regression-gate.sh：model 欄位未驗證即進 path sink（cd $MODEL_DIR）+ CLI arg（sister of #112）

[kiki830621]

Problem

scripts/regression-gate.sh 的 model 欄位是「#112 那個 bug 隔壁一欄」——未驗證即進 path sink。regression-gate.sh:67 讀 entries[0]["model"] 無 charset 檢查，L80 內插進 MODEL_DIR 後 cd "$MODEL_DIR" + find + shasum，L162 又進 CLI arg --models "$MODEL"。

#112 verify（PR #114，6-AI ensemble）三個獨立 reviewer 各自 live 重現此漏洞：

• Logic lens (A1)："model": "../../../../tmp/…" 產生 traversed MODEL_DIR。
• Security lens (H1)：model='large-v3-turbo/../../../../../../etc' demonstrated traversal。
• Devil's Advocate：baseline[0].model = "large-v3-turbo/../../../../../../etc" 經 L67 → MODEL_DIR canonicalize 成 /Users/che/etc（逃出 cache root）；同 payload 放 language 現已被 regression-gate.sh：baseline language 欄位未驗證即入 worklist TSV（follow-up from #109 verify） #112 白名單拒絕。

換句話說 #112 沒有移除 path-traversal capability，只是把 payload 從 language 移到 model——且 model 觸及的是 language 從不碰的 path sink。

Type

bug

Expected

model 欄位在讀取後（worklist / model-pin 兩處使用點之前）加 charset 白名單 fail-loud，比照 #112 的 language 與既有的 corpus 檢查。white­list 需容許合法 model id 形態（如 whisperkit/large-v3-turbo、含 / 的 HF-style repo path）但拒絕 ..、newline、shell metachar。

Impact

• 威脅邊界與 regression-gate.sh：baseline language 欄位未驗證即入 worklist TSV（follow-up from #109 verify） #112 同：baseline.json 受版控，實際攻擊需惡意 PR 混入 → defense-in-depth。
• 誠實 severity：MEDIUM（read-only path traversal，非 RCE——bash 不 re-scan command-substitution 結果；且能改 baseline.json 者通常也能改 baseline-meta.json，pin-bypass 弱）。

Source: surfaced during /idd-verify #112 (PR #114) — logic lens A1 + security lens H1 + Devil's Advocate, three independent reviewers each live-reproduced. DA 明確要求「file now, not defer」並將 #112 的 safe-close 條件設為「close note 限縮成 language TSV injection closed，且 model follow-up 已 filed」。

Current Status

• Phase: closed
• Last update: 2026-08-02

[kiki830621]

Diagnosis

Type

bug

Root Cause / Analysis

我認為 root cause 是與 #112 同一個類別的欄位驗證缺口，只是換一欄：regression-gate.sh
對 baseline 的 corpus（三重防護）與 language（#112 已補白名單）都有 charset 驗證，
但 model 欄位（L65-68 entries[0]["model"]）完全未驗證，且它流向兩個危險面：

1. path sink（language 從不碰的面）：L80
   MODEL_DIR="$CACHE_ROOT/openai_whisper-$(echo "$MODEL" | sed ...)" → L89 cd "$MODEL_DIR"
   • find + shasum
2. CLI arg：L162 --models "$MODEL"

#112 verify 的三個獨立 reviewer 各自 live 重現：model="large-v3-turbo/../../../../../../etc"
使 MODEL_DIR canonicalize 成 cache root 之外的路徑。#112 沒有移除 path-traversal
capability，只是把 payload 從 language 移到 model。

威脅邊界（同 #112）：baseline.json 受版控、gate 不提交任何東西 → 需惡意 PR 混入，
屬 defense-in-depth。誠實 severity：MEDIUM（read-only traversal，非 RCE——bash
不 re-scan command-substitution 結果）。

Impact

scripts/regression-gate.sh 的 baseline 欄位驗證通道（#116 抽取後為
scripts/lib/baseline-worklist.py）。單點加一條驗證 + 對應負向測試。

Strategy

• 在 baseline 欄位驗證通道加 model 白名單，fail-loud，訊息格式比照既有 corpus/language
• 白名單需容許合法形態（現行 baseline 全為 large-v3-turbo；HF-style owner/repo 亦可能）
  但拒絕 ..、newline、shell metachar、絕對路徑
• 負向測試：../ traversal payload 被 fail-loud 擋下（比照 regression-gate.sh：baseline language 欄位未驗證即入 worklist TSV（follow-up from #109 verify） #112 的 RED→GREEN 證據）
• 正向測試：現行 large-v3-turbo 通過

Conflict Class

C_shared_module_coord — 共享資源具名：regression-gate.sh 的 baseline 欄位驗證通道
（與 #116 同一資源）。依賴 #116 先完成抽取：否則驗證會加在仍無測試覆蓋的 inline
heredoc 上，且 #116 的抽取會立刻把它搬家。

