Sécurité
Comment nous tenons notre propre maison
Une entreprise qui protège les agents IA doit montrer comment elle travaille elle-même. Voici comment nous signaler une vulnérabilité, comment nos logiciels sont construits et livrés, et ce que nos produits consignent, et où.
Signaler une vulnérabilité
Vous avez trouvé une faille ? Dites-le-nous d’abord.
Écrivez à info@zeravatech.ca avec « Security » dans l’objet. Nous confirmons la réception de votre signalement dans les deux jours ouvrables et vous disons ce que nous allons faire.
- Ce qu’il faut envoyer. Le produit et sa version, ce que vous avez fait, ce qui s’est passé, et comment nous pouvons le reproduire.
- Ce que vous pouvez tester. Vos propres installations de Vid, de Perun si vous l’avez, et de nos outils gratuits.
- Ce qu’il ne faut pas faire. Aucune attaque contre les systèmes ou les données d’autrui, contre le formulaire de contact de notre site ou contre les services que nous utilisons, et aucun déni de service.
- Avant de publier. Laissez-nous un délai raisonnable pour corriger. Nous vous dirons quand le correctif sera disponible et, si vous le souhaitez, nous vous nommerons dans ses notes de version.
Le même contact, lisible par machine : /.well-known/security.txt.
Construire et livrer
Du code libre, avec une empreinte pour chaque fichier
- Code libre. Vid, Pivot Benchmark, PSE Analyzer et chaque outil des téléchargements et de Labs sont libres et gratuits sous GPL-3.0, avec leur code sur github.com/zeravatechnologies.
- Une empreinte pour chaque fichier. Chaque version est publiée comme une release GitHub, et son SHA-256 est affiché à côté du téléchargement, pour que vous puissiez vérifier que votre fichier est bien celui que nous avons construit.
- La signature du code arrive. Nos versions actuelles ne sont pas encore signées, si bien que Windows affiche un avertissement SmartScreen. En attendant, comparez l’empreinte avant de lancer un fichier. Notre politique de signature du code explique comment les builds seront signés par l’intermédiaire de SignPath Foundation.
- Perun n’est jamais un téléchargement public. Nous vous le livrons directement et l’installons avec vous.
- Ce site est statique, ne dépose aucun témoin de suivi, et est servi avec une politique de sécurité du contenu stricte et uniquement en HTTPS.
Ce que Perun consigne
Chaque décision, sur vos ordinateurs
- Rien ne nous parvient. Perun tourne sur vos ordinateurs, sans nuage et sans télémétrie.
- Un registre qui ne fait que s’allonger. Chaque décision est écrite dans un registre signé, en ajout seul. Rien n’y est modifié après coup.
- Un contrôle du contrôleur. Un processus distinct, le compteur, contrôlé uniquement par des personnes, lit ce registre et vérifie les rapports de Perun par rapport à lui.
- Des personnes répondent, nommément. Chaque réponse humaine, approuver, refuser ou faire confiance, est donnée par un opérateur connecté et consignée.
- Fermé en cas de doute. Si Perun lui-même a un doute, il arrête le trafic plutôt que de le laisser passer sans l’avoir lu.
Où vont vos données
Produit par produit
- Vid et Perun. Sur vos ordinateurs. Le seul trafic est celui des appels que votre agent fait déjà à son modèle.
- Outils gratuits. Sur votre ordinateur. Un outil n’appelle un modèle en ligne que si vous en choisissez un, avec votre propre clé ; Pivot Benchmark, par exemple, appelle Gemini comme modèle adverse.
- Leaf. Un service hébergé, qui traite donc des données sur nos serveurs, comme le décrit son propre avis de confidentialité.
- Ce site. Un message envoyé par un formulaire arrive dans notre boîte de réception par une fonction d’Amazon Web Services au Canada. Nous ne l’utilisons que pour répondre, comme le dit la politique de confidentialité.
Contact
Des questions de votre équipe de sécurité ?
Envoyez-les-nous. Nous répondons aux questionnaires fournisseurs et montrons à votre équipe comment Perun est installé et ce qu’il consigne.
Accord de confidentialité possible pour les discussions commerciales · Le formulaire et nos réponses sont en anglais ou en français, à votre choix · Toronto, Ontario, Canada