Le client signe pour un geste, la cuisine en fait un autreLe prompt de permission demandait un accord — pour la mauvaise actionThe diner signs for one move and the kitchen makes anotherThe permission prompt asked for approval — for the wrong action
Une commande arrive en plusieurs gestes annoncés d’une traite. Avant de commencer, la cuisine tend une feuille au client. Elle montre le geste anodin, tandis que le plus lourd attend derrière. Le client signe donc pour autre chose que ce qui sera fait.Sur des commandes shell composées, le prompt de permission pouvait mettre en avant un changement de répertoire anodin tandis que l’opération Git significative restait masquée derrière. L’utilisateur validait alors un libellé sans rapport avec l’autorité réellement accordée.An order arrives as several moves called in one breath. Before starting, the kitchen sends the diner a slip. It shows the harmless move while the heavier one waits behind it. The signature therefore covers something other than what will happen.With compound shell commands, the permission prompt could foreground a harmless directory change while the meaningful Git operation stayed hidden behind it. The approval then granted authority that the displayed label did not describe.
La réception des commandesEntrées et déclencheursReceiving ordersInputs and triggers
La commande est bien découpée, mais le client signe la mauvaise ligneChronologieThe order is cut correctly, but the guest signs the wrong lineTimeline
Pour faire signer le client, la brigade sépare une longue commande en plusieurs gestes. La demande reste pourtant une seule préparation.Les commandes composées sont parsées pour prendre les décisions de permission.To ask for approval, the brigade splits one long order into several actions. It remains one preparation.Compound commands were parsed to drive permission decisions.
Une première réparation améliore cette séparation. Elle donne la priorité aux interdictions.Un correctif structurel améliore la segmentation et la priorité des règles de refus.A first repair improves the separation. It gives refusals priority.A structural fix improved segmentation and gave deny rules precedence.
Malgré cela, la feuille suivante affiche encore un geste différent. Celui qui compte vraiment reste caché.Un comportement ultérieur affiche encore l’approbation du mauvais sous-ordre.Even so, a later slip still shows a different action. The one that truly matters stays hidden.Later behaviour still surfaced approval for the wrong sub-command.
Le client doit donc signer encore et encore. Il ne peut toujours autoriser utilement la vraie préparation.Les utilisateurs subissent des prompts répétés, impossibles à mettre en liste blanche utilement.The guest must therefore sign again and again. There is still no useful way to approve the real preparation.Users faced repeated prompts that could not be usefully whitelisted.
Le retour du problème apporte la preuve. Une bonne découpe ne suffit pas à choisir la ligne que le client doit approuver.La récidive établit que correction du parsing et sémantique d’approbation sont deux problèmes distincts.The problem returning provides the proof. Correct cutting does not choose the line the guest should approve.The recurrence established that parsing correctness and approval semantics are separate problems.
Le bon cache le geste important derrière le plus petitMécanismeThe slip hides the important action behind the smallest oneMechanism
La brigade peut séparer correctement tous les gestes et choisir pourtant le mauvais pour la signature. Le bon peut ne montrer qu’une petite découpe. La commande engage pourtant toute la réserve. Le client n’autorise donc pas ce qui sera réellement fait.Le parser peut être syntaxiquement correct alors que l’interface retient un segment à faible risque comme action représentative. L’utilisateur approuve un libellé qui ne correspond pas à l’autorité accordée, et la répétition du prompt empêche toute mise en liste blanche utile.The brigade may separate every action correctly yet choose the wrong one for signature. If the slip shows a small cut while the order commits the whole pantry, the guest does not approve what will truly happen.The parser can be syntactically correct while the interface picks a low-risk segment as the representative action. Approval then attaches to a label that misstates the granted authority, and the repeated prompt cannot be turned into a usable allowlist entry.
Le bon doit décrire toute la commande et son plus grand risqueRéponseThe slip must state the whole order and its biggest riskResponse
Avant la signature, le bon résume clairement ce que produira toute la commande. Il montre d’abord l’action la plus engageante, même si elle n’apparaît pas en premier dans la préparation.Un prompt de permission doit résumer l’effet sémantique de la commande complète et afficher l’action de plus haute autorité. Le premier segment parsable n’est pas un candidat acceptable pour représenter la décision.Before signature, the slip clearly sums up what the whole order will do. It leads with the most serious action, even if that action is not prepared first.A permission prompt should summarise the semantic effect of the whole command and display its highest-authority action. The first parseable segment is not an acceptable stand-in for the decision.
La mauvaise feuille est revenue après réparationÉtat actuelThe wrong slip returned after repairCurrent state
Le problème revenu après une première réparation montre que le texte présenté au client protège autant que la serrure. Une étiquette trompeuse rend la signature inutile, même si la commande est bien découpée.La famille d’incidents reste un cas de référence : l’UX de sécurité appartient à la correction de l’enforcement, pas à sa présentation. La récidive après un correctif structurel est l’élément probant.The problem returning after a first repair shows that the words shown to the guest protect as much as the lock. A misleading label defeats the signature even when the order is split correctly.The issue family remains a reference case for treating security UX as part of enforcement correctness rather than presentation. The recurrence after a structural fix is what carries the evidence.
Le client autorise les mots qu’il lit, rien de plusLeçonThe guest approves the words shown, and nothing moreLesson
La signature porte sur la préparation décrite sur le bon. Si la cuisine affiche un petit geste mais en accomplit un plus lourd, elle n’a jamais reçu un accord éclairé.Approuver la mauvaise description n’est pas une approbation éclairée. L’accord ne couvre que ce que le libellé énonce, indépendamment de ce que le système exécute ensuite.The signature covers the preparation described on the slip. If the kitchen shows a small action but performs a larger one, it never received informed approval.Approving the wrong description is not informed approval. Consent covers only what the label stated, whatever the system goes on to execute.