[!WARNING]
このプロジェクトは作業中です。
SpikeStrip は、ARTEX や類似のシステムのような AI 自動化ツールに対する防御を構築する人々に着想を与えることを目的としています。そのデコイと生成プロンプトは実験的なものです。
SpikeStrip は、可逆的なプロンプトデコイを HTML ソースと JavaScript ファイルに追加します。コメントには、AI による評価を別方向へ誘導する指示、偽の脆弱性の手がかり、数学的な気晴らしが含まれています。これらは、ソースコメントに従うエージェントを逸らしたり、検証されていないヒントをスキャン対象に変えたりする可能性があります。従来型のスキャナがこれらのコメントの影響を受けるには、ヒントとして示されたパスやパラメータを抽出する必要があります。このツールは、信頼できないコンテンツを隔離するエージェントや、コメントを無視するスキャナを確実に阻止するものではありません。
各挿入には、a7c94e2b610f のようなランダムな 12 文字の 16 進キーが付与されます。キーは実行ごとに重複がチェックされます。デプロイされたコメントには、SpikeStrip のブランディングや固定のカナリアプレフィックスはありません。HTML コメントは「ページのソースを表示」で確認でき、JavaScript コメントはスクリプトを取得した際に表示されます。コメントはコールバック、実行可能なループ、実行時の計算を一切追加しません。組み込みの参照/一時停止デコイ 3 つは、中立的なレビュー用の文言を使用しています。
プライベートマニフェストには、各コメントとそのキーが記録されます。行番号が変わった後に選択したコメントを削除するために使用します。元の 10 項目のリストは src/payloads.mjs に originalPayloads として残っており、ちょうど 100 語を含んでいます。デフォルトのプールは現在 28 項目で、18 個の追加の指示デコイと偽の脆弱性の手がかりが含まれています。元の数学的タスクには未解決問題、矛盾、終わりのないタスクが含まれていますが、これらのすべてが解決不能であると証明されているわけではありません。
偽の手がかりは、SSRF、SQL インジェクション、サーバーサイドテンプレートインジェクション、DOM ベースの XSS、XXE、パストラバーサル、オブジェクト認可チェックのために考案されたルートとパラメータを名指ししています。一部のコメントは、廃止されたパスが Log4Shell (CVE-2021-44228)、Spring Cloud Gateway CVE-2022-22947、または Apache HTTP Server CVE-2021-41773 の影響を受ける製品を使用していると主張しています。CVE 識別子は実在しますが、パスと主張されているデプロイは捏造です。これらのコメントはルート、脆弱なハンドラ、ネットワークリクエストを一切作成しません。考案されたパスが実際のルートと重複する可能性があるため、デプロイ前に提案された名前をアプリケーションと照合して確認してください。
SpikeStrip は MIT License の下で利用可能で、著作権は Arcanum が保有します。コピーまたはソフトウェアの実質的な部分に著作権および許諾表示を保持する限り、商用製品を含めて、コピーの使用、変更、配布、販売が可能です。ライセンスは、すべての商用利用に対して公的な宣伝クレジットを要求するものではありません。
SpikeStrip には Node.js 20 以降が必要です。このリポジトリから以下のコマンドを実行してください。
npm install --ignore-scripts
node bin/spikestrip.mjs --help
あるいは、チェックイン済みのロックファイルを使用して pnpm install --frozen-lockfile --ignore-scripts を実行してください。このパッケージはプライベートであり、npm への公開を目的としていません。
圧縮後かつデプロイ前に、ビルド済みの静的ウェブルートに対してツールを実行してください。ソースと出力は別々のディレクトリである必要があり、どちらかが他方の内部にあってはなりません。出力コピーには通常のアセットと変更されたファイルが含まれます。ツールは元のファイルを変更せず、シンボリックリンク、VCS メタデータ、依存関係ディレクトリ、プライベートマニフェストフォルダ、および環境ファイルを除外します。
# This preview validates inputs and writes nothing.
node bin/spikestrip.mjs inject ./site --output ./site-planted --count 20 --manifest ./private/run.json
