보안 정책

지원 버전

최신 릴리스만 지원합니다. 이전 버전에는 보안 패치를 백포트하지 않습니다.

취약점 제보

공개 이슈로 올리지 말아 주세요. GitHub의 비공개 취약점 제보 기능을 써 주세요.

이 저장소의 Security 탭 → Report a vulnerability를 누르면 관리자만 볼 수 있는 비공개 채널이 열립니다. 재현 경로와 영향 범위를 적어 주시면 됩니다.

제보 내용에 개인정보를 넣어야 한다면 실제 값 대신 가상의 값을 써 주세요. 예를 들어 주민등록번호가 필요하면 900101-1234567처럼 형식만 맞춘 값을 씁니다.

이 플러그인의 보안 관련 범위

  • 훅(hooks/*.mjs)은 Bash, Write, Edit, MultiEdit 도구 호출마다 실행됩니다.
  • 주민등록번호로 보이는 문자열은 기본으로 차단합니다. 말투 관련 위반은 기본이 경고이지만, 주민등록번호는 기본이 차단입니다. KIMCHI_PII 환경 변수로 완화할 수는 있지만, 그건 사용자가 직접 켜는 예외이지 기본값이 아닙니다.
  • 훅은 도구 호출을 승인하거나 거부하지 않습니다. 고친 입력만 정상 권한 파이프라인에 돌려주고, 실제 승인 여부는 클로드 코드가 판단합니다.
  • 훅과 스크립트는 네트워크에 접속하지 않고, 외부 LLM 도 호출하지 않습니다. 규칙은 저장소 안의 rules/*.md 파일에서만 읽습니다.