CID222'nin diske ne yazdığı, bilerek neyi hiç yazmadığı, bu kayıtların her birini neyin koruduğu ve ne kadar süre tutulduğu.

CID222 istemleri ve yanıtları denetler; dolayısıyla zorunlu olarak hassas metne dokunur. Sakladığı şey, gördüğünden dardır ve aradaki fark her durumda bilinçlidir.

Sorun

Her şeyi günlükleyen bir ağ geçidi, kurumdaki en büyük hassas veri yoğunlaşmasına dönüşür — riski azaltmak için alınan bir sistem daha büyüğünü yaratır. Hiçbir şey günlüklemeyen bir ağ geçidi ise bir denetçiyi yanıtlayamaz, bir kullanıcıya isteminin neden engellendiğini gösteremez ve bir denetimin işlediğini kanıtlayamaz. Tasarım sorusu "günlükleyelim mi, günlüklemeyelim mi" değildir; hangi kaydın hangi soruyu yanıtladığı ve onu neyin koruduğudur.

Neler saklanır

Konuşmalar

ai_sessions, konuşma başına bir satır tutar. context sütunu kullanıcının gördüğü mesaj geçmişidir; ai_context ise sağlayıcıya gönderilen, gerektiğinde özetlenmiş geçmiştir.

İkisi de maskeli saklanır. Ağ geçidi, maskelenmiş kullanıcı mesajını ve maskelenmiş asistan yanıtını kalıcılaştırır. Geri alınabilir maskelemenin açık olduğu yerlerde maske kaldırma, istemciye giderken bir kopya üzerinde uygulanır; böylece geri konan değerler saklanan geçmişe yeniden girmez ve sonraki bir turda sağlayıcıya gitmez.

Tespitler

ai_content_detections, bulgu üreten mesaj başına bir satır tutar. original_text_hash — metnin kendisini değil, bir özetini — tespit grubunu, alınan eylemi ve bulunan varlıkların bir JSONB dizisini saklar: konumları, güvenleri, varlık türleri ve eylemleri.

O dizideki value, saklanmadan önce takma adlandırma hizmetinden geçer; hizmet bunu varlık türü ve bir dizinden kurulmuş bir görüntüleme jetonuyla — <EMAIL_0> — ve buna ek olarak özgün değerin SHA-256 özeti ile karakter uzunluğuyla değiştirir. Varsayılan açıktır: açık bir ayarı olmayan bir filtre satırı da, hiç filtre satırı olmayan bir varlık türü de takma adlandırılır. Bir filtre için takma adlandırmayı kapatan bir yönetici, o varlığın düz metnini saklamayı seçmiş olur.

Geri alınabilir maskeleme eşlemesi

ai_sessions.pii_map, bu ürünün özgün kişisel veriyi durağan hâlde sakladığı tek yerdir. Maskelenmiş bir yanıtın yetkili bir okuyucu için geri getirilmesini sağlayan yer tutucu–değer eşlemesinin AES-256-GCM şifreli metnini tutar; anahtarı PII_MAP_ENCRYPTION_KEY değeridir (64 onaltılık karakter). Her turda birleştirilir ve oturum satırıyla birlikte ölür.

Note

Anahtar yoksa hiçbir şey yazılmaz ve hiçbir şey okunmaz; yanıtlar yalnızca maskeli kalır. Yanlış bir anahtar ya da kurcalanmış bir satır boş bir eşleme olarak okunur ve sonuç aynıdır. Maskeli olmak, canlı bir konuşmada bir hata değil, kapalı biçimde başarısızlık durumudur.

Olay günlükleri

ai_event_logs, denetim izini tutar ve kayıtları istek, performans, güvenlik, hata ya da denetim olarak sınıflandırır. Tespit olayları güvenlik olaylarıdır.

Eklenti ve denetim telemetrisi

Tarayıcı eklentisi, denetlenen istek başına bir olay yazar. Yakalanan istemler maskelenmiş önizleme olarak saklanır; sayfa URL'leri atıf için saklanır.

Hiçbir zaman saklanmayanlar

Tespit kaydındaki ham istem ya da yanıt. Yalnızca özeti saklanır.
Konuşma geçmişindeki özgün kişisel veri. Geçmiş, maskelenmiş metindir.
Bir tespit varlığındaki özgün kişisel veri — bir yönetici o filtre için takma adlandırmayı kapatmadıysa.
Açık hâldeki sağlayıcı API anahtarları. ai_credentials.api_key bir dönüştürücüden geçer ve v1: önekli AES-256-GCM şifreli metni olarak saklanır.
Ağ geçidi API anahtarları. ai_api_keys tuzsuz bir SHA-256 özeti saklar. Anahtar 32 bayt kriptografik rastgelelik olduğundan, bir tuzun koruyacağı düşük entropili bir tahmin uzayı yoktur.
Parolalar. Bcrypt, 10 tur; hiçbir yanıtta döndürülmez.

