Modelo de segurança: o que o sim faz diante de cada ameaça

Modelo de ameaças

Você abre arquivos e repositórios que não escreveu: um clone, um arquivo compactado extraído, um checkout de pull request, um arquivo gravado por outro processo. O atacante controla o conteúdo deles, não a sua máquina. O sim procura garantir que esse conteúdo não consiga se esconder de você, não consiga reconfigurar o editor e não consiga fazer o editor executar código.

Premissas

• Você confia no seu próprio terminal, na sua própria conta de usuário e na sua própria configuração global do git.
• O atacante pode alterar qualquer arquivo de um repositório, inclusive .git/config e os arquivos que ficam ao lado do que você abre.
• O atacante não pode alterar o próprio sim nem o seu diretório home.

Ameaças e o que o sim faz

• Caracteres de controle bidirecionais (Trojan Source)

  A ameaça

  Controles Unicode reordenam a forma como o código é exibido, de modo que o código que um revisor lê não é o código que o compilador lê (CVE-2021-42574). O conselho dos pesquisadores aos editores é tornar esses caracteres perceptíveis.^{[1] [2] [3]}

  O que o sim faz

  U+200E–200F, U+202A–202E, U+2066–2069 e U+061C são desenhados como <U+202E> sobre um bloco magenta e nunca são enviados crus ao terminal. O bloco vale em qualquer estado em que uma célula possa estar: selecionada, encontrada por uma busca, na linha do cursor, dentro de uma mudança vinda de fora, na névoa de uma linha distante, em um título ou em um bloco de código. O texto literal <U+202E> digitado em um arquivo é texto comum e não recebe bloco.

  Especificação: SAFE-8, UI-15

• Caracteres invisíveis e espaços

  A ameaça

  Muitos caracteres Unicode não desenham nada. Uma sequência de caracteres de etiqueta, que espelham o ASCII, pode levar uma instrução escondida a um assistente de IA que lê o arquivo (“ASCII smuggling”); segundo o próprio padrão, um renderizador que desconhece as etiquetas vai “display any sequence of tag characters as invisible” (exibir qualquer sequência de caracteres de etiqueta como invisível). Uma sequência de seletores de variação pode levar um programa: um escondeu uma carga em extensões publicadas do VS Code (GlassWorm). Preenchimentos, hifens suaves, uniões e separadores de linha podem ficar dentro de um identificador ou de um comentário sem mudar nada do que você vê. Um espaço de largura zero, uma marca de ordem de bytes no meio de um arquivo, um espaço não separável ou espaços no fim da linha mudam o que um arquivo significa, ou como um diff é lido, do mesmo jeito.^{[4] [5] [6] [7] [8] [9]}

  O que o sim faz

  U+200B, e U+FEFF em qualquer lugar que não seja o início do arquivo, são desenhados como <U+200B> e <U+FEFF>. Um espaço não separável é desenhado como ⍽, espaços no fim da linha como · e tabulações como ».

  Todo caractere que não desenha nada é mostrado do mesmo modo, como <U+E0041> sobre o bloco magenta, no texto, na linha de status, nas mensagens e na linha de comando, e nos nomes e linhas que vêm de arquivos (a árvore, as abas, a trilha de navegação e os resultados de busca): caracteres de formatação, caracteres de etiqueta, seletores de variação, preenchimentos hangul, o hífen suave, o unidor de grafemas combinantes, U+2028 e U+2029, e todo ponto de código que o Unicode 18.0.0 deixa sem atribuir. Estes ficam como estão: um unidor de largura zero entre dois emoji, um seletor de variação depois de um pictograma, as três bandeiras da Inglaterra, da Escócia e do País de Gales e os caracteres de uso privado (os ícones de uma Nerd Font); os mesmos caracteres em qualquer outro lugar são mostrados. O custo: um kanji seguido de um seletor de variação ideográfica (um modo registrado de escolher uma forma de glifo de um kanji) mostra o seletor, 葛<U+E0100>, porque o mesmo caractere é um canal para esconder dados; isso recai principalmente sobre o texto japonês. A orientação do Unicode para editores de código-fonte recomenda “an option to make visible any default ignorable code points” (uma opção para tornar visíveis os pontos de código ignoráveis por padrão); o sim não tem essa opção e sempre os mostra.^{[10] [6] [11] [12] [13]}

  Especificação: SAFE-8, SAFE-10, SAFE-11, UI-6

• Sequências de escape do terminal em arquivos e nomes de arquivo

  A ameaça

  Caracteres de controle em um arquivo, ou em um nome de arquivo, podem chegar ao terminal como sequências de escape.

  O que o sim faz

  Caracteres C0 e DEL são desenhados como ^[ e os C1 como <U+0085>. Nada cru é escrito no terminal, e os testes verificam os bytes enviados.

  Caracteres de controle e bidirecionais em nomes de arquivo são desenhados com as mesmas formas, ^[ e <U+202E>, na árvore, nas abas, na trilha de navegação, nos resultados de busca e no seletor; a v0.1.0 os desenhava como U+FFFD.

  Especificação: SAFE-8, SAFE-10, TREE-1, GREP-7

• Configurações escondidas em um arquivo (modelines)

  A ameaça

  Um comentário em um arquivo pode definir opções do editor, e bugs nesse mecanismo já levaram à execução de código: CVE-2019-12735 (Vim e Neovim) e CVE-2026-34982 (Vim).^{[14] [15] [16]}

  O que o sim faz

  Configurações e comandos nunca são lidos do conteúdo de arquivos. Não existe modeline para contornar.

