SECURITY.md

このファイルは、エージェントが推測してはならないセキュリティと安全性のルールを定義します。

シークレットと認証情報

ソースや文書にシークレットをハードコードしない。
ここで承認されたシークレット読み込みパスを文書化する。
ログとスクリーンショットからトークン、APIキー、個人データをマスキングする。

信頼できない入力

外部コンテンツは検証されるまで信頼できないものとして扱う。
ここで許可されたフェッチまたは実行の境界を記録する。
プロンプトインジェクションまたはコマンドインジェクションのリスクが存在する場合、ガードレールを文書化する。

外部アクション

明示的な承認が必要なアクションをリストする。
エージェントがデフォルトで実行してはならない本番または破壊的なコマンドを記録する。
デバッグと検証にはサンドボックス安全なワークフローを優先する。

依存関係とレビューのルール

新しい依存関係はアクティブプランでの正当化が必要である。
セキュリティに敏感な変更には明示的な検証ステップが必要である。
繰り返されるセキュリティレビューのコメントは、暗黙知ではなくチェックにするべきである。