Sécurité
Politique de divulgation responsable
Chez Hector, nous prenons au sérieux la sécurité de notre plateforme et des données de nos clients. Si vous croyez avoir découvert une vulnérabilité dans Hector, y compris dans ses fonctionnalités d’IA, nous voulons en être informés. Cette politique explique comment nous la signaler et ce à quoi vous pouvez vous attendre de notre part.
Comment signaler une vulnérabilité
Écrivez-nous en indiquant « Sécurité » dans l'objet. Les signalements sont acceptés en français ou en anglais.
[email protected]Veuillez inclure :
- Une description de la vulnérabilité et l'URL ou la fonctionnalité touchée
- Les étapes détaillées pour la reproduire
- L'impact observé, avec des captures d'écran ou une preuve de concept si possible
- Vos coordonnées pour que nous puissions faire un suivi
Portée
Cette politique couvre
- L'application Web Hector et son API
- Les agents Hector (Pheidix et Odysseus)
- Gaia, les fonctionnalités d'IA intégrées à Hector
Sont exclus
- Les attaques par déni de service
- L'ingénierie sociale ou l'hameçonnage visant notre personnel ou nos clients
- Les attaques physiques
- Les vulnérabilités des services tiers avec lesquels nous nous intégrons (veuillez les signaler au fournisseur concerné)
- Les signalements de bonnes pratiques manquantes sans impact démontré sur la sécurité
Vulnérabilités propres à l'IA
Nous accueillons particulièrement les signalements concernant Gaia, notamment :
Injection de requêtes (prompt injection)
Du contenu qui amène Gaia à ignorer ses instructions ou à se comporter de façon imprévue.
Résultats dangereux ou trompeurs
Des résultats d'IA qui pourraient causer un préjudice ou que Hector présente sans les mesures de protection appropriées.
Fuite de données
Tout moyen d'obtenir les données d'un autre client, nos instructions ou des identifiants au moyen des requêtes ou des réponses de l'IA.
Utilisation abusive de l'IA
Le contournement des limites de crédits d'IA ou l'utilisation des fonctionnalités d'IA sans autorisation.
Les faiblesses des modèles d'IA eux-mêmes, comme un contournement général des protections d'un modèle, devraient aussi être signalées au fournisseur du modèle. Nous voulons tout de même en être informés si elles touchent Hector.
Règles pour les tests
- Effectuez vos tests uniquement sur des comptes et des données qui vous appartiennent ou que vous êtes autorisé à utiliser.
- N'accédez pas aux données d'autrui et ne les modifiez ni ne les supprimez. Si vous tombez sur de telles données, arrêtez et signalez-le-nous.
- N'effectuez pas d'attaques par déni de service ni d'analyses automatisées à volume élevé. Nos systèmes peuvent bloquer ce trafic automatiquement.
- Accordez-nous un délai raisonnable pour corriger le problème avant de le divulguer publiquement.
Ce à quoi vous pouvez vous attendre
- Nous accuserons réception de votre signalement dans un délai de 3 jours ouvrables.
- Nous vous transmettrons une évaluation initiale, incluant la gravité, dans un délai de 10 jours ouvrables.
- Nous vous tiendrons informé de nos progrès jusqu'à la résolution du problème.
- Avec votre permission, nous vous attribuerons le mérite de votre découverte.
Nos délais cibles de correction
Calculés à partir de la confirmation de la vulnérabilité.
Protection juridique
Si vous faites un effort de bonne foi pour respecter cette politique, nous considérerons votre recherche comme autorisée, nous n'intenterons aucune poursuite contre vous et nous collaborerons avec vous pour comprendre et résoudre rapidement le problème.
Nous n'offrons actuellement aucune récompense monétaire pour les signalements de vulnérabilités.
Vous avez trouvé une vulnérabilité ?
Écrivez à [email protected] avec « Sécurité » dans l'objet.