请不要通过公开 Issue 报告安全漏洞。

请通过 GitHub Security Advisories 私密报告:

👉 https://github.com/changrichu/MemoryAgent/security/advisories/new

我们强烈推荐使用 GitHub 私密渠道(避免邮箱被爬虫抓取导致垃圾邮件)。

我们承诺:

• 24 小时内回复确认
• 评估严重程度并修复
• 修复后公开致谢(可选)

LLM 容易被恶意输入劫持,本项目:

• ⚠️ 默认不做输入清洗
• 建议在 API 网关层加入 prompt 注入检测
• 关键场景(如涉及 SQL/代码执行)必须二次校验

• 用户对话内容默认保留,可通过 /memory/clear/{user_id} 一键清除
• GDPR 合规支持
• 生产环境建议加密存储对话 + 脱敏展示

• .env 已加入 .gitignore
• 切勿提交真实 API Key 到 git
• CI/CD 建议用 Secrets 注入,不要硬编码

当前未做严格限流,生产建议:

• API 网关限流(QPS 限制)
• 单用户 Token 配额
• 异常行为检测(异常高频调用)