我们是谁，不是谁，数据放在哪里

主体与品牌

• 运营主体：Zevolve。
• 工具品牌：24Test（24test.com）。
• 供应品牌：TBuy（tbuy.ai、tbuy.cn），其 API 网关域名为 modelsok.com。

品牌关系：关联品牌，职责分离

24Test 与 TBuy 为关联品牌，同属 Zevolve；品牌分开不代表独立第三方认证。检测结果需结合测试条件、证据与适用范围理解。

24Test 提供模型检测、企业接入与调用审计工具。模型检测向你指定的 API 发起测试并生成证据报告；调用审计帮助已开通的企业账号查看采集的调用记录与敏感信息风险；企业版网关为员工提供统一入口。

TBuy 提供模型 API 与 Token 服务，帮助客户购买、接入和使用 AI 模型；企业通道与受限凭据在 TBuy 发放。

• 24Test 不自称独立第三方；检测结果需结合测试条件、证据与适用范围理解。
• 对 TBuy 自家通道的检测结果同样如实展示，包括失败项；报告端点属于 TBuy 主机时将标注关联关系（规划中，当前在页脚统一披露关联品牌）。
• 调用审计的采集源是 TBuy 网关，仅覆盖已开通的企业与已开启的范围。
• 审计控制台不出现任何采购或充值入口；检测报告只披露关联关系，不做导流。

不会出现在我们页面上的说法

• 「24Test 认证通道」「24Test 推荐」「审计通过」
• 「零丢失」「100% 不出内网」「实时阻断」
• 「SOC 2 认证」「不持久化」
• 把规划中或样机阶段的能力写成现成功能

数据边界：每个产品持有什么数据，保留多久

已知边界：能登录审计服务器的人技术上可以解密正文，当前以「只有站主能登录」约束，硬件密钥方案在规划中；采集范围只含网关的 /v1 与 /v1beta 路由。

• 24Test Model Check：持有检测报告（探针请求与响应摘要、分数、证据）、报告备注、登录用户的检测记录与用户主动保存的测试 Key。Key 在报告、进度流、数据库与错误文本中统一脱敏；保存的 Key 以 AES-256-GCM 加密，主密钥在数据库与备份之外。报告长期保留，链接任何人可开且不被收录；保存的 Key 到期自动删除。不收集邮箱；不登录的检测不进入任何列表；生成图不落库。
• Token Audit（SaaS）：持有已开通企业的调用信息，按档位可含提示词、回复、思考链与工具调用正文。每租户数据密钥（AES-256-GCM）、四种角色、数据库行级安全；查看正文先写访问日志，站主查看另需二次验证并通知。默认保留 180 天，按租户可调；原始件 7 天；配置站主归档公钥后，超过 14 天（默认，可调）的正文冷归档并用该离线公钥加密。上游渠道身份不进入企业可见接口；服务日志与告警不含正文；base64 图片与文件只记类型、大小与哈希。
• Token Audit（企业本地版）：同上，但数据库与正文密文由企业持有，重启后需人工解锁，保留期由企业配置；云端不接收正文（样机验证中）。
• Token Router 企业版：持有员工 Key、模型权限、额度、调用日志，以及企业自有渠道凭据（如使用 BYOK）。数据库与凭据在企业机器上，供应商密钥不下发给员工，保留期由企业配置。云端管理尚无代码；调用内容仍会发送到所选模型上游。

许可与源码：三个产品的许可分开写

• 24Test Model Check：基于 new-api 派生，整体采用 AGPL-3.0。运行修改版作为网络服务须向用户提供源码；源码在 GitHub 公开仓库提供，与现网版本对应的同站源码包（/source.tar.gz）由发布流程自动打包并记录哈希，核实可下载后替换为主入口。24Test 与 Anthropic、OpenAI、Google、亚马逊云科技没有关联。
• Token Audit：自研软件，不复制网关代码。企业本地版计划从干净仓库开源，许可证选择与发布时间另行公布。
• Token Router 企业版：网关核心为 new-api 衍生（AGPL-3.0），随附许可证文件；向企业分发二进制或镜像时的源码提供方式，在正式发行前确定并在此公布。

模型检测源码（AGPL-3.0，GitHub 公开仓库）

开源与源码说明

联系：安全问题与商务咨询

• 报告漏洞：模型检测代码仓库附有安全披露说明；正式的安全联系方式待负责人确认后在此补充。
• 企业咨询：预约场景演示或讨论交付范围的联系方式待负责人确认后在此补充；TBuy 账号与企业通道事宜请在 tbuy.ai 处理。