STRIDE GPT هي أداة نمذجة تهديدات مدعومة بالذكاء الاصطناعي تستخدم نماذج اللغة الكبيرة (LLMs) لإنشاء نماذج تهديد وأشجار هجوم لتطبيق معين بناءً على منهجية STRIDE. يقدم المستخدمون تفاصيل التطبيق، مثل نوع التطبيق، وطرق المصادقة، وما إذا كان التطبيق مواجهاً للإنترنت أو يعالج بيانات حساسة. ثم يُنشئ النموذج مخرجاته بناءً على المعلومات المقدمة.

جدول المحتويات

• دعم المشروع
• الميزات
• النشر في المؤسسات
• محاضرة في قمة الأمن المفتوح
• سجل التغييرات
• التثبيت
• هيكل المستودع
• الاستخدام
  • ورقة الغش للـ REPL التفاعلي
• مخرجات نموذجية
• أفضل ممارسات الأمان
• المساهمة
• الترخيص

دعم المشروع

إذا وجدت STRIDE GPT مفيداً، يُرجى التفكير في دعم المشروع:

• ⭐ قم بوضع نجمة على المستودع على GitHub لمساعدة المزيد من الأشخاص على اكتشاف الأداة
• ☕ اشتر لي قهوة لدعم التطوير والصيانة المستمرة

الميزات

• تحليل وكيل لقاعدة الأكواد: وجّه واجهة سطر الأوامر (CLI) إلى قاعدة أكواد واحصل على نموذج تهديد STRIDE عميق ومستقل — يخطط الوكيل ويستكشف ويجمع النتائج عبر الأنظمة الفرعية
• واجهة CLI و REPL تفاعلية: تجربة طرفية كاملة الميزات مع إكمال علامات التبويب، والسجل، والتقدم في الوقت الفعلي — لا حاجة لمتصفح
• واجهة ويب Streamlit بسيطة وسهلة الاستخدام
• يُنشئ نماذج تهديد بناءً على منهجية STRIDE
• دعم الذكاء الاصطناعي الوكيل: نمذجة تهديدات متخصصة لأنظمة الذكاء الاصطناعي الوكيل مع تكامل OWASP Top 10 للتطبيقات الوكيلة (ASI)
• دعم الذكاء الاصطناعي التوليدي: نمذجة تهديدات لتطبيقات GenAI مع تكامل OWASP LLM Top 10
• تخطيط MITRE ATT&CK و ATLAS: يتم إرفاق التهديدات بمعرفات تقنيات الخصم الموحدة (MITRE ATT&CK Enterprise للهجمات التقليدية على البنية التحتية، و ATLAS للهجمات الخاصة بـ ML / LLM) — تظهر كأعمدة في markdown، وروابط على شكل حبوب في HTML، وخصائص mitre_attack في SARIF
• الكشف عن الأنماط المعمارية: يكشف تلقائياً عن خطوط أنابيب RAG، والأنظمة متعددة الوكلاء، وبيئات تنفيذ الأكواد، وأنظمة الأدوات، وغيرها من أوصاف التطبيقات (مستوحى من CSA MAESTRO)
• محرر رسومات draw.io مدمج: قم بإنشاء وتحرير الرسوم البيانية المعمارية مباشرةً داخل STRIDE-GPT باستخدام محرر diagrams.net المدمج — لا حاجة لأداة خارجية. يتم تحليل الرسوم البيانية بصيغة XML لاستخراج المكونات والاتصالات وحدود الثقة، مما يوفر سياقاً أكثر ثراءً بكثير لتوليد نموذج التهديد من تحليل الصور وحده. سير عمل تحميل الصور الحالي لم يتغير. بشكل افتراضي، يتم تحميل المحرر من embed.diagrams.net المستضاف؛ بالنسبة للنشر الذاتي أو في البيئات المعزولة، قم بتوجيهه إلى draw.io الخاص بك عبر متغير البيئة STRIDE_GPT_DRAWIO_URL
• متعدد الوسائط: استخدم الرسوم البيانية المعمارية، والمخططات الانسيابية، وما إلى ذلك كمدخلات لنمذجة التهديدات عبر جميع النماذج التي تدعم الرؤية
• رسومات تدفق البيانات (DFD): قم بإنشاء DFDs من وصف تطبيقك (أو قم بتحليل صورة DFD مرفوعة)، وقم بتحرير مصدر Mermaid مباشرةً، وأعد تغذية الرسم البياني المؤكد إلى مطالبات نموذج التهديد وشجرة الهجوم باعتباره النموذج النظامي الرسمي. كما يصدر أمر في CLI DFD على مستوى النظام إلى جانب نتائجه

