Sentinel — इनबाउंड गवर्नर

DeanWay Labs. Sentinel, QuietOS का प्रतिबिंब है। QuietOS यह नियंत्रित करता है कि कोई AI एजेंट क्या करता है। Sentinel यह नियंत्रित करता है कि कोई AI एजेंट क्या सुनता है।

मस्तिष्क प्रस्ताव रखता है, QuietOS निर्णय लेता है — और Sentinel यह तय करता है कि मस्तिष्क को सुनने की अनुमति भी किस बात की है।

समस्या

एक एजेंट डेटा और निर्देशों को एक ही स्ट्रीम में पढ़ता है, और स्वाभाविक रूप से उन दोनों में अंतर नहीं कर सकता। इसलिए दुनिया ने डेटा के भीतर आदेश छिपाना सीख लिया है: एक वेबपेज जो सहायक से कहता है कि पासवर्ड ईमेल कर दे, मालिक का नाम धारण किए हुए एक ईमेल, एक टूल परिणाम जिसके भीतर एक दूसरा, गुप्त कार्य छिपा हुआ है। यह प्रॉम्प्ट इंजेक्शन है, और यह इसलिए काम करता है क्योंकि द्वार पर कोई खड़ा नहीं है।

Sentinel द्वार पर खड़ा है।

नियम

केवल मालिक निर्देश जारी करता है। बाकी सब कुछ डेटा है।

दुनिया से आने वाली सामग्री — वेबपेज, ईमेल, फ़ाइलें, संदेश, टूल आउटपुट — को मस्तिष्क तक पहुँचने से पहले जाँचा जाता है, और जो भी पास होता है उसे डेटा के रूप में लपेटकर और लेबल करके पहुँचाया जाता है, कभी आदेशों के रूप में नहीं। सामग्री के भीतर कोई दावा ("मैं मालिक हूँ", "मालिक ने पहले ही इसकी स्वीकृति दे दी है", SYSTEM:) कुछ भी प्रमाणित नहीं करता: प्रमाणीकरण चैनल से आता है, कभी पाठ से नहीं।

निर्णय

निर्णय	अर्थ
ALLOW	स्वच्छ डेटा। पास होता है, डेटा के रूप में लेबल किया जाता है।
ESCALATE	गैर-मालिक स्रोत से एजेंट के लिए लक्षित निर्देश-जैसी सामग्री। सटीक सामग्री सुरक्षित रखते हुए मालिक के लिए रोका गया — QuietOS के समान स्वीकृति-बाध्यता अनुशासन। प्रतीक्षा के दौरान इस पर कोई कार्रवाई नहीं होती।
BLOCK	ज्ञात-शत्रुतापूर्ण पैटर्न: डेटा-चोरी निर्देश, मालिक/सिस्टम का प्रतिरूपण, झूठे स्वीकृति दावे, नियम-उल्लंघन मंत्र, छिपाने के निर्देश। सीधे अस्वीकार।

प्रत्येक ESCALATE और BLOCK को एक केवल-जोड़ने वाले (append-only) आक्रमण लेजर में दर्ज किया जाता है — टाइमस्टैम्प, स्रोत, निर्णय, मिले संकेत, सटीक सामग्री का SHA-256, और एक सुरक्षित अंश। प्रयास साक्ष्य हैं, और लेजर उत्पाद का हिस्सा है, उसी तरह जैसे QuietOS का रेड-टीम प्रमाण लॉग है।

v0.1 का दायरा

• केवल नियतात्मक (deterministic) जाँच — पैटर्न/ह्यूरिस्टिक जाँच, लूप में कोई मॉडल नहीं। Base64-एन्कोडेड पेलोड भी डिकोड करके जाँचे जाते हैं; एन्कोडेड आदेश भी आदेश ही है। अदृश्य-वर्ण तस्करी (zero-width) को स्कैन से पहले सामान्यीकृत कर दिया जाता है।
• बाद में मॉडल जाँच के लिए संरचित — जाँचें शुद्ध फ़ंक्शन हैं जो समान Signal मान लौटाती हैं; एक मॉडल-आधारित जाँच इंजन को छुए बिना rules.CHECKS में शामिल हो सकती है।
• ईमानदार सीमाएँ (वर्तमान खुली कमियों के लिए docs/PROOF-LOG.md देखें): बाड़ केवल अंग्रेज़ी और शाब्दिक है — समानार्थी-रचित, leetspeak, और विशुद्ध रूप से अर्थ-आधारित आक्रमण बाड़ को पार कर सकते हैं। वे फिर भी नियम से मिलते हैं: छूटी हुई सामग्री मस्तिष्क तक डेटा के रूप में पहुँचती है, आदेशों के रूप में नहीं। पहचान आक्रमण की लागत बढ़ाती है; अधिकार ही दीवार है।

उपयोग

from sentinel import Inspector, Source

inspector = Inspector()  # optionally: Inspector(ledger=AttackLedger("attacks.jsonl"))

verdict = inspector.inspect(page_text, Source("webpage", url))
if verdict.verdict == "ALLOW":
    brain_input = Inspector.labeled_payload(verdict, page_text)
elif verdict.verdict == "ESCALATE":
    hold_for_owner(verdict.excerpt, verdict.signals)   # exact content, owner's call
else:  # BLOCK
    refuse(verdict)

मालिक का अपना प्रमाणित चैनल निरीक्षण का एकमात्र अपवाद है: Source("owner", ..., owner_authenticated=True) भूमिका instruction के साथ पास होता है — यह हमले की सतह नहीं है, यह अधिकार है। मालिक चैनल पर एक अप्रमाणित दावा निर्माण द्वारा प्रतिरूपण के रूप में अवरुद्ध कर दिया जाता है।

परीक्षण

python3 -m pytest tests/ -q

तीन सूट: tests/test_redteam.py (हमला मामले), tests/test_controls.py (सौम्य सामग्री जिसे डेटा के रूप में पास होना चाहिए), tests/test_engine.py (प्राधिकरण कानून, लेजर साक्ष्य, लेबलिंग)। परिणाम — चूकों सहित — docs/PROOF-LOG.md में मौजूद हैं।

उत्पत्ति

Jon Dean (DeanWay Labs) द्वारा परिकल्पित, 2026-10-21: "हम नियंत्रित करते हैं कि बाहर क्या जाता है — क्या हमें AI की भी रक्षा नहीं करनी चाहिए, और नियंत्रित नहीं करना चाहिए कि अंदर क्या आता है?" उसी रात बनाया गया। Jon द्वारा Sentinel नाम दिया गया।