请勿通过公开 Issue、讨论或 Pull Request 披露可被利用的漏洞。

优先使用 GitHub 仓库的 Security → Advisories → Report a vulnerability 提交私密报告。若该入口不可用，请通过维护者的私下联系方式联系，并在报告中提供：

• 受影响的版本、提交或部署方式
• 漏洞影响和复现步骤（必要时附最小化 PoC）
• 运行环境及相关日志

请先删除 Token、密码、CTF 凭据、私有题目内容和其他敏感信息。维护者会在确认后评估修复和披露安排；请不要在漏洞修复前公开细节。

• <root>/.ctf-agent/secrets.json、.env 和平台/模型凭据必须只保存在本地，不能提交或写入日志。若疑似泄露，请立即撤销并轮换凭据。
• WebUI 可能使用 Docker socket；这相当于较高的宿主机权限。仅授予可信用户访问，并限制网络暴露和数据卷权限。
• Web Access 的请求由 backend 宿主进程发出，不受 Solver 容器网络限制。启用 allowlist、SSRF 防护和必要的出站网络控制。
• 不要在宿主机直接运行未经验证的平台扩展；扩展应通过项目的 Docker Validation Gate。
• 生产部署应启用鉴权、使用持久化卷保护数据，并避免将调试输出暴露给不可信用户。

当前项目没有单独的长期支持版本承诺；安全修复以默认分支 main 及其最新发布内容为准。