다음 단계) ### 배경 Phase A 가이드는 AI 에이전트에게 "무엇을 해야 하는가"의 워크플로를 제공했으나, 실제 프로젝트가 **무엇이 어긋나 있는지**(버전 drift / canonical JSON 미생성 / 필수 파일 누락)는 사람이/AI가 수동 확인해야 했다. Phase B는 그 진단을 한 명령으로 자동화한다 — 임시설치·파일변형 없이(완전 비파괴) 읽기만으로. ### 구현 1. **`migrateAuditCmd(root, opts)`**(신규) + **`leerness migrate audit [--path

] [--json]`** — 3종 finding 감지: - **version-drift**: `.harness/HARNESS_VERSION`(또는 추정) vs 도구 VERSION `compareVer` 비교 — 구버전 프로젝트 식별. - **canonical-pending**: `decisions.md`/`lessons.md` 에 항목이 있으나 대응 `.json`(canonical) 부재 — UR-0053/0058 canonical 백필 대상. - **missing-required**: `verify()` 필수 파일 매니페스트(9종) 대비 누락 파일. 2. **완전 비파괴(dry-run)**: 읽기 전용 — `.json` 생성/파일 변형 없음. `--json` 은 `{projectVersion, toolVersion, willChange, findings:[{kind,detail,...}]}` 구조화 출력, 사람용은 항목별 권장 조치 안내. 3. **clean 프로젝트**: `willChange:0` + "마이그레이션 필요 없음 — 최신 스키마 정합". ### 검증 - **selftest 102→103 PASS** · **E2E 300→301 PASS** (회귀 0). - 실측: clean init → `willChange:0`. 구버전(HARNESS_VERSION 1.9.6) + `decisions.md`(json 삭제) → `willChange:2` `version-drift,canonical-pending`. dry-run 후 `decisions.json` 미생성(비파괴 확인). ## 1.9.355 — 2026-06-05 — UR-0075 Phase A: 크로스버전 마이그레이션 가이드 + migrate/update --path **🧩 AI 에이전트용 크로스버전 마이그레이션 가이드(`migrate --guide`) + init/migrate/update `--path` 지원.** (UR-0075 Phase A — 비전 착수, 외부리뷰 버그 전량 해소 후) ### 배경 외부리뷰 P0~P3 전량 해소로 안전 기반 마련 → 비전 착수. 마이그레이션은 leerness 핵심 가치("비파괴 마이그레이션"). 가이드가 `update --path`/`migrate --path` 를 권하므로 정확성 위해 --path 지원을 함께 보강(UR-0059 확장). ### 구현 1. **`_migrationGuideText(version)`**(순수) + **`leerness migrate --guide`/`migrate guide`** — AI 에이전트용 안전 워크플로: 안전 스냅샷(git) → `npx leerness@latest update --check --path `(감지) → `--yes`(임시설치·.harness/archive 백업·신 스키마) → `git diff`/`selftest`/`check` 검증 → canonical JSON 백필 메모 → 롤백. 2. **init/migrate/update `--path` 지원** (UR-0059 확장): `install(arg('--path', args[1] || cwd))` / `updateCmd(arg('--path', ...))` — 이전엔 `args[1] || cwd` 로 positional 전용·`--path` 무시. 이제 --path > positional > cwd. (가이드의 `update --path` 정확성) ### 검증 - **selftest 102/102 PASS** · **E2E 299→300 PASS** (회귀 0). - 실측: `migrate --guide` 가이드 출력(0.원칙~6.롤백) · `migrate guide` subcommand 동일 · `update --check --path B`(cwd A) → B 의 HARNESS_VERSION(1.9.6) 읽음(=--path 동작, 이전 cwd A). ## 1.9.354 — 2026-06-05 — 외부리뷰 P3 클러스터 (UR-0072) · 외부리뷰 백로그 소진 **🧩 외부 리뷰 P3 핵심 4종 — compareVer pre-release · _classifyCJK 일본어 오판 · scan secrets 파일경로 · requests drop 아이콘.