何が起きたか
エージェントツールのgate.rsガードは、ぶら下がりシンボリックリンクを介してバイパスできます: エージェントがリポジトリに植えられたシンボリックリンクをたどると、書き込み/編集ツールがサンドボックス化されたワークスペース外に書き込みます。プロンプトインジェクションペイロードは、エージェントを誘導してauthorized_keysエントリなどのファイルを作成させます。
なぜ重要か
エージェントワークスペースガードは、プロンプトインジェクションのデータ流出に対する主要な封じ込め制御です。シンボリックリンクバイパスは、注入されたプロンプトをホストファイル書き込みに変換し、Janを実行している開発マシン上で永続化（例: SSHキー）にエスカレーションできます。
攻撃経路
攻撃者は悪意のあるリポジトリを提供します。プロンプトインジェクションにより、エージェントの書き込み/編集ツールがぶら下がりシンボリックリンクをたどり、ワークスペース外 — 例えばホスト上の~/.ssh/authorized_keysにファイルが書き込まれます。
影響を受けるシステム
Jan >= 0.8.5、< 0.8.8
緩和策
Janを>=0.8.8にアップグレードしてください（GHSA-7j4g-mj5j-p842 / コミット 840c33e6）。