FACTORY ZERO

FZ-009 · SÉCURITÉ

promptdecode

Repère le texte invisible dans les revues de code qu’un relecteur humain manquerait.

Alpha VALIDATION FZ stackFiltrage du texte cachéOpen source
Visiter promptdeco.de Lancé : PAS ENCORE
Statut
Alpha
Étape du pipeline
VALIDATION
Secteur
SÉCURITÉ
Cible d’autonomie
NIVEAU 4 · AUTO-OPTIMISANT
Construit avec
3 en ligne · 1 prévu

Le problème

Un texte caché dans une pull request ou une issue peut dire à un agent de code de fusionner, sans que le relecteur le voie jamais.

Ce qu’il fait

promptdecode décode le texte Unicode caché dans votre navigateur, n’envoie rien et montre ce qu’il dit.

Comment ça marche

  1. Collez n’importe quel texte : il révèle les caractères cachés et décode leur message
  2. Fonctionne entièrement dans votre navigateur ; rien n’est envoyé nulle part
  3. Un scanner de configuration vérifie vos workflows GitHub à la recherche d’étapes d’agent accessibles à une entrée non fiable

Gratuit dès aujourd’hui sur promptdeco.de.

Repérez une instruction cachée avant que votre agent n’agisse.

Aujourd’huiLe décodeur fonctionne déjà dans le navigateur. promptdecode-core 0.1.0 est sur crates.io ; le scanner et l’action GitHub ne sont pas encore publiés.

Objectifs

Exploitation autonome
La revue est la cible de l’automatisation. Un agent de code détenant un jeton d’écriture lit une pull request qu’un relecteur humain a déjà approuvée, et les deux ne lisent pas le même document : les caractères de bloc de tags, les surcharges bidi et les sélecteurs de variation ne s’affichent pas, mais sont tokenisés normalement. Les scanners sont destinés à s’exécuter en CI à chaque changement, à décoder ce qu’ils trouvent plutôt qu’à simplement le signaler, et à republier le texte brut sur la pull request, sans modèle dans la boucle et sans que rien ne quitte le runner.
Intelligence
Délibérément aucun, là où il n’en faut pas. Les deux moteurs prévus sont déterministes : l’un suit une entrée de workflow non fiable jusqu’à une étape d’agent qui détient un jeton d’écriture, l’autre repère des classes Unicode nommées dans le contenu d’un dépôt. Un détecteur qui a besoin d’un modèle pour décider de ce qui est suspect ne peut pas énoncer sa propre couverture, et une couverture que l’on peut énoncer, c’est le produit.
Croissance
Fondé sur les preuves, et donc plus lent. Aucun pourcentage d’attaques bloquées n’est publié, car les taux d’évasion au niveau des caractères varient trop selon la technique pour qu’un seul chiffre ait un sens. Ce qui est publié, c’est la couverture déterministe d’une liste nommée de classes Unicode et le rappel à un taux de faux positifs déclaré sur un corpus nommé, le corpus et le harness étant ouverts. La croissance, ce sont les dépôts analysés par semaine une fois l’Action disponible.
Le détail technique

Détecte le texte invisible pour un relecteur humain et parfaitement lisible pour un modèle de langage, puis le décode. Des instructions cachées dans le titre d’une pull request, le corps d’une issue ou un fichier de dépôt peuvent ordonner à un agent de code d’approuver, de fusionner ou de commenter, alors que le diff n’a rien d’inhabituel. Deux parties fonctionnent aujourd’hui. Le décodeur du site, qui lit trois classes nommées de points de code (le bloc de tags Unicode, les contrôles et surcharges bidi, les sélecteurs de variation), reconstitue la charge utile qu’ils encodent et s’exécute entièrement dans le navigateur du lecteur, sans rien envoyer nulle part. Et le scanner de configuration, qui suit une entrée de workflow non fiable jusqu’à une étape d’agent détenant un jeton d’écriture, et s’exécute depuis les sources sans version publiée pour l’instant. Le reste est conçu et pas encore écrit : un moteur de contenu qui décode les charges utiles dans un dépôt entier, un scanner en ligne de commande, une GitHub Action et un benchmark ouvert. Si une classe ne figure pas dans la liste publiée, elle n’est pas détectée ; la liste fait foi.

Voir aussi

Issues du même socle.

Toutes les ventures