N'ouvrez pas d'issue publique pour une vulnérabilité non corrigée. Utilisez le signalement privé GitHub avec la version, l'impact et une reproduction minimale. Une première réponse est visée sous sept jours.

Mira contrôle un micro, une caméra, une sortie audio et une mémoire locale. Par défaut, le bridge WebSocket doit rester lié à 127.0.0.1. Une exposition sur le LAN ou Internet nécessite un jeton, TLS et un reverse proxy correctement configuré.

• La caméra et le partage d'écran sont désactivés au démarrage.
• memory_vault/, memory_index/, .env et .runtime/ sont des données privées.
• Le mode démo n'accède à aucun périphérique et ne contient que des données fictives.
• Aucun fournisseur distant n'est requis par le parcours Pocket TTS/Ollama local.

Avant une publication, exécutez mira check et un scanner d'historique tel que Gitleaks. Si une clé a été committée, la supprimer du dernier commit ne suffit pas : révoquez-la puis purgez l'historique avant de rendre le dépôt public.