Sécurité

Signalez-le. Nous le corrigerons.

Si vous trouvez une vulnérabilité dans CommandAGI, dites-le-nous d'abord en privé. Nous lisons chaque signalement et nous répondons.

Signaler une vulnérabilité

Écrivez à security@commandagi.com. Merci d'inclure :

ce que vous avez trouvé, et où (une URL, une route d'API, un paquet ou un fichier) ;
les étapes pour reproduire le problème, et ce qu'un attaquant pourrait faire avec ;
comment vous joindre, et si vous souhaitez être crédité.

Laissez-nous un délai raisonnable pour corriger le problème avant de le rendre public. N'accédez pas aux données d'autrui au-delà de ce qu'il faut pour montrer le problème, ne dégradez pas le service, et n'envoyez jamais de commandes à une machine qui ne vous appartient pas.

Périmètre

commandagi.com, developers.commandagi.com et api.commandagi.com
l'application de bureau et l'hôte local qu'elle exécute
les paquets commandagi sur npm et PyPI

Les coordonnées lisibles par une machine se trouvent à /.well-known/security.txt.

Par conception

Comment le produit se protège lui-même.

L'autorité est un acte de la personne

Seule une personne crée ou élargit une autorisation. Une clé d'agent ne peut s'accorder à elle-même, ni à un autre agent, aucune autorisation.

Les mandants sont authentifiés

Un mandant agit avec un identifiant, jamais en se désignant lui-même. L'hôte ne conserve que l'empreinte de l'identifiant.

Enregistré avant envoi

Chaque action sur une machine est écrite dans son exécution, avec celui qui l'a envoyée, avant que le pilote ne soit appelé.

Les secrets restent hors des fichiers

Les secrets de connexion vivent dans le coffre de secrets de l'hôte ou en mémoire, jamais dans un monde, une définition, des paramètres, un flux ou une ligne de journal.

Boucle locale par défaut

L'hôte local n'écoute que sur 127.0.0.1, et ses points de contrôle refusent les requêtes provenant d'une page web.

Les clés sont hachées

Les clés d'API sont stockées sous forme de hachages, jamais sous forme de clé elle-même.