Logo MnemomMnemom
Accedi
Trust Center

Cosa puoi verificare su Mnemom oggi.

Questa pagina elenca solo ciò che è attivo e verificabile adesso. Dove qualcosa non è ancora in atto, lo dice.

security.txtSegnala una vulnerabilità
Modello delle minacce

Cosa Mnemom è progettato per rilevare — e cosa no.

Riepilogo del modello delle minacce nella documentazione, che indica anche ciò da cui Mnemom non difende.

In ambito

  • Violazioni dei limiti — azioni al di fuori della Alignment Card dichiarata dell'agente.
  • Prompt injection e injection indiretta nei contenuti in ingresso e nei blocchi di ragionamento dell'agente.
  • Fuga di dati in uscita — PII, segreti, violazioni della alignment card nelle risposte dell'agente.
  • Replay di artefatti firmati — ID univoci, timestamp e consegne webhook firmate HMAC.
  • Record manomessi — le firme Ed25519 e le catene di hash SHA-256 rendono rilevabili i checkpoint alterati.

Fuori ambito

  • Correttezza dell'inferenza del LLM — verifichiamo il giudizio dell'auditor, non l'output del modello.
  • Ragionamento nascosto o disonesto — un agente il cui pensiero non è nei suoi blocchi di ragionamento sfugge all'analisi.
  • Comportamento fuori banda — le chiamate dirette al provider che bypassano il gateway non vengono viste.
  • Compromissione dell'infrastruttura del provider LLM sottostante.
  • Denial of service contro l'infrastruttura Mnemom (mitigato, non eliminato).
Divulgazione responsabile

Segnala una vulnerabilità.

Scrivi a [email protected]. La stessa policy è pubblicata nel nostro security.txt conforme a RFC 9116.

  1. 1
    Confermiamo la ricezione entro 3 giorni lavorativi. Conferma significa che una persona ha letto il report e aperto un caso, non una risposta automatica.
  2. 2
    Confermiamo la riproduzione entro 14 giorni.
  3. 3
    Rilasciamo una correzione o una mitigazione entro 90 giorni dalla conferma.
  4. 4
    Divulgazione coordinata 90 giorni dopo la conferma, o prima se la correzione è stata rilasciata e i clienti sono protetti.
[email protected]Leggi security.txt

Nessuna chiave PGP è ancora pubblicata. Se il tuo report contiene dettagli che consideri sensibili, invia prima un breve riepilogo e predisporremo un canale.

Bug bounty

Divulgazione in buona fede. Nessun bounty retribuito oggi.

Non esiste un programma di bug bounty retribuito. Le segnalazioni in buona fede sulle superfici qui sotto sono benvenute e chi segnala viene citato con il suo consenso.

In ambito

  • Gateway (gateway.mnemom.ai) — firma delle richieste, screening in ingresso.
  • API e piano di controllo (api.mnemom.ai) — autenticazione, fatturazione, log di audit, derivazione dei verdetti, screening in uscita.
  • SDK (@mnemom/agent-alignment-protocol, @mnemom/agent-integrity-protocol) — logica di verifica.
  • Superfici web (mnemom.ai, app.mnemom.ai, docs.mnemom.ai) — autenticazione, gestione delle sessioni, RBAC.

Fuori ambito

  • Rate limiting e denial of service.
  • Ingegneria sociale contro i dipendenti.
  • Attacchi fisici all'infrastruttura.
  • Servizi di terze parti da cui dipendiamo (Cloudflare, Stripe, Resend, Anthropic, OpenAI). Segnala direttamente al fornitore.
  • Report che richiedono l'accesso a email, dispositivo o account social di una vittima.
Conformità

Pronti per la conformità a SOC 2 Tipo II, GDPR e HIPAA.

Audit indipendente in corso.

SOC 2 Type II

Pronti per la conformità

Questionari di sicurezza ed evidenze dei controlli sono disponibili per i clienti enterprise sotto NDA.

GDPR

Pronti per la conformità

Accordo sul trattamento dei dati (DPA) disponibile su richiesta per i clienti enterprise. La cancellazione ai sensi dell'articolo 17 è una cascata di eliminazione documentata nell'API.

HIPAA

Pronti per la conformità

Contattateci per i vostri requisiti HIPAA.

AI Act UE

Mappatura tecnica

Campi AAP e AIP mappati sugli obblighi di trasparenza dell'articolo 50.

Leggi la mappatura

OWASP Agentic Top 10 · NIST AI RMF

Mappato

Mappature sull'OWASP Top 10 per le applicazioni agentiche e su NIST AI RMF, CSF 2.0 e SP 800-53.

Leggi la mappatura
Affidabilità

Obiettivi di livello di servizio.

Cinque obiettivi di disponibilità, ciascuno al 99,9% su una finestra mobile di 30 giorni: il sito web, registrazione e accesso, la rivendicazione degli agenti, il gateway IA e le letture di trust e reputazione. L'uptime live e ogni incidente sono su status.mnemom.ai.

Leggi gli impegni SLOStato live
Supply chain

Pubblicazione di un SBOM per ogni release.

Ogni release di AAP e AIP dalla v1.3.0 include un SBOM CycloneDX allegato alla release GitHub. Entrambi i protocolli sono open source con licenza Apache 2.0.

  • SBOM AAP · github.com/mnemom/aap/releases
  • SBOM AIP · github.com/mnemom/aip/releases

Gli SBOM sono in formato CycloneDX 1.6 JSON. Questo copre gli SDK pubblicati; il gateway ospitato non ha release pubbliche.