Segurança

Um banco de dados por cliente

Sua memória não é uma linha em uma tabela compartilhada com uma coluna de cliente nela. banco de dados próprio. Não existem tabelas compartilhadas, nem consultas que envolvam vários clientes e possam dar errado, pois o limite é o próprio banco de dados, e não um filtro que alguém precise se lembrar de definir.

Esse limite é testado de fora em cada lançamento: duas contas reais, e todas as portas que retornam dados são verificadas para garantir que nenhuma delas consiga visualizar a outra. Um lançamento não é enviado a menos que isso seja confirmado.

Chaves, e quem pode usá-las

Não podemos mostrar a você sua própria chave.

As chaves API são exibidas para você apenas uma vez, no momento da criação. O que armazenamos é um hash SHA-256 — portanto, uma cópia do nosso banco de dados não permite que ninguém obtenha uma chave funcional, e nem nós nem um invasor conseguimos recuperar a sua chave. A revogação de uma chave entra em vigor no serviço em aproximadamente um minuto, e imediatamente na máquina que armazena suas informações.

As chaves podem ser reduzidas.

Uma chave não precisa ser onipotente. As chaves podem ser limitado por projeto — ler e escrever, somente leitura ou completamente invisível — que é a forma adequada para um contratado, um trabalho de CI ou um agente de finalidade única que não precisa ler o resto do seu trabalho. Uma chave com escopos corrompidos ou ilegíveis tem tudo negado em vez de ter tudo concedido.

Autenticação de dois fatores

A sua conta pode exigir um segundo fator no login e, quando o ativa, ele é aplicado em cada início de sessão — após a palavra-passe e após GitHub ou Google igualmente — e não é apenas apresentado como uma definição.

Criar uma chave de API requer um início de sessão protegido: autenticação de dois fatores na sua conta, ou um início de sessão através de GitHub ou Google. Uma palavra-passe sozinha nunca cria uma chave — nem mesmo numa conta que também tenha GitHub ou Google ligados, porque o que conta é como iniciou sessão desta vez.

Cada ação destrutiva — excluir um projeto, editar o histórico, excluir a conta, restaurar um backup — pergunta novamente quem você é: sua senha, se tiver uma, e seu código de dois fatores; sem dois fatores, um login GitHub ou Google dos últimos dez minutos. Exportar seus dados nunca precisa disso.

Entrar com GitHub ou Google

Entrar via GitHub ou Google usa o fluxo padrão de código de autorização com PKCE, vinculado ao navegador que o iniciou. Recebemos seu endereço de e-mail, seu nome e o ID da sua conta nesse serviço — nada mais. Não armazenamos token de acesso GitHub ou Google, e não podemos ler seus repositórios, e-mails ou arquivos. Uma conta GitHub ou Google é vinculada a uma conta Brethof existente somente quando esse serviço verificou o endereço de e-mail e nós também, ou quando a conta ainda não tem senha.

Proteção contra seus próprios agentes

Esta é a parte que a maioria dos serviços não leva em consideração. Sua memória é constantemente manipulada por agentes de IA – e um agente pode cometer erros, receber instruções maliciosas escondidas dentro do conteúdo que lhe foi solicitado para ser lido, ou excluir algo errado horas antes de um humano perceber.

Portanto, o arquivo bruto das conversas fica deliberadamente fora do alcance deles. Nenhum agente pode excluir uma única mensagem. Nenhum agente pode tocar nos últimos três meses de forma alguma. O histórico mais antigo só pode ser removido em massa, por projeto. Excluir um projeto inteiro — a única ação que afeta todo o arquivo — não está disponível para os agentes de nenhum nível; isso é feito no painel da conta, onde uma pessoa digita o nome do projeto.

A razão pela qual isso é importante é simples: a memória curada é derivada, e o arquivo é o original. Tudo o que uma edição ruim perde pode ser reconstruído a partir da história. Nada pode reconstruir a história.

Criptografia, backups e onde seus dados estão armazenados

Sua memória é um contêiner por cliente — seu próprio banco de dados, seu próprio sistema de arquivos, seu próprio usuário Linux, sem nada compartilhado. Se você escolher a forma local, esse contêiner roda em sua máquina: sua memória é armazenada com você e nós não armazenamos nada dela. O que passa pelo nosso hub — nossa instância de computação segura em Zurique, Suíça — é o conteúdo que está sendo processado: cada troca de informações, bem como os fragmentos de memória que seu contêiner envia quando é necessária uma decisão ou quando se cria um resumo da sessão. A Seção 4 da Política de Privacidade lista tudo isso com precisão. Nada disso é retido.

O que é o software na sua máquina

O contêiner armazena sua memória, as buscas nela realizadas e os mecanismos que mantêm ambas corretas. Ele não contém nenhum comando, nenhum acesso a nenhum modelo de IA, nem nenhuma configuração que o direcione a um deles. Não há nada nele que possa avaliar sua memória, nem nada para configurar que permitisse isso. Cada julgamento é solicitado ao nosso hub por meio de uma conexão que seu contêiner estabelece de forma externa e autentica — nós nunca nos conectamos remotamente.

É essa forma que torna o tráfego auditável, e você é convidado a auditá-lo: as trocas sobem, as partes acima sobem, enquanto comandos e linhas voltam a descer. O cliente está em source-available — leia cada linha dele.