** ### 구현 1. **compareVer pre-release** (Opus P3-4): `1.9.0-beta` < `1.9.0` semver 규칙 적용(이전: `-beta` 무시 → 동일 취급). beta/next 채널 stale-check 정확도. 2. **_classifyCJK 일본어 오판** (Opus P3-2): CJK 통합 한자(한·중·일 공유)를 무조건 중국어로 세던 것 → **kana 존재 시 일본어 귀속** 휴리스틱. advisory 인코딩 라벨 정확도. 3. **scan secrets 파일경로** (Codex#10): `scan secrets ` 가 `ENOTDIR` 로 실패하던 것 → 파일이면 그 파일만 스캔(basename 표시), 디렉토리면 walk. 4. **requests drop 아이콘** (Codex#8): 성공 동작에 실패 아이콘 `✗` → `✓`. ### 검증 - **selftest 101/101 PASS** · **E2E 298→299 PASS** (회귀 0). - 실측: compareVer beta(id 해석 설계) · pulse 라벨 분모 표기 — 소형 UX 폴리시, 별도 처리. ## 1.9.353 — 2026-06-05 — 외부리뷰 P2 마무리 3종 (UR-0067/0070/0071) · P2 전량 완료 **🧩 외부 리뷰 남은 P2 3건 — 인코딩 정책/CP949 · shell-guard 셸 명시 · init non-TTY ANSI. 외부리뷰 P0/P1/P2 전량 해소.** ### 구현 1. **UR-0067 — 인코딩 정합** (Opus P2-1/Codex#4): (a) `encoding check` 의 UTF-8 BOM 경고를 `.ps1`/`.bat` 예외 — PS5.1 호환 위해 BOM 이 의도적일 수 있어 `env encoding`(BOM 권장)과의 모순 해소. (b) 한글(`[가-힣]`) 게이트 제거 → **CP949/Latin-1 등 invalid UTF-8 을 round-trip 불일치로 감지**(이전: 한글 없으면 통과 = false negative). 유효 UTF-8 은 byte-exact round-trip 이라 오탐 0. 2. **UR-0070 — shell-guard 셸 명시** (Opus P2-4): `--shell powershell|cmd|bash` (+ `--ps-version`) 옵션 — 자동 감지(git-bash 경유 등)가 실제 실행 셸과 달라 PS5.1 `&&` 가드가 무력화되던 문제. AI 에이전트가 대상 셸 지정 가능. 3. **UR-0071 — init non-TTY ANSI** (Sonnet F-05): init 완료 안내 5개 raw ANSI(`\x1b[36m/33m/2m`)에 isTTY 가드 — 파이프 출력에 raw escape 누출 방지. ### 검증 - **selftest 100/100 PASS** · **E2E 297→298 PASS** (회귀 0). - 실측: cp949.txt(한글 utf8 미매치) invalid 감지 + script.ps1 BOM 예외 · `shell-guard "a && b" --shell powershell` → ps5-chain 감지 · init 파이프 출력 raw ANSI 0. ## 1.9.352 — 2026-06-05 — 외부리뷰 P2 정리 3종 (UR-0066/0068/0069) **🧩 외부 리뷰 P2 3건 — shell:true 주입 가드 + milestone 파서 누출 + usage subcommand 미집계.** (selftest 100 달성) ### 구현 1. **UR-0066 — shell:true 주입 가드** (Opus P2-3/Sonnet F-12): `agents bench|multi --execute` 가 raw task 를 `shell:true` spawn 에 전달 → 셸 메타문자(`& | $()` 백틱) 주입 위험. task 를 `_shellQuoteArg`(크로스플랫폼)로 단일 토큰화(안전 경로 `_cliChat` 와 일관). `fetchNpmLatest` 의 `shell:true` → win `npm.cmd` 직접 호출로 셸 표면 제거. 2. **UR-0068 — milestone 파서 누출** (Codex#5): `_roadmapParseMilestones` 가 `slice(m.index)` 로 다음 milestone 의 Status/Progress 를 이전에 적용하던 버그. **다음 milestone 직전까지 block 한정**. 3. **UR-0069 — usage subcommand 미집계** (Codex#6): usage 루트가 `args[1]` 을 path 로 가정 → `decision add`/`scan secrets` 등 subcommand 명령에서 `root=cwd/add` 가 되어 .harness 못 찾아 미집계. 