보안

고객당 하나의 데이터베이스

귀하의 메모리는 고객 정보가 기록된 공유 테이블의 한 행이 아닙니다. 각 고객은 자신만의 메모리를 가집니다. 자체 데이터베이스. 공유 테이블도 없고, 잘못 처리될 수 있는 고객 간의 조회도 없습니다. 왜냐하면 경계는 누군가가 기억해서 작성해야 하는 필터가 아니라 데이터베이스 자체이기 때문입니다.

그 경계는 매 릴리스마다 외부에서 테스트됩니다. 실제 계정 두 개를 사용하여, 데이터를 반환하는 모든 경로가 서로를 볼 수 없는지 확인합니다. 이 테스트를 통과하지 못하면 릴리스되지 않습니다.

키와 이를 사용할 수 있는 사람

저희는 귀하의 키를 보여드릴 수 없습니다.

API 키는 생성 시 정확히 한 번만 표시됩니다. 저희가 저장하는 것은 SHA-256 해시이므로, 데이터베이스 사본으로는 누구도 작동하는 키를 얻을 수 없으며, 저희나 공격자도 귀하의 키를 다시 읽어낼 수 없습니다. 키를 취소하면 약 1분 이내에 서비스에 적용되고, 귀하의 메모리를 제공하는 기기에는 즉시 적용됩니다.

키를 좁힐 수 있습니다.

키는 반드시 모든 권한을 가질 필요는 없습니다. 키는 다음과 같이 설정할 수 있습니다. 프로젝트별로 범위가 지정됨 — 읽기 및 쓰기, 읽기 전용, 또는 완전히 보이지 않음 — 이는 다른 작업을 읽을 필요가 없는 계약자, CI 작업, 또는 단일 목적 에이전트에게 적합한 형태입니다. 손상되었거나 읽을 수 없는 스코프를 가진 키는 모든 권한이 부여되는 대신 아무것도 허용되지 않습니다.

이중 인증

귀하의 계정은 로그인 시 두 번째 인증 요소가 필요할 수 있으며, 이 기능을 활성화하면 단순히 설정으로 표시되는 것이 아니라 실제로 로그인 과정에서 반드시 적용됩니다. 저희는 이 기능을 권장하지만 강제하지는 않습니다. 사용자의 기억도 그 기억이 저장된 계정만큼만 안전하게 보호될 뿐이며, 자신의 데이터를 삭제하려면 반드시 휴대폰을 등록해야 한다는 조건을 설정하는 것은 더욱 나쁜 방법입니다.

자신의 에이전트로부터의 보호

이것은 대부분의 서비스들이 고려하지 않는 부분입니다. 사용자의 기억은 AI 에이전트들에 의해 지속적으로 조작되며, 에이전트는 실수를 할 수도 있고, 읽도록 요청받은 콘텐츠 안에 숨겨진 악의적인 지시를 받을 수도 있으며, 인간이 알아차리기 몇 시간 전에 잘못된 것을 삭제할 수도 있습니다.

따라서 원본 대화 기록은 의도적으로 그들이 접근할 수 없는 곳에 있습니다. 어떤 에이전트도 단일 메시지를 삭제할 수 없으며, 지난 3개월간의 기록도 전혀 수정할 수 없습니다. 오래된 기록은 프로젝트별로 일괄적으로만 삭제할 수 있습니다. 기록 전체를 삭제하는 것은 모든 등급의 에이전트들에게는 불가능하며, 이는 계정 패널에서 인간이 직접 프로젝트 이름을 입력함으로써 이루어집니다.

이것이 중요한 이유는 간단합니다. 큐레이션된 메모리는 파생된 것이고, 아카이브가 원본입니다. 잘못된 편집으로 손실된 것은 기록에서 재구성할 수 있습니다. 그러나 기록 자체를 재구성할 수 있는 것은 없습니다.

암호화, 백업, 그리고 데이터가 저장되는 위치

트래픽은 전송 중에 TLS를 통해 암호화됩니다. 저장된 상태에서는 메모리가 암호화됩니다. 투애이스: 아래에는 전체 볼륨 암호화가 적용되어 있으며, 그 위에는 데이터베이스가 있습니다. 모든 대화 내용, 모든 기록, 그리고 선입력 로그까지도 암호화됩니다. 고객별 고유 키, 다른 모든 고객의 데이터와는 분리되어 있습니다. 스토리지 볼륨을 열 수 있는 키는 데이터베이스 서버에 전혀 저장되어 있지 않습니다. 도난당한 디스크나 유출된 이미지, 혹은 사용이 중단된 드라이브는 아무런 가치가 없습니다.

삭제는 암호화 방식입니다.

각 고객마다 자신만의 키가 있기 때문에, 저장된 데이터를 전체적으로 지우는 것은 불가능합니다. 귀하의 키가 파괴되었으며 데이터베이스도 삭제되었습니다., 그리고 남은 것은 우리를 포함한 누구도 읽을 수 없습니다. 암호화된 백업 파일들은 만기가 되도 그대로 두는 대신 바로 삭제되며, 남아 있는 복사본들도 우리의 백업 시스템이 작동하는 과정에서 최대 30일 이내에 지워집니다. 우리가 가져올 수 있는 복사본은 전혀 없습니다.

