ruvnet/ruflo

Выпуск 3.71.4: критические исправления безопасности в browser tools, memory, federation и ruvocal.

• Breaking: browser_open теперь принимает только фиксированный список Chromium-флагов, блокируя произвольные аргументы.
• Breaking: memory export/import ограничены проектной директорией, запрещены симлинки и системные пути.
• Fixed: ruvocal блокирует не-loopback хосты и внешние браузерные источники без MCP_AUTH_TOKEN.
• Fixed: federation BBS проверяет происхождение и подпись объединённых конвертов перед синхронизацией.
• Fixed: x.ruv.io gateway использует доверенный адрес для лимитов, игнорируя поддельный X-Forwarded-For.

Обновление поддержки Claude Code 2.1, оптимизация Leaf-агентов и исправления AutoMemory, daemon и cost-tracker.

• Added: Поддержка Claude Code 2.1.290–2.1.318: исправлена работа headless-воркеров, добавлена опция agentModels и оптимизированы Leaf-агенты.
• Fixed: AutoMemory: исправлено скрытое игнорирование ошибок записи, добавлена команда read и проверка импорта.
• Fixed: Daemon: явная команда stop теперь корректно блокирует автозапуск до следующего start.
• Fixed: Cost-tracker: исправлен двойной подсчет ответов Claude Code.
• Added: Console: улучшено отображение панели над промптом в узких терминалах.

Исправления в embeddings, сессиях, терминале и безопасности (прототипное загрязнение), а также учёт токенов кэша Anthropic.

• Fixed: Исправлена работа embeddings_search с порогом 0 и CLI-параметров базы данных.
• Fixed: Сессии теперь корректно сохраняют и восстанавливаются с учётом флагов компонентов.
• Fixed: Терминал сообщает об ошибке при неизвестном sessionId, а не создаёт новую сессию.
• Breaking: Устранена уязвимость прототипного загрязнения в хранилищах DAA/workflow/claims.
• Fixed: В провайдерах 3.0.1 токены кэша Anthropic теперь учитываются в стоимости (запись 1.25x, чтение 0.1x).

Исправление CI, стабильности MCP, работы с паттернами и утилит миграции в Ruflo v3.71.1.

• Fixed: Поиск паттернов теперь работает в офлайне через substring scan, если не загружается модель Transformers.js.
• Fixed: MCP-сервер больше не блокирует новые клиенты при достижении лимита maxSessions, устаревшие сессии закрываются сразу.
• Fixed: Утилиты ruvector и deployment корректно учитывают флаг --dry-run, не выполняя реальных операций.
• Fixed: Исправлена ошибка при запуске на прерванном обновлении: теперь выводится понятная инструкция по восстановлению.
• Fixed: Исправлен поиск проектов в memory_import_claude, содержащих спецсимволы, и улучшена обработка ошибок инициализации AgentDB.

Выпуск v3.66.2: критические исправления безопасности в токенах, генерации кодов и санитизации строк.

• Fixed: Bearer-токены теперь парсятся за линейное время, устранена уязвимость ReDoS в HTTP и WebSocket.
• Fixed: Исправлена неравномерность распределения цифр в verification-кодах с использованием crypto.randomInt.
• Fixed: Функция sanitizeString теперь надежно блокирует повторную сборку вредоносных протоколов.
• Fixed: IDs сессий terminal_create генерируются через криптографически стойкий crypto.randomBytes.

Исправлена блокировка хранилища памяти и добавлено строгое соблюдение порогов доверия в федерации.

• Fixed: Улучшена обработка ошибок при блокировке хранилища памяти: теперь система корректно сообщает о конфликте процессов, а не о неверном формате файла.
• Breaking: В федерации строго enforced пороговые значения доверия (trust thresholds) для записи, памяти и запуска агентов, что исключает обход политик безопасности.
• Fixed: Команда memory_list теперь возвращает ошибку выполнения запроса, а не пустой список при сбое.
• Added: Выпущены новые версии пакетов: @claude-flow/memory 3.2.0 и @claude-flow/plugin-agent-federation 1.0.4.

Выпущен патч безопасности v3.65.1, устраняющий уязвимость SSRF через DNS в инструменте http_fetch.

