التفويض فعل شخص
لا ينشئ التفويض أو يوسّعه إلا شخص. ولا يستطيع مفتاح وكيل ذكاء اصطناعي أن يمنح نفسه أو وكيلًا آخر أي شيء.
الأمان
أبلغ عنها. سنصلحها.
إذا وجدت ثغرة في CommandAGI، فأخبرنا سرًّا أولًا. نقرأ كل بلاغ ونرد عليه.
الإبلاغ عن ثغرة
أرسل بريدًا إلى security@commandagi.com. ضمّن الرسالة ما يلي:
- ما وجدته، وأين (عنوان URL، أو مسار API، أو حزمة، أو ملف)؛
- خطوات إعادة إنتاجها، وما الذي يستطيع المهاجم فعله بها؛
- كيف نصل إليك، وهل تريد أن يُذكر اسمك.
امنحنا وقتًا معقولًا لإصلاح المشكلة قبل أن تكشفها. لا تصل إلى بيانات الآخرين أكثر مما تحتاج لإثبات المشكلة، ولا تُضعف الخدمة، ولا ترسل أوامر أبدًا إلى جهاز لا تملكه.
ضمن النطاق
- commandagi.com وdevelopers.commandagi.com وapi.commandagi.com
- تطبيق سطح المكتب والمضيف المحلي الذي يشغّله
- حزم
commandagiعلى npm وPyPI
تفاصيل الاتصال المقروءة آليًا موجودة في /.well-known/security.txt.
بالتصميم
كيف يحمي المنتج نفسه.
الأطراف الأصلية تُثبَت هويتها
يتصرف الطرف الأصلي ببيانات اعتماد، لا بتسمية نفسه أبدًا. ويحتفظ المضيف بتجزئة بيانات الاعتماد فقط.
تُسجَّل قبل الإرسال
يُكتب كل إجراء على جهاز في عملية تشغيله، مع من أرسله، قبل استدعاء برنامج التشغيل.
الأسرار خارج الملفات
تبقى أسرار الاتصال في مخزن الأسرار لدى المضيف أو في الذاكرة، ولا تكون أبدًا في عالم، أو تعريف، أو إعدادات، أو تدفق، أو سطر سجل.
الحلقة المحلية افتراضيًا
يستمع المضيف المحلي إلى 127.0.0.1 وحدها، وترفض نقاط التحكم فيه الطلبات القادمة من صفحة ويب.
المفاتيح مُجزّأة
تُخزَّن مفاتيح واجهة البرمجة كتجزئات، لا كالمفتاح نفسه أبدًا.