AegisGraph — Plateforme d'ingénierie

Découverte automatisée de vulnérabilités pilotée par graphe pour les applications de messagerie sécurisée. Implémentation d'ingénierie de 577 Industries pour le sujet DARPA SBIR Direct-to-Phase-II HR0011SB20254-12 (ASEMA).

Vous cherchez des artefacts destinés aux évaluateurs ? La version de faisabilité publique sanitisée se trouve sur 577-Industries/asema-feasibility-artifacts au tag v1.0.0-asema-dp2-feasibility. Commencez par là si vous vérifiez les affirmations de la proposition ASEMA.

Ce que contient ce dépôt

La plateforme d'ingénierie — l'implémentation réelle derrière AegisGraph :

Démarrage rapide

git clone https://github.com/577Industries/aegisgraph
cd aegisgraph
git checkout v1.0.0-tier3-research

# Recommended: use the pinned devcontainer
devcontainer up
make tooling-strict                # verify pinned toolchain
python3 -m pytest -q               # expect 1030 passed, 19 skipped

# Per-engine smoke tests
make reprochain-map                # ReproChain reachability mapping
make polydiff-regression           # PolyDiff differential parser regression (8 historical CVE rediscoveries)
make extract                       # static extraction over pinned SMAs
make smabench                      # SMABench benchmark generation
make validate                      # evidence + CETM validation
make reproduce                     # full reproduction pipeline

Le point d'entrée CLI est aegisgraph après installation, ou python3 -m aegisgraph.cli depuis ce checkout.

Position de recherche

• Recherche en cybersécurité défensive uniquement. Pas de sondage de cibles en direct, d'interaction avec des comptes de production, de tests avec identifiants, ou de scan sans autorisation écrite.
• Aucune charge utile weaponisée dans les artefacts publics (les octets déclencheurs de crash sont seulement des hachages ; les traces de pile brutes restent côté ingénierie).
• Pas de redistribution de code source cible brut. Nous travaillons à partir d'ancres de source publique (Signal Android et Element X Android épinglés à des commits).
• Artefacts publics verrouillés par make export-public-sanitized et approbation humaine explicite avant publication.
• Falsifiabilité. Un test de corruption délibérée dans le validateur confirme que l'introduction d'un motif interdit, d'un marqueur de redistribution de source cible, ou d'une non-concordance de clé de vecteur de score est détectée et rejetée — la discipline est testable, pas seulement énoncée.

Tests

• 1030 tests réussis à la coupe v1.0 (tag v1.0.0-tier3-research, commit d91c1df6)
• 19 ignorés (conditionnés par le provisionnement d'un runner auto-hébergé selon la tâche T-M4.1 ; le devcontainer ramène le nombre d'ignorés à 0)
• CI : .github/workflows/ci.yml runs on push; reproduce.yml is if: false until self-hosted runner is provisioned
• Vérification de sanitisation : validator/sanitize_check.py applique 9 règles sur chaque candidat à l'export public avant que tout artefact ne quitte ce dépôt

Journal des décisions

Les 14 ADR dans docs/decision-log/ documentent chaque décision architecturale :

Versions et Tags

• v1.0.0-tier3-research (actuelle, Mai 2026) — ensemble complet des 6 moteurs, 1030 tests réussis, Schéma v2, CETM à 82 revendications
• v0.3.0-tier3-research (Mai 2026) — baseline v0.3 (conservée comme ancrage historique)

La version de faisabilité publique correspondante se trouve sur 577-Industries/asema-feasibility-artifacts :

• v1.0.0-asema-dp2-feasibility (actuelle) — pack de figures F15-F22, CETM à 82 revendications, baseline-tool-delta, schéma polydiff v1.0, matrice de traçabilité complète
• v0.3.0-asema-dp2-feasibility — ancrage historique ; conservé textuellement

Licence

Apache-2.0. Voir LICENSE.

Source de vérité

SPEC.md est la spécification technique de travail. Si l'implémentation et la spécification divergent, mettez à jour la spécification délibérément.