Безопасность

Содержание

• Введение
• Сертификации и аудиты
• Безопасность инфраструктуры
• Безопасность клиента
• AI-запросы
• Индексация кодовой базы
• Защита данных
• Удаление аккаунта
• Раскрытие уязвимостей

Введение

Защита вашего исходного кода и среды разработки крайне важна для нас. Эта страница описывает наш подход к безопасности WorkAI.

Сертификации и аудиты

Текущий статус

WorkAI находится на пути получения следующих сертификаций:

• ГОСТ Р ИСО/МЭК 27001-2021: Международный стандарт по управлению информационной безопасностью, адаптированный для РФ (планируется получение в Q2 2026)
• SOC 2 Type II: Международная сертификация для облачных сервисов (планируется получение в Q3 2026)
• 152-ФЗ Compliance: Активная работа по обеспечению полного соответствия требованиям ФЗ-152 "О персональных данных" (текущий статус: базовое соответствие, в процессе получения полной сертификации)

Пентестинг

Мы обязуемся проводить тестирование на проникновение не реже одного раза в год силами авторитетных независимых компаний. Первый аудит запланирован на Q1 2026.

Безопасность инфраструктуры

Субпроцессоры и партнёры

Мы используем следующих субпроцессоров для предоставления сервиса. Обратите внимание, что код передаётся на наши серверы для обеспечения AI-функций (см. раздел AI-запросы).

Географическое расположение

Контроль доступа

• Принцип наименьших привилегий: Доступ к инфраструктуре назначается членам команды по принципу наименьших привилегий
• MFA: Обязательная многофакторная аутентификация для всех критичных систем
• Сетевые ограничения: Доступ к ресурсам ограничен как на уровне сети, так и с помощью секретов

Безопасность клиента

Основа: Visual Studio Code

WorkAI базируется на открытом редакторе Visual Studio Code (VS Code), поддерживаемом Microsoft. Microsoft публикует advisory по безопасности на своей странице безопасности GitHub.

Мы регулярно синхронизируем наш код с исходной версии VS Code для получения последних патчей безопасности. Если в исходной версии VS Code появляется критический патч безопасности, мы выборочно применяем его до следующего полного слияния и выпускаем обновление немедленно.

Доменные имена для списка разрешённых

Наше приложение делает запросы к следующим доменам для связи с бэкендом. Если вы за корпоративным прокси, добавьте эти домены в список разрешённых:

• api.workai.su — основные API-запросы
• ws.workai.su — WebSocket соединения для real-time функций
• cdn.workai.su — CDN для обновлений клиента и расширений
• repo.workai.su — индексация кодовой базы (HTTP/2)

Отличия от VS Code

AI-запросы

Как это работает

Для предоставления своих функций WorkAI отправляет AI-запросы на наш сервер. Это происходит по разным причинам:

• Chat: Когда вы задаёте вопросы в чате
• Автодополнение: На каждом нажатии клавиши для предложений кода
• Фоновые задачи: Для построения контекста или поиска ошибок

Что включается в AI-запрос

Путь запроса

1. Клиент WorkAI → формирует запрос с контекстом
2. Серверы WorkAI (РФ) → обогащает промпт, применяет Кэширование промптов
3. Anthropic Claude (США/ЕС) → обрабатывает запрос и возвращает ответ
4. Серверы WorkAI → постобработка, логирование использования
5. Клиент WorkAI → отображает результат

Опция собственного развёртывания

В настоящее время мы не предоставляем возможность прямого подключения от клиента WorkAI к вашему корпоративному развёртыванию Anthropic или собственному серверу. Это в наших планах на будущее (Q3-Q4 2026).

Индексация кодовой базы

Что это такое

WorkAI позволяет семантически индексировать вашу кодовую базу, что позволяет AI отвечать на вопросы с контекстом всего вашего кода и писать лучший код, ссылаясь на существующие реализации.

Индексация включена по умолчанию, но может быть отключена в настройках.

