invisible-unicode-injection-scan-unicode

id	invisible-unicode-injection
name	Invisible Unicode Injection Scan 不可視 Unicode コード注入検出
description	差分に追加されたソースコードへ混入した不可視・危険な Unicode 文字（タグ文字・異体字セレクター・ゼロ幅文字・双方向制御/マーク・変則空白）を検出する。GlassWorm 型サプライチェーン攻撃・ASCII smuggling・Trojan Source（CVE-2021-42574）でコードを不可視化する手口を、決定論的な静的解析（列挙した code point 集合に限定）として捕捉し、canary テストで誤検出の再発を防ぐ
version	0.1.0
category	midstream
phase	midstream
applyTo	["**/*"]
tags	["unicode","supply-chain","midstream"]
severity	major
inputContext	["diff"]
outputKind	["findings","actions"]
modelHint	cheap
dependencies	["code_search"]
exclude	["**/package-lock.json","**/pnpm-lock.yaml","**/yarn.lock","**/*.lock","dist/**","**/*.min.*","**/*.map","**/*.snap"]

Pattern declaration

Primary pattern: Reviewer Secondary patterns: Inversion Why: 不可視・危険な Unicode 文字の混入は、文字コード（code point）で機械的・決定論に判定できる領域が大きい。よって本スキルの一次担保は src/lib/heuristic-review.mjs の決定論 detector（findInvisibleUnicode）と canary テストが担い（.claude/rules/review-core.md の False-positive 責務分界 #1070）、AI レビューは canary が守る範囲を重複指摘せず、文脈的な妥当性（意図した装飾か・攻撃の疑いか）の判断に限定する。危険文字の混入が無ければ実行を止めるゲートが必要。

Goal / 目的

• 差分へ新規追加されたソースコード行に含まれる、不可視・欺瞞的な Unicode 文字を検出する。
• 対象は 2026 年に急増した GlassWorm 型サプライチェーン攻撃（異体字セレクター・ゼロ幅文字でコードを不可視化）と Trojan Source（CVE-2021-42574、双方向制御文字で表示順と実行順を食い違わせる手口）とする。

検出カテゴリ

検出対象は以下に列挙した code point 集合に限定する（Unicode の不可視文字を網羅するものではない）。

• タグ文字（Tag characters）: U+E0000–E007F。GlassWorm 実物・ASCII smuggling・LLM プロンプトインジェクションの主要ベクタ。絵文字タグシーケンス（地域旗など、絵文字ベースに付随する正当な利用）は除外する。
• 双方向制御・マーク（Bidi control/mark）: U+202A–202E / U+2066–2069（制御）と U+061C / U+200E / U+200F（マーク）。表示上のコード順序を実行順序とすり替える（Trojan Source / CVE-2021-42574）。
• 異体字セレクター（Variation Selector）: U+FE00–FE0F（BMP）と U+E0100–E01EF（補助面 VS17+）。GlassWorm がペイロードを不可視に符号化する手口。絵文字の見た目切り替えとして正当な単独利用（絵文字直後の 1 個・キーキャップ）は除外する。
• 不可視・ゼロ幅文字: ゼロ幅スペース（U+200B）・WORD JOINER（U+2060）・ソフトハイフン（U+00AD）・MONGOLIAN VOWEL SEPARATOR（U+180E）・COMBINING GRAPHEME JOINER（U+034F）・不可視数学演算子（U+2061–2064）・ハングルフィラー（U+115F/U+1160/U+3164）・BRAILLE PATTERN BLANK（U+2800）・インターリニア注釈（U+FFF9–FFFB）・非先頭 BOM（U+FEFF）。
• ゼロ幅接合子（ZWJ/ZWNJ）: U+200C / U+200D。絵文字シーケンス内の正当な接合は除外し、識別子・キーワード中の裸の接合子のみ対象とする。
• 変則空白（Confusable whitespace）: NBSP（U+00A0）・U+2000–200A・U+202F・U+205F・全角空白（U+3000）等。文字列リテラル・コメント外に現れた場合のみ対象とする。

Non-goals / 扱わないこと

• 依存パッケージ内部（node_modules 等）の不可視文字検出（別途 CI / SCA の領域）。
• ドキュメント（.md / .txt 等）中のゼロ幅・絵文字利用。正当な装飾・組版が多く、本スキルはソースコードに限定する。既知の受容リスク: README 等のコードフェンスへの注入は現状すり抜ける（#1602 の教訓）。
• 上記に列挙していない Unicode 不可視文字の網羅。列挙集合の外は現状スコープ外とする。
• CJK 漢字の異体字シーケンス（IVS, U+E0100+ を非絵文字ベースに付与する正当な用途）はコードでは稀なため、補助面 VS を一律検出する副作用として誤検出しうる（受容リスク）。
• 機密情報（API キー・トークン）の検出（secret-credential-scan の領域）。SQLi / XSS 等（security-basic の領域）。

Pre-execution Gate / 実行前ゲート

このスキルは以下の条件がすべて満たされない限り NO_REVIEW を返す。

• 差分の追加行に、上記いずれかのカテゴリに該当する不可視・危険な Unicode 文字が含まれている