重点关注本地代理鉴权绕过、API Key / 令牌的存储与泄露、配置同步与覆盖、文件权限、HTTP 转发及第三方请求相关安全问题。普通 API 兼容、模型不可用、供应商限流或配置错误，一般按支持指南反馈；若可能导致越权、数据泄露或未经授权的文件修改，应按安全问题处理。

安全修复优先面向最新正式 Release。维护分支仅在维护者明确声明其仍受维护且问题适用时评估补丁，不默认所有历史版本、预发布版本或归档分支持续获得补丁。旧版本用户应先查看最新正式版和发布说明；排查与验证使用隔离环境，避免危及真实数据。

优先使用 GitHub Private Vulnerability Reporting：打开仓库 Security → Advisories，仅在仓库已启用该功能且显示 Report a vulnerability 按钮时，通过该按钮私密报告。请在提交前确认所处页面为私密报告入口。

如果没有该按钮，说明该入口当前不可用。本项目目前未公布其他私密联系渠道，需要维护者先在仓库 Settings → Security 中启用 Private vulnerability reporting（具体分组以 GitHub 界面为准），才能通过该入口安全接收敏感漏洞详情。请暂缓发送详情；如需公开提醒，只说明“需要启用私密漏洞报告渠道”，不要附带漏洞位置、复现步骤、利用代码或敏感附件。

不要通过公开 Issue、PR 或评论披露漏洞利用细节或凭据，也不要上传 API Key、Authorization、访问令牌、真实对话、个人隐私、完整 config.json、models.json、gpui-drafts.json、私密数据库及其备份。 即便使用私密渠道，也请使用假 Key、合成数据和最小必要附件。

私密渠道可用后，请尽量提供：

• 受影响的 Release / commit、操作系统与架构，必要时提供 WorkBuddy 版本。
• 漏洞前提、影响范围、预期安全边界与实际行为。
• 在隔离环境中以假凭据和合成数据构造的最小复现；无需提供真实密钥、商业账号或公网服务。
• 已知缓解办法及脱敏证据（如有）。

维护者会按可用时间尽力评估、沟通、修复并发布说明，不承诺固定受理或补丁时限。请通过私密报告协商披露范围与时间，在修复或缓解方案可用前避免公开可利用细节；发布时也应保护报告者和用户隐私。

本指南说明漏洞协作流程，不修改 MIT LICENSE，不增加软件使用限制。普通反馈及社区讨论另见贡献指南与行为准则。