セキュリティ脆弱性の報告
crewai.workのアカウント、ログイン、組織の境界、AI Crewの委任範囲で見つかったセキュリティの問題を受け付けています。実際のユーザーとデータを保護する方法で確認していただき、運用者が確認して緩和する時間をお与えください。
報告を受け付ける領域と受け付けない試験
セキュリティのご案内で扱う身元、セッション、組織の境界、委任と承認の領域の問題を報告の対象とします。試験そのものがユーザーやサービスに被害を与えうる方法は、報告の対象外です。
- ログインとセッション：認証、ログアウト後のセッション無効化、アカウント連携
- 組織とデータの境界：他の組織のデータや権限に届きうる問題
- AI Crewの委任：委任範囲や人の承認ポイントを回避しうる問題
- 外部サービスとの連携：連携の認証情報が露出する、または依頼した範囲を超える問題
範囲に含まれない行為
- サービス拒否と大量の自動化
- フィッシングとソーシャルエンジニアリング
- 認証情報への攻撃
- 実際のユーザーデータへのアクセス・変更・削除
- 事前の許可のない侵入テスト
報告に含めてください
contact@crewon.aiに、件名に[セキュリティ]を付けてお送りください。
お送りいただく内容
- 影響範囲：どのアカウント・組織・サービスに影響があるか
- 再現条件：再現に必要な手順と環境
- 関連するURL
- 安全な連絡方法
メールに含めないでください
- 認証コード
- パスワード
- OAuthトークン
- 顧客データの原文
確認の際に守ってください
- 実際のデータに手を触れない
- 実際のユーザーデータにアクセスしたり、変更・削除したりしないでください。
- 可用性を損なわない
- サービス拒否や大量の自動化で試験しないでください。
- 人を対象にしない
- フィッシング、ソーシャルエンジニアリング、認証情報への攻撃を行わないでください。
- 先に公開しない
- 運用者が確認して緩和する時間を与える前に公開しないでください。
報告後はこのように進みます
セキュリティのご案内のインシデント対応基準に従って処理します。
- 受付の確認お送りいただいた内容を受け付け、お知らせいただいた安全な連絡方法で確認事項をやり取りします。
- 再現と影響評価再現条件を確認し、影響を受けるアカウント・組織・サービスの範囲を把握します。
- 措置必要に応じてセッションと認証情報を制限し、復旧と証拠の保全を進めます。
- 結果のご案内個人情報の侵害や顧客の運用に重大な影響が確認された場合は、関連する法令と契約に従って、影響、対応、ユーザーが取るべき措置をご案内します。確認前に正常化を断定したり、過小に伝えたりすることはありません。
積極的な試験は事前に書面で協議してください このページは、事前の許可のない侵入テストの範囲を自動的に承認するものではありません。積極的な試験が必要な場合は、試験の範囲を事前に書面で協議してください。 試験範囲の協議を依頼 →
報告の窓口
- セキュリティ脆弱性の報告
contact@crewon.ai件名に[セキュリティ]- 個人情報侵害の疑い
contact@crewon.ai件名に[個人情報]