# 安全政策 Security Policy

> 本项目欢迎安全研究者负责任地披露安全漏洞。
> Responsible security disclosure is welcomed.

## 报告漏洞 Reporting a Vulnerability

**请勿在公开的 GitHub Issue 中提交安全漏洞。**
**Please do NOT report security vulnerabilities through public GitHub issues.**

请将漏洞详情发送至本仓库任一 maintainer 邮箱。

报告中请包含：

- 漏洞所在的文件 / 模块 / 子系统
- 影响版本（commit hash 或 release tag）
- 复现步骤（最好附 PoC）
- 你认为的潜在影响（信息泄露 / RCE / 拒绝服务 / 物理安全等）
- 你希望的署名方式（公开致谢 / 匿名）

## 我们的承诺 Our Commitment

| 阶段 | 目标响应时间 |
| --- | --- |
| 首次确认收到 | 5 个工作日内 |
| 初步影响评估 | 10 个工作日内 |
| 修复方案 / 缓解措施 | 视严重程度而定 |
| 公开披露窗口 | 与报告者协商，通常 30 ~ 90 天 |

我们不提供漏洞赏金 (Bug Bounty)，但会在 release notes 中公开致谢（除非你要求匿名）。

## 支持的版本 Supported Versions

仅 `master` / `main` 分支接受安全修复。历史 release tag **不再** 反向移植安全补丁，请用户自行升级到最新版本。

## 范围 Scope

**纳入** 安全披露的内容：

- 本仓库下的全部源码（不含 `third_party/` 子模块、不含 `kuavo_model/external_models/` 外部模型仓库）
- 默认配置 (`configs/`)
- 部署脚本与服务 (`kuavo_server/`, `kuavo_deploy/`)

**不在范围内**：

- 第三方仓库（请向上游报告：LeRobot / OpenPI / NVIDIA GR00T / LingBot-VLA 等）
- 已被 EoL（End of Life）的依赖版本
- 仅在用户自行修改默认配置后才可触发的问题
- 机器人物理硬件的固件安全（请联系硬件团队）

## 关于人形机器人的物理安全

⚠️ **本项目控制的是物理机器人。** 任何可能导致机器人异常运动、人身伤害的漏洞，请按 **严重缺陷** 等级紧急报告，我们会优先处理。