Keamanan & Privasi
Di halaman ini
Halaman ini merangkum properti keamanan produk dalam satu tempat — ditulis bagi pihak yang melakukan tinjauan keamanan atau privasi sebelum (atau sesudah) menerapkan agen. Arsitektur di balik properti ini dijelaskan pada Cara kerja.
Tempat penyimpanan data Anda
Di perangkat agen itu sendiri. Percakapan, memory, file workspace, wiki, kepribadian, skills, dan jadwal disimpan di perangkat tempat agen berjalan. Data tersebut tidak disimpan di layanan cloud bersama.
- Physical Agent menyimpannya di AI Agent Processor di fasilitas Anda, yang Anda kontrol secara fisik.
- Cloud Agent menyimpannya di Cloud Agent Instance miliknya sendiri, di wilayah yang Anda pilih saat menambahkannya. Instance tersebut didedikasikan untuk agen Anda.
Dua hal meninggalkan perangkat, keduanya di bawah kendali Anda:
- Pencadangan terenkripsi — tiap jam, ke penyimpanan awan di wilayah yang Anda pilih (atau wilayah terdekat pada Otomatis). Dienkripsi di perangkat sebelum diunggah; penyedia penyimpanan hanya menyimpan ciphertext. Lihat Pencadangan.
- Permintaan model AI — konten yang memerlukan pemikiran model dikirim ke model melalui akun Model Router fasilitas Anda untuk diproses. Lalu lintas model diukur dan diatur oleh ketentuan modul tersebut; tidak digunakan untuk melatih model.
Enkripsi
| Jalur | Perlindungan |
|---|---|
| Peramban ↔ perangkat (ketiga jalur koneksi) | Terenkripsi ujung ke ujung (TLS) |
| Perangkat ↔ Performance Hub (manajemen, model, akses data) | TLS keluar dengan token bertanda tangan berumur pendek |
| Pencadangan saat istirahat | Dienkripsi di perangkat sebelum diunggah; kunci per fasilitas |
Kunci enkripsi pencadangan dibuat saat memasangkan dan disimpan oleh Performance Hub atas nama fasilitas Anda — kunci tersebut tidak pernah disimpan di dalam pencadangan itu sendiri, dan tidak pernah diekspos di peramban.
Kredensial dan nilai dari perangkat yang dicuri
Perangkat tidak menyimpan rahasia berumur panjang untuk data Anda:
- Perangkat melakukan autentikasi ke layanan Performance Hub dengan token berumur pendek yang berasal dari rahasia per perangkat yang dikeluarkan saat memasangkan.
- Tidak ada API key permanen untuk model AI di perangkat.
- Menghapus perangkat dari Performance Hub (Hapus & setel ulang) segera mencabut kredensialnya — perangkat yang dihapus tidak lagi dapat mengakses data, model, atau saluran notifikasi Performance Hub Anda, dalam kondisi apa pun.
Hal yang benar-benar terkandung dalam perangkat yang dicuri secara fisik adalah data lokalnya (percakapan, file, memory). Mitigasi: letakkan perangkat di area yang aman (panduan penempatan), dan jika terjadi pencurian, hapus perangkat di Performance Hub segera untuk memutus kredensialnya, lalu buat penggantinya dari pencadangan.
Eksposur jaringan
- Perangkat hanya membuat koneksi keluar — tanpa port masuk, tanpa penerusan port (port-forwarding), tanpa pengecualian firewall. Permukaan serangannya dari internet nihil selain saluran keluar yang dipulainya.
- Akses jarak jauh ke agen mengalir melalui terowongan terautentikasi dan bertoken — tidak ada endpoint publik langsung pada perangkat.
- Di LAN Anda, jalur akses langsung juga dilindungi TLS dan memerlukan token sesi Performance Hub yang valid.
