| name | release-hygiene |
| description | צ'קליסט לפני קומיט קונפיג, יצירת ZIP, פרסום, או שיתוף קבצים עם גורם חיצוני |
| allowed-tools | ["read","grep","glob","exec"] |
| triggers | ["user","model"] |
Release Hygiene — צ'קליסט לפני שחרור/שיתוף
מתי להריץ: לפני כל קומיט של קונפיג, יצירת ZIP, פרסום ל-remote, או שיתוף קבצים עם גורם חיצוני.
כלל: FAIL אחד = עצירה מיידית ודיווח למשתמש. אל תמשיך, אל תעקוף.
רשימת "לעולם לא לשתף"
קבצים שאסור להעלות לשרת/ענן/remote או לשתף עם גורם חיצוני. מחיקה — רק באישור מפורש.
| קובץ | מיקום | סיבה |
|---|
tactical_bot_git_backup_20260723_140422.zip | מחוץ לעץ (ספריית האב) | מלוא ההיסטוריה הישנה (1049 קומיטים) עם PII: MACs, chat_id, שמות, נתיבים. גיבוי מקומי בלבד. |
.env | שורש הפרויקט | מפתחות API אמיתיים (VirusTotal, AbuseIPDB, Telegram bot token). |
config/trusted_devices.json | config/ | כתובות MAC אמיתיות של הרשת הביתית. |
config/news_feeds.json | config/ | chat_id אמיתי ב-delivery.telegram. |
config/channels.json | config/ | chat_id אמיתי ב-allow_from. |
config/persona/USER.md | config/persona/ | שם אישי, telegram handle, chat_id. |
data/ (כל הקבצים) | data/ | DBs עם היסטוריית שיחות, IoCs, memory. |
logs/ (כל הקבצים) | logs/ | לוגים עם chat_id, נתיבים, פעילות. |
memory/ (כל הקבצים) | memory/ | זיכרונות אישיים של המשתמש. |
state/ (כל הקבצים) | state/ | מצב runtime עם נתונים אישיים. |
downloads/ (כל הקבצים) | downloads/ | קבצים אישיים (חוזים, מסמכים). |
הרחבה: אם נוצר גיבוי/ZIP/archive חדש שמכיל דאטה רגיש — הוסף אותו לטבלה כאן לפני שמשתפים דבר.
הצ'קליסט (5 סעיפים, כולם חייבים PASS)
סעיף 1 — gitleaks על העץ
gitleaks detect --no-git --source . --config .gitleaks.toml
- PASS:
no leaks found (exit code 0)
- FAIL: כל ממצא. דווח: RuleID, File, Line, Secret (מסופח).
סעיף 2 — חיפושי PII ידניים
הרץ את החיפושים הבאים על קבצים שייכנסו לשיתוף/קומיט (לא על קבצים מוחרגים).
הדפוסים גזורים מטבלת הממצאים המלאה של דוח שלב 1 (סעיף ב') — לא רשימה גנרית.
מקור ה-PII: הערכים האמיתיים נמצאים בקבצי הקונפיג המוחרזים (config/trusted_devices.json, config/channels.json, config/news_feeds.json, config/persona/USER.md). קרא אותם ב-runtime כדי לבנות את הדפוסים המדויקים. אל תכתוב את הערכים האמיתיים בקובץ הזה.
2a. נתיבי משתמש (כל וריאציה)
grep -rnE '[Cc]:[/\\][Uu]sers[/\\][a-zA-Z]' --include='*.py' --include='*.md' --include='*.json' --include='*.yml' --include='*.yaml' .
סווג כל התאמה:
- FOUND: נתיב עם שם משתמש אמיתי (קרא את שם המשתמש מ-
config/persona/USER.md או מה-OS)
- REMEDIATED: היה נתיב אמיתי ותוקן לגנרי (לדוגמה
C:\Users\user) — לא false positive!
- FALSE-POSITIVE: מעולם לא היה ממצא (לדוגמה
C:\Users\attacker בטסט תוקף)
2b. שמות קבצים אישיים
grep -rnE 'חוזה_אלירן|אלירן_ובת|\.kcpps' --include='*.py' --include='*.md' .
- FOUND: שם קובץ אישי אמיתי (חוזה עם שמות, קובץ קונפיג עם שם אישי)
- REMEDIATED: שונה לגנרי (לדוגמה
sample_contract.pdf, kobold.kcpps)
- FALSE-POSITIVE: חלק ממילה תקינה (לדוגמה "סינכרוני" מכיל "רוני")
2c. hostnames אישיים
grep -rnE '<hostname>-PC|<hostname>-PC-Bot' --include='*.py' --include='*.md' --include='*.json' .
(החלף <hostname> בשם המחשב האמיתי מ-config/persona/USER.md או מה-OS)
- FOUND: hostname אישי אמיתי
- REMEDIATED: שונה לגנרי (לדוגמה
tactical_bot)
- FALSE-POSITIVE: אין — כל התאמה היא ממצא או תיקון
2d. handles של טלגרם + chat_id
grep -rnE 'chat_id.{0,6}[0-9]{7,}' --include='*.py' --include='*.md' --include='*.json' .
