Keamanan

Laporkan. Kami akan memperbaikinya.

Jika Anda menemukan kerentanan di CommandAGI, beri tahu kami secara pribadi lebih dulu. Kami membaca setiap laporan dan kami membalas.

Melaporkan kerentanan

Kirim email ke security@commandagi.com. Sertakan:

apa yang Anda temukan, dan di mana (URL, rute API, paket, atau berkas);
langkah untuk mereproduksinya, dan apa yang bisa dilakukan penyerang dengannya;
cara menghubungi Anda, dan apakah Anda ingin dicantumkan namanya.

Beri kami waktu yang wajar untuk memperbaiki masalah sebelum Anda mengumumkannya. Jangan mengakses data orang lain melebihi yang Anda perlukan untuk menunjukkan masalahnya, jangan menurunkan layanan, dan jangan pernah mengirim perintah ke mesin yang bukan milik Anda.

Cakupan

commandagi.com, developers.commandagi.com dan api.commandagi.com
aplikasi desktop dan host lokal yang dijalankannya
paket commandagi di npm dan PyPI

Detail kontak yang dapat dibaca mesin ada di /.well-known/security.txt.

Sejak desain

Cara produk melindungi dirinya sendiri.

Izin adalah tindakan seseorang

Hanya seseorang yang membuat atau memperluas izin. Kunci agen tidak dapat memberi izin kepada dirinya sendiri, atau kepada agen lain.

Prinsipal dibuktikan

Prinsipal bertindak dengan kredensial, bukan dengan menyebut namanya sendiri. Host hanya menyimpan hash kredensial itu.

Dicatat sebelum dikirim

Setiap tindakan pada mesin ditulis ke eksekusinya, beserta siapa yang mengirimnya, sebelum driver dipanggil.

Rahasia tetap di luar berkas

Rahasia koneksi disimpan di penyimpanan rahasia host atau di memori, tidak pernah di dunia, definisi, pengaturan, aliran, atau baris log.

Loopback secara default

Host lokal hanya mendengarkan di 127.0.0.1, dan endpoint kontrolnya menolak permintaan yang berasal dari halaman web.

Kunci di-hash

Kunci API disimpan sebagai hash, tidak pernah sebagai kunci itu sendiri.