GhostChar Auditor

誰のための案か

いまは素の git diff や GitHub の Web 表示でコードの異常を見つけているセキュリティ重視の devops エンジニアと OSS メンテナ

どんな困りごとか

時間とセキュリティのリスク。悪意を持って置かれた不可視の Unicode(ゼロ幅スペース、不可視の方向制御、新発見のゴースト文字)は、IDE や端末の見た目を一切変えずに実行ロジックを変えられる

どう作るか

コミット diff をバイトレベルで解析する軽量な GitHub Action + pre-commit CLI

どう稼ぐか

中規模 SaaS のエンジニアリングチームがリポジトリあたり月 $29 を払う。手動の PR 検証が必須な SOC2 / ISO27001 の監査対応に GitHub 連携で通すため

なぜまだ無いのか

既存の SAST スキャナはソースを構文木として扱い、Trojan Source 攻撃を明示的に探さない限りエンコーディング層のトリックを見落とす。個人開発者なら流入する git diff だけを対象にした特化型バイトスキャナを数秒で回せる

最初の利用者

依存汚染と不可視文字注入を強く警戒している人気ライブラリの OSS メンテナ

作る規模

1 人 × 4 週間。Go 製 CLI スキャナ、GitHub Action ラッパー、PDF 監査レポートを出す簡易ダッシュボード

一番のリスク

GitHub が全リポジトリの diff 表示にゼロ幅警告を純正で組み込み、外部 CI ゲートが不要になった場合

的中の条件(3 つすべて必要)

• 生の git diff ストリームを受け取り、隠し/ゼロ幅文字の正確なファイル・行番号・16 進値を構造化 JSON レポートで出力
• 設定可能なブラックリスト(ゼロ幅スペース、隠し双方向制御、不正な制御文字)に一致する Unicode が PR にあるとビルドを落とす GitHub Action ステータスチェック
• 正当な ASCII / UTF-8 構文を保ったままゴースト文字を除去する自動修復コマンド(ghostchar --fix)

的中の判定(6ヶ月後)

GitHub プロジェクトが 500 スター超、または商用版の課金台帳で有料組織 50 社超(判定日 2027-02-16)

AI自己確度 75/100 — 判定条件を満たす見込みの自己申告で、事業の成功率ではありません