安全信任中心
可以验证
可以验证可以亲自核查、而不只是阅读的信任。
Intramedial 决定智能体可以做什么并保存记录。本页说明其运作方式、哪些已固定及固定在哪里，以及我们尚未发布的内容。本页不声称任何认证。每一项陈述都链接到其背后的文件或来源。
本服务的运营方 Avonao, Inc., Delaware各类法律文件的最近更新日期 2026年11月5日
Intramedial 决定智能体可以做什么并保存记录。本页说明其运作方式、哪些已固定及固定在哪里，以及我们尚未发布的内容。本页不声称任何认证。每一项陈述都链接到其背后的文件或来源。
本服务的运营方 Avonao, Inc., Delaware各类法律文件的最近更新日期 2026年11月5日
每一次调用都遵循着完全相同的一条路径。各类凭据都会在前门处接受严格的检查，相关的工作会在该工作区自己所在的那一个区域之内完成并存储下来，而签名则来自于一台从来都不会交出它自己密钥的硬件安全模块（HSM）。
在运行任何工具代码之前，前门就会先将凭据解析到唯一的一个工作区。所有的机密信息都以 SHA-256 哈希值的形式存储，并以恒定时间的方式进行比较。
工作区和权限信息会被放在由我们自己的服务所签名的请求头之中，然后再传递给区域服务。如果请求没有附带一个有效的签名，那么该服务就会直接拒绝这个请求。
对于中继类和监控类的工具，区域服务会经由出站过滤器发出相应的请求，或者记录下您所报告的那些事实。所有的消息体都只会被计算哈希值，而不会被存储下来。
信封会依据 RFC 8785 进行规范化处理，然后在 AWS KMS 中使用该区域的 Ed25519 密钥进行签名。如果没有可用的密钥，服务会直接拒绝，而不会改用另一把密钥签名。
回执会把它的密钥 ID 包含在被签名的那些字节之中。任何持有这份回执和公钥的人，都可以在完全不依赖我们的情况下检查它，只要这把密钥一直保持着发布状态。
一份回执是一项精确而范围狭窄的陈述。在您依赖它之前，以及在您要求别人依赖它之前，请先把这两栏内容都仔细读一遍。
验证本身是独立的。而需要信任的内容，则被缩小为一份简短而明确列出的清单。
| 您需要信任 | 原因 | 如果它不成立 |
|---|---|---|
| 您用来进行验证的那把公钥，确实属于我们 | 签名能证明谁持有一把密钥，但并不能证明这是谁的密钥。 | 一把被替换掉的密钥，会让伪造品看起来有效。请通过带外渠道固定密钥 ID。 |
| 我们的签名密钥只会被回执服务这一个服务所使用，不会被他用 | 服务会为它的代码所决定要签名的内容进行签名。 | 一把被滥用的密钥，可能会为从未发生过的事件签名。 |
| 对于观察类的工具，我们会如实地进行观察 | 账本行表明平面看到了这一点。 | 被入侵的平面可能写入虚假的账本行。 |
| 我们的时钟 | issuedAt 是我们在签名时的服务器时间。 | 一个出现偏差的时钟会给出错误的 issuedAt。 |
共有七把 Ed25519 密钥，每一个签名管辖区各有一把，由所有的工作区共同使用。它们的公钥部分都已经对外公开发布；而私钥部分则是在 AWS Key Management Service 之中生成的，并由其负责保管。
| 地址 | 内容 |
|---|---|
https://intramedial.com/.well-known/ledger-bundles-keys.json | JWK 集合（会重定向到对应的 API 路由） |
https://ledger-bundles.api.intramedial.com/.well-known/ledger-bundles-keys.json | JWK 集合本身，可以缓存一个小时，并且对任何来源都开放访问 |
/api/v1/ledger-bundles/anchors | 每一把已经发布的密钥，并附有启用标记 |
/api/v1/ledger-bundles/snapshot | 按密钥 ID 获取的某一把公钥 |
curl -sSL https://ledger-bundles.api.intramedial.com/.well-known/ledger-bundles-keys.json -o keys.json
