安全
最后更新于 2026 年 4 月 24 日
保护你的源代码和开发环境安全对我们来说非常重要。本页概述了我们在 ZovaX IDE 与 Zova‑X Working Code AgentOS 上的安全做法。
如果你发现潜在的安全漏洞，请通过电子邮件发送至 CRACE@Zovaxai.COM。 如有任何其他与安全相关的问题，请通过 CRACE@Zovaxai.COM 联系我们。
认证与第三方评估
可在 trust.zovaxai.com 申请获取 SOC 2 Type II 鉴证报告。
我们承诺至少每年由信誉良好的第三方进行一次渗透测试。也可通过我们的信任门户申请获取最新报告的执行摘要。
基础设施安全
我们的子处理方列表已发布在 信任门户 上。 每个子处理方都会根据我们的供应商风险管理计划进行评估，并每年重新审查。 ZovaX IDE 会遵循模型屏蔽名单，不会向屏蔽名单中的模型发送请求。
ZovaX 不在中国使用或维护任何基础设施。我们不会使用任何总部位于中国的公司作为子处理方，据我们所知，我们的子处理方也同样如此。
基础设施访问权限根据最小权限原则授予。我们强制执行多因素身份验证，部署网络安全工具，并监控系统日志和活动。
客户端与智能体安全
我们会根据风险和影响评估上游的安全补丁，并在必要时立即合并发布。
我们的应用会向 ZovaX 后端域名发出请求，以提供 API、索引、更新和应用市场等功能。 如果您使用企业代理，请将这些域名加入允许列表。
关于安全使用 ZovaX 智能体的最佳实践，请参阅我们的开发者文档：
智能体与开发者安全：
- 智能体安全
- LLM 安全与控制
- 云端智能体网络安全
- 钩子（Hooks）
- MCP 的安全注意事项
- 数据加密与 CMEK
- 安全与隐私强化
企业管理：
- 企业安全功能
- 隐私与数据治理
- 合规日志记录
- MDM 部署
- SSO 和 SCIM
超级防御工程
超级防御工程是 ZovaX 在 IDE、AgentOS 与云端网关上的多层主动安全体系，覆盖代码、依赖、智能体行为与训练数据全链路。
- Security Scan 硬门禁：IDE 内置启发式扫描 + 依赖清单审计 + npm/pip-audit 桥接；高危项可配置 hardGate，未通过则阻断合并/发布。
- PR 深审与 @nova 闭环：GitHub PR 自动安全审查、行内评论与修复建议；Webhook 事件落盘审计。
- 投毒防御管线：微调语料与进化样本入库前经 MMD/KL 漂移、主动探针、因果校验与贝叶斯风险评分；高风险进入
poison_quarantine隔离池（详见 数据安全说明）。 - Agent 沙箱三档：Sandbox 档位 + 细粒度
run_command审批；Computer Use / MCP 默认最小权限。 - 会话监控与吊销：企业后台可查看 Agent 会话、设备绑定并远程吊销异常设备。
- 社区共建隔离：社区脚本/插件经安全审核后才可进入正式 IDE 安装包；未审核内容需用户自行评估风险。
- 边缘加固：官网与 API 网关启用 HSTS、CSP、限流与
security.txt漏洞披露入口。
技术细节或企业评估材料，请联系 CRACE@Zovaxai.COM 或访问 信任门户。
保护我们自己的代码库
我们使用自己的产品来帮助保护代码库，包括内置安全扫描、PR 深审与云端智能体自动化。 更多信息请参阅 关于我们 与社区共建文档。
隐私模式
隐私模式可在 IDE 设置中启用，也可由团队或企业管理员统一启用。启用后，我们不会使用您的数据进行模型训练。 我们还会与模型提供商实施技术管控措施和合同要求，以保护您的数据。 隐私模式适用于所有套餐（免费版或 Pro 版）。新团队成员会继承团队的隐私模式设置。
深入了解您的数据会如何使用，请参阅 隐私政策 与 数据安全说明。
账户删除
如需删除账户方面的更多帮助，请通过 CRACE@Zovaxai.COM 联系客户支持。
漏洞披露
如果你认为自己发现了 ZovaX IDE 的安全漏洞，请将报告提交至 CRACE@Zovaxai.COM。 我们承诺在 5 个工作日内确认收到漏洞报告，并会尽快予以处理。 重大安全事件将通过电子邮件通知受影响的用户。
Security
Last updated April 24, 2026
Protecting your source code and development environment is very important to us. This page summarizes our security practices on ZovaX IDE and Zova‑X AgentOS.
