[P0 安全] 历史 commit 676f1395 泄漏 .secrets/app.pem——需轮换 cloudbrid-agent App 私钥

[randypanding]

发现路径

ADR-0021 给 .github gate 聚合 CI-Workflows hygiene（gitleaks 全历史）后，PR #73 的 hygiene job 立即抓到 1 处 private-key 泄漏——这正是红队 #66-C1 指控的『治理仓自身 CI 防护不含 hygiene』的真实后果：该泄漏自 2026-08-18 起一直在线上无人发现。

事实

• 泄漏文件：.secrets/app.pem（GitHub App 私钥，27 行）
• 引入 commit：676f1395c2ce（2026-08-18，"feat: GitHub 企业级安全与质量体系搭建"——bootstrap 期误提交）
• 可达性：从未合入 main（main 扫描干净）；一直挂在远端分支 trae/agent-iuKAjy（无关联 PR）
• 已处置：污染分支已删除（commit 转不可达，等待服务端 GC；CI 全量克隆不再含它）

需 owner 手工完成（无法 API 代办）

1. 立即轮换：GitHub → Settings → Developer settings → GitHub App cloudbrid-agent（id 4632704）→ Private keys → Generate a new private key（旧密钥即失效）
2. 更新 org secret AGENT_APP_SECRET（Actions → Organization secrets）为新 PEM
3. 视审计需要在 App 设置页核对近期安装令牌使用记录

防线现状

• 该分支式泄漏今后由 hygiene（每 PR 全历史 gitleaks）+ 本 PR 的存在性校验双层覆盖
• gitleaks 在 PR fix: 治理层对齐——ruleset 合并解锁+GOVERNANCE 口径+组织地图+gate 存在性（ADR-0021） #73 上拦截成功（fail-closed）——防线有效性已实证

[randypanding]

状态更新：泄漏源已清除，剩余动作须 owner 手工执行（机器不可代办）

已完成：

• 污染分支 trae/agent-iuKAjy 已删除（全历史 gitleaks 扫描复跑通过——.github#73 hygiene 聚合上线后该防线已常驻 gate）
• 泄漏定性与登记：ADR-0021 批次（.github#73 处置记录）

待 owner（本 issue 保持 open 跟踪）：

1. GitHub App cloudbrid-agent 设置页 → Generate new private key（轮换）
2. 更新 org secret AGENT_APP_SECRET 为新私钥
3. 回复本 issue 确认后关闭

私钥值不可经 API/脚本读取，轮换只能网页手工执行——这正是 apply.sh §5 将 org secrets 列为"故意不碰"的类别。