# Apply the plan to a new copy.
node bin/spikestrip.mjs inject ./site --output ./site-planted --count 20 --manifest ./private/run.json --write
--count はツリー全体での挿入総数です。配置、ペイロードの選択、キーには OS の乱数が使用されます。プレビューと後続の書き込みでは、異なる位置やキーが選択される場合があります。組み込みテキストが繰り返される場合でも、各挿入には固有のキーが付与されます。マニフェストパスが指定されない場合、出力ディレクトリの隣の .spikestrip/ 内に作成されます。このフォルダは非公開にし、デプロイ先のサイトの外に置いてください。
このツールは .html、.htm、.js、.mjs、.cjs ファイルをサポートします。Acorn のステートメント境界を使用して JavaScript コメントを配置し、その後、構文ツリーが等価であることを検証します。HTML コメントは、明示的な head または body 要素の直接の子要素の前に配置されます。ドキュメントツリーのチェックにより、コメント以外の変更は拒否されます。
このツールは、属性文字列、raw text、テンプレート、インラインスクリプト本体、テキストコンテンツには挿入しません。明示的な head/body を持たないフラグメント、無効な JavaScript、サポートされていない JSX/TypeScript ファイル、および 2 MB を超えるソースファイルはスキップして報告します。また、安全な挿入位置が存在しないサポート対象のソースファイルについても報告します。これらのソースファイルは変更されずにコピーされます。
Web ソースに自分で散りばめるためのコメントのテキストファイルが必要な場合は、--raw を使用してください。このオプションはサイトディレクトリを必要とせず、ファイルへの挿入やビルドツリーのコピーも行いません。ビルドパイプラインに挿入ツールを入れたくない場合の代替手段となります。
# Preview an export without creating a file.
node bin/spikestrip.mjs inject --raw --output ./comments.txt --count 30
# Export JavaScript/CSS block comments, with one comment per line.
node bin/spikestrip.mjs inject --raw --output ./comments.txt --format js --count 30 --write
# Export HTML/SVG comments instead.
node bin/spikestrip.mjs inject --raw --output ./html-comments.txt --format html --count 30 --write
エクスポートされた各コメントには、それぞれランダムな12文字のキーが付与されます。デフォルトのフォーマットは js で、--format html を指定するとラッパーが変わります。エクスポートごとに1つのフォーマットを選択し、そのファイル形式でコメントが許可されている場所にのみコメントを配置してください。既存の出力ファイルが上書きされることはありません。rawエクスポートでは、組み込みの場合は1から10,000まで、--dynamic を指定した場合は1から1,000までの件数を受け付けます。
rawエクスポートでは、SpikeStripがコメントをどこに貼り付けるかを把握できないため、削除用マニフェストは作成されません。テキストファイルをキーの一覧として保管し、それらのキーを検索して手動でコメントを削除してください。remove コマンドはマニフェストに記録された自動挿入を処理しますが、rawテキストファイルから手動で配置されたコメントを検出することはできません。--raw と一緒にソースディレクトリや --manifest を渡さないでください。
同じ生成用フラグはrawエクスポートでも使用できます。たとえば、OPENAI_API_KEY を設定した後、node bin/spikestrip.mjs inject --raw --output ./unique-comments.txt --format js --dynamic --provider openai --model YOUR_MODEL_ID --count 40 --write を実行します。プレビューの場合もAPIリクエストは行われません。
--mode artex を追加すると、研究ノートで調査した公開ARTEXフォークに基づいて設計された16個のデコイが選択されます。このプロファイルには、引用符付きのAPIパス、偽造されたアーカイブチャンク、ルートマップのエントリ、ワーカーからプランナーへのハンドオフ、トラフィックレビューの迂回路、キー付きサマリー参照が含まれます。デフォルトの --mode generic では、元の混合プールが維持されます。
# Inject the ARTEX profile into a separate site copy.
node bin/spikestrip.mjs inject ./site --output ./site-artex --mode artex --count 20 --manifest ./private/artex.json --write
# Export the ARTEX profile for manual placement.
node bin/spikestrip.mjs inject --raw --output ./artex-comments.txt --mode artex --format js --count 30 --write
