コンテンツへスキップ

何を、どう保護しているか、そしてまだ足りないもの。

AIトラフィックの前にゲートウェイを置くことは本当の意味での信頼の判断であり、それを下すのは質問票と期限を渡された人です。このページはその人のために書いています。以下のすべての制御はそれを実施する仕組みを示し、すべての日付は願望ではなく約束であり、当社にないものも、あるものと同じくらいはっきりと記載しています。

INFROのアカウントはセルフサービスで作成できます。 カタログ、ドキュメント、API仕様は公開済みで、ゲートウェイもデプロイ済みです。v1以降の機能には「今後提供」と表示しています。 プランとトライアル

これは当社自身のスケジュールに関するコミットメントであり、監査人の結論についての主張ではありません。INFROは認証を取得していないため、ここにはそのような記述はありません。また、監査法人とまだ合意していない日付については、推定せず、そう記載しています。

まだ確定した日程はありません。SOC 2のために監査法人と契約しています。観察期間はまだ予定されていないため、ここに公表できるものはありません。監査法人と合意していない四半期を挙げるより、そう正直にお伝えしたいと考えています。予定が決まれば、個別の審査担当者に送るのではなく、ここに日程を掲載します。誰もが同じ約束をもとに当社を評価できるようにするためです。御社のスケジュールがこれに左右される場合はお知らせください。実際の調整状況をお伝えします：sales@infro.io。

SOC 2 Type I

監査法人と契約済み

このページで説明する制御が適切に設計され、特定の日付に存在していたことについての、監査人の意見。時間をかけて運用されたかどうかについては何も述べません。それがType IIです。

観察の開始
未公開
レポートの予定
未公開

完了時には、このページに監査法人名、レポートの日付、対象のトラストサービス基準を掲載し、レポート自体はNDAのもとで提供します。レポートが存在するまでは、監査法人も範囲も、ここでは主張しません。

SOC 2 Type II

監査法人と契約済み

それらの制御が観察期間を通じて有効に運用されたことについての、監査人の意見。これが、セキュリティレビューで実際に求められることの多いレポートです。

観察期間の開始
未公開
観察期間の終了
未公開
レポートの予定
未公開

Type IIの期間は短縮できません。レポートの長さは、観察した期間と同じだけです。期間が動けば、ここの日付も一緒に動き、変更は黙って訂正されるのではなく明記されます。

ISO 27001

検討中

管理策の集合ではなく、情報セキュリティマネジメントシステムの認証。米国外のレビュー担当者は、SOC 2よりも頻繁にこれを求めます。

検討段階です。監査機関との契約も、日付の確約もないため、このページに日付はなく、確約できるものができるまで載せません。ISOが必須要件なら、最初のメールでお知らせください。有用な情報であり、進め方の順序が変わる可能性があります。

当社は現在いかなる認証も保有しておらず、上記のどこにもそれと異なる記載はありません。報告書ができた時点で、このページに監査法人、報告書の日付、対象となる基準を記載し、報告書はNDAのもとで提供します。それまでに提供できるのは、以下の制御一覧、回答集、そして監査の実際の状況についての率直な回答です。署名前に報告書が必要な手続きであれば、交渉するのではなく、待つのが正しい判断です。

これらはいずれも現在実施されており、意図ではなく仕組みを示しています。データベーストリガー、バインディング、デプロイ済みのヘッダーなどです。制御が仕組みではなくポリシーである場合は、そう明記しています。

