Day 25 已經把平台 evaluator 的標籤和真正的工具副作用拆開。大魔術熊貓工程司現在能回答 「這次攻擊有沒有成功呼叫工具」，接下來要問的是：工具被 PEP 擋住後，caller 還能不能決定 trace 要收哪些自由文字？
標題中的「Secret 儲存在 Trace」是 threat model，不是這次 lab 觀察到的 raw leak。V2 沒有為了讓圖變紅就關掉 Day 14 已有的 redaction；實測 before 只留下 [REDACTED]，Day 26 再把 caller-requested content 整欄省略。這個差別比較不戲劇化，卻比較接近真正的增量控制。
這就像警衛成功攔下 Mallory，值班人員卻順手把她帶來的機密文件影印一份，放進所有人都能翻的簿子。門確實守住了，資料邊界沒有。
今天只處理一件事：trace 要足以還原決策，不能另存一份 prompt、憑證與敏感資料。實驗仍使用合成字串、記憶體 store 與 localhost，不會把任何真實 secret 送往 Application Insights。
先把一個容易混淆的地方講清楚。Alice 實際送出的 user_message 只有：「幫我查一下月兎實驗室的費用 exp-moon-001。」TRACE_CANARY 是測試 harness 分別放進 proposal source、request metadata 的 trace_fixture，以及另一個巢狀 exporter fixture 的 sentinel，不是請 Alice 把測試規格念給 Agent 聽。這次 PEP 拒絕工具，所以沒有觀察到真正的 tool-response leak；人話、模型上下文、系統政策與測試 oracle 如果混成一坨，最後量到的只是出題者有沒有把答案藏好。
工程司在測試 harness 裡定義一個 TRACE_CANARY。實際值與三條獨立注入路徑是：
SYNTH_MAGIC_PANDA_TRACE_CANARY
proposal source／request metadata.trace_fixture／nested exporter fixture
它不是密碼，只是一支煙霧偵測器。只要這串字出現在 response、event、span attribute 或 exporter payload，測試就知道哪條資料路徑仍在漏。使用者看不到、也不需要知道這個值。這次 fixture 不把「故意關掉既有 redaction」冒充 Day 25：Day 25 已會遮罩內容；Day 26 真正新增的控制只有 secure_tracing=True，讓 caller 連已遮罩的自由文字都不能要求保存。
capture_content，custom runtime 再偽造 source畫面判讀目標： 比較 caller-controlled content capture 在 Day 25-before 與 secure Day 26-after 的實際差異。
Tool deny 不代表 caller 可以決定 trace 保存哪些內容。 可觀察狀態：before content_present=true 且 content_redacted=true；after content_present=false；兩邊皆 OBJECT_TENANT_DENIED、零 canary、零 Receipt、lineage=custom-runtime、correlation=true。 Claim boundary：不是 raw-secret leak reproduction，也不是 Foundry tracing 或 Application Insights cloud evidence。
攻擊路徑沿用實際 service，不另外捏造一份漂亮的 span：
Alice：「幫我查一下月兎實驗室的費用 exp-moon-001。」
→ harness 在 proposal source 與 request trace metadata 注入 TRACE_CANARY
→ magic-panda-procurement-agent
→ ToolProposal
→ PEP：deny
→ SecurityEvent
→ Telemetry.export_span()
→ in-memory trace store
同一個自然語句在 before／after 都會被解析成跨租戶 get_expense request，並由 PEP 以 OBJECT_TENANT_DENIED 擋下。差別在 trace sink：Day 25-before 會接受 capture_content=true，但只能留下 [REDACTED]；Day 26-after 直接省略 content。這裡的 capture_content 與 canary 都由 harness metadata 注入，並不是 user message 的一部分。custom runtime 填入 canary 當 proposal source，也會在 event／response 邊界被伺服器正規化成 custom-runtime，不讓 adapter 自己替 lineage 蓋章。
從 day26/ 執行下面的最小重現：
from magic_panda_agent.stages.day26 import trace_capture_summary
evidence = trace_capture_summary()
print(
{
"delta": evidence["declared_delta"],
"before_content_present": evidence["before"]["content_present"],
"before_content_redacted": evidence["before"]["content_redacted"],
"after_content_present": evidence["after"]["content_present"],
"after_lineage": evidence["after"]["lineage"],
"after_correlation": evidence["after"]["correlation_equal"],
}
)
預期判讀不是 Agent 回答得多有禮貌，而是：
delta == [("secure_tracing", True)]
before_content_present is True
before_content_redacted is True
after_content_present is False
after_lineage == ["custom-runtime"]
after_correlation is True
