AIGovern-Cyber-POC007

Projetos que seguem as melhores práticas abaixo podem se autocertificar voluntariamente e mostrar que alcançaram um selo de melhores práticas da Open Source Security Foundation (OpenSSF).

Não existe um conjunto de práticas que possa garantir que o software nunca terá defeitos ou vulnerabilidades; mesmo métodos formais podem falhar se as especificações ou suposições estiverem erradas. Nem existe qualquer conjunto de práticas que possa garantir que um projeto sustentará uma comunidade de desenvolvimento saudável e bem-funcionada. No entanto, seguir as melhores práticas pode ajudar a melhorar os resultados dos projetos. Por exemplo, algumas práticas permitem revisão multipessoal antes do lançamento, o que pode ajudar a encontrar vulnerabilidades técnicas difíceis de encontrar e ajudar a construir confiança e desejo de interação repetida entre desenvolvedores de diferentes empresas. Para ganhar um selo, todos os critérios DEVE e NÃO DEVE devem ser atendidos, todos os critérios DEVERIA devem ser atendidos OU não atendidos com justificativa, e todos os critérios SUGERIDO devem ser atendidos OU não atendidos (queremos que sejam considerados pelo menos). Se você quiser inserir texto de justificativa como um comentário genérico, em vez de ser uma justificativa de que a situação é aceitável, inicie o bloco de texto com '//' seguido de um espaço. Feedback é bem-vindo via site do GitHub como questões ou pull requests Há também uma lista de discussão para discussão geral.

Fornecemos com prazer as informações em vários idiomas, no entanto, se houver qualquer conflito ou inconsistência entre as traduções, a versão em inglês é a versão autoritativa.
Se este é o seu projeto, por favor mostre o status do seu selo básico na página do seu projeto! O status do selo básico se parece com isto: O nível do selo básico para o projeto 15834 é in_progress Aqui está como incorporar o selo básico:
Você pode mostrar o status do seu selo básico incorporando isto no seu arquivo markdown:
[![OpenSSF Baseline](https://www.bestpractices.dev/projects/15834/baseline)](https://www.bestpractices.dev/projects/15834)
ou incorporando isto no seu HTML:
<a href="https://www.bestpractices.dev/projects/15834"><img src="https://www.bestpractices.dev/projects/15834/baseline"></a>


Estes são os critérios de Nível Básico 1. Estes são critérios da versão v2026.08.28.

Baseline Series: Nível Básico 1 Nível Básico 2 Nível Básico 3

        

 Fundamentos

  • Geral

    Observe que outros projetos podem usar o mesmo nome.

    A standalone Apache-2.0 Rust research capsule derived from ESS-MAI: scoped obligations, promise fulfilment, failure evidence and exact positive/negative comparison, with reproducible fixtures and disclosed counterexamples.

    Use o formato de expressão de licença SPDX; exemplos incluem "Apache-2.0", "BSD-2-Clause", "BSD-3-Clause", "GPL-2.0+", "LGPL-3.0+", "MIT" e "(BSD-2-Clause OR Ruby)". Não inclua aspas simples ou aspas duplas.
    Se houver mais de uma linguagem, liste-as como valores separados por vírgula (espaços opcionais) e ordene-as da mais usada para a menos usada. Se houver uma longa lista, liste pelo menos as três primeiras mais comuns. Se não houver linguagem (por exemplo, este é um projeto apenas de documentação ou apenas de teste), use o caractere único "-". Use uma capitalização convencional para cada linguagem, por exemplo, "JavaScript".
    O Common Platform Enumeration (CPE) é um esquema de nomenclatura estruturado para sistemas de tecnologia da informação, software e pacotes. Ele é usado em vários sistemas e bancos de dados ao relatar vulnerabilidades.

    ASSESSMENT SCOPE: the standalone public POC007 capsule only; the full private AIGovern-Cyber runtime is excluded. This is a maintainer self-assessment, not an independent security audit or certification. Assessment basis: bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f and frozen poc007-public-v0.1.2; later documentation does not change the executable code. Twelve published author-reported tests, including tool-assisted runs, are bounded fixture evidence.

