This Security Overview explains how ALLiw is designed, operated, and audited. It is updated as the architecture evolves.Trang Tổng quan Bảo mật giải thích ALLiw được thiết kế, vận hành và kiểm toán như thế nào. Được cập nhật khi kiến trúc thay đổi.
1. Guiding principles1. Nguyên tắc dẫn đường
- Sovereign. The platform is designed to serve users without depending on external AI services. We do not use OpenAI or any third-party AI model or LLM API: replies come from our own models, run on our own servers and on rented GPU compute.Chủ quyền. Nền tảng được thiết kế để phục vụ người dùng mà không phụ thuộc vào dịch vụ AI bên ngoài. Chúng tôi không dùng OpenAI hay bất kỳ mô hình AI hoặc API LLM nào của bên thứ ba: câu trả lời đến từ mô hình của chính chúng tôi, chạy trên máy chủ của chúng tôi và trên năng lực GPU thuê.
- Least privilege. Every account, process and sub-processor gets only the access it needs; sensitive actions require a second person's approval.Đặc quyền tối thiểu. Mọi tài khoản, tiến trình, bên xử lý phụ chỉ nhận quyền tối thiểu cần thiết; thao tác nhạy cảm cần người thứ hai duyệt.
- Defence in depth. No single control is relied on. Logs, backups, admin flows, cryptography, headers, and network isolation each enforce part of the policy independently.Phòng thủ nhiều lớp. Không dựa vào một lớp bảo vệ duy nhất. Nhật ký, sao lưu, luồng quản trị, mật mã, tiêu đề HTTP, cô lập mạng — mỗi lớp thực thi một phần chính sách độc lập.
- Accurate. This page describes controls that are in place today, not plans.Đúng thực tế. Trang này mô tả các biện pháp đang có hiệu lực, không mô tả dự định.
2. Infrastructure2. Hạ tầng
- Primary servers in Vietnam, operated on hardware we own.Máy chủ chính đặt tại Việt Nam, chạy trên phần cứng do chúng tôi sở hữu.
- Secondary GPU compute is active: GPU capacity rented from a provider in Vietnam and a provider in the United States runs our own models when the primary servers need more capacity. It is listed on the Sub-processors page and receives only what is needed to compute a reply. That content is held only in GPU memory while the reply is computed; it is not written to the machine's storage or logs, and nothing remains there afterwards.Năng lực tính toán GPU phụ đang hoạt động: năng lực GPU thuê của một nhà cung cấp tại Việt Nam và một nhà cung cấp tại Hoa Kỳ chạy mô hình của chính chúng tôi khi máy chủ chính cần thêm năng lực. Năng lực này được ghi tại trang Bên xử lý phụ và chỉ nhận phần cần để tính câu trả lời. Nội dung ấy chỉ nằm trong bộ nhớ GPU khi đang tính; không ghi xuống ổ lưu trữ hay nhật ký của máy, và không còn lại gì ở đó sau đó.
- All traffic travels over TLS 1.2 or later, and HTTPS is enforced with HSTS. Internal services are not reachable from the Internet.Mọi lưu lượng đi qua TLS 1.2 trở lên, HTTPS được bắt buộc bằng HSTS. Các dịch vụ nội bộ không truy cập được từ Internet.
3. Identity and access3. Danh tính và truy cập
- Passwords are hashed with scrypt, never stored or logged in cleartext.Mật khẩu băm bằng scrypt, không bao giờ lưu hoặc ghi log dạng rõ.
- Two-factor authentication is available for every account and required for every administrator. Supported second factors: TOTP, recovery codes, WebAuthn / passkeys (hardware security keys). A passkey with user verification can also be used on its own to sign in without a password; it then counts as both factors.Xác thực hai yếu tố có sẵn cho mọi tài khoản và bắt buộc với mọi quản trị viên. Yếu tố thứ hai được hỗ trợ: TOTP, mã khôi phục, WebAuthn / passkey (khoá bảo mật phần cứng). Passkey có xác minh người dùng cũng dùng riêng được để đăng nhập không cần mật khẩu; khi đó nó được tính là cả hai yếu tố.
- Session cookies are HttpOnly, Secure and SameSite. Sessions record the IP address and browser user agent; users can list and revoke sessions from the Account page.Cookie phiên có HttpOnly, Secure và SameSite. Phiên ghi địa chỉ IP và thông tin trình duyệt; người dùng có thể liệt kê và huỷ phiên từ trang Tài khoản.
- Administrator actions are role-separated (operations, support, finance, audit, data protection). Sensitive actions (data deletion, access grants, money adjustments) require two-person control. The admin panel auto-locks when idle.Hành động quản trị phân vai (vận hành, hỗ trợ, tài chính, kiểm toán, bảo vệ dữ liệu). Thao tác nhạy cảm (xoá dữ liệu, cấp quyền, điều chỉnh tiền) cần hai người duyệt. Trang quản trị tự khoá khi không dùng.
