FZ-009 · BEVEILIGING
promptdecode
Vindt onzichtbare tekst in code reviews die een menselijke reviewer zou missen.
- Status
- Alfa
- Pipelinefase
- VALIDATIE
- Sector
- BEVEILIGING
- Autonomiedoel
- NIVEAU 4 · ZELFOPTIMALISEREND
- Gebouwd met
- 3 live · 1 gepland
Het probleem
Verborgen tekst in een pull request of issue kan een codeeragent opdragen te mergen, en de reviewer ziet die nooit.
Wat het doet
promptdecode decodeert verborgen Unicode-tekst in uw browser, verstuurt niets en toont wat er staat.
Zo werkt het
- Plak een willekeurige tekst en hij toont verborgen tekens en decodeert hun boodschap
- Draait volledig in je browser; er wordt nergens iets naartoe gestuurd
- Een configuratiescanner controleert je GitHub-workflows op agentstappen die onbetrouwbare invoer kan bereiken
Vandaag gratis te gebruiken op promptdeco.de.
Vang een verborgen instructie op voordat je agent ernaar handelt.
VandaagDe decoder werkt vandaag in de browser. promptdecode-core 0.1.0 staat op crates.io; de scanner en de GitHub Action zijn nog niet uitgebracht.
Doelen
- Autonome werking
- Review is het automatiseringsdoel. Een codeeragent met een schrijftoken leest een pull request dat een menselijke reviewer al heeft goedgekeurd, en de twee lezen niet hetzelfde document: tagblokkarakters, bidi-overrides en variantselectors worden als niets weergegeven en normaal getokeniseerd. De scanners moeten bij elke wijziging in CI draaien, wat ze vinden decoderen in plaats van alleen markeren, en de leesbare tekst terugposten op de pull request, zonder model in de lus en zonder dat er iets de runner verlaat.
- Intelligentie
- Bewust geen, waar er geen nodig is. Beide geplande engines zijn deterministisch: de ene volgt onbetrouwbare workflowinvoer naar een agentstap met een schrijftoken, de andere matcht benoemde Unicode-klassen in de inhoud van repositories. Een detector die een model nodig heeft om te bepalen wat verdacht is, kan zijn eigen dekking niet vaststellen, en dekking die je kunt vaststellen is het product.
- Groei
- Op bewijs gebaseerd, en daardoor trager. Er wordt geen percentage geblokkeerde aanvallen gepubliceerd, omdat de ontwijkingspercentages op tekenniveau te sterk meebewegen met de techniek om met één getal iets te zeggen. Wat wel wordt gepubliceerd is deterministische dekking van een benoemde lijst Unicode-klassen en recall bij een vermeld percentage valse positieven op een benoemd corpus, met het corpus en de harness openbaar. Groei is het aantal gescande repositories per week zodra de Action bestaat.
Het technische detail
Vindt tekst die onzichtbaar is voor een menselijke reviewer en volledig leesbaar voor een taalmodel, en decodeert die. Verborgen instructies in de titel van een pull request, de tekst van een issue of een repositorybestand kunnen een codeeragent opdragen om goed te keuren, te mergen of te reageren, terwijl de diff niets bijzonders toont. Twee onderdelen werken vandaag. De decoder op de site, die drie benoemde klassen codepunten leest (het Unicode-tagblok, bidi-besturingstekens en overrides, variantselectors), de payload reconstrueert die ze coderen en volledig in de browser van de lezer draait zonder iets ergens naartoe te sturen. En de configuratiescanner, die onbetrouwbare workflowinvoer volgt naar een agentstap met een schrijftoken en vanuit de broncode draait, nog zonder release. De rest is ontworpen en nog niet geschreven: een contentengine die payloads in een hele repository decodeert, een commandoregelscanner, een GitHub Action en een open benchmark. Als een klasse niet op de gepubliceerde lijst staat, wordt ze niet gedetecteerd; de lijst is de claim.
Gerelateerd
Vanuit hetzelfde fundament.
- Owlpost. E-mail-API voor apps en AI-agents, met eigen inboxen.
- Colonizer. Maakt van GitHub-issues pull requests voor ontwikkelaars op hun eigen machine.
- Cratefield. Een backend voor bouwers die liever compileren dan configureren.
- Keep Shipping. Deploy-workflows voor engineers, als één getypeerd bestand per repository.
