感谢你帮助提升 Multi-Agent Orchestrator 的安全性。本仓库是面向公开发布的多智能体编排系统代码与看板演示版本，因此我们尤其重视以下两类风险：一类是传统的软件安全问题，例如注入、越权、跨站脚本与依赖漏洞；另一类是与智能体编排、任务上下文、运行归档和环境变量相关的敏感信息泄露问题。

本文档说明当前支持范围、安全问题的私密报告方式、维护者的响应预期，以及部署本项目时应遵循的基本安全实践。

当前公开仓库主要维护以下版本范围。

如果你基于本仓库做了长期分支或私有改造，请自行评估补丁回移与配置加固策略。

请不要通过公开 Issue 报告安全漏洞。

如果你发现了潜在安全问题，请优先使用当前公开仓库的私密安全报告入口：

为了便于确认与复现，请在报告中尽量包含以下信息。

如果报告中包含截图、日志或请求示例，请务必先确认其中不含真实密钥、访问令牌、私有 URL、Webhook 地址、运行快照或用户数据。

我们会尽量按照下表节奏处理安全问题，但具体时间仍可能根据问题复杂度、复现难度和影响范围调整。

对于高危问题，我们可能先提供临时规避建议，再发布正式修复。

我们遵循负责任披露原则。也就是说，在修复完成前，不建议公开披露可直接利用的漏洞细节、PoC、敏感路径或攻击步骤；在补丁发布后，我们会在合适的发布说明中向报告者致谢，除非报告者明确要求匿名。

在善意、非破坏性、且不涉及越权持久化访问的前提下，我们欢迎安全研究者以合规方式帮助发现问题。对于遵循负责任披露流程的研究行为，我们不会主动采取对抗性立场。

如果你将本项目用于本地部署、局域网协作或互联网暴露环境，建议至少遵循下列做法。

对于多智能体编排类系统，还应特别关注上下文堆积、归档残留和模型调用日志的泄露风险。即使这些内容不属于传统“凭据”，也可能包含任务历史、内部流程和敏感业务语义，因此应按照敏感运行数据处理。

本仓库是公开发布版本，因此以下内容原则上都不应进入公开提交。

如果你提交安全修复，请优先使用占位值、示例值和脱敏样本。

我们感谢所有帮助改进 Multi-Agent Orchestrator 安全性的研究者、开发者和审阅者。

说明：本项目包含任务编排、上下文管理与公开演示材料。即使某些数据仅用于调试、复现或演示，也可能构成敏感运行信息。在共享、上传、归档或公开展示前，请始终先完成脱敏处理。