Warum Sicherheit bei KI-Agenten Wichtig Ist
Wenn Sie KI-Agenten betreiben, vertrauen Sie ihnen sensible Daten an: API-Schlüssel im Wert von Hunderten Dollar pro Monat, Zugang zu Ihrer Codebasis und möglicherweise vertrauliche Geschäftsinformationen. Die meisten Agenten-Plattformen verlangen, dass Sie Ihre API-Schlüssel auf deren Server hochladen. Wir halten das für falsch.
Unsere Sicherheitsprinzipien
1. Schlüssel Verlassen Nie Ihren Rechner
Ihre API-Schlüssel für OpenAI, Anthropic und andere Anbieter werden lokal auf Ihrem Computer gespeichert. Sie werden niemals an Office Claws-Server übertragen, niemals in unserer Datenbank gespeichert und niemals protokolliert.
Wenn Ihr Agent einen KI-Anbieter aufrufen muss, wird der Schlüssel sicher über einen verschlüsselten Tailscale-Tunnel direkt von Ihrer Desktop-App zum VPS Ihres Agenten übertragen.
2. Verschlüsselte Netzwerke mit Tailscale
Jede Verbindung zwischen Ihrer Desktop-App und dem VPS Ihres Agenten läuft über Tailscale, ein WireGuard-basiertes Mesh-VPN. Das bedeutet:
- Ende-zu-Ende-Verschlüsselung — Datenverkehr kann nicht abgefangen werden, nicht einmal von uns
- Keine offenen Ports — Der VPS Ihres Agenten hat keine öffentlichen Ports
- Zero-Trust-Netzwerk — Nur authentifizierte Geräte können sich verbinden
3. Isolierte Infrastruktur
Jeder Agent läuft auf seinem eigenen dedizierten VPS. Es gibt keine gemeinsame Infrastruktur zwischen Benutzern. Dies bietet:
- Prozessisolierung — Ihr Agent kann nicht auf die Agenten anderer Benutzer zugreifen
- Netzwerkisolierung — Jeder VPS hat seine eigene Tailscale-Identität
- Datenisolierung — Nichts wird zwischen Agenten-Instanzen geteilt
4. Sie Besitzen Ihre Infrastruktur (Selbstgehostet)
Beim selbstgehosteten Plan läuft der VPS auf Ihrem eigenen DigitalOcean-Konto. Sie haben vollen SSH-Zugang, können alles überprüfen, was auf der Maschine läuft, und können den Droplet jederzeit zerstören.
Worauf Wir KEINEN Zugriff Haben
- Ihre KI-Anbieter-API-Schlüssel
- Die Konversationen Ihres Agenten
- Die Dateien oder Daten Ihres Agenten
- Ihren Tailscale-Netzwerkverkehr
- Ihre DigitalOcean-Ressourcen (selbstgehosteter Plan)
Worauf Wir Zugriff Haben
- Ihre E-Mail-Adresse (für die Kontoverwaltung)
- Abrechnungsinformationen (verarbeitet durch unseren Zahlungsanbieter)
- Anonyme Nutzungstelemetrie (kann deaktiviert werden)
- Agenten-Status-Metadaten (online/offline, kein Inhalt)
Empfehlungen
- Verwenden Sie einzigartige API-Schlüssel — Erstellen Sie einen dedizierten API-Schlüssel für Office Claws, anstatt Ihren persönlichen Schlüssel zu teilen
- Rotieren Sie Schlüssel regelmäßig — Sie können den Schlüssel Ihres KI-Anbieters jederzeit über das Agenten-Admin-Panel aktualisieren
- Überprüfen Sie Ihr DigitalOcean-Dashboard — Selbstgehostete Benutzer sollten regelmäßig ihre Droplets und Abrechnung prüfen
- Halten Sie Ihre Desktop-App aktuell — Wir liefern Sicherheitspatches in jeder Version
Open-Source-Verpflichtung
Wir glauben, dass Sicherheit Transparenz erfordert. Unsere Agenten-Runtime ist Open Source, damit Sie genau überprüfen können, was auf Ihrem VPS läuft. Der Quellcode der Desktop-App ist ebenfalls zur Überprüfung verfügbar.
Sicherheit ist kein Feature — sie ist ein Fundament. Alles, was wir bei Office Claws entwickeln, beginnt mit der Frage: "Wie schützen wir die Daten der Benutzer?"