אמון
זה מה שהמערכת אוכפת מעצם בנייתה, והמגבלות שאנחנו כבר מכירים — עוד לפני שהשאלון שלכם שואל.
נאכף מעצם הבנייה
כל קריאה נחתכת לפי מי ששואל בתוך השאילתה עצמה, לא בקוד אחריה, כך שעובדה, תקציר או קטע שאסור לכם לראות לעולם אינם מורכבים ולעולם אינם נספרים. מי שאיננו יכולים לזהות רואה רק את מה שפומבי — לעולם לא את התצוגה של מפעיל — ושום דבר שמישהו מכניס לבקשה אינו יכול להרחיב זאת.
כשהזיכרון כותב משפט אחד מתוך חמישה מסמכים, רק מי שרשאי לראות את כל החמישה רשאי לראות את המשפט: שילוב מקורות יכול רק לצמצם הרשאות, לעולם לא להרחיב אותן. ובמקום שבו אי אפשר לקרוא את ההרשאות של מקור, המחבר נופל לקהל צר יותר — החשבון שהביא את המסמך — ולא לכל המשרד.
כל ציטוט נפתר מול הקבוצה הסגורה של קטעים שהמנוע עצמו הציב לפני המודל, כך שהפניה לקטע שאינו קיים אינה יכולה לשרוד. כשאתם שואלים שאלה, המודל בוחר מתוך תוויות שהמנוע ממפה בחזרה במקום לנקוב במיקום בעצמו, וכל מה שאפשר ללחוץ עליו פותח קטע אמיתי מתוך הראיות שנאספו תחת ההרשאות שלכם.
סכמת מסד נתונים אחת וקידומת אחסון אובייקטים אחת לכל משרד: שום טבלה משותפת אינה מחזיקה מסמכים, עובדות או קטעים של לקוח. הטבלאות היחידות שכל המשרדים חולקים הן רשומות חשבון, חיוב וסשן, ואף אחת מהן אינה מחזיקה דבר שהזיכרון למד. אם אתם רוצים שמסד הנתונים עצמו יחזיק את הקו, השאילתות של משרד יכולות לרוץ תחת תפקיד שיש לו הרשאות רק על הסכמה שלו — חובה בשירות המתארח שלנו, וזמין וכבוי כברירת מחדל בפריסה שאתם מפעילים, כשכבה שנייה מאחורי גבול הסכמה. משרד שהתפקיד שלו חסר נדחה, ולעולם אינו מוגש דרך תפקיד משותף.
רשימת ההיתר ליציאה מכילה כברירת מחדל את נקודת הקצה של המודל ותו לא. אין טלמטריה ואין בדיקת עדכונים לכבות, כי אף אחת מהן לא נבנתה מעולם, וקובץ הרישיון הוא למידע בלבד: שום דבר לא נבדק מולנו. רכיבים מסרבים לעלות כשהתצורה שלהם סותרת את הרשימה, והאכיפה ברמת הרשת היא חומת האש שלכם. זה חל על פריסה שאתם מפעילים, לא על השירות המתארח. רוקנו את הרשימה ושום דבר לא יוצא, גם לא אל המודל, כך ששום דבר חדש לא נקרא; החיפוש מדרג אז לפי מילות מפתח על מה שכבר נקרא.
כל תצפית, עובדה, תיקון ומשיכה הם רשומה ביומן שלעולם אינו נכתב מחדש — תיקון הוא רשומה חדשה, והישנה נשארת קריאה. כל מה שאתם קוראים בעמוד נגזר מהיומן הזה, ונבנה מחדש על ידי הרצתו מחדש ולא מתוקן במקום.
פרטי הגישה למודל מוצפנים במנוחה תחת המפתח של הפריסה שלכם, מוצפן אחד לכל משרד, ונמחקים כשהמשרד נמחק. עם כניסה יחידה (SSO), השער פונה לספק הזהויות שלכם ולא לשל אף אחד אחר. רק חילוץ ותשובות מנוסחות צריכים מודל זמין — כל מה שכבר נקרא נשאר בר־חיפוש גם בלעדיו.
מה שעדיין איננו עושים
פעולות ניהוליות נרשמות והמנהל שלכם יכול לקרוא אותן: מי הקים זיכרון, מי העניק או שלל גישה, מי שינה את הסכימה. אנחנו גם מחזיקים מונה לכל קריאה של סוכן — איזה אדם, באיזה זיכרון, דרך איזה כלי, ומתי — אלא שאותו אנחנו קוראים ואתם עדיין לא. מתחת לזה, כל תשובה נרשמת עכשיו ביומן: מי שאל, מה שאל ואילו מסמכים התשובה ציטטה, ונשמרת 90 יום כברירת מחדל. כמה דלתות נמצאות מחוץ ליומן הזה: תכנון שאלה, שמירת משהו שעוזר ביקש ממנו לזכור, קריאת אוצר המילים של הזיכרון, הפעולות הניהוליות, ושליפה ישירה של קובץ שמור. בקשה לפירמה שכבר אינה קיימת אי אפשר לרשום כלל, כי אין לאן לכתוב אותה.
את יומן הקריאה ואת מסלול הפעולות הניהוליות אפשר לייצא כקובץ לכל תקופה, כך שאפשר למסור אחד למבקר, ורשומות הקריאה נשמרות 90 יום כברירת מחדל. מה שחסר הוא שירות עצמי: ליומן הקריאה אין מסך בקונסולה, ובשירות המתארח אנחנו מריצים את הייצוא שלו עבור המנהל שלכם לפי בקשה. בענן פרטי ובאירוח עצמי, מי שמחזיק בהרשאת המפעיל של הפריסה מריץ אותו ישירות.
