nullbotにおけるセキュリティ

1. 私たちのアプローチ:アーキテクチャによるセキュリティ

nullbotは、お客様のデータを預けるオンラインプラットフォームではありません。お客様の企業のコンピューター上にインストールされ、実行されるソフトウェアです。このアーキテクチャの選択は、私たちの最初の防御線です。最もよく保護されるデータとは、決してお客様の環境から外に出ないデータだからです。

具体的には、エージェントの作業——メールの読み取り、文書の解析、ツールの実行、AIモデルの推論——はすべてお客様の端末上でローカルに行われます。弊社のサーバーがこれらのコンテンツを閲覧したり保存したりすることはありません。

2. データはどこに保存されるか

お客様のエージェントが扱うデータ（メッセージ、顧客情報、文書、タスクの実行結果）は、nullbotがインストールされている端末上に保存されます。これらのデータはnullbotが運用する中央データベースを経由することも、そこに保存されることもありません。

nullbotが運用するサーバーは、意図的に限定された範囲——お客様のライセンスおよびアカウントの管理——のためだけに使用されます。この最小限のフットプリントにより、露出する範囲が機械的に制限されます。狙われるような大規模な中央データ倉庫は存在しません。

3. お客様の鍵とアクセス

nullbotは、お客様が接続する人工知能モデルおよびツールへのお客様ご自身のアクセス情報を使用して動作します。これらの認証情報は、お客様のマシン上に、お客様の管理下で保存されます。

nullbotはお客様のキーを一元管理することはなく、サーバー側での必須の経由点とすることもありません。お客様は、いつでも該当する提供元においてキーをローテーションまたは失効させる権限を保持します。

4. 顧客間で共有されるインフラストラクチャなし

nullbotの各インストールは独立しています。お客様の情報が他の顧客企業の情報と同居する共通データベースは存在しません。したがって、同一プラットフォームのテナント間の分離エラーによってお客様のデータにアクセスし得る「隣人」は存在しません。

この設計上の分離により、共有型サービスに固有のリスクの一群全体が排除されます。

5. 貴社間のデータ分離

nullbotから複数の組織を運用している場合、それぞれのデータ、エージェントチーム、および設定は分離されています。ある企業に紐づく情報は他の企業から見ることはできません。各組織の範囲は独立したまま保たれます。

6. 通信の暗号化

nullbot、人工知能サービス、および接続するツールとの間のネットワーク通信は、ウェブの標準規格（HTTPS/TLS）に準拠した暗号化接続を使用します。保存時には、お客様のデータはお使いの端末上に保持され、お使いのオペレーティングシステムおよびお客様ご自身が自らの端末に適用する対策による保護を受けます。

7. 最小権限の原則および人的監督

nullbotは最小権限の原則を適用しています。各エージェントは、お客様が明示的に付与したツールおよびアクセス権のみを保持します。エージェントは、お客様が許可した範囲を超えて行動することはできません。

また、ガバナンスは常にお客様の手にあります。お客様が定めたルールに従い、重要なアクションは実行前に人による承認を必要とすることができます。重要な操作の決定権は常にお客様にあり、エージェントの活動を追跡することも可能です。

8. セキュリティアップデート

nullbotは継続的にメンテナンスされています。アプリケーションには、改善点やセキュリティ修正を迅速に配信できる更新の仕組みが組み込まれています。最新の保護を受けるために、インストール環境を常に最新の状態に保つことをお勧めします。

9. お客様の責任

nullbotはお客様のマシン上で、お客様のアクセス権限を用いて実行されるため、セキュリティの一部はお客様自身が最も適切に講じられる対策に委ねられています。特に以下の対応をお勧めします。

• nullbotがインストールされているコンピューターへのアクセスを保護すること（画面ロック、ディスクの暗号化、ユーザーアカウントの分離）。
• 接続する識別情報および鍵の利用を管理された範囲にとどめ、侵害の疑いがある場合は更新すること。
• 可能な場合は、エージェントに関連するアカウント及びツールにおいて多要素認証を有効化すること;
• 各エージェントには、その任務に厳密に必要なアクセス権限のみを付与すること。
• nullbot、お使いのオペレーティングシステムおよびツールを常に最新の状態に保つこと。

セキュリティは共同の責任です。私たちはお客様を守るためにソフトウェアを設計しており、これらのベストプラクティスはお客様の環境におけるその保護をさらに強化します。

10. 脆弱性の報告

私たちは、セキュリティ研究者および利用者からの報告を歓迎します。脆弱性を発見されたと思われる場合は、公表前に分析および修正を行うための合理的な期間を設けていただいた上で、責任ある方法でご連絡くださいますようお願いいたします。

contact@nullbot.ai までご連絡いただくか、それができない場合は、次の住所宛てに郵便でお送りください:MARA LABS — セキュリティ — 41 rue Jacquemars Giélée, 59800 Lille, France。

問題点とその再現方法を正確にご記載いただくとともに、調査の過程でご自身に属さないデータにアクセスしたり、サービスを劣化させたりしないようお願いいたします。私たちは、誠実に行われたすべての報告について、真摯に確認することをお約束します。

11. 透明性および限界

絶対的なセキュリティを約束できるソフトウェアは存在せず、私たちもそのような主張はいたしません。私たちの約束は二つあります。nullbotをそのアーキテクチャ自体によってリスクを低減するように設計すること、そしてお客様に対して透明性を保ち続けることです。

同じ理由から、本書は攻撃者の助けとなり得る技術的な詳細を明かすことなく、私たちのアプローチを説明しています。高度なセキュリティ要件をお持ちの法人のお客様は、個別にご相談いただくためにお問い合わせください。