- Every time an administrator reads a user's profile, we log the event with the stated purpose; the user can see those entries.Mỗi lần quản trị viên xem hồ sơ một người dùng, chúng tôi ghi sự kiện kèm mục đích; người dùng xem được các dòng ấy.
4. Application security4. Bảo mật ứng dụng
- A strict Content Security Policy allows scripts and styles only from our own origin and blocks inline scripts; other sites cannot embed our pages in a frame.Chính sách Bảo mật Nội dung (CSP) chặt chỉ cho phép script và style từ chính trang của chúng tôi và chặn script nội tuyến; trang khác không thể nhúng trang của chúng tôi vào khung.
- Every state-changing request is checked for cross-site request forgery; sign-in, sign-up and other sensitive actions are rate-limited; request sizes are capped and inputs are validated.Mọi yêu cầu làm thay đổi dữ liệu đều được kiểm chống CSRF; đăng nhập, đăng ký và các thao tác nhạy cảm có giới hạn tần suất; kích thước yêu cầu có trần và dữ liệu vào được kiểm hợp lệ.
5. Logging, monitoring, incident response5. Nhật ký, giám sát, phản hồi sự cố
- Audit log entries form an HMAC chain and are anchored each night to a second machine, so edits or deletions in the primary store are detectable.Dòng nhật ký kiểm toán tạo chuỗi HMAC và được neo mỗi đêm sang máy thứ hai, nên mọi sửa hoặc xoá tại kho chính đều phát hiện được.
- Alerts flag unusual administrator behaviour (reading many profiles, signing in from new addresses, repeated authentication failures).Cảnh báo hành vi quản trị bất thường (xem quá nhiều hồ sơ, đăng nhập từ địa chỉ mới, xác nhận sai liên tiếp).
- Personal data breaches are recorded in an incident register and notified to the competent authority and affected people within the time limits of Law 91/2025/QH15 and Decree 356/2025/NĐ-CP (72 hours where required).Vi phạm dữ liệu cá nhân được ghi vào sổ sự cố và thông báo cho cơ quan chuyên trách và người bị ảnh hưởng trong thời hạn của Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (72 giờ khi luật yêu cầu).
- Serious incidents of the AI system are reported to the competent authority within the time limits of the Law on Artificial Intelligence 134/2025/QH15 and Decree 142/2026/NĐ-CP.Sự cố nghiêm trọng của hệ thống AI được báo cáo cho cơ quan có thẩm quyền trong thời hạn của Luật Trí tuệ nhân tạo 134/2025/QH15 và Nghị định 142/2026/NĐ-CP.
6. Backup and continuity6. Sao lưu và liên tục
- Nightly backups of the primary store with automatic integrity verification of the ledger and the complete audit chain after each backup.Sao lưu hằng đêm kho chính, tự kiểm sổ sách và toàn bộ chuỗi kiểm toán sau mỗi bản.
- Second-machine anchor of the audit chain so the log cannot be rewritten undetectably.Neo chuỗi kiểm toán sang máy thứ hai để nhật ký không thể bị viết lại mà không bị phát hiện.
- Backups are kept for up to 90 days and then deleted automatically; each deletion is recorded in the backup log. The Privacy Policy explains what that means for deleted data.Sao lưu được giữ tối đa 90 ngày rồi tự động xoá; mỗi lần xoá được ghi vào nhật ký sao lưu. Chính sách Quyền riêng tư giải thích điều đó với dữ liệu đã xoá.
7. People7. Con người
Every person with access to production systems commits to confidentiality. Access is reviewed quarterly and removed when a role ends. Operational decisions that touch personal data require the data-protection role.Mọi người có quyền truy cập hệ thống sản xuất đều cam kết bảo mật. Quyền được rà soát hằng quý và thu hồi khi hết vai trò. Các quyết định vận hành chạm tới dữ liệu cá nhân cần vai «bảo vệ dữ liệu».
8. Responsible disclosure8. Công bố có trách nhiệm
If you believe you have found a security vulnerability, please write to godalliw@icloud.com. Describe the issue, the steps to reproduce, and (if you want) a PGP public key for our reply. We acknowledge within 72 hours, and we do not pursue legal action against good-faith researchers who stay within these bounds.Nếu bạn tin rằng mình đã tìm thấy lỗ hổng bảo mật, xin viết cho godalliw@icloud.com. Mô tả vấn đề, các bước tái hiện, và (nếu muốn) khoá công khai PGP để chúng tôi trả lời. Chúng tôi hồi âm trong 72 giờ, và không truy cứu pháp lý với nhà nghiên cứu thiện chí nằm trong giới hạn này.