Daten und Sicherheit

Was mit Ihren Daten geschieht und was auf Ihren Rechnern läuft

Geschrieben für alle, die es freigeben müssen: Datenschutzbeauftragte und IT-Leitungen. Es beschreibt, was die Software heute tut und was sie nicht tut. Grundlage ist unsere eigene Durchsicht des Codes; eine externe Prüfung gab es noch nicht.

Für die Evaluierung bewerben Was noch nicht gebaut ist

Wer was lesen kann

Der Pool ist die Grenze: Das Modell eines Pools läuft nur auf den Rechnern dieses Pools. Nehmen Sie nur Rechner in einen Pool auf, denen Sie vertrauen, und betreiben Sie den Koordinator selbst, wenn Prompts im Haus bleiben müssen.

Wo	Was dort lesbar ist
Der Koordinator	Prompts und Antworten laufen bei jeder Anfrage durch seinen Arbeitsspeicher. Chats in der Weboberfläche werden dort im Klartext gespeichert, bis ihr Besitzer sie löscht. Chats über die API werden nicht gespeichert.
Der Rechner mit den ersten Schichten	Den Prompt als Text, weil er ihn in Tokens umwandelt.
Rechner in der Mitte	Zwischenwerte, keinen Text. Wir behaupten nicht, dass diese Zahlen anonym sind: Behandeln Sie sie als sensibel.
Der Rechner mit den letzten Schichten	Die Antwort, weil er jedes ihrer Wörter auswählt.
Ein einzelner Rechner	Alles, wenn er das ganze Modell hält.
Das Relay	Läuft auf dem Koordinator und überträgt Daten zwischen Rechnern, die einander nicht erreichen. Es leitet sie weiter, ohne sie zu decodieren, aber sie sind dort nicht verschlüsselt.

Gespeicherte Chats. Oberfläche und API zeigen einen Chat nur seinem Besitzer, auch Admins nicht. Wer die Datenbank oder ein Backup öffnen kann, kann sie lesen.
Logs. Prompts und Antworten werden planmäßig nicht protokolliert. Die Fehlerausgabe eines Rechners gelangt ungefiltert in sein Log: Das ist also eine Entwurfsregel, keine Garantie.
Nutzungsstatistik. Zeit, Modell, Rechner, Tokenzahlen und Latenz, ohne Text und ohne Benutzer, standardmäßig 7 Tage aufbewahrt.

Wie es übertragen wird

Browser zum Koordinator. HTTPS, wo der Koordinator hinter TLS betrieben wird, wie unserer. Ohne TLS läuft der Verkehr als reines HTTP: Betreiben Sie ihn also mit TLS.
Direkt zwischen Rechnern. SilentSwarm verschlüsselt heute nicht selbst. Direkte Verbindungen sind reines TCP: Nutzen Sie ein Netz, dem Sie vertrauen, oder das Mesh.
Über das Mesh. Ein WireGuard-Mesh mit dem Tailscale-Client und einem selbst betriebenen Headscale-Server verschlüsselt diesen Verkehr, solange es steht. Das geschieht nach bestem Bemühen: Fällt es aus, läuft der Verkehr über das Relay.

Was gespeichert wird und wie lange

Trainingsdaten liegen als normale Dateien auf dem Koordinator. Die Rechner eines Trainings holen sie von dort oder von Hugging Face, wenn ein Datensatz über seinen Namen angegeben ist.
Modelle liegen auf dem Koordinator und auf den Rechnern, die sie bereitstellen. Sie bleiben erhalten, wenn die Trainingsdaten gelöscht werden.
Keine Verschlüsselung ruhender Daten. SilentSwarm verschlüsselt nicht, was es speichert: Nutzen Sie Festplattenverschlüsselung. Backups erstellen Sie selbst, und sie behalten, was später gelöscht wurde.
Keine Frist für Chats, das Audit-Log, Anfragen, Trainingsdaten oder Modelle.
Löschen. Besitzer löschen ihre Chats selbst. Ein Konto löscht ein Admin; das beendet den Zugang, entfernt aber nicht alle Daten: Trainingsdaten, Modelle, Audit-Einträge und Anfragen bleiben, bis sie gesondert gelöscht werden.