Как это работает

1. Сканирование: WorkAI сканирует открытую папку и вычисляет Merkle tree хешей всех файлов
2. Фильтрация: Файлы и директории, указанные в .gitignore или .workaiignore, игнорируются
3. Синхронизация: Merkle tree синхронизируется с сервером. Каждые 10 минут проверяются изменения, и загружаются только изменённые файлы
4. Чанкинг и эмбеддинг: На сервере файлы разбиваются на части (chunks) и создаются эмбеддинги (векторы)
5. Хранение: Эмбеддинги хранятся в векторной БД (РФ) с обфусцированными путями файлов и диапазонами строк

Что хранится

Обфускация путей файлов

Путь разбивается по / и ., и каждый сегмент шифруется секретным ключом, хранящимся на клиенте, с детерминированным коротким 6-байтовым nonce. Это скрывает большую часть информации, но утекает информацию о иерархии директорий.

Реверс эмбеддингов

Индексация Git истории

Когда индексация включена в Git-репозитории, мы также индексируем историю Git:

• Хранится: SHA коммитов, информация о родителях, обфусцированные имена файлов
• НЕ хранится: Сообщения коммитов, содержимое файлов, диффы

Блокировка файлов

Защита данных

Гарантия: НЕ используем для обучения

Исключения

Ваш код может быть использован для обучения только в следующих случаях:

• Проверка безопасности: Если запрос помечен для проверки на нарушения (анализируется для улучшения детекции нарушений Условий использования)
• Обратная связь: Если вы явно отправили отзыв или оценку (используется для улучшения)
• Явное согласие: Если вы явно согласились на использование в настройках аккаунта

Шифрование

• При передаче: Все данные передаются через HTTPS/TLS 1.3
• В покое: Персональные данные в PostgreSQL шифруются на уровне диска (AES-256)
• Эмбеддинги: Векторы в векторной БД не содержат незашифрованный код

Резервное копирование

Мы делаем ежедневные резервные копии критичных данных (персональные данные, настройки аккаунтов). Резервные копии хранятся:

• На территории РФ
• Зашифрованы
• Хранятся не более 30 дней

Удаление аккаунта

Как удалить

Вы можете удалить свой аккаунт в любое время в Настройках Dashboard (нажмите "Дополнительно" → "Удалить аккаунт").

Что удаляется

При удалении аккаунта мы удаляем все данные, связанные с вашим аккаунтом:

• Персональные данные (адрес электронной почты, имя)
• Все индексированные кодовые базы
• История разговоров (если сохранялась)
• Настройки и предпочтения
• Информация об использовании

Сроки

Важное примечание

Если ваши данные использовались для обучения модели (что происходит только с вашего явного согласия), существующие обученные модели не будут немедленно переобучены. Однако любые будущие модели не будут обучаться на ваших данных, так как они будут удалены.

Защита от злоупотреблений бонусной системой

Раскрытие уязвимостей

Как сообщить

Если вы считаете, что обнаружили уязвимость в WorkAI, пожалуйста, сообщите нам:

Наши обязательства

• Подтверждение: В течение 5 рабочих дней
• Исправление: Как можно скорее в зависимости от серьёзности
• Публикация: Уведомление о безопасности на нашем GitHub (после исправления)
• Критичные инциденты: Уведомление всех пользователей по электронной почте

Ответственное раскрытие

Мы просим следовать принципам ответственного раскрытия:

• Не публиковать уязвимость публично до исправления
• Не использовать уязвимость для доступа к данным других пользователей
• Предоставить нам разумное время для исправления (обычно 90 дней)

Соответствие законодательству РФ

ФЗ-152 "О персональных данных"

Текущая реализация:

• Персональные данные (адрес электронной почты, имя) хранятся исключительно на территории РФ (PostgreSQL)
• Политика конфиденциальности и согласие на обработку данных при регистрации
• Полный набор прав: доступ, исправление, удаление данных
• Процедура уведомления Роскомнадзора при инцидентах (в течение 24 часов)
• Явное информирование о трансграничной передаче кода (не ПД) для AI-обработки

В процессе получения:

• Официальное уведомление Роскомнадзора об операторе ПД
• Сертификация соответствия GOST R ISO/IEC 27001-2021 (Q2 2026)
• Аудит безопасности третьей стороной (Q1 2026)

ФЗ-149 "Об информации"

• Маркировка AI-сгенерированного контента
• Прозрачность обработки данных

Закон "О защите прав потребителей"

• Прозрачное ценообразование
• Право на возврат (в рамках закона)
• Претензионный порядок

Контакты по безопасности

Последнее обновление: 19 октября 2025 г.

Версия документа: 1.0

Актуальная версия всегда доступна по адресу: workai.su/security