cc-safety-net 只为最新发布版本提供安全修正。如果你使用旧版本，请在报告问题前升级，除非最新版本也受到该漏洞影响。
本页说明如何报告问题。信任边界、故障时拒绝执行和攻击面见安全模型。规范策略是源代码仓库中的 SECURITY.md。
未被阻止的命令属于公开错误。CC Safety Net 本身的有害行为属于私密漏洞。如果你不确定报告属于哪一种，请阅读选择公开或私密报告。如果你仍需诊断该行为，请从故障排除开始。
私密报告漏洞
不要在公开 GitHub issue 中报告安全漏洞。 如果仓库提供 GitHub 私密漏洞报告，请使用该功能。如果该功能不可用，请发送电子邮件至维护者的地址 jliew@420024lab.com。 在可以安全分享时，请提供以下信息：- 受影响的
cc-safety-net版本 - 操作系统和运行时版本
- 受影响的集成，例如 Claude Code、OpenCode、Gemini CLI、GitHub Copilot CLI 或 Codex
- 复现步骤，以及绕过、削弱或滥用 CC Safety Net 的命令或输入
cc-safety-net explain或cc-safety-net doctor的相关输出- 问题是否会造成数据丢失、命令执行、机密暴露或其他具体安全影响
选择公开或私密报告
CC Safety Net 的任务是在所选安全级别的文档保证范围内，阻止智能体运行破坏性命令。如果工具未完成该任务，此报告属于错误，应提交到公开 GitHub issue。strict 和 paranoid 的威胁模型假定攻击者（提示注入、对抗性上下文）可以发出任何破坏性命令。因此，公布“未捕获此命令形式”不会给攻击者提供其原本没有的能力。公开报告可更快修正缺口，并让用户使用自定义规则作为即时解决方法。 如果工具执行了它不应执行的有害操作，例如泄漏机密、在自身目录外写入文件或发布被篡改的软件包，则此报告属于漏洞。不明显的构造本身就是机密，因此应私密披露。 分界线是：工具未能阻止破坏性命令，还是工具本身成为了有害途径？哪些问题属于安全问题
请私密报告以下问题：- 通过阻止消息、审计日志、诊断、调试输出或误报报告预填内容泄漏机密，包括针对特定令牌格式的遮盖绕过，或报告预览声称已替换但实际未替换的路径
- 审计日志或配置处理中的路径遍历或文件系统问题，其中构造的输入会在目标目录外写入
- 影响已发布 npm 软件包或插件分发的供应链或打包问题，包括 rulebook 完整性
哪些问题应提交公开 issue
以下问题请使用普通 GitHub issues：- 任何让破坏性命令执行的绕过或故障时放行，包括覆盖缺口（规则尚未阻止的命令）、解析器、分词器或包装器分析边缘情况，或者分析错误让命令通过而不是被阻止。请报告命令形式，不要提供可直接粘贴使用的武器化提示注入载荷。
- 安全命令被阻止的误报
- 缺少便利规则或新功能请求
- 文档错误
- 没有安全影响的安装问题
- 关于自定义规则或配置的问题
即使破坏性命令覆盖缺口看起来很严重，它仍应公开报告。它不会被重新分类为漏洞，私密渠道仅用于上述类别。在 standard 模式的文档放宽范围内允许的命令不属于缺口。standard 只提供尽力保护；strict 或 paranoid 才会对这些形式执行故障时拒绝。