Приватность

Безопасность

Сообщите об уязвимости

Как рассказать нам о проблеме безопасности в Antimatter, о чем мы просим вас во время проверки и как сегодня защищены аккаунты и деньги.

Сообщить о проблеме

Напишите, что вы нашли, как это воспроизвести и что это позволяет сделать. Пришлите самое маленькое доказательство, которое это показывает.

Контакт по безопасности

Контакт по безопасности скоро появится. Пока оператор его не задал, эта страница и security.txt не называют никакого, чтобы не выдумывать.

Программы вознаграждений здесь нет.

Во время проверки

  • Проверяйте только на своем аккаунте, своими ключами и своими деньгами.
  • Никогда не читайте, не меняйте и не удаляйте чужие данные. Остановитесь и сообщите нам, как только доберетесь до них.
  • Средства и пополнения это настоящие деньги. Докажите уязвимость в них на самой маленькой сумме, ничего из полученного не оставляйте себе и скажите, что вы взяли, чтобы это можно было вернуть.
  • Никаких атак на отказ в обслуживании, флуда, спама и социальной инженерии против людей или оператора.
  • Дайте оператору время исправить проблему, прежде чем говорить о ней публично.

Что сюда входит

Сайт, API по адресу /v1, размещенный MCP-сервер на /mcp и код, который их обслуживает.

Не входит: сервисы, на которые опирается Antimatter (провайдеры моделей, Privy, кошельки, блокчейны), уже скомпрометированное устройство или браузер, а также отсутствующий заголовок или настройка, которые никому ничего не позволяют сделать.

Как защищены аккаунты и деньги

Каждая строка это правило, которое код соблюдает сегодня.

  1. Вход это подпись вашего кошелька под сообщением, которое используется один раз. Пароля, который можно украсть, нет.
  2. Сессия длится 30 дн., продлевается, пока вы ею пользуетесь, и ее можно завершить с любого другого устройства на панели.
  3. Удаление аккаунта, создание или расширение ключа, который управляет деньгами или агентами, и любое действие оператора требуют свежей подписи кошелька, действующей 5 мин.
  4. API-ключи хранятся только в виде хеша SHA-256 и показываются один раз, при создании.
  5. Ключи провайдеров, которые вы сохраняете, зашифрованы при хранении и больше никогда не показываются.
  6. Любое изменение с вашим cookie входа должно приходить со страниц самого этого сайта.
  7. Страницы работают под политикой безопасности контента, которая запускает только скрипты с собственным свежим nonce этой страницы.
  8. Действия с аккаунтами и действия оператора записываются в журнал аудита, в который можно только добавлять.
  9. Использование и журнал операций запечатываются каждый день, поэтому квитанцию можно проверить, не доверяя нам.
Antimatter