English · Русский

Не открывайте публичный issue для уязвимостей. Напишите приватно через GitHub Security Advisories (вкладка Security → Report a vulnerability).

Опишите: что нашли, как воспроизвести, какое влияние. Разумный срок ответа несколько дней. Пожалуйста, дайте время на исправление до публичного раскрытия.

Проект заявляет защитный контур верности как основную ценность, поэтому его обход это уязвимость первого класса. Особенно интересует:

• Пробой гейта верности: способ заставить систему выдать метку 🔵 (дословная цитата) на тексте, которого нет в верифицированном корпусе, либо провести перефраз/выдумку как цитату.
• Обход воздержания: заставить советника «сочинить» ответ вне корпуса вместо честного отказа.
• Пробой рва камуфляжем: топически-близкий-но-не-отвечающий кандидат, проскакивающий за 🔵 мимо двухфазного судьи-гейта.
• Утечка личных данных: путь, которым личная доска (advisors/), заседания (council/), локальные реестры или содержимое .env могли бы попасть в git, логи или сетевой запрос.
• SSRF / path traversal при сборке корпуса, установке или обработке путей.

Демонстрация с воспроизведением ценится вдвойне: в проекте культура «фальсифицированный эксперимент = результат», и рабочий эксплойт против контура мы примем как вклад, а не как обиду.

• Ядро контура работает офлайн, без ключей, сети и внешнего движка. Если для эксплойта нужен чужой сторонний сервис (например, ваш собственный OpenRouter-ключ для tier-FULL), уточните это.
• Секреты только у пользователя. Проект не хранит и не запрашивает ключи; .env в .gitignore. Если вы нашли закоммиченный секрет, это баг, сообщите приватно, мы ротируем и вычистим историю.
• Корпуса собирает каждый сам. Копирайтные материалы не входят в поставку; вопросы легальности чужих корпусов лежат вне периметра этой политики.

Consilium это движок верификации, не распространитель контента (доктрина двойного назначения Sony/Betamax; по праву РФ ориентир это информационный посредник, ГК РФ ст. 1253.1). Ключевое: движок не инициирует и не определяет содержимое корпуса. Какие тексты загрузить, решает пользователь, и он же отвечает за наличие у него прав на них. Мы не размещаем чужие корпуса на сервере и не модифицируем материал сверх технической обработки (снятие обёртки, подпись, поиск).

В поставку входят только материалы общественного достояния, то есть фигуры давно-умерших авторов, где исчерпан и копирайт (жизнь+70), и круг согласителей на изображение (ГК РФ ст. 152.1, Пленум ВС РФ №25 п.49). Копирайтные корпуса каждый собирает сам из своих легальных копий и хранит на своей машине (личное использование, ст. 1273).

Если вы правообладатель и считаете, что материал в нашей поставке (сеяный PD-каталог) нарушает ваши права, откройте публичный issue с префиксом темы takedown: в репозитории, указав: материал (id фигуры / URL), основание прав, контакт. Разумный срок ответа несколько дней; подтверждённую претензию удовлетворяем удалением из поставки (notice-and-takedown). Это канал для прав на контент; уязвимости контура идут через приватные Security Advisories выше.

Проект в раннем доступе (0.x). Фиксы идут в master; отдельной ветки поддержки старых версий пока нет.