Richtlinie zur verantwortungsvollen Offenlegung

Umfassende Richtlinie zur Meldung von Schwachstellen, Safe-Harbor-Leitlinien und technischer Sicherheitsforschungsumfang für Legalpunkt aOS, Datapunkt aOS und den Agentpunkt Marketplace.

Sicherheitsforschung in gutem Glauben und Safe-Harbor-Zusage

Agentpunkt Marketplace ("Agentpunkt", "wir", "uns" oder "unser") schätzt den Beitrag von Sicherheitsforschern und ethischen Hackern, die unser Plattformökosystem schützen. Wenn Sie Sicherheitsforschung im Einklang mit den in dieser Richtlinie festgelegten Regeln durchführen, betrachten wir Ihre Tätigkeiten als autorisiert und werden KEINE rechtlichen Schritte oder Meldungen an Strafverfolgungsbehörden gegen Sie einleiten.

Diese Richtlinie zur verantwortungsvollen Offenlegung ("Vulnerability Policy") beschreibt den technischen Umfang, die Safe-Harbor-Standards, die Verfahren zur Schwachstellenmeldung und die Koordinationsprotokolle zur Identifizierung von Sicherheitslücken auf unseren Websites, Anwendungslaufzeiten, spezialisierten KI-Betriebsplattformen – einschließlich Legalpunkt aOS und Datapunkt aOS – sowie dem Agentpunkt Marketplace.

1. Technischer Umfang der In-Scope-Zielinfrastruktur

Forschende sind berechtigt, internetzugängliche Webanwendungen, API-Gateways und spezialisierte Betriebsumgebungen zu testen, die Agentpunkt gehören und von Agentpunkt betrieben werden:

Infrastrukturumfang von Legalpunkt aOS

LegalSearch-Endpunkte, LegalProjects-Workspace-APIs, LegalContracts-Redlining-Engine, Legal-Vault-Verschlüsselungsmechanismen, Legal-Skills-Ausführungslaufzeit, Legal-Playbook-Ausführungsengines und Legal-Billing-Buchhaltungs-APIs.

Infrastrukturumfang von Datapunkt aOS

Datapunkt-Metadaten-Dienste, Sandboxes für automatisierte Codegenerierung, Data-Lineage-Tracking-APIs, Schema-Mapping-Engines und Pipelines zur Generierung synthetischer Datensätze.

Infrastrukturumfang des Agentpunkt Marketplace

Marketplace-Web-Storefront, Händler-Dashboard, Agent-Listing-APIs, OAuth-2.0-Authentifizierungsendpunkte, Stripe-Zahlungsintegrationen und eingebettete Agent-Chat-Widgets.

2. Autorisierte Kategorien der Schwachstellentests

Wir sind besonders an Meldungen zu wirkungsstarken KI-, Infrastruktur- und Anwendungsschwachstellen interessiert:

  • Indirect Prompt Injection und Exfiltration juristischer Dokumente: Schwachstellen, die es ermöglichen, dass in hochgeladenen Verträgen oder Schriftsätzen eingebettete bösartige Prompts die Modellausführung manipulieren oder juristische Daten über Vault-Grenzen hinweg exfiltrieren.
  • Ausbrüche aus automatisierten Code-Sandboxes: Fehler in Code-Ausführungsumgebungen von Datapunkt aOS, die beliebige Codeausführung auf Host-Containern zulassen.
  • Umgehung der Vault-Autorisierung über Mandantengrenzen: Broken Object Level Authorization (BOLA/IDOR), die Zugriff auf Projektdateien Dritter in Legalpunkt aOS oder auf Datenbank-Metadaten ermöglichen.
  • Side-Channel-Exfiltration synthetischer Daten: Schwachstellen, die die Rekonstruktion zugrunde liegender Trainingsverteilungen oder Seed-Parameter aus synthetischen Datensatzausgaben erlauben.
  • Authentifizierung und Privilege Escalation: Fehlkonfigurationen von OAuth-Flows, JWT-Fälschung oder Session-Hijacking-Schwachstellen.

3. Aktivitäten außerhalb des Umfangs und verbindliche Grundregeln

Um den Safe-Harbor-Schutz zu behalten, müssen Forschende strenge ethische Parameter einhalten:

  • NIEMALS auf echte Mandantenakten zugreifen: Sehen, ändern, herunterladen oder exfiltrieren Sie KEINE tatsächlichen juristischen Mandantendokumente, Verträge, Anwaltsarbeitsergebnisse oder Produktions-Datenbankschemata echter Nutzer. Verwenden Sie ausschließlich vorgesehene Testkonten.
  • KEIN Denial of Service (DoS/DDoS): Führen Sie KEINE hochvolumigen automatisierten Rate-Limit-Tests, Netzdegradierungsangriffe oder Ressourcenerschöpfungs-Exploits durch.
  • KEINE Social Engineering- oder physischen Angriffe: Phishing, Spear-Phishing, Credential Harvesting oder physische Sicherheitstests gegen Personal oder Rechenzentren von Agentpunkt sind streng untersagt.

4. Protokoll zur Schwachstellenmeldung und SLA-Antwortzeiten

Bitte übermitteln Sie detaillierte Schwachstellenberichte einschließlich Proof-of-Concept-(PoC-)Skripten und schrittweisen Reproduktionsanweisungen an unser Security Operations Center:

Agentpunkt Security Operations Center (SOC)

Offizielle Sicherheits-E-Mail: info@agentpunkt.com

Response Service Level Agreements (SLAs):

• Erste Eingangsbestätigung: innerhalb von 24 Geschäftszeiten.

• Triage und Schweregradbewertung: innerhalb von 3 Geschäftstagen.

• Fortschrittsupdates zur Behebung: wöchentlich bis zur Lösung.