Confianza
Esto es lo que el sistema impone por construcción, y los límites que ya conocemos — antes de que tu cuestionario lo pregunte.
Impuesto por construcción
Cada lectura se recorta a quien pregunta dentro de la propia consulta, no en el código después, así que un hecho, un resumen o un pasaje que no puedes ver nunca se monta ni se cuenta. Quien no podemos identificar ve solo lo público — nunca la vista de un operador — y nada que alguien ponga en una petición amplía eso.
Cuando la memoria escribe una frase a partir de cinco documentos, solo quien puede ver los cinco puede ver esa frase: combinar fuentes solo puede estrechar los permisos, nunca ampliarlos. Y donde no se pueden leer los permisos de una fuente, el conector cae a una audiencia más estrecha — la cuenta que trajo el documento — y no a toda la firma.
Toda cita se resuelve contra el conjunto cerrado de pasajes que el propio motor puso delante del modelo, así que una referencia a un pasaje que no existe no sobrevive. Cuando preguntas, el modelo elige entre etiquetas que el motor traduce de vuelta en vez de nombrar él mismo una ubicación, y todo lo que puedes pulsar abre un pasaje real de la evidencia reunida bajo tus permisos.
Un esquema de base de datos y un prefijo de almacenamiento por firma: ninguna tabla compartida guarda los documentos, los hechos ni los pasajes de un cliente. Las únicas tablas que todas las firmas comparten son registros de cuenta, facturación y sesión, y ninguno guarda nada de lo que la memoria aprendió. Donde quieras que la propia base de datos sostenga la línea, las consultas de una firma pueden correr como un rol sin privilegio sobre nada más que su propio esquema — obligatorio en nuestro servicio alojado, y disponible y desactivado por defecto en un despliegue que tú operas, como segunda capa detrás del límite de esquema. Una firma cuyo rol falta se rechaza, nunca se sirve con uno compartido.
La lista de salida permitida contiene por defecto el endpoint del modelo y nada más. No hay telemetría ni comprobación de actualizaciones que desactivar, porque nunca se construyeron, y el archivo de licencia es informativo: nada se comprueba contra nosotros. Los componentes se niegan a arrancar cuando su configuración contradice la lista, y quien aplica la red es tu cortafuegos. Esto se aplica a un despliegue que tú operas, no al servicio alojado. Deja la lista vacía y no sale nada, ni siquiera hacia el modelo, así que no se lee nada nuevo; la búsqueda pasa a ordenar por palabras clave sobre lo que ya se ha leído.
Cada observación, hecho, corrección y retractación es una entrada en un registro que nunca se reescribe: una corrección es una entrada nueva y la anterior sigue legible. Todo lo que lees en una página se deriva de ese registro, y se reconstruye reproduciéndolo en vez de repararse en el sitio.
Las credenciales del modelo se cifran en reposo con la clave de tu propio despliegue, un texto cifrado por firma, y se borran cuando se borra la firma. Con inicio de sesión único, la pasarela llega a tu proveedor de identidad y al de nadie más. Solo la extracción y las respuestas redactadas necesitan que un modelo esté accesible; todo lo ya leído sigue siendo buscable sin él.
Lo que todavía no hacemos
Las acciones administrativas se registran y tu propio administrador puede leerlas: quién aprovisionó una memoria, quién concedió o revocó acceso, quién cambió el esquema. También guardamos un contador de cada llamada de agente — qué persona, en qué memoria, con qué herramienta y cuándo — aunque ese lo leemos nosotros y todavía no tú. Debajo, ahora se registra cada respuesta: quién preguntó, qué preguntó y qué documentos citó la respuesta, y se conserva 90 días por defecto. Algunas puertas quedan fuera de ese registro: planificar una pregunta, guardar algo que un asistente le pidió recordar, leer el vocabulario de la memoria, las operaciones administrativas y descargar directamente un archivo almacenado. Una solicitud a una firma que ya no existe no se puede registrar en absoluto, porque no hay dónde escribirla.
El registro de lecturas y el rastro administrativo se exportan ambos como archivo para cualquier periodo, así que puedes entregarle uno a un auditor, y las lecturas se conservan 90 días por defecto. Lo que falta es el autoservicio: el registro de lecturas no tiene pantalla en la consola, y en el servicio alojado hacemos su exportación para tu administrador a petición. En nube privada y autoalojamiento, la ejecuta directamente quien tenga la credencial de operador del despliegue.
