请勿在公开 Issue、PR 或日志中提交有效密钥、账号信息或可直接攻击在线服务的细节。

优先使用仓库 Security 页的 Report a vulnerability 私密报告入口。若该入口尚未启用，请先创建不含漏洞细节的 Issue，请求维护者开通私密报告渠道，待渠道确认后再提供复现材料。

报告请包含受影响版本、部署方式、复现步骤、预期与实际行为，以及已脱敏的最小证据。维护者根据复现结果安排修复；当前未承诺固定响应 SLA。

目前维护首个整合版本及其后续稳定版本。部署者负责 TLS、备份、账号审批、上游 MCP 授权和模型服务密钥。第三方 Skill 与 MCP 工具可能执行代码或访问外部网络，安装和授权前应审查来源及权限。

本地 daemon 仅应监听本机并保留 Token 验证；不要将其直接暴露为公网多用户服务。新部署先在受控网络完成管理员注册，再开放访问。