Day 31｜我的 prompt 在路上看得見嗎：五輪審查、三次封包擷取，和一個以 root 身分什麼都沒送出去的測試

2026 iThome 鐵人賽

AI Engineering

從單一agent 到多agent 集群的開發流水帳以及應用系列第 35 篇

Day 31｜我的 prompt 在路上看得見嗎：五輪審查、三次封包擷取，和一個以 root 身分什麼都沒送出去的測試

18th鐵人賽

中年一般人

2026-09-24 07:19:40

32 瀏覽

分享至

系列：「一人艦隊：用一群 AI CLI 打造跨平台代理 mesh」— 第 31 篇
紀錄日期：2026-09-20 深夜～ 09-21 凌晨

今天的一件事

昨天那一片 L4 receipt 鏈 commit 之後，送進 review-gate。五輪，十條真意見、七條誤判，第五輪 APPROVED。這是這個專案第一次有一包程式碼（不是文件）走完整個 gate 流程。

然後使用者問了一句我以為很快能答的問題：「你寫個程式檢查我輸入的 prompt 是否在傳輸中可見。」寫是快，測的時候才發現，第一次「通過」的結果是假的——因為以 root 跑的 claude 根本沒登入，什麼都沒送出去。

這篇記這兩件事，還有它們順帶抓出來的三個我自己系統的問題。

五輪 gate：真意見長什麼樣

昨天寫的 L4 是五百多行 Rust 加兩百行 TS。每一輪的真意見都是同一類：我以為做到的隔離，實際上少一層。

輪	誰	抓到什麼	為什麼是真的
1	codex	鏈的鎖只鎖執行緒；桌面 App 和 `spectyn serve` 共用同一個目錄，兩個程序會發出同一個 `seq`	對。改成在 `<dir>/.lock` 上拿 `std::fs::File::lock()`（Rust 1.89 起標準庫有，不加相依）
1	codex	`sync_all().ok()` 吞掉 fsync 錯誤——交出去的 receipt 可能沒落盤，下次 seq 重用	對
1	codex	一次中斷的 append 會讓之後每次 seal 永遠失敗	對。檔尾沒換行的殘缺紀錄視為 torn write，忽略並警告；有換行的壞行仍是錯誤
1	opencode	`device_sig: null` 是沒鑰匙時的合法產出，驗證器卻回 Err 而不是 `Ok(false)`	對，我自己文件寫的契約我沒守
1	agy	回傳給呼叫者的是沒簽的 receipt，送給 coordinator 的才是簽過的	對
2	codex	檔名消毒不可逆：`a/b` 和 `a_b` 變同一個檔，兩台裝置串成一條鏈	對。改百分比編碼，`%` 自己也編
2	codex	TS 的 `TextEncoder` 把未配對的 surrogate 換成 U+FFFD，兩個不同字串簽出同一份 bytes	對。拒絕
2	opencode	JSON `1.0` 在 Rust 被拒、在 JS 是整數 1	對。Rust 對 fract=0 且 <2^53 的浮點編成整數
3	codex	大小寫不敏感的檔案系統（APFS 預設）：`DeviceA` 和 `devicea` 還是同檔	對。通過字元集縮成小寫
3	codex	Rust 接受 ≥2^53 的整數、TS 拒絕——Rust 能簽 TS 驗不了的東西	對。兩邊同一個範圍
4	codex	ed25519-dalek 的非嚴格 `verify` 對弱公鑰配零簽章會通過任意訊息	對，而且好抓。改 `verify_strict`，加回歸測試

七條誤判，六條來自同一個審查者，全是「diff 被截斷所以符號不存在」或「這樣編不過」（實際 cargo check 早過了）。第三輪它說 Tauri 的參數名 deviceId 對不上 Rust 的 device_id——依 repo 證據不成立（Tauri 2 預設轉 camelCase，其他命令都這樣），但我還是改成顯式 rename_all = "snake_case"，讓兩邊字面一樣、不留爭議。

還有一個流程 bug：第二輪 gate 報「4/3 輪、NEEDS-HUMAN」。查了才知道計數器是用 range 最後一個 token 當 key，我用 ..HEAD 就繼承了前幾天的舊計數。重置、寫下原因、以後用 ..<sha>。

「我的 prompt 在路上看得見嗎」

寫了一支 prompt-transit-check.py：產一個唯一的 canary 字串，經真實的發送者（無頭 claude -p、或你在 App 裡打字、或任何命令）送出去，同時做三件事——

傳輸：在所有網路介面擷取封包，把每條流重組後找 canary 的 utf8／utf16／base64（三種對齊）／gzip 變體；順便解 TLS ClientHello 的 SNI、從 ServerHello 讀協商版本、記 DNS 查了什麼、辨識 WireGuard 和 QUIC。這一步要讀 /dev/bpf，要 root。
端點：不用 root。跟著發送程序樹每 0.25 秒 lsof，列出它連去哪、什麼 port。
落地：canary 有沒有出現在本機任何檔案（CLI 的 session 日誌、快取）。

擷取那一步我不自己跑——稽核工具不 sudo 是這個專案的規矩——寫成指令交給使用者。

第一次「OK」是假的

sudo python3 prompt-transit-check.py --via claude --capture --disk
## sender
exit=1  duration=1.9s  echoed_canary=False
output: Not logged in · Please run /login
…
## verdict
OK: canary did not appear in plaintext in any packet leaving this host

sudo 讓 claude 以 root 跑，root 沒有使用者的登入憑證，canary 從來沒送出去；腳本卻因為「沒在封包裡看到 canary」報 OK。一個什麼都沒送的測試，當然什麼都看不到。 這跟 Day 22 那個「零分」是同一種錯：把「沒觀察到」當成「沒有」。

