feat(safety): O101 间接写受保护路径三层检测（inline/script/post-run）

[QiaolongLi1201]

Summary（中文）

实现 O101（间接写受保护路径），规格见仓库外 /workspace/specs/O101.md（本 PR 按该规格验收）。

在 O94/O97 之上补三层（尽力拦截，不是沙箱；无自动还原；无项目/环境/模型可关闭或缩小检测的开关）：

1. 内联代码：python -c / node -e / bash -c 中字面受保护路径 → 走 O94 确认（-p 拒绝）；提示带脚本名与行号。
2. 工作区脚本：执行前只读扫描被调用的脚本（realpath，工作区外/过大/二进制按「拿不准」）；npm test / pytest / node --test 等不展开。
3. 事后检测：命令结束后对比 ~/.ssh、.env*、.git/{config,HEAD,refs,hooks} 的 mtime/size/hash（内容与完整哈希不进日志/outcome/工具结果）。命中后文案用「已被修改」而非「已拦截」；接 O98 run-outcome → 未完成 + 非 0；不自动还原。

受保护路径定义复用 O94/O97，不另起一份。

相对 Grok 草稿的适配

• 基线从 adf2d987 cherry-pick 到 tip f26ff95a（含 fix(loop-guard): O96 do not treat lint/test non-zero exits as broken exec #97/fix(config): O93 agent.reasoningBudget 支持 config set/show/env #98）。
• Layer 3 notice 挂到成功 / 超时 / 信号杀死 / 非 0 退出 全路径（命令已执行）。
• A1–A3 断言 O101 source 元数据（撤修复变红）；-p 拒绝本身仍可由 O97 命令行 mention 覆盖。
• D4 断言 filterExpectedGitMetadataChanges 清空普通 git porcelain 的 HEAD/refs 误报。

开销（验收 F）

真 API：takeProtectedPathSnapshot + After + diffProtectedPathSnapshots（head 9f07daf1），15 条受保护路径，n=100（warmup 5）。

环境	mean	p50	p95	max
RDK 板（aarch64 PREEMPT_RT，Node v22.22.2）	1.40 ms	1.38	1.87	2.29
共享电脑（同脚本对照，Node v20.19.2 x86_64）	0.57 ms	0.52	0.94	1.90

此前 PR 里 ~0.38 ms 是更松的 box 口径；上表为同 fixture 对照。DeepSeek 首装 5 次中位数 / 长任务 ≤5% 增量仍待 UX/QA（无 key 可不挡）。

已知局限（文档已写）

• shell 层尽力拦截，不是 OS 沙箱（系统沙箱另开 O102）。
• 后台延后写入（& / nohup）可能躲过事后对比。
• 第三层只检测、不阻止、不还原。

Summary (English)

Implements O101 (indirect writes to protected paths) per /workspace/specs/O101.md.

Three layers on O94/O97 (best-effort, not a sandbox; no auto-restore; no kill-switch projects/env/model can disable or shrink):

1. Inline python -c / node -e / bash -c literals → O94 confirm (-p denies); prompt names script + line.
2. Pre-run read-only scan of workspace scripts (realpath; outside/too-large/binary = uncertain); skip expanding npm test / pytest / node --test.
3. Post-run metadata snapshot of ~/.ssh, .env*, .git/{config,HEAD,refs,hooks} (mtime/size/hash only — never contents / full hashes in logs/outcome/tool results). Notices say 「已被修改」/ “modified”, not intercepted. Wires to O98 run-outcome → incomplete + non-zero. No auto-restore.

Protected-path definitions are reused from O94/O97 only.

Adapted from Grok draft

• Cherry-picked from baseline adf2d987 onto tip f26ff95a (fix(loop-guard): O96 do not treat lint/test non-zero exits as broken exec #97+fix(config): O93 agent.reasoningBudget 支持 config set/show/env #98).
• Layer-3 notice on success / timeout / signal-kill / non-zero exit.
• Stronger A/D asserts for revert-red and git false-positive filter.
• RDK board overhead (real Moss API, n=100): mean 1.40 / p50 1.38 / p95 1.87 / max 2.29 ms per snapshot-pair; matched shared-box control mean 0.57 ms.

Test plan

• node test/o101-indirect-writes.spec.mjs — 26/26 pass
• Related: o94-protected-paths 73/73, o97-followup 19/19, run-completion-o98 ok, shell-write-detect 36/36, shell-write-sandbox 57/57
• npm run check — format/lint/typecheck 0
• Revert-red: strip O101 L1–2 merge + L3 outcome wiring → A1–A3 (source), B-scripts, B-ux, C3 go red (8 failures); restore → 26/26 green again
• QA manual A–E + base64-obfuscated bash on final head
• UX per O101.md
• RDK board overhead (mean 1.40 ms/pair @ Node 22.22.2 aarch64)
• DeepSeek install median (no key → non-blocking per PM)

Spec pointers

• Acceptance A–H, UX 1–6, QA 1–7 in /workspace/specs/O101.md
• Research: /workspace/research/o101-indirect-writes.md

[chatgpt-codex-connector]

You have reached your Codex usage limits for code reviews. You can see your limits in the Codex usage dashboard.