当前维护的是 v0.1.x 系列。更早的构建产物不保证收到安全修复；如仍在运行旧版本， 请先升级到最新发布版本。

不要在公开 Issue 中贴出可被利用的细节、密钥、密码或完整利用链。

优先使用 GitHub 的私密漏洞报告入口：

https://github.com/qwert702/AetherOS/security/advisories/new

如果该入口不可用，请通过 作者主页 上的联系方式提醒维护者， 并只提供“存在什么问题”的最小信息；具体复现细节等私密通道建立后再发。

报告时请尽量包含：

• AetherOS 版本、构建日期、ISO 文件名或 commit；
• 虚拟机平台（QEMU / VirtualBox / VMware）与宿主机环境；
• 复现步骤、实际结果、期望结果；
• 串口日志或 journalctl 片段（请先脱敏）；
• 影响范围：是否能提权、越权读取、绕过确认令牌、远程触发等。

本项目明确关注：

• aetherd IPC 的认证、权限闸门与审计；
• 更新清单的 Ed25519 签名校验（缺签名/篡改必须拒绝）；
• 路径白名单与目录遍历防护；
• 生产部署脚本的 SSH 主机密钥校验与非 root 部署；
• 默认认证基线（无口令必须显式 AETHER_DEMO=1）。

以下不属于本项目安全边界，除非能证明会直接影响上述链路：

• 第三方 Linux 内核/Buildroot 组件的上游漏洞；
• 用户主动安装的第三方应用；
• 用户自己的 VPS/网络配置；
• 物理机固件、侧信道与供应链攻击。

维护者会按“可复现性与影响”排序处理。修复后会在 CHANGELOG 或安全公告中说明， 并在可能的情况下补充回归测试。请不要在修复发布前公开利用细节。