Report — ceo-immutable-audit-log (2026-06-11)

결과: ✅ SHIP — DC 17/17 PASS, mco-eval PASS (9/9/8/8)

CEO Command v4 + Agent Approval Gate의 마지막 잔여 항목 "불변 감사로그" 완료. 이전 세션의 부분 진행(agent_audit_log 테이블 + WORM 파일)을 승계하고, 이번 세션 진단으로 발견한 의사결정 체인 공백(star365_audit_log)을 병합한 v2 계약으로 구현.

구현 (7파일, ~560줄)

항목	내용
B1 체인	star365_audit_log에 prev_hash/entry_hash + `decisions_audit_chain_link()` BEFORE INSERT 트리거(advisory xact lock 직렬화) + 기존 1,024행 단일 트랜잭션 백필. agent_audit_log도 동일 패턴(`agent_audit_chain_link()`). 3개 writer 서비스 코드 무변경 자동 체이닝
B2 검증	SQL `audit_chain_verify_agent()/_decisions()` 전체 재계산 + `GET /api/audit/verify`, `GET /api/audit/decisions/verify`
B3 커버리지	6경로 ceoAudit: agent_tool_decide(web/telegram), agent_tool_expire(SLA), proposal_decide, wrs_batch_approve, employee_tune
A1 API	`POST /api/audit/log`(internal key) + recent(페이지네이션·필터)/verify/stats
A2 훅	PostToolUse[Bash\|Edit\|Write] async → API POST, 실패 시 WORM 직접 append
A4 대시보드	`/audit` — 양 체인 무결 배지 + 통계 + 필터 + 더보기 (Playwright 0에러)
B4 앵커	`audit_chain_anchors` + `ceo-audit-anchor.timer`(04:05 KST) — 검증→앵커→직전앵커 연속성→WORM 속성 자가치유→불일치 시 TG

핵심 검증 (실측)

변조 시뮬 2회(agent id=5, decisions id=500): disable trigger→변조→first_bad_id 정확 탐지→원복→ok 복귀
동시 20건 병렬 POST → 체인 단절 0 (advisory lock 직렬화 입증)
WORM: overwrite/truncate Operation not permitted, append만 허용
TG 실발송 OK, 14 probe 회귀 0, paperclip 외 서버 무접촉

🔴 발견 버그 3건

cat /dev/stdin은 Claude Code async 훅에서 빈 입력 반환 — plain cat으로 수정. 라이브 캡처 row가 전부 unknown으로 들어오던 원인. (id 26~32는 이 버그 기간의 흔적 — append-only라 영구 보존)
기존 langfuse-audit.sh에 동일 패턴 잠재 — heredoc로 프로그램을 stdin 전달하면서 내부에서 sys.stdin.read() → 항상 빈 값 → sessionId가 늘 'unknown'으로 전송 중. 계약상 제외 항목이라 미수정. 후속 스프린트 후보.
Alpine x-init="setInterval(loadAll, N)" unbound this — 폴링 호출 시 this=window가 되어 audit.html은 크래시(185 에러 누적), 기존 페이지들은 자동갱신 무효(무음). 화살표 함수로 일괄 수정: audit/agent-tools/index(3곳)/trading-fee — Playwright 폴링 사이클 실측 0에러.

한계 (설계 문서화)

PG 슈퍼유저가 체인+앵커테이블+로컬파일을 동시 재작성하면 로컬 탐지 불가. kahan 역방향 오프사이트의 anchor 파일 사본 + 텔레그램 발송 이력 대조로 탐지 가능.
fire-and-forget 감사 기록은 DB 순단 시 유실 가능(의사결정 차단 안 함 — 의도된 트레이드오프).
테스트 행(dc-test/dc16-concurrent/unknown 7행)은 append-only 특성상 영구 잔존 — 정상.

운영 포인트

일일 앵커: systemctl list-timers ceo-audit-anchor.timer / 수동: node /opt/star365-ceo/scripts/audit-anchor.mjs [--test]
오프사이트 앵커: /opt/backups/paperclip-local/audit-anchors.log (kahan 역방향 동승)
대시보드: https://ceo.star365.site/audit