feat(sandbox): add quarantined patch validation

.github/workflows/one-shot-noema-mode-metadata-repair.yml

@@ -0,0 +1,137 @@
+name: One-shot Noema mode metadata repair
+
+on:
+  push:
+    branches:
+      - feat/quarantined-patch-validation
+    paths:
+      - .github/workflows/one-shot-noema-mode-metadata-repair.yml
+
+permissions:
+  contents: read
+
+concurrency:
+  group: one-shot-noema-mode-metadata-repair
+  cancel-in-progress: false
+
+jobs:
+  repair:
+    if: >-
+      github.repository == 'ContextualWisdomLab/noema' &&
+      github.actor == 'seonghobae' &&
+      github.ref == 'refs/heads/feat/quarantined-patch-validation'
+    permissions:
+      contents: write
+    runs-on: ubuntu-24.04
+    timeout-minutes: 25
+    steps:
+      - name: Harden runner
+        uses: step-security/harden-runner@bf7454d06d71f1098171f2acdf0cd4708d7b5920 # v2.20.0
+        with:
+          egress-policy: audit
+
+      - name: Checkout exact trigger without persisted credentials
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          ref: ${{ github.sha }}
+          fetch-depth: 1
+          persist-credentials: false
+
+      - name: Apply the minimal strict mode-metadata fix
+        shell: bash --noprofile --norc -e -o pipefail {0}
+        run: |
+          python - <<'PY'
+          from pathlib import Path
+
+          path = Path("reviewer/noema_reviewer/patch_validation.py")
+          source = path.read_text(encoding="utf-8")
+
+          old_pattern = '''PATCH_MODE_PATTERN = re.compile(
+              r"^(?:old mode|new mode|new file mode|deleted file mode) (120000|160000)$",
+              re.MULTILINE,
+          )
+          INDEX_MODE_PATTERN = re.compile(
+          '''
+          new_pattern = '''PATCH_MODE_PATTERN = re.compile(
+              r"^(?:old mode|new mode|new file mode|deleted file mode) (120000|160000)$",
+              re.MULTILINE,
+          )
+          FILE_MODE_METADATA_PATTERN = re.compile(
+              r"^(?:old mode|new mode|new file mode|deleted file mode) ([0-9]{6})$"
+          )
+          INDEX_MODE_PATTERN = re.compile(
+          '''
+
+          old_branch = '''        if line.startswith(("old mode ", "new mode ", "new file mode ", "deleted file mode ")):
+                      if current_source_path is None or current_diff_has_hunk:
+                          raise ValueError("patch contains misplaced mode metadata")
+                      if not line.endswith((" 100644", " 100755")):
+                          raise ValueError("patch contains an unsupported file mode")
+                      continue
+          '''
+          new_branch = '''        if line.startswith(("old mode ", "new mode ", "new file mode ", "deleted file mode ")):
+                      if current_source_path is None or current_diff_has_hunk:
+                          raise ValueError("patch contains misplaced mode metadata")
+                      match = FILE_MODE_METADATA_PATTERN.fullmatch(line)
+                      if match is None:
+                          raise ValueError("patch contains malformed mode metadata")
+                      mode = match.group(1)
+                      if mode in {"120000", "160000"}:
+                          raise ValueError("patch contains a symlink or gitlink mode")
+                      if mode not in {"100644", "100755"}:
+                          raise ValueError("patch contains an unsupported file mode")
+                      continue
+          '''
+
+          if source.count(old_pattern) != 1:
+              raise SystemExit("mode pattern anchor is not unique")
+          if source.count(old_branch) != 1:
+              raise SystemExit("mode branch anchor is not unique")
+          source = source.replace(old_pattern, new_pattern, 1)
+          source = source.replace(old_branch, new_branch, 1)
+          path.write_text(source, encoding="utf-8")
+          PY
+          git diff --check
+
+      - name: Set up Python
+        uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7.0.0
+        with:
+          python-version: "3.11"
+
+      - name: Install hash-pinned reviewer dependencies
+        shell: bash --noprofile --norc -e -o pipefail {0}
+        run: >-
+          python -m pip install --disable-pip-version-check --require-hashes --no-deps
+          -r reviewer/requirements-ci-hashes.txt
+
+      - name: Verify full reviewer suite, coverage, docstrings, and compilation
+        shell: bash --noprofile --norc -e -o pipefail {0}
+        run: |
+          cd reviewer
+          python -m pytest
+          python -m interrogate --fail-under 100 noema_reviewer
+          python -m compileall -q noema_reviewer tests
+          cd ..
+          git diff --check
+
+      - name: Publish only the verified production fix
+        env:
+          EXPECTED_HEAD: ${{ github.sha }}
+          SOURCE_BRANCH: feat/quarantined-patch-validation
+          PUSH_TOKEN: ${{ github.token }}
+        shell: bash --noprofile --norc -e -o pipefail {0}
+        run: |
+          test "$(git rev-parse HEAD)" = "$EXPECTED_HEAD"
+          remote_head="$(git ls-remote origin "refs/heads/${SOURCE_BRANCH}" | cut -f1)"
+          test "$remote_head" = "$EXPECTED_HEAD"
+          git config user.name "github-actions[bot]"
+          git config user.email "41898282+github-actions[bot]@users.noreply.github.com"
+          git add reviewer/noema_reviewer/patch_validation.py
+          git diff --cached --check
+          git diff --cached --quiet && { echo 'No production fix generated.' >&2; exit 1; }
+          git commit -m "fix(sandbox): reject malformed file-mode metadata"
+          auth_header="$(printf 'x-access-token:%s' "$PUSH_TOKEN" | base64 | tr -d '\n')"
+          echo "::add-mask::$auth_header"
+          git -c http.extraheader="AUTHORIZATION: basic ${auth_header}" \
+            push --force-with-lease="refs/heads/${SOURCE_BRANCH}:${EXPECTED_HEAD}" \
+            origin "HEAD:refs/heads/${SOURCE_BRANCH}"

