内枢 IntraOS · 安全漏洞披露政策
我们重视每一位安全研究者的贡献。如发现安全隐患，请通过下方渠道负责任地报告。
SECURITY DISCLOSURE POLICY
1. 报告渠道
请通过 RFC 9116 security.txt 中指定的联系方式提交：
- 安全联系人
security@chitu.com- 机器可读声明
- /.well-known/security.txt
- 加密（可选）
- 可要求提供 PGP 公钥以加密敏感细节
- 响应时效
- 确认收到 ≤ 3 个工作日；重大风险优先处理
请不要在公开渠道（如社交媒体、论坛）披露尚未修复的漏洞细节。我们将与您协作确定合理的公开时间。
2. 我们鼓励报告的范围
- 身份认证与会话管理的绕过（含 MFA / 防重放）
- 越权访问（水平 / 垂直越权、跨租户数据泄漏）
- 注入类（SQL / NoSQL / 命令 / 模板注入）
- 服务端请求伪造（SSRF）、任意文件读取 / 上传
- 敏感数据泄露、日志中明文凭据、加密强度不足
- CSP / XSS 等客户端安全机制可被绕过
3. 安全港（Safe Harbor）
在以下前提下，我们以善意出发，不会对合规提交的研究者发起法律行动：
- 仅测试您拥有或获授权的账户与数据；
- 不破坏、篡改或获取超出验证所需的数据；
- 不实施拒绝服务（DoS）、社工或物理性质扰；
- 及时删除测试中接触到的任何非授权数据。
4. 处理流程
阶段一 · 受理
收到报告后 ≤ 3 个工作日内确认，并分配跟踪编号。
阶段二 · 验证与定级
依据 CVSS 3.1 与业务影响定级（P0–P3），同步至内部安全看板。
阶段三 · 修复与回归
修复后在预发环境完成回归验证，并纳入对应版本发布说明。
阶段四 · 致谢与公开
经研究者同意，在致谢名单中署名；修复完成后可公开披露时间线。
5. 合规基线
本政策对标 2026 企业 SaaS 安全审计惯例（含 SOC 2 可用性 / 处理完整性准则与 RFC 9116 漏洞披露标准），作为mind 持续安全治理的一部分。
本页为安全治理公开声明，不构成任何担保。最终解释权归mind 运营方所有。