Vertrauen
Das ist, was das System durch seine Bauweise durchsetzt, und die Grenzen, die wir bereits kennen — bevor Ihr Fragebogen danach fragt.
Durch Bauweise durchgesetzt
Jeder Lesezugriff wird in der Abfrage selbst auf die fragende Person zugeschnitten, nicht nachträglich im Code, sodass ein Fakt, eine Zusammenfassung oder eine Passage, die Sie nicht sehen dürfen, nie zusammengesetzt und nie mitgezählt wird. Wen wir nicht identifizieren können, der sieht nur Öffentliches — nie die Sicht eines Betreibers —, und nichts, was jemand in eine Anfrage schreibt, kann das erweitern.
Wenn das Gedächtnis einen Satz aus fünf Dokumenten schreibt, sehen diesen Satz nur Personen, die alle fünf sehen dürfen: Quellen zu kombinieren kann Berechtigungen nur verengen, nie erweitern. Und wo sich die Berechtigungen einer Quelle nicht lesen lassen, fällt der Konnektor auf ein engeres Publikum zurück — das Konto, das das Dokument geholt hat — und nicht auf die ganze Firma.
Jede Quellenangabe wird gegen die geschlossene Menge der Passagen aufgelöst, die die Engine selbst dem Modell vorgelegt hat, sodass ein Verweis auf eine nicht existierende Passage nicht bestehen bleibt. Wenn Sie eine Frage stellen, wählt das Modell aus Kennungen, die die Engine zurückübersetzt, statt selbst einen Ort zu nennen, und alles, was Sie anklicken können, öffnet eine echte Passage aus den unter Ihren Berechtigungen zusammengestellten Belegen.
Ein Datenbankschema und ein Objektspeicher-Präfix pro Firma: keine gemeinsame Tabelle enthält die Dokumente, Fakten oder Passagen eines Kunden. Die einzigen Tabellen, die alle Firmen teilen, sind Konto-, Abrechnungs- und Sitzungsdaten, und keine davon enthält etwas, das das Gedächtnis gelernt hat. Wo die Datenbank selbst die Grenze halten soll, können die Abfragen einer Firma unter einer Rolle laufen, die nur auf ihrem eigenen Schema Rechte hat — auf unserem gehosteten Dienst verpflichtend, auf einer Bereitstellung, die Sie selbst betreiben, verfügbar und standardmäßig aus, als zweite Schicht hinter der Schemagrenze. Eine Firma, deren Rolle fehlt, wird abgewiesen, nie über eine gemeinsame bedient.
Die Egress-Allowlist enthält standardmäßig den Modell-Endpunkt und sonst nichts. Es gibt keine Telemetrie und keine Update-Prüfung zum Abschalten, weil beides nie gebaut wurde, und die Lizenzdatei ist rein informativ: Nichts wird bei uns geprüft. Komponenten verweigern den Start, wenn ihre Konfiguration der Liste widerspricht, und die Netzwerkdurchsetzung ist Ihre Firewall. Das gilt für eine Bereitstellung, die Sie selbst betreiben, nicht für den gehosteten Dienst. Leeren Sie die Liste, und nichts verlässt das System, auch nicht zum Modell, also wird nichts Neues gelesen; die Suche rankt dann nach Schlüsselwörtern über das bereits Gelesene.
Jede Beobachtung, jeder Fakt, jede Korrektur und jeder Widerruf ist ein Eintrag in einem Journal, das nie umgeschrieben wird — eine Korrektur ist ein neuer Eintrag, und der alte bleibt lesbar. Alles, was Sie auf einer Seite lesen, ist aus diesem Journal abgeleitet und wird durch dessen erneutes Abspielen neu aufgebaut, statt an Ort und Stelle repariert zu werden.
Modell-Zugangsdaten werden im Ruhezustand unter dem Schlüssel Ihrer eigenen Bereitstellung verschlüsselt, ein Chiffrat pro Firma, und mit der Firma gelöscht. Mit Single Sign-on erreicht das Gateway Ihren Identitätsanbieter und keinen anderen. Nur Extraktion und ausformulierte Antworten brauchen ein erreichbares Modell — alles bereits Gelesene bleibt ohne eines durchsuchbar.
Was wir noch nicht tun
Administrative Handlungen werden aufgezeichnet, und dein eigener Administrator kann sie lesen: wer ein Gedächtnis bereitgestellt, wer Zugriff erteilt oder entzogen, wer das Schema geändert hat. Wir führen außerdem einen Zähler über jeden Agentenaufruf — welche Person, in welchem Gedächtnis, über welches Werkzeug, wann —, den allerdings wir lesen und noch nicht du. Darunter wird inzwischen jede Antwort protokolliert: wer gefragt hat, was gefragt wurde und welche Dokumente die Antwort zitiert hat, standardmäßig 90 Tage lang aufbewahrt. Einige Türen liegen außerhalb dieses Protokolls: eine Frage planen, etwas speichern, das ein Assistent sich merken sollte, das Vokabular des Gedächtnisses lesen, die administrativen Operationen und eine gespeicherte Datei direkt abrufen. Eine Anfrage an eine Firma, die es nicht mehr gibt, lässt sich gar nicht protokollieren, weil es keinen Ort gibt, an den sie geschrieben werden könnte.
Die Leseaufzeichnung und das Administrationsprotokoll lassen sich beide für jeden beliebigen Zeitraum als Datei exportieren, sodass Sie einem Prüfer eine übergeben können; Lesezugriffe werden standardmäßig 90 Tage aufbewahrt. Was fehlt, ist die Selbstbedienung: Für die Leseaufzeichnung gibt es in der Konsole keinen Bildschirm, und im gehosteten Dienst führen wir ihren Export auf Anfrage für Ihren Administrator aus. In der Private Cloud und im Self-Hosting führt ihn direkt aus, wer die Betreiber-Zugangsdaten der Installation hält.
