権限は人の行為です
権限の付与を作成または拡大できるのは人だけです。エージェントのキーは、自分自身にも、ほかのエージェントにも、何も付与できません。
セキュリティ
報告してください。修正します。
CommandAGI に脆弱性を見つけた場合は、まず非公開でお知らせください。すべての報告を読み、返信します。
脆弱性の報告
security@commandagi.com にメールしてください。次の内容を含めてください:
- 見つけた内容と、その場所（URL、API ルート、パッケージ、ファイルのいずれか）；
- 再現手順と、攻撃者がそれを使って何をできるか；
- ご連絡先と、クレジット表記を希望するかどうか。
公開する前に、問題を修正するための妥当な期間をください。問題を示すために必要な範囲を超えて他者のデータにアクセスしないでください。サービスの動作を妨げないでください。所有していないマシンには、決してコマンドを送らないでください。
対象範囲
- commandagi.com, developers.commandagi.com and api.commandagi.com
- デスクトップアプリと、それが実行するローカルホスト
- npm と PyPI にある
commandagiパッケージ
機械が読める連絡先情報は /.well-known/security.txt にあります。
By design
製品は、自らをどう守るか。
主体は証明されます
主体は認証情報を使って行動します。自分の名前を名乗ることで行動することはありません。ホストが保持するのは、認証情報のハッシュだけです。
送信前に記録されます
マシン上のすべての操作は、ドライバーが呼び出される前に、送信者とともに実行記録へ書き込まれます。
秘密情報はファイルに残しません
接続の秘密情報は、ホストのシークレットストアかメモリに保存されます。ワールド、定義、設定、ストリーム、ログの行には、決して保存しません。
既定はループバック
ローカルホストは 127.0.0.1 でのみ待ち受けます。その制御エンドポイントは、Webページから送られたリクエストを拒否します。
キーはハッシュ化されます
API キーは、キーそのものではなくハッシュとして保存されます。