[bug] AI-generated comment 中的 @mention 可能繞過 tagging-collaborators 5-step protocol (sister concern from #116)

[kiki830621]

Problem

從 #116 sister concern 浮出: IDD skills 在 AI-generated comment / diagnosis body 中 cross-reference 其他人(@user mention)時,可能繞過 rules/tagging-collaborators.md 5-step 協定。

範例風險場景:

• idd-verify 6 個 agent 各自在 raw output 寫 @codex / @claude-reviewer 內部 reference,被 GitHub 解析成 user mention → 通知無辜的同名 user
• Sister concern surfacing audit 提及 @assignee 等動態值
• Linked-context sister sweep 引用原 conversation 中含 @xxx token

rules/tagging-collaborators.md 5-step 主要約束 human-initiated mention,沒明確涵蓋 AI 內部互相 reference 的 case。

Type

bug(latent — 未確認觸發,但 audit 發現 path 存在)

Expected

AI-generated content 在 post 到 GitHub 前,所有 @\w+ token 走 rules/tagging-collaborators.md 5-step verification,或被 escape 成 `@xxx` literal(若是內部 codename 而非真實 user)。

Actual

未 audit。猜測各 skill 各自處理,缺 cross-skill 統一 enforcement。

Source

surfaced during /idd-diagnose #116 sister concern surfacing (Step 3.6)

---

Current Status

Phase: closed
Last updated: 2026-07-05 by /idd-verify (via /idd-all batch drain)

Key Decisions

• Complexity = Plan、Conflict Class = C_shared_module_coord（gh-egress.sh，與 [FOLLOWUP #202] Privacy-gate mechanical-net precision + wrapper hardening #203 相鄰序列化）
• 修法：gh-egress mention net（--mention-attested flag）+ rule unconditional 掃描 + 測試
• Implement 完成（59e4123, 36/36 tests）；cluster branch idd/cluster-gh-egress-hardening；Next: cluster verify

[kiki830621]

Diagnosis

Type

bug（latent — enforcement 缺口確認存在，未有實際誤通知案例）

Root Cause / Analysis

盤點確認 issue 的猜測屬實，缺口有兩層：

1. Intent-gated enforcement：rules/tagging-collaborators.md 的 5-step 協定（含 Step 5 的 @\w+ grep 驗證）只在「--mention flag 或偵測到 tagging 意圖」時觸發（Implementation contract L120-123）。AI-generated content 中附帶的 @xxx token（內部 codename 如 @codex、引用原對話的 @assignee、quoted text）不帶意圖 → 不觸發掃描 → 直接 post → GitHub 照樣解析成 mention 通知無辜同名 user。
2. 機械閘門未覆蓋 mention：scripts/gh-egress.sh（[FEATURE] Repo-aware privacy-scrubbing gate before gh issue create/comment #202）已是 gh issue create/comment/edit 的 egress gate，但只有 privacy nets（/Users 路徑、claude.json 內容），沒有 mention net。且 gh-egress 目前只接線 idd-issue（[FEATURE] Repo-aware privacy-scrubbing gate before gh issue create/comment #202 Phase 1），其餘 7 個會 post 的 skill 尚未走 gate（wider rollout pending，見 [FOLLOWUP #202] Privacy-gate mechanical-net precision + wrapper hardening #203 標題）。

Impact

• plugins/issue-driven-dev/scripts/gh-egress.sh + scripts/tests/gh-egress/
• plugins/issue-driven-dev/rules/tagging-collaborators.md（enforcement 段）
• 使用者流程：所有 AI-generated GitHub egress（誤通知不可逆）

Strategy

• gh-egress.sh 加 mention net（part 3）：對 SCAN（--body/--title/--body-file 聚合）先剝 code fence 與 inline backtick，再掃 (^|[^[:alnum:]_])@[A-Za-z0-9-]+；命中且未在 --mention-attested <login,...>（新 flag，語意平行 --scrub-attested）→ refuse，訊息指引二選一：backtick-escape 成 literal，或跑 5-step 後帶 flag 重派
• rules/tagging-collaborators.md enforcement 段改 unconditional：所有 egress body post 前掃 @\w+（不再 intent-gated）；AI 內部 codename 一律 backtick-escape；補「incidental token」處理小節
• gh-egress 測試：mention-net RED/GREEN cases（未 escape refuse / escaped pass / attested pass / email user@host 不誤殺 / fence 內 @decorator 不誤殺）
• 未接線 gh-egress 的 7 個 skill：依 rule 的 unconditional 契約自律（prose 層），機械覆蓋隨 wider rollout 自然生效