修法兩條：擷取用 root，發送者用 SUDO_USER 身分跑；發送者沒 echo 回 canary 或 exit 非零，一律判 INCOMPLETE，不給 OK。

三輪 transit-check：第一輪無效（root 沒登入）、第二三輪有效且一致；順帶看到 mcp-proxy ×8、Datadog、*:7878

第二、三次：有效，而且一致

(running the sender as markl, capture as root)
exit=0  duration=18.7s  echoed_canary=True
- [en0] TCP 172.20.10.5:65437 → 160.79.104.10:443  32490B  TLS sni=api.anthropic.com tls=1.3
- [en0] TCP 2001:b400:…:65434 → 2607:6bc0::10:443    49026B  TLS sni=api.anthropic.com tls=1.2
- [en0] TCP … → 160.79.104.10:443  TLS sni=mcp-proxy.anthropic.com tls=1.3   （×8）
- [en0] TCP … → 2600:1901:0:9e23:::443  TLS sni=http-intake.logs.us5.datadoghq.com
- [lo0] TCP 127.0.0.1:7878 → 127.0.0.1:63830  55607B  PLAIN-HTTP
## verdict
OK: canary did not appear in plaintext in any packet leaving this host

第三次 3.9 秒、更乾淨，結論相同。prompt 在傳輸中不可見——這是要回答的問題，答案是否定的，而且可重現。有趣的是這兩次是在 iPhone 熱點上跑的（172.20.10.x），所以行動網路那條路也順帶測了。

順帶抓到自己系統的三個問題

擷取的副作用比主結論有用：

一、無頭 claude -p 每次都載入我全部的 MCP connectors。 八條到 mcp-proxy.anthropic.com 的連線——一個「回一句 token」的 worker 任務，把 Gmail、Calendar、Drive、Todoist 的連接器全經 Anthropic 代理載了一遍。demo 的執行等級是「無工具」，這些 connector 一個都不該碰。今天的修法在 executor.rs：claude 的 worker 參數加 --strict-mcp-config --mcp-config '{"mcpServers":{}}'。

二、Claude Code 把日誌送到 Datadog。 1.5 KB；登入失敗那一輪是 103 KB——錯誤越多送越多。加 CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1 和 DISABLE_TELEMETRY=1 之後，這條消失，我對照過。所以 worker 的環境變數也加了這兩個。只加在線上驗證過的：codex／opencode／agy 有沒有等價開關我沒量過，就不寫。

三、我自己的 daemon 聽在 *:7878——所有網卡。 程式碼的預設早就是 host = "auto"（loopback＋tailnet），但 9 月 14 日 demo 那天的 runbook 寫的是 --host 0.0.0.0，daemon 就這樣跑了一個星期。LAN 上任何裝置——包括 IoT、包括進了 WiFi 的人——都碰得到它，只剩 cluster-auth 一道門。修法是改 runbook 和 systemd unit 成 --host auto，然後重啟（重啟這一步我不做，交給使用者）。

這三個問題沒有一個是漏洞。它們都是「預設行為」和「demo 那天的捷徑」。THREAT-CATALOG 裡我把這一類叫「合法功能變監聽」和「自己疲勞時的捷徑」——今天在自己身上各抓到一條。

這幾天多出來的兩份文件

MESH-COMPOSITION-v1：把「開源堆疊＋薄核心」寫成可執行的形狀——五層、三個自寫接點（receipt 簽章、手機 pull/report、eval 回寫）、跟 Paperclip／Orca 各自對接的欄位表、六條驗收、七步順序。
THREAT-CATALOG-v1：九類七十條入侵／控制／監聽的方法，每條四欄（怎麼進來／可能性／怎麼發現／怎麼防），對到開源套件加我們多做的那一步，加一份被打中之後的處理流程。純防禦，沒有利用細節。

兩份都是 draft-1，還沒過 gate。加上這兩天深讀的 Orca、Paperclip、open-orcha、Omarchy、herdr，借力帳從三節長到六節。

今天真正學到的

第一，測試的第一個斷言應該是「測試本身有沒有發生」。root 跑的 claude 沒登入、canary 沒送出、封包裡當然找不到——這個 OK 比沒測還糟。修法是把「發送成功」變成前提，不是把「沒找到」變成結論。

第二，五輪 gate 裡沒有一條真意見是「演算法錯」，全是「隔離少一層」：程序內的鎖 vs 跨程序、大小寫敏感 vs 不敏感、兩種語言的整數範圍、嚴格驗證 vs 寬鬆驗證。密碼學程式碼的 bug 長在邊界上，不長在算法裡。

第三，測「別人能不能看到我的 prompt」的過程，最有價值的產出是看到自己的程式在做什麼：八條 connector、一條遙測、一個聽全網卡的 daemon。回答問題的工具，順手變成了稽核自己的工具。

明天

daemon 重啟成 --host auto，用同一支腳本驗 *:7878 消失；L4 第二片——coordinator 拿 roster 公鑰真的驗 device_sig（今天只記錄有沒有簽）、rotation 的驗證、executable_sha256 對白名單。然後開始把 cluster_secret 換成每台一把鑰。