feat(runtimes,worker): complete ADR Phase 1 — disable agent-owned MCP exposure, host-side Git transport, isolated child HOME (merge only with #673)

[moncher-dev]

Epic: #651
리포트 항목: A13 구현 — Phase 1b (ADR Phase 1 완성) — docs/reports/2026-08-28-upstream-spec-drift-research.md (PR #650)

결정 반영 (2026-08-28, 트랜지션 전략)

ADR docs/adr/2026-08-28_agent-tool-isolation.md의 Phase 1을 1a(#672, 기능 손실 없음) 와 1b(이 이슈) 로 나눈다. 1b는 ADR이 Phase 1에 정의한 나머지 항목이며, 에이전트 툴/푸시 능력 손실 구간이 생기지 않도록 #673(Phase 2)과 같은 릴리스에서만 병합한다.

⚠️ 병합 게이트: #673이 Codex·Claude 두 런타임 모두에서 host-side 툴 실행을 완료하기 전에는 이 PR을 main에 병합하지 않는다. 별도 PR로 리뷰하되 병합은 #673과 동시에(또는 직후에) 한다. Ready 승격은 #673 PR이 approve된 뒤에만.

범위 (ADR Phase 1 중 1a가 제외한 항목)

• provider-native MCP subprocess 노출 비활성화 (Codex config.mcp_servers, Claude mcp.json 서버 항목) — #673의 host-side 전송으로 대체됨을 전제
• child Git credential helper 제거 및 워커 post-run 인증 전송 대행 (assigned branch의 fetch/push); child는 커밋만 수행
• child HOME / GH_CONFIG_DIR 격리 — allowlist가 호스트 gh auth 저장소를 노출하지 않음
• broker secret(GITHUB_TOKEN_BROKER_SECRET)도 secretEnvironmentNames()에 포함해 child에서 제거; Linear raw 토큰(LINEAR_API_KEY/LINEAR_AUTHORIZATION) 제거 — Linear 자격증명은 #673의 host-side 경로로 공급
• ADR "Upstream conformance and divergence" 절의 임시 divergence 문구를 완료 상태로 갱신

완료 기준

• §17.5 "tracker secrets are not inherited by the coding-agent child process" — broker secret·Linear 토큰까지 포함해 Codex/Claude 모두 테스트
• Docker E2E: 워커 child env·워크스페이스 파일에 어떤 트래커/broker 자격증명도 없음, 그리고 같은 릴리스의 #673으로 트래커 전이·PR 생성이 계속 동작 (Linear tracker: workers cannot write to the tracker — MCP server never receives auth, and the LINEAR_API_KEY path sends a malformed header (regression of #314) #634 시나리오)
• 워커 post-run push가 실제 GitHub 저장소에서 검증됨 (실 통합 프로필)

Blocked by: #672, #673

[moncher-dev]

현장 리포트: child credential helper가 토큰 없이 항상 주입돼 워커가 Landing을 헛반송함 (0.11.0)

Phase 1b가 "child Git credential helper 제거"를 범위에 넣고 있어서, 그 헬퍼가 지금 현장에서 일으키는 실제 장애를 기록해 둡니다. 헬퍼 제거 전까지의 중간 완화가 필요하다는 근거이기도 합니다.

증상

standalone 프로젝트(Linear 트래커, runtime.kind: codex-app-server)에서 워커가 실행하는 모든 git fetch/push가 stderr에 다음을 찍습니다.

Either GITHUB_GRAPHQL_TOKEN or the runtime token broker configuration is required.

git 자체는 헬퍼 실패를 무시하고 ~/.gitconfig의 다음 헬퍼(gh auth git-credential)로 폴백하므로 exit 0으로 성공합니다. 호스트에서 워커와 같은 env로 재현:

GIT_TERMINAL_PROMPT=0 GIT_CONFIG_COUNT=1 GIT_CONFIG_KEY_0=credential.helper \
GIT_CONFIG_VALUE_0="!node <cli>/dist/git-credential-helper.js" \
git fetch origin --dry-run; echo exit=$?
# → Either GITHUB_GRAPHQL_TOKEN or the runtime token broker configuration is required.
# → exit=0

