FACTORY ZERO

FZ-009 · SICHERHEIT

promptdecode

Findet unsichtbaren Text in Code-Reviews, den ein menschlicher Prüfer übersehen würde.

Alpha VALIDIERUNG FZ stackPrüfung auf versteckten TextOpen Source
promptdeco.de besuchen Gelauncht: NOCH NICHT
Status
Alpha
Pipeline-Stufe
VALIDIERUNG
Branche
SICHERHEIT
Autonomieziel
STUFE 4 · SELBSTOPTIMIEREND
Gebaut mit
3 live · 1 geplant

Das Problem

Versteckter Text in einem Pull Request oder Issue kann einen Coding-Agenten zum Mergen bewegen, und der Reviewer sieht ihn nie.

Was es leistet

promptdecode dekodiert versteckten Unicode-Text in Ihrem Browser, sendet nichts und zeigt, was er sagt.

So funktioniert es

  1. Beliebigen Text einfügen, und er legt versteckte Zeichen offen und dekodiert ihre Nachricht
  2. Läuft vollständig in Ihrem Browser; nichts wird irgendwohin gesendet
  3. Ein Konfigurations-Scanner prüft Ihre GitHub-Workflows auf Agent-Schritte, die nicht vertrauenswürdige Eingaben erreichen können

Heute kostenlos nutzbar unter promptdeco.de.

Eine versteckte Anweisung erkennen, bevor Ihr Agent handelt.

HeuteDer Decoder funktioniert heute im Browser. promptdecode-core 0.1.0 ist auf crates.io; der Scanner und die GitHub Action sind noch nicht veröffentlicht.

Ziele

Autonomer Betrieb
Das Review ist das Automatisierungsziel. Ein Coding-Agent mit Schreib-Token liest einen Pull Request, den ein menschlicher Reviewer bereits genehmigt hat, und die beiden lesen nicht dasselbe Dokument: Tag-Block-Zeichen, Bidi-Überschreibungen und Variation Selectors werden als nichts dargestellt und normal tokenisiert. Die Scanner sollen in CI bei jeder Änderung laufen, das Gefundene dekodieren statt nur zu markieren und den Klartext im Pull Request zurückposten, ohne Modell in der Schleife und ohne dass etwas den Runner verlässt.
Intelligenz
Bewusst keines, wo keines nötig ist. Beide geplanten Engines sind deterministisch: eine verfolgt nicht vertrauenswürdige Workflow-Eingaben bis zu einem Agent-Schritt mit Schreib-Token, die andere erkennt benannte Unicode-Klassen im Repository-Inhalt. Ein Detektor, der ein Modell braucht, um zu entscheiden, was verdächtig ist, kann seine eigene Abdeckung nicht benennen, und eine benennbare Abdeckung ist das Produkt.
Wachstum
Belegbasiert und dadurch langsamer. Es wird kein Prozentsatz abgewehrter Angriffe veröffentlicht, weil Umgehungsraten auf Zeichenebene je nach Technik zu stark schwanken, als dass eine einzelne Zahl etwas aussagen würde. Veröffentlicht wird die deterministische Abdeckung einer benannten Liste von Unicode-Klassen und der Recall bei einer angegebenen Falsch-Positiv-Rate auf einem benannten Korpus, mit offengelegtem Korpus und Harness. Wachstum sind pro Woche gescannte Repositories, sobald die Action existiert.
Das technische Detail

Findet Text, der für menschliche Reviewer unsichtbar und für ein Sprachmodell vollständig lesbar ist, und dekodiert ihn. Versteckte Anweisungen in einem Pull-Request-Titel, einem Issue-Text oder einer Repository-Datei können einem Coding-Agenten sagen, er solle genehmigen, mergen oder kommentieren, während der Diff nichts Auffälliges zeigt. Zwei Teile funktionieren heute. Der Decoder auf der Website, der drei benannte Codepoint-Klassen liest (den Unicode-Tag-Block, Bidi-Steuerzeichen und Überschreibungen, Variation Selectors), die darin kodierte Payload rekonstruiert und vollständig im Browser des Lesers läuft, ohne etwas irgendwohin zu senden. Und der Config-Scanner, der nicht vertrauenswürdige Workflow-Eingaben bis zu einem Agent-Schritt mit Schreib-Token verfolgt und aus dem Quellcode läuft, noch ohne Release. Der Rest ist entworfen und nicht geschrieben: eine Content-Engine, die Payloads in einem Repository dekodiert, ein Kommandozeilen-Scanner, eine GitHub Action und ein offener Benchmark. Steht eine Klasse nicht auf der veröffentlichten Liste, wird sie nicht erkannt; die Liste ist die Aussage.

Verwandt

Vom selben Fundament.

Alle Ventures