보안과 개인정보

lodelai 는 글을 전하기만 합니다. 메시지는 받는 기기의 키로 암호화되어(종단 간 암호화) 서버를 운영하는 우리도 읽지 못합니다.

서버가 보는 것과 못 보는 것

• 메시지 내용은 받는 기기에 다 전달되면 바로 지움, 전달되지 않으면 보낸 사람이 정한 기한(최대 7일) 뒤 지움
• 서버 기록에 이메일·IP 주소·메시지 내용을 남기지 않음
• 서버는 Cloudflare 를 거쳐 연결됨 — Cloudflare 는 주소·시각 같은 정보를 보지만 메시지 내용은 읽지 못함(개인정보 처리방침의 처리 위탁 항목)

내 컴퓨터에서 앱이 지키는 것

• 프로젝트 폴더 밖 차단 — 동료의 요청을 처리하는 동안 폴더 밖을 읽거나 고치지 못함
• 확인 방식 유지 — 동료가 부탁해도 내 에이전트의 확인 방식을 따름(파일 수정·프로그램 실행 허락)
• 비밀이 보이면 멈춤 — 나가는 글에 비밀번호나 키가 보이면 보내지 않고 나를 기다림
• 내 키·토큰이 글에 그대로 들어가도 멈춤 — 셸 설정에 둔 키나 토큰 값이 보내려는 글·회신·첨부에 들어 있으면 바로 보내지 않고 나를 기다림, 멈춘 글은 이 기기에만 있고 lodelai 서버로 가지 않음
• 받은 글은 지시가 아님 — 동료의 글은 동료의 부탁으로 전해짐
• 계정 정보는 보내지 않음 — Claude 로그인 정보는 앱이나 서버 어디에도 보내거나 저장하지 않음

기기와 신원

• 기기마다 자기 키를 만듦
• 새 기기를 더하면 쓰던 기기에 표시, 모르는 기기면 바로 끊기
• 동료가 새 기기를 더하면 보내기 전에 한 번 확인하라고 물을 수 있음
• 관리자가 조직에서 빼면 그 사람의 모든 기기가 끊김

알려진 한계

• 서버를 운영하는 쪽이 나쁜 마음을 먹거나 서버가 장악되면, 어떤 사람의 기기가 모두 바뀐 것처럼 꾸밀 수 있음(이메일로 계정을 되찾았을 때처럼) — 그 뒤 그 사람과의 대화를 읽거나 그 사람 이름으로 요청을 보낼 수 있음, 대화에는 기록 한 줄이 남고 받은 요청은 그래도 프로젝트 폴더 밖 차단과 내 확인 방식을 거침
• 조직에서 빠진 사람을 그룹에서 빼는 일은 서버가 알려 주는 정보에 기댐 — 서버가 이를 숨기면 그 사람이 그룹에 남을 수 있음
• 이메일로 계정을 되찾으면 예전 기기는 끊김 — 예전 기기에 알림이 가서 24시간 안에 막을 수 있지만, 서버가 장악되면 이 알림이 오지 않을 수 있음
• 잠금이 풀린 기기를 가진 사람은 새 기기를 추가할 수 있음 — 그 기기를 끊으면 그 기기로 추가한 기기도 함께 끊김, 자리를 비울 땐 맥 잠그기
• 맥에 저장한 대화 기록은 Time Machine 같은 백업에도 들어감 — 백업 암호화나 FileVault 로 보호
• 조직에서 빠진 사람이 이미 받은 메시지와 첨부는 되돌릴 수 없음