• Fixed: Устранена уязвимость SSRF через DNS в инструменте MCP http_fetch, позволявшая обходить фильтрацию частных адресов.
• Fixed: Внедрена проверка всех разрешённых адресов на этапе DNS-запроса, включая все этапы перенаправлений.
• Fixed: Расширен список блокируемых адресов: добавлены IPv6-формы (NAT64, 6to4, multicast), localhost и зарезервированные диапазоны.

Исправлена утечка токенов в github_repo_analyze, устранены ошибки миграции и анализа репозиториев с точкой в имени.

• Fixed: github_repo_analyze больше не возвращает учетные данные в URL удаленного репозитория, что предотвращает утечку токенов.
• Fixed: Исправлена работа флагов --dry-run для команд migrate: теперь они корректно показывают превью, не перезаписывая конфигурацию.
• Fixed: github_repo_analyze корректно обрабатывает имена репозиториев, содержащие точку (например, vercel/next.js).
• Fixed: hooks_worker-detect с autoDispatch теперь помечает записи как synthetic, если исполнитель не запускался.
• Запись agentic-qe-fleet в маркетплейсе зафиксирована на версии Agentic QE v3.15.17.

Исправлено падение регистрации контроллеров памяти и синхронизация поиска с локальным ReasoningBank в agentdb.

• Fixed: Добавлен метод ControllerRegistry.set() в @claude-flow/memory, устраняющий молчаливое отклонение регистрации контроллеров CLI.
• Fixed: Локальный ReasoningBank теперь корректно регистрируется, когда недоступен ReasoningBank из agentdb.
• Fixed: Исправлена рассинхронизация между pattern-store и pattern-search: поиск теперь использует единый бэкенд и падает в SQL-пространство при отсутствии совпадений.

Исправлены ошибки в agent_spawn, coordination_sync, agent_pool и других инструментах, улучшена валидация.

• Fixed: agent_spawn теперь принимает type как алиас для agentType, при этом agentType имеет приоритет.
• Fixed: coordination_sync trigger теперь сразу отказывает при ошибке, а не ждет 50 мс.
• Fixed: agent_pool fill реализован корректно, вместо возврата ошибки Unknown action.
• Fixed: hooks_build-agents пишет данные в проект, валидирует outputDir и не выдает ложную статистику.
• Fixed: performance_metrics теперь сообщает реальную задержку и пропускную способность, а не фиксированные значения.

Исправлена работа с алертами Project Anatole в консоли, устранены ошибки в claims_rebalance и настройке зависимостей.

• Fixed: В ruflo-console 0.49.7 восстановлена возможность очистки алертов Project Anatole через консоль; теперь команда `/protector` отправляется без ожидания внутри tool call, а подтверждение применяется посл
• Fixed: Исправлена логика claims_rebalance: больше не передаётся больше заявок первому незанятому агенту, чем позволяет его лимит.
• Fixed: Пакет @claude-flow/aidefence объявлен как опциональная зависимость CLI.
• Fixed: Навык hooks-automation теперь корректно использует команду hooks и реальные имена MCP-инструментов.

Исправлена безопасность редиректов в http_fetch, устранены ошибки в SONA EWC++, task_list и других компонентах ruflo v3.63.5.

• Breaking: http_fetch: добавлена строгая валидация всех перенаправлений, защита от редиректов на локальные адреса и метаданные, лимит 10 шагов, сброс чувствительных заголовков.
• Fixed: SONA EWC++: исправлено сохранение важности Фишера и якорных значений в SONAManager после каждого цикла обучения.
• Fixed: task_list: фильтр по статусу теперь корректно работает с алиасами статусов.
• Fixed: Workflow: шаги условий получили доступ к выводам предыдущих шагов через синтаксис step-N.output.
• Fixed: ruflo-console: исправлен подсчёт отменённых задач в task_summary и ожидающих воркеров в hooks_worker-status; улучшена работа doctor на Windows.

Патч безопасности: добавлена обязательная аутентификация для MCP и улучшена проверка доверия в федерации.

