qwen3.8:27b-mlx で設計とプログラミングの実験

前提環境

MacBook Pro M5 32GB
Opencode

お題：OSコマンドインジェクションのダメな例と対処例

まずはデザインのプロンプト

あなたは専属のシステムアーキテクトです。
以下の要件でプログラムを作成したいので、計画を作成してDesign.mdに保存してください
**途中で確認は不要です、最後まで実施してください**

## OSコマンドインジェクションの事例
- アーキテクチャ
  - Java
  - Spring boot
  - Maven
  - thymeleaf
- コマンドインジェクション
  - Web画面の入力項目に入れたコマンドが実行される

結果（Design.md）がちゃんと出ました。全体で350行ほど

抜粋

# OSコマンドインジェクション 教育事例アプリ 設計書（Design.md）

## 1. 概要

### 1.1 目的
本ドキュメントは、**OSコマンドインジェクション（CWE-78 / CWE-94系）の危険性を可視化・習得する目的**の教育用Spring Bootアプリケーションの設計を示す。

- Web画面の入力項目に注入されたコマンドがシェルに通される **脆弱パターン** を提示する
- 同じ要件に対して安全な処理が行える **対策パターン（3種）** を提示する
- フロントエンド上で両結果を並べて対比できる

> 本アプリは「攻撃可能性の実演」ではなく「理解・防御の学習」が目的である。実行環境はサンドボックス化し、悪意ある実コマンドの常時実行を行わないこと（詳細は §9）。

＜中略＞

## 12. デザイン上の判断と理由（Summary）
1. **実行責務を Service/Pinger に集約** → 脆弱点の所在が可視化可能。
2. **`Pinger(抽象)` をテスト差し替え可能にする** → OS非依存で攻撃パズルを検証(T2/T3)。CI で安全。
3. **白リスト検証(InputSanitizer)** が最優先対策、引数分割検証次点。API選択(`ProcessBuilder`)の重要性を示す。
4. **5つの Mode(RAW/SHELL/WHITELIST/VALIDATE/BUILDER)による対比UI**が、本アプリの教育価値の中核。
   攻撃入力に対し「実行される / 拒否される」を UI で一目比較できる。

---
*本文書は実装可能な詳細を提供するものとして作成した。実装は §3〜§11 に従い行うこと。*

次にプログラム作成指示のプロンプト

あなたは専属のシステムエンジニアです。
Design.mdに沿ってソースコードを生成してください

ちゃんとソースが生成されて動作させた画面が以下

RAW、SHELLのモードの場合は、「cat /etc/passwd」が実行できちゃう感じになります。

感想

今までの、qwen2.5-coder:14bや、qwen3-coder:30bはちょっと癖があって使いにくかったのですが、qwen3.8:27bは賢いので、プロンプトをアバウトに書いてもちゃんと理解してくれて、期待通りのものができました。