Batas Keamanan

Hanya untuk Penggunaan Defensif yang Berizin

Linmas dirancang khusus untuk tinjauan keamanan defensif atas perangkat lunak, arsitektur, dan sistem milik sendiri atau yang secara eksplisit diizinkan untuk diperiksa. Linmas tidak boleh digunakan untuk aktivitas ofensif tanpa izin, pembuatan eksploitasi, atau pengujian berbahaya terhadap sistem pihak ketiga.

Pemutaran Ulang Offline dan Tinjauan Melalui Penyedia

Linmas membedakan dengan tegas eksekusi offline deterministik dan pemanggilan model langsung melalui penyedia:

• Pemutaran Ulang Fixture Offline (Demo Bawaan): Berjalan sepenuhnya di komputer lokal tanpa panggilan jaringan atau model. Menggunakan fixture yang tersimpan untuk memvalidasi logika kebijakan, perilaku alat MCP, dan pembuatan capsule.
• Tinjauan Langsung Melalui Penyedia: Eksekusi tinjauan yang dipilih secara sadar dan memanggil penyedia model, misalnya Codex / OpenAI atau Claude API. Memerlukan konfirmasi eksplisit, seperti --live --yes, sebelum byte input meninggalkan komputer lokal.

Batas Pengiriman Data

Linmas tidak otomatis mengirim telemetri, analitik latar belakang, atau isi basis kode:

• Hanya artefak input dengan cakupan eksplisit, seperti diff yang diberikan melalui --input, yang dikirim ke penyedia model terpilih selama tinjauan langsung.
• Berkas lain yang belum di-commit, variabel lingkungan, dan kunci API privat tidak dikumpulkan atau dikirim.
• Autentikasi penyedia dikelola langsung oleh lingkungan host, misalnya Codex atau kunci API yang dikelola pengguna.

Tinjauan Manusia Selalu Wajib

Model AI dapat menghasilkan positif palsu, salah memahami aturan bidang tertentu, atau melewatkan kelemahan arsitektur yang halus. Karena itu, Linmas menetapkan humanReviewRequired: true pada semua keluaran. Status kebijakan yang lulus adalah titik pemeriksaan bukti, bukan pengganti tinjauan pengembang.

Pelaporan Kerentanan

Jika menemukan masalah atau kerentanan keamanan pada Linmas, laporkan secara bertanggung jawab sesuaiKebijakan Keamanan (.github/SECURITY.md) ↗.