Pourquoi la Sécurité Est Importante pour les Agents IA
Lorsque vous exécutez des agents IA, vous leur confiez des données sensibles : des clés API valant des centaines de dollars par mois, l'accès à votre code source et potentiellement des informations commerciales confidentielles. La plupart des plateformes d'agents vous demandent de télécharger vos clés API sur leurs serveurs. Nous pensons que c'est une erreur.
Nos Principes de Sécurité
1. Les Clés Ne Quittent Jamais Votre Machine
Vos clés API pour OpenAI, Anthropic et d'autres fournisseurs sont stockées localement sur votre ordinateur. Elles ne sont jamais transmises aux serveurs d'Office Claws, jamais stockées dans notre base de données et jamais enregistrées dans les logs.
Quand votre agent doit appeler un fournisseur d'IA, la clé est transmise de manière sécurisée via un tunnel chiffré Tailscale directement de votre application de bureau au VPS de votre agent.
2. Réseau Chiffré avec Tailscale
Chaque connexion entre votre application de bureau et le VPS de votre agent passe par Tailscale, un VPN mesh basé sur WireGuard. Cela signifie :
- Chiffrement de bout en bout — Le trafic ne peut pas être intercepté, même par nous
- Aucun port exposé — Le VPS de votre agent n'a pas de ports publics
- Réseau zero-trust — Seuls les appareils authentifiés peuvent se connecter
3. Infrastructure Isolée
Chaque agent fonctionne sur son propre VPS dédié. Il n'y a pas d'infrastructure partagée entre les utilisateurs. Cela fournit :
- Isolation des processus — Votre agent ne peut pas accéder aux agents des autres utilisateurs
- Isolation réseau — Chaque VPS a sa propre identité Tailscale
- Isolation des données — Rien n'est partagé entre les instances d'agents
4. Vous Possédez Votre Infrastructure (Auto-hébergé)
Avec le plan auto-hébergé, le VPS fonctionne sur votre propre compte DigitalOcean. Vous avez un accès SSH complet, pouvez auditer tout ce qui s'exécute sur la machine et pouvez détruire le droplet à tout moment.
Ce à Quoi Nous N'Avons PAS Accès
- Vos clés API de fournisseurs d'IA
- Les conversations de votre agent
- Les fichiers ou données de votre agent
- Le trafic de votre réseau Tailscale
- Vos ressources DigitalOcean (plan auto-hébergé)
Ce à Quoi Nous Avons Accès
- Votre adresse e-mail (pour la gestion du compte)
- Les informations de facturation (traitées par notre prestataire de paiement)
- La télémétrie d'utilisation anonyme (peut être désactivée)
- Les métadonnées de statut de l'agent (en ligne/hors ligne, pas le contenu)
Recommandations
- Utilisez des clés API uniques — Créez une clé API dédiée pour Office Claws plutôt que de partager votre clé personnelle
- Effectuez une rotation régulière des clés — Vous pouvez mettre à jour la clé de votre fournisseur d'IA depuis le panneau d'administration de l'agent à tout moment
- Vérifiez votre tableau de bord DigitalOcean — Les utilisateurs auto-hébergés doivent vérifier périodiquement leurs droplets et leur facturation
- Maintenez votre application à jour — Nous incluons des correctifs de sécurité dans chaque version
Engagement Open Source
Nous croyons que la sécurité nécessite de la transparence. Notre runtime d'agent est open source, vous pouvez donc auditer exactement ce qui s'exécute sur votre VPS. Le code source de l'application de bureau est également disponible pour examen.
La sécurité n'est pas une fonctionnalité — c'est un fondement. Tout ce que nous construisons chez Office Claws commence par la question : "Comment protéger les données des utilisateurs ?"