Conflict Class

C_shared_module_coord — 共享資源：scripts/gh-egress.sh + scripts/tests/gh-egress/test.sh（與 #203 同檔）；兩 issue 必須相鄰序列化實作，不交錯。

Complexity

Plan

Layer P 命中：security-critical path（誤通知不可逆的 egress gate）+ decision-heavy（refuse-vs-escape、flag 形狀、fence 剝除範圍皆有多解，已在 Strategy 定案）。
[Plan tier deliberation will be skipped under /idd-all unattended mode — 標記於 final report]

Risks

• False positive：合法 prose 的 @word（如學術 @article 引用）被擋 — refuse 訊息附一鍵 escape 指引，成本 = 重派一次
• gh-egress 未接線的 skill 仍有 prose-only 保護 — 誠實標注機械覆蓋邊界（同 [Bug] Step 0.8 commit-body auto-close trap protection gap (direct-commit path) #151 direct-commit gate 的定位）

Residue

「7 個 skill 全面接線 gh-egress」是 #202 的 wider-rollout 議程，非本 issue scope — 見 Sister Concerns。

Vagueness Pre-check

• V1: 2 — Expected 給出雙路徑（verify-or-escape）契約；落點（rule vs script vs 兩者）由 diagnosis 定案
• V4: 2 — 完成 = net + rule + tests；「所有 skill」的機械覆蓋邊界已誠實界定
• Triggered: no

[Layer V: V1=2 V4=2, not triggered; unattended mode]

Sister Concerns Filed (mid-diagnose, v2.47.0+ #528)

• gh-egress wider rollout（把 comment/edit egress 接進其餘 7 個 skill）：skip — (c) blocked-on-external（依 [FEATURE] Repo-aware privacy-scrubbing gate before gh issue create/comment #202 Phase 1 的分階段設計，rollout 為既定議程且 [FOLLOWUP #202] Privacy-gate mechanical-net precision + wrapper hardening #203 正在精修 gate 本體；rollout 應在 [FOLLOWUP #202] Privacy-gate mechanical-net precision + wrapper hardening #203/[bug] AI-generated comment 中的 @mention 可能繞過 tagging-collaborators 5-step protocol (sister concern from #116) #117 兩案 land 後以獨立 issue 排程，避免在 gate 還在改動時鋪管線）。若 [FOLLOWUP #202] Privacy-gate mechanical-net precision + wrapper hardening #203/[bug] AI-generated comment 中的 @mention 可能繞過 tagging-collaborators 5-step protocol (sister concern from #116) #117 結案時 rollout 仍無 tracking issue，屆時由 idd-close sister sweep 補 file。

---

Source: /idd-all batch drain (unattended), 2026-07-05

[chatgpt-codex-connector]

To use Codex here, create an environment for this repo.

[kiki830621]

Implementation Complete

Checklist (synced from TaskList)

• gh-egress mention net（part 3）：fence + inline-backtick 剝除後掃 @login，未被 --mention-attested 涵蓋 → refuse exit 4（部分涵蓋一樣 refuse）→ commit 59e4123
• --mention-attested <login1,login2> flag（與 --scrub-attested 平行；含 split-token guard、wrapper 剝除不轉發）→ 59e4123
• rules/tagging-collaborators.md：掃描改 unconditional（非 intent-gated）+ escape-or-attest 契約 + 機械 backstop 說明 → 59e4123
• idd-issue SKILL.md 接線：resolved logins 帶入 --mention-attested（否則自家新網會擋自家 tagging 流程）→ 59e4123
• TDD：7 新斷言先 RED 後 GREEN；escape/fence/email 反例 guard；套件 36/36

Changes

• 59e4123: mention net + flag + rule unconditional + idd-issue wiring
• （測試 hang 根因順手修復：FIFO fixture 的背景 writer 移除 — gate refuse 不開 FIFO，writer 永久 block 挾持 stdout pipe）

Scope Compliance

與 #203 同檔 cluster（same-file eligibility per batch-and-cluster.md）；未接線 gh-egress 的 7 個 skill 依 rule prose 自律，機械覆蓋隨 wider rollout 生效（Residue 已記於 diagnosis）。

Sister Bugs Filed (mid-impl, v2.44.0+ #526)

(none 新增 — #224（merge-completeness 環境假設）已於 #203 全套件綠檢時 filed)

Next: cluster verification pending（with #203）