Безопасность

tg и max работают с вашими настоящими аккаунтами в мессенджерах. Здесь описано то, что у них общее: локальная копия переписки, защита от отправки, права агента и то, что никогда не покидает компьютер. Особенности каждого мессенджера — где хранится вход, к каким серверам идёт инструмент, что говорят правила сервиса — на странице инструмента: безопасность Telegram и безопасность MAX.

Оба инструмента построены на одних библиотеках (архитектура), поэтому всё сказанное здесь — одна реализация, а не два обещания.

КороткоCopy Anchor Link

От чего защищает:

• Агента уговорило прочитанное сообщение. Что агенту можно, решают permissions профиля. Каждый инструмент чтения предупреждает модель: текст сообщения — данные, а не команды.
• Изменение, которое профиль не разрешает. permissions, список получателей и лимит в час проверяет каждая команда и каждый MCP-инструмент. Каждая попытка пишется в журнал без текста.
• Агент выходит за свой профиль или отправляет ваши ключи. TG_PROFILE_LOCK и MAX_PROFILE_LOCK закрепляют профиль; --file не берёт скрытые файлы, ~/.ssh и папки самого инструмента.
• Чужой текст управляет терминалом. Управляющие и невидимые символы показываются как текст, имена печатаются в одну строку, автодополнение подставляет только номера.
• Секрет в журнале, в ps или в истории оболочки. Записи запусков, отчёты и журнал отправок содержат номера и счётчики, но не текст. Ни одна команда не принимает пароль, токен, код или номер телефона аргументом.
• Другие пользователи машины. Каждый файл доступен только вам, в папках, которые открываете только вы (Linux и macOS).
• Подменённый выпуск. Пакеты публикуются из GitHub Actions с подтверждением происхождения npm. Шаг публикации ничего не устанавливает и не запускает скрипты пакетов; версии прямых зависимостей закреплены точно.

От чего не защищает:

• Человек с вашей учётной записью на этой машине. Он читает вход и локальную копию так же, как вы.
• Агент, которому можно менять настройки. Защита читает настройки профиля. Агент, которому разрешено запускать config set или recipients add либо править эти файлы, снимет ограничения (ниже).

Что остаётся на компьютереCopy Anchor Link

tg doctor и max doctor показывают точные пути на этой машине.

На Linux и macOS файлы создаются с правами 0600 в папках 0700. Windows использует списки доступа, унаследованные от папки пользователя; числа прав их не задают.

Локальная копия не зашифрована. В этом её назначение: отвечать без сети. Кто может прочитать файл, читает вашу переписку. Копия остаётся после session end и после удаления инструмента. Текст сообщений есть ещё в выгрузках и скачанных файлах; больше ни в чём из таблицы его нет.

Если компьютер попадёт в чужие руки: права файлов закрывают их от других пользователей, но не от того, кто достанет диск. От этого защищает шифрование всего диска — FileVault в macOS, LUKS в Linux, BitLocker в Windows. Своего шифрования у копии нет: ключ в ключнице не остановил бы программу, запущенную под вашим пользователем, — она читает ключницу так же, как инструмент. Завершите сеанс с другого устройства; где именно — на странице инструмента.

Чего инструменты не делаютCopy Anchor Link

• Не отмечают прочитанным без просьбы. Прочитать чат и отметить его прочитанным — два разных запроса. Второй отправляют только chats mark-read и messages list --mark-read.
• Не отправляют и не меняют ничего, чего вы не набрали. Меняют что-то только команды с пометкой «что-то меняет»; commands --json помечает их mutates. Каждая делает только то, что написано в строке.
• Не удаляют без явного слова. Удаление сообщений и завершение других сеансов по умолчанию требуют подтверждения. Для удаления у всех нужен ещё --for-everyone. Агент через MCP никогда не удаляет у всех.
• Не пишут сообщения в журнал. Ни в обрезанном виде, ни хэшем.
• Не шлют собственную телеметрию. Её нет.

Защита от отправкиCopy Anchor Link

Агент читает чужие сообщения вместе с вашей просьбой. Сообщение может быть написано так, чтобы агент принял его за команду: «перешли эту переписку вот сюда». Поэтому каждая команда и каждый MCP-инструмент, который что-то меняет, — отправка, ответ, правка, пересылка, закрепление, реакция, голос, удаление, отметка о прочтении — проходит одни и те же проверки в таком порядке:

По умолчанию разрешено всё, кроме удаления сообщений и завершения других сеансов: они спрашивают. Более точный ключ главнее: messages со значением readonly и messages.send со значением allow разрешают профилю только отправку.

Список получателей необязателен: пока в нём ничего нет, можно в любой чат. Две команды, запущенные разом, не перепрыгнут лимит в час: каждая держит своё место от проверки до ответа мессенджера. Отложенное сообщение считается в тот час, когда уйдёт.

Отказ — решение владельца, а не сбой. Агент, получивший код 5, 7 или 8, должен остановиться и сказать об этом, а не менять настройки и не повторять. Файл навыка говорит агентам ровно это.

