Не размещайте в публичном Issue рабочие секреты, сессии, приватные переписки или инструкции для атаки на чужую установку.

Если на вкладке Security доступна кнопка Report a vulnerability, используйте закрытый отчёт. Если закрытый приём ещё не включён, создайте Issue только с просьбой предоставить приватный канал, без деталей уязвимости и данных аккаунта.

Укажите затронутый выпуск или commit, условия, предполагаемое влияние и минимальное воспроизведение на искусственных данных. При утечке отзовите секрет и остановите затронутый доступ. Гарантированный срок ответа пока не установлен.

Поддерживаемая база — текущая основная ветка с явными ограничениями из README. Статус пилота не означает аудит безопасности. Не запускайте присланный код с доступом к личным MCP, токенам или production.

Security reports must not contain live secrets or personal data. Prefer private vulnerability reporting when enabled. Otherwise request a private channel without disclosing the vulnerability publicly.