La modalità di modifica è lo stato del notebook usato per aprire, modificare e interagire con il contenuto del notebook. In questa modalità, l'editor può caricare i metadati, inizializzare le integrazioni e preparare il documento per l'uso interattivo prima che vengano eseguite eventuali celle di codice visibili.
Questo è importante nella sicurezza informatica perché il percorso di avvio in fase di modifica può diventare parte della superficie di attacco. Se un file di notebook contiene metadati malevoli o configurazioni incorporate, aprirlo in modalità di modifica può attivare automaticamente processi ausiliari, integrazioni di strumenti o altre azioni. Ciò è particolarmente rischioso con notebook condivisi o non attendibili, in cui il contenuto può sembrare dati passivi ma comunque contenere comportamento eseguibile.
I difensori dovrebbero trattare i notebook come artefatti potenzialmente attivi, non solo come documenti. Aprire file non attendibili in un ambiente ristretto, ispezionare i metadati prima di abilitare le funzionalità interattive e disattivare le integrazioni non necessarie, come assistenti che avviano comandi o gestori di protocolli. La lezione chiave è che il rischio può iniziare quando il file viene aperto, non solo quando una cella viene eseguita.