Add security alerts to documents (#1413)

README_ru.md

@@ -70,6 +70,7 @@ DeerFlow интегрирован с инструментарием для ум
   - [Рекомендуемые модели](#рекомендуемые-модели)
   - [Встроенный Python-клиент](#встроенный-python-клиент)
   - [Документация](#документация)
+  - [⚠️ Безопасность](#️-безопасность)
   - [Участие в разработке](#участие-в-разработке)
   - [Лицензия](#лицензия)
   - [Благодарности](#благодарности)
@@ -412,6 +413,24 @@ client.upload_files("thread-1", ["./report.pdf"])  # {"success": True, "files":
 - [Обзор архитектуры](backend/CLAUDE.md) — технические детали
 - [Архитектура бэкенда](backend/README.md) — бэкенд и справочник API
 
+## ⚠️ Безопасность
+
+### Неправильное развёртывание может привести к угрозам безопасности
+
+DeerFlow обладает ключевыми высокопривилегированными возможностями, включая **выполнение системных команд, операции с ресурсами и вызов бизнес-логики**. По умолчанию он рассчитан на **развёртывание в локальной доверенной среде (доступ только через loopback-адрес 127.0.0.1)**. Если вы разворачиваете агент в недоверенных средах — локальных сетях, публичных облачных серверах или других окружениях, доступных с нескольких устройств — без строгих мер безопасности, это может привести к следующим угрозам:
+
+- **Несанкционированные вызовы**: функциональность агента может быть обнаружена неавторизованными третьими лицами или вредоносными сканерами, что приведёт к массовым несанкционированным запросам с выполнением высокорисковых операций (системные команды, чтение/запись файлов) и серьёзным последствиям для безопасности.
+- **Юридические и compliance-риски**: если агент будет незаконно использован для кибератак, кражи данных или других противоправных действий, это может повлечь юридическую ответственность и compliance-риски.
+
+### Рекомендации по безопасности
+
+**Примечание: настоятельно рекомендуем развёртывать DeerFlow только в локальной доверенной сети.** Если вам необходимо развёртывание через несколько устройств или сетей, обязательно реализуйте строгие меры безопасности, например:
+
+- **Белый список IP-адресов**: используйте `iptables` или аппаратные межсетевые экраны / коммутаторы с ACL, чтобы **настроить правила белого списка IP** и заблокировать доступ со всех остальных адресов.
+- **Шлюз аутентификации**: настройте обратный прокси (nginx и др.) и **включите строгую предварительную аутентификацию**, запрещающую любой доступ без авторизации.
+- **Сетевая изоляция**: по возможности разместите агент и доверенные устройства в **одном выделенном VLAN**, изолированном от остальной сети.
+- **Следите за обновлениями**: регулярно отслеживайте обновления безопасности проекта DeerFlow.
+
 ## Участие в разработке
 
 Приветствуем контрибьюторов! Настройка среды разработки, воркфлоу и гайдлайны — в [CONTRIBUTING.md](CONTRIBUTING.md).