    ESS-MAI is the originating architectural method, authored by Bledar Gjata / Gjata Legacy. It separates applicable law, bounded authority, evidence, traceability and the final right to commit. The public family covers POC003 cold-start reachability, POC004 GCL/Law-0 continuity, POC005 FFI authority nonduplication, POC006 verified negative-knowledge re-entry, and POC007 obligation/promise/scoped comparison. Linking these predecessor artifacts does not extend this assessment to them.

    The technical brief maps the proposed roles of D-BAB (witness), 0-NOI (trigger), negative knowledge, PD/Vault references and iZ clarification to available evidence and limits. It preserves semantic-reissuance, restart, caller-trust and rollback limitations rather than treating test counts as universal proof. Reviewers are invited to reproduce one obligation and report a counterexample.
    https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/main/ESS_MAI_RESEARCH_CASE.md

    Parent method and POC003-006: https://github.com/gjatalegacy-create/ESS-MAI
    POC007 software DOI: https://doi.org/10.5281/zenodo.23596907
    Author ORCID: https://orcid.org/0009-0003-7854-266X
    AI-assisted implementation, author-reported shell inspection and evidence categories: https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/main/WORKING_METHOD.md

    No public-sector deployment, institutional endorsement, worldwide novelty or complete hardware-control validation is asserted. The larger product source and operational histories remain private.

 Controles 18/24 ●

  • Controles


    Informações obrigatórias desconhecidas, insuficiente para um badge.

    Quando um usuário tentar ler ou modificar um recurso sensível no repositório autorizado do projeto, o sistema DEVE exigir que o usuário complete um processo de autenticação multifator. [OSPS-AC-01.01]
    Imponha autenticação multifator para o sistema de controle de versão do projeto, exigindo que os colaboradores forneçam uma segunda forma de autenticação ao acessar dados sensíveis ou modificar configurações do repositório. Passkeys são aceitáveis para este controle.

    Not independently verified: the default GitHub automation is insufficient to establish MFA enforcement for every collaborator on this repository. No security setting was changed for this assessment.


    Informações obrigatórias desconhecidas, insuficiente para um badge.

    Quando um novo colaborador for adicionado, o sistema de controle de versão DEVE exigir atribuição manual de permissão, ou restringir as permissões do colaborador aos menores privilégios disponíveis por padrão. [OSPS-AC-02.01]
    A maioria dos sistemas públicos de controle de versão são configurados desta maneira. Certifique-se de que o sistema de controle de versão do projeto sempre atribua as menores permissões disponíveis aos colaboradores por padrão quando adicionados, concedendo permissões adicionais somente quando necessário.

    Insuficiente para um badge.

    Quando uma confirmação direta for tentada no ramo principal do projeto, um mecanismo de aplicação DEVE impedir que a mudança seja aplicada. [OSPS-AC-03.01]
    Se o VCS for centralizado, defina proteção de ramo no ramo principal no VCS do projeto. Alternativamente, use uma abordagem descentralizada, como a do kernel Linux, onde as mudanças são primeiro propostas em outro repositório, e mesclar mudanças no repositório principal requer um ato separado específico.

    Not met at assessment time. GitHub reports main protected=false; branch protection enforcement is off and no required status-check contexts are configured. The existing CI workflow does not itself block direct pushes. Read-only check on 2026-10-23; no repository settings changed.


    Informações obrigatórias desconhecidas, insuficiente para um badge.

    Quando for feita uma tentativa de excluir o ramo principal do projeto, o sistema de controle de versão DEVE tratar isso como uma atividade sensível e exigir confirmação explícita de intenção. [OSPS-AC-03.02]
    Defina proteção de ramo no ramo principal no sistema de controle de versão do projeto para evitar exclusão.

    Suficiente para um badge!

    Quando um pipeline de CI/CD opera com metadados não confiáveis, esses parâmetros DEVEM ser higienizados e validados antes de serem usados no pipeline. [OSPS-BR-01.01]
    Os pipelines de CI/CD devem sanitizar (citar, escapar ou sair com valores esperados) todas as entradas de metadados que correspondam a fontes não confiáveis. Isso inclui dados como nomes de branch, mensagens de commit, tags, títulos de pull requests e informações de autoria.

    The current pipeline does not interpolate or otherwise operate on untrusted event metadata. It runs fixed commands against the checked-out code snapshot; there are no workflow dispatch inputs or GitHub event expressions in the commands. https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f/.github/workflows/poc007.yml


    Suficiente para um badge!

