Nuestros principios
- El agente se supone engañado. No confiamos en que el modelo resista una inyección de prompts: diseñamos para que, aunque la siga, no tenga credenciales que entregar ni salida propia.
- Lo que no se puede revisar, no sale. Si el gateway no puede inspeccionar algo, lo bloquea.
- Nadie aprueba lo suyo. Quien pide una excepción nunca la aprueba, tampoco dentro de nuestro equipo.
- Evidencia, no promesas. Las barreras se prueban con pruebas repetibles que se pueden correr frente al cliente.
Custodia de datos
| Dato | Dónde queda | Quién decide la retención |
|---|---|---|
| Código y trabajo del agente | En el espacio de trabajo y en su repositorio | Su empresa |
| Credenciales | En una bóveda; solo el gateway las usa | Su empresa |
| Lo que se envía al modelo de IA | En el proveedor del modelo, en su cuenta y región cuando es posible | Su empresa y su contrato con el proveedor |
| Bitácora y evidencia | Separadas: la cadena de eventos y su contenido se guardan por separado | Su empresa |
Cómo desarrollamos
Construimos Harkaq siguiendo el marco de desarrollo seguro de software del NIST (SSDF) y el estándar de verificación de seguridad de aplicaciones de OWASP (ASVS, nivel 2). Las imágenes y los paquetes que publicamos van firmados y con su inventario de componentes (SBOM). Ninguna infraestructura se crea a mano: todo se define como código y se revisa.
Reporte de vulnerabilidades
Si encuentra una vulnerabilidad en Harkaq o en este sitio, escríbanos a seguridad@harkaq.com. Nos comprometemos a:
- Confirmar la recepción en un plazo de 3 días hábiles.
- Mantenerle informado mientras la corregimos.
- No emprender acciones legales contra quien investigue de buena fe, sin acceder a datos de terceros ni afectar el servicio.
Nuestro contacto de seguridad también está en /.well-known/security.txt.