diff --git a/SECURITY-REPORT.md b/SECURITY-REPORT.md
new file mode 100644
index 0000000..27f3812
--- /dev/null
+++ b/SECURITY-REPORT.md
@@ -0,0 +1,46 @@
+# 攻击面探测报告
+- 时间: 2026-10-06T13:00:45Z
+
+## 1. 内网服务横向(traefik-network 容器)
+- [安全] 不可达: postgres:5432
+- [安全] 不可达: idealjs_pg:5432
+- [安全] 不可达: redis:6379
+- [安全] 不可达: idealjs_redis:6379
+- [安全] 不可达: idealjs_gitea:3000
+- [安全] 不可达: idealjs_logto:3001
+- [安全] 不可达: idealjs_home:3000
+- [安全] 不可达: idealjs_journal:3000
+- [安全] 不可达: mysql:3306
+- [安全] 不可达: mongo:27017
+
+## 2. 宿主机已发布端口
+- [!!] 可达: gitea.idealjs.com:22
+- [!!] 可达: gitea.idealjs.com:80
+- [!!] 可达: gitea.idealjs.com:443
+- [!!] 可达: gitea.idealjs.com:2333
+- [!!] 可达: gitea.idealjs.com:2222
+
+## 3. docker.sock 突破
+- [!!] docker.sock 存在
+
+## 4. 挂载宿主文件系统
+- [安全] mount 被拒绝(无 CAP_SYS_ADMIN)
+- [安全] /host 不存在
+- [安全] /hostroot 不存在
+
+## 5. user namespace 提权
+- [安全] unshare 被拒绝
+
+## 6. 窃取 runner 注册凭据
+- [安全] /data/.runner 不可见
+
+## 7. job 环境敏感变量(只列名,不打印值)
+- 存在: ACTIONS_RUNTIME_TOKEN
+
+## 8. 出网能力(CI 设计内)
+- gitea.idealjs.com: HTTP 200
+- aliyun registry: HTTP 200
+
+## 附: capabilities
+- CapPrm:	00000000a80425fb
+- CapEff:	00000000a80425fb