Guidant AI 產品安全資訊

發現 Guidant AI 的安全漏洞，請寄到：

security@billows.com.tw

這個信箱由資安人員直接收件與回覆，不是自動化表單。信件無法送達時，改寄 billows@billows.com.tw 或致電 (02) 2562-3952，主旨註明「安全漏洞通報」。接受繁體中文與英文。

若通報含可直接利用的攻擊細節，請先寄一封不含細節的信，我們會回覆加密傳送方式。

通報時請提供：受影響版本與元件、漏洞類型、重現步驟、您評估的嚴重度、是否已知被利用、您的聯絡方式與是否同意具名致謝。請勿附上非屬您本人的個人資料或客戶資料。

我們的承諾

善意研究：只在自己安裝或合法授權的環境測試、不存取他人資料、不做阻斷服務或社交工程、給我們合理修補時間、公開前不揭露細節、不以公開作為要求報酬的條件——符合以上，本公司承諾不對您的研究行為提出法律追訴。目前不提供漏洞獎金。

完整文件《漏洞通報政策》：1.1 版（2026-10-19）

每修補一個漏洞發布一則公告，編號 GAI-SA-<年月>-<流水號>，隨對應的安全更新安裝包附上，並以電子郵件通知客戶管理員。

每則公告展開後包含：漏洞描述、受影響產品與版本、影響、嚴重度（CVSS）、修補或緩解方式、致謝。

每一版自首次在歐盟市場提供之日起至少 5 年。同一主版本系列的結束日取系列內各版最晚者。

• 安全更新在支援期內免費提供，不以維護合約為條件。
• 支援期結束前至少 6 個月通知客戶，並說明可升級的版本。
• 安全更新以新版完整安裝包發布，由客戶管理員執行升級；產品不會自動下載或安裝更新（部署在客戶自管環境，停機與資料庫升級時機由客戶決定）。
• 每個安全更新自發布起至少保留可取得 10 年。

完整文件《支援期聲明》：1.1 版（2026-10-19）

每個版本提供 CycloneDX 格式的 SBOM，涵蓋後端應用層相依套件與五個容器映像檔（後端、沙箱、前端、資料庫初始化、錯誤追蹤）。

每次發版前與至少每月一次，以 SBOM 比對已知弱點資料庫；發現影響產品的弱點依《漏洞通報政策》處理。

給客戶管理員的安全資訊：預期用途、安全運作環境、主要安全特性、可能造成重大風險的設定、初次啟用與下線時的注意事項。

摘要

• 只有前端一個對外入口（HTTPS），資料庫與內部服務不對外開放。
• 租戶資料在資料庫層隔離；內部連線加密；檢測 Agent 以雙向憑證連線。
• 後端容器唯讀檔案系統、移除特權；證據檔在不連外網的沙箱拆解。
• 安裝包內附 SHA-256 清單，安裝程式逐檔比對；服務啟動時驗證原廠簽章，遭竄改即鎖定。
• 請勿：開放前端以外的連接埠到外網、沿用預設密碼、在支援期結束後繼續使用、移除容器安全設定。
• 產品未提供：磁碟加密、排程備份、大流量阻斷攻擊防護——請由主機與網路層處理。

完整文件《產品使用安全須知》：1.1 版（2026-10-19）

完整文件《安全更新與下線程序》：1.1 版（2026-10-19）

Guidant AI 屬 CRA 一般類產品，以 Module A（內部生產管制）完成符合性評估。歐盟符合性聲明將於首次在歐盟市場提供前製作並簽署，屆時公開於本頁並隨安裝包附上。

製造商

竣盟科技股份有限公司（Billows Technology Co., Ltd.）

地址

104074 台北市中山區松江路 129 號 6 樓

電話

(02) 2562-3952

一般聯絡

billows@billows.com.tw

安全漏洞通報

security@billows.com.tw

網站

https://www.billows.tech