# Generate new profile-specific comments with your provider key.
node bin/spikestrip.mjs inject --raw --output ./artex-unique.txt --mode artex --dynamic --provider anthropic --model YOUR_MODEL_ID --count 40 --write
ARTEX プロファイルは独自のプールを選択し、動的生成に prompts/artex.txt を使用します。--prompt-file でそのプロンプトを上書きできます。自動マニフェストは選択されたプロファイルを記録し、削除時は保存されたコメントを使用するため、同じプロファイルや API キーを必要としません。パスを含むデコイには、他の生成候補と区別するためのコメントキーが含まれます。これらはエンドポイント、チャンクファイル、バックエンドの動作を一切作成しません。
--dynamic は挿入ごとに新しいデコイを 1 つ生成します。--count 40 は 40 個の異なるテキストを要求し、40 個の個別にキー付けされた挿入を作成します。このツールは、ビルトインまたは実行中の以前の結果と正規化後に完全一致する重複を拒否します。グローバルまたは意味的な一意性を保証することはできません。
お好みのシークレットマネージャーを使用して、プロセスの環境に OPENAI_API_KEY または ANTHROPIC_API_KEY を設定してください。キーはコマンドライン引数として受け付けられることも、コメントに書き込まれることも、マニフェストに保存されることもありません。アカウントで利用可能なモデルを選択してください。ハードコードされたデフォルトはありません。
# OPENAI_API_KEY must already be set in the environment.
node bin/spikestrip.mjs inject ./site --output ./site-unique --manifest ./private/unique.json --dynamic --provider openai --model YOUR_MODEL_ID --count 40 --write
# ANTHROPIC_API_KEY must already be set in the environment.
node bin/spikestrip.mjs inject ./site --output ./site-unique --manifest ./private/unique.json --dynamic --provider anthropic --model YOUR_MODEL_ID --count 40 --write
生成プロンプトは prompts/generate.txt にあります。ワークフロー指示、捏造されたルートと脆弱性のヒント、既知の CVE のレガシーパス、数学タスクを組み合わせて要求します。数学は 4 項目以上を含むバッチの 4 分の 1 に制限されます。これはプロンプトの指示であり、スクリプトによって強制される割り当てではありません。プロンプトをカスタマイズするには、--prompt-file ./my-prompt.txt を渡します。{{count}} は各バッチの要求サイズに置き換えられます。生成された {{KEY}} 参照は、その挿入のキーでローカルに置き換えられます。スクリプトはコメントの安全性を検証し、不正な形式の出力を拒否します。
生成は --write を指定した場合にのみ開始され、その前にツールが十分な挿入位置を確認するか、生エクスポートの保存先を検証します。動的プレビューは API リクエストを行わず、API キーも不要です。動的カウントの範囲は 1 から 1,000 です。各リクエストは最大 25 件のテキストを生成します。実行は最大 ceil(count / 25) 回のリクエストを行い、自動的に再試行しません。
--max-output-tokens は各レスポンスを上限設定します。デフォルトの上限は 8,192 トークンで、許容範囲は 1,024～32,768 トークンです。プロバイダーがトークン上限やサポートされていないモデルを拒否する場合があります。失敗、拒否、切り捨て、無効な JSON、重複は、サイトを書き込む前に実行を停止します。完了した API リクエストには引き続き課金される場合があります。
選択したプロバイダーは、生成プロンプト、組み込みの参照テキスト、および以前に生成されたテキストを受け取ります。ツールはサイトのソースや挿入キーを送信しません。新しいテキストはプライベートな実行マニフェストと生成されたサイトのコピー、または生エクスポートのテキストファイルに保持され、このリポジトリには書き込まれません。自動マニフェストはプロバイダー、モデル、数値のトークン使用量も記録します。削除はプロバイダーキーなしでオフラインで動作します。
# Remove all comments recorded in this manifest into another new copy.
node bin/spikestrip.mjs remove ./site-planted --output ./site-clean --manifest ./private/run.json --write
# Remove only selected IDs; --key may be repeated.
node bin/spikestrip.mjs remove ./site-planted --output ./site-partial --manifest ./private/run.json --key a7c94e2b610f --write
削除は保存されたコメントと完全に一致し、無関係な編集を保持します。変更または重複したコメントブロックがある場合、出力を書き込む前に実行が停止します。このツールはすでに存在しないブロックをカウントするため、選択したキーを今削除し、残りを後で削除できます。すべての挿入がなくなるまでマニフェストを保持してください。これには監査用の元のハッシュと注入された SHA-256 ハッシュが含まれています。既存の 24 文字のキーは引き続き削除可能です。