보안

저희는 신뢰 인프라를 판매합니다. 고객이 자사 에이전트에 대해 지켜주길 요구하는 것과 동일한 기준을 저희 스스로에게도 적용합니다. 실제로 사실인 것만 주장하고, 저희가 작업 중인 모든 것을 기록합니다.

최종 검토일: 2026년 5월 20일

현재 적용 중인 사항

지금 이 순간에도 프로덕션 환경에서 실행 중인 구체적인 통제 조치입니다. 코드나 런북을 제시할 수 없는 항목은 이 목록에 포함하지 않습니다.

전송 중 암호화

veriswarm.ai 및 api.veriswarm.ai 전체 사이트에서 TLS가 강제 적용됩니다. HTTP 요청은 HTTPS로 리디렉션됩니다. 최신 암호 스위트만 사용합니다.

저장 데이터 암호화

프로덕션 데이터는 암호화된 디스크에 저장됩니다. 백업 볼륨은 별도의 키로 암호화됩니다.

테넌트 격리

모든 고객은 자체 워크스페이스를 갖습니다. 데이터는 데이터베이스 계층에서 조직 및 테넌트 식별자로 분할되며, 모든 읽기 및 쓰기 작업에서 테넌트 범위가 강제됩니다.

변조 방지 감사 추적

Vault는 고객에게 노출되는 모든 이벤트를 해시 체인 원장에 기록합니다. 소급 변경은 체인을 손상시키며 단 한 번의 API 호출로 탐지할 수 있습니다. 이 원장은 사후 로그가 아니라 프로덕션 이벤트 경로에 직접 통합되어 있습니다. 자세한 내용은 변경 불가능한 감사 추적의 작동 방식을 참고하세요.

일일 백업

데이터베이스 백업은 매일 자동으로 실행되며 7일간 순환 보관됩니다. 백업은 기본 데이터베이스와 별도로 저장되며 복원 가능성을 테스트합니다.

인증 및 접근 제어

인증 메커니즘은 세 가지입니다: 플랫폼 통합용 범위 제한 API 키, 관리 작업용 베어러 토큰, 웹 UI용 세션 쿠키입니다. 모든 작업에는 속도 제한이 적용되며, 모든 응답에 속도 제한 헤더가 반환됩니다.

PII 토큰화

고객이 Guard를 통해 LLM 트래픽을 라우팅하면, 개인 식별 정보는 타사 모델에 도달하기 전에 토큰화됩니다. 평문은 고객의 테넌트 내부에 남아 있으며, LLM은 불투명한 참조만 확인합니다.

킬 스위치

운영자는 단일 엔드포인트에서 특정 테넌트 또는 에이전트에 대한 모든 결정을 중단시킬 수 있습니다. 킬 스위치는 모든 정책 확인보다 먼저 평가됩니다. 이는 첫 번째가 아니라 마지막 제어 계층입니다. 자세한 내용은 AI 에이전트 킬 스위치의 작동 방식을 참고하세요.

진행 중 — 솔직하게 말씀드립니다

저희가 목표로 하고 있지만 아직 출시하지 않은 사항입니다. 실제로 완성되기 전까지는 이 페이지에서 주장하지 않으며, 저희가 약속하지 않은 막연한 일정을 제시하지도 않습니다.

SOC 2 Type I — 계획됨

아직 감사인을 선임하지 않았습니다. 계약이 체결되고 목표 완료일이 정해지면 이 페이지를 업데이트하겠습니다. SOC 2가 도입에 반드시 필요한 엔터프라이즈 구매자이시라면, 알려주세요 — 이러한 신호는 우선순위를 정하는 데 도움이 됩니다.

제3자 침투 테스트 — 계획됨

저희는 주요 릴리스마다 사내 보안 검토를 수행합니다. 제3자 침투 테스트는 로드맵에 포함되어 있지만 아직 일정이 정해지지 않았습니다. 마찬가지로, 이것이 귀하에게 걸림돌이 된다면 알려주세요.

하위 처리자

고객 데이터를 처리할 수 있는 타사 서비스입니다. 가능한 한 최소한으로 사용하며, 이 목록을 최신 상태로 유지합니다.

제공업체	목적	데이터
Cloudflare	CDN, DDoS 방어, 터널	요청 메타데이터
Stripe	청구 및 결제	계정, 결제 수단
Plausible Analytics	개인정보를 존중하는 사이트 분석	집계된 페이지 조회수 (쿠키 없음, PII 없음)
LLM 제공업체 Anthropic, OpenAI, Google, Mistral	라우팅된 모델 추론 (고객이 구성 가능)	프롬프트 및 응답 (Guard 활성화 시 PII 토큰화)

서명된 DPA는 요청 시 제공됩니다. 저희의 데이터 처리 계약 및 개인정보 처리방침도 참고하세요.

취약점 신고

VeriSwarm에서 보안 문제를 발견하셨다면 알려주시기 바랍니다. 저희는 성실하게(good faith) 연구자와 협력합니다.

신고 방법

명확한 설명, 재현 단계, 영향에 대한 평가를 첨부하여 security@veriswarm.ai로 이메일을 보내주세요. 보고서에 민감한 세부 정보가 포함된 경우 암호화된 이메일을 권장합니다 — PGP 키를 요청하시면 보내드리겠습니다.

저희의 약속

신고 접수 확인은 영업일 기준 2일 이내에 안내드립니다.
선별(트리아지) 결정은 영업일 기준 5일 이내에 제공합니다.
확인된 심각(critical) 및 높은(high) 심각도 문제는 30일 이내에 해결하는 것을 목표로 하며, 지연될 경우 상태를 업데이트해 드립니다.
연구자가 익명을 원하지 않는 한, 변경 이력 및 보안 권고문에 해당 연구자의 공로를 기재합니다.

세이프 하버

성실하게 행동하고, 본 정책을 준수하며, 개인정보 침해, 데이터 파괴, 또는 서비스 중단·저하를 피하는 연구자에 대해서는 법적 조치를 취하지 않습니다. 아래 범위 내에서 활동해 주세요.

대상 범위

veriswarm.ai (마케팅 사이트, 계정 UI)
api.veriswarm.ai (REST API + Customer Admin MCP)
mcp.veriswarm.ai (호스팅형 런타임 Tools MCP)
github.com/veriswarm 하위의 오픈소스 SDK 및 클라이언트
에이전트 런타임, Vault 체인 무결성, Passport 자격 증명 발급

대상 제외 범위

서비스 거부(DoS) 공격 (대량 트래픽 공격 포함)
인프라에 대한 물리적 공격
VeriSwarm 직원, 계약업체, 또는 고객을 대상으로 한 사회공학적 공격
당사가 사용하지만 직접 운영하지는 않는 타사 서비스의 취약점 (해당 서비스 제공업체에 신고하세요)
고객 기기에 대한 물리적 접근이나 고객 계정의 침해가 필요한 문제
입증 가능한 익스플로잇이 없는 모범 사례 권고 (소중한 의견으로 감사히 받지만, 취약점 신고가 아닌 피드백으로 처리합니다)

보안 문의

취약점 신고, 보안 설문지, 그 밖의 모든 문의에 대해 저희가 답변드리겠습니다.

security@veriswarm.ai

기계 판독 가능한 연락처 정보는 /.well-known/security.txt에서, RFC 9116에 따라 공개됩니다.

보안