負責任揭露
我們歡迎負責任的安全研究。如果您發現 JieGou 的漏洞，請負責任地向我們回報。
範圍
範圍內系統
console.jiegou.ai — 主應用程式
mcp.jiegou.ai — MCP 伺服器
jiegou.ai — 行銷網站
JieGou Chrome 擴充功能 — 瀏覽器擴充功能（Chrome Web Store）
AI-specific vulnerabilities — explicitly encouraged
AI-substrate-specific vulnerabilities are where operator-grade research has the highest impact. The categories below are explicitly in scope and receive priority triage — we want to find these classes of bugs before they reach a customer's production workflow.
- Prompt injection that bypasses approval gates or escalates agent permissions
- Data exfiltration via context manipulation, tool-chaining, or RAG poisoning
- Model jailbreak that produces actions outside the declared workflow scope
- Audit-trail tampering, hash-chain forgery, or evidence-export bypass
- Cross-tenant data leakage in multi-customer deployments (managed cloud shape)
- BYOK key exfiltration or downgrade attacks against customer-supplied encryption
範圍外
- 第三方服務（Firebase、AWS、Stripe、LLM 提供商）
- 針對 JieGou 員工的社交工程攻擊
- 阻斷服務（DoS/DDoS）攻擊
- 物理安全攻擊
- 未經事先核准的自動掃描
- 任何可能降低服務可用性的測試
參與規則
- 1 不得存取、修改或刪除客戶資料。如果意外存取了客戶資料，請立即停止並回報。
- 2 不得執行可能降低服務可用性的操作（禁止負載測試、DoS、資源耗盡）。
- 3 僅使用專用測試帳戶。建立自己的帳戶進行測試；不得針對其他使用者的帳戶進行測試。
- 4 及時回報漏洞，並在公開揭露前給予合理的修復時間。
- 5 未經事先書面核准，不得對生產系統使用自動掃描器。
- 6 遵守所有適用法律。
如何回報
回應時程
1
確認收到
48 小時 2
分類和嚴重性評估
5 個工作日 3
修復（嚴重）
7 天 4
修復（高）
30 天 5
修復（中/低）
90 天 安全港
JieGou 不會對以下研究人員採取法律行動：
- 遵守本政策和參與規則
- 善意回報漏洞
- 不會超出證明漏洞所需範圍利用漏洞
- 不會存取、修改或竊取客戶資料
本計畫不構成僱傭或承包關係。JieGou 保留隨時修改或終止本政策的權利。