セキュリティとデータの扱い

CHINJU はローカル環境での処理を優先し、可能な限り利用者の手元の環境で解析を行います。 外部プロバイダーを利用する場合は、プロジェクト設定、ポリシー、実行時の承認に基づいて必要な情報だけを送信します。

• 変更差分、関連するコード断片、ファイルパス
• エラーメッセージ、テスト結果、ログの一部
• プロジェクトガイダンス、解析方針、リスク候補の要約
• 外部プロバイダーが回答するために必要な最小限の文脈

OpenAI、Anthropic などの APIキーは、利用者が選んだプロバイダーと通信するために使われます。 APIキーはパスワードと同じように扱い、共有・公開しないでください。不要になった APIキーはプロバイダー側で失効してください。

CHINJU の検出結果は、バグ、回帰、脆弱性の可能性を示す候補です。 すべてのバグや脆弱性を必ず発見できるものではなく、検知を保証するものでも、他社サービスや他の手法より優れていることを確証するものでもありません。 最終的な判断、修正、リリース、セキュリティ対応は、利用者自身の確認に基づいて行ってください。

• 機密度の高いリポジトリでは、プロジェクトポリシーで外部プロバイダーの利用範囲を制限する
• APIキーやシークレットをコード、ログ、スクリーンショットへ含めない
• 解析前に送信対象やプロバイダーを確認する
• セキュリティ上重要な検出候補は、人間による再確認と再現確認を行う

CHINJU に関する脆弱性や不審な挙動を見つけた場合は、公開投稿ではなく、contact@chinju.org へ非公開で連絡してください。