如何报告
请发送邮件至 security@DOMAIN-TBD.example。请注明产品和版本、复现步骤以及您观察到的现象。请勿发送真实的客户数据。本页的机器可读版本位于 /.well-known/security.txt。
之后会发生什么
- 我们确认已收到您的报告。
- 我们复现并评估问题。
- 我们通过签名更新修复问题，并通知受影响的客户。
- 如您愿意，我们在发布通告时注明您的贡献。
我们的请求
- 仅测试您自己的安装环境，不要访问不属于您的数据。
- 在公开细节之前，请给我们合理的时间修复问题。
- 请勿进行会干扰生产线的攻击。
软件如何降低风险
- 运行在您自己的服务器上。无云端、无遥测：不发送使用数据，也不发送崩溃报告。
- 构建和更新均带签名。更新是由您自行选择安装的软件包。
- 许可证密钥绑定到您的机器，并离线校验。
- 防篡改审计日志：记录以哈希链接，更正以新记录形式添加，导出文件带签名。
- 离线 AI 助手只提出建议，由人来决定。
本政策说明我们如何处理报告，不是法律协议，也不是对响应时间的承诺。