安全

登录

• 可以用 GitHub、Google 或邮箱加密码登录。一个账户可以同时绑定这三种方式（Sign-in methods）。
• GitHub 和 Google 登录使用 PKCE 和一次性 state 参数，并且只接受登录提供方已验证的邮箱。
• 只有当登录提供方本身就是该邮箱的服务商时（Gmail、Google Workspace），已关联某个账户的邮箱才会直接进入该账户。否则，需要账户所有者先登录一次，再关联新的登录方式。
• 重置密码会让该账户在所有设备上退出登录。

令牌

• 令牌只显示一次，并且只以哈希形式存储。令牌一旦撤销，立即失效。
• 权限范围（read、rent、manage、billing）限制令牌能做的事，令牌也无法创建权限比自己更大的令牌。
• 为智能体单独创建令牌，并设置支出上限、最长租用时长和到期时间。

资金

• 付款通过 Stripe 处理；银行卡号永远不会经过 Arrakis。只有在 Stripe 确认付款后余额才会增加，且每笔付款只入账一次。
• 租用按小时预付，余额付不起的机器会被熔断机制停止。你的支出永远不会超过你充值的金额。
• Stop everything 会立即停止所有机器。

隔离

每个请求都代表其令牌所属的账户执行。账户之间无法查看或修改彼此的机器、付款记录或令牌。

机器

机器运行在独立主机商的硬件上，主机商掌控这些硬件，能够看到其上运行的一切：磁盘、内存和网络流量。请勿在机器上存放机密信息、凭据和受监管的数据，任何重要内容都要自己保留一份副本。抢先体验期间，Arrakis 不提供正常运行时间保证。Arrakis 对哪些事项负责、对哪些事项不负责，请参阅条款。

轮换令牌

1. 新建一个替代令牌，只给它任务所需的权限范围和限额。
2. 把它放到任务读取令牌的位置。
3. 撤销旧令牌。