[FOLLOWUP #202] Privacy-gate mechanical-net precision + wrapper hardening

[kiki830621]

Follow-up findings from #202 Phase 1 verify (adversarial wrapper-security review). All NON-BLOCKING — the gate is correct and attestation enforcement is airtight (11 break-probes, none reached exec gh without a valid attestation). These are scripts/gh-egress.sh mechanical-net precision + edge-case hardening.

Recommended before wider rollout

1. Over-broad .claude.json filename net (dogfooding hazard). part (i) refuses any body merely mentioning the filename .claude.json. The bare filename is public (it's in Anthropic's docs); the private thing is its contents (already handled by part (ii)). Effect: issues discussing the config file — including issues about this gate itself, like #202 — cannot be filed through the gate. Privacy benefit ≈ 0, friction real. Fix: drop the bare-filename check, keep the content match. Also aligns impl with the spec wording ("verbatim ~/.claude.json content", not the filename token).

2. Content net extracts all paths, not just project keys (comment/impl mismatch). part (ii) greps "(/[^"]{11,})" across the whole config, but the comment says "project-path string". Public tool paths in mcpServers[].command/env (e.g. /opt/homebrew/bin/...) get treated as leaks. Tighten to only the projects object. Friction is pure-loss on private/LIGHT repos.

Edge-case hardening (belt-and-suspenders; off the real idd-issue path)

3. stdin/FIFO body-file bypass — -F - / -F /dev/stdin / -F <(...): [ -r "$arg" ] is false, body unscanned but gh still reads it. Architecturally hard (can't consume the stream gh needs). LLM self-review remains primary.
4. $HOME unbound crash under set -u — aborts exit 1 (undocumented) if both IDD_CLAUDE_JSON and HOME unset. Fails closed; rare.
5. Phantom empty positional arg — exec ... "${GH_ARGS[@]:-}" on empty array yields issue create ''. Only on zero forwarded args (never real). Idiom fix: ${GH_ARGS[@]+"${GH_ARGS[@]}"}.
6. Split-token attestation — body as separate unquoted tokens --body --scrub-attested warn sets ATTESTED with no real attestation. Not reachable from well-formed callers (quoted single-arg body is correctly refused).

---

Source: #202 Phase 1 verify — adversarial wrapper-security reviewer. Refs #202.

---

Current Status

Phase: closed
Last updated: 2026-07-05 by /idd-verify (via /idd-all batch drain)

Key Decisions

• Complexity = Plan（security-critical path）、Conflict Class = A_parallel_safe
• 6 items 全採納；item 2 jq-with-fallback、item 3 refuse-non-regular-file
• Implement 完成（1beb14e, 28/28 tests）；cluster branch idd/cluster-gh-egress-hardening（與 [bug] AI-generated comment 中的 @mention 可能繞過 tagging-collaborators 5-step protocol (sister concern from #116) #117 same-file bundle）；Next: /idd-verify cluster

[kiki830621]

Diagnosis

Type

refactor（security-gate mechanical-net 精修 + edge-case hardening；上游 #202 Phase 1 verify 的 6 項 non-blocking findings）

Root Cause / Analysis

scripts/gh-egress.sh（164 行）現況與 6 項 findings 逐一對位：

1. Over-broad filename net（L144-146）：grep -qF '.claude.json' 對「提及檔名」一律 refuse — 檔名是公開資訊（Anthropic docs），私密的是內容（L151-160 的 part (ii) 已涵蓋）。dogfooding hazard 實證：[FEATURE] Repo-aware privacy-scrubbing gate before gh issue create/comment #202/[FOLLOWUP #202] Privacy-gate mechanical-net precision + wrapper hardening #203 這類討論 gate 自身的 issue 無法過 gate。
2. Content net 抓全檔路徑（L153-156）：grep -oE '"(/[^"]{11,})"' 掃整份 config，mcpServers[].command 的公開工具路徑（/opt/homebrew/bin/...）被誤當 leak；註解宣稱 "project-path string" 與實作不符。應收斂到 projects object keys。
3. stdin/FIFO body-file bypass（L100-103）：-F - / /dev/stdin / process substitution 時 [ -r "$arg" ] 為 false → body 未掃描但 gh 照讀。可改為「非 regular file 即 refuse」— 不消耗 stream、關閉 bypass。
4. $HOME unbound crash（L151）：set -u 下兩個 env 都缺時 exit 1 無訊息。${HOME:-} guard + skip probe。
5. Phantom empty positional（L164）："${GH_ARGS[@]:-}" 空陣列時展開成 ''。慣用法 ${GH_ARGS[@]+"${GH_ARGS[@]}"}。
6. Split-token attestation：--body --scrub-attested warn 形式讓 ATTESTED 被設而無真附言。加 shape 檢查。

