Nomily AI 是一款 BYOK（自带密钥）语音录音伴侣应用，支持 ASR 语音转录、说话人分离、AI 摘要以及本地 ASR 端点接入。如果你发现了 Nomily AI 安全漏洞，本指南将带你走通完整的私密报告流程：用哪个渠道、邮件写什么、哪些数据绝对不能发、报告范围如何界定、官方如何响应，一次讲清 🛡️

为什么绝不能公开报告安全漏洞？

很多新手发现 Bug 后习惯直接发 Issue，但安全漏洞必须走私密渠道。原因有两点：

• 漏洞细节一旦公开传播，攻击者会抢先利用，未修补的版本窗口期风险极高；
• Nomily AI 是 BYOK 架构，涉及 API Key 处理、本地录音存储、网络请求等敏感面。公开报告还容易连带泄露录音、转录文本、设备标识符等隐私数据。

官方安全政策明确要求：不要在公开的 Issue、讨论区、Pull Request、截图或社交媒体中报告安全漏洞，完整规则见 SECURITY.md。

私密报告渠道：一封邮件搞定

Nomily AI 采用私密邮件报告作为唯一的漏洞报告渠道，无需注册任何安全平台。

报告邮箱与主题格式

主题必须严格使用[Security] Nomily格式，便于维护团队快速识别和分类处理。

一封合格的报告邮件应包含什么？

按照 SECURITY.md 的要求，邮件正文需要包含 4 个要素：

1. 简明漏洞描述：是什么问题、出现在哪里；
2. 受影响的仓库与 commit：例如nomily-ios或nomily-android及对应 commit；
3. 复现步骤：⚠️ 必须使用合成数据或脱敏数据，不要使用真实敏感信息；
4. 你观察到的实际影响：例如数据泄露、越权访问等。

严禁随报告发送的敏感数据 🚫

这是新手最容易踩的坑。邮件中绝不要附带以下任何内容：

• API Key / 密钥凭证
• 录音文件、转录文本
• 设备标识符（蓝牙 MAC、序列号等）
• 账户信息、客户数据
• 私有端点地址
• 固件、厂商内部文档

💡 如果概念验证（PoC）必须暴露上述材料，官方建议改为用文字描述最小安全复现步骤，而不是直接附上敏感材料。

报告范围界定：哪些才算安全漏洞？

✅ 在范围内的安全问题

针对公开 Nomily 仓库（nomily-app、nomily-ios、nomily-android）的安全报告均被欢迎，典型场景包括：

• 凭证处理（credential handling）缺陷
• 本地存储（local storage）不安全
• 网络请求（network requests）泄露或注入
• 权限（permissions）滥用
• 加密（cryptography）实现问题
• BLE 协议处理（BLE protocol handling）漏洞，涉及 V05E 录音笔与手表的蓝牙传输

❌ 不在范围内的普通问题

• 产品兼容性反馈（某设备不支持等）
• 普通功能请求（feature request）

这类问题请在对应客户端仓库以普通 Issue 形式提交即可，不要占用安全报告渠道。

官方响应流程：提交之后会发生什么？

SECURITY.md 对响应机制作出了坦诚说明：

也就是说，提交后请保留邮件往来，维护团队会在关键节点通知你，而不是"石沉大海"。

相关文档索引 📚

总结：3 步安全报告清单 ✅

1. 判断范围：是凭证、存储、网络、加密还是 BLE 协议问题？→ 走私密邮件；普通 Bug/兼容性 → 走公开 Issue；
2. 撰写邮件：发给nomily@geekis.com，主题[Security] Nomily，附描述、仓库与 commit、脱敏复现步骤、实际影响；
3. 守住红线：全文不出现 API Key、录音、转录、设备标识等敏感数据，PoC 改述为最小安全步骤。

按照这套流程报告，既帮助 Nomily AI 团队尽快修复漏洞，也保护了你自己的数据与隐私 🔒