请勿在公开 issue、Pull Request 或讨论中发布可利用的漏洞细节、用户文件、日志中的凭据或服务器私密信息。

请使用 GitHub 的私密漏洞报告联系维护者，并提供受影响版本、复现步骤和可能影响。若私密报告入口不可用，可先创建不含技术细节的 issue，请求安全联系渠道。

FileSage 没有用户认证或 HTTPS 终止功能，默认只监听本机回环地址。任何能访问服务的网络客户端都可浏览和修改管理文件、切换 Agent 审批模式、创建并审批任务，也可消耗已配置模型的调用额度。写请求会拒绝跨站来源；没有 Origin 的客户端仍可调用，因此同源校验不是身份认证。仅在本机或可信局域网使用，不要暴露到公网或不可信网络。安全报告不应包含真实文件内容或 API 密钥。