セキュリティ

設計段階からのローカルファースト

エージェント CLI は、お客様のマシン上のローカルプロセスとして、ローカルの git リポジトリに対して動作します。プロジェクトをアップロードするビルド工程も、リモートのサンドボックスも、お客様の作業のサーバー側のコピーもありません。

アカウントサービスが保持するのは、ID、サブスクリプションおよびデバイスの記録です。ソースコード、プロンプトまたはターミナル出力を受け付けるエンドポイントは存在しないため、そこから漏洩するものもありません。

Worktree による分離

各ワーカーエージェントは、それぞれ専用の git worktree の中に閉じ込められます。ワーカーが他のワーカーのファイルを上書きすることはできず、ワーカーが加えた変更は、メインラインに入る前に通常のブランチとしてレビューできます。

シークレット

API キーおよび CLI の認証情報は macOS キーチェーンに保存され、設定画面ではマスク表示され、ログに書き込まれることも、当方に送信されることもありません。ライセンスの状態は署名付きトークンとしてキャッシュされ、このトークンにはアカウント識別子以外の個人データは含まれません。

デスクトップビルド

macOS 版のリリースは当方の Developer ID 証明書で署名され、Apple による公証（notarization）を受け、Apple の Hardened Runtime で動作します。ダウンロードページには、すべてのインストーラーの SHA-256 を掲載しています。アプリは downloads.superdevspace.com で新しいリリースを確認し、設定画面でお知らせします。ダウンロードとインストールは、お客様がクリックしたときにのみ行い、知らないうちに行うことは決してありません。

ウェブサイト

本サイトは静的サイトで、Cloudflare Pages から HTTPS と HSTS で配信され、コンテンツセキュリティポリシーを設定しています。アクセス計測を有効にしている場合の Cloudflare Web Analytics の Cookie を使わないビーコン以外に、第三者のスクリプトは読み込まず、第三者のホストからウェブフォントを読み込むこともありません。

脆弱性の報告

下記のセキュリティ窓口までご連絡ください。発見した内容と再現方法をお知らせいただき、公開前に修正のための合理的な期間をいただけますようお願いします。受領は3営業日以内に確認し、問題が解決するまで進捗をお知らせします。現時点では有償の報奨金制度は運営しておらず、運営しているかのように装うこともしません。