awoooi/docs/security/SECURITY-MIRROR-DRY-RUN.md

資安鏡像 Dry-run 報告契約

項目	內容
日期	2026-05-13
狀態	草案
Schema	docs/schemas/security_mirror_dry_run_v1.schema.json
Snapshot	docs/security/security-mirror-dry-run.snapshot.json
模式	mirror_only
runtime 執行授權	false

0. 核心結論

security_mirror_dry_run_v1 定義 AwoooP 進行資安供應鏈 mirror-only 接入演練時應回報的結果格式。

本輪只建立契約，尚未代表 AwoooP 已實際執行 dry-run。

1. Dry-run Steps

Step	目的	必須維持
LOAD_CONTRACT_INDEXES	載入 manifest / readiness / route / acceptance / quarantine indexes	不執行 contract
CHECK_EVENT_ENVELOPE	確認每筆 payload 不可執行、不可顯示執行按鈕	execution_authorized=false
CHECK_ROUTE_COVERAGE	確認 route groups 覆蓋所有 contracts	不建立 fallback execution route
CHECK_ACCEPTANCE_AND_QUARANTINE	確認驗收與隔離只處理 mirror payload	不阻擋 runtime
CHECK_LOW_NOISE_CHANNEL	確認 Channel Event 低噪音	不對 LOW / MEDIUM 洗版
CONFIRM_NO_RUNTIME_ACTION	確認 dry-run 沒有任何 runtime action	不掃描、不 deploy、不 sync refs

2. AwoooP 可做

1. 顯示 dry-run 報告。
2. 顯示每個 step 的 pass / warn / blocked 狀態。
3. 將 dry-run 結果寫入 Audit evidence。
4. 對 blocked step 顯示需要修正的 contract 或 snapshot。
5. 維持 runtime_actions_executed=false。

3. AwoooP 不可做

1. 不把 dry-run 轉成 production ingestion。
2. 不在 dry-run 中啟動 scan、execute、repo、refs、deploy、secret 類動作。
3. 不把 LOW / MEDIUM observation 變成 blocking gate。
4. 不保存 raw secret、token、cookie、private key 或 exploit payload。
5. 不自動建立 repo、不 sync refs、不切 GitHub primary。

4. 階段定位

S2.6 只提供 dry-run 報告格式，讓 AwoooP 主線未來可以用同一套欄位回報接入演練。

它仍然屬於框架期，不代表鏡像資料已進 production ingestion，也不代表任何執行面已開啟。