安全与数据边界

当前安全状态

Rocket Agent 0.1.0 Alpha 当前处于 internal-alpha 通道，开放邮箱验证式自助试用并保留受控企业 Pilot，但仍不是一般可用的生产 SaaS。当前商业范围是 Facebook 与 TikTok 的公开研究，以及默认关闭、人工审批式外联；TikTok 外联、无人值守发送、内容与增长能力仍关闭。

本页只描述已经进入仓库的技术控制，不把配置模板、测试脚本或未来设计当作已完成的生产证据。每个 Pilot 的真实云资源、域名、处理商、支持与事件联系人必须在开通前另行确认。

身份与会话

• 密码保护服务端保存密码哈希而非明文，当前哈希栈以 Argon2 为首选并兼容迁移已有 Bcrypt 哈希。
• 短期访问令牌产品登录通常签发 15 分钟访问令牌；轮换刷新会话最长为 30 天，服务端只保存刷新令牌哈希。
• 重放防护刷新令牌轮换并绑定 Session family；检测到已替换令牌重放时，会撤销该令牌家族。修改密码后可撤销既有会话。
• Website Cookie认证和租户 Cookie 为 HttpOnly、SameSite=Lax；在生产 HTTPS 环境设置 Secure。Organization 与 Workspace 标识在写入前验证格式。
• 邮箱验证式自助注册公开注册只接收邮箱和可选姓名，不接受提交者预设密码；待验证账号使用不可知随机密码哈希。只有邮箱持有人在一次性验证页面设置最终密码后，才会在同一事务中激活账号并创建企业、默认工作区和试用套餐。入口受 IP 限流和服务端紧急开关保护。

Organization、Workspace 与权限

FastAPI 与 PostgreSQL 是用户、Organization、Workspace、套餐、额度、用量和审计记录的唯一业务事实来源；Website 和 Desktop 不建立第二套身份或计费数据库。

业务记录带有 Organization 与 Workspace 范围，服务端在请求、任务、账号、候选客户和工作流边界执行租户与角色检查。成员角色和邀请由组织边界管理，删除组织或 Workspace 时相关数据使用数据库外键边界处理。

这些控制降低跨租户访问风险，但不是形式化验证或零风险声明。正式版本仍需保留每个候选版本的租户隔离回归、权限用例和数据库迁移证据。

Desktop 与浏览器隔离

• 本机 Profile每个社交账号使用独立本机 Profile，包含浏览器引擎、指纹种子、代理绑定、语言、时区与平台登录态。云端只保存选定浏览器引擎与有限账号元数据。
• 操作系统安全存储Desktop 产品令牌、代理凭据和 Profile 索引使用 Electron safeStorage 加密保存；渲染页面不会收到产品访问令牌或保存的 API 密钥。
• 回环调试端点浏览器 CDP 绑定到 127.0.0.1，只允许拥有 Profile 的 Desktop Host 使用；CDP URL、DevTools WebSocket 和完整 Profile 路径不得进入云端、日志或持久化合同。
• Cookie 不上传Facebook/TikTok 身份检查在浏览器旁执行，只上传有限账号 ID、显示名称、用户名、头像与规范主页 URL；Cookie 与 storage state 留在客户设备。
• 代理密码隔离认证代理通过随机回环桥接，密码不会写入 Chromium 命令行或暴露给渲染层。连续代理失败会触发有界熔断。

只读研究的安全策略

公开性是硬性准入条件，不是模型分数。每条进入证据库的公开内容都必须带有与平台和记录类型匹配的公开可见性证明；个人私密 Facebook Profile、缺少 TikTok publicAccount 证明的账号和名称模糊搜索会失败关闭。

自适应研究以单平台、单账号、单任务为边界。首版控制器最多预留 20 个动作、30 次文档导航和 600 秒运行时长，并对每类动作、页面数量、近期内容数量和结果体积设置额外限制。服务端与 Desktop 会分别重新验证平台、账号、目标、权限、Feature Flag、预算和截止时间。

• 最小化采集首版公开 Profile 采集不收集关系图谱、好友、共同好友、生日、推断属性、私密联系方式、Cookie、请求头、完整响应或页面正文。
• 证据落地会影响评分或关闭证据缺口的 AI 结论必须指向已验证公开证据；无法逐字支持的产品、数量、意向、身份或市场结论保持未知。
• 外部动作关闭精确白名单内的 Facebook 账号只可发送服务端草稿，并要求不同审核人逐条批准、短时发送前校验、账号级限额、绑定回执和不自动重试。TikTok 外联、无人值守发布、内容和增长能力仍关闭。

