Если ты нашёл потенциальную уязвимость в шаблоне (утечка секретов через hook, проблема в AUTOPILOT, которая может привести к потере данных пользователя, дыра в scripts/security-audit.sh и т.д.) — НЕ открывай публичный issue.
Напиши приватно:
- GitHub Security Advisory: Report a vulnerability (предпочтительно)
- Email: через Contact-форму профиля @artemiimillier
Укажи:
- Описание уязвимости
- Шаги воспроизведения
- Ожидаемое и фактическое поведение
- Предложенный фикс (если есть)
- Любая дыра, через которую секреты пользователя (
.env, ключи, токены) могут утечь в публичный git - AUTOPILOT выполняет shell-команды без подтверждения в нарушение инвариантов
- Pre-commit hook пропускает реальные секреты
scripts/security-audit.shложно-отрицательный на известных паттернах- Промпт в
prompts/содержит инструкцию которая ведёт к утечке ПДн
- Несогласие с выбором методологии или структурой папок
- Отсутствие фичи (это feature request)
- Проблемы при установке окружения (VS Code, Claude Code, Node.js) — это в
TROUBLESHOOTING.md - Уязвимости в Claude Code как продукте Anthropic — сообщай им напрямую
- Уязвимости в установленных через шаблон скилах (Bulletproof, Playwright, Skill Creator) — сообщай авторам соответствующих пакетов
- Подтверждение получения: в течение 48 часов
- Первичная оценка: в течение 7 дней
- Фикс или обоснованный отказ: в течение 30 дней для критичных, 90 дней для средних
Мы ценим ответственное раскрытие — после фикса опубликуем security advisory с упоминанием автора находки (если ты не против).