Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

RFC: Deterministic execution guardrails for unattended sessions (secrets + shared App tokens in sandbox)

Đang mở
  • Có gì không ổn?
#1,663 2 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

@shrwnsan đang làm issue này rồi.

Từ ngày 14/9/2026.

  • #1901 của @shrwnsan — đang mở

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
32/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github, typescript
Lĩnh vực
security

Hướng nghiên cứu

Start with the README security model and the automations feature, then inspect sandbox-runtime; SECURITY.md describes where sensitive reports belong. The scope is not settled: maintainers must choose between a sandbox-runtime policy layer and sandbox-infrastructure networking. Done would be an accepted optional implementation with tests and documentation.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

The gap

The README's security model is refreshingly honest, but reading it against the automations feature, there's a gap I'd love maintainer thoughts on:

  • Secrets are decrypted and injected as env vars at spawn (encrypted at rest, plaintext in-sandbox).
  • The git credential helper brokers short-lived shared GitHub App installation tokens into the sandbox.
  • Automations (webhooks, Sentry alerts, cron) start sessions with no human in the loop, and inbound payload content reaches the agent as prompt context.

So a malicious webhook/Sentry/Linear payload = indirect prompt injection into a sandbox holding (a) decrypted org secrets and (b) git credentials valid for every repo the App is installed on — with port tunnels and browser automation as exfil channels.

The single-tenant trust assumption covers users, but not content arriving at users' agents.

Proposal (optional, default-off)

A deterministic pre-execution policy layer in sandbox-runtime:

  1. Secret denial — block command args/env reads targeting injected secrets + credential helper.
  2. Egress allowlist — fail-closed, subdomain-aware; curl/wget/tunnels restricted to known infra domains.
  3. Git remote allowlist — push/fetch only to configured SCM hosts.
  4. Per-session spend cap — including child-session fan-out.
  5. Signed block receipts — emitted to the session event stream for audit.

Shadow mode by default, hard blocks via flag. Zero behavior change when off.

Question for maintainers

Interest in this as an optional hardening layer? Happy to contribute the implementation (tests + docs included) if the direction is welcome — or open to pointers if you'd rather solve it at the sandbox-infra network level instead.

(Hardening proposal, not a vuln disclosure — anything sensitive routes via SECURITY.md.)

Ngôn ngữ chính
TypeScript
Star
3.3k
Fork
477
Merge trung bình
20 giờ 5 phút
Pull request đã merge (30 ngày)
290

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của ColeMurray/background-agents

Tất cả issue của ColeMurray/background-agents

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.