Skip to content

Repository navigation

Security: xtrem21-source/AiTron-V3

Security

SECURITY.md

Sécurité — AiTron V3

Signaler une vulnérabilité

N'ouvrez pas d'issue publique. Utilisez l'avis de sécurité privé du dépôt :

https://github.com/xtrem21-source/AiTron-V3/security/advisories/new

Indiquez :

  • la version (VERSION ou sortie de Run-LocalAI.bat status) et la version de Windows ;
  • ce qui est exposé, et comment le reproduire ;
  • la configuration concernée (port, clés API, modèle) sans joindre de secret ;
  • si possible, la sortie de dev\crash.log correspondante.

Périmètre

AiTron V3 est un outil local-first : par défaut, rien n'est envoyé à l'extérieur. Le cloud n'est utilisé que si des clés API sont configurées explicitement.

Protections en place

Mesure Détail
Filtre PII (best-effort) regex + entropie + NER local, masquage réversible [PII-TYPE-n], désactivable par --no-pii-filter
Espace hermétique AES-256-GCM authentifié, clé dérivée PBKDF2 (jamais stockée), vérification avant suppression
Local-first aucune télémétrie, aucun appel sortant sans configuration
Intégrité des binaires SHA-256 + garde-fou d'en-tête PE (MZ) au téléchargement

Ce qui n'est pas protégé

  • Le rendu navigateur de l'interface web.
  • L'effacement de la mémoire (ramasse-miettes Python).
  • La perte du mot de passe de l'espace hermétique : les données sont perdues.
  • Un vol physique de la machine allumée.
  • Les modèles et backends tiers : leur sécurité relève de leurs projets d'origine.

Versions prises en charge

Seule la dernière version publiée est maintenue. Les versions antérieures ne reçoivent pas de correctif de sécurité.

Bonnes pratiques

  1. Mot de passe fort pour l'espace hermétique.
  2. Ne jamais versionner config\cloud-keys.env (déjà exclu par .gitignore).
  3. Auditer régulièrement docs/dev/crash.log et les journaux d'exécution.
  4. Vérifier les SHA-256 des binaires téléchargés (SHA256SUMS.txt).
  5. Désactiver le filtre PII uniquement si c'est légitime, et en connaissance de cause.

There aren't any published security advisories