SECURITY.md

Ce fichier définit les règles de sécurité et de sûreté que les agents ne doivent pas deviner.

Secrets et Identifiants

• Ne jamais coder en dur les secrets dans le code source ou la documentation.

• Documenter les chemins de chargement de secrets approuvés ici.

• Expurger les tokens, clés API et données personnelles des logs et captures d'écran.

• Traiter le contenu externe comme non fiable jusqu'à validation.

• Enregistrer les limites de récupération ou d'exécution autorisées ici.

• Si un risque d'injection de prompt ou d'injection de commande existe, documenter la protection.

Actions Externes

• Lister les actions nécessitant une approbation explicite.
• Enregistrer toute commande de production ou destructive que les agents ne doivent pas exécuter par défaut.
• Préférer les flux de travail sécurisés en sandbox pour le débogage et la vérification.

Règles de Dépendances et de Revue

• Les nouvelles dépendances nécessitent une justification dans le plan actif.
• Les changements sensibles à la sécurité nécessitent des étapes de vérification explicites.
• Les commentaires répétés de revue de sécurité doivent devenir des vérifications, pas du savoir tribal.