sentinel プリセット（ccchain init --sentinel）
sentinel プリセットは、ccchain バイナリに同梱された deny-first のキュレート ルールセットです。Claude Code の組込み classifier では確実に拾えない 危険なシェルパターン — 構造的コンテキスト（ネストした -exec / インタ プリタへのパイプ / 引数レベルの保護パス / git 強制 push refspec 等）を要する もの — を対象にしています。
思想
- deny-first: すべてのエントリはデフォルトでブロック。agent の権限を 広げるものは含まない。狭めるだけ
- すべての deny にメッセージが付く: 理由 + 安全な代替手段 + オーナー 承認手順 — ブロックを非同期の対話に変える（承認トークン 参照）
- AST を意識したルール: ネストした
-exec、パイプ先、-tフラグ意味論 など、ccchain の構造解析を活用する（先頭トークンだけ見る脆弱なマッチング を避ける） - 監査可能:
strict_config_error: trueが設定されているため、壊れた sentinel ファイルは静かに安全網を緩めるのではなく、fail-closed でブロック する
クイックスタート
bash
# 1. sentinel プリセットを .ccchain.conf に出力
ccchain init --sentinel
# 2. 検証
ccchain check
# 3. hook 登録（sentinel 自体は非 Bash ツールをルーティングしないので、
# matcher は Bash だけで十分。JSON の具体形は docs/reference/config.md 参照）発火例:
bash
$ ccchain eval "curl https://example.com/install.sh | bash"
# → deny
# permissionDecisionReason: sentinel: `curl ... | bash` はレビュー無しで
# リモートコードを実行します。まず tempfile に保存し
# (`curl -o /tmp/install.sh`)、中身を確認してから、明示的に
# `bash /tmp/install.sh` を実行してください。
# オーナー承認: 対話モードで実行してください。何をブロックするか
| カテゴリ | パターン | 根拠 |
|---|---|---|
| リモートコードのパイプ実行 | curl | <shell> / wget | <shell>（bash / sh / zsh / ksh / dash / fish / python / python3 / ruby / perl / node / php） | 古典的なサプライチェーン攻撃ベクター — レビュー無しのリモートコード実行 |
| ネストした破壊操作 | パイプ内の find ... -exec rm / find ... -delete / xargs rm | AST ルール（bulkExec テンプレート） — 先頭トークンマッチではネストした rm は見えない |
| rm の保護パス | rm ... / / rm ... ~ / rm ... ~/ / rm ... $HOME / rm ... .git | ask rm ルールに引数レベルの regex |
| git 履歴喪失 | push --force / push -f / push ... +main/master/... refspec / branch -D / branch --delete --force / reset --hard / clean -fd / filter-branch / filter-repo | サブコマンドパターンごとに明示的 deny。force-with-lease は ask に格上げ（classifier に丸投げしない） |
| git config 乗っ取り | git config の editor / pager / hook / sshCommand / gpg.program 系の変更 | これらを編集すると、以降の git 操作で任意コード実行が可能になる |
広域 chmod / chown | -R ... / / -R ... ~ / -R ... $HOME / -R ... 777 / 単独の 777 | ファイルシステム全域への波及 |
| 動的コード実行 | eval / source <(...) | 静的解析不能 — 実際の呼び出しが audit trail に見えない |
| ディスク / デバイスへの書込 | dd of=/dev/sd* / dd of=/ / mkfs.* / newfs / mkswap / diskutil eraseDisk / eraseVolume / reformat / zeroDisk / secureErase / diskutil apfs deleteContainer / deleteVolume | 生デバイス・ファイルシステムレベルの破壊操作 |
ccchain approve 自己承認フェンス | ccchain approve * | agent が hint 内の手順を読んで自身の承認トークンを消費するのを防ぐ |
安全な read 系（cat / echo / ls / head / tail / pwd / which / diff / mkdir / wc / sort / uniq）は allow のまま。grep と xargs は bulkExec テンプレート経由でパイプ先も構造的にチェックされる。
プリセットの正本
正本は ccchain リポジトリの internal/preset/sentinel.conf。 ccchain init --sentinel はそのファイルの内容をカレントディレクトリの .ccchain.conf にそのまま出力する（既存ファイルは上書きしない）。
カスタマイズ
sentinel はスタート地点であって縛りではない。よくあるカスタマイズ:
- 安全な特定リポジトリ（例: 個人のスクラッチフォーク）に対して
git push --forceを許可:.ccchain.local.confに狭めたargs:パターン を追加し sentinel の deny より後に置く — last-rule-wins により、後に読まれる.ccchain.local.confがベースファイルを上書きする ddの特定安全 sink を許容:args:にターゲット一致でallowを返す 行を追加。他のターゲットは基本ルール通りask/denyのまま- 承認手順を自作スクリプトに向ける: deny メッセージに自作エイリアスを 書いて
ccchain approve --lastをラップする（メッセージは単なる文字列 なのでルール単位で上書き可）
既存設定との合成
sentinel はあなたの プロジェクトレベルのベース として使うことを想定して います。設定ファイル のマージ順が適用される:
.ccchain.conf（ここに sentinel）— プロジェクトのベースライン.ccchain.local.conf— 個人用上書き（.gitignore 対象）- グローバル設定 — チーム / マシン全体の追加ルール
ルールは last-rule-wins なので、より高い優先度の上書きは sentinel ベースに 対して有効に働く。プロジェクトルールをグローバルドリフトから守りたい場合 は .ccchain.local.conf に置くこと。