النشر في المؤسسات

هل ترغب في تخصيص STRIDE-GPT لمؤسستك؟ اطلع على دليل التشغيل الشامل لدينا لتعلم كيفية:

• 🎯 حقن ضوابط ومعايير الأمان التنظيمية
• 📋 تخصيص نماذج التهديدات وفقاً لمتطلبات الامتثال لديك
• 🔧 عمل Fork ونشر STRIDE-GPT داخلياً
• 📊 الحصول على نماذج تهديد قابلة للتنفيذ وواعية بالسياق خاصة ببيئتك

يتضمن الدليل إرشادات خطوة بخطوة، وأمثلة على الأكواد، وأنماط نشر للمؤسسات التي تتطلع إلى توسيع نطاق نمذجة التهديدات المدعومة بالذكاء الاصطناعي عبر فرقها.

محاضرة في قمة الأمن المفتوح

في يناير 2024، ألقيت محاضرة حول STRIDE GPT في قمة الأمن المفتوح. خلال المحاضرة، ناقشت بداية المشروع، ووظائفه الأساسية، والتحديثات الأخيرة، وبعض الخطط المستقبلية. يمكنك مشاهدة العرض التقديمي الكامل أدناه:

هذا الفيديو مصدر ممتاز لأي شخص مهتم بفهم كيفية عمل STRIDE GPT وكيف يمكن استخدامه لتحسين نمذجة التهديدات.

سجل التغييرات

الإصدار 0.19 (الأحدث)

• علامة --version (#161): الآن stride-gpt --version يطبع الإصدار المثبت ويخرج، وتظهر لافتة TUI التفاعلية الإصدار قيد التشغيل حتى تتمكن من تأكيد ما لديك في لمحة.
• توحيد إدارة التبعيات على uv (إغلاق #155): أصبح uv.lock الآن مصدر الحقيقة الوحيد لكل تبعية. تم إيقاف ملفات requirements.txt المكررة؛ تقوم صورة Docker UI وسير عمل فحص الأمان بالتثبيت من uv.lock عبر uv export، بحيث لا يمكن أن ينحرف ما يتم شحنه وما يتم فحصه عن ما هو مقفل. لا تغيير لمستخدمي pip install stride-gpt.
• التوثيق: تمت إضافة مخرجات markdown لنموذج تهديد عينة (#151) وورقة غش للـ REPL التفاعلي (#163) إلى ملف README.