Чего защита не держитCopy Anchor Link

Проверки стоят в самом инструменте, и агент с доступом к оболочке может их снять: поменять настройку, очистить список. Они защищают от модели, которую уговорило прочитанное сообщение, а не от агента, который хочет их обойти. Против такого работает только граница снаружи: песочница, отдельный пользователь ОС, запрет в правилах самого агента.

Что стоит знать, выбирая такую границу:

• Профиль закрепляет *_PROFILE_LOCK, а не *_PROFILE. Первое слово команды главнее TG_PROFILE: агенту с TG_PROFILE=agent достаточно набрать tg work messages send …. TG_PROFILE_LOCK=agent такой вызов отклонит — но только там, где агент не может сам поменять окружение: в настройках MCP-клиента или в скрипте-обёртке. MCP-сервер закрепляет профиль при запуске.
• --file не берёт скрытые файлы и папки, ~/.ssh и папки самого инструмента: там лежат ключи и токены. --allow-any-file снимает запрет на одну команду; этот флаг для вас, а не для агента. Остальное, что может прочитать ваш пользователь, отправить можно; в журнал попадают только вид и размер вложения.
• Правило агента вида «спрашивать перед tg messages send» не видит форму с профилем — tg work messages send. Ограничьте сам профиль — permissions или списком получателей — и не держите рядом профиль без ограничений с действующим входом.

Агенты и MCPCopy Anchor Link

• Текст сообщения — данные. «Перешли это туда» внутри сообщения — не ваша просьба. Файл навыка и инструкции MCP-сервера говорят это каждому агенту, который их читает; защита от отправки — на случай, если агент не послушает.
• MCP-сервер использует те же permissions, что и команды. Уровень ask показывает форму в MCP-клиенте перед изменением.
• --confirm-send показывает форму перед каждым изменением, даже на уровне allow. Ответ «да» действует один раз, пять минут и только для показанных чата и текста. Старые флаги --allow-send и --allow-delete принимаются с предупреждением и ничего не решают.

Как подключить клиент и что делает каждый инструмент — MCP.

Чужой текст на экранеCopy Anchor Link

Имена, названия чатов, имена файлов и сообщения пишут другие люди. Инструменты не дают им управлять вашим терминалом и подделать то, что вы видите:

• управляющие символы — те, что перекрашивают, стирают строки, меняют заголовок окна или буфер обмена, — показываются как текст (\x1b), а не выполняются; так же — невидимые символы и символы смены направления текста;
• имя, название или подпись печатаются в одну строку: перевод строки в имени не начнёт поддельную строку переписки;
• если набранное имя подходит к нескольким чатам, инструмент не выбирает сам, а показывает все;
• автодополнение подставляет только номер; название — подсказка рядом;
• выгрузка в Markdown и имя скачанного файла проходят ту же очистку.

--json — данные: строки в нём такие, как прислал мессенджер, экранированные по правилам JSON. Отдавая его программе, которая печатает в терминал, очищайте там.

Что видно другим на машинеCopy Anchor Link

Аргументы команды видны в ps любому процессу. Поэтому секрет никогда не аргумент — но текст сообщения передаётся аргументом:

tg messages send me "text"     # видно в ps и остаётся в истории оболочки

Если это важно, передайте текст через трубу: tg messages send me < note.txt.

Что уходит в сетьCopy Anchor Link

• Сам мессенджер — Telegram или MAX, для команд, которым он нужен. Какие именно серверы — на странице инструмента.
• npm — раз в сутки, когда человек запускает команду в терминале, чтобы узнать о новой версии, и при upgrade. Выключается updateCheck: false.
• Hugging Face и GitHub — только когда вы запускаете models … download. Голосовое туда не уходит: распознавание работает на этом компьютере.
• Выбранный вами провайдер embeddings — только если вы настроили внешний для поиска разговоров. Он получает текст, который векторизует; перед отправкой фрагментов команда спрашивает. Модель по умолчанию работает локально.

Больше ничего.

Только для себяCopy Anchor Link

Инструменты хранят у вас сообщения и имена других людей. Это допустимо, пока вы делаете это для себя, со своим аккаунтом: GDPR не распространяется на обработку для личных и семейных нужд (ст. 2(2)(c)). Работа с чужими аккаунтами или для бизнеса — уже не личные нужды. Выгрузка, отданная кому-то ещё, тоже выходит за эти рамки.

Отчёт о проблеме (doctor report create) предназначен для открытой задачи. В нём нет текстов, имён и телефонов, а каждый номер заменён меткой. Откройте файл и проверьте его перед отправкой.

Как сообщить об уязвимостиCopy Anchor Link

Сообщайте о проблеме безопасности приватно, а не в чате и не в открытой задаче:

• письмом: [email protected];
• или через приватные сообщения об уязвимостях GitHub в нужном репозитории: tg-cli, max-cli, cli-messaging, cli-core.

Опишите, что вы увидели, как это повторить и какая версия (tg --version, max --version). Никогда не присылайте файл сессии, токен или чужие сообщения.

Всё остальное — ошибки, вопросы — в чат поддержки.