Cuando un sistema que conectaste le quita un documento a alguien, el siguiente sondeo lo nota y el documento sale de la lista de esa persona dentro del intervalo de ese conector — cinco minutos por defecto. Todo lo derivado de él lo sigue. En el mismo paso se retractan los hechos, resúmenes y pasajes extraídos bajo la audiencia anterior, así que una cita que un lector revocado ya tiene deja de abrirse.
El trabajo que ya está en curso en ese momento puede citar brevemente un documento revocado; la siguiente sincronización de ese documento lo repara.
Esto solo aplica donde la fuente guarda permisos por documento: Google Drive, SharePoint y OneDrive, Box, Confluence, Slack y Gmail, y nuestra propia unidad. Una carpeta vigilada, Salesforce, HubSpot y Affinity, un proyecto de Jira, un espacio de Notion y DocuSign se capturan con una única audiencia de toda la firma, así que no hay revocación por documento que podamos seguir.
Suponemos que todo documento capturado es hostil, y limitamos lo que su texto puede provocar en vez de intentar reconocerlo: nada de lo que diga puede ampliar los permisos de su fuente ni producir una cita fuera de los pasajes que eligió el motor.
No incluimos un clasificador que reconozca intentos de inyección, y no afirmamos tenerlo. Además, cada fuente corre en su propio proceso, de modo que la credencial que llega a tu unidad y el contenido no fiable que trae se mantienen separados.
El sistema está hecho para un número pequeño de firmas con mucho material cada una, y algunas protecciones siguen escritas para un proceso y no para una flota: el freno a los intentos repetidos de inicio de sesión guarda su cuenta en memoria, así que detrás de más de una instancia frena por instancia.
Destruir una firma tira su esquema y su prefijo de almacenamiento — el libro, los pasajes, los hechos, los resúmenes y el índice de búsqueda se van con ellos —, borra sus credenciales guardadas y limpia sus sesiones. Lo que sobrevive es la fila que dice que esa firma existió — con su nombre retirado y nunca reutilizable —, los registros de uso que apuntan a ella, las filas de derechos que decían quién podía alcanzarla, dejadas inertes en vez de borradas, y el rastro administrativo de lo que se le hizo, que conservamos a propósito.
Eliminar un solo documento es más limitado. Los hechos, resúmenes y pasajes extraídos de él se retractan, de modo que nada derivado de él vuelve a responder una pregunta. Lo que no se borra son los bytes del propio archivo, la entrada del registro que deja constancia de que lo leímos y el texto del prompt de cualquier trabajo ya encolado sobre él — esto último durante unos días, hasta que caduca. El registro es de solo anexado por diseño: así cada respuesta sigue siendo rastreable hasta su origen. Si necesitas que los bytes desaparezcan y no solo que queden inalcanzables, destruir la firma es la operación que hoy lo hace.
Las copias de seguridad son la excepción. Los datos de una firma destruida siguen dentro de las copias ya tomadas hasta que tu propia retención las caduca, y nada de lo que operamos llega a ellas.
Cada pasada sobre un documento envía al lector un número acotado de pasajes. La mayoría de los documentos caben enteros. Uno que no cabe — un informe escaneado de varios cientos de páginas — se lee hasta ese límite, y lo que queda más allá no se extrae en esa pasada. Un documento subido con éxito no necesariamente se ha entendido de principio a fin. Estamos haciendo esto reanudable para que cada pasaje se lea exactamente una vez; hasta entonces, supón que un documento muy largo está cubierto al principio y no de un extremo a otro.
Lo que una cita no establece es que el pasaje respalde la frase. El modelo elige qué pasaje real lleva cada frase, y puede elegir uno que no la parafrasee. La comprobación que tiene un lector es aquella para la que construimos la cita: ábrela y mira. Estamos añadiendo comprobaciones automáticas de cifras, periodos y monedas, que retendrán una afirmación en vez de mostrarla sin verificar.
Esta lista es lo que conocemos. Si tu revisión encuentra algo que no nombra, dínoslo y lo añadiremos aquí.
¿Preguntas sobre seguridad?
Preguntas sobre acceso, despliegue o cualquier cosa de esta página: escríbenos.
Los papeles, mientras tanto: nuestro acuerdo de tratamiento de datos y los subencargados con los que operamos el servicio.