T3 Code 安全策略

生效日期：2026-11-06

最后更新：2026-11-06

安全是一项共同责任。本策略说明如何报告漏洞、我们如何保护由 T3 Tools 运营的服务，以及你如何保护连接到 T3 Code 的环境（environment）和提供方（provider）。

引言

本安全策略说明 T3 Code 桌面应用和移动应用、位于 https://app.t3.codes 的托管应用、可选的 T3 Connect 服务，以及位于 https://t3.codes 的 T3 Code 网站的漏洞报告流程和安全实践。

T3 Code 把运行在你的设备上、以及运行在你所控制的环境（environment）中的软件，与你选择的编程智能体驾驭层（agent harness）和提供方（provider）连接起来。我们保护由 T3 Tools 运营的软件和基础设施，但不控制你的设备、环境、仓库、网络、凭据或第三方提供方的安全。评估风险时，请阅读下文的共同责任。

报告安全问题

如果你认为自己发现了影响 T3 Code 或由 T3 Tools 运营的基础设施的安全漏洞，请发送电子邮件至 security@t3.codes。在我们有合理机会调查并修复之前，请不要公开披露该问题。

在能够提供时，请附上：

• 对问题及其潜在影响的描述；
• 受影响的应用、版本、URL、端点或组件；
• 清晰的复现步骤，或一份最小的概念验证；
• 相关日志、截图，或已去除机密的请求与响应详情；以及
• 你首选的联系方式，以及是否希望获得公开致谢。

我们力求在一个工作日内确认收到完整报告，向报告人通报实质性进展，并在修复可用后协调披露。解决时间因严重程度、复杂程度以及对第三方的依赖而不同。

负责任研究与安全港

我们支持善意的安全研究。如果你确实努力遵守本策略、避免造成伤害、尊重隐私，并及时报告发现，我们会将你的研究视为已获授权，不会因你意外且善意地违反本策略而对你提起法律行动。如果第三方就符合本策略的研究提起法律行动，我们会在适当情况下说明这项授权。

要留在这一安全港内，你必须：

• 只测试你拥有、或已明确获准测试的账户、数据和系统；
• 一旦遇到个人数据、机密数据或生产数据，立即停止并报告；
• 只访问证明该问题所需的最少信息；
• 避免中断可用性、降低性能，或损坏、删除数据；
• 不使用社会工程、钓鱼、物理攻击或拒绝服务测试；
• 不测试 T3 Tools 控制范围之外的第三方服务或基础设施；以及
• 在公开披露之前，给我们合理的时间处理该问题。

这一安全港并不授权违法行为，也不授权本策略范围之外的活动。漏洞奖励并不保证提供；如果提供，由 T3 Tools 自行决定。

我们的安全实践

我们采用与 T3 Code 的性质、以及由 T3 Tools 运营的服务所处理的信息相称的管理、技术和组织保障措施。这些实践包括：

• 数据最小化。 T3 Code 的设计使编程会话的内容可以留在你的客户端（client）、你的环境（environment），以及你所配置的智能体驾驭层（agent harness）和提供方（provider）之间。只有当你启用的功能需要时，我们才会经由由 T3 Tools 运营的基础设施处理信息。
• 加密传输。 由 T3 Tools 运营的网络服务使用加密传输。受支持的连接流程使用范围受限的凭据，以及旨在减少未经授权复用的安全控制。
• 凭据保护。 在平台支持的情况下，T3 Code 使用平台提供的受保护存储来保存凭据和会话令牌。运维日志的设计会避免收集运营或排查服务所不需要的机密。
• 访问控制。 对生产系统和运维数据的访问按岗位职责加以限制，并通过身份验证和授权控制加以保护。
• 维护与监控。 我们监控由 T3 Tools 运营的服务的可靠性与安全事件，审查依赖项，并在适当时部署更新和缓解措施。
• 成熟的提供方。 我们使用专门的提供方来承担身份验证、托管和应用分发等服务，并评估与其职责相关的控制措施。

没有任何系统是完全安全的。这些实践可以降低风险，但不能保证网站或服务不存在漏洞或未经授权的访问。

你的责任

T3 Code 的执行路径有很大一部分由你控制，因此你在保障它的安全方面起着重要作用。你负责：

• 使 T3 Code、你的操作系统以及所连接的工具保持最新；
• 保护你的设备、仓库、环境（environment）、网络和备份；
• 保护账户、提供方（provider）、仓库和环境的凭据；
• 在身份提供方和编程智能体提供方支持时，使用多因素身份验证；
• 只向提供方和集成授予它们所需要的权限；
• 在应用或执行之前，审查命令（command）、源代码变更以及其他智能体输出；
• 移除丢失或不再使用的设备，并撤销你认为可能已经泄露的凭据；以及
• 遵守你所选智能体驾驭层（agent harness）、提供方和基础设施的安全策略。

请不要在漏洞报告中发送密码、API 密钥、访问令牌或私钥。在把经过脱敏的证据发给我们之前，请撤销任何可能已经暴露的机密。

本策略的更新

随着 T3 Code、我们的基础设施和安全实践发生变化，我们可能会更新本安全策略。修订会发布在此 URL，并更新上方的日期。对漏洞报告流程或安全港条款的实质性变更，只对未来适用。

联系我们

报告安全问题，或询问与安全相关的问题，请联系 security@t3.codes。

一般法律问题，请联系 legal@t3.tools。 隐私请求，请联系 privacy@t3.tools。