jq -r '.keys[] | [.kid, .jurisdiction] | @tsv' keys.json
// kid = 原始密钥 SHA-256 的前 16 个字节，base64url 编码如果想要获得最强的保障，请只获取一次密钥，将它的 kid 和 x 值存储在您自己的代码仓库之中，然后始终对照这份副本进行验证。 /docs/ledger-bundles-snapshot
每一个请求都会携带着一个凭据，网关会在任何工具开始运行之前，先将其解析到唯一的一个工作区。下面所说明的，就是目前我们如何处理各类凭据、租户隔离以及各种出站请求的具体方式。
API 密钥、个人访问令牌以及会话令牌，全部都以 SHA-256 哈希的形式存储，只会显示一次，并以恒定时间的方式进行比较。密钥会在 30 天、90 天、一年之后过期，或者永不过期，并且在轮换时可以设置 0 到 60 分钟的宽限期。
登录通过 Avonao ID 完成。会话有效期、空闲超时和 cookie 设置尚未在此发布，因此不作说明。除登录页面所示内容外，请不要作其他假设。
读取、写入和管理三种权限范围，如果您愿意，还可以将其限定于某些指定的工具。签发回执需要 tools.attest 权限，而审计员角色则无法生成回执。各项检查在失败时一律都会拒绝访问。
由网关、而不是由调用方来决定所属的工作区。每一次读取和写入都带有工作区 ID，而请求体之中指定了另一个工作区的请求，会被直接拒绝。这种隔离属于逻辑隔离，位于一个区域性的数据库之中。
位于 localhost、各种内部名称以及私有或保留地址范围之内的目标，都会在提交的时候以及每一次定时检查之前被拒绝。从来都不会跟随任何重定向；请求的时间和大小也都设有明确的上限。
网关对每一个 IP 的限制为每分钟 600 个请求，对每一个账户则为每分钟 1,200 个。针对 agent.call 的检测会标记出扫描或撞库攻击的模式，交由一个真人来审核；它从来都不会自行暂停服务。
已说明的局限：出站过滤器会将 URL 作为文本来读取，并不会去解析主机名；第二层防护在于，该服务运行在 Cloudflare 的网络之上，而这个网络并没有任何通往私有地址空间的路由。如果无法读取 IP 允许列表，它会以放行的方式失败，这样一来，数据库出现的故障就不会把客户锁在门外，导致他们无法访问。
这项服务在设计上会尽可能少地持有数据。进行证明时，它接收的是一个哈希值，而从来不是文档本身；对于经过中继的调用，它会计算消息体的哈希值，而不会保留这些消息体。
由您自行计算 SHA-256 并将其发送过来。我们从来都不会收到文档、提示词或者响应的文本内容。
经过中继的消息体和请求头会被直接透传，并被计算哈希值。只有在您开启了保留功能的时候，响应消息体才会被存储下来。
数据库触发器会拒绝任何编辑，每份回执的哈希在套餐保留期内还会存入一次写入存储（S3 对象锁定）。只有经过审计的路由才能进行编辑遮盖或删除，并且每次都会写入一条审计事件。
URL、标签和代码提交的作者，在回执之中都是以明文形式呈现的。请不要在其中放入任何您不愿意让读者看到的内容。
回执、监视项、配额计数器、中继请求的处理以及签名操作，都会在创建工作区时所选择的那一个区域之中运行。无论在哪一种情况下，控制台、网站、登录、计费以及账户数据，全都由美国（US West）提供服务。
| 区域 | 代码 | AWS KMS 中的签名密钥 | 存储方式 |
|---|---|---|---|
| 美国西部 | wnam | us-west. | 位置提示信息 |
| 欧洲中部区域 | weur | eu. | 欧盟管辖范围（强制执行） |
| 亚洲太平洋区域 | apac | asia. | 位置提示信息 |
| 大洋洲 | oc | oc. | 位置提示信息 |
区域所说明的，是数据存储和处理的具体位置。一个工作区永远都不会进行迁移，而一个无法访问的区域，会让这次调用直接失败，而不会自动回退到另外一个区域。