الإصدار 0.18

• محرر رسومات draw.io مدمج (#132, #138): الآن علامة تبويب نموذج التهديد في Streamlit تدمج محرر diagrams.net بحيث يمكنك رسم مخطط معماري داخل التطبيق؛ عند الحفظ، يتم تحليل XML الرسم البياني (المكونات والاتصالات وحدود الثقة) وإدراجه في مطالبة نموذج التهديد. تم توحيد تحليل GitHub، وتحميل الصور، ومحرر الرسوم البيانية، ومنشئ إرشادي بمساعدة الذكاء الاصطناعي في قسم واحد بعلامات تبويب "صف تطبيقك" فوق لوحة وصف واحدة، بحيث لا تزاحم المدخلات الاختيارية حقل الوصف الرئيسي. الآن يقوم المنشئ الإرشادي باستدعاء النموذج المحدد لصياغة وصف واقتراح تفاصيل أمان مفقودة ذات صلة، ليحل محل القالب الثابت السابق وفحوصات التغطية. بالنسبة للنشر الذاتي أو المعزول، يمكن تكوين مضيف المحرر عبر STRIDE_GPT_DRAWIO_URL (الافتراضي هو embed.diagrams.net)، ويتم نطاق أصل postMessage الخاص بـ iframe إليه، ويتم تحليل XML الرسم البياني غير الموثوق باستخدام defusedxml.
• دعم موفر DeepSeek (إغلاق #133): أصبح DeepSeek الآن موفر نموذج من الدرجة الأولى في كل من معالج الإعداد CLI وواجهة Streamlit، حيث يقدم deepseek-v4-pro و deepseek-v4-flash. يتم توجيه المكالمات عبر تكامل deepseek/ الأصلي لـ LiteLLM (نقطة نهاية مستضافة، لا حاجة لعنوان URL أساسي مخصص)؛ قم بتعيين مفتاحك عبر DEEPSEEK_API_KEY.
• دعم رسومات تدفق البيانات (DFD) (إغلاق #56): علامة تبويب "Data Flow Diagram" جديدة في واجهة Streamlit تُنشئ DFDs من وصف التطبيق، وتحلل صور DFD المرفوعة عبر النماذج القادرة على الرؤية، وتعرض لوحة مصدر Mermaid قابلة للتحرير مع معاينة حية. يؤدي تحديد إلى تخزين الرسم البياني المؤكد في حالة الجلسة وإدراجه في مطالبات نموذج التهديد وشجرة الهجوم اللاحقة كنموذج نظامي رسمي — وبذلك يتم إغلاق حلقة الوصف → DFD → المراجعة → نموذج التهديد المحسّن التي يطلبها التقرير. كما يُنتج وكيل في CLI DFD على مستوى النظام بعد التجميع، يتم عرضه ككتلة Mermaid في تقرير markdown، ويُحمل في حقل في JSON، ويظهر في عرض HTML عبر وقت تشغيل Mermaid محمل من CDN. تم تغليف إنشاء DFD بحيث لا يؤدي الرسم البياني السيئ أبداً إلى فشل تقرير جيد.

الإصدار 0.17

• تكامل MITRE ATT&CK و ATLAS (إغلاق #36): يمكن للتهديدات الصادرة عن /analyze و /quick الآن حمل معرفات تقنيات الخصم الموحدة من MITRE ATT&CK Enterprise (v17.1) و MITRE ATLAS (2026.05). بطاقتا مرجع جديدتان للإفصاح التدريجي (mitre_enterprise، mitre_atlas) توجّهان الوكيل لاستخدام المعرفات والأسماء المفهرسة فقط، مما يزيل هلوسة المعرفات. يتم إعادة إنشاء البطاقات من STIX/YAML المنبع عبر scripts/refresh_mitre_cards.py بدلاً من كتابتها من استدعاء النموذج. تظهر التقنيات كعمود MITRE ATT&CK في جداول markdown، وحبوب قابلة للنقر بلون السماء في HTML، ومصفوفات properties.mitre_attack في SARIF.
• تقرير HTML مصاحب: الآن يُصدر /analyze و /quick تقرير HTML قابلاً للعرض في المتصفح وقائماً بذاته إلى جانب مخرجات markdown / JSON / SARIF، ومناسباً للمشاركة مع أصحاب المصلحة.
• Anthropic Claude Opus 4.8: تمت إضافة دعم claude-opus-4-8، أحدث نموذج من الدرجة الأولى لـ Anthropic، إلى جانب Opus 4.7 الحالي. يمكن اختيار أي منهما كنموذج معماري أو عامل.
• توحيد صورة واجهة المستخدم: تمت إزالة إعداد Docker للمساحتين الاسميتين ()؛ أصبحت واجهة Streamlit تعيش الآن في فقط. يجب على مستخدمي CLI استخدام بدلاً من سحب حاوية.

