Приватно, без публичных issue: GitHub → Security → Report a vulnerability (или напрямую мейнтейнеру). Ответ — в течение 72 часов.

• Обход _safe_path (доступ к файлам вне workspace).
• Инъекция через полнотекстовый запрос памяти (FTS5 MATCH / LIKE).
• Побег из песочницы execute_python (RLIMIT_CPU/AS, таймаут, kill группы).
• Утечка секретов через наблюдения/логи агента.

• RLIMIT-песочница — не жёсткая граница безопасности. Для враждебного ввода запускайте агента в контейнере: docker run --network none ... или gVisor/nsjail поверх данного каркаса.
• web_search и LLM-ядро ходят в сеть по необходимости; полная сетевая изоляция агента достигается --network none за счёт отказа от поиска.
• Токены задаются только через переменные окружения UA_*; в файлах проекта, логах и памяти им места нет (гигиена автоматизирована в scripts/check.py).