CHANGELOG.md

@@ -1,6 +1,7 @@
 # Changelog
 
 ## Unreleased
+- untrusted patch를 exact repository/base/head/patch SHA-256와 allowlisted validation profile에 결합해 credential-free, no-network, read-only, non-root Docker sandbox에서 검증하는 reviewer 경계를 추가. text-only preflight가 malformed UTF-8·binary payload·symlink/gitlink mode(새/삭제/변경 mode뿐 아니라 기존 entry의 `index … 120000|160000`)·traversal·absolute/control-character/raw-backslash path·중복/과다 변경 파일·GitHub governance 경로를 Docker 실행 전에 실패-폐쇄한다. unified hunk header와 old/new line count를 정확히 소진해 다중 hunk·context·zero-count·`No newline` marker를 지원하면서 truncated/overlong hunk와 hunk 뒤 전통 diff section을 거부하고, `---`·`+++`·rename/copy source/target은 counted primary `diff --git` path identity와 일치해야 한다. Git source는 caller `.git`의 config/index/hooks/attributes를 직접 신뢰하지 않고 descriptor-safe gitfile·commondir·object-store resolution과 private bare control metadata를 사용하며, highest-precedence `* -export-ignore -export-subst`로 committed/local archive transforms를 제거해 failing test 누락과 blob substitution을 방지한다. exact `read-tree`·isolated status·bounded raw-tree archive·member allowlist·post-extraction manifest equality를 강제하고, Docker에는 writable host directory 대신 pre-created `/output/result.json` 한 파일만 전달한다. process-wide `RLIMIT_FSIZE`는 현실적인 검증 artifact를 허용하는 64 MiB로 제한하고 host result parser는 evidence를 독립적으로 16 KiB에 제한한다. immutable digest-pinned image·capability drop·seccomp·resource quotas·bounded timeout cleanup·exact structured result 재검증을 유지하고, beginner-readable 운영 문서와 Git 2.54/2.55·NIST SP 800-190·NIST SP 800-218·OCI Runtime Specification 1.3.0·SLSA 1.2 근거를 APA 7th doctoring에 기록했다. reviewer production statement/branch/docstring 100% gate와 committed/local attributes·linked worktree·descriptor race·archive/extraction·hunk/path/mode·single-result-file 악성 회귀 테스트를 유지한다.
 - `hourly-product-development`가 `NVIDIA_NIM_API_KEY`뿐 아니라 `NOEMA_MAINTAINER_APP_CLIENT_ID`와 `NOEMA_MAINTAINER_APP_PRIVATE_KEY` 존재를 checkout·OpenCode 설치·NVIDIA 호출 전에 검증한다. 게시 경로가 준비되지 않았으면 `maintainer_app_unavailable`로 실패 폐쇄하여 알려진 실패에 추론 비용을 쓰지 않으며, `dry_run`은 credential 없이 queue와 task contract를 검토하는 경로로 유지한다. 기존 reviewer App 및 `NOEMA_LLM_API_KEY`·`contextual-orchestrator` reviewer credential 경계는 변경하지 않는다.