Complexity

Simple

#116 抽取完成後，本 issue 是「對一個已有測試的模組加一條驗證規則」——單一改動點、
既有 pattern（corpus/language 白名單）可直接比照、無設計分歧。

Risks

• 白名單過窄誤殺未來合法 model id（HF-style 含 / 的 repo path）→ 需在設計時決定是否允許
  單一內部 /，並確保仍拒絕 .. 與絕對路徑。

Residue

(none)

Vagueness Pre-check

• V1: 1 — deliverable 單一明確
• V4: 2 — 完成定義清楚（負向 fail-loud + 正向通過）
• Triggered: no

Sister Concerns Filed (mid-diagnose)

(none) — 同 class 的 metric 欄位問題已為 #117。

[kiki830621]

Verify (via PR #126)

Result: PASS — 8/8 Strategy items FULLY，0 blocking。5 個 in-scope fix 已於 round-1（be03a92）修畢。
Full report: #126 (comment)

引擎：3 lens + sequenced DA + Codex 跨模型（本輪成功，前兩輪 429 缺席）。DA 無法推翻核心 PASS。

Follow-up 已 file：#127（pin-reference-model.sh 同款漏洞、更嚴重）、#128（gate wiring 無測試）、#129（symlink 物理 containment）；design D2 未強制已記入 #117。

⚠️ close note 需限縮為「model 欄位的詞法 traversal 已堵 + 該驗證路徑已納入測試」，不得宣稱 baseline 注入面全關（見 #127/#129）。

[kiki830621]

Implementation Complete

Shipped in PR #126 (squash 8b2ba49). 逐項對照 merged code 核對後才打勾。

Checklist

• 在 baseline 欄位驗證通道加 model 白名單，fail-loud，訊息格式比照既有 corpus/language — scripts/lib/baseline-worklist.py MODEL_RE，訊息 ✗ gate error: unsafe model in baseline: …
• [-] 白名單需容許合法形態（現行 baseline 全為 large-v3-turbo；HF-style owner/repo 亦可能） — 刻意不做，scope 更正。原 Strategy 假設 model 欄可能出現 HF-style owner/repo；verify 階段三條腿獨立指出這是欄位混淆：owner/repo 住在 ModelGrid 的 hfRepo，與 baseline 的 model 不是同一個欄位。允許 / 會把剛擋掉的 path-traversal 能力原樣放回來（model 直接進 cd target）。實作因此移除 / 分支，MODEL_RE = [A-Za-z0-9][A-Za-z0-9._-]* 為單一 path component、不含 /
• 負向測試：../ traversal payload 被 fail-loud 擋下（比照 regression-gate.sh：baseline language 欄位未驗證即入 worklist TSV（follow-up from #109 verify） #112 的 RED→GREEN 證據） — a traversal model is rejected and never reaches stdout，另含 a..b 子字串 case
• 正向測試：現行 large-v3-turbo 通過 — worklist 產出以 sha 鎖為逐 byte 相同

[kiki830621]

Closing Summary

Problem

regression-gate.sh 的 model 階段讀 baseline.json 的 entries[0]["model"] 後，把該值送進 cd $MODEL_DIR 這個 path sink 與 CLI arg——完全沒有驗證。#112 才剛補上 language 的驗證，但那只是把 payload 移到隔壁欄位。

Root Cause

gate 用兩段各自獨立的 inline heredoc 解析同一份 baseline：worklist 階段驗 corpus + language，model 階段什麼都不驗。驗證邏輯的分歧是根因——不是某個欄位被忘記，而是結構上有兩個入口、只有一個裝了門。

Solution

model 加白名單：單一 path component、必須以英數起頭、不含 /、.. 另以子字串規則擋（起頭規則已擋整值為 ..，子字串規則另擋 a..b）。fail-loud，訊息格式比照既有 corpus/language。

Strategy 有一項刻意未做：原本寫「HF-style owner/repo 亦可能」。verify 三條腿獨立指出這是欄位混淆——owner/repo 住在 ModelGrid 的 hfRepo，不是 baseline 的 model。允許 / 等於把剛擋掉的 traversal 能力原樣放回。已移除該分支。

Verification

負向：../ traversal payload 被 fail-loud 擋下（a traversal model is rejected and never reaches stdout），另涵蓋 a..b。正向：現行 large-v3-turbo 通過，worklist 產出以 sha 鎖為逐 byte 相同。

Changes

• 8b2ba49 cluster: baseline 欄位驗證抽成受測 lib + 補 model 驗證 (regression-gate.sh worklist 階段無 test 覆蓋（heredoc refactor 可能靜默掉白名單） #116, regression-gate.sh：model 欄位未驗證即進 path sink（cd $MODEL_DIR）+ CLI arg（sister of #112） #115) (cluster: baseline 欄位驗證抽成受測 lib + 補 model 驗證 (#116, #115) #126)

Residue Acknowledgement

diagnose 時 residue 為 (none)，無需承認。