SECURITY.md

Этот файл задаёт правила безопасности, о которых агенты не должны догадываться.

Секреты и учётные данные

• Никогда не зашивайте секреты в исходники или документы.
• Документируйте здесь утверждённые пути загрузки секретов.
• Скрывайте токены, API-ключи и персональные данные в логах и скриншотах.

Недоверенный ввод

• Считайте внешний контент недоверенным, пока он не валидирован.
• Записывайте здесь разрешённые границы fetch или выполнения.
• Если есть риск prompt injection или command injection, документируйте ограничитель.

Внешние действия

• Перечислите, какие действия требуют явного одобрения.
• Запишите любые продакшн или разрушительные команды, которые агенты не должны запускать по умолчанию.
• Предпочитайте sandbox-безопасные рабочие процессы для отладки и верификации.

Правила по зависимостям и ревью

• Новые зависимости требуют обоснования в активном плане.
• Изменения, чувствительные к безопасности, требуют явных шагов верификации.
• Повторяющиеся комментарии security-ревью должны становиться проверками, а не племенным знанием.