Bridgerator EN

Безопасность

Что ассистент может и чего не может на вашем компьютере, как устроено соединение и что мы храним. Честно, включая слабые места.

Соединение

Только исходящее соединение

Мост сам подключается к серверу по защищённому WebSocket. На ПК не открывается ни одного входящего порта; не нужны белый IP и проброс портов.

TLS при передаче

Весь трафик между ChatGPT, сервером и мостом идёт по TLS. Сервер расшифровывает запросы, чтобы переслать их на ваш ПК, — это не сквозное шифрование, но содержимое не сохраняется.

Ключ устройства

Каждый ПК подключается со своим ключом — он выдаётся, когда вы подтверждаете компьютер в браузере. Ключ хранится в вашем профиле Windows, а у нас — только его необратимый хеш.

Вход и отзыв доступа

ChatGPT получает доступ только после входа по OAuth 2.1 с PKCE и видит только ваши устройства. Смена пароля сразу отзывает все выданные доступы. После 8 неудачных попыток входа за 10 минут IP блокируется на час.

Что ассистент может трогать

Правила задаются в %APPDATA%\Bridgerator\config.json на самом ПК. ChatGPT меняет их только через инструмент настроек Bridgerator, и изменение применяется сразу, без вопроса на ПК; если включить «Спрашивать, когда ИИ меняет настройки» (Настройки → Этот ПК, по умолчанию выключено), ослабление защиты ждёт вашего Apply. Файловые инструменты не достают до папок самого Bridgerator: %APPDATA%\Bridgerator, %LOCALAPPDATA%\Bridgerator и папка программы исключены всегда. Больше по умолчанию ничего не закрыто — как и у похожих программ.

allowedDirectories

Папки, в которых работают файловые инструменты. Без списка папок (так после новой установки) ChatGPT может работать во всех папках: по умолчанию ничего не ограничено, как и у похожих программ. Всегда закрыт только сам Bridgerator — папки его настроек и программы, — иначе ИИ мог бы тихо выключить любую защиту. Со списком ChatGPT работает только в этих папках. Изменения списка папок по просьбе ChatGPT действуют сразу; если включить «Спрашивать, когда ИИ меняет настройки» (Настройки → Этот ПК, по умолчанию выключено), расширение (добавить папку в список или вернуться ко всем папкам) ждёт Apply на ПК. Сетевые пути и UNC (\\server\…, \\?\…) отклоняются всегда.

deniedDirectories

Папки, закрытые даже внутри разрешённых. Папки самого Bridgerator в этом списке всегда. Если включено «Защищать важные папки» (по умолчанию выключено; "protectSensitive": true), добавляются ещё ~\AppData, папка автозагрузки, профили PowerShell, папки с ключами и настройками (.ssh, .aws, .azure, .kube, .docker, .gnupg, .config, .claude, файлы .npmrc, .git-credentials, .gitconfig). Свои папки добавляйте сюда же. Корень OneDrive по умолчанию открыт; поиск по нему может скачивать файлы «только в облаке» — если это не нужно, добавьте его сюда. Пути проверяются с учётом символических ссылок и junction, а упоминания закрытых папок вырезаются из поиска и списков.

disabledTools

Инструменты, которые ассистент вообще не увидит. Например, ["start_process", "interact_with_process", "kill_process"] выключает терминал целиком.

blockedCommands

Страховка от случайностей, а не граница безопасности: фильтр по первому слову команды, обойти его можно. Если ключа нет, действует встроенный список: format, diskpart, reg, net, sc, runas, netsh, takeown и другие.

Терминал — не песочница по папкам. Команда в PowerShell выполняется с правами вашей учётной записи Windows и может прочитать всё, что можете вы. Мост отклоняет команды, где прямо названа закрытая папка, но это вежливость, а не граница. Нужны строгие ограничения — выберите режим доступа «Файлы» или выключите терминал через disabledTools.

