Безопасность

Что ассистент может и чего не может на вашем компьютере, как устроено соединение и что мы храним. Честно, включая слабые места.

Соединение

ChatGPTконнектор MCP

Сервер BridgeratorHTTPS · OAuth 2.1 + PKCE

Мост на ПКисходящий WSS · ключ устройства

Только исходящее соединение

Мост сам подключается к серверу по защищённому WebSocket. На ПК не открывается ни одного входящего порта; не нужны белый IP и проброс портов.

TLS при передаче

Весь трафик между ChatGPT, сервером и мостом идёт по TLS. Сервер расшифровывает запросы, чтобы переслать их на ваш ПК, — это не сквозное шифрование, но содержимое не сохраняется.

Ключ устройства

Каждый ПК подключается со своим ключом — он выдаётся, когда вы подтверждаете компьютер в браузере. Ключ хранится в вашем профиле Windows, а у нас — только его необратимый хеш.

Вход и отзыв доступа

ChatGPT получает доступ только после входа по OAuth 2.1 с PKCE и видит только ваши устройства. Смена пароля сразу отзывает все выданные доступы. После 8 неудачных попыток входа за 10 минут IP блокируется на час.

Что ассистент может трогать

Правила задаются в %APPDATA%\Bridgerator\config.json на самом ПК. Ассистент не может их изменить: инструмент смены настроек ему не показывается.

`allowedDirectories`

Папки, в которых работают файловые инструменты. По умолчанию — ваша папка пользователя. Пустой список означает весь диск.

`deniedDirectories`

Папки, закрытые даже внутри разрешённых. По умолчанию ~\.ssh и ~\AppData. Пути проверяются с учётом символических ссылок и junction, а упоминания закрытых папок вырезаются из поиска и списков.

`disabledTools`

Инструменты, которые ассистент вообще не увидит. Например, ["start_process", "interact_with_process"] выключает терминал.

`blockedCommands`

Команды, которые мост не выполнит. Если ключа нет, действует встроенный список: format, diskpart, reg, net, sc, runas, netsh, takeown и другие.

Терминал — не песочница по папкам. Команда в PowerShell выполняется с правами вашей учётной записи Windows и может прочитать всё, что можете вы. Мост отклоняет команды, где прямо названа закрытая папка, но это вежливость, а не граница. Нужны строгие ограничения — выключите терминал через disabledTools.

Мост работает от вашего пользователя (скрытая задача планировщика при входе), никогда не от SYSTEM и без прав администратора.
Изменяющие инструменты помечены для ChatGPT как требующие подтверждения, инструменты только для чтения — как безопасные. Читайте, что подтверждаете.

Данные

Что мы храним

Учётную запись (e-mail, хеш пароля), список устройств и месячный счётчик вызовов.

Что не храним

Содержимое и пути файлов, результаты поиска, текст и вывод команд. Они проходят через сервер в памяти и не пишутся ни на диск, ни в логи: журналы запросов на сервере выключены, в журнал попадают только названия ошибок.

Куда уходят результаты

В ChatGPT — как результат инструмента. Дальше с ними работает OpenAI по своим правилам.

Телеметрия

Мост построен на открытом движке инструментов; его телеметрию, удалённые флаги и всплывающие окна мост отключает. Журнал вызовов остаётся на ПК.

Полностью — в политике конфиденциальности.

Проверьте сами

Мост — открытый код под лицензией MIT. Перед установкой можно прочитать install.ps1, скачать пакет и сверить его с исходниками на npm. Логика закрытых папок — в src/policy.mjs.

Код сервера тоже открыт: исходники сервера. Какой коммит работает сейчас — на /version. В коде есть тест, который прогоняет вызов с меткой и проверяет, что метки нет ни в логах, ни в файле данных (test/relay.test.js).

Нашли уязвимость? Напишите на info@recondeck.com с темой «Bridgerator security» — такие письма разбираем первыми.