Record remaining cross-group authorization audit gaps

doc/tasks.md

@@ -5,6 +5,15 @@
 
 ## Текущие задачи
 
+[ ] **Завершить аудит межгруппового доступа всех сетевых сервисов** — 03.11.2026.
+    MEDIA_DELIVERY закрыт отдельной политикой router и негативными сетевыми тестами; это не гарантия для остальных сервисов.
+    По чтению кода: RADIO/BROADCAST выбирают группу из wire без проверки членства входящего пира;
+    CONN_MGR разрешает диспетчеризацию по существованию группы, DIRECT_REQ использует общий node_registry;
+    TCP/UDP/ICMP proxy на приёме не проверяют router group. MEMBER_FILES/GROUP_AVATAR проверяют данные в обработчиках,
+    но не задают обязательную подпись control-пакетов в router. Нужны отдельные воспроизведения на общем ETCP,
+    проверка подмены источника, отзыва доступа и соседней группы; правила JOIN/invite и личных DM учитывать отдельно.
+    На этом этапе перечисленные дополнительные сценарии проверены чтением кода, сетевые регрессии ещё не добавлены.
+
 [+] **Панель устройств групповой лички: свои и собеседника** — 03.11.2026.
     Общий снимок текущего состава закреплённых сторон, включая offline и fallback-устройство.
     Qt: два раздела панели мемберов; Android: кнопка участников в заголовке PM.