발생 빈도(worker.log에 메시지가 있는 런 / 전체 런, 2026-08-24 0.11.0 설치 이후):

프로젝트	트래커	비율
ioa-tracker	linear	19 / 31
anxhome	linear	27 / 48
brute-force-game-v2	github-project	69 / 99

실제 피해

Landing 프리플라이트에서 워커(LLM)가 이 stderr를 "fetch 인증 실패"로 읽고, 승인·CI 모두 통과한 PR을 머지하지 않고 In Review로 반송했습니다. 확인된 사례 2건:

• HJ-company/ioa-tracker DEV-35 / PR repo logs --level filters on a non-existent field and silently returns zero output #386 — 2026-08-28 01:48Z. 워커 코멘트: "git fetch origin이 런타임의 원격 Git 인증 설정 부재로 실패했습니다 … 머지하지 않고 In Review로 반송합니다." 같은 런의 출력에 git rev-list --count HEAD..origin/develop 결과 2가 정상적으로 이어져 있어 fetch는 성공한 상태였습니다.
• HJ-company/anxhome DEV-17 — 동일 사유로 반송.

반면 같은 메시지를 본 다른 런(ioa-tracker DEV-3, 08-25)은 무시하고 정상 머지했습니다. 즉 워커 판단에 따라 갈리는 비결정적 실패입니다.

원인 (dist 0.11.0 기준, 세 가지가 겹침)

1. 헬퍼를 무조건 주입 — createGitCredentialHelperEnvironment()는 githubToken/브로커 설정 유무와 무관하게 GIT_CONFIG_KEY_0=credential.helper를 넣습니다. 설정이 없으면 헬퍼는 resolveGitHubGraphQLToken()에서 throw → stderr 출력 + exit 1.
2. Linear 트래커는 GitHub 토큰을 해석하지 않음 — preflightRepoStartAuth()는 github-project일 때만 resolveGitHubAuth()로 process.env.GITHUB_GRAPHQL_TOKEN을 채우고, linear면 LINEAR_API_KEY만 검사합니다. 워커는 트래커와 무관하게 GitHub에 fetch/push해야 합니다.
3. 해석한 토큰도 워커에 안 넘어감 — buildProjectExecutionEnv()의 INHERITED_ENV_ALLOWLIST(CI, HOME, LANG, LOGNAME, PATH, PWD, SHELL, TERM, TMPDIR, USER)에 GITHUB_GRAPHQL_TOKEN이 없어, 프로젝트 .env에 직접 넣지 않는 한 헬퍼는 항상 토큰 없이 뜹니다. github-project인 brute-force-game-v2에서도 같은 소음이 나는 이유입니다.

현장 우회 (적용 완료)

• 각 프로젝트 .env에 GITHUB_GRAPHQL_TOKEN=$(gh auth token) 추가 → 소음 0건 확인, DEV-35 재랜딩 정상 머지.
• WORKFLOW.md Landing 단계의 fetch를 git fetch origin || { echo FETCH_FAILED; exit 1; }로 바꾸고 "exit code로만 판정, credential helper stderr는 실패 아님"을 명시.

제안 (Phase 1b 병합 전 중간 완화)

헬퍼 제거가 #673 게이트에 묶여 있으니, 그 전에 작은 변경 하나로 헛반송을 막을 수 있습니다 — 다음 중 하나면 충분합니다.

• (a) createGitCredentialHelperEnvironment()에서 토큰·브로커가 모두 없으면 credential.helper 주입을 생략, 또는
• (b) 헬퍼가 설정 부재 시 stderr 없이 exit 0(빈 응답)으로 종료해 git이 조용히 다음 헬퍼로 넘어가게 함.

추가로 preflightRepoStartAuth()가 Linear 트래커에서도 GitHub 토큰을 해석해 워커 env에 전달하면 우회 없이도 헬퍼가 정상 동작합니다. 필요하면 별도 이슈로 분리하겠습니다.