認証情報とキー

プロバイダーの認証情報は封印され、1つのテナントに紐づく
接続したプロバイダーキーは、データベースではなくWorkerシークレットとして保持される鍵のもとで、AES-256-GCMで暗号化されます。組織と接続の識別子が追加の認証データとして紐づけられるため、封印された認証情報を別のテナントの行、あるいは同じテナントの別の行にコピーしても、復号されずフェイルクローズで失敗します。コスト照合用に接続した認証情報は、それ専用の紐づけのもとで別に封印されます。推論の認証情報はconn:<organization>:<connection>として、コストAPIの認証情報はbilling:<organization>:<provider kind>として紐づけられています。データベースの漏えいだけでは、何も開きません。
どこにも、表示機能はありません
プロバイダーの認証情報は、一度保存されると、どのインターフェースからも返されません。コンソールも、APIも、社内のオペレーターコンソールも同様です。どちらの側からも見えるのは、末尾4文字とタイムスタンプだけです。キーをなくした場合は、プロバイダー側でローテーションしてください。当社からお見せすることはできません。オペレーターコンソールの接続クエリは、封印されたカラムをそもそも選択しません。表示ボタンがあれば、1つの侵害されたセッションが、すべての顧客のベンダーキーに通じてしまいます。
INFROのAPIキーは、保存時にハッシュ化される
ゲートウェイキーは、暗号論的な乱数源から得た32バイトです。保存するのは、そのSHA-256ダイジェスト、表示用のプレフィックス、末尾4文字であり、データベースが漏えいしても使える認証情報は漏えいしません。失効では行を削除せず墓標レコードを書き込むため、拠点間でまだ伝播中の古いキャッシュエントリーによって覆い隠されることはありません。パスワード用のKDFではなくSHA-256を使うのは意図的です。32バイトのランダムな値に対して辞書攻撃は成立せず、KDFを使うとすべてのリクエストに50〜200msの課金対象の計算が加わるためです。
暗号化キーは、お客様の作業なしでローテーションできる
顧客の認証情報を封印する鍵をローテーションすると、保存されているすべての認証情報がその場で再封印されます。顧客に何かを再入力してもらう必要はなく、保存されたアルゴリズムはバージョン文字列を持つため、将来の方式を、切り替え日を設けることなく現行のものと共存させられます。はっきり述べます。バックアップなしにその鍵を失うと復旧できず、すべての顧客が、すべてのプロバイダーを再接続しなければなりません。バックアップと復旧は、運用手順として文書化されています。

お客様のコンテンツ

お客様のデータで学習せず、販売もしません
INFROは、お客様のプロンプト、入力、出力を何かの学習に使用せず、販売もしません。接続したプロバイダーは、お客様自身の契約とアカウント設定のもとでデータを扱います。INFROのログ記録の制御は、それらの設定を変更しませんし、変更できません。このページで、仕組みではなくポリシーである唯一の制御です。利用規約とDPAに記載されており、そこが強制力を持つ場です。
プロンプトと補完のキャプチャは既定でオフ
リクエストのメタデータ（モデル、プロバイダー、ルート、トークン数、レイテンシー、推定コスト）は、計測、予算、ガバナンスがこの製品の本質であるため、常に記録されます。プロンプトと補完の内容は、組織がキャプチャをオンにしない限り記録されません。データベースのカラムは既定でオフで、既定でオンになるプランはありません。org_settings.prompt_logging_enabled。最初のマイグレーションから DEFAULT false NOT NULL。
保持期間はお客様のもので、削除の処理は実際に行われる
キャプチャがオンのときは、期間を24時間、14日、30日、60日、90日、または1年から選べ、保存されるのは、選択した期間とプランの上限のうち短いほうです。そのため、プランが黙って無視する期間をある画面が提示することはありません。スケジュールされたジョブが、期限を過ぎたキャプチャ済みペイロードを、一定の件数ずつ削除します。滞留が、リクエストの経路が書き込んでいるテーブルに対する長いトランザクションにならないようにするためです。すべてのペイロードの行が独自のexpires_atを持ちます。削除処理はプラットフォームの毎分のcronで実行され、その遅延は、オペレーターのアラートを発生させる条件の1つです。削除はフラグではなくDELETEです。
トレースのエクスポートはコピーではなく、許可リスト
OpenTelemetryのスパンをお客様自身のコレクターに送る場合、属性セットはデータベースの行を展開するのではなく、フィールドごとに組み立てられるため、後から追加された内部カラムが、既定でオブザーバビリティのバックエンドに漏れることはありません。コレクターのエンドポイントはHTTPSでなければならず、これはデータベースの制約で強制されます。設定したヘッダーは、他の認証情報と同様に封印されます。INFROが、お客様が選んだサードパーティのホストにお客様のデータを意図的に送る唯一の箇所であり、漏えいが永続的になり得る唯一の箇所です。内部識別子がエンコードされたバイト列に含まれないことを、テストで検証しています。