루트를 `arg('--path', cwd)` 로 수정(전 명령 집계). ### 검증 - **selftest 100/100 PASS** · **E2E 296→297 PASS** (회귀 0). - 실측: milestone M-0001 status=planned(누출 없음)/M-0002 done · `_shellQuoteArg('a & b')` 단일 토큰화 · decision/lesson/scan 각 usage 1 집계(이전 0) · 기존 UR-0040 fetchNpmLatest selftest 케이스 새 npm.cmd 형태로 갱신. ## 1.9.351 — 2026-06-05 — 외부리뷰 UR-0064/0065: 제목 오염 차단 + 문서 정합 **🧩 외부 리뷰 남은 P1 2건 — decision/lesson 제목 오염 차단 + 문서 정합(AGENTS.md/--help). 외부리뷰 P0/P1 전량 해소.** ### 구현 1. **UR-0064 — 제목/텍스트 오염 차단** (Sonnet F-02): `decision add "T" --reason "R" /path` 처럼 `--flag value` 가 nonFlagArgs 로 제거된 뒤 남는 **경로형 positional** 이 title/text 에 흡수되던 문제. titleParts/textParts 루프가 절대/상대 경로 패턴(`C:\`, `/`, `./`, `../`)에서 break. 2. **UR-0065 — 문서 정합** (Sonnet F-04 + Codex#7): - **AGENTS.md** `.leerness/` 모호성 해소 — 동적 상태(결정/교훈/계획/진행/인수인계)는 **기본 워크스페이스 `.harness/`** 에 기록됨을 명시. `leerness state` JSON substrate(`.leerness/`)는 별개(선택)임을 구분. - **--help** 누락 명령 보강: context/health/doctor/pulse/milestones/round-history/decision/lesson/intent/constraints/requests/skill install/discover. ### 검증 - **selftest 98/98 PASS** · **E2E 295→296 PASS** (회귀 0). - 실측: `decision add "PG 채택" --reason "관계형" /abs/leak` → title="PG 채택"(경로 미흡수) · lesson save 동일 · 생성 AGENTS.md ".harness 메인 + state substrate 별개" 명시 · `--help` 가 이전 누락 10+ 명령 노출. ## 1.9.350 — 2026-06-05 — 외부리뷰 P1 보안 하드닝 3종 (UR-0060/0061/0062) **🔒 외부 멀티모델 리뷰 P1 보안 3건 일괄 수정 — 자율 팀(UR-0073) 전 보안 기반 다지기.** ### 구현 1. **UR-0062 — skill install path traversal 차단** (Codex#2): `SKILL.md name: ..` 가 `.harness/skills/` 밖에 쓰이던 문제. id 정규화에 선행/후행 `./-` 제거 + `..` 거부 + jail(`dir.startsWith(skillsRoot+sep)`). 2. **UR-0061 — roadmap CSS 인젝션 차단** (Codex#3+Opus P3-1, 2모델): design token 값이 `_roadmapTokenStyles` 의 `:root{}` 에 raw 보간 → `}`/`` breakout. CSS 값 whitelist 살균(`[^#a-zA-Z0-9(),.%\s_-]` 제거)으로 규칙/태그 탈출 차단, 색상/길이 보존. 3. **UR-0060 — 시크릿 스캐너 보강** (3모델): (a) 파일명 substring(`harness.js`/`secret-policy.md`) skip → **정확 경로** self-exclusion(`path.resolve(file)===__filename` + 생성 secret-policy 템플릿만) — 사용자 파일명 false-negative 제거. (b) SECRET_PATTERNS 13→**19**: GitLab PAT / JWT / DB-URI(임베디드 비밀번호) / SendGrid / AWS Secret Access Key(context) / Bearker 토큰 보강. ### 검증 - **selftest 98/98 PASS** · **E2E 295/295 PASS** (회귀 0). - 실측: skill `name: ..` → "path traversal 차단"(`.harness/SKILL.md` 미생성) · 사용자 `harness.js` 의 GitLab PAT **이제 탐지**(false-neg 해소) · CSS `red;}