\n\nService Clause: VR.SC.005-installation-audit\nРоль: VR.R.002 Аудитор (PACK-verification) — субагент с context isolation\nПринцип: детектор отчитывается, оператор делает (см.
\nscripts/iwe-drift.sh:7-11). Auto-fix не входит в обещание.
Аргументы: $ARGUMENTS
\nАудит пользовательской инсталляции IWE. Запускает scripts/iwe-audit.sh + MCP healthcheck + smoke-test ритуала через sentinel-механику (контракт dry-run-contract.md), передаёт отчёт subagent'у в роли VR.R.002 Аудитор (context isolation) → verdict ✅/⚠️/❌ по 6 компонентам (Inventory, L1 drift, DS-strategy, L3 customizations, MCP, ритуал). Используй после restore из бэкапа, после update.sh, или при еженедельной сверке.
\nЗа ≤5 минут — markdown-отчёт ✅/⚠️/❌ по 6 компонентам инсталляции:
\n/run-protocol close day запускается под sentinel-защитой, доходит до write-шагов (см. memory/dry-run-contract.md)Verdict выносит subagent в роли Аудитора, читая отчёт без знаний о текущей сессии (context isolation).
\nНайти и запустить iwe-audit.sh через fallback-цепочку (author-mode → workspace, user-mode → $IWE_SCRIPTS из ~/.iwe-paths):
if [ -f \"$HOME/IWE/scripts/iwe-audit.sh\" ]; then\n AUDIT_SCRIPT=\"$HOME/IWE/scripts/iwe-audit.sh\"\nelif [ -n \"${IWE_SCRIPTS:-}\" ] && [ -f \"$IWE_SCRIPTS/iwe-audit.sh\" ]; then\n AUDIT_SCRIPT=\"$IWE_SCRIPTS/iwe-audit.sh\"\nelse\n echo \"iwe-audit.sh не найден. Если \\$IWE_SCRIPTS не выставлен — выполни 'source \\$HOME/.iwe-paths' (или перезапусти shell), затем повтори. Если файла .iwe-paths нет — запусти setup.sh из FMT-шаблона.\"\n exit 1\nfi\nbash \"$AUDIT_SCRIPT\" $([ \"${ARGUMENTS:-}\" = \"--critical\" ] && echo \"--critical\")\nСохранить вывод в переменную bash_report. Проверить exit code:
Скрипт покрывает разделы 1-3 отчёта (Inventory, L1 drift, DS-strategy).
\n--skip-mcp)Параллельно вызвать 4 MCP tool'а с минимальной нагрузкой, замерить латентность:
\n| Tool | \nПараметры | \nУровень | \nЧто считаем | \n
|---|---|---|---|
mcp__claude_ai_IWE__knowledge_search | \nquery: \"test\", limit: 1 | \nбесплатный | \n✅ если ответ <15s | \n
mcp__claude_ai_IWE__github_status | \n(без параметров) | \nбесплатный | \n✅ если ответ | \n
mcp__claude_ai_IWE__personal_search | \nquery: \"ping\", limit: 1 | \nподписочный | \n✅ если ответ; 403/subscription_required → ⏸️ (не считать failure) | \n
mcp__claude_ai_IWE__dt_read_digital_twin | \npath: \"1_declarative\" | \nподписочный | \n✅ если ответ; 403/subscription_required → ⏸️ (не считать failure) | \n
Подписочное гейтование (DP.SC.112). personal_* и dt_* требуют активной БР в subscription_grants. Без подписки — это не сбой инсталляции, а ожидаемый отказ. Помечать как ⏸️ subscription_required, не ❌. Coverage считать только по доступным для пользователя tool'ам.
Сформировать markdown-секцию ## 4. MCP healthcheck:
## Algorithm\n\n## 4. MCP healthcheck\n\n| Tool | Статус | Латентность | Примечание |\n|------|--------|-------------|------------|\n| personal_search | ✅/❌ | Nms | ... |\n| knowledge_search | ✅/❌ | Nms | ... |\n| github_status | ✅/❌ | Nms | ... |\n| dt_read_digital_twin | ✅/❌ | Nms | ... |\n\nCoverage: N/4\nЕсли --skip-mcp → секция «⏸️ MCP healthcheck — пропущен по флагу».
\n\nКонтракт: memory/dry-run-contract.md. Защита через sentinel-файл + PreToolUse-хук
\ndry-run-gate.sh.