アクセスと説明責任

監査ログは書き換えられない
ポリシーの変更、認証情報の更新、キーのローテーション、プランの付与、メンバーシップの変更はすべて、実行者とタイムスタンプを記録した新しい行になります。これらの行は、慣習や、サポート用スクリプトが迂回できるアプリケーションコードによるものではなく、データベースのレベルでUPDATE、DELETE、TRUNCATEを拒否します。組織の履歴は、値ではなく記録です。データベースのトリガーによって強制されます。INFROのエンジニアがpsqlのプロンプトから操作しても、侵害されたアプリケーションからでも、こっそり修正することはできません。
顧客とオペレーターのIDは、何も共有しない
顧客コンソールと社内のオペレーターコンソールは、2つの別々のシステムで認証します。テーブル、Cookie名、署名シークレット、オリジンの許可リストがすべて別です。オペレーターのエンドポイントに提示された顧客のセッションは、権限が不足しているのではなく匿名として扱われます。そのシステムが探さない名前を持ち、そのシステムが持たない鍵で署名され、そのシステムが読まないテーブルに対するものだからです。2つの署名シークレットが同一の場合や、2つのオリジンリストが重なっている場合、Workerは起動を拒否します。オペレーターのサインアップは恒久的に無効で、アカウントはプロビジョニングされます。停止したオペレーターの行は、存在確認によって再び入れてしまうことがないよう、あえて保持されます。
オペレーターの二要素認証と、破壊的な操作のステップアップ
TOTPの二要素認証はすべてのオペレーターが利用でき、既定ではオフです。これは意図した判断で、暗黙のままにせず、ここに明記します。オンにすると、すべてのオペレーターセッションでコードの提示が必要になり、パスワードが代わりになることはありません。その設定とは別に、金銭、認証情報、または他のオペレーターのアクセスを変更する操作には、直近15分以内に提示した第2要素が必要です。二要素認証がオフの場合、そのステップアップはパスワードです。10回連続で失敗するとアカウントは15分間ロックされます。証明は、検証フックだけが書き込むセッションごとの要素の行です。そのため、別のブラウザーで発行されたセッションでは何も開きません。コードは1回限り有効で、バックアップコードは使い捨てで、暗号化されて保存されます。
お客様自身のユーザーのための二要素認証、パスキー、セッション
すべてのアカウントで、認証アプリと10個の1回限りのリカバリーコードによる二要素認証を有効にでき、パスキーやハードウェアセキュリティキーを登録でき、これらは単独でサインインするか、パスワードの後の第2ステップとして使えます。オーナーまたは管理者は、組織全体に二要素認証を必須にできます。設定していないメンバーは、設定するまでその組織の何にもアクセスできません。シングルサインオンもこの要件を満たします。IDプロバイダーが独自のMFAを強制するためです。すべてのアカウントで、サインインしている場所を確認し、任意のセッションを終了できます。コードは1回限り有効で、10回失敗するとアカウントは15分間ロックされます。「この端末を記憶する」はありません。要素の削除には、パスワードだけでなく、直近10分以内に提示した第2要素が必要です。パスキーが単独でサインインできるのは、端末がユーザーを検証した場合のみです。メールやSMSによるコードは提供していません。
組織は、リクエストから読み取られることがない
コンソールとオペレーターのエンドポイントは、認証済みセッションから組織を取得し、明示的な引数として渡します。そのため、呼び出し側が指定を省略することはできず、ボディやクエリパラメーターで指定された組織が、攻撃者の制御する入力から下される認可の判断になることもありません。構造的なテストが、実際の行を実際のレスポンス投影に通し、センチネル値を使って、内部識別子や上流のエラーボディが顧客へのレスポンスに決して含まれないことを検証します。

