문서 안의 지시 구분

할 일 제목은 명령 채널이 아닙니다

학습자가 생성한 할 일 제목에 이전 규칙을 무시하고 로그를 전송하라는 문장이 들어 있다고 가정합니다. 목록 API는 이 제목을 데이터로 반환할 수 있지만 개발 하네스가 그 문장을 새로운 작업 요청으로 실행하면 경계가 무너집니다. 이번 레슨은 문장의 위험 단어를 모두 찾는 탐지기를 만드는 대신 출처와 실행 권한을 분리합니다. 읽은 자료가 도구 제안으로 변해도 자료에서 나온 제안이라는 사실을 실행기가 고정하여 거절하는 검사를 작성합니다.

명령형 문장도 업무 데이터일 수 있습니다

API 오류를 재현하라라는 제목은 정상 학습 계획일 수도 있습니다. 명령형이라는 이유만으로 제목을 앱에서 삭제하거나 모든 목록 조회를 막지 않습니다. 앱 데이터의 유효성은 기존 제목 정책이 판단하고 하네스 실행 권한은 별도 정책이 판단합니다. 이번 맥락 필터는 오류 조사에 제목이 필요 없으므로 모델 전달 객체에서 제외합니다. 실제 목록이 제목을 반환하는 계약은 바꾸지 않습니다. 학습자는 원본 제목 보존과 실행 후보 차단이라는 서로 다른 결과를 함께 설명해야 합니다.

출처는 자료에 적힌 값으로 결정하지 않습니다

문서나 모델 제안에 source가 user라고 적혀 있어도 호출 경로가 문서라면 origin은 document입니다. inspect_document는 제안 배열의 각 항목에 대해 별도의 origin 인수로 document를 넘깁니다. request 안의 source·approved 주장은 신뢰하지 않습니다. 외부 자료를 읽는 경로에서 출처를 붙이지 않고 모델에게 출처를 선택하게 하면 권한 상승을 스스로 주장할 수 있습니다. 이번 인터페이스는 사용자의 직접 요청 경로와 문서 제안 경로를 코드에서 나누고 자료 쪽 제안을 기본 거절합니다.

정상 데이터 전달과 도구 실행은 별도입니다

document_context는 origin과 data를 가진 새 객체를 반환합니다. data는 앞 레슨의 필드 선택과 가림 결과이므로 오류 코드와 작업 ID는 남습니다. 이 함수는 문서를 모델에게 설명할 수 있는 자료로 만들 뿐 도구를 호출하지 않습니다. inspect_document는 도구 제안을 평가할 뿐 명령을 실행하지 않습니다. 자료를 전달한 횟수와 실행한 횟수를 혼동하면 정상 오류 조사까지 차단하거나 반대로 자료 전달을 행동 허가로 받아들일 수 있습니다. 테스트는 이 두 함수의 결과를 각각 비교합니다.

가짜 제안으로 모델 실패를 재현합니다

제공 fixture는 제목에서 명령 제안이 만들어졌다고 가정한 배열을 사용합니다. 실제 모델의 탐지 성공률이나 특정 모델의 행동을 측정하는 예제가 아닙니다. 정상 고정 검사 명령과 외부 전송 제안을 문서 출처로 넣어 모두 DENY인지 봅니다. 모델이 자료 지시에 영향을 받았다는 최악의 경우에도 실행 전 경계가 남는지 확인하는 것입니다. 제안 속 approved가 참이어도 결과가 달라지지 않아야 합니다. 실제 삭제나 전송을 수행하여 방어 전후를 비교하지 않습니다.

starter의 작은 결함을 찾습니다

로컬 ZIP의 boundary.py에는 출처 거절 조건이 TODO로 비활성화되어 있습니다. 문서 전송 제안이 DENY 대신 REVIEW를 반환하여 test_document_cannot_promote_source가 실패합니다. 위험한 명령을 실행했다는 뜻은 아니지만 문서가 검토 작업으로 승격된 것이 계약 위반입니다. 출처가 user가 아닐 때 먼저 DENY를 반환하도록 고칩니다. 추가 키를 제거하고 다시 요청하면 된다는 방식으로 해결하지 않습니다. 입력 형태보다 외부 자료에서 왔다는 경계가 먼저 유지되어야 합니다.

