funasr-transcribe

未发现明确的恶意行为、数据外泄、反向 shell、持久化或破坏性逻辑。代码的主要风险是未认证 API 允许调用者读取任意路径、覆盖任意可写路径、扫描目录并修改文件；同时 model_id 可触发外部模型下载和加载，形成供应链风险。部署时应限制监听地址、加入认证授权、实施路径白名单与符号链接防护，并仅允许受信任的固定模型标识。