Impact

• plugins/issue-driven-dev/scripts/gh-egress.sh 單檔
• plugins/issue-driven-dev/scripts/tests/gh-egress/test.sh 對應測試擴充
• 使用者流程：privacy gate 誤殺率下降（items 1-2 是 pure-loss friction），bypass 面收窄（item 3）

Strategy

• Item 1：移除 bare-filename net，保留 content net（對齊 spec 原文 "verbatim ~/.claude.json content"）
• Item 2：content net 收斂至 projects object — jq 可用時 jq -r '.projects | keys[]'，缺 jq fallback 維持現行全檔 grep（fail-closed：寬網比漏網安全）
• Item 3：body-file 非 regular file（stdin/FIFO/process-sub）→ refuse + 指引改用一般檔案
• Item 4：${HOME:-} guard，兩 env 皆缺時 skip content probe（net 1 已足）
• Item 5：${GH_ARGS[@]+"${GH_ARGS[@]}"} 慣用法修 exec 尾
• Item 6：--scrub-attested 後續 token shape 檢查（防 split-token 誤設 ATTESTED）
• 每 item 配 TDD 測試（先 RED 後修），全套件綠

Conflict Class

A_parallel_safe — 僅觸及 gh-egress.sh + 其測試檔，無共享 mutable 資源。

Complexity

Plan

Layer P 命中：「觸及 risk-sensitive 邊界（security-critical path — privacy egress gate）」。六個 item 彼此獨立但都動同一道安全閘門，任一改壞 = privacy 防線破口。
[Plan tier deliberation will be skipped under /idd-all unattended mode — 標記於 final report，user 可事後 review PR]

Risks

• Item 2 收窄後若使用者 config 無 projects key（罕見）→ jq 路徑回空 KEYS → probe 靜默通過；以 fallback-to-wide-net 緩解
• Item 3 可能 break 極少數用 process-substitution 的合法 caller — trade-off 明確（gate 可掃 > 便利）

Residue

Item 3 的完整解（讓 gate 能掃 stream 又不消耗它）架構上不可行 — LLM self-review 仍為 primary 防線，residue 記錄於此、不假裝關閉。

Vagueness Pre-check

• V1: 1 — 6 項 findings 各附行為描述、成因與建議修法
• V4: 2 — 完成 = 6 items 修復 + 測試；items 3/6 的「夠好」邊界由 Strategy 定案
• Triggered: no

[Layer V: V1=1 V4=2, not triggered; unattended mode]

Sister Concerns Filed (mid-diagnose, v2.47.0+ #528)

(none — findings 全數源自 #202 verify 已列舉，無新增)

---

Source: /idd-all batch drain (unattended), 2026-07-05

[kiki830621]

Implementation Plan

• Item 1：移除 part (i) bare-filename net（L144-146）+ header 措辭對齊 spec（"content" 非 filename）；翻轉既有斷言「verbatim .claude.json reference caught」→ 檔名提及應 dispatch（該 body 無 fixture content）
• Item 2：content net 收斂 projects keys — jq 可用走 jq -r '(.projects // {}) | keys[]'，缺 jq fallback 現行全檔 grep（fail-closed 寬網）；fixture 加 mcpServers 公開工具路徑證明不再誤殺
• Item 3：body-file 非 regular file（-/stdin/FIFO/process-sub）→ refuse exit 5（新 code：scan-integrity refusal）+ 指引
• Item 4：${HOME:-} guard — 兩 env 皆缺不 crash，probe 自然 skip
• Item 5：exec 尾 ${GH_ARGS[@]+"${GH_ARGS[@]}"} 慣用法，殺 phantom ''
• Item 6：--scrub-attested 出現在 pending value 位置（next_is 非空）→ usage refuse exit 2
• TDD：先 RED 全部新斷言、後實作轉綠；全套件（含既有 19 條）綠

