Sicherheit & Compliance
Hyground ist eine selbst gehostete, autonome Betriebsschicht, die vollständig innerhalb Ihres Perimeters läuft. Abgegrenzte Service-Identitäten mit Least-Privilege-Zugriff. Standardmäßig Read-only. Keine autonomen Änderungen. Jede Ausgabe auditierbar. Kein Datenabfluss, keine Telemetrie, kein externes Modelltraining. Sicherheit wird auf Architekturebene durchgesetzt.
Hyground wird als Kubernetes-natives Helm-Chart ausgeliefert und läuft vollständig in Ihrem Cluster. Die Standardeinstellungen sind restriktiv: gehärtete Images, abgegrenzte Berechtigungen und ein Read-only-Cluster-RBAC. Der Anbieter hat keinen operativen Zugang zu Ihrem Cluster.
Die Hyground GmbH betreibt keine SaaS-Control-Plane und hat keinen Operator-Zugriff auf Kunden-Deployments. Kein Phone-home, kein zentraler Schlüssel, keine gemeinsam genutzte Infrastruktur. Der Anbieter besitzt nichts von Ihnen, das verloren gehen könnte.
Sessions, Abfragen und Aktionen sind über OIDC (Entra ID, Zitadel, jeder OIDC-Provider) an einen benannten Benutzer gebunden. Automatisierung läuft unter abgegrenzten technischen Benutzern mit demselben Audit-Trail.
Tool-Antworten durchlaufen einen Secret-Filter, bevor sie das LLM erreichen. Gibt eine Integration versehentlich ein Credential zurück, bekommt das Modell es nie zu sehen. Das Herausfiltern geschieht in Ihrem Cluster, bevor die Antwort das Modell erreicht.
Chainguard-Distroless-Base-Images. Container laufen als Non-Root mit Read-only-Root-Dateisystem, entzogenen Linux-Capabilities, ohne Privilege Escalation und mit aktiviertem seccomp. Mit jedem Release wird ein SBOM veröffentlicht.
Das Helm-Chart liefert NetworkPolicies, ServiceAccounts pro Service und eine ClusterRole für den Kubernetes-Adapter, die auf get, list und watch beschränkt ist. Die Read-only-Durchsetzung reicht bis auf die Cluster-RBAC-Ebene.
Air-gapped On-Premises-Deployment wird unterstützt. Das Helm-Chart ist für die Offline-Installation ausgelegt. Der einzige ausgehende Datenverkehr geht an den LLM-Provider Ihrer Wahl.
Die vollständige architektonische Begründung für den Betrieb eines SRE-Agents ohne externe Datenübertragung, ohne Anbieter-Konnektivität und ohne Abhängigkeiten von Drittanbieter-Modellen. Entwickelt für regulierte europäische Unternehmen.
Jede Sicherheitseigenschaft wird auf Infrastrukturebene durchgesetzt. Abgegrenzte Identitäten, Least-Privilege-Zugriff und Read-only-Durchsetzung auf Adapter-Ebene sind strukturell verankert, nicht konfigurierbar.
Hyground-Agents arbeiten unter abgegrenzten Service-Identitäten mit Least-Privilege-Zugriff auf Ihre Infrastruktur. Jede Identität ist an bestimmte Namespaces, Datenquellen und Aktionstypen gebunden. Keine geteilten Credentials, keine implizite Autorität.
Alle Vorgänge sind Read-only. Hyground untersucht, analysiert und berichtet. Es startet nichts neu, skaliert nichts und konfiguriert nichts um. Adapter setzen das beim Start durch, unterhalb des LLM.
Keine Telemetrie, kein Nutzungs-Tracking, kein Phone-home-Verhalten. Die gesamte Verarbeitung findet in Ihrem Cluster statt. Die Architektur verhindert physisch, dass Daten Ihren Perimeter verlassen.
Datenbank-Adapter prüfen beim Start auf Read-only-Rollen. CLI-Adapter blockieren schreibende Befehle und Flags. Jede Integration wird durch den Adapter selbst begrenzt, unterhalb des Sprachmodells. Ein fehlverhaltendes Modell kann nicht über das hinausgehen, was der Adapter ausführt.
Binden Sie Azure OpenAI, Anthropic oder Google Vertex an oder betreiben Sie alles vollständig selbst gehostet mit Ollama. Sie steuern den Modell-Provider. Ihre Daten werden niemals zum Training externer Modelle verwendet. Die Wahl des Modells bleibt jederzeit beim Kunden.
Jede Untersuchung, jede Abfrage, jeder Befund erzeugt einen strukturierten, exportierbaren Datensatz. Compliance-Teams können genau nachvollziehen, was das System getan hat, auf welche Daten es zugegriffen hat und zu welchen Schlüssen es gekommen ist, ganz ohne Beteiligung des Engineering-Teams.
Testen Sie unsere Sandbox oder vereinbaren Sie eine Demo mit unserem Team und erleben Sie einen souveränen, selbst gehosteten SRE-Agent aus erster Hand.