Chúng tôi bán khả năng tấn công. Nhưng chúng tôi từ chối lạm dụng nó.

Mỗi dự án đi kèm với một allowlist gồm các kho lưu trữ, địa chỉ hợp đồng hoặc tên miền. Công cụ từ chối biên dịch, truy xuất hoặc khai thác bất cứ thứ gì nằm ngoài allowlist — kiểm tra này nằm ở lớp cơ sở dữ liệu, không phải trong mã ứng dụng.

Các lượt chạy chỉ thực thi đối với các mục tiêu được hỗ trợ bởi tài liệu ủy quyền đã ký. Người vận hành thấy tài liệu được liên kết trong bảng điều khiển cho mọi dự án đang hoạt động; ủy quyền hết hạn hoặc thiếu sẽ chặn lượt chạy trước khi nó bắt đầu.

Các lượt quét khai thác Web2 / AI chạy bên trong môi trường staging sandbox — dải của bạn, sự cô lập của bạn. Việc thăm dò môi trường thực (production) chỉ xảy ra khi bạn chọn tham gia rõ ràng và tài liệu ủy quyền nêu rõ mục tiêu đó.

Mỗi khách hàng (tenant) được cô lập bằng RLS. Quyền truy cập vai trò dịch vụ (service-role) được dành riêng cho đường dẫn thu nhận đã xác minh và bảo trì quản trị — không bao giờ cho các lượt đọc thông thường.

Mỗi lượt chạy, phát hiện, lệnh AI co-pilot và yêu cầu gửi đi đều được ghi lại với danh tính người vận hành và dấu thời gian. Bạn có thể tái hiện chính xác những gì công cụ đã làm, trên mục tiêu nào và theo ủy quyền của ai.

Chúng tôi không quét một cách tùy tiện. Chúng tôi không thăm dò các mục tiêu không nằm trong allowlist của khách hàng. Chúng tôi không bán các cảnh báo chưa xử lý dưới danh nghĩa 'phát hiện'. Nếu không thể chứng minh được, chúng tôi sẽ loại bỏ.