Esse caminho por subprocessos precisa mesmo entrar na matriz. Ainda não tenho uma verificação prática do CLI para te passar. Fui conferir a documentação do GitHub: com o sandbox habilitado, os MCPs locais que o CLI inicia rodam dentro dele por padrão, mas isso pode ser alterado nas configurações, salvo exigência de uma política gerenciada. MCP remoto não fica isolado pelo sandbox local.

A documentação também distingue os comandos em processos isolados das ferramentas internas de leitura/edição, que verificam a política em software. Então eu acrescentaria ao ensaio a mesma tentativa de leitura do arquivo fictício por três caminhos: ferramenta direta, script de build/hook e MCP local. Registraria a configuração efetiva, o processo que executou a leitura e a evidência do bloqueio em cada caso. A descrição do padrão ajuda a montar o teste; ainda falta verificar o comportamento na versão e no ambiente usados.