AI、密钥与存储

AI Gateway 允许管理员配置平台模型，也支持用户自带密钥。后端中的模型提供商凭据使用版本化应用密钥环加密，提供商 URL 默认要求远程 HTTPS 并拒绝不安全的字面地址；请求预算、用量、成本、延迟、状态和安全错误类型会进入受控记录。

模型请求会把完成任务所需的指令、相关业务上下文和选择后的公开证据片段发送到当前部署配置的模型提供商。提供商身份、数据地域、保留策略和是否允许训练必须在真实数据 Pilot 文件中确定，不能从“本地 Desktop”推断为所有 AI 都在本机运行。

仓库支持本地、阿里云 OSS 与 S3 兼容对象存储；云存储适配器会请求服务端加密。外部 KMS、真实 Bucket 策略、备份、恢复和跨边界副本仍取决于生产部署，因此本页不声称它们已经在当前环境完成。

审计、故障恢复与诊断

• 服务端审计任务、工具调用、审批、用量与商业控制面记录保留租户范围和调用上下文；Agent 运行事件采用追加式记录，副作用在审批不可用时默认拒绝。
• 错误最小化模型失败记录安全的异常类型而不是提供商响应正文或凭据；Desktop 日志会对识别出的令牌、Cookie、密码和 API Key 做掩码。
• 本机恢复Desktop 加密状态采用版本化、临时文件替换与备份轮换。主文件损坏时隔离并尝试有效备份；主备都无效时失败关闭。
• 诊断由客户主动提供崩溃转储与诊断默认只保存在本机，不自动上传。诊断可能包含路径、Workspace/Session ID 和内存片段，上传前必须检查并按敏感数据处理。

发布与供应链边界

生产 Desktop 配置必须使用非本机 HTTPS 云 API，并拒绝 HTTP、本机地址和 .invalid 占位域名。生产下载只有在 HTTPS URL、版本、SHA-256 与预期签名发布者元数据完整时才会展示。

可选浏览器 Runtime 使用固定版本、完整 SHA-256、文件树校验、安全 ZIP 解压和 Ed25519 签名 Manifest。生产发布还要求不可变的公司 OSS/CDN 镜像与发布级离线密钥。

当前仓库中的 Runtime 签名仍为开发信任，已有 Runtime 二进制的 Authenticode 尚未得到生产证明，正式 Windows 安装包、源码到制品 attestation 与 clean-VM 安装、升级、回滚、卸载证据仍需完成。因此当前开发包不能被宣传为正式签名商用版本。

当前没有作出的承诺

截至更新日期，Rocket Agent 不声称已经完成或取得以下事项：

• SOC 2、ISO 27001、等保、PCI DSS、GDPR 或其他外部认证、鉴证或法律合规结论。
• 独立渗透测试、完整供应链扫描、正式 SBOM、签名来源证明或 72 小时受支持负载验收。
• 生产 PostgreSQL、对象存储、PITR、异地备份、RDS 手工故障切换、告警送达和事件演练已经在某个客户环境完成。
• 正式签名 Windows/macOS 安装包、自动更新、回滚与支持生命周期已经闭环。
• MFA、SSO、设备凭据、全局限流、自动数据导出/删除、法律保留或一般可用性 SLA 已经上线。

安全报告与共同责任

发现疑似漏洞、越权、数据泄露或异常账号活动时，请停止相关任务，通过试点联系入口选择安全问题，并提供不含真实密码、Cookie、令牌或不必要个人数据的最小复现信息。不要在未协调前公开利用细节或向生产环境执行破坏性测试。

客户负责保护其设备、邮箱、社交账号、代理与成员权限，及时安装经验证的更新，并只向获授权人员提供 Workspace 访问。Rocket Agent 负责在约定的服务边界内运行控制、调查已确认问题并按照签署 Pilot 的事件流程沟通。

正式安全邮箱、事件联系人、响应时段和通知要求必须在真实 Pilot 文件中配置；在这些信息缺失时，本网页不会展示占位邮箱或虚构响应 SLA。