Warning

Sağlayıcı kimlik bilgisi şifrelemesi anahtarını JWT_SECRET değerinden türetir. Bu gizli değeri döndürmek mevcut kimlik bilgisi satırlarını okunamaz kılar — başarısız bir şifre çözme, bir istisna değil boş bir anahtar ve günlüklenmiş bir hata üretir; yani belirti, ağ geçidinin çökmesi değil sağlayıcı çağrılarının başarısız olmasıdır. Dönüştürücü var olmadan önce yazılmış satırlar olduğu gibi geçer; bu yüzden uzun ömürlü bir dağıtım hâlâ düz metin bir kimlik bilgisi tutuyor olabilir. Bir dağıtımın temiz olduğunu varsaymadan önce sütun önekini sorgulayarak denetleyin.

Saklama

Olay günlüğü üzerinde, kategori başına bir pencereyle tek bir saklama politikası vardır:

Kategori	Tutulan gün
İstek	30
Performans	30
Güvenlik	400
Hata	90
Denetim	365

Güvenlik penceresi bilinçli olarak 400 gündür: on iki aylık bir denetim gözlem penceresi artı yaklaşık beş haftalık hazırlık süresi; bu aynı zamanda AB Yapay Zeka Yasası'nın dağıtıcılar için koyduğu altı aylık tabanı da aşar.

Bir süpürme her altı saatte bir çalışır; ayrıca Olay Günlükleri → Saklama süpürmesini çalıştır ile istek üzerine.

Danger

Bir işletmeci açmadıkça politika hiçbir şey silmez. enforced varsayılanı false değerindedir ve süpürme bir gözlem olarak çalışır: neyi kaldıracağını sayar, bildirir ve hiçbir şey kaldırmaz. Açık gelen bir temizleme, bir yükseltmenin bir kurulumun elindekini sessizce yok etmesi anlamına gelirdi. Siz zorlamayı açana kadar bu pencerelerden eski satırlar hâlâ diskte durur.

Eklentinin temiz trafik telemetrisinin ikinci, bağımsız bir süpürmesi vardır: izin kararı taşıyan satırlar varsayılan olarak 30 gün sonra düşer; engelleme ve maskeleme satırları ise politika kanıtıdır ve hiçbir zaman süpürülmez.

Hiçbir politikanın kapsamadığı tablolar

Dört tablo uyumluluk kanıtı tutar ve gözlenir ama hiç süpürülmez: ai_content_detections, ai_document_analysis, ai_compliance_snapshots ve ai_control_observations. Sınırsız büyürler. Gözlem, satır sayılarını ve en eski satırı bildirir; böylece bir politikanın yokluğu bir ihmal değil, belirtilmiş bir olgu olur ve bunlara bir silme yolu eklemek bir varsayılan değil, bir kişinin vereceği karar olarak ele alınır.

Sınırlar ve bilinen eksikler

Veritabanı düzeyinde durağan veri şifrelemesi yapılandırılmamıştır. Sütun düzeyindeki koruma; kimlik bilgisini, kişisel veri eşlemesini, parolayı ve API anahtarı özetini kapsar. Geri kalan her şey — konuşma geçmişi, tespit satırları, olay günlüğü — sıradan PostgreSQL depolamasında durur. Birimi ya da dosya sistemini şifrelemek bir dağıtım kararıdır; bkz. cihazı sıkılaştırma.
Denetim izi kurcalamaya kapalı değildir. ai_event_logs, özet zinciri ve bir kez yazılan depolaması olmayan sıradan bir tablodur. Veritabanına erişimi olan bir yönetici onu değiştirebilir. Uyumluluk modülünün dondurulmuş anlık görüntüleri ve bunların içerik özetleri, değişmez bir kayda en yakın şeydir ve tekil olayları değil dönemleri kapsar.
Unutulma hakkı için bir uç nokta yoktur. Bir oturumu silmek tespitlerine kadar iner ve kişisel veri eşlemesini de birlikte götürür; bu, elde bulunan en yakın işlemdir, ancak hiçbir rota tek bir veri sahibini her tablodan silmez.
Saklama kutudan çıktığı hâliyle zorlanmaz — yukarıda anlatıldığı gibi. Zorlaması hiç açılmamış bir cihaz her şeyi saklıyordur.
Bu ürünle dolaşıma giren depolama boşluk analizi kısmen güncelliğini yitirmiştir. Ocak 2026'da yazılmıştır ve düz metin sağlayıcı API anahtarlarını kritik bir bulgu olarak listeler; bu düzeltilmiştir. Durağan veri şifrelemesi ve denetim günlüğü değişmezliği konusundaki bulguları hâlâ geçerlidir.

İlgili

Takma adlandırma ve maskeleme — bir değerin nasıl değiştirildiği ve ne zaman geri konabildiği.
Mevzuat eşlemesi — bu kayıtlardan hangisinin hangi yükümlülük için kanıt olduğu.
Cihaz güvenlik modeli — veriye kimin erişebildiği.

Veri işleme ve saklama