Безопасность

Связка ключей

API-ключи, секреты Bedrock / Vertex, секреты расширений и токен интеграции GitHub хранятся в системной связке ключей. Имя службы — SpiritAgent.

config.json содержит группы провайдеров и ссылки на модели, но не сами секреты. Большие секреты могут быть разделены на части в связке ключей.

Подтверждения

См. Подтверждения. По умолчанию — безопасная отправная точка. Обходной путь всё равно останавливается для ask_questions и хука ask.

Локальный демон

Desktop и CLI используют общий демон, который привязывается к 127.0.0.1 на случайном порту. Клиенты отправляют Authorization: Bearer, используя {spiritDataDir}/server.token (режим 0600).

Удалённый доступ 0.0.0.0 не является открытым продуктовым путём. Не рассматривайте LAN-привязку как облачного агента.

Связывание Web Host — это отдельный 6-значный код в Desktop. Пять неудачных попыток блокируют код до перезапуска Web Host. См. Desktop.

Конфиденциальность

Spirit не включает телеметрию разработчика. Данные остаются в каталоге данных и связке ключей. См. PRIVACY.md в репозитории.

Сообщайте об уязвимостях конфиденциально (GitHub Private Advisory), а не в публичном issue. См. SECURITY.md.