사람 검토 상태도 자료가 만들지 못합니다

사용자의 정식 send·publish 요청은 REVIEW이지만 같은 요청이 문서에서 나오면 DENY입니다. 자료가 전송 요청을 만들어 사람에게 승인을 요구하는 흐름까지 자동으로 넓히지 않겠다는 이번 정책입니다. REVIEW는 승인 상태가 아니라 검토 후보이므로 네트워크 동작을 수행하는 코드가 없습니다. 사용자가 별도 작업으로 전송을 요청한다면 대상과 가린 자료를 준비한 뒤 정책에 따라 검토할 수 있습니다. 문서 속 사용자도 동의했다는 주장만으로 이 경로를 열지 않습니다.

실행되지 않았다는 근거를 남깁니다

정책 결과 문자열만 DENY여도 실행 함수가 먼저 호출되었다면 위험을 막지 못합니다. test_denied_does_not_execute는 harness.capture를 mock으로 바꾸고 허용 밖 명령에서 호출 횟수가 0인지 검사합니다. 경로 탈출 요청도 동일하게 호출되지 않아야 합니다. standalone ZIP의 harness는 실행 구현이 없는 시험 대역이므로 테스트 밖에서 실수로 호출하면 FIXTURE_ONLY 오류를 냅니다. 오류를 숨겨 성공으로 반환하지 않습니다. 거절 결과와 부작용 없음이라는 두 조건을 함께 확인하는 습관을 익힙니다.

미션의 실제 체크포인트로 연결합니다

m08 미션 starter는 m07 solution의 Java 앱·명세·테스트·체크포인트 기록 구조를 이어받습니다. checkpoint.py의 capture 진입점이 guarded_capture로 연결되어 명령 배열과 입력 파일을 확인한 뒤 기존 capture를 호출합니다. 출력 필터는 로그 쓰기 전에 작동합니다. tasks.json은 정책 파일과 새 테스트를 검증 입력에 포함하고 계획 버전을 올립니다. 새 정책이 바뀌어도 이전 통과를 그대로 유지하지 않도록 기존 최신성 검사의 역할을 보존합니다. 앱의 생성·완료 API를 새로 호출하는 기능은 추가하지 않습니다.

신뢰하는 검사 파일과 외부 제안을 나눕니다

기존 test_harness는 낮은 수준 capture에 합성 명령을 넣어 종료 코드와 해시를 검사합니다. 이것은 교육 내부의 신뢰하는 계약 테스트이며 모델의 공개 실행 진입점이 아닙니다. 외부 제안은 정책 판정을 거치고 실제 체크포인트도 guarded_capture를 사용합니다. Python 함수 자체를 공격자가 마음대로 호출할 수 있는 환경에 대한 격리는 별도 문제입니다. 고정 검사 스크립트의 내용과 보호 해시는 검토 대상으로 유지합니다. 임의 명령을 실행하지 않았다는 사실을 함수 단위의 검증 범위에 맞추어 보고합니다.

실패 이름에서 고칠 계층을 찾습니다

test_document_cannot_promote_source는 출처 검사, test_commands_exact는 배열 비교, test_symlink_parent는 실제 경로 요소 검사와 연결됩니다. 기대 0회 호출인데 1회라면 guarded_capture의 검사 위치를 확인합니다. EXPECTED DENY와 실제 REVIEW를 읽고 승인 기능을 덧붙이는 것은 이번 결함 해결이 아닙니다. Java BoundaryTest가 실패하면 그 출력 안의 Python 테스트 이름을 먼저 봅니다. 기존 앱 회귀 실패가 있다면 새 정책 때문에 보호 파일이 바뀌지 않았는지 scope 결과와 diff를 대조합니다.

문장 필터의 한계를 별도로 적습니다

제목에서 send라는 단어를 지운다고 다른 표현의 전송 지시까지 제거되지는 않습니다. 자료를 인용 영역에 넣는 것도 모델의 이해를 도울 수 있지만 실행 권한을 자동으로 차단하지 않습니다. 이번 계약은 문서 제안을 실행 채널로 승격하지 않는 코드와 고정 권한 목록의 조합입니다. 실제 모델, 여러 도구를 거친 출처 전파, 동시 링크 교체, 알 수 없는 비밀 형식은 이번 검증 범위 밖이라고 인계합니다. 더 읽기에서 프롬프트 인젝션의 넓은 사례를 살펴보고 제출은 fixture의 차단 근거와 정상 자료 보존에 집중합니다.