مبادئ الأمن
صُمّمت betool من أجل البيئات الخاضعة للتنظيم. الأمن ليس طبقة تُضاف بعد الأمر: إنه الثابت الذي يُشكّل كل سطر برمجي، وكل عملية ترحيل، وكل وحدة.
1. تعدّد المستأجرين الصارم
تمتلك كل مؤسسة بياناتها وخطوط معالجتها (pipelines) وأسرارها وملفّاتها ومفاتيح LLM الخاصة بها. ويُفرَض العزل على النحو التالي:
- على مستوى قاعدة البيانات — يحمل كل جدول أعمال عمودًا مفهرسًا باسم
org_id، وتُرشّح الاستعلامات على جانب الخادم دائمًا حسب مؤسسة الجلسة. - على مستوى نظام الملفّات — لكل مؤسسة جذرها الخاص تحت
<data_root>/orgs/<org_id>/. لا مسارات مشتركة. - على مستوى التخزين المؤقّت (cache) — تخزين مؤقّت لكل مؤسسة على حدة؛ لا مدخل مشترك دون علامة صريحة
is_shared = TRUE. - على مستوى الأسرار — لكل مؤسسة خزينتها الخاصة، ومفاتيح API الخاصة بها، ورموزها المميّزة الخاصة. لا احتياطي عام.
2. التدقيق الإلزامي للوصول العابر للمستأجرين
قد تحتاج بعض الأدوار (عادةً حسابات مُشغّل المنصّة من جهة المورّد) إلى الوصول إلى محتوى مؤسسة أخرى لأغراض الدعم. وهذا الوصول:
- مشروط بموافقة صريحة (opt-in) من المؤسسة المستهدَفة — قابلة للإلغاء في أي وقت من لوحة الإدارة.
- مُسجَّل عند كل وصول — جدول تدقيق مخصّص، محدّد النطاق حسب المؤسسة المستهدَفة، ومكشوف للعملاء عبر مسار
GET /api/admin/me/*-reads. - مرفوض إذا فشلت كتابة التدقيق — لا قراءة دون أثر.
راجع تدقيق GDPR.
3. الرفض المُعلَّل للعمليات المُدمِّرة
تُرفَض أي عملية تُدمّر محتوى مؤسسة أخرى أو تستبدله (استبدال في المكان REPLACE-IN-PLACE للعناصر الفرعية، أو DELETE) إذا لم تُفعّل المؤسسة المستهدَفة موافقة القراءة. المبرّر: دون رؤية، سيقترح المُشغّل حمولةً قد تطمس المحتوى الموجود عشوائيًا.
4. سيادة نموذج LLM
- BYOK أصيل — تُدار مفاتيحك من OpenAI وAnthropic وMistral بواسطة مؤسستك. لا تسرّب عبر المؤسسات.
- نماذج خاصّة في خطة Enterprise — Ollama وvLLM مُستضافة على عتادك الخاص أو في سحابتك الخاصة. لا تغادر المحفّزات (prompts) والإكمالات محيطك أبدًا.
- لا تجميع مشترك صامت — إذا استخدمت مؤسسة نموذجًا مشتركًا، فهذا قرار صريح مع التحكّم في الوصول.
موقف هندسي
معيارنا هو الدقّة: أقصى قدر من المتانة، ورصد شامل، وحتمية، ومقاومة للهلوسة، ومقاومة للانحدار، واختبارات عند كل منعطف.
عمليًا، عند كل مفاضلة على مستوى البنية / الكود / المحفّز:
| الخيار | الخيار المتوقَّع | لماذا |
|---|---|---|
| مضاعفة زمن الاستجابة مقابل استدلال مختصر | مضاعفة الزمن | الدقّة المفقودة تُدفع من رصيد ثقة المستخدم |
| رصد دقيق التفاصيل مقابل السجلّات الأساسية فقط | رصد دقيق التفاصيل | دون رؤية، يكون التصحيح أعمى |
| اختصار يُضعف سلوكًا | الرفض | يُقاس الخطر السلوكي بحوادث العملاء |
الشعار: «إذا وجد أحدهم عيبًا، فهذا يعني أننا لم نضع ما يكفي من الضمانات، لا أننا وضعنا أكثر من اللازم.»