# 安全策略

## 支持范围

安全修复优先合入当前开发分支和最新发布版本。`0.x` 阶段接口可能变化，旧预览版本不保证单独回补。

## 报告漏洞

请使用 GitHub 仓库的 **Security → Report a vulnerability** 私下提交报告。不要在公开 Issue、Discussion 或 Pull Request 中披露可利用细节。

报告中请尽量包含：

- 受影响版本和运行环境；
- 最小复现步骤或测试仓库；
- 实际影响和预期行为；
- 已知缓解措施；
- 是否允许在修复公告中致谢。

维护者会先确认收到报告，再评估影响、修复和披露时间。请在修复发布前保密。

## 安全边界

本插件校验模型提交的命令、隔离会话提议并阻止重放，但执行仍依赖 Harness Shell、沙箱策略、操作系统权限、Git 配置和仓库内容。恶意仓库中的 hook、helper 或其他 Git 配置不属于本插件能够完全隔离的边界；请只在可信环境中运行。