  • Мост работает от вашего пользователя (скрытая задача планировщика при входе), никогда не от SYSTEM и без прав администратора. Установщик отказывается работать в окне администратора и всегда проверяет контрольную сумму пакета, скачивая его только по https.
  • ChatGPT спрашивает перед действиями, которые что-то меняют (если вы не разрешили их на весь чат); можно также включить на ПК подтверждения (уведомление Windows) для рискованных действий, таких как удаление и системные команды; инструменты только для чтения помечены как безопасные. Читайте, что подтверждаете.
  • Мосту нужен только исходящий HTTPS/WSS к bridgerator.recondeck.com и mcp.bridgerator.recondeck.com — больше ничего: ChatGPT не читает адреса из интернета через Bridgerator (PDF-отчёты строятся на самом ПК из вашего текста и таблиц).

Переключатели защиты

Всё ниже включается и выключается в окне Bridgerator (раздел Safety) или по просьбе к ChatGPT. Изменения от ChatGPT действуют сразу; если включить «Спрашивать, когда ИИ меняет настройки» (Настройки → Этот ПК, по умолчанию выключено), выключение защиты по его просьбе ждёт кнопки Apply на ПК. Не выключается только защита папок самого Bridgerator.

Корзина вместо удаления

Включено по умолчанию. Когда ChatGPT удаляет простой командой (del, rd, Remove-Item, rm), файлы уходят в Корзину. Где Корзины нет (сетевые диски, многие флешки), Bridgerator спросит на ПК перед удалением навсегда. Это страховка, а не гарантия: скрипты, конвейеры и другие программы, которые удаляют сами, не перехватываются.

Копии и «Отменить изменения ИИ»

Включено по умолчанию. Перед тем как ChatGPT изменит, перенесёт или удалит файл, его копия сохраняется на этом ПК (по умолчанию 7 дней, до 500 МБ, файлы больше 50 МБ без копии). «Отменить изменения ИИ» в окне или по просьбе к ChatGPT возвращает файлы, но не перезаписывает файл, который кто-то изменил после ИИ, — такой файл пропускается и показывается.

Защищать важные папки

Выключено по умолчанию. Закрывает автозагрузку, профили PowerShell, .ssh, .aws, .azure, .kube, .docker, .gnupg, .config, .claude, файлы .npmrc, .git-credentials, .gitconfig и всю ~\AppData — для файловых инструментов, а команды, где эти папки названы прямо, отклоняются.

Пауза при массовых действиях

Выключено по умолчанию. Если ChatGPT за минуту удаляет или переносит больше файлов, чем задано (по умолчанию 20), Bridgerator встаёт на паузу и спрашивает на ПК, продолжать ли. Нет ответа — пауза остаётся.

Режим доступа

«Полный» по умолчанию: файлы и терминал. «Файлы» — читать и менять файлы, терминал выключен. «Только чтение» — смотреть и искать, менять ничего нельзя, терминал выключен.

Подтверждения и папки только для чтения

Выключены по умолчанию — подробно ниже. Ещё есть «Не давать ПК уснуть, пока ChatGPT работает» (включено, только от сети) — защитой это не является, просто задачи не обрываются.

Агенты (ИИ ↔ ИИ)

Включено, когда на ПК найден Claude Code, Codex или Gemini CLI; каждый агент выключается на странице Agents. ChatGPT передаёт агенту задачу в одной папке, с вашей подпиской, с лимитами времени (30 минут) и числа одновременных задач (2). Bridgerator только проверяет, что агент вошёл, и не читает его данные для входа. Агент работает с вашими правами: изменения внутри папки удерживает только песочница Codex. Папку, внутри которой лежат папки самого Bridgerator, выбрать нельзя; инструментов Bridgerator у агента нет, так что передать задачу дальше он не может. Перед запуском папка копируется (до 200 МБ), и «Отменить» откатывает всю работу агента.

Один вопрос на большую работу

Когда подтверждения включены и в большой работе (например, перенос 214 файлов) что-то потребовало бы вопроса, ChatGPT показывает план целиком: на ПК один вопрос — «Разрешить всё», «Просмотреть…» (отметить пункты в окне) или «Запретить». Разрешение действует только на перечисленные действия и 30 минут; после «Запретить» новый план можно предложить через 10 минут.

