Sécurité et confidentialité

Sur cette page

Cette page rassemble les propriétés de sécurité du produit en un seul endroit, rédigée à l'attention de la personne effectuant une réévaluation de la sécurité ou de la confidentialité avant (ou après) le déploiement d'un agent. L'architecture qui sous-tend ces propriétés est décrite dans la section Fonctionnement.

Où résident vos données

Sur le propre appareil de l'agent. Les conversations, la Memory, les fichiers de l'espace de travail, le wiki, la personnalité, les skills et les plannings sont stockés sur l'appareil sur lequel s'exécute l'agent. Ils ne sont pas hébergés dans un service cloud partagé.

Un Physical Agent les conserve sur l'AI Agent Processor de votre installation, que vous contrôlez physiquement.
Un Cloud Agent les conserve sur sa propre instance de Cloud Agent, dans la région que vous avez choisie lors de son ajout. L'instance est dédiée à votre agent.

Deux types d'éléments quittent l'appareil, tous deux sous votre contrôle :

Sauvegardes chiffrées — horaires, vers le Stockage cloud dans la ou les régions de votre choix (ou la région la plus proche sur Automatique). Chiffrées sur l'appareil avant le transfert ; le fournisseur de stockage ne détient que le texte chiffré. Voir Sauvegardes.
Requêtes de modèle d'IA — le contenu dont l'agent a besoin pour alimenter sa réflexion est envoyé aux models via le compte du Model Router de votre installation pour traitement. Le trafic des models est mesuré et régi par les dispositions de ce module ; il n'est pas utilisé pour entraîner des models.

Chiffrement

Chemin	Protection
Navigateur ↔ appareil (les trois chemins de connexion)	Chiffrement de bout en bout (TLS)
Appareil ↔ Performance Hub (gestion, models, accès aux données)	TLS sortant avec jetons signés à courte durée de vie
Sauvegardes au repos	Chiffrées sur l'appareil avant le transfert ; clé par installation

La clé de chiffrement des sauvegardes est générée lors de l'appairage et détenue par Performance Hub pour le compte de votre installation. Elle n'est jamais stockée dans les sauvegardes elles-mêmes et n'est jamais exposée dans le navigateur.

Identifiants et valeur d'un appareil volé

L'appareil ne détient aucun secret à long terme concernant vos données :

Il s'authentifie auprès des services Performance Hub à l'aide de jetons à courte durée de vie dérivés d'un secret propre à chaque appareil et émis lors de l'appairage.
Il n'y a aucune clé API permanente pour les models d'IA sur l'appareil.
La suppression de l'appareil de Performance Hub (Supprimer et réinitialiser) révoque immédiatement ses identifiants : un appareil supprimé ne peut plus accéder à vos données Performance Hub, à vos models ni à vos canaux de notification, quel que soit son état.

Ce qu'un appareil physiquement volé contient en revanche, ce sont ses données locales (conversations, fichiers, Memory). Atténuations : placez l'appareil dans une zone sécurisée (conseils d'emplacement) et, en cas de vol, supprimez immédiatement l'appareil dans Performance Hub pour révoquer ses identifiants, puis restaurez un remplacement à partir des sauvegardes.

Exposition réseau

L'appareil établit uniquement des connexions sortantes — aucun port entrant, aucune redirection de port, aucune exception de pare-feu. Sa surface d'attaque depuis Internet est nulle, hormis les canaux sortants qu'il initie.
L'accès à distance à l'agent transite par des tunnels authentifiés et dotés de jetons — il n'y a pas de point de terminaison public direct sur l'appareil.
Sur votre réseau local (LAN), le chemin d'accès direct est également protégé par TLS et nécessite un jeton de session Performance Hub valide.

Qui peut faire quoi

Trois contrôles distincts, appliqués de manière centralisée du côté de Performance Hub (et non via la confiance de l'appareil) :

Contrôle	Régit	Page
Contrôle d'accès	Quelles personnes peuvent ouvrir l'agent et discuter avec lui	Contrôle d'accès
MCP access	Les données et fonctionnalités de Performance Hub auxquelles l'agent peut accéder	Connexion à Performance Hub
Budgets & limits	Le montant que l'agent est autorisé à dépenser pour les models et à quelle vitesse	Budgets & limits

Propriétés notables :

Chaque message de chat comporte l'identité de l'utilisateur connecté — les actions et les conversations sont attribuables.
Les autorisations sont atténuées par rapport à l'octroyeur : personne ne peut accorder à l'agent une portée supérieure à celle qu'il détient lui-même.
L'option Permit access from Performance Hub Support (activée par défaut) peut être désactivée, empêchant ainsi le personnel du support d'ouvrir l'agent sans l'approbation du propriétaire. Voir Contrôle d'accès.
L'exécution de commandes sur l'appareil est régie par le paramètre d'approbations.

Ce que Performance Hub peut voir

Télémétrie opérationnelle — statut En ligne, métriques de santé (CPU, Memory, température, disque), version du logiciel, état de la connexion. C'est ce qui alimente la barre de métriques et le panneau latéral de gestion d'appareils.
Métadonnées de sauvegarde — existence des points de restauration, horodatage, tailles et régions. Le contenu des points de restauration n'est déchiffré que lorsque vous les consultez ou les restaurez via le module.
Mesure des dépenses — utilisation des models par rapport à la clé de l'agent.
Pas un flux en direct de vos conversations. Le contenu des conversations réside sur l'appareil ; il ne transite par l'infrastructure Performance Hub que pour assurer la livraison de l'interface à votre navigateur et n'est pas stocké en tant que contenu.

Cycle de vie des données

Événement	Effet sur les données
Mise à jour logicielle	Aucun effet — les données persistent après toutes les mises à jour
Restauration complète	L'état de l'appareil est remplacé par le point de restauration choisi (une sauvegarde de sécurité automatique est effectuée au préalable)
Supprimer et réinitialiser	Le stockage de l'appareil est effacé (réinitialisation d'usine) ; les identifiants sont révoqués ; les sauvegardes cloud sont conservées sous votre installation et votre politique de conservation
Expiration de la conservation	Les points de restauration sont supprimés automatiquement au-delà de votre fenêtre de conservation (de 7 jours à 5 ans ; les points épinglés sont exclus)
Déplacer vers une autre installation	Les données de l'appareil se déplacent avec l'appareil ; l'historique des sauvegardes reste dans l'installation d'origine

Pour les exigences de résidence des données, épinglez les sauvegardes à des régions de stockage spécifiques plutôt qu'à Automatique.

Configuration de déploiement sécurisée

Pour un déploiement à haute sensibilité, la configuration stricte est la suivante : Restreindre l'accès à cet agent avec une liste nommée de Personnes ayant accès et Seuls les administrateurs peuvent voir cet agent, Permit access from Performance Hub Support désactivé, la portée MCP limitée à l'installation avec des exclusions de fonctionnalités pour tout ce que l'agent ne doit pas toucher, des régions de sauvegarde spécifiques correspondant à vos besoins de résidence, et, pour un Physical Agent, l'appareil dans un local technique verrouillé sur Ethernet filaire. Chacun de ces éléments est un paramètre documenté sur les pages ci-dessus — les valeurs par défaut sont délibérément plus ouvertes (Cette installation comme portée d'accès MCP avec Toutes les fonctionnalités, et toute personne ayant accès à l'installation pouvant ouvrir l'agent) car la plupart des installations souhaitent un agent partagé et pleinement fonctionnel.

Comment ça fonctionne — la même architecture, expliquée de manière constructive
Contrôle d'accès · Connexion à Performance Hub · Sauvegardes
Questions fréquentes