漏洞披露政策

引言

GGWP, Inc. 致力于打造安全、包容的游戏社区。我们高度重视内容审核算法和客户数据的安全，以及玩家的隐私。

我们深知，安全社区在构建更安全的互联网方面发挥着至关重要的作用。我们珍视安全研究人员、道德黑客和游戏社区为帮助我们发现并解决安全问题所作出的贡献。如果您认为在我们的平台、API 或 SDK 中发现了安全漏洞，请尽快告知我们。

安全港（法律保护）

只要您遵守本政策，我们就将您的安全研究和漏洞披露视为《计算机欺诈和滥用法》（CFAA）、《数字千年版权法》（DMCA）及其他适用反黑客法律下的“已授权”行为。

对于您在善意情况下意外违反本政策的行为，我们承诺不会对您提起或支持针对您的法律诉讼。

但是，本安全港保护不适用于以下行为：

• 勒索或敲诈：以暂不披露或修复漏洞为条件索要报酬。
• 欺诈：利用漏洞欺骗我们的系统、员工或客户，以获取经济利益。
• 数据窃取：故意访问、下载或传输超出概念验证所必需范围的数据。
• 恶意行为：任何旨在破坏我们服务完整性或可用性的活动（例如销毁数据、使恶意软件持续驻留）。

适用范围

范围内的资产

请将测试集中在 GGWP, Inc. 拥有并运营的以下资产上：

• Web 应用：dashboard.ggwp.com
• API 端点：api.ggwp.com
• 客户端 SDK：GGWP, Inc. 官方提供的 Unity 和 Unreal SDK

受限资产（需获得许可）

• 审核模型与 AI：未经事先书面同意，严禁针对我们的机器学习模型进行模型反演、训练数据提取或对抗性攻击测试。

范围外的资产

• 客户的游戏：严禁对使用我们服务的游戏工作室的电子游戏、服务器或基础设施进行测试、入侵或干扰。测试应针对我们的 API 接口，而非游戏客户端本身。
• 由 GGWP, Inc. 以外的提供商托管的第三方服务（例如 HubSpot，以及不涉及攻破应用层的服务底层 AWS 基础设施）。

测试准则与行为规则

要获得安全港保护，您必须遵守以下要求：

• 不造成损害：不得降低我们服务的性能（例如发起 DoS/DDoS 攻击），也不得干扰我们为客户提供的审核功能。
• 隐私优先：不得访问、下载或修改不属于您的账户中的数据。如果您遇到属于他人的个人身份信息（PII）、聊天记录或语音录音，请立即停止测试并报告漏洞。
• 禁止横向渗透：不得利用发现的漏洞进一步渗透内部系统或其他客户环境。
• 保密：在我们有合理时间修复问题之前，不得向公众或第三方披露漏洞（详见下方“披露政策”）。

排除项（不符合受理条件的漏洞）

以下问题通常不在受理范围内，除非能够证明其具有重大安全影响：

• 针对我们员工或客户的社会工程攻击（网络钓鱼、语音钓鱼）。
• 针对我们办公室的物理安全攻击。
• UI/UX 缺陷或拼写错误。
• 缺少速率限制（除非对服务可用性构成严重威胁）。
• 缺少 HTTP 安全标头（除非能够证明具体影响）。
• 仅导致 AI 作出“错误”分类的对抗性输入（这属于质量问题，而非安全漏洞，除非导致代码执行或数据泄露）。

如何报告漏洞

您的报告应包含以下内容：

• 描述：漏洞的位置及性质。
• 复现步骤：清晰的分步操作说明或概念验证（PoC）脚本。
• 影响：漏洞可能被如何利用，以及哪些数据或系统面临风险。

我们对您的承诺

当您向我们报告漏洞时，我们承诺：

• 确认收件：我们将在 3 个工作日内确认收到您的报告。
• 审核：我们将在 10 个工作日内对报告进行初步评估，并确认漏洞是否有效。
• 沟通：我们将持续向您通报处理进展。

目标修复时限

我们力争根据问题的严重程度进行修复。在商业上合理的努力范围内，我们设定了以下修复目标：

披露政策

我们支持协调式漏洞披露。仅在满足以下任一条件后，您才获准公开研究发现：

• 我们已通知您漏洞已修复；或
• 距离您首次提交报告已满 90 天，且我们未因修复工作的复杂性而请求延期。

标准披露流程的例外情况

• 加速披露：如果漏洞正在实际环境中被利用（即“零日漏洞”），我们可能同意缩短披露时限，以向社区发出警示。
• 延期披露：如果漏洞涉及复杂的生态系统（例如第三方依赖项需要供应商提供上游修复），我们可能请求将披露时间延至 90 天之后，以确保在公开披露前，更广泛的生态系统已完成修补。

奖励与认可

我们衷心感谢帮助我们维护游戏生态系统安全的安全研究人员。不过，为了建立合理的预期，我们需要明确说明本计划的性质。

不提供金钱奖励

本计划目前属于漏洞披露计划（VDP），并非付费漏洞赏金计划。目前，我们不为提交漏洞提供经济补偿或现金奖励。请勿以获得报酬为预期提交报告，也不要将支付报酬作为提供漏洞详情的条件。

我们的谢意

虽然我们无法提供现金赏金，但我们重视您的贡献，并乐于对有效且具有重大影响的报告提供以下认可：

• 荣誉榜：经您许可，我们将在安全荣誉榜上列出您的姓名和个人资料链接。