プラットフォームの範囲

3つのすべての画面でセキュリティヘッダー
infro.io、顧客コンソール、オペレーターコンソールは、それぞれContent-Security-Policy、HSTS、X-Content-Type-Options: nosniff、X-Frame-Options: DENY、Referrer-Policy、Permissions-Policy、Cross-Origin-Opener-Policyを送信します。オペレーターコンソールはこれに加えて、リソースポリシーとno-indexディレクティブを追加し、そのサインインページは、インラインスクリプトを一切許可しない、レスポンスごとのnonceポリシーを持ちます。3つのホスト名のいずれに対しても、curl -Iで外部から確認できます。チェックイン済みのスクリプトが、ポリシーを有効にした状態ですべてのルートをクロールし、違反があれば失敗するため、サードパーティのオリジンが黙って追加されることはありません。
送信するWebhookは署名され、途切れなくローテーションできる
当社が送るすべてのWebhookには、タイムスタンプと生のボディ全体に対するHMAC-SHA256署名が付くため、真正性と、ペイロードが転送中に改ざんされていないことの両方を検証できます。シークレットのローテーション中は、配信が新旧両方のシークレットで署名されるため、配信を落とすことなく新しいものに切り替えられます。ヘッダー形式はINFRO-Signature: t=<unix>,v1=<hex>で、検証用コードとともに文書化されています。署名とタイムスタンプがあるからこそ、Webhookは確認すべき通知として扱われ、行動の根拠にはなりません。
文書化された、単一のエラーの形式
ゲートウェイが返すすべての拒否は、公開されている種別とコードのいずれかです。当社側に原因があるものも含みます。リクエストは解析の前にサイズが制限され、タイムアウトではなく文書化された413が返ります。認証、サインイン、リードの各画面は、呼び出し元のネットワークアドレスでレート制限されます。コードを1行書く前に、/docs/api/errorsで全体が公開されています。レート制限ヘッダーは、どれが正確で、どれが上限値かを明記しています。
名前付きのサブプロセッサー一覧と、通知
INFROが利用しているベンダーは/subprocessorsに掲載しており、各ベンダーが実際に何を見られるか、どこで動いているか、新たなベンダーが処理を開始する30日前の通知について記載しています。リクエストを処理するAIプロバイダーは、お客様ご自身が選択して直接契約するもので、INFROのサブプロセッサーではありません。この区別が都合のためではなく実質的なものである理由は、そのページで説明しています。現時点で、名前を挙げたインフラのベンダーは2社です。データベースはフランクフルトで動作し、ゲートウェイはその隣で動作します。リクエストは、呼び出し元がどこにいてもCloudflareのネットワークに入ります。このページはリージョンを示唆するのではなく、そのとおりに記載しています。

このリストがあるのは、これがないとページの他の部分の価値が下がるからです。これらのいずれかが購入の妨げになるなら、評価の4週目ではなく、最初のメールの時点で話し合いたいことです。

現時点でSOC 2もISO 27001もありません
どちらも取得していません。監査には検査対象となる運用実績が必要ですが、当社の実績は短いためです。代わりに、上のロードマップが当社のコミットメントです。レポートが手元にないと進められない審査プロセスであれば、交渉する理由ではなく、待つ理由です。
第三者によるペネトレーションテストはありません
このページの内容は、執筆したチームの外部の誰にも確認されていません。当社は、資産ごとに整理した社内のセキュリティレビューを継続的に行っていますが、これは自己評価です。何かについて考えたことがあるのと、誰かに実際に攻撃を試みてもらったことがあるのとは、違います。
EU内のみ、またはリージョン限定の処理はありません
リクエストは、呼び出し元に最も近い拠点でCloudflareのネットワークに入り、そこでTLSが終端されます。ゲートウェイ自体は、データベースの隣のフランクフルトで動作します。この配置はデータベースへの往復を短縮するもので、データレジデンシーの制御ではなく、リージョン限定の処理には、当社がまだ購入していないインフラの権限が必要です。実際には処理を制限しない欧州風のホスト名は、1回のリクエストで偽りだと分かる主張なので、提供しません。
ホスト型サービスはマルチテナント
すべてのセルフサービスプランでは、組織はホスト型サービスを共有し、組織間の分離は物理的ではなく論理的です。当社のソフトウェアを自社のインフラで動かすことが要件の場合、それはエンタープライズ契約によるセルフホストまたはハイブリッドのデプロイで、契約ごとに範囲を決めて合意します。セルフサービスプランには含まれません。
セルフサービスプランには、公開された稼働率SLAはありません
運用実績のないサービスは、可用性のコミットメントを正直に公開することができないため、公開しません。エンタープライズ契約では、救済措置付きの契約上のSLAを、契約ごとに合意して設定できます。ゲートウェイの稼働状況は、/statusからご自身のブラウザーで確認できます。
SSOとSCIMは新しい機能
SAMLとOIDCのシングルサインオン、およびSCIM 2.0プロビジョニングは実装済みで、Businessプランから含まれ、DNSで検証済みのドメインが前提です。すべてのIDプロバイダーに対して本番で稼働した実績はまだないため、セルフサービスとは呼ばず、各お客様との最初の接続は一緒に設定します。
ガードレールはパターンベース。分類器によるガードレールはありません
チャット補完向けのガードレールは、Businessプランから含まれ、プロンプトとレスポンスを、メールアドレス、電話番号、カード番号、IBAN、米国社会保障番号、IPアドレス、APIキー、お客様が指定する用語といった固定パターンと照合し、一致したものをブロック、マスク、またはフラグ付けします。パターンマッチングは、それらの形式の外にあるものを見逃します。プロンプトインジェクション、ジェイルブレイク、有害性、対象外のリクエストを検出するものはなく、画像、音声、チャット補完以外のエンドポイントは検査されません。リクエストの経路にコンテンツ分類器が必要なレビューの場合、INFROはそれを提供していません。
リクエストごとのコスト上限はありません
予算は、組織、プロジェクト、メンバー、キーが到達できる合計に上限を設け、レート制限はリクエスト量に上限を設けます。まだ存在しないのは、1件の異常に高額なリクエストを拒否する制御です。正当な大きなプロンプトと悪意のあるものは、ゲートウェイにとって同じに見えます。お客様がこの制御を期待するのは当然です。
レート制限は拠点ごとに適用される
制限は、グローバルな1つのカウンターではなく、ゲートウェイが動作する拠点でCloudflareのレート制限サービスによってカウントされます。ゲートウェイはフランクフルトに配置されているため、ほとんどのトラフィックはそこでカウントされますが、配置はルーティングの優先設定であって保証ではなく、他の場所で処理されたトラフィックは別にカウントされるため、キーが一時的に名目上の上限を超えることがあります。これは意図したトレードオフです。グローバルなカウンターを使うと、最大の顧客が、その顧客の上限ではなく当社のアーキテクチャによって絞られてしまうためです。APIドキュメントには、どのレート制限ヘッダーが正確で、どれが上限値かを明記しています。

