セキュリティ
この製品があなたのマシンとデータに対して何をするか —— 推測ではなく判断できるように書いておきます。
マシンから出ていくもの
あなたのプロンプトと、エージェントが代わりに読んだファイルは、 あなたが設定したエンドポイントへ行きます。そしてそれ以外どこへも行きません。 間に我々のゲートウェイはありません。
そのエンドポイントが自分のマシンで動いているなら、何一つ外に出ません。
例外は二つ。どちらもオフラインでは静かに失敗し、 どちらもあなたが打ったものを運びません:
- デスクトップアプリが、更新用のエンドポイントに新しい版があるか訊く
- Models パネルが、開かれたときに Hugging Face から人気モデルの一覧を取ってくる
エージェントがマシンに対してできること
二つの設定が、別々の仕事をしています。
サンドボックスは何ができるかを決めます。既定の workspace-write では、
作業ディレクトリの中ならどこにでも書けますが、その外には書けません。
読み取りはどのモードでも制限されません。
承認は、何を先に訊かねばならないかを決めます —— 見慣れないコマンドすべてから、 まったく何も訊かないところまで。
気をつける値打ちのある組み合わせは、danger-full-access と never の同時使用です:
何も見せず何も訊かずに任意のコマンドを走らせるエージェント。
それが正しいディレクトリはあります。あなたのホームディレクトリはその一つではありません。
詳しくはサンドボックスと承認に。
バックグラウンド実行がどこで始められるか
ディレクトリがワークスペースでも、部門でも、あなたが名指しで許可した場所でもない実行は、 始まらずに保留されます。
これが存在するのは、部門が生まれる前に作られた定時タスクがホームディレクトリを抱えたまま
四十二回走っていたからです。毎回 .ssh と Documents に手が届き、誰も訊かれませんでした。
承認を never にすると、これも他の全部と一緒に切れます。 それがあの設定の意味です。
鍵
API 鍵は config.toml の外に保管されます。あの ファイルは共有され、
issue に貼られるからです。あなたの他の秘密と同じ場所に書かれ、
一度保存したら二度と表示されません。
コネクターの鍵も同じ仕組みです:サーバーが必要とする環境変数の名前をあなたが挙げ、 値はそのサーバーの設定とは別に保管されます。
ゲートウェイ
デスクトップアプリとウェブ UI は、ローカルのゲートウェイと話します。それは:
- 明示的に指示されない限り ループバックにだけ束縛されるので、 うっかりネットワークに晒されません
- すべての接続にトークンを要求します。実行ごとに生成され一度だけ表示されるので、 別のローカル利用者も、ブラウザーの中のウェブページも、これを操れません
このゲートウェイのクライアントは、それを載せているマシンでエージェントにコマンドを 走らせられます。 それがまさに目的であり、だからこそトークンがあります。
設計として単一利用者向けです。 信頼できない複数の人に供するには、 利用者ごとのサンドボックスが要り、それは範囲外です。
ペアリングした電話
ペアリングは、このマシンのエージェントを操れるトークンを機器に渡します。 アドレスは一度だけ表示されます。自分の機器だけをペアリングし、 見覚えのないものは取り消してください。
ビルドは署名されていません
Apple や Microsoft の証明書がないので、OS は誰が作ったか判別できず、そう言います。 あの警告は正しく、正しいものとして読むべきです。
どれについても我々の言葉を信じたくないなら、ソースは
ここにあり、cargo build 一つの話です。
報告する
安全上の不具合について、公開の issue を開かないでください。 GitHub の 非公開アドバイザリのフォーム を使ってください。何も公開せずに維持者に届きます。
最も見る値打ちのある場所は、このページにあるものです:サンドボックスの方針、 承認の経路、バックグラウンド実行のディレクトリ検査、そしてゲートウェイのトークン。
あなたの鍵や、それを含むログは付けないでください。