信任与品牌
我们是谁，不是谁，数据放在哪里
这一页集中回答企业安全部门与采购最常追问的问题：24Test 与 TBuy 是什么关系，检测结果算不算认证，每个产品的数据边界与保留策略，以及代码的许可与来源。
运营主体Zevolve
工具品牌24Test（24test.com）
供应品牌TBuy（tbuy.ai · tbuy.cn）
品牌关系
关联品牌，职责分离，不是独立第三方认证
24Test
提供模型检测、企业接入与调用审计工具。模型检测向你指定的 API 发起测试并生成证据报告；调用审计帮助已开通的企业账号查看采集的调用记录与敏感信息风险；企业版网关为员工提供统一入口。
TBuy
提供模型 API 与 Token 服务，帮助客户购买、接入和使用 AI 模型；企业通道与受限凭据在 TBuy 发放。其 API 网关域名为 modelsok.com。
这意味着
- 24Test 不自称独立第三方。检测结果需结合测试条件、证据与适用范围理解。
- 对 TBuy 自家通道的检测结果同样如实展示，包括失败项；报告端点属于 TBuy 主机时将标注关联关系（规划中，当前仅在页脚统一披露关联品牌）。
- 调用审计的采集源是 TBuy 网关，仅覆盖已开通的企业与已开启的范围。
- 审计控制台不出现任何采购或充值入口；检测报告只披露关联关系，不做导流。
不会出现在我们页面上的说法
- 「24Test 认证通道」「24Test 推荐」「审计通过」
- 「零丢失」「100% 不出内网」「实时阻断」
- 「SOC 2 认证」「不持久化」
- 把规划中或样机阶段的能力写成现成功能
数据边界
每个产品持有什么数据，保留多久
| 产品 | 持有的数据 | 加密与权限 | 保留 | 不持有的数据 |
|---|---|---|---|---|
| 24Test Model Check | 检测报告（探针请求与响应摘要、分数、证据）、报告备注；登录用户的检测记录；用户主动保存的测试 Key | Key 在报告、进度流、数据库与错误文本中统一脱敏；保存的 Key 以 AES-256-GCM 加密，主密钥在数据库与备份之外 | 报告长期保留，链接任何人可开且不被收录；保存的 Key 到期自动删除 | 不收集邮箱；检测不登录时不进入任何列表；生成图不落库 |
| Token Audit（SaaS） | 已开通企业的调用信息；按档位可含提示词、回复、思考链与工具调用正文 | 每租户数据密钥（AES-256-GCM）；四种角色、数据库行级安全；查看正文先写访问日志；站主查看另需二次验证并通知 | 默认 180 天，按租户可调；原始件 7 天；配置站主归档公钥后，超过 14 天（默认，可调）的正文冷归档并用该离线公钥加密 | 上游渠道身份不进入企业可见接口；服务日志与告警不含正文；base64 图片与文件只记类型、大小与哈希 |
| Token Audit（企业本地版） | 同上，但数据库与正文密文由企业持有 | 同上；重启后需人工解锁 | 由企业配置 | 云端不接收正文（样机验证中） |
| Token Router 企业版 | 员工 Key、模型权限、额度、调用日志；企业自有渠道凭据（如使用 BYOK） | 数据库与凭据在企业机器上；供应商密钥不下发给员工 | 由企业配置 | 云端管理尚无代码；调用内容仍会发送到所选模型上游 |
已知边界：能登录审计服务器的人技术上可以解密正文，当前以「只有站主能登录」约束，硬件密钥方案在规划中；采集范围只含网关的 /v1 与 /v1beta 路由。
许可与源码
三个产品的许可分开写
24Test Model Check
基于 new-api 派生，整体采用 AGPL-3.0。运行修改版作为网络服务须向用户提供源码；现网对应源码与依赖源码在 同站源码包 提供，附有 SHA-256 校验文件。24Test 与 Anthropic、OpenAI、Google、亚马逊云科技没有关联。
Token Audit
自研软件，不复制网关代码。企业本地版计划从干净仓库开源，许可证选择与发布时间另行公布。
Token Router 企业版
网关核心为 new-api 衍生（AGPL-3.0），随附许可证文件；公开合成演示的对应源码与依赖许可可从 演示站源码包 下载，不含配置、数据和凭据。
联系
安全问题与商务咨询
报告漏洞
模型检测代码仓库附有安全披露说明；正式的安全联系方式待负责人确认后在此补充。
企业咨询
预约场景演示或讨论交付范围：联系方式待负责人确认后在此补充。TBuy 账号与企业通道事宜请在 tbuy.ai 处理。