sec-validate

Phase 3 der ellmos-Security-Familie. Vertrag: sec-scan/references/contract.md (Lebenszyklus 2, Severity 3, Regeln 6). Validator: sec-scan/scripts/secfind.py. Haltung: Widerlegen, nicht Bestätigen. Ein Kandidat gilt erst als validated, wenn der Widerlegungsversuch scheitert.

Eingang und Unabhängigkeit

• Eingang: findings.json + coverage.json eines Scans, Kandidaten mit status: candidate (oder eine vom Nutzer genannte id-Auswahl).
• Unabhängiger Prüfer (Vertrag 6.7): bevorzugt anderer Anbieter als provider.name des Scans (Claude <-> Codex). Ohne einen: unabhängiger Subagent der höchsten Modellklasse, ohne die Begründung des Finders vorab zu lesen; im Ergebnis vermerken. Mehrere Anbieter oder Fan-out: erst Kosten schätzen und Nutzer warnen (6.5). Geht Code an einen Fremdanbieter, Egress ansagen (6.6).
• Preflight wie sec-scan Schritt 2 (Eigentum, Lock-Prüfung, fail-closed).

Je Kandidat