GitHubで非公開のセキュリティアドバイザリを開く (https://github.com/diegosouzapw/OmniGlyph/security/advisories/new) か、 メンテナーに直接連絡してください（diegosouza.pw@outlook.com）。悪用可能な脆弱性については 公開issueを開かないでください。
OmniGlyphは、あなたのクライアント（例: Claude Code）とLLM APIの間に立つローカルプロキシです。 設計上、セッション内容と通信中の認証情報のすべてを目にします。対応するセキュリティ上の決定:
- デフォルトでループバックにバインド（
127.0.0.1）: ダッシュボードには認証機能がなく、 キャプチャされたセッションコンテキスト（画像のソーステキスト、テレメトリ）を提供します。HOST=0.0.0.0は明示的なオプトインであり、それらすべてをネットワークに公開します — 信頼できるネットワークでのみ使用してください。 - 認証情報: プロキシはクライアントの認証ヘッダーをアップストリームへ転送し、それらを
永続化しません。環境変数経由で渡されたキー（
ANTHROPIC_API_KEYなど）はメモリ内にとどまります。 - ローカルテレメトリ:
~/.omniglyph/events.jsonlにはリクエストごとのメタデータ （トークン数、ボディのハッシュ値）が保存され、4xxエラー時には圧縮されたボディサンプルも 保存されます — このファイルは機微情報として扱ってください。 - 画像化されたコンテンツは非可逆: バイト単位で正確な値（シークレット、ハッシュ）は 画像の読み取りに依存してはいけません。パイプラインはそれらをテキストとして保持しますが、 黄金律は「LLMのコンテキストにシークレットを入れない」ことです。
- サプライチェーン:
pnpm-workspace.yamlは新規パッケージに対して3日間のminimumReleaseAgeを強制しており、コアはランタイム依存が1つだけです。
最新のリリースライン（main / 最新のv1.x）のみが修正の対象です。