Segurança na nullbot

1. A nossa abordagem: a segurança pela arquitetura

nullbot não é uma plataforma online onde depositaria os seus dados. É um software que se instala e é executado nos computadores da sua empresa. Esta escolha de arquitetura é a nossa primeira linha de defesa: o dado mais bem protegido é aquele que nunca sai do seu ambiente.

Em concreto, o trabalho dos seus agentes — leitura de e-mails, análise de documentos, execução de ferramentas, raciocínio do modelo de IA — decorre localmente, no seu posto de trabalho. Os nossos servidores não têm por vocação ver nem alojar estes conteúdos.

2. Onde vivem os seus dados

Os dados tratados pelos seus agentes (mensagens, fichas de clientes, documentos, resultados de tarefas) são guardados na máquina onde o nullbot está instalado. Não transitam por nenhuma base de dados central operada pelo nullbot nem aí são conservados.

Os servidores que a nullbot opera servem um âmbito voluntariamente reduzido: a gestão da sua licença e da sua conta. Esta pegada mínima limita mecanicamente a superfície exposta: não existe um grande repositório central dos seus dados para visar.

3. As suas chaves e os seus acessos

O nullbot funciona com os seus próprios acessos aos modelos de inteligência artificial e às ferramentas que conecta. Estas credenciais são guardadas na sua máquina, sob o seu controlo.

A nullbot não centraliza as suas chaves nem faz delas uma passagem obrigatória do lado do servidor. Mantém a capacidade de as rodar ou de as revogar a qualquer momento junto dos fornecedores em causa.

4. Nenhuma infraestrutura partilhada entre clientes

Cada instalação do nullbot é autónoma. Não existe uma base de dados comum na qual as suas informações fiquem ao lado das de outras empresas clientes. Não há, portanto, nenhum «vizinho» suscetível de aceder aos seus dados devido a um erro de segregação entre inquilinos de uma mesma plataforma.

Esta separação por conceção afasta uma categoria inteira de riscos próprios dos serviços partilhados.

5. Compartimentação entre as suas empresas

Se gere várias estruturas a partir do nullbot, os respetivos dados, equipas de agentes e configurações são mantidos separados. As informações associadas a uma empresa não são visíveis a partir de outra: cada perímetro permanece distinto.

6. Encriptação das comunicações

As trocas de rede entre o nullbot, os serviços de inteligência artificial e as ferramentas que liga utilizam ligações cifradas segundo os padrões da web (HTTPS/TLS). Em repouso, os seus dados permanecem no seu posto de trabalho e beneficiam das proteções oferecidas pelo seu sistema operativo e pelas medidas que aplica às suas próprias máquinas.

7. Privilégio mínimo e supervisão humana

A nullbot aplica o princípio do menor privilégio: cada agente dispõe apenas das ferramentas e dos acessos que lhe atribuir explicitamente. Um agente não pode agir além do que autorizou.

Além disso, a governação permanece nas suas mãos. Consoante as regras que definir, as ações sensíveis podem exigir validação humana antes de serem executadas. Continua a ser o decisor das operações que importam e pode acompanhar a atividade dos seus agentes.

8. Atualizações de segurança

O nullbot é mantido de forma contínua. A aplicação integra um mecanismo de atualização que permite disponibilizar rapidamente as melhorias e as correções de segurança. Recomendamos que mantenha a sua instalação atualizada para beneficiar das proteções mais recentes.

9. As suas responsabilidades

Como o nullbot é executado nas suas máquinas e com os seus acessos, parte da segurança depende de medidas que só o utilizador está em posição de aplicar. Convidamo-lo, nomeadamente, a:

• proteger o acesso aos computadores onde o nullbot está instalado (sessão bloqueada, cifragem do disco, contas de utilizador distintas);
• reservar as credenciais e as chaves que liga a uma utilização controlada, e renová-las caso suspeite de um comprometimento;
• ativar, sempre que possível, a autenticação multifator nas contas e ferramentas ligadas aos seus agentes;
• conceder a cada agente apenas os acessos estritamente necessários à sua missão;
• manter atualizados o nullbot, o seu sistema operativo e as suas ferramentas.

A segurança é uma responsabilidade partilhada: concebemos o software para o proteger, e estas boas práticas reforçam essa proteção no seu ambiente.

10. Comunicar uma vulnerabilidade

Acolhemos favoravelmente as comunicações de investigadores de segurança e de utilizadores. Se pensa ter descoberto uma vulnerabilidade, agradecemos que nos comunique de forma responsável, concedendo-nos um prazo razoável para a analisar e corrigir antes de qualquer divulgação pública.

Pode escrever-nos para contact@nullbot.ai, ou, em alternativa, por correio postal para: MARA LABS — Segurança — 41 rue Jacquemars Giélée, 59800 Lille, França.

Agradecemos que descreva com precisão o problema e o modo de o reproduzir, e que, no âmbito das suas investigações, não aceda a dados que não lhe pertencem nem degrade o serviço. Comprometemo-nos a analisar com diligência cada comunicação feita de boa fé.

11. Transparência e limites

Nenhum software pode prometer uma segurança absoluta, e recusamo-nos a afirmá-lo. O nosso compromisso é duplo: conceber o nullbot para reduzir os riscos através da própria arquitetura, e manter-nos transparentes consigo.

Pela mesma razão, este documento descreve a nossa abordagem sem expor detalhes técnicos que pudessem ajudar um atacante. As empresas clientes com exigências de segurança aprofundadas podem contactar-nos para uma conversa dedicada.