ds-agent: --cwd izolasyonu deliniyor — worker mutlak yolla ANA CHECKOUT'u düzenliyor (aynı günde 2 kez)

[rbinar]

Sorun

ds-agent --cwd /tmp/wt-X ile başlatılan DeepSeek worker'ı, brief'te "sadece worktree" dense bile dosyayı MUTLAK yolla ana repo checkout'unda (/Users/rbinar/Documents/Repos/...) bulup ORAYA yazabiliyor. 2026-07-06'da aynı oturumda 2 kez yaşandı (blinkfin-android ChatHistoryHydrator.kt ve ChatViewModel.kt). Babysitter git status kontrolüyle yakalayıp revert etti; yakalanmasa ana checkout kirlenecekti.

meta.json cwd'yi doğru gösteriyor (/tmp/wt-X) ama bu yalnız başlangıç dizini — dosya erişim sınırı yok.

Repro

1. git worktree add --detach /tmp/wt-X origin/main
2. ds-agent --cwd /tmp/wt-X + "X dosyasını düzenle" brief'i (dosya adı repo genelinde tekil)
3. Worker bazen grep/find'ı ana checkout'ta çalıştırıp mutlak yolu oradan çözüyor → edit ana checkout'a gidiyor

Geçici çözüm (bugün kullanılan)

• Brief'e büyük harfle "SADECE /tmp/wt-X altına dokun; /Users/... yolunu ASLA kullanma; relative path kullan" yazmak riski azaltıyor ama SIFIRLAMIYOR (2. olay bu talimat VARKEN oldu; ancak "relative path kullan" eklenince geçti).
• Babysitter'a zorunlu adım: iş bitince ana checkout'ta git status --short sızıntı kontrolü.

Öneri

1. ds-worktree-run.sh / ds-agent'a post-run guard: çalışma bitiminde ana repo checkout'u dirty ise FAIL + diff'i patch olarak kaydet + otomatik revert seçeneği.
2. Mümkünse worker sandbox'ına dosya-yazma path allowlist'i (yalnız cwd altı).
3. Ek: ds-worktree-run.sh orkestratör zaten worktree vermişken kendi /tmp/ds-wt-* worktree'sini de açıyor (boş kalıp artık bırakıyor — bugün issue-954-chat-p3 branch'i + 2 stray worktree temizlendi). Verilen cwd bir worktree ise yenisini açmama bayrağı eklenebilir.

[rbinar]

Fixed in a5ab7b7 — added ds-worktree-run.sh --post-check <repo-path>: after a worker run, this checks the main checkout for leaked changes; if dirty, it saves a patch file and fails loudly instead of relying on the babysitter to remember a manual git status check. Root cause (the worker resolving absolute paths back into the main checkout) isn't eliminated — this is a safety-net guard, not a sandbox fix. Verified via a real simulated-leak scenario (dirtied the main checkout, ran --post-check, confirmed FAIL + patch file + no destructive cleanup) plus full test suite (70/70).

[rbinar]

Recurrence 2026-07-06 (via ds-worktree-run.sh, not raw ds-agent --cwd)

Same isolation break, this time through ds-worktree-run.sh (which internally calls claude-ds-stream), not the bare ds-agent --cwd path from the original repro.

Repro:

1. ds-worktree-run.sh <repo-path> fix/2123-2144-task-email <brief> on blinkbrosai-services-py (worktree created at /tmp/ds-wt-j9Cacf).
2. Brief targeted agent_api/app/services/email_service.py and agent_api/app/services/task_executor_service.py.
3. Worker's own progress.log shows every Read/Edit/Bash tool call using the ABSOLUTE main-checkout path (/Users/rbinar/Documents/.../blinkbrosai-services-py/agent_api/...), never the worktree path (/tmp/ds-wt-j9Cacf/...), despite status.json/meta.json correctly reporting cwd: /tmp/ds-wt-j9Cacf.
4. Result: git diff in the worktree was EMPTY (worker self-reported "2 files changed, 69 insertions, 18 deletions" — a fully plausible, correct-looking summary — but the diff didn't exist there). git status --short on the main checkout showed the same 2 files modified, uncommitted, sitting directly on main.
5. Babysitter (ds-runner) caught it only because mode-B verification mandates checking git status/git diff in the worktree before trusting the worker's self-report; if the worker's diffstat had been taken at face value, main would have been silently left dirty.

Recovery used (manual, by babysitter):

• git diff -- <2 files> on main → saved as patch
• git apply the patch into the worktree
• git restore -- <2 files> on main to bring it back to clean
• Verified (py_compile + manual smoke test) and committed/pushed/PR'd from the worktree as normal

This confirms the 2026-07-06 workaround ("relative path kullan" in the brief) is NOT sufficient and the root cause (no actual path allowlist / sandbox — worker can resolve and write to any absolute path reachable from its session, worktree cwd is advisory only) is unfixed. Reopening since the underlying issue clearly recurred with a different entry point (ds-worktree-run.sh script, not raw ds-agent --cwd).

Suggest bumping priority on the post-run guard proposal (item 1 in the original issue): ds-worktree-run.sh should itself run git status --short in the caller-provided main repo path immediately after the worker session ends and FAIL loudly (not just leave it to the babysitter to notice) if that checkout is dirty.

[rbinar]

Yeni tekrar (2026-07-07, ds-worktree-run.sh v3.23.0, repo=blinkfin-ui, issue blinkbrosai/blinkbrosai-services-py#2122 için delegasyon):

• ds-worktree-run.sh <repo> feat/2122-alltime-totals brief.txt çalıştırıldı, claude-ds-stream --cwd /tmp/ds-wt-6DMx0l ... ile.
• Worker "Build başarılı ✓" diyerek 2 dosyalık diff'i (services/adminApi.ts, app/admin/dashboard/page.tsx) raporladı, "Commit/push yok" dedi.
• Ama git -C /tmp/ds-wt-6DMx0l diff BOŞTU. Değişiklikler gerçekte ANA CHECKOUT'ta (/Users/rbinar/Documents/Repos/.../blinkfin-ui, branch main) uncommitted olarak duruyordu.
• Ek gözlem (issue'daki 3. öneriyle örtüşüyor): ana checkout içinde .claude/worktrees/feat+2122-alltime-totals/ adında TAM bir nested git worktree oluşmuştu (kendi branch'i worktree-feat+2122-alltime-totals, git worktree list'te görünüyor) — ama değişiklikler ORADA da yoktu, doğrudan ana checkout'un working tree'sine yazılmış.

Babysitter (ben) git status --short ile ana checkout'u kontrol edip yakaladım (brief'te "main checkout'a dokunma" açık talimatı vardı). Workaround: git diff -- <2 dosya> > patch, doğru worktree'ye git apply patch, sonra ana checkout'ta git checkout -- <2 dosya> ile temizledim, nested worktree'yi git worktree remove --force + git worktree prune + git branch -D worktree-feat+2122-alltime-totals ile söktüm.

Bu, issue'daki "post-run guard: ana checkout dirty ise FAIL + diff'i patch olarak kaydet" önerisinin hâlâ gerekli olduğunu doğruluyor — babysitter'ın manuel git status kontrolü olmasa ana checkout kirlenecekti.