Как устроена безопасность

Страница для тех, кто согласует внедрение: какие соединения установка Vrio открывает наружу, что именно видит языковая модель, где выполняются операции агента и что остаётся у вас на сервере.

Коротко: наружу уходит только то, что нужно для ответа, и только по адресам, которые задали вы. Ни одного соединения с поставщиком продукт не устанавливает — ни для проверки лицензии, ни для статистики, ни для обновлений.

Куда служба ходит наружу

Соединение	Адрес	Когда
Языковая модель	VRIO_LLM_BASE_URL — задаёте вы	на каждый вопрос агенту
Модель эмбеддингов	по умолчанию тот же адрес	при работе долговременной памяти
Мессенджеры	Telegram и MAX	только если мессенджеры включены
Внешние MCP-серверы	адреса, которые вы добавили в консоли	только при обращении к их инструментам

Это весь исходящий трафик. Первые две строки убираются в ноль установкой модели в вашей же сети: тогда данные не покидают контур вообще. Последние две по умолчанию выключены.

Куда она не ходит

Телеметрии нет. Ни статистики использования, ни отчётов об ошибках, ни «анонимных метрик» — функции, которая бы их отправляла, в продукте нет.

Лицензия проверяется без интернета. Ключ — подписанная строка; служба проверяет подпись встроенным открытым ключом. Ни при активации, ни при запуске обращения к поставщику не происходит. Подробнее — Лицензия.

Обновления не приходят сами. Новый образ присылает поставщик, устанавливаете его вы. Служба никуда не заглядывает и ничего не докачивает.

Что видит языковая модель

Чтобы ответить на вопрос по данным, модель эти данные получает. Персональные данные служба от неё скрывает: ФИО, ИНН, СНИЛС, паспорт, телефоны, адреса и даты рождения уходят к поставщику облачной модели метками, а настоящие значения остаются в вашей сети. Скрытие включается для базы в консоли — см. ниже.

Уходит в модель	Не уходит
Вопрос пользователя и ход текущего диалога	Журнал действий
Результаты запросов, которые агент выполнил в базе, — то есть реальные данные	Пароли и секреты из настроек службы
Состав конфигурации: имена справочников, документов, реквизитов	Ключ связи с базой, ключ лицензии
Содержимое приложенных файлов	Данные, к которым у пользователя нет прав
Факты, которые пользователь просил запомнить	Данные других баз, если человек к ним не допущен

Объём ограничен правами человека: агент работает под правами того, кто задал вопрос, и получает из базы ровно то, что получил бы этот человек сам.

Скрытие персональных данных

Служба заменяет персональные данные метками до того, как запрос уйдёт к поставщику модели. Для базы включается скрытие персональных данных: консоль, раздел «Информационные базы», кнопка «Персональные данные» в строке базы. Тогда ФИО, ИНН физлица, СНИЛС, паспорт, телефон, e-mail, адрес и дата рождения уходят в модель метками вида [[ФИО_1]]. Модель работает с метками: ищет, сравнивает, пишет код и запросы. Служба подставляет настоящие значения на своей стороне: в код и запросы к 1С, в окно подтверждения и в ответ человеку. Таблица «метка → значение» хранится только в памяти службы и поставщику модели не передаётся.

Где выполняются операции

Агент отвечает не только текстом: часть задач он решает, собирая обработку 1С и выполняя её. Это происходит на вашем сервере, внутри вашей базы. Наружу обработка не уходит и у поставщика не выполняется.

Где	Режим
На сервере 1С	всегда в безопасном режиме платформы — файлы, COM, внешние компоненты и привилегированный режим недоступны
На клиенте 1С	без песочницы: безопасного режима на клиенте платформа не предоставляет. Обработка работает в сеансе пользователя и его прав не превышает

Безопасный режим на сервере включён всегда и настройкой не отключается. Строка VRIO_SAFE_MODE_DEFAULT в примере .env осталась от ранней версии и ни на что не влияет.

Подтверждение. Прежде чем выполнить собранную обработку, агент описывает пользователю, что она сделает, и ждёт согласия — до нажатия «Разрешить» не выполняется ничего. Сотрудник с ролью «Анализ кода» видит в том же окне и текст самой обработки. Подтверждение закрывает именно этот путь: запуск обработок. Чтение данных через него не проходит.

