# 安全漏洞与合规事件披露

> MedHarness 处理医疗合规边界，安全漏洞与合规事件**绝不在公开 issue 提交**。

---

## 漏洞类型

| 类型 | 通道 | SLA |
|---|---|---|
| **PHI 泄漏路径** | `security@medharness.io` (PGP 加密) | 24h 首次确认 / 7 天修复 |
| **审计绕过** | 同上 | 48h / 14 天 |
| **模型路由绕过** | 同上 | 24h / 7 天 |
| **依赖供应链漏洞** | 同上 | 72h / 30 天 |
| **普通安全 bug** | GitHub Security Advisory | 7 天 / 30 天 |
| **文档错误（无安全后果）** | Public Issue | — |

---

## 报告内容

请包含：
1. **影响范围**：哪些版本 / 配置受影响
2. **复现步骤**：能让我们重现的最简路径
3. **影响评估**：你认为最坏后果
4. **建议修复**（可选）

**不要**在报告里附带真实 PHI 数据（即使脱敏后）。用合成示例。

---

## PGP 公钥

`security@medharness.io`

```
-----BEGIN PGP PUBLIC KEY BLOCK-----
（D1 当日生成，发布前替换）
-----END PGP PUBLIC KEY BLOCK-----
```

指纹：`XXXX XXXX XXXX XXXX XXXX XXXX XXXX XXXX XXXX XXXX`

---

## 披露流程

1. **0 天**：你报告 → 我们 24h 内确认收到
2. **0-7 天**：评估 + 起草修复
3. **7-30 天**：修复 + 测试 + 私密给关键用户预通知
4. **30 天 / 修复发布**：CVE 申请 + 公开披露 + 致谢报告者
5. **修复后 90 天**：彻底披露（含技术细节）

如你希望**匿名披露**，请在邮件中说明。

---

## 已知问题与限制

社区版的已知合规边界（不算漏洞）：

- **公共 LLM API 阶段**：M1-M5 使用公共 API 路径，强依赖 `phi-desensitize` 前置；如该 Skill 失效，PHI 可能流出。**建议**：生产严禁用社区版直跑公共 API；走商业版托管或 M6 私有部署。
- **本地 Hook 可绕过**：技术上 settings.json 用户可改。社区版用 warn 默认，企业用户应用 block + 监控。
- **PHI 检测召回率**：Presidio 默认 + 中文 recognizer 召回率约 92-96%；剩余靠组织流程（Compliance Officer + 抽审）兜底。

---

## 安全研究致谢墙

发现并负责披露的研究人员将列在此（按报告时间）：

| 日期 | 研究者 | 漏洞类型 | CVE |
|---|---|---|---|
| _（项目启动后填充）_ |  |  |  |

---

## 合规事件 vs 安全漏洞

- **安全漏洞**：你能让 MedHarness "做错事"（PHI 漏出 / 审计绕过 / 注入）
- **合规事件**：你**使用** MedHarness 时**自己**发现了合规风险（如发现监管新规、自己配置错误）

合规事件请走 GitHub Issue Template `compliance_concern`，不通过 security 通道。

---

## License

本披露政策本身按 CC BY-SA 4.0 授权。