兩條路徑的 trace、event 與 response canary hit 都是 0，response／state receipt 也都是 0。這不是 raw-leak reproduction，而是 profile transition test：既有 redaction 保持生效，Day 26 再縮掉 caller-controlled content capture，同時仍保留 deny event 與 correlation。安全 tracing 不是把監視器拔掉，而是決定鏡頭真正需要拍什麼。
這張圖要同時顯示 before 與 after 的 content_present、零 canary、零 receipt、custom-runtime lineage 與 correlation；不得顯示 raw trace、trace ID、endpoint、subscription 或任何 credential。
這張圖只由下列 trace_capture_summary() command 的縮減 JSON 支持：
PYTHONPATH=src:. uv run python -c \
'import json; from magic_panda_agent.stages.day26 import trace_capture_summary; print(json.dumps(trace_capture_summary(), sort_keys=True))'
它的 stdout 是 JSON evidence payload，不是 PNG。正式發布時，對應 semantic app UI scene 必須由目前相關原始碼經 React + FastAPI + Playwright capture pipeline 重放並產生；schema 3 manifest 必須以 storyboard 與 source-tree SHA-256 綁定實際輸入，strict verifier 再重算本篇所有 required semantic images。公開圖只接受 browser capture。
大魔術熊貓工程司沒有把所有資料交給一支萬用 regex。正式的控制順序是：
診斷路徑：allowlisted attributes → redact before export → sampled trace
安全路徑：policy decision／approval／receipt → sanitized event → 不依賴 trace sampling
第一層是資料最小化。Telemetry.ALLOWED_ATTRIBUTES 只接受案例 ID、工具名稱、決策、reason code、action hash、receipt ID、tenant partition 等結構化欄位。prompt、authorization、cookie、任意 metadata 與完整文件內容預設都不進 exporter。
第二層才是遮罩。即使 allowlisted value 意外包含 canary，也必須在 span 進入 exporter 或 store 之前換成 [REDACTED]。事後只在 KQL 查詢畫面隱藏欄位沒有用；原文早已寫入遙測系統，換個查詢就會再出現。
第三層是讀取授權。本機 lab 用 auditor／alice allowlist 寫負向 contract：auditor 可以讀 sanitized trace，Alice 會收到 TRACE_READER_DENIED。這只是一個測試替身，不能宣稱 Azure RBAC 已完成；雲端驗收還要使用兩個獨立 Entra principal。
Runtime lineage 也與 content provenance 分開。外部 Foundry／custom adapter 的 class 由 server 映射成 foundry-model-output／custom-runtime，不能把任意 source 原文塞進 event；受信任的 LocalRuleRuntime 則保留 model、retrieved-document、memory-summary，因為這三者仍是 PEP 判斷內容是否能授權的安全輸入。把兩種 source 全部覆寫成同一個字串，反而會破壞 Day 6／9 的 canonical policy semantics。
值得再補一個容易漏掉的地方：字典的 key 也可能含資料。redact() 現在會替碰撞後的 key 加上 deterministic suffix，不再靜默覆寫；serializer 也對 cycle、depth、node、item、byte、non-finite number 與 unsupported type fail closed，set／frozenset 先排序。這些是有界本機序列化契約，正式 exporter 仍應優先使用固定 schema，而不是接受任意 key 再靠 regex 清洗。
畫面判讀目標： 確認 service replay 保留 correlation equality，且 external runtime lineage 由 server 正規化。
這張圖只證明 correlation 與 lineage，不把 Trace Context 當成授權證據。 可觀察狀態：before 與 after 的 correlation_equal 均為 true，lineage 均為 custom-runtime；兩邊 decision 均為 OBJECT_TENANT_DENIED 且 Receipt=0。 Claim boundary：未測 tampered traceparent、baggage、source authentication 或 authorization unchanged，也不代表其他 telemetry libraries。
traceparent 能讓下游 span 接回同一條 trace，baggage 則可攜帶額外 key-value。它們適合關聯，不適合放 email、tenant 原文、權杖或業務角色。知道 trace ID 的人也沒有因此升職成財務主管；correlation 解決的是「哪一段流程」，不是「誰有權做什麼」。
截至查閱日 2026-08-03，Microsoft Foundry 的 tracing 使用 OpenTelemetry，trace data 會進入連接的 Azure Monitor Application Insights。Microsoft 文件明確提醒 traces 可能包含 prompt、模型輸入輸出、工具呼叫與中間步驟，這些都可能是 Customer Data；內容最小化、存取控制與 retention 仍是客戶責任。