Wenn ein angebundenes System jemandem ein Dokument entzieht, bemerkt das die nächste Abfrage, und das Dokument verschwindet innerhalb des Intervalls dieses Konnektors aus der Dokumentliste dieser Person — standardmäßig fünf Minuten. Alles daraus Abgeleitete folgt. Im selben Schritt werden die Fakten, Zusammenfassungen und Passagen zurückgezogen, die unter dem alten Publikum extrahiert wurden, sodass eine Quellenangabe, die ein entzogener Leser schon hat, sich nicht mehr öffnet.
Arbeit, die in diesem Moment bereits läuft, kann kurzzeitig ein entzogenes Dokument zitieren; die nächste Synchronisierung dieses Dokuments behebt das.
Das gilt nur, wo die Quelle überhaupt Berechtigungen je Dokument führt: Google Drive, SharePoint und OneDrive, Box, Confluence, Slack und Gmail sowie unser eigenes Laufwerk. Ein beobachteter Ordner, Salesforce, HubSpot und Affinity, ein Jira-Projekt, ein Notion-Workspace und DocuSign werden mit einem einzigen firmenweiten Publikum erfasst — es gibt dort keinen Entzug je Dokument, dem wir folgen könnten.
Wir gehen davon aus, dass jedes erfasste Dokument feindselig ist, und begrenzen, was sein Text bewirken kann, statt ihn erkennen zu wollen: nichts, was darin steht, kann die Berechtigungen seiner Quelle erweitern oder eine Quellenangabe außerhalb der von der Engine ausgewählten Passagen erzeugen.
Wir liefern keinen Klassifikator, der Injection-Versuche erkennt, und behaupten auch keinen. Jede Quelle läuft zudem in einem eigenen Prozess, sodass die Zugangsdaten für Ihr Laufwerk und die nicht vertrauenswürdigen Inhalte, die sie zurückbringen, voneinander getrennt bleiben.
Das System ist für eine kleine Zahl von Firmen mit jeweils sehr viel Material gebaut, und manche Schutzmechanismen sind noch für einen Prozess statt für eine Flotte geschrieben: die Bremse bei wiederholten Anmeldeversuchen hält ihren Zähler im Speicher, bremst hinter mehr als einer Instanz also pro Instanz.
Eine Firma zu zerstören verwirft ihr Schema und ihr Speicherpräfix — das Journal, die Passagen, die Fakten, die Zusammenfassungen und der Suchindex gehen mit —, löscht ihre hinterlegten Zugangsdaten und räumt ihre Sitzungen ab. Was überlebt, ist die Zeile, die besagt, dass es diese Firma gab — ihr Name stillgelegt und nie wieder verwendbar —, die Nutzungsdaten, die darauf verweisen, die Berechtigungszeilen, die benannten, wer sie erreichen durfte und die inert liegen bleiben statt entfernt zu werden, und die administrative Spur dessen, was mit ihr getan wurde, die wir absichtlich behalten.
Ein einzelnes Dokument zu löschen ist enger gefasst. Die daraus gewonnenen Fakten, Zusammenfassungen und Passagen werden zurückgezogen, sodass nichts daraus Abgeleitetes erneut eine Frage beantwortet. Nicht gelöscht werden die Bytes der Datei selbst, der Journaleintrag darüber, dass wir sie gelesen haben, und der Prompt-Text bereits eingereihter Arbeit dazu — Letzteres für einige Tage, bis es verfällt. Das Journal ist bewusst nur anfügend: So bleibt jede Antwort auf ihren Ursprung zurückführbar. Wenn Bytes wirklich weg sein müssen und nicht nur unerreichbar, ist das Zerstören der Firma heute der Vorgang, der das leistet.
Backups sind die Ausnahme. Die Daten einer zerstörten Firma bleiben in bereits erstellten Backups, bis Ihre eigene Aufbewahrungsfrist sie auslaufen lässt, und nichts, was wir betreiben, greift in sie ein.
Jeder Durchgang über ein Dokument schickt dem Leser eine begrenzte Anzahl Passagen. Die meisten Dokumente passen ganz hinein. Eines, das nicht passt — ein gescannter Bericht über mehrere hundert Seiten — wird bis zu dieser Grenze gelesen, und was dahinter liegt, wird in diesem Durchgang nicht extrahiert. Ein erfolgreich hochgeladenes Dokument ist nicht zwangsläufig von Anfang bis Ende verstanden worden. Wir machen das gerade fortsetzbar, damit jede Passage genau einmal gelesen wird; bis dahin gilt: Ein sehr langes Dokument ist eher an seinem Anfang abgedeckt als durchgehend.
Was eine Quellenangabe nicht belegt, ist, dass die Passage den Satz stützt. Das Modell wählt, welche echte Passage ein Satz trägt, und es kann eine wählen, die ihn nicht wiedergibt. Die Prüfung, die ein Leser hat, ist die, für die wir die Quellenangabe gebaut haben: öffnen und nachsehen. Wir ergänzen automatische Prüfungen für Zahlen, Zeiträume und Währungen, die eine Aussage zurückhalten, statt sie ungeprüft zu zeigen.
Diese Liste ist das, was wir kennen. Wenn Ihre Prüfung etwas findet, das sie nicht nennt, sagen Sie es uns, und wir ergänzen es hier.
Fragen zur Sicherheit?
Fragen zu Zugriff, Bereitstellung oder allem auf dieser Seite — schreiben Sie uns.
Die Unterlagen in der Zwischenzeit: unser Auftragsverarbeitungsvertrag und die Unterauftragsverarbeiter, mit denen wir den Dienst betreiben.