Was auf Ihren Rechnern läuft

Keine Sandbox. Der Worker ist ein normaler Prozess mit den Rechten dessen, der ihn installiert hat. Als Root installiert, läuft er als Root: Installieren Sie ihn also als normaler Benutzer.
Wer den Koordinator kontrolliert, kontrolliert seine Worker. Bei einem Update lädt ein Worker ein Skript vom Koordinator und führt es mit seinen Rechten aus. Eine Prüfsumme von demselben Koordinator zeigt, dass der Code unversehrt ankam, nicht, wer ihn geschrieben hat. Betreiben Sie also Ihren eigenen Koordinator oder vertrauen Sie dem, dem Sie beitreten.
Was es installiert. Das Verzeichnis ~/.silent-swarm und einen Autostart-Eintrag, als Dienst oder Cron-Zeile, außer Sie geben --no-autostart an. Modelle landen im Hugging-Face-Cache.
Im Netzwerk. Es verbindet sich nach außen zum Koordinator. Beim Bereitstellen lauscht es zudem auf seinen Pipeline-Ports, auf allen Schnittstellen, außer SWARM_ZMQ_BIND_HOST bindet sie an eine. Die Firewall ändert sich nur, wenn Sie --allow-from angeben.
Was es meldet. Hostname, Prozessor, Arbeitsspeicher, freien Plattenplatz, GPUs, IP-Adressen, Auslastung, Temperatur und Leistung, seine Logs sowie Name, ID und Speicherbedarf anderer Prozesse auf seinen GPUs.
Entfernen. fellow purge entfernt das Verzeichnis, den Autostart-Eintrag und die angelegten Firewall-Regeln. Der Hugging-Face-Cache bleibt.

Konten und Zugriff

Zugangsdaten. Passwörter werden als scrypt-Hashes gespeichert, Sitzungen und API-Tokens als SHA-256-Hashes. Zwei-Faktor-Anmeldung mit einer Authenticator-App ist verfügbar und freiwillig.
API-Tokens tragen Berechtigungen: read, operate und admin.
Audit-Log. Sicherheitsrelevante Vorgänge werden mit Adresse und IP festgehalten und sind für Admins lesbar. Einträge lassen sich darüber nicht ändern, aber gegen jemanden mit Datenbankzugriff ist es nicht manipulationssicher.
Quellcode prüfen. Der Quellcode ist nicht öffentlich. Eine Prüfung des Quellcodes unter NDA ist auf Anfrage möglich.
Standardmäßig gesperrt. Eine API-Route ohne ausdrückliche Einstufung wird abgelehnt.
Installation. Das Installationsskript prüft das Quellarchiv gegen eine Prüfsumme, bevor es etwas ausführt. Auf unserem Koordinator brauchen Skript und Quellcode ein Beitritts-Token oder die Zugangsdaten eines Rechners.

Wer sonst beteiligt ist

NexPatch. Bei der Durchsicht des Codes fanden wir keinen Aufruf an uns von einem Koordinator, den Sie selbst betreiben. Das ist eine Code-Durchsicht, kein Mitschnitt des Verkehrs.
Hugging Face. Downloads von Modellen und Datensätzen sowie Abfragen ihrer Namen und Größen.
Tailscale. Der Download des Mesh-Clients und die Karte seiner öffentlichen Relays. Mesh-Verkehr kann über diese Relays laufen, wenn Rechner keinen direkten Weg haben. Weiteren Kontakt haben wir nicht durch einen Mitschnitt ausgeschlossen.
Paketquellen. Python-Pakete während der Installation.
Ihr Browser. Die Weboberfläche lädt nichts von Dritten.
Was Sie einrichten. Ihr Mailserver, Webhooks für Warnungen und Adressen, von denen Sie Daten importieren.

Was noch nicht gebaut ist

Eine Sandbox für den Worker.
Eigene Verschlüsselung zwischen Rechnern.
Verschlüsselung ruhender Daten.
Fristen für gespeicherte Chats und das Audit-Log.
Selbstbedienung beim Löschen des Kontos und beim Datenexport.
Eine externe Prüfung oder Zertifizierung, etwa BSI C5 oder ISO 27001.

Etwas gefunden?

Melden Sie eine Sicherheitslücke an security@nexpatch.ai. Alles andere geht an info@nexpatch.ai.