security(audit): 工具级审计元数据不构成企业审计日志——无 actor/认证/审批事件、可篡改、不可检索
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 35/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- rust
Direzione di ricerca
Start by reading AuditMeta in src/tools/policy_domain/audit.rs:63-80 and the transcript overwrite path in src/transcript.rs:46-51 and src/atomic.rs. Inspect the plan approval handlers in src/http/handlers.rs:867-925, then map the missing actor, authentication, approval, integrity, retrieval, and export requirements. Done means the agreed audit model and interfaces cover those events without relying on transcript storage.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
场景 gap 单（okguitar 提报）· 优先级 P1 · 依赖：depends-on: #85（未终态时 keeper 自动 hold）
基线 HEAD = 9165b9a0。
Summary
现有 AuditMeta（src/tools/policy_domain/audit.rs:63-80）每工具调用记录 step_id/起止时间/args_hash/副作用分类/退出状态——但没有调用者身份、没有权限判定结果；且它随 transcript 存储，transcript 是整文件覆写（temp+rename，src/transcript.rs:46-51 → src/atomic.rs），非 append-only、无签名/哈希链——文件系统任意写者可改写历史。plan approve/reject 端点连 tracing 日志都没有（src/http/handlers.rs:867-925）；认证失败无审计事件；唯一外送通道是 opt-in OTel tracing（feature-gated），与安全审计事件模型无关。
缺口清单
① actor 维度（谁）；② 认证事件（登录失败/凭据轮换）；③ 管理操作（DELETE 会话/改配置）；④ 审批决策（谁批了哪个 plan）；⑤ append-only + 哈希链防篡改；⑥ 按用户/时间检索 API；⑦ 导出（SIEM 对接）。
影响
数据外带/误删事故后无法回答「谁在何时用哪个 key 让智能体做了什么、谁批的计划」——等保/ISO27001/SOC2 审计直接不过。
建议
独立 append-only 审计流（actor + session + tool + policy 决定 + 审批事件），BLAKE3 哈希链（AuditMeta 已用 BLAKE3，基建现成），提供时间范围/用户检索与导出端点；actor 依赖租户配套单的身份注入。
- Lingua principale
- Rust
- Stelle
- 4
- Fork
- 0
- Merge medio
- 5h 32m
- PR unite (30g)
- 7
Preparare l'ambiente
- Include un Dockerfile o un file Docker Compose
- Nessun modello di pull request
- Nessuna guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di jeffkit/recursive
-
fix(pipeline): preflight kill-stale 在 v2 console/worker 路径把并发兄弟 run 当孤儿杀——同仓并发 run 互杀成链（今日 4 例实证）Aperta
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
jeffkit/recursive#148 · 2 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 38/100
jeffkit/recursive#147 · 14 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 20/100
jeffkit/recursive#134 · 6 commenti ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di jeffkit/recursive
Issue simili
-
status:needs-triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
agentic-os-org/ANOLISA#6742 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 67/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
git-ai-project/git-ai#2406 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 90/100
Kc1t/alethe-agents#312 ·
I maintainer di solito rispondono entro 3 giorni