الإصدار 0.16

• CLI مستقل: أول إصدار لـ STRIDE-GPT كأداة CLI مع pip install stride-gpt، منفصلة عن واجهة Streamlit القديمة. أمران رئيسيان: /analyze (تحليل وكيل مستقل لقاعدة الأكواد مع مخطط، وحلقات وكيل لكل نظام فرعي باستخدام الأدوات، ومرحلة تجميع شاملة) و /quick (نموذج تهديد من طلقة واحدة من وصف تطبيق مكتوب).
• بطاقات مرجعية للإفصاح التدريجي: بطاقات genai (OWASP LLM Top 10)، و agentic (OWASP ASI Top 10)، و insider_threat تصف نفسها عبر تمهيد YAML؛ يكتشفها الوكيل عبر list_references ويسحب النصوص عبر load_reference.
• توجيه نموذج من مستويين: تقسيم نموذج معماري + عامل لتحليل فعال من حيث التكلفة، مع حجز نماذج من الدرجة الأولى للتخطيط والتجميع.
• REPL تفاعلي: تجربة طرفية كاملة الميزات مع إكمال علامات التبويب، والسجل، والتقدم في الوقت الفعلي، وشريط الحالة.
• إخراج متعدد الصيغ: Markdown و JSON و SARIF (يُستهلك في GitHub و GitLab و Azure DevOps و IDEs).
• 0.16.1 patch: تم رفع مستوى مسجل LiteLLM إلى ERROR في stride_gpt/__init__.py بحيث لا تظهر تحذيرات التحميل المسبق لـ Bedrock / SageMaker على التثبيتات الجديدة التي تفتقر إلى botocore.

التثبيت

الخيار 1: pip (واجهة سطر الأوامر فقط)```bash

pip install stride-gpt

هذا يقوم بتثبيت الأمر `stride-gpt`. أصبحت واجهة سطر الأوامر وواجهة الويب Streamlit منتجين منفصلين الآن — `pip install stride-gpt` يمنحك واجهة سطر الأوامر الخفيفة دون أي أثر لـ Streamlit. لتشغيل واجهة الويب من المصدر، راجع الخيار 2 أدناه.

### الخيار 2: من المصدر

1. استنساخ المستودع:

    ```bash
    git clone https://github.com/mrwadams/stride-gpt.git
    cd stride-gpt
    ```

2. التثبيت باستخدام [uv](https://docs.astral.sh/uv/) (موصى به — `uv.lock` هو المصدر الوحيد الموثوق للاعتماديات):   ```bash
   # CLI plus the Streamlit web UI deps
   uv sync

أو قم بتثبيت CLI فقط باستخدام pip: ```bash pip install -e .

3. (اختياري) إعداد متغيرات البيئة:   ```bash
cp .env.example .env

قم بتحرير ملف .env لإضافة مفاتيح API الخاصة بك — أو قم بتكوينها لاحقًا عن طريق تشغيل stride-gpt واستخدام أمر /config في REPL التفاعلي، أو عبر واجهة Streamlit.

الخيار 3: Docker (واجهة ويب)

تأتي واجهة ويب Streamlit كصورة Docker:```bash docker pull mrwadams/stridegpt:latest

بالنسبة للواجهة السطرية (CLI)، استخدم `pip install stride-gpt` — لا توجد صورة منفصلة للواجهة السطرية. إذا كنت بحاجة إلى واجهة سطرية معزولة (sandboxed)، فقم ببناء واحدة خاصة بك من صورة أساسية بسيطة للبايثون.

## تخطيط المستودع

تم تنظيم STRIDE-GPT كمستودع أحادي صغير (monorepo): مكتبة بايثون مشتركة واحدة، وتطبيق أو أكثر يستهلكها.```
stride-gpt/
├── stride_gpt/    # shared library + Python CLI (core, agent loop, prompts, schemas, models)
├── apps/
│   └── web/       # Streamlit web UI
├── tests/         # pytest suite
└── pyproject.toml # single project file; web UI deps live in the `web` dependency-group

دليل apps/ هو المكان المخصص للواجهات الأمامية الإضافية القابلة للنشر — على سبيل المثال، سيكون مستقبل CLI لـ Node/TypeScript بجانب apps/web/. يبقى CLI الخاص بـ Python في stride_gpt/cli.py لأنه مرتبط بإحكام بالمكتبة المشتركة.

الاستخدام

CLI

تحليل قاعدة الشفرة الوكيل — يقوم الوكيل بشكل مستقل باستكشاف قاعدة الشفرة، ويخطط لتحليله، وينتج نموذج تهديد STRIDE:```bash

Analyze the current directory

stride-gpt analyze .

