Tarmoq, audit va havodan uzilgan
Bu sahifa AiHummer qayerga yetib borishi va qayerdan yetib boriladigani, nimani yozib olishi va nimadan qurilganini boshqaradigan nazoratlarni qamrab oladi: admin IP ruxsat roʻyxati, havodan uzilgan rejim, audit jurnali va taʼminot zanjiri holati.
IP ruxsat roʻyxati (admin IP darvozalash)
Admin yuzasini maʼlum tarmoqlar bilan IP ruxsat roʻyxati orqali cheklashingiz
mumkin, u /v1/admin/security/ip-allowlist da boshqariladi. Sozlanganda admin
kirish manba IP orqali darvozalanadi, shunda admin API va UI faqat siz ishonadigan
manzillardan kelgan soʻrovlarga javob beradi.
[!TIP] IP ruxsat roʻyxatini korporativ SSO va koʻlamli API kalitlari bilan birlashtiring: tarmoq darvozalash qayerdan ekanini cheklaydi, SSO kim ekanini cheklaydi, koʻlamlar esa nimani cheklaydi.
Havodan uzilgan rejim
Suveren yoki izolyatsiyalangan joylashtirishlar uchun model boshqaradigan
ommaviy chiqishni bloklash uchun AIHUMMER_AIRGAPPED=1 ni oʻrnating. Bu
rejimda agentning vositalari model nomidan ommaviy internetga qoʻl uza olmaydi,
bu esa exfiltration va SSRF xavfining butun bir sinfini olib tashlaydi.
# /home/.aihummer/etc/gateway.env
AIHUMMER_AIRGAPPED=1[!WARNING] Havodan uzilgan rejim ommaviy chiqishga bogʻliq vositalarni (masalan, ochiq veb oluvlarini) oʻchiradi. Uni oʻzingiz joylashtirgan sidecar’lar va lokal modellar bilan juftlang, shunda joylashtirish tashqi chaqiruvlarsiz toʻliq ishlashda davom etadi. Toʻliq havodan uzilishdan kamroq nozik nazorat uchun Himoya devorlari da tasvirlangan chiqish ruxsat roʻyxatlarini ishlating.
Audit jurnali
Admin oʻzgarishlari saqlash muddati va sahifalashga ega audit jurnali ga
yoziladi, u /v1/admin/audit da oʻqilishi mumkin. Saqlash muddati
AIHUMMER_AUDIT_RETENTION_DAYS bilan boshqariladi, shunda izni muvofiqlik
siyosatingiz talab qilgancha saqlashingiz va eski yozuvlarning eskirib
yoʻqolishiga ruxsat berishingiz mumkin.
# /home/.aihummer/etc/gateway.env
AIHUMMER_AUDIT_RETENTION_DAYS=365Audit izi RBAC va SSO bilan tabiiy ravishda juftlashadi: SSO va IP ruxsat roʻyxati kim harakat qilishi mumkinligini hal qiladi, koʻlamli kalitlar ular nima qila olishini hal qiladi, audit jurnali esa ular nima qilganini yozib oladi.
Taʼminot zanjiri va ish vaqti holati
AiHummer’ning ish vaqti ataylab kichik va tekshirib boʻladigan:
| Xususiyat | Holati |
|---|---|
| Shlyuz | Yagona Go ikkilik fayli (boshqaruv-tekisligi + navbat dvigateli). |
| Bevosita bogʻliqliklar | Taxminan 25 ta bevosita Go moduli — kichik, auditlanadigan yuza. |
| Paketlash | Xost-mahalliy: relizi tarball + systemd, Docker yoʻq. |
| Sidecar’lar | URL orqali yetib boriladigan alohida HTTP xizmatlari, faqat kerak boʻlganda oʻrnatiladi. |
[!NOTE] Xost-mahalliy paketlash ilovaga qoʻshimcha ravishda mustahkamlash yoki yamoqlash uchun konteyner ish vaqti yoʻqligini anglatadi — siz
/home/.aihummerdan systemd ostida bitta Go ikkilik faylini ishga tushirasiz. Bu mahsulot qanday yetkazib berilishining tekshirib boʻladigan xususiyati, mutlaq xavfsizlik haqidagi daʼvo emas.
Keyingisi qayerda
- Korporativ SSO — kimga kirishga ruxsat berilgan.
- RBAC va koʻlamli API kalitlari — kirgandan keyin ular nima qila olishi.
- Himoya devorlari va prompt-injection himoyasi — qoʻl uzadigan vositalar uchun chiqish ruxsat roʻyxatlari va SSRF himoyasi.