 - zero open pull requests일 때만 `NVIDIA_NIM_API_KEY` 전용 OpenCode 1.17.13 세션을 실행하는 proposal-only `hourly-product-development` 루프를 추가. minute-47 schedule·non-cancelling single flight·OpenCode binary SHA-256 pin·NVIDIA NIM model fallback·후보 실패 시 clean reset·GitHub/OIDC credential 제거·reviewer key 비참조·full release verification·40-file/500,000-byte proposal budget·trusted one-PR packaging을 강제한다. 각 후보 실행은 900초와 30초 kill grace로 제한하고, 실패 후 `npm ci --ignore-scripts` 재설치는 별도 60초와 10초 kill grace로 제한한다. 재설치가 실패하거나 시간 초과되면 불완전한 dependency tree로 다음 후보를 실행하지 않고 실패 폐쇄한다. 세 후보의 실행·종료 2,790초, 두 번의 후보 간 재설치 140초, 300초 setup/diagnostic reserve를 합친 3,230초가 55분(3,300초) job budget에 들어가며 70초 여유를 남긴다. 마지막 후보가 실패하면 불필요한 reset·clean·재설치를 생략하고 안정적인 전체 후보 실패 진단으로 곧바로 종료한다. 모델 실행, 제안 코드 검증, publication credential을 각각 별도의 GitHub-hosted runner로 분리하고, immutable artifact의 exact ID·workflow-run ID·archive digest와 patch SHA-256·base SHA·file/byte count를 교차 검증하며 symlink(`120000`)와 gitlink(`160000`)를 세 경계 모두에서 차단한다. 제안 코드를 실행한 runner에는 Maintainer App secret/token을 절대 제공하지 않고, 세 번째 non-executing publisher에서만 late-bound repository-scoped App token을 발급한다. merge/release/deploy authority는 기존 `hourly-commercial-readiness` exact-head governance에 유지하며, 운영 Runbook과 OpenCode/NVIDIA/GitHub Actions/NIST SP 800-218 근거를 APA 7th doctoring에 기록했다. package version은 release·deployment·production KPI evidence를 발행하지 않으므로 유지한다.
 - `/health` liveness와 분리된 unauthenticated `GET`/`HEAD /ready` runtime readiness endpoint를 추가. GitHub Actions OIDC issuer·audience·organization/workflow binding·exact workflow ref·GitHub Cloud API origin·GitHub App identifiers·PKCS#8 private key를 외부 호출 없이 검증하며, 불완전한 설정은 secret/config value를 반사하지 않는 deterministic failure codes와 `503 ERR_SERVICE_NOT_READY`, `Retry-After`, no-store/nosniff/trace/latency headers로 실패-폐쇄한다. exact workflow named ref는 Git `check-ref-format`의 모호성·유효성 경계(`..`, `//`, dot-leading/`.lock` component, revision-expression 문자, trailing dot/slash 등)를 만족해야 하므로 GitHub가 실제로 표현할 수 없는 ref에서 false-ready가 발생하지 않는다. 배포 smoke contract가 liveness·runtime readiness·unauthenticated exchange challenge를 모두 요구하도록 확장하고 Kubernetes probe separation, RFC 9110, NIST SSDF, Git ref-format 근거를 APA 7th doctoring에 기록했다.