SOC 2
AICPA · Trust Services
安全、可用性与保密性控制
HackCat, LLC
安全与信任
Hackcat 是用于渗透测试和安全工作的 AI Agent。本页说明我们会处理哪些数据、Agent 在哪里执行，以及用到了哪些第三方服务。内容有变化时，我们会更新本页。
概览
15家
每家服务商的用途和涉及的数据，都列在下方。
2个区域已上线
美国和法兰克福（eu-central-1）。Agent 运行、云端沙箱和新上传的文件，按你访问时所在的位置分配区域。
0银行卡数据
付款由 Stripe 处理，卡号不经过我们的服务器。
合规
SOC 2 和 ISO 27001 正在申请中，目前尚未取得。拿到报告或证书后，会在这里更新。
申请中
ISO 27001
ISO/IEC · ISMS
信息安全管理体系
安全措施
账户安全
- 身份验证由 WorkOS AuthKit 处理；我们不运营自己的密码数据库
- 可在设置 → 安全中启用多因素认证（TOTP）
- 可在设置 → 安全中撤销单个设备或所有设备的会话
账单
付款由 Stripe 处理；银行卡详情不会到达我们的服务器。你可通过账户设置中的账单门户管理或取消订阅，删除账户会取消所有有效订阅。
执行环境
默认情况下，终端和浏览器操作在隔离的 E2B 云端沙箱中运行。你可随时通过设置 → 数据控制删除沙箱。
你也可使用本地执行模式。该模式直接在你的机器上以你用户账户的权限运行命令，且没有隔离，因此我们建议仅在专用于测试的机器上使用。
数据删除
- 删除单个任务，或一次性删除所有任务
- 删除你的终端沙箱
- 撤销你已分享任务的链接
- 删除账户：移除数据库记录、取消 Stripe 订阅，并删除身份验证记录
发行版本完整性
Hackcat 的源代码不公开。桌面安装包、更新程序签名和校验和发布在公开发行版本仓库中。桌面更新程序会在应用更新前验证已签名的软件包。
负责任披露
发现 Hackcat 的安全漏洞？请通过帮助中心报告。我们会审查所有善意报告，目前不提供付费漏洞赏金计划。
数据存放位置
美国
法兰克福 · eu-central-1
香港
日本
澳大利亚
Agent 运行、新建云端沙箱和新上传文件根据你连接时所在的位置安排区域。来自欧洲的连接使用我们的欧盟区域（法兰克福，eu-central-1）。来自北美的连接使用最近的美国区域。每次请求均依据你的 IP 地址决定区域，而非账户设置，因此使用 VPN 或旅行会改变所选区域。
目前已上线美国和法兰克福，香港、日本和澳大利亚上线后会在这里更新。
主要数据库、AI 模型提供商、网络搜索、内容审核、身份验证、账单和分析服务不按区域安排。有关跨境处理的信息，请参阅隐私政策。
次级处理方
以下服务代表我们处理数据：
- OpenRouter
- 用途: 将任务请求路由至第三方 AI 模型提供商
- 数据类别: 提示词、对话上下文、文件内容、工具输出
- OpenAI
- OpenAI
- 用途: 内容审核
- 数据类别: 消息内容
- Perplexity
- 用途: Agent 执行的网络搜索
- 数据类别: Agent 运行中的搜索查询
- Jina AI
- 用途: 为 Agent 获取网页内容
- 数据类别: URL 和获取的网页内容
- E2B
- 用途: 云端沙箱（美国；来自欧洲的连接使用欧盟区域）
- 数据类别: 命令、命令输出、沙箱中的文件
- Convex
- 用途: 主要应用数据库
- 数据类别: 账户数据、任务、消息、文件、设置
- Amazon Web Services (S3)
- 用途: 文件存储（美国区域；来自欧洲的连接使用 eu-central-1）
- 数据类别: 上传的文件
- Upstash / Redis
- 用途: 速率限制与响应流恢复
- 数据类别: 临时标识符与流式响应状态
- Trigger.dev
- 用途: 在后台执行长时间运行的 Agent 任务（美国区域；来自欧洲的连接使用 eu-central-1）
- 数据类别: 包含对话上下文的任务载荷
- Vercel
- 用途: 应用托管
- 数据类别: 网页应用处理的请求数据
- Vultr
- 用途: 应用托管
- 数据类别: 网页应用处理的请求数据
- Cloudflare
- 用途: 网站的网络边缘、TLS 与缓存
- 数据类别: 请求元数据，例如 IP 地址
- WorkOS
- 用途: 身份验证与账户管理
- 数据类别: 邮箱、姓名、会话、多因素认证注册信息
- Stripe
- 用途: 付款与订阅账单
- 数据类别: 账单联系人与付款详情（由 Stripe 持有）
- PostHog
- 用途: 产品分析与错误追踪
- 数据类别: 使用事件与诊断数据
常见问题
Hackcat 会处理哪些数据？+
根据你使用 Hackcat 的方式，服务会处理以下数据：
- 你发送给 Agent 的提示词和任务消息
- 你上传的文件（PDF、CSV、JSON、TXT、Markdown、DOC/DOCX，以及 PNG/JPEG/WebP/GIF 图片），包括从中提取的文本
- Agent 浏览或搜索网络时使用的 URL 和搜索查询
- Agent 沙箱会话中的终端命令及其输出
- 在 Agent 沙箱中截取的浏览器截图
- 你保存的笔记和自定义指令
- 你的邮箱和姓名等账户信息
- 使用分析与错误诊断信息
数据会发给 AI 模型提供商吗？+
任务请求通过 OpenRouter 路由至你所选模型的提供商，例如 Anthropic、Google、DeepSeek、Moonshot AI 或 xAI。你的提示词、相关对话上下文和工具结果会发送给该提供商，用于生成回复。
当 Agent 搜索网络或打开 URL 时，搜索查询由 Perplexity 处理，网页内容通过 Jina AI 获取。消息内容由 OpenAI 筛查以进行内容审核。
各提供商根据自己的条款处理数据。是否将数据用于模型训练因提供商而异，因此我们不对此作统一保证；请查阅下方所列提供商的政策。
发生安全事件会通知我吗？+
如果事件影响到你的数据，我们会通过服务和帮助中心通知受影响的用户。