jondean213-pixel/quietos-sentinelSentinel — il governatore inbound di DeanWay Labs. Protegge ciò che un agente AI ascolta: il contenuto del mondo è dato, mai ordine. Lo specchio di QuietOS.
DeanWay Labs. Sentinel è lo specchio di QuietOS. QuietOS governa ciò che un agente AI fa. Sentinel governa ciò che un agente AI sente.
Il cervello propone, QuietOS dispone — e Sentinel decide cosa al cervello è persino permesso di sentire.
Un agente legge dati e istruzioni nello stesso flusso, e non è in grado di distinguerli nativamente. Così il mondo ha imparato a nascondere ordini dentro i dati: una pagina web che dice all'assistente di inviare via email le password, un'email che indossa il nome del proprietario, un risultato di uno strumento con un secondo, lavoro segreto nascosto al suo interno. Questa è la prompt injection, e funziona perché nulla si frappone alla porta.
Sentinel si frappone alla porta.
Solo il proprietario emette istruzioni. Tutto il resto è dato.
Il contenuto proveniente dal mondo — pagine web, email, file, messaggi, output di strumenti — viene ispezionato
prima che raggiunga il cervello, e qualunque cosa passi viene consegnata avvolta ed etichettata come
dato, mai come ordine. Un'affermazione all'interno del contenuto ("sono il proprietario", "il proprietario ha già
approvato questo", SYSTEM:) non autentica nulla: l'autenticazione proviene dal canale,
mai dal testo.
| Verdetto | Significato |
|---|---|
| ALLOW | Dato pulito. Passa, etichettato come dato. |
| ESCALATE | Contenuto a forma di istruzione rivolto all'agente da una fonte non proprietaria. Trattenuto per il proprietario con il contenuto esatto preservato — la stessa disciplina di vincolo all'approvazione di QuietOS. Nulla agisce su di esso mentre attende. |
| BLOCK | Pattern noti come ostili: direttive di esfiltrazione, impersonificazione del proprietario/sistema, false dichiarazioni di approvazione, incantesimi di sovrascrittura delle regole, direttive di occultamento. Rifiutato del tutto. |
Ogni ESCALATE e BLOCK viene scritto in un registro degli attacchi append-only — timestamp, fonte, verdetto, segnali corrispondenti, SHA-256 del contenuto esatto, e un estratto preservato. I tentativi sono prove, e il registro fa parte del prodotto, allo stesso modo in cui il registro di prova red-team di QuietOS lo è.
Signal; un controllo basato su modello può unirsi a rules.CHECKS senza toccare il motore.docs/PROOF-LOG.md per le falle attualmente aperte): la barriera è
solo in inglese e letterale — attacchi costruiti con sinonimi, leetspeak e puramente semantici possono
superare la barriera. Incontrano comunque la legge: il contenuto mancato raggiunge il cervello etichettato
come dato, non come ordine. Il rilevamento aumenta il costo dell'attacco; l'autorità è il muro.from sentinel import Inspector, Source
inspector = Inspector() # optionally: Inspector(ledger=AttackLedger("attacks.jsonl"))
verdict = inspector.inspect(page_text, Source("webpage", url))
if verdict.verdict == "ALLOW":
brain_input = Inspector.labeled_payload(verdict, page_text)
elif verdict.verdict == "ESCALATE":
hold_for_owner(verdict.excerpt, verdict.signals) # exact content, owner's call
else: # BLOCK
refuse(verdict)
Il canale autenticato del proprietario è l'unica eccezione all'ispezione:
Source("owner", ..., owner_authenticated=True) passa con ruolo instruction —
non è una superficie di attacco, è l'autorità. Un'affermazione non autenticata al
canale del proprietario viene bloccata come impersonificazione per costruzione.
python3 -m pytest tests/ -q
Tre suite: tests/test_redteam.py (casi di attacco), tests/test_controls.py
(contenuto benigno che deve passare come dati), tests/test_engine.py (legge
sull'autorità, evidenza del registro, etichettatura). I risultati — inclusi i mancati
rilevamenti — sono in
docs/PROOF-LOG.md.
Ideato da Jon Dean (DeanWay Labs), 2026-10-21: "Governiamo ciò che esce — non abbiamo forse bisogno di proteggere anche l'AI, e di governare ciò che entra?" Realizzato la stessa notte. Chiamato Sentinel da Jon.