• Содержимое этого репозитория: спеки, реестры, схемы, CI.
• Будущие компоненты COMMONS: синапсы (MCP-шлюз), кровь (конверт событий), ствол мозга (агентный цикл).

1. НЕ создавай публичный issue для уязвимости.
2. Используй «Report a vulnerability» (вкладка Security → Advisories) этого репозитория.
3. Если это недоступно — контактные координаты в профиле владельца.

• Орган не получает полномочий больше заявленных в synapse/mcp-manifest.yaml (принцип минимальных полномочий; SPEC-0002).
• Секреты (токены, ключи, .env) не коммитятся никогда; шаблон окружения — .env.example.
• Supply chain: зависимости органов проверяются на дату подключения; состояние — в THIRD_PARTY_NOTICES.md; релизы организма помечаются тегами v*.

Первый ответ — в течение 7 дней. Критичные уязвимости — приоритет; исправление — по согласованию с репортёром.