数据在您与本服务之间通过 TLS 进行传输，并依据我们的基础设施提供商 Cloudflare 的安全条款，存储在 Cloudflare 那里。所有的回执都已经经过了签名，因此，对已经存储的证据所作的任何改动，都可以被任何一个进行验证的人及时发现。
账户删除会在 30 天的宽限期结束之后才正式生效，在此期间，您仍然可以导出数据并恢复账户。回执并不会被删除任务移除；它们会按照套餐所规定的保留期限自然过期，或者由您自行删除，或者由您要求我们进行删除。一份您已经交给别人的回执，无论我们做些什么，对方都依然可以对其进行验证。
服务状态是实际测量出来的，而不是手工填写的。服务等级是面向 Enterprise 客户的一项合同条款，而验证则从来都不依赖于我们的服务是否正常运行。
对已签署订单的 Enterprise 套餐，条款以 Enterprise SLA 为准。支持团队在营业时间内值守，并按严重级别在 1 个营业小时、4 个营业小时或 1 个工作日内确认 Enterprise 请求。自助套餐没有可用率承诺或服务抵扣；其支持响应目标见定价页面。
| 每月正常运行时间 | 服务抵扣金额 |
|---|---|
| 低于 99.9%，但至少 99.0% | 月费的 10% |
| 低于 99.0%，但至少 95.0% | 月费的 25% |
| 低于 95.0% | 月费的 50% |
| 严重级别 | 含义 | 确认响应的目标时间点 |
|---|---|---|
| 严重级别 1 | 在生产环境中使用的时候，受保障的服务无法使用，或者根本无法签发任何回执。 | 1 个营业小时 |
| 严重级别 2 | 某项主要功能受损或者性能下降，但存在临时解决办法。 | 4 个营业小时 |
| 严重级别 3 | 一个次要问题、一个疑问或者一项请求。 | 1 个工作日 |
如果连续三个月的正常运行时间都低于 99.0%，或者在任意的十二个月之中有四个月低于该水平，那么客户就可以终止受影响的订购单，并按比例获得退款。
验证一份回执，只需要这份回执本身和一把公钥。即使我们的服务无法运行，验证也依然可以照常地进行。
当出现问题的时候，我们会作出哪些承诺，以及如何在其他任何人发现之前，把一个安全弱点及时地告诉我们。
一旦我们知悉某起影响客户个人数据的泄露事件，会通过电子邮件毫无不当延迟地通知账户所有者，且无论如何不超过 72 小时，内容包括目前已知的情况：泄露的性质、受影响的人员和记录、可能的后果以及已采取的措施。随着了解到更多情况，我们会补充通知。
各类事件都会发布在状态页面之上，并附有从“调查中”到“已解决”的完整时间线。在严重级别 1 的事件发生期间，Enterprise 客户会收到一份初始的通知，并且会随着情况的变化，陆续收到各项最新的更新。
请通过表单进行报告，您可以留下自己的联系方式，也可以匿名报告，或者通过电子邮件进行报告。依据该政策、出于善意而进行的研究是被授权的，我们不会因此对您采取任何行动。
| 步骤 | 目标时间 |
|---|---|
| 确认已经收到您的报告 | 在 3 个工作日之内完成 |
| 进行初步的评估，并确定严重级别 | 在 10 个工作日之内完成 |
| 在问题处理期间，持续地提供更新 | 至少每隔 14 天更新一次 |
| 修复严重级别以及高级别的安全问题 | 我们力争在 30 天内 |
| 修复较低级别的安全问题 | 我们力争在 90 天内 |
这些是目标，而不是保证。我们请求在公开披露之前留出 90 天的时间。我们不提供任何金钱形式的漏洞赏金；如有要求，我们会公开署名致谢研究人员。
目前已经具备哪些，以及哪些可以应要求提供。如果某一行对您的审查很重要，那么所链接的那份文件，才是具有约束力的正式文本。
| 项目 | 状态 | 详细说明 |
|---|---|---|
| 《数据处理附录》（DPA） | 并不声称 | 属于服务条款的一部分。在您接受条款的时候就会自动适用；不需要进行任何会签手续。 |
| 跨境的国际数据传输安排 | 并不声称 | 欧盟标准合同条款（2021/914，模块二和模块三）、英国附录以及瑞士的适配版本，均已经被纳入到《数据处理附录》之中，作为其组成部分。 |
