இது எப்படி கவனிக்கப்படாமல் போகிறது
உங்கள் coding agent .env-ஐ திறந்தது. நீங்கள் அதை கவனிப்பீர்களா? அந்த கோப்பில் API keys மற்றும் service credentials இருக்கலாம். ஒரு பரபரப்பான session-இல், ஒரு sensitive படிப்பு வெறும் மற்றொரு படியாக தோன்றலாம்.
ஒரு agent configuration சிக்கலை ஆய்வு செய்கிறது. அது project guide-ஐ படிக்கிறது, ஒரு template-ஐ சரிபார்க்கிறது, பின்னர் environment கோப்பை திறக்கிறது. ஒவ்வொரு படியும் வழக்கமானதாக தெரிகிறது. கேள்வி என்னவென்றால், அந்த கடைசி படிப்பு பணிக்கு தேவையானதா என்பது.
ClawMetry என்ன கண்டறிகிறது
ClawMetry ஒரு configuration template-ஐ credential வடிவ இடத்திலிருந்து வேறுபடுத்துகிறது. .env-ன் பிடிக்கப்பட்ட படிப்பு நீங்கள் ஆய்வு செய்யக்கூடிய environment file வகையுடன் credential access எச்சரிக்கையை எழுப்புகிறது.
கண்டுபிடிப்பை மாற்றும் வேறுபாடு
தூண்டும் எடுத்துக்காட்டு
cat .env
எச்சரிக்கை கண்டுபிடிப்பு
அமைதியான ஒப்பீடு
cat .env.example
இந்த detector-க்கு எந்த கண்டுபிடிப்பும் இல்லை.
சரிபார்க்கப்பட்ட template படிப்பு அமைதியாக இருக்கிறது. Environment கோப்பு படிப்பு எச்சரிக்கை செய்கிறது. அந்த படிப்புக்கு பிறகு பிடிக்கப்பட்ட கருவி arguments-இல் ஒரு external இலக்கு தோன்றினால், கண்டுபிடிப்பு critical ஆகிறது. படிப்புக்கு முன்பான ஒரு இலக்கு அந்த அதிகரிப்பை உருவாக்காது.
Detector முடிவை ஆய்வு செய்யுங்கள்
{
"kind": "credential_access",
"severity": "warning",
"evidence": {
"categories": [
"environment file"
],
"strong_categories": [
"environment file"
],
"accesses": 1,
"egress_after": [],
"dump_secret_names": 0,
"observed": "tool_arguments",
"redacted": "paths, commands and secret values are deliberately not recorded"
}
}எடுத்துக்காட்டு எப்படி சரிபார்க்கப்பட்டது
இந்த எடுத்துக்காட்டுகள் எழுதப்பட்ட event data அல்லது disposable configuration files-உடன் வெளியிடப்பட்ட detector-ஐ மதிப்பிடுகின்றன. வீடியோக்கள் அந்த நடத்தைகளை விளக்குகின்றன. அவை live agents அல்லது தயாரிப்பு இடைமுகத்தின் பதிவுகள் அல்ல. எடுத்துக்காட்டுகளில் எந்த கட்டளையும் இயக்கப்படவில்லை.
முடிவு இந்த உள்ளீடுகளுக்கான நடத்தையை நிறுவுகிறது. Runtime ingestion, தடுப்பு அல்லது உண்மையான சமரசத்தை நிறுவுவதில்லை. Pinned source contract ஆய்வு செய்யுங்கள்.
அடுத்து என்ன சரிபார்க்கலாம்
கருவி அழைப்பை மதிப்பாய்வு செய்யவும், அதை பணியுடன் ஒப்பிடவும் மற்றும் அதற்கு பிறகு வந்ததை ஆய்வு செய்யவும். Sensitive கோப்பு தேவையானதா, அடுத்து ஒரு external இலக்கு தோன்றியதா?
- கருவி அழைப்பை மதிப்பாய்வு செய்யவும்
- பணியை சரிபார்க்கவும்
- அதற்கு பிறகு வந்ததை ஆய்வு செய்யவும்
இந்த signal என்ன நிறுவுகிறது
அணுகல் வெளிப்படுத்தலின் சான்று அல்ல. Detector பதிவு செய்யப்பட்ட கருவி arguments மற்றும் output-ஐ பார்க்கிறது; இது syscall அல்லது network monitor அல்ல.