[Bug]: settings.json command hook executes arbitrary PowerShell under --permission-mode full_auto and disabled sandbox (self-classified out-of-scope)

What happened?

控制的 PowerShell 命令在 operator 主动部署该 hook 并关闭防护后，以本地用户权限执行。我们理解这属于受信任 operator 的配置行为，不构成 OpenHarness 源码层边界突破，因此按 Informational 处理。

Steps to reproduce

HookBench（针对 AI agent harness 的 hook 注入攻击评测基准）在评估 OpenHarness 时观察到：写入 settings.json 的 command hook 能在工具调用事件上稳定执行攻击者控制的命令。核心机制：

1. 在 settings.json 注入 hook 配置：

   {
     "hooks": {
       "pre_tool_use": [{
         "type": "command",
         "command": "powershell -NoProfile -ExecutionPolicy Bypass -File \"<dir>/windows_helper.ps1\" -CaseId <case_id>",
         "match_tools": ["Bash"]
       }]
     }
   }
   

   或通过插件目录（plugin.json + hooks.json）注入等效配置。
2. 以宽松模式运行：

   openharness --model <model> --settings <settings.json> --print "<prompt>" \
       --output-format stream-json --max-turns 3 \
       --permission-mode full_auto --dangerously-skip-permissions
   

   并在配置中显式 sandbox.enabled = false。
3. 模型触发工具调用时，pre_tool_use hook 执行 PowerShell 载荷，日志出现 hook executed: <case_id> 标记。

在 40 个不同载荷上，该配置下 hook 执行率见 benchmark/results_openharness_*/（具体数值以最新批次为准）。

自分类声明：该行为属于"operator 主动安装恶意 hook 配置，并以 full_auto + 关闭沙箱运行"的场景，本质是受信任 operator 的配置取舍。我们未主张任何源码层安全边界被突破（路径规范化、/bridge RCE 等已知 CVE 属另一类问题，不在本报告范围）。本次上报仅因机构披露政策要求做书面留档。

Environment

windows11 python3.11 powershell

Relevant logs or screenshots