付与した権限は、本当に全部使われていますか — Antigravity 統一パーミッションを実使用ログから絞り込む

// permission-types.ts
// 操作の種類。Antigravity の統一パーミッションを手元で扱うための最小モデル
export type Verb = "read" | "write" | "exec" | "net";
 
// 付与された1件の許可。scope は glob（例: "src/**", "https://api.github.com/**"）
export interface Grant {
  id: string;        // 例: "write:src"
  verb: Verb;
  scope: string;     // glob パターン
  grantedAt: string; // ISO8601
}
 
// エージェントが実際に行った1アクション（監査ログの1行）
export interface Action {
  ts: string;        // ISO8601
  verb: Verb;
  target: string;    // 実際に触れたパス or URL
  runId: string;     // 実行を識別するID
}
 
export interface Policy {
  grants: Grant[];
}

// reconcile.ts
import picomatch from "picomatch";
import type { Grant, Action, Policy } from "./permission-types";
 
export interface GrantUsage {
  grant: Grant;
  hitCount: number;      // この付与に一致した実アクション数
  usedTargets: string[]; // 実際に触れた対象（重複排除）
}
 
// 付与ごとに、観測期間内の実使用を集計する
export function reconcile(policy: Policy, actions: Action[]): GrantUsage[] {
  return policy.grants.map((grant) => {
    const match = picomatch(grant.scope);
    const hits = actions.filter(
      (a) => a.verb === grant.verb && match(a.target)
    );
    // 実際に触れた対象を重複排除して控えておく（スコープ縮小の材料）
    const usedTargets = [...new Set(hits.map((a) => a.target))];
    return { grant, hitCount: hits.length, usedTargets };
  });
}

// suggest.ts
import type { GrantUsage } from "./reconcile";
 
export interface Suggestion {
  grantId: string;
  kind: "revoke" | "narrow";
  reason: string;
  proposedScope?: string; // narrow のとき、狭めた後の scope
}
 
// 実使用パスの共通接頭辞ディレクトリを求める（縮小提案の素）
function commonDir(paths: string[]): string | null {
  if (paths.length === 0) return null;
  const split = paths.map((p) => p.split("/"));
  const head = split[0];
  const out: string[] = [];
  for (let i = 0; i < head.length; i++) {
    if (split.every((s) => s[i] === head[i])) out.push(head[i]);
    else break;
  }
  // 末尾のファイル名部分は落として、ディレクトリだけを残す
  return out.length > 1 ? out.slice(0, -1).join("/") : null;
}
 
export function suggest(usages: GrantUsage[]): Suggestion[] {
  const out: Suggestion[] = [];
  for (const u of usages) {
    if (u.hitCount === 0) {
      out.push({
        grantId: u.grant.id,
        kind: "revoke",
        reason: "観測期間内に一度も行使されませんでした",
      });
      continue;
    }
    const dir = commonDir(u.usedTargets);
    // 付与済み scope より実使用が明らかに狭いときだけ縮小を提案
    if (dir && !u.grant.scope.startsWith(dir)) {
      out.push({
        grantId: u.grant.id,
        kind: "narrow",
        reason: `実使用が ${dir}/ 配下に収まっています`,
        proposedScope: `${dir}/**`,
      });
    }
  }
  return out;
}

// guard.ts
import type { GrantUsage } from "./reconcile";
import type { Suggestion } from "./suggest";
 
export interface GuardConfig {
  minRuns: number;      // 最低これだけの実行を観測してから判断
  minWindowDays: number;// 最低これだけの期間を観測してから判断
}
 
export function applyGuard(
  suggestions: Suggestion[],
  observedRuns: number,
  windowDays: number,
  cfg: GuardConfig
): { ready: boolean; suggestions: Suggestion[]; note: string } {
  if (observedRuns < cfg.minRuns || windowDays < cfg.minWindowDays) {
    return {
      ready: false,
      suggestions: [],
      note: `観測不足（${observedRuns}回 / ${windowDays}日）。しきい値（${cfg.minRuns}回 / ${cfg.minWindowDays}日）到達まで保留します`,
    };
  }
  return { ready: true, suggestions, note: "観測十分。提案を提示します" };
}