SECURITY.md

Rama main · réplica de lectura del repositorio original.

# 安全政策

## 报告漏洞

请不要在公开 Issue 中披露尚未修复的漏洞、真实凭据、用户数据或可直接利用的攻击步骤。优先使用 GitHub 仓库的 Private vulnerability reporting 功能联系维护者；如果仓库尚未启用该功能，请仅提交不含敏感细节的联系请求。

报告中建议包含受影响版本、部署方式、影响范围、最小复现条件和可行的缓解建议。维护者确认问题后，会协调修复、回归验证和披露时间。

## 支持范围

安全修复优先覆盖默认分支的最新版本。历史快照、个人修改版以及关闭默认隔离措施的部署不保证获得支持。

## 部署责任

SkillGo 可执行模型生成的工具调用和第三方 Skill。生产部署至少应使用强随机密钥、TLS、独立数据库账号、最小化网络访问和受支持的 Linux 隔离运行时。不要把 Docker Socket、云凭据或宿主文件系统暴露给任务沙箱。