PII-Shield 🛡️

Sidecar de désinfection des journaux sans code pour Kubernetes. Prévient les fuites de données (RGPD/SOC2) en masquant les données à caractère personnel (PII) dans les journaux avant qu'ils ne quittent le pod.

PII-Shield s'exécute en processus — CLI, sidecar ou WASM. Il n'y a pas d'API hébergée ni de serveur auquel vos données sont envoyées.

Même nom, projets différents. Ce n'est pas le proxy de confidentialité PII Shield du blog de la communauté des développeurs Microsoft (mai 2026, vikasgautam18/pii-shield), ni les produits de masquage de prompts piishield.ai ou piishield.com, ni le paquet pii-shield sur PyPI par Intellirim. Nos paquets sont pii-shield-wasi sur PyPI et @aragossa/pii-shield-wasi sur npm ; dans le texte, nous appelons ce projet le sidecar PII-Shield.

« Ne laissez pas les PII empoisonner vos modèles d'IA. » PII-Shield garantit que les données sensibles n'atteignent jamais votre jeu de données d'entraînement, vous épargnant un réentraînement de modèle imposé par le RGPD.

[!WARNING] Vous passez à la v2.0.0 ? Nous avons déplacé la distribution destinée aux utilisateurs finaux vers des installations basées sur Helm et des sidecars natifs Distroless. Kustomize n'est plus un chemin d'installation de version pris en charge pour les utilisateurs en production, bien que le dépôt de l'opérateur conserve encore l'échafaudage Kustomize pour le développement local et la génération de manifestes. L'accès à /bin/sh à l'intérieur du sidecar PII-Shield n'est plus pris en charge. Lisez le Guide de migration.

Deux modèles de déploiement

PII-Shield propose deux manières distinctes de s'intégrer à votre stack :

1. Opérateur Kubernetes (sans code) : notre modèle de déploiement phare. Un opérateur K8s entièrement automatisé qui injecte un sidecar Distroless hautement sécurisé dans vos pods pour intercepter et désinfecter les journaux à la volée.
2. WASM en processus (pour les intégrations cœur) : pour des performances extrêmes, le moteur cœur peut être intégré directement via WASM, offrant une latence <1ms sans sauts réseau.

État du projet et feuille de route

PII-Shield est un outil de sécurité open-source activement développé, en phase de durcissement pour la production. La ligne de version v2.x fournit des artefacts CLI, conteneur, Helm/opérateur et SDK WASM utilisables. Les chemins de masquage cœur sont prêts pour des déploiements contrôlés, tandis que certains modes de déploiement Kubernetes et garanties de chaîne d'approvisionnement sont encore en cours de stabilisation.

Composant	État
Scanner cœur	Publié / déploiements contrôlés
Sidecar CLI	Publié / déploiements contrôlés
Opérateur Kubernetes	Phase de stabilisation
SDK WASM	Bêta publiée
Intégration de passerelle Proxy-Wasm	R&D planifiée
Interface du plan de contrôle	R&D planifiée
Interception eBPF	R&D expérimentale

Voir KNOWN_LIMITATIONS.md pour les limites actuelles du durcissement en production.

Pourquoi PII-Shield ?

Les développeurs oublient souvent de masquer les données sensibles. Les filtres regex traditionnels dans Fluentd/Logstash sont lents, difficiles à maintenir et consomment un CPU coûteux sur les agrégateurs de journaux.

PII-Shield se place juste à côté de votre conteneur applicatif :

• Moteur cœur durci pour la production : optimisé pour les sidecars Kubernetes avec de faibles allocations mémoire sur les chemins critiques et une correspondance regex déterministe.
• Analyse d'entropie contextuelle : détecte les secrets à haute entropie même sans clés (par ex. Error: ... 44saCk9...) en analysant les mots-clés de contexte.
• Règles regex personnalisées : masquage déterministe pour les données structurées (UUID, identifiants) qui prime sur les vérifications d'entropie pour les motifs connus.
• Signatures de secrets intégrées : les identifiants préfixés par l'émetteur — clés API AWS et Google, jetons GitHub, Slack et Stripe, JWT, identifiants Bearer et blocs de clés privées PEM — sont masqués selon leur format, de sorte qu'une clé valide est détectée même lorsque son corps est à faible entropie ou que le seuil a été relevé.
• Numéros de téléphone par forme : les numéros internationaux avec un +, les formes nord-américaines (555) 234-5678 et les chiffres sous une clé nommée téléphone (phone, mobile, wa_id, ...) sont masqués même si les chiffres seuls ne sont jamais considérés comme un secret.
• Numéros d'identité par clé : les chiffres sous une clé qui nomme un document d'identité (idNumber, national_id, ssn, passport_number, tax_id, ...) sont masqués ; un identifiant d'enregistrement tel que user_id ou order_id ne l'est pas.
• Couverture de régression et de fuzzing : testé contre des cas de stress incluant des déchets binaires, l'imbrication JSON et des journaux multilingues.
• Hachage déterministe : remplace les secrets par des hachages uniques (par ex., [HIDDEN:a1b2c]), permettant à l'assurance qualité de corréler les erreurs sans voir les données brutes.
• Prêt à l'emploi : aucune modification de code requise. Fonctionne avec n'importe quel langage (Node, Python, Java, Go).
• Prise en charge de la liste blanche : autorisez explicitement des motifs sûrs (par ex., hachages git, identifiants système) à l'aide de PII_SAFE_REGEX_LIST pour éviter les faux positifs.

Gérer PII-Shield sur des dizaines de clusters ?

Nous construisons un plan de contrôle hébergé avec gestion centralisée des règles, alertes Slack et analyses de masquage.

Intégrations

La version WASM en processus de PII-Shield est intégrée dans GuardSpine Code, une GitHub Action open-source de gouvernance de code IA, qui embarque le binaire et le crédite dans son NOTICE.

Considérations de performance

Bien que PII-Shield soit hautement optimisé, l'inspection approfondie de journaux complexes exige une attention particulière à la configuration.

• Journaux texte : extrêmement rapide (>100k lignes/s).
• Journaux JSON : analyse sans allocation (pas de surcoût encoding/json). Le scanner analyse manuellement les structures JSON pour garantir un haut débit (~7 Mo/s) sans pics de mémoire.
• Recommandation : l'utilisation est sûre pour un haut débit. Nous utilisons des garde-fous de récursion pour éviter les débordements de pile sur des JSON profondément imbriqués.

Installation

Chart Helm (opérateur Kubernetes)

La manière officielle et recommandée de déployer PII-Shield dans Kubernetes est via notre opérateur entièrement automatisé :