Harvey宣布获得FedRAMP D级认证，可为联邦政府法律工作提供服务

Harvey于2026年10月28日宣布，其法律AI平台现已获得FedRAMP D级认证。该公司表示，这项认证使美国联邦机构、联邦承包商及合作伙伴、国际政府以及要求最高安全标准的商业实体能够使用Harvey处理法律工作。Harvey在Knox Systems获得FedRAMP D级认证的云环境中运行。

联邦法律团队负责咨询、诉讼和执法工作，这些工作往往涉及敏感信息。Harvey表示，这些机构及其合作公司如今可以使用该平台开展采购与合同工作、初步文件审查以及跨机构协作。该公司称，此举旨在减少律师花在常规任务上的时间，让他们能将更多精力用于法律分析和提供建议。

Harvey首席执行官Winston Weinberg在公告中表示：“联邦法律团队帮助提供惠及所有人的关键服务。如今，他们可以使用与《美国律师》100强中80%的律所及《财富》美国500强前十名中五家企业相同的法律AI。我们很自豪能将我们的技术带给更多从事公共服务的律师。”

Harvey公共部门负责人Pat Manion表示，在通过认证的环境中，机构律师可以处理复杂的案件记录、拟定诉讼论点、解读法规，并审查合同和采购文件。他还补充说，公司通过获得FedRAMP认证的平台，为联邦政府法律团队及其合作伙伴提供支持。

FedRAMP Marketplace记录

Knox Systems FedRAMP High Managed Platform的FedRAMP Marketplace平台列表将Harvey AI列入其认证服务部分，该平台的Package ID为FR2528033654。列表显示，Knox平台自2026年3月30日起获FedRAMP认证，并处于持续认证阶段；Marketplace将该阶段定义为稳定状态下的持续监控与报告。列表记录了两项授权；Marketplace将这一数字定义为运营授权函和使用授权函的总数，其中包括初始授权和复用授权。该平台的认证资料显示，其类型为Rev5，路径为Agency，等级为D级（High）；A至D级反映了服务所需的文档要求和持续报告要求。

列表中的服务说明由供应商提交；Marketplace指出，FedRAMP不会审查或认可供应商提交的内容。根据该说明，应用提供商将服务部署在Knox的FedRAMP High授权边界内，并沿用相当一部分必需的安全控制，而无需单独申请FedRAMP授权。Knox的合规团队及其KnoxAI平台会指导每家提供商完成准备、评估和上线流程；KnoxAI还会依据NIST 800-53框架及其他框架评估提供商的安全态势和控制措施实施情况，并生成FedRAMP要求的各项材料。

每个应用都在Knox边界内独立的专用单租户账户中运行，客户之间不共享计算资源、数据平面或存储；每个应用都会单独接受评估、列入Marketplace，并从第一天起纳入持续监控。说明指出，所有工作负载都专属运行于AWS、Azure或Google Cloud Platform的美国区域，并采用经FIPS验证的传输中和静态数据加密、带有完整审计日志的零信任访问，以及每周7天、每天24小时不间断的安全运营中心和网络运营中心保障。

说明称，Knox负责管理持续监控，按月向授权机构提交报告，跟踪行动计划和里程碑，开展年度独立第三方评估与渗透测试，并与每位客户进行应急预案和事件响应演练。共享责任矩阵会记录Knox、应用提供商和机构各自负责的事项。

Marketplace将Harvey for Government描述为一项服务，使联邦机构的律师和法律专业人员能够处理法律问题、审查机构文件、起草和修改备忘录、法律文书及函件、执行多步骤法律工作流程，并在共享工作区中协作；服务提供的答复会注明来源。列表将该平台的服务模式列为SaaS，部署模式列为Government Community Cloud。

现有安全与合规状况

Harvey表示，FedRAMP D级认证是在其现有安全与合规基础上取得的进一步进展；该基础包括SOC 2 Type II、ISO 27001、ISO 27701、ISO 42001、AIUC-1、IRAP、TX-RAMP Level 2、GDPR和CCPA。客户可以通过该公司的信任中心查看其认证情况。

在其安全页面上，Harvey表示，根据《平台协议》，公司以合同形式保证不会使用客户输入内容、输出内容和上传的文件来训练底层模型，并要求模型提供商实行零数据保留。公司表示，所有静态和传输中的数据均经过加密；每位客户的数据在逻辑上相互隔离，以防止混用；访问控制遵循最小权限原则；同时，合同规定的安全义务也适用于分包处理商和外部模型提供商。Harvey在Microsoft Azure上托管其云环境，并为有数据本地化要求的客户提供在欧盟和瑞士或澳大利亚进行数据处理的选项。

安全页面还指出，Harvey的内部安全团队涵盖基础设施、产品和运营，并提供全天候监控；其控制措施包括SAML单点登录、审计日志、IP地址允许列表和数据生命周期管理。Harvey表示，公司每年接受SOC 2 Type II和ISO 27001审计，每年进行第三方渗透测试，并开展自动化漏洞扫描和持续安全监控；此外，公司还与Schellman、NCC Group和Bishop Fox合作进行深入审计。