כשמערכת שחיברתם שוללת ממישהו מסמך, הסריקה הבאה מבחינה בכך, והמסמך יוצא מרשימת המסמכים של אותו אדם בתוך המרווח של אותו מחבר — חמש דקות כברירת מחדל. כל מה שנגזר ממנו הולך אחריו. באותו צעד נמשכים בחזרה העובדות, התקצירים והקטעים שחולצו תחת הקהל הקודם, כך שציטוט שכבר נמצא בידי קורא שהרשאתו נשללה מפסיק להיפתח.
עבודה שכבר רצה באותו רגע עלולה לצטט לזמן קצר מסמך שנשלל; הסנכרון הבא של אותו מסמך מתקן זאת.
זה חל רק היכן שהמקור מחזיק הרשאות לכל מסמך: Google Drive, SharePoint ו-OneDrive, Box, Confluence, Slack ו-Gmail, והכונן שלנו. תיקייה במעקב, Salesforce, HubSpot ו-Affinity, פרויקט Jira, מרחב Notion ו-DocuSign נקלטים עם קהל אחד לכל הפירמה, ולכן אין שלילה לכל מסמך שנוכל לעקוב אחריה.
אנחנו מניחים שכל מסמך שנקלט הוא עוין, ומגבילים את מה שהטקסט שלו יכול לגרום במקום לנסות לזהות אותו: שום דבר שכתוב בו אינו יכול להרחיב את הרשאות המקור שלו או לייצר ציטוט מחוץ לקטעים שהמנוע בחר.
איננו מספקים מסווג שמזהה ניסיונות הזרקה, ואיננו טוענים שיש לנו כזה. כל מקור גם רץ בתהליך משלו, כך שפרטי הגישה שמגיעים לכונן שלכם והתוכן הלא־אמין שהם מביאים בחזרה נשמרים בנפרד.
המערכת בנויה למספר קטן של משרדים עם הרבה מאוד חומר כל אחד, וחלק מההגנות עדיין כתובות לתהליך אחד ולא לצי: הבלם על ניסיונות כניסה חוזרים שומר את המונה שלו בזיכרון, כך שמאחורי יותר ממופע אחד הוא בולם לכל מופע בנפרד.
השמדת פירמה מפילה את הסכימה שלה ואת קידומת האחסון שלה — הפנקס, הקטעים, העובדות, התמציות ואינדקס החיפוש הולכים איתן — מוחקת את האישורים השמורים שלה, ומנקה את הפעלות שלה. מה שנשאר הוא השורה שאומרת שהפירמה הזאת התקיימה — כששמה מוצא משימוש ולא ניתן לשימוש חוזר לעולם — רשומות השימוש שמצביעות עליה, שורות הזכאות שציינו מי היה רשאי להגיע אליה, שנותרו מושבתות ולא נמחקו, ומסלול הניהול של מה שנעשה בה, שאנחנו שומרים בכוונה.
מחיקת מסמך בודד צרה יותר. העובדות, התקצירים והקטעים שנשאבו ממנו נמשכים בחזרה, כך ששום דבר הנגזר ממנו לא משיב עוד על שאלה. מה שלא נמחק הוא הבייטים של הקובץ עצמו, רשומת היומן שמתעדת שקראנו אותו, וטקסט הפרומפט של עבודה שכבר ממתינה לו — האחרון לכמה ימים, עד שהוא פוקע. היומן הוא להוספה בלבד במכוון: כך כל תשובה נשארת ניתנת למעקב עד מקורה. אם אתם צריכים שהבייטים ייעלמו ולא רק יהפכו לבלתי נגישים, השמדת המשרד היא הפעולה שעושה זאת היום.
גיבויים הם החריג. הנתונים של משרד שהושמד נשארים בכל גיבוי שכבר נלקח עד שמדיניות השמירה שלכם מפקיעה אותו, ושום דבר שאנחנו מפעילים אינו מגיע אליהם.
כל מעבר על מסמך שולח לקורא מספר חסום של קטעים. רוב המסמכים נכנסים במלואם. מסמך שאינו נכנס — דוח סרוק בן מאות עמודים — נקרא עד אותו גבול, ומה שנמצא מעבר לו אינו מחולץ באותו מעבר. מסמך שהועלה בהצלחה לא בהכרח הובן מתחילתו ועד סופו. אנחנו הופכים את זה למתחדש כך שכל קטע ייקרא בדיוק פעם אחת; עד אז, הניחו שמסמך ארוך מאוד מכוסה בתחילתו ולא לכל אורכו.
מה שציטוט אינו מוכיח הוא שהקטע תומך במשפט. המודל בוחר איזה קטע אמיתי כל משפט נושא, והוא יכול לבחור קטע שאינו מנסח אותו מחדש. הבדיקה שיש לקורא היא זו שבשבילה בנינו את הציטוט: לפתוח ולראות. אנחנו מוסיפים בדיקות אוטומטיות למספרים, תקופות ומטבעות, שיעכבו טענה במקום להציג אותה לא מאומתת.
הרשימה הזו היא מה שאנחנו מכירים. אם הסקירה שלכם מוצאת משהו שאינו מופיע בה, ספרו לנו ונוסיף אותו כאן.
שאלות על אבטחה?
שאלות על גישה, פריסה או כל דבר בעמוד הזה — כתבו לנו.
והניירת, בינתיים: הסכם עיבוד הנתונים שלנו, ומעבדי המשנה שדרכם אנחנו מפעילים את השירות.