Політика відповідального розкриття

Комплексна політика повідомлення про вразливості, настанови щодо safe harbor (режим добросовісного розкриття) та обсяг технічних досліджень безпеки для Legalpunkt aOS, Datapunkt aOS і Agentpunkt Marketplace.

Добросовісне дослідження безпеки та зобов’язання щодо safe harbor

Agentpunkt Marketplace («Agentpunkt», «ми», «нас» або «наш») високо цінує внесок дослідників безпеки та етичних хакерів, які допомагають захищати екосистему нашої платформи. Якщо ви проводите дослідження безпеки відповідно до правил цієї політики, ми вважаємо вашу діяльність дозволеною і НЕ ініціюватимемо проти вас судовий позов і не звертатимемося до правоохоронних органів.

Ця Політика відповідального розкриття («Політика щодо вразливостей») визначає технічний обсяг, стандарти safe harbor (режим добросовісного розкриття), процедури повідомлення про вразливості та протоколи координації розкриття для виявлення вразливостей безпеки на наших вебсайтах, у середовищах виконання застосунків, на спеціалізованих операційних платформах ШІ — зокрема Legalpunkt aOS і Datapunkt aOS — та на Agentpunkt Marketplace.

1. Технічний обсяг інфраструктури в межах програми (in-scope)

Дослідники уповноважені тестувати інтернет-орієнтовані вебзастосунки, API-шлюзи та спеціалізовані операційні середовища, якими володіє та керує Agentpunkt:

Обсяг інфраструктури Legalpunkt aOS

Кінцеві точки Legal Search, API робочого простору Legal Projects, рушій редлайнінгу Legal Contracts, механізми шифрування Legal Vault, середовище виконання юридичних скілів, рушії виконання юридичних посібників та API обліку Legal Billing.

Обсяг інфраструктури Datapunkt aOS

Сервіси метаданих Datapunkt, пісочниці автоматичної генерації коду, API відстеження lineage даних, рушії зіставлення схем і пайплайни генерації синтетичних наборів даних.

Обсяг інфраструктури Agentpunkt Marketplace

Вебвітрина Marketplace, панель мерчанта-продавця, API лістингів агентів, кінцеві точки автентифікації OAuth 2.0, інтеграції обробки платежів Stripe і вбудовані віджети чату агентів.

2. Дозволені категорії тестування вразливостей

Нас особливо цікавлять повідомлення про вразливості високого впливу в ШІ, інфраструктурі та застосунках:

  • Непряма ін’єкція промптів і ексфільтрація юридичних документів: Вразливості, що дають змогу зловмисним промптам, вбудованим у завантажені юридичні контракти або записки, маніпулювати виконанням моделі або ексфільтрувати юридичні дані між сховищами.
  • Вихід із пісочниці автоматичного виконання коду: Недоліки в середовищах виконання коду Datapunkt aOS, що дозволяють виконання довільного коду на хостових контейнерах.
  • Обхід авторизації сховищ між тенантами: Вразливості Broken Object Level Authorization (BOLA/IDOR), що дозволяють доступ до файлів проєктів Legalpunkt aOS або метаданих баз даних третіх сторін.
  • Ексфільтрація синтетичних даних через побічний канал: Вразливості, що дають змогу реконструювати базові розподіли навчання або початкові параметри з вихідних синтетичних наборів даних.
  • Автентифікація та підвищення привілеїв: Неправильні конфігурації потоку OAuth, підробка JWT або вразливості викрадення сесії.

3. Діяльність поза обсягом програми та обов’язкові правила

Щоб зберегти захист у режимі safe harbor, дослідники повинні дотримуватися суворих етичних меж:

  • НІКОЛИ не отримуйте доступ до реальних юридичних файлів клієнтів: НЕ переглядайте, не змінюйте, не завантажуйте і не ексфільтруйте фактичні юридичні документи клієнтів, контракти, робочі матеріали адвокатів або продакшен-схеми баз даних, що належать реальним користувачам. Користуйтеся лише призначеними тестовими обліковими записами.
  • ЗАБОРОНЕНО відмову в обслуговуванні (DoS/DDoS): НЕ проводьте високообсягове автоматизоване тестування rate-limit, атаки на деградацію мережі чи експлойти виснаження ресурсів.
  • ЗАБОРОНЕНО соціальну інженерію та фізичні атаки: Фішинг, spear-phishing, збір облікових даних або перевірка фізичної безпеки персоналу Agentpunkt чи дата-центрів суворо заборонені.

4. Протокол подання вразливостей і строки відповіді за SLA

Надсилайте детальні звіти про вразливості, включно зі скриптами proof-of-concept (PoC) і покроковими інструкціями відтворення, до нашого Центру операцій безпеки:

Центр операцій безпеки Agentpunkt (SOC)

Офіційна електронна адреса служби безпеки: info@agentpunkt.com

Угоди про рівень обслуговування (SLA) щодо відповіді:

• Перше підтвердження отримання: протягом 24 робочих годин.

• Сортування (triage) і оцінка критичності: протягом 3 робочих днів.

• Оновлення щодо усунення: щотижня до вирішення.