Нашли уязвимость в CLI или скиллах — не открывайте публичный issue. Напишите мейнтейнеру через GitHub Security Advisories этого репозитория («Report a vulnerability»). Ответим в течение недели.

Уязвимости самого облака cloud.ru (Public API, сервисы) — не сюда, а в поддержку cloud.ru.

Что CLI делает с секретами:

• ключ доступа читает только из переменных окружения, токен IAM кеширует в пользовательском каталоге кеша с правами 0600;
• пароли пользователей кластеров принимает только из stdin или переменной окружения, не из аргументов (их видно в ps и истории shell);
• в журналы scripts/ пароли не пишутся.