Logo MnemomMnemom
Centre de confiance

Ce que vous pouvez vérifier sur Mnemom aujourd'hui.

Cette page ne liste que ce qui est en service et vérifiable maintenant. Lorsqu'un élément n'est pas encore en place, elle le dit.

security.txtSignaler une vulnérabilité
Modèle de menace

Ce que Mnemom est conçu pour détecter — et ce qu'il ne détecte pas.

Résumé du modèle de menace de la documentation, qui précise aussi ce contre quoi Mnemom ne protège pas.

Dans le périmètre

  • Violations de périmètre — actions hors de la carte d'alignement déclarée de l'agent.
  • Injection de prompt et injection indirecte dans le contenu entrant et dans les blocs de raisonnement de l'agent.
  • Fuite de données sortantes — PII, secrets, violations de la carte d'alignement dans les réponses de l'agent.
  • Rejeu d'artefacts signés — identifiants uniques, horodatages et livraisons de webhooks signées HMAC.
  • Enregistrements altérés — les signatures Ed25519 et les chaînes de hachage SHA-256 rendent détectable toute modification d'un point de contrôle.

Hors périmètre

  • Exactitude de l'inférence du LLM — nous vérifions le jugement de l'auditeur, pas la sortie du modèle.
  • Raisonnement caché ou malhonnête — un agent dont la réflexion n'est pas dans ses blocs de raisonnement échappe à l'analyse.
  • Comportement hors bande — les appels directs au fournisseur qui contournent la passerelle ne sont pas vus.
  • Compromission de l'infrastructure du fournisseur de LLM sous-jacent.
  • Déni de service contre l'infrastructure Mnemom (atténué, pas éliminé).
Divulgation responsable

Signaler une vulnérabilité.

Écrivez à [email protected]. La même politique est publiée dans notre fichier security.txt (RFC 9116).

  1. 1
    Nous accusons réception sous 3 jours ouvrés. Accuser réception signifie qu'une personne a lu le rapport et ouvert un dossier, pas une réponse automatique.
  2. 2
    Nous confirmons la reproduction sous 14 jours.
  3. 3
    Nous livrons un correctif ou une mesure d'atténuation sous 90 jours après l'accusé de réception.
  4. 4
    Divulgation coordonnée 90 jours après l'accusé de réception, ou plus tôt dès que le correctif est livré et que les clients sont protégés.
[email protected]Lire security.txt

Aucune clé PGP n'est publiée pour l'instant. Si votre rapport contient des détails que vous jugez sensibles, envoyez d'abord un court résumé et nous mettrons en place un canal.

Bug bounty

Divulgation de bonne foi. Pas de bounty rémunéré aujourd'hui.

Il n'existe pas de programme de bug bounty rémunéré. Les signalements de bonne foi sur les surfaces ci-dessous sont bienvenus et leurs auteurs sont crédités avec leur accord.

Dans le périmètre

  • Passerelle (gateway.mnemom.ai) — signature des requêtes, filtrage entrant.
  • API et plan de contrôle (api.mnemom.ai) — authentification, facturation, journaux d'audit, dérivation des verdicts, filtrage sortant.
  • SDK (@mnemom/agent-alignment-protocol, @mnemom/agent-integrity-protocol) — logique de vérification.
  • Surfaces web (mnemom.ai, app.mnemom.ai, docs.mnemom.ai) — authentification, gestion des sessions, RBAC.

Hors périmètre

  • Limitation de débit et déni de service.
  • Ingénierie sociale contre les employés.
  • Attaques physiques contre l'infrastructure.
  • Services tiers dont nous dépendons (Cloudflare, Stripe, Resend, Anthropic, OpenAI). Signalez directement au fournisseur.
  • Rapports nécessitant l'accès à l'e-mail, l'appareil ou le compte social d'une victime.
Conformité

Prêts pour la conformité SOC 2 Type II, RGPD et HIPAA.

Audit indépendant en cours.

SOC 2 Type II

Prêts pour la conformité

Les questionnaires de sécurité et les preuves de contrôle sont disponibles pour les clients entreprise sous NDA.

RGPD

Prêts pour la conformité

Accord de traitement des données (DPA) disponible sur demande pour les clients entreprise. L'effacement au titre de l'article 17 est une cascade de suppression documentée dans l'API.

HIPAA

Prêts pour la conformité

Contactez-nous au sujet de vos exigences HIPAA.

AI Act européen

Correspondance technique

Champs AAP et AIP mis en correspondance avec les obligations de transparence de l'article 50.

Lire la correspondance

OWASP Agentic Top 10 · NIST AI RMF

Mis en correspondance

Correspondances avec le Top 10 OWASP des applications agentiques et avec NIST AI RMF, CSF 2.0 et SP 800-53.

Lire la correspondance
Fiabilité

Objectifs de niveau de service.

Cinq objectifs de disponibilité, chacun à 99,9 % sur une fenêtre glissante de 30 jours : le site web, l'inscription et la connexion, la revendication d'agent, la passerelle IA, et les lectures de confiance et de réputation. La disponibilité en direct et chaque incident sont sur status.mnemom.ai.

Lire les engagements SLOStatut en direct
Chaîne d'approvisionnement

Publication d'un SBOM par version.

Chaque version d'AAP et d'AIP depuis la v1.3.0 est livrée avec un SBOM CycloneDX attaché à sa release GitHub. Les deux protocoles sont open source sous licence Apache 2.0.

  • SBOM AAP · github.com/mnemom/aap/releases
  • SBOM AIP · github.com/mnemom/aip/releases

Les SBOM sont au format CycloneDX 1.6 JSON. Cela couvre les SDK publiés ; la passerelle hébergée n'a pas de releases publiques.