Третий построчный аудит машин 1-4 свежим объективом (корректность логики /
реальные баги — НЕ понимание, НЕ грабли; это были два прошлых прохода).
4 читающих под-агента code-analyzer. M1/M2/M3 — багов ядра нет (подтверждено).
M4 (судья, инертен; код должен быть верен и при включении): 3 реальные дыры по TDD.
M4:
- judge-engine.mjs runJudge: (raw.objections||[]).filter((o)=>o.verdict) падал на
objections=[null] (o.verdict на null) и на не-массиве (.filter is not a function).
|| гасит только falsy. Краш ломал вердикт; в инертной обёртке выброс уходил в
catch→block:false = fail-open. Fix: Array.isArray(...)?...:[] + (o && o.verdict).
- judge-verdict-slots.mjs: String(raw).trim().length скрывал не-строки — слот {}
давал '[object Object]' (длина 15) и проходил как содержательный (мусорный
объект/массив штамповал форму вердикта). Fix: слот обязан быть строкой
(typeof raw !== 'string' → trivial). Мягкий fail-open формы закрыт.
- judge-orchestrator.mjs runGateLadder: step.run() без try/catch пробрасывал
исключение упавшего шага пола вместо «пол не пройден» → решение неопределённо
(в обёртке catch→block:false = fail-open). Fix: бросок шага = passed:false
(fail-closed → блок), последующие не запускаются. Чистый модуль теперь сам
гарантирует безопасную сторону, не полагаясь на обёртку.
Регрессия tools-only 2560 passed + 2 skip (+5 TDD-тестов, 0 регрессий).
Осознанно НЕ менялось (без призраков):
- M1 verifyChain без 3-го арг = нарушение контракта вызова, не валидный вход.
- M2 node-в-цепочке = то же разрешение, что одиночный node (контракт, тест L53);
readonly-git-в-цепочке блок = осознанный default-deny (fail-safe).
- M3 defer уже защищён G-фиксом (if e.status!=='pending' return e — ДО defer);
N3 stale-комментарий (код строже докстринга).
- M4-C DESTRUCTIVE_RE иллюстративен (divergence всё равно судится; разрушительный
bash режется полом M2/M5 до судьи); M4-D slop-counter↔logVerdict — live-wiring.
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
Второй аудит машин 1-4 другим объективом (sharp-edges: устойчивость к
неправильному применению / мягкие умолчания / совпадение по пустоте-подстроке).
Криптоядра здоровы (подтверждено). 8 реальных дыр закрыты по TDD:
M3:
- coverage-machine F-1: покрытие считалось по двусторонней ПОДСТРОКЕ — produces
"a" покрывал запрос "audit-rls-policy" (ложное «всё покрыто»). Новый tokensCover:
точное равенство ИЛИ подмножество слов по границам. coveringSkill + coverageRegistry.
- router-engine F-8: confidence не проверялся на диапазон — 5/Infinity проходили как
«уверен» (обход воздержания 5.2), -3 как принуд. abstain. validateTrace: [0,1] finite.
- round-control C: пустой roundKey="" активировал managed-режим (!= null) → все сессии
делили один счётчик-бакет. Теперь managed требует непустую строку.
- router-learning-queue G: повторное approve уже-решённого id повторно клало запись в
фонд (дубль). applyApprovalBatch: переводит только status==='pending'.
M2:
- plan-lock F5: шаг с пустым object был джокером (object:'' матчил действие, чей путь
не извлёкся → object''). actionMatchesStep: пустой object шага не матчит ничего.
M4 (инертна; чистые fail-closed правки кода, корректны и при включении):
- judge-slop-counter H: битый/null вердикт в списке ронял счёт (v.missing на null).
Теперь не крашит, считается халтурой (безопасная сторона).
- judge-engine J: consensusDecision на пустом/битом списке дрейфовал к GO. Теперь GO
только если есть голоса И каждый чистый GO; иначе NO-GO (fail-closed для hard-risk).
- judge-orchestrator K: finalGate снимал вето пола на любой falsy floorBlocked
(undefined от упавшей проверки = fail-open). Теперь снять может только явный false.
Регрессия tools-only 2555 passed + 2 skip (+15 TDD-тестов, 0 регрессий).
Осознанно НЕ менялось (без призраков):
- M1 receipt-sign domain default '' / разделитель пробел — backward-compat контракт
(тест 18-19), инъективен на enum-доменах без пробелов.
- M1 action-journal атомарность записи головы + битая .jsonl строка — fail-closed
(битьё → verifyChain ok:false → стена блокирует); чистого behavioral-теста нет.
- M3 round-control requiredSkills=[] — контракт вызывающего (пустой = не требуется).
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
Дмитрий