Skip to content

Security: SiliconSampl/iceberg-aware-builder

Security

SECURITY.md

Sicherheitsrichtlinie

Danke, dass du dazu beiträgst, den Iceberg-Aware Builder sicher zu halten.

Geltungsbereich

Diese Richtlinie betrifft Sicherheitslücken im Skill selbst – nicht in Software, die mit Hilfe des Skills gebaut wurde. Für Lücken in deinen eigenen Builds folge dem Iceberg-Report-Prozess und ggf. den Empfehlungen für externe Audits.

Was ist eine Sicherheitslücke im Skill?

Beispiele für meldenswerte Probleme:

  • Der Skill empfiehlt unsichere Default-Konfigurationen
  • Der Skill verschweigt bekannte Risiken in einer Audit-Domäne
  • Ein Branchenprofil enthält irreführende oder falsche Compliance-Hinweise
  • Cross-AI-Review-Templates erzeugen unbrauchbare oder gefährliche Outputs
  • Die Tier-Klassifizierung stuft offensichtlich kritische Projekte als unkritisch ein

Wie melden

Bitte NICHT als öffentliches GitHub Issue.

Stattdessen vertraulich an die Maintainer-Adresse, die im Repo unter MAINTAINER.md (sobald angelegt) hinterlegt ist. Alternativ über GitHubs privates "Report a vulnerability"-Feature im Security-Tab.

Was bitte mitsenden

  • Beschreibung der Lücke
  • Schritte zur Reproduktion (idealerweise mit konkretem Build-Beispiel)
  • Mögliche Auswirkungen
  • Optional: Vorschlag zur Behebung
  • Dein Name oder Pseudonym, falls du in den Release-Notes genannt werden möchtest

Reaktionszeiten (Best Effort)

Schritt Zielzeit
Erste Bestätigung des Eingangs innerhalb 7 Tage
Bewertung der Meldung innerhalb 30 Tage
Behebung oder Mitigation innerhalb 90 Tage, je nach Schwere
Öffentliche Bekanntgabe nach Behebung mit Release-Notes der korrigierten Version

Da die Maintainer Solo-Builder sind, sind die Zeiten als Best Effort zu verstehen.

Anerkennung

Wir veröffentlichen mit Zustimmung des Melders eine Danksagung in den Release-Notes der korrigierenden Version.

Was nicht hierhin gehört

  • Allgemeine Bug-Reports → bitte als reguläres Issue
  • Feature-Wünsche → bitte als Feature-Request-Issue
  • Fragen zur Nutzung → bitte in den GitHub Discussions
  • Sicherheitsfragen zu Software, die du mit dem Skill gebaut hast → folge dem Iceberg-Report-Prozess oder konsultiere einen externen Sicherheits-Auditor

Disclaimer

Wir können keine Bug-Bounty zahlen. Diese Richtlinie ist ein Versprechen zu fairer und transparenter Behandlung von Meldungen, keine vertragliche Verpflichtung.

There aren't any published security advisories