セキュリティ

あなたのマシンには本物の仕事 — リポジトリ、認証情報、ドキュメント — が置かれています。このページでは、それを何が守っているのかを率直に説明します。

マシンはあなただけのもの

マシンが共有されることはありません。マシンへのリクエストはすべてそのマシン自身が検査し、呼び出しているのが所有者本人かどうかを確かめます。ですから、他の場所では問題なく認証できるアカウントでも、自分のものでないマシンからは拒否されます。他人はアドレスを知っていても、あなたのマシンには届きません。

エージェントに公開の入口はない

マシン上で動くエージェントは、それ単体ではインターネットから到達できません。メッセージも、ファイルの読み取りも、ツールの呼び出しも、すべてはあなたが誰かをまず確かめるマシンの認証済みの玄関を通って届きます。

認証情報はマシンに留まる

プライベートリポジトリ用の git トークン、コネクター用の API キー、プロバイダーのキーは、中央ではなくあなた自身のマシンの保管庫に置かれます。外からは書き込み専用です。シークレットを設定し、設定済みであることを確認することはできますが、読み戻すことはできません。他の誰にもできません。プロバイダーのキーはマシン上で解決され、ブラウザーに送られることも、モデルが見る内容に含まれることもありません。

データはどうなるのか

• ファイルはセッションをまたいでマシンに残り、マシンを削除すれば一緒に消えます。
• マシンを削除すると中身は破棄され、その上のチェックアウトはすべて消えます。この操作は、うっかり実行できないよう意図的に難しくしてあります。
• マシンの停止、起動、更新でデータが失われることはありません。

まだ約束できないこと

Hoshi はオープンアルファです。限界については率直に書いておきます。

• セキュリティ認証は取得していません。SOC 2 も ISO 27001 も HIPAA もありません。上に書いたのはシステムの仕組みであって、誰かが実施した監査ではありません。
• 稼働率の保証も SLA もありません。利用規約のページにも同じことが書いてあります。
• マシンは更新のために再起動され、機能は週単位で変わります。

それを踏まえて、今日のマシンに何を置くのが妥当かを判断してください。具体的なセキュリティ要件があるなら、推測せずにご連絡ください。おかしいと思うものを見つけた場合も、公開の場に投稿するのではなく直接ご連絡ください。