Siapa yang dapat melakukan apa
Tiga kontrol terpisah, ditegakkan secara terpusat di sisi Performance Hub (bukan pada kepercayaan perangkat):
| Kontrol | Mengatur | Halaman |
|---|---|---|
| Kontrol akses | Orang yang dapat membuka dan mengobrol dengan agen | Kontrol akses |
| MCP access | Data dan kapabilitas Performance Hub yang dapat diakses oleh agen | Menghubungkan ke Performance Hub |
| Budgets & limits | Jumlah pengeluaran agen pada model, dan seberapa cepat | Budgets & limits |
Properti penting:
- Setiap pesan obrolan membawa identitas pengguna yang masuk — tindakan dan percakapan dapat diatribusikan.
- Pemberian izin disesuaikan dengan pemberi: tidak seorang pun dapat memberi agen cakupan yang lebih besar daripada yang mereka miliki sendiri.
- Permit access from Performance Hub Support (aktif secara default) dapat dimatikan, setelah itu staf dukungan tidak dapat membuka agen tanpa persetujuan pemilik. Lihat Kontrol akses.
- Eksekusi perintah di perangkat diatur oleh pengaturan persetujuan.
Hal yang dapat dilihat oleh Performance Hub
- Telemetri operasional — status on line, metrik kesehatan (CPU, memory, suhu, disk), versi perangkat lunak, status koneksi. Hal inilah yang mengaktifkan bilah metrik dan laci Device management.
- Metadata pencadangan — bahwa titik pemulihan ada, waktu, ukuran, dan wilayahnya. Isi titik pemulihan hanya didekripsi saat Anda menjelajahi atau memulihkannya melalui modul.
- Pengukuran pengeluaran — penggunaan model terhadap key agen.
- Bukan siaran langsung dari percakapan Anda. Konten percakapan disimpan di perangkat; data tersebut hanya melintas di infrastruktur Performance Hub sebagai bagian dari penyampaian antarmuka ke peramban Anda dan tidak disimpan sebagai konten.
Siklus hidup data
| Peristiwa | Efek pada data |
|---|---|
| Pembaruan perangkat lunak | Tidak ada efek — data tetap ada di semua pembaruan |
| Pemulihan penuh | Status perangkat diganti dengan titik pemulihan yang dipilih (cadangan keamanan otomatis diambil terlebih dahulu) |
| Hapus & setel ulang | Penyimpanan perangkat dihapus (reset pabrik); kredensial dicabut; pencadangan awan dipertahankan di bawah fasilitas dan kebijakan retensi Anda |
| Kedaluwarsa retensi | Titik pemulihan dihapus secara otomatis melewati jendela retensi Anda (7 hari–5 tahun; titik yang disematkan dikecualikan) |
| Pindahkan ke fasilitas lain | Data perangkat ikut berpindah bersama perangkat; riwayat pencadangan tetap berada di fasilitas asal |
Untuk persyaratan residensi data, sematkan cadangan ke wilayah penyimpanan tertentu alih-alih Otomatis.
Postur penerapan yang masuk akal
Untuk penerapan dengan sensitivitas tinggi, konfigurasikan secara ketat: Batasi akses ke agen ini dengan daftar Orang yang memiliki akses yang diberi nama dan Hanya admin yang dapat melihat agen ini, Permit access from Performance Hub Support nonaktif, cakupan MCP dibatasi ke fasilitas dengan pengecualian kapabilitas untuk apa pun yang tidak boleh disentuh agen, wilayah cadangan spesifik yang cocok dengan kebutuhan residensi Anda, dan, untuk Physical Agent, perangkat berada di area komunikasi terkunci dengan Ethernet berkabel. Setiap pengaturan tersebut didokumentasikan pada halaman di atas — pengaturan defaultnya sengaja dibuat lebih terbuka (Fasilitas ini sebagai ruang lingkup MCP access dengan Semua kapabilitas, dan siapa pun yang memiliki akses ke fasilitas dapat membuka agen) karena sebagian besar fasilitas menginginkan agen bersama yang memiliki kapabilitas penuh.
Halaman terkait
- Cara kerja — arsitektur yang sama, dijelaskan secara konstruktif
- Kontrol akses · Menghubungkan ke Performance Hub · Cadangan
- Pertanyaan umum