# Innholdsgate og ærlighet — plan fram til demoen 13. august

> **Utløser.** Demoen viser «last ned → kjør». Sier vi, eller antyder vi, at man kan peke systemet
> mot sine egne kilder og bygge en kunnskapsbase, påstår vi noe koden ikke bærer. Det er A5-brudd i
> muntlig form — koden får ikke påstå mer enn den gjør, og det gjelder også presentatøren.
>
> **Kjører parallelt med demo-uke-planen** (`2026-08-06-demo-uke-plan.md`), ikke i stedet for den.
> Den planen eier kjørestien og fryser den onsdag 12. Denne eier Door A, som ikke er på kjørestien.

## 0. Målte premisser (verifisert 2026-08-09, ikke gjenbrukt fra eldre dokument)

| Påstand | Målt | Kommando |
|---|---|---|
| Guarden er «v0.2 alpha» | **FEIL** — `v0.3.4`, syv publiserte tagger | `git -C ~/repos/llm-ingestion-pipeline-security tag` |
| Guarden er tung å adoptere | **FEIL** — `dependencies = []`, stdlib-only | `pyproject.toml` i guard-repoet |
| Vår okf-pin drar inn guarden | **NEI** — `v0.3.2` har `dependencies = []` | `git show v0.3.2:pyproject.toml` |
| Vi må vente på release-nummer-striden | **NEI** — den gjelder utgivelsen *etter* `v0.3.4` | guard-repoets STATE |
| Door A er på demoens kjøresti | **NEI** — `simulation.py` importerer ikke `ingest` | `grep "^from portfolio_optimiser" simulation.py` |
| Ingesten skanner innhold i dag | **NEI** — `ingest.py:20-25` sier det selv | modul-docstring |

Den første raden er grunnen til at denne planen finnes: inkluderingsplanen fra 16. juli
(`2026-07-16-llm-ingestion-guard-inclusion.md`) sier «v0.2 (alpha)», og det premisset gjorde
adopsjonen urimelig risikabel. Målt er den tre mindre-versjoner nyere og uten avhengigheter.
**Den planen skal merkes som utdatert på dette punktet, ikke slettes.**

## 1. De tre påstandene, presist — og hvilke som kan lukkes

Formuleringen «tre ting som ikke holder» var upresis. Målt er de:

| # | Påstand | Status | Til torsdag? |
|---|---|---|---|
| P1 | Bundelen i demoen ble laget av pipelinen | **Nei** — den er håndkuratert i commons | **Ærlighet.** Kan ikke bygges bort |
| P2 | Ingesten skanner innhold før skriving | **Nei** — `materialize` skriver det den får | **JA — bygges** |
| P3 | Det finnes en generisk bundle-fabrikk (`okf-toolkit`, T0) | **Nei** — eget repo, finnes ikke, utsatt ved O1 | **Ærlighet.** Nytt repo på fire dager er utelukket |

**To av tre lukkes med kode, én med en setning.** Å forsøke P3 før torsdag ville brutt scope-vaktet
(O1 er en tatt beslutning) og satt demoen i spill for en gevinst ingen tilhører etterspør.

## 2. To spor, med vilje adskilt

**Spor A — demoen.** Eies av demo-uke-planen. Fryses onsdag 12. Rører ikke `ingest.py`.
**Spor B — innholdsgaten.** Denne planen. Rører KUN `ingest.py` + `pyproject.toml` + ny test.

Adskillelsen er ikke kosmetisk: `simulation.py` importerer ikke `ingest` (målt), så Spor B kan
lande etter frysen uten å røre det som fryses. Faller Spor B, står demoen uendret — den mister kun
retten til å si at gaten finnes, som er nøyaktig statusen i dag.

## 3. Dagsplan

**Søndag 9. / mandag 10. — Spor B, byggingen.**
Wire `llm_ingestion_guard` inn i `ingest.materialize` (`ingest.py:167`), som er repoets ENE
skrivepunkt på Door A. Fire beslutninger må tas, ikke antas — de er listet i §4.

**Tirsdag 11. — GO/NO-GO på commons (Spor A, uendret).**
Spor B rører ikke commons; de to konkurrerer ikke om samme fil.

**Onsdag 12. — generalprøve + frys (Spor A).**
Spor B skal være committet FØR frysen hvis den skal nevnes i demoen, men den er ikke en
frys-betingelse. Er den ikke ferdig: si status som den er, ikke som den var planlagt.

**Torsdag 13. — demo.** Ærlighets-avsnittet leses opp som skrevet i §5.

## 4. Byggingen — fire beslutninger som må måles, ikke antas

1. **Hvilken policy-preset?** Guarden eksporterer `PRESET_TRUSTED_SOURCE` og `PRESET_USER_UPLOAD`.
   Door A henter fra eksterne kilder oppgitt i et manifest — det er ikke det samme som en fil en
   bruker laster opp, og ikke det samme som en kilde vi eier. **Les begge presetene i installerte
   bytes før du velger.** Feil preset gir enten en gate som slipper alt gjennom eller en som gjør
   ingest ubrukelig.
2. **Fail-closed eller flagg-og-skriv?** Repoets presedens er entydig — `promote_verdict` er
   fail-closed, `write_concept_file` validerer og reparerer aldri. **Forslag: avvist dokument
   skrives IKKE**, og `materialize` raiser en typet feil på linje med `IngestStampError`. Motargument
   som må avvises eksplisitt før valget: en bundle der ett av femti dokumenter avvises blir en halv
   bundle. Avgjør om avvisning er per dokument eller per bundle.
3. **Hvor havner guardens `Report`?** Provenance er en invariant her. Funnene skal ikke kastes —
   de hører i `ingest_manifest`, ved siden av eierskaps-stempelet. Avgjør felt-navn og form.
4. **`mypy --strict` over sømmen.** Guarden shipper ingen `py.typed`, så symbolene ankommer som
   `Any`. okf løser det med en `[[tool.mypy.overrides]]`-blokk (`ignore_missing_imports = true`) OG
   en adapter som koerserer hver verdi til konkret type. **Kopier begge deler** — kun overriden ville
   gjort `--strict` meningsløs på vår side av sømmen.