고객당 암호화가 적용되지 않는 것은 무엇인가?

두 가지 명확한 한계가 있습니다. 데이터베이스 엔진은 컬럼 값의 샘플을 수집하는 내부 쿼리 계획 통계를 보관하는데, 이러한 샘플들은 사용자의 Personal 키가 아닌 볼륨 암호화 방식으로 보호됩니다. 그리고 정지 상태에서의 암호화란 바로 그런 것입니다 — 즉, 서비스는 검색 처리나 데이터 관리를 위해 반드시 사용자의 데이터를 해독해야 합니다. 따라서 “우리는 결코 사용자의 데이터를 확인하지 않습니다”라는 것은 우리의 정책과 접근 제어 방침일 뿐, 수학적으로 불가능한 것은 아닙니다. 우리는 한계가 있다고 생각하게 내버려 두기보다는 그 한계가 어디인지 명확히 알려드리는 편입니다.

백업은 매일 밤 수행됩니다. 우리의 시스템을 떠나기 전에 암호화됩니다., 그리고는 유럽연합 내의 다른 장소에 순차적으로 저장되며, 최대 3개월간 보관됩니다. 계정이 삭제되면 그에 따라 백업도 함께 삭제되며, 남아 있는 복사본들도 30일 이내에 삭제됩니다.

귀하의 메모리는 전적으로 EU 내에서 저장, 인덱싱 및 검색됩니다 — 서버는 독일 프랑크푸르트에, 백업은 독일 팔켄슈타인에 있습니다. 검색 임베딩은 당사 자체 기기에서 계산되며 외부로 나가지 않습니다.

유일한 예외는 AI 큐레이션입니다. 큐레이션 대상이 되는 글은 전송됩니다. 미국의 Ollama, 처리된 후 반환됩니다. Ollama의 공식 정책에 따르면 입력값과 출력값은 일시적으로만 처리되며 모델 훈련에 절대 사용되지 않습니다. 이는 그들의 약속이며, 우리는 이를 그들의 약속으로 명시합니다. EU를 벗어나는 데이터는 없습니다. 큐레이션이 EU를 벗어나지 않아야 한다면, 전용 배포에서 가능하니 문의하십시오. 모든 하위 처리자는 용도와 위치가 목록에 명시되어 있습니다. 개인정보 처리방침.

운영 방식

기본적으로 최소 권한

이 서비스는 컨테이너 내에서 비특권 사용자로 실행되며, 절대로 루트 권한으로는 작동하지 않습니다. 데이터베이스 역할도 슈퍼유저가 아니며 호스트의 파일을 읽을 수 없습니다. 이러한 사항들은 가정하는 것이 아니라, 매번 배포하기 전에 자동으로 확인됩니다.

내부 엔드포인트는 엣지에서 잠겨 있습니다.

계정을 프로비저닝하고 키를 검증하는 엔드포인트는 우리의 컨트롤 플레인을 통해서만 접근 가능하며, 요청이 도착하기 전에 네트워크 엣지에서 인증되고, 그 뒤에 공유 비밀로 다시 인증됩니다. 잠금이 하나가 아니라 두 개입니다.

실패 시 폐쇄

뭔가가 누락되거나 읽을 수 없는 경우, 해당 서비스는 추측하는 대신 거절합니다. 검증할 수 없는 키는 받아들여지지 않습니다. 손상된 권한도 아무런 효과를 주지 않습니다. 웹훅 서명 비밀번호가 누락된 경우에는 도착한 데이터를 신뢰하는 대신 모든 이벤트를 거부합니다. 이는 의도적인 설계 방식입니다. 메모리 서비스의 오작동 방식은 “응답 없음”이어야지, “잘못된 고객의 응답”이어서는 안 됩니다.

모든 릴리스는 외부에서 검증됩니다.

어떤 릴리스가 출시되기 전에, 자동화된 게이트가 완전히 새로운 계정에서 실제 네트워크 연결을 통해 제품 전체를 검증합니다. 계정 생성, 키 발급 및 취소, 메모리 저장 및 회수, 두 개의 활성 계정 간의 격리, 데이터 내보내기, 완전한 삭제를 포함합니다. 완전히 통과하거나 릴리스는 이루어지지 않습니다.

보안 문제 신고

만약 취약점을 발견했다고 생각된다면, 다른 누구에게도 알리기 전에 먼저 저희에게 알려주십시오. 저희가 함께 문제를 해결해 드리겠습니다. 연락처는 다음에 게시되어 있습니다. /.well-known/security.txt 또는 편지를 써서 [email protected]. 우리는 선의로 보고하는 연구자들을 위협하지 않습니다.

더 깊은 요구 사항 — 데이터 처리 계약, 귀하가 선택한 지역의 전용 배포, 또는 큐레이션을 EU 내에 유지하는 것 — 은 저희가 직접 처리합니다. 문의하세요.