Безопасность и приватность
Изоляция, доступ, публикация и то, что добавляют интеграции в вашей сети.
Автономность не отменяет контроль. Ключевые принципы:
- Двухфакторный вход по коду на email — или единый вход через ваш корпоративный провайдер (OIDC / SAML 2.0): пароли сотрудников остаются у вас, аккаунты создаются при первом входе, вход по паролю участникам можно закрыть. См. Единый вход.
- Журнал аудита — кто, когда, откуда и что сделал в организации, включая отказы; записи не редактируются и не удаляются, каждая связана с предыдущей хэшем. Владелец читает и выгружает его сам, без запроса в поддержку. См. Журнал аудита.
- Изоляция по организациям — отдельное пространство на каждую организацию; данные и трафик не пересекаются.
- Доступ по ролям — вы решаете, кто и что может делать в проекте.
- Ничего не публикуется без одобрения — изменения попадают в ваш репозиторий только после решения «одобрить» на ревью.
- Токены на запись — ключи доступа к вашим репозиториям хранятся только на запись и не читаются обратно.
- Коннектор — вместо передачи токенов. Если git не должен быть доступен нам вовсе, запустите агент у себя: токен останется в вашей сети.
Что добавляют интеграции
Интеграция — это код, который выполняется на вашей машине, поэтому вопрос «что именно расширяет поверхность» законный. Расширяют три вещи, и у каждой есть граница:
| Что добавляется | Чем ограничено |
|---|---|
| Чужой код на вашей машине | комплект подписан нашим ключом; открытый ключ вшит в агент, подпись проверяется до распаковки. Версия отзывается через подписанный список отзывов |
| Доступ к вашим системам | учётной записью, которую вы завели боту, и областью подключения: у трекеров пустой список означает «нигде», у Notion, Confluence, Google Диска, Figma и файлов — всё, что доступно этой учётной записи (см. границы у источников) |
| Входящие соединения | не нужны, кроме приёмника событий для двух сценариев, которые приходят только вебхуком: комментарии к коммитам GitLab и Figma без списка файлов и проектов (вебхук Figma приходит из её облака, то есть из интернета). Ссылка приёмника содержит секрет (как устроено) |
| Исходящие запросы | правилом из манифеста: хост берётся из вашего же поля в форме, плюс разрешённые методы и префиксы путей. Link-local адреса (метаданные облаков) запрещены всегда |
Механика — по пунктам, включая права на каталоги, пользователей ОС и то, чего изоляция не даёт: «Изоляция и границы доступа».
Два свойства, которые стоит знать заранее:
- Интеграция не видит секретов. Исходящий запрос собирает коннектор и подставляет учётные данные сам; заголовок авторизации, выставленный интеграцией, вычёркивается. Единственное исключение — пароль сетевой папки SMB у интеграции «Файлы»: протокол не позволяет подставить его снаружи, и это отмечено в каталоге.
- Модели не отдаётся ни один пишущий инструмент — ни на одной стадии. Ответ в тикет пишет коннектор по команде платформы, а не модель (почему так).
Если интеграций и своих MCP-серверов нет, ничего из этого не появляется: коннектор без них — это git-мост и ничего больше. У своих MCP-серверов границы иные: их исходящие запросы шлюзом коннектора не ограничиваются.
Документы: что уходит, что нет
Для владельца документов отдела — без технических подробностей. Пространство читает документы там, где они лежат: в Notion, Confluence, на Google Диске, на сервере, в Figma. Ничего не копируется и не индексируется заранее.
| Не уходит никогда | пароли и токены ваших систем — они остаются на коннекторе в сети компании; документы вне отмеченных разделов и папок; папки, попавшие в исключения |
| Уходит по запросу ИИ-агента | ровно те страницы и файлы, которые он открыл для конкретного ответа, — и только в этот ответ; каждое чтение записано в журнале подключения |
| Уходит при обращении из Notion, Диска или тикета | текст обращения, заголовок и ссылка на страницу или тикет, имя автора |
| Уходит постоянно | состояние коннектора: онлайн он или нет, какие подключения запущены и что им разрешено — то, что видно в разделе «Коннекторы» |
| Дальше — к модели | по тарифу: на тарифах OpenRouter — модели стороннего провайдера; на выделенных мощностях и в индивидуальном сетапе — модели на выделенной машине, сторонним провайдерам ничего не уходит |
Что это значит на практике:
- Только чтение. ИИ-агент не редактирует документы, таблицы, страницы и тикеты — ни на одной стадии; пишущих инструментов у него нет. Единственное, что появляется в ваших системах, — комментарий-ответ и, если заказано исследование, документ рядом.
- Две границы. Внешняя — права учётной записи, под которой коннектор читает ваши системы: папка, которой не поделились, невидима. Внутренняя — отмеченные разделы и папки подключения. Разумно иметь обе; папки с персональными данными — личные дела, медицинские справки — не подключать.
- Кто видит ответы. В приложении пространство — область прав: диалоги и исследования пространства HR читают только участники с правом на него; поддержка их не видит, пока ей не выдан доступ. См. Области действия. Вопрос из комментария во внешней системе устроен иначе: бот отвечает тому, кто обратился к нему в отмеченном месте, — участник ли он Buff, не проверяется; ответ строится по всем подключениям пространства и публикуется обычным комментарием, который видят все, кто видит страницу или тикет. Поэтому к пространству подключайте только разделы, которые не видят и не комментируют посторонние — клиенты, подрядчики, гости, — подробнее в Спросить из документа или тикета.
- Кто читает текст. Зависит от тарифа: на тарифах OpenRouter прочитанный текст обрабатывают модели сторонних провайдеров вне РФ; на выделенных мощностях и в индивидуальном сетапе он сторонним провайдерам моделей не уходит, а в российской юрисдикции остаётся на выделенных мощностях в РФ и в индивидуальном сетапе — см. Тарифы.
- Кто и когда спрашивал — в журнале аудита организации: создание диалога и исследования в приложении записываются с именем участника; тексты вопросов и ответов в журнал не попадают. Вопросы из внешних систем попадают в журнал только при сбое; кто спросил, видно в самом комментарии.
Подробно, со стороны администратора, — Коннектор: что уходит наружу, а что нет.
Хранение и удаление данных
Импортированный код лежит в изолированном пространстве вашей организации. Удаление копии по письменному запросу владельца организации — в течение 30 дней, из резервных копий — в течение 90.