    Quando um pipeline de CI/CD opera em snapshots de código não confiável, ele DEVE impedir o acesso a credenciais e ativos privilegiados de CI/CD. [OSPS-BR-01.03]
    Os pipelines de CI/CD devem isolar snapshots de código não confiável de credenciais e ativos privilegiados. Em particular, os projetos devem ter cuidado para garantir que os workflows que compilam ou executam código antes da revisão por um colaborador não tenham acesso às credenciais de CI/CD.

    The public workflow uses pull_request, GitHub-hosted ubuntu-latest runners, contents: read and checkout persist-credentials: false. It supplies no project secrets or deployment environments to test/build steps. Evidence: https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f/.github/workflows/poc007.yml#L1-L26


    Suficiente para um badge!

    Quando o projeto listar um URI como um canal oficial do projeto, esse URI DEVE ser entregue exclusivamente usando canais criptografados. [OSPS-BR-03.01]
    Configure os sites do projeto e os sistemas de controle de versão para usar canais criptografados como SSH ou HTTPS para transmissão de dados. Certifique-se de que todas as ferramentas e domínios referenciados na documentação do projeto só possam ser acessados por meio de canais criptografados.

    Project URLs use HTTPS exclusively.


    Suficiente para um badge!

    Quando o projeto listar uma URI como canal de distribuição oficial, esse canal DEVE ser protegido contra ataques de adversário no meio (adversary-in-the-middle) usando canais criptograficamente autenticados. [OSPS-BR-03.02]
    Os artefatos distribuídos pelo projeto devem ser distribuídos por meio de canais que garantam integridade e autenticidade. O uso de HTTPS para downloads, versões assinadas ou distribuição por meio de gerenciadores de pacotes confiáveis são métodos aceitáveis para proteger contra ataques de adversário no meio.

    Distribution channels use HTTPS exclusively.


    Suficiente para um badge!

    O projeto DEVE impedir o armazenamento não intencional de dados sensíveis não criptografados, como segredos e credenciais, no sistema de controle de versão. [OSPS-BR-07.01]
    Configure .gitignore ou equivalente para excluir arquivos que possam conter informações sensíveis. Use hooks de pré-commit e ferramentas de varredura automatizadas para detectar e prevenir a inclusão de dados sensíveis em commits.

    GitHub reports secret_scanning=enabled and secret_scanning_push_protection=enabled for this public repository, checked read-only on 2026-10-23. This prevents pushes containing supported detectable secrets; it does not prove detection of every secret format or absence of all sensitive data.


    Suficiente para um badge!

    Quando o projeto tiver feito uma versão, a documentação do projeto DEVE incluir guias do usuário para todas as funcionalidades básicas. [OSPS-DO-01.01]
    Crie guias do usuário ou documentação para todas as funcionalidades básicas do projeto, explicando como instalar, configurar e usar os recursos do projeto. Se houver quaisquer ações perigosas ou destrutivas conhecidas disponíveis, inclua avisos altamente visíveis.

    REPRODUCIBILITY.md documents toolchain requirements, test/build/run commands, expected outputs and limits for the standalone public capsule. https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f/REPRODUCIBILITY.md


    Suficiente para um badge!

    Quando o projeto tiver feito uma versão, a documentação do projeto DEVE incluir um guia para relatar defeitos. [OSPS-DO-02.01]
    É recomendado que os projetos usem o rastreador de issues padrão do seu VCS. Se uma fonte externa for usada, certifique-se de que a documentação do projeto e o guia de contribuição expliquem de forma clara e visível como usar o sistema de relatório. É recomendado que a documentação do projeto também estabeleça expectativas sobre como os defeitos serão triados e resolvidos.

    REVIEW_PROTOCOL.md describes how to report findings; the issue template requests revision, environment, expected/actual behavior, evidence and disclosure. GitHub Issues is enabled. https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f/REVIEW_PROTOCOL.md#L5-L17


    Suficiente para um badge!

    O projeto DEVE ter um ou mais mecanismos para discussões públicas sobre mudanças propostas e obstáculos de uso. [OSPS-GV-02.01]
    Estabeleça um ou mais mecanismos para discussões públicas dentro do projeto, como listas de discussão, mensagens instantâneas ou rastreadores de issues, para facilitar a comunicação aberta e feedback.