功能狀態不能只寫「Foundry 已 GA」。截至查閱日，Microsoft 的 readiness 表、tracing overview 與 GA readiness 頁都將 prompt／hosted agents tracing 列為 GA，workflow／external agents tracing 列為 Preview；Tracing VNet 仍是 Preview，private Application Insights 的部分端到端路徑也有限制。這些狀態只適用各自列出的 surface，不能用 hosted service 的其他狀態一併推定 tracing、網路路徑或 exporter 也已 GA。
本篇雲端 companion 預計驗收：
這四項目前均為 PENDING-CLOUD。本機 trace 圖不能冒充 Application Insights ingestion，也不能證明私有網路路徑。
畫面判讀目標： 在同一個 direct trace fixture 驗證 canary、correlation 與 reader allow/deny。
遮罩後仍保留 bounded correlation 與可測的 reader gate。 可觀察狀態：canary_hit_count=0、correlation_equal=true、auditor 可讀 2 spans、Alice 得到 TRACE_READER_DENIED。 Claim boundary：不重建 decision、Receipt、error 或 timestamp chain，也不涵蓋 external exporters 或 production reader roles。
從 day26/ 執行：
env PYTHONPATH=src:. PYTHONDONTWRITEBYTECODE=1 \
PYTHONNOUSERSITE=1 PYTEST_DISABLE_PLUGIN_AUTOLOAD=1 \
python -m pytest tests/stages/day26/test_acceptance.py -q -p no:cacheprovider
Acceptance suite 至少要固定以下 contract：
secure_tracing=True；PEP 與既有 redact_before_export 兩邊都保持開啟。OBJECT_TENANT_DENIED，response 與 state receipt 都是 0；before 保存已遮罩 content，after 完全省略。custom-runtime，span／event／response 的 correlation 一致。UNSUPPORTED_EXPORT_TYPE 在 store mutation 前 fail closed，且不呼叫 attacker-controlled __str__。auditor。Day 26 當日 acceptance 沒有驗證 event-type export allowlist 或 receipt correlation；累積 adversarial regression 已補 nested defensive deep copy、cycle／bounds 與 collision 測試。這些邊界要分開描述，不能把後續累積回歸倒寫成原始六項 acceptance。
本輪使用上面的 cache-clean contract 重跑為 8 passed。
D26-APP-CALLER-CAPTURE-ATTACK 只比較 before／after content capture；D26-APP-TRACE-CONTEXT 只顯示 service replay 的 correlation equality 與 lineage；D26-APP-REDACTION-READER-TEST 則以另一個單一 direct trace fixture 顯示零 canary、correlation 與 reader allow／deny。三張圖不得跨 command 拼接成 storage routing 或完整事件重建證據；APPLICATION_INSIGHTS_EXPORT_NOT_EXERCISED 仍成立。
兩個 command 如下；caller-capture 與 correlation-lineage screenshots 雖使用相同 helper，capture pipeline 仍會各自 fresh-run，再套自己的 selectors：
PYTHONPATH=src:. uv run python -c \
'import json; from magic_panda_agent.stages.day26 import trace_capture_summary; print(json.dumps(trace_capture_summary(), sort_keys=True))'
PYTHONPATH=src:. uv run python -c \
'import json; from magic_panda_agent.stages.day26 import trace_reader_evidence; print(json.dumps(trace_reader_evidence(), sort_keys=True))'
兩條 command 都只產生 JSON payload，不直接產生上面的 PNG；正式發布時，本篇 required app UI scenes 必須由 repository UI capture pipeline 依 storyboard profile 產生。正式 UI 圖只支持本機 serializer、reader 與 correlation contract；APPLICATION_INSIGHTS_EXPORT_NOT_EXERCISED 仍明確保留。
目前控制只涵蓋 magic_panda_agent 這條已知 span exporter。第三方 instrumentation 仍可能從 exception、HTTP header、log、baggage 或另一個 evidence bundle 開新路。本機 reader 權限只是 process-local allowlist；雖然寫入端已 deep-copy，讀取 API 仍只回新的外層 list，不是 immutable view。sampling 與 ingest delay 也可能讓「查不到資料」同時代表沒發生、沒送到、沒權限或被抽樣四種不同狀態。
NIST CSF 2.0 的 Detect 並不要求把所有原文永久保存；ISO/IEC 27002:2022 提供 logging 與 access-control guidance，也不會替應用程式決定哪些欄位必要。規範能提醒我們建立控制與責任，今天的 canary、allowlist、negative reader test 才是這個 Agent 的可執行證據。
Day 27 會故意把同一個 alert 重送兩次。下一個問題不是 dashboard 有沒有變紅，而是處置會不會重複撤權、kill switch 是否真的在工具前生效，以及復原核准能不能被舊 token 重放。
iThome鐵人賽
看影片追技術