この道具がしないこと
悪意あるコードが入っているかもしれないリポジトリを覗く道具です。読む対象が敵だという前提で作っています。だから楽に見える方法はたいてい塞いであります。
守っていること
ダウンロードしません
clone も fetch も checkout もしません。エディタでフォルダを開いた瞬間に走るペイロードがあります。落とした時点で負けです。
実行しません
対象に対してインストールもビルドも lint も走らせません。package.json もテキストとして読むだけです。
外へ通信できません
画面に CSP をかけているので、ペイロードに書かれたアドレスへ要求を出すこと自体ができません。GitHub 呼び出しは宛先をコードで固定しています。
トークンが画面に降りてきません
gh から借りたトークンはローカルのプロセス内だけにあります。ファイルに保存せず、ログや記録でも隠します。
他の人からは見えません
ブラウザで見るときも 127.0.0.1 にしか開きません。同じ Wi-Fi の別の端末からも見えません。
ペイロードを描画しません
対象の HTML やマークダウンをレンダリングしません。URL は押せない形に無力化して、文字としてだけ見せます。
AI に書き込み権限を渡しません
エージェントは攻撃者が書いた文章を読みます。そこに指示文が混ざっていることがあり、書き込みツールが開いていればそれが侵入経路になります。
復元を押すのは人です
既定はプレビューです。実行には明示的なロック解除が要り、保護ルールのかかったブランチを勝手に変えることもしません。
黙って失敗しません
確認に失敗した対象を「きれい」とは塗りません。確認できなかった件数を数えて、見落とせない場所に書きます。
他のツールの設定を書き換えません
AI ツールにつなぐとき、そのツールの設定ファイルを代わりに編集しません。貼る内容を見せて、人が貼ります。