    GitHub Issues is enabled and pull requests provide public discussion for proposed changes. REVIEW_PROTOCOL.md links the findings channel. GitHub Discussions is not enabled; this answer relies on Issues and PRs. https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/issues


    Insuficiente para um badge.

    A documentação do projeto DEVE incluir uma explicação do processo de contribuição, ou declarar claramente que contribuições públicas não são aceitas [OSPS-GV-03.01]
    Crie um CONTRIBUTING.md ou diretório CONTRIBUTING/ para delinear o processo de contribuição incluindo as etapas para enviar mudanças e se engajar com os mantenedores do projeto.

    Not yet met. CONTRIBUTIONS.md explains attribution and prior-art boundaries; REVIEW_PROTOCOL.md describes review reports. The assessed documentation does not yet explain code contribution/PR handling or state that code contributions are closed.


    Suficiente para um badge!

    A licença do código-fonte DEVE atender à Definição de Código Aberto da OSI ou à Definição de Software Livre da FSF. [OSPS-LE-02.01]
    Adicione um arquivo LICENSE ao repositório do projeto com uma licença que seja uma licença aprovada pela Open Source Initiative (OSI), ou uma licença livre aprovada pela Free Software Foundation (FSF). Exemplos de tais licenças incluem MIT, BSD 2-clause, BSD 3-clause revisada, Apache 2.0, Lesser GNU General Public License (LGPL) e a GNU General Public License (GPL). Lançar para o domínio público atende a este controle se não houver outros obstáculos como patentes.

    The Apache-2.0 license for the repository contents is approved by the Open Source Initiative (OSI).


    Suficiente para um badge!

    A licença dos ativos de software lançados DEVE atender à Definição de Código Aberto da OSI ou à Definição de Software Livre da FSF. [OSPS-LE-02.02]
    Se uma licença diferente for incluída com ativos de software lançados, certifique-se de que seja uma licença aprovada pela Open Source Initiative (OSI), ou uma licença livre aprovada pela Free Software Foundation (FSF). Exemplos de tais licenças incluem MIT, BSD 2-clause, BSD 3-clause revisada, Apache 2.0, Lesser GNU General Public License (LGPL) e a GNU General Public License (GPL). Note que a licença para os ativos de software lançados pode ser diferente do código-fonte.

    The Apache-2.0 license is approved by the Open Source Initiative (OSI). [floss_license]


    Suficiente para um badge!

    A licença do código-fonte DEVE ser mantida no arquivo LICENSE, arquivo COPYING, diretório LICENSES/ ou diretório LICENSE/ do repositório correspondente. [OSPS-LE-03.01]
    Inclua a licença do código-fonte do projeto no arquivo LICENSE, arquivo COPYING, diretório LICENSES/ ou diretório LICENSE/ do projeto para fornecer visibilidade e clareza sobre os termos de licenciamento. O nome do arquivo PODE ter uma extensão. Se o projeto tiver vários repositórios, garanta que cada repositório inclua o arquivo de licença.

    License file found in repository.


    Suficiente para um badge!

    A licença dos ativos de software lançados DEVE ser incluída no código-fonte lançado, ou em um arquivo LICENSE, arquivo COPYING, ou diretório LICENSE/ junto aos ativos de lançamento correspondentes. [OSPS-LE-03.02]
    Inclua a licença dos ativos de software lançados do projeto no código-fonte lançado, ou em um arquivo LICENSE, arquivo COPYING ou diretório LICENSE/ ao lado dos ativos de versão correspondentes para fornecer visibilidade e clareza sobre os termos de licenciamento. O nome do arquivo PODE ter uma extensão. Se o projeto tiver múltiplos repositórios, certifique-se de que cada repositório inclua o arquivo de licença.

    Non-trivial license location file in repository: https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/main/LICENSE. [license_location]


    Suficiente para um badge!

    O repositório de código-fonte do projeto DEVE ser publicamente legível em uma URL estática. [OSPS-QA-01.01]
    Use um VCS comum como GitHub, GitLab ou Bitbucket. Certifique-se de que o repositório seja publicamente legível. Evite duplicação ou espelhamento de repositórios a menos que documentação altamente visível esclareça a fonte primária. Evite mudanças frequentes no repositório que impactariam a URL do repositório. Certifique-se de que o repositório seja público.

    Repository is publicly available on GitHub.


    Suficiente para um badge!