Specify a model and auto-approve the analysis plan

stride-gpt analyze ./my-app --worker-model anthropic/claude-sonnet-4-6 -y

Export as JSON, SARIF, or browser-viewable HTML

stride-gpt analyze . -o report.json -f json # also writes report.html alongside stride-gpt analyze . -o report.sarif -f sarif stride-gpt analyze . -o report.html -f html

> يحفظ كل تحليل تلقائيًا ملف JSON مصاحب وملف HTML في `~/.stride-gpt/reports/analyze/`، بحيث يكون العرض القابل للمشاهدة عبر المتصفح على بُعد نقرة واحدة حتى عند التشغيل بدون `-o`.

> **ملاحظة حول التكلفة:** التحليل الوكيلي شامل — يقوم الوكيل بإجراء العديد من استدعاءات LLM ويقرأ العديد من الملفات أثناء الاستكشاف. يتناسب استخدام الرموز والتكلفة مع حجم قاعدة البيانات ونموذجك المختار، وقد يكون تشغيل كامل على مستودع كبير باستخدام نموذج حدودي مكلفًا. قم بتعيين حدود الإنفاق في لوحة تحكم المزود قبل التشغيل، وفكر في استخدام نماذج أسرع/أرخص للتشغيلات الأولى.

**وضع التشغيل الفردي السريع** — إنشاء نموذج تهديد من وصف نصي (مثل واجهة Streamlit، ولكن في الطرفية):```bash
# Read description from a file
stride-gpt quick -i app-description.txt

# Pipe from stdin
echo "A web API that processes payments..." | stride-gpt quick

REPL تفاعلي — إطلاق جلسة تفاعلية مع الإكمال التلقائي والسجل:```bash stride-gpt

داخل REPL، اكتب `/help` لرؤية الأوامر والعلامات المتاحة. يظهر الإصدار أسفل الشعار النصي ASCII عند بدء التشغيل. راجع [ورقة الغش التفاعلية لـ REPL](#interactive-repl-cheat-sheet) أدناه للحصول على المرجع الكامل للأوامر والاختصارات.

#### ورقة الغش التفاعلية لـ REPL

قم بتشغيل REPL باستخدام `stride-gpt` (بدون وسائط)، ثم استخدم هذه الأوامر والاختصارات.

**الأوامر** — اكتب أمرًا بشرطة مائلة في الموجه:

| Command | What it does |
|---------|--------------|
| `/analyze [path]` | تحليل قاعدة بيانات للتهديدات STRIDE (يمكن استخدام مسار مجرد أيضًا) |
| `/quick` | نموذج تهديد سريع من وصف نصي |
| `/reports` | عرض تقارير التحليل السابقة (`/reports <n>` لعرض تقرير معين) |
| `/config` | عرض أو تغيير الإعدادات (النموذج، المزود، مفاتيح API) |
| `/help` | عرض الأوامر المتاحة والعلامات والأمثلة |
| `/quit` | الخروج (الأسماء البديلة: `/exit`, `/q`) |

الأوامر `/analyze` و `/quick` و `/reports` تقبل العلامات: `-o`/`--output <path>` و `-f`/`--format <markdown\|json\|sarif\|html>` و `-y`/`--yes` و `-i`/`--input <path>` (لـ `/quick`). اكتب `/help` للحصول على القائمة الكاملة.

**اختصارات لوحة المفاتيح:**

| Key | Action |
|-----|--------|
| `Tab` | إكمال الأوامر بشرطة مائلة ومسارات الملفات |
| `↑` / `↓` | التمرير في تاريخ الأوامر |
| `→` / `End` | قبول الاقتراح التاريخي المعروض بالرمادي |
| `Ctrl+L` | مسح الشاشة وسجل التمرير |
| `Ctrl+C` / `Ctrl+D` | الخروج من REPL |

**تحقق من الإصدار المثبت:**```bash
stride-gpt --version    # prints e.g. "stride-gpt 0.19.0" and exits

العلامات الشائعة:

كل طبقة تقبل أيضًا --worker-api-key / --worker-api-base / --worker-max-tokens (وما يعادلها من --architect-*). قم بتشغيل stride-gpt analyze --help أو stride-gpt quick --help للحصول على القائمة الكاملة.

