Почему безопасность важна для ИИ-агентов
Когда вы запускаете ИИ-агентов, вы доверяете им конфиденциальные данные: API-ключи стоимостью сотни долларов в месяц, доступ к вашей кодовой базе и, возможно, конфиденциальную бизнес-информацию. Большинство платформ для агентов просят вас загрузить API-ключи на свои серверы. Мы считаем, что это неправильно.
Наши принципы безопасности
1. Ключи никогда не покидают ваш компьютер
Ваши API-ключи для OpenAI, Anthropic и других провайдеров хранятся локально на вашем компьютере. Они никогда не передаются на серверы Office Claws, никогда не сохраняются в нашей базе данных и никогда не записываются в логи.
Когда вашему агенту нужно обратиться к ИИ-провайдеру, ключ безопасно передаётся через зашифрованный туннель Tailscale напрямую из вашего десктопного приложения на VPS вашего агента.
2. Зашифрованная сеть с Tailscale
Каждое соединение между вашим десктопным приложением и VPS агента проходит через Tailscale — mesh VPN на базе WireGuard. Это означает:
- Сквозное шифрование — Трафик невозможно перехватить, даже нам
- Нет открытых портов — VPS вашего агента не имеет публично доступных портов
- Сеть с нулевым доверием — Подключаться могут только авторизованные устройства
3. Изолированная инфраструктура
Каждый агент работает на собственном выделенном VPS. Между пользователями нет общей инфраструктуры. Это обеспечивает:
- Изоляция процессов — Ваш агент не может получить доступ к агентам других пользователей
- Сетевая изоляция — У каждого VPS своя идентичность в Tailscale
- Изоляция данных — Ничто не разделяется между экземплярами агентов
4. Вы владеете своей инфраструктурой (тариф «Свой сервер»)
При тарифе «Свой сервер» VPS работает на вашем собственном аккаунте DigitalOcean. У вас есть полный SSH-доступ, вы можете проверить всё, что работает на машине, и удалить дроплет в любой момент.
К чему у нас НЕТ доступа
- Ваши API-ключи ИИ-провайдеров
- Разговоры с вашим агентом
- Файлы и данные вашего агента
- Сетевой трафик вашего Tailscale
- Ваши ресурсы DigitalOcean (тариф «Свой сервер»)
К чему у нас ЕСТЬ доступ
- Ваш адрес электронной почты (для управления аккаунтом)
- Платёжная информация (обрабатывается нашим платёжным провайдером)
- Анонимная телеметрия использования (можно отключить)
- Метаданные статуса агентов (онлайн/офлайн, без содержимого)
Рекомендации
- Используйте уникальные API-ключи — Создайте отдельный API-ключ для Office Claws, а не используйте свой личный
- Регулярно ротируйте ключи — Вы можете обновить ключ ИИ-провайдера через панель администрирования агента в любое время
- Проверяйте панель DigitalOcean — Пользователям тарифа «Свой сервер» следует периодически проверять свои дроплеты и счета
- Обновляйте десктопное приложение — Мы включаем исправления безопасности в каждый релиз
Приверженность открытому коду
Мы убеждены, что безопасность требует прозрачности. Среда выполнения наших агентов имеет открытый исходный код, и вы можете проверить, что именно работает на вашем VPS. Исходный код десктопного приложения также доступен для ознакомления.
Безопасность — это не функция, а фундамент. Всё, что мы создаём в Office Claws, начинается с вопроса: «Как обеспечить безопасность данных пользователя?»