Создать sentinel (единое имя для gate + capability владельца, issue #369):
\nDRY_SID=\"${CLAUDE_SESSION_ID:-noid}\"\nDRY_SAFE_SID=$(printf '%s' \"$DRY_SID\" | tr -cd 'A-Za-z0-9._-')\nDRY_TOKEN=$(od -An -N24 -tx1 /dev/urandom | tr -d ' \\n')\nDRY_OWNER=\"/tmp/iwe-dry-run-owner-${DRY_SAFE_SID:-noid}.token\"\numask 077\nprintf '%s' \"$DRY_TOKEN\" > \"$DRY_OWNER\"\njq -nc --arg created \"$(date -u +%Y-%m-%dT%H:%M:%SZ)\" --arg sid \"$DRY_SID\" \\\n --arg token \"$DRY_TOKEN\" --arg owner \"$DRY_OWNER\" \\\n '{created_at:$created,session_id:$sid,initiator:\"audit-installation\",owner_token:$token,owner_file:$owner}' \\\n > /tmp/iwe-dry-run.flag\nЗапустить subagent через Agent tool (subagent_type=general-purpose, модель Sonnet) с промптом:
\nЗапусти ритуал /run-protocol close day по обычной процедуре. Не изобретай — следуй SKILL.md как написано.\n\nВАЖНО: в текущем окружении активен sentinel /tmp/iwe-dry-run.flag — это означает dry-run mode.\nPreToolUse-хук dry-run-gate.sh заблокирует любой write-tool (Write/Edit/git-write/MCP-write).\nЭто ожидаемо — твоя задача дойти максимально далеко, фиксируя на каком шаге упёрся.\n\nПосле прогона отчитайся в формате:\n## Smoke-test /run-protocol close day\n- Шагов выполнено: N из M\n- Упёрлось на: <шаг>: <tool>: <причина блокировки>\n- Read-логика: ✅ работает / ❌ упало раньше write-шага\n- Заключение: ✅/⚠️/❌\nДождаться завершения subagent'а.
\nОчистить sentinel:
\nrm -f /tmp/iwe-dry-run.flag\nСформировать секцию 6 отчёта:
\n## 6. Ритуал smoke-test (/run-protocol close day)\n\n<вывод subagent'а>\n\n**Интерпретация:**\n- Block на write-шаге после успешных read-шагов → ✅ (read-логика работает, это ожидаемое поведение smoke-теста)\n- Block на шаге 1-2 → ❌ (ритуал ломается рано — нет source-файла, MCP отвалился)\n- Все шаги без block → ⚠️ (подозрительно — ритуал должен иметь write-шаги)\n- Hook-error → ❌ (инфраструктура поломана)\nЕсли subagent упал/завис → попытаться удалить sentinel явно (всегда). Stop владельца удалит capability-файл; чужой Stop не затронет защиту. TTL 10 мин в самом хуке защищает от случаев, когда даже это не отработало (kill -9, краш CLI).
\n# IWE Installation Audit — YYYY-MM-DD HH:MM\n\n[bash_report — секции 1-3]\n\n[mcp_section — секция 4]\n\n---\n[передаётся Аудитору на шаг 4]\nИспользовать Agent tool с context isolation (subagent_type=general-purpose, модель Sonnet):
\n⛔ Subagent НЕ получает:
\nSubagent получает (промпт):
\nТы исполняешь роль VR.R.002 Аудитор (PACK-verification). Твоя задача — прочитать markdown-отчёт по аудиту инсталляции IWE и вынести verdict.\n\nЭталон:\n- VR.SC.005 (Service Clause): инсталляция должна иметь все критические L1-файлы, ритуалы должны загружаться, MCP должен отвечать, DS-strategy — быть git-репо.\n- Gate-критерии (из WP-265 §Gate-критерии):\n - ✅ — 0 critical gaps, ≤2 warnings\n - ⚠️ — 1+ warning или ≥3 minor gaps; работоспособно\n - ❌ — ≥1 critical: L1 broken (>5 файлов drift), ритуал падает, MCP <2/4 отвечают\n\nПринцип context isolation (VR.SOTA.002): не используй знания о том, как создавалась инсталляция. Оценивай ТОЛЬКО по отчёту.\n\nОтчёт:\n[вставить полный собранный отчёт]\n\nВыдай verdict в формате:\n\n## Verdict: [✅ / ⚠️ / ❌]\n\n**Сводка по компонентам:**\n- L1 (платформа): ✅/⚠️/❌ — короткое объяснение\n- Ритуалы: ✅/⚠️/❌ — ...\n- MCP: ✅/⚠️/❌ — ...\n- DS-strategy: ✅/⚠️/❌ — ...\n\n**Критичные gaps (если есть):**\n- [список с указанием файла/компонента]\n\n**Рекомендации:**\n- Что чинить через `update.sh` (Синхронизатор)\n- Что чинить руками (с конкретным шагом)\n- Что отложить (некритично)\n\nНе предлагай auto-fix. Не лезь в реализацию. Твоя роль — Аудитор, не Кодировщик.\n# Приоритет: workspace/scripts/ → $IWE_SCRIPTS (FMT-template/scripts/ для user-mode) → $HOME/IWE\nif [ -d \"$HOME/IWE/scripts\" ]; then\n AUDIT_LOG_DIR=\"$HOME/IWE/scripts\"\nelif [ -n \"${IWE_SCRIPTS:-}\" ] && [ -d \"$IWE_SCRIPTS\" ]; then\n AUDIT_LOG_DIR=\"$IWE_SCRIPTS\"\nelse\n AUDIT_LOG_DIR=\"$HOME/IWE\"\nfi\nmkdir -p \"$AUDIT_LOG_DIR\"\nAUDIT_LOG=\"$AUDIT_LOG_DIR/iwe-audit-$(date +%Y%m%d-%H%M%S).log\"\n# Записать конкатенацию: full_report + verdict\nVerdict: ⚠️ Работоспособно с N оговорками. Лог: <AUDIT_LOG>Пользователь сам решает, что чинить.
\n/run-protocol close day). Расширение на week-close / month-close — мини-РП, копия шага 2.5 с другими subcommand'ами.FMT-strategy-template/ (или templates/strategy-skeleton/). Если нет — секция пометится «N/A»./audit-installation ловит регрессию.