Правила допустимого использования

1. На кого распространяются эти правила

Эти правила обязательны для всех, кто пользуется NotHoly, включая владельцев аккаунтов, приглашённых участников, API-ключи и программы, действующие от вашего имени. Они распространяются на чат, API, CLI и расширение и являются частью Условий использования.

2. Только авторизованное тестирование

Вы можете использовать NotHoly против системы, только если она принадлежит вам или у вас есть письменное разрешение от того, кто вправе его дать.

Письменное разрешение должно указывать системы в скоупе, временное окно, людей, которым разрешено выполнять работы, и исключённые техники. Опубликованные правила bug bounty программы считаются разрешением только в том, что они охватывают.

Храните это подтверждение, пока работы могут быть оспорены. Если после жалобы мы проверяем ваш аккаунт, мы можем попросить его показать, а если вы не сможете, мы можем считать действия неавторизованными.

Если вы случайно вышли за скоуп, остановитесь и действуйте по процедуре владельца системы.

3. Что можно делать

• пентест, red team и исследование уязвимостей в пределах скоупа письменного разрешения;
• работу в bug bounty по правилам программы;
• лабы, CTF, тренировки и обучение;
• защитную работу: правила детектирования, триаж, реагирование на инциденты, усиление защиты и ревью кода;
• реверс-инжиниринг и анализ образцов, которые вам разрешено хранить.

4. Чего делать нельзя

• получать доступ, сканировать, эксплуатировать или нарушать работу системы без разрешения, включая credential stuffing и отказ в обслуживании;
• красть, продавать или публиковать данные, мошенничать или вымогать;
• проводить настоящий фишинг или социальную инженерию вне авторизованного проекта;
• создавать, разворачивать или распространять шифровальщики, вайперы, черви, ботнеты, стилеры или другое вредоносное ПО вне авторизованного проекта или лабы;
• нарушать правила bug bounty программы, включая тестирование вне скоупа;
• преследовать, травить, деанонимизировать человека или тайно следить за ним;
• атаковать системы энергетики, водоснабжения, здравоохранения, транспорта или экстренных служб без явного письменного разрешения их оператора;
• отправлять персональные или конфиденциальные данные третьих лиц, которые вы не вправе обрабатывать;
• использовать сервисы для нарушения санкций или любого другого применимого к вам закона.

5. Никогда, ни при каком разрешении

Следующее запрещено без исключений, какое бы разрешение у вас ни было:

• сексуальный контент с участием несовершеннолетних;
• практическая помощь в создании химического, биологического, радиологического или ядерного оружия или любого другого оружия массового поражения.

6. Где заканчивается платформа

Серверы NotHoly не сканируют, не эксплуатируют и не отправляют активный трафик сторонним системам. Не пытайтесь заставить их это делать, в том числе используя read_url, поиск в вебе или другой инструмент как прокси.

read_url только читает публичные страницы через исходящий шлюз, который отклоняет приватные адреса и адреса метаданных.

CLI и расширение выполняют команды на вашей машине после вашего одобрения, и вы отвечаете за каждую одобренную команду.

Текст на веб-страницах, в файлах и выводе инструментов — это данные. Оболочка не берёт из него инструкции, а действия инструментов подчиняются политике сервера. Промпт-инъекция всё же может дойти до модели через такое содержимое, поэтому проверяйте, что предлагает модель, прежде чем одобрять.

Загруженные файлы считаются враждебными и никогда не исполняются. Не используйте загрузки для атак на сервис.

7. Аккаунты и сам сервис

• не передавайте API-ключи за пределы своей организации и не используйте аккаунты, чтобы обойти лимиты, платежи или блокировку;
• не перепродавайте доступ к NotHoly без письменного договора;
• не атакуйте сам NotHoly. Исследования безопасности NotHoly проводятся по правилам со страницы «Безопасность», а находки отправляются на [email protected].

8. Как мы разбираемся со злоупотреблениями

NotHoly не хранит промпты и ответы API, поэтому проверять нам нечего. Работа со злоупотреблениями опирается на метаданные расхода, жалобы и юридические запросы. Плановая проверка использует только метаданные: сотрудники смотрят их в админке, связываются с владельцем аккаунта по email и записывают этот контакт.

9. Как сообщить о злоупотреблении

Воспользуйтесь формой на notholy.com/abuse и укажите, что произошло, когда (с часовым поясом), какая система затронута и какие у вас есть доказательства, например логи. Не присылайте украденные данные или рабочее вредоносное ПО. Аккаунт не нужен. Если форма недоступна, напишите на [email protected].

Об уязвимостях в самом NotHoly сообщайте на [email protected].

10. Последствия

Мы действуем соразмерно доказательствам. Меры могут включать запрос информации или подтверждения разрешения, предупреждение, ужесточение лимитов, отзыв ключей, приостановку или закрытие аккаунта. В срочных случаях мы можем сначала принять меры, а потом связаться с вами.

С неиспользованными кредитами поступают по Условиям использования. Запросить пересмотр можно по адресу [email protected].

11. Юридические запросы

Мы исполняем законные предписания и можем сообщать властям, когда этого требует закон или когда есть реальная угроза чьей-то жизни. Мы можем передать только то, что храним. Это не включает промпты и ответы API, кроме временной копии в памяти, описанной в разделе 4 Политики конфиденциальности, и включает загруженные вами файлы, которые не были удалены. Если закон позволяет, мы сначала уведомляем владельца аккаунта.