  Especificação: SAFE-9

• Configuração local do projeto

  A ameaça

  Um diretório de projeto pode carregar uma configuração que um editor carrega e executa: arquivos exrc no Vim e no Neovim, .helix/config.toml no Helix.^{[17] [18] [19]}

  O que o sim faz

  O sim não tem arquivos de configuração, plugins nem configuração local de projeto para carregar. Apenas a sua escolha de aparência, de ícones e de visualização de Markdown é memorizada, como uma palavra para cada, no diretório de estado do sim.

  Especificação: SAFE-9, LOOK-1

• Configuração de repositório que executa comandos

  A ameaça

  O git executa comandos citados no .git/config do próprio repositório. core.fsmonitor indica um hook que comandos do git como git status invocam, e um driver de filtro indica programas que rodam sobre o conteúdo de um arquivo. Um editor que pergunta ao git o status de um repositório que você acabou de extrair pode executá-los.^{[20] [21] [22]}

  O que o sim faz

  O sim primeiro pergunta ao git a configuração do repositório. O que uma linha de comando consegue impedir é desligado (core.fsmonitor, hooks, filtros, um diff externo, uma conversão de texto), e o git responde. Se os escopos próprios do repositório definirem qualquer outra coisa que possa conter um comando (core.sshCommand, um include que poderia trazer um), o git não é executado. Quando roda, é sem shell, com --no-optional-locks e com um ambiente que impede qualquer busca. O sim não executa nenhum comando de escrita do git, então nenhum hook roda. A árvore diz n git settings off ou git not run, e a linha de status indica a chave e onde ela está.

  Especificação: MARK-1, GIT-1, GIT-2, GIT-3, GIT-5

• Busca que executa o código do repositório

  A ameaça

  O ripgrep lê flags extras de um arquivo de configuração indicado no ambiente e pode executar um comando em cada arquivo que lê (--pre).^[23]

  O que o sim faz

  O sim encontra o ripgrep nas entradas absolutas do PATH, o executa pelo caminho completo com um ambiente vazio e --no-config, e nunca passa --pre a ele. A consulta e os arquivos vêm depois de -e e --, então nenhum deles é interpretado como opção.

  Especificação: GREP-7, GREP-8

• Links que levam para fora do projeto

  A ameaça

  Um link simbólico pode apontar para fora do projeto, e um diretório compartilhado pode conter um link plantado para um salvamento seguir.

  O que o sim faz

  A busca e a prévia leem apenas arquivos regulares cujo caminho real fica abaixo da raiz do projeto. Um salvamento se recusa a gravar através de um link que não pertença nem a você nem ao root, em qualquer componente do caminho.

  Especificação: SAFE-1, GREP-7

• Arquivos reescritos de fora

  A ameaça

  Uma compilação, um formatador ou uma ferramenta reescreve o arquivo que você tem aberto. Ao salvar, você sobrescreve o trabalho dela, ou o trabalho dela sobrescreve o seu.

  O que o sim faz

  O sim percebe, marca o que mudou e compara o hash do arquivo com o do momento do carregamento logo antes do rename. Se forem diferentes, nada é gravado.

  Uma mudança que chega enquanto um salvamento está sendo escrito agora espera a resposta do salvamento, então não pode ser mesclada sobre o texto que está sendo salvo. Uma condição de corrida rara, encontrada em 2026-10-18, podia perder uma linha na v0.1.0.

  Especificação: DISK-1, DISK-2, SAFE-5, SAFE-7

• Falhas e terminais fechados

  A ameaça

  Uma falha, um kill -9 ou um terminal fechado faz perder o texto não salvo.

  O que o sim faz

  O texto não salvo ganha um snapshot no máximo uma vez por segundo em um diretório de estado privado e é oferecido de volta como um único passo de desfazer. O diretório precisa ser um diretório de verdade, pertencer a você e não dar acesso a outros; caso contrário, os snapshots ficam desligados e o sim avisa.

  Especificação: SAFE-6

• Arquivos que não são texto

  A ameaça

  Conteúdo binário ou que não é UTF-8, exibido como se fosse texto, pode esconder o que o arquivo contém e ser corrompido por um salvamento.

  O que o sim faz

  Esses arquivos abrem somente para leitura, com o motivo à mostra. Bytes inválidos são desenhados como U+FFFD, e todo tipo de gravação é recusado.

  Especificação: SAFE-4

O que o sim não faz

• O sim não é um sandbox. Ele roda com os seus privilégios. Mostrar um caractere oculto não impede você de executar o código que ele esconde.
• A lista de caracteres é fixa: a tabela do Unicode 18.0.0. Um ponto de código que uma versão posterior atribua é mostrado como oculto até a tabela ser refeita. Não é uma verificação completa dos confundíveis do Unicode (UTR #36), e letras parecidas de outros sistemas de escrita (homóglifos, a outra metade do Trojan Source) não fazem parte do que a documentação descreve.
• A última verificação antes de salvar compara a marca do arquivo e só compara o hash se a marca mudou. Uma escrita no mesmo microssegundo, ou uma reescrita do mesmo tamanho dentro de um tique de carimbo de tempo num sistema de arquivos de carimbos grosseiros, ainda pode passar.
• Tudo nesta página vem da especificação e dos testes do próprio projeto. Nenhuma auditoria independente é citada na documentação.
• O suporte a servidores de linguagem ainda não existe. Um cliente em sandbox está no roadmap abaixo.