ShadowCrafter의 소프트웨어 취약점뿐 아니라 다음 모델·데이터 보안 문제도 이 정책의 적용 대상입니다.

• 비밀 또는 학습 데이터의 재현·노출
• 프롬프트 인젝션으로 인한 권한 경계 우회 또는 도구 오용
• 금지된 악성 행위에 대한 일관된 안전장치 우회
• 데이터 중독, 평가 오염, 모델·체크포인트 공급망 변조
• 악성 샘플 격리 실패 또는 분석 환경 탈출
• SIEM/SOAR 제안이 승인 없이 실행되는 문제
• checksum, 서명, lineage 또는 릴리스 증거의 불일치

현재 공개 지원 버전은 없습니다. 비공개 개발 브랜치와 private 모델 릴리스에서 재현되는 문제는 모두 신고할 수 있습니다.

민감한 내용을 공개 GitHub Issue, 토론, 모델 카드 또는 채팅에 게시하지 마십시오.

1. private GitHub 저장소에서 Security → Advisories → New draft security advisory를 사용합니다.
2. 해당 기능을 사용할 수 없으면 Odytssey 유지관리자와 이미 합의된 검증 가능한 비공개 연락 채널을 사용합니다.
3. 보고서에는 영향받는 commit 또는 모델 revision, 환경, 예상 영향, 최소 재현 단계, 관련 로그의 비밀 제거본을 포함합니다.
4. 실제 자격 증명, 개인 데이터, 라이선스 제한 데이터, 작동 가능한 공격 payload 또는 악성 바이너리는 보내지 마십시오. 필요하면 먼저 안전한 전달 방법을 협의합니다.

접수 전까지 상세 정보를 제3자에게 공유하지 마십시오. 유지관리자는 접수 확인, 영향 평가, 완화, 회귀 테스트, 비공개 사용자 통지 및 적절한 공개 시점을 문제의 심각도와 노출 범위에 맞춰 결정합니다. 특정 응답 시간이나 수정 기한은 보장하지 않습니다.

• 테스트 대상과 범위에 대한 명시적 허가를 먼저 확보합니다.
• 운영 환경이 아닌 격리된 복제 환경에서 최소한의 재현만 수행합니다.
• 서비스 거부, 지속성, 데이터 반출, 권한 확장, 제3자 공격은 시도하지 않습니다.
• 발견한 비밀은 사용하지 말고 즉시 마스킹하며 정해진 사고 대응 절차로 전달합니다.
• 안전장치 우회 연구는 승인된 평가 harness에서만 수행하고 결과는 접근 통제합니다.

이 정책은 시스템 접근 권한을 부여하지 않으며 세이프하버를 약속하지 않습니다. 모든 연구자는 적용 법률, 계약 및 대상 소유자의 서면 범위를 따라야 합니다.

SSH 개인 키, API 토큰, 클라우드 자격 증명, 데이터 접근 키는 Git, Hugging Face, 모델 가중치, 컨테이너 이미지, 로그 또는 프롬프트에 저장하지 않습니다. 최소 권한의 단기 자격 증명을 사용하고, 노출이 의심되면 즉시 폐기·교체한 뒤 관련 로그와 artifact를 조사합니다. .gitignore는 보조 수단일 뿐이며 커밋 전 비밀 검사가 필수입니다.

모든 릴리스는 고정된 기반 모델 revision, 데이터 snapshot, 코드 commit, 환경 lock, SHA-256 manifest, 평가 결과, 라이선스 검토 및 안전성 결과를 연결해야 합니다. 로컬 검증에 실패하거나 provenance가 불완전한 파일은 원격 저장소에 게시하지 않으며, 손상된 릴리스는 비공개로 전환하고 알려진 정상 revision으로 롤백합니다.