Schwachstellen melden

Schreib an security@corgent.ai, auf Deutsch oder Englisch. Nenne, was betroffen ist (Adresse, App-Version, Schnittstelle), wie man den Fehler nachvollzieht, welche Auswirkung du siehst und ob er vermutlich schon ausgenutzt wird. Einen PGP-Schlüssel veröffentlichen wir noch nicht; wenn du Verschlüsselung brauchst, schreib zuerst ohne Details, dann vereinbaren wir einen Weg.

security@corgent.ai

Dazu gehören: corgent.ai, app.corgent.ai, api.corgent.ai, mcp.corgent.ai, die Corgent-App für Android und iOS, das einbettbare Chat-Widget sowie die MCP-Server und SDKs, die wir veröffentlichen.

Nicht dazu gehören: Überlastungs- und Lasttests, Social Engineering und Phishing, physische Angriffe, Dienste von Drittanbietern (bitte direkt dort melden), Befunde, die ein gerootetes Gerät oder einen Man-in-the-Middle ohne weitere Lücke voraussetzen, fehlende Header ohne gezeigte Auswirkung, und Prompt-Injection, die nur ändert, was das Modell der injizierenden Person antwortet. Prompt-Injection, die eine Mandanten-, Freigabe- oder Datengrenze überwindet, gehört ausdrücklich dazu.

• Eingangsbestätigung innerhalb von 2 Werktagen.
• Erste Einschätzung (gültig, Schweregrad) innerhalb von 5 Werktagen.
• Behebung: kritisch innerhalb von 7 Tagen, hoch innerhalb von 30 Tagen, mittel und niedrig innerhalb von 90 Tagen.
• Koordinierte Veröffentlichung nach der Behebung, spätestens 90 Tage nach der Meldung, abgestimmt mit dir.
• Wir halten dich auf dem Laufenden und nennen dich auf Wunsch in der Danksagung. Prämien zahlen wir derzeit nicht.

Wird eine Lücke aktiv ausgenutzt, melden wir sie nach Art. 14 der Cyberresilienz-Verordnung über die Meldeplattform der ENISA an das zuständige CSIRT und informieren die betroffenen Nutzer.

• Handle in gutem Glauben und nur so weit, wie es zum Nachweis nötig ist.
• Nutze eigene Testkonten. Greife nicht auf Daten anderer Kunden zu, ändere oder lösche nichts. Stößt du versehentlich auf personenbezogene Daten, hör auf, behalte keine Kopie und sag uns Bescheid.
• Keine Überlastung, kein Spam, kein Social Engineering.
• Gib uns angemessen Zeit zur Behebung, bevor du veröffentlichst.

Wenn du dich an diese Richtlinie hältst, betrachten wir deine Forschung als erlaubt, stellen deswegen keine Strafanzeige, gehen nicht zivilrechtlich gegen dich vor und sagen das auch Dritten gegenüber. Auf Rechte Dritter und auf die Strafverfolgungsbehörden haben wir keinen Einfluss.

Bisher sind keine Meldungen mit Zustimmung zur Nennung eingegangen.