整っていないものも、整っているものと同じように率直に掲載しています。ここにある項目が購入の妨げになるなら、契約後ではなく今のうちにご相談いただきたいと考えています。

お客様のデータで学習しませんコミット済み
INFROは、お客様のプロンプト、入力、出力を学習に使用することも、販売することもありません。接続したAIプロバイダーによるデータの利用は、お客様とそのプロバイダーとの契約および設定に従います。
コンテンツのログ記録は既定でオフコミット済み
利用メタデータは、プラットフォームの計測、費用の見積もり、ガバナンスに使われます。プロンプトとレスポンスのログ（任意）は既定でオフで、別に保存され、プランの保持期間の範囲に限られます。
キーは保存時にハッシュ化コミット済み
APIキーは、32バイトのCSPRNGで生成した値のSHA-256ダイジェストとして保存されます。データベースが漏えいしても、使える認証情報は漏えいせず、失効時には墓標レコードが書き込まれるため、古いキャッシュエントリーによって失効が覆い隠されることはありません。
追記専用の監査ログコミット済み
監査の行は更新も削除もできません。データベース自体がそれを拒否します。ポリシーの変更、認証情報の更新、キーのローテーション、メンバーシップの変更はすべて、実行者を記録した新しい行になるため、組織の履歴を密かに書き換えることはできません。
サブプロセッサー一覧の公開コミット済み
インフラのベンダーは/subprocessorsに掲載しており、新たなベンダーが処理を開始する30日前に通知します。ただし、そこに記載する緊急時の例外があります。接続するAIプロバイダーは、お客様ご自身で選択し、直接契約します。
SOC 2 / ISO 27001未対応
取得しておらず、取得したとも主張しません。認証には監査の対象となる運用実績が必要ですが、ゲートウェイの運用実績はまだ短いからです。代わりに公開しているのは、/trustのロードマップです。SOC 2については監査法人と契約済みで、観察期間はまだ予定されていません。ISO 27001は検討段階で、監査機関も日付も未定です。どちらも、それ以上のものとして説明していません。日付は、監査法人が合意した時点で掲載し、それより前には掲載しません。
標準契約条項付きのDPAコミット済み
/dpa で全文を公開しており、SCCとUK Addendumを組み込んでいます。締結はコンソールではなくメールで行います。副署のフローはなく、ボタンがあるかのように見せる代わりに、ページにそう明記しています。
EUデータレジデンシー未対応
まだ購入していないインフラの利用権が必要です。ヨーロッパ風に見えるだけのホスト名は、顧客が1回のリクエストで反証できる主張です。そのため、処理を実際に限定できるようになるまでは提供しません。

