T01 · Skill Instruction Hijacking
Error
- Location
references/pass-ingestion.md:230- Finding
Untrusted source content can be compiled into authoritative Skill instructions
- Content
View full analysis
## 类型： ## 提取方式： <标准化后的正文> --- [SEG-001] 来源：<页码/时间戳/URL> | 证据等级： <内容段落> [SEG-002] 来源：<...> | 证据等级：<...> <内容段落> ``` **分段规则：** - 每个自然段或逻辑单元为一个 SEG - 每个 SEG 必须带来源标识和证据等级（默认值来自 Step I.4，可被 Pass 2 覆盖） - 保留原文中的标题层级，不破坏文档结构 **长度控制：** 若 `structured_content` 超过 8000 字，存储摘要 + 外部文件引用（`structured_content_ref: ./ingestion/full-content.md`），IR 中只保留摘要。 ``` The resulting data is then treated as the Pass 1 input in `references/pass-1-analyze.md`, lines 3-17: ```markdown **输入来源：** 若 Pass I Ingestion 执行过，本 Pass 的输入是其产出的 `structured_content`（标准化文本），需额外关注来源溯源与证据等级。若未执行 Ingestion，输入为用户原始 Prompt. --- ## 执行步骤 ### Step 1.1 — Prompt Summary 用一句话概括 Prompt 的核心功能。不照搬原文，用自己的话重述。 ### Step 1.2 — Goal Extraction 区分 Prompt"说的"和"真正需要的"： - **说的：** Prompt 字面要求做什么 - **真正需要的：** 这个能力长期来看应该解决什么问题 ``` Finally, `references/pass-4-generate.md`, lines 7-13, directs the compiler to generate files from that derived IR: ```markdown ## 生成原则 1. **IR 驱动** — 所有文件内容来自 Pass 1-3 的 IR，不凭空创造 2. **三层加载** — L1 frontmatter / L2 SKILL.md 路由 / L3 references 懒加载 3. **平台感知渲染** — frontmatter、description、文件结构按 `target_platform` 对应的 profile 规范渲染 4. **frontmatter 卫生** — 只含目标平台要求的字段（generic/trae 仅 name + description） 5. **无占位符** — 不留 TODO/TBD/placeholder 6. **文件最小化** — 只生成 IR 要求的文件，不多创建 ``` ### Technical Analysis The ingestion workflow explicitly recognizes downloaded webpages, repositories, documents, OCR output, and transcriptions as untrusted, but its sanitization only removes presentation artifacts such as navigation, comments, advertisements, and frontmatter. It does not disti ...[truncated 2909 chars]- Remediation
View remediation