安全修复只面向 GitHub main 的最新版本。项目当前是本地研究和原型 runtime，不是经过生产加固的多用户服务。

请使用 GitHub Security Advisory 的私密报告入口，不要为未修复漏洞创建公开 Issue。报告应包含：

• 受影响 commit；
• 复现步骤和最小样例；
• 预期影响；
• 已经采取的临时缓解措施。

不要发送真实 API Key、个人数据、未成年人资料或完整本地数据库。维护者会尽力在 7 天内确认收到报告，但不承诺固定修复时限。

• 公共 demo 只监听 127.0.0.1；
• demo 不读取 Provider Key、不联网、不产生模型费用；
• .local/、.env* 和日志默认不进入 Git；
• 上传内容仍由使用者负责权利和隐私判断；
• 把服务暴露到网络前，必须自行补齐认证、授权、TLS、限流、审计、备份和数据保留策略。