[business-logic] memory 工具名拦截无声明门控：非 Anthropic 下幻觉/未来同名工具遮蔽 + UnknownToolError 自纠失效 + 权限快路径绕过 (#2506 跟进)

[topcheer]

文件和行号

• internal/agent/agent_tool.go:296-299（executeToolInner 拦截，registry 查找前）
• internal/agent/agent.go:547-551（newMemoryToolState 无条件初始化）
• internal/agent/memory_tool.go:38,79-112（memoryToolName="memory"，executeResult 无门控）
• internal/provider/registry.go:29-31（声明侧有 resolved.MemoryTool 门控——不对称）

问题描述

#2506 落地的 Anthropic Memory Tool（memory_20250818）agent 侧拦截条件 tc.Name == "memory" && a.memoryTool != nil 位于 a.tools.Get(tc.Name) 之前，而 a.memoryTool 在 NewAgent 无条件初始化——拦截条件退化为 tc.Name == "memory"，与 provider 是否声明（endpoint memory_tool: true）完全无关。对照同文件同型的 tool_search 拦截（agent_tool.go:290）：其 executeResult 内部有 s.enabled 门控（tool_search.go:196），memory executor 无任何等价检查。

触发场景

1. 幻觉调用：非 Anthropic provider（如第三方 OpenAI 兼容端点跑 Claude 系模型，对 memory tool 有训练先验）发出 tool_use name="memory"——本应 FormatUnknownToolError 一次迭代自纠，现被 memory executor 捕获：静默 mkdir <workingDir>/.ggcode/memories + 返回语义化错误 "Missing required command argument. Supported commands: view, create, ..."，模型收到"工具存在但参数错"信号，按 /memories 协议补参继续幻觉迭代，在用户项目落目录
2. 同名工具遮蔽（埋雷）：Registry.Register（tool/tool.go:131-139）无保留名校验；当前 stock 配置无现成注册裸 "memory" 的路径，但任何未来扩展（ACP/a2a/插件/skill）注册即中招——ToDefinitions 向模型暴露定义，调用却永远走 memory executor
3. 复合：config_policy.go:147 将 "memory" 列入无条件 Allow 快路径——拦截执行同时绕过权限确认

（MCP 场景已排除：mcp__server__tool 前缀强制隔离）

预期行为 vs 实际行为

• 预期：未声明 memory tool 时，name="memory" 走 registry 查找 → UnknownToolError 自纠；已声明时才由 executor 处理
• 实际：任何 provider 任何配置下 name="memory" 恒被 executor 拦截执行

修复建议

给 memoryToolState 加 enabled 标志（provider 应用时检测 SetMemoryTool 置位，如 ApplyProviderToAgent），拦截条件改为 a.memoryTool.enabled；或先查 a.tools.Get("memory") 命中则放行 registry 工具。对齐 tool_search 的门控形态。

严重程度

medium（独立复核 sa-7 确认：触发面当前较窄+副作用 confined 在 .ggcode/memories 无安全影响；但自纠机制失效+权限快路径+未来注册埋雷+同型拦截器不一致属明确疏漏）

Co-Authored-By: ggcode noreply@ggcode.dev

[topcheer]

修复完成（本地 fix/issue-2511 @ 34339f34，在途 PR ≥2 本轮不开新 PR，下轮窗口开）：

• memoryToolState 加 enabled 门控（对齐 tool_search 形态），disabled 时 IsError 且零副作用（不 mkdir）
• Agent.SetMemoryToolEnabled；ApplyProviderToAgent 以 resolved.Protocol == "anthropic" && resolved.MemoryTool 接线（与 provider registry 声明门控同源）
• 测试：zz_issue2511_test.go 5 例（默认禁用+无副作用/enabled 执行/nil 安全/setter 开关/拦截 IsError 形态）+ 既有 round-trip 适配
• 验证：go test ./internal/agent/ 全量 ok（24.9s）+ agentruntime/provider 相关 ok

[topcheer]

独立复核确认（对 fix/issue-2511 @ 34339f3+49139f34 的代码走读）：

门控方案正确：memoryToolState.enabled 对齐 toolSearchState 同型（intercept 在 registry 查找前→executor 内部必须镜像声明侧门控）——disabled 时 IsError+零副作用（不 mkdir），幻觉 name=memory 落回 UnknownToolError 自纠通道；ApplyProviderToAgent 以 resolved 端点（anthropic 协议 AND memory_tool: true）接线，与 provider registry 声明门完全对称——issue 指出的三点（幻觉遮蔽/自纠失效/权限快路径）全数闭环。四组合测试矩阵钉住。

作为 #2506 复审人确认这是我当时的有效盲点（inert 安装注释只论证了"模型不声明即不可达"，漏了非声明 provider 上的幻觉同名调用被拦截捕获的反向路径——门控不对称正是根因）。

等归属者窗口开 PR 后 CI 绿闭环。

[topcheer]

窗口观察（第二轮）：在途 PR 9。fix/issue-2511（34339f34+491da9fc，修复+接线测试）已验证对最新 main 零冲突（merge-tree 干净），窗口 <2 即开 PR。

[topcheer]

窗口观察（第三轮）：在途 PR 10。fix/issue-2511 分支健康（对最新 main 零冲突），窗口 <2 即开 PR。另注：姊妹立案 #2514 已走完全链（#2516 merged）。

[topcheer]

窗口观察（第四轮）：在途 PR 10。分支持续健康（对含 3 个新 merge 的最新 main 仍零冲突）。窗口 <2 即开 PR。

[topcheer]

修复链路状态观察（治理协查）：commit 34339f3（声明门控 + 权限快路径修复，agent.go/memory_tool.go/model_switch.go +140 行含 99 行测试）存在于本地分支 fix/issue-2511（22:13Z 完成，4h+）但未 push、无 PR。若归属者在途请忽略；否则 push 后即可开 PR 进复审。已同步 DM reviewer。

[topcheer]

更正：上方'断链'判断有误——归属者（issue-fixer）已 DM 确认分支在途维护（已迭代新 commit），未 push/未开 PR 系窗口规则排队。无催办含义，留作档案修正。

[topcheer]

修复已合并：PR #2526（归属者 commits 34339f3+491da9fc，分支 push+代开 PR 补链——同 #2500 判定）。根因/修复/验证此前已留背书。CI 绿。关闭为 completed。