报告漏洞

如何报告

security@zetaiti.com

请用英文或意大利文写信至上方地址。在与我们商定披露日期之前，请不要在任何公开场合（issue、论坛、社交媒体）发布细节。

请提供以下信息

• 产品及其版本，以及运行环境（操作系统、设备、安装方式）；
• 漏洞是什么，攻击者可以利用它做什么；
• 复现步骤：概念验证、请求、日志或截图；
• 您是否知道或怀疑该漏洞已被利用，或已为他人所知；
• 您希望以何种方式署名致谢，或希望不署名；
• 我们如何联系您。

只发送说明问题所必需的内容。请勿包含他人的个人数据或有效凭据；如果您的测试接触到了不属于您的数据，请告诉我们，立即停止，并且不要保留这些数据。如需发送敏感内容，请先发一封不含细节的邮件说明，我们会与您商定接收方式。

后续流程

• 2 个工作日内确认收到：由人工确认您的报告已送达。
• 5 个工作日内给出初步评估：我们能否复现问题、我们评估的严重程度，以及下一步措施。
• 在修复过程中我们会随时告知进展，并在修复发布时通知您。

工作日指周一至周五，意大利法定节假日除外。

协调披露

• 请自报告之日起 90 天内对细节保密；如果修复在此之前发布，则保密至修复发布为止。修复发布时，我们会同时发布安全公告，届时您也可以公开。
• 如果修复需要超过 90 天，我们会在到期前向您说明原因并请求延期；未经告知，我们不会更改日期。
• 如果漏洞正被积极利用，我们可能会提前提醒用户，并说明他们可以采取的防护措施。
• 安全公告会列出受影响的版本、已修复的版本、严重程度以及用户应采取的措施，并向您致谢，除非您不希望署名。

适用范围

我们的产品——Zetaiti Platform（中枢）及其手机、手表和桌面应用，以及 Vademac——和我们的网站 zetaiti.com 与 protolab.tech。

受支持的版本

安全修复适用于每个产品的最新次要版本：版本号最高的 X.Y 版本线及其补丁版本 X.Y.z。更早的次要版本不再获得修复——请先升级到最新版本，如果问题仍然存在，请告诉我们。

不在范围内

• 在 Zetaiti Platform 中枢或 Vademac 中，已登录用户在其账户或角色权限范围内可以执行的操作。但任何超出这些权限的方式——包括通过 AI 智能体读取的文本（提示注入）——都在范围内；
• AI 模型自身所说或所决定的内容，除非它使我们的产品超出上述权限行事；
• 我们使用、链接或连接的其他公司的产品和服务（例如 GitHub、Cloudflare、Google、Microsoft、模型提供商）：请向它们报告，并告诉我们我们的产品是否受到影响；
• 第三方库中未证明会影响我们产品的漏洞（请向其维护者报告）；
• 不再获得修复的版本；
• 需要物理接触已解锁设备、已被攻破的设备（已 root、越狱或感染）或攻击者已知密码的账户的攻击；
• 大流量拒绝服务（洪泛、压力测试）、垃圾信息，以及针对我们人员的社会工程或网络钓鱼；
• 未证明实际影响的自动扫描结果、self-XSS，以及我们网站上缺少响应头、TLS、Cookie 或邮件（SPF、DKIM、DMARC）设置但没有具体利用方式的情况。

奖励与善意

无漏洞赏金

我们没有漏洞赏金计划，也不为报告付费。我们乐于在安全公告中向您致谢。

善意研究

如果您本着善意并在本政策范围内行事——只测试属于您或您有权测试的系统（例如您自己的安装），访问、修改或删除的数据不超过说明问题所需，不干扰任何服务，并及时、私下地向我们报告——我们不会因该研究对您采取法律行动。

向主管机关报告

根据欧盟《网络韧性法案》（法规 (EU) 2024/2847 第 14 条），当我们获知我们产品中存在被积极利用的漏洞，或发生影响其安全的严重事件时，我们会在该法规规定的期限内，通过 ENISA 的单一报告平台向被指定为协调者的 CSIRT（对我们而言是 CSIRT Italia）和 ENISA 报告，并通知受影响的用户。如果您的报告成为此类通报的一部分，我们会告知您，并且只共享通报所需的信息。

安全公告

目前尚未发布任何公告。漏洞修复发布后，其安全公告将在此发布，列出受影响和已修复的版本、严重程度以及用户应采取的措施。

机器可读的联系方式：security.txt（RFC 9116）。