• Breaking: HTTP и WebSocket клиенты теперь обязаны передавать токен аутентификации, иначе соединение будет отклонено.
• Breaking: Для федерации узлов теперь требуется явная настройка trustedPeerKeys; самоподписанные манифесты больше не обеспечивают доверие.
• Fixed: Исправлена уязвимость: файлы в очереди демона больше не могут обходить контроль супервизора.
• Fixed: Устранена возможность выхода журнала комнаты за пределы базового пути при использовании символа '..' в названии.

Выпуск 3.63.3: критические исправления безопасности для AI-воркеров, MCP и плагина федерации агентов.

• Breaking: Конфигурация проекта больше не может включать AI-воркеры; настройка daemon.aiWorkers.enabled теперь игнорируется в файлах проекта.
• Fixed: @claude-flow/mcp 3.1.3: добавлена защита от несанкционированных запросов по HTTP и WebSocket без токена.
• Fixed: @claude-flow/plugin-agent-federation 1.0.2: отказы в политиках теперь окончательны даже в режимах legacy и observe.
• Fixed: Аудиторский воркер больше не сканирует файлы .env* в проекте.

Исправлена уязвимость SSRF для IPv6 в http_fetch и решена проблема с длинной командной строкой в ruflo-console.

• Fixed: http_fetch теперь корректно обрабатывает IPv6-литералы: скобки удаляются перед проверкой, что позволяет блокировать частные адреса (fc00::/7, fe80::/10) и IPv4-маппированные формы (например, ::ffff:12
• Fixed: ruflo-console 0.49.4: план миссии теперь загружается из файла, что устраняет ошибку «command line is too long» в Windows.
• Fixed: В CI добавлены проверки импорта и манифеста для синхронизации вспомогательных пакетов.

Исправления в ruflo-console, flywheel, federation_bbs_watch, ruflo-mods и внутренней логике Swarm.

• Fixed: ruflo-console 0.49.3: исправлено определение плагинов, теперь побеждает запись с самым длинным projectPath; добавлены фиксы путей и автопилота для Windows.
• Fixed: flywheel run: на Windows отключена синхронизация каталога, что позволяет успешно выполнять коммиты.
• Fixed: federation_bbs_watch: исправлена прокрутка страниц вперёд начиная с sinceEnvelopeId.
• Fixed: ruflo-agent 0.4.1: управляемые агенты теперь блокируют ресурсы с идентификаторами . и .., а защита учитывает общие обёртки аргументов.
• Fixed: ruflo-mods 0.7.1: восстановлена загрузка модулей.
• Fixed: Swarm (источник): топология лидеров теперь соединяет только с лидером, консенсус ожидает событий вместо опроса, а повторные попытки освобождают старые слоты домена.

Выпуск v3.61.1: добавлена поддержка внешних папок в ruflo-console, изменена логика CI для плагинов.

• Added: ruflo-console 0.48.0: ruRE теперь может читать папки вне проекта через новую опцию rureFolders.
• Added: Добавлены проверки безопасности для абсолютных путей, ссылок и специальных символов в новых папках.
• Fixed: CI: запросы на слияние плагинов теперь отклоняются, если версия в plugin.json не обновлена при изменении файлов.
• Изменения в @claude-flow/plugins не входят в этот релиз и не являются зависимостью CLI.

Исправлена ошибка удаления конфигурации при очистке и добавлена поддержка Windows для ruflo-console.

• Fixed: ruflo cleanup --force --keep-config больше не удаляет файлы конфигурации из-за рассинхрона имён флагов.
• Fixed: ruflo-console 0.45.1: исправлена работа ADR, сохранения и экспорта на Windows за счёт использования локальной файловой системы.
• Fixed: ruflo-console: автопилот теперь корректно обрабатывает Windows-пути (C:, UNC) с учётом регистра и разделителей.

Исправлена конфигурация init: удалён неиспользуемый ключ memory.persistPath из config.yaml.

• Fixed: Исправлена генерация init: удалён игнорируемый рантаймом ключ memory.persistPath из .claude-flow/config.yaml.
• Added: Добавлен комментарий, указывающий на реальный ключ JSON-конфига для управления хранилищем.
• Все проверки версий и сборки прошли успешно; недетерминированный сбой теста подтверждён как несвязанный с релизом.