الوسائط الهيكلية — عندما يتم استخدام -o <path>، تتم كتابة ثلاثة ملفات JSON تابعة بجانب التقرير بحيث يمكن تدقيق التشغيل أو استخدامها بواسطة الأدوات اللاحقة:

علامة الصيغة (-f) تتحكم فقط في أداة التقرير؛ التابعات تكون دائمًا بصيغة JSON. مسارات الملفات في البيان والنتائج يتم تحريرها (./… عندما تكون تحت دليل العمل، ~/… عندما تكون تحت $HOME) بحيث يكون البيان آمنًا للمشاركة. الأرشفة التلقائية في ~/.stride-gpt/reports/{analyze,quick}/ لا تتأثر — التابعات تُصدر فقط عند تمرير -o.

عرض التقارير السابقة:```bash stride-gpt reports # List recent reports stride-gpt reports 1 # View report #1 stride-gpt reports 1 -o r.json -f json # Export a report

### واجهة Streamlit Web UI

واجهة الويب هي تطبيق منفصل عن واجهة سطر الأوامر (CLI). يمكن تشغيلها باستخدام:```bash
streamlit run apps/web/main.py

افتح عنوان URL المقدم في متصفحك واتبع الخطوات التي تظهر على الشاشة.

Docker```bash

docker run -p 8501:8501 --env-file .env mrwadams/stridegpt

## نموذج المخرجات

كل تشغيل لـ `stride-gpt analyze` و `stride-gpt quick` يُصدر تقرير ماركداون افتراضيًا (مع توفر JSON و SARIF وعرض HTML مستقل عبر `-f`). يقوم الماركداون بتجميع التهديدات حسب النظام الفرعي في جداول STRIDE، ويُضيف قسمًا شاملًا للتهديدات التي تمتد عبر المكونات، ويختتم بملخص التشغيل. الأعمدة الاختيارية (OWASP LLM/ASI، Insider Category، MITRE ATT&CK) تظهر فقط عندما يحتوي التشغيل على بيانات لها.

فيما يلي الماركداون من تشغيل على واجهة برمجة تطبيقات مدفوعات خيالية، حتى تتمكن من رؤية شكل المخرجات قبل تشغيل الأداة. إنه تقديم حقيقي من محرك التقارير، وليس نموذجًا وهميًا.

<details>
<summary>نموذج ماركداون لنموذج التهديدات (انقر للتوسيع)</summary>````markdown
# STRIDE Threat Model: acme-payments-api

> Generated by STRIDE-GPT on 2026-07-16T09:42:00Z

## Overview

A Python FastAPI service that accepts card payments, stores customer profiles in PostgreSQL, and calls a third-party payment processor. Authentication is handled by JWT bearer tokens issued by an internal auth service; the API is internet-facing behind an API gateway.

