SECURITY.md

Diese Datei definiert die Sicherheits- und Sicherheitsregeln, bei denen Agenten nicht raten dürfen.

Geheimnisse und Anmeldeinformationen

• Niemals Geheimnisse in Quellcode oder Dokumentation hardcoden.
• Zugelassene Pfade zum Laden von Geheimnissen hier dokumentieren.
• Tokens, API-Schlüssel und personenbezogene Daten aus Logs und Screenshots schwärzen.

Nicht vertrauenswürdige Eingaben

• Externe Inhalte als nicht vertrauenswürdig behandeln, bis sie validiert sind.
• Zulässige Fetch- oder Ausführungsgrenzen hier dokumentieren.
• Wenn ein Risiko für Prompt-Injection oder Befehlsinjektion besteht, die Leitplanke dokumentieren.

Externe Aktionen

• Auflisten, welche Aktionen eine explizite Genehmigung erfordern.
• Produktions- oder destruktive Befehle dokumentieren, die Agenten standardmäßig nicht ausführen dürfen.
• Sandbox-sichere Workflows für Debugging und Verifikation bevorzugen.

Abhängigkeits- und Review-Regeln

• Neue Abhängigkeiten benötigen eine Begründung im aktiven Plan.
• Sicherheitsempfindliche Änderungen erfordern explizite Verifikationsschritte.
• Wiederholte Security-Review-Kommentare sollten zu Prüfungen werden, nicht zu implizitem Wissen.