Uma coisa permanece inteiramente do seu lado: pesquisar sua própria memória — os registros, toda a história e suas linhas de decisão datadas — é feito como uma leitura simples em suas próprias tabelas, dentro de seu próprio contêiner. Isso funciona sem precisar acessar nosso hub e não envia nada para ser avaliado.

No formato hospedado, o tráfego é criptografado em trânsito com TLS, e, em repouso, todo o sistema de arquivos do seu contêiner — todas as conversas, todos os registros, o próprio banco de dados — é criptografado com uma chave derivada de uma senha que somente você possui. Nós nunca a vemos nem a armazenamos: ela transita quando sua sessão começa, desbloqueia sua memória, e a memória se bloqueia novamente depois que você se afasta. Um contêiner bloqueado é texto cifrado para todos, incluindo nós — um disco roubado, uma imagem vazada ou uma unidade desativada não representam nada, assim como nosso próprio acesso root enquanto você está ausente.

A exclusão é criptográfica

Apagar você não é uma varredura otimista pelo armazenamento: seu contêiner criptografado é destruído por completo — e, como excluir texto cifrado não requer chave, isso funciona mesmo se você tiver esquecido sua senha. Os backups que restam ficam ilegíveis sem ela e são apagados conforme a escada de backups avança, no máximo em 30 dias. Não há cópia nenhuma que possamos recuperar.

O que a criptografia não cobre

Limites honestos. A criptografia em repouso é exatamente isso — em repouso: enquanto sua memória está desbloqueada para uma sessão, o contêiner necessariamente trabalha com seus dados em texto claro para atender às suas buscas; portanto, “nunca olhamos seus dados” é nossa política e nossos controles de acesso, e não uma impossibilidade matemática — a garantia matemática é o que você tem sempre que o contêiner está bloqueado. Preferimos dizer onde está o limite a deixar que você suponha que não existe um.

Os backups dos contêineres hospedados são cópias do próprio sistema de arquivos criptografado — texto cifrado antes de sair da máquina, ilegível sem sua senha — mantidos em uma curta escada rotativa de cópias diárias e semanais na Alemanha. Quando uma conta é excluída, seus backups são excluídos com ela, e quaisquer cópias remanescentes são apagadas em até 30 dias.

A memória hospedada é armazenada, indexada e pesquisada inteiramente dentro da UE — nossos servidores e backups estão na Alemanha. Os embeddings de busca são calculados em nossas próprias máquinas e nunca saem delas. A memória local nunca chega a nada disso: ela fica no seu disco, sob a proteção que você der ao seu disco.

A única exceção é a curadoria por IA. Cada trecho submetido à curadoria é processado em nossa instância de computação segura em Zurique, Suíça — um país reconhecido pela UE como oferecendo um nível adequado de proteção de dados — e, de lá, uma única passagem pelo modelo é enviada para a Ollama, que hospeda esse modelo nos Estados Unidos e na Europa, onde é processada e devolvida. Os termos publicados pela Ollama indicam que as entradas e saídas são processadas temporariamente e nunca são utilizadas para treinar modelos — esse é o compromisso deles, em seus próprios termos, e nós o apresentamos como deles, e não como uma promessa nossa. Nada mais sai da UE. Se você precisar que a curadoria também nunca saia da UE, isso está disponível em uma implantação dedicada — fale conosco. Cada subprocessador, com seu propósito e localização, está listado na Política de Privacidade.

Como operamos

Menor privilégio, por padrão

O serviço é executado como um usuário sem privilégios dentro de seu contêiner, nunca como root. Sua função no banco de dados não é a de superusuário, e ele não pode ler arquivos do host. Isso é verificado automaticamente antes de cada lançamento, em vez de ser assumido.

Os endpoints internos são bloqueados na borda.

Os pontos finais que criam contas e validam chaves são acessíveis apenas pelo nosso próprio plano de controle, autenticados na borda da rede antes mesmo que uma solicitação chegue, e novamente por meio de um segredo compartilhado. Duas travas, não uma.

Falha encerrada

Quando algo está faltando ou é ilegível, o serviço recusa a solicitação em vez de fazer suposições. Uma chave não verificável é rejeitada. Permissões corrompidas não concedem nenhum acesso. Um segredo de assinatura do webhook ausente rejeita todos os eventos, em vez de confiar no que chega. Essa é uma postura deliberada: o modo de falha de um serviço de memória deve ser “sem resposta”, nunca “a resposta do cliente errado”.

Cada lançamento é verificado de fora.

Antes que qualquer versão seja lançada, um sistema automatizado analisa todo o produto, desde uma conta completamente nova, por meio de uma conexão de rede real: registro, emissão e revogação de chaves, armazenamento e recuperação de dados, isolamento entre duas contas ativas, exportação de dados e exclusão total. Ou o processo é concluído com sucesso, ou a versão não acontece.

Relatar um problema de segurança

Se você acredita ter encontrado uma vulnerabilidade, por favor, avise-nos antes de contar a qualquer outra pessoa. Nós trabalharemos com você. Os dados de contato estão disponíveis em /.well-known/security.txt ou escreva para hello@Brethof.ai. Nós não ameaçamos pesquisadores que relatam de boa fé.

Requisitos mais complexos – um acordo de processamento de dados, uma implantação dedicada em uma região à sua escolha, ou a manutenção da curadoria dentro da UE – são coisas que lidamos diretamente. Pergunte.