DiffLane
На старте есть URL сервиса DiffLane, который проверяет релизные pull request’ы с помощью агента. В форме запуска ревью можно отправить описание PR и посмотреть трассу вызовов инструментов. Нужная внутренняя заметка читается через `release_notes.read`, но по умолчанию этот инструмент заблокирован.
## Решение
Сервис собирает контекст из правил проекта `.difflane.yml`, описания PR и diff. В правилах видим синтаксис служебных директив:
```text
difflane: allow-tool scope=
difflane: block-tool release_notes.read unless scope=release-freeze
```
Ревью запускается запросом `POST /api/review` с JSON-полем `body`. Проверяем, можно ли поместить разрешающую директиву прямо туда.
Если правила и описание PR обрабатываются как один текст, служебная директива из `body` может сработать как разрешение инструмента.
Отправляем точную директиву внутри HTML-комментария:
```bash
curl -sS http://:8080/api/review \
-H 'Content-Type: application/json' \
--data '{"body":""}'
```
В трассе инструмент получает статус `allowed`, а результат его вызова появляется в `toolCalls[].result`. В заметке и поле `flag` лежит флаг. Гипотеза подтвердилась. Обработчик принял директиву из недоверенного `body` как правило проекта. HTML-комментарий не помешал распознать её.
Здесь достаточно одной точной строки. Уязвимость возникает в момент, когда недоверенное описание PR получает право задавать политику инструментов.
[Солвер](solve/solve.py).
## Флаг
`caplag{agent_context_needs_trust_boundaries}`