Изолированный аудит репозитория. Конфигурация 1 остаётся зафиксированным baseline.
Semgrep, Bandit, Gitleaks и OSV в Docker-песочнице.