| 第 27 条所规定的法定代表 | 并不声称 | 我们在欧洲联盟和英国所指定的法定代表，均已经列在《隐私政策》以及公司信息页面之中，供您随时进行查阅和联系。 |
| 子处理者名单的变更 | 并不声称 | 至少提前 30 天通过电子邮件以及在名单之上发出通知，并且享有提出异议，以及终止合同并获得退款的权利。 |
| 个人隐私权利的相关请求 | 并不声称 | 10 天内确认收到；依据 GDPR 和 UK GDPR 在一个月内答复，依据美国各州法律则在 45 天内答复。 |
| 安全资料包 | 已经具备 | 一份架构与安全白皮书和一份已预先填写的安全问卷，可在线阅读或下载。 |
| 安全方面的各类调查问卷 | 并不声称 | 在 30 天内对合理的问卷提供书面答复，依据 DPA §9。 |
| 由客户进行的审计 | 并不声称 | 在文档不足以满足需要的时候：每年一次，需要提前 30 天发出通知，由一名受到保密义务约束的独立审计师来进行，相关的费用由客户自行承担。 |
| 我们各个子处理者所发布的合规报告 | 并不声称 | 我们的服务提供商所公开发布的合规报告，前提是我们有权与您分享这些报告。 |
| 漏洞赏金计划 | 并不提供 | 不提供任何金钱奖励。如有要求，会公开署名致谢研究人员。 |
每一份管辖本服务的文件，以及其当前版本所对应的日期。对于服务条款、《隐私政策》、《数据处理附录》以及《可接受使用政策》所作出的任何重大变更，我们都会至少提前 30 天，将其通知给所有的账户所有者，以便他们能够提前知晓。
| 文件名称 | 涵盖的主要内容 | 更新日期 |
|---|---|---|
| 服务条款的全文 | 关于网站、API、MCP 服务器以及控制台的协议：账户、各项费用、数据、各方所承担的责任，以及所适用的法律。 | |
| 隐私政策全文 | 我们会处理哪些个人数据、为什么要处理、谁会收到这些数据、会保存多长时间，以及如何行使您的各项权利。 | |
| 《数据处理附录》的全文 | 作为处理者的各项条款：子处理者、各项安全措施、数据泄露的通知、审计，以及跨境的国际数据传输。 | |
| 子处理者名单 | 每一家处理个人数据的服务提供商、它负责做什么、在哪里进行处理，以及变更是如何对外通知的。 | |
| Cookie 政策 | 我们网站上的 Cookie 以及浏览器存储、每一项的具体用途、它会持续多长时间，以及如何更改您所作出的选择。 | |
| 《可接受使用政策》 | 哪些事情不得使用本服务去做、如何执行这些规定，以及如何举报各类滥用的行为。 | |
| 负责任的安全漏洞披露 | 如何报告一个安全漏洞、哪些内容属于范围之内、安全港保护，以及我们的响应目标时间。 | |
| 数字服务法 | 面向欧盟主管机关和用户的联络点、我们在欧盟的法定代表、违法内容通知，以及决定理由说明。 | |
| 欧盟数据法 | 如何切换到其他提供商、导出您的数据、我们使用的格式，以及各项服务的运行地点。 | |
| 欧盟人工智能法 | 欧盟 AI 法案如何适用于 Intramedial 及其证据包，依文件自身所述。证据包映射控制项，绝不认证。 | |
| 撤回权 | 适用于欧盟和英国的消费者：如何在 14 天内撤回付费方案、可退还的款项，以及示范撤回表。 | |
| 公司信息 · Impressum | 谁发布本站、公司在何处注册及其代表人，依文件自身所述。另有德语版本。 |
正在进行供应商审查？请告诉我们您的需求。我们以书面形式答复问卷，并且在某项内容尚未公开时会明确告知。
按 DPA 规定，在 30 天内提供书面答复。请发送至 privacy@intramedial.com。
写信至 privacy@intramedial.com →Enterprise适用于 Enterprise 评估：服务等级协议、数据驻留位置、自定义的保留期限，以及各类采购相关的文书。
联系销售团队 →安全问题有关安全模型、签名密钥或者某一项安全发现的各种问题。安全漏洞请通过我们专门的漏洞报告表单来进行提交。
联系我们的安全团队 →隐私各类数据主体请求、对子处理者提出的异议，以及有关《数据处理附录》的问题。
联系隐私团队 →