---

Source: /idd-all batch drain — idd-implement Step 2, branch idd/203-gh-egress-mechanical-net-hardening

[kiki830621]

Implementation Complete

Checklist (synced from TaskList)

• Item 1：bare-filename net 移除 + header 措辭對齊 spec；既有斷言翻轉（檔名提及 → dispatch）→ commit 1beb14e
• Item 2：content net 收斂 projects object（jq 路徑）+ 缺 jq fallback 全檔寬網；fixture 加 mcpServers 公開路徑反例 → 1beb14e
• Item 3：非 regular body-file（-/FIFO/process-sub/不可讀）→ refuse exit 5（原行為是未掃描直接放行 — fail-closed 修正）→ 1beb14e
• Item 4：${HOME:-} guard，HOME+IDD_CLAUDE_JSON 皆缺不 crash、probe 自然 skip → 1beb14e
• Item 5：exec 尾 ${GH_ARGS[@]+"${GH_ARGS[@]}"}，零轉發參數不再產生 phantom ''（測試用 NUL 計數驗證 — string compare 對此盲）→ 1beb14e
• Item 6：--scrub-attested 出現在 pending value 位置 → usage refuse exit 2 → 1beb14e
• TDD：7 個新斷言先 RED（含 item 5 斷言修正為 NUL 計數）後全 GREEN；套件 28/28

Changes

• 1beb14e: gh-egress.sh 六項精修 + tests 8 個新 case + 1 個翻轉 case + fixture 擴充

Files Changed

 .claude/.idd/attachments/issue-203/_manifest.json |  6 ++
 plugins/issue-driven-dev/scripts/gh-egress.sh     | 88 ++++++++++++++-----
 .../scripts/tests/gh-egress/test.sh               | 60 +++++++++++-

Scope Compliance

單檔（gh-egress.sh）+ 測試 + manifest；與 #117（mention net）同 branch cluster（same-file eligibility），該部分以獨立 commit Refs #117。

Sister Bugs Filed (mid-impl, v2.44.0+ #526)

(none — item 5 測試盲點（$() 剝尾 newline）在本次即時修正於測試內，無殘留)

Next: verification pending（cluster verify with #117）

[kiki830621]

Verify Report — cluster #203 + #117（branch idd/cluster-gh-egress-hardening）

Engine

Tier 3 manual fan-out（依 2026-07-05 CLAUDE.md 新規則：Fable5 session 不開 Workflow）, model: opus（顯式 pin, #205）。多輪 trail（完整 audit — 含一次 verify-integrity 事故與矯正）：

Round	對象	陣容	結果
R1	59e4123 凍結 diff	4 lens（req/logic/sec/reg）+ DA-r1	0 CRITICAL/HIGH；7 項 MEDIUM/LOW actionable
R1-fix	4d2e87b	—	7 項修復（jq fail-closed、entity refuse、short-form scan、body-only mention、fence indent、模板接線、計數同步）
DA-r2	4d2e87b 實檔	1 sequenced DA	DA-CRIT-1：R1 verdicts 描述 stale snapshot（mid-review commit）→ 本 report 依其 remediation 補 R2 round；另 2 MEDIUM over-refusal + 逐項確認 R1 fixes 有效
R2-fix	c6fa9a0	—	URL-span 豁免、entity-guard 理由文件化
R2	c6fa9a0 re-frozen diff	2 combined lens（req+reg / logic+sec）	HIGH×2（zsh 模板融合 — fail-closed；URL-strip 過寬 — 可藏活 mention）+ 1 MEDIUM + LOWs
R3-fix	c9a92ed	—	4 項（dotted-host 限定、double-entity refuse、=-form ×14、next_is hygiene）；修法均由 R2 agents 開立並驗證，6 條新測試鎖定。R3 delta（~30 行）僅經 orchestrator + 測試覆蓋，未再開 lens round — 誠實揭露，非 ensemble 背書

Process gaps：(1) Codex cross-model lens 三次嘗試全敗 — 前兩次網路層錯誤、第三次揭露真因 429 usage_limit（ChatGPT plan quota）→ 本 cluster 無跨模型盲驗，fail-closed 記錄不冒充 6-AI。(2) DA-r1 平行 spawn + polling 模式耗時 17 分鐘（#130 的 live 佐證；DA-r2 sequenced 模式 8.5 分鐘完成）。