Подтверждения и папки только для чтения

Подтверждение на ПК

Выключено по умолчанию; включается командой bridgerator.cmd confirm on (выключается — bridgerator.cmd confirm off). Тогда перед рискованным действием в правом нижнем углу появляется уведомление Windows «Bridgerator — ChatGPT wants to…» с кратким описанием и кнопками «Разрешить», «Разрешить на 10 минут», «Запретить»; «Разрешить всегда» — в меню «…» уведомления (правый клик). Закрытие крестиком или нет ответа 2 минуты — запрет. Если уведомления Bridgerator в Windows выключены, вместо них в правом нижнем углу появляется небольшое окно. «Разрешить всегда» выключает ту проверку, что вызвала запрос; bridgerator.cmd confirm on включает проверки снова. Если режим «Не беспокоить» (Фокусировка) скрывает уведомление, запрос автоматически отклоняется через 2 минуты. Ничего не выполняется.

Что спрашивается

Категории включаются по отдельности. Включены: delete (удаление файлов и папок) и dangerous_commands (команды, меняющие систему: форматирование, diskpart, bcdedit, reg add/delete HKLM, shutdown, icacls/takeown, net user, sc delete, schtasks /delete, Set-ExecutionPolicy, vssadmin delete). Выключены, пока вы их не включите: write_files, move, any_command (каждая команда терминала), install (установка и обновление программ) и scheduled_scripts (постановка скрипта в Планировщик заданий). Настройки — в %APPDATA%\Bridgerator\confirm.ini: [confirm] (enabled, timeout_seconds), [ask] для категорий и [patterns] для своих шаблонов, которые спрашивают всегда. Ассистент не может изменить файл: он в папке настроек, закрытой всегда. Усиление защиты действует сразу, а ослабить её сам файл не может: если правка что-то выключает или файл удалён либо повреждён, Bridgerator оставляет прежние настройки и спрашивает на ПК «Bridgerator settings file changed: turn off …? Apply / Keep». Так же спрашивает и bridgerator.cmd confirm off. О каждом выключении защиты приходит уведомление.

Честно о границах

Подтверждение — страховка от ошибок, а не защита от программы, которая уже работает на ПК: такая программа может нажать кнопки уведомления Windows. Наше запасное окошко принимает только настоящий ввод мышью и клавиатурой, а его кнопки срабатывают не сразу, а через мгновение. Команды сверяются со списком шаблонов. Замаскированная или запутанная команда может проскочить, поэтому это страховка, как и blockedCommands, а не граница безопасности. «Разрешить на 10 минут» пропускает запрос для всех проверяемых действий в эти 10 минут. Ассистент может только попросить выключить подтверждения (request_confirm_off) — согласиться может только человек за ПК.

readOnlyDirectories

Папки, где файлы можно читать, но не менять: write_file, edit_block, move_file (в обе стороны) и create_directory отклоняются. Задаются в config.json, командой bridgerator.cmd setup --read-only <папка> или bridgerator.cmd read-only add|remove <папка>. Терминал этим не ограничен (запрос на каждую команду можно включить категорией any_command).

Команды самого моста

Из вежливости мост отклоняет команды терминала, которые упоминают сам Bridgerator или его папки — в том числе через переменные вроде %APPDATA% или $env:APPDATA. Терминал ChatGPT запускается в первой разрешённой папке и не видит переменных Bridgerator. Журнал вызовов инструментов на диске мост не ведёт: единственная запись — необязательная локальная история. Это не граница: разрешённая вами команда терминала выполняется с вашими правами.

Настройки через ChatGPT. ChatGPT может управлять теми же настройками, что и окно Bridgerator: скажите Show my Bridgerator settings или попросите их изменить. Изменения действуют сразу, без вопроса на ПК. Если включить «Спрашивать, когда ИИ меняет настройки» (Настройки → Этот ПК, по умолчанию выключено), изменения, ослабляющие защиту (выключение, новые папки, удаление папок только для чтения, автозапуск, статистика использования, локальная история), ждут Apply на ПК. Запрещённые команды и папки самого Bridgerator так изменить нельзя.

Данные

Что мы храним

Учётную запись (e-mail, хеш пароля), список устройств, месячный счётчик вызовов и журнал действий: только имена инструментов и время, 30 дней, выключается в кабинете. Если подключён Telegram — номер чата и язык.

