Mnemom-LogoMnemom
Anmelden
Trust Center

Was Sie heute über Mnemom überprüfen können.

Diese Seite führt nur auf, was jetzt live und überprüfbar ist. Wo etwas noch nicht vorhanden ist, steht das hier.

security.txtSchwachstelle melden
Bedrohungsmodell

Was Mnemom erkennen soll — und was nicht.

Zusammenfassung des Bedrohungsmodells aus der Dokumentation, die auch benennt, wogegen Mnemom nicht schützt.

Im Umfang

  • Grenzverletzungen — Aktionen außerhalb der deklarierten Alignment Card des Agenten.
  • Prompt-Injection und indirekte Injection in eingehenden Inhalten und in den Thinking-Blöcken des Agenten.
  • Ausgehende Datenlecks — PII, Geheimnisse, Verstöße gegen die Alignment Card in Agentenantworten.
  • Wiedereinspielen signierter Artefakte — eindeutige IDs, Zeitstempel und HMAC-signierte Webhook-Zustellungen.
  • Manipulierte Datensätze — Ed25519-Signaturen und SHA-256-Hash-Ketten machen veränderte Checkpoints erkennbar.

Außerhalb des Umfangs

  • Korrektheit der LLM-Inferenz — wir prüfen das Urteil des Auditors, nicht die Ausgabe des Modells.
  • Verdecktes oder unehrliches Denken — ein Agent, dessen Überlegungen nicht in seinen Thinking-Blöcken stehen, entgeht der Analyse.
  • Verhalten außerhalb des Pfads — direkte Provider-Aufrufe, die das Gateway umgehen, werden nicht gesehen.
  • Kompromittierung der Infrastruktur des zugrunde liegenden LLM-Anbieters.
  • Denial-of-Service gegen die Mnemom-Infrastruktur (abgemildert, nicht ausgeschlossen).
Verantwortungsvolle Offenlegung

Eine Schwachstelle melden.

Schreiben Sie an [email protected]. Dieselbe Richtlinie ist in unserer security.txt nach RFC 9116 veröffentlicht.

  1. 1
    Wir bestätigen den Eingang innerhalb von 3 Werktagen. Bestätigung heißt: Ein Mensch hat den Bericht gelesen und einen Fall eröffnet, keine automatische Antwort.
  2. 2
    Wir bestätigen die Reproduktion innerhalb von 14 Tagen.
  3. 3
    Wir liefern innerhalb von 90 Tagen nach der Bestätigung einen Fix oder eine Abhilfemaßnahme.
  4. 4
    Koordinierte Offenlegung 90 Tage nach der Bestätigung oder früher, sobald der Fix ausgeliefert ist und Kunden geschützt sind.
[email protected]security.txt lesen

Es ist noch kein PGP-Schlüssel veröffentlicht. Wenn Ihr Bericht Details enthält, die Sie als sensibel einstufen, senden Sie zuerst eine kurze Zusammenfassung; wir richten dann einen Kanal ein.

Bug Bounty

Offenlegung in gutem Glauben. Heute kein bezahltes Bounty.

Es gibt kein bezahltes Bug-Bounty-Programm. Meldungen in gutem Glauben zu den unten genannten Oberflächen sind willkommen, und Meldende werden mit ihrer Zustimmung genannt.

Im Umfang

  • Gateway (gateway.mnemom.ai) — Request-Signierung, eingehendes Screening.
  • API und Steuerungsebene (api.mnemom.ai) — Auth, Abrechnung, Audit-Logs, Verdikt-Ableitung, ausgehendes Screening.
  • SDKs (@mnemom/agent-alignment-protocol, @mnemom/agent-integrity-protocol) — Verifikationslogik.
  • Web-Oberflächen (mnemom.ai, app.mnemom.ai, docs.mnemom.ai) — Authentifizierung, Sitzungsverwaltung, RBAC.

Außerhalb des Umfangs

  • Rate-Limiting und Denial-of-Service.
  • Social Engineering gegen Mitarbeitende.
  • Physische Angriffe auf die Infrastruktur.
  • Drittanbieterdienste, auf die wir angewiesen sind (Cloudflare, Stripe, Resend, Anthropic, OpenAI). Direkt beim Anbieter melden.
  • Meldungen, die Zugriff auf E-Mail, Gerät oder Social-Media-Konto eines Opfers erfordern.
Compliance

Compliance-ready für SOC 2 Typ II, DSGVO und HIPAA.

Unabhängiges Audit läuft.

SOC 2 Typ II

Compliance-ready

Sicherheitsfragebögen und Kontrollnachweise stehen Enterprise-Kunden unter NDA zur Verfügung.

DSGVO

Compliance-ready

Auftragsverarbeitungsvertrag (DPA) für Enterprise-Kunden auf Anfrage. Die Löschung nach Artikel 17 ist eine dokumentierte Löschkaskade über die API.

HIPAA

Compliance-ready

Sprechen Sie uns zu Ihren HIPAA-Anforderungen an.

EU AI Act

Technische Zuordnung

AAP- und AIP-Felder, zugeordnet zu den Transparenzpflichten nach Artikel 50.

Zur Zuordnung

OWASP Agentic Top 10 · NIST AI RMF

Zugeordnet

Zuordnungen zu den OWASP Top 10 für agentische Anwendungen sowie zu NIST AI RMF, CSF 2.0 und SP 800-53.

Zur Zuordnung
Zuverlässigkeit

Service-Level-Ziele.

Fünf Verfügbarkeitsziele, jeweils 99,9 % über ein rollierendes 30-Tage-Fenster: die Website, Registrierung und Anmeldung, Agent-Claim, das KI-Gateway sowie Trust- und Reputationsabfragen. Live-Verfügbarkeit und jeder Vorfall stehen auf status.mnemom.ai.

SLO-Verpflichtungen lesenLive-Status
Lieferkette

SBOM-Veröffentlichung pro Release.

Jedes AAP- und AIP-Release seit v1.3.0 wird mit einer CycloneDX-SBOM ausgeliefert, die am GitHub-Release hängt. Beide Protokolle sind Open Source unter Apache 2.0.

  • AAP-SBOMs · github.com/mnemom/aap/releases
  • AIP-SBOMs · github.com/mnemom/aip/releases

SBOMs liegen als CycloneDX 1.6 JSON vor. Das deckt die veröffentlichten SDKs ab; das gehostete Gateway hat keine öffentlichen Releases.