    O sistema de controle de versão DEVE conter um registro publicamente legível de todas as alterações feitas, quem fez as alterações e quando as alterações foram feitas. [OSPS-QA-01.02]
    Use um VCS comum como GitHub, GitLab ou Bitbucket para manter um histórico de commits publicamente legível. Evite esmagar ou reescrever commits de uma forma que obscureça o autor de quaisquer commits.

    Repository git metadata is publicly available on GitHub.


    Suficiente para um badge!

    Quando o sistema de gerenciamento de pacotes suportar, o repositório de código-fonte DEVE conter uma lista de dependências que representa as dependências diretas da linguagem. [OSPS-QA-02.01]
    Isso pode assumir a forma de um arquivo de dependências de gerenciador de pacotes ou linguagem que enumera todas as dependências diretas, como package.json, Gemfile ou go.mod.

    Cargo.toml lists the direct Rust dependencies (none) and Cargo.lock contains only the package. This does not mean the toolchain or CI actions have no dependencies. https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f/Cargo.toml


    Suficiente para um badge!

    Projetos com múltiplos repositórios DEVEM documentar uma lista das bases de código que fazem parte do projeto. [OSPS-QA-04.01]
    Documente quaisquer repositórios de código de subprojetos adicionais produzidos pelo projeto e compilados em uma versão de lançamento. Esta documentação deve incluir o status e a intenção da respectiva base de código.

    PUBLIC_NETWORK.md identifies the canonical POC007 code repository, identical public mirror, archive and parent lineage. This capsule is standalone; the separate private runtime is explicitly excluded in PUBLIC_PRIVATE_BOUNDARY.md. https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f/PUBLIC_NETWORK.md#L13-L17


    Suficiente para um badge!

    O sistema de controle de versão NÃO DEVE conter artefatos executáveis gerados. [OSPS-QA-05.01]
    Remova artefatos executáveis gerados no sistema de controle de versão do projeto. É recomendado que qualquer cenário em que um artefato executável gerado apareça como crítico para um processo, como testes, ele deve ser gerado no momento da compilação ou armazenado separadamente e buscado durante uma etapa de pipeline específica e bem documentada.

    The assessed tracked tree contains no generated executable artifacts. Cargo output and Python bytecode are excluded by .gitignore. Evidence: git ls-files at bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f; https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f/.gitignore


    Suficiente para um badge!

    O sistema de controle de versão NÃO DEVE conter artefatos binários não revisáveis. [OSPS-QA-05.02]
    Não adicione nenhum artefato binário não revisável ao sistema de controle de versão do projeto. Isso inclui binários de aplicativos executáveis, arquivos de biblioteca e artefatos similares. Não inclui recursos como imagens gráficas, arquivos de som ou música e conteúdo similar normalmente armazenado em formato binário.

    No unreviewable application or library binaries are tracked. The manuscript PDFs are documentation assets accompanied by public Markdown and bibliography source. This does not claim a byte-reproducible PDF build. https://github.com/gjatalegacy-create/AIGovern-Cyber-POC007/blob/bf34c7b9478d4dd152798a7e8f1a43d8f24ac33f/paper/ARXIV_SUBMISSION.md#L13


    Insuficiente para um badge.

    A documentação do projeto DEVE conter contatos de segurança. [OSPS-VM-02.01]
    Crie um arquivo security.md (ou com nome similar) que contenha contatos de segurança para o projeto.

    Not yet met. No designated security contact or security reporting procedure was found in the assessed public documentation. The general public review/issues channel is not a substitute for a security contact.



Você pode usar ferramentas e sistemas de IA para propor alterações por meio de uma URL simples, como https://www.bestpractices.dev/pt-BR/projects/15834/choose/edit?osps_ac_01_01_status=Met&osps_ac_01_01_justification=GitHub+enforced. Veja nosso sistema de propostas de automação para saber como fazer isso. Estes dados estão disponíveis sob o Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). Isso significa que um Destinatário de Dados pode compartilhar os Dados, com ou sem modificações, desde que o Destinatário de Dados disponibilize o texto deste acordo com os Dados compartilhados. Por favor, dê crédito a Bledar Gjata e aos contribuidores do selo de melhores práticas OpenSSF.

Entrada de selo do projeto de propriedade de: Bledar Gjata.
Entrada criada em 2026-10-23 17:51:00 UTC, última atualização em 2026-10-23 18:11:55 UTC.