Сотрудник с ролью «Автономный режим агента» может отключить подтверждения для себя, выбрав в чате 1С автономный режим. Остальные защиты при этом действуют: безопасный режим, роль «Выполнение произвольных операций», автоматическая остановка после нескольких неудач подряд и журнал аудита. В журнале такое действие отмечено отдельной записью «consent / autonomous» — видно, кто и что выполнил без подтверждения. В мессенджерах подтверждение не отключается.

Что хранится у вас

Всё, что служба накапливает, лежит в одном хранилище Docker на вашем сервере. Наружу ничего из этого не копируется.

Что	Где
Переписка с агентом	vrio_checkpoints.sqlite
Долговременная память агента и память компании	vrio_memory.sqlite
Скиллы (порядок действий и код, сохранённые по просьбе сотрудников)	папка skills, обычные файлы
Файлы чатов (приложенные и подготовленные агентом)	каталог vrio_files, хранятся, пока существует чат
Учётные записи консоли, модели, базы, мессенджеры	vrio_control.sqlite
Журнал действий	файл журнала, дописывается только в конец

Резервное копирование этого хранилища описано в инструкции по установке.

Мастер-ключ. Секреты в vrio_control.sqlite шифруются мастер-ключом. Задавать его не нужно: служба выпускает ключ сама при первом запуске и кладёт в папку secrets рядом с docker-compose.yml — отдельно от данных, чтобы копия данных сама по себе ничего не расшифровывала. Обратная сторона: эту папку нужно хранить в резервной копии наравне с данными, иначе сохранённые API-ключи и токены не восстановить.

Что записывается

Каждый запуск обработки и каждое обращение к данным попадает в журнал: кто, что, чем закончилось. Отклонённые пользователем действия — тоже.

Две особенности, которые стоит знать заранее:

• Запись — условие выполнения. Если журнал недоступен для записи, команда не выполняется. Система, выполняющая обработки на рабочей базе, не должна уметь делать это молча.
• Журнал защищён от правки задним числом: записи сцеплены хешами. Как читать его состояние — в разделе «Аудит» веб-консоли.

Переписки в журнале нет: видно, что выполнялось, а не то, что человек писал в чат.

Чем всё это ограничивают

Рычаги, от самого сильного к самому мелкому:

Рычаг	Что даёт
Модель в своей сети	данные не покидают контур
Роли расширения	без «Выполнение произвольных операций» агент отвечает, но не действует — см. шаг 5 установки
Права пользователя в 1С	потолок для всего остального: агент их не превышает
Профили файлов	что вообще можно приложить к сообщению — «Форматы файлов» в консоли
Внешний доступ	выключен по умолчанию — Доступ для других программ
Мессенджеры	выключены по умолчанию; каждый сотрудник привязывается отдельно
Долговременная память	отключается настройкой VRIO_MEMORY_ENABLED=false
Память компании	пишет только администратор; предложения сотрудников ничего не меняют, пока он их не примет. Отключается VRIO_COMPANY_MEMORY_ENABLED=false
Скиллы	личные у автора; общими становятся только после принятия администратором. Отключаются VRIO_SKILLS_ENABLED=false

Частые вопросы

Агент может обойти права пользователя? Нет. Он обращается к базе от имени того, кто задал вопрос, и получает те же отказы, что получил бы человек.

Может ли через память компании одному сотруднику попасть то, что видел другой? Нет. Память компании агент никогда не пополняет сам — ни из разговоров, ни из данных базы. В неё попадает только то, что администратор внёс или принял из предложений сотрудников. Личная память каждого сотрудника остаётся только его. Поэтому единственный путь в общую память — решение администратора: не вносите туда персональные данные и то, что знать положено не всем.

Может ли скилл обойти подтверждение? Нет. Скилл — это текст и код на языке 1С, которые агент запускает обычными инструментами: подтверждение, безопасный режим, права пользователя и журнал действуют так же, как для любого другого кода. Код вне 1С скилл не запускает.

Может ли он изменить конфигурацию базы? Нет. Он работает с данными; новых справочников, документов и реквизитов от него не появится.

Что видит поставщик? Ничего. Соединений с поставщиком у работающей установки нет.

Кто может выпустить доступ наружу? Только обладатель отдельной роли, которая не входит в обычный набор пользователя, и только своими правами — см. Доступ для других программ.

Можно ли посмотреть, что агент делал в базе? Да, это и есть журнал действий. Он же — ответ на вопрос «кто это сделал», если что-то пошло не так.