O que garantimos hoje, controle por controle.
Governança que não se submete à própria régua é apresentação. Aqui estão os controles que a sua área de segurança avalia, em texto claro e verificável.
A documentação de segurança não pode envelhecer em silêncio.
Todo fornecedor promete que o material de conformidade está em dia. Aqui, três documentos estão presos ao código por teste: se o código mudar e o texto não acompanhar, a build reprova.
Contrato da API pública
O documento e o código têm guarda de deriva. Editar um sem o outro reprova a integração contínua.
Laudo de conformidade
Gerado por comando, nunca escrito à mão. Editar o arquivo manualmente reprova o CI.
Retenção e dados
A lista de tabelas que só acrescentam é derivada das migrations. Uma tabela nova que não apareça no documento reprova o CI.
É a mesma tese do produto aplicada ao próprio material: a regra deixa de ser documento e passa a ser executável.
Os controles que a sua avaliação de fornecedor pede.
O que governamos, controle por controle: acesso, autoria, autoridade, trilha e tratamento de dado. É o mapa que a sua área de segurança usa para avaliar a plataforma.
Trilha de decisões imutável
Registro append-only com autor, autoridade e base por decisão.
Registro do período sem governança
Quando o portão não consegue perguntar, ele libera a escrita, e essa passagem fica marcada como não governada, com a causa separada: tempo esgotado, servidor fora do ar, erro de resposta ou versão incompatível. A trilha de um dia sem controle não se parece com a de um dia governado.
Separação de credencial entre pessoa e agente
Aprovar spec, reprovar qualidade e mergear exigem credencial de pessoa, verificada na origem.
Barreira de escopo no editor
O Guard impede o agente de escrever fora do card aprovado para a branch.
Análise de desvio entre spec e diff
O Judge escreve no próprio PR onde a entrega se afastou do que foi aprovado.
Endurecimento contra injeção de instrução
Conteúdo não confiável nos analisadores é tratado como dado, nunca como instrução.
Indexação da base de código
Decisão de arquitetura: a h|ve não indexa seu código. O que trafega é metadado, spec e diff.
O detalhamento de cada controle, com evidência e responsáveis, entra na avaliação de segurança conduzida junto com a sua área.
O que sai do seu ambiente, e o que nunca sai.
A decisão que mais destrava avaliação de segurança é a de arquitetura: a h|ve não indexa a base de código. O Guard verifica escopo dentro do editor, sem enviar arquivo.
- O que trafega
- Metadado de fluxo, a especificação aprovada e o diferencial do PR. O conteúdo dos seus arquivos de código permanece no seu ambiente.
- O que fica retido
- O registro de decisões, os artefatos de gate e as notas duráveis ancoradas em entidades. Conteúdo de código não é retido.
- Por quanto tempo
- A trilha é append-only e permanece pelo período de auditoria contratado. O metadado operacional segue a política de retenção acordada no contrato.
- Onde é processado
- Em infraestrutura da região definida no contrato. A inferência de linguagem entra por uma porta com adaptador por fornecedor: hoje um provedor primário e um secundário, que assume quando o primário fica indisponível. Os dois estão declarados nos sub-processadores.
Pessoa e agente, uma credencial os separa.
Pessoa e agente são o mesmo primitivo de trabalhador. O que distingue um do outro é a credencial que apresenta e o conjunto de transições que aquela credencial autoriza.
Aprovar especificação, reprovar qualidade e mergear na branch principal são transições exclusivas de pessoa, com credencial de pessoa, verificada na origem. Nenhuma credencial de agente as executa.
Onde há override, ele é do arquiteto, disponível por decisão e sempre com justificativa registrada. A conveniência sobe, e a prova de quem decidiu sobe junto.
Segregação de funções, no vínculo e por projeto. Comportamento e dado são duas classes de erro diferentes, e por isso são duas assinaturas independentes: qualidade e integridade de dado. O direito de assinar não vem do cargo, vem do vínculo da pessoa com aquele projeto, e é concedido e revogado por ato registrado, com autor e data, num histórico que só acrescenta.
A competência é por projeto, nunca um atributo da pessoa. Alguém que assina dado em um projeto não assina nos outros, e a tela mostra isso como é, não a soma. E existe um piso: ninguém abre mão da competência se não sobrar outra pessoa capaz de assinar, e a regra vale igual nas duas portas, revogar e remover do projeto.
Uma trilha que só acrescenta.
Cada decisão entra no registro com autor, autoridade e base, mais a declaração de uso de IA por entrega. O registro é append-only: nada é sobrescrito, nada some.
A trilha é consultável e exportável: você recupera quem decidiu o quê, com que autoridade e sobre qual base, e leva o registro para fora quando a auditoria pede.
É o mesmo registro que a plataforma usa por dentro. A conveniência da automação sobe, e a prova de cada passagem sobe junto.
Instrução escondida em dado não vira comando.
O Judge lê a especificação aprovada e o diff do PR. Esse material carrega conteúdo não confiável: texto de issue, código de terceiros, comentário colado. Tudo isso é tratado como dado a analisar, nunca como instrução a seguir.
O analisador é endurecido contra injeção de instrução: uma frase escondida em um comentário pedindo para ignorar a regra ou aprovar o desvio não muda a análise nem o veredito.
Na dúvida, o comportamento é apontar, não agir. O Judge aponta e registra; quem decide continua sendo a pessoa no gate.
Se a falha for nossa, a ação volta para você.
O que a h|ve conta é a franquia de ações do seu plano, e ela é consumida quando a ação começa, não quando ela dá certo: a chamada ao modelo já saiu. Quando o trabalho não é entregue por falha do nosso lado, a ação volta para a sua franquia.
O token nunca passa pela h|ve. A chave de LLM é sua, e a chamada aparece na fatura do seu provedor com o mesmo carimbo de tempo do nosso registro, para os dois lados baterem linha a linha.
A regra nasceu de um incidente real, registrado: o próprio fundador pagou uma ação por um erro de servidor e não recebeu nada em troca.
Quem mais toca no fluxo.
A lista nominal e vigente dos sub-processadores é entregue na avaliação de segurança e mantida atualizada para clientes contratados. Abaixo, as categorias e o que cada uma processa.
- Provedor de modelo de linguagem
- O provedor de inferência de linguagem que processa a especificação aprovada e o diff. Não recebe o conteúdo da sua base de código.
- Hospedagem e computação
- Infraestrutura de nuvem, na região definida no contrato. Não recebe o conteúdo da sua base de código.
- E-mail transacional
- Convites e notificações do fluxo. Sem conteúdo de código nem dado sensível no corpo.
Leve isto para a sua avaliação de segurança.
Uma conversa curta com quem constrói a plataforma, para responder ao seu questionário de fornecedor, controle por controle, com evidência.