安全

每位客戶一個資料庫

你的記憶並非一個共享表格中的某一行，也沒有「客戶」這一欄。 自有資料庫. 沒有共享的表格，也沒有可能出錯的跨客戶查詢，因為界限就在資料庫本身，而非需要有人記得去撰寫的過濾條件。

每次發布時都會從外部測試該界限：使用兩個真實帳戶，並檢查所有回傳資料的入口，確認兩者無法看到彼此。只有通過測試，版本才會發布。

金鑰，以及誰可以使用它們

我們無法顯示您自己的密鑰。

API 金鑰在建立時只會顯示一次給您。我們儲存的是 SHA-256 雜湊值——因此，就算有人取得我們資料庫的副本，也無法得到可用的金鑰；我們或攻擊者也無法讀回您的金鑰。撤銷金鑰後，約一分鐘內就會在服務上生效，同時也會在提供您記憶服務的機器上立即生效。

金鑰可以縮小範圍。

金鑰不必擁有無所不能的力量。金鑰可以是 依專案範圍設定 — 可讀寫、唯讀，或完全不可見——這正是承包商、CI 任務或單一用途代理的合適型態，這類代理無需讀取您其他工作。若金鑰的範圍損毀或無法辨識，則一律拒絕所有權限，而非授予所有權限。

雙因素驗證

您的帳戶在登入時可能需要第二種驗證方式，一旦開啟此功能，它就會在登入時被強制要求使用，而不只是作為一個設定顯示而已。我們建議您使用此功能，但並不強制要求：您的記憶體所受到的保護程度，取決於存放它的帳戶的安全性，而若要刪除自己的資料必須先註冊手機號碼，那樣反而更糟。

免受自身代理程式的傷害

這是大多數服務都沒有考慮到的部分。您的記憶會持續被人工智慧代理所操作——而這些代理可能會犯錯，也可能收到隱藏在它們被要求閱讀的內容中的惡意指令，又或者在人類發現之前幾小時就刪除了錯誤的資料。

因此，原始的對話檔案是刻意設計成他們無法取得的。沒有任何代理人能夠刪除單一訊息，也完全無法觸及過去三個月的資料。較舊的記錄只能依專案整體移除。而要刪除整個專案——這是唯一能一次性處理所有檔案的動作——則任何層級的代理人都無法執行，必須在帳戶面板中由人類手動輸入專案名稱才能完成。

這之所以重要，原因很簡單：經過整理的記憶是衍生的，而檔案庫才是原始資料。任何因錯誤編輯而失去的內容都可以從歷史重建。沒有什麼能重建歷史。

加密、備份以及資料存放的位置

資料在傳輸過程中會以 TLS 進行加密。而當資料處於靜止狀態時，則會被加密儲存。 兩次: 底層有完整卷級的加密，而其上您的資料庫——所有的對話、所有的記錄，以及寫入前置日誌——也都受到加密保護。 每個客戶的專用金鑰, 與其他所有客戶的資料分開存放。用來解鎖儲存空間的密鑰根本沒有儲存在資料庫伺服器上：被盜的磁碟、洩露的影像或已停用的硬碟都無法用來解鎖資料。

刪除即為加密處理。

因為每個客戶都有自己的密鑰，所以要將你刪除並非透過掃描儲存空間就能做到。 您的密鑰已被破壞，且資料庫也已被刪除。, 而剩下的內容，就連我們也無法閱讀。那些經過加密的備份資料會被直接刪除，而不會讓其到期；至於任何殘留的副本，也會在最多30天的時間內，隨著我們的備份系統更新而被清除。我們根本沒有可以恢復的副本。

每個客戶的加密措施無法涵蓋什麼

兩個明確的界限。資料庫引擎會保存用於內部查詢規劃的統計資料，這些資料是從列值中抽取的樣本；這些樣本受到整體加密保護，而非您的個人金鑰。而靜態加密也就是指在資料處於靜止狀態時的加密——服務必須解密您的資料才能滿足您的搜尋需求及進行資料整理，因此「我們絕不查看您的資料」是我們的政策與存取控制措施，而非數學上的不可能之事。我們寧願告訴您界限所在，也不願讓您以為根本沒有界限。

備份每晚都會執行，且 在離開我們的設備之前已經被加密了, 這些資料會依照輪流處理的方式，儲存於歐盟境外的地點，保存期限最長為三個月。當帳戶被刪除時，其備份資料也會一同被刪除，而任何剩餘的副本都會在 30 天內被清除。

您的記憶完全在歐盟境內儲存、索引與搜尋——我們的伺服器位於法蘭克福，備份位於法爾肯斯坦，兩者皆在德國。搜尋嵌入向量在我們自己的機器上計算，且從不離開這些機器。

唯一的例外是 AI 整理功能。被整理的段落會傳送至 位於美國的 Ollama, 已處理並回傳。Ollama 的公開條款聲明，輸入與輸出僅被暫時處理，且絕不會用於訓練模型——這是他們在自身條款中的承諾，我們將其陳述為他們的承諾，而非我們的承諾。除此之外，沒有其他資料離開歐盟。若您也需要整理過程不離開歐盟，可透過專屬部署達成——請提出需求。每個子處理器及其用途與位置，皆列於 隱私權政策.

我們的運作方式

預設採用最小權限原則。

該服務在其容器內以非特權用戶身份運作，從不以 root 身分執行。其資料庫角色亦非超級用戶，且無法從主機上讀取檔案。這些規定都會在每次發布前自動驗證，而非僅憑假設。

內部端點在邊緣處被鎖定。

用於建立帳戶及驗證金鑰的端點，只能由我們自己的控制平面存取；請求到達前先在網路邊緣進行驗證，之後再透過後端的共享密碼進行第二次驗證。是兩道鎖，而非一道。

失敗即關閉。

當有資料缺失或無法辨識時，該服務會直接拒絕處理，而非試著猜測。無法驗證的金鑰也會被拒絕使用。損壞的權限則無法授予任何權限。若缺少 webhook 簽名密鑰，則會拒絕所有事件，而非輕易相信所接收到的資料。這是一種刻意設計的策略：記憶體服務的失敗模式應該是「沒有回應」，而非「給出錯誤客戶的回應」。

每個版本都經由外部驗證。

在任何版本發布之前，自動化檢查會從全新帳戶開始，透過真實網路連線走完整個產品流程：註冊、發行與撤銷金鑰、儲存與召回記憶、隔離兩個使用中的帳戶、資料匯出，以及徹底刪除。只有全部通過，版本才會發布；否則就不會發布。

回報安全問題

如果您認為自己發現了安全漏洞，請在告訴其他人之前先告知我們，我們將與您一起處理。聯絡資訊已刊登在 /.well-known/security.txt 或寫信至 [email protected]. 我們不會威脅那些誠實報告的研究人員。

更深入的需求——如資料處理協議、在您選擇的區域進行專用部署，或將內容整理作業留在歐盟境內——這些我們都會直接處理。請與我們聯繫。