Lewati ke konten utama
Halaman ini adalah terjemahan mesin dan belum sepenuhnya ditinjau. Teks asli berbahasa Inggris adalah acuan yang berlaku. Pernyataan tentang keamanan, privasi, penanganan data, kepatuhan, dan lisensi tetap dalam bahasa Inggris sampai peninjau teknis menyetujuinya. Baca teks asli berbahasa Inggris

Penyiapan untuk insinyur keamanan

Titik penerapan: SDK dan Gateway (di seluruh organisasi) Mode yang didukung: Hosted Hybrid Local Paket: Free Solo Teams

Untuk siapa ini​

Anda bertanggung jawab atas apa yang keluar dari gedung.

Teks asli berbahasa Inggris -- terjemahan menunggu tinjauan teknis

AI tools are a new egress path, and you need deterministic prevention on enforcing surfaces, explicit coverage on every event, and a complete audit trail.

Apa yang biasanya ingin Anda kendalikan​

Teks asli berbahasa Inggris -- terjemahan menunggu tinjauan teknis

  • Secret and PII egress. API keys, tokens, SSNs, and card numbers must never leave in a tool call or prompt.
  • Kebijakan bersama di seluruh SDK, gateway, dan asisten pengodean, dengan penerapan dinyatakan per event alih-alih disimpulkan dari host.

Teks asli berbahasa Inggris -- terjemahan menunggu tinjauan teknis

  • Evidence. A durable, queryable trail of every decision that distinguishes “did not run” from “ran and found nothing.”

Titik penerapan mana yang dipasang​

Tulis satu kebijakan dan gunakan SDK di aplikasi yang Anda kendalikan serta Gateway di depan aplikasi yang tidak Anda kendalikan. Keduanya memindai argumen alat terhadap pola DLP bawaan (kunci AWS, token GitHub, SSN, kartu, dan lainnya) secara otomatis. Blokir akan menolak pemanggilan. Hook Python SDK pada Claude Code dan Gemini CLI sebagai gantinya dapat menyamarkan kecocokan di tempat dan membiarkan pemanggilan berlanjut. Pada titik penerapan asisten pengodean yang tidak dapat menerima input alat yang ditulis ulang -- Cursor, Kiro, Codex CLI, Antigravity -- aturan mask berubah menjadi penolakan. Gateway dapat menyamarkan, baik pada jalur permintaan maupun respons, tetapi tidak melakukan keduanya secara default: Gateway mendeteksi. Lihat Gateway untuk sakelarnya.

pip install controlzero

Kebijakan awal​

Izinkan penggunaan LLM dan alat yang normal, tetapi blokir keluarnya secret/PII melalui aturan DLP. block DLP menimpa aturan izin yang seharusnya berlaku, sehingga ini menghentikan kebocoran bahkan pada kebijakan yang sebaliknya permisif:

version: '1'
settings:
  default_action: allow
  default_on_missing: deny
  default_on_tamper: quarantine
rules:
  - id: allow-llm
    allow: 'llm:generate'
    reason: 'LLM use is permitted; DLP below stops leaks regardless.'
dlp_rules:
  - id: block-internal-codes
    pattern: 'PROJ-[A-Z]{3}-\d{6}'
    category: custom
    action: block
    reason: 'Internal project codes must not leave the agent.'

Teks asli berbahasa Inggris -- terjemahan menunggu tinjauan teknis

Built-in DLP patterns are always active; the rule above adds a custom one.

Untuk membangun kumpulan aturan DLP yang lebih luas di dasbor, lihat Menyiapkan aturan DLP.

Apa yang akan Anda lihat​

  • Blokir DLP muncul di Audit Log dengan decision: deny dan kode alasan DLP_BLOCKED, yang memberi tahu Anda dengan tepat pola mana yang terpicu dan pada pemanggilan mana.
  • Setiap baris menyatakan cakupan untuk event tersebut. Matriks kapabilitas diturunkan dari deklarasi kapabilitas SDK sendiri; jalankan controlzero coverage --json untuk mengekspornya untuk instalasi Anda (controlzero coverage tanpa opsi hanya mencetak ringkasan singkat per host).

Teks asli berbahasa Inggris -- terjemahan menunggu tinjauan teknis

  • Each plan defines an audit log retention window -- 7 days on Free, 90 days on Solo, and 365 days on Teams -- which is plan policy and is not applied yet (see the note below: retention is an organization setting that defaults to 30 days today). Query, filter, and export the logs for reviews.
  • Luncurkan di seluruh organisasi dengan hanya-pantau terlebih dahulu agar Anda mengukur upaya egress yang nyata sebelum mulai memblokir.

Teks asli berbahasa Inggris -- terjemahan menunggu tinjauan teknis

Audit retention is the configured window, not yet enforced deletion

Automatic deletion of audit records at the end of the window is not currently running on the production audit store, so audit records are kept longer than the window. Deletion will be switched on only after dated notice to affected organizations. When tiered audit retention takes effect, Free organizations created before then keep their existing 30-day window unless an owner changes it, and an owner can set a shorter window.

Langkah berikutnya​