セキュリティ審査で実際に問われる質問（データの取り扱い、暗号化、鍵管理、アクセス制御、監視、コンプライアンス）への当社の回答を、読み、差分を取り、御社のツールに貼り付けられるプレーンテキストの文書として公開しています。

回答集をダウンロードブラウザで読む

CAIQのスプレッドシートではなく、意図的にMarkdownにしています。CAIQの価値は質問の番号付けにあり、一部だけ記入したものは当社が登録されていないレジストリへの参加を示唆してしまいます。そのため、同じ範囲を審査担当者が読む順序で、御社と当社のツールの両方で差分を取れる形式で扱っています。このページと同じデータから生成しているので、両者が食い違うことはありません。

御社独自の質問票も、どのような形式でもお送りください。答えが「いいえ」のものも含めてすべての質問に回答し、そのうち日程が決まっているものを明記します。sales@infro.ioまでメールでどうぞ。

当社に問い合わせる前にお読みください。いずれも、通話、NDA、営業との会話なしで閲覧できます。

データ処理契約
英国補遺付きの標準契約条項を組み込んだ全文で、侵害通知の義務と保持スケジュールを含みます。締結はメールで行います。コンソールに副署のフローはなく、ボタンがあるかのような示唆はせず、ページにもそう明記しています。
サブプロセッサー
INFROが利用するすべてのベンダー、それぞれが実際に見られる情報、稼働場所、そして新しいベンダーが処理を始める30日前の通知。接続したAIプロバイダーがINFROの再委託先ではない理由も説明しています。
プライバシーポリシー
収集する情報、法的根拠、各カテゴリの保持期間、データ主体が行使できる権利。このページの保持期間と矛盾せず、対になる内容です。
利用規定
承認の道がないカテゴリを含め、このプラットフォーム上で構築してはならないもの、そしてそれが判明したときの対応。問い合わせてくるのがカードネットワークなので、その用語で書いています。
脆弱性開示ポリシー
対象範囲、他の顧客に害を与えずにテストする方法、報告時に当社が約束すること、善意の調査に対するセーフハーバー。/.well-known/security.txtとしても公開しています。
利用規約
商取引契約、運営主体とその準拠法、契約終了時のアカウントの扱い。
エラーの分類
ゲートウェイが返しうるすべての拒否を、それに対してコードを書く前に公開しています。お客様ではなく当社に原因があるものも含めてです。
データの取り扱い（APIリファレンス内）
フィールドごとに：すべてのリクエストで記録されるもの、組織が取得をオンにしたときに追加されるもの、保持期間の適用方法。上で説明した保持の制御の、エンジニア向けの版です。
キーと認証
ゲートウェイキーの発行方法、プロジェクトと環境への範囲の限定、ロールによる絞り込み、失効の方法。組織内の誰にキーを渡すかを決める人のために書いています。
AI APIキーのセキュリティ
ゲートウェイがある場合とない場合のプロバイダーキーの置き場所、プロバイダーを呼び出す前にすべてのゲートウェイキーが通る4つのチェック、キーが漏えいした最初の1時間にすべきこと。

何か見つけましたか？

security@infro.ioまでお送りください。このメールボックスは修正できる担当者が読んでおり、サポートではなく脆弱性の報告用です。

範囲、テストのルール、セーフハーバーの全文：脆弱性開示ポリシー。

  • 1営業日以内に受領をお知らせし、調査中も状況をお伝えします。すでに把握していた問題だった場合も同様です。
  • 善意の調査はここでは安全です。プライバシーの侵害、サービスの劣化、他者のデータの破壊や持ち出しを避けたテストに対して、当社が法的措置を取ることはありません。
  • バグバウンティプログラムはなく、報酬もありません。作業の後で知るより、前に知っておく方がよいので、最初にお伝えします。
  • 商談や調達に関する質問は別の窓口へ。セキュリティ審査や質問票はsales@infro.io、既存のアカウントについてはsupport@infro.ioまでご連絡ください。