Что не храним

Содержимое и пути файлов, результаты поиска, текст и вывод команд. Они проходят через сервер в памяти и не пишутся ни на диск, ни в логи: журналы запросов на сервере выключены, в журнал попадают только названия ошибок.

Куда уходят результаты

В ChatGPT — как результат инструмента. Дальше с ними работает OpenAI по своим правилам.

Телеметрия

Встроенные инструменты моста никогда не отправляют собственные данные об использовании; удалённые флаги и всплывающие окна отключены. Сам мост отправляет минимум данных — см. Сбор данных.

Хранится только на этом ПК и никогда не отправляется на сервер: очередь задач (%APPDATA%\Bridgerator\queue.json) и список последних действий с их командой или путём. Этот список держится в памяти; в recent.jsonl он записывается, только если включено «Keep a local history», и хранится 7 дней. Оба лежат в папке настроек, до которой файловые инструменты ассистента не достают никогда. Журнал действий в кабинете по-прежнему содержит только имена инструментов и время.

Сбор данных

Мост отправляет на https://bridgerator.recondeck.com/t, по HTTPS (TLS), событие при установке, обновлении и удалении и ежедневный сигнал «работаю». Только эти поля: случайный идентификатор установки (хранится в локальной конфигурации), версия моста, версия Windows, язык системы, версия Node.js, а в ежедневном сигнале — число вызовов и ошибок по каждому инструменту за последние 24 часа. Никогда: пути, имена файлов, текст команд, аргументы, результаты, e-mail учётной записи и данные по IP. Ошибки сети молча игнорируются.

Отключить: bridgerator.cmd telemetry off (включить — bridgerator.cmd telemetry on), или "telemetryEnabled": false в config.json, или установка с ключом -NoTelemetry.

Уведомления в Telegram

По желанию. Подключаются в кабинете → Settings → Connect Telegram: откроется наш бот @BridgeratorBot, нажмите Start. Он пишет, когда очередь задач закончилась, задача или сценарий по расписанию завершились с ошибкой, закончилась задача, переданная другому ИИ на ПК, и когда компьютер не в сети больше 30 минут; каждое уведомление можно выключить. В сообщениях только имя компьютера, счётчики и статусы — никогда текст задач, пути, файлы или вывод команд. Команды бота: /status, /stop, /help. Отключить — кнопка Disconnect в кабинете или /stop в боте.

Полностью — в политике конфиденциальности.

Проверьте сами

Мост — открытый код под лицензией MIT. Перед установкой можно прочитать install.ps1, скачать пакет и сверить его с исходниками на npm. Логика закрытых папок — в src/policy.mjs.

Приложение bridgerator.exe и наши скрипты PowerShell, включая install.ps1, подписаны сертификатом подписи кода ООО «СофтИнноватиксПлюс» (SoftInnovaticsPlus LLC) с меткой времени: правый клик по файлу → Свойства → Цифровые подписи. Установщик скачивает приложение только с bridgerator.recondeck.com по https и до запуска сверяет SHA256 загрузки и каждого файла.

Сервер пересылает вызовы по TLS и не сохраняет аргументы и результаты инструментов — только учётную запись, список компьютеров, счётчик вызовов и (если включён) журнал «время, компьютер, инструмент, итог». Работающая версия сервера — на /version.

Нашли уязвимость? Напишите на info@recondeck.com с темой «Bridgerator security» — такие письма разбираем первыми.

Рекомендации

  • Разрешайте только нужные папки, а не весь диск.
  • Если ChatGPT не нужны AppData, .ssh и автозагрузка — включите «Защищать важные папки»; добавьте в исключения свои папки с паролями, ключами и личными документами.
  • Оставьте включёнными Корзину и «Отменить изменения ИИ» — они ничего не запрещают, но позволяют откатить ошибку.
  • Если терминал не нужен — выключите его.
  • Читайте запросы на подтверждение и просите ассистента сначала показать план.
  • Не сообщайте никому ключ устройства и пароль — мы их никогда не спрашиваем.