בנוסף, קרא את ה-chat_id האמיתי מ-config/channels.json (שדה allow_from) ומ-config/news_feeds.json (שדה delivery.telegram.chat_id), וחפש אותו ישירות:
grep -rnE '<real_chat_id>' --include='*.py' --include='*.md' --include='*.json' .
(החלף <real_chat_id> בערך מהקונפיג — אל תכתוב אותו כאן)
- FOUND: handle אישי או chat_id אמיתי בקובץ שייכנס לשיתוף
- REMEDIATED: הוחרז/הוחלף ל-env var (
${TELEGRAM_CHAT_ID})
- FALSE-POSITIVE: chat_id בקובץ example עם
${TELEGRAM_CHAT_ID} (פיקטיבי)
2e. MAC אמיתיים
קרא את רשימת ה-MAC מ-config/trusted_devices.json (שדה mac בכל רשומה), וחפש כל אחד:
grep -rnE '<mac1>|<mac2>|...' --include='*.py' --include='*.md' --include='*.json' .
(החלף את ה-MACs בערכים מהקונפיג — אל תכתוב אותם כאן)
- FOUND: MAC אמיתי מהרשת הביתית בקובץ שייכנס לשיתוף
- REMEDIATED: הוחרז ל-
.example.json עם 00-00-00-00-00-01
- FALSE-POSITIVE:
00-00-00-00-00-01 בקובץ example (פיקטיבי)
2f. שם/כינויים אישיים
קרא את השם האישי וה-handle מ-config/persona/USER.md, וחפש:
grep -rnE '<real_name>|<real_handle>' --include='*.py' --include='*.md' --include='*.json' .
(החלף בערכים מהקונפיג — אל תכתוב אותם כאן)
- FOUND: שם אישי אמיתי בקובץ שייכנס לשיתוף
- REMEDIATED: הוחרז/הוסר (לדוגמה USER.md → USER.example.md)
- FALSE-POSITIVE: "סינכרוני", "אחרונים", "פרוניט", "אלקטרוניקה" (מילים עבריות שמכילות תת-מחרוזת)
כלל סיווג קריטי: ממצא שתוקן לעולם לא מסווג FALSE-POSITIVE. REMEDIATED = היה ממצא אמיתי וטופל. FALSE-POSITIVE = מעולם לא היה ממצא. ערבוב הקטגוריות ילמד את הסקיל לסנן ממצאים אמיתיים דומים בעתיד.
סעיף 3 — git status נקי מקבצים רגישים
git status --short
בדוק שלא מופיעים בפלט:
-
logs/
-
state/
-
data/
-
memory/
-
downloads/
-
config/trusted_devices.json
-
config/news_feeds.json
-
config/channels.json
-
config/persona/USER.md
-
.env
-
.devin/config.local.json
-
PASS: אף אחד מהם לא מופיע
-
FAIL: אחד מהם מופיע — הוא ייכנס לקומיט/שיתוף. עצור.
סעיף 4 — קבצי .example נקיים מערכים אמיתיים
לכל קובץ .example, השווה מול המקבילה האמיתית (אם קיימת על הדיסק):
| Example | Real | בדיקה |
|---|
config/trusted_devices.example.json | config/trusted_devices.json | אסור MAC/IP אמיתי. מותר רק 00-00-00-00-00-01 + 10.0.0.100 |
config/news_feeds.example.json | config/news_feeds.json | אסור chat_id אמיתי. מותר רק ${TELEGRAM_CHAT_ID} |
config/channels.example.json | config/channels.json | אסור chat_id/bot_token אמיתי. מותר רק env vars |
config/persona/USER.example.md | config/persona/USER.md | אסור שם/handle/chat_id אמיתי. מותר רק placeholders |
- PASS: אף ערך אמיתי לא משותף בין הקבצים (רק מבנה)
- FAIL: ערך אמיתי מופיע ב-example. עצור.
סעיף 5 — רשימת "לעולם לא לשתף" מעודכנת
- PASS: הרשימה בראש הסקיל מכילה את כל הקבצים הרגישים הנוכחיים
- FAIL: נוצר גיבוי/ZIP/archive חדש שלא רשום. הוסף לפני שיתוף.
פלט — טבלת PASS/FAIL
הפק את הטבלה הבאה בסיום:
| סעיף | תיאור | תוצאה | הערות |
|------|--------|-------|-------|
| 1 | gitleaks | PASS/FAIL | ... |
| 2a | נתיבי משתמש | PASS/FAIL | N FOUND, N REMEDIATED, N FP |
| 2b | שמות קבצים אישיים | PASS/FAIL | ... |
| 2c | hostnames | PASS/FAIL | ... |
| 2d | handles + chat_id | PASS/FAIL | ... |
| 2e | MAC אמיתיים | PASS/FAIL | ... |
| 2f | שם/כינויים | PASS/FAIL | ... |
| 3 | git status נקי | PASS/FAIL | ... |
| 4 | .example נקיים | PASS/FAIL | ... |
| 5 | רשימת "לעולם לא" מעודכנת | PASS/FAIL | ... |
FAIL אחד = עצירה. דווח למשתמש, אל תמשיך לפעולה החיצונית.
מתי לא להריץ
- עריכת קוד פנימית שלא משתפת עם גורם חיצוני — לא צריך את הצ'קליסט המלא.
- אבל: קומיט ל-main, יצירת ZIP, push ל-remote, שליחת קובץ למישהו — חובה.
