安全与合规

• 推论可完全在客户控制的硬件上运行。
• 事件、快照和审计记录可保留在客户控制的数据目录中。
• 云端模型和外部集成为可选项；由管理员选择启用哪些服务。

• 指令角色分为 viewer、operator 和 admin。
• MCP 端点使用 bearer token 身份验证；指令工具默认关闭。
• 影响重大的操作应要求人工批准，并通过现有现场控制系统执行。

• 状态变化写入只追加的事件日志。
• 危急事件可保留带时间戳的图片证据。
• 助手工具调用、通知及操作员操作可保留来源和时间信息。

• 敏感配置通过环境变量提供，不应提交到源码版本库。
• 外部警报 webhooks 支持 HMAC 验证。
• 推论、通知及助手工具的故障与主监控循环相互隔离。

我们目前不宣称持有 SOC 2、ISO 27001、HIPAA 或其他第三方认证。如果采购流程要求特定控制措施、DPA、数据驻留或安全问卷，请联系我们评估部署。

请勿在公开 issue 中披露漏洞。请将复现步骤、影响及联系方式发送至 security@tensordynamics.org。