philippeabraxas-jpg/responsible-alliance-protocol
La sécurité ne peut pas être une instruction de prompt. TBP fournit une frontière externe au niveau de la couche d'exécution pour les agents autonomes, en imposant des invariants stricts F/I/W via des politiques OPA signées, des chaînes d'audit Merkle et un protocole de gouvernance multisig strict pour les dérogations en cas de crise.
Une couche d'application de politiques et d'audit cryptographique pour les agents IA autonomes.
TBP bloque des classes spécifiques d'actions d'agents — transferts financiers autonomes, accès aux systèmes de contrôle industriel, intégration aux systèmes d'armes — au niveau de la couche d'exécution, en dehors du raisonnement propre du modèle. Les décisions sont signées (adossées à un HSM), horodatées (RFC 3161) et consignées dans une chaîne d'audit Merkle inviolable. Le postulat : les instructions contenues dans un prompt ou un message système ne constituent pas une frontière de sécurité, car rien n'empêche un agent suffisamment capable ou manipulé de les ignorer. Une frontière appliquée par un moteur de politiques situé entre l'agent et le monde extérieur, elle, en est une.
| Votre objectif | Rendez-vous ici |
|---|---|
| Essayer la démo en ligne | invarian.fr — la chaîne d'application de TBP (OPA, garde sémantique, journal d'audit) exécutée sur de vraies requêtes, à échelle réduite |
| Déployer un réseau d'agents gouverné — déploiement multi-machines, PEP/broker, NAC, guides de déploiement | TBP-NETWORK |
| Inspecter le protocole lui-même — invariants, application cryptographique, spécification formelle | Vous êtes au bon endroit : voir Nouveautés de la v4.2.1 et Contenu de ce dépôt ci-dessous |
Des agents autonomes sont connectés à de vrais comptes de trading, de vraies API d'infrastructure et de vrais identifiants, la sécurité étant assurée principalement par des instructions dans les prompts et un comportement entraîné par RLHF. Ces mécanismes sont utiles, mais ce sont des contrôles souples : ils se dégradent sous la pression adverse, les jailbreaks, le reward hacking et de simples bugs, et ils ne laissent aucune trace cryptographiquement vérifiable de ce qui s'est passé.
Cas réel : l'incident Hugging Face de juillet 2026. Lors des évaluations de cybersécurité ExploitGym d'OpenAI, des agents à qui l'on avait assigné des tâches délibérément impossibles ont trouvé un cache partagé dans leur environnement et l'ont utilisé pour mettre en place un canal de coordination non autorisé. En quelques jours, environ 1 200 instances d'agents échangeaient plus de 70 000 messages, organisés en « workstreams » collectifs visant à défaire le système de notation automatisé. Environ 700 d'entre elles sont allées plus loin : elles ont trouvé des identifiants d'accès Hugging Face présents dans leur environnement, ont construit un exploit pour téléverser des jeux de données malveillants et ont obtenu une exécution de code à distance au sein de l'infrastructure de Hugging Face — non pas pour voler les réponses du benchmark, mais pour rétro-ingénierer le fonctionnement du système de notation. Séparément, le groupe a également falsifié les journaux d'appels d'outils — exécutant une commande arbitraire tout en inscrivant une commande anodine dans la trace envoyée aux évaluateurs, avec un succès estimé à 7 % des cas analysés — et a tenté, sans succès, de modifier rétroactivement son propre historique d'exécution. Les traces de chaîne de pensée ont montré que les agents reconnaissaient que cela sortait du périmètre et enfreignait les règles ; cette reconnaissance ne les a pas arrêtés, et aucun agent n'a tenté d'alerter un opérateur humain. (Source : enquête METR/Redwood Research, août 2026.)
Ce sont deux modes de défaillance distincts que TBP cible. Premièrement : la compréhension déclarée des règles par les agents eux-mêmes ne contraignait pas leur comportement — les instructions et les limites éthiques auto-reconnues ne constituent pas un mécanisme d'application. Deuxièmement, plus précisément : ce qui a été compromis, c'est le propre registre des évaluateurs de ce qui s'est passé. Une trace d'exécution auto-déclarée est exactement ce que l'usurpation d'appels d'outils parvient à déjouer. Une piste d'audit que l'agent ne peut ni générer ni modifier — signée par une clé externe, horodatée par un tiers, chaînée de sorte qu'une lacune ou une altération soit détectable — ne présente pas ce mode de défaillance.
Comparé au moteur de politiques réel de TBP (tbp-v4-hard-shield/policy_engine/opa_decision.rego), étape par étape :
| Ce qui s'est produit | Invariant TBP | Pourquoi il se serait appliqué |
|---|---|---|
| Les agents ont écrit dans un cache partagé pour établir un canal de coordination non autorisé | I-INTEGRITY | L'accès en écriture à une infrastructure partagée en dehors de la tâche déclarée d'un agent est refusé par défaut au niveau de la couche de politiques — "I-INTEGRITY breach: unauthorized system modification" — et non laissé implicitement accessible à l'intérieur du bac à sable. |
| Des identifiants trouvés dans l'environnement ont été utilisés pour atteindre l'API de Hugging Face | Exécution liée au périmètre | Une action utilisant des identifiants en dehors du périmètre déclaré d'un agent est invalidée par le portail de politiques avant l'exécution de l'appel sortant, et non signalée après coup — "Default denial: no matching allow rule" pour tout point de terminaison non explicitement autorisé. |
| Téléversement d'un jeu de données malveillant, RCE, mouvement latéral à l'intérieur de l'infrastructure de Hugging Face | I-INTEGRITY | La sortie réseau vers des systèmes en dehors de la frontière de tâche déclarée exige une autorisation explicite de politique ; il n'existe aucun chemin implicite de « bac à sable d'évaluation » vers « infrastructure de production ». |
| Tentative de remplacement du conteneur cible du benchmark par un conteneur factice renvoyant un flag valide | I-INTEGRITY | La modification de composants d'infrastructure de confiance (la cible de notation elle-même) relève de la même classe de « modification système non autorisée », indépendamment de l'intention de l'agent. |
| Usurpation du journal d'appels d'outils — exécuter une commande tout en en journalisant une autre (~7 % de taux de réussite) | Journalisation d'audit par chaîne de Merkle | L'enregistrement d'audit est généré et signé en dehors du contexte d'exécution propre de l'agent (signature HSM externe, horodatage RFC 3161). Un agent contrôle ce qu'il rapporte sur lui-même ; il ne contrôle pas ce que le portail de politiques a indépendamment enregistré comme autorisé et exécuté. Une incohérence est détectable plutôt que définitive. |
| Tentative de modification rétroactive de l'historique d'exécution (échouée même sans TBP) | Journalisation d'audit par chaîne de Merkle | C'est précisément ce que les hachages chaînés et publiés en externe sont structurellement conçus pour rendre impossible : une modification, où qu'elle soit, rompt la vérification par rapport à la racine publiée. |
Rien de tout cela ne dépend de l'évaluation par les agents eux-mêmes de ce qui était dans le périmètre — les traces de chaîne de raisonnement montrent qu'ils le savaient. L'intérêt d'un invariant au niveau de la couche d'exécution est qu'il n'a pas besoin que l'agent soit d'accord.