**Avhengigheten pinnes som okf gjør det**, git-kilde + tagg:
`llm-ingestion-guard = { git = "https://git.fromaitochitta.com/open/llm-ingestion-pipeline-security.git", rev = "v0.3.4" }`.
Aldri en flytende ref på en sikkerhetskomponent.

**Load-bearing-krav (ufravikelig).** En test som bare er grønn beviser ingenting. Testen skal:
- mate `materialize` et fikstur-dokument med kjent injeksjons-innhold, og kreve at det IKKE skrives;
- ha en kontroll: et rent dokument som skrives uendret (ellers kan ikke testen skille «gaten virker»
  fra «ingenting skrives»);
- måles RØD ved minst tre mutasjoner: detach gate-kallet · gjør avvisningen til en advarsel ·
  bytt til en preset som slipper alt gjennom.
- Måles mot HELE suiten, med restaurering fra scratchpad + `shasum -c`.

## 5. Ærlighets-avsnittet — teksten som faktisk sies på scenen

Erstatter ingenting i demo-uke-planens §1; **kommer i tillegg**, og leses opp:

> «To ting om innholdet dere ser. For det første: denne kunnskapsbasen er laget for hånd, ikke
> produsert av systemet. Det finnes en ingest-vei som henter eksterne kilder inn i formatet, men
> eksempelet her gikk ikke gjennom den, og den generiske fabrikken som skulle laget slike baser er
> ikke bygget — den er bevisst utsatt.
> For det andre, om sikkerhet: [HVIS SPOR B ER LANDET] ingest-veien skanner nå innholdet før det
> skrives, med en egen sikkerhetskomponent, slik at forgiftet kildeinnhold ikke havner i basen.
> [HVIS IKKE] ingest-veien skriver i dag det den får, uten innholds-skanning. Gaten er planlagt og
> komponenten finnes, men den er ikke koblet inn ennå. Peker dere dette mot upålitelige kilder i
> dag, er det deres ansvar, ikke systemets.»

De to variantene er skrevet på forhånd med vilje: valget mellom dem er en **observasjon** onsdag, ikke
en vurdering torsdag morgen.

## 6. Verifisering — konkrete kriterier

1. `uv sync` grønn med guarden som deklarert dep; `uv run python -c "import llm_ingestion_guard as g; print(g.__version__)"` → `0.3.4`.
2. Ny load-bearing-test grønn; **tre mutasjoner målt røde** mot hele suiten, med kontroll.
3. `uv run pytest -q` grønn — og **antallet skal ha økt**, ikke bare være grønt.
4. `uv run ruff check .` + `uv run mypy src` rene, med `--strict` fortsatt meningsfull over sømmen
   (adapter, ikke bare override).
5. **Demoens kjøresti byte-uendret:** `uv run python -m portfolio_optimiser.simulation` gir fortsatt
   åtte merkede steg og identisk stdout over to kjøringer. Dette er Spor B's viktigste kriterium —
   det beviser at gaten ikke lekket inn i det som fryses.
6. `git diff --stat` på `shared/examples/` → tomt. Goldenene er load-bearing.

## 7. Hva denne planen IKKE gjør

- **Bygger ikke `okf-toolkit` (T0/D-G).** O1 står. Håndteres av §5.
- **Adopterer ikke okf `v0.4.0+`.** Vi står på `v0.3.2` gjennom demoen; v0.4.0+ gjør guarden til
  hard runtime-dep, og den koblingen tas etter demoen, ikke før.
- **Rører ikke commons.** Den har sin egen frist 11. august og sin egen økt.
- **Rører ikke `docs/presentasjon-portfolio-optimiser.html`** — eies av en annen sesjon.
- **Wirer ikke guarden på bundle-LESE-stien.** Gaten sitter ved skriving (Door A). En bundle som
  allerede ligger i repoet er kuratert av et menneske; å skanne den ved lesing er en annen
  beslutning med en annen begrunnelse, og den er ikke tatt.

## 8. Risiko

| Risiko | Utslag | Tiltak |
|---|---|---|
| Preset-valget viser seg feil under bygging | Gate som slipper alt, eller blokkerer alt | §4.1: les begge i installerte bytes FØR valg; testen har både positiv og kontroll |
| Guarden avviser demo-bundelen ved en feil | Panikk onsdag | Gaten sitter kun på Door A; demo-bundelen leses, ikke ingestes. Kriterium 5 fanger lekkasje |
| Spor B tar lengre tid enn ventet | Ett løfte mindre i demoen | §5 har ferdigskrevet NEI-variant; ingen improvisasjon på scenen |
| `mypy --strict` blir meningsløs over sømmen | Stille typetap | §4.4: adapter OG override, som okf gjorde |