如发现潜在的安全问题，请通过 GitHub 私信或 issue 联系维护者。请不要在公开 issue 中披露漏洞细节，直到我们发布修复版本。

VoxLedger 默认离线运行：

• 默认测试与示例不下载任何外部权重。
• 任何外部说话人嵌入或预训练模型必须由用户显式提供路径，并须在 docs/ 中说明来源。
• 请勿将真实生物特征数据上传至公开仓库。

• 关键依赖固定最小版本号，并在 CI 中通过 pip-audit（未来版本）与 codeql 进行扫描。
• Dependabot 每周检查更新。