Aggregate

PASS — 0 open blocking。測試 19 → 54 assertions 全綠。4 個 follow-up issues 已 file：#225（jq/fallback 邊界 taxonomy）、#226（gh-egress wider rollout — headline comment 場景的機械網）、#227（exit-code band 與 gh 解耦）、#228（idd-verify diff-freshness gate — 本次 DA-CRIT-1 的結構性預防）。

Scope coverage

PR refs: #203, #117 ✅ 完整覆蓋（same-file cluster per batch-and-cluster.md）

---

#203 — mechanical-net precision + wrapper hardening

Requirements coverage: 6/6 FULLY（R2 round 對 R1-fix 逐項 probe 確證）

#	Severity	Finding	Source	Action
1	MEDIUM	jq 收斂至 projects 後 non-projects 敏感路徑於 jq 機器 dispatch（no-jq 機器 refuse）— gate 不可重現	sec-R1 / DA-r2 降 LOW	Follow-up #225（DA-r2：屬 issue 明定 scope，非 regression）
2	MEDIUM	jq parse 失敗靜默停用 content net（fail-open）	sec-R1 + logic-R1	Fixed 4d2e87b（JQ_OK fail-closed）；R2 確證四分支全 fail-closed
3	LOW	既有「unreadable body-file 未掃即發」的 fail-open	sec-R1	Fixed 1beb14e（exit 5 refuse — net-positive）
4	LOW	攜帶式短格式 -b<val> 等未列 next_is 重置	logic-R2	Fixed c9a92ed（hygiene）
5	INFO	awk ? interval 可攜性疑慮	logic-R1	DA-r2 實測 BWK awk 20200816 支援 — unfounded

#117 — unconditional @-mention net

Requirements coverage: 機械網 + rule unconditional + 模板接線 3/3 FULLY（經 R1→R3 三輪收斂）

#	Severity	Finding	Source	Action
1	HIGH	${VAR:+flag "$VAR"} 模板在 zsh（runtime shell）融合單 arg → 合法 mention 被拒（fail-closed 但 happy path 死亡）	req+reg-R2 / logic+sec-R2 獨立同抓	Fixed c9a92ed（=-form ×14 + zsh 端到端測試鎖定）
2	HIGH	URL-strip 過寬 — no-dot host（https://@user、http://localhost/@user）被剝除，活 mention 逃逸	logic+sec-R2	Fixed c9a92ed（dotted-host 限定；no-dot 回到掃描 = fail-closed）
3	MEDIUM	全編碼 username @realuser 逃逸雙網	logic+sec-R2	Fixed c9a92ed（encoded-@ 後接 &# 亦 refuse）
4	MEDIUM	HTML-entity @login 繞過	sec-R1	Fixed 4d2e87b（entity guard）
5	MEDIUM	attached 短格式 -b<body> 繞過全部網	logic-R1	Fixed 4d2e87b
6	MEDIUM	mention net 誤掃 title（無法 escape 的 false refuse）	logic-R1	Fixed 4d2e87b（BODY_PARTS 雙軌；privacy nets 仍掃 title — R2 雙向確證）
7	MEDIUM	縮排偽 fence 吞噬後續真 mention（false negative）	logic-R1 / DA-r1 獨立同抓	Fixed 4d2e87b（GFM ≤3 空格界）
8	MEDIUM	entity guard 誤殺「討論編碼形式」的 prose	DA-r2	Accepted + documented c6fa9a0（backtick 逃生口存在；不可逆通知風險 > 罕見討論摩擦）
9	MEDIUM	headline 場景（idd-comment）機械網未覆蓋	sec-R1 / DA-r1/r2	Follow-up #226（wider rollout 議程）
10	LOW	refuse code 4 與 gh 原生碼衝突	DA-r2	Follow-up #227
11	LOW	https://@victimuser 偽 URL fail-open	req+reg-R2	Fixed c9a92ed（同 finding 2 的 dotted-host 修法覆蓋）

Follow-up Findings Filed (v2.72.0+ #148)

#225 / #226 / #227 / #228（各附 verify 來源與 repro）

Verdict

verify-gated PASS — 5 commits、54/54 tests、三輪對抗收斂、全部 blocking-class findings 修畢或 file 為 follow-up。Ready for PR review。