## Data Flow Diagram

```mermaid
flowchart LR
    Client[Client App] -->|HTTPS + JWT| Gateway[API Gateway]
    Gateway --> API[Payments API]
    API -->|SQL| DB[(PostgreSQL)]
    API -->|HTTPS| Processor[Payment Processor]

Authentication & Authorization

Files Analyzed

• app/auth/jwt.py
• app/auth/dependencies.py

Threats

Recommendations

• Enforce role checks on every privileged route via a shared dependency, not per-handler logic.
• Rotate and store the JWT signing secret in a managed secrets store rather than an env file.

Payments & Data Storage

Files Analyzed

• app/payments/routes.py
• app/db/models.py

Threats

Recommendations

• Redact PANs before logging and route logs through a PCI-scoped sink.
• Derive the charge amount from the server-side order record, never the request body.

Cross-Cutting Threats

Summary

• Total threats identified: 5
• Subsystems analyzed: 2
• Cross-cutting threats: 1
• LLM calls: 34
• Tool calls: 58
• Architect model: OpenAI API/gpt-5.4
• Worker model: Anthropic API/claude-sonnet-4-6

</details>

`stride-gpt quick` ينتج نفس شكل الجدول من وصف مكتوب، مع دمجها في نظام فرعي واحد من **Application** بدلاً من النتائج لكل نظام فرعي.

## أفضل ممارسات الأمان

تم تصميم STRIDE GPT للنشر المحلي لمستخدم واحد. عند استخدام الأداة:

### حماية مفاتيح API الخاصة بك

**مفاتيح API الخاصة بك هي بيانات اعتماد حساسة يمكن أن تتسبب في رسوم على حسابك.**

✅ **افعل:**
- أدخل مفاتيح API من خلال واجهة المستخدم (تبقى في جلسة المتصفح الخاصة بك)
- استخدم ملف .env للراحة على جهازك الشخصي
- حدد حدود الإنفاق في لوحة تحكم موفر LLM الخاص بك
- راجع استخدامك لـ API والتكاليف بانتظام
- امسح الجلسة عند الاستخدام على أجهزة مشتركة

❌ **لا تفعل:**
- لا تقم بإضافة ملفات .env إلى التحكم في الإصدار (موجود بالفعل في .gitignore)
- لا تشارك لقطات شاشة تحتوي على مفاتيح API مرئية
- لا تقم بتشغيل STRIDE GPT على أنظمة غير موثوقة أو مخترقة
- لا تشارك مفاتيح API الخاصة بك مع الآخرين
- لا تتجاهل رسوم API غير المتوقعة

### اعتبارات خصوصية البيانات

عند إنشاء نماذج التهديد، يرسل STRIDE GPT البيانات إلى موفر LLM الذي تختاره:
- تفاصيل التطبيق (النوع، طرق المصادقة، البنية المعمارية)
- أوصاف بنية النظام
- مخططات/صور البنية المرفوعة
- نماذج التهديد والتخفيفات التي تم إنشاؤها

**ما يعنيه هذا:**
- قد تقوم OpenAI وAnthropic وGoogle وما إلى ذلك بتسجيل هذه البيانات وفقًا لسياسات الخصوصية الخاصة بها
- ضع في اعتبارك استخدام تفاصيل عامة/خيالية للنظام في العروض التوضيحية
- راجع سياسات الاحتفاظ بالبيانات والخصوصية لدى موفر LLM الخاص بك
- بالنسبة للأنظمة الحساسة، فكر في:
  - استخدام النماذج المحلية (LM Studio)
  - استخدام موفرين بضمانات خصوصية أكثر صرامة
  - تنقية أوصاف النظام قبل الإدخال

### للنشر ضمن فريق/مؤسسة

إذا كنت تقوم بنشر STRIDE GPT لعدة مستخدمين (ليس حالة الاستخدام الافتراضية):
- أضف المصادقة/التفويض (غير مدرجة افتراضيًا)
- استخدم خدمة إدارة الأسرار لمفاتيح API
- انشر خلف VPN أو شبكة داخلية
- راجع مستند [SECURITY.md](https://github.com/mrwadams/stride-gpt/blob/HEAD/SECURITY.md) للحصول على اعتبارات إضافية
- ضع في اعتبارك متطلبات موقع البيانات والامتثال
- قم بتطبيق ضوابط الوصول المناسبة لنماذج التهديد المنشأة

### أمان التبعيات

نحن نحافظ على التبعيات ونراقب الثغرات الأمنية:
- يتم تحديث التبعيات بانتظام عبر Dependabot
- يتم إجراء فحص أمني آلي في كل التزام
- يتم تتبع الاستشارات الأمنية في علامة تبويب الأمان في GitHub
- قم بتشغيل `pip-audit` للتحقق من الثغرات الأمنية المعروفة محليًا

راجع [SECURITY.md](https://github.com/mrwadams/stride-gpt/blob/HEAD/SECURITY.md) للحصول على معلومات أمنية شاملة بما في ذلك الفحص الأمني الآلي والإبلاغ عن الثغرات الأمنية وممارسات التطوير الآمنة.

### الإبلاغ عن مشكلات الأمان

وجدت مشكلة أمنية؟ يُرجى الإبلاغ عنها بمسؤولية:
- قم بإنشاء استشارة أمنية عبر [الإبلاغ الخاص عن الثغرات الأمنية](https://github.com/mrwadams/stride-gpt/security/advisories/new) في GitHub
- لا تنشر المشكلات الأمنية علنًا
- سنؤكد الاستلام خلال 48 ساعة
- سيتم إعطاء الأولوية للإصلاحات وإصدارها بسرعة

## المساهمة

طلبات السحب مرحب بها. بالنسبة للتغييرات الكبيرة، يُرجى فتح قضية أولاً لمناقشة ما ترغب في تغييره.

## الترخيص

[MIT](https://choosealicense.com/licenses/mit/)