If you discover a potential security vulnerability, email CRACE@Zovaxai.COM. For any other security-related questions, contact CRACE@Zovaxai.COM.
Certifications & third-party assessments
Request our SOC 2 Type II attestation report at trust.zovaxai.com.
We commit to at least one penetration test per year by a reputable third party. Executive summaries of the latest report are also available through our trust portal.
Infrastructure security
Our sub-processor list is published on the trust portal. Each sub-processor is assessed under our vendor risk management program and reviewed annually. ZovaX IDE maintains a model blocklist and does not send requests to blocked models.
ZovaX does not operate or maintain infrastructure in mainland China. We do not use sub-processors headquartered in China; to our knowledge, our sub-processors do not either.
Infrastructure access follows least privilege. We enforce MFA, deploy network security tooling, and monitor logs and activity.
Client & agent security
We triage upstream security patches by risk and impact and ship fixes promptly when required.
Our apps call ZovaX backend domains for APIs, indexing, updates, and the marketplace. If you use a corporate proxy, allowlist these domains.
Best practices for using ZovaX agents safely—see our developer documentation:
Agents & developer security:
- Agent security
- LLM security & controls
- Cloud agent network security
- Hooks
- MCP security considerations
- Data encryption & CMEK
- Security & privacy hardening
Enterprise management:
- Enterprise security features
- Privacy & data governance
- Compliance logging
- MDM deployment
- SSO & SCIM
Super Defense Engineering
Super Defense Engineering is ZovaX’s multi-layer active security stack across the IDE, AgentOS, and cloud gateway—covering code, dependencies, agent behavior, and training data end to end.
- Security Scan hard gate: built-in heuristics, dependency manifests, and npm/pip-audit bridges; configurable hardGate blocks merge/release on critical findings.
- Deep PR review & @nova loop: automated GitHub PR security review with inline comments; webhook events logged for audit.
- Poisoning defense pipeline: fine-tune/evolution samples pass MMD/KL drift, active probes, causal checks, and Bayesian risk scoring; high-risk items quarantined (see Data security overview).
- Three-tier agent sandbox: sandbox levels plus granular
run_commandapproval; Computer Use / MCP default to least privilege. - Session monitoring & revoke: enterprise console views agent sessions and device bindings; remote revoke for suspicious devices.
- Community quarantine: community scripts/plugins ship in official IDE builds only after security review.
- Edge hardening: HSTS, CSP, rate limits, and
security.txtdisclosure on the public site and API edge.
For technical details or enterprise assessments, contact CRACE@Zovaxai.COM or visit the trust portal.
Protecting our own codebase
We use our own product to protect our repositories—including built-in security scanning, deep PR review, and cloud agent automation. Learn more on About us and in our community docs.
Privacy mode
Privacy mode can be enabled in IDE settings or enforced by team/enterprise admins. When enabled, we do not use your data for model training. We implement technical controls and contractual requirements with model providers to protect your data. Privacy mode is available on all plans (Free or Pro). New team members inherit the team’s privacy mode setting.
Learn how your data is used in our Privacy Policy and Data security overview.
Account deletion
You can delete your account anytime from the dashboard or privacy center.
For additional help with account deletion, contact CRACE@Zovaxai.COM.
Vulnerability disclosure
If you believe you have found a security issue in ZovaX IDE, report it to CRACE@Zovaxai.COM. We acknowledge reports within five business days and work to resolve them promptly. Significant incidents are communicated to affected users by email.
Privacy questions: privacy@zovax.ai (Data protection contact: {dpo})