反馈安全漏洞

报告范围

• 官网、App、开放平台 API 与相关服务。
• 不在范围内：第三方服务（如支付宝、云厂商、大模型厂商）自身的漏洞；社会工程与钓鱼；拒绝服务攻击；物理攻击；已公开且尚未修复的漏洞。

如何报告

请发送邮件至 support@openelfai.com，邮件标题注明「安全漏洞」。为便于快速定位，请尽量包含：

• 受影响的域名、接口或版本，以及复现步骤。
• 漏洞类型与可能造成的影响。
• 你的联系方式（可选择匿名）。
• 如条件允许，附最小化的验证请求或截图。

测试边界

在验证漏洞时，请遵守以下边界，避免影响其他用户与平台运行：

• 仅使用你自己的测试账号与数据。
• 不得访问、修改或删除他人数据；不得中断服务或植入后门。
• 不得使用自动化扫描影响平台稳定性。
• 在我们完成修复并与你确认之前，不得公开披露漏洞细节。

响应流程

• 1 个工作日内确认收到你的报告。
• 7 个工作日内完成初步评估，并同步处理计划。
• 修复后与你协商公开披露时间；未经同意，我们不会公开你的身份。

平台安全实践

• 敏感字段加密存储，密钥不回显、不写入日志。
• 后台遵循最小权限，关键操作留存审计记录。
• 开发者技能在隔离沙箱中运行，禁止公网访问与系统调用，模型密钥不进入沙箱环境。
• 支付与计费链路独立校验，关键操作幂等处理。

致谢

对有效且负责任的报告，我们会在修复后致谢；是否提供奖励，视